ES2671422T3

ES2671422T3 - Procedimiento para la revelación de errores en un sistema informático de enclavamientos y sistema informático de enclavamientos

Info

Publication number: ES2671422T3
Application number: ES15700439.1T
Authority: ES
Inventors: Thomas Gehrke
Original assignee: Siemens AG
Current assignee: Siemens AG
Priority date: 2014-01-29
Filing date: 2015-01-09
Publication date: 2018-06-06
Anticipated expiration: 2035-01-09
Also published as: WO2015113792A2; DE102014201551A1; NO2696690T3; EP3074293A2; DK3074293T3; EP3074293B1; WO2015113792A3; HUE039139T2

Abstract

Procedimiento para la revelación de errores en un sistema informático de enclavamientos con un canal de operación (1), cuyas señales de entrada representan mensajes de estado seguros en técnica de señales de un sistema de seguridad ferroviaria (3) y cuyas señales de salida están configuradas para la operación de al menos un elemento, por ejemplo de una señal luminosa, del sistema de seguridad ferroviaria (3), y se visualizan sobre una pantalla(5), caracterizado porque, al comienzo de la operación del elemento, sólo se generan variaciones de estado específicas de la operación como datos de pixel específicos del elemento, codificados ópticamente, particularmente codificados por QR - Respuesta Rápida (Quick Response) - de la pantalla (5), y son leídos por un canal de relectura (8) y comparados con los datos específicos del elemento de una imagen del proceso (12) de los mensajes de estado seguros en técnica de señales.

Description

5

10

15

20

25

30

35

40

45

50

DESCRIPCION

Procedimiento para la revelación de errores en un sistema informático de enclavamientos y sistema informático de enclavamientos.

La invención se relaciona con un procedimiento para la revelación de errores en un sistema informático de enclavamientos con un canal de operación, cuyas señales de entrada representan mensajes de estado seguros en técnica de señales de un sistema de seguridad ferroviaria y cuyas señales de salida están configuradas para la operación de al menos un elemento, por ejemplo de una señal luminosa, del sistema de seguridad ferroviaria y se visualizan en una pantalla, así como un sistema informático de enclavamientos para ejecutar el procedimiento.

En el contexto de las operaciones auxiliares en el sistema informático de enclavamientos hay que garantizar que la base de la toma de decisiones, es decir, la imagen de mensaje en la pantalla, que se muestra al operador, corresponde al estado real del sistema de seguridad ferroviaria. El objetivo primario de la operación auxiliar consiste en proporcionar al operador la base de toma de decisiones más segura en situaciones críticas. La captura de imágenes se basa, además, en principio, en la comparación de dos imágenes, o sea, la imagen en la pantalla, que se proporciona al operador, y la imagen de un sistema de referencia, que produce la misma representación.

En un sistema conocido tal se prevén a tal efecto un canal de operación y un canal de referencia. Estos canales de procesador procesan la información del sistema de seguridad ferroviaria, que representa una fuente de mensajes segura, por ejemplo, un ESTW - enclavamiento electrónico -. El canal de operación y el canal de referencia son idénticos en lo que se refiere a sus señales de entrada y algoritmos utilizados. En un procesamiento de señales sin errores, la imagen de referencia del canal de referencia y la imagen de estado del canal de operación coinciden. Para determinar esta coincidencia, en ambos canales de determinan sumas de comprobación y se transmiten, en el contexto de la operación auxiliar, a la fuente de mensajes segura para compararlas.

En este procedimiento conocido, se comprueba con precisión de píxeles toda la imagen de pantalla. En consecuencia, se comprueba una zona de imagen significativamente mayor que la necesaria y los posibles errores en una zona de imagen menos relevante o hasta irrelevante de la pantalla pueden evitar una liberación de comandos.

Resulta perjudicial, además de la comprobación a fondo de todos los píxeles de la imagen, especialmente el considerable esfuerzo para comparar las sumas de comprobación. Esto implica requisitos de SIL muy altos para los sistemas individuales. Los niveles de seguridad SIL están definidos en la norma EN50129 de CENELEc desde SIL 0 - no seguro en técnica de señales - hasta SIL 4 - extremadamente seguro en técnica de señales -.

Por otra parte, los tamaños de pantalla para la imagen de estado y la imagen de referencia han de ser idénticos, de modo que no sea posible ampliar durante la operación auxiliar. Gracias al documento WO 2011 154 343 A2, se conocen un procedimiento y un sistema según los términos genéricos de las reivindicaciones independientes.

