DE10145573C1 - Verfahren und Vorrichtung zur sicherheitsgerichteten Verarbeitung manuell eingegebener Zustandseinstellungen für die Sicherung elektronischer Stellwerke - Google Patents

Abstract

Um bei einem Verfahren sowie einer Vorrichtung zur sicherheitsgerichteten Verarbeitung manuell an einem Bedienplatz (B-P1) eingegebener Zustandseinstellungen für die Steuerung elektronischer Stellwerke (Stw) fehlerträchtige manuelle Bestätigungseingaben zu vermeiden und einen für Relaisstellwerke vorgesehenen einfachen Bedienplatz (B-P1) einsetzen zu können, ist vorgesehen, dass die Zustandseinstellungen in zwei unabhängigen Rechnerkanälen (Ka1, Ka2) verarbeitet, verglichen und überprüft werden, wobei das Stellwerk (Stw) die Überprüfungsergebnisse der beiden Rechnerkanäle (Ka1, Ka2) vergleicht und nur bei Gleichheit eine Umsetzung der Verarbeitungsergebnisse freigibt.

Description

Die Erfindung betrifft ein Verfahren zur sicherheitsgerichte­ ten Verarbeitung manuell an einem Bedienplatz eingegebener Zustandseinstellungen für die Steuerung von Stellwerken sowie eine diesbezügliche Vorrichtung gemäß dem Oberbegriff des Anspruchs 2.

Als sicherheitsgerichtet ist dabei eine Verarbeitung manuel­ ler Eingaben zu verstehen, bei der die Sicherheitsmechanismen des Stellwerks umgangen werden, die aber dennoch durch geeig­ nete Maßnahmen weitgehend fehlerfrei ablaufen soll. Solche Maßnahmen basieren bei einem bekannten Verfahren darauf, dass der Bediener die sicherungstechnische Verantwortung über­ nimmt. Dazu ist ein Bedienablauf mit mehrfacher Rückmeldung modifizierter Zustandseinstellungen vorgesehen, die der Be­ diener überprüft und bestätigt. Der Ablauf der sicherheitsge­ richteten Bedienung, auch KF-Bedienung (KF = Kommandofreigabe) genannt, ist folgender:

• - Der Bediener nimmt die gewünschte Zustandseinstellung durch manuelle Betätigung bestimmter Tasten des Bedien­ platzes vor. Als Bedienplatz für die Steuerung elektroni­ scher Stellwerke werden bisher PC-basierte Bedienplätze mit einem Monitor zur Darstellung des Meldezustandes ein­ gesetzt.
• - Die Zustandseinstellung wird an das Stellwerk übertragen und dort als sicherheitsgerichtete Bedienung erkannt.
• - Das Stellwerk retouriert das entsprechende Kommando an den Bedienplatz.
• - Der Bediener überprüft und bestätigt das rückübertragene Kommando durch Betätigung einer Taste.
• - Mit der Bestätigung wird eine Checksumme über das Melde­ bild an das Stellwerk übertragen.
• - Das Stellwerk retouriert wiederum eine Bestätigungsanfor­ derung an den Bedienplatz.
• - Mit der erneuten Bestätigung durch Tastendruck wird eine Checksumme über das Meldebild eines Referenz-PCs an das Stellwerk übertragen. Der Referenz-PC dient an sich der Aufbereitung des Meldebildes entsprechend dem Bedienplatz.
• - Das Stellwerk vergleicht die beiden Checksummen und reali­ siert die gewünschte Zustandseinstellung, wenn beide Checksummen gleich sind. In diesem Fall kann davon ausge­ gangen werden, dass die sicherheitsgerichtete Bedienung auf einem gesicherten Meldebild beruhte, d. h. eine Ver­ fälschung der Bedienung, die zu einer Gefährdung des Bahn­ verkehrs führen kann, ist weitgehend ausgeschlossen.

Nachteilig bei diesem bekannten Verfahren ist vor allem, dass der Bediener zur Prüfung der richtigen Kommandoübertragung in den Ablauf der sicherheitsgerichteten Zwischenschritte mit eingebunden ist. Außerdem ist die bekannte Verfahrensweise auf PC-basierte Bedienplätze beschränkt und für Bedienplätze, die an sich für die Bedienung von Relaisstellwerken vorgese­ hen sind, nicht geeignet.

