CH683953A5

CH683953A5 - Verfahren zur Gewährleistung der signaltechnischen Sicherheit der Benutzeroberfläche einer Datenverarbeitungsanlage.

Info

Publication number: CH683953A5
Application number: CH1399/92A
Authority: CH
Inventors: Daniel Pixley; Neville Rowden; Arthur Aepli
Original assignee: Siemens Integra Verkehrstechni
Priority date: 1992-04-30
Filing date: 1992-04-30
Publication date: 1994-06-15
Also published as: DE4306470C2; ATA57893A; DE4306470A1; AT402909B

Description

1

CH 683 953 A5

2

Beschreibung

Die vorliegende Erfindung betrifft ein Verfahren zur Gewährleistung der signaltechnischen Sicherheit der Benutzeroberfläche einer Datenverarbeitungsanlage gemäss dem Oberbegriff des Patentanspruchs 1.

In den heute eingesetzten Anzeigen für die signaltechnisch sichere Darstellung des Prozessabbilds von Eisenbahnanlagen werden die Farbsichtgeräte zweikanalig von zwei verschiedenen Rechnern angesteuert, um für den Prozesszustand eine Anzeige mit signaltechnischer Sicherheit zu gewährleisten. Hierbei wird speziell für diesen Zweck entwickelte Hard- und Software verwendet. Häufig wird ein spezieller Bildschirm-Controller verwendet. Dieser beinhaltet zwei Bildspeicher, welche je von einem separaten Rechner beschickt werden. Die Anzeige wird im Sekundentakt zwischen den beiden Bildspeichern umgeschaltet. Dadurch entsteht auf der Anzeige ein Blinken im Sekundenrhythmus, falls die beiden Bildspeicher nicht den gleichen Inhalt haben.

Solchermassen realisierte Anzeigen weisen zwar eine dauernde signaltechnische Sicherheit auf. Es handelt sich hierbei jedoch um Spezialentwicklun-gen. Dadurch wird die Venwendung von normierten grafischen Oberflächen mit einer vollgrafischen Anzeige verunmöglicht.

Für die Realisierung normierter grafischer Oberflächen auf vollgrafischen Bildschirmen wird heute häufig die X-Window-Technik eingesetzt. Die Anzeige erfolgt hierbei durch ein X-Terminal oder eine Datenverarbeitungsanlage mit entsprechender Funktionalität. Bei einem solchen X-Terminal als Anzeige lässt sich jedoch das bewährte Konzept nicht mehr in der bisherigen Form realisieren. Es stellen sich folgende Probleme:

Die Hard- und Software im X-Terminal weist eine gewisse Komplexität auf. Sie kann nicht als fehlerfrei im Sinne von signaltechnischer Sicherheit gewertet werden. Die Ausführung nur mit einem Prozessor im Terminal und die Ansteuerung des Terminals von 2 Rechnern erreicht daher nicht die gleiche Wirkung wie bei den bekannten Systemen, weil damit die signaltechnische Sicherheit nur bis zum Eingang des X-Terminals gewährleistet wird. Eine Verdoppelung des X-Terminal-Prozessors wäre technisch schwierig zu realisieren. Insbesondere aber stellt sich das Problem, dass hierbei wieder eine nicht genormte Speziallösung entwickelt werden müsste. Dies wäre aufgrund der steigenden Komplexität moderner Technologie sehr aufwendig. Bei grafischen Oberflächen erfolgt die Bedienung nicht nur über die Tastatur, sondern auch über ein Zeigegerät. Die Position des Zeigegeräts wird auf dem Bildschirm durch einen Zeiger dargestellt. Bei jeder Bewegung des Zeigegeräts muss die Position des Zeigers auf dem Bildschirm sofort nachgeführt werden. Bei einem zyklischen Umschalten der Anzeige zwischen zwei Kanälen müssten die beiden Kanäle auf sehr aufwendige Art synchronisiert werden, damit der Zeiger bei den regelmässigen Umschaltun-gen auch während einer Bewegung des Zeigegeräts keine die Bedienung störenden Sprünge vollführt.

