|
(11) | EP 0 448 796 B1 |
| (12) | EUROPÄISCHE PATENTSCHRIFT |
|
|
| (54) |
Einrichtung zum Steuern eines Stellwerkes von mindestens einem abgesetzten Bedienplatz aus Control device for an interlocking system of at least one remote control panel Dispositif de commande d'un poste d'aiguillage à partir d'au moins un pupitre de commande à distance |
|
|
|||||||||||||||||||||||||||
| Anmerkung: Innerhalb von neun Monaten nach der Bekanntmachung des Hinweises auf die Erteilung des europäischen Patents kann jedermann beim Europäischen Patentamt gegen das erteilte europäischen Patent Einspruch einlegen. Der Einspruch ist schriftlich einzureichen und zu begründen. Er gilt erst als eingelegt, wenn die Einspruchsgebühr entrichtet worden ist. (Art. 99(1) Europäisches Patentübereinkommen). |
[0002] Aus EP-A-0120339 ist eine Einrichtung zur sicheren Prozeßsteuerung unter Verwendung von zwei voneinander unabhängigen, nicht sicherungstechnisch arbeitenden Mikrocomputern bekannt, die gemeinsam auf den zu steuernden Prozeß wirken und dabei sowohl Regelbedienungen, deren Zulässigkeit in einer gesonderten Sicherheitsebene außerhalb der Mikrocomputer geprüft wird, ausführen, als auch Hilfsbedienungen, deren Zulässigkeit nicht mehr geprüft wird. Einer der Mikrocomputer setzt die zur Ausführung jeweils anliegenden Prozeßsteueraufträge in entsprechende Kommandodaten um und führt sie einer Ausgabeeinrichtung zu, über die sie an den Prozeß fortschaltbar sind. Die Kommandos werden in der Ausgabeeinrichtung zwischengespeichert und in die Mikrocomputer zurückgelesen. Klassifizieren die Mikrocomputer ein zur Ausführung anstehendes Kommando als auf einer Regelbedienung beruhend, so geben sie es zur Ausführung frei. Bei einem auf einer Hilfsbedienung beruhenden Kommando muß dieses vor Ausgabe durch den Bediener, der die Hilfsbedienung durchgeführt hat, autorisiert werden. Zu diesem Zweck werden die zur Ausführung anstehenden Kommandos dem Bediener auf einer sicheren Anzeige zur Darstellung gebracht. Die Verknüpfung der Ausgangssignale der Mikrocomputer untereinander und mit den von einem Bediener veranlaßten Zustimmungshandlungen erfolgt in einer nicht näher ausgeführten Relaisverknüpfung; auch über die Ausbildung der Ausgabeeinrichtung, in der die aus den Prozeßsteueraufträgen abgeleiteten Kommandos zwischengespeichert werden sollen, ist nichts näheres ausgeführt. Die bekannte Einrichtung ist insbesondere für die Steuerung eines Eisenbahnstellwerkes von mindestens einem abgesetzten Bedienplatz aus vorgesehen.
[0003] Bei der Steuerung des Eisenbahnbetriebes kommt es gelegentlich vor, daß einzelne der zu steuernden und/oder zu überwachenden Gleiselemente gestört sind, weil z.B. die zugehörigen Freimeldeeinrichtungen nicht ordnungsgerecht arbeiten, oder daß bestimmte Gleisabschnitte beispielsweise wegen Bauarbeiten für den Fahrbetrieb gesperrt sind. Um zu erreichen, daß diese Gleiselemente vom Stellwerk her nicht mehr angesteuert werden können, werden auf die diesen Fahrwegelementen zugeordneten Tasten der Stellwerks-Stelltafel sogenannte Sperrkappen aufgesetzt, die ein Betätigen der Tasten verhindern. Der Bediener nimmt diese Sperrkappen erst wieder ab und betätigt die zugehörigen Tasten, wenn ihm eine Meldung vorliegt, daß der gestörte Gleisabschnitt frei ist oder die Baustelle aufgehoben ist (DE-OS 31 31 828).
