EP3831692B1

EP3831692B1 - Steuerungssystem für ein verkehrsnetz und verfahren zur vorbereitung und/oder anpassung eines solchen steuerungssystems

Info

Publication number: EP3831692B1
Application number: EP19214093.7A
Authority: EP
Inventors: Albrecht Schroth; Carsten Schneider; Björn Becker; Björn-Olaf Schmidt
Original assignee: Hitachi Rail GTS Deutschland GmbH
Current assignee: Hitachi Rail GTS Deutschland GmbH
Priority date: 2019-12-06
Filing date: 2019-12-06
Publication date: 2025-01-15
Anticipated expiration: 2039-12-06
Also published as: KR20220106772A; EP3831692A1; WO2021110586A1; DK3831692T3; IL293404A; HUE071548T2; FI3831692T3; CA3159709A1; AU2020398331A1; PT3831692T; ES3021416T3; PL3831692T3

Description

Die Erfindung betrifft ein Steuerungssystem für ein Verkehrsnetz, ein Verfahren zur Vorbereitung/Anpassung eines solchen Steuerungssystems sowie die Verwendung des Steuerungssystems und/oder Verfahrens.

Hintergrund der Erfindung:

Steuerungssysteme für Verkehrsnetze werden u.a. verwendet, um Fahrstraßen zu stellen und Signalgebung zu kontrollieren. Dazu werden Kundenspezifikationen, nach denen die Steuerung erfolgen soll, manuell oder mittels Generatoren in Code umgewandelt, der dann im Betrieb ausgeführt wird. Ändert sich die Kundenspezifikation bzw. kommt es zu einer neuen Kunden Akquisition, muss neuer Code erstellt werden. Dieser muss zunächst validiert und verifiziert werden, was jedoch extrem zeitaufwändig ist. Ein solches System ist beispielsweise bekannt aus EP 1 490 253 B1 .
Ein Steuerungssystem für ein Verkehrsnetz, also ein Verkehrssteuerungssystem, steuert die Feldelemente der Verkehrsinfrastruktur, stellt also z. B. Weichen, etc. und sorgt für einen sicheren Verkehr, z.B. Flankenschutz. Die Verkehrssteuerung erfolgt auf einem hohen Sicherheitslevel, vorzugsweise auf SIL-4.
Aus der EP3213974A1 ist ein Verfahren zur Validierung und Verifizierung von Autorisierungen bekannt.
EP 1 490 253 B1 offenbart ein Verfahren zum Erzeugen logischer Steuereinheiten für Bahnhofsanlagen. Es erfolgt eine automatische und redundante Erzeugung der Steuerungs- und Überwachungslogik, welche zur Steuerung und Überwachung von verschiedenen Elementen, wie z. B. Signale, Weichen, Gleisstromkreise und ähnlichem verwendet wird. Hierzu wird eine Datenbank für die Systemkonfiguration und eine Datenbank für einen Zustandsautomaten generiert. Die Datenbank für die Systemkonfiguration enthält dabei bahnhofspezifische Daten bzw. Applikationen. Ausgehend von demselben Stationsplan und derselben Zustandstabelle werden durch zwei möglichst unterschiedliche Generierungsprogramme parallel zwei logische Steuerungseinheiten erzeugt. Diese logischen Steuerungseinheiten basieren auf zwei diversifizierten Binärdateien mit Boolschen Variablen.
Aus dem Stand der Technik ist darüber die Verwendung einer Wissensbasis zur Konfliktlösung in Verkehrsmanagementsystemen zur Steuerung von Schienenfahrzeugen bekannt, z.B. dem ARAMIS System von Thales. Dabei wird die Wissensbasis während des Betriebs ständig aktualisiert, indem als gut befundene Lösungen von im Betrieb bereits gelösten Konflikte bewertet werden und diese Bewertung in der Wissensbasis gespeichert wird, um zukünftige Konflikte besser lösen zu können. Ein Verkehrsmanagementsystem übernimmt die strategische Planung des Verkehrs auf der Fahrplanebene. Dabei können heuristische Methoden eingesetzt werden, da das Verkehrsmanagement auf SIL-0-Ebene arbeitet. Es hat keinen direkten Zugriff auf die Feldelemente, wie z. B. Gleise, Weichen, etc. der Verkehrsinfrastruktur. Das Verkehrsmanagementsystem bedient sich des Steuerungssystems zur Erfüllung seiner Aufgaben. Da derartige Verkehrsmanagementsysteme auf SIL-0 arbeiten, ist die dort bekannte Arbeitsweise nicht für Steuerungssysteme geeignet. Daher eignen sich derartige Systeme nicht als Steuerungssystem.

Aufgabe der Erfindung:

Es ist Aufgabe der Erfindung, die Sicherheit und Effizienz eines Steuerungssystems für ein Verkehrsnetz dahingehend zu verbessern, dass auf häufige Validierung und Verifizierung aufgrund von Änderungen der Kundenspezifikationen verzichtet und trotzdem ein sehr hohes Sicherheitslevel, z. B. von vorzugsweise SIL-4 werden kann.
Diese Aufgabe wird gelöst durch ein Steuerungssystem gemäß Anspruch 1, durch ein Verfahren gemäß Anspruch 11 sowie eine Verwendung gemäß Anspruch 15. Die abhängigen Ansprüche betreffen vorteilhafte Weiterbildungen der Erfindung.

