Verfahren und Vorrichtung zur Darstellung eines sicherheitsrelevanten Zustands

Beschreibung

[0001] Die Erfindung betrifft allgemein den Bereich der Sicherheitstechnik (engl. safety technology). Die Erfindung betrifft insbesondere ein Verfahren und eine Vorrichtung zur zuverlässigen Darstellung eines sicherheitsrelevanten Zustands mit einer Anzeige, insbesondere mit einem TFT-Bildschirm.

[0002] Bei gattungsgemäßen Verfahren und Vorrichtungen erstellt ein Rechner unter Berücksichtigung einer Zustandsinformation einen Bilddatenstrom, welcher Darstellungswerte, insbesondere Farbwerte, enthält. Diese dienen zum Ansteuern der einzelnen Bildpunkte der Anzeige, d.h. zum Darstellen eines Bildes, und werden im Bilddatenstrom an die Anzeige weitergeleitet.

[0003] Aufgrund der Komplexität der typisch zur Grafikerzeugung verwendeten Rechner sind diese im signaltechnischen Sinne als unsicher einzustufen.

[0004] Deshalb wird bei gattungsgemäßen Verfahren der Bilddatenstrom einer Prüfeinheit zugeführt zum Durchführen einer rechentechnischen Sicherheitsprüfung. Diese betrifft einen Überwachungsbereich, welcher zumindest mehrere Bildpunkte, in der Regel eine Vielzahl Bildpunke, des jeweils darzustellenden Bildes umfasst.

[0005] Ein gattungsgemäßes Verfahren und eine entsprechende Vorrichtung sind beispielsweise aus der internationalen Patentanmeldung WO 2012/003872 A1 bzw. den europäischen Patenten EP 2 353 089 B1 und EP 2 273 369 B1 vorbekannt. Bei diesem Ansatz erfolgt die rechentechnische Sicherheitsprüfung durch deterministische Berechnung eines Prüfcodes unter Berücksichtigung der Darstellungswerte aller Pixel innerhalb des Überwachungsbereichs, d.h. durch eine Datenreduktion aller Bilddaten betreffend den Überwachungsbereich auf einen im Datenumfang erheblich reduzierten Prüfcode. Ausgehend von diesem Prüfcode erfolgt dann ein Rückschluss auf eine mögliche Eingangsgröße und deren Vergleich mit der tatsächlichen Eingangsgröße, welche beispielsweise eine Zustandsinformation darstellen kann. Artverwandte Verfahren sind ebenfalls aus EP 2 254 039 B1 oder aus DE 3 411 015 C2 bekannt.

[0006] Ein wesentlicher Vorteil dieser Ansätze ist darin zu sehen, dass mit einem handelsüblichen Standardrechner, welcher meist die Erfordernisse für eine sicherheitstechnische Zertifizierung nicht erfüllt, dennoch eine sichere Darstellung gewährleistet werden. Diese Verfahren erkennen zuverlässig jede auch nur geringfügige Abweichung der Bilddaten von den Sollbilddaten. Ein Ansatz mit Datenreduktion durch Prüfcodebildung ist jedoch nicht für jeden Anwendungsfall ideal geeignet.

[0007] Weitere Verfahren zur Überprüfung von pixelformatierten Displaydaten zur Darstellung auf einem Anzeigegerät in einem Fahrzeug sind z.B. aus den Offenlegungsschriften EP 2 439 722 A1 und WO 2009/050106 A1 vorbekannt.

[0008] Ein weiteres Verfahren, nämlich zur signaltechnisch sicheren Anzeige verkehrstechnischer Information, wird in EP 0 584 895 A2 offenbart. Hierbei wird in einer Überprüfungsroutine der gespeicherte Farbwert eines ausgewählten Bildpunktes eines zu überprüfenden Symbols ausgelesen und mit dem Datum für das betreffende Element verglichen. Bei Ungleichheit des Farbwertes und des Vergleichswertes wird eine Fehlermeldung generiert. _Zur Überprüfung eines ausgewählten Symbols wird dabei aus dem Speicher ein ausgewählter Bildpunkt - beispielweise der in seinen Koordinaten bekannte Eckpunkt eines Symbols - einem Vergleicher zugeführt. Nur wenn der von dem Farbwert dieses einzelnen Bildpunktes repräsentierte Betriebszustand mit dem tatsächlichen Betriebszustand genau übereinstimmt liefert der Vergleicher ein positives Vergleichsergebnis. Diese Art der Überprüfung hat einerseits den Nachteil, dass bestimmte Fehlermodi nicht erkannt werden können und andererseits, dass nicht wahrnehmbare, nur geringfügige Störungen eine im Prinzip unnötige Fehlermeldung generieren.

[0009] Die US 2007/0046680 A1 offenbart ein Anzeigesystem für Flugzeuge mit verbesserter Verfügbarkeit der Information. Hierbei wird die Grafik redundant zweikanalig generiert. Die Überprüfung, z.B. anhand von Prüfsummen, kann dabei, zwecks Toleranz gegenüber kurzzeitigen Störimpulsen, eine Reaktion erst auslösen, wenn der gleiche Fehler über mehrere Bildwiederholzyklen erkannt wird.

[0010] In vielen Anwendungen soll dem Benutzer einer Mensch-Maschine-Schnittstelle (engl. HMI) auch ohne komplexe Darstellung, wie beispielsweise bei einem Tachometer erforderlich, auf einfache Weise ein sicherheitsrelevanter Zustand signalisiert werden. So kann beispielsweise durch eine Kontrolllampe je nach deren Leuchtfarbe, beispielsweise grün oder rot, ein Betriebszustand signalisiert und leicht vom Benutzer überwacht werden. Bei bekannten Systemen mit solchen Kontrollleuchten wird durch eine Messung des Lampenstroms die korrekte Funktion der Lampe überprüft um die Sicherheit zu gewährleisten.

