DE19606894C2 - Einrichtung zur signaltechnisch sicheren Steuerung und Überwachung elektrischer Verbraucher im Eisenbahnwesen - Google Patents

Description

Einrichtung zur signaltechnisch sicheren Steuerung und Über­ wachung elektrischer Verbraucher im Eisenbahnwesen.

Zum Steuern und Überwachen des Eisenbahnverkehrs werden heute üblicherweise elektronische Stellwerke verwendet (Signal + Draht 75 (1983) 11, Seiten 210-215). Diese erarbeiten nach An­ forderungen von Fahrdienstleitern oder auf Anreizung durch eine Automatik Fahranweisungen für die die Strecke befahren­ den Züge, stellen die entsprechenden Fahrstraßen, überwachen sie und lösen sie nach dem Befahren wieder auf. Die Stell- und Überwachungseinrichtungen für die Feldelemente der elek­ tronischen Stellwerke sind wie bei den Relaisstellwerken Be­ standteil der Innenanlage. Dabei ist die Steuerung und Über­ wachung der Weichen wie bei den Relaisstellwerken mit den dort bewährten Weichenschaltungen in Relaistechnik realisiert worden. Die signaltechnische Sicherheit der Weichenstell- und -überwachungseinrichtungen wird durch Verfahrenssicherung und durch Verwendung sicherungstechnischer Bauelemente erreicht; die Verfahrenssicherung basiert auf der Überprüfung aller in die Stell- und Überwachungsvorgänge eingebundenen Komponenten in regelmäßigen Abständen oder auch ereignisgesteuert. Ähn­ lich wie bei der Weichensteuerung verhält es sich bei der Lichtsignalsteuerung. Die notwendige Sicherheit wird auch hier durch die Verwendung sicherungstechnischer Bauelemente und durch Verfahrenssicherung erreicht. Entsprechend dem Be­ triebsablauf werden sämtliche Bausteine im Stellteil, die Zu­ leitungen zum Lichtsignal und die Signallampen geprüft. Wer­ den gegenüber dem Betriebsablauf kürzere Prüfzyklen gefordert, so können auch diese bis hin zur Leuchtbereitschafts­ prüfung der Signallampen durchgeführt werden. Die Reaktionen von Überwachern und Meldern werden an ein bewertendes Rech­ nersystem übertragen, das die Meldungen durch Soll/Ist- Vergleich auswertet und entsprechend reagiert.

Auch bei elektronischen Stellwerken werden wie bei Re­ laisstellwerken zum Schalten der zu den Verbrauchern führen­ den Adern bislang Signalrelais verwendet. Dies sind für die Belange der Eisenbahnsignaltechnik speziell entwickelte Re­ lais, bei denen konstruktiv durch eine starre Kopplung der Kontakte untereinander sichergestellt ist, daß Öffner und Schließer nicht gleichzeitig geschlossen sein können. Diese Eigenschaft von Signalrelais ist die Voraussetzung dafür, daß die Kontaktstellung von z. B. in Stellstromkreisen angeordne­ ten Signalrelaiskontakten zuverlässig über weitere, mit den zu überwachenden Kontakten zwangsgeführte Kontakte des Relais in anderen Stromkreisen überwacht werden können. Derartige Signalrelais sind naturgemäß sehr viel teurer als herkömmli­ che Steuerrelais, selbst wenn diese besonders zuverlässig ausgeführt sind. Bisher können solche Steuerrelais in sicher­ heitskritischen Anwendungen der Eisenbahnsignaltechnik nicht verwendet werden, weil nicht sichergestellt ist, daß die Schaltstellung eines von einer Schaltung oder von einem Rech­ ner überwachten Kontaktes mit der Schaltstellung eines ent­ sprechenden Kontaktes dieses Relais in einem sicherheitsrele­ vanten Verbraucherstromkreis tatsächlich übereinstimmt. Die mangelnde Prüfbarkeit ist auch der Grund dafür, daß bislang für derartige sicherheitsrelevanten Stromkreise auch keine elektronischen Schaltmittel, sondern regelmäßig mehrere in Reihe geschaltete Kontakte bzw. Einzelkontakte von Sicher­ heitsrelais verwendet werden.

