专利名称：在医疗和/或诊断设备的控制系统中识别错误的方法
技术领域：
本发明涉及一种在医疗和/或诊断设备的控制系统中识别错误的方法。本发明此 外还涉及一种程控医疗和/或诊断设备。
背景技术：
程控医疗和/或诊断设备广泛应用于现代诊断与医疗领域。由于部分控制及运动 步骤错综复杂，因此这些设备又被称为机器人，特别是其中所用的控制系统与工业用机器 人的控制系统在原理上非常相似。在安全关键应用(如医疗技术)中使用这类机器人，对 系统安全有极高的要求。必须确保可以在机器人发生故障时能够对该故障加以识别，并将 机器人转入安全状态。举例而言，机器人停机就是一种安全状态。为此须在关键的软、硬件 组件运行时对它们的正确机能进行检验，从而检测出故障所在。一种实现方式是对安全关键组件进行冗余设计。接着持续比较输出值与标称值， 当二者存在偏差时就可推断出其中的某个组件中发生了故障。于是系统可通过适当的措施 转入安全状态。采用这种设计的机器人系统有极高的计算要求。特别是关键的软件组件会 在计算时间和存储空间方面有较高的资源要求。这种设计的另一缺点是，必须确保冗余组 件之间的相对独立性。而那些会导致产生额外硬件成本的功能也是弊端之一。
发明内容
本发明的目的是在识别控制系统错误和/或避免控制系统出错方面提供一种改 进的方法，这种方法没有上述缺点。本发明的目的通过一种具有权利要求1所述特征的方法而达成。根据本发明，除 了对真实数据进行处理的工作模式外还设有检验模式，所述检验模式是为所述控制系统的 安全关键组件提供来自于检验数据集的检验数据，并对该组件进行检验。也就是用检验数 据进行试运行，以此来检验控制系统的安全关键组件。这种组件特定而言是单通道非冗余 组件。所述控制系统的关键组件中包括用于实施本文所述各处理步骤的控制程序。所述方法用于在医疗和/或诊断设备的控制系统中识别和/或排除故障，特别是 用于这类治疗或诊断设备的电动调节系统(例如用于将治疗或诊断单元或患者检查台送 入明确标定位置的机器人系统)的控制系统中识别和/或排除故障。“正常工作模式”是指 一种对所述调节系统进行实际且真实的调节的操作模式。“检验模式”是指一种控制系统仅 对存储在存储器内的、与可能的真实值相符的检验数据进行处理，并对其间产生的输出数 据进行检验的操作模式。将在检验模式下测定的输出数据与又称“参考数据”的标称值进 行比较。这些标称值特定而言是存储检验数据。当在检验模式下测定的输出数据与存储检 验数据之间存在偏差且该偏差达到了预定值时，通过上述方式就可识别到程序错误和/或 设备错误。因此，本发明提供了一种可以避免由于对关键组件进行冗余设计而产生前文所述 缺点的可能性。对程序流程的正确工作机能的验证能以周期性和/或非周期性的方式在运行过程中或开始运行之前进行。通过本发明的解决方案特定而言可检测出随机错误(例如存储器溢出、位倒置 (Kippen von Bits)等等)。所述检验数据集优选包含有值对形式的检验数据，即在真实操作过程中作为数据 出现的输入值和对应于这些输入值的用作参考数据的输出值，这些输出值是由安全关键组 件在正确工作模式下产生的。在检验模式下，每次为该组件提供一个输入值，将由该组件计 算出来的输出值与存储在所述检验数据集中的对应于这个输入值的输出值进行比较。也就 是用检验模式模拟真实操作，当计算数据与预期的存储数据之间存在偏差时，就可推断出 现了错误。由所述组件处理的数据在工作模式下有利地是一调节系统的位置数据，这些位置 数据由所述控制系统处理，特别是被传输给一医疗控制系统以进行标称数据与实际数据的 比较。