Zusi-Forum

Hallo,

eine Frage: Warum ist der LM Ü separat ausgeführt und nicht im MFD integriert?
Wann muss ich denn unbedingt wissen, ob ich in der Übertragung bin oder nicht, wenn mein Display dunkel/ausgefallen ist?
Dann muss ich ja sowieso anhalten? Hat da jemand eine Erklärung?

Grüße
Denis

Meines Wissens hat dieser LM andere Sicherheitsanforderungen als der Rest der Anzeige. Siehe auch http://ifev.rz.tu-bs.de/LZBKollo/Sporle ... t_frei.pdf" target="_blank:

Allerdings musste das Indusi60-Gerät wegen seiner restriktiveren
Überwachung passiviert werden, wenn die LZB-Überwachung und damit
die mögliche Schnellfahrt gegeben war, d.h. der Leuchtmelder „Ü“ im
Führerraum-Anzeigegerät leuchtete. Er ist die einzige sicherungstechnisch
gültige Anzeige. Entsprechend wird der LM „Ü“ über ein Sicherheits-
Relais und eine eigene 2-Draht-Leitung direkt vom LZB-Fahrzeuggerät
angesteuert. Alle sonstigen Anzeigen (Vsoll, Ziel-Entfernung und
-Geschwindigkeit, Betriebsmeldungen) sind ohne Sicherheits-Relevanz.

Forderung der Aufsichtsbehörde. Der LM Ü muss signaltechnisch sicher sein. Das ging früher nicht mit Displays, deshalb ist der Melder in Hardware ausgeführt worden. Grund: Der Tf muss wissen, ob er die Außensignale beachten muss oder nicht. Die Einhaltung der Geschwindigkeiten würde ihm hingegen die Anlage hilfsweise abnehmen, auch wenn er auf dem Display nichts mehr sieht.
Ein Ausfall des Displays ist übrigens gar nicht der sicherheitlich kritischste Fall (weil das ja ein recht offensichtlich erkennbarer Fehler ist). Viel schlimmer wäre, wenn Teile der Displaydarstellung einfrieren.

Vielen Dank euch!

Ein bisschen bemerkenswert finde ich, dass man selbst auf allerneuesten Fahrzeugen mit ETCS-Ausrüstung es noch nicht gewagt hat, den LM Ü im MFD darzustellen.
Sicherlich gibt's dafür nach wie vor gute Gründe, kennt sich da jemand aus? Die zugrunde liegenden Problematiken (Einfrieren, Ausfall...) sind bei jedem System die selben und ich unterstelle jetzt einfach mal, dass zumindest ein Teil der Informationen für den Tf unter ETCS-Führung ebenso signaltechnisch sicher sein müssen, wie der LM Ü, d.h. die Displays ohnehin den entsprechenden Standard erfüllen.

Das Problem wird einfach sein, dass die vorhandene LZB-Hardware den separaten Anschluss für den LM Ü einfach hat und diesen Anschluss auch überwacht. Daher baut man ihn weiterhin ein. An der LZB-Hard/Software wird man sicherlich nichts mehr groß ändern und somit das Ding neu zulassen wollen.

Für ETCS-DMIs gibt es mittlerweise sichere Anzeigen, bei denen ein eigentständiger Controller überwacht, ob an bestimmten Koordinaten der erwartete Pixel auch wirklich angezeigt wird.

Grüße
Jens

Es auch so, dass wenn die Ü ML defekt ist, die LZB mit Störschalter aus zu schalten ist. Es muss immer beim Prüflauf besonders auf Ü ML geachtet werden. Der Prüflauf ist desshalb auch immer auf beiden Fst. durch zu führen.

Alwin Meschede hat geschrieben:Forderung der Aufsichtsbehörde. Der LM Ü muss signaltechnisch sicher sein. Das ging früher nicht mit Displays, deshalb ist der Melder in Hardware ausgeführt worden. Grund: Der Tf muss wissen, ob er die Außensignale beachten muss oder nicht. Die Einhaltung der Geschwindigkeiten würde ihm hingegen die Anlage hilfsweise abnehmen, auch wenn er auf dem Display nichts mehr sieht.
Ein Ausfall des Displays ist übrigens gar nicht der sicherheitlich kritischste Fall (weil das ja ein recht offensichtlich erkennbarer Fehler ist). Viel schlimmer wäre, wenn Teile der Displaydarstellung einfrieren.

Jens Haupert hat geschrieben:Das Problem wird einfach sein, dass die vorhandene LZB-Hardware den separaten Anschluss für den LM Ü einfach hat und diesen Anschluss auch überwacht. Daher baut man ihn weiterhin ein. An der LZB-Hard/Software wird man sicherlich nichts mehr groß ändern und somit das Ding neu zulassen wollen.

Für ETCS-DMIs gibt es mittlerweise sichere Anzeigen, bei denen ein eigentständiger Controller überwacht, ob an bestimmten Koordinaten der erwartete Pixel auch wirklich angezeigt wird.

Das sind die springenden Punkte.

Der LMÜ soll als sichere Anzeige ausgeführt werden. Die z.B. jetzt im ICE1 und ICE3 eingebauten Doppeldisplays von Deuta haben IconTrust. Das erlaubt die Anzeige von sicherheitsrelevanten Daten. Prinzipiell auch den LM-Ü.

Gruß
Jens

Was mich auch wundert, dass man bei Ausfall des LM Ü anhalten muss... wenn die Führungsgrößen weiter angezeigt werden und vl nur das Leuchtmittel im Leuchtmelder defekt ist!?