[0011] Da auch in sicherheitskritischen Anwendungen vermehrt Anzeigen wie beispielsweise TFT-Bildschirme eingesetzt werden sollen, ist es wünschenswert, die Funktion solcher Kontroll- oder Warnlampen in das auf der Anzeige dargestellte Bild zu integrieren.
Für die sicherheitstechnische Funktionsprüfung der Anzeige entsprechender Zustandsinformation sind die eingangs angegebenen Ansätze mit Datenreduktion zwar grundsätzlich geeignet, jedoch relativ aufwendig in der Umsetzung. Außerdem erfordert die Datenreduktion durch Prüfcodebildung eine Identität zwischen Sollbild und Istbild, so dass geringfügige für den Benutzer nicht wahrnehmbare Fehler, wie etwa einzelne Pixelfehler oder EMV-bedingte sogenannte Bitkipper, zu einem eigentlich unnötigen Fehlerfall führen.
Als Alternative zu den eingangs genannten Ansätzen wäre es denkbar, eine Lösung zu verwenden, bei welcher ein zweiter Bildaufbau unabhängig bzw. redundant erzeugt wird und das erste Bild mit dem redundanten Bild bildpunktweise verglichen wird. Ein solcher Ansatz ist beispielsweise aus der EP0856792B1 bekannt. Dieser Ansatz bedingt jedoch einen erheblich größeren Hardwareaufwand, da sowohl eine redundante d.h. doppelt ausgeführte rechentechnische Erstellung des Bilddatenstroms, als auch eine zweifache vollständige Speicherung der für einen Bildaufbau benötigten Bilddaten erforderlich ist.
Eine Aufgabe der vorliegenden Erfindung ist es mithin, ein Verfahren und eine Vorrichtung vorzuschlagen, welche die sicherheitstechnisch zuverlässige Darstellung eines sicherheitsrelevanten Zustands auf besonders einfache Weise ermöglichen und zugleich eine gewisse Toleranz gegenüber vernachlässigbaren Darstellungsfehlern gestatten.
Diese Aufgabe wird gelöst durch ein Verfahren nach Anspruch 1 und durch eine Vorrichtung nach Anspruch 10. Verfahrensseitig zeichnet sich ein Verfahren gemäß dem Oberbegriff aus Anspruch 1 erfindungsgemäß dadurch aus, dass zunächst ein für alle Bildpunkte des Überwachungsbereichs gleichsam geltender Referenzwert bestimmt wird, zum Beispiel durch die Prüfeinheit oder einen sicheren Steuerrechner, und dass die Prüfeinheit diesen Referenzwert speichert. Ferner zeichnet sich die Erfindung dadurch aus, dass die Prüfeinheit, ausgehend vom Bilddatenstrom, rechentechnisch eine Ergebnisvariable bestimmt und hierzu jeden Bildpunkt einer Auswahl von Bildpunkten des Überwachungsbereichs einer Prüfsequenz unterzieht. Die Auswahl der Bildpunkte für die Prüfsequenz umfasst mindestens jeden zweiten Bildpunkt des zu prüfenden Überwachungsbereichs und besteht im einfachsten Fall aus allen Bildpunkten des Überwachungsbereichs. In der Prüfsequenz führt die Prüfeinheit erfindungsgemäß Bildpunktfür-Bildpunkt eine Vergleichsoperation zwischen mindestens einem Darstellungswert des jeweiligen Bildpunkts, d.h. des aktuell in der Prüfsequenz betrachteten Pixels, und dem vorgegebenen, gespeicherten Referenzwert durch und bildet aus dieser Vergleichsoperation ein Vergleichsergebnis. Ferner berücksichtigt die Prüfeinheit das jeweilige Vergleichsergebnis zum aktuellen Bildpunkt, um rechentechnisch die Ergebnisvariable bestimmen zu können. Diese Berücksichtigung kann insbesondere durch schrittweises Erhöhen oder Verringern der Ergebnisvariablen in Abhängigkeit des jeweiligen Vergleichsergebnisses erfolgen. Die Prüfsequenz kann sich gegebenenfalls über mehr als einen Bildaufbau (Engl. frame) bzw. Bildschirmrefresh erstrecken. Schließlich sieht die Erfindung vor, dass nach erfolgter Prüfsequenz die aus den einzelnen, bildpunktweise erzeugten Vergleichsergebnissen rechentechnisch bestimmte Ergebnisvariable mit einem Schwellwert verglichen wird. Dieser Vergleich erfolgt durch die Prüfeinheit selbst oder aber extern nach Ausgabe der Ergebnisvariablen durch die Prüfeinheit und wird zur Bildung entweder eines positiven oder negativen Ergebnisses der Sicherheitsprüfung genutzt. Dieses Gesamtergebnis kann anschließend zur Veranlassung einer sicherheitsgerichteten Reaktion, beispielsweise zur Ausgabe eines Warnsignals oder zu einer Sicherheitsabschaltung der Anzeige, genutzt werden.

