DE2502764A1

DE2502764A1 - Steuervorrichtung

Info

Publication number: DE2502764A1
Application number: DE19752502764
Authority: DE
Inventors: David John Norton
Original assignee: Westinghouse Brake and Signal Co Ltd
Current assignee: Siemens Mobility Ltd
Priority date: 1974-01-25
Filing date: 1975-01-24
Publication date: 1975-07-31
Also published as: FR2259000A1; GB1489921A; FR2259000B1; ZA748188B; AU7685774A; AU499170B2

Description

DR. E. WIEGAND DIPL-ING. W. NIEMANN 2502764

DR. M. KÖHLER DlPL-ING. C. GERNHARDT

MÖNCHEN HAMBURG ■". "

TELEFON: 381233 2000 HAMBU RG 50, Qft Ii

TELEGRAMME:KARPATENT KON1GSTRASSE 28 *· ^fcl "'

W. 26602/75 20/Af

Westinghouse Brake and Signal Company Ltd. London (England)

Steuervorrichtung

Die Erfindung bezieht sich auf Steuervorrichtungen und Steueranlagen j insbesondere, jedoch nicht ausschließlich, auf Steuereinrichtungen für komplizierte bzw-, ".komplexe Vorgänge und Situationen, beispielsweise für Signalsteuerungen bei Eisenbahnen und Prozeßsteuerungen, wo das Auftreten falscher Steuersignale unerwünscht oder sogar unheilvoll ist.

Die Erfahrung bei Eisenbahnsignalsteuerungen hat gezeigt, daß bestimmten empirischen Prinzipien gefolgt v/erden kann,un eine sehr lange mittlere Zeit zwischen dem Auftreten /on Ausfällen auf der unsicheren Seite bzw; falschen i'.-.Lte (Γ-Τ.'Τ"--.,T.F) zu erhalten, d. h. Situationen, wo ein Verengen auftritt, das zu einer Gefahr führt. In der Vergangenheit wurden in der Praxis elektromechanisehe Relais in VerrLege Langss.ystemen verwendet, wo die Sicherheit von le· ti^f.· Bedeutung bzw. von vitalem Interesse ist. Je-

S09831/0812

doch ist weitgehend erkannt worden, daß elektronische Steuersysteme viele Vorteile über elektromechanischen Steuersystemen bieten, jedoch stand als Hindernis der Einführung von elektronischen Steuerungen von lebenswichtigen bzw. bedeutenden Funktionen in der Eisenbahnsignaltechnik und anderen Verriegelungssystemen oder untereinander abhängigen Vorgängen die Sicherheitsfrage entgegen. Durch mathematische Analyse ist nun erkannt worden, daß durch Verbindung der elektronischen Steuereinheiten auf einem besonderen Weg die mittlere Zeit bis zum Ausfall zur unsicheren bzw. falschen Seite außergewöhnlich erhöht werden konnte, wahrscheinlich bis zu einem Wert, so daß diese Steuerung den bekannten elektromechanischen Systemen überlegen ist.

Gemäß einem ersten Merkmal der vorliegenden Erfindung ist eine Steuereinrichtung geschaffen, welche wenigstens zwei Steuersätze aufweist, Vielehe einzeln bzw. jeder für sich in der Lage sind,eine notwendige Steuerfunktion durch Erzeugung entsprechender Ausgangssignale im Ansprechen auf gemeinsame Eingangssignale durchzuführen, wobei die Vorrichtung eine AusgangssignalVergleicheinrichtung aufweist, die auf die Ausgangssignale anspricht, um Ausgangssignale abzugeben, um Steuerfunktionen lediglich dann durchzuführen, wenn eine Mehrheit oder alle Ausgangssignale übereinstimmen bzw. andererseits versagungssicher arbeitet. Die Vorrichtung kann drei Steuersätze aufweisen, die auf einer Majoritätsbasis arbeiten. Die Vergleichseinrichtung kann ein UND-Tor oder ein Stromkreis sein, der in analoger Art und Weise zu einem UND-Tor arbeitet. Die Steuersätze können Eingangssignalfühleinrichtungen aufweisen, die einzig und allein auf eine einzige Form eines Eingangssignals oder auf Eingangssignale in einem Bereich von

