Anordnung zur Sicherung eines Schienenfahrzeugs gegen Hand lungen von unbefugten Personen

Die Erfindung betrifft eine Anordnung zur Sicherung eines Schienenfahrzeugs gegen Handlungen (z.B. Inbetriebnahme, Be wegen, ...) von unbefugten Personen. Die Erfindung adressiert als Schienenfahrzeuge dabei insbesondere Triebfahrzeuge, Lo komotiven, Bahnfahrzeuge, etc.

Seitens der Betreiber von Schienenfahrzeugen wird zunehmend die Forderung gestellt, diese gegen Handlungen von unbefugten Personen verbessert und ausreichend zu schützen.

Aufgrund unterschiedlicher Infrastrukturen der Schienenfahr zeug-Betreiber und der langen Lebenszeiten der Schienenfahr zeuge, die bis zu 40 Jahren und mehr betragen, sind die der zeit im Umlauf befindlichen Schienenfahrzeuge mit sehr unter schiedlichen und teilweise veralteten Schutzmechanismen aus gerüstet .

Zum Schutz von Schienenfahrzeugen gegen Handlungen von unbe fugten Personen sind beispielsweise mechanische Schließsyste me (z.B. Türschlösser) im Einsatz oder es werden elektroni sche Schlüsselschalter fahrzeugspezifisch zum Schutz von Schienenfahrzeugen verwendet.

Von einigen Betreibern werden standardisierte Fernsteuerkon zepte für Schienenfahrzeug (Triebfahrzeuge) verwendet, die eine Fernsteuerung des Fahrzeugs von außen erlauben. So wird beispielsweise ein Mehrfachtraktions- oder ein Steuerwagen- Betrieb mit Hilfe von Zugsteuerbussen oder Funkfernsteuerun gen realisiert.

Derartige Systeme zur Fernsteuerung verfügen meist über kei nen gesonderten Schutz gegen missbräuchliche Handlungen einer unbefugten Person am Schienenfahrzeug. In älteren Bestandsfahrzeugen sind teilweise keine Schutzme chanismen vorgesehen, um diese Fahrzeuge gegen Handlungen von unbefugten Personen ausreichend zu schützen.

Verwendete Schutzmechanismen sind aufgrund der allgemeinen technischen Weiterentwicklung durch Unbefugte teilweise leicht zu umgehen. Eine Anpassung der vorhandenen Schutzme chanismen bzw. eine schutztechnische Nachrüstung von Schie nenfahrzeugen auf ein gegenwärtiges Sicherheitsniveau ist mit großem Aufwand und mit entsprechend hohen Kosten verbunden.

Es ist daher die Aufgabe der vorliegenden Erfindung, eine verbesserte Anordnung zur Sicherung eines Schienenfahrzeugs gegen Handlungen von unbefugten Personen bereitzustellen, mit der bei Neufahrzeugen und bei Bestandsfahrzeugen ein kosten günstiger, erhöhter Schutz gewährleisten wird.

Diese Aufgabe wird durch die Merkmale des Anspruchs 1 gelöst. Vorteilhafte Weiterbildungen sind in den abhängigen Ansprü chen angegeben.

Die Erfindung betrifft eine Anordnung zur Sicherung eines Schienenfahrzeugs gegen Handlungen von unbefugten Personen. Dabei beinhaltet das Schienenfahrzeug eine elektronische Fahrzeugsteuerung, die mit einer Einrichtung zur Antriebs freigabe verbunden ist. Die Einrichtung zur Antriebsfreigabe kontrolliert Antriebskomponenten für den Betrieb des Schie nenfahrzeugs. Die Fahrzeugsteuerung ist mit einer Einrichtung zur Hochspannungsfreigabe verbunden, die Hochspannungskompo nenten für den Betrieb des Schienenfahrzeugs kontrolliert.

