Konfigurationsverfahren für eine Eisenbahnsignalanlage und AktualisierungsSystem

Es wird ein Verfahren zur Konfiguration von Komponenten einer Eisenbahnsignalanlage angegeben. Darüber hinaus wird ein Ak tualisierungssystem angegeben, das für ein solches Verfahren eingerichtet ist.

Die Druckschrift EP 2121 409 Bl betrifft ein Verfahren zum Übertragen von Daten an ein Streckenelement für spurgebunde nen Verkehr.

Eine zu lösende Aufgabe liegt darin, ein Verfahren anzugeben, mit dem effizient Komponenten einer Eisenbahnsignalanlage konfiguriert werden können. Eine weitere zu lösende Aufgabe liegt darin, ein Aktualisierungssystem für ein solches Ver fahren anzugeben.

Diese Aufgaben werden unter anderem durch ein Verfahren und durch ein Aktualisierungssystem mit den Merkmalen der ent sprechenden unabhängigen Patentansprüche gelöst. Bevorzugte Weiterbildungen sind Gegenstand der abhängigen Ansprüche.

In mindestens einer Ausführungsform dient das Verfahren zur Konfiguration von Komponenten einer Eisenbahnsignalanlage.

Die Komponenten sind zum Beispiel Weichencontroller, Achszäh ler, Stellwerke und/oder Streckenzentralen. Das Verfahren um fasst:

A) Bereitstellen einer Vielzahl der Komponenten,

B) Bereitstellen einer zentralen Rechnereinheit, auch als Server bezeichnet, und

C) Aktualisieren von Konfigurationen der Komponenten mittels der zentralen Rechnereinheit, wobei den Komponenten jeweils eine eindeutige Kennung zuge ordnet ist und die Kennungen jeweils festlegbar sind, wobei das Aktualisieren von den Komponenten bei der zentralen Rech nereinheit angefragt wird und kryptographisch gesichert er folgt.

In einer dezentralen Streckensteuerungsarchitektur sind Stre ckenelementsteuerungen, kurz auch als Komponenten bezeichnet, typischerweise weit verteilt angeordnet. Aufgrund dieser wei ten Verteilung der Streckenelementsteuerungen nehmen manuelle Konfigurationsänderungen viel Zeit und Aufwand in Anspruch.

So muss bei einer manuellen Änderung der Konfiguration einer dezentralen Komponente das für die Wartung zuständige Perso nal einen physikalischen Zugang zu der Komponente erlangen, zum Beispiel um einen Identifizierungsstecker auszutauschen, welcher die Konfiguration für die Komponente enthält, oder um Knöpfe zu drücken und dadurch eine Konfigurationsänderung zu initialisieren. Ein solches Verfahren wird beispielsweise für Objektsteuerungen in Systemen, die insbesondere auf NeuPro oder Eulynx basieren, eingesetzt.

Mit dem hier beschriebenen Verfahren ist es möglich, Konfigu rationen über eine sichere Datenfernverbindung zu verteilen. Die Komponenten können dabei noch ihre ID-Stecker aufweisen, doch dient der ID-Stecker bevorzugt nur noch zur Speicherung einer Adresse des die Konfiguration speichernden Servers und einer eindeutigen Kennung der betreffenden Komponente. Für die hier beschriebene Aktualisierung der Konfiguration ist der ID-Stecker selbst nicht zwingend erforderlich, sondern bevorzugt nur, dass die Komponente eine eindeutige ID und die zumindest eine Adresse des Servers beinhaltet, welcher die Konfiguration speichert und verteilt.

Diese Kennung, kurz ID, wird insbesondere zusammen mit einer Prüfsumme, wie einem Hash-Wert, der aktuellen Konfiguration der Komponente an den Server gesendet, wobei der Server über eine der bereitgestellten Adressen erreichbar ist. Der Server verarbeitet die Anfrage und prüft anhand der ID und der Prüf summe, ob eine aktuellere Gerätekonfiguration für die Kompo- nente zur Verfügung steht. Wenn dies der Fall ist, wird der Server die neue Konfiguration an die betreffende Komponente senden. Andernfalls wird der Server in einer Antwort bevor zugt anzeigen, dass keine neue Konfiguration für die Kompo nente zur Verfügung steht.

