DE102007004917B4

DE102007004917B4 - Verfahren und Anordnung zur Ansteuerung und Überwachung von Feldelementen

Info

Publication number: DE102007004917B4
Application number: DE200710004917
Authority: DE
Inventors: Rudolf Temming
Original assignee: Siemens Corp
Current assignee: Siemens Corp
Priority date: 2007-01-26
Filing date: 2007-01-26
Publication date: 2010-09-30
Anticipated expiration: 2027-01-27
Also published as: DE102007004917A1; WO2008090130A1

Abstract

Verfahren zur Ansteuerung und Überwachung von Feldelementen, insbesondere Weichenantrieben (5), Signallampen (4) und Achszähler, einer Eisenbahnsicherungsanlage, dadurch gekennzeichnet, dass ein erstes Board mit einem signaltechnisch sicheren Rechner (1) und diesem zugeordneten Funktionsmodulen (2A, 2B, 2C, 2K1) als Master-Board (3A) und ein zweites Board mit feldelementspezifischen Funktionsmodulen (2D, 2E, 2F, 2G, 2K2) als Slave-Board (3B) verwendet werden, wobei die Boards (3A, 3B) über eine Datenleitung (8) oder einen Funkkanal miteinander verbunden sind und der sichere Rechner (1) des Master-Boards (3A) über ein zweikanaliges Bussystem (6) des Master-Boards (3A) mit den Funktionsmodulen (2A, 2B, 2C, 2K1) des Master-Boards (3A) und über ein zweikanaliges Bussystem (9) des Slave-Boards (3B) mit den Funktionsmodulen (2D, 2E, 2F, 2G, 2K2) des Slawe-Boards (3B) kommuniziert, indem ein an ein Funktionsmodul (2D, 2E, 2F, 2G) des Slave-Boards (3B) adressiertes Datentelegramm des sicheren Rechners (1) von einem Kommunikationsmodul (2K2) des Slawe-Boards (3B) in beide Kanäle (9A, 9B) des Bussystems...

