DE102021202528A1

DE102021202528A1 - Railway engineering device for a railway engineering system and method for its operation

Info

Publication number: DE102021202528A1
Application number: DE102021202528.5A
Authority: DE
Inventors: Detlef Kendelbacher; Fabrice Stein
Original assignee: Siemens Mobility GmbH
Current assignee: Siemens Mobility GmbH
Priority date: 2021-03-16
Filing date: 2021-03-16
Publication date: 2022-09-22
Also published as: EP4059803A1

Abstract

Die Erfindung bezieht sich auf ein Bahntechnikgerät (100) für eine bahntechnische Anlage (10) mit zumindest einer Recheneinrichtung (110) und zumindest einem Schlüsselspeicher (120) zum Abspeichern von kryptografischen Schlüsseln, die eine verschlüsselte und/oder kryptografisch gesicherte Übertragung von Daten zwischen dem Schienenfahrzeug (20) und streckenseitigen Einrichtungen (50) ermöglichen. Erfindungsgemäß ist vorgesehen, dass das Bahntechnikgerät (100) mit einer Ausfallvorhersageeinrichtung (AVM) ausgestattet ist, die einen möglicherweise bevorstehenden Ausfall zumindest einer Komponente des Bahntechnikgeräts (100) feststellen und ein den möglichen Ausfall anzeigendes Warnsignal (WS) ausgegeben kann.The invention relates to a railway engineering device (100) for a railway engineering system (10) with at least one computing device (110) and at least one key memory (120) for storing cryptographic keys, which enable encrypted and/or cryptographically secured transmission of data between the Enable rail vehicle (20) and trackside facilities (50). According to the invention, the railway engineering device (100) is equipped with a failure prediction device (AVM) which can determine a possible imminent failure of at least one component of the railway engineering device (100) and output a warning signal (WS) indicating the possible failure.

Description

Die Erfindung bezieht sich auf ein Bahntechnikgerät für eine bahntechnische Anlage mit zumindest einer Recheneinrichtung und zumindest einem Schlüsselspeicher zum Abspeichern von kryptografischen Schlüsseln, die eine verschlüsselte und/oder kryptografisch gesicherte Übertragung von Daten zwischen einem Schienenfahrzeug und streckenseitigen Einrichtungen ermöglichen.The invention relates to a railway engineering device for a railway engineering system with at least one computing device and at least one key memory for storing cryptographic keys that enable encrypted and/or cryptographically secured transmission of data between a rail vehicle and trackside facilities.

Im Bereich der Eisenbahntechnik stützt sich die sicherungstechnische Datenübertragung über Mobilfunknetze für Zugsteuerungsanwendungen (ETCS - European Train Control System) auf kryptografischen Verfahren ab. Für diese Verfahren werden geheime Kryptoschlüssel genutzt, um die Integrität und Authentizität der zwischen Zügen und Streckenzentralen ausgetauschten Steuerungsdaten sicherzustellen.In the field of railway technology, security-related data transmission via mobile radio networks for train control applications (ETCS - European Train Control System) is based on cryptographic processes. Secret crypto keys are used for these procedures to ensure the integrity and authenticity of the control data exchanged between trains and route control centers.

Da für jede Relation von Zug und Streckenzentrale üblicherweise mindestens ein Schlüsselpaar eingesetzt wird, wird abhängig vom Umfang des Bahnnetzes und der Anzahl der Züge eine Vielzahl von Kryptoschlüsseln in den Fahrzeugen und Streckenzentralen hinterlegt, insbesondere auch dann, wenn die Kryptoschlüssel lediglich eine zeitliche Gültigkeitsbeschränkung (Validity Period) besitzen.Since at least one pair of keys is usually used for each relation between the train and the route control center, a large number of crypto keys are stored in the vehicles and route control centers depending on the size of the railway network and the number of trains, especially if the crypto keys only have a time limit (validity Period) own.

Demzufolge benötigen die im ETCS kommunizierenden Instanzen geeignete Schlüsselspeicher, die sowohl offline als auch online, mit entsprechendem Schlüsselmaterial versorgt werden. Die dafür anzuwendenden Schlüsselverteilverfahren sind ebenso wie das eigentliche Protokoll der Zugsteuerung europäisch genormt (UNISIG Subsets 114 und 137).As a result, the instances communicating in the ETCS require suitable key memories, which are supplied with the appropriate key material both offline and online. The key distribution procedures to be used for this, like the actual train control protocol, are standardized at European level (UNISIG subsets 114 and 137).

An die Schlüsselspeicher der ETCS-Instanzen werden besondere Anforderungen hinsichtlich Ausfallsicherheit, Performance und Integrität gestellt. Beispielsweise sollen bestimmte Kryptoschlüssel anhand verschiedener Merkmale wie ETCS-Identität und aktueller Systemzeit innerhalb von Sekunden aus tausenden von Schlüsseln selektiert werden können. Auch komplexe Transaktionen, beispielsweise zum Update der Gültigkeit einer Vielzahl von Schlüsseln sollen fehlerfrei durchführbar sein. Darüber hinaus soll die Integrität des Schlüsselspeichers auch dann nicht verloren gehen, wenn ein Stromausfall zu einer beliebigen Zeit laufende Transaktionen in einem Onboard-Rechner unterbricht. Schließlich sollen Schlüsselspeicher, die auf Flash-Hardware implementiert sind, hinsichtlich ihrer Schreibzyklen optimiert werden, da diese Speicher hinsichtlich der Anzahl von Schreibzugriffen limitiert sind (Flashzellen können nur zwischen 3.000 (MLC 25 nm) und 100.000 (SLC) Schreibvorgänge absolvieren).Special requirements are placed on the key memory of the ETCS instances in terms of reliability, performance and integrity. For example, certain crypto keys should be able to be selected from thousands of keys within seconds based on various characteristics such as ETCS identity and current system time. Even complex transactions, for example to update the validity of a large number of keys, should be able to be carried out without errors. In addition, the integrity of the key store should not be lost even if a power failure at any time interrupts ongoing transactions in an onboard computer. Finally, key memories implemented on flash hardware should be optimized with regard to their write cycles, since these memories are limited in terms of the number of write accesses (flash cells can only complete between 3,000 (MLC 25 nm) and 100,000 (SLC) write processes).

Eine weitere Forderung, die sich sowohl aus der europäischen Norm (UNISIG Subset 137), als auch aus den Erfordernissen eines zuverlässigen ETCS Zugverkehrs ergibt, besteht darin, Fehler in den lokal abgespeicherten Schlüsseldaten zu offenbaren, da falsche oder nicht lesbare Kryptoschlüssel zum Ausfall des ETCS Bahnbetriebes und damit zu erheblichen betrieblichen Problemen führen kann.Another requirement, which results from both the European standard (UNISIG Subset 137) and the requirements for reliable ETCS train traffic, is to reveal errors in the locally stored key data, since incorrect or illegible crypto keys lead to the failure of the ETCS railway operations and thus can lead to considerable operational problems.

