DE102012201803A1

DE102012201803A1 - Sicherheitsrelevantes System

Info

Publication number: DE102012201803A1
Application number: DE102012201803A
Authority: DE
Inventors: Rudolf Temming
Original assignee: Siemens AG
Current assignee: Siemens AG
Priority date: 2012-02-07
Filing date: 2012-02-07
Publication date: 2013-08-08
Also published as: WO2013117396A1

Abstract

Die Erfindung betrifft ein sicherheitsrelevantes System, insbesondere Eisenbahnsicherungssystem (2), mit einer im Fehlerfall reagierenden Einrichtung zum dauerhaften Erzwingen eines sicheren Zustandes, insbesondere Abschaltzustandes, des Systems, wobei besonders hohe Zuverlässigkeit bei verringertem Energiebedarf erreicht wird, indem die Einrichtung mindestens zwei remanente Speicher (4a, 4b) aufweist, wobei jeder Speicher (4a, 4b) im Fehlerfall den sicheren Zustand erzwingt.

Description

Die Erfindung betrifft ein sicherheitsrelevantes System, insbesondere Eisenbahnsicherungssystem, mit einer im Fehlerfall reagierenden Einrichtung zum dauerhaften Erzwingen eines sicheren Zustandes, insbesondere Abschaltzustandes, des Systems.
Die nachfolgende Beschreibung bezieht sich im Wesentlichen auf Eisenbahnsicherungssysteme, ohne dass die Erfindung auf diese spezielle Anwendung beschränkt ist. Vielmehr kann die Erfindung bei verschiedensten sicherheitsrelevanten Systemen, beispielsweise für industrielle Fertigungsprozesse oder Fahrzeuge aller Art, eingesetzt werden.
Entsprechend der Norm EN 50129 muss für sicherheitsrelevante Systeme nach Auftreten des ersten Systemfehlers, beispielsweise des Ausfalls einer Systemkomponente, ein sicherer Zustand erzwungen und beibehalten werden. Der sichere Zustand ist gegeben, wenn die Systemsicherheit auch nach einem Fehler oder Ausfall weiterhin bewahrt ist. Unter sicherheitsrelevantes System sind hier auch Teilsysteme subsumiert, deren Fehlerverhalten separat betrachtet werden kann. Beispielsweise kann ein einzelnes Lichtsignal an einer Eisenbahnstrecke ein sicherheitsrelevantes System darstellen. Im Fehlerfall, beispielsweise Ausfall der Ansteuerbarkeit, muss gewährleistet sein, dass die Sicherheit des Bahnbetriebes nicht, beispielsweise durch ein dauerleuchtendes Grünsignal, beeinträchtigt ist. Bei dem Beispiel wird das erreicht, indem das Grünsignal dauerhaft ausgeschaltet wird und – wenn möglich – das Rotsignal eingeschaltet wird.
Für die Ausschaltung im Fehlerfall werden häufig Schmelzsicherungen eingesetzt. Nach deren Abschmelzen ist der Stromkreis dauerhaft unterbrochen. Weit verbreitet für diesen Zweck ist auch der Einsatz monostabiler Relais, die im fehlerfreien Systemzustand aktiv sind und im Fehlerfall durch Stromlosschaltung der Relaisspule dauerhaft inaktiv werden, wodurch ein definierter Schaltzustand, zum Beispiel Stromkreisunterbrechung, eingenommen wird. Nach einer Sicherheitsabschaltung muss das Wartungspersonal beurteilen, ob das System oder die Komponente wieder eingeschaltet werden darf. Auch der Einsatz von bistabilen Relais ist denkbar, wobei jedoch für Bahnbetriebsprozesse ein Risiko wegen Erschütterungen in Gleisnähe, die den Zustand des bistabilen Relais ändern könnten, berücksichtigt werden muss.
Nachteilig bei diesen bekannten Einrichtungen zum fehlerbedingten Erzwingen des sicheren Systemzustandes ist neben den hohen Kosten für mehrfache Auslöseschaltungen bei Sicherungen und für Ansteuerung und Rücklesung bei Abschaltrelais vor allem deren geringe mittlere Betriebsdauer zwischen Ausfällen, auch als MTBF – Mean Time Between Failures – bezeichnet.
Der Erfindung liegt die Aufgabe zugrunde, diese Nachteile zu beseitigen und ein sicherheitsrelevantes System mit einer hinsichtlich Kosten und Verfügbarkeit verbesserten Einrichtung zum Erzwingen des sicheren Zustandes anzugeben.
Die Aufgabe wird erfindungsgemäß dadurch gelöst, dass die Einrichtung mindestens zwei remanente Speicher aufweist, wobei jeder Speicher im Fehlerfall den sicheren Zustand erzwingt.
Da der remanente Speicher einen wesentlich besseren MTBF als Relais oder Sicherungen aufweist, ergibt sich ein weiterer Sicherheitsgewinn. Störanfällige und oft schwierig zu dimensionierende Auslöseschaltungen für Sicherungen sowie Ansteuerungen für Abschaltrelais sind entbehrlich. Die Baugruppe mit dem remanenten Speicher wird im Gegensatz zu einer Baugruppe mit Sicherungen im Fehlerfall nicht zerstört und kann nach Fehlerbehebung durch Software in den Ursprungszustand für ein fehlerfreies System zurückgesetzt werden. Der remanente Speicher ist außerdem unempfindlich gegenüber Erschütterungen in Gleisnähe oder im Fahrzeug. Vorteilhaft ist darüber hinaus, dass die Information über den sicheren Zustand auch nach Spannungswiederkehr vorliegt. Durch die Redundanz der remanenten Speicher ist auch der Fall, dass ein Speicher ausfällt, abgesichert.
