EP4724324A1 - Verfahren zum überprüfen und updaten von recheninstanzen von schienenfahrzeugen - Google Patents

Abstract

Folgender Gegenstand ist von der Erfindung umfasst: Verfahren zum Überprüfen von Recheninstanzen (RI) von Schienenfahrzeugen wobei auf den Recheninstanzen (RI) installierte Programme und/oder von in den Recheninstanzen (RI) gespeicherte Konfigurationen geprüft werden, von diesen Schienenfahrzeugen ein erstes Schienenfahrzeug (FZ1), welches eine Lokomotive (LV) oder ein Güterwagen (GW) ist, mit mindestens einem zweiten Schienenfahrzeug (FZ2), welches ein Güterwagen (GW) ist, einen gekoppelten Fahrzeugverband (FV) bildet, das Überprüfen der Recheninstanzen (RI) in dem Fahrzeugverband (FV) durch das erste Schienenfahrzeug (FZ1) durchgeführt wird, zwischen der Recheninstanz (RI) des ersten Schienenfahrzeugs (FZ1) und der Recheninstanz (RI) zumindest des zweiten Schienenfahrzeugs (FZ2) über eine erste Schnittstelle (S1) eine Kommunikationsverbindung aufgebaut wird, die Recheninstanz (RI) des ersten Schienenfahrzeugs (FZ1) über die Kommunikationsverbindung von zumindest der Recheninstanz (RI) des zweiten Schienenfahrzeugs (FZ2) Daten über die auf den betreffenden Schienenfahrzeugen bestehenden Softwareeigenschaften der Programme und/oder gespeicherten Konfigurationen erhält, auf Grundlage der erhaltenen Daten eine Nachricht generiert wird, die eine Aktualität der Softwareeigenschaften und/oder Konfigurationen sowie die Gültigkeit eines digitalen Zertifikats für den Betrieb der Programme betrifft. Auf der Grundlage dieser Nachricht ist vorteilhaft auch bei Güterwagen (GW) ein einfaches Software Update durchführbar. Die Erfindung betrifft auch einen Güterwagen (GW) bzw. eine Lokomotive (LV) sowie ein Computerprogramm.

Description

Beschreibung

VERFAHREN ZUM ÜBERPRÜFEN UND UPDATEN VON RECHENINSTANZEN VON SCHIENENFAHRZEUGEN

Technisches Gebiet

Folgender Gegenstand ist von der Erfindung umfasst : ein Verfahren zum Überprüfen von Recheninstanzen von Schienenfahrzeugen . Ferner ist folgender Gegenstand von der Erfindung umfasst : eine Lokomotive . Ferner ist folgender Gegenstand von der Erfindung umfasst : ein Güterwagen . Ferner ist folgender Gegenstand von der Erfindung umfasst : ein Computerprogramm . Ferner ist folgender Gegenstand von der Erfindung umfasst : ein Computerlesbares Speichermedium .

Technischer Hintergrund

Gemäß dem Stand der Technik ist es bekannt , dass die Kommunikation zwischen Güterwagen verbessert werden soll . Hierzu wird im europäischen Raum die digitale automatische Kupplung ( DAK) entwickelt , die unter anderem auch eine Kommunikationsschnittstelle zur Verfügung steht , so dass die Güterwagen durch Koppelung untereinander und Kopplung zu einer Lokomotive kabelgebunden miteinander kommuni zieren können .

Die digitale automatische Kupplung ist derzeit in Erprobung . Fahrzeugverbände , die aus Lokomotiven und Güterwagen bestehen und über die digitale automatische Kupplung miteinander gekoppelt sind weisen Hardware auf , die auf j edem Güterwagen und auf der Lokomotive eine Recheninstanz ausbilden . Die Hardware weist somit mindestens einen Computer, auch Onboard Unit ( OBU) pro Fahrzeug auf , auf den die erforderliche Software in Form von Programmen installiert ist . Diese Programme müssen aktuell gehalten werden, wobei eine Aktualisierung manuell erfolgt , indem sich Mitarbeitende des Testproj ektes direkt mit den zu aktualisierenden Computern verbinden . Jeder Güterwagen bildet dabei eine eigenständige Einheit , wie dies durch die Normen IEC 61375- 1 und IEC 61375- 2-5 gefordert wird . Als Softwareprotokoll für die Kommunikation zwischen Lokomotive und Güterwagen und den Güterwagen selbst soll der Ethernet Train Backbone (ETB ) vorgesehen werden . Eine Alternative stellt der Wire Train Bus (WTB ) dar .

Aus dem erläuterten Stand der Technik ergibt sich das Problem, dass die auf den Güterwagen umgesetzten Funktionalitäten mit unterschiedlichen Anforderungen an die Betriebssicherheit ( Safety) umgesetzt werden müssen . Zu diesem Zweck muss ein Sicherheitsmanagement zuverlässig durchgeführt werden können . Hierzu gehören auch Aktualisierungen der Software sowie von digitalen Zerti fikaten, die den Zugri f f auf die Software regeln sowie eine unberechtigte Einflussnahme von außen verhindern .

Software-Updates bei Personenzügen sind grundsätzlich bekannt und werden in xMUs ( sog . Motor Units , auch Triebzüge genannt ) durchgeführt , wo sie auf xMU-Ebene durchgeführt werden können . Diese Software-Updates werden nur in bestimmten Modi durchgeführt , d . h . die xMU ( oder zumindest das zu aktualisierende System) wird in einen bestimmten Zustand gebracht ( z . B . Wartungsmodus ) , in dem die Aktualisierung sicher durchgeführt werden kann . Bevor die xMU wieder in Betrieb genommen wird, wird die Gültigkeit und korrekte Funktion der neu installierten Software überprüft , so dass ein sicherer Betrieb möglich ist . Anschließend kann die vollständig aktualisierte xMU wieder in Betrieb genommen werden .

Diese Technologie kann j edoch nicht ohne weiteres auf die Aktualisierung von Güterzügen übertragen werden . Ein weiteres Problem ergibt sich nämlich dadurch, dass Güterwagen anders als Personenzüge während des Betriebes beispielsweise auf Ablauf anlagen in schneller zeitlicher Folge neu kombiniert werden . Dies erschwert die Aufgabe , die Software eines bestimmten Güterzuges ( Fahrzeugverband) aktuell zu halten, da ständig neue Kombinationen von Güterwagen ( also andere Fahrzeugverbände ) auftreten . Andererseits kann es passieren, dass ein Güterwagen längere Zeit nicht im Einsatz ist . Wird ein solcher Güterwagen wieder in Betrieb genommen besteht die Gefahr, dass die diesem Güterwagen zur Verfügung stehende Software veraltet ist .

Zusammenfassung der Erfindung

Die Aufgabe der Erfindung besteht darin, die beschriebenen Probleme im Stand der Technik zu beheben . Insbesondere ist es Aufgabe , ein Verfahren zum Überprüfen von Recheninstanzen von Schienenfahrzeugen anzugeben, welches für den Betrieb von Güterwagen geeignet ist und gleichzeitig mit hoher Ef fi zienz umgesetzt werden kann . Außerdem ist es Aufgabe der Erfindung, eine Lokomotive bzw . einen Güterwagen anzugeben, mit der bzw . mit dem sich das Verfahren umsetzen lässt . Zuletzt ist es Aufgabe , der Erfindung ein Computerprogramm bzw . ein computerlesbarer Speichermedium anzugeben, welches zur Durchführung des genannten Verfahrens geeignet ist .

Beschrieben wird gemäß einem ersten Aspekt der Erfindung Verfahren zum Überprüfen von Recheninstanzen von Schienenfahrzeugen wobei a ) auf den Recheninstanzen installierte Programme und/oder von in den Recheninstanzen gespeicherte Konfigurationen geprüft werden, b ) von diesen Schienenfahrzeugen ein erstes Schienenfahrzeug, welches eine Lokomotive oder ein Güterwagen ist , mit mindestens einem zweiten Schienenfahrzeug, welches ein Güterwagen ist , einen gekoppelten Fahrzeugverband bildet . Zur Vermeidung von Missverständnissen sei an dieser Stelle angemerkt , dass einzelne Anspruchsmerkmale mit kleinen lateinischen Buchstaben durchnummeriert werden, ohne dass dabei Rücksicht auf die Anspruchsnummerierung genommen wird . Dies bedeutet , dass j eder Buchstabe im gesamten Anspruchssatz nur einmal vorkommt , was eine eindeutige Adressierung der betref fenden Anspruchsmerkmale ohne Nennung der Anspruchsnummer ermöglicht . Deswegen kommt der Reihenfolge der Buchstaben j edoch keine Bedeutung zu .

