EP3333041B1 - Verfahren zum betrieb eines anzeigesystems und verfahren zum betrieb eines sicherheitskritischen systems - Google Patents

Verfahren zum betrieb eines anzeigesystems und verfahren zum betrieb eines sicherheitskritischen systems Download PDF

Info

Publication number
EP3333041B1
EP3333041B1 EP16203135.5A EP16203135A EP3333041B1 EP 3333041 B1 EP3333041 B1 EP 3333041B1 EP 16203135 A EP16203135 A EP 16203135A EP 3333041 B1 EP3333041 B1 EP 3333041B1
Authority
EP
European Patent Office
Prior art keywords
display
representation
displays
emergency
malfunction
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
EP16203135.5A
Other languages
English (en)
French (fr)
Other versions
EP3333041A1 (de
Inventor
Volker MORNEWEG
Wolfgang-Reza SHARAVI
Christian Wallner
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
GTS Deutschland GmbH
Original Assignee
GTS Deutschland GmbH
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by GTS Deutschland GmbH filed Critical GTS Deutschland GmbH
Priority to EP16203135.5A priority Critical patent/EP3333041B1/de
Priority to ES16203135T priority patent/ES2961528T3/es
Publication of EP3333041A1 publication Critical patent/EP3333041A1/de
Application granted granted Critical
Publication of EP3333041B1 publication Critical patent/EP3333041B1/de
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B61—RAILWAYS
    • B61L—GUIDING RAILWAY TRAFFIC; ENSURING THE SAFETY OF RAILWAY TRAFFIC
    • B61L15/00—Indicators provided on the vehicle or train for signalling purposes
    • B61L15/0081—On-board diagnosis or maintenance
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B61—RAILWAYS
    • B61L—GUIDING RAILWAY TRAFFIC; ENSURING THE SAFETY OF RAILWAY TRAFFIC
    • B61L15/00—Indicators provided on the vehicle or train for signalling purposes
    • B61L15/0063—Multiple on-board control systems, e.g. "2 out of 3"-systems
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B61—RAILWAYS
    • B61L—GUIDING RAILWAY TRAFFIC; ENSURING THE SAFETY OF RAILWAY TRAFFIC
    • B61L15/00—Indicators provided on the vehicle or train for signalling purposes
    • B61L15/009—On-board display devices