Aus Lorsbach, W.: Testen von Stellwerken für den Nahverkehr in Signal + Draht 2001, Heft 6, Seiten 41 bis 43 und Galy, J.: Le poste d'aiguillage informatique (PA I) in Revue Generale des Chemins de Fer, September 2000, Seien 17 bis 24 sind rechnerbasierte Verfahren zur Überprüfung der korrekten Verarbeitung manuell eingegebener Zustandseinstellungen be­ kannt. Dabei ist eine mehrkanalige Aufbereitung der Zu­ standseinstellungen vorgesehen, wobei die Rechnerkanäle ihre Ausgangssignale auf Übereinstimmung überprüfen.

Der Erfindung liegt die Aufgabe zugrunde, ein gattungsgemäßes Verfahren anzugeben, das automatisch abläuft, d. h. bei dem manuelle Bestätigungen seitens der Bedienperson entfallen. Das Verfahren soll für Bedienplätze älterer Bauart geeignet sein. Dabei ist anzustreben, dass eine entsprechende Vorrich­ tung zur Durchführung des Verfahrens mit herkömmlichen Rech­ nerbaugruppen und Schnittstellen auskommt.

Erfindungsgemäß wird die Aufgabe durch die Merkmale des Anspruches 1 gelöst. Zwei im Wesentlichen iden­ tische und voneinander unabhängige Rechnerkanäle ersetzen da­ bei im Zusammenwirken mit Baugruppen des signaltechnisch si­ cheren elektronischen Stellwerks die Bestätigungsfunktionen der Bedienperson. Der "menschliche Faktor" ist damit weitge­ hend reduziert, so dass ein Zuwachs an Sicherheit entsteht. Eine Verfälschung der gewünschten Zustandseinstellung wird durch die angegebenen Verfahrensschritte sicher verhindert. Die beiden Rechnerkanäle überprüfen ihre einwandfreie Funkti­ on dabei quasi gegenseitig, wobei beide Rechnerkanäle ihr in­ dividuell generiertes Kommandotelegramm mit demselben Echote­ legramm vergleichen. Anhand des Sicherungsanhangs überprüfen die Rechnerkanäle die Unversehrtheit des Echotelegramms. In einem weiteren Verfahrensschritt wird von beiden Rechnerkanä­ len jeweils die Checksumme über alle relevanten Zustandsgrö­ ßen gebildet. Erst wenn das Stellwerk feststellt, dass die beiden Checksummen übereinstimmen, wird die Kommandoausfüh­ rung freigegeben.

Anspruch 2 betrifft eine Vorrichtung zur Durchführung des Verfahrens, die sich durch einfachen Aufbau auf der Basis handelsüblicher Rechnerbaugruppen auszeichnet. Nur der erste Rechnerkanal ist direkt mit dem Stellwerk verbunden, während der zweite Rechnerkanal retourierte Stellwerkstelegramme über den ersten Rechnerkanal erhält. Diese quasi serielle Weiter­ leitung der Stellwerkstelegramme von dem ersten Rechnerkanal zum zweiten Rechnerkanal betrifft insbesondere das Echotele­ gramm und die Anforderungstelegramme zur Bildung der beiden Checksummen. Dadurch, dass die von den angegebenen Zustands­ einstellungen abgeleiteten Kommandotelegramme und die vom Stellwerk rückgemeldeten Echotelegramme zusammen mit dem Mel­ dezustand in einer Checksumme komprimiert werden, kann die bisher weit verbreitete Prozessdatenschnittstelle auch hier unverändert eingesetzt werden. Bei den wesentlichen Baugrup­ pen der Rechnerkanäle kann vorteilhaft auf bekannte Ver­ gleichspuffer und Meldezustandsspeicher zurückgegriffen wer­ den.

Nachfolgend wird die Erfindung anhand einer figürlichen Dar­ stellung näher erläutert.