Beschreibung der Erfindung

Das erfindungsgemäße Steuerungssystem für ein Verkehrsnetz weist eine Ausgabeschnittstelle auf, die eingerichtet ist, während einer Betriebsphase Ausgaben an das Verkehrsnetz auszugeben, wobei die Ausgaben Zustände von Elementen des Verkehrsnetzes verändern können. Das Steuerungssystem weist weiter eine Eingabeschnittstelle auf, die eingerichtet ist, während der Betriebsphase Eingaben vom Verkehrsnetz zu empfangen, wobei die Eingaben Zustände von Elementen des Verkehrsnetzes betreffen. Während der Betriebsphase werden Eingaben und Ausgaben vom System verarbeitet. Elemente eines schienengebundenen Verkehrsnetzes, z. B. eines Zugsystems, sind z. B. Feldelemente wie ein Signal, ein Gleis, eine Weiche, ein Bahnübergang, eine Oberleitung, eine Kreuzung oder ein Zug. Außerdem sind sog. Zonen für z. B. Baustellen oder Rangierbetrieb Elemente eines Zugsystems.
Das erfindungsgemäße Steuerungssystem umfasst eine Wissensbasis, die während einer Vorbereitungsphase des Steuerungssystems außerhalb der Betriebsphase des Steuerungssystems aus einer Regelbasis erzeugt wurde. Die Wissensbasis wird in Form von Regeln abgebildet, wobei die Regeln aus Bedingungen, welche Bitschalter (engl. Flags) sowie Eigenschaften (engl. Properties) der oben beschriebenen Elemente (engl. Entities) des schienengebundenen Verkehrsnetzes abfragen, sowie Aktionen (engl. Actions), die auf diesen Elementen ausgeführt werden können, umfassen. Die in der Wissensbasis hinterlegten Daten weisen also eine Datenstruktur auf, die das Tripel Bitschalter, Eigenschaft und Aktion umfasst. Somit werden die Regeln, die beispielsweise in Textform vorliegen können, auf die obigen Speicherstrukturen bestehend aus Bitschaltern, Eigenschaften und Elementen des Verkehrsnetzes abgebildet. Diese Form erlaubt es einem Rechner, die Regeln einfach und effizient zu verarbeiten.
Eine Eigenschaft repräsentiert allgemeine Daten, z. B. mit Integer oder Float als Datentyp. Eine Eigenschaft ist z. B. für ein Signal die Signalfarbe (Aspekt), z. B. "rot", "gelb", "grün". Eine Eigenschaft für eine Weiche ist z. B. die Lage: "Lage links", "Lage rechts". Ein Bitschalter repräsentiert eine binäre Information. Ein Bitschalter ist z. B. für eine Weiche der Verriegelungszustand "ja", "nein". Ein Bitschalter ist z. B. für ein Gleis die Belegung: "ja", "nein". Eine Aktion ist ein ausführbares Kommando. Eine Aktion ist z. B. für eine Weiche die Bewegung "laufe um". Eine Aktion ist z. B. für ein Signal "zeige Aspekt", z. B. zeige Signalbild "grün".
Die Wissensbasis (engl. Knowledge Base) ist eine Datenbank mit strukturiertem, maschinell interpretierbarem Wissen. Das in der Wissensbasis abgelegte Wissen umfasst Regeln (engl. Rules), Abfolgen von Regeln, sog. Flows, sowie nicht an Bedingungen geknüpfte Aktionen - dies entspricht einer Regel ohne Bedingung. Man spricht auch von "entarteten" Regeln. Derartige Aktionen werden immer ausgeführt.
In einer Ausführungsform der Erfindung ist die Wissensbasis gemäß einer Ontologie strukturiert. Eine Ontologie ist eine formal geordnete Darstellung einer Menge von Begrifflichkeiten und der zwischen ihnen bestehenden Beziehungen. Die Ontologie basiert auf Datenmodellen. Hierdurch kann Wissen über das Verkehrssystem in digitalisierter und formaler Form gespeichert und verwendet werden. Die Ontologie enthält Inferenz- und Integritätsregeln, also Regeln zu Schlussfolgerungen und zur Gewährleistung ihrer Gültigkeit. Die Ontologie repräsentiert damit Wissen als ein Netzwerk von Informationen mit logischen Relationen und kann damit komplexe Datenmodelle darstellen.
Ein weiterer Bestandteil des Datenmodells können Abfragen (engl. Queries) sein. Diese ermöglichen den Aufbau von Schleifen, z. B. "foreach <Element> do", sowie Aggregationen, z. B. "all <Elements> are", die im Rahmen von Bedingungen eingesetzt werden können. Aggregationen sind spezielle Anfragen, die in den Bedingungen, welche von den Regeln abgefragt werden, benutzt werden um Bedingungen für eine Menge von Elementen abzufragen.
Während der Betriebsphase ist die Wissensbasis bevorzugt starr, d. h. sie ändert sich nicht. "Starre Wissensbasis" bedeutet, dass die Wissensbasis ausschließlich außerhalb der Betriebsphase, bevorzugt während der Vorbereitungsphase vor einer Betriebsphase oder zwischen verschiedenen Betriebsphasen, erstellt oder verändert wird. "Außerhalb der Betriebsphase" bedeutet, dass sich die Betriebsphase und die Vorbereitungsphase zeitlich nicht überlappen, d. h. sie sind zeitlich disjunkt. Während der Betriebsphase wird die erfindungsgemäße Wissensbasis nicht verändert. Hierdurch kann erreicht werde, dass das Verhalten des Steuerungssystems deterministisch vorhersagbar ist und Sicherheitsanforderungen an ein sicheres System (SIL 4) einfach erfüllt werden können. Das Steuerungssystem ist damit bevorzugt ein Steuerungssystem für ein sicherheitskritisches (also kritisch bzgl. Unfallvermeidung) System, z. B. ein Zugsteuerungssystem oder ein Zugsicherungssystem. Ein Zugsteuerungssystem ist dabei für die aktuelle Verkehrssteuerung zuständig und ein Zugsicherungssystem stellt sicher, dass Züge gesichert werden, also insbesondere nicht zusammenstoßen. Dies kann beispielsweise durch Flankenschutz geschehen.
Ändert sich die Kundenspezifikation oder wird ein neuer Kunde aquiriert kann die Wissensbasis während der Vorbereitungsphase entsprechend modifiziert werden. Am Ablauf der Betriebsphase ändert sich dadurch nichts, d.h. es muss kein neuer Code generiert, validiert und verifiziert werden.
Erfindungsgemäß handelt es sich bei der Wissensbasis um eine Wissensbasis, die während der Vorbereitungsphase aus einer Regelbasis erzeugt wurde. Das Steuerungssystem ist ein regelbasiertes System mit einer Regelbasis, aus der die Wissensbasis generiert wird. Die Regelbasis ist dabei eine formalisierte Beschreibung von Regeln, z. B. in XML und repräsentiert die Kundenspezifikation.
