[0001] Die vorliegende Erfindung betrifft ein Verfahren zur Überprüfung von pixelformatierten
Displaydaten zur Darstellung auf einem Bildschirm eines Anzeigegerätes im Fahrzeug.
[0002] In modernen Fahrzeugen, insbesondere Schienenfahrzeugen, sind die Führerstände zunehmend
mit Anzeigegeräten ausgestattet, welche Bildschirme aufweisen, die auf Basis der LCD
(Liquid Cristal Display) Technologie ausgestattet sind. Entsprechend müssen sicherheitsrelevante
Basisdaten, wie beispielsweise die Geschwindigkeit, die Temperatur, der Druck, der
Ölstand oder der Zustand des Bremssystems, digital auf dem Bildschirm des Anzeigegerätes
im Führerstand angezeigt werden.
[0003] Die Sicherheitsanforderungen für sicherheitsrelevante Hardware und Software werden
im Schienenverkehr durch die Sicherheitsnormen EN 50126, EN 50128 und EN 50129 definiert.
Die Darstellung der Geschwindigkeit, beispielsweise, auf dem Bildschirm des Anzeigegerätes
wird gemäss der vorgesehenen Sicherheitsnorm als Sicherheitsstufe SIL ("safety-integrity
level")-2 eingestuft, während die Überwachung des Bremssystems die Sicherheitstufe
SIL-4 erfüllen muss.
[0004] Die Sicherheitsstufe SIL-2 besagt, dass der Benutzer des Anzeigegerätes im Schienenverkehr
informiert werden muss, sobald die Sicherheitsstufe SIL-2 nicht erfüllt ist. Jedoch
muss vom Sicherheitssystem selbst keine Massnahme getroffen werden. Bei der Sicherheitsanforderung
für die Sicherheitsstufe SIL-4 hingegen muss beispielsweise das Bremssystem als Sicherheitssystem
sofort reagieren.
[0005] Bei vorliegender Erfindung wird der Fokus auf die Sicherheitsstufe SIL-2 gelegt,
so dass sicherheitsrelevante Basisdaten, wie beispielsweise die Geschwindigkeit auf
dem Bildschirm des Anzeigegerätes richtig angezeigt werden.
[0006] Die Druckschrift
DE 10 2005 011 942 offenbart ein Verfahren zur Fehleroffenbarung bei Anwendung einer sicherheitsrelevanten
Anzeige mit einem ersten, über eine erste Datenquelle angesteuerten Anzeigeelement
und einem zweiten, über eine zweite Datenquelle angesteuerten Anzeigeelement zur Darstellung
eines erfassten Messwertes. Das erste Anzeigeelement ist gegenüber dem zweiten Anzeigeelement
verdeckbar, und bei fehlender Überdeckung der beiden Anzeigeelemente erfolgt eine
Fehleroffenbarung an den Benutzer.
[0007] Die Druckschrift
DE 10 2004 039 498 offenbart ein Verfahren zur Überwachung des Zustandes eines LCD-Displays, insbesondere
des eingefrorenen Zustandes dieses Displays, wobei die Anbringung eines Lichtsensors
in einem kleinen Bereich erfolgt, in welchem der Display-Steuerungscomputer ein bestimmtes,
wechselndes Bitmuster erzeugt und das Ausgangssignal des Lichtsensors zum Eingang
eines unabhängigen Controllers führt. Der Controller erhält die Bitmusterdaten vom
Steuercomputer und vergleicht diese mit dem Bitmuster vom Lichtsensor. Bei mangelnder
Übereinstimmung zwischen dem vom Steuerungscomputer erhaltenen Bitmuster und dem Bitmuster
vom Lichtsensor wird ein Alarm ausgelöst.
[0008] Ein weiteres Verfahren zur Darstellung von sicherheitsrelevanten Basisdaten an Bildschirmen
von Anzeigegeräten wird in Dokument
DE 102 52 124 offenbart, wobei die Geschwindigkeit eines Fahrzeuges mittels eines analogen Zeigerinstrumentes
dargestellt wird und parallel entweder die gleiche Geschwindigkeit des Fahrzeugs oder
eine weitere Geschwindigkeit des Fahrzeugs zur Überprüfung auf einem digitalen Feld
zur Darstellung gebracht wird. Das digitale Feld wird mittels einer Rückleseeinrichtung
unter Zuhilfenahme einer Bildpixelauswertung mit gespeicherten Vergleichswerten überprüft.
[0009] Bei der Überwachung von Bildschirmseiten auf digitalen Anzeigegeräten, welche sicherheitsrelevante
pixelformatierte Displaydaten aufweisen, besteht die Gefahr, dass auch nichtsicherheitsrelevante
pixelformatierte Displaydaten mitgeprüft werden. Dies hat zur Folge, dass einem Überwacher
ein enormes Datenvolumen zugeführt wird. Entsprechend hat der Überwacher einen erhöhten
Leistungsaufwand, um die Daten auszuwerten. Dies wiederum führt zu erhöhten Kosten
für die Hardware.
[0010] Der vorliegenden Erfindung liegt daher die Aufgabe zugrunde, ein Verfahren zur Überwachung
von sicherheitsrelevanten pixelformatierten Displaydaten zur Verfügung zu stellen,
welches sowohl eine schnell als auch eine zuverlässige Überwachung der sicherheitsrelevanten
Displaydaten ermöglicht und beim Auftreten eines Fehlers oder Unterbruchs dies einem
Benutzer offenbart.
[0011] Die Aufgabe wird gelöst durch das Verfahren gemäss Anspruch 1.
