Einrichtung zur Steuerung eines nach dem Bereichsrechnerprinzip organisierten elektronischen Stellwerks

Abstract

 Die Betriebszustandsmeldungen (M1, M2) der zu steuernden Prozeßelemente (W, A) werden den Meldeteilen (M1.1, M2.1) zweier Stellrechner (STR1, STR2) zugeführt, die diese Zustandsmeldungen durch Meldefreigaben (F1, F2) ergänzen und an einen Bereichsrechner (BR) weitergeben. Dieser wählt aus den zweikanalig übermittelten Meldungen die als ordnungsgerecht gekennzeichneten zur Bewertung aus. In Kommandorichtung wirkt der Bereichsrechner in Abhängigkeit davon, ob für ein zu steuerndes Prozeßelement keine Redundanz oder aber eine nicht unterbrechungsfreie oder eine unterbrechungsfreie Redundanz gefordert und zulässig ist, entweder über nur einen Stellrechner oder über den einen oder den anderen Stellrechner eines Stellrechnerpaares oder über beide Stellrechner gleichzeitig auf dieses Prozeßelement ein. Die Ausgabe von Kommandos (K1, K2) an das Prozeßelement über den einen und/oder anderen Stellrechner ist nur so lange möglich, als entsprechende Überwachungsmeldungen (Ü1, Ü2) über die ordnungsgerechte Ausgabe von Kommandos durch die rechnerexternen Stellteile (K1.2, K2.2) der einzelnen Stellrechner vorliegen.

Beschreibung

[0001] Die Erfindung bezieht sich auf eine Einrichtung nach dem Oberbegriff des Patentanspruches 1. Eine derartige Einrichtung ist aus Signal und Draht 81 (1989) 5, Seiten 95 bis 102 bekannt.

[0002] Dort wird über die Steuerung und Überwachung der Fahrwegelemente eines elektronischen Stellwerkes mit Hilfe von Stellrechnern (Fahrwegelementrechner) berichtet, über die sowohl die Kommandoausgabe als auch der Meldungsempfang abgewickelt werden. Für alle Einrichtungen, die der Steuerung und Überwachung von mehr als einem Fahrwegelement dienen, ist Redundanz vorgesehen, d. h. diese Einrichtungen sind verdoppelt. Dies gilt insbesondere für die Stellrechner und für die Anpassungen zur Außenanlage. Wegen der Bereitstellung von jeweils zwei Stellrechnern wird eine sehr viel größere Anzahl von Stellrechnern benötigt als bei einem Stellwerk ohne Stellrechnerredundanz. Dies bedingt einen sehr hohen gerätetechnischen Aufwand, allerdings mit dem Vorteil einer hohen Verfügbarkeit der Anlage. Werden von bestimmten Fahrwegelementrechnern nur Fahrwegelemente in Nebengleisen gesteuert, so kann auf eine redundante Rechnerausführung verzichtet werden (Signal und Draht 78 (1986) 9, Seiten 175 bis 184, insbesondere Seite 183). Hier ist zwar der Geräteaufwand minimiert; dafür ist jedoch auch keinerlei Redundanz vorhanden.

[0003] Bezüglich der Bereitstellung von Redundanz ist bei der bekannten Einrichtung von Nachteil, daß die Fahrwegelemente abhängig davon, ob der eine oder der andere zugehörige Stellrechner betriebsführend ist, eingangsseitig mit dem Ausgang des einen oder dem des anderen Stellrechners zu verbinden sind; dies muß rückwirkungsfrei geschehen und erfolgt über Ausschlußschaltmittel. Außerdem ist von Nachteil, daß der bisher inaktive Stellrechner erst nach dem Umschalten Kenntnis erhält von den IST-Zuständen der jeweils angeschlossenen Fahrwegelemente. Dies verzögert die Prozeßsteuerung unnötig. Ein weiterer Nachteil der bekannten Einrichtung ist darin zu sehen, daß mindestens die Rückmeldung der Betriebszustände an die Stellrechner nur einkanalig erfolgt. Zwar lassen sich bei geeigneten Sicherungsverfahren Datenverfälschungen auf dem Übertragungsweg von den Fahrwegelementen zu einem betriebsführenden Stellrechner erkennen und unwirksam machen; dies verlangt aber bei jeder Übertragungsstörung eine erneute Übertragung der Meldung, um die Prozeßsteuerung fortzusetzen. Auch dies führt insgesamt zu einer Verlangsamung des Prozesses.