In einer Ausführungsform umfasst das Steuerungssystem eine Zustandsdatenbank. Die Zustandsdatenbank weist als Datenbestand mögliche, insbesondere alle, Zustände (Eigenschaften) der Elemente des Verkehrsnetzes auf.
In einer Ausführungsform sind die Elemente des Verkehrsnetzes einer oder mehreren verschiedenen Domänen zugeordnet. Eine Domäne ist ein Problemfeld oder auch ein Anwendungsgebiet innerhalb des Verkehrsnetzes, ein Zugsystem umfasst z.B. die Domänen: Fahrstraßensteuerung, Signalisierung, Anzeigen (engl. Indications), z. B. für Benutzer, wie z. B. Operatoren oder Kunden. Die Zustandsdatenbank ist bevorzugt für alle Domänen dieselbe, d. h. sie umfasst Zustände aller Elemente aller Domänen.
In einer Ausführungsform weist das Steuerungssystem eine Bedingungsauswertekomponente (engl. condition evaluator) auf, die ausgebildet ist, die Bedingungen für eine oder mehrere, vorzugsweise alle, Domänen des Verkehrsnetzes auszuwerten. Die Bedingungsauswertekomponente überprüft, ob die in den Regeln hinterlegten Bedingungen, die in sogenannten Ausdrücken (engl. expressions) formuliert sind, zutreffen. Ausdrücke sind logische Ausdrücke, die als "wahr" oder "falsch", also "zutreffend" oder "nicht zutreffend" evaluiert werden können. Hierzu werden die aktuellen Zustände, sowie die Eigenschaften der Elemente des Verkehrssystems herangezogen. Diese Auswertung der Bedingungen erfolgt während der Betriebsphase des Steuerungssystems.
Die Bedingungsauswerteeinheit ist generisch für all Domänen. Zustände von Elementen des Verkehrssystems werden, z. B. über eine Zentraleinheit (engl. Govenor - s.u.), empfangen und z. B. im Rahmen eines Flows gegenüber gegebenen Bedingungen ausgewertet. Die Bedingungsauswerteeinheit triggert abhängig vom Ergebnis der Auswertung Aktionen (z. B. innerhalb des Flows), die über die Zentraleinheit als Befehl an das Verkehrsnetz ausgegeben werden und Zustandsänderungen der Elemente des Verkehrsnetzes zur Folge haben können. An die Zentraleinheit zurückgemeldet wird von der Bedingungsauswerteeinheit, ob die Ausführung des Flows erfolgreich war.
Die Bedingungen sind in der Wissensbasis integriert. Sie sind also während der Vorbereitungsphase des Steuerungssystems erzeugt worden und während der Betriebsphase starr. Dies bedeutet, dass sich die Ausdrücke, die in der Bedingungsauswertekomponente ausgewertet werden, während der Betriebsphase nicht ändern. Variabel sind lediglich die aktuellen Zustände der Elemente des Verkehrssystems, die über die Eingabeschnittstelle des Steuerungssystems hereinkommen. Das Ergebnis der Auswertung der Ausdrücke ändert sich damit in Abhängigkeit von den aktuellen Zuständen des Verkehrssystems.
Die Erzeugung der Wissensbasis erfolgt in einer Vorbereitungsphase, die außerhalb, bevorzugt vor, der Betriebsphase des Steuersystems liegt. Außerhalb der Vorbereitungsphase bedeutet, dass sich die Betriebsphase und die Vorbereitungsphase zeitlich nicht überlappen, d. h. sie sind zeitlich disjunkt. Die Vorbereitungsphase dient der Vorbereitung der Betriebsphase. Sie kann vor einer ersten Betriebsphase oder zwischen zwei Betriebsphasen des Steuerungssystems liegen. Stößt die Zentraleinheit während der Erstellung der Wissensbasis in der Vorbereitungsphase auf Fehler, z. B. ein unbekanntes Element, wird der Erstellvorgang abgebrochen und auf den Fehler in der Regelbasis, aus der die Wissensbasis erstellt werden soll, hingewiesen. Somit kann bereits in der Vorbereitungsphase die Korrektheit und somit die Konsistenz des Systems sichergestellt werden. Dies ist insbesondere für sicherheitskritische Systeme (safety-critical systems), z. B. SIL-4 Systeme, relevant. Die gewählte Datenstruktur ist außerdem vorab definiert und limitiert, so dass der Sicherheitsaspekt noch besser gewährleistet werden kann.
In einer Ausführungsform weist das erfindungsgemäße Steuerungssystem mindestens eine Zentraleinheit auf. Die mindestens eine Zentraleinheit ist eingerichtet, über die Eingabeschnittstelle die Eingaben des Verkehrsnetzes zu erhalten und über die Ausgabeschnittstelle die Ausgaben an das Verkehrsnetz auszugeben. Die mindestens eine Zentraleinheit ist weiter dazu eingerichtet, nach Erhalt einer Eingabe den erhaltenen Zustand eines Elements des Verkehrsnetzes zur Verarbeitung weiterzugeben. Bevorzugt wird der erhaltene Zustand des Elements des Verkehrsnetzes an die Bedingungsauswertekomponente zur Verarbeitung weitergegeben. Die Weitergabe kann beispielsweise über die Wissensbasis erfolgen.
In einer Zentraleinheit können generische und domänenspezifische Einheiten vorgesehen sein. Die generischen Einheiten sind für alle Domänen gleichermaßen verwendbar. Die domänenspezifischen Einheiten sind jeweils für eine Domäne spezifisch. Alternativ kann für jede Domäne des Verkehrssystems eine separate, auf die entsprechende Domäne spezialisierte Zentraleinheit verwendet werden.
Die mindestens eine Zentraleinheit ist eingerichtet, die Wissensbasis vor Inbetriebnahme des Steuerungssystems zu erzeugen. Pro Zentraleinheit kann dabei eine Wissensbasis erzeugt werden, die sich auf die jeweilige Domäne der Zentraleinheit bezieht. Im Falle einer Zentraleinheit, die generische und domänenspezifische Elemente aufweist, erzeugt die Zentraleinheit eine domänenspezifische Wissensbasis pro Domäne. Die Zustandsdatenbank ist über alle Domänen und für alles Wissensbasen und Zentraleinheiten die gleiche. Alle Zentraleinheiten benötigen die faktischen Informationen der Zustandsdatenbank, z. B. mögliche Lagen einer Weiche, als Basis.