[0004] Bei Stellwerken, die nicht ausschließlich an einer Stelltafel bedient werden, sondern bei denen die Bedienung auch von abgesetzten Bedienplätzen her oder über eine Fernsteuerung oder eine Automatik erfolgt, haben die auf die Tasten einer Stelltafel aufgesetzten Sperrkappen keine Wirkung gegen Ansteuerung der zugehörigen Fahrwegelemente über die Bedienplätze, die Fernsteuerung oder die Automatik.
[0005] Aus der DE-PS 31 14 514 ist eine Schaltungsanordnung zum Unwirksamschalten von Tasten einer Bedieneinrichtung für ein Stellwerk bekannt, bei der die komplette Bedieneinrichtung des Stellwerkes zeitweise unwirksam geschaltet werden kann, ohne daß hierbei der automatische Betrieb durch Zuglenkung oder Fernsteuerung und die Einflußnahme durch einen zusätzlichen Bedienplatz beeinträchtigt wird. Eine solche Abschaltung der Bedieneinrichtung kommt beispielsweise über die Nachtstunden oder zur Reinigung des Stelltisches in Betracht. Diese bekannte Schaltungsanordnung ist ebenfalls nicht geeignet, um den Zugriff zu einzelnen Eingabeschaltmitteln des Stellwerkes von einem fernen Bedienplatz oder einer Automaik aus zu sperren.
[0006] Aufgabe der Erfindung ist es, eine Einrichtung nach dem Oberbegriff des Patentanspruches 1 anzugeben, die es gestattet, einzelne Eingabeschaltmittel des Stellwerkes gegen fremden Zugriff zu sperren und die Mittel zum Speichern von Kommandos in den Ausgabeschaltmitteln der das Stellwerk steuernden Mikrocomputer sowie zum Sperren und Ausgeben der Kommandos an das Stellwerk anzugeben.
[0007] Die Erfindung löst diese Aufgabe durch die kennzeichnenden Merkmale des Patentanspruches 1. Vorteilhafte Weiterbildungen der Erfindung sind in den Unteransprüchen angegeben.
[0008] Ein Ausführungsbeispiel der Erfindung ist nachstehend unter Bezugnahme auf die Zeichnung näher erläutert.
[0009] Die Zeichnung zeigt im unteren Teil Tastenrelais E1 bis En und G1 bis Gn eines Stellwerks, die bedarfsweise anschaltbar sind und dazu dienen, Steueranweisungen an das weiter nicht dargestellte Stellwerk zu übermitteln. Die Tastenrelais sind u.a. über zugeordnete, in der Zeichnung nicht dargestellte Anschaltkontakte in der Stelltafel des Stellwerkes anschaltbar. Diese Anschaltkontakte, nachfolgende als Tastenkontakte bezeichnet, können durch Aufsetzen sogenannter Sperrkappen gegen ungewollte Betätigung an der Stelltafel geschützt werden.
[0010] Neben der Steuerung der Tastenrelais über die zugehörigen Tastenkontakte der Stelltafel ist vorgesehen, die Tastenrelais u.a. auch über die Bedieneinrichtung mindestens eines abgesetzten Bedienplatzes aus zu steuern. Ein derartiger Bedienplatz BP1 ist im oberen Teil der Zeichnung schematisch angedeutet. Er beinhaltet eine Eingabetastatur ET oder ein anderes beliebiges Eingabemittel wie zum Beispiel ein graphisches Tablett zur Vornahme der Bedienungshandlungen, ein Sichtgerät SG zur Prozeßdarstellung, sowie mindestens eine Kommandoanzeigeeinrichtung KA zur Darstellung von zur Ausführung anstehenden und von dem betreffenden Bedienplatz aus veranlaßten Kommandos. Ferner weist der Bedienplatz eine Kommandoausgabetaste KAT1 und eine Kommandofreigabetaste KFE1 auf, die vom Bediener bedarfsweise betätigbar sind. Über die Kommandoausgabetaste KAT1 veranlaßt der Bediener die Ausgabe eines ihm über die Kommandoanzeigeeinrichtung KA dargestellten Kommandos an das Stellwerk, nachdem er sich durch Augenschein davon überzeugt hat, daß das zur Ausführung anstehende Kommando auch tatsächlich ausgegeben werden soll. Die Darstellung des zur Ausführung anstehenden Kommandos und die Ausgabe durch den Bediener ist insbesondere dort von Bedeutung, wo die Bedienungshandlungen beispielsweise in alphanumerischer Form über die Eingabetastatur vorgenommen werden und wobei wegen der nicht graphisch assoziativen Eingabe mit Fehlbedienungen zu rechnen ist. Über die Kommandoausgabetaste können ausschließlich Regelbedienungen ausgeführt werden, die in der Sicherheitsebene des Stellwerkes auf