EP3098559A1

EP3098559A1 - Verfahren zum starten eines flugkörpers aus einem startgerät

Info

Publication number: EP3098559A1
Application number: EP16001046.8A
Authority: EP
Original assignee: Diehl BGT Defence GmbH and Co KG
Current assignee: Diehl Defence GmbH and Co KG
Priority date: 2015-05-23
Filing date: 2016-05-10
Publication date: 2016-11-30
Anticipated expiration: 2036-05-10
Also published as: DE102015006754A1; PL3098559T3; EP3098559B1

Description

Die Erfindung betrifft ein Verfahren zum Starten eines Flugkörpers aus einem Startgerät, bei dem eine Datenverbindung zwischen einer Steuereinheit des Startgeräts und einem vom Startgerät entfernt angeordneten Kommandostand aufgebaut wird und ein Start des Flugkörpers vom Kommandostand über die Datenverbindung gesteuert wird.
Zur Verteidigung gegen Angriffe aus der Luft sind bodengestützte Luftverteidigungssysteme bekannt, die von einem entfernten Kommandostand aus gesteuert werden. Die Luftverteidigungssysteme umfassen ein Startgerät mit einer Anzahl von Flugkörpern, beispielsweise Lenkflugkörpern, die aus dem Startgerät in die Luft gestartet werden. Der Kommandostand wiederum steuert ein oder eine Mehrzahl solcher Startgeräte, die über einen größeren Abstand in der Landschaft verteilt sind.
Bei bodengestützten Luftverteidigungssystemen muss ein hoher Sicherheitsstandard eingehalten werden, um einen ungewollten Abschuss eines Flugkörpers zu vermeiden. Hierzu sind die Startgeräte über eine Datenverbindung mit dem Kommandostand verbunden, sodass eine ungewollte Manipulation des Datenflusses zwischen Kommandostand und Startgerät vermieden wird. Der Start des Flugkörpers kann einzig vom Kommandostand aus gesteuert werden. Außerdem kann ein Start erst nach der Freigabe durch einen Bediener des Startgeräts erfolgen, beispielsweise nach dem dieser einen Schalter umgelegt hat und eine Sicherheitszeit verstrichen ist, in der sich der Bediener vom Startgerät entfernen kann.
Es ist eine Aufgabe der vorliegenden Erfindung, ein Verfahren zum Starten eines Flugkörpers aus einem Startgerät anzugeben, das einfach und sicher durchgeführt werden kann.
Diese Aufgabe wird durch ein Verfahren der eingangs genannten Art gelöst, bei dem erfindungsgemäß eine Sicherungseinheit über die Datenverbindung Entsicherungsinformation empfängt und eine Signalverbindung zwischen der Steuereinheit und eine Starteinrichtung des Flugkörpers entsperrt.
Die Erfindung geht von der Überlegung aus, dass das Verlegen einer Datenleitung zwischen Kommandostand und Startgerät insbesondere bei einer weiten Entfernung zwischen den beiden Einheiten mit hohem Aufwand verbunden ist. Ein Starten des Flugkörpers kam daher vereinfacht werden, wenn vorhandene Datenverbindungen genutzt werden, beispielsweise vorhandene Datenleitungen und/oder drahtlose Datenverbindungen. Hierbei besteht jedoch die Gefahr einer unerwünschten Dateneinspeisung in die bestehenden Datenverbindungen, sodass die Möglichkeit einer Manipulation und damit eines unerwünschten Starten eines Flugköpers gegeben ist.
Um dieser Gefahr entgegenzuwirken, ist es sinnvoll, eine zusätzliche Sicherung des Startvorgangs einzufügen. Durch die erfindungsgemäße Sicherungseinheit kann die Signalverbindung zwischen Steuereinheit und Starteinrichtung gesperrt werden. Erst bei Vorliegen der Entsicherungsinformation kann die Signalverbindung entsperrt und damit das Starten des Flugkörpers ermöglicht werden.
Zudem kann die Entsicherungsinformation sehr einfach bleiben, sodass deren Übertragung einfacher und sicherer gestaltet werden kann, als die Übertragung größerer Startinformationsmengen, die für einen Start eines Flugkörpers vom Kommandostand an das Startgerät übermittelt werden. Einer Manipulation der Übertragung der Entsicherungsinformation kann auch auf diese Weise entgegengewirkt werden, da die Korrektheit der Entsicherungsinformation einfacher überprüfbar ist. Liegt der Verdacht einer Manipulation der Entsicherungsinformation vor, so kann die Signalverbindung zwischen Steuereinheit und Starteinrichtung gesperrt und somit ein unerwünschter Start des Flugkörpers unterbunden werden.
Das Startgerät und der Kommandostand bilden zweckmäßigerweise ein bodengestütztes Luftverteidigungssystem. Das Startgerät ist zweckmäßigerweise ein mobiles, beispielsweise auf einem Fahrzeug gelagertes Startgerät, das einen auf einem Lkw oder einem Schiff positionierten Kanister aufweisen kann, der eine Vielzahl von Flugkörpern enthält. Der Flugkörper kann ein Lenkflugkörper mit einem Raketentriebwerk sein. Der Erfindung ist jedoch auch anwendbar auf Startgeräte für ballistische Flugkörper, wie beispielsweise für Lenkmunition und/oder Artilleriegeschosse.
Zum Start des Flugkörpers kann Startinformation vom Kommandostand an die Steuereinheit gesendet werden, die insbesondere Fluginformation, beispielsweise Information zur Flugroute und/oder eine Zielinformation, enthält, Die Startinformation wird über die Datenverbindung vom Kommandostand zur Steuereinheit des Startgeräts gesendet, das diese Information - gegebenenfalls bearbeitet - an den Flugkörper weitergibt. Die Startinformation kann weiter Starttriggerinformation enthalten zum Triggern eines Starts des Flugkörpers. Der Start des Flugkörpers kann von der Steuereinheit des Startgeräts gesteuert werden, das den Start des Flugkörpers in Abhängigkeit vom Vorliegen der Starttriggerinformation veranlasst.
