duagon SAFE CONTROL

Sicherheitskritische Steuerungsplattform für den Schienenverkehr

Ein modulares System für Bord- und streckenseitige Bahnautomatisierung

Das duagon SAFE CONTROL (d-SC) System ist eine sicherheitszertifizierte, modulare Bahnsteuerungsplattform. Es erfüllt die Bahnentwicklungsnormen EN 50126 (RAMS), EN 50128 (Software) und EN 50129 (Hardware) für funktionale Sicherheit, und alle Komponenten sind bis SIL 4 sicherheitszertifiziert.

Der modulare Aufbau ermöglicht es dem System, mit anderen Zugsystemen wie Service- oder Diagnoseeinheiten über jede Art von drahtgebundener oder drahtloser Schnittstelle zu kommunizieren. Zusätzlich können Feldbusschnittstellen wie MVB, CAN, Profinet und andere implementiert werden, um eine Verbindung zu anderen Netzwerken herzustellen. Dies erleichtert die Integration in ein TCN-Netzwerk sowie in regional unterschiedliche Zugsicherungssysteme wie ETCS, CTCS, ATCS, PTC oder Klub-U.

Die COTS Safe Controller unterstützen QNX out-of-the-box mit dem mitgelieferten sicherheitszertifizierten Board Support Package (BSP). Zusätzlich bietet duagon verschiedene Softwarepakete an, z.B. Prozessdatensynchronisation (SNYCH), modulares I/O-Framework (PACY) oder Hochverfügbarkeitssoftware (HA-SW), die es Kundenanwendungen ermöglicht, zwei redundante d-SC-Systeme in einem Hot-Standby-Setup zu nutzen.

Das d-SC system

Das d-SC-System ist für den Betrieb in sicherheitsrelevanten fahrzeugseitigen Anwendungen wie dem automatischen Zugbetrieb (ATO) und der automatischen Zugsicherung (ATP) sowie für streckenseitige Anwendungen wie Bahnübergängen oder computergesteuerten Stellwerkssystemen konzipiert.

Das modulare System besteht aus der sicheren Steuerung (1oo2, 2oo2), den sicheren I/O-Funktionen und den Kommunikationsschnittstellen zur "Außenwelt"

Die robusten und schienenfertigen Komponenten entsprechen den Bahnnormen für Umwelt- und EMV-Bedingungen EN 50155 (Schienenfahrzeuge) und EN 50125-3 / EN 50121-4 (Signalisierung/Gleisanlage).

Download: Cyber Secure Products & Service Packages

Vorzertifizierte, modulare offene Systeme für einen langfristigen Einsatz

Zertifizierte Funktionssicherheit

Sparen Sie Kosten, Zeit und Risiko mit Vorzertifizierung
Die sicherheitstechnischen Komponenten von duagon werden mit Zertifizierungspaketen für die Hardware und die entsprechende Plattformsoftware auf Basis von QNX geliefert. Unabhängig von der endgültigen Anwendung sind die Komponenten bereits zertifiziert und beschleunigen Ihren gesamten Zertifizierungsprozess.

Nutzen Sie Synergien für alle sicherheitsrelevanten Anwendungen
Als modulare Sicherheitsplattform mit flexibler I/O-Konfiguration und Erweiterungsmöglichkeiten kann dieses System für alle sicherheitsrelevanten Anwendungen im Fahrzeug und auf der Strecke eingesetzt werden: von einzelnen Funktionen wie Signal- und Bahnübergangssteuerung bis hin zu komplexen Systemen für den automatischen Zugbetrieb oder die Zugsicherung (ATO/ATP).

