EP1702827A1

EP1702827A1 - Control panel

Info

Publication number: EP1702827A1
Application number: EP06111067A
Authority: EP
Inventors: Wolfgang Grabe
Original assignee: Siemens AG
Current assignee: Siemens AG
Priority date: 2005-03-16
Filing date: 2006-03-14
Publication date: 2006-09-20
Also published as: DE102005013194A1

Abstract

The system has a command display for controlling and monitoring of a SIL4 signal box (3), where the system is provided with a single channel. The single channel is arranged with a computer (4) of a multi-channel operating station that comprises several identical computers with corresponding hardware and software, where the system is designed corresponding to a safety level SIL4.

Description

Die Erfindung betrifft ein Bedienplatzsystem gemäß dem Oberbegriff des Patentanspruchs. Bedienplatzsysteme in der Eisenbahnsignaltechnik müssen Sicherheitsanforderungen genügen, die in der CENELEC-Norm in Form von Sicherheitsstufen SIL0 - signaltechnisch nicht sicher - bis SIL4 - signaltechnisch hochgradig sicher - definiert sind. Besteht für die Kommandoausgabe eine Sicherheitsanforderung nach SIL4 und für die Kommandoanzeige keine Sicherheitsanforderung, d. h. SILO, werden bisher Bedienplatzsysteme eingesetzt, die insgesamt dem Sicherheitslevel SIL4 entsprechen. Das bedeutet nach der Normvorgabe, dass das Bedienplatzsystem zweikanalig auszuführen ist. Damit ist zwangsläufig ein hoher Hardware- und Softwareaufwand verbunden.The invention relates to an operator station system according to the preamble of the claim. Operator station systems in railway signaling technology must comply with safety requirements that are defined in the CENELEC standard in the form of safety levels SIL0 - not technically safe - up to SIL4 - with high signal integrity. If there is a safety request for SIL4 for the command output and no safety request for the command display, d. H. SILO, so far operator station systems are used, which correspond to safety level SIL4. This means according to the standard specification that the operator station system is to be executed with two channels. This inevitably involves a high level of hardware and software effort.

Der Erfindung liegt die Aufgabe zugrunde, ein Bedienplatzsystem der gattungsgemäßen Art anzugeben, das weniger aufwendig ist, insbesondere hinsichtlich Kommunikationsschaltungen, Projektierung und Installation.The invention has for its object to provide an operator station system of the generic type, which is less expensive, especially in terms of communication circuits, project planning and installation.

Erfindungsgemäß wird die Aufgabe mit den kennzeichnenden Merkmalen des Patentanspruchs gelöst. Durch die Reduzierung auf nur einen Kanal ergibt sich ohne Sicherheitseinbuße eine erhebliche Einsparung. Durch den Wegfall des zweiten Kanals entfallen Kommunikationsschaltungen inklusive der zugehörigen Software. Projektierung und Installation werden bei verringertem Platzbedarf vereinfacht. Zusätzlich erhöht sich die Verfügbarkeit des Bedienplatzsystems um Faktor zwei. Statt mindestens zwei PCs wird nur noch ein PC zur Ausbildung des einzigen Kanals eingesetzt. Dieser PC muss identisch sein mit einem von mehreren PCs eines mehrkanaligen SIL4-Bedienplatzsystems sowohl hinsichtlich Hardware als auch hinsichtlich Software. Auf diese Weise gilt die SIL4-Zertifizierung unter den unten genannten Voraussetzungen auch für das Bedienplatzsystem gemäß der geforderten Sicherheit, nämlich Kommandoausgabe gemäß SIL4 und Kommandoanzeige signaltechnisch nicht sicher. Diese "gemischte" Sicherheitsanforderung ergibt sich aus der Überlegung, dass nicht eine falsche Anzeige bei korrekter Kommandoausgabe gefährlich ist, sondern ein verfälschtes Kommando, das trotzdem in der gewünschten Weise, d. h. als korrekt angezeigt wird. Folglich kann es sinnvoll sein, ein Bedienplatzsystem zu konzipieren, das nur bezüglich der Kommandoausgabe dem Sicherheitslevel SIL4 entspricht. Damit für diese Anforderung ein einkanaliges System eingesetzt werden kann, muss der entsprechende PC für die Kommandoausgabe SIL4-tauglich sein. Dazu müssen gemäß der Normvorgabe folgende vier Voraussetzungen erfüllt sein:

1. Die tolerierbare Gefährdungsrate pro Stunden und pro Funktion für SIL4 gemäß CENELEC EN 50129, Tabelle A-1 muss im Bereich von 10^-9 und 10^-8 liegen.
2. Die Software muss gemäß den Vorgaben von CENELEC EN 50128 entwickelt worden sein.
3. Die Projektierung, Projektierungsprüfung, Installation und Wartung müssen den Anforderungen von SIL4 gerecht werden.
4. Die Nutzung des Bedienplatzes muss den Anforderungen nach SIL4 entsprechen.

