DE102012211273A1

DE102012211273A1 - Verfahren und Anordnung zum Steuern einer technischen Anlage

Info

Publication number: DE102012211273A1
Application number: DE102012211273.1A
Authority: DE
Inventors: Thomas Metschulat
Original assignee: Siemens AG
Current assignee: Siemens AG
Priority date: 2012-06-29
Filing date: 2012-06-29
Publication date: 2014-01-02
Also published as: EP2849986A2; EP2849986B1; CN104411564B; HK1208013A1; WO2014001235A2; WO2014001235A3; CN104411564A

Abstract

Die Erfindung bezieht sich auf eine Anordnung (10) zum Steuern einer technischen Anlage (20), insbesondere einer Eisenbahngleisanlage, wobei die Anordnung (10) einen Stellwerksrechner (25), der ein Umstellen der technischen Anlage (20) veranlassen kann, und mindestens zwei Bedienplatzrechner (30, 40, 50) umfasst, mit denen Bedienbefehle (BB) erzeugt und zu dem Stellwerksrechner (25) übermittelt werden können. Erfindungsgemäß ist vorgesehen, dass von den Bedienplatzrechnern (30, 40, 50) zumindest ein Bedienplatzrechner (30) ein sicherer Bedienplatzrechner (30) ist, dessen Sicherheitsniveau einen vorgegebenen Mindeststandard erreicht, und zumindest ein Bedienplatzrechner (40, 50) ein unsicherer Bedienplatzrechner (40, 50) ist, dessen Sicherheitsniveau den vorgegebenen Mindeststandard unterschreitet, der sichere Bedienplatzrechner (30) mit dem Stellwerksrechner (25) über eine sichere Datenverbindung (200), die eine vorgegebene Übertragungssicherheit gewährleistet, verbunden ist, und der zumindest eine unsichere Bedienplatzrechner (40, 50) mittelbar mit dem Stellwerksrechner (25) verbunden ist, nämlich über den sicheren Bedienplatzrechner (30), und die Bedienbefehle (BB) des unsicheren Bedienplatzrechners (40, 50) zu dem sicheren Bedienplatzrechner (30) und über diesen und die sichere Datenverbindung (200) zu dem Stellwerksrechner (25) übermittelt werden.

Description

Die Erfindung bezieht sich auf eine Anordnung zum Steuern einer technischen Anlage, insbesondere einer Eisenbahngleisanlage, wobei die Anordnung einen Stellwerksrechner, der ein Umstellen der technischen Anlage veranlassen kann, und mindestens zwei Bedienplatzrechner umfasst, mit denen Bedienbefehle erzeugt und zu dem Stellwerksrechner übermittelt werden können.
Zur Steuerung einer technischen Anlage, insbesondere einer Eisenbahngleisanlage, ist für sicherheitsunkritische Regelbedienungen prinzipiell ein beliebiger Bedienplatzrechner, beispielsweise ein Standard-PC, einsetzbar; ein vorgegebenes Sicherheitsniveau muss in aller Regel nicht erreicht werden, da der zwischen dem Bedienplatzrechner und der technischen Anlage befindliche Stellwerksrechner gefährliche Bedienhandlungen ablehnen kann. Für den Fall, dass mit einem Bedienplatzrechner auch sicherheitsrelevante oder sicherheitskritische Bedienbefehle erzeugt werden sollen und eine Kontrolle durch den Stellwerksrechner unterdrückt oder umgangen werden soll, sind Vorkehrungen zu treffen, die eine Gefahrensituation in der technischen Anlage zuverlässig verhindern.
Der Erfindung liegt die Aufgabe zugrunde, eine Anordnung zum Steuern einer technischen Anlage anzugeben, die sich kostengünstig realisieren lässt und dennoch einen hohen Sicherheitsstandard gewährleistet.
Diese Aufgabe wird erfindungsgemäß durch eine Anordnung mit den Merkmalen gemäß Patentanspruch 1 gelöst. Vorteilhafte Ausgestaltungen der erfindungsgemäßen Anordnung sind in Unteransprüchen angegeben.
Danach ist erfindungsgemäß vorgesehen, dass von den Bedienplatzrechnern zumindest ein Bedienplatzrechner ein sicherer Bedienplatzrechner ist, dessen Sicherheitsniveau einen vorgegebenen Mindeststandard erreicht, und zumindest ein Bedienplatzrechner ein unsicherer Bedienplatzrechner ist, dessen Sicherheitsniveau den vorgegebenen Mindeststandard unterschreitet, der sichere Bedienplatzrechner mit dem Stellwerksrechner über eine sichere Datenverbindung, die eine vorgegebene Übertragungssicherheit gewährleistet, verbunden ist, und der zumindest eine unsichere Bedienplatzrechner mittelbar mit dem Stellwerksrechner verbunden ist, nämlich über den sicheren Bedienplatzrechner, und die Bedienbefehle des unsicheren Rechners zu dem sicheren Bedienplatzrechner und über diesen und die sichere Datenverbindung zu dem Stellwerksrechner übermittelt werden.