[0004] Aufgabe der Erfindung ist es, eine Einrichtung nach dem Oberbegriff des Patentanspruches 1 anzugeben, die hinsichtlich ihrer Redundanzgestaltung flexibel ist. Etwaige Störungen bei der Übertragung von Kommandos und Meldungen sollen bei ihrem Auftreten möglichst rasch erkennbar sein und den jeweils steuernden Bereichsrechner in die Lage versetzen, sofort in angemessener Weise auf die eingetretene Störung zu reagieren.

[0005] Die Erfindung löst diese Aufgabe durch die kennzeichnenden Merkmale des Patentanspruches 1. Das laufende Einlesen von Meldungen in die Stellrechner in Verbindung mit der Übertragung von Meldefreigaben gestattet es, gestörte Meldungen sofort zu erkennen; das Einlesen der Meldungen in jeweils zwei Stellrechner gestattet es, bei einer Störung in einem Übertragungskanal die über den jeweils anderen Kanal übermittelten Meldungen auszuwerten, ohne daß es hierzu eines nennenswerten zusätzlichen Aufwandes für die Meldungsumschaltung bedarf. Der Kommandoweg hin zu den Ausgabeschaltmitteln für die Fahrwegelemente wird durch Überwachungsmeldungen für die ordnungsgerechte Ausgabe der Kommandos überwacht. Nur dort, wo tatsächlich eine redundante Steuerung eines Prozeßelementes erforderlich ist, sind redundante Stellrechnerteile für die Kommandoausgabe an die Fahrwegelemente vorgesehen.

[0006] Vorteilhafte Ausgestaltungen der erfindungsgemäßen Einrichtung sind in den Unteransprüchen angegeben.

[0007] Anspruch 2 bezeichnet die Darstellung der Meldungen und der zugehörigen Meldefreigaben und ihre Übermittlung an die Stellrechner sowie die Zuordnung der Meldungen zu den Freigaben.

[0008] Nach der Lehre des Anspruches 3 wählt sich der Bereichsrechner aus den von jeweils zwei Stellrechnern übermittelten Meldebytes individuell jeweils diejenigen Meldebits aus, die ungestört empfangen wurden. Die Meldeauswertung insgesamt ist erst gestört, wenn in beiden Meldebytes die einander entsprechenden Meldebits gestört sind. Anspruch 4 gibt an, auf welche Weise der Bereichsrechner aus den ihm übermittelten Meldungen und Freigaben die originären Meldungen ableitet.

[0009] Anspruch 5 beinhaltet die Ausgestaltung der erfindungsgemäßen Einrichtung bei nichtredundanter Steuerung eines Prozeßelementes und Anspruch 6 ihrer Ausgestaltung bei redundanter Steuerung.

[0010] Anspruch 7 bezeichnet die Mittel zum bedarfsweisen Sperren eines Stellrechners, über den der ordnungsgerechte Zugriff auf ein zu steuerndes Prozeßelement nicht mehr gegeben ist.

[0011] Ausführungsbeispiele der Erfindung sind nachstehend unter Bezugnahme auf die Zeichnung näher erläutert.

[0012] Die Zeichnung zeigt:

in Figur 1 eine in Melderichtung redundante und in Kommandorichtung nicht redundante Ausgestaltung der erfindungsgemäßen Einrichtung,

in Figur 2 eine in Melderichtung und in Kommandorichtung redundante Ausgestaltung der erfindungsgemäßen Einrichtung und

in Figur 3 ein Schema zum Ermitteln des originären Meldebytes bei mit Störungen behafteten Meldebytes.