Ein Beispiel für die Verwendung von Signalrelais ist in der DE 37 15 478 C2 offenbart. Aus diesem Dokument ist eine Schaltungsanordnung zur Überwachung einer Weiche bekannt. Der Weichenantrieb wird über ein Drehstromnetz geschaltet, wobei in jeder Ader ein Leistungsschalter angeordnet ist, der mit­ tels Signalrelais angesteuert wird. Die Relaiszustände werden über Prüfkontakte in einen Rechner eingelesen und an Hand ei­ nes Soll/Ist-Vergleiches ausgewertet.

Aufgabe der Erfindung ist es, eine Einrichtung nach dem Ober­ begriff des Patentanspruches 1 anzugeben, die speziell für die sicherheitsrelevante Steuerung im Eisenbahnwesen ohne die dafür entwickelten, an sich bewährten Signalrelais auskommt. Die die Signalrelais ersetzenden Relais/Schütze sollen nur nach den elektrischen Betriebsbedingungen, der Zuverlässig­ keit und den Kosten auswählbar sein.

Die Erfindung löst diese Aufgabe durch die Anwendung der kennzeichnenden Merkmale des Patentanspruches 1. Vorteilhafte Ausgestaltungen und Weiterbildungen der Erfindung sind in den Unteransprüchen angegeben.

Die Erfindung ist nachstehend anhand von in der Zeichnung dargestellten Ausführungsbeispielen näher erläutert. Die Zeichnung zeigt in

Fig. 1 in ausschnittsweiser Darstellung das Stellteil eines Lichtsignals und in

Fig. 2 ebenfalls in ausschnittsweiser Darstellung das Stellteil eines Weichenan­ triebs.

Die Bezeichnung von Schaltmitteln, die zur Erläute­ rung der vorliegenden Erfindung nicht unbedingt erforderlich sind, ist in der Zeichnung aus Gründen der Übersichtlichkeit unterblieben.

Das in Fig. 1 schematisch dargestellte Lichtsignal LS ist mit einer Fahrtsignallampe LG und einer Haltsignallampe LR versehen, die von einem Stellwerk im Wechsel anschaltbar sind. Hierzu sind die beiden Signallampen über schematisch angedeutete, auch längere Speiseleitungen L1, L2 mit der In­ nenanlage des Stellwerks verbunden. Zum Schalten der Signal­ lampen dienen in an sich bekannter Weise vom Stellwerk aus nacheinander einstellbare Steller S0 und S1. Die Anschaltung dieser Steller geschieht aus einem sicheren Rechnersystem heraus, das zusammen mit anderen Rechnersystemen das Stell­ werk bildet. Von diesem sicheren Rechnersystem bedient der eine Kanal den einen Steller und der andere Kanal den anderen Steller. Die Kanaltrennung ist in Fig. 1 durch eine gepunk­ tete Linie verdeutlicht; gestrichelte Linien deuten eine un­ verlierbare Potentialtrennung zwischen den einzelnen Kompo­ nenten der Einrichtung an.

Die beiden Steller S0 und S1 sind abweichend vom Stand der Technik nicht als Signalrelais mit zwangsgeführten Arbeits- und Ruhekontakten, sondern als Steuerrelais mit nicht zwangs­ geführten Umschaltkontakten S0/1 und S0/2 bzw. S1/1 ausgebil­ det. Sie sind mechanisch so ausgelegt, daß die einzelnen Um­ schaltkontakte, sollten sie in einer Lage verschweißen, beim Umsteuern des betreffenden Relais nicht mehr wechseln können; der Öffnerkontakt bleibt geschlossen und der Schließerkontakt bliebt offen. Das bedeutet, daß im Störungsfall einer der Kontakte des Stellers S0 mechanisch festgehalten wird, wäh­ rend der andere Umschaltkontakt des Relais weiterhin ord­ nungsgerecht arbeitet. Ein solches Hängenbleiben eines Kon­ taktes in der einen oder anderen Lage ist auch bei Verwendung zuverlässiger Steller nicht auszuschließen; der eingetretene Fehler ist aufzuzeigen.