Um diese Anforderung zu erfüllen, sind in der UNISIG Spezifikation Fehlermeldungen für auf den Fahrzeugen abgespeicherte Kryptoschlüssel vorgesehen. Damit fehlerhafte Kryptoschlüssel erkannt werden können, kann die Schlüsselintegrität auf Anwendungsniveau überwacht werden, indem beispielsweise für jeden spezifischen Kryptoschlüssel eine Prüfsumme mit abgespeichert wird und zyklisch oder vor Nutzung des Kryptoschlüssels überprüft wird. Dieses Vorgehen erkennt Probleme jedoch erst nach deren Auftreten und arbeitet auf Anwendungsniveau.In order to meet this requirement, error messages for crypto keys stored on the vehicles are provided in the UNISIG specification. So that faulty crypto keys can be detected, the key integrity can be monitored at the application level, for example by storing a checksum for each specific crypto key and checking the crypto key cyclically or before it is used. However, this approach only recognizes problems after they have occurred and works at the application level.

Der Erfindung liegt somit die Aufgabe zugrunde, ein mit Blick auf die obenstehende Problematik verbessertes Bahntechnikgerät anzugeben.The invention is therefore based on the object of specifying a railway technology device that is improved in view of the above problem.

Diese Aufgabe wird erfindungsgemäß durch ein Bahntechnikgerät mit den Merkmalen gemäß Patentanspruch 1 gelöst. Vorteilhafte Ausgestaltungen des erfindungsgemäßen Bahntechnikgeräts sind in Unteransprüchen angegeben.According to the invention, this object is achieved by a railway technology device having the features according to patent claim 1 . Advantageous refinements of the railway technology device according to the invention are specified in the dependent claims.

Danach ist erfindungsgemäß vorgesehen, dass das Bahntechnikgerät mit einer Ausfallvorhersageeinrichtung ausgestattet ist, die einen möglicherweise bevorstehenden Ausfall zumindest einer Komponente des Bahntechnikgeräts feststellen und ein den möglichen Ausfall anzeigendes Warnsignal ausgegeben kann.According to the invention, it is provided that the railway engineering device is equipped with a failure prediction device that can determine a possible imminent failure of at least one component of the railway engineering device and output a warning signal indicating the possible failure.

Ein wesentlicher Vorteil des erfindungsgemäßen Bahntechnikgeräts ist darin zu sehen, dass dieses mit seiner Ausfallvorhersageeinrichtung einen möglicherweise bevorstehenden Ausfall, also noch nicht eingetretenen Ausfall, feststellen und rechtzeitig ein den möglichen Ausfall anzeigendes Warnsignal ausgeben kann, wodurch betriebseinschränkende Maßnahmen noch durch rechtzeitige Wartung oder Reparatur vermieden werden können. So kann in vorteilhafter Weise eine Offenbarung von Fehlern im ETCS-Schlüsselspeicher noch vor deren Auftreten erfolgen, also noch bevor etwaig beschädigte oder nicht mehr verwendbare Schlüssel zum Anlagenbetrieb eingesetzt werden müssen.A significant advantage of the railway engineering device according to the invention can be seen in the fact that it can use its failure prediction device to determine a possible impending failure, i.e. a failure that has not yet occurred, and to issue a warning signal indicating the possible failure in good time, which means that measures restricting operation can be avoided through timely maintenance or repairs be able. In this way, errors in the ETCS code memory can advantageously be revealed before they occur, ie before any damaged or no longer usable keys have to be used to operate the system.

Der Schlüsselspeicher ist vorzugsweise mit einer internen Speicherüberwachungseinrichtung ausgestattet, die den Schlüsselspeicher betreffende Zustandsinformationen erfassen und auf Abfrage ausgeben kann.The key memory is preferably equipped with an internal memory monitoring device that can record status information relating to the key memory and output it on request.

Die Ausfallvorhersageeinrichtung steht vorzugsweise mit der internen Speicherüberwachungseinrichtung in Verbindung und ist dazu ausgestaltet, in regelmäßigen oder unregelmäßigen Abständen aus der internen Speicherüberwachungseinrichtung zumindest eine den Schlüsselspeicher betreffende Zustandsinformation auszulesen, auf der Basis der zumindest einen ausgelesenen Zustandsinformation auf einen möglichen vollständigen oder teilweisen Ausfall des Schlüsselspeichers zu schlie-ßen und das Warnsignal auf der Basis der zumindest einen ausgelesenen Zustandsinformation zu erzeugen.The failure prediction device is preferably connected to the internal memory monitoring device and is designed to read out at least one piece of status information relating to the key memory from the internal memory monitoring device at regular or irregular intervals, based on the at least one piece of status information read out for a possible complete or partial failure of the key memory close and to generate the warning signal on the basis of the at least one read status information.

Bei der letztgenannten Variante ist es vorteilhaft, wenn der Schlüsselspeicher zum Speichern herangezogene Speicherblöcke sowie Reserveblöcke, die bei Ausfall eines oder mehrerer Speicherblöcke als Ersatz für die ausgefallenen Speicherblöcke eingesetzt werden, aufweist und die Ausfallvorhersageeinrichtung aus der internen Speicherüberwachungseinrichtung die Anzahl der bereits verwendeten Reserveblöcke ausliest und das Warnsignal zumindest auch auf der Basis der Anzahl der bereits verwendeten Reserveblöcke erzeugt. Vorzugsweise wird das Warnsignal erzeugt, sobald von der Speicherüberwachungseinrichtung die Information eingeht, dass eine vorgegebene Anzahl, die vorzugsweise Eins beträgt, an Reserveblöcken als Ersatz für einen ausgefallenen Speicherblock eingesetzt wurde.In the latter variant, it is advantageous if the key memory has memory blocks used for storage as well as reserve blocks that are used as a replacement for the failed memory blocks if one or more memory blocks fail, and the failure prediction device reads the number of reserve blocks already used from the internal memory monitoring device and the warning signal is generated at least also on the basis of the number of reserve blocks already used. The warning signal is preferably generated as soon as the memory monitoring device receives the information that a predetermined number, which is preferably one, of reserve blocks has been used to replace a failed memory block.

Alternativ oder zusätzlich kann in vorteilhafter Weise vorgesehen sein, dass die Ausfallvorhersageeinrichtung aus der internen Speicherüberwachungseinrichtung die Lesefehlerrate beim Lesen des Schlüsselspeichers ausliest und das Warnsignal zumindest auch auf der Basis der Lesefehlerrate erzeugt, insbesondere das Warnsignal erzeugt, wenn die Lesefehlerrate einen vorgegebenen Lesefehlerratenmaximalwert überschreitet.Alternatively or additionally, it can advantageously be provided that the failure prediction device reads the read error rate from the internal memory monitoring device when reading the key memory and generates the warning signal at least also on the basis of the read error rate, in particular generates the warning signal if the read error rate exceeds a predetermined maximum read error rate value.

Alternativ oder zusätzlich kann in vorteilhafter Weise vorgesehen sein, dass die Ausfallvorhersageeinrichtung aus der internen Speicherüberwachungseinrichtung die Löschfehlerrate beim Löschen des Schlüsselspeichers ausliest und das Warnsignal zumindest auch auf der Basis der Löschfehlerrate erzeugt, insbesondere das Warnsignal erzeugt, wenn die Löschfehlerrate einen vorgegebenen Löschfehlerratenmaximalwert überschreitet.Alternatively or additionally, it can advantageously be provided that the failure prediction device reads the erasure error rate from the internal memory monitoring device when the key memory is erased and generates the warning signal at least also on the basis of the erasure error rate, in particular generates the warning signal if the erasure error rate exceeds a predetermined maximum erasure error rate value.

