DE2314075A1

DE2314075A1 - Mehrcomputer-fahrzeugsteuerungssystem mit validitaetsmitteln

Info

Publication number: DE2314075A1
Application number: DE19732314075
Authority: DE
Inventors: Jun John Henry Auer; Donald Blair Marsh; Henry Coleman Sibley
Original assignee: General Signal Corp
Current assignee: SPX Corp
Priority date: 1972-03-22
Filing date: 1973-03-21
Publication date: 1973-10-04
Also published as: AU5354873A; GB1430643A; GB1430641A; US3794834A; CA954617A

Description

PATENTANWÄLTE

DR. ING. VAN DERWERTH DR. FRANZ LEDERER

21 HAMBURG 90 β MÜNCHEN 8O

WlLtTORrER STR. S3 · TEL. 104 III 77 0β 61 LUCIIE-CRAHN-STR. 32 · TEL. ΙΟβ III 47 39 47

23H075

München, 20. März 1973 M/Be

Anmelder: General Signal Corporation, Rochester, New York 14 602, USA

Mehrcomputer- Fahr zeugst eue rungs sy stern mit Validitätsmitteln

Die Erfindung betrifft ein Mehrcomputer-Fahrzeugsteuerungssystem und insbesondere die Datenvergleichsprüfungsmerkmale solcher Systeme.

Fahrzeugsteuerungssysteme sind auf dem Sektor der Schienenfahrzeugtechnik in hohem Masse entwickelt worden, wobei automatische Signalsysteme und zentralisierte Verkehrssteuerungen dazu verwendet werden, dem Zugführer Informationen zur Steuerung des Zuges in Übereinstimmung mit einem für die Zugbewegung vorbestimmten Plan zu geben. Einige dieser Fahrzeugsteuerungssysteme machen Gebrauch von in einer Zentrale stationierten Computern. Obwohl die Berechnungen für die Fahrzeugsteuerung in der Zentrale leicht ausführbar sind, muss dennoch eine ausreichende Ausrüstung und Steuerung im Fahrzeug vorgesehen sein, damit ein sicherer Betrieb und eine sichere Steuerung des Fahrzeugs auch bei einem Ausfall der Computerschaltung oder bei einem Fehler bzw. einer fehlerhaften Arbeitsweise des Computer-

309840/0409

DlUT(CHl BANK AO.. HAKtUIIC 93/30813 FO(TSCHECK₁ HAMIURC 117» 10 TKLCCHAMMIf LtDEKERPATENT MONCHIN

2 3 1 A O 7 B

programme gewährleistet ist. In der Praxis liefert der Computer der Zentrale ausschliesslich eine Information an den Führer des Zuges, und wird diese Information ausschliesslich nach dem Ermessen des Zugführers verwendet.

Die Verwendung einer redundanten Steuerungsausrüstung in jedem Fahrzeug und der Einsatz eines Zugführers in jedem Fahrzeug beeinflussen ganz offensichtlich nicht nur den Basispreis des Zugs, sondern erhöhen zusätzlich auch die Betriebskosten des Zugs infolge der Benötigung eines Zugführers. Derartige Systeme sind im Rahmen eines Personenbeförderungssystems selbstverständlich unerwünscht, wo eine grosse Zahl kleiner Fahrzeuge in verhältnismässig kleinen, aber dicht bevölkerten Gebieten eingesetzt wird. Für die wirtschaftliche Einrichtung und den entsprechenden Betrieb derartiger Systeme mit vielen Fahrzeugen sollen die Kosten jedes einzelnen Fahrzeugs gering gehalten werden, und zwar durch Reduzierung der in jedem Fahrzeug vorgesehenen Steuerungsausrüstung. Des weiteren sollen die Betriebskosten jedes Fahrzeugs dadurch begrenzt werden, dass die Fahrzeuge von einer Steuerungszentrale aus gesteuert werden.

Eine bevorzugte Ausführungsform der erfindungsgemässen Einrichtung geht für die Steuerung von Fahrzeugen von einem Satz parallel arbeitender Computer einer Steuerungszentrale aus. Eine Daten-Nachrichtenverbindung überträgt Fahrzeugbetriebsberichte vom Fahrzeug an die Steuerungszentrale und Fahrzeugführungsnachrichten von der Steuerungszentrale an das Fahrzeug. Jeder Computer ist in Hinblick auf die Berechnung von GeschwindigkeitsSteuerungsbefehlen für das Fahrzeug programmiert. Die Führungsnachrichten werden in der Steuerungszentrale durch Vermischung bzw. Zusammenfassung der von jedem der Computer in dem Compiler-Speicher übertragenen Datenteile bzw. -mengen compiliert. Zusätzlich werden die von jedem der beiden Computer stammenden Daten direkt in separate Bereiche des Compiler-Speichers eingegeben. Im Fahrzeug ist ein On-line-Steuerungssystem

309840/0409 _₃_

23U07B

zur Decodierung der Fahrzeugführungsnachrichten und zur Zusammenfassung der Betriebsberichtsnachrichten vorgesehen. Das On-line-Steuerungssystem besitzt eine logische Schaltung zur Formatsteuerung der Fahrzeugführungsnachrichten, die von der Steue runge zentrale an das Fahrzeug übertragen werden. Die Fahrzeugführungsnachricht enthält ein Identifizierungswort, das teilweise direkt von jedem der Computer an den Compilerspeicher abgegebene Daten und einen Teil der in dem Compilerspeicher zusammengefassten und von den beiden Computern stammenden Daten enthält. Eine Adressenauswertungsschaltung in jedem Fahrzeug untersucht das Identifizierungswort, um sicherzustellen, dass die Fahrzeugführungsnachricht für das-besondere Fahrzeug bestimmt ist; eine Validitätsschaltung prüft die Validität der empfangenen Nachricht durch Untersuchung des Identifizierungsworts, um sicherzustellen, dass die Fahrzeugführungsnachricht von beiden Computern compiliert ist; und eine Datenvergleichsprüfungsschaltung führt eine Paritätskontrolle der Befehls- bzw. Führungsworte in der Nachricht durch. So wird der gleichzeitige bzw. konkurrierende Betrieb der beiden dieselben Fahrzeugführungsnachrichtendaten berechnenden Computer überprüft bzw. verifiziert. Auf diese Weise wird die Verwendung einer redundanten Ausrüstung zur Gewährleistung der Sicherheit des Systems erreicht, indem die beiden Computer der Steuerungszentrale unabhängig voneinander den Betrieb des Fahrzeugs überprüfen und die Fahrzeuginstruktionsbefehle berechnen. Die gleichzeitige Rechentätigkeit der beiden Computer, die von der Validitäts schaltung festgestellt wird, stellt bei entsprechender Feststellung sicher, dass die Führungsdaten zuverlässig und authentisch sind.