Das erste Schienenfahrzeug kann eine Lokomotive oder ein Güterwagen sein . Dabei muss das erste Schienenfahrzeug nicht an erster Stelle des Fahrzeugverbandes stehen . Das erste Schienenfahrzeug ist lediglich definiert durch seine Eigenschaft , dass das erfindungsgemäße Verfahren zum Überprüfen durch dieses erste Schienenfahrzeug durchgeführt wird . Der Fahrzeugverband wird durch das erste Schienenfahrzeug sowie mindestens ein weiteres Schienenfahrzeug, nämlich das zweite Schienenfahrzeug gebildet . Allerdings kann der Fahrzeugverband selbstverständlich auch weitere Schienenfahrzeuge , also ein drittes Schienenfahrzeug, ein viertes Schienenfahrzeug und so weiter aufweisen, die im Sinne der Erfindung dieselbe Funktion erfüllen, wie das zweite Schienenfahrzeug .

Erfindungsgemäß ist vorgesehen, dass das Überprüfen der Recheninstanzen in dem Fahrzeugverband durch das erste Schienenfahrzeug durchgeführt wird, wobei c ) zwischen der Recheninstanz des ersten Schienenfahrzeugs und der Recheninstanz zumindest des zweiten Schienenfahrzeugs ( ggf . ebenso weiterer Schienenfahrzeuge ) über eine erste Schnittstelle eine Kommunikationsverbindung aufgebaut wird, d) die Recheninstanz des ersten Schienenfahrzeugs über die Kommunikationsverbindung von zumindest der Recheninstanz des zweiten Schienenfahrzeugs ( ggf . auch von weiteren Schienenfahrzeugen) Daten über die auf den betref fenden Schienenfahrzeugen bestehenden Softwareeigenschaften der Programme und/oder gespeicherten Konfigurationen erhält , e ) auf Grundlage der erhaltenen Daten eine Nachricht generiert wird, die eine Aktualität der Softwareeigenschaften und/oder Konfigurationen sowie die Gültigkeit eines digitalen Zerti fikats für den Betrieb der Programme betri f ft .

Die Programme , die es zu überprüfen gilt , bestehen aus Applikationen, die auf dem Schienenfahrzeug ausgeführt werden sollen . Die Programme können auf einem Computer installiert sein, der der Recheninstanz des betref fenden Schienenfahrzeugs zur Verfügung gestellt wird . Die Konfigurationen, die es zu überprüfen gilt , können Hardwarekonfigurationen oder Softwarekonfigurationen sein . Als Hardwarekonfigurationen werden Festlegungen verstanden, die die Hardware betref fen, beispielsweise , aus welchen Hardwarekomponenten die Recheninstanz besteht und/oder wie die Recheninstanz die ihr zur Verfügung stehender Hardware nutzt . Als Softwarekonfigurationen werden Festlegungen verstanden, die den Betrieb des betref fenden Programms regeln . Hierbei handelt es sich zum Beispiel um Festlegungen, die den Ablauf des betref fenden Programmes definieren bzw . beeinflussen . Die Konfigurationen sind vorzugsweise als Konfigurationsdaten und die Programme vorzugsweise als Programmdaten auf einer durch die betref fende Recheninstanz genutzten Speichereinheit gespeichert .

Ein Vorteil der Erfindung besteht darin, dass mit dem Verfahren zum Prüfen der Recheninstanzen j ederzeit ermittelt werden kann, ob ein aus Güterwagen bestehender Fahrzeugverband, dem gegebenenfalls auch eine Lokomotive angehört , betriebsbereit ist . Hierbei wird das Problem adressiert , dass Fahrzeugverbände , die aus Güterwagen bestehen, wesentlich häufiger getrennt und neu zusammengestellt werden, als dies bei Personenwagen der Fall ist . Daher ist die Wahrscheinlichkeit groß , dass durch Kombination von neuen Fahrzeugverbänden Güterwagen zusammenkommen, die mit unterschiedlichen Versionen von Programmen und unterschiedlichen Zerti fikaten für deren Betrieb ausgestattet sind . Aufgrund der erfindungsgemäßen Generierung einer diese Information betref fenden Nachricht ist es vorteilhaft möglich, schnell fest zustellen, ob die unterschiedlichen Versionen der Programme bzw . Konfigurationen dieser Programme und der auf den Güterwagen eingesetzten Recheninstanzen untereinander kompatibel sind und somit die durch die Recheninstanzen zur Verfügung gestellten Funktionalitäten für den betref fenden Fahrzeugverband zur Verfügung stehen . I st dies nicht der Fall , müssen vor dem Einsatz des betref fenden Fahrzeugverbandes weitere Maßnahmen durchgeführt werden (hierzu im Folgenden mehr ) . Beispielsweise könnten Mitarbeitende des Bahnpersonals gezielt nur Güterwagen updaten, deren Betrieb ansonsten in dem betref fenden Fahrzeugverband nicht möglich wäre . Hierdurch wird Einsatz zeit des Bahnpersonals gespart , weswegen das erfindungsgemäße Verfahren zu einer Erhöhung des schienengebundenen Güterverkehrs beiträgt .

Die generierte Nachricht betri f ft die Aktualität der Softwareeigenschaften . Die Softwareeigenschaften werden beispielsweise durch die Version des auf der Recheninstanz installierten Programms bestimmt . Dabei ist es möglich, dass das Programm in einer Recheninstanz nicht der aktuellen Version entspricht , j edoch mit der aktuellen Version kompatibel ist und dadurch die Funktionalitäten, die in dem Fahrzeugverband realisiert werden sollen, nicht stört . In diesem Falle wäre eine Aktualisierung des Programms optional . Wenn aber bestimmte Funktionalitäten der betref fenden Recheninstanz innerhalb des Fahrzeugverbandes nicht umgesetzt werden können, ist für eine Realisierung dieser Funktionalitäten in der betref fenden Rechnerinstanz eine Aktualisierung des Programms zwingende Voraussetzung . Außerdem betri f ft die Nachricht die Gültigkeit eines digitalen Zerti fikates für den Betrieb der Programme . Zerti fikate können zum Einsatz kommen, um die Betriebssicherheit ( Safety) beim Durchführen der Programme zu erhöhen . Es kann sichergestellt werden, dass ein bestimmtes Programm nur für die vorgesehenen Zwecke verwendet wird . Auch kann ein Zerti fikat die Sicherheit gegen Angri f fe von außen ( Security) verbessern . Mithil fe der Nachricht kann daher bestimmt werden, ob die Voraussetzung für die Sicherheit des Betriebs des Fahrzeugverbands gegeben ist oder nicht .

Rechnergestützt oder computerimplementiert ist eine Vorrichtung, wenn diese mindestens einen Computer oder Prozessor aufweisen, oder ein Verfahren, wenn mindestens ein Computer oder Prozessor mindestens einen Verfahrensschritt des Verfahrens aus führt .

Eine Rechenumgebung ist eine IT- Infrastruktur, bestehend aus Komponenten wie Prozessoren, Speichereinheiten, Programmen und aus mit den Programmen zu verarbeitenden Daten, die zur Aus führung mindestens einer Applikation, die eine Aufgabe zu erfüllen hat , verwendet werden . Die IT- Infrastruktur kann auch aus einem Netzwerk der genannten Komponenten bestehen .

Recheninstanzen ( oder kurz Instanzen) bilden innerhalb einer Rechenumgebung funktionale Einheiten aus , die Applikationen ( gegeben beispielsweise durch eine Anzahl von Programmmodulen) zugeordnet werden können und diese aus führen können . Diese funktionalen Einheiten bilden bei der Aus führung der Applikation physikalisch (beispielsweise Computer, Prozessor ) und/oder virtuell (beispielsweise Programmmodul ) in sich geschlossene Systeme .

Computer sind elektronische Geräte mit Datenverarbeitungseigenschaften . Computer können beispielsweise Clients , Server, Handheld-Computer, Kommunikationsgeräte und andere elektronische Geräte zur Datenverarbeitung sein, die Prozessoren und Speichereinheiten aufweisen können und über Schnittstellen auch zu einem Netzwerk zusammengeschlossen sein können .

Prozessoren können beispielsweise Wandler, Sensoren zur Erzeugung von Messsignalen oder elektronische Schaltungen sein . Bei einem Prozessor kann es sich um einen Hauptprozessor ( engl . Central Processing Unit , CPU) , einen Mikroprozessor, einen Mikrocontroller, oder einen digitalen Signalprozessor, möglicherweise in Kombination mit einer Speichereinheit zum Speichern von Programmbefehlen und Daten handeln . Auch kann unter einem Prozessor ein virtualisierter Prozessor oder eine Soft-CPU verstanden werden .

