DE102012221714A1

DE102012221714A1 - Verfahren zur Fehleroffenbarung bei einem Stellwerksrechnersystem und Stellwerksrechnersystem

Info

Publication number: DE102012221714A1
Application number: DE201210221714
Authority: DE
Inventors: Michael Schaaf
Original assignee: Siemens AG
Current assignee: Siemens AG
Priority date: 2012-11-28
Filing date: 2012-11-28
Publication date: 2014-05-28

Abstract

Die Erfindung betrifft ein Verfahren zur Fehleroffenbarung bei einem Stellwerksrechnersystem mit einem Bedienkanal (1a; 9), dessen Eingangssignale signaltechnisch sichere Zustandsmeldungen einer Eisenbahnsicherungsanlage (2) repräsentieren und dessen Ausgangssignale zur Bedienung mindestens eines Elementes, beispielsweise eines Lichtsignals (5), der Eisenbahnsicherungsanlage (2) ausgebildet sind und auf einem Display (8) visualisiert werden sowie ein Stellwerksrechnersystem zur Durchführung des Verfahrens. Um unnötige Pixelauswertungen des Displays (8) zu vermeiden, ist vorgesehen, dass zur Anzeigesicherung, insbesondere im Rahmen von Hilfsbedienungen, die für das zu prüfende Element relevanten Pixeldaten des Displays (8) mit den elementspezifischen Prozessdaten eines Prozessabbildes (29) der signaltechnisch sicheren Zustandsmeldungen eines Referenzsystems (10) verglichen werden.