Die Anordnung beinhaltet eine Sperreinrichtung mit steuerba ren Schaltern. Ein erster Schalter ist zwischen der Fahrzeug steuerung und der Einrichtung zur Antriebsfreigabe zwischen geschaltet, so dass die Kontrolle der Antriebskomponenten bei geöffnetem ersten Schalter unterbindbar und bei geschlossenem ersten Schalter durchführbar ist. Ein zweiter Schalter ist zwischen der Fahrzeugsteuerung und der Einrichtung zur Hoch- Spannungsfreigabe zwischengeschaltet, so dass die Kontrolle der Hochspannungskomponenten bei geöffnetem zweiten Schalter unterbindbar und bei geschlossenem zweiten Schalter durch führbar ist. Die Sperreinrichtung ist zur Steuerung der Schalter mit einer Freigabeeinrichtung verbunden, die nach einer durchgeführten Authentifizierung einer berechtigten Person die Schalter schließt, um die jeweiligen Kontrollen und damit den Betrieb des Schienenfahrzeugs zu ermöglichen.

In einer bevorzugten Weiterbildung beinhaltet die Freigabe einrichtung ein Freigabesystem, das nach einer durchgeführten Authentifizierung einer berechtigten Person eine Schließung der Schalter initiiert.

Dabei ist das Freigabesystem bevorzugt mit einer lokalen Freigabeeinrichtung verbunden, die zur Durchführung einer Au thentifizierung einer berechtigten Person ausgebildet ist.

In einer bevorzugten Weiterbildung ist die lokale Freigabe einrichtung als Schlüsselschalter ausgebildet, der nach er folgter Authentifizierung einer berechtigten Person ein Sig nal an das Freigabesystem übermittelt, um ein Schließen der Schalter zu initialisieren.

In einer bevorzugten Weiterbildung ist das Freigabesystem über eine binäre Verbindung mit der lokalen Freigabeeinrich tung verbunden.

In einer bevorzugten Weiterbildung beinhaltet die Freigabe einrichtung einen Freigabecode-Dekodierer, der nach einer durchgeführten Authentifizierung einer berechtigten Person eine Schließung der Schalter initiiert. Der Freigabecode- Dekodierer ist mit einer Code-Übertragungseinrichtung verbun den, die zur Durchführung einer Authentifizierung einer be rechtigten Person und zur nachfolgenden Übertragung einer gültigen Authentifizierung an den Freigabecode-Dekodierer ausgebildet ist. In einer bevorzugten Weiterbildung ist die Code- Übertragungseinrichtung über ein Bussystem mit dem Freigabe code-Dekodierer verbunden.

In einer bevorzugten Weiterbildung beinhaltet die gültige Au- thentifizierung, die an den Freigabecode-Dekodierer übertra gen wird, Angaben über Startzeit und Endzeit der erfolgten Authentifizierung . Der Freigabecode-Dekodierer initiiert eine Schließung der Schalter nur dann, wenn diese Zeitangaben vor bestimmte Zeitwerte erfüllen.

In einer bevorzugten Weiterbildung beinhaltet die Freigabe einrichtung einen Freigabecode-Dekodierer, der nach einer durchgeführten Authentifizierung einer berechtigten Person eine Schließung der Schalter initiiert. Der Freigabecode- Dekodierer ist mit einer Code-Eingabe-Einrichtung (6) verbun den, die zur Durchführung einer Authentifizierung einer be rechtigten Person und zur nachfolgenden Übertragung einer gültigen Authentifizierung an den Freigabecode-Dekodierer ausgebildet ist.

In einer bevorzugten Weiterbildung ist die Code-Eingabe- Einrichtung über ein Bussystem mit dem Freigabecode- Dekodierer verbunden.

In einer bevorzugten Weiterbildung beinhaltet die gültige Au thentifizierung, die an den Freigabecode-Dekodierer übertra gen wird, Angaben zur Zugnummer und/oder eine Angabe einer persönlichen Identifizierungsnummer der berechtigten Person. Diese Angaben werden mit entsprechenden, abgespeicherten An gaben im Schienenfahrzeug verglichen. Der Freigabecode- Dekodierer initiiert eine Schließung der Schalter nur dann, wenn der Vergleich eine Übereinstimmung der Angaben anzeigt.

