-
Die Erfindung betrifft eine Vorrichtung zur Steuerung oder Regelung von sicherheitsgerichteten Funktionen in einem Schienenfahrzeug, nach der im Oberbegriff von Anspruch 1 näher definierten Art.
-
Grundsätzlich ist es so, dass bei Schienenfahrzeugen bestimmte Sicherheitsfunktionen, wie beispielsweise die Funktionalität der Bremsen, der Traktion oder die Funktionalität eines sogenannten Sicherheitsfahrschalters, als Sicherheitsfunktionen gelten, deren Funktionalität bestmöglichst sichergestellt werden muss. Die Zulassungsbehörden fordern zunehmend, dass diese Sicherheitsfunktionen durch entsprechend zertifizierte Sicherheitssteuerungen bzw. Sicherheitssteuergeräte abgearbeitet werden. Ein solches Sicherheitssteuergerät erfordert eine gutachterlich festgestellte qualifizierte und/oder normierte sicherheitsgerichtete Steuerung, sodass die sichere Funktionalität beziehungsweise Ansteuerung der sicherheitsgerichteten Funktionen bestmöglichst gewährleistet werden kann. Die drei wichtigsten Normen für derartige sicherheitsgerichtete Funktionen in Schienenfahrzeugen sind dabei die EN 50126, EN 50128 und die EN50129. Für den Einsatz in Schienefahrzeugen müssen dabei verschiede Sicherheitsfunktionen abgearbeitet werden, was entweder entsprechend programmierbare oder mehrere unterschiedliche Sicherheitssteuergeräte erfordert.
-
Sowohl die Entwicklung als auch die Herstellung von derartigen Sicherheitssteuergeräten, welche auch als sicherheitsgerichtete Steuerungen bezeichnet werden, erfordert nun einen vergleichsweise großen Aufwand und ist daher, insbesondere bei kleinen Stückzahlen, sehr kostenintensiv, da jeweils entsprechende Gutachten, Sicherheitsabnahmen und dergleichen notwendig sind. Insbesondere bei den bei Schienenfahrzeugen üblichen vergleichsweise kleinen Stückzahlen stellt der Einsatz der Sicherheitssteuergeräte damit einen erheblichen Aufwand dar.
-
Die Aufgabe der hier vorliegenden Erfindung liegt nun darin, diesen Aufwand hinsichtlich der Entwicklung und insbesondere hinsichtlich der Kosten zu minimieren und dennoch ein sicheres System bereitzustellen.
-
Erfindungsgemäß wird diese Aufgabe durch die im kennzeichnenden Teil von Anspruch 1 genannten Merkmale gelöst. Weitere vorteilhafte Ausgestaltungen der erfindungsgemäßen Vorrichtung ergeben sich dabei aus den hiervon abhängigen Unteransprüchen.
-
Der erfindungsgemäße Aufbau sieht zwischen der Bordstromversorgung des Schienenfahrzeugs, welche neben andren Komponenten auch das wenigstens eine Sicherheitssteuergerät mit elektrischer Leistung versorgt, und dem Sicherheitssteuergerät einen Gleichstromwandler beziehungsweise einen DC/DC-Wandler vor, um die Spannung der Bordstromversorgung des Schienenfahrzeugs auf ein Spannungsniveau für das Sicherheitssteuergerät zu wandeln. Dieser Aufbau ermöglicht es ein Sicherheitssteuergerät einzusetzen, wie es im industriellen Bereich, beispielsweise aus dem Bereich der Chemie oder der Petrochemie, bekannt und üblich ist. Da diese Sicherheitssteuergeräte einen vergleichbaren Sicherheitsstandard erfüllen müssen wie Sicherheitssteuergeräte für Schienenfahrzeuge, können diese auch im Bereich der Schienenfahrzeuge eingesetzt werden. Da die Spannungsniveaus in einem Schienenfahrzeug einerseits und bei derartigen „Industrie-Sicherheitssteuergeräten” andererseits typischerweise nicht übereinstimmen, kann dies über einen geeigneten Gleichstromwandler erreicht werden. Dieser kann beispielsweise die in Schienenfahrzeugen üblichen Spannungen zwischen 16,8 und 30 V und die bei Industriesteuerungen üblichen Spannungen von 19,2 bis 28,8 V aneinander anpassen. Damit lassen sich in Schienenfahrzeugen als Sicherheitssteuergeräte die sicherheitsgerichteten Steuergeräte einsetzen, die aus dem Bereich der Industrie bekannt und üblich sind. Da diese für die Industrie in entsprechend höheren Stückzahlen, als dies bei Schienenfahrzeugen notwendig ist, hergestellt werden, können sie kostengünstiger bereitgestellt werden, als wenn sie ausschließlich für den Einsatz in Schienenfahrzeugen konzipiert wären. Damit lassen sich die erforderlichen zusätzlichen Kosten für den Gleichstromwandler leicht amortisieren und durch den neuen Einsatz in Schienenfahrzeugen lassen sich die erforderlichen Stückzahlen der Sicherheitssteuergeräte für die Industrie weiter steigern, sodass hier insgesamt eine Kosteneinsparung und eine weitere Kostensenkung für das einzelne Sicherheitssteuergerät möglich ist.