Empfängt die Komponente die neue Konfiguration, so überprüft die Komponente diese Konfiguration bevorzugt mit einem kryp- tographischen Verfahren, zum Beispiel mittels einer Signatur. Erst wenn die Signatur gültig ist, wird die neue Konfigurati on verwendet.

Dieser Ablauf wird bevorzugt jedes Mal ausgeführt, wenn die Komponente neu startet, was auch als „Booten" bezeichnet wird. Wenn die Konfiguration einer bestimmten Komponente ge ändert werden soll, wird die Konfiguration somit nur in der zentralen Ablage des Konfigurationsservers verändert und nicht mehr an jeder einzelnen Komponente. Ein Neustart der Komponente kann optional aus der Ferne, also remote, ausge löst werden, um das Abrufen der neuen Konfiguration an der entsprechenden Komponente auszulösen.

Mit der hier beschriebenen Vorgehensweise kann ein sicherer Mechanismus zur Konfigurationsverteilung bereitgestellt wer den. So kann es mit dieser Vorgehensweise einem Nutzer ermög licht werden, durch die zentrale Verwaltung der weit verteil ten, dezentralen Komponenten Kosten einzusparen, anstatt lo kal jede Komponente einzeln neu zu konfigurieren. Insbesonde re können mit dieser Vorgehensweise Eisenbahnsysteme aufge baut werden, die selbständig ihre neuesten Konfigurationsda ten beim Booten abholen. Zusätzlich wird jede verfälschte Konfiguration abgebaut und automatisch durch die richtige Konfiguration ersetzt. So würde eine Manipulation der Konfi gurationsdateien, etwa durch einen Hackerangriff oder durch einen korrumpierten Speicher, erkannt und korrigiert werden.

Ein zentraler Server, der die Konfigurationen aller Komponen ten speichert, ist im Vergleich zu individuell vor Ort zu konfigurierenden Komponenten effizienter handhabbar. Jede Konfigurationsdatei kann kryptographisch signiert und somit vor böswilligen oder versehentlichen Verfälschungen geschützt werden. Immer dann, wenn die Komponenten booten, wird bevor zugt ein Hash-Wert über die entsprechende Konfiguration er stellt und zusammen mit der zugehörigen eindeutigen Kennung an den Server übersandt. Wenn der Hash-Wert mit der für diese Kennung vorgegebenen Konfiguration übereinstimmt, ist die Konfiguration gültig und muss nicht aktualisiert werden.

Falls der Hash-Wert nicht mit der neuesten Konfiguration übereinstimmt, wird die Konfiguration der betreffenden Kompo nente aktualisiert.

Somit kann ein System bereitgestellt werden, das sich autonom konfiguriert, sodass einem Kunden eine Lösung angeboten wer den kann, die den Aufwand manueller Konfigurationsaktualisie rungen einspart. Ferner wird es ermöglicht, Komponenten ohne anfängliche Konfigurationsprüfung zu verwenden und in die Ei senbahnsignalanlage einzubauen. Außerdem können basierend auf dem hier beschriebenen Verfahren Dienstleistungen angeboten werden, mittels eines zentralisierten Konfigurationsservers die Konfigurationen der Komponenten einer Eisenbahnsignalan lage laufend auf dem aktuellen Stand zu halten. Der Konfigu rationsserver kann aufgrund der Verwendung von IT- Sicherheitstechniken auch Cloud-basiert sein.

Dagegen hat das Versenden der Konfigurationen von einem zent ralen Server hin zu den einzelnen Komponenten, auf Initiative des Servers, erhebliche Nachteile:

- Statt der Speicherung nur der Geräte-IDs muss zusätzlich jede Geräteadresse der Komponenten gespeichert werden.

