Verfahren zur Gewährleistung des Stillstands eines Schienenfahrzeugs

Die Erfindung betri f ft ein Verfahren zur Gewährleistung des Stillstands eines Schienenfahrzeugs , insbesondere einer si- cherheitsgerichteten Gewährleistung des Stillstands des Schienenfahrzeugs .

Im Betrieb von Schienenfahrzeugen ist sicherzustellen, dass es sich ausschließlich aufgrund eines entsprechenden Fahrbefehls bewegt .

Dieser Fahrbefehl wird durch den Triebfahrzeugführer des Schienenfahrzeugs initiiert , wobei der Fahrbefehl als Funktionalität als hoch sicherheitskritisch eingestuft ist . Grund dafür ist , dass bei einer ungerechtfertigten Bewegung des Schienenfahrzeugs mit einer Personengefährdung gerechnet werden muss .

Der erteilte Fahrbefehl wird im Schienenfahrzeug durch Software der dortigen elektronischen Leittechnik umgesetzt . Entsprechend muss vermieden werden, dass Softwarefehler über die Leittechnik zu einer unberechtigten Bewegung des Schienenfahrzeugs führen . Daher ist auch die den Fahrbefehl umsetzende Leittechnik als hoch sicherheitskritisch eingestuft .

Sowohl Entwicklung als auch Aus führung der Leittechnik samt dazugehöriger Software muss entsprechend „sicherheitsgerichtet" ausgeführt werden . Darunter wird eine Realisierung verstanden,

- bei der sowohl Hardware als auch Firmware nach einer Normenreihe geprüft werden,

- bei der ein Entwicklungs zyklus bzw . ein Lebens zyklus mit Veri fikationen und Validierungen versehen sind, - bei der über eine modulare und strukturierte Programmierung ein möglichst einfaches und damit bezüglich Störungen robustes Programm entwickelt und verwendet wird,

- bei der ein funktionaler Test bei Inbetriebnahme und beim Betrieb vorgesehen ist , und/oder

- bei der nach Änderungen geeignete Prüfungsaktivitäten vorgesehen sind,

- etc .

Darüber hinaus wird als zusätzliche Sicherheit davon ausgegangen, dass der Triebfahrzeugführer im Falle einer Störung das Schienenfahrzeug durch Betätigung eines Not-Aus-Schalters oder eines Not-Stopp-Schalters in einen sicheren Stillstand bringt .

Diese Sicherheitsmaßnahme entfällt , sobald der Triebfahrzeugführer das Schienenfahrzeug verlässt . In diesem Fall muss der Triebfahrzeugführer manuell sicherstellen, dass das Schienenfahrzeug „abgerüstet" ist , d . h . dass zumindest eine Hochspannungsausrüstung ausgeschaltet ist .

Für einen geplanten „autonomen Betrieb" des Schienenfahrzeugs , der ohne einen Triebfahrzeugführer durchgeführt wird, ist kein geeignetes Verfahren zur sicherheitsgerichteten Gewährleistung des Stillstands des Schienenfahrzeugs bekannt .

Es ist daher die Aufgabe der vorliegenden Erfindung, ein Verfahren zur sicherheitsgerichteten Gewährleistung des Stillstands eines Schienenfahrzeugs , das sich in einem autonomen Betrieb befindet , anzugeben .

Diese Aufgabe wird durch die Merkmale des Patentanspruchs 1 gelöst . Vorteilhafte Weiterbildungen sind in den abhängigen Patentansprüchen angegeben .

Beim erfindungsgemäßen Verfahren zur Gewährleistung des Stillstands eines Schienenfahrzeugs verwendet das Schienenfahrzeug eine Fahrzeugsteuerung mit einer elektronischen Leittechnik, um Fahrbefehle und Stillstandbefehle im Schienenfahrzeug umzusetzen .