Woher willst du wissen, dass nur der Leuchtmelder defekt ist und nicht die Anzeige spinnt?

stuvar hat geschrieben:Woher willst du wissen, dass nur der Leuchtmelder defekt ist und nicht die Anzeige spinnt?

Es geht wirklich um diesen extrem unwahrscheinlich Fall?
Wenn Ü dunkel ist und es nicht am defekten LM liegt (gibt es hier dann eigentlich zwei Leuchtmittel?), dann ist es doch höchst unwahrscheinlich, dass noch Führungsgrößen angezeigt werden, oder nicht?

Denis Schmidt hat geschrieben: ↑15.09.2018 11:42:59 Hallo,

eine Frage: Warum ist der LM Ü separat ausgeführt und nicht im MFD integriert?
Wann muss ich denn unbedingt wissen, ob ich in der Übertragung bin oder nicht, wenn mein Display dunkel/ausgefallen ist?
Dann muss ich ja sowieso anhalten? Hat da jemand eine Erklärung?

Grüße
Denis

Ist übrigens auch nur mit Einschränkungen richtig.

Wie oben schon erwähnt, ist der Melder "Ü" - und sonst keiner - signaltechnisch sicher.

Und ja, du musst jederzeit wissen, ob du signal- oder anzeigegeführt fährst, und das zeigt dir einzig und allein der Leuchtmelder "Ü" zu 100% sicher an.

Wenn also dein Leuchtmelderblock oder Display sich verabschiedet, aber der Leuchtmelder "Ü" noch leuchtet und du auch keine Zwangse bekommst, dann funktioniert die LZB noch einwandfrei.
Die AFB bekommt die Höchstgeschwindigkeit (vSoll) von der LZB. Selbst wenn du ohne AFB fährst, würde die LZB immer noch bremsen, wenn der Zug zu schnell ist oder einen LZB-Halt überfährt.
Die MFA/das Display ist nur eine Benutzerschnittstelle; der oft erwähnte "Autopilot" (LZB+AFB=Autopilot (stark vereinfacht)) braucht die Anzeigen nicht, da er sie digital bekommt.

Folglich musst du auch nicht anhalten, wenn dein "Ü" noch leuchtet und der Zug noch einwandfrei zu fahren scheint, selbst wenn dein Leuchtmelderblock oder Display dir das Lied vom Tod spielt. Vorausgesetzt, du kannst die Informationen auf andere Bildschirme umleiten (MFA-Ersatzbild).

Siehe Ril 483.0202A02 (Maßnahmen bei Unregelmäßigkeiten unter LZB-Führung)

Wobei man es inzwischen m.W. auch hinbekommen hat, den Ü-Melder im Dislplay sicher anzuzeigen. Der externe Ü-Melder ist ja eher eine Notlösung, weil man es nicht anders hinbekommen hatte.

Carsten

Das würde ja bedeuten, dass man ausfallsichere Displays hat, oder wie muss ich das verstehen?

SörenG hat geschrieben: ↑25.06.2022 11:40:53 Das würde ja bedeuten, dass man ausfallsichere Displays hat, oder wie muss ich das verstehen?

Ich zitiere mal Jens von weiter oben:

Die z.B. jetzt im ICE1 und ICE3 eingebauten Doppeldisplays von Deuta haben IconTrust. Das erlaubt die Anzeige von sicherheitsrelevanten Daten.

Nein, es geht nicht um Ausfallsicherheit. Es geht entweder darum, dass bei einer Störung das Display zur sicheren Seite hin umfällt (also lieber aus geht anstatt den falschen Wert anzuzeigen) oder das die Software mitbekommt, wenn die Lampe durchgebrannt ist / das Display nicht funktioniert. (Und dich dann halt aus der LZB wirft.) Das Display/LM dazu nie ausfallen dürfen ist nicht gefordert.

Richtig!!!

Bei einkanaligen Systemen muß jeder Ausfall!!! ungefährlich sein. Dies gilt für alle verwendeten Bauteile und für jede Ausfallart des Bauteils. Diesen Nachweis muß der Hersteller im Rahmen eines Sicherheitsnachweises führen. Es ist doch wohl nachvollziehbar, daß dieser Nachweis bei einem System, daß aus einem Leuchtmelder, einem Aderpaar und einem Ansteuerbaustein besteht, mit einem überschaubaren Aufwand zu erbringen war. Die Realisierung mit dem Leuchtmelder Ü ist keine Notlösung, sie ist ausreichend sicher und für den Betrieb geeignet. Die Displays einschließlich de Ansteuerlogik bestehen dagegen aus hochintegrierten Bausteinen. Alleine die Bestimmung der Ausfallarten ist eine Sisyphusaufgabe.

Noch eine Anmerkung: Wie sicher soll oder muß denn die Anzeige sein.
——————————————
Joachim Günther

F. Schn. hat geschrieben: ↑25.06.2022 13:27:00 Nein, es geht nicht um Ausfallsicherheit.

Joachim Günther hat geschrieben: ↑25.06.2022 14:14:58 Richtig!!!

Bei einkanaligen Systemen muß jeder Ausfall!!! ungefährlich sein.

Ah, danke.

Kleine Ergänzung, weil mir das jetzt erst (durch das Zitat) auffällt: Es geht hier um die Sicherheit bei Ausfällen, dann spricht man von Fail-Safe, am besten übersetzt mit Fehlersicherheit. Ausfallsicherheit nutzt man für die Sicherheit vor Ausfällen.

"Notlösung" meinte ich in dem Sinne, dass man ja bei Displays eigentlich/grundsätzlich nicht noch zusätzliche Melder einbauen will. Die kosten schließlich auch Geld und Aufwand mit allem was dranhängt. Den Ü-Melder gibt es trotzdem aus den genannten Gründen.

Carsten