DE102007004917A1

DE102007004917A1 - Verfahren und Anordnung zur Ansteuerung und Überwachung von Feldelementen

Info

Publication number: DE102007004917A1
Application number: DE102007004917A
Authority: DE
Inventors: Rudolf Temming
Original assignee: Siemens AG
Current assignee: Siemens AG
Priority date: 2007-01-26
Filing date: 2007-01-26
Publication date: 2008-07-31
Anticipated expiration: 2027-01-27
Also published as: WO2008090130A1; DE102007004917B4

Abstract

Die Erfindung betrifft ein Verfahren und eine Anordnung zur Ansteuerung und Überwachung von Feldelementen, insbesondere Weichenantrieben (5), Signallampen (4) und Achszähler, einer Eisenbahnsicherungsanlage. Um auf einen feldelementseitigen sicheren Rechner verzichten zu können, ist vorgesehen, dass ein erstes Board mit einem signaltechnisch sicheren Rechner (1) und diesem zugeordneten Funktionsmodulen (2A, 2B, 2C, 2K1) als Master-Board (3A) und ein zweites Board mit feldelementspezifischen Funktionsmodulen (2D, 2E, 2F, 2G, 2K2) als Slave-Board (3B) verwendet werden, wobei die Boards (3A, 3B) über eine Datenleitung (8) oder einen Funkkanal miteinander verbunden sind und der sichere Rechner (1) des Master-Boards (3A) über ein zweikanaliges Bussystem (6) des Master-Boards (3A) mit den Funktionsmodulen (2A, 2B, 2C, 2K1) des Master-Boards (3A) und über ein zweikanaliges Bussystem (9) des Slave-Boards (3B) mit den Funktionsmodulen (2D, 2E, 2F, 2G, 2K2) des Slave-Boards (3B) kommuniziert.