Description

Die Erfindung betrifft ein Verfahren zur Fehleroffenbarung bei einem Stellwerksrechnersystem mit einem Bedienkanal, dessen Eingangssignale signaltechnisch sichere Zustandsmeldungen einer Eisenbahnsicherungsanlage repräsentieren und dessen Ausgangssignale zur Bedienung mindestens eines Elementes, beispielsweise eines Lichtsignals, der Eisenbahnsicherungsanlage ausgebildet sind und auf einem Display visualisiert werden sowie ein Stellwerksrechnersystem zur Durchführung des Verfahrens.
Im Rahmen von Hilfsbedienungen an dem Stellwerksrechnersystem ist sicherzustellen, dass die Entscheidungsgrundlage, das heißt das Meldebild auf dem Display, das dem Bediener angezeigt wird, dem tatsächlichen Zustand der Eisenbahnsicherungsanlage, auch Außenanlage genannt, entspricht.
Bei einem bekannten derartigen System, das in 1 dargestellt ist, sind dazu ein Bedienkanal 1a und ein Referenzkanal 1b vorgesehen. Diese Rechnerkanäle 1a und 1b verarbeiten die Informationen einer Eisenbahnsicherungsanlage 2, welche eine sichere Meldequelle 3, beispielsweise ein ESTW – elektronisches Stellwerk – darstellt. Beide Rechnerkanäle, das heißt der Bedienkanal 1a und der Referenzkanal 1b sind hinsichtlich ihrer Eingangssignale und verwendeten Algorithmen identisch. Mittels einer Funktionalität für Zustandsanzeige/Bedienung 4a beziehungsweise 4b wird auf jedem Rechnerkanal 1a und 1b der Zustand der Eisenbahnsicherungsanlage 2 zusammen mit dem zu bedienenden Element, hier ein Lichtsignal 5, als Zustandsbild 6a und als Referenzbild 6b dargestellt, wobei bei fehlerfreier Signalverarbeitung das Referenzbild 6b mit dem Zustandsbild 6a übereinstimmt. Um diese Übereinstimmung festzustellen, werden von der Zustandsanzeige/Bedienung 4a über das Zustandsbild 6a eine Prüfsumme ermittelt und von der Zustandsanzeige/Bedienung 4b über das Referenzbild 6b eine Prüfsumme ermittelt. Die Prüfsumme des Referenzbildes 6b wird an die Zustandsanzeige/Bedienung 4a des Bedienkanals 1a übermittelt 7, welcher dann beide Prüfsummen im Rahmen der Hilfsbedienung an die Eisenbahnsicherungsanlage 2 zum Vergleich übermittelt. Nur das Zustandsbild 6a wird auf einem Display 8 dargestellt. Derartige Tests werden zyklisch im Hintergrund durchgeführt, um frühzeitig nicht korrekte Arbeitsweise, zum Beispiel eingefrorene Bildpixel, auf einem der Rechnerkanäle 1a oder 1b zu erkennen und Fehler zu offenbaren.
Auch bekannte Verfahren, bei denen ein Display aus zwei Quellen angesteuert wird, oder ein Bildvergleich mittels DVI – Digital Visual Interface – Abgriffs sind lediglich Varianten dieses Grundprinzips.
Das primäre Ziel aller dieser Verfahren ist es, dem Bediener eine möglichst sichere Entscheidungsgrundlage in kritischen Situationen anzubieten. Die Bildsicherung beruht hierbei prinzipiell auf dem Vergleich zweier Bilder, nämlich dem Bild auf dem Display, das dem Bediener zur Verfügung gestellt wird, und dem Bild eines Referenzsystems, welches dieselbe Darstellung erzeugt. Bei diesen Verfahren wird immer das vollständige Displaybild pixelgenau geprüft. Es wird folglich ein deutlich größerer Bildbereich als notwendig geprüft und mögliche Fehler in einem weniger relevanten oder sogar irrelevanten Bildbereich des Displays können eine Kommandofreigabe verhindern.
Nachteilig ist neben den Hintergrundtests sämtlicher Bildpixel vor allem der erhebliche Aufwand für den Prüfsummenvergleich. Damit verbunden sind sehr hohe SIL-Anforderungen an die Einzelsysteme. Die Sicherheitsstufen SIL sind in der CENELEC-Norm EN50129 von SIL0 – signaltechnisch nicht sicher – bis SIL4 – signaltechnisch hochgradig sicher – definiert.
Der Erfindung liegt die Aufgabe zugrunde, ein Verfahren und ein Stellwerksrechnersystem gattungsgemäßer Art anzugeben, welche bei hochgradig sicherer Fehleroffenbarung irrelevante Pixelfehler tolerieren und eine höhere Verfügbarkeit aufweisen, wobei möglicht niedrige SIL-Anforderungen anzustreben sind.
Verfahrensgemäß wird die Aufgabe dadurch gelöst, dass zur Anzeigesicherung bei Einleitung der Bedienung elementspezifische Pixeldaten des Displays mit elementspezifischen Prozessdaten eines Prozessabbildes der signaltechnisch sicheren Zustandsmeldungen eines Referenzsystems verglichen werden.
Dazu dient gemäß Anspruch 2 ein Stellwerksrechnersystem, bei dem ein Referenzsystem mit einem Rücklesekanal zum Rücklesen elementspezifischer Pixeldaten zu sichernder Elemente des Displays und einem Logikkanal zum Erzeugen und Speichern elementspezifischer Prozessdaten eines Prozessabbildes der signaltechnisch sicheren Zustandsmeldungen der Eisenbahnsicherungsanlage vorgesehen ist, wobei die Pixeldaten und die Prozessdaten einem Vergleicher einer die signaltechnisch sicheren Zustandsmeldungen erzeugenden Meldequelle zugeführt sind.
Auf diese Weise erhält der Bediener eine gesicherte Entscheidungsgrundlage, bei der das Sicherungsverfahren wesentlich vereinfacht und tolerant gegen unwesentliche Pixelfehler ist. Die Systementwicklungskosten reduzieren sich, da die SIL-Anforderungen weitgehend in das Referenzsystem als eigenständige Komponente verlagert werden. Im Idealfall ist für den Bedienkanal lediglich ein SIL-Level von 0 erforderlich und für das Referenzsystem ein SIL-Level < 4, abhängig von der erforderlichen Sicherheit des Gesamtsystems. Das beanspruchte Verfahren, bei dem das Referenzsystem nur den Bildanteil der für die Bedienung relevanten Elemente und nur deren für den Elementzustand signifikanten Pixel auswertet, ist insgesamt deutlich weniger anfällig gegen Pixelfehler als die bekannten Verfahren. Dadurch erhöht sich die Verfügbarkeit des Gesamtsystems. Vorteilhaft ist weiterhin, dass die Software des Bedienkanals wegen des niedrigen Sicherheitslevels einfacher getauscht werden kann, ohne die Systemzulassung zu gefährden.
