BETRIEB EINES SCHIENENFAHRZEUGS MITTELS ETCS-EINRICHTUNG, SCHIENENFAHRZEUG UND VORRICHTUNG

Beschreibung

[0001] Die Erfindung betrifft ein Verfahren zum Betrieb eines Schienenfahrzeugs mittels einer sekundären ETCS-Einrichtung im Fehlerfall der primären ETCS-Einrichtung. Auch werden dementsprechend ein Schienenfahrzeug sowie eine Vorrichtung vorgeschlagen.

[0002] Das European Train Control System (kurz ETCS) ist eine Komponente eines einheitlichen europäischen Eisenbahnverkehrsleitsystems, das unter dem Buchstabenkürzel ERTMS entwickelt wurde. Die zweite technische Komponente dieser digitalen Bahntechnologie ist das Bahn-Mobilfunksystem GSM-R. ETCS soll die Vielzahl der in den einzelnen Ländern eingesetzten individuellen Zugsicherungssysteme ablösen.

[0003] ETCS übernimmt mehrere Funktionen. Es überwacht die örtliche Höchstgeschwindigkeit, die Höchstgeschwindigkeit des Zuges, die korrekte Fahrtstrecke des Zuges, die Fahrtrichtung, die Eignung des Zuges für die Strecke und die Einhaltung besonderer Betriebsvorschriften.

[0004] Diese Informationen werden durch die Bausteine des ETCS verarbeitet:

• streckenseitig die im Gleis verlegten Eurobalisen oder Euroloops bei ETCS Level 1, sowie bei ETCS Level 2 und 3 die mit dem Stellwerk verbundene ETCS-Streckenzentrale (RBC, Radio Block Centre),
• fahrzeugseitig die ETCS-Onboard Unit (OBU), die die empfangenen Daten auswertet, dem Triebfahrzeugführer anzeigt und den Zug im Gefahrenfall automatisch vor einem Gefahrenpunkt zum Halten bringt.

[0005] Die ETCS-Fahrzeugeinrichtung (auch bezeichnet als ETCS-Einrichtung) besteht im Wesentlichen aus ETCS-Rechner (auch bezeichnet als "EVC", European Vital Computer), Führerstandsanzeige (DMI, Driver Machine Interface), Wegmesseinrichtung, GSM-R-Übertragungseinrichtung (einschließlich Euroradio), Balisenleser und Bremszugriff.

[0006] Neben den ETCS-Levels sind auch ETCS-Modi definiert. Die Modi beschreiben die Zustände, in denen sich der EVC befinden kann. Eine Übersicht findet sich z.B. unter http://de.wikipedia.org/wiki/ETCS.

[0007] Die ETCS-Fahrzeugeinrichtung ist nicht vollständig redundant aufgebaut. Damit führen Einzelausfälle in der EVC-Hardware sowie in angeschlossenen Komponenten, wie z.B. der Balisenantenne, zu einem kompletten Systemausfall. Die ETCS-Fahrzeugeinrichtung wechselt in der Regel in den Zustand "Systemfehler" ("system failure") und wird infolgedessen isoliert. Sofern keine vollständige redundante Ausrüstung fahrzeug- und streckenseitig vorhanden ist, steht in diesem Fall kein funktionsfähiges System zur Fahrzeugsicherung mehr zur Verfügung.

[0008] Einerseits ist bekannt, Strecken und Schienenfahrzeuge mit redundanten Systemen auszustatten. So werden zusätzlich zu den ETCS-Einrichtungen zweite Zugsicherungsebenen nationaler Systeme eingesetzt. Nationale Zugsicherungssysteme sind auf den Fahrzeugen vorhanden und können bei Isolation des ETCS-Systems im herkömmlichen Modus als eigenständige Systeme ("stand alone" Systeme) betrieben werden.

[0009] Andererseits existieren betriebliche Regelungen zum Fahren ohne überwachendes Zugsicherungssystem, bei denen der Betrieb in Personalverantwortung durchgeführt wird.

[0010] EP 2 253 525 A1 betrifft eine Zugsteuerungsmethode. Die Methode umfasst: Sichern von Zugsteuerungsdaten einer RBC ("Radio Block Center", Streckenzentrale) und Erlangen von Sicherungsdaten, wobei die Zugsteuerungsdaten zum Steuern eines durch die Streckenzentrale geführten Zugs verwendet werden; Erlangen der alternativen Steuerungsinformation der Züge und Steuern der Züge mittels der Sicherungsdaten. Auch sind eine Streckenzentrale, ein Bordgerät und ein Zugsteuerungssystem-ARC (Active Radio Control) vorgesehen. Wenn die Züge, die von dem RBC verwaltet werden, die alternative Steuerung benötigen, kann das RBC ersetzt werden, um die Züge zu steuern, was sicherstellt, dass die Züge normal kontrolliert fahren können.