Zusätzlich wird eine von der Leittechnik unabhängige Überwa- chungsinstanz verwendet , die eine Bewegung des Schienenfahrzeugs erkennt , die erkannte Bewegung mit einem geltenden Fahrbefehl der Fahrzeugsteuerung vergleicht und im Fall einer Abweichung unabhängig von der Leittechnik (und damit unabhängig vom geltenden Fahrbefehl ) eine Bremsung einleitet , um das Schienenfahrzeug zum Stillstand zu bringen .

Alternativ dazu wird im Fall einer Abweichung zusätzlich ein Antrieb des Schienenfahrzeugs deaktiviert , wobei diese Deaktivierung ebenfalls unabhängig von der Leittechnik erfolgt .

In einer vorteilhaften Weiterbildung ist die Fahrzeugsteuerung, die Leittechnik und die Überwachungsinstanz im Schienenfahrzeug realisiert bzw . werden diese im Schienenfahrzeug integriert betrieben .

In einer vorteilhaften Weiterbildung wird das Schienenfahrzeug autonom und ohne Einwirkung eines Triebfahrzeugführers betrieben .

In einer vorteilhaften Weiterbildung werden die Fahrbefehle und Stillstandbefehle im Schienenfahrzeug von einer landseitigen Betriebsleit zentrale bzw . Betriebskontrollstelle gegeben .

In einer vorteilhaften Weiterbildung übermittelt die landseitige Betriebsleit zentrale den Fahrbefehl an das Schienenfahrzeug über eine sichere Funkverbindung und/oder mit Hil fe einer sicheren Datenübertragung .

In einer vorteilhaften Weiterbildung werden die Fahrbefehle und Stillstandbefehle im Schienenfahrzeug als geltende Fahrbefehle von einem Triebfahrzeugführer gegeben . In einer vorteilhaften Weiterbildung deaktiviert die Uberwa- chungsinstanz bei einem Fehlen des Fahrbefehls bei gleichzeitig erkannter Bewegung des Schienenfahrzeugs den Antrieb des Schienenfahrzeugs unabhängig von der Leittechnik und leitet ebenfalls unabhängig von der Leittechnik die Bremsung des Schienenfahrzeugs ein .

In einer vorteilhaften Weiterbildung erfolgt zur Durchführung des Stillstands unter Umgehung der elektronischen Leittechnik ein direkter Eingri f f in Antriebseinrichtungen und in Bremseinrichtungen des Schienenfahrzeugs .

In einer vorteilhaften Weiterbildung erfolgt zur Durchführung des Stillstands unter Umgehung der elektronischen Leittechnik ein direkter Eingri f f in eine Hauptenergieversorgung des Schienenfahrzeugs , um diese abzuschalten .

In einer vorteilhaften Weiterbildung wird eine Information zur erkannten Bewegung zusammen mit einer Positionsangabe des Schienenfahrzeugs an die landseitige Betriebsleit zentrale übertragen .

In einer vorteilhaften Weiterbildung wird die Positionsangabe satellitenbasiert am Schienenfahrzeug ermittelt .

In einer vorteilhaften Weiterbildung leitet die landseitige Betriebsleit zentrale beim Schienenfahrzeug die Antriebsabschaltung und die Bremsung ein, sobald eine ungerechtfertigte Bewegung des Schienenfahrzeugs erkannt wird .

In einer vorteilhaften Weiterbildung werden zur Bewegungserkennung Sensoren verwendet , die an zumindest einer Achse des Schienenfahrzeugs angeordnet sind, wobei die Sensoren elektrisch unabhängig von der Fahrzeugleittechnik betrieben werden .

In einer bevorzugten Weiterbildung wird das Schienenfahrzeug autonom betrieben, wobei vollautomatisch ein vorgegebener bzw . gespeicherter Fahrplan abgearbeitet wird, auf dem basierend entsprechende geltende Fahrbefehle gebildet werden .

Das erfindungsgemäße Verfahren ermöglicht einen normalen Betrieb eines Schienenfahrzeugs und einen autonomen Betrieb des Schienenfahrzeugs , der ohne Beteiligung eines Triebfahrzeugführers erfolgt .