[0012] Ein erfindungsgemässes Verfahren dient zur Überprüfung von pixelformatierten Displaydaten,
welche mittels eines Rechners aus sicherheitsrelevanten Basisdaten generiert und zur
Darstellung auf einem Bildschirm eines Anzeigegerätes, insbesondere einem LCD (Liquid
Cristal Display) Monitor im Führerstand eines Fahrzeuges, dem Bildschirm zugeführt
werden. Dabei werden die sicherheitsrelevanten pixelformatierten Displaydaten vor
dem Bildschirm abgegriffen und in einem Überwacher mittels eines Kompressors in sicherheitsrelevante
komprimierte Displaydaten umgewandelt und einem Überprüfer zugeführt. In einem Speicher
des Überwachers ist ein Referenzdatensatz mit vordefinierten sicherheitsrelevanten
komprimierten Referenzdisplaydaten gespeichert. Die sicherheitsrelevanten Basisdaten
im Überwacher bestimmen, welche vordefinierten sicherheitsrelevanten komprimierten
Referenzdisplaydaten aus dem Referenzdatensatz dem Überprüfer zugeführt werden. Der
Überprüfer vergleicht die ihm zugeführten vordefinierten sicherheitsrelevanten komprimierten
Referenzdisplaydaten und die sicherheitsrelevanten komprimierten Displaydaten miteinander
und offenbart bei fehlender Übereinstimmung der Überprüfung dies einem Benutzer mittels
eines ersten Signals am Anzeigegerät.
[0013] Vorteil eines derartigen Verfahrens ist die schnelle Auswertung von ausschliesslich
sicherheitsrelevanten pixelformatierten Displaydaten, da der Kompressor das Datenvolumen
erheblich reduziert und dem Überprüfer schon komprimierte Referenzdisplaydaten für
den Vergleich zur Verfügung stehen. Ein weiterer Vorteil ist die doppelte Absicherung
der zu evaluierenden sicherheitsrelevanten Basisdaten: Einerseits werden die pixelformatierten
Displaydaten über den Rechner generiert und den Überwacher komprimiert und andererseits
werden über einen zweiten Pfad die aktuellen sicherheitsrelevanten Basisdaten im
[0014] Überwacher dem Speicher zugeführt und die korrespondierenden Referenzdisplaydaten
im Überwacher zum Vergleich bereit gestellt.
[0015] Bei einer bevorzugten Ausführungsform reduziert der Kompressor eine Farbtiefe der
pixelformatierten Displaydaten, insbesondere von einer 18 bit bzw. 24 bit Farbstufe
über eine 8 bit Graustufe auf eine Graustufe kleiner 8 bit pro Pixel. Dies hat den
Vorteil, dass die pixelformatierten Displaydaten ein geringeres Datenvolumen aufweisen.
Somit wird die Überprüfung der sicherheitsrelevanten pixelformatierten Displaydaten
beschleunigt und die notwendige Rechenleistung gesenkt.
[0016] Vorzugsweise reduziert der Kompressor weiter eine Auflösung eines mehrere Pixel aufweisenden
Teilfeldes auf ein Pixel, so dass die pixelformatierten Displaydaten als komprimierte
Displaydaten vorliegen. Dies bewirkt eine weitere Reduktion des Datenvolumens der
sicherheitsrelevanten pixelformatierten Displaydaten. Der Vorteil bei dieser Art von
Komprimierung der pixelformatierten Displaydaten ist der, dass der Abstand, auch Hamming
Distanz genannt, zwischen zwei sicherheitsrelevanten pixelformatierten Displaydaten
so gewählt werden kann, dass die Wahrscheinlichkeit eines falschen Überprüfungsresultats
minimiert wird, respektive unter den zulässigen Wert reduziert wird.
[0017] Bei einer bevorzugten Ausführungsform steuert der Überprüfer bei Übereinstimmung
der vordefinierten sicherheitsrelevanten komprimierten Referenzdisplaydaten mit den
sicherheitsrelevanten komprimierten Displaydaten zur Bildung eines zweiten Signals
am Anzeigegerät eine Signallampe an, insbesondere eine LED, insbesondere derart, dass
sie leuchtet oder blinkt. Dies hat den Vorteil, dass dem Benutzer sofort angezeigt
wird, wie der Status der Überprüfung ist, so dass dieser falls nötig entsprechende
Massnahmen ergreifen kann.
[0018] Vorzugsweise schaltet der Überprüfer bei Übereinstimmung der vordefinierten sicherheitsrelevanten
komprimierten Referenzdisplaydaten mit den sicherheitsrelevanten komprimierten Displaydaten
zur Bildung des zweiten Signals am Anzeigegerät eine Hintergrundbeleuchtung des Bildschirms
ein und bei fehlender Übereinstimmung zur Bildung des ersten Signals aus.
[0019] Bei einer bevorzugten Ausführungsform werden die sicherheitsrelevanten Basisdaten
einem Kontroller im Überwacher zugeführt, um den Speicher auszulesen und die entsprechenden
vordefinierten sicherheitsrelevanten Referenzdisplaydaten dem Überprüfer zuzuführen.
[0020] Bei einer bevorzugten Ausführungsform ist der Speicher in einem Speichermedium, insbesondere
einem Flash, abgelegt. Dies hat den Vorteil, dass direkt im Überwacher Daten abgelegt
werden können, auf welche sehr schnell zugegriffen werden kann bzw. aus welchem schnell
die Daten gelesen werden können.
[0021] Bei einer bevorzugten Ausführungsform weisen die Basisdaten zusätzlich zu den sicherheitsrelevanten
Basisdaten auch nichtsicherheitsrelevante Basisdaten auf, so dass der Rechner aus
den sicherheitsrelevanten und nichtsicherheitsrelevanten Basisdaten pixelformatierte
Displaydaten generiert. Dies bewirkt, dass bei einer durch den Benutzer ausgewählten
Bildschirmseite sowohl sicherheitsrelevante als auch nichtsicherheitsrelevante Displaydaten
der ausgewählten Bildschirmseite dem
[0022] Überwacher zugeführt werden.
