Verfahren zum Umschalten von einem ersten zu einem zweiten Zugsicherungssystem

Abstract

 Bei einem Verfahren zum Umschalten von einem ersten zu einem zweiten Zugsicherungssystem, bei dem in Abhängigkeit von durch das erste Zugsicherungssystem generierten Signale durch eine Umschalteinrichtung (8) ein Ansteuersignal für das zweite Zugsicherungssystem erzeugt wird, wird das zweite Zugsicherungssystem über das Ansteuersignal passiv gehalten. Das zweite Zugsicherungssystem wird aktiviert, wenn die Umschalteinrichtung keine durch das erste Zugsicherungssystem ausgesandte Signale detektiert. Die Unterbrechung der Signale kann somit betriebsmäßig durch das erste Zugsicherungssystem erfolgen oder auch bei Störungen des ersten Zugsicherungssystem oder bei Störungen der Übertragungswege. Somit wird bei einer betriebsmäßigen Umschaltung sicher gestellt, dass nicht beide Zugsicherungssysteme gleichzeitig aktiv sind und im Störungsfalle das Gesamtsystem (erstes und zweites Zugsicherungssystem) zur "sicheren" Seite aktiviert ist. Im Falle einer Störung des Übertragungsweges oder der Signalauswertung können beide Zugsicherungssysteme aktiv sein. Eine gegenseitige Beeinflussung im Sinne einer Zwangsbremsauslösungsverhinderung kann nicht erfolgen, sofern beide Systeme unterschiedliche, nicht gekoppelte Zugriffe zu der Zwangsbremse (Hauptluftleitung) haben. Eine Störungserkennung durch den Lokführer (Anzeigen im Führerstand) ist somit gegeben und es können betriebliche Reaktionen (Fahrdienstvorschriften) eingeleitet werden.

Beschreibung

Stand der Technik

[0001] Die Erfindung betrifft ein Verfahren zum Umschalten von einem ersten zu einem zweiten Zugsicherungssystem, und eine Umschalteinrichtung.

[0002] Als Zugsicherungssystem ist das induktive Zugsicherungssystem (Indusi) bekannt, wobei derzeit bei der DB AG das induktive Zugsicherungssystem mit der Bezeichnung PZB 90 angewandt wird. Dieses Zugsicherungssystem besteht aus Fahrzeugeinrichtungen und Streckeneinrichtungen. Es dient zur Überwachung des Fahrers bei halt-zeigenden Signalen oder zur Überwachung der Geschwindigkeit und der zurückgelegten Strecke.

[0003] Das europäische Zugkontrollsystem ETCS (European Train Control System) ist ein von Indusi/PZB90 unabhängiges Zugsicherungssystem, das europaweit eingeführt wird.

[0004] Wenn beide Zugsicherungssysteme vorhanden sind, muss sichergestellt werden, dass nur eines der beiden aktiv ist, so dass sich die Zugsicherungssysteme nicht gegenseitig beeinflussen, beziehungsweise ausschließen. Weiterhin muss auf das Zugsicherungssystem Indusi/PZB90 umgeschaltet werden können, wenn das Fahrzeug oder die Lokomotive in einen Gleisbereich einfährt, der nur mit Indusi/PZB 90 ausgerüstet ist.

[0005] Es ist bekannt, an Ländergrenzen von dem Zugsicherungssystem Indusi auf das Zugsicherungssystem des jeweils anderen Landes umzuschalten.

Aufgabe der Erfindung

[0006] Aufgabe der vorliegenden Erfindung ist es, ein Verfahren und eine Vorrichtung bereitzustellen, mit denen eine automatische Umschaltung sichergestellt und eine betriebsmäßige Umschaltung ermöglicht wird.

Gegenstand der Erfindung

[0007] Gelöst wird diese Aufgabe durch ein Verfahren zum Umschalten von einem ersten zu einem zweiten Zugsicherungssystem, bei dem in Abhängigkeit von durch das erste Zugsicherungssystem gesendeten Signalen durch eine Umschalteinrichtung ein Ansteuersignal für das zweite Zugsicherungssystem erzeugt wird, wobei das zweite Zugsicherungssystem bei einer Abschaltung oder einem Ausfall des Ansteuersignals aktiviert wird. Dies bedeutet, dass das zweite Zugsicherungssystem durch das Ansteuersignal passiv gehalten wird, wenn das Ansteuerungssignal erzeugt wird, und das zweite Zugsicherungssystem aktiviert wird, wenn kein Ansteuersignal erzeugt wird bzw. vorhanden ist. Es ist denkbar, anstatt abhängig von dem Vorhandensein des Ansteuersignals das zweite Zugsicherungssystem zu aktivieren bzw. zu passivieren, ein Ansteuersignal mit einem ersten oder zweiten Signalpegel zu erzeugen, wobei abhängig vom Signalpegel das zweite Zugsicherungssystem passiv gehalten oder aktiviert wird.