Ein wesentlicher Vorteil der erfindungsgemäßen Anordnung besteht darin, dass bei dieser unsichere Rechner auch zur Erzeugung sicherheitsrelevanter Befehle verwendet werden können. Um ein ausreichendes Sicherheitsniveau zu erreichen, ist nämlich erfindungsgemäß vorgesehen, die Anbindung der unsicheren Rechner an den Stellwerksrechner nicht unmittelbar vorzusehen, sondern mittelbar über zumindest einen sicheren Rechner; dadurch wird gewährleistet, dass Bedienbefehle, insbesondere solche, die sicherheitsrelevant sind, ausschließlich von einem sicheren Rechner unmittelbar an den Stellwerksrechner übermittelt werden können, nicht hingegen unmittelbar von einem unsicheren Rechner. In dieser Weise ist es möglich, die von dem unsicheren Rechner kommenden Bedienbefehle auf Plausibilität und/oder auf Ausführbarkeit zu prüfen, bevor sie an den Stellwerksrechner zur schlussendlichen Umsetzung weitergeleitet werden. Zusammengefasst besteht der erfinderische Gedanke also darin, die Einbindung unsicherer Bedienplatzrechner zu ermöglichen, indem sichere Bedienrechner zwischengeschaltet werden.
Um sicherzustellen, dass alle Bedienplatzrechner stets auf dieselben Daten, die den Zustand der technischen Anlage anzeigen, zugreifen, wird es als vorteilhaft angesehen, wenn in dem oder einem der sicheren Bedienplatzrechner ein den Zustand der technischen Anlage beschreibender Datensatz zentral gespeichert ist und der unsichere Bedienplatzrechner derart programmiert ist, dass er unter Heranziehung des in dem sicheren Bedienplatzrechner gespeicherten Datensatzes und einer vom Bediener des unsicheren Rechners vorgegebenen Darstellungsweise bedienerindividuelle Anzeigesteuersignale erzeugt, die zu einer bedienerindividuellen Anzeige des durch den Datensatz definierten Zustands der technischen Anlage auf einer mit dem unsicheren Bedienplatzrechner verbundenen Anzeigeeinrichtung führen. Aufgrund der zentralen Speicherung des den Zustand der technischen Anlage beschreibenden Datensatzes ist sichergestellt, dass stets alle Bedienplatzrechner und alle mit den Bedienplatzrechnern verbundenen Anzeigeeinrichtungen stets denselben Datenstand berücksichtigen. Die Richtigkeit der Daten wird dadurch gewährleistet, dass diese in dem sicheren Rechner verwaltet und aktualisiert werden.
Um sicherzustellen, dass die zentrale Speicherung des Datensatzes in dem sicheren Bedienplatzrechner fehlerfrei erfolgt, wird es als vorteilhaft angesehen, wenn der sichere Bedienplatzrechner zumindest zwei redundant betriebene Speicherbereiche umfasst, in denen jeweils der den Zustand der technischen Anlage beschreibende Datensatz gespeichert ist.
Eine Kontrolle der in den zwei redundant betriebenen Speicherbereichen abgespeicherten Datensätze auf Übereinstimmung wird vorzugsweise von einem Vergleichsbaustein durchgeführt. Demgemäß wird es als vorteilhaft angesehen, wenn zwischen dem sicheren und dem unsicheren Bedienplatzrechner ein Vergleichsbaustein angeordnet ist und der Vergleichsbaustein derart ausgestaltet ist, dass er Daten des den Zustand der technischen Anlage beschreibenden Datensatzes zwecks Übertragung zum unsicheren Bedienrechner jeweils aus jedem der zumindest zwei redundant betriebenen Speicherbereiche ausliest und miteinander vergleicht und die ausgelesenen Daten an den unsicheren Bedienplatzrechner lediglich dann weiterleitet, wenn diese übereinstimmen, und andernfalls eine Weiterleitung blockiert.
Der Vergleichsbaustein ist vorzugsweise eine separate Komponente, die in keinem der Bedienplatzrechner implementiert ist. Alternativ kann der Vergleichsbaustein auch in dem sicheren Bedienplatzrechner integriert sein.
Bezüglich der Ausgestaltung des sicheren Bedienplatzrechners wird es als vorteilhaft angesehen, wenn der sichere Bedienplatzrechner zumindest zwei redundant arbeitende Rechnereinheiten umfasst, die zumindest zwei redundant arbeitenden Rechnereinheiten des sicheren Bedienplatzrechners nach Erhalt eines sicherheitsrelevanten Bedienbefehls des unsicheren Bedienplatzrechners jeweils eine Bestätigungsaufforderung an den unsicheren Bedienplatzrechner übersenden, und zwar über den Vergleichsbaustein, und der Vergleichsbaustein derart ausgestaltet ist, dass er die Bestätigungsaufforderungen der zumindest zwei redundant arbeitenden Rechnereinheiten des sicheren Bedienplatzrechners miteinander vergleicht und an den unsicheren Bedienplatzrechner lediglich dann weiterleitet, wenn diese übereinstimmen, und andernfalls eine Weiterleitung blockiert. Durch das Erfordernis der Bestätigungsaufforderungen wird erreicht, dass der Vergleichsbaustein die Tätigkeit der zwei redundant arbeitenden Rechnereinheiten überprüfen und eingreifen kann, wenn sich anhand der Bestätigungsaufforderungen der zwei redundant arbeitenden Rechnereinheiten erkennen lässt, dass diese voneinander abweichende Ergebnisse produzieren.