[0012] Die erfindungsgemäße Vorrichtung zeichnet sich demnach dadurch aus, dass diese eine Prüfeinheit umfasst, in welcher ein für alle Bildpunkte des Überwachungsbereichs geltender Referenzwert gespeichert ist und die Prüfeinheit ausgeführt ist, um ausgehend vom Bilddatenstrom eine Prüfsequenz durchzuführen, dergestalt, dass die Prüfeinheit jeweils nacheinander für jeden Bildpunkt einer Auswahl umfassend mindestens jeden zweiten der Bildpunkte des Überwachungsbereichs eine Vergleichsoperation zwischen mindestens einem Darstellungswert, insbesondere einem Farbwert, zum aktuell in der Sequenz betrachteten Bildpunkt und dem gespeicherten Referenzwert durchführt und daraus ein Vergleichsergebnis bildet. Ferner berücksichtigt die Prüfeinheit das jeweilige Vergleichsergebnis zwecks rechentechnischer Bestimmung der Ergebnisvariablen, beispielsweise durch deren schrittweises Erhöhen oder Verringern. Die Prüfeinheit kann nach erfolgter Prüfsequenz, insbesondere jeweils nach jeder einzelnen oder nach einer Folge von Prüfsequenzen, die Ergebnisvariable ausgeben oder selbst mit einem Schwellwert vergleichen. Gestützt hierauf kann extern oder durch die Prüfeinheit die Bildung eines positiven oder negativen Ergebnisses der Sicherheitsprüfung erfolgen.

[0013] Erfindungsgemäß ist der Schwellwert für die Ergebnisvariable so bestimmt, dass ein positives Ergebnis der Sicherheitsprüfung bereits dann festgestellt wird, wenn ein vorbestimmter Anteil der für die Prüfsequenz getroffenen Auswahl von Bildpunkten das Vergleichskriterium der Vergleichsoperation erfüllt und dieser Anteil kleiner ist als 100%.

[0014] Dieser Ansatz ermöglicht es, einzelne Bildpunktfehler als sicherheitsrelevantes Fehlerkriterium auszuschließen. So können beispielsweise EMV-bedingte Veränderungen im Bilddatenstrom, die zu unerheblichen Veränderungen des einzelnen Bildes führen, welche der Betrachter nicht erkennen kann, auf einfache Weise ausgeschlossen werden. Ein positives Prüfergebnis kann beispielsweise gebildet werden, wenn anstatt 100 % der Bildpunkte, 90 % der Bildpunkte einen gewünschten Farbwert aufweisen.

[0015] Die erfindungsgemäße Lösung ist besonders leicht umzusetzen bei einem digitalen Bilddatenstrom, kann jedoch grundsätzlich auch bei einer analog gesteuerten Anzeige eingesetzt werden. Der Überwachungsbereich kann der Prüfeinheit variabel angegeben oder aber in dieser fest hinterlegt sein. Der Begriff "Überwachungsbereich" bedeutet hier mit Bezug auf das darzustellende Bild zusammenhängende Mengen einzelner Pixel bzw. Bildpunkte und umfasst jegliche geometrischen Formen im darzustellenden Bild, insbesondere aber nicht ausschließlich polygon- oder ellipsenförmige Bereiche, einschließlich rechteckiger oder kreisförmiger Bereiche. Zweckmäßig werden alle Bildpunkte des vorgegebenen Überwachungsbereichs der erfindungsgemäßen Prüfsequenz unterzogen. Es ist jedoch auch möglich, eine Auswahl mit einer geringeren Anzahl von Bildpunkten zu treffen, jedoch mindestens jeden zweiten Bildpunkt der Vergleichsoperation und Berücksichtigung in der Ergebnisvariablen zu unterziehen.

[0016] Eine wesentliche Eigenschaft der erfindungsgemäßen Lösung ist darin zu sehen, dass eine Vielzahl von Bildpunkten bzw. Pixeln des zu prüfenden Überwachungsbereichs hinsichtlich mindestens eines ihrer Darstellungswerte zur Ansteuerung der Anzeige mit jeweils einem oder lediglich einigen wenigen vorbestimmten Referenzwerten verglichen werden. Hierdurch kann auf rechentechnisch besonders einfache Weise und mit besonders geringem Hardwareaufwand die zuverlässige Darstellung eines sicherheitsrelevanten Zustands in einer Vielzahl von Anwendungsfällen überprüft und gewährleistet werden.

[0017] Es kann zum Beispiel sicher erkannt werden, ob eine bestimmte Fläche in hinreichendem Maße in einer bestimmten Farbe angezeigt wird. So lässt sich beispielsweise sicherstellen, dass ein anzuzeigender Warnhinweis auch tatsächlich angezeigt wird. Im Gegensatz zu dieser Sicherstellung einer Minimaleinfärbung ermöglicht die erfindungsgemäße Lösung auch den hierzu komplementären Ansatz, eine Maximaleinfärbung zu erkennen. So kann zum Beispiel sichergestellt werden, dass im Überwachungsbereich ein bestimmter Flächenanteil in der Farbe Grün nur dann angezeigt ist, wenn die Zustandsinformation einem sicheren Betriebszustand entspricht.

[0018] Die erfindungsgemäße Vergleichsoperation kann auf unterschiedliche Arten implementiert werden. Besonders einfach ist ein Identitätsvergleich eines digitalen Darstellungswerts mit einem digitalen Referenzwert, welcher die gleiche Wortlänge wie der Darstellungswert aufweist. Die Vergleichsoperation kann jedoch auch als Ungleichungsvergleich ausgeführt sein. Insbesondere, wenn geprüft werden soll, ob die Darstellungswerte zu den einzelnen Bildpunkten innerhalb eines bestimmten Toleranzbereichs liegen, kann die Vergleichsoperation, je nachdem, ob der Referenzwert einen oberen oder unteren Grenzwert darstellt, als ein Vergleich dahingehend ausgeführt sein, ob der aktuell in der Prüfsequenz betrachtete Darstellungswert kleiner, kleiner/gleich, größer/gleich oder größer als der Referenzwert ist. Ein Toleranzvergleich ist digitaltechnisch auch auf andere Weise leicht zu implementieren. Insbesondere kann beispielsweise lediglich ein in der Bitwertigkeit höherwertige Teil der Bits des Darstellungswerts mit einem Referenzwert geringerer Wortlänge auf Identität verglichen werden. Durch die Beschränkung auf die höherwertigen Bits wird auf einfache Weise eine Toleranz hinsichtlich geringfügiger Abweichungen, beispielsweise bei unterschiedlichen Farbwerten eines Farbtons, realisiert werden. Abgesehen vom Ungleichungsvergleich, welcher gegebenenfalls einen oberen und einen unteren Referenzwert verwendet, wird in der Regel lediglich ein Referenzwert benötigt für die gesamte Auswahl von zu prüfenden Bildpunkten aus dem Überwachungsbereich.

