-
Es werden eine Anlagenkomponente für eine sicherheitsrelevante Anlage und eine sicherheitsrelevante Anlage mit mehreren solchen Anlagenkomponenten angegeben. Darüber hinaus wird ein Betriebsverfahren für eine solche Anlage angegeben.
-
Die Druckschrift
WO 2018/234039 A1 betrifft ein Verfahren zum Übermitteln von Nachrichten in einer sicherheitsrelevanten Anlage.
-
Eine zu lösende Aufgabe liegt darin, eine sicherheitsrelevante Anlage anzugeben, die effizient aufgebaut ist.
-
Diese Aufgabe wird unter anderem durch Anlagenkomponenten, durch eine modular aufgebaute sicherheitsrelevante Anlage sowie durch ein Betriebsverfahren mit den Merkmalen der unabhängigen Ansprüche gelöst. Bevorzugte Weiterbildungen sind Gegenstand der übrigen Ansprüche.
-
In einer Ausführungsform umfasst die Anlagenkomponente eine Ansteuereinheit und ein anzusteuerndes Dienstelement oder mehrere anzusteuernde Dienstelemente. Das mindestens eine Dienstelement ist zum Beispiel eine Lichtquelle, ein Motor, ein Aktuator, eine Schranke, eine Weiche oder ein Sensor, also ein Steuerelement oder ein Schaltelement. Die Ansteuereinheit umfasst ein Betriebsmodul und ein Überwachungsmodul, die bevorzugt voneinander unabhängige Software-Module sind. Außerdem umfasst die Ansteuereinheit eine Ansteuerschnittstelle, eine Rückleseschnittstelle, eine Unterbrecherschnittstelle sowie eine Kommunikationsschnittstelle.
-
Die Ansteuerschnittstelle ist für eine Ansteuerung des zugeordneten, zumindest einen Dienstelements durch das Betriebsmodul eingerichtet. Die Rückleseschnittstelle ist dazu eingerichtet, dass durch das Überwachungsmodul ein Betriebszustand des zumindest einen zugeordneten Dienstelements erfasst wird. Die Unterbrecherschnittstelle ist im Fehlerfall für eine Zurücksetzung des zumindest einen Dienstelements durch das zugehörige Überwachungsmodul eingerichtet. Schließlich dient die Kommunikationsschnittstelle für eine externe Kommunikation, insbesondere für eine Kommunikation zwischen verschiedenen Anlagenkomponenten.
-
Zum Beispiel in der Eisenbahntechnik geht ein Trend, genau wie in anderen Sektoren mit Sicherheitsverantwortung, wie im Automobilbereich oder in der Industrieautomatisierung, hin zur Nutzung von COTS-Komponenten (COTS: Connection Oriented Transport Service), die alle Prozessoren mitbringen, und zwar schon bei sehr kleinen Elementen, wie LEDs, Schaltern oder einfachen Anzeigeelementen. Trotzdem werden in der Regel immer noch proprietäre sichere Rechner benötigt, und sei es nur zu einem Voting wie zum Beispiel bei DS3 (DS3: Distributed Smart Safe System).
-
Eine Idee der hier beschriebenen Anlage ist an den Bereich der Schwarmintelligenz angelehnt und liegt darin, Sicherheitsaufgaben mittels einfacher, als atomar bezeichenbarer Elemente aufzubauen, die sich insbesondere bis auf ihre identitätsabhängige Projektierung gleich verhalten und die sehr ähnlich aufgebaut sein können. Diese atomaren Elemente bilden die Anlagenkomponenten der sicherheitsrelevanten Anlage.
-
Jedes atomare Element besteht bevorzugt aus einem, im einfachsten Fall binären, Dienstelement, das zum Beispiel ein Steuerelement oder ein Schaltelement ist, wie eine Lampe oder ein Schalter oder ein Aktuator. Zu dem Dienstelement gibt es eine Ansteuerschnittstelle, eine Unterbrecherschnittstelle und eine Rückleseschnittstelle. Außerdem ist pro atomarem Element ein Prozessor mit Kommunikationsschnittstellen vorhanden. Eine Kommunikationsschnittstelle des atomaren Elements ist zum Beispiel durch einen Bus, durch eine WLAN-Verbindung oder durch eine 5G-Verbindung realisiert.
