BEDIENEINRICHTUNG

Beschreibung

[0001] Die Erfindung bezieht sich auf eine Bedieneinrichtung zum Steuern einer sicherheitstechnischen Anlage, insbesondere zum Steuern einer eisenbahntechnischen Anlage, wie beispielsweise einem Stellwerk oder einer Eisenbahnleiteinrichtung.

[0002] Derartige Bedieneinrichtungen werden im Bereich der Schienenfahrzeugtechnik beispielsweise bei der Siemens Leitsystemfamilie Vicos OC eingesetzt.

[0003] Aus der JP 2005071250 A ist eine gattungsbildende Bedieneinrichtung bekannt. Diese weist u. a. eine Rechnereinrichtung, eine mit der Rechnereinrichtung in Verbindung stehende Anzeigeeinrichtung, die einen Betriebszustand der sicherheitstechnischen Anlage anzeigen kann und von Anzeigesteuersignalen der Rechnereinrichtung angesteuert wird, und eine mit der Rechnereinrichtung in Verbindung stehende Eingabeeinrichtung zur bedienerseitigen Eingabe von Steuerbefehlen auf, wobei die Rechnereinrichtung derart ausgestaltet ist, dass sie die Dynamik des bedienerseitigen Eingabeverhaltens überwacht.

[0004] Bei vielen sicherheitstechnischen Anlagen, wie beispielsweise bei Eisenbahnstellwerken oder Eisenbahnleiteinrichtungen, besteht das Problem, dass der Betriebszustand der zu überwachenden und zu steuernden Anlage über einen längeren Zeitraum unverändert bleiben kann. Somit ändert sich auch die Anzeige der Anzeigeeinrichtung, die den Betriebszustand der Anlage anzeigt, mitunter über einen längeren Zeitraum nicht. Es ist somit mitunter nicht unmittelbar ersichtlich, ob der von der Anzeigeeinrichtung angezeigte Betriebszustand tatsächlich aktuell ist und die Anzeige nicht "eingefroren" oder "einigebrannt" ist.

[0005] Der Erfindung liegt die Aufgabe zugrunde, eine Bedieneinrichtung anzugeben, mit der sich eine besonders hohe Sicherheit beim Steuern einer sicherheitstechnischen Anlage mit besonders geringem gerätetechnischem Aufwand erreichen lässt.

[0006] Diese Aufgabe wird erfindungsgemäß durch eine Bedieneinrichtung mit den Merkmalen gemäß Patentanspruch 1 gelöst. Vorteilhafte Ausgestaltungen der erfindungsgemäßen Bedieneinrichtung sind in Unteransprüchen angegeben.

[0007] Danach ist erfindungsgemäß eine Bedieneinrichtung zum Steuern einer sicherheitstechnischen Anlage, insbesondere zum Steuern einer eisenbahntechnischen Anlage (z. B. Stellwerk oder Eisenbahnleiteinrichtung) vorgesehen, wobei die Bedieneinrichtung aufweist: eine Rechnereinrichtung, eine mit der Rechnereinrichtung in Verbindung stehende Anzeigeeinrichtung, die einen Betriebszustand der sicherheitstechnischen Anlage anzeigen kann und von Anzeigesteuersignalen der Rechnereinrichtung angesteuert wird, und eine mit der Rechnereinrichtung in Verbindung stehende Eingabeeinrichtung zur bedienerseitigen Eingabe von Steuerbefehlen, wobei die Rechnereinrichtung derart ausgestaltet ist, dass sie die Dynamik des bedienerseitigen Eingabeverhaltens überwacht und im Falle, dass ein vorgegebenes Maß an Dynamik unterschritten wird, eine bedienerseitige Überprüfung der korrekten Funktionsweise der Anzeigeeinrichtung anfordert, wobei die Rechnereinrichtung im Rahmen der Überprüfung der Dynamik des bedienerseitigen Eingabeverhaltens prüft, ob bedienerseitig ein vorgegebenes Maß (z. B. pro vorgegebener Zeiteinheit) an Steuerbefehlen zur Verschiebung von auf der Anzeigeeinrichtung angezeigten Anzeigeabschnitten an der Eingabeeinrichtung eingegeben wird, und im Falle, dass das vorgegebene Maß unterschritten wird, eine bedienerseitige Überprüfung der korrekten Funktionsweise der Anzeigeeinrichtung anfordert.

[0008] Ein wesentlicher Vorteil der erfindungsgemäßen Bedieneinrichtung ist darin zu sehen, dass diese das Bedienverhalten bei der Bedienung der Bedieneinrichtung auswertet, um Rückschlüsse auf die korrekte Arbeitsweise der Anzeigeeinrichtung zu ziehen. Der erfinderische Gedanke besteht darin, dass bei einer regelmäßigen bzw. "dynamischen" Bedienung der Bedieneinrichtung regelmäßig eine Veränderung der Anzeige auf der Anzeigeeinrichtung hervorgerufen werden wird, so dass ein Einfrieren oder Einbrennen der Anzeige oder ein anderer Anzeigefehler (z. B. Pixel- oder Segment-Ausfälle) auf der Anzeigeeinrichtung zeitnah offenbart werden wird, weil dies bedienerseitig erkannt und gemeldet werden würde. Erfolgt jedoch über einen längeren Zeitraum keine Eingabe, so geht die Rechnereinrichtung erfindungsgemäß davon aus, dass es unter Umständen zu einem Einfrieren oder Einbrennen oder einem sonstigen Anzeigefehler auf der Anzeigeeinrichtung gekommen sein könnte: In diesem Fall wird sie eine Überprüfung der korrekten Funktionsweise der Anzeigeeinrichtung anfordern, indem sie beispielsweise ein Testbild anzeigt. Die korrekte Funktionsweise der Anzeigeeinrichtung kann dann bedienerseitig durch eine entsprechende Eingabe an der Eingabeeinrichtung bestätigt werden.