Mit Blick auf eine Kontrolle der Arbeitsweise der redundant arbeitenden Rechnereinheiten des sicheren Bedienplatzrechners wird es darüber hinaus als vorteilhaft angesehen, wenn der Vergleichsbaustein auch die Schnittstelle zwischen dem Stellwerksrechner und dem sicheren Bedienplatzrechner überwacht. Demgemäß wird es als vorteilhaft angesehen, wenn der Vergleichsbaustein Steuersignale, die ein Umstellen der technischen Anlage bewirken würden, der zumindest zwei redundant arbeitenden Rechnereinheiten des sicheren Bedienplatzrechners miteinander vergleicht und an den Stellwerksrechner lediglich dann weiterleitet oder weiterleiten lässt, wenn diese übereinstimmen, und andernfalls eine Weiterleitung blockiert.
Die Erfindung bezieht sich darüber hinaus auf ein Verfahren zum Steuern einer technischen Anlage, insbesondere einer Eisenbahngleisanlage, wobei mit einem Bedienplatzrechner Bedienbefehle erzeugt und zu einem mit der technischen Anlage in Verbindung stehenden Stellwerksrechner übermittelt werden und mit dem Stellwerksrechner ein Umstellen der technischen Anlage veranlasst wird.
Erfindungsgemäß ist es vorgesehen, dass die Bedienbefehle mit einem unsicheren Bedienplatzrechner, dessen Sicherheitsniveau einen vorgegebenen Mindeststandard unterschreitet, erzeugt und über einen sicheren Bedienplatzrechner, dessen Sicherheitsniveau den vorgegebenen Mindeststandard erreicht, zu dem Stellwerksrechner übermittelt werden.
Bezüglich der Vorteile des erfindungsgemäßen Verfahrens sei auf die obigen Ausführungen im Zusammenhang mit der erfindungsgemäßen Anordnung verwiesen, da die Vorteile der erfindungsgemäßen Anordnung denen des erfindungsgemäßen Verfahrens im Wesentlichen entsprechen.
Als vorteilhaft wird es angesehen, wenn in dem sicheren Bedienplatzrechner ein den Zustand der technischen Anlage beschreibender Datensatz zentral gespeichert wird, mit dem unsicheren Bedienplatzrechner unter Heranziehung des in dem sicheren Bedienplatzrechner gespeicherten Datensatzes und einer vom Bediener des unsicheren Rechners vorgegebenen Darstellungsweise bedienerindividuelle Anzeigesteuersignale, die zu einer bedienerindividuellen Anzeige des durch den Datensatz definierten Zustands der technischen Anlage führen, erzeugt werden und die Anzeigesteuersignale auf einer mit dem unsicheren Bedienplatzrechner verbundenen Anzeigeeinrichtung angezeigt werden.
Darüber hinaus wird es als vorteilhaft angesehen, wenn der den Zustand der technischen Anlage beschreibende Datensatz redundant in zumindest zwei Speicherbereichen gespeichert wird und Daten des den Zustand der technischen Anlage beschreibenden Datensatzes zwecks Übertragung zum unsicheren Bedienrechner jeweils aus jedem der zumindest zwei Speicherbereiche ausgelesen und miteinander verglichen werden und die ausgelesenen Daten an den unsicheren Bedienplatzrechner lediglich dann weitergeleitet werden, wenn diese übereinstimmen, und andernfalls eine Weiterleitung blockiert wird.
Die Erfindung wird nachfolgend anhand von Ausführungsbeispielen näher erläutert; dabei zeigen beispielhaft
1 ein erstes Ausführungsbeispiel für eine Anordnung zum Steuern einer technischen Anlage, wobei anhand der Anordnung auch das erfindungsgemäße Verfahren beispielhaft erläutert wird,
2 die Arbeitsweise der Anordnung gemäß 1 im Falle eines an einem unsicheren Bedienplatzrechner eingegebenen sicherheitsrelevanten Bedienbefehls,
3 ein zweites Ausführungsbeispiel für eine erfindungsgemäße Anordnung und
4 ein drittes Ausführungsbeispiel für eine erfindungsgemäße Anordnung, bei der ein Vergleichsbaustein in einem sicheren Bedienplatzrechner integriert ist.
In den Figuren werden der Übersicht halber für identische oder vergleichbare Komponenten stets dieselben Bezugszeichen verwendet.
