BESCHREIBUNG

Bremssystem und Bremsverfahren für Schienenfahrzeuge

Die Erfindung betrifft eine Vorrichtung und ein Verfahren zum Bremsen von Schienenfahrzeugen und betrifft insbesondere eine solche Vorrichtung und ein solches Verfahren für elektromechanisches Bremsen von Schienenfahrzeugen.

Schienenfahrzeuge mit pneumatischen Bremssystemen zu verzögern ist im Stand der Technik bekannt und hat sich dort als die dominierende Methodik zur Verzögerung von Schienenfahrzeugen entwickelt und diese sind in vielen Bereichen sogar vorgeschrieben. Hierbei wird, je nach Ausführung, ein in einem kompressorgespeisten Druckluftreservoir vorhandener Überdruck dazu verwendet, mittels eines pneumatischen Zylinders ein statisches Bremselement, beispielsweise eine Bremsscheibe, Bremsbacke oder Bremsklotz, gegen ein bewegtes Bremselement, beispielsweise eine Bremsscheibe, ein Laufrad oder eine Radachse, zu bewegen und anzudrücken oder davon zu lösen. Durch die beim Andrücken erzeugte Reibung wird Bewegungsenergie in Wärmeenergie umgewandelt und das Schienenfahrzeug dadurch verzögert. Aufgrund der über hundertjährigen Erfahrung mit solchen pneumatischen Bremssystemen, insbesondere pneumatischen Reibungsbremsen, gelten sie als ausgereift und zuverlässig. Durch solche Bremssysteme wird eine hochverfügbare und systematisch stabile und nahezu unverlierbare Verzögerungsfähigkeit bereitgestellt, die unabhängig vom Zustand anderer Systeme oder von Umgebungseinflüssen auf das Fahrzeug ist. Solche Bremssysteme erfordern jedoch Zusatzsysteme für den Betrieb. Dies sind insbesondere Kompressoren und Versorgungsinfrastruktur der Pneumatik wie Leitungen und Rohre. Diese Komponenten haben ein hohes Gewicht und stellen hohe Anforderungen an den Bauraum. Ferner haben diese Bremssysteme eine relativ schwerfällige Ansteuerungscharakteristik und sind unflexibel. In der Regel werden nur Anpassungen des Bremsdrucks hinsichtlich Last und Geschwindigkeit des Schienenfahrzeugs realisiert, und dies zumeist auch nur in diskreten Stufen. So beschreibt zum Beispiel die DE 10 2009 051 019 A1 eine geschwindigkeitsabhängig gestufte Notbremseinrichtung eines Schienenfahrzeugs mit einem hierarchischen Ablauf, wobei eine Notbremsung durch eine regeneratorische Bremse oder eine elektro- pneumatische Bremse bremskraftgeregelt und geschwindigkeitsabhängig durchgeführt wird, und offenbart zum Beispiel die DE 10 2011 110 047 A1 eine Notbremseinrichtung für ein Schienenfahrzeug mit einer Notbremssteuerventileinrichtung zum Bereitstellen eines Notbremssteuerdrucks und einer Notbremseinstelleinrichtung zum Einstellen des bereitgestellten Notbremssteuerdrucks in Abhängigkeit von einem Lastwert und einem Geschwindigkeitswert des Schienenfahrzeugs.

Alternativ existieren im Stand der Technik Bremssysteme, welche auf anderen technologischen Wirkprinzipien beruhen, wie elektrodynamische Bremssysteme, welche unter Ausnutzung des elektromagnetischen Induktionseffektes Bewegungsenergie in elektrische Energie umwandeln und somit für eine Speicherung oder Nutzung verfügbar machen können. Dies hat insbesondere Vorteile was die Gesamtenergie-Effizienz des Schienenfahrzeugbetriebs betrifft. Das Abführen der Bremsenergie, das Erzeugen der elektrischen Leistung und die Funktionalität hängen hier aber insgesamt vom Betriebszustand aller beteiligten elektrischen und elektronischen Subsysteme sowie dem Zustand des Fahrzeugs ab. Da diese Komponenten meist nicht selbst hochverfügbar sind, gelten auch solche Bremssysteme insgesamt nicht als hochverfügbar.

In der Norm IEC 61508 und speziell für den schienengebundenen Verkehrsbereich in der Norm DIN EN 50126-2:2017 "Bahnanwendungen - Spezifikation und Nachweis von Zuverlässigkeit, Verfügbarkeit, Instandhaltbarkeit und Sicherheit (RAMS) - Teil 2: System bezogene Sicherheitsmethodik" sind Sicherheitsanforderungsstufen/Sicherheitsintegritätslevel (security integrity level, SIL) definiert, die der Beurteilung elektrischer, elektronischer oder programmierbarer elektronischer Systeme in Bezug auf die Zuverlässigkeit von Sicherheitsfunktionen definiert. Aus dem angestrebten Level ergeben sich die sicherheitsgerichteten Konstruktionsprinzipien, die eingehalten werden müssen, damit das Risiko einer Fehlfunktion auf einen bestimmten Wert gesenkt werden kann. Hier sind vier Sicherheitsintegritätslevel definiert, wobei das erste Sicherheitsintegritätslevel (SIL 1 ) die geringsten, und über das zweite und dritte aufsteigend das vierte Sicherheitsintegritätslevel (SIL 4) die höchsten Anforderungen aufweist. So dürfen nach SIL 1 kategorisierte Bauteile eine Ausfallwahrscheinlichkeit pro Stunde von 10’ ⁵ - 10 ^-6 , nach SIL 4 kategorisierte Bauteile eine Ausfallwahrscheinlichkeit pro Stunde von 10’ ⁸ - 10’ ⁹ aufweisen.

Die Druckschrift WO 2021/198994 A1 offenbart ein elektromechanisches Modul, das über eine Gestängemechanik die Bremsbacken einer Reibungsbremse betätigt. In diesem mechanischen Bremspfad sind ein vorgespanntes Federpaket und ein Bremskraftsensor vorgesehen. Eine erste Betriebsbremssteuerungseinheit handhabt Betriebs- und Notbremsvorgänge und steuert den Elektromotor des elektromechanischen Moduls entsprechend an. Eine Sicherheitseinheit prüft über den Sensor, ob in einem Notbremsfall die Notbremskraft anliegt. Falls dies nicht gegeben ist, beispielsweise beim Ausfall des Elektromotors oder der Betriebsbremssteuerungseinheit wird das vorgespannte Federpaket freigegeben und damit die Notbremskraft aufgebracht. Ferner wird ein elektromechanisches Modul offenbart, das über eine Gestängemechanik die Bremsbacken einer Reibungsbremse betätigt. Auch in diesem mechanischen Bremspfad ist ein Bremskraftsensor vorgesehen. Eine erste Betriebsbremssteuerungseinheit handhabt Betriebs- und Notbremsvorgänge und steuert den Elektromotor des elektromechanischen Moduls entsprechend an. Eine Sicherheitseinheit prüft über den Sensor, ob in einem Notbremsfall die Notbremskraft anliegt. Falls dies nicht gegeben ist, beispielsweise beim Ausfall der Betriebsbremssteuerungseinheit, wird ein Schalter betätigt und der Elektromotor über eine elektronische Notbremseinheit mit eigenem Akkupuffer und eigener Motorsteuerung angesteuert und damit die Notbremskraft aufgebracht. Hier liegt eine strenge Separierung von Betriebsbremsfunktionsgruppen und Sicherheitsbremsfunktionsgruppen vor, bei der eine hierarchisch übergeordnete Sicherheitseinheit steuert, ob herkömmliche Betriebsbremsfunktionsgruppen oder Sicherheitsbremsfunktionsgruppen zur Bremssteuerung verwendet werden. Diese Trennung in Betriebs- und Sicherheitsbremsfunktionsgruppen und Betriebs- und Sicherheitsbremsfunktionsbauteile ist unflexibel und anfällig für einen kompletten Systemausfall, wenn beispielsweise die Sicherheitseinheit ausfällt. Auch muss die Funktionalität der Betriebsbremssteuerungseinheit entweder vollständig gespiegelt werden oder stünde im Sicherheitsbremsvorgang nicht zur Verfügung. Es ist daher die Aufgabe der Erfindung, ein Bremssystem und Bremsverfahren bereitzustellen, das die Probleme aus dem Stand der Technik löst. Insbesondere ist es Aufgabe der Erfindung, ein Bremssystem bereitzustellen, das die erforderlichen Sicherheitsanforderungen und die Hochverfügbarkeit bereitstellt, hierbei aber geringere Anforderungen an die System Integrität in das Schienenfahrzeug stellt.

Diese Aufgabe wird gelöst gemäß dem Gegenstand der nebengeordneten Ansprüche. Vorteilhafte Weiterentwicklungen sind Gegenstand der abhängigen Ansprüche.

Offenbart wird ein Bremssystem für ein Schienenfahrzeug, mit einer Bremssteuerungseinheit, die eingerichtet ist, Bremsfunktionen bereitzustellen und eine Kraftstellgröße oder eine Aktuationsgröße auszugeben, einer Bremskrafteinheit, die eingerichtet ist, Funktionen zur Erzeugung von Reibungsbremskraft aufgrund von der Kraftstellgröße oder Aktuationsgröße bereitzustellen, einem ersten Bremspfad mit Bremsfunktionen, welche zwischen Kontrolleingaben des Bremssystems und der Erzeugung von Bremskraft aktiv sind, und einem zweiten Bremspfad mit Bremsfunktionen, welche zwischen Kontrolleingaben des Bremssystems oder beim Vorliegen vorbestimmter Bremssystemzustandsgrößen und der Erzeugung von Bremskraft aktiv sind. Hierbei bezeichnet der Begriff Bremspfad die Menge aller Funktionen, welche zwischen den Kontrolleingaben des Bremssystems und der Erzeugung der Reibungsbremskraft aktiv sind und die systemweiten Bremsfunktionen herstellen. Dies erlaubt die Bereitstellung von Funktionen eines ersten Bremspfads, beispielsweise eines Betriebsbremspfads mit niedriger Sicherheitsintegrität und eines zweiten Bremspfads, beispielsweise eines Sicherheitsbremspfads mit höherer Sicherheitsintegrität, sowohl in der Bremssteuerungseinheit als auch der Bremskrafteinheit. Dies stellt die Voraussetzungen bereit, im Fehlerfall je nach Bedarf entweder in der Bremssteuerungseinheit oder in der Bremskrafteinheit oder der Bremssteuerungs- und der Bremskrafteinheit von dem Betriebsbremspfad auf den Sicherheitsbremspfad umzuschalten. Es stellt auch die Voraussetzungen bereit, dass die Funktionen des Sicherheitsbremspfads auf Funktionen des Betriebsbremspfads zugreift, beispielsweise auf Gleitschutzfunktionen. Es stellt darüber hinaus die Voraussetzungen bereit, dass beim Ausfall von Funktionen des Sicherheitsbremspfads auf Funktionen des Betriebsbremspfads als Redundanz-Redundanzregelung zurückgegriffen werden kann.

Vorteilhaft ist, wenn der erste Bremspfad eingerichtet ist, Bremsfunktionen mit geringer Sicherheitsintegrität bereitzustellen, und der zweite Bremspfad eingerichtet ist, Bremsfunktionen mit hoher Sicherheitsintegrität bereitzustellen und die geringe Sicherheitsintegrität geringer ist als die hohe Sicherheitsintegrität. Bremsfunktionen mit hoher Sicherheitsintegrität können einen höheren Sicherheitsintegritätslevel aufweisen, als Bremsfunktionen mit geringer Sicherheitsintegrität.

Vorteilhaft ist, wenn das Bremssystem ferner eine erste Gruppe von geteilten Funktionsteilen aufweist, die Teil des ersten Bremspfads und Teil des zweiten Bremspfads sind. Diese Funktionen sind vorzugsweise eingerichtet, eine Reibkraft so zu erzeugen, dass das Schienenfahrzeug verzögert wird. Mit einer gemeinsamen Verwendung solcher höchst zuverlässigen Funktionsteile, die die eigentliche mechanische Bremsfunktion bewirken, ist die Bereitstellung eines kompakten Bremssystems möglich.

Vorteilhaft ist, wenn die Bremssteuerungseinheit eingerichtet ist, Bremsfunktionen des ersten Bremspfads oder des zweiten Bremspfads bereitzustellen und die Bremskrafteinheit eingerichtet ist, Bremsfunktionen des ersten Bremspfads oder des zweiten Bremspfads bereitzustellen.

Vorteilhaft ist, wenn die Bremssteuerungseinheit eingerichtet ist, Bremsfunktionen des ersten Bremspfads und des zweiten Bremspfads bereitzustellen und die Bremskrafteinheit eingerichtet ist, Bremsfunktionen des ersten Bremspfads und des zweiten Bremspfads bereitzustellen.

Vorteilhaft ist, wenn die Bremssteuerungseinheit eingerichtet ist, eine Kontrolleingabe mit einem Bremsbefehl zu erhalten und daraus eine Aktuationsgröße oder eine Kraftstellgröße zu ermitteln und auszugeben. Vorteilhaft ist, wenn die Bremssteuerungseinheit eingerichtet ist, Fahrzeugzustandsgrößeneingaben oder Bremssystemzustandsgrößeneingaben zu erhalten und daraus die Aktuationsgröße oder die Kraftstellgröße zu ermitteln und auszugeben.

Vorteilhaft ist, wenn die Bremssteuerungseinheit eingerichtet ist, ein Umschaltsignal zu empfangen und bei Empfang eines Umschaltsignals von dem ersten Bremspfad auf den zweiten Bremspfad umzuschalten, oder von dem zweiten Bremspfad auf den ersten Bremspfad umzuschalten.

Vorteilhaft ist, wenn die Bremssteuerungseinrichtung eingerichtet ist, einen Umschaltzustand zu ermitteln und ein Umschaltsignal auszugeben, wenn ein Umschaltzustand ermittelt wird.

Vorteilhaft ist, wenn die Bremskrafteinheit eingerichtet ist, eine Kraftstellgröße oder eine Aktuationsgröße zu erhalten und die Gruppe von Funktionsteilen so zu steuern, dass das Schienenfahrzeug verzögert wird.

Vorteilhaft ist, wenn die Bremssteuerungseinheit oder die Bremskrafteinheit eingerichtet ist, ein Umschaltsignal zu empfangen und bei Empfang eines Umschaltsignals von dem ersten Bremspfad auf den zweiten Bremspfad umzuschalten, oder von dem zweiten auf den ersten Bremspfad umzuschalten.

Vorteilhaft ist, wenn die Bremssteuerungseinheit oder die Bremskrafteinheit eingerichtet ist, einen Umschaltzustand zu ermitteln und ein Umschaltsignal auszugeben.

Vorteilhaft ist, wenn das Bremssystem, insbesondere die Bremskrafteinheit eine Energieversorgungseinheit, insbesondere alternativ oder optional zusätzlich eine interne Energieversorgungseinheit, aufweist .

Vorteilhaft ist, wenn die Energieversorgungseinheit eingerichtet ist, einen Umschaltzustand zu ermitteln und ein Umschaltsignal auszugeben. Offenbart wird ein Schienenfahrzeug mit einem erfindungsgemäßen Bremssystem.

Offenbart wird ferner in Bremsverfahren für ein Schienenfahrzeug, das die Schritte aufweist: a) Bereitstellen von Bremsfunktionen durch eine Bremssteuerungseinheit, b) Ausgeben einer Kraftstellgröße oder einer Aktuationsgröße durch die Bremssteuerungseinheit, c) Bereitstellen von Funktionen zur Erzeugung von Bremskraft, vorzugsweise Reibungsbremskraft durch eine Bremskrafteinheit aufgrund der Aktuationsgröße aus Schritt b), d) Bereitstellen eines ersten Bremspfades, der Funktionen aufweist, die zwischen Kontrolleingaben eines Bremssystems und der Erzeugung von Bremskraft aktiv sind, und e)Bereitstellen eines zweiten Bremspfades, der Funktionen aufweist, die zwischen Kontrolleingaben des Bremssystems und der Erzeugung von Bremskraft aktiv sind.

Vorteilhaft ist, wenn der erste Bremspfad aus Schritt d) eingerichtet ist, Bremsfunktionen mit geringer Sicherheitsintegrität bereitzustellen und der zweite Bremspfad aus Schritt e) eingerichtet ist, Bremsfunktionen mit hoher Sicherheitsintegrität bereitzustellen.

Vorteilhaft ist, wenn Schritt a) die Schritte aufweist: aa) Bereitstellen von Bremsfunktionen des ersten Bremspfads, oder ab) Bereitstellen von Bremsfunktionen des zweiten Bremspfads, und Schritt c) die Schritte aufweist: ca) Bereitstellen von Bremsfunktionen des ersten Bremspfads, oder cb) Bereitstellen von Bremsfunktionen des zweiten Bremspfads,

Vorteilhaft ist, wenn Schritt a) die Schritte aufweist: aa) Bereitstellen von Bremsfunktionen des ersten Bremspfads, und ab) Bereitstellen von Bremsfunktionen des zweiten Bremspfads, und Schritt b) die Schritte aufweist: ba) Bereitstellen von Bremsfunktionen des ersten Bremspfads, und bb) Bereitstellen von Bremsfunktionen des zweiten Bremspfads.

Vorteilhaft ist, wenn das Verfahren ferner die folgenden Schritte aufweist: f) Erhalten einer Kontrolleingabe mit einem Bremsbefehl durch die Bremssteuerungseinheit, g) Ermitteln einer Aktuationsgröße oder einer Kraftstellgröße durch die Bremssteuerungseinheit aus der Kontrolleingabe, h) Ausgeben der Aktuationsgröße oder der Kraftstellgröße durch die Bremssteuerungseinheit.

Vorteilhaft ist, wenn das Verfahren ferner die folgenden Schritte aufweist: i) Erhalten einer Fahrzeugzustandsgrößeneingabe oder einer Bremssystemzustandsgrößeneingabe durch die Bremssteuerungseinheit, j) Ermitteln einer Aktuationsgröße oder einer Kraftstellgröße durch die Bremssteuerungseinheit aus der Fahrzeugzustandsgrößeneingabe oder einer Bremssystemzustandsgrößeneingabe, k) Ausgeben der Aktuationsgröße oder der Kraftstellgröße durch die Bremssteuerungseinheit.

Vorteilhaft ist, wenn das Verfahren ferner die folgenden Schritte aufweist: I) Empfangen eines Umschaltsignals durch die Bremssteuerungseinheit oder die Bremskrafteinheit, m) Umschalten von dem ersten Bremspfad auf den zweiten Bremspfad oder von dem zweiten Bremspfad auf den ersten Bremspfad in der Bremssteuerungseinheit, der Bremskrafteinheit oder der Energieversorgungseinheit.

Vorteilhaft ist, wenn das Verfahren ferner die folgenden Schritte aufweist: n) Ermitteln eines Umschaltzustandes durch die Bremssteuerungseinheit, die Bremskrafteinheit, oder die Energieversorgungseinheit o) Ausgeben eines Umschaltsignals durch die Bremssteuerungseinheit, die Bremskrafteinheit oder die Energieversorgungseinheit, wenn der Umschaltzustand ermittelt wird.

Vorteilhaft ist, wenn das Verfahren ferner die folgenden Schritte aufweist: p) Erhalten einer Kraftstellgröße oder einer Aktuationsgröße durch die Bremskrafteinheit, q) Steuern einer Gruppe von gemeinsamen Funktionsteilen durch die Bremskrafteinheit, so dass das Schienenfahrzeug verzögert wird.

Offenbart wird ein Bremssystem für ein Schienenfahrzeug, mit einer Bremssteuerungseinheit, die eingerichtet ist, Bremsfunktionen bereitzustellen und eine Kraftstellgröße auszugeben, einer Aktuatorsteuerungseinheit, die eingerichtet ist, Funktionen zur Erzeugung von Reibungsbremskraft aufgrund der Kraftstellgröße bereitzustellen und eine Aktuationsgröße auszugeben, einer Bremskrafteinheit, die eingerichtet ist, Funktionen zur Erzeugung von Reibungsbremskraft aufgrund von der Aktuationsgröße bereitzustellen, einem ersten Bremspfad, der Funktionen aufweist, welche zwischen Kontrolleingaben des Bremssystems und der Erzeugung von Bremskraft aktiv sind, und einem zweiten Bremspfad, der Funktionen aufweist, welche zwischen Kontrolleingaben des Bremssystems oder beim Vorliegen vorbestimmter Bremssystemzustandsgrößen und der Erzeugung von Bremskraft aktiv sind. Ferner müssen die Funktionen des zweiten Bremspfads nicht durch eine Kontrolleingabe des Bremssystems aktiviert werden, sondern sie können sich auch beim Vorliegen vorbestimmter Bremssystemzustandsgrößen, beispielsweise bei drohendem Energieversorgungsausfall ohne eine Kontrolleingabe des Bremssystems aktivieren.

Vorteilhaft ist, wenn der erste Bremspfad eingerichtet ist Bremsfunktionen mit geringer Sicherheitsintegrität bereitzustellen, der zweite Bremspfad eingerichtet ist, Bremsfunktionen mit hoher Sicherheitsintegrität bereitzustellen, und die geringe Sicherheitsintegrität geringer ist als die hohe Sicherheitsintegrität. Bremsfunktionen mit hoher Sicherheitsintegrität können einen höheren Sicherheitsintegritätslevel aufweisen, als Bremsfunktionen mit geringer Sicherheitsintegrität.

Vorteilhaft ist, wenn das Bremssystem ferner eine erste Gruppe von geteilten Funktionsteilen aufweist, die Teil des ersten Bremspfads und Teil des zweiten Bremspfads sind und eigerichtet sind, eine Reibkraft so zu erzeugen, dass das Schienenfahrzeug verzögert wird. Vorzugsweise sind sie dazu eigerichtet, eine Reibkraft so zu erzeugen, dass das Schienenfahrzeug verzögert wird.

Vorteilhaft ist, wenn die Bremssteuerungseinheit eingerichtet ist, Bremsfunktionen des ersten Bremspfads und des zweiten Bremspfads bereitzustellen, die Aktuatorsteuerungseinheit eingerichtet ist, Bremsfunktionen des ersten Bremspfads und des zweiten Bremspfads bereitzustellen, oder die Bremskrafteinheit eingerichtet ist, Bremsfunktionen des ersten Bremspfads und des zweiten Bremspfads bereitzustellen. Hierbei stellt die Bremssteuerungseinheit Bremsfunktionen, die Aktuatorsteuerungseinheit Aktuatorfunktionen und die Bremskrafteinheit Kraftstellfunktionen bereit. Vorteilhaft ist, wenn die Bremssteuerungseinheit eingerichtet ist, Bremsfunktionen des ersten Bremspfads oder des zweiten Bremspfads bereitzustellen, die Aktuatorsteuerungseinheit eingerichtet ist, Bremsfunktionen des ersten Bremspfads oder des zweiten Bremspfads bereitzustellen und die Bremskrafteinheit eingerichtet ist, Bremsfunktionen des ersten Bremspfads oder des zweiten Bremspfads bereitzustellen.

Vorteilhaft ist, wenn das Bremssystem ferner eine Energieversorgungseinheit aufweist, die eingerichtet ist, das Bremssystem mit Energie, insbesondere elektrischer Energie für den Bremsbetrieb zu versorgen.