[0008] Es kann vorgesehen sein, dass das zweite Zugsicherungssystem über das Ansteuersignal passiv gehalten wird (Master-Slave-Prinzip), solange die Umschalteinrichtung Signale eines funktionsfähigen ersten Zugsicherungssystems detektiert beziehungsweise derartige Signale fehlerfrei empfängt oder fehlerfrei verarbeitet und das zweite Zugsicherungssystem aktiviert wird, wenn die Umschalteinrichtung kein Signal des funktionsfähigen ersten Zugsicherungssystems detektiert bzw. fehlerhafte Signale empfängt oder fehlerhaft verarbeitet. Dies bedeutet, dass das zweite Zugsicherungssystem automatisch aktiviert wird, wenn Zweifel an der fehlerfreien Funktionsweise des ersten Zugsicherungssystems oder der fehlerfreien Datenübertragung bestehen. Weiterhin ist es denkbar, dass kein Ansteuersignal erzeugt wird, wenn im ersten Zugsicherungssystem aus betrieblichen Gründen die Signale für die Umschalteinrichtung abgeschaltet wurden, also durch die Umschalteinrichtung keine vom ersten Zugsicherungssystem gesendeten Signale empfangen werden. Dadurch kann eine gezielte betriebsmäßige Umschaltung von dem ersten zu dem zweiten Zugsicherungssystem erfolgen. Dies bedeutet, dass das erste Zugsicherungssystem als Master verwendet wird und das zweite Zugsicherungssystem als Slave verwendet wird. Das zweite Zugsicherungssystem wird ausschließlich dann aktiv, wenn das Ansteuersignal unterbrochen wird. Dies bedeutet, dass nur in besonderen Ausnahmefällen beide Zugsicherungssysteme gleichzeitig aktiv sein können. Weiterhin stellt das zweite Zugsicherungssystem eine Sicherung der Kontinuität der Zugsicherung dar, da bei einem Ausfall des ersten Zugsicherungssystems weiterhin ein Zugsicherungssystem zur Verfügung steht. Da das zweite Zugsicherungssystem von dem ersten Zugsicherungssystem über die Umschalteinrichtung angesteuert werden kann, kann vorgesehen sein, dass beim Ausfall einer Komponente in der Ansteuerstrecke des zweiten Zugsicherungssystems, also insbesondere des ersten Zugsicherungssystems, der Signalübertragungseinrichtung oder der Umschalteinrichtung, das zweite Zugsicherungssystem aktiv wird. Dies führt zu einer Offenlegung der Störung für den Lokführer.

[0009] Bei einer bevorzugten Verfahrensvariante ist vorgesehen, dass das Ansteuersignal für das zweite Zugsicherungssystem erzeugt wird, indem ein erstes und ein zweites Freigabesignal (Enablesignal) des ersten Zugüberwachungssystems ausgewertet werden. Die Feststellung, ob das erste Zugsicherungssystem fehlerhafte Signale sendet oder die Signale während der Übertragung verfälscht wurden, muss eindeutig und einwandfrei erfolgen. Deshalb ist es vorteilhaft, zwei Signale zu verwenden. Wenn das erste oder zweite Freigabesignal nicht empfangen wird, deutet dies darauf hin, dass entweder ein Zugsicherungsgerät, z.B. das ETCS-Gerät, oder die Datenleitung, über die die Freigabesignale übertragen werden, fehlerhaft ist. Da die Datenleitung Bestandteil des ersten Zugsicherungssystems sein kann und zur einwandfreien Funktion des ersten Zugsicherungssystems notwendig ist, muss auch in diesem Fall das zweite Zugsicherungssystem aktiviert werden. Sollten dennoch beide Zugsicherungssysteme aktiv werden, beispielsweise weil Störungen der Datenleitung, der Umschalteinrichtung oder des Ansteuersignals vorliegen, und eine betriebliche Zwangsbremsung auslösen, erfolgt eine Systemreaktion zur "sicheren" Seite, d.h. es erfolgt in jedem Falle eine Zwangsbremsung des Fahrzeugs oder der Lokomotive. Die Zwangsbremsansteuerungen beider Systeme sind dabei vorteilhafterweise unabhängig voneinander.