In der 1 erkennt man eine Anordnung 10 zum Steuern einer technischen Anlage 20, bei der es sich beispielsweise um eine Eisenbahngleisanlage handeln kann. Die Anordnung 10 umfasst einen Stellwerksrechner 25, einen sicheren Bedienplatzrechner 30 sowie zwei unsichere Bedienplatzrechner 40 und 50. Mit den drei Bedienplatzrechnern 30, 40 und 50 steht jeweils eine Anzeigeeinrichtung 60, 70 bzw. 80 in Verbindung.
Die beiden unsicheren Bedienplatzrechner 40 und 50 stehen über einen Vergleichsbaustein 90 mit dem sicheren Bedienplatzrechner 30 in Verbindung; über den Vergleichsbaustein 90 ist eine mittelbare Verbindung zwischen den beiden unsicheren Bedienplatzrechnern 40 und 50 und dem Stellwerksrechner 25 möglich.
Die 1 zeigt beispielhaft den Aufbau des sicheren Bedienplatzrechners 30 näher im Detail. Man erkennt zwei Speicherbereiche 100 und 110, die zum Speichern eines den Zustand der technischen Anlage 20 beschreibenden Datensatzes DS bestimmt sind. Der Datensatz DS ist in dem sicheren Bedienplatzrechner 30 also zweimal bzw. redundant abgespeichert, und zwar sowohl in dem Speicherbereich 100 als auch in dem Speicherbereich 110.
Darüber hinaus weist der sichere Bedienplatzrechner 30 zwei redundant arbeitende Rechnereinheiten 120 und 130 auf, die mit dem Vergleichsbaustein 90 in Verbindung stehen.
Die beiden Rechnereinheiten 120 und 130 können durch physikalisch separate Prozessoren bzw. Prozessoreinrichtungen gebildet sein; alternativ ist es möglich, die beiden Rechnereinheiten 120 und 130 lediglich softwaremäßig abzubilden bzw. nachzubilden und durch auf ein und derselben Prozessoreinrichtung laufende separate Softwaremodule zu realisieren.
In dem sicheren Bedienplatzrechner 30 sowie in den beiden unsicheren Bedienplatzrechnern 40 und 50 ist jeweils ein Anzeigesoftwaremodul ASM vorgesehen, das eine Anzeige des Zustands der technischen Anlage 20 auf der jeweils nachgeordneten Anzeigeeinrichtung 60, 70 oder 80 ermöglicht.
Bei dem Ausführungsbeispiel gemäß 1 ist das Anzeigesoftwaremodul ASM des sicheren Bedienplatzrechners 30 in einem separaten Speicherbereich 140 gespeichert; alternativ kann das Anzeigesoftwaremodul ASM auch in dem Speicherbereich 100 oder dem Speicherbereich 110 gespeichert sein.
Das Anzeigesoftwaremodul ASM des sicheren Bedienplatzrechners 30 kann beispielsweise von einer separaten Rechnereinheit 150 ausgeführt werden, wie dies in der 1 angedeutet ist. Alternativ kann das Anzeigesoftwaremodul ASM des sicheren Bedienplatzrechners 30 auch durch eine der beiden Rechnereinheiten 120 oder 130 oder redundant durch beide Rechnereinheiten 120 und 130 ausgeführt werden.
Die in der 1 dargestellten drei Speicherbereiche 100, 110 und 140 des sicheren Bedienplatzrechners 30 können in physikalisch separaten Speichern angesiedelt sein; alternativ können sie sich auch in Abschnitten ein und desselben physikalischen Speichers befinden.
Im Folgenden soll die Arbeitsweise der Anordnung 10 gemäß 1 mit Blick auf die Anzeige des Zustands der technischen Anlage 20 beispielhaft näher erläutert werden.
Soll beispielsweise der Zustand der technischen Anlage 20 auf der Anzeigeeinrichtung 80 angezeigt werden, so kann eine Bedienperson an dem unsicheren Bedienplatzrechner 50 ein Bediensignal BS3 eingeben, mit dem dem Anzeigesoftwaremodul ASM eine benutzerindividuelle Darstellungsweise des Zustands der technischen Anlage 20 vorgegeben bzw. beschrieben wird. Das Anzeigesoftwaremodul ASM wertet das Bediensignal BS3 aus und erzeugt ausgangsseitig ein bedienerindividuelles Anzeigesteuersignal AS3, mit dem die Anzeigeeinrichtung 80 angesteuert wird und der Zustand der technischen Anlage 20 gemäß den Vorgaben der Bedienperson angezeigt wird. Beispielsweise kann mit dem Bediensignal BS3 der Zoomfaktor oder der auf der Anzeigeeinrichtung 80 gezeigte Ausschnitt benutzerindividuell verändert werden.
