Verfahren und System zur Einstellung einer Fahrstrasse für schienengebundenen Verkehr

Abstract

 Erfindungsgemäss werden ein Verfahren und ein System zur Einstellung einer Fahrstrasse für schienengebundenen Verkehr offenbart, wobei die Fahrstrasse durch eine Reservierung von an der Fahrstrasse beteiligten Anlagekomponenten, wie Weichen, Signale, Gleisblöcke, erstellt wird, indem:
a) für die Fahrstrasse ein individuelles Schlüsselpaar mit einem öffentlichen (public) und einem privaten (privat) Schlüssel erstellt wird;
b) für die Fahrstrasse an alle zu beanspruchenden Anlagekomponenten eine Reservierungsanfrage ausgesendet wird, der der soeben erzeugte öffentliche Schlüssel beigefügt wird, wobei die gesamte Nachricht für jede zu reservierende Anlagekomponente jeweils mit einem der Anlagenkomponente eigenen öffentlichen Schlüssel verschlüsselt wird;
c) nur eine adressierte Anlagenkomponente mit ihrem eigenen privaten Schlüssel die Nachricht entschlüsselt und somit in einen Besitz des öffentlichen Schlüssels der einzustellenden Fahrstrasse kommt;
d) die Anlagenkomponente die entsprechende Reservation bestätigt und die Bestätigung mit dem soeben empfangenen öffentlichen Schlüssel der Fahrstrasse verschlüsselt;
e) nur die beanspruchende Fahrstrasse die Bestätigung mit ihrem privaten Schlüssel entschlüsselt, und
f) die Fahrstrasse freigeben wird, sobald auf diese Weise von allen an der Fahrstrasse beteiligten Anlagekomponenten die notwendige Reservation bestätigt worden ist.
Auf diese Weise können kostengünstige öffentliche Netzwerke zur Übertragung von sicherheitskritischen Daten verwendet werden. Aufgrund der Verwendung dieses asymmetrischen Verschlüsselungsverfahrens können in der Sicherheitsbetrachtung viele Fehlerannahmen von vornherein zuverlässig ausgeschlossen werden und der Sicherheitsnachweis mit den für SIL4-Level geforderten Randbedingungen erbracht werden.

Beschreibung

[0001] Die vorliegende Erfindung bezieht sich auf ein Verfahren und ein System zur Einstellung einer Fahrstrasse für schienengebundenen Verkehr.

[0002] Bei der Automatisierung industrieller Anlagen werden die einzelnen elektronischen Komponenten schon seit längerer Zeit dezentral aufgebaut. Die Kommunikation zwischen einem Anlagenleitstand und den dezentralen Komponenten erfolgt dabei drahtgebunden oder auch drahtlos über private wie auch öffentliche Netzwerke.

[0003] Dieser Trend fliesst vermehrt auch in die Leit- und/oder Stellwerkstechnologie für den schienengebundenen Verkehr ein. Beim dezentralen Aufbau der verschiedenen Komponenten zur Steuerung und Überwachung von Weichen, Signalen und Gleisen müssen Daten jedoch sehr sicher und zum Teil sogar mit SIL4-Level übertragen werden können. Zudem muss sichergestellt werden, dass eine von einer Fahrstrasse reservierte Ressource (Signal, Weiche etc.) nur durch diese wieder freigegeben werden kann, nachdem ein Zug, für den die Fahrstrasse reserviert worden ist, dieselbe passiert hat. Das Verfahren kann grundsätzlich auch eingesetzt werden, wenn zur Übermittlung der Daten öffentliche, ungesicherte Netze verwendet werden.

[0004] Die Übertragung von sicherheitskritischen Daten ist über öffentliche Leitungen jedoch entweder gar nicht zulässig oder nur dann zulässig, wenn geeignete technische Massnahmen ergriffen werden (z.B. VPN-Tunnel) zur Sicherstellung des Datentransfers getroffen werden. Stellwerke werden heutzutage aus diesen Gründen noch nicht im grösseren Stil dezentral aufgebaut.

