CH654260A5

CH654260A5 - Computer-controlled signal box

Info

Publication number: CH654260A5
Application number: CH479480A
Authority: CH
Inventors: Hans Joerg Knapp
Original assignee: Int Standard Electric Corp
Priority date: 1979-06-22
Filing date: 1980-06-23
Publication date: 1986-02-14
Also published as: YU163180A; ES492635A0; BR8003777A; SE455404B; DE2925169A1; SE8004548L; DE2925169C2; ES8102715A1; YU42343B

Description

Die Erfindung betrifft ein rechnergesteuertes Stellwerk nach dem Oberbegriff des Anspruchs 1.

Ein solches Stellwerk ist zum Beispiel unter der Bezeichnung JZS 750 bei den Schwedischen Staatsbahnen in Betrieb. Firmendruckschriften der Firma L.M. Ericsson, in denen dieses Stellwerk beschrieben ist, sind seit 1975 in der Fachwelt bekannt.

Das bekannte Stellwerk enthält einen zentralen Rechner, der die Steuerung und Überwachung aller im Stellbereich befindlichen Fahrwegelemente durchführt. Aus Verfügbarkeitsgründen ist ein Ersatzrechner ständig einsatzbereit (hot standby). Sicherheitskritische Arbeitsgänge werden zweimal nacheinander mit Hilfe verschiedener Rechnerprogramme durchgeführt und die Ergebnisse nur bei Übereinstimmung weiterverwertet. Dabei erfolgt der Vergleich in einem signaltechnisch sicher aufgebauten Relais-Vergleicher. Die Stellwerkslogik ist in Form von Rechnerprogrammen festgelegt. Für jeden Typ von Fahrwegelementen (z.B. Weichen, Signale, Gleisabschnitte) ist ein besonderes Programm vorgesehen, mit dem alle im Zusammenhang mit dem betreffenden Fahrwegelementtyp auftretenden Probleme behandelt werden können.

Die Steuerung eines Stellwerks mit Hilfe eines zentralen Rechners hat eine Reihe von Nachteilen: So sind, vor allem wegen auftretender Warteschlagenprobleme, — es können nicht zwei Aufgaben gleichzeitig erledigt werden-, umfangreiche und komplizierte Programme erforderlich. Nicht zu vermeidende Verschachtelungen von Programmunterbrechungen (interrupts) stellen dazuhin Fehlerquellen dar, die durch Tests nicht entdeckt werden können, da die Zahl der möglichen Programmablauf-Variationen zu gross wird.

Die technische Aufgabe eines rechnergesteuerten Stellwerks ist die sichere Steuerung und Überwachung aller im Stellwerksbereich vorhandenen Fahrwegelemente, wobei die dazu erforderlichen logischen Schritte von elektronischen Rechnern mit Hilfe spezieller Programme durchgeführt werden. Hierbei soll grösstmögliche Sicherheit und eine möglichst hohe Verfügbarkeit gewährleistet sein.

Diese technische Aufgabe wird mit den in Anspruch 1 angegebenen Mitteln gelöst.

Die Aufteilung des bekannten zentralen Rechnersystems in einzelne kleinere, voneinander unabhängige Rechnersysteme, im Folgenden «Funktionsbaugruppen» genannt, und die Zuordnung dieser Funktionsbaugruppen zu ganz bestimmten Sellwerksfunktionen macht es möglich, viele gleichzeitig