Die einzige Figur zeigt schematisch das Zusammenwirken eines Bedienplatzes B-Pl mit einem elektronischen Stellwerk Stw, wobei als Bindeglied zwei unabhängige Rechnerkanäle Ka1, Ka2 vorgesehen sind. Der Bedienplatz B-Pl entspricht einem Be­ dienplatz für Relaisstellwerke und beinhaltet als wesentliche Baugruppen mehrere Tasten Ta zur manuellen Eingabe von Zu­ standseinstellungen und Meldelampen Me zur Signalisierung des Meldezustandes. Beide Rechnerkanäle Ka1 und Ka2 enthalten je­ weils einen Meldezustandsspeicher Me-Sp1 und Me-Sp2 und einen Vergleichspuffer V-Pu1 und V-Pu2. Nur der erste Rechnerkanal Ka1 ist mit dem Stellwerk Stw ausgangsseitig verbunden. Dazu dient eine Prozessdatenschnittstelle PDS. Die Verarbeitung der sicherheitsgerichteten Zustandseinstellungen erfolgt automatisch und eigenständig in einer Kommandofreigabe (KF)- Prozedur, wie sie von der Prozessdatenschnittstelle PDS ge­ fordert wird. Bei derartigen sicherheitsrelevanten Bedienun­ gen muss die Kommandoverarbeitung nachweisbar fehlerfrei er­ folgen, bzw. verfälschte Kommandos müssen erkennbar sein und dürfen sich nicht auswirken. Durch die Betätigung der Tasten Ta wird eine bestimmte Zustandseinstellung vorgegeben. Die Tastensignale werden von den beiden Rechnerkanälen Ka1 und Ka2 unabhängig voneinander eingelesen und zu einem Kommando­ telegramm verarbeitet. Beide Rechnerkanäle Ka1 und Ka2 tragen ihr erarbeitete Kommandotelegramm in den Vergleichspuffer V- Pu1 bzw. V-Pu2 ein. Der erste Rechnerkanal Ka1 sendet das Kommandotelegramm an das Stellwerk Stw. Das Stellwerk Stw antwortet mit einem Echotelegramm. Dieses Echotelegramm wird vom ersten Rechnerkanal Ka1 empfangen und unverändert an den zweiten Rechnerkanal Ka2 weitergeleitet. Anhand eines Siche­ rungsanhangs überprüfen sowohl der erste Rechnerkanal Ka1 als auch der zweite Rechnerkanal Ka2 die Unversehrtheit des Echo­ telegramms, vergleichen den Inhalt jeweils mit ihrem gespei­ cherten Kommandotelegramm und hängen es bei Gleichheit an ih­ ren Vergleichspuffer V-Pu1 bzw. V-Pu2 an. Zusätzlich wird ein KF-Merker gesetzt. Dieser KF-Merker besagt, dass es sich bei dem gesendeten Kommandotelegramm um eine KF(Kommandofrei­ gabe)-Bedienung handelt. Auf Anforderung des Stellwerks Stw bildet der erste Rechnerkanal Ka1 über seinen Meldespeicher Me-Sp1 und seinen Vergleichspuffer V-Pu1 eine Checksumme, die dann, wenn der KF-Merker noch gesetzt ist, an das Stellwerk Stw übertragen wird. Das Stellwerk Stw speichert die Check­ summe zwischen und stellt eine weitere Anforderung, die von dem ersten Rechnerkanal Ka1 an den zweiten Rechnerkanal Ka2 weitergeleitet wird. Der zweite Rechnerkanal Ka2 liest über Eingabebaugruppen den vom ersten Rechnerkanal Ka1 ausgegebe­ nen Meldezustand zurück und bildet über diesen Meldespeicher Me-Sp2 und seinen Vergleichspuffer V-Pu2 eine zweite Check­ summe. Diese wird über den ersten Rechnerkanal Ka1 an das Stellwerk Stw übertragen. Das Stellwerk Stw prüft, ob die beiden Checksummen gleich sind. Nur in diesem Fall wird eine Kommandoausführung initiiert. Bei Ungleichheit wird das Kom­ mando nach Absendung einer Fehlermeldung verworfen. Nach der Kommandoausführung quittiert das Stellwetk Stw den Abschluss des Verarbeitungsablaufes an den ersten Rechnerkanal Ka1 und über diesen an den zweiten Rechnerkanal Ka2. Die Rechnerkanä­ le Ka1 und Ka2 löschen daraufhin ihren KF-Merker und den Ver­ gleichspuffer V-Pu1 bzw. V-Pu2 durch Überschreiben. Die Mel­ deausgänge des ersten Rechnerkanals Ka1 wurden bereits nach dem Weiterleiten der zweiten Checksumme von dem zweiten Rech­ nerkanal Ka2 an das Stellwerk Stw wieder aktualisiert.

