Die Erfindung bezieht sich auf eine Einrichtung nach dem Oberbegriff des Patentanspruches 1.

Aus EP-A-0120339 ist eine Einrichtung zur sicheren Prozeßsteuerung unter Verwendung von zwei voneinander unabhängigen, nicht sicherungstechnisch arbeitenden Mikrocomputern bekannt, die gemeinsam auf den zu steuernden Prozeß wirken und dabei sowohl Regelbedienungen, deren Zulässigkeit in einer gesonderten Sicherheitsebene außerhalb der Mikrocomputer geprüft wird, ausführen, als auch Hilfsbedienungen, deren Zulässigkeit nicht mehr geprüft wird. Einer der Mikrocomputer setzt die zur Ausführung jeweils anliegenden Prozeßsteueraufträge in entsprechende Kommandodaten um und führt sie einer Ausgabeeinrichtung zu, über die sie an den Prozeß fortschaltbar sind. Die Kommandos werden in der Ausgabeeinrichtung zwischengespeichert und in die Mikrocomputer zurückgelesen. Klassifizieren die Mikrocomputer ein zur Ausführung anstehendes Kommando als auf einer Regelbedienung beruhend, so geben sie es zur Ausführung frei. Bei einem auf einer Hilfsbedienung beruhenden Kommando muß dieses vor Ausgabe durch den Bediener, der die Hilfsbedienung durchgeführt hat, autorisiert werden. Zu diesem Zweck werden die zur Ausführung anstehenden Kommandos dem Bediener auf einer sicheren Anzeige zur Darstellung gebracht. Die Verknüpfung der Ausgangssignale der Mikrocomputer untereinander und mit den von einem Bediener veranlaßten Zustimmungshandlungen erfolgt in einer nicht näher ausgeführten Relaisverknüpfung; auch über die Ausbildung der Ausgabeeinrichtung, in der die aus den Prozeßsteueraufträgen abgeleiteten Kommandos zwischengespeichert werden sollen, ist nichts näheres ausgeführt. Die bekannte Einrichtung ist insbesondere für die Steuerung eines Eisenbahnstellwerkes von mindestens einem abgesetzten Bedienplatz aus vorgesehen.

Bei der Steuerung des Eisenbahnbetriebes kommt es gelegentlich vor, daß einzelne der zu steuernden und/oder zu überwachenden Gleiselemente gestört sind, weil z.B. die zugehörigen Freimeldeeinrichtungen nicht ordnungsgerecht arbeiten, oder daß bestimmte Gleisabschnitte beispielsweise wegen Bauarbeiten für den Fahrbetrieb gesperrt sind. Um zu erreichen, daß diese Gleiselemente vom Stellwerk her nicht mehr angesteuert werden können, werden auf die diesen Fahrwegelementen zugeordneten Tasten der Stellwerks-Stelltafel sogenannte Sperrkappen aufgesetzt, die ein Betätigen der Tasten verhindern. Der Bediener nimmt diese Sperrkappen erst wieder ab und betätigt die zugehörigen Tasten, wenn ihm eine Meldung vorliegt, daß der gestörte Gleisabschnitt frei ist oder die Baustelle aufgehoben ist (DE-OS 31 31 828).

Bei Stellwerken, die nicht ausschließlich an einer Stelltafel bedient werden, sondern bei denen die Bedienung auch von abgesetzten Bedienplätzen her oder über eine Fernsteuerung oder eine Automatik erfolgt, haben die auf die Tasten einer Stelltafel aufgesetzten Sperrkappen keine Wirkung gegen Ansteuerung der zugehörigen Fahrwegelemente über die Bedienplätze, die Fernsteuerung oder die Automatik.

Aus der DE-PS 31 14 514 ist eine Schaltungsanordnung zum Unwirksamschalten von Tasten einer Bedieneinrichtung für ein Stellwerk bekannt, bei der die komplette Bedieneinrichtung des Stellwerkes zeitweise unwirksam geschaltet werden kann, ohne daß hierbei der automatische Betrieb durch Zuglenkung oder Fernsteuerung und die Einflußnahme durch einen zusätzlichen Bedienplatz beeinträchtigt wird. Eine solche Abschaltung der Bedieneinrichtung kommt beispielsweise über die Nachtstunden oder zur Reinigung des Stelltisches in Betracht. Diese bekannte Schaltungsanordnung ist ebenfalls nicht geeignet, um den Zugriff zu einzelnen Eingabeschaltmitteln des Stellwerkes von einem fernen Bedienplatz oder einer Automaik aus zu sperren.