[0019] Die Prüfeinheit bzw. das Verfahren kann vorsehen, parallel bzw. zeitgleich mehrere Prüfsequenzen betreffend mehrere getrennte oder teilweise überlappende Überwachungsbereiche durchzuführen.

[0020] Die Prüfsequenz kann jeweils für jeden Bildaufbau bzw. Bildschirmrefresh einzeln wiederholt werden. Zur Reduzierung der erforderlichen Rechenleistung und/oder zur Einführung einer zeitlichen Prüftoleranz kann sich die Prüfsequenz jedoch auch über mehr als einen Bildaufbau erstrecken und weist vorzugsweise eine Wiederholungsrate im Bereich der vom Menschen erfassbaren auf, typisch weniger als 30 Hz. Zweckmäßig kann die Wiederholungsrate der Prüfsequenz für einen Überwachungsbereich den 1/n-Bruchteil der Bildwiederholfrequenz f betragen.

[0021] In bevorzugter Ausführungsform des Verfahrens bzw. der Vorrichtung umfasst das Darstellen eines Bildes eine Farbfläche, deren Farbe abhängig von der Zustandsinformation durch den Rechner bestimmt wird. Die Farbfläche kann insbesondere eine Kontroll- oder Warnleuchte symbolisieren oder den Hintergrund einer sicherheitsrelevanten, dynamisch veränderlichen Anzeige, wie beispielsweise eines Tachometers, darstellen.

[0022] Insbesondere in Fällen in denen die Anzahl der Bildpunkte die veränderliche Information anzeigen nicht oder nur geringfügig ändert, wie beispielsweise bei einer typischen, analogen Tachometeranzeige, und bei der Sicherheitsprüfung von Farbflächen ist es zweckmäßig, vorzusehen, dass der Schwellwert für die Ergebnisvariable so bestimmt ist, wie erfindungsgemäß vorgeschlagen (s. oben).

[0023] In einer rechentechnisch einfachen Bestimmung des Schwellwerts ist vorgesehen, dass die Prüfsequenz das schrittweise Erhöhen oder Verringern eines Bildpunktzählers umfasst. So kann der Schwellwert zur Bildung des Ergebnisses der Sicherheitsprüfung in Abhängigkeit des Bildpunktzählers bestimmt werden, beispielsweise als prozentualer Anteil der geprüften Gesamtzahl an Bildpunkten. Der Schwellwert muss somit nicht gesondert vorgegeben werden, sondern wird automatisch je nach Größe des Überwachungsbereichs und getroffener Auswahl zu prüfender Bildpunkte durch die Prüfsequenz bestimmt.

[0024] In einer zweckmäßigen Ausführung kann weiterhin vorgesehen sein, dass auch der für alle Bildpunkte des zu prüfenden Überwachungsbereichs geltende Referenzwert und/oder der zu prüfende Überwachungsbereich selbst jeweils durch die Prüfeinheit bestimmt wird. Dies erfolgt vorzugsweise in Abhängigkeit von der Zustandsinformation, welche der Prüfeinheit für die Bestimmung des Referenzwerts und/oder des Überwachungsbereichs zugeführt wird.

[0025] In einer für viele Anwendungen, insbesondere für Warnhinweise, zweckmäßigen Ausführung ist vorgesehen, dass als Darstellungswerte im Bilddatenstrom die Farbwerte zu den Grundfarben eines Farbraums, insbesondere eines RGB-Farbraums mit jeweils 8 Bit Wortbreite pro Farbwert, verwendet werden. Inder Prüfsequenz wird dann mindestens ein Farbwert, vorzugsweise werden alle Farbwerte, als Darstellungswert zu jedem Bildpunkt der erfindungsgemäßen Vergleichsoperation unterzogen.

[0026] Zum Farbwertvergleich kann die Vergleichsoperation in der Prüfsequenz insbesondere als Toleranzvergleich ausgeführt sein, beispielsweise dahingehend, ob sich der aktuelle in der Prüfsequenz betrachtete Bildpunkt in allen oder in einem seiner Farbwerte, absolut oder relativ betrachtet, um mehr als einen bestimmten Prozentsatz von einem Sollfarbwert als Referenzwert unterscheidet.

[0027] Somit kann, anstatt eines bitweisen Identitätsvergleichs der gesamten Darstellungswerte für die Ansteuerung des Bildpunkts, die Vergleichsoperation Farbwert-für-Farbwert unter Betrachtung der einzelnen Farbwerte durchgeführt werden. Diese Art der Vergleichsoperation ermöglicht z.B. auch eine Berücksichtigung von unterschiedlichen Farbeinstellungen durch den darstellenden Rechner, beispielsweise in Abhängigkeit von Nutzerpräferenzen und erkennt dennoch die gewünschten Farbtöne. Die erfindungsgemäße Prüfsequenz kann sich über jeden einzelnen Bildaufbau erstrecken. Zur Reduzierung der Rechenleistung oder Energieeinsparung kann beispielsweise vorgesehen sein, dass die Prüfsequenz sich lediglich über regelmäßig intermittierende Bildaufbauten im Sinne eines Sampling erstreckt. In bestimmten Anwendungsfällen ist eine sicherheitsgerichtete Überprüfung bereits gewährleistet, wenn beispielsweise jeder zweite Bildaufbau korrekt erfolgt. Demnach ist es in diesen Fällen ausreichend, nicht unmittelbar, sondern in periodischen Abständen aufeinander folgende Bildaufbauten der Prüfung zu unterziehen.

