DE2701925A1

DE2701925A1 - Fahrzeugsteuerungssystem mit hoher zuverlaessigkeit

Info

Publication number: DE2701925A1
Application number: DE19772701925
Authority: DE
Inventors: Reinhard Ing Grad Adler; Henri Dipl Ing Maatje
Original assignee: Standard Elektrik Lorenz AG
Current assignee: Alcatel Lucent Deutschland AG
Priority date: 1977-01-19
Filing date: 1977-01-19
Publication date: 1978-07-20
Also published as: US4181945A; DE2701925C3; ES466149A1; DE2701925B2

Description

STANDARD ELEKTRIK LORENZ
AKTIENGESELLSCHAFT
STUTTGART

Π.Adler-Η.Maatje 1-3

Fahrzeugsteuerungssystem mit hoher Zuverlässigkeit

Die Erfindung betrifft ein Fahrzeugsteuerunrssystem mit mindestens einer Zentrale und einer Vielzahl spurgebundener Fahrzeuge mit Bordsteuergeräten, welche Datentelegramme mit einem in der Zentrale befindlichen Rechnersystem austauschen.

Aus der DT-OS 2¹J 23 590 ist ein hierarchisch aufgebautes, bedarfsgesteuertes Fahrzeugsteuerungssystem bekannt, in welchem die Steuerung der einzelnen Fahrzeuge sowie die Sicherheitsverantwortung sogenannten Operationszentralen obliegt, während eine übergeordnete Dispositionszentrale die Bedarfssteuerung besorgt und die Bahnhof Seinrichtungen betreut.

Die Betriebszuverlässigkeit eines solchen Systems hängt in erster Linie von der Zuverlässigkeit der Bordsteuergeräte der Fahrzeuge ab. Als solche wurden bisher, z.B. bei der herkömmlichen Linienzugbeeinflussung, speziell für das betreffende Steuerungssystem entwickelte, signaltechnisch sichere Schaltungen benützt, die in der Regel durch Verdopplung der einzelnen Schaltungsteile redundant gemacht wurden und nur relativ wenige Funktionen erfüllen mußten..

03.09.1976, P/Ku

809829/0451

R.Adler 1-3

Bei dem o.g. bedarfsgesteuerten Fahrzeugsteuerungssystem sind im Vergleich zur Linienzugbeeinflussung kleinere,in wesentlich dichterer Folge verkehrende Fahrzeugeinheiten ohne Begleitpersonal vorgesehen.

Die Bordsteuergeräte der Fahrzeuge müssen deshalb aus Gründen einer wesentlich kürzeren, dem einzelnen Fahrzeug zur Verfügung stehenden Datenübertragungszeit, viele Funktionen, die bisher in der Zentrale wahrgenommen wurden, sowie zusätzliche Aufgaben, welche sich durch die Bedarfssteuerung und die Entgegennahme von Fahrgastwünschen ergeben, in Eigenverantwortung übernehmen. Solche Bordsteuergeräte, in herkömmlicher Bauweise ausgeführt, wären aber viel zu teuer, um eine wirtschaftlich arbeitende Bedarfssteuerung, beispielsweise in einem Nahverkehrssystem, zu verwirklichen, zumal die Anzahl der Fahrzeuge und damit die Anzahl der benötigten Bordsteuergeräte, bezogen auf die Zahl der beförderten Fahrgäste hier viel höher ist, als bei der herkömmlichen Linienzugbeeinflussung.

Ein weiteres Problem, welches durch die Abwesenheit von Begleitpersonal auf den Fahrzeugen bedingt ist, ist die Gefahr von Streckenblockierungen durch Ausfall von Bordsteuergeräten von Fahrzeugen. Die einzige Lösung ist hior die zusätzliche Bereitstellung eines automatisch anschaltbaren Reservegerätes, oder wenn das vorhandene Bordsteuergerät aus zwei exakt gleichen Schaltunpsteilen besteht, zumindest eines dritten solchen Schaltungsteiles, der im Fehlerfalle automatisch in Betrieb genommen werden kann.

