DE2701925B2 - Fahrzeugsteuerung mit zwei Bordrechnern - Google Patents

Description

Die Erfindung betrifft eine Fahrzeugsteuerung gemäß dem OberLegriff des Patentanspruchs 1.

Eine solche Fahrzeugsteuerung ist im Prinzip aus der Zeitschrift Elektronik 1973, Heft 11, S. 409 bekannt. Die dort erwähnten Elektronik-Baugruppen nehmen etwa dieselben Steuerungs- und Kommunikationsaufgaben wahr, wie die Bordrechner beim Anmeldungsgegenstand und müssen deshalb als den Bordrechnern äquivalent angesehen werden.

Die Parallelschaltung von Rechnern zum Aufbau eines sicheren Rechnersystems mit ständigem Vergleich der erarbeiteten Ergebnisse ist in der Zeitschrift Signal und Draht 1974, Heft 11, auf Seite 213 beschrieben.

Eine weitere bedarfsgesteuerte Fahrzeugsteuerung, welche hierarchisch aufgebaut ist und in welcher die Steuerung der einzelnen Fahrzeuge sowie die Sicherheitsverantwortung sogenannten Operationszentralen obliegt, während eine übergeordnete Dispositionszentrale die Bedarfssteuerung besorgt und die Bahnhofseinrichtungm betreut, ist aus der DE-OS 24 23 590 bekannt.

In beiden Fahrzeugsteuerungen sollen die Fahrzeuge auch ohne Begleitpersonal eingesetzt werden können. Die Betriebszuverlässigkeit solcher Fahrzeugsteuerungen hängt in erster Linie von de>- Zuverlässigkeit der Bordsteuergeräte (Bordrechner) der Fahrzeuge ab. Infolge der Abwesenheit von Begleitpersonal ist die Gefahr von Streckenblockierungeti durch Ausfall der Bordrechner besonders groß. Die einzige Möglichkeit die Auswirkungen solcher Ausfälle gering zu halten ist die zusätzliche Bereitstellung von automatisch anschaltbaren Reserverechnern oder Reserverechnersystemen. In der Zeitschrift Schienen der Welt, 1970, Heft 7-8, S. 474 ff. ist z. B. ein Vier-Rechner-System für eine Fahrzeugsteuerzentrale beschrieben.

Streckenblockierungen sind jedoch auch bei Einsatz zusätzlicher Reserverechnersysteme auf den Fahrzeugen noch mit einer gewissen Eintrittswahrscheinlichkeit möglich, vor allem deshalb, weil die Reserverechner nur in größeren Zeitabständen — etwa vor Antritt einer Fahrt — geprüft werden und deshalb später auftretende Fehler nicht erkannt werden. Ebenso werden die zur Umschaltung notwendigen Einrichtungen nur in größeren Zeitabständen geprüft. Wenn bei Ausfall des mit der Fahrzeugsteuerung betrauten Bordrechners auf das Reservesystem umgeschaltet werden soll, können solche Fehler eine Betriebshemmung bewirken. Werden solche Fehler jedoch rechtzeitig erkannt, kann das Fahrzeug aus dem Dienst genommen und repariert werden, bevor ein Ausfall des mit der Fahrzeugsteuerung betrauten Bordrechners auftritt.

Aufgabe der Erfindung ist, eine sichere Fahrzeugsteuerung zu schaffen, in welcher die Wahrscheinlichkeit von betriebshemmenden Ausfällen sehr klein ist und die sich deshalb für einen Betrieb der Fahrzeuge ohne Begleitpersonal besonders eignet.

Die Fahrzeugsteuerung, welche die Aufgabe der Erfindung löst, ist durch die im Kennzeichen des Anspruchs 1 aufgeführten Merkmale gekennzeichnet.

