DE102013217324A1

DE102013217324A1 - Verfahren und Systemkonfiguration zur Systemdiagnose in einem sicherheitstechnischen System

Info

Publication number: DE102013217324A1
Application number: DE201310217324
Authority: DE
Inventors: Jens Braband
Original assignee: Siemens AG
Current assignee: Siemens AG
Priority date: 2013-08-30
Filing date: 2013-08-30
Publication date: 2015-03-05

Abstract

Die Erfindung betrifft ein Verfahren zur Systemdiagnose in einem sicherheitstechnischen System, insbesondere Eisenbahnsicherungssystem, mit mehreren Systemkomponenten mit hohem Integritätslevel und mindestens einer Diagnosekomponente mit niedrigem Integritätslevel sowie eine diesbezügliche Systemkonfiguration. Um Diagnosedaten mit möglichst geringe Beanspruchung systeminterne Kommunikations- und Datenressourcen zu gewinnen, ist erfindungsgemäß vorgesehen, dass von der Diagnosekomponente Diagnoseanfragen über mindestens ein Diagnoseinterface in das System eingegeben und zwischen Systemkomponenten als Nutzlast in Lebenstakttelegrammen bis zu einer empfangenden Systemkomponente weitergeleitet werden und dass die angefragten Diagnosedaten von der empfangenden Systemkomponente an die Diagnosekomponente ausgegeben werden.

Description

Die Erfindung betrifft ein Verfahren zur Systemdiagnose in einem sicherheitstechnischen System, insbesondere Eisenbahnsicherungssystem, mit mehreren Systemkomponenten mit hohem Integritätslevel und mindestens einer Diagnosekomponente mit geringerem Integritätslevel sowie eine diesbezügliche Systemkonfiguration.
Derartige komplexe Systeme bestehen oft aus mehreren rechentechnischen Systemkomponenten, die miteinander durch Austausch von Daten in Wechselwirkung stehen. Die Systemkomponenten besitzen einen mehr oder weniger großen Umfang an eigenständig ablaufenden Funktionen sowie eine Anzahl von Schnittstellen zur Umwelt. In derart aufgebauten Architekturen können neben Prozessoren beispielsweise auch Sensoren und Aktoren eingebunden sein. Neben einem ausreichend schnellen Datenaustausch ist meistens auch die Kapazität der Datenverarbeitung in den Systemkomponenten eine knappe Ressource.
Die nachfolgende Beschreibung bezieht sich im Wesentlichen auf Eisenbahnsicherungssysteme, ohne dass die Erfindung auf diese spezielle Anwendung beschränkt sein soll. Vielmehr ist eine Anwendung beispielsweise auch bei anderen Verkehrssystemen oder im Industriebereich denkbar.
Sicherheitsrelevante Eisenbahnsicherungssysteme sind oft mit mehreren interagierenden Systemkomponenten unterschiedlicher Sicherheitsanforderungsstufen – Safety Integrity Level – SIL ausgestattet. Die Sicherheitsstufen SIL sind in der CENELEC-Norm EN 50129 von SIL0 – signaltechnisch nicht sicher – bis SIL4 – signaltechnisch hochgradig sicher – definiert. Da der rechentechnische Aufwand für sicherheitsrelevante Anforderungen mit zunehmendem SIL ansteigt, besteht für diese Systeme das Interesse, Applikationen und Funktionen unterschiedlicher Sicherheitsanforderungsstufen in separaten Systemkomponenten konzentrieren. Für Diagnosekomponenten bestehen dabei üblicherweise niedrigere Sicherheitsanforderungen als für signalverarbeitende Systemkomponenten.
Ein Problem besteht darin, aus einem niedrigen Integritätslevel auf einen höheren Integritätslevel zuzugreifen, um dort Daten abzuholen, beispielsweise für Diagnosezwecke. Der Nachweis der Rückwirkungsfreiheit ist in der Regel sehr aufwendig. Hinzu kommt, dass durch solche Datenabfragen ein erheblicher Kommunikationsoverhead produziert werden kann.
Bei bekannten Systemen werden Diagnosedaten häufig manuell abgeholt, zum Beispiel über Speichermedien. Um den Kommunikationsoverhead zu begrenzen, werden auch Diagnosemodule eingesetzt, die einer oder mehreren Systemkomponenten zugeordnet sind und über ein eigenes Netz kommunizieren. Vielfach werden diese auf modularer Ebene gewonnenen Diagnosedaten anschließend zu einer speziell für Diagnosezwecke konzipierten Diagnoseverarbeitungseinheit übertragen und dort weiterverarbeitet und gespeichert.
Typisch für komplex verteilte Systeme ist eine beispielsweise aus der DE 103 07 342 B4 bekannte Struktur, bei der Diagnose-Primär-Informationen dezentral auf Ebenen von Softwaremodulen oder Hardwarekomponenten gewonnen werden und zu speziellen Diagnoseverarbeitungseinheiten übertragen und weiterverarbeitet werden.
Der Erfindung liegt die Aufgabe zugrunde, ein Verfahren und eine Systemkonfiguration gattungsgemäßer Art anzugeben, welche eine einfachere Diagnosedatengewinnung ermöglichen, wobei möglichst wenig Datenverarbeitungsressource der Systemkomponenten und des Gesamtsystems benötigt werden.
Verfahrensgemäß wird die Aufgabe dadurch gelöst, dass von der Diagnosekomponente Diagnoseanfragen über mindestens ein Diagnoseinterface in das System eingegeben und zwischen Systemkomponenten als Nutzlast in Lebenstakttelegrammen bis zu einer empfangenden Systemkomponente weitergeleitet werden und dass die angefragten Diagnosedaten von der empfangenden Systemkomponente an die Diagnosekomponente ausgegeben werden.
Die Aufgabe wird auch durch eine Systemkonfiguration gelöst, bei der zwischen der Diagnosekomponente und mindestens einer Systemkomponente ein Diagnoseinterface zur Eingabe von Diagnoseanfragen in das System sowie zwischen den Systemkomponenten Lebenstakttelegramme mit den Diagnoseanfragen als Nutzlast zur Weiterleitung der Diagnoseanfragen an eine empfangende Systemkomponente und mindestens eine Datenverbindung zur Ausgabe der Diagnosedaten an die Diagnosekomponente vorgesehen sind.
Innerhalb des Systems werden die Diagnoseanfragen mit hohem Integritätslevel weitergeleitet, und zwar als Nutzlast in Lebenstakttelegrammen, die zwischen den sicheren Systemkomponenten beziehungsweise Applikationen zur Überwachung der Verbindungen sowieso ausgetauscht werden müssen. Dazu wird ein neuer Telegrammtyp definiert. Dieser Telegrammtyp übermittelt neben den Lebenstaktinformationen auch die Diagnoseanfragen. Diese Telegramme werden zwischen den sicheren Systemkomponenten weitergereicht bis zu einer empfangenden Systemkomponente, für die die Diagnoseanfragen gedacht sind. Die empfangende Systemkomponente überträgt die angefragten Diagnosedaten auf dem schnellsten oder kürzesten Weg an die Diagnosekomponente zurück.
Durch die Nutzung der sowieso vorhandenen Lebenstaktkommunikation für die Weiterleitung der Diagnoseanfragen wird die zusätzliche Nutzlast beschränkt. Dadurch wird auch eine Konzentration auf wenige Diagnoseinterfaces, das heißt Zugangspunkte von niedrigen zum höheren Integritätslevel und eine Kosteneinsparung bei den Diagnosekomponenten erreicht.
Gemäß Anspruch 2 ist vorgesehen, dass das Diagnoseinterface über Firewall abgesichert ist, wobei ausschließlich Diagnoseanfragen eines vorgegebenen Datenformates codiert und in das System eingegeben werden. Auf diese Weise ergibt sich eine hohe Datensicherheit, wobei neben Firewall auch andere oder weiterentwickelte Datenabschottungsverfahren eingesetzt werden können.
Um nicht durch den Rücktransport der Diagnosedaten zu der Diagnosekomponente eine zusätzliche Datenlast zu verursachen, ist gemäß einer in Anspruch 3 gekennzeichneten bevorzugten Ausführungsform vorgesehen, dass die angefragten Diagnosedaten mittels einer unidirektionalen Datenverbindung an die Diagnosekomponente ausgegeben werden. Dadurch wird berücksichtigt, dass Diagnosedaten in der Regel ein wesentlich größeres Datenvolumen haben als die Diagnoseanfragen. Zur Absicherung der unidirektionalen Verbindung, welche die Integrität des hohen Integritätslevels der Systemkomponenten nicht beeinträchtigen, werden an diese Systemkomponenten Datendioden angeschlossen. Für unidirektionale Verbindungen mittels Datendioden ist kein komplizierter Nachweis der Rückwirkungsfreiheit erforderlich.
ZITATE ENTHALTEN IN DER BESCHREIBUNG
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
Zitierte Patentliteratur