Speichereinheiten können als computerlesbarer Speicher in Form eines Arbeitsspeichers ( engl . Random-Access Memory, RAM) oder Datenspeichers ( Festplatte oder Datenträger ) ausgeführt sein .

Programmmodule sind einzelne Software-Funktionseinheiten, die einen erfindungsgemäßen Programmablauf von Verfahrensschritten ermöglichen . Diese Software-Funktionseinheiten können in einem einzigen Computerprogramm oder in mehreren miteinander kommuni zierenden Computerprogrammen verwirklicht sein . Die hierbei realisierten Schnittstellen können softwaretechnisch innerhalb eines einzigen Prozessors umgesetzt sein oder hardwaretechnisch, wenn mehrere Prozessoren zum Einsatz kommen .

Schnittstellen können hardwaretechnisch, beispielsweise kabelgebunden oder als Funkverbindung, oder softwaretechnisch, beispielsweise als Interaktion zwischen einzelnen Programmmodulen eines oder mehrerer Computerprogramme , realisiert sein . Beschrieben wird gemäß einem weiteren Aspekt der Erfindung eine Lokomotive mit einem Computer und einer ersten Schnittstelle . Die Lokomotive ist mit Ihrem Computer in geeigneter Weise zur Aus führung des Verfahrens vorbereitet . Gemäß einer Variante sind die oben erklärten Aspekte der Erfindung dadurch bestimmt , dass der Computer eingerichtet ist , ein Verfahren gemäß einem der voranstehenden Ansprüche aus zuführen . Bei der Nutzung der Lokomotive werden die im Zusammenhang mit dem erfindungsgemäßen Verfahren beschriebenen Vorteile erreicht .

Beschrieben wird gemäß einem weiteren Aspekt der Erfindung ein Güterwagen mit einem Computer und einer ersten Schnittstelle . Der Güterwagen ist mit seinem Computer in geeigneter Weise zur Aus führung des Verfahrens vorbereitet . Gemäß einer Variante sind die oben erklärten Aspekte der Erfindung dadurch bestimmt , dass der Computer eingerichtet ist , ein Verfahren gemäß einem der Ansprüche 1- 11 aus zuführen . Bei der Nutzung des Güterwagens werden die im Zusammenhang mit dem erfindungsgemäßen Verfahren beschriebenen Vorteile erreicht .

Beschrieben wird gemäß einem weiteren Aspekt der Erfindung Computerprogramm, umfassend Programmbefehle , die bei der Aus führung des Programms durch die Lokomotive oder durch den Güterwagen einen Computer dazu veranlassen, das hier beschriebene Verfahren aus zuführen .

Gemäß der Erfindung wird somit ein Programmmodule enthaltendes Computerprogramm mit Programmbefehlen beschrieben, wobei mittels des Computerprogramms j eweils das erfindungsgemäße Verfahren und/oder dessen Aus führungsbeispiele aus führbar sind und mit der Aus führung die beschriebenen Vorteile erreicht werden . Beschrieben wird gemäß einem weiteren Aspekt der Erfindung ein computerlesbares Speichermedium, auf dem das oben beschriebene Computerprogrammprodukt gespeichert ist .

Darüber hinaus wird gemäß einem weiteren Aspekt der Erfindung somit eine Bereitstellungsvorrichtung zum Speichern und/oder Bereitstellen des Computerprogramms in Form eines computerlesbaren Speichermediums beschrieben . Die Bereitstellungsvorrichtung ist beispielsweise eine Speichereinheit , die das Computerprogramm speichert und/oder bereitstellt . Alternativ oder zusätzlich ist die Bereitstellungsvorrichtung ein Netzwerkdienst , ein Computersystem, ein Serversystem, insbesondere ein verteiltes , beispielsweise cloudbasiertes Computersystem oder virtuelles Rechnersystem, welches das Computerprogramm auf einem computerlesbaren Speichermedium speichert und vorzugsweise in Form eines Datenstroms bereitstellt .

Die Bereitstellung erfolgt in Form von Programmdatensätzen als Datei , insbesondere als Downloaddatei , oder als Datenstrom, insbesondere als Downloaddatenstrom, des Computerprogramms .

Das Computerprogramm wird beispielsweise unter Verwendung der Bereitstellungsvorrichtung in eine Rechenumgebung übertragen, sodass das erfindungsgemäße Verfahren in einer Recheninstanz dieser Rechenumgebung zur Aus führung gebracht werden kann .

Allgemeine Aus führungsbeispiele der Erfindung

Weiterbildungen der Erfindung beschreibende Varianten werden nachfolgend ohne Beschränkung des grundlegenden Gedankens der Erfindung erläutert .

Gemäß einer Variante sind die oben erklärten Aspekte der Erfindung dadurch bestimmt , dass f ) zusätzlich zu den auf den Recheninstanzen installierten Programmen und/oder zu den in den Recheninstanzen gespeicherte Konfigurationen mindestens ein die Recheninstanz bildender Computer geprüft wird, g) die Recheninstanz des ersten Schienenfahrzeugs über die Kommunikationsverbindung von zumindest der Recheninstanz des zweiten Schienenfahrzeugs ( ggf . auch von weiteren Schienenfahrzeugen) Daten über die auf den betref fenden Schienenfahrzeugen bestehenden Hardwareeigenschaften des mindestens einen Computers erhält , h) auf Grundlage der erhaltenen Daten eine Nachricht generiert wird, die eine Aktualität der Hardwareeigenschaften sowie die Gültigkeit eines digitalen Zerti fikats für den Betrieb des mindestens einen Computers betri f ft .

Da die Recheninstanzen in der Lokomotive bzw . in den Güterwagen voneinander unabhängig sein müssen, muss j eder Güterwagen bzw . j ede Lokomotive mindestens einen Computer aufweisen, der die Hardware-Umgebung für die Recheninstanz bildet . Diese Hardwareumgebung, die auch aus mehreren Computern und/oder Prozessoren, und/oder Sensoren bestehen kann, muss somit Mindestanforderungen genügen, damit das erfindungsgemäße Verfahren durchgeführt werden kann . Hardwarekomponenten können defekt sein oder aufgrund des technischen Fortschritts auch veralten .

Wird mit dem erfindungsgemäßen Verfahren auch der Computer geprüft , ist es vorteilhaft möglich, die Hardware- Voraussetzungen für die Durchführung des erfindungsgemäßen Verfahrens auf dem betref fenden Güterwagen bzw . auf der betref fenden Lokomotive zu ermitteln . Veraltete Hardware kann dazu führen, dass das Aus führen des erfindungsgemäßen Verfahrens nicht möglich ist . Dies lässt sich beispielsweise anhand der Gültigkeit von digitalen Zerti fikaten für den Betrieb des Computers ermitteln . Die generierte Nachricht kann diesbezüglich ausgewertet werden und gibt im Zwei fels fall Auskunft darüber, warum das Verfahren bei einem betref fenden Fahrzeugverband nicht durchführbar ist . Der Grund kann vorteilhaft auch dann ermittelt werden, wenn keine Probleme mit der Software , sondern Probleme mit der Hardware vorliegen .

Gemäß einer Variante sind die oben erklärten Aspekte der Erfindung dadurch bestimmt , dass die erste Schnittstelle durch einen Wire Train Bus oder Ethernet Train Backbone gebildet wird .

Hierbei handelt es sich vorteilhaft um die oben bereits genannten standardisierten Kommunikationsschnittstellen, wodurch vorteilhaft die Möglichkeit einer Implementierung des erfindungsgemäßen Verfahrens in bestehende Systeme vereinfacht wird .

Gemäß einer Variante sind die oben erklärten Aspekte der Erfindung dadurch bestimmt , dass das erste Schienenfahrzeug sowie zumindest das zweite Schienenfahrzeug über eine digitale automatische Kupplung miteinander gekoppelt sind .

Wie bereits erwähnt , wird die digitale automatische Kupplung zumindest in Europa in absehbarer Zukunft die Kommunikation zwischen Güterwagen untereinander und zur Lokomotive ermöglichen . Es ist besonders vorteilhaft , das Verfahren in eine Kommunikationsinfrastruktur einzubetten, welche durch die Güterwagen sowie die Lokomotive zur Verfügung gestellt werden .

