CN116648397A - 验证车队特别是铁路车队的完整性的系统 - Google Patents

Abstract

描述了一种用于验证车队特别是铁路车队的完整性的系统，其至少包括第一车辆(RV1)和第二车辆(RV2)，其中，所述用于验证车队的完整性的系统包括：被布置为耦合至所述第一车辆(RV1)的第一控制装置(402)，被布置为耦合至所述第二车辆(RV2)的第二控制装置(404)，以及至少一个通信装置(N)，其被布置为允许所述第一控制装置(402)和所述第二控制装置(404)之间的通信。所述第一控制装置(402)和/或所述第二控制装置(404)被布置为：当所述第一控制装置(402)和第二控制装置(404)不再能够通过所述至少一个通信装置(N)彼此相互通信时，确定所述车队(T)的完整性受到损害。

Description

验证车队特别是铁路车队的完整性的系统

技术领域

本发明总体上涉及车辆的车队的领域。具体地，本发明涉及一种验证车队(特别是铁路车队，其包括至少两辆车(在铁路车队的情况下至少是两辆铁路车辆))的完整性的系统。

背景技术

在车队的正常运行中，车队上的驾驶员或各种系统或远程控制站需要能够验证车队的完整性。

验证车队的完整性意味着验证组成车队T的车辆RV没有彼此断开连接。图2中示出了其完整性没有受到损害的车队T的示例。例如，在图2中，所示出的车队是铁路车队。

如从图3中可以看出的，如果车队的两个相邻车辆分离，则车队的完整性将会受到损害。

在这种情况下，包括前导车辆H的车队的第一区段S1在任何情况下都能够安全地保持在驾驶员的手动控制或任何自动控制系统的控制之下。可以根据车队的行驶方向D来定义前导车辆和尾部车辆，例如，前导车辆可以是根据行驶方向D的第一辆车，而尾部车辆可以是根据行驶方向D的最后一辆车。

不利的是，与车队的所述第一区段S1断开的车队的第二区段S2会被阻止接收来自驾驶员或任何自动控制系统的指令。在这种情况下，车队的第二区段可能会继续以不受控制的方式行驶，产生相当大的安全风险。

一般来说，以铁路车辆部门为例进行参照，铁路车队的制动系统包括气动线P，也称为“制动管”，其穿过铁路车队的所有铁路车辆，并且当所述铁路车队未被制动时，其具有约为5bar的压力。当需要对铁路车队进行制动时，可以在制动管中创建或多或少明显的凹陷，以实现对铁路车队的逐步制动。

当铁路车队的完整性受到损害时，由于所述铁路车辆的断开而创建的铁路车队的两个不同区段会自动启动紧急制动动作，以停止并将铁路车队的两个区段都带回到安全状态。

这种紧急制动是通过铁路车队的制动管的上述结构自动发生的。

在铁路车队的铁路车辆脱离的时刻，制动管将被中断，从而在其内部生成压力损失。管线中的压力下降将导致铁路车辆的各种制动系统(其制动力是管道中的压力的函数)施加尽可能大的制动力。

然而，除了紧急制动以外，保持在第一区段S1上的驾驶员或任何自动控制系统都不能对第二断开区段的速度进行其他控制。例如，用来激活第二区段的进一步制动手段(例如机电、电子、机械、机电一体化等)的进一步命令，可能不能由驾驶员手动操作。

在正常运行期间，铁路车队的完整性在任务开始时通过制动管的排气制动测试得到验证。然而，在运行期间，车队的完整性由驾驶员以及位于铁路R侧的与信令系统交互的系统二者来得以验证。这种已知的系统的示例是车轴计数系统100。车轴计数系统基于如下原理：其对配合于闭塞区段的铁路车辆的车轴A进行计数。例如，在车站附近，可以设置特殊的电磁装置102，其允许对在轨道R上通过的铁路车辆(包括机车)的车轴A的数量进行计数。如果计数与针对这种铁路车队所预期的车轴数量不一致，这显然意味着铁路车队的完整性受到了损坏。

