Verfahren zur Fehleroffenbarung in einer steuerungs- und/oder überwachungstechnischen Einrichtung für einen Prozess

Abstract

 Erfindungsgemäss ist ein Verfahren zur Fehleroffenbarung in einer steuerungs- und/oder überwachungstechnischen Einrichtung für einen Prozess, insbesondere für die Steuerung und/oder Überwachung von schienengebundenen Fahrzeugen auf einem Schienennetz vorgesehen, bei dem aus dem Prozess stammende Informationen auf einem Sichtgerät für einen Prozessleitstellenarbeitsplatz aufbereitet werden, und bei dem
a) für die am Prozess beteiligten Elemente Kontrolldaten, die für die Steuerung und/oder Überwachung relevant sind, definiert werden;
b) die Kontrolldaten auf mindestens zwei logisch voneinander unabhängigen wegen für die beteiligten Elemente bestimmt werden;
c) die Kontrolldaten für jedes der beteiligten Elemente in Form eines Grafikelements, insbesondere in Form eines Zeichenstrings, umgewandelt werden; und
d) die für das gleiche am Prozess beteiligte Element generierten Grafikelemente an demselben Ort auf dem Sichtgerät angezeigt werden.
Auf diese weise kann der Vergleich der unabhängig voneinander gewonnenen Kontrolldaten nicht durch eine softwaremässig programmierte Bewertung, sondern durch eine reine Umwandlung der Kontrolldaten, die das Prozessabbild repräsentieren, in entsprechende Grafikelemente und durch eine überlagerte Darstellung der so gewonnenen Grafikelemente auf dem Sichtgerät erhalten werden. Es ist daher softwaremässig nicht erforderlich ein rechnerisches Abbild des Prozesses zu bestimmen, sondern einzigallein die Zustände der einzelnen Elemente in Form der in Grafikelemente konvertierten Kontrolldaten anzuzeigen und so Unterschiede der überlagerten Grafikelemente und damit eben Unterschiede in der Interpretation des Prozesszustandes offensichtlich sichtbar zu machen.

Beschreibung

[0001] Die vorliegende Erfindung betrifft ein Verfahren zur Fehleroffenbarung in einer steuerungs- und/oder überwachungstechnischen Einrichtung für einen Prozess, insbesondere für die Steuerung und/oder Überwachung von schienengebundenen Fahrzeugen auf einem Schienennetz, bei dem aus dem Prozess stammende Informationen auf einem Sichtgerät für einen Prozessleitstellenarbeitsplatz aufbereitet werden.

[0002] Derartige Verfahren sind in einer Vielzahl kommerzieller und industrieller Prozesse anzutreffen. Beispielhaft und ohne Anspruch auf Vollständigkeit seien die Prozesse der verkehrslenkung in der Luft, auf der Strasse, auf der Schiene und auf dem wasser, der Gebäudeautomation, der Energieerzeugung in fossil befeuerten und nuklearen Kraftwerken, aber auch in Kraftwerken mit regerativen Energien, der Energieverteilung und Prozesssteuerung in Fertigungsanlagen aller Art zu nennen.

[0003] In manchen dieser Prozesse werden an die Anzeige der den Prozesszustand charakterisierenden Informationen hohe Anforderungen an die Sicherheit, die Integrietät und die Verfügbarkeit gestellt, weil aufgrund der einer Prozessleitstelle zur Anzeige gebrachten Informationen entschieden wird, wie der Prozess weiterhin gelenkt werden kann.

[0004] Aus dem deutschen Patent 43 06 470 ist beispielsweise ein Verfahren zur Gewährleistung der signaltechnischen Sicherheit der Benutzeroberfläche einer Datenverarbeitungsanlage offenbart, bei dem mit Hilfe von zwei eigenständigen Rechnern der Datenverarbeitungsanlage ein Prozessabbild auf der Benutzeroberfläche über ein Anzeigesystem dargestellt wird und Benutzerbefehle zur Einflussnahme auf den Prozess über eine Bedienungseinrichtung eingebbar sind. Dabei wird im Rahmen des offenbarten verfahrens einem ersten Rechner eine erste externe Information zugeführt, aus der dieser ein dem Zustand des Prozesses entsprechendes Bild erzeugt und auf dem Anzeigesystem darstellt. Dem zweiten Rechner wird eine zweite externe Information zugeführt, aus der dieser ein für eine Sicherheitsprüfung relevantes zweites Prozessabbild erzeugt. Weiter prüft der zweite Rechner bei Eingabe von Benutzerbefehlen durch Vergleich mit dem für die Sicherheitsprüfung relevanten zweiten Prozessabbild die Benutzerbefehle auf ihre Zulässigkeit. Liegen keine Benutzerbefehle vor, vergleicht der zweite Rechner in vorbestimmten Zeitabständen das vom ersten Rechner auf dem Anzeigesystem dargestellte dem Prozess entsprechende Prozessabbild mit dem zweiten Prozessabbild und verifiziert dieses bei übereinstimmender Aussage.