Hiermit befinden sich auf jedem Fahrzeug zwei in sich sichere Bordrechner, die, weil sie sich nicht gegenseitig zu kontrollieren brauchen, völlig unabhängig voneinander zur Fahrzeugsteuerung und zur Ausgabe von Datentelegrammen an die Zentrale aktiviert werden können. Weil eine Aktivierung von der Zentrale vorgenommen wird und ihre Durchführung auch von dort aus überwacht wird, kann das bisher aktiv geschaltete Rechnersystem seine Steuerungsfunktionen so lange ungestört wahrnehmen, bis die Aktivschaltung des bisher passiven Rechnersystems erfolgt ist. Es tritt dadurch keine nennenswerte Unterbrechung der Fahrtkontrolle während der Umschaltung ein und eine vorsorgliche Auslösung einer Notbremsung wie sie bei längerer unkontrollierter Fahrt aus Sicherheitsgründen erforderlich wäre, ist nicht nötig. Die Umschaltung der Rechnersysteme kann in kurzen Zeitabständen während der Fahrt erfolgen und stellt sicher, daß auch ein Ausfall des gerade passiven Systems oder ein Ausfall der Umschaltlogik erkannt wird, bevor er eine Betriebshemmung verursacht.

Eine Ausgestaltung der Fahrzeugsteuerung nach der Erfindung ist dadurch gekennzeichnet, daß jeder Bordrechner zum Zeichen seines einwandfreien Zustandes in regelmäßigen Zeitabständen Funktionszeichen ausgibt, daß das Vorhandensein solcher Funktionszeichen beider Bordrechner dem Rechner in der Zentrale innerhalb der Datentelegramme mitgeteilt wird, die er von dem zur Datentelegrammabgabe ausgewählten Bordrechner erhält und daß der nicht zur Datentelegrammabgabe ausgewählte Bordrechner seine Funktionszeichen an den zur Datentelegrammabgabe ausgewählten Bordrechner ausgibt

Damit ist eine sichere und einfache Möglichkeit für den Rechner in der Zentrale geschaffen, die Funküopsfähigkeit beider Bordrechner ständig zu überwachen.

Eine weitere Ausgestaltung der Fahrzeugsteuerung nach der Erfindung betrifft deren Funktionsweise bei der Auswahl der einzelnen Bordrechner und ist dadurch

ίο gekennzeichnet, daß die Auswahl eines Bordrechners durch den in der Zentrale befindlichen Rechner mittels eines besonderen Bit in jedem für das betreffende Fahrzeug bestimmten Datentelegramm erfolgt, daß der angesprochene Bordrechner durch dieses Bit befähigt wird, sein Funktionszeichen auch an die Umschaltlogik auszugeben und daß die Umschaltlogik immer jenen Bordrechner zur Datentelegrammabgabe und zur Steuerung der Fahrzeugaggregate durchschaltet, der Funktionszeichen an die Umschaltlogik ausgibt.

Eine andere λ asgestaltung der Fahrzeugsteuerung nach der Erfindung ist dadurch gekennzeichnet, daß eine Notbremsschaltang in jedem Fahrzeug vorhanden ist, welche die Funktionszeichen des zur Datentelegrammabgabe und zur Steuerung der Fahrzeugaggregate ausgewählten Bordrechners erhält, bei deren Ausbleiben die Notbremse aktiviert und diese erst wieder löst, wenn nach Umschaltung auf den anderen Bordrechner dessen Funktionszeichen empfangen werden, daß ein Ausfall eines Bordrechners oder eines von diesem Bordrechner angesteuerten wichtigen Fahrzeugaggregates, sowie eine mindestens zweimal hintereinander festgestellte Nichtübereinstimmung der von den Einzelrechnern eines Bordrechners erarbeiteten Ergebnisse zur Einstellung der Ausgabe von Funktionszeichen des betreffenden Bordrechners führt und daß der in der Zentrale befindliche Rechner dann, wenn nötig, die Durchschaltung des anderen Bordrechners veranlaßt, sowie eine Schadensmeldung an eine übergeordnete Dispositionszentrale abgibt, welche das Fahrzeug nach Beendigung seines Liniendienstes in die Wartung dirigiert Damit ist sichergestellt, daß ein Fahrzeug nur dann seine Fahrt fortsetzen kann, wenn mindestens ein Bordrechner und alle wichtigen Fahrzeugaggregate einwandfrei funktionieren und daß ein Fahrzeug sobald wie möglich aus dem Verkehr gezogen wird, wtnn sich eine Störung zeigt, auch dann, wenn diese in einem Geräteteil auftritt, der zu diesem Zeitpunkt gerade nicht gebraucht wird.