Gemäß einer Variante sind die oben erklärten Aspekte der Erfindung dadurch bestimmt , dass das erste Schienenfahrzeug i ) für den Fall , dass die Software Version nicht aktuell ist , eine Aktualisierung der Software in der Recheninstanz zumindest des zweiten Schienenfahrzeugs durchführt und/oder j ) für den Fall , dass ein Zerti fikat nicht veri fi zierbar ist , eine Aktualisierung des Zerti fikates in der Recheninstanz zumindest des zweiten Schienenfahrzeugs durchführt . Das erste Schienenfahrzeug muss zur Aktualisierung der Software bzw . des Zerti fikates die technischen Voraussetzungen erfüllen . Dies setzt zumindest voraus , dass das erste Schienenfahrzeug über die Daten und die Rechte verfügen kann, welche für eine Aktualisierung erforderlich sind . Zu diesem Zweck müssen die dafür erforderlichen Daten und Rechte entweder in der in dem ersten Schienenfahrzeug zum Einsatz kommenden Recheninstanz gespeichert sein oder von dieser angefordert werden können (hierzu im Folgenden noch mehr ) .

Die Option, dass das erste Schienenfahrzeug andere Schienenfahrzeuge wie zum Beispiel das zweite Schienenfahrzeug aktualisieren kann (bezogen sowohl auf die Softwareversion als auch auf die Zerti fikate ) schaf ft die Möglichkeit , dass Fahrzeugverbände , deren Schienenfahrzeuge uneinheitliche Softwareversionen und Zerti fikate aufweisen, auf einen einheitlichen Versionsstand und/oder Zerti fikatsstand gebracht werden können . Insbesondere können Schienenfahrzeuge , deren Softwareversion veraltet , insbesondere mangels Kompatibilität mit neueren Versionen nicht mehr zur Verwendung geeignet sind, bzw . deren Zerti fikate ausgelaufen sind, nach Aktualisierung funktional in den Fahrzeugverband eingegliedert werden, ohne dass Mitarbeitende des Bedienungspersonals ein manuelles Update der betrof fenen Güterwagen durchführen müssen . Hierdurch steigt vorteilhaft die Wirtschaftlichkeit des schienengebundenen Güterverkehrs . Besonders vorteilhaft ist es , wenn alle Schienenfahrzeuge auf den aktuell geltenden Stand gebracht werden . Dies ist allerdings nicht unbedingt erforderlich, wenn es zwischen unterschiedlichen Versionen Kompatibilität besteht (hierzu im Folgenden noch mehr ) .

Gemäß einer Variante sind die oben erklärten Aspekte der Erfindung dadurch bestimmt , dass das erste Fahrzeug über eine zweite Schnittstelle verfügt , über die Aktualisierungsdaten für eine Aktualisierung der Software oder eine Aktualisierung des Zerti fikates von einem Server bezogen werden können . Die zweite Schnittstelle ermöglicht es mit anderen Worten, dass das erste Fahrzeug, welches zur Aktualisierung von Zerti fikaten oder Software geeignet ist , von einem zentralen Server aktuelle Versionen der Software bzw . der Zerti fikate anfordern kann . Vorzugsweise ist dies möglich, wenn das erste Fahrzeug eine Lokomotive ist . Die Recheninstanz der Lokomotive enthält üblicherweise auch Schnittstellen, über die von extern Daten übertragen werden können .

Es ist aber auch möglich, Güterwagen mit zusätzlicher Hardware aus zustatten, damit diese eine zweite Schnittstelle ausbilden können . Hierbei ist es nicht erforderlich, dass alle Güterwagen eines Fahrzeugverbandes diese zusätzliche Möglichkeit nutzen können . Es ist lediglich erforderlich, dass in einem Fahrzeugverband einer der Güterwagen eine zweite Schnittstelle nutzen kann . Dieser wird vorteilhaft immer die Möglichkeit haben, durch Ausnutzung der zweiten Schnittstelle die aktuelle Software sowie die aktuellen Zerti fikate zur Verfügung zu haben und ist in einem Fahrzeugverband daher immer geeignet , als erstes Schienenfahrzeug das erfindungsgemäße Verfahren durchzuführen .

Somit ergibt sich der Vorteil , dass über die zweite Schnittstelle zu j edem Zeitpunkt die aktuelle Software sowie die aktuellen Zerti fikate für einen Fahrzeugverband zur Verfügung gestellt werden können . Wird das erste Schienenfahrzeug durch einen Güterwagen gebildet , entsteht zusätzlich der Vorteil , dass ein Fahrzeugverband auch aktualisiert werden kann, wenn dieser gerade nicht mit einer Lokomotive gekoppelt ist . Beispielsweise können Fahrzeugverbände , die in einer Ablaufanlage zusammengestellt wurden, im Richtungsgleis auf den aktuellen Stand gebracht werden, während diese darauf warten, von einer Lokomotive aus dem Richtungsgleis gezogen zu werden . Koppelt die Lokomotive den Fahrzeugverband im Richtungsgleis zu einem späteren Zeitpunkt , ist dieser dann bereits aktualisiert und ist sofort vollständig einsatzbereit . Hierdurch kann Zeit gespart werden, was die Wirtschaftlichkeit des erfindungsgemäßen Verfahrens verbessert .

Gemäß einer Variante sind die oben erklärten Aspekte der Erfindung dadurch bestimmt , dass als erstes Schienenfahrzeug in dem Fahrzeugverband ein Güterwagen ausgewählt wird, wobei vor der Auswahl geprüft wird, ob die auf den Recheninstanzen installierten Programme ausgeführt werden können und die digitalen Zerti fikate gültig sind .

Für die Funktion des ersten Schienenfahrzeugs , die anderen Schienenfahrzeuge zu überprüfen und gegebenenfalls zu aktualisieren, ist es erforderlich, dass das erste Schienenfahrzeug über eine aus führbare Software und ein gültiges Zerti fikat verfügt . Beides kann dann im erforderlichen Falle im Rahmen einer Aktualisierung auf andere Schienenfahrzeuge übertragen werden . Dabei muss es sich nicht um die neueste Software und die neuesten Zerti fikate handeln . Auch ältere Softwareversionen und Zerti fikate können noch gültig bzw . kompatibel mit neueren Versionen der Software , und damit aus führbar sein .

Wie bereits erwähnt , kann unter Ausnutzung der zweiten Schnittstelle die j üngste Software sowie das neueste Zerti fikat verfügbar gemacht werden . I st eine zweite Schnittstelle auf dem ersten Schienenfahrzeug, beispielsweise einem Güterwagen, nicht verfügbar, kann j edoch auch eine aus führbare ältere Software und/oder ein noch gültiges Zerti fikat an andere Schienenfahrzeuge übertragen werden, wenn letztere eine nicht mehr aus führbare Software und/oder ein nicht mehr gültiges Zerti fikat haben . Unter diesen Umständen kann ein Fahrzeugverband ohne Lokomotive vorteilhaft auch aktualisiert werden, wenn keiner der Güterwagen mit einer zweiten Schnittstelle ausgestattet ist . Gemäß einer Variante sind die oben erklärten Aspekte der Erfindung dadurch bestimmt , dass unter den Güterwagen des Fahrzeugverbands derj enige oder einer derj enigen Güterwagen ausgewählt wird, der oder die die neueste Version der installierten Programme aufweist .

Bei dieser Variante der Erfindung ist vorgesehen, dass die Schienenfahrzeuge des Fahrzeugverbandes untereinander derart kommuni zieren können, dass festgestellt werden kann, welches der Schienenfahrzeuge als erstes Schienenfahrzeug den anderen Schienenfahrzeugen die im Vergleich zu den anderen Schienenfahrzeugen neueste Version der Software übertragen kann . I st eines der Schienenfahrzeuge mit einer zweiten Schnittstelle ausgestattet , so wird regelmäßig dieses Schienenfahrzeug die aktuelle und damit auch die neueste Softwareversion verfügbar machen können . Anderenfalls ermöglicht eine Abfrage unter den beteiligten Schienenfahrzeugen, sozusagen ohne Nutzung der zweiten Schnittstelle eine für den Fahrzeugverband lokal optimale Version allen Schienenfahrzeugen des Fahrzeugverbandes verfügbar zu machen .

Gemäß einer Variante sind die oben erklärten Aspekte der Erfindung dadurch bestimmt , dass das digitale Zerti fikat eine Nutzungserlaubnis enthält .

Hierdurch kann vorteilhaft ein Rechtemanagement realisiert werden . Außerdem lässt sich mit dem digitalen Zerti fikat auf diese Weise ein Schutz gegen unautorisierte und missbräuchliche Eingri f fe durch Dritte erlangen .