Die Datenverbindung reicht zweckmäßigerweise vom Kommandostand bis zum Startgerät, zumindest erstreckt sie sich über 90% dieser Strecke. Sie kann eine leitungsgebundene Verbindung sein, insbesondere vom Kommandostand bis zum Startgerät umfassen, beispielsweise eine Verbindung über eine oder mehrere Glasfaserleitungen. Möglich ist auch eine drahtlose Datenverbindung oder eine Kombination von leitungsgebundener und drahtloser Verbindung. Zweckmäßigerweise umfasst oder ist die Datenverbindung eine Internetverbindung, sodass die Startinformation und insbesondere auch die Entsicherungsinformation über eine Internetverbindung gesendet werden. Unter einer Internetverbindung kann eine Verbindung in einem öffentlichen oder nichtöffentlichen Netzwerk, z.B. in einem Intranet, verstanden werden, die nach einem IP-Protokoll erfolgt, beispielsweise nach TCP/IP. Eine Datenübermittlung über die Datenverbindung, insbesondere über die gesamte Datenverbindung, kann insofern über ein IP-Protokoll erfolgen, wobei die Datenverbindung insbesondere eine framebasierte Übertragungsstrecke ist. Die Datenübertragung der Zielinformation und der Entsicherungsinformation erfolgt zweckmäßigerweise über den gleichen Übertragungsweg der Datenverbindung. Sie läuft beim Startgerät zweckmäßigerweise über den gleichen Media Access Controller (MAC) und insbesondere Router. Insbesondere kommandostandsseitig verläuft die Datenverbindung über einen gleichen MAC bzw. Router und beispielsweise über den gleichen Ethernet Switch. Ein Einschluss einer Internetverbindung wird bei Einhaltung des gleichen Übertragungswegs von Startinformation und Entsicherungsinformation über die Datenverbindung als erfolgt betrachtet, wenn sowohl die Startinformation als auch die Entsicherungsinformation über das Internet gesendet werden.
In einer vorteilhaften Ausführungsform der Erfindung hält die Sicherungseinheit die Entsperrung für eine vorgegebene Zeitdauer aufrecht. Die Zeitdauer kann mit Empfangen der Entsicherungsinformation oder nach einer erfolgreichen Prüfung der Entsicherungsinformation auf Plausibilität beginnen. Zweckmäßigerweise sperrt die Sicherungseinheit die Signalverbindung zwischen der Steuereinheit und der Starteinrichtung nach Ablauf der Zeitdauer wieder. Das Empfangen der unkorrumpierten Entsicherungsinformation kann insofern nur eine Entsperrung für die vorbestimmte Zeitdauer auslösen. Die Zeitdauer kann von vornherein vorbestimmt sein, beispielsweise durch eine in der Sicherungseinheit hinterlegte Information. Es ist auch möglich, dass die vorgegebene Zeitdauer von der Entsicherungsinformation abhängig ist und insofern von außen, beispielsweise durch eine Autorisierungseinheit, vorgegeben wird. Die Zeitdauer liegt zweckmäßigerweise in einem Bereich zwischen dem 1,1-fachen und dem 2,9-fachen eines Sendeintervalls der Entsicherungsinformation an die Sicherungseinheit, insbesondere zwischen dem 1,1-fachen und dem 1,9-fachen des Sendeintervalls.
Vorteilhafterweise wird die Entsicherungsinformation wiederholt über die Datenverbindung zur Sicherungseinheit gesendet. Hierbei ist das Wiederholungsintervall zweckmäßigerweise kleiner als eine vorgegebene Zeitdauer, nach der die Sicherungseinheit die Signalverbindung zwischen der Steuereinheit und der Starteinrichtung wieder sperrt. Die Signalverbindung zwischen Steuereinheit und Starteinrichtung kann auf diese Weise wiederholt und/oder kontinuierlich aufrechterhalten werden, sodass ein zwischenzeitliches Steuern des Starts des Flugkörpers durch den Kommandostand möglich ist. Zweckmäßigerweise wird die Entsicherungsinformation regelmäßig zur Sicherungseinheit gesendet, beispielsweise mit einer Wiederholungsrate von mehr als 1 Hz, insbesondere mehr als 10 Hz.
Einer Korrumpierung der Entsicherungsinformation kann entgegengewirkt werden, wenn diese in IP/UDP-Format an die Sicherungseinheit gesendet wird. Anstelle des UDP-Protokolls ist auch ein anderes Private Protocol möglich. Die Übertragung der Entsicherungsinformation und diese selbst können einfach gehalten bleiben, sodass die Überprüfung der Entsicherungsinformation auf Plausibilität in einfacher Weise möglich ist.
Die Sicherungseinheit kann einen handelsüblichen PC als zumindest hauptsächliches Daten verarbeitendes Element aufweisen. Zweckmäßigerweise ist die Sicherungseinheit jedoch aus Field Programmable Gate Array (FPGA) Schaltungen aufgebaut. Durch deren Konfigurierung kann einem unerwünschten Eingriff entgegengewirkt werden. Auch eine die Entsicherungsinformation abschickende Autorisierungseinheit ist zweckmäßigerweise aus FPGA Schaltungen aufgebaut. Eine solche Autorisierungseinheit kann einen Encoder zum Senden der Entsicherungsinformation enthalten. Die Sicherungseinheit umfasst zweckmäßigerweise einen entsprechenden Decoder zum Entschlüsseln der Entsicherungsinformation.
Weiter ist es vorteilhaft, wenn die Entsicherungsinformation über ein retry-freies Protokoll über die Datenverbindung gesendet wird. Die Sendung eines Entsicherungsinformation enthaltenden Datenpakets an die Sicherungseinheit erfolgt hierdurch zweckmäßigerweise nur einmalig, so dass das Datenpaket bei Störungen in der Verbindung verloren gehen kann. Geht ein Datenpaket verloren, so kann dies durch beispielsweise das Fehlen von erwarteter Information bemerkt werden, sodass eine mögliche Korrumpierung der Datenverbindung entdeckt werden kann.
Die Entsicherungsinformation kann in einem Datenpaket enthalten sein, das insbesondere als ein sogenanntes Wake On LAN Datenpaket gestaltet sein kann. Generell kann das Datenpaket mit einer sogenannten Magic versehen sein. Es kann entweder direkt an die Sicherungseinheit (Unitcast) oder ausschließlich an eine Untergruppe aus mehreren Einheiten des Netzwerks (Multicast) adressiert werden oder als Broadcast verschickt werden. Bei einem Broadcast enthält es beispielsweise 6 x in Folge den hexadezimalen Wert FF, wodurch alle Teilnehmer des Netzwerks adressiert werden. Die MAC-Adresse bei Multicast kann durch die hexadezimale Bytefolge 01 00 5e gefolgt von drei Bytes bestimmt sein, deren unterste 23 bit aus der IP-Adresse der Empfängergruppe bestehen. Hierdurch können ausgewählte Teilnehmer des Netzwerks adressiert werden, die sich als Teilnehmer einer bestimmten abgeschlossenen Gruppe registriert haben. Die MAC-Adresse bei Unitcast ist gekennzeichnet durch die 6 Bytes (48 bit) weltweit eindeutige MAC-Adresse des Empfängers. Hierdurch kann ein einziger ausgewählter Teilnehmer aus dem Netzwerk adressiert werden.