Alternativ oder zusätzlich kann in vorteilhafter Weise vorgesehen sein, dass die Ausfallvorhersageeinrichtung aus der internen Speicherüberwachungseinrichtung die Anzahl der unkorrigierbaren Fehler des Schlüsselspeichers ausliest und das Warnsignal zumindest auch auf der Basis der Anzahl unkorrigierbarer Fehler erzeugt, insbesondere das Warnsignal erzeugt, wenn die Anzahl unkorrigierbarer Fehler einen vorgegebenen Maximalwert überschreitet.Alternatively or additionally, it can advantageously be provided that the failure prediction device reads the number of uncorrectable errors in the key memory from the internal memory monitoring device and generates the warning signal at least also on the basis of the number of uncorrectable errors, in particular generates the warning signal if the number of uncorrectable errors is one exceeds the specified maximum value.

Alternativ oder zusätzlich kann in vorteilhafter Weise vorgesehen sein, dass die Ausfallvorhersageeinrichtung aus der internen Speicherüberwachungseinrichtung die Anzahl der Zeitüberschreitungen für Kommandos an den Schlüsselspeicher ausliest und das Warnsignal zumindest auch auf der Basis der Anzahl der Zeitüberschreitungen für Kommandos erzeugt, insbesondere das Warnsignal erzeugt, wenn die Anzahl der Zeitüberschreitungen für Kommandos an den Schlüsselspeicher einen vorgegebenen Maximalwert überschreitet.Alternatively or additionally, it can advantageously be provided that the failure prediction device reads the number of timeouts for commands to the key memory from the internal memory monitoring device and generates the warning signal at least also on the basis of the number of timeouts for commands, in particular generates the warning signal if the Number of timeouts for commands to the key store exceeds a specified maximum value.

Alternativ oder zusätzlich kann in vorteilhafter Weise vorgesehen sein, dass die Ausfallvorhersageeinrichtung aus der internen Speicherüberwachungseinrichtung die Anzahl instabiler, das heißt zeitweise oder permanent nicht mehr lesbarer Sektoren des Schlüsselspeichers ausliest und das Warnsignal zumindest auch auf der Basis der Anzahl instabiler Sektoren erzeugt, insbesondere das Warnsignal erzeugt, wenn die Anzahl der instabilen Sektoren des Schlüsselspeichers einen vorgegebenen Maximalwert überschreitet.Alternatively or additionally, it can advantageously be provided that the failure prediction device reads the number of unstable, i.e. temporarily or permanently no longer readable, sectors of the key memory from the internal memory monitoring device and generates the warning signal at least on the basis of the number of unstable sectors, in particular the warning signal generated when the number of unstable sectors in the key memory exceeds a specified maximum value.

Besonders vorteilhaft ist es, wenn die Ausfallvorhersageeinrichtung dazu ausgestaltet ist, in regelmäßigen oder unregelmäßigen Abständen aus der internen Speicherüberwachungseinrichtung zwei oder mehr Zustandsinformationen auszulesen, auf der Basis der zwei oder mehr ausgelesenen Zustandsinformationen auf einen möglichen vollständigen oder teilweisen Ausfall des Schlüsselspeichers zu schließen und das Warnsignal auf der Basis der zwei oder mehr Zustandsinformation zu erzeugen.It is particularly advantageous if the failure prediction device is designed to read two or more items of status information from the internal memory monitoring device at regular or irregular intervals, to conclude on a possible complete or partial failure of the key memory on the basis of the two or more items of status read out, and to issue the warning signal based on the two or more pieces of status information.

Die Ausfallvorhersageeinrichtung ist vorzugsweise S.M.A.R.T.kompatibel (S.M.A.R.T.: „Self-Monitoring, Analysis and Reporting Technology“ bzw. Technologie zur Selbstüberwachung, Analyse und Statusmeldung) und geeignet, S.M.A.R.T.-kompatible Abfragen an die interne Speicherüberwachungseinrichtung zu richten und S.M.A.R.T.-kompatible Antworten der internen Speicherüberwachungseinrichtung auszuwerten und das Warnsignal zumindest auch auf der Basis der S.M.A.R.T.-kompatiblen Antworten der internen Speicherüberwachungseinrichtung zu erzeugen.The failure prediction device is preferably S.M.A.R.T. compatible (S.M.A.R.T.: "Self-Monitoring, Analysis and Reporting Technology" or technology for self-monitoring, analysis and status reporting) and suitable for directing S.M.A.R.T.-compatible queries to the internal memory monitoring device and S.M.A.R.T.-compatible answers from the internal memory monitoring device and to generate the warning signal at least on the basis of the S.M.A.R.T.-compatible responses from the internal memory monitoring device.

Das Bahntechnikgerät ist vorzugsweise geeignet, über ein Datenübertragungssystem von einer streckenseitigen Schlüsselaustauscheinrichtung neue kryptografische Schlüssel zu empfangen und diese als Ersatz für vorher im Schlüsselspeicher abgespeicherte alte Schlüssel abzuspeichern.The railway technology device is preferably suitable for receiving new cryptographic keys via a data transmission system from a trackside key exchange device and storing these as a replacement for old keys previously stored in the key memory.

Die Ausfallvorhersageeinrichtung übermittelt vorzugsweise bei Feststellung eines möglichen oder bevorstehenden Ausfalls des Schlüsselspeichers das Warnsignal an die Schlüsselaustauscheinrichtung.The failure prediction device preferably transmits the warning signal to the key exchange device when a possible or imminent failure of the key memory is detected.

Das Bahntechnikgerät ist vorzugsweise dazu ausgebildet, nach erfolgreichem Austausch alter Schlüssel durch neue Schlüssel jeweils ein positives Quittungssignal an die Schlüsselaustauscheinrichtung zu übermitteln.The railway technology device is preferably designed to transmit a positive acknowledgment signal to the key exchange device after the old key has been successfully replaced by a new key.

Das Bahntechnikgerät ist vorzugsweise dazu ausgebildet, nach erfolglosem Austausch alter Schlüssel durch neue Schlüssel jeweils ein negatives Quittungssignal an die Schlüsselaustauscheinrichtung zu übermitteln.The railway technology device is preferably designed to transmit a negative acknowledgment signal to the key exchange device after an unsuccessful exchange of old keys with new keys.

Die Ausfallvorhersageeinrichtung ist vorzugsweise dazu ausgebildet, bei Feststellung eines möglichen oder bevorstenden Ausfalls des Schlüsselspeichers das Warnsignal zusammen mit dem oder als Bestandteil des jeweiligen Quittungssignals an die Schlüsselaustauscheinrichtung zu übermitteln.The failure prediction device is preferably designed to transmit the warning signal together with or as part of the respective acknowledgment signal to the key exchange device when a possible or imminent failure of the key memory is detected.

Bei einer vorteilhaften Ausgestaltung ist das Bahntechnikgerät ein Fahrzeugsteuergerät, insbesondere ein ETCS-kompatibles (ETCS: European Train Control System bzw. Europäisches Zugbeeinflussungssystem) Fahrzeugsteuergerät, das kryptografische Informationen nichtflüchtig speichert.In an advantageous embodiment, the railway technology device is a vehicle control device, in particular an ETCS-compatible (ETCS: European Train Control System or European train control system) vehicle control device that stores cryptographic information in a non-volatile manner.