Gemäß einer Variante sind die oben erklärten Aspekte der Erfindung dadurch bestimmt , dass das digitale Zerti fikat eine Integrität und/oder Gültigkeit der Software belegt . Auch die Software kann mit einem Zerti fikat versehen werden . Hierdurch kann sichergestellt werden, dass veraltete Software nicht mehr verwendet werden kann, sobald das Zerti fikat nicht mehr gültig ist . Auf diese Weise kann vorteilhaft sicher ausgeschlossen werden, dass Probleme bei der Kompatibilität zwischen einzelnen Softwareversionen der auf den Güterwagen installierten Programme auftreten .

Gemäß einer Variante sind die oben erklärten Aspekte der Erfindung dadurch bestimmt , dass auf dem ersten Schienenfahrzeug eine Whitelist aller zulässigen Versionen für installierte Programme und aller zulässigen Zerti fikate vorhanden ist und/oder eine Blacklist aller nicht zulässigen Versionen für installierte Programme und aller nicht zulässigen Zerti fikate vorhanden ist , anhand derer geprüft wird, ob das auf zumindest dem zweiten Schienenfahrzeug installierte Programm in der vorhandenen Version ausgeführt werden darf und/oder das mindestens eine auf zumindest dem zweiten Schienenfahrzeug verfügbare digitale Zerti fikat gültig ist . Durch Abgleich mit einer Whitelist und/oder Blacklist kann sehr zuverlässig und in sehr kurzer Zeit ermittelt werden, ob eine bestimmte Software oder ein bestimmtes Zerti fikat , welches dem ersten Schienenfahrzeug durch das zweite Schienenfahrzeug oder weitere Schienenfahrzeuge übermittelt wird, akzeptiert werden kann oder nicht . Dies verbessert vorteilhaft die Zuverlässigkeit sowie die Performance des erfindungsgemäßen Verfahrens ( zum genauen Vorgehen bei der Auswertung einer Whitelist und oder Blacklist im Folgenden noch mehr ) .

Des Weiteren wird gemäß einem weiteren Aspekt der Erfindung ein Programmmodule enthaltendes Computerprogramm mit Programmbefehlen zur Durchführung des genannten erfindungsgemäßen Verfahrens und/oder dessen Aus führungsbeispielen beschrieben, wobei mittels des Computerprogramms j eweils das erfindungsgemäße Verfahren und/oder dessen Aus führungsbeispiele durchführbar sind .

Darüber hinaus wird gemäß einem weiteren Aspekt der Erfindung eine Bereitstellungsvorrichtung zum Speichern und/oder Bereitstellen des Computerprogramms in Form eines computerlesbaren Speichermediums beschrieben . Die Bereitstellungsvorrichtung ist beispielsweise ein Speichereinheit , die das Computerprogramm speichert und/oder bereitstellt . Alternativ und/oder zusätzlich ist die Bereitstellungsvorrichtung beispielsweise ein Netzwerkdienst , ein Computersystem, ein Serversystem, insbesondere ein verteiltes , beispielsweise cloudbasiertes Computersystem und/oder virtuelles Rechnersystem, welches das Computerprogramm vorzugsweise in Form eines Datenstroms speichert und/oder bereitstellt .

Die Bereitstellung erfolgt in Form eines Programmdatensätzen als Datei , insbesondere als Downloaddatei , oder als Datenstrom, insbesondere als Downloaddatenstrom, des Computerprogramms . Diese Bereitstellung kann beispielsweise auch als partieller Download erfolgen, der aus mehreren Teilen besteht . Ein solches Computerprogramm wird beispielsweise unter Verwendung der Bereitstellungsvorrichtung in eine Rechenumgebung übertragen, sodass das erfindungsgemäße Verfahren in einer Recheninstanz zur Aus führung gebracht werden kann .

Exemplarische Aus führungsbeispiele der Zeichnung

Weitere Einzelheiten der Erfindung werden nachfolgend anhand der Zeichnung beschrieben . Gleiche oder sich entsprechende Zeichnungselemente sind in den einzelnen Figuren j eweils mit den gleichen Bezugs zeichen versehen und werden nur insoweit mehrfach erläutert , wie sich Unterschiede zwischen den einzelnen Figuren ergeben .

Bei den im Folgenden erläuterten Aus führungsbeispielen handelt es sich um bevorzugte Aus führungs formen der Erfindung . Bei den Aus führungsbeispielen stellen die beschriebenen Komponenten der Aus führungs formen j eweils einzelne , unabhängig voneinander zu betrachtende Varianten der Erfindung dar, welche die Erfindung j eweils auch unabhängig voneinander weiterbilden und damit auch einzeln oder in einer anderen als der gezeigten Kombination als Bestandteil der Erfindung anzusehen sind . Des Weiteren sind die beschriebenen Komponenten auch mit den vorstehend beschriebenen Varianten der Erfindung kombinierbar .

Unabhängig vom grammatikalischen Geschlecht betref fender Begri f fe sind Personen mit männlicher, weiblicher oder anderer Geschlechtsidentität gleichermaßen umfasst .

Figur 1 zeigt ein Aus führungsbeispiel der erfindungsgemäßen Vorrichtungen, nämlich als Lokomotive oder Güterwagen ausgeführte Schienenfahrzeuge , mit ihren Wirkzusammenhängen schematisch .

Figur 2 zeigt ein Aus führungsbeispiel einer Rechenumgebung für die Vorrichtungen gemäß Figur 1 als Blockschaltbild, wobei die einzelnen Recheninstanzen Programmmodule aus führen, die j eweils in einem oder mehreren der beispielhaft dargestellten Computer ablaufen können und wobei die gezeigten Schnittstellen demgemäß softwaretechnisch in einem Computer oder hardwaretechnisch zwischen verschiedenen Computern ausgeführt sein können .

Figur 3 zeigt ein Aus führungsbeispiel des erfindungsgemäßen Verfahrens als Flussdiagramm, wobei die gezeigten Verfahrensschritte einzeln oder in Gruppen durch Programmmodule verwirklicht sein können und wobei die Recheninstanzen und Schnittstellen gemäß Figur 2 beispielhaft angedeutet sind .

Detaillierte Beschreibung der Zeichnung

In einer Rechenumgebung sind die gemäß Figur 1 und Figur 2 zum Einsatz kommenden Recheninstanzen RI und deren sowie andere Funktionskomponenten, nämlich eine erste Funktionskomponente Fl , eine zweite Funktionskomponente F2 und eine dritte Funktionskomponente F3 durch eine erste Schnittstelle S l , durch eine zweite Schnittstelle S2 , durch eine dritte Schnittstelle S3 , durch eine vierte Schnittstelle S4 , durch eine fünfte Schnittstelle S5 verbunden . Die erste Funktionskomponente , die zweite Funktionskomponente und die dritte Funktionskomponente sind lediglich exemplarisch angedeutet . Hierbei kann es sich j eweils um eine oder mehrere Funktionseinheiten handeln, die beispielsweise durch Computer, Prozessoren oder Sensoren gebildet sein können . Die Funktionskomponenten tragen zu den in den Güterwagen bzw . den Lokomotiven umzusetzen Funktionen bei , die für sich bekannt sind und an dieser Stelle nicht weiter erläutert werden . Computer, Prozessoren, Sensoren und andere Funktionseinheiten werden im Zusammenhang mit dieser Erfindung auch als Endgeräte oder kurz ED bezeichnet .

Gemäß Figur 2 sind insbesondere in der Rechenumgebung bei einem ersten Computer CI ein erster Prozessor PI mit einer ersten Speichereinheit SEI durch eine el fte Schnittstelle S i l , bei einem zweiten Computer C2 ein zweiter Prozessor P2 mit einer zweiten Speichereinheit SE2 durch eine zwöl fte Schnittstelle S 12 , bei einem dritten Computer C3 ein dritter Prozessor P3 mit einem dritten Prozessor P3 und mit einer dritten Speichereinheit SE3 durch eine 13 . Schnittstelle S 13 , bei einem vierten Computer C4 ein vierter Prozessor P4 mit einer vierten Speichereinheit SE4 durch eine 14 . Schnittstelle S 14 , verbunden, wobei der vorstehend genannte erste bis vierte Computer C4 gemeinsam als Computer, der vorstehend genannte erste bis vierte Prozessor P4 gemeinsam als Prozessor und die vorstehend genannte erste bis vierte Speichereinheit SE4 gemeinsam als Speichereinheiten bezeichnet werden . Durch die j eweiligen Computer können die Aufgaben des erfindungsgemäßen Verfahrens bewältigt werden . Die j eweiligen Speichereinheiten sind unter anderem auch dazu vorgesehen, Programme in Form von Programmdaten und Zerti fikate in Form von Zerti fikatsdaten abzuspeichern, damit diese durch die Computer bei Bedarf auf gerufen werden können .