Description

Die Erfindung betrifft ein Verfahren und eine Anordnung zur Ansteuerung und Überwachung von Feldelementen einer Eisenbahnsicherungsanlage. Derartige Feldelemente sind beispielsweise Weichenantriebe, Signale, Achszähler, Gleisfreimeldeeinrichtungen, Geschwindigkeitsmesseinrichtungen, Fahrsperren oder sichere Kontaktabfragen. Eisenbahnsicherungsanlagen müssen üblicherweise Sicherheitsanforderungen genügen, die in der Norm CENELEC EN50129 in Form von Sicherheitsstufen SIL0 – signaltechnisch nicht sicher – bis SIL4 – signaltechnisch hochgradig sicher – definiert sind.
Eine mindestens den Anforderungen gemäß SIL3 genügende Anordnung zur Ansteuerung und Überwachung von Feldelementen ist aus der DE 103 55 862 A1 sowie der DE 103 55 864 A1 bekannt. Das Prinzip dieser Anlage ist in 1 dargestellt. Dabei ist ein signaltechnisch sicherer Rechner 1 mit Funktionsmodulen 2A, 2B, 2C, 2D, 2E, 2F und 2G verbunden. Diese Komponenten 1 und 2A bis 2G sind auf einem Board 3 angeordnet, welches mit dem anzusteuernden und zu überwachenden Feldelement, beispielsweise einer Signallampe 4 oder einem Weichenantrieb 5 verbunden ist. Die Funktionsmodule 2A bis 2G sind über einen zweikanaligen Bus 6 an den sicheren Rechner 1 angeschlossen. Die Funktionsmodule 2A bis 2G repräsentieren bestimmte Funktionalitäten, beispielsweise Prüfschaltungen, Leistungsschalter, Filter, digitale Ein- und Ausgänge, Kommunikationsschnittstellen oder auch Rechner, wie in der DE 102 21 575 A1 näher beschrieben. Ein Teil der Funktionsmodule 2D bis 2G ist dabei als feldelementspezifisches Stellteil 7 konfiguriert. Der sichere Rechner 1 kommuniziert über die beiden Buskanäle 6A und 6B mit den Funktionsmodulen 2A bis 2G, wobei von dem sicheren Rechner 1 zyklisch Datentelegramme an die Funktionsmodule 2A bis 2G gesendet werden und zyklisch der Status der Funktionsmodule 2A bis 2G empfangen wird. Der Status beinhaltet beispielsweise einen Ist-Strom einer angeschlossenen Signallampe 4. Der sichere Rechner 1 mit den Funktionsmodulen 2A bis 2G befindet sich üblicherweise auf dem Board 3 oder in einem Baugruppenrahmen, wobei der sichere Rechner 1 an ein Kommunikationsnetzwerk eines übergeordneten Stellwerks angeschlossen ist. Auch für den Fall, dass nur die feldelementspezifischen Funktionsmodule 2D bis 2G des Stellteils 7 direkt im Feld angeordnet sind und die restlichen Funktionsmodule 2A, 2B und 2C dem Stellwerk zugeordnet sind, muss für die Kommunikation zwischen dem Stellwerk und dem Stellteil 7 stellteilseitig, d. h. im Feld, ein sicherer Rechner vorgesehen sein.
Der Erfindung liegt die Aufgabe zugrunde, ein Verfahren und eine Anordnung zur Ansteuerung und Überwachung von Feldelementen einer Eisenbahnsicherungsanlage anzugeben, bei dem ein feldelementseitiger sicherer Rechner entbehrlich ist.
Verfahrensgemäß wird die Aufgabe dadurch gelöst, dass ein erstes Board mit einem signaltechnisch sicheren Rechner und diesem zugeordneten Funktionsmodulen als Master-Board und ein zweites Board mit feldelementspezifischen Funktionenmodulen als Slave-Board verwendet werden, wobei die Boards über eine Datenleitung oder einen Funkkanal miteinander verbunden sind und der sichere Rechner des Master-Boards über ein zweikanaliges Bussystem des Master-Boards mit den Funktoinsmodulen des Master-Boards und über ein zweikanaliges Bussystem des Slave-Boards mit den Funktionsmodulen des Slave-Boards kommuniziert. Die Entfernung zwischen den beiden Boards kann viele Kilometer betragen, wobei das Master-Board vorzugsweise stellwerkseitig und das Slave-Board vorzugsweise feldelementseitig angeordnet sind. Auf dem Slave-Board ist kein eigener sicherer Rechner erforderlich, da der sichere Rechner des Master-Boards mit den Funktionsmodulen des Slave-Boards kommuniziert, als wären diese auf dem Master-Board. Durch die Boardarchitektur mit Master-Board und Slave-Board ist im sicheren Rechner des Master-Boards quasi nicht bekannt, welche Funktionsmodule sich auf dem eigenen Board und welche Funktionsmodule sich auf dem Slave-Board befinden.
Um diese Architektur zu unterstützen, ist gemäß Anspruch 2 vorgesehen, dass an Funktionsmodule des Slave-Boards adressierte Datentelegramme des sicheren Rechners von einem Kommunikationsmodul des Slave-Boards in beide Kanäle des Bussystems des Slave-Boards eingespeist werden und anhand funktionsmodulspezifischer Adressen nur von dem adressierten Funktoinsmodul des Slave-Boards empfangen werden und von den anderen Funktionsmodulen verworfen werden. Dadurch ist gewährleistet, dass der sichere Rechner des Master-Boards zu jeder Zeit immer nur ein bestimmtes Funktionsmodul auf dem Slave-Board ansprechen kann.
