DE2701924A1

DE2701924A1 - Fahrzeugsteuerungseinrichtung

Info

Publication number: DE2701924A1
Application number: DE19772701924
Authority: DE
Inventors: Henri Dipl Ing Maatje; Richard Spannagel
Original assignee: Standard Elektrik Lorenz AG
Current assignee: Alcatel Lucent Deutschland AG
Priority date: 1977-01-19
Filing date: 1977-01-19
Publication date: 1978-07-20
Also published as: DE2701924C3; US4198678A; DE2701924B2; ES466150A1

Description

STANDARD ELEKTRIK LORENZ AKTIENGESELLSCHAFT r*

Stuttgart 2701924

H.Maatje-R.Spannagel 2-2 Fahrzeugsteuerungseinrichtung

Die Erfindung betrifft eine Steuereinrichtung für spurgebundene Fahrzeuge, welche über Sende- und Empfangsanlagen Datentelegramme mit einer Zentrale austauschen können.

Aus der DT-OS 2¹» 23 590 ist ein hierarchisch aufgebautes Fahrzeugsteuerungssystem bekannt, in welchem eine Vielzahl von Fahrzeugen von Operationszentralen aus gesteuert werden. Dazu sind auf den Fahrzeugen Steuereinrichtungen notwendig, welche eine große Zahl ver- schiedenster Aufgaben mit signaltechnischer Sicherheit erfüllen müssen.

Solche Steuereinrichtungen wurden bisher, z.B. bei der Linienzugbeeinflussung, ganz speziell für das betreffende Steuerungssystem entwickelt und es wurde dabei in der Regel für jede einzelne Funktion eine be sondere, signaltechnisch sichere Schaltung vorgesehen.

Eine solche Lösung ist wenig flexibel und wird sehr aufwendig, wenn die Zahl der Aufgaben, die die Steuereinrichtung wahrzunehmen hat, größer wird. Dies ist z.B. bei Nahverkehrssystemen, wie dem in der o.g.

16.08.1976, P/Ku

809829/0450

H.Maatje 2-2

DT-OS 24 23 590 beschriebenen, der Fall. Bei dem dort beschriebenen bedarfsgesteuerten System wirkt sich eine Kostenerhöhung bei der Fahrzeug-Steuereinrichtung auch noch dadurch besonders stark aus, daß im Interesse einer wirtschaftlich arbeitenden Bedarfssteuerung, anstatt weniger großer, der Einsatz vieler kleiner Fahrzeugeinheiten angestrebt wird und dies den Anteil der Fahrzeug-Steuereinrichtungen an den Gesamtkosten des Systems wesentlich erhöht.

Aufgabe der Erfindung ist es, eine kostengünstigere, flexiblere und bei gleichbleibender Sicherheit leistungsfähigere Fahrzeug-Steuereinrichtung und damit eine Voraussetzung für ein wirtschaftlich arbeitendes, bedarfsgesteuertes Nahverkehrssystem zu schaffen.

Die Steuereinrichtung nach der Erfindung ist dadurch gekennzeichnet, daß sich zur Auswertung von Steuerbefehlen der Zentrale und zur Zusammenstellung von Meldungen über Zustand, Fahrort und Geschwindigkeiten der Fahrzeuge an die Zentrale auf jedem Fahrzeug zwei Bordrechner befinden, die alle Ergebnisse getrennt erarbeiten und eine Weiterverwertung dieser Ergebnisse nur dann erfolgt, wenn beide Rechner zum selben Ergebnis gelangt sind und daß beide Rechner in bestimmten Zeitabständen Funktionszeichen an Notbremsschaltungen ausgeben, welche eine Zwangsbremsung auslösen, wenn innerhalb einer bestimmten Zeitspanne nicht Funktionszeichen beider Rechner empfangen wurden.Hierdurch wird es möglich, eine große Zahl von verschiedenen Aufgaben mit signaltechnischer Sicherheit auszuführen, wobei

809829/0450

H.Maatje 2-2

Änderungen im Aufgabenkatalog in kurzer Zeit durch Änderungen der Rechnerprogramme vorgenommen werden können und kein Umbau im Gerät erfolgen muß. Außerdem wird die in der letzten Zeit sehr günstige Preisentwicklung auf dem Mikrokomputermarkt ausgenützt.