[0011] EP 1 614 604 A1 offenbart ein Verfahren zum Umschalten von einem ersten zu einem zweiten Zugsicherungssystem. Dabei wird in Abhängigkeit von durch das erste Zugsicherungssystem generierten Signalen durch eine Umschalteinrichtung ein Ansteuersignal für das zweite Zugsicherungssystem erzeugt und wird das zweite Zugsicherungssystem über das Ansteuersignal passiv gehalten. Das zweite Zugsicherungssystem wird aktiviert, wenn die Umschalteinrichtung keine durch das erste Zugsicherungssystem ausgesandte Signale detektiert. Die Unterbrechung der Signale kann somit betriebsmäßig durch das erste Zugsicherungssystem erfolgen oder auch bei Störungen des ersten Zugsicherungssystem oder der Übertragungswege. So wird sichergestellt, dass nicht beide Zugsicherungssysteme gleichzeitig aktiv sind und im Störungsfalle das Gesamtsystem zur "sicheren" Seite aktiviert ist. Im Falle einer Störung des Übertragungsweges oder der Signalauswertung können beide Zugsicherungssysteme aktiv sein. Eine gegenseitige Beeinflussung im Sinne einer Zwangsbremsauslösungsverhinderung erfolgt nicht, sofern beide Systeme unterschiedliche, nicht gekoppelte Zugriffe zu der Zwangsbremse (Hauptluftleitung) haben.

[0012] Die Aufgabe der Erfindung besteht darin, die vorstehend genannten Nachteile zu vermeiden und insbesondere auch bei einem Ausfall einer ETCS-Hardware eine möglichst weitgehende automatisierte Unterstützung zur Zugsicherung bereitzustellen.

[0013] Diese Aufgabe wird gemäß den Merkmalen der unabhängigen Ansprüche gelöst. Bevorzugte Ausführungsformen sind insbesondere den abhängigen Ansprüchen entnehmbar.

[0014] Zur Lösung der Aufgabe wird ein Verfahren vorgeschlagen zum Betrieb eines Schienenfahrzeugs,

• das eine primäre ETCS-Einrichtung mit einem primären Rechner und eine Führerstandsanzeige sowie eine sekundäre ETCS-Einrichtung mit einem sekundären Rechner aufweist,
• bei dem in einem Fehlerfall der primären ETCS-Einrichtung von dem primären Rechner auf den sekundären Rechner umgeschaltet wird,
• bei dem der sekundäre Rechner zum Betrieb des Schienenfahrzeugs eingesetzt wird,
• bei dem der sekundäre Rechner aktiviert und zum Betrieb des Schienenfahrzeugs in Verbindung mit der Führerstandsanzeige der primären ETCS-Einrichtung eingesetzt wird.

[0015] Bei dem Rechner handelt es sich um eine Verarbeitungskomponente, einen Computer, einen Mikrocontroller oder eine Vielzahl dieser Elemente. Der Rechner selbst kann auch redundant oder verteilt ausgeführt sein. Der Rechner ist insbesondere ein On-board Rechner eines Wagens des Schienenfahrzeugs. Der Rechner wird hier beispielhaft auch als EVC oder ETCS-Rechner bezeichnet bzw. kann Teil eines solchen sein.

[0016] Der primäre Rechner bzw. die primäre ETCS-Einrichtung werden im Normalfall zum Betrieb des Schienenfahrzeugs verwendet. Tritt der Fehlerfall auf, so kann eine - ggf. eingeschränkte - Zugsicherungsfunktion noch mittels des dann aktivierten sekundären Rechners (bzw. zumindest eines Teils der sekundären ETCS-Einrichtung) gewährleistet werden. Dies hat den Vorteil, dass die Zugsicherung bei Ausfall einer Komponente der primären ETCS-Einrichtung zumindest in einigen Fehlerfällen noch automatisiert fortgesetzt werden kann.

[0017] Hierbei sei angemerkt, dass das Schienenfahrzeug (auch bezeichnet als "Zug") mindestens einen Wagen aufweist, wobei der Wagen ein Triebfahrzeug, ein Reisewagen, ein Güterwagen oder eine Kombination aus derartigen Abteilen oder Funktionen sein kann. Das Triebfahrzeug weist eine Führerkabine (auch bezeichnet als Bedienplatz) auf und kann mit oder ohne Antrieb ausgeführt sein. Das Triebfahrzeug kann insbesondere eine Lokomotive sein. Die ETCS-Einrichtung ist vorzugsweise in einem Wagen des Schienenfahrzeugs angeordnet.

[0018] Weiterhin sei angemerkt, dass das Schienenfahrzeug mehrere sekundäre ETCS-Einrichtungen (mit je einem Rechner) aufweisen kann und dass ggf. ein (sekundärer) Rechner aus diesen mehreren sekundären ETCS-Einrichtungen aktiviert werden kann.

[0019] Eine Weiterbildung ist es, dass der Fehlerfall mindestens eine der folgenden Möglichkeiten umfasst:

• einen Ausfall einer Komponente der primären ETCS-Einrichtung;
• eine Fehlermeldung betreffend die primäre ETCS-Einrichtung.

Eine andere Weiterbildung ist es, dass

• in dem Fehlerfall die primäre ETCS-Einrichtung isoliert geschaltet wird,
• der sekundäre Rechner von einem Zustand "schlafend" in einen aktiven Zustand versetzt wird.

[0020] Insbesondere ist es eine Weiterbildung, dass

• in dem Fehlerfall das Schienenfahrzeug abgebremst wird,
• im Stillstand des Schienenfahrzeugs die primäre ETCS-Einrichtung zumindest teilweise, insbesondere bis auf ein Aufzeichnungsgerät und eine Führerstandsanzeige, mittels ETCS-Isolierschalter isoliert geschaltet und eine ETCS Level 2 Verbindung zu einer ETCS-Streckenzentrale unterbrochen wird.