[0023] Vorzugsweise werden die abgegriffenen pixelformatierten Displaydaten einem Regionenfilter
zugeführt und von diesen die nichtsicherheitsrelevanten pixelformatierten Displaydaten
herausgefiltert, so dass der Überprüfer die Überprüfung ausschliesslich auf Basis
der sicherheitsrelevanten pixelformatierten Displaydaten durchführt. Dies bewirkt,
dass die nichtsicherheitsrelevanten Displaydaten keine Relevanz für die Überprüfung
der sicherheitsrelevanten Displaydaten haben und somit der Überprüfer ein geringeres
Datenvolumen auswerten muss.
[0024] Bei einer bevorzugten Ausführungsform integriert der Rechner bei der Generierung
der pixelformatierten Displaydaten ein Bildschirmsteuersignal, wie beispielsweise
ein Zeilenanfangssignal, und ein Fensterfilter filtert aus den abgegriffenen pixelformatierten
Displaydaten dieses Bildschirmsteuersignal heraus. Dies hat den Vorteil, dass Daten,
welche die Überprüfung nicht betreffen, vorab herausgefiltert werden.
[0025] Bei einer weiteren erfindungsgemäss bevorzugten Ausführungsform werden die pixelformatierten
Displaydaten mittels eines Datenwandlers von seriellen LVDS Daten in parallele Videodaten,
insbesondere in einen RGB Farbraum mit einer Farbtiefe von 18 bit oder 24 bit, umgewandelt.
Bei den LVDS Daten handelt es sich um sogenannte Low Voltage Differential Signals,
welche gerade für LCD Monitore als Datenformat geeignet sind, um pixelformatierte
Displaydaten zur Anzeige zu führen.
[0026] Bei einer weiteren erfindungsgemäss bevorzugten Ausführungsform erfordern parallele
Videodaten, wie beispielsweise RGB666 Videodaten, keine Umwandlung mittels des Datenwandlers.
Dies hat den Vorteil, dass RGB666 Videosignale direkt dem Fensterfilter, Kompressor
oder Regionenfilter zugeführt werden können. Dies hat den weiteren Vorteil, dass zusätzliche
Hardware eingespart wird, was entsprechend zur Kostenreduktion der Hardware führt.
[0027] Besonders bevorzugte Ausführungsformen der Erfindung werden im Folgenden anhand der
Zeichnung erläutert.
[0028] Es zeigen rein schematisch:
- Fig. 1
- ein Blockschaltbild eines Anzeigegerätes zur Überprüfung von pixelformatierten Displaydaten
mittels eines Überwachers,
- Fig. 2
- ein Blockschaltbild des Überwachers im Detail,
- Fig. 3
- ein Komprimierverfahren für die Umwandlung von pixelformatierten Displaydaten in komprimierte
Displaydaten am Beispiel einer Geschwindigkeit eines Fahrzeugs,
- Fig. 4
- ein Auflösungsreduktionsverfahren bei dem ein mehrere Pixel aufweisendes Teilfeld
auf 1 bit reduziert wird,
- Fig. 5
- eine sicherheitsrelevante Bildschirmseite unter optionaler Verwendung eines ersten
optischen Markers,
- Fig. 6
- eine nichtsicherheitsrelevante Bildschirmseite unter optionaler Verwendung eines zweiten
optischen Markers.
[0029] Ein in Fig. 1 beispielhaft gezeigtes Anzeigegerät 10, welches für den Einsatz im
Führerstand eines Fahrzeuges, insbesondere eines Schienenfahrzeuges, vorgesehen ist,
stellt Basisdaten 12 in einer für die jeweilige Anwendung geeigneten Form auf einem
Bildschirm 14 dar.
[0030] Der Bildschirm 14 weist Bedienelemente 16 auf, mittels derer ein Benutzer des Anzeigegerätes
10, je nach Situation, in welcher sich das Fahrzeug befindet, eine gewählte Bildschirmseite
18 auf dem Bildschirm 14 des Anzeigegerätes 10 zur Darstellung bringen kann. Beispielsweise
kann in einem Bahnhof die Stellung der Türen als Bildschirmseite 18 ausgewählt werden,
wohingegen während der Fahrt die Geschwindigkeit des Fahrzeugs auf einer anderen gewählten
Bildschirmseite 18 dargestellt werden kann. Mittels am Bildschirm 14 angebrachten
Signallampen 19, insbesondere LED's 20, 22, 24, 26 können dem Benutzer Statusinformationen
dargestellt werden.
[0031] Weiter ist im Bildschirm 14 in der Bildschirmseite 18 ein optischer Marker 28 sowie
die Kennzeichnung einer sicherheitsrelevanten Region 13 und einer nichtsicherheitsrelevanten
Region 15 gezeigt. Die Funktionsweise dieser Elemente wird im Detail im Zusammenhang
mit der Beschreibung der Fig. 5 und Fig. 6 erläutert.
[0032] Die Basisdaten 12, welche auf dem Bildschirm 14 zur Darstellung gelangen sollen,
werden über ein Feldbussystem wie beispielsweise den CAN-Bus, den MVB (Multi-Vehical-Bussystem)
oder über eine Ethernetdatenleitung an einen Rechner 30 im Anzeigegerät 10 übermittelt.
Der Rechner 30 visualisiert die Basisdaten 12 am Bildschirm 14, indem mittels einer
Software die Basisdaten 12 in pixelformatierte Displaydaten 32 umgewandelt werden.
Die Software kann beispielsweise auf einem Betriebssystem im Rechner 30, wie beispielsweise
Linux, ausgeführt werden.
[0033] Bei den Basisdaten 12 kann zwischen sicherheitsrelevanten Basisdaten 34, wie beispielsweise
der Geschwindigkeit, und nichtsicherheitsrelevanten Basisdaten 36, wie beispielsweise
dem Füllstand eines Wassertanks, unterschieden werden. Die sicherheitsrelevanten Basisdaten
34 müssen die Sicherheitsstufe SIL-2 erfüllen, wie in der Einleitung ausgeführt. Sie
müssen auch entsprechend der Sicherheitsstufe SIL-2 übermittelt werden.