Die Eingabe des Bediensignals BS3 in das Anzeigesoftwaremodul ASM kann über ein nicht gezeigtes Vorverarbeitungssoftwaremodul erfolgen, beispielsweise in Textform. Ein Beispiel für eine solche Textform kann beispielsweise lauten:
Die Daten D, mit denen der Zustand der technischen Anlage 20 beschrieben wird, stammen dabei aus dem Datensatz DS, der in redundanter Weise in den beiden Speicherbereichen 100 und 110 des sicheren Bedienplatzrechners 30 abgespeichert ist. Um sicherzustellen, dass die Daten D tatsächlich den richtigen aktuellen Zustand der technischen Anlage 20 beschreiben, werden die Daten D aus den beiden Speicherbereichen 100 und 110 vom Vergleichsbaustein 90 auf Identität überprüft. Um diese Überprüfung zu ermöglichen, wird der Vergleichsbaustein 90 die Daten D, die aus den beiden Datensätzen DS der beiden Speicherbereiche 100 und 110 kommen, zunächst vergleichen und ausschließlich dann an das Anzeigesoftwaremodul ASM des unsicheren Bedienplatzrechners 50 weiterleiten, wenn die Daten D identisch sind.
Die den Zustand der technischen Anlage beschreibenden Daten D können beispielsweise in Textform übertragen werden. Zur Definition eines Zuges auf einem Streckenabschnitt der technischen Anlage 20 können beispielsweise folgende Daten übertragen werden:
Mit Hilfe des Vergleichsbausteins 90 ist somit sichergestellt, dass auf der Anzeigeeinrichtung 80 ausschließlich Daten angezeigt werden, die dem tatsächlichen aktuellen Zustand der technischen Anlage 20 entsprechen.
In entsprechender Weise kann der Zustand der technischen Anlage 20 auf den Anzeigeeinrichtungen 60 und 70 angezeigt werden, indem entsprechende Bediensignale BS1 oder BS2 in den sicheren Bedienplatzrechner 30 bzw. den unsicheren Bedienplatzrechner 40 eingegeben werden und entsprechende Anzeigesteuersignale AS1 und AS2 erzeugt werden. Beide Bedienplatzrechner 30 und 40 sind jeweils mit einem Anzeigesoftwaremodul ASM ausgestattet, das das jeweils anliegende Bediensignal BS1 bzw. BS2 auswertet und auf der Basis der bedienerseitig gewünschten Darstellungsweise den Zustand der technischen Anlage 20 auf der jeweiligen Anzeigeeinrichtung 60 oder 70 anzeigt.
Auch bei den Anzeigesoftwaremodulen ASM der beiden Bedienplatzrechner 30 und 40 wird dabei stets auf dieselben Datensätze DS zurückgegriffen, die auch von dem Bedienplatzrechner 50 – wie oben beschrieben – verwertet werden; mit anderen Worten werden die Datensätze DS, die die Daten D über den Zustand der technischen Anlage 20 enthalten, ausschließlich zentral gespeichert und verwaltet und von einem zentralen Punkt aus an die Anzeigesoftwaremodule ASM der jeweiligen Bedienplatzrechner 30, 40 und 50 übermittelt.
Die Daten D, die von den Anzeigesoftwaremodulen ASM des Bedienplatzrechners 30 oder des Bedienplatzrechners 40 angezeigt werden, werden von dem Vergleichsbaustein 90 ebenfalls auf Korrektheit überprüft, wie dies im Zusammenhang mit dem Bedienplatzrechner 50 oben bereits beschrieben worden ist. Dies bedeutet, dass auch bei den Anzeigesoftwaremodulen ASM der beiden Bedienplatzrechner 30 und 40 der Vergleichsbaustein 90 beim Auslesen der Daten D aus den beiden Speicherbereichen 100 und 110 eine Überprüfung der Daten auf Identität vornimmt und lediglich dann, wenn die Daten D aus den beiden Speicherbereichen 100 und 110 übereinstimmen, eine Weiterleitung der Daten an die jeweiligen Anzeigesoftwaremodule ASM vornehmen wird.
Die 2 zeigt beispielhaft die Funktionsweise der Anordnung 10 gemäß 1, wenn mit Hilfe eines der beiden unsicheren Bedienplatzrechner 40 und 50 ein sicherheitsrelevanter Bedienbefehl BB erzeugt wird, mit dem eine Umstellung der technischen Anlage 20 durch den Stellwerksrechner 25 erfolgen soll. Nach Erhalt des sicherheitsrelevanten Bedienbefehls BB werden die beiden Rechnereinheiten 120 und 130 den Bedienbefehl auswerten und eine Bestätigungsaufforderung BSA erzeugen und über den Vergleichsbaustein 90 an den unsicheren Bedienplatzrechner 50 senden. Der Vergleichsbaustein 90 wird dabei die Bestätigungsaufforderungen BSA der beiden Rechnereinheiten 120 und 130 auf Identität bzw. inhaltliche Übereinstimmung hin überprüfen und lediglich dann, wenn die beiden Bestätigungsaufforderungen BSA übereinstimmen, eine Weiterleitung an den unsicheren Bedienplatzrechner 50 vornehmen.