Die Magic ist zweckmäßigerweise ein in seiner Länge festgelegter Teil der Entsicherungsinformation, beispielsweise ein 32 Bit langer Bereich. Er kann die Reihenfolge der Bereiche der Entsicherungsinformation enthalten, deren Protokollaufbau und/oder eine zeitliche Bedingung einer regelmäßigen Sendung der Entsicherungsinformation, beispielsweise die Wiederholrate. Weiter kann die Magic eine Zählweise eines Zählers enthalten. Zweckmäßigerweise ist das Datenpaket, zumindest die Entsicherungsinformation, verschlüsselt, so dass ein unberechtigter Zugriff erschwert wird.
Eine weitere vorteilhafte Ausführungsform der Erfindung sieht vor, dass die Entsicherungsinformation einen Datensatz, insbesondere ein Datenpaket, enthält, der einen Sicherungszustand enthält. Der Sicherungszustand, also eine Information darüber, ob die Sicherungseinheit die Signalverbindung zwischen Steuereinheit und Starteinrichtung sperren oder entsperren soll, kann lediglich ein Bit lang sein. Weiter enthält die Entsicherungsinformation zweckmäßigerweise einen Zähler, der zweckmäßigerweise bei jedem Senden der Entsicherungsinformation verändert wird. Beispielsweise zählt der Zähler bei jeder erneuten Sendung der Entsicherungsinformation um eins oder eine andere vorbestimmte Zahl weiter hoch. Außerdem enthält die Entsicherungsinformation vorteilhafterweise eine Prüfinformation, die eine Konsistenzprüfung, beziehungsweise Plausibilitätsprüfung der Entsicherungsinformation erlaubt. Die Prüfinformation kann beispielsweise ein Cyclic Redundancy Code (CRC) sein.
Weiter ist es vorteilhaft, wenn die Entsicherungsinformation wiederholt über die Datenverbindung zur Sicherungseinheit gesendet wird. Die Entsicherungsinformation wird bei jedem Senden zweckmäßigerweise zumindest in einem Zähler relativ zur vorher gesendeten Entsicherungsinformationen verändert. Die nacheinander gesendeten Entsicherungsinformationen unterscheiden sich insofern alle voneinander zumindest in einem Datenpaketbereich, beispielsweise dem Zähler, der bei jeder Wiederholung verändert wird. Vorteilhafterweise überprüft die Sicherungseinheit anhand des Zählers einen lückenlosen Empfang der Abfolge der Wiederholungen. Bei Fehlen einer Wiederholung, beispielsweise dem Fehlen einer Entsicherungsinformation in einer Reihe von hintereinander gesendeten Entsicherungsinformationen, sperrt die Sicherungseinheit die Signalverbindung zwischen der Steuereinheit und der Starteinrichtung des Flugkörpers. Liegt hingegen eine lückenlose Abfolge von empfangenen Widerholungen der Sendung der Entsicherungsinformation zu, so hält die Sicherungseinheit die Signalverbindung zweckmäßigerweise entsperrt.
Die Entsicherungsinformation kann von einer Kommandoeinheit des Kommandostands aus gesendet werden. Einer erhöhten Sicherheit ist es jedoch dienlich, wenn die Steuerung des Starts des Flugkörpers von einem Gerät des Kommandostands erfolgt und die Entsicherungsinformation von einem anderen Gerät, insbesondere von außerhalb des Kommandostands, erzeugt wird. Hierbei ist es weiter vorteilhaft, wenn die Entsicherungsinformation unabhängig von Prozessen der Kommandoeinheit erzeugt wird, insbesondere wenn das Gerät zur Erzeugung der Entsicherungsinformation von einem anderen Bediener bedient wird, als das Gerät zur Steuerung des Starts des Flugkörpers. Das die Entsicherungsinformation erzeugende Gerät wird im Folgenden als Autorisierungseinheit bezeichnet. Es ist zweckmäßigerweise mit dem Internet verbunden und sendet die Entsicherungsinformation über die gleiche Datenverbindung, wie das Gerät zur Steuerung des Starts des Flugkörpers.
Der Schutz gegen ein unerwünschtes Starten des Flugkörpers aus dem Startgerät kann weiter erhöht werden, wenn ein Start des Flugkörpers ausschließlich nach einer zumindest dreifachen Entsicherung erfolgt. Eine Entsicherung kann das Entsperren der Signalverbindung zwischen der Steuereinheit und der Starteinrichtung des Flugkörpers durch die Sicherungseinheit sein. Eine zweite Entsicherung kann eine Entsperrung der Signalverbindung zwischen der Steuereinheit und der Starteinrichtung des Flugkörpers durch ein Schaltersignal eines Bedieners des Startgeräts sein. Der Schalter, entweder ein mechanischer Schalter oder ein elektronischer Schalter, kann vom Bediener in die Entsicherungsstellung gebracht werden, wobei die Entsicherung zweckmäßigerweise erst nach einer vorgegebenen Zeitdauer nach Bringen des Schalters in die Entsicherungsschaltung erfolgt, um den Bediener Zeit für eine Entfernung vom Startgerät zu geben. Die dritte Entsicherung kann durch die Steuereinheit des Startgeräts erfolgen, beispielsweise angestoßen durch das Startkommando vom Kommandostand über die Datenverbindung. Das Startkommando vom Kommandostand zur Steuereinheit oder von der Steuereinheit an die Starteinrichtung kann hierbei als Entsicherung aufgefasst werden. Die Reihenfolge der drei Entsicherungen ist hierbei beliebig. Zweckmäßigerweise werden die drei Entsicherungen durch drei verschiedene Personen ausgelöst, einem Bediener einer Autorisierungseinheit, die die Entsicherungsinformation an die Sicherungseinheit verschickt, einem Bediener des Kommandostands und einem Bediener des Startgeräts.