[0034] Der Rechner 30 selbst genügt nicht den Sicherheitsanforderungen des Schienenverkehrs,
da die Umwandlung von sicherheitsrelevanten Basisdaten 34 in pixelformatierte Displaydaten
32 lediglich die Sicherheitsstufe SIL-0 (punktiert dargestellte Flächen in Fig. 1)
erfüllt. Somit müssen die pixelformatierten Displaydaten 32 vor dem Zuführen zum Bildschirm
14 des Anzeigegerätes 10 abgegriffen und in einem Überwacher 38, welcher die Sicherheitsstufe
SIL-2 (unschraffiert dargestellte Flächen in Fig. 1) erfüllt, geprüft werden.
[0035] Vor der Überprüfung der pixelformatierten Displaydaten 32 in einem Überprüfer 40
des Überwachers 38 werden die pixelformatierten Displaydaten 32 mittels eines Komprimierverfahrens
42 in komprimierte Displaydaten 44 umgewandelt. Dabei werden ausschliesslich die sicherheitsrelevanten
pixelformatierten Displaydaten 46 in sicherheitsrelevante komprimierte Displaydaten
48 umgewandelt.
[0036] Dem Überwacher 38 stehen ausserdem die gleichen sicherheitsrelevanten Basisdaten
34 zur Verfügung wie dem Rechner 30. In einem Speicher 50 des Überwachers 38 ist ein
Referenzdatensatz 52 mit vordefinierten sicherheitsrelevanten komprimierten Referenzdisplaydaten
54 gespeichert. Die sicherheitsrelevanten Basisdaten 34 bestimmen im Überwacher 38,
welche vordefinierten sicherheitsrelevanten komprimierten Referenzdisplaydaten 54
aus dem Referenzdatensatz 52 dem Überprüfer 40 zugeführt werden. Der Speicher 50 kann
in einem Speichermedium, insbesondere in einem Flash, abgelegt sein.
[0037] Die dem Überprüfer 40 zugeführten, vordefinierten sicherheitsrelevanten komprimierten
Referenzdisplaydaten 54 und sicherheitsrelevanten komprimierten Displaydaten 48 werden
miteinander verglichen. Nach einer Auswertung 56 dieser Überprüfung werden anschliessend
entsprechende Signalisierungen eingeleitet. Der Überwacher 38 weist Ausgänge 58, 60,
62, 64, 66 für die Einleitung der entsprechenden Signalisierungen auf.
[0038] Im Falle einer fehlenden Übereinstimmung von den sicherheitsrelevanten komprimierten
pixelformatierten Displaydaten 48 mit den sicherheitsrelevanten komprimierten Referenzdisplaydaten
54 bei der Überprüfung, wird dies dem Benutzer mittels eines ersten Signals 68 am
Anzeigegerät 10, insbesondere durch die Signallampen 19, kenntlich gemacht. Dabei
können beispielsweise die SIL-2 LED 24 bzw. optional die Marker LED 26 oder ein externes
Gerät 70 für die Signalisierung verwendet werden. Es kann optional auch dem Rechner
30 das Ergebnis der fehlgeschlagenen Überprüfung signalisiert werden. Eine weitere
Fehleroffenbarung bei fehlerhafter Überprüfung ist das Abschalten der Hintergrundbeleuchtung
23 durch den Überwacher 38.
[0039] Der in Fig. 2 gezeigte Überwacher 38 erhält, wie zu Fig. 1 ausgeführt, die gleichen
sicherheitsrelevanten Basisdaten 34 wie der Rechner 30, welcher aus den sicherheitsrelevanten
Basisdaten 34 pixelformatierte Displaydaten 32 generiert. Die vor dem Zuführen zum
Bildschirm 14 des Anzeigegerätes 10 abgegriffenen, pixelformatierten Displaydaten
32 werden dem Überwacher 38 ebenfalls zugeführt.
[0040] Ein im Anzeigegerät 10 bzw. im Überwacher 38 integriertes Modul 72', welches fortan
als AIM (Anzeige-Integritäts-Modul) 72 bezeichnet wird, ist Bestandteil des Überwachers
38 und zuständig für die Verarbeitung der sicherheitsrelevanten Basisdaten 34 und
der pixelformatierten Displaydaten 32. Das AIM 72 kann insbesondere als FPGA (Field
Programmable Gate Array), DSP (Digital Signal Processor), CPU (Central Processing
Unit) oder als ASIC (Application Specific Intergrated Circuit) ausgeführt sein.
[0041] Die Daten, welche vom AIM 72 gelesen werden sollen, müssen im Falle eines zum AIM
72 inkompatiblen Datenformats vorab umgewandelt werden. Mittels eines Konfigurators
74 können Konfigurationsdaten 76, wie beispielsweise Referenzdaten 78 und/oder Initialisierungsparameter
80, an das AIM 72 übermittelt und im Speicher 50 gespeichert werden. Jedoch müssen
diese Konfigurationsdaten 76 in der Regel zunächst einen Kontroller 81 durchlaufen,
insbesondere dann, wenn die Konfigurationsdaten 76 nicht AIM 72 kompatibel sind. Zum
AIM 72 kompatible Daten können beispielsweise RGB666 Daten 91 sein, wie in Fig. 2
gestrichelt gezeigt. AIM 72 gerätespezifische Konfigurationsdaten 76', wie beispielsweise
ein Timer 82 oder eine Resetfunktion 84, können vom Konfigurator 74 direkt an das
AIM 72 gesendet werden.
[0042] Beim erfindungsgemässen Verfahren wird vorzugsweise der Referenzdatensatz 52 im Konfigurationsmodus
74' mit vordefinierten sicherheitsrelevanten komprimierten Referenzdisplaydaten 54
im Speicher 50 gespeichert.