Dementsprechend liegt der Erfindung die Aufgabe zugrunde, ein Fahrzeug steuerungssystem für Personenbeförderungssysteme zu schaffen, das die Beschränkungen der beschriebenen Zugsteue rungs systeme überwindet.

309840/0409

23H075

Des weiteren ist es Aufgabe der Erfindung, ein Sieherheitssteuerungs-System mit eigener Validitätsprüfung zur Verwendung bei einem automatisch betriebenen, von einer Steuerungszentrale mit mehreren Digitalcomputern gesteuerten Fahrzeug zu schaffen.

Ferner liegt der Erfindung die Aufgabe zugrunde, ein On-line-Steuerungs system in jedem der Fahrzeuge zur Verwendung in Verbindung mit einer Mehrcomputer-Steuerungszentrale zu schaffen, das für eine Validitätsuntersuchung für den gleichzeitigen Betrieb der Computer sorgt.

Zum besseren Verständnis der Erfindung und anderer und weiterer ihr zugrunde liegender Aufgaben wird auf die nachfolgende Beschreibung bevorzugter Ausführungsformen hingewiesen, die auf die Zeichnungen Bezug nimmt; in diesen zeigt:

Fig. 1 ein Blockschaltbild eines Mehrcomputer-Fahrzeugsteuerungssystems zur automatischen Steuerung eines Fahrzeugs von einer Steuerungszentrale aus,

Fig. 2 ein Format der von der Steue rungs zentrale aus an die Fahrzeuge übertragenen Fahrzeug.führungsnachricht und ein Format der von jedem Fahrzeug an die Steuerungszentrale übertragenen Fahrzeugbetriebsberichtsnachricht,

Fig. 3 eine schematische Darstellung der Validitätsschaltung des Blockschaltbilds des Fahrzeugsteuerungssystems der Fig. 1,

Fig. 4 ein Zeitdiagramm der mit der Schaltung der Fig. 3 bei deren Betrieb in dem System der Fig. 1 erreichten Signale und

Fig. 5 einen Flussplan des programmierten Betriebs der Computer der Steuerungszentrale.

Die Gesamtansicht eines Mehrcomputer-Fahrzeugsteuerungssystems mit Datenverifikation ist in Fig. 1 dargestellt, die dabei eine On-line-

-5-

309840/0409

23U075

Steue rungs schaltung in einem Fahrzeug 10 zeigt, das von einer Steuerungszentrale31 aus gesteuert ist. Binärdaten werden serienweise zwischen dem Fahrzeug 10 und der Steuerungszentrale 31 über eine Datenverbindung übertragen, die von den Antennen 27 und 28 der Steue rung s zentrale ausgehend zu den Antennen 11 und 12 des Fahrzeugs führt. Die Daten werden in der Form von zwei Hochfrequenzsignalen übertragen, wobei der übergang des Signals von einer Frequenz zur anderen Frequenz das Vorliegen eines entsprechenden "NULL"- oder "EINS"-Binärdigits anzeigt. Dieses Wechsel- bzw. Richtungs schrift -mitteilungsformat (NRZ = non-return-to ZERO) ermöglicht ein hohes Mass der Datenübertragung durch Senkung der Anzahl der Signalübergänge, d.h. Frequenzverschiebung, die für die Übertragung eines Datenblocks notwendig sind. Die an der Steuerungszentrale 31 von einem Empfänger 33 empfangenen Signale werden decodiert, und die Binärdaten werden reihenweise einem Datenübertragungspuffer 36 zugeführt, wo die Daten formatgerecht in Wortlängen für eine parallele übertragung an einen Computersatz 40 aufbereitet werden.

Der Computersatz 40 umfasst zwei Computer 43 und 44, die für eine gegenseitige Datenübertragung miteinander und gemeinsam an eine On-line-Speichereinheit 46, beispielsweise einen Magnetplattenspeicher, und einen Zeitgeber 48 angeschlossen sind, der den Betrieb der beiden Computer 43 und 44 synchronisiert und den beiden Computern Zeitsignale als Bericht über die während der Steuerung des Fahrzeugs 10 vergangene Zeit zuführt. Eine von dem Fahrzeug 10 ausgehende Fahrzeugbetriebsberichtnachricht 29» deren Format in Fig. 2 dargestellt ist, wird empfangen und vom Empfänger 33 aus durch den anschliessenden Datenpuffer 36 hindurch den Computern 43 und 44 zugeführt.

Die von der Steuerungszentrale 31 aus an das Fahrzeug 10 übertragenen Nachrichten werden teilweise durch Zusammenfassung der von den Computern 43 und 44 her durch "UND"-Torschaltung 35 und durch Ab-

309840/0409

23U075

speicherung der Resultate im Bereich C eines Compilerspeichers 37 in dem Datenpuffer 36 gebildet. Zusätzlich umgehen die vom Computer stammenden Daten die "UND"-Tor schaltung 3 5 und werden direkt in den Bereich A des Compilerspeichers 37 eingeführt, während die vom Computer 44 stammenden Daten direkt in den Bereich B des Compilerspeichers 37 eingeführt werden. Die in den Bereichen A, B und C des Compilerspeichers 37 abgespeicherten Daten bilden eine Fahrzeugführungsnachricht, die der Reihe nach einem Sender 34 zur Übertragung von der Antenne 27 an die Antenne 12 des Fahrzeugs 10 übertragen wird. Das Format der in Fig. 2 dargestellten Fahrzeugführungsnachricht besitzt vier Datenworte gleicher Länge. Ein erstes Wort ist ein Identifizierung swortf mit einem Adressabschnitt 21. Ein zweites Wort 24 und ein drittes Wort 25 bilden einen Geschwindigkeitssteuerungsbefehl zur Steuerung der Beschleunigungs- und Bremseinrichtung des angesprochenen Fahrzeugs. Ein viertes Wort 26 enthält Daten zur Betätigung der Türen und anderer Einrichtungen am angesprochenen Fahrzeug. Die in den Bereichen A, B und C des Compilerspeichers 37 abgespeicherten Daten werden in der Fahrzeugführungsnachricht 22 der Fig. 2 identifiziert. Die in den Bereichen A und B abgespeicherten Daten werden direkt von den Computern 43 und 44 aus übertragen und bilden Computer-Verifikationsfelder 13A und 13B in dem Identifizierungswort 23. Des weiteren enthält das Identifizierungswort 23 ein Segment der im Bereich C abgespeicherten Daten, das ein Adressfeld 21 bildet, das durch die "UND"-Schaltung 35 hindurch von den beiden Computern 43 und 44 her übertragen worden ist.