Definitions

  • the invention relates to a method for operating a display system for safely displaying predetermined operationally relevant information within a safety-critical system, the display system having a first display device with a first display and a second display device with a second display, as well as a monitoring device (preferably in each display) , to monitor the correct functioning of the displays.
  • Such a method is known, for example, from [1].
  • MMI man-machine interface
  • a man-machine interface is a display system on which information relevant to the operation and possibly other information is displayed in a prescribed manner, for example the driver's cab display on the traction unit of a train.
  • the display system comprises a display divided into different areas, each area being intended to show information of a specific information category.
  • a display is known from [2].
  • a predefined standard display which contains all predefined operationally relevant information, is divided into two partial displays, with the first partial display being displayed on the first display and the second partial display being displayed on the second display.
  • the monitoring device monitors the correct functioning of the two displays.
  • the monitoring device is preferably integrated into the displays, preferably a monitoring unit in each case per display device.
  • a confirmable failure message is displayed on the functioning (non-faulty) display and the display system is put into a faulty mode (degraded mode), in which an emergency display is shown that contains less information than the standard display, for example after confirmation the failure message by the user or after a specified time has elapsed.
  • the standard display includes the overall display from both displays. Although the emergency display contains less information than the standard display, it still contains all operationally relevant information for safe operation.
  • the method according to the invention ensures that the operationally relevant information is displayed even if one of the displays fails, so that the safety-critical system can continue to be operated despite the failure of a display.
  • the method according to the invention in rail traffic, it is possible to drive the train with a defective display safely to the scheduled destination station. This means that the planned end of a train journey can still be reached despite a defective display.
  • the method according to the invention is preferably used to display a standard representation specified in ERA ERTMS 015560 Version 3.6.
  • the size and division of the display (standard display ) defined in ERA_ERTMS_015560 v360 on a display is then divided according to the invention between two separate displays, which complement each other in the totality of the display on ERA_ERTMS_015560 v360. If one display fails, the information required for operation is displayed on the remaining one functional display, with the possibility to a limited extent to make the entries required to continue driving.
  • the safety-critical system is preferably a signaling device, in particular for rail traffic, for example as specified in ETCS Level 2 Baseline 3 Rel. 2, Subset 026 V3.6.
  • the display is prescribed by the ERA_ERTMS_015560 v360 standard.
  • the standard display of the method according to the invention therefore preferably corresponds to the specifications made in ERA_ERTMS_015560 v360 with regard to the display, but according to the invention is displayed distributed over two screens.
  • “Operationally relevant information” is information without which the safety-critical system may not be operated or which is necessary to meet a desired safety standard. These are usually specified by the operator of the safety-critical system or by standards relating to the safety-critical system. In rail traffic, the operationally relevant information includes the current speed, distance information and status information. The operationally relevant information is defined before the safety-critical system is set up, e.g. by the operator or by a standard relating to the safety-critical system.
  • in fault mode i.e. if the two display devices that complement each other in standard mode one has failed
  • at least two representations are made available (emergency representation with operationally relevant information and one or more additional representation(s) with additional information).
  • the emergency display and the additional display(s) together contain all the information of the standard display.
  • the “additional representation” preferably contains no operationally relevant information.
  • the emergency display corresponds to the first partial display of the standard display during malfunctioning.
  • the additional display that can be reached by scrolling corresponds to the second partial display of the standard display.
  • Further additional displays can also be provided, for example to display further menus of the ERA standard.
  • the safety-critical system is preferably a means of transportation, in particular a rail vehicle or an airplane.
  • the user train driver, pilot
  • the user should be able to switch between the various individual displays when the vehicle is stationary, whereas during the user's concentration should not be unnecessarily taken up by the scrolling function while driving. It is therefore advantageous if, during disruptive operation, it is possible to switch between the emergency display and the additional display (preferably exclusively) as a function of a movement state, in particular the speed, of the means of transportation.
  • the display system is preferably operated in scrolling mode (switching between emergency display and additional display) when the means of transportation is stationary. As soon as the means of transport moves (v > 0km/h), the scrolling mode is deactivated and only the emergency display is displayed so that the driver can concentrate on the route.
  • a control computer in the case of ETCS the EVC
  • DMI driver's cab display
  • the speed information is evaluated and the state of movement (standstill or driving) is determined and the scrolling function is activated or deactivated depending on the state of movement. As soon as the speed is greater than zero, only the emergency display is displayed, which contains all operationally relevant information.
  • one of the two partial displays contains all of the predetermined, operationally relevant information.
  • the complete partial display of standard mode with the operationally relevant information can then be retained as an emergency display or shown on the other display (depending on which display has a fault). It is not necessary to create a separate arrangement of the operationally relevant information for the emergency display in disruptive operation. This ensures that the emergency display on the remaining display still meets the requirements of ERA_ERTMS_015560 v360 and the operator finds the usual view.
  • a failure indicator (7) is preferably activated during fault operation on the defective display, in particular in the display frame, which indicates the failure of the defective display, for example by means of an illuminated display integrated in the frame.
  • the functional capability of the two displays is checked by the monitoring device and, in the event of a fault, the failure display is activated and/or the failure message is displayed.
  • the functionality of the displays is preferably monitored by the associated display device.
  • the monitoring device then includes two monitoring units, each of which is part of one of the display devices.
  • Each display device preferably comprises a monitoring device which monitors the display of the same display device. If a failure or error is detected, the monitoring device informs the other display device.
  • the invention also relates to the use of a display device, which is operated according to a method described above, as a human-machine interface, in particular as a driver's cab display of a rail vehicle.
  • the safety-critical system can continue to be operated safely, while the display system is operated in failure mode. Since only part of the information contained in the standard display is displayed in disruption mode (emergency display), actions for which information that is not contained in the emergency display are not permitted or only permitted under certain conditions in restricted operation. In the case of a train operated under ETCS, the confirmation of the failure report is carried out by the driver.
  • the restricted operation of the safety-critical system with the display system during malfunctioning ensures that the train continues to travel until the end of the planned route. If the driver does not confirm the disruption mode within a certain period of time, the control computer automatically switches to disruption mode. Due to the faulty operation of the display system, an immediate stop with subsequent mandatory service is avoided. Inputs that are not permitted in restricted operation, for example, are e.g. changing train drivers during the journey, since information on the train driver would have to be entered, which does not fall under the category "operationally relevant information" but under "operationally necessary additional information".
  • the safety-critical system is preferably automatically switched to the restricted operating mode as soon as the display system is in malfunction mode.
  • FIG. 1 shows the operating sequence according to the invention in the Figures 2 to 6 shown display system 1 with two display devices for a means of transportation.
  • the display system 1 is operated in standard mode, as in 2 shown.
  • Each display device comprises a display 2, 3.
  • the display system When the display system is functioning correctly, it is operated in standard mode, in which a standard representation is shown on the displays 2, 3, the standard representation being divided into two sub-displays and one of the two sub-displays on one display is shown.
  • the displays 2, 3 are divided into different areas 4, 4' , to which specific information is assigned, for example within the framework of a standard.
  • the areas 4, 4' are only shown here as an example.
  • the display system is, for example, divided into: monitored distance information while the braking curve is running, speed information, additional information, planning of predictive events, monitoring of technical systems and driver inputs.
  • the operationally relevant information in the case of a train, e.g. distance information and speed
  • operationally required additional information e.g. input options for the train driver, planning of future events
  • the functionality of the two displays 2, 3 is monitored by a monitoring device (not shown). If the monitoring device detects that the left display 2 has failed, a failure message 5 is displayed in the still functioning right display 3 ( 3 ). If the failure message is confirmed, the display system 1 is put into malfunction mode and the operationally relevant information (which was previously shown on the left display 2) is shown in an emergency on the still functioning display 3, as in 4 shown. If there is no confirmation of the failure message, the failed display 2 is switched off and the display system 1 is also put into malfunction mode after a predetermined period of time has elapsed. In addition, in the case of the display device 1 with the still functioning display 3, a malfunction display 6 (e.g.
  • an on the display ( 4 , 5 ) Superimposed luminous field) are activated so that the user immediately recognizes that the display system 1 is in malfunction mode.
  • the defective display 2 can be marked as defective by activating a failure indicator 7 (eg a red LED or icon).
  • a scrolling function dependent on the state of motion can be provided. This will determines the state of movement (speed and/or direction) and activates or deactivates the scrolling function according to the state of movement.
  • 5 and 6 show the display system 1 with an activated scrolling function, where in figure 5 the emergency report, which contains all operationally relevant information, and 6 an additional display with further information is shown.
  • a scrolling function 8, 8' is provided, with which it is possible to switch to the other display.
  • the scrolling function 8, 8' can be activated in the display 3 ( figure 5 ) or in the display frame 9 ( 6 ) be arranged.
  • the scrolling function is preferably deactivated as soon as the speed is greater than zero, so that only the emergency display is visible on the functioning display 3 .
  • a display fails, according to the invention, the display system is put into malfunction mode and the safety-critical system can continue to be operated in a restricted mode.
  • An emergency display with all operationally relevant information is shown on the working display. Due to the emergency display, which is reduced compared to the standard display, space-saving displays can be used without losing operationally relevant information.
  • the method according to the invention therefore allows safe operation of a safety-critical system despite the failure of a display of the display system.

Landscapes

  • Engineering & Computer Science (AREA)
  • Mechanical Engineering (AREA)
  • Health & Medical Sciences (AREA)
  • Biomedical Technology (AREA)
  • General Health & Medical Sciences (AREA)
  • Electric Propulsion And Braking For Vehicles (AREA)
  • Alarm Systems (AREA)
  • Digital Computer Display Output (AREA)
  • Train Traffic Observation, Control, And Security (AREA)