50-9 83 1/08 12

Werten ansprechen, welcher verhältnismäßig klein ist im Verhältnis zu möglichen Werten, wodurch fehlerhafte Eingangssignale diskriminiert werden. Die Steuersätze können Stromkreise aufweisen, die in der gleichen Art und Weise arbeiten, wie die Eingangsfühleinrichtungen und auf Ausgangssignale ansprechen, um einen unzulässigen oder gefährlichen Wert oder eine.unzulässige oder gefährliche Form des Ausgangssignals festzustellen und vorzugsweise dahingehend arbeiten, die Ausgänge der Vorrichtung unwirksam zu machen und/oder derartige Ausgangssignale zu löschen. Die Vorrichtung weist vorzugsweise einen Indikator und/ oder eine Anzeige- oder Alarmeinrichtung auf, die auf Fehlarbeiten der Vorrichtung ansprechen, um Warnungen bzw. Nachrichten über das Fehlarbeiten zu geben.

Gemäß einem zweiten Merkmal der vorliegenden Erfindung ist eine Steueranlage vorgesehen, welche eine Vorrichtung gemäß dem ersten Merkmal der Erfindung aufweist₃ weiterhin einen Detektor aufweist, welcher im Betrieb mit den zu steuernden Einrichtungen durch das System gekoppelt ist, um den Zustand oder die Einstellungen der zu steuernden Einrichtung festzustellen und Eingangssignale für die Vorrichtung zu erzeugen, welche für die festgestellten Bedingungen bzw. Einstellungen kennzeichnend sind, und weist weiterhin eine auf die Ausgangssignale ansprechende Einrichtung auf, welche im Betrieb mit der zu steuernden Einrichtung gekoppelt ist, um die Einrichtung in Übereinstimmung mit Ausgangssignalen zu steuern, die durch die Vorrichtung erzeugt werden. Die zu steuernde Einrichtung kann eine Eisenbahneinrichtung sein, welche eine Mehrzahl von Signalen und Anzeigepunkten bzw. Anzeigesignalen umschließt,- wobei das Steuersystem eine versagungssichere Verriegelungssteuerfunktion durchführt, welche eine wesentlich größere.

509831/0812

mittlere Zeit bis zum Auftreten eines Versagens in der falschen Richtung aufweist, im Vergleich zu einem einzelnen Steuersatz, welcher einen Teil der Steuervorichtung bildet. Als Abwandlung hiervon kann die zu steuernde Einrichtung ein Elektrizitätsübertragungssystem oder eine Fabrik zur Durchführung chemischer Verarbeitungvorgänge, beispielsweise eine Raffinerie, oder irgendeine andere Vorrichtung oder Anlage sein, in welcher keinerlei falsche Verbindungen gemacht werden dürfen. (Im Fall einer Eisenbahnanlage dürfen miteinander in Verbindung stehende Routen nicht gleichzeitig freigegeben werden, es dürfen keine Signaldarstellungen falsch durchgeführt werden, wenigstens soweit es sich um eine falsche Darstellung eines Weiterfahrtsignals handelt; in einer Elektrizitätsübertragungsanlage dürfen miteinander nicht verträgliche Teile der Anlage nicht zusammengeschaltet werden; in einer chemischen Fabrik dürfen unerwünschte oder gefährliche Mixturen nicht hergestellt werden).

Die Erfindung wird nachstehend anhand der Zeichnung beispielsweise erläutert.

