JP2005511386A - 安全性の要求される鉄道運転プロセスの制御方法およびこの方法を実施するための装置 - Google Patents

Abstract

本発明による安全性の要求される鉄道運転プロセスの制御方法は、必要なプログラムを、システムソフトウェア（Ｖ，ＰＭＳ）と鉄道管理固有のソフトウェア（ＢＯ）とに分けている。１つまたは複数の信号技術的に高信頼性のコンピュータ（ＳＲ^*）において動作するシステムソフトウェアを介して、外部から制御装置に作用する指令（Ｋ）および通報（Ｍ）が検出され、それぞれの鉄道運転規則によって予め与えられた本来のプログラム制御が動作する商用コンピュータ（Ｒ１，Ｒ２）に伝達される。鉄道管理固有のプログラムの実行は２チャネルでパラレルまたはシリアルにて行なわれ、その際に商用コンピュータがそれぞれ等しい結果に達したか否かの検査が信号技術的に高信頼性のコンピュータにおいて行なわれる。高信頼性のコンピュータからは、商用コンピュータがその都度の処理結果を少なくとも２度一致して利用できるように高信頼性の比較が認識できる場合に制御すべきプロセス（ＢＡ）への出力（ＢＡ）も行なわれる。そうでない場合にはプロセス要素（Ｗ，Ｓ）への接続が信号技術的に高信頼性で分離される。本発明の利点は、信号技術的に高信頼性のコンピュータに対していつも同じシステムソフトウェアを使用することができ、鉄道管理固有のソフトウェアはシステムソフトウェアとの結合なしにこれから分離して開発し、検査することができる。それによって、安全性を損なうことなく従来技術に比べて著しいコストおよび時間の節減が達せられる。

Description

本発明は、請求項１の前文による方法並びに請求項１２の前文によるこの方法を実施するための装置に関する。

鉄道運転プロセスは“安全性の要求される（ｓａｆｅｔｙ−ｃｒｉｔｉｃａｌ；セーフティクリティカル）”プロセスに属する。なぜならば、場合によっては起こり得る誤動作が、早期に認識されてプロセスへの影響が防止されなければ、重大な物的損害を招き、場合によっては人的危険をもたらし得るからである。この理由から、このようなプロセスの制御にはこれまで、制御すべきプロセス内における誤動作もプロセス制御装置自体内における誤動作も識別し、プロセスを安全な状態に持ち込むか、もしくは安全な状態に留めるという使命を持った信号技術的に高信頼性の装置が使用されてきた。このような信号技術的に高信頼性の制御は、種々の技術、例えばリレー技術または電子技術で実施することができる。コンピュータを介する信号技術的に高信頼性のプロセス制御においては、これまで高価な特殊コンピュータが使用されてきた。この特殊コンピュータは待機している処理命令を２チャネルで実行し、絶えず信号技術的に高信頼性で内容的に一致する処理経過を比較する。制御すべきプロセスのプロセス要素への作成された操作命令の出力は、両処理チャネルがそれぞれ同じ結果に達しているときのみ行なわれる。さもなければ、プロセスへの接続は遮断される。ただし、故障したコンピュータの機能を引き受けることができかつ実際に引き受ける少なくとも１つの予備コンピュータが存在する場合は別である。

データの入力および出力と場合によってはプロセス要素の確実な遮断をともなうデータ比較との上述の動作は高信頼性のコンピュータのシステムソフトウェアによって指令される。そのうえ、高信頼性のコンピュータはこれまでなおも、例えば信号扱い所の運転のような本来のプロセス制御のための鉄道管理固有のソフトウェアも含んでいた。鉄道管理固有のソフトウェアはそれぞれの鉄道管理の運転規則によって決まり、例えば運転規則によって予め与えられる走行線路設定および走行線路解除の付属事項に述べられている（刊行物「Ｓｉｇｎａｌ＋Ｄｒａｈｔ」，７７（１９８５）１２，第２５９〜２６５頁）。鉄道管理固有のソフトウェアは鉄道管理毎に相違するだけでなく同じ鉄道管理の設備毎に少なくとも部分的に相違する。これは、信号技術的に高信頼性のコンピュータに読込まれてそこでランするソフトウェアが適用例毎に相違し、適用例に対して、読込まれるソフトウェアに欠陥がないことを安全証明によって立証するか又は信用を持たせなければならないことを意味する。これは、各コンピュータにおけるシステムソフトウェアと鉄道管理固有のソフトウェアとの混在によって、概要を把握しにくく作成および検査に時間を要し高価である複雑なソフトウェアパケットをもたらす。

