-
Die vorliegende Erfindung betrifft ein Leitsystem für die Steuerung und/oder Überwachung von Objekten, die auf einem in eine Anzahl von Netzwerkzellen unterteilten Verkehrsnetzwerk, verkehren. Die Erfindung bezieht insbesondere auf ein Leitsystem zur Steuerung und/oder Überwachung von schienengebundenen Fahrzeugen, die auf einem in regionale Bereiche unterteilten Eisenbahnnetz verkehren.
-
Eisenbahnnetzwerke unterliegen heute immer noch der nationalen Hohheit des Staates, auf dem dieses Eisenbahnnetzwerk liegt. Zur Lenkung des Zugverkehrs auf einem derartigen nationalen Eisenbahnnetzwerk sind verschiedene regional wirksame Leittechnikzentren - nachfolgend allgemeiner als Netzwerkzellen bezeichnet - vorgesehen. Diese Netzwerkzellen steuern daher den Zugverkehr auf den ihnen jeweils zugewiesenen geographischen Bereichen. In der Regel ist es im heutigen Zustand einer derartigen dispositiven Zuglenkung noch so, dass sich ein Datenaustausch zwischen den einzelnen Netzwerkzellen auf den Austausch von Zugnummern an den Grenzen zwischen zwischen zwei benachbarten Netzwerkzellen beschränkt. Ebenso ist es heute noch vielfach der Fall, dass die einzelnen auf den Netzwerkzellen laufenden Systeme proprietär sind und sich daher die jeweilige Betriebssoftware von Netzwerkzelle zu Netzwerkzelle unterscheiden kann.
-
Innerhalb einer Netzwerkzelle werden mittels einer auf einem Zellenrechnersystem ausgeführten Zellen-Software, also der auf dem Rechnernetzwerk der Zelle ausgeführten Leittechnik-Programme, die Züge gesteuert, indem Fahrstrassen gestellt und die Zugläufe auseinander abgestimmt und optimiert werden. Beim Vorliegen eines Updates für die Zellen-Software können beispielsweise Änderungen im eisenbahntechnischen Reglement und/oder in den Konfigurationsdaten, zum Beispiels aufgrund von Änderungen der Gleistopologie, in der Netzwerkzelle implementiert und in den operativ aktiven Betrieb übernommen werden.
-
Aufgrund der in Stand der Technik bekannten Aufteilung des Netzwerks in verschiedene geographische Bereiche mit jedem dieser Bereiche zugeordneten separaten Leitzentren, auch Fernsteuerzentrum genannt, bleibt bisher die Möglichkeit verschlossen, den gesamten Verkehr auf dem gesamten Netzwerk zellenübergreifend von einer oder mehrerer überregionaler Leitstelle zu steuern und/oder zu überwachen.
-
Der vorliegenden Erfindung liegt daher die Aufgabe zugrunde, ein Leitsystem der eingangs genannten Art anzugeben, dass hinsichtlich seiner Architektur und Aufgabenverteilung so aufgebaut ist, dass die übergeordnete Steuerung und/oder Überwachung der auf dem Netzwerk zirkulierenden Objekte möglich ist.
-
Diese Aufgabe wird erfindungsgemäss durch ein Leitsystem für die Steuerung und/oder Überwachung von Objekten, die auf einem in eine Anzahl von Netzwerkzellen unterteilten Verkehrsnetzwerk, verkehren, insbesondere Leitsystem für ein in regionale Bereiche unterteiltes Eisenbahnnetzwerk gelöst, welches die folgende Komponenten umfasst:
- a) für jede Netzwerkzelle ein Zellenleitsystem, das mittels eines Zellenrechnersystems der jeweiligen Netzwerkzelle zugeordnete und den Verkehr im wesentlichen innerhalb dieser Netzwerkzelle beeinflussende und/oder überwachende Umsysteme, wie z.B. Stellwerke, Weichen, Signale, Gleisfreimelder, Achszähler, stellt und/oder überwacht, wobei das Zellenrechnersystems über Schnittstellen Daten erhält und/oder ausgibt;
- b) eine netzwerkweit wirksame Leitstelle mit Bedienplätzen, die mittels eines Leitstellenrechnersystems von den Zellenrechnersystemen über die Schnittstellen erhaltene Daten bearbeiten und/oder Daten über die Schnittstellen an die Zellenrechnersysteme ausgeben;
- c) wobei für ein Gesamtrechnersystem, das die Zellenrechnersysteme und das Leitstellenrechnersystem umfasst, ein fünf-schichtiger logischer Aufbau mit einer Schnittstellenschicht, einer Arbeitsschicht, einer Präsentationschicht, einer Vereinigungsschicht und einer Anzeigeschicht vorgesehen ist; wobei
- c1) die Schnittstellenschicht logischer Bestandteil der jeweiligen Zellenrechnersysteme ist und Daten von den Umsystemen aufnimmt und an die Arbeitsschicht leitet und/oder Daten von der Arbeitsschicht erhält und diese an die Umsysteme ausgibt,
- c2) die Arbeitsschicht logischer Bestandteil der jeweiligen Zellenrechnersysteme ist und von der Schnittstellenschicht und/oder der Präsentationsschicht erhaltene Daten in einer Zellenlogik zellenspezifisch verarbeitet und an die Schnittstellenschicht und/oder die Arbeitsschicht ausgibt,
- c3) die Präsentationsschicht logischer Bestandteil der jeweiligen Zellenrechnersysteme ist und von der Arbeitsschicht erhaltene Daten für die Anzeigeschicht aufbereitet und an die Vereinigungsschicht ausgibt und/oder von der Vereinigungsschicht erhaltene Daten für die Arbeitsschicht aufbereitet und an diese ausgibt,
- c4) die Vereinigungsschicht logischer Bestandteil des Leitstellenrechnersystems ist und die von den Präsentationsschichten der Zellenrechnersysteme erhaltenen Daten vereinigt und zur Darstellung eines vereinigten Datenabbildes für die Anzeigeschicht aufbereitet und/oder von der Anzeigeschicht erhaltene Daten hinsichtlich ihrer Zugehörigkeit zu der Anzahl der Netzwerkzellen auflöst und an die Präsentationsschicht des entsprechenden Zellenrechnersystems ausgibt, und
- c5) die Anzeigeschicht logischer Bestandteil des Leitstellenrechnersystems ist und von der Vereinigungsschicht erhaltene Daten an den Bedienplätzen darstellt und/oder an den Bedienplätzen erhaltene Daten an die Vereinigungsschicht ausgibt.