Gemäß Anspruch 3 ist eine Datenverbindung zwischen dem Bedienkanal und dem Referenzsystem vorgesehen, welche zur Übergabe der Elementspezifika, wie beispielsweise Elementname, Koordinaten und Ausdehnung, der zu prüfenden Elemente von dem Bedienkanal an das Referenzsystem dient. Das durch den Bedienkanal erzeugte und auf dem Display angezeigte Bild wird gesichert, indem das Referenzsystem von Bedienkanal die notwendigen Informationen zur Elementbedienung anfordert und die vom Display rückgelesenen elementspezifischen Pixeldaten mit den im eigenen Logikkanal geführten Prozesszustandsdaten vergleicht.
In einer besonders zu bevorzugenden Ausführungsform gemäß Anspruch 4 ist vorgesehen, dass der Rücklesekanal zur Ausgabe von Prüfsummen, die aus Pixeldaten ermittelt werden, und der Logikkanal zur Ausgabe von Prüfsummen, die aus Prozessdaten, das heißt Zustandsmeldungen der sicheren Meldequelle, ermittelt werden, ausgebildet sind. Die beiden Prüfsummen werden durch das Referenzsystem in der für den Kommandofreigabeprozess üblichen Weise an die sichere Meldequelle, beispielsweise ESTW – Elektronisches Stellwerk – oder ETCS – European Train Control System –, übertragen, um dort miteinander verglichen zu werden.
Nachfolgend wird die Erfindung anhand figürlicher Darstellungen näher erläutert. Es zeigen:
1 ein Stellwerksrechnersystem bekannter Bauart und
2 ein erfindungsgemäßes Stellwerkrechnersystem.
1 veranschaulicht die übliche Bauart einer Stellwerksanlage, die bereits weiter oben beschrieben wurde.
Gleiche Bezugszeichen kennzeichnen in beiden Figuren gleichartige Baugruppen.
Anstelle im Wesentlichen identische Rechnerkanäle 1a und 1b gemäß 1 sind erfindungsgemäß ein als Bedienkanal 9 fungierender erster Rechnerkanal und ein Referenzsystem 10 vorgesehen, die sehr unterschiedliche Algorithmen für sehr unterschiedliche Aufgabenstellungen verwenden.
Das Beispiel bezieht sich wiederum auf die Bedienung des Lichtsignals 5. Der Bedienkanal 9 erzeugt aus den signaltechnisch sicheren Meldungen der Eisenbahnsicherungsanlage 2 mittels einer projektierten 11 Stellwerkslogik 12 ein Prozessabbild 13, welches über eine projektierte 14 Ausleuchtlogik 15 zur Visualisierung 16 auf dem Display 8 konditioniert wird. Die Bedienung, um zum Beispiel das Lichtsignal 5 von HALT auf FAHRT zu stellen, muss als Hilfsbedienung ausgeführt werden, weil das ESTW ansonsten seine Sicherheitsregeln verletzen würde. Die Hilfsbedienung wird durch den Bedienkanal 9 an das ESTW gesendet.
Die für die Hilfsbedienung notwendige Anzeigesicherung wird durch das Referenzsystem 10 durchgeführt. Dazu werden von dem Referenzsystem 10 über eine Datenverbindung 17 von dem Bedienkanal 9 Elementspezifika der für die Bedienung relevanten Elemente zum Beispiel die des bedienten Lichtsignals 5, insbesondere Name, Monitorposition, Elementausrichtung und -ausdehnung, angefordert und übertragen. Aufgrund dieser Informationen liest ein Rücklesekanal 18 des Referenzsystems 10 den Bildausschnitt des Displays 8 aus, der das zu prüfende Element, hier das Lichtsignal 5, visualisiert. Die entsprechenden Bildpixel werden in einen elementspezifischen Pixelpuffer 19 übertragen und mittels einer elementspezifischen Pixelmask 20 von einem Wandler 21 in normierte logische Prozesszustände 22 der Elemente gewandelt, aus denen Prüfsummen 23 gebildet werden.
In einem Logikkanal 24 werden Elementzustandsmeldungen 25 der sicheren Meldequelle 3 der Eisenbahnsicherungsanlage 2 durch einen Wandler 26 mit Hilfe der projektierten Stellwerkslogik 27 in den normierten logischen Prozesszustand 28 des Elements gewandelt und dann in einem Prozessabbild 29 gespeichert. Über die Prozesszustandsdaten der zu prüfenden Elemente wird eine Prüfsumme 30 gebildet.
Die Prüfsumme 23, welche aus den Pixeldaten hervorgeht und die Prüfsumme 30, welche aus den gelesenen Prozesszuständen des Prozessabbilds hervorgeht, werden in den signaltechnisch sicheren Bereich der Stellwerksanlage übertragen und dort miteinander verglichen. Nur bei Übereinstimmung der beiden Prüfsummen 23 und 30 kann davon ausgegangen werden, dass die Signalverarbeitung in dem Bedienkanal 9 fehlerfrei abgelaufen ist und das Display 8 in den relevanten Pixelbereichen fehlerfrei ist, so dass die Kommandofreigabe erfolgen kann. Bei diesem Sicherungsverfahren werden die für die momentane Bedienhandlung nicht erforderlichen Pixelbereiche des Displays 8 ignoriert, wodurch sich eine hohe Verfügbarkeit des Gesamtsystems ergibt.
Durch das Zusammenspiel von Bedienkanal 9 und Referenzsystem 10 mit den beiden unabhängigen Kanälen 18 für die Pixelauswertung und 24 für die Prozessauswertung ergibt sich eine sehr hohe signaltechnische Sicherheit, wobei der durch das Referenzsystem 10 gesicherte Bedienkanal 9 ein Sicherheitslevel von SIL0 aufweisen kann. Dadurch beschränkt sich der Funktionsumfang mit SIL > 0 auf das Referenzsystem 10 und kann – bezogen auf das Gesamtsystem – gegenüber der in 1 veranschaulichten bekannten Ausführungsform deutlich reduziert werden.
ZITATE ENTHALTEN IN DER BESCHREIBUNG
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
Zitierte Nicht-Patentliteratur