[0005] Entsprechende technische Massnahmen sind beispielsweise in der europäischen Patentanmeldungen 07801440.4 und der internationalen Patentanmeldung PCT/EP2008/003014 vorgeschlagen worden. Dennoch existiert derzeit noch kein entsprechend abgesichertes Verfahren zur hochverlässlichen Reservierung von an einzustellenden Fahrstrassen beteiligten Anlagekomponenten und im weiteren auch zur entsprechenden Auflösung der Reservierung nach erfolgter Befahrung.

[0006] Der vorliegenden Erfindung liegt daher die Aufgabe zugrunde, ein Verfahren und ein System zur Einstellung einer Fahrstrasse für schienengebundenen Verkehr anzugeben, welche vergleichsweise einfach strukturiert sind und dennoch den hohen für den SIL4-Level erforderlichen Anforderungen genügen können.

[0007] Die Aufgabe wird bezüglich des Verfahrens erfindungsgemäss dadurch gelöst, dass ein Verfahren zur Einstellung einer Fahrstrasse für schienengebundenen Verkehr vorgesehen ist, wobei die Fahrstrasse durch eine Reservierung von an der Fahrstrasse beteiligten Anlagekomponenten, wie Weichen, Signale, Gleisblöcke, erstellt wird, indem:

a) für die Fahrstrasse ein individuelles Schlüsselpaar mit einem öffentlichen (public) und einem privaten (privat) Schlüssel erstellt wird;

b) für die Fahrstrasse an alle zu beanspruchenden Anlagekomponenten eine Reservierungsanfrage ausgesendet wird, der der soeben erzeugte öffentliche Schlüssel beigefügt wird, wobei die gesamte Nachricht für jede zu reservierende Anlagekomponente jeweils mit einem der Anlagenkomponente eigenen öffentlichen Schlüssel verschlüsselt wird;

c) nur eine adressierte Anlagenkomponente mit ihrem eigenen privaten Schlüssel die Nachricht entschlüsselt und somit in einen Besitz des öffentlichen Schlüssels der einzustellenden Fahrstrasse kommt;

d) die Anlagenkomponente die entsprechende Reservation bestätigt und die Bestätigung mit dem soeben empfangenen öffentlichen Schlüssel der Fahrstrasse verschlüsselt;

e) nur die beanspruchende Fahrstrasse die Bestätigung mit ihrem privaten Schlüssel entschlüsselt, und

f) die Fahrstrasse freigeben wird, sobald auf diese Weise von allen an der Fahrstrasse beteiligten Anlagekomponenten die notwendige Reservation bestätigt worden ist.

[0008] Auf diese Weise können kostengünstige öffentliche Netzwerke zur Übertragung von sicherheitskritischen Daten verwendet werden. Aufgrund der Verwendung dieses asymmetrischen Verschlüsselungsverfahrens können in der Sicherheitsbetrachtung viele Fehlerannahmen von vornherein zuverlässig ausgeschlossen werden und der Sicherheitsnachweis mit den für SIL4-Level geforderten Randbedingungen erbracht werden.

[0009] In einer zweckmässigen Weiterbildung der vorliegenden Erfindung wird eine Auflösung der Fahrstrasse durch eine Freigabe der reservierten Anlagekomponenten erzielt, indem:

a) die Fahrstrasse eine Freigabenachricht an die reservierte Anlagenkomponente schickt, wobei diese Freigabenachricht mit dem öffentlichen Schlüssel der Anlagenkomponente verschlüsselt und mit dem privaten Schlüssel der Fahrstrasse signiert wird;

b) nur die adressierte Anlagenkomponente diese Freigabenachricht entschlüsselt und mit dem im Wege der Reservationsanfrage erhaltenen privaten Schlüssel der Fahrstrasse deren Signatur überprüft,

c) die reservierte Anlagenkomponente ihre angeforderte Freigabe quittiert und eine mit dem öffentlichen Schüssel der Fahrstrasse verschlüsselte Quittierungsmeldung an die Fahrstrasse sendet; und

d) die Reservierung der Anlagekomponenten aufgehoben wird, sobald die Aufhebung aller Reservationen durch ein entsprechende Quittierungsmeldung quittiert worden ist.