Description

Die Erfindung betrifft ein Verfahren und eine Anordnung zur Ansteuerung und Überwachung von Feldelementen einer Eisenbahnsicherungsanlage. Derartige Feldelemente sind beispielsweise Weichenantriebe, Signale, Achszähler, Gleisfreimeldeeinrichtungen, Geschwindigkeitsmesseinrichtungen, Fahrsperren oder sichere Kontaktabfragen. Eisenbahnsicherungsanlagen müssen üblicherweise Sicherheitsanforderungen genügen, die in der Norm CENELEC EN50129 in Form von Sicherheitsstufen SIL0 – signaltechnisch nicht sicher – bis SIL4 – signaltechnisch hochgradig sicher – definiert sind.
Eine mindestens den Anforderungen gemäß SIL3 genügende Anordnung zur Ansteuerung und Überwachung von Feldelementen ist aus der DE 103 55 862 A1 sowie der DE 103 55 864 A1 bekannt. Das Prinzip dieser Anlage ist in 1 dargestellt. Dabei ist ein signaltechnisch sicherer Rechner 1 mit Funktionsmodulen 2A, 2B, 2C, 2D, 2E, 2F und 2G verbunden. Diese Komponenten 1 und 2A bis 2G sind auf einem Board 3 angeordnet, welches mit dem anzusteuernden und zu überwachenden Feldelement, beispielsweise einer Signallampe 4 oder einem Weichenantrieb 5 verbunden ist. Die Funktionsmodule 2A bis 2G sind über einen zweikanaligen Bus 6 an den sicheren Rechner 1 angeschlossen. Die Funktionsmodule 2A bis 2G repräsentieren bestimmte Funktionalitäten, beispielsweise Prüfschaltungen, Leistungsschalter, Filter, digitale Ein- und Ausgänge, Kommunikationsschnittstellen oder auch Rechner, wie in der DE 102 21 575 A1 näher beschrieben. Ein Teil der Funktionsmodule 2D bis 2G ist dabei als feldelementspezifisches Stellteil 7 konfiguriert. Der sichere Rechner 1 kommuniziert über die beiden Buskanäle 6A und 6B mit den Funktionsmodulen 2A bis 2G, wobei von dem sicheren Rechner 1 zyklisch Datentelegramme an die Funktionsmodule 2A bis 2G gesendet werden und zyklisch der Status der Funktionsmodule 2A bis 2G empfangen wird. Der Status beinhaltet beispielsweise einen Ist-Strom einer angeschlossenen Signallampe 4. Der sichere Rechner 1 mit den Funktionsmodulen 2A bis 2G befindet sich üblicherweise auf dem Board 3 oder in einem Baugruppenrahmen, wobei der sichere Rechner 1 an ein Kommunikationsnetzwerk eines übergeordneten Stellwerks angeschlossen ist. Auch für den Fall, dass nur die feldelementspezifischen Funktionsmodule 2D bis 2G des Stellteils 7 direkt im Feld angeordnet sind und die restlichen Funktionsmodule 2A, 2B und 2C dem Stellwerk zugeordnet sind, muss für die Kommunikation zwischen dem Stellwerk und dem Stellteil 7 stellteilseitig, d. h. im Feld, ein sicherer Rechner vorgesehen sein.
Aus der EP 1 010 602 A1 ist ein zuginternes Datenkommunikationssystem bekannt, wobei mindestens zwei Master-Fahrzeugbusse vorgesehen sind, von denen immer genau einer einen aktiven Betriebszustand einnehmen kann und alle Steuerfunktionen des Zuges übernimmt.
Der Erfindung liegt die Aufgabe zugrunde, ein Verfahren und eine Anordnung zur Ansteuerung und Überwachung von Feldelementen einer Eisenbahnsicherungsanlage anzugeben, bei dem ein feldelementseitiger sicherer Rechner entbehrlich ist.
Verfahrensgemäß wird die Aufgabe dadurch gelöst, dass ein erstes Board mit einem signaltechnisch sicheren Rechner und diesem zugeordneten Funktionsmodulen als Master-Board und ein zweites Board mit feldelementspezifischen Funktionenmodulen als Slave-Board verwendet werden, wobei die Boards über eine Datenleitung oder einen Funkkanal miteinander verbunden sind und der sichere Rechner des Master-Boards über ein zweikanaliges Bussystem des Master-Boards mit den Funktoinsmodulen des Master-Boards und über ein zweikanaliges Bussystem des Slawe-Boards mit den Funktionsmodulen des Slawe-Boards kommuniziert, indem ein an ein Funktionsmodul des Slawe-Boards adressiertes Datentelegramm des sicheren Rechners von einem Kommunikationsmodul des Slawe-Boards in beide Kanäle des Bussystems des Slawe-Boards eingespeist wird und anhand einer funktionsmodulspezifischen Adresse des Datentelegrammes nur von dem adressierten Funktionsmodul des Slawe-Boards empfangen wird und von den anderen Funktionsmodulen verworfen wird.
Die Entfernung zwischen den beiden Boards kann viele Kilometer betragen, wobei das Master-Board vorzugsweise stellwerkseitig und das Slawe-Board vorzugsweise feldelementseitig angeordnet sind. Auf dem Slawe-Board ist kein eigener sicherer Rechner erforderlich, da der sichere Rechner des Master-Boards mit den Funktionsmodulen des Slawe-Boards kommuniziert, als wären diese auf dem Master-Board. Durch die Boardarchitektur mit Master-Board und Slawe-Board ist im sicheren Rechner des Master-Boards quasi nicht bekannt, welche Funktionsmodule sich auf dem eigenen Board und welche Funktionsmodule sich auf dem Slawe-Board befinden. Durch die Architektur mit speziellen Kommunikationsmodulen und Datentelegrammadressierung ist gewährleistet, dass der sichere Rechner des Master-Boards zu jeder Zeit immer nur ein bestimmtes Funktionsmodul auf dem Slawe-Board ansprechen kann.
Eine Anordnung zur Durchführung des Verfahrens ist gemäß Anspruch 2 dadurch gekennzeichnet,