在图1中举例示出了车轴计数的示例。

使用固定的轨旁系统对于安装和维护成本来说都是一种负担，并且基于日益增长的铁路交通量，其本身也代表了一种僵化和不可配置的验证系统。

刚才所描述的也同样适用于除铁路以外的其他部门的车辆车队，例如包括跨越所有车辆(即使不是铁路车辆)的“制动管”的其他车辆车队，或者与铁路车辆不同的车辆车队，例如其在公路上或橡胶轮上或以其他方式移动。

发明内容

因此，本发明的目的是提供一种用于验证车队的完整性的系统，其为高度可配置的，可以直接在车队上得以实现，这减少了其安装和维护成本。

根据本发明的方面，以上及其他目的和优势是通过具有权利要求1中所限定的特征的用于验证车队的完整性的系统获得的。在从属权利要求中限定了本发明的优选实施例，其内容应理解为本说明的组成部分。

附图说明

现在将描述根据本发明的用于验证车队的完整性的系统的一些优选实施例的功能特征和结构特征。将参考附图，其中：

-图1示出了根据现有技术的车轴计数系统的通用示例；

-图2示出了车队(例如铁路车队)处于完整性未受损害的状态的情形；

-图3示出了车队(例如铁路车队)处于完整性受到损害的状态的情形；

-图4示出了根据本发明的实施例的用于验证车队的完整性的系统的示图；

-图5示出了其中第一控制装置和第二控制装置被包括在各自的制动控制单元中的实施例；

-图6示出了示例性的通信网络；

-图7示出了用于验证车队的完整性的系统的另一个实施例。

具体实施方式

在详细描述本发明的多个实施例之前，应当澄清的是，本发明的应用并不限于以下描述中所呈现的或附图中所示出的部件的结构细节和配置。本发明可以假定其他的实施例，并在实践中以不同的方式实现或构造。还应理解的是，短语和术语具有描述性目的，并且不应解释为限制性的。使用“包含(include)”和“包括(comprise)”以及其变体将被理解为涵盖以下所列出的元件及其等价物，以及附加的元件及其等价物。

下面将描述用于验证车队的完整性的系统的第一实施例。优选地，该车队可以是铁路车队。

如从图2中可以看出的，这种车队至少包括第一车辆RV1和第二车辆RV2。显然，车队也可以包括两个以上的车辆。例如，在图4中，铁路车队可以包括四个车辆。

作为示例，在图中，所示出的车队是铁路车队。

现在观察图4，用于验证车队的完整性的系统包括被布置为耦合至第一车辆RV1的第一控制装置402，以及被布置为耦合至第二车辆RV2的第二控制装置404。

例如，参照由四个铁路车辆组成的车队，第一车辆RV1可以是组成车队的四个车辆中的任何车辆，而第二车辆RV2可以是组成车队的其余三个车辆中的任何其他车辆。

例如，第一控制装置402和第二控制装置404当中的每个可以是或包括至少一个控制器、至少一个处理器、至少一个微处理器、至少一个微控制器、至少一个PLC等中的至少一个。

此外，用于验证车队的完整性的系统还包括至少一个通信装置N，其被布置为允许第一控制装置402和第二控制装置404之间的通信。

第一控制装置402被布置为当第一控制装置402和第二控制装置404不再能够通过所述至少一个通信装置N彼此相互通信时，确定车队T的完整性受到损害。可替换地或另外，第二控制装置404被布置为当第一控制装置402和所述第二控制装置404不再能够通过所述至少一个通信装置N彼此相互通信时，确定车队T的完整性受到损害。

第一控制装置402和第二控制装置404之间的通信被中断的事实是清晰的信号，即，由于车队的完整性受到损害，或者由于第一控制装置402和第二控制装置404没有相对于彼此被布置在足以确保通信装置允许第一控制装置402和第二控制装置404之间进行通信的距离内，通信装置已经被损坏。在第二种情况下，第一控制装置402和第二控制装置404之间的距离可能由于车队的完整性受到损害而有所增加。