809829/0451

ORIGiNAL INSPECTED

27ϋ 19

R.Adler 1-3

Diese Maßnahme stellt eine weitere Verteuerung der Bordsteuerausrüstung der Fahrzeuge und damit eine Verteuerung des gesamten Fahrzeugsteuerungssystemsdar und erfordert eine erhebliche Menge Schaltmittel auf den Fahrzeugen, deren Funktionsffihigkeit, ebenso wie die der Reserveschaltungen selbst, nicht vor ihrer Inbetriebnahme im Fehlerfalle geprüft werden kann, was eine nicht geringe Eintrittswahrscheinlichkeit für Streckenblockierungen bedingt.

Aufgabe der Erfindung ist, ein sicheres und extrem zuverlässiges Fahrzeugsteuerungssystem zu schaffen, welches wesentlich leistungsfähiger und dabei kostengünstiger ist, als herkömmliche Fahrzeugsteuerungssysteme und das sich deshalb für ein bedarfsgesteuertes Verkehrssystem mit vielen Fahrzeugeinheiten ohne Begleitpersonal besonders eignet.

Das Fahrzeugsteuerungssystem nach der Erfindung ist dadurch gekennzeichnet, daß sich als Bordsteuergerät auf jedem Fahrzeug zwei gleichwertige Eordrechnersysteme befinden,wobei jedes bordrechnersystem aus zwei Γinzelrechnern besteht, die alle Ergebnisse getrennt erarbeiten und miteinander vergleichen, daß beide Bordrechnersysteme gleiche Informationen von der Zentrale sowie Daten von den Fahrzeugaggregaten erhalten und voneinander unabhängig verarbeiten, daß eine Umschaltlogik vorhanden ist, mit deren Hilfe das in der Zentrale befindliche Rechnersystem das eine oder andere Bordrechnersystem zur Datentelegrammabgabe und zur Steuerung der Fahrzeugaggregate auswählen kann und daß eine ständige Kontrolle beider Bordrechnersysteme durch das in der Zentrale befindliche Rechnersystem erfolgt.

809829/0451

ORIGINAL INSPECTED

-Jr-

R.Adler 1-3

Hiermit befinden sich auf jedem Fahrzeug zwei in sich sichere Bordrechnersysteme, welche gleichwertig sind, das heißt, alle wesentlichen Steuerungsfunktionen unabhängig voneinander wahrnehmen können und welche ständig durch das in der Zentrale befindliche Rechnersystem überwacht werden, ungeachtet dessen, ob ein Bordrechnersystem gerade zur Datentelegrammabgabe und zur Ausgabe von Steuerkommandos an die Fahrzeugaggregate ausgewählt ist, oder nicht. Außerdem besteht die Möglichkeit, im Fehlerfalle während der Fahrt von einem auf das andere Bordrechnersystem umzuschalten, so daß ein Ausfall des mit der Datentelegrammabgabe und der Fahrzeugsteuerung betrauten Rechnersystems nicht mehr zum Stillstand des Fahrzeugs führt und von den Fahrgästen kaum wahrgenommen wird. Da das in der Zentrale befindliche Rechnersystem jeden auftretenden Fehler mitgeteilt bekommt, kann es auch veranlassen, daß das Fahrzeug rechtzeitig in die Wartung geschickt wird, und das Risiko für einen Ausfall beider Bordrechnersysteme, der zu einer Streckenblockierung führen würde, damit sehr niedrig halten.

Eine Ausgestaltung des Fahrzeugsteuerungssystems nach der Erfindung ist dadurch gekennzeichnet, daß jedes Bordrechnersystem zum Zeichen seines einwandfreien Zustandes in regelmäßigen Zeitabständen Funktionszeichen ausgibt, daß das Vorhandensein solcher Funktionszeichen beider Bordrechnersysteme dem Rechnersystem in der Zentrale innerhalb der Datentelegramme mitgeteilt wird, die es von dem zur Datentelegrammabgabe ausgewählten Bordrechnersystem e-hält und daß das nicht zur Datentelegrammabgabe ausgewählte Bordrechnersystem seine Funktionszeichen an das zur Datentelegrammabgabe ausgewählte Bordrechnersystem ausgibt.

809829/0451

R.Adler 1-3

Damit ist eine sichere und einfache Höflichkeit für das Rechnersystem in der Zentrale geschaffen, die FunktionsfShigkeit beider Rechnersysteme ständig zu überwachen.