Aufgabe der Erfindung ist es, eine Einrichtung nach dem Oberbegriff des Patentanspruches 1 anzugeben, die es gestattet, einzelne Eingabeschaltmittel des Stellwerkes gegen fremden Zugriff zu sperren und die Mittel zum Speichern von Kommandos in den Ausgabeschaltmitteln der das Stellwerk steuernden Mikrocomputer sowie zum Sperren und Ausgeben der Kommandos an das Stellwerk anzugeben.

Die Erfindung löst diese Aufgabe durch die kennzeichnenden Merkmale des Patentanspruches 1. Vorteilhafte Weiterbildungen der Erfindung sind in den Unteransprüchen angegeben.

Ein Ausführungsbeispiel der Erfindung ist nachstehend unter Bezugnahme auf die Zeichnung näher erläutert.

Die Zeichnung zeigt im unteren Teil Tastenrelais E1 bis En und G1 bis Gn eines Stellwerks, die bedarfsweise anschaltbar sind und dazu dienen, Steueranweisungen an das weiter nicht dargestellte Stellwerk zu übermitteln. Die Tastenrelais sind u.a. über zugeordnete, in der Zeichnung nicht dargestellte Anschaltkontakte in der Stelltafel des Stellwerkes anschaltbar. Diese Anschaltkontakte, nachfolgende als Tastenkontakte bezeichnet, können durch Aufsetzen sogenannter Sperrkappen gegen ungewollte Betätigung an der Stelltafel geschützt werden.

Neben der Steuerung der Tastenrelais über die zugehörigen Tastenkontakte der Stelltafel ist vorgesehen, die Tastenrelais u.a. auch über die Bedieneinrichtung mindestens eines abgesetzten Bedienplatzes aus zu steuern. Ein derartiger Bedienplatz BP1 ist im oberen Teil der Zeichnung schematisch angedeutet. Er beinhaltet eine Eingabetastatur ET oder ein anderes beliebiges Eingabemittel wie zum Beispiel ein graphisches Tablett zur Vornahme der Bedienungshandlungen, ein Sichtgerät SG zur Prozeßdarstellung, sowie mindestens eine Kommandoanzeigeeinrichtung KA zur Darstellung von zur Ausführung anstehenden und von dem betreffenden Bedienplatz aus veranlaßten Kommandos. Ferner weist der Bedienplatz eine Kommandoausgabetaste KAT1 und eine Kommandofreigabetaste KFE1 auf, die vom Bediener bedarfsweise betätigbar sind. Über die Kommandoausgabetaste KAT1 veranlaßt der Bediener die Ausgabe eines ihm über die Kommandoanzeigeeinrichtung KA dargestellten Kommandos an das Stellwerk, nachdem er sich durch Augenschein davon überzeugt hat, daß das zur Ausführung anstehende Kommando auch tatsächlich ausgegeben werden soll. Die Darstellung des zur Ausführung anstehenden Kommandos und die Ausgabe durch den Bediener ist insbesondere dort von Bedeutung, wo die Bedienungshandlungen beispielsweise in alphanumerischer Form über die Eingabetastatur vorgenommen werden und wobei wegen der nicht graphisch assoziativen Eingabe mit Fehlbedienungen zu rechnen ist. Über die Kommandoausgabetaste können ausschließlich Regelbedienungen ausgeführt werden, die in der Sicherheitsebene des Stellwerkes auf Zulässigkeit überprüft werden. Zum Ausführen von Hilfsbedienungen, die durch die Stellwerkslogik nicht geprüft werden, muß der Bediener die Kommandofreigabetaste KFT1 betätigen. Hierzu hat er sich ebenfalls durch Augenschein von der Richtigkeit der zur Ausführung anstehenden Bedienungshandlung (Vergleich der SG-Anzeige und KA-Anzeige) zu überzeugen, wobei die Darstellung des zur Ausführung anstehenden Kommandos in voneinander unabhängiger Art und Weise beispielsweise am Sichtgerät und einem gesonderten Anzeiger zu erfolgen hat. Bei Betätigung der Kommandofreigabetaste wird die hierdurch autorisierte Bedienungshandlung zu Kontrollzwecken protokolliert. Der Bedienplatz BP1 steht für eine beliebige Anzahl derartiger Bedienplätze, die, sich gegenseitig ausschließend, auf die Tastenrelais des Stellwerkes zugreifen können.