2

5

10

15

20

25

30

35

40

45

50

55

60

65

anfallende Steuerungsaufgaben auch gleichzeitig durchzuführen. Das Setzen von Prioritäten für bestimmte vordingliche Aufgaben und die hierbei vorgesehenen Programmunterbrechungen können damit entfallen. Die für die Rechnersysteme der Funktionsbaugruppen verwendeten Programme sind erheblich einfacher und übersichtlicher als die Programme für einen zentralen Rechner. Zudem ist die Möglichkeit gegeben, ohne besondere Reservesysteme bei Ausfall eines Rechnersystems dessen Aufgabe hilfsweise von dem Rechnersystem einer anderen Funktionsbaugruppe wahrnehmen zu lassen und damit einen Notbetrieb aufrecht zu erhalten. Vorteilhaft ist auch die Doppelverwendung von Stützrelais als Interface zur Aussenanlage und signaltechnisch sicherer Speicher für Informationen, die nicht verfälscht werden oder verlorengehen dürfen. Der dezentrale Aufbau des rechnergesteuerten Stellwerks nach der Erfindung gestattet es, ein konventionell aufgebautes Stellwerk schrittweise durch das rechnergesteuerte Stellwerk zu ersetzen.

Eine Ausgestaltung des Stellwerks nach der Erfindung ist Gegenstand der Ansprüche 2 und 3 und betrifft den Aufbau einer besonders zweckmässigen Funktionsbaugruppe.

Eine weitere beispielsweise Ausgestaltung des rechnergesteuerten Stellwerks ist im Anspruch 4 angegeben. Bei dieser Ausgestaltung wird die Prüfung von Stellwerksfunktionen unter Verwendung besonderer Prüfprogramme sowie die Hilfsbedienung erheblich vereinfacht.

Anspruch 5 betrifft eine Ausgestaltung der Erfindung, die vor allem der Betriebszuverlässigkeit zugutekommt. Bei grossen Stellwerksanlagen kann diese Ausgestaltung jedoch auch zur Erhöhung der Rechenkapazität dienen.

Bei Verwendung eines Nummernstellpults werden gemäss einer in Anspruch 6 beschriebenen beispielsweisen Ausgestaltung Fahrstrassen mittels Datenübertragung zwischen dem Nummernstellpult und den einzelnen Funktionsbaugruppen eingestellt. Dabei gelangt die Information binär an die angeschlossenen Funktionsbaugruppen ohne Umwege über Tastenkontakte. Gemäss Anspruch 7 und 8 können bei weiterem Ausbau des Stellwerks auch der Kommandoweg einer Fernsteuereinrichtung oder ein Dispositionsrechner an die, die Funktionsbaugruppen mit dem Nummernstellpult verbindende Datenleitung angeschlossen werden.

Eine in den Ansprüche 9 und 10 erhaltene Ausgestaltung betrifft die signaltechnisch sichere Speicherung sicherheitskritischer Information.

Weitere beispielsweise Ausgestaltung des rechnergesteuerten Stellwerks nach der Erfindung sind den Ansprüchen 11 bis 13 zu entnehmen.

Mit Hilfe zweier Figuren soll nun das rechnergesteuerte Stellwerk nach der Erfindung an Hand eines Ausführungsbeispiels ausführlich beschrieben werden.

Fig. 1 zeigt schematisch den Aufbau eines Stellwerks nach der Erfindung,

Fig. 2 zeigt den Aufbau einer Funktionsbaugruppe.

In Fig. 1 ist dargestellt eine Bedieneinrichtung 1, eine Anzahl von Funktionsbaugruppen 2...1 mit je einem in sich sicheren Rechnersystem und ein Relaisspeicher 8. Die Funktionsbaugruppen sind einzelnen Funktionen des Stellwerks zugeordnet. So ist beispielsweise die Funktionsbaugruppe 2 für die Fahrstrasseneinstellung, die Funktionsbaugruppe 3 für die Weichenlaufüberwachung, die Funktionsbaugruppe 4 für die Signalstellung, die Funktionsbaugruppe 5 für die Betriebsauflösung und die Funktionsbaugruppe 6 für Ersatzsignalstellungen zuständig. Die Funktionsbaugruppe 7 ist für Wartungstätigkeiten und Hilfsbedienung reserviert. Alle Funktionsbaugruppen sind mit dem Relaisspeicher 8 verbunden, über dessen Relais die Elemente der Aussenanlage gesteuert werden. Die Relais garantieren eine sichere galvanische Trennung zur Aussenanlage und zu den Licht654 260