本発明の課題は、高信頼性のプロセス制御に必要なプログラムの作成労力が少なく、プロセス制御への鉄道経営者の場合によっては有り得る変更要求に迅速かつ低コストで対応することを可能にする請求項１の前文に基づく“安全性の要求される（ｓａｆｅｔｙ−ｃｒｉｔｉｃａｌ；セーフティクリティカル）”鉄道運転プロセスの制御方法を提供することにある。更に、本発明の課題はこの方法を実施するための装置を提供することにある。

この課題は、本発明によれば、請求項１もしくは請求項１２によって解決される。本発明の中心思想は、鉄道管理固有のソフトウェアを１つまたは複数の信号技術的に高信頼性のコンピュータから商用コンピュータへ移し、この商用コンピュータでデータをその都度少なくとも２度処理し、プロセスへ出力する前に信号技術的に高信頼性のコンピュータにおいて一致性を高信頼性で検査することにある。信号技術的に高信頼性のコンピュータは、データ比較の使命のほかに、主としてなお、到着する通報および指令を高信頼性で検出し、商用コンピュータに伝達して高信頼性でプロセス要素に作用させ、障害発生時にはプロセス要素への接続を信号技術的に高信頼性で遮断する使命を持っている。

本発明による方法もしくは本発明による装置の有利な構成および実施態様は従属請求項に記載されている。

以下において、図面に示す実施例に基づいて本発明を更に詳細に説明する。
図１は本発明による安全性の要求される鉄道運転プロセスの制御装置の構成を概略的に示し、
図２は従来技術に基づいて実施された相応の装置の構成を示す。

図２は、２つの独立の処理チャネルＫ１，Ｋ２におけるとりわけ同一の処理プログラムを介するプロセス処理のための公知の信号技術的に高信頼性のコンピュータＳＲを示す。高信頼性のコンピュータＳＲは任意の台数の信号技術的に高信頼性のコンピュータを代表している。その台数は主として制御すべきプロセスの大きさに従う。制御すべきプロセスは鉄道設備ＢＡに影響を与える鉄道運転プロセスである。鉄道設備のプロセス要素の代表として、図には転轍機Ｗおよび信号機Ｓが示されている。プロセス要素の制御および監視は、そのために開発された図には明確に示されていない制御および監視回路によって行なわれる。制御および監視回路を介して、高信頼性のコンピュータＳＲから操作命令ＳＢがプロセス要素に出力され、プロセス要素から通報Ｍが高信頼性のコンピュータＳＲに入力される。

信号技術的に高信頼性のコンピュータＳＲは、この高信頼性のコンピュータＳＲにプロセスから伝達された通報Ｍを通信バスＫＢを介して入力および表示コンピュータＥＡＲに出力する。このコンピュータＥＡＲは、とりわけそれぞれの運転規則に定められた表示規則に従った鉄道運転プロセスの監視に使われる。コンピュータＥＡＲは信号技術的に高信頼性のコンピュータとして実施されると好ましい。入力・表示コンピュータＥＡＲを介して鉄道運転プロセスの制御指令Ｋも発生され、信号技術的に高信頼性のコンピュータＳＲに伝送される。その場合、入力は、オペレータ、例えば列車運転業務指揮者によって行なわれるか、または、例えば自動操作運転または通過運転のための自動装置によって行なわれる。