According to the invention the object is achieved with the characterizing features of the claim. By reducing to only one channel results in a significant saving without loss of security. The omission of the second channel eliminates communication circuits including the associated software. Configuration and installation are simplified in a reduced footprint. In addition, the availability of the operator station system increases by a factor of two. Instead of at least two PCs, only one PC is used to form the single channel. This PC must be identical to one of several PCs in a multi-channel SIL4 operator station system, both in terms of hardware and software. In this way, the SIL4 certification also applies to the operator station system according to the required safety, namely command output in accordance with SIL4 and command display not safe in terms of signaling under the conditions listed below. This "mixed" security requirement results from the consideration that it is not an incorrect display with correct command output that is dangerous, but a corrupted command that is nevertheless displayed in the desired manner, ie as correct. Consequently, it may be useful to design an operator station system that only complies with safety level SIL4 with regard to the command output. In order for a single-channel system to be used for this requirement, the corresponding PC must be suitable for SIL4-compliant command output. For this purpose, the following four requirements must be fulfilled in accordance with the standard specification:

1. The tolerable hazard per hour and per function for SIL4 according to CENELEC EN 50129, Table A-1, must be in the range of 10 ^-9 and 10 ^-8 .
2. The software must have been developed in accordance with the specifications of CENELEC EN 50128.
3. The configuration, configuration check, installation and maintenance must meet the requirements of SIL4.
4. The use of the operator station must comply with the requirements of SIL4.

Der Nachweis dieser Anforderungen wird nachfolgend am Beispiel des VICOS-Systems näher erläutert. Es zeigen:

Figur 1 das Prinzip eines bekannten Bedienplatzsystems und
Figur 2 das beanspruchte Bedienplatzsystem.

The proof of these requirements is explained in more detail below using the example of the VICOS system. Show it:

Figure 1 shows the principle of a known operator station system and
Figure 2, the claimed operator station system.

Das bekannte Bedienplatzsystem, das die Anforderungen nach CENELEC SIL4 erfüllt, ist bisher als zweikanaliges System mit zwei VICOS OC 111-Rechnern 1 und 2 ausgebildet. Die beiden Rechner 1 und 2 dienen zur Ansteuerung und Überwachung eines Stellwerks 3, das ebenfalls der Sicherheitsstufe SIL4 entspricht.The well-known operator station system that fulfills the requirements of CENELEC SIL4 has hitherto been a two-channel system two VICOS OC 111 computers 1 and 2 formed. The two computers 1 and 2 are used to control and monitor a signal box 3, which also corresponds to the security level SIL4.

Bei der in Figur 2 dargestellten beanspruchten Lösung ist nur noch ein VICOS OC 101- Rechner 4 vorgesehen. Dieser Bedienplatz ist für signaltechnisch sichere Ausgabe nach SIL4 und nicht signaltechnisch sicherer Anzeige ausgelegt. Bei der Verwendung des VICOS OC 101-Rechners 4 ist bisher davon ausgegangen worden, dass nur Sicherheitsanforderungen bis CENELEC SIL2 erfüllt werden können. Die nachfolgende Betrachtung bezüglich der oben genannten vier Voraussetzungen für die SIL4-Eignung führen jedoch überraschenderweise zu dem Ergebnis, dass die einkanalige Konfigurierung nach Figur 2 bezüglich der Kommandoausgabe den Sicherheitsanforderungen nach SIL4 genügt.

1. Für den zweikanaligen Bedienplatz OC 111 existiert eine Gefährdungsanalyse, wobei für die zwei Ausfälle alte Bedienfolge und Verfälschung von Bedienfolgen für die Kommandorichtung eine Gefährdungsrate von 1,9 x 10^-10 resultiert. Die Bedienplätze VICOS OC 111 und VICOS OC 101 unterscheiden sich darin, dass bei VICOS OS 111 für die Kommandofreigabe-Verfahren zwei hardwaremäßig unabhängige Rechner 1 und 2 und bei VICOS OC 101 nur ein Rechner 4 eingesetzt werden. Um die Gefährdungsrate, die sich für die Kommandorichtung beim Bedienplatz VICOS OC 101 ergibt, zu berechnen, muss zunächst betrachtet werden, welche Aufgabe der zweite Rechner 1 bzw. 2 im VICOS OC 111-System übernimmt.
Regelbedienungen, also nicht freigabepflichtige Bedienungen, werden bei VICOS OC 111 auch nur einkanalig ausgeführt. Bei freigabepflichtigen Bedienungen liefert der Referenz-Rechner 1 bzw. 2 die Checksumme seiner Anzeige zum Vergleich mit der Checksumme des Bedien-Rechners 2 bzw. 1 an das Stellwerk 3. Dort können Fehler in der Anzeige aufgedeckt werden.
Im vorliegenden Fall soll die Anzeige nicht SIL4 entsprechen. Gefährlich ist nicht, dass eine falsche Anzeige erscheint, gefährlich ist, dass das Kommando verfälscht wird und dann trotzdem die gewünschte Anzeige erscheint. Wird ein Ausfall des Bedienplatzes angenommen, infolge dessen immer Kommandos verfälscht würden, liegt die Wahrscheinlichkeit, dass die gewünschte Anzeige erscheint, bei < 10^-2. Da die Anzeige zwei voneinander unabhängige Verfahren, nämlich Elementausleuchtung und Telegrammtext, umfasst, ergibt sich eine Wahrscheinlichkeit von < 10^-4. Die Hardwarefehler, die zu einem Ausfall und damit letztlich zur Gefährdung führen können, betreffen die PC-Komponenten, die an dieser Funktion beteiligt sind. Unter Berücksichtigung dieser Komponenten, nämlich CPU, Hauptspeicher, Graphikkarte und Monitor, und den anfangs betrachteten Ausfällen "alte Bedienfolge" und "Verfälschung von Bedienfolgen" beträgt die Gesamtgefährdung 1,0 × 10^-9. Dieser Wert ist ausrechend für SIL4.
2. Für den OC 101-Rechner 4 wird die gleiche Software wie für den OC 111-Rechner 1 bzw. 2 eingesetzt. Damit ist diese Anforderung nach SIL4 gegeben.
3. Sofern alle vorgeschriebenen Maßnahmen für den OC 101-Rechner 4 durchgeführt werden, wird SIL4 erreicht.
4. Der Betrieb des Bedienplatzes OC 111 ist entsprechend SIL4 zugelassen. Es ist sicherzustellen, dass alle Maßnahmen, die für die Kommandoausgabe beim Bedienplatz OC 111 vorgesehen sind, auch beim Bedienplatz OC 101 projektiert werden.