-
Auf den Prozessoren der atomaren Elemente laufen je mindesten zwei Software-Systeme, also zumindest das Betriebsmodul und das Überwachungsmodul, die sich in Aufbau und Datenspeicherung bevorzugt unterscheiden und beispielsweise nach dem Coded Processing-Prinzip oder nach dem Watchdog-Prinzip arbeiten. Jeder Prozessor hat für jeden Kanal eine eigene Identität, erforderlichenfalls auch Authentifizierungsmechanismen wie zum Beispiel PKI (Public Key Infrastructure), wenn eine relativ hohe Sicherheit bei der Datenübertragung gefordert ist. Weiterhin kennt bevorzugt jedes einzelne atomare Element die Funktionalität der gesamten sicherheitsrelevanten Anlage, woraus seine eigene Funktion zum Beispiel ausschließlich durch Projektierung abgeleitet wird. Ein Beispiel sind endliche Zustandsautomaten, da viele Sicherheitssysteme zustandsbasiert sind.
-
Die sicherheitsrelevante Anlage arbeitet zyklisch. Hierfür sind geeignete Protokolle bekannt, die eine Zeitsynchronisation und/oder eine Zustandssynchronisation leisten können, zum Beispiel BFT (BFT: Byzantine Fault Tolerance) oder Raft, je nach den konkreten Anforderungen.
-
Die Arbeitsweise der sicherheitsrelevanten Anlage ist nun insbesondere wie folgt:
- - In jedem Zyklus bestimmt jedes atomare Element seine Eingangswerte, falls das betreffende atomare Element ein Sensor ist, oder seinen Zustand.
- - Diese Eingangswerte oder dieser Zustand werden/wird mit allen anderen atomaren Elementen synchronisiert. Die Kommunikation erfolgt dabei mindestens zweikanalig mit einem betriebsführenden und mit mindestens einem überwachenden Kanal, kann alternativ aber auch einkanalig erfolgen.
- - Aus der Synchronisierung wird der neue Gesamtzustand des Systems bestimmt.
- - Nun werden die Ausgangswerte des Systems in Übereinstimmung mit dem Gesamtzustand gesetzt, falls Abweichungen bestehen.
-
Als Anwendungsbeispiele dienen Lichtsignalanlagen oder Bahnübergänge oder einfache Stellwerke. Alle diese vergleichsweise einfachen Systeme werden derzeit üblicherweise von einem zentralen sicheren Rechner gesteuert. Mittlerweile können jedoch Peripherie-Geräte über relativ intelligente Komponenten verfügen, zum Beispiel Steuerschaltungen von LEDs. Bei der hier beschriebenen Anlage wird die Intelligenz der Peripherie-Geräte zur Steuerung und zur Kontrolle der Anlage herangezogen, sodass keine oder nur wenige zusätzliche Komponenten nötig sind. Dies wird insbesondere durch die Aufteilung in die Betriebsmodule und Überwachungsmodule sowie durch die Kommunikation zwischen den Anlagenkomponenten erzielt.
-
Alternativ zu einfachen Anlagenkomponenten lassen sich auch Systemen mit komplexeren diskreten Eingabewerten und/oder Ausgabewerten mit dem hier beschriebenen Konzept verwalten. Dabei ist sicherzustellen, dass die Überwachungsmodule direkt einen betriebshemmenden Zustand ansteuern können.
-
Eine Idee der hier beschriebenen Anlage liegt somit zusammenfassend in der Zerlegung in atomare Untereinheiten, die alle ähnlich nach demselben Sicherungsprinzip aufgebaut sind. Mit diesem Konzept ist es möglich, auf proprietäre Sicherheitshardware zu verzichten.
-
In einer Ausführungsform umfasst die sicherheitsrelevante Anlage mehreren Anlagenkomponenten und eine Kommunikationsleitung. Die Kommunikationsschnittstellen der Anlagenkomponenten sind mittels der Kommunikationsleitung untereinander verbunden. Die Kommunikationsleitung kann dabei kabelgebunden oder drahtlos gestaltet sein. Die Anlage ist frei von einem Zentralrechner für eine zentralisierte Ansteuerung der Anlagenkomponenten. Das heißt, die Anlage ist für eine dezentrale Ansteuerung der Anlagenkomponenten bevorzugt ausschließlich mittels der Ansteuereinheiten eingerichtet.