通報および指令は、信号技術的に高信頼性のコンピュータにおいて鉄道経営者のそれぞれの運転規則に定められた条件および付属事項に従って２チャネルで処理される。両処理システムのバス上にそれぞれ載ったデータ、アドレスおよび制御信号は、場合によっては生じ得る誤差を直ちに識別できるようにするために、絶えず信号技術的に高信頼性で互いに比較される。検査プログラムは、高信頼性のコンピュータの入出力レジスタ並びにそのコンピュータのプログラムメモリおよび動作メモリおよびそのコンピュータのアドレスレジスタが予め与えられた最小時間内にそれらのメモリが一方の状態も他方の状態も取ることができるか否かという観点で検査されるようにする。場合によっては起こり得る誤動作がそのように事象制御または時間制御されて識別され、外部設備の確実な遮断をもたらす。転轍機の操作命令はもはや出力することができず、信号機は停止する。

鉄道管理のそれぞれの運転規則によって予め与えられる条件および従属関係（図では楕円形部分ＢＯによって代表されている）が、高信頼性のコンピュータＳＲのプログラムメモリに格納されてシステムソフトウェアと混在していることによって、鉄道運転プロセスの制御のために高信頼性のコンピュータに格納されたソフトウェアは、非常に複雑で作成および検査にも極めて労力のかかる特殊なソフトウェアである。

図１に示された本発明による鉄道運転プロセスの制御装置の場合、同様に、とりわけ同一に構成されかつ同一に動作させられる２つの処理チャネルＫ１^*，Ｋ２^*を有する少なくとも１つの信号技術的に高信頼性のコンピュータＳＲ^*が存在する。このコンピュータの使命は、従来技術による信号技術的に高信頼性のコンピュータＳＲの使命と同様に、このコンピュータＳＲにもたらされた全ての通報Ｍおよび指令Ｋを高信頼性で検出して処理を実行することである。更に、その使命は、信号技術的に高信頼性で作成した操作命令ＳＢをそれぞれの鉄道設備ＢＡのプロセス要素Ｗ，Ｓに出力するか、もしくはこの種の操作命令の出力を障害時に信号技術的に高信頼性のまま保つようにすることである。鉄道運転プロセスの制御および監視のためにそれぞれの鉄道運転規則ＢＯによって定められた条件および付属事項の遂行は、従来技術と違って、信号技術的に高信頼性のコンピュータＳＲ^*においてではなくて、鉄道運転プロセスの制御のための設備固有のデータも格納されている商用コンピュータＲ１，Ｒ２，・・・Ｒｎにおいて行なわれる。商用コンピュータＲ１，Ｒ２は１つまたは複数の商用コンピュータ対を代表し、各商用コンピュータは複数の対に所属することもできる。従って、３つの商用コンピュータから３つの商用コンピュータ対を形成することができる。それらの商用コンピュータ対は、高信頼性のコンピュータＳＲ^*から供給された処理命令Ａを、それぞれ自身のためにそれぞれの相手方とは関係なく、プロセス制御のためにそれぞれの鉄道運転規則ＢＯに定められた条件および付属事項に基づいて実行する。各商用コンピュータ対Ｒ１，Ｒ２の両商用コンピュータはそれらの動作結果を信号技術的に高信頼性のコンピュータＳＲ^*に伝達し、その際に時間的に最初の商用コンピュータＲ１またはＲ２が時間監視され他の商用コンピュータの動作結果を待つ待ちを強要されるか、または時間超過時に故障処理が実行される。商用コンピュータ対Ｒ１，Ｒ２に与えられた通報の妥当性と商用コンピュータ対によって作成された出力およびメモリ範囲のディジタル署名の妥当性についての検査メカニズムＰＭが図１に概略的に示されている。入力・表示コンピュータＥＡＲを介して高信頼性のコンピュータＳＲ^*に供給される指令Ｋは、高信頼性のコンピュータＳＲ^*によって処理命令Ａに変換され、電報の形で商用コンピュータＲ１，Ｒ２に伝達される。その処理命令Ａはその商用コンピュータＲ１，Ｒ２でそれぞれの鉄道運転規則ＢＯの条件および付属事項に基づく実行を生じる。

商用コンピュータによる鉄道管理固有のソフトウェアの実行時に、予め与えられた待ち時間後に初めてプログラムの続行処理を予定するプログラム点に商用コンピュータが到達する場合については、信号技術的に高信頼性のコンピュータが、商用コンピュータの処理プログラムを同期化する商用コンピュータの相応の要求に対して、その待ち時間経過後にプログラムの続行処理をするようにする。例えば数秒の待ち時間経過後に商用コンピュータによって求められたセンサ情報が読取られて評価される。