[0009] Ein weiterer wesentlicher Vorteil der erfindungsgemäßen Bedieneinrichtung besteht darin, dass andere oder weitere Maßnahmen zur Überprüfung der Aktualität der Anzeige der Anzeigeeinrichtung entbehrlich sind, da - wie erfinderseitig festgestellt wurde - ein sehr hohes Maß an Sicherheit bereits durch eine Überwachung der "Dynamik" der Bedienung erreicht wird.

[0010] Gemäß einer besonders bevorzugten Ausgestaltung ist vorgesehen, dass die Rechnereinrichtung im Rahmen der Überprüfung der Dynamik des bedienerseitigen Eingabeverhaltens prüft, ob durch die bedienerseitige Eingabe der Steuerbefehle die Anzeigesteuersignale derart verändert werden, dass bei korrekter Arbeitsweise der Anzeigeeinrichtung ein vorgegebenes Maß an zeitlicher Anzeigeänderung auf der Anzeigeeinrichtung erreicht oder überschritten werden würde, und im Falle, dass das vorgegebene Maß an zeitlicher Anzeigeänderung unterschritten wird, eine bedienerseitige Überprüfung der korrekten Funktionsweise der Anzeigeeinrichtung anfordert. Bei dieser bevorzugten Ausgestaltung wird bei der Überwachung der Dynamik des Eingabeverhaltens rechnerseitig auf die Veränderung der die Anzeige auf der Anzeigeeinrichtung hervorrufenden Anzeigesteuersignale abgestellt: Erfolgt keine ausreichende Veränderung der Anzeigesteuersignale - beispielsweise in vorgegebenen Zeitabschnitten- , so wird eine bedienerseitige Überprüfung der Anzeige angefordert.

[0011] Besonders einfach und damit vorteilhaft ist eine Überprüfung der Dynamik des bedienerseitigen Eingabeverhaltens möglich, wenn geprüft wird, ob bedienerseitig ein vorgegebenes Maß (z. B. pro vorgegebener Zeiteinheit) an Steuerbefehlen zur Vergrößerung und/oder Verkleinerung von auf der Anzeigeeinrichtung angezeigten Anzeigeabschnitten (bzw. Bildschirminhalten) an der Eingabeeinrichtung eingegeben wird. Im Falle, dass das vorgegebene Maß unterschritten wird, kann eine bedienerseitige Überprüfung der korrekten Funktionsweise der Anzeigeeinrichtung angefordert werden.

[0012] Um eine besonders ergonomische, intuitive und damit besonders fehlerunanfällige Bedienung der Bedieneinrichtung zu ermöglichen, wird es als vorteilhaft angesehen, wenn die Eingabeeinrichtung geeignet ist, eine bedienerseitige Berührung und/oder eine bedienerseitige Bewegung zu erfassen. Dies ermöglicht die bedienerseitige Eingabe von Steuerungsbefehlen durch bedienerseitige Berührung und/oder Bewegung.

[0013] Als besonders vorteilhaft wird es angesehen, wenn die Bedieneinrichtung einen berührungs- und/oder bewegungsempfindlichen Bildschirm umfasst, der sowohl die Eingabeeinrichtung zur bedienerseitigen Eingabe der Steuerbefehle als auch die Anzeigeeinrichtung bildet. Berührungs- und/oder bewegungsempfindliche Bildschirme (sogenannte "Touchscreens") sind heutzutage sehr kostengünstig und mit großen Bildschirmdiagonalen erhältlich, so dass bedienerseitige Eingaben besonders einfach und fehlerunanfällig möglich sind.

[0014] Um eine besonders zuverlässige Arbeitsweise der Rechnereinrichtung zu gewährleisten, wird es als vorteilhaft angesehen, wenn die Rechnereinrichtung eine erste und eine zweite Rechnereinheit umfasst, die beide mit dem berührungs- oder bewegungsempfindlichen Bildschirm in Verbindung stehen, wobei die erste Rechnereinheit den Bildschirm mit den Anzeigesteuersignalen ansteuert und wobei die zweite Rechnereinheit die Ausgabesignale der ersten Rechnereinheit überprüft und im Falle einer Abweichung der von der ersten Rechnereinheit erzeugten Anzeigesteuersignale von selbst ermittelten Anzeigesteuersignalen ein Fehlersignal erzeugt. Mit Hilfe zweier oder auch noch weiterer Rechnereinheiten lässt sich gewährleisten, dass im Falle eines Fehlers einer Rechnereinheit keine fehlerhafte Anzeige auf dem Bildschirm erfolgen kann, weil durch die zweite oder weitere Rechnereinheiten eine korrekte Arbeitsweise der Rechnereinrichtung insgesamt sichergestellt wird.

[0015] Um sicherzustellen, dass eine Bedienung der Bedieneinrichtung ausschließlich durch autorisierte Bedienpersonen erfolgt, wird es außerdem als vorteilhaft angesehen, wenn die Bedieneinrichtung eine Authentifizierungseinrichtung umfasst, mit der geprüft werden kann, ob eine Bedienperson tatsächlich zur Bedienung berechtigt ist. Eine solche Authentifizierungseinrichtung kann beispielsweise umfassen: einen Fingerabdrucksensor, ein RFID-Tag(Radiofrequenz-Identifizierungselement)-Lesegerät und/oder eine Unterschriftskontrolleinrichtung, die beispielsweise auf einem Eingabefeld des berührungs- und/oder bewegungsempfindlichen Bildschirms ausgebildet ist.

[0016] Durch eine Authentifizierung von Bedienpersonen wird es außerdem möglich, dass mehrere Benutzer nacheinander oder auch gleichzeitig an einem oder mehreren Bedienplätzen der Bedieneinrichtung arbeiten können.