Es ist daher Zweck der vorliegenden Erfindung, ein Verfahren der eingangs genannten Art zu schaffen, das flexibler als das bekannte System ist.

Diese Aufgabe wird mit Hilfe eines Verfahrens mit den im kennzeichnenden Teil des Anspruchs 1 angegebenen Merkmalen gelöst.

Ein solches Verfahren erlaubt die Anwendung von grafischen Oberflächen auf handelsüblicher Hardware als Benutzerschnittstelle, was eine vollgrafische Anzeige und Bedienung als Ersatz für die heutigen, zweikanalig angesteuerten Farbsichtgeräte ermöglicht. Dies ermöglicht den Einsatz von Benutzerschnittstellen, welche dem aktuellen Stand der Technik entsprechen, auch in Anlagen mit signaltechnischen Sicherheitsanforderungen.

Weitere vorteilhafte Ausgestaltungen der Erfindung sind in den abhängigen Ansprüchen angegeben.

Die Erfindung wird nun beispielsweise anhand einer Zeichnung näher beschrieben. Es zeigt:

Fig. 1 eine schematische Darstellung zur Erläuterung der Überprüfung des Elementzustands durch den zweiten Rechner gemäss einer ersten Variante des erfindungsgemässen Verfahrens, und

Fig. 2 eine schematische Darstellung zur Erläuterung der Anzeigesicherung durch Rücklesen des Bildes gemäss einer weiteren Variante des erfindungsgemässen Verfahrens.

Gemäss einer ersten Variante des Verfahrens nach der vorliegenden Erfindung wird die signaltechnische Sicherheit durch einen Bildaufbau durch einen ersten Rechner 1 (Fig. 1) und eine Überprüfung des Elementszustands durch einen zweiten Rechner 2 gewährleistet. Der erste Rechner 1 bekommt eine externe Information ii, aus der er in einem ersten Verfahrensschritt (a) das anzuzeigende Bild B aufbaut, das an ein X-Terminal 3 ausgegeben wird. Das angezeigte Bild B ist im Grundzustand nicht sicher. Der zweite Rechner 2 bekommt eine externe Information Ì2, aus der er in einem zweiten Verfahrensschritt (b) ein Prozessabbild für die Sicherheitsprüfung bildet. Die Verfahrensschritte (a) und (b) können simultan durchgeführt werden. In einem dritten Verfahrensschritt (c) verarbeitet der Rechner 1 Befehle 4, die von einer Maus oder der Tastatur eingeleitet werden.

In einem vierten Verfahrensschritt (d) überprüft der Rechner 2 den Zustand aller Elemente, die einen Einfluss auf die Zulässigkeit eines kritischen Befehls haben könnten, mit seinem eigenen Prozessabbild Z. Für alle Elemente, die einen Zustand einnehmen, der zu einer gefährlichen Handlung des Fahrdienstleiters führen könnte, generiert der Rechner 2 eine Rückfrage R in Textform und verlangt eine Quittierung Q. Der Befehl F, der an das Stellwerk übertragen wird, besteht bei kritischen Bedienungen aus zwei Teilbefehlen F1 und F2. Die zwei Teilbefehle F1 und F2 werden von beiden Rechnern 1 bzw. 2 nur abgesetzt, wenn der Fahrdienstleiter die Rückfragen R vom Rechner 2 positiv quittiert (Q). Bei nichtkritischen Bedienungen genügt ein Teilbefehl, das heisst, F kann dann gleich F1 oder F2 sein. Die Quittierung Q kann über die X-

5

10

15

20

25

30

35

40

45

50

55

60

65

2

3

CH 683 953 A5

4

Terminal-Tastatur und/oder Zeigegerät (Maus) oder über eine separate, direkt am Rechner 2 angeschlossene Kommandofreigabe-Taste erfolgen.

