特别是用于控制铁路交通中的集控站的系统的制作方法

本发明涉及一种特别是用于控制铁路交通中的集控站的系统。

背景技术：

在铁路交通中，用于控制集控站的控制信号必须满足一定的安全要求。在此，这通常涉及分布式的系统，所述系统产生相应的输出或者控制信号。在此，为了提高安全性，产生信号的硬件装置被多次复制，这被称为所谓的复制品。该所谓的复制品的输出被引向中央表决器(voter)。这种表决器是决策者，其从给定数量的冗余的输入数据中产生“正确的”输出数据。通常，为此使用多数表决器，其通过多数决定来产生输出信号。输出信号、所谓的投票信号可以被提供给用户。这种投票信号是值得信赖的。然而，在中央表决器中表决器本身作为弱点存在，因为如果该表决器故障，则没有投票信号输送到用户。迄今，表决器与复制品在硬件技术上相关联并且与该复制品形成共同的故障单元。由此，表决器的存在并不明显，因为投票被视为设备的特性。

技术实现要素：

本发明要解决的技术问题是，提供一种特别是用于控制集控站的替换的系统，所述系统具有较低的故障风险以及较高的可用性。

根据本发明提供一种特别是用于控制铁路交通中的集控站的系统，其至少具有用于产生冗余的控制信号的多个冗余的复制品。附加地，设置表决器结构，其包括多个多数表决器，其中每个多数表决器具有与多个冗余的复制品的输出端连接的输入端和相应的输出端。根据本发明，表决器结构和多个冗余的复制品在硬件技术上彼此分离并且多个多数表决器的输出端与鉴别器表决器的输入端连接，其中鉴别器表决器的输出端提供特别是用于控制集控站的控制信号。当鉴别器表决器的输入端彼此矛盾时，鉴别器表决器不输出控制信号。

本发明具有如下优点，即，多个复制品和表决器结构通过在硬件技术上的分离位于可区分的故障单元中，这简化了功能失效或者故障的定位。此外，由此将责任区域彼此分离。此外，通过所述分离可以使用商业上常见的计算硬件并且不再需要动用具有集成的表决器单元的特殊的硬件。此外，仅当鉴别器表决器的输入端不彼此矛盾时，才能够有利地通过鉴别器表决器输出控制信号，由此可以确定前置的多数表决器的偏差。因为在预先阶段中，多数表决器已经将通过多数决定投票的控制信号传送到鉴别器表决器，因此带来了附加的安全等级，所述安全等级降低了错误的信号传输的概率。此外，鉴别器表决器还具有不如多数表决器复杂的并且因此更加抗故障的硬件，从而降低了根据本发明的系统的故障概率。

优选地，当施加仅一个输入信号时，鉴别器表决器起直通开关(durchschalter)作用。由此，可以补偿一个或多个多数表决器的故障，从而在鉴别器表决器的输出端处继续输出投票的控制信号。由此提高了所述系统的可用性，因为多数表决器的故障不会导致系统的整体故障。

优选地，如果鉴别器表决器没有从多数表决器获得输入信号，则输出错误报告。通过这种监控可以相应地识别并且因此检查或者更换所涉及的多数表决器。

有利地，可以使用多个后置的鉴别器表决器，其中多个多数表决器的输出端与每个鉴别器表决器的每个输入端连接，其中在各个鉴别器表决器的每个输出端处提供特别是用于控制集控站的控制信号。由此实现关于鉴别器表决器的冗余。如果鉴别器表决器故障，则在其余的鉴别器表决器的输出端处继续提供控制信号。此外，可以将各个控制信号相互比较。因此，所述系统可以容忍鉴别器表决器的故障或者功能失效。