– dass ein erstes Board als Master-Board mit einem signaltechnisch sicheren Rechner und diesem zugeordneten Funktionsmodulen ausgebildet ist und ein zweites Board als Slave- Board mit feldelementspezifischen Funktionsmodulen ausgebildet ist,
– dass die Boards über eine Datenleitung oder einen Funkkanal miteinander verbunden sind,
– dass der sichere Rechner des Master-Boards über ein zweikanaliges Bussystem des Master-Boards mit den Funktionmodulen des Master-Boards und über ein zweikanaliges Bussystem des Slawe-Boards mit den Funktionsmodulen des Slawe-Boards verbunden ist, dass die Datenleitung einkanalig ausgebildet ist und Master-Board-seitig mit einem ersten Kommunikationsmodul und Slawe-Board-seitig mit einem zweiten Kommunikationsmodul verbunden ist und
– dass das zweite Kommunikationsmodul Mittel zum Einspeisen von Datentelegrammen des sicheren Rechners in beide Kanäle des Bussystems des Slawe-Boards aufweist.

Die beiden Kanäle des Bussystems des Slawe-Boards sind dabei gemäß Anspruch 3 jeweils mit galvanischen Trennungen ausgestattet.
Die Erfindung wird nachfolgend anhand figürlicher Darstellungen näher beschrieben. Es zeigen:
1 eine Board-Architektur nach dem Stand der Technik und
2 eine erfindungsgemäße Board-Architektur.
Bei der oben erläuterten bekannten Board-Architektur gemäß 1 sind alle wesentlichen Baugruppen, die zur Ansteuerung und Überwachung von Feldelementen, beispielsweise Signallampen 4 und Weichenantrieben 5, benötigt werden, auf einem Board 3 angeordnet. Als Board 3 wird dabei eine Leiterplatte bezeichnet, die mit diesen Baugruppen, nämlich dem si cherheitsrelevanten Rechner 1 und den Funktionsmodulen 2A bis 2G bestückt ist. Der Aufbau und die Bestimmung der Funktionsmodule 2A bis 2G ist aus der DE 102 21 575 A1 bekannt, wobei die Funktionsmodule 2A bis 2G nach dem Baukastenprinzip feldelementspezifisch für die Ansteuerung und Überwachung des Feldelementes zusammengeschaltet werden. Die eigentliche Stellteilfunktion zur unmittelbaren Beaufschlagung des Feld elementes wird dabei durch die Funktionsmodule 2D, 2E, 2F und 2G realisiert.
Bestrebungen nach räumlicher Entzerrung führen zu einer in 2 veranschaulichten Board-Architektur. Vorgesehen sind zwei separate Boards 3A und 3B, deren räumliche Entfernung viele Kilometer betragen kann. Das Board 3B übernimmt dabei die unmittelbare Stellteilfunktion mit den Funktionsmodulen 2D, 2E, 2F und 2G, während das Board 3A mit dem sicheren Rechner 1 und den Funktionsmodulen 2A, 2B und 2C bestückt ist und in einem Stellwerk angeordnet sein kann. Zur Kommunikation zwischen den beiden Boards 3A und 3B sind diese über eine einkanalige Datenleitung 8 miteinander verbunden, wobei die Datenleitung 8 stellwerkseitig über ein zusätzliches Funktionsmodul 2K1 an einen Buskanal 6A auf dem Board 3A und stellteilseitig über ein zusätzliches Funktionsmodul 2K2 an zwei Buskanäle 9A und 9B eines zweikanaligen Busses 9 auf den Board 3B angeschlossen ist. Die Datentelegramme, die von dem sicheren Rechner 1 zur Ansteuerung des Feldelementes generiert werden, werden über den Buskanal 6A, das Funktionsmodul 2K1, die Datenleitung 8 und das Funktionsmodul 2K2 weitergeleitet und dort auf beide Buskanäle 9A und 9B verteilt. Das Datentelegramm wird dadurch von allen Funktionsmodulen 2D, 2E, 2F und 2G des Stellteil-Boards 3B gleichzeitig empfangen, aber nur dasjenige Funktionsmodul, dessen Teilnehmeradresse identisch ist mit einem Adressanhang des Datentelegramms, darf das Datentelegramm bearbeiten. Alle anderen Funktionsmodule verwerfen das Datentelegramm. Eine galvanische Trennung 10 der beiden Buskanäle 9A und 9B sorgt für Rückwirkungsfreiheit. Die Kommunikation zwischen dem sicheren Rechner 1 auf dem Stellwerks-Board 3A und den Funktionsmodulen 2D, 2E, 2F und 2G auf dem Stellteil-Board 3B erfolgt nach dem Master-Slave-Prinzip. Das Stellteil-Board 3B fungiert dabei als Slawe. Auf diese Weise kann der Rechner 1 unterschiedslos mit allen Funktionsmodulen 2A bis 2G auf beiden Boards 3A und 3B kommunizieren, ohne dass ein weiterer sicherer Rechner auf dem Stellteil-Board 3B zwischengeschaltet werden muss. Die Kommunikation beinhaltet dabei eine bidirektionale Übertragung von digitalen und analogen Informationen sowie auch von Werten, beispielsweise dem Auslösewert einer Sicherung.