Eine weitere Ausgestaltung des Fahrzeugsteuerungssystems nach der Erfindung betrifft dessen Funktionsweise bei der Auswahl der einzelnen Bordrechnersysteme und ist dadurch gekennzeichnet, daß die Auswahl eines Bordrechnersystems durch das in der Zentrale befindliche Rechnersystem mittels eines besonderen Bits in jedem für das betreffende Fahrzeug bestimmten Datentelegramm erfolgt, daß das angesprochene Bordrechnersystem djrch dieses Bit befähigt wird, sein Funktionszeichen auch an die Umschaltlogik auszugeben und daß die Umschaltlogik immer jenes Bordrechnersystemszur Datentelegrammabgabe und zur Steuerung der Fahrzeugaggregate durchschaltet, das Funktionszeichen an die Umschaltlogik abgibt.

Eine andere Ausgestaltung des Fahrzeugsteuerungssystems nach der Erfindung ist dadurch gekennzeichnet, daß eine Notbremsschaltung in jedem Fahrzeug vorhanden ist, welche die Funktionszeichen des zur Datentelegrammabgabe und zur Steuerung der Fahrzeugaggregate ausgewählten Bordrechnersystems erhält, bei deren Ausbleiben die Notbremse aktiviert und diese erst wieder löst, wenn nach Umschaltung auf das andere Bordrechnersystem, dessen Funktionszeichen empfangen werden, daß ein Ausfall eines Bordrechnersystems oder eines von diesem Bordrechnersystem angesteuerten wichtigen Fahrzeugaggregates,

809829/CU51

R.Adler 1-3

sowie eine mindestens zweimal hintereinander festgestellte Nichtübereinstimmung der von den Einzelrechnern eines Bordrechnersystems erarbeiteten Ergebnisse zur Einstellung der Ausgabe von Funktionszeichen des betreffenden Bordrechnersystems führt und daß das in der Zentrale befindliche Rechnersystem dann, wenn nötig, die Durchschaltung des anderen Bordrechnersystems veranlaßt sowie eine Schadensmeldung an eine übergeordnete Dispositionszentrale abgibt, welche das Fahrzeug nach Beendigung seines Liniendienstes in die Wartung dirigiert. Damit ist sichergestellt, daß ein Fahrzeug nur dann seine Fahrt fortsetzen kann, wenn mindestens ein Bordrechnersystem und alle wichtigen Fahrzeugaggregate einwandfrei funktionieren und daß ein Fahrzeug sobald wie möglich aus dem Verkehr gezogen wird, wenn sich eine Störung zeigt, auch dann, wenn diese in einem Geräteteil auftritt, der zu diesem Zeitpunkt gerade nicht gebraucht wird.

Eine Weiterbildung des Fahrzeugsteuerungssystems nach der Erfindung ist dadurch gekennzeichnet, daß zur überprüfung der Umschaltlogik das in der Zentrale befindliche Rechnersystem in regelmäßigen Zeitabständen eine Umschaltung der Datentelegrammabgabe und der Fahrzeugaggregate auf das andere Bordrechnersystem vornimmt und anschließend kontrolliert, ob die Umschaltung ausgeführt wurde. Dadurch wird auch die Umschaltlogik in regelmäßigen Zeitabständen auf ihre Funktionsfähigkeit hin überprüft, damit ihr eventueller Ausfall nicht erst dann bemerkt wird, wenn eine Umschaltung vorgenommen werden muß, weil eines der Bordrechnersysteme gestört ist.

809829/0451

R.Adler 1-3 270 I

Andere Ausgestaltungen betreffen weitere Maßnahmen zur Erhöhung der Sicherheit und Zuverlässigkeit der, Fahrzeugsteuerungssystems nach der Firfindung und sind der Ansprüchen Γ), 7, und 8 zu entnehmen.

Anhand eirer Figur soll nun ein Ausfiihrungsboi Priel des FahrzeugsteuerunrEsystems nach der Frfindung beschrieben und seine Funktion erklärt werden.

