CN1130632C - 防止将非实际数据电报存入计算机存储器的方法和装置 - Google Patents

Abstract

本发明涉及一种防止将来自数据预处理装置的非实际数据电报存入计算机存储器的方法，其特征在于，在测试运行期间在数据预处理装置(DVV)的读/写存储器(S1至S3)内写入一个与所述存储器容量相适当的填充数据最小值，然后重新读取所存储的数据，并与相对应的原始填充数据进行内容的一致性比较。本发明还涉及一种防止将来自数据预处理装置的非实际数据电报存入计算机存储器的装置。

Description

防止将非实际 数据电报存入计算机存储 器的方法和装置

技术领域

本发明涉及一种防止将来自数据预处理装置的非实际数据电报存入计算机存储器的方法，以及实现这种方法的装置。

背景技术

为控制与安全相关的过程，例如火车信号技术，要使用具有多重信号技术安全性能的计算机。该计算机具有多通道结构，而且相同的处理过程按照相同的或不同的程序独立进行。通过连续地比较内部计算机总线上的数据和地址，和/或通过结果比较可早期检测出处理结果因干扰造成的不一致。所述安全信号技术计算机可设计成失效(自动)保护，或者是一种普通的商用机，这种计算机系统的失效保护特性是通过特殊的安全措施保证的。

为了减轻这种安全信号技术计算机的负荷，来自外部的处理数据有时要在一个数据预处理装置中进行加工。所述数据预处理装置检测诸如进入其中的数据是否满足特定的处理条件，例如关于电报结构的条件，关于电报内容中的应用数据和检测数据，以及所传输数据的可靠性。所述数据预处理装置通常不进行失效保护。该装置虽然不能将初始输入的正确数据转换成其内容含义上的任意错误数据电报，而不会让安全计算机无法识别出这种错误的数据电报；但是不能排除的是，所述数据预处理装置例如通过其可变更存储器的有错误的地址指令向安全计算机提供数据电报，该数据电报与实际过程状态不符，而表示一个旧的过程状态，该状态在一个较早的时刻已经提供给安全计算机。这种实质上不再准确的数据电报通常不会被安全计算机作为错误信号识别，因为它已经满足了所处理的电报格式以及所确定的检测条件。对该问题的补救措施仅仅是附带一个时间印章或者按照一个预定的算法生成附属于所传输电报的而且能被安全计算机检测的附加识别符；所传输的应用数据的安全附件然后经所述时间印章或附加识别符构成。这种附加识别符的传输可用于评价数据电报的准确性，但是会因数据量乃至数据传输时间的增加，以不利的方式影响过程控制安全计算机的联机性能。

发明内容

本发明的任务是，提供一种防止将来自数据预处理装置的非实际数据电报存入计算机存储器的方法，以及提供应用该方法的装置，利用该方法和装置无需向电报内附加时间印章和附加识别符，就能保证安全计算机将非实际电报排除在处理过程之外。

本发明所述任务的解决方案是，在测试运行期间在数据预处理装置的读/写存储器内写入一个与所述存储器容量相适应的填充数据最小值，然后重新读取所存储的数据，并与相对应的原始填充数据进行内容的一致性比较。其特点还在于，数据预处理装置根据一台最好是安全计算机或一台自动检测装置的指令，为执行测试运行而对其读/写存储器进行先进先出(FIFO)或后进先出(LIFO)方式的结构转换，所述计算机或自动检测装置的存储器内顺序写入一个与所述存储器容量相适应的填充数据，然后所述计算机或自动检测装置重新读取存储器，并且计算机将所读取的数据与原始填充数据进行内容上的一致性比较。所述防止将来自数据预处理装置的非实际数据电报存入计算机存储器的装置的特征还包括，数据预处理装置根据一台最好是安全计算机或一台自动检测装置执行测试运行的指令，而对其读/写存储器进行移位寄存器方式的结构转换，所述计算机或自动检测装置在与其连接的存储器内顺序写入一个与所述存储器容量相适应的填充数据，然后所述计算机或自动检测装置内顺序写入另一个和上述填充数据不同的、但与所述存储器容量相适应的数据，并且重新读取顺序出现在所述移位寄存器输出端的数据，并且计算机将所读取的数据与原始填充数据进行内容上的一致性比较。通过该方案，事件控制和/或在预定时间间隔内，所述数据预处理装置的可修改读取存储器被写入填充数据，其数据量可保证，以前所存储的电报被覆盖或从存储器中清除；所以在所述数据预处理装置中不再有满足过程数据预定描述条件的数据电报，该电报也不会传输给安全计算机并在该机内导致错误的解释。通过填充数据的复读可保证，实际上所有可能留在所述数据预处理装置内的数据被覆盖或者从所述数据预处理装置的存储器中被消除。