[0005] Bei diesem System wird daher der Vergleich von erstem und zweitem Prozessabbild softwaremässig im Hintergrund der Benutzeroberfläche ausgeführt. Insbesondere bei Benutzerbefehlen überprüft der zweite Rechner, ob die mit dem Benutzerbefehl assoziierten Elemente überhaupt in der gewünschten Weise verfügt sind. Der Vergleich der Prozessabbilder beschränkt sich daher auf reine softwaremässig programmierbare, im Hintergrund ausgeführte Rechenoperationen. Fehler in diesen programmierten Rechenoperationen können daher dazuführen, dass der Vergleich der beiden Prozessabbilder zwar verifiziert oder auch nicht verifiziert wird, dass aber im eigentlichen Prozess tatsächliche andere Verhältnisse vorherrschen könnten, die aus sicherheitsrelevanter Sicht zur Sorge Anlass geben könnten. Ähnliche Auswirkungen könnten daher auch noch weitgehend kompliziertere verfahren zur Fehleroffenbarung haben, wie diese beispielsweise auch aus dem europäischen Patent 1 050 815 bekannt sind.

[0006] Der vorliegenden Erfindung liegt daher die Aufgabe zugrunde, ein Verfahren zur Fehleroffenbarung anzugeben, bei dem die Gefahr von Fehlern in der Prozessabbildung aufgrund von Softwarefehlern in der Informationsbewertung weiter verringert ist.

[0007] Diese Aufgabe wird erfindungsgemäss durch ein Verfahren zur Fehleroffenbarung in einer steuerungs- und/oder überwachungstechnischen Einrichtung für einen Prozess, insbesondere für die Steuerung und/oder Überwachung von schienengebundenen Fahrzeugen auf einem Schienennetz, gelöst, bei dem aus dem Prozess stammende Informationen auf einem Sichtgerät für einen Prozessleitstellenarbeitsplatz anhand der nachfolgenden Schritte aufbereitet werden:

a) für die am Prozess beteiligten Elemente werden Kontrolldaten, die für die Steuerung und/oder Überwachung relevant sind, definiert;

b) die Kontrolldaten werden auf mindestens zwei logisch voneinander unabhängigen Wegen für die beteiligten Elemente bestimmt;

c) die Kontrolldaten für jedes der beteiligten Elemente werden in Form eines Grafikelements, insbesondere in Form eines zeichenstrings, umgewandelt; und

d) die für das gleiche am Prozess beteiligte Element generierten Grafikelemente werden an demselben Ort auf dem Sichtgerät angezeigt.

[0008] Auf diese Weise kann der vergleich der unabhängig voneinander gewonnenen Kontrolldaten nicht durch eine softwaremässig programmierte Bewertung, sondern durch eine reine Umwandlung der Kontrolldaten, die das Prozessabbild repräsentieren, in entsprechende Grafikelemente und durch eine überlagerte Darstellung der so gewonnenen Grafikelemente auf dem Sichtgerät erhalten werden. Es ist daher softwaremässig nicht erforderlich ein rechnerisches Abbild des Prozesses zu bestimmen, sondern einzigallein die Zustände der einzelnen Elemente in Form der in Grafikelemente konvertierten Kontrolldaten anzuzeigen und so Unterschiede der überlagerten Grafikelemente und damit eben Unterschiede in der Interpretation des Prozesszustandes offensichtlich sichtbar zu machen.

[0009] In einer vorteilhaften Ausgestaltung der Erfindung können die Grafikelemente deckungsgleich überlagert und transparent dargestellt werden. In der kumulierten Darstellung führen die Unterschiede in den überlagerten Grafikelementen zu Schmier-oder Uhschärfeeffekten in der Darstellung, die sich an einem Sichtgerät für den Benutzer offensichtlich offenbaren.

[0010] Auch eine Anzeige verschiedener Farben kann bei fehlender Übereinstimmung der Grafikelemente die Offenbarung dieses Fehlers unterstützen. Hierzu können die für das gleiche am Prozess beteiligte Element generierten Grafikelemente nacheinander mit einer XOR-Operation verknüpft und das Ergebnis der Verknüpfung angezeigt werden. Hierbei wird beispielsweise das Grafikelement eines ersten logischen Kanals auf einen unifarbenen Hintergrund gezeichnet. Dieser neue Hintergrund wird mit dem Grafikelement eines zugehörigen zweiten logischen Kanals durch eine XOR-Operation verknüpft. Damit treten auch hier nur abweichende Pixel der beiden so verknüpften Grafikelemente hervor. Dabei kann es vorgesehen sein, alle übereinstimmenden Pixel der Grafikelemente in einer ersten Farbe, z.B. in grüner Farbe, und alle nicht übereinstimmenden Pixel der Grafikelemente in einer zweiten Farbe, z.B. in roter Farbe, darzustellen.