Die Fig. zeigt aus je zwei Einzelrechnernjbestehende Pordrechnersysteme RSl, RS2»denen Empfangseinrichtungen El, E2, Ortungs- und Geschwindigkeitsmeßeinrichtungen OGl, 0G2 sowie Sendeeinrichtungen TSl, TS2 zur Ausgabe von Datentelegrammen an eine Zentrale fest zugeordnet sind. Schalter Sl bis S^ werden von einer Umschaltlogik UL angesteuert und bewerkstelligen die Umschaltung der Datenteiegrammausgabe und der Fahrzeugaggregate auf das eine oder das andere Bordrechnersystem. Der Schalter Sl schaltet dabei den Meldeweg,der Schalter S2 den Kommandoweg zu den Fahrzeugaggregaten zwischen den Bordrechnersystemen um. Mit dem Schalter S3 werden die Datentelegrammausgänge der Bordrechnersysteme auf die zugehörigenSendeeinrichtungen durchgeschaltet oder von diesen abgetrennt und der Schalter S^ schaltet den Fehlermeldeweg zwischen den beiden Bordrechnersystem um.

Im Betrieb gibt ein in der Zentrale befindliches Rechnersystem zyklisch an alle Fahrzeuge Datentelegramme aus, die von beiden Bordrechnersystemen über die ihnen zugeordneten Empfangseinrichtungen empfangen werden.Die Bordrechnersysteme bekommen außerdem Statusmeldungen von den ihnen zugeordneten Ortungs- und Geschwindigkeitsmeßeinrichtungen. Das zur Datentelegrammausgabe und zur Fahrzeugsteuerung durchgeschaltete Bordrechnersystem bekommt zusätzlich Statusmeldungen der umschaltbaren Fahrzeugaggregate FA. Beide Bordrechnersystemo

80 9 82 9/0451 ORIGINAL INSPECTED

R.Adler 1-3

erarbeiten aus den empfangenen Datentelegrammen Steuerkommandos und das über den Schalter S2 auf den Kommandoweg durchgeschaltete Bordrechnersystem gibt diese an die Fahrzeugaggregate aus. Aus den Statusmeldungen stellen beide Bordrechnersysteme Datentelegramme für die Zentrale zusammen und das Bordrechnersystem, das auf die ihm zugeordnete Sendeeinrichtung durchgeschaltet ist ,gibt sie aus.

Alle Arbeitsgänge eines Bordrechnersystems werden in beiden Einzelrechnern unabhängig voneinander durchgeführt. Am Ende eines jeden Rechenprozesses werden die Ergebnisse ausgetauscht und in beiden Rechnern verglichen. Stimmen die Ergebnisse überein und sind sowohl die empfangenen Datentelegramme als auch die Statusmeldungen akzeptabel, so generiert das Bordrechnersystem ein Funktionszeichen, beispielsweise eine Folge von Impulsen, welche so lange fortgesetzt wird, bis

ein Fehler auftritt. Das Vorhandensein solcher Funktionszeichen bei beiden Bordrechnersystemen wird der Zentrale mitgeteilt. Dazu dienen besondere Bits in den Datentelegrammen, die das eine der beiden Bordrechnersysteme an die Zentrale abgibt und eine mit dem Schalter S^J umschaltbare Datenleitung, über welche beide Bordrechnersysteme ihre Funktionszeichen aneinander abgeben können.

Die Auswahl eines Bordrechnersystems für die Datentelegrammabgabe und die Steuerung der Fahrzeugaggregate geschieht über ein Auswahlbit in allen an das betreffende Fahrzeug addressierten Datentelegrammen der Zentrale.

809829/0ΛΒ1

R.Adler 1-3

Durch das Auswahlbit wird ein bestimmtes Bordrechnersystem dazu befähigt, sein Funktionszeichen auch an die Unischaltlogik auszugeben. Diese schaltet die Schalter Sl bis S¹J dann so um, daß das Bordrechnersystem, welches sein Funktionszeichen an die Umschaltlogik abgibt,zur Datentelegrammabgabe und zur Steuerung der Fahrzeugaggregate durchgeschaltet wird.

Daß die Umschaltung erfolgt ist, erfahrt die Zentrale durch ein besonderes Bit innerhalb der empfangenen Datentelegrammciner Zentrale mitteilt, welches Bordrechnersystem das jeweilige Datentelegramm ausgegeben hat. Ist keine Umschaltung erfolgt, wird eine Fahrt in die Wartung veranlaßt.