[0017] Um mögliche Eingabefehler bzw. Verfälschungen im Rahmen der Bedienung der Bedieneinrichtung aufzudecken, wird es als vorteilhaft angesehen, wenn alle bedienerseitig eingegebenen Steuerbefehle auf der Anzeigeeinrichtung visualisiert werden. Vorzugsweise werden alle an der Bedienung beteiligten Elemente hervorgehoben. Zusätzlich oder alternativ kann auch eine Farbänderung auf der Anzeigeeinrichtung erfolgen, um die Art und/oder den Umfang der Bedienung anzuzeigen.

[0018] Darüber hinaus wird es als vorteilhaft angesehen, wenn die Bedieneinrichtung derart ausgestaltet ist, dass sie bei der Eingabe sicherheitsrelevanter Steuerbefehle stets eine Bestätigung verlangt. Eine solche Bestätigung kann beispielsweise durch die Anzeige eines "OK"-Eingabefeldes erfolgen, das bedienerseitig aktiviert werden muss, um die Bedienung zu bestätigen.

[0019] Die Auflösung von Bildelementen, die die Eingabe eines Steuerbefehls bestätigen oder die Bestätigung einer Eingabe anfordern, ist vorzugsweise größer als eine vorgegebene durchschnittliche Auflösung anderer Bildelemente.

[0020] Auch wird es als vorteilhaft angesehen, wenn der Inhalt von Steuerbefehlen alternativ oder zusätzlich diversitär dargestellt wird, beispielsweise durch einen Text anstelle/zusätzlich zu einer Grafik oder durch eine Ansage an einer Lautsprechereinrichtung (z. B. Kopfhörer) anstelle/zusätzlich zu einer Grafik oder einem Text.

[0021] Die Erfindung bezieht sich darüber hinaus auf eine eisenbahntechnische Anlage, insbesondere auf ein Stellwerk oder eine Eisenbahnleiteinrichtung, die mit einer Bedieneinrichtung, wie sie oben beschrieben ist, ausgestattet ist.

[0022] Bezüglich der Vorteile der erfindungsgemäßen eisenbahntechnischen Anlage sei auf die oben ausgeführten Vorteile der erfindungsgemäßen Bedieneinrichtung verwiesen, da die Vorteile der erfindungsgemäßen Bedieneinrichtung denen der erfindungsgemäßen eisenbahntechnischen Anlage entsprechen.

[0023] Alternativ oder zusätzlich kann auch die Auswahl von Anzeigeelementen, beispielsweise durch Fingerberührung und/oder Doppeltippen, innerhalb vorgegebener Zeitfenster überwacht werden, um die Dynamik des bedienerseitigen Eingabeverhaltens quantitativ zu ermitteln und zu überwachen.

[0024] Alternativ oder zusätzlich ist es möglich, die Dynamik des bedienerseitigen Eingabeverhaltens zu kontrollieren, indem die Eingabe alphanumerischer Zeichen auf einer Bildschirmtastatur ("On-screen"-Tastatur) überwacht wird.

[0025] Die Erfindung wird nachfolgend anhand von Ausführungsbeispielen näher erläutert; dabei zeigen beispielhaft

Figur 1

ein Ausführungsbeispiel für ein erfindungsgemäßes Stellwerk, das mit einem Ausführungsbeispiel für eine erfindungsgemäße Bedieneinrichtung ausgestattet ist,

Figur 2

das Stellwerk gemäß Figur 1, nachdem die Bedieneinrichtung eine Überprüfung der korrekten Arbeitsweise der Anzeigeeinrichtung mittels eines Testbildes angefordert hat,

Figur 3

ein Ausführungsbeispiel für ein Stellwerk mit einer Bedieneinrichtung, die mit einem konventionellen Bildschirm sowie einer Tastatur und Computermaus ausgestattet ist,

Figur 4

ein Ausführungsbeispiel für ein Stellwerk mit einer Bedieneinrichtung, die über eine Authentifizierungseinrichtung verfügt, und

Figur 5

ein Ausführungsbeispiel für eine erfindungsgemäße Eisenbahnleiteinrichtung, die mit einem Ausführungsbeispiel für eine erfindungsgemäße Bedieneinrichtung ausgestattet ist.

[0026] In den Figuren werden der Übersicht halber für identische oder vergleichbare Komponenten stets dieselben Bezugszeichen verwendet.

[0027] Die Figur 1 zeigt ein Stellwerk 10, das einen Stellwerksrechner 20 sowie eine Bedieneinrichtung 30 umfasst. Zusätzlich zu der Bedieneinrichtung 30 können weitere Bedieneinrichtungen an den Stellwerksrechner 20 angeschlossen sein, die jedoch aus Gründen der Übersicht in der Figur 1 nicht dargestellt sind.

[0028] Der Stellwerksrechner 20 des Stellwerks 10 steht mittelbar oder unmittelbar mit einer Eisenbahngleisanlage 40 in Verbindung, die von dem Stellwerksrechner 20 über Steuersignale ST angesteuert wird. Mit den Steuersignalen ST können beispielsweise Weichen, Signale oder andere Komponenten der Eisenbahngleisanlage 40 angesteuert bzw. umgeschaltet werden.

[0029] Die Bedieneinrichtung 30 weist eine Rechnereinrichtung 50 auf, an die ein berührungsempfindlicher Bildschirm 60 angeschlossen ist. Der berührungsempfindliche Bildschirm 60 bildet gleichzeitig sowohl eine Anzeigeeinrichtung als auch eine Eingabeeinrichtung.

[0030] Der berührungsempfindliche Bildschirm 60 empfängt von der Rechnereinrichtung 50 Anzeigesteuersignale AST, die eine Anzeige auf dem berührungsempfindlichen Bildschirm 60 hervorrufen. So erkennt man auf dem berührungsempfindlichen Bildschirm 60 drei Anzeigeabschnitte in Form von Anzeigefenstern 61, 62 und 63, die unterschiedliche Anzeigefunktionen ausüben bzw. unterschiedliche Bildschirminhalte anzeigen können.