Die Computer 43 und 44 entsprechen sich hinsichtlich ihrer Konstruktion, und ihre typischen Bauteile sind lediglich für den Computer 44 dargestellt. Der Computer 44 besitzt eine arithmetische und logische Einheit 51 (ALU = arithmetic and logic unit), die von einer Programmsteuerung 52 gesteuert wird und mit einem Speicher 53 zusammenarbeitet. Die Übertragung der Daten zwischen dem Speicher 53 und

30984Q/CU0 9

den peripheren Einrichtungen des Computers 44 wird unter Programmsteuerung durch die I/O Logikeinheit 55 hindurch ausgelöst, die an die entsprechende Schaltung des Computers 43, die On-line-Speichereinheit 46 und eine Operator-Konsole 50 angeschlossen ist. Die On-line-Speichereinheit 46, typischerweise eine Magnetplattenspeichereinheit, sorgt für eine grosse Speicherkapazität für vorberechnete Tabellen von Fahrzeugparametern. Die Verwendung derartiger Tabellen zur Ermittlung der Fahrzeugparameter verringert die Rechenbelastung der Computer 43 und 44, wobei es verständlich ist, dass eine Ablesung viel schneller ausführbar ist als komplizierte Berechnungen bezüglich der Geschwindigkeit, des vorderen freien Abstands, der Relativgeschwindigkeit und der Anhaltedistanz des Fahrzeugs. Diese wirksame Nutzung der Computerprozesszeit reduziert die für jede Iteration der Programme benötigte Rechenzeit, und das beschriebene Fahrzeugtransportsystem wird auf Real-Time-Basis gesteuert. Die Operator-Konsole 50 verfügt über eine Kathodenstrahl- bzw. Oszillographeneinrichtung 56 zur überwachung des Betriebs der automatisch gesteuerten Fahrzeuge und über eine Eingabetastatur 57 für die manuelle Eingabe von SteuerungsdateTi und die InfahrtSetzung des Fahrzeugs 10.

Aus Fig. 1 ist eine schematische Darstellung eines On-line-Fahrzeugsteuerungssystems zu ersehen, das an dem Fahrzeug 10 vorgesehen ist. Die von der Zentrale 31 aus übertragenen Führungsnachrichten werden von der an einen Empfänger 62 angeschlossenen Antenne 12 empfangen. Der Empfänger 62 demoduliert, filtert und verstärkt die empfangenen Signale vor der reihenweisen Weiterführung der Signaldaten an einen Eingangsspeicher 63. Eine an den Empfänger 62 angeschlossene Synchronsteuerschaltung 64 überprüft die Datenweitergabe durch den Empfänger 62 hindurch, und die Synchronsteuerschaltung 64 liefert Schiebeimpulse an den Eingabespeicher 63, die sich mit dem Datenstrom durch den Empfänger 62 hindurch decken. Die Synchronsteuer-'

309840/0409

23U075

schaltung 64 ist zusätzlich an eine Adressenerkennungsschaltung 65 angeschlossen, die das Adressfeld 21 des Identifizierungsworts 23 der in Fig. 2 dargestellten Fahrzeugführungsnachricht 22 mit einem vorbestimmten Schaltmuster vergleicht, das in der Adresserkennungsschaltung 65 abgespeichert ist. Wenn die beiden binären Signalbilder einander entsprechen, wird das gesamte Wort aus dem Eingabespeicher 63 heraus der Adresserkennungsschaltung 65 taktweise zugeführt. Des weiteren ermöglicht ein Bestätigungssignal an die Synchronsteuerschaltung 64 die übertragung nachfolgender Worte der Fahrzeugführungsnachricht vom Empfänger 62 an den Eingabespeicher 63. Das vom Eingabespeicher 63 an die Adresserkennungsschaltung 65 taktweise weitergegebene Identifizierungswort 23 wird zu einem Zusammenfassungsspeicher 88 und zu einer Validitätsschaltung 80 durchgelassen, die weiter ins Einzelne gehend in Fig. 3 dargestellt ist. Fällt jedoch dieser Vergleich mittels der Adresserkennungsschaltung 65 negativ aus, so unterbindet ein an die Synchronsteuerschaltung 64 abgegebenes Signal die Weiterführung nachfolgender Daten vom Empfänger 62 an den Eingabespeicher 63.

Jedes vom Eingabespeicher 63 empfangene nachfolgende Wort wird von einer Datenverifikationsschaltung 66 verifiziert, die das Wort hinsichtlich seiner Parität überprüft, indem zwei und ausschliesslich zwei binäre "EINS"-Digits in einem Wort von fünf Bits gefordert werden. Im Anschluss an die Verifikation durch die Datenverifikationsschaltung werden die Eingabeworte durch eine Decodierungsmatrix 67 hindurchgelassen und taktweise einem ersten Speicher 68, einem zweiten Speicher 6 und einem dritten Speicher 70 mittels der Synchronsteuerschaltung 64 zugeführt. Die in den Speichern 68 und 69 abgespeicherten Daten werden einer GeschwindigkeitsSteuereinheit 71 zugeführt, die die Beschleunigung und Bremsung des Fahrzeugs in Übereinstimmung mit den gespeicherten Eingabedaten steuert. Die dem Speicher 70 zugeführten Daten werden

309840/0409

23U07S

einer Fahrzeugeinrichtung 72 zugeführt, wo die Signale dazu verwendet werden, solche Vorgänge wie das öffnen und Schliessen der Türen, die Betätigung eines Lautsprecher systems, die Abgabe zusätzlicher Signale für die Fahrgäste und die Betätigung der Fahrzeugeinrichtung zu steuern.

Die Bewegung des Fahrzeugs 10 wird mittels einer Telemetrieschaltung 87 überprüft, die an den Zusammenfassungsspeicher 88 angeschlossen ist. Sobald eine Fahrzeugführungsnachricht vom Fahrzeug 10 empfangen worden ist, löst die Synchronsteuerschaltung 64 die übertragung einer Antwortnachricht vom Fahrzeug 10 an die Steuerzentrale aus. Die Synchronsteuerschaltung 64 gibt taktweise das Identifizierungswort von der Adresserkennungs schaltung 65 und Daten von der TeIemetrieschaltung 87 in den Zusammenfassungsspeicher 88 ab, um die Betriebsberichtsnachricht 29 der Fig. 2 zu bilden. Gemäss Darstellung in Fig. 2 verfügt diese Nachricht über ein Identifizierungswort 23 und ein Telemetriedatenfeld 19. Die im Zusammenfassungsspeicher 88 befindliche Betriebsberichtsnachricht 29 wird der Reihe nach über einen Paritätsgenerator 97 einem Sender 98 zugeführt, wo die Daten über die Antenne 11 an die Steuerungszentrale übertragen werden. Der Paritätsgenerator 97 erzeugt Parität sdigits für die übertragene Nachricht zu deren Verifikation durch die Empfangseinrichtung.