本发明所述方法和装置的有利方案和进一步改进体现在以下特征中：

第1方案：在测试运行期间数据预处理装置的功能被中断，在此时间内在数据预处理装置的读/写存储器和所述填充数据之间产生一个链接，以实现该数据的串行写入和串行读取。

第2方案：所述填充数据被描述成一种格式，它明显区别于待传输数据以及数据预处理装置本身在该状态下所能产生的数据。

第3方案：所述填充数据采用不同素数的字符串描述。

第4方案：所述填充数据采用不同数字的字符串描述，所述数字属于一个在所述数据预处理装置正常运行中不使用的数字系统。

第5方案：接受测试运行的条件是，所有按规则传输的实际数据已传输给安全计算机。

第6方案：所述测试运行在实际数据进入数据预处理装置时中断。

第7方案：所述实际数据的进入将由数据预处理装置向安全计算机显示出来。

第8方案：在数据已满的情况下，数据预处理装置产生一条含义为“存储器已满”的记录，并且每条不合时宜地产生的这种记录作为数据预处理装置的错误状态归类。

第9方案：在测试运行之外执行一个排除表，表中写入所有从数据预处理装置中接收的数据，其形式为数据电报，每条传输的数据电报和已经存储的电报之间进行排除性检查，并且在成功地完成了一个接续的测试运行后，清除所有在此之前存储在排除表中的电报。

第10方案：在所述排除表中，不写入完整的数据电报而只写入从中导出的较简单的数据，并且将该数据与后面进入的数据电报的对应修改数据进行排除性比较。

第11方案：在排除表中存储的数据通过数据电报的数据的检测总和构成。

第12方案：所述数据预处理装置向计算机和/或自动检测装置传输一个识别符，该识别符告知计算机，在数据预处理装置内不再存有按规定传输的实际数据，并且该识别符使计算机或自动检测装置进入测试运行状态，在该状态下数据预处理装置进行功能检测。

第13方案：所述数据预处理装置通过读取识别其最后一个存储位而识别出测试运行的终点，并且将其存储器重新转换到正常状态。

第14方案：所述计算机或自动检测装置向数据预处理装置告知测试运行已经成功地结束，此时数据预处理装置将其读/写存储器重新转换到正常状态。

第15方案：所述数据预处理装置是一个微控制器。

第16方案：所述读/写存储器不仅包含工作存储器，也包含微控制器的CPU寄存器。

第17方案：所述计算机在测试运行之外执行一个内部或外部的排除表，表中写入所有从数据预处理装置中接收的数据电报，计算机对每条传输的数据电报和已经存储在排除表中的电报进行排除性检查，并且在成功地结束了一个新的测试运行后，清除所有存储在排除表中的电报。

第18方案：设置一个外部排除表管理器，它在测试运行之外执行一个排除表，该管理器在该表中写入所有从数据预处理装置进入计算机的数据电报，并且该管理器将这些数据电报中的每一条和已经存储在排除表中的电报进行排除性检查，而且该管理器可根据计算机或自动检测装置的要求将其执行的排除表删除。

第19方案：所述计算机安装在一种车辆中，该车辆的设计可经数据预处理装置接收轨道传输装置发出的数据电报，并且至少在行驶方向反转时，使数据预处理装置执行一次检测，从而在成功地完成了测试运行后，将该计算机或排除表管理器所执行的排除表删除。

按照第1方案，在测试运行期间，为覆盖和/或取消所述数据预处理装置的读写存储器中存储的旧数据电报，读写存储器被转换到一个所谓的填充模式，在该模式下，串行写入填充数据，然后串行读取所写入的数据。从而能达到以简单的方式按照要求对所有可修改存储器进行操作。

第2方案的优点是，适当设计填充数据的格式，使其与所述数据预处理装置本身所生成的数据不同；否则的话将存在危险，使所述数据预处理装置形成干扰数据，该干扰数据对应于安全计算机所接收的填充数据，以致于实际上无法识别，不能对所存储的电报进行覆盖或清除。