作为示例，如在图4中可以看到，第一控制装置402可以被布置为耦合至车队的前导车辆H，而第二控制装置404可以被布置为耦合至车队的尾部车辆TA。可替换地，第二控制装置404可以被布置为耦合至车队的前导车辆H，而第一控制装置402可以被布置为耦合至车队的尾部车辆TA。

优选地，第一控制装置402和第二控制装置404可以被布置为确定其上分别安装有第一控制装置402和第二控制装置404的车队的车辆。优选地，第一控制装置402和第二控制装置404可以被布置为根据安全完整性等级大于预定的最小安全完整性等级来确定其上分别安装有第一控制装置402和第二控制装置404的车队的车辆。

第一控制装置和第二控制装置可用于确定其上分别安装有第一控制装置和第二控制装置的车队的车辆的方法可以是：对车队中的位置的任何已知的自动/自主确定方法。

在这种情况下，第一控制装置402和第二控制装置404将没有必要被预配置或预编程，以接收或包含在将其安装在车队上期间关于其上安装有第一控制装置402和第二控制装置404的车辆的信息。

一旦安装在车队上，其将能够自身识别其所安装的车辆。

在可替换的实施例中，第一控制装置402和第二控制装置404可被预配置或预编程，以接收或包含关于其所安装的车辆的信息。在这种情况下，第一控制装置402和第二控制装置404将能够基于该信息来确定其上分别安装有第一控制装置402和第二控制装置404的车辆。这种解决方案可用于例如很少改变或不改变其车辆组成的车队。

当第一控制装置402确定被安装于车队的前导车辆H，而第二控制装置404确定被安装于车队的尾部车辆TA时：

-第一控制装置可被布置为在至少一个通信装置N上发送询问消息；以及

-第二控制装置可被布置为从至少一个通信装置N接收询问消息并在至少一个通信装置N上重新传送响应消息。

在刚才所描述的场景中，是安装于前导车辆H的控制装置来验证尾部车辆TA仍然与车队相连接。

否则，当第一控制装置402确定被安装于车队的尾部车辆TA，而第二控制装置404确定被安装于车队的前导车辆H时：

-第一控制装置可被布置为在至少一个通信装置N上发送询问消息；以及

-第二控制装置可被布置为从至少一个通信装置N接收询问消息并在至少一个通信装置N上重新传送响应消息。

在该第二种场景中，是安装于尾部车辆TA中的控制装置来验证其能够与前导车辆H进行通信，以确定尾部车辆TA自身仍然与车队相连接。

优选地，对于上述两种场景，第一控制装置可以被布置为，当在从第一控制装置已经发送询问消息起的预定时间间隔内，通过至少一个通信装置N没有接收到由第二控制装置在至少一个通信装置N上发送的响应消息时，确定车队的完整性受到损害。

或者，对于上述两种场景，第一控制装置可以被布置为，当通过至少一个通信装置N接收到由第二控制装置传输的响应消息，但该接收到的响应消息与预期的响应消息不同时，确定车队的完整性受到损害。

优选地，对于上述两种场景，第二控制装置可以被布置为，当超过等待间隔而通过至少一个通信装置N没有接收到由至少一个通信装置N上的第一通信装置传输的询问消息时，确定车队的完整性受到损害。或者，第二控制装置可以被布置为，当通过至少一个通信装置N接收到由第一控制装置传输的询问消息，但该接收到的询问消息与预期的询问消息不同时，确定车队的完整性受到损害。

例如，等待时间可以是预定的时间。

优选地，响应消息的内容可以根据询问消息的内容来确定。

在示例中，可以基于第一控制装置和第二控制装置已知的生成算法来确定响应消息。通过这种方式，第一控制装置将能够通过该算法确定其自身的预期响应消息，并验证从第二控制装置接收到的响应消息实际上已经由第二控制装置通过该算法生成，因为其与预期消息相匹配。同样的逻辑也可以类似地应用于询问消息。

优选地，如图7所示，车队可以进一步包括至少第三车辆RV3。在这种情况下，用于验证车队的完整性的系统可以包括被布置为耦合至所述第三车辆RV3的至少第三控制装置403。

