专利名称：在显示器上表示安全相关信息的方法及应用该方法的设备的制作方法
技术领域：
本发明涉及一种安全相关信息的安全地表示或显示的方法，尤其是，为产生图像数据，通过检测信息计算中的安全关键差错，该方法包括如下步骤将输入参数的至少一个记录值输入处理器，进行将输入参数转变为表示输入参数的图像数据序列的计算机处理， 传送图像数据序列至显示器并在该显示器上表示或显示图像数据序列。
背景技术：
目前，TFT显示器在许多应用领域上越来越多地被用做显示单元，例如，在控制及监控系统上的应用。除上述例子之外，TFT显示器更常用于显示安全关键信息，例如在火车控制或飞机领域。通常，这种单元基于微控制器或装有运行在操作系统上的软件的个人计算机。如果显示器只是看起来像正常运行或看起来像示出了准确的(一致的)信息，但实际上不能表示显示单元所提供的真实(实际的)信息，例如不是火车的实际速度，那么故障被看做是安全关键故障。显示器仅示出了一个看似准确的值，然而，这些故障本身不能被观测者检测到。应用该方法的现有方法及装置包括处理器，所述处理器产生对应于输入参数的图像数据序列，例如，图像或定向向量、以在显示器上示出图像数据序列。显示器可以是任一设计，例如，监控器或TFT，目前常采用后一种。由于本发明与所用的显示器无关，可在任一可用的技术范围内考虑。借助类似低压差分信号接口(LVDQ的通用数字接口，处理单元被连接于显示器(面板)。根据本发明的校验方法和装置不包括显示器，但是本文中的系统可看做是完美无缺的。这基于假设显示器具有典型的极低的故障率，尤其是所述显示器面板与那些导致上文所述的安全相关差错相关的差错。然而，经系统记录并处理的输入参数值准确地在显示器上显示，这一点是极端重要的。应用该方法的常用方法和设备基于假设显示故障结果是明显错误的图像，从而对于观测者是明显的。所显示的数据例如可以不是常量，或者可以被中断，例如可以改变它们的颜色，图形可以被取消或用扭曲形态示出。另外，应注意到，显示器本身的故障或差错也将导致数据的可见的错误表示。由于产生数字图像数据的本方法和装置内在的复杂性，该方法和装置一般非常容易出错。差错可发生在计算的每个单独步骤，例如，用一个有缺陷的微处理器。它们也可发生在图像控制器、单个内存模块、电源供应或显示应用软件，尽管，这些甚至可源于图像软件库或专用软件所用的其它软件库。因此，安全测试或整个系统的认证非常复杂，必须总是包括所有部件，硬件、固件和所有涉及到的软件，包括操作系统。甚至更多的包括软件的系统部件的任一这样的更新或修改/变更需要整个系统的新认证。尽管根据现有技术的方法和装置是十分必要的，但是，从实用目的来说，这样的处理是冗长的，并且非常昂贵。从专利DE4332143A和EP0856792可了解保证图像数据的安全可视化的不同本质的方法。
发明内容
本发明的目的是提供一种用于在显示器上可靠地表示安全相关信息的改进方法和应用该方法的设备，由此很大程度上避免了上文概括的缺点，尤其是允许对系统部件简单替换或更新改造。本发明最简单的实施方式是，该任务通过以下步骤实现传送图像数据序列至测试单元，通过对图像数据序列计算产生测试代码(指纹)，进行安全测试，相对于多个-离散-参考代码核对测试代码；将由此识别的参考代码分配给输入参数的对应可能值；以及， 比较该值与输入参数值。优选地，在测试单元中作为集成步骤进行相对于参考代码核对测试代码的测试，即，参考代码被集成在测试单元中。然而，在简化实施方式中，该评估也可以在包括所需数据的另一部件中进行。对所属技术领域的人员来而言，显然本发明提出了一种为保证安全相关信息的可靠(安全)表示的高效和安全的方法，尤其是借助基于可视化的像素。因此，测试单元产生一个正测试结果或负测试结果，用于启动安全焦点反应。对应地，测试单元可包含图表形式的多个可数的和独立-离散-参考代码，例如，对于各自的应用是特有的。进一步来说，输入参数的每个可能值分配给每个参考代码。例如，如果该方法被用于考查或测试轨道车速度计上的显示器，例如，多个参考代码可表示步长为lkm/h的不同的速度。