Andernfalls, wenn die beiden Bestätigungsaufforderungen BSA unterschiedlich sind, wird der Vergleichsbaustein 90 eine Weiterleitung unterbinden. In dieser Weise wird sichergestellt, dass die Abarbeitung eines sicherheitsrelevanten Bedienbefehls BB nur dann erfolgen kann, wenn die beiden Rechnereinheiten 120 und 130 den sicherheitsrelevanten Bedienbefehl BB in gleicher Weise verstehen und mit gleichen Bestätigungsaufforderungen BSA quittieren.
Sobald der unsichere Bedienplatzrechner 50 die Bestätigungsaufforderung BSA erhalten und mittels eines bedienerinitiierten Bestätigungssignals BSS inhaltlich bestätigt hat, werden die beiden Rechnereinheiten 120 und 130 eine Umsetzung des sicherheitsrelevanten Bedienbefehls BB vornehmen und ein Steuersignal STB erzeugen, das zum Stellwerksrechner 25 übermittelt wird. Mit dem Steuersignal STB wird dem Stellwerksrechner 25 mitgeteilt, dass die technische Anlage 20 umgestellt werden soll. Die Umstellung der technischen Anlage 20 wird dann vom Stellwerksrechner 25 vorgenommen.
Die Datenübertragung des Steuersignals STB vom sicheren Bedienplatzrechner 30 zum Stellwerksrechner 25 erfolgt über eine sichere Datenverbindung 200, um eine Verfälschung des Befehls zu vermeiden.
Um sicherzugehen, dass die beiden Rechnereinheiten 120 und 130 den sicherheitsrelevanten Bedienbefehl BB des Bedienplatzrechners 50 richtig umsetzen und ein korrektes Steuersignal STB für den Stellwerksrechner 25 erzeugen, kann eine Kontrolle der Arbeitsergebnisse der beiden Rechnereinheiten 120 und 130 durch den Vergleichsbaustein 90 erfolgen. Vorzugsweise wird der Vergleichsbaustein 90 die Erzeugung bzw. Weitergabe des Steuersignals STB über die sichere Datenverbindung 200 blockieren, wenn die beiden Rechnereinheiten 120 und 130 unterschiedliche Ergebnisse und unterschiedliche Steuersignale STB liefern.
Die 3 zeigt ein zweites Ausführungsbeispiel für eine Anordnung 10 zum Steuern einer technischen Anlage 20. Im Unterschied zu dem Ausführungsbeispiel gemäß 1 sind an dem sicheren Bedienplatzrechner 30 zwei Anzeigeeinrichtungen 60 und 61 angeschlossen, die jeweils von einem zugeordneten Anzeigersoftwaremodul ASM angesteuert werden. Die beiden Anzeigesoftwaremodule ASM können in dem Speicherbereich 100 und/oder dem Speicherbereich 110 oder auch in individuellen Speicherbereichen abgespeichert sein. Bei dem Ausführungsbeispiel gemäß 3 wird davon ausgegangen, dass die beiden Anzeigesoftwaremodule ASM jeweils in individuellen Speicherbereichen 140 und 141 abgespeichert sind und von Rechnereinheiten 150 und 151 ausgeführt werden.
Durch die Ausstattung des sicheren Bedienplatzrechners 30 mit zwei Anzeigesoftwaremodulen ASM ist es möglich, unterschiedliche Darstellungen des Zustands der technischen Anlage 20 auf den beiden Anzeigeeinrichtungen 60 und 61 vorzusehen, in dem unterschiedliche Bediensignale BS1 und BS1’ in die Anzeigesoftwaremodule ASM eingegeben werden. In dieser Weise ist es einer Bedienperson beispielsweise möglich, die Korrektheit der Arbeitsweise der Anzeigesoftwaremodule ASM zu überprüfen.
Um auch für die beiden Anzeigesoftwaremodule ASM des sicheren Bedienplatzrechners 30 eine Kontrolle der Daten D, die den Zustand der technischen Anlage 20 anzeigen, zu ermöglichen, werden die Daten D von den beiden Speicherbereichen 100 und 110 nicht unmittelbar zu den Anzeigesoftwaremodulen ASM übermittelt, sondern nur mittelbar über den Vergleichsbaustein 90. Ausschließlich dann, wenn die Daten D aus den beiden Speicherbereichen 100 und 110 übereinstimmen, wird der Vergleichsbaustein 90 die Daten D an die beiden Anzeigesoftwaremodule ASM im sicheren Bedienplatzrechner 30 weiterleiten, so dass auch nur dann eine Anzeige auf den beiden Anzeigeeinrichtungen 60 und 61 erfolgen kann. Bezüglich der gesicherten Darstellung des Zustands der technischen Anlage 20 entspricht die Arbeitsweise der Anordnung 10 gemäß 3 somit der Anordnung 10 gemäß 1, so dass auf die obigen Ausführungen verwiesen sei.