-
Auf diese Weise bietet das erfindungsgemässe Leitsystem die netzweite Steuerung und/oder Überwachung der zirkulierenden Objekte sowie der zur Festlegung ihrer Verkehrstrasse erforderlichen Umsysteme. Die Trennung der Aufgaben von Informationsaufbereitung für die Leitstelle und Darstellung in der Leitstelle ermöglicht eine vollständige Kapselung dieses Darstellungsprozesses von der Konfiguration und dem Betrieb der einzelnen Netzwerkzellen. Die Architektur erlaubt daher auch den leittechnischen Betrieb jeder Netzwerkzelle für sich, falls die Datenverbindung zu der Leitstelle und ihren Arbeitsplätzen unterbrochen sein sollte.
-
In vorteilhafter Weiterbildung der Erfindung können auch beispielsweise externe Systeme in einen Datenaustausch mit dem Leitsystem treten, indem die Vereinigungsschicht zusätzlich eine Schnittstelle umfassen kann, über die Daten ähnlich wie an die Anzeigeschicht an weitere Umsysteme ausgebbar sind und/oder über die Daten von weiteren Umsystemen, ähnlich wie von der Anzeigeschicht erhaltene Daten, zur entsprechenden Weiterbehandlung erhaltbar sind. Derartige externe Systeme können zum Beispiel Fahrgast-und/oder Kundeninformationssysteme sein, die zum Beispiel vom Fahrplan abweichende Zugdaten zur Anzeige beim Fahrgast und/oder Kunden auswerten. Weiter können dies aber auch direkt auf den produktiven Prozess einwirkende externe Systeme sein, wie zum Beispiel Unterhaltssysteme, die dem Leitsystem auf diesem Wege beispielsweise die temporäre Nicht-Verfügbarkeit einer Verkehrstrasse wegen Unterhaltsarbeiten oder eines Ausfalls von kritischen Umsystemen melden.
-
Um den Bedienplatz in einer möglichst flexiblen Weise zu realisieren, kann es vorgesehen sein, dass in der Vereinigungsschicht ein Aggregator vorgesehen ist, der für alle Bedienplätze gleich ausgestaltet ist und auf einem Bedienplatzrechner, der Bestandteil des Leitstellenrechnersystems ist, ausführbar ist. Diese Vorgehensweise erlaubt es, dass die Software für den Aggregator einheitlich aufgebaut und in Einheiten mit klaren Schnittstellung und definierbarer, aber möglichst beschränkter Interaktion ausgeführt ist. Besonders das letztgenannte Merkmal ermöglicht es so, dass in der Leitstelle an verschiedenen Bedienplätzen an verschiedenen Aufgaben gearbeitet werden kann, ohne dass auf der Ebene der Bedienplätze Daten zwischen den Bedienplätzen direkt ausgetauscht werden müssten.
-
In Weiterbildung dieser vorstehend genannten Eigenschaften kann der Aggregator eine Auswahllogik umfassen, mit der speziell vorgebbare Datengruppe und/oder von speziell vorgebbaren Umsystemen stammende Daten zu deren Aufbereitung an den Bedienplätzen auswählbar sind. Auf diese Weise erlaubt der Aggregator quasi für jede Sitzung an einem Bedienplatz eine individuelle Konfigurierbarkeit der Funktionen und Daten, die an dem Bedienplatz ausgeführt bzw. ausgewertet werden sollen. Die Datengruppe kann sich beispielsweise ausschliesslich auf die Gruppe der Zugnummerdaten oder der Daten über nicht belegte Gleisabschnitte und dergleichen beziehen. Die speziell vorgebbaren Umsysteme können jede Art von Komponenten sein, die in dem Verkehrsprozess für die Steuerung und die Überwachung relevant sind, wie zum Beispiel Stellwerke, Weichen, Signale, Achszähler, Gleisfreimeldung und so weiter.
-
Um den unabhängigen Betrieb der Leitstelle für das gesamte Netzwerk und der Leittechnik für die einzelnen Netzwerkzellen gewährleisten zu können und zugleich Konfigurationsprozess weitgehend zu entkoppeln, kann eine Datenbank mit globalen Netzwerkdaten vorgesehen sein, die mit der Vereinigungsschicht und/oder der Arbeitsschicht diese Netzwerkdaten austauscht. Auf diese Weise greifen die Bedienplätze über die ihnen zugeordnete Vereinigungsschicht auf diese globalen Daten zurück. Unabhängig davon kann die einzelne Netzwerkzelle direkt aus ihrer Arbeitsschicht heraus auf diese globalen Daten zugreifen. Typische globale Daten sind zum Beispiel die Daten der gesamten Netzwerktopologie und Daten, die klären, wie Daten aus einzelnen Netzwerkzellen miteinander in Verbindung zu setzen sind, z.B. Grenzgleisfeldtabellen.