- Es ist nicht bekannt, wann die Konfigurationsinformationen an eine bestimmte Komponente zu senden sind. Es besteht die Notwendigkeit, eine Information darüber zu haben, wann die Konfigurationen an die Komponenten zu senden sind. Zum Bei spiel müsste der Server wissen, wann ein Neustart der Kompo nenten vorgenommen wird oder wann eine neue Komponente in das System integriert wird. Der Begriff Eisenbahnsignalanlage wird vorliegend insbesonde re als Sammelbezeichnung für alle signaltechnischen Einrich tungen zur Durchführung und Sicherung des Eisenbahnbetriebs verstanden. Dazu gehören insbesondere Stellwerksanlagen, Blocksteueranlagen, Fernsteueranlagen, Stromversorgungsein richtungen, Signalkabel, Weichencontroller, Achszähler oder Streckenzentralen, auch als Radio Block Centre oder kurz RBC bezeichnet.

Die Verfahrensschritte A), B) und C) können in der angegebe nen Reihenfolge durchgeführt werden, jedoch ist dies nicht zwingend erforderlich. Insbesondere kann die Eisenbahnsignal anlage schrittweise aufgebaut und/oder stetig erweitert wer den, sodass der Schritt A), Bereitstellen einer Vielzahl der Komponenten, über einen langen Zeitraum hinweg erfolgen kann, wobei bereits Aktualisierungen gemäß Schritt C) durchgeführt werden können, wenn noch nicht alle Komponenten installiert sind.

Gemäß zumindest einer Ausführungsform wird das Aktualisieren von den Komponenten bei der zentralen Rechnereinheit ange fragt. Das heißt, die Initiative zum Aktualisieren liegt bei den einzelnen Komponenten, und nicht bei der zentralen Rech nereinheit.

Gemäß zumindest einer Ausführungsform erfolgt die kryptogra- phische Sicherung beim Aktualisieren anhand von Signaturen oder auch durch die Nutzung eines MAC-basierten Sicherungsan hangs, der im Gegensatz zu einer Signatur allerdings nur auf einen symmetrischen Schlüssel basiert.

Gemäß zumindest einer Ausführungsform handelt es sich bei der zentralen Rechnereinheit um einen Server. Es ist möglich, dass für verschiedene Gruppen von Komponenten unterschiedli che Server verwendet werden. Außerdem kann die zentrale Rech nereinheit redundant ausgelegt sein. Weiterhin ist es mög lich, dass die zentrale Rechnereinheit während der Betriebs- dauer der Eisenbahnsignalanlage ausgetauscht und/oder erneu ert wird. Ändert sich die Adresse der zentralen Rechnerein heit, so können die Komponenten insbesondere vorab zum Bei spiel mittels der zentralen Rechnereinheit entsprechend in struiert oder informiert werden.

Gemäß zumindest einer Ausführungsform sind die eindeutigen Kennungen in Hardware implementiert. Das heißt, die Kennungen sind programmtechnisch bevorzugt nicht überschreibbar oder änderbar und sind somit dauerhaft. Beispielsweise sind die eindeutigen Kennungen je an einen Trägerkörper gebunden. Zum Beispiel ist der Trägerkörper ein Token-Stick, ein Dongle, ein Hardwarekey, ein Hardlock, ein Chip oder eine Chipkarte, etwa ein Teilnehmer-Identitätsmodul, englisch Subscriber Identity Module oder kurz SIM.

Gemäß zumindest einer Ausführungsform sind die Trägerkörper jeweils reversibel an der zugeordneten Komponente anbringbar. Das heißt, zum Beispiel durch Bedienpersonal kann der Träger körper von einer bestimmten Komponente entfernt werden und einer anderen Komponente, zum Beispiel einem Ersatzteil, zu geordnet werden. Da die Kennung an den Trägerkörper gebunden ist, bleibt die Kennung dabei eindeutig.

Gemäß zumindest einer Ausführungsform beinhalten die Träger körper jeweils Zugangsdaten der betreffenden Komponente für die zentrale Rechnereinheit. Beispielsweise ist eine Adresse der zentralen Rechnereinheit in dem jeweiligen Trägerkörper hinterlegt. Optional können zusammen mit der Kennung mittels des Trägerkörpers weitere Informationen eindeutig den Kompo nenten zugeordnet werden.