Figur 1 - ist ein schematisches Blockdiagramm eines Verriegelsystems für eine Eisenbahnanlage;

Die Figuren

2.und 3 - zeigen Eingangs- bzw. Ausgangsstromkreise für Steuervorrichtungen, die in dem in Figur 1 gezeigten System verwendet werden;

Figur 4 - ist ein schematisches Diagramm der Ausgangssignalvergleichseinrichtung zur Verwendung im Steuergerät.

In Figur 1 ist die grundsätzliche Ausführung eines Systems, bei welchem zwei Bedingungen von zwei möglichen Bedingungen

509831/0812

tatsächlich erfüllt sein müssen (abgekürzt auch 2-von-2-Systera) oder ein doppelt verriegelndes Eisenbahnsignalsystem gezeigt. Das System ist in einen oberen, nicht wichtigen bzw. nicht lebensnotwendigen Abschnitt 10, wo die Sicherheit keine absolut wesentliche Bedingung darstellt, und in einen unteren lebenswichtigen Abschnitt 20 unterteilt, wo die Sicherheit einen absoluten Faktor darstellt. Der obere Abschnitt 10 weist eine Zugbeschreibungstafel il auf, und einen ihr zugeordneten Dualsteuercomputer 12, welcher aus bekannten Systemen besteht. Der Dualcomputer 12 stellt ein parallelredundantes System für maximale Zugriffsmöglichkeit bzw.■maximalen Wirkungsgrad dar, der einem Ausgang vom ODER-Typ analog arbeitet, und unterscheidet sich von dem Dualsteuercomputersystem gemäß der vorliegenden Erfindung sehr wesentlich.

Der untere Abschnitt 20 weist zwei Steuersätze in der Form einer Mehrzahl von Dualcomputerverriegeleinheiten 21 auf, welche auf Gleisstromkreisrelais, andere Eingänge, Steuersignalgeräte, Signale und andere (nicht gezeigte) Eisenbahngeräte über entsprechende Eingangs- und Ausgangsstromkreise 22 ansprechen. Eine der Einheiten 21 arbeitet als ein entfernt angeordnetes Satellitenverriegelungssystem und ist mit den Steuercomputern 12 über Multiplex- bzw. Demultiplexstromkreise 13 und 23 und ein zweckmäßiges Kabel oder eine Verbindung 33 verbunden.

Die Dualcomputerverriegeleinheiten 21 führen eine reine Verriegelungsfunktion aus und es ist nicht erforderlich, daß sie irgendeine andere Steuerfunktion (eine solche ohne Sicherheitsbedingung) durchführen. Der Dualsteuercomputer 12 führt alle anderen Funktionen aus, und zwar unter Einschluß der Strecken- bzw. Routenauswahl, der Zugbeschreibung, des Zugberichts, der Fehleraufzeichnung usw. Der Computer 12 wird vorzugsweise in fehlerfreien Zuständen bzw. unter

509831/0812

derartigen Bedingungen nicht versuchen, die Verriegeleinheiten 21 auf eine Route einzustellen, welche nicht sicher ist, d. h. die Computer 12 sollten vorzugsweise nicht versuchen, die verriegelnden Einheiten 21 zu übergehen bzw. auszulassen oder, sich auf diese zustutzen.

Um für Satellitenrelaisräume Sorge zu tragen, sind die verriegelnden Einheiten 21 vorzugsweise in kleinen Einheiten ausgeführt und die Hauptgerätverriegelüng kann mehrere derartige Einheiten erfordern. Die möglichen Vorteile von dieser Ausführung sind eine vergrößerte Standardisierung der Geräte bzw. der Hardware, die Wirkungen eines Versagens kleiner Einheiten wird sich weniger- weit ausdehnen als bei einem Versagen einer großen Einheit und kleinere Einheiten können sich leichter herstellen lassen, um den Sicherheitserfordernissen Genüge zu tun.