Description

    Hintergrund der Erfindung
  • Die Erfindung betrifft ein Verfahren zum Betrieb eines Anzeigesystems zur sicheren Anzeige von vorgegebenen betrieblich relevanten Informationen innerhalb eines sicherheitskritischen Systems, wobei das Anzeigesystem eine erste Anzeigeeinrichtungen mit einem ersten Display und ein zweite Anzeigeeinrichtung mit einem zweiten Display, sowie eine Überwachungseinrichtung (vorzugsweise in jedem Display), zur Überwachung der korrekten Funktion der Displays umfasst.
  • Ein derartiges Verfahren ist beispielsweise bekannt aus [1].
  • Sicherheitskritische Systeme weisen in der Regel eine Mensch-Maschine-Schnittstelle (Man Machine Interface = MMI) auf. Eine solche Mensch-Maschine-Schnittstelle ist ein Anzeigesystem auf dem für den Betrieb relevante Informationen und gegebenenfalls weitere Informationen in vorgeschriebener Weise dargestellt werden, bspw. die Führerstandsanzeige auf dem Triebfahrzeug eines Zuges.
  • Das Anzeigesystem umfasst ein Display, das in verschiedene Bereiche aufgeteilt ist, wobei jeder Bereich dazu vorgesehen ist, eine Information einer bestimmten Informationskategorie zu zeigen. Eine derartige Anzeige ist bekannt aus [2].
  • Um die Verfügbarkeit des Anzeigesystems zu erhöhen, ist es bekannt, zwei redundante Displays zu verwenden, zwischen denen der Fahrzeugführer manuell umschalten kann [1]. Für diese Anordnung wird jedoch viel Platz benötigt, da zwei vollwertige Funktionseinheiten untergebracht werden müssen.
  • Der Artikel "Das neue Mensch-Maschine-Interface der Lokomotive BR 185" von Werner Geier in der Eisenbahn-Revue, Ausgabe 9/1999, offenbart ab Seite 372 ein Redundanzkonzept, bei dem das Diagnosedisplay Informationen des MMI im Fehlerfall anzeigt.
    • Aufgabe der Erfindung
  • Es ist daher Aufgabe der Erfindung, ein Verfahren zum Betrieb eines Anzeigesystems vorzuschlagen, mit dem die Verfügbarkeit des sicherheitskritischen Systems erhöht wird.
    • Beschreibung der Erfindung
  • Diese Aufgabe wird erfindungsgemäß durch das Verfahren des Anspruchs 1 gelöst. Dabei wird in einem Standardbetrieb eine vorgegebene Standarddarstellung, welche sämtliche vorgegebenen betrieblich relevanten Informationen enthält, in zwei Teilanzeigen aufgeteilt, wobei die erste Teilanzeige auf dem ersten Display und die zweite Teilanzeige auf dem zweiten Display dargestellt wird. Die Überwachung der korrekten Funktion der beiden Displays wird durch die Überwachungseinrichtung durchgeführt. Vorzugsweise ist die Überwachungseinrichtung in die Displays integriert, vorzugsweise jeweils eine Überwachungseinheit pro Anzeigeeinrichtung. Im Falle einer von der Überwachungseinrichtung detektierten Störung eines der Displays wird eine bestätigbare Ausfallmeldung auf dem funktionierenden (nicht gestörten) Display angezeigt, und das Anzeigesystem wird in einen Störbetrieb (Degraded Mode) versetzt, in welchem eine Notdarstellung gezeigt wird, die weniger Informationen enthält als die Standarddarstellung, beispielsweise nach Bestätigung der Ausfallmeldung durch den Anwender oder nach Ablauf einer festgelegten Zeit.
  • Die Standarddarstellung umfasst die Gesamtdarstellung aus beiden Displays. Die Notdarstellung enthält zwar weniger Informationen als die Standarddarstellung, aber noch immer alle betrieblich relevanten Informationen zum sicheren Betrieb.
  • Mit dem erfindungsgemäßen Verfahren werden zwar zwei Anzeigeeinrichtungen mit jeweils einem Display benötigt; aufgrund der Tatsache, dass auf jedem Display nur eine Teilanzeige der Standarddarstellung (Gesamtdarstellung) angezeigt wird, sind die beiden Anzeigeeinrichtungen zusammen jedoch kaum größer als eine gewöhnliche Anzeigeeinrichtung mit nur einem Display. Gleichzeitig wird mit dem erfindungsgemäßen Verfahren sichergestellt, dass auch bei Ausfall eines der Displays die betrieblich relevanten Informationen angezeigt werden, so dass das sicherheitskritische System trotz Ausfall eines Displays weiter betrieben werden kann. Bei Einsatz des erfindungsgemäßen Verfahrens im Bahnverkehr wird es ermöglicht, den Zug mit einem defekten Display sicher zum fahrplanmäßigen Zielbahnhof zu fahren. D.h. das geplante Ende einer Zugfahrt kann trotz eines defekten Displays noch erreicht werden.
  • Das erfindungsgemäße Verfahren kommt vorzugsweise zum Einsatz zur Anzeige einer in ERA ERTMS 015560 Version 3.6 vorgegebenen Standarddarstellung.
  • Die in ERA_ERTMS_015560 v360 definierte Größe und Aufteilung der Anzeige (Standarddarstellung) auf einem Display wird dann erfindungsgemäß auf zwei getrennte Displays verteilt, welche sich in der Gesamtheit der Anzeige wieder auf ERA_ERTMS_015560 v360 ergänzen. Bei Ausfall eines Displays werden die betrieblich erforderlichen Informationen auf dem verbleibenden funktionalen Display dargestellt, mit der Möglichkeit in eingeschränktem Umfang, die für die Weiterfahrt erforderlichen Eingaben zu machen.
  • Bei dem sicherheitskritischen System handelt es sich vorzugsweise um eine Signaleinrichtung, insbesondere für den Schienenverkehr, beispielsweise nach Vorgabe in ETCS Level 2 Baseline 3 Rel. 2, Subset 026 V3.6. In ETCS Level 2 Baseline 3 Rel. 2, Subset 026 V3.6 wird die Displaydarstellung durch die Norm ERA_ERTMS_015560 v360 vorgeschrieben. Die Standarddarstellung des erfindungsgemäßen Verfahrens entspricht daher vorzugsweise den in ERA_ERTMS_015560 v360 bzgl. Der Darstellung gemachten Vorgaben, ist aber erfindungsgemäß auf zwei Bildschirme verteilt dargestellt.
  • Unter "betrieblich relevante Informationen" sind Informationen zu verstehen, ohne die das sicherheitskritische System nicht betrieben werden darf oder die notwendig sind, um einen gewünschten Sicherheitsstandard zu erfüllen. Diese werden in der Regel vom Betreiber des sicherheitskritischen Systems oder durch Normen betreffend das sicherheitskritische System vorgegeben. Im Bahnverkehr beinhalten die betrieblich relevanten Informationen unter anderem die aktuelle Geschwindigkeit, Entfernungsinformationen und Status-Informationen. Die betrieblich relevanten Informationen werden vor Einrichtung des sicherheitskritischen Systems festgelegt, bspw. durch den Betreiber oder auch durch eine das sicherheitskritische System betreffende Norm..
  • In der im Störbetrieb verwendeten Notdarstellung werden mit dem funktionierenden Display sämtliche betrieblich relevanten Informationen angezeigt. In der Notdarstellung sind betrieblich nicht relevante Informationen zumindest teilweise weggelassen, so dass die betrieblich relevanten Informationen auf dem einzelnen funktionsfähigen Display übersichtlich dargestellt werden können. Alle zuvor festgelegten betrieblich relevanten Informationen sind im Störbetrieb in einer einzigen Notdarstellung konzentriert und daher zu jeder Zeit verfügbar.