商用コンピュータ対Ｒ１，Ｒ２によって求められた処理結果Ｅは電報として信号技術的に高信頼性のコンピュータＳＲ^*に供給され、その信号技術的に高信頼性のコンピュータＳＲ^*で信号技術的に高信頼性で両処理チャネルＫ１^*，Ｋ２^*に分配され、信号技術的に高信頼性で一致性を比較される。商用コンピュータＲ１，Ｒ２によって処理された結果の高信頼性の分配および高信頼性の比較を、図では機能ブロックＶが代表している。機能ブロックＶ内に、これに関係するプログラムがシステムソフトウェアとして格納されている。信号技術的に高信頼性のコンピュータの検査メカニズムＰＭＳは、商用コンピュータＲ１，Ｒ２の検査メカニズムＰＭと違って信号技術的に高信頼性で実行される。

従来技術による装置に対する本発明による装置の特別な利点は、信号技術的に高信頼性のコンピュータが常に高信頼性の入力，出力の機能ならびに高信頼性のデータ比較の機能だけを実現し、個々の鉄道管理の運転規則によってそれぞれ定められた要求および条件には関係しないことにある。それにより、高信頼性のコンピュータまたは高信頼性のコンピュータ群においてランするシステムソフトウェアが簡単かつ明快となる。システムソフトウェアは寧ろ全ての適用例に対して同じになり、従ってもはや新たにケースバイケースで作り上げて認可検査を受ける必要がない。個別の鉄道管理における種々の運転規則によって定められる鉄道管理固有のソフトウェアは商用コンピュータにおいてランする。高信頼性のコンピュータのシステムソフトウェアと協働する商用コンピュータは検査される必要がない。寧ろ、信号技術的に高信頼性のコンピュータと商用のコンピュータとの間に固有のインターフェースを守り、商用コンピュータにおいて実行可能にされるべき鉄道管理固有のソフトウェアをそれ自身内で機能性を検査すること、すなわち、定められた入力が実際にも定められた出力を生じるか否かを検査することが必要なだけである。この機能性検査はシステムソフトウェアの検査と分離して行なわれ、従来技術とは違って、もはや高信頼性のコンピュータのシステムソフトウェアに組み込まれることはなく、他方ではシステムソフトウェアが従来技術におけるよりも明快にもなる。

鉄道管理固有のソフトウェアの作成は、プロセスランの信号技術的な高信頼性に対して責任のある信号技術的に高信頼性のコンピュータの製造者において強制的に行なわれなければねならないというわけではない。むしろ、商用コンピュータのためのプログラムの作成を専門の技術者事務所等に委託することができる。技術者事務所等は作成するソフトウェアをそれぞれの鉄道管理および例えば連邦鉄道庁のような許認可官庁に合わせるべきである。それにより、安全性の要求される鉄道運転プロセスの制御および監視のためのプログラムを従来よりも遥かに迅速にかつ低コストで、それによって安全性における何らかの損失を受け入れることなく、その都度の与えられた状況に適合させることができる。

上述の実施例において、商用コンピュータＲ１，Ｒ２は、１つまたは複数の２重コンピュータシステム、または、冗長コンピュータを備え、個別コンピュータにおいてそれぞれの鉄道運転規則によって予め与えられた条件および付属事項を実行するためのそれぞれ同一のプログラムがランするべきであり、しかも個々の商用コンピュータによって、とりわけそれぞれ運転規則の定められた部分機能のみを実現するか、それともそれぞれ鉄道設備の定められた一部のみに作用すべきであるコンピュータシステムを代表している。しかし、この装置を適切に表現するならば、商用コンピュータＲ１，Ｒ２はそれぞれ、鉄道管理の運転規則によって定められた鉄道管理固有のソフトウェアのプログラムを、幾度も、しかし少なくとも２度相前後して互いに無関係に実行するような個別コンピュータである。このために必要な鉄道管理固有のソフトウェアは、さまざまに設計することができるが、しかし両処理経過に対して内容的に同じであってもよい。