Inn folgenden wird die Validitätsschaltung 80 unter Bezugnahme auf Darstellung der Fig. 3 mit gelegentlicher Bezugnahme auf die in Fig. 2 dargestellte Fahrzeugführungsnachricht 22 und das in Fig. 1 dargestellte Systembild beschrieben. Es sind Eingabeleitungen 14A und 14B für den Empfang von Signalen angeschlossen, die in Übereinstimmung mit in den Computer-Validitätsfeldern 13A und 13B des Identifizie rungs -worts 23 auftretenden Datencoden geschaffen bzw. bewirkt sind. Diese Datencode können beispielsweise von einem binären "EINS"-Digit und einem binären "NULL"-Digit gebildet sein. Beide Eingabeleitungen 14A und 14B stehen je mit einer Antriebsschaltung 15A und 15B in Verbindung.

309840/0409

231407b

Ein Steuerrelais l6A wird von einem Signal au der Eingabeleitung 14A für die Antriebsschaltung 15A erregt, und ein zweites Steuerrelais 16B wird von einem Signal an der Eingabeleitung 14B für die Antriebs schaltung 15B erregt. Die Steuerrelais 16A und 16B können von schnell schaltenden mechanischen Relais gebildet sein; sie können jedoch alternativ hierzu auch in Halbleiterschaltern mit zwei normalerweise offenen Torschaltungen bestehen. Die (+) und(-) Zeichen der Fig. 3 geben die Polarität der der Schaltung zugeführten Ströme an. Das Steuerrelais 16A besitzt normalerweise offene Kontakte 73A und 74A, und das Steuerrelais 16B besitzt normalerweise offene Kontakte 73B und 74B. Erste und zweite Auffrischungsschaltungen 81A und 81B sind an die Kontakte 73A und 73B bzw. die Kontakte 74A und 74B angeschlossen. Die Auffrischungsschaltung 81A besitzt ein polares Relais 84A, das sich erregt und im erregten Zustand verbleibt, wenn ein Strom durch die Spule des Relais 84A in Richtung des dargestellten Pfeils fliesst. Parallel zu dem polaren Relais 84A ist ein Widerstand 85A von typischerweise 100 Ohm in Serie zu einer Diode 86A angeschlossen, wobei die Polarität der Diode dazu dient, einen Auslassweg für eine induzierte Spannung der Spule des Relais 84A durch den Widerstand 85A und die Diode 86A hindurch^iu^ chaff en. Diese zur Spule des Relais 84A parallele Schaltung sorgt für einen Weg für den induzierten Strom bei Zusammenbruch des Feldes der Relaisspule und verzögert somit den Abfall des Relais, wenn die Antriebs spannung von der Relais spule weggenommen wird. Die Dauer der Zeitverzögerung ist von dem Wert des Widerstands 85A abhängig. Vom Relais 84A werden die Kontakte 91A normalerweise offen gehalten. Eine entsprechende Auffrischungs schaltung 81B besitzt ein polares Relais 84B, einen parallelen Schaltkreis mit einem Widerstand 85B und einer Diode 86B, und Kontakte 9 IB. Ein SCRX-Relais 89 ist während der aufeinanderfolgenden Untersuchung der vor dem Fahrzeug befindlichen Zustände zu dessen InbewegungSetzung und Inbewegunghaltung betätigt. Die Erregung des SCRX-Relais 89 sorgt für eine

309840/0409

Kontinuität bzw. Leitfähigkeit in den Schaltern 95. Widerstände 93 und bilden eine Strombegrenzungsimpedanz für die Energiezufuhr. Schaltungsuntersuchungspunkte X und Y sind in Fig. 3 eingezeichnet, um die nachfolgende Beschreibung des Betriebs der Schaltung unter Bezugnahme auf das Zeitbild der Fig. 4 besser zu verdeutlichen.

Im folgenden wird die Schaltung der Fig. 3 unter Bezugnahme auf das Zeitbild der Fig. 3 beschrieben, das die sich verändernden Signale an den Eingabeleitungen 14A und 14B, die resultierenden Spannungsänderungen an den Unt er suchung s punkten X und Y, die Perioden der Auffrischungserregung des Relais 84A und 84B durch die Ströme zwischen den Punkten X und Y und den Signallevel an der Ausgabeleitung 75 darstellt, die an die GeschwindigkeitsSteuereinheit 71 angeschlossen ist. Beispielsweise zur Zeit t ist der Signallevel an der Leitung 14A positiv und der Signallevel an der Leitung 14B negativ. Das positive Signal an der Leitung 14A bewirkt eine Leitfähigkeit an der Antriebsschaltung 15A, wodurch das Steuerrelais 16A erregt wird und die Kontakte 73A und 74A geschlossen werden. Die Schliessung der Kontakte 73A bewirkt einen negativen Spannungslevel am Untersuchungspunkt X. Das Eingabe signal an der Leitung 14B ist negativ, und somit fällt das Steuerrelais 16B ab, werden die geschlossenen Kontakte 73B und 74B in ihre normalerweise offene Stellung gebracht und ein positiver Spannungslevel am Untersuchungspunkt Y bewirkt. Bei positivem Charakter des Untersuchungspunkts Y und negativem Charakter des Untersuchungspunkts X flieset der Strom vom Punkt Y zum Punkt X, und wird somit lediglich das polarisierte Relais 84A zu dieser Zeit erregt, wie in dem Zeitbild dargestellt ist, und ist das Relais 84B von dem zu dieser Zeit fliessenden Strom nicht erregt. Zur Zeit t_ ist der Signallevel an der Leitung 14A negativ, wodurch der Abfall des Steuerrelais 16A und die öffnung der Kontakte 73A und 74A bewirkt wird. Ein positiver Signallevel an der Leitung 14B macht die Antriebsschaltung 15B leitfähig,

309840/0409

erregt das Steuerrelais 16B und schliesst die Kontakte 73Bund 74B. Zu diesem Zeitpunkt flies st der Strom in Richtung vom Punkt X zum Punkt Y. Bei einem Stromfluss in dieser Richtung ist das polare Relais 84B erregt, dem polaren Relais 84A jedoch kein Strom zugeführt. Das Relais 84A wird jedoch mittels des durch die von dem Widerstand 85A und der Diode 86A gebildeten Abführungswege fliessenden Stroms weiterhin erregt gehalten, und das Relais verbleibt während der Zeit t_ im erregten Zustand und die Kontakte 9IA bleiben geschlossen. In entsprechender Weise wird das Relais 84A während der Zeit t„ , zu der ein positives Signal an der Leitung 14A und ein negatives Signal an der Leitung 14B vorliegen, in seinem erregten Zustand aufgefrischt, wobei das Magnetfeld des Relais 84A nach seinem teilweisen Zerfall während der Zeit t wieder aufgebaut wird. In dieser Weise wird die Signalkontinuität durch die Kontakte 91A hindurch fortlaufend aufrecht erhalten, da die Signale an den Leitungen 14A und 14B einander abwechseln, wie Fig. 4 zeigt. In gleicher Weise wird die Erregung des Relais 84B während der Zeit t. durch den vom Punkt X zum Punkt Y fliessenden