-
Um den produktiven Transportprozess weitgehend resistent gegen Ausfälle von Datenverbindungen zwischen den Netzwerkzellen und der Leitstelle zu gestalten, sind zudem aus der Arbeitsschicht heraus Datenverbindungen zwecks Querkommunikation (QK) zwischen Netzwerkzellen vorgesehen. Auf diese Weise können beispielsweise zwischen benachbarten Netzwerkzellen Zugnummerdaten ausgetauscht werden, wenn ein Zug von einer Netzwerkzelle in eine andere Netzwerkzelle wechselt. Aber auch für den Betrieb der Bedienplätze kann diese Querkommunikation vorteilhaft, wenn zum Beispiel eine Verbindung mit einer bestimmten Netzwerkzelle besteht, aber zur Erfüllung einer übergeordneten Aufgabe auch Daten von anderen Netzwerkzellen benötigt werden.
-
Aus Gründen der besseren Testbarkeit der auf den Netzwerkzellen ausgeführten Zellenlogik können tempoär mehrere für sich autonome Zellenmoleküle die Aufgaben der Netzwerkzelle ausführen. Damit eine Zuordnung der die jeweiligen Zellenmoleküle betreffenden Daten vorgenommen werden kann, kann in der Schnittstellenschicht ein Datendispatcher vorgesehen sein, der zur Zuordnung der von den Umsystemen erhaltenen Daten zu verschiedenen Zellenmolekülen innerhalb einer Netzwerkzelle konfigurierbar ist.
-
Weitere vorteilhafte Ausgestaltungen der Erfindung können den übrigen Unteransprüchen entnommen werden.
-
Auführungsbeispiele der Erfindung werden nachfolgend anhand der Zeichnung näher erläutert. Dabei zeigen:
- Figur 1
- eine schematische Ansicht der Architektur eines Leitsystems für ein Eisenbahnnetz;
- Figur 2
- eine detaillierte schematische Ansicht der Architektur des Leitsystems für ein Eisenbahnnetz gemäss Figur 1;
- Figur 3
- eine detaillierte schematische Ansicht der Architektur des Leitsystems für ein Eisenbahnnetz mit einer Datenbank für globale Daten und mit einer Anbindung externer System; und
- Figur 4
- eine schematische Darstellung der logischen Verteilung von Rechnersystemen innerhalb des Leitsystems gemäss den Figuren 1 bis 3.
-
Figur 1 zeigt einer schematische Ansicht der Architektur eines Leitsystems, nachfolgend als Netzwerk NW bezeichnet, für ein Eisenbahnnetz. So ist heute beispielsweise das Bahnnetz der schweizerischen Bundesbahnen (SBB) auf etwa 15 isolierte Leitsysteme aufgeteilt. Bei der Aufteilung handelt es sich um eine geografische Aufteilung, bei welcher jedes System für ein bestimmtes Gebiet zuständig ist. Die Kommunikation zwischen diesen Systemen beschränkt sich im Stand der Technik auf den Austausch von Zugnummern an den Grenzen zwischen den Systemen.
-
Im Netzwerk NW gemäss der vorliegenden Erfindung kann ein Netzwerkarbeitsplatz AP1 bis AP3 mit mehreren Netzwerkzellen NWZ kommunizieren, welche jeweils für ein geografisches Gebiet zuständig sind. Daraus ergeben sich gegenüber der Vielzahl der früheren für sich alleinstehenden Leitsysteme die folgenden neuen Architekturelemente:
-
Der Arbeitsplatz AP1 bis Apn fasst die Informationen konfigurationsgemäss aus den einzelnen Netzwerkzellen NWZ zusammen und erzeugt für den Benutzer eine Gesamtsicht. Die Netzwerkzellen NWZ werden für den Benutzer zu einem einzigen grossen System des Netzwerks NW. Dabei ist das System für den Benutzer transparent, so dass sich das aus mehreren kleineren Teilsystemen zusammengesetzte Gesamtsystem genauso verhält, wie ein einziges grosses Leitsystem über das gesamte Bahnnetz.
-
Die Elemente des Systems erfüllen die folgenden Anforderungen, wodurch die folgenden Architekturziele wunschgemäss erfüllt werden können:
-
In dem Netzwerk NW entsteht daher für den Benutzer der Eindruck, dass für das gesamte Eisenbahnnetz nur ein Netzwerk-Leitsystem besteht. Für einen Teil der Leitsystem-Funktionen kann dies über die Integration der Informationen auf dem Arbeitsplatz AP1 bis AP3 realisiert werden. Um für den anderen Teil der Leitsystem-Funktionen diese Anforderung zu realisieren, tauschen die Netzwerkzellen Informationen untereinander im Wege einer Querkommunikation QK aus. Beispiele dazu sind die Leitsystem-Aufgaben Zugnummerverwalter (ZV), Zuglenkung (ZL) und Überfüllverhinderung (UeV). Somit ermöglicht die Querkommunikation QK zwischen den Netzwerkzellen NWZ die zellenübergreifenden Funktionen.
-
Anhand von Figur 2 wird nun der besondere Aufbau der erfindungsgemässen Architektur des Leitsystem erläutert. Es sei eingangs anzumerken, dass das Bild der Figur 2 nur die logische Anordnung der einzelnen relevanten Gruppe zeigt und keinerlei Aussage über physikalische Anordnung von Datenverarbeitungsmitteln und der physikalischen Verteilung der relevanten Gruppen auf diese Datenverarbeitungsmittel.