Zertifizierung

EN 50126: Spezifikation und Nachweis der Zuverlässigkeit, Verfügbarkeit, Instandhaltbarkeit und Sicherheit (RAMS)
EN 50128: Kommunikations-, Signal- und Verarbeitungssysteme - Software für Bahnsteuerungs- und Sicherungssysteme
EN 50129: Kommunikations-, Signal- und Datenverarbeitungssysteme und sicherheitsrelevante elektronische Systeme für die Signalisierung

Modularität in I/O-Konfiguration und Software

Flexible Konfiguration für Steuerungseinheit oder Gesamtnetzwerk
Das duagon SAFE CONTROL-System basiert auf dem modularen 19"-CompactPCI-Standard, der eine skalierbare Plug-and-Play-ähnliche Systemkonfiguration ermöglicht, Kommunikation mit anderen Zugfunktionen wie Service oder Diagnose bietet und die Integration in bestehende Zugbusnetze unterstützt:

Der MH50C-Controller kann mit der genauen Anzahl der erforderlichen sicheren Kanäle und nicht sicheren Funktionen auf Basis von Standard CompactPCI-Karten konfiguriert werden.
Bis zu 63 externe sichere I/O-Module (mit vier bis acht Platinen pro Gerät) können an einen einzigen MH50C-Controller angeschlossen werden, was Verdrahtungskosten spart und die Betriebsstabilität erhöht.

Modularität in Bezug auf Software
Da alle Softwarefunktionen (SYNCH, EXCH) unabhängig voneinander sind, können nur die Teile im System konfiguriert werden, die wirklich benötigt werden. Das PACY I/O-Framework ist auch in sich modular, so dass Funktionen wie neue I/O-Module, neue Bussysteme oder neue Sicherheitsprotokolle einfach hinzugefügt werden können.

Unabhängigkeit von Lieferanten

Vermeiden Sie Lock-in von Anbietern und behalten Sie die Kontrolle!
Als offene und modulare Plattform macht das duagon SAFE CONTROL-System Bahndienstleister und Bahnbetreiber unabhängig von einem Systemhersteller und gibt ihnen die volle Kontrolle über ihr Projekt.

Basierend auf Standards:

Standard CompactPCI-Industriestandard und x86-Host-Controller

Standard-Betriebssystem (QNX, Linux)
Standard EtherCAT mit Sicherheitsprotokoll FSoE
Standard-Kommunikationsschnittstellen zu TCN-Netzwerk, MVB, CANopen, ProfiNet, etc.
Standard POSIX Programmierinterface für "C"
"C"-Codegenerierung, z.B. mit modellbasierten Codegenerierungswerkzeugen wie ANSYS' SCADE oder MathWorks' Simulink.

Langjährige Verfügbarkeit

Schützen Sie Ihre Investitionen vor dem Ausstieg aus dem Markt!
Das System basiert ausschließlich auf offenen Industriestandards für Hardware, Software und Kommunikation mit breiter Akzeptanz auf dem Markt. Dies garantiert Alternativen für jede Funktion, so dass der Endnutzer vor Veralterungsproblemen geschützt ist.

Verlängern Sie Ihren Projektlebenszyklus!
Die Lebensdauer ist durch das Familienkonzept und ein dahinter stehendes Life-Cycle-Management erweiterbar. Nach der garantierten Mindestverfügbarkeit von 10 Jahren für alle Teile stellt duagon seinen Kunden alle notwendigen Schritte und Dokumente (z.B. Änderungsfolgenanalyse, Redesign) für mögliche Nachfolgeprodukte zur Verfügung.

duagon garantiert:

10 Jahre Lieferung von identischen duagon-Boards pro Projekt
25 Jahre technische Unterstützung pro Projekt
Zeitlich unbegrenzte Lieferung von Funktionalität

Safe Control (d-SC) Hardware

Systembeispiel

Das Herzstück des modularen duagon SAFE CONTROL-Systems ist die Steuerung MH50C. Sie basiert auf dem SIL 4-zertifizierten Intel CPU-Board F75P. Der sichere Teil kann um weitere, nicht-vitale I/O-Funktionen erweitert werden, ohne die Sicherheit des Systems zu beeinträchtigen. Es kann als Standalone-Gerät und in Kombination mit bis zu 63 externen I/O-Boxen eingesetzt werden.

Echtzeit-Ethernetkommunikation

Die Kommunikation innerhalb des duagon SAFE CONTROL (d-SC)-Systems - zwischen der sicheren d-SC-Steuerung, den sicheren I/O-Boards und den sicheren Remote-I/O-Boxen - basiert vollständig auf einem standardisierten sicheren Echtzeit-Ethernet unter Verwendung von EtherCAT und FSoE (Fail Safe over EtherCAT).

