Zuasicherunassvstems. Zuasicherunassvstem Hintergrund der Erfindung

Die Erfindung betrifft ein Verfahren zur Steuerung eines Zugs innerhalb ei nes Zugsicherungssystems und ein Zugsicherungssystem zur Durchführung des Verfahrens.

Zur Vermeidung von Unfällen im Eisenbahnbetrieb ist es bekannt, automa tische Zugsicherungssysteme (Fahrwegsicherung und Zugfolgesicherung) einzusetzen [1][7][8].

Fahrwegsicherung und Zugfolgesicherung für ein Eisenbahnsystem erfolgt derzeit durch technische Anlagen, insbesondere durch Stellwerke, elektro- nische Zugsicherungssysteme, wie bspw. ETCS (European Train Control System) und operative Regeln [2].

Für die Auslegung eines Eisenbahnsystems gemäß dem Stand der Technik wird vorab einmalig eine statische Gefahrenanalyse und eine Risikobewer tung für die Planung von Infrastruktur und operativen Betrieb durchgeführt. [2] offenbart die Verwendung eines Bayes'schen Netzwerks für die proba bilistische Sicherheitsanalyse (PSA) von Eisenbahnlinien.

Ein Bayes'sches Netzwerk (auch genannt: Bayes'sches Netzwerk, Entschei dungsnetzwerk, Bayes(ian)-Modell oder probabilistisch gerichtetes azykli sches Graphenmodell) ist ein probabilistisches Graphenmodell (statistisches Modell), das einen Satz von Variablen und ihre bedingten Abhängigkeiten über einen gerichteten azyklischen Graphen (DAG) darstellt.

Damit ein Eisenbahnsystem, bei dem eine Risikoanalyse bei der Infrastruk turplanung durchgeführt wird, sicher betrieben werden kann, wird es so ausgelegt, dass auch der langsamste und längste Zug sicher geleitet werden kann. Dies führt jedoch dazu, dass das System für die meisten Züge zu defensiv ausgelegt ist (zu lange Gleisabschnitte, zu große Bremsabstände ...), so dass in der Regel keine optimale Streckenauslastung erreicht wird. Darüber hinaus werden statische Fahrstraßen und statische Fahrerlaubnisse erstellt. Aufgrund verschiedener Zugtypen und verschiedener Fahrstraßen erfordert dies einen hohen Projektierungs- und Verifikationsaufwand. Bayes'sches Netzwerke werden auch im IT-Bereich eingesetzt, um Risiko bewertungen im Rahmen von Security-Management durchzuführen [3] [4] [5] [6] .

[3] [4] beschreibt eine Echtzeit-Sicherheitsbewertung zur Durchführung ei ner dynamischen Bewertung von Arbeitsschutzzuständen auf der Baustelle mithilfe eines Hidden Markov-Modells. Dabei wird das Sicherheitsrisiko der Arbeiter mit den Standorten vor Ort verknüpft.

Aufgabe der Erfindung

Es ist Aufgabe der Erfindung, ein Verfahren zur Sicherung eines Zugs inner halb eines Zugsicherungssystems und ein Zugsicherungssystem vorzu schlagen, mit deren Hilfe die Planung, Konfiguration/Projektierung, Zulas sung vereinfacht werden kann und die Streckenauslastung mit einem hohen Sicherheitslevel (safety integrity level SIL4) optimiert werden kann.

Beschreibung der Erfindung

Diese Aufgabe wird erfindungsgemäß gelöst durch ein Verfahren gemäß An spruch 1 und einem Zugsicherungssystem gemäß Anspruch 8.

Das erfindungsgemäße Verfahren umfasst folgende Verfahrensschritte:

• Erstellung eines Unfallmodells, wobei Unfallklassen und Unfalleinfluss faktoren bestimmt werden;

• Ermittlung einer für den Zug individuellen Streckenreservierung um fassend einen Streckenreservierungsbereich und ein Streckenprofil;

• Versenden einer Anfrage zur Freigabe der ermittelten Streckenreser vierung an eine Risikobewertungseinrichtung;

• Durchführen einer Echtzeitrisikobewertung für die Streckenreservie rung mittels der Risikobewertungseinrichtung für zumindest einen Teil der ermittelten Unfallklassen, wobei ein Risikofaktor für die Strecken reservierung ermittelt wird, und als Ergebnis ermittelt wird, ob der Risikofaktor akzeptabel ist;

• Freigabe oder Ablehnung der Streckenreservierung in Abhängigkeit es vom Ergebnis der Risikobewertung.

Das gemessene Verfahren verwendet ein statisch erstelltes Unfallmodell, um Eisenbahnunfälle zu verstehen und zu beschreiben. Die Unfallmodellie rung erfolgt vorzugsweise außerhalb des Betriebs des Zugsicherungssys tems. Als Unfallklassen können beispielsweise definiert werden: „Entglei- 7 ₀ sung", „Kollision mit anderen Zügen", „Kollision mit Personen/Objekten", „Unfälle auf Eisenbahnkreuzungen". Unter Unfalleinflussfaktoren versteht man Faktoren (Elemente), die zu den in den Unfallklassen enthaltenen Er eignissen beitragen können, also das Unfallrisiko beeinflussen, z. B. Um welt, Fahrer, Fahrerentscheidung, Zug, Infrastruktur, Geschwindigkeit, 75 Überwachung). Die Beschreibung u.a. der Infrastruktur und des Zugs muss dazu sicher (SIL4) ermittelt werden.

