Title:
Method for the control and the safety of a guided transport system
Kind Code:
B1
Abstract:
Abstract of EP0796779
The method involves storage in formal language of a model of all foreseeable network states and events. Type-related dynamic data are represented in the form of Petri nets or their derivatives, and example-related static track network data in the form of double-vertex graphs. A first algorithm computes all possible sequence states and prevents triggering of a verifiable event when a forbidden state is involved. A second algorithm is brought in when an unacceptable event occurs, triggering verifiable events when these reduce the expected number of consequential forbidden states.


Inventors:
Montigel, Dr. Markus (Wallensteinstrasse 41/13+14, Wien, 1200, AT)
Application Number:
EP19960104501
Publication Date:
02/12/2003
Filing Date:
03/21/1996
Assignee:
ALCATEL (54, rue La Boétie, Paris, 75008, FR)
International Classes:
B61L21/00; (IPC1-7): B61L21/00
European Classes:
B61L27/00D; B61L21/00
View Patent Images:
Other References:
SIGNAL + DRAHT, Bd. 85, Nr. 5, 1.Mai 1993, HAMBURG DE, Seiten 166-169, XP000413530 DANNENBERG H: "ANWENDUNG VON SIMULATIONSMODELLEN FUR FLANUNGS- UND STEUERUNGSPROBLEME IM EISENBAHNBETRIEB"
Attorney, Agent or Firm:
Knecht, Dipl. Ulrich Karl -Ing (Alcatel Intellectual Property Department, Stuttgart, Stuttgart, 70430, DE)
Claims:
1. Method of controlling and protecting the operation of any randomly configured track-guided transport system with the aid of a data processing system in which a model of all the states and events occurring in the transport system is stored in a formal language, in such a way that dynamic data that change owing to events occurring, insofar as they can be assigned to a track element type in a way independent of the track network, in the form of Petri nets of high abstraction level, insofar as they can be assigned in the track network concretely to existing track elements, are represented in the form of nets derived from said Petri nets, and static data valid for every system state, insofar as they can be assigned to a track element type in a way independent of the track network, in the form of predicates or invariants, insofar as they can be assigned in the track network concretely to existing track elements, are represented in the form of topography element data, and in which data processing system an algorithm is available that, prior to initiating a controllable event, calculates all the possible consequential states from the current state of the system and prevents the initiation if one or more inadmissible states are found among the calculated consequential states, characterized in that an uncontrollable event whose occurrence cannot be expected from the outset is defined as a normally unexpected event, and in that, during the checking of the admissibility of a controllable event, it is not expected that a normally unexpected event occurs, in that an additional algorithm is started if, after establishing the admissibility of the controllable event, a normally unexpected event occurs, in that, by means of the additional algorithm, the set of all the states achievable as a result of consequences of uncontrollable events is examined, proceeding from the actual system state generated by the occurrence of said event, in regard to whether a state designated as inadmissible occurs among them or the preliminary conditions for the occurrence of an event designated as inadmissible are fulfilled, and in that, if this applies, the set of all the events or controllable events designated particularly for this case are investigated in regard to whether the system state can be altered by its initiation in such a way that the set of the previously calculated, achievable inadmissible states or events designated as inadmissible is reduced and that, if that is the case, the appropriate controllable events are initiated.

2. Method according to Claim 1, characterized in that speed data in the form of data tuples are assigned to the topography element data assigned to the track elements concretely existing in the track network, which speed data contain, in addition to valid maximum speeds, also data from which an achievable delay can be achieved with maximum brake use, in that the speeds valid at a track element, insofar as they are not redetermined, are calculated recursively or iteratively from data that have been assigned previously to traversed track element in the respective direction of travel, and in that the calculated speed data are used for establishing maximum speeds valid in the system.

3. Method according to Claim 2, characterized in that the topography element data assigned to the track elements have the form of double-point diagrams and the data tuples containing the speed data are assigned to the points or edges of said double-point diagrams.

4. Method according to any of the preceding claims, characterized in that the track segments of the track network are fitted with track idle status indicators, in that a continuous sequence of occupied segments is interpreted as a transport unit moving in the track network and the direction of travel is deduced from the order of the new occupations or idle status indications and in that an individual incorrect idle status indication does not change the assumed size of the transport unit.