-
In dem bisherigen Leitsystemen gemäss dem Stand der Technik ist eine klassische Drei-Schichten-Architektur vorgesehen.In einer Arbeitschicht BL sind Informationen in Arbeitsobjekten BO, wie zum Beispiel Weiche, Signal, Balise oder Zug, gespeichert. Die Verarbeitung in dieser Schicht, die durch einen Business-Server BS ausgeführte Arbeits-Logik, bereitet diese Informationen auf. Der Ursprung der Informationen ist eine Schnittstellenschicht Layer IL, welche primär die Schnittstelle S zum Bahnprozess darstellt. Eine Anzeigeschicht konvertiert die Arbeitsobjekte BO und ihre Zustände in eine benutzergerechte Darstellung wie zum Beispiel ein Lupenbild. Die Anzeigeschicht VL umfasst die gesamte Benutzeroberfläche, die vorrangig an den Arbeitsplätzen AP1 bis AP3 zur optischen Anzeige für die Fahrdienstleiter Fd1, Fd2 und temporär auch für den Prüfer P gebracht wird. Natürlich zählen auch andere Peripheriegeräte, wie Drucker, Speichermedien und Multimedia-Geräte zu dieser Benutzeroberfläche.
-
Der heutige VL gemäss dem Stand der Technik umfasst die Presentations Logik wie auch die eigentliche View Logik. In dem neuen erfindungsgemässen Netzwerk NW ist die Presentations Logik bewusst stark von den Leitsystem-Konfigurationsdaten der einzelnen Netzwerkzellen NWZ abhängig und verbleibt daher neu auch in der Netzwerkzelle NWZ. Da die Arbeitsplatz AP1 bis AP3 im neuen erfindungsgemässen Netzwerk NW aber genau diese Präsentationsschicht PL nicht mehr enthalten, handelt es sich bei diesen Arbeitsplätzen AP1 bis AP3 um einen sogenannten "Thin-Client". Die Software für das Netzwerk NW hat also eine "Thin-Client" Struktur, d.h. die Präsentation, welche die Arbeitsobjekte BO in eine Sicht für den Benutzer umwandelt, findet schon in der Netzwerkzelle NWZ statt. Die Präsentationsschicht PL bereitet die Informationen für die Anzeigeschicht VL auf. Diese Aufbereitung ist abhängig von den in der Anzeigeschicht VL für jeden Arbeitsplatz individuell wählbaren Parametern, wie z.B. Sprache, Informationsbereich, sowie von den Konfigurationsdaten der Netzwerkzelle NWZ.
-
Neu ist auch die logische Anordnung einer Vereinigungsschicht AL auf der Seite eines für die Leitstelle (mit anderen Worten: für die Gesamtheit der Arbeitsplätze AP1 bis AP3) arbeitenden Rechnersystems. Die Vereinigungsschicht AL fügt mittels eines Aggregators AG die Informationen aus den einzelnen Netzwerkzellen NWZ zu einem Ganzen zusammen und gibt diese an den View Client VC in der Anzeigeschicht VL, der nun logisch nicht mehr innerhalb einer Netzwerkzelle NWZ angeordnet ist, sondern die Arbeitsplätze AP1 bis AP3 bedient. Die Informationen von dem View Client VC an die Netzwerkzelle NWZ, die von den Arbeitsplätzen AP1 bis AP3 bespielsweise durch die Fahrdienstleiter Fd1 und Fd2 sowie den Prüfers P abgesetzt werden, werden durch den Aggregator AG in der Vereinigungsschicht AL aufgeteilt und an die entsprechenden Netzwerkzellen NWZ weitergeleitet.
-
In der Präsentationsschicht PL wandelt eine Präsentationslogik zum Beispiel den aktuellen Zustand von Stellwerkelementen (Weiche, Gleis usw) in eine geometrische Darstellung eines Lupenbildes um. Die Vereinigungsschicht AL fügt die einzelnen geometrischen Darstellungen aus den einzelnen Netzwerkzellen NWZ zu einer übergreifenden geometrischen Darstellung zusammen, welche in der Anzeigeschicht VL dem Benutzer als Übersichtsbild dargestellt wird. Die Anzeigeschicht VL benötigt für diese Aufgabe keine Konfigurationsdaten. Die Vereinigungsschicht AL besitzt lediglich die Information wie die einzelnen geometrischen Darstellungen zu einer übergreifenden geometrischen Darstellung zusammengefügt werden.
-
Da der grösste Teil der Konfigurationsdaten und möglichst viel der Logik in den Netzwerkzellen NWZ vorhanden sind, ist es einerseits einfacher ein releaseunabhängiges Protokoll zwischen den Netzwerkzellen NWZ und den Netzwerkarbeitspläten AP1 bis AP3 zu defieren und es können andererseits die Konfigurationsdaten klar einer Netzwerkzelle NWZ zugeordnet werden. Aus welchen Netzwerkzellen NWZ und auf welche Art die Informationen für die Anzeige kommen, wird durch die Vereinigungsschicht AL gegenüber der Anzeigeschicht VL vollständig gekapselt und lässt sich somit vereinheitlichen. Jegliche Kenntnis der Anzeigeschicht VL über die hinter der Vereinigungsschicht AL liegende Topologie der Netzwerkzellen NWZ und ihrer Server ist demzufolge für die Anzeigeschicht VL nicht notwendig. Durch diese Architektur des Netzwerks NW sind daher für die Oberflächen der Anzeigeschicht VL und der Präsentationsschicht PL strikt aufgetrennt. Die eigentliche Anzeige (View) wird so von der Anzeige-Logik (Präsentation) getrennt. Der View-Client VC braucht keine Anzeige-Logik (Presentation) mehr und hat somit keine Abhängigkeiten auf die Konfigurationsdaten der verschiedenen Netzwerkzellen NWZ.