-
Ferner kann über den Gleichstromwandler auch eine echte Potentialtrennung sowie ein Überspannungsschutz (Surge-Schutz) erreicht werden, welcher bei den aus der Industrie stammenden Sicherheitssteuergeräten so häufig nicht implementiert ist.
-
In einer besonders günstigen und vorteilhaften Ausgestaltung der erfindungsgemäßen Vorrichtung sind dabei mehrere Sicherheitssteuergeräte vorhanden, wobei jedes der Sicherheitssteuergeräte eine sicherheitsgerichtete Funktion steuert oder regelt bzw. abarbeitet. Mit diesem besonders bevorzugten Aufbau können mehrere der Sicherheitssteuergeräte parallel angewandt werden, wobei jedes der Sicherheitssteuergeräte eine sicherheitsgerichtete Funktion abarbeitet. Ein erstes Sicherheitssteuergerät könnte also beispielsweise die Funktion des Sicherheitsfahrschalters steuern und überwachen, während ein zweites Sicherheitssteuergerät die Funktionalität der Bremsen steuert oder regelt und ein drittes Sicherheitssteuergerät beispielsweise sicherheitsgerichtete Funktionen im Bereich einer Traktionseinheit und/oder einer – darin ggf. integrierten – verschleißfreien Dauerbremse steuert und überwacht. Dieser Aufbau mit mehreren Sicherheitssteuergeräten, welche jeweils für nur eine sicherheitsgerichtete Funktion zuständig sind, erhöht die Sicherheit in dem Schienenfahrzeug weiter, da bei einem eventuellen Ausfall eines Sicherheitssteuergeräts nur dieses eine Gerät und damit die Regelung beziehungsweise Überwachung der einen sicherheitsgerichteten Funktion betroffen ist, während die anderen sicherheitsgerichteten Steuerungen und/oder Überwachungen weiterhin voll funktionsfähig sind.
-
Außerdem ermöglicht dieser Aufbau den Einsatz von Sicherheitssteuergeräten ohne Potentialtrennung, da diese über den DC/DC-Wandler sichergestellt wird. Damit ist es ausgeschlossen, dass Querströme zwischen den einzelnen Sicherheitssteuergräten auftreten und deren Funktion beeinflussen.
-
Gemäß einer besonders günstigen und vorteilhaften Weiterbildung der erfindungsgemäßen Vorrichtung ist es ferner vorgesehen, dass das wenigstens eine Sicherheitssteuergerät einen Netzwerkanschluss für ein Datennetz aufweist. Dieser kann entsprechend einer sehr günstigen und vorteilhaften Weiterbildung dabei so ausgebildet sein, dass er über eine Netzwerkeinheit mit einem nicht sicherheitsgerichteten Datenbus verbindbar ist. Das wenigstens eine Sicherheitssteuergerät kann so Informationen über den Netzwerkanschluss und ein geeignetes Netzwerk, beispielsweise ein Ethernet, mit einem nicht sicherheitsgerichteten Datenbus oder auch mit anderen Sicherheitssteuergeräten austauschen. Dies dient der Abstimmung der Systeme untereinander. So kann beispielsweise über die nicht sicherheitsgerichtete Datenübertragung über einen entsprechenden Datenbus, beispielsweise einen CAN-Bus oder dergleichen, eine Kommunikation zwischen dem Sicherheitssteuergerät und weiteren Steuergeräten, welche beispielsweise für Komfortfunktionen in dem Schienenfahrzeug verantwortlich sind, realisiert werden.
