[发明专利]集控站计算机系统中揭示错误的方法和集控站计算机系统

说明书

技术领域

本发明涉及一种用于在集控站计算机系统中揭示错误的方法，该集控站计算机系统具有至少一个第一计算机通道和至少一个第二计算机通道，其输入信号代表铁路安全设备的信号技术上安全的状态报告，而其输出信号能够在显示器上显示，以及涉及一种用于执行该方法的集控站计算机系统。

背景技术

在对集控站计算机系统的辅助操作范围内，要确保判断依据，即向操作员显示的显示器上的报告图像，对应于铁路安全设备(也称为外部设备)的实际状态。

在图1中示出的一种已知的这类系统中，为此设置了两个计算机通道1a和1b。计算机通道1a和1b处理铁路安全设备2的信息，该铁路安全设备表示安全的报告源，例如ESTW(电子集控站)。两个计算机通道1a和1b关于其输入信号和所使用的算法是一致的。借助用于状态显示器/操作器的功能3a或3b，在每个计算机通道1a和1b上显示铁路安全设备2的状态以及待操作的场元件(这里是光信号4)作为状态图像5a和参考图像5b，其中在无错误的信号处理中，参考图像5b与状态图像5a一致。为了确定一致，由状态显示器/操作器3a通过状态影像5a确定校验和，并且由状态显示器/操作器3b通过状态影像5b确定校验和。状态影像5b的校验和被传送到第一计算机通道1a的状态显示器/操作器3a，其然后将两个校验和在辅助操作范围内传送到铁路安全设备2以便进行比较。在显示器7上仅显示状态图像5a。这样的测试循环地在后台执行，以便提前识别出在计算机通道1a或1b之一上的不正确的工作方式，例如冻结的图像像素，并且揭示错误。

这样的常规方法的缺点是，用于校验和比较以及用于后台测试的巨大开销。与此关联的是对单个系统非常高的SIL要求。安全级别SIL在CENELEC标准EN50129中定义为从SIL0(信号技术上不安全)到SIL4(信号技术上高度安全)。

缺点还在于，操作员必须从显示器7上的状态图像5a中自己推导出不满足铁路安全设备2的多个边界条件中的哪个以及由此会导致哪种危险。

发明内容

本发明要解决的技术问题是，提供一类方法和集控站计算机系统，其向操作员提供用于在高度安全的错误揭示的情况下对操作命令解除管制的更好的判断依据，其中力求尽可能低得SIL要求。

根据本方法如下解决该技术问题，即，第一计算机通道的输出信号产生状态图像，而第二计算机通道的输出信号产生危险分析图像，并且状态图像和危险分析图像能够在显示器上叠加。

为此使用按照权利要求3的集控站计算机系统，其中第二计算机通道具有危险分析功能，其在引入铁路安全设备的场元件(例如光信号)的操作以及由此得到的与场元件相邻的路段的危险程度时，在显示器上产生对危险路段的视觉突出。

以这种方式，在给安全造成危险的操作的情况下，除了状态图像之外附加地还给操作员显示与该状态图像部分透明地叠加的、来自第二计算机通道的危险分析功能的图像。通过叠加，操作员看到由来自两个计算机通道的图像组成的唯一的图像。

第一和第二计算机通道处理不同的任务。由此使每个计算机通道的SIL要求比在按照图1的具有相同的计算机通道的已知结构中的SIL要求明显更低。在理想情况下，两个计算机通道都可以以SIL0实施。从两个不同的计算机通道的结合和合作中得出信号技术上的安全度。

操作员在安全关键的情况下在其进行判断时根据叠加的危险分析图像获得支持。从状态图像和危险分析图像之间的差异中，操作员可以非常简单地推断出整个系统的正确或不正确的功能。来自危险分析的图像根据操作的场元件显示重要相关的场元件(元件链)的危险程度。例如可以通过以红色显示危险的路段而以绿色显示不危险的路段来视觉突出具有相应场元件的危险路段。否则，危险分析图像是透明的，从而在当前不关注的路段上仅能看到状态图像。通过叠加两个图像可以推导出并说明操作的危险潜在性。由此在操作员在其进行判断时获得决定性的支持。另外，操作员可以容易地检查状态图像的可靠性。如果通过危险分析图像显示不能从状态图像中推导出的危险程度，则两个计算机通道中的一个没有正确工作。因为在操作的第一步骤之后才淡入危险分析图像的显示，所以可以从中推导出图像是否更新。

根据权利要求2设置了，危险分析图像可以借助操作元件按需要与状态图像叠加。操作元件能够使得返回到原始状态，在该原始状态中仅能看到状态图像。由此可以在重新操作时按需要改善图像差异的识别性。