[0031] Beispielhaft wird im Folgenden davon ausgegangen, dass das Anzeigefenster 61 den Betriebszustand der Eisenbahngleisanlage 40 visualisiert. Die beiden Anzeigefenster 62 und 63 stellen Eingabefenster dar, die durch eine bedienerseitige Berührung zur Eingabe von Steuerbefehlen STB berührt werden können. Die beiden Anzeigefenster 62 und 63 können beispielsweise Auswahlelemente anzeigen, die bereits bei Berührung zugeordnete Steuerbefehle STB generieren. Alternativ kann in den Anzeigefenstern 62 und 63 auch eine alphanumerische Tastatur angezeigt sein, die durch ein Berühren zum Erzeugen der Steuerbefehle STB beispielsweise mehrfach berührt werden muss. Auch können Steuerbefehle STB erzeugt werden, indem Elemente auf dem berührungsempfindlichen Bildschirm 60 verschoben werden oder die gesamte Bildschirmanzeige oder einzelne Anzeigefenster 61, 62 und 63 "weggewischt" werden.

[0032] Die von dem Bildschirm 60 erkannten Steuerbefehle STB werden an die Rechnereinrichtung 50 übermittelt und dort ausgewertet. Um sicherzustellen, dass die Rechnereinrichtung 50 stets korrekt arbeitet, ist diese mit einer ersten Rechnereinheit 51 sowie einer zweiten Rechnereinheit 52 ausgestattet. Beide Rechnereinheiten 51 und 52 verarbeiten die Steuerbefehle STB, die bedienerseitig an dem berührungsempfindlichen Bildschirm 60 eingegeben werden, sowie Meldungen M, die vom Stellwerksrechner 20 zu den beiden Rechnereinheiten 51 und 52 übermittelt werden.

[0033] Eine der beiden Rechnereinheiten, beispielsweise die erste Rechnereinheit 51, arbeitet aktiv mit dem berührungsempfindlichen Bildschirm 60 zusammen: Sie erzeugt aktiv die Anzeigesteuersignale AST, die zu dem berührungsempfindlichen Bildschirm 60 gelangen.

[0034] Die von dem berührungsempfindlichen Bildschirm 60 erkannten Steuerbefehle STB werden hingegen sowohl von der ersten Rechnereinheit 51 als auch von der zweiten Rechnereinheit 52 verarbeitet. Die zweite Rechnereinheit 52 arbeitet im sogenannten "Hot-Standby" (heiße Ruhephase)-Modus und führt die Verarbeitung der Steuerbefehle STB parallel zur ersten Rechnereinheit 51 durch.

[0035] Wie sich in der Figur 1 erkennen lässt, sind die beiden Rechnereinheiten 51 und 52 miteinander verbunden, so dass sie die Verarbeitungsergebnisse der Steuerbefehle STB miteinander vergleichen können. So erfährt die zweite Rechnereinheit 52, welche Anzeigesteuersignale AST von der ersten Rechnereinheit 51 generiert und auf dem berührungsempfindlichen Bildschirm 60 angezeigt werden sollen. Stimmen die Anzeigesteuersignale AST, die von der ersten Rechnereinheit 51 generiert werden, mit den Anzeigesteuersignalen überein, die auch die zweite Rechnereinheit 52 auf der Basis der Steuerbefehle STB sowie der Meldungen M des Stellwerksrechners 20 ermittelt hat, so arbeitet die Rechnereinrichtung 50 insgesamt fehlerfrei, so dass eine weitere Bedienung der Bedieneinrichtung 30 möglich bleibt.

[0036] Stellt hingegen die erste Rechnereinheit 51 oder auch die zweite Rechnereinheit 52 fest, dass die Verarbeitungsergebnisse der beiden Rechnereinheiten 51 und 52 unterschiedlich sind, so wird entweder die erste Rechnereinheit 51 oder auch die zweite Rechnereinheit 52 ein Fehlersignal F erzeugen und zum Stellwerksrechner 20 übermitteln. Der Stellwerksrechner 20 erkennt somit, dass die Bedieneinrichtung 30 nicht mehr korrekt arbeitet, so dass eine Umsetzung der von der Bedieneinrichtung 30 etwaig noch übermittelten Steuerbefehle unterbleibt.

[0037] Die Zuordnung der Rechnereinheit 51 hinsichtlich der Erzeugung der Anzeigesteuersignale AST ist hier nur beispielhaft zu verstehen; alternativ können die Anzeigesteuersignale AST auch von der zweiten Rechnereinheit 52 erzeugt werden. Auch ist es möglich, dass sich die beiden Rechnereinheiten 51 und 52 mit der Erzeugung der Anzeigesteuersignale AST abwechseln, beispielsweise nach Ablauf vorgegebener Zeitintervalle.

[0038] Auch können zusätzlich zu den beiden Rechnereinheiten 51 und 52 weitere Rechnereinheiten zu Kontrollzwecken vorhanden sein.

[0039] Die beiden Rechnereinheiten 51 und 52 arbeiten vorzugsweise derart, dass sie das Prozessabbild, also den Zustand der Eisenbahngleisanlage 40, als diskrete Zustandsautomaten modellieren. Jedes Element der Eisenbahngleisanlage 40 kann nämlich eine endliche Zahl diskreter Zustände annehmen. Eingaben an dem Bildschirm 60 bzw. Steuersignale STB können somit Ereignisse definieren, die gegebenenfalls einen Zustandsübergang auslösen sollen.