La invención se basa en el objeto de especificar un procedimiento y un sistema informático de enclavamientos de tipo apropiado, que, con revelación de errores altamente segura, toleren errores de píxeles irrelevantes y tengan una mayor disponibilidad, donde son deseables los requisitos SIL más bajos posibles. Conforme a la invención, el objeto se resuelve con el procedimiento según la reivindicación 1.

El objeto se resuelve también con un sistema informático de enclavamientos conforme a la invención según la reivindicación 2.

De esta manera, el operador recibe una base segura para la toma de decisiones, en la que el procedimiento de protección se simplifica significativamente y es tolerante a errores de píxeles no significativos frente a la solución conocida con la lectura completa del contenido de la pantalla y el recálculo en una imagen del proceso, el procedimiento reivindicado es mucho más simple, ya que no todo el contenido de la pantalla se recalcula por completo, sino que sólo las variaciones de estado actuales se transmiten de manera legible por máquina y casi se ajustan por medios ópticos, preferiblemente a través de códigos QR - Respuesta Rápida (Quick Response) -.

Los costes de desarrollo del sistema se reducen debido a que los requisitos SIL se desplazan en gran medida como un componente separado en el sistema de referencia. Idealmente, sólo se requiere un nivel de SIL de 0 a través del canal de operación y un nivel SIL de menos de 4 para el sistema de referencia, en función de la seguridad requerida del sistema global. Por lo tanto, se logra una separación más clara entre la funcionalidad segura y la no segura. Además, la solución conforme a la invención también permite la ampliación, ya que el código QR - Respuesta Rápida (Quick Response) - contiene información de estado que no depende de la imagen utilizada.

5

10

15

20

25

30

35

40

45

50

Dado que el sistema de referencia sólo evalúa la porción de imagen del pixel de texto y/o gráfico significativo para el estado del elemento representado, el procedimiento en conjunto es claramente menos susceptible a errores de píxeles que el procedimiento conocido. De este modo se eleva la disponibilidad del sistema de enclavamientos.

Resulta además ventajoso que el software del canal de operación pueda reemplazarse fácilmente, debido al bajo nivel de seguridad, sin poner en peligro la aprobación del sistema.

Además, existe la ventaja de que la función de la estación del operador solo tenga que extenderse ligeramente para emitir las variaciones de estado en forma de códigos QR - Respuesta Rápida (Quick Response) -. Sin embargo, también es posible mantener la estación del operador sin alterar y mostrar el código QR - Respuesta Rápida (Quick Response) - en un aparato emisor separado.

En un modo de operación especialmente preferente conforme a la reivindicación 3 se prevé que el canal de relectura esté configurado para emitir las primeras sumas de comprobación y el canal lógico, para la emisión de las segundas sumas de comprobación. Ambas sumas de comprobación se transmiten mediante el sistema de referencia, en el modo habitual para el proceso de liberación de comandos, a la fuente de mensajes segura, por ejemplo, un ESTW - enclavamiento electrónico - o un ETCS - sistema europeo de control de trenes (European Train Control System) -, para allí compararse.

La invención se explicará a continuación con más detalle en base a una representación figurativa. La figura muestra los componentes esenciales de un sistema informático de enclavamientos conforme a la invención.

En vez de los canales de procesador conocidos, esencialmente idénticos, se prevén un procesador de estación de mando que funciona como canal de operación 1 y un sistema de referencia 2, que usan algoritmos muy diferentes para tareas muy diferentes.

El canal de operación 1 genera, a partir de mensajes de estado seguros en técnica de señales de un sistema de seguridad ferroviaria 3 y por medio de una lógica de enclavamiento proyectada, una imagen del proceso 4, que se condiciona para visualizar una correspondiente representación textual y/o gráfica sobre una pantalla 5. La operación, para, por ejemplo, poner una señal luminosa de PARADA durante la TRAVESÍA, tiene que implantarse como operación auxiliar, porque el enclavamiento violaría en caso contrario sus normas de seguridad. La operación auxiliar se envía al enclavamiento a través del canal de operación 1.