Durch die Verwendung von signaltechnisch nicht sicheren Stel­ lern S0, S1 ist es nicht mehr möglich, das ordnungsgerechte Funktionsverhalten der Steller über zusammen mit den Kontak­ ten S0/1, S0/2; S1/1 betätigte weitere Kontakte der betref­ fenden Steller zuverlässig zu überwachen. Das überwachende Rechnersystem ist deshalb darauf angewiesen, zur Funkti­ onsprüfung der Steller deren Schaltstellung im jeweils ge­ schalteten Lichtsignalstromkreis zu kontrollieren. Dies ge­ schieht vorliegend durch Überwachen einer Spannung, die mit­ tels eines Meßwiderstandes Rx aus dem während des Meßvorgan­ ges im Speisekreis der jeweils überwachten Signallampe flie­ ßenden Speisestrom abgeleitet wird. Diese Meßspannung wird über einen Optokoppler OK3 an den Fensterdiskriminator FD ei­ nes Überwachers U gegeben, der die jeweilige Meßspannung be­ wertet und das Bewertungsergebnis über einen Optokoppler OK1 an die beiden Rechnerkanäle des sicheren Rechnersystems wei­ tergibt. Das Rechnersystem liest die ihm vom Fensterdiskrimi­ nator zugeführten Signale ein und erkennt im Störungsfall aus dem Auftreten zur Zeit nicht erwarteter Meldesignale ein un­ zeitige Offensein/Geschlossensein mindestens einer der Schal­ ter. Aus dem in Fig. 1 bei angeschalteter Signallampe LR für den Haltsignalbegriff im Lampenstromkreis fließenden Speise­ strom erkennt das Rechnersystem mittels des ihm vom Fenster­ diskriminator übermittelten Meldesignals, daß die beiden Öff­ nerkontakte S01/1 und S02/2 des betriebsmäßig abgeschalteten Stellers S0 und der Öffnerkontakt S1/1 des ebenfalls abge­ schalteten Stellers S1 tatsächlich geschlossen sind. Würde einer dieser Kontakte störungsbedingt in der jeweils anderen Schaltstellung verbleiben, so wäre der Stromfluß über die Haltsignallampe unterbrochen oder der Meßwiderstand wäre kurzgeschlossen, so daß der Fensterdiskriminator ein zu die­ ser Zeit nicht erwartetes Meldesignal an das Rechnersystem übermitteln würde. Ob einer dieser Kontakte in der darge­ stellten Lage verschweißt ist, erkennt das bewertende Rech­ nersystem bei der Anschaltung der Fahrtsignallampe LG. Hierzu veranlaßt das Rechnersystem über den einen Rechnerkanal zu­ nächst die Umsteuerung des Stellers S0. Arbeiten dessen Kon­ takte ordnungsgerecht, so unterbricht der Kontakt S0/2 den Speisekreis für die noch angeschaltete Haltesignallampe LR, während der Kontakt S0/1 den Kontakt S0/2 umschaltet; die Haltsignallampe bleibt also angeschaltet. Der Kontakt S0/1 überbrückt aber nicht nur den Kontakt S0/2, sondern auch den Meßwiderstand Rx, so daß während der alleinigen Anschaltung des Stellers S0 der Fensterdiskriminator FD das Unterschrei­ ten eines vorgegebenen Schwellwertes detektiert und eine ent­ sprechende Meldung an das bewertende Rechnersystem übermit­ telt. Gleichzeitig schaltet der Kontakt SO/1 in Verbindung mit dem Kontakt SO/2 die Fahrtsignallampe LG einpolig an. Wenn in dieser Zeit störungsbedingt durch Aderberührung an einer zur Signallampe LG für den Fahrtbegriff führenden Ader Spannung anliegen würde, so würde dies zur Folge haben, daß der dann fließende Strom im Meßwiderstand Rx einen Spannungs­ abfall aufbaut, der über den Fensterdiskriminator erfaßt und an das Rechnersystem weitergemeldet würde; das Rechnersystem würde aus dem unzeitigen Auftreten des betreffenden Meldesi­ gnals das Vorhandensein einer Störung erkennen. Ein Ver­ schweißen eines der beiden Stellerkontakte S0/1, S0/2 hat die gleichen Auswirkungen wie eine Aderberührung. Wenn z. B. der Stellerkontakt S0/1 in der dargestellten Lage verschweißt wä­ re, so wäre dies beim Anschalten des Stellers SO erkennbar, weil über den dann umgelegten Stellerkontakt S0/2 der Strom­ fluß über die Fahrtsignallampe LG unterbrochen wäre, so daß dem Rechnersystem vom Fensterdiskriminator her ein zur Zeit nicht erwartetes Meldesignal zugeführt würde. Ähnliches ge­ schieht, wenn der Stellerkontakt S0/2 in der dargestellten Stellung verschweißt wäre. Beim Anschalten des Stellers S0 würde dann nur der Stellerkontakt S0/1 wechseln. Dieser würde die anschließende Anschaltung der Fahrtsignallampe LG verhin­ dern, weil er eine Verbindung statt zur Fahrtsignallampe LG zur Haltsignallampe LR geschaltet hat.