[0013] Figur 1 zeigt schematisch einen Bereichsrechner BR zusammen mit zwei Stellrechnern STR1 und STR2 zur Steuerung eines Lichtsignales S sowie weiterer in der Zeichnung nicht dargestellter Prozeßelemente eines Stellwerkes. Der Bereichsrechner und die beiden Stellrechner stellen nur einen kleinen Ausschnitt der Steuerelemente eines Stellwerkes dar. Das Lichtsignal wird in Kommandorichtung in nicht redundanter Weise ausschließlich über den Stellrechner STR2 gesteuert. Einer Redundanz bedarf es deshalb nicht, weil im Falle der Nichtsteuerbarkeit des Signales über den Stellrechner dieses auf Halt geht (sicherer Zustand) und weil dieses Signal durch Anschalten von Kennlicht oder auf schriftlichen Befehl passiert werden kann. Die eingetretene Störung macht den angrenzenden Streckenabschnitt nicht grundsätzlich unpassierbar; Redundanz ist also nicht zwingend erforderlich. Die Steuerung des Lichtsignals geschieht über zugeordnete Stellteile K2.1 und K2.2; K2.1 beinhaltet im wesentlichen die Ausgabetore des Stellrechners STR2 zum Lichtsignal, K2.2 im wesentlichen die Anpassungen zum Umsetzen vom zugehörigen Stellrechner stammender Steueranweisungen in Anschaltaufträge für die Leistungsschaltmittel des Lichtsignals. Überwachungsmeldungen Ü2 zur Kennzeichnung des jeweiligen Schaltzustandes der Leistungsschaltmittel im externen Stellteil werden über den Stellrechner STR2 an den Bereichsrechner übertragen, der daraufhin in der Lage ist, das ordnungsgerechte Arbeiten der Stellteile zu überwachen. Nur solange die Überwachungsmeldungen anzeigen, daß die über den Stellrechner STR2 ausgegebenen Kommandos vom Stellteil K2.2 ordnungsgerecht ausgeführt wurden, veranlaßt der Bereichsrechner über den Stellrechner STR2 die weitere Ausgabe von Kommandos an dieses Stellteil; andernfalls ist die ordnungsgerechte Kommandoausgabe nicht mehr gewährleistet, die Kommandoausgabe unterbleibt und das Signal geht selbsttätig auf Halt und damit in den sicheren Zustand. Bei Aufnahme der Steuerung eines Prozeßelementes über den einen oder anderen Stellrechner sorgt eine Anlaufprozedur dafür, daß auf das Vorhandensein von Überwachungsmeldungen vorübergehend verzichtet werden kann.

[0014] Der jeweilige Betriebszustand des Lichtsignales wird in Form von Betriebszustandsmeldungen sowohl dem Meldeteil M2.1 des steuernden Stellrechners STR2 als auch dem Meldeteil M1.1 eines zur Steuerung anderer Prozeßelemente vorgesehenen Stellrechners STR1 zugeführt. Beide Stellrechner prüfen die übermittelten Meldungen unabhängig voneinander auf ordnungsgerechten Empfang und übermitteln sie getrennt voneinander an den steuernden Bereichsrechner BR. Dabei versehen sie die Meldungen M1 bzw. M2 mit Meldefreigaben F1 bzw. F2, welche dem Bereichsrechner anzeigen, ob die zugehörigen Meldungen ordnungsgerecht empfangen wurden oder nicht. Der Bereichsrechner entscheidet aufgrund der ihm übermittelten Meldefreigaben, welche der ihm zweikanalig übermittelten Meldungen als ordnungsgerecht anzuerkennen sind und welche nicht. Bei auf beiden Meldekanälen anliegenden, mit je einer den ordnungsgerechten Meldungsempfang kennzeichnenden Meldefreigabe versehenen Meldungen werden diese in den einen bzw. anderen Verarbeitungskanal des Bereichsrechners eingelesen; bei einer nur auf einem Meldekanal anliegenden, mit einer positiven Meldefreigabe versehenen Meldung wird diese in beide Verarbeitungskanäle des Bereichsrechners eingelesen.

[0015] Jede Meldung besteht vorzugsweise aus einem Bit der einen oder einem Bit der anderen Wertigkeit und in den Stellrechnern werden aus den Meldungen, ggf. auch aus den Meldungen mehrerer gesteuerter Prozeßelemente, Meldebytes zur Übertragung an den zugehörigen Bereichsrechner gebildet. Jeder Stellrechner erzeugt bei ungestörtem Empfang eines Meldebits ein Freigabebit der Wertigkeit L und bei gestörtem Empfang eines Meldebits ein Freigabebit der Wertigkeit 0. Diese Bits werden jeweils zusammen mit dem zugehörigen Meldebyte als Meldefreigabebyte an den Bereichsrechner übertragen. Dabei besteht eine feste Zuordnung zwischen den Bitpositionen der Meldebytes und denen der Meldefreigabebytes. Der Bereichsrechner wählt aus den ihm von beiden Stellrechnern byteweise übermittelten Meldungen individuell jeweils diejenigen Bits aus, denen Meldefreigaben der Wertigkeit L zugeordnet sind und verwirft alle nicht mit Meldefreigaben dieser Wertigkeit versehenen Meldungen.