In einer bevorzugten Weiterbildung weist das Schienenfahrzeug ein erstes Zugbussystem auf, mit dem Schienenfahrzeug- Steuersignale für eine Mehrfachtraktions-Steuerung übertragen werden. Ein dritter Schalter ist im ersten Zugbussystem der- art integriert angeordnet, dass die Übertragung der Steuer signale bei geöffnetem dritten Schalter unterbindbar und bei geschlossenem dritten Schalter durchführbar ist.

In einer bevorzugten Weiterbildung weist das Schienenfahrzeug ein beliebiges zweites Zugbussystem auf, mit dem Schienen fahrzeug-Steuersignale für die Steuerung der Mehrfachtraktion übertragen werden. Ein vierter Schalter ist im zweiten Zug bussystem derart integriert angeordnet, dass die Übertragung der Steuersignale bei geöffnetem vierten Schalter unterbind bar und bei geschlossenem viertem Schalter durchführbar ist.

Beispielsweise ist das erste bzw. zweite Zugbussystem als be kannter „Wire Train Bus, WTB", als „Ethernet-Train-Backbone, ETB", als CAN-Powerline, etc., ausgebildet.

Die erfindungsgemäße Anordnung ist mit geringem Aufwand und kostengünstig in Bestandsfahrzeuge nachrüstbar.

Die erfindungsgemäße Anordnung ist baugleich und ebenfalls mit geringem Aufwand und kostengünstig in Neufahrzeuge integ rierbar .

Die erfindungsgemäße Anordnung bietet einen erhöhten Schutz, indem Hauptsysteme des Schienenfahrzeugs (z.B. Antriebskompo nenten, Hochspannungskomponenten, etc.) gesperrt werden.

Die erfindungsgemäße Anordnung ergänzt im Schienenfahrzeug eventuell bereits existierende Sicherheitsmaßnahmen ohne technische Schnittstellenprobleme .

Die erfindungsgemäße Anordnung wird herstellerseitig bevor zugt als abgeschlossene Standard-Komponente bereitgestellt, so dass die Anordnung als Baugruppe in eine Vielzahl unter schiedlicher Schienenfahrzeugtypen (Lokomotiven, Triebzüge, Straßenbahnen, U-Bahnen, etc.) integrierbar ist. Die erfindungsgemäße Anordnung hat die Funktionalität einer elektronischen „Aufrüst- und Wegfahrsperre" und ist in die elektrischen Steuerkreise für die Hochspannungsausrüstungen, für die Hauptschalter, für den Stromabnehmer sowie für eine Antriebsfreigabe („Traktionsfreigabe") eingefügt. Diese Steu erkreise sind im Sinne von „Freigabeschleifen" in der Regel als Serienschaltungen von mehreren Systemen ausgebildet und existieren auf nahezu allen Fahrzeugen mit elektronischer FahrzeugSteuerung .

Nachfolgend wird die vorliegende Erfindung beispielhaft an hand einer Figur FIG 1 näher beschrieben.

Dabei zeigt FIG 1 in einer schematischen Darstellung eine er findungsgemäße Anordnung zur Sicherung eines Schienenfahr zeugs 1 gegen Handlungen von unbefugten Personen.

Das Schienenfahrzeug 1 beinhaltet eine elektronische Fahr zeugsteuerung 8, die mit einer Einrichtung zur Antriebsfrei gabe 9 verbunden ist. Diese Einrichtung zur Antriebsfreigabe 9 kontrolliert Antriebskomponenten für den Betrieb des Schie nenfahrzeugs .

Die Fahrzeugsteuerung 8 ist mit einer Einrichtung zur Hoch spannungsfreigabe 10 verbunden, die Hochspannungskomponenten für den Betrieb des Schienenfahrzeugs 1 kontrolliert.

Das Schienenfahrzeug 1 beinhaltet eine Sperreinrichtung 4.3 mit steuerbaren Schaltern 4.3.1 bis 4.3.4.

Ein erster Schalter 4.3.1 ist zwischen der Fahrzeugsteuerung 8 und der Einrichtung zur Antriebsfreigabe 9 zwischengeschal tet, so dass die Kontrolle der Antriebskomponenten bei geöff netem ersten Schalter 4.3.1 unterbindbar und bei geschlosse nem ersten Schalter 4.3.1 durchführbar ist.