[0043] Beim Wechseln vom Konfigurationsmodus 74' in einen Lademodus, werden die Konfigurationsdaten
76 und Initialisierungsparameter 80 von den jeweiligen Hardwarekomponenten des Überwachers
38 bzw. AIM 72 gelesen, wobei vorab das AIM 72 zurückgesetzt und der Speicher 50 überprüft
wird, um sicher zu gehen, dass kein Fehler im Speicher 50 vorliegt.
[0044] Im Betriebsmodus 89 des Überwachers 38, bzw. des AIM 72, können nun die abgegriffenen,
pixelformatierten Displaydaten 32 ebenso wie die sicherheitsrelevanten Basisdaten
34 vom AIM 72 gelesen werden. Da die pixelformatierten Displaydaten 32 beispielsweise
sogenannte serielle LVDS (Low Voltage Differential Signals) Daten 93 sein können,
welche nicht kompatibel mit dem AIM 72 Datenformat sind, müssen diese pixelformatierten
Displaydaten 32 allenfalls mittels eines Datenwandlers 90 in parallele Videodaten
92 umgewandelt werden (dieser Pfad ist in Fig. 2 gezeigt). Vom Datenwandler 90 werden
insbesondere 18 bit und 24 bit LVDS pixelformatierte Displaydaten 32 als Eingangsdaten
akzeptiert. Im Konfigurationsmodus 74' können die Auflösung und Farbtiefe der Videodaten
92 eingestellt werden.
[0045] Wie in Fig. 2 gezeigt, kann der Datenwandler 90 entweder als Teil des AIMs 72 auf
dem FPGA bzw. ASIC aufgebracht sein, oder aber separat (gestrichelt in Fig.2) vom
ASIC bzw. FPGA im Überwacher 38 angeordnet sein.
[0046] Die vom Datenwandler 90 aus den pixelformatierten Displaydaten 32 erzeugten Videodaten
92 werden einem Fensterfilter 94 zugeführt. Der Fensterfilter 94 erkennt die Videodaten
92, welche für die vom Benutzer ausgewählte Bildschirmseite 18 generiert wurden und
auf dem Bildschirm 14 des Anzeigegerätes 10 zur Darstellung gelangen sollen. Alle
nicht aktiven pixelformatierten Displaydaten 96 und sogenannte Bildschirmsteuerungssignale
98, wie beispielsweise ein Zeilenanfangssignal 98', werden vom Fensterfilter 94 herausgefiltert.
Im Konfigurationsmodus 74' kann der nicht angezeigte Bereich für Bildschirmseiten
18, insbesondere der Bereich für die Bildschirmsteuersignale 98, festgelegt werden.
[0047] Es ist auch denkbar, dass vor dem Bildschirm 14 des Anzeigegerätes 10 parallele Videodaten
92, wie beispielsweise RGB666 Daten 91, abgegriffen werden, welche keine Datenumwandlung
erfordern und direkt dem Fensterfilter 94 zugeführt werden können, wie in Fig. 2 gestrichelt
gezeigt.
[0048] Die nun auf die Bildschirmseite 18 reduzierten, pixelformatierten Displaydaten 32
werden mittels eines Kompressors 100 weiterverarbeitet. Der Kompressor 100 verringert
die Farbtiefe einzelner Pixel und/oder fasst mehrere Pixel in einem Pixel zusammen,
wie anschaulich in Fig. 3 gezeigt und im Detail in der Figurenbeschreibung zu Fig.
3 erläutert ist. Die Kompressionsrate für die Reduktion der Farbtiefe und die Reduktion
der Auflösung können im Konfigurationsmodus 74' festgelegt werden.
[0049] Da im Kompressor 100 die sicherheitsrelevanten pixelformatierten Displaydaten 46
und die nichtsicherheitsrelevanten pixelformatierten Displaydaten 102 komprimiert
wurden, müssen die sicherheitsrelevanten Regionen 13 (siehe Fig. 1) auf der Bildschirmseite
18 und welche ausschliesslich die sicherheitsrelevanten komprimierten pixelformatierten
Displaydaten 48 aufweisen, mittels eines Regionenfilters 104 herausgefiltert werden.
Somit filtert der Regionenfilter 104 sämtliche abgegriffenen pixelformatierten Displaydaten
32 bis auf die sicherheitsrelevanten Displaydaten 46, welche sich in den sicherheitsrelevanten
Regionen 13 befinden heraus. Anschaulich sind entsprechende Regionen 106 in Fig. 5
für sicherheitsrelevante Bildschirmseiten 108 dargestellt. Im Konfigurationsmodus
74' kann die Position der sicherheitsrelevanten Regionen 13 auf vordefinierten Bildschirmseiten
18 mittels einer Identifikationsnummer festgelegt werden.
[0050] Es ist zu bemerken, dass die Abfolge der oben genannten Filter beim Komprimierverfahren
42 beliebig gewählt werden kann. Somit ist es auch denkbar, dass die Videodaten 92
nach dem Fensterfilter 94 eine erneute Filterung durch den Regionenfilter 104 erhalten
und dann erst der Kompressor 100 zum Einsatz kommt. Entsprechend würden dem Überprüfer
38 aus dem Kompressor 100 ausschliesslich sicherheitsrelevante komprimierte Displaydaten
48 in den entsprechenden sicherheitsrelevanten Regionen 13 zugeführt.
[0051] Die in den sicherheitsrelevanten Regionen 13 befindlichen, sicherheitsrelevanten
komprimierten Displaydaten 48 werden dem Überprüfer 40 in separaten Registern 112
zugeführt. Anschliessend vergleicht der Überprüfer 40 die sicherheitsrelevanten komprimierten
Displaydaten 48 mit den sicherheitsrelevanten komprimierten Referenzdisplaydaten 54,
welche durch die sicherheitsrelevanten Basisdaten 34 bestimmt und dem Überprüfer 38
aus dem Speicher 50 im Betriebsmodus 89 zugeführt wurden.