-
Die Anzeige-Logik (Presentation) wird von einem Anzeige-Server MXVS in der Netzwerkzelle NWZ realisiert. Der Anzeige-Server MXVS bereitet die Anzeige für den View Client VC komplett auf. Damit der View Client VC mit mehreren Servern kommunizieren kann, wird der Aggregator AG zwischen dem View Client VC und dem Anzeige-Server MXVS vorgesehen. Der View Client VC kommuniziert so nur über den Aggregator AG mit den entsprechenden Anzeige-Servern MXVS mehrerer Netzwerkzellen NWZ.
-
Innerhalb der Präsentationsschicht PL gibt es auch Fälle, in welchen nicht zwingend ein Anzeige-Server MXVS nötig ist, weshalb es neben dem Anzeige-Server MXVS auch noch das Konzept eines Access Points AP gibt. Der Anzeige-Server MXVS bereitet die Information bedarfsgerecht für einen View Client VC auf. Von einem Anzeige-Server MXVS existiert eine Instanz pro View Client VC und Netzwerkzelle NWZ. Der Server des View Clients VC ist stateful, d.h. sein Zustand ist abhängig vom Arbeitsplatz AP1 bis AP3, für welchen er die Daten aufbereitet. Der Anzeige-Server MXVS ist daher eine umgebaute Aufgabe der im Stand der Technik bekannten und eingangs erwähnten einzelnen Leittechniksysteme. Der Access Point AP bietet eine generelle Schnittstelle zum Netzwerk NW bezüglich einer Funktion, wie zum Beispiel Zugdaten und Zugnummmer. Im Vordergrund steht es, eine Schnittstelle zu definieren, welche von beliebigen Clients, die die entsprechenden Informationen benötigen, verwendet wird. Der Access Point AP ist daher im Kontext eines Client zu weiten Teilen stateless, d.h. sein Zustand ist von den mit ihm verbundenen Arbeitsplätzen AP1 bis AP3 unabhängig, und speichert pro Client primär, welche Informationen dieser wünscht. Der Access-Point AP kann so einen Teil der Anzeige-Logik (Presentation) übernehmen. Er bietet somit einen Zugang zu einem definierten Satz von Informationen, welche nicht spezifisch für einen Arbeitsplatz AP1 bis AP3 aufbereitet sind.
-
Der View Client VC, welcher logisch in der Anzeigeschicht angeordnet ist, existiert einmal pro Benutzersession. Der Anzeige-Server MXVS existiert einmal pro Benutzersession und Netzwerkzelle NWZ und bereitet die Information für den entsprechenden Benutzer auf. Der Aggregator AG existiert für jede Benutzersession einzeln, da für jeden View Client VC unterschiedliche Informationen zusammengesetzt werden müssen.
-
Der Access Point AP existiert einmal pro Netzwerkzelle NWZ, und dabei in zwei redundanten Instanzen, um die Verfügbarkeit zu erhöhen.
-
Viele der Informationen, welche die Netzwerkzelle NWZ aufbereitet, werden von anderen Systemen (Stellwerk STW, Aussenanlagen UA1 bis Un2) ) bezogen. Wenn die Netzwerkzelle NWZ gestartet wird, werden diese Informationen von diesen externen Systemen über eine Generalabfrage bezogen werden. Es gibt aber auch Informationen, welche nur in der Netzwerkzelle NWZ gespeichert sind und welche nicht von einem externen System bezogen werden können. Diese Informationen müssen auch nach einem Neustart von der Netzwerkzelle NWZ oder einzelnen Aufgaben noch vorhanden sein. Darum sind diese Informationen oft persistent (in Datenbank, Files) gespeichert und/oder werden zwischen Haupt-, Spiegel- und Passiv-Laufzuständen der Aufgaben abgeglichen. Wenn ein Zellenmolekül pZM im nichtoperativ aktiven Zustand gestartet wird, werden die von der Netzwerkzelle NWZ verwalteten Daten vom operativ aktiven Zellenmolekül aZM bezogen. Die Schnittstelle, mit welcher die von der Netzwerkzelle verwalteten Daten (d.h. auch globale Daten, auf die die Netzwerkzelle zugreift, die aber nicht in ihrer Instanz gespeichert sind) zwischen den Zellenmolekülen abgeglichen werden, ist releaseunabhängig ausgestaltet.
-
Während der Zeit, in der mehrere Zellemoleküle aZM, pZM laufen, müssen diese Daten synchron gehalten werden. Im Falle des Printermanangements werden die Daten zusammengeführt, damit am Schluss alle Protokolleinträge beider Zellenmoleküle aZM, pZM vorhanden sind. Bei den Protokolleinträgen ist ersichtlich, aus welchem der Zellenmolekül aZM und pZM diese stammen.
-
Zur Anpassung der Schnittstellen ist nun anzumerken, dass viele der externen Schnittstellen so ausgelegt sind, dass das externe Umsystem mit genau einer Netzwerkzelle NWZ kommuniziert. Wenn nun in einer Netzwerkzelle NWZ mehrere Zellenmoleküle aZM, pZM laufen, müssen aber trotzdem alle Zellenmoleküle mit diesem externen System kommunizieren können. Dazu ist eine Schnittstellenaufgabe geschaffen worden, welche in einem eigenen Schnittstellen-Molekül SM läuft. Diese Schnittstellenaufgaben sind im Schnittstellen-Molekül SM konfigurierbar und setzen das externe Protokoll gemäss der gewählten Konfiguration in ein internes Protokoll um und verteilen die Informationen an die einzelnen Zellenmoleküle aZM, pZM. Diese Schnittstellenaufgaben werden als eigener Layer, den Interface Dispatcher Layer IDL, betrieben, der aber zur eigentlichen Schnittstellenschicht IL logisch hinzugerechnet wird. Der Interface Dispatcher Layer selbst kommt nahezu ohne Konfigurationsdaten aus. Die Schnittstelle zwischen dem Interface Dispatcher Layer IDL und den Zellenmolekülen aZM, pZM ist releaseunabhängig, sodass diese beiden Zellenmoleküle aZM, pZM mit unterschiedlichen Releases betrieben werden können.