Gemäß zumindest einer Ausführungsform sind die Kennungen je weils einem bestimmten Einbauplatz der Eisenbahnsignalanlage zugeordnet. Der Einbauplatz ist zum Beispiel ein Steckplatz, ein Fach oder ein Rack. Bevorzugt sind die Kennungen jeweils dauerhaft und eindeutig an den betreffenden Einbauplatz ge bunden. Das heißt, mit der Kennung sind eine Position und La- ge der zugehörigen, sich in dem Einbauplatz befindlichen Kom ponente innerhalb der Eisenbahnsignalanlage eindeutig und dauerhaft festgelegt. Es ist möglich, dass die Komponenten nur dann funktionieren, wenn sie sich korrekt in dem bestim mungsgemäßen Einbauplatz befinden und über die richtige ein deutige Kennung verfügen.

Gemäß zumindest einer Ausführungsform umfasst das Verfahren den folgenden Schritt:

D) Ersetzen einer vorhandenen Komponente an einem bestimmten Einbauplatz durch eine andere Komponente, die als Ersatzteil für die zuvor an diesem Einbauplatz vorhandene Komponente dient. Dabei wird bevorzugt die Kennung von der zuvor vorhan denen Komponente auf die andere Komponente, die als Ersatz teil dient, übertragen. Somit ist beim Ersetzen einer Kompo nente die Kennung, die für die Funktion der Komponente aus schlaggebend ist, beibehaltbar. Insbesondere muss die zentra le Recheneinheit nicht vom Ersetzen der Komponente informiert werden. Somit ist eine vereinfachte Wartung möglich.

Gemäß zumindest einer Ausführungsform beinhalten die Träger körper jeweils eine Initialkonfiguration für die betreffende Komponente. Das heißt, auf den Trägerkörpern kann fest und dauerhaft mindestens eine, bevorzugt genau eine Konfiguration für die zugeordnete Komponente und/oder für den zugeordneten Einbauplatz hinterlegt sein.

Gemäß zumindest einer Ausführungsform wird die Initialkonfi guration bei jedem Neustart der betreffenden Komponente gela den. Das heißt, die Komponenten fallen beim Neustart immer auf die Initialkonfiguration zurück. Alternativ ist es mög lich, dass die Komponenten die zuletzt erhaltene Konfigurati on beibehalten, zumindest in dem Fall, dass zwischenzeitlich keine Unterbrechung der Kennung stattfand, also insbesondere der zugeordnete Trägerkörper nicht entfernt oder beschädigt wurde. Gemäß zumindest einer Ausführungsform fragen bei oder nach jedem Neustart die Komponenten bei der zentralen Rechnerein heit an, ob Schritt C) durchzuführen ist, das heißt, ob eine Aktualisierung der Konfigurationen vorzunehmen ist. Optional nehmen die Komponenten erst dann ihre Funktion auf, wenn sie eine Rückmeldung von der zentralen Rechnereinheit erhalten haben, entweder in Form einer Bestätigung, dass die zugehöri ge Konfiguration noch aktuell ist, oder in Form einer aktuel len Konfiguration.

Gemäß zumindest einer Ausführungsform erfolgt ein Abgleich einer Konfiguration einer bestimmten Komponente mit einer in der zentralen Rechnereinheit hinterlegten Konfiguration für die betreffende Komponente anhand zumindest einer Prüfsumme oder anhand einer kryptographischen Maßnahme. Das heißt, es müssen beim Abgleich nicht die kompletten Werte der Konfigu rationen, sondern nur Prüfsummen oder äquivalente Daten aus getauscht werden. Somit kann ein zu übertragendes Datenvolu men reduziert werden.

Gemäß zumindest einer Ausführungsform wird in der betreffen den Komponente eine im Schritt C) von der zentralen Rech nereinheit übermittelte Konfiguration validiert und/oder auf Authentizität geprüft, bevor diese Konfiguration in der zuge ordneten Komponente tatsächlich zur Anwendung kommt. Diese Validierung und/oder Authentifizierung greift nur auf Daten zurück, die in der Komponente hinterlegt sind. Insbesondere kann es für die erfolgreiche Validierung und/oder Authentifi- zierung nötig sein, dass auf Daten der zugeordneten Komponen te und auch des betreffenden Trägerkörpers zurückgegriffen wird.