  • Bei einer besonders bevorzugten Variante kann im Störbetrieb (also wenn von den beiden Anzeigeeinrichtungen, die sich im Standardbetrieb ergänzen, eine ausgefallen ist) auf der Anzeigeeinrichtung mit dem funktionierendem Display zwischen der Notdarstellung, in der sämtliche betrieblich relevante Informationen angezeigt werden, und einer gegenüber der Standarddarstellung reduzierten Zusatzdarstellung umgeschaltet werden, wobei "gegenüber der Standarddarstellung reduziert" bedeutet, dass weniger Informationen dargestellt werden als in der Standarddarstellung. Bei dieser Variante werden also mindestens zwei Darstellungen zur Verfügung gestellt (Notdarstellung mit den betrieblich relevanten Informationen und eine oder mehrere Zusatzdarstellung(en) mit zusätzlichen Informationen). Vorzugsweise enthalten die Notdarstellung und die Zusatzdarstellung(en) zusammen sämtliche Informationen der Standarddarstellung. In der "Zusatzdarstellung" sind vorzugsweise keine betrieblich relevanten Informationen enthalten. Auf diese Weise können im Störbetrieb verschiedene betrieblich relevante Informationen übersichtliche dargestellt werden und es können durch "Blättern" zwischen der Notdarstellung und der Zusatzdarstellung, zusätzliche Informationen abgerufen und Eingaben getätigt werden. Das Umschalten zwischen den verschiedenen Darstellungen im Störbetrieb kann mittels einer virtuellen Blätterfunktion realisiert werden. Im Störbetrieb entspricht die Notdarstellung erfindungsgemäß der ersten Teilanzeige der Standarddarstellung. Die durch Blättern erreichbare Zusatzdarstellung entspricht der zweiten Teilanzeige der Standarddarstellung. Es können auch weitere Zusatzdarstellungen vorgesehen sein, um z.B. weitere Menüs des ERA Standards anzuzeigen.
  • Um in bestimmten Situationen zu verhindern, dass die Konzentration des Anwenders durch das Blättern zwischen den Darstellungen zu sehr in Anspruch genommen wird, ist es vorteilhaft, wenn die Möglichkeit, von der Notdarstellung zur Zusatzdarstellung zu wechseln, aktivierbar und deaktivierbar ist. Vorzugsweise handelt es sich bei dem sicherheitskritischen System um ein Fortbewegungsmittel, insbesondere ein Schienenfahrzeug oder ein Flugzeug. Der Anwender (Zugführer, Pilot) soll im Stillstand des Fahrzeugs zwischen den verschiedenen Einzeldarstellungen wechseln können, wohingegen während der Fahrt die Konzentration des Anwenders nicht durch die Blätterfunktion unnötig in Anspruch genommen werden soll. Es ist daher von Vorteil, wenn im Störbetrieb das Wechseln zwischen der Notdarstellung und der Zusatzdarstellung (vorzugsweise ausschließlich) in Abhängigkeit eines Bewegungszustands, insbesondere der Geschwindigkeit, des Fortbewegungsmittels ermöglicht wird. Vorzugsweise wird das Anzeigesystem im Blättermodus (Wechsel zwischen Notdarstellung und Zusatzdarstellung) betrieben, wenn das Fortbewegungsmittel steht. Sobald sich das Fortbewegungsmittel bewegt (v > 0km/h), wird der Blättermodus deaktiviert und es wird lediglich die Notdarstellung angezeigt, so dass sich der Fahrzeugführer auf die Strecke konzentrieren kann. Zur Bestimmung des Bewegungszustands des Fortbewegungsmittels kann bspw. ein Steuerungsrechner (im Falle von ETCS der EVC) die Geschwindigkeit des Fortbewegungsmittels erfassen und eine Geschwindigkeitsinformation an die Führerstandsanzeige (DMI) melden. Dort wird die Geschwindigkeitsinformation ausgewertet und der Bewegungszustand (Stillstand oder Fahrt) ermittelt und entsprechend des Bewegungszustands die Blätterfunktion aktiviert oder deaktiviert. Sobald die Geschwindigkeit größer Null ist, wird lediglich die Notdarstellung angezeigt, die sämtliche betrieblich relevante Informationen enthält.
  • Bei einer speziellen Variante enthält im Standardbetrieb eine der beiden Teilanzeigen sämtliche vorgegebenen betrieblich relevanten Informationen. Beim Umschalten auf den Störbetrieb kann dann als Notdarstellung die komplette Teilanzeige des Standardbetriebs mit den betrieblich relevanten Informationen beibehalten werden bzw. auf dem anderen Display angezeigt werden (je nachdem welches Display eine Störung aufweist). Es ist nicht notwendig, eine gesonderte Anordnung der betrieblich relevanten Information für die Notdarstellung im Störbetrieb zu erstellen. Somit ist sichergestellt, dass die Notdarstellung auf dem verbleibenden Display immer noch den Vorgaben nach ERA_ERTMS_015560 v360 entspricht und der Bediener die gewohnte Ansicht vorfindet.
  • Vorzugsweise wird im Störbetrieb am defekten Display, insbesondere im Displayrahmen, eine Ausfallanzeige (7) aktiviert, die den Ausfall des defekten Displays angezeigt, bspw. mittels einer im Rahmen integrierten Leuchtanzeige.
  • Bei einer besonders bevorzugten Variante wird die Funktionsfähigkeit der beiden Displays mittels der Überwachungseinrichtung überprüft und im Falle einer Störung das Aktivieren der Ausfallanzeige und/oder das Anzeigen der Ausfallmeldung veranlasst.
  • Die Überwachung der Funktionsfähigkeit der Displays erfolgt dabei vorzugsweise durch die zugehörige Anzeigeeinrichtung. Die Überwachungseinrichtung umfasst dann also zwei Überwachungseinheiten, die jeweils Teil einer der Anzeigeeinrichtungen sind. Vorzugsweise umfasst jede Anzeigeeinrichtung eine Überwachungseinrichtung, die das Display derselben Anzeigeeinrichtung überwacht. Im Falle eines festgestellten Ausfalls oder Fehlers informiert die Überwachungseinrichtung die andere Anzeigeeinrichtung.
  • Die Erfindung betrifft auch die Verwendung einer Anzeigeeinrichtung, die nach einem zuvor beschriebenen Verfahren betrieben wird, als Mensch-Maschine-Schnittstellen, insbesondere als Führerstandsanzeige eines Schienenfahrzeugs.
  • Darüber hinaus betrifft die Erfindung ein Verfahren gemäß Anspruch 12 zum Betrieb eines sicherheitskritischen Systems mit einem Anzeigesystem umfassend eine erste Anzeigeeinrichtung mit einem ersten Display, ein zweite Anzeigeeinrichtung mit einem zweiten Display und eine Überwachungseinrichtung zur Überwachung der korrekten Funktion der Displays. Erfindungsgemäß wird bei Ausfall eines der Displays des Anzeigesystems:
    • mittels des zuvor beschriebenen Verfahrens ein Störbetrieb (Degraded Mode) des Anzeigesystems aktiviert, der sicherstellt, dass alle betrieblich relevanten Informationen weiterhin dargestellt werden können; und
    • nachdem der Störbetrieb des Anzeigesystems aktiviert wurde, das sicherheitskritische System in einen eingeschränkten Betriebsmodus versetzt.
  • Im eingeschränkten Betrieb kann das sicherheitskritische System weiterhin sicher betrieben werden, das Anzeigesystem wird dabei im Störmodus betrieben. Da im Störmodus nur ein Teil der in der Standarddarstellung enthaltenen Informationen angezeigt werden (Notdarstellung), sind im eingeschränkten Betrieb Handlungen, für die Informationen, die nicht in der Notdarstellung enthalten sind, nicht oder nur unter bestimmten Bedingungen erlaubt. Im Falle eines unter ETCS betriebenen Zugs wird die Bestätigung der Ausfallmeldung vom Triebfahrzeugführer durchgeführt. Durch den eingeschränkten Betrieb des sicherheitskritischen Systems mit dem Anzeigesystem im Störbetrieb wird die Weiterfahrt des Zuges bis zum Ende der geplanten Strecke sichergestellt. Sollte die Bestätigung des Störbetriebes durch den Triebfahrzeugführer nicht innerhalb einer bestimmten Zeit erfolgen, schaltet der Steuerungsrechner automatisch in der Störbetrieb. Durch den Störbetrieb des Anzeigesystems wird also ein sofortiger Halt mit anschließendem zwingenden Service vermieden. Eingaben, die im eingeschränkten Betrieb beispielsweise nicht erlaubt sind, sind z.B. Zugfahrerwechsel während der Fahrt, da Angaben zum Lokführer eingegeben werden müssten, die jedoch nicht unter die Kategorie "betrieblich relevante Informationen" sondern unter "betrieblich notwendige Zusatzinformationen" fallen.
