DE19508731A1 - Einrichtung zur ortsungebundenen Kommunikation mit einer Sicherungseinrichtung - Google Patents

Description

Die Erfindung liegt auf dem Gebiet der Sicherungstechnik von spurgebundenen Verkehrssystemen, die in bekannter Weise in zentralen oder/und auf Fahrzeugern installierten Sicherungs­ einrichtungen implementiert ist.

Derartige Sicherungseinrichtungen dienen z. B. zur Sicherung des Fahrwegs für ein Fahrzeug und überwachen ein vorgegebe­ nes, von dem Fahrzeug einzuhaltendes Geschwindigkeitsprofil oder einen Geschwindigkeitsbereich (Magnetschwebebahn). Sie dienen auch zur Türensicherung oder Rottensicherung und damit dem Personenschutz innerhalb und außerhalb des Fahrzeugs. Die derzeit bekannteste Realisierungsform einer Sicherungsein­ richtung in der Bahntechnik ist das Stellwerk. Ein Stellwerk erlaubt dem Fahrdienstleiter eine wirkungsvolle und effektive Ausübung seiner operativen und dispositiven Tätigkeiten für einen vergleichsweise komplexen Abschnitt eines Streckennet­ zes.

Bekannterweise ("Verfahrensgesicherte Meldebildanzeige für den Fahrdienstleiter-Arbeitsplatz bei der Deutschen Bahn AG", H. Forstreuter und A. Weitner-von Pein, SIGNAL + DRAHT, 86 (1994), S. 320 ff.) umfaßt ein stellwerksseitiger Bedienplatz Anzeige- und Bedienmedien in Form von Lupenbildschirmen, Bereichsübersichten und Eingabemitteln, die an einen Bedienplatzrechner angeschlossen sind. Der Bedienplatzrechner ist zusammen mit weiteren Komponenten (beispielsweise einem Referenzrechner und einem Communicationserver) an ein lokales Netz (LAN) angeschlossen. Der lokale Bedienplatzrechner kontrolliert und steuert über den Communicationserver ein elektronisches Stellwerk.

Bisher ergibt sich unter Sicherheitsaspekten eine besondere Problematik in Situationen, in denen vor Ort befindliche Per­ sonen eine sicherheitsrelevante Bedienung veranlassen müssen oder Informationen über den Prozeßzustand anfordern. Dies kann beispielsweise zur Sperrung von Streckenabschnitten zu Wartungs- oder Kontrollzwecken (Rottensicherung) notwendig sein. Üblicherweise werden dabei von dem Personal vor Ort entsprechende Bedienanweisungen oder Anfragen fernmündlich an das Personal am lokalen Bedienplatz zur Eingabe in die Siche­ rungseinrichtung übermittelt. Entsprechend werden fernmünd­ lich Informationen über die Zustände sicherungstechnischer Einrichtungen von dem Personal am Bedienplatz an das Personal vor Ort übermittelt. Diese Praxis birgt jedoch bei Übermitt­ lungsfehlern zwischen den beteiligten Personen ein erhebli­ ches Gefährdungspotential und Unfallrisiko, weil mehrere Personen an einer sicherheitsrelevanten Bedienung unter Per­ sonalverantwortung teilhaben. Da die Initiierung bzw. mit­ telbare Bedienung der technischen Sicherungseinrichtungen auf der Sicherheitsebene fern vom Ausführungsort erfolgt, ist ei­ ne unmittelbare Kontrolle nicht in allen Fällen gewährlei­ stet.

Die Aufgabe der Erfindung besteht daher darin, eine verfah­ rensgesicherte ortsungebundene Melde- und Bedienmöglichkeit für eine Sicherungseinrichtung zu schaffen, wobei die Verant­ wortung für die Bedienung der Sicherheitseinrichtung bei ei­ ner einzigen Person vor Ort liegt.

Diese Aufgabe wird erfindungsgemäß gelöst durch eine Einrich­ tung zur ortsungebundenen Kommunikation mit einer Sicherungs­ einrichtung mit einer der Sicherungseinrichtung zugeordneten Empfangs- und Ausgabeeinheit, die über Funk mit einer mobilen Bedieneinheit kommuniziert, wobei die Bedieneinheit eine Be­ fehlseingabevorrichtung enthält und einen über diese einge­ gebenen Befehl an die Empfangseinheit sendet, die Siche­ rungseinrichtung die Ausführbarkeit des Befehls prüft, den Befehl - sofern ausführbar - speichert und über die Ausgabe­ einheit mit inhaltlichem Bezug an die Bedieneinheit zurück­ sendet und die Sicherungseinrichtung den gespeicherten Befehl zur Ausführung bringt und eine Ausführungsquittung mit in­ haltlichem Bezug an die Bedieneinheit sendet, wenn zuvor von der Bedieneinheit eine Bestätigung des Befehls mit inhaltli­ chem Bezug gesendet wird.