Gemäß zumindest einer Ausführungsform liegen in der Eisen bahnsignalanlage mehrere unterschiedliche Arten von Komponen ten vor. Für einig oder alle der Komponenten werden von der zentralen Rechnereinheit im Schritt C) individuelle, vonei nander verschiedene Konfigurationen bereitgestellt. Das heißt, wenigstens einige der Komponenten oder auch alle Kom- ponenten werden bestimmungsgemäß unterschiedlich konfigu riert.

Darüber hinaus wird ein Aktualisierungssystem angegeben. Das Aktualisierungssystem ist für ein Verfahren eingerichtet, wie in Verbindung mit einer oder mehrerer der oben beschriebenen Ausführungsformen angegeben. Merkmale des Aktualisierungssys tems sind daher auch für das Verfahren offenbart und umge kehrt.

In mindestens einer Ausführungsform umfasst das Aktualisie rungssystem eine Vielzahl von Komponenten einer Eisenbahnsig nalanlage, eine zentrale Rechnereinheit und zumindest eine Datenverbindung zwischen den Komponenten und der zentralen Rechnereinheit. Die Datenverbindung kann drahtgebunden oder drahtlos sein oder eine Mischung aus drahtgebundenen und drahtlosen Teilverbindungen sein. Insbesondere kann die Da tenverbindung eine Mobilfunkverbindung sein.

Die oben genannten Eigenschaften, Merkmale und Vorteile der Erfindung und die Art und Weise, wie diese erreicht werden, werden durch die folgende Beschreibung der Ausführungsbei spiele der Erfindung in Verbindung mit den entsprechenden Fi guren weitergehend erläutert, wobei

Figur 1 eine schematische Darstellung eines Ausfüh rungsbeispiels eines Aktualisierungssystems für ein hier beschriebenes Verfahren zeigt,

Figur 2 ein schematisches Blockdiagramm einer Eisen bahnsignalanlage und einer zentralen Rech nereinheit für ein hier beschriebenes Ver fahren zeigt, und die

Figuren 3 und 4 schematische Darstellungen von Verfahrens schritten eines hier beschriebenen Verfah rens zeigen. In Figur 1 ist ein Ausführungsbeispiel eines Aktualisierungs systems 10 illustriert. Das Aktualisierungssystems 10 umfasst eine Eisenbahnsignalanlage 1 sowie eine zentrale Rechnerein heit 3. Die zentrale Rechnereinheit 3, zum Beispiel ein Ser ver, ist über eine Datenverbindung 7 mit einzelnen Komponen ten 2 der Eisenbahnsignalanlage 1 datentechnisch verbunden. Die Datenverbindung 7 ist eine Mobilfunkverbindung, kann aber auch eine drahtgebundene Verbindung sein.

Es ist möglich, dass die Datenverbindung 7 und/oder die zent rale Rechnereinheit 3 selbst ein Bestandteil der Eisenbahn signalanlage 1 sind. Alternativ sind die Datenverbindung 7 und/oder die zentrale Rechnereinheit 3 kein Teil der Eisen bahnsignalanlage 1, sondern sind hiervon verschiedene, eigen ständige Baugruppen.

Bei den einzelnen Komponenten 2 handelt es sich zum Beispiel um Weichencontroller, Achszähler, Stellwerke und/oder Stre ckenzentralen, kurz RBCs, sodass die Eisenbahnsignalanlage 1 bevorzugt verschiedene Arten von Komponenten 2 beinhaltet. Mittels der Komponenten 2 kann ein Verkehr auf einer Bahn strecke 6 geregelt und/oder gesteuert werden.

Die einzelnen Komponenten 2 befinden sich bevorzugt je auf Einbauplätzen 5 der Eisenbahnsignalanlage 1. Den Einbauplät zen 5 und den jeweiligen Komponenten 2 ist je eindeutig eine Kennung 4 zugeordnet. Die Kennung 4 ist bevorzugt an den be treffenden Einbauplatz 5 gebunden. Diese Bindung wird zum Beispiel mit Hilfe von Kennungssicherungen 8 erreicht. Die Kennungssicherungen 8 können mechanisch realisiert sein, bei spielsweise durch eine Kette, oder auch elektronisch, bei spielsweise durch eine Sensoreinheit.

