DE102013223101A1

DE102013223101A1 - Bahnübergangssicherungssystem

Info

Publication number: DE102013223101A1
Application number: DE201310223101
Authority: DE
Inventors: Joachim Brille; Michael Gronemeyer
Original assignee: Siemens AG
Current assignee: Siemens AG
Priority date: 2013-11-13
Filing date: 2013-11-13
Publication date: 2015-05-13
Also published as: PL3046825T3; EP3046825B1; EP3046825A1; ES2819214T3; HUE050536T2; WO2015071169A1

Abstract

Die Erfindung betrifft ein Bahnübergangssicherungssystem mit einer Steuereinrichtung für straßenseitige Komponenten (3a, 3b; 4a, 4b, 4c, 4d), insbesondere Bahnschranken (3a, 3b) und Lichtzeichen (4a, 4b, 4c, 4d). Um signaltechnisch sichere Rechner durch signaltechnisch nicht sichere Rechner ersetzen zu können, ist vorgesehen, dass die Steuereinrichtung einen signaltechnisch sicheren Steuerrechner (6) aufweist und den Komponenten (4a; 4b) signaltechnisch nicht sichere Komponentenrechner (8a; 8b) zugeordnet sind, wobei die Komponentenrechner (8a; 8b) jeweils einen ersten und einen zweiten einkanaligen Rechner (10a, 11a; 10b, 11b) mit diversitärer Hardware umfassen und dass der Steuerrechner (6) und die Komponentenrechner (8a, 8b) Mittel zur Ansteuerung und Überwachung der Komponenten (4a; 4b) mit folgendem Ablauf aufweisen: – der Steuerrechner (6) sendet einen Stellbefehl an die ersten Rechner (10a; 10b), welche ihre zugeordnete Komponente (4a; 4b) ansteuern, – der erste und der zweite Rechner (10a, 11a; 10b, 11b) der Komponente (4a; 4b) ermitteln unabhängig voneinander die Bestromung der Komponente (4a; 4b) und senden dieses Rückleseergebnis an den Steuerrechner (6) und – der Steuerrechner (6) vergleicht seinen Stellbefehl mit den Rückleseergebnissen der Komponenten (4a; 4b) und vergleicht die Rückleseergebnisse miteinander, wobei bei Nichtübereinstimmung mindestens eines der Vergleichsergebnisse eine Sicherheitsreaktion ausgelöst wird.

Description

Die Erfindung betrifft ein Bahnübergangssicherungssystem mit einer Steuereinrichtung für straßenseitige Komponenten, insbesondere Bahnschranken und Lichtzeichen.
Für Bahnübergangssicherungssysteme ist ein hoher Sicherheitslevel – Safety Integrity Level / SIL – Voraussetzung für eine Zulassung durch nationale Behörden. Die Sicherheitslevel sind in der CENELEC Norm EN50129 von SIL0 – signaltechnisch nicht sicher – bis SIL4 – signaltechnisch hochgradig sicher – definiert. Der für Bahnübergangssicherungssysteme vorgegebene Sicherheitslevel ist üblicherweise SIL4.
Bekannt sind Bahnübergangssicherungssysteme auf der Basis zweikanaliger SIL4-Rechner für die Steuereinrichtung und für Komponentenrechner mit mehrkanaliger Rücklesung des Komponentenzustandes, wobei in den Kanälen der Rechner jeweils die gleiche Anwendersoftware vorgesehen ist.
Der Erfindung liegt die Aufgabe zugrunde, ein Bahnübergangssicherungssystem gattungsgemäßer Art anzugeben, bei dem der SIL-Level möglichst vieler Systemrechner verringert werden kann, wobei der geforderte SIL-Level für das Gesamtsystem, insbesondere SIL4, dennoch sichergestellt ist.
Erfindungsgemäß wird die Aufgabe dadurch gelöst, dass die Steuereinrichtung einen signaltechnisch sicheren Steuerrechner aufweist und den Komponenten signaltechnisch nicht sichere Komponentenrechner zugeordnet sind, wobei die Komponentenrechner jeweils einen ersten und einen zweiten einkanaligen Rechner mit diversitärer Hardware umfassen und dass der Steuerrechner und die Komponentenrechner Mittel zur Ansteuerung und Überwachung der Komponenten mit folgendem Ablauf aufweisen:

– der Steuerrechner sendet einen Stellbefehl an die ersten Rechner, welche ihre zugeordnete Komponente ansteuern,
– der erste und der zweite Rechner der Komponente ermitteln unabhängig voneinander die Bestromung der Komponente und senden dieses Rückleseergebnis an den Steuerrechner und
– der Steuerrechner vergleicht seinen Stellbefehl mit den Rückleseergebnissen der Komponenten und vergleicht die Rückleseergebnisse miteinander, wobei bei Nichtübereinstimmung mindestens eines der Vergleichsergebnisse eine Sicherheitsreaktion ausgelöst wird.

Durch die Zweifachrücklesung des tatsächlichen Schaltzustandes der Komponenten, das heißt der Komponentenbestromung, mittels zweier diversitärer Rechner und durch den steuerrechnerseitigen Vergleich sowohl seines Stellbefehles mit den Rückleseergebnissen als auch der Rückleseergebnisse untereinander wird die geforderte signaltechnische Sicherheit des Bahnübergangssicherungssystems auch mit signaltechnisch nicht sicheren Komponentenrechnern erreicht. Auf diese Weise ergibt sich eine Vereinfachung der Komponentenrechner und letztlich eine erhebliche Verringerung der Hardwarekosten. Die Aufspaltung des Komponentenrechners in einen ersten und einen zweiten einkanaligen Rechner und deren ablaufgemäßes Zusammenwirken mit dem signaltechnisch sicheren Steuerrechner führen außerdem zu einer einfacheren Sicherheitsnachweisführung für die Zulassung des Gesamtsystems. Die ersten und zweiten Rechner, die den anzusteuernden Komponenten, insbesondere Bahnschranken und Lichtzeichen, des Bahnübergangssicherungssystems zugeordnet sind, können als SIL0-Rechner und damit als kommerzielle, preiswerte Rechner ausgeführt sein. Die Sicherheitsverantwortung liegt bei ablaufgemäßer Ansteuerung und Überwachung der Komponenten bei dem Steuerrechner, der vorzugsweise als SIL4-Rechner ausgeführt ist. Vorteilhaft ist darüber hinaus, dass der Platzbedarf der beiden einkanaligen diversitären Rechner der einzelnen Komponenten geringer ist als bei zweikanaliger, signaltechnisch sicherer Ausführung gemäß dem Stand der Technik. Dabei fungiert der erste Rechner im Wesentlichen als Controller, während der zweite Rechner auch als Kommunikationsmodul bezeichnet werden kann, da dieser zweite Rechner zusätzlich die Kommunikation zwischen Komponentenrechner und Steuerrechner managet.
Vorzugsweise sind der Steuerrechner und die Komponentenrechner gemäß Anspruch 2 in einem Kommunikationsring angeordnet. Datentelegramme verschiedenster Art können auf dem Kommunikationsring, beispielsweise via Ethernet, zwischen allen Rechnern bzw. deren zugeordneten Komponenten und dem Steuerrechner schnell und sicher übertragen werden. Einzelverbindungen des Steuerrechners mit jedem einzelnen Komponentenrechner entfallen somit.
Zur Auslösung der Sicherheitsreaktion bei durch den Steuerrechner festgestellter Nichtübereinstimmung mindestens eines der beiden Vergleichergebnisse ist gemäß Anspruch 3 vorgesehen, dass der Steuerrechner an die ersten und zweiten Rechner Abschaltkommandos sendet, wodurch der erste und/oder der zweite Rechner die zugeordnete Komponente in einen signaltechnisch sicheren Zustand schaltet beziehungsweise schalten.
Zusätzlich oder alternativ kann die Sicherheitsreaktion gemäß Anspruch 4 auch dadurch ausgelöst werden, dass der Steuerrechner die Kommunikationsverbindung zu den Komponentenrechnern abbricht, wodurch die Komponenten automatisch in einen signaltechnisch sicheren Zustand geschaltet werden.
Die Erfindung wird nachfolgend anhand figürlicher Darstellungen näher erläutert. Es zeigen:
1 ein Bahnübergangssicherungssystem mit Bestromungsplan und
2 eine Detaildarstellung der wesentlichen Baugruppen zur Ansteuerung von Lichtsignalen an einem Bahnübergang.