Die 4 zeigt ein drittes Ausführungsbeispiel für eine Anordnung 10 zum Steuern einer technischen Anlage 20. Die Anordnung 10 gemäß 4 entspricht im Wesentlichen dem Ausführungsbeispiel gemäß 3 mit dem Unterschied, dass der Vergleichsbaustein 90 keine separate Komponente ist, sondern stattdessen in dem sicheren Bedienplatzrechner 30 integriert ist.
Der Vergleichsbaustein 90 kann in Form eines Softwaremoduls realisiert sein, das von einem der beiden Rechnereinheiten 120 oder 130 ausgeführt wird. Alternativ kann der Vergleichsbaustein 90 durch eine separate Hardwarekomponente gebildet sein, die in dem sicheren Bedienplatzrechner 30 vorgesehen wird.
Obwohl die Erfindung im Detail durch bevorzugte Ausführungsbeispiele näher illustriert und beschrieben wurde, so ist die Erfindung nicht durch die offenbarten Beispiele eingeschränkt und andere Variationen können vom Fachmann hieraus abgeleitet werden, ohne den Schutzumfang der Erfindung zu verlassen.
Bezugszeichenliste

10: Anordnung
20: technische Anlage
25: Stellwerksrechner
30: sicherer Bedienplatzrechner
40: unsicherer Bedienplatzrechner
50: unsicherer Bedienplatzrechner
60: Anzeigeeinrichtung
61: Anzeigeeinrichtung
70: Anzeigeeinrichtung
80: Anzeigeeinrichtung
90: Vergleichsbaustein
100: Speicherbereich
110: Speicherbereich
120: Rechnereinheit
130: Rechnereinheit
140: Speicherbereich
141: Speicherbereich
150: Rechnereinheit
151: Rechnereinheit
200: Datenverbindung
ASM: Anzeigesoftwaremodul
AS1–AS3: Anzeigesteuersignal
BB: Bedienbefehl
BSA: Bestätigungsaufforderung
BSS: Bestätigungssignal
BS1: Bediensignal
BS1’: Bediensignal
BS2: Bediensignal
BS3: Bediensignal
D: Daten
DS: Datensatz
STB: Steuersignal

Claims

Anordnung (10) zum Steuern einer technischen Anlage (20), insbesondere einer Eisenbahngleisanlage, wobei die Anordnung (10) einen Stellwerksrechner (25), der ein Umstellen der technischen Anlage (20) veranlassen kann, und mindestens zwei Bedienplatzrechner (30, 40, 50) umfasst, mit denen Bedienbefehle (BB) erzeugt und zu dem Stellwerksrechner (25) übermittelt werden können, dadurch gekennzeichnet, dass – von den Bedienplatzrechnern (30, 40, 50) zumindest ein Bedienplatzrechner (30) ein sicherer Bedienplatzrechner (30) ist, dessen Sicherheitsniveau einen vorgegebenen Mindeststandard erreicht, und zumindest ein Bedienplatzrechner (40, 50) ein unsicherer Bedienplatzrechner (40, 50) ist, dessen Sicherheitsniveau den vorgegebenen Mindeststandard unterschreitet, – der sichere Bedienplatzrechner (30) mit dem Stellwerksrechner (25) über eine sichere Datenverbindung (200), die eine vorgegebene Übertragungssicherheit gewährleistet, verbunden ist, und – der zumindest eine unsichere Bedienplatzrechner (40, 50) mittelbar mit dem Stellwerksrechner (25) verbunden ist, nämlich über den sicheren Bedienplatzrechner (30), und die Bedienbefehle (BB) des unsicheren Bedienplatzrechners (40, 50) zu dem sicheren Bedienplatzrechner (30) und über diesen und die sichere Datenverbindung (200) zu dem Stellwerksrechner (25) übermittelt werden.
Anordnung (10) nach Anspruch 1, dadurch gekennzeichnet, dass – in dem sicheren Bedienplatzrechner (30) ein den Zustand der technischen Anlage (20) beschreibender Datensatz (DS) zentral gespeichert ist und – der unsichere Bedienplatzrechner (40, 50) derart programmiert ist, dass er unter Heranziehung des in dem sicheren Bedienplatzrechner (30) gespeicherten Datensatzes (DS) und einer vom Bediener des unsicheren Bedienplatzrechners (40, 50) vorgegebenen Darstellungsweise bedienerindividuelle Anzeigesteuersignale (AS1–AS3) erzeugt, die zu einer bedienerindividuellen Anzeige des durch den Datensatz (DS) definierten Zustands der technischen Anlage (20) auf einer mit dem unsicheren Bedienplatzrechner (40, 50) verbundenen Anzeigeeinrichtung (70, 80) führen.
Anordnung (10) nach Anspruch 2, dadurch gekennzeichnet, dass der sichere Bedienplatzrechner (30) zumindest zwei redundant betriebene Speicherbereiche (100, 110) umfasst, in denen jeweils der den Zustand der technischen Anlage (20) beschreibende Datensatz (DS) gespeichert ist.
