DE2701925C3

DE2701925C3 - Fahrzeugsteuerung mit zwei Bordrechnern

Info

Publication number: DE2701925C3
Application number: DE2701925A
Authority: DE
Inventors: Henri Dipl.-Ing. 7015 Korntal-Münchingen Maatje
Original assignee: Standard Elektrik Lorenz AG
Current assignee: Alcatel Lucent Deutschland AG
Priority date: 1977-01-19
Filing date: 1977-01-19
Publication date: 1981-10-15
Also published as: DE2701925B2; US4181945A; ES466149A1; DE2701925A1

Description

Die Erfindung betrifft eine Fahrzeugsteuei-ung gemäß dem Oberbegriff des Patentanspruchs 1.

Eine solche Fahrzeugsteuerung ist im Prinzip aus der Zeitschrift Elektronik 1973, Heft H₁S. 409 bekannt. Die dort erwähnten Elektronik-Baugruppen nehmen etwa dieselben Steuerungs- und Kommunikationsaufgaben wahr, wie die Bordrechner beim Anmeldungsgegenstand und müssen deshalb als den Bordrechnern äquivalent angesehen werden.

Die Parallelschaltung von Rechnern zum Aufbau eines sicheren Rechnersystems mit ständigem Vergleich der erarbeiteten Ergebnisse ist in der Zeitschrift Signal und Draht 1974, Heft 11, auf Seite 213 beschrieben.

Eine weitere bedarfsgesteuerte Fahrzeugsteuerung, welche hierarchisch aufgebaut ist und in welcher die Steuerung der einzelnen Fahrzeuge sowie die Sicherheitsverantwortung sogenannten Operationszentralen obliegt, während eine übergeordnete Dispositionszentral«· die Bedarfssteuerung besorgt und die Bahnhofseinrichtungen betreut, ist aus der DE-OS 24 23 590 bekannt.

In beiden Fahrzeugsteuerungen sollen die Fahrzeuge auch ohne Begleitpersonal eingesetzt werden können. Die Betriebszuverlässigkeit solcher Fahrzeugsteuerungen hängt in erster Linie von der Zuverlässigkeit der Bordsteuergeräte (Bordrechner) der Fahrzeuge ab. Infolge der Abwesenheit von Begleitpersonal ist die Gefahr von Streckenblockierungen durch Ausfall der Bordrechner besonders groß. Die einzige Möglichkeit, die Auswirkungen solcher Ausfälle gering zu halten ist die zusätzliche Bereitstellung von automatisch anschaltbaren Reserverechnern oder Reserverechnersystemen. In der Zeitschrift Schienen der Welt, 1970, Heft 7-8, S. 474 ff. ist z. B. ein Vier-Rechner-System für eine Fahrzeugsteuerzentrale beschrieben.

Streckenblockierungcn sind jedoch auch bei Einsatz zusätzlicher Reserverechnersysteme auf den Fahrzeugen noch mit einer gewissen Eintrittswahrscheinlichkeit möglich, vor allem deshalb, weil die Reserverechner nur in größeren Zeitabständen — etwa vor AntriH einer Fahrt — geprüft werden und deshalb später auftretende Fehler nicht erkannt werden. Ebenso werden die zur Umschaltung notwendigen Einrichtungen nur in größeren Zeitabständen geprüft. Wenn bei Ausfall des mit der Fahrzeugsteuerung betrauten Bordrechners auf das Reservesystem umgeschaltet werden soll, können solche Fehler eine Betriebshemmung bewirken. Werden solche Fehler jedoch rechtzeitig erkannt, kann das Fahrzeug aus dem Dienst genommen und repariert werden, bevor ein Ausfall des mit der Fahrzeugsteuerung betrauten Bordrechners auftritt.

Aufgabe der Erfindung ist, eine sichere Fahrzeugsteuerung zu schaffen, in welcher die Wahrscheinlichkeit von betriebshemmenden Ausfällen sehr klein ist und die sich deshalb für einen Betrieb der Fahrzeuge ohne Begleitpersonal besonders eignet.

Die Fahrzeugsteuerung, welche die Aufgabe der Erfindung löst, ist durch die im Kennzeichen des Anspruchs 1 aufgeführten Merkmale gekennzeichnet.