5. Method according to Claim 4, characterized in that an individual occupation of a segment is interpreted, in the case of valid idle status indication for all the adjacent segments, as a new transport unit initially having two heads and no tail, in that the occupation of a segment situated, seen in the direction of travel, behind the tail of an existing transport unit is interpreted as a change in the direction of travel of the transport unit or as a separate part of the transport unit starting to move backwards, and in that, in both cases, the original tail of the transport unit is converted into a head in the system model.

Description:

Die Erfindung betrifft ein Verfahren gemäß dem Oberbegriff des Patentanspruchs 1.

Ein solches Verfahren ist aus der Dissertationsschrift von M. Montigel "Modellierung und Gewährleistung von Abhängigkeiten in Eisenbahnsicherungsanlagen", vorgelegt 1994 an der Eidgenössischen Technischen Hochschule, Zürich (DISS.ETH Nr. 10776) bekannt.

Es soll die heute verwendeten Verfahren der Steuerung und Sicherung spurgeführter Transportsysteme, insbesondere der Eisenbahnnetze ersetzen und darüberhinaus die Planung und wirtschaftliche Nutzung solcher Transportsysteme auf eine völlig neue Art und Weise unterstützen.

Die heute verwendeten Lösungsarten zur Systemsteuerung und -Sicherung stützen sich auf Gleiselemente mit Nachbarbeziehungen, versehen mit Zuggeschwindigkeitsdaten, die zur Bildung einer Fahrstraße entweder über geographische Stromkreise miteinander verknüpft und anschließend gesichert werden, oder entsprechend einer vorbereiteten, die einzustellende Fahrstraße wiedergebenden Liste nacheinander auf ihren Belegungszustand und ihre aktuelle Einstellung hin geprüft und, ggf. nach Umstellung in eine vorgegebene Lage, gesichert werden.

Diese Lösungen sind unbefriedigend im Hinblick auf eine Behandlung des Systems mit formalen Methoden. Das Konstrukt Gleiselement, von dem es relativ viele Basistypen gibt, ist hierzu noch zu komplex.

Die o.g. Dissertation sieht deshalb die Darstellung des Gleisnetzes mit Hilfe von Doppelpunktgraphen vor, welche gegenüber einer Darstellung mit einfachen gerichteten Graphen den Vorteil hat, daß keine unnatürliche Auszeichung einer Fahrtrichtung erfolgt (was bei Gleisdreiecken und Wendeschleifen zu Problemen führt), und daß topologische Besonderheiten besser berücksichtigt werden können, beispielsweise Spitzkehren auf Weichen von vornherein nicht möglich sind, somit nicht extra ausgeschlossen werden müssen.

In der eingangs angegebenen Dissertation wird das System Eisenbahnsicherung als verteiltes diskretes Ereignissystem verstanden, das mit Hilfe formaler Sprachen als logisches Datenmodell wiedergegeben werden kann, wobei einzelne Datenbereiche wie eingangs angegeben repräsentiert sind.

Die dort vorgeschlagene Methode beruht auf nahen Abhängigkeiten und verzichtet zunächst auf die Formulierung von Sicherheitsbedingungen. Es wird ein Modell der Zustände und Ereignisse des Systems entwickelt, das die Formulierung von unzulässigen Zuständen und Ereignissen auf lokaler Basis erlaubt, d.h. es brauchen keine fernen Abhängigkeiten betrachtet zu werden. Die Anforderungen an das Sicherungssystem werden nicht direkt beschrieben, sondern das Verhalten des Systems inklusive der sich darin fortbewegenden Fahrzeuge wird als solches modelliert, wie wenn keine Sicherungsebene vorhanden wäre. Die in der Sicherheitsebene zu implementierenden Sicherheitsbedingungen ergeben sich dann als Konsequenzen der modellierten Systemeigenschaften.

Statt, wie sonst üblich, im Sicherungssystem die Sicherheitsbedingungen explizit zu implementieren, wird eine Repräsentation aller für die betriebliche Sicherheit für relevant gehaltenen Zustände und Ereignisse entwickelt, insbesondere auch solcher, die aus Sicherheitsgründen als unzulässig betrachtet werden. Die Ereignisse werden in kontrollierbare und unkontrollierbare aufgeteilt. Ein Ereignis heißt genau dann kontrollierbar, wenn in jedem beliebigen Systemzustand die Freiheit besteht, dieses am Eintreffen zu hindern, andernfalls heißt das Ereignis unkontrollierbar.