[0016] Figur 2 beinhaltet die Anwendung der Erfindung bei der Steuerung eines Fahrwegelementes, für das sowohl in Melde- als auch in Kommandorichtung Redundanz verlangt wird. Dabei soll es sich um eine Weiche W handeln, die von einem Antrieb A bedarfsweise umsteuerbar ist. Diese Weiche muß steueroar bleiben, auch dann, wenn sie von einem normalerweise für sie zuständigen Stellrechner nicht mehr steuerbar ist. Für den dann ausgefallenen Stellrechner springt ein anderer, hierfür vorgesehener Stellrechner ein, der auch vorher schon ständig mit den von der Weiche stammenden Zustandsmeldungen versorgt wurde.

[0017] Es ist angenommen, daß die Weiche W üblicherweise über den Stellrechner STR1 gesteuert wird. Hierzu versorgt der Bereichsrechner BR den Stellrechner STR1 mit entsprechenden Kommandos K1. Diese Kommandos werden über ein rechnerinternes Stellteil K1.1 an ein rechnerexternes Stellteil K1.2 übermittelt, in dem die Kommandos in Schaltaufträge für Leistungsschaltmittel zum Steuern des Weichenantriebs A umgesetzt werden. Die Stromversorgung des Antriebs erfolgt in bekannter Weise beispielsweise über vieradrige Leitungen aus dem rechnerexternen Stellteil K1.2. Dieses Stellteil übermittelt Überwachungsmeldungen Ü1 über die Schaltstellung seiner Leistungsschaltmittel an den Stellrechner STR1, der diese Überwachungsmeldungen entweder an den Bereichsrechner BR weitergibt, oder zuvor mit den anliegenden Kommandoaufträgen vergleicht und die Vergleichsergebnisse an den Bereichsrechner weitermeldet. Aus den Überwachungsmeldungen erkennt der Bereichsrechner, ob die von ihm veranlaßten Kommandos zur Ausführung gelangen oder nicht. Er unternimmt nur solange den Versuch, über den Stellrechner STR1 auf den Antrieb A zuzugreifen, solange ihm vom Stellrechner die entsprechenden Überwachungsmeldungen über die ordnungsgerechte Ausgabe von Kommandos übermittelt werden. Bleiben diese Überwachungsmeldungen aus, bzw. zeigen sie, daß eine ordnungsgerechte Kommandoausgabe nicht mehr möglich ist, so sperrt der Stellrechner STR1 die ihm zugeordneten Kommandoteile gegen weitere Beaufschlagung und unterrichtet den Bereichsrechner hiervon. Dieser veranlaßt in der Folge die Steuerung des Antriebs über den Stellrechner STR2. Hierzu versorgt er den Stellrechner mit entsprechenden Kommandos K2, die über rechnerinterne und rechnerexterne Stellteile K2.1 und K2.2 an den Antrieb ausgegeben werden. Auch hier ist eine ständige Überwachung des Kommandoweges bis hin zum rechnerexternen Stellteil K2.2 vorgesehen, wobei entsprechende Überwachungsmeldungen Ü2 an den Stellrechner STR2 und von dort direkt oder in aufgearbeiteter Form an den Bereichsrechner gelangen.

[0018] Die Betriebszustandsmeldungen der Weiche werden den Meldeteilen M1.1 und M2.1 der beiden Stellrechner STR1 und STR2 zugeführt. Dort werden sie mit Meldefreigaben F1 bzw. F2 versehen und an den Bereichsrechner BR übermittelt. Der Bereichsrechner wählt sich aus den ihm von den beiden Stellrechnern übermittelten Meldungen jeweils diejenigen aus, die mit Meldefreigaben für den ordnungsgerechten Empfang der Meldungen versehen sind.

[0019] Bei dem Ausführungsbeispiel der Figur 2 erfolgt der Zugriff auf das zu steuernde Prozeßelement, die Weiche W, entweder über den Stellrechner STR1 oder den Stellrechner STR2. Es gibt jedoch auch Prozeßelemente, auf die unterbrechungsfrei gleichzeitig von zwei Stellrechnern aus zuzugreifen ist. Dies geschieht beispielsweise bei Bahnübergangssicherungsanlagen, die so konzipiert sind, daß der Ausfall der Steuerung automatisch zum Absenken der Schrankenbäume führt. Hier kann die Ansteuerung der Schranken gleichzeitig von beiden Rechnern aus über zwei parallele Anschaltkreise erfolgen, von denen bei Ausfall des einen der andere wirksam bleibt. Auch die Anschaltung einer Weichenheizung kann gleichzeitig über zwei Stellrechner veranlaßt werden. Anders liegen die Dinge bei der Steuerung eines Weichenantriebs; hier darf nicht gleichzeitig von zwei Stellrechnern auf den Antrieb eingewirkt werden, weil sonst die Gefahr besteht, daß beide Stellrechner z.B. wegen unterschiedlicher Schaltzeiten ihrer rechnerexternen Stellteile den Antrieb vorübergehend gleichzeitig in beiden Laufrichtungen beanspruchen könnten. Hierdurch könnte es zu einem bleibenden Schaden im Stellstromkreis des Antriebes und damit zu einem Totalausfall des Antriebes kommen; dies sollte jedoch gerade durch das Vorhalten redundanter Steuerungsteile vermieden werden.