Eine Ausgestaltung der Steuereinrichtung nach der Erfindung ist dadurch gekennzeichnet, daß zum Vergleich der Ergebnisse der beiden Rechner eine an sichjbekannte Vergleichsschaltung vorhanden ist, deren Funktion von Zeit zu Zeit automatisch durch absichtliche Verfälschung eines der zu vergleichenden Rechnerergebnisse geprüft wird. Dadurch werden Verarbeitungsfehler festgestellt und ein Ausfall der Vergleichseinrichtung nach kurzer Zeit erkannt.

Eine weitere Ausgestaltung der Steuereinrichtung nach der Erfindung ist dadurch gekennzeichnet, daß jedem Rechner eine Notbremsschaltung zugeordnet ist, daß diese Notbremsschaltung aus einem Magnetventil, einem Relais und einem abgestimmten übertrager besteht, an dessen Primärseite eine Wechselspannung anliegt, die aus einer vom Rechner abgegebenen Folge von Spannungsimpulsen in einer Reihenschaltung,bestehend aus einem Flipflop, einem Bandfilter und einem Verstärker, gewonnen wird und dessen Sekundärspannung nach Gleichrichtung in einer Gleichrichterschaltung das Relais zum Anzug bringt und daß ein Arbeitskontakt des Relais in Reihe mit der Wicklung des Magnetventils, welches im stromlosen Zustand geöffnet ist, in einem Ruhestromkreis liegt.

809829/0450

H.Maatje 2-2

Hierdurch ist gewährleistet, daß auch bei Ausfall des Bordstromnetzes, wenn kein Vergleich mehr durchgeführt werden kann, das Fahrzeug zwangsgebremst wird. Außerdem ist durch die Selektivität der Notbremsschaltung sichergestellt, daß nur eine ganz bestimmte Impulsfolge und nicht jede beliebige Einstreuung den Einsatz der Zwangsbremse verhindern kann.

Eine Weiterbildung der Steuereinrichtung nach der Erfindung ist dadurch gekennzeichnet, daß Mittel vorgesehen sind, die bei Feststellung eines Fehlers durch die Vergleichsschaltung die Sendeanlage und alle durch die Rechner angesteuerten Fahrzeugaggregate von den Rechnern abtrennen, eine Wiederholung des mit dem Fehler abgeschlossenen Rechenprozesses einleiten und, wenn auch die Wiederholung zu einem fehlerhaften Ergebnis geführt hat, eine Zwangsbremsung auslösen. So führen systematische Fehler zu einer Zwangsbremsung, sporadische Fehler, die, etwa infolge elektromagnetischer Einstreuung gelegentlich auftreten können, werden dagegen wirkungslos gemacht, was zu einer gleichmäßigen Fahrweise beiträgt.

Eine weitere Weiterbildung der Steuereinrichtung nach der Erfindung betrifft die gesicherte Weitergabe der von den Rechnern erarbeiteten Datentelegramme an die Sendeeinrichtung und ist dadurch gekennzeichnet, daß zur Ausgabe der an die Zentrale gerichteten Datentelegramme beide Rechner über getrennte Datenleitungen mit der Sendeeinrichtung verbunden sind, daß dabei eine der Datenleitungen durch einen von den Rechnern steuerbaren Umschalter wahlweise an einen regulären oder an einen

809829/0450

H.Maatje 2-2

invertierenden Ausgang eines Rechners angeschlossen werden kann, daß die Sendeeinrichtung eine Antivalenzprüfschaltung enthält, welche die von den Rechnern übermittelten Datentelegramme nur dann zur Ausgabe freigibt, wenn diese von beiden Rechnern in zueinander antivalenter Form vorliegen und daß zur Funktionsprüfung der Antivalenzprüfschaltung der steuerbare Umschalter von Zeit zu Zeit umgeschaltet wird und gleichzeitig geprüft wird, ob die Antivalenzprüfschaltung das Fehlen der Antivalenz feststellt.

Andere Weiterbildungen sind dadurch gekennzeichnet, daß beiden Rechnern getrennte Taktgeber zugeordnet sind, welche zur Synchronisation der Taktfrequenz elektrisch gekoppelt sind und daß anstatt einer den Rechnern nach geschalteten Vergleichseinrichtung eine Datenleitung zwischen den Rechnern vorgesehen ist, über die beide Rechner ihre Ergebnisse austauschen und der Vergleich der Ergebnisse in beiden Rechnern erfolgt. Hierdurch wird erreicht, daß die Rechner keine gemeinsame Hard ware mehr benutzen, was die Eintrittswahrscheinlichkeit von Fehlern, die an beiden Rechnerausgängen gleichzeitig auftreten und deshalb durch Vergleich nicht erkannt werden können, stark herabsetzt. Außerdem wird der Vergleich der Rechnerergebnisse doppelt durchgeführt und die externe Vergleichseinrichtung eingespart.

Eine Weiterbildung der Steuereinrichtung nach der Erfindung ist dadurch gekennzeichnet, daß zur Erarbeitung der Datentelegramme und Steuerbefehle die Speicherund Rechenwerke in beiden Rechnern in unterschiedlicher

809829/0450

-Ir-

H.Maatje 2-2

Reihenfolge hintereinandergeschaltet sind und der Vergleich der Ergebnisse erst am Ende eines jeden Rechenzyklus erfolgt. Diese Maßnahme wird in der Praxis durch Verwendung unterschiedlich aufgebauter Rechnerprogramme realisiert und bewirkt, daß auch Verarbeitungsfehler, die auf Programmfehlern basieren, sofort erkannt werden.

Eine andere Weiterbildung der Steuereinrichtung nach der Erfindung hat die Aufgabe,bei Ausfall eines Rechners eine Weiterfahrt des Fahrzeuges zu ermöglichen und damit die Blockierung eines Streckenabschnittes durch ein defektes Fahrzeug zu Verhindern. Sie ist dadurch gekennzeichnet, daß auf jedem Fahrzeug neben den mit der Fahrzeugsteuerung betrauten Rechnern ein dritter Rechner bereitsteht, welcher bei Ausfall eines der zur Fahrzeugsteuerung eingesetzten Rechner anstelle des defekten Rechners automatisch in Betrieb genommen wird.

Eine Alternative zu vorstehender Weiterbildung der Steuereinrichtung nach der Erfindung ist dadurch gekennzeichnet, daß anstatt eines dritten Rechners zwei zusätzliche Rechner auf jedem Fahrzeug bereitstehen, die bei Ausfall eines oder beider mit der Fahrzeugsteuerung betrauter Rechner automatisch an deren Stelle in Betrieb genommen werden und sich in gleicher Weise gegenseitig überwachen wie die von Anfang an zur Fahrzeugsteuerung eingesetzten Rechner. Diese Lösung hat gegenüber der vorstehenden Weiterbildung den Vorteil der einfacheren Umschaltung.

809829/0450

-Jf-

H.Maatje 2-2

Eine letzte Weiterbildung der Steuereinrichtung nach der Erfindung ist dadurch gekennzeichnet, daß Und-Gatter vorgesehen sind, die eine einmal unterbrochene Abgabe von Funktionszeichen der Rechner an die Notbremsschaltungen erst dann wieder zulassen, wenn die Synchronisation zwischen den zwei Rechnern, die die Fahrzeugsteuerung übernehmen sollen, hergestellt ist, der Vergleich der Rechenergebnisse Übereinstimmung zeigt und mindestens zwei Telegramme von der Zentrale empfangen wurden. Damit wird sichergestellt,daß ein Fahrzeug nach Umschaltung eines Rechners oder beider Rechner erst dann wieder Fahrt aufnehmen kann, wenn zwei Bordrechner einwandfrei und synchron arbeiten und eine gesicherte Angabe des nächsten Zielpunktes vorliegt.

Anhand von Figuren soll im folgenden ein Ausführungsbeispiel der Steuereinrichtung nach der Erfindung beschrieben werden:

Fig. 1 zeigt schematisch den Aufbau einer Steuereinrichtung nach der Erfindung;

Fig. 2 zeigt eine Schaltung zur Auslösung der Notbremse bei Rechnerausfall;

Fig. 3 zeigt schematisch die Umschaltung bei Verwendung von einem Reserverechner;

Fig. Ί zeigt schematisch die Umschaltung bei Verwendung von zwei Reserverechnern.

809829/0450

H.Maatje 2-2

Die in Fig. 1 dargestellte Steuereinrichtung enthält zwei Rechner Rl, R2, eine Sendeeinrichtung S, eine Empfangseinrichtung E und eine Vergleichseinrichtung V. Zusätzlich sind zwei Taktgeber Cl, C2, zwei Notbremsschaltungen Ni, N2j3iei externe Parallel-Serien-Wandler PS zwei Trennschalter Sl, S2 und ein Umschalter S3 dargestellt.

Beide Rechner erhalten Datentelegramme von einer Zentrale über einen Eingang ET und die Empfangseinrichtung E. Zusätzlich erhalten sie über einen Eingang EP Daten von verschiedenen Fahrzeugeinrichtungen wie Ortungs- und Geschwindigkeitsmeßsystem, Antriebs- und Bremssteuerung Türschließeinrichtung und automatischer Ankuppelvorrichtung.

Aus den empfangenen Datentelegrammen erarbeiten beide Rechner unabhängig voneinander Steuerbefehle für die Fahrzeugeinrichtungenjwelche nach vorher erfolgtem Vergleich über einen Ausgang AP ausgegeben werden. Aus den Daten der Fahrzeugeinrichtungen stellen beide Rechner Datentelegramme für die Zentrale zusammen, welche nach Vergleich und festgestellter Identität über einen Ausgang AT zur Zentrale übermittelt werden.

Alle Verarbeitungsprozesse der Rechner erfolgen parallel und taktsynchron. Dies wird durch die Taktgeber Cl und C2 welche über eine elektrische Kopplung K synchronisiert sind, gewährleistet. Vorliegende Rechenergebnisse werden bitseriell im VergleicherVverglichen. Bei Nüitübereinstimmung wird den Rechnern über eine Verbindung 1 Mitteilung gemacht. Die Folge davonfist die Abtrennung der Sendeeinrichtung S und aller Fahrzeugaggregate von den

809829/0450

^³ 27 O Ί 9

H.Maatje 2-2

Rechnern durch die Schalter Sl und S2 und danach die Wiederholung des gesamten Rechenprozesses, der zu dem festgestellten falschen Ergebnis geführt hat. Dazu werden die selben Ausgangsdaten verwendet, welche zu diesem Zeitpunkt noch in den Eingangsspeichern der Rechner abgespeichert sind. Signalisiert der Vergleicher nach der Wiederholung erneut Nichtübereinstimmung der Ergebnisse, so werden von beiden Rechnern die Notbremsschaltungen Nl und N2 zur Auslösung der Notbremse veranlaßt. Stellt der Vergleicher bei der Wiederholung eines Rechenprozesses keinen Fehler mehr fest, werden die Sendeeinrichtung und die Fahrzeugaggregate wieder an die Rechnerausgänge angeschlossen und der normale Fahrbetrieb wird fortgesetzt.

Fällt die Vergleichseinrichtung aus, so wird dies beim ersten absichtlich gefälschten Rechnerergebnis bemerkt und den Rechnern mitgeteilt. Diese veranlassen dann eine Wiederholung der Prüfung bei abgetrennter Sendeeinrichtung und abgetrennten Fahrzeugaggregaten. Arbeitet die Vergleichsschaltung auch während der Wiederholung nicht, wird die Notbremse betätigt, ansonsten der normale Betrieb wieder aufgenommen.

Um Übertragungsfehler auf dem Weg zur Sendeeinrichtung auszuschalten}sind beide Rechner mit der Sendeeinrichtung verbunden und ein vom Rechner Rl vorliegendes Telegramm wird nur dann ausgegeben, wenn das über Leitung 4 eingegangene, vom Rechner R2 erarbeitete Telegramm antivalent vorliegt und dies durch eine der

809829/0450

II.Maat je 2-2

Sendeeinrichtung zugeordnete und in der Zeichnung nicht dargestellte Antivalenzprüfschaltung festgestellt wird. Zur Funktionsprüfung dieser Antivalenzprüfschaltung wird in regelmäßigen Zeitabständen durch Umschalten des Schalters S3 ein nicht antivalentes Telegrammpaar zur Sendeeinrichtung übermittelt. Aus Sicherheitsgründen darf das reguläre Telegramm zu dieser Prüfung nicht über den für die Ausgabe von gültigen Telegrammen verwendeten Kanal ausgegeben werden. Es wird deshalb der Schalter Sl geöffnet und zur Übermittlung des vom Rechner Rl erarbeiteten Datentelegramms an die Sendeeinrichtung eine separate Prüfleitung 6 verwendet. Auch diese Prüfung wird wiederholt, wenn sich ein Fehler der Antivalenzprüfschaltung herausgestellt hat und erst bei zweimaliger Fehleranzeige wird die Notbremse ausgelöst.

Eine Notbremsschaltung ist in Fig. 2 dargestellt. Sie enthält neben einem über einen Arbeitskontakt b eines Relais B gespeisten Magnetventil BV ein Flipflop FF, ein Bandfilter BF, einen Verstärker A, einen abgestimmten übertrager AU und eine Gleichrichterschaltung GL.

Da die Notbremse auch bei totalem Stromausfall funktionieren muß, muß das Magnetventil BV in einem Ruhestromkreis liegen. In diesem liegt auch der Arbeitskontakt b des Relais B, dessen Erregung vom Vorhandensein eines Funktionszeichens des zugehörigen Rechners abhängt. Das Funktionszeichen, in diesem Falle ein in gleichmäßigen Zeitabständen abgegebener Impuls gelangt über einen Eingang RE in die Notbremsschaltung und wird durch das

809829/0450

H.Maatje 2-2

Flipflop FF in eine Rechteckspannung und durch das Bandfilter BF in eine Wechselspannung von nahezu sinusförmigem Verlauf umgewandelt. Nach Verstärkung im Verstärker A wird damit der Primärkreis des abgestimmten Ubertragens Al) erregt. Die sekundärseitig induzierte Spannung wird durch die Gleichrichterschaltung GL gleichgerichtet und treibt Strom durch die Wicklung des Relais R. Bleibt das Funktionszeichen des Rechners aus, so bricht die Spannung an der Wicklung des Relais B zusammen, das Relais fällt ab, der Arbeitskontakt b öffnet und der Ruhestrom, der das Magnetventil BV geschlossen hält, wird unterbrochen. Damit öffnet das Magnetventil und die Bremse spricht an. Da beiden Rechnern solche Notbremsschaltungen zugeordnet sind, wird jeder Rechnerausfall bemerkt.

Fig. 3 zeigt die Umschaltung bei Verwendung eines dritten Rechners als Reserverechner und enthält neben zwei mit der Fahrzeugsteuerung betrauten Rechnern Rl, R2 einen Rechner R3 sowie Ausgabepuffer APl, AP2 und Schalter USl, US2, welche hier der Einfachheit halber als Umschaltkontakte dargestellt, in Wirklichkeit aber als Halbleiterschalter ausgeführt sind und je mindestens 15 Verbindungen schalten.

Die Schnittstelle an der ein defekter Rechner abgetrennt und der Reserverechner angeschaltet wird, liegt zwischen Rechner und Ausgabepuffer. Die Schalter USl, US2 sind gekoppelt und können nur gleichzeitig miteinander betätigt werden. Wird z.B. der Rechner Rl defekt, so

809829/0450

H.Maatje 2-2

tritt die Notbremse in Aktion. Gleichzeitig mit Auslösung der Notbremse erfolgt die Weiterschaltung der Schalter USl und US2. Damit wird anstelle des Rechners Rl der Rechner R3 angeschaltet und einer Wiederaufnahme des Fahrbetriebes steht nichts mehr im Wege. War der Rechner R2 defekt, so nützt eine Weiterschaltung der Schalter USl und US2 in die nächste Stellung noch nichts, erst eine nochmalige Weiterschaltung stellt die Kombination der beiden intakten Rechner Rl und R3 her.

In Fig. Ij ist die Umschaltung bei Verwendung eines Reserverechnerpaares dargestellt. Den Rechnern Rl und R2 sind eingangsseitig zwei Rechner R3 und R¹J parallelgeschaltet. Zwei Schalter US3 und US¹J besitzen nur zwei Schaltstellungen und werden ebenfalls zusammen mit der Notbremse betätigt. Wird einer der Rechner Rl oder R2 defekt, so werden US3 und US'! umgeschaltet und die Rechner R3 und R*J übernehmen die Steuerung des Fahrzeuges.

11 Ansprüche
2Bl. Zeichnungen

8098i>9 /0450

Claims

270"!

H.Maatje 2-2

Ansprüche

il Steuereinrichtung itir spurgebundene Fahrzeuge welche über Sende- und Empfangsanlagen Datentelegramme mit einer Zentrale austauschen können, dadurch gekennzeichnet, daß sich zur Auswertung von Steuerbefehlen der Zentrale und zur Zusammenstellung von Meldungen über Zustand, Fahrort und Geschwindigkeiten der Fahrzeuge an die Zentrale auf jedem Fahrzeug 2 Bordrechner (Rl, R2) befinden, die alle Ergebnisse getrennt erarbeiten und eine Weiterverwertung dieser Ergebnisse nur dann erfolgt, wenn beide Rechner zum selben Ergebnis gelangt sind und daß beide Rechner in bestimmten Zeitabständen Funktionszeichen an Notbremsschaltungen (Nl, N2) ausgeben, welche eine Zwangsbremsung auslösen, wenn innerhalb einer bestimmten Zeitspanne nicht Funktionszeichen beider Rechner empfangen wurden.

2. Steuereinrichtung nach Anspruch 1, dadurch gekennzeichnet, daß zum Vergleich der Ergebnisse der beiden Pechner eine an sich bekannte Vergleichsschaltung (V) vorhanden ist, deren Funktion von Zeit zu Zeit automatisch durch absichtliche Verfälschung eines der zu vergleichenden Rechnerergebnisse geprüft wird.

23.08.1976, P/Ku

809829/0450 QRIGJNAL INSPECTED

H.Maatje 2-2

Steuereinrichtung nach Anspruch 2, dadurch gekennzeichnet, daß jedem Rechner eine Notbremsschaltung (Nl, N2) zugeordnet ist, daß diese Notbremsschaltung aus einem Magnetventil (BV) einem Relais (B) und einem abgestimmten Übertrager (Aü) besteht, an dessen Primärseite eine Wechselspannung anliegt, die aus einer vom Rechner abgegebenen Folge von Spannungsimpulsen in einer Reihenschaltung, bestehend aus einem Flipflop (FF),einem Bandfilter (BF) und einem Verstärker (A), gewonnen wird und dessen Sekundärspannung nach Gleichrichtung in einer Gleichrichterschaltung (GL) das Relais (B) zum Anzug bringt und daß ein Arbeitskontakt (b) des Relais (B) in Reihe mit der Wicklung des Magnetventils (BV), welches im stromlosen Zustand geöffnet ist, in einem Ruhestromkreis liegt.

Steuereinrichtung nach Anspruch 3> dadurch gekennzeichnet, daß Mittel vorgesehen sind, die bei Feststellung eines Fehlers durch die Vergleichsschaltung die Sendeanlage und alle durch die Rechner angesteuerten Fahrzeugaggregate von den Rechnern abtrennen, eine Wiederholung des mit dem Fehler abgeschlossenen Rechenprozesses einleiten und, wenn auch die Wiederholung zu einem fehlerhalften Ergebnis geführt hat,eine Zwangsbremsung auslösen.

Steuereinrichtung nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß zur Ausgabe der an die Zentrale gerichteten Datentelegramme beide Rechner über getrennte Datenleitungen (4, 7) mit der Sendeeinrichtung (S) verbunden sind, daß dabei eine der Datenleitungen durch einen von den Rechnern steuerbaren Umschalter (S3) wahlweise an einen regulären oder an einen invertierenden

809829/0450

Ausgang eines Rechners (R2) angeschlossen werden kann, daß die Sendeeinrichtung eine Antivalenzprüfschaltung enthält, welche die von den Rechner übermittelten Datentelegramme nur dann zur Ausgabe freigibt, wenn diese von beiden Rechnern in zueinander antivalenter Form vorliegen und daß zur Punktionsprüfung der Antivalenzprüfschaltung der Schalter(S3)von Zeit zu Zeit umgeschaltet wird und gleichzeitig geprüft wird, ob die Antivalenzprüfschaltung das Fehlen der Antivalenz feststellt.

6. Steuereinrichtung nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß beiden Rechnern getrennte Taktgeber (Cl, C2) zugeordnet sind, welche zur Synchronisation der Taktfrequenz elektrisch gekoppelt sind.

7. Steuereinrichtung nach Anspruch 2, 3, ^, 5 oder 6,dadurch gekennzeichnet, daß anstatt einer den Rechnern nachgeschalteten Vergleichseinrichtung (V) eine Datenleitung zwischen den Rechnern vorgesehen ist, über die beide Rechner ihre Ergebnisse austauschen und der Vergleich der Ergebnisse in beiden Rechnern erfolgt.

8. Steuereinrichtung nach Anspruch 7, dadurch gekennzeichnet, daß zur Erarbeitung der Datentelegramme und Steuerbefehle die Speicher und Rechenwerke in beiden Rechnern in unterschiedlicher Reihenfolge hintereinandergeschaltet sind und daß der Vergleich der Ergebnisse erst am Ende eines jeden Rechenzyklus erfolgt.

R098?9/(H50

H.Maatje 2-2

9. Steuereinrichtung nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß auf jedem Fahrzeug neben den beiden mit der Fahrzeugsteuerung betrauten Rechnern (Rl, R2) ein dritter Rechner (R3) bereitsteht, welcher bei Ausfall eines der zur Fahrzeugsteuerung eingesetzten Rechner anstelle des defekten Rechners automatisch in Betrieb genommen wird.

10. Steuereinrichtung nach Anspruch 9, dadurch gekennzeichnet, daß anstatt eines dritten Rechners (R3) zwei zusätzliche Rechner (R3, R¹*) auf jedem Fahrzeug bereitstehen, die bei Ausfall eines oder beider mit der Fahrzeugsteuerung betrauter Rechner automatisch an deren Stelle in Betrieb genommen werden und sich in gleicher Weise gegenseitig überwachen wie die von Anfang an zur Fahrzeugsteuerung eingesetzten Rechner.

11. Steuereinrichtung nach Anspruch 9.oder 10, dadurch gekennzeichnet, daß Und-Gatter vorgesehen sind, die eine einmal unterbrochene Abgabe von Funktionszeichen der Rechner an die Notbremsschaltungen (Nl, N2) erst dann wieder zulassen, wenn die Synchronisation zwischen den zwei Rechnern, die die Fahrzeugsteuerung übernehmen sollen, hergestellt ist, der Vergleich der Rechenergebnisse Übereinstimmung zeigt und mindestens zwei Datentelegramme von der Zentrale empfangen wurden.

809829/0450