-
Gemäß zumindest einer Ausführungsform sind in den Anlagenkomponenten jeweils die Ansteuereinheit und das mindestens eine zugehörige Dienstelement monolithisch integriert. Das heißt, die Anlagenkomponenten sind Bauteile, die als solche ohne die Zusammenfügung weiterer Komponenten verbaut werden können. Insbesondere sind die Ansteuereinheit und das mindestens eine zugehörige Dienstelement mechanisch fest miteinander verbunden und/oder befinden sich in einem gemeinsamen Gehäuse und/oder auf einem gemeinsamen Träger wie einer Platine.
-
Gemäß zumindest einer Ausführungsform sind die Betriebsmodule und die Überwachungsmodule voneinander unabhängige Software-Module. Es ist möglich, dass innerhalb der Ansteuereinheiten jeweils eine direkte Kommunikation zwischen den Überwachungsmodulen und den Betriebsmodulen unterbunden ist. Die Überwachungsmodule und die Betriebsmodule können bevorzugt nur indirekt über die Kommunikationsleitung miteinander kommunizieren.
-
Alternativ zu einer flexiblen Programmierung als Software können die Betriebsmodule und die Überwachungsmodule als Hardware implementiert sein, zum Beispiel in einem anwenderspezifischen Schaltkreis.
-
Gemäß zumindest einer Ausführungsform sind die Überwachungsmodule und die Betriebsmodule innerhalb der jeweiligen Ansteuereinheit in einem gemeinsamen Mikroprozessor implementiert. Die Module können in unterschiedlichen Bereichen des Mikroprozessors lokalisiert sein und/oder in einem Multitasking-Modus ausgeführt werden. Insbesondere laufen die Überwachungsmodule und die Betriebsmodule parallel.
-
Gemäß zumindest einer Ausführungsform sind die Überwachungsmodule und die Betriebsmodule innerhalb der Ansteuereinheiten jeweils in einem eigenen Mikroprozessor implementiert. Das heißt, in den Ansteuereinheiten befinden sich je mindestens zwei separate Mikroprozessoren.
-
Gemäß zumindest einer Ausführungsform umfassen einige oder alle Anlagenkomponenten einen oder mehrere Betriebszustandssensoren. Die Betriebszustandssensoren sind jeweils an die Rückleseschnittstelle der zugehörigen Betriebseinheit angeschlossen oder sind ein Teil der Rückleseschnittstelle. Die Betriebszustandssensoren sind durch einen oder mehrere der folgenden Sensoren gebildet: Temperatursensor, Farbsensor, Helligkeitssensor, Stromsensor, Spannungssensor, Widerstandssensor, Abstandssensor, Lagesensor, Beschleunigungssensor, Uhr.
-
Die Unterbrecherschnittstellen der Anlagenkomponenten können je eine Unterbrechereinheit, zum Beispiel einen Schalter, aufweisen oder an eine Unterbrechereinheit angeschlossen sein, wobei dann die Unterbrechereinheit mittels der zugeordneten Unterbrecherschnittstelle angesteuert wird.
-
Gemäß zumindest einer Ausführungsform sind die Kommunikationsschnittstellen einiger oder aller Ansteuereinheiten baugleich. Hierdurch lässt sich eine effiziente Kommunikation zwischen den Ansteuereinheiten erreichen.
-
Gemäß zumindest einer Ausführungsform sind einige oder alle Überwachungsmodule untereinander konstruktionsgleich oder baugleich. Konstruktionsgleich bedeutet insbesondere, dass die Überwachungsmodule den gleichen prinzipiellen Aufbau und/oder die gleichen Routinen aufweisen. Eine Designanpassung zwischen den Überwachungsmodulen liegt zum Beispiel nur darin, dass verschiedenartige Betriebszustandssensoren angeschlossen sind.