  • Vorzugsweise wird das sicherheitskritische System automatisch in den eingeschränkten Betriebsmodus versetzt, sobald sich das Anzeigesystem im Störbetrieb befindet.
  • Weitere Vorteile der Erfindung ergeben sich aus der Beschreibung und der Zeichnung. Ebenso können die vorstehend genannten und die noch weiter ausgeführten Merkmale erfindungsgemäß jeweils einzeln für sich oder zu mehreren in beliebigen Kombinationen Verwendung finden. Die gezeigten und beschriebenen Ausführungsformen sind nicht als abschließende Aufzählung zu verstehen, sondern haben vielmehr beispielhaften Charakter für die Schilderung der Erfindung, die durch die Ansprüche definiert wird.
    • Detaillierte Beschreibung der Erfindung und Zeichnung
    • Fig.1
    zeigt ein Ablaufdiagramm zum Betrieb des erfindungsgemäßen Anzeigesystems zur Verwendung mit einem Fortbewegungsmittel.
    Fig. 2
    zeigt ein Anzeigesystem mit zwei Anzeigeeinrichtungen im Standardbetrieb.
    Fig. 3
    zeigt das Anzeigesystems aus Fig. 2, bei dem ein Display ausgefallen ist.
    Fig. 4
    zeigt das Anzeigesystems aus Fig. 2 im Störbetrieb mit Notdarstellung.
    Fig. 5
    zeigt das Anzeigesystems aus Fig. 2 im Störbetrieb mit Notdarstellung und aktivierter Blätterfunktion.
    Fig. 6
    zeigt das Anzeigesystems aus Fig. 2 im Störbetrieb mit Zusatzdarstellung und aktivierter Blätterfunktion.
  • Fig. 1 zeigt den erfindungsgemäßen Betriebsablauf eines in den Fig. 2 bis 6 gezeigten Anzeigesystems 1 mit zwei Anzeigeeinrichtungen für ein Fortbewegungsmittel.
  • Zunächst wird das Anzeigesystem 1 im Standardbetrieb betrieben, wie in Fig. 2 gezeigt. Jede Anzeigevorrichtung umfasst ein Display 2, 3. Wenn das Anzeigesystem korrekt funktioniert, wird es im Standardbetrieb betrieben, in dem eine Standarddarstellung auf den Displays 2, 3 dargestellt wird, wobei die Standarddarstellung in zwei Teilanzeigen aufgeteilt wird und jeweils eine der beiden Teilanzeigen auf einem Display dargestellt wird. Die Displays 2, 3 sind in verschiedene Bereiche 4, 4' eingeteilt, denen eine bestimmte Information zugewiesen ist, bspw. im Rahmen einer Norm. Die Bereiche 4, 4' sind hier nur beispielhaft dargestellt. Bei einer Führerstandsanzeige eines Zuges ist das Anzeigesystem bspw. gegliedert in: überwachte Entfernungsinformation bei laufender Bremskurve, Geschwindigkeitsinformationen, zusätzliche Informationen, Planung vorausschauender Ereignisse, Überwachung technischer Systeme und Triebfahrzeugführer-Eingaben. Im vorliegenden Beispiel sollen in den Feldern 4 auf dem linken Display 2 die betrieblich relevanten Informationen (im Falle eines Zuges z.B. Entfernungsinformation und Geschwindigkeit) und in den Feldern 4' auf dem rechten Display betrieblich benötigte Zusatzinformationen (z.B. Eingabemöglichkeiten für den Zugführer, Planung zukünftiger Ereignisse usw.) angezeigt werden.
  • Die Funktionstüchtigkeit der beiden Displays 2, 3 wird mittels einer Überwachungseinrichtung (nicht gezeigt) überwacht. Detektiert die Überwachungseinrichtung, dass das das linke Display 2 ausgefallen ist, wird im noch funktionierenden rechten Display 3 eine Ausfallmeldung 5 angezeigt ( Fig. 3 ). Wird die Ausfallmeldung bestätigt, wird das Anzeigesystem 1 in einen Störbetrieb versetzt und auf dem noch funktionierenden Display 3 werden die betrieblich relevanten Informationen (die bislang auf dem linken Display 2 angezeigt wurden) in einer Notdarstellung dargestellt, wie in Fig. 4 gezeigt. Erfolgt keine Bestätigung der Ausfallmeldung wird das ausgefallene Display 2 abgeschaltet und das Anzeigesystem 1 nach Ablauf einer vorgegebenen Zeitspanne ebenfalls in den Störbetrieb versetzt. Zusätzlich kann bei der Anzeigeeinrichtung 1 mit dem noch funktionierenden Display 3 eine Störbetriebsanzeige 6 (z.B. ein auf dem Display (Fig. 4, 5) eingeblendetes Leuchtfeld) aktiviert werden, so dass der Verwender sofort erkennt, dass sich das Anzeigesystem 1 im Störbetrieb befindet. Das defekte Display 2 kann durch Aktivierung einer Ausfallanzeige 7 (z.B. eine rote LED od. Icon) als defekt gekennzeichnet werden.
  • Insbesondere wenn das erfindungsgemäße Verfahren für den Betrieb eines Fortbewegungsmittels (z.B. eines Zugs) eingesetzt werden soll, kann eine bewegungszustandsabhängige Blätterfunktion vorgesehen sein. Dazu wird der Bewegungszustand (Geschwindigkeit und/oder Richtung) ermittelt und entsprechend des Bewegungszustands die Blätterfunktion aktiviert oder deaktiviert. Fig. 5 und Fig. 6 zeigen das Anzeigesystem 1 mit einer aktivierten Blätterfunktion, wobei in Fig. 5 die Notdarstellung, welche sämtliche betrieblich relevanten Informationen enthält, und Fig. 6 eine Zusatzdarstellung mit weiteren Informationen gezeigt ist. Zum Wechseln zwischen der Notdarstellung und der Zusatzdarstellung ist eine Blätterfunktion 8, 8' vorgesehen, mit dem zu der jeweils anderen Darstellung umgeschaltet werden kann. Die Blätterfunktion 8, 8' kann im Display 3 (Fig. 5) oder im Displayrahmen 9 (Fig. 6) angeordnet sein. Vorzugsweise wird sobald die Geschwindigkeit größer Null wird, die Blätterfunktion deaktiviert, so dass nur noch die Notdarstellung auf dem funktionierenden Display 3 sichtbar ist.
  • Bei einem Ausfall eines Displays wird erfindungsgemäß das Anzeigesystem in einen Störbetrieb versetzt und das sicherheitskritische System kann in einem eingeschränkten Betrieb weiter betrieben werden. Dabei wird eine Notdarstellung mit allen betrieblich relevanten Informationen auf dem funktionierendem Display angezeigt. Durch die gegenüber der Standarddarstellung reduzierte Notdarstellung können platzsparende Displays verwendet werden, ohne betrieblich relevante Informationen zu verlieren. Das erfindungsgemäße Verfahren erlaubt daher einen sicheren Betrieb eines sicherheitskritischen Systems trotz Ausfall eines Displays des Anzeigesystems.
    • Bezugszeichenliste
    • 1
    Anzeigesystem mit zwei Anzeigeeinrichtungen
    2
    erstes Display der ersten Anzeigeeinrichtung
    3
    zweites Display der zweiten Anzeigeeinrichtung
    4
    Informationsfelder für betrieblich relevante Informationen
    4'
    Informationsfelder für betrieblich benötigte Zusatzinformationen
    5
    Ausfallmeldung (bestätigbare Meldung, wenn festgestellt wird, dass eines der Displays nicht korrekt funktioniert)
    6
    Störbetriebsanzeige (Meldung an Anzeigeeinrichtung mit funktionierendem Display, dass sich das Anzeigesystem im Störbetrieb befindet)
    7
    Ausfallanzeige (Anzeige an den Displays, die aktiviert ist, wenn festgestellt wird, dass das entsprechende Display defekt ist und/oder wenn das defekte Display aufgrund der Aktivierung des Störbetriebs abgeschaltet wird)
    8, 8'
    Blätterbutton (Taste/Touch-Screen-Element zum Umschalten zwischen Notdarstellung und Zusatzdarstellung)
    9
    Rahmen
    Literatu rl iste
    1. [1] http://www.deuta.de/mft-r.aspx
    2. [2] https://de.wikipedia.org/wiki/European_Train_Control_System

