ITGE20110034A1 - Sistema di rappresentazione in sicurezza dello stato dell'equipaggiamento di un impianto di segnalamento ferroviario - Google Patents

Description

Descrizione a corredo di una domanda di Brevetto per Invenzione Industriale per il trovato avente per titolo “Sistema di rappresentazione in sicurezza dello stato del'equipaggiamento di un impianto di segnalamento ferroviarioâ€

TESTO DELLA DESCRIZIONE

La presente invenzione si riferisce ad un calcolatore, dotato di risorse grafiche, per la rappresentazione grafica di schemi di segnalamento ferroviario. I sistemi “interlocking†a calcolatore solitamente consistono di un centro di controllo ed un apparato periferico.

Il funzionamento in sicurezza del traffico ferroviario à ̈ gestito da sistemi di segnalamento ferroviario che controllano i segnali luminosi di linea tra le stazioni ed all’interno delle aree delle stazioni, con l’obiettivo primario di evitare incidenti.

Il sistema di segnalamento ferroviario à ̈, perciò, un sistema cosiddetto “in sicurezza†.

I sistemi in sicurezza, in ambito ferroviario, ed, in particolare, l’interfaccia uomo-macchina, non sono mai stati sviluppati con un livello di sicurezza intrinseca maggiore di SIL2, che à ̈ uno standard di sicurezza noto al tecnico del ramo. I fornitori di sistemi di segnalamento ferroviario stanno cercando di sviluppare sistemi sempre più sicuri ma con l’utilizzo di componenti commerciali (monitor con “buffer†di memoria etc.). Questo compito diventa sempre più difficile. Lo scopo principale di questo sistema à ̈ garantire che i treni non superino mai segnali nello stato di via impedita onde evitare collisioni tra treni. La progettazione dell’interfaccia uomo-macchina deve fornire la corretta informazione all’operatore così che le azioni del medesimo possano essere compiute in modo prudente e sicuro.

L’invenzione si riferisce ad un sistema di rappresentazione dello stato dell’equipaggiamento del segnalamento ferroviario, controllato da un sistema elettronico a calcolatore, in modo sicuro e corretto secondo i livelli d’integrità di sicurezza S1L 4 come definiti dagli standard CENELEC EN 50126, EN 50128 ed EN 50129.

Negli anni recenti, il controllo dei sistemi di segnalamento ferroviario à ̈ stato trasformato da controlli basati su semplici relà ̈ all’utilizzo di apparati statici a calcolatore detti “interlocking†. Questo ha permesso la trasformazione da un controllo della linea ferroviaria tramite pannelli sinottici, che utilizzano la tecnologia di pannelli mosaici per la rappresentazione di dispositivi controllati, all’uso di postazioni di lavoro con monitor commerciali, tastiera funzionale e mouse.

L’informazione visualizzata su queste unità video consente all’operatore di comprendere lo stato delle apparecchiature lunga linea e di poter inviare comandi per controllare lo stato di questi enti. Per esempio, i treni sono smistati da binario a binario mediante deviatoi e segnali luminosi.

L’operatore invierà un comando per muovere uno scambio dalla sua posizione normale alla sua posizione di rovescio, e vice-versa.

Nei sistemi tradizionali a relà ̈, i comandi sono inviati ruotando chiavi o commutatori meccanici. Lo stato dei dispositivi à ̈ dato dall’accensione di un’indicazione luminosa acquisita dall’appaiato a relà ̈.

La protezione del sistema à ̈ realizzata tramite l’†interlocking†controllando che ciò che à ̈ stato inviato dall’operatore sia compatibile con lo schema di segnalamento. La posizione dei treni lungo un binario à ̈ verificata attraverso i cosiddetti circuiti di binario. La presenza di un treno su un dato circuito binario viene trasmessa all’†interlocking†e quest’ultimo evita che qualsiasi altro movimento in conflitto venga inviato dall’operatore.

Muovendosi nell’era della tecnologia moderna, l’utilizzo di sistemi di controllo via rete vengono progettati e sviluppati con l’uso di prodotti commerciali immediatamente disponibili. Questi prodotti comprendono monitor e simili. I monitor disponibili sul mercato sono identici a quelli usati per l’interfaccia con personal computer. Alcuni di questi monitor hanno una memoria interna per la memorizzazione di informazioni.

Poiché il sistema di comando e visualizzazione di un sistema ferroviario à ̈ normalmente progettato con una struttura elettronica singola, basata su un sistema di sicurezza reattiva, in altre parole una tecnica che consente ad una funzione correlata con la sicurezza di essere svolta da una unità singola, a condizione che il suo corretto funzionamento sia assicurato da un rapido sistema di rilevamento e di negazione di ogni guasto pericoloso (per esempio, tramite codifica, elaborazione multipla e comparazione, oppure tramite prove continue), il sistema non può essere certificato con un livello d'integrità della sicurezza maggiore del livello 2 (SIL 2).