Hiermit befinden sich auf jedem Fahrzeug zwei in sich sichere Bordrechner, die, weil sie sich nicht gegenseitig zu kontrollieren brauchen, völlig unabhängig voneinander zur Fahrzeugsteuerung und zur Ausgabe von Datentelegrammen an die Zentrale aktiviert werden können. Weil eine Aktivierung von der Zentrale vorgenommen wird und ihre Durchführung auch von dort aus überwacht wird, kann das bisher aktiv geschaltete Rechnersystem seine Steuerungsfunktionen so lange ungestört wshrnehmen, bis die Aktivschaltung des bisher passiven Rechnersystems erfolgt ist. Es tritt dadurch keine nennenswerte Unterbrechung der Fahrtkontrolle während der Umschaltung ein und eine vorsorgliche Auslösung einer Notbremsung wie sie bei längerer unkontrollierter Fahrt aus Sicherheitsgründen erforderlich wäre, ist nicht nötig. Die Umschaltung der Rechnersysteme kann in kurzen Zeitabständen während der Fahrt erfolgen und stellt sicher, daß auch ein Ausfall des gerade passiven Systems oder ein Ausfall der Umschaltlogik erkannt wird, bevor er eine Betriebshemmung verursacht.

Eine Ausgestaltung der Fahrzeugsteuerung nach der Erfindung ist dadurch gekennzeichnet, daß jeder Bordrechner zum Zeichen seines einwandfreien Zustandes in regelmäßigen Zeitabständen Funktionszeichen ausgibt, daß das Vorhandensein solcher Funktionszeichen beider Bordrechner dem Rechner in der Zentrale innerhalb der Datentelegramme mitgeteilt wird, die er von dem zur Datentelegrammabgabe ausgewählten Bordrechner erhält und daß der nicht zur Datentelegrammabgabe ausgewählte Bordrechner seine Funktionszeichen an den zur Datentelegrammabgabe ausgewählten Bordrechner ausgibt.

Damit ist eine sichere und einfache Möglichkeit für den Rechner in der Zentrale geschaffen, die Funktionsfähigkeit beider Bordrechner ständig zu überwachen.

Eine weitere Ausgestaltung der Fahrzeugsteuerung nach der Erfindung betrifft deren Funktionsweise bei der Auswahl der einzelnen Bordrechner und ist dadurch gekennzeichnet, daß die Auswahl eines Bordrechners durch den in der Zentrale befindlichen Rechner mittels eines besonderen Bit in jedem für das betreffende Fahrzeug bestimmten Datentelegramm erfolgt, daß der angesprochene Bordrechner durch dieses Bit befähigt wird, sein Funktionszeichen auch an die Umschaltlogik auszugeben und daß die Umschaltlogik immer jenen Bordrechner zur Datentelegrammabgabe und zur Steuerung der Fahrzeugaggregate durchschaltet, der Funktionszeichen an die Umschaltlogik ausgibt

Eine andere Ausgestaltung der Fahrzeugsteuerung nach der Erfindung ist dadurch gekennzeichnet, daß eine Notbremsschaltung in jedem Fahrzeug vorhanden ist, welche die Funktionszeichen des zur Datentelegrammabgabe und zur Steuerung der Fahrzeugaggregate ausgewählten Bordrechners erhält, bei deren Ausbleiben die Notbremse aktiviert und diese erst wieder löst, wenn nach Umschaltung auf den anderen Bordrechner dessen Funktionszeichen empfangen werden, daß ein Ausfall eines Bordrechners oder eines von diesem Bordrechner angesteuerten wichtigen Fahrzeugaggregates, sowie eine mindestens zweimal hintereinander festgestellte Nichtübereinstimmung der von den Einzelrechnern eines Bordrechners erarbeiteten Ergebnisse zur Einstellung der Ausgabe von Funktions zeichen des betreffenden Bordrechners führt und dall der in der Zentrale befindliche Rechner dann, wenn nötig, die Durchschaltung des anderen Bordrechners veranlaßt, sowie eine Schadensmeldung an eine übergeordnete Dispositionszentrale abgibt, welche da-, Fahrzeug nach Beendigung seines Liniendienstes in die Wartung dirigiert. Damit ist sichergestellt, daß ein Fahrzeug nur dann seine Fahrt fortsetzen kann, wenn mindestens ein Bordrechner und alle wichtigen Fahrzeugaggregate einwandfrei funktionieren und daß ein Fahrzeug sobald wie möglich aus dem Verkehr gezogen wird, wenn sich eine Störung zeigt, auch dann, wenn diese in einem Geräteteil auftritt, der zu diesem Zeitpunkt gerade nicht gebraucht wird.