Um eine Steuerung des Startgeräts vom Kommandostand aus zu erleichtern, ist es vorteilhaft, wenn die Sicherungseinheit einen Statusreport an den Kommandostand sendet, zweckmäßigerweise über die gleiche Datenverbindung, beispielsweise die Internetverbindung, über die die Entsicherungsinformation gesendet wird. Der Statusreport enthält zweckmäßigerweise den Entsicherungsstatus, also ob die Signalverbindung gesperrt oder entsperrt ist. Zweckmäßigerweise enthält der Statusreport zusätzlich die Information, ob die empfangene Entsicherungsinformation plausibel ist beziehungsweise sie über einen vorbestimmten Zeitraum lückenlos empfangen wurde. Der Statusreport kann mit dem TCP/IP-Protokoll an den Kommandostand gesendet werden. Zweckmäßigerweise enthält der Kommandostand eine Statusanzeige, auf der einem Bediener der Status der Sicherungseinheit angezeigt wird.
Ebenfalls ist es vorteilhaft, wenn der Kommandostand eine Statusanfrage, beispielsweise in Form eines Echos, an die Sicherungseinheit sendet. Diese wird von der Steuereinheit und/oder der Sicherungseinheit insbesondere direkt beantwortet. Hierzu kann ein Statusreport, wie oben beschrieben, an den Kommandostand gesendet werden.
Weiter ist es vorteilhaft, wenn die Sicherungseinheit eine modifizierte Entsicherungsinformation an eine Autorisierungseinheit zurücksendet. Dies geschieht zweckmäßigerweise über das gleiche Protokoll, mit der die Entsicherungsinformation von der Autorisierungseinheit an die Sicherungseinheit gesendet wurde. Die modifizierte Entsicherungsinformation kann eine modifizierte Magic, beispielsweise eine invertierte Magic enthalten und enthält insbesondere den Status der Sicherungseinheit, einen Zähler und/oder eine Plausibilitätsinformation, wie einen CRC. Die Autorisierungseinheit kann die modifizierte Entsicherungsinformation prüfen und das Erzeugen weiterer Entsicherungsinformationen, insbesondere das Setzen des Sicherungszustands, abhängig vom Prüfungsergebnis machen.
Die Erfindung ist außerdem gerichtet auf ein Startgerät zum Starten eines Flugkörpers mit einem Flugkörperbehälter, einer Steuereinheit zum Steuern des Starts des Flugkörpers und zum Herstellen einer Datenverbindung zwischen der Steuereinheit und einem Kommandostand, beispielsweise einem MAC bzw. Router zum Herstellen eine Internetverbindung zwischen der Steuereinheit und dem Kommandostand. Um eine einfache und sichere Steuerung des Flugkörpers zu erreichen, wird vorgeschlagen, dass das Startgerät erfindungsgemäß eine Sperreinrichtung in der Signalverbindung zwischen der Steuereinheit und einer Starteinrichtung des Flugkörpers enthält und eine mit der Datenverbindung verbindbare Sicherungseinheit enthält, die signaltechnisch mit der Sperreinrichtung verbunden ist.
Die bisher gegebene Beschreibung vorteilhafter Ausgestaltungen der Erfindung enthält zahlreiche Merkmale, die in einigen abhängigen Ansprüchen zu mehreren zusammengefasst wiedergegeben sind. Diese Merkmale können jedoch zweckmäßigerweise auch einzeln betrachtet und zu sinnvollen weiteren Kombinationen zusammengefasst werden, insbesondere bei Rückbezügen von Ansprüchen, so dass ein einzelnes Merkmal eines abhängigen Anspruchs mit einem einzelnen, mehreren oder allen Merkmalen eines anderen abhängigen Anspruchs kombinierbar ist. Außerdem sind diese Merkmale jeweils einzeln und in beliebiger geeigneter Kombination sowohl mit dem erfindungsgemäßen Verfahren als auch mit der erfindungsgemäßen Vorrichtung gemäß den unabhängigen Ansprüchen kombinierbar. So sind Verfahrensmerkmale auch als Eigenschaften der entsprechenden Vorrichtungseinheit gegenständlich formuliert zu sehen und funktionale Vorrichtungsmerkmale auch als entsprechende Verfahrensmerkmale.
Die oben beschriebenen Eigenschaften, Merkmale und Vorteile dieser Erfindung sowie die Art und Weise, wie diese erreicht werden, werden klarer und deutlicher verständlich in Zusammenhang mit der folgenden Beschreibung der Ausführungsbeispiele, die im Zusammenhang mit den Zeichnungen näher erläutert werden. Die Ausführungsbeispiele dienen der Erläuterung der Erfindung und beschränken die Erfindung nicht auf die darin angegebene Kombination von Merkmalen, auch nicht in Bezug auf funktionale Merkmale. Außerdem können dazu geeignete Merkmale eines jeden Ausführungsbeispiels auch explizit isoliert betrachtet, aus einem Ausführungsbeispiel entfernt, in ein anderes Ausführungsbeispiel zu dessen Ergänzung eingebracht und/oder mit einem beliebigen der Ansprüche kombiniert werden.
Es zeigt FIG 1 als einzige Figur ein Startgerät 2 für eine Mehrzahl von Flugkörpern 4 in einer schematischen Darstellung, das als Lastkraftwagen und somit mobil ausgeführt ist. Das Startgerät 2 umfasst auf seiner Ladefläche eine Starteinrichtung 6 mit einem oder mehreren Kanistern 8, in denen jeweils ein oder mehrere Flugkörper 4 in Form von Lenkflugkörpern mit jeweils einem Raketenmotor gehalten sind. Zusätzlich oder alternativ zu dem Kanister 8 kann der Flugkörper 4 an einer Startschiene gehalten sein. Weiter umfasst das Startgerät 2 eine Steuereinheit 10 zum Steuern der Starts der einzelnen Flugkörper 4 aus der Starteinrichtung 6. Über eine Signalverbindung 12 in Form einer Datenleitung ist die Steuereinheit 10 mit der Starteinrichtung 6 verbunden. Allerdings ist die Signalverbindung 12 durch eine Sperreinrichtung 14 mit zwei UND-Gattern 16 unterbrochen, sodass eine Signalübermittlung von der Steuereinheit 10 zu Starteinrichtung 6 bei unterbrochener Signalverbindung 12 unterbunden ist.