第3和第4方案给出了两种实现填充数据的表达的方便形式；所述填充数据的表达对安全计算机而言，能够可靠地识别出实用数据和填充数据的区别。

按照第5方案，进入测试运行的条件是，不再有实际数据传输给安全计算机。该数据通过填充数据被覆盖或从所述数据预处理装置的可修改存储器中清除，所以失去了对处理过程的控制。

第6和第7方案涉及实际数据在测试运行中的进入；它将导致实际测试运行的中断，从而迅速进入对新数据的处理。

为了对所述数据预处理装置的可修改存储器的运行状态和运行方式进行检测，按照第8方案，所述数据预处理装置的读写存储器内填充数据的整个填充过程都受到监测，也就是说确认该存储器是否全部写入了与该存储器的容量相对应的填充数据量，或者已经在先前写入，或者“存储器已满”的状态是否没有达到要求。这样安全计算机方面有关所述数据预处理装置可能出现的错误的信号表示与填充数据的复读无关。

因为由于时间的原因，每次将电报传输给安全计算机后，所述数据预处理装置的读写存储器都要写入填充数据，而且安全计算机要对所存储的数据进行复读，所以第9方案的优点在于，在测试运行之外，执行一个排除表，在表内存储自上次测试结束以来安全计算机所接收的所有电报，这样便能检测以前进入的电报是否被排除。根据存储器的大小，即根据排除表所能支配的存储器容量以及电报的出现次数，在特定的时间间隔内，安全计算机能够可靠地识别出重复的电报，并且将其作用关闭。如果能够成功地结束一项填充测试，则该结果便用于清除所述排除表。

第10方案的特征是，在所述排除表中，为替代完整的数据电报而写入从中导出的数据，按照第11方案该数据通过数据电报的数据的检测总和构成。通过该措施可显著减少排除表所需的存储器开销，其效果是加大了测试运行之间的时间间隔。

在前述采用两种装置实施本发明所述方法时，在其中一实施例中，数据预处理装置的读/写存储器采用先进先出(FIFO)或后进先出(LIFO)组织方式，而在另一实施例中，相应的存储器采用移位寄存器组织方式。在两种情形中，均可在存储器内顺序写入填充数据，然后为检测目的重新顺序读取该数据；当然读取程序的过程的区别在于，在测试运行期间，读写存储器的结构。测试运行功能或者优先采用安全计算机的补充方式，或者在安全计算机之外设置一个自动检测机，该检测机负责该任务或至少负责该任务的一部分。重要的是，测试运行的功能在所述数据预处理装置之外进行，而且尽可能显示后者的错误状态。

根据第12方案，所述数据预处理装置最好向安全计算机发出信息，表明当前不存在应当传输的常规数据。采用这种方式可使安全计算机得知，在所述数据预处理装置进入测试运行状态时，并没有需要传输的实际数据电报应当清除。

按照第13方案，随着对所述数据预处理装置最后一个存储器地址的读取，所述数据预处理装置的存储器重新转换成正常状态，此时它使用所述数据预处理装置的功能；该方案并不需要来自外部的附加启动信息。

按照第14方案，最好是安全计算机或自动检测机在测试运行成功结束后，向所述数据预处理装置发出信号；所述数据预处理装置可以据此将存储器重新转换到存储器的正常状态，其前提是，该装置未发现其存储地址本身已经被完全读取。

按照第15方案所述的优选实施例，所述数据预处理装置可以是一个微控制器，对于这种程序控制装置，特别重要的是应能执行确认错误状态的功能控制，因为该装置完全有可能存储旧的非实际数据电报，然后可能重新输出。

根据第16方案，所述数据预处理装置采用微控制器的优点是，CPU寄存器也可以写入和读取填充数据，从而识别出那里可能出现的错误功能，并且将其删除。

第17方案的特征包括了第9方案所述方法的技术实施方案，其特征是在测试运行之外通过一个排除表识别所述数据预处理装置的错误功能。

根据第18方案，为了减轻安全计算机的负荷，排除表的管理功能可以全部或部分地从安全计算机划出。在安全计算机完全卸载的情况下，排除表管理装置始终同时接收从所述数据预处理装置向安全计算机输出的数据电报，并且向安全计算机显示一条电报重复信息。安全计算机或自动检测机显示排除表管理，并且在填充测试完成后将排除表删除。