[0040] Darüber hinaus kann vorgesehen sein, dass die beiden Rechnereinheiten 51 und 52 zu Synchronisationszeitpunkten, die beispielsweise von den Rechnereinheiten 51 und 52 innerhalb einer zulässigen Obergrenze ausgehandelt werden, das auf dem Bildschirm 60 angezeigte Prozessabbild miteinander vergleichen. Beispielsweise können mit bzw. aus den Anzeigebildern Prüfsummen (z. B. kodiert auf der Grundlage von Hash-Funktionen) gebildet werden, die wechselseitig verglichen werden.

[0041] Bei dem Ausführungsbeispiel gemäß Figur 1 wird die Rechnereinrichtung 50 durch zwei physikalisch separate Rechnereinheiten 51 und 52 gebildet. Alternativ kann vorgesehen sein, dass die beiden Rechnereinheiten 51 und 52 nur virtuell als Software-Replikanten realisiert sind, die auf ein- und derselben Rechnereinheit durchgeführt werden.

[0042] In der Figur 1 lässt sich darüber hinaus erkennen, wie die Rechnereinrichtung 50 die Aktualität der Anzeige auf dem Bildschirm 60 überwacht. So wertet die Rechnereinrichtung 50 die Steuerbefehle STB aus, die vom berührungsempfindlichen Bildschirm 60 übermittelt werden. Enthalten die Steuerbefehle STB ausreichend häufig beispielsweise Befehle, die ein Verschieben der Anzeigefenster (vgl. Anzeigefenster 62 in Figur 1) oder auch eine Vergrößerung oder Verkleinerung der Anzeigefenster (vgl. Anzeigefenster 63 in Figur 1) bewirken, so geht die Rechnereinrichtung 50 davon aus, dass der berührungsempfindliche Bildschirm 60 korrekt arbeitet: Diese Annahme geht von dem Gedanken aus, dass ein Vergrößern oder Verkleinern bzw. ein Verschieben der Anzeigefenster von einer Bedienperson unmittelbar kontrolliert wird; würde nämlich bei einem entsprechenden bedienerseitigen Befehl zum Verschieben und/oder Vergrößern und/oder Verkleinern eines Anzeigefensters nicht unmittelbar eine entsprechende Aktualisierung der Anzeige auf dem Bildschirm 60 erfolgen, so würde die Bedienperson unmittelbar erkennen, dass die Bedieneinrichtung 30 nicht mehr korrekt arbeitet und eine weitere Erzeugung von Steuerbefehlen STB unzulässig bzw. gefährlich wäre, da dem Stellwerksrechner 20 womöglich falsche Steuerbefehle STB' geliefert werden könnten und es zu einer fehlerhaften Umstellung der Eisenbahngleisanlage 40 kommen könnte.

[0043] Wird jedoch nach einem Verschieben und/oder Vergrößern und/oder Verkleinern der Anzeigefenster mit der Bedienung der Bedieneinrichtung 30 fortgefahren, indem weitere Steuerbefehle STB erzeugt werden, so geht die Recheneinrichtung 50 von einer korrekten Anzeige auf dem berührungsempfindlichen Bildschirm 60 aus, so dass die eingehenden Steuerbefehle STB weiter verarbeitet und als Steuersignale STB' an den Stellwerksrechner 20 weitergeleitet werden.

[0044] Die Figur 2 zeigt beispielhaft, wie die Rechnereinrichtung 50 die Anzeige auf dem berührungsempfindlichen Bildschirm 60 modifiziert, wenn innerhalb einer vorgegebenen maximalen Zeitspanne Tmax kein Verschieben und/oder Vergrößern und/oder Verkleinern von Anzeigefenstern erfolgt. In diesem Fall geht die Rechnereinrichtung 50 nicht mehr davon aus, dass die Anzeige auf dem berührungsempfindlichen Bildschirm 60 korrekt sein muss. Aus diesem Grunde wird die Rechnereinrichtung 50 ein Testbild T auf dem berührungsempfindlichen Bildschirm 60 erzeugen, indem sie ein entsprechendes Anzeigesteuersignal AST(Test) erzeugt und zu dem berührungsempfindlichen Bildschirm 60 übermittelt. Eine die Bedieneinrichtung 30 bedienende Bedienperson kann nun die Erzeugung weiterer Steuerbefehle STB erst fortsetzen, nachdem sie die korrekte Anzeige des Testbildes T überprüft hat und durch ein Berühren eines hierfür vorgesehenen Testfeldes 70 die korrekte Anzeige des Testbildes T bestätigt hat. Nach dem Drücken des Testfeldes 70 wird wieder mit Hilfe eines Anzeigefensters der Zustand der Eisenbahngleisanlage 40 angezeigt und eine weitere Erzeugung von Steuerbefehlen STB ermöglicht, wie dies im Zusammenhang mit der Figur 1 erläutert worden ist.

[0045] Auch kann vorgesehen sein, dass innerhalb eines vorgegebenen Zeitintervalls vor einer Eingabe eines die Gleisanlage 40 umstellenden Steuerbefehls STB ein Steuerbefehl erzeugt werden muss, der eine Aktualität der Bildschirmanzeige wahrscheinlich macht, also beispielsweise ein Steuerbefehl zum Verschieben und/oder Vergrößern und/oder Verkleinern eines Anzeigeabschnitts (Anzeigefensters). Ist dies nicht der Fall, wird beispielsweise das Testbild T erzeugt.

[0046] Die Figur 3 zeigt ein Ausführungsbeispiel für ein Stellwerk 10, bei dem die Bedieneinrichtung 30 anstelle eines berührungsempfindlichen Bildschirms 60 eine Anzeigeeinrichtung 100 in Form eines nicht berührungsempfindlichen konventionellen Bildschirms aufweist. Zur Eingabe der Steuerbefehle STB ist eine separate Eingabeeinrichtung 110 vorgesehen, die eine Tastatur 111 sowie eine Computermaus 112 umfasst. Die Steuerung der Bedieneinrichtung 30 bzw. das Erzeugen der Steuerbefehle STB kann dabei erfolgen, wie dies im Zusammenhang mit der Figur 1 bereits erläutert worden ist.

