-
Die Erfindung betrifft ein System zur Steuerung von Stellwerken im Bahnverkehr.
-
Im Bahnverkehr müssen Steuersignale zur Steuerung von Stellwerken gewissen Sicherheitsanforderungen entsprechen. Dabei hat man es typischerweise mit verteilten Systemen zu tun, die jeweils Ausgaben bzw. Steuersignale erzeugen. Zur Erhöhung der Sicherheit werden dabei signalerzeugende Hardwareeinrichtungen mehrfach repliziert, welche als sogenannte Replikanten bezeichnet werden. Die Ausgaben dieser sogenannten Replikanten werden auf zentrale Voter gelenkt. Ein solcher Voter ist ein Entscheider, der aus einer gegebenen Anzahl redundanter Eingangsdaten die „richtigen“ Ausgangsdaten erzeugt. Oftmals werden dazu Majoritätsvoter verwendet, die durch einen Mehrheitsentscheid ein Ausgangssignal erzeugen. Die Ausgangssignale, sogenannte gevotete Signale, werden dem Verbraucher zur Verfügung gestellt. Solche gevoteten Signale sind vertrauenswürdig. Bei zentralen Votern existiert jedoch als Schwachpunkt der Voter an sich, denn wenn dieser Voter ausfällt, gibt es auch keine Weiterleitung von gevoteten Signalen zu den Verbrauchern. Bislang werden Voter den Replikanten hardwaretechnisch zugeordnet und bilden mit diesen eine gemeinsame Ausfalleinheit. Dadurch fällt es nicht auf, dass es Voter gibt, denn das Voten wird als Eigenschaft der Geräte angesehen.
-
Die Aufgabe besteht darin, ein alternatives System zur Steuerung von Stellwerken zur Verfügung zu stellen, das ein geringes Ausfallrisiko sowie eine hohe Verfügbarkeit aufweist.
-
Erfindungsgemäß wird ein System zur Steuerung von Stellwerken im Bahnverkehr zur Verfügung gestellt, welches mindestens eine Mehrzahl von redundanten Replikanten zur Erzeugung von redundanten Steuersignalen aufweist. Zusätzlich ist eine Voterstruktur vorgesehen, die eine Mehrzahl von Majoritätsvotern umfasst, wobei jeder Majoritätsvoter Eingänge, die mit den Ausgängen der Mehrzahl der redundanten Replikanten verbunden sind, sowie jeweils einen Ausgang aufweist. Erfindungsgemäß ist die Voterstruktur und die Mehrzahl von redundanten Replikanten hardwaretechnisch voneinander getrennt und die Ausgänge der Mehrzahl von Majoritätsvoter mit den Eingängen eines Diskriminatorvoters verbunden, wobei der Ausgang des Diskriminatorvoters ein Steuersignal zur Steuerung von Stellwerken zur Verfügung stellt. Der Diskriminatorvoter gibt kein Steuersignal aus, wenn sich seine Eingänge widersprechen.
-
Die Erfindung hat den Vorteil, dass sich die Mehrzahl der Replikanten und die Voterstruktur durch die hardwaretechnische Trennung in unterscheidbaren Ausfalleinheiten befinden, was die Lokalisierung von Fehlfunktionen bzw. Ausfällen vereinfacht. Ferner werden die Aufgabengebiete dadurch voneinander getrennt. Zudem kann durch diese Trennung kommerziell übliche Rechenhardware verwendet werden und es muss nicht mehr auf spezielle Hardware mit integrierten Votereinheiten zurückgegriffen werden. Ferner kann vorteilhaft durch den Diskriminatorvoter nur ein Steuersignal ausgegeben werden, wenn sich seine Eingänge nicht widersprechen, wodurch zudem das Abweichen eines vorgeschalteten Majoritätsvoters M1, M2 festgestellt werden kann. Da in der Vorstufe die Majoritätsvoter bereits über Mehrheitsentscheid gevotete Steuersignale an den Diskriminatorvoter übergeben, wird somit eine zusätzliche Sicherheitsstufe eingebracht, die die Wahrscheinlichkeit einer fehlerhaften Signalübertragung verringert. Ein Diskriminatorvoter hat ferner eine weniger komplexe und somit ausfallresistentere Hardware als ein Majoritätsvoter, sodass die Ausfallwahrscheinlichkeit des erfindungsmäßen Systems verringert wird.