在测试运行之外由安全计算机或自动检测机执行的排除表情况中，应当确认排除表内所存储的电报在常规电报进入前已经被清除，而且常规电报和已经存储的电报之间从运行角度看是一致的。这种情况例如会在铁路运行中出现，但一列火车通过一个线路装置并且从中得到数据，然后变换了火车的行驶方向。火车然后再次通过线路信号装置，并且再次接收其已经得到的数据，但是该数据一直是有效的，因为它例如是描述了特定的地点位置。在这种情况下，第19方案是，一旦列车变换了其行驶方向，则清除列车所执行过的排除表；这种情况例如始终发生在列车从一个端点火车站发车的时候。火车停在一个端点火车站时，有足够的时间使所述数据预处理装置的存储器写入填充数据，该数据然后为测试目的重新读取，并且清除排除表。因为有权删除排除表的条件只是成功地结束了一次填充测试，所以事先应当执行最后一次测试。

附图说明

下面对照附图所示的实施例对本发明作进一步的说明，附图中：

图1表示一个数据预处理装置的方案和结构，它位于测试运行之外的程序外围设备和控制计算机之间；

图2表示同样的数据预处理装置的方案和结构，它处在测试运行中间；图中相一致的部分均采用相同的标号表示。

具体实施方式

附图中示意性地表示出一个任意的过程P，它怎样受到计算机R1、R2的控制和监测。受控制的过程例如是一个铁路系统，它有一些固定的装置如道岔、信号和铁路道口，以及其位置可移动的部分，例如火车。所述实施例中的计算机R1、R2最好是一种双通道安全计算机。有两个通道监视程序进程，并相互独立地进行数据处理。两个通道连续进行一致性比较，并共同作用于所控制的过程。在所述过程和所述安全计算机之间设置了至少一台数据预处理装置DVV，它用于准备过程数据，并将数据以准备就绪的形式提供给安全计算机。所述数据预处理装置DVV是以微控制器方式构成的，具有一个计算模块R，该模块包括一个CPU，至少一个程序存储器和若干个可修改的读写存储器S1至S3。该存储器中的个别存储器是作为工作存储器构成的，其他作为CPU寄存器使用。所述数据预处理装置按照其执行程序将输入其中的过程数据处理成修改过的数据，然后将该数据或者主动输出给安全计算机，或者根据后者的要求传输给安全计算机。所述数据以电报方式传输，其中该数据包括公知的应用数据和由这些应用数据构成的检测数据，所述检测数据可使安全计算机能够可靠识别发生在所述过程和安全计算机之间的路径上的传输错误。

数据传输给安全计算机后，存在于所述数据预处理装置的工作存储器中的这些数据或者被清除，或者所述数据预处理装置的CPU察觉这些数据已经被读取，从而在将来将其作为失效处理。如果所述数据预处理装置出现了故障，则可以想象，已经由安全计算机读取的数据立刻重新写入工作存储器，或者CPU不能察觉已经读取的数据应当作为失效处理。其后果是，所述数据预处理装置的工作存储器内存储的非实际数据在以后的某个时刻可能重新传输给安全计算机(数据重复)。安全计算机仅检测传输来的数据是否符合预定的条件；因为这些条件在老的数据上面也得到满足。所以安全计算机将接受那些老数据，尽管这些数据代表的是非实际过程状态。

本发明的方案是，在一个特定的处理过程中，即所谓的测试运行中，将所有可能存在于所述数据预处理装置内的老数据从该装置中清除。为实现此目的，所述安全计算机R1、R2从所述数据预处理装置获得一个信息，例如在传输了一条数据电报后得到一个信息，该信息的内容是，根据所述数据预处理装置的识别，没有其他的数据需要传输。该功能是以下过程的前提条件，即所述安全计算机不会损失可能存在于所述数据预处理装置内的实际数据电报，而是将所述数据预处理装置读写存储器中所存储的所有数据进行清除。所述过程是否在各个情况下都能实际作用于所述数据预处理装置，并且导致被认为是错误的信息被覆盖或无效，倒并不一定要表示出来，因为按照本发明的一种需要进一步说明的最佳实施例，这种测试运行并不一定需要每次都向安全计算机传输数据电报，而是可能仅需要以较大的时间间隔传输数据。