Der Zeitpunkt der Inbetriebnahme bezieht sich auf den Start der Betriebsphase nach der Vorbereitungsphase. Durch die Generierung der Wissensbasis während der Vorbereitungsphase wird ein wohldefiniertes System zur Verfügung gestellt, das vorab bekannt ist und sich während der Betriebsphase nicht ändert. Ein wohldefiniertes System enthält dabei beispielsweise keine widersprüchlichen Bedingungen und/oder keine Bedingungen, die immer "wahr" oder immer "falsch" sind. Durch die Generierung der Wissensbasis in der Vorbereitungsphase und das Zur-Verfügung-Stellen eines wohldefinierten Systems ist ein Testen vorab möglich und es kann ein hohes Sicherheitsniveau sichergestellt werden. So ist es bspw. möglich, mit dem zu diesem Zeitpunkt einsatzbereiten System Betriebszustände des Systems zu simulieren, z.B. über Simulatoren, die aktuellen Zustände der Weichen, Signale, etc. simulieren. Es kann damit verifiziert werden, dass die gesamten Anforderungen korrekt umgesetzt wurden und dass nichts übersehen wurde. Hierdurch kann unerwünschtes Verhalten des Systems sehr schnell korrigiert werden.
In einer Ausführungsform der Erfindung weist das Steuerungssystem eine Systemregister-Datenbank (engl. System Registry) mit ausführbaren Dateien entsprechend den in der mindestens einen Wissensbasis enthaltenen Aktionen auf.
Bevorzugt ist das Steuerungssystem ein Zugsteuerungssystem für ein Zugsystem und ist in einem Stellwerk angeordnet. Es ist ebenfalls anwendbar auf Systeme, bei denen z. B. Verkehrsströme nach bestimmten Regel geführt werden müssen, z. B. bei der Verkehrssteuerung für Autos oder Flugzeuge.
Die mindestens eine Zentraleinheit und andere oben oder im folgenden erwähnte Einheiten (z.B. die Bedingungsauswerteeinheit, Wissensbasis, Regelbasis usw.) sind vorzugsweise als Softwarekomponenten ausgebildet, die auf einer gemeinsamen Hardware, z. B. einem Steuerrechner laufen oder aber auf verschiedenen Hardwareeinheiten.
Durch die Gliederung in verschiedene Softwarekomponenten kann das System schnell auf andere Gegebenheiten, z. B. andere Bahnsysteme, andere Betreiber, angepasst werden und einzelne Softwarekomponenten können wiederverwendet werden.
Die Erfindung betrifft auch ein Verfahren zur Vorbereitung und/oder Anpassung eines Steuersystems. Bei dem erfindungsgemäßen Verfahren wird eine Wissensbasis während einer Vorbereitungsphase des Steuersystems außerhalb einer Betriebsphase des Steuersystems aus einer Regelbasis erzeugt. Die Vorbereitungsphase dient der Vorbereitung der Betriebsphase und liegt daher zeitlich vorzugsweise vor der Betriebsphase des Steuerungssystems. Der Zeitraum für die Erstellung der mindestens einen Wissensbasis überlappt daher zeitlich nicht mit der Betriebsphase. Das bedeutet, dass die mindestens eine Wissensbasis während der Betriebsphase starr ist und sich nicht ändert.
Mit dem erfindungsgemäßen Verfahren kann ein Steuerungssystem an beliebige Kundenspezifikationen angepasst werden, indem lediglich die Wissensbasis gemäß den kundenspezifischen Regeln aufgebaut/modifiziert wird. Alle anderen Komponenten des Steuerungssystems können unverändert weiterbenutzt werden, ohne ein Sicherheitsrisiko einzugehen. Eine erneute Validierung und Verifikation ist nicht notwendig. Das erfindungsgemäße Verfahren ermöglicht eine einfache und sichere individuelle Konfiguration des Sicherungssystems.
Bevorzugt wird die mindestens eine Wissensbasis während der Vorbereitungsphase aus einer Regelbasis erzeugt.
Stößt die Zentraleinheit während der Erstellung der Wissensbasis in der Vorbereitungsphase auf Fehler, z. B. ein unbekanntes Element, wird der Erstellvorgang abgebrochen und auf den Fehler in der Regelbasis, aus der die Wissensbasis erstellt werden soll, hingewiesen. Somit kann bereits in der Vorbereitungsphase sichergestellt werden, dass das System wohldefiniert ist. Dies ist insbesondere für sicherheitskritische Systeme, z. B. SIL-4 Systeme, relevant. Die gewählte Datenstruktur ist außerdem vorab definiert und limitiert, so dass der Sicherheitsaspekt noch besser gewährleistet werden kann.
Bevorzugt wird die mindestens eine Wissensbasis während der Vorbereitungsphase auf Konsistenz und Vollständigkeit geprüft. Die Überprüfung erfolgt unter Verwendung einer Zustandsdatenbank. Die Zustandsdatenbank umfasst die möglichen Zustände der Elemente des Verkehrsnetzes.
Insbesondere wird geprüft, ob die durch Eigenschaften und Bitschalter definierten Zustände aus der Wissensbasis in der Zustandsdatenbank und die Aktionen aus der Wissensbasis sowie ggf. Anfragen in der Systemregister-Datenbank hinterlegt sind. In der Vorbereitungsphase wird also überprüft, ob alle in der Wissensbasis vorhandenen Aktionen, Eigenschaften, Bitschalter und evtl. Anfragen in den jeweiligen Datenbanken verfügbar sind. Durch diesen Schritt wird sichergestellt, dass alle Zustände, für die in der Wissensbasis Regeln hinterlegt sind, vorab definiert sind.
Darüber hinaus wird in der Vorbereitungsphase überprüft, ob die in der Wissensbasis abgelegten Daten eine Datenstruktur aufweisen, die vorzugsweise ausschließlich das Tripel Bitschalter, Eigenschaft und Aktion oder das Quadrupel Bitschalter, Eigenschaft, Aktion und Anfrage umfasst.
In einer Verfahrensvariante wertet die Bedingungsauswertekomponenten die Bedingungen für eine oder mehrere, vorzugsweise alle, Domänen des Verkehrsnetzes. Die Bedingungsauswertekomponenten wird dabei während der Ausführung eines Flows der Wissensbasis aktiviert und reagiert auf Eingaben vom Verkehrsnetz, die die Zustände von Elementen des Verkehrsnetzes betreffen.
Das vorstehend beschriebene Steuerungssystem und/oder das vorstehend beschriebene Verfahren finden vorteilhafterweise in einem sicherheitskritischen System mit Sicherheitslevel SIL4 Anwendung.
Weitere Vorteile der Erfindung ergeben sich aus den Ansprüchen, der Beschreibung und den Figuren. Ebenso können die vorstehend genannten und noch weiter ausgeführten Merkmale jeweils einzeln für sich oder zu mehreren, in beliebigen Kombinationen Verwendung finden. Die gezeigten und beschriebenen Ausführungsformen sind nicht als abschließende Aufzählung zu verstehen, sondern haben vielmehr beispielhaften Charakter für die Schilderung der Erfindung.
Es zeigen schematisch:

Fig. 1: ein erfindungsgemäßes Steuerungssystem für ein Verkehrsnetz;
Fig. 2: Elemente einer Wissensbasis eines erfindungsgemäßen Steuerungssystems.

Fig. 1 zeigt schematisch ein Steuerungssystem 10 für ein Verkehrsnetz 50. Über eine Eingabeschnittstelle 28 erhält das Steuerungssystem 10 Eingaben vom Verkehrsnetz 50. Die Eingaben betreffen Zustände von Elementen des Verkehrsnetzes 50, insbesondere die Änderung von Zuständen. Über eine Ausgabeschnittstelle 26 gibt das Steuerungssystem 10 Ausgaben an das Verkehrsnetz 50 aus. Die Ausgaben sind geeignet, Zustände von Elementen des Verkehrsnetzes zu ändern.
Eine Zentraleinheit 12 empfängt die Eingaben des Verkehrsnetzes 50 über die Eingabeschnittstelle 28. Die Zentraleinheit 12 gibt die Ausgaben an das Verkehrsnetz 50 aus über die Ausgabeschnittstelle 26 aus. Das Steuerungssystem 10 kann auch mehrere Zentraleinheiten 12 aufweisen (nicht gezeigt). Z. B. kann für verschiedene Domänen verschiedene Zentraleinheiten 12 vorgesehen sein. Es ist jedoch auch möglich, mehrere Domänen in einer Zentraleinheit 12 abzudecken. In diesem Fall weist die Zentraleinheit 12 generische (für alle Domänen gleiche) und spezifische (für eine Domäne spezifisch) Einheiten auf.
Die Zentraleinheit 12 ist die zentrale Instanz des Steuerungssystems 10. Sie lädt in einer Vorbereitungsphase Regeln aus einer Regelbasis 18 und generiert daraus eine Wissensbasis 16. Die Regeln definieren die Bedingungen, unter denen Aktionen Ac (Fig. 2), die sich auf die Regeln beziehen, ausgeführt werden. Aktionen Ac sind ausführbare Dateien, die in einer Systemregister-Datenbank 24 gespeichert sind.
In der Vorbereitungsphase kann die Wissensbasis 16 über die Eingabeschnittstelle 28 aktualisiert werden. Die Zentraleinheit 12 stellt in der Vorbereitungsphase außerdem sicher, dass die Aktionen Ac, die in der Systemregister-Datenbank 24 gespeichert sind, mit den Regeln der Regelbasis 18 und dem Kontext des Steuerungssystems 10 zusammenpassen. In der Systemregister-Datenbank 24 sind außerdem Anfragen Qu gespeichert. Anfragen Qu sind Anfragen an die Wissensbasis 16, die die Zentraleinheit 12 ausführen kann. Z. B. kann eine Anfrage Qu auf die Topologie des Verkehrsnetzes 50 ausgeführt werden. Hierdurch können z. B. statische Informationen erfragt werden, um z. B. ein Start-Signal einer Fahrstraße herauszufinden.
Aktionen Ac werden in einer der Vorbereitungsphase nachfolgenden Betriebsphase ausgeführt, wenn die zughörige Regel "feuert", d. h. die zugehörige Bedingung zu "true" evaluiert wird. In der Betriebsphase triggert die Zentraleinheit 12 eine Bedingungsauswertekomponente 14 wenn sie über die Eingabeschnittstelle 28 die Änderung eines Zustandes im Verkehrsnetz 50 mitgeteilt bekommt. Die Bedingungsauswertekomponente 14 wertet die Zustandsänderung aus. Wenn eine zu einer Regel gehörige Bedingung zu "true" evaluiert wird, "feuert" die Regel und die zugehörige Aktion Ac oder die zugehörigen Aktionen Ac wird/werden ausgeführt.
Zum Beispiel:

 Regel
    when Bedingung1 then Aktion1
    when Bedingung2 then Aktion2, Aktion3
    otherwise AktionN
 Ende Regel

Eine Regel beschreibt eine Bedingung unter der eine Aktion Ac ausgeführt wird, als booleschen Ausdruck mit Vergleichsoperationen für die Eigenschaften. Die booleschen Ausdrücke beziehen sich auf die Zustände und Eigenschaften des Verkehrsnetzes 50. Während der Vorbereitungsphase und vor der Erstellung der Wissensbasis 16 werden die Regeln in der Regelbasis 18 auf Konsistenz überprüft, um sicherzustellen, dass die Regeln in System wirklich gebraucht werden und um sie für eine effiziente Abarbeitung zu optimieren. Diese Überprüfung auf Konsistenz erfolgt bevorzugt durch eine separate Software, die diese Überprüfung automatisch ausführt.

In der Systemregister-Datenbank 24 wird sichergestellt, dass die Beziehungen zwischen den Regeln und den Aktionen Ac und ggf. Anfragen Qu definiert sind, dass die Aktionen Ac und ggf. Anfragen Qu eindeutig sind und dass die Zentraleinheit 12 Zugriff auf die Aktionen Ac und ggf. Anfragen Qu hat.

Die Bedingungsauswertekomponente 14 speichert die Regeln in optimierter Form, stellt sicher, dass alle Zustände, die von den Regeln überprüft werden, in einer Zustandsdatenbank 22 vorhanden sind und optimiert die Evaluierung der Bedingungen einer Regel. Die Zustandsdatenbank 22 speichert alle möglichen Zustände aller Elemente des Verkehrsnetzes.

Zustandsänderungen im Verkehrsnetz 50 können z. B. durch Teilnehmer des Verkehrsnetzes 50, also Elemente wie z. B. Züge bewirkt werden. Beispiele sind, dass ein Gleisabschnitt von einem Zug belegt oder verlassen wird, oder dass eine Weiche von einem Zug aufgefahren wird. Zustandsänderungen im Verkehrsnetz 50 können z. B. auch von Feldelementen (Elementen im Feld) bewirkt werden. Beispiele sind, dass eine Weiche die Überwachung verliert, d. h. in irgendeiner Form defekt ist, oder dass ein Signal gestellt wird. Zustandsänderungen im Verkehrsnetz 50 können z. B. auch durch Kommandos eines Operators bewirkt werden. Beispiele sind ein Nothalt, d. h. ein Signal wird hart auf "rot" gestellt. Diese Zustandsänderung des Signals des Verkehrsnetzes 50 triggert ein Ereignis, das wiederum zu einer Reaktion des Steuerungssystems 10 führt. Zustandsänderungen des Verkehrsnetzes 50 können auch Kommandos des Steuerungssystems 10 selbst sein. Beispiele sind das Stellen einer Fahrstraße, was evtl. zum Umlaufen einer Weiche führt. Dieses Umlaufen der Weiche triggert wiederum Ereignisse, die von dem Steuerungssystem 10 überwacht werden.