Claims (13)

  1. Verfahren zum Betrieb eines Anzeigesystems (1) zum sicheren Anzeigen von vorgegebenen betrieblich relevanten Informationen innerhalb eines sicherheitskritischen Systems, insbesondere einer Signaleinrichtung für Fahrzeuge, wobei das Anzeigesystem (1) eine erste Anzeigeeinrichtung mit einem ersten Display (2) und eine zweite Anzeigeeinrichtung mit einem zweiten Display (3) sowie eine Überwachungseinrichtung zur Überwachung der korrekten Funktion der Displays (2, 3) umfasst,
    wobei in einem Standardbetrieb eine vorgegebene Standarddarstellung, welche sämtliche vorgegebenen betrieblich relevanten Informationen enthält, in zwei Teilanzeigen aufgeteilt ist, wobei die erste Teilanzeige auf dem ersten Display (2) und die zweite Teilanzeige auf dem zweiten Display (3) dargestellt wird;
    wobei die Überwachung der korrekten Funktion der beiden Displays (2, 3) durch die Überwachungseinrichtung durchgeführt wird; und wobei im Falle einer festgestellten Störung eines der Displays (2) auf dem funktionierenden Display (3) eine bestätigbare Ausfallmeldung (5) angezeigt wird, und das Anzeigesystem (1) in einen Störbetrieb versetzt wird, in welchem eine Notdarstellung gezeigt wird,
    dadurch gekennzeichnet, dass die Notdarstellung weniger Informationen enthält als die Standarddarstellung, wobei die Notdarstellung der ersten Teilanzeige der Standarddarstellung entspricht.
  2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass in der Notdarstellung auf dem funktionierenden Display (3) sämtliche betrieblich relevanten Informationen angezeigt werden.
  3. Verfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass im Störbetrieb auf der Anzeigeeinrichtung mit dem funktionierenden Display (3) zwischen der Notdarstellung, in der sämtliche betrieblich relevanten Informationen angezeigt werden, und einer gegenüber der Standarddarstellung reduzierten Zusatzdarstellung umgeschaltet werden kann.
  4. Verfahren nach Anspruch 3, dadurch gekennzeichnet, dass die Möglichkeit, von der Notdarstellung zur Zusatzdarstellung zu wechseln, aktivierbar und deaktivierbar ist.
  5. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass es sich bei dem sicherheitskritischen System um ein Fortbewegungsmittel, insbesondere ein Schienenfahrzeug oder ein Flugzeug handelt.
  6. Verfahren nach Anspruch 4 und 5, dadurch gekennzeichnet, dass im Störbetrieb das Wechseln zwischen der Notdarstellung und der Zusatzdarstellung in Abhängigkeit, vorzugsweise ausschließlich in Abhängigkeit, eines Bewegungszustands, insbesondere der Geschwindigkeit, des Fortbewegungsmittels ermöglicht wird.
  7. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass im Standardbetrieb eine der beiden Teilanzeigen sämtliche vorgegebenen betrieblich relevanten Informationen enthält.
  8. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass im Störbetrieb am defekten Display (3), insbesondere im Displayrahmen (9), eine Ausfallanzeige (7) aktiviert wird.
  9. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass die Funktionsfähigkeit der beiden Displays (2, 3) mittels der Überwachungseinrichtung überprüft wird und im Falle einer Störung die Überwachungseinrichtung das Aktivieren der Ausfallanzeige (7) und/oder das Anzeigen der Ausfallmeldung (5) veranlasst.
  10. Verfahren nach Anspruch 9, dadurch gekennzeichnet, dass die Überwachung der Funktionsfähigkeit der Displays (2, 3) durch die zugehörige Anzeigeeinrichtung erfolgt.
  11. Verwendung eines Anzeigesystems (1), das nach einem Verfahren gemäß einem der vorhergehenden Ansprüche betrieben wird, als Mensch-Maschine-Schnittstellen, insbesondere als Führerstandsanzeige eines Schienenfahrzeugs.
  12. Verfahren zum Betrieb eines sicherheitskritischen Systems mit einem Anzeigesystem (1) umfassend eine erste Anzeigeeinrichtung mit einem ersten Display (2), ein zweite Anzeigeeinrichtung mit einem zweiten Display (3), und mit einer Überwachungseinrichtung zur Überwachung der korrekten Funktion der Displays (2, 3),
    dadurch gekennzeichnet,
    dass bei Ausfall eines der Displays des Anzeigesystems:
    • mittels eines Verfahrens nach einem der vorhergehenden Ansprüche ein Störbetrieb des Anzeigesystems aktiviert wird, der sicherstellt, dass alle betrieblich relevanten Informationen weiterhin dargestellt werden können;
    • nachdem der Störbetrieb des Anzeigesystems aktiviert wurde, das sicherheitskritische System in einen eingeschränkten Betriebsmodus versetzt wird.
  13. Verfahren nach Anspruch 12, dadurch gekennzeichnet, dass das sicherheitskritische System automatisch in den eingeschränkten Betriebsmodus versetzt wird, sobald sich das Anzeigesystem im Störbetrieb befindet.
EP16203135.5A 2016-12-09 2016-12-09 Verfahren zum betrieb eines anzeigesystems und verfahren zum betrieb eines sicherheitskritischen systems Active EP3333041B1 (de)