[0021] Sofern die Führerstandsanzeige in dem Wagen des Schienenfahrzeugs mit der primären ETCS-Einrichtung nicht Ursache des Systemfehlers war und weiterhin funktionstüchtig ist, übernimmt z.B. der sekundäre Rechner in Verbindung mit dieser Führerstandsanzeige die Funktion der Fahrzeugsicherung.

[0022] Auch ist es eine Weiterbildung, dass die primäre ETCS-Einrichtung isoliert geschaltet wird und diese Isolation dem sekundären Rechner signalisiert wird, insbesondere über ein Bussystem, eine Leitung oder eine Funkverbindung.

[0023] Infolge dieser Signalisierung kann der sekundäre Rechner aktiviert und zum Betrieb des Schienenfahrzeugs eingesetzt werden.

[0024] Ferner ist es eine Weiterbildung, dass der sekundäre Rechner zum Betrieb des Schienenfahrzeugs eingesetzt wird, indem er mindestens eine der folgenden Funktionalitäten bereitstellt:

• eine Überwachung der höchsten zulässigen Geschwindigkeit des Schienenfahrzeugs,
• eine Überwachung der höchsten zulässigen Geschwindigkeit der Strecke, insbesondere basierend auf externen Vorgaben.

[0025] Eine nächste Weiterbildung besteht darin, dass für den Fall, dass die Strecke und das Schienenfahrzeug für ETCS Level 2 ausgerüstet sind, der sekundäre Rechner die gleichen Modi in ETCS Level 2 zur Verfügung stellt wie der Rechner der isolierten primären ETCS-Einrichtung und kommuniziert mit der ETCS-Streckenzentrale anhand der Funkübertragungseinrichtung, insbesondere der GSM-R-Funkübertragungseinrichtung.

[0026] Hierbei kann der sekundäre Rechner die volle Sicherungsfunktionalität des Schienenfahrzeugs gewährleisten.

[0027] Eine Ausgestaltung ist es, dass der sekundäre Rechner für den Betrieb des Schienenfahrzeugs eine erste Balisenantenne an der Spitze des Schienenfahrzeugs bezogen auf dessen Fahrtrichtung nutzt.

[0028] Auch in diesem Fall kann der sekundäre Rechner die volle Sicherungsfunktionalität des Schienenfahrzeugs gewährleisten.

[0029] Eine alternative Ausführungsform besteht darin, dass der sekundäre Rechner, falls die Balisenantenne an der Spitze des Schienenfahrzeugs nicht nutzbar ist, eine andere Balisenantenne des Schienenfahrzeugs für den Betrieb des Schienenfahrzeugs nutzt.

[0030] Beispielsweise kann in dem ETCS Level 2 Modus die Entfernung von der verwendeten Balisenantenne zu der Spitze des Schienenfahrzeugs (diese ist aufgrund der Zusammensetzung des Schienenfahrzeugs bekannt) als ein fester Abstand (Offset) berücksichtigt werden. So kann dieser Abstand bei der Steuerung des Schienenfahrzeugs von dem zweiten Rechner verarbeitet werden und eine um den Abstand bereinigte Entfernung an die ETCS-Streckenzentrale gemeldet werden. Insofern liefert der zweite Rechner eine transparente Aufbereitung der Daten für die ETCS-Streckenzentrale.

[0031] Eine nächste Ausgestaltung ist es, dass der sekundäre Rechner insbesondere in einem Modus ETCS Level 1 eine reduzierte Sicherungsfunktionalität für den Betrieb des Schienenfahrzeugs bereitstellt.

[0032] Die reduzierte Sicherungsfunktionalität erfordert insbesondere eine Kontrolle des Betriebs durch den Triebwagenführer. Beispielsweise kann bei reduzierter Sicherungsfunktionalität eine Geschwindigkeitsüberwachung (der maximalen Geschwindigkeit des Schienenfahrzeugs und/oder der temporären Geschwindigkeitseinschränkung) bereitgestellt werden, die Verantwortung der Kontrolle der Geschwindigkeit liegt in diesem Fall beim Triebwagenführer.

[0033] Die Ausführungen betreffend das Verfahren gelten für die anderen Anspruchskategorien entsprechend.

[0034] Die vorstehend genannte Aufgabe wird auch gelöst durch ein Schienenfahrzeug

• mit einer primären ETCS-Einrichtung aufweisend einen primären Rechner und eine Führerstandsanzeige,
• mit einer sekundären ETCS-Einrichtung aufweisend einen sekundären Rechner,
• wobei in einem Fehlerfall der primären ETCS-Einrichtung die primäre ETCS-Einrichtung inaktiv schaltbar ist,
• wobei in dem Fehlerfall der sekundäre Rechner aktivierbar ist und für den Betrieb des Schienenfahrzeugs in Verbindung mit der Führerstandsanzeige der primären ETCS-Einrichtung einsetzbar ist.

[0035] Die obige Aufgabe wird zudem gelöst mittels einer Vorrichtung zum Betrieb eines Schienenfahrzeugs, die eine sekundäre ETCS-Einrichtung mit einem sekundären Rechner aufweist und die derart eingerichtet ist, dass

• in einem Fehlerfall einer primären ETCS-Einrichtung, die einen primären Rechner und eine Führerstandsanzeige aufweist, die Vorrichtung eine Nachricht zur Aktivierung erhält und nach dem Abschalten der primären ETCS-Einrichtung aktivierbar und zum Betrieb des Schienenfahrzeugs in Verbindung mit einer Führerstandsanzeige der primären ETCS-Einrichtung einsetzbar ist.