Strom aufgefrischt, und wird die Schliessung der Kontakte 91B, wie angegeben, fortlaufend aufrecht erhalten. In dieser zyklischen Weise werden die polaren Relais 84A und 84B abwechselnd in ihrem erregten Zustand aufgefrischt und ihre Kontakte 9IA und 9IB geschlossen gehalten, so dass der Signalweg von den Kontakten 95 durch die Kontakte 91 A und 9IB hindurch zu der GeschwindigkeitsSteuereinheit aufrecht erhalten wird. Die Zeitintervalle t. , t_, t_o und t sind etwa gleiche Intervalle,

12 3 4

typischerweise von etwa 50 Millisekunden, und entsprechen den Zeitintervallen zwischen dem Empfang aufeinanderfolgender Fahrzeugführungsnachrichten von dem Fahrzeug 10. Die Auffrischungsrelais 84A und 84B fallen ab, wenn sie nicht innerhalb einer Zeitspanne t von typischerweise 100 bis 250 Millisekunden, d,h, innerhalb des Zweibis Fünffachen der Zeitintervalle t , t , etc., aufgefrischt werden. Es ist leicht einzusehen, dass, sofern die Signallevel an den Leitun-

309840/OAQ9

gen 14A und 14B aufhören, sich in der beschriebenen Weise für die Dauer beispielsweise des Zeitintervalls t zu verändern, so dass das Relais 84B nicht aufgefrischt wird, das Relais 84A abfällt, wodurch seine Kontakte 9IA geöffnet werden, und dadurch das Signal an die GeschwindigkeitsSteuereinheit 71 verändert. Der Verlust eines Signals auf der Leitung 75 zur Geschwindigkeits Steuereinheit 71 zeigt an, dass die Führungsdaten von einem der Computer 43 oder 44 unzuverlässig und möglicherweise ungültig sind und die Geschwindigkeitssteuerung durch Anhalten des Fahrzeugs reagiert.

Im folgenden wird der programmierte Betrieb der Computer 43 und unter Bezugnahme auf die Fig. 1 und unter gleichzeitiger Bezugnahme auf das Systemflussbild der Fig. 5 und das Nachrichtenformat der Fig. 2 beschrieben. Das Flussbild der Fig. 5 beschreibt das in den Computern 43 und 44 von der Programmsteuereinheit 52 in Reaktion auf wiederholte Mitteilungen vom Fahrzeug 10 verarbeitete Computerprogramm. Die Fahrzeugbetriebsberichtsnachrichten 29 werden von den Computern 43 und 44 von dem Datenpuffer 36 aus empfangen, wie in Block 101 angezeigt ist. Im Block 102 wird das Identifizie rungswort 23 der Fahrzeugbetriebsberichtsnachricht 29 verifiziert, indem es mit dem Identifizierungswort 23 der vorhergehend an das Fahrzeug 10 übermittelten Fahrzeugführungsnachricht 22 verglichen wird. Im Block 103 wird die Fahrzeugbetriebs berichte nach rieht verifiziert, indem bestätigt wird, dass sie in einem besonderen Zeitrahmen im Anschluss an die übertragung der Fahrzeugführungsnachricht vom Computer an das Fahrzeug empfangen worden ist. Sofern der Zeitrahmen gültig ist, geht das Programm zum Block 104 über, um einen abgelaufenen Nachrichtentaktgeber im Computer zurückzustellen, der von Impulsen des Zeitgebers 48 angetrieben wird. Das Computerprogramm geht zu Block 110 über, der eine Reihe von Routinen bzw. Schleifen enthält, die die Position und Geschwindigkeit des Fahrzeugs

309840/0409

aus empfangenen Telemetriedaten errechne: und eine Fahrzeugführungsnachricht mit Antriebs- und Bremsinformationen erstellt, die anschliessend von der Steuerzentrale 31 an das Fahrzeug 10 übertragen wird. Nochmals auf die Blöcke 102 und 103 Bezug nehmend ist festzustellen, dass das Programm, sofern das Identifizierungswort 23 oder der Zeitrahmen als ungültig festgestellt worden wären, zu Block übergehen würde, wo der abgelaufene Nachrichtentaktgeber untersucht würde, um festzustellen, dass bzw. ob die Zeit seit der zuvor empfangenen gültigen Nachricht eine vorbestimmte Grenze überschreitet. Sofern diese Grenze nicht überschritten sein sollte, würde das Programm zu Block 106 übergehen, um wiederum einen Nachrichtenaustausch mit dem Fahrzeug aufzunehmen. Sofern die in Block 105 untersuchte Zeitgrenze überschritten worden ist, würde das Programm zu einer Alarmroutine 107 übergehen, die den Betrieb des Fahrzeugs beeinflusst bzw. beeinträchtigt. Von den Routinen 106, 107 und geht das Programm zu Block 111 über, wo eine Fahrzeugführungsnachricht erstellt und hinsichtlich ihres Formats bearbeitet wird. In Block 112 werden die binären Daten für das beispielsweise in Fig. 2 dargestellte Validitätsfeld 13A alterniert, und werden die Fahrzeugführungsdaten vom Computer 43 aus dem Datenpuffer 36 zugeführt, im Compilerspeicher 37 mit Daten des Computers 44 zusammengefasst und an das Fahrzeug übertragen. Es sollte beachtet werden, dass während der Steuerung eines Fahrzeugs die Validitätsfelder 13A und 13B der Computer 43 und 44<werden)von dem Datenaustausch bzw. der Datenübertragung zwischen den Computern zusammenarbeitend gesteuert^ so dass die Validitätsf eider 13A und 13B komplementäre Datencode in jeder Fahrzeugführungsnachricht enthalten, wobei die Daten zwischen den Validitätsf eidern 13A und 13B für aufeinanderfolgend erstellte Fahrzeugführungsnachrichten ausgetauscht werden.