Zulässigkeit überprüft werden. Zum Ausführen von Hilfsbedienungen, die durch die Stellwerkslogik nicht geprüft werden, muß der Bediener die Kommandofreigabetaste KFT1 betätigen. Hierzu hat er sich ebenfalls durch Augenschein von der Richtigkeit der zur Ausführung anstehenden Bedienungshandlung (Vergleich der SG-Anzeige und KA-Anzeige) zu überzeugen, wobei die Darstellung des zur Ausführung anstehenden Kommandos in voneinander unabhängiger Art und Weise beispielsweise am Sichtgerät und einem gesonderten Anzeiger zu erfolgen hat. Bei Betätigung der Kommandofreigabetaste wird die hierdurch autorisierte Bedienungshandlung zu Kontrollzwecken protokolliert. Der Bedienplatz BP1 steht für eine beliebige Anzahl derartiger Bedienplätze, die, sich gegenseitig ausschließend, auf die Tastenrelais des Stellwerkes zugreifen können.
[0011] Der Zugriff von den einzelnen Bedienplätzen auf die Tastenrelais des Stellwerkes erfolgt über ein aus zwei Mikrocomputern MC1 und MC2 bestehendes Rechnersystem. Hierzu ist die Eingabetastatur ET z.B. des Bedienplatzes BP1 mit den Eingängen des Mikrocomputers MC1 verbunden, der dazu dient, den aus der jeweils vorgenommenen Bedienungshandlung abgeleiteten Prozeßsteuerauftrag in Kommandodaten für die Anschaltung der Tastenrelais des Stellwerkes umzusetzen. Die Tastenrelais E1 bis En dienen der Ausführung von Regelbedienungen, die Tastenrelais G1 bis Gn der Ausführung von Hilfsbedienungen. Der Mikrocomputer MC1 veranlaßt jedoch noch nicht die Anschaltung der durch den Prozeßsteuerauftrag bezeichneten Tastenrelais, sondern er dient zunächst nur zum Einstellen von den einzelnen Tastenrelais vorgeschalteten Treibern TE bzw. TG. Der Schaltzustand der Treiber wird von beiden Mikrocomputern MC1 u. MC2 zyklisch zurückgelesen. Beide Mikrocomputer MC1 und MC2 bewirken z.B. über ihre Anzeigeeinrichtung (MC1 - Sichtgerät (SG), MC2 - Anzeiger (KA)) eine gesicherte Information - durch Vergleich des Bedieners - über die eingegebene Bedienung. Sie erteilen unabhängig voneinander ihre Zustimmung zur Ausführung des Kommandos, wenn und solange der Zustand der Treiber sich nicht ändert, d.h. stabil ist. Ändert sich der Zustand mindestens eines der Treiber, so zieht der Mikrocomputer, der dies feststellt, seine Erlaubnis zur Ausgabe des Kommandos sofort zurück. Die Zustimmung der Mikrocomputer zur Ausführung eines Kommandos erfolgt über in Reihe geschaltete Kontakte von Freigaberelais im Stromkreis der Tastenrelais. Solange der Mikrocomputer MC1 durch Rücklesen der Treiberzustände erkennt, daß das zur Ausführung anstehende Kommando stabil ist, stellt er über einen Treiber ein ihm zugeordnetes Freigaberelais FM1 ein, das daraufhin seinen Kontakt FM1/1 im Anschaltstromkreis der Tastenrelais schließt. Der Mikrocomputer MC2 bewertet ebenfalls den Schaltzustand der Treiber TE und TG und aktiviert bei stabilem Ausgang dieser Treiber jeweils eines von zwei ihm zugeordneten Freigaberelais FM2.1 oder FM2.2. Bei einem aus einer Regelbedienung abgeleiteten Kommando aktiviert der Mikrocomputer MC2 über einen Treiber T das Freigaberelais FM2.1, bei einem aus einer Hilfsbedienung abgeleiteten Kommando über den Treiber T das Freigaberelais FM2.2. Kontakte FM2.1/1 und FM2.2/1 dieser Relais sind jeweils mit den den Regelbedienungen bzw. den Hilfsbedienungen zugeordneten Tastenrelais E1 bis En bzw. G1 bis Gn in Reihe geschaltet. Die Ausgabe eines aus einer Hilfsbedienung abgeleiteten Kommandos ist außer von der Zustimmung der beiden Mikrocomputer noch abhängig gemacht von der Betätigung der Kommandofreigabetaste durch einen Bediener. Ein Kontakt KFT1/1 dieser Freigabetaste liegt in Reihe mit den beim Durchführen von Hilfsbedienungen anschaltbaren Tastenrelais G1 bis Gn. Bei einer Regelbedienung veranlaßt der Bediener die Ausgabe des daraus abgeleiteten Kommandos durch Betätigen einer Kommandoausgabetaste KAT1; ein Schaltkontakt KAT1/1 dieser Taste liegt im Stromkreis der bei Regelbedienungen ansteuerbaren Tastenrelais E1 bis En.