图4中的元件(其再次出现在图7中)具有用于图4的相同的参考符号。

例如，第三控制装置403可以是或包括至少一个控制器、至少一个处理器、至少一个微处理器、至少一个微控制器、至少一个PLC等中的至少一个。

优选地，第三控制装置403可以被布置为确定其上安装有第三控制装置403的车队的车辆。优选地，第三控制装置403可以被布置为根据安全完整性等级大于预定的最小安全完整性等级来确定其上安装有第三控制装置403的车队的车辆。

第三控制装置可用于确定其上安装有第三控制装置的车队的车辆的方法可以是：对车队中的位置的任何已知的自动/自主确定方法。

通过这种方式，在控制装置403在车队上的安装步骤期间，就没有必要对其进行预配置或预编程，以接收或包含关于其上安装有控制装置403的车辆的信息。

一旦安装在车队上，其将能够自身识别其所安装的车辆。

在可替换的实施例中，第三控制装置403可以被预配置或预编程，以接收或包含关于其上安装有第三控制装置403的车辆的信息。然后，第三控制装置403将能够基于该信息来确定其上安装有第三控制装置403的车辆。

当第三控制装置403确定被安装于中间车辆I(其被布置在车队中位于所述前导车辆和所述尾部车辆之间)时：

-第三控制装置403可被布置为接收由第一控制装置通过至少一个通信装置N发送的询问消息，并通过至少一个通信装置N将询问消息转发给第二控制装置；以及

-第三控制装置403可被布置为接收由第二控制装置通过至少一个通信装置N发送的响应消息，并通过至少一个通信装置N将该响应消息转发给第一控制装置。

换言之，通过生成将提供给第一控制装置(其生成了询问消息)的自身的响应消息，安装于各中间铁路车辆的一个或多个控制装置应该使询问消息“通过”而不应当对其进行响应。如果中间铁路车辆中的一个的控制装置通过生成自身的响应消息而对其从第一控制装置接收到的询问消息做出响应，即“替换”第二控制装置，就有可能不适当地确认车辆的完整性，而没有真正确认第二控制装置被安装于其上的车辆仍然与车队相连接。只有当接收到响应消息并且是预期的消息时，才有可能推断出车队的完整性。由中间车辆的控制装置生成的任何响应消息都会被第一控制装置识别为意外消息。

中间车辆I可以指车队中安装在前导车辆和尾部车辆之间的任何车辆。例如，在由四个车辆组成的车队中，第二车辆和第三车辆RV3(根据车队的行驶方向进行编号)当中的每个都是车队的中间车辆I。

优选地，可以根据大于预定的最小安全完整性等级的安全完整性等级来实施第一控制装置402和第二控制装置404中的每一个。

当存在时，也可以根据大于预定的最小安全完整性等级的安全完整性等级来实施第三控制装置403。

换言之，可以根据最小安全完整性等级(SIL)来实现第一控制装置402、第二控制装置404和第三控制装置403，以确保任何通信的缺乏不能归因于其故障或崩溃。通过根据高SIL来实施第一控制装置402和第二控制装置404，可以肯定任何通信的缺乏是由于车队的完整性受到损害。

关于安全完整性等级SIL的定义，在铁路车辆领域，在本文件中可以参考欧洲标准EN50129：修订版2018、EN50159：修订版2010、EN50126-1：修订版2017、EN50126-2：修订版2017、EN50128：修订版2011，根据本发明申请日时可用的最新更新，其中：

-EN50126【“铁路应用。可靠性、可用性、可维护性和安全性(RAMS)的规范和示范”】；

-EN50128【“铁路应用。通信、信令和处理系统。用于铁路控制和保护系统的软件”】；

-EN50129【“铁路应用。通信、信令和处理系统。用于信令的与安全相关的电子系统”】；

-EN50159【“铁路应用。通信、信令和处理系统。传输系统中的与安全相关的通信”】；

具体地，标准EN50126定义了基于安全分析的结果，将SIL0/1/2/3/4安全等级(安全完整性等级SIL4指示最大安全完整性等级)指派给组成讨论中的的系统的子系统的方法，而标准EN50128和EN50129基于所述安全分析结果所指派的SIL等级，定义了分别应用于软件部件和硬件部件的设计标准。