Beispiel

Eine Einfahrt kann wegen einer Steliwerkstörung nicht gestellt werden. Wird nun das Hilfssignal verwendet, so muss sich der Fahrdienstleiter auf gewisse Informationen auf der Anzeige verlassen können.

Hilfssignalfahrten müssten mit Start- und Ziel-An-gabe eingestellt werden. So ist es dem Rechner 2 möglich, festzustellen, dass der Zug z.B. über eine falsch gestellte Weiche oder eine belegte Isolierung fahren soll. Rechner 2 fragt auch in diesem Fall zurück und verlangt eine Quittierung. Solche Hilfssignale entsprechen im wesentlichen den in anderen Systemen verwendeten sogenannten Ersatzsignalen.

Dieses Verfahren könnte die Sicherheit generell verbessern und evtl. auch mit einer in die Benützer-führung des Leitsystems integrierten Verwendung von Checklisten kombiniert werden. Für sich alleine eingesetzt stellt sich bei diesem Verfahren das grundsätzliche Problem, dass das System immer darüber informiert sein muss, wenn der Fahrdienstleiter eine Entscheidung gestützt auf die Anzeige trifft, welche bei fehlerhafter Anzeige eine Gefährdung bewirken kann, weil keine Überprüfung durch die Stellwerklogik möglich ist.

In weiterer Ausgestaltung dieses Verfahrens wird die Sicherheit durch ein Rücklesen des Bildes zyklisch oder in vorbestimmten Zeitpunkten gewährleistet. Ein erster Rechner 1 (Fig. 2) bekommt eine externe Information ii, aus der er in einem ersten Verfahrensschritt (a) das anzuzeigende Bild B aufbaut, das an ein X-Terminal 3 ausgegeben wird. Ein zweiter Rechner 2 bekommt ebenfalls eine externe Information Ì2, aus der er in einem zweiten Verfahrensschritt (b) das entsprechende Prozessabbild Z aufbaut. In einem dritten Verfahrensschritt (c) fragt der Rechner 2 zyklisch und zusätzlich in bestimmten Situationen, z.B. bei einer Änderung der entsprechenden Prozessinformationen im Prozessabbild des zweiten Rechners das Bild im X-Terminal ab, indem im Rechner 2 verglichen wird, ob die Informationen im Bild B mit dem Prozessabbild Z übereinstimmen, wobei bei korrekter Anzeige ein Meldezeichen M angezeigt wird. Eine Änderung der entsprechenden Prozessinformationen kann beispielsweise durch eine lokale Bedienung einer fernbedienbaren Station stattfinden.

Bei dieser Variante sind folgende Einschränkungen zu beachten:

Das Abfragen vollgrafischer Bilder belastet die Datenverarbeitungsanlage stark und kann daher abhängig von der Anzahl der Arbeitsplätze nicht beliebig durchgeführt werden.

Je nach Ausstattung des X-Terminals wird das Bild direkt aus dem Bildspeicher oder aus einem dem Bildspeicher vorgelagerten Speicher zurückgelesen. Das Verhalten muss entsprechend berücksichtigt werden.

Das Zurücklesen des Fensterinhaltes aus dem

Bildspeicher stellt dann gewisse Probleme für den Bildvergleich, wenn das entsprechende Fenster ganz oder teilweise überdeckt ist. In diesem Fall kann der Bildvergleich nur für die sichtbaren Ausschnitte durchgeführt werden.

Im Hinblick auf die praktische Ausführung des Verfahrens zur Gewährleistung der logischen Zwei-kanaligkeit auf einem Bedien- und Anzeigesystem ohne diversitäre Hard- und Software kann noch bemerkt werden, dass die Informationen über die beiden logischen Kanäle auf einem Anzeigesystem un-terschiedich dargestellt werden können, z.B. über einen logischen Kanal grafisch und über den zweiten logischen Kanal in Textform, wobei der Bedie-ner Unterschiede zwischen der Anzeige der Informationen und dem tatsächlichen Prozesszustand durch den Vergleich der über zwei logische Kanäle angezeigten Informationen feststellen und nach entsprechender Prüfung dieser Unterschiede durch Bedienungshandlungen «quittieren» kann. Die Datenverarbeitungsanlage kann aufgrund der eingeleiteten Bedienungshandlung feststellen, welchen Prozesszustand die für die Bedienungshandlung relevanten Prozessinformationen haben sollten, um auf dem zweiten logischen Kanal nur davon abweichende Prozessinformationen anzuzeigen, wobei es auch möglich ist, auf dem zweiten logischen Kanal lediglich die Prozessinformationen betreffend die eingeleitete Bedienungshandlung anzuzeigen.