1 veranschaulicht einen Bahnübergang, bei dem eine Straße 1 ein Gleis 2 kreuzt. Zur Sicherung des Bahnüberganges sind straßenseitig zwei Halbschranken 3a und 3b und vier Lichtzeichen 4a, 4b, 4c und 4d vorgesehen, welche in einem Kommunikationsring 5 mit einem zweikanaligen signaltechnisch sicheren Steuerrechner 6 nach Art eines SIL4-LCU / Level Crossing Unit verbunden sind. Der Steuerrechner 6 ist mit einer Kommunikationseinrichtung 7 ausgestattet, welche mit den Komponenten 3a, 3b, 4a, 4b, 4c und 4d zugeordneten in 2 dargestellten Komponentenrechnern 8a und 8b Datentelegramme via Ethernet austauscht. Eine zentrale oder dezentrale Meldeeinrichtung 9 überträgt ein Meldesignal an den Kommunikationsring 5, wenn sich ein Schienenfahrzeug dem Bahnübergang nähert, so dass die Bahnschranken 3a und 3b abgesenkt und die Lichtzeichen 4a, 4b, 4c und 4d auf rot gestellt werden müssen. Dabei werden 24V-Ansteuersignale 24V_1 und 24V_2 für die Komponenten 3a, 3b, 4a, 4b, 4c und 4d sowie 220V-Betätigungsspannung für die Bahnübergänge 3a und 3b erzeugt.
In 2 sind die wesentlichen Baugruppen für die Ansteuerung der Komponentenrechner am Beispiel zweier Komponentenrechner 8a und 8b für die Ansteuerung der beiden Lichtzeichen 4a und 4b dargestellt. Die Komponentenrechner 8a und 8b sind jeweils mit einem ersten einkanaligen SIL0-Rechner 10a beziehungsweise 10b und einem zweiten einkanaligen SIL0-Rechner 11a beziehungsweise 11b ausgestattet. Die beiden Rechner 10a und 11a sowie 10b und 11b unterscheiden sich hardwaremäßig, so dass diversitäre Datenverarbeitungsprinzipien resultieren.
Zur signaltechnisch sicheren Ansteuerung und Überwachung der Lichtzeichen 4a und 4b ist folgender Ablauf vorgesehen:
Der Steuerrechner 6 sendet einen Stellbefehl an die ersten Rechner 10a und 11a, welche daraufhin ihr zugeordnetes Lichtzeichen 4a beziehungsweise 4b auf rot 12a beziehungsweise 12b schalten.
Der erste und der zweite Rechner 10a und 11a beziehungsweise 10b und 11b ermitteln über Stromüberwachungseinrichtungen 13a und 14a beziehungsweise 13b und 14b unabhängig voneinander die Bestromung des Lichtzeichens 4a beziehungsweise 4b, das heißt die beiden Rechner 10a und 11a beziehungsweise 10b und 11b stellen fest, ob der gemäß Stellbefehl des Steuerrechners 6 vorgesehene Rot-Zustand 12a beziehungsweise 12b des Lichtzeichens 4a beziehungsweise 4b korrekt eingeschaltet wurde. Dieses Rückleseergebnis wird von dem ersten Rechner 10a beziehungsweise 10b als erstes Telegramm 15a beziehungsweise 15b und von dem zweiten Rechner 11a beziehungsweise 11b als zweites Datentelegramm 16a beziehungsweise 16b über den Kommunikationsring 5 an den Steuerrechner 6 übermittelt. Daraufhin vergleicht der Steuerrechner 6 seinen Stellbefehl mit den Rückleseergebnissen, das heißt mit den Datentelegrammen 15a und 16a sowie 15b und 16b. Wenn die Datentelegramme 15a, 16a, 15b und 16b nicht zu dem Stellbefehl des Steuerrechners 6 passen, bedeutet das, dass der Rot-Zustand 12a und/oder 12b des Lichtzeichens 4a und/oder 4b nicht korrekt eingestellt wurde, wodurch der Steuerrechner 6 eine Sicherheitsreaktion auslöst, die die Lichtzeichen 4a und 4b so lange in den Rot-Zustand 12a, 12b zwingt, bis die Störung behoben ist. Die gleiche Sicherheitsreaktion erfolgt auch, wenn der Steuerrechner 6 durch Vergleich der Rot-zustandsspezifischen Datentelegramme 15a und 16a bezüglich des Lichtzeichens 4a mit den Datentelegrammen 15b und 16b bezüglich des Lichtzeichens 4b eine Diskrepanz feststellt.
Die in 2 beispielhaft dargestellte Konfiguration ermöglicht im Zusammenwirken mit dem geschilderten Ablauf zur Ansteuerung und Überwachung von Bahnschranken 3a und 3b und Lichtzeichen 4a, 4b, 4c und 4d, dass die Komponentenrechner 8a und 8b als SIL0-Rechner ausgeführt sein können, ohne die SIL4-Sicherheit des Gesamtsystems zu gefährden. In 2 ist außerdem ersichtlich, dass die ersten Rechner 10a und 10b Controllerfunktionalität aufweisen, während die zweiten Rechner 11a und 11b darüber hinaus die Ethernet-Kommunikation mit dem sicheren Rechner 6 steuern.
ZITATE ENTHALTEN IN DER BESCHREIBUNG
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
Zitierte Nicht-Patentliteratur