Ein wesentlicher Vorteil der erfindungsgemäßen Einrichtung besteht darin, daß unter ungeteilter Bedienverantwortung die Bedienung am Ort des Geschehens von einer einzigen Person (beispielsweise der Rottenaufsicht) vorgenommen werden kann. Durch die Quittierungen sind menschlich bedingte Übermitt­ lungs- oder Verständigungsfehler ausgeschlossen. Die Siche­ rungseinrichtung sendet dazu einen als ausführbar erkannten Befehl mit inhaltlichem Bezug an die Bedieneinheit zurück. Erst nachdem seitens der Bedieneinheit der Befehl mit inhalt­ lichem Bezug nochmals bestätigt wird, ist eine Befehlsausfüh­ rung möglich. Bei der vergleichsweise kurzen, in der Ver­ kehrstechnik üblichen Befehlssyntax besteht eine besonders einfache Möglichkeit, den inhaltlichen Bezug bei der Zurück­ sendung oder Bestätigung des Befehls herzustellen, darin, den Befehl im Klartext in akustischer und/oder alphanumerischer Ausgabe zu wiederholen. Durch den inhaltlichen Bezug wird im Gegensatz z. B. zu einer einfachen "Ja/Nein"-Bestätigung sichergestellt, daß beide Kommunikationspartner denselben Befehl erkannt haben und diesen ihrem weiteren Handeln zugrundelegen.

Eine vorteilhafte Weiterbildung der erfindungsgemäßen Ein­ richtung sieht vor, daß die mobile Bedieneinheit ein Mobil­ funktelefon ist, daß die Befehlseingabevorrichtung von der Telefontastatur gebildet ist und daß der Ausgabeeinheit eine Sprachausgabeeinheit vorgeordnet ist. In diesem Fall kann ein handelsübliches Mobilfunktelefon verwendet werden. Das Zurücksenden des ausführbaren Befehls bzw. die Ausführungs­ quittung können so unmittelbar akustisch ausgegeben werden.

Eine komfortable bevorzugte Ausgestaltung der erfindungsge­ mäßen Einrichtung sieht vor, daß die mobile Bedieneinheit ei­ ne Eingabetastatur und eine Anzeige umfaßt. Eine in dieser Hinsicht bevorzugte weitere Ausgestaltung der Erfindung be­ steht darin, daß die Anzeige den eingegebenen und den zurück­ gesendeten Befehl in Klartext anzeigt, wobei der zurückgesen­ dete Befehl durch invertierte Darstellung der Schriftzeichen und/oder durch veränderte Hinterlegung gekennzeichnet ist. Dabei wird der zuvor über die Eingabetastatur eingegebene und gleichzeitig auf der Anzeige vorzugsweise alphanumerisch dar­ gestellte Klartext des eingegebenen Befehls von dem mit in­ haltlichem Bezug zurückgesendeten Befehl überschrieben und durch die abweichende Darstellung - vorzugsweise durch Hin­ terlegung und/oder invertierte Schrift - kenntlich gemacht. Dadurch kann der Bediener vor Ort erkennen, welchen Befehl die Sicherungseinrichtung tatsächlich interpretiert hat. Bei der (nach Zurücksendung des korrekten Befehls) anschließenden Bestätigung wird vorzugsweise der inhaltliche Bezug zu dem Befehl bzw. der Anzeige dadurch hergestellt, daß der die An­ zeige bewirkende Inhalt eines Video-Speicherbausteins (Video- RAM) ausgelesen wird, auf eine Prüfsumme von wenigen Bytes reduziert und an die Empfangseinheit übermittelt wird. Von der Sicherungseinrichtung wird ein Referenzwert nach dersel­ ben Prüfsummenbildungsvorschrift aus dem in der Sicherungs­ einrichtung gespeicherten Befehl generiert oder bei bekannten Befehlen bereits als Wert in der Sicherungseinrichtung gespeichert und mit der übermittelten Prüfsumme verglichen.