[0052] Ein Zwischenregister 114 zwischen dem Überprüfer 40 und der Auswertung 56 erlaubt
eine Art Pufferung der Vergleichsergebnissen aus dem Überprüfer 38. Dies kann notwendig
sein, wenn beispielsweise zwischen einer Geschwindigkeit 26 km/h auf eine andere Geschwindigkeit
27 km/h gewechselt wird und der Rechner entsprechend Zeit benötigt, um diese neue
Geschwindigkeit auf dem Bildschirm 14 des Anzeigegerätes 10 zur Darstellung zu bringen.
Auch beim Wechseln der Bildschirmseite 18 benötigt der Rechner Zeit, um die Darstellung
umzusetzen, so dass auch hier die Pufferung notwendig ist. Da die Überprüfung etwa
20 ms dauert, was für das menschliche Auge zu schnell ist, dient der Zwischenspeicher
114 ebenso auch dem Benutzer, damit dieser die pixelformatierten Displaydaten 32 auf
dem Bildschirm 14 ausreichend lang betrachten kann, um diese korrekt wahrzunehmen.
[0053] Die vom Zwischenspeicher 114 an die Auswertung 56 weitergereichten, durch den Überprüfer
40 geprüften, sicherheitsrelevanten Regionen 106 führen zu der Signalisierung seitens
des Überwachers 38, wie im Zusammenhang mit Fig. 1 schon ausgeführt wurde.
[0054] In Fig. 3 wird die Geschwindigkeit des Fahrzeugs von 26 km/h in Form von pixelformatierten
Displaydaten 32 in der sicherheitsrelevanten Region 13 angezeigt. Das heisst, dass
die pixelformatierten Displaydaten 32 entsprechend, mittels des Fensterfilters 94
und des Regionenfilters 104 vorab gefiltert wurden, so dass sie auf der Bildschirmseite
18 in der betreffenden sicherheitsrelevanten Region 13 angeordnet sind. Dieser erste
Zustand 115 entspricht dem Zustand nach der Datenumwandlung von seriellen LVDS 93
in parallele Videodaten 92 bzw. nach der direkten Zuführung von beispielsweise RGB666
Daten 91, sodass entweder 18 bit oder 24 bit Videodaten 92 vorliegen.
[0055] In einem ersten Kompressionsschritt 116 wird die Farbtiefe von 18 bit bzw. 24 bit
über eine 8 bit Graustufe auf eine Graustufe kleiner als 8 bit, insbesondere auf eine
1 bit Schwarzweissstufe pro Pixel, reduziert (in Fig. 3, zweite Zustandsaufnahme von
oben).
[0056] In einem zweiten Kompressionsschritt 118 werden mehrere Pixel aufweisende Teilfelder
120, wie in Fig. 4 gezeigt, auf 1 Pixel reduziert. Dabei werden beispielsweise drei
mal drei Teilfelder 120' mit jeweils einer Pixelinformation gewichtet zusammengefasst
(in Fig. 3, dritte Zustandsaufnahme von oben), was einer Reduktion der Auflösung beispielsweise
um etwa den Faktor 9 entspricht. Es ist auch denkbar, eine Reduktion der Auflösung
von beispielsweise einem fünf mal fünf Teilfeld beispielsweise um etwa den Faktor
25 oder von beispielsweise einem sieben mal sieben Teilfeld beispielsweise um etwa
den Faktor 49 durchzuführen (nicht gezeigt).
[0057] Der Vorteil bei dieser Art von Komprimierung der pixelformatierten Displaydaten 32
ist der, dass der Abstand, auch Hamming Distanz genannt, zwischen zwei sicherheitsrelevanten
pixelformatierten Displaydaten 46 so gewählt werden kann, dass die Wahrscheinlichkeit
eines falschen Überprüfungsresultats minimiert wird, respektive unter den zulässigen
Wert reduziert wird.
[0058] Bei Zufuhr ungültiger sicherheitsrelevanter Basisdaten 34 an den Rechner 30, kann
dieser beispielsweise die fehlerhafte sicherheitsrelevante Region 13 mit einem "X"
versehen, wie in Fig. 3 gestrichelt gezeigt. Der Überprüfer 38 erkennt die vom Rechner
mit "X" markierte Region 106 und akzeptiert, dass die sicherheitsrelevanten Basisdaten
34 in dieser Region 106 fehlerhaft sind.
[0059] Es ist zu bemerken, dass das Komprimierverfahren 42 die Wahrnehmung des menschlichen
Auges, wo Fehler einzelner Pixel in der Regel keine Relevanz haben, berücksichtigt.
[0060] In einer weiteren bevorzugten Ausführungsform der vorliegenden Erfindung kann die
Kennzeichnung von sicherheitsrelevanten Bildschirmseiten 108 und nichtsicherheitsrelevanten
Bildschirmseiten 110 mittels des optischen Markers 28 erfolgen, wie in Fig. 5 und
Fig. 6 gezeigt.
[0061] Wie im Zusammenhang mit Fig. 1 ausgeführt, wandelt der Rechner 30 die ihm zugeführten
sicherheitsrelevanten Basisdaten 34 und die nichtsicherheitsrelevanten Basisdaten
36, also die Basisdaten 12 einer gewählten Bildschirmseite 18, in pixelformatierte
Displaydaten 32 um. Die entsprechenden pixelformatierten Displaydaten 32 werden dann
dem Bildschirm 14 zur Anzeige zugeführt.
[0062] Für den Fall, dass die gewählte sicherheitsrelevante Bildschirmseite 108 die sicherheitsrelevanten
pixelformatierten Displaydaten 46 aufweist, kann in die pixelformatierten Displaydaten
32 ein erster optischer Marker 122 integriert werden, wie in Fig. 5 dargestellt.