也就是说，所述检验模式是对位置数据的安全关键计算进行检验，以免所述医疗控制 系统以计算错误的实际数据为基础进行工作。这会导致医疗控制系统在错误的位置信息基 础上向机器人控制装置发出错误的控制指令，从而不再对(例如)患者或治疗或诊断单元 (例如X射线源)进行必要的高精度定位。另一种可能的结果是，所述医疗控制系统无法对 错误的定位加以识别。需要加以监测的安全关键组件有利地是一处理模块，输入端位置数据在这个处理 模块中接受坐标转换处理。所述调节系统优选是一多轴(工业用)机器人。这个机器人的 调节电动机(Verstellmotoren)由所述控制系统(即机器人控制装置)控制。所述机器人 控制装置在此一般是用所述调节系统的轴相关坐标进行计算。而所述医疗控制系统规定的 通常是笛卡尔位置数据。因此，机器人控制装置内部会通过所谓的正向转换来将轴相关坐 标转换成笛卡尔坐标。这种转换是在所述安全关键组件中进行。优选在首次启动系统之前在工作模式下生成用于待监测组件的检验数据集。在用 “真实”数据首次调用安全关键功能之前，先借助检验数据集对正确工作模式进行检验。作 为替代或补充方案，可有利地在设备以正确工作模式进行工作期间产生所述检验数据集。 也可以从外部源读入正确的检验数据或整个检验数据集。所述检验模式有利地不断重复(例如，连续多次和/或按周期性时间间隔)实施， 从而实现系统持久监测。也就是说，优选以某种方式实施所述检验模式，使得所述安全关键 组件的所有相关路径都得到至少一次的监测。所述检验模式的实施次数远多于真实的工作 模式。优选在与可用计算能力匹配的情况下，例如以周期性和/或非周期性的方式实施 所述检验模式。借此可避免真实的操作因检验模式而速度减慢或受到影响。将用输入数据计算出来的结果与所存储的输出值进行比较。当二者间的偏差超过 一阈值时，就可推断所述关键组件发生了故障。视情况可以在识别到错误时产生一报警信 号和/或将设备转入安全状态。视情况也可产生其他信号，将该信号存储起来用于对所出 现的错误类型和/或出错频率进行后续分析。所述方法的一种有利方案的特征在于，所述检验数据具有针对所述检验模式定义 的错误值。通过这种方式也可对这种检验方法本身进行检验，因为错误识别方法同样具有 可检验性。因此，这个步骤的作用在于对系统的错误识别功能进行检验。
根据本发明，上述目的还通过一种根据权利要求11所述的医疗和/或诊断设备而 达成。与所述方法相关的优点和优选方案相应也适用于所述设备。
下面借助附图所示的优选实施例对本发明进一步的特征进行详细说明，但本发明 并不限于这些实施例，其中图1为医学诊断或治疗设备的控制总流程图；以及图2为控制系统的分区框图。
具体实施例方式图1和图2是一种在医疗设备2中识别错误的方法的可行实施例。根据一种特别 优选的实施方式，这种系统用于可靠验证一个经绝对精确测量的机器人的绝对精确位置。 在这个应用领域，需要加以监测的安全关键功能是在机器人控制装置上计算出来的一绝对 精确的机器人模型。就高精度定位要求而言，目前的已知控制装置只有通过附加测量系统才能验证机 器或机器人的位置，因为只有通过这种方式才能可靠检验机器人是否精确处于控制装置所 规定的位置。在所谓绝对精确的机器中，只有借助附加测量系统(例如激光跟踪仪或坐标 测量机)才能验证所到达的绝对精确位置。所述方法无需使用附加测量系统即可保证一个 绝对精确的机器人到达绝对精确位置。借此可大幅降低成本。图1和图2中的流程图是一 种具体实现方法。验证要到达的位置的方法又称“健康检查”，指的是需要加以监测的安全关键组件 的正确工作方式，即它的“健康”。因此，这种健康检查构成一项监测功能。