[0020] Figur 3 zeigt ein Schema, nach dem sich der Bereichsrechner aus den ihm von den einzelnen Stellrechnerpaaren übermittelten Meldungen und Meldefreigaben die jeweils originären Meldungen aussucht, ohne daß die Wertigkeit einzelner Meldebits korrigiert werden muß. Es ist angenommen, daß die beiden Stellrechner dem Bereichsrechner zwei Meldebytes M1 und M2 und zwei Meldefreigabebytes F1 und F2 übermittelt haben. Es ist ferner angenommen, daß durch das Meldefreigabebyte F1 das vierte Meldebit des Meldebytes M1 und durch das Meldefreigabebyte F2 das dritte Meldebit des Meldebytes M2 als nicht ordnungsgerecht empfangen dokumentiert sind. Der Bereichsrechner verknüpft zunächst die ihm übermittelten Melde- und Meldefreigabebytes nach einer UND-Bedingung. Aus dem jeweiligen Ergebnis der UND-Verknüpfung ist das originäre Meldebyte noch nicht erkennbar. Der Bereichsrechner invertiert deshalb das Meldefreigabebyte des einen Rechners, z.B. das Meldebyte M1, und kennt damit die Bitposition, an der auf das Meldebyte des anderen Rechner zugegriffen werden muß. Dies ist im Beispiel an der vierten Stelle des Meldebytes M1 der Fall. Durch UND-Verknüpfung des invertierten Meldefreigabebytes F1 des einen Rechners mit der UND-Verknüpfung aus Meldefreigabebyte F2 und Meldebyte M2 des anderen Rechner läßt sich für das verfälschte Bit des ersten Meldebytes M1 die tatsächliche Wertigkeit dieses Bits, im Beispiel "0", feststellen; alle anderen Bits der UND-Verknüpfung müssen wegen der Invertierung der den ordnungsgerechten Empfang von Meldungen anzeigenden Bits des Meldefreigabebytes F1 zwangsläufig auf Null liegen. Wenn man nun das durch die zweimalige UND-Verknüpfung gefundene Byte mit dem durch die UND-Verknüpfung des Meldebytes M1 mit dem Meldefreigabebytes F1 gefundenen Byte nach einer ODER-Bedingung verknüpft, so kann dieses Byte durch die ODER-Verknüpfung nur an den Stellen modifiziert werden, an denen das Meldebyte M1 durch das zugehörige Meldefreigabebyte F1 als nicht ordnungsgerecht gekennzeichnet wurde. Im vorliegenden Fall tritt jedoch eine derartige Modifizierung nicht ein, weil das zu korrigierende Meldebit zufälligerweise die Wertigkeit "0" aufweist. Durch ODER-Verknüpfen der UND-Verknüpfung aus Meldebyte M1 und Meldefreigabebyte F1 mit dem durch zweimalige UND-Verknüpfung des Meldebytes M2 und des Meldefreigabebytes F2 des anderen Rechners und des invertierten Meldefreigabebytes F1 des eigenen Rechners gefundenen Wert läßt sich so das originäre Meldebyte im Bereichsrechner nachbilden.

Ansprüche

1. Einrichtung zur Steuerung der Prozeßelemente eines nach dem Bereichsrechnerprinzip organisierten elektronischen Stellwerks mit mehreren von den Bereichsrechnern mit Kommandos und von den Prozeßelementen mit Meldungen versorgten Stellrechnern, die über Ausgabeschaltmittel auf zugeordnete Prozeßelemente wirken,
dadurch gekennzeichnet,
daß die Prozeßelemente (S, W) die von ihnen stammenden Meldungen (M1, M2) jeweils zwei Stellrechnern (STR1, STR2) zuführen und daß diese Stellrechner den Meldungen bei ordnungsgerechtem Empfang der Meldungen Freigabekennzeichen (F1, F2) zuordnen und diese zusammen mit den Meldungen an einen zugehörigen Bereichsrechner (BR) übermitteln, daß der Bereichsrechner nur mit Freigabekennzeichen versehene Meldungen anerkennt und daß der Bereichsrechner die von ihm erarbeiteten Kommandos (K1, K2) individuell über solche Stellrechner an die zugehörigen Prozeßelemente absetzt, von denen er bei der vorherigen Übermittlung von Kommandos entsprechende Überwachungsmeldungen (Ü1, Ü2) für die ordnungsgerechte Ausgabe dieser Kommandos durch die Ausgabeschaltmittel des betreffenden Stellrechners empfangen hat.