Vorteilhaft ist, wenn die Bremssteuerungseinheit, die Aktuatorsteuerungseinheit, die Energieversorgungseinheit oder die Bremskrafteinheit eingerichtet ist, ein Umschaltsignal zu empfangen und bei Empfang eines Umschaltsignals von dem ersten Bremspfad auf den zweiten Bremspfad umzuschalten, oder von dem zweiten Bremspfad auf den ersten Bremspfad umzuschalten. Hierbei wird von den jeweils auf den entsprechenden Einheiten lokalisierten Bremsfunktionen zwischen den dem ersten Bremspfad zugeordneten Funktionen zu den dem zweiten Bremspfad zugeordneten Funktionen umgeschaltet oder umgekehrt.

Vorteilhaft ist, wenn das Bremssystem eingerichtet ist, eine Sicherheitsfunktion auszuführen.

Vorteilhaft ist, wenn die Sicherheitsfunktion eine aus der Gruppe von Sicherheitsfunktionen mit den Elementen Bremspfadmonitor, Aktuatormonitor, Versorgungsmonitor, Entscheider und Datenspeicherfunktion ist.

Vorteilhaft ist, wenn eine verteilte Zuordnung von Sicherheitsfunktionen zur Bremssteuerungseinheit, Aktuatorsteuerungseinheit, Energieversorgungseinheit oder Bremskrafteinheit gegeben ist und die verteilten Sicherheitsfunktionen von den zugeordneten Einheiten ausgeführt werden.

Vorteilhaft ist, wenn die Bremssteuerungseinheit, die Aktuatorsteuerungseinheit, eine optional enthaltene Energieversorgungseinheit oder die Bremskrafteinheit einen Umschalter aufweist und eingerichtet ist, einen Umschaltzustand zu ermitteln und ein Umschaltsignal auszugeben, wenn ein Umschaltzustand ermittelt wird.

Vorteilhaft ist, wenn die Bremskrafteinheit eingerichtet ist, eine Kraftstellgröße oder eine Aktuationsgröße zu erhalten und die Gruppe von Funktionsteilen so zu steuern, dass das Schienenfahrzeug verzögert wird.

Vorteilhaft ist, wenn das Bremssystem, insbesondere die Bremssteuerungseinheit, die Aktuatorsteuerungseinheit oder die Bremskrafteinheit eine Energieversorgungseinheit, vorzugsweise alternativ oder optional zusätzlich eine interne Energieversorgungseinheit, aufweist.

Offenbart wird ferner ein Schienenfahrzeug mit obigem Bremssystem.

Offenbart wird ferner ein Bremsverfahren für ein Schienenfahrzeug, das die Schritte aufweist: a) Bereitstellen von Bremsfunktionen durch eine Bremssteuerungseinheit, b) Ausgeben einer Kraftstellgröße durch die Bremssteuerungseinheit, c) Bereitstellen von Bremsfunktionen zur Erzeugung von Reibungsbremskraft durch eine Aktuatorsteuerungseinheit aufgrund der Kraftstellgröße aus Schritt b), d) Bereitstellen von Bremsfunktionen zur Erzeugung von Reibungsbremskraft durch eine Bremskrafteinheit aufgrund der Aktuationsgröße aus Schritt c), e) Bereitstellen eines ersten Bremspfades, der Funktionen aufweist, die zwischen Kontrolleingaben eines Bremssystems und der Erzeugung von Bremskraft aktiv sind, und f) Bereitstellen eines zweiten Bremspfades, der Funktionen aufweist, die zwischen Kontrolleingaben des Bremssystems oder beim Vorliegen vorbestimmter Bremssystemzustandsgrößen und der Erzeugung von Bremskraft aktiv sind.

Vorteilhaft ist, wenn der erste Bremspfad aus Schritt e) eingerichtet ist, Bremsfunktionen mit geringer Sicherheitsintegrität bereitzustellen und der zweite Bremspfad aus Schritt f) eingerichtet ist, Bremsfunktionen mit hoher Sicherheitsintegrität bereitzustellen. Vorteilhaft ist, wenn Schritt a) die Schritte aufweist: aa) Bereitstellen von Bremsfunktionen des ersten Bremspfads, oder ab) Bereitstellen von Bremsfunktionen des zweiten Bremspfads, und Schritt c) die Schritte aufweist: ca) Bereitstellen von Bremsfunktionen des ersten Bremspfads, oder cb) Bereitstellen von Bremsfunktionen des zweiten Bremspfads, und Schritt d) die Schritte aufweist: da) Bereitstellen von Bremsfunktionen des ersten Bremspfads, oder db) Bereitstellen von Bremsfunktionen des zweiten Bremspfads,

Vorteilhaft ist, Schritt a) die Schritte aufweist: aa) Bereitstellen von Bremsfunktionen des ersten Bremspfads, oder ab) Bereitstellen von Bremsfunktionen des zweiten Bremspfads, und Schritt c) die Schritte aufweist: ca) Bereitstellen von Bremsfunktionen des ersten Bremspfads, oder cb) Bereitstellen von Bremsfunktionen des zweiten Bremspfads, und Schritt d) die Schritte aufweist: da) Bereitstellen von Bremsfunktionen des ersten Bremspfads, oder db) Bereitstellen von Bremsfunktionen des zweiten Bremspfads.

Vorteilhaft ist, wenn Schritt a) die Schritte aufweist: aa) Bereitstellen von Bremsfunktionen des ersten Bremspfads, und ab) Bereitstellen von Bremsfunktionen des zweiten Bremspfads, und Schritt c) die Schritte aufweist: ca) Bereitstellen von Bremsfunktionen des ersten Bremspfads, und cb) Bereitstellen von Bremsfunktionen des zweiten Bremspfads, und Schritt d) die Schritte aufweist: da) Bereitstellen von Bremsfunktionen des ersten Bremspfads, und db) Bereitstellen von Bremsfunktionen des zweiten Bremspfads. — 2.18

Vorteilhaft ist, wenn ferner der Schritt ausgeführt wird: g) Ausführen einer Sicherheitsfunktion durch die Bremssteuerungseinheit, die Aktuatorsteuerungseinheit oder die Bremskrafteinheit.

Vorteilhaft ist, wenn die Sicherheitsfunktion eine der Gruppe von Sicherheitsfunktionen mit den Elementen Bremspfadmonitor, Aktuatormonitor, Versorgungsmonitor, Entscheider und Datenspeicherfunktion ist. Vorteilhaft ist, wenn das Verfahren ferner die folgenden Schritte aufweist: h) Empfangen eines Umschaltsignals durch die Bremssteuerungseinheit, die Aktuatorsteuerungseinheit, die Energieversorgungseinheit oder die Bremskrafteinheit, i) Umschalten von dem ersten Bremspfad auf den zweiten Bremspfad oder von dem zweiten Bremspfad auf den ersten Bremspfad in der Bremssteuerungseinheit, der Aktuatorsteuerungseinheit, der Energieversorgungseinheit oder der Bremskrafteinheit.

Vorteilhaft ist, wenn das Verfahren ferner die folgenden Schritte aufweist: n) Ermitteln eines Umschaltzustandes durch die Bremssteuerungseinheit, die Aktuatorsteuerungseinheit oder die Bremskrafteinheit, insbesondere durch auf diese verteilte Sicherheitsfunktionen o) Ausgeben eines Umschaltsignals durch die Bremssteuerungseinheit, die Aktuatorsteuerungseinheit oder die Bremskrafteinheit, wenn der Umschaltzustand ermittelt wird.

Offenbart wird ein Bremssystem für ein Schienenfahrzeug, mit einer Bremssteuerung, die aufweist: eine erste Bremssteuerungseinheit, die eingerichtet ist, Bremsfunktionen bereitzustellen und eine Kraftstellgröße auszugeben, eine erste Aktuatorsteuerungseinheit, die eingerichtet ist, Funktionen zur Erzeugung von Reibungsbremskraft aufgrund der Kraftstellgröße bereitzustellen und eine Aktuationsgröße auszugeben, und einem Aktuator, der aufweist eine zweite Bremssteuerungseinheit, die eingerichtet ist, Bremsfunktionen bereitzustellen und eine Kraftstellgröße auszugeben, eine zweite Aktuatorsteuerungseinheit, die eingerichtet ist, Funktionen zur mittelbaren Erzeugung von Reibungsbremskraft aufgrund der Kraftstellgröße bereitzustellen und eine Aktuationsgröße auszugeben, und eine Bremskrafteinheit, die eingerichtet ist, Funktionen zur Erzeugung von Reibungsbremskraft aufgrund von der Aktuationsgröße bereitzustellen, und einem ersten Bremspfad, aus Funktionen, welche zwischen mindestens einer Kontrolleingabe des Bremssystems und der Erzeugung von Bremskraft aktiv sind, und einem zweiten Bremspfad, aus Funktionen, welche zwischen mindestens einer Kontrolleingabe des Bremssystems und der Erzeugung von Bremskraft aktiv sind.

Vorteilhaft ist, wenn der erste Bremspfad eingerichtet ist, Bremsfunktionen mit geringer Sicherheitsintegrität bereitzustellen und der zweite Bremspfad eingerichtet ist, Bremsfunktionen mit hoher Sicherheitsintegrität bereitzustellen. Bremsfunktionen mit hoher Sicherheitsintegrität können einen höheren Sicherheitsintegritätslevel aufweisen, als Bremsfunktionen mit geringer Sicherheitsintegrität.

Vorteilhaft ist, wenn das Bremssystem ferner eine erste Gruppe von geteilten Funktionsteilen aufweist, die Teil des ersten Bremspfads und Teil des zweiten Bremspfads sind und eingerichtet sind, eine Reibkraft so zu erzeugen, dass das Schienenfahrzeug verzögert wird.

Vorteilhaft ist, wenn die Bremssteuerung eingerichtet ist, Bremsfunktionen des ersten Bremspfads oder des zweiten Bremspfads bereitzustellen, und der Aktuator eingerichtet ist, Bremsfunktionen des ersten Bremspfads oder des zweiten Bremspfads bereitzustellen.

Vorteilhaft ist, wenn die erste Bremssteuerungseinheit und die zweite Bremssteuerungseinheit eingerichtet sind, Bremsfunktionen des ersten Bremspfads oder des zweiten Bremspfads bereitzustellen, die erste Aktuatorsteuerungseinheit und die zweite Aktuatorsteuerungseinheit eingerichtet sind, Bremsfunktionen des ersten Bremspfads oder des zweiten Bremspfads bereitzustellen und die Bremskrafteinheit eingerichtet ist, Bremsfunktionen des ersten Bremspfads oder des zweiten Bremspfads bereitzustellen.

Vorteilhaft ist, wenn die erste Bremssteuerungseinheit und die erste Aktuatorsteuerungseinheit eingerichtet sind, Bremsfunktionen des ersten Bremspfads bereitzustellen, die zweite Bremssteuerungseinheit und die zweite Aktuatorsteuerungseinheit eingerichtet sind, Bremsfunktionen des zweiten Bremspfads bereitzustellen und die Bremskrafteinheit eingerichtet ist, Bremsfunktionen des ersten Bremspfads und des zweiten Bremspfads bereitzustellen.

Vorteilhaft ist, wenn die erste Bremssteuerungseinheit eingerichtet ist, Bremsfunktionen des ersten Bremspfads oder des zweiten Bremspfads bereitzustellen, die erste Aktuatorsteuerungseinheit eingerichtet ist, Bremsfunktionen des ersten Bremspfads bereitzustellen, die zweite Bremssteuerungseinheit und die zweite Aktuatorsteuerungseinheit eingerichtet sind, Bremsfunktionen des zweiten Bremspfads bereitzustellen und die Bremskrafteinheit eingerichtet ist, Bremsfunktionen des ersten Bremspfads und des zweiten Bremspfads bereitzustellen.

Vorteilhaft ist, wenn Das Bremssystem ferner eine Energieversorgungseinheit aufweist, die eingerichtet ist, die Bauteile des Bremssystems mit elektrischer Energie für deren Betrieb zu versorgen.

Vorteilhaft ist, wenn die erste Bremssteuerungseinheit, die zweite Bremssteuerungseinheit, die erste Aktuatorsteuerungseinheit, die zweite Aktuatorsteuerungseinheit, die Energieversorgungseinheit oder die Bremskrafteinheit eingerichtet ist, ein Umschaltsignal zu empfangen und bei Empfang des Umschaltsignals von dem ersten Bremspfad auf den zweiten Bremspfad umzuschalten, oder von dem zweiten Bremspfad auf den ersten Bremspfad umzuschalten.

Vorteilhaft ist, wenn die erste Bremssteuerungseinheit, die zweite Bremssteuerungseinheit, die erste Aktuatorsteuerungseinheit, die zweite Aktuatorsteuerungseinheit oder die Bremskrafteinheit eine Umschalteinheit aufweist und eingerichtet ist, einen Umschaltzustand zu ermitteln und ein Umschaltsignal auszugeben, wenn ein Umschaltzustand ermittelt wird.

Vorteilhaft ist, wenn das Bremssystem eingerichtet ist, eine Sicherheitsfunktion auszuführen.

Vorteilhaft ist, wenn die Sicherheitsfunktion eine aus der Gruppe von Sicherheitsfunktionen mit den Elementen Bremspfadmonitor, Aktuatormonitor, Versorgungsmonitor, Entscheider und Datenspeicherfunktion ist.

Vorteilhaft ist, wenn die Energieversorgungseinheit eingerichtet ist, die Sicherheitsfunktion des Versorgungsmonitors auszuführen und die zweite Bremssteuerungseinheit eingerichtet ist, die Sicherheitsfunktionen des Bremspfadmonitors, des Aktuatormonitors, der Datenspeicherfunktion und des Entscheiders auszuführen. Vorteilhaft ist, wenn die Energieversorgungseinheit eingerichtet ist, die Sicherheitsfunktion des Versorgungsmonitors auszuführen, die erste Bremssteuerungseinheit eingerichtet ist, die Sicherheitsfunktion des Bremspfadmonitors und des Aktuatormonitors auszuführen, und die zweite Bremssteuerungseinheit eingerichtet ist, die Sicherheitsfunktionen des Entscheiders und der Datenspeicherfunktion auszuführen.

Vorteilhaft ist, wenn die Bremskrafteinheit eingerichtet ist, eine Kraftstellgröße oder eine Aktuationsgröße zu erhalten und die Gruppe von Funktionsteilen so zu steuern, dass das Schienenfahrzeug verzögert wird. .

Vorteilhaft ist, wenn das Bremssystem, insbesondere die Bremssteuerung oder der Aktuator eine Energieversorgungseinheit, insbesondere und optional oder zusätzlich eine interne Energieversorgungseinheit, aufweist.

Offenbart wird ein Schienenfahrzeug mit dem obigen Bremssystem.

Offenbart wird ein Bremsverfahren für ein Schienenfahrzeug, das die Schritte aufweist: a) Bereitstellen von Bremsfunktionen durch eine erste Bremssteuerungseinheit in einer Bremssteuerung, b) Ausgeben einer Kraftstellgröße durch die erste Bremssteuerungseinheit, c) Bereitstellen von Bremsfunktionen zur Erzeugung von Reibungsbremskraft durch eine erste Aktuatorsteuerungseinheit in der Bremssteuerung aufgrund der Kraftstellgröße aus Schritt b), d) Ausgeben einer Aktuationsgröße durch die erste Aktuatorsteuerungseinheit, e) Bereitstellen von Bremsfunktionen durch eine zweite Bremssteuerungseinheit in einem Aktuator, f) Ausgeben einer Kraftstellgröße durch die zweite Bremssteuerungseinheit, g) Bereitstellen von Bremsfunktionen zur Erzeugung von Reibungsbremskraft durch eine zweite Aktuatorsteuerungseinheit in dem Aktuator aufgrund der Kraftstellgröße aus Schritt f), h) Ausgeben einer Aktuationsgröße durch die zweite Aktuatorsteuerungseinheit, i) Bereitstellen von Bremsfunktionen zur Erzeugung von Reibungsbremskraft durch eine Bremskrafteinheit aufgrund der Aktuationsgröße aus Schritt d) oder h), j) Bereitstellen eines ersten Bremspfades, der Funktionen aufweist, die zwischen Kontrolleingaben des Bremssystems und der Erzeugung von Bremskraft aktiv sind, und k) Bereitstellen eines zweiten Bremspfades, der Funktionen aufweist, die zwischen Kontrolleingaben des Bremssystems und der Erzeugung von Bremskraft aktiv sind.

Vorteilhaft ist, wenn: der erste Bremspfad aus Schritt j) eingerichtet ist, Bremsfunktionen mit geringer Sicherheitsintegrität bereitzustellen und der zweite Bremspfad aus Schritt k) eingerichtet ist, Bremsfunktionen mit hoher Sicherheitsintegrität bereitzustellen.

Vorteilhaft ist, wenn Schritt a), Schritt c), Schritt e), Schritt g) oder Schritt i) die Schritte aufweist: aa) Bereitstellen von Bremsfunktionen des ersten Bremspfads, und ab) Bereitstellen von Bremsfunktionen des zweiten Bremspfads.

Vorteilhaft ist, wenn Schritt a), Schritt c), Schritt e), Schritt g) und Schritt i) die Schritte aufweist: ac) Bereitstellen von Bremsfunktionen des ersten Bremspfads, oder ad) Bereitstellen von Bremsfunktionen des zweiten Bremspfads.

Vorteilhaft ist, wenn ferner der Schritt ausgeführt wird: I) Ausführen einer Sicherheitsfunktion durch die erste Bremssteuerungseinheit, die zweite Bremssteuerungseinheit, die erste Aktuatorsteuerungseinheit, die zweite Aktuatorsteuerungseinheit oder die Bremskrafteinheit.

Vorteilhaft ist, wenn die Sicherheitsfunktion eine der Gruppe von Sicherheitsfunktionen mit den Elementen Bremspfadmonitor, Aktuatormonitor, Versorgungsmonitor, Entscheider und Datenspeicherfunktion ist.

Vorteilhaft ist, wenn das Verfahren ferner die folgenden Schritte aufweist: m) Erhalten eines Umschaltsignals durch die erste Bremssteuerungseinheit, die zweite Bremssteuerungseinheit, die erste Aktuatorsteuerungseinheit, die zweite Aktuatorsteuerungseinheit oder die Bremskrafteinheit, n) Umschalten von dem ersten Bremspfad auf den zweiten Bremspfad oder von dem zweiten Bremspfad auf den ersten Bremspfad in der ersten Bremssteuerungseinheit, der zweiten Bremssteuerungseinheit, der ersten Aktuatorsteuerungseinheit, der zweite Aktuatorsteuerungseinheit oder der Bremskrafteinheit. Vorteilhaft ist, wenn das Verfahren ferner die folgenden Schritte aufweist: o) Ermitteln eines Umschaltzustandes durch die erste Bremssteuerungseinheit, die zweite Bremssteuerungseinheit, die erste Aktuatorsteuerungseinheit, die zweite Aktuatorsteuerungseinheit oder die Bremskrafteinheit, p) Ausgeben eines Umschaltsignals durch die erste Bremssteuerungseinheit, die zweite Bremssteuerungseinheit, die erste Aktuatorsteuerungseinheit, die zweite Aktuatorsteuerungseinheit oder die Bremskrafteinheit, wenn der Umschaltzustand ermittelt wird.

Offenbart wird ein Bremssystem für ein Schienenfahrzeug, mit einer Bremssteuerung, die aufweist: eine erste Bremssteuerungseinheit, die eingerichtet ist, Bremsfunktionen bereitzustellen und eine Kraftstellgröße auszugeben, und einem Aktuator, der aufweist eine zweite Bremssteuerungseinheit, die eingerichtet ist, Bremsfunktionen bereitzustellen und eine Kraftstellgröße auszugeben, eine erste Aktuatorsteuerungseinheit, die eingerichtet ist, Funktionen zur Erzeugung von Reibungsbremskraft aufgrund der Kraftstellgröße bereitzustellen und eine Aktuationsgröße auszugeben, und eine zweite Aktuatorsteuerungseinheit, die eingerichtet ist, Funktionen zur Erzeugung von Reibungsbremskraft aufgrund der Kraftstellgröße bereitzustellen und eine Aktuationsgröße auszugeben, und eine Bremskrafteinheit, die eingerichtet ist, Funktionen zur Erzeugung von Reibungsbremskraft aufgrund von der Aktuationsgröße bereitzustellen, und einem ersten Bremspfad, aus Funktionen, welche zwischen einer Kontrolleingabe des Bremssystems und der Erzeugung von Bremskraft aktiv sind, und einem zweiten Bremspfad, aus Funktionen, welche zwischen Kontrolleingaben des Bremssystems und der Erzeugung von Bremskraft aktiv sind.

Vorteilhaft ist, wenn der erste Bremspfad eingerichtet ist Bremsfunktionen mit geringer Sicherheitsintegrität bereitzustellen, der zweite Bremspfad eingerichtet ist, Bremsfunktionen mit hoher Sicherheitsintegrität bereitzustellen, und die geringe Sicherheitsintegrität geringer ist als die hohe Sicherheitsintegrität. Bremsfunktionen mit hoher Sicherheitsintegrität können einen höheren Sicherheitsintegritätslevel aufweisen, als Bremsfunktionen mit geringer Sicherheitsintegrität. Vorteilhaft ist, wenn das Bremssystem, insbesondere die Bremskrafteinheit ferner eine erste Gruppe von geteilten Funktionsteilen aufweist, die Teil des ersten Bremspfads und Teil des zweiten Bremspfads sind und eingerichtet sind, eine Reibkraft so zu erzeugen, dass das Schienenfahrzeug verzögert wird..

Vorteilhaft ist, wenn die Bremssteuerung eingerichtet ist, Bremsfunktionen des ersten Bremspfads und des zweiten Bremspfads bereitzustellen, oder der Aktuator eingerichtet ist, Bremsfunktionen des ersten Bremspfads und des zweiten Bremspfads bereitzustellen.

Vorteilhaft ist, wenn die Bremssteuerung eingerichtet ist, Bremsfunktionen des ersten Bremspfads und des zweiten Bremspfads bereitzustellen, oder die Bremssteuerung eingerichtet ist, Bremsfunktionen des ersten Bremspfads bereitzustellen, und der Aktuator eingerichtet ist, Bremsfunktionen des ersten Bremspfads oder des zweiten Bremspfads bereitzustellen.

Vorteilhaft ist, wenn die erste Bremssteuerungseinheit und die erste Aktuatorsteuerungseinheit eingerichtet sind, Bremsfunktionen des ersten Bremspfads bereitzustellen, die zweite Bremssteuerungseinheit und die zweite Aktuatorsteuerungseinheit eingerichtet sind, Bremsfunktionen des zweiten Bremspfads bereitzustellen und die Bremskrafteinheit eingerichtet ist, Bremsfunktionen des ersten Bremspfads oder des zweiten Bremspfads bereitzustellen.

Vorteilhaft ist, wenn die erste Bremssteuerungseinheit eingerichtet ist, Bremsfunktionen des ersten Bremspfads oder des zweiten Bremspfads bereitzustellen, die erste Aktuatorsteuerungseinheit eingerichtet ist, Bremsfunktionen des ersten Bremspfads bereitzustellen, die zweite Bremssteuerungseinheit und die zweite Aktuatorsteuerungseinheit eingerichtet sind, Bremsfunktionen des zweiten Bremspfads bereitzustellen und die Bremskrafteinheit eingerichtet ist, Bremsfunktionen des ersten Bremspfads und des zweiten Bremspfads bereitzustellen. Vorteilhaft ist, wenn die erste Bremssteuerungseinheit eingerichtet ist, Bremsfunktionen des ersten Bremspfads und des zweiten Bremspfads bereitzustellen, oder die erste Aktuatorsteuerungseinheit eingerichtet ist, Bremsfunktionen des ersten Bremspfads und des zweiten Bremspfads bereitzustellen, die zweite Bremssteuerungseinheit und die zweite Aktuatorsteuerungseinheit eingerichtet sind, Bremsfunktionen des zweiten Bremspfads bereitzustellen und die Bremskrafteinheit eingerichtet ist, Bremsfunktionen des ersten Bremspfads und des zweiten Bremspfads bereitzustellen.