Im folgenden wird der Betrieb des Mehrcomputer-Fahrzeugsteuerungssystems unter Bezugnahme auf das Blockschaltbild der Fig. 1, die Nachrichtenformate der Fig. 2, die schematische Darstellung der VaIiditätβ schaltung der Fig. 3 und das Zeitbild der Fig. 4 beschrieben. Die Fahrzeugsteuerdaten werden von jedem der Computer 43 und an den Datenpuffer 36 geliefert. Die Fahrzeugführungsnachrichten werden in dem Compilerspeicher 37 erstellt, und zwar durch Zusammenfassung der Teile der von den beiden Computern 43 und 44 stammenden Daten in der Torschaltung und durch Speicherung des Ergebnisses im Bereich C. Zusätzlich umgehen die vom Computer 43 stammenden Daten die Torschaltung 35 und werden dabei direkt in den Bereich A des Compilerspeichers 37 eingebracht, während die vom Computer stammenden Daten direkt in den Bereich B des Speichers 37 eingebracht werden. Das Identifizierungswort 23 der Fahrzeugführungsnachricht 22 besitzt Validitätsdatenfeider 13A und 13B, die in den entsprechenden Bereichen A und B des Compilerspeichers 37 abgespeichert sind. Zusätzlich besitzt das Identifizierungswort 23 ein Adressfeld 21, das ein Segment der im Bereich C des Speichers 37 abgespeicherten Daten ist. Die Fahrzeugführungsnachrichten werden vom Compilerspeicher 37 durch den Sender 34 hindurch weitergegeben und vom Fahrzeug 10 empfangen. Das Identifizierungswort 23 tritt in den Eingabespeicher 63 ein, wird von der angeschlossenen Datenverifikationsschaltung 66 verifiziert, und das Adressfeld 21 wird von der Adresserkennungsschaltung 65 mit dem in dieser vorhandenen Bild verglichen. Ein positiver Vergleich zeigt an, dass die Führungsnachricht an das besondere und die Nachricht empfangende Fahrzeug adressiert ist. Die Signale auf den Leitungen 14A und 14B werden in Übereinstimmung mit Datencoden in den Validitätsfeidern 13A und 13B erstellt bzw. bewirkt. Beispielsweise bewirkt ein positiver Signallevel auf der Leitung 14B die Erregung des Relais 16A und den Abfall des Relais 16B, wobei die Spule des Relais 84A hinsichtlich

309840/0409

23U075

ihrer Erregung aufgefrischt wird, wie in Fig. 4 während der Zeit t angegeben ist. Nachfolgende und vom Fahrzeug 10 empfangene Worte 24, 25 und 26 werden von der Datenverifikations schaltung 66 verifiziert, durch die Decodierungsmatrix 67 hindurchgeführt und taktweise in die Speicher 68, 69 und 70 mittels der Synchronsteuerschaltung 64 eingeführt. Die Synchronsteuer schaltung 64 reagiert auf die empfangene Fahrzeugführungsnachricht 22 zur Auslösung einer Betriebsberichtsnachricht 29. Die Synchronsteuerschaltung 64 wirkt taktweise auf den Zusammenfassungsspeicher 88 ein, um in diesem Signaleingaben der Telemetrieschaltung 87 und der Adresserkennungsschaltung 65 abzuspeichern. Die Synchronsteuerschaltung 64 löst dann die reihenweise Verschiebung der im Zusammenfassungsspeicher abgespeicherten Daten durch den Paritätsgenerator 97 hindurch zu dem Sender 98 aus. Der Paritätsgenerator 97 fügt Paritätsbits hinzu, wenn die Betriebsberichtsnachricht 29 an die Steuerzentrale 31 übertragen wird.

Die Betriebsberichtsnachricht 29 wird vom Empfänger 33 decodiert, im Datenübertragungspuffer 36 bezüglich des Formats überarbeitet und den Sicherheitscomputern 43 und 44 zugeführt, wo die Daten verifiziert und assimiliert werden. Ein zweites Mal erstellen die Computer 43 und 44 eine geeignete Fahrzeugführungsnachricht 22 als Reaktion bzw. Antwort, wie unter Bezugnahme auf das Flussbild der Fig. 5 beschrieben ist, und die Fahrzeugführungsdaten werden wieder von den beiden Computern 43 und 44 für die Fahrzeugführungsnachricht geliefert. Dieses Mal jedoch werden die von den Computern 43 und für die Validitätsfelder 13A und 13B der Fahrzeugführungsnachricht erstellten Datencode gegeneinander ausgetauscht, und in entsprechender Weise erscheint ein negativer Signallevel auf der Leitung 14A und ein positiver Signallevel auf der Leitung 14B, wie für den Zeitintervall t in Fig. 4 dargestellt ist. Während dieser Zeit wird das Relais 16B erregt, und das Relais 16A fällt ab, und die Spule des

30984 0/0409

Relais 84B wird hinsichtlich ihrer Erregung aufgefrischt.

Die oben beschriebene Arbeitsfolge wird wiederholt, und die gemäss Fig. 4 während des Zeitintervalls t, auftretenden Signallevel entsprechen denjenigen während des Zeitintervalls t , und die während des Intervalls t. auftretenden Signallevel entsprechen denjenigen während des Zeitintervalls t_ . 73A beispielsweise soll die Datenanlieferung an den Datenpuffer 36 zur Bildung einer Fahrzeugführungsnachricht 22 im Compilerspeicher 37 unterbrechen, wenn ein positives Signal auf der Leitung 14A auftritt. Das Relais 16A verbleibt im abgefallenen Zustand, das Relais 84A wird nicht weiter aufgefrischt und fällt ab, die Kontakte 91A öffnen sich und das Signal an der Ausgabeleitung 75 zur Geschwindigkeits Steuereinheit 71 setzt aus, wie für den Zeitintervall t_ in Fig. 4 dargestellt ist. Das Ausbleiben eines Signals auf der Leitung 75 zur Geschwindigkeitssteuereinheit 71 hebt die in der Fahrzeugführungsnachricht 22 der Computer 43 und 44 empfangenen Daten auf. Insbesondere werden die in den mit der Geschwindigkeitssteuereinheit 71 verbundenen Speichern 68 und 69 enthaltenen Führungsnachrichten aus der Mitwirkung an der Steuerung der Beschleunigung oder Bremsung des Fahrzeugs 10 gehindert, und das Fahrzeug wird angehalten.

309840/0409

Claims

Patentansprüche

1. Automatisches Fahrzeugsteue rungs system für ein von einer Steuerzentrale aus gesteuertes Fahrzeug, gekennzeichnet durch eine Datenverbindung (l 1, 12, 27, 28) zwischen dem Fahrzeug (10) und der Steuerungszentrale (31) zur Übertragung von Fahrzeugbetriebsberichten (29) vom Fahrzeug (10) aus an die Steuerungszentrale (31) und zur Übertragung von Fahrzeugführungsnachrichten (22) von der Steue rungs zentrale (31) aus an das Fahrzeug (10), ein On-line-Steuersystem (67, 88) im Fahrzeug (10) zur Decodierung der Fahrzeugführungsnachrichten (22) und zur Zusammenfassung der Fahrzeugbetriebsberichtsnachrichten (29), einen Computer sat ζ (43, 44) an der Steuerungszentrale (31) zur Berechnung der Fahrzeugsteuerungsdaten, die in der Fahrzeugführungsnachricht (22) enthalten sind und von der Steuerungszentrale (31) an das Fahrzeug (10) übertragen werden, durch einen mit dem Computer satz (43, 44) in Verbindung stehenden Datenübertragungspuffer (36) für die Zusammenfassung der Fahrzeugführungsnachrichten (22) zur Übertragung an das Fahrzeug (10), einen ersten und einen zweiten Computer (43 bzw. 44) in dem Computersatz zur Berechnung der FahrzeuggeschwindigkeitsSteuerungsdaten, die in den Fahrzeugführungsnachrichten (22) enthalten sein müssen, einen Compilerspeicher (37) in dem Datenübertragungspuffer (36) zur Compilierung der Fahrzeugführungsnachrichten (22), wobei der Compilerspeicher (37) einen ersten Speicherabschnitt (A) zur Abspeicherung der von dem ersten Computer (43) gelieferten Daten, einen zweiten Speicherabschnitt (B) zur Abspeicherung der von dem zweiten Computer (44)