Zu den Fahrzeugaggregaten FA, die Steuerbefehle von den Bordrechnersystemen erhalten, gehört auch eine in der Figur nicht dargestellte Notbremsschaltung. Diese hält die Notbremse gelöst, solange.sie ein Funktionszeichen eines Bordrechnersystems empfängt. Tritt nun ein Fehler in dem auf die Fahrzeugaggregate durchgeschalteten Bordrechnersystem auf, so stellt dieses die Ausgabe von Funktionszeichen ein und die Notbremsschaltung aktiviert die Notbremse. Sobald eine Umschaltung auf das andere Bordrechnersystem erfolgt ist und dessen Funktionszeichen von der Notbremsschaltung empfangen werden, wird die Notbremse wieder gelöst und es wird mit dem nächsten Datentelegramm eine Fehlermeldung an die Zentrale abgegeben. Die Zentrale, wiederum,

809829/0451

13 2 7 ϋΙ 9 2

R.Adler 1-3

informiert eine übergeordnete Dispositionszentrale, welche das Fahrzeug nach Beendigung der begonnenen Fahrt in die Wartung leitet.

Es besteht nun aber auch die Möglichkeit, daß ein Fehler in dem Bordrechnersystem auftritt, das gerade nicht zur Datentelegrammabgabe und zur Fahrzeugsteuerung durchgeschaltet ist. Hier wird die Notbremse nicht aktiviert. Das betroffene Bordrechnersystem stellt jedoch die Abgabe von Funktionszeichen ein, was von dem anderen Eordrechnersystem bemerkt wird und, wie im obigen Falle, eine Fehlermeldung an die Zentrale auslöst.

Fehler, die zu einer Streckenblockierung führen, können nur noch an der gemeinsamen Peripherie, vor allem am Antriebs- und Bremssystem der Fahrzeuge! sowie in seltenen Fällen, wenn beide Eordrechnersysteme gleichzeitig oder kurz nacheinander ausfallen, auftreten.

8 Ansprüche

1 Bl. Zeichnung

80982 9/0451

Claims

R.Adler 3-1

Ansprüche

■ \y Fahrzeugsteuerungssystem mit mindestens einer Zentrale und einer Vielzahl spurgebundener Fahrzeuge mit Pordsteuergeräten, welche Datentelegrfimme mit einem in der Zentrale befindlichen Rechnersystem austauschen ,dadurch gekennzeichnet, daß sich als Bordr.teuergeWit auf jedem Fahrzeug zwei gleichwertige Bordrechnersyr,teme(H31 ,RTP) befinden, wobei jedes Bordrechriersysteiii aus zv;ei Finzelrechnern besteht, die alle Ergebnisse getrennt erarbeiten und miteinander vergleichen, daß beide Bordrechnersysteme gleiche Informationen von der Zentrale sowie Daten von den Fahrzeugaggregaten (FA) erhalten und voneinander unnbh.^;:i rir verarbeiten, daß eine Umschaltlogik ('U,) vorhanden if-t , mit deren Hilfe das in der Zentrale befindliche I!echnersystem das eine oder andere Pordrechnersystem zur Datentelegrammabgabe und zur Steuerung der Fahrzeugaggregate auswählen kann und daß eine ständige Kontrolle beider Bordrechnersysteme durch c'as in der Zentrale befindliche Rechnersystem erfolgt.
2. Fahrzeugsteuerungssystem nach Anspruch 1, dadurch gekennzeichnet, daß jedes Bordrechnersystem zum Zeichen seines einwandfreien Zustandes in regelmäßigen Zeitabstflnden Funktionszeichen ausgibt, daß das Vorhandensein solcher Funktionnzeichen beider Rordrechnernyr.teme dem Rechnersystem in der Zentrale innerhalb der Datentelegramme mitgeteilt wird, die es von dem zur Datentelegrammabgabe ausgewählten Bordrechnersystem erhiilt und daß das nicht zur Datentelegrammabgabe ausgewählte Bordrechnersystem seine Funktionszeichen an das zur Datentelegrammabgabe ausgewählte Bordrechnersystem ausgibt. 31.08.1976, P/Ku

8 0 ⁽) tt 2 9 / U U 5 1 ORIGiNAL INSPECtCD

H.Adler 3-1

27ÜIJ25

Fahrzeugsteuerungssystem nach Anspruch 2, dadurch gekennzeichnet, daß die Auswahl eines Bordrechnorsystems durch das in der Zentrale befindliche Rechnersystem mittels eines besonderen Bit in jedem für das betreffende Fahrzeug bestimmten Datentelegramm erfolgt, daß das angesprochene Bordrechnersystem durch dieses Bit befähigt wird, sein Funktionszeichen auch an die Umschaltlogik auszugeben und daß die Umschaltlogik immer jenes Pordrechnersystem zur Datentelegrammabgabe und zur Steuerung der Fahrzeugaggregate durchschaltet, das Funktionszeichen an die Umschaltlogik ausgibt.