CENELEC-Norm EN50129 [0006]

Claims

Verfahren zur Fehleroffenbarung bei einem Stellwerksrechnersystem mit einem Bedienkanal (1a; 9), dessen Eingangssignale signaltechnisch sichere Zustandsmeldungen einer Eisenbahnsicherungsanlage (2) repräsentieren und dessen Ausgangssignale zur Bedienung mindestens eines Elementes, beispielsweise eines Lichtsignals (5), der Eisenbahnsicherungsanlage (2) ausgebildet sind und auf einem Display (8) visualisiert werden, dadurch gekennzeichnet, dass zur Anzeigesicherung elementspezifische Pixeldaten des Displays (8) mit elementspezifischen Prozessdaten eines Prozessabbildes (29) der signaltechnisch sicheren Zustandsmeldungen eines Referenzsystems (10) verglichen werden.
Stellwerksrechnersystem zur Durchführung des Verfahrens nach Anspruch 1, dadurch gekennzeichnet, dass ein Referenzsystem (10) mit einem Rücklesekanal (18) zum Rücklesen elementspezifischer Pixeldaten zu sichernder Elemente des Displays (8) und einem Logikkanal (24) zum Erzeugen und Speichern elementspezifischer Prozessdaten eines Prozessabbildes (29) der signaltechnisch sicheren Zustandsmeldungen der Eisenbahnsicherungsanlage (2) vorgesehen ist, wobei die Pixeldaten und die Prozessdaten einem Vergleicher einer die signaltechnisch sicheren Zustandsmeldungen erzeugenden Meldequelle (3) zugeführt sind.
Stellwerksrechnersystem nach Anspruch 2, dadurch gekennzeichnet, dass eine Datenverbindung (17) zur Übergabe der Elementspezifika, wie beispielsweise Elementname, Koordinaten und Ausdehnung, der zu prüfenden Elemente vom Bedienkanal (9) an das Referenzsystem (10) vorgesehen ist.
Stellwerksrechnersystem nach Anspruch 2 oder 3, dadurch gekennzeichnet, dass der Rücklesekanal (18) zur Ausgabe von Prüfsummen (23) deren Quelle die Pixeldaten sind, und der Logikkanal (24) zur Ausgabe von Prüfsummen (30), deren Quelle die Prozessdaten sind, ausgebildet ist.