-
In einer entsprechend günstigen und vorteilhaften Weiterbildung hiervon erfolgt der Austausch von sicheren Daten zwischen den Sicherheitssteuergeräten eines Fahrzeugs über das Datennetz und die Netzwerkeinheit. Eine solche Netzwerkeinheit, welche beispielsweise als Ethernet-Switch ausgebildet sein kann, kann dann die einzelnen über Ethernet mit diesem Switch verbundenen Sicherheitssteuergeräte untereinander als Netzwerk verbinden, sodass diese sicherheitsgerichtete Informationen mit einer geeigneten sicheren Datenübertragung, welcher beispielsweise über Quersummen, Zeitstempel und dergleichen ein entsprechender Sicherheitsstatus eingeprägt wird, austauschen. Ein solches sicheres Kommunikationsnetzwerk wird auch als „safe ethernet” bezeichnet.
-
In einer weiteren sehr vorteilhaften Ausgestaltung der erfindungsgemäßen Vorrichtung kann es ferner vorgesehen sein, dass der Netzwerkanschluss mit einem Datenkonverter verbunden ist, welcher die sicheren Daten eines ersten Sicherheitssteuergeräts in nicht sichere Daten zur Datenübertragung über ein nicht sicheres Datenübertragungssystem umwandelt, wobei ein zweiter Datenkonverter, welcher mit einem Netzwerkanschluss eines weiteren Sicherheitssteuergeräts verbunden ist, die so übertragenen Daten zurückwandelt. Unter sicher beziehungsweise nicht sicher ist hier jeweils die Art der Datenübertragung gemeint, sodass eine sichere Datenübertragung bedeutet, dass die Daten so übertragen werden, dass diese als sicherheitsgerichtet übertragbar und lesbar sind, beispielsweise indem ihnen über geeignete Quersummen, Zeitstempel und dergleichen Informationen mitgegeben werden, welche eine eventuelle Veränderung der Daten beim Empfänger der Daten so erkennbar machen, dass dieser immer sicherstellen kann, dass er zeitnah unveränderte Daten übertragen bekommen hat. Sollte dies nicht der Fall sein, wird dies erkannt und die Datenübertragung kann erneut starten, bis die zu übertragenden Daten sicher und zuverlässig angekommen sind. Nach mehrmaliger erfolgloser Übertragung wechseln die jeweiligen Sicherheitssteuergeräte dann typischerweise in einen sogenannten „sicheren Zustand” in dem Sie ihre sicherheitsgerichtete Funktionalität – – soweit möglich aufrecht erhalten, ohne weitere Kommunikationsversuche zu starten.
-
Dieser Aufbau kann nun trotz eines nicht sicherheitsgerichteten Datenübertragungssystems realisiert werden, indem ein entsprechender Datenkonverter die sicherheitsgerichtet erstellten und aufbereiteten Daten des ersten Sicherheitssteuergeräts entsprechend konvertiert beziehungsweise zerlegt und diese dann über das nicht sichere Datenübertragungssystem überträgt. Auf der Gegenseite werden diese von einem Datenkonverter wieder zurückgewandelt, um so an das Sicherheitssteuergerät weitergeleitet zu werden. Das Sicherheitssteuergerät kann dann eine Prüfung der zurückgewandelten Daten hinsichtlich der aufgeprägten Sicherheitsmerkmale, beispielsweise hinsichtlich eines Zeitstempels und/oder einer Quersumme und dergleichen vornehmen, sodass erkannt wird, falls die Daten beispielsweise zu langsam oder unter Verlust einzelner Datenpakete übertragen worden sind. In diesem Fall könnte die Übertragung erneut vorgenommen werden, analog zur obigen Beschreibung.