Claims (2)

1. Verfahren zur sicherheitsgerichteten Verarbeitung manuell an einem Bedienplatz (B-Pl) eingegebener Zustandseinstellun­ gen für die Steuerung elektronischer Stellwerke (Stw), wobei die Zustandseinstellungen in zwei unabhängigen Rechnerkanälen (Ka1, Ka2) verarbeitet, verglichen und überprüft werden und das Stellwerk (Stw) die Überprüfungsergebnisse der beiden Rechnerkanäle (Ka1, Ka2) vergleicht und nur bei Gleichheit eine Umsetzung der Verarbeitungsergebnisse freigibt mit fol­ genden Schritten

• - die Zustandseinstellung wird in einem ersten und einem zweiten Rechnerkanal (Ka1, Ka2) eingelesen, in Kommandote­ legrammform aufbereitet und als Kommandotelegramm gespei­ chert,
• - der erste Rechnerkanal (Ka1) sendet das Kommandotelegramm an das Stellwerk (Stw),
• - das Stellwerk (Stw) retouriert das Kommandotelegramm mit einem Sicherheitsanhang als Echotelegramm über den ersten Rechnerkanal (Ka1) an den zweiten Rechnerkanal (KA2),
• - die Rechnerkanäle (Ka1, Ka2) initiieren einen Merker, der die Information enthält, dass eine sicherheitsgerichtete Kommandoverarbeitung abläuft,
• - die Rechnerkanäle (Ka1, Ka2) vergleichen das Echotelegramm und ihr gespeichertes Kommandotelegramm und speichern bei Gleichheit das Echotelegramm,
• - der erste Rechnerkanal (Ka1) bildet auf Anforderung des Stellwerkes (Stw) über seinen Meldezustand, das Kommando­ telegramm und das Echotelegramm eine erste Checksumme, ü­ berträgt diese an das Stellwerk (Stw) und friert seinen Meldezustand ein,
• - das Stellwerk (Stw) speichert die erste Checksumme,
• - der zweite Rechnerkanal (Ka2) bildet auf Anforderung des Stellwerks (Stw) über den Meldezustand des ersten Rechner­ kanals (Ka1), sein gespeichertes Kommandotelegramm und sein gespeichertes Echotelegramm eine zweite Checksumme und überträgt diese an das Stellwerk (Stw), woraufhin der erste Rechnerkanal (Ka1) seinen Meldezustand aktualisiert,
• - das Stellwerk (Stw) vergleicht die erste und die zweite Checksumme, wobei nur bei Gleichheit eine Kommandoausfüh­ rung erfolgt und
• - das Stellwerk (Stw) quittiert die Kommandoausführung an den ersten und den zweiten Rechnerkanal (Ka1, Ka2), worauf beide Rechnerkanäle (Ka1, Ka2) ihre gespeicherten Komman­ dotelegramme, Echotelegramme und Merker löschen.

2. Vorrichtung zur Durchführung des Verfahrens nach Anspruch 1, wobei zwei unabhängige Rechnerkanäle (Ka1, Ka2) zur Verar­ beitung, zum Vergleich und zur Überprüfung der Zustandsein­ stellungen im Zusammenwirken mit dem Stellwerk (Stw) vorgese­ hen sind, dadurch gekennzeichnet, dass der erste Rechnerkanal (Ka1) eingangsseitig mit dem Be­ dienplatz (B-Pl) und ausgangsseitig mit dem zweiten Rechner­ kanal (Ka2) sowie über eine Prozessdatenschnittstelle (PDS) mit dem Stellwerk (Stw) verbunden ist, wobei der erste Rech­ nerkanal (Ka1) einen ersten Vergleichspuffer (V-Pu1) zur Speicherung und zum Vergleich seines Kommandotelegramms und des Echotelegramms sowie einen ersten Meldezustandsspeicher (Me-Sp1) zur Speicherung und zeitweisen Einfrierung der aus­ gegebenen Meldungen aufweist und wobei der zweite Rechnerka­ nal (Ka2) einen zweiten Vergleichspuffer (V-Pu2) zur Speiche­ rung und zum Vergleich seines Kommandotelegramms und des Echotelegramms sowie einen zweiten Meldezustandsspeicher (Me- Sp2) zur Speicherung der rückgelesenen, vom ersten Rechnerka­ nal (Ka1) ausgegebenen Meldungen aufweist.