DEVICE FOR RELIABLE PROCESS CONTROL

Abstract: 1. A device for the reliable process control employing two microcomputers which are independent of one another and do not operate so as to be safety-oriented and which commonly act upon the process which is to be controlled, and allow both control operations, whose reliability is tested in a separate safety plane outside the microcomputer, and also auxiliary operations, whose reliability is no longer tested, to be carried out, in particular for the control of a railroad signalling device of at least one operating location, characterized in that the one microcomputer (MC1) converts the process control instructions which are present in order to be carried out, into corresponding command data, and stores them in an output device (AE) and re-reads the stored data, where the reread data are simultaneously fed to the other microcomputer (MC2) by means of a safety-oriented input double (EV), that both microcomputers classify the data, which are fed thereto, independently of another in accordance with the respectively present process control instruction and feeds the classification results to a relay connection (RV) which when the classification results of the two microcomputers are identical causes the release of the data stored in the output device (AE), if the respectively classified process control instruction relates to a control operation, but during common recognition of an auxiliary operation makes the release of the data stored in the output device dependent upon a separate agreement of an operator, which is fed via the relay connection (RV).

Description: Einrichtung zur sicheren Prozess steuerung Die Erfindung bezieht sich auf eine Einrichtung nach dem Oberbegriff des Patentanspruches 1. Bei der nicht vollautomatisierten Prozesssteuerung haben sich vielerorts Bildschirmarbeitsplätze bewährt, von denen aus über eine beispielsweise alphanumerische Tastatur sowie eine optische Kontrollvorrichtung auf eine Datenverarbeitungsanlage und von dort auf den zu steuernden und/oder zu überwachenden Prozess eingewirkt wird. Ein solcher Anwendungsfall ist beispielsweise in der Eisenbahnsignaltechnik bei der Steuerung eines Stellwerkes über ein oder mehrere sogenannte Nummernstellpulte gegeben. Bei dieser Art der Prozesssteuerung sind von ihrer Bedeutung und Auswirkung auf den Prozess grundsätzlich zwei Arten von Bedienungen zu unterscheiden und verschieden zu behandeln, nämlich sogenannte Regelbedienungen und sogenannte Hilfsbedienungen.Eine Regelbedienung kann nach ihrer Eingabe ohne weiteres Zutun des Bedieners an den Prozess ausgegeben werden, weil ihre Zulässigkeit in einer gesonderten Sicherheitsebene ausserhalb der Datenverarbeitungsanlage nach sicherungstechnischen Gesichtspunkten geprüft wird; ein eventueller Fehler kann nicht zu einem gefährlichen Zustand führen. Bei einer Hilfsbedienung wird die Zulässigkeit dieser Bedienung nicht mehr in einer gesonderten Sicherheitsebene geprüft, das heisst, die durch eine derartige Hilfsbedienung definierten Kommandodaten würden bei Ausgabe an den Prozess gegebenenfalls zu einer Gefährdung führen können. Die Verarbeitung solcher Hilfsbedienungen ist daher vom Menschen in geeigneter Weise zu überwachen und zu steuern. Dies geschieht regelmässig dadurch, dass die Datenverarbeitungsanlage vor der Ausgabe der Daten an den Prozess dem Bediener Kontrolldaten zuführt, die den Bediener von der zur Ausführung anstehenden Hilfshandlung unterrichten und ihm die Möglichkeit geben, diese Daten entweder zurückzunehmen oder an den Prozess freizugeben. Dabei hat die vom Bediener mit Prozesssteueraufträgen be auf schlagte Datenverarbeitungsanlage selbst die Entscheidung darüber zu treffen, ob es sich bei einer Bedienung um eine Regel- oder eine Hilfsbedienung handelt, das heisst, ob die aus einer Bedienungshandlung abgeleiteten Kommandodaten direkt an den Prozess weiterzugeben oder durch den Bediener gesondert zu autorisieren sind. Da mit der Möglichkeit gerechnet werden muss, dass die Datenverarbeitungsanlage einen eingegebenen Prozesssteuerauftrag falsch klassifiziert undZobgleich es sich um eine Hilfsbedienung handelt, die entsprechenden Kommandodaten direkt an den Prozess freigibt, ist die Datenverarbeitungsanlage nach sicherungstechnischen Gesichtspunkten aufzubauen. Als Einrichtung zur Datenverarbeitung kommt entweder