EP0473834A1 - Electronic interlocking control system, set up according to the local processor control principle - Google Patents

Abstract

The operating status reports (M1, M2) of the process elements (W, A) to be controlled are fed to the report parts (M1.1, M2.1) of two control computers (STR1, STR2) which complete these status reports by means of report enable signals (F1, F2) and pass them onto an area computer (BR). The latter selects for evaluation from the reports conveyed on two channels those reports which are characterised as correct. In the command direction, the area computer acts on a process element, which is to be controlled, as a function of whether no redundancy or else an interrupted redundancy or an interruption-free redundancy is required for and admissible for this process element, either via only one control computer or via one or other control computer of a control computer pair or via both control computers at the same time. It is possible to issue commands (K1, K2) to the process element via one and/or other control computer only for as long as appropriate monitoring reports (Ü1, Ü2) are present via the correct issue of commands by means of the computer-external control parts (K1.2, K2.2) of the individual control computers. <IMAGE>

Description

Die Erfindung bezieht sich auf eine Einrichtung nach dem Oberbegriff des Patentanspruches 1. Eine derartige Einrichtung ist aus Signal und Draht 81 (1989) 5, Seiten 95 bis 102 bekannt.The invention relates to a device according to the preamble of claim 1. Such a device is known from Signal and Wire 81 (1989) 5, pages 95 to 102.

Dort wird über die Steuerung und Überwachung der Fahrwegelemente eines elektronischen Stellwerkes mit Hilfe von Stellrechnern (Fahrwegelementrechner) berichtet, über die sowohl die Kommandoausgabe als auch der Meldungsempfang abgewickelt werden. Für alle Einrichtungen, die der Steuerung und Überwachung von mehr als einem Fahrwegelement dienen, ist Redundanz vorgesehen, d. h. diese Einrichtungen sind verdoppelt. Dies gilt insbesondere für die Stellrechner und für die Anpassungen zur Außenanlage. Wegen der Bereitstellung von jeweils zwei Stellrechnern wird eine sehr viel größere Anzahl von Stellrechnern benötigt als bei einem Stellwerk ohne Stellrechnerredundanz. Dies bedingt einen sehr hohen gerätetechnischen Aufwand, allerdings mit dem Vorteil einer hohen Verfügbarkeit der Anlage. Werden von bestimmten Fahrwegelementrechnern nur Fahrwegelemente in Nebengleisen gesteuert, so kann auf eine redundante Rechnerausführung verzichtet werden (Signal und Draht 78 (1986) 9, Seiten 175 bis 184, insbesondere Seite 183). Hier ist zwar der Geräteaufwand minimiert; dafür ist jedoch auch keinerlei Redundanz vorhanden.It reports on the control and monitoring of the route elements of an electronic signal box with the help of positioning computers (route element computers), via which both the command output and the receipt of messages are processed. Redundancy is provided for all devices that serve to control and monitor more than one guideway element. H. these facilities are doubled. This applies in particular to the control computer and to the adjustments to the outdoor area. Due to the availability of two signaling computers, a much larger number of signaling computers is required than for a signal box without signal processor redundancy. This requires a very high level of technical equipment, but with the advantage of high system availability. If certain route element computers only control route elements in side tracks, redundant computer versions can be dispensed with (Signal und Draht 78 (1986) 9, pages 175 to 184, in particular page 183). Here, the device effort is minimized; however, there is no redundancy for this.

Bezüglich der Bereitstellung von Redundanz ist bei der bekannten Einrichtung von Nachteil, daß die Fahrwegelemente abhängig davon, ob der eine oder der andere zugehörige Stellrechner betriebsführend ist, eingangsseitig mit dem Ausgang des einen oder dem des anderen Stellrechners zu verbinden sind; dies muß rückwirkungsfrei geschehen und erfolgt über Ausschlußschaltmittel. Außerdem ist von Nachteil, daß der bisher inaktive Stellrechner erst nach dem Umschalten Kenntnis erhält von den IST-Zuständen der jeweils angeschlossenen Fahrwegelemente. Dies verzögert die Prozeßsteuerung unnötig. Ein weiterer Nachteil der bekannten Einrichtung ist darin zu sehen, daß mindestens die Rückmeldung der Betriebszustände an die Stellrechner nur einkanalig erfolgt. Zwar lassen sich bei geeigneten Sicherungsverfahren Datenverfälschungen auf dem Übertragungsweg von den Fahrwegelementen zu einem betriebsführenden Stellrechner erkennen und unwirksam machen; dies verlangt aber bei jeder Übertragungsstörung eine erneute Übertragung der Meldung, um die Prozeßsteuerung fortzusetzen. Auch dies führt insgesamt zu einer Verlangsamung des Prozesses.With regard to the provision of redundancy, it is disadvantageous in the known device that the guideway elements are to be connected on the input side to the output of one or the other positioning computer depending on whether one or the other associated positioning computer is operational; this must be done without retroactive effect and is carried out via exclusion switching means. A further disadvantage is that the previously inactive control computer only becomes aware of the actual states of the respectively connected route elements after the switchover. This unnecessarily delays process control. Another disadvantage of the known device can be seen in the fact that at least the feedback of the operating states to the control computer takes place only in one channel. With suitable security procedures, data falsifications on the transmission path from the route elements to an operational control computer can be recognized and rendered ineffective; however, this requires the message to be retransmitted in the event of a transmission fault in order to continue process control. Overall, this also slows down the process.