In den Figuren 1 und 2 ist außerdem zu erkennen, dass über die zweite Schnittstelle S2 , die eine Funkschnittstelle ist , eine Verbindung zwischen der Lokomotive LV und einem Rechenzentrum RZ auf gebaut werden kann . Die Lokomotive LV gemäß Figur 1 ist an drei Güterwagen GW gekoppelt und bildet gemeinsam einen Fahrzeugverband FV . Die einzelnen Güterwagen GW sowie die Lokomotive LV sind über j eweils eine digitale automatische Kupplung DAK miteinander gekoppelt . Der Fahrzeugverband FV, bei dem es sich gemäß Figur 1 um einen Güterzug handelt , ist auf einem Gleis GL stehend dargestellt .

Ebenso wie die Lokomotive LV können auch in nicht dargestellter Weise die Güterwagen GW, die in Figur 1 dargestellt sind, die zweite Schnittstelle S2 bedienen . Zu diesem Zweck sind die Lokomotive LV sowie die Güterwagen GW und auch ein einen Server SV beherbergendes Rechenzentrum RZ mit Antennen AT ausgestattet . Nicht dargestellt , aber ebenso möglich, ist es , dass die Güterwagen GW nicht alle eine Antenne AT aufweisen, wobei nur Güterwagen GW, die eine Antenne AT aufweisen, über die zweite Schnittstelle S2 aus dem Rechenzentrum RZ aktuelle Software bzw . aktuelle Zerti fikate herunterladen können . Vorteilhaft können auch Güterwagen GW mit einer Antenne AT als erstes Schienenfahrzeug FZ 1 verwendet werden . Die Funktion des ersten Schienenfahrzeugs FZ 1 , des zweiten Schienenfahrzeugs FZ2 und des dritten Schienenfahrzeugs ist gemäß Figur 2 dargestellt . Bei dem ersten Schienenfahrzeug kann es sich, wie in Figur 1 dargestellt , um eine Lokomotive LV, alternativ aber auch um einen Güterwagen GW handeln . Im letzteren Falle wird der Fahrzeugverband FV insbesondere durch einen nicht mit einer Lokomotive LV verbundenen Verband von Güterwagen GW gebildet , wie dieser zum Beispiel nach Ablaufen auf einem Richtungsgleis einer Ablaufanlage Zustandekommen kann (nicht näher dargestellt ) .

Wie Figur 1 zu entnehmen ist , handelt es sich bei der ersten Schnittstelle S 1 um einen Bussystem, welches insbesondere durch ein Ethernet Train Backbone ETB oder durch einen Wire Train Bus WTB ausgebildet sein kann . Der Ethernet Train Backbone ETB wird über die digitalen automatischen Kupplungen DAK geführt .

Wie Figur 2 zu entnehmen ist , wird durch j edes der Schienenfahrzeuge (unabhängig davon, ob es sich bei diesen Fahrzeugen um eine Lokomotive LV oder einen Güterwagen GW handelt ) , ein eigene Recheninstanz RI ausgebildet . Diese Recheninstanzen RI enthalten auch j eweils einen Knoten des durch die erste Schnittstelle S 1 gebildeten Kommunikationsnetzwerks , so dass über die erste Schnittstelle S 1 eine Kommunikation geregelt werden kann . Das erste Schienenfahrzeug FZ 1 bildet hierbei einen Kontrollknoten oder auch kontrollierenden Knoten aus (nicht näher dargestellt ) , der mit Blick auf die Überprüfung der Recheninstanzen RI der anderen Schienenfahrzeuge und gegebenenfalls ein anschließendes Software-Update bzw . Update der Zerti fikate eine kontrollierende oder anders gesagt leitende Funktion übernimmt . Die Knoten und auch der Kontrollknoten des ersten Schienenfahrzeugs FZ 1 sind über sogenannte Ethernet Train Backbone Nodes ETBN an die erste als Ethernet Train Backbone ETB ausgeführte erste Schnittstelle S 1 angebunden . Im Folgenden wird für Software ( im Folgenden kurz SW) ein SW- Aktualisierungs- und Verwaltungsmechanismus für die Güterwagen GW und bei Bedarf auch für die Lokomotiven LV im Detail beschrieben . Dieser besteht aus den folgenden Hauptschritten, von denen einige optional sind - d . h . sie können mit anderen Mitteln durchgeführt werden, ohne die übrigen Schritte der Erfindung zu berühren :

Schritt 1 ( kurz INI genannt ) : In einem Fahrzeugverband FV mit oder ohne Lokomotive LV ( im Folgenden kurz Zug genannt ) wird ein Kontrollknoten als Teil der Recheninstanz RI eingerichtet , vorzugsweise auf einer Lokomotive LV . Die Recheninstanzen RI der Schienenfahrzeuge bilden j eweils ein Ethernet Consist Network ( im Folgenden kurz ECN) pro Schienenfahrzeug . Jedes ECN ist über einen Ethernet Train Backbone Node ETBN ( im Folgenden kurz ETBN) an einen Ethernet Train Backbone ETB angeschlossen, der die erste Schnittstelle S 1 bildet . Im Falle einer Mehrfachtraktion, bei der mehr als eine Lokomotive LV an den Ethernet Train Backbone ETB ( im Folgenden kurz ETB ) angeschlossen ist , wird eine Lokomotive LV ausgewählt , die den Kontrollknoten beherbergt . Vorzugsweise sollte dies diej enige mit dem besetzten Führerstand sein, aber auch andere Auswahlmechanismen sind möglich (wie z . B . , aber nicht abschließend, der führende Zugverband oder die höchste/niedrigste UIC-Nummer ) .

Schritt 2 ( kurz INF genannt ) : Übertragung der SW-Version des ETBN und ( optional ) der über diesen ETBN erreichbaren und aktualisierbaren Endgeräte ( Im Folgenden kurz ED) wie zum Beispiel Computer, Prozessoren oder Sensoren ( die gemeinsam die Recheninstanz RI des betref fenden Fahrzeugs bilden) über den ETB . Optional werden auch Software- und Hardware- Informationen wie Identi fikatoren, einschließlich Revisions- , Versions- und Zustandsinformationen sowie digitale Zerti fikate übertragen . Diese Informationen werden dann von dem Kontrollknoten verwendet , um fest zustellen, ob sich der Zug, der durch die Gesamtheit der angeschlossenen ETBNs repräsentiert wird, in einem betriebssicheren Zustand befindet . Dies erfordert eine Erweiterung der Reihe der Normen IEC 61375 , insbesondere - 1 (Allgemeine Architektur ) , -2-5 (ETB ) und -2- 8 ( TCN-Konformi tat s test s ) .

Schritt 3 ( kurz VAL genannt ) : Neben der Übertragung der Identi fikationsinformationen (Version, sichere Hashes , Signaturen) bietet das System einen Mechanismus , der es dem Kontrollknoten ermöglicht , die Softwareversion über digitale Zerti fikate kryptografisch zu validieren, so dass er nicht autorisierte Software auf einem ETBN (und/oder ED) erkennen kann . Dies ist der Mechanismus , der sicherstellt , dass auf Grundlage der erhaltenen Daten eine Nachricht generiert wird, die eine Aktualität der Softwareeigenschaften und/oder Konfigurationen sowie die Gültigkeit eines digitalen Zerti fikats für den Betrieb der Programme der anderen Recheninstanzen RI betri f ft und optional auf Grundlage der erhaltenen Daten eine Nachricht generiert wird, die eine Aktualität der Hardwareeigenschaften sowie die Gültigkeit eines digitalen Zerti fikats für den Betrieb des Computers , optional auch von Prozessoren und/oder Sensoren der anderen Recheninstanzen RI betri f ft . Dies erfolgt vorzugsweis im nachfolgend beschriebenen Schritt 4 und Schritt 5 .

Schritt 4 ( kurz LST genannt ) : Der Server SV hält eine Liste von SW-Versionen und Zerti fikate aktuell (mehr dazu unter Schritt 5 ) . Diese wird bei Bedarf an den Kontrollknoten übertragen .