Im Hinblick auf die praktische Ausführung des Verfahrens für Handlungen ohne Bedienung am Bediensystem werden die benötigten Informationen auf der Anzeige des einen logischen Kanals nicht spontan, sondern nur aufgrund der Änderung einer entsprechenden Prozessinformation im zweiten Prozessabbild geprüft.

Bei einem Prozessabbild, das die logische Abbildung von Zuständen der Anlage darstellt, können die Zustände sowohl Weichenstellungen, Signalbegriffe, Gleisbelegungen oder andere reelle Zustände als auch rein logische interne Zustände, wie Sperrzustände oder Fahrstrassen, sein.

Dabei kann die Kontrolle von Informationen auf der Anzeige durchgeführt werden durch gezieltes Rücklesen von Bildspeicherteilen oder generelles Rücklesen des ganzen Bildspeichers und anschliessenden Vergleich der Informationen mit einem zweiten Prozessabbild.

Anstelle des Rücklesens des Bildspeichers ist auch ein Rücklesen eines dem Bildspeicher vorgelagerten Speichers mit Vergleich und anschliessendem Kopieren des dem Bildspeicher vorgelagerten Speichers in den Bildspeicher möglich unter der Bedingung, dass das korrekte Kopieren des dem Bildspeicher vorgelagerten Speichers in den Bildspeicher auf der Anzeige kontrolliert werden kann.

Da bei vollgrafischen Anzeigen fehlerhafte Anzeigen von Informationen bestehend aus einer grösseren Anzahl von Bildpunkten, welche der Benutzer nicht als fehlerhaft erkennen kann, sehr unwahrscheinlich sind, ist für die Informationskontrolle beim Rücklesen einer Information nicht notwendig, sämtliche betroffenen Bildpunkte zu berücksichtigen, sondern es genügt eine systematisch oder zufällig gebildete Auswahl davon.

5

10

15

20

25

30

35

40

45

50

55

60

65

3

5

CH 683 953 A5

6

Aufgrund der verwendeten unterschiedlichen Funktionen, und zwar auch bei Verwendung von Standard-Hardware und Software ohne Anspruch auf signaltechnische Sicherheit, kann für die Siche-rungsmassnahmen bei den über die beiden Kanäle ausgeführten Operationen eine funktionale Soft-warediversität angenommen werden.

Claims

Patentansprüche

1. Verfahren zur Gewährleistung der signaltechnischen Sicherheit der Benutzeroberfläche einer Datenverarbeitungsanlage über zwei logische Kanäle bei aufgrund der angezeigten Informationen durchgeführten Bedienungshandlungen am Bediensystem oder anderen Handlungen ohne Benutzung des Bediensystems, für deren Auswirkungen eine signaltechnische Sicherung nicht in einer tieferen Ebene vollständig sichergestellt werden kann, dadurch gekennzeichnet, dass um die Anwendung einer nicht notwendigerweise signaltechnisch sicheren Anzeige und den Einsatz von Standard-Hardware und -Software für die Anzeige ohne Anspruch auf signaltechnische Sicherheit zu ermöglichen, neben einem Prozessabbild (B) für die Anzeige ein zweites Prozessabbild (Z) gebraucht wird, derart, dass bei Bedienungen am Bediensystem (Fig. 1) das zweite Prozessabbild (Z) zur Kontrolle, ob der Befehl aufgrund des zweiten Prozessabbildes zulässig ist, verwendet wird, und dass bei Handlungen ohne Benutzung des Bediensystems (Fig. 2) das zweite Prozessabbild verwendet wird, um die aus dem Bildspeicher zurückgelesenen Informationen in vorbestimmten Zeitpunkten zu verifizieren.