Jede verriegelnde Einheit 21 weist zwei einander identische Computer 2k, entsprechende Eingangs- und Ausgangsstromkreise (die in Zusammenhang mit den Figuren 2 und 3 beschrieben werden) und eine Ausgangssignalvergleichseinrichtung 25 auf, die in Zusammenhang mit Figur k erläutert wird. Im idealen Fall ist keine gemeinsame Ausrüstung in irgendeiner Einheit 21 vorhanden, welche ein Versagen zur falschen Seite ergeben könnte (Versagen zur Gefahrenseite). Vorzugsweise ist jeder Computer 2k so ausgelegt, daß er von Hause aus versagungssicher ist, jedoch ist dies nicht absolut wesentlich im Hinblick auf die Funktion der Ausgangseinrichtung 25. Die Anzahl der Bauteile, deren Ausfall ein Versagen zur falschen Seite hervorrufen könnte, vrird vorzugsweise auf ein Minimum verringert, was erforderlich machen kann, daß die Gesamtzahl der Bauteile klein ist. Alle Ausfälle sind soweit als möglich sich selbst anzeigende Ausfälle. Die Computer 2k können zweckmäßig programmierte

509831/0812

Allzweckcomputer oder Computer für einen speziellen Zweck sein, und vorzugsweise werden Mini-Oatenverarbeitungseinrichtungen verwendet. Die beiden Computer 24 in jeder Einheit 21 führen vorzugsweise Fehlerprüfprogramme und gegenseitige Speicher-Paritätsüberprüfung durch. *

Der Eingangsstromkreis eines Computers 24 wird nachfolgend anhand der Figur 2 beschrieben.

Kontakte oder andere zweckmäßige Detektoren sind mit ^i 1 bezeichnet, welche durch Gleisstromkreise, Signale oder Signalanzeigegeräte betätigt werden und eine positive Speisespannung 42 über einen Weehselspannungsentkopplungsstromkreis 43 an einen Eingangstransistor 44 führen. Wenn der Transistor 44 vollständig leitend ist (es Wird" angenommen, daß er als Schalttransistor betrieben wird), erdet der Transistor 44 das eine Ende eines Widerstandes 45 und bringt dadurch dessen Verbindung mit einem Widerstand 46 von im wesentlichen gleichem Wert auf die Hälfte der Spannung zwischen einem mit einer positiven Spannung in Verbindung stehenden Punkt 47 und der Erde. Dadurch wird der Datenübertragungsweg 48 des Computers auf ein spezielles Potential oder einen speziellen Pegel angehoben und falls ein weiterer Eingang gleichzeitig fehlerhaft arbeiten sollte, wird der' Datenübertragungsweg auf ein hiervon unterschiedliches Potential angehoben_; wodurch der Computer 24 veranlaßt wird, diesen speziellen Eingang zurückzuweisen und ihn als einen Fehler zu registrieren. Der Zustand der verschiedenen Kontakte 4l (d. h. ob sie geöffnet oder geschlossen sind) wird durch einen Adressendecodierer 49 zyklisch abgefragt, welcher aus Signalen heraus betätigt wird, welche über eine- Adressenübertragungsleitung 50 geführt werden, wobei der Decodierer 49 ein Eingangstor 51 steuert, welches dahingehend wirkt, um erregende Signale von der Basis des Transistors 44 umzuleiten,

509831/0812

es sei denn, dieser ist durch den Decodierer 49 besonders vorbereitet bzw. betätigt. (Lediglich der eine Eingangsstromkreis ist aus Gründen der Klarheit der Darstellung wiedergegeben, und parallele Eingänge, d. h. Daten von unterschiedlichen Quellen, die gleichzeitig eintreffen, können längs der Datenübertragungsleitung 48 angenommen bzw. akzeptiert werden). Demgemäß wirken der Transistor 4^ und die Widerstände 45 und 46 als ein Stromkreis, um eine Bedingung und nur eine Bedingung festzustellen, was für gewöhnlich regelmäßigem das Arbeiten zu korrigieren, überprüft wird, beispielsweise indem;"ein zweckmäßiges Signal direkt an die Basis der Eingangstransistoren angelegt wird.