Eine Weiterbildung der Fahrzeugsteuerung nach der Erfindung ist dadurch gekennzeichnet, daß zur Überprüfung der Umschaltlogik der in der Zentrale befindliche Rechner in regelmäßigen Zeitabständen eine Umschaltung der Datentelegrammabgabe und der Fahrzeugaggregate auf den anderen Borarechner vornimmt und anschließend kontrolliert, ob die Umschaltung ausgeführt wurde. Dadurch wird auch die Umschaltlogik in regelmäßigen Zeitabständen auf ihre Funktionsfähigkeit hin überprüft, damit ihr eventueller Ausfall nicht erst dann bemerkt wird, wenn eine Umschaltung vorgenommen werden muß, weil einer der Bordrechner gestört ist.

Andere Ausgestaltungen betreffen weitere Maßnahmen zur Erhöhung der Sicherheit und Zuverlässigkeit der Fahrzeugsteuerung nach der Erfindung und sind den Ansprüchen 6,7 und 8 zu entnehmen.

An Hand der Zeichnung soll nun ein Ausführungsbeispiel der Fahrzeugsteuerung nach der Erfindung beschrieben und ihre Funktion erklärt werden.

Die Zeichnung zeigt aus je zwei Einzelrechnern bestehende Bordrechner RSi, RS 2, denen Empfangseinrichtungen El, E2, Ortungs- und Geschwindigkeitsmeßeinrichtungen OGl, OG 2 sowie Sendeeinrichtungen TSi. TS2 zur Ausgabe von Datentelegrammen an eine Zentrale fest zugeordnet sind. Schalter 51 bis S 4 werden von einer Umschaltlogik UL angesteuert und bewerkstelligen die Umschaltung der Datentelegrammausgabe und der Fahrzeugaggregate FA auf den einen oder den anderen Bordrechner. Der Schalter 51 schaltet dabei den Meldeweg, der Schalter 52 den Kommandoweg zu den Fahrzeugaggregaten FA zwischen den Bordrechnern um. Mit dem Schalter S3 werden die Datentelegrammausgänge der Bordrechner auf die zugehörigen Sendeeinrichtungen durchgeschaltet oder von diesen abgetrennt und der Schalter S4 schaltet den Fehlermeldeweg zwischen den beiden Bordrechnern um.

Im Betrieb gibt ein in der Zentrale befindlicher Rechner zyklisch an alle Fahrzeuge Datenteleg^amme aus, die von beiden Bordrechnern über die ihnen zugeordneten Empfangseinrichtungen empfangen werden. Die Bordrechner bekommen außerdem Statusmeldungen von den ihnen zugeordneten Ortungs- und Geschwindigkeitsmeßeinrichtungen. Der zur Datentelegrammausgabe und zur Fahrzeugsteuerung durchgeschaltete Bordrechner bekommt zusätzlich Statusmeldungen der umschaltbaren Fahrzeugaggregate FA. Beide Bordrechner erarbeiten aus den empfangenen Datentelegrammen Steuerkommandos und der über den Schalter 52 auf den Kommandoweg durchgeschaltete Bordrechner gibt diese an die Fahrzeugaggregate aus. Aus den Statusmeldungen stellen beide Bordrechner Datentelegramme für die Zentrale zusammen und der Bordrechner, der auf die ihm zugeordnete Sendeeinrichtung durchgeschaltet ist, gibt sie aus.

Alle Arbeitsgänge eines Bordrechners werden in beiden Einzelrechnern unabhängig voneinander durchgeführt. Am Ende eines jeden Rechenprozesses werden die Ergebnisse ausgetauscht und in beiden Rechnern verglichen. Stimmen die Ergebnisse überein und sind sowohl die empfangenen Datentelegramme als auch die Statusmeldungen akzeptabel, so generiert der Bordrechner ein Funktionszeichen, beispielsweise eine Folge von Impulsen, welche so lange fortgesetzt wird, bis ein Fehler auftritt Das Vorhandensein solcher Funktionszeichen bei beiden Bordrechnern wird der Zentrale mitgeteilt. Dazu dienen besondere Bits in den Datentelegrammen, die der eine der beiden Bordrechner an die Zentrale abgibt und eine mit dem Schalter 54 umschaltbare Datenleitung, über welche beide Bordrechner ihre Funktionszeichen aneinander abgeben können.