多个复制品可以与多个复制品在空间上分离，和/或多个后置的多数表决器和/或多个鉴别器表决器可以在空间上彼此分离。在实践中，这通常涉及空间上分布的系统。例如，多个复制品可以位于不同的位置，但是这些复制品在每个位置产生相同的控制信号。多数表决器或者鉴别器表决器可以彼此分离。如果这些“位置”中的一个故障，例如由于诸如供电故障、自然灾害等的特别事件，则在一个或者在其他的位置仍然可以提供投票的控制信号。由此产生位置上的冗余，因为可以容忍一个位置或多个位置的故障。此外，鉴别器表决器的故障或者相关的连接对系统的影响较小，因为其位于接收器或者用户的故障单元。

如果在多数表决器处并不是所有输入信号都是相同的，则输出错误报告。由此可以实现错误定位，这可以导致检查或者替换复制品。此外，可以可靠地截止多数表决器的偏差的输入端。

如果鉴别器表决器没有从多数表决器获得输入信号或者如果鉴别器表决器的输入端互相矛盾，则可以停用整个系统。由此可以实现非常高的安全性。

后置的鉴别器表决器或者多个后置的鉴别器表决器可以形成独立的可配置的设备。

优选地，后置的鉴别器表决器或者多个后置的鉴别器表决器集成在分析单元内。由此，分析单元和鉴别器表决器位于相同的故障单元中。

附图说明

本发明的上面描述的特点、特征和优点以及实现方式根据下面对结合附图更详细地解释的实施例的描述而更清楚且明晰地理解。附图中：

图1示出了根据第一实施方式的用于控制集控站的系统，

图2示出了根据第二实施方式的用于控制集控站的系统，

图3示出了根据第三实施方式的用于控制集控站的系统，和

图4示出了根据第四实施方式的用于控制集控站的系统。

具体实施方式

图1示出了根据第一实施方式的用于控制集控站的系统s。在此示出原始的硬件装置h，其被多次复制，即产生多个复制品r1a、r1b、r1c、r2a、r2b、r2c以实现冗余，在没有故障的情况下，所述复制品产生与原始的硬件装置h相同的控制信号。系统s包括多个复制品r1a、r1b、r1c、r2a、r2b、r2c以及相关联的表决器结构1。多个复制品r1a、r1b、r1c、r2a、r2b、r2c产生通过表决器结构1进行投票的控制信号。作为硬件装置h或者作为复制品r1a、r1b、r1c、r2a、r2b、r2c，在此例如可以考虑电气电路、逻辑电路、处理器、计算机、控制设备等，其中本发明并不限于这些例子。例如可以使用用于控制集控站的信号，以便转换道岔；激活轨道拦截；或者例如确保交通信号灯从红色切换为绿色，其中可以考虑铁路交通中的许多其他有利的控制。

在所述实施方式中，示例性地设置了六个复制品r1a、r1b、r1c、r2a、r2b、r2c，其中，原则上可以设置任意数量的复制品r1a、r1b、r1c、r2a、r2b、r2c。多个复制品r1a、r1b、r1c、r2a、r2b、r2c与多个多数表决器m1、m2连接，即多个复制品r1a、r1b、r1c、r2a、r2b、r2c的输出端位于多个多数表决器m1、m2的输入端处。在该例子中，复制品r1a、r1b、r1c的输出端纯示例性地位于m1的输入端处并且复制品r2a、r2b、r2c的输出端位于输入端m2处。

多数表决器m1、m2基于其输入的信号针对其输出信号形成多数决定，即如果大多数的输入端具有相同的信号，则将该信号输出。纯示例性地，如果r1a和r1b到达“高电平”并且r1c到达“低电平”，则在m1的输出端处是高电平。在正常情况下，即无故障的情况下，相同的控制信号位于输入端处，所述控制信号然后由多数表决器m1输出到其输出端。在例如复制品r1c的输出信号偏差的情况下，这附加地导致错误报告。此外，可以可靠地截止多数表决器的偏差的输入端。因此，通过冗余，多数表决器m1、m2的输出信号是可靠的控制信号，对应于值得信赖的投票的控制信号。根据复制品r1a、r1b、r1c、r2a、r2b、r2c的数量，可以使用多于两个的多数表决器m1、m2，或者为每个多数表决器m1、m2设置更多的输入端。在五个输入端的情况下，多数表决器m1、m2例如已经可以容忍两个偏差的控制信号。