[0010] In einer weiteren zweckmässigen Ausgestaltung der vorliegenden Erfindung kann nach der Aufhebung der Reservierung das für die Fahrstrasse generierte individuelle Schlüsselpaar gelöscht werden.

[0011] Entsprechende erfindungsgemässe Ausgestaltungen und deren vorteilhafte Weiterbildungen für das System sind den übrigen Patentansprüchen zu entnehmen.

[0012] Bevorzugte Ausführungsbeispiele werden anhand einer Zeichnung näher erläutert. Dabei zeigen:

Figur 1

schematisch ein Verfahren zur Reservierung von Anlagekomponenten und den entsprechenden Datenaustausch hierzu; und

Figur 2

schematisch ein Verfahren zur Aufhebung der Reservierung von Anlagekomponenten und den entsprechenden Datenaustausch hierzu.

[0013] Dem vorliegenden Verfahren liegt ein asymmetrisches Verschlüsselungsverfahren zugrunde, das so erweitert wird, dass stellwerkseitig zufällige Schlüsselpaare durch ein Objekt, hier vorliegend eine Fahrstrasse, generiert werden können. Diese erzeugten Schlüssel werden nur einmal für eine eingestellte Fahrstrasse verwendet. Wenn die gleiche Fahrstrasse erneut eingestellt wird, werden neue Schlüssel generiert.

[0014] Um eine Fahrstrasse zu sichern, müssen nun verschiedene Komponenten exklusiv beansprucht werden. Diese Beanspruchung muss solange aufrecht erhalten bleiben, bis die Fahrstrasse wieder aufgelöst wird. D.h. die Freigabe dieser Ressourcen darf nur durch die beanspruchende Fahrstrasse erfolgen.

[0015] Figur 1 zeigt schematisch ein Verfahren zur Reservierung von an einer Fahrstrasse beteiligten Anlagekomponenten. Zunächst generiert dabei ein Stellwerk-Controller für eine Fahrstrasse F1 ein neues Schlüsselpaar mit einem öffentlichen (public) Schlüssel F1_pu und einem privaten (private) Schlüssel F1_pr. Der Stellwerk-Controller sendet für die Reservierung dieser Fahrstrasse 1 an alle zu beanspruchenden Komponenten, hier die Weichen W1 und W2, eine Reservierungsanfrage. Der Reservierungsanfrage wird der soeben erzeugte öffentliche Schlüssel F1_pu beigelegt. Die ganze Nachricht wird jeweils mit dem öffentlichen Schlüssel des Empfängers, hier der Weiche 1, Schlüssel W1_pu verschlüsselt. Nur der adressierte Empfänger kann mit seinem privaten Schlüssel W1_pr diese Nachricht entschlüsseln und kommt somit in den Besitz des öffentlichen Schlüssels F1_pu der einzustellenden Fahrstrasse.

[0016] Der Empfänger, hier vorliegend ein dezentral angeordneter Weichen-Controller, bestätigt diese Reservation und verschlüsselt diese Nachricht mit dem soeben empfangenen öffentlichen Schlüssel der Fahrstrasse F1_pu. Nur der für die Fahrstrasse verantwortliche Stellwerk-Controller kann die Bestätigungsnachricht mit dem der Fahrstrasse eigenen privaten Schlüssel F1_pr entschlüsseln. Sobald auf diese Weise alle notwendigen Reservationen bestätigt worden sind, können die Fahrstrasse vom Stellwerk-Controller freigeben werden und das oder die Signale für einen Zug auf Fahrt gestellt werden.