测试代码计算之后，安全测试提供了比较测试代码与现存的参考代码的“查阅”形式的核对。如果各自的参考代码不能被确定，安全焦点反应在该阶段可能已经被启动。实际上，类似于控制室中的复杂表示，这也许已经区分通过在屏幕上的可视化所反映的监控系统的禁止的操作状态。然而，如果各自的参考代码被识别到，测试单元将对应的可能值分配给输入参数，例如，基于上文提到的图表。随后，将该识别的输入参数有效值与实际输入参数核对，如果必要的话容许公差。当安全测试得出负结果，随后，安全相关反应可以被启动。系统地，参考代码特征在于，为了实现几种显示条件可量化的差别以及对应的未知的显示条件的可量化差别，对所要求的故障抑制，具有充分的分隔以及海明距离。原则上，对观测者明确指出安全重要故障的所有方法适用于安全焦点反应。例如， 应用相关的可能的安全焦点反应可以是，完全关闭显示器或一定程度上关闭显示器，提供数据的分配，掩盖或扭曲，关闭计算机单元，从而，保证其安全条件或传递安全重要故障至上位单元。因此，测试单元实现了计算机单元的测试完全独立于计算机单元，所述计算机单元采用特别简单的装置，并且基于惊人发现所有安全相关的系统故障通过测试单元的安全测试已经被检测到。因此，该方法及应用该方法的设备完全独立于计算机，所述计算机产生图像数据， 且包括，例如，处理器，图形卡等系统部件，也就是说，当前的计算机技术，尤其也指操作系统。因此，本发明包括令人惊异的简单装置，然而，公开了在监视下的复杂计算装置的所有安全相关故障。
与现有技术水平相反，当替换计算机部件和常规更新软件时，因为通过测试单元中确定要显示的所有或部分数据所实现的安全测试的引入，所以根据所需的安全完整性等级(SIL)的安全认证不再是必需的。随后，在不危害现有安全认证条件下，根据本发明的方法常常允许图像数据产生的计算机单元内采用最新技术。简而言之，通过与要显示的输入参数值进行对比，本发明实现了图像数据序列的尤其简单的测试。根据专家对本发明保护范围的理解，借助计算机单元、显示器及测试单元之间的通用接口要被传送的输入参数信号可以是模拟以及数字的。例如作为移位寄存器或通过编程，参考代码可通过电路实现。优选地，安全焦点反应将由测试单元自身被启动，例如，通过中断显示器的电源供应。然而，由于本发明，为启动安全焦点反应，测试单元也可以根据测试结果仅传送控制信号至另一系统部件、上位系统或处理器，例如该处理器区别于测试单元。如何产生在预操作阶段的参考代码对应的最佳图像表示，这对所属领域技术人员来说是明显的。总的来说，测试方法及把测试方法付诸实践的装置的建议不仅可以被应用于不同条件下(例如，开/关)符号的表示，也可以应用于模拟输入值的量化的可视化的表示，例如，指针式仪表或柱状图。例如，在OV至100V范围内的电压输入参数可被翻译为步长，或者，每次减少的步为IV，单独的显示表示增至101，其借助软件作为电路设备被显示。 因此，每个单独的图像示出了指针各自的准确位置。为实现生动可靠的表示，优选地，通过用高至显示器的框架速率和/或输入参数的变化率的频率进行周期性实验，执行安全测试。如果特别优选的实施方式明确确定显示条件，安全测试是充分的，限于要显示的图像表示的相关分区或段，特征在于观测者得到具体显示数据。这些可以是图像表示的对应行和列或例如圆形仪器的指针。如果相关分区外部的未监控区和相关分区内部的监控区显示不同的内容，观测者可以分辨出该区别，差错将被看做是重要安全。与之相反，如果在监控分区外部的未控制区的显示数据与在相关分区内部的监控区的显示数据彼此不同，观测者能够分辨出该偏差作为差错。几乎所有可量化的输入参数应用遵从每个描述的上文所述的要求。但显示器具体部分所示出的本文信息也可以通过本方法(其中可以应用的是，在这样的显示条件下，每个单独的文字字符或给定的文字表示)被测试。测试单元可以是单独的装置或集成在图像产生计算机单元中(与在单独的监控单元中集成一样)。软件控制的实现具有独特的优点，关于可能的平台和软件，处理器更充分独立。