Das erfindungsgemäße Verfahren erlaubt den Verzicht einer Überwachung des Stillstands eines abgerüsteten Schienenfahrzeugs .

Das erfindungsgemäße Verfahren ist ohne Beteiligung von streckenseitiger Ausrüstung durchführbar .

Das erfindungsgemäße Verfahren ist mit geringem Aufwand in ein Schienenfahrzeug integrierbar . Bereits im Betrieb befindliche Schienenfahrzeuge sind einfach umrüstbar .

Das erfindungsgemäße Verfahren ist einfach integrierbar, ohne bestehende Leittechnik des Schienenfahrzeugs grundlegend verändern zu müssen .

Das erfindungsgemäße Verfahren verwendet vorteilhaft eine sichere Datenverbindung, wie sie beispielsweise in der Beschreibung der Patentanmeldung mit dem Anmeldeaktenzeichen DE 10 2022 206 426 . 7 , angemeldet am 27 . 06 . 2022 , beschrieben ist .

Die darin geschilderten Lösungen werden durch Bezugnahme in die vorliegende Beschreibung aufgenommen .

Nachfolgend wird die Erfindung mit Hil fe einer Zeichnung näher erläutert . Dabei zeigt :

FIG 1 eine prinzipielle Übersicht des erfindungsgemäßen Verfahrens , FIG 2 mit Bezug auf FIG 1 eine detailliertere, beispielhafte Beschreibung zur Bewegungserkennung mittels der in FIG 1 gezeigten Einheit 3.1, und

FIG 3 mit Bezug auf FIG 1 und FIG 2 in einer Übersicht Details zur unabhängigen Abschaltung des Antriebs und zur Auslösung des Bremsvorgangs.

FIG 1 zeigt eine prinzipielle Übersicht des erfindungsgemäßen Verfahrens in einem Blockschaltbild.

Nachfolgend wird der Begriff „Einheit" verwendet. Dieser Begriff ist im Sinne einer Funktionalität zu verstehen, die über Baugruppen, Komponenten, etc., sichergestellt wird.

Das erfindungsgemäße Verfahren verwendet eine Befehlseinheit 1.1, mit der ein Fahrbefehl FB zum Losfahren des Schienenfahrzeugs generierbar ist.

Dabei wird ein Fehlen des Fahrbefehls FB als Fahrverbot des Schienenfahrzeugs interpretiert, das dann entsprechend stillstehen muss.

Als Befehlseinheit 1.1 wird beispielsweise eine landseitige Betriebsleit zentrale verwendet, die an das Schienenfahrzeug über eine sichere Funkverbindung bzw. mit Hilfe einer sicheren Datenübertragung den Fahrbefehl FB übermittelt.

Alternativ dazu wird eine Befehlseinheit 1.1 verwendet, die lokal auf dem Schienenfahrzeug verbaut ist und dort betrieben wird .

In einer bevorzugten Weiterbildung wird beim autonomen Betrieb des Schienenfahrzeugs unter Beteiligung der Befehlseinheit 1.1 vollautomatisch ein vorgegebener bzw. gespeicherter Fahrplan abgearbeitet, auf dem basierend ein jeweils geltender Fahrbefehl gebildet wird. Der Fahrbefehl FB gelangt von der Befehlseinheit 1.1 an eine (reguläre, vorbekannte) Leittechnik bzw. Fahrzeugleittechnik 2.1, die den Fahrbefehl FB entsprechend ihrer Spezifikation verarbeitet und über eine Einheit 2.2 Antriebs- und Bremseinrichtungen des Schienenfahrzeugs steuert.

Parallel dazu ist eine vom Fahrbefehl FB unabhängige Uberwa- chungsinstanz UÜW vorgesehen.