在图1所示的框图中，标以“TCS(Therapy Control System，医疗控制系统)”的右 侧方块表示医疗设备2的整个控制装置部分，下称“医疗控制系统10”。举例而言，这个医 疗控制系统的功能是为计算机断层摄影检查规定运动数据并对这些数据进行检验。标以“RC(Robot Control，机器人控制装置)”的中间较大方块表示真正意义上的 控制装置的整个区域，因而是更加靠近机器的区域，下称“控制系统20”。这个控制装置的 功能是对真正意义上的调节系统30，特别是机器人的调节电动机31进行控制。借助由医疗控制系统10规定的标称数据102产生控制系统20的驱动指令202，这 些驱动指令穿过所谓的路径规划204后经进一步处理以产生用于电动机31的控制信号S。 其中，通过所谓的反向转换将一般形式为笛卡尔坐标的标称数据102转换成一般情况下采 用多轴设计的机器人的轴相关坐标。控制系统20的这个区域又称“调节通道22”。接着，控制系统10查询104以获取调节系统30的当前实际位置，该查询在控制系 统20的监测通道24中经中间步骤206、208的进一步处理，并被传输给调节系统30的安全 检测系统32。在此过程中，每次查询均被分配一个所谓的序号作为明确的标识。安全检测系统32会以响应该查询的形式向控制系统20提供大量有关调节系统30 的当前状态(特别是当前位置)的数据D。所述数据例如是有关各机器人部分或机器人轴 当前实际位置的轴相关位置数据、与之相应且对应于存储标准模型的笛卡尔坐标，以及所 谓的校验和，借助校验和可对数据D的一致性或似真性进行检验。当前实际数据由相应的
5序号标识。监测通道24的处理模块210 —般是对所提供的数据进行计算处理，经处理的数据 视情况通过缓冲器209传输到控制系统10的比较模块106。比较模块106将实际数据与此 前所规定的标称数据进行比较。处理模块210可以是机器人控制装置或医疗设备的组成部 分，或者是医疗设备的组件。在处理模块210中进行的这种数据处理是安全关键的，因为仅采用单通道而未采 用冗余设计。为了对这种安全关键处理进行检验，在控制系统20的验证层26内的验证模 块220中经过所谓的“健康检查”对处理模块210的功能进行检验。为此，存储器222中存 储有列表形式的检验数据集T(E，A)。这个数据集是在真实的工作模式首次启动之前生成， 包含有值对形式的检验数据，即输入值(E)和用于处理模块210的预期输出值(A)。此外验证层26内还设有测量模块224，这个测量模块向控制系统10传输其他特性 数据以便进行标称数据与实际数据的比较。这些特性数据例如是用于各机器人轴的电动 机31的电动机电流；负荷数据，例如位于由调节装置驱动的患者检查台上的患者的体重； 或工具数据，例如包含与弯曲、扭转等相关的数据。下面结合图2对如何借助验证模块220实施所述检验模式进行详细说明处理模块210内对数据D的处理分多个步骤进行，即步骤230-238。第一步230是 检验校验和，以检验数据(D)的一致性。接下来的第二步232是高精度的正向转换，即将轴 相关坐标转换成笛卡尔坐标。随后的第三步234是通过将第二步得到的这些笛卡尔坐标与 安全检测系统32所提供的笛卡尔坐标比较，以对第二步得到的这些笛卡尔坐标进行似真 性检查。第四步236是依照控制系统10所基于的标准进行进一步的坐标转换。最后的第 五步238是为下一次的一致性或似真性检查再生成一次校验和，以确保数据的可靠性。为了实施上述检验模式，验证模块220为处理模块210提供输入值E，读出经计算 得到的输出值A'，并通过将这些输出值与存储在存储器222中的输出值A比较来对这些输 出值A'进行检验。这种检验模式优选在首次真实的工作模式之前实施，也可在工作模式实施期间或 在多个连续实施且对调节机构30进行真实控制的工作模式之间实施。验证模块220通过 进行周期性的比较或持久比较来监测安全关键处理模块210的工作能力。所述检验模式优 选在处理器利用率较低的时段实施，以便能对现有的计算能力进行最佳利用且避免正常的 工作模式受到影响。当验证模块220识别到错误时，整个调节系统30都会转入安全状态。