Claims

Verfahren zur Ansteuerung und Überwachung von Feldelementen, insbesondere Weichenantrieben (5), Signallampen (4) und Achszähler, einer Eisenbahnsicherungsanlage, dadurch gekennzeichnet, dass ein erstes Board mit einem signaltechnisch sicheren Rechner (1) und diesem zugeordneten Funktionsmodulen (2A, 2B, 2C, 2K1) als Master-Board (3A) und ein zweites Board mit feldelementspezifischen Funktionsmodulen (2D, 2E, 2F, 2G, 2K2) als Slave-Board (3B) verwendet werden, wobei die Boards (3A, 3B) über eine Datenleitung (8) oder einen Funkkanal miteinander verbunden sind und der sichere Rechner (1) des Master-Boards (3A) über ein zweikanaliges Bussystem (6) des Master-Boards (3A) mit den Funktionsmodulen (2A, 2B, 2C, 2K1) des Master-Boards (3A) und über ein zweikanaliges Bussystem (9) des Slave-Boards (3B) mit den Funktionsmodulen (2D, 2E, 2F, 2G, 2K2) des Slawe-Boards (3B) kommuniziert, indem ein an ein Funktionsmodul (2D, 2E, 2F, 2G) des Slave-Boards (3B) adressiertes Datentelegramm des sicheren Rechners (1) von einem Kommunikationsmodul (2K2) des Slawe-Boards (3B) in beide Kanäle (9A, 9B) des Bussystems (9) des Slawe-Boards (3B) eingespeist wird und anhand einer funktionsmodulspezifischen Adresse des Datentelegramms nur von dem adressierten Funktionsmodul des Slawe-Boards (3B) empfangen wird und von den anderen Funktionsmodulen verworfen wird.
Anordnung zur Durchführung des Verfahrens nach Anspruch 1, dadurch gekennzeichnet, – dass ein erstes Board als Master-Board (3A) mit einem signaltechnisch sicheren Rechner (1) und diesem zugeordneten Funktionsmodulen (2A, 2B, 2D, 2K1) ausgebildet ist und ein zweites Board als Slave-Board (3B) mit feldelementspezifischen Funktionsmodulen (2D, 2E, 2F, 2G, 2K2) ausgebildet ist, – dass die Boards (3A, 3B) über eine Datenleitung (8) oder einen Funkkanal miteinander verbunden sind, – dass der sichere Rechner (1) des Master-Boards (3A) über ein zweikanaliges Bussystem (6) des Master-Boards (3A) mit den Funktionsmodulen (2A, 2B, 2C, 2K1) des Master-Boards (3A) und über ein zweikanaliges Bussystem (9) des Slave-Boards (3B) mit den Funktionsmodulen (2D, 2E, 2F, 2G, 2K2) des Slave-Boards (3B) verbunden ist, – dass die Datenleitung (8) einkanalig ausgebildet ist und Master-Board-seitig mit einem ersten Kommunikationsmodul (2K1) und Slave-Board-seitig mit einem zweiten Kommunikationsmodul (2K2) verbunden ist und – dass das zweite Kommunikationsmodul (2K2) Mittel zum Einspeisen von Datentelegrammen des sicheren Rechners (1) in beide Kanäle (9A, 9B) des Bussystems (9) des Slave-Boards (3B) aufweist.
Anordnung nach Anspruch 2, dadurch gekennzeichnet, dass die beiden Kanäle (9A, 9B) des Bussystems (9) des Slave-Boards (3B) galvanische Trennungen (10) aufweisen.