在以下说明中假设当安全计算机被所述数据预处理装置通知进入本发明所述的测试运行状态，目前没有向安全计算机传输时。为此，安全计算机向所述数据预处理装置的微控制器发出一个信号或识别符，通知后者准备进入测试运行状态。作为其后果，所述数据预处理装置的微控制器对其可修改存储器(读写存储器)进行结构变换，构成一个移位寄存器方式或者一个FIFO或LIFO方式，使其构成串联形式。所述可修改存储器包括微控制器的工作存储器，而且最好也包括微控制器的CPU寄存器。所述工作存储器的串联布置最好通过微控制器CPU的程序控制实现。在其之后开始的测试运行期间，所述数据预处理装置停止执行其本身的功能。

为进入测试运行，安全计算机向所述数据预处理装置的可修改存储器内写入填充数据。所述填充数据的数量由所述数据预处理装置存储器的容量决定。当测试运行的写入阶段结束时，所有在测试运行开始时存在于所述数据预处理装置读写存储器中的、以及可能尚存储的数据或者从存储器内删除，或者被填充数据所覆盖。这样便可保证，所述数据预处理装置的读写存储器内不再有老数据；因为在此时测试运行中清除了可能存储的老数据，所述数据处理装置由于电报重复的原因而可能出现的错误状态因而被排除。

以上情况存在的条件是，确认向所述数据预处理装置的可修改存储器写入数据实际上已经按照安全计算机所要求的那样发生。当所述数据预处理装置出现错误状态时，必须预料到的是，通过安全计算机向所述数据预处理装置的读写存储器内写入数据的过程不一定如约发生；这里也必须估计到可能发生的错误状态，例如特定的存储位置在写入过程中被跳过，或者某些存储位置被多次写入数据。出于以上理由依照本发明所述方案，在测试运行期间，将填充数据读入所述数据预处理装置工作存储器，该填充数据在接在写入阶段后的读取阶段内重新被读取，并且将所读取的数据与安全计算机所产生的原始填充数据进行比较。只有当该比较显示所述数据预定处理装置的读写存储器存储的数据和安全计算机产生的填充数据一致时，而且所有读写存储器均通过了检测时，安全计算机才能认定所述存储器内已经没有可随时向其传输的老数据。

所述填充数据是，可以采用那些其顺序与由所述数据预处理装置的CPU自行产生的数据不同的数据。这些数据例如可以通过不同的素数表示，也可以采用另一种技术投入比较小的方案，即由不同的数字组成数字串，该数字串是所述数据预处理装置在常规运行中所不使用的数字体系，例如7或11进制的数字体系。通过使用这种安全计算机可明确地重新识别出来的填充数据，所述数据预处理装置在测试运行期间便不会基于错误功能向安全计算机传输数据，而使安全计算机误认为是所等待的正常填充数据。这样一种情况可能出现的场合是，安全计算机将可能存储在所述数据预处理装置的可修改存储器内的数据通过时序脉冲的输入而从该存储器中清出。由于所述数据预处理装置可能出现的故障现象，向安全计算机传输空数据，而不是为填充其存储器而实际写入的空数据，则此时安全计算机将识别不出所述数据预处理装置的故障情况。

为了提早获得所述数据预处理装置的错误功能信息，一种合适的方案是，所述数据预处理装置产生一个存储器已满的信息，并且将该信息传输给安全计算机。所述数据预处理装置在读写存储器的存储量按照填充数据的相应数量写入之前就发出“存储器已满”的信号，所以所述数据预处理装置的错误功能对于安全计算机而言无需读取填充数据即可完全覆盖。如果所述数据预处理装置出现了另一种类型的错误功能，没有发出本来所期望的存储器已满的信号，也还是能够覆盖所述数据预处理装置的错误功能。为了节约时间，可放弃读取填充数据。

为了提前得到测试运行结束的信息，一个适当的方案是，所述数据预处理装置产生一个存储器已空的信号。随着第一个填充数据的写入而被关闭的存储器已空信号在读取完最后一个填充数据后重新被激活，所以所述数据预处理装置能自行识别出测试运行已经结束，而且所述数据预处理装置随之将其读写存储器重新转换成正常状态，使该存储器工作在此状态下，从而使作为数据预处理装置使用的微控制器能够重新起到预处理装置的功能。但是安全计算机也可以专门测试运行已成功结束通知所述数据预处理装置，从而要求其存储器重新变换结构，并且继续进行赋予它的任务处理工作。