[0036] Bei der Vorrichtung kann es sich um die sekundäre ETCS-Einrichtung, insbesondere um den sekundären Rechner dieser sekundären ETCS-Einrichtung handeln.

[0037] Die hier vorgestellte Lösung umfasst ferner ein Computerprogrammprodukt, das direkt in einen Speicher eines digitalen Computers ladbar ist, umfassend Programmcodeteile, die dazu geeignet sind, Schritte des hier beschriebenen Verfahrens durchzuführen.

[0038] Weiterhin wird das oben genannte Problem gelöst mittels eines computerlesbaren Speichermediums, z.B. eines beliebigen Speichers, umfassend von einem Computer ausführbare Anweisungen (z.B. in Form von Programmcode), die dazu geeignet sind, dass der Computer Schritte des hier beschriebenen Verfahrens durchführt.

[0039] Die oben beschriebenen Eigenschaften, Merkmale und Vorteile dieser Erfindung sowie die Art und Weise, wie diese erreicht werden, werden klarer und deutlicher verständlich im Zusammenhang mit der folgenden schematischen Beschreibung von Ausführungsbeispielen, die im Zusammenhang mit den Zeichnungen näher erläutert werden. Dabei können zur Übersichtlichkeit gleiche oder gleichwirkende Elemente mit gleichen Bezugszeichen versehen sein.

[0040] Es zeigen

Fig.1

eine schematische Darstellung eines Schienenfahrzeugs mit einer Vielzahl von Wagen, von denen ein Teil der Wagen ETCS-Einrichtungen mit EVCs aufweisen;

Fig.2

ein beispielhaftes Umschalten zwischen ETCS-Einrichtungen, insbesondere EVCs der ETCS-Einrichtungen, anhand eines Flussdiagramms.

[0041] Bei Schienenfahrzeugen mit mehreren ETCS-Fahrzeugeinrichtungen, die elektrisch verbunden sind, übernimmt ein sekundärer EVC, der bis dahin im Modus "schlafend" ("sleeping") war, nach bzw. bei Isolation des führenden aktiven EVC (d.h. des primären EVC, auch bezeichnet als ETCS-Rechner) die Funktion der Fahrzeugsicherung.

[0042] Hierbei sei angemerkt, dass primärer EVC und sekundärer EVC nur als beispielhaft veranschaulichende Begriffe dafür gewählt sind, dass einer der Rechner (der primäre EVC) zuvor aktiv war und zumindest teilweise durch den anderen Rechner (den sekundären EVC) ersetzt wird. Entsprechend ist der primäre EVC Teil der primären ETCS-Einrichtung und der sekundäre EVC Teil der sekundären ETCS-Einrichtung. Vorzugsweise sind mehrere ETCS-Einrichtungen in einem Schienenfahrzeug vorgesehen, beispielsweise in unterschiedlichen Wagen des Schienenfahrzeugs.

[0043] Damit kann zumindest ein Teil der automatisierten Zugsicherung, insbesondere der ETCS-Funktionalität, aufrechterhalten werden.

[0044] Abhängig von der Fahrzeug- und Streckenauslegung werden Sicherungsfunktionen in unterschiedlichem Umfang aufrechterhalten.

[0045] Tritt ein Fehler in der primären ETCS-Einrichtung auf, der einen Wechsel in einen Modus "Systemfehler" bedingt, so wird das Schienenfahrzeug beispielsweise abgebremst und im Stillstand wird diese defekte primäre ETCS-Einrichtung mittels ETCS-Isolationsschalter isoliert. Dadurch werden alle mit der ETCS-Einrichtung verbundenen Sicherungsfunktionen deaktiviert. Eine in ETCS Level 2 vorhandene Verbindung zum RBC wird unterbrochen. Die Komponenten Aufzeichnungsgerät (Juridical Recorder, JRU) und Führerstandsanzeige (Driver Machine Interface, DMI) sind vorzugsweise von einer solchen Isolation nicht betroffen.

[0046] Sofern die Führerstandsanzeige in dem Wagen des Schienenfahrzeugs mit der primären ETCS-Einrichtung nicht Ursache des Systemfehlers war und weiterhin funktionstüchtig ist, übernimmt z.B. der sekundäre EVC nach einem Moduswechsel in Verbindung mit dieser Führerstandsanzeige die Funktion der Fahrzeugsicherung.

[0047] Dem sekundären ("schlafenden") EVC wird die Isolation des primären EVC signalisiert (ETCS-Systeme und somit ihre EVCs sind elektrisch verbunden). Je nach Aufbau des Schienenfahrzeugs wird diese Signalisierung über ein Bussystem (MVB, Profinet, CAN), eine Leitung oder eine Funkverbindung realisiert.

[0048] Der sekundäre EVC verlässt den Modus "schlafend" und übernimmt Sicherungsfunktionen des Schienenfahrzeugs. Der Umfang dieser Sicherungsfunktionen kann variieren und reicht z.B. von einer einfachen Maximalgeschwindigkeitsüberwachung bis zu einer vollen Zugüberwachung ("full supervision").