Die Steuereinheit 10 ist über eine weitere Signalverbindung 18 ebenfalls mit der Starteinrichtung 6 verbunden. In der Signalverbindung 18 ist ein Schalter 20 angeordnet, mit dem die Signalverbindung 18 unterbrochen beziehungsweise verbunden werden kann. Die Signalverbindung 18 ist mit einem der UND-Gatter 16 verbunden. Mit dem anderen UND-Gatter 16 ist eine Sicherungseinheit 22 über eine weitere Signalverbindung 24 verbunden. Zum Austausch von Daten ist die Sicherungseinheit 22 auch mit der Steuereinheit 10 direkt verbunden.
In einer Entfernung von mehreren Kilometern zum Startgerät 2 befindet sich ein Kommandostand 26 mit einer Kommandoeinheit 28 und einem Eingabemittel 30. In dem Kommandostand 26 kann ferner eine Autorisierungseinheit 32 mit einem weiteren Eingabemittel 34 vorhanden sein. Es ist jedoch auch möglich, dass die Autorisierungseinheit 32 mit ihrem Eingabemittel 34 entfernt vom Kommandostand 26 angeordnet ist, beispielsweise in einem anderen Gebäude oder einer anderen Stadt. Dies ist durch die gestrichelte Linie am Kommandostand 26 angedeutet, die darauf hinweist, dass die Autorisierungseinheit Teil des Kommandostands 26 sein kann, jedoch nicht sein muss.
Aus dem Kommandostand 26 wird eine Anzahl von Startgeräten 2 gesteuert, von denen in FIG 1 nur zwei Startgeräte 2 dargestellt sind. Weitere Startgeräte 2 sind durch drei Punkte im unteren Teil von FIG 1 angedeutet. Zur Steuerung der Startgeräte 2 ist der Kommandostand 26 über eine Datenverbindung 36 mit allen Startgeräten 2 verbunden. Die Datenverbindung 36 ist in FIG 1 der besseren Darstellbarkeit halber unterbrochen dargestellt, sie ist jedoch durchgängig. Die Datenverbindung 36 ist zwischen einem Sender 38 und einem Empfänger 40 als zumindest über eine Strecke drahtlose Internetverbindung ausgeführt, die als nichtöffentliches Netzwerk (Intranet) ausgeführt ist und in einem Internetprotokoll betrieben wird. Alternativ ist es möglich, die gesamte Datenverbindung 36 zwischen Sender 38 und Empfänger 40 als Datenleitung auszuführen, wobei Sender 38 und Empfänger 40 in diesem Fall entfallen können und beide Einheit in den dargestellten Kreisen als Media Access Controller (MAC) und Ethernet Switch verstanden werden können.
Bei dem in FIG 1 gezeigten Ausführungsbeispiel sind die Autorisierungseinheit 32 und Kommandoeinheit 28 in einem einzigen Gebäude untergebracht und über Ethernet in einem Local Area Network (LAN) miteinander verbunden. Über einen Ethernet Switch 42 und einem nicht dargestellten Media Access Controller (MAC) sind die Autorisierungseinheit 32 und die Kommandoeinheit 28 mit der Internet-Datenverbindung 36 und damit mit allen Startgeräten 2 verbunden.
Eingangsseitig umfasst das Startgerät 2 ebenfalls einen Media Access Controller 44, über den auch die Sicherungseinheit 22 und die Steuereinheit 10 mit der Datenverbindung 36 verbunden sind und damit eine Verbindung zum Kommandostand 26 haben.
Zum Starten eines Flugkörpers 4 aus dem Startgerät 2 wird dieses an einer vorgegebenen Position in der Landschaft abgestellt. Von einem Bediener O1 des Startgeräts 2 wird ein Datenaustausch mit dem Kommandostand 26 durch Bedienen der Steuereinheit 10 über die Datenverbindung 36 hergestellt.
Ein anderer Bediener 02 im Kommandostand 26 bereitet den Start des Flugkörpers 4 vor durch Eingabe und/oder Auswahl von Startinformation 45 in die Kommandoeinheit 28, wobei jedem Flugkörper 4 eigene Startinformation 45 zugewiesen wird. Die Startinformation 45 wird über die Datenverbindung 36 zur Steuereinheit 10 gesendet, wie in FIG 1 durch einen gestrichelten Pfeil angedeutet ist. Die Versendung geschieht hierbei als Unitcast und im TCP/IP Protokoll, die Startinformation 45 wird also genau an eine und nur an diese Steuereinheit 10 der mehreren vorhandenen Startgeräte 2 geschickt.
Ein Start der Flugkörper 4 wird zwar von dem Kommandostand 26 beziehungsweise der Kommandoeinheit 28 gesteuert, muss jedoch von der Autorisierungseinheit 32 beziehungsweise einem Bediener 03 autorisiert werden. Um einen unerwünschten Start des Flugkörpers 4 zu unterbinden, sendet die Autorisierungseinheit 32 Entsicherungsinformation 46 an die Sicherungseinheit 22. Die Entsicherungsinformation 46 kann als Multicast gesendet werden, also an nur einen Teil der im nichtöffentlichen Netzwerk vorhandenen Startgeräte 2, oder als Broadcast, also an alle der im nichtöffentlichen Netzwerk vorhandenen Startgeräte 2. Die Entsicherungsinformation 46 kann im UDP/IP Protokoll versendet werden. Alternativ kann ein private protocol verwendet werden. Das verwendete Protokoll ist im Header der Entsicherungsinformation 46 festgelegt. Im Falle eines private protocol ist der 16bit Wert des Type Felds des Ethernet Version 2 Frame gemäß IEEE 802.3 ein solcher Wert, der durch die IANA (Internet Assigned Numbers Authority) frei ist, also nicht mit einem Protokoll belegt ist. Der Wert des Type Felds kann zwar offiziell registriert sein, jedoch ohne ein damit verbundenes Protokoll. Das Protokoll kann zwischen den kommunizierenden Einheiten, in diesem Fall der Autorisierungseinheit 32 und den Sicherungseinheiten 22, vorab festgelegt werden oder von vorne herein festgelegt sein.
Die Autorisierungseinheit 32 sendet die Entsicherungsinformation 46, die ebenso wie die Startinformation 45 verschlüsselt ist, regelmäßig und in gleichen Zeitabständen, sodass die Entsicherungsinformation beispielsweise 10 x pro Sekunde über die Datenverbindung 36 zu mehreren oder allen Sicherungseinheiten 22 im Netzwerk gesendet wird. Im Folgenden wird nur eine Sicherungseinheit 22 betrachtet, da alle Sicherungseinheiten 22 der Startgeräte 2 im Netzwerk gleich arbeiten.