Zusammenfassend kommuniziert das Steuerungssystem 10 mit dem Verkehrsnetz 50, indem die Zentraleinheit 12 in der Wissensbasis Flows F, F.1 (Fig. 2) auslöst. Im Rahmen von Flows F, F.1 werden Regeln ausgewertet und die Ausführung von Aktionen Ac ausgelöst. Die Aktionen Ac wiederum lösen Kommandos an das Verkehrsnetz 50 aus.

Die Zentraleinheit 12 erhält vom Flow F, F.1 die Rückmeldung ob seine Ausführung erfolgreich war. Ein Flow F, F.1 ist dann erfolgreich wenn

alle Bedingungen erfolgreich evaluiert werden konnten und
alle Regeln, die gefeuert haben (Bedingung ist "true"), ausgeführt werden konnten und
alle Aktionen Ac als Teil der Regeln ausgeführt werden konnten.

Die Zentraleinheit 12 erhält negativen Bescheid wenn,

z. B. eine Bedingung von einem Element des Verkehrsnetzes 50 abgefragt wurde, das z.B. die in der Bedingung abgefragten Bitschalter/Zustände nicht kennt,
z. B. eine Aktion Ac nicht erfolgreich von einem Element des Verkehrsnetzes 50 abgearbeitet werden konnte.

Bei einem solchen negativen Bescheid kann es zu einer Sicherheits-Reaktion kommen: z.B. alles "rot", aller Verkehr im Verkehrsnetz 50 stoppt. Damit wird ein solcher inkonsistenter Zustand detektiert und das System geht in den sicheren Zustand über.

Das Steuerungssystem 10 hat außerdem eine Benutzerschnittstelle (nicht dargestellt) aufweisen, über die eine Person, z. B. ein Operator, mit dem Steuerungssystem 10 kommunizieren kann. Über die Benutzerschnittstelle kann z. B. eine Fahrstraße eingestellt werden. Eine Anzeige auf z. B. einem Bildschirm der Benutzerschnittstelle ist das Ergebnis von sog. Indication-Regeln. Die Anzeige ist abhängig vom Zustand des Verkehrsnetzes 50, z.B. eine Weiche liegt "links" wird über Regeln berechnet und so auf der Anzeige dargestellt. Für komplexere Darstellungen, z. B. bei Fahrstraßen, die den Zustand "überwacht" haben, wird das Ergebnis der Regeln über Aktionen Ac an die Anzeige weitergegeben. Ein Kommando des Operators wird mit Hilfe eines Ereignisses an das Steuerungssystem 10 weitergeleitet. Dieses Ereignis wird von der Zentraleinheit 12 ausgewertet.

Die Zentraleinheit 12 kann einen Parser, z. B. XML-Parser, (nicht dargestellt) sowie einen Flow-SpecificationsLoader (nicht dargestellt) umfassen, die beide generisch für alle Domänen sind. Der Parser und der Flow-SpecificationsLoader sind Softwarekomponenten innerhalb der Zentraleinheit 12. Die Zentraleinheit 12 bedient sich des Parsers um die Regeln beim Erstellen der Wissensbasis 16 einzulesen. Die Zentraleinheit 12 bedient sich außerdem des Flow-SpecificationsLoader, um die Aktionen Ac und Anfragen Qu beim Erstellen der Flows F, F.1 der Wissensbasis 16 aus einer Systemregister-Datenbank (engl. System Registry) 20 zu laden.

In Fig. 2 sind schematisch Elemente der Wissensbasis 16 dargestellt. Ein Flow F ist eine Regel oder eine Abfolge von Regeln mit damit verbundenen Aktionen Ac. Ein Flow F kann die folgenden Elemente ausführen: Aktivität Regel RA, Aktivität Aktion AcA, Aktivität Zuweisung AssA und Aktivität Anfrage QuA. Die Aktivität Regel RA beinhaltet boolesche Ausdrücke inklusive Vergleichsoperationen für Eigenschaften, die in der Bedingungsauswertekomponente 14 ausgewertet werden. Die Bedingungsauswertekomponente 14 greift hierfür auf die Zustandsdatenbank 22 zurück und erhält Informationen über Zustandsänderungen von der Zentraleinheit 12. Falls eine Regel während der Aktivität Regel RA zu "true" evaluiert wird, wird eine der folgenden Aktivitäten ausgeführt: Aktivität Aktion AcA, Aktivität Zuweisung AssA und Aktivität Anfrage QuA. Während der Aktivität Aktion AcA wird mind. eine Aktion Ac ausgeführt. Während der Aktivität Anfrage QuA wird mind. eine Anfrage Qu ausgeführt. Anfragen Qu sind Anfragen an die Wissensbasis 16, die die Zentraleinheit 12 ausführen kann. Während der Aktivität Zuweisung AssA wird einem Datum der Wissensbasis ein neuer Wert zugewiesen. Eine nicht in Fig. 2 dargestellt Aktivität kann eine Anfrage sein, die Bedingungen für eine Menge von Elementen abfragen (Aggregation).

Flows F.1 sind von der Struktur wie die Flows F aufgebaut, also Regeln, Abfolgen von Regeln oder nur Aktionen Ac, die bedingungslos ausgeführt werden. Die Flows F.1 werden von der Bedingungsauswertekomponente 14 angestoßen.