[0047] Auch bei dem Ausführungsbeispiel gemäß der Figur 3 wird die Rechnereinrichtung 50 regelmäßig prüfen, ob die Dynamik des bedienerseitigen Eingabeverhaltens ein vorgegebenes Maß erreicht oder nicht. Kommt es, beispielsweise durch entsprechende Bewegungen der Computermaus 112, zu einem ausreichend häufigen (beispielsweise 10-mal pro Stunde) Verschieben und/oder Vergrößern und/oder Verkleinern der Anzeigefenster 62 und 63, so geht die Rechnereinrichtung 50 davon aus, dass die Anzeige auf der Anzeigeeinrichtung 100 aktuell und damit korrekt ist. Stellt die Rechnereinrichtung 50 jedoch fest, dass die Dynamik des bedienerseitigen Eingabeverhaltens das vorgegebene Maß nicht erreicht, weil nicht mit ausreichender Häufigkeit (also beispielsweise weniger als 10-mal pro Stunde) ein Verschieben und/oder Vergrößern und/oder Verkleinern von Anzeigefenstern erfolgt, so wird sie ein Testbild auf der Anzeigeeinrichtung 100 anzeigen, wie dies bereits im Zusammenhang mit der Figur 2 erläutert worden ist. Im Übrigen entspricht die Arbeitsweise der Bedieneinrichtung 30 gemäß Figur 3 der Arbeitweise der Bedieneinrichtung 30 gemäß den Figuren 1 und 2, so dass auf die obigen Ausführungen verwiesen sei.

[0048] Die Figur 4 zeigt ein Ausführungsbeispiel für ein Stellwerk, bei dem die Bedieneinrichtung 30 zusätzlich mit einer Authentifizierungseinrichtung 200 ausgestattet ist. Bei der Authentifizierungseinrichtung 200 kann es sich beispielsweise um einen Fingerabdrucksensor, ein RFID-Chiplesegerät oder auch einen Unterschriftssensor handeln, mit dem die Authentizität der die Bedieneinrichtung 30 bedienenden Bedienperson geprüft wird. Hierzu ist die Rechnereinrichtung 50 derart ausgestaltet, dass sie die von der Authentifizierungseinrichtung 200 gelieferten Authentifizierungssignale AUT auswertet und im Falle einer erfolgreichen Authentifizierung die Bedienung der Bedieneinrichtung 30 zulässt und andernfalls blockiert.

[0049] Die Figur 5 zeigt ein Ausführungsbeispiel für eine Eisenbahnleiteinrichtung 300, die einen Leitrechner 310 sowie eine Bedieneinrichtung 30 umfasst, wie sie bereits im Zusammenhang mit den Figuren 1 und 2 erläutert worden ist. Der Leitrechner 310 wertet die Steuerbefehle STB' aus, die von der Bedieneinrichtung 30 erzeugt werden und steuert sowohl eine mit der Eisenbahnleiteinrichtung 300 in Verbindung stehende Eisenbahngleisanlage 40 sowie die auf der Eisenbahngleisanlage 40 fahrenden Schienenfahrzeuge, die pauschal durch einen Block mit dem Bezugszeichen 320 visualisiert sind, entsprechend an.

[0050] Die Überwachung der Dynamik des bedienerseitigen Eingabeverhaltens erfolgt durch die Auswertung der Steuersignale STB, die von dem berührungsempfindlichen Bildschirm 60 generiert werden. Zeigen die Steuerbefehle STB, dass ein vorgegebenes Maß an zeitlicher Anzeigeänderung (also bezogen auf ein vorgegebenes Zeitintervall) auf dem berührungsempfindlichen Bildschirm 60 erfolgt, so werden die bedienerseitig erzeugten Steuerbefehle STB freigegeben und als Steuerbefehle STB' an den Leitwerksrechner 310 weitergeleitet. Andernfalls wird auf dem berührungsempfindlichen Bildschirm 60 ein Testbild erzeugt, wie dies bereits im Zusammenhang mit der Figur 2 erläutert worden ist.

[0051] Obwohl die Erfindung im Detail durch die bevorzugten Ausführungsbeispiele näher illustriert und beschrieben wurde, so ist die Erfindung nicht durch die offenbarten Beispiele eingeschränkt und andere Variationen können vom Fachmann hieraus abgeleitet werden, ohne den Schutzumfang der Erfindung zu verlassen.

Ansprüche

1. Bedieneinrichtung (30) zum Steuern einer sicherheitstechnischen Anlage (10, 300), wobei die Bedieneinrichtung (30) aufweist:

- eine Rechnereinrichtung (50),

- eine mit der Rechnereinrichtung (50) in Verbindung stehende Anzeigeeinrichtung (60, 100), die einen Betriebszustand der sicherheitstechnischen Anlage (10, 300) anzeigen kann und von Anzeigesteuersignalen (AST) der Rechnereinrichtung (50) angesteuert wird, und

- eine mit der Rechnereinrichtung (50) in Verbindung stehende Eingabeeinrichtung (60, 110) zur bedienerseitigen Eingabe von Steuerbefehlen (STB), wobei die Rechnereinrichtung (50) derart ausgestaltet ist, dass sie die Dynamik des bedienerseitigen Eingabeverhaltens überwacht,

dadurch gekennzeichnet, dass
die Rechnereinrichtung im Falle, dass ein vorgegebene Maß an Dynamik unterschritten wird, eine bedienerseitige Überprüfung der korrekten Funktionsweise der Anzeigeeinrichtung (60, 100) anfordert, wobei die Rechnereinrichtung derart ausgestaltet ist, dass sie im Rahmen der Überprüfung der Dynamik des bedienerseitigen Eingabeverhaltens prüft, ob bedienerseitig ein vorgegebenes Maß an Steuerbefehlen (STB) zur Verschiebung von auf der Anzeigeeinrichtung (60, 100) angezeigten Anzeigeabschnitten (61, 62, 63) an der Eingabeeinrichtung (60, 110) eingegeben wird, und im Falle, dass das vorgegebene Maß unterschritten wird, eine bedienerseitige Überprüfung der korrekten Funktionsweise der Anzeigeeinrichtung (60, 100) anfordert.