为获取连续容错，进一步的发展使得仅在负测试结果达到预定义次数之后启动安全焦点反应。也希望更快达到关闭显示器必要的一定阈值，是因为负测试结果被考虑为更主要因素，而不是由于正结果造成的负结果的减少。改进水平容错的一个可能方法是把安全测试结果看做正值，即使输入参数值与多个可能的允许的来自安全测试的输入参数的参考值。例如，如果监控的车辆加速，这允许在测试单元或相邻于预定义环境的所获取的“相邻”参考代码也被看做正值。当产生参考代码和进行安全测试时，因此，单独应用的相关公差的时间和/或值可以容易地被考虑到。根据本发明的方法和应用该方法的设备自然地允许处理器的输入参数被以串行方式和/或并行方式进行处理，及相对于不同测试代码产生后相对于在测试单元中不同种类的参考代码进行校验。原则上，可能在本发明的范围内提供用于独立的的显示或不同输入参数的多个独立的测试单元。如上文所述，任一接口该方法的应用及因此用于传送图像数据的所有当前方法可以应用在系统部件之间。例如，这可以是LVDS或用于在处理器和显示器之间传送数据的可比较的标准数字数据信号。为产生确定长度的测试代码，在安全测试期间的所用的编码法可以是，例如， CRC (循环冗余校验)16，CRC32或等价通用编码法。图像数据序列的不同段的安全测试可以并行进行，为保证更快速的处理，在测试单元中彼此独立。根据例子中图像数据序列的不同颜色，图像数据序列可以被看做独立的。在优选实施方式中，测试单元被设计为现场可编程门阵列(FPGA)。众所周知，这是采用数字技术的可编程集成电路，因此根据该应用提供了可编程逻辑电路。然而，也可以用 DSP控制器的形式或通过全是硬件或部分是硬件的办法来实现。本发明也涉及显示安全相关信息的安全单元，尤其是把上文权利要求提到的方法付诸实践，通过输入至少一个输入参数至处理器为转变该输入参数为图像数据序列及连接于处理器的显示器以显示图像数据序列。基于现有技术的水平，包括上文所述的现有技术的缺点，由此产生的任务通过测试单元被执行，所述测试单元具有测试代码生成器，根据该应用的多个参考代码，以及参考单元，其中，所述测试代码生成器计算出对应于图像数据序列的至少一个读出部分的测试代码。测试代码结果与现存参考代码相比较，当比较结结果为正的一致时，为参考代码结果分配输入参数的对应值，作为参考值。随后，如果安全测试结果为负值，为启动安全焦点反应，参考值相对于参考单元的内部或外部的输入参数被核对。安全测试及其测试数据的现状从外部被核实，通过包括核对值(例如，随机数)进入输入值数据传送。随后，该核对值可以被计算进入图像表示，通过图形产生计算机，常称之为个人计算机(PC)，或者，直接被转变为数据流至TFT面板，例如，作为一个或一个以上像素的比色指数值，随后，直接通过测试装置被读出或者类似于监控区被编码。与监控区代码一起，随后，这些值被传送至上层安全计算机，例如，在其中可以进行评估数据的时间测试。如果新输入值的传送和返回值的接收之间的时间滞差比可调整的预定义值大，这明确指明了该实际值不是最新的。可替换地，核对值/随机数通过图形产生单元可被翻译为二进位，随后，使多个显著的区显示在显示器上，例如，根据设定为低或高的二进位代码的特定位，切换这些区为黑色或白色。在优选实施方式中，如申请人在DE102004039498A1德国专利申请所公开的那样， 通过放置一个或一个以上的光敏传感器至TFT显示器的监控区，随后，发送所述传感器传声的输出信号至下位计算机，随后，这些像素的发光可以被核实。因此，如果显示数字是准确的，准确值也被返回至下位计算机，因此，无误差操作被识别。优选地，核对值的改变与在显示器上要显示的数据的改变同步。在另一实施方式中，核对值以位模式被传送至显示器的小区，优选传送至显示器的边界区，并在该区显示，最优选用户不能或难以看见的区。随后，该显示区被回读，并像显