[0011] Um für die Anzeige im Sichtgerät auch einen Hinweis auf den Status/Verfügbarkeit der verschiedenen logischen Kanäle generieren zu können, kann eine Statusanzeige für die jeweiligen logischen Kanäle in einer Weise generiert werden, dass nur ein Teil der jedem logischen Kanal zuordenbaren Kontrolldaten deckungsgleich überlappend angezeigt werden. Auf diese Weise kann das Vorhandensein mehrerer logischer Kanäle, zum Beispiel das vorhandensein der geforderten mindestens zwei logischen Kanäle, durch eine optisch wahrnehmbare vereinigungsmenge, deren ausserhalb liegenden optisch abweichenden Randbereiche jeweils den einen oder den anderen logischen Kanal repräsentieren, angezeigt werden.

[0012] Die Erfindung wird nachfolgend anhand der Zeichnung beispielsweise näher erläutert. Dabei zeigen:

Figur 1

eine erste schematische Darstellung der aus zwei Quellen stammenden Grafikelemente bezüglich des Zustands von Weichen;

Figur 2

eine zweite schematische Darstellung der aus zwei Quellen stammenden Grafikelemente bezüglich des Zustands von Weichen; und

Figur 3

eine schematische Darstellung zur Anzeige der Verfügbarkeit von zwei logischen Kanälen.

[0013] Figur 1 zeigt eine erste schematische Darstellung 2 der aus zwei Quellen Q1, Q2 stammenden Grafikelemente G1, G2, die in einer deckungsgleich überlappenden Abbildung D auf einem hier nicht weiter dargestellten Datensichtgerät angezeigt werden. Es ist leicht für einen Nutzer des Datensichtgeräts anhand der Abbildung D zu erkennen, dass die Meldungen aus den Quellen Q1, Q2 (also aus den beiden logischen Kanälen) und damit auch die Grafikelemente G1, G2 nicht konsistent sind. Im vorliegenden Beispiel meldet die Quelle Q1, dass die Weiche 56 einzelgesperrt ist. Die Quelle Q2 meldet hingegen, dass die Weiche 57 einzelgesperrt ist. Die sich in der Abbildung D überlappenden Ziffern 6 und 7 führen zu einem unscharfen, verschmierten Sichtbild an dieser Stelle, das sich einem Betrachter in offensichtlicher weise offenbart. Es sei angemerkt, dass die Grafikelemente G1, G2 in der Figur 1 mit dargestellt sind. Auf dem Datensichtgerät erscheint dann nur die Darstellung D, die hier vorliegend den Fehler offenbart.

[0014] Entsprechend zeigt die Figur 2 eine zweite schematische Darstellung 2 für die Abbildung D. Die linke Grafik zeigt eine Fehleroffenbarung durch Farbunterschiede in den überlagerten Grafikelementen G1, G2, hier wieder die Texte "Weiche 56 einzelgesperrt" und "Weiche 57 einzelgesperrt". In der gezeigten Schwarz-Weiss-Darstellung sind die unterschiedlichen Farben nur als unterschiedliche Graustufen erkennbar. Durch eine gezielte Wahl der Farbindizes der einzelnen Grafikelemente wird durch eine logische Verknüpfung dieser Farbindizes bei der Überlagerung der Grafikelemente G1, G2 erreicht, dass jene Teile der Grafikelemente, die für beide Quellen Q1, Q2 gleich sind, in einer anderen Farbe dargestellt werden als jene Teile der Darstellung D, die nur aus einem der von den beiden Quellen Q1, Q2 abgeleiteten Grafikelemente G1, G2 stammen. Hierbei wird zuerst das Grafikelement G1 aus der ersten Quelle Q1 auf einem unifarbenen Hintergrund gezeichnet. Danach wird das Grafikelement G2 aus der zweiten Quelle Q2 mit diesem neuen Hintergrund (unifarbener Hintergrund + Grafikelement G1 = neuer Hintergrund) XOR verknüpft. Nur die sich in dem neuen Hintergrund und dem Grafikelement G2 unterscheidenden Pixel werden dann in einer anderen Farbe darstellt.