3 0 9 8 Λ 0/0409

23U075

gelieferten Daten und einen dritten Speicherabschnitt (C) zur Abepeicherung der von den beiden Computern (43, 44) gelieferten Daten besitzt, die in diesen dritten Speicherabschnitt (C) eingemischt werden.

2. System nach Anspruch 1, dadurch gekennzeichnet, dass ein Validitätefeld (13A) in dem ersten Speicherabschnitt (A) erstellbar ist und der erste Computer (43) programmierte Mittel zur Datenänderung bzw. zum Datenaustausch in dem Validitätsfeld (13A) bei aufeinanderfolgend compilierten Fahrzeugführungsnachrichten (22) zu erstellen in der Lage ist.

3. System nach Anspruch 2, dadurch gekennzeichnet, dass ein zweites Validitätsfeld (13B) in dem zweiten Speicherabschnitt (B) erstellbar ist und dass der zweite Computer (44) programmierte Mittel zur Datenänderung bzw. zum Datenaustausch in dem zweiten Validitätsfeld (13B) bei aufeinanderfolgend compilierten Fahrzeugführungsnachrichten (22) zu erstellen in der Lage ist und dass der erste Computer (43) in Hinblick auf den zweiten Computer (44) koordiniert ist, so dass die Datenänderung bzw. der Datenaustausch in dem ersten Speicherabschnitt (A) zur Datenänderung bzw. zum Datenaustausch in dem zweiten Speicherabschnitt (B) komplementär ist.

4. System nach Anspruch 3, dadurch gekennzeichnet, dass ein Identifizierung swort (23) in dem Compilerspeicher (37) erstellbar ist, das das von dem ersten Speicherabschnitt (A) gebildete erste Validitätsfeld (13A) , das von dem zweiten Speicherabschnitt (B) gebildete zweite Validitätsfeld (13B) und ein von dem dritten Speicherabschnitt (C) gebildetes Adressfeld (21) enthält, dass das On-line-Steuer'systern einen Eingabespeicher (63), eine Adresserkennungsschaltung (65), die an den Eingabe speicher (63) operativ

309840/0409

23H075

angeschlossen ist, und eine Validitätsschaltung (80) aufweist, die an die Adresserkennungsschaltung (65) operativ angeschlossen ist, wobei der Eingabespeicher (63) Speichermittel für das Identifizierungswort (23) bildet, die Adresserkennungsschaltung (65) Mittel zur Untersuchung des Adressfelds (21) bildet und die Validitäts schaltung (80) auf die Adresserkennungsschaltung (65) ansprechende Mittel für die Validitätsprüfung der Fahrzeugführungsnachricht (22) durch Überprüfung der koordiniert einander abwechselnden Daten in dem ersten und dem zweiten Validitätsfeld (13A bzw. 13B) bildet.

5. System nach Anspruch 4, dadurch gekennzeichnet, dass ein erster und ein zweiter Auffrischungskreis (81A, 81B) in der Validitätsschaltung (80) vorgesehen ist, wobei der erste Auffrischungskreis (81A) von dem ersten Validitätsfeld (13A) , der zweite Auffrischungskreis (81B) von dem zweiten Validitätsfeld (13B) und der erste und der zweite Auffrischungskreis (81A, 81B) in einer komplementären Art erregbar ist bzw. sind, die der Datenänderung bzw. dem Datenaustausch in dem ersten Speicherabschnitt (A) entspricht, die bzw. der komplementär zur Datenänderung bzw. zum Datenaustausch in dem zweiten Speicherabschnitt (B) ist.

6. System nach Anspruch 5, dadurch gekennzeichnet, dass einer der ersten und zweiten Auffrischungskreise (81A, 81B) durch wiederholten Datenauftritt in den ersten Speicherabschnitt (A) und den zweiten Speicherabschnitt (B) aberregbar ist.

7. System nach Anspruch 6, dadurch gekennzeichnet, dass die ersten und zweiten Auffrischungskreise (81A, 81B) so miteinander verbunden sind, dass ein erstes Ausgabesignal bewirkbar ist, wenn sowohl ein erstes und ein zweites Auffrischungskreis signal bei Erregung sowohl des ersten und des zweiten Auffrischungskreises

30984 0/0409

23H075

(81A, 81B) bewirkt wird, und ein zweites Ausgabesignal bei Aberregung eines der beiden ersten und zweiten Auffrischungskreise (81A, 81B) bewirkbar ist.

8. System nach irgendeinem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass eine logische Torschaltung (35) zwischen dem ersten und dem zweiten Computer (43, 44) einerseits und dem Compilerspeicher (37) andererseits zur Einmischung der von dem ersten und dem zweiten Computer (43, 44) übertragenen Daten in den dritten Abschnitt (C) des Compilerspeichers (37) eingeschaltet ist.

9. Automatisches Fahrzeugsteuerungs system für ein von einer Zentrale aus gesteuertes Fahrzeug, gekennzeichnet durch eine Datenverbindung (11, 12, 27, 28) zwischen dem Fahrzeug (10) und der Steuerungszentrale (31) für die Übertragung einer Fahrzeugbetriebsberichtsnachricht (29) vom Fahrzeug (10) aus an die Steuerungszentrale (31) und zur Übertragung einer Fahrzeugführungsnachricht (22) von der Steue rungs zentrale (31) aus an das Fahrzeug (10), ein On-line-Steuerungssystem (67, 88) im Fahrzeug (10) zur Decodierung der Fahrzeugführungsnachrichten (22) und zur Zusammenfassung der Fahrzeugbetriebsberichtsnachrichten (29), eine Geschwindigkeitssteuerungseinrichtung (71), die in Abhängigkeit von den von dem On-line-Fahrzeugsteuerungssystem (67, 88) decodierten Fahrzeugführungsnachrichten (22) zur Steuerung der Beschleunigung und Bremsung des Fahrzeugs (10) arbeitet, einen Computersatz (43, 44) an der Steuerungszentrale (31) zur Berechnung der Fahrzeugsteuerungsdaten, die in den Fahrzeugführungsnachrichten (22) enthalten sind und von der Steuerungszentrale (31) an das Fahrzeug (10) übertragen werden, wenn ein Identifizierungswort (23) in der von der Steuerungszentrale (31) an das Fahrzeug (10) übertragenen Fahrzeugführungsnachricht (22) enthalten ist, wobei das Identifizierungs -