Der Ausgangsstromkreis eines Computers 24 wird nunmehr anhand der Figur 3 mit Einzelheiten erläutert.

Jeder Ausgang (zu Zwecken der Klarheit der Darstellung ist lediglich ein Ausgang gezeigt) weist einen Adressendecodierer 61 auf, welcher aus der Adressenleitung 50 heraus arbeitet, durch welche die Ausgänge individuell adressiert werden, einen monostabilen Stromkreis 62, eine Relaistreiberstufe 63 und ein Relais 64 auf, welches eine Mehrzahl von in Figur 4 gezeigten Kontakten betätigt. Der monostabile Stromkreis 62 wird fortwährend mit regelmäßigen Zeitintervallen durch den Computer 24 (über die Adressenleitung 50 und den Adressendecodierer 6l) getriggert,wenn der spezielle Ausgang in den "!"-Zustand unter der Steuerung der Steuereingangssignale vom Steuercomputer 12 gehen soll. Die Treiberstufe 63 erregt dann das Relais 64. Die Adressendecodierer werden (wenn erforderlich) einzeln in einer zyklischen Folge betätigt, und die Ausgänge der Decodierer werden durch entsprechende Stromkreise abgefragt bzw. überprüft, welche den Zustand "1" und nur diesen Zustand feststellen, (Stromkreis 65 im Hinblick auf den Decodierer 6l), welche in der gleichen

509831/081 2

Art und Weise wirksam sind, wie der im. Zusammenhang mit · der Beschreibung der Figur 2 beschriebene entsprechende Stromkreis.

In Figur 4 sind Einzelheiten der Ausgangssignalvergleichseinrichtung 25 eines der verriegelnden Einheiten 21 im Hinblick auf das eine Relais 64 jedes der Ausgänge der beiden Computer 2*1 gezeigt, welche mit A und B bezeichnet sind, um diese voneinander zu unterscheiden. Diese Relais stellen die gleichen Ausgänge von den beiden Hälften der Einheit 21 dar. Ein einziges Relais OOC (out~ of-correspondence) wird durch vordere (normalerweise offene) und hintere (normalerweise geschlossene) Kontakte aller Relais 64, wie im unteren Teil der Figur 4 im Block 25 gezeigt, gesteuert, und lediglich die Kontakte der Relais A und B sind im einzelnen wiedergegeben. Das Relais 0OC verbleibt lediglich solange erregt, wie alle Ausgänge von einem Computer 24 in der Einheit 21 mit den entsprechenden Ausgängen des anderen Computers 24 in der gleichen Einheit 21 übereinstimmen, und das Relais 00C wird, abfallen, sollte irgendeine Diskrepanz zwischen diesen verdoppelten Ausgängen vorhanden sein. Da die Eingänge zur Einheit 21 jedoch zyklisch durch die Computer 24 abgetastet werden, und da diese Abtastungen nicht gegeneinander synchronisiert sind, ist es möglich, daß ein Eingang, nachdem er durch den einen Computer 24 abgetastet worden ist und ausreichend bevor er durch den anderen Computer 24 in der Einheit 21 abgetastet wird,sich ändert um dem Ausgang des ersten Computers 24 zu ermöglichen, sich relativ zum entsprechenden Ausgang des zweiten Computers 24 zu verändern, um so eine offensichtliche Diskrepanz zu bewirken, welche in der Tat keine Fehlerbedingung darstellt; Daher wird dem Relais 00C eine Freigabezeit von nicht weniger als der Länge des Eingangsabtastzyklus des Computers 24

509831 /08 12

- ίο -

plus irgendeiner gewünschten Zugabe gegeben. Diese Freigabezeit; sollte nicht länger als notwendig gemacht werden, da, falls zwei einander identische Ausgänge erzeugende •Fehler im Ausgang innerhalb der Freigabezeit auftreten, eine derartige Koinzidenz (obgleich unwahrscheinlich) ein Versagen zur falschen Seite hin verursachen könnte.