Aufgabe der Erfindung ist es, eine Einrichtung nach dem Oberbegriff des Patentanspruches 1 anzugeben, die hinsichtlich ihrer Redundanzgestaltung flexibel ist. Etwaige Störungen bei der Übertragung von Kommandos und Meldungen sollen bei ihrem Auftreten möglichst rasch erkennbar sein und den jeweils steuernden Bereichsrechner in die Lage versetzen, sofort in angemessener Weise auf die eingetretene Störung zu reagieren.The object of the invention is to provide a device according to the preamble of claim 1, which is flexible in terms of its redundancy design. Any malfunctions in the transmission of commands and messages should be recognizable as quickly as possible when they occur and should enable the controlling area computer to react immediately and appropriately to the malfunction that has occurred.

Die Erfindung löst diese Aufgabe durch die kennzeichnenden Merkmale des Patentanspruches 1. Das laufende Einlesen von Meldungen in die Stellrechner in Verbindung mit der Übertragung von Meldefreigaben gestattet es, gestörte Meldungen sofort zu erkennen; das Einlesen der Meldungen in jeweils zwei Stellrechner gestattet es, bei einer Störung in einem Übertragungskanal die über den jeweils anderen Kanal übermittelten Meldungen auszuwerten, ohne daß es hierzu eines nennenswerten zusätzlichen Aufwandes für die Meldungsumschaltung bedarf. Der Kommandoweg hin zu den Ausgabeschaltmitteln für die Fahrwegelemente wird durch Überwachungsmeldungen für die ordnungsgerechte Ausgabe der Kommandos überwacht. Nur dort, wo tatsächlich eine redundante Steuerung eines Prozeßelementes erforderlich ist, sind redundante Stellrechnerteile für die Kommandoausgabe an die Fahrwegelemente vorgesehen.The invention solves this problem by the characterizing features of claim 1. The continuous reading of messages into the control computer in connection with the transmission of message releases allows faulty messages to be recognized immediately; reading the messages into two control computers in each case makes it possible to evaluate the messages transmitted via the other channel in the event of a fault in one transmission channel, without requiring any significant additional effort for switching the messages. The command route to the output switching means for the route elements is monitored by monitoring messages for the correct output of the commands. Only where redundant control of a process element is actually required, redundant control computer parts are provided for the command output to the route elements.

Vorteilhafte Ausgestaltungen der erfindungsgemäßen Einrichtung sind in den Unteransprüchen angegeben.Advantageous refinements of the device according to the invention are specified in the subclaims.

Anspruch 2 bezeichnet die Darstellung der Meldungen und der zugehörigen Meldefreigaben und ihre Übermittlung an die Stellrechner sowie die Zuordnung der Meldungen zu den Freigaben.Claim 2 denotes the representation of the messages and the associated message releases and their transmission to the control computer and the assignment of the messages to the releases.

Nach der Lehre des Anspruches 3 wählt sich der Bereichsrechner aus den von jeweils zwei Stellrechnern übermittelten Meldebytes individuell jeweils diejenigen Meldebits aus, die ungestört empfangen wurden. Die Meldeauswertung insgesamt ist erst gestört, wenn in beiden Meldebytes die einander entsprechenden Meldebits gestört sind. Anspruch 4 gibt an, auf welche Weise der Bereichsrechner aus den ihm übermittelten Meldungen und Freigaben die originären Meldungen ableitet.According to the teaching of claim 3, the area computer individually selects those message bits that were received without interference from the message bytes transmitted by two control computers. The overall message evaluation is only disrupted if the corresponding message bits are disrupted in both message bytes. Claim 4 indicates how the area computer derives the original messages from the messages and releases transmitted to it.

Anspruch 5 beinhaltet die Ausgestaltung der erfindungsgemäßen Einrichtung bei nichtredundanter Steuerung eines Prozeßelementes und Anspruch 6 ihrer Ausgestaltung bei redundanter Steuerung.Claim 5 includes the configuration of the device according to the invention with non-redundant control of a process element and claim 6 of its configuration with redundant control.

Anspruch 7 bezeichnet die Mittel zum bedarfsweisen Sperren eines Stellrechners, über den der ordnungsgerechte Zugriff auf ein zu steuerndes Prozeßelement nicht mehr gegeben ist.Claim 7 designates the means for blocking an actuating computer as required, via which proper access to a process element to be controlled is no longer provided.

Ausführungsbeispiele der Erfindung sind nachstehend unter Bezugnahme auf die Zeichnung näher erläutert.Embodiments of the invention are explained below with reference to the drawing.