Mit den Kontakten der von den beiden Mikrocomputern gesteuerten Freigaberelais und den vom Bediener betätigbaren Tasten KAT1 und KFT1 ist ein weiterer Kontakt FS/1 in Reihe geschaltet, der vom Stellwerk betätigbar ist und in geschlossenem Zustand die Zustimmung des Stellwerkes zur Kommandoausführung anzeigt. Diese Zustimmung seitens des Stellwerkes erfolgt, sobald der Mikrocomputer MC1 von einem Bedienplatz aus einen Prozeßsteuerauftrag übernommen hat. Er meldet sich dann beim Stellwerk mit einer entsprechenden Anforderung ZE auf Zustimmung. Dies geschieht, um zu verhindern, daß von mehreren Bedienplätzen aus gleichzeitig auf das Stellwerk eingewirkt wird. Nachdem das Stellwerk Kenntnis beispielsweise von der Bedienungsanforderung des Bedienplatzes BP1 genommen hat, sperrt es zunächst über den Ausschlußkontakt SS2/1 und entsprechende Kontakte in den Ausgangsleitungen aller übrigen Bedienplätze deren Zugriff auf die Mikrocomputer und schließt dann seinen Zustimmungkontakt FS/1 im Stromkreis der Anschaltrelais. Über die Ausschlußkontakte SS1/1, SS2/1 verhindert das Stellwerk auch den Zugriff der Bedienplätze auf seine Tastenrelais, wenn an der Stelltafel selbst Bedienungshandlungen vorgenommen werden.
[0012] Wenn nicht nur von abgesetzten Bedienplätzen aus auf das Stellwerk zugegriffen werden soll, sondern wenn dies auch durch eine Fernsteuerung und/oder eine Automatik, wie z.B. die Zuglenkung, geschehen soll, so geschieht dies in gleicher Weise wie bei der Steuerung über die Bedienplätze dadurch, daß dem Mikrocomputer MC1 der jeweilige Auftrag zugeführt wird. Der Mikrocomputer setzt den ihm zugeführten Prozeßsteuerauftrag in Kommandodaten um und steuert damit die ihm zugeordneten Treiber TE bzw. TG an. Durch Zurücklesen der Treiberzustände in die beiden Mikrocomputer und die Freigabe durch beide Mikrocomputer wird die Anschaltung der durch den Auftrag jeweils bezeichneten Tastenrelais des Stellwerkes bewirkt. Da die Automatiken nur Regelbedienungen beinhalten dürfen, die Zustimmung eines Bedieners also nicht erforderlich ist, ist dem Kontakt KAT1/1 der Kommandoausgabetaste des Bedienplatzes BP1 ein Kontakt ZL/1 eines Schalters parallel geschaltet, der bei Anforderung einer Bedienung über die Zuglenkung schließt.
[0013] Während des Zugriffes der Automatik auf die Tastenrelais ist der Zugriff der Bedienplätze zu den Tastenrelais über einen Kontakt ZL/2 unterbunden. Der Zugriff der Zuglenkung ZL auf die Tastenrelais des Stellwerkes wird vom Stellwerk her über den Ausschlußkontakt SS1/4 solange unterbunden, wie von dem jeweiligen Bedienplatz aus Zugriff auf die Tastenrelais besteht.