7示器的其他部分的任一区被编码，或作为一个(或多个)像素(例如RGB色值)的颜色设置值，随后，从PC及显示器连接处，通过测试单元可以被回读，随后，可以被直接处理或通过代码生成器编码。例如，为核实系统的无错误操作，可以要求该核对值被返回通过测试单元或在一定时间区间内直接进入下位处理器。本发明尤其有趣的方面是，当计算机产生对应输入值的图像数据被传送时，上文所述的核对值/像素也可以用作数据容器。众所周知，TFT显示器的每个像素由RGB色彩 (红、黄、蓝)的三个下位像素组成。通过点亮下位像素，可以获取该像素的任一所需的颜色。目前，本发明用这些像素作为数据容器传送数据至显示器，数据来自下位系统或产生图像数据的计算机。例如，借助计算机和显示器之间的线路，该数据容器可用于传送参考值。 通过图形控制器，根据“不准确”的像素的值，显示器可显示该像素，但是，单独一个像素实际无关紧要，并难以被观测者注意到。像素位于显示器的外部区，并且容易被覆盖，通过用像素作为数据容器可以进一步避免对观测者的刺激。然而，该参考值当前可以直接从个人计算机及显示器的连接处被读出，并被传送至测试单元，随后，不再需要参考值依次通过个人计算机传送至测试单元。这样做具有极其重要的优势，计算机产生的图像数据及对应于图像数据的参考值借助同一频道一起被传送，并再也不可以被分离。因此，具体的参考值常常与所产生的图像数据相一致，随后，参考值与图像数据常常是同步的。容错规定，如回路及循环，涉及到参考值的传送，参考值依次通过计算机，用于对比从显示器回读的准确图像数据，随后在测试单元中被处理，这些不再是必须的，这是因为参考值和与之联系的图像数据之间不可能有差别。反之，随后，参考值借助计算机及显示器之间的连接可以被读出，最常见于LVDS，以及，随后，直接送入测试单元，优选送入比较器，其中与代码生成器所产生的测试代码进行对比。充当数据容器的该像素也可用于其他方面以改进本发明。例如，类似CRCs，该像素可以用于存储和传送安全相关数据或改变数据的区和/或测试单元监控的显示器上监控区的范围。例如，用作数据容器的像素可以传送给定例子中显示器上监管段的左上角的坐标和右下角的坐标。这意味着，通过改变在显示器上的监管段，传送用作为数据容器的像素的监管段的坐标，在操作期间，在显示器上的监管段的位置和/或大小可以被改变。
从具有根据本发明的方法和应用所述方法的设备的优选实施方式的例子的详细说明的下文描述可获取本发明更进一步的细节、优点和特征。参考以下各图图1示出了根据本发明的用于例如在机动有轨车上的PC面板的安全显示器的第一实施方式的基本构成(示意图)图2示出了根据本发明的显示器的第二实施方式的示意3示出了根据本发明的显示器的第三实施方式的示意图；以及图4示出了根据本发明所设计的显示器的第四实施方式的示意图同样的部件和对应的部件用相同的附图标记表示。
具体实施例方式图1示出了根据本发明在火车机动有轨车上应用所述方法的安全单元2的基本构
因此，标有2的安全单元具体包括个人计算机4，用于产生图像数据，且代表处理器；显示设备，所述显示设备为借助低压差分信号接口 8链接的TFT显示器6，低压差分信号接口 8包括几条线路，然而，仅示意性地示出了其中的3条线路。安全单元2还包括测试单元，测试单元被设计为现场可编程门阵列10与微控制器单元的结合体，简称为现场可编程门阵列10。例子中示出了用标号14指明的速度值(Vactual)形式的输入参数，例如，该参数可起源于遵守“安全计算机”通用安全标准和规则与个人计算机4通信的主机。该值依次通过个人计算机4并借助输入电路沈传送至安全测试单元10。可替换地，输入参数14的值也可以被直接传送至现场可编程门阵列10。个人计算机4借助显示线路36传送要显示的所述安全相关信息至TFT显示器6 的划定界限的监控区16上。所述安全相关信息以预渲染的形式被显示，因此，在TFT显示器6上清楚显示预定义的位图。借助低压差分信号接口 8的一条线路输入的TFT显示器6的高频输入信号被读出，或借助回读线路22通过现场可编程门阵列10被回读。为执行安全测试，安全测试单元10在测试代码生成器中产生用于监控区16的预渲染位图的CRC校验和，因此产生给定例子中该监控区16的“指纹”。