[0028] Ein intermittierendes Ausführen der Prüfsequenz gestattet zudem auch die Überprüfung einer blinkend anzuzeigenden Fläche. Hierzu ist vorzugsweise eine weitere Prüfsequenz vorgesehen, welche sich im Vergleich zu den vorgenannten intermittierenden Bildaufbauten über hierzu alternierend intermittierende Bildaufbauten erstreckt und eine Vergleichsoperation mit einem weiteren, zusätzlich gespeicherten Referenzwert durchführt.

[0029] In einer zweckmäßigen Ausführungsform wird die Zustandsinformation von einem signaltechnisch sicheren Steuerrechner bestimmt und einerseits dem Rechner, welcher den Bilddatenstrom erstellt, und andererseits der Prüfeinheit, zugeführt.

[0030] Zum Nachrüsten bestehender Systeme ist es besonders zweckmäßig, die Prüfeinheit als separates Modul getrennt von der Anzeige und getrennt vom Rechner auszuführen. Aus sicherheitstechnischen Gründen ist es zweckmäßig, wenn die Prüfeinheit zur Verbindung mit der Bilddatenleitung, insbesondere parallel zur Anzeige, einen Nur-Lese-Eingang aufweist, und somit den Bilddatenstrom nicht verändern kann.

[0031] Die Prüfeinheit wird zweckmäßig unter Verwendung eines FPGA oder ASIC realisiert. Diese lassen sich ohne weiteres zur Durchführung eines Verfahrens mit den zuvor beschriebenen Merkmalen konfigurieren bzw. programmieren.

[0032] Zweckmäßig verfügt die Prüfeinheit neben einem Eingang für die Zustandsinformation und dem Eingang zum Anschluss an die Bilddatenleitung auch über einen Ausgang für die Ausgabe des Ergebnisses der Sicherheitsprüfung. Dieser Ausgang kann beispielsweise mit dem signaltechnisch sicheren Steuerrechner verbunden werden zwecks Veranlassung einer sicherheitsgerichteten Reaktion.

[0033] Die Erfindung betrifft schließlich auch eine Prüfeinheit zur Verwendung in einer Vorrichtung gemäß einer der vorstehend beschriebenen Ausführungsformen und schließlich auch die Verwendung der erfindungsgemäßen Vorrichtung ein einem Fahrzeug, insbesondere in einem Schienenfahrzeug.

[0034] Weitere Einzelheiten, Vorteile und Merkmale der Erfindung lassen sich dem nachfolgenden Teil der Beschreibung entnehmen, in der bevorzugte Ausführungsbeispiele des erfindungsgemäßen Verfahrens und Vorrichtungen zu dessen Umsetzung anhand von 2 Zeichnungen näher erläutert sind. Es zeigen:

FIG.1

eine schematische Darstellung einer Ausführungsform einer erfindungsgemäßen Vorrichtung z.B. für ein Schienenfahrzeug;

FIG.2

eine schematische Darstellung einer möglichen Digitalschaltung zur Durchführung der Prüfsequenz gemäß dem erfindungsgemäßen Verfahren;

FIG.3

eine schematische Darstellung einer zweiten Ausführungsform einer erfindungsgemäßen Vorrichtung z.B. für ein Schienenfahrzeug.

[0035] Gleiche und entsprechende Bestandteile sind mit denselben Bezugszeichen versehen.

[0036] FIG. 1 zeigt den prinzipiellen Aufbau einer Sicherheitsvorrichtung 2 zur Durchführung des erfindungsgemäßen Verfahrens z.B. im Führerstand des Triebwagens eines Zuges.

[0037] Die insgesamt mit 2 bezeichnete Sicherheitsvorrichtung 2 beseht im Wesentlichen aus einem handelsüblichen PC 4, welcher als darstellender Rechner Bilddaten erstellt und hiermit eine aus einem TFT-Panel bzw. TFT-Display 6 bestehende Anzeige ansteuert. Das TFT-Display ist über eine Bilddatenleitung 8, z.B. vom LVDS-Typ, mit dem PC 4 verbunden zur Ansteuerung der einzelnen Bildpunkte über einen sequenziellen Bilddatenstrom, derart, dass zeilenweise und letztlich seitenweise ein Bild aufgebaut und durch das TFT-Display 6 dargestellt wird. Ferner umfasst die Sicherheitsvorrichtung 2 eine Prüfeinheit 10, welche aus Mikroprozessoren und unter anderem einem FPGA 12 besteht.

[0038] In dem dargestellten Beispiel wird über die mit dem Bezugszeichen 14 bezeichnete Datenverbindung dem PC 4 und der Prüfeinheit 10 eine Zustandsinformation zugeführt, welche einen sicherheitsrelevanten Systemzustand charakterisiert. Dieser Wert wird innerhalb des PCs 4 bei der Erstellung der Bilddaten berücksichtigt. Diese Bilddaten werden als serieller Bilddatenstrom über die Bilddatenleitung 8 dem TFT-Display 6 zugeführt werden.