2. Bedieneinrichtung nach Anspruch 1,
dadurch gekennzeichnet, dass
die Rechnereinrichtung (50) derart ausgestaltet ist, dass sie

- im Rahmen der Überprüfung der Dynamik des bedienerseitigen Eingabeverhaltens prüft, ob durch die bedienerseitige Eingabe der Steuerbefehle (STB) die Anzeigesteuersignale (AST) derart häufig verändert werden, dass bei korrekter Arbeitsweise der Anzeigeeinrichtung (60, 100) ein vorgegebenes Maß an zeitlicher Anzeigeänderung auf der Anzeigeeinrichtung (60, 100) erreicht oder überschritten werden würde,

- und im Falle, dass das vorgegebene Maß an zeitlicher Anzeigeänderung unterschritten wird, eine bedienerseitige Überprüfung der korrekten Funktionsweise der Anzeigeeinrichtung (60, 100) anfordert.

3. Bedieneinrichtung nach einem der voranstehenden Ansprüche,
dadurch gekennzeichnet, dass
die Rechnereinrichtung (50) derart ausgestaltet ist, dass sie im Rahmen der Überprüfung der Dynamik des bedienerseitigen Eingabeverhaltens prüft, ob bedienerseitig ein vorgegebenes Maß an Steuerbefehlen (STB) zur Vergrößerung und/oder Verkleinerung von auf der Anzeigeeinrichtung (60, 100) angezeigten Anzeigeabschnitten (61, 62, 63) an der Eingabeeinrichtung (60, 110) eingegeben wird, und im Falle, dass das vorgegebene Maß unterschritten wird, eine bedienerseitige Überprüfung der korrekten Funktionsweise der Anzeigeeinrichtung (60, 100) anfordert.

4. Bedieneinrichtung nach einem der voranstehenden Ansprüche,
dadurch gekennzeichnet, dass
die Eingabeeinrichtung (60) geeignet ist, eine bedienerseitige Berührung und/oder eine bedienerseitige Bewegung zu erfassen, und die bedienerseitige Eingabe von Steuerungsbefehlen (STB) durch bedienerseitige Berührung und/oder Bewegung erfolgen kann.

5. Bedieneinrichtung nach einem der voranstehenden Ansprüche,
dadurch gekennzeichnet, dass
die Bedieneinrichtung (30) einen berührungs- und/oder bewegungsempfindlichen Bildschirm (60) umfasst, der sowohl die Eingabeeinrichtung zur bedienerseitigen Eingabe der Steuerbefehle als auch die Anzeigeeinrichtung bildet.

6. Bedieneinrichtung nach Anspruch 5,
dadurch gekennzeichnet, dass

- die Rechnereinrichtung (50) eine erste und eine zweite Rechnereinheit (51, 52) umfasst, die beide mit dem berührungs- oder bewegungsempfindlichen Bildschirm (60) in Verbindung stehen,

- wobei die erste Rechnereinheit (51) den Bildschirm (60) mit den Anzeigesteuersignalen (AST) ansteuert und

- wobei die zweite Rechnereinheit (52) die Anzeigesteuersignale (AST) der ersten Rechnereinheit (51) überprüft und im Falle einer Abweichung der von der ersten Rechnereinheit (51) erzeugten Anzeigesteuersignale (AST) von selbst ermittelten Anzeigesteuersignalen ein Fehlersignal (F) erzeugt.

7. Eisenbahntechnische Anlage, insbesondere Stellwerk (10) oder Eisenbahnleiteinrichtung (300), mit einer Bedieneinrichtung (30) nach einem der voranstehenden Ansprüche.

Claims

1. Operating facility (30) for controlling a safety-related system (10, 300), wherein the operating equipment (30) has:

- a computer facility (50),

- a display facility (60, 100) connected to the computer facility (50), which can display an operating status of the safety-related system (10, 300) and is actuated by display control signals (AST) of the computer facility (50), and

- an input facility (60, 110) connected to the computer facility (50) for operator-side input of control commands (STB), wherein the computer facility (50) is configured such that it monitors the dynamics of the operator-side input behaviour,

characterised in that
the computer facility, in the event that a predefined degree of dynamics is undershot, requests an operator-side examination of the correct functionality of the display facility (60, 100), wherein the computer facility is configured such that, as part of the examination of the dynamics of the operator-side input behaviour, it checks whether a predefined amount of control commands (STB) for displacing display sections (61, 62, 63) have been input at the input facility (60, 110) on the operator side and, in the event that the predefined amount is undershot, requests an operator-side examination of the correct functionality of the display facility (60, 100).

2. Operating facility according to claim 1,
characterised in that
the computer facility (50) is configured such that it

- checks, as part of the examination of the dynamics of the operator-side input behaviour, whether the operator-side input of the control commands (STB) changes the display control signals (AST) frequently enough such that with the correct method of operating the display facility (60, 100) a predefined degree of display changes on the display facility (60, 100) over time would be reached or exceeded,

- and, in the event that the predefined degree of display changes over time is undershot, requests an operator-side examination of the correct functionality of the display facility (60, 100).

3. Operating facility according to one of the preceding claims,
characterised in that
the computer facility (50) is configured such that it checks, as part of the examination of the dynamics of the operator-side input behaviour, whether a predefined amount of control commands (STB) for increasing and/or reducing the size of display sections (61, 62, 63) displayed on the display facility (60, 100) have been input at the input facility (60, 110) on the operator side and, in the event that the predefined amount is undershot, requests an operator-side examination of the correct functionality of the display facility (60, 100).

