JP6170915B2 - ブレーキシステム - Google Patents

Description

本発明は、鉄道車両用ブレーキ制御装置に関する。

鉄道車両の現在の標準的な通信設計は、ブレーキ制御ユニットを含む複数の装置間で列車に沿ってデータ通信可能にするＣＡＮバスを備えている。

ＣＡＮ通信プロトコルは、数十年間の使用によって検証されている。診断ソフトウェアなどを操作するために標準的なラップトップコンピュータを使用することは現在では一般的であり、ラップトップコンピュータはＣＡＮバスに接続されてブレーキ制御ユニットと通信するために使用される。現在、ＲＳ−４８５、ＭＶＢ及びＦＩＰのような列車管理システム（Ｔｒａｉｎ Ｍａｎｅｇｅｍｅｎｔ Ｓｙｓｔｅｍ：ＴＭＳ）で使用される標準インタフェースはユーザーにとって遅すぎるものと評価されており、ユーザーはイーサネットなどの高速な規格を使用することを望んでいる。

この文脈におけるイーサネットは、低レベル通信システム、すなわち、物理層と最も単純なデータパケット転送を表す。ユーザーは、イーサネットの上に位置するサポートされた上位レベルプロトコル、例えば、Ｐｒｏｆｉｎｅｔ，ＣＩＰ，ＴＣＰ，ＵＤＰ，Ｗｅｂサーバ、メンテナンスを必要とする。

ブレーキシステムは安全性が重要であるので、ブレーキ制御ユニットに関連する車輪滑り保護装置のようなどのモジュール上で、及び、ブレーキ制御ユニット上で実行されるどの実行可能ソフトウェアコードも、試験によりＳＩＬ２（安全度水準：Ｓａｆｅｔｙ Ｉｎｔｅｇｒｉｔｙ Ｌｅｖｅｌ ２）に認証されることが必要である。これにより、システムに取り付けられるそれぞれの新しいモジュールは、ＳＩＬ２の認証を行う必要があるという問題が生じる。しかし、これは数年の作業が必要で、且つ、多くのプロジェクトにとってあまりにも高価で時間を消費しすぎるものである。

ＧＢ２３９５２４１は、トレーラーのブレーキ電子制御装置を開示している。この電子制御装置（ＥＣＵ）は、車両に関連するブレーキ関連制御パラメータを記憶するための不揮発性記憶手段と、車両の一又は複数の補助機能のための動作データを送信する個別的にプログラム可能な記憶手段とを有する。これは、エラーモードに対し制動機能を保護するように予め定義されたリストに対して一以上の入出力変数と制御アルゴリズムとをチェックするように動作可能である。このアプローチは、制御ユニット内の機能が制限されるので新しいプロトコルとインターフェイスカードをサポートするための新しいＡＰＩ（アプリケーションプログラミングインターフェイス）のためのユーザの要求を満たしていないという欠点を有する。

従って、本発明は、より柔軟なブレーキ制御装置の構成を提供することを目的とする。

本発明によれば、ブレーキ制御機能を担当する第１のコアと、通信を担当する第２のコアとを有する鉄道車両用ブレーキ制御装置が提供される。この構成は、さらに、第１のコアのブレーキ制御機能を保護するように鉄道車両上の通信バスと第２のコアとの間の通信を制御するように構成されたスイッチを備えることができ、第２のコアは、第１のコアによって許可されたときにのみ通信バスへの書き込みアクセスを行い、装置が定義された安全状態にあるか否かを第１のコアが判断することによりブレーキ制御機能を保護する。

本発明による解決策では、メインの「制御」プロセッサは、従前と同様にすべての標準的なブレーキ制御アルゴリズム処理を提供するが、ＴＭＳ通信は、第２の「通信」プロセッサに移動される。この通信プロセッサはＳＩＬ０に準拠し、これによりテストの必要性を低減する。

また、すべての通信ＣＰＵ能力は通信プロセッサによって提供され、これによりブレーキ制御アルゴリズムのための制御プロセッサの性能を向上する。

列車の広域ネットワークアーキテクチャの模式図である。 本発明によるアーキテクチャの模式図である。

本発明の例示的な実施形態を、図面を参照してより詳細に説明する。

図１は、ＣＡＮバス１を示す列車の広域ネットワークアーキテクチャを模式的に示す。コアＣＰＵ３を備えるブレーキ制御装置２が、バス１に接続されている。ブレーキ制御装置２は、典型的なＲＩＯ４及びＲＢＸ５モジュールなどの一以上のモジュールを備えることができ、これらモジュールはブレーキ制御装置２と直列に配置されている。ブレーキ制御装置コアＣＰＵ３は、ＳＩＬ２に認証されている。ＲＩＯ及びＲＢＸモジュールもまた、ＳＩＬ２規格に認証される必要があります。