Vorteilhaft ist, wenn die erste Bremssteuerungseinheit eingerichtet ist, Bremsfunktionen des ersten Bremspfads bereitzustellen, die zweite Bremssteuerungseinheit eingerichtet ist, Bremsfunktionen des ersten Bremspfads oder des zweiten Bremspfads bereitzustellen, die zweite Aktuatorsteuerungseinheit eingerichtet ist, die Bremsfunktion des zweiten Bremspfads bereitzustellen und die Bremskrafteinheit eingerichtet ist, Bremsfunktionen des ersten Bremspfads oder des zweiten Bremspfads bereitzustellen.

Vorteilhaft ist, wenn das Bremssystem ferner eine Energieversorgungseinheit aufweist, die eingerichtet ist, die Bauteile des Bremssystems mit elektrischer Energie für deren Betrieb zu versorgen.

Vorteilhaft ist, wenn die erste Bremssteuerungseinheit, die zweite Bremssteuerungseinheit, die erste Aktuatorsteuerungseinheit, die zweite Aktuatorsteuerungseinheit oder die Bremskrafteinheit eingerichtet ist, ein Umschaltsignal zu empfangen und bei Empfang des Umschaltsignals von dem ersten Bremspfad auf den zweiten Bremspfad umzuschalten, oder von dem zweiten Bremspfad auf den ersten Bremspfad umzuschalten.

Vorteilhaft ist, wenn die erste Bremssteuerungseinheit, die zweite Bremssteuerungseinheit, die erste Aktuatorsteuerungseinheit, die zweite Aktuatorsteuerungseinheit oder die Bremskrafteinheit eine Umschalteinheit aufweist und eingerichtet ist, einen Umschaltzustand zu ermitteln und ein Umschaltsignal auszugeben, wenn ein Umschaltzustand ermittelt wird. Vorteilhaft ist, wenn das Bremssystem eingerichtet ist, eine Sicherheitsfunktion auszuführen.

Vorteilhaft ist, wenn die Sicherheitsfunktion eine aus der Gruppe von Sicherheitsfunktionen mit den Elementen Bremspfadmonitor, Aktuatormonitor, Versorgungsmonitor, Entscheider und Datenspeicherfunktion ist.

Vorteilhaft ist, wenn die Energieversorgungseinheit eingerichtet ist, die Sicherheitsfunktion des Versorgungsmonitors auszuführen und die zweite Bremssteuerungseinheit eingerichtet ist, die Sicherheitsfunktionen des Bremspfadmonitors, des Aktuatormonitors, des Entscheiders und der Datenspeicherfunktion auszuführen.

Vorteilhaft ist, wenn die Energieversorgungseinheit eingerichtet ist, die Sicherheitsfunktion des Versorgungsmonitors auszuführen, und die zweite Bremssteuerungseinheit eingerichtet ist, die Sicherheitsfunktionen des Bremspfadmonitors, des Aktuatormonitors, Entscheiders und der Datenspeicherfunktion auszuführen.

Vorteilhaft ist, wenn die Bremskrafteinheit eingerichtet ist, eine Kraftstellgröße oder eine Aktuationsgröße zu erhalten.

Vorteilhaft ist, wenn das Bremssystem, insbesondere die Bremssteuerung oder der Aktuator eine Energieversorgungseinheit, vorzugsweise eine optional zusätzliche interne Energieversorgungseinheit, aufweist.

Offenbart wird ferner ein Schienenfahrzeug mit dem obigen Bremssystem.

Offenbart wird ferner ein Bremsverfahren für ein Schienenfahrzeug, das die Schritte aufweist: a) Bereitstellen von Bremsfunktionen durch eine erste Bremssteuerungseinheit in einer Bremssteuerung, b) Ausgeben einer Kraftstellgröße durch die erste Bremssteuerungseinheit, c) Bereitstellen von Bremsfunktionen zur Erzeugung von Reibungsbremskraft durch eine erste Aktuatorsteuerungseinheit in einem Aktuator aufgrund der Kraftstellgröße aus Schritt b), d) Ausgeben einer Aktuationsgröße durch die erste Aktuatorsteuerungseinheit, e) Bereitstellen von Bremsfunktionen durch eine zweite Bremssteuerungseinheit in dem Aktuator, f) Ausgeben einer Kraftstellgröße durch die zweite Bremssteuerungseinheit, g) Bereitstellen von Bremsfunktionen zur Erzeugung von Reibungsbremskraft durch eine zweite Aktuatorsteuerungseinheit in dem Aktuator aufgrund der Kraftstellgröße aus Schritt f), h) Ausgeben einer Aktuationsgröße durch die zweite Aktuatorsteuerungseinheit, i) Bereitstellen von Bremsfunktionen zur Erzeugung von Reibungsbremskraft durch eine Bremskrafteinheit aufgrund der Aktuationsgröße aus Schritt d) oder h), j) Bereitstellen eines ersten Bremspfades, der Funktionen aufweist, die zwischen Kontrolleingaben des Bremssystems und der Erzeugung von Bremskraft aktiv sind, und k) Bereitstellen eines zweiten Bremspfades, der Funktionen aufweist, die zwischen Kontrolleingaben des Bremssystems und der Erzeugung von Bremskraft aktiv sind.

Vorteilhaft ist, wenn der erste Bremspfad aus Schritt j) eingerichtet ist, Bremsfunktionen mit geringer Sicherheitsintegrität bereitzustellen und der zweite Bremspfad aus Schritt k) eingerichtet ist, Bremsfunktionen mit hoher Sicherheitsintegrität bereitzustellen.

Vorteilhaft ist, wenn Schritt a), Schritt c), Schritt e), Schritt g) oder Schritt i) die Schritte aufweist: aa) Bereitstellen von Bremsfunktionen des ersten Bremspfads, und ab) Bereitstellen von Bremsfunktionen des zweiten Bremspfads.

Vorteilhaft ist, wenn Schritt a), Schritt c), Schritt e), Schritt g) und Schritt i) die Schritte aufweist: ac) Bereitstellen von Bremsfunktionen des ersten Bremspfads, oder ad) Bereitstellen von Bremsfunktionen des zweiten Bremspfads.

Vorteilhaft ist, wenn ferner der Schritt ausgeführt wird: I) Ausführen einer Sicherheitsfunktion durch die erste Bremssteuerungseinheit, die zweite Bremssteuerungseinheit, die erste Aktuatorsteuerungseinheit, die zweite Aktuatorsteuerungseinheit oder die Bremskrafteinheit. Vorteilhaft ist, wenn die Sicherheitsfunktion eine der Gruppe von Sicherheitsfunktionen mit den Elementen Bremspfadmonitor, Aktuatormonitor, Versorgungsmonitor, Entscheider und Datenspeicherfunktion ist.

Vorteilhaft ist, wenn das Verfahren ferner die folgenden Schritte aufweist: m) Erhalten eines Umschaltsignals durch die erste Bremssteuerungseinheit, die zweite Bremssteuerungseinheit, die erste Aktuatorsteuerungseinheit, die zweite Aktuatorsteuerungseinheit oder die Bremskrafteinheit, n) Umschalten von dem ersten Bremspfad auf den zweiten Bremspfad oder von dem zweiten Bremspfad auf den ersten Bremspfad in der ersten Bremssteuerungseinheit, der zweiten Bremssteuerungseinheit, der ersten Aktuatorsteuerungseinheit, der zweiten Aktuatorsteuerungseinheit oder der Bremskrafteinheit.

Vorteilhaft ist, wenn das Verfahren ferner die folgenden Schritte aufweist: o) Ermitteln eines Umschaltzustandes durch die erste Bremssteuerungseinheit, die zweite Bremssteuerungseinheit, die erste Aktuatorsteuerungseinheit, die zweite Aktuatorsteuerungseinheit, die Energieversorgungseinheit oder die Bremskrafteinheit, p) Ausgeben eines Umschaltsignals durch die erste Bremssteuerungseinheit, die zweite Bremssteuerungseinheit, die erste Aktuatorsteuerungseinheit, die zweite Aktuatorsteuerungseinheit, die Energieversorgungseinheit oder die Bremskrafteinheit, wenn der Umschaltzustand ermittelt wird.

Offenbart wird ein Bremssystem für ein Schienenfahrzeug, mit einer Bremssteuerung, die aufweist eine erste Bremssteuerungseinheit, die eingerichtet ist, Bremsfunktionen bereitzustellen und eine Kraftstellgröße auszugeben, eine erste Aktuatorsteuerungseinheit, die eingerichtet ist, Funktionen zur Erzeugung von Reibungsbremskraft aufgrund der Kraftstellgröße bereitzustellen und eine Aktuationsgröße auszugeben, einem Erweiterungsfunktionsträger, und einem Aktuator, der aufweist eine zweite Bremssteuerungseinheit, die eingerichtet ist, Bremsfunktionen bereitzustellen und eine Kraftstellgröße auszugeben, eine zweite Aktuatorsteuerungseinheit, die eingerichtet ist, Funktionen zur Erzeugung von Reibungsbremskraft aufgrund der Kraftstellgröße bereitzustellen und eine Aktuationsgröße auszugeben, und eine Bremskrafteinheit, die eingerichtet ist, Funktionen zur Erzeugung von Reibungsbremskraft aufgrund von der Aktuationsgröße bereitzustellen, und einem ersten Bremspfad, aus Funktionen, welche zwischen einer Kontrolleingabe des Bremssystems und der Erzeugung von Bremskraft aktiv sind, und einem zweiten Bremspfad, aus Funktionen, welche zwischen Kontrolleingaben des Bremssystems und der Erzeugung von Bremskraft aktiv sind.

Vorteilhaft ist, wenn der erste Bremspfad eingerichtet ist Bremsfunktionen mit geringer Sicherheitsintegrität bereitzustellen und der zweite Bremspfad eingerichtet ist, Bremsfunktionen mit hoher Sicherheitsintegrität bereitzustellen. Bremsfunktionen mit hoher Sicherheitsintegrität können einen höheren Sicherheitsintegritätslevel aufweisen, als Bremsfunktionen mit geringer Sicherheitsintegrität.

Vorteilhaft ist, wenn das Bremssystem, insbesondere die Bremskrafteinheit ferner eine erste Gruppe von geteilten Funktionsteilen aufweist, die Teil des ersten Bremspfads und Teil des zweiten Bremspfads sind und eingerichtet sind, eine Reibkraft so zu erzeugen, dass das Schienenfahrzeug verzögert wird.

Vorteilhaft ist, wenn der Erweiterungsfunktionsträger dazu eingerichtet ist, Bremsfunktionen des zweiten Bremspfads bereitzustellen.

Vorteilhaft ist, wenn der Erweiterungsträger eingerichtet ist, Sensorgrößen zu empfangen oder Erweiterungsgrößen auszugeben.

Vorteilhaft ist, wenn die erste Bremssteuerungseinheit eingerichtet ist, Erweiterungsgrößen zu empfangen und Kraftstellgrößen auszugeben, die erste Aktuatorsteuerungseinheit eingerichtet ist, Kraftstellgrößen zu empfangen und Aktuationsgrößen auszugeben, die zweite Bremssteuerungseinheit eingerichtet ist, eine Kraftstellgröße oder eine Erweiterungsgröße zu empfangen und eine Kraftstellgröße oder einen Umschaltbefehl auszugeben, die zweite Aktuatorsteuerungseinheit eingerichtet ist, eine Kraftstellgröße oder einen Umschaltbefehl zu empfangen und eine Aktuationsgröße oder einen Umschaltbefehl auszugeben, oder die Bremskrafteinheit eingerichtet ist, einen Umschaltbefehl oder eine Aktuationsgröße zu empfangen. Vorteilhaft ist, wenn die erste Bremssteuerungseinheit und die erste Aktuatorsteuerungseinheit eingerichtet sind, Bremsfunktionen des ersten Bremspfads bereitzustellen, die zweite Bremssteuerung und die zweite Aktuatorsteuerungseinheit eingerichtet sind, Bremsfunktionen des zweiten Bremspfads bereitzustellen und die Bremskrafteinheit eingerichtet ist, Bremsfunktionen des ersten Bremspfads oder des zweiten Bremspfads bereitzustellen.

Vorteilhaft ist, wenn das Bremssystem ferner eine Energieversorgungseinheit aufweist, die eingerichtet ist, die Bauteile des Bremssystems mit elektrischer Energie für deren Betrieb zu versorgen.

Vorteilhaft ist, wenn die erste Bremssteuerungseinheit, die zweite Bremssteuerungseinheit, die erste Aktuatorsteuerungseinheit, die zweite Aktuatorsteuerungseinheit oder die Bremskrafteinheit eingerichtet ist, ein Umschaltsignal zu empfangen und bei Empfang des Umschaltsignals von dem ersten Bremspfad auf den zweiten Bremspfad umzuschalten, oder von dem zweiten Bremspfad auf den ersten Bremspfad umzuschalten.

Vorteilhaft ist, wenn die erste Bremssteuerungseinheit, die zweite Bremssteuerungseinheit, die erste Aktuatorsteuerungseinheit, die zweite Aktuatorsteuerungseinheit oder die Bremskrafteinheit eine Umschalteinheit aufweist und eingerichtet ist, einen Umschaltzustand zu ermitteln und ein Umschaltsignal auszugeben, wenn ein Umschaltzustand ermittelt wird.

Vorteilhaft ist, wenn das Bremssystem eingerichtet ist, eine Sicherheitsfunktion auszuführen.

Vorteilhaft ist, wenn die Sicherheitsfunktion eine aus der Gruppe von Sicherheitsfunktionen mit den Elementen Bremspfadmonitor, Aktuatormonitor, Versorgungsmonitor, Entscheider und Datenspeicherfunktion ist. Vorteilhaft ist, wenn die Energieversorgungseinheit eingerichtet ist, die Sicherheitsfunktion des Versorgungsmonitors auszuführen und die zweite Bremssteuerungseinheit eingerichtet ist, die Sicherheitsfunktionen des Bremspfadmonitors, des Aktuatormonitors, der Datenspeicherfunktion und des Entscheiders auszuführen.

Vorteilhaft ist, wenn die Bremskrafteinheit eingerichtet ist, eine Kraftstellgröße oder eine Aktuationsgröße zu erhalten und die Gruppe von Funktionsteilen so zu steuern, dass das Schienenfahrzeug verzögert wird.

Vorteilhaft ist, wenn das Bremssystem, insbesondere die Bremssteuerung oder der Aktuator eine Energieversorgungseinheit aufweist.

Offenbart wird ferner ein Schienenfahrzeug mit einem Bremssystem nach einem der vorhergehenden Ansprüche.

Offenbart wird ferner ein Bremsverfahren für ein Schienenfahrzeug, das die Schritte aufweist: a) Bereitstellen von Bremsfunktionen durch eine erste Bremssteuerungseinheit in einer Bremssteuerung, b) Ausgeben einer Kraftstellgröße durch die erste Bremssteuerungseinheit, c) Bereitstellen von Bremsfunktionen zur Erzeugung von Reibungsbremskraft durch eine erste Aktuatorsteuerungseinheit in der Bremssteuerung aufgrund der Kraftstellgröße aus Schritt b), d) Ausgeben einer Aktuationsgröße durch die erste Aktuatorsteuerungseinheit, e) Bereitstellen von Bremsfunktionen durch eine Erweiterungseinheit in einem Erweiterungsfunktionsträger, f) Bereitstellen von Bremsfunktionen durch eine zweite Bremssteuerungseinheit in einem Aktuator, g) Ausgeben einer Kraftstellgröße durch die zweite Bremssteuerungseinheit, h) Bereitstellen von Bremsfunktionen zur Erzeugung von Reibungsbremskraft durch eine zweite Aktuatorsteuerungseinheit in dem Aktuator aufgrund der Kraftstellgröße aus Schritt e), i) Ausgeben einer Aktuationsgröße durch die erste Aktuatorsteuerungseinheit, j) Bereitstellen von Bremsfunktionen zur Erzeugung von Reibungsbremskraft durch eine Bremskrafteinheit aufgrund der Aktuationsgröße aus Schritt d) oder h), k) Bereitstellen eines ersten Bremspfades, der Funktionen aufweist, die zwischen Kontrolleingaben des Bremssystems und der Erzeugung von Bremskraft aktiv sind, und I) Bereitstellen eines zweiten Bremspfades, der Funktionen aufweist, die zwischen Kontrolleingaben des Bremssystems und der Erzeugung von Bremskraft aktiv sind.

Vorteilhaft ist, wenn der erste Bremspfad aus Schritt k) eingerichtet ist, Bremsfunktionen mit geringer Sicherheitsintegrität bereitzustellen und der zweite Bremspfad aus Schritt I) eingerichtet ist, Bremsfunktionen mit hoher Sicherheitsintegrität bereitzustellen.

Vorteilhaft ist, wenn Schritt a), Schritt c), Schritt e), Schritt f), Schritt h) oder Schritt j) die Schritte aufweist: aa) Bereitstellen von Bremsfunktionen des ersten Bremspfads, und ab) Bereitstellen von Bremsfunktionen des zweiten Bremspfads.

Vorteilhaft ist, wenn Schritt a), Schritt c), Schritt e), Schritt f), Schritt h) und Schritt j) die Schritte aufweist: ac) Bereitstellen von Bremsfunktionen des ersten Bremspfads, oder ad) Bereitstellen von Bremsfunktionen des zweiten Bremspfads.

Vorteilhaft ist, wenn die Bremsfunktionen aus Schritt e) solche des zweiten Bremspfades sind.

Vorteilhaft ist, wenn ferner die Schritte aufgewiesen werden: m) Empfang von Sensorgrößen durch den Erweiterungsfunktionsträge, n) Verarbeitung der Sensorgrößen aus Schritt m) durch den Erweiterungsfunktionsträger.

Vorteilhaft ist, wenn ferner die Schritte aufgewiesen werden: o) Ausgeben von Erweiterungsgrößen durch den Erweiterungsfunktionsträger.

Vorteilhaft ist, wenn ferner mindestens einer der Schritte aufgewiesen wird: p) Empfangen einer Erweiterungsgröße durch die erste Bremssteuerungseinheit, q) Ausgeben einer Kraftstellgröße durch die erste Bremssteuerungseinheit, r) Empfangen einer Kraftstellgröße durch die erste Aktuatorsteuerungseinheit, s) Ausgeben einer Aktuationsgröße durch die erste Aktuatorsteuerungseinheit, t) Empfangen einer Kraftstellgröße oder einer Erweiterungsgröße durch die zweite Bremssteuerungseinheit, u) Ausgeben einer Kraftstellgröße oder eines Umschaltbefehls durch die zweite Bremssteuerungseinheit, v) Empfangen einer Kraftstellgröße oder eines Umschaltbefehls durch die zweite Aktuatorsteuerungseinheit, w) Ausgeben einer Aktuationsgröße oder eines Umschaltbefehls durch die zweite Aktuatorsteuerungseinheit, oder x) Empfangen eines Umschaltbefehls oder einer Aktuationsgröße durch die Bremskrafteinheit.

Die hier offenbarten erfinderischen Gedanken haben das Ziel, die Entwicklung eines alternativen auf einem elektro-mechanischen Wirkprinzip basierenden Reibungsbremssystems mit Hilfe von Sicherheitsfunktionen zu ermöglichen. Die Gründe und technischen Vorteile eines solchen Systems können ohne Anspruch auf Vollständigkeit einen oder mehrerer der folgenden Punkte umfassen:

• Reduktion von Systemgewicht aufgrund der Vermeidung von peripheren Zusatzsystemen zur Energieumwandlung wie Kompressor sowie der Versorgungs- Infrastruktur der Pneumatik, die üblicherweise aus einer Anordnung von Rohren besteht.

• Gestaltung der Bremssystemfunktionen mit Methoden der Elektronik und Software zur Vereinfachung von Systembaukästen und Ermöglichen von Funktionen in Abhängigkeit von Kundenwünschen, Marktanforderungen oder Fahrzeuggattung.

• Ermöglichen von situationsabhängigem dynamischem Verhalten zur Betriebszeit des Systems aufgrund von Elektronik und Software zur Erhöhung der Bremsqualität z.B. bezüglich Bremsweg oder Bremskomfort.

• Erhöhung der Dynamik des Bremskraftvariation, d.h. des Zustandswechsels der Bremse zur Verbesserung der Bremsqualität, beispielsweise bei der Gleitschutzfunktion.

• Verbesserung der Wartung, Fehleraufdeckung sowie der Überwachbarkeit von Subkomponenten aufgrund von zusätzlicher Sensorik und zugehöriger Auswerteelektronik und -software, beispielsweise der Erfassung des Zustands des Bremsbelages. Die Herausforderung zur Etablierung eines Bremssystems, basierend auf einem elektro-mechanischen Wirkprinzip, ist die Realisierung eines Paradigmenwechsels und der Abkehr von den Prinzipien der pneumatischen Reibungsbremse, welche in ihren Grundfunktionen ohne die Domänen Software, Elektronik und Elektrik, sondern mittels rein mechanischer Prinzipien realisierbar ist. Die Erfindung liefert dazu Vorrichtungen und Verfahren, welche die Wirksamkeit und Zuverlässigkeit der neuen Technologieform bestätigen und eine Änderung der zugehörige Normenlage erlauben, die solche Systeme für deren Markteinführung zulässt. Hierzu offenbart dieses Dokument eine Systemarchitektur, die zunächst grundsätzliche Sicherheitsfunktionen und Prinzipien beinhaltet, wodurch ein solches Bremssystem ein der bestehenden pneumatischen Bremse zumindest gleichwertiges Ausfall- und Betriebsverhalten erreicht. Ein Vorschlag für die hierfür benötigten Prinzipien und systematische Funktionsstrukturen wird nachfolgend beschrieben.

Im Folgenden werden die Ausführungsbeispiele der Erfindung mittels der Figuren beschrieben.

Figur 1 zeigt ein Schienenfahrzeugverbund mit erfindungsgemäßen Bremssystemen.

Figur 2 zeigt ein erfindungsgemäßes Bremssystem.

Figur 3 zeigt ein Blockschaltbild eines ersten Ausführungsbeispiels eines erfindungsgemäßen Bremssystems.

Figur 4 zeigt ein Blockschaltbild eines zweiten Ausführungsbeispiels eines erfindungsgemäßen Bremssystems.

Figur 5 zeigt ein Blockschaltbild eines dritten Ausführungsbeispiels eines erfindungsgemäßen Bremssystems.

Figur 6 zeigt ein Blockschaltbild eines vierten Ausführungsbeispiels eines erfindungsgemäßen Bremssystems. Figur 7 zeigt ein Blockschaltbild einer ersten Abwandlung des vierten Ausführungsbeispiels.

Figur 8 zeigt ein Blockschaltbild einer zweiten Abwandlung des vierten Ausführungsbeispiels.

Figur 9 zeigt ein Blockschaltbild eines fünften Ausführungsbeispiels eines erfindungsgemäßen Bremssystems.

Figur 10 zeigt ein Blockschaltbild eines sechsten Ausführungsbeispiels eines erfindungsgemäßen Bremssystems.