-
Wenn gewisse externe Systeme ES (vgl. Fig.3), wie Fahrgastinformationsanzeige (FIA), Funkzentrale oder Resourcenmanagement an dem Netzwerk NW angebunden werden, ist die Architektur so ausgestaltet, dass sich diese nicht um die Aufteilung auf Netzwerkzellen NWZ kümmern müssen, sodass dies erlaubt, die Aufteilung in Netzwerkzellen NWZ zu verändern, ohne dass dabei das externe System betroffen ist. Weiter muss in die externen Systeme, welche mit nur einer Netzwerkzelle NWZ arbeiten, keine zellenübergreifende Logik eingebaut werden, damit diese mit mehreren Netzwerkzellen NWZ arbeiten können. Das Netzwerk NW umfasst hierzu ja in Form des Aggregators AG bereits die Logik, um Daten aus verschiedenen Netzwerkzellen NWZ zusammenzuführen. Diese Logik wird entsprechend auch für die Anbindung von zellenübergreifenden externen Systemen ES, die über eine separate Schnittstelle SA, die auch einen Applikationsadapter umfassen kann, am Aggregator AG ankoppeln, verwendet.
-
Weiter stellt das Netzwerk NW zellenübergreifende Schnittstellen SA zur Verfügung. Die Schnittstellen SA zu den externen Systeme ES ist mittels allgemeingültigem Services definiert. Ein Service stellt eine definierte Schnittstelle dar, über welche ein Set von Informationen bidirektional zwischen den externen Systemen und dem Netzwerk NW ausgetauscht wird. Damit wird erreicht, dass derselbe Service von verschiedenen externen Systemen verwendet werden kann. Ein Beispiel ist ein Zugnummer-Service, über welchen alle Zugnummer-Fortschaltungen an interessierte externe Systeme gesendet werden bzw. Zugnummeroperationen von den externen Systemen entgegen genommen werden. Diese Services sind im Netzwerk NW vorgegeben und das externe System ES muss die vom Netzwerk NW vorgegebene Schnittstelle SA implementieren. Da dies nicht immer möglich ist, unterstützt das Netzwerk NW auch weiterhin spezifische Schnittstellen für bestimmte externe Systeme ES, falls eine bereits heute vorhandene Schnittstelle zellenübergreifend funktionieren soll und/oder falls das Netzwerk eine Schnittstelle unterstützen soll, welche von einem externen System ES vorgegeben ist.
-
Für beide Fälle werden spezielle Adapter geschrieben, um ein bestimmtes Interface zu implementieren. Der Adapter greift über die Services auf das Netzwerk NW zu. Eine solche Schnittstelle wird, falls das externe System nicht Teil des geschlossenen Netzwerkes NW ist, über einen Proxy Server angeschlossen.
-
Weiter zeigt Figur 3 die Verwaltung von verschiedenen globalen Daten GD im Netzwerk NW. Hier sind zu nennen:
- Benutzerdaten, Informationsbereiche, Drucker usw... (von jedem Arbeitsplatz AP1 bis AP3 benötigt)
- Informationen, wie Daten aus einzelnen Netzwerkzellen NWZ zusammengehören, wie z.B. Grenzgleisfeldtabelle (betreffen den Arbeitsplatz AP 1 bis AP3 und die Netzwerkzellen NWZ)
- Definitionen für den Aggregator AG, wie Definition der Übersichtsbilder.
-
Diese globalen Daten GD werden nicht einer Netzwerkzelle NWZ zugeordnet, weil diese globalen Daten jedem Arbeitsplatz AP1 bis AP3 und jeder Netzwerkzelle NWZ zur Verfügung stehen müssen und eine Aufteilung erhebliche Schwierigkeit bei der Datenverwaltung liefern würden.Die globalen Daten GD können in zwei Kategorien unterteilt werden:
- Globale persistente Netzwerk-Daten:
- Daten, welche durch das Netzwerk NW selbst verwaltet werden, dass heisst die Netzwerk-Software erzeugt, ändert und löscht diese Daten selbst.
- Globale Konfigurationsdaten
Diese Daten enthalten globale Konfigurationsinformationen und werden von der Netzwerk-Software nur gelesen.
-
Dabei sei an dieser Stelle noch einmal explizit darauf hingewiesen, dass die Netzwerk-Software nicht mit der Netzwerkzellen-Software verwechselt werden darf. Für die globalen persistenten Daten werden bei Änderungen alte Stände gespeichert, wodurch bei einer Fehlmanipulation eines Administrators das Zurückgehen auf einen alten Stand möglich ist. Die globalen Konfigurationsdaten können offline erstellt werden und dann in die globalen Daten GD eingespielt werden. Um eine weiche Migration sowie den unterbruchfreien Update zu ermöglichen, sind daher verschiedene Stände der globalen Konfigurationsdaten verfügbar, welche zu unterschiedlichen Zellenkonfigurationen, d.h. zu unterschiedlichen Versionen der Zellen-Software inkl. der hierzu erforderlichen Daten passen.
-
Fig. 4 zeigt beispielhaft den Aufbau des physikalischen Gesamtsystems. Jede Netzwerkzelle NWZ hat ein eigenes Ethernet-LAN. Am Ethernet angeschlossen sind Zellenserver, zellenlokale Arbeitsplätze L, zellenlokale Drucker, Terminalserver, ISDN-Router zu den ILOK und zu externen Systemen. Auf diesem Ethernet-LAN werden IP, DECnet und LAT als Protokolle verwendet. Diese Gesamtheit der Komponenten, die logisch innerhalb einer Netzwerkzelle NWZ angeordnet sind, bildet ein Zellenrechnersystem Z-RS A, Z-RS B. Die Arbeitsplätze AP1 bis AP3 und Drucker an einem Leitstellen-Standort LT und im regionalen Kontrollzentrum RCC sind jeweils an einem oder mehreren Ethernet-LAN angeschlossen. Auf diesem Arbeitsplatz-LAN wird nur IP verwendet, also kein DECnet und kein LAT. Diese Gesamtheit der Komponenten, die logisch dem Leitstellen-Standort zugeordnet sind, bildet ein Leitstellenrechnersystem LT-RS.
