-
Verfahren und Vorrichtung für die Steuerung einer Eisenbahnsignalanlage
durch nicht sicherheitstechnisch aufgebaute Automaten nach Prinzipien der Eisenbahnsignaltechnik
Die Erfindung betrifft ein Verfahren und eine Vorrichtung zur Sicherung eines Eisenbahnbetriebes,
dessen Signalanlagen durch zentrale Einrichtungen, die nicht nach sicherheSBtechnischen
Prinzipien arbeiten, gesteuert werden Es ist bekannt, daß die Eisenbahnverwaltungen
in zunehmendem Maße daran arbeiten, Steuerautomaten zur zentralen Steuerung des
Betriebsablaufes einzusetzen. Dabei wirken zentral aufgestellte Steuerautomaten
meistens über Fernsteuersysteme auf die Relaisstellwerke ein. Als Steuerautomaten
werden heute zunehmend frei programmierbare elektronische Datenverarbeitungsanlagen
(Prozeßrechner) eingesetzt.
-
Die heute zum Einsatz gelangenden fernsteuerbaren Relaisstellwerke
prüfen den überwiegenden Teil der zur Einetellung von Fahrstraßen nötigen Entscheidungen
mit technischen Mitteln.
-
Ebenso wird das Durchführen der Fahrt vom Relaisstellwerk größtenteils
mit technischen Mitteln kontrolliert. Der Stand der Relais technik gestattet eine
vollständige Kontrolle und Prüfung allein mit technischen mitteln nicht. und die
Fahrdienstleiter haben die fehlenden Prüfungen und Kontrollen zu ergänzen. Bei Störungen
und Unregelmäßigkeiten muß der Fahrdienstleiter in unterschiedlichem Ausmaß mehr
Entscheidungen
mit Bedeutung für die Betriebssicherheit treffen,
da die Technik gestört ist oder den anstehenden Betriebsfall nicht beherrschen kann.
-
Wenn Steuerautomaten, beispielsweise frei programmierbare elektronische
Datenverarbeitungsanlagen (Prozeßrechner), anhand des Fahrplans und der vom Stellwerk
übertragenen Meldungen die notwendigen Stellbefehle zeitgerecht erarbeiten und an
das Stellwerk aussenden, müssen sie auch die Prüfungen und Kontrollen, die heute
der Pahrdienstleiter durchführt, übernehmen. Für die ) Sicherheit des Eisenbahnbetriebes
ist es entscheidend, daß diese Prüfungen und Kontrollen dann vom Steuerautomaten
fehlerfrei durchgeführt werden. Wenn in dem Steuerautomaten ein Bauelementeausfall
auftritt oder Informationen durch Störungen verfälscht worden sind, muß dies selbsttätig
erkannt werden und die Ausgabe der Stellbefehle muß sofort unterbunden werden. -ieses
Verhalten wird im allgemeinen kurz mit fehlersicher (fail-safe) bezeichnet.
-
Dafür sind heute bei Einsatz von Prozeßrechnern vier Lösungen bekannt:
1. Man unterstellt, daß der Prozeßrechner die Prüfungen und Xontrollen, von denen
die Betriebssicherheit abhängt und die heute der Fahrdienstleiter durchführt, mit
höherer Wahrscheinlichkeit fehlerfrei durchführen wird, als es der Mensch kann.
-
Aus diesem Grunde werden keine Maßnahmen getroffen, um Fehler innerhalb
des Prozeßrechners, die z B. durch Störungen elektrischer, mechanischer, magnetischer
oder thermischer Art oder die durch Bauelementsausfälle entstehen zu erkennen und
um dann das Aussenden von Stellbefehlen an das Stellwerk zu unterbinden.
-
Diese Lösung hat den Nachteil, daß mit einem Versagen eines Prozeßrechners
heutiger Bauform alle 103 bis 104 h gerechnet werden muß (a. Hammer "Die Einsatzbereitschaft
und Zuverlässigkeit von Systemen mit vielen Bauteilen" Elektronische Rechenanlagen
11 (1969) Reft 5, S. 284-291). Angaben oder Abschätsungen, wie oft bei einem Versagen
noch Stellbefehle ausgegeben werden und in wie vielen Fällen diese Stellbefehle
dann den Eisenbahnbetrieb gefährden können, fehlen. Damit ist eine Aussage mit hinreichender
Genauigkeit über das Sicherheitsrisiko, das bei einem derartigen Einsatz eines Prozeßrechners
für den Eisenbahnbetrieb besteht, kaum zu erbringen. Insbesondere kann bereits ein
Fehler zu einer Gefährdung führen.