Bei jedem Senden wird die Entsicherungsinformation 46 verändert, sodass über einen vorbestimmten Zeitraum jede Entsicherungsinformation individuell ist. Die Entsicherungsinformation 46 ist ein Datenpaket mit zumindest vier, insbesondere genau vier Abschnitten.
Der erste Abschnitt ist eine sogenannte Magic 48, in der der Datenaufbau beziehungsweise Protokollaufbau des gesamten Datenpakets 46 wiedergegeben ist. Außerdem findet sich in der Magic 48 die zeitliche Bedingung für die regelmäßige Sendung der Entsicherungsinformation 46, in diesem Fall die gewählte Wiederholungsrate. Weiter enthält die Magic 48 die Zählweise eines Zählers 50, der als drittes Segment des Datenpakets in der Entsicherungsinformation 46 enthalten ist. Die Entsicherungsinformation 46 enthält außerdem den Entsicherungszustand 52. Dieser wird durch die Autorisierungseinheit 32 beziehungsweise den Bediener 03 über das Eingabemittel 34 vorgegeben. Als letztes enthält die Entsicherungsinformation 46 einen Prüfcode 54, in diesem Beispiel einen sogenannten Cyclic Redundancy Code (CRC).
Die Entsicherungsinformation 46 trifft regelmäßig bei der Sicherungseinheit 22 ein, die das zeitliche Eintreffen mit dem in der Magic 48 angegebenen Zeitintervall vergleicht. Außerdem überprüft sie den Zähler 50 anhand der in der Magic 48 angegebenen Zählerinformation. Diese besagt in dem dargestellten Ausführungsbeispiel, dass der Zähler mit jeder Entsicherungsinformation 46 um eins weiter hoch zählt. Auf diese Weise stellt die Sicherungseinheit 22 bei jedem empfangenen Entsicherungspaket 46 fest, ob zwischenzeitlich jedes gesendete Paket 46 empfangen wurde oder ob Pakete 46 verloren gingen.
Die Entsicherungsinformation 46 wird wiederholungsfrei von der Autorisierungseinheit 32 an die Entsicherungseinheit 22 gesendet. Hierfür wird ein UDP-Protokoll verwendet, das ein retry-freies Protokoll ist. Möglich ist auch ein anderes User Data Protocol ohne Retry, oder ein anderes Private Protocol, wobei die Magic ohne einen Header direkt den Beginn des entsprechenden Frames markieren kann. Die Entsicherungsinformation 46 wird als Broadcast von der Autorisierungseinheit 32 über dessen UDP-Port 56 in die Datenverbindung 36 gesendet. Die Entsicherungsinformation 46 erreicht somit alle Startgeräte 2, deren Entsicherungseinheiten 22 die Information über ihren UDP-Port 56 empfangen.
Die Kommandoeinheit 28 hingegen steuert den Start des Flugkörpers 4 über ein übliches TCP/IP-Protokoll über einen TCP-Port 58 der Kommandoeinheit 28. Daten von der Kommandoeinheit 28 werden über einen entsprechenden TCP-Port 58 der Steuereinheit 10 empfangen.
Ohne die entsprechende Eingabe des Bedieners 03 in das Eingabemittel 34 sendet die Autorisierungseinheit 32 den Entsicherungszustand 52 "gesperrt" beziehungsweise "disabled". Die Entsicherungseinheit 22 empfängt diesen Entsicherungszustand 52 und hält durch ein entsprechendes Signal auf der Signalverbindung 24 das UND-Gatter 16 und damit die Signalverbindung 12 zwischen der Steuereinheit 10 und der Starteinrichtung 6 unterbrochen. Selbst wenn die Steuereinheit 10 einen Start eines Flugkörpers 4 steuern würde, so würde der Start des Flugkörpers 4 durch die unterbrochene Signalverbindung 12 unterbleiben. Auch bei einer Störung der Datenverbindung 36 bleibt die Signalverbindung 12 - unabhängig vom Entsicherungszustand 52 - unterbrochen. Denn die Sicherungseinheit 22 erkennt die Störung durch beispielsweise fehlende Datenpakete der Entsicherungsinformation 46 und schaltet automatisch das UND-Gatter 16 auf Unterbrechung.
Zum Starten des Flugkörpers 4 gibt der Bediener 03 die Entsicherung durch eine entsprechende Eingabe im Eingabemittel 34 frei. Die Autorisierungseinheit 32 verändert den Entsicherungszustand 52 des nächstfolgend gesendeten Datenpakets bzw. der nächstfolgend gesendeten Entsicherungsinformation 46 auf "entsichert" beziehungsweise "enabled". Das Datenpaket wird von der Sicherungseinheit 22 empfangen und - bei störungsfreiem vorherigem Empfang der Datenpakete beziehungsweise Entsicherungsinformationen 46 - die Sicherungseinheit 22 gibt das UND-Gatter 16 frei, sodass die Signalverbindung 12 das UND-Gatter 16 ununterbrochen passieren kann. Ein Start des Flugkörpers 4 kann nun durch die Kommandoeinheit 28 beziehungsweise den Bediener 02 gesteuert werden.
Hierzu erhält der Bediener O1 ein entsprechendes Signal, sodass er den Schalter 20 umlegt und somit die Unterbrechung der Signalverbindung 18 durch den Schalter 20 aufhebt. Dass zweite UND-Gatter 16 wird entsperrt und die Signalverbindung 12 ist durchgängig von der Steuereinheit 10 zur Starteinrichtung 6 zur Datenübertragung freigeschaltet. Die Kommandoeinheit 28 steuert nun den Start über die Datenverbindung 36, die Steuereinheit 10 empfängt das Startsignal und steuert die Starteinrichtung 6 entsprechend an, die den betreffenden Flugkörper 4 aus dem Kanister 8 abfeuert. Alternativ kann der Bediener O1 die Entsicherung der Starteinrichtung 6 bereits vor der Autorisierung durch den Bediener 03 und insbesondere auch bereits vor der Steuerung durch den Bediener 02 vornehmen. Die Starteinrichtung 6 ist nun für eine Steuerung durch die Kommandoeinheit 28 bei Freigabe durch die Autorisierungseinheit 32 vorbereitet.