个人计算机4所产生的每个位图具有根据现场可编程门阵列10的图表18的清楚指定的预计算的CRC校验数作为参考代码，并且为每个这些参考代码提供输入参数14的可能值。首先，安全测试单元10比较通过测试代码生成器12所计算的测试代码和根据图表18的参考代码。如果测试代码与图表18所列的参考代码相一致，随后，根据图表18的输入参数的可能值通过比较器20与储存在内存M的输入参数值进行比较。如果在处理过程中的不可接受的偏差被确定，可以借助中断线路34通过对TFT显示器6的供电线路观的中断，启动安全性故障反应。速度显示的安全相关评估的关键因素是及时显示在时间和值的允许公差范围内的对应速度值。本发明实施方式中通过现场可编程门阵列10所激活的开关关闭功能根据“闭合电路电流原理”(等价于安全相关继电器电路)运行，从而，为保持正常操作状态，测试单元需要启动激活，而当测试单元不运行/关闭(“钝化(passivation)”)时，启动安全性故障反应。根据本发明图2所示的显示器的可替换实施方式，借助反馈电路30来自在安全测试单元10中的安全测试的负的测试结果传输至上层处理器32，随后，上层处理器32启动安全焦点反应，例如使有轨车减速。可替换地，该传送也可以采用无线，当然，可用于各种信号。例如，从处理器32可以是相同的“安全”主计算机的一部分，“安全”主计算机产生的实际值14传递至个人计算机4。图3所示的简化实施方式与根据图1和图2的实施方式的区别在于，安全测试单元10基本上仅包括测试代码生成器12，测试代码生成器12为显示器6的划定界限的区16 的“指纹”产生代码。在该实施例中，在安全测试单元10的外部进行进一步的安全测试，例如，在从处理器32，也称之为“安全计算机”，因此，进一步简化了测试单元10的设计。
在图4所示的实施方式中，输入参数14没有通过个人计算机4循环。相反，输入参数14与个人计算机4产生的输入参数14的对应图像一起借助低压差分信号接口 8的显示线路36被传送，并借助线路38读出至代码生成器12，或者，为避免在输入参数14和个人计算机4所产生的图像数据之间的异步，于是，如果根据图1实施方式中输入参数14的传送时机不准确，可以借助回读线路22回读至测试单元10。本发明的范围不仅限于每个单个权利要求的对象或方法，而是扩展到这些权利要求的结合。在本文中包括发明部分，尤其是图中所示的空间形式表示的所公开的所有的对象和特征，被声明对于本发明是必要的，与现有技术水平相比，就每个权利要求或者它们的结合来说是新的。对所述领域的技术人员来说是显而易见的，本发明不限于所述具体实施方式
的显示类型，当然也可以与数据或TFT投影机一起使用。附图标记说明2安全单元4个人计算机(产生图像数据的计算机)6TFT显示面板8低压差分信号接口10安全测试单元(现场可编程门阵列)12测试代码生成器14速度值16监控区18 图表20参考单元22回读线路24 内存洸输入电路观供电电路30反馈电路32上层处理器34中断线路36显示线路
10
权利要求
1.一种安全相关信息的安全表示方法，所述方法包括，输入至少一个输入参数至处理器；进行将所述输入参数转变为表示所述输入参数的图像数据序列的计算机处理；传送所述图像数据序列至显示器(6)并在显示器(6)上表示所述图像数据序列，其特征在于，所述图像数据序列被传送至测试单元(10)；通过计算机产生所述图像数据序列的测试代码，执行安全测试；相对于多个参考代码核对所述测试代码；为识别到的所述参考代码分配所述输入参数的对应的可能值；并且将其与输入参数值核对，同时测试单元产生正测试结果或负测试结果以激发安全焦点反应。
2.根据权利要求1所述的方法，其特征在于，所述的参考代码被集成于测试单元(10)中。
3.根据权利要求1或2所述的方法，其特征在于，当安全测试得到的结果为负值时，所述安全焦点反应在所述测试单元中被启动。
4.根据权利要求1或2所述的方法，其特征在于，如果安全测试得到的结果为负值，所述安全焦点反应在与所述测试单元(10)不同的处理器中被启动。
5.根据权利要求1至4中的任一项所述的方法，其特征在于，所述安全焦点反应包括， 所述显示器的关闭。