Figur 11 zeigt ein Blockschaltbild eines siebten Ausführungsbeispiels eines erfindungsgemäßen Bremssystems.

Figur 12 zeigt ein Blockschaltbild eines achten Ausführungsbeispiels eines erfindungsgemäßen Bremssystems.

Figur 13 zeigt ein Blockschaltbild eines neunten Ausführungsbeispiels eines erfindungsgemäßen Bremssystems.

Figur 14 zeigt ein Blockschaltbild für einen Umschaltvorgang für die Ausführungsbeispiele 2 bis 9.

Anhand Fig. 1 wird ein erstes Ausführungsbeispiel der Erfindung beschrieben.

Fig. 1 offenbart einen Schienenfahrzeugverbund 1 mit Schienenfahrzeugen 110, 150, 160. Der Schienenfahrzeugverbund weist einen angetriebenen Wagen 110 auf, bei dem ein Antriebsmittel 112, der im Ausführungsbeispiel durch einen Elektromotor implementiert wird, vorgesehen ist. Die durch das Antriebsmittel 112 bereitgestellte Antriebskraft wird über angetriebene Radachsen 114 auf Antriebsräder 116 übermittelt. Die Antriebsräder 116 laufen auf Schienen 118. Ferner weist er angetriebene Wagen 110 einen Stromabnehmer 120 auf, über den der Zugverbund 1 über eine Oberleitung 122 und die Schiene 118 mit elektrischer Energie versorgt wird. Über einen Akkumulator 123 wird elektrische Energie zwischengespeichert.

Der angetriebene Wagen 110 weist einen Führerstand 124 auf. In diesem kann der Zugverbund von einem Zugführer (nicht dargestellt) gesteuert werden.

Ein Bremssystem 200, über das der Zugverbund 1 verzögert werden kann, wird später anhand von Fig. 2 beschrieben.

Über eine Kupplung 140 ist der angetriebene Wagen 110 mit einem oder mehreren gezogenen Wagen 150 verbunden. Beim Vorhandensein mehrerer gezogener Wagen 150 sind diese untereinander ebenfalls mit einer Kupplung 140 verbunden. Der gezogene Wagen 150 weist nicht angetriebene Radachsen 154 mit nicht angetriebenen Rädern 156 auf.

Der gezogene Wagen 150 weist ein Bremssystem 152 auf, über das der Zugverbund 1 verzögert werden kann. Im Ausführungsbeispiel ist das Bremssystem 152 des gezogenen Wagens identisch aufgebaut, wie das Bremssystem 200 des angetriebenen Wagens. Zu dessen Beschreibung wird auf die Beschreibung des Bremssystems 200 des angetriebenen Wagens verwiesen.

Ein letzter gezogener Wagen 160 im Zugverbund 1 ist als Endwagen konfiguriert. Er ist aufgebaut wie der gezogene Wagen 150, verfügt für die Rückwärtsfahrt aber über einen eigenen Führerstand 162.

Über die Kupplungen 140 werden Zug- und Druckkräfte zwischen den jeweiligen Wagen 110, 150, 160 des Zugverbunds übertragen. Ferner werden über die Kupplungen 140 über eine elektrische Versorgungsleitung 126 alle Wagen des Zugverbundes über den angetriebenen Wagen 110 und den Stromabnehmer 120 mit elektrischer Energie versorgt. Ferner werden über die Kupplungen 140 über eine Steuerleitung 128 alle Wagen des Zugverbundes 1 verbunden, sodass Datenkommunikation zwischen den Wagen 110, 150, 160 des Zugverbundes 1 erfolgen kann. Im Ausführungsbeispiel ist die Steuerleitung als CAN-Bus ausgestaltet, über den Komponenten in den Wagen 110, 150, 160 miteinander Sensor- und Steuerdaten austauschen können.

Anhand von Fig. 2 wird das Bremssystem 200 beschrieben. Das Bremssystem 200 ist ein elektromechanisches Bremssystem. Das elektromechanische Bremssystem ist ein Bremssystem, das die Fähigkeit zur Erzeugung einer Verzögerungs-ZBremskraft eines Fahrzeuges mittels elektronischer, elektrischer und mechanischer Komponenten bereitstellt. Das Bremssystem 200 verfügt über eine Energieversorgungsschnittstelle 202, die mit der elektrischen Versorgungsleitung 126 verbunden ist und über das das Bremssystem mit Betriebsenergie versorgt wird. Ferner verfügt das Bremssystem 200 über eine Steuerleitungsschnittstelle 204, die mit der Steuerleitung 128 verbunden ist. Das Bremssystem 200 verfügt über ein bewegtes, insbesondere rotatorisches Reibelement in Form einer Bremsscheibe 206, die drehfest mit einer der Achsen 114, 154 so verbunden ist, dass Drehmoment zwischen der Radachse 114, 154 und der Bremsscheibe 206 übertragen werden kann. Ein Bremssattel 208 ist so im Wagen angebracht, dass er sich relativ zum Wagen nicht bewegt und weist statische Reibelemente in Form von Bremsbacken 210 auf, die so im Bremssattel 208 gelagert sind, dass sie zur Bremsscheibe 206 hin und weg bewegt werden können. Über Reibelementantriebsmittel in Form eines Bremsaktuatormotors 212 und eines Spindelantriebs 214 können die Bremsbacken 210 mit einer Bewegungskomponente senkrecht zur Rotationsachse der Bremsscheibe 206 bewegt und zwischen den Bremsbacken 210 und der Bremsscheibe 206 Reibung erzeugt werden, zwischen dem Bremssattel 208 und der Bremsscheibe ein Drehmoment übertragen werden und der Wagen damit verzögert werden.

Die Gruppe an Elementen bestehend aus der Bremsscheibe 206, dem Bremssattel 208, den Bremsbacken 210, dem Bremsaktuatormotor 212 und dem Spindelantrieb 214 werden in dieser Erfindung als höchst zuverlässige Funktionsteile 126 verstanden, da sie auf bewährten unverlierbare Funktionsmechanismen beruhen und inhärente Sicherheitseigenschaften besitzen. Anhand von Fig. 3 wird eine Sicherheitsarchitektur eines ersten Ausführungsbeispiels des Bremssystems 200 beschrieben.

Das Bremssystem 200 nach dem ersten Ausführungsbeispiel verfolgt das Ziel, eine Reibungsbremskraft zur Verzögerung der Fahrzeugmasse des Schienenfahrzeugverbundes 1 zu erzeugen, denn mit einem solchen Bremssystem ist es möglich, Betriebsbremsfunktionen und sicherheitsrelevante Bremsfunktionen, wie Notbremsfunktion, Schnellbremsfunktion oder Parkbremsfunktion bereitzustellen.

Dafür weist das Bremssystem eine Sicherheitsarchitektur mit zwei verschiedenen Integritätseinstufungen zum Betrieb eines elektromechanischen Bremssystems in schienengebundenen Fahrzeugen auf. Verfolgt wird hierbei eine fehlerreaktive (sog. reactive fail-safe) Architektur zur Erlangung der funktionalen Sicherheit des Bremssystems, welche sich in einen Sicherheitsbremspfad mit hoher Integrität und einen Betriebsbremspfad mit niedriger Integrität aufteilt.

Das elektromechanische Bremssystem 200 erhält über die Steuerleitungsschnittstelle 204 Kontrolleingaben 218, beispielsweise eine vom Zugführer ausgelöste Betriebsbremsfunktion oder eine durch einen Notbremsmechanismus ausgelöste Notbremsfunktion.

Ferner erhält das elektromechanische Bremssystem 200 über die Steuerleitungsschnittstelle 204 Fahrzeugzustandsgrößeneingaben 220, beispielsweise mittels Sensoren erfasste Raddrehzahlen, über Sensoren oder mittels manueller Eingabe erfasste Wagengewichte, etc.

Ferner erhält das elektromechanische Bremssystem 200 über die Steuerleitungsschnittstelle 204 Bremssystemzustandsgrößeneingaben 222, beispielsweise mittels Sensoren erfasste Reibelementtemperaturen, Stellung der Reibelementantriebsmittels 212 oder der Bremskrafteinheit, etc. Das elektromechanische Bremssystem 200 wird über die Energieversorgungsschnittstelle mit elektrischer Energie versorgt. Die Energieversorgung dient zum einen, elektronische Bauteile so mit Strom zu versorgen, dass die durch die Bauteile vorgesehenen Funktionen, insbesondere Steuerfunktionen bereitgestellt werden können. Die Energieversorgung dient zum anderen oder alternativ dazu, die Bremsenergie aufzubringen, das ist im Ausführungsbeispiel die mechanischen Energie, mit der mittelbar oder unmittelbar die Bremsbacken 210 gegen die Bremsscheiben 206 gepresst werden. Diese Energie ist im vorliegenden Fall elektrische Energie zum Antreiben des Bremsaktuatormotors 212. Insbesondere für den Sicherheitsbremsfall kann die Energieversorgung auch in mechanischer Energie bestehen, beispielsweise durch eine Kraft, die durch ein vorgespanntes Federpaket, dass im Sicherheitsbremsfall ausgelöst wird.

Das elektromechanische Bremssystem 200 weist als funktionale Baugruppe eine Bremssteuerungseinheit 224 auf. Diese Baugruppe liefert eine Menge von Funktionen zur Bereitstellung von zugweiten und lokalen Brems- und Erweiterungsfunktionen aufgrund der Kontrolleingaben 218, Fahrzeugzustandsgrößeneingaben 220 oder Bremssystemzustandsgrößeneingaben 222. In der Bremssteuerungseinheit 224 ist ein erster Steuerungspfad 226 implementiert, wobei der erste Steuerungspfad 226 Teil eines Betriebsbremspfads 228 (gepunktete Kontur) ist. Der Betriebsbremspfad 228 ist ein Bremspfad als Serie von Funktionen, welche in ihrer Gesamtheit einen Bremsvorgang mit niedriger Sicherheitsintegrität umsetzen. In der Bremssteuerungseinheit 224 ist ein zweiter Steuerungspfad 230 implementiert, wobei der zweite Steuerungspfad 230 Teil eines Sicherheitsbremspfads 232 ist (gestrichelte Kontur). Der Sicherheitsbremspfad 232 ist ein Bremspfad als Serie von Funktionen, insbesondere Sicherheitsbremsfunktionen, welche in ihrer Gesamtheit einen Bremsvorgang mit hoher Sicherheitsintegrität umsetzen, d.h. mindestens eine Sicherheitsbremsfunktion implementieren.

Das elektromechanische Bremssystem 200 weist als funktionale Baugruppe eine Bremskrafteinheit 234 auf. Diese Baugruppe liefert eine Menge von Funktionen zur Erzeugung von Reibungsbremskraft aufgrund der Kontrolleingaben 218, Fahrzeugzustandsgrößeneingaben 220 oder Bremssystemzustandsgrößeneingaben 222. In der Bremskrafteinheit 234 ist ein erster Funktionsteil 236 implementiert, wobei der erste Funktionsteil 236 Teil des Betriebsbremspfads 228 ist und Funktionen zur Bremskrafterzeugung im ersten Pfad bereitstellt. In der Bremskrafteinheit 234 ist ein zweiter Funktionsteil 238 implementiert, wobei der zweite Funktionsteil 238 Teil eines Sicherheitsbremspfads 232 ist und Funktionen zur Bremskrafterzeugung im zweiten Pfad bereitstellt.

Das elektromechanische Bremssystem 200 weist, wie oben beschrieben, die höchst zuverlässigen Funktionsteile 216 auf. Die höchst zuverlässigen Funktionsteile 216 bilden in ihrer Gesamtheit sowohl einen Teil des Betriebsbremspfads 228 als auch einen Teil des Sicherheitsbremspfads 232. Durch die höchst zuverlässigen Funktionsteile 216 wird eine Reibungsbremskraft 240 erzeugt

Sicherheitsrelevante Bremsfunktionen (auch Sicherheitsbremsfunktionen) erfordern eine hohe Sicherheitsintegrität, d.h. eine hohe Wirksamkeit der Sicherheitsfunktionen unter anforderungsgemäßen Bedingungen. Die Funktionssicherheit des Bremssystems 200 in elektrischer/elektronischer Ausführung ist hierbei abhängig von der Komplexität der funktionalen Umsetzung und kann insbesondere nur in Abhängigkeit dieser Komplexität validiert werden. Bei einer Zunahme der Komplexität bezüglich Software oder Elektronik droht eine bezüglich Sicherheitsvalidierung nicht mehr handhabbare Zustandsraumexplosion. Die Bereitstellung der Sicherheitsfunktionen oder höchst integre Mindestfunktionen der Sicherheitsfunktionen, welche in allen degradierten Zuständen, d.h. in allen Zuständen, in denen das Bremssystemen unterhalb der nominalen Funktionsfähigkeit arbeitet, verfügbar sind, werden daher mittels einer Anordnung möglichst weniger Elemente, welche vereinfacht, statisch bzw. entweder zustandsunabhängig oder von einer eingeschränkten Anzahl von Zuständen abhängig ausgeführt sind, erreicht. Diese Ausgestaltung erlaubt eine vereinfachte Validierung und Verifikation oder ermöglicht diese erst grundsätzlich. Diese Sicherheitsfunktionen werden daher im Sicherheitsbremspfad 232 ausgeführt. Technisch wird dies als Umsetzung heutiger Wirkprinzipien mit elektrischen, elektronischen oder mechanischen Mitteln, sowie aus Kombinationen dieser Mittel ausgeführt. Der Sicherheitsbremspfad 232 ist in diesem Sinne darüber hinaus dominant zum Betriebsbremspfad 228 ausgeführt und wird diesen situationsabhängig überbrücken bzw. durch Aktivierung von Umschaltvorgängen deaktivieren. In diesem Zusammenhang sind weiterhin Sicherheitsfunktionen Teil des Pfades um die Integrität des Gesamtsystems oder seine Subkomponenten zu beurteilen und dem Sicherheitsbremspfad eine Entscheidungsgrundlage für Umschaltvorgänge bzw. zur Wiederherstellung der notwendigen Sicherheitsbremsfunktionen zu ermöglichen.

Da ein auf einem elektromechanischen Prinzip basierendes Bremssystem 200 die Möglichkeit eröffnet, bisherige rein mechanisch ausgeführte technische Lösungen mittels Softwarefunktionen auszuführen, ergibt sich abhängig von der projektspezifischen Anwendung jedoch eine erhöhte Komplexität der Funktionen hinsichtlich Parameter und Varianten. Auch sind situationsabhängige, dynamisch und zeitvariant agierende Erweiterungsfunktionen in der Software des Bremssystems zur Erhöhung der Bremsqualität in einem solchen System implementierbar. Dieser komplexe Anteil als Kombination aus Elektronik, Elektrik und Software kann daher als Teil der Bremssteuerungseinheit 224 und dem ersten Funktionsteil 236 der Bremskrafteinheit 234 mit jeweils niedriger Integrität vorgesehen werden, um die Integrität der Sicherheitsfunktionen nicht zu verletzen. Die mit dieser Software zur Verfügung gestellten Bremsfunktionen sind entweder ergänzend zu den sicherheitsrelevanten Bremsfunktionen (z.B. Not-Bremse/Schnellbremse, Parkbremse) vorgesehen oder aber vollständig nicht den sicherheitsrelevanten Bremsfunktionen zugeordnet und werden daher den Betriebsbremsfunktionen während des Normalbetriebs des Schienenfahrzeuges 1 zugeordnet. Im Falle der Ergänzung sind diese Funktionen jedoch rückwirkungsfrei zu den Sicherheitsfunktionen sowie derart ausgeführt, so dass sie die Mindestfunktionen mit Höchstverfügbarkeit in keinem technischen Zustand verletzen, verhindern oder beinträchtigen.

Der Betriebsbremspfad 228 und der Sicherheitsbremspfad 232 nutzen zur Funktionserfüllung die höchst zuverlässigen Funktionsteile 216 der Bremskrafteinheit 234, die nicht redundant ausgeführt sind und für die unverlierbare funktionale Eigenschaften nachgewiesen werden können. Die höchst zuverlässigen Funktionsteile 216 können z.B. mechanische Komponenten (z.B. eine Bremszange) oder Elektromotoren umfassen. Die Anordnung des Betriebsbremspfads 228 und des Sicherheitsbremspfads 232 ist derart ausgeführt, dass die Bereitstellung des Sicherheitsbremspfades 232 und besonders dessen Mindestfunktionen unabhängig vom Verhalten des Betriebsbremspfades 228 ist. Der Betriebsbremspfad 228 ist auch insbesondere rückwirkungsfrei auf den Sicherheitsbremspfad 232 und auf die höchst zuverlässigen Funktionsteile 216 realisiert. Es ist sichergestellt, dass kein Einzelfehler einen Ausfall im Sicherheitsbremspfad 232 zur Folge hat.

Bei einem Ausfall von Betriebsbremsfunktionen oder Erweiterungsfunktionen im ersten Funktionsteil 236 wird je nach Bremsfunktion/-art auf den Sicherheitsbremspfad 232 umgeschaltet und die angeforderte Funktion mit zumindest den höchst integren Mindestfunktionen umgesetzt oder eine für die Betriebsart, die Ausfallart oder die Ausfallreichweite akzeptable Fehlerreaktion durchgeführt.

Anhand von Fig. 4 wird eine Sicherheitsarchitektur eines zweiten Ausführungsbeispiels eines Bremssystems 300 beschrieben.

Das Bremssystem 300 entspricht dem Bremssystem 200 des ersten Ausführungsbeispiels. Für dessen Beschreibung und Beschreibung von dessen Bestandteilen sei auf das erste Ausführungsbeispiel verwiesen, soweit sich aus der nachfolgenden Beschreibung keine Abweichungen hierzu ergeben.

Das Bremssystem 300 nach dem zweiten Ausführungsbeispiel verfolgt das Ziel, eine Reibungsbremskraft zur Verzögerung der Fahrzeugmasse des Schienenfahrzeugverbundes 1 zu erzeugen, denn mit einem solchen Bremssystem ist es möglich, Betriebsbremsfunktionen und sicherheitsrelevante Bremsfunktionen, wie Notbremsfunktion, Schnellbremsfunktion oder Parkbremsfunktion bereitzustellen.

Dafür weist das Bremssystem 300 eine Sicherheitsarchitektur mit zwei verschiedenen Integritätseinstufungen zum Betrieb eines elektromechanischen Bremssystems in schienengebundenen Fahrzeugen auf. Das elektromechanische Bremssystem 300 erhält über die Steuerleitungsschnittstelle 204 die Kontrolleingaben 218, beispielsweise eine vom Zugführer ausgelöste Betriebsbremsfunktion oder eine durch einen Notbremsmechanismus ausgelöste Notbremsfunktion.

Ferner erhält das elektromechanische Bremssystem 300 über die Steuerleitungsschnittstelle 204 die Fahrzeugzustandsgrößeneingaben 220, beispielsweise mittels Sensoren erfasste Raddrehzahlen, über Sensoren oder mittels manueller Eingabe erfasste Wagengewichte, etc.

Ferner erhält das elektromechanische Bremssystem 300 über die Steuerleitungsschnittstelle 204 die Bremssystemzustandsgrößeneingaben 222, beispielsweise mittels Sensoren erfasste Reibelementtemperaturen, Stellung der Reibelementantriebsmittels 212 oder der Bremskrafteinheit, etc.

Das elektromechanische Bremssystem 300 wird über die Energieversorgungsschnittstelle 202 mit elektrischer Energie versorgt (Energieversorgung 223).

Das elektromechanische Bremssystem 300 weist als funktionale Baugruppe eine Bremssteuerungseinheit 324 auf. Diese Baugruppe liefert eine Menge von Funktionen zur Bereitstellung von zugweiten und lokalen Brems- und Erweiterungsfunktionen aufgrund der Kontrolleingaben 218, Fahrzeugzustandsgrößeneingaben 220 oder Bremssystemzustandsgrößeneingaben 222. Die Bremssteuerungseinheit 324 ist zur Erzeugung von zumindest einem Kontroll- oder Stellsignal einer Kraftstellgröße 382 (z.B. Zuspannkraft, Bremsmoment) sowie bei Vorliegen von Umschaltzuständen von Umschaltbefehlen 380 eingerichtet, wobei das Kontroll- oder Stellsignal von den Kontrolleingaben 218, Fahrzeugzustandsgrößeneingaben 220 oder Bremssystemzustandsgrößeneingaben 222 abhängig sein kann,

In der Bremssteuerungseinheit 324 ist eine erste Funktionsgruppe 334 implementiert, wobei die erste Funktionsgruppe 334 Teil eines Betriebsbremspfads 328 ist und beispielsweise Bremsfunktionen und optional Erweiterungsfunktionen bereitstellt. In der Bremssteuerungseinheit 324 ist eine zweite Funktionsgruppe 336 implementiert, wobei die zweite Funktionsgruppe 336 Teil eines Sicherheitsbremspfads 232 ist und Sicherheitsbremsfunktionen oder deren Mindestfunktionen bereitstellt.

In der Bremssteuerungseinheit 324 ist eine dritte Funktionsgruppe 338 implementiert, wobei die dritte Funktionsgruppe 338 Sicherheitsfunktionen 340 implementiert. Die Existenz der dritten Funktionsgruppe 338 ist optional. Sicherheitsfunktionen sind Funktionen, die die Integrität der anderen Funktionen, insbesondere der Bremspfade, überwachen, diagnostizieren und bei Vorliegen eines Umschaltzustandes mittels Umschaltvorgängen einen Kompensationsvorgang durchführen kann um die Sicherheitsbremsfunktionen aufrecht zu erhalten oder wiederherzustellen. Sicherheitsfunktionen 340 sind beispielsweise ein Bremspfadmonitor 341 , der die Funktion eines Bremspfads überwacht, ein Aktuatormonitor 342, der die Funktion eines Aktuators überwacht, ein Versorgungsmonitor 343, der die Energieversorgung überwacht, einen Entscheider 344, der bestimmt, ob ein Umschaltzustand vorliegt, und eine Datenspeicherfunktion 345, mittels der Zustandsdaten protokolliert werden können oder invariable Steuerdaten abgerufen und angewendet werden können.

Der Bremspfadmonitor 341 ist eine Überwachungsfunktion des Bremspfades einschließlich der darin enthaltenen Betriebs-, Sicherheitsbremsfunktionen sowie Erweiterungsfunktionen, bis einschließlich der Erzeugung der Kraftstellgröße 382 mit dem Zweck, zumindest einen Umschaltbefehl zu erzeugen. Die Überwachungsfunktion enthält dabei zumindest die gesetzlich vorgeschriebenen Überwachungen von Brems- bzw. Erweiterungsfunktionen (z.B. Überwachung der Gleitschutzfunktion, vgl. UIC 541- 05 Kapitel V4.1.5 „Sicherheitsschaltung des Gleitschutzes“ sowie DIN EN 15595 Kapitel 5.1.3 „Sicherheitsschaltung (Sicherheitszeit)“).

Der Aktuatormonitor 342 ist eine Funktion zur Überwachung der Erfüllung dieser Kraftstellgröße 382 durch die Aktuatorsteuerungseinheit 348 gemeinschaftlich mit einer Bremskrafteinheit 358, sowie zur Zustandsüberwachung aller Funktionen der Bremskrafteinheit 358 mit dem Zweck den Sicherheitsbremspfad 232 und die höchst zuverlässigen Funktionsteile 316 zu schützen und in einer Umschaltsituation ein Umschaltsignal zu erzeugen. Die Funktion kann ferner einen Funktionsumfang umfassen, welcher die Eingangssignale durch den ersten Steuerungspfad 350 der Aktuatorsteuerungseinheit 348 überwacht und ggf. zu dem Schluss kommt, dass diese nichtplausibel oder fehlerhaft sind.