Zur Laufzeit enthält das Sicherungssystem stets ein Abbild aller Zustände des Gesamtsystems sowie die Regeln, wie aus dem aktuellen Zustand sämtliche Folgezustände berechnet werden können. Im weiteren ist ein Algorithmus (sog. Eunomischer Algorithmus) implementiert, der jedesmal, wenn ein kontrollierbares Ereignis ausgelöst werden soll, die Menge aller möglichen, durch Folgen von unkontrollierbaren Ereignissen hervorgerufenen Folgezustände berechnet und daraufhin untersucht, ob sie einen oder mehrere unzulässige Zustände enthält.

Um die große Anzahl Zustände platzsparend im System darstellen zu können, wurde eine verteilte Repräsentation mit Petri-Netzen gewählt. So können mit n binären Stellen oder Bedingungen 2n Zustände dargestellt werden. Der oben erwähnte Algorithmus, der die Zulässigkeit eines kontrollierbaren Ereignisses prüft, berechnet dann nicht wirklich die Menge der unkontrollierbar erreichbaren Folgezustände, da diese viel zu umfangreich wäre, sondern er klärt lediglich die Herleitbarkeit jeder einzelnen Stelle bzw. jedes einzelnen Ereignisses einzeln (nicht in Kombination) ab. Es kann gezeigt werden, daß jeder erreichbare Zustand bzw. jedes erreichbare Ereignis herleitbar im obigen Sinne ist, so daß kein unzulässiger Zustand erreicht werden kann, wenn die entsprechenden Stellen nicht herleitbar sind.

Der Entwicklungsprozess eines Sicherungssystems gestaltet sich bei dem in der Dissertation wiedergegebenen Verfahren wie folgt:

  • Schrittweises Entwickeln eines formalen Modells der Sicherungsebene des Transportsystems auf der Ebene eines Systemtyps (z.B. System für ein bestimmtes Transportsystem oder eine bestimmte Bahnverwaltung) in Form eines Predicate/Transition-Netzes. Dieses Modell beschreibt die Zustände und Zustandsübergänge der Sicherungsebene und ist unabhängig von den zu sichernden Gleisnetzen. Wenn für dasselbe oder ein ähnliches Transportsystem bereits früher ein Modell erarbeitet wurde, können die dort definierten allgemeinen Systemeigenschaften für das neue Modell übernommen werden.
  • Erstellen der Spezifikationen der zu sichernden Gleisnetze (Daten der Systemexemplare)
  • Durchführen eines automatisierten sogenannten Entfaltungsprozesses mittels Entfaltungstools:
    • Syntax-, Typen- und Plausibilitätsprüfung des Typ-Modells
    • Vorbereitung des Typ-Modells für den eigentlichen Entfaltungsprozess
    • Erzeugung von symbolischen Schnittstellen für die von der Sicherungsebene abhängigen Ebenen (Steuerungsebene, Hardware-Interface-Ebene etc.)
    • Herstellen eines interpretier- oder ausführbaren formalen Modells für die Systemexemplare (eigentliche Entfaltung):
    • Für jeden allgemein beschriebenen Zustand und
    • Zustandsübergang im abstrakten Typmodell werden alle konkreten Instanzen gesucht, die sich aus den Exemplardaten ergeben. Resultat ist ein Condition/Event-Netz, daß das entsprechende Systemexemplar beschreibt. Jeder Knoten des Netzes besitzt einen eindeutigen Namen, der sich aus dem Namen des entsprechenden abstrakten Knotens und den Namen der konkreten Objekte des Gleisnetzes zusammensetzt, auf die er sich bezieht.
    • Überprüfen des formalen Exemplar-Modells mit einem Laufzeitsystem für Condition/Event-Netze. Dieses System enthält eine Implementation des o.g. Eunomischen Algorithmus, der die Zulässigkeit von kontrollierbaren Ereignissen überwacht. In der o.g. Dissertation wurden die von der Sicherungsebene abhängigen Ebenen (Außenanlage, Steuerungsebene etc.) mit interaktiven Tools simuliert. Die Sicherungsebene kann sowohl auf hohem Abstraktionsniveau (Simulation von Zügen) wie auch auf dem Detailniveau (Betrachtung einzelner Knoten des Condition/Event-Netzes) simuliert werden.