Fahrzeugsteuerungssystem nach Anspruch 3, dadurch gekennzeichnet, daß eine IJotbremsr.chaltung in jedem Fahrzeug vorhanden ist, welche die Funktion^- zeichen des zur Datentelegrammabgabe und zur Steueruni'; der Fahrzeugaggregate ausgewählten Bordrechnersynterrs erhält, bei deren Ausbleiben die Notbremse aktiviert und diese erst wieder löst, wenn nach Umschaltung auf das andere Bordrechnersystem, dessen Funktionszeichen empfangen werden, daß ein Ausfall eines Bordrechnersystems oder eines von diesem Bordrechnersystem angesteuerten wichtigen Fahrzeugaggregates sowie eine mindestens zweimal hintereinander festgestellte Nichtübereinstimmung der von den Einzelrechnern eines Pordrechnersystems erarbeiteten Ergebnisse zur Einstellung der Ausgabe von Funktionszeichen des betreffenden Bordrechnersystems führt und daß das in der Zentrale befindliche Rechnersystem dann, wenn nötig, die Durchschaltung des anderen Bordrechnersystems veranlaßt, sov/ie eine Schadensmeldung an eine übergeordnete Dispositionszontrale abgibt, welche das Fahrzeug nach Beendigung sei nes Liniendienstes in die Wartung dirigiert.

8 0 ¹J H -M) / 0 A 5 1

JNSPEQTEO

R.Adler 3-1

27Ü 1925

Fahrzeugsteuerungssystem nach einem der vorstehenden Ansprüche, dadurch gekennzeichnet, daß zur überprüfung der Umschaltlogik das in der Zentrale befindliche Rechnersystem in regelmäßigen Zeitabständen eine Umschaltung der Datentelegrammabgabe und der Fahrzeugaggregate auf das andere Bordrechnersysteni vornimmt und anschließend kontrolliert, ob die Umschaltung ausgeführt wurde.

FahrzeuEsteuprunfssystem nach Anspruch 5, dadurch gekennzeichnet, daß zur Bestimmung des Fahrzeugstandortes und der Fahrzeuggeschwindigkeit zwei Ortungs- und üeschwj ncii/:l:ei ts meßeinrichtungen (OUl, 0G2) und zum L'irpfang urd zur Abgabe von Datentelegrammen je zwei EmpfangseinrichtungenO 1,F2) und Sendeeinrichtungen (TSl, TS2) vorhanden sind und daß je eine dieser Einrichtungen je einem Bordrechnersystem fest zugeordnet ist.

Fahrzeugsteuerungssystem nach Anspruch 6, dadurch gekennzeichnet, daß zur Durchschaltung der Bordrechnersystemeauf die Sendeeinrichtungen und auf die Fahrzeugaggregate Relais (Sl, S2, S3) verwendet werden, deren Kontakte mechanisch so gekoppelt sind, daß die Abgabe von Datentelegrammen und die Ansteuerung der Fahrzeugaggregate mit Sicherheit nur von dem selben Bordrechnersystem vorgenommen werden kann und daß die Durchschaltung zweier Bordrechnersysteme gleichzeitig nicht möglich ist.

Fahrzeugsteuerungssystem nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß auf jedem Fahrzeug zusätzliche Schaltmittel vorhanden sind, welche bei Ausfall beider Bordrechnersysteme die Einzelrechner der verschiedenen Bordrechnersysteme in einer vorher festgelegten Reihenfolge einander parallelschalten bis eine Kombination zweier fehlerfreier Einzelrechner gefunden ist und daß diese Kombination als neu gebildetes Bordrechnersystem die DatentelTrammausgabe _utirj die Steuerung der Fahrzeugaggregate übernimmt.

809829/0451

ORIGHNALINSPECTED