CENELEC Norm EN50129 [0002]

Claims

Bahnübergangssicherungssystem mit einer Steuereinrichtung für straßenseitige Komponenten (3a, 3b; 4a, 4b, 4c, 4d), insbesondere Bahnschranken (3a, 3b) und Lichtzeichen (4a, 4b, 4c, 4d), dadurch gekennzeichnet, dass die Steuereinrichtung einen signaltechnisch sicheren Steuerrechner (6) aufweist und den Komponenten (3a, 3b; 4a, 4b, 4c, 4d) signaltechnisch nicht sichere Komponentenrechner (8a; 8b) zugeordnet sind, wobei die Komponentenrechner (8a; 8b) jeweils einen ersten und einen zweiten einkanaligen Rechner (10a, 11a; 10b, 11b) mit diversitärer Hardware umfassen und dass der Steuerrechner (6) und die Komponentenrechner (8a; 8b) Mittel zur Ansteuerung und Überwachung der Komponenten (3a, 3b; 4a, 4b, 4c, 4d) mit folgendem Ablauf aufweisen: – der Steuerrechner (6) sendet einen Stellbefehl an die ersten Rechner (10a; 10b), welche ihre zugeordnete Komponente (4a; 4b) ansteuern, – der erste und der zweite Rechner (10a, 11a; 10b, 11b) der Komponente (4a; 4b) ermitteln unabhängig voneinander die Bestromung der Komponente (4a; 4b) und senden diese Rückleseergebnisse an den Steuerrechner (6) und – der Steuerrechner (6) vergleicht seinen Stellbefehl mit den Rückleseergebnissen der Komponenten (4a; 4b) und vergleicht die Rückleseergebnisse miteinander, wobei bei Nichtübereinstimmung mindestens eines der Vergleichsergebnisse eine Sicherheitsreaktion ausgelöst wird.
Bahnübergangssicherungssystem nach Anspruch 1, dadurch gekennzeichnet, dass der Steuerrechner (6) und die Komponentenrechner (8a; 8b) in einem Kommunikationsring (5) angeordnet sind.
Bahnübergangssicherungssystem nach einem der vorangehenden Ansprüche, dadurch gekennzeichnet, dass der Steuerrechner (6) zur Auslösung der Sicherheitsreaktion an die ersten und zweiten Rechner (10a, 11a; 10b, 11b) Abschaltkommandos sendet, wodurch der erste und/oder der zweite Rechner (10a, 10b und/oder 11a, 11b) die zugeordnete Komponente (4a; 4b) in einen signaltechnisch sicheren Zustand schaltet/schalten.
Bahnübergangssicherungssystem nach einem der vorangehenden Ansprüche, dadurch gekennzeichnet, dass der Steuerrechner (6) zur Auslösung der Sicherheitsreaktion die Kommunikationsverbindung zu den Komponentenrechnern (8a; 8b) abbricht, wodurch die Komponenten (4a; 4b) in einen signaltechnisch sicheren Zustand geschaltet werden.