Bei einer anderen vorteilhaften Ausgestaltung ist das Bahntechnikgerät ein ortsfestes Streckengerät, insbesondere ein ETCS-kompatibles Streckengerät, oder eine streckenseitige Schlüsselverteileinrichtung.In another advantageous embodiment, the railway technology device is a stationary route device, in particular an ETCS-compatible route device, or a route-side key distribution device.

Vorteilhaft ist es, wenn das Bahntechnikgerät zusätzlich zu dem Schlüsselspeicher einen flüchtigen Hauptspeicher aufweist.It is advantageous if the railway technology device has a volatile main memory in addition to the key memory.

Die Ausfallvorhersageeinrichtung ist vorzugsweise dazu ausgestaltet, einen möglichen oder bevorstehenden Ausfall des flüchtigen Hauptspeichers zu erkennen und ein den möglichen Ausfall des Hauptspeichers anzeigendes Warnsignal auszugeben.The failure prediction device is preferably designed to detect a possible or imminent failure of the volatile main memory and to output a warning signal indicating the possible failure of the main memory.

Die Ausfallvorhersageeinrichtung ist vorzugsweise dazu ausgestaltet, Paritätsfehler des Hauptspeichers zu erkennen und ein den möglichen oder bevorstehenden Ausfall des Hauptspeichers anzeigendes Warnsignal auf der Basis der Paritätsfehler zu erzeugen.The failure predictor is preferably arranged to detect parity errors of the main memory and to generate a warning signal indicative of the possible or impending failure of the main memory on the basis of the parity errors.

Auch ist es von Vorteil, wenn die Recheneinrichtung zumindest einen Sensor, insbesondere Temperatursensor, aufweist, der zumindest eine die Recheneinrichtung betreffende Zustandsinformationen, insbesondere die Temperatur der Recheneinrichtung, unter Bildung eines Sensormesswerts erfassen kann.It is also advantageous if the computing device has at least one sensor, in particular a temperature sensor, which can record at least one piece of status information relating to the computing device, in particular the temperature of the computing device, while forming a sensor measurement value.

Die Ausfallvorhersageeinrichtung ist vorzugsweise derart ausgestaltet, dass sie ein einen möglichen oder bevorstehenden Ausfall der Recheneinrichtung angebendes Warnsignal zumindest auch auf der Basis des Sensormesswerts des Sensors erzeugt.The failure prediction device is preferably designed in such a way that it generates a warning signal indicating a possible or imminent failure of the computing device, at least also on the basis of the measured value of the sensor.

Die Erfindung bezieht sich darüber hinaus auf eine bahntechnische Anlage. Erfindungsgemäß ist bzgl. der Anlage vorgesehen, dass diese ein Bahntechnikgerät aufweist, wie es oben beschrieben worden ist.The invention also relates to a railway system. According to the invention, it is provided with regard to the system that it has a railway technology device as has been described above.

Bezüglich der Vorteile und vorteilhafter Ausgestaltungen der erfindungsgemäßen Anlage sei auf die obigen Ausführungen im Zusammenhang mit dem erfindungsgemäßen Bahntechnikgerät sowie dessen vorteilhafter Ausgestaltungen verwiesen.With regard to the advantages and advantageous configurations of the system according to the invention, reference is made to the above statements in connection with the railway technology device according to the invention and its advantageous configurations.

Die Erfindung bezieht sich darüber hinaus auf ein Fahrzeug, insbesondere Schienenfahrzeug. Erfindungsgemäß ist bzgl. des Fahrzeugs vorgesehen, dass dieses ein Bahntechnikgerät aufweist, wie es oben beschrieben worden ist.The invention also relates to a vehicle, in particular a rail vehicle. According to the invention, it is provided with regard to the vehicle that it has a railway technology device as has been described above.

Bezüglich der Vorteile und vorteilhafter Ausgestaltungen des erfindungsgemäßen Fahrzeugs sei auf die obigen Ausführungen im Zusammenhang mit dem erfindungsgemäßen Bahntechnikgerät sowie dessen vorteilhafter Ausgestaltungen verwiesen.With regard to the advantages and advantageous configurations of the vehicle according to the invention, reference is made to the above statements in connection with the railway engineering device according to the invention and its advantageous configurations.

Die Erfindung bezieht sich darüber hinaus auf ein Verfahren zum Betreiben eines Bahntechnikgeräts, das mit zumindest einer Recheneinrichtung und zumindest einem Schlüsselspeicher zum Abspeichern von kryptografischen Schlüsseln, die eine verschlüsselte und/oder kryptografisch gesicherte Übertragung von Daten zwischen dem Schienenfahrzeug und streckenseitigen Einrichtungen ermöglichen, ausgestattet ist. Erfindungsgemäß ist vorgesehen, dass das Bahntechnikgerät auf einen möglichen Ausfall zumindest einer Komponente des Bahntechnikgeräts überwacht wird und ein den möglichen oder bevorstehenden Ausfall anzeigendes Warnsignal ausgegeben wird, wenn ein Überwachungsergebnis der Überwachung auf einen möglichen Ausfall hindeutet.The invention also relates to a method for operating a railway engineering device that is equipped with at least one computing device and at least one key memory for storing cryptographic keys that enable encrypted and/or cryptographically secured transmission of data between the rail vehicle and trackside devices . According to the invention, the railway engineering device is monitored for a possible failure of at least one component of the railway engineering device and a warning signal indicating the possible or imminent failure is output when a monitoring result of the monitoring indicates a possible failure.

Bezüglich der Vorteile und vorteilhafter Ausgestaltungen des erfindungsgemäßen Verfahrens sei auf die obigen Ausführungen im Zusammenhang mit dem erfindungsgemäßen Bahntechnikgerät sowie dessen vorteilhafter Ausgestaltungen verwiesen.With regard to the advantages and advantageous configurations of the method according to the invention, reference is made to the above statements in connection with the railway technology device according to the invention and its advantageous configurations.

Die Erfindung wird nachfolgend anhand von Ausführungsbeispielen näher erläutert; dabei zeigen beispielhaft

1 ein Ausführungsbeispiel für einen Abschnitt einer erfindungsgemäßen eisenbahntechnischen Anlage, die von einem Ausführungsbeispiel für ein erfindungsgemäßes Schienenfahrzeug befahren wird,
2 ein Ausführungsbeispiel für ein erfindungsgemäßes Bahntechnikgerät für die Anlage und das Schienenfahrzeug gemäß 1,
3 ein weiteres Ausführungsbeispiel für ein erfindungsgemäßes Bahntechnikgerät für die Anlage und das Schienenfahrzeug gemäß 1 und
4 ein weiteres Ausführungsbeispiel für einen Abschnitt einer erfindungsgemäßen eisenbahntechnischen Anlage, die von einem Ausführungsbeispiel für ein erfindungsgemäßes Schienenfahrzeug befahren wird.

The invention is explained in more detail below using exemplary embodiments; show examples

1 an exemplary embodiment of a section of a railway system according to the invention, which is traveled over by an exemplary embodiment of a rail vehicle according to the invention,
2 according to an exemplary embodiment of a railway engineering device according to the invention for the system and the rail vehicle 1 ,
3 a further exemplary embodiment of a railway technology device according to the invention for the system and the rail vehicle according to FIG 1 and
4 a further exemplary embodiment of a section of a railway system according to the invention, which is traveled over by an exemplary embodiment of a rail vehicle according to the invention.