控制装置、设备、单元或模块等，当至少根据SIL>＝3的安全完整性等级制作时，可被视为按照高安全完整性等级实现。

此外，优选地，至少一个通信装置也可以被布置为允许根据预定的安全协议进行通信。例如，这种预定的安全协议可以是通常被称为“黑色信道”类型的协议。

在另一方面，优选地，通信装置可以是两个或更多个，并可以被布置为通过通信单元连接在一起。

也可以根据标准EN50159所规定的方法来创建通信装置，这保证了高安全完整性等级(SIL)。

在一些实施例中，第一控制装置402、第二控制装置404和第三控制装置403可以是通常已经被包括在车辆上并根据高安全完整性等级SIL制作的控制装置。

优选地，如在图5中可以看到的，第一控制装置402可以被包括在制动控制单元或制动控制模块500中，或者，第二控制装置404可以被包括在制动控制单元或制动控制模块500中，再或者，第一控制装置402和第二控制装置404可以各自被包括在各自的制动控制单元或制动控制模块500中。

当存在时，第三控制装置403也可以被包括在制动控制单元或制动控制模块中。

换言之，第一控制装置402和/或第二控制装置404和/或第三控制装置403可以各自是已经在各自的制动控制单元或模块上的控制装置。这样，同一个控制装置可被同时用于管理车辆的制动和验证车队的完整性。

通常，已经根据高完整性安全等级制作了控制装置和制动控制单元或模块，因此，其也适合用于根据本发明来验证车队的完整性。

制动控制单元或模块通常可以是安装于车辆的控制装置，其负责管理车队的一个或多个铁路车辆的制动装置502。该制动装置可以是一个或多个制动系统的制动装置。

优选地，第一控制装置402和第二控制装置404可以被布置为通过由光学技术手段实现的物理编码或硬件编码来确定其上分别安装有第一控制装置402和第二控制装置404的车队的车辆。

优选地，当存在时，第三控制装置403可以被布置为通过由光学技术手段实现的物理编码或硬件编码来确定其上分别安装有第三控制装置403的车队的车辆。

优选地，除了第三控制装置以外，还可以设置进一步的控制装置，当其确定安装于中间车辆时，可以类似地执行由第三控制装置执行的消息转发功能。换言之，布置在中间车辆上的控制装置可以将接收到的消息转发给对方，直到由第一控制装置传输的消息到达第二控制装置为止，反之亦然。例如，可以根据沿其被分别安装于其上的车辆在车队中的位置而确定的顺序，在不同的控制装置之间转发消息。例如，如果第一控制装置被安装于前导车辆，则可以以运行顺序通过通信装置将询问消息传输至安装于第二车辆的控制装置。一旦已经接收到询问消息，安装于运行顺序中的第二车辆的控制装置将能以运行顺序通过通信装置将其转发至安装于第三车辆的控制装置。针对其他控制装置，转发可以以相同的方式进行，直到询问消息已到达第二控制装置为止。响应消息可以遵循相反的路径进行，直到其到达第一控制装置为止。或者，转发顺序可以是预先确定的顺序。

优选地，通信装置可以包括至少两个冗余的通信信道，并且这种通信信道中的至少一个可以是通信网络600。这些通信信道可以是有线的或无线的。

可替换地或另外地，第一控制装置402和第二控制装置404可以被布置为通过由所述通信装置的节点的顺序识别过程所实现的软件编码来确定其上分别安装有第一控制装置402和第二控制装置404的车队的车辆。

优选地，当存在时，第三控制装置403可以被布置为通过由至少一个通信装置N的节点602的顺序识别过程所实现的软件编码来确定其上分别安装有第三控制装置403的车队的车辆。