stromkreisen der Bedieneinrichtung hin und bilden, soweit es sich um Stützrelais handelt, einen störungssicheren Speicher für sicherheitsrelevante Informationen, welche nicht verfälscht werden und nicht verloren gehen dürfen. Neben den zu steuernden Elementen (z.B. 9,10) der Aussenanlage können an den Relaisspeicher ein Datensender 11 zur Abgabe von Meldungen an eine nicht dargestellte Fernsteuerzentrale, eine Einrichtung 12 zur Ansteuerung von Monitoren oder weitere Einrichtungen 13 angeschlossen sein, die der Darstellung oder der Dokumentation bestimmter Daten oder Steuervorgänge dienen (z.B. Ausleuchtung Stelltisch/Stelltafel).

Die Funktionsbaugruppen 2...1 sind untereinander durch Datenleitungen verbunden. Sie können sowohl von der Bedieneinrichtung 1 als auch über einen ersten Datenbus 14 von einem Nummernstellpult 15 aus angesteuert werden. Ein zweiter Datenbus 16, an den alle Funktionsbaugruppen angeschlossen sind, dient der Gleisfreimeldung und bildet eine einheitliche Schnittstelle zwischen den Funktionsbaugruppen und verschiedenen Gleisfreimeldesystemen 38, 39. An den ersten Datenbus 14 ist zusätzlich ein Kommandoempfänger 19 für Steuerkommandos einer nicht dargestellten Fernsteuerzentrale sowie ein Dispositionsrechner 20 angeschlossen.

Mit dem in der Fig. 1 dargestellten Stellwerk können alle im Stellbereich anfallenden Aufgaben mit signaltechnischer Sicherheit ausgeführt werden. Dabei wird gegenüber einem zentralgesteuerten Stellwerk eine wesentlich höhere Betriebszuverlässigkeit erreicht. Fällt eine der Funktionsbaugruppen aus, so kann ihre Aufgabe vorübergehend von einer anderen Funktionsbaugruppe übernommen werden, sofern dies z.B. in einem Notprogramm vorgesehen ist. Wird jeder Funktionsbaugruppe eine andere Funktionsbaugruppe, welche bei Ausfall der ersteren deren Angaben übernimmt, bereits von vornherein fest zugeordnet, so müssen nicht alle Funktionsbaugruppen mit der Bedieneinrichtung und den Datenbussen 14 und 16 verbunden sein. Es genügt dann, z.B. nur jeweils die Funktionsbaugruppen anzuschliessen, für die eine solche Verbindung Voraussetzung für die Erfüllung ihrer Aufgaben ist. Da jeweils zwei oder mehr Funktionsbaugruppen dieselbe Funktion wahrnehmen können, wird es dann auch möglich, in Situationen, in denen es auf besonders schnelle Bearbeitung ankommt, die Rechnersysteme zweier oder mehrerer Funktionsbaugruppen für dieselbe Aufgabe einzusetzen. Die Aufteilung der Aufgabe auf die einzelnen Rechnersysteme erfolgt dann nach Stellwerksbezirken.

In Fig. 2 ist eine Funktionsbaugruppe dargestellt, die einer bestimmten Stellwerksfunktion oder einer Gruppe von Stellwerksfunktionen zugeordnet ist. Sie enthält zwei unabhängige Rechnersysteme. Zwei Prozessoren 21,22 sind neben je einer Eingabeeinheit 25,26, je einer Ausgabeeinheit 27,28 und je einem Arbeitsspeicher 31,34, je 2 Festwertspeicher 29, 30, 32, 33 zugeordnet, von denen jeweils einer ein Grundprogramm (Programmspeicher 29,32), in welchem die Funktion festgelegt ist, der andere Geographiedaten (Geographiespeicher 30,33) enthält, welche die Lage der zugeordneten Fahrwegelemente innerhalb des Stellwerksbereichs zueinander angeben. Zusätzlich kann jeder der Prozessoren mit einer Umbau-Speichereinheit 35, 36 verbunden werden, die durch Anbringen von Brücken oder mittels Schaltern oder Steckern programmiert wird und im Falle vorübergehender Änderungen der Streckengeographie (z.B. bei Streckenumbauten) einen ausgewählten Teil des Geographiespeichers ersetzen kann.