3098U)/0409

23U075

wort (23) ein erstes und ein zweites \^raliditätsfeld (13A bzw, 13B) miteinander abwechselnden und komplementären Daten besitzt, die von dem Computersatz (43, 44) geliefert werden, und wobei das On-line-Steuerungssystem einen Eingabespeicher (63) zur Bildung von Speichermitteln für das Identifizierungswort (23) und eine Validitätsschaltung (80) zur Bildung von Mitteln zur Validitätsprüfung der Fahrzeugführungsnachricht (22) durch Untersuchung der komplementären Daten in dem ersten und dem zweiten Validitätsfeld (13A bzw. 13B) besitzt.

10. System nach Anspruch 9, dadurch gekennzeichnet, dass ein erster und ein zweiter Auffrischungskreis (81A, 81B) in der Validitätsschaltung (80) enthalten ist, wobei der erste Auffrischungskreis (81A) vom ersten Validitätsfeld (13A) , der zweite Auffrischungskreis (81B) von dem zweiten Validitätsfeld (13B) und der erste und der zweite Auffrischungskreis (81A, 81B) in einer komplementären Art erregbar ist bzw. sind, die der Datenänderung bzw. dem Datenaustausch in dem ersten und dem zweiten Validitätsfeld (13A, 13B) entspricht.

11. System nach Anspruch 10, dadurch gekennzeichnet, dass ein erster Signalweg durch den ersten Auffrischungskreis (81A) hindurch besteht, wenn der erste Auffrischungskreis (81A) von dem ersten Validitätsfeld (13A) erregt ist, und ein zweiter Signalweg für eine Zeitspanne besteht, die wesentlich länger ist als die Wiederholungsperiode zwischen zwei aufeinanderfolgend übertragenen Fahrzeugführungsnachrichten (22).

12. System nach Anspruch 11, dadurch gekennzeichnet, dass der erste Signalweg in einer Zeitspanne bis zum Fünffachen der Wiederholungsperiode im Anschluss an die von dem ersten Validitätsfeld (13A) am ersten Auffrischungskreis (81A) zuletzt bewirkten Erregung unterbrechbar ist.

30 9 8 A 0/OAU a ~²⁵"

13. System nach Anspruch 9. dadurch gekennzeichnet, dass ein erster und ein zweiter Computer (43 bzw. 44) in dem Computersatz enthalten ist, wobei der erste Computer (43) zur Bewirkung von Änderungs- bzw. Austauschsignalen für das erste Validitätsfeld (13A) und der zweite Computer (44) zur Bewirkung von Änderungs- bzw. Austauschsignalen für das zweite Validitätsfeld (13B) in dem Identifizierungswort (23) aufeinanderfolgender Fahrzeugführungsnachrichten (22) bestimmt ist.

14. System nach Anspruch 13, dadurch gekennzeichnet, dass der erste und der zweite Computer (43 und 44) für die Bildung komplementärer Signale für das erste und das zweite Validitätsfeld (13A und 13B) koordiniert sind.

15. System nach Anspruch 13, dadurch gekennzeichnet, dass an der Steue rungs zentrale (31) ein Compilerspeicher (37) vorgesehen ist, der Mittel zur Compilierung der Fahrzeugführungsnachricht (22) bildet, wobei der Compilerspeicher (37) einen ersten Abschnitt (A) zur Abspeicherung von von dem ersten Computer (43) stammenden Daten, einen zweiten Abschnitt (B) zur Abspeicherung von von dem zweiten Computer (44) stammenden Daten und einen dritten Abschnitt (C) zur Abspeicherung von von dem ersten und dem zweiten Computer (43 und 44) stammenden und gemischten Daten besitzt.

16. System nach Anspruch 15, dadurch gekennzeichnet, dass das erste Validitätsfeld (13A) indem ersten Abschnitt (A) des Compilerspeichers (37) und das zweite Validitätsfeld (13B) in dem zweiten Abschnitt (B) des Compilerspeichers (37) enthalten ist.

17. System nach Anspruch 15, dadurch gekennzeichnet, dass eine logische Torschaltung (35) zwischen dem Compilerspeicher (37) einerseits und dem ersten und dem zweiten Computer (43 und 44) andererseits zur Einmischung der von den beiden Computern (43, 44)

309840/0409

23U075

übertragenen Daten in den dritten Abschnitt (C) des Compilerspeichers (37) eingeschaltet ist,

18. Fahrzeugsteuerungs-Datenverarbeitungseinrichtung für eine Fahrzeugsteuerungszentrale in einem Fahrzeugsteuerungssystem, gekennzeichnet durch einen ersten und einen zweiten Computer (43 und 44) je für die Berechnung von Fahrzeugsteuerungsdaten und Datenübertragungspuffermittel (36), die an Ausgänge des ersten und des zweiten Computers (43, 44) zur Compilierung einer Fahrzeugführungsnachricht (22) für die Übertragung an ein Fahrzeug (10) angeschlossen sind, wobei die Datenübertragungspuffermittel (36) angeschlossene Datenkombinierungsmittel (35) zur Aufnahme und Kombinierung von Daten des ersten und des zweiten Computers (43, 44) und Datenspeichermittel (37) zur Speicherung der Fahrzeugführungsnachricht (22) aufweisen, die einen ersten zur Aufnahme von ausschliesslich vom ersten Computer (43) erstellten Daten angeschlossenen Speicher (A), einen zweiten zur Aufnahme von ausschliesslich vom zweiten Computer (44) erstellten Daten angeschlossenen Speicher (B) und einen dritten zur Aufnahme der von den Kombinierungsmitteln (35) erstellten Daten angeschlossenen Speicher (C) enthalten.

19. Fahrzeugsteuerungseinrichtung für ein Fahrzeug in einem Fahrzeugsteuerungssystem, gekennzeichnet durch Empfangs- und Decodierungsmittel (62, 67) für an das Fahrzeug (10) übertragene , aufeinanderfolgende Fahrzeugführungsnachrichten (22) und durch Validitätsüberprüfungsmittel (80) für die Nachricht (22), die auf erste und zweite Datencode in dem ersten und dem zweiten Datenfeld (13A, 13B) in jeder der empfangenen Fahrzeugführungsnachrichten (22) reagieren, um ein Nachrichtengültigkeitssignal selektiv in Abhängigkeit vom Austausch der Datencode zwischen dem ersten und dem zweiten Datenfeld (13A, 13B) zu erzeugen.

309840/0409