In den Figuren werden der Übersicht halber für identische oder vergleichbare Komponenten stets dieselben Bezugszeichen verwendet.For the sake of clarity, the figures always use the same reference symbols for identical or comparable components.

Die 1 zeigt einen Abschnitt einer bahntechnischen Anlage 10. Man erkennt ein Schienenfahrzeug 20, das entlang einer Pfeilrichtung P auf einer Gleisanlage 30 fährt.the 1 shows a section of a railway system 10. A rail vehicle 20 can be seen, which travels along a direction of arrow P on a track system 30.

Die bahntechnische Anlage 10 ist mit einer Schlüsselaustauscheinrichtung 40 zum Übersenden kryptographischer Schlüssel an andere Einrichtungen der bahntechnischen Anlage 10 ausgestattet. Die Schlüsselaustauscheinrichtung 40 steht bei dem Ausführungsbeispiel gemäß 1 mit einer streckenseitigen Kommunikationseinrichtung 50 in Verbindung.The railway system 10 is equipped with a key exchange device 40 for sending cryptographic keys to other devices in the railway system 10 . The key exchange device 40 is in the embodiment according to FIG 1 with a wayside communication device 50 in connection.

Die streckenseitige Kommunikationseinrichtung 50 steht wiederum mit einer fahrzeugseitigen Kommunikationseinrichtung 21 des Schienenfahrzeugs 20 in Verbindung. Die fahrzeugseitige Kommunikationseinrichtung 21 und die streckenseitige Kommunikationseinrichtung 50 bilden somit beide Bestandteile eines Datenübertragungssystems 60 der bahntechnischen Anlage 10.The trackside communication device 50 is in turn connected to a vehicle-side communication device 21 of the rail vehicle 20 . The onboard communication device 21 and the trackside communication device 50 thus both form components of a data transmission system 60 of the railway system 10.

Die fahrzeugseitige Kommunikationseinrichtung 21 ist mit einem Fahrzeugsteuergerät 22 verbunden, das mit einem in der 1 aus Gründen der Übersicht nicht weiter dargestellten Schlüsselspeicher zum Abspeichern von kryptographischen Schlüsseln geeignet ist. Die kryptographischen Schlüssel ermöglichen eine verschlüsselte und/oder kryptographisch gesicherte Übertragung von Daten zwischen dem Schienenfahrzeug 20 und streckenseitigen Einrichtungen, beispielsweise der streckenseitigen Kommunikationseinrichtung 50 gemäß 1.The vehicle-side communication device 21 is connected to a vehicle control unit 22, which is connected to a in the 1 for reasons of clarity, a key memory that is not shown in more detail is suitable for storing cryptographic keys. The cryptographic keys enable an encrypted and/or cryptographically secured transmission of data between the rail vehicle 20 and trackside devices, for example the trackside communication device 50 according to 1 .

Die streckenseitige Schlüsselaustauscheinrichtung 40 dient dazu, über das Datenübertragungssystem 60 neue kryptographische Schlüssel beispielsweise zu dem Fahrzeugsteuergerät 22 des Schienenfahrzeugs 20 zu übertragen, damit diese als Ersatz für vorher im Schlüsselspeicher des Schienenfahrzeugs 20 abgespeicherte alte Schlüssel abgespeichert und zukünftig verwendet werden können.The trackside key exchange device 40 is used to transmit new cryptographic keys via the data transmission system 60, for example to the vehicle control unit 22 of the rail vehicle 20, so that these can be stored as a replacement for old keys previously stored in the key memory of the rail vehicle 20 and can be used in the future.

Das Fahrzeugsteuergerät 22 des Schienenfahrzeugs 20 ist derart ausgebildet, dass es nach einem erfolgreichen Austausch alter Schlüssel durch neue Schlüssel im nicht dargestellten Schlüsselspeicher jeweils ein positives Quittungssignal QS oder im Falle eines nicht erfolgten Austauschs ein negatives Quittungssignal QS an die Schlüsselaustauscheinrichtung 40 übermittelt.The vehicle control unit 22 of the rail vehicle 20 is designed in such a way that after a successful exchange of old keys with new keys in the key memory (not shown), it transmits a positive acknowledgment signal QS or, if the exchange has not taken place, a negative acknowledgment signal QS to the key exchange device 40.

Darüber hinaus ist das Fahrzeugsteuergerät 22 mit einer in der 1 aus Gründen der Übersicht ebenfalls nicht dargestellten Ausfallvorhersageeinrichtung ausgestattet, die bei Feststellung eines möglichen oder bevorstehenden Ausfalls des Schlüsselspeichers ein Warnsignal WS zusammen mit dem genannten positiven oder negativen Quittungssignal oder als Bestandteil des jeweiligen Quittungssignals an die Schlüsselaustauscheinrichtung 40 übermittelt.In addition, the vehicle control unit 22 with a in the 1 For reasons of clarity, a failure prediction device is also not shown, which transmits a warning signal WS together with the said positive or negative acknowledgment signal or as part of the respective acknowledgment signal to the key exchange device 40 when a possible or imminent failure of the key memory is detected.

Die 2 zeigt ein Ausführungsbeispiel für ein erfindungsgemäßes Bahntechnikgerät 100, das als Fahrzeugsteuergerät 22 bei dem Schienenfahrzeug 20 eingesetzt werden kann. Das Bahntechnikgerät 100 ist vorzugsweise ETCS-kompatibel.the 2 shows an exemplary embodiment of a railway technology device 100 according to the invention, which can be used as a vehicle control device 22 in the rail vehicle 20 . The railway technology device 100 is preferably ETCS-compatible.

Das Bahntechnikgerät 100 umfasst eine Recheneinrichtung 110, einen Schlüsselspeicher 120, einen flüchtigen Hauptspeicher 130 und einen Softwarespeicher 140, in dem ein bahntechnisches Softwaremodul SPM abgespeichert ist. Das bahntechnische Softwaremodul SPM dient dazu, die Arbeitsweise des Bahntechnikgeräts 100 bei Ausführung durch die Recheneinrichtung 110, hier also die Arbeitsweise als ETCS-kompatibles Fahrzeugsteuergerät 22, zu gewährleisten.The railway engineering device 100 includes a computing device 110, a key memory 120, a volatile main memory 130 and a software memory 140 in which a railway engineering software module SPM is stored. The railway engineering software module SPM serves to ensure the mode of operation of the railway engineering device 100 when executed by the computing device 110, ie here the mode of operation as an ETCS-compatible vehicle control device 22.

In dem Softwarespeicher 140 ist darüber hinaus ein Ausfallvorhersagemodul AVM abgespeichert, das bei Ausführung durch das Bahntechnikgerät 100 eine Ausfallvorhersageeinrichtung bildet.In addition, a failure prediction module AVM is stored in the software memory 140, which forms a failure prediction device when executed by the railway technology device 100.

Das Ausfallvorhersagemodul AVM bzw. die durch dieses gebildete Ausfallvorhersageeinrichtung steht sowohl mit dem Schlüsselspeicher 120 als auch mit dem flüchtigen Hauptspeicher 130 in Verbindung. Das Ausfallvorhersagemodul AVM bzw. die durch dieses gebildete Ausfallvorhersageeinrichtung dient dazu, den Schlüsselspeicher 120 sowie auch den flüchtigen Hauptspeicher 130 hinsichtlich ihrer Funktionsweise zu überwachen.The failure prediction module AVM or the failure prediction device formed by it is in communication with both the key memory 120 and the volatile main memory 130 binding. The failure prediction module AVM or the failure prediction device formed by this is used to monitor the key memory 120 and also the volatile main memory 130 with regard to their functioning.

