Die Erfindung betrifft ein Verfahren zur Vorgabe einer Betriebsartennummer gemäß dem Oberbegriff des Anspruchs 1 und eine diesbezügliche Vorrichtung gemäß dem Oberbegriff des Anspruchs 2.
Sicherheitsrelevante Bahnbetriebsprozesse betreffen insbesondere die Ansteuerung von Feldelementen, beispielsweise Weichen und Signale. Dazu dienen Stellwerkselemente, über die unter anderem auch Betriebsartennummern, beispielsweise für Normalbetrieb oder Antriebsersatz, vorgegeben werden. Mit der Betriebsartennummer wird die Verarbeitungssoftware der Stellwerkselemente in bestimmter Weise initialisiert, d. h. zu einem bestimmten Verhalten gezwungen. Die Betriebsartennummer muss daher signaltechnisch sicher vorgegeben werden.
Bekannt sind Betriebsartenstecker, die durch Brücken im Stecker das Verhalten der Verarbeitungssoftware bestimmen. Nachteilig bei diesen Betriebsartensteckern ist vor allem deren erheblicher Hardwareaufwand.
Aus der
Der Erfindung liegt die Aufgabe zugrunde, ein Verfahren und eine Vorrichtung gattungsgemäßer Art anzugeben, die sich durch geringeren Hardwareaufwand auszeichnen, wobei die Betriebsartenwahl die Sicherheitsanforderungsstufe SIL 4 nach CENELEC erfüllt.
Die Aufgabe wird verfahrensgemäß mit den kennzeichnenden Merkmalen des Anspruches 1 und vorrichtungsgemäß mit den kennzeichnenden Merkmalen des Anspruches 2 gelöst. Durch das Einschreiben der Betriebsartennummer und der Teilnehmeradresse zusammen mit einem Sicherungsanhang in einen nichtflüchtigen Speicher ist eine sehr hohe Sicherheit bezüglich der Korrektheit der Betriebsartennummer und damit der entsprechenden Auswirkungen auf den sicherheitsrelevanten Bahnbetriebsprozess gegeben. Ein weiterer Vorteil gegenüber dem bekannten Betriebsartenstecker mit Brücken besteht darin, dass neben der Betriebsartennummer zusätzlich weitere Daten gespeichert werden können. Darüber hinaus ist bei geringem Volumen des Speichermoduls nur minimaler Hardwareaufwand erforderlich. Der Datensatz, bestehend aus Betriebsartennummer, Teilnehmeradresse, gegebenenfalls weiteren Daten und Sicherungsanhang, lässt sich über eine serielle I2C-Schnittstelle sehr einfach und mit besonders geringem Aufwand in den nichtflüchtigen Speicher einlesen. Da üblicherweise mehrere Komponenten parallel an einem I2C-Bus hängen, ist es nötig, auch die Teilnehmeradresse zu speichern. Der I2C-Bus ist ein sehr häufig eingesetzter 2-Draht-Bus und wurde speziell für die Kommunikation zwischen einzelnen Komponenten innerhalb eines Gerätes entwickelt. Vorteilhafterweise wird auch zwischen dem Speicher und einem Frontplattenmodul der Verarbeitungssoftware ein I2C-Bus eingesetzt, wobei das Frontplattenmodul den Datensatz zweikanalig mittels des Sicherungsanhangs auf Datenintegrität überprüft.
Vorzugsweise ist der Sicherungsanhang gemäß Anspruch 3 als MD4-Signatur (Message Digest) ausgebildet. Durch die kryptografische MD4-Funktion wird der Eingabedatensatz in einen kurzen Wert fester Länge, den Hashwert, umgewandelt. Bei diesem Algorithmus verändern sich Variablen mittels nichtlinearer Transformationen anhand der Eingabedaten, d. h. des auf Datenintegrität zu prüfenden Datensatzes, und bilden dadurch einen eindeutigen Hashwert. Bei einer guten Hashfunktion gibt es kaum zwei Datensätze, die denselben Hashwert besitzen. Weiterhin beeinflussen geringe Änderungen des Eingabedatensatzes bei einer guten Hashfunktion den Hashwert sehr stark. Bei dem MD4-Algorithmus sind vier Variablen vorgesehen, die in drei Runden in die Berechnung des Hashwertes eingehen. Um noch größere Sicherheit hinsichtlich des Nachweises der Datenintegrität zu erreichen, kann auch eine höhere Version des MD-Algorithmus, beispielsweise MD5 eingesetzt werden. Es können auch andere Verfahren zur Sicherung genutzt werden, beispielsweise CRC16 oder CRC32. Der Sicherungsanhang wird über den gesamten Datensatz gebildet.
Als nichtflüchtiger Speicher wird gemäß Anspruch 4 vorzugsweise ein EEPROM (electrically erasable programmable read only memory) eingesetzt. Dieser Festwertspeicher zeichnet sich dadurch aus, dass der Programmiervorgang und auch der Löschvorgang sehr einfach mittels eines Computers oder eines Peripheriegerätes möglich sind.