Diese ist autark ausgeführt und in der Lage, jede Bewegung, auch eine erst beginnende Bewegung, des Schienenfahrzeugs zu erkennen, die erkannte Bewegung mit dem geltenden Fahrbefehl FB zur vergleichen und im Fall einer Abweichung unabhängig von der Leittechnik (und damit unabhängig vom geltenden Fahrbefehl FB) über die Einheit 2.2 den Antrieb des Schienenfahrzeugs zu deaktivieren bzw. eine Bremsung des Schienenfahrzeugs einzuleiten.

Die unabhängige Überwachungsinstanz UÜW verwendet eine Einheit 3.1 zur Bewegungserkennung, wobei die Bewegungserkennung nachfolgend detaillierter beschrieben ist.

Die unabhängige Überwachungsinstanz UÜW verwendet eine der Einheit 3.1 nachfolgende Einheit 3.2, mit der die erkannte Bewegung mit dem geltenden Fahrbefehl FB verglichen wird.

Eine Abweichung wird durch die Einheit 3.2 als Fehler erkannt, die entsprechend über die Einheit 2.2 eine von der Leittechnik unabhängige Abschaltung des Antriebs und eine von der Leittechnik unabhängige Bremsung des Schienenfahrzeugs veranlasst .

Dies erfolgt bevorzugt dadurch, dass die Einheit 3.2 über einen direkten elektrischen Eingriff den Antrieb sperrt.

Alternativ oder ergänzend dazu wird durch direkte elektrische Eingriffe eine Hauptenergieversorgung des Schienenfahrzeugs ausgeschaltet . Beispielsweise

- wird eine Verbindung von einem Fahrdraht zum Schienenfahrzeug unterbrochen, oder

- es wird im Schienenfahrzeug eine Verbindung zwischen einem dort angeordneten Dieselgenerator und einer internen Hauptenergieversorgung unterbrochen, oder

- es wird im Schienenfahrzeug eine Verbindung zwischen einem dort angeordneten Hauptakkumulator (Bordbatterie ) und einer internen Hauptenergieversorgung unterbrochen,

- etc .

Alternativ oder ergänzend dazu erfolgt die Aktivierung einer Bremsung durch einen direkten Eingri f f in eine pneumatische Hauptbremsleitung des Schienenfahrzeugs bzw . gegebenenfalls auf weitere Bremseinrichtungen .

Parallel dazu übermittelt die Einheit 3 . 1 zur Bewegungserkennung fortlaufend eine Information über die Bewegung bzw . über die beginnende Bewegung, bevorzugt zusammen mit einer Ortsinformation, an eine landseitige Betriebsleit zentrale 4 . 1 .

Die Betriebsleit zentrale 4 . 1 verfügt optional ebenfalls über eine Möglichkeit , beim Schienenfahrzeug eine Bremsung einzuleiten, sobald eine ungerechtfertigte Bewegung des Schienenfahrzeugs erkannt wird .

Die Betriebsleit zentrale 4 . 1 hat dadurch die Möglichkeit , diese Informationen mit eigenen Fahrplan- Informationen zu vergleichen . Kommt sie zu dem Schluss , dass die Fahrzeugbewegung unberechtigt ist , hat sie die Möglichkeit , durch Übermittlung eines Befehls über die gleiche Datenverbindung die Einheit 3 . 2 zum Abschalten zu veranlassen, um das Fahrzeug zum Stillstand zu zwingen .

Diese Einflussnahme ist optional und als zusätzliche Sicherheit zu verstehen . Sie ist insbesondere dann sinnvoll , wenn kurz fristig auf der Landseite Informationen zu Fahrplänen bzw. notwendigen Fahrzeugbewegungen vorliegen, die noch nicht auf dem Fahrzeug vorhanden sind.

FIG 2 zeigt mit Bezug auf FIG 1 eine detailliertere, beispielhafte Beschreibung zur Bewegungserkennung mittels der Einheit 3.1.