Eine Weiterbildung der Fahrzeugsteuerung nach der Erfindung ist dadurch gekennzeichnet, daß zur Überprüfung der Umschaltlogik der in der Zentrale befindliche Rechner in regelmäßigen Zeitabständen eine Umschaltung der Datentelegrammabgabe und der Fahrzeugaggregate auf den anderen Bordrechner vornimmt und anschließend kontrolliert, ob die Umschaltung ausgeführt wurde. Dadurch wird auch die Umschaltlogik in regelmäßigen Zeitabständen auf ihre Funktionsfähigkeit hin überprüft, damit ihr eventueller Ausfall nicht erst dann bemerkt wird, wenn eine Umschaltung vorgenommen werden muß, weil einer der Bordrechner gestört ist.

Andere Ausgestaltungen betreffen weitere Maßnahmen zur Erhöhung der Sicherheit und Zuverlässigkeit der Fahrzeugsteuerung nach der Erfindung und sind den Ansprüchen 6,7 und 8 zu entnehmen.

An Hand der Zeichnung soll nun ein Ausführungsbeispiel der Fahrzeugsteuerung nach der Erfindung beschrieben und ihre Funktion erklärt werden.

Die Zeichnung zeigt aus je zwei Einzelrechnern bestehende Bordrechner RSi, RS2, denen Empfangseinrichtungen Et, E2, Ortungs- und Geschwindigkeitsmeßeinrichtungen OGl, OG 2 sowie Sendeeinrichtungen TS1, TS2 zur Ausgabe von Datentelegrammen an eine Zentrale fest zugeordnet sind. Schalter S1 bis 54 werden von einer Umschaltlogik UL angesteuert und bewerkstelligen die Umschaltung der Datentelegrammausgabe und der Fahrzeugaggregate FA auf den einen oder den anderen Bordrechner. Der Schalter S1 schaltet dabei den Meldeweg, der Schalter 52 den Kommandoweg zu den Fahrzeugaggregaten FA zwischen den Bordrechnern um. Mit dem Schalter 53 werden die Datentelegrammausgänge der Bordrechner auf die zugehörigen Sendeeinrichtungen durchgeschaltet oder von diesen abgetrennt und der Schalter 54 schaltet den Fehlermeldeweg zwischen den beiden Bordrechnern um.

Im Betrieb gibt ein in der Zentrale befindlicher Rechner zyklisch an alle Fahrzeuge Datentelegramme aus, die von beiden Bordrechnern über die ihnen zugeordneten Empfangseinrichtungen empfangen werden. Die Bordrechner bekommen außerdem Statusmeldungen von den ihnen zugeordneten Ortungs- und Geschwindigkeitsmeßeinrichtungen. Der zur Datentelegrammausgabe und zur Fahrzeugsteuerung durchgeschaltete Bordrechner bekommt zusätzlich Statusmeldungen der umschaltbaren Fahrzeugaggregate FA. Beide Bordrechner erarbeiten aus den empfangenen Datentelegrammen Steuerkommandos und der über jo den Schalter 52 auf den Kommandoweg durchgeschaltete Bordrechner gibt diese an die Fahrzeugaggregate aus. Aus den Statusmeldungen stellen beide Bordrechner Datentelegramme für die Zentrale zusammen und der Bordrechner, der auf die ihm zugeordnete Sendeeinrichtung durchgeschaltet ist, gibt sie aus.

AiIe Arbeitsgänge eines Bordrechners werden in beiden Einzelrechnern unabhängig voneinander durchgeführt. Am Ende eines jeden Rechenprozesses werden die Ergebnisse ausgetauscht und in beiden Rechnern verglichen. Stimmen die Ergebnisse überein und sind sowohl die empfangenen Datentelegramme als auch die Statusmeldungen akzeptabel, so generiert der Bordrechner ein Funktionszeichen, beispielsweise eine Folge von Impulsen, welche so lange fortgesetzt wird, bis ein Fehler auftritt. Das Vorhandensein solcher Funktionszeichen bei beiden Bordrechnern wird der Zentrale mitgeteilt. Dazu dienen besondere Bits in den Datentelegrammen, die der eine der beiden Bordrechner an die Zentrale abgibt und eine mit dem Schalter 54 umschaltbare Datenleitung, über welche beide Bordrechner ihre Funktionszeichen aneinander abgeben können.

Die Auswahl eines Bordrechners für die Datentelegrammabgabe und die Steuerung der Fahrzeugaggregate geschieht über ein Auswahlbit in allen an das betreffende Fahrzeug addressierten Datentelegrammen der Zentrale.