-
2. Man entwickelt Prozeßrechner, deren Schaltungen und Speicher nach
fehlersicheren Prinzipien aufgebaut sind (I. Okumura, i. Watanabe: 9'Elektronische
Verschlußeinrichtung unter Steuerung durch einen Digitalrechner"! Monatsschrift
I.E.E.V.: Kybernetik und Elektronik bei den Eisenbahnen, Juni-Juli 1969, S. 283-291).
Diese Rechner müssen danach in der Lage sein, Bauelementeausfälle und Informationsverfälschungen
in ihrem Inneren zu erkennen, bevor sie zu Betriebsgefährdungen führen können.
-
Die heute von der Industrie angebotenen Prozeßrechner arbeiten nicht
nach fehlersicheren Prinzipien. Daher muß eine Sonderentwicklung für den relativ
kleinen Anwendungsbereich Eisenbahnsignaltechnik durchgeführt werden. Nachteilig
ist der hohe Anteil der Entwicklungskosten bei jedem gebauten fehlersicheren Prozeßrechner.
In Folge der kleineren Stückzahl muß
mit höheren Fertigungskosten
gerechnet werden. Ferner ist von Nachteil, daß bei einer Sonderentwicklung der Fortschritt
der Datenverarbeitungstechnik nur mit beträchtlicher Verzögerung gefolgt werden
kann.
-
Es ist nicht bekannt, daß die Entwicklung einer frei programmierbaren
fehlersicheren Datenverarbeitungsanlage bis heute mit Erfolg durchgeführt werden
konnte.
-
3. Man nimmt zwei nicht fehlersichere Prozeßrechner und erarbeitet
alle auszugebenden Stellbefehle in beiden Prozeßrechnern unabhängig voneinander
(Deutsche Schutzrechtsanmeldung P 19 46 522.6). Die beiden Ausgaben werden in einem
fehlersicheren Vergleicher auf Übereinstimmung geprüft und nur beim Übereinstimmen
an das Stellwerk weitergeleitet. Ein Einzelfehler kann dann nicht zu einer Gefährdung
führen. Diese Lösung hat den Nachteil, daß aus Sicherheitsgründen stets zwei Prozeßrechner
parallel arbeiten müssen. Fällt auch nur einer aus oder meldet der Vergleicher keine
Ubereinstimmung der Stellbefehle, muß die Anlage außer Betrieb gesetzt werden.
-
Die Verfügbarkeit ist stark herabgesetzt. Wegen der Zentralisierung
ist von einem Ausfall stets ein größerer Bereich betroffen. Die Verfügbarkeit kann
durch einen oder mehrere Reserverechner erhöht werden.
-
4. Man nimmt wie bei Fall 3 zwei nicht fehlersichere Prozeßrechner.
Um die Verfügbarkeit zu erhöhen, kann beim Ausfall eines Rechners ein besonderes
Verarbeitungsverfahren im anderen Rechner durchgeführt werden (A. Delpy, K.-H. Suwe:
"Die Sicherheit und Zuverlässigkeit des rechnergesteuerten
Eisenbahnbetriebes,
Eisenbahntechnische Rundschau 1969, Heft 19, S. 386). Dabei erarbeitet der intakte
Rechner einen Stellbefehl einmal und speichert ihn zwischen. Dann läuft ein Befehlsprüfprogramm
ab, das in der Lage ist, ständig vorhandene Bauelementeausfälle im Prozeßrechner
zu erkennen und nach einem erkannten Ausfall den Rechner stillzusetzen. Hat das
Befehlsprüfprogramm festgestellt, daß der Rechner einwandfrei ist, wird derselbe
Stellbefehl ein zweites Mal erarbeitet und zusammen mit dem ersten Stellbefehl an
den Vergleicher ausgegeben, der beide Stellbefehle auf Übereinstimmung prüft.
-
Durch die doppelte Erarbeitung sollen Fehler, die nicht ständig im
Prozeßrechner vorhanden sind, erkannt werden. Es ist nicht bekannt, daß ein Nachweis
über eine für ein Eisenbahnsicherungssystem ausreichende Erkennung der in einem
Prozeßrechner möglichen Pehler durch ein Befehlsprüfprogramm bisher mit Erfolg erarbeitet
werden konnte.