-
Dieser Aufbau ist nun entsprechend aufwändiger als der oben beschriebene Aufbau mit einer sicheren Ethernetverbindung der einzelnen Sicherheitssteuergeräte beispielsweise über einen Ethernet-Switch. Er kann jedoch insbesondere dann von großem Vorteil sein, wenn durch äußere Umstände die Verwendung eines nicht sicheren Datenübertragungssystems vorgegeben ist. In einer besonders günstigen und vorteilhaften Ausgestaltung dieser Idee ist es daher vorgesehen, dass die Datenübertragung zwischen zwei Schienenfahrzeugen erfolgt, in denen jeweils wenigstens ein Sicherheitssteuergerät angeordnet ist. Beispielsweise beim Zusammenkoppeln verschiedener Lokomotiven ist es notwendig, dass deren Sicherheitssteuergeräte die geeigneten Funktionalitäten, beispielsweise das Ansteuern einer Bremse oder der Traktion, untereinander koordinieren, sodass ausgehend von dem einen Schienenfahrzeug eine geeignete Ansteuerung der sicherheitsgerichteten Funktionen des anderen Schienenfahrzeugs mit erfolgen kann. Nun ist es im Allgemeinen so, dass Schienenfahrzeuge über einen sogenannten Wired Train Bus, als standardisierten Datenbus, verbunden sind, welcher als Kabelverbindung beim Ankuppeln der Schienenfahrzeuge aufgebaut wird. Ein solcher Wired Train Bus oder auch WTB hat dabei entscheidende Vorteile, da er konkret auf die sinnvolle Anwendung in Schienenfahrzeugen abstellt. Beispielsweise kann ein solches System beim Ankoppeln einer weiteren Lokomotive diese unmittelbar erkennen, ohne dass ein Rücksetzen oder erneutes Starten des Systems notwendig ist. Der Aufbau der erfindungsgemäßen Vorrichtung zur Datenübertragung über ein nicht sicheres Datenübertragungssystem erlaubtes nun, diesen typischerweise in Schienenfahrzeugen ohnehin vorhandenen, prinzipbedingt bzw. aufgrund des Standards nicht sicheren Weg zur Datenübertragung auch zur Übertragung von sicheren Daten zwischen Sicherheitssteuergeräten der einzelnen Schienenfahrzeuge zu nutzen und so ohne zusätzlichen Aufwand hinsichtlich der Datenübertragung und der Leitungsführung einen einfachen, vorteilhaften und dennoch sicheren Weg der Kommunikation der einzelnen Sicherheitssteuergeräte verschiedener Schienenfahrzeuge untereinander zu ermöglichen. Insgesamt erlaubt dieser Aufbau mit minimalem Aufwand eine sichere Übertragung von Daten durch das sogenannte Tunneln von sicherheitsgerichteten Daten über zum Beispiel den CAN-Bus und den WTB von dem einen Schienenfahrzeug in das andere Schienenfahrzeug.
-
Die Funktionalität kann dabei nicht nur über den genannten WTB realisiert werden, sondern über andere vergleichbare Systeme, welche beispielsweise kabelgebunden oder kabellos, beispielsweise durch Funk oder dergleichen, die Kommunikation zwischen zwei Schienenfahrzeugen realisieren und zwischen denen sicherheitsgerichtete Daten im oben genannten Sinne sicher übertragen werden sollen.
-
Weitere vorteilhafte Ausgestaltungen der erfindungsgemäßen Vorrichtung ergeben sich aus den restlichen Unteransprüchen und werden anhand der Ausführungsbeispiele deutlich, welche nachfolgend unter Bezugnahme auf die Figuren näher erläutert sind.
-
Dabei zeigen:
-
1 eine erste Ausführungsform der erfindungsgemäßen Vorrichtung; und
-
2 eine vorteilhafte Weiterbildung der erfindungsgemäßen Vorrichtung.