[0017] Figur 2 zeigt nun schematisch die wesentlichen Verfahrensschritte zur Auflösung der Reservierung der Anlagenkomponenten, nachdem ein Zug die reservierte Fahrstrasse befahren hat, und die entsprechenden Achszähler und/oder Gleisfreimelder und/oder Gleisstromkreise den Abschluss der Befahrung gemeldet haben. Bei der Auflösung der Fahrstrasse müssen die reservierten Anlagenkomponenten wieder freigegeben werden. Dabei schickt der Stellwerk-Controller für diese Fahrstrasse eine Freigabe-Nachricht an die reservierten Anlagekomponenten. Diese Freigabe-Nachricht wird mit dem öffentlichen Schlüssel W1_pu der Ressource (Anlagenkomponente) verschlüsselt und mit dem privaten Schlüssel der Fahrstrasse F1_pr signiert. Nur die adressierte Ressource kann die Freigabe-Nachricht entschlüsseln und kann mit dem bei der Reservation erhaltenen privaten Schlüssel F1_pr die Signatur überprüfen. Somit ist sichergestellt, dass die Freigabe der Ressource nur durch das reservierende Objekt erfolgen kann. Die reservierte Ressource quittiert diese Freigabe-Nachricht mit einer Quittierungsnachricht, die mit dem öffentlichen Schüssel der Fahrstrasse F1_pu verschlüsselt ist. Sobald die Aufhebung aller Reservationen quittiert worden ist, können die erzeugten Schlüssel gelöscht werden.

Ansprüche

1. Verfahren zur Einstellung einer Fahrstrasse für schienengebundenen Verkehr, wobei die Fahrstrasse durch eine Reservierung von an der Fahrstrasse beteiligten Anlagekomponenten, wie Weichen, Signale, Gleisblöcke, erstellt wird, indem:

a) für die Fahrstrasse ein individuelles Schlüsselpaar mit einem öffentlichen (public) und einem privaten (privat) Schlüssel erstellt wird;

b) für die Fahrstrasse wird an alle zu beanspruchenden Anlagekomponenten eine Reservierungsanfrage ausgesendet, der der soeben erzeugte öffentliche Schlüssel beigefügt wird, wobei die gesamte Nachricht für jede zu reservierende Anlagekomponente jeweils mit einem der Anlagenkomponente eigenen öffentlichen Schlüssel verschlüsselt wird;

c) nur eine adressierte Anlagenkomponente mit ihrem eigenen privaten Schlüssel die Nachricht entschlüsselt und somit in einen Besitz des öffentlichen Schlüssels der einzustellenden Fahrstrasse kommt;

d) die Anlagenkomponente die entsprechende Reservation bestätigt und die Bestätigung mit dem soeben empfangenen öffentlichen Schlüssel der Fahrstrasse verschlüsselt;

e) nur die beanspruchende Fahrstrasse die Bestätigung mit ihrem privaten Schlüssel entschlüsselt, und

f) die Fahrstrasse freigeben wird, sobald auf diese Weise von allen an der Fahrstrasse beteiligten Anlagekomponenten die notwendige Reservation bestätigt worden ist.

2. Verfahren nach Anspruch 1, bei dem eine Auflösung der Fahrstrasse durch eine Freigabe der reservierten Anlagekomponenten erzielt wird, indem:

a) die Fahrstrasse eine Nachricht an die reservierte Anlagenkomponente schickt, wobei diese Nachricht mit dem öffentlichen Schlüssel der Anlagenkomponente verschlüsselt und mit dem privaten Schlüssel der Fahrstrasse signiert wird;

b) nur die adressierte Anlagenkomponente diese Nachricht entschlüsselt und mit dem im Wege der Reservationsanfrage erhaltenen privaten Schlüssel der Fahrstrasse deren Signatur überprüft,

c) die reservierte Anlagenkomponente ihre Freigabe quittiert und eine mit dem öffentlichen Schüssel der Fahrstrasse verschlüsselte Quittierungsmeldung an die Fahrstrasse sendet; und

d) die Reservierung der Anlagekomponenten aufgehoben wird, sobald die Aufhebung aller Reservationen durch ein entsprechende Quittierungsmeldung quittiert worden ist.