Im Hinblick auf eine Benutzung öffentlicher Funkkommunika­ tionsnetze (z. B. D-Mobilfunknetz) kommt der sicheren und ma­ nipulationsgeschützten Freigabe des gespeicherten Befehls be­ sondere Bedeutung zu. Diesbezüglich sieht eine vorteilhafte Fortbildung der erfindungsgemäßen Einrichtung vor, daß die Sicherungseinrichtung den gespeicherten Befehl nur ausführt, wenn die Bedieneinheit eine manipulationsgeschützte Befehls­ freigabe sendet. Eine besonders einfache und effektive mani­ pulationsgeschützte Übertragung des Freigabebefehls läßt sich durch Verwendung von Transaktionsnummern gewährleisten. Der einzig legitimierte Bediener erhält dazu eine persönliche Li­ ste mit einzelnen, nach einem Zufallsprinzip generierten Transaktionsnummern. Diese Nummernliste ist außerdem nur noch in der Sicherungseinrichtung hinterlegt. Die Nummern werden durch den Bediener sequentiell abgearbeitet, wobei jede Num­ mer nur einmal für die Übermittlung eines Befehls, einer Be­ stätigung oder eines Freigabebefehls verwendet werden kann.

Die Erfindung wird nachfolgend anhand einer Zeichnung näher erläutert; es zeigen:

Fig. 1 und 2 Ausführungsbeispiele der erfindungsgemäßen Einrichtung und

Fig. 3 schematisch einen Kommunikationsablauf.

Fig. 1 zeigt ein Stellwerk Stw mit einer Sicherungseinrich­ tung SIE, einen Referenzrechner RR und einen Bedienplatzrech­ ner BPR, die in an sich (z. B. aus dem eingangs genannten Aufsatz aus SIGNAL + DRAHT, 86 (1994), Seiten 320 ff.) bekann­ ter Weise über ein lokales Netz LAN miteinander kommunizie­ ren. Der Bedienplatzrechner BPR und der Referenzrechner RR bilden ein Bedienplatzsystem für operative und dispositive Tätigkeiten eines Fahrdienstleiters. Über das lokale Netz LAN ist ein Kopplungsrechner KR angeschlossen, der mit dem Be­ dienplatzsystem und der Sicherungseinrichtung SIE kommuni­ ziert. Die Sicherungseinrichtung kontrolliert und stellt durch eine angedeutete Fernwirkleitung beispielsweise eine reiche WE eines nicht näher dargestellten Streckennetzes SN. An den Koppelrechner KR ist ferner eine Empfangs- und Ausga­ beeinheit EA angeschlossen. Der Ausgabeeinheit ist eine Sprachausgabeeinheit SPR vorgeordnet, die (durch ein Laut­ sprecherzeichen symbolisierte) Sprachsignale an die Ausgabe­ einheit ausgibt. Die Empfangs- und Ausgabeeinheit EA kommuni­ ziert über eine Funkverbindung mit einer mobilen Bedienein­ heit MB. Die Bedieneinheit MB ist ein übliches Mobilfunktele­ fon und umfaßt eine von der Telefontastatur TT und bedarfs­ weise zusätzlichen Eingabetasten gebildete Befehlseingabevor­ richtung BE.

Die Funktion der erfindungsgemäßen Einrichtung sei nachfol­ gend anhand folgender beispielhafter Situation beschrieben: Auf einem Abstellgleis AB hinter der Weiche WE seien War­ tungs- und Reparatureinheiten durch eine Instandhaltungsmann­ schaft (Rotte) durchzuführen. Vor Aufnahme der Arbeiten muß die in Durchfahrtrichtung D befindliche Weiche WE zuverlässig und verfahrenstechnisch sicher gegen Umstellen gesperrt wer­ den. Die Sperre darf erst nach vollständig gesichertem Ab­ schluß der Wartungsarbeiten aufgehoben werden. Um die Ver­ antwortung für die dafür notwendigen Bedienhandlungen einer einzigen vor Ort postierten Person (Rottenführer) allein zu übertragen, wird mittels der erfindungsgemäßen Einrichtung die in Fig. 3 skizzierte Kommunikation durchgeführt. Zu­ nächst wird zwischen der Bedieneinrichtung MB und (über die Empfangs- und Ausgabeeinheit EA und den Koppelrechnern KR) der Sicherungseinrichtung SIE eine Funkverbindung aufgebaut. Da nur berechtigte Personen überhaupt in Kommunikation mit der Sicherungseinrichtung treten sollen, erfolgt zunächst eine Eingabe einer Zugangsberechtigung beispielsweise in Form eines Zifferncodes und/oder einer Chipkarte, die von der Sicherungseinrichtung geprüft und bei Zulässigkeit quittiert wird (Abschnitt I in Fig. 3).