Das in der o.g. Dissertation wiedergegebene Verfahren enthält noch kein Konzept für eine Fahrstraßenüberwachung und für verschiedene andere in Eisenbahnsteuerungssystemen heute übliche Steuerungskonzepte.

Es ist deshalb Aufgabe der Erfindung, eine Funktion in das bekannte Verfahren zu integrieren, die eine Überwachung eines zunächst für zulässig erachteten Fahrweges ermöglicht.

Diese Aufgabe wird durch die im Patentanspruch 1 angegebenen Merkmale gelöst.

Durch die Beachtung des Eintrittes sogenannter "normalerweise nicht anzunehmender Ereignisse", also Ereignissen wie z.B. Schienenbrüchen oder Verlieren der Endlage bei Weichen, deren Berücksichtigung von Anfang an jedes Fahren in einem Gleisnetz unzulässig machen würde, mit Hilfe des zusätzlichen, sogenannten revertierten eunomischen Algorithmus lassen sich gefährliche Folgen aus solchen Ereignissen in vielen Fällen vermeiden oder wenigstens in ihrer Eintrittswahrscheinlichkeit herabsetzen.

Weiterbildungen des Verfahrens nach der Erfindung sind in den Unteransprüchen angegeben und betreffen weitere einzubeziehende Steuerungskonzepte.

So betreffen die Ansprüche 2 und 3 den Einbezug des Geschwindigkeitsbegriffs in das Steuerungssystem, Anspruch 3 betrifft die Behandlung von Zugoperationen und die Interpretation von Abschnittsbelegungen.

Anspruch 4 betrifft die Darstellung von Transporteinheiten mit Hilfe von Folgen von belegten Gleisabschnitten.

Gegenstand des Anspruchs 5, schließlich, sind der Einsatz neuer Transporteinheiten und die Erfassung von Zugtrennungen mittels Belegung und Freimeldungen von Gleisabschnitten.

Nachfolgend soll das Verfahren nach der Erfindung anhand von Ausführungsbeispielen und mit Hilfe von vier Figuren eingehend beschrieben werden.

Die Figuren zeigen:

Fig. 1 -
den Aufbau der verwendeten Datenverarbeitungsanalge,
Fig. 2 -
schematisch einen Überblick über die Erstellung der Sicherungsebene,
Fig. 3 -
die Bewegung der Spitze eines Zuges in einem mit Doppelpunktgraphen dargestellten Gleisnetz,
Fig. 4 -
eine schematische Darstellung der Systemreaktion bei Eintritt eines unkontrollierbaren, normalerweise nicht anzunehmenden Ereignisses.

In Fig. 1 ist der Aufbau der Datenverarbeitungsanlage mit deren Hilfe das Verfahren nach der Erfindung ausgeführt wird, dargestellt. Die Figur zeigt zwei Ebenen, die - getrennt voneinander - der Steuerung bzw. der Sicherung des die Außenanlage bildenden Gleisnetzes einschließlich der vorhandenen Weichen, Signale, Freimeldeeinrichtungen und der das Gleisnetz benutzenden Züge dienen. Die wesentlichen Funktionen der Sicherungsebene und der Steuerungsebene sind in der Figur wiedergegeben.

Fig. 2 gibt einen Überblick über die Erstellung der Daten für die Sicherungsebene. Wie aus der Figur ersichtlich, wird zunächst ein allgemeines Petri-Netz z.B. ein Predicate/Transition-Netz, das eine formale Spezifikation des Systemtyps enthält, aus den über das Netz verfügbaren Informationen erstellt und auf Konsistenz und richtige Syntax hin geprüft. Es wird dann, zusammen mit den speziellen Gleistopologiedaten, die z.B. in Form von Doppelpunktgraphen vorliegen können, mit Hilfe eines geeigneten Entfaltungswerkzeuges entfaltet, wodurch ein spezielles Petri-Netz, z.B. ein Condition/Event-Netz entsteht, das die Daten für die Sicherungsebene enthält und in dem als Laufzeitsystem ein Algorithmus (sog. eunomischer Algorithmus) anwendbar ist, der vor kontrollierbaren Ereignissen alle durch diese möglich werdenden Netzveränderungen auf ihre Zulässigkeit hin untersucht und bei zu erwartenden unzulässigen Ereignissen die Auslösung des kontrollierbaren Ereignisses verhindert.