Priority Applications (2)

Application Number Priority Date Filing Date Title
EP16203135.5A EP3333041B1 (de) 2016-12-09 2016-12-09 Verfahren zum betrieb eines anzeigesystems und verfahren zum betrieb eines sicherheitskritischen systems
ES16203135T ES2961528T3 (es) 2016-12-09 2016-12-09 Procedimiento para el funcionamiento de un sistema de visualización y procedimiento para el funcionamiento de un sistema crítico para la seguridad

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
EP16203135.5A EP3333041B1 (de) 2016-12-09 2016-12-09 Verfahren zum betrieb eines anzeigesystems und verfahren zum betrieb eines sicherheitskritischen systems

Publications (2)

Publication Number Publication Date
EP3333041A1 EP3333041A1 (de) 2018-06-13
EP3333041B1 true EP3333041B1 (de) 2023-08-23

Family

ID=57796096

Family Applications (1)

Application Number Title Priority Date Filing Date
EP16203135.5A Active EP3333041B1 (de) 2016-12-09 2016-12-09 Verfahren zum betrieb eines anzeigesystems und verfahren zum betrieb eines sicherheitskritischen systems

Country Status (2)

Country Link
EP (1) EP3333041B1 (de)
ES (1) ES2961528T3 (de)

Family Cites Families (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE102008038618A1 (de) * 2008-08-12 2010-02-18 Bombardier Transportation Gmbh Anzeige von Störungsmeldungen bei spurgebundenen Fahrzeugen, die eine Handlung des Fahrzeugführers erfordern
US20140088802A1 (en) * 2012-09-27 2014-03-27 Siemens Industry, Inc. Railway train control system having multipurpose display

Also Published As

Publication number Publication date
ES2961528T3 (es) 2024-03-12
EP3333041A1 (de) 2018-06-13