根据本发明，多个多数表决器m1、m2的输出端与鉴别器表决器d的输入端连接，所述鉴别器表决器的输出信号表示用于控制集控站的控制信号。如果鉴别器表决器d的输入端彼此矛盾，则鉴别器表决器d不产生输出信号。由此，可以有利地确定前置的多数表决器m1、m2的偏差。因为在预先阶段中，多数表决器m1、m2已经将通过多数决定投票的控制信号传送到鉴别器表决器d，因此带来了附加的安全等级，所述安全等级进一步降低了错误的信号传输的概率。此外，鉴别器表决器d还具有不如多数表决器m1、m2复杂的并且因此更加抗故障的硬件，从而降低了根据本发明的系统s的故障概率。

多个复制品r1a、r1b、r1c、r2a、r2b、r2c和表决器结构1在硬件结构上彼此分离，由此责任区域彼此独立。然后，表决器结构1和复制品r1a、r1b、r1c、r2a、r2b、r2c有利地形成不同的故障单元。由此可以有利地进行故障源的有针对性的定位。此外，不再需要动用具有集成的表决器单元的特殊的硬件，而是可以使用商业上常见的计算硬件。

如果在鉴别器表决器d处施加了仅一个输入信号，则鉴别器表决器d起直通开关作用，即所述鉴别器表决器仍然可以产生控制信号作为输出信号，虽然就是所施加的输入信号。因此，该系统可以容忍多数表决器m1、m2的故障，这使得多数表决器m1、m2不再成为系统s的关键部件。

在更高的安全等级中，如果鉴别器表决器d从多数表决器m1、m2没有获得输入信号或者如果鉴别器表决器d的输入端相互矛盾，则可以停用整个系统s。

后置的鉴别器表决器d可以形成独立的可配置的设备。然而，后置的鉴别器表决器d也可以集成在分析单元内，由此，所述鉴别器表决器与分析单元一起形成故障单元。

在此，仅示例性地选择复制品r1a、r1b、r1c、r2a、r2b、r2c的数量和多数表决器m1、m2的数量，然而本发明并不限于所述例子。例如可以使用更多的复制品r1a、r1b、r1c、r2a、r2b、r2c和/或更多的多数表决器m1、m2。

在图2-图4中，仅讨论与图1的区别或者彼此之间的区别。

图2描述了根据第二实施方式的用于控制集控站的系统s。不同于图1，在此提供了两个鉴别器表决器d1、d2，其中每个鉴别器表决器d1、d2的输入端与多数表决器m1、m2的两个输出端连接。由此产生鉴别器表决器d1、d2的冗余。如果鉴别器表决器、例如d1故障，则在d2的输出端处可以继续获得投票的控制信号。此外，例如当应该在不同的位置上提供两个投票信号时，这种布置也可以实现鉴别器表决器d1、d2的位置上的分离。也可以提供多于两个的鉴别器表决器d1、d2。

在此，也是仅示例性地选择复制品r1a、r1b、r1c、r2a、r2b、r2c的数量、多数表决器m1、m2的数量和鉴别器表决器d1、d2的数量，然而本发明并不限于所述例子。例如，可以使用更多的复制品r1a、r1b、r1c、r2a、r2b、r2c、更多的多数表决器m1、m2和/或更多的鉴别器表决器d1、d2。