[0010] Bei einer Weiterbildung des Verfahrens kann vorgesehen sein, dass das erste Freigabesignal eine erste Überwachungseinrichtung, insbesondere ein erstes Watchdog-Glied, und das zweite Freigabesignal eine zweite Überwachungseinrichtung, insbesondere ein zweites Watchdog-Glied, der Umschalteinrichtung freigibt, die Ausgangssignale der Überwachungseinrichtungen logisch verknüpft werden und entsprechend dem Ergebnis der logischen Verknüpfung, d.h bei einem vorgegebenen Ergebnis der logischen Verknüpfung, das Ansteuersignal erzeugt wird. Durch das erste Freigabesignal wird die erste Überwachungseinrichtung zurückgesetzt. Durch das zweite Freigabesignal wird die zweite Überwachungseinrichtung zurückgesetzt. Die Ausgangssignale der beiden Überwachungseinrichtungen werden beispielsweise durch einen UND-Operator miteinander verknüpft. Aufgrund dieser Verknüpfung wird das Ansteuersignal, vorzugsweise ein pulsbreitenmoduliertes (PBM)-Signal, erzeugt, das an das zweite Zugsicherungssystem übergeben wird. Das zweite Zugsicherungssystem detektiert dieses Signal und schaltet sich passiv. Die Überwachungseinrichtungen stellen dabei Zeitglieder dar, die durch die Freigabesignale in regelmäßigen Abständen zurückgestellt werden müssen. Die regelmäßige Rückstellung ist ein Zeichen dafür, dass das erste Zugsicherungssystem aktiv und einsatzbereit ist. Wird eine der Überwachungseinrichtungen nicht zurückgesetzt, deutet dies auf einen Fehler im ersten Zugsicherungssystem, insbesondere im ersten Zugsicherungsgerät oder in der Datenleitung zwischen dem ersten Zugsicherungsgerät und der Umschalteinrichtung, hin. In diesem Fall ändert sich das Ergebnis der logischen Verknüpfung und wird kein Ansteuersignal erzeugt. Wenn dieser Zustand eintritt, wird das zweite Zugsicherungssystem aktiviert.

[0011] Bei einer vorteilhaften Verfahrensvariante ist vorgesehen, dass die erste Überwachungseinrichtung die zweite Überwachungseinrichtung aktiviert. Dies bedeutet, dass die zweite Überwachungseinrichtung nur zurückgestellt werden kann, wenn die erste Überwachungseinrichtung zurückgestellt wurde. Durch diese Maßnahme wird die Zuverlässigkeit der Umschalteinrichtung weiter erhöht.

[0012] Besonders vorteilhaft ist es, wenn das Ansteuersignal bei einer Änderung des Ergebnisses der logischen Verknüpfung für eine vorgegebene Zeitspanne nachläuft. Da die zweite Überwachungseinrichtung erst zurückgesetzt werden kann, wenn sie von der ersten Überwachungseinrichtung aktiviert wurde, vergeht eine gewisse Zeitspanne zwischen der Zurücksetzung der ersten Überwachungseinrichtung und der zweiten Überwachungseinrichtung. Während dieser Zeitspanne könnte sich das Ergebnis der logischen Verknüpfung kurzzeitig ändern. Dies darf jedoch nicht zu einer Änderung des Ansteuersignals und zu einer Aktivierung des zweiten Zugsicherungssystems führen. Deshalb ist vorgesehen, dass das Ansteuersignal eine vorgegebene Zeitspanne nachläuft, die vorzugsweise in etwa der Zeitverzögerung zwischen dem Rücksetzen der ersten Überwachungseinrichtung und der zweiten Überwachungseinrichtung entspricht.