Con l’introduzione di questi prodotti commerciali diversi dubbi sono stati sollevati sulla validità dellinformazione sullo schermo rispetto allo stato attuale dei dispositivi che sono controllati. Diversi anni fa, era responsabilità del dirigente movimento telefonare alla stazione e chiedere all’operatore ferroviario di controllare visivamente il dispositivo quando vi erano dubbi sull’informazione fornita. In diversi casi, à ̈ successo che i dirigenti del movimento abbiano avuto seri dubbi sull’informazione visualizzata sui monitor. Questo può causare ritardi alla rete ferroviaria e ridurre l’affidabilità e disponibilità dei sistemi di segnalamento.

Gli apparati statici di “interlocking†basati su calcolatore sono sviluppati e progettati per un livello 4 (SIL 4) di sicurezza intrinseca.

Vi à ̈, perciò, la necessità di fornire un sistema di comando e visualizzazione che sia capace di fornire l’informazione ai dirigenti di movimento migliorando la sicurezza e le misure per prevenire guasti sistematici ed il controllo dei guasti casuali e sistematici.

Scopo della presente invenzione à ̈ di evitare questi problemi mediante la fornitura di un sistema che sia capace di migliorare le tecniche e misurazioni in modo da fornire un livello 4 (SIL 4) di sicurezza intrinseca del l’informazione fornita all’operatore.

La soluzione prevede l’uso di un computer basato sul collegamento configurato in un’architettura ridondante, con la semplice aggiunta di componenti grafici commerciali, e l’impiego di software di applicazione, che à ̈ stato sviluppato in conformità con gli standard di sicurezza.

Per fornire un sistema sicuro, secondo gli standard CENELEC (EN 50126, EN 50128, EN 50129), viene definito lo stato sicuro del sistema.

Questo à ̈ rappresentato dallo spegnimento dei monitor effettuato da una unità di supervisione (“watch-dog†). Per le tipiche applicazioni ferroviarie l’interfaccia uomo-macchina consiste in uno o più monitor, tastiera e mouse. L’informazione che deve essere visualizzata all’operatore, comunemente riferita ad uno stato del sistema, à ̈ inviata da una unità centrale dell’†interlocking†al computer grafico. Questa informazione à ̈ inviata ad ogni ciclo dell’unità centrale. Prima che l’informazione venga inviata al computer grafico, l’unita “watch-dog†valuterà l’informazione inviata da entrambe le sezioni (A e B) dell’unità di collegamento centrale.

L’informazione disponibile per l’operatore à ̈ visualizzata in due differenti modi. Il pannello “overview†(visione d’insieme) rappresenta l’area della stazione o della linea ferroviaria, mentre la visualizzazione a lente d’ingrandimento rappresenta un dispositivo specifico od entità. Entrambe sono visualizzate sul terminale dell’operatore. Per esempio, se l’operatore decide di azionare un deviatoio, egli agirà su questo cliccando un’icona dedicata sul terminale dell’operatore.

Una finestra, allora, apparirà illustrando i dettagli di questo particolare dispositivo. Questa finestra à ̈ conosciuta come visualizzazione a lente d’ingrandimento o semplicemente “magnifier display†. Non tutti i dispositivi sono disponibili in questo tipo di finestra, ma questo può variare da applicazione ad applicazione.

Una volta che il computer grafico riceve lo stato del sistema, creerà un’immagine da inviare direttamente al monitor 1. Allo stesso tempo questo segnale video à ̈ anche catturato da un sistema di cattura di immagini “frame grabber†. L’immagine catturata viene, quindi, mandata indietro alla sezione 2 dell’unità di “interlocking†e viene confrontata con l’informazione che era stata originariamente inviata. Se il confronto à ̈ corretto, l’informazione verrà visualizzata sul monitor nella postazione di lavoro e l’operatore sarà in grado di continuare a controllare il sistema di segnalamento.

Se questo confronto non à ̈ corretto, allora il monitor si spegnerà per indicare all’operatore che l’informazione à ̈ inaffidabile. In questo modo, per il mantenimento dello stato sicuro, l’†interlocking†a calcolatore, ed in particolare l’unità di “watch-dog†, effettuerà disconnessione automaticamente dal processo del sistema o sottosistema, entità difettosa o blocco di tutte le funzioni relazionate con la sicurezza di questa entità del sistema oppure del sottosistema difettoso, come indicato nella norma CENELEC EN 50129 Tavola E.5 articolo 7 “Mantenimento dello stato sicuro†.