商用コンピュータによって得られた結果を信号技術的に高信頼性のコンピュータへ伝達するためには、２チャネルのシリアルまたはパラレルで得られた結果を２チャネルで１つまたは複数の高信頼性のコンピュータに伝達する、またはその結果を１チャネルのみを介して２度相次いで伝達する、信号技術的に信頼性のないデータ伝送が考慮の対象となる。２番目または３番目の冗長チャネルは自由度を高める。商用コンピュータから信号技術的に高信頼性のコンピュータへの伝送経路およびその逆方向の伝送経路における場合によっては起こり得るデータ偽造は受信側コンピュータにおいて、送信側コンピュータによって書き込まれ電報内容を計算規則を介してコード化するディジタル署名（シグネチャ）によって識別可能である。高信頼性のコンピュータへのシリアルのデータ伝送の場合、伝達されたデータが緊急であるか否か、そして実際に商用コンピュータの異なるチャネルから来たのかもしくは異なる処理経過の結果であるのか否かを識別することを信号技術的に高信頼性のコンピュータに可能にさせる標識をデータに添えることができる。分離されたバスを介するデータ伝送の場合、信号技術的に高信頼性のコンピュータは、このコンピュータに一方のバスまたは他方のバスを介して伝達されたデータから、これらのデータが実際にも商用コンピュータ対の一方または他方のコンピュータから来たのかそれともそうではないのかを識別することができる。

本発明の有利な構成では、商用コンピュータを所謂コンソールコンピュータとして実施することができ、このコンピュータを介して鉄道職員または自動装置によって鉄道運転プロセスに実行指令を出力し、鉄道運転プロセスの応答信号を可視化することができる。コンソールコンピュータにおいては、互いに関係なく指令および通報の入力および可視化のためのプログラムと、鉄道運転規則に従ってプロセス要素を制御するプログラムとがランする。指令入力およびプロセス事象の可視化のためのプログラムは、鉄道運転規則によってそれぞれ予め与えられているプロセス制御プログラムと組み合わせることもできる。

信号技術的に高信頼性のコンピュータは、プロセスへの操作命令が出力されるべきか否かおよびどの操作命令が出力されるべきかについての決定が少なくとも２つの健全なコンピュータの多数決によって行なわれるｍ：ｎ（またはｎ中ｍ）コンピュータシステムとして実施することもできる。

プロセスへの操作命令の出力は２チャネルで行なわれる。各コンピュータは処理エラー確認時に操作命令の出力を阻止することができる。

本発明による方法および本発明による装置は、全ての安全性の要求される鉄道運転プロセスに有利に適用することができる。このような適用は、例えば信号転轍扱い所による鉄道運転の高信頼性制御であるが、しかし例えば鉄道踏切の高信頼性制御、車軸計数装置の高信頼性制御ならびに高速運転線区用システム（ＬＺＢ）の線路機器および車上機器の高信頼性制御であってもよい。

本発明による安全性の要求される鉄道運転プロセスの制御装置の概略構成図 従来技術による安全性の要求される鉄道運転プロセスの制御装置の概略構成図

符号の説明

ＳＲ^* 信号技術的に高信頼性のコンピュータ
Ｒ１，Ｒ２，・・・Ｒｎ 商用コンピュータ
Ｋ１^*，Ｋ２^* 処理チャネル
ＫＢ 通信バス
Ｋ 指令
ＳＢ 操作命令
Ｍ 通報
Ｓ 信号機
Ｗ 転轍機
Ａ 処理命令
Ｅ 処理結果
Ｖ 比較
ＰＭＳ 検査メカニズム
ＢＯ 鉄道管理固有のソフトウェア（鉄道運転規則）
ＰＭ 検査メカニズム
ＥＡＲ 入力・表示コンピュータ
ＢＡ プロセス

Claims (20)