Die Anwendung kann daher alle I/O-Funktionen auf die gleiche Weise behandeln. Alle Remote-I/O-Boxen sind in einer Ringtopologie mit dem Controller verbunden, die einzelne Ausfälle toleriert. Im Falle eines Kabelbruchs beispielsweise ist das System immer noch voll funktionsfähig, da alle I/O-Boxen auch vom anderen Ende des Rings aus erreichbar sind.

Software-Architektur

Trennung zwischen sicheren und nicht-vitalen Bereichen

Die d-SC Software unterscheidet zwischen dem sicheren und dem nicht-vitalen Bereich, um Kosten und Zeit bei der Anwendungsentwicklung und Zertifizierung zu sparen. Diese Trennung ermöglicht es, nicht-vitale Anwendungen getrennt von sicheren Anwendungen zu entwickeln. Nicht-vitale Anwendungen können sichere Anwendungen nicht beeinflussen, da sie auf einem separaten Prozessor mit einem Standard-Linux-Betriebssystem ausgeführt werden.

Die sichere Anwendung läuft in einem sicheren Kernel des QNX-Echtzeitbetriebssystems und kann entweder direkt mit der Standardsprache "C" programmiert werden oder bietet POSIX-konforme APIs.

Sichere Anwendungsschnittstelle

Da d-SC eine offene Mehrzweck-Hardwareplattform für verschiedene Arten von sicheren Anwendungen ist, benötigt der Softwareprogrammierer eine Schnittstelle, um vollen Zugriff auf die Steuerelektronik zu erhalten. Das PACY Safety I/O Framework bietet einen einfachen und modularen Zugang zu den sicheren I/O-Boards. PACY enthält auch eine sichere Kommunikationsschicht (Fail Safe over EtherCat, FSoE).

Sichere Kommunikation

Um eine ordnungsgemäße Kommunikation zwischen der sicheren Steuerung und den sicheren I/O-Funktionen über Echtzeit-Ethernet zu gewährleisten, wird der Black-Channel-Ansatz angewendet. Die Anforderungen für den Transport sicherer Daten über nicht vertrauenswürdige Kommunikation sind in der EN 50159 definiert und werden mit dem sicheren Kommunikationsprotokoll FSoE (Fail Safe over EtherCat) sichergestellt.

Produkte

Quad Fast Ethernet & Real-Time Ethernet

3U CompactPCI Interface Board

The F305 is a 3U CompactPCI 100-Mbit/s networking controller with a strong focus on railway applications. It comes in a compact 4 HP, one-slot width even with its rugged M12 connectors.

F305

8 Safe Digital Outputs

High-Side Switching for d-SC, SIL 2 to SIL 4 Modular Train Control System I/O Board

The K1 is a safe digital output card for use in the duagon SAFE CONTROL (d-SC) System. The d-SC platform performs safe train control functions in rolling stock applications like Automated Train Protection (ATP) or CBTC (Communications Based Train Control).

16 Safe Digital Inputs for d-SC

SIL 2 to SIL 4 Modular Train Control System I/O Board

The K2 is a safe digital input card for use in the duagon SAFE CONTROL (d-SC) System. The d-SC platform performs safe train control functions in rolling stock applications like Automated Train Protection (ATP) or CBTC (Communications Based Train Control).

Low-Side Switching for d-SC

8 Safe Digital Outputs, Low-Side Switching for d-SC SIL 2 to SIL 4 Modular Train Control System I/O Board

The K7 is a safe digital output card for use in the duagon SAFE CONTROL (d-SC) System. The d-SC platform performs safe train control functions in rolling stock applications like Automated Train Protection (ATP) or CBTC (Communications Based Train Control).

d-SC Remote I/O Extension for 8 Cards

Modular Train Control System for Safe Applications in Transportation

KT8 is a safe, remote I/O box inside the duagon SAFE CONTROL (d-SC) System.The modular system platform d-SC is usable for safety-critical train applications like train control, automatic train operation (ATO) and automatic train protection (ATP) up to SIL 4 (EN5012x) or SIL 3 (IEC61508).