Gemäß Anspruch 2 ist vorgesehen, dass der remanente Speicher als EEPROM ausgebildet ist. Dieser nicht flüchtige elektronische Speicherbaustein ist besonders kostengünstig und für diverse Anwendungen vielfach bewährt. Der remanente Speicher kann natürlich auch auf Flash-Technologie beruhen oder in anderer Weise realisiert sein.
Um im Fehlerfall eine Abschaltung des sicherheitsrelevanten Systems zu bewirken, ist jeder remanente Speicher gemäß Anspruch 3 mit einem Schalter verbunden, der unmittelbar beim Auftreten des ersten Fehlers oder Ausfalls von dem jeweils zugeordneten remanenten Speicher zum Stromlosschalten des sicherheitsrelevanten Systems betätigt wird.
Bei einer besonders vorteilhaften Ausführungsform gemäß Anspruch 4 ist vorgesehen, dass jeder remanente Speicher einem Controller zugeordnet ist, wobei der Controller im fehlerfreien Systemzustand einen ersten Speicherwert und im Fehlerfall einen zweiten Speicherwert des Speichers setzt. Der Controller verfügt ständig – üblicherweise durch zyklische Abfrage – über aktuelle Statusinformationen bezüglich des sicherheitsrelevanten Systems. Im Fehlerfall steuert der Controller den remanenten Speicher derart an, dass dieser in seinen Remanenzzustand gebracht wird und infolgedessen ein Eingriff in das sicherheitsrelevante System ausgelöst wird, der dieses in den sicheren Zustand dauerhaft überführt. Besonders vorteilhaft ist, dass sicherheitsrelevante Systeme üblicherweise bereits mit Controllern und remanenten Speichern ausgestattet sind, so dass diese primär für andere Funktionen vorgesehenen Baugruppen für die Sicherheitsabschaltfunktion mitbenutzt werden können. Dadurch ergeben sich keine zusätzlichen Kosten und auch kein zusätzlicher Platzbedarf, wodurch auch Prüfkosten und Fertigungskosten gespart werden. Durch den geringen Energiebedarf des Controllers, vorzugsweise Mikrocontrollers, ist ein dezentraler Einsatz des sicherheitsrelevanten Systems mit autonomer Energieversorgung problemlos möglich. Der erhebliche Leistungsbedarf eines Abschaltrelais erschwert hingegen einen dezentralen Einsatz beziehungsweise macht diesen unmöglich.
Die Erfindung wird nachfolgend anhand eines figürlich dargestellten Ausführungsbeispiels näher erläutert.
Die Figur zeigt ein sicherheitsrelevantes System mit einer erfindungsgemäßen Einrichtung zur vorgeschriebenen Abschaltung des Systems bei definierten Ausfällen oder Fehlern des Systems. Die Einrichtung besteht im Wesentlichen aus zwei redundanten Betrachtungseinheiten 1a und 1b, die auch Bestandteil des Systems, beispielsweise eines Eisenbahnsicherungssystems 2, sein können, wobei jede Betrachtungseinheit 1a und 1b einen Mikrocontroller 3a und 3b aufweist. Der Mikrocontroller 3a beziehungsweise 3b verfügt jeweils über einen remanenten Speicher 4a beziehungsweise 4b, welcher mit einer Prüfkomponente 5a beziehungsweise 5b und einer Anwendungskomponente 6a beziehungsweise 6b zusammenwirkt. Über die Anwendungskomponente 6a beziehungsweise 6b ist der remanente Speicher 4a beziehungsweise 4b mit einem Schalter 7a beziehungsweise 7b im Strompfad 8 des sicherheitsrelevanten Systems verbunden. Im fehlerfreien Zustand, das heißt im Normalbetrieb, setzt der Mikrocontroller 3a beziehungsweise 3b einen Speicherwert, zum Beispiel AA Hex im remanenten Speicher 4a beziehungsweise 4b. Außerdem erfolgt eine zyklische Kommunikation 9 zwischen den beiden Prüfbaukomponenten 5a und 5b zwecks Austauschs des Systemzustandes. Wird ein Fehler im sicherheitsrelevanten System erkannt, setzt der Mikrocontroller 3a beziehungsweise 3b den Speicherwert des remanenten Speichers 4a beziehungsweise 4b auf Sicherheitsabschaltung, zum Beispiel mittels eines Speicherwertes 55 Hex. Bei diesem Zustand endet die Kommunikation 9 zwischen den Mikrocontrollern 3a und 3b. Der remanente Speicher 4a beziehungsweise 4b steuert aufgrund des fehlerbedingten Speicherwertes 55 Hex über die Anwendungskomponente 6a beziehungsweise 6b den jeweils zugeordneten Schalter 7a beziehungsweise 7b an, um den Strompfad 8 stromlos zu schalten und damit das sicherheitsrelevante System in einen sicheren Zustand zu zwingen, beispielsweise abzuschalten.
Letztlich ersetzt der remanente Speicher 4a beziehungsweise 4b, der prinzipiell auch in nichtredundanter Bauform, das heißt nur einmal, vorgesehen sein kann, eine zusätzliche Komponente mit Schmelzsicherungen oder Abschaltrelais, wodurch deren oben geschilderten Nachteile nicht auftreten.
ZITATE ENTHALTEN IN DER BESCHREIBUNG
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
Zitierte Nicht-Patentliteratur