Ist der Start des Flugkörpers 4 durch die Autorisierungseinheit 32 bereits freigegeben und die Signalverbindung 12 zwischen Steuereinheit 10 und Starteinrichtung 6 durchgängig, so kann es vorkommen, dass die Datenverbindung 36 gestört wird, im schlimmsten Fall durch einen unautorisierten Eingriff einer weiteren Partei. Hierbei gehen Datenpakete der Entsicherungsinformation 46 verloren, sodass die Sicherungseinheit 22 anhand des Zählers 50 das Fehlen von Entsicherungsinformation 46 erkennt. Dies geschieht sehr schnell, da die Sicherungseinheit 22 die Sendefrequenz der Entsicherungsinformation 46 kennt. Fehlt mehr als eine vorbestimmte Anzahl von Datenpaketen 46, insbesondere nur ein einziges, so sperrt die Sicherungseinheit 22 die Signalverbindung 12. Liegt beispielsweise nach dem letzten korrekten Empfang der Entsicherungsinformation 46 nach Ablauf des 1,8-fachen des Sendeintervalls die nächstfolgende Entsicherungsinformation 46 nicht vor, so sperrt die Sicherungseinheit 22 die Signalverbindung 12. Das Fehlen auch nur eines einzigen Datenpaket 46 wird somit erkannt und der Abschuss des Flugkörpers 4 wird durch das Unterbrechen der Signalverbindung 12 unterbunden.
Es muss nun eine Entsicherung der Sicherungseinheit 22 erfolgen, die jedoch nur vom Bediener 03 und/oder durch den Bediener 02 der Kommandoeinheit 28 vorgenommen werden kann. Hierzu sendet die Sicherungseinheit 22 ihren eigenen Zustand an die Kommandoeinheit 28. Dies kann über die Steuereinheit 10 und damit über ein reguläres TCP-Protokoll erfolgen. Die Übersendung des Zustands der Sicherungseinheit 22 an die Kommandoeinheit 28 erfolgt ebenfalls regelmäßig. Der Zustand enthält die Angabe des zuletzt empfangenen Entsicherungszustands 52. Außerdem enthält der übersandte Zustand der Sicherungseinheit 22 Angaben darüber, ob der Datenverkehr zwischen der Autorisierungseinheit 32 und der Sicherungseinheit 22 störungsfrei verlief. Störungen durch beispielsweise Unregelmäßigkeiten im Zähler oder Unregelmäßigkeiten in der Plausibilität (CRC) führen zu einem Störungszustand.
Der entsprechende Zustand wird auf einer Anzeigeeinheit 58 der Eingabe des Eingabemittels 30 angezeigt, beispielsweise in Form einer Ampel, wie in FIG 1 angedeutet ist. Eine Farbe bedeutet störungsfreie Datenübermittlung und entsicherter Entsicherungszustand 52. Eine andere Farbe bedeutet beispielsweise einen störungsfreien Datenverkehr und ein gesicherter Entsicherungszustand 52. Eine dritte Farbe zeigt eine Störung in der Datenübermittlung an und kann zusammen mit den anderen beiden Farben auftreten. Eine Störung wird nun vom Bediener 02 erkannt, und der Bediener 02 kann entscheiden, ob er die Sicherungseinheit 22 wieder in einen störungsfreien Zustand zurückversetzen will oder ein Starten des Flugkörpers 4 unterbunden bleiben soll. Ein entsprechendes Kommando kann über die Kommandoeinheit 28 und die Steuereinheit 10 an die Sicherungseinheit 22 gegeben werden. Diese versetzt sich in einen störungsfreien Zustand und überprüft, ob die als nächstes empfangene Entsicherungsinformation 46 sowohl im Zähler 50 korrekt als auch plausibel ist. Ist dies der Fall, bleibt sie in ihrem regulären Zustand. Liegt die Unregelmäßigkeit weiter vor, schaltet sie wieder in einen Störungszustand oder verweigert die Durchführung des Entstörungskommandos von der Kommandoeinheit 28 und sendet das entsprechende Signal zurück an die Kommandoeinheit 28.
Ebenfalls ist es möglich, dass eine Statusanfrage vom Kommandostand 26 beziehungsweise der Kommandoeinheit 28 aktiv an die Sicherungseinheit 22 oder die Steuereinheit 10 gesendet wird. Dies kann in Form eines sogenannten Echos erfolgen, sodass eine Unterbrechung der Datenverbindung 36, die länger als eine vorbekannte Zeitdauer ist, bereits durch das Echo erkannt wird. Ansonsten kann die Übertragung des Zustands der Sicherungseinheit 22 wie oben beschrieben erfolgen.
Außerdem sendet die Sicherungseinheit 22 Information an die Autorisierungseinheit 32. Diese Information wird auf gleichem Wege übersandt, wie die Entsicherungsinformation 46, nämlich in UDP-Protokoll oder einem entsprechenden Protokoll und über die Datenverbindung 36. Diese Information beinhaltet eine modifizierte Entsicherungsinformation in einem Datenpaket, das analog wie das Datenpaket der Entsicherungsinformation 46 aufgebaut ist. Die modifizierte Entsicherungsinformation umfasst ebenfalls eine Magic, die jedoch gegenüber der zuletzt empfangenen Magic 48 invertiert ist. Weiter wird der Entsicherungszustand 52 gesendet und ein Zähler 50. Zusätzlich zur ebenfalls gesendeten Prüfinformation wird außerdem der eigene Zustand gesendet, sodass die modifizierte Entsicherungsinformationen in einem Datenpaket entsprechend fünf und nicht nur vier Abschnitte aufweist.
Die Autorisierungseinheit 32 überprüft, analog wie die Sicherungseinheit 22, die empfangene modifizierte Entsicherungsinformation sowohl auf Plausibilität als auch auf den Zählerstand. Wird eine ungestörte Datenübermittlung festgestellt, analog zur Durchführung der Sicherungseinheit 22, kann ein entsprechendes Signal auf einer Anzeigeeinheit 60 des Eingabemittels 34 angezeigt werden. Der Bediener 03 ist nun sowohl über den Zustand der Sicherungseinheit 22 als auch über den Zustand der Datenverbindung 36 informiert. Liegt eine Störung der Sicherungseinheit 22 vor, so kann er diese über sein Eingabemittel 34 beheben, analog zum beschriebenen Entsichern durch den Bediener 02. Dies geschieht vorzugsweise über das Senden eines entsprechenden Signals von der Autorisierungseinheit 32 an die Kommandoeinheit 28, die, wie oben beschrieben, die Zurückversetzung der Sicherungseinheit 22 in den regulären Zustand über die Steuereinheit 10 veranlasst. Die Sicherungseinheit 22 reagiert wie oben beschrieben.