KT8

Vital System Controller

duagon SAFE CONTROL Vital System Controller. Modular Train Control System for Safe Applications in Transportation

MH50C is a central controller of the duagon SAFE CONTROL (d-SC) System. It is a modular system platform usable for safety-critical train applications like train control, automatic train operation (ATO) and automatic train protection (ATP) up to SIL 4 (EN5012x) or SIL3 (IEC61508).

MH50C

Anwendungsbereiche

Schienenfahrzeuge

Die duagon SAFE CONTROL-Plattform eignet sich sowohl für die Steuerung aller sicherheitsrelevanten Funktionen in neuen Zugmodellen als auch für die Umrüstung von Zügen. Dank ihrer Modularität lassen sich Automatisierungsfunktionen auch in Kombination mit anderen Teilen bereits vorhandener Zugsteuerungsanlagen einfach installieren und nachrüsten.

Installation als Herzstück eines jeden Zugsicherungs- und/oder Automatisierungssystems
Effizienzsteigerung der bereits vorhandenen ATO-, ATP- und ATS-Funktionen als Zentralcomputer
Schrittweiser Ersatz älterer Geräte durch eine standardisierte Allzweckplattform für alle sicheren Anwendungen
Fernsteuerung direkt an der Tür, am Rad, am Getriebe
Alles in einem: sicheres Steuerungssystem und nicht-vitales Kommunikationssystem - sicher getrennt durch strikte Partitionierung
Anbindung an die gesamte bestehende Zugkommunikation mit Ethernet und MVB, CAN-Bus etc.
Anbindung an das Führerstandsdisplay
Anbindung an die drahtlose Kommunikation mit der Außenwelt durch GSM-R, GPS, WLAN etc.
Senkung der Lebenszykluskosten durch einfache Wartung von Standardkomponenten
Längere Lebensdauer durch Verwendung standardisierter Technologien

Streckenseitig

Das duagon SAFE CONTROL System eignet sich für die Steuerung von CBI (Computer Based Interlocking), wichtiger Telemetrie für das Zugmanagement und streckenseitiger Geräte wie Weichen, Signale oder Bahnübergänge. Da es sich um eine modulare Plattform handelt, kann es sowohl in neuen Stellwerken als auch für eine schonende Modernisierung und Automatisierung von älteren Relaisstellwerken eingesetzt werden. Bestehende Außenanlagen können erhalten und angepasst werden. Die äußerst kompakte Innenanlage eines Stellwerks ist klar getrennt und bildet die sichere Plattform (SIL) für die Steuerungs- und Automatisierungsebene.

Einführung von ETCS L2/L3 zur Optimierung von Sicherheit und Gleisbelastung
Halbierung der entstehenden Gelegenheitskosten für Relais-Stellwerke
Erhöhung der Leistungsfähigkeit der Stellwerke
Geringer Verkabelungsaufwand durch standardisierte Ethernet-Technologie
Vermeidung des kostspieligen Komplettaustausches durch CBIs (inkl. Außenanlagen)
Installation von einfacheren, kleineren und standardisierten Innenanlagen
Längere Betriebsdauer der Außenanlagen
Geringere Kosten für die Erweiterung der Gesamtkapazitäten
Senkung der Lebenszykluskosten durch einfache Wartung von Standardkomponenten
Verringerung der Abhängigkeit von einzelnen Lieferanten, was zu einem wachsenden Dienstleistungsangebot führt

Häufig gestellte Fragen

Ja, denn dank seiner Modularität ist d-SC einfach zu installieren und lässt sich auch nachträglich um Sicherheits- und Automatisierungsfunktionen von älteren Schienenfahrzeugen erweitern.

d-SC unterstützt zudem angepasste Modernisierungen und Automatisierungen älterer elektronischer Stellwerkseinrichtungen sowie die Installation von einfacheren, kleineren und standardisierten Innenanlagen.