[0013] Die Aufgabe wird außerdem gelöst durch eine Umschalteinrichtung, die mit einem ersten und zweiten Zugsicherungssystem datentechnisch verbunden ist und Überwachungsmittel zum Überwachen von Signalen des ersten Zugsicherungssystems aufweist und bei einem vorgegebenen Ereignis das zweite Zugsicherungssystem aktiviert. Dabei umfasst das erste Zugsicherungssystem zumindest teilweise die Datenleitung zu der Umschalteinrichtung. Die Datenleitung kann insbesondere als Datenbus, vorzugsweise als MVB (Multifunction Vehicle Bus) oder Profibus ausgebildet sein. Als Ereignis kommt ein Fehler im ersten Zugsicherungssystem, ein Fehler in der Signalübertragung bzw. der Signalverarbeitung oder die betriebsmäßige Abschaltung der die Umschalteinrichtung ansteuernden Signale in Betracht. Tritt demnach ein Fehler im ersten Zugsicherungssystem beziehungsweise in der Datenübermittlung auf, wird das zweite Zugsicherungssystem, das bis zu diesem Zeitpunkt nur in einem Standby-Modus ist, aktiviert. Dies bedeutet einen Rückfall auf die sichere Seite, insbesondere bedeutet dies, dass ein Zug zuverlässig durch das erste Zugsicherungssystem zwangsgebremst werden kann (Störungsreaktion) und das zweite Zugsicherungssystem aktiv geschaltet ist.

[0014] Bei einer bevorzugten Ausführungsform kann vorgesehen sein, dass die Überwachungsmittel eine erste und eine zweite Überwachungseinrichtung umfassen, die jeweils von einem ersten und einem zweiten Freigabesignal des ersten Zugüberwachungssystems angesteuert sind, wobei die Ausgangssignale oder Überwachungseinrichtungen durch einen logischen Operator verknüpft sind. Durch die Verknüpfung mit einem logischen Operator wird eine Redundanz geschaffen, so dass das zweite Zugsicherungssystem auf jeden Fall rechtzeitig und ausschließlich dann, wenn das vorgegebene Ereignis eingetreten ist, aktiviert wird.

[0015] Besonders bevorzugt ist es, wenn eine Signalerzeugungseinrichtung an den logischen Operator angeschlossen ist. Grundsätzlich ist es denkbar, das Ausgangssignal des logischen Operators direkt für eine Aktivierung beziehungsweise Deaktivierung des zweiten Zugsicherungssystem zu verwenden. Die Verwendung einer Signalerzeugungseinrichtung hat jedoch den Vorteil, dass ein Signal mit einem Signalnachlauf erzeugt werden kann. Dies bedeutet, dass das Signal noch eine gewisse Zeit lang erhalten bleibt, auch wenn sich das Ausgangssignal des logischen Operators verändert. Die Signalerzeugungseinrichtung kann als integrierter Schaltkreis (IC) ausgebildet sein.

[0016] Besonders bevorzugt ist es, wenn die erste und die zweite Überwachungseinrichtung miteinander in Verbindung stehen, wobei die erste Überwachungseinrichtung zeitversetzt zum Empfang des ersten Freigabesignals ein Aktivierungssignal an die zweite Überwachungseinrichtung übermittelt. Durch diese Maßnahme wird eine Überwachung der zweiten Überwachungseinrichtung durch die erste Überwachungseinrichtung realisiert. Wenn eines oder beide Freigabesignale nicht empfangen werden, ändert sich das Ausgangssignal des logischen Operators und dadurch - evtl. zeitversetzt - das Ansteuersignal. Das Fehler eines oder beider Freigabesignale ist daher das vorgegebene Ereignis, das zu einer Aktivierung des zweiten Zugsicherungssystems führt.