[0015] Die rechte Grafik von Figur 2 zeigt entsprechend den Fall, bei dem der Fehleroffenbarung durch die Farbauflösung erheblicher Wert beigemessen werden kann. Bei einer Überlagerung der Grafikelemente G3 "Weiche 53 einzelgesperrt" und G4 "Weiche 58 einzelgesperrt" könnten die unterschiedlichen Ziffern 3 und 8 in der kumulierten Darstellung zu einer "8" verschmelzen. Der zugrunde liegende Fehler würde dabei dann vielleicht sogar gar nicht wahrgenommen. Anders tritt dieser Fehler nun durch die abweichende Farbe der Unterschiedsmenge zwischen den Ziffern 3 und 8 offensichtlich zu Tage.

[0016] Die Figur 3 zeigt eine schematische Darstellung zur Anzeige der Verfügbarkeit von zwei logischen Kanälen. Dabei ist in der linken Grafik in der rechten oberen Ecke eine nicht vollständig überlappende Darstellung D' von zwei Rechtecken R1, R2 gezeigt, die je dem vorhandensein eines logischen Kanals entsprechen. Diese Darstellung D' ist in der rechten Abbildung der Figur 3 vergrössert dargestellt. Ein Überlappungsbereich B ist vorliegend mit der dunkelsten Graustufe gekennzeichnet. In einer farbigen Darstellung könnte dieser Überlappungsbereich beispielsweise in grüner Farbe abgebildet sein, die ausserhalb liegenden Bereiche beispielsweise in roter Farbe. Nur bei Vorliegen des grünen innenliegenden Rechtecks kann der Benutzer des Sichtgeräts davon ausgehen, dass die angezeigten Daten aus mindestens zwei logisch von einander unabhängigen Datenquelle und/oder - wegen erhalten worden sind.

[0017] Damit gewährleistet die vorliegende Erfindung, dass sicherheitsrelevante Informationen auch tatsächlich in einer sicheren, zuverlässigen Art zur Steuerung und/oder Überwachung eines Prozesses in einem Sichtgerät einer Leitwarte oder dergleichen dargestellt werden können. Für die Ermittlung, ob die Anzeige sicher ist, reicht daher vorliegend der rein optische Vergleich der auf logisch voneinander unabhängigen wegen gewonnenen Grafikelemente aus, um etwaige Fehler in der Anzeige und/oder die fehlende logische Mehrkanaligkeit zu offenbaren.

Ansprüche

1. Verfahren zur Fehleroffenbarung in einer steuerungs- und/oder überwachungstechnischen Einrichtung für einen Prozess, insbesondere für die Steuerung und/oder Überwachung von schienengebundenen Fahrzeugen auf einem Schienennetz, bei dem aus dem Prozess stammende Informationen auf einem Sichtgerät für einen Prozessleitstellenarbeitsplatz aufbereitet werden,
dadurch gekennzeichnet, dass

a) für die am Prozess beteiligten Elemente Kontrolldaten, die für die Steuerung und/oder Überwachung relevant sind, definiert werden;

b) die Kontrolldaten auf mindestens zwei logisch voneinander unabhängigen Wegen (Q1, Q2) für die beteiligten Elemente bestimmt werden;

c) die Kontrolldaten für jedes der beteiligten Elemente in Form eines Grafikelements (G1 bis G4), insbesondere eines Zeichenstrings, umgewandelt werden; und

d) die für das gleiche am Prozess beteiligte Element generierten Grafikelemente (G1 bis G4) an demselben Ort auf dem Sichtgerät angezeigt werden.

2. Verfahren nach Anspruch 1,
dadurch gekennzeichnet, dass
die Grafikelemente (G1 bis G4) deckungsgleich überlagert dargestellt werden.

3. Verfahren nach Anspruch 1 oder 2,
dadurch gekennzeichnet, dass
die für das gleiche am Prozess beteiligte Element generierten Grafikelemente (G1 bis G4) nacheinander in XOR-Verknüpfung angezeigt werden.

4. Verfahren nach einem der Ansprüche 1 bis 3,
dadurch gekennzeichnet, dass
alle übereinstimmenden Pixel der Grafikelemente (G1 bis G4) in einer ersten Farbe und alle nicht übereinstimmenden Pixel der Grafikelemente in einer zweiten Farbe dargestellt werden.

5. Verfahren nach einem der Ansprüche 1 bis 4,
dadurch gekennzeichnet, dass
eine Statusanzeige (D') für die jeweiligen logischen Kanäle in Weise geniert wird, dass nur ein Teil der jedem logischen Kanal zuordenbaren Kontrolldaten (R1, R2) deckungsgleich überlappend angezeigt werden.

Zeichnung