Ein zweiter Schalter 4.3.2 ist zwischen der Fahrzeugsteuerung 8 und der Einrichtung zur Hochspannungsfreigabe 10 zwischen- geschaltet, so dass die Kontrolle der Hochspannungskomponen ten bei geöffnetem zweiten Schalter 4.3.2 unterbindbar und bei geschlossenem zweiten Schalter 4.3.2 durchführbar ist.

Die Sperreinrichtung 4.3 ist zur Steuerung der Schalter 4.3.1 bis 4.3.4 mit einer Freigabeeinrichtung 4.0 verbunden, die nach einer durchgeführten Authentifizierung einer berechtig ten Person die Schalter 4.3.1 bis 4.3.4 schließt, um die je weiligen Kontrollen und damit den Betrieb des Schienenfahr zeugs 1 zu ermöglichen.

Die Freigabeeinrichtung 4.0 beinhaltet ein Freigabesystem 4.2, das nach einer durchgeführten Authentifizierung einer berechtigten Person eine Schließung der Schalter 4.3.1 bis 4.3.4 initiiert. Das Freigabesystem 4.2 ist mit einer lokalen Freigabeeinrichtung 7 verbunden, die zur Durchführung einer Authentifizierung einer berechtigten Person ausgebildet ist.

Die lokale Freigabeeinrichtung 7 ist als Schlüsselschalter ausgebildet, der nach erfolgter Authentifizierung (also Betä tigung einer berechtigten Person) ein Signal an das Freigabe system 4.2 übermittelt, um ein Schließen der Schalter zu ini tialisieren .

Alternativ kann die lokale Freigabeeinrichtung 7 als Authen tifizierungssystem des Triebfahrzeugführers (z.B. als Karten leser) ausgebildet sein.

Das Freigabesystem ist über eine binäre Verbindung 4.6 mit der lokalen Freigabeeinrichtung 7 verbunden.

Die Freigabeeinrichtung 4.0 beinhaltet einen Freigabecode- Dekodierer 4.1, der nach einer durchgeführten Authentifizie rung einer berechtigten Person eine Schließung der Schalter 4.3.1 bis 4.3.4 initiiert.

Der Freigabecode-Dekodierer 4.1 ist mit einer Code- Übertragungseinrichtung 5 verbunden, die zur Durchführung ei- ner Authentifizierung einer berechtigten Person und zur nach folgenden Übertragung einer gültigen Authentifizierung an den Freigabecode-Dekodierer 4.1 ausgebildet ist.

Die Code-Übertragungseinrichtung 5 ist über ein Bussystem 4.4 mit dem Freigabecode-Dekodierer 4.1 verbunden.

Die gültige Authentifizierung, die an den Freigabecode- Dekodierer 4.1 übertragen wird, beinhaltet Angaben über

Startzeit und Endzeit der erfolgten Authentifizierung . Der Freigabecode-Dekodierer 4.1 initiiert nur dann eine Schlie ßung der Schalter, wenn diese Zeitangaben vorbestimmte Zeit werte erfüllen.

Der Freigabecode-Dekodierer 4.1 ist mit einer Code-Eingabe- Einrichtung 6 verbunden, die zur Durchführung einer Authenti- fizierung einer berechtigten Person und zur nachfolgenden Übertragung einer gültigen Authentifizierung an den Freigabe code-Dekodierer 4.1 ausgebildet ist.

Die Code-Eingabe-Einrichtung 6 ist über ein Bussystem 4.5 mit dem Freigabecode-Dekodierer 4.1 verbunden.

In einer weiteren Ausbildung beinhaltet die gültige Authenti- fizierung, die an den Freigabecode-Dekodierer 4.1 übertragen wird, Angaben zur Zugnummer und/oder eine Angabe einer per sönlichen Identifizierungsnummer der berechtigten Person. Diese Angaben werden mit entsprechenden, abgespeicherten An gaben im Schienenfahrzeug verglichen. Der Freigabecode- Dekodierer 4.1 initiiert nur dann eine Schließung der Schal ter, wenn der Vergleich eine Übereinstimmung der Angaben an zeigt .