Während das Relais 0OC erregt bleibt, können die Ausgänge 22 aus zweckmäßigen Energiequellen 71 durch zusammenwirkende Kontakte der Relais A und B (als eine weitere Parität süberp ruf ung zur Sicherheit),wie in oberen Hälfte des Blocks 25 gezeigt, erregt werden, wodurch eine auf die Ausgangssignale ansprechende Einrichtung gebildet wird, um dadurch Anzeigegeräte, Mehrdarstellungssignale,"Zugbefehlsstromkreise und andere Eisenbahngeräte (nicht gezeigt) zu speisen, deren richtiges Arbeiten von lebenswichtiger Bedeutung unter Berücksichtigung der Sicherheit ist. Sollte eine Nichtübereinstimmung in den Ausgängen der Computer 2k auftreten, und zwar eine andere Nichtübereinstimmung als die mögliche-kurze NichtüberStimmung zufolge der Eingangsabtastzyklen (wie oben diskutiert), wird das Relais 0OC,nachdem seine Freigabezeit verstrichen ist, abfallen und abgefallen bleiben, weil es durch einen seiner eigenen vorderen (normalerweise offenen) Kontakte erregt wird (und auch dann nicht wieder anzieht, falls ein weiterer ,Fehler, vie Icher genau den gleichen unrichtigen Ausgang des Computers 24 verdoppelt, auftritt).

Figur 4 zeigt lediglich einen Weg, um einen wesentlichen Teil der vorliegenden Erfindung zu verwirklichen, andere Wege, um versagungssichere Paritätsüberprüfung zu erhalten, sind bekannt.

509831/0812

- ii -

Ein möglicher Nachteil des oben beschriebenen Systems könnte sein, daß bei einem -inneren Fehler in einer der Einheiten 21 der gesamte Teil der Eisenbahnsteuereinrichtung, der durch diese Einheit 21 gesteuert wird, abgeschaltet wird. Um dieses Problem zu überwinden, das beim Einsatz von Übereins timmungs systemen auftritt, ist es möglich gemäß der Erfindung, ein Majorität ssyst'em zu verwenden, beispielsxieise ein solches, in welchem drei Steuersätze vorhanden sind, d. h., in welchem die Computer 2H innerhalb jeder Einheit 21 dreifach vorhanden sind, in Welchem jedoch die Ausgangssignal Vergleicheinrichtung 25 lediglich zwei dieser drei Computerausgänge benötigt , um akzeptable Ausgange zu erzeugen. Ein derartiges System ist etwas weniger sieher_s als ein solches, in welchem alle Ausgänge der Steuersätze übereinstimmen müssen, es bleibt jedoch funktionsfähig ungeachtet eines einzigen Fehlers.

Ein Prinzip, welchem beim Entwerfen von Steuereinrichtungen und Steueranlagen gefolgt werden sollte, welches wie oben beschrieben funktioniert, ist soweit wie möglich sicherzustellen, daß Steuerbefehle lediglich durch Erregung anstatt durch Entregung gegeben werden. Falls die Computerausgänge demgemäß erregt werden oder auf die logische Zähl bzw. den Zustand "1" erregt werden, um ein Steuersignal zu erzeugen-, kann die Ausgangssignaleinrichtung 25 einfacherweise ein UND-Tor sein, bei welchem Übereinstimmung der Computerausgänge erforderlich ist.

509831/0812

Claims

Patentansprüche

f Ij) Steuervorrichtung, gekennzeichnet durch wenigstens zwei Steuersätze (24), von denen jeder einzeln in der Lage ist, eine geforderte Steuerfunktion durch Erzeugen entsprechender Ausgangssignale im Ansprechen auf ein gemeinsames Eingangssignal durchzuführen und durch eine Ausgangssignalvergleichseinrichtung (25) ₃ die auf die Ausgangssignale anspricht,
um Ausgangssignale hindurchgehen zu lassen, um die Steuerfunktion lediglich dann durchzuführen, wenn eine Mehrzahl oder alle Ausgangssignale übereinstimmen bzw. _w ansonsten versagungssicher weiterzuarbeiten.