[0039] Durch den PC 4 werden unter anderem sicherheitsrelevante Informationen, z.B. eine Geschwindigkeitsanzeige ähnlich einem Tachometer, auf einem abgegrenzten Teilbereich des TFT-Displays 6 dargestellt, der als Überwachungsbereich 16 sicherheitstechnisch zu überprüfen ist. Das angezeigte Bild einschließlich der sicherheitsrelevanten Information im Überwachungsbereich 16 ist "vorgerendert" und damit fest vordefiniert. Um den Benutzer über einen sicherheitsrelevanten, kritischen Zustand zu informieren, kann der schraffiert dargestellte Überwachungsbereich 16 mit einem Hintergrund in einer Warnfarbe, z.B. in Rot, Gelb oder Orange hinterlegt werden. Der entsprechende Hintergrund soll angezeigt werden, wenn die Zustandsinformation über die Datenverbindung 14, insbesondere von einem signaltechnisch sicheren Steuerrechner 20, einen kritischen Zustand signalisiert (z.B. unverzüglich Anhalten bei rotem Hintergrund, bei nächstmöglichster Gelegenheit anhalten bei orangefarbenem Hintergrund oder Wartung erforderlich bei gelbem Hintergrund).

[0040] Die Erfindung ermöglicht nun, auf einfache, zuverlässige und effiziente Weise derartige Überwachungsbereiche 16 dahingehend zu prüfen, ob der anzuzeigende Zustand tatsächlich korrekt angezeigt wird.

[0041] Der über die LVDS-Bilddatenleitung 8 zum TFT-Display 6 geführte Bilddatenstrom wird vom FPGA 12 der Prüfeinheit 10 über die Rückleseleitung 18 und einen Nur-Lese-Eingang veränderungslos abgegriffen. Der FPGA 12 unterzieht die Bilddaten zum Überwachungsbereich 16 einer Sicherheitsprüfung.

[0042] Hierzu werden als Darstellungswerte die RGB Farbwerte, d.h. jeweils 24bit zu jedem der ausgewählten Pixel bzw. Bildpunkte des Überwachungsbereichs nacheinander und pixelweise von der Rückleseleitung seriell in einen FIFO-Speicher, z.B. ein einfaches Schieberegister 22 ohne Rückkopplung mit 24bit Breite eingelesen. Der Inhalt des Schieberegisters wird mit einem im FPGA enthaltenen, in einem Register 24 zwischengespeicherten Referenzfarbwert verglichen. Falls alle Bit zum jeweiligen RGB-Farbwert, oder wie mit der Schaltung in FIG.2 im Sinne eines Toleranzvergleichs prüfbar, die höherwertigen Bit identisch zum Referenzfarbwert sind, wird ein Erfolgszähler 26 um einen Wert erhöht. Zugleich kann für jeden geprüften Bildpunkt bzw. aus der Auswahl innerhalb des Überwachungsbereichs 16 ein Pixelzähler (nicht gezeigt) erhöht werden.

[0043] Nach Abschluss einer Prüfsequenz, z.B. nach einem vollständigen Bild- bzw. Seitenaufbau (Engl. screen refresh), wird dann geprüft, wie hoch der Anteil derjenigen Bildpunkte des Überwachungsbereichs 16 ist, die tatsächlich mit der entsprechend der Zustandsinformation korrekten Farbe angezeigt werden.

[0044] Wird eine vordefinierbare Schwelle, welche auch einem Anteil der Bildpunkte entsprechen kann, z.B. einem Anteil zw. 80% und 99%, überschritten, so erzeugt die Prüfeinheit 10 ein Ausgangssignal, z.B. an den sicheren Steuerrechner 20, welches das Ergebnis der Sicherheitsprüfung anzeigt, d.h. ob oder ob nicht die Farbfläche in hinreichendem Maße korrekt angezeigt wird. Hierzu wird als Ergebnisvariable nach jeder Prüfsequenz der Zählerstand des Erfolgszählers 26 ausgelesen.

[0045] So kann beispielsweise für den Überwachungsbereich 16 festgestellt werden, ob eine farbliche Hinterlegung des Tachometers nicht eine exakte Farbe, sondern einen bestimmten Farbton aufweist, ohne hierfür eine exakte pixelweise Übereinstimmung zu fordern und zu prüfen. Dies kommt im Grundsatz der Ansteuerung einer Warnlampe gleich, deren Anzeige durch Strommessung überwacht wird.

[0046] FIG.2 zeigt eine Schaltung, die auf einfache Weise Einzelpixelfehler als sicherheitsrelevantes Fehlerkriterium ausschließen kann. Dies erfolgt zweistufig, zunächst durch einen Toleranzvergleich, welcher für jeden der drei RGB Farbwert im Schieberegister 22 lediglich die vier höchstwertigen Bit (Engl. most significant bits) mit einem 4bit breiten Referenzwert vergleicht, der für alle Pixel des Überwachungsbereichs 16 unverändert bzw. fest im Register 24 hinterlegt ist. Auf einer zweiten Stufe wird geprüft, ob die als Zählerergebnis durch den Zähler 26 bestimmte Ergebnisvariable einen hinreichenden, vorbestimmen Anteil der Pixel im Überwachungsbereich 16 darstellt, z.B. 85% falls etwa 10% der Pixel nicht als Hintergrund, sondern zur Darstellung anderer Information dienen, z.B. zur Darstellung des Tachometers in FIG.1. So kann zugleich die variable Informationsdarstellung, die keinen eigentlichen Hintergrund hat, mit einbezogen werden, ohne das Ergebnis der Sicherheitsprüfung zu beeinträchtigen.

[0047] FIG.3 zeigt eine Ausführung, bei welcher die zu prüfende farbliche Einblendung statt durch den PC 4 oder zusätzlich zum PC 4, durch ein weiteres, codebasierte Prüfmodul 30 in der Pixeldatenleitung erfolgt. Dieses codebasierte Prüfmodul 30 kann einen Aufbau gemäß EP2353089B1 bzw. EP2273369B1 oder gemäß EP2254039B1 aufweisen. Eine Prüfeinheit 10 gemäß vorliegender Erfindung ist dem Prüfmodul 30 nachgeschaltet und prüft gemäß der vorliegenden Erfindung, ob eine sicherheitsrelevante Einblendung durch die codebasierte Prüfeinheit 30 korrekt erfolgt.