Durch das Auswahlbit wird ein bestimmter Bordrechner dazu befähigt, sein Funktionszeichen auch an die Umschaltlogik auszugeben. Diese schaltet die Schalter 51 bis 54 dann so um, daß der Bordrechner, welcher sein Funktionszeichen an die Umschaltlogik abgibt, zur Dalentelegrammabgabe und zur Steuerung der Fahrzeugaggregate durchgeschaltet wird.

Daß die Umschaltung erfolgt ist, erfährt die Zentrale durch ein besonderes Bit innerhalb der empfangenen Datenteiegramme, das der Zentrale mitteiit, weicher Bordrechner das jeweilige Datentelegramm ausgegeben hat. Ist keine Umschaltung erfolgt, wird eine Fahrt in die Wartung veranlaßt.

Zu den Fahrzeugaggregaten FA, die Steuerbefehle von den Bordrechnern erhalten, gehört auch eine in der Zeichnung nicht dargestellte Notbremsschaltung. Diese hält die Notbremse gelöst, solange sie ein Funktionszeichen eines Bordrechners empfängt. Tritt nun ein Fehler in dem auf die Fahrzeugaggregate durchgeschalteten Bordrechner auf, so stellt dieser die Ausgabe von Funktionszeichen ein und die Notbremsschaltung aktiviert die Notbremse. Sobald eine Umschaltung auf den anderen Bordrechner erfolgt ist und dessen Funktionszeichen von der Notbremsschaltung empfangen werden, wird die Notbremse wieder gelöst und es wird mit dem nächsten Datentelegramm eine Fehlermeldung an die Zentrale abgegeben. Die Zentrale wiederum informiert eine übergeordnete Dispositionszentrale, welche das Fahrzeug nach Beendigung der begonnenen Fahrt in die Wartung leitet.

Es besteht nun aber auch die Möglichkeit, daß ein Fehler in dem Bordrechner auftritt, der gerade nicht zur Datentelegrammabgabe und zur Fahrzeugsteuerung durchgeschaltet ist. Hier wird die Notbremse nicht aktiviert. Der betroffene Bordrechner stellt jedoch die Abgabe von Funktionszeichen ein, was von dem anderen Bordrechner bemerkt wird und, wie im obigen Falle, eine Fehlermeldung an die Zentrale auslöst.

Fehler, die zu einer Streckenblockierung führen, können nur noch an der gemeinsamen Peripherie, vor allem am Antriebs- und Bremssystem der Fahrzeuge, sowie in seltenen Fällen, wenn beide Bordrechner gleichzeitig oder kurz nacheinander ausfallen, auftreten.

Hierzu 1 Blatt Zeichnungen

Claims (8)

Patentansprüche:

1. Fahrzeugsteuerung mit mindestens einer Zentrale und einer Vielzahl von spurgebundenen, ' mit je zwei gleichwertigen Bordrechnern ausgestatteten Fahrzeugen, welche mit einem in der Zentrale befindlichen Rechner Datentelegramme austauschen, wobei beide Bordrechner gleiche Informationen von der Zentrale sowie Daten von '<> den Fahrzeugaggregaten erhalten und unabhängig voneinander verarbeiten, dadurch gekennzeichnet, daß beide Bordrechner (RSi, RS2) der Fahrzeuge aus je zwei Einzelrechnern bestehen, die alle Ergebnisse getrennt erarbeiten und miteinander vergleichen, daß eine Umschaltlogik (UL) auf jedem Fahrzeug vorhanden ist, mit deren Hilfe der in der Zentrale befindliche Rechner den einen oder den anderen Bordrechner (RSi, RS2) zur Datentelegrammabgabe und zur Steuerung der Fahrzeugaggregate (FA) auswählen kann und daß eine ständige Kontrolle beider Bordrechner durch den in der Zentrale befindlichen Rechner erfolgt

2. Fahrzeugsteuerung nach Anspruch 1, dadurch gekennzeichnet, daß jeder Bordrechner (RS 1, ÄS 2) zum Zeichen seines einwandfreien Zustandes in regelmäßigen Zeitabständen Funktionszeichen ausgibt, daß das Vorhandensein solcher Funktionszeichen beider Bordrechner dem Rechner in der Zentrale innerhalb der Datentelegramme mitgeteilt wird, die er von dem zur Datentelegrammabgabe ausgewählten Bordrechner erhält und daß der nicht zur Datentelegrammabgabe ausgewählte Bordrechner seine Funktionszeichen an den zur Datentelegrammabgabe ausgewählten Bordrechner ausgibt.