Der Versorgungsmonitor 343 ist eine Überwachungsfunktion einer Energieversorgungseinheit 370, welche insbesondere den Zustand einer vierten Umschalteinheit 378, einer externen Energieversorgung 374 oder eines Pufferspeichers 372 berücksichtigt und mittels einer Auswertelogik im Umschaltfall ein Umschaltsignal erzeugt.

Ein Entscheider 344 ist eine vierte Überwachungsfunktion, welche zumindest eine der vorher genannten Überwachungsfunktionen als Eingangsvariablen verwendet und im Umschaltfall ein Umschaltsignal 380 erzeugt, mit dem Zweck, die Umschalteinheiten 346, 356, 364, 378 der Bremssteuerungseinheit 324, der Aktuatorsteuerungseinheit 348 oder der Bremskrafteinheit 358 anzusteuern. Diese Funktion bewertet weiterhin optional die Eingangsgrößen (Kontrolleingaben, Fahrzeugzustandsgrößen, Bremssystemzustandsgrößen), um einen angeforderten Sollzustand zu ermitteln (z.B. Anforderung einer Sicherheitsbremsfunktion durch die Zugsteuerleitungen) und das Bremssystem 300 durch die Erzeugung von Befehlen an die Funktionseinheiten in diesen Zustand oder einen definierten sicheren Zustand zu überführen. Ein solches Umschaltsignal kann auch außerhalb des Bremssystems erzeugt und an das Bremssystem übermittelt werden.

Der Datenspeicher 345 ist eine Datenspeicherfunktion, welche zumindest einen Ersatzwert für die Kraftstellgröße 382 für zumindest eine Eingangsgröße des Entscheiders 344 zur Verfügung stellt und damit Parameter der Sicherheitsbremsfunktionen und darüber hinaus Kalibrierungsdaten oder aktuelle oder historische Zustandsdaten der Einheiten unverlierbar speichert und den anderen Funktionen zur Verfügung stellt.

Die dritte Funktionsgruppe 338 ist eingerichtet, in einem Umschaltzustand einen Umschaltbefehl für eine später beschriebene Aktuatorsteuerungseinheit oder Bremskrafteinheit zu erzeugen. Die Existenz der dritten Funktionsgruppe 338 ist optional.

In der Bremssteuerungseinheit 324 ist eine erste Umschalteinheit 346 implementiert, die eingerichtet ist, das Kontroll- oder Stellsignal im Fall einer Auslösung durch eine Sicherheitsfunktion auf Basis der dritten Funktionsgruppe 338 des Sicherheitsbremspfades 232 bereitzustellen und zusätzlich durch Hinzunahme oder alternativ alleinig auf Basis der Datenspeicherfunktion zu bilden.

Das elektromechanische Bremssystem 300 weist als funktionale Baugruppe eine Aktuatorsteuerungseinheit 348 auf. Diese Baugruppe liefert eine Menge von Funktionen zur Bereitstellung von Krafterzeugungsfunktionen im Bremspfad aufgrund von Kraftstellgrößen 382 aufgrund der Kontrolleingaben 218, Fahrzeugzustandsgrößeneingaben 220 oder Bremssystemzustandsgrößeneingaben 222. Die Aktuatorsteuerungseinheit 348 ist zur Erzeugung von zumindest einer Aktuationsgröße 384 als Kontroll- oder Stellsignal (z.B. einer Anregungsgröße für das Prinzip einer elektrischen Maschine) sowie bei Vorliegen eines Umschaltzustands eines Umschaltbefehls, für zumindest eine Bremskrafteinheit welche Kontrolleingaben von der Bremssteuerungseinheit 324 erhält, mit dem Ziel die Kraftstellgröße 382 umzusetzen.

In der Aktuatorsteuerungseinheit 348 ist ein erster Steuerungspfad 350 implementiert, wobei der erste Steuerungspfad 350 Teil des Betriebsbremspfads 228 ist. Der erste Steuerungspfad 350 ist zur Berechnung und Bewertung von Zustands- oder Prozessgrößen der Bremskrafteinheit (z.B. Kraftmessung, Positionsmessung) und zur Umsetzung von Kraftstellvorgängen als Teil der Betriebsbremsfunktionen mit Hilfe der Bereitstellung von Aktuationsgrößen 384 mit niedriger Sicherheitsintegrität eingerichtet.

In der Aktuatorsteuerungseinheit 348 ist ein zweiter Steuerungspfad 352 implementiert, wobei der zweite Steuerungspfad 352 Teil des Sicherheitsbremspfads 332 ist. Der zweite Steuerungspfad 352 ist zur Berechnung und Bewertung von Zustands- oder Prozessgrößen (z.B. Kraftmessung, Positionsmessung) der Bremskrafteinheit zur Umsetzung von Kraftstellvorgängen als Teil der Sicherheitsbremsfunktionen (z.B. Notbremse, Parkbremse) mit Hilfe der Bereitstellung von Aktuationsgrößen 384 in hoher Sicherheitsintegrität eingerichtet.

In der Aktuatorsteuerungseinheit 348 ist eine vierte Funktionsgruppe 354 implementiert, wobei die vierte Funktionsgruppe 354 eine oder mehrere der Sicherheitsfunktionen 340 implementiert. Die vierte Funktionsgruppe 354 ist eingerichtet, in einem Umschaltzustand einen Umschaltbefehl für eine später beschriebene Bremskrafteinheit zu erzeugen. Die Existenz der vierten Funktionsgruppe 354 ist optional.

In der Aktuatorsteuerungseinheit 348 ist eine zweite Umschalteinheit 356 implementiert, die eingerichtet ist, das Kontroll- oder Stellsignal im Umschaltfall jederzeit und rückwirkungsfrei durch einen zweiten Steuerungspfad (siehe unten) zu übernehmen oder überbrücken zu lassen. Die zweite Umschalteinheit 356 ist hierzu derart ausgebildet, um den ersten Steuerungspfad 350 wirkungsfrei zu schalten.

Das elektromechanische Bremssystem 300 weist als funktionale Baugruppe eine Bremskrafteinheit 358 auf. Diese Baugruppe liefert eine Menge von Funktionen zur Erzeugung von Reibungsbremskraft aufgrund der Kontrolleingaben 218, Fahrzeugzustandsgrößeneingaben 220 oder Bremssystemzustandsgrößeneingaben 222.

In der Bremskrafteinheit 358 ist ein erster Funktionsteil 360 implementiert, wobei der erste Funktionsteil 360 Teil des Betriebsbremspfads 228 ist. Der erste Funktionsteil 360 besteht aus einer mechatronischen Steuerungseinheit und elektrischen / elektronischen Krafterzeugungselementen (z.B. Leistungselektronik einer Elektromaschine) mit einer niedrigen Sicherheitsintegrität. Der erste Funktionsteil 360 ist optional.

In der Bremskrafteinheit 358 ist ein zweiter Funktionsteil 362 implementiert, wobei der zweite Funktionsteil 362 Teil eines Sicherheitsbremspfads 232 ist. Der zweite Funktionsteil 362 besteht aus einer mechatronischen Steuerungseinheit und elektrischen oder elektronischen Krafterzeugungselementen (z.B. Leistungselektronik einer Elektromaschine) mit einer hohen Sicherheitsintegrität. In der Bremskrafteinheit 358 ist eine dritte Umschalteinheit 364 implementiert, die eingerichtet ist, es der Aktuatorsteuerungseinheit 348 oder der Bremssteuerungseinheit 324 durch Einlesen von Umschaltbefehlen 380 zu ermöglichen, den Betriebsbremspfad 328 oder den Sicherheitsbremspfad 332 auszuwählen und zwischen beiden Pfaden rückwirkungsfrei umzuschalten. Die Umschalteinheit ist hierzu derart ausgebildet, dass sie den nicht-aktiven Bremspfad wirkungsfrei schaltet.

Die Bremskrafteinheit 358 weist höchst zuverlässige Funktionsteile 316 auf. Die höchst zuverlässigen Funktionsteile 316 bilden in ihrer Gesamtheit sowohl Teil des Betriebsbremspfads 328 als auch Teil des Sicherheitsbremspfads 332.

Optional weist die Bremskrafteinheit 358 weitere Funktionsteile auf, die gemeinschaftlich von dem ersten Funktionsteil 360 oder dem zweiten Funktionsteil 362 genutzt werden können und über unverlierbare funktionale Eigenschaften verfügen oder höchst zuverlässig ausgeführt sind (z.B. eine elektrische Maschine, mechanische Bremsanbauteile oder Sensoreinheiten).

Die Bremskrafteinheit 358 weist ferner gemeinschaftlich oder separat von den beiden Steuerpfaden genutzten Sensoreinheiten 366 zur Bestimmung von Zuständen der Bremskrafteinheit 358 (z.B. Strom, Kraft, Position) auf.

Das elektromechanische Bremssystem 300 weist als funktionale Baugruppe eine Energieversorgungseinheit 370 auf. Diese Baugruppe liefert eine Menge von Funktionen zur Bereitstellung einer Energieversorgung von Baugruppen des Bremssystems.

In der Energieversorgungseinheit 370 ist ein Pufferspeicher 372 implementiert. Der Pufferspeicher 372 ist eingerichtet, eine definierte Energiemenge zur Aufrechterhaltung von zumindest einer der Sicherheitsbremsfunktionen oder deren Mindestfunktionen mit zumindest einer vollständigen Betätigung zu ermöglichen und die Einheiten des Bremssystems 300 mit ausreichend Betriebsenergie zu versorgen. Die Energieversorgungseinheit 370 weist eine externe Energieversorgung 374 über die Energieversorgungsschnittstelle 302 auf. Die externe Energieversorgung 374 stellt im Normalbetrieb die Energieversorgung der Baugruppen des Bremssystems 300 bereit.

In der Energieversorgungseinheit 370 ist eine fünfte Funktionsgruppe 376 implementiert, wobei die fünfte Funktionsgruppe 376 eine oder mehrere der Sicherheitsfunktionen 340 implementiert. Die fünfte Funktionsgruppe 376 ist eingerichtet, in einem Umschaltzustand einen Umschaltbefehl 380 für die Bremssteuerungseinheit 324, die Aktuatorsteuerungseinheit 348 oder die Bremskrafteinheit 358 zu erzeugen. Die Existenz der fünften Funktionsgruppe 376 ist optional.

In der Energieversorgungseinheit 370 ist eine vierte Umschalteinheit 378 implementiert, die im Falle eines Versorgungsfehlers oder -ausfalls der externen Energieversorgung die Versorgung aller Einheiten des Bremssystems 300 auf den Pufferspeicher 372 umschaltet und ihren inneren Zustand der Funktionsgruppe der Sicherheitsfunktionen bekannt macht.

Anhand von Fig. 5 wird eine Sicherheitsarchitektur eines dritten Ausführungsbeispiels eines Bremssystems 400 beschrieben.

Das Bremssystem 400 entspricht dem Bremssystem 300 des zweiten Ausführungsbeispiels. Für dessen Beschreibung und Beschreibung von dessen Bestandteilen sei auf das zweite Ausführungsbeispiel und Fig. 4 verwiesen, soweit sich aus der nachfolgenden Beschreibung keine Abweichungen hierzu ergeben.

Das Bremssystem 400 nach dem dritten Ausführungsbeispiel verfolgt das Ziel, eine Reibungsbremskraft zur Verzögerung der Fahrzeugmasse des Schienenfahrzeugverbundes 1 zu erzeugen, denn mit einem solchen Bremssystem ist es möglich, Betriebsbremsfunktionen und sicherheitsrelevante Bremsfunktionen, wie Notbremsfunktion, Schnellbremsfunktion oder Parkbremsfunktion bereitzustellen. Dafür weist das Bremssystem 400 eine Sicherheitsarchitektur mit zwei verschiedenen Integritätseinstufungen zum Betrieb eines elektromechanischen Bremssystems in schienengebundenen Fahrzeugen auf.

Das elektromechanische Bremssystem 400 erhält über eine Steuerleitungsschnittstelle 204 Kontrolleingaben 218, beispielsweise eine vom Zugführer ausgelöste Betriebsbremsfunktion oder eine durch einen Notbremsmechanismus ausgelöste Notbremsfunktion.

Ferner erhält das elektromechanische Bremssystem 400 über die Steuerleitungsschnittstelle 204 Fahrzeugzustandsgrößeneingaben 220, beispielsweise mittels Sensoren erfasste Raddrehzahlen, über Sensoren oder mittels manueller Eingabe erfasste Wagengewichte, etc.

Ferner erhält das elektromechanische Bremssystem 400 über die Steuerleitungsschnittstelle 204 Bremssystemzustandsgrößeneingaben 222, beispielsweise mittels Sensoren erfasste Reibelementtemperaturen, Stellung von Reibelementantriebsmittel 212 oder der Bremskrafteinheit, etc.

Das elektromechanische Bremssystem 400 wird über die

Das elektromechanische Bremssystem 400 weist eine Bremssteuerung 480 als Bauteil als Funktionsträger zur Erfüllung von Bremssteuerungsaufgaben auf. Die Bremssteuerung 480 ist als Bauteil mit geringer Sicherheitsintegrität vorgesehen, ist Teil des Betriebsbremspfads 228 und ist im Wagen oder Wagenkasten des angetriebenen Wagens 110 oder des gezogenen Wagens 150 untergebracht.

Das elektromechanische Bremssystem 400 weist einen Aktuator 482 als Bauteil als Funktionsträger zur Erfüllung von Bremsstellaufgaben auf. Der Aktuator 482 ist als Bauteil mit hoher Sicherheitsintegrität vorgesehen, ist Teil des Sicherheitsbremspfads 232 und ist im Drehgestell nahe der Reibungskrafterzeugung untergebracht. Das elektromechanische Bremssystem 400 weist eine Energieversorgung 484 als Bauteil als Funktionsträger zur Umsetzung der Energieversorgungseinheit auf. Die Energieversorgung 484 ist als Bauteil mit hoher Sicherheitsintegrität vorgesehen, ist Teil des Sicherheitsbremspfads 232 und ist im Wagen oder Wagenkasten vorgesehen.

Die Bremssteuerung 480 weist eine erste Bremssteuerungseinheit 486 und eine erste Aktuatorsteuerungseinheit 488 auf. Die erste Bremssteuerungseinheit 486 implementiert Teile der Bremssteuerungseinheit 324. Es werden von der ersten Bremssteuerungseinheit 486 die Bremsfunktionen der Bremssteuerungseinheit 324 implementiert, die Teil des Betriebsbremspfads 228 sind und sie erzeugt die Kraftstellgröße 382 (z.B. Soll-Zylinderkraft und Reduktionssignal) zur Bereitstellung für den Aktuator 482 und für die erste Aktuatorsteuerungseinheit 488. Die erste Aktuatorsteuerungseinheit 488 implementiert Teile der Aktuatorsteuerungseinheit 348, nämlich solche, die Teil des ersten Betriebsbremspfads 228 sind.. Es werden von der ersten Aktuatorsteuerungseinheit 488 erste Aktuationsgrößen 494 im Betriebsbremspfad 228, welche den ersten Steuerungspfad enthält, bereitgestellt.

Der Aktuator 482 weist eine zweite Bremssteuerungseinheit 490 und eine zweite Aktuatorsteuerungseinheit 492 auf. Die zweite Bremssteuerungseinheit 490 implementiert Teile der Bremssteuerungseinheit 324. Es werden von der zweiten Bremssteuerungseinheit 490 die zweite Funktionsgruppe 336 mit Bremsfunktionen der Bremssteuerungseinheit 324 implementiert, die Teil des Sicherheitsbremspfads 232 sind und eine Kraftstellgröße erzeugt zur Umsetzung der Sicherheitsbremsfunktionen und die ersten Aktuationsgrößen 494 zur Umsetzung der Betriebsbremsfunktionen erhält, welche die Sicherheitsfunktionen Bremspfadmonitor 341 , Aktuatormonitor 342, Entscheider 344 und Datenspeicher 345 umfassen. Die zweite Aktuatorsteuerungseinheit 492 implementiert Teile der Aktuatorsteuerungseinheit 348, nämlich solche, die Teil des Sicherheitsbremspfads 232 sind. Es werden von der zweiten Aktuatorsteuerungseinheit 492 die Aktuationsgrößen A 496 und Aktuationsgrößen B 297 im Sicherheitsbremspfad 432 bereitgestellt. Der Aktuator 482 weist ferner die Bremskrafteinheit 458 auf, die die Aktuationsgrößen in Abhängigkeit des aktiven Bremspfads enthält. Die Energieversorgung 484 enthält eine Energieversorgungseinheit 470.

Die Energieversorgungseinheit 470 enthält den Versorgungsmonitor 343.

Durch die Ausprägung des Entscheiders 344 hinsichtlich welche Sollzustände des Schienenfahrzeuges eingelesen werden, in Kombination mit der Datenspeicherfunktion 345, können die Sicherheitsbremsfunktionen (z.B. Notbremse, Parkbremse) durch den Aktuator 482 und die Energieversorgung 484 im Fehler- oder Degradationsfall auch gänzlich ohne die Bremssteuerung umgesetzt werden.

Dazu besteht ein Echtzeit-Signalaustausch mit niedriger Sicherheitsintegrität zwischen der Bremssteuerung 480 und dem Aktuator 482, um die Umsetzung des ersten Steuerungspfades der Aktuatorsteuerungseinheit zu ermöglichen, sowie zwischen der Energieversorgung 484 und dem Aktuator 482 um die Übermittlung der Umschaltbefehle zu ermöglichen.

Im Sicherheitsbremspfad 232 wird dazu direkt mindestens eine Kraftstellgröße der Bremssteuerung 480 an den Aktuator 482 bzw. zur Umsetzung durch den zweiten Steuerungspfad zur Verfügung gestellt, welche jedoch durch die Funktionen des Sicherheitsbremspfades 232 in der zweiten Bremssteuerungseinheit 490 insofern abgesichert sind, dass im Fehler-, Ausfall- oder Degradationsszenario Mindestfunktionen sichergestellt sind.

Durch diese Ausführung können insbesondere die Funktionen des ersten Steuerungspfades der Bremssteuerung 480 qualitativ stark ausgeprägt sein und ermöglichen Erweiterungen oder technische Verbesserungsmaßnahmen ohne den Aktuator 482 anzupassen und die Integrität des Sicherheitsbremspfades zu verletzen.

Falls die Bremssteuerung 480 einkanalig und mit einer niedrigen Sicherheitsintegrität ausgeführt ist, wird durch diese Ausführung lediglich eine Elektronikeinheit mit hoher Integrität im Aktuator 482 benötigt, um die Sicherheitsbremsfunktionen 340 auszuführen, welche den zweiten Steuerungspfad der Aktuatorsteuerungseinheit, sowie den zweiten Steuerpfad der Bremskrafteinheit beinhaltet. Dies führt zu einer kostengünstigen Ausführung einerseits, sowie zu einer niedrigen zugweiten Ausfallrate der Sicherheitsbremsfunktionen bzw. insbesondere der Mindestfunktionen andererseits, da diese pro Aktuator zur Verfügung stehen.

Dazu wird in einer bestimmten Ausführungsvariante der zweite Steuerungspfad der Bremskrafteinheit grundsätzlich nur dem zweiten Steuerungspfad der Aktuatorsteuerungseinheit zugänglich gemacht

Anhand von Fig. 6 wird eine Sicherheitsarchitektur eines vierten Ausführungsbeispiels eines Bremssystems 500 beschrieben.

Das Bremssystem 500 entspricht dem Bremssystem 400 des dritten Ausführungsbeispiels. Für dessen Beschreibung und Beschreibung von dessen Bestandteilen sei auf das zweite Ausführungsbeispiel und Fig. 5 verwiesen, soweit sich aus der nachfolgenden Beschreibung keine Abweichungen hierzu ergeben.

Das elektromechanische Bremssystem 500 weist eine Bremssteuerung 580 als Funktionsträger zur Erfüllung von Bremssteuerungsaufgaben auf. Die Bremssteuerung 580 ist als Funktionsgruppe mit geringer Sicherheitsintegrität vorgesehen, ist Teil des Betriebsbremspfads 228 und ist vorzugsweise im Wagen oder Wagenkasten des angetriebenen Wagens 110 oder des gezogenen Wagens 150 untergebracht.

Das elektromechanische Bremssystem 500 weist einen Aktuator 582 als Funktionsträger zur Erfüllung von Bremsstellaufgaben auf. Der Aktuator 582 ist als Bauteil als Funktionsgruppe mit hoher Sicherheitsintegrität vorgesehen, ist Teil des Sicherheitsbremspfads 232 und ist vorzugsweise im Drehgestell nahe der Reibungskrafterzeugung untergebracht.

Das elektromechanische Bremssystem 500 weist eine Energieversorgung 584 als Bauteil als Funktionsträger zur Umsetzung der Energieversorgungseinheit auf. Die Energieversorgung 584 ist als Funktionsgruppe mit hoher Sicherheitsintegrität vorgesehen, ist Teil des Sicherheitsbremspfads 232 und ist vorzugsweise im Wagen oder Wagenkasten vorgesehen. Die Bremssteuerung 580 weist eine erste Bremssteuerungseinheit 586 und eine erste Aktuatorsteuerungseinheit 588 auf. Die erste Bremssteuerungseinheit 586 implementiert Teile der Bremssteuerungseinheit 324. Es werden von der ersten Bremssteuerungseinheit 586 die Bremsfunktionen der Bremssteuerungseinheit 324 implementiert, die Teil des Betriebsbremspfads 228 sind, und eine Kraftstellgröße 382 erzeugt (z.B. Soll-Zylinderkraft und Reduktionssignal) zur Bereitstellung für den Aktuator 582 und für die erste Aktuatorsteuerungseinheit 588. Die erste Aktuatorsteuerungseinheit 588 implementiert Teile der Aktuatorsteuerungseinheit 348. Es werden von der ersten Aktuatorsteuerungseinheit 588 Aktuationsgrößen im Betriebsbremspfad, welcher den ersten Steuerungspfad enthält, bereitgestellt.

Der Aktuator 582 weist eine zweite Bremssteuerungseinheit 590 und eine zweite Aktuatorsteuerungseinheit 592 auf. Die zweite Bremssteuerungseinheit 590 implementiert Teile der Bremssteuerungseinheit 324. Es werden von der zweiten Bremssteuerungseinheit 590 die Bremsfunktionen der Bremssteuerungseinheit 324 implementiert, die Teil des Sicherheitsbremspfads 232 sind und eine Kraftstellgröße 382 erzeugt, zur Umsetzung der Sicherheitsbremsfunktionen und die Aktuationsgrößen zur Umsetzung der Betriebsbremsfunktionen erhält. Die zweite Bremssteuerung 590 implementiert die Sicherheitsfunktionen 340 Bremspfadmonitor 341 , Aktuatormonitor 342, Entscheider 344 und Datenspeicher 345. Die zweite Aktuatorsteuerungseinheit 592 implementiert Teile der Aktuatorsteuerungseinheit 348. Es werden von der zweiten Aktuatorsteuerungseinheit 592 Aktuationsgrößen im Sicherheitsbremspfad 232 bereitgestellt. Der Aktuator 582 weist ferner die Bremskrafteinheit 558 auf, die die Aktuationsgrößen in Abhängigkeit des aktiven Bremspfads erhält.