Die Zeichnung zeigt:

• in Figur 1 eine in Melderichtung redundante und in Kommandorichtung nicht redundante Ausgestaltung der erfindungsgemäßen Einrichtung,
• in Figur 2 eine in Melderichtung und in Kommandorichtung redundante Ausgestaltung der erfindungsgemäßen Einrichtung und
• in Figur 3 ein Schema zum Ermitteln des originären Meldebytes bei mit Störungen behafteten Meldebytes.

The drawing shows:

• 1 shows a configuration of the device according to the invention which is redundant in the signaling direction and non-redundant in the command direction,
• in Figure 2 in the reporting direction and in com mando direction redundant design of the device according to the invention and
• FIG. 3 shows a scheme for determining the original message byte in the case of faulty byte.

Figur 1 zeigt schematisch einen Bereichsrechner BR zusammen mit zwei Stellrechnern STR1 und STR2 zur Steuerung eines Lichtsignales S sowie weiterer in der Zeichnung nicht dargestellter Prozeßelemente eines Stellwerkes. Der Bereichsrechner und die beiden Stellrechner stellen nur einen kleinen Ausschnitt der Steuerelemente eines Stellwerkes dar. Das Lichtsignal wird in Kommandorichtung in nicht redundanter Weise ausschließlich über den Stellrechner STR2 gesteuert. Einer Redundanz bedarf es deshalb nicht, weil im Falle der Nichtsteuerbarkeit des Signales über den Stellrechner dieses auf Halt geht (sicherer Zustand) und weil dieses Signal durch Anschalten von Kennlicht oder auf schriftlichen Befehl passiert werden kann. Die eingetretene Störung macht den angrenzenden Streckenabschnitt nicht grundsätzlich unpassierbar; Redundanz ist also nicht zwingend erforderlich. Die Steuerung des Lichtsignals geschieht über zugeordnete Stellteile K2.1 und K2.2; K2.1 beinhaltet im wesentlichen die Ausgabetore des Stellrechners STR2 zum Lichtsignal, K2.2 im wesentlichen die Anpassungen zum Umsetzen vom zugehörigen Stellrechner stammender Steueranweisungen in Anschaltaufträge für die Leistungsschaltmittel des Lichtsignals. Überwachungsmeldungen Ü2 zur Kennzeichnung des jeweiligen Schaltzustandes der Leistungsschaltmittel im externen Stellteil werden über den Stellrechner STR2 an den Bereichsrechner übertragen, der daraufhin in der Lage ist, das ordnungsgerechte Arbeiten der Stellteile zu überwachen. Nur solange die Überwachungsmeldungen anzeigen, daß die über den Stellrechner STR2 ausgegebenen Kommandos vom Stellteil K2.2 ordnungsgerecht ausgeführt wurden, veranlaßt der Bereichsrechner über den Stellrechner STR2 die weitere Ausgabe von Kommandos an dieses Stellteil; andernfalls ist die ordnungsgerechte Kommandoausgabe nicht mehr gewährleistet, die Kommandoausgabe unterbleibt und das Signal geht selbsttätig auf Halt und damit in den sicheren Zustand. Bei Aufnahme der Steuerung eines Prozeßelementes über den einen oder anderen Stellrechner sorgt eine Anlaufprozedur dafür, daß auf das Vorhandensein von Überwachungsmeldungen vorübergehend verzichtet werden kann.Figure 1 shows schematically an area computer BR together with two control computers STR1 and STR2 for controlling a light signal S and other process elements of an interlocking, not shown in the drawing. The area computer and the two control computers represent only a small section of the control elements of an interlocking. The light signal is controlled in the command direction in a non-redundant manner exclusively via the control computer STR2. Redundancy is therefore not necessary because if the signal cannot be controlled via the control computer, the signal goes to a stop (safe state) and because this signal can be passed through by turning on the beacon or with a written command. The disruption that occurs does not make the adjacent section of the route generally impassable; Redundancy is therefore not absolutely necessary. The light signal is controlled via assigned actuators K2.1 and K2.2; K2.1 essentially contains the output gates of the control computer STR2 for the light signal, K2.2 essentially the adaptations for converting control instructions originating from the associated control computer into connection orders for the power switching means of the light signal. Monitoring messages Ü2 for identifying the respective switching state of the power switching means in the external control element are transmitted via the control computer STR2 to the area computer, which is then able to monitor the correct operation of the control elements. Only as long as the monitoring messages indicate that the commands issued via the control computer STR2 have been properly executed by the control unit K2.2, does the area computer use the control computer STR2 to issue further commands to this control unit; otherwise the correct command output is no longer guaranteed, the command output is omitted and the signal automatically stops and is therefore in a safe state. When the control of a process element is started via one or the other control computer, a start-up procedure ensures that the presence of monitoring messages can be temporarily dispensed with.