2. Einrichtung nach Anspruch 1, dadurch gekennzeichnet,
daß jede Meldung (M1, M2) aus einem Bit der einen oder einem Bit der anderen Wertigkeit besteht,
daß die Bits mehrerer Meldungen ein Meldebyte bilden,
daß die Stellrechner (STR1.1, STR1.2) abhängig vom ordnungsgerechten Empfang der Meldungen für jede Meldung (M1, M2) als Freigabekennzeichen (F1.1, F1.2) ein Bit der Wertigkeit L oder ein Bit der Wertigkeit 0 erzeugen und diese Bits jeweils im Anschluß an das zugehörige Meldebyte als Freigabekennzeichenbyte an den zugehörigen Bereichsrechner (BR) übertragen, wobei eine feste Zuordnung zwischen den Bitpositionen der Meldebytes und denen der Freigabekennzeichenbytes besteht.

3. Einrichtung nach Anspruch 2, dadurch gekennzeichnet, daß der Bereichsrechner (BR) aus den ihm von den beiden Stellrechnern byteweise übermittelten Meldungen (M1, M2) individuell jeweils diejenigen auswählt, denen Freigabekennzeichen durch einen Stellrechner zugeordnet sind.

4. Einrichtung nach Anspruch 3, dadurch gekennzeichnet,
daß der Bereichsrechner (BR) die ihm von jeweils zwei Stellrechnern (STR1, STR2) übermittelten Meldungen (M1, M2) mit den jeweils zugehörigen Freigabekennzeichen (F1, F2) nach einer UND-Bedingung verknüpft,
daß der Bereichsrechner die ihm von jeweils einem der Stellrechner (z.B. STR1) übermittelten Freigabekennzeichen (F1) invertiert und mit dem durch die UND-Verknüpfung von Meldungen (M2) und Freigabekennzeichen (F2) des jeweils anderen Stellrechners (STR2) gebildeten Byte nach einer UND-Bedingung verknüpft und daß der Bereichsrechner dieses Byte mit dem durch die UND-Verknüpfung von Meldungen (M1) und Freigabekennzeichen (F1) des einen Stellrechners (STR1) gebildeten Byte nach einer ODER-Bedingung verknüpft und das Ergebnis als Meldebyte anerkennt.

5. Einrichtung nach Anspruch 1, dadurch gekennzeichnet, daß die Steuerung eines Prozeßelementes (S) durch einen Bereichsrechner in nichtredundanter Weise über nur einen einzigen Stellrechner (STR2) erfolgt und daß dieses Prozeßelement hierzu über entsprechende Ausgabeschaltmittel (K2.2) an nur diesen Stellrechner angeschlossen ist.

6. Einrichtung nach Anspruch 1, dadurch gekennzeichnet, daß die Steuerung eines Prozeßelementes (W) durch einen Bereichsrechner in redundanter Weise über zwei Stellrechner (STR1,STR2) erfolgt,
daß dieses Prozeßelement hierzu über zwei entsprechende Ausgabeschaltmittel (K1.1, K2.1) an den einen und den anderen Stellrech
ner angeschlossen ist
und daß die Steuerung des Prozeßelementes in Abhängigkeit davon, ob für das Prozeßelement eine nicht unterbrechungsfreie oder eine unterbrechungsfreie Redundanz gefordert und zulässig ist, über den einen oder den anderen Stellrechner oder über beide Stellrechner gemeinsam erfolgt.

7. Einrichtung nach Anspruch 5 oder 6, dadurch gekennzeichnet, daß ein Stellrechner (z.B. STR1.1) beim Erkennen der Nichtsteuerbarkeit eines Prozeßelementes (W) rechnerintern die diesem Prozeßelement zugeordneten Kommandoteile sperrt und dem zugehörigen Bereichsrechner (BR) hiervon Mitteilung macht.

Zeichnung