Das Verschweißen des Stellerkontaktes S1/1 in der einen oder der anderen Lage macht das Anschalten der Fahrtsignallampe LG bzw. das Abschlten der Haltsignallampe LR unmöglich. Eine entsprechende Rückmeldung des Fensterdiskriminators unter­ richtet das Rechnersystem von der eingetretenen Störung.

Wenn der Stellerkontakt S0/1 in der in der in Fig. 1 nicht dargestellten Lage verschweißt, in die er beim Anschalten der Fahrtsignallampe gelangt ist, so kann die Haltsignallampe nach dem Abschalten des Fahrtsignalbegriffes zwar aufleuch­ ten; die entsprechende Überwachungsmeldung bleibt jedoch aus, weil der Kontakt S0/1 den Meßwiderstand Rx überbrückt. Ver­ schweißt der Stellerkontakt S0/2 in der in Fig. 1 nicht dar­ gestellten Lage, so läßt sich zwar der Fahrtsignalbegriff noch Anschalten, nicht jedoch der Haltsignalbegriff. Eine entsprechende Meldung unterrichtet das Rechnersystem von der eingetretenen Störung und sperrt das Signal.

Die eigentliche Störungsmeldung an das Rechnersystem ist die gleiche, wie sie ausgelöst wird, wenn kurz vor dem Anschalten der Fahrtsignallampe die Zuleitungen zu dieser Signallampe auf Aderberührung mit anderen potentialführenden Leitungen überprüft werden, nämlich die Abgabe einer zur Zeit jeweils nicht erwarteten Zustandsmeldung an das Rechnersystem. Diese Zustandsmeldung unterscheidet sich markant von der Zustands­ meldung, die sich bei ordnungsgerechter Schalterstellung er­ geben müßte.

In vorteilhafter Weise ist dem steuernden Rechnersystem nur eine begrenzte Zahl von Verbrauchern zugeordnet. So wird es in die Lage versetzt, die Verbraucher und/oder die in den Steuer- und Überwachungsvorgang einbezogenen Schaltmittel ei­ ner zyklischen oder ereignisgesteuerten Funktionsprüfung zu unterziehen. Durch das zyklische Einlesen und Bewerten von Überwachungsmeldungen erkennt das Rechnersystem jeden Wechsel im Meldezustandsbild, sei er ordnungsgerecht oder nicht ord­ nungsgerecht. Durch eine zunächst einpolige und erst danach zweipolige Anschaltung der Verbraucher läßt sich aus den auf den Zuleitungen zu den Verbrauchern liegenden Potentialen auf bestimmte Zustände u. a. der Steller im Anschaltkreis der Verbraucher schließen. Diese sind damit überwachbar und es eröffnet sich damit die Möglichkeit, für diese Steller ganz normale Melderelais oder Schütze zu verwenden.