[0017] Vorteilhafterweise weist das erste Zugsicherungssystem einen Datenbus auf und ist die Umschalteinrichtung über eine Schnittstelle an den Datenbus anschließbar. Dies bedeutet, dass die Umschalteinrichtung an verschiedenen Stellen an den Datenbus beziehungsweise an das erste Zugsicherungssystem angeschlossen werden kann. Insbesondere kann vorgesehen sein, dass das erste Zugsicherungssystem als ETCS-System ausgebildet ist und einen Datenbus aufweist und das zweite Zugsicherungssystem als Indusi ausgebildet ist, die an die Umschalteinrichtung angeschlossen ist, die wiederum über eine Schnittstelle an den Datenbus des ETCS-Systems angeschlossen ist. Die erfindungsgemäße Umschalteinrichtung stellt sicher, dass bei Ausfall einer Komponente in der Ansteuerungsstrecke der Indusi das Ansteuersignal, das als PBM-Signal ausgebildet sein kann, ausfällt und die Indusi aktiv wird. Dies bedeutet einen Rückfall auf die sichere Seite. Dabei kann eine Standard-Indusi ohne Neuentwicklung und Zulassung verwendet werden. Die Umschalteinrichtung kann mit geringem Entwicklungsaufwand realisiert werden. Sie kann problemlos über eine Standardschnittstelle an den Datenbus angeschlossen werden. Vorzugsweise agiert das ETCS-System als Master und die Indusi als Slave. Dabei erfolgt durch das ETCS-Gerät über die Umschalteinrichtung eine Ansteuerung der Indusi mittels eines unmodulierten PBM-Signals als Ansteuersignal. Ist das PBM-Signal eingeschaltet (vorhanden), ist die Indusi passiv. Wird das PBM-Signal ausgeschaltet (d.h. ist es nicht vorhanden), wird die Indusi aktiv geschaltet.

[0018] Besonders vorteilhaft ist es, dass die Verarbeitung von pulsbreitenmodulierten Signalen in der Indusi/PZB90 bereits integriert ist. Die erfindungsgemäße Umschalteinrichtung kann daher eingesetzt werden, ohne dass Änderungen an der Indusi/PZB90 oder eine Neuzulassung notwendig sind.

[0019] Weitere Merkmale und Vorteile der Erfindung ergeben sich aus der nachfolgenden Beschreibung eines Ausführungsbeispiels der Erfindung, anhand der Figuren der Zeichnung, die erfindungswesentliche Einzelheiten zeigen, und aus den Ansprüchen. Die einzelnen Merkmale können je einzeln für sich oder zu mehreren in beliebiger Kombination bei einer Variante der Erfindung verwirklicht sein.

Zeichnung

[0020] Ein Ausführungsbeispiel ist in der schematischen Zeichnung dargestellt und wird in der nachfolgenden Beschreibung erläutert. Es zeigt:

Fig. 1

eine stark schematisierte Darstellung zweier Zugsicherungssysteme und einer Umschalteinrichtung;

Fig. 2

die schematische Darstellung der Fig. 1 mit einer Detaildarstellung der Umschalteinrichtung;

Fig. 3

ein Diagramm zur Darstellung von Eingangs- und Ausgangssignalen der Umschalteinrichtung.

[0021] In der Fig. 1 ist ein erstes Zugsicherungssystem 1 dargestellt, das eine als Bus ausgebildete Datenleitung 2 umfasst. An die Datenleitung 2 sind über Schnittstellen 3 bis 5 unterschiedliche Geräte 6 bis 8 angeschlossen, wobei die Geräte beispielsweise eine Loksteuerung, eine Anzeigeeinrichtung oder dergleichen sein können. Das Gerät 8, das an die Schnittstelle 5 angeschlossen ist, ist als Umschalteinrichtung ausgebildet, die ein Watchdog-getriggertes PBM-Signal als Ansteuersignal ausgibt. Daran angeschlossen ist ein zweites Zugsicherungssystem 9, das eine Software zur Verarbeitung des PBM-Signals aufweist. Das zweite Zugsicherungssystem 9 ist als Indusi ausgebildet und weist eine Baugruppe Indea 10 auf, die das PBM-Signal empfängt.

[0022] In der Fig. 2 ist die Umschalteinrichtung 8 im Detail dargestellt. Über die Schnittstelle 5 erhält eine erste als Watchdog-Glied ausgebildete Überwachungseinrichtung 20 ein erstes Freigabesignal (Enable-Signal) und eine zweite als Watchdog-Glied ausgebildete Überwachungseinrichtung 21 ein zweites Freigabesignal (Enable-Signal). Die erste und zweite Überwachungseinrichtung 20, 21 sind durch eine Aktivierungsleitung 22 verbunden, über die die erste Überwachungseinrichtung 20 die zweite Überwachungseinrichtung 21 aktivieren kann. Die Ausgangssignale der ersten und zweiten Überwachungseinrichtung 20, 21 werden auf einen als UND-Gatter ausgebildeten logischen Operator 23 gegeben, der eine Signalerzeugungseinrichtung 24 ansteuert. Durch die Signalerzeugungseinrichtung 24 wird ein PBM-Signal erzeugt, das an die Baugruppe Indea 10 gegeben wird, wenn die logische Verknüpfung durch den logischen Operator 23 eine logische 1 ergibt. Außerdem wird das PBM-Signal auf die Schnittstelle 5 zurückgeführt. Auch das zweite Zugsicherungssystem 9 steht, was durch den Pfeil 25 angedeutet ist, über die Schnittstelle 5 mit der ersten Zugsicherungseinrichtung 1 in Verbindung. Wird ein solches PBM-Signal durch die zweite Zugsicherungseinrichtung 9 empfangen, ist diese im Standby-Modus, d.h. nicht aktiv. Ist das Ausgangssignal des logischen Operators 23 eine logische 0, wird kein PBM-Signal erzeugt und nimmt das zweite Zugsicherungssystem 9 demzufolge einen aktiven Zustand ein.