[0049] Fig.1 zeigt eine schematische Darstellung eines Schienenfahrzeugs 101 mit einer Vielzahl von Wagen, von denen ein Teil der Wagen eine ETCS-Einrichtung 103 bis 106 aufweisen. Jede der ETCS-Einrichtungen 103 bis 106 weist u.a. einen Rechner 108 bis 111 (auch bezeichnet als EVC) auf. Das Schienenfahrzeug 101 bewegt sich in Fahrtrichtung 102, vor Eintritt des Fehlerfalls ist die ETCS-Einrichtung 106 aktiv, die anderen ETCS-Einrichtungen 103 bis 105 sind inaktiv, z.B. in dem Zustand "schlafend". Kommt es zu dem Fehlerfall in der ETCS-Einrichtung 106, so wird diese zumindest teilweise inaktiv geschaltet und es übernimmt beispielsweise der Rechner 110 der ETCS-Einrichtung 105. Die Rechner 108 bis 111 bzw. die ETCS-Einrichtungen 103 bis 106 sind in Fig.1 beispielhaft über einen Bus 107 verbunden.

[0050] Vorteilhaft können die folgenden Szenarien unterschieden werden:

(a) Szenario 1:

Strecke und Schienenfahrzeug sind für ETCS Level 2 ausgerüstet, der sekundäre EVC und die Führerstandsanzeige sind über einen Bus miteinander verbunden.

Der sekundäre EVC stellt gleiche Modi in ETCS Level 2 zur Verfügung wie der primäre (vormals aktive) EVC und baut eine Verbindung zum RBC über GSM-R auf.

Besteht Zugriff auf die Daten der Balisenantenne an der Spitze des Schienenfahrzeugs (über einen separaten und/oder abgesetzten Balisenkanal), so können die Sicherungsfunktionen im vollen Umfang bereitgestellt bzw. aufrechterhalten werden.

Besteht hingegen kein Zugriff auf diese Daten, werden die Daten z.B. der lokalen Balisenantenne desjenigen Wagens, in dem der sekundäre EVC verortet ist, verwendet. Die Sicherungsfunktion ist damit eingeschränkt, weil die Daten zu spät (nicht an der Spitze des Fahrzeugs) abgegriffen werden. Mit anderen Worten hat die Spitze des Schienenfahrzeugs die Balise längst überfahren bevor die lokale Balisenantenne die Daten von der Balise erhält. Hierbei werden z.B. Grenzbalisen zu spät erkannt, was zu einer verzögerten Reaktion führt.

(b) Szenario 2:

Die Strecke ist für ETCS Level 1 ausgerüstet, der sekundäre EVC und die Führerstandsanzeige sind über einen Bus miteinander verbunden.

Besteht Zugriff auf die Daten der Balisenantenne an der Fahrzeugspitze, werden die gleichen Modi wie im primären EVC bereitgestellt.

Besteht hingegen kein Zugriff auf die Daten der Balisenantenne an der Spitze des Schienenfahrzeugs, wird eine deutlich eingeschränkte Überwachung von dem sekundären EVC bereitgestellt. So wird vorzugsweise lediglich eine vorgegebene maximale Geschwindigkeit und eine temporäre Geschwindigkeitseinschränkung überwacht.

Da Daten von der Strecke nicht an der Spitze des Schienenfahrzeugs abgegriffen werden, erfolgt eine Reaktion ggf. zu spät; die Zugsicherungsfunktion ist entsprechend eingeschränkt.

(c) Szenario 3:

Der sekundäre EVC kann unabhängig von dem ETCS Level als Quelle für das Geschwindigkeitssignal genutzt werden. Insofern kann die Geschwindigkeitsinformation von dem sekundären EVC auf der Führerstandsanzeige desjenigen Wagens, der das primäre ETCS-System aufweist, angezeigt werden.

[0051] Falls eine Anzeigekomponente in der Führerstandsanzeige des Wagens mit dem primären ETCS-System ausfällt kann die verbleibende Anzeige genutzt werden, die notwendigen Informationen für einen sicheren Zugbetrieb anzuzeigen. Vorzugsweise kann hierfür eine verdichtete Darstellung der Information gewählt werden oder es kann zwischen unterschiedlichen Ansichten umgeschaltet werden.

[0052] Falls ein GSM-R Modul der primären ETCS-Einrichtung ausfällt, kann das GSM-R Modul der sekundären ETCS-Einrichtung, ggf. mittels des sekundären EVC, genutzt werden.

[0053] Fig.2 veranschaulicht ein beispielhaftes Umschalten zwischen ETCS-Einrichtungen, insbesondere EVCs der ETCS-Einrichtungen, anhand eines Flussdiagramms.

[0054] In einem Schritt 201 wird ein Fehler in der primären ETCS-Einrichtung festgestellt, das Schienenfahrzeug wird in einem Schritt 202 bis zum Stillstand abgebremst. In einem Schritt 203 wird die primäre ETCS-Einrichtung zumindest teilweise inaktiv geschaltet (z.B. abgeschaltet, isoliert) und in einem Schritt 204 wird der zuvor schlafende EVC der sekundären ETCS-Einrichtung aktiviert. In einem Schritt 205 wird das Schienenfahrzeug mittels des sekundären EVC betrieben. Ein solcher Betrieb kann z.B. je nach ETCS Level in unterschiedlichem Umfang der Zugsicherungsfunktionalität erfolgen.

[0055] Durch die autonome Auslegung der primären und sekundären ETCS-Einrichtungen kann somit die Ausfallsicherheit reduziert werden.