-
In der Darstellung der 1 ist eine Vorrichtung 1 zur Steuerung oder Regelung von sicherheitsgerichteten Funktionen in einem Schienenfahrzeug 2, welches hier lediglich als Kasten angedeutet ist, dargestellt. Das Schienenfahrzeug 2 weist dabei eine Bordstromversorgung 3 auf, welche in an sich bekannter Art und Weise aufgebaut sein kann und typischerweise über einen Stromwandler und/oder Generator und einen Energiespeicher verfügt. In der Darstellung der 1 ist das für die Bordstromversorgung eines Schienenfahrzeugs typische Spannungsniveau von 16,8 bis 30 V durch die zwischen zwei Leitungen des Bordstromversorgungssystems 3 eingezeichnete Spannung U angedeutet. Die Bordstromversorgung 3 dient dabei zur Versorgung zahlreicher Funktionen von Elektronikkomponenten, Informationssystemen und dergleichen in dem Schienenfahrzeug 2, welche hier im wesentlichen nicht dargestellt sind. In der Darstellung der 1 ist außerdem eine Steuerung beziehungsweise Regelung von sicherheitsgerichteten Funktionen 4 zu erkennen. Beispielhaft sind am unteren Ende der Darstellung drei sicherheitsgerichtete Funktionen 4 angedeutet. Diese sollen beispielhaft ein Sicherheitsfahrschalter 4.1 sein, also ein Gerät, welches die Aufmerksamkeit des Lokführers überwacht. Die zweite dargestellte sicherheitsgerichtete Funktion 4.2 soll beispielsweise die Funktionalität der Bremsen des Schienenfahrzeugs 2 steuern und überwachen, während die dritte beispielhaft dargestellte sicherheitsgerichtete Funktion 4.3 zur Steuerung und/oder Überwachung einer Traktionseinheit des Schienenfahrzeugs 2 vorgesehen ist, wobei das Getriebe außerdem eine dynamische Bremse beziehungsweise verschleißfreie Dauerbremse beispielsweise in Form eines Retarders, einer Wirbelstrombremse, eines Generators oder dergleichen aufweisen kann. Neben diesen drei beispielhaft dargestellten sicherheitsgerichteten Funktionen 4 werden in dem Schienenfahrzeug 2 weitere sicherheitsgerichtete Funktionen wie beispielsweise die Anzeige einer Fahrgeschwindigkeit oder Ähnliches in analoger Weise angeordnet sein.
-
In der Darstellung der 1 ist nun zu erkennen, dass jede der sicherheitsgerichteten Funktionen 4, welche hier beispielhaft angedeutet ist, über entsprechende Leitungselemente 5 mit jeweils einem Sicherheitssteuergerät 6 verbunden ist. Dieser in 1 dargestellte Aufbau, bei dem für jede der Sicherheitsfunktionen 4 ein Sicherheitssteuergerät 6 samt aller Eingänge, Ausgänge und der Leistungsversorgung vorhanden und dieser Sicherheitsfunktion 4 zugeordnet ist, stellt dabei die bevorzugte Ausführungsform der erfindungsgemäßen Vorrichtung 1 dar. Prinzipiell wäre auch eine alternative Ausführungsform denkbar, bei der ein einziges Sicherheitssteuergerät 6 und/oder zentrale ein uns Ausgänge vorhanden sind, um die einzelnen sicherheitsgerichteten Funktionen 4 sicher und zuverlässig steuern zu können, sollte dieses Sicherheitssteuergerät 6 dann bevorzugt so ausgebildet sein, dass die einzelnen Abschnitte, welche die jeweilige sicherheitsgerichtete Funktion 4 steuern, galvanisch voneinander getrennt sind, sodass keine störenden Potentiale des einen Bereichs den anderen Bereich negativ beeinflussen können.
-
Der in 1 dargestellte Aufbau vermeidet diesen relativ aufwändigen und komplexen Aufbau des Sicherheitssteuergeräts 6, indem er mehrere einfache Sicherheitssteuergeräte 6, welche intern keine galvanische Trennung einzelner Bereiche aufweisen müssen, einsetzt. Die Sicherheitssteuergeräte 6 sind dann, wie in 1 zu erkennen ist, jeweils über einen Gleichstromwandler beziehungsweise Gleichstromsteller oder DC/DC-Wandler 7 mit der Bordstromversorgung 3 verbunden. Der Einsatz eines DC/DC-Wandlers 7 ermöglicht es nun, das Spannungsniveau von typischerweise 19,2 bis 28,8 V der Sicherheitssteuergräte an das Spannungsniveau U der Bordstromversorgung 3 anzupassen. Die Gleichstromwandler 7 liefern also bei einer echten Potentialtrennung eine minimale Spannung von 19,2 V, solange die Bordstromversorgung 3 im üblichen Spannungsfenster korrekt arbeitet. Außerdem können sie einen Überspannungsschutz aufweisen. Dieser Aufbau mit den Gleichstromwandlern 7 erlaubt es daher als Sicherheitssteuergeräte Sicherheitssteuergeräte 6 einzusetzen, wie sie zur Steuerung von Industrieanlagen genutzt werden. Diese aus dem Industrieeinsatz bekannten Sicherheitssteuergeräte 6 liegen dabei bei sehr hoher Qualität und entsprechender Zertifizierung ihrer sicherheitsgerichteten Funktionalität in vergleichsweise großen Stückzahlen bei hoher Fertigungsqualität vor. Sie sind damit im Vergleich zu eigens für Schienenfahrzeuge 2 aufgebauten Sicherheitssteuergeräten 6, welche nur entsprechend geringe Stückzahlen erzielen würden, vergleichsweise kostengünstig verfügbar. Dadurch ist der Aufbau aus Sicherheitssteuergerät 6 und Gleichstromwandler 7, welcher den Einsatz eines derartigen „Industrie-Sicherheitssteuergeräts” 6 in dem Schienenfahrzeug 2 überhaupt erst ermöglicht, deutlich kostengünstiger als ein speziell für Schienenfahrzeuge 2 entwickeltes Sicherheitssteuergerät 6 es wäre.