Bezugszeichenliste

10: Steuerungssystem
12: Zentraleinheit
14: Bedingungsauswertekomponente
16: Wissensbasis
18: Regelbasis
20: Systemregister-Datenbank
22: Zustandsdatenbank
24: Register-Datenbank
26: Ausgabeschnittstelle
28: Eingabeschnittstelle
50: Verkehrsnetz
Ac: Aktion
Qu: Anfrage
F: Flow
F.1: weiterer Flow
RA: Aktivität Regel
AcA: Aktivität Aktion
AssA: Aktivität Zuweisung
QuA: Aktivität Anfrage

Claims

Steuerungssystem (10) für ein Verkehrsnetz (50),
aufweisend eine Ausgabeschnittstelle (26), die eingerichtet ist, während einer Betriebsphase Ausgaben an das Verkehrsnetz (50) auszugeben, wobei die Ausgaben Zustände von Elementen des Verkehrsnetzes (50) verändern können,

weiter aufweisend eine Eingabeschnittstelle (28), die eingerichtet ist, während der Betriebsphase Eingaben (28) vom Verkehrsnetz (50) zu empfangen, wobei die Eingaben Zustände von Elementen des Verkehrsnetzes (50) betreffen,

dadurch gekennzeichnet, dass das Steuerungssystem (10) eine Wissensbasis (16) umfasst, die während einer Vorbereitungsphase außerhalb der Betriebsphase aus einer Regelbasis (18) erzeugt wurde, und wobei die in der Wissensbasis (16) hinterlegten Daten eine Datenstruktur aufweisen, die ein Tripel Bitschalter, Eigenschaft und Aktion umfasst.
Steuerungssystem nach Anspruch 1, dadurch gekennzeichnet, dass die Wissensbasis (16) während der Betriebsphase starr ist.
Steuerungssystem nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass das Steuerungssystem (10) mindestens eine Zustandsdatenbank (22) aufweist, die mögliche Zustände der Elemente des Verkehrsnetzes (50) umfasst.
Steuerungssystem nach Anspruch 3, dadurch gekennzeichnet, dass die Elemente des Verkehrsnetzes (50) einer oder mehreren verschiedenen Domänen zugeordnet sind, wobei eine Domäne ein Problemfeld oder ein Anwendungsgebiet innerhalb des Verkehrsnetzes (50) darstellt.
Steuerungssystem nach Anspruch 4, dadurch gekennzeichnet, dass es eine Bedingungsauswertekomponente (14) aufweist, die ausgebildet ist, Bedingungen für eine oder mehrere, vorzugsweise alle, Domänen des Verkehrsnetzes (50) auszuwerten.
Steuerungssystem nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass es mindestens eine Zentraleinheit (12) aufweist, die eingerichtet ist, über die Eingabeschnittstelle (28) die Eingaben des Verkehrsnetzes zu erhalten und über die Ausgabeschnittstelle (26) die Ausgaben an das Verkehrsnetz auszugeben, wobei die mindestens eine Zentraleinheit (12) weiter eingerichtet ist, nach Erhalt einer Eingabe des Verkehrsnetzes (50) die Eingabe an die Wissensbasis (16) weiterzuleiten.
Steuerungssystem nach Anspruch 6 und 4, dadurch gekennzeichnet, dass für jede Domäne eine Zentraleinheit (12) vorgesehen ist.
Steuerungssystem nach Anspruch 6 oder 7 in Verbindung mit Anspruch 3, dadurch gekennzeichnet, dass die mindestens eine Zentraleinheit (12) eingerichtet ist, die Zustandsdatenbank (22) vor Inbetriebnahme des Steuerungssystems (10) zu erzeugen.
Steuerungssystem nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass das Steuerungssystem (10) eine Systemregister-Datenbank (20) mit ausführbaren Dateien entsprechend den in der Wissensbasis (16) enthaltenen Aktionen (Ac) umfasst.
Steuerungssystem nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass das Steuerungssystem ein Zugsteuerungssystem ist und insbesondere in einem Stellwerk angeordnet ist.
Verfahren zur Vorbereitung und/oder Anpassung eines Steuerungssystems (10) nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass die Wissensbasis (16) während der Vorbereitungsphase des Steuerungssystems (10) außerhalb der Betriebsphase des Steuerungssystems (10) aus einer Regelbasis (18) erzeugt wird.
Verfahren nach Anspruch 11 in Verbindung mit dem Steuerungssystem nach Anspruch 3, gekennzeichnet durch den Schritt, dass die Wissensbasis (16) während der Vorbereitungsphase auf Konsistenz und Vollständigkeit überprüft wird, wobei die Überprüfung unter Verwendung der Zustandsdatenbank (22) erfolgt, wobei die Zustandsdatenbank (22) mögliche Zustände der Elemente des Verkehrsnetzes (50) umfasst.
Verfahren nach Anspruch 12 in Verbindung mit dem Steuerungssystem nach Anspruch 5, gekennzeichnet dadurch, dass die Bedingungsauswertekomponente (14) die Bedingungen für eine oder mehrere, vorzugsweise alle, Domänen des Verkehrsnetzes (50) auswertet.
Verfahren gemäß einem der Ansprüche 11 bis 13 für ein sicherheitskritisches System mit mindestens Sicherheitslevel SIL 4.
Verwendung eines Steuerungssystems gemäß einem der Ansprüche 1 bis 10 in einem sicherheitskritischen System mit mindestens Sicherheitslevel SIL 4.