Um diese Überwachung des Schlüsselspeichers 120 zu ermöglichen bzw. zu vereinfachen, ist der Schlüsselspeicher 120 mit einer internen Speicherüberwachungseinrichtung 121 ausgestattet, die den Schlüsselspeicher 120 betreffende Zustandsinformationen ZI erfassen und auf Abfrage ausgeben kann.In order to enable or simplify this monitoring of the key memory 120, the key memory 120 is equipped with an internal memory monitoring device 121, which detects status information ZI relating to the key memory 120 and can output it on request.

Das Ausfallvorhersagemodul AVM bzw. die durch dieses gebildete Ausfallvorhersageeinrichtung steht mit der internen Speicherüberwachungseinrichtung 121 in Verbindung und ist dazu ausgestaltet, in regelmäßigen oder unregelmäßigen Abständen aus der internen Speicherüberwachungseinrichtung 121 zumindest eine den Schlüsselspeicher 120 betreffende Zustandsinformation ZI auszulesen. Sie wertet die zumindest eine ausgelesene Zustandsinformation ZI aus und schließt ggf. auf einen möglichen vollständigen oder teilweisen Ausfall des Schlüsselspeichers 120. Anschließend erzeugt sie ggf. das Warnsignal WS auf der Basis der Auswertung der zumindest einen ausgelesenen Zustandsinformation ZI.The failure prediction module AVM or the failure prediction device formed by it is connected to the internal memory monitoring device 121 and is designed to read at least one item of status information ZI relating to the key memory 120 from the internal memory monitoring device 121 at regular or irregular intervals. It evaluates the at least one piece of status information ZI that has been read and, if necessary, concludes that key memory 120 has failed completely or partially.

Vorteilhaft ist es, wenn der Schlüsselspeicher 120 zum Speichern herangezogene Speicherblöcke sowie Reserveblöcke, die bei Ausfall eines oder mehrerer Speicherblöcke als Ersatz für die ausgefallenen Speicherblöcke eingesetzt werden, aufweist. In diesem Falle kann das Ausfallvorhersagemodul AVM bzw. die durch dieses gebildete Ausfallvorhersageeinrichtung aus der internen Speicherüberwachungseinrichtung 121 die Anzahl der bereits verwendeten Reserveblöcke auslesen und das Warnsignal WS zumindest auch auf der Basis der Anzahl der bereits verwendeten Reserveblöcke erzeugen. Beispielsweise wird das Ausfallvorhersagemodul AVM bzw. die durch dieses gebildete Ausfallvorhersageeinrichtung das Warnsignal WS erzeugen, sobald von der Speicherüberwachungseinrichtung 121 die Information eingeht, dass ein erster Reserveblock als Ersatz für einen ausgefallenen Speicherblock eingesetzt wurde. Alternativ kann sie das Warnsignal WS auch erst dann erzeugen, wenn eine vorgegebene Maximalzahl größer als Eins an Reserveblöcken eingesetzt wurde.It is advantageous if the key memory 120 has memory blocks used for storage as well as reserve blocks that are used to replace the failed memory blocks if one or more memory blocks fail. In this case, the failure prediction module AVM or the failure prediction device formed by it can read the number of reserve blocks already used from the internal memory monitoring device 121 and generate the warning signal WS at least also on the basis of the number of reserve blocks already used. For example, the failure prediction module AVM or the failure prediction device formed by this will generate the warning signal WS as soon as the information is received from the memory monitoring device 121 that a first reserve block has been used to replace a failed memory block. Alternatively, it can only generate the warning signal WS when a predetermined maximum number of reserve blocks greater than one has been used.

Alternativ oder zusätzlich kann das Ausfallvorhersagemodul AVM bzw. die durch dieses gebildete Ausfallvorhersageeinrichtung aus der internen Speicherüberwachungseinrichtung 121 die Lesefehlerrate beim Lesen des Schlüsselspeichers 120 auslesen und das Warnsignal WS zumindest auch auf der Basis der Lesefehlerrate erzeugen, insbesondere das Warnsignal WS erzeugen, wenn die Lesefehlerrate einen vorgegebenen Lesefehlerratenmaximalwert überschreitet.Alternatively or additionally, the failure prediction module AVM or the failure prediction device formed by it can read the read error rate from the internal memory monitoring device 121 when reading the key memory 120 and generate the warning signal WS at least also on the basis of the reading error rate, in particular generate the warning signal WS if the reading error rate is one predetermined read error rate maximum value exceeds.

Alternativ oder zusätzlich kann das Ausfallvorhersagemodul AVM bzw. die durch dieses gebildete Ausfallvorhersageeinrichtung aus der internen Speicherüberwachungseinrichtung 121 die Löschfehlerrate beim Löschen des Schlüsselspeichers 120 auslesen und das Warnsignal WS zumindest auch auf der Basis der Löschfehlerrate erzeugen, insbesondere das Warnsignal WS erzeugen, wenn die Löschfehlerrate einen vorgegebenen Löschfehlerratenmaximalwert überschreitet.Alternatively or additionally, the failure prediction module AVM or the failure prediction device formed by it can read out the deletion error rate from the internal memory monitoring device 121 when the key memory 120 is deleted and generate the warning signal WS at least also on the basis of the deletion error rate, in particular generate the warning signal WS if the deletion error rate is one specified erase error rate maximum value.

Alternativ oder zusätzlich kann das Ausfallvorhersagemodul AVM bzw. die durch dieses gebildete Ausfallvorhersageeinrichtung aus der internen Speicherüberwachungseinrichtung 121 die Anzahl der unkorrigierbaren Fehler des Schlüsselspeichers 120 auslesen und das Warnsignal WS zumindest auch auf der Basis der Anzahl unkorrigierbarer Fehler erzeugen, insbesondere das Warnsignal WS erzeugen, wenn die Anzahl unkorrigierbarer Fehler einen vorgegebenen Maximalwert überschreitet.Alternatively or additionally, the failure prediction module AVM or the failure prediction device formed by it can read out the number of uncorrectable errors in the key memory 120 from the internal memory monitoring device 121 and generate the warning signal WS at least also on the basis of the number of uncorrectable errors, in particular generate the warning signal WS if the number of uncorrectable errors exceeds a predetermined maximum value.

Alternativ oder zusätzlich kann das Ausfallvorhersagemodul AVM bzw. die durch dieses gebildete Ausfallvorhersageeinrichtung aus der internen Speicherüberwachungseinrichtung 121 die Anzahl der Zeitüberschreitungen für Kommandos an den Schlüsselspeicher 120 auslesen und das Warnsignal WS zumindest auch auf der Basis der Anzahl der Zeitüberschreitungen für Kommandos erzeugen, insbesondere das Warnsignal WS erzeugen, wenn die Anzahl der Zeitüberschreitungen für Kommandos an den Schlüsselspeicher 120 einen vorgegebenen Maximalwert überschreitet.Alternatively or additionally, the failure prediction module AVM or the failure prediction device formed by it can read out the number of timeouts for commands to the key memory 120 from the internal memory monitoring device 121 and generate the warning signal WS at least on the basis of the number of timeouts for commands, in particular the warning signal Generate WS if the number of timeouts for commands to the key store 120 exceeds a predetermined maximum value.