[0023] In Fig. 3 ist die Funktionsweise der Umschalteinrichtung 8 dargestellt. Beim Dreieck 30 erfolgt ein Zurücksetzen der Überwachungseinrichtung 20 aufgrund eines empfangenen ersten Freigabesignals. Der zurückgesetzte Zustand der Überwachungseinrichtung 20 wird durch die fette Linie 31 angedeutet. Auch die zweite Überwachungseinrichtung 21 empfängt ein zweites Freigabesignal. Ein Zurücksetzen der zweiten Überwachungseinrichtung 21 erfolgt jedoch erst zeitversetzt zu dem Zurücksetzen der ersten Überwachungseinrichtung 20, was durch das Dreieck 32 angedeutet ist. Erst zu diesem Zeitpunkt wurde die zweite Überwachungseinrichtung 21 durch die erste Überwachungseinrichtung 20 aktiviert. Der zurückgesetzte Zustand der zweiten Überwachungseinrichtung wird durch die fette Linie 33 angedeutet. Zum Zeitpunkt des Zurücksetzens der zweiten Überwachungseinrichtung 20 liegen an dem logischen Operator 23 zwei Signale des Pegels "high" an. Demzufolge ist der Ausgang des logischen Operators 23 ebenfalls auf dem logischen Pegel "high" und es wird ein PBM-Signal durch die Signalerzeugungseinrichtung 24 generiert, was durch die Bezugsziffer 34 angedeutet ist. Ist das erste Zugsicherungssystem 1 aktiv, so wird in regelmäßigen Abständen ein erstes und zweites Freigabesignal übermittelt. Deshalb wird die erste Überwachungseinrichtung 20 an der Stelle 35 und die zweite Überwachungseinrichtung 21 an der Stelle 36 zurückgesetzt. Um ein Ändern des das zweite Zugsicherungssystem 9 ansteuernden PBM-Signals zu verhindern, ist ein Signalnachlauf vorgesehen, was durch die Linie 37 angedeutet ist. Wird kein erstes Freigabesignal empfangen, beispielsweise weil das erste Zugsicherungssystem aufgrund eines Defekts kein Freigabesignal generiert oder die Datenleitung defekt ist, wird die erste Überwachungseinrichtung 20 nicht zurückgesetzt, was durch das Dreieck 38 angedeutet ist. Demzufolge erfolgt keine Freigabe der zweiten Überwachungseinrichtung, was durch das Dreieck 39 angedeutet ist. Nach Ablauf des Signalnachlaufs 40 wird daher auch das PBM-Signal an der Stelle 41 ausgeschaltet, so dass das zweite Zugsicherungssystem 9 aktiv wird. Dies würde auch geschehen, wenn zusätzlich oder alternativ das zweite Freigabesignal ausfällt.