標準的な診断ソフトウェアを実行するラップトップ６も、ＵＳＢ−ＣＡＮバスドングル７を介してバス１に接続されている。この構成によりラップトップがブレーキ制御装置２と安全に通信可能となる。

図２は、ＣＡＮバス１０を示す本発明に係る列車ネットワークのアーキテクチャを模式的に示している。第１及び第２のコア１２，１３を備えるブレーキ制御装置１１は、バス１０に接続されている。ブレーキ制御装置１１は、例えば典型的なＲＩＯ１４及びＲＢＸ１５モジュールなどの一以上のモジュールを備えることができ、これらモジュールはブレーキ制御装置１１と直接に配置されている。ＣＡＮバス１０は、典型的には、レベル１のブレーキバスとレベル２の列車バスを有するデュアルＣＡＮバスである。

ブレーキ制御装置コア１２は、制動機能を担当し、バスに接続されている。コア１３は、通信機能を担当し、ＣＡＮスイッチ１６を介してバス１に接続されており、スイッチ１６の動作はブレーキ制御装置コア１２によって制御される。通信コア１３は、ＣＡＮバスから直接データを受け取ることができるが、ブレーキ制御装置コア１２による明確な許可がない限りＣＡＮバスにデータを書き込むことはできない。通信コア１３はＷｅｂサーバを備え、Ｗｅｂベースのアプリケーションが該コアにインストールされて実行されることを可能にする。通信コア１３、並びに、該コア１３上で実行されるどのアプリケーションやソフトウェアも、ＳＩＬ２に認証される必要はない。典型的な通信コアは、ブレーキシステムへのソフトウェアアップデートやメンテナンスがある場合に該バスに書き込むのみであり、ブレーキシステムは該バスのブレーキレイヤーに沿って通信を要求する。通信コア１３は、該ブレーキデータバス上のデータを監視することができ、それは該コアに記録されても上記ドライバーに返送されてもよい。余分な負荷がないので、ブレーキ制御機能から監視機能を分離すると、ブレーキコア１２の性能向上をもたらすであろう。この構成は別のレベル２バスとの相互作用もまた容易にする。

上記ＳＩＬ０プロセッサは、上記ＳＩＬ２プロセッサによって有効にされた時に上記レベル１ネットワークへの書き込みアクセスを行うのみであり、上記ＳＩＬ２プロセッサは、制動機能を保護するように、システムが定義された「安全状態」であるか否かを判断する。

上記バスには複数のセキュリティレベルが設けられており、鉄道車両ブレーキの動作に関連するなどの安全上重要なデータに用いられるレベル１での通信が最も安全である。通信コア１３は、ＣＡＮバスからデータを直接受信することができるが、ブレーキシステムが安全な状態であるとブレーキ制御装置コア１２が判定して許可しない限り、ＣＡＮバスにデータを書き込むことができない。典型的には安全状態は車両が静止しているときを含むことができるが、緊急ブレーキが適用されることを保証するか、車両が所定の時間静止していることを保証するような更なる変数を含んでもよい。

Claims (5)

1. 第１及び第２のコア（１２，１３）を有する鉄道車両用ブレーキ制御装置（１１）であって、第１のコア（１２）はブレーキ制御機能を担当し、第２のコア（１３）は通信を担当し、さらにスイッチ（１６）を備え、該スイッチ（１６）は、第１のコア（１２）の前記ブレーキ制御機能を保護するように鉄道車両上の通信バスと第２のコア（１３）との間の通信を制御するように構成され、第２のコア（１３）は、第１のコア（１２）によって有効にされたときにのみ前記通信バスへの書き込みアクセスを行い、装置が定義された安全状態にあるかどうかを第１のコア（１２）が判断することにより前記ブレーキ制御機能を保護する、ブレーキ制御装置。
2. 第１のコアは少なくともＳＩＬ２の安全度水準を有し、第２のコアは第１のコアよりも低い安全度水準を有する、請求項１に記載のブレーキ制御装置。
3. 第２のコアはＳＩＬ０の安全度水準を有する、請求項２に記載のブレーキ制御装置。
4. 第１のコアは、車両が静止しているかどうかを判断することによって装置が定義された状態であるか否かを判断する、請求項１〜３のいずれか一項に記載のブレーキ制御装置。
5. 第２のコアは、前記バス上のデータを監視するとともに、第２のコア内のデータを記録するか或いは第２のバスを介して列車へデータを返送するように構成されている、請求項１〜４のいずれか一項に記載のブレーキ制御装置。

Images