[0063] Für den Fall, dass die gewählte nichtsicherheitsrelevante Bildschirmseite 110 ausschliesslich
nichtsicherheitsrelevante pixelformatierte Displaydaten 102 aufweist, kann in die
pixelformatierten Displaydaten 32 ein zweiter optischer Marker 124 integriert werden,
wie in Fig. 6 dargestellt.
[0064] Der erste optische Marker 122 und der zweite optische Marker 124 weisen Informationsmerkmale
auf, mit welchen der Überwacher 38 die sicherheitsrelevanten Bildschirmseiten 108
von den nichtsicherheitsrelevanten Bildschirmseiten 110 unterscheiden kann.
[0065] Im Konfigurationsmodus 74' müssen dem Überwacher 38, falls der optische Marker 28
verwendet werden soll, entsprechende Markerreferenzdaten einprogrammiert werden. Dementsprechend
kann der Überwacher 38 im betriebsbereiten Zustand den optischen Marker 28 während
der Überprüfung mit Markerreferenzdaten vergleichen. Falls einerseits der Überwacher
38 feststellt, dass der zweite optische Marker 124 vorhanden ist, wird die Überprüfung
ausgeschaltet. Falls jedoch der Überwacher 38 feststellt, dass der erste optische
Marker 122 vorhanden ist, oder bei fehlender Übereinstimmung zwischen dem optischen
Marker 28 und den Markerreferenzdaten wird eine Kontrolle durchgeführt.
[0066] Der optische Marker 28 besteht aus einer Abfolge vordefinierter Pixelmuster 130 und
befindet sich insbesondere an einer vordefinierten Stelle in der sicherheitsrelevanten
Bildschirmseite 108, wie in Fig. 5 bzw. in der nichtsicherheitsrelevanten Bildschirmseite
110, wie in Fig. 6 gezeigt. Der zweite optische Marker 124 hat eine andere Abfolge
von Pixelmustern 130 als der erste optische Marker 122. Die Abfolge und der zeitliche
Abstand eines Pixelmusters 130 werden vom Überwacher 38 überwacht. Bei fehlender Übereinstimmung
von korrekter Abfolge 128 und/oder zeitlichem Abstand 132 der Pixelmuster 130 mit
Markerreferenzdaten führt der Überwacher 38 die Kontrolle durch.
[0067] Stellt der Überwacher 38 fest, dass der optische Marker 28 vorhanden ist, wird das
Signal 68 an das Anzeigegerät 10 gesendet, um dem Benutzer anzuzeigen, dass und welcher
optische Marker 28 vorhanden ist (siehe Fig. 5 und Fig.6). Dies kann beispielsweise
durch Einschalten der Marker LED 26 und/oder eines externen Gerätes 70, erfolgen,
wie im Zusammenhang mit Fig. 1 erläutert.
[0068] Vor Inbetriebnahme des erfindungsgemässen Anzeigegerätes 10 müssen sämtliche Konfigurationsdaten
74' dem Überwacher 38 und dem Rechner 30 zugeführt werden. Der Rechner 30 erhält einen
Datensatz an vordefinierten Bildschirmseiten 18, welche vom Benutzer ausgewählt werden
können, und der Überwacher 38 erhält den in den oberen Abschnitten besprochenen Referenzdatensatz
78 und die Initialisierungsparameter 80 (siehe Fig. 2).
[0069] Im Betrieb kann die gewünschte Bildschirmseite 18 auf dem Bildschirm 14 des Anzeigegerätes
10 durch den Benutzer ausgewählt werden.
[0070] Für den Fall, dass ausschliesslich nichtsicherheitsrelevante Displaydaten 102 auf
der gewählten Bildschirmseite 110 angezeigt werden und ein zweiter optischer Marker
124 beim Vergleich mit Markerreferenzdaten eine Übereinstimmung aufweist, wird die
Überprüfung ausgeschaltet.
[0071] Für den Fall, dass sicherheitsrelevante Displaydaten 46 auf der gewählten Bildschirmseite
108 angezeigt werden und somit der erste optische Marker 122 erkannt wurde, sowie
bei fehlender Übereinstimmung des ersten optischen Markers 122 mit Markerreferenzdaten,
wird die Kontrolle durchgeführt. Bei Feststellen einer fehlerhaften Kontrolle wird
die Hintergrundbeleuchtung 23 und die SIL-2 LED 24 ausgeschaltet.
[0072] Für den Fall, dass die Bildschirmseiten 18 keinen optischen Marker 28 aufweisen,
wird für sicherheitsrelevante Bildschirmseiten 108 und nichtsicherheitsrelevante Bildschirmseiten
110 immer eine Überprüfung durchgeführt.
[0073] Wenn bei einer sicherheitsrelevanten Region 13 bei der Überprüfung eine fehlerhafte
Übereinstimmung auftritt, werden die Hintergrundbeleuchtung 23 und die SIL-2 LED 24
ausgeschaltet. Optional kann der Fehler auch dem Rechner 30 signalisiert werden, so
dass dieser auf der fehlerhaften sicherheitsrelevanten Region 13, anstelle einer Geschwindigkeit
beispielsweise ein "X" vermerkt, wie in Fig. 3 gezeigt.
[0074] Wenn bei einer sicherheitsrelevanten Region 13 eine einwandfreie Überprüfung durchgeführt
wurde, leuchtet die SIL-2 LED 24, und die Hintergrundbeleuchtung 23 bleibt eingeschaltet.
[0075] Bei einer weiteren bevorzugten Ausführungsform der vorliegenden Erfindung sind die
SIL-2 LED 24 und die
[0076] Marker LED 26 in einer LED kombiniert, so dass letztere immer dann eingeschaltet
ist, wenn sowohl die Bedingungen zum Einschalten der Marker LED 26 wie auch die Bedingungen
zum Einschalten der SIL-2 LED 24 erfüllt sind.