Der jeweilige Betriebszustand des Lichtsignales wird in Form von Betriebszustandsmeldungen sowohl dem Meldeteil M2.1 des steuernden Stellrechners STR2 als auch dem Meldeteil M1.1 eines zur Steuerung anderer Prozeßelemente vorgesehenen Stellrechners STR1 zugeführt. Beide Stellrechner prüfen die übermittelten Meldungen unabhängig voneinander auf ordnungsgerechten Empfang und übermitteln sie getrennt voneinander an den steuernden Bereichsrechner BR. Dabei versehen sie die Meldungen M1 bzw. M2 mit Meldefreigaben F1 bzw. F2, welche dem Bereichsrechner anzeigen, ob die zugehörigen Meldungen ordnungsgerecht empfangen wurden oder nicht. Der Bereichsrechner entscheidet aufgrund der ihm übermittelten Meldefreigaben, welche der ihm zweikanalig übermittelten Meldungen als ordnungsgerecht anzuerkennen sind und welche nicht. Bei auf beiden Meldekanälen anliegenden, mit je einer den ordnungsgerechten Meldungsempfang kennzeichnenden Meldefreigabe versehenen Meldungen werden diese in den einen bzw. anderen Verarbeitungskanal des Bereichsrechners eingelesen; bei einer nur auf einem Meldekanal anliegenden, mit einer positiven Meldefreigabe versehenen Meldung wird diese in beide Verarbeitungskanäle des Bereichsrechners eingelesen.The respective operating state of the light signal is supplied in the form of operating state messages both to the signaling part M2.1 of the controlling control computer STR2 and to the signaling part M1.1 of a control computer STR1 provided for controlling other process elements. Both control computers independently check the transmitted messages for proper reception and transmit them separately to the controlling area computer BR. In doing so, they provide messages M1 and M2 with message releases F1 and F2, respectively, which indicate to the area computer whether the associated messages have been properly received or not. On the basis of the message releases sent to it, the area computer decides which of the two-channel messages sent to it are to be recognized as correct and which are not. In the case of messages present on both message channels, each with a message release which characterizes the proper receipt of the message, these are read into one or the other processing channel of the area computer; If a message is only present on one message channel and has a positive message release, it is read into both processing channels of the area computer.

Jede Meldung besteht vorzugsweise aus einem Bit der einen oder einem Bit der anderen Wertigkeit und in den Stellrechnern werden aus den Meldungen, ggf. auch aus den Meldungen mehrerer gesteuerter Prozeßelemente, Meldebytes zur Übertragung an den zugehörigen Bereichsrechner gebildet. Jeder Stellrechner erzeugt bei ungestörtem Empfang eines Meldebits ein Freigabebit der Wertigkeit L und bei gestörtem Empfang eines Meldebits ein Freigabebit der Wertigkeit 0. Diese Bits werden jeweils zusammen mit dem zugehörigen Meldebyte als Meldefreigabebyte an den Bereichsrechner übertragen. Dabei besteht eine feste Zuordnung zwischen den Bitpositionen der Meldebytes und denen der Meldefreigabebytes. Der Bereichsrechner wählt aus den ihm von beiden Stellrechnern byteweise übermittelten Meldungen individuell jeweils diejenigen Bits aus, denen Meldefreigaben der Wertigkeit L zugeordnet sind und verwirft alle nicht mit Meldefreigaben dieser Wertigkeit versehenen Meldungen.Each message preferably consists of a bit of one or a different value and in the control computers, message bytes for transmission to the associated area computer are formed from the messages, possibly also from the messages of several controlled process elements. Each signal processor generates an enable bit with the value L if the message bit is received undisturbed and an enable bit with the value 0 if the message bit is disrupted. These bits are transferred to the area computer together with the associated message byte as the message enable byte. There is a fixed assignment between the bit positions of the message bytes and those of the message enable bytes. The area computer individually selects from the messages transmitted to it byte by byte by both actuating computers those bits to which message releases with the value L are assigned and discards all messages that are not provided with message releases of this value.

Figur 2 beinhaltet die Anwendung der Erfindung bei der Steuerung eines Fahrwegelementes, für das sowohl in Melde- als auch in Kommandorichtung Redundanz verlangt wird. Dabei soll es sich um eine Weiche W handeln, die von einem Antrieb A bedarfsweise umsteuerbar ist. Diese Weiche muß steueroar bleiben, auch dann, wenn sie von einem normalerweise für sie zuständigen Stellrechner nicht mehr steuerbar ist. Für den dann ausgefallenen Stellrechner springt ein anderer, hierfür vorgesehener Stellrechner ein, der auch vorher schon ständig mit den von der Weiche stammenden Zustandsmeldungen versorgt wurde.FIG. 2 includes the use of the invention in the control of a guideway element for which redundancy is required both in the message and in the command direction. This should be a switch W, which can be reversed by a drive A if necessary. This switch must remain taxable, even if it can no longer be controlled by a control computer normally responsible for it. For the control computer that then fails, another control computer provided for this purpose jumps in, which previously has also been constantly supplied with the status messages from the switch.