[0024] Bei einem Verfahren zum Umschalten von einem ersten zu einem zweiten Zugsicherungssystem, bei dem in Abhängigkeit von durch das erste Zugsicherungssystem generierten Signale durch eine Umschalteinrichtung 8 ein Ansteuersignal 34 für das zweite Zugsicherungssystem erzeugt wird, wird das zweite Zugsicherungssystem über das Ansteuersignal 34 passiv gehalten. Das zweite Zugsicherungssystem wird aktiviert, wenn die Umschalteinrichtung keine durch das erste Zugsicherungssystem ausgesandte Signale detektiert. Die Unterbrechung der Signale kann somit betriebsmäßig durch das erste Zugsicherungssystem erfolgen oder auch bei Störungen des ersten Zugsicherungssystem oder bei Störungen der Übertragungswege. Somit wird bei einer betriebsmäßigen, d.h. extern gesteuerten gezielten Umschaltung sicher gestellt, dass nicht beide Zugsicherungssysteme gleichzeitig aktiv sind und im Störungsfalle das Gesamtsystem (erstes und zweites Zugsicherungssystem) zur "sicheren" Seite aktiviert ist. Im Falle einer Störung des Übertragungsweges oder der Signalauswertung können beide Zugsicherungssysteme aktiv sein. Eine gegenseitige Beeinflussung im Sinne einer Zwangsbremsauslösungsverhinderung kann nicht erfolgen, sofern beide Systeme unterschiedliche, nicht gekoppelte Zugriffe zu der Zwangsbremse (Hauptluftleitung) haben. Eine Störungserkennung durch den Lokführer (Anzeigen im Führerstand) ist somit gegeben und es können betriebliche Reaktionen (Fahrdienstvorschriften) eingeleitet werden.

Ansprüche

1. Verfahren zum Umschalten von einem ersten zu einem zweiten Zugsicherungssystem (1, 9), bei dem in Abhängigkeit von durch das erste Zugsicherungssystem (1) gesendeten Signalen durch eine Umschalteinrichtung (8) ein Ansteuersignal (34) für das zweite Zugsicherungssystem (9) erzeugt wird, wobei bei einer Abschaltung oder einem Ausfall des Ansteuersignals (34) das zweite Zugsicherungssystem (9) aktiviert wird.

2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass das Ansteuersignal (34) erzeugt wird, indem ein erstes und ein zweites Freigabesignal des ersten Zugüberwachungssystems (1) ausgewertet werden.

3. Verfahren nach Anspruch 2, dadurch gekennzeichnet, dass das erste Freigabesignal eine erste Überwachungseinrichtung (20) und das zweite Freigabesignal eine zweite Überwachungseinrichtung (21) der Umschalteinrichtung (8) frei gibt, die Ausgangssignale der Überwachungseinrichtungen (20, 21) logisch verknüpft werden und entsprechend dem Ergebnis der logischen Verknüpfung das Ansteuersignal (34) erzeugt wird.

4. Verfahren nach Anspruch 3, dadurch gekennzeichnet, dass die erste Überwachungseinrichtung (20) die zweite Überwachungseinrichtung (21) aktiviert.

5. Verfahren nach Anspruch 3, dadurch gekennzeichnet, dass das Ansteuersignal (34) bei einer Änderung des Ergebnis der logischen Verknüpfung für eine vorgegebene Zeitspanne nachläuft.

6. Umschalteinrichtung (8), die mit einem ersten und zweiten Zugsicherungssystem (1, 9) datentechnisch verbunden ist und Überwachungsmittel zum Überwachen von Signalen des ersten Zugsicherungssystems (1) aufweist und bei einem vorgegebenen Ereignis das zweite Zugsicherungssystem (9) aktiviert.

7. Umschalteinrichtung nach Anspruch 6, dadurch gekennzeichnet, dass die Überwachungsmittel eine erste und eine zweite Überwachungseinrichtung (20, 21) umfassen, die jeweils von einem ersten und einem zweiten Freigabesignal des ersten Zugüberwachungssystems (1) angesteuert sind, wobei die Ausgangssignale der Überwachungseinrichtungen (20, 21) durch einen logischen Operator (23) verknüpft sind.

8. Umschalteinrichtung nach Anspruch 7, dadurch gekennzeichnet, dass eine Signalerzeugungseinrichtung (24) an den logischen Operator (23) angeschlossen ist.

9. Umschalteinrichtung nach Anspruch 7, dadurch gekennzeichnet, dass die erste und die zweite Überwachungseinrichtung (20, 21) miteinander in Verbindung stehen, wobei die erste Überwachungseinrichtung (20) zeitversetzt zum Empfang des ersten Freigabesignals ein Aktivierungssignal an die zweite Überwachungseinrichtung (21) übermittelt.

10. Umschalteinrichtung nach Anspruch 6, dadurch gekennzeichnet, dass das erste Zugsicherungssystem (1) einen Datenbus (2) aufweist und die Umschalteinrichtung (8) über eine Schnittstelle (5) an den Datenbus (2) anschließbar ist.

Zeichnung