[0048] Die Sicherheitsprüfung durch die Prüfeinheit 10 erfolgt zeitgleich zum Darstellen eines Bildes an der Anzeige 16. Dies wird mit geringem Aufwand durch serielle Verarbeitung des Datenstroms aus der Bilddatenleitung 8 in einer erfindungsgemäßen Prüfsequenz erreicht. Hierzu ist die Rechenleistung handelsüblicher FPGA ausreichend. Die Prüfeinheit 10 kann anstelle eines FPGA 12 auch andere geeignete, prozessorähnliche Komponenten z.B. einen ASIC verwenden.

[0049] Zur Reduzierung der Taktrate kann die Vergleichsoperation anstatt einer rein seriellen Verarbeitung auch mehrkanalig realisiert werden, d.h. mit mehreren parallel gespeisten einzelnen Schieberegistern entsprechend geringerer Bitbreite.

[0050] In Anlehnung an die Lehre aus EP2353089B1 kann die Prüfeinheit 12 in Abhängigkeit des Prüfergebnisses ein Ausgangssignal zwecks Veranlassung einer sicherheitsgerichteten Reaktion, insbesondere zur Abschaltung der Anzeige oder Ausgabe eines Warnsignals, erzeugen.

[0051] Der Überwachungsbereich 16 ist im dargestellten Bild nach FIG.1 zweckmäßig rechteckig, kann jedoch eine beliebige Geometrie haben und muss nicht aus zusammenhängenden Bildpunkten bestehen. Als Anzeige 6 kann in der Sicherheitsvorrichtung 2 und im Rahmen der Erfindung jede Art von technischer Vorrichtung eingesetzt werden, mit welcher durch Steuerung einzelner Bildpunkte (Engl. Pixel) eine beliebige Information visuell erfassbar dargestellt werden kann.

Bezugszeichenliste

[0052] FIG.1-3

2

Sicherheitsvorrichtung

4

PC

6

TFT-Display

8

LVDS Bilddatenleitung

10

Prüfeinheit

12

FPGA

14

Datenleitung

16

Überwachungsbereich

20

übergeordneter Sicherheitsrechner

22

Schieberegister (FIFO Speicher)

24

Register

26

Erfolgszähler

30

codebasierte Prüfeinheit

Ansprüche

1. Verfahren zur Darstellung eines sicherheitsrelevanten Zustands mit einer Anzeige (6), umfassend:

Erstellen eines Bilddatenstroms durch einen Rechner (4) unter Berücksichtigung einer Zustandsinformation, wobei der Bilddatenstrom Darstellungswerte, insbesondere Farbwerte, enthält; Weiterleiten des Bilddatenstroms (8) an die Anzeige (6) zum Darstellen eines Bildes durch Ansteuern von Bildpunkten anhand der Darstellungswerte; sowie

Zuführen des Bilddatenstroms zu einer Prüfeinheit (10) zum Durchführen einer rechentechnischen Sicherheitsprüfung eines Überwachungsbereichs (16), welcher eine zusammenhängende Menge mit einer Vielzahl einzelner Bildpunkte eines darzustellenden Bildes umfasst;

DADURCH GEKENNZEICHNET, DASS

ein für alle Bildpunkte des Überwachungsbereichs (16) geltender Referenzwert bestimmt wird und die Prüfeinheit (10) diesen Referenzwert speichert (24);

die Prüfeinheit (10) ausgehend vom Bilddatenstrom in einer Prüfsequenz rechentechnisch eine Ergebnisvariable bestimmt und hierzu jeweils nacheinander für jeden Bildpunkt einer Auswahl von Bildpunkten des Überwachungsbereichs (16), wobei die Auswahl mindestens jeden zweiten Bildpunkt des zu prüfenden Überwachungsbereichs umfasst,

- eine Vergleichsoperation zwischen mindestens einem Darstellungswert des jeweiligen Bildpunkts und dem gespeicherten Referenzwert durchführt und daraus ein Vergleichsergebnis bildet; sowie

- zum Bestimmen der Ergebnisvariablen das jeweilige Vergleichsergebnis zu jedem Bildpunkt der Auswahl berücksichtigt, insbesondere durch schrittweises Erhöhen oder Verringern der Ergebnisvariablen;

und nach erfolgter Prüfsequenz die Ergebnisvariable, welche die Prüfeinheit rechentechnisch in Abhängigkeit der Vergleichsergebnisse bestimmt hat, mit einem Schwellwert verglichen wird, vorzugsweise durch die Prüfeinheit (10), zur Bildung entweder eines positiven oder negativen Ergebnisses der Sicherheitsprüfung, wobei der Schwellwert für die Ergebnisvariable so bestimmt ist, dass ein positives Ergebnis der Sicherheitsprüfung festgestellt wird, wenn ein vorbestimmter Anteil der Auswahl von Bildpunkten das Vergleichskriterium erfüllt und dieser Anteil kleiner ist als 100%.

2. Verfahren nach Anspruch 1, DADURCH GEKENNZEICHNET, DASS die Vergleichsoperation als

- Identitätsvergleich des digitalen Darstellungswerts mit einem digitalen Referenzwert identischer Wortlänge; als

- Ungleichungsvergleich, insbesondere als Kleinervergleich, Kleinergleichvergleich, Größergleichvergleich oder Größervergleich; oder als

- Toleranzvergleich, insbesondere eines in der Bitwertigkeit höherwertigen Teils der Bits des Darstellungswerts mit einem Referenzwert geringerer Wortlänge, ausgeführt wird.