Es ist angenommen, daß die Weiche W üblicherweise über den Stellrechner STR1 gesteuert wird. Hierzu versorgt der Bereichsrechner BR den Stellrechner STR1 mit entsprechenden Kommandos K1. Diese Kommandos werden über ein rechnerinternes Stellteil K1.1 an ein rechnerexternes Stellteil K1.2 übermittelt, in dem die Kommandos in Schaltaufträge für Leistungsschaltmittel zum Steuern des Weichenantriebs A umgesetzt werden. Die Stromversorgung des Antriebs erfolgt in bekannter Weise beispielsweise über vieradrige Leitungen aus dem rechnerexternen Stellteil K1.2. Dieses Stellteil übermittelt Überwachungsmeldungen Ü1 über die Schaltstellung seiner Leistungsschaltmittel an den Stellrechner STR1, der diese Überwachungsmeldungen entweder an den Bereichsrechner BR weitergibt, oder zuvor mit den anliegenden Kommandoaufträgen vergleicht und die Vergleichsergebnisse an den Bereichsrechner weitermeldet. Aus den Überwachungsmeldungen erkennt der Bereichsrechner, ob die von ihm veranlaßten Kommandos zur Ausführung gelangen oder nicht. Er unternimmt nur solange den Versuch, über den Stellrechner STR1 auf den Antrieb A zuzugreifen, solange ihm vom Stellrechner die entsprechenden Überwachungsmeldungen über die ordnungsgerechte Ausgabe von Kommandos übermittelt werden. Bleiben diese Überwachungsmeldungen aus, bzw. zeigen sie, daß eine ordnungsgerechte Kommandoausgabe nicht mehr möglich ist, so sperrt der Stellrechner STR1 die ihm zugeordneten Kommandoteile gegen weitere Beaufschlagung und unterrichtet den Bereichsrechner hiervon. Dieser veranlaßt in der Folge die Steuerung des Antriebs über den Stellrechner STR2. Hierzu versorgt er den Stellrechner mit entsprechenden Kommandos K2, die über rechnerinterne und rechnerexterne Stellteile K2.1 und K2.2 an den Antrieb ausgegeben werden. Auch hier ist eine ständige Überwachung des Kommandoweges bis hin zum rechnerexternen Stellteil K2.2 vorgesehen, wobei entsprechende Überwachungsmeldungen Ü2 an den Stellrechner STR2 und von dort direkt oder in aufgearbeiteter Form an den Bereichsrechner gelangen.It is assumed that the switch W is usually controlled via the control computer STR1. The area computer BR supplies the Control computer STR1 with corresponding commands K1. These commands are transmitted via a computer-internal control part K1.1 to a computer-external control part K1.2, in which the commands are converted into switching orders for power switching devices for controlling the point machine A. The drive is supplied with power in a known manner, for example via four-wire lines from the control part K1.2 external to the computer. This control unit transmits monitoring messages Ü1 via the switching position of its power switching means to the control computer STR1, which either forwards these monitoring messages to the area computer BR or compares them beforehand with the command commands pending and forwards the comparison results to the area computer. The area computer recognizes from the monitoring messages whether the commands that it initiated are carried out or not. He only tries to access drive A via the control computer STR1, as long as the control computer sends him the appropriate monitoring messages regarding the correct output of commands. If these monitoring messages fail to appear, or if they show that correct command output is no longer possible, the control computer STR1 locks the command parts assigned to it against further exposure and informs the area computer of this. This then causes the drive to be controlled via the control computer STR2. For this purpose, it supplies the control computer with the corresponding commands K2, which are output to the drive via internal and external control parts K2.1 and K2.2. A constant monitoring of the command path up to the control part K2.2 external to the computer is also provided here, with corresponding monitoring messages Ü2 being sent to the control computer STR2 and from there directly or in a processed form to the area computer.

Die Betriebszustandsmeldungen der Weiche werden den Meldeteilen M1.1 und M2.1 der beiden Stellrechner STR1 und STR2 zugeführt. Dort werden sie mit Meldefreigaben F1 bzw. F2 versehen und an den Bereichsrechner BR übermittelt. Der Bereichsrechner wählt sich aus den ihm von den beiden Stellrechnern übermittelten Meldungen jeweils diejenigen aus, die mit Meldefreigaben für den ordnungsgerechten Empfang der Meldungen versehen sind.The operating status messages of the switch are fed to the message parts M1.1 and M2.1 of the two control computers STR1 and STR2. There they are provided with message releases F1 and F2 and transmitted to the area computer BR. From the messages transmitted to it by the two control computers, the area computer selects those which are provided with message releases for the correct receipt of the messages.