Simultáneamente con el comienzo de la operación, la representación en color del sistema de referencia 2 mostrada sobre la pantalla 5 se evalúa en lo que se refiere a errores de píxeles y errores en el procesamiento de señales en el canal de operación 1. A tal efecto, primero se generan las variaciones de estado específicas de la operación como códigos QR - Respuesta Rápida (Quick Response) - y se leen con un lector de códigos QR 7 de un canal de relectura 8 del sistema de referencia 2. Los correspondientes píxeles de imagen se convierten en un procesador 9 en una segunda imagen del proceso 10 legible por máquina, que posibilita una formación de las sumas de comprobación.

En un canal lógico 11 del sistema de referencia 2 se forma una segunda suma de comprobación a través de una imagen del proceso 12 de este canal lógico 11. La imagen del proceso 12 se forma - como la imagen del proceso 4 en el canal de operación - directamente a partir de la lógica de enclavamiento proyectada y, por tanto, directamente a partir de los mensajes de estado seguros en técnica de señales del sistema de seguridad ferroviaria 3.

Las sumas de comprobación del canal de relectura 8 y del canal lógico 11 se comparan mediante un comparador 13, que es preferentemente componente de la zona segura en técnica de señales del sistema de enclavamientos. Sólo si ambas sumas de comprobación coincidieran, podría suponerse que el procesamiento de señales en el canal de operación 1 ha concluido sin errores y la pantalla 5 está libre de errores en las zonas de píxeles relevantes, de forma que pueda realizarse la liberación de comandos. En este procedimiento de protección se ignoran las zonas de píxeles de la pantalla 5 no necesarias para las acciones operativas momentáneas, por lo que se produce una alta disponibilidad del sistema global.

Mediante la interacción del canal 1 y el sistema de referencia 2 con ambos canales independientes 8 y 11 para la evaluación de píxeles y para la evaluación del proceso, se origina una alta seguridad técnica de señales, donde el canal de operación 1 asegurado por el sistema de referencia 2 puede tener un nivel de seguridad SIL 0. Como resultado, el rango de funciones con SIL mayor que 0 se limita al sistema de referencia 2 y puede reducirse significativamente - respecto al sistema global -frente al modo de operación conocido.

Claims

5

10

15

20

25

30

REIVINDICACIONES

1. Procedimiento para la revelación de errores en un sistema informático de enclavamientos con un canal de operación (1), cuyas señales de entrada representan mensajes de estado seguros en técnica de señales de un sistema de seguridad ferroviaria (3) y cuyas señales de salida están configuradas para la operación de al menos un elemento, por ejemplo de una señal luminosa, del sistema de seguridad ferroviaria (3), y se visualizan sobre una pantalla(5), caracterizado porque, al comienzo de la operación del elemento, sólo se generan variaciones de estado específicas de la operación como datos de pixel específicos del elemento, codificados ópticamente, particularmente codificados por QR - Respuesta Rápida (Quick Response) - de la pantalla (5), y son leídos por un canal de relectura (8) y comparados con los datos específicos del elemento de una imagen del proceso (12) de los mensajes de estado seguros en técnica de señales.
2. Sistema informático de enclavamientos con revelación de errores, donde el sistema informático de enclavamientos presenta un canal de operación (1), cuyas señales de entrada representan mensajes de estado seguros en técnica de señales de un sistema de seguridad ferroviaria (3) y cuyas señales de salida están diseñadas para operar al menos un elemento, por ejemplo una señal luminosa, de un sistema de seguridad ferroviaria (3), y una pantalla, sobre la que se visualizan las señales de salida del canal de operación (1), un comparador (13) y un sistema de referencia (2), caracterizado porque el sistema informático de enclavamientos está diseñado, al comienzo de la operación del elemento, para generar sólo variaciones de estado específicas de la operación como datos de pixel, codificados ópticamente y específicos del elemento, de la pantalla (5), y el sistema de referencia (2) presenta un canal de relectura (8) para leer datos de pixel codificados ópticamente, particularmente codificados por QR - Respuesta Rápida (Quick Response) - específicos del elemento, de la pantalla (5) y un canal lógico (11) para generar una imagen del proceso (12) de los mensajes de estado seguros en técnica de señales del sistema de seguridad ferroviaria (2), donde el canal de relectura (8) y el canal lógico (11) están conectados con el comparador (13).
3. Sistema informático de enclavamientos según la reivindicación 2, caracterizado porque el canal de relectura (8) está configurado para emitirlas primeras sumas de comprobación y el canal lógico (11), para emitir las segundas sumas de comprobación.