为防止已经由安全计算机所接受的数据电报在所述数据预处理装置内发生不希望的停留，以便实现最大安全性，应采取的方案是，每次读取完一个应接受的正常数据电报后，将可能停留的非正常数据电报在安全计算机内通过可回读的填充数据覆盖。但是该过程需要耗费大量的时间，所以大多无法实行。一种较好的方法是，安全计算机在测试运行中，在不接收数据电报的时间内处于静止状态和/或所述数据预处理装置在预定的最大时间间隔内进行测试运行。为了保证在此时间内没有数据电报多次进入安全计算机，根据一种特别有利的方案，安全计算机在测试运行的时间之外执行一个所谓的排除表，表中写入所有由所述数据预处理装置向其传输的电报。每条新传输的数据电报将对照所有已经存在表中的电报进行排除性检测。如果在实际写入和已经存储在表中的电报之间确认了一致的情况，则实际读入的电报将被赋予一条错误指令标记，因为这显然涉及到一条较老的、由所述数据预处理装置提供的错误电报。只有那些成功地通过了排除性检测的电报才能被安全计算机所接受并继续处理。在安全计算机的排除表中所列举的数据电报被删除的条件是，安全计算机成功地完成了所述数据预处理装置的一个新的测试运行。

由于在测试运行之外进入的数据电报要进行排除性检测，所以例如在安全计算机内的排除表必须被清除，必要时建立一个新的排除表，如果预计安全计算机从所述数据预处理装置得到的是正常的，即不是基于所述数据预处理装置的错误状态而产生的一致性数据电报。这种情况在铁路工程中出现的条件例如是，如果在所述数据预处理装置写入的数据电报涉及到一种属于旁边经过的列车上的线路信息传输装置而且该列车在经过传输装置时转换了其行驶方向。这种情况大多出现在环形火车站中。此时列车例如经过设置在车站入口前不远的轨道信号机，从而传输一个地点标记，所传输的信息首先是一个方向，然后是另一个方向。为了在行驶方向变换后能够在列车上使用轨道信号机的信息，必须将列车驶入车站时读入轨道信号机的数据在驶出前，具体讲在轨道信号机重新被列车驶过之前，在排除表中删除。进行该过程的最简单的方法是，此时设在相应列车上的安全计算机当列车停在车站内时进行所述数据预处理装置的测试运行，并且当成功地结束测试后将其执行的排除表删除。

为了在存储器容量既定的情况下对在排除表中尽可能存储更多的数据，并且为排除性检测保留出空间，一种有利的方案是，将不是原始数据电报，而是从其中导出的相对较简单的数据，例如数据电报的检测数据加以存储，然后再与实际电报相应的修改数据进行排除性检测。

根据本发明所述的经过详细说明的实施例，所述安全计算机不仅提供填充数据，而且为比较的目的复读该填充数据，并在测试运行之外执行排除表，从而覆盖电报的重复信息。其优点是，所述安全计算机至少减轻了这些测试或检测功能的部分任务。所述填充数据可由外部提供，并且在安全计算机的外部或内部与所发出的填充数据进行比较。在附图中，为表示选择性地输出填充数据以及选择性地比较所述数据预处理装置的读写存储器内写入的填充数据，用虚线表示出一个自动检测机A。至于测试功能是否在安全计算机内执行或者在外部执行，从功能上看是等效的，重要的是，该功能不在所述数据预处理装置中实现，因为其功能状态可能会出现故障。如果自动检测机产生了信号并将填充数据传输给所述数据预处理装置，而且所述安全计算机实现了复读数据与输出数据的比较或者相反的比较，则执行数据比较的装置也读取其他各个装置输出的填充数据，以便进行后面的比较，其条件是，该装置事先没有得到所输出的填充数据。所述自动检测机不仅可用于输出填充数据，而且也用于复读数据，以及用于将复读的填充数据与原始填充数据进行比较。

和测试运行的进行方式类似的是排除表的执行。其中一个外部的排除表管理器ALV设置在安全计算机的外部；一个可做为替代的或附加的排除表管理器读取从所述数据预处理装置传输给安全计算机的数据电报，并且建立起所述排除表。该装置将实际数据电报与表中已有的电报进行比较，然后通知安全计算机是否发现有重复的电报。所述安全计算机向排除表管理器发出指令，列出排除表，对实现电报进行排除性检测，而且必要时发出指令将某个表删除。另一种选择方案是，比较过程在安全计算机内进行，而排除表在排除表管理器中执行。