-
Es werden Drucker mit jeweils einem eigenen Print-Server verwendet, und direkt an das Ethernet-LAN angeschlossen. Für einfache Drucker können separate externe Print-Server benutzt werden, und für Hochleistungs-Drucker sind grösstenteils interne Print-Server als Option möglich. Durch diese Vorgehensweise sind alle Drucker von allen Arbeitsplätzen AP1 bis AP3 und allen Netzwerkzellen NWZ erreichbar, und es gibt auch keinen zentralen Print-Server. Ein zellenlokaler Arbeitsplatz L ist so konfiguriert, dass er nur mit der entsprechenden Netzwerkzelle NWZ arbeitet und wird bei einem Ausfall des Netzwerkes NW als letztes Rückfallelement gebraucht. Dieser Arbeitsplatz L ist daher so konfiguriert, dass er als zellenlokaler Arbeitsplatz L eingesetzt werden kann.
-
In einem möglichen Ausführungsbeispiel gemäss der Figur 4 können an einem Leitstellen-Standort LT mehrere Zellen-LAN und normalerweise ein Arbeitsplatz-LAN vorhanden sein. Im RCC ist ein oder mehrere Arbeitsplatz-LAN vorhanden. Die einzelnen Standorte sind mit einem IP-Netzwerk verbunden. Dabei sind die Router, welche an jedem Standort vorhanden sind, redundant ausgestattet, um Ausfälle derartiger Komponente sofort kompensieren zu können. Das so gebildete IP-Netzwerk mit allen LAN zusammen ist ein nach der Eisenbahn-Norm EN50159-1 geschlossenes Netzwerk NW. Diese Voraussetzung macht es möglich, dass der Datenverkehr zwischen den einzelnen Netzwerkzelle NWZ und der Leitstelle LT sowie sonstiger innerhalb des Netzwerks NW angeordneter Komponenten nicht verschlüsselt werden muss. Damit die an den Arbeitsplätzen AP1 bis AP3 laufende Software mit dem Präsentationsserver MXVS und den AccessPoints AP kommunizieren kann und damit auch die Querkommunikation QK zwischen den Netzwerkzellen NWZ stattfinden kann, gibt es in dem Netzwerk NW ein Kommunikationsframework. Wie schon beschrieben, bietet das Netzwerk NW bietet auch Schnittstellen SA für externe Systeme ES. Diese Schnittstellen SA werden durch einen Schnittstellen Server realisiert. Befinden sich die externen Systeme ES innerhalb des geschlossenen Netzwerkes NW, können sie direkt auf den Schnittstellen Server zugreifen. Befinden sich die externen Systeme ES dagegen ausserhalb des geschlossenen Netzwerkes NW, ist dies nicht ohne weiteres möglich.
-
Aus Sicherheitsgründen werden für folgende Fälle Vorkehrungen getroffen:
- Eindringen von sicherheitskritischen Meldungen Grundsätzlich wird jedes Eindringen von sicherheitskritschen Meldungen in das geschlossene Netzwerk NW verhindert, welche sicherheitskritsche Funktionen im Netzwerk NW auslösen könnten. Dabei können sicherheitskritsche Meldungen entweder durch Kommunikationsfehler entstehen, aber auch durch ein bereits kompromittiertes externes System ES. In die Gegenrichtung, d.h. vom Netzwerk NW zum externen System ES, werden keine Einschränkungen bezüglich des Meldungstransports benötigt.
- Intelligente Angriffe durch Hacker, Viren, Würmer, usw. Weiterhin müssen alle Formen von intelligenten Angriffen abgewehrt werden, welche zur Kompromittierung von einzelnen Rechnern innerhalb des geschlossenen Netzwerkes NW führen könnten.
-
Damit das Netzwerk NW entsprechend der Norm EN50159-1 weiterhin als geschlossenes Netzwerk NW betrachtet werden kann, ist ein zusätzlicher Schnittstellen Proxy Server vorgesehen, welcher die Kommunikation mit dem Schnittstellen Server von einem unsicheren Netzwerk her ermöglicht. Der Schnittstellen Server ist am geschlossenen Netzwerk NW angeschlossen und bietet die zellenübergreifenden Schnittstellen als allgemeingültige Services an. Vertrauenswürdige externe Systeme ES, welche sich innerhalb des geschlossenen Netzwerkes NW befinden, können direkt auf den Schnittstellen Server zugreifen. Dagegen ist der Schnittstellen Proxy Server am unsicheren Netzwerk angeschlossen. Dieser bietet die Services des Schnittstellen Server als Proxy an, d.h. er wirkt nach aussen wie der Schnittstellen Server, leitet die Meldungen aber nur einfach an den Schnittstellen Server weiter. Der Schnittstellen Proxy Server bietet nur ein genau definiertes Subset der Schnittstellen des Schnittstellen Servers an. Das Schnittstellen-Subset umfasst nur die Bestandteile, welche auch von potentiell nicht vertrauenswürdigen externen Systemen genutzt werden dürfen.