在这种情况下，如在图6中可以看到的，通信装置形成通信网络600并且该通信网络可以包括一个或多个网络节点602。

下面将描述用于验证车队的完整性的系统的进一步实施例。

优选地，第一控制装置402可以被布置为通过至少一个通信装置N按照第一预定的周期来传输询问消息。

换言之，第一控制装置402和第二控制装置404可以被布置为通过所述至少一个通信装置按照预定的周期来传输用于完整性验证的各自的通信消息。

这用于验证第一控制装置402和第二控制装置404之间的通信仍然是活动的，并且避免第一控制装置402和第二控制装置404之间的通信沉默不被识别为对车队的完整性的损害。

优选地，第一控制装置402可被布置为按照第二周期来更新询问消息，并且所述第二控制装置404被布置为按照第三周期来更新响应消息。

优选地，第一周期、第二周期和第三周期可以是不同的或彼此相等的。

换言之，第一控制装置402和第二控制装置404可以被布置为按照特定的第二周期来更新用于完整性验证的通信消息。

同样在这种情况下，通过更新用于完整性验证的通信消息，已经执行了安全检查，其确保第一控制装置402和第二控制装置404即使在故障状态下受阻，也继续传输先前的消息，从而使车队的完整性验证无效。

优选地，当第一控制装置402和第二控制装置404分别确定车队的完整性受到损害时，第一控制装置402和/或第二控制装置404可以各自被布置为执行至少一个预定的安全动作。

例如，至少一个预定的安全动作可以包括：至少致动第一车辆RV1或第二车辆RV2的制动装置，其中，第一控制装置402和第二控制装置404分别与该制动装置相关联。优选地，制动装置可以是任何类型的，例如气动、机电、电子、机械、机电一体化、摩擦等。

优选地，当第一控制装置402确定车队的完整性受到损害时，第一控制装置402可以被布置为向第三控制装置403发送报警消息。可替换地或另外地，当第二控制装置404确定车队的完整性受到损害时，第二控制装置404可被布置为向第三控制装置403发送报警消息。因此，第三控制装置403可以被布置为，在接收到来自第一控制装置和/或第二控制装置的报警消息时执行至少一个预定的安全动作。

例如，至少一个预定的安全动作可以包括：至少致动第三车辆RV3的制动装置，其中，第三控制装置403与该制动装置相关联。

优选地，制动装置可以是任何类型的，例如气动、机电、电子、机械、机电一体化、摩擦等。

本申请中所描述的内容在可能的情况下可以类似地应用于任何类型的车队，其例如但不限于：铁路车队、地下车队、橡胶地下车队、公路车队、约束性引导车队、约束性引导车队、陆地车辆车队或其他类型的车队，等等。

所取得的优势是：实现了用于验证车队的完整性的系统，其是高度可配置的，可以直接在车队上实现，减少了其安装和维护成本。

已经描述了根据本发明的用于验证车队的完整性的系统的各个方面和实施例。可以理解的是，每个实施例都可以与任何其他实施例相结合。此外，本发明并不限于所描述的实施例，而是可以在所附权利要求所定义的范围内进行变化。

Claims (29)

1.一种用于验证车队特别是铁路车队的完整性的系统，其至少包括第一车辆(RV1)和第二车辆(RV2)，其中，所述用于验证车队的完整性的系统包括：

-第一控制装置(402)，其被布置为耦合至所述第一车辆(RV1)；

-第二控制装置(404)，其被布置为耦合至所述第二车辆(RV2)；

-至少一个通信装置(N)，其被布置为允许所述第一控制装置(402)和所述第二控制装置(404)之间的通信；

其中，所述第一控制装置(402)和/或所述第二控制装置(404)被布置为：当所述第一控制装置(402)和第二控制装置(404)不再能够通过所述至少一个通信装置(N)彼此相互通信时，确定所述车队(T)的完整性受到损害。

2.根据权利要求1所述的用于验证车队的完整性的系统，其中，所述第一控制装置(402)和所述第二控制装置(404)被布置为确定其上分别安装有所述第一控制装置(402)和所述第二控制装置(404)的所述车队的车辆。

3.根据权利要求2所述的用于验证车队的完整性的系统，其中，当所述第一控制装置(402)确定被安装于所述车队的前导车辆(H)上而所述第二控制装置(404)确定被安装于所述车队的尾部车辆(TA)上时：