Una descrizione della presente invenzione viene fornita facendo riferimento ai disegni allegati, in cui:

- La Figura 1 à ̈ un diagramma a blocchi del sistema di rappresentazione in cui sono in particolare illustrati i principali dispositivi elettronici del sistema, - La Figura 2 à ̈ un’illustrazione schematica della parte di visualizzazione del controllo che illustra i principali componenti come riferito nel testo di questo documento.

Per gli scopi di questo documento, il monitor utilizzato per visualizzare la visualizzazione panoramica ed a lente d’ingrandimento à ̈ chiamato monitor M. Altri monitor sono illustrati come mero esempio. Questo monitor M viene indicato come terminale dell’operatore.

La Figura 1 illustra i principali componenti del sistema.

Un sistema di cattura di immagini (“frame grabber†) FG a partire da dispositivi video sono alla base del sistema e le immagini rilevate da tale sistema sono elaborate da due computer principali 1 e 2, che determinano un sistema ridondante. Ciò significa che ciascuna sezione S à ̈ doppiamente controllata.

I dati che arrivano dalle apparecchiature di campo e/o i dati relativi ai comandi ricevuti dall’operatore sul sistema di visualizzazione del comando, sono elaborati da ciascun computer. I dati elaborati dai due computer sono monitorati e confrontati da un circuito di sorveglianza WD (“watch-dog†) che convalida i dati e li trasmette ad un sistema di visualizzazione e controllo V. Se vi à ̈ una differenza nei dati elaborati da entrambi i computer 1 e 2, la sorveglianza (“watch-dog†) arresterà il sistema e si accerterà che lo stato sicuro del medesimo sia mantenuto. In altre parole, nessun comando viene inviato all’impianto ed il monitor d’interfaccia si spegnerà. L’informazione non à ̈ aggiornata sul monitor sino alla ripartenza del sistema. Questo arresto à ̈ irreversibile, il che significa che il sistema deve essere riavviato dal manutentore o dalla persona responsabile.

I dati elaborati e validati dall’†interlocking†a calcolatore sono inviati nella rete al computer 1. I dati vengono allora elaborati e convalidati da questo server e, quindi, inviati attraverso un sistema grafico ad un video catturatore FG (“frame grabber†).

Esso cattura le immagini in modo che vengano visualizzate sul monitor. Questo elemento realizza allora due separate funzioni. Dapprima invia l’immagine catturata al secondo computer 2 ed invia l’immagine per essere visualizzata sul monitor nella postazione del segnalatore.

L’immagine inviata indietro al computer 2 à ̈ scritta in memoria ed una seconda immagine viene creata. Viene allora fatta una comparazione con l immagine iniziale mandata al computer 1. Se le due immagini coincidono, il circuito di sorveglianza WD continuerà ad operare normalmente, altrimenti i processori rileveranno un errore ed il monitor si spegnerà.

La Figura 2 illustra un esempio del monitor M , in cui esso à ̈ diviso in aree diverse comprendenti una zona di visione d’insieme ZI (“overview†), una visualizzazione a lente d’ingrandimento L, una zona per i comandi ZC ed una zona per gli allarmi ZA.

Durante la normale operatività, l’operatore osserverà lo stato della linea ferroviaria sul monitor, ed avrà diverse opzioni disponibili. Il pannello "overview†ZI visualizzerà lo stato dell’intera linea consistente nelle aree di stazione e dispositivi. Vi sarà anche informazione circa le identità così che l’operatore possa selezionare queste quando esse devono essere azionate. Quando all’operatore viene richiesto di inviare i comandi ai vari dispositivi, questo viene fatto cliccando sul dispositivo, da una lista sotto forma di icone. Per esempio, se viene richiesto di manovrare un deviatoio dalla posizione normale alla posizione rovescio, l’operatore selezionerà il deviatoio che deve essere manovrato. Il sistema indicherà all’operatore la posizione attuale del deviatoio e le opzioni disponibili. Prendiamo ad esempio un deviatoio numero 1234. Questo deviatoio à ̈ attualmente nella posizione normale, e questo à ̈ chiaramente illustrato nel pannello “overview†. Questa posizione del deviatoio in posizione normale à ̈ richiesta per treni che corrono lungo una sezione di tracciata diritta della linea.

L’operatore clicca sull’icona deviatoio 1234 per manovrare il deviatoio. La visualizzazione a lente d’ingrandimento L appare, allora, illustrando l’esatta posizione di questo deviatoio in posizione normale. Un secondo pulsante apparirà illustrando la parola “rovescio†. Questa sarà visualizzata in verde quando questo comando potrà essere accettato. In altre parole, se il sistema sta correntemente lavorando in modo normale, e nessun movimento di conflitto viene rilevato, il sistema consentirà all’operatore di muovere questo deviatoio dalla posizione normale a rovescio. La posizione di rovescio consentirà ai treni di essere commutati attraverso un’interconnessione per unirsi ad un’altra sezione della linea od entrare in un’area della stazione.