-
Vorzugsweise agiert der Diskriminatorvoter als Durchschalter, wenn nur ein Eingangssignal anliegt. Dadurch kann ein Ausfall eines oder mehrerer Majoritätsvoters kompensiert werden, so dass am Ausgang des Diskriminatorvoters weiterhin ein gevotetes Steuersignal ausgegeben wird. Dadurch wird die Verfügbarkeit des Systems erhöht, denn ein Ausfall eines Majoritätsvoters führt dann nicht zu einem Gesamtausfall des Systems.
-
Vorzugsweise wird eine Fehlermeldung ausgegeben, falls der Diskriminatorvoter von einem Majoritätsvoter kein Eingangssignal erhält. Durch eine solche Überwachung kann der betreffende Majoritätsvoter entsprechend identifiziert und infolge überprüft bzw. ausgetauscht werden.
-
Vorteilhafterweise kann eine Mehrzahl von nachgeschalteten Diskriminatorvotern verwendet werden, wobei die Ausgänge der Mehrzahl von Majoritätsvotern mit jedem Eingang jedes Diskriminatorvoters verbunden sind, wobei an jedem Ausgang des jeweiligen Diskriminatorvoters ein Steuersignal zur Steuerung von Stellwerken zur Verfügung gestellt wird. Hierdurch wird eine Redundanz hinsichtlich der Diskriminatorvoter erzielt. Sollte ein Diskriminatorvoter ausfallen, so steht weiterhin ein Steuersignal am Ausgang der übrigen Diskriminatorvoter zur Verfügung. Zudem können die jeweiligen Steuersignale miteinander verglichen werden. Somit kann das System einen Ausfall bzw. eine Fehlfunktion eines Diskriminatorvoters tolerieren.
-
Eine Mehrzahl von Replikanten kann räumlich von einer Mehrzahl von Replikanten getrennt sein und/oder die Mehrzahl von nachgeschalteten Majoritätsvotern und/oder die Mehrzahl von Diskriminatorvotern können räumlich voneinander getrennt sein. In der Praxis hat man es häufig mit räumlich verteilten Systemen zu tun. Beispielsweise kann sich eine Mehrzahl von Replikanten an verschiedenen Orten befinden, die aber pro Ort das gleiche Steuersignal generieren. Auch die Majoritätsvoter oder die Diskriminatorvoter können voneinander getrennt sein. Fällt nun einer dieser „Orte“ aus, beispielsweise durch besondere Ereignisse wie Versorgungsausfälle, Naturkatastrophen etc., so kann dennoch ein gevotetes Steuersignal an einem oder an verschiedenen Orten zur Verfügung gestellt werden. Dadurch wird eine örtliche Redundanz erzeugt, da der Ausfall eines Ortes oder mehrerer Orte toleriert werden kann. Ferner haben ein Ausfall eines Diskriminatorvoters oder zugeordnete Verbindungen einen geringeren Einfluss auf das System, da sie sich auf der Ausfalleinheit des Empfängers bzw. Verbrauchers befinden.
-
Eine Fehlermeldung kann ausgegeben werden, falls nicht alle Eingangssignale an einem Majoritätsvoter gleich sind. Dadurch kann eine Fehlerlokalisierung erzielt werden, was zu einer Überprüfung bzw. Ersetzung eines Replikanten führen kann. Ferner können abweichende Eingänge eines Majoritätsvoters verlässlich gesperrt werden.
-
Das gesamte System kann blockiert werden, falls der Diskriminatorvoter von einem Majoritätsvoter kein Eingangssignal erhält oder falls sich die Eingänge des Diskriminatorvoters widersprechen. Dadurch kann eine sehr hohe Sicherheit erzielt werden.
-
Der nachgeschaltete Diskriminatorvoter oder die Mehrzahl von nachgeschalteten Diskriminatorvotern können ein eigenständiges konfigurierbares Gerät bilden.
-
Bevorzugt ist der nachgeschaltete Diskriminatorvoter oder die Mehrzahl von nachgeschalteten Diskriminatorvotern innerhalb einer Auswerteeinheit integriert. Dadurch befinden sich Auswerteeinheit und Diskriminatorvoter in derselben Ausfalleinheit.