eine signaltechnisch sichere Datenverarbeitungseinrichtung in Frage, die z.B. durch internen Vergleich der auf den Adress-, Daten- und Steuerbussen zweier Mikrocomputer anliegenden Signale eventuelle Diskrepanzen zwischen den von beiden Mikrocomputern erarbeiteten Ergebnissen frühzeitig erkennt und daraufhin die Ausgabe von Daten an den Prozess unterbindet oder aber es werden z.B. zwei nicht sicherungstechnisch arbeitende Mikrocomputer eingesetzt, deren Arbeitsergebnisse in einer externen, sicheren Vergleichseinrichtung miteinander verknüpft werdenunddegemeinsam auf den zu steuernden Prozess einwirken. Die zwischen die Bedienungseinrichtung und den Prozess geschaltete Datenverarbeitungsanlage hat im wesentlichen die Funktion eines Umsetzers. Um eventuelle Fehler beim Umsetzen von Eingangs- in Ausgangsdaten erkennen zu können, ist es bekannt (DE-AS 22 60 738), die in einer elektronischen Decodiereinrichtung aus Eingangsdaten abgeleiteten Ausgangsdaten vor ihrer Ausgabe an den Prozess in einer gesonderten Codiereinrichtung wieder in den Eingangscode umzusetzen und mit dem ursprünglichen Eingangscode zu vergleichen. Bei Uberein- stimmung der ursprünglichen und der rückcodierten Information werden die von der elektronischen Decodiereinrichtung gebildeten Ausgangsdaten freigegeben; im anderen Fall werden sie gesperrt. Die bekannte elektronische Decodiereinrichtung bezieht die in den jeweiligen Eingangscode rückzubildenden Daten nicht aus einem Datenspeicher, aus dem die decodierten Signale später an den Prozess weitergegeben werden, sondern aus einer vorgeschalteten Decodierstufe. Damit ist nicht gewährleistet, dass die später an den Prozess freigegebenen Daten auch tatsächlich den Daten entsprechen, die von der zusätzlichen Codiereinrichtung für die Rückcodierung benutzt werden. Die bekannte elektronische Decodiereinrichtung ist nicht in der Lage, die ihr zugeführten Daten zu klassifizieren. Für den vorliegenden Fall der Prozesssteuerung durch Regel- und Hilfsbedienungen heisst dies, dass die der Decodiereinrichtung zugeführten Daten von dieser grundsätzlich dann an den Prozess ausgegeben werden, wenn sie von der Decodiereinrichtung ordnungsgerecht umgesetzt worden sind. Die bekannte elektronische Decodiereinrichtung kann daher nicht für die sichere Prozess steuerung verwendet werden, denn sie gibt keine Möglichkeit, gefährliche Kommandos (Hilfsbedienungen) von ungefährlichen Kommandos (Regelbedienungen) zu unterscheiden und beispielsweise bei einem fehlerhaften aber in sich sinnvollen Prozesssteuerauftrag die Verbindung zum Prozess aufzutrennen. Aufgabe der vorliegenden Erfindung ist es, eine Einrichtung nach dem Oberbegriff des Patentanspruches 1 so auszubilden, dass eine sichere Klassifizierung des jeweils anliegenden Prozesssteuerauftrages möglich ist, wobei die Freigabe der aus einem Prozesssteuerauftrag abgeleiteten Kommandodaten an den Prozess entweder direkt (bei einer Regelbedienung) oder aber nach Autorisierung durch den den Prozesssteuerauftrag veranlassenden Bediener (bei einer Hilfsbedienung) erfolgt. Die Erfindung löst diese Aufgabe durch die kennzeichnenden Merkmale des Patentanspruches 1. Vorteilhafte Ausund Weiterbildungen der erfindungsgemässen Einrichtung sind in den Unteransprüchen angegeben. Die Erfindung ist nachstehend näher erläutert, wobei auf die Zeichnung Bezug genommen ist. Die Zeichnung zeigt im oberen rechten Teil eine an sich bekannte Dateneingabeeinrichtung DE, über die von einem Bediener Prozesssteueraufträge an den zu steuernden und/ oder zu überwachenden Prozess vermittelt werden können. Die eingegebenen Prozesssteueraufträge werden in einer nachgeordneten Datenverarbeitungsanlage DV in Kommandodaten umgesetzt und über eine Ausgabeeinrichtung AE an den Prozess ausgegeben. Die Dateneingabeeinrichtung besteht aus einer beispielsweise alphanumerischen Eingabetastatur ET, über die ein Bediener die Prozesssteueraufträge vorgibt. Die jeweils eingegebenen Prozesssteueraufträge werden dem Bediener über ein Sichtgerät SG optisch dargestellt und können vom Bediener nach Sichtkontrolle über eine Taste T an die Datenverarbeitungsanlage DV ausgegeben werden. Die Datenverarbeitungsanlage DV besteht im wesentlichen aus zwei voneinander unabhängigen nicht sicherungstechnisch arbeitenden Mikrocomputern MC1 und MC2 sowie einer sicherungstechnisch arbeitenden Relaisverknüpfung