1. 到着する指令から鉄道運転規則に従って信号技術的に高信頼性で作成された操作命令を信号技術的に高信頼性でプロセス要素に出力しかつプロセス要素から来る通報をプロセス状態監視手段およびプロセス制御手段に供給する少なくとも１つの信号技術的に高信頼性のコンピュータを用いた安全性の要求される鉄道運転プロセスの制御方法において、
   信号技術的に高信頼性のコンピュータ（ＳＲ^*）には、この信号技術的に高信頼性のコンピュータに信号技術的に高信頼性の入力，出力および信号技術的に高信頼性のデータ比較を実行する能力を与えるプログラムを有するシステムソフトウェア（Ｖ，ＰＭＳ）だけが格納され、
   鉄道運転規則による鉄道管理によって予め与えられた鉄道運転プロセスのための条件および付属事項を含む鉄道管理固有のソフトウェア（ＢＯ）は少なくとも１つの信号技術的に高信頼性でない商用コンピュータ（Ｒ１，Ｒ２）に格納され、
   信号技術的に高信頼性のコンピュータによって、この信号技術的に高信頼性のコンピュータに供給された指令（Ｋ）および通報（Ｍ）から処理命令（Ａ）が発生されて商用コンピュータに伝達され、
   処理命令はその商用コンピュータで少なくとも２度互いに無関係に実行され、
   その際に得られた結果（Ｅ）および／または中間結果が信号技術的に高信頼性のコンピュータに伝達され、信号技術的に高信頼性のコンピュータで信号技術的に高信頼性で内容に関する一致性を検査され、
   商用コンピュータによって少なくとも２重に一致して使用可能にされた結果および／または中間結果のみが高信頼性のコンピュータによって受け入れられ、それから導き出し得る操作命令（ＳＢ）が信号技術的に高信頼性でプロセス（ＢＡ）に出力されることを特徴とする安全性の要求される鉄道運転プロセスの制御方法。
2. 商用コンピュータにおける処理命令の少なくとも２度の実行のために同一のまたは異種のソフトウェアが使用されることを特徴とする請求項１記載の方法。
3. 鉄道管理固有のソフトウェア（ＢＯ）の実行時に生じる時間現象が、信号技術的に高信頼性のコンピュータ（ＳＲ^*）によって商用コンピュータの要求に同期させられることを特徴とする請求項１乃至２の１つに記載の方法。
4. 商用コンピュータによって求められた結果および／または中間結果が信号技術的に高信頼性でない通信チャネルを介して高信頼性のコンピュータに伝達されることを特徴とする請求項１乃至３の１つに記載の方法。
5. 電報形式のデータ伝送が用いられ、電報にはディジタル署名が添えられ、そのシディジタル署名からそれぞれ受信したコンピュータが、それらの電報が偽造されて伝送されたか否かを識別可能であることを特徴とする請求項１乃至４の１つに記載の方法。
6. 電報形式のデータ伝送が用いられ、電報にはディジタル署名が添えられ、そのディジタル署名から信号技術的に高信頼性のコンピュータが、商用コンピュータのプログラムメモリおよびデータメモリに偽造が生じているか否か、または商用コンピュータのＣＰＵがもはや正しく動作していないか否かを識別可能であることを特徴とする請求項１乃至５の１つに記載の方法。
7. 処理命令が少なくともそれぞれ２つの商用コンピュータ（Ｒ１，Ｒ２）においてほぼ同時に実行されるか、または時間的に直列的に１つのコンピュータだけで実行され、求められた結果および／または中間結果は高信頼性のコンピュータに比較のためにそれぞれ対をなして供給されることを特徴とする請求項１乃至６の１つに記載の方法。
8. 電報には、電報が実際に別々に作成されたか否かを高信頼性のコンピュータが識別することを可能にする標識が添えられていることを特徴とする請求項７記載の方法。
9. 高信頼性のコンピュータによって、異なる入力を介して高信頼性のコンピュータに供給された商用コンピュータの結果通報に基づいて、これらの電報が異なるコンピュータから来たか否かが識別されることを特徴とする請求項７記載の方法。