Come precedentemente stabilito, il sistema suggerirà la posizione corrente e quali altre opzioni sono disponibili. Se un movimento di conflitto à ̈ già stato stabilito, allora il pulsante da cliccare sarà rosso, illustrando all’operatore che questo non può essere azionato. Anche se questo viene azionato, l’†interlocking†a calcolatore non accetterà il comando. Sarà solamente accettato quando le condizioni di “interlocking†consentiranno a questo di essere compiute.

Una volta che l’operatore ha selezionato la posizione di rovescio, il sistema di visualizzazione del comando chiederà allo stesso di confermarlo dalla tastiera funzionale, ad esempio premendo il tasto “Enter†. Il comando viene allora inviato all’†interlocking†a calcolatore e, quindi, inviato all’impianto.

Una volta che il deviatoio à ̈ stato azionato, lo stato dall’impianto per il cambiamento della posizione da normale a rovescio verrà inviato ai computer A e B di “front-end†.

Una volta che questi dati sono stati elaborati, lo stato deirimpianto sarà inviato al sistema di comando e visualizzazione ed il cambio di posizione verrà visualizzato su entrambi il pannello “overview†ZI e la visualizzazione a lente d’ingrandimento L.

Tutte le volte che questo processo ha luogo, le immagini create dal computer 1 del sistema di controllo e visualizzazione sono prese ed inviate indietro al computer 2 per il confronto mediante configurazione ridondante. Se in qualsiasi momento sono rilevati errori il monitor si spegnerà.

Altra importante caratteristica di questa invenzione à ̈ rappresentata dalla capacità di rilevare qualsiasi problema con il monitor commerciale. Si sono verificati problemi dove P informazione sui monitor à ̈ frizzata. Questa invenzione fornisce un controllo visivo all’operatore che il circuito tra il monitor ed il sistema di controllo sta lavorando correttamente, verificandone, perciò, la corretta funzionalità.

Un’indicazione à ̈ creata all’interno del messaggio sullo stato dell’impianto. Quando questo messaggio à ̈ inviato ciclicamente dall’†interlocking" a calcolatore al sistema di comando e visualizzazione, una zona verticale (“sweeping strobe†) appare sul monitor. Questa zona verticale rappresenta una certa area verticale per tutta la lunghezza dello schermo. Questa zona verticale passerà sullo schermo a determinati intervalli in modo da creare un effetto radar.

Il messaggio sullo stato dell’impianto contiene differenti algoritmi, basati sull’informazione pixel, per ciascuna intermittenza verticale da una parte all’altra dello schermo. Nello stesso modo, quando l’informazione à ̈ inviata all’operatore, l’intermittenza verticale à ̈ anche presa ed inviata indietro mediante il computer server 2 all†interlocking†a calcolatore. I processori aspettano di trovare lo stesso algoritmo che à ̈ stato inviato. Se lalgoritmo à ̈ differente l’intermittenza ampia si fermerà nella sua posizione corrente. Il segnalatore vedrà questo ed immediatamente riconoscerà che vi à ̈ un problema nel circuito tra il monitor ed il sistema di controllo. Ciò nonostante, il sistema continuerà a funzionare, ma l’operatore à ̈ reso consapevole di un problema di affidabilità o disponibilità, mentre la sicurezza del sistema à ̈ garantita dall’†interlocking†a calcolatore.

Deve comprendersi che l’invenzione non à ̈ da intendersi limitata ai dettagli delle soluzioni di cui sopra, che sono descritte solamente a titolo di esempio. Varie modifiche saranno chiare a quelle persone esperte nel ramo e che rientrano all’interno dello scopo di questa invenzione, la quale à ̈ definita più precisamente dalle allegate rivendicazioni.

Claims (2)

1. RIVENDICAZIONI 1. Sistema di rappresentazione dello stato dell’equipaggiamento di segnalazione ferroviario caratterizzato dal fatto di comprendere un sistema di cattura di immagini (FG) a partire da dispositivi video, due computer principali (1,2) che elaborano tali immagini catturate con i dati relativi allo stato dell’impianto da visualizzare su un sistema di visualizzazione (V), i dati elaborati dai due computer sono monitorati e confrontati da un circuito di sorveglianza (WD) (“watch-dog†) che convalida i dati e li trasmette a tale sistema di visualizzazione e controllo (V), se vi à ̈ una differenza nei dati elaborati da entrambi i computer (1,2) il circuito di sorveglianza (WD) arresta il sistema.
2. 2. Sistema secondo la rivendicazione 1, in cui il sistema di visualizzazione comprende un monitor (M), diviso in zone comprendenti una zona di visione d’insieme “overview†(ZI), una visualizzazione a lente d’ingrandimento (L), una zona di comando (ZC) ed una zona di allarme (ZA).