[0014] Den in der Zeichnung dargestellten Arbeitskontakten KFT1/1 und KAT1/1 der vom Bediener des Bedienplatzes BP1 betätigbaren Zustimmungstasten sind entsprechend Kontakte aller weiteren Bedienplätze parallel zu schalten. Durch vom Stellwerk gesteuerte Ausschlußkontakte SS1/2 und SS1/3 ist sichergestellt, daß die von einem Bediener vorzunehmende Zustimmung zur Ausführung eines Stellauftrages auch tatsächlich von demjenigen Bediener stammt, der die betreffende Bedienungshandlung vorgenommen hat.
[0015] Sind einzelne Tastenrelais des Stellwerkes gegen ungewolltes Anschalten zu sperren, so werden entsprechene Angaben in den beiden Mikrocomputern MC1 und MC2 hinterlegt. Dies kann über die Bedieneinrichtung des Stellwerkes oder die Eingabetastatur eines Bedienplatzes erfolgen. Die Mikrocomputer untersuchen jedes an den Treibern anstehende Kommando daraufhin, ob in ihren Speichern für die über die Treiber und die zugehörigen Ausgaberelais anschaltbaren Tastenrelais des Stellwerkes ein Sperrvermerk hinterlegt ist. Ihre Zustimmung zum Ausführen des jeweils anliegenden Kommandos machen die beiden Mikrocomputer unabhängig voneinander abhängig vom Nichtvorhandensein eines derartigen Sperrvermerkes. Stellt auch nur einer der Mikrocomputer fest, daß in seinen Speichern für das jeweils anzuschaltende Tastenrelais ein Sperrvermerk hinterlegt ist, so verweigert er seine Zustimmung zur Ausführung des Auftrages.
dadurch gekennzeichnet,
- daß die Ausgabeschaltmittel als Treiber (TG, TE) mit nachgeschalteten Ausgaberelais (G1 bis Gn, E1 bis En) ausgebildet sind,
- von denen die Treiber durch einen (MC1) der Mikrocomputer (MC1, MC2) nach Maßgabe des jeweils vorliegenden Steuerauftrages individuell einstellbar sind,
- während die Anschaltung der Ausgaberelais zusätzlich von der Zustimmung beider Mikrocomputer abhängig gemacht ist,
- wozu der die Treiber steuernde Mikrocomputer (MC1) einen Schalter (FM1/1) im Anschaltstromkreis der Ausgaberelais schließt, wenn und solange sich der Zustand der Treiber nicht ändert und
- wozu der andere Mikrocomputer (MC2) abhängig davon, ob es sich um einen aus einer Regel- oder einer Hilfsbedienung abgeleiteten Steuerauftrag handelt, jeweils einen von zwei diesen beiden Bedienungsarten zugeordneten und mit dem vom anderen Mikrocomputer (MC1) gesteuerten Schalter (FM1/1) in Reihe liegenden Schaltern (FM2.1/1 FM2.2/1) im Anschaltstromkreis der Ausgaberelais (E1 bis En bzw. G1 bis Gn) schließt, wenn und solange sich der Zustand der Treiber nicht ändert,
- daß die Mikrocomputer über die Bedieneinrichtungen der Bedienplätze und/oder über die Bedieneinrichtung des Stellwerkes einstellbare Speicher zum Markieren solcher Eingabeschaltmittel des Stellwerkes aufweisen, zu denen der Zugriff dauernd oder vorübergehend zu sperren ist,
- daß die Mikrocomputer jedes an den Treibern (TG, TE) anstehende Kommando daraufhin untersuchen, ob in ihren Speichern für die über die Treiber und die zugehörigen Ausgaberelais anschaltbaren Eingabeschaltmittel des Stellwerkes ein Sperrvermerk hinterlegt ist
- und daß sie die Anschaltung der Ausgaberelais zur Ausgabe eines Kommandos an das Stellwerk vom Nichtvorhandensein eines derartigen Sperrvermerkes abhängig machen.