Das Freigabesystem 4.2 ist darüber hinaus zur Erhöhung der Systemsicherheit mit der Fahrzeugsteuerung 8 verbunden.

Das Schienenfahrzeug 1 weist ein erstes Zugbussystem 2 auf, mit dem Schienenfahrzeug-Steuersignale für die Steuerung der Mehrfachtraktion übertragen werden. Ein dritter Schalter

4.3.3 ist im ersten Zugbussystem 2 derart integriert angeord net, dass die Übertragung der Steuersignale bei geöffnetem dritten Schalter 4.3.3 unterbindbar und bei geschlossenem dritten Schalter 4.3.3 durchführbar ist.

Das Schienenfahrzeug weist 1 ein zweites Zugbussystem 3 auf, mit dem Schienenfahrzeug-Steuersignale für die Steuerung der Mehrfachtraktion übertragen werden. Ein vierter Schalter

4.3.4 ist im zweiten Zugbussystem 3 derart integriert ange ordnet, dass die Übertragung der Steuersignale bei geöffnetem vierten Schalter 4.3.4 unterbindbar und bei geschlossenem viertem Schalter 4.3.4 durchführbar ist.

In einer bevorzugten Weiterbildung werden als Schalter elekt rische Kontakte verwendet, die für die auf Bahnfahrzeugen üb lichen Steuerstrom-Spannungsniveaus 24V, 72V und 110V geeig net sind.

Der Freigabecode-Dekodierer 4.1 empfängt über geeignete Bus oder Übertragungssysteme 4.4 und 4.5 Freigabeinformationen und/oder Freigabezertifikate mit bevorzugt folgenden Eigen schaften :

- Angabe eines Freigabeschlüssels oder eines Freigabezer tifikats zum Vergleich mit Verifikationsinformationen, die systemseitig im Schienenfahrzeug 1 gespeichert sind,

- dabei kann die Komplexität des Freigabeschlüssels hin sichtlich eines gewünschten Security-Levels variieren.

In der Regel kommen bevorzugt 256bit-Schlüssel zur Ver wendung,

- Freigabeinformation beinhaltet zusätzlich Angaben über Startzeit der Freigabe und über die Endzeit der Freiga be. Die Einrichtung 4.1 gibt die Freigabeinformation nur dann weiter, wenn die aktuelle Uhrzeit im empfangenen Zeitintervall liegt und gleichzeitig der empfangene Freigabeschlüssel gültig ist. Nach Ablauf der Endzeit wird die Freigabe zurückgenommen und so die Fahrzeug funktionen gesperrt, - optional beinhaltet die Freigabeinformation Angaben zur Zugnummer und zur persönlichen ID des Triebfahrzeugfüh rers, die mit Informationen aus der Code-

Eingabeeinrichtung 6 verglichen werden. An dieser Einga beeinrichtung gibt das Benutzungspersonal Zugnummer und/oder persönliche ID ein. Nur wenn die eingegebenen Informationen mit den übertragenen Codes/Zertifikate übereinstimmen, gibt der Decodierer 4.1 die Freigabein formation mit Hilfe des Freigabesystems weiter,

- als Busübertragungssysteme kommen alle gängigen Daten übertragungssysteme (z.B. Ethernet) oder MVB-basierten Übertragungen in Frage,

- als Quelle für die Freigabeinformationen können Code- Eingabegeräte 6 verwendet werden, die entweder im Fahr zeug bereits vorhanden sind (z.B. Fahrerstandsdisplays) oder zusätzlich eingebaute Eingabeeinheiten. Alternativ werden Freigabeinformationen mit Hilfe von Code- Übertragern 5 an das System übertragen. Dazu können im Fahrzeug verwendete Datenfernübertragungseinrichtungen oder auch Speichersysteme mit Schnittstelle (z.B. NAS mit USB-Schnittstelle) verwendet werden.

Die beschriebenen Elemente „Freigabeeinrichtung 4.0" und „Sperreinrichtung 4.3" verwirklichen im Kern und zusammenge fasst die Funktionalität einer „Aufrüst-" bzw. „Wegfahrsper re" .