RV. Die von der Dateneingabe DE kommenden Prozesssteueraufträge gelangen zu dem Mikrocomputer MCI, der aus ihnen entsprechende Kommandodaten bildet wie sie für die Steuerung des Prozesses benötigt werden. Der Mikrocomputer MCI gibt die von ihm erarbeiteten Kommandodaten aber ich nicht an den Prozess weiter, sondern hinterlegt sie in einer Ausgabeeinrichtung AE. Diese Ausgabeeinrichtung besteht im wesentlichen aus einem Speicher, in dem die zugeführten Kommandodaten sicherungstechnisch abgelegt sind. Nach der Hinterlegung der Kommandodaten liest der Mikrocomputer MCI die hinterlegten Daten zu Prüfzwecken zurück und vergleicht sie mit den von ihm erarbeiteten Daten. Die vom Mikrocomputer MCI aus der Ausgabeeinrichtung AE zurückgelesenen Kommandodaten gelangen über einen in den Rückmeldekanal geschalteten sicherungstechnisch aufgebauten Eingabeverdoppler EV aber nicht nur auf den durch die Prozesssteueraufträge direkt beaufschlagten MikrocomputerMC1 sondern auch auf den MikrocomputerMC2.BeideMbzxcomputersnddanit über die zur Ausführung anliegenden Kommandodaten infor miert. Beidebewerten unabhängig voneinanderdiezurAusfi2zvng anliegenden Kommandodaten hinsichtlich der Art der zur Ausführung kommenden Bedienungshandlung. Stellen beide Mikrocomputer unabhängig voneinander fest, dass es sich bei der zur Ausführung kommenden Bedienung um eine Regelbedienung handelt, die innerhalb des Prozesses gesondert auf Zulässigkeit geprüft wird, so geben beide Mikrocom puter die Ausgabe der in der Ausgabeeinrichtung AE gespeicherten Kommandodaten frei. Dies geschieht über die den beiden Mikrocomputern ausgangsseitig nachgeordnete sicherungstechnisch arbeitende Relaisverknüpfung RV. Kommen die beiden Mikrocomputer zu unterschiedlichen Klassifizierungsergebnissen, so sperrt die Relaisverknüpfung RV die Freigabe der in der AusgabeeinrichtungAE gespeicherten Kommandodaten. Die eingetretene Störung kann dem Bediener auf geeignete Weise zur Kenntnis gebracht werden, beispielsweise durch Anschalten eines optischen und/oder akustischen Melders. Das Ansprechen dieses Melders kann den Bediener zum Löschen der gespeicherten Daten und zur erneuten Vornahme der Bedienungshandlung veranlassen. Klassifizieren die beiden Mikrocomputer dann die Bedienung als Regelbedienung, werden die durch die nochmalige Eingabe in der Ausgabeeinrichtung AE gegebenenfalls aktualisierten Kommandodaten freigegeben. Handelt es sich bei einer Bedienung um eine Hilfsbedienung, die in keiner nachgeordneten Sicherheitsebene überprüft wird, sondern innerhalb des zu steuernden und/oder zu überwachenden Prozesses direkt zur Auswirkung kommt, so können die beiden Mikrocomputer MC1 und MC2 von sich aus die Freigabe der dann in der Ausgabeeinrichtung AE gespeicherten Kommandodaten nicht veranlassen. Für die Freigabe ist die gezielte Mitwirkung des jeweils veranlassenden Bedieners erforderlich. Hierzu ermittelt der Mikrocomputer MC2 aus den ihm über den Eingabeverdoppler EV zugeführten Kommandodaten den jeweils zugehörigen Prozesssteuerauftrag und führt diesen dem Bediener über eine gesonderte Kontrollanzeige KA zu. Der Bediener hat nun die Aufgabe, den ihm auf der Kontrollanzeige beispielsweise alphanumerisch dargestellten Prozesssteuer auftrag mit dem von ihm in die Dateneingabeeinrichtung DE eingegebenen Auftrag zu vergleichen und zu entscheiden, ob dieser Auftrag zur Ausführung kommen soll oder nicht. Hat er sich für die Ausführung entschieden, so hat der Bediener ein gesondertes Freigabeschaltmittel FS zu betätigen. Dieses Freigabeschaltmittel wirkt über die Relaisverknüpfung RV mit einem entsprechenden Steuerkennzeichen auf die beiden Mikrocomputer MCI und MC2 ein. Haben beide Mikrocomputer die zur Ausführung anliegende Bedienung als Hilfsbedienung klassifiziert und werden ihnen von der Relaisverknüpfung DE die durch die Betätigung des Freigabeschaltmittels FS ausgelösten Steuersignale zugeführt, so erarbeiten beide Mikrocomputer unabhängig voneinander Freigabe signale für die Ausgabe der in der Ausgabeeinrichtung AE gespeicherten Kommandodaten. Diese Freigaben werden in der Relaisverknüpfung ggf. nochmals mit der Freigabe durch die Freigabeschaltmittel FS verknüpft und führen dann zur Ausgabe der zur Ausführung anliegenden Kommandodaten. Verweigert der Bediener seine Zustimmung zur Freigabe der zur Ausführung anstehenden Kommandodaten, so