Gemäß der Erfindung wird nicht eine vordefinierte Fahrstraße freigegeben, sondern es wird eine individuelle Streckenreservierung erstellt, d. h. die Streckenreservierung wird speziell für einen ausgewählten Zug an einem so bestimmten Ort zu einem bestimmten Zeitpunkt ermittelt. Eine Strecken reservierung umfasst einen individuell für einen bestimmten Zug angewähl ten/ermittelten Streckenabschnitt der vom Zug zu befahrenden Strecke, ist jedoch nicht vorprojektiert, betrifft also keinen vorgegebenen Streckenab schnitt.

85 Die Streckenreservierung kann vom Zug direkt, vom Fahrdienstleiter oder von einer operativen Einrichtung angefragt werden. Dazu ermittelt der Fahrdienstleiter/die operative Einrichtung zunächst die Ausdehnung die Streckenreservierung für den ausgewählten Zug und das Streckenprofil. Das Streckenprofil umfasst eine Streckenbeschreibung für die Ausdehnung 90 der Streckenreservierung, insbesondere ein Gradientenprofil (Höhenmeter des Reservierungsbereichs in Abhängigkeit von der Distanz), ein Geschwin digkeitsprofil (innerhalb des Reservierungsbereichs erlaubte maximale Ge schwindigkeit abhängig von der Distanz erlaubte Achslast, Kurvenüberhö hung usw.)· Die im Reservierungsbereich maximal erlaubte Geschwindigkeit 9 ₅ ist insbesondere abhängig von der maximalen Streckengeschwindigkeit (er laubte Höchstgeschwindigkeit), der maximalen Zuggeschwindigkeit (abhän gig z. B. von der Achslast, Güterzug, Personenzug, Bremsvermögen, ...), Kurvenradius und Überhöhung in den Kurven, temporäre Langsamfahrstel len. Die Ausdehnung der Streckenreservierung wird bspw. davon beein- loo flusst, ob/wo sich weitere Züge, Arbeiter, Baustellen usw. auf der zu befah renden Strecke befinden.

Die Anfrage erfolgt an die Risikobewertungseinrichtung, welche in Echtzeit eine Risikobewertung für die angefragte (individuell ermittelte) Streckenre servierung durchführt. Vorzugsweise wird die Risikobewertung für alle zuvor _l os im Rahmen des Verfahrens ermittelten Unfallklassen durchgeführt. Die Echtzeitrisikobewertung umfasst die Ermittlung eines Risikofaktors für die Bewegung des ausgewählten Zugs innerhalb der Streckenreservierung. Das Risiko (Risikofaktor) wird also für jeden Zug individuell und in Echtzeit er mittelt und bewertet.

HO Die Risikobewertungseinrichtung verwendet die Echtzeit-Risikobewertung, um zu beurteilen, ob die für Streckenreservierung notwendigen Komman dos (Umstellen von Weichen, Fahrerlaubnis für Züge, ...) zulässig sind. Dazu wird die Unfallwahrscheinlichkeit (Risikofaktor) für die vordefinierten Unfall klassen ermittelt. Wenn der Risikofaktor unter einem zuvor festgelegten ns Grenzwert bleibt (Risikofaktor = akzeptabel), werden die für die Strecken reservierung notwendigen Kommandos (z. B. Stellung von Weichen, Signa len usw.) ausgeführt und die Streckenreservierung wird freigegeben. Die Freigabe der Streckenreservierung erfolgt also, wenn die für die Strecken- reservierung benötigten Feldelemente gestellt sind (z. B. korrekte Weichen- i2o Stellung, Signalstellung, Anweisung der Bahnübergangsöffnung). Die Frei gabe der Streckenreservierung bewirkt eine Ausgabe einer Fahrberechti gung (movement authority) an einen Zug.

Mit der erfindungsgemäßen Risikobewertung kann die Risikobewertungsein richtung bei Störungsmeldungen von Feldelementen oder Positions-/Ge- i ₂₅ schwindigkeitsmeldungen des Zuges beurteilen, ob die aktuelle Situation zu einer Gefährdung führt und, wenn nötig, Sicherheitsmaßnahmen unterneh men.

Das erfindungsgemäße Verfahren passt sich dynamisch der Verkehrssitua tion und den Befehlen des Betreibers an, berechnet alle individuellen Risiken i ₃ o und garantiert höchste Sicherheitsintegrität (SIL4) bei gleichzeitig höchs tem Durchsatz innerhalb eines überwachten Kontrollbereichs, bevor es Be fehle an Feldelemente und Fahrberechtigungen an Züge erteilt.

Das erfindungsgemäße Verfahren beschreibt eine generische Lösung, die keine spezifische Projektierung benötigt und das Zulassungsverfahren we- i ₃₅ sentlich vereinfacht. Es benötigt keine operativen Regeln und keine Projek tierung von Fahrstraßen oder Fahrerlaubnissen.

Vorzugsweise wird zur Ermittlung der Streckenreservierung eine aktuelle Position des Zugs bestimmt. Die Positionsbestimmung erfolgt vorzugsweise i4o mittels Satelliten (GNSS).

Um zu vermeiden, dass ein Zugteil auf der Strecke liegen bleibt und eine Gefahr für andere Züge darstellt, wird zur Ermittlung der Streckenreservie rung vorzugsweise die Integrität des Zugs bestimmt.