Der Speicher selbst ist gemäß Anspruch 5 in einem Betriebsartenstecker integriert. Der Betriebsartenstecker ist vorzugsweise äußerlich mit der Betriebsartennummer beschriftet und wird bedarfsweise in ein Frontplattenmodul eines Mikro-Controllers, der die Verarbeitungssoftware enthält, eingesetzt.
Nachfolgend wird die Erfindung anhand figürlicher Darstellungen naher erläutert.
Es zeigen:
Figur 1 zeigt beispielhaft zwei Betriebsartenstecker 1 und 2, wobei der erste Betriebsartenstecker 1 für Normalbetrieb und der zweite Betriebsartenstecker 2 für Antriebsersatz bei der Ansteuerung einer Weichenbaugruppe vorgesehen sind. Die Betriebsartenstecker 1 und 2 sind jeweils mit einem EEPROM 3 (Fig. 2) zur Speicherung der zugeordneten Betriebsartennummer 4a, einer Teilnehmernummer 4b, einer Teilnehmeradresse 5 und einer MD4-Signatur 6 ausgestattet (Figur 2). Damit der Betriebsartenstecker 1 bzw. 2 in ein Frontplattenmodul 7, das mit einem Mikro-Controller 8 (Figur 2) verbunden ist, auf einfache Weise eingesteckt und abgezogen werden kann, ist ein Griff 9 an den Betriebsartenstecker 1 bzw. 2 angeformt. Der Betriebsartenstecker 1 bzw. 2 ist dabei derart gestaltet, dass ein kontaktsicheres Einstecken in eine Steckerbuchse 10 des Frontplattenmoduls 7 möglich ist, wobei der Betriebsartenstecker 1 bzw. 2 bündig mit der Oberfläche des Frontplattenmoduls 7 abschließt und sich nicht durch Erschütterungen lösen kann. Wird kein Betriebsartenstecker 1 bzw. 2 genutzt, kann auch eine Blindplatte ohne jede elektrische Funktionalität gesteckt werden. Mit dem Betriebsartenstecker 1 bzw. 2 wird der Verarbeitungssoftware in dem Mikro-Controller 8 mitgeteilt, wie sie sich zu verhalten hat. Der Betriebsartenstecker 1 bzw. 2 ist mit der Nummer der Betriebsart deutlich beschriftet. Diese Nummer wird blinkend in einem Diagnosedisplay 11 auf dem Frontplattenmodul 7 angezeigt. Der signaltechnisch sicher aufgebaute Mikro-Controller 8 liest zyklisch über das Frontplattenmodul 7 den Datensatz aus dem Betriebsartenstecker 1 bzw. 2. Auf dem Frontplattenmodul 7 sind neben der Steckerbuchse 10 und dem Diagnosedisplay 11 verschiedene Schalter 12 und 13, eine Diagnosebuchse 14 sowie Statusanzeigen 15 und eine LED-Matrix 16 zur Prozessanzeige vorgesehen.
Figur 2 veranschaulicht den Datenfluss von dem Betriebsartenstecker 1 bzw. 2 über dass Frontplattenmodul 7 zum Mikro-Controller 8. Der Datensatz für den Betriebsartenstecker 1 bzw. 2 wird über eine I2C-Schnittstelle 17 geladen. Dabei muss sichergestellt sein, dass die Daten des Betriebsartensteckers 1 bzw. 2 im gesteckten Zustand nicht verändert werden können. Weiterhin ist der Betriebsartenstecker 1 bzw. 2 mit einer Stromversorgung 18 und einem seriellen I2C-Bus 19 verbunden. Über den 12C-Bus 19 liest das Frontplattenmodul 7 den Datensatz und überprüft diesen zweikanalig anhand der MD4-Signatur auf Datenintegrität. Danach wird die Betriebsartennummer ohne MD4-Signatur an die Abbildspeicher des zweikanaligen Mikro-Controllers 8 weitergeleitet. Wird der Betriebsartenstecker 1 bzw. 2 gezogen oder hat die Betriebsartennummer 4a sich geändert, wird auf dem Diagnosedisplay 11 des Frontplattenmoduls 7 ein Fehler angezeigt. Da die Betriebsartennummer 4a auf dem EEPROM 3 durch die MD4-Signatur 6 abgesichert ist, kann die Datenintegrität auf sehr hohem Sicherheitsniveau gemäß der Sicherheitsanforderungsstufe SIL 4 nach CENELEC überwacht werden.
Diese Liste der vom Anmelder aufgeführten Dokumente wurde ausschließlich zur Information des Lesers aufgenommen und ist nicht Bestandteil des europäischen Patentdokumentes. Sie wurde mit größter Sorgfalt zusammengestellt; das EPA übernimmt jedoch keinerlei Haftung für etwaige Fehler oder Auslassungen.