4. Operating facility according to one of the preceding claims,
characterised in that
the input facility (60) is suitable for detecting an operator-side touching and/or an operator-side movement, and the operator-side input of control commands (STB) can be effected by operator-side touching and/or movement.

5. Operating facility according to one of the preceding claims,
characterised in that
the operating facility (30) comprises a touch and/or movement-sensitive screen (60), which forms both the input facility for operator-side input of the control commands and also the display facility.

6. Operating facility according to claim 5,
characterised in that

- the computer facility (50) comprises a first and a second computer unit (51, 52), which are both connected to the touch and/or movement-sensitive screen (60),

- wherein the first computer unit (51) actuates the screen (60) with the display control signal (AST) and

- wherein the second computer unit (52) examines the display control signal (AST) of the first computer unit (51) and, in the case of a deviation between the display control signals (AST) generated by the first computer unit (51) and display control signals generated by itself, generates a fault signal (F).

7. Railway engineering system, in particular signal box (10) or railway control facility (300), with an operating facility (30) according to one of the preceding claims.

Revendications

1. Dispositif (30) de commande d'une installation (10, 300) de la technologie en sécurité, le dispositif (30) de commande ayant :

- un dispositif (50) d'ordinateur,

- un dispositif (60, 100) d'affichage, qui est en liaison avec le dispositif (50) d'ordinateur, qui peut indiquer un état de fonctionnement de l'installation (10, 300) de la technologie de sécurité et qui est commandé par des signaux (AST) de commande d'affichage du dispositif (50) d'ordinateur et

- un dispositif (60, 110) d'entrée, qui est en liaison avec le dispositif (50) d'ordinateur, pour l'entrée par un opérateur d'instructions (STB) de commande, le dispositif (50) d'ordinateur étant conformé de manière à contrôler la dynamique du comportement d'entrée par l'opérateur,

caractérisé en ce que
le dispositif d'ordinateur demande, si l'on passe en dessous d'une valeur donnée à l'avance de la dynamique, un contrôle par l'opérateur du mode de fonctionnement correct du dispositif (60, 100) d'affichage, le dispositif d'ordinateur étant conformé de manière à contrôler, dans le cadre du contrôle de la dynamique du comportement d'entrée par l'opérateur, s'il est entré sur le dispositif (60, 110) d'entrée par l'opérateur une mesure donnée à l'avance d'instructions (STB) de commande, pour le décalage de parties (61, 62, 63) d'affichage affichées sur le dispositif (60, 100) d'affichage, et si l'on est en dessous de la mesure donnée à l'avance, demande un contrôle par l'opérateur que le dispositif (60, 100) d'affichage fonctionne correctement.

2. Dispositif de commande suivant la revendication 1, caractérisé en ce que
le dispositif (50) d'ordinateur est conformé de manière à

- contrôler, dans le cadre du contrôle de la dynamique du comportement d'entrée par l'opérateur, si, par l'entrée par l'opérateur des instructions (STB) de commande, les signaux (AST) de commande d'affichage sont modifiés si souvent que, pour un mode de travail correct du dispositif (60, 100) d'affichage, une mesure donnée à l'avance de modification d'affichage dans le temps aurait été atteinte ou dépassée sur le dispositif (60, 100) d'affichage,

- et, dans le cas où l'on passe en dessous d'une mesure donnée à l'avance de modification d'affichage en fonction du temps, demande un contrôle par l'opérateur que le dispositif (60, 100) d'affichage fonctionne correctement.

3. Dispositif de commande suivant l'une des revendications précédentes,
caractérisé en ce que
le dispositif (50) d'ordinateur est conformé de manière à contrôler, dans le cadre du contrôle de la dynamique du comportement d'entrée par l'opérateur, s'il est entré, sur le dispositif (60, 100) d'entrée par l'opérateur, une mesure donnée à l'avance d'instructions (STB) de commande pour agrandir et/ou rapetisser des parties (61, 62, 63) d'affichage affichées sur le dispositif (60, 100) d'affichage et, si on est passé en dessous de la mesure donnée à l'avance, demande un contrôle par l'opérateur que le dispositif (60, 100) d'affichage fonctionne correctement.

4. Dispositif de commande suivant l'une des revendications précédentes,
caractérisé en ce que
le dispositif (60) d'entrée est propre à détecter un contact par l'opérateur et/ou un mouvement par l'opérateur et l'entrée par l'opérateur d'instructions (STB) de commande peut s'effectuer par un contact et/ou un mouvement par l'opérateur.

5. Dispositif de commande suivant l'une des revendications précédentes,
caractérisé en ce que
le dispositif (30) de commande comprend un écran (60) tactile ou sensible aux mouvements, qui forme à la fois le dispositif d'entrée pour l'entrée par un opérateur des instructions de commande et le dispositif d'affichage.

6. Dispositif de commande suivant la revendication 5,
caractérisé en ce que

- le dispositif (50) d'ordinateur comprend une première et une deuxième unité (51, 52) d'ordinateur, qui sont toutes deux en liaison avec l'écran (60) tactile ou sensible aux déplacements,

- dans lequel la première unité (51) d'ordinateur commande l'écran (60) par les signaux (AST) de commande d'affichage et

- dans lequel la deuxième unité (52) d'ordinateur contrôle les signaux (AST) de commande d'affichage de la première unité (51) d'ordinateur et, s'il se produit un écart des signaux (AST) de commande d'affichage produit par la première unité (51) d'ordinateur à des signaux de commande d'affichage déterminés par elle-même, produit un signal (F) d'erreur.

7. Installation de la technique ferroviaire, notamment poste (10) d'aiguillage ou dispositif (300) de gestion de voie ferrée, ayant un dispositif (30) de commande suivant l'une des revendications précédentes.

Zeichnung