145 Besonders vorteilhaft ist es, wenn die Echtzeitrisikobewertung ausschließ lich auf Grundlage von physikalischen und/oder geometrischen Parametern der Unfalleinflussfaktoren und von Fehlerwahrscheinlichkeiten der Unfal leinflussfaktoren durchgeführt wird. Dies ist vorteilhaft, da die physikali- i5o sehen und geometrischen Parameter einfach ermittelt werden können oder sowieso bekannt sind.

Die Fehlerwahrscheinlichkeit eines Unfalleinflussfaktors beeinflusst die Fehlerwahrscheinlichkeit der anderen Unfalleinflussfaktoren.

155

Bei einer besonderen Variante des erfindungsgemäßen Verfahrens wird für die Echtzeitrisikobewertung ein probabilistisches Graphenmodell (graphi sches Modell) verwendet, welches das zuvor erstellt Unfallmodell be schreibt, wobei ein Graph mit Knoten und Kanten aufgebaut/instanziiert i6o wird, wobei für jeden Knoten bedingte Wahrscheinlichkeiten hinterlegt sind. Probabilistische Graphische Modelle (PGM) sind Graphen mit Knoten und Kanten, wobei die Knoten Wahrscheinlichkeitsvariablen repräsentieren. Die Abwesenheit von Kanten zwischen Knoten des Graphen zeigt deren Unab hängigkeit an. Erfindungsgemäß wird ein Graph instanziiert/generiert, der i65 die Topologie des Eisenbahnsystems repräsentiert. Der instanziierte Graph beschreibt also den Zug und die geometrische Infrastruktur des Eisenbahn systems.

Vorzugsweise handelt es sich bei dem Graphen um einen gerichteten und/o der azyklischen Graphen, z.B. ein Graph gemäß Bayes'schen Netzwerk (ge- i ₇ o richtet und azyklisch) oder gemäß einem Markov Modell.

Das erfindungsgemäß verwendete Graphenmodell ist ein statistisches Mo dell, das einen Satz von Variablen (Unfalleinflussfaktoren/Knoten) und ihre Abhängigkeiten über einen gerichteten, insbesondere azyklischen Graphen (DAG) darstellt. Die Abhängigkeiten der Knoten werden über bedingte i75 Wahrscheinlichkeiten modelliert Der Graph beschreibt generisch das zuvor erstellte Unfallmodell. Der Graph kann als ein dynamisches Netzwerk be trachtet werden, das dazu eingerichtet ist, Unfallwahrscheinlichkeitsraten zu berechnen (Wahrscheinlichkeitsnetzwerk). Der generische Graph wird dynamisch, d.h. abhängig von der aktuellen Situation, der Streckenreser- i8o vierung und der geometrischen Beschreibung der Strecke und des Zuges erzeugt. Idealerweise wird als Graph ein Bayes'sches Netzwerk (BN) ver wendet, da Bayes'sche Netzwerke ideal sind, um ein aufgetretenes Ereignis zu erfassen und die Wahrscheinlichkeit vorherzusagen, das eine von meh reren möglichen bekannten Ursachen der entscheidende Faktor war. Dabei iss wird die Wahrscheinlichkeitsverteilung aller beteiligten Unfalleinflussfakto ren unter Ausnutzung bekannter bedingter Wahrscheinlichkeiten kompakt repräsentiert. Die bedingten Wahrscheinlichkeiten für jeden Knoten sind in einer Wahrscheinlichkeitstabelle hinterlegt. Die Struktur dieses Graphen und dessen Wahrscheinlichkeitstabellen werden durch das Unfallmodell be- i ₉ o stimmt. Die Wahrscheinlichkeitstabellen umfassen physikalisch und/oder geometrische Parameter des jeweiligen Unfalleinflussfaktors sowie deren Fehlerwahrscheinlichkeiten. Die physikalischen und/oder geometrischen Pa rameter des Zuges (Achslast, Bremsvermögen, ...) können beispielsweise aus der Zugmechanik ermittelt werden i ₉₅ Zur Erstellung des Unfallmodells wird vorzugsweise ein systemtheoretischer Ansatz STAMP (Systems-Theoretic Accident Model and Processes) mit einer systemtheoretische Prozessanalyse STPA (Systems Theoretic Process Ana lysis) verwendet. Das Unfallmodell stellt die kausalen Abhängigkeiten zwi schen Unfalleinflussfaktoren und Unfallklassen dar und dient als Basis für 2oo die Struktur des Graphen. Statt STAMP/STPA können auch andere Metho den verwendet werden. Bei den Knoten handelt es sich vorzugsweise um Unfallklasseknoten und Elementknoten, wobei ein Elementknoten einen Unfalleinflussfaktor und wobei ein Unfallklassenknoten eine der Unfallklassen repräsentiert.

Für jeden Knoten ist eine bedingte Wahrscheinlichkeitsverteilung (Wahr scheinlichkeitstabelle) der durch den Knoten repräsentierten Zufallsvariab len (Unfalleinflussfaktor) hinterlegt. Die Wahrscheinlichkeitsverteilung ord net Zufallsvariablen den Elternknoten zu.