Die Energieversorgung 584 enthält den Versorgungsmonitor 343.

Ferner implementiert das elektromechanische Bremssystem 500 eine Erweiterungsfunktionseinheit 594 mit einer dritten Bremssteuerungseinheit 596.

Das vierte Ausführungsbeispiel ist eine Zusatzvariante zum dritten Ausführungsbeispiel, die über den Erweiterungsfunktionsträger 594 verfügt, in dem durch die dritte Bremssteuerungseinheit 596 die Bremssteuerungseinheit erweiternde Signaleinlese- Signalverarbeitungs- oder Steuerungs-Funktionen 597 mit einer hohen Sicherheitsintegrität ausgeführt werden (Beispiel: Information der Last oder Fahrzeugmasse von einem oder mehrerer Teile eines Drehgestells oder einem Fahrzeug). In einem weiteren Schritt wird dazu entweder das Originalsignal, ein verarbeitetes Signal oder ein Kontroll-ZStellsignal in einer Sicherheitsintegrität den anderen Steuerungseinheiten in Form von mindestens einer Erweiterungsgröße 597 bereitgestellt. Hierdurch kann folgende funktionale Kette erreicht werden:

Im Falle einer Sicherheitsbremsfunktion (z.B. Not-/Schnellbremse) kann eine hoch integre Erweiterungsgröße (z.B. Last) mit der erreichten Sicherheitsintegrität der Bestimmung und Übermittlung der Erweiterungsfunktionseinheit dem Aktuator bereitgestellt werden und von diesem zur Durchführung von Brems- bzw. weiteren Erweiterungsfunktionen im Sicherheitsbremspfad (z.B. Lastkorrektur) gemeinsam mit den dort vorhandenen Funktionen (z.B. dem Entscheider oder der

Datenspeicherfunktion) herangezogen werden (z.B. Korrektur des Bremskraftwertes).

Im Falle von Betriebsbremsfunktionen können die Erweiterungsgrößen 598 den Erweiterungsfunktionen 597 in der Bremssteuerung 580 zur Verfügung gestellt werden um diese zu realisieren (z.B. Lastkorrektur).

Der Erweiterungsfunktionsträger 594 erhält als Eingabe Sensorgrößen 599. Alternativ oder zusätzlich kann der Erweiterungsfunktionsträger 594 selbst Sensoren beinhalten und die Sensordaten daraus beziehen. Die Erweiterungsfunktionseinheit gibt Erweiterungsgrößen 598 aus. Diese können entweder aus den Sensordaten selbst bestehen oder aus von diesen abgeleiteten Größen.

Durch diese Erweiterung der ersten Variante, wird eine Verbesserung der Sicherheitsbremsfunktionen erreicht, wobei die Komplexität der Bremssteuerung weiterhin auf dem Niveau der niedrigen Sicherheitsintegrität bestehen bleibt und kostengünstig ausgeführt werden kann. Weiterhin kann die existierende zweite Bremsteuerungseinheit 590 im Aktuator 582 mit hoher Integrität für die Realisierung von Erweiterungsfunktionen der Sicherheitsbremsfunktionen genutzt werden. Anhand von Fig. 7 wird eine erste Abwandlung des vierten Ausführungsbeispiels beschrieben.

Die erste Abwandlung des vierten Ausführungsbeispiels entspricht dem vierten Ausführungsbeispiel. Für dessen Beschreibung und Beschreibung von dessen Bestandteilen wird auf das vierte Ausführungsbeispiel verwiesen, soweit sich aus der nachfolgenden Beschreibung keine Abweichungen hierzu ergeben.

Anders als im vierten Ausführungsbeispiel, in dem eine dritte Bremssteuerungseinheit 596 vorgesehen ist, die die Erweiterungsfunktionseinheit 594 trägt, ist in der ersten Abwandlung des vierten Ausführungsbeispiels die Erweiterungsfunktionseinheit 594', 594“ in der ersten Bremssteuerungseinheit integriert und stellt hier jeweils Funktionsgruppen für den ersten Bremspfad und den zweiten Bremspfad bereit, wobei Erweiterungsgrößen in dem ersten Bremspfad und dem zweiten Bremspfad ausgegeben und an die zweite Bremssteuerungseinheit übermittelt werden.

Anhand von Fig. 8 wird eine zweite Abwandlung des vierten Ausführungsbeispiels beschrieben.

Die zweite Abwandlung des vierten Ausführungsbeispiels entspricht dem vierten Ausführungsbeispiel. Für dessen Beschreibung und Beschreibung von dessen Bestandteilen wird auf das vierte Ausführungsbeispiel verwiesen, soweit sich aus der nachfolgenden Beschreibung keine Abweichungen hierzu ergeben.

Anders als im vierten Ausführungsbeispiel, in dem eine dritte Bremssteuerungseinheit 596 vorgesehen ist, die die Erweiterungsfunktionseinheit 594 trägt, ist in der zweiten Abwandlung des vierten Ausführungsbeispiels die Erweiterungsfunktionseinheit 594"' in der ersten Bremssteuerungseinheit integriert und stellt hier Funktionsgruppen für den ersten Bremspfad bereit, wobei Erweiterungsgrößen in dem ersten Bremspfad ausgegeben und an die zweite Bremssteuerungseinheit übermittelt werden. In der zweiten Bremssteuerungseinheit können die Erweiterungsgrößen sowohl im ersten Bremspfad als auch im zweiten Bremspfad verarbeitet werden. Im vierten Ausführungsbeispiel und in seinen Abwandlungen ist beschrieben, dass dann, wenn ein Umschaltzustand festgestellt wurde, und sich das Bremssystem im Sicherheitsbremspfad befindet, auf Funktionen und Erweiterungsfunktionen des ersten Bremspfads zugegriffen werden kann. So ist es beispielsweise möglich im Sicherheitsbremspfad auf die Funktionalität eines Gleitschutzes aus dem Betriebsbremspfad zuzugreifen, ohne diesen im Sicherheitsbremspfad erneut zu implementieren.

Anhand von Fig. 9 wird eine Sicherheitsarchitektur eines fünften Ausführungsbeispiels eines Bremssystems 600 beschrieben.

Das Bremssystem 600 entspricht dem Bremssystem 300 des zweiten Ausführungsbeispiels. Für dessen Beschreibung und Beschreibung von dessen Bestandteilen sei auf das zweite Ausführungsbeispiel und Fig. 4 verwiesen, soweit sich aus der nachfolgenden Beschreibung keine Abweichungen hierzu ergeben.

Das Bremssystem 600 nach dem vierten Ausführungsbeispiel verfolgt das Ziel, eine Reibungsbremskraft zur Verzögerung der Fahrzeugmasse des Schienenfahrzeugverbundes 1 zu erzeugen, denn mit einem solchen Bremssystem ist es möglich, Betriebsbremsfunktionen und sicherheitsrelevante Bremsfunktionen, wie Notbremsfunktion, Schnellbremsfunktion oder Parkbremsfunktion bereitzustellen.

Das elektromechanische Bremssystem 600 weist eine Bremssteuerung 680 als Bauteil als Funktionsträger zur Erfüllung von Bremssteuerungsaufgaben auf. Die Bremssteuerung 680 ist als Funktionsgruppe mit hoher Sicherheitsintegrität vorgesehen, ist Teil des Betriebsbremspfads 228 und des Sicherheitsbremspfads 232 und ist vorzugsweise im Wagen oder Wagenkasten des angetriebenen Wagens 110 oder des gezogenen Wagens 150 untergebracht.

Das elektromechanische Bremssystem 600 weist einen Aktuator 682 als Bauteil als Funktionsträger zur Erfüllung von Bremsstellaufgaben auf. Der Aktuator 682 ist als Funktionsgruppe mit hoher Sicherheitsintegrität vorgesehen, ist Teil des Sicherheitsbremspfads 232 und ist vorzugsweise im Drehgestell nahe der Reibungskrafterzeugung untergebracht. Das elektromechanische Bremssystem 600 weist eine Energieversorgung 684 als Funktionsträger zur Umsetzung der Energieversorgungseinheiten auf. Die Energieversorgung 684 ist als Funktionsgruppe mit hoher Sicherheitsintegrität vorgesehen, ist Teil des Sicherheitsbremspfads 284 und ist vorzugsweise im Wagen oder Wagenkasten vorgesehen.

Die Bremssteuerung 680 weist eine erste Bremssteuerungseinheit 686 und eine erste Aktuatorsteuerungseinheit 688 auf. Die erste Bremssteuerungseinheit 686 implementiert Teile der Bremssteuerungseinheit 324. Es werden von der ersten Bremssteuerungseinheit 686 die Bremsfunktionen der Bremssteuerungseinheit 324 implementiert, die Teil des Betriebsbremspfads 228 sind und Teil des Sicherheitsbremspfads 232 sind, und eine Kraftstellgröße 382 erzeugt (z.B. Soll- Zylinderkraft und Reduktionssignal) zur Bereitstellung für den Aktuator 682 und für die erste Aktuatorsteuerungseinheit 688. Ferner implementiert die erste Bremssteuerungseinheit 686 die Sicherheitsfunktionen 340 Bremspfadmonitor 341 und Aktuatormonitor 342. Die erste Aktuatorsteuerungseinheit 688 implementiert Teile der Aktuatorsteuerungseinheit 348, nämlich solche des Betriebsbremspfads 228. Es werden von der ersten Aktuatorsteuerungseinheit 688 die ersten Aktuationsgrößen 494 im Betriebsbremspfad, welcher den ersten Steuerungspfad enthält, bereitgestellt.

Der Aktuator 682 weist eine zweite Bremssteuerungseinheit 690 und eine zweite Aktuatorsteuerungseinheit 692 auf. Die zweite Bremssteuerungseinheit 690 implementiert Teile der Bremssteuerungseinheit 324. Es werden von der zweiten Bremssteuerungseinheit 690 die Bremsfunktionen der Bremssteuerungseinheit 324 implementiert, die Teil des Sicherheitsbremspfads 232 sind und eine Kraftstellgröße erzeugt, zur Umsetzung der Sicherheitsbremsfunktionen und die Aktuationsgrößen zur Umsetzung der Betriebsbremsfunktionen erhält, die zweite Bremssteuerung 690 implementiert die Sicherheitsfunktionen 340 Entscheider 344 und Datenspeicher 345. Die zweite Aktuatorsteuerungseinheit 692 implementiert Teile der Aktuatorsteuerungseinheit 348. Es werden von der zweiten Aktuatorsteuerungseinheit 692 Aktuationsgrößen im Sicherheitsbremspfad 232 bereitgestellt. Der Aktuator 682 weist ferner die Bremskrafteinheit 658 auf, die die Aktuationsgrößen in Abhängigkeit des aktiven Bremspfads enthält.

Die Energieversorgung 684 implementiert die Energieversorgungseinheit 470 mit dem Versorgungsmonitor 343.

Die grundsätzliche Ermöglichung von Funktionen hoher Sicherheitsintegrität der zentralen Bremssteuerung führt dazu, dass auch Sicherheitsfunktionen z.B. projektspezifisch individualisiert, erweitert oder angepasst werden können ohne das bestehende Aktuator-Gewerk anpassen zu müssen.

Zum Zweck der Übertragung der Umschaltbefehle, müssen hierzu an den Gewerken Bremssteuerung und Aktuator entsprechende sicherheitsrelevante Schnittstellen zur Kommunikationsübertragung mit hoher Sicherheitsintegrität vorgesehen werden.

Der Software-Aufwand und die Komplexität auf dem Aktuator-Gewerk (welcher in einer kritischen / anspruchsvollen Umgebung betrieben wird) verringert sich in dieser Variante.

Anhand von Fig. 10 wird eine Sicherheitsarchitektur eines sechsten Ausführungsbeispiels eines Bremssystems 700 beschrieben.

Das Bremssystem 700 entspricht dem Bremssystem 300 des zweiten Ausführungsbeispiels. Für dessen Beschreibung und Beschreibung von dessen Bestandteilen sei auf das zweite Ausführungsbeispiel und Fig. 4 verwiesen, soweit sich aus der nachfolgenden Beschreibung keine Abweichungen hierzu ergeben.

Das Bremssystem 700 nach dem zweiten Ausführungsbeispiel verfolgt das Ziel, eine Reibungsbremskraft zur Verzögerung der Fahrzeugmasse des Schienenfahrzeugverbundes 1 zu erzeugen, denn mit einem solchen Bremssystem ist es möglich, Betriebsbremsfunktionen und sicherheitsrelevante Bremsfunktionen, wie Notbremsfunktion, Schnellbremsfunktion oder Parkbremsfunktion bereitzustellen. Das elektromechanische Bremssystem 700 weist eine Bremssteuerung 780 als Bauteil als Funktionsträger zur Erfüllung von Bremssteuerungsaufgaben auf. Die Bremssteuerung 780 ist als Funktionsgruppe mit hoher Sicherheitsintegrität vorgesehen, ist Teil des Betriebsbremspfads 228 und des Sicherheitsbremspfads 232 und ist vorzugsweise im Wagen oder Wagenkasten des angetriebenen Wagens 110 oder des gezogenen Wagens 150 untergebracht.

Das elektromechanische Bremssystem 700 weist einen Aktuator 782 als Funktionsträger zur Erfüllung von Bremsstellaufgaben auf. Der Aktuator 782 ist als Bauteil als Funktionsgruppe mit hoher Sicherheitsintegrität vorgesehen, ist Teil des Sicherheitsbremspfads 232 und des Betriebsbremspfads 228 und ist vorzugsweise im Drehgestell nahe der Reibungskrafterzeugung untergebracht.

Das elektromechanische Bremssystem 700 weist eine Energieversorgung 784 als Funktionsträger zur Umsetzung der Energieversorgungseinheiten auf. Die Energieversorgung 784 ist als Funktionsgruppe mit hoher Sicherheitsintegrität vorgesehen, ist Teil des Sicherheitsbremspfads 232 und ist vorzugsweise im Wagen oder Wagenkasten vorgesehen.

Die Bremssteuerung 780 weist eine erste Bremssteuerungseinheit 786 auf. Die erste Bremssteuerungseinheit 786 implementiert Teile der Bremssteuerungseinheit 324. Es werden von der ersten Bremssteuerungseinheit 786 die Bremsfunktionen der Bremssteuerungseinheit 324 implementiert, die Teil des Betriebsbremspfads 228 sind oder Teil des Sicherheitsbremspfads 232 sind, und eine Kraftstellgröße erzeugt (z.B. Soll-Zylinderkraft und Reduktionssignal) zur Bereitstellung für den Aktuator 782 und für die erste Aktuatorsteuerungseinheit 788. Ferner implementiert die erste Bremssteuerungseinheit 786 die Sicherheitsfunktion 340 Bremspfadmonitor 341 .

Der Aktuator 782 weist eine zweite Bremssteuerungseinheit 790, eine erste Aktuatorsteuerungseinheit 788 und eine zweite Aktuatorsteuerungseinheit 792 auf. Die zweite Bremssteuerungseinheit 790 implementiert Teile der Bremssteuerungseinheit 324. Es werden von der zweiten Bremssteuerungseinheit 790 die Bremsfunktionen der Bremssteuerungseinheit 324 implementiert, die Teil des Sicherheitsbremspfads 232 sind und eine Kraftstellgröße erzeugt zur Umsetzung der Sicherheitsbremsfunktionen und die Aktuationsgrößen zur Umsetzung der Betriebsbremsfunktionen erhält. Die zweite Bremssteuerungseinheit 790 implementiert die erste Umschalteinheit 346 und die Sicherheitsfunktionen 340 Aktuatormonitor 342, Entscheider 344 und Datenspeicher 345.

Die erste Aktuatorsteuerungseinheit 788 implementiert Teile der Aktuatorsteuerungseinheit 348. Es werden von der ersten Aktuatorsteuerungseinheit 788 Aktuationsgrößen im Betriebsbremspfad, welche den ersten Steuerungspfad enthält, bereitgestellt.

Die zweite Aktuatorsteuerungseinheit 792 implementiert Teile der Aktuatorsteuerungseinheit 348. Es werden von der zweiten Aktuatorsteuerungseinheit 792 Aktuationsgrößen im Sicherheitsbremspfad 232 bereitgestellt. Ferner implementiert die zweite Aktuatorsteuerungseinheit 792 die zweite Umschalteinheit 356. Der Aktuator 782 weist ferner die Bremskrafteinheit 758 auf, die die Aktuationsgrößen in Abhängigkeit des aktiven Bremspfads enthält.

Die Energieversorgung 784 implementiert die Energieversorgungseinheit 470 und enthält den Versorgungsmonitor 343.

Dieses Ausführungsbeispiel besteht als Ausführungsvariante (“Intelligenter Kraftsteller mit Sicherheitsbremssteuerung”) des im zweiten Ausführungsbeispiel beschriebenen Bremssystems aus einem Funktionsträger zur Erfüllung von Bremssteuerungsaufgaben, einem Funktionsträger zur Erfüllung von Bremsstellaufgaben (Aktuator) sowie einem Funktionsträger zur Energieversorgung. Dem ersten Funktionsträger (Bremssteuerungsaufgaben) sind in dieser Variante auch Funktionen mit hoher Sicherheitsintegrität zugeordnet. Die Aufgabe der Bereitstellung der Aktuationsgrößen wird in allen Betriebsfunktionen nun alleinig durch den Aktuator durchgeführt. Die Bremssteuerung stellt nun lediglich Kraftstellgrößen für beide Betriebspfade bereit. In diesem Ausführungsbeispiel sind die Domänen Bremssteuerung und Aktuatorsteuerung nun jeweils den dedizierten Funktionsträgem geschlossen zugeordnet, wodurch sich eine generische Schnittstelle ergibt.

Alle Funktionen mit hoher Echtzeitanforderung, die die Aktuatorsteuerungsdomäne betreffen, werden in dieser Variante nicht mehr über Kommunikationssysteme zwischen den Funktionsträgern übertragen sondern liegen vollständig innerhalb des Aktuators vor. Dies ermöglicht eine höhere Robustheit und Leistungsfähigkeit der Regelfunktionen.

Die Anforderungen an das Kommunikationssystem zwischen Bremssteuerung und Aktuator sinken hinsichtlich der Echtzeitfähigkeit im Vergleich zu den Ausführungsbeispielen vier und fünf. Dies ermöglicht die bauliche Anordnung der Bremssteuerung auch derart, dass sie eine größere Entfernung oder Informationsstrecke zum Aktuator besitzen kann und nur mittels einem gemeinsamen, nicht-proprietärem Kommunikationsmedium mit den Aktuatoren kommuniziert.

Zum Zweck der Übertragung der Umschaltbefehle und der sicherheitsrelevanten Kraftstellgrößen, müssen hierzu an den Gewerken Bremssteuerung und Aktuator entsprechende sicherheitsrelevante Schnittstellen zur Kommunikationsübertragung mit hoher Sicherheitsintegrität vorgesehen werden.

Durch die erhöhte Komplexität der Software des ersten Steuerungsfpades der Aktuatorsteuerungseinheit ergibt sich jedoch ein erhöhter Aufwand im Aktuator- Funktionsträger, welcher ein robustes Ausfallverhalten gegenüber den Umgebungsbedingungen aufweisen muss.

Anhand von Fig. 11 wird eine Sicherheitsarchitektur eines siebten Ausführungsbeispiels eines Bremssystems 800 beschrieben.

Das Bremssystem 800 entspricht dem Bremssystem 300 des zweiten Ausführungsbeispiels. Für dessen Beschreibung und Beschreibung von dessen Bestandteilen sei auf das zweite Ausführungsbeispiel und Fig. 4 verwiesen, soweit sich aus der nachfolgenden Beschreibung keine Abweichungen hierzu ergeben. Das Bremssystem 800 nach dem zweiten Ausführungsbeispiel verfolgt das Ziel, eine Reibungsbremskraft zur Verzögerung der Fahrzeugmasse des Schienenfahrzeugverbundes 1 zu erzeugen, denn mit einem solchen Bremssystem ist es möglich, Betriebsbremsfunktionen und sicherheitsrelevante Bremsfunktionen, wie Notbremsfunktion, Schnellbremsfunktion oder Parkbremsfunktion bereitzustellen.

Das elektromechanische Bremssystem 800 weist eine Bremssteuerung 880 als Funktionsträger zur Erfüllung von Bremssteuerungsaufgaben auf. Die Bremssteuerung 880 ist als Bauteil als Funktionsgruppe mit geringer Sicherheitsintegrität vorgesehen, ist Teil des Betriebsbremspfads 228 und des Sicherheitsbremspfads 232 und ist vorzugsweise mindestens einmal pro Wagen oder Drehgestell im Wagen oder Wagenkasten des angetriebenen Wagens 110 oder des gezogenen Wagens 150 untergebracht.

Das elektromechanische Bremssystem 800 weist einen Aktuator 882 als Funktionsträger zur Erfüllung von Bremsstellaufgaben auf. Der Aktuator 882 ist als Bauteil als Funktionsgruppe mit hoher Sicherheitsintegrität vorgesehen, ist Teil des Sicherheitsbremspfads 232 und des Betriebsbremspfads 228 und ist vorzugsweise im Drehgestell nahe der Reibungskrafterzeugung untergebracht.

Das elektromechanische Bremssystem 800 weist eine Energieversorgung 884 als Funktionsträger zur Umsetzung der Energieversorgungseinheiten auf. Die Energieversorgung 884 ist als Bauteil als Funktionsgruppe mit hoher Sicherheitsintegrität vorgesehen, ist Teil des Sicherheitsbremspfads 232 und ist im Wagen oder Wagenkasten vorgesehen.

Die Bremssteuerung 880 weist eine erste Bremssteuerungseinheit 886 auf. Die erste Bremssteuerungseinheit 886 implementiert Teile der Bremssteuerungseinheit 324. Es werden von der ersten Bremssteuerungseinheit 886 die Bremsfunktionen der Bremssteuerungseinheit 324 implementiert, die Teil des Betriebsbremspfads 228 sind, und eine Kraftstellgröße 382 erzeugen (z.B. Soll-Zylinderkraft und Reduktionssignal) zur Bereitstellung für den Aktuator 882 und für eine erste Aktuatorsteuerungseinheit 888. Der Aktuator 882 weist eine zweite Bremssteuerungseinheit 890, eine erste Aktuatorsteuerungseinheit 888 und eine zweite Aktuatorsteuerungseinheit 892 auf. Die zweite Bremssteuerungseinheit 890 implementiert Teile der Bremssteuerungseinheit 324. Es werden von der zweiten Bremssteuerungseinheit 890 die Bremsfunktionen der Bremssteuerungseinheit 324 implementiert, die Teil des Sicherheitsbremspfads 232 sind und eine Kraftstellgröße erzeugt zur Umsetzung der Sicherheitsbremsfunktionen und die Aktuationsgrößen zur Umsetzung der Betriebsbremsfunktionen erhält. Die zweite Bremssteuerung 890 implementiert die erste Umschalteinheit 346 und die Sicherheitsfunktionen 340 Bremspfadmonitor 341 , Aktuatormonitor 342, Entscheider 344 und Datenspeicher 345.

Die erste Aktuatorsteuerungseinheit 888 implementiert Teile der Aktuatorsteuerungseinheit 348. Es werden von der ersten Aktuatorsteuerungseinheit 888 Aktuationsgrößen im Betriebsbremspfad, welche den ersten Steuerungspfad enthält, bereitgestellt.