Mittels der Kennungen 4 sind die Komponenten 2 und die Ein bauplätze 5 eindeutig identifizierbar. Beispielsweise sind die Kennungen 4 Identifikatoren, kurz IDs, wie eine alphanu merische Zeichenkette. Die Kennungen 4 sind bevorzugt je fest an einen Trägerkörper 41 gebunden. Die Trägerkörper 41 sind beispielsweise durch einen Token-Stick, einen Dongle, einen Hardwarekey, einen Hardlock, einen Chip oder auch durch eine Chipkarte realisiert. Die Trägerkörper 41 sind bevorzugt mit tels der Kennungssicherungen 8 an die jeweiligen Einbauplätze 5 gekoppelt. Es ist auch möglich, dass die Trägerkörper 41 und/oder die Kennungen 4 je ein Bestandteil des zugehörigen Einbauplatzes 5 sind.

Alternativ zu Kennungen 4, die dauerhaft und untrennbar mit einer Hardware verbunden sind, können im Prinzip auch pro grammierbare Kennungen 4 zum Einsatz kommen. Solche Kennungen 4 können bevorzugt nur dezentral programmiert werden und wer den insbesondere nicht von der zentrale Rechnereinheit 3 ver geben.

Abweichend von der Darstellung in Figur 1 ist es möglich, dass mehr als eine zentrale Rechnereinheit 3 vorhanden ist, etwa um Redundanz zu schaffen.

In Figur 2 ist schematisch ein Blockdiagramm der Rechnerein heit 3 und der Komponenten 2 der Eisenbahnsignalanlage 1 ge zeigt. In der Rechnereinheit 3 sind aktuelle Konfigurationen 22 für die Komponenten 2 hinterlegt. Bevorzugt liegt in der Rechnereinheit 3 für jede der Komponenten 2 eine individuelle Konfiguration 22 vor, sodass zwischen den Komponenten 2 und den Konfiguration 22 eine eineindeutige Beziehung besteht.

Über die Datenverbindung 7 werden die Konfigurationen 22 von der Recheneinheit 3 auf die Komponenten 2 übertragen, auf An frage der Komponenten 2 hin. Damit lässt sich eine zentral organisierte Aktualisierung der Komponenten 2 erreichen. Dies erspart es einem Betreiber der Eisenbahnsignalanlage 1 und/oder der Bahnstrecke 6, jeweils vor Ort die potentiell weit verstreut liegenden Komponenten 2 zu aktualisieren.

Außerdem ist in Figur 2 illustriert, dass die Komponenten 2, bevorzugt die Trägerkörper 41, je zusätzlich zur Kennung 4 noch mit Zugangsdaten 43 für die zentrale Rechnereinheit 3 versehen sind. Zusammen mit der Kennung 4 kann damit bestimmt werden, an welche zentrale Rechnereinheit 3 oder an welche zentralen Rechnereinheiten 3 sich die betreffende Komponente 2 zum Aktualisieren der Konfiguration 2 wenden muss. Die Zu gangsdaten 43 beinhalten Serveradressen.

Weiterhin ist es optional möglich, dass die Komponenten 2, bevorzugt die Trägerkörper 41, je eine Initialkonfiguration 42 beinhalten. Die Initialkonfiguration 42 ist diejenige Kon figuration 22, auf die die betreffende Komponente 2 nach ei nem Neustart zurückgreift.

Anhand von Figur 3 ist das hier beschriebene Aktualisierungs verfahren weiter veranschaulicht. Dazu werden mehrere der Komponenten 2 bereitgestellt und mit den Kennungen 4 verse hen, wobei zur Vereinfachung der Darstellung in Figur 3 nur eine der Komponenten 2 mit der zugehörigen Kennung 4 gezeigt ist. Ferner wird die zentrale Rechnereinheit 3 bereitge stellt. Die Datenverbindung ist in Figur 3 nicht eigens ge zeichnet.

In einem Verfahrensschritt S1 erfolgt ein Starten der Kompo nente 2. Nach oder während des Startens wird die Komponente 2 im Schritt S2 gemäß der Initialkonfiguration 42 konfiguriert, welche bevorzugt in dem Trägerkörper 41 hinterlegt ist.