Die Streckenreservierung kann mehrere Streckenreservierungsteilbereiche umfassen, wobei für jeden Streckenreservierungsteilbereich ein (vorzugs weise gerichteter, insbesondere azyklischer) Teilgraph aufgebaut/instanzi- iert wird, der ein Subnetz darstellt. Die Streckenreservierungsteilbereiche sind vorzugsweise definiert (be grenzt) durch Änderungen auf der Strecke. D. h., dass wenn sich ein Stre ckenparameter ändert (z. B. aufgrund eines neuen Gradientenprofils, Auf zweigung der Strecke durch eine Weiche, Änderung der Steigung der Stre cke ...), endet der vorherige und beginnt der nächste Streckenreservie- rungsteilbereich. Dies ist insbesondere vorteilhaft, da eine Änderung der Streckenparameter das Unfallrisiko (Risikofaktor) beeinflussen kann. Es wird also für jeden Streckenreservierungsteilbereich ein Teil-Risikofaktor berechnet. Dabei kann das Unfallrisiko der verschiedenen Streckenreservie rungsteilbereiche von unterschiedlichen Unfalleinflussfaktoren abhängen. Die Subnetze der verschiedenen Streckenreservierungsteilbereiche können also unterschiedliche Arten und Anzahl von Knoten umfassen. Die Strecken reservierung wird nur dann freigegeben, wenn in jedem Streckenreservie rungsteilbereich das Unfallrisiko (Teil-Risikofaktor) kleiner als der akzep table Risikofaktor ist. Der Risikofaktor für die gesamte Streckenreservie- rung berechnet sich als Summe der Teil-Risikofaktoren. Vorzugsweise werden in zeitlichen Abständen Positionsmeldungen des Zugs bestimmt und an die Risikobewertungseinrichtung übermittelt. Nach jeder Positionsmeldung werden für Streckenreservierungsteilbereiche aus den Positionsmeldungen erhaltene Daten in den Graphen eingetragen. Eine Positionsmeldung umfasst vorzugsweise Positionsdaten, Zuginformati onen (z. B. Zugintegrität, Zuglänge) und Geschwindigkeitsinformation. So bald eine Positionsmeldung des Zuges (OBU) aktualisiert wird, werden die aktuellen Daten der Positionsmeldung in den Graphen eingetragen und es wird zumindest für die vorausliegenden (bezogen auf die aktuelle Position des Zugs) Streckenreservierungsteilbereich der Graph neu berechnet.

Die Subnetze sind untereinander verbunden, bilden also ein dynamisches Netzwerk, so dass eine Änderung in einem Subnetz zu Änderungen in den andere Subnetzen führen kann. Die Erfindung betrifft auch ein Zugsicherungssystem zur Durchführung des zuvor beschriebenen Verfahrens. Das erfindungsgemäße Zugsicherungs- system umfasst

• eine Risikobewertungseinrichtung zur Erstellung einer Echtzeitrisiko bewertung für eine zuvor bestimmte Streckenreservierung für einen Zug anhand eines Unfallmodells und zur Übermittlung von Komman dos an Feldelemente; und

• eine Übermittlungseinrichtung zur Übermittlung von Zuginformatio nen betreffend den Zug, wobei die Übermittlungseinrichtung eine Schnittstelle zu der Risikobewertungseinrichtung aufweist. Die erfindungsgemäße Risikobewertungseinrichtung ist dazu eingerichtet, mithilfe eines Graphenmodells einen Risikofaktor für eine bestimmte Stre ckenreservierung auf SIL4-Ebene zu berechnen, diesen Risikofaktor mit ei nem zuvor festgelegten akzeptablen Risikofaktor zu vergleichen und ggf. die Streckenreservierung freizugeben, falls der berechnete Risikofaktor klei- ner ist als der akzeptable Risikofaktor.

Die Übermittlungseinrichtung ist vorzugsweise im Zug angeordnet.

Vorzugsweise weist die Risikobewertungseinrichtung Schnittstellen zu Feldelementen des Zugsicherungssystems auf. Über diese Schnittstellen können die Feldelemente angesteuert und überwacht werden, um die Vo- raussetzungen zur Freigabe der Streckenreservierung zu schaffen (z.B. durch Umstellung von Weichen, Schalten von Signalen usw.).

Bei einer speziellen Ausführungsform des erfindungsgemäßen Zugsiche- rungssystems ist eine operative Einrichtung (OB) vorhanden zur Ermittlung der für den Zug individuellen Streckenreservierung, wobei die Streckenre servierung einen Streckenreservierungsbereich und, ein Streckenprofil um fasst, wobei die operative Einrichtung eine Schnittstelle zur Risikobewer tungseinrichtung aufweist.

Die operative Einrichtung ist vorzugsweise eine Einrichtung mit Schnittstelle zu einem Train Management System. Das Train Management System ist dazu eingerichtet, einen Fahrplan zur Verfügung zu stellen, den Zugverkehr entsprechend dem Fahrplan zu steuern und zu überwachen, den aktuellen Fahrplan zu optimieren, bei Problemen im aktuellen Zugverkehr Konflikte zu erkennen und zu lösen. Die operative Einrichtung erstellt die Streckenreservierungen mit aktuellen Zug- und Streckenparametern (Zuglänge, Bremsvermögen, Streckeneigen schaften, Gleiszustand) auf SILO-Ebene.

Die Risikobewertungseinrichtung übernimmt keine Entscheidung, wo der Zug hinfahren soll, und mit welchem Geschwindigkeitsprofil sich der Zug bewegen darf, hat also keinen Einfluss auf die Ausgestaltung der Strecken reservierung. Vorzugsweise ist die operative Einrichtung auch dafür zuständig, die Stre ckenreservierung bei der Risikobewertungseinrichtung anzufragen. Alterna tiv hierzu kann eine Anfrage für eine Streckenreservierung beispielsweise auch vom Zug selbst erfolgen.