Eine Anordnung zur Durchführung des Verfahrens ist gemäß Anspruch 3 dadurch gekennzeichnet, dass ein erstes Board als Master-Board mit einem signaltechnisch sicheren Rechner und diesem zugeordneten Funktionsmodulen ausgebildet ist und ein zweites Board als Slave-Board mit feldelementspezifischen Funktionsmodulen ausgebildet ist, wobei die Boards über eine Datenleitung oder einen Funkkanal miteinander verbunden sind und der sichere Rechner des Master-Boards über ein zweikanaliges Bussystem des Master-Boards mit den Funktionmodulen des Master-Boards und über ein zweikanaliges Bussystem des Slave-Boards mit den Funktionsmodulen des Slave-Boards verbunden ist.
Dabei ist gemäß Anspruch 4 vorzugsweise vorgesehen, dass die Datenleitung einkanalig ausgebildet ist und Master-Board-seitig mit einem ersten Kommunikationsmodul und Slave-Board-seitig mit einem zweiten Kommunikationsmodul verbunden ist, wobei das zweite Kommunikationsmodul Mittel zum Einspeisen von Datentelegrammen des sicheren Rechners in beide Kanäle des Bussystems des Slave-Boards aufweist.
Die beiden Kanäle des Bussystems des Slave-Boards sind dabei gemäß Anspruch 5 jeweils mit galvanischen Trennungen ausgestattet.
Die Erfindung wird nachfolgend anhand figürlicher Darstellungen näher beschrieben. Es zeigen:
1 eine Board-Architektur nach dem Stand der Technik und
2 eine erfindungsgemäße Board-Architektur.
Bei der oben erläuterten bekannten Board-Architektur gemäß 1 sind alle wesentlichen Baugruppen, die zur Ansteuerung und Überwachung von Feldelementen, beispielsweise Signallampen 4 und Weichenantrieben 5, benötigt werden, auf einem Board 3 angeordnet. Als Board 3 wird dabei eine Leiterplatte bezeichnet, die mit diesen Baugruppen, nämlich dem sicherheitsrelevanten Rechner 1 und den Funktionsmodulen 2A bis 2G bestückt ist. Der Aufbau und die Bestimmung der Funktionsmodule 2A bis 2G ist aus der DE 102 21 575 A1 bekannt, wobei die Funktionsmodule 2A bis 2G nach dem Baukastenprinzip feldelementspezifisch für die Ansteuerung und Überwachung des Feldelementes zusammengeschaltet werden. Die eigentliche Stellteilfunktion zur unmittelbaren Beaufschlagung des Feld elementes wird dabei durch die Funktionsmodule 2D, 2E, 2F und 2G realisiert.
Bestrebungen nach räumlicher Entzerrung führen zu einer in 2 veranschaulichten Board-Architektur. Vorgesehen sind zwei separate Boards 3A und 3B, deren räumliche Entfernung viele Kilometer betragen kann. Das Board 3B übernimmt dabei die unmittelbare Stellteilfunktion mit den Funktionsmodulen 2D, 2E, 2F und 2G, während das Board 3A mit dem sicheren Rechner 1 und den Funktionsmodulen 2A, 2B und 2C bestückt ist und in einem Stellwerk angeordnet sein kann. Zur Kommunikation zwischen den beiden Boards 3A und 3B sind diese über eine einkanalige Datenleitung 8 miteinander verbunden, wobei die Datenleitung 8 stellwerkseitig über ein zusätzliches Funktionsmodul 2K1 an einen Buskanal 6A auf dem Board 3A und stellteilseitig über ein zusätzliches Funktionsmodul 2K2 an zwei Buskanäle 9A und 9B eines zweikanaligen Busses 9 auf den Board 3B angeschlossen ist. Die Datentelegramme, die von dem sicheren Rechner 1 zur Ansteuerung des Feldelementes generiert werden, werden über den Buskanal 6A, das Funktionsmodul 2K1, die Datenleitung 8 und das Funktionsmodul 2K2 weitergeleitet und dort auf beide Buskanäle 9A und 9B verteilt. Das Datentelegramm wird dadurch von allen Funktionsmodulen 2D, 2E, 2F und 2G des Steilteil-Boards 3B gleichzeitig empfangen, aber nur dasjenige Funktionsmodul, dessen Teilnehmeradresse identisch ist mit einem Adressanhang des Datentelegramms, darf das Datentelegramm bearbeiten. Alle anderen Funktionsmodule verwerfen das Datentelegramm. Eine galvanische Trennung 10 der beiden Buskanäle 9A und 9B sorgt für Rückwirkungsfreiheit. Die Kommunikation zwischen dem sicheren Rechner 1 auf dem Stellwerks-Board 3A und den Funktionsmodulen 2D, 2E, 2F und 2G auf dem Stellteil-Board 3B erfolgt nach dem Master-Slave-Prinzip. Das Stellteil-Board 3B fungiert dabei als Slave. Auf diese Weise kann der Rechner 1 unterschiedslos mit allen Funktionsmodulen 2A bis 2G auf beiden Boards 3A und 3B kommunizieren, ohne dass ein weiterer sicherer Rechner auf dem Stellteil-Board 3B zwischengeschaltet werden muss. Die Kommunikation beinhaltet dabei eine bidirektionale Übertragung von digitalen und analogen Informationen sowie auch von Werten, beispielsweise dem Auslösewert einer Sicherung.
ZITATE ENTHALTEN IN DER BESCHREIBUNG
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
Zitierte Patentliteratur