[0056] Somit ermöglicht es die vorgestellte Lösung, dass eine in Schienenfahrzeuge eingebundene ETCS-Einrichtung, die bisher nur rein passiv im Modus "schlafend" ("sleeping") mitgeführt wird, jetzt Sicherungsfunktionen bei Ausfall der primären ETCS-Einrichtung (oder eines Teils davon) bereitstellt und somit als redundantes System mit voller oder reduzierter Sicherungsfunktion fungiert.

[0057] Ein Vorteil liegt darin, dass die Verfügbarkeit der technischen Zugsicherung durch ETCS in Zügen mit mehreren ETCS-Einrichtungen deutlich erhöht wird und dadurch der Rückfall auf eine Sicherung auf Basis betrieblicher Regelungen mit Personalverantwortung reduziert wird, was die Sicherheit des Gesamtsystems erhöht.

[0058] Obwohl die Erfindung im Detail durch das mindestens eine gezeigte Ausführungsbeispiel näher illustriert und beschrieben wurde, so ist die Erfindung nicht darauf eingeschränkt und andere Variationen können vom Fachmann hieraus abgeleitet werden, ohne den Schutzumfang der Erfindung zu verlassen.

Bezugszeichenliste

[0059] 

101

Schienenfahrzeug

102

Fahrtrichtung

103-106

ETCS-(Fahrzeug-)Einrichtung

107

elektrische Verbindung der ETCS-Einrichtungen bzw. EVCs, z.B. in Form eines Bussystems

108-111

EVC (Rechner der ETCS-Einrichtung)

201-205

Schritte eines Verfahrens zur Nutzung einer sekundären ETCS-Einrichtung bzw. eines Rechners der sekundären ETCS-Einrichtung

Ansprüche

1. Verfahren zum Betrieb eines Schienenfahrzeugs (101),

- das eine primäre ETCS-Einrichtung (106) mit einem primären Rechner (111) und eine Führerstandsanzeige sowie eine sekundäre ETCS-Einrichtung (105) mit einem sekundären Rechner (110) aufweist,

- bei dem in einem Fehlerfall der primären ETCS-Einrichtung (106) von dem primären Rechner (111) auf den sekundären Rechner (110) umgeschaltet wird (201, 204),

- bei dem der sekundäre Rechner (110) zum Betrieb des Schienenfahrzeugs (101) eingesetzt wird (205),

- bei dem der sekundäre Rechner (110) aktiviert und zum Betrieb des Schienenfahrzeugs (101) in Verbindung mit der Führerstandsanzeige der primären ETCS-Einrichtung eingesetzt wird (204, 205).

2. Verfahren nach Anspruch 1, bei dem der Fehlerfall mindestens eine der folgenden Möglichkeiten umfasst:

- einen Ausfall einer Komponente der primären ETCS-Einrichtung;

- eine Fehlermeldung betreffend die primäre ETCS-Einrichtung.

3. Verfahren nach einem der vorhergehenden Ansprüche,

- bei dem in dem Fehlerfall die primäre ETCS-Einrichtung isoliert geschaltet wird (203),

- bei dem der sekundäre Rechner von einem Zustand "schlafend" in einen aktiven Zustand versetzt wird (204).

4. Verfahren nach einem der vorhergehenden Ansprüche,

- bei dem in dem Fehlerfall das Schienenfahrzeug abgebremst wird (202),

- bei dem im Stillstand des Schienenfahrzeugs die primäre ETCS-Einrichtung zumindest teilweise, insbesondere bis auf ein Aufzeichnungsgerät und eine Führerstandsanzeige, mittels ETCS-Isolierschalter isoliert geschaltet und eine ETCS Level 2 Verbindung zu einer ETCS-Streckenzentrale unterbrochen wird (203).

5. Verfahren nach einem der Ansprüche 3 oder 4, bei dem die primäre ETCS-Einrichtung isoliert geschaltet wird und diese Isolation dem sekundären Rechner signalisiert wird, insbesondere über ein Bussystem, eine Leitung oder eine Funkverbindung (107).

6. Verfahren nach einem der Ansprüche 3 bis 5, bei dem für den Fall, dass die Strecke und das Schienenfahrzeug für ETCS Level 2 ausgerüstet sind, der sekundäre Rechner die gleichen Modi in ETCS Level 2 zur Verfügung stellt wie der Rechner der isolierten primären ETCS-Einrichtung und mit der ETCS-Streckenzentrale kommuniziert anhand der Funkübertragungseinrichtung, insbesondere der GSM-R-Funkübertragungseinrichtung.

7. Verfahren nach einem der vorhergehenden Ansprüche, bei dem der sekundäre Rechner zum Betrieb des Schienenfahrzeugs eingesetzt wird, indem er mindestens eine der folgenden Funktionalitäten bereitstellt:

- eine Überwachung der höchsten zulässigen Geschwindigkeit des Schienenfahrzeugs,

- eine Überwachung der höchsten zulässigen Geschwindigkeit der Strecke, insbesondere basierend auf externen Vorgaben.

8. Verfahren nach einem der vorhergehenden Ansprüche, bei dem der sekundäre Rechner für den Betrieb des Schienenfahrzeugs eine erste Balisenantenne an der Spitze des Schienenfahrzeugs bezogen auf dessen Fahrtrichtung nutzt.