Die modulare CompactPCI-Hardwarearchitektur ermöglicht die Erweiterung der MH50C-Steuerung mit weiteren Kommunikations- und Schnittstellenkarten, wobei auch Standard-PCI-Express-Mini-Karten und andere moderne Geräte verwendet werden können:

Anbindung an bestehende TCN-Netzwerke über Schnittstellenkarten mit MVB- und WTB-Feldbus
Anbindung an vorhandene Zugsysteme über CAN, ProfiNet und andere Feldbus-Schnittstellenkarten
Anbindung an Standard-Switches und Router über Ethernet
Anbindung an alle gängigen fahrzeuginternen und externen Kommunikationsschnittstellen über Wi-Fi, Funk, GPS, RS485 etc.

d-SC basiert ausschließlich auf offenen Industriestandards in den Bereichen Hardware, Software und Kommunikation, sodass die Systeme herstellerunabhängig und vor Alterungsprozessen (Obsoleszenz) geschützt sind:

Standard-PC-Hardwarearchitektur mit modernstem x86-Host-Controller
Standard-19"-CompactPCI-Industriestandard
Standard-Betriebssysteme (QNX, Linux)
Standard-Ethernet-Kommunikation mit sicherem Echtzeit-EtherCAT
Standard-Kommunikationsschnittstellen zu TCN-Netzwerk, MVB, CANopen, ProfiNet etc.
Standard-POSIX-Programmierschnittstelle für C

d-SC trennt die Steuerungselektronik (Rechnerhardware) von der Steuerungsfunktion (Anwendungssoftware).

d-SC bietet die wesentlichen Schnittstellen zwischen der Steuerelektronik und der Applikation.

Als komplett offene Plattform ist d-SC der erste Bahncomputer, der Bahndienstleister und Bahnbetreiber unabhängig von einem Lösungsanbieter macht und ihnen die volle Kontrolle über ihr Projekt gibt.

Die Hardware von d-SC basiert auf der bewährten 19“-CompactPCI-Technolgie und lässt sich modular an individuelle Projektbedürfnisse zusammenstellen und zusammensetzen:

Der MH50C-Controller kann mit der exakten Anzahl der benötigten sicheren I/O-Kanäle und nicht-sicheren Funktionen auf der Basis von Standard-CompactPCI-Karten konfiguriert werden.

d-SC ist modular in Bezug auf den I/O-Standort:

Bis zu 63 dezentrale I/O-Boxen (mit vier bis acht Karten pro Gerät) können an einen MH50C-Controller angeschlossen werden, was enorme Verdrahtungskosten spart und die Betriebsstabilität erhöht.

d-SC ist modular in Bezug auf die Software:

Bereit für die Integration aller modernen Board Support Packages, wobei QNX standardmäßig als Echtzeitbetriebssystem zum Einsatz kommt
Bereit für die Kombinationen eines Echtzeitbetriebssystem für funktional sichere Funktionen mit Linux für nicht-sichere Funktionen
Bereits für die Echtzeitkommunikation über das Standard-Ethernet EtherCAT
Bereit für die Programmierung auf der Basis verschiedener Standardumgebungen

d-SC ist im Hinblick auf die Zertifizierung modular aufgebaut:

Da die komplette d-SC Lösung "funktional sichere" und "nicht-sichere" Teile enthalten kann, unterstützt sie verschiedene SIL-4-Zertifizierungspakete.
Alle Zertifikate sind entweder nur für die Hardware oder als Bundle zusammen mit den sicheren Komponenten des QNX-Echtzeitbetriebssystems erhältlich.

d-SC ist die zentrale Computerplattform für fahrzeugseitige ATO- und ATP-Funktionen (Automated Train Operation and Protection).
d-SC kann das Herzstück eines CBTC-Systems (Communication Based Train Control) bilden.
d-SC hat Schnittstellen zu allen bestehenden Zugkommunikationsstandards wie MVB, WTB, CAN usw.
d-SC hat Schnittstellen zur Außenwelt über drahtlose Kommunikation mit GSM-R, GPS, WLAN usw.

d-SC entspricht der EMV-Norm EN 50121-4 für Bahnanwendungen, die Emissionen und Störfestigkeit von Signal- und Telekommunikationsgeräten definiert.
d-SC ist die zentrale Rechnerplattform für elektronische Stellwerke in Signalsteuerungssystemen.
d-SC kann als Zentralrechner in ATO/ATP-Anwendungen eingesetzt werden, beispielsweise als Zonensteuerung, Bahnsteigtürsteuerung usw.
d-SC kann als Steuereinheit für alle Arten von streckenseitigen Anlagen wie Bahnübergänge, Signale, LEU usw. verwendet werden.
d-SC deckt einen Teil der Funktionen des europäischen ETCS ab sowie beispielsweise CTCS, ATMS, PTC oder Klub-U.