Die Einheit 3.1. zur Bewegungserkennung verwendet dazu bevorzugt mehrere unabhängige Sensoren, beispielsweise einen oder mehrere Drehzahlgeber DZG, die an einer oder an mehreren Achsen des Schienenfahrzeugs angeordnet sind.

Zugehörige Messwerte gelangen an eine Einheit 3.1.1., die die Messwerte erfasst und die die Messwerte dann an die Einheit 3.1. zur Bewegungserkennung übermittelt.

Alternativ oder ergänzend dazu werden Sensoren EF1 und EF2 verwendet, mit deren Hilfe eine sich aufbauende Anzugkraft an einer oder an mehreren der Drehgestell-Achsen DG1, DG2 des Schienenfahrzeugs erfasst werden. Die zugehörigen Messwerte werden an eine Einheit 3.1.2 übermittelt, die die Messwerte sammelt und an die Einheit 3.1. überträgt.

Mit Hilfe einer satellitenbasierten Einheit GPS werden Positionsveränderungen des Schienenfahrzeugs überwacht und detek- tiert. Eine Änderung der Position, die sich außerhalb einer vordefinierten Positions-Toleranz bewegt, weist auf eine beginnende Bewegung des Schienenfahrzeugs hin. Auch diese Information wird an die Einheit 3.1 übertragen.

Die beschriebenen Sensoren werden dabei elektrisch unabhängig von der Fahrzeugleittechnik 2.1 betrieben.

Die Einheit 3.1 zur Bewegungserkennung ermittelt anhand der übertragenen Messwerte bzw. anhand der zugehörigen Informationen eine Bewegung bzw. eine beginnende Bewegung des Schienenfahrzeugs . Wird aufgrund einer Abweichung zum Fahrbefehl FB eine unberechtigte Bewegung erkannt, übermittelt die Einheit 3.1 wie vorstehend beschrieben einen von der Leittechnik unabhängigen Befehl zur Abschaltung des Antriebs und einen Befehl zur Aktivierung der Bremse an die Einheit 3.2, die nachfolgend genauer beschrieben wird.

Parallel dazu übermittelt die Einheit 3.2 fortlaufend eine Information über die Bewegung zusammen mit einer Ortsinformation an die landseitige Betriebsleit zentrale 4.1 mit Hilfe einer geeigneten Funkverbindung.

FIG 3 zeigt mit Bezug auf FIG 1 und FIG 2 in einer Übersicht Details zur unabhängigen Abschaltung des Antriebs und zur Auslösung des Bremsvorgangs.

Die Einheit 2.2 ist, wie oben beschrieben, mit der Überwa- chungsinstanz UÜW gekoppelt.

Die Einheit 3.2 greift elektrisch und funktional unabhängig vom Steuersystem bzw. von der Leittechnik des Schienenfahrzeugs auf die Einheit 2.2 zu.

Genauer gesagt wirkt sie direkt auf eine dem Antrieb dienende Einheit 2.2.2 und ist in der Lage, über diese in jedem Betriebsfall den Antrieb elektrisch zu sperren, so dass keine Antriebskraft mehr auf gebaut werden kann.

Weiter wirkt die Einheit 3.2 direkt auf eine dem Bremsen dienende Einheit 2.2.3 und ist in der Lage, über diese eine pneumatische Bremsung auslösen, wobei diese unabhängig von einem zugehörigen Bremssteuersystem 2.2.1 ist.

Optional ist ein Zugriff auf weitere, nicht-pneumatische Bremssysteme vorgesehen, beispielsweise wird im Bedarfsfall eine Federspeicherbremse ausgelöst. Weiter wirkt die Einheit 3.2 direkt auf eine Hauptenergieversorgung 2.2.4 des Schienenfahrzeugs, die je nach Fahrzeugtyp eine Hochspannungseinrichtung, einen Hauptakkumulator, einen Dieselgenerator, etc., beinhaltet. Dadurch wird eine vom zu- gehörigen Steuersystem elektrisch unabhängige Sperrung bzw.

Trennung ermöglicht.