-
Gemäß zumindest einer Ausführungsform umfasst die Anlage mindestens vier oder mindestens sechs der Anlagenkomponenten. Alternativ oder zusätzlich liegt die Anzahl der Anlagenkomponenten bei höchstens 50 oder bei höchstens 30 oder bei höchstens 15. Durch die vergleichsweise geringe Anzahl von Anlagenkomponenten ist eine schnelle Synchronisierung zwischen den Ansteuereinheiten möglich. Zum Beispiel beträgt eine Zykluszeit zum Synchronisieren der Betriebseinheiten untereinander und/oder eine Prüfzeit für das Überwachen der Dienstelemente höchstens 0,5 s oder höchstens 0,2 s oder höchstens 0,05 s. Die Prüfzeit ist insbesondere die Zeitspanne, die von den Überwachungsmodulen maximal benötigt wird um festzustellen, ob das zugeordnete Dienstelement den korrekten Zustand aufweist.
-
Darüber hinaus wird ein Betriebsverfahren für eine sicherheitsrelevante Anlage, wie oben beschrieben, angegeben. Merkmale des Betriebsverfahrens sind daher auch für die Anlage offenbart und umgekehrt.
-
Das Betriebsverfahren beinhaltet insbesondere, dass
- - die Dienstelemente durch die Betriebsmodule angesteuert werden,
- - Betriebszustände der Dienstelemente durch die Überwachungsmodule überwacht werden,
- - im Falle einer Fehlfunktion zumindest eines der Dienstelemente durch zumindest eines der Überwachungsmodule in einen vordefinierten Grundzustand geschaltet wird, und
- - sich die Betriebseinheiten untereinander über die Kommunikationsleitung zyklisch synchronisieren.
-
Eine Korrekturzeit für das Zurückschalten in den Grundzustand ist bevorzugt maximal die Prüfzeit. Der Grundzustand ist beispielsweise ein Aus-Zustand des betreffenden Dienstelementes oder eine zuvor festgelegte Position des Dienstelementes, zum Beispiel wenn das Dienstelement ein Motor oder eine Weiche ist.
-
Handelt es sich bei einem der Dienstelemente um eine sicherheitsrelevante Komponente wie eine Weiche oder eine Schranke, so kann das Zurückschalten in den Grundzustand bedeuten, dass ein anderes Dienstelement in einen bestimmten Zustand versetzt wird. Zum Beispiel wird das andere Dienstelement, wie ein Stoppsignal, dauerhaft angeschaltet.
-
Die oben genannten Eigenschaften, Merkmale und Vorteile der Erfindung und die Art und Weise, wie diese erreicht werden, werden durch die folgende Beschreibung der Ausführungsbeispiele der Erfindung in Verbindung mit den entsprechenden Figuren weitergehend erläutert, wobei
- die 1 und 2 schematische Darstellungen von hier beschriebenen sicherheitsrelevanten Anlagen zeigen,
- die 3 bis 5 schematische Schnittdarstellungen von Anlagenkomponenten für hier beschriebene Anlagen zeigen, und 6 eine schematische Darstellung eines Betriebsverfahrens für hier beschriebenen Anlagen zeigt.
-
In 1 ist ein Ausführungsbeispiel einer sicherheitsrelevanten Anlage 1 dargestellt. Die Anlage 1 umfasst mehrere Anlagenkomponenten 2, von denen lediglich eine detaillierter illustriert ist. Die Anlagenkomponenten 2 umfassen je ein Dienstelement 4, zum Beispiel Lichtquellen. Ferner weist jede der Anlagenkomponenten 2 eine Ansteuereinheit 3 auf.
-
Die Anlagenkomponenten 2 können weitgehend baugleich sein. Beispielsweise unterscheiden sich die Anlagenkomponenten 2 nur in ihren Dienstelementen 4 voneinander. Die Anlagenkomponenten 2 sind zum Beispiel Lichtzeichen, die Anlage 1 ist eine Ampelanlage. Die Anlagenkomponenten 2 sind räumlich getrennte, separate Bauteile.
-
Die Ansteuereinheiten 3 umfassen je ein Betriebsmodul 31 und ein Überwachungsmodul 32 sowie eine Ansteuerschnittstelle 33, eine Rückleseschnittstelle 34, eine Unterbrecherschnittstelle 35 sowie eine Kommunikationsschnittstelle 36. Die Anlagenkomponenten 2 sind untereinander mittels einer Kommunikationsleitung 6 verbunden. Die Kommunikationsleitung 6 ist insbesondere frei von einem externen Zugang und verbindet ausschließlich die Anlagenkomponenten 2 miteinander. Die Betriebsmodule 31, die Überwachungsmodule 32 und die Dienstelemente 4 sind einander bevorzugt eineindeutig zugeordnet. Die Schnittstellen 33, 34, 35 können Kabelverbindungen sein.