Norm EN 50129 [0003]

Claims

Sicherheitsrelevantes System, insbesondere Eisenbahnsicherungssystem (2), mit einer im Fehlerfall reagierenden Einrichtung zum dauerhaften Erzwingen eines sicheren Zustandes, insbesondere Abschaltzustandes, des Systems, dadurch gekennzeichnet, dass die Einrichtung mindestens zwei remanente Speicher (4a, 4b) aufweist, wobei jeder Speicher (4a, 4b) im Fehlerfall den sicheren Zustand erzwingt.
Sicherheitsrelevantes System nach Anspruch 1, dadurch gekennzeichnet, dass der remanente Speicher (4a, 4b) als EEPROM ausgebildet ist.
Sicherheitsrelevantes System nach einem der vorangehenden Ansprüche, dadurch gekennzeichnet, dass jeder remanente Speicher (4a, 4b) einen Schalter (7a, 7b) zum Erzwingen des sicheren Zustandes ansteuert.
Sicherheitsrelevantes System nach einem der vorangehenden Ansprüche, dadurch gekennzeichnet, dass jeder remanente Speicher (4a, 4b) einem Controller zugeordnet ist, wobei der Controller im fehlerfreien Systemzustand einen ersten Speicherwert und im Fehlerfall einen zweiten Speicherwert des Speichers (4a, 4b) setzt.