-
Die Sicherheitssteuergeräte 6 weisen mit den bisher beschriebenen Komponenten bereits die vollständige benötigte sicherheitsgerichtete Funktion auf, wenn jedes der Sicherheitssteuergeräte 6 entsprechend der von ihm gesteuerten oder geregelten beziehungsweise überwachten sicherheitsgerichteten Funktion 4 programmiert wird. Die handelsüblichen „Industrie-Sicherheitssteuergeräte” 6 weisen dafür die Möglichkeit einer entsprechenden Programmierung auf, sodass sie entsprechende Ein- und Ausgänge mit geeigneten Sensoren und Aktuatoren steuern oder regeln beziehungsweise überwachen können. Dem jeweiligen Sicherheitssteuergerät 6 wird also über ein geeignetes Programm die entsprechende Funktionalität, beispielsweise zur Steuerung und Überwachung eines Sicherheitsfahrschalters 4.1 als sicherheitsgerichtete Funktion 4, einprogrammiert.
-
Die in 1 dargestellten Sicherheitssteuergeräte 6 verfügen außerdem über eine entsprechende Weiterbildung, indem jedes von ihnen über einen Netzwerkanschluss 8 verfügt, welcher über eine Netzwerkeinheit 9, beispielsweise einen Ethernet-Switch zu einem Netzwerk verkoppelt wird. Ein solches Ethernet-Netzwerk zwischen den einzelnen Sicherheitssteuergeräten 6 kann dabei insbesondere als sicheres Ethernet aufgebaut werden, sodass die Sicherheitssteuergeräte 6 Informationen untereinander sicherheitsgerichtet austauschen können. Sicherheitsgerichtet bedeutet in diesem Fall, dass die Informationen über geeignete Maßnahmen, wie beispielsweise Zeitstempel, Quersummen oder dergleichen von den Sicherheitssteuergeräten 6 so ausgebildet werden, dass eine sichere und vollständige Übertragung gewährleistet werden kann und dass eventuell nicht übertragene oder zu langsam übertragene Datenteile erkannt werden, und eine solche Übertragung beispielsweise erneut angefordert werden kann. Die Kommunikation der einzelnen Sicherheitssteuergeräte 6 untereinander über die Netzwerkeinheit 9 kann außerdem eine weitere Schnittstelle beispielsweise zu einem nicht sicherheitsgerichteten Datenübertragungssystem 10 aufweisen, welches hier beispielhaft als CAN-Bus 11 dargestellt ist. Ein solcher Datenbus 11 lässt wie vergleichbare Datenbusse auch, aufgrund seiner Übertragungsstandard keine sicherheitsgerichtete Kommunikation zu.
-
Das nicht sicherheitsgerichtete bzw. nicht sichere Datenübertragungssystem 10 weist ebenfalls eine Verbindung zur Bordstromversorgung 3 zur Leistungsversorgung des Datenbusses 11 sowie außerdem eine entsprechende Anbindung an die Netzwerkeinheit 9 auf. Der Datenbus 11 weist eine Datenverbindung zur Netzwerkeinheit 9 auf. Diese Einheit ist dann an den CAN-Bus 11 gekoppelt, welcher mit weiteren Einheiten 12, von welchen hier vier beispielhaft dargestellt sind, entsprechend kommuniziert. Diese Einheiten können beispielsweise zur Steuerung von Komfortfunktionen und dergleichen in dem Schienenfahrzeug dienen, also insbesondere zur Steuerung aller für den Betrieb des Schienenfahrzeugs 2 nicht sicherheitsrelevanter und daher sicherheitsgerichtet zu steuernder Funktionen.