-
Die oben beschriebenen Eigenschaften, Merkmale und Vorteile dieser Erfindung sowie die Art und Weise, wie diese erreicht werden, werden klarer und deutlicher verständlich im Zusammenhang mit der folgenden Beschreibung der Ausführungsbeispiele, die im Zusammenhang mit den Zeichnungen näher erläutert werden. Es zeigen:
-
1 System zur Steuerung von Stellwerken nach einer ersten Ausführungsform,
-
2 System zur Steuerung von Stellwerken nach einer zweiten Ausführungsform,
-
3 System zur Steuerung von Stellwerken nach einer dritten Ausführungsform und
-
4 System zur Steuerung von Stellwerken nach einer vierten Ausführungsform.
-
In der 1 ist ein System S zur Steuerung von Stellwerken nach einer ersten Ausführungsform gezeigt. Dabei ist eine originale Hardwareeinrichtung H dargestellt, die mehrfach repliziert wird, d.h. es werden eine Mehrzahl von Replikanten R1a, R1b, R1c, R2a, R2b, R2c zur Redundanzschaffung generiert, die im störfreien Fall das gleiche Steuersignal erzeugen wie die originale Hardwareeinrichtung H. Das System S umfasst die Mehrzahl von Replikanten R1a, R1b, R1c, R2a, R2b, R2c sowie eine zugeordnete Voterstruktur 1. Die Mehrzahl der Replikanten R1a, R1b, R1c, R2a, R2b, R2c erzeugt Steuersignale, die über die Voterstruktur 1 gevotet werden. Als Hardwareeinrichtung H bzw. als Replikanten R1a, R1b, R1c, R2a, R2b, R2c kommen dabei beispielsweise elektrische Schaltungen, logische Schaltungen, Prozessoren, Rechner, Steuergeräte etc. in Frage, wobei die Erfindung nicht auf diese Beispiele beschränkt ist. Das Signal zur Steuerung von Stellwerken kann beispielsweise benutzt werden, um eine Weiche umzustellen, eine Gleissperre zu aktivieren oder beispielsweise ein Schalten einer Ampel von rot auf grün zu gewährleisten, wobei viele weitere zweckmäßige Besteuerungen im Bahnverkehr in Betracht kommen.
-
In dieser Ausführungsform sind beispielhaft sechs Replikanten R1a, R1b, R1c, R2a, R2b, R2c vorgesehen, wobei prinzipiell beliebig viele Replikanten R1a, R1b, R1c, R2a, R2b, R2c vorgesehen sein können. Die Mehrzahl von Replikanten R1a, R1b, R1c, R2a, R2b, R2c sind mit einer Mehrzahl von Majoritätsvotern M1, M2 verbunden, d.h. die Ausgänge der Mehrzahl von Replikanten R1a, R1b, R1c, R2a, R2b, R2c liegen an den Eingängen der Mehrzahl von Majoritätsvotern M1, M2. In diesem Beispiel liegen die Ausgänge der Replikanten R1a, R1b, R1c rein beispielhaft an den Eingängen von M1 und die Ausgänge der Replikanten R2a, R2b, R2c an den Eingängen von M2.
-
Die Majoritätsvoter M1, M2 bilden für deren Ausgangssignal einen Mehrheitsentscheid auf Basis ihrer eingehenden Signale, d.h. weist eine Mehrheit der Eingänge dasselbe Signal auf, so wird dieses ausgegeben. Wenn rein beispielhaft von R1a und R1b ein „High-Pegel“ und von R1c ein „Low-Pegel“ eingeht, dann liegt am Ausgang von M1 ein High-Pegel an. Im Normalfall, das ist der störfreie Fall, liegen an den Eingängen die gleichen Steuersignale an, die dann vom Majoritätsvoter M1 an seinem Ausgang ausgegeben werden. In dem Fall einer Abweichung eines Eingangssignals, z.B. des Replikanten R1c, kann dies zusätzlich zu einer Fehlermeldung führen. Ferner können abweichende Eingänge eines Majoritätsvoters verlässlich gesperrt werden. Die Ausgangssignale der Majoritätsvoter M1, M2 sind damit bereits durch Redundanz gesicherte Steuersignale, sprich gevotete Steuersignale, die vertrauenswürdig sind. Je nach Anzahl der Replikanten R1a, R1b, R1c, R2a, R2b, R2c können auch mehr als zwei Majoritätsvoter M1, M2 eingesetzt werden, oder mehr Eingänge pro Majoritätsvoter M1, M2 vorgesehen werden. Bei fünf Eingängen können die Majoritätsvoter M1, M2 beispielhaft bereits zwei abweichende Steuersignale tolerieren.