Bei dem Ausführungsbeispiel der Figur 2 erfolgt der Zugriff auf das zu steuernde Prozeßelement, die Weiche W, entweder über den Stellrechner STR1 oder den Stellrechner STR2. Es gibt jedoch auch Prozeßelemente, auf die unterbrechungsfrei gleichzeitig von zwei Stellrechnern aus zuzugreifen ist. Dies geschieht beispielsweise bei Bahnübergangssicherungsanlagen, die so konzipiert sind, daß der Ausfall der Steuerung automatisch zum Absenken der Schrankenbäume führt. Hier kann die Ansteuerung der Schranken gleichzeitig von beiden Rechnern aus über zwei parallele Anschaltkreise erfolgen, von denen bei Ausfall des einen der andere wirksam bleibt. Auch die Anschaltung einer Weichenheizung kann gleichzeitig über zwei Stellrechner veranlaßt werden. Anders liegen die Dinge bei der Steuerung eines Weichenantriebs; hier darf nicht gleichzeitig von zwei Stellrechnern auf den Antrieb eingewirkt werden, weil sonst die Gefahr besteht, daß beide Stellrechner z.B. wegen unterschiedlicher Schaltzeiten ihrer rechnerexternen Stellteile den Antrieb vorübergehend gleichzeitig in beiden Laufrichtungen beanspruchen könnten. Hierdurch könnte es zu einem bleibenden Schaden im Stellstromkreis des Antriebes und damit zu einem Totalausfall des Antriebes kommen; dies sollte jedoch gerade durch das Vorhalten redundanter Steuerungsteile vermieden werden.In the embodiment of FIG. 2, the process element to be controlled, the switch W, is accessed either via the control computer STR1 or the control computer STR2. However, there are also process elements that can be accessed simultaneously and without interruption from two control computers. This happens, for example, with level crossing safety systems that are designed so that the failure of the control system automatically leads to the lowering of the barrier booms. Here, the barriers can be controlled simultaneously from both computers via two parallel connection circuits, one of which remains effective if one fails. Switching on a point heater can also be initiated simultaneously via two control computers. Things are different when it comes to controlling a point machine; Here, two actuators must not act on the drive at the same time, otherwise there is a risk that both actuators, e.g. due to different switching times of their computer-external actuators could temporarily use the drive in both directions simultaneously. This could result in permanent damage to the actuator control circuit and thus to a total failure of the actuator; however, this should be avoided by keeping redundant control parts available.

Figur 3 zeigt ein Schema, nach dem sich der Bereichsrechner aus den ihm von den einzelnen Stellrechnerpaaren übermittelten Meldungen und Meldefreigaben die jeweils originären Meldungen aussucht, ohne daß die Wertigkeit einzelner Meldebits korrigiert werden muß. Es ist angenommen, daß die beiden Stellrechner dem Bereichsrechner zwei Meldebytes M1 und M2 und zwei Meldefreigabebytes F1 und F2 übermittelt haben. Es ist ferner angenommen, daß durch das Meldefreigabebyte F1 das vierte Meldebit des Meldebytes M1 und durch das Meldefreigabebyte F2 das dritte Meldebit des Meldebytes M2 als nicht ordnungsgerecht empfangen dokumentiert sind. Der Bereichsrechner verknüpft zunächst die ihm übermittelten Melde- und Meldefreigabebytes nach einer UND-Bedingung. Aus dem jeweiligen Ergebnis der UND-Verknüpfung ist das originäre Meldebyte noch nicht erkennbar. Der Bereichsrechner invertiert deshalb das Meldefreigabebyte des einen Rechners, z.B. das Meldebyte M1, und kennt damit die Bitposition, an der auf das Meldebyte des anderen Rechner zugegriffen werden muß. Dies ist im Beispiel an der vierten Stelle des Meldebytes M1 der Fall. Durch UND-Verknüpfung des invertierten Meldefreigabebytes F1 des einen Rechners mit der UND-Verknüpfung aus Meldefreigabebyte F2 und Meldebyte M2 des anderen Rechner läßt sich für das verfälschte Bit des ersten Meldebytes M1 die tatsächliche Wertigkeit dieses Bits, im Beispiel "0", feststellen; alle anderen Bits der UND-Verknüpfung müssen wegen der Invertierung der den ordnungsgerechten Empfang von Meldungen anzeigenden Bits des Meldefreigabebytes F1 zwangsläufig auf Null liegen. Wenn man nun das durch die zweimalige UND-Verknüpfung gefundene Byte mit dem durch die UND-Verknüpfung des Meldebytes M1 mit dem Meldefreigabebytes F1 gefundenen Byte nach einer ODER-Bedingung verknüpft, so kann dieses Byte durch die ODER-Verknüpfung nur an den Stellen modifiziert werden, an denen das Meldebyte M1 durch das zugehörige Meldefreigabebyte F1 als nicht ordnungsgerecht gekennzeichnet wurde. Im vorliegenden Fall tritt jedoch eine derartige Modifizierung nicht ein, weil das zu korrigierende Meldebit zufälligerweise die Wertigkeit "0" aufweist. Durch ODER-Verknüpfen der UND-Verknüpfung aus Meldebyte M1 und Meldefreigabebyte F1 mit dem durch zweimalige UND-Verknüpfung des Meldebytes M2 und des Meldefreigabebytes F2 des anderen Rechners und des invertierten Meldefreigabebytes F1 des eigenen Rechners gefundenen Wert läßt sich so das originäre Meldebyte im Bereichsrechner nachbilden.FIG. 3 shows a diagram according to which the area computer selects the original messages from the messages and message releases transmitted to it by the individual pairs of control computers, without the value of individual message bits having to be corrected. It is assumed that the two control computers have transmitted two message bytes M1 and M2 and two message enable bytes F1 and F2 to the area computer. It is also assumed that the fourth message bit of the message byte M1 and the third message bit of the message byte M2 are documented by the message enable byte F1 as incorrectly received by the message enable byte F2. The area computer first links the message and message enable bytes transmitted to it according to an AND condition. The original message byte is not yet recognizable from the respective result of the AND operation. The area computer therefore inverts the message enable byte of one computer, for example the message byte M1, and thus knows the bit position at which the message byte of the other computer must be accessed. In the example, this is the case at the fourth position of message byte M1. By ANDing the inverted message enable byte F1 of one computer with the AND operation of message enable byte F2 and message byte M2 of the other computer, the actual value of this bit, "0" in the example, can be determined for the corrupted bit of the first message byte M1; all other bits of the AND link must necessarily be zero because of the inversion of the bits of the message enable byte F1 indicating the correct receipt of messages. If you now compare the byte found by the two AND operations with the If the byte found by the AND link of the message byte M1 with the message enable byte F1 is linked according to an OR condition, this byte can only be modified by the OR link at those points where the message byte M1 is not correct due to the associated message enable byte F1 was marked. In the present case, however, such a modification does not occur because the message bit to be corrected happens to have the value "0". By OR-linking the AND link from message byte M1 and message enable byte F1 to the value found by double ANDing the message byte M2 and the message enable byte F2 of the other computer and the inverted message enable byte F1 of your own computer, the original message byte can be simulated in the area computer .