2. Steuervorrichtung nach Anspruch 1, gekennzeichnet
durch drei Steuersätze, welche auf einer Majoritätsbasis
arbeiten.

3· Steuervorrichtung nach einem der Ansprüche 1 oder 2, dadurch gekennzeichnet, daß die Vergleich'seinrichtung (25) ein UND-Tor oder ein in analoger Weise arbeitendes Element ist.

4. Steuervorrichtung nach einem der Ansprüche 1 bis 3, dadurch gekennzeichnet, daß die Steuersätze (24) Eingangssignalfühleinrichtungen (44, 45, 46) aufxtfeisen, die lediglich auf eine einzige Form eines Eingangssignals oder auf Eingangssignale in einem Bereich von Werten ansprechen, welcher verhältnismäßig klein im Vergleich zu möglichen Werten ist, wodurch fehlerhafte Eingangssignale diskriminiert werden.

■5. Steuervorrichtung nach Anspruch 4, dadurch gekennzeichnet, daß die Steuersätze (24) Stromkreiselemente (65) aufweisen, die in gleicher Art und Weise wie die Eingangssignalfühleinrichtungen (44, 45, 46) arbeiten und auf Aus-

509831/0812

gangssignale ansprechen, um einen unzulässigen oder gefährlichen Pegel oder eine unzulässige oder gefährliche Form des Eingangssignals festzustellen.

6. Steuervorrichtung nach Anspruch 5₃ dadurch gekennzeichnet, daß das Stromkreiselement (65) den Ausgang der Vorrichtung (24) unwirksam macht und/oder derartige Ausgangssignale löscht.

7. Steuervorrichtung nach einem der Ansprüche 1 bis 6, gekennzeichnet durch einen Indikator und/oder eine Alarmeinrichtung, die auf Fehlarbeiten der Vorrichtung anspricht, um eine Warnung bzw. Meldung der Fehlfunktion zu geben.

8. Steuersystem mit einer Steuervorrichtung nach einem der Ansprüche 1 bis 7, gekennzeichnet durch eine Detektoreinrichtung (4l), welche im Betrieb mit der durch das System zu steuernden Einrichtung gekoppelt ist, um die Bedingung oder Einstellungen der Einrichtung, die zu steuern ist, zu detektieren und um Eingangssignale für die Vorrichtung zu erzeugen, welche für die festgestellten Bedingungen oder Zustände kennzeichnend sind, und durch eine auf das Ausgangssignal ansprechende Einrichtung (63, 64), welche im Betrieb mit der zu steuernden Einrichtung gekoppelt ist, um die Einrichtung in Übereinstimmung mit durch die Vorrichtung erzeugten Ausgangssignalen zu steuern.

9. Steuersystem nach Anspruch 8, dadurch gekennzeichnet, daß die zu steuernde Einrichtung eine Eisenbahnanlage ist, welche eine Mehrzahl von Signalen, und Signaldarstellungsgeräten aufweist und daß Steuersystem eine versagungssichere Steuerverriegelungsfunktion durchführt, welche eine mittlere Zeit zwischen dem Auftreten von Ausfällen auf der unsicheren bzw. gefährlichen Seite aufweist, die wesentlich größer, als die der einzelnen Steuersätze (24) ist₃ die einen Teil der Steuervorrichtung bilden.

509831/0812

10. Steuersystem nach Anspruch 8, dadurch "gekennzeichnet, daß die zu steuernde Einrichtung ein Elektrizitätsübertragungssystem oder eine chemische Verarbeitungsanlage ist, beispielsweise eine Raffinerie, oder ein anderes Steuersystenij in welchem keine falschen Verbindungen gemacht werden dürfen.

509831/0812

Leerseite