Bei der Einrichtung zur Übermittlung von Zuginformationen kann es sich beispielsweise um eine On-Board-Unit (OBU) des Zuges oder eine strecken seitige Einrichtung handeln. Vorzugsweise umfasst die On-Board-Unit (OBU) eine Positionsbestim mungseinrichtung.

Mit dem erfindungsgemäßen Verfahren bzw. dem erfindungsgemäßen Zug sicherungssystem kann die Betriebsoptimierung (Optimierung der Zugfahr ten, Konfliktlösung) auf SILO-Ebene mit aktuellen Parametern erfolgen, wo- hingegen die Risikoanalyse flexibel in Echtzeit auf SIL4-Ebene erfolgt.

Weitere Vorteile der Erfindung ergeben sich aus der Beschreibung und der Zeichnung. Ebenso können die vorstehend genannten und die noch weiter ausgeführten Merkmale erfindungsgemäß jeweils einzeln für sich oder zu mehreren in beliebigen Kombinationen Verwendung finden. Die gezeigten und beschriebenen Ausführungsformen sind nicht als abschließende Auf zählung zu verstehen, sondern haben vielmehr beispielhaften Charakter für die Schilderung der Erfindung.

Detaillierte Beschreibung der Erfindung und Zeichnung

Fig. 1 zeigt eine schematische Darstellung des SIL4-Bereichs einer bevor- zugten Ausführungsform eines erfindungsgemäßen Sicherungssys tems.

Fig. 2 zeigt eine schematische Darstellung einer bevorzugten Ausführungs form eines erfindungsgemäßen Sicherungssystems mit SIL0-Be- reich. Fig. 3 zeigt den Ablauf der verschiedenen Verfahrensschritte des erfin- dungsgemäßen Verfahrens.

Fig. 4 zeigt einen Graphen eines probabilistischen Graphenmodells basie rend auf einem Unfallmodell mit einem Unfallklasseknoten und einer Vielzahl von Elementknoten. Fig. 5 zeigt ein Geschwindigkeitsprofil einer Streckenreservierung sowie Subnetze des für die Risikobewertung erstellten Graphen für die Streckenreservierung.

Figur 1 zeigt die wesentlichen Komponenten des erfindungsgemäßen Zug- Sicherungssystems. Das Kernstück des erfindungsgemäßen Steuerungssys tems ist eine Risikobewertungseinrichtung MAXd.

Die Risikobewertungseinrichtung MAXd umfasst Elemente zur Fahrwegsi cherung und Zugfolgesicherung. Darüber hinaus kann die Risikobewer tungseinrichtung Elemente zum Rottenschutz und zur Sicherung von Eisen- bahnkreuzungen umfassen.

Die Risikobewertungseinrichtung MAXd erhält von einer Übermittlungsein richtung OBS über eine Schnittstelle Zuginformationen Iz betreffend einen Zug, für den eine Streckenreservierung RES freigegeben werden soll (aus gewählter Zug). Die Zuginformationen Iz können beispielsweise Zugposi- tion, Geschwindigkeit, Zuglänge, Masse, ... umfassen. Die Zugposition wird mittels einer Zugdetektionseinrichtung VD ermittelt. Die Zugdetektionsein richtung VD und die Übermittlungseinrichtung OBS können (müssen aber nicht) im Zug angeordnet sein. Bei der Übermittlungseinrichtung OBS kann es sich beispielsweise um eine fahrzeugseitige Steuereinrichtung handeln. Es ist jedoch auch möglich, dass die Zugformationen Iz von einer (Zug)ex- ternen Übermittlungseinrichtung an die Risikobewertungseinrichtung MAXd übermittelt werden und/oder dass die Zugdetektionseinrichtung VD stre ckenseitig angeordnet ist.

Die Risikobewertungseinrichtung MAXd erhält über eine weitere Schnitt- stelle Informationen IFE von Feldelementen FE betreffend die momentanen Zustände der Feldelemente FE.

Die Risikobewertungseinrichtung MAXd ist dazu eingerichtet, Kommandos K an die Feldelemente weiterzugeben, um die Voraussetzungen für eine Freigabe einer Streckenreservierung (RES) zu schaffen. Darüber hinaus kann die Risikobewertungseinrichtung MAXd dazu eingerichtet sein, Fahr erlaubnisse MA an Züge zu übermitteln. Alternativ kann die Fahrerlaubnis MA auch über streckenseitige Signale dem Zug mitgeteilt werden (nicht dargestellt). In Figur 1 wird davon ausgegangen, dass die Übermittlungs einrichtung OBS innerhalb des Zuges angeordnet ist, sodass die Übermitt- lungseinrichtung OBS auch die Fahrerlaubnis MA entgegennehmen kann.

Erfindungsgemäß wird die Streckenreservierung RES außerhalb des SIL 4 Bereichs des erfindungsgemäßen Zugsicherungssystems erstellt. Dies kann durch eine operative Einrichtung OP erfolgen, wie in Figur 2 gezeigt. Als „operative Einrichtung" kann ein Rechner mit einer Businesslogik zur Bewe- gungssteuerung, insbesondere mit einer Entscheidungsunterstützungs- Software (Decision Support System) dienen. Stattdessen kann aber auch ein Fahrdienstleiter einen Teil der Aufgaben der operativen Einheit überneh men. Die operative Einrichtung OP ist zuständig für die Betriebsoptimierung (Optimierung der Zugfahrten). Diese Betriebsoptimierung findet auf SIL0- Ebene mit aktuellen Parametern (Zuglänge, Bremsvermögen, Streckenei genschaften, Gleiszustand).