-所述第一控制装置被布置为在所述至少一个通信装置(N)上发送询问消息；

-所述第二控制装置被布置为接收来自所述至少一个通信装置(N)的所述询问消息，并在所述至少一个通信装置(N)上重新传送响应消息。

4.根据权利要求2所述的用于验证车队的完整性的系统，其中，当所述第一控制装置(402)确定被安装于所述车队的尾部车辆(TA)上并且所述第二控制装置(404)确定被安装于所述车队的前导车辆(H)上时：

-所述第一控制装置被布置为在所述至少一个通信装置(N)上发送询问消息；

-所述第二控制装置被布置为接收来自所述至少一个通信装置(N)的所述询问消息，并在所述至少一个通信装置(N)上重新传送响应消息。

5.根据权利要求3或4所述的用于验证车队的完整性的系统，其中，所述第一控制装置被布置为：在从所述第一控制装置已经发送所述询问消息起的预定时间间隔内，当所述第一控制装置通过所述至少一个通信装置(N)没有接收到由所述第二控制装置在所述至少一个通信装置(N)上传输的所述响应消息时，确定所述车队的完整性受到损害；

或者

所述第一控制装置被布置为：当所述第一控制装置通过所述至少一个通信装置(N)接收到由所述第二控制装置传输的所述响应消息，但所接收到的响应消息与预期的响应消息不同时，确定所述车队的完整性受到损害。

6.根据权利要求3至5中任一项所述的用于验证车队的完整性的系统，其中，所述第二控制装置被布置为：当超过等待间隔而所述第二控制装置通过所述至少一个通信装置(N)没有接收到由所述第一控制装置通过所述至少一个通信装置(N)传输的询问消息时，确定所述车队的完整性受到损害；

或者

所述第二控制装置被布置为：当所述第二控制装置通过所述至少一个通信装置(N)接收到由所述第一控制装置传输的所述询问消息，但所接收到的询问消息与预期的询问消息不同时，确定所述车队的完整性受到损害。

7.根据权利要求3至6中任一项所述的用于验证车队的完整性的系统，其中，所述车队进一步包括至少第三车辆(RV3)；

其中，用于验证车队的完整性的所述系统包括：被布置为耦合至所述第三车辆(RV3)的至少第三控制装置(403)。

8.根据权利要求7所述的用于验证车队的完整性的系统，其中，所述第三控制装置(403)被布置为确定其上安装有所述第三控制装置(403)FP231049US的所述车队的车辆。

9.根据权利要求8所述的用于验证车队的完整性的系统，其中，当所述第三控制装置(403)确定被安装于所述车队中的位于所述前导车辆和所述尾部车辆之间的中间车辆(I)上时：

-所述第三控制装置(403)被布置为：通过所述至少一个通信装置(N)接收由所述第一控制装置发送的所述询问消息，并且通过所述至少一个通信装置(N)将所述询问消息转发至所述第二控制装置；并且

-所述第三控制装置(403)被布置为：通过所述至少一个通信装置(N)接收由所述第二控制装置发送的所述响应消息，并且通过所述至少一个通信装置(N)将所述响应消息转发至所述第一控制装置。

10.根据前述权利要求中任一项所述的用于验证车队的完整性的系统，其中，根据大于预定的最小安全完整性等级的安全完整性等级来制作所述第一控制装置(402)和所述第二控制装置(404)中的每一个。

11.根据权利要求7至10中任一项所述的用于验证车队的完整性的系统，其中，根据大于预定的最小安全完整性等级的安全完整性等级来制作所述第三控制装置(403)。

12.根据权利要求2至11中任一项所述的用于验证车队的完整性的系统，其中，所述第一控制装置(402)和所述第二控制装置(404)被布置为通过由光学技术手段实现的物理编码或硬件编码来确定其上分别安装有所述第一控制装置(402)和所述第二控制装置(404)的所述车队的车辆。