Claims (33)

1.一种防止将来自数据预处理装置的非实际数据电报存入计算机存储器的方法，其特征是，在测试运行期间由一计算机部件(R)在数据预处理装置(DVV)的读/写存储器(S1至S3)内写入一个与所述存储器容量相适应的填充数据最小值，然后由计算机(R1，R2)或一自动检测装置(A)重新读取所存储的数据，并由计算机(R1，R2)将其与相对应的原始填充数据进行内容的一致性比较，其中，所述填充数据被描述成一种格式，它明显区别于待传输数据以及数据预处理装置本身在该状态下所能产生的数据。

2.如权利要求1所述的方法，其特征是，在测试运行期间数据预处理装置的功能被中断，在此时间内在数据预处理装置的读/写存储器和所述填充数据之间产生一个链接，以实现该数据的串行写入和串行读取。

3.如权利要求1所述的方法，其特征是，所述填充数据采用不同素数的字符串描述。

4.如权利要求1所述的方法，其特征是，所述填充数据采用不同数字的字符串描述，所述数字属于一个在所述数据预处理装置正常运行中不使用的数字系统。

5.如权利要求1至4中任一项所述的方法，其特征是，接受测试运行的条件是所有按规则传输的实际数据已传输给安全计算机。

6.如权利要求5所述的方法，其特征是，所述测试运行在实际数据进入数据预处理装置时中断。

7.如权利要求6所述的方法，其特征是，所述实际数据的进入将由数据预处理装置向安全计算机显示出来。

8.如权利要求1至4中任一项所述的方法，其特征是，在存储器的确已满的情况下，数据预处理装置产生一条含义为“存储器已满”的记录，并且将每条不合时宜地出现的这种记录作为数据预处理装置的错误状态归类。

9.如权利要求1至4中任一项所述的方法，其特征是，在测试运行之外执行一个排除表，表中写入所有从数据预处理装置中接收的数据，其形式为数据电报，每条传输的数据电报和已经存储的电报之间进行排除性检查，并且在成功地完成了一个接续的测试运行后，清除所有在此之前存储在排除表中的电报。

10.如权利要求9所述的方法，其特征是，在所述排除表中，不写入完整的数据电报而只写入从中导出的较简单的数据，并且将该数据与后面进入的数据电报的对应修改数据进行排除性比较。

11.如权利要求10所述的方法，其特征是，在排除表中存储的数据通过数据电报的数据的检测总和构成。

12.一种防止将来自数据预处理装置的非实际数据电报存入计算机存储器的装置，其特征是，该装置包括计算机(R1，R2)、自动检测装置(A)、以及带有读/写存储器(S1至S3)的数据预处理装置(DVV)，该数据预处理装置(DVV)根据一台计算机(R1、R2)或一台自动检测装置(A)的指令，为执行测试运行而对其读/写存储器(S1，S2，S3)进行先进先出或后进先出方式的结构转换，所述计算机或自动检测装置的存储器内顺序写入一个与所述存储器容量相适应的填充数据，然后所述计算机或自动检测装置重新读取存储器，并且计算机将所读取的数据与原始填充数据进行内容上的一致性比较，其中，所述填充数据被描述成一种格式，它明显区别于待传输数据以及数据预处理装置本身在该状态下所能产生的数据。

13.如权利要求12所述的装置，其特征是，所述计算机(R1、R2)是安全计算机。

14.如权利要求12所述的装置，其特征是，所述数据预处理装置向计算机和/或自动检测装置传输一个识别符，该识别符告知计算机，在数据预处理装置内不再存有按规定传输的实际数据，并且该识别符使计算机或自动检测装置进入测试运行状态，在该状态下数据预处理装置进行功能检测。

15.如权利要求12所述的装置，其特征是，所述数据预处理装置通过读取识别其最后一个存储位而识别出测试运行的终点，并且将其存储器重新转换到正常状态。

16.如权利要求12所述的装置，其特征是，所述计算机或自动检测装置向数据预处理装置告知测试运行已经成功地结束，此时数据预处理装置将其读/写存储器重新转换到正常状态。