Die beiden Rechnersysteme einer Funktionsbaugruppe arbeiten in der Regel asynchron und nach verschiedenen Programmen. Sie bearbeiten jedoch jeweils dasselbe Problem und synchronisieren sich durch gegenseitigen Datenaus3

5

10

15

20

25

30

35

40

45

50

55

60

65

654 260

tausch über eine Synchronisierschaltung 37, bevor sie ein Ergebnis ausgeben. Informationen, die signaltechnisch sicher sein müssen (z.B. Verschlüsse), werden nur über den Relaisspeicher 8 ausgegeben und dort in Stützrelais gespeichert. Die Relais werden dabei über Steuerschaltungen betätigt, welche dies nur zulassen, wenn das Signal zur Betätigung der Relais von beiden Rechnersystemen vorliegt. Ergebnisse mit Sicherheitsbedeutung werden damit durch den Relaisspeicher selbst verglichen und können nicht gespeichert oder weiterverwertet werden, wenn sie nicht von beiden Rechnersystemen voneinander unabhängig ermittelt wurden. Die Eingaben der Rechnersysteme der Funktionsbaugruppen sind mit dem Relaisspeicher direkt verbunden und die Rechner können über diesen Zugriff alle für die Sicherheit wichtigen Informationen abfragen. Die Eingaben sind zusätzlich noch, wenn dies für die betreffende Funktionsbaugruppe erforderlich ist, mit der Bedieneinrichtung 1 sowie mit den Datenbussen 14 und 16 verbunden. Ausserdem besteht eine direkte Datenverbindung 40 zwischen den Ein- undAusgaben der Rechner aller Funktionsbaugruppen untereinander, über die nicht sicherheitskritische Daten ausgetauscht werden können. Der Austausch sicherheitskritischer Daten erfolgt nur über den Relaisspeicher.

Der Aufbau des rechnergesteuerten Stellwerks nach der Erfindung ist weitgehend modular. Alle Baugruppen sind steckbar. Im Relaisspeicher ist die Betriebslage (Relaisstellung) durch Augenschein überprüfbar.

4

5

10

15

20

25

30

35

40

45

50

55

60

65

S

1 Blatt Zeichnungen

Claims

654 260 PATENTANSPRÜCHE

1. Rechnergesteuertes Stellwerk mit einer Bedieneinrichtung und einem Steuerteil, von dem aus Elemente einer zugehörigen Aussenanlage über elektromechanische Schaltmittel steuerbar sind, wobei Stellkommandos nur ausführbar sind, wenn diese in zwei voneinander unabhängigen Prozessen erarbeitet wurden, dadurch gekennzeichnet, dass der Steuerteil in Funktionsbaugruppen (2... 7) aufgeteilt ist, mit welchen einzelne Stellwerksfunktionen oder Gruppen von Stellwerksfunktionen wahrnehmbar sind, dass jede Funktionsgruppe ein unabhängiges, in sich sicheres, zwei Einzelrechner (21, 22) aufweisendes Rechnersystem enthält, und dass ein signaltechnisch sicherer, aus elektromechanischen Schaltmitteln aufgebauter Speicher (8) vorhanden ist, zu dem die Rechner der Funktionsbaugruppen Zugriff haben.

2. Rechnergesteuertes Stellwerk nach Anspruch 1, dadurch gekennzeichnet, dass alle Funktionsbaugruppen untereinander durch Datenleitungen (40) verbunden sind, dass jedem Einzelrechner (21,22) einer Funktionsbaugruppe neben einer Eingabeeinheit (25,26), einer Ausgabeeinheit (27, 28) und einem Arbeitsspeicher (31, 34) ein Programmspeicher (29, 32) zur Speicherung des Arbeitsprogramms, ein Geographiespeicher (30, 33) zur Festlegung der Lage der von der betreffenden Funktionsbaugruppe zu steuernden Elemente der Aussenanlage und eine Umbau-Speichereinheit (35, 36) zugeordnet sind, und dass in die Umbau-Spei-chereinheit vorübergehend Änderungen der Streckengeographie einprogrammierbar sind.