In the claimed solution shown in Figure 2 only one VICOS OC 101 computer 4 is provided. This operator station is designed for fail-safe output according to SIL4 and non-signaling safety. When using the VICOS OC 101 computer 4 has been assumed that only safety requirements to CENELEC SIL2 can be met. However, the following consideration with regard to the above-mentioned four prerequisites for the SIL4 suitability surprisingly leads to the result that the single-channel configuration according to FIG. 2 with respect to the command output meets the safety requirements according to SIL4.

1. There is a hazard analysis for the two-channel OC 111 operator station, with a failure rate of 1.9 x 10 ^-10 resulting for the two failures of old operating sequence and falsification of operating sequences for the command ^direction . The operator stations VICOS OC 111 and VICOS OC 101 differ in that in VICOS OS 111 two hardware-independent computers 1 and 2 are used for the command-release method and only one computer 4 in VICOS OC 101. In order to calculate the risk rate that results for the command direction at the VICOS OC 101 operator station, it must first be considered which task the second processor 1 or 2 will assume in the VICOS OC 111 system.
Standard operations, ie operations not requiring approval, are also performed with only one channel in VICOS OC 111. In the case of operations requiring release, the reference computer 1 or 2 supplies the check sum of its display for comparison with the checksum of the operating computer 2 or 1 to the signal box 3. There, errors in the display can be revealed.
In this case, the display should not correspond to SIL4. It is not dangerous that an incorrect display appears, it is dangerous that the command is falsified and then the desired display appears anyway. If a failure of the operator station is assumed, as a result of which commands would always be falsified, the probability that the desired display will appear is <10 ^-2 . Since the display comprises two independent methods, namely element illumination and telegram text, the probability is <10 ^-4 . The hardware errors that can lead to a failure and thus ultimately endanger the PC components that are involved in this function. Taking into account these components, namely CPU, main memory, graphics card and monitor, and the initially considered failures "old operating sequence" and "falsification of operating sequences", the total risk is 1.0 × 10 ^-9 . This value is sufficient for SIL4.
2. For the OC 101 computer 4 the same software as for the OC 111 computer 1 or 2 is used. This requirement is given in accordance with SIL4.
3. If all prescribed actions are performed for the OC 101 computer 4, SIL4 is reached.
4. The operation of the operator station OC 111 is approved according to SIL4. It must be ensured that all measures provided for the command output at the OC 111 operator station are also configured at the OC 101 operator station.

Wenn die oben genannten Maßnahmen und Auflagen für den OC 101-Rechner 4 nachgewiesen werden, kann der OC 101-Rechner 4 folglich bei SIL4-Anforderungen bezüglich der Kommandoausgabe eingesetzt werden. Ein zweiter Kanal gemäß Figur 1 kann entfallen.Thus, if the above measures and constraints for the OC 101 calculator 4 are proven, then the OC 101 calculator 4 can be used with SIL4 command output requirements. A second channel according to FIG. 1 can be dispensed with.

Die Erfindung beschränkt sich nicht auf das vorstehend genannte Ausführungsbeispiel. Vielmehr ist eine Anzahl von Varianten denkbar, welche auch bei grundsätzlich anders gearteter Ausführung von den Merkmalen der Erfindung Gebrauch machen.The invention is not limited to the above-mentioned embodiment. Rather, a number of variants are conceivable, which make use of the features of the invention even with fundamentally different type of execution.

Claims

Operator station system with safe signal command output according to safety level CENELEC SIL4 and not technically safe command display for the operation and monitoring of a SIL4 interlocking (3),
characterized,
that the operating station system is formed a single channel, said channel having a computer (4) of a plurality of identical computers (1,2) multi-channel SIL4 Workstation system both in terms of hardware and in terms of software matches.