-
Der in 1 dargestellte Aufbau gliedert sich also in die eigentliche Vorrichtung 1 zur Steuerung oder Regelung der sicherheitsgerichteten Funktionen 4, in eine Informationsverbindung zwischen den einzelnen Sicherheitssteuergeräten 6 über die Netzwerkeinheit 9 sowie die Anbindung an ein nicht sicheres Datenübertragungssystem 10, welches bevorzugt einen CAN-Bus 11 zur Ansteuerung von verschiedenen Einheiten 12 aufweist.
-
Mit dem in 1 gezeigten Aufbau ist ein sehr einfache, effiziente und aufgrund des Einsatzes von Sicherheitssteuergeräten 6, welche aus dem Bereich der Industrietechnik in hoher Stückzahl entsprechend zertifiziert und qualitativ hochwertig vorhanden sind, ein sehr kostengünstiger Aufbau zur Ansteuerung und Abarbeitung der sicherheitsgerichteten Funktionen 4 und zur Anbindung eines Netzwerks zwischen den Sicherheitssteuergeräten 6 an ein nicht sicheres Datenübertragungssystem 10 möglich.
-
Nun ist es so, dass in bestimmten Fällen verschiedene Schienenfahrzeuge 2 miteinander kommunizieren müssen, insbesondere dann, wenn diese beispielsweise zur Unterstützung der Antriebsleistung in einem Zug zusammengekoppelt werden. in der Darstellung der 2 ist eine solche Situation prinzipmäßig dargestellt, bei der ein erstes Schienenfahrzeug 2.1 mit einem zweiten Schienenfahrzeug 2.2 über eine prinzipmäßig angedeutete mechanische Kupplung 13 verbunden ist. Typisch für das Ankoppeln von zwei Schienenfahrzeugen 2 aneinander ist dabei neben der rein mechanischen Verbindung auch eine entsprechende Verbindung von Leitungen für Betriebsmedien, beispielsweise Hydraulikleitungen, Pneumatikleitungen oder dergleichen, was hier nicht näher dargestellt ist. Ferner wird beim Ankoppeln von zwei Schienenfahrzeugen 2 aneinander eine Verbindung zur Datenübertragung aufgebaut. Diese Verbindung 14 zur Datenübertragung wird im Allgemeinen durch eine Kabelverbindung beim Ankoppeln der beiden Schienenfahrzeuge aneinander ausgeführt. Die Verbindung 14 zur Datenübertragung ist typischerweise in Form eines sogenannten Wired Train Bus (WTB) ausgebildet. Der WTB ist eine standardisierter Datenbus, welcher speziell auf die Anforderungen von Schienenfahrzeugen 2 ausgelegt und bei diesen erprobt und üblich. So kann beispielsweise das Ankoppeln eines Schienenfahrzeugs 2.1 an einem Schienenfahrzeug 2.2 und das Aufbauen der Verbindung 14 zwischen ihren Systemen erkannt werden. Das angekoppelte Schienenfahrzeug, beispielsweise 2.1, wird dann im Schienenfahrzeug 2.2 erkannt, ohne dass ein Reset, eine Neukonfiguration des Datensystems oder ähnliches notwendig ist. Ab dann kann eine entsprechende Kommunikation zwischen den beiden Schienenfahrzeugen 2 durch den WTB erfolgen.