d-SC besteht aus SIL-4-Hard- und Softwarekomponenten, die nach EN 50126, EN 50128 und EN 50129 vorzertifiziert sind, was zu einer erheblichen Zeit- und Kosteneinsparung für die Endanwendung führt.
Ein einziges F75P (funktional sicheres CPU-Board) oder MH50C (funktional sicherer d-SC-Controller) ist bereits eine 2oo2-Einheit gemäß EN 50129.
Der MH50C ist ausfallsicher ausgelegt.
Er unterstützt die doppelte Ausführung von Software auf zwei redundanten Prozessoren.
Er unterstützt Cross-Checking zwischen zwei redundanten Prozessoren.
Die funktional sichere Kommunikation mit den I/O basiert auf entsprechenden Sicherheitsprotokollen.

Das Echtzeitbetriebssystem QNX ist international etabliert und bietet eine breite Palette von Entwicklungswerkzeugen.

Der funktional sichere Mikrokernel QNX Neutrino unterstützt die Partitionierung der Anwendung. Das spart Kosten und Entwicklungszeit durch …:

… Trennung von funktional sicheren und nicht-sicheren Funktionen auf derselben Plattform.
… Kombination verschiedener SI-Levels auf einer Plattform, beispielsweise SIL 2 für ATO und SIL 4 für ATP

Darüber hinaus erlaubt die Mikrokernel-Struktur Anwendungsprozessen von Protokoll-Stacks und Treibern zu trennen.

QNX unterstützt die Übermittlung von Nachrichten, sodass Anwendungen Prozessorgrenzen überschreiten können.

d-SC kann auch zusammen mit anderen funktional sicheren Betriebssystemen verwendet werden:

d-SC ist vorbereitet für die Unterstützung von GreenHills Integrity, Sysgo PikeOS und Wind River VxWorks 7 Safety Profile.
Ein Demo-Board-Support-Package (BSP) für PikeOS ist von Sysgo erhältlich.
Integrity und VxWorks 7 Safety Profile werden auf Anfrage zur Verfügung gestellt.

Linux, da es aufgrund seiner Quelloffenheit unabhängig ist von der Hardwareplattform, eine riesige Auswahl an frei verfügbaren Entwicklungswerkzeugen sowie Peripherietreibern bietet und weltweit eingesetzt wird.

Die Kombination von zwei Betriebssystemen (meist QNX und Linux) auf einer Hardwareplattform (hier d-SC) beschränkt den Aufwand der Anwendungsprogrammierung auf die funktional sicheren Teile. Das macht die Softwareentwicklung und die anschließende Zertifizierung einfacher und schneller, was zu deutlich geringeren Gesamtkosten führt.
Durch die Abstraktion der Peripherie kann die Anwendung auf das breite Angebot an peripherer Linux-Treiberunterstützung zurückgreifen.

EtherCAT ist ein Echtzeit-Ethernet-Standard, der auf Open Ethernet basiert und die Voraussetzungen erfüllt, um eine funktional sichere Kommunikation zwischen d-SC-Komponenten zu gewährleisten:

EtherCAT ist deterministisch, mit Zykluszeiten von ≤ 5 ms.
EtherCAT ist in der Lage, ohne Switches zu arbeiten.
EtherCAT unterstützt eine Ringtopologie, die im Falle eines Kabelbruchs oder eines Stromausfalls an einem Remote-I/O die Kontinuität des Betriebs gewährleistet.
Die funktional sichere Kommunikationsschicht von EtherCAT (FSoE) stellt einen Ende-zu-Ende-Schutz für die sichere I/O-Karte her.
Jedes Paket, das die sichere Domäne verlässt, wird in einem „Umschlag“ gekapselt, den der Empfänger des Pakets (die funktional sichere I/O-Karte) prüft. Diese Methode verhindert Fehler wie Paketverdopplung, Verlust, falsche Reihenfolge, Korruption, falsche Adressierung usw.
FSoE deckt die Anforderungen der EN 50159 ab.