DE 10307342 B4 [0007]

Zitierte Nicht-Patentliteratur

CENELEC-Norm EN 50129 [0004]

Claims

Verfahren zur Systemdiagnose in einem sicherheitstechnischen System, insbesondere Eisenbahnsicherungssystem, mit mehreren Systemkomponenten mit hohem Integritätslevel und mindestens einer Diagnosekomponente mit niedrigem Integritätslevel, dadurch gekennzeichnet, dass von der Diagnosekomponente Diagnoseanfragen über mindestens ein Diagnoseinterface in das System eingegeben und zwischen Systemkomponenten als Nutzlast in Lebenstakttelegrammen bis zu einer empfangenden Systemkomponente weitergeleitet werden und dass die angefragten Diagnosedaten von der empfangenden Systemkomponente an die Diagnosekomponente ausgegeben werden.
Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass das Diagnoseinterface über Firewall abgesichert ist und dass ausschließlich Diagnoseanfragen eines vorgegebenen Datenformates codiert und in das System eingegeben werden.
Verfahren nach einem der vorangehenden Ansprüche, dadurch gekennzeichnet, dass die angefragten Diagnosedaten mittels einer unidirektionalen Datenverbindung an die Diagnosekomponente ausgegeben werden.
Systemkonfiguration zur Durchführung des Verfahrens nach einem der vorangehenden Ansprüche, dadurch gekennzeichnet, dass zwischen der Diagnosekomponente und mindestens einer Systemkomponente ein Diagnoseinterface zur Eingabe von Diagnoseanfragen in das System vorgesehen ist, das zwischen den Systemkomponenten Lebenstakttelegramme mit den Diagnoseanfragen als Nutzlast zur Weiterleitung der Diagnoseanfragen an eine empfangende Systemkomponente vorgesehen sind und dass mindestens eine Datenverbindung zur Ausgabe der Diagnosedaten an die Diagnosekomponente vorgesehen ist.