10. 商用コンピュータの運転システムソフトウェア（ＢＯ）におけるシステム的なエラーが、関与するコンピュータ（Ｒ１〜Ｒｎ）での異種の運転システムの使用によって排除されることを特徴とする請求項１乃至９の１つに記載の方法。
11. 商用コンピュータのハードウェアにおけるシステム的なエラーが、関与するコンピュータ（Ｒ１〜Ｒｎ）での異種のコンピュータ構成要素（マザーボード，ＣＰＵ，メモリ）の使用によって排除されることを特徴とする請求項１乃至１０の１つに記載の方法。
12. 到着する指令から鉄道運転規則に従って信号技術的に高信頼性で作成された操作命令をプロセス要素に対して出力しかつプロセス要素から来る通報をプロセス状態監視手段およびプロセス制御手段に供給する少なくとも１つの信号技術的に高信頼性のコンピュータを備えた安全性の要求される鉄道運転プロセスの制御方法を実施するための装置において、
    信号技術的に高信頼性のコンピュータ（ＳＲ^*）には、この信号技術的に高信頼性のコンピュータに信号技術的に高信頼性の入力，出力（Ｋ，Ｅ，Ｍ，Ａ，ＳＢ）および信号技術的に高信頼性のデータ比較を実行する能力を与えるプログラムを有するシステムソフトウェアだけが格納され、
    鉄道運転規則（ＢＯ）による鉄道管理によって予め与えられた鉄道運転プロセスの制御のための条件および付属事項を含む鉄道管理固有のソフトウェアが格納されている少なくとも１つの信号技術的に高信頼性でない商用コンピュータ（Ｒ１，Ｒ２）が設けられ、
    信号技術的に高信頼性のコンピュータおよび商用コンピュータが通信バス（ＢＵＳ）に接続され、この通信バス（ＢＵＳ）を介して信号技術的に高信頼性のコンピュータが処理命令（Ａ）を商用コンピュータに伝達し、商用コンピュータから結果（Ｅ）および／または中間結果を得て、
    商用コンピュータは各処理命令を少なくとも２度互いに無関係に実行するように構成され、
    信号技術的に高信頼性のコンピュータは、この信号技術的に高信頼性のコンピュータに商用コンピュータから少なくともそれぞれ対をなして伝達された結果および／または中間結果を、信号技術的に高信頼性で内容に関する一致性について検査し、検査結果に応じてそれからプロセス要素（Ｗ，Ｓ）に対する操作命令（ＳＢ）を導き出し、ドライバを介してプロセスに出力させることを特徴とする安全性の要求される鉄道運転プロセスの制御方法を実施するための装置。
13. 商用コンピュータにも機能性を証明されたプログラム（ＢＯ）だけが設けられていることを特徴とする請求項１２記載の装置。
14. 商用コンピュータは処理命令を同一または異種のソフトウェアでその都度少なくとも２度実行することを特徴とする請求項１２又は１３記載の装置。
15. 同一の処理命令を対で互いに無関係に実行する少なくとも２つの商用コンピュータが設けられていることを特徴とする請求項１２乃至１４の１つに記載の装置。
16. 異なる機能性または部分機能性の実行のために、または異なる設備部分の制御および監視のために、複数の商用コンピュータ（Ｒ１，Ｒ２）が単一コンピュータ構成またはマルチコンピュータ構成にて設けられていることを特徴とする請求項１２乃至１５の１つに記載の装置。
17. 少なくとも１つの商用コンピュータが、指令（Ｋ）を高信頼性のコンピュータに入力しかつ通報（Ｍ）を表示手段にもたらすコンソールコンピュータであることを特徴とする請求項１２乃至１６の１つに記載の装置。
18. 信号技術的に高信頼性のコンピュータはｍ：ｎコンピュータシステムであることを特徴とする請求項１２乃至１７の１つに記載の装置。
19. 信号技術的に高信頼性のコンピュータは、少なくとも１つの商用コンピュータから伝達された結果および／または中間結果に添えられている標識から、これらの結果および／または中間結果が異なる処理プロセスから到来しているか否かを識別するように構成されていることを特徴とする請求項１２乃至１８の１つに記載の装置。
20. 信号技術的に高信頼性のコンピュータは、場合によっては起こり得る操作命令を２チャネルでプロセスに出力することを特徴とする請求項１２記載の装置。

Images