Der Zugriff von den einzelnen Bedienplätzen auf die Tastenrelais des Stellwerkes erfolgt über ein aus zwei Mikrocomputern MC1 und MC2 bestehendes Rechnersystem. Hierzu ist die Eingabetastatur ET z.B. des Bedienplatzes BP1 mit den Eingängen des Mikrocomputers MC1 verbunden, der dazu dient, den aus der jeweils vorgenommenen Bedienungshandlung abgeleiteten Prozeßsteuerauftrag in Kommandodaten für die Anschaltung der Tastenrelais des Stellwerkes umzusetzen. Die Tastenrelais E1 bis En dienen der Ausführung von Regelbedienungen, die Tastenrelais G1 bis Gn der Ausführung von Hilfsbedienungen. Der Mikrocomputer MC1 veranlaßt jedoch noch nicht die Anschaltung der durch den Prozeßsteuerauftrag bezeichneten Tastenrelais, sondern er dient zunächst nur zum Einstellen von den einzelnen Tastenrelais vorgeschalteten Treibern TE bzw. TG. Der Schaltzustand der Treiber wird von beiden Mikrocomputern MC1 u. MC2 zyklisch zurückgelesen. Beide Mikrocomputer MC1 und MC2 bewirken z.B. über ihre Anzeigeeinrichtung (MC1 - Sichtgerät (SG), MC2 - Anzeiger (KA)) eine gesicherte Information - durch Vergleich des Bedieners - über die eingegebene Bedienung. Sie erteilen unabhängig voneinander ihre Zustimmung zur Ausführung des Kommandos, wenn und solange der Zustand der Treiber sich nicht ändert, d.h. stabil ist. Ändert sich der Zustand mindestens eines der Treiber, so zieht der Mikrocomputer, der dies feststellt, seine Erlaubnis zur Ausgabe des Kommandos sofort zurück. Die Zustimmung der Mikrocomputer zur Ausführung eines Kommandos erfolgt über in Reihe geschaltete Kontakte von Freigaberelais im Stromkreis der Tastenrelais. Solange der Mikrocomputer MC1 durch Rücklesen der Treiberzustände erkennt, daß das zur Ausführung anstehende Kommando stabil ist, stellt er über einen Treiber ein ihm zugeordnetes Freigaberelais FM1 ein, das daraufhin seinen Kontakt FM1/1 im Anschaltstromkreis der Tastenrelais schließt. Der Mikrocomputer MC2 bewertet ebenfalls den Schaltzustand der Treiber TE und TG und aktiviert bei stabilem Ausgang dieser Treiber jeweils eines von zwei ihm zugeordneten Freigaberelais FM2.1 oder FM2.2. Bei einem aus einer Regelbedienung abgeleiteten Kommando aktiviert der Mikrocomputer MC2 über einen Treiber T das Freigaberelais FM2.1, bei einem aus einer Hilfsbedienung abgeleiteten Kommando über den Treiber T das Freigaberelais FM2.2. Kontakte FM2.1/1 und FM2.2/1 dieser Relais sind jeweils mit den den Regelbedienungen bzw. den Hilfsbedienungen zugeordneten Tastenrelais E1 bis En bzw. G1 bis Gn in Reihe geschaltet. Die Ausgabe eines aus einer Hilfsbedienung abgeleiteten Kommandos ist außer von der Zustimmung der beiden Mikrocomputer noch abhängig gemacht von der Betätigung der Kommandofreigabetaste durch einen Bediener. Ein Kontakt KFT1/1 dieser Freigabetaste liegt in Reihe mit den beim Durchführen von Hilfsbedienungen anschaltbaren Tastenrelais G1 bis Gn. Bei einer Regelbedienung veranlaßt der Bediener die Ausgabe des daraus abgeleiteten Kommandos durch Betätigen einer Kommandoausgabetaste KAT1; ein Schaltkontakt KAT1/1 dieser Taste liegt im Stromkreis der bei Regelbedienungen ansteuerbaren Tastenrelais E1 bis En.
   Mit den Kontakten der von den beiden Mikrocomputern gesteuerten Freigaberelais und den vom Bediener betätigbaren Tasten KAT1 und KFT1 ist ein weiterer Kontakt FS/1 in Reihe geschaltet, der vom Stellwerk betätigbar ist und in geschlossenem Zustand die Zustimmung des Stellwerkes zur Kommandoausführung anzeigt. Diese Zustimmung seitens des Stellwerkes erfolgt, sobald der Mikrocomputer MC1 von einem Bedienplatz aus einen Prozeßsteuerauftrag übernommen hat. Er meldet sich dann beim Stellwerk mit einer entsprechenden Anforderung ZE auf Zustimmung. Dies geschieht, um zu verhindern, daß von mehreren Bedienplätzen aus gleichzeitig auf das Stellwerk eingewirkt wird. Nachdem das Stellwerk Kenntnis beispielsweise von der Bedienungsanforderung des Bedienplatzes BP1 genommen hat, sperrt es zunächst über den Ausschlußkontakt SS2/1 und entsprechende Kontakte in den Ausgangsleitungen aller übrigen Bedienplätze deren Zugriff auf die Mikrocomputer und schließt dann seinen Zustimmungkontakt FS/1 im Stromkreis der Anschaltrelais. Über die Ausschlußkontakte SS1/1, SS2/1 verhindert das Stellwerk auch den Zugriff der Bedienplätze auf seine Tastenrelais, wenn an der Stelltafel selbst Bedienungshandlungen vorgenommen werden.