-
Den Lösungen 1 bis 4 haftet gemeinsam als Wachteil an, daß ein sehr
umfangreiches Programmsystem für die Lösung der geforderten Aufgaben nötig ist.
Es ist bekannt; daß für den Nachweis einer fehlerfreien Programmierung eines vermaschten
umfangreichen Programmsystems große personelle und finanzielle Aufwendungen erforderlich
sind (A. Delpy, W. $chwier: 2Probleme des Sicherheitsnachweises beim Einsatz von
Prozeßrechnern in der Eisenbahnsignaltecbik1, Signal und Draht 63 (1971) Heft 11,
8. 179)e Es muß angenommen werden, daß von einem gewissen-Progranunumfang ab, ein
Nachweis der Fehlerfreiheit sehr erschwert ist.
-
Der Erfindung liegt die Aufgabe zugrunde, die hohen Sicherheitsanforderungen
an einen Steuerautomaten (z. B. Prozeßrechner) oder den Fahrdienstleiter zu vermeiden
und einen stufenweisen Aufbau des gesamten Systems zu ermöglichen. Diese Aufgabe
wird erfindungsgemäß dadurch gelöst, daß eine besondere Vorrichtung eingeschaltet
wird, die fehlersicher arbeitet, und die alle Stellbefehle, die der Steuerautomat
oder der Fahrdienstleiter ausgibt, anhand der Meldungen des Stellwerks und der ergänzenden
Eingaben des Fahrdienstleiters auf ihre Zulässigkeit überprüft, soweit dieses nicht
vom Stellwerk durchgeführt werden kann.
-
Es ist ein Merkmal des Verfahrens und der Vorrichtung dieser Erfindung,
daß den vom Steuerautomaten oder vom Fahrdienstleiter gegebenen Stellbefehlen die
richtigen Bedingungen vor der Weitergabe zugeordnet werden und die Stellbefehle
daraufhin geprüft werden, ob sie an das Stellwerk ausgegeben werden dürfen.
-
Das Zuordnungsprinzip für die Vorrichtung zeigt-Figur 1. Die ungeprüften
Stellbefehle 1 werden zuerst der Verknüpfungsebene 3 zugeführt, in der die Verknüpfungen
6 prüfen, ob die vom Fahrdienstleiter eingegebenen Bedingungen 4 (z. B. Sperrung
eines Gleises), die ggf. auch direkt aus dem Feld eingegeben werden können 5 (z.
B. Meldungen über einen unbefahrbaren Schienenbruch) der Ausführung eines Stellbefehle
entgegenstehen. Danach prüfen in der Verknüpfungsebene 7 die Verknüpfungen 10, ob
die Meldungen 8 (z. B. Freimeldung von Gleisen und Weichen), die durch vom Bahrdienstleitar
eingegebenen Bedingungen 9 (z Bo Hilfsfreimeldungen für bestimmte Freimeldeabechnitte)
modifiziert werden konnte, eine Ausführung der Stellbefehle gestatten. Die Verknüpfungen
10 der Verknüpfungsebene ii prüfen schließlich, ob die
vom Fahrdienstleiter
eingegebenen Bedingungen 12 (z. B. Kennzeichnung der Arbeitsstelle einer Rotte),
die durch die Meldungen 13 (z. B. Meldung der Rotte, daß die Warnung vor einer Zugfahrt
empfangen wurde) modifiziert werden können, einer Ausführung der Stellbefehle entgegenstehen.
Die Weitergabe 2 der Stellbefehle an das Stellwerk erfolgt nur, wenn keine der Verknüpfungsebenen
3, 7 oder 11 einen eingegebenen Stellbefehl 1 gesperrt hat.
-
Das Zuordnungsprinzip kann auf unterschiedliche Weise verwirklicht
werden. Beispielsweise durch - eine fehlersichere elektronische Schaltung, die als
Grundaufbau auf die Matrize zurückgreift oder nach dem geometrischen Zuordnungsprinzip
der Spurplantechnik arbeitet, - eine zentrale Verarbeitungseinrichtung mit sequentieller
Verarbeitungsfolge bestehend aus fehlersicheren Schaltkreisen, bei der die Zuordnung
nach dem Matrizen- oder Spurplanprinzip mit einem sicher arbeitenden Speicher realisiert
ist oder - ein Klein-Rechnersystem mit fehlersicherer Verarbeitung, die durch eine
unabhängige Mehrfachverarbeitung mit nachfolgendem fehlersicherem Vergleich erreicht
werden kann.