werden nach Ablauf einer vorgebbaren Zeitspanne die in der Ausgabeeinrichtung AE stehenden Daten gelöscht und die beiden Mikrocomputer in die Grundstellung geführt. Solange die Kommandodaten in der Ausgabeeinrichtung AE gespeichert sind, aktualisieren die beiden Mikrocomputer durch ständiges Rücklesen der gespeicherten Daten und Klassifizierung dieser Daten ihre FreimeldungemStellt einer von ihnen oder beide eine Anderung der gespeicherten Daten fest, so nimmt der betroffende Mikrocomputer seine Freigabe an die Relaisverknüpfung RV augenblicklich zurück. Die Relaisverknüpfung unterbindet dabei die Ausgabe der in der Ausgabeeinrichtung AE gespeicherten Daten bzw. schaltet die Ausgabe augenblicklich ab, wenn die Freigabe schon erteilt ist. Eine solche Störung ist dem Bediener auf geeignete Art und Weise anzuzeigen. Die erneute Freigabe von in der Ausgabeeinrichtung gespeicherten Daten nach dem ordnungsgemässen Verlauf einer Datenausgabe oder nach dem Sperren einer Ausgabe im Fehlerfall ist schaltungstechnisch von der vorherigen Grundstellung der Relaisverknüpfung RV abhängig zu machen. Die Relaisverknüpfung RV kann die Grundstellung nur einnehmen, wenn die in der Ausgabeeinrichtung AE anstehenden Kommandodaten gelöscht sind, beide Mikrocomputer ihre Ausgaben an die Relaisverknüpfung RV in eine ihre Bereitschaft für die nächste Bedienungsbearbeitung kennzeichnende Lage gebracht haben und das Freigabeschaltmittel am Bedienplatz ebenfalls die Grund stellung eingenommen hat. Sind mehrere Dateneingabeeinrichtungen vorhanden, so ist sicherzustellen, dass eine Freigabe der aus einer Hilfsbedienung abgeleiteten Kommandodaten nur von demjenigen Bediener aus vorgenommen werden kann, der die zugehörige Bedienung veranlasst hat. Zu diesem Zweck hat der durch die Prozesssteueraufträge direkt beaufschlagte Mikrocomputer MCI denjenigen Bedienplatz zu ermitteln, von dem aus eine Hilfsbedienung eingegeben wurde und diesen der Relaisverknüpfung zu melden. Der durch die ProzeBsteuerdaten nicht direkt beaufschlagte Mikrocomputer hat aus der Kenntnis des in der Relaisverknüpfung gespeicherten Bedienplatzes heraus ausschliesslich denjenigen Bedienplatz mit den rückgelesenen Prozesssteuerdaten zu versorgen, der von dem anderen Mikrocomputer als veranlassend erkannt wurde. Die Relaisverknüpfung hat Schaltmittel zu beinhalten, welche eine Freigabebehandlung nur dann anerkennen, wenn sie von demjenigen Bedienplatz aus erfolgt, der zuvor als veranlassend erkannt wurde. Die erfindungsgemässe Einrichtung zur sicheren Prozesssteuerung ist mit Vorteil überall dort einzusetzen, wo von insbesondere mehreren Bedienplätzen aus mit Sicherheitsverantwortung auf einen Prozess einzuwirken ist. Ein bevorzugtes Anwendungsgebiet ist die Steuerung eines Stellwerks von mehreren Bedienplätzen aus, wobei von diesen Bedienplätzen aus sowohl Bedienungshandlungen auszuführen sind, die in der nachgeordneten Stellwerksebene auf Zulässigkeit überwacht werden, als auch Bedienungshandlungen, die insbesondere in Störsituationen die Sicherheit des Stellwerkes bewusst unterlaufen sollen, um den Betrieb einigermassen flüssig halten zu können. 10 Patentansprüche 1 Figur

Claims: 1. Device for reliable process control employing two microcomputers (MC1, MC2) which are independent of one another, do not operate in a safety-oriented manner and act jointly on the process to be controlled, and in doing so permit the execution of both control operations whose admissibility is checked on a separate safety level outside the microcomputer, and auxiliary operations whose admissibility is not checked further, and of which one (MC1) converts the process control instructions present for execution in each case into corresponding command data and forwards them to an output device (AE), via which they can be switched further to the process, the command data being temporarily stored and forwarded to an operator for checking in the case of an auxiliary operation, in particular for controlling a railway signalling device from at least one operating terminal, characterized in that one of the microcomputers (MC1) re-reads the data stored in the output device (AE), the re-read data being simultaneously also fed to the other microcomputer (MC2) via a safety-oriented input doubler (EV), in that both microcomputers (MC1, MC2) classify independently of one another the data