- DE 10355862 A1 [0002]
- DE 10355864 A1 [0002]
- DE 10221575 A1 [0002, 0012]

Claims

Verfahren zur Ansteuerung und Überwachung von Feldelementen, insbesondere Weichenantrieben (5), Signallampen (4) und Achszähler, einer Eisenbahnsicherungsanlage, dadurch gekennzeichnet, dass ein erstes Board mit einem signaltechnisch sicheren Rechner (1) und diesem zugeordneten Funktionsmodulen (2A, 2B, 2C, 2K1) als Master-Board (3A) und ein zweites Board mit feldelementspezifischen Funktionsmodulen (2D, 2E, 2F, 2G, 2K2) als Slave-Board (3B) verwendet werden, wobei die Boards (3A, 3B) über eine Datenleitung (8) oder einen Funkkanal miteinander verbunden sind und der sichere Rechner (1) des Master-Boards (3A) über ein zweikanaliges Bussystem (6) des Master-Boards (3A) mit den Funktionsmodulen (2A, 2B, 2C, 2K1) des Master-Boards (3A) und über ein zweikanaliges Bussystem 9 des Slave-Boards (3B) mit den Funktinsmodulen (2D, 2E, 2F, 2G, 2K2) des Slave-Boards (3B) kommuniziert.
Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass ein an ein Funktionsmodul (2D, 2E, 2F, 2G) des Slave-Boards (3B) adressiertes Datentelegramm des sicheren Rechners (1) von einem Kommunikationsmodul (2K2) des Slave-Boards (3B) in beide Kanäle (9A, 9B) des Bussystems (9) des Slave-Boards (3B) eingespeist wird und anhand einer funktionsmodulspezifischen Adresse des Datentelegramms nur von dem adressierten Funktionsmodul des Slave-Boards (3B) empfangen wird und von den anderen Funktionsmodulen verworfen wird.
Anordnung zur Durchführung des Verfahrens nach einem der vorangehenden Ansprüche, dadurch gekennzeichnet, dass ein erstes Board als Master-Board (3A) mit einem signaltechnisch sicheren Rechner (1) und diesem zugeordneten Funktionsmodulen (2A, 2B, 2D, 2K1) ausgebildet ist und ein zweites Board als Slave-Board (3B) mit feldelementspezifischen Funktionsmodulen (2D, 2E, 2F, 2G, 2K2) ausgebildet ist, wobei die Boards (3A, 3B) über eine Datenleitung (8) oder einen Funkkanal miteinander verbunden sind und der sichere Rechner (1) des Master-Boards (3A) über ein zweikanaliges Bussystem (6) des Master-Boards (3A) mit den Funktionsmodulen (2A, 2B, 2C, 2K1) des Master-Boards (3A) und über ein zweikanaliges Bussystem (9) des Slave-Boards (3B) mit den Funktionsmodulen (2D, 2E, 2F, 2G, 2K2) des Slave-Boards (3B) verbunden ist.
Anordnung nach Anspruch 3, dadurch gekennzeichnet, dass die Datenleitung (8) einkanalig ausgebildet ist und Master-Board-seitig mit einem ersten Kommunikationsmodul (2K1) und Slave-Board-seitig mit einem zweiten Kommunikationsmodul (2K2) verbunden ist, wobei das zweite Kommunikationsmodul (2K2) Mittel zum Einspeisen von Datentelegrammen des sicheren Rechners (1) in beide Kanäle (9A, 9B) des Bussystems (9) des Slave-Boards (3B) aufweist.
Anordnung nach Anspruch 3 oder 3, dadurch gekennzeichnet, dass die beiden Kanäle (9A, 9B) des Bussystems (9) des Slave-Boards (3B) galvanische Trennungen (10) aufweisen.