-
Ein Anwendungsbeispiel für das Verfahren und die Vorrichtung dieser
Erfindung ist in Figur 2 juit einem Prozeßrechner als Steuerautomaten dargestellt.
Die am Stellwerk 14 abgegriffenen Meldungen 15 werden direkt oder über eine Pernsteuereinrichtung
16 iiii vollen Umfang oder zuin Teil der beschriebenen Vorrichtung 17, dem Prozeßrechner
18 und der Steuereinrichtung 19 für die
Meldetafel zugeführt. Die
vom Fahrdienstleiter in das Bedienpult 20 eingegebenen Bedingungen werden über die
Leitung 21 an die Vorrichtung übertragen. Die Stellbefehle 22 des Prozeßrechners
18 und die Stellbefehle 23, die der Fahrdienstleiter über das Bedienpult 20 eingibt,
werden von der Vorrichtung 17 geprüft. Die Weitergabe 2 an die Stellwerke 14 erfolgt
nur, wenn die Vorrichtung 17 dieses nicht verhindert.
-
Die in der Vorrichtung 17 enthaltenen Informationen erhält der Prozeßrechner
18 über die Leitung 24 und die Steuereinrichtung 19 für die Meldetafel über die
Leitung 25. Der Fahrdienstleiter hat die Möglichkeit, über das Bedienpult 20 Stellbefehle
26 an die Stellwerke 14 unter Umgehung der Vorrichtung 17 auszugeben, die auch dem
Prozeßrechner 18 und der Steuereinrichtung 19 für die Meldetafel mitgeteilt werden.
-
Die mit der Erfindung erzielbaren Vorteile bestehen insbesondere darin,
daß ein nicht fehlersicherer Prozeßrechner, wie er handelsüblich ist, bei der Steuerung
von Eisenbahnsignalanlagen eingesetzt werden kann, und daß für das Programmsystem
dieses Prozeßrechners kein Nachweis für die fehlerfreie Programmierung und die fehlerfreie
Verarbeitung erbracht werden muß. Auch Stellbefehle des Pahrdienstleiters können
von der Vorrichtung überprüft werden.
-
Bin weiterer Vorteil der vorgeschlagenen Vorrichtung ist die Möglichkeit
eines sinnvollen stufenweisen Aufbaus. Das stufenweise Vorgehen kann auf die zu
berücksichigenden Bedingungen - sowohl ws die Auswahl besonders wichtiger Bedingungen
innerhalb der aufgezeigten Verknüpfungsebenen als auch die Ausweitung des Systems
auf weitere Verknüpfungsebenen betrifft - und S fl n n ,^, a n
auch
auf die zu prüfenden Stellbefehle bezogen werden.
-
Ein stufenweiser Aufbau ist durch die Vorrichtung auch für die gesamten
zentralen Einrichtungen für die Steuerung der Signalanlagen möglich geworden. Beim
Aufbau des Gesamtsystems kann mit einer Pernsteuerzentrale, die aus dem Xermsteuersystem,
der Meldetafel und dem Bedienpult besteht, begonnen werden. In einem weiteren Schritt
kann die beschriebene Vorrichtung in einem bescheidenen Rahmen (z. B. Verknüpflingsebene
3) folgen, so daß auch ein Teil der Bedienungshandlungen des Fahrdienstleiters nachgeprWft
werden kann. Ein weiterer Schritt bringt mit dem Einbau des Prozeßrechners eine
Zuglekung, deren Sicherheitsforderungen in der beschriebenen Vorrichtung erfüllt
sind. Beim Ausfall des Prozeßrechners können die vom Fahrdienstleiter ausgegebenen
Stellbefehle in der Vorrichtung ebenfalls geprüft werden. Mit den weiteren stufenweisen
Aufbau der Vorrichtung (z. B. Verknüpfungsebene 7 und dann 11) können nach und nach
Hilfsbedienungen vom Pahrdienstleiter auf den Prozeßrechner übergehen, bis die für
die betreffende Anlage sinnvolle Aufgaben-Teilung erreicht ist.