Claims (7)

1. Einrichtung zur Steuerung der Prozeßelemente eines nach dem Bereichsrechnerprinzip organisierten elektronischen Stellwerks mit mehreren von den Bereichsrechnern mit Kommandos und von den Prozeßelementen mit Meldungen versorgten Stellrechnern, die über Ausgabeschaltmittel auf zugeordnete Prozeßelemente wirken,
dadurch gekennzeichnet,
daß die Prozeßelemente (S, W) die von ihnen stammenden Meldungen (M1, M2) jeweils zwei Stellrechnern (STR1, STR2) zuführen und daß diese Stellrechner den Meldungen bei ordnungsgerechtem Empfang der Meldungen Freigabekennzeichen (F1, F2) zuordnen und diese zusammen mit den Meldungen an einen zugehörigen Bereichsrechner (BR) übermitteln, daß der Bereichsrechner nur mit Freigabekennzeichen versehene Meldungen anerkennt und daß der Bereichsrechner die von ihm erarbeiteten Kommandos (K1, K2) individuell über solche Stellrechner an die zugehörigen Prozeßelemente absetzt, von denen er bei der vorherigen Übermittlung von Kommandos entsprechende Überwachungsmeldungen (Ü1, Ü2) für die ordnungsgerechte Ausgabe dieser Kommandos durch die Ausgabeschaltmittel des betreffenden Stellrechners empfangen hat.1. Device for controlling the process elements of an electronic signal box organized according to the area computer principle with several position computers supplied by the area computers with commands and by the process elements with messages, which act on assigned process elements via output switching means.
characterized,
that the process elements (S, W) each send the messages (M1, M2) to two control computers (STR1, STR2) and that these control computers assign the release codes (F1, F2) to the messages when the messages are received correctly and together with them Transmit messages to an associated area computer (BR) that the area computer only recognizes messages provided with a release indicator and that the area computer sends the commands (K1, K2) it has created individually to the associated process elements via such positioning computers, from which it sent the previous transmission has received appropriate monitoring messages from commands (Ü1, Ü2) for the correct output of these commands by the output switching means of the relevant computer. 2. Einrichtung nach Anspruch 1, dadurch gekennzeichnet,
daß jede Meldung (M1, M2) aus einem Bit der einen oder einem Bit der anderen Wertigkeit besteht,
daß die Bits mehrerer Meldungen ein Meldebyte bilden,
daß die Stellrechner (STR1.1, STR1.2) abhängig vom ordnungsgerechten Empfang der Meldungen für jede Meldung (M1, M2) als Freigabekennzeichen (F1.1, F1.2) ein Bit der Wertigkeit L oder ein Bit der Wertigkeit 0 erzeugen und diese Bits jeweils im Anschluß an das zugehörige Meldebyte als Freigabekennzeichenbyte an den zugehörigen Bereichsrechner (BR) übertragen, wobei eine feste Zuordnung zwischen den Bitpositionen der Meldebytes und denen der Freigabekennzeichenbytes besteht.2. Device according to claim 1, characterized in
that each message (M1, M2) consists of a bit of one or a bit of the other value,
that the bits of several messages form a message byte,
that the control computer (STR1.1, STR1.2), depending on the correct receipt of the messages for each message (M1, M2) as a release indicator (F1.1, F1.2) generate a bit of value L or a bit of value 0 and these bits are each transferred to the associated area computer (BR) as a release identifier byte following the associated message byte, there being a fixed assignment between the bit positions of the message bytes and those of the release identifier bytes. 3. Einrichtung nach Anspruch 2, dadurch gekennzeichnet, daß der Bereichsrechner (BR) aus den ihm von den beiden Stellrechnern byteweise übermittelten Meldungen (M1, M2) individuell jeweils diejenigen auswählt, denen Freigabekennzeichen durch einen Stellrechner zugeordnet sind.3. Device according to claim 2, characterized in that the area computer (BR) individually selects the messages (M1, M2) transmitted to it byte-wise from the two control computers, to which release indicators are assigned by a control computer. 4. Einrichtung nach Anspruch 3, dadurch gekennzeichnet,