fed to them in accordance with the type of the respective process control instruction present and feed the classification results to a relay connection (RV) which, when the classification results of the two microcomputers match, initiates the release of the data stored in the output device (AE) if the respective classified process control instruction relates to a control operation, whereas in the case of joint recognition of an auxiliary operation it makes the release of the data stored in the output device dependent upon the agreement of the operator notified to it, and in that the microcomputer (MC2) not directly receiving the process control instructions in each case, where an auxiliary operation is concerned, converts the command data sent to it via the input doubler (EV) into the corresponding process control instruction and makes them available to the operator on a screen (KA). 2. Device according to Claim 1, characterized in that the release of the data stored in the output device (AE) is made dependent on the previous basic state of the relay connection (RV), and in that the basic state of the relay connection is made dependent on the basic state of the output device (AE), on the basic state of the two microcomputer outputs at the relay connection (RV) and on the basic state of the release switching means which can be adjusted when an operator agrees to an auxiliary operation. 3. Device according to Claim 1, characterized in that the two microcomputers constantly update their releases when the appropriate prerequisites are present. 4. Device according to Claim 3, characterized in that the two microcomputers monitor the command data which are stored in the output device with respect to continuity by re-reading said data, in that each microcomputer individually cancels its release to the relay correction (RV) when said data changes, and in that the relay connection thereupon prevents the output of the data stored in the output device (AE). 5. Device according to Claim 1, characterized in that the microcomputer (MC1) directly receiving the process control data determines, at least for the auxiliary operations, that operating terminal at which an auxiliary operation was entered, in that, from the knowledge of the operating terminal determined by the respective other microcomputer (MC1), the microcomputer (MC2) not directly receiving the process control data supplies only that operating terminal with the re-read process control data which has been recognized as the initiator by the microcomputer (MC1) directly receiving the process control data, and in that the relay connection contains switching means which only accept a release operation if it was effected from the same operating terminal that was recognized before to be the initiator. 6. Device according to Claim 5, characterized in that the microcomputer (MC1) which directly receives the process control data informs the relay connection (RV) of the operating terminal which it has determined in each case, and in that the other microcomputer (MC2) interrogates said relay connection for the operating terminal determined in each case. 7. Device according to Claim 5, characterized in that the microcomputer (MC1) directly receiving the process control data informs the output device (AE) of the operating terminal which it has determined in each case, together with the command data, and in that the other microcomputer (MC2) derives the respective operating terminal determined from the re-read data. 8. Device according to Claim 5, characterized in that the microcomputer (MC1) directly receiving the process control data directly informs the other microcomputer (MC2) of the operating terminal determined by it in each case. 9. Device according to Claim 1 or 5, characterized in that the release by an operator of an auxiliary operation which has been recognized as valid by the relay connection (RV) leads to the output of corresponding auxiliary releases to the relay connection (RV) in both microcomputers (MC1, MC2), and in that the relay connection thereupon initiates the release of the command data stored in the output device (AE).

Inventors: HOMEISTER, MANFRED, DIPL.-ING., RAIMER, JUERGEN, ING. GRAD., Raimer, Jürgen, Ing. grad.
Applicants: SIEMENS AKTIENGESELLSCHAFT
Application year: 1984
Main classification: B61L27
IPC codes: B61L21, B61L27