-
Zusätzlich umfassen der Schnittstellen Server und der Schnittstellen Proxy Server jeweils zwei Netzwerkkarten. Jeweils eine Netzwerkkarte verbindet den Schnittstellen Server mit dem geschlossenen Netzwerk NW bzw. den Schnittstellen Proxy Server mit dem unsicheren Netzwerk. Die jeweils andere Netzwerkkarte verbindet Schnittstellen Server und Schnittstellen Proxy Server über ein separates Ethernet-LAN. Das externe System ES ist mit dem Schnittstellen Proxy Server über ein Firewall angeschlossen. Dieser Firewall gibt nur die unbedingt notwendigen Kommunikationsdienste frei, und erlaubt nur Verbindungen mit bekannten Rechnern.
-
Falls nun aber doch das Problem auftreten sollte, dass das externe System ES nicht direkt mit den vom Netzwerk NW angebotenen Schnittstellen arbeiten kann, wird ein weiterer Adapter erstellt. Dieser Adapter wird auf dem externen System ES realisiert. Weiterhin wird zwischen dem Schnittstellen Proxy und der eigentlichen Schnittstelle ein Meldungsfilter eingesetzt. Dieses Meldungsfilter versteht die Bedeutung der Meldungen, und lässt nur die als ungefährlich eingestuften Meldungen durch. Welche Meldungen als ungefährlich eingestuft werden, ist frei konfigurierbar. Jedes Auftreten einer potentiell gefährlichen Meldung wird protokolliert. Das Meldungsfilter ist sowohl im Schnittstellen Server als auch im Schnittstellen Proxy Server realisiert. Das Meldungsfilter ist in beiden Servern identisch, und beide Server überwachen gegenseitig die korrekte Funktionsweise des Meldungsfilters. Dabei ist es im vorliegenden Ausführungsbeispiel vorgesehen, dass aufgetretene Fehler des Meldungsfilters innerhalb einer Ausfalloffenbarungszeit von einer Stunde offenbart werden.
-
Für die gegenseitige Überwachung von Schnittstellen Server und Schnittstellen Proxy Server wird folgendes Verfahren angewendet:
- Jeder Server sendet einen Prüfauftrag mit einer eindeutigen Transaktions-ID an seinen Partner. Der Empfänger des Prüfauftrages ermittelt aus den Programm- und Konfigurations-Dateien des Meldungsfilters eindeutige Prüfsummen. Die berechneten Prüfsummen werden zusammen mit der empfangenen Transaktions-ID an den Sender des Prüfauftrages zurückgeschickt. Der Sender des Prüfauftrages berechnet ebenfalls eindeutige Prüfsummen über die Programm- und Konfigurations-Dateien seines Meldungsfilters. Der Sender vergleicht die selbstberechneten Prüfsummen mit den empfangenen Prüfsummen. Die Prüfzyklen werden jeweils auf dem Schnittstellen Proxy Server und dem Schnittstellen Server unabhängig voneinander gesteuert und regelmässig wiederholt. Auf dem Schnittstellen Proxy Server und dem Schnittstellenserver wird jeweils ein Ausfalloffenbarungs-Timer gestartet, welcher unter folgenden Bedingungen wieder neu gestartet wird:
- Die selbstberechneten Prüfsummen müssen identisch mit den empfangenen Prüfsummen sein. Nach dem letzten Neustart des Ausfalloffenbarungs-Timers muss mindestens ein Prüfauftrag von dem anderen Server empfangen worden sein. Um nicht erfolgreiche Prüfzyklen wiederholen zu können, werden die Prüfzyklen in der Zeitdauer des Ausfalloffenbarungs-Timers mehrmals wiederholt. Falls der Ausfalloffenbarungs-Timer auf einem Server abläuft, wird dies protokolliert und der Server stellt sich sofort ab. Damit kann dann auch der andere Server seine Prüfzyklen nicht mehr erfolgreich abschliessen, und wird sich nach Ablauf seines Ausfalloffenbarungs-Timers auch abstellen. Die Server lassen sich automatisch nicht wieder starten, sondern müssen manuell wieder neu gestartet werden.
-
Für die Kommunikation zwischen dem Schnittstellen Proxy Server und dem Schnittstellen Server werden nur die unbedingt notwendigen Kommunikationsdienste freigegeben, alle anderen Dienste werden gesperrt. Falls ein Kommunikationsversuch auf einem nicht freigegebenen Dienst festgestellt wird, wird dies protokolliert und der empfangene Server stellt sich sofort ab. Zwischen Schnittstellen Server und Schnittstellen Proxy Server wird noch ein zusätzliches Firewall geschaltet. Dieser Firewall gibt nur die unbedingt notwendigen Kommunikationsdienste frei, und erlaubt nur Verbindungen zwischen den beiden Servern. Falls entweder der Schnittstellen Server oder der Schnittstellen Proxy Server einen Eindringversuch auf einen freigegebenen Kommunikationsdienst festgestellt, wird dies protokolliert und der empfangene Server stellt sich sofort ab.
-
Auf diese Weise wird den hohen Sicherheitsanforderungen, die bespielsweise immer dann gelten, wenn Gefahr für Menschen bestehen kann (dies ist grundsätzlich im eisenbahntechnischen Umfeld immer gegeben), hinreichend Rechnung getragen.
-
Das vorstehend bespielhaft für ein netzweites Eisenbahnleitsystem beschriebene Netzwerk NW bzw. dessen Architektur und sowie die verschiedenen innerhalb der Architektur vorgenommenen logischen Gruppierungen und Verfahren zum sicheren Datenaustausch, insbesondere mit ausserhalb des sicheren Netzwerks NW angeordneten externen Systemen ES lassen sich ebenso in den Bereichen der Telekommunikation, Netzleittechnik in der Energieverteilung und im Strassen- und Luftverkehr sowie allen komplexeren Prozessen zur Steuerung des Gesamtprozesses einsetzen.