Die anschließenden Ausführungsbeispiele beschreiben konkret die Erstellung der Sicherungsebene und die Anwendung des sogenannten revertierten eunomischen Algorithmus.

I. Erstellung der Sicherungsebene

1. Erstellen einer formalen Spezifikation des Systemtyps aus einer informalen.

Die Beschreibungssprache sind Predicate/Transition-Netze. Die Spezifikation enthält:

  • Transitionen
  • Prädikate
  • Kanten
  • abhängige Transitionen

Beispiel:

Bewegung einer Zugspitze über das Gleisnetz (allgemeine Spezifikation, topologieunabhängig) , gemäß Bild 3

Konstrukte der Spezifikationssprache

Es wird eine Kante definiert, die vom Prädikat pred zur Transition trans führt oder umgekehrt. Im ersten Fall ist pred eine Vorbedingung, im zweiten eine Nachbedingung von trans. Bei der Entfaltung werden für jedes Transitionsexemplar von trans Lösungen für condition gesucht. Jede solche Lösung erzeugt dann ein Exemplar der Kante dieses Typs im speziell für eine Gleistopologie hergestellten Petri-Netz.
Werte für edgtype:

Paar von abhängigen Ereignissen, wobei die Zulässigkeit des Eintreffens von transname1 davon abhängt, ob transname2 im Petri-Netz othernet ebenfalls zulässig ist.

2. Syntax- und Konsistenzcheck

Es wird überprüft:

  • Korrekte Syntax
  • Entspricht <transtype> und <predtype> einem vordefinierten Typ?
  • Sind die Typendefinitionen der Variablen konsistent?
  • Sind <trans> und <pred> in allen Kantendefinitionen korrekt definiert?

3. Erstellung der Daten der Gleistopologie

Zur Darstellung der Gleistopologie werden Doppelpunktgraphen verwendet

4. Entfaltung

Für jeden Transitionstyp werden alle passende Variablenbelegungen aus der Objektmenge der Gleistopologie, so daß die Bedingung <transcondition> wahr wird. Jede solche Variablenbelegung ergibt ein Transitionsexemplar. Für jedes Transitionsexemplar werden alle Kanten gesucht, so daß die Kantenbedingungen mit der entsprechenden Variablenbelegung wahr sind.

5. Laufzeitsystem

Das Laufzeitsystem führt die speziellen, zur entsprechenden Gleistopologie gehörenden Petri-Netze aus. Es enthält eine Implementation des EUNOMISCHEN Algorithmus,

II. Beispiel einer formalen Spezifikation einer Sicherungsebene

III. Revertierter EUNOMISCHER Algorithmus

Algorithmus, der beim Eintreffen eines nicht anzunehmenden unkontrollierbaren Ereignisses gestartet wird und in der Menge der kontrollierbaren Ereignisse nach einer Notfallabhängigkeit sucht, die das Eintreffen von unzulässigen Folgeereignissen verhindert. Der Algorithmus ist in Objective-C formuliert.

Beispiel:

In dem in Bild 4 dargestellten Beispiel verliert die Weiche ihre definierte Endlage (unkontrollierbares, aber normalerweise nicht anzunehmendes Ereignis). Dadurch droht ein Zustand, in dem die Zugspitze des herannahenden Zugs sich auf einer Weiche befindet, die keine definierte Endlage besitzt (edg_crash). Um dies zu verhindern, wird der obige Algorithmus gestartet. Er untersucht die Vorgängermenge des Ereignisses "edg_crash" und findet die Notfallabhängigkeit "reset_signal--head". Anschließend wird das Ereignis "reset_signal ausgelöst, das das Hauptsignal auf Halt wirft.