1. Verfahren zur Überprüfung von pixelformatierten Displaydaten, welche mittels eines
Rechners (30) aus sicherheitsrelevanten Basisdaten (32) generiert und zur Darstellung
auf einem Bildschirm (14) eines Anzeigegerätes (10), insbesondere einem LCD Monitor
im Führerstand eines Fahrzeuges, dem Bildschirm (14) zugeführt werden,
- bei dem die sicherheitsrelevanten pixelformatierten Displaydaten (32) vor dem Bildschirm
(14) abgegriffen und in einem Überwacher (38) mittels eines Kompressors (100) in sicherheitsrelevante
komprimierte Displaydaten (48) umgewandelt und einem Überprüfer (40) zugeführt werden,
- bei dem ein Referenzdatensatz (52) mit vordefinierten sicherheitsrelevanten komprimierten
Referenzdisplaydaten (54) in einem Speicher (50) des Überwachers gespeichert ist und
die sicherheitsrelevanten Basisdaten (34) im Überwacher (38) bestimmen, welche vordefinierten
sicherheitsrelevanten komprimierten Referenzdisplaydaten (54) aus dem Referenzdatensatz
(52) dem Überprüfer (40) zugeführt werden,
- der Überprüfer die ihm zugeführten, vordefinierten sicherheitsrelevanten komprimierten
Referenzdisplaydaten (54) und sicherheitsrelevanten komprimierten Displaydaten (48)
miteinander vergleicht, sowie
- bei fehlender Übereinstimmung dies einem Benutzer mittels eines ersten Signals (68)
am Anzeigegerät offenbart.
2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass der Kompressor (100) eine Farbtiefe der pixelformatierten Displaydaten (32), insbesondere
von einer 18 bit bzw. 24 bit Farbstufe über eine 8 bit Graustufe auf eine Graustufe
kleiner 8 bit pro Pixel, reduziert.
3. Verfahren nach Anspruch 2, dadurch gekennzeichnet, dass der Kompressor (100) eine Auflösung eines mehrere Pixel aufweisenden Teilfeldes (120)
auf ein Pixel reduziert, so dass die pixelformatierten Displaydaten (32) als komprimierte
Displaydaten (48) vorliegen.
4. Verfahren nach einem der Ansprüche 1 bis 3, dadurch gekennzeichnet, dass der Überprüfer (40) bei Übereinstimmung der vordefinierten sicherheitsrelevanten
komprimierten Referenzdisplaydaten (54) mit den sicherheitsrelevanten komprimierten
Displaydaten (48) zur Bildung eines zweiten Signals (69) am Anzeigegerät (10) eine
Signallampe (19), insbesondere eine LED, ansteuert, insbesondere derart, dass sie
leuchtet oder blinkt.
5. Verfahren nach Anspruch 4 dadurch gekennzeichnet, dass der Überprüfer (38) bei Übereinstimmung der vordefinierten sicherheitsrelevanten
komprimierten Referenzdisplaydaten (54) mit den sicherheitsrelevanten komprimierten
Displaydaten (48) zur Bildung des zweiten Signals (69) am Anzeigegerät (10) eine Hintergrundbeleuchtung
(23) des Bildschirms (14) einschaltet und bei fehlender Übereinstimmung zur Bildung
des ersten Signals (68) am Anzeigegerät (10) die Hintergrundbeleuchtung (23) ausschaltet.
6. Verfahren nach einem der Ansprüche 1 bis 5, dadurch gekennzeichnet, dass die sicherheitsrelevanten Basisdaten (32) im Überwacher (40) einem Kontroller (81)
zugeführt werden, um den Speicher (50) auszulesen und die entsprechenden vordefinierten
sicherheitsrelevanten Referenzdisplaydaten (54) dem Überprüfer zuzuführen.
7. Verfahren nach einem der Ansprüche 1 bis 6, dadurch gekennzeichnet, dass der Speicher (50) in einem Speichermedium, insbesondere einem Flash, abgelegt ist.
8. Verfahren nach einem der Ansprüche 1 bis 7, dadurch gekennzeichnet, dass die Basisdaten (12) zusätzlich zu den sicherheitsrelevanten Basisdaten (34) auch
nichtsicherheitsrelevante Basisdaten (36) aufweisen, so dass der Rechner aus den sicherheitsrelevanten
und nichtsicherheitsrelevanten Basisdaten (34, 36) pixelformatierte Displaydaten (32)
generiert.
9. Verfahren nach Anspruch 8, dadurch gekennzeichnet, dass die abgegriffenen pixelformatierten Displaydaten (32) einem Regionenfilter (104)
zugeführt werden und von diesen die nichtsicherheitsrelevanten pixelformatierten Displaydaten
(102) herausgefiltert werden, so dass der Überprüfer (40) die Überprüfung ausschliesslich
auf Basis der sicherheitsrelevanten pixelformatierten Displaydaten (46) durchführt.
10. Verfahren nach einem der Ansprüche 1 bis 9, dadurch gekennzeichnet, dass der Rechner (30) bei der Generierung der pixelformatierten Displaydaten (32) ein
Bildschirmsteuersignal (98), wie beispielsweise ein Zeilenanfangssignal (98'), integriert,
und ein Fensterfilter (94) aus den abgegriffenen pixelformatierten Displaydaten (32)
dieses Bildschirmsteuersignal (98) heraus filtert.
11. Verfahren nach einem der Ansprüche 1 bis 10, dadurch gekennzeichnet, dass die pixelformatierten Displaydaten (32) mittels eines Datenwandlers (90) von seriellen
LVDS Daten (93) in parallele Videodaten (92), insbesondere in einen RGB Farbraum mit
einer Farbtiefe von 18 bit oder 24 bit, umgewandelt werden.
12. Verfahren nach einem der Ansprüche 1 bis 12, dadurch gekennzeichnet, dass die parallelen Videodaten (92), wie beispielsweise parallele RGB666 Videodaten (91),
keine Umwandlung mittels des Datenwandlers (90) erfordern.