Die operative Einrichtung OP kennt die nationalen Anforderungen und die Betriebsregeln. Von der Risikobewertungseinrichtung MAXd wird der Sys temzustand SYS (d.h. Feldelementzustände, Position, Geschwindigkeit von Zügen stc.) an die operative Einrichtung OP übertragen. Auf dieser Basis kann die operative Einrichtung OP individuell für einen speziellen Zug eine Streckenreservierung RES generieren, d. h. die Ausdehnung der Strecken reservierung RES individuell festlegen, ein Streckenprofil umfassend ein Ge schwindigkeitsprofil MP ermitteln und die Weichen in die richtige Lage für die Streckenreservierung RES bringen.

Die operative Einrichtung OP erstellt also individuell für einen ausgewählten Zug eine Streckenreservierung RES. In der in Figur 2 gezeigten Ausfüh rungsform erfolgt eine Anfrage A der Streckenreservierung (Bitte um Frei gabe einer zuvor erstellten Streckenreservierung RES) an die Risikobewer- tungseinrichtung MAXd ebenfalls über die operative Einrichtung OP.

Die operative Eirichtung kommuniziert mit einer Zugmanagementeinheit TMS, die für die Planung der Zugfahrten zuständig ist. Insbesondere wird der Systemzustand SYS an die die Zugmanagementeinheit TMS übertragen, da dieser benötigt wird, damit die Zugmanagementeinheit TMS eventuell dispositiv eingreifen kann; z. B. zum Umleiten von nachfolgenden Zügen bei Störung eines Zuges auf der Strecke.

Hauptaufgabe der Risikobewertungseinrichtung MAXd ist es, eine Risikobe wertung für eine angefragte Streckenreservierung RES auf Basis eines zu vor aufgestellten Unfallmodells AccM sowie auf Basis der Zuginformationen Iz und der Feldelementinformationen IFE ZU berechnen. Anhand der Risiko bewertung entscheidet die Risikobewertungseinrichtung MAXd, ob die an gefragte Streckenreservierung RES freigegeben wird und der betreffende Zug die entsprechende Fahrerlaubnis MA erhält. Die Echtzeitrisikobewer tung findet auf SIL4-Ebene statt. Figur 3 zeigt den Ablauf des erfindungsgemäßen Verfahrens: Erhält die Risikobewertungseinrichtung MAXd eine Anfrage A für eine Streckenreser vierung RES für einen bestimmten Zug, berechnet die Risikobewertungs einrichtung MAXd anhand des Unfallmodells AccM und der ihr zur Verfügung stehenden Zuginformationen Iz und Feldelementinformationen IFE in Echt- zeit einen Risikofaktor RF für die angefragte Streckenreservierung RES, bzw. mehrere Teil-Risikofaktoren für Streckenreservierungsteilbereiche der Streckenreservierung RES. Liegt der Risikofaktor RF unterhalb eines zuvor festgelegten akzeptablen Grenzwertes Lim, übermittelt die Risikobewer tungseinrichtung MAXd Kommandos K an die Feldelemente FE zur Einstel- lung der für die Streckenreservierung RES notwendigen Feldelementeinstel lungen. Sobald die notwendigen Feldelementeinstellungen vorgenommen wurden (die Streckenreservierung RES also „befahrbar" ist), erteilt die Ri sikobewertungseinrichtung die Fahrerlaubnis MA. Liegt der ermittelte Risi kofaktor RF oberhalb des akzeptablen Grenzwertes Lim, werden keine Kom- mandos K und keine Fahrerlaubnis MA erteilt. Stattdessen kann eine Infor mation bezüglich der Ablehnung der Anfrage A an die operative Einheit OP übermittelt werden, sodass diese eine alternative Streckenreservierung er stellen kann.

Zur Erstellung des Unfallmodell AccM, welches für die erfindungsgemäße Echtzeitrisikobewertung verwendetet wird, werden auf Basis von Zug- und Streckeneigenschaften Unfallklassen (beispielsweise Entgleisung, Kollisio nen mit anderen Zügen, Kollision mit Personen/Objekten, Unfälle auf Eisen bahnkreuzungen) definiert.

Das Unfallmodell wird durch einen gerichteten Graphen G eines Graphen- modells dargestellt, bspw. durch ein Bayes'sches Netzwerk. Figur 4 zeigt einen entsprechenden Graphen für die Unfallklasse „Entgleisung" D. Die Un fallklasse D stellt einen Knoten (Unfallklassenknoten - oval dargestellt) des Graphen G dar. Der Graph G umfasst des Weiteren Elementknoten (rund dargestellt), wobei jeder Elementknoten einen Unfalleinflussfaktor darstellt (hier: Fahrer VD, Fahrerentscheidungen VDDE, fahrzeugseitige System (Überwachung) S, Geschwindigkeit V, Infrastruktur INF, Zug RS, Umwelt einflüsse E). Die im vorliegenden Fall berücksichtigten Unfalleinflussfaktoren weisen fol gende zugehörigen geometrischen/physikalischen Parameter/Fehlerraten auf, die bei der Erstellung der Wahrscheinlichkeitstabellen berücksichtigt werden:

Die Kanten des Graphen G (durch Pfeile dargestellt) zeigen an, welche Un falleinflussfaktoren andere Unfalleinflussfaktoren beeinflussen. Pro Knoten ist eine Wahrscheinlichkeitstabelle hinterlegt, wobei die Wahrscheinlich keitstabelle keine „trainierten Daten", sondern Streckendaten, Zugdaten sowie Fehlerraten von Elementen und deren bedingte Wahrscheinlichkeiten (in Abhängigkeit von anderen Unfallklasseknoten) umfasst. Der Graph bildet ein „Wahrscheinlichkeitsnetzwerk", welches von der Topo- logie des Eisenbahnsystems abhängt (also von der geometrischen Beschrei bung der Infrastruktur und des Zuges). Eine Veränderung der Zug- oder Streckeneigenschaften (z.B. maximal erlaubte Geschwindigkeit) ändert auch die Wahrscheinlichkeitstabelle. Die Berechnung der in der Wahrschein lichkeitstabelle hinterlegten Wahrscheinlichkeiten ist deterministisch. Figur 5 zeigt ein Geschwindigkeitsprofil MP eines Zuges einer Zuglänge LT innerhalb einer 260m langen Streckenreservierung RES. Die Streckenreser vierung RES ist in Streckenreservierungsteilbereiche aufgeteilt, wobei für jeden Streckenreservierungsteilbereich ein Subnetz in Form eines Teilgra phen, analog zu Figur 4, erstellt wird. Für eine Streckenreservierung RES werden also eine Vielzahl von Teilgraphen/Subnetzen erstellt, die zusam men einen Graphen für die zu beurteilende Streckenreservierung RES bil den. Ein Subnetz ist in Figur 5 beispielhaft mit schwarz ausgefüllten Knoten dargestellt. Die einzelnen Subnetze sind in Figur 5 an den jeweiligen Stre ckenabschnitten (Distanz d) innerhalb der Streckenreservierung RES einge- zeichnet. Es werden also für mehrere Streckenreservierungsteilbereiche (reservation sub areas) entlang des Verlaufs des Reservierungsbereichs Subnetze erstellt und instanziiert (Instanziierung = Berechnung der kon kreten Wahrscheinlichkeitstabellen für einzelnen Knoten). Die Streckenre servierungsteilbereiche sind definiert durch Änderungen auf der Strecke (z. B. Änderung der Weichenstellung, Änderung der maximal zulässigen Ge schwindigkeit). Aufgrund dieser Änderungen auf der Strecke ändert sich Wahrscheinlichkeiten der Unfalleinflussfaktoren und somit der Einfluss der einzelnen Unfalleinflussfaktoren auf die Unfallwahrscheinlichkeit der Unfall klasse, mit der die Unfalleinflussfaktoren verknüpft sind. In Bereichen, in denen der Zug abgebremst werden soll, sind daher die Subnetze enger an einandergereiht. Darüber hinaus sind die Subnetze untereinander verbun den (Dynamic Bayesian Network), so dass eine Änderung in einem Subnetz auch zu Änderungen in den anderen Subnetzen führen kann. Ein Unfallein flussfaktor eines Reservierungsteilbereichs beeinflusst also den entspre- chenden Unfalleinflussfaktor eines nachfolgenden Reservierungsteilbe reichs.

Für verschiedene Reservierungsteilbereiche unterscheidet sich daher die Wahrscheinlichkeitstabelle für einen bestimmten Unfalleinflussfaktor, so dass die Wahrscheinlichkeitstabellen für die verschiedenen Reservie- rungsteilbereiche und somit auch die Risikofaktoren separat berechnet wer den müssen. Die Subnetze können sich durch die Anzahl und Art der Knoten und/oder durch die zu den Knoten hinterlegten Wahrscheinlichkeitstabellen unterscheiden. Die Unterteilung in Reservierungsteilbereiche erfolgt vor zugsweise so, dass die Länge eines Reservierungsteilbereichs höchstens so lang ist wie die Länge LT des Zuges, für den die Streckenreservierung RES gilt.

Die Wahrscheinlichkeit der Knoten können aktualisiert/neu berechnet wer den, beispielsweise sobald eine aktuelle Positionsmeldung des Zuges vor liegt. Eine Positionsmeldung umfasst z. B. Positionsdaten, Zugdaten, Ge- schwindigkeitsinformation, Information betreffend Zugintegrität. Dazu wer den die Daten der neuen Positionsmeldung in den Graphen eingetragen und es wird für alle (bezüglich der aktuellen Zugposition vorausliegenden) Re servierungsteilbereiche die Daten neu eingetragen. D.h. dass z.B. bei einem Geschwindigkeitsknoten, der vorher nur eine Wahrscheinlichkeit für eine gewisse Geschwindigkeit hatte, die konkrete gemeldete Geschwindigkeit eingetragen wird. Die beeinflusst dann natürlich die Wahrscheinlichkeiten der nachfolgenden Knoten. Diese Wahrscheinlichkeiten werden mit Hilfe der Wahrscheinlichkeitstabellen berechnet. Ein Knoten kann also entweder eine Wahrscheinlichkeit (z.B. für eine bestimmte Geschwindigkeit) darstellen o- der einen konkreten Wert (z.B. eine bestimmte Geschwindigkeit) eingetra gen haben. Bevor der Zug aufgrund des herannahenden Endes der Streckenreservie rung RES zu bremsen beginnt, besteht die Möglichkeit, dass eine neue/er weiterte Streckenreservierung angefragt wird, um ein Abbremsen des Zu- ges zu vermeiden. Eine solche Anfrage kann beispielsweise von einem zug seitigen Gerät (On Board Unit) gestellt werden.