图3描述了根据第三实施方式的用于控制集控站的系统。这通常涉及分布式的系统。因此，相对于图1和图2，在此示例性地描述了在位置上或者在空间上彼此分离的两种复制品r1a、r1b、r1c和r2a、r2b、r2c。多个复制品r1a、r1b、r1c位于位置l1并且另外的多个复制品r2a、r2b、r2c位于另外的位置l2，其中位置l2与位置l1在空间上分离。后置的多数表决器m1、m2可以在位置上彼此分离，但是不是必须分离。在具体的实施方式中，多数表决器m1位于位置l1并且多数表决器m2位于位置l2。鉴别器表决器优选地位于不同于位置l1和位置l2的位置l3。如果现在由于特别事件，例如供电故障、自然灾害等使得一个“位置”、例如位置l1故障，则可以继续通过另外的位置l2经由复制品r2a、r2b、r2c利用多数表决器m2，通过鉴别器表决器d输出投票的控制信号。因此，由此针对具有安全技术责任的空间上分布的系统产生地理上或者位置上的冗余。此外，鉴别器表决器的故障或者相关的连接有利地对发送侧的系统产生较小的影响，因为其位于接收器或者用户的故障单元。

在此，也是仅示例性地选择复制品r1a、r1b、r1c、r2a、r2b、r2c的数量、多数表决器m1、m2的数量和位置l1、l2的数量，然而本发明并不限于所述例子。例如，可以使用更多的复制品r1a、r1b、r1c、r2a、r2b、r2c和/或更多的多数表决器m1、m2。此外，还可以描述针对每个位置l1、l2具有相应的复制品r1a、r1b、r1c、r2a、r2b、r2c的多个位置l1、l2，以便产生地理上或者位置上的更多的冗余。

图4描述了根据第四实施方式的用于控制集控站的另外的系统s。不同于图3，在此提供了两个鉴别器表决器d1、d2，其中每个鉴别器表决器d1、d2的输入端与多数表决器m1、m2的两个输出端连接。由此产生鉴别器表决器d1、d2的冗余。如果鉴别器表决器、例如d1故障，则在d2的输出端处可以继续获得投票的控制信号。在所述实施例中，鉴别器表决器d1、d2位于不同的位置l3、l4。例如，鉴别器表决器d1位于位置l3并且鉴别器表决器d2位于位置l4。由此，由于鉴别器表决器d1、d2的位置上的分离可以容忍在位置l3或者l4中的一处的位置上的故障。因此，可以针对具有安全技术责任的在空间上分布的系统产生地理上的或者位置上的冗余。在此也可以提供多于两个的鉴别器表决器d1、d2，其例如位于多于两个的彼此不同的位置l3、l4。

在此，也是仅示例性地选择复制品r1a、r1b、r1c、r2a、r2b、r2c的数量、多数表决器m1、m2的数量、位置l1、l2或l3、l4的数量和鉴别器表决器d1、d2的数量，然而本发明并不限于所述例子。例如，可以使用更多的复制品r1a、r1b、r1c、r2a、r2b、r2c、更多的多数表决器m1、m2和/或更多的鉴别器表决器d1、d2。

总的来说，描述了用于控制集控站的系统s，其将已经通过多数表决器m1、m2投票的控制信号借助后置的鉴别器表决器d、d1、d2输出。在此，仅当鉴别器表决器的输入端不相互矛盾时，鉴别器表决器d、d1、d2才输出控制信号。还可以后置多个鉴别器表决器d1、d2。此外，还可以停用偏差的多数表决器m1、m2。本发明减小了故障风险以及提高了系统s的可用性。附加地，针对在位置上分布的系统可以实现地理上的或者空间上的冗余，从而可以容忍系统s的局部故障。多数的复制品r1a、r1b、r1c、r2a、r2b、r2c和表决器结构1在硬件技术上彼此分离，由此使得责任区域彼此独立。表决器结构1和多数的复制品r1a、r1b、r1c、r2a、r2b、r2c然后有利地形成不同的故障单元。由此，可以有利地实现故障源的有针对性的定位。此外，不再需要动用具有集成的表决器单元的特殊的硬件，而是可以使用商业上常见的计算硬件。

尽管通过优选的实施例进一步详细说明和描述了本发明，但是本发明不限于所公开的示例，并且本领域技术人员可以从中导出其它变形，而不脱离本发明的保护范围。