ControlSafe™ CCC/CCP EOL

ControlSafe Carbone Plattform Kompaktes, ausfallsicheres und fehlertolerantes COTS-System mit SIL4-Zulassung für Zugsteuerung und Signalgebung

Kompaktes, ausfallsicheres und fehlertolerantes COTS-System mit SIL4-Zulassung für Zugsteuerung und Signalgebung. Die ControlSafe Carbone-Plattform von SMART Embedded Computing ist eine modulare, skalierbare Lösung mit höchstmöglicher Verfügbarkeit von 99,9999% und wurde vom TÜV SÜD, einer der vertrauenswürdigsten Zertifizierungsstellen weltweit, mit dem höchsten Sicherheitsniveau SIL4 zertifiziert. Die ControlSafe Carborne-Plattform nutzt die gleiche Sicherheitsarchitektur und -technologien wie die ControlSafe-Plattform, die Eckpfeilerplattform im Portfolio, und die ControlSafe-Erweiterungsbox-Plattform. Sie ist eine hochintegrierte und kostengünstige Lösung, die hauptsächlich auf Onboard-Anwendungen wie Automatic Train Protection (ATP), Automatic Train Operation (ATO) und Positive Train Control (PTC) mit kompaktem 4HE-Chassis, I/O-Frontzugriff und Gleichstromversorgung abzielt. Die ControlSafe Carborne Platform bietet eine kostengünstige und anwendungsbereite Sicherheitsplattform für die Implementierung in einer SIL4-Anwendungsumgebung, die vollständig nach EN 50126 für Zuverlässigkeit, Verfügbarkeit, Wartbarkeit und Sicherheit (RAMS) zertifiziert ist sowie EN 50128 für sicherheitsbezogene Software und EN50129 für sicherheitsbezogene elektronische Systeme.

Die ControlSafe Carbone Plattform besteht aus zwei redundanten und jeweils ausfallsicheren ControlSafe Carbone Computern (CCC). Die beiden Rechner sind durch einen Direct-Connect-Algorithmus (DCA) miteinander verbunden. Dieser realisiert ein ausfallsicheres Rechnersystem, indem er den Zustand der beiden CCC überwacht, einem von beiden den Zustand "Aktiv" und dem anderen den Zustand "Standby" zuweist und die Failover-Funktion zwischen den beiden CCC steuert. Der aktive CCC steuert die bis zu 12 I/O-Module über eine Kundenanwendung, während auf dem Standby-CCC dieselbe Anwendung läuft aber ohne Ausgabemöglichkeit.

Die beiden identischen CPU-Karten jedes CCC laufen im Data Lock-Step-Modus und implementieren einen Abstimmungsmechanismus mit zwei Ausgängen von zwei (2oo2). Das in der Praxis bewährte Betriebssystem VxWorks 653 von Wind River bietet sichere Partitionen für Kundenanwendungen.

Im Falle einer Diskrepanz zwischen den beiden CPUs meldet sich der aktive CCC als nicht intakt und der Standby-CCC wird aktiv. Der fehlerhafte CCC wird außer Betrieb genommen und kann, sobald es repariert wurde, wieder in Betrieb genommen werden. Diese Art der Sicherheitsarchitektur sorgt dafür, dass keine inkorrekten Signale an externe Komponenten ausgegeben werden.

Die ControlSafe Carbone-Plattform wurde im Hinblick auf höchstmögliche Systemverfügbarkeit von 99,9999% entwickelt, d.h. eine Systemausfallzeit von maximal einigen Sekunden im Jahr.

Für die Programmabläufe ist ein moderner Freescale-QorIQ Prozessor zuständig, der sich neben der erforderlichen Leistungsfähigkeit durch reduzierte Stromaufnahme auszeichnet und die für Bahnanwendungen erforderliche lange Lebensdauer bietet.

Die Lockstep-Architektur der ControlSafe Carbone Plattform, die moderne Hochleistungsprozessoren unterstützt, ermöglicht die zukünftige Prozessoraktualisierung unter Beibehaltung der I/O-Module.

Die Implementierung der 2oo2-voting Funktionen in Hardware ermöglicht Anwendungsentwicklern die Migration vorhandener Anwendungssoftware mit minimalen Modifikationen. Eine umfangreiche Ausstattung mit gut dokumentierten Application Programming Interfaces (API), die Zugriff auf die Systemparameter und Managementfunktionen bieten, erleichtert Anwendungsentwicklern und Systemintegratoren die Überwachung und Steuerung des Systems.

Die ControlSafe Carbone Plattform schließt I/O-Module mit Schnittstellen zu diversen Kommunikationsprotokollen ein, u.a. CAN, Ethernet, Ethernet Ring, MVB, GPS/Wireless, UART, digital und analog. Alle intelligenten I/O-Module werden über Ethernet angesprochen und unterstützen die Online-Aktualisierung von Software und Firmware per Fernzugriff, ohne dass das System außer Betrieb gesetzt werden kann. Alle I/O-Anschlüsse sind vom Benutzer als sicherheitsrelevant oder nicht sicherheitsrelevant programmierbar. Darüber hinaus bietet das Switch-Modul vier 10/100/1000BASE-T-Ports mit robusten M12-Steckern über sein Rear Transition Modul (RTM) für den direkten Ethernet/IP-Zugriff auf andere Verarbeitungsknoten im Anwendungsnetzwerk oder auf den Peer-CCC.

Das Produkt ist End Of Life. Wenn Sie Fragen haben, kontaktieren Sie uns bitte.