3. Verfahren nach Anspruch 2, bei dem nach der Aufhebung der Reservierung das für die Fahrstrasse generierte individuelle Schlüsselpaar gelöscht wird.

4. System zur Einstellung einer Fahrstrasse für schienengebundenen Verkehr, wobei die Fahrstrasse durch eine Reservierung von an der Fahrstrasse beteiligten Anlagekomponenten, wie Weichen, Signale, Gleisblöcke, erstellt wird, umfassend:

a) eine Kontrolleinheit, mit der für die Fahrstrasse ein individuelles Schlüsselpaar mit einem öffentlichen (public) und einem privaten (privat) Schlüssel erstellt wird;

b) die Kontrolleinheit, mit der für die Fahrstrasse an alle zu beanspruchenden Anlagekomponenten eine Reservierungsanfrage ausgesendet wird, der der soeben erzeugte öffentliche Schlüssel beigefügt wird, wobei die gesamte Nachricht für jede zu reservierende Anlagekomponente jeweils mit einem der Anlagenkomponente eigenen öffentlichen Schlüssel verschlüsselt wird;

c) einen Komponenten-Controller, mit dem nur für die jeweils adressierte Anlagenkomponente mittels ihres eigenen privaten Schlüssels die Nachricht entschlüsselt wird und der Komponenten-Kontroller somit in einen Besitz des öffentlichen Schlüssels der einzustellenden Fahrstrasse kommt;

d) den Komponenten-Controller, mit dem die Anlagenkomponente die entsprechende Reservation bestätigt und die Bestätigung mit dem soeben empfangenen öffentlichen Schlüssel der Fahrstrasse verschlüsselt;

e) die Kontrolleinheit, mit der nur für die beanspruchende Fahrstrasse die Bestätigung mittels ihres privaten Schlüssels entschlüsselt wird, und

f) die Fahrstrasse von der Kontrolleinheit freigeben wird, sobald auf diese Weise von allen an der Fahrstrasse beteiligten Anlagekomponenten die jeweils notwendige Reservation bestätigt worden ist.

5. System nach Anspruch 4, bei dem eine Auflösung der Fahrstrasse durch eine Freigabe der reservierten Anlagekomponenten erzielt wird, indem:

a) die Kontrolleinheit für die Fahrstrasse eine Nachricht an die reservierte Anlagenkomponente schickt, wobei diese Nachricht mit dem öffentlichen Schlüssel der Anlagenkomponente verschlüsselt und mit dem privaten Schlüssel der Fahrstrasse signiert wird;

b) der Komponenten-Controller nur für die adressierte Anlagenkomponente diese Nachricht entschlüsselt und mit dem im Wege der Reservationsanfrage erhaltenen privaten Schlüssel der Fahrstrasse deren Signatur überprüft,

c) der Komponenten-Controller für die reservierte Anlagenkomponente ihre Freigabe quittiert und eine mit dem öffentlichen Schüssel der Fahrstrasse verschlüsselte Quittierungsmeldung an die Kontrolleinheit für die Fahrstrasse sendet; und

d) die Kontrolleinheit die Reservierung der Anlagenkomponenten aufhebt, sobald die Aufhebung aller Reservationen durch eine jeweils entsprechende Quittierungsmeldung quittiert worden ist.

6. System nach Anspruch 5, bei dem nach der Aufhebung der Reservierung das für die Fahrstrasse generierte individuelle Schlüsselpaar gelöscht wird.

Zeichnung