3. Rechnergesteuertes Stellwerk nach Anspruch 2, dadurch gekennzeichnet, dass jede Funktionsbaugruppe eine Synchronisierschaltung (37) enthält, welche die beiden Einzelrechner unmittelbar vor jeder Ausgabe symchronisiert.

4. Rechnergesteuertes Stellwerk nach einem der vorstehenden Ansprüche, dadurch gekennzeichnet, dass für Hilfsbedienungen und zur Durchführung von Wartungsaufgaben eine besondere Funktionsbaugruppe (7) mit einem in sich sicheren Rechnersystem vorhanden ist.

5. Rechnergesteuertes Stellwerk nach einem der Ansprüche 1 bis 4, dadurch gekennzeichnet, dass Funktionsbaugruppen für einzelne Stellwerkfunktionen vervielfacht sind, wobei eine Aufteilung der Arbeitslast nach geographischen Bereichen des Stellwerks vorgenommen werden kann.

6. Rechnergesteuertes Stellwerk nach einem der-vorstehenden Ansprüche, dadurch gekennzeichnet, dass ein Num-mernstellpult (15) vorgesehen ist, welches über eine Schnittstelle (14), die für Stellkommandos in codierter Form eingerichtet ist, mit den Rechnersystemen der Funktionsbaugruppen verbunden ist.

7. Rechnergesteuertes Stellwerk nach Anspruch 6, dadurch gekennzeichnet, dass an die Schnittstelle (14) zwischen Nummernstellpult (15) und den Rechnersystemen der Funktionsbaugruppen (2...7) ein Empfänger (19) für Fernsteuerkommandos angeschlossen ist.

8. Rechnergesteuertes Stellwerk nach Anspruch 7, dadurch gekennzeichnet, dass an die Schnittstelle (14) zwischen Nummernstellpult (15) und den Rechnersystemen der Funktionsbaugruppen zusätzlich ein Dispositionsrechner (20) angeschlossen ist.

9. Rechnergesteuertes Stellwerk nach einem der vorstehenden Ansprüche, dadurch gekennzeichnet, dass die im signaltechnisch sicheren Speicher vorhandenen elektromechanischen Schaltmittel bistabile Relais, z.B. Stützrelais, sind.

10. Rechnergesteuertes Stellwerk nach Anspruch 9, gekennzeichnet durch eine derartige Ausbildung, dass die Betriebsanlage der bistabilen Relais jederzeit von den Rechnersystem aller Funktionsbaugruppen abfragbar ist.

11. Rechnergesteuertes Stellwerk nach Anspruch 9 oder 10, dadurch gekennzeichnet, dass ein Datensender (11) zur

Ausgabe von Meldungen an eine Fernsteuerzentrale vorhanden ist, und dass dieser einen direkten Zugriff zu dem signaltechnisch sicheren Speicher (8) besitzt.

12. Rechnergesteuertes Stellwerk nach einem der vorstehenden Ansprüche, dadurch gekennzeichnet, dass eine zweite Schnittstelle (16) zur Erfassung von Gleisfreimeldungen vorhanden ist, an die alle Gleisfreimeldeeinrichtungen (38, 39) und alle Funktionsbaugruppen, die Gleisfreimeldungen verarbeiten, angeschlossen sind.

13. Rechnergesteuertes Stellwerk nach einem der vorstehenden Ansprüche, dadurch gekennzeichnet, dass die Rechnersysteme der Funktionsbaugruppen in der Lage sind, bei Bedarf auch die Funktion einer oder die Funktionen mehrerer anderer Funktionsbaugruppen hilfsweise wahrzunehmen, und dass zu diesem Zweck jedes unentbehrliche Schaltmittel im signaltechnisch sicheren Speicher (8) von mindestens zwei verschiedenen Funktionsbaugruppen ansteuerbar ist.