-
Pro Anlagenkomponente 2 sind in 1 zwei Anbindungen an die Kommunikationsleitung 6 vorhanden. Diese beiden Anbindungen können je physisch voneinander getrennt sein oder alternativ physisch vereint sein, sodass dann nur eine programmiertechnische Trennung der Anbindungen vorliegt.
-
Eine Ansteuerung des Dienstelements 4 der Anlagenkomponenten 2 erfolgt je über deren Ansteuerschnittstelle 33 durch das betreffende Betriebsmodul 31. Über die Rückleseschnittstelle 34 erfolgt eine Erfassung eines aktuellen Betriebszustands des Dienstelements 4 durch das Überwachungsmodul 32. Mit anderen Worten wird mit dem Überwachungsmodul 32 überprüft, ob das Dienstelement 4 den Zustand einnimmt, der vom Betriebsmodul 31 vorgegeben wird. Ist dem nicht so, so wird das Dienstelement 4 über die Unterbrecherschnittstelle 35 durch das Überwachungsmodul 32 in einen zuvor festgelegten Grundzustand geschaltet. Insbesondere wird bei Fehlzuständen ein Betrieb des Dienstelements 4 unterbrochen. Dieses Zurückschalten wirkt bevorzugt unmittelbar auf das Dienstelement 4, ohne dass das zugeordnete Betriebsmodul 31 beteiligt ist.
-
Das Betriebsmodul 31 und das Überwachungsmodul 32 sind Software-Module, die auf einem gemeinsamen Prozessor laufen, wobei die Module 31, 32 untereinander nicht direkt miteinander kommunizieren, sondern eigenständige Software-Systeme bilden. Eine Synchronisierung aller Module 31, 32 untereinander erfolgt über die Kommunikationsleitung 6.
-
Im Ausführungsbeispiel der 2 ist die Anlage 1 ein Teil eines Bahnbetriebssystems. Die Anlagenkomponente 2a, 2b sind Lichtsignale, die Anlagenkomponente 2c ist ein Schrankenstellmotor an einer Schranke an einer Straße 71 und die Anlagenkomponente 2d ist ein Sensor und/oder ein Signal für ein nicht gezeichnetes Schienenfahrzeug. Optional umfasst die Anlage 1 als Anlagenkomponente 2e eine Weiche an Schienen 72.
-
Eine Kommunikation zwischen den nahe beieinander liegenden Anlagenkomponenten 2a, 2b, die im gleichen Gehäuse verbaut sein können, erfolgt kabelgebunden oder drahtlos. Eine Kommunikation zwischen den Anlagenkomponenten 2c, 2d, 2e und hin zu den Anlagenkomponenten 2a, 2b erfolgt bevorzugt drahtlos, zum Beispiel mittels 5G, symbolisiert durch eine Strichlinie.
-
Im Ausführungsbeispiel der 3 ist gezeigt, dass die Anlagenkomponente 2 einen optionalen Betriebszustandssensor 5 umfasst, wie auch in allen anderen Ausführungsbeispielen möglich. Es sind beispielsweise mehrere der Dienstelemente 4 vorhanden, die gemeinsam von dem Betriebsmodul 31 angesteuert werden. Der Betriebszustandssensor 5 ist insbesondere ein Helligkeitssensor oder ein Widerstandssensor, mit dem der Betriebszustand der Dienstelemente 4 bestimmt wird. Die Module 31, 32 sind in separaten Prozessoren untergebracht. Optional ist eine gemeinsame Speichereinheit 37 vorhanden.
-
Gemäß 4 handelt es sich bei dem Dienstelement 4 um einen LED-Chip, der zusammen mit der Ansteuereinheit 3 und dem optionalen Betriebszustandssensor 5 in einem Gehäuse 81, das zum Beispiel aus einem spritzgegossenen Kunststoff ist, untergebracht ist. Über elektrische Kontaktflächen 82 erfolgt eine Anbindung an die nicht gezeichnete Kommunikationsleitung.