Schritt 5 ( kurz CHK genannt ) : Der Kontrollknoten aktualisiert die Liste von SW-Versionen ( einschließlich aller für die Validierung der kryptografischen Versionsinformationen erforderlichen Informationen, z . B . der digitalen Zerti fikate ) , um fest zustellen, ob die im gesamten Zug verwendeten SW-Versionen gültig sind . Bei dieser Liste kann es sich um eine a . Whitelist handeln, wobei Software , die auf dieser Whitelist steht , betriebssicher ist und keine weiteren Maßnahmen erforderlich sind ( eine Aktualisierung auf eine neuere Version kann j edoch trotzdem durchgeführt werden, siehe unten) , oder eine b . Blacklist handeln, bei der die Software auf der schwarzen Liste als veraltet , nicht kompatibel und/oder unsicher für den Betrieb gilt und Abhil femaßnahmen ergri f fen werden müssen ( z .

B . Aktualisierung der SW und/oder Benachrichtigung des für die Zugintegritätsprüfung/-validierung zuständigen Personals , wie bereits erläutert ) . Bei einem reinen Blacklist-Ansatz wird j ede Software , die nicht auf dieser Blacklist steht , als betriebssicher angesehen und wie oben für die Whitelist beschrieben behandelt .

Außerdem kann es sich um eine c . Kombination aus Blacklist und Whitelist , bei der eine Softwareversion, deren Vorhandensein festgestellt wird, die aber in keiner der beiden Listen aufgeführt ist , zu einer Benachrichtigung des für die Prüfung der Zugvollständigkeit zuständigen Personals führt und eine ausdrückliche Bestätigung der Betriebssicherheit der Zugbildung erfordert . Die Behandlung von SW-Versionen, die entweder auf der Whitelist oder auf der Blacklist stehen, erfolgt wie oben beschrieben, mit Ausnahme der automatischen Whitelist bei Verwendung des reinen Blacklist-Ansatzes .

Schritt 6 . 1 und 6 . 2 ( kurz UPD_ETBN und UPD_ED genannt ) : Diese Schritte bilden die Grundlage , dass für den Fall , dass die Softwareversion nicht aktuell ist , eine Aktualisierung der Software in der Recheninstanz RI zumindest des zweiten und weiterer Schienenfahrzeuge durchgeführt wird und/oder für den Fall, dass ein Zertifikat nicht verifizierbar ist, eine Aktualisierung des Zertifikates in der Recheninstanz RI zumindest des zweiten und weiterer Schienenfahrzeuge durchgeführt wird.

Zu diesem Zweck erfolgt die Einführung eines SW-Update- Mechanismus, insbesondere mittels des ETB über die sog. e- coupler-Kontakte der Digitalen automatischen Kupplung DAK. a. Dies ist für die gesamte Erfindung optional, kann also zum Beispiel auch drahtlos oder über den erwähnten Wireless Train Bus WTB erfolgen. i. Falls nicht implementiert, ist keine SW-Verteilung über den Koppler möglich. SW-Aktualisierungen müssen dann vom Wagen durchgeführt werden, z. B. über eine drahtlose Verbindung an jedem Wagen oder über eine lokale Serviceverbindung SV. ii. Wenn sie als proprietäre Lösung implementiert ist (und daher zwischen den Herstellern nicht kompatibel ist) , können nur bestimmte Wagen auf diese Weise von einer bestimmten Lokomotive LV aktualisiert werden, was z. B. durch digitale Zertifikate sichergestellt werden kann. iii. Bei Erweiterung der IEC 61375-Reihe, insbesondere -1 (Allgemeine Architektur) , -2-5 (ETB) und -2-8 (TCN-

Konf ormitätstests ) , kann vorgesehen werden, dass Software- Updates des ETBN und der angeschlossenen ED (Endgeräte) standardisiert ermöglicht werden. Herstellerabhängige Zertifikate wären unter diesen Voraussetzungen nicht erforderlich . b. Falls nicht die Option (s.u.) gewählt wird, wird ein zweistufiger Ansatz verfolgt, bei dem zunächst der ETBN selbst und anschließend die EDs aktualisiert werden.

Schritt 6.1: Der ETBN wird zuerst aktualisiert. Hierzu kann, wie erwähnt, die erste Schnittstelle S1 verwendet werden. - Der ETBN empfängt eine SW-Aktualisierungsanf orderung von einem Kontrollknoten in der Führungsgruppe .

- Der ETBN authenti fi ziert den Kontrollknoten

- Der ETBN ruft das neue SW-Paket vom kontrollierenden Knoten ab ( oder der kontrollierende Knoten schiebt die SW) ; sobald die SW empfangen wurde , installiert der ETBN die SW selbständig, sofern dies sicher ist ( oder er wartet auf die Anweisung des kontrollierenden Knotens zur Installation der SW) .

Optional kann der ETBN zusätzliche Kompatibilitätsprüfungen für ein erfolgreiches Update durchführen (Abgleich mit der aktuellen Software- und Hardware-Revision) .

- Sobald die Aktualisierung abgeschlossen ist , meldet der ETBN die neue SW-Version an den steuernden Knoten .

Schritt 6 . 2 : Der aktualisierte ETBN aktualisiert die angeschlossenen EDs

- Der ETBN meldet die über diesen ETBN erreichbaren EDs ( die zu einer SW-Aktualisierung fähig sind, indem er dem ETBN diese Fähigkeit mitteilt ) an den steuernden Knoten in der Führungsgruppe . Für j ede ED werden die aktuellen SW- und HW- Versionen sowie Zustandsinformationen gemeldet .

- Der kontrollierende Knoten prüft , ob der ED eine SW- Aktualisierung benötigt ( siehe oben : allgemeine Regeln für die Aktualisierung) .

- Der Kontrollknoten, auch kontrollierender Knoten genannt , übergibt das SW-Aktualisierungspaket für den ED an den ETBN und weist den ETBN an, die Aktualisierung durchzuführen (vorausgesetzt , das System befindet sich in einem Zustand, in dem eine solche Aktualisierung zulässig ist ) Alternativ kann vorgesehn werden, dass der ETBN nur als Gateway fungiert und der Kontrollknoten die Aktualisierung direkt auf dem ED durchführt (mit dem ETBN als GW zwischen ETB und ECN) .

- Der ETBN veranlasst die Aktualisierung eines ED nur dann, wenn er die Anweisung dazu erhält und sich selbst in einem Zustand befindet , in dem dies sicher ist . - Der ED prüft , ob eine SW-Aktualisierung im aktuellen Zustand sicher ist , bevor er die SW-Aktualisierung einleitet .

- Der ED führt die Aktualisierung durch und meldet die dann laufende Version über den ETBN an den kontrollierenden Knoten .

Option : Es ist auch eine Variante möglich, bei der die SW für den ETBN und alle angeschlossenen ED in einem einzigen Paket enthalten ist ) , in Figur 3 nicht dargestellt . c . Allgemeine Regeln für die Aktualisierungsstrategie : Da die Aktualisierung automatisiert werden muss , gelten die folgenden Regeln

- Wenn eine SW mit einer neueren Version für einen bestimmten ETBN/ED auf dem oder für den kontrollierenden Knoten verfügbar ist , wird eine Aktualisierung durchgeführt (bei ordnungsgemäßem Systemzustand)

- Wenn die aktuelle SW-Version eines ETBN/ED auf dem kontrollierenden Knoten auf einer Blacklist steht und eine andere ( gültige , nicht auf der Blacklist stehende ) SW auf dem oder für den kontrollierenden Knoten verfügbar ist , wird eine Aktualisierung durchgeführt , auch wenn dadurch die SW des ETBN/ED herabgestuft wird .

- Wenn die aktuelle SW-Version eines ETBN auf dem steuernden Knoten auf einer Blacklist steht und keine andere ( gültige , nicht auf der Blacklist stehende ) SW auf dem oder für den steuernden Knoten verfügbar ist , wird der ETBN in den Modus "defekt" gesetzt und nicht verwendet .

- Wenn die aktuelle SW-Version eines ED auf der schwarzen Liste des steuernden Knotens steht und keine andere ( gültige , nicht auf der Blacklist stehende ) SW auf dem oder für den steuernden Knoten verfügbar ist , wird der ETBN, der diesen ED steuert , darüber informiert , den ED in den Modus "defekt" zu setzen .

- Wenn ETBNs oder EDs aus irgendeinem Grund nicht aktualisiert werden können, muss der steuernde Knoten den Triebfahrzeugführer/ Zugleit er /Wagenhai ter /Eisenbahnunternehmen informieren, damit Abhil fe geschaf fen wird . d . Darüber hinaus muss eine lokale SW-Aktualisierung j ederzeit möglich sein, wenn sich der Zugverband in einem sicheren Zustand befindet .