Wenn nicht nur von abgesetzten Bedienplätzen aus auf das Stellwerk zugegriffen werden soll, sondern wenn dies auch durch eine Fernsteuerung und/oder eine Automatik, wie z.B. die Zuglenkung, geschehen soll, so geschieht dies in gleicher Weise wie bei der Steuerung über die Bedienplätze dadurch, daß dem Mikrocomputer MC1 der jeweilige Auftrag zugeführt wird. Der Mikrocomputer setzt den ihm zugeführten Prozeßsteuerauftrag in Kommandodaten um und steuert damit die ihm zugeordneten Treiber TE bzw. TG an. Durch Zurücklesen der Treiberzustände in die beiden Mikrocomputer und die Freigabe durch beide Mikrocomputer wird die Anschaltung der durch den Auftrag jeweils bezeichneten Tastenrelais des Stellwerkes bewirkt. Da die Automatiken nur Regelbedienungen beinhalten dürfen, die Zustimmung eines Bedieners also nicht erforderlich ist, ist dem Kontakt KAT1/1 der Kommandoausgabetaste des Bedienplatzes BP1 ein Kontakt ZL/1 eines Schalters parallel geschaltet, der bei Anforderung einer Bedienung über die Zuglenkung schließt.

Während des Zugriffes der Automatik auf die Tastenrelais ist der Zugriff der Bedienplätze zu den Tastenrelais über einen Kontakt ZL/2 unterbunden. Der Zugriff der Zuglenkung ZL auf die Tastenrelais des Stellwerkes wird vom Stellwerk her über den Ausschlußkontakt SS1/4 solange unterbunden, wie von dem jeweiligen Bedienplatz aus Zugriff auf die Tastenrelais besteht.

Den in der Zeichnung dargestellten Arbeitskontakten KFT1/1 und KAT1/1 der vom Bediener des Bedienplatzes BP1 betätigbaren Zustimmungstasten sind entsprechend Kontakte aller weiteren Bedienplätze parallel zu schalten. Durch vom Stellwerk gesteuerte Ausschlußkontakte SS1/2 und SS1/3 ist sichergestellt, daß die von einem Bediener vorzunehmende Zustimmung zur Ausführung eines Stellauftrages auch tatsächlich von demjenigen Bediener stammt, der die betreffende Bedienungshandlung vorgenommen hat.

Sind einzelne Tastenrelais des Stellwerkes gegen ungewolltes Anschalten zu sperren, so werden entsprechene Angaben in den beiden Mikrocomputern MC1 und MC2 hinterlegt. Dies kann über die Bedieneinrichtung des Stellwerkes oder die Eingabetastatur eines Bedienplatzes erfolgen. Die Mikrocomputer untersuchen jedes an den Treibern anstehende Kommando daraufhin, ob in ihren Speichern für die über die Treiber und die zugehörigen Ausgaberelais anschaltbaren Tastenrelais des Stellwerkes ein Sperrvermerk hinterlegt ist. Ihre Zustimmung zum Ausführen des jeweils anliegenden Kommandos machen die beiden Mikrocomputer unabhängig voneinander abhängig vom Nichtvorhandensein eines derartigen Sperrvermerkes. Stellt auch nur einer der Mikrocomputer fest, daß in seinen Speichern für das jeweils anzuschaltende Tastenrelais ein Sperrvermerk hinterlegt ist, so verweigert er seine Zustimmung zur Ausführung des Auftrages.

Die in den Mikrocomputern jeweils hinterlegten Sperrvermerke sind an den Bedienplätzen in vorteilhafter Weise durch Bezeichnung der zugehörigen Bedienelemente des Bedienplatzes anzuzeigen, um dem Bediener jederzeit einen Überblick über die gesperrten Tastenrelais zu geben.