daß der Bereichsrechner (BR) die ihm von jeweils zwei Stellrechnern (STR1, STR2) übermittelten Meldungen (M1, M2) mit den jeweils zugehörigen Freigabekennzeichen (F1, F2) nach einer UND-Bedingung verknüpft,
daß der Bereichsrechner die ihm von jeweils einem der Stellrechner (z.B. STR1) übermittelten Freigabekennzeichen (F1) invertiert und mit dem durch die UND-Verknüpfung von Meldungen (M2) und Freigabekennzeichen (F2) des jeweils anderen Stellrechners (STR2) gebildeten Byte nach einer UND-Bedingung verknüpft und daß der Bereichsrechner dieses Byte mit dem durch die UND-Verknüpfung von Meldungen (M1) und Freigabekennzeichen (F1) des einen Stellrechners (STR1) gebildeten Byte nach einer ODER-Bedingung verknüpft und das Ergebnis als Meldebyte anerkennt.4. Device according to claim 3, characterized in
that the area computer (BR) links the messages (M1, M2) transmitted to it by two control computers (STR1, STR2) with the respective corresponding release indicators (F1, F2) according to an AND condition,
that the area computer inverts the release indicator (F1) transmitted to it by one of the control computers (e.g. STR1) and with the byte formed by the AND operation of messages (M2) and release indicator (F2) of the other control computer (STR2) after an AND Condition linked and that the area computer links this byte with the byte formed by the AND combination of messages (M1) and release indicator (F1) of a control computer (STR1) according to an OR condition and recognizes the result as a message byte. 5. Einrichtung nach Anspruch 1, dadurch gekennzeichnet, daß die Steuerung eines Prozeßelementes (S) durch einen Bereichsrechner in nichtredundanter Weise über nur einen einzigen Stellrechner (STR2) erfolgt und daß dieses Prozeßelement hierzu über entsprechende Ausgabeschaltmittel (K2.2) an nur diesen Stellrechner angeschlossen ist.5. Device according to claim 1, characterized in that the control of a process element (S) by an area computer in a non-redundant manner via only a single control computer (STR2) and that this process element for this purpose via appropriate output switching means (K2.2) to only this control computer connected. 6. Einrichtung nach Anspruch 1, dadurch gekennzeichnet, daß die Steuerung eines Prozeßelementes (W) durch einen Bereichsrechner in redundanter Weise über zwei Stellrechner (STR1,STR2) erfolgt,
daß dieses Prozeßelement hierzu über zwei entsprechende Ausgabeschaltmittel (K1.1, K2.1) an den einen und den anderen Stellrech
ner angeschlossen ist
und daß die Steuerung des Prozeßelementes in Abhängigkeit davon, ob für das Prozeßelement eine nicht unterbrechungsfreie oder eine unterbrechungsfreie Redundanz gefordert und zulässig ist, über den einen oder den anderen Stellrechner oder über beide Stellrechner gemeinsam erfolgt.6. Device according to claim 1, characterized in that the control of a process element (W) by a range computer in a redundant manner via two control computers (STR1, STR2),
that this process element for this purpose via two corresponding output switching means (K1.1, K2.1) to one and the other control rake
ner is connected
and that the control of the process element, depending on whether non-uninterrupted or uninterrupted redundancy is required and permitted for the process element, is carried out jointly via one or the other control computer or via both control computers. 7. Einrichtung nach Anspruch 5 oder 6, dadurch gekennzeichnet, daß ein Stellrechner (z.B. STR1.1) beim Erkennen der Nichtsteuerbarkeit eines Prozeßelementes (W) rechnerintern die diesem Prozeßelement zugeordneten Kommandoteile sperrt und dem zugehörigen Bereichsrechner (BR) hiervon Mitteilung macht.7. Device according to claim 5 or 6, characterized in that an actuating computer (e.g. STR1.1), when the process element (W) cannot be controlled, internally blocks the command parts assigned to this process element and notifies the associated area computer (BR) of this.

Images