-
Nun ist es so, dass neben dem reinen Austausch von Daten zusätzlich auch ein Austausch von sicheren Daten der Sicherheitssteuergeräte 6 untereinander möglich sein sollte, beispielsweise um Antrieb und/oder Bremsen der beiden miteinander gekoppelten Schienenfahrzeuge 2.1 und 2.2 untereinander zu koordinieren. Dies ist jedoch über den WTB und den gegebenenfalls noch benötigten CAN-Bus 11 so nicht möglich, da diese gemäß ihrer Standards als nicht sichere Datenübertragungssysteme 10 ausgebildet sind und nicht über die notwendigen Sicherheitsstandards zur sicheren Kommunikation von Sicherheitssteuergeräten 6 untereinander verfügen. In der Darstellung der 2 ist nun eine Lösung für dieses Problem zu erkennen. Die Anbindung von zwei hier beispielhaft dargestellten Sicherheitssteuergeräten 6 in dem jeweiligen Schienenfahrzeug 2.1 und 2.2 kommunizieren jeweils über ihren Netzwerkanschluss 8 und ein Datennetz mit einem Datenkonverter 15, welcher die von dem Sicherheitssteuergerät 6 ausgesandten Daten entsprechend aufbereitet und umwandelt. Diese können dann über den CAN-Bus 11 ein Gateway 16 zwischen dem CAN-Bus 11 und dem WTB und die Verbindung 14 des WTB von dem einen Schienenfahrzeug 2.1 in das andere Schienenfahrzeug 2.2 oder umgekehrt übertragen werden. Dort nehmen sie denselben Weg wiederum über das Gateway 16, den CAN-Bus 11 zu dem dort angeordneten Datenkonverter 15, welcher diese wieder zurückwandelt, sodass über das Datennetz am Netzwerkanschluss 8 des anderen Steuergeräts 6 wiederum die sicheren Daten anlangen.
-
Im Detail läuft dies nun so ab, dass im dem Datenkonverter 16 über eine spezielle Software der Datenstrom des Ethernets, inklusive aller Sicherheitsmerkmale, in einzelne Bytes zerlegt wird. Diese werden dann über den CAN-Bus 11 und den WTB von dem einem Schienfahrzeug 2.1 zu dem anderen Schienefahrzeug 2.2 versandt, oder umgekehrt. Der im Aufführungsbeispiel zwischengeschaltete CAN-Bus 11 ist dabei rein optional zu verstehen. Das Prinzip wäre analog dazu auch mit einer direkten Ankopplung des Ethernet oder des Netzwerkanschlusses 8 über den Datenkonverter 15 an den WTB bzw. die Verbindung 14 denkbar. Im empfangenden Schienfahrzeug, beispielsweise dem Schienefahrzeug 2.2, werden im Datenkonverter 15 die Daten des WTB wieder für das Ethernet, also zu sicheren Daten, zusammengesetzt. Das Sicherheitssteuergerät im Schienefahrzeug 2.2. so überprüfen, ob die Daten vom Schienenfahrzeug 2.1 richtig übertragen wurden. Daraus resultiert die Möglichkeit, sichere Nachrichten zwischen Schienefahrzeugen 2 zu übertragen, ohne dass in die grundsätzliche Datenübertragung des WTB's eingegriffen werden muss. Lediglich die höchste Protokollschicht muss entsprechend konfiguriert werden. Dies ist bei dem größten Teil der Fahrzeugapplikation ohnehin notwendig.
-
Durch die beiden Datenkonverter 15 lässt sich so über das unsichere Datenübertragungssystem 10 und den unsicheren WTB dennoch eine sichere Kommunikation zwischen einzelnen Sicherheitssteuergeräten 6 in den Schienenfahrzeugen 2, durch das sogenannte Tunneln von sicherheitsgerichteten Daten über den CAN-Bus 11 und den WTB von dem einen Schienenfahrzeug 2.1 zu dem anderen Schienenfahrzeug 2.2 – oder umgekehrt-, erreichen.
-
Nun ist es so, dass jedes der Sicherheitssteuergeräte 6 über diese Art mit seinem korrespondierenden Sicherheitssteuergerät 6 in dem anderen Schienenfahrzeug 2.2 kommunizieren kann. Insbesondere kann jedoch auch ein eigenes für die Kommunikation ausgelegtes Sicherheitssteuergerät 6 in jedem der Schienenfahrzeuge vorhanden sein. Das Gateway 16 zwischen dem CAN-Bus 11 und dem WTB kann dabei beispielsweise eine der in 1 gezeigten Einheiten 12 sein.
-
ZITATE ENTHALTEN IN DER BESCHREIBUNG
-
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
-
Zitierte Nicht-Patentliteratur
-
- EN 50126 [0002]
- EN 50128 [0002]
- EN50129 [0002]