9. Verfahren nach Anspruch 8, bei dem der sekundäre Rechner, falls die Balisenantenne an der Spitze des Schienenfahrzeugs nicht nutzbar ist, eine andere Balisenantenne des Schienenfahrzeugs für den Betrieb des Schienenfahrzeugs nutzt.

10. Verfahren nach Anspruch 9, bei dem der sekundäre Rechner, insbesondere in einem Modus ETCS Level 1, eine reduzierte Sicherungsfunktionalität für den Betrieb des Schienenfahrzeugs bereitstellt.

11. Schienenfahrzeug (101)

- mit einer primären ETCS-Einrichtung (106) aufweisend einen primären Rechner (111) und eine Führerstandsanzeige,

- mit einer sekundären ETCS-Einrichtung (105) aufweisend einen sekundären Rechner (110),

- wobei in einem Fehlerfall (201) der primären ETCS-Einrichtung die primäre ETCS-Einrichtung inaktiv schaltbar ist (203),

- wobei in dem Fehlerfall der sekundäre Rechner aktivierbar ist und für den Betrieb des Schienenfahrzeugs in Verbindung mit der Führerstandsanzeige der primären ETCS-Einrichtung (106) einsetzbar ist (204, 205).

12. Vorrichtung (110, 105) zum Betrieb eines Schienenfahrzeugs (101), die eine sekundäre ETCS-Einrichtung (105) mit einem sekundären Rechner (110) aufweist und die derart eingerichtet ist, dass

- in einem Fehlerfall einer primären ETCS-Einrichtung, die einen primären Rechner (111) und eine Führerstandsanzeige aufweist, die Vorrichtung eine Nachricht zur Aktivierung erhält und nach dem Abschalten der primären ETCS-Einrichtung aktivierbar ist und zum Betrieb des Schienenfahrzeugs in Verbindung mit einer Führerstandsanzeige der primären ETCS-Einrichtung einsetzbar ist (201, 203, 204, 205).

Claims

1. Method for operating a rail vehicle (101),

- which has a primary ETCS device (106) with a primary computer (111) and a driver's cab display as well as a secondary ETCS device (105) with a secondary computer (110),

- in which, if a fault occurs in the primary ETCS device (106), switching takes place from the primary computer (111) to the secondary computer (110) (201, 204),

- in which the secondary computer (110) is used to operate the rail vehicle (101) (205)

- in which the secondary computer (110) is activated and used to operate the rail vehicle (101) in conjunction with the driver's cab display of the primary ETCS device (204, 205).

2. Method according to claim 1, in which the fault comprises at least one of the following options:

- a failure of a component of the primary ETCS device;

- a fault message regarding the primary ETCS device.

3. Method according to one of the preceding claims,

- in which if a fault occurs the primary ETCS device is switched in isolation (203),

- in which the secondary computer is shifted from a "sleeping" state to an active state (204).

4. Method according to one of the preceding claims,

- in which if a fault occurs the rail vehicle is slowed down (202),

- in which when the rail vehicle is stationary the primary ETCS device is at least partially, in particular except for a recording unit and a driver's cab display, switched in isolation by means of ETCS isolation switches and an ETCS Level 2 connection to an ETCS radio block centre is interrupted (203).

5. Method according to one of claims 3 or 4, in which the primary ETCS device is switched in isolation and this isolation is signalled to the secondary computer, in particular via a bus system, a circuit or a radio connection (107).

6. Method according to one of claims 3 to 5, in which in the event that the route and the rail vehicle are equipped for ETCS Level 2, the secondary computer provides the same modes in ETCS Level 2 as the computer of the isolated primary ETCS device and communicates with the ETCS radio block centre on the basis of the radio transmission device, in particular the GSM-R radio transmission device.

7. The method according to one of the preceding claims, in which the secondary computer is used to operate the rail vehicle by providing at least one of the following functionalities:

- monitoring of the highest admissible speed of the rail vehicle,

- monitoring of the highest admissible speed of the route, in particular based on external specifications.

8. Method according to one of the preceding claims, in which the secondary computer uses a first balise antenna at the head of the rail vehicle in relation to its direction of travel for operation of the rail vehicle.

9. Method according to claim 8, in which if the balise antenna at the head of the rail vehicle cannot be used, the secondary computer uses another balise antenna of the rail vehicle for operation of the rail vehicle.

10. Method according to claim 9, in which the secondary computer, in particular in an ETCS Level 1 mode, provides reduced backup functionality for operation of the rail vehicle.

11. Rail vehicle (101)

- with a primary ETCS device (106) having a primary computer (111) and a driver's cab display,

- with a secondary ETCS device (105) having a secondary computer (110),

- wherein if a fault occurs (201) in the primary ETCS device, the primary ETCS device can be switched to an inactive state (203),

- wherein if a fault occurs the secondary computer can be activated and used for operation of the rail vehicle in conjunction with the driver's cab display of the primary ETCS device (106) (204, 205).

12. Apparatus (110, 105) for the operation of a rail vehicle (101) which has a secondary ETCS device (105) with a secondary computer (110) and which is configured in such a way that

- if a fault occurs in a primary ETCS device, which has a primary computer (111) and a driver's cab display, the apparatus receives an activation message and can be activated and used for operation of the rail vehicle in conjunction with the driver's cab display of the primary ETCS device after the primary ETCS device has been switched off (201, 203, 204, 205).