Anschließend wird vor Ort von der Person über die Befehlsein­ gabevorrichtung BE der mobilen Bedieneinheit MB (Fig. 1) ein Befehlscode (007) eingegeben (1). Der Befehl kann sowohl dazu dienen, letztlich eine stellwerkseitige Bedienhandlung zu initiieren als auch Informationen über sicherungstechnische Einrichtungen abzufragen. Der Befehl 007 wird in der Siche­ rungseinrichtung decodiert ("WEICHE WE SPERREN") und auf Plau­ sibilität und Ausführbarkeit geprüft. Ein ausführbarer Befehl wird gespeichert und an die Bedieneinrichtung rückgesendet.

(Bei nicht ausführbarem oder unplausiblem Befehl wird dieser verworfen und eine Fehlermeldung generiert.) Die Sprachaus­ gabeeinheit SPR erzeugt ein Sprachsignal, das über die Funk­ verbindung an die Bedieneinheit gesendet und dort unmittelbar akustisch ("WEICHE WE SPERREN") ausgegeben wird ((2) Fig. 1). Sofern dieser reflektierte Befehl tatsächlich dem gewünschten ursprünglich per Code 007 eingegebenen Befehl entspricht, sendet die Bedieneinheit vor Ort eine Befehlsbestätigung mit inhaltlichem Bezug. Der inhaltliche Bezug wird beispielsweise dadurch hergestellt, daß erneut der Code 007 zusammen mit einer Bestätigungskennung 01 gesendet wird (3). Die Empfangseinheit des Koppelrechners KR empfängt die Be­ fehlsbestätigung 007+01 und gibt diese an die Sicherungsein­ richtung SIE (Fig. 1) weiter. Dort findet ein Vergleich mit dem gespeicherten Befehl statt; nur bei Übereinstimmung ist eine Befehlsausführung möglich.

Zusätzlich kann die Befehlsfreigabe durch eine Transaktions­ nummer TAN gegen unberechtigten Zugriff und Manipulation ge­ schützt werden. Dazu wird eine Liste zufällig erstellter Transaktionsnummern 1312; 0102; 1024 sequentiell abgearbeitet. Im vorliegenden Beispiel sei die nächste abzuarbeitende Transaktionsnummer TAN die Nummer 0102, die nur auf einer Liste für die Bedienperson und in einer in der Sicherungs­ einrichtung hinterlegten Liste enthalten ist. Die Bedienein­ heit sendet die Befehlsfreigabe zusammen mit der Transak­ tionsnummer 0102 an die Sicherungseinrichtung, die durch Vergleich erkennt, ob die korrekte, d. h. die nächste abzu­ arbeitende Transaktionsnummer 0102 gesendet wurde. Bei kor­ rekter Transaktionsnummer wird der Befehl ausgeführt, so daß nunmehr die Weiche WE in Durchfahrtrichtung D gesperrt ist. Die Sicherungseinrichtung generiert eine entsprechende Quit­ tung und übergibt diese über die Sprachausgabeeinheit SPR und die Funkverbindung an die Bedieneinheit MB zur akustischen Meldung "WEICHE WE GESPERRT" (4).

In entsprechender Weise kann nach Abschluß der Arbeiten die Weiche WE nur von der legitimierten Bedienperson wieder ent­ sperrt werden. Außerdem könnte die Bedienperson durch ent­ sprechende Befehlseingabe den Status verschiedener siche­ rungsrelevanter Einrichtungen erfragen.