Die zweite Aktuatorsteuerungseinheit 892 implementiert Teile der Aktuatorsteuerungseinheit 348. Es werden von der zweiten Aktuatorsteuerungseinheit 892 Aktuationsgrößen im Sicherheitsbremspfad bereitgestellt. Ferner implementiert die zweite Aktuatorsteuerungseinheit 892 die zweite Umschalteinheit 356.

Der Aktuator 882 weist ferner die Bremskrafteinheit 858 auf, die die Aktuationsgrößen in Abhängigkeit des aktiven Bremspfads enthält.

Die Energieversorgung 884 implementiert die Energieversorgungseinheit 470 und enthält den Versorgungsmonitor 343.

Das siebte Ausführungsbeispiel (“Intelligenter Bremssteller mit konventioneller Bremssteuerung”) des Bremssystems besteht aus einem Funktionsträger zur Erfüllung von Bremssteuerungsaufgaben, einem Funktionsträger zur Erfüllung von Bremsstellaufgaben (Aktuator) sowie einem Funktionsträger zur Energieversorgung. Die Aufgabe der Bereitstellung der Aktuationsgrößen wird in allen Betriebsfunktionen nun alleinig durch den Aktuator durchgeführt. Die Bremssteuerung stellt nun lediglich Kraftstellgrößen für beide Betriebspfade bereit.

Dieses Ausführungsbeispiel ähnelt dem sechsten Ausführungsbeispiel, wodurch die Domänen Bremssteuerung und Aktuatorsteuerung jeweils den dedizierten Funktionsträgem geschlossen zugeordnet sind, hierdurch ergibt sich eine generische Schnittstelle. Der Funktionsaufwand im Aktuator enthält nun alle sicherheitsrelevanten Bremsfunktionen vollumfänglich, wodurch der Aufwand steigt und dieser bei Funktionsänderung stets angepasst werden muss.

Zwischen den Gewerken Bremssteuerung und Aktuator müssen hierbei nun keine sicherheitsrelevanten Schnittstellen zur Kommunikationsübertragung mit hoher Sicherheitsintegrität mehr vorgesehen werden, was den Aufwand verringert.

Anhand von Fig. 12 wird eine Sicherheitsarchitektur eines achten Ausführungsbeispiels eines Bremssystems 900 beschrieben.

Das elektromechanische Bremssystem 900 weist eine optionale Bremssteuerung 980 als Bauteil als Funktionsträger zur Erfüllung von Bremssteuerungsaufgaben auf. Die Bremssteuerung 980 ist als Funktionsgruppe geringer Sicherheitsintegrität vorgesehen, ist Teil des Betriebsbremspfads 228 und ist vorzugsweise mindestens einmal pro Wagen oder Drehgestell im Wagen oder Wagenkasten des angetriebenen Wagens 110 oder des gezogenen Wagens 150 untergebracht.

Das elektromechanische Bremssystem 900 weist einen Aktuator 982 als Bauteil als Funktionsträger zur Erfüllung von Bremsstellaufgaben auf. Der Aktuator 982 ist als Funktionsgruppe mit hoher Sicherheitsintegrität vorgesehen, ist Teil des Sicherheitsbremspfads 232 und des Betriebsbremspfads 228 und ist vorzugsweise im Drehgestell nahe der Reibungskrafterzeugung untergebracht.

Das elektromechanische Bremssystem 900 weist eine Energieversorgung 984 als Bauteil als Funktionsträger zur Umsetzung der Energieversorgungseinheiten auf. Die Energieversorgung 984 ist als Funktionsgruppe mit hoher Sicherheitsintegrität vorgesehen, ist Teil des Sicherheitsbremspfads 232 und ist vorzugsweise im Wagen oder Wagenkasten vorgesehen.

Die Bremssteuerung 980 weist eine erste Bremssteuerungseinheit 986 auf. Die erste Bremssteuerungseinheit 986 implementiert Teile der Bremssteuerungseinheit 324. Es werden von der ersten Bremssteuerungseinheit 986 die Bremsfunktionen der Bremssteuerungseinheit 324 implementiert, die Teil des Betriebsbremspfads 228 sind, und eine Kraftstellgröße erzeugt (z.B. Soll-Zylinderkraft und Reduktionssignal) zur Bereitstellung für den Aktuator 982 und für die erste Aktuatorsteuerungseinheit 988.

Der Aktuator 982 weist eine zweite Bremssteuerungseinheit 990, eine erste Aktuatorsteuerungseinheit 988 und eine zweite Aktuatorsteuerungseinheit 992 auf. Die zweite Bremssteuerungseinheit 990 implementiert Teile der Bremssteuerungseinheit 324. Es werden von der zweiten Bremssteuerungseinheit 990 die Bremsfunktionen der Bremssteuerungseinheit 324 implementiert, die Teil des Sicherheitsbremspfads 232 oder des Betriebsbremspfads 228 sind und eine Kraftstellgröße erzeugt zur Umsetzung der Sicherheitsbremsfunktionen und die Aktuationsgrößen zur Umsetzung der Betriebsbremsfunktionen erhält. Die zweite Bremssteuerungseinheit 990 implementiert die erste Umschalteinheit 346 und die Sicherheitsfunktionen 340 Bremspfadmonitor 341 , Aktuatormonitor 342, Entscheider 344 und Datenspeicher 345 sowie die Funktionen des Sicherheitsbremspfades 232 und Erweiterungsfunktionen (zu Erweiterungsfunktionen siehe viertes Ausführungsbeispiel).

Die erste Aktuatorsteuerungseinheit 988 implementiert Teile der Aktuatorsteuerungseinheit 348. Es werden von der ersten Aktuatorsteuerungseinheit 988 Aktuationsgrößen im Betriebsbremspfad 228, welche den ersten Steuerungspfad 350 enthält, bereitgestellt.

Die zweite Aktuatorsteuerungseinheit 990 implementiert Teile der Aktuatorsteuerungseinheit 348. Es werden von der zweiten Aktuatorsteuerungseinheit 990 Aktuationsgrößen im Sicherheitsbremspfad bereitgestellt. Ferner implementiert die zweite Aktuatorsteuerungseinheit 990 die zweite Umschalteinheit 356. Der Aktuator 982 weist ferner die Bremskrafteinheit 958 auf, die die Aktuationsgrößen in Abhängigkeit des aktiven Bremspfads enthält.

Die Energieversorgung 984 implementiert die Energieversorgungseinheit 470 und enthält den Versorgungsmonitor 343.

Das achte Ausführungsbeispiel (“Teil-A/ollintegrierter Intelligenter Bremssteller”) des Bremssystems besteht aus einem Funktionsträger zur Erfüllung von Bremssteuerungsaufgaben, einem Funktionsträger zur Erfüllung von Bremsstellaufgaben (Aktuator) sowie einem Funktionsträger zur Energieversorgung. Dem zweiten Funktionsträger (Bremsstellaufgaben) sind in dieser Variante auch Funktionen der Bremssteuerungs-Domäne zugeordnet. Die Aufgabe der Bereitstellung der Aktuationsgrößen wird in allen Betriebsfunktionen nun alleinig durch den Aktuator durchgeführt.

Das achte Ausführungsbeispiel stellt eine in den Aktuator integrierte Bremssteuerung mit lokalen Bremsfunktionen dar. Hierdurch ergibt sich der Vorteil, dass zusätzlich zu Regelfunktionen der Bremsstell-Domäne auch Regelfunktionen der Bremssteuerungs- Domäne in einem geschlossen Funktionsträger agieren können und nicht auf Übertragungswege und Latenzen von Kommunikationswegen zwischen Funktionsträgem angewiesen sind. Dies ermöglicht eine höhere Qualität der Funktionserfüllung der Bremsfunktionen (z.B. des Gleitschutzes).

Weiterhin beschränkt sich der Funktionsträger Bremssteuerung 980 auf noch weniger Funktionalität als beim fünften Ausführungsbeispiel, weswegen er gänzlich in einen zentralen Steuerungsfunktionsträger überführt werden kann, wodurch eine Einsparung von Gewerken insgesamt erzielt werden kann.

Dem gegenüber steht die beträchtliche Komplexitätserhöhung dieser Variante im Aktuator und den damit verbundenen Umweltbedingungen und Ausfallanforderungen der Sicherheitsfunktionen. Ein Prozess zur projektspezifischen Anpassung der im Aktuator lokalisierten Software-Komponenten ist hierbei untrennbar mit den Sicherheitsfunktionen auf einem Funktionsträger lokalisiert und somit erschwert. Anhand von Fig. 13 wird eine Sicherheitsarchitektur eines neunten Ausführungsbeispiels eines Bremssystems 1000 beschrieben.

Das Bremssystem 1000 entspricht dem Bremssystem 300 des zweiten Ausführungsbeispiels. Für dessen Beschreibung und Beschreibung von dessen Bestandteilen sei auf das zweite Ausführungsbeispiel und Fig. 4 verwiesen, soweit sich aus der nachfolgenden Beschreibung keine Abweichungen hierzu ergeben.

Das Bremssystem 1000 nach dem neunten Ausführungsbeispiel verfolgt das Ziel, eine Reibungsbremskraft zur Verzögerung der Fahrzeugmasse des Schienenfahrzeugverbundes 1 zu erzeugen, denn mit einem solchen Bremssystem ist es möglich, Betriebsbremsfunktionen und sicherheitsrelevante Bremsfunktionen, wie Notbremsfunktion, Schnellbremsfunktion oder Parkbremsfunktion bereitzustellen.

Das elektromechanische Bremssystem 1000 weist eine optionale Bremssteuerung 1080 als Bauteil als Funktionsträger zur Erfüllung von Bremssteuerungsaufgaben auf. Die Bremssteuerung 1080 ist als Funktionsgruppe geringer Sicherheitsintegrität vorgesehen, ist Teil des Betriebsbremspfads 228 und ist vorzugsweise mindestens einmal pro Wagen oder Drehgestell im Wagen oder Wagenkasten des angetriebenen Wagens 110 oder des gezogenen Wagens 150 untergebracht.

Das elektromechanische Bremssystem 1000 weist einen Aktuator 1082 als Bauteil als Funktionsträger zur Erfüllung von Bremsstellaufgaben auf. Der Aktuator 1082 ist als Funktionsgruppe mit hoher Sicherheitsintegrität vorgesehen, ist Teil des Sicherheitsbremspfads 232 und des Betriebsbremspfads 228 und ist im Drehgestell nahe der Reibungskrafterzeugung untergebracht. Der Aktuator 1082 weist eine Energieversorgung 1084 auf.

Das elektromechanische Bremssystem 1000 weist eine Energieversorgung 1084 als Bauteil als Funktionsträger zur Umsetzung der Energieversorgungseinheiten auf. Die Energieversorgung 1084 ist als Funktionsgruppe mit hoher Sicherheitsintegrität vorgesehen, ist Teil des Sicherheitsbremspfads 284 und ist vorzugsweise im Wagen oder Wagenkasten vorgesehen.

Die Energieversorgung 1084 implementiert die Energieversorgungseinheit 470 enthält den Versorgungsmonitor 343.

Das achte Ausführungsbeispiel (“Teil-A/ollintegrierter Intelligenter Bremssteller”) des Bremssystems besteht aus einem Funktionsträger zur Erfüllung von Bremssteuerungsaufgaben, einem Funktionsträger zur Erfüllung von Bremsstellaufgaben (Aktuator) sowie einem Funktionsträger zur Energieversorgung. Dem zweiten Funktionsträger (Bremsstellaufgaben) sind in dieser Variante auch Funktionen der Bremssteuerungs-Domäne zugeordnet. Die Aufgabe der Bereitstellung der Aktuationsgrößen wird in allen Betriebsfunktionen nun alleinig durch den Aktuator durchgeführt.

Das neunte Ausführungsbeispiel stellt eine in den Aktuator integrierte Bremssteuerung mit lokalen Bremsfunktionen dar. Hierdurch ergibt sich der Vorteil, dass zusätzlich zu Regelfunktionen der Bremsstell-Domäne auch Regelfunktionen der Bremssteuerungs- Domäne in einem geschlossen Funktionsträger agieren können und nicht auf Übertragungswege und Latenzen von Kommunikationswegen zwischen Funktionsträgem angewiesen sind. Dies ermöglicht eine höhere Qualität der Funktionserfüllung der Bremsfunktionen (z.B. des Gleitschutzes).

Weiterhin beschränkt sich der Funktionsträger Bremssteuerung 1080 auf noch weniger Funktionalität als beim fünften Ausführungsbeispiel, weswegen er gänzlich in einen zentralen Steuerungsfunktionsträger überführt werden kann, wodurch eine Einsparung von Gewerken insgesamt erzielt werden kann.

Dem gegenüber steht die beträchtliche Komplexitätserhöhung dieser Variante im Aktuator und den damit verbundenen Umweltbedingungen und Ausfallanforderungen der Sicherheitsfunktionen. Ein Prozess zur projektspezifischen Anpassung der im Aktuator lokalisierten Software-Komponenten ist hierbei untrennbar mit den Sicherheitsfunktionen auf einem Funktionsträger lokalisiert und somit erschwert. Anhand von Fig. 14 wird ein Umschaltvorgang für die Ausführungsbeispiele 2 bis 9 beschrieben.

Eine erste Bremssteuerungseinheit 1186 weist Bremsfunktionen des Betriebsbremspfads auf und ist optional. Die erste Bremssteuerungseinheit 1186 erhält als Eingabe Kontrolleingaben 1118 und gibt Kraftstellgrößen 382 aus.

Eine zweite Bremssteuerungseinheit 1190 weist Funktionen des Sicherheitsbremspfads auf. Ferner weist sie die Funktionen eines ersten Umschalters 346 auf. Der erste Umschalter 346 ist eingerichtet, bei Empfang eines Umschaltbefehls in der zweiten Bremssteuerungseinheit 1190 von dem Betriebsbremspfad auf den Sicherheitsbremspfad oder von dem Sicherheitsbremspfad auf den Betriebsbremspfad umzuschalten. Die zweite Bremssteuerungseinheit 1190 enthält ferner einen Datenspeicher 345. Der Datenspeicher 345 ist eingerichtet, Ersatzwerte zur Bildung der Kraftstellgröße 382 im Falle des Ausfalls oder Fehlverhaltens der ersten Bremssteuerungseinheit 1186 zur Verfügung zu stellen. Die zweite Bremssteuerungseinheit 1190 enthält ferner einen Bremspfadmonitor 341 , der eingerichtet ist, fehlerhaftes Verhalten in den Bremsfunktionen der ersten Bremssteuerungseinheit 1186 zu erkennen und dies mittels einem Statussignal 1196 einem Entscheider 344 mitzuteilen. Die zweite Bremssteuerungseinheit 1190 enthält ferner den Entscheider 344. Die zweite Bremssteuerungseinheit 1190 erhält als Eingabe Kontrolleingaben 1118 und die Kraftstellgröße 382 der ersten Bremssteuerung 1186 und gibt Kraftstellgrößen 382 aus.

Eine erste Aktuatorsteuerungseinheit 1188 weist Bremsfunktionen des Betriebsbremspfads auf und ist optional. Die erste Aktuatorsteuerungseinheit 1188 erhält als Eingabe die Kraftstellgröße der ersten Bremssteuerungseinheit 1186 und gibt erste Aktuationsgrößen 494 aus.

Eine zweite Aktuatorsteuerungseinheit 1192 weist Funktionen des Sicherheitsbremspfads auf. Ferner weist sie die Funktionen einer zweiten Umschalteinheit 356 auf. Die zweite Umschalteinheit 356 ist eingerichtet, bei Empfang eines Umschaltbefehls 380 in der zweiten Aktuatorsteuerungseinheit 1192 von dem Betriebsbremspfad auf den Sicherheitsbremspfad oder von dem Sicherheitsbremspfad auf den Betriebsbremspfad umzuschalten. Die zweite Aktuatorsteuerungseinheit 1192 enthält ferner einen Aktuatormonitor 342, der eingerichtet ist, fehlerhaftes Verhalten der ersten Aktuatorsteuerungseinheit 1188 oder zweiten Aktuatorsteuerungseinheit 1192 oder der ersten Bremskrafteinheit 1186 oder zweiten Bremskrafteinheit 1190 zu erkennen und dies dem Entscheider 346 mitzuteilen. Die zweite Aktuatorsteuerungseinheit 1192 erhält als Eingabe die Kraftstellgrößen 380 der zweiten Bremssteuerungseinheit 1190 und gibt Aktuatorstellgrößen A 496 und Aktuatorstellgrößen B 497 aus.

Eine erste Bremskrafteinheit 1158 weist Bremsfunktionen 360 des Betriebsbremspfads auf und ist optional. Die erste Bremskrafteinheit 1158 erhält als Eingabe die Aktuatorstellgrößen A 496 der zweiten Aktuatorsteuerungseinheit 1192 und gibt Krafterzeugungsgrößen 1195 aus. Dabei handelt es sich um Anregungsgrößen des physikalischen Wirkprinzips der Bremskrafterzeugung, beispielsweise Phasenströme eines Elektromotors.

Eine zweite Bremskrafteinheit 1194 weist Funktionen des Sicherheitsbremspfads auf. Ferner weist sie die Funktionen eines dritten Umschalters 364 auf. Der dritte Umschalter 364 ist eingerichtet, bei Empfang eines Umschaltbefehls 380 in der zweiten Bremskrafteinheit 1194 von dem Betriebsbremspfad auf den Sicherheitsbremspfad oder von dem Sicherheitsbremspfad auf den Betriebsbremspfad umzuschalten. Die zweite Bremskrafteinheit 1194 erhält als Eingabe die Aktuatorstellgrößen B 497 der zweiten Aktuatorsteuerungseinheit 1192 und gibt Krafterzeugungsgrößen aus.

Die Höchst zuverlässigen Funktionsteile 316, Beispielsweise ein Elektromotor zur Bremsbetätigung, werden gemäß den Krafterzeugungsgröße der zweiten Bremskrafteinheit 1194 betrieben und damit Bremskraft erzeugt.

Eine Energieversorgungseinheit 1170 versorgt das Bremssystem mit elektrischer

Energie und weist den Versorgungsmonitor 343 auf, der eingerichtet ist, fehlerhaftes Verhalten oder einen Fehlerzustand der Energieversorgungseinheit 1170 und einen Umschaltvorgang auf deren internen Energiepuffer zu erkennen und dies oder die drohenden (endgültigen) Erschöpfung der Energieversorgung des integrierten Energiepuffers mittels einem Statussignal dem Entscheider 344 mitzuteilen.

Der Entscheider 344 ist ausgebildet, alle im System auftretenden Statussignale der Sicherheitsmonitore 341 , 342, 343 zu empfangen, daraufhin eine Fehlerreaktion zu bestimmen und infolge dessen diese mittels Umschaltbefehlen 380 an die erste Umschalteinheit 346 der Bremssteuerungseinheit, die zweite Umschalteinheit 356 der Aktuatorsteuerungseinheit oder der dritten Umschalteinheit 364 der Bremskrafteinheit zu übermitteln, um vom ersten in den zweiten Bremspfad oder vom zweiten in den ersten Bremspfad umzuschalten. So kann entweder im gesamten Bremssystem der Bremspfad zwischen Betriebsbremspfad oder Sicherheitsbremspfad umgeschaltet werden, oder es kann der Bremspfad gezielt in den Bremssteuerungseinheiten, Aktuatorsteuerungseinheiten oder Bremskrafteinheiten umgeschaltet werden.

Ist in der zweiten Bremssteuerungseinheit 1190 der Betriebsbremspfad aktiv, wird die Kraftstellgröße der erstem Bremssteuerungseinheit 1186 an die erste Aktuatorsteuerungseinheit 1192 ausgegeben. Ist in der zweiten Bremssteuerungseinheit 1190 der Sicherheitsbremspfad aktiv, wird die Kraftstellgröße der zweiten Bremssteuerung 1190 an die zweite Aktuatorsteuerungseinheit 1192 ausgegeben.

Ist in der zweiten Aktuatorsteuerungseinheit 1192 der Betriebsbremspfad aktiv, wird die Aktuatorstellgröße der ersten Aktuatorsteuerungseinheit 1188 an die erste Bremskrafteinheit 1158 und die zweite Bremskrafteinheit 1194 ausgegeben. Ist in der zweiten Aktuatorsteuerungseinheit 1192 der Sicherheitsbremspfad aktiv, wird die Aktuatorstellgröße der zweiten Aktuatorsteuerungseinheit 1192 an die erste Bremskrafteinheit 1158 und die zweite Bremskrafteinheit 1194 ausgegeben.

Ist in der zweiten Bremskrafteinheit 1194 der Betriebsbremspfad aktiv, wird die Krafterzeugungsstellgröße der ersten Bremskrafteinheit 1158 an die höchst zuverlässigen Funktionsteile 316 ausgegeben. Ist in der zweiten Bremskrafteinheit 1194 der Sicherheitsbremspfad aktiv, wird die Krafterzeugungsstellgröße der zweiten Bremskrafteinheit 1194 an die höchst zuverlässigen Funktionsteile 1116 ausgegeben.

Ist die optionale erste Bremssteuerungseinheit 1186 nicht vorhanden, kann der erste Umschalter 346 entfallen. Ist die optionale erste Aktuatorsteuerungseinheit 1188 nicht vorhanden, kann der zweite Umschalter 356 entfallen. Ist die optionale erste Bremskrafteinheit 1158 nicht vorhanden, kann der dritte Umschalter 364 entfallen. Bei Wegfall aller optionalen Bauteile kann das Bremssystem als Sicherheitsbremse implementiert werden, die ausschließlich den Sicherheitsbremspfad bereitstellt.

Vorliegend ist der erste Umschalter 346 in die Funktion des Sicherheitsbremspfades der zweiten Bremssteuerungseinheit 1190 implementiert. Es werden hier funktionsabhängig Kraftstellgrößen bzw. Modifikatoren welche in der ersten Bremssteuerungseinheit 1186 berechnet werden verwendet oder nach Umschaltbefehlen des Entscheiders 344 abgeschnitten und so ein Grundwert für die Kraftstellgrößen aus dem Datenspeicher 345 gebildet.

Der zweite Umschalter 356 schaltet die wie in der nachfolgend dargestellten Tabelle notiert jeweils einen der zwei Eingänge auf einen der zwei Ausgänge.

Es sind drei Fälle vorgesehen, die der Regel folgen:

Die Funktionsteile/Einheiten mit niedriger Sicherheitsintegrität dürfen keinen unmittelbaren Zugriff auf Funktionen/Funktionsgruppen/Einheiten mit hoher Integrität haben ohne das eine Umschalteinheit diese abschneiden kann. Der dritte Umschalter 1164 schaltet zusätzlich analog zum zweiten Umschalter 356 zwischen dem jeweiligen Krafterzeugungspfad um. Somit bekommt nur der aktiv mit Aktuationsgrößen A/B versorgte Pfad auch Zugriff auf die höchst zuverlässigen Funktionsteile 316.

Damit ist das Bremssystem so ausgestaltet, dass die Sicherheitsfunktion des Entscheiders dazu ausgebildet ist, alle im System auftretenden Statussignale der weiteren Sicherheitsmonitore zu empfangen, daraufhin eine Fehlerreaktion zu bestimmen und infolge dessen diese mittels Umschaltbefehlen an die Umschalteinheiten der Bremssteuerungseinheit, der Aktuatorsteuerungseinheit oder der Bremskrafteinheit zu übermitteln, um vom ersten in den zweiten Bremspfad oder vom zweiten in den ersten Bremspfad umzuschalten.