- Zur Unterstützung des Aktualisierungsmechanismus bietet der Kontrollknoten Zugang zu einem oder mehreren streckenseitigen Repositories , aus denen die aktuelle Software für j eden ETBN/ED-Knoten, der aktualisiert werden muss , abgerufen werden kann . Darüber hinaus kann der kontrollierende Knoten einen lokalen Speicher für einige oder alle diese Softwarepakete bereitstellen, um zu vermeiden, dass sie mehrfach über ein drahtloses/mobiles Netz abgerufen werden müssen . Optional werden mit j edem Bild zusätzliche Informationen darüber bereitgestellt , wie oft es verwendet wird, so dass bei Erschöpfung der Speicherkapazität im Kontrollknoten entschieden werden kann, welches Bild verworfen werden soll .

Bezugs zeichenliste

RI Recheninstanzen

Fl erste Funktionskomponente

F2 zweite Funktionskomponente

F3 dritte Funktionskomponente

51 erste Schnittstelle

52 zweite Schnittstelle

53 dritte Schnittstelle

54 vierte Schnittstelle

55 fünfte Schnittstelle

CI ersten Computer

PI erster Prozessor

SEI ersten Speichereinheit

511 eine el fte Schnittstelle

C2 zweiten Computer

P2 zweiter Prozessor

SE2 einer zweiten Speichereinheit

512 eine zwöl fte Schnittstelle

C3 dritten Computer

P3 dritter Prozessor

SE3 dritten Speichereinheit

513 eine 13 . Schnittstelle

C4 vierten Computer

P4 vierter Prozessor

SE4 vierten Speichereinheit

514 14 . Schnittstelle

LV Lokomotive

RZ Rechenzentrum

GW Güterwagen

FV Fahrzeugverband

DAK digitale automatische Kupplung

GL Gleis

SV Server

AT Antenne

FZ 1 erstes Schienenfahrzeug FZ2 zweiten Schienenfahrzeug

ETB Ethernet Train Backbone

WTB Wire Train Bus

ETBN Ethernet Train Backbone Nodes

Claims

Patentansprüche

1. Verfahren zum Überprüfen von Recheninstanzen (RI) von Schienenfahrzeugen wobei a) auf den Recheninstanzen (RI) installierte Programme und/oder von in den Recheninstanzen (RI) gespeicherte Konfigurationen geprüft werden, b) von diesen Schienenfahrzeugen ein erstes Schienenfahrzeug (FZ1) , welches eine Lokomotive (LV) oder ein Güterwagen (GW) ist, mit mindestens einem zweiten Schienenfahrzeug (FZ2) , welches ein Güterwagen (GW) ist, einen gekoppelten Fahrzeugverband (FV) bildet, dadurch gekennzeichnet, dass das Überprüfen der Recheninstanzen (RI) in dem Fahrzeugverband (FV) durch das erste Schienenfahrzeug (FZ1) durchgeführt wird, wobei c) zwischen der Recheninstanz (RI) des ersten Schienenfahrzeugs (FZ1) und der Recheninstanz (RI) zumindest des zweiten Schienenfahrzeugs (FZ2) über eine erste Schnittstelle (Sl) eine Kommunikationsverbindung aufgebaut wird, d) die Recheninstanz (RI) des ersten Schienenfahrzeugs (FZ1) über die Kommunikationsverbindung von zumindest der Recheninstanz (RI) des zweiten Schienenfahrzeugs (FZ2) Daten über die auf den betreffenden Schienenfahrzeugen bestehenden Softwareeigenschaften der Programme und/oder gespeicherten Konfigurationen erhält, e) auf Grundlage der erhaltenen Daten eine Nachricht generiert wird, die eine Aktualität der Softwareeigenschaften und/oder Konfigurationen sowie die Gültigkeit eines digitalen Zertifikats für den Betrieb der Programme betrifft.

2. Verfahren zum Überprüfen nach Anspruch 1, dadurch gekennzeichnet, dass f) zusätzlich zu den auf den Recheninstanzen (RI) installierten Programmen und/oder zu den in den Recheninstanzen (RI) gespeicherte Konfigurationen mindestens ein die Recheninstanz (RI) bildender Computer geprüft wird, g) die Recheninstanz (RI) des ersten Schienenfahrzeugs (FZ1) über die Kommunikationsverbindung von zumindest der Recheninstanz (RI) des zweiten Schienenfahrzeugs (FZ2) Daten über die auf den betreffenden Schienenfahrzeugen bestehenden Hardwareeigenschaften des mindestens einen Computers erhält, h) auf Grundlage der erhaltenen Daten eine Nachricht generiert wird, die eine Aktualität der Hardwareeigenschaften sowie die Gültigkeit eines digitalen Zertifikats für den Betrieb des mindestens einen Computers betrifft.

3. Verfahren zum Überprüfen nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass die erste Schnittstelle (Sl) durch einen Wire Train Bus (WTB) oder Ethernet Train Backbone (ETB) gebildet wird.

4. Verfahren zum Überprüfen nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass das erste Schienenfahrzeug (FZ1) sowie zumindest das zweite

Schienenfahrzeug (FZ2) über eine digitale automatische Kupplung (DAK) miteinander gekoppelt sind.

5. Verfahren zum Überprüfen nach einem der vorhergehenden

Ansprüche, dadurch gekennzeichnet, dass das erste

Schienenfahrzeug (FZ1) i) für den Fall, dass die Softwareversion nicht aktuell ist, eine Aktualisierung der Software in der Recheninstanz (RI) zumindest des zweiten Schienenfahrzeugs (FZ2) durchführt und/ oder j) für den Fall, dass ein Zertifikat nicht verifizierbar ist, eine Aktualisierung des Zertifikates in der Recheninstanz (RI) zumindest des zweiten Schienenfahrzeugs (FZ2) durchführt.

6. Verfahren zum Überprüfen nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass das erste Fahrzeug über eine zweite Schnittstelle (S2) verfügt, über die Aktualisierungsdaten für eine Aktualisierung der Software oder eine Aktualisierung des Zertifikates von einem Server (SV) bezogen werden können.

7. Verfahren zum Überprüfen nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass als erstes Schienenfahrzeug (FZ1) in dem Fahrzeugverband (FV) ein Güterwagen (GW) ausgewählt wird, wobei vor der Auswahl geprüft wird, ob die auf den Recheninstanzen (RI) installierten Programme ausgeführt werden können und die digitalen Zertifikate gültig sind.

8. Verfahren zum Überprüfen nach Anspruch 7, dadurch gekennzeichnet, dass unter den Güterwagen (GW) des Fahrzeugverbands (FV) derjenige oder einer derjenigen Güterwagen (GW) ausgewählt wird, der oder die die neueste Version der installierten Programme aufweist.

9. Verfahren zum Überprüfen nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass das digitale Zertifikat eine Nutzungserlaubnis enthält.

10. Verfahren zum Überprüfen nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass das digitale Zertifikat eine Integrität und/oder Gültigkeit der Software belegt .

11. Verfahren zum Überprüfen nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass auf dem ersten Schienenfahrzeug (FZ1) eine Whitelist aller zulässigen Versionen für installierte Programme und aller zulässigen Zertifikate vorhanden ist und/oder eine Blacklist aller nicht zulässigen Versionen für installierte Programme und aller nicht zulässigen Zertifikate vorhanden ist, anhand derer geprüft wird, ob das auf zumindest dem zweiten Schienenfahrzeug (FZ2) installierte Programm in der vorhandenen Version ausgeführt werden darf und/oder das mindestens eine auf zumindest dem zweiten Schienenfahrzeug

(FZ2) verfügbare digitale Zertifikat gültig ist.

12. Lokomotive mit einem Computer und einer ersten Schnittstelle (Sl) dadurch gekennzeichnet, dass der Computer eingerichtet ist, ein Verfahren gemäß einem der voranstehenden Ansprüche auszuführen.

13. Güterwagen mit einem Computer und einer ersten Schnittstelle (Sl) dadurch gekennzeichnet, dass der Computer eingerichtet ist, ein Verfahren gemäß einem der Ansprüche 1-11 auszuführen.

14. Computerprogramm, umfassend Programmbefehle, die bei der Ausführung des Programms durch die Lokomotive (LV) nach Anspruch 12 oder durch den Güterwagen (GW) nach Anspruch 13 einen Computer dazu veranlassen, das Verfahren nach einem der Ansprüche 1 - 11 auszuführen.

15. Computerlesbares Speichermedium, auf dem das

Computerprogrammprodukt nach dem letzten voranstehenden Anspruch gespeichert ist.