Die Auswahl eines Bordrechners für die Datentelegrammabgabe und die Steuerung der Fahrzeugaggregate geschieht über ein Auswahlbit in allen an das betreffende Fahrzeug addressierten Datentelegrammen der Zentrale.

Durch das Auswahlbit wird ein bestimmter Bordrechner dazu befähigt, sein Funktionszeichen auch an die Umschaltlogik auszugeben. Diese schaltet die Schalter 51 bis 54 dann so um, daß der Bordrechner, welcher sein Funktionszeichen an die Umschaltlogik abgibt, zur Datentelegrammabgabe und zur Steuerung der Fahrzeugaggregate durchgeschaitet wird.

Daß die Umschaltung erfolgt ist, erfährt die Zentrale durch ein besonderes Bit innerhalb der empfangenen Datentelegramme, das der Zentrale mitteilt, welcher Bordrechner das jeweilige Datentelegramm ausgegeben hat. Ist keine Umschaltung erfolgt, wird eine Fahrt in die Wartung veranlaßt.

Zu den Fahrzeugaggregaten FA, die Steuerbefehle von den Bordrechnern erhalten, gehört auch eine in der Zeichnung nicht dargestellte Notbremsschaltung. Diese hält die Notbremse gelöst, solange sie ein Funktionszeichen eines Bordrechners empfängt. Tritt nun ein Fehler in dem auf die Fahrzeugaggregate durchgeschalteten Bordrechner auf, so stellt dieser die Ausgabe von Funktionszeichen ein und die Notbremsschaltung aktiviert die Notbremse. Sobald eine Umschaltung auf den anderen Bordrechner erfolgt ist und dessen Funktionszeichen von der Notbremsschaltung empfangen werden, wird die Notbremse wieder gelöst und es wird mit dem nächsten Datentelegramm eine Fehlermeldung an die Zentrale abgegeben. Die Zentrale wiederum informiert eine übergeordnete Dispositionszentrale, welche das Fahrzeug nach Beendigung der begonnenen Fahrt in die Wartung leitet.

Es besteht nun aber auch die Möglichkeit, daß ein Fehler in dem Bordrechner auftritt, der gerade nicht zur Datentelegrammabgabe und zur Fahrzeugsteuerung durchgeschaltet ist. Hier wird die Notbremse nicht aktiviert Der betroffene Bordrechner stellt jedoch die Abgabe von Funktionszeichen ein, was von dem anderen Bordrechner bemerkt wird und, wie im obigen Falle, eine Fehlermeldung an die Zentrale auslöst.

Fehler, die zu einer Streckenblockierung führen, können nur noch an der gemeinsamen Peripherie, vor allem am Antriebs- und Bremssystem der Fahrzeuge, sowie in seltenen Fällen, wenn beide Bordrechner gleichzeitig oder kurz nacheinander ausfallen, auftreten.

Hierzu 1 Blatt Zeichnungen

Claims

Patentansprüche:

1. Fahrzeugsteuerung mit mindestens einer Zentrale und einer Vielzahl von spurgebundenen, mit je zwei gleichwertigen Bordrechnern ausgestatteten Fahrzeugen, welche mit einem in der Zentrale befindlichen Rechner Datentelegramme austauschen, wobei beide Bordrechner gleiche Informationen von der Zentrale sowie Daten von den Fahrzeugaggregaten erhalten und unabhängig voneinander verarbeiten, dadurch gekennzeichnet, daß beide Bordrechner (RSi, RS2) der Fahrzeuge aus je zwei Einzelrechnern bestehen, die alle Ergebnisse getrennt erarbeiten und miteinander vergleichen, daß eine Umschaltlogik (UL) auf jedem Fahrzeug vorhanden ist, mit deren Hilfe der in der Zeatrale befindliche Rechner den einen oder den anderen Bordrechner (RSi, RS2) zur Datentelegrammabgabe und zur Steuerung der Fahrzeugaggregate (FA) auswählen kann und daß eine ständige Kontrolle beider Bordrechner durch den in der Zentrale befindlichen Rechner erfolgt.

2. Fahrzeugsteuerung nach Anspruch 1, dadurch gekennzeichnet, daß jeder Bordrechner (RSi, RS2) zum Zeichen seines einwandfreien Zustandes in regelmäßigen Zeitabständen Funktionszeichen ausgibt, daß das Vorhandensein solcher Funktionszeichen beider Bordrechner dem Rechner in der Zentrale innerhalb der Datentelegramme mitgeteilt wird, die er von dem zur Datentelegrammabgabe ausgewählten Bordrechner erhält und daß der nicht zur Datentelegrammabgabe ausgewählte Bordrechner seine Funktionszeichen an den zur Datentelegrammabgabe ausgewählten Bordrechner ausgibt.