权利要求
一种识别错误的方法，其用于医疗和/或诊断设备(2)的控制系统(20)中，特别是用于所述医疗和/或诊断设备(2)的调节系统(30)的控制系统(20)中，其中，所述控制系统(20)在正常工作模式下处理数据(D)，所述控制系统(20)有检验模式，在所述检验模式下为所述控制系统(20)的一安全关键组件(210)提供来自于一检验数据集T(E，A)的检验数据(E)，并对所述安全关键组件进行检验。
2.根据权利要求1所述的方法，其中，所述检验数据集Τ(Ε，Α)包含值对形式的检验 数据，即在真实操作过程中作为数据出现的输入值(E)和由所述安全关键组件在正确工作 模式下产生的相应输出值(A)，其中，在所述检验模式下将所述安全关键组件产生的输出值 (A')与所述检验数据集T (E，A)的存储输出值(A)进行比较。
3.根据权利要求1或2所述的方法，其中，所述工作模式下的数据涉及的是所述调节系 统(30)的真实位置数据(D)，所述位置数据由所述控制系统(20)处理并被传输给医疗控制 系统(10)，在所述医疗控制系统中，经处理的所述位置数据特定而言接受标称数据_实际 数据比较。
4.根据权利要求3所述的方法，其中，所述安全关键组件是一处理模块(210)，所述输 入端位置数据(D)在所述处理模块中接受坐标转换处理。
5.根据上述任一权利要求所述的方法，其中，在所述设备(2)以正确工作模式进行工 作期间产生所述检验数据集T(E，A)或者由一外部源提供所述检验数据集T(E，A)。
6.根据上述任一权利要求所述的方法，其中，不断重复实施所述检验模式。
7.根据权利要求6所述的方法，其中，在与当前可用的空闲计算能力匹配的情况下实 施所述检验模式。
8.根据上述任一权利要求所述的方法，其中，当在所述检验模式下产生的输出值 (A')与所述标称值(A)之间存在偏差时，就表示已识别到故障。
9.根据上述任一权利要求所述的方法，其中，识别到故障时，产生一报警信号和/或将 所述设备转入安全状态。
10.根据上述任一权利要求所述的方法，其中，所述检验数据(E，A)具有针对所述检验 模式定义的错误值，以便对错误识别能力进行检验。
11.一种程控医疗和/或诊断设备(2)，其用于实施根据上述任一权利要求所述的错误 识别方法。全文摘要
本发明涉及一种识别错误的方法，其用于医疗和/或诊断设备(2)的控制系统(20)中，特别是用于所述医疗和/或诊断设备(2)的调节系统(30)的控制系统中，其中，所述控制系统在正常工作模式下处理数据，所述控制系统(20)有检验模式，在所述检验模式下为所述控制系统(20)的一安全关键组件提供来自于一检验数据集T(E，A)的检验数据(E，A)，并对所述安全关键组件进行检验。
文档编号G06F19/00GK101911082SQ200880124212
公开日2010年12月8日 申请日期2008年12月15日 优先权日2008年1月7日
发明者安德烈亚斯·哈格瑙尔, 托尔斯滕·哈森察尔, 托比亚斯·奥尔特迈尔, 泰尔·恩格尔曼, 洛伦茨·贝韦格, 迪尔克·雅各布, 迪特马尔·恰尼特, 马蒂亚斯·米尔豪泽 申请人:西门子公司;库卡罗伯特有限公司