17.如权利要求12至16中任一项所述的装置，其特征是，所述数据预处理装置(DVV)是一个微控制器。

18.如权利要求17所述的装置，其特征是，所述读/写存储器(S1，S2，S3)包含工作存储器和微控制器的CPU寄存器。

19.如权利要求12至16中任一项所述的装置，其特征是，所述计算机在测试运行之外执行一个内部或外部的排除表，表中写入所有从数据预处理装置中接收的数据电报，计算机对每条传输的数据电报和已经存储在排除表中的电报进行排除性检查，并且在成功地结束了一个新的测试运行后，清除所有存储在排除表中的电报。

20.如权利要求12至16中任一项所述的装置，其特征是，设置一个外部排除表管理器(ALV)，它在测试运行之外执行一个排除表，该管理器在该表中写入所有从数据预处理装置进入计算机的数据电报，并且该管理器将这些数据电报中的每一条和已经存储在排除表中的电报进行排除性检查，而且该管理器可根据计算机或自动检测装置的要求将其执行的排除表删除。

21.如权利要求12至16中任一项所述的装置，其特征是，所述计算机安装在一种车辆上，该车辆的设计可经数据预处理装置接收轨道传输装置发出的数据电报，从而在成功地完成了测试运行后，将该计算机或排除表管理器所执行的排除表删除。

22.如权利要求21所述的装置，其特征是，所述车辆的设计使得在行驶方向反转时，使数据预处理装置执行一次检测。

23.一种防止将来自数据预处理装置的非实际数据电报存入计算机存储器的装置，其特征是，该装置包括计算机(R1，R2)、自动检测装置(A)、以及带有读/写存储器(S1至S3)的数据预处理装置(DVV)，该数据预处理装置(DVV)根据一台计算机(R1、R2)或一台自动检测装置(A)的指令，为执行测试运行而对其读/写存储器(S1，S2，S3)进行移位寄存器方式的结构转换，所述计算机或自动检测装置的存储器内顺序写入一个与所述存储器容量相适应的填充数据，然后所述计算机或自动检测装置内顺序写入另一个和上述填充数据不同的、但与所述存储器容量相适应的数据，并且重新读取顺序出现在所述移位寄存器输出端的数据，并且计算机将所读取的数据与原始填充数据进行内容上的一致性比较，其中，所述填充数据被描述成一种格式，它明显区别于待传输数据以及数据预处理装置本身在该状态下所能产生的数据。

24.如权利要求23所述的装置，其特征是，所述计算机(R1、R2)是安全计算机。

25.如权利要求23所述的装置，其特征是，所述数据预处理装置向计算机和/或自动检测装置传输一个识别符，该识别符告知计算机，在数据预处理装置内不再存有按规定传输的实际数据，并且该识别符使计算机或自动检测装置进入测试运行状态，在该状态下数据预处理装置进行功能检测。

26.如权利要求23所述的装置，其特征是，所述数据预处理装置通过读取识别其最后一个存储位而识别出测试运行的终点，并且将其存储器重新转换到正常状态。

27.如权利要求23所述的装置，其特征是，所述计算机或自动检测装置向数据预处理装置告知测试运行已经成功地结束，此时数据预处理装置将其读/写存储器重新转换到正常状态。

28.如权利要求23至27中任一项所述的装置，其特征是，所述数据预处理装置(DVV)是一个微控制器。

29.如权利要求28所述的装置，其特征是，所述读/写存储器(S1，S2，S3)包含工作存储器和微控制器的CPU寄存器。

30.如权利要求23至27中任一项所述的装置，其特征是，所述计算机在测试运行之外执行一个内部或外部的排除表，表中写入所有从数据预处理装置中接收的数据电报，计算机对每条传输的数据电报和已经存储在排除表中的电报进行排除性检查，并且在成功地结束了一个新的测试运行后，清除所有存储在排除表中的电报。

31.如权利要求23至27中任一项所述的装置，其特征是，设置一个外部排除表管理器(ALV)，它在测试运行之外执行一个排除表，该管理器在该表中写入所有从数据预处理装置进入计算机的数据电报，并且该管理器将这些数据电报中的每一条和已经存储在排除表中的电报进行排除性检查，而且该管理器可根据计算机或自动检测装置的要求将其执行的排除表删除。

32.如权利要求23至27中任一项所述的装置，其特征是，所述计算机安装在一种车辆上，该车辆的设计可经数据预处理装置接收轨道传输装置发出的数据电报，从而在成功地完成了测试运行后，将该计算机或排除表管理器所执行的排除表删除。

33.如权利要求32所述的装置，其特征是，所述车辆的设计使得在行驶方向反转时，使数据预处理装置执行一次检测。

Images