-
Die Ausgänge der Mehrzahl von Majoritätsvoter M1, M2 sind erfindungsgemäß mit den Eingängen eines Diskriminatorvoters D verbunden, dessen Ausgangssignal das Steuersignal zur Steuerung von Stellwerken darstellt. Nur falls die Eingänge des Diskriminatorvoters D sich widersprechen, wird von dem Diskriminatorvoter D kein Ausgangssignal erzeugt. Dadurch kann vorteilhaft das Abweichen eines vorgeschalteten Majoritätsvoters M1, M2 festgestellt werden. Da in der Vorstufe die Majoritätsvoter M1, M2 bereits über Mehrheitsentscheid gevotete Steuersignale an den Diskriminatorvoter D übergeben werden, wird somit eine zusätzliche Sicherheitsstufe eingebracht, die die Wahrscheinlichkeit einer fehlerhaften Signalübertragung weiter verringert. Ein Diskriminatorvoter D hat zudem eine weniger komplexe und somit ausfallresistentere Hardware als ein Majoritätsvoter M1, M2, sodass die Ausfallwahrscheinlichkeit des erfindungsmäßen Systems S verringert wird.
-
Die Mehrzahl der Replikanten R1a, R1b, R1c, R2a, R2b, R2c und die Voterstruktur 1 sind hardwaretechnisch voneinander getrennt, wodurch die Aufgabengebiete voneinander separiert sind. Voterstruktur 1 und Replikanten R1a, R1b, R1c, R2a, R2b, R2c bilden dann vorteilhaft unterschiedliche Ausfalleinheiten. Dadurch kann vorteilhaft eine gezielte Lokalisierung einer Ausfallquelle erfolgen. Zudem muss nicht mehr auf spezielle Hardware mit integrierten Votereinheiten zurückgegriffen werden, sondern es kann kommerziell übliche Rechenhardware verwendet werden.
-
Falls nur ein Eingangssignal am Diskriminatorvoter D vorliegt, dann agiert der Diskriminatorvoter D wie ein Durchschalter, d.h. er kann dennoch ein Steuerungssignal als Ausgangssignal erzeugen und zwar genau das Anliegende. Daher kann dieses System einen Ausfall eines Majoritätvoters M1, M2 tolerieren, was den Majoritätsvoter M1, M2 nicht mehr zu einer kritischen Komponente des Systems S macht.
-
In einer höheren Sicherheitsstufe kann das gesamte System S blockiert werden, falls der Diskriminatorvoter D von einem Majoritätsvoter M1, M2 kein Eingangssignal erhält oder falls sich die Eingänge des Diskriminatorvoters D widersprechen.
-
Der nachgeschaltete Diskriminatorvoter D kann ein eigenständiges konfigurierbares Gerät bilden. Der nachgeschaltete Diskriminatorvoter D kann aber auch innerhalb einer Auswerteeinheit integriert sein, womit er eine Ausfalleinheit mit der Auswerteeinheit bildet.
-
Die Anzahl der Replikanten R1a, R1b, R1c, R2a, R2b, R2c und die Anzahl der Majoritätsvoter M1, M2 ist hier nur beispielhaft ausgewählt, die Erfindung ist jedoch nicht darauf beschränkt. Beispielsweise können mehr Replikanten R1a, R1b, R1c, R2a, R2b, R2c und/oder mehr Majoritätsvoter M1, M2 verwendet werden.
-
In den 2–4 wird jeweils nur auf die Unterschiede zu 1 bzw. untereinander eingegangen.