-
Beim Ausführungsbeispiel der 5 handelt es sich beim Dienstelement 4 der Anlagenkomponente 2 um einen Motor. Über die Rückleseschnittstelle 34 wird etwa eine Position oder Drehgeschwindigkeit bestimmt. Entspricht ein Signal an der Rückleseschnittstelle 34 nicht dem, was durch das Betriebsmodul 31 vorgegeben ist, so setzt das Überwachungsmodul 32 das Dienstelement 4 in einen bestimmten Zustand. Wie auch in allen anderen Ausführungsbeispielen ist es prinzipiell möglich, dass die Unterbrecherschnittstelle 35 nicht an einer Zuleitung zum Dienstelement 4 ansetzt, sondern ein Signal direkt an das Betriebsmodul 31 sendet.
-
In 6 ist ein Betriebsverfahren für eine Anlage 1 illustriert. Die Pfeile symbolisieren die jeweiligen Kommunikationsrichtungen und Einwirkmöglichkeiten. Die Betriebsmodule 31 senden Betriebsdaten an die Dienstelemente 4. Mittels der Überwachungsmodule 32 werden die Betriebszustände der Dienstelemente 4 kontrolliert. Stimmt der ermittelte Betriebszustand nicht mit dem durch das Betriebsmodul 31 gesetzten Zustand überein, so greift das betreffende Überwachungsmodul 32 ein und setzt den Betriebszustand zurück. Der Eingriff kann, wie gezeichnet, direkt auf die Ansteuerschnittstelle 34 oder auf eine Ansteuerleitung erfolgen, oder auch, anders als gezeichnet, direkt auf das betreffende Dienstelement 4 oder direkt auf das betreffende Betriebsmodul 31. Stimmen der durch das Betriebsmodul 31 gesetzte Zustand und der ermittelte Zustand wieder überein, so wird der Eingriff durch das Überwachungsmodul 32 beendet.
-
Die Betriebsmodule 31 sind bevorzugt untereinander konstruktionsgleich, also nach dem gleichen Konzept aufgebaut und, soweit möglich, mit den gleichen Komponenten realisiert. Dies gilt in gleicher Weise für die Überwachungsmodule 32. Die Anlagenkomponenten 2 unterscheiden sich insbesondere nur in ihren Dienstelementen 4 und damit verbunden in der Ansteuerung sowie der Kontrolle der Dienstelemente 4.
-
Eine Synchronisierung zwischen allen Modulen 31, 32 erfolgt bidirektional über die Kommunikationsleitung 6, zum Beispiel mit einer Periodizität von höchstens 0,5 s. Optional ist an die Kommunikationsleitung 6 eine Zugangsvorrichtung 9 angeschlossen, über die zum Beispiel eine Wartung und/oder eine Fehleranalyse erfolgt. Ansonsten ist bevorzugt keine Kommunikation mit der Anlage 1 vorgesehen.
-
Obwohl die Erfindung anhand von Ausführungsbeispielen detailliert dargestellt und beschrieben wurde, ist die Erfindung nicht auf die offenbarten Ausführungsbeispiele und die darin erläuterten konkreten Merkmalskombinationen beschränkt. Weitere Variationen der Erfindung können von einem Fachmann erhalten werden, ohne den Schutzumfang der beanspruchten Erfindung zu verlassen.
-
Bezugszeichenliste
-
- 1
- sicherheitsrelevante Anlage
- 2
- Anlagenkomponente
- 3
- Ansteuereinheit
- 31
- Betriebsmodul
- 32
- Überwachungsmodul
- 33
- Ansteuerschnittstelle
- 34
- Rückleseschnittstelle
- 35
- Unterbrecherschnittstelle
- 36
- Kommunikationsschnittstelle
- 37
- Speichereinheit
- 4
- Dienstelement
- 5
- Betriebszustandssensor
- 6
- Kommunikationsleitung
- 71
- Straße
- 72
- Schiene
- 81
- Gehäuse
- 82
- elektrische Kontaktfläche
- 9
- Zugangsvorrichtung
-
ZITATE ENTHALTEN IN DER BESCHREIBUNG
-
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
-
Zitierte Patentliteratur
-