Eine andere Möglichkeit zum Überwachen der Schaltstellung von Ausschaltkontakten (mechanisch oder elektronisch) besteht in einer galvanischen Verkopplung der Speise- und der Überwa­ chungskreise. Bei einer fehlerhaften Schaltstellung eines Anschaltkontaktes werden zu diesem Zeitpunkt nicht erwartete Spannungen auf die überwachenden Melder geschaltet, wobei das nicht erwartete Meldezustandsbild dem Rechner das Vorliegen einer Störung anzeigt. Ein solches Ausführungsbeispiel der Erfindung ist in Fig. 2 dargestellt; es bezieht sich auf die Anwendung der Erfindung bei einem Weichenantrieb, der in an sich bekannter Weise über vier Adern aus einem Drehstromnetz gespeist wird. Jede Ader enthält einen Schalter H11/1, H21/1, H12/1 bzw. H22/1, der durch einen Kontakt eines üblichen Steuerrelais H11, H21, H12, H22 dargestellt ist. Jeweils zwei dieser Steuerrelais sind in Reihe geschaltet, werden also ge­ meinsam an- und abgeschaltet. Das Anschalten geschieht durch den einen bzw. anderen Rechnerkanal eines steuernden und überwachenden sicheren Rechnersystems; das Abschalten ge­ schieht durch einen Laufstromüberwacher LU, der das Erreichen der Weichenendlage erfassen kann und beim Erkennen der Wei­ chenendlage den Speisekreis der jeweils in Reihe geschalteten Steuerrelais unterbricht. Die Zuordnung der Steuerrelais zu den beiden Rechnerkanälen ist so getroffen, daß die Speise­ kreise für die Motorwicklungen W1 bis W3 des Weichenantriebs WA stets über die Schalter von aus unterschiedlichen Rechner­ kanälen betriebenen Steuerrelais geführt sind. In der darge­ stellten Endlage des Antriebes sind die in Reihe geschalteten Wicklungen W1 und W3 nur über die Schalter H11/1 und H21/1 und die Wicklung W2 nur über die Schalter H12/1 und H22/1 an­ schaltbar; die jeweils zugehörigen Steuerrelais werden aus unterschiedlichen Rechnerkanälen gesteuert. Beim Umlaufen des Antriebes liegen an den Wicklungen W1 und W3 bzw. W3 und W2 verkettete Phasenspannungen. Die beiden Stellstromkreise füh­ ren über die Schalter H12/1 und H21/1 bzw. H11/1 und H21/1; die zugehörigen Steuerrelais sind unterschiedlichen Rechner­ kanälen zugeordnet. Wenn der Antrieb seine neue Endlage er­ reicht, die Antriebskontakte aber noch nicht gewechselt ha­ ben, liegen die Motorwicklungen W2 und W3 über die Schalter H11/1 und H21/1 und die Wicklung W1 über die Schalter H12/1 und H21/1 an Spannung, bevor sie dann nach dem Schalten der Antriebskontakte abgeschaltet werden. Das Abschalten der Steuerrelais geschieht über den Laufstromüberwacher LU, der durch die Antriebskontakte stromlos geschaltet wird. Auch in der Auslaufphase erfolgt die Speisung der Antriebswicklungen über Schalter, die aus unterschiedlichen Rechnerkanälen ge­ steuert werden.

Sollten einer oder mehrere der Schalter beim Anschalten des Weichenantriebs nicht schließen, so könnte der Antrieb entwe­ der nicht umlaufen oder aber er würde zum Umlaufen eine unzu­ lässig lange Zeit benötigen. Beides würde von noch zu erläu­ ternden Meldern erkannt und an das Rechnersystem gemeldet werden. Wenn einer oder mehrere der Schalter beim Abschalten des Antriebes nicht öffnen würden, so würden dies die Melder ebenfalls erkennen und an das Rechnersystem melden. Wie dies bewirkt wird, ist nachstehend näher erläutert.