3. Fahrzeugsteuerung nach Anspruch 2, dadurch gekennzeichnet, daß die Auswahl eines Bordrechners (RSi, RS 2) durch den in der Zentrale befindlichen Rechner mittels eines besonderen Bit in jedem für das betreffende Fahrzeug bestimmten Datentelegramm erfolgt, daß der angesprochene Bordrechner durch dieses Bit befähigt wird, sein Funktionszeichen auch an die Umschaltlogik (UL) auszugeben und daß die Umschaltlogik immer jenen Bordrechner zur Datentelegrammabgabe und zur Steuerung der Fahrzeugaggregate durchschaltet, der Funktionszeichen an die Umschaltlogik ausgibt.

4. Fahrzeugsteuerung nach Anspruch 3, dadurch gekennzeichnet, daß eine Notbremsschaltung in jedem Fahrzeug vorhanden ist, welche die Funktionszeichen des zur Datentelegrammabgabe und zur Steuerung der Fahrzeugaggregate (FA) ausgewählten Bordrechner (RSt bzw. RS 2) erhält, bei deren Ausbleiben die Notbremse aktiviert und diese erst wieder löst, wenn nach Umschaltung auf den anderen Bordrechner dessen Funktionszeichen empfangen werden, daß ein Ausfall eines Bordrechners oder eines von diesem Bordrechner angesteuerten wichtigen Fahrzeugaggregates, sowie eine mindestens zweimal hintereinander festgestellte Nichtübereinstimmung der von den Einzelrechnern eines Bordrechners erarbeiteten Ergebnisse zur Einstellung der Ausgabe von Funktionszeichen des betreffenden Bordrechners führt und daß der in der Zentrale befindliche Rechner dann, wenn nötig, die Durchschaltung des anderen Bordrechners veranlaßt, sowie eine Schadensmeldung an eine übergeordnete Dispositionszentrale abgibt, welche das Fahrzeug nach Beendigung seines Liniendienstes in die Wartung dirigiert

5. Fahrzeugsteuerung nach einem der vorstehenden Ansprüche, dadurch gekennzeichnet, daß zur Überprüfung der Umschaltlogik (UL) der m der Zentrale befindliche Rechner in regelmäßigen Zeitabständen eine Umschaltung der Datentelegrammabgabe und der Fahrzeugaggregate (FA) auf den anderen Bordrechner vornimmt und anschließend kontrolliert ob die Umschaltung ausgeführt wurde.

6. Fahrzeugsteuerung nach Anspruch 5, dadurch gekennzeichnet, daß zur Bestimmung des Fahrzeugstandortes und der Fahrzeuggeschwindigkeit zwei Ortungs- und Geschwindigkeitsmeßeinrichtungen (OG1, OG 2) und zum Empfang und zur Abgabe von Datentelegrammen je zwei Empfangseinrichtungen (Ei, E2) und Sendeeinrichtungen (TSi, TS2) vorhanden sind und daß je eine dieser Einrichtungen je einem Bordrechner fest zugeordnet ist.

7. Fahrzeugsteuerung nach Anspruch 6, dadurch gekennzeichnet, daß zur Durchschaltung der Bordrechner (RSi, RS 2) auf die Sendeeinrichtungen (TSi, TS 2) und auf die Fahrzeugaggregate (FA) Relais (Si, S2, S3) verwendet werden, deren Kontakte mechanisch so gekoppelt sind, daß die Abgabe von Datentelegrammen und die Ansteuerung der Fahrzeugaggregate mit Sicherheit nur von demselben Bordrechner vorgenommen werden kann und daß die Durchschaltung zweier Bordrechner gleichzeitig nicht möglich ist.

8. Fahrzeugsteuerung nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß auf jedem Fahrzeug zusätzliche Schaltmittel vorhanden sind, weiche bei Ausfall beider Bordrechner die Einzelrechner der verschiedenen Bordrechner in einer vorher festgelegten Reihenfolge einander parallelschalten bis eine Kombination zweier fehlerfreier Einzelrechner gefunden ist und daß diese Kombination als neu gebildeter Bordrechner die Datentelegrammai sgabe und die Steuerung der Fahrzeugaggregate übernimmt