Durch die individuelle Generierung von Streckenreservierungen und der Durchführung von Echtzeitrisikoanalysen ist es möglich, den Durchsatz der Strecke erheblich zu erhöhen: Befinden sich beispielsweise auf der von Zug A zu befahrenen Strecke noch ein weiterer Zug B innerhalb eines Bereichs, der nach dem Stand der Technik zu einer bestimmten Fahrstraße gehört, dürfte Zug A in diesem Bereich nicht einfahren, solange sich Zug B inner halb der Fahrstraße befindet. Gemäß der Erfindung hingegen kann für Zug A trotzdem eine individuelle Streckenreservierung festgelegt werden. Die Länge der Streckenreservierung wird dann so festgelegt, dass sie vor Errei chen des Zuges B endet. Im Geschwindigkeitsprofil der Streckenreservie rung für Zug A muss Zug A entsprechend abgebremst werden. Gemäß der Erfindung reicht der erfindungsgemäße Reservierungsbereich dann zwar nicht so weit wie die Fahrstraße gemäß dem Stand der Technik. Der Zug A kann aber innerhalb der Streckenreservierung zumindest langsam fahren. Spätestens vor Erreichen der in der Streckenreservierung hinterlegten Bremskurve wird eine neue Streckenreservierung von der operativen Ein heit angefragt (da inzwischen vermutlich der Grund für die geplante Brem sung nicht mehr existiert - z. B. Zug B ist weitergefahren). Die Erfindung ermöglicht eine ganzheitliche Sicht auf alle relevanten Ele mente der SIL4-Sicherheitslogik, das Risiko für jeden Zug individuell und in Echtzeit zu bewerten, insbesondere ob die aktuelle Situation zu keiner Ge fährdung führt und ob Sicherheitsmaßnahmen ergriffen werden müssen. Als mathematischer Ansatz wird dazu ein Bayes'sches Netz verwendet, das dy- namisch abhängig von der aktuellen Situation erzeugt wird. Für die Struktur dieses Netzes und dessen Wahrscheinlichkeitstabellen wird die geometri sche Beschreibung der Infrastruktur und des Zuges verwendet. Die Zugdy namik wird mit Hilfe bekannter physikalischer Gesetze berechnet. Das er findungsgemäße Sicherheitskonzept passt sich dynamisch der Verkehrssi- tuation und den Befehlen der Betreiber an, berechnet alle individuellen Ri siken und garantiert höchste Sicherheitsintegrität (SIL4) bei gleichzeitig höchstem Durchsatz für alle relevanten Elemente innerhalb des Kontrollbe- reichs, bevor es Befehle an Feldelemente und Bewegungsbefugnisse an Züge erteilt. Bei dem erfindungsgemäßen Ansatz handelt es sich um eine generische Lösung die keine spezifische Projektierung benötigt und das Zu lassungsverfahren wesentlich vereinfacht.

Bezuaszeichenliste

A Anfrage zur Freigabe einer Streckenreservierung

AccM Unfallmodell

D Unfallklasse „Entgleisung"

FE Feldelementen

G gerichteter Graph

IFE Informationen

Iz Zuginformationen

K Kommandos an Feldelemente

Lim Grenzwert für Risikobewertung

LT Zuglänge

MA Fahrerlaubnis

MP Geschwindigkeitsprofil

MAXd Risikobewertungseinrichtung

OBS Übermittlungseinrichtung

OP operative Einrichtung

RES Streckenreservierung

RF Risikofaktor

SYS Systemzustand

TMS Zugmanagementeinheit

VD Zugdetektionseinrichtung

D Unfalleinflussfaktor: Zuverlässigkeit des Fahrers

VDDE Unfalleinflussfaktor: Fahrerentscheidungen

E Unfalleinflussfaktor: Gefahren in der Umgebung (z.B. Erdrutsch,

Lawine, Überschwemmung)

INF Unfalleinflussfaktor: Schäden der Infrastruktur (z.B. Gleisbruch)

RS Unfalleinflussfaktor: Schäden des Zuges

S Unfalleinflussfaktor: Modus des fahrzeugseitigen Systems

V Unfalleinflussfaktor: erwartete oder aktuelle Geschwindigkeit des

Zuges Literaturliste

[1] J. Pachl

„Systemtechnik des Schienenverkehrs"

Vieweg+Teubner Verlag, 2011

[2] Z. Grande et al.

"Probabilistic Safety Analysis of High Speed and Conventional Lines Using Bayesian Networks"

XII Congreso de Ingenieria del Transporte, Valencia, 2016 DOI: http://dx.coi.org/10.4995/CIT2016.2016.3428

[3] D. Lopez

"Dynamic Risk Assessment in Information Systems: State-of-the-art" The 6th International Conference on Information Technology, 2013

[4] H. Jiang et al.

"Real-Time safety Risk Assesment Based on a Real-Time Location System for Hydropower Construction Sites"

Hindawi Publishing Corporation The Scientific World Journal Article ID 235970, 2014,

DOI : http://dx.doi.Org/10.1155/2014/235970

[5] K. Haslum

"A Framework for Distributed Intrusion Prediction and Prevention UsingHidden Markov Models and Online Fuzzy Risk Assessment"

Third International Symposium on Information Assurance and Secu rity, 2007

DOI: 10.1109/IAS.2007.67

[6] N. Poolsappasit

"Dynamic Security Risk Management Using Bayesian Attack Graphs" IEEE Transactions on Dependable and secure computing, Vol. 9, No. 1 January/February 2012

[7] G. Theeg, S. Vlasenko „Railway Signalling & Interlocking"

Eurailpress, 2009 [8] P. Stanley

„ETCS for Engineers" Eurailpress, 2011