Alternativ oder zusätzlich kann das Ausfallvorhersagemodul AVM bzw. die durch dieses gebildete Ausfallvorhersageeinrichtung aus der internen Speicherüberwachungseinrichtung 121 die Anzahl instabiler, das heißt zeitweise oder permanent nicht mehr lesbarer Sektoren des Schlüsselspeichers 120 auslesen und das Warnsignal WS zumindest auch auf der Basis der Anzahl instabiler Sektoren erzeugen, insbesondere das Warnsignal WS erzeugen, wenn die Anzahl der instabilen Sektoren des Schlüsselspeichers 120 einen vorgegebenen Maximalwert überschreitet.Alternatively or additionally, the failure prediction module AVM or the failure prediction device formed by it can read out the number of unstable, i.e. temporarily or permanently no longer readable sectors of the key memory 120 from the internal memory monitoring device 121 and generate the warning signal WS at least also on the basis of the number of unstable sectors , In particular, generate the warning signal WS when the number of unstable sectors of the key memory 120 exceeds a predetermined maximum value.

Das Ausfallvorhersagemodul AVM bzw. die durch dieses gebildete Ausfallvorhersageeinrichtung und die interne Speicherüberwachungseinrichtung 121 sind vorzugsweise S.M.A.R.T.kompatibel. Dies bedeutet, dass das Ausfallvorhersagemodul AVM bzw. die durch dieses gebildete Ausfallvorhersageeinrichtung S.M.A.R.T.-kompatible Abfragen an die interne Speicherüberwachungseinrichtung 121 richten kann und die interne Speicherüberwachungseinrichtung 121 S.M.A.R.T.-kompatible Antworten erzeugen kann. Das Ausfallvorhersagemodul AVM bzw. die durch dieses gebildete Ausfallvorhersageeinrichtung wertet die S.M.A.R.T.-kompatiblen Antworten der internen Speicherüberwachungseinrichtung 121 aus und erzeugt das Warnsignal WS zumindest auch auf der Basis der S.M.A.R.T.kompatiblen Antworten der internen Speicherüberwachungseinrichtung 121.The failure prediction module AVM or the failure prediction device formed by this and the internal memory monitoring device 121 are preferably SMART-compatible. This means that the failure prediction module AVM or the failure prediction device formed by this SMART-compatible queries to the internal memory monitor 121 can direct and internal memory monitor 121 can generate SMART-compatible responses. The failure prediction module AVM or the failure prediction device formed by it evaluates the SMART-compatible responses from the internal memory monitoring device 121 and generates the warning signal WS at least also on the basis of the SMART-compatible responses from the internal memory monitoring device 121.

Das Ausfallvorhersagemodul AVM ist darüber hinaus derart ausgebildet, dass es den flüchtigen Hauptspeicher 130 hinsichtlich dessen Funktionsweise überwacht. Konkret wird das Ausfallvorhersagemodul AVM bei Ausführung durch die Recheneinrichtung 110 einen möglichen oder bevorstehenden Ausfall des flüchtigen Hauptspeichers 130 erkennen und ein den möglichen Ausfall des Hauptspeichers 120 anzeigendes Warnsignal WS erzeugen, wenn Paritätsfehler im Hauptspeicher 130 erkannt werden.The failure prediction module AVM is also designed in such a way that it monitors the volatile main memory 130 with regard to its functioning. Specifically, the failure prediction module AVM, when executed by the computing device 110, will detect a possible or imminent failure of the volatile main memory 130 and generate a warning signal WS indicating the possible failure of the main memory 120 if parity errors are detected in the main memory 130.

Die 3 zeigt ein weiteres Ausführungsbeispiel für ein Bahntechnikgerät 100, das als Fahrzeugsteuergerät 22 bei dem Schienenfahrzeug 20 gemäß 1 eingesetzt werden kann. Im Unterschied zu dem Bahntechnikgerät 100 gemäß 2 ist bei dem Bahntechnikgerät 100 gemäß 3 ein zusätzlicher Sensor 150 vorgesehen, der zumindest eine physikalische Eigenschaft der Recheneinrichtung 110 überwacht. Beispielsweise kann es sich bei dem Sensor 150 um einen Temperatursensor handeln, der einen die Recheneinrichtung 110 betreffende Zustandsinformation in Form einer Temperatur der Recheneinrichtung 110 erfasst und einen entsprechenden Sensormesswert M bildet und diesem zu dem Ausfallvorhersagemodul AVM übermittelt.the 3 shows a further exemplary embodiment of a railway technology device 100, which is used as a vehicle control device 22 in the rail vehicle 20 according to FIG 1 can be used. In contrast to the railway technology device 100 according to 2 is in accordance with the railway engineering device 100 3 an additional sensor 150 is provided, which monitors at least one physical property of computing device 110 . For example, the sensor 150 can be a temperature sensor that detects status information relating to the computing device 110 in the form of a temperature of the computing device 110 and forms a corresponding sensor measurement value M and transmits this to the failure prediction module AVM.

Liegt eine Zustandsinformation des Sensors 150 in dem Ausfallvorhersagemodul AVM vor, wonach ein Ausfall der Recheneinrichtung 110 beispielsweise durch Überhitzung zu erwarten ist, so wird das Ausfallvorhersagemodul AVM ausgangsseitig ein entsprechendes Warnsignal WS erzeugen und zu der jeweils nächstliegenden streckenseitigen Kommunikationseinrichtung 50 gemäß 1 übermitteln, damit streckenseitig die entsprechende Ausfallinformation rechtzeitig vorliegt.If there is status information from sensor 150 in the failure prediction module AVM, according to which a failure of the computing device 110 is to be expected, for example due to overheating, the failure prediction module AVM will generate a corresponding warning signal WS on the output side and send it to the nearest trackside communication device 50 in accordance with 1 transmit, so that the corresponding failure information is available on the track side in good time.

Die 4 zeigt ein weiteres Ausführungsbeispiel für eine bahntechnische Anlage 10, bei der ein Schienenfahrzeug 20 auf einer Gleisanlage 30 fährt. Im Unterschied zu dem Ausführungsbeispiel gemäß 1 ist auch die streckenseitige Kommunikationseinrichtung 50 mit einem Bahntechnikgerät 100 ausgestattet, wie es beispielhaft im Zusammenhang mit den 2 und 3 erläutert worden ist. Bezüglich der Ausgestaltungen des Bahntechnikgeräts 100 gemäß 4 sei demgemäß auf die obigen Ausführungen im Zusammenhang mit den 2 und 3 verwiesen.the 4 shows a further exemplary embodiment of a railway system 10 in which a rail vehicle 20 runs on a track system 30 . In contrast to the embodiment according to 1 the trackside communication device 50 is also equipped with a railway technology device 100, as is exemplified in connection with 2 and 3 has been explained. With regard to the configurations of the railway engineering device 100 according to FIG 4 is accordingly on the above statements in connection with the 2 and 3 referred.