Fig. 2 zeigt eine alternative Ausgestaltung, bei der eine Empfangs-Ausgabeeinheit EA′ über Funk mit einer mobilen Be­ dieneinheit MB′ in Form eines handelsüblichen Mobilfunktele­ fons kommuniziert, an das über eine Schnittstelle eine Einga­ betastatur TAS und eine alphanumerische und/oder graphische Anzeige ANZ angeschlossen sind. Bei der vorbeschriebenen Si­ tuation könnte bei dieser Modifikation statt der Codenummer 007 (Fig. 1) der Befehl an die Empfangseinheit über die Ta­ statur TAS alphanumerisch eingegeben und von der Anzeige ANZ als Klartext KT angezeigt werden. Dabei sei vorausgesetzt, daß der Verbindungsaufbau (Fig. 3; (I)) bereits erfolgt ist. In entsprechender Weise wird der eingegebene Befehl zur Be­ fehlsprüfung, Befehlsspeicherung und Befehlsrücksendung an die Sicherungseinrichtung übergeben. Um einen inhaltlichen Bezug bei der Befehlsrücksendung herzustellen und die Rück­ sendung als eindeutig von der Sicherungseinrichtung kommend zu identifizieren, wird der Eingabetext KT durch farbliche Hinterlegung als zurückgelesener Text ZKT kenntlich gemacht. Damit erkennt die Bedienperson eindeutig, was seitens der Sicherungseinrichtung tatsächlich interpretiert worden ist. Anschließend kann in entsprechender Weise durch Texteingabe eine Befehlsbestätigung mit inhaltlichem Bezug erfolgen und bedarfsweise eine Befehlsfreigabe. Bei einer anderen Ausfüh­ rungsform wird die ausgegebene Information durch Betätigen einer Quittungstaste bestätigt, durch die die Bedieneinheit die (graphische) Information zur Sicherungseinrichtung zu­ rücküberträgt.

Mit Hilfe der mobilen Bedieneinheit können sicherheitsrele­ vante Handlungen, die bislang nur vom Bedienplatzsystem aus durchgeführt werden konnten, nunmehr auch vor Ort ausgeführt werden.

Die erfindungsgemäße Einrichtung erlaubt, die Eingabe von si­ gnaltechnisch sicheren Kommandos an Sicherungseinrichtungen fern von ortsfesten Bedieneinrichtungen oder eine Zustands­ information über sicherungstechnische Einrichtungen fern von ortsfesten Anzeigeeinrichtungen ohne Zwischenschaltung einer fernmündlichen Übertragung zu realisieren. Vorteilhafterweise bietet die Einrichtung die Möglichkeit einer verfahrensge­ sicherten Bedienung am Ort des Geschehens, wobei die unge­ teilte Bedienverantwortung bei der Bedienperson vor Ort liegt.

Claims (5)

1. Einrichtung zur ortsungebundenen Kommunikation mit einer Sicherungseinrichtung (SIE), gekennzeichnet durch

• - eine der Sicherungseinrichtung (SIE) zugeordnete Empfangs- und Ausgabeeinheit (EA), die über Funk mit einer mobilen Bedieneinheit (MB) kommuniziert, wobei
• - die Bedieneinheit (MB) eine Befehlseingabevorrichtung (BE) enthält und einen über diese eingegebenen Befehl (007) an die Empfangseinheit sendet,
• - die Sicherungseinrichtung (SIE) die Ausführbarkeit des Befehls (007) prüft, den Befehl - sofern ausführbar - speichert und über die Ausgabeeinheit mit inhaltlichem Bezug an die Bedieneinheit (MB) zurücksendet und
• - die Sicherungseinrichtung (SIE) den gespeicherten Befehl (007) zur Ausführung bringt und eine Ausführungsquittung mit inhaltlichem Bezug an die Bedieneinheit (MB) sendet, wenn zuvor von der Bedieneinheit (MB) eine Bestätigung des Befehls mit inhaltlichem Bezug (007+01) gesendet wird.

2. Einrichtung nach Anspruch 1, dadurch gekennzeichnet, daß die mobile Bedieneinheit (MB) ein Mobilfunktelefon ist, daß die Befehlseingabevorrichtung von der Telefontastatur (TT) gebildet ist und daß der Ausgabeeinheit eine Sprach­ ausgabeeinheit (SPR) vorgeordnet ist.

3. Einrichtung nach Anspruch 1, dadurch gekennzeichnet, daß die mobile Bedieneinheit (MB) eine Eingabetastatur (TAS) und eine Anzeige (ANZ) umfaßt.

4. Einrichtung nach Anspruch 3, dadurch gekennzeichnet, daß die Anzeige (ANZ) den eingegebenen und den zurückgesendeten Befehl (007) in Klartext anzeigt, wobei der zurückgesendete Befehl durch invertierte Darstellung der Schriftzeichen und/oder durch veränderte Hinterlegung gekennzeichnet ist.

5. Einrichtung nach einem der vorangehenden Ansprüche, dadurch gekennzeichnet, daß die Sicherungseinrichtung (SIE) den gespeicherten Befehl (007) nur ausführt, wenn die Bedieneinheit (MB) eine manipulationsgeschützte Befehlsfreigabe sendet.