Bezugszeichenliste

2: Startgerät
4: Flugkörper
6: Starteinrichtung
8: Kanister
10: Steuereinheit
12: Signalverbindung
14: Sperreinrichtung
16: UND-Gatter
18: Signalverbindung
20: Schalter
22: Sicherungseinheit
24: Signalverbindung
26: Kommandostand
28: Kommandoeinheit
30: Eingabemittel
32: Autorisierungseinheit
34: Eingabemittel
36: Datenverbindung
38: Sender
40: Empfänger
42: Ethernet Switch
44: MAC
45: Startinformation
46: Entsicherungsinformation
48: Magic
50: Zähler
52: Entsicherungszustand
54: Prüfcode
56: UDP-Port
58: TCP-Port
60: Anzeigeeinheit

O1: Bediener
02: Bediener
03: Bediener

Claims

Verfahren zum Starten eines Flugkörpers (4) aus einem Startgerät (2), bei dem eine Datenverbindung (36) zwischen einer Steuereinheit (10) des Startgeräts (2) und einem vom Startgerät (2) entfernt angeordneten Kommandostand (26) aufgebaut wird und ein Start des Flugkörpers (4) vom Kommandostand (26) über die Datenverbindung (36) gesteuert wird,
dadurch gekennzeichnet,
dass eine Sicherungseinheit (22) über die Datenverbindung (36) Entsicherungsinformation (46) empfängt und eine Signalverbindung (12) zwischen der Steuereinheit (10) und einer Starteinrichtung (6) des Flugkörpers (4) entsperrt.
Verfahren nach Anspruch 1,
dadurch gekennzeichnet,
dass die Sicherungseinheit (22) die Entsperrung für eine vorgegebene Zeitdauer aufrechterhält und nach Ablauf der Zeitdauer die Signalverbindung (12) zwischen der Steuereinheit (10) und der Starteinrichtung (6) wieder sperrt.
Verfahren nach Anspruch 1 oder 2,
dadurch gekennzeichnet,
dass die Entsicherungsinformation (46) wiederholt über die Datenverbindung (36) zur Sicherungseinheit (22) gesendet wird, wobei das Wiederholungsintervall kleiner ist, als eine vorgegebene Zeitdauer, nach der die Sicherungseinheit (22) die Signalverbindung (12) zwischen der Steuereinheit (10) und der Starteinrichtung (6) wieder sperrt.
Verfahren nach einem der vorhergehenden Ansprüche,
dadurch gekennzeichnet,
dass Entsicherungsinformation (46) im IP/UDP-Format an die Sicherungseinheit (22) gesendet wird.
Verfahren nach einem der vorhergehenden Ansprüche,
dadurch gekennzeichnet,
dass die Entsicherungsinformation (46) im ethernet frame private Protokoll über die Datenverbindung (36) gesendet wird.
Verfahren nach einem der vorhergehenden Ansprüche,
dadurch gekennzeichnet,
dass die Entsicherungsinformation (46) einen Datensatz umfasst, der einen Sicherungszustand (52), einen Zähler (50) und eine Prüfinformation (54) enthält.
Verfahren nach einem der vorhergehenden Ansprüche,
dadurch gekennzeichnet,
dass die Entsicherungsinformation (46) wiederholt über die Datenverbindung (36) zur Sicherungseinheit (22) gesendet wird und einen Zähler (50) enthält, der bei jeder Wiederholung verändert wird, und die Sicherungseinheit (22) anhand des Zählers (50) einen lückenlosen Empfang der Abfolge der Wiederholungen überprüft und bei Fehlen einer Wiederholung die Signalverbindung (12) zwischen der Steuereinheit (10) und der Starteinrichtung (6) des Flugkörpers (4) sperrt.
Verfahren nach einem der vorhergehenden Ansprüche,
dadurch gekennzeichnet,
dass die Steuerung des Starts des Flugkörpers (4) von einer Kommandoeinheit (28) des Kommandostands (26) erfolgt und die Entsicherungsinformation (46) unabhängig von Prozessen der Kommandoeinheit (28) von einer Autorisierungseinheit (32) außerhalb des Kommandostands (26) erzeugt wird.
Verfahren nach einem der vorhergehenden Ansprüche,
dadurch gekennzeichnet,
dass ein Start des Flugkörpers (4) ausschließlich nach einer zumindest dreifachen Entsicherung erfolgt, einer Entsperrung der Signalverbindung (18) zwischen der Steuereinheit (10) und der Starteinrichtung (6) des Flugkörpers (4) durch ein Schaltersignal eines Bedieners (O1) des Startgeräts (6), einer Entsperrung der Signalverbindung (12) zwischen der Steuereinheit (10) und der Starteinrichtung (6) des Flugkörpers (4) durch die Sicherungseinheit (22) und einer Entsicherung durch die Steuereinheit (10) des Startgeräts (2).
Verfahren nach einem der vorhergehenden Ansprüche,
dadurch gekennzeichnet,
dass die Sicherungseinheit (22) über die Steuereinheit (10) des Startgeräts (6) einen Statusreport an den Kommandostand (26) sendet.
Verfahren nach einem der vorhergehenden Ansprüche,
dadurch gekennzeichnet,
dass der Kommandostand (26) eine Statusanfrage an die Sicherungseinheit (22) sendet, die von der Steuereinheit (10) und/oder der Sicherungseinheit (22) direkt beantwortet wird.
Verfahren nach einem der vorhergehenden Ansprüche,
dadurch gekennzeichnet,
dass die Sicherungseinheit (22) eine modifizierte Entsicherungsinformation über das gleiche Protokoll wie die Entsicherungsinformation (46) an eine Autorisierungseinheit (32) zurücksendet.
Startgerät (2) zum Starten eines Flugkörpers (4) mit einem Flugkörperbehälter (8), einer Steuereinheit (10) zum Steuern des Starts und zum Herstellen einer Datenverbindung zwischen der Steuereinheit (10) und einem Kommandostand (26),
gekennzeichnet
durch eine Sperreinrichtung (14) in der Signalverbindung (12) zwischen der Steuereinheit (10) und einer Starteinrichtung (6) des Flugkörpers (4) und eine mit dem Datenverbindung (36) verbindbare Sicherungseinheit (22), die signaltechnisch mit der Sperreinrichtung (14) verbunden ist.