Im optionalen Schritt S3 wird die vorgenommene Konfigurierung verifiziert, beispielsweise anhand von Signaturen, Prüfsummen und/oder Hash-Werten. Erfolgt keine ordnungsgemäße Verifika tion, so kann eine Fehlermeldung ausgegeben werden.

Im Schritt S4 initialisiert die Komponente 2 das Konfigurie ren. Dazu wird eine Anfrage an die zentrale Rechnereinheit 3 gesendet, beispielsweise anhand der in dem Trägerkörper 41 hinterlegten Zugangsdaten. Die Anfrage kann eine Prüfsumme und/oder einen Hash-Wert oder einen anderen Identifikator um fassen, sodass es der zentralen Rechnereinheit 3 ermöglicht wird zu beurteilen, ob die gerade an der Komponente 2 vorlie- gende Konfiguration die aktuelle, bestimmungsgemäße Konfigu ration 22 ist. Ist dem nicht so, wird die Konfiguration 22 von der zentralen Rechnereinheit 3 an die Komponente 2 ge sandt.

Liegt die aktuelle Konfiguration 22 bereits an der Komponente 2 vor, so ist es möglich, dass die zentrale Rechnereinheit 3 lediglich bestätigt, dass derzeit keine Aktualisierung erfor derlich ist.

Im optionalen Schritt S5 erfolgt eine Verifikation, ob die von der zentralen Rechnereinheit 3 eine gültige, zulässige und/oder mögliche Konfiguration ist. Wird dies bestätigt, so kann die Konfiguration 22 von der Komponente 2 verwendet wer den. Anderenfalls wird der Schritt S4 wiederholt oder das Verfahren beginnt wieder mit dem Schritt Sl.

Eine Kommunikation zwischen der zentralen Rechnereinheit 3 und der Komponente 2 erfolgt bevorzugt kryptographisch gesi chert.

In Figur 4 ist ein weiterer, optionaler zusätzlicher Verfah rensablauf gezeigt. Gemäß Figur 4, links, befindet sich eine Komponente 2 mit der zugehörigen Kennung 4 in einem Einbau platz 5. In Figur 4, Mitte, ist dargestellt, dass die Kompo nente 2 entfernt wurde, wobei die Kennung 4 immer noch an den Einbauplatz gebunden ist. Die Komponente 2 wird zum Beispiel im Falle eines Defekts oder im Falle einer verfügbaren neue ren Geräteversion ersetzt.

Gemäß Figur 4, rechts, ist eine neue Komponente 2' als Er satzteil oder als Austauschteil in den Einbauplatz 5 einge fügt. Dabei wird die Kennung 4 auch für die neue Komponente 2' verwendet. Die neue Komponente 2' kann somit beim Neustart oder erstmaligen Start auf die gleiche Initialkonfiguration zurückgreifen, wie die zuvor vorhandene Komponente 2, und kann in gleicher Weise korrekt konfiguriert werden, ohne dass die zentrale Rechnereinheit 3 gesondert über das Ersetzen der Komponente 2 in Kenntnis gesetzt werden muss oder dass die neue Komponente 2' durch Bedienpersonal bereits beim Einbauen speziell konfiguriert zu werden braucht. Obwohl die Erfindung anhand von Ausführungsbeispielen detail liert dargestellt und beschrieben wurde, ist die Erfindung nicht auf die offenbarten Ausführungsbeispiele und die darin erläuterten konkreten Merkmalskombinationen beschränkt. Wei tere Variationen der Erfindung können von einem Fachmann er- halten werden, ohne den Schutzumfang der beanspruchten Erfin dung zu verlassen.

Bezugszeichenliste

1 Eisenbahnsignalanlage

2, 2 Komponente der Eisenbahnsignalanlage 22 Konfiguration

3 zentrale Rechnereinheit

4 eindeutige Kennung

41 Trägerkörper einer Kennung

42 Initialkonfiguration 43 Zugangsdaten für die zentrale Rechnereinheit

5 Einbauplatz

6 Bahnstrecke

7 Datenverbindung

8 KennungsSicherung 10 AktualisierungsSystem

S. Verfahrensschritt