2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass die vorbestimmten Zeitpunkte zyklisch oder nach einer Änderung der entsprechenden Prozessinformationen im Prozessabbild des zweiten Rechners gewählt werden.

3. Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass die Informationen zur Gewährleistung der logischen Zweikanaligkeit auf einem Bedien* und Anzeigesystem ohne diversitäre Hard-und Software über die beiden logischen Kanäle auf einem Anzeigesystem unterschiedlich dargestellt werden.

4. Verfahren nach einem der Ansprüche 1 oder 3, dadurch gekennzeichnet, dass der Bediener Unterschiede zwischen der Anzeige der Informationen und dem tatsächlichen Prozesszustand durch den Vergleich der über zwei logische Kanäle angezeigten Informationen feststellt und nach entsprechender Prüfung dieser Unterschiede durch Bedienungshandlungen quittiert.

5. Verfahren nach einem der Ansprüche 1, 3 oder 4, dadurch gekennzeichnet, dass auf dem zweiten logischen Kanal lediglich die Prozessinformationen betreffend eine eingeleitete Bedienungshandlung angezeigt werden.

6. Verfahren nach einem der Ansprüche 1 oder 3 bis 5, dadurch gekennzeichnet, dass die Datenverarbeitungsanlage aufgrund der eingeleiteten Bedienungshandlung feststellt, welchen Prozesszustand die für die Bedienungshandlung relevanten Prozessinformationen haben sollten, und dass auf den zweiten logischen Kanal nur davon abweichende Prozessinformationen angezeigt werden.

7. Verfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass die für Handlungen ohne Bedienung am Bediensystem benötigten Informationen auf der Anzeige des einen logischen Kanals dann gezielt kontrolliert werden, wenn die entsprechende Prozessinformation im zweiten Prozessabbild ändert (Fig. 2).

8. Verfahren nach einem der Ansprüche 1, 2 oder 7, dadurch gekennzeichnet, dass die Kontrolle von Informationen auf der Anzeige durch gezieltes Rücklesen von Bildspeicherteilen oder generelles Rücklesen des ganzen Bildspeichers und anschliessenden Vergleich der Informationen mit einem zweiten Prozessabbild oder durch Rücklesen eines dem Bildspeicher vorgelagerten Speichers mit Vergleich und anschliessendem Kopieren des dem Bildspeicher vorgelagerten Speichers in den Bildspeicher durchgeführt wird, wobei ein korrektes Kopieren des dem Bildspeicher vorgelagerten Speichers in den Bildspeicher auf der Anzeige kontrollierbar ist.

9. Verfahren nach einem der Ansprüche 1, 2, 7 oder 8, dadurch gekennzeichnet, dass für die Informationskontrolle beim Rücklesen einer Information nur eine systematisch oder zufällig gebildete Auswahl der betroffenen Bildpunkte verwendet wird, weil bei vollgrafischen Anzeigen Informationen aus einer grossen Anzahl von Bildpunkten abgeleitet werden, so dass die verfälschte Anzeige einer Information, welche der Benutzer nicht als fehlerhaft erkennen kann, sehr unwahrscheinlich ist.

10. Verfahren nach einem der Ansprüche 1, 2, 7, 8 oder 9, dadurch gekennzeichnet, dass für die Si-cherungsmassnahmen bei den über die beiden Kanäle ausgeführten Operationen eine funktionale Softwarediversität aufgrund der verwendeten unterschiedlichen Funktionen angenommen wird, und zwar auch bei Verwendung von Standard-Hardware und -Software ohne Anspruch auf signaltechnische Sicherheit.

5

10

15

20

25

30

35

40

45

50

55

60

65

4