3. Fahrzeugsteuerung nach Anspruch 2, dadurch gekennzeichnet, daß die Auswahl eines Bordrechners (RSl, RS 2) durch den in der Zentrale befindlichen Rechner mittels eines besonderen Bit in jedem für das betreffende Fahrzeug bestimmten Datentelegramm erfolgt, daß der angesprochene Bordrechner durch dieses Bit befähigt wird, sein Funktionszeichen auch an die Umschaltlogik (UL) auszugeben und daß die Umschaltlogik immer jenen Bordrechner zur Datentelegrammabgabe und zur Steuerung der Fahrzeugaggregate durchschaltet, der Funktionszeichen an die Umschaltlogik ausgibt.

4. Fahrzeugsteuerung nach Anspruch 3, dadurch gekennzeichnet, daß eine Notbremsschaltung in jedem Fahrzeug vorhanden ist, welche die Funktionszeichen des zur Datentelegrammabgabe und zur Steuerung der Fahrzeugaggregate (FA) ausgewählten Bordrechner (RSi bzw. RS2) erhält, bei deren Ausbleiben die Notbremse aktiviert und diese erst wieder löst, wenn nach Umschaltung auf den anderen Bordrechner dessen Funktionszeichen empfangen werden, daß ein Ausfall eines Bordrechners oder eines von diesem Bordrechner angesteuerten wichtigen Fahrzeugaggregates, sowie eine mindestens zweimal hintereinander festgestellte Nichtübereinstimmung der von den Einzelrechnern eines Bordrechners erarbeiteten Ergebnisse zur Einstellung der Ausgabe von Funktionszeichen des betreffenden Bordrechners führt und daß der in der Zentrale befindliche Rechner dann, wenn nötig, die Durchschaltung des anderen Bordrechners veranlaßt, sowie eine Schadensmel-

10

15

20

25

30

35

40

50

55

60

65 dung an eine übergeordnete Dispositionszentrale abgibt, welche das Fahrzeug nach Beendigung seines Liniendienstes in die Wartung dirigiert

5. Fahrzeugsteuerung nach einem der vorstehenden Ansprüche, dadurch gekennzeichnet, daß zur Oberprüfung der Umschaltlogik (UL) der in der Zentrale befindliche Rechner in regelmäßigen Zeitabständen eine Umschaltung der Datentelegrammabgabe und der Fahrzeugaggregate (FA) auf den anderen Bordrechner vornimmt und anschließend kontrolliert, ob die Umschaltung ausgeführt wurde.

6. Fahrzeugsteuerung nach Anspruch 5, dadurch gekennzeichnet, daß zur Bestimmung des Fahrzeugstandortes und der Fahrzeuggeschwindigkeit zwei Ortungs- und Geschwindigkeitsmeßeinrichtungen (OG1, OG 2) und zum Empfang und zur Abgabe von Datentelegrammen je zwei Empfangseinrichtungen (Ei, E2) und Sendeeinrichtungen (TSi, TS2) vorhanden sind und daß je eine dieser Einrichtungen je einem Bordrechner fest zugeordnet ist.

7. Fahrzeugsteuerung nach Anspruch 6, dadurch gekennzeichnet, daß zur Durchschaltung der Bordrechner (RSi, RS 2) auf die Sendeeinrichtungen (TSi, TS2) und auf die Fahrzeugaggregate (FA) Relais (Si, 52, S3) verwendet werden, deren Kontakte mechanisch so gekoppelt sind, daß die Abgabe von Datentelegrammen und die Ansteuerung der Fahrzeugaggregate mit Sicherheit nur von demselben Bordrechner vorgenommen werden kann und daß die Durchschaltung zweier Bordrechner gleichzeitig nicht möglich ist.

8. Fahrzeugsteuerung nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß auf jedem Fahrzeug zusätzliche Schaltmittel vorhanden sind, welche bei Ausfall beider Bordrechner die Einzelrechner der verschiedenen Bordrechner in einer vorher festgelegten Reihenfolge einander parallelschalten bis eine Kombination zweier fehlerfreier Einzelrechner gefunden ist und daß diese Kombination als neu gebildeter Bordrechner die Datentelegrammausgabe und die Steuerung der Fahrzeugaggregate übernimmt.