- in that the output switching means are designed as drivers (TG, TE) with downstream output relays (G1 to Gn, E1 to En),
- from which the drivers are individually settable by one (MC1) of the microcomputers (MC1, MC2) on the basis of the respectively present control instruction,
- while the energization of the output relays is made additionally dependent upon the assent of both microcomputers,
- for which purpose the microcomputer (MC1) controlling the drivers closes a switch (FM1/1) in the energization circuit of the output relays, when and as long as the condition of the drivers does not alter and
- for which purpose the other microcomputer (MC2), depending upon whether a control instruction derived from a regulating service or an ancillary service is involved, in each instance closes one of two switches (FM2.1/1, FM2.2/1) in the energization circuit of the output relays (E1 to En and G1 to Gn respectively), which switches are associated with these two operational modes and are connected in series with the switch (FM1/1) controlled by the other microcomputer (MC1), when and as long as the condition of the drivers does not alter,
- in that the microcomputers exhibit memories, settable via the operating devices of the control panels and/or via the operating device of the interlocking system, for the marking of these input switching means of the interlocking system to which access is to be blocked permanently or temporarily,
- in that the microcomputers investigate each command present at the drivers (TG, TE) as to whether a blocking entry has been filed in their memories for those input switching means of the interlocking system which can be energized via the drivers and the associated output relays,
- and in that they make the energization of the output relays for the output of a command to the interlocking system dependent upon the absence of such a blocking entry.
caractérisé par le fait
- que les moyens d'émission de signaux de commutation sont formés en tant que circuits d'attaque (TG, TE) comportant des relais de transmission branchés en aval (G1 à Gn, E1 à En),
- parmi lesquels les circuits d'attaque peuvent être réglés individuellement par l'un (MC1) des micro-ordinateurs (MC1, MC2), en fonction des données de l'unité de commande présente,
- alors que le branchement des relais de transmission est effectué, en plus, en fonction de l'autorisation des deux micro-ordinateurs,
- ce pour quoi, le micro-ordinateur (MC1) commandant les circuits d'attaque ferme un commutateur (FM1/1) dans le circuit de courant de branchement du relais de transmission, quand et aussi longtemps que l'état du circuit d'attaque n'est pas modifié et
- ce pour quoi, en fonction du fait qu'il s'agit d'une instruction de commande dérivant d'un service de réglage ou d'un service auxiliaire, l'autre micro-ordinateur (MC2) ferme, lorsque et aussi longtemps que l'état des circuits d'attaque n'est pas modifié, dans le circuit de courant de branchement du relais de transmission (E1 à En ou G1 à Gn), un des deux commutateurs (FM2.1/1, FM2.2/1) associé à ces deux types de condition et monté en série avec le commutateur (FM1/1) commandé par l'autre micro-ordinateur (MC1),
- que les micro-ordinateurs comportent des mémoires qui peuvent être réglées par l'intermédiaire des dispositifs de service des emplacements de service et/ou par l'intermédiaire du dispositif de service du poste d'aiguillage, qui sont destinées à marquer de tels moyens d'introduction de signaux de commutation du poste d'aiguillage, auxquelles l'accès doit être bloqué momentanément ou en permanence,
- que les micro-ordinateurs examinent chaque commande présente au niveau des circuits d'attaque (TG, TE), sur le fait de savoir si une indication de blocage est mémorisée dans leur mémoire, pour les moyens d'introduction de signaux de commutation branchés par l'intermédiaire des circuits d'attaque et des relais de transmission associés,
- et qu'ils effectuent le branchement des relais de transmission pour la sortie d'une commande au poste d'aiguillage, en fonction de l'absence d'une indication de blocage de ce genre.
qu'un des micro-ordinateurs (MC2) présente, au moins lors de chaque manoeuvre de service reconnue comme admissible, une demande (ZE) au poste d'aiguillage concernant l'accès à ces moyens d'introduction de signaux de commutation et informe le poste d'aiguillage sur l'origine de la demande, et
que le poste d'aiguillage ferme, lors de l'attribution du résultat d'accès, dans le circuit de courant de branchement des relais de transmission (G1 à Gn, E1 à En), un commutateur (FS/1) branché en série avec les commutateurs (FM1/1, FM2.1/1, FM2.2/1) commandés par les micro-ordinateurs (MC1, MC2), et bloque, pour la durée de la manoeuvre de service, l'accès à d'autres entrées sur les moyens d'introduction de signaux de commutation du poste d'aiguillage.