Anordnung (10) nach Anspruch 3, dadurch gekennzeichnet, dass – zwischen dem sicheren und dem unsicheren Bedienplatzrechner (30, 40, 50) ein Vergleichsbaustein (90) angeordnet ist und – der Vergleichsbaustein (90) derart ausgestaltet ist, dass er Daten (D) des den Zustand der technischen Anlage (20) beschreibenden Datensatzes (DS) zwecks Übertragung zum unsicheren Bedienplatzrechner (40, 50) jeweils aus jedem der zumindest zwei redundant betriebenen Speicherbereiche (100, 110) ausliest und miteinander vergleicht und die ausgelesenen Daten (D) an den unsicheren Bedienplatzrechner (40, 50) lediglich dann weiterleitet, wenn diese übereinstimmen, und andernfalls eine Weiterleitung blockiert.
Anordnung (10) nach einem der voranstehenden Ansprüche, dadurch gekennzeichnet, dass – der sichere Bedienplatzrechner (30) zumindest zwei redundant arbeitende Rechnereinheiten (120, 130) umfasst, – die zumindest zwei redundant arbeitenden Rechnereinheiten (120, 130) des sicheren Bedienplatzrechners (30) nach Erhalt eines sicherheitsrelevanten Bedienbefehls (BB) des unsicheren Bedienplatzrechners (40, 50) jeweils eine Bestätigungsaufforderung (BSA) an den unsicheren Bedienplatzrechner (40, 50) übersenden, und zwar über den Vergleichsbaustein (90), und – der Vergleichsbaustein (90) derart ausgestaltet ist, dass er die Bestätigungsaufforderungen (BSA) der zumindest zwei redundant arbeitenden Rechnereinheiten (120, 130) des sicheren Bedienplatzrechners (30) miteinander vergleicht und an den unsicheren Bedienplatzrechner (40, 50) lediglich dann weiterleitet, wenn diese übereinstimmen, und andernfalls eine Weiterleitung blockiert.
Anordnung (10) nach einem der voranstehenden Ansprüche, dadurch gekennzeichnet, dass der Vergleichsbaustein (90) Steuersignale (STB), die ein Umstellen der technischen Anlage (20) bewirken würden, der zumindest zwei redundant arbeitenden Rechnereinheiten (120, 130) des sicheren Bedienplatzrechners (30) miteinander vergleicht und an den Stellwerksrechner (25) lediglich dann weiterleitet oder weiterleiten lässt, wenn diese übereinstimmen, und andernfalls eine Weiterleitung blockiert.
Verfahren zum Steuern einer technischen Anlage (20), insbesondere einer Eisenbahngleisanlage, wobei mit einem Bedienplatzrechner (30, 40, 50) Bedienbefehle (BB) erzeugt und zu einem mit der technischen Anlage (20) in Verbindung stehenden Stellwerksrechner (25) übermittelt werden und mit dem Stellwerksrechner (25) ein Umstellen der technischen Anlage (20) veranlasst wird, dadurch gekennzeichnet, dass die Bedienbefehle (BB) mit einem unsicheren Bedienplatzrechner (40, 50), dessen Sicherheitsniveau einen vorgegebenen Mindeststandard unterschreitet, erzeugt und über einen sicheren Bedienplatzrechner (30), dessen Sicherheitsniveau den vorgegebenen Mindeststandard erreicht, zu dem Stellwerksrechner (25) übermittelt werden.
Verfahren nach Anspruch 7, dadurch gekennzeichnet, dass – in dem sicheren Bedienplatzrechner (30) ein den Zustand der technischen Anlage (20) beschreibender Datensatz (DS) zentral gespeichert wird, – mit dem unsicheren Bedienplatzrechner (40, 50) unter Heranziehung des in dem sicheren Bedienplatzrechner (30) gespeicherten Datensatzes (DS) und einer vom Bediener des unsicheren Rechners vorgegebenen Darstellungsweise bedienerindividuelle Anzeigesteuersignale (AS1–AS3), die zu einer bedienerindividuellen Anzeige des durch den Datensatz (DS) definierten Zustands der technischen Anlage (20) führen, erzeugt werden und – die Anzeigesteuersignale (AS1–AS3) auf einer mit dem unsicheren Bedienplatzrechner (40, 50) verbundenen Anzeigeeinrichtung (70, 80) angezeigt werden.
Verfahren nach Anspruch 8, dadurch gekennzeichnet, dass – der den Zustand der technischen Anlage (20) beschreibende Datensatz (DS) redundant in zumindest zwei Speicherbereichen (100, 110) gespeichert wird und – Daten (D) des den Zustand der technischen Anlage (20) beschreibenden Datensatzes (DS) zwecks Übertragung zum unsicheren Bedienplatzrechner (40, 50) jeweils aus jedem der zumindest zwei Speicherbereiche (100, 110) ausgelesen und miteinander verglichen werden und die ausgelesenen Daten (D) an den unsicheren Bedienplatzrechner (40, 50) lediglich dann weiterleitet werden, wenn diese übereinstimmen, und andernfalls eine Weiterleitung blockiert wird.