3. Verfahren nach Anspruch 1 oder 2, DADURCH GEKENNZEICHNET, DASS die Prüfsequenz sich über mehr als einen Bildaufbau erstreckt und vorzugsweise eine Wiederholungsrate von f/n aufweist, wobei f die Bildrate der Anzeige (6) und n eine ganze Zahl > 1 ist.

4. Verfahren nach einem der vorhergehenden Ansprüche, DADURCH GEKENNZEICHNET, DASS das Darstellen eines Bildes eine Farbfläche umfasst, deren Farbe abhängig von der Zustandsinformation durch den Rechner (4) bestimmt wird, wobei die Farbfläche insbesondere eine Kontroll- oder Warnleuchte symbolisiert oder den Hintergrund einer dynamisch veränderlichen sicherheitsrelevanten Anzeige (6) darstellt.

5. Verfahren nach einem der vorhergehenden Ansprüche, insbesondere nach Anspruch 4, DADURCH GEKENNZEICHNET, DASS die Prüfsequenz das schrittweise Erhöhen oder Verringern eines Bildpunktzählers (26) umfasst und der Schwellwert zur Bildung des Ergebnisses der Sicherheitsprüfung in Abhängigkeit des Bildpunktzählers bestimmt wird.

6. Verfahren nach einem der vorhergehenden Ansprüche, GEKENNZEICHNET DURCH Zuführen der Zustandsinformation (14) zur Prüfeinheit (10) und Bestimmen des für alle Bildpunkte des Überwachungsbereichs geltenden Referenzwerts und/oder des Überwachungsbereichs durch die Prüfeinheit (10) und in Abhängigkeit der Zustandsinformation.

7. Verfahren nach einem der vorhergehenden Ansprüche, DADURCH GEKENNZEICHNET, DASS als Darstellungswerte die Farbwerte zu den Grundfarben eines Farbraums, insbesondere eines RGB-Farbraums mit jeweils 8 Bit Wortbreite pro Farbwert, verwendet werden, und in der Prüfsequenz mindestens ein Farbwert, vorzugsweise alle Farbwerte als Darstellungswert zu jedem Bildpunkt der Vergleichsoperation unterzogen werden, insbesondere einer als Toleranzvergleich ausgeführten Vergleichsoperation.

8. Verfahren nach einem der vorhergehenden Ansprüche, insbesondere nach Anspruch 3, DADURCH GEKENNZEICHNET, DASS die Prüfsequenz sich über regelmäßig intermittierende Bildaufbauten erstreckt, und vorzugsweise eine weitere Prüfsequenz sich über alternierend intermittierende Bildaufbauten erstreckt und eine Vergleichsoperation mit einem weiteren gespeicherten Referenzwert durchführt.

9. Verfahren nach einem der vorhergehenden Ansprüche, GEKENNZEICHNET DURCH Zuführen einer oder mehrerer Zustandsinformationen (14) von einem signaltechnisch sicheren Steuerrechner (20) zum Rechner (4), welcher den Bilddatenstrom erstellt, und zur Prüfeinheit (10).

10. Vorrichtung zur Darstellung eines sicherheitsrelevanten Zustands, umfassend:

eine Anzeige (6), insbesondere ein TFT-Display;

einen Rechner (4) zum rechnergestützten Erstellen eines Bilddatenstroms unter Berücksichtigung einer Zustandsinformation, wobei der Bilddatenstrom Darstellungswerte, insbesondere Farbwerte, enthält und zum Weiterleiten des Bilddatenstroms (8) an die Anzeige (6) zum Darstellen eines Bildes durch Ansteuern der Bildpunkte anhand der Darstellungswerte; sowie

eine Prüfeinheit (10), welcher der Bilddatenstrom zugeführt wird zum Durchführen einer rechentechnischen Sicherheitsprüfung eines Überwachungsbereichs (16), welcher eine zusammenhängende Menge mit einer Vielzahl einzelner Bildpunkte im darzustellenden Bild umfasst;

DADURCH GEKENNZEICHNET, DASS

in der Prüfeinheit (10) ein für alle Bildpunkte des Überwachungsbereichs geltender Referenzwert gespeichert (24) ist;

die Prüfeinheit (10) ausgeführt ist, um ausgehend vom Bilddatenstrom in einer Prüfsequenz rechentechnisch eine Ergebnisvariable zu bestimmen und hierzu jeweils nacheinander für jeden Bildpunkt einer Auswahl von Bildpunkten des Überwachungsbereichs (16), wobei die Auswahl mindestens jeden zweiten Bildpunkt des zu prüfenden Überwachungsbereichs umfasst,

- eine Vergleichsoperation zwischen mindestens einem Darstellungswert des jeweiligen Bildpunkts und dem gespeicherten Referenzwert durchzuführen und daraus ein Vergleichsergebnis bildet; sowie

- zum Bestimmen der Ergebnisvariablen das jeweilige Vergleichsergebnis zu jedem Bildpunkt der Auswahl berücksichtigt, insbesondere durch schrittweises Erhöhen oder Verringern der Ergebnisvariablen;

und um nach erfolgter Prüfsequenz die Ergebnisvariable, welche die Prüfeinheit (10) rechentechnisch in Abhängigkeit der Vergleichsergebnisse bestimmt hat, auszugeben oder mit einem Schwellwert zu vergleichen, zur Bildung entweder eines positiven oder negativen Ergebnisses der Sicherheitsprüfung, wobei der Schwellwert für die Ergebnisvariable so bestimmt ist, dass ein positives Ergebnis der Sicherheitsprüfung festgestellt wird, wenn ein vorbestimmter Anteil der Auswahl von Bildpunkten das Vergleichskriterium erfüllt und dieser Anteil kleiner ist als 100%.

11. Vorrichtung nach Anspruch 10, DADURCH GEKENNZEICHNET, DASS die Prüfeinheit (10) als separates Modul getrennt von der Anzeige (