Obwohl die Erfindung im Detail durch bevorzugte Ausführungsbeispiele näher illustriert und beschrieben wurde, so ist die Erfindung nicht durch die offenbarten Beispiele eingeschränkt und andere Variationen können vom Fachmann hieraus abgeleitet werden, ohne den Schutzumfang der Erfindung zu verlassen.Although the invention has been illustrated and described in more detail by means of preferred exemplary embodiments, the invention is not restricted by the disclosed examples and other variations can be derived therefrom by a person skilled in the art without departing from the protective scope of the invention.

Claims

Railway engineering device (100) for a railway engineering system (10) with at least one computing device (110) and at least one key memory (120) for storing cryptographic keys, which enable encrypted and/or cryptographically secured transmission of data between the rail vehicle (20) and trackside Devices (50) enable, characterized in that the railroad engineering device (100) is equipped with a failure prediction device (AVM) which can determine a possible imminent failure of at least one component of the railroad engineering device (100) and output a warning signal (WS) indicating the possible failure .

Railway technology device (100) according to claim 1 , characterized in that - the key memory (120) is equipped with an internal memory monitoring device (121) which can record status information (ZI) relating to the key memory (120) and output it on request, and - the failure prediction device (AVM) with the internal memory monitoring device (121) and is designed to read at least one item of status information (ZI) relating to the key memory (120) from the internal memory monitoring device (121) at regular or irregular intervals, on the basis of the at least one item of status information (ZI) read out to close possible complete or partial failure of the key memory (120) and to generate the warning signal (WS) on the basis of the at least one read status information (ZI).

Railway technology device (100) according to claim 2 , characterized in that - the key memory (120) has memory blocks used for storage as well as reserve blocks that are used as a replacement for the failed memory blocks in the event of failure of one or more memory blocks, and - the failure prediction device (AVM) from the internal memory monitoring device (121) the Number of reserve blocks already used reads out and the warning signal (WS) is generated at least also on the basis of the number of reserve blocks already used, in particular the warning signal (WS) is generated as soon as the information is received from the storage monitoring device (121) that a predetermined number, which is preferably one spare blocks was used to replace a failed memory block.

Railway technology device (100) according to one of the above claims 2 until 3 , characterized in that the failure prediction device (AVM) is designed to read out two or more items of status information (ZI) from the internal memory monitoring device (121) at regular or irregular intervals, on the basis of the two or more items of status information (ZI) read out for a possible to close complete or partial failure of the key memory (120) and to generate the warning signal (WS) on the basis of the two or more status information (ZI).

Railway technology device (100) according to one of the above claims 2 until 4 , characterized in that the failure prediction device (AVM) - reads the read error rate from the internal memory monitoring device (121) when reading the key memory (120) and generates the warning signal (WS) at least also on the basis of the read error rate, in particular generates the warning signal (WS). , if the reading error rate exceeds a specified maximum reading error rate value, and/or - reads out the erasure error rate from the internal memory monitoring device (121) when the key memory (120) is erased and generates the warning signal (WS), at least also on the basis of the erasure error rate, in particular the warning signal (WS ) generated when the erasure error rate exceeds a specified maximum erasure error rate value and/or - the number of uncorrectable errors in the key memory (120) is read from the internal memory monitoring device (121) and the warning signal (WS) is generated at least also on the basis of the number of uncorrectable errors, in particular ere generates the warning signal (WS) when the number of errors that cannot be corrected exceeds a specified maximum value and/or - reads out the number of timeouts for commands to the key memory (120) from the internal memory monitoring device (121) and the warning signal (WS) at least also generated on the basis of the number of timeouts for commands, in particular the warning signal (WS) generated when the number of timeouts for commands to the key memory (120) exceeds a predetermined maximum value and/or - from the internal memory monitoring device (121) the number of unstable, i.e. reads out sectors of the key memory (120) that are temporarily or permanently no longer readable and generates the warning signal (WS) at least also on the basis of the number of unstable sectors, in particular generates the warning signal (WS) when the number of unstable sectors in the key memory (120 ) exceeds a specified maximum value.

Railway technology device (100) according to one of the above claims 2 until 5 , characterized in that the failure prediction device (AVM) is SMART-compatible and is suitable - directing SMART-compatible queries to the internal memory monitoring device (121) and - evaluating SMART-compatible responses from the internal memory monitoring device (121) and the warning signal (WS ) at least also on the basis of the SMART-compatible responses of the internal memory monitoring device (121).

Railway technology device (100) according to one of the preceding claims, characterized in that - the railway technology device (100) is suitable for receiving new cryptographic keys via a data transmission system (60) from a trackside key exchange device (40) and using these as a replacement for keys previously stored in the key memory ( 120) to save stored old keys, and - the failure prediction device (AVM) transmits the warning signal (WS) to the key exchange device (40) upon detection of a possible or imminent failure of the key memory (120).

Railway technology device (100) according to claim 7 , characterized in that - the railway technology device (100) is designed to transmit a positive acknowledgment signal (QS) to the key exchange device (40) after the successful replacement of old keys with new keys, and - the failure prediction device (AVM) is designed to do this, to transmit the warning signal (WS) together with or as part of the acknowledgment signal (QS) to the key exchange device (40) if a possible or imminent failure of the key memory (120) is detected.

Railway technology device (100) according to claim 7 or 8th , characterized in that - the railway technology device (100) is designed to to transmit a negative acknowledgment signal (QS) to the key exchange device (40) after an unsuccessful exchange of old keys with new keys, and - the failure prediction device (AVM) is designed to combine the warning signal when a possible or imminent failure of the key memory (120) is detected with or as part of the acknowledgment signal (QS) to the key exchange device (40).

Railway technology device (100) according to one of the preceding claims, characterized in that the railway technology device (100) - is a vehicle control device, in particular an ETCS-compatible vehicle control device which stores cryptographic information in a non-volatile manner, or - a stationary route device (50), in particular an ETCS - compatible trackside device that stores cryptographic information in a non-volatile manner, or is a trackside key distribution device (40).

Railway technology device (100) according to one of the preceding claims, characterized in that - the railway technology device (100) has a volatile main memory (130) in addition to the key memory (120) and - the failure prediction device (AVM) is designed to predict a possible or imminent failure of the volatile main memory (130) and output a warning signal (WS) indicating the possible failure of the main memory (130).

Railway technology device (100) according to claim 11 , characterized in that the failure prediction device (AVM) is equipped to detect parity errors in the main memory (130) and to generate a warning signal (WS) indicating the possible or imminent failure of the main memory (130) on the basis of the parity errors.

Railway technology device (100) according to one of the preceding claims, characterized in that - the computing device (110) has at least one sensor (150), in particular a temperature sensor, which contains at least one piece of status information (ZI) relating to the computing device (110), in particular the temperature of the - the failure prediction device (AVM) is designed in such a way that it generates a warning signal (WS) indicating a possible or imminent failure of the computing device (110), at least also on the basis of the sensor measurement value (M) of the sensor (150).

Railway system (10) or rail vehicle (20) for a railway system (10), characterized in that the railway system (10) or the rail vehicle (20) is equipped with a railway device (100) according to one of the preceding claims.

Method for operating a railway engineering device (100), which has at least one computing device (110) and at least one key memory (120) for storing cryptographic keys, which enable encrypted and/or cryptographically secured transmission of data between the rail vehicle (20) and trackside devices (50) enable, characterized in that the railway engineering device (100) is monitored for a possible failure of at least one component of the railway engineering device (100) and a warning signal (WS) indicating the possible or imminent failure is output if a monitoring result of the Monitoring indicates a possible failure.