Zum Überwachen des Weichenantriebs und damit zum unmittelba­ ren Erkennen von zur Unzeit geöffneten oder geschlossenen Schaltern dienen zwei Melder M1 und M2. Diese Melder sind als Operationsverstärker ausgebildet und dazu bestimmt, Zustands­ meldungen an die beiden Rechnerkanäle auszugeben. Jeder Mel­ der kann abhängig von dem ihm zugeführten Eingangspotential zwei verschiedene Meldungen abgeben, von denen er die eine als erstes und die andere als zweites Bit in ein Meldetele­ gramm MK1 bzw. MK2 an den zugehörigen Rechnerkanal einphast. Die beiden Melder sind über gesonderte Leitungen einpolig auf Masse gelegt. Ihre Signaleingänge sind über Schaltbrücken B5, B6, B1 mit zwei der zum Weichenantrieb führenden Adern ver­ bunden. Die beiden anderen zum Weichenantrieb führenden Adern sind über Schaltbrücken B3, B4 mit den potentialführenden Ausgängen zweier Gleichspannungsquellen U3, U4 verbunden, wo­ bei die eine Ader mit dem Pluspol der Spannungsquelle U3 und die andere mit dem Minuspol der Spannungsquelle U4 verbunden ist. Die anderen Anschlüsse der beiden Gleichspannungsquellen sind über gesonderte Leitungen auf Erde gelegt. Über die An­ triebskontakte AK1 bis AK4 werden die von den beiden Gleich­ spannungsquellen U3, U4 zur Verfügung gestellten Potentiale als Überwachungspoteniale jeweils dem einen oder anderen Mel­ der M1, M2 zugeführt. In der dargestellten Endlage des An­ triebes liegt am Signaleingang des Melders M1 Pluspotential und am Signaleingang des Melders M2 Minuspotential. Bei der anderen Endlage des Antriebes wurde am Signaleingang des Mel­ ders M1 Minuspotential und am Signaleingang des Melders M2 Pluspotential anliegen. Während des Weichenumlaufes werden die von den Meldern M1, M2 ausgegebenen Meldesignale vom Rechner nicht bewertet. Hierzu erhält das Rechnersystem vom Laufstromüberwacher LU entsprechende Zustandsmeldungen, die z. B. an dritter Stelle in die den beiden Rechnerkanälen zu­ zuführenden Meldetelegramme MK1, MK2 eingephast werden. Es ist aber auch möglich, über die Ausgangssignale des Lauf­ stromüberwachers die Melder während des Weichenumlaufes un­ wirksam zu schalten und so während des Weichenumlaufes die Auswertung von Zustandsmeldungen zu verhindern.

Wenn nun infolge einer Störung einer oder mehrerer der in den Speisekreis der Antriebswicklungen geschalteten Schalter beim Abschalten des Antriebes beispielsweise durch Verschweißen geschlossen bleiben, so überlagert sich mindestens bei einem der Melder dem ihm zugeführten Überwachungspotential die von dem defekten Schalter auf die betreffende Stellader aufge­ schaltete Stellspannung. Der Melder würde dann ausgangsseitig kein Ausgangssignal führen. Dies würde von dem die Meldetele­ gramme bewertenden Rechnersystem als Störung erkannt werden.

Würden beim Anschalten des Weichenantriebes einer oder mehre­ re der Steller nicht ordnungsgerecht schließen, z. B. weil sie in der Ruhestellung verschweißt sind, so würde der Lauf­ stromüberwacher auch noch nach der für den Weichenumlauf vor­ gesehenen Maximalwert die Melder unwirksam schalten bzw. dem Rechnersystem mitteilen, daß die Melderausgangssignale nicht zu bewerten sind. Aus dem Ausbleiben der erwarteten Meldersi­ gnale erkennt das Rechnersystem das Vorliegen einer Störung.

Damit sind etwaige Schalterfehlfunktionen in beiden Schalter­ stellungen zuverlässig erkennbar. Weil dies so ist, besteht auch hinsichtlich der Steuerung von Weichenantrieben nunmehr die Möglichkeit, diese über Steuerrelais an- und abzuschalten und auf die bisher hierfür eingesetzten aufwendigen Signalre­ lais zu verzichten. Anstelle von Steuerrelais können auch elektronische Schaltmittel zum Schalten der Speiseleitungen verwendet werden, weil deren mögliche Fehlfunktionen für das Rechnersystem ebenfalls erkennbar ist.

Wenn sowohl die Stellspannung für die Verbraucher als auch die Spannungen, aus denen sich die Überwachungspotentiale ab­ leiten, gemeinsam auf Massepotential gelegt sind, sind Erd­ schlüsse der Verbraucher durch Kurzschließen der Überwa­ chungspotentiale zuverlässig erkennbar.

Claims (10)

1. Einrichtung zur signaltechnisch sicheren Steuerung und Überwachung elektrischer Verbraucher im Eisenbahnwesen mit folgenden Merkmalen:

• a) Jeder Verbraucherstromkreis weist mindestens zwei in Reihe liegende, unabhängig voneinander steuerbare signaltechnisch nicht sichere Schalter (So/1, SO/2, S1/1; H11/1, H21/1; H12/1, H22/1) zum Öffnen/Schließen des Stromkreises auf.
• b) Die beiden Schalter sind durch unabhängige Rechnerkanäle eines sicheren Rechnersystems steuerbar.
• c) Jede Ader des Stromkreises enthält einen der beiden Schal­ ter.
• d) Es ist mindestens ein Melder (FD; M1, M2) zum Erkennen ei­ ner aus einem über den Verbraucher (LG, LR; WA) fließenden Speise- oder Prüfstrom abgeleiteten oder vom Verbraucher mindestens mittelbar aufgeschalteten, vom Betriebszustand des Verbrauchers abhängigen Prüfspannung vorgesehen.
• e) Ein zur Unzeit geschlossener oder geöffneter Schalter ver­ ändert die Prüfspannung in markanter Weise gegenüber der sich bei ordnungsgerechter Schalterstellung einstellenden Prüfspannung.
• f) Die Melderausgangssignale werden von den beiden Recherkanä­ len des sicheren Rechnersystems bewertet und das Rechnersy­ stem erkennt ein unzeitiges Offensein/Geschlossensein min­ destens eines der Schalter aus dem Auftreten zur Zeit nicht erwarteter Melderausgangssignale.

2. Einrichtung nach Anspruch 1, dadurch gekennzeichnet, daß die Schalter als Kontakte von Steuerrelais (H11, H12; H21, H22) ausgebildet sind.

3. Einrichtung nach Anspruch 1, dadurch gekennzeichnet, daß die Schalter als kontaktlos schaltende Elektronikbauteile ausgebildet sind.

4. Einrichtung nach einem der Ansprüche 1 bis 3, dadurch gekennzeichnet, daß jedem Rechnersystem eine so begrenzte Zahl von Verbrau­ chern zugeordnet ist, daß dieses in der Lage ist, neben der Steuerung der Verbraucher auch eine zyklische und/oder ereig­ nisgesteuerte Funktionsprüfung der Verbraucher und/oder der in den Steuer- und/oder Überwachungsvorgang einbezogenen Schaltmittel vorzunehmen.

5. Einrichtung nach Anspruch 4, dadurch gekennzeichnet, daß die Funktionsprüfung die zunächst ein- und dann zweipoli­ ge Anschaltung einzelner oder mehrerer Verbraucher in zeit­ lich aufeinanderfolgenden Schaltschritten und das Einlesen und Bewerten entsprechender Überwachungspotentiale aus den jeweils geschalteten Adern umfaßt.

6. Einrichtung nach einem der Anspruche 1 bis 5, dadurch gekennzeichnet, daß sowohl die Stellspannung für die Verbraucher als auch die Spannung/Spannungen, aus denen die Überwachungspotentiale ab­ geleitet werden, ein gemeinsames Bezugspotential aufweisen.

7. Einrichtung nach Anspruch 6, dadurch gekennzeichnet, daß das Bezugspotential das Erdpotenial ist.

8. Einrichtung nach einem der Ansprüche 1 bis 7, dadurch gekennzeichnet,
daß mindestens dort, wo der einen Weichenantrieb darstellende Verbraucher (WA) im Wechsel in eine von zwei möglichen Endlagen umsteuerbar ist, zur Überwa­ chung dieser Endlagen zwei Melder (M1, M2) zum Erfassen von Überwachungspotentialen vorgesehen sind, welche den Meldern über vom Verbraucher steuerbare Lagekontakte (AK1 bis AK4) aus getrennten Gleichspannungsquellen (U3, U4) zuführbar sind, die wie auch die Melder in unterschiedlicher Polung auf ein gemeinsames Bezugspotential gelegt sind,
und wobei die Anordnung so getroffen ist, daß in der einen Endlage des Verbrauchers von der einen Gleichspannungsquelle (U3) her über mindestens einen Lagekontakt (AK4) positives Überwachungspotential (+) an den einen Melder (M1) und von der anderen Gleichspannungsquelle (U4) her über mindestens einen anderen Lagekontakt (AK1) negatives Überwachungspoten­ tial (-) an den anderen Melder (M2) gelangt, während es in der anderen Endlage des Verbrauchers genau umgekehrt ist.

9. Einrichtung nach Anspruch 8, dadurch gekennzeichnet, daß die beiden Gleichspannungsquellen (U3, U4) und die beiden Melder (M1, M2) jeweils über zwei gesonderte Leitungen auf das gemeinsame Bezugspotential gelegt sind.

10. Einrichtung nach Anspruch 8 oder 9, dadurch gekennzeichnet, daß die Melder als Operationsverstärker ausgebildet sind.