6.根据权利要求1至5中的任一项所述的方法，其特征在于，仅在负测试结果达到预定义次数之后，所述安全焦点反应被启动。
7.根据前述任一项权利要求所述的方法，其特征在于，即使所述输入参数的值与所述输入参数的多个可能的容许参考值一致，认为安全测试是正测试结果。
8.根据前述任一项权利要求所述的方法，其特征在于，多个输入参数在处理器中被处理，对应的图像数据序列被传送至一个或多个显示器(6)并使其在所述显示器上可视，以及，对于所述图像数据序列，产生对应的测试代码并进行测试。
9.根据权利要求8所述的方法，其特征在于，多个图像数据序列的不同输入参数被表示在显示器(6)上的限定的区域(16)。
10.根据前述任一项权利要求所述的方法，其特征在于，在安全测试期间的测试代码的产生包括，CRC16、CRC32或一种等效编码方法。
11.根据权利要求7至10中的任一项所述的方法，其特征在于，不同的图像数据序列在测试单元(10)中以并行且独立的方式被测试。
12.根据前述任一项权利要求所述的方法，其特征在于，欲监控的部分受限于完整地描述欲向观测者显示的输入参数的段。
13.根据前述任一项权利要求所述的方法，其特征在于，核对值被加至所述输入参数， 所述核对值的返回被评估。
14.根据权利要求13所述的方法，其特征在于，所述核对值也被计算。
15.根据权利要求13或14所述的方法，其特征在于，充当数据容器的像素包括所述核对值。
16.根据权利要求13至15中的任一项所述的方法，其特征在于，充当数据容器的所述像素被用于影响处理。
17.根据权利要求16所述的方法，其特征在于，所述像素被用于改变所述显示器上的监控区(16)的区域和范围中的至少一个。
18.根据前述任一项权利要求所述的方法，其特征在于，所述输入的参数在来自处理器的数据流中被传送至所述测试单元(10)，所述处理器为所述显示器(6)产生所述图像。
19.根据前述任一项权利要求所述的方法，其特征在于，所述输入参数与所述特有的参考代码一起被发送至所述测试单元(10)，用于比较从当前可视化所产生的代码。
20.一种安全设备，尤其是用于根据上述权利要求之一所述的方法的应用，所述设备包括，处理器，为所述处理器供给至少一个输入参数，且将所述输入参数转变为图像数据序列；显示器(6)，所述显示器与处理器连接，且表示所述图像数据，所述设备的特征在于还包括测试单元(10)，所述测试单元包括测试代码生成器(12)、多个具体应用参考代码和参考单元(20)，其中，所述测试代码生成器(1 为图像数据序列的至少一个读出部分产生测试代码，比较由此产生的测试代码与所述现存的参考代码，如果两者彼此一致，为由此识别到的参考代码分配作为参考值的所述输入参数的对应值，随后，在参考单元00)中比较所述参考值与所述输入参数，以便在不一致的情况下，即在测试结果为负的情况下，启动安全焦点反应。
21.根据权利要求19所述的设备，其特征在于，所述测试单元(10)被设计为现场可编程门阵列。
22.根据权利要求19或20所述的设备，其特征在于，所述参考单元00)位于所述测试单元(10)的内部。
全文摘要
为实现一种用于保证安全相关信息的可靠表示的高效且安全的方法，尤其借助基于像素的可视化，所述方法包括输入至少一个输入参数至处理器；进行将输入参数转变为表示输入参数的图像数据序列的计算机处理；将所述图像数据序列传输到显示器并在显示器上表示图像数据序列，本发明提出了供给图像数据序列至测试单元；用计算产生图像数据序列的测试代码的方式进行安全测试；比较测试代码与现存的多个参考代码；对由此识别到的参考代码分配输入参数的相应的可能值；将其与输入参数值对比，产生一个正测试结果或负测试结果以启动安全焦点反应。
文档编号G06F11/07GK102473120SQ201080030506
公开日2012年5月23日 申请日期2010年7月5日 优先权日2009年7月6日
发明者索斯藤·哈斯, 霍尔格·曼茨, 鲁道夫·冈茨 申请人:德意达-沃克股份有限公司