-
In 2 wird ein System S zur Steuerung von Stellwerken nach einer zweiten Ausführungsform beschrieben. Im Unterschied zu 1 werden zwei Diskriminatorvoter D1, D2 zur Verfügung gestellt, wobei die Eingänge jedes Diskriminatorvoters D1, D2 mit beiden Ausgängen der Majoritätsvoter M1, M2 verbunden sind. Dadurch wird eine Redundanz der Diskriminatorvoter D1, D2 geschaffen. Sollte ein Diskriminatorvoter, beispielsweise D1, ausfallen, kann dann an dem Ausgang von D2 das gevotete Steuersignal weiterhin erhalten werden. Ferner ermöglicht diese Anordnung auch eine örtliche Trennung der Diskriminatorvoter D1, D2, z.B. wenn zwei gevotete Signale an unterschiedlichen Orten zur Verfügung gestellt werden sollen. Es können auch mehr als zwei Diskriminatorvoter D1, D2 zur Verfügung gestellt werden.
-
Die Anzahl der Replikanten R1a, R1b, R1c, R2a, R2b, R2c, die Anzahl der Majoritätsvoter M1, M2 und die Anzahl der Diskriminatorvoter D1, D2 ist auch hier nur beispielhaft ausgewählt, die Erfindung ist jedoch nicht darauf beschränkt. Beispielsweise können mehr Replikanten R1a, R1b, R1c, R2a, R2b, R2c, mehr Majoritätsvoter M1, M2 und/oder mehr Diskriminatorvoter D1, D2 verwendet werden.
-
In 3 wird ein System zur Steuerung von Stellwerken nach einer dritten Ausführungsform beschrieben. Häufig hat man es mit verteilten Systemen zu tun. Im Vergleich zu den 1 und 2 werden daher beispielhaft zwei örtlich bzw. räumlich voneinander getrennte Replikanten R1a, R1b, R1c bzw. R2a, R2b, R2c beschrieben. Eine Mehrzahl von Replikanten R1a, R1b, R1c befindet sich an einem Ort L1 und eine weitere Mehrzahl von Replikanten R2a, R2b, R2c befinden sich an einem weiteren Ort L2, wobei der Ort L2 räumlich vom Ort L1 getrennt ist. Die nachgeschalteten Majoritätsvoter M1, M2 können voneinander örtlich getrennt sein, müssen sie aber nicht. In der konkreten Ausführungsform befindet sich ein Majoritätsvoter M1 am Ort L1 und ein Majoritätsvoter M2 am Ort L2. Der Diskriminatorvoter befindet sich bevorzugt an einem Ort L3, der vom Ort L1 und vom Ort L2 verschieden ist. Sollte nun durch besondere Ereignisse wie beispielsweise Versorgungsausfälle, Naturkatastrophen etc. ein „Ort“ ausfallen, beispielsweise Ort L1, so kann weiterhin durch den anderen Ort L2 über die Replikanten R2a, R2b, R2c mit dem Majoritätsvoter M2 ein gevotetes Steuersignal über den Diskriminatorvoter D ausgegeben werden. Somit wird dadurch eine geographische bzw. örtliche Redundanz für räumlich verteilte Systeme mit sicherungstechnischer Verantwortung erzeugt. Ferner haben ein Ausfall eines Diskriminatorvoters oder zugeordnete Verbindungen vorteilhaft einen geringeren Einfluss auf das senderseitige System, da sie sich auf der Ausfalleinheit des Empfängers bzw. Verbrauchers befinden.
-
Die Anzahl der Replikanten R1a, R1b, R1c, R2a, R2b, R2c, die Anzahl der Majoritätsvoter M1, M2 und die Anzahl der Orte L1, L2 ist auch hier nur beispielhaft ausgewählt, die Erfindung ist jedoch nicht darauf beschränkt. Beispielsweise können mehr Replikanten R1a, R1b, R1c, R2a, R2b, R2c und/oder mehr Majoritätsvoter M1, M2 verwendet werden. Zudem können auch mehrere Orte L1, L2 mit entsprechenden Replikanten R1a, R1b, R1c, R2a, R2b, R2c pro Ort L1, L2 beschrieben werden, um noch mehr geographische bzw. örtliche Redundanz zu schaffen.
-
In 4 wird ein weiteres System S zur Steuerung von Stellwerken nach einer vierten Ausführungsform beschrieben.