Similar Documents

Publication Publication Date Title
EP0681715B1 (de) Steuerung und regelung für eine durch einen elektromechanischen motor angetriebene tür
EP2493802B1 (de) Sicherheitskreis in einer aufzugsanlage
EP2766235B1 (de) Fahrzeug und verfahren zum steuern eines fahrzeugs
EP3584140B1 (de) Verfahren und vorrichtung für die steuerung eines sicherheitsrelevanten vorganges, sowie fahrzeug
DE3614979C3 (de) Sicherheitssystem für eine Druckmaschine
EP2146881B1 (de) Elektromechanisches bremssystem mit einer ausfallsicheren energieversorgung und verfahren zur ausfallsicheren energieversorgung in einem elektromechanischen bremssystem für fahrzeuge
DE3878569T2 (de) Bremssicherungüberwachungssystem.
DE102013020177A1 (de) Kraftfahrzeug
EP3377788B1 (de) Verfahren und überwachungsvorrichtung zum betreiben eines kraftfahrzeugs
DE102006062300A1 (de) Schaltung zur Steuerung eines Beschleunigungs-, Brems- und Lenksystems eines Fahrzeugs
EP3741635B1 (de) Bremssteuersystem
DE112014003026B4 (de) Steuergerät
DE102005046373B4 (de) Kommunikationssystem für ein technisches Gerät, insbesondere für ein Kraftfahrzeug
DE112017005108T5 (de) Lenksystem
DE2701925C3 (de) Fahrzeugsteuerung mit zwei Bordrechnern
DE102006039671A1 (de) Modulares elektronisches Flugsteuerungssystem
EP3333041B1 (de) Verfahren zum betrieb eines anzeigesystems und verfahren zum betrieb eines sicherheitskritischen systems
EP2559602B1 (de) Verfahren und Vorrichtung zum Sperren der Traktion eines stillstehenden Schienenfahrzeugs
DE10325650A1 (de) Bremsvorrichtung und -verfahren für ein Fahrzeug
WO2005021347A1 (de) Notbremseinrichtung und bremssystem für ein schienenfahrzeug sowie verfahren zum sicherstellen einer notbremsfunktion bei schienenfahrzeugen
DE102008012953B4 (de) Überprüfung von Anzeigesystemen in Schienenfahrzeugen
DE102022111823A1 (de) Bremsvorrichtung für Fahrzeug und Steuerverfahren dafür
DE19524992C1 (de) Regelung eines Wellentriebwerks mit einem Mikrosteuergerät
EP2804798B1 (de) Verfahren zum steuern, sichern und/oder überwachen des schienengebundenen verkehrs sowie betriebsleittechnisches system
EP3612429B1 (de) Verfahren zum betreiben einer gleisanlage sowie stellwerk für eine gleisanlage

Legal Events

Date Code Title Description
PUAI Public reference made under article 153(3) epc to a published international application that has entered the european phase

Free format text: ORIGINAL CODE: 0009012

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: THE APPLICATION HAS BEEN PUBLISHED

AK Designated contracting states

Kind code of ref document: A1

Designated state(s): AL AT BE BG CH CY CZ DE DK EE ES FI FR GB GR HR HU IE IS IT LI LT LU LV MC MK MT NL NO PL PT RO RS SE SI SK SM TR

AX Request for extension of the european patent

Extension state: BA ME

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: REQUEST FOR EXAMINATION WAS MADE

17P Request for examination filed

Effective date: 20190225

RBV Designated contracting states (corrected)

Designated state(s): AL AT BE BG CH CY CZ DE DK EE ES FI FR GB GR HR HU IE IS IT LI LT LU LV MC MK MT NL NO PL PT RO RS SE SI SK SM TR

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: EXAMINATION IS IN PROGRESS

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: EXAMINATION IS IN PROGRESS

17Q First examination report despatched

Effective date: 20210111

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: EXAMINATION IS IN PROGRESS

GRAP Despatch of communication of intention to grant a patent

Free format text: ORIGINAL CODE: EPIDOSNIGR1

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: GRANT OF PATENT IS INTENDED

RAP1 Party data changed (applicant data changed or rights of an application transferred)

Owner name: GTS DEUTSCHLAND GMBH

INTG Intention to grant announced

Effective date: 20230317

GRAS Grant fee paid

Free format text: ORIGINAL CODE: EPIDOSNIGR3

GRAA (expected) grant

Free format text: ORIGINAL CODE: 0009210

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: THE PATENT HAS BEEN GRANTED

AK Designated contracting states

Kind code of ref document: B1

Designated state(s): AL AT BE BG CH CY CZ DE DK EE ES FI FR GB GR HR HU IE IS IT LI LT LU LV MC MK MT NL NO PL PT RO RS SE SI SK SM TR

REG Reference to a national code

Ref country code: GB

Ref legal event code: FG4D

Free format text: NOT ENGLISH

REG Reference to a national code

Ref country code: CH

Ref legal event code: EP

REG Reference to a national code

Ref country code: IE

Ref legal event code: FG4D

Free format text: LANGUAGE OF EP DOCUMENT: GERMAN

REG Reference to a national code

Ref country code: DE

Ref legal event code: R096

Ref document number: 502016016038

Country of ref document: DE

REG Reference to a national code

Ref country code: LT

Ref legal event code: MG9D

REG Reference to a national code

Ref country code: NL

Ref legal event code: MP

Effective date: 20230823

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: GR

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20231124

PGFP Annual fee paid to national office [announced via postgrant information from national office to epo]

Ref country code: GB

Payment date: 20231123

Year of fee payment: 8

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: IS

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20231223

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: SE

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20230823

Ref country code: RS

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20230823

Ref country code: PT

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20231226

Ref country code: NO

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20231123

Ref country code: NL

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20230823

Ref country code: LV

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20230823

Ref country code: LT

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20230823

Ref country code: IS

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20231223

Ref country code: HR

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20230823

Ref country code: GR

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20231124

Ref country code: FI

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20230823

PGFP Annual fee paid to national office [announced via postgrant information from national office to epo]

Ref country code: IT

Payment date: 20231128

Year of fee payment: 8

Ref country code: FR

Payment date: 20231212

Year of fee payment: 8

Ref country code: DE

Payment date: 20231128

Year of fee payment: 8

Ref country code: CZ

Payment date: 20231129

Year of fee payment: 8

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: PL

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20230823

REG Reference to a national code

Ref country code: ES

Ref legal event code: FG2A

Ref document number: 2961528

Country of ref document: ES

Kind code of ref document: T3

Effective date: 20240312

PGFP Annual fee paid to national office [announced via postgrant information from national office to epo]

Ref country code: ES

Payment date: 20240115

Year of fee payment: 8

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: SM

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20230823

Ref country code: RO

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20230823

Ref country code: EE

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20230823

Ref country code: DK

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20230823

Ref country code: SK

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20230823

PGFP Annual fee paid to national office [announced via postgrant information from national office to epo]

Ref country code: CH

Payment date: 20240101

Year of fee payment: 8

PLBE No opposition filed within time limit

Free format text: ORIGINAL CODE: 0009261

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: NO OPPOSITION FILED WITHIN TIME LIMIT