Dies erlaubt, jede beliebige Kombination der ersten Bremssteuerungseinheit aus dem ersten Bremspfad, der zweiten Bremssteuerung aus dem zweiten Bremspfad, der ersten Aktuatorsteuerungseinheit aus dem ersten Bremspfad, der zweiten Aktuatorsteuerung aus dem zweiten Bremspfad, der ersten Bremskrafteinheit aus dem ersten Bremspfad und der zweiten Bremskrafteinheit aus dem zweiten Bremspfad.

Wird beispielsweise ein Umschaltzustand festgestellt, kann der erste Umschalter 346 dennoch die Funktionen des Betriebsbremspfads der ersten Bremssteuerungseinheit 1186 verwenden und insoweit im Betriebsbremspfad verbleiben, wenn festgestellt wird, dass diese Funktionen noch zuverlässig sind oder insbesondere dann, wenn ein Fehlerzustand bei dem Datenspeicher 345 festgestellt wird. Insbesondere kann ein Mischbetrieb vorliegen. Insoweit kann der Betriebsbremspfad aus der ersten Bremssteuerungseinheit 1186 als Rückfallmöglichkeit bestehen, wenn im Sicherheitsbremspfad ein Fehler vorliegt und somit eine weitere Absicherungsstufe gebildet werden.

Gleichfalls kann der zweite Umschalter 346 selbst bei einem festgestellten Umschaltzustand dennoch die Funktionen des Betriebsbremspfads der ersten Aktuatorsteuerungseinheit 1188 verwenden und insoweit im Betriebsbremspfad verbleiben, wenn festgestellt wird, dass diese Funktionen noch zuverlässig sind oder insbesondere dann, wenn im Sicherheitsbremspfad der zweiten Aktuatorsteuerungseinheit ein Fehlerzustand festgestellt wird. Insbesondere kann ein Mischbetrieb vorliegen. Insoweit kann der Betriebsbremspfad aus der ersten Aktuatorsteuerungseinheit 1188 als Rückfallmöglichkeit bestehen, wenn im Sicherheitsbremspfad ein Fehler vorliegt und somit eine weitere Absicherungsstufe gebildet werden.

Gleichfalls kann der dritte Umschalter 364 selbst bei einem festgestellten Umschaltzustand dennoch die Funktionen des Betriebsbremspfads der ersten Bremskrafteinheit 1158 verwenden und insoweit im Betriebsbremspfad verbleiben, wenn festgestellt wird, dass diese Funktionen noch zuverlässig sind oder insbesondere dann, wenn im Sicherheitsbremspfad der zweiten Bremskrafteinheit 1194 ein Fehlerzustand erkannt wird. Insbesondere kann ein Mischbetrieb vorliegen. Insoweit kann der Betriebsbremspfad aus der ersten Bremskrafteinheit 1158 als Rückfallmöglichkeit bestehen, wenn im Sicherheitsbremspfad ein Fehler vorliegt und somit eine weitere Absicherungsstufe gebildet werden. Gleiches gilt für die Energieversorgungseinheit 1170.

Dieses Rückschalten auf den Betriebsbremspfad kann in jedem Umschalter unabhängig von den anderen Umschaltern erfolgen. Insbesondere sind die Kombinationen Betriebsbremspfad - Sicherheitsbremspfad - Sicherheitsbremspfad, Sicherheitsbremspfad - Sicherheitsbremspfad - Sicherheitsbremspfad oder gar Betriebsbremspfad - Betriebsbremspfad - Betriebsbremspfad der Bremssteuerungseinheiten, Aktuatorsteuerungseinheiten und Bremskrafteinheiten möglich.

Die Erfindung wurde mittels Ausführungsbeispielen beschrieben. Die Ausführungsbeispiele sind lediglich erläuternder Natur und beschränken nicht die Erfindung, wie sie durch die Ansprüche definiert ist. Erkennbar für den Fachmann sind Abweichungen von dem Ausführungsbeispiel möglich, ohne dass der Schutzbereich der Ansprüche verlassen wird. Im Ausführungsbeispiel ist der Zugverbund als elektrischer Zugverbund implementiert, der über eine Oberleitung mit elektrischer Energie versorgt wird. Alternativ dazu kann die elektrische Energie auch über einen im Zugverbund, beispielsweise im angetriebenen Wagen oder in einem gezogenen Wagen mitgeführten Generator, beispielsweise einen Dieselgenerator, bereitgestellt werden.

Im Ausführungsbeispiel ist der Zugverbund 1 als ein solcher mit einem angetriebenen Wagen 110 als Führungswagen, mit mehreren gezogenen Wagen 150 implementiert. Alternativ können mehrere oder alle Wagen angetrieben sein, insbesondere anstelle des Führungswagens. Ferner können alternativ oder ergänzend zum Führungswagen ein oder mehrere gezogene Wagen mit einem Stromabnehmer versehen sein.

Im Ausführungsbeispiel ist die Steuerleitung 128 als digitaler Datenbus ausgestaltet. Alternativ können über die Steuerleitung 128 analoge Steuersignale übertragen werden. Darüber hinaus kann die Steuerleitung in mehrere hierarchisch strukturierte Kommunikationssysteme implementiert sein. Beispielsweise kann es ein Zugverbundübergreifendes Kommunikationsmittel, das mittels Gatewaymitteln mit wagenspezifischen Kommunikationsmitteln verbunden ist, vorhanden sein. Ferner können die Kommunikationsmittel redundant vorhanden sein.

Insbesondere ist es möglich, Merkmale aus unterschiedlichen Ausführungsbeispielen zu kombinieren. So ist es beispielsweise möglich, die im Aktuator integrierte Energieversorgungseinheit auf alle anderen Ausführungsbeispiele zu übertragen.

Die Bremssteuerungseinheiten sind eingerichtet, eine Kontrolleingabe mit einem Bremsbefehl, eine Erweiterungsgröße oder eine Kraftstellgröße zu erhalten und daraus eine Aktuationsgröße oder eine Kraftstellgröße zu ermitteln. Ferner sind sie eingerichtet die Aktuationsgröße oder die Kraftstellgröße an den Aktuator, eine Bremssteuerungseinheit, eine Aktuatorsteuerungseinheit oder die Bremskrafteinheit auszugeben.

Die Aktuatorsteuerungseinheiten sind eingerichtet, eine Kraftstellgröße zu erhalten und daraus eine Aktuationsgröße zu ermitteln. Ferner sind sie eingerichtet die Aktuationsgröße an den Aktuator, eine Bremssteuerungseinheit, eine Aktuatorsteuerungseinheit oder die Bremskrafteinheit auszugeben.

Die Bremskrafteinheit ist eingerichtet, eine Aktuationsgröße zu erhalten und den mechanischen Bremsvorgang auszuführen.

Die Bremssteuerungseinheiten, die Aktuationssteuerungseinheiten, die Bremskrafteinheit und die Energieversorgungseinheit sind eingerichtet, einen Umschaltzustand zu ermitteln und im Falle eines Umschaltzustandes ein Umschaltsignal oder einen Umschaltbefehl auszugeben.

Die Bremssteuerungseinheiten, die Aktuationssteuerungseinheiten, die Bremskrafteinheit und die Energieversorgungseinheit sind eingerichtet, ein Umschaltsignal oder einen Umschaltbefehl zu erhalten und auf dessen Erhalt von einem ersten Bremspfad auf eine zweiten Bremspfad oder von einem zweiten Bremspfad auf einen ersten Bremspfad umzuschalten, insbesondere von einem Betriebsbremspfad auf einen Sicherheitsbremspfad oder von einem Sicherheitsbremspfad auf einen Betriebsbremspfad umzuschalten.

Die Junktoren ... „und“, „oder“ und „entweder ... oder“ werden in der Bedeutung verwendet, die an die logische Konjunktion (logisches UND), die logische Adjunktion (logisches ODER, oft „und/oder“), bzw. die logische Kontravalenz (logisches Exklusiv- ODER) angelehnt sind. Insbesondere kann im Gegensatz zu „entweder ... oder“ der Junktor „oder“ das gemeinsame Vorliegen beider Operanden beinhalten.

Eine Auflistung von Verfahrensschritten hat in der Beschreibung und den Ansprüchen lediglich aufzählende Funktion der erforderlichen Verfahrensschritte. Sie impliziert keine notwendige Ordnung oder Reihenfolge der Verfahrensschritte, es sei denn, eine solche Ordnung oder Reihenfolge wird explizit angegeben oder ergibt sich für den Fachmann in offensichtlicher Weise. Ferner ergibt sich aus einer solchen Auflistung nicht deren Abgeschlossenheit. Der Begriff "Aufweisen" bedingt in den Ansprüchen keine abschließende Auflistung; das Vorhandensein weiterer Elemente und Schritte ist möglich.

Die Verwendung des unbestimmten Artikels "ein" oder "eine" schließt das Vorhandensein einer Mehrzahl nicht aus, sondern ist als "mindestens ein" oder "mindestens eine" zu verstehen, es sei denn, er wird als "genau ein" oder "genau eine" eingeschränkt.

Ferner werden im Rahmen dieser Erfindung die nachfolgenden Begriffe in der folgend angegebenen Bedeutung verstanden.

Elektro-mechanisches Bremssystem - Ein Bremssystem welches die Fähigkeit zur Erzeugung einer Verzögerungs-ZBremskraft eines Fahrzeuges mittels elektronischer, elektrischer und mechanischer Komponenten zur Verfügung stellt.

Bremspfad - Summe aller Funktionen, welche zwischen den Kontrolleingaben des Bremssystems und der Erzeugung der Reibungsbremskraft aktiv sind und die systemweiten Bremsfunktionen herstellen.

Sicherheitsintegritätslevel - auch SIL, Sicherheitsanforderungssufe nach DIN EN 61508-2:17.

Sicherheitsbremsfunktionen - auch Bremsfunktionen mit hoher Sicherheitsintegrität, lokale oder zugweite Funktionen des Bremssystems welche eine erhöhte Sicherheitsanforderung besitzen (z.B. Not-Bremse, Parkbremse).

Sicherheitsbremsfunktionen sind Bremsfunktionen, die einen höheren Sicherheitsintegritätslevel aufweisen, als Betriebsbremsfunktionen.

Sicherheitsbremspfad - auch zweiter Bremspfad, Bremspfad als Serie von Funktionen, welche in ihrer Gesamtheit einen Bremsvorgang mit hoher Sicherheitsintegrität umsetzen, d.h. mindestens eine Sicherheitsbremsfunktion implementieren. (höchst integre) Mindestfunktionen - Funktionen als Bestandteil/Untergruppe der Sicherheitsbremsfunktionen, welche die höchste Sicherheitsintegrität besitzt und von den anderen (Brems-)Funktionen, insbesondere den Erweiterungsfunktionen nicht beeinflussbar bzw. manipulierbar, sowie zur Funktionserfüllung nicht abhängig sind. höchst zuverlässige Funktionsteile - (auch geteilte Funktionsteile) Funktionen als Bestandteil des Bremspfades, welche auf bewährten unverlierbaren Funktionsmechanismen (z.B. mechanische Bremszange) beruhen und welche inhärente Sicherheitseigenschaften besitzen.

Betriebsbremsfunktionen - auch Bremsfunktionen mit geringer Sicherheitsintegrität, lokale oder zugweite Funktionen des Bremssystems welche eine gewöhnliche Sicherheitsanforderung besitzen und eine herkömmliche, üblicherweise vom Zugführer initiierte und adaptierbare Bremsfunktion bereitstellen. Betriebsbremsfunktionen sind Bremsfunktionen, die einen niedrigeren Sicherheitsintegritätslevel aufweisen, als Sicherheitsbremsfunktionen.

Betriebsbremspfad - auch erster Bremspfad, Bremspfad als Serie von Funktionen, welche in ihrer Gesamtheit einen Bremsvorgang mit niedriger Sicherheitsintegrität umsetzen.

Erweiterungsfunktionen - Lokale oder zugweite Funktionen des Bremssystems welche die grundlegenden Bremsfunktionen um qualitätsverbessernde Maßnahmen erweitern (z.B. Gleitschutz, Lastkorrektur)

Sicherheitsfunktionen - Funktionen welche die Integrität der anderen Funktionen (insbesondere der Bremspfade) überwachen, diagnostizieren und ggf. mittels Umschaltvorgängen einen Kompensationsvorgang durchführen um die Sicherheitsbremsfunktionen aufrecht zu erhalten oder wiederherzustellen. Es gibt u.A. die Sicherheitsmonitorfunktionen Bremspfadmonitor, Aktuatormonitor und Versorgungsmonitor und die übrigen Sicherheitsfunktionen Entscheider und Datenspeicherfunktion. Entscheider - Sicherheitsfunktion, die eingerichtet ist, alle im System auftretenden Statussignale der Sicherheitsmonitorfunktionen zu empfangen, daraufhin eine Fehlerrektion zu bestimmen und infolge dessen diese mittels eines Umschaltbefehls an mindestens eine Umschalteinheit zu übermitteln.

Umschalteinheit - Funktionsgruppe in Bremssteuerungseinheit, Aktuatorsteuerungseinheit oder Bremskrafteinheit, die beim Empfang eines Umschaltbefehls von einem Betriebsbremspfad in einen Sicherheitsbremspfad oder von einem Sicherheitsbremspfad in einen Sicherheitsbremspfad umschaltet.

Bremspfadmonitor - Sicherheitsmonitorfunktion, die sicherheitsrelevante physische Parameter des Bremspfades überwacht und Statussignale über den Bremspfad an einen Entscheider übermittelt. Insbesondere ist der Bremspfadmonitor eingerichtet, fehlerhaftes Verhalten in den Bremsfunktionen der ersten Bremssteuerungseinheit(en) zu erkennen.

Aktuatormonitor - Sicherheitsmonitorfunktion, die sicherheitsrelevante physische Parameter des Aktuators überwacht und Statussignale über den Aktuator an einen Entscheider übermittelt. Insbesondere ist der Aktuatormonitor eingerichtet, fehlerhaftes Verhalten der ersten oder zweiten Aktuatorsteuerungseinheit oder der ersten oder zweiten Bremskrafteinheit zu erkennen.

Versorgungsmonitor - Sicherheitsmonitorfunktion, die sicherheitsrelevante physische Parameter der Energieversorgung des Bremssystems überwacht und Statussignale über die Energieversorgung an einen Entscheider übermittelt. Insbesondere ist der Versorgungsmonitor dazu eingerichtet, fehlerhaftes Verhalten oder einen Fehlerzustand der Energieversorgungseinheit und einen Umschaltvorgang auf deren internen Energiepuffer zu erkennen und dies oder die drohende (endgültige) Erschöpfung der Energieversorgung des integrierten Energiepuffers mittels des Statussignals der Entscheiderfunktion mitzuteilen.

Datenspeicherfunktion - übrige Sicherheitsfunktion, die eingerichtet ist, Ersatzwerte zur Bildung der Kraftstellgröße im Falle des Ausfalls/fehlerhaften Verhalten der ersten Bremssteuerungseinheit zur Verfügung zu stellen und aufgrund eines Umschaltsignals des Entscheiders als die tatsächlichen Werte für die Bereitstellung an die Aktuatorsteuerungseinheit zur Verfügung zu stellen.

Bremssteuerungseinheit - Menge von Funktionen zur Bereitstellung von zugweiten und lokalen Brems- und Erweiterungsfunktionen im Bremspfad aufgrund von Kontrolleingaben oder Fahrzeugzustandsgrößen oder Bremssystemzustandsgrößen.

Aktuatorsteuerungseinheit - Menge von Funktionen zur Bereitstellung von Krafterzeugungsfunktionen im Bremspfad aufgrund von Kraftstellgrößen.

Bremskrafteinheit - Menge von Funktionen zur Erzeugung von Reibungsbremskraft aufgrund von Aktuationsgrößen.

Bremssteuerung - Baugruppe, die eingerichtet ist, die Funktionen der Bremssteuerungseinheit und optional zusätzlich der Aktuatorsteuerungseinheit auszuführen.

Aktuator - Baugruppe, die eingerichtet ist, die Funktionen der Bremssteuerungseinheit, der Aktuatorsteuerungseinheit und der Bremskrafteinheit auszuführen.

Erweiterungsfunktionsträger - Baugruppe, die eingerichtet ist, erweiterte Funktionen bereitzustellen.

Kraftstellgröße - Steuer- oder Regelgröße, welche entweder direkt oder indirekt eine Anforderung des Bremspfades darstellt, eine Kraft in einem für den Bremssteller relevanten Koordinatensystem zu erzeugen (z.B. Zylinderkraft), sowie dazugehörige Steuer- oder Manipulationsgrößen wie z.B. Reduziersignale, Anpassgrößen zur Qualitätsverbesserung etc. bei der Einstellung dieser Kraft zu berücksichtigen.

Aktuationsgröße - Steuer- oder Regelgröße, welche für den vorliegenden elektromechanischen Prozess bzw. das Wirkprinzip zur Verfügung gestellt wird, um einen eindeutigen Bewegungs-, Kraft- oder Positionszustand oder ähnliche

Zustandseigenschaften (z.B. Feststellbremse) festzulegen und anzufordern.

Energieversorgungseinheit - Menge von Funktionen zur Bereitstellung einer Energieversorgung von Baugruppen des Bremssystems.

BEZUGSZEICHENLISTE

1 Schienenfahrzeugverbund

110 angetriebener Wagen

112 Antriebsmittel, Elektromotor

114 angetriebene Radachse

116 Antriebsrad

118 Schiene

120 Stromabnehmer

122 Oberleitung

123 Akkumulator

124 Führerstand des angetriebenen Wagens

126 elektrische Versorgungsleitung

128 Steuerleitung

140 Kupplung

150 gezogener Wagen

154 nicht angetriebene Achsen

156 nicht angetriebene Räder

160 Endwagen

162 Führerstand des Endwagens

200 Bremssystem (erstes Ausführungsbeispiel)

202 Energieversorgungsschnittstelle

204 Steuerleitungsschnittstelle

206 bewegtes Reibelement, rotatorisches Reibelement, Bremsscheibe

208 Bremssattel

210 statisches Reibelement, Bremsbacken

212 Reibelementantriebsmittel, Bremsaktuatormotor

214 Spindelantrieb

216 höchst zuverlässige Funktionsteile

218 Kontrolleingaben

220 Fahrzeugzustandsgrößeneingaben

222 Bremssystemzustandsgrößeneingaben

223 Energieversorgung 224 Bremssteuerungseinheit

226 erster Steuerungspfad

228 Betriebsbremspfad

230 zweiter Steuerungspfad

232 Sicherheitsbremspfad

234 Bremskrafteinheit

236 erster Funktionsteil, erster Pfad Krafterzeugung

238 zweiter Funktionsteil, zweiter Pfad Krafterzeugung

239 Reibungsbremskraft, Anpresskraft

300 Bremssystem (zweites Ausführungsbeispiel)

316 höchst zuverlässige Funktionsteile

324 Bremssteuerungseinheit

334 erste Funktionsgruppe der Bremssteuerungseinheit für Bremsfunktionen und

Erweiterungsfunktionen

336 zweite Funktionsgruppe der Bremssteuerungseinheit für

Sicherheitsbremsfunktionen

338 dritte Funktionsgruppe der Bremssteuerungseinheit für Sicherheitsfunktionen

340 Sicherheitsfunktionen

341 Bremspfadmonitor

342 Aktuatormonitor

343 Versorgungsmonitor

344 Entscheider

345 Datenspeicherfunktion

346 erste Umschalteinheit der Bremssteuerungseinheit

348 Aktuatorsteuerungseinheit

350 erster Steuerungspfad

352 zweiter Steuerungspfad

354 vierte Funktionsgruppe der Aktuatorsteuerungseinheit für

Sicherheitsfunktionen

356 zweite Umschalteinheit der Aktuatorsteuerungseinheit

358 Bremskrafteinheit

360 erster Funktionsteil

362 zweiter Funktionsteil 364 dritte Umschalteinheit der Bremskrafteinheit

366 Sensor

370 Energieversorgungseinheit

372 Pufferspeicher

374 externe Energieversorgung

376 fünfte Funktionsgruppe der Energieversorgungseinheit für Sicherheitsfunktionen

378 vierte Umschalteinheit der Energieversorgungseinheit

380 Umschaltbefehl

382 Kraftstellgrößen

384 Aktuationsgrößen

386 Bremsenergieversorgung

400 Bremssystem (drittes Ausführungsbeispiel)

458 Bremskrafteinheit

470 Energieversorgungseinheit

480 Bremssteuerung

482 Aktuator

484 Energieversorgung

486 erste Bremssteuerungseinheit

488 erste Aktuatorsteuerungseinheit

490 zweite Bremssteuerungseinheit

492 zweite Aktuatorsteuerungseinheit

494 erste Aktuationsgrößen

495 zweite Aktuationsgrößen

496 Aktuationsgröße A

497 Aktuationsgröße B

500 Bremssystem (viertes Ausführungsbeispiel)

558 Bremskrafteinheit

580 Bremssteuerung

582 Aktuator

586 erste Bremssteuerungseinheit

588 erste Aktuatorsteuerungseinheit

590 zweite Bremssteuerungseinheit 592 zweite Aktuatorsteuerungseinheit

594 Erweiterungsfunktionsträger

594' Erweiterungsfunktionseinheit (Betriebsbremspfad)

594“ Erweiterungsfunktionseinheit (Sicherheitsbremspfad)

594‘“ Erweiterungsfunktionseinheit (Betriebsbremspfad)

596 dritte Bremssteuerungseinheit

597 Erweiterungsfunktionen

598 Erweiterungsgrößen

599 Sensorgrößen

600 Bremssystem (fünftes Ausführungsbeispiel)

658 Bremskrafteinheit

670 Energieversorgungseinheit

680 Bremssteuerung

682 Aktuator

684 Energieversorgung

686 erste Bremssteuerungseinheit

688 erste Aktuatorsteuerungseinheit

690 zweite Bremssteuerungseinheit

692 zweite Aktuatorsteuerungseinheit

700 Bremssystem (sechstes Ausführungsbeispiel)

758 Bremskrafteinheit

780 Bremssteuerung

782 Aktuator

784 Energieversorgung

786 erste Bremssteuerungseinheit

788 erste Aktuatorsteuerungseinheit

790 zweite Bremssteuerungseinheit

792 zweite Aktuatorsteuerungseinheit

800 Bremssystem (siebtes Ausführungsbeispiel)

858 Bremskrafteinheit

880 Bremssteuerung

882 Aktuator

884 Energieversorgung 886 erste Bremssteuerungseinheit

888 erste Aktuatorsteuerungseinheit

890 zweite Bremssteuerungseinheit

892 zweite Aktuatorsteuerungseinheit

900 Bremssystem (achtes Ausführungsbeispiel)

948 Aktuatorsteuerungseinheit

980 Bremssteuerung

982 Aktuator

984 Energieversorgung

986 erste Bremssteuerungseinheit

988 erste Aktuatorsteuerungseinheit

990 zweite Bremssteuerungseinheit

992 zweite Aktuatorsteuerungseinheit

1000 Bremssystem (neuntes Ausführungsbeispiel)

91080 Bremssteuerung

1082 Aktuator

1084 Energieversorgung

1118 Kontrolleingaben

1158 erste Bremskrafteinheit

1170 Energieversorgungseinheit

1186 erste Bremssteuerungseinheit

1188 erste Aktuatorsteuerungseinheit

1190 zweite Bremssteuerungseinheit

1192 zweite Aktuatorsteuerungseinheit

1194 zweite Bremskrafteinheit

1195 Krafterzeugungsgrößen