-
Im Unterschied zu 3 werden zwei Diskriminatorvoter D1, D2 zur Verfügung gestellt, wobei die Eingänge jedes Diskriminatorvoters D1, D2 mit beiden Ausgängen der Majoritätsvoter M1, M2 verbunden sind. Dadurch wird eine Redundanz der Diskriminatorvoter D1, D2 geschaffen. Sollte ein Diskriminatorvoter, beispielsweise D1, ausfallen, dann kann an dem Ausgang von D2 das gevotete Steuersignal weiterhin erhalten werden. Die Diskriminatorvoter D1, D2 befinden sich in diesem Ausführungsbeispiel an unterschiedlichen Orten L3, L4. Der Diskriminatorvoter D1 befindet sich beispielhaft am Ort L3 und der Diskriminatorvoter D2 befindet sich beispielhaft am Ort L4. Dadurch kann ein örtlicher Ausfall an einem der Orte L3 bzw. L4 durch die örtliche Trennung der Diskriminatorvoter D1, D2 toleriert werden. Somit kann eine geographische bzw. örtliche Redundanz für räumlich verteilte Systeme mit sicherungstechnischer Verantwortung generiert werden. Auch hier können mehr als zwei Diskriminatorvoter D1, D2 zur Verfügung gestellt werden, die sich beispielsweise an mehr als zwei voneinander unterschiedlichen Orten L3, L4 befinden.
-
Die Anzahl der Replikanten R1a, R1b, R1c, R2a, R2b, R2c, die Anzahl der Majoritätsvoter M1, M2, die Anzahl der Orte L1, L2 bzw. L3, L4 und die Anzahl der Diskriminatorvoter D1, D2 ist auch hier nur beispielhaft ausgewählt, die Erfindung ist jedoch nicht darauf beschränkt. Beispielsweise können mehr Replikanten R1a, R1b, R1c, R2a, R2b, R2c, mehr Majoritätsvoter M1, M2 und/oder mehr Diskriminatorvoter D1, D2 verwendet werden.
-
Zusammengefasst wird ein System S zur Steuerung von Stellwerken beschrieben, das bereits durch Majoritätsvoter M1, M2 gevotete Steuersignale mittels eines nachgeschalteten Diskriminatorvoters D, D1, D2 ausgibt. Der Diskriminatorvoter D, D1, D2 gibt dabei nur ein Steuersignal aus, wenn sich dessen Eingänge nicht widersprechen. Es können auch mehrere Diskriminatorvoter D1, D2 nachgeschaltet werden. Zudem können abweichende Majoritätsvoter M1, M2 blockiert werden. Die Erfindung reduziert das Ausfallrisiko und erhöht damit die Verfügbarkeit des Systems S. Zusätzlich kann für örtlich verteilte Systeme eine geographische bzw. räumliche Redundanz erzielt werden, sodass ein örtlicher Ausfall vom System S toleriert werden kann. Die Mehrheit von Replikanten R1a, R1b, R1c, R2a, R2b, R2c und die Voterstruktur 1 sind hardwaretechnisch voneinander getrennt, wodurch die Aufgabengebiete voneinander separiert sind. Voterstruktur 1 und Mehrheit von Replikanten R1a, R1b, R1c, R2a, R2b, R2c bilden dann vorteilhaft unterschiedliche Ausfalleinheiten. Dadurch kann vorteilhaft eine gezieltere Lokalisierung einer Ausfallquelle erfolgen. Zudem muss nicht mehr auf spezielle Hardware mit integrierten Votereinheiten zurückgegriffen werden, sondern es kann kommerziell übliche Rechenhardware verwendet werden.
-
Obwohl die Erfindung im Detail durch bevorzugte Ausführungsbeispiele näher illustriert und beschrieben wurde, so ist die Erfindung nicht durch die offenbarten Beispiele eingeschränkt und andere Variationen können vom Fachmann hieraus abgeleitet werden, ohne den Schutzumfang der Erfindung zu verlassen.
-
Bezugszeichenliste
-
- 1
- Voterstruktur
- H
- Hardwareeinrichtung
- S
- System
- R1a,
- R1b, R1c, R2a, R2b, R2c Replikant
- M1, M2
- Majoritätsvoter
- D, D1, D2
- Diskriminatorvoter
- L1, L2, L3, L4
- Ort