Revendications

1. Procédé pour faire fonctionner un véhicule ( 101 ) ferroviaire,

- qui a un dispositif ETCS ( 106 ) primaire ayant un ordinateur ( 111 ) primaire et un affichage de poste de conduite ainsi qu'un dispositif ETCS ( 105 ) secondaire ayant un ordinateur ( 110 ) secondaire,

- dans lequel, dans le cas d'une défaillance du dispositif ETCS ( 106 ) primaire, on passe ( 201, 204 ) de l'ordinateur ( 111 ) primaire à l'ordinateur ( 110 ) secondaire,

- dans lequel on utilise ( 205 ) l'ordinateur ( 110 ) secondaire pour faire fonctionner le véhicule ( 101 ) ferroviaire,

- dans lequel on active l'ordinateur ( 110 ) secondaire et, pour faire fonctionner le véhicule ( 101 ) ferroviaire, on l'utilise ( 204, 205 ) en liaison avec l'affichage du poste de conduite du dispositif ETCS primaire.

2. Procédé suivant la revendication 1, dans lequel le cas d'une défaillance comprend au moins l'une des possibilités suivantes :

- une défaillance d'un composant du dispositif ETCS primaire ;

- un message erroné concernant le dispositif ETCS primaire.

3. Procédé suivant l'une des revendications précédentes,

- dans lequel, dans le cas d'une défaillance, on branche ( 203 ) de manière isolée le dispositif ETCS primaire,

- dans lequel on fait passer ( 204 ) l'ordinateur secondaire d'un état « dormant » à un état actif.

4. Procédé suivant l'une des revendications précédentes,

- dans lequel, dans le cas d'une défaillance, on freine ( 202 ) le véhicule ferroviaire,

- dans lequel, lorsque le véhicule ferroviaire est à l'arrêt, on branche de manière isolée le dispositif ETCS primaire, au moins en partie, notamment à l'exception d'un appareil d'enregistrement et d'un affichage de poste de conduite, au moyen d'un interrupteur d'isolation ETCS et on interrompt ( 203 ) une liaison ETCS de niveau 2 vers une centrale de voie ETCS.

5. Procédé suivant l'une des revendications 3 ou 4, dans lequel on branche de manière isolée le dispositif ETCS primaire et on signale cette isolation à l'ordinateur secondaire, notamment par un système de bus, une ligne ou liaison ( 107 ) radio.

6. Procédé suivant l'une des revendications 3 ou 5, dans lequel, dans le cas où la voie et le véhicule ferroviaire sont équipés d'un ETCS de niveau 2, l'ordinateur secondaire met à disposition les mêmes modes de l'ETCS de niveau 2 que l'ordinateur du dispositif ETCS primaire isolé et communique avec la centrale de voie ETCS à l'aide du dispositif de transmission radio, notamment du dispositif de transmission radio GSM-R.

7. Procédé suivant l'une des revendications précédentes, dans lequel, on utilise l'ordinateur secondaire pour faire fonctionner le véhicule ferroviaire, en mettant à disposition au moins l'une des fonctionnalités suivantes :

- un contrôle de la vitesse admissible la plus grande du véhicule ferroviaire,

- un contrôle de la vitesse admissible la plus grande sur la voie, reposant notamment sur des prescriptions extérieures.

8. Procédé suivant l'une des revendications précédentes, dans lequel, l'ordinateur secondaire utilise, pour le fonctionnement du véhicule ferroviaire, une première antenne de balise à la pointe du véhicule ferroviaire rapportée à son sens de marche.

9. Procédé suivant la revendication 8, dans lequel l'ordinateur secondaire utilise, si l'antenne de balise à la pointe du véhicule ferroviaire n'est pas utilisable, une autre antenne de balise du véhicule ferroviaire pour faire fonctionner le véhicule ferroviaire.

10. Procédé suivant la revendication 9, dans lequel, l'ordinateur secondaire, notamment dans un mode d'ETCS de niveau 1, met à disposition une fonctionnalité de sécurisation réduite pour le fonctionnement du véhicule ferroviaire.

11. Véhicule ( 101 ) ferroviaire

- comprenant un dispositif ETCS ( 106 ) primaire ayant un ordinateur ( 111 ) primaire et un affichage de poste de conduite,

- comprenant un dispositif ETCS ( 105 ) secondaire ayant un ordinateur ( 110 ) secondaire,

- dans lequel, dans le cas ( 201 ) d'une défaillance du dispositif ETCS primaire, le dispositif ETCS primaire peut être rendu ( 203 ) inactif,

- dans lequel, dans le cas d'une défaillance, l'ordinateur secondaire peut être activé et peut être utilisé ( 204, 205 ) pour faire fonctionner le véhicule ferroviaire en liaison avec l'affichage du poste de conduite du dispositif ETCS ( 106 ) primaire.

12. Système ( 110, 105 ) pour faire fonctionner un véhicule ( 101 ) ferroviaire, qui a un dispositif ETCS ( 105 ) secondaire ayant un ordinateur ( 110 ) secondaire et qui est conçu de manière à ce que

- dans un cas de défaillance d'un dispositif ETCS primaire, qui a un ordinateur ( 111 ) primaire et un affichage de poste de conduite, le système reçoit un message d'activation et, après la mise hors circuit du dispositif ETCS primaire, peut être activé et peut être utilisé ( 201, 203, 204, 205 ) pour faire fonctionner le véhicule ferroviaire en liaison avec un affichage de poste de conduite du dispositif ETCS primaire.

Zeichnung