13.根据权利要求2至11中任一项所述的用于验证车队的完整性的系统，其中，所述第一控制装置(402)和所述第二控制装置(404)被布置为通过由所述至少一个通信装置(N)的节点(602)的顺序识别过程实现的软件编码来确定其上分别安装有所述第一控制装置(402)和所述第二控制装置(404)的所述车队的车辆。

14.根据权利要求7至13中任一项所述的用于验证车队的完整性的系统，其中，所述第三控制装置(403)被布置为通过由光学技术手段实现的物理编码或硬件编码来确定其上分别安装有所述第三控制装置(403)的所述车队的车辆。

15.根据权利要求7至13中任一项所述的用于验证车队的完整性的系统，其中，所述第三控制装置(403)被布置为通过由所述至少一个通信装置(N)的节点(602)的顺序识别过程实现的软件编码来确定其上分别安装有所述第三控制装置(403)的所述车队的车辆。

16.根据前述权利要求中任一项所述的用于验证车队的完整性的系统，其中，所述至少一个通信装置(N)被布置为允许根据预定的安全协议进行通信。

17.根据权利要求16所述的用于验证车队的完整性的系统，其中，所述预定的安全协议是黑色信道协议。

18.根据前述权利要求中任一项所述的用于验证车队的完整性的系统，其中，所述通信装置(N)为两个或更多个，并且被布置为通过通信单元彼此相互连接。

19.根据前述权利要求中任一项所述的用于验证车队的完整性的系统，其中：

-所述第一控制装置(402)被包括在制动控制单元或制动控制模块(500)中，或者

-所述第二控制装置(404)被包括在制动控制单元或制动控制模块(500)中，或者

-所述第一控制装置(402)和所述第二控制装置(404)中的每一个被包括在各自的制动控制单元或制动控制模块(500)中。

20.根据权利要求7至19中任一项所述的用于验证车队的完整性的系统，其中：

-所述第三控制装置(403)被包括在制动控制单元或制动控制模块(500)中。

21.根据权利要求3至20中任一项所述的用于验证车队的完整性的系统，其中，所述第一控制装置(402)被布置为通过所述至少一个通信装置(N)按照第一预定的周期传输所述询问消息。

22.根据权利要求21所述的用于验证车队的完整性的系统，其中，所述第一控制装置(402)被布置为按照第二周期来更新所述询问消息，并且所述第二控制装置(404)被布置为按照第三周期来更新所述响应消息。

23.根据前述权利要求中任一项所述的用于验证车队的完整性的系统，其中：

当所述第一控制装置(402)确定所述车队的完整性受到损害时，所述第一控制装置(402)被布置为执行至少一个预定的安全动作；和/或

-当所述第二控制装置(404)确定所述车队的完整性受到损害时，所述第二控制装置(404)被布置为执行至少一个预定的安全动作。

24.根据权利要求23所述的用于验证车队的完整性的系统，其中，所述至少一个预定的安全动作包括：至少致动所述第一车辆(RV1)或所述第二车辆(RV2)的制动装置(502)，其中，所述第一控制装置(402)和所述第二控制装置(404)分别与所述制动装置(502)相关联。

25.根据权利要求7至24中任一项所述的用于验证车队的完整性的系统，其中：

-当所述第一控制装置(402)确定所述车队的完整性受到损害时，所述第一控制装置(402)被布置为向所述第三控制装置发送报警消息；和/或

-当所述第二控制装置(404)确定所述车队的完整性受到损害时，所述第二控制装置(404)被布置为向所述第三控制装置发送报警消息；

所述第三控制装置被布置为当其接收到至少一个报警消息时执行至少一个预定的安全动作。

26.根据权利要求25所述的用于验证车队的完整性的系统，其中，所述至少一个预定的安全动作包括：至少致动所述第三车辆的制动装置。

27.根据前述权利要求中任一项所述的用于验证车队的完整性的系统，其中，所述通信装置(N)包括至少两个冗余的通信信道。

28.根据权利要求27所述的用于验证车队的完整性的系统，其中，所述通信信道中的至少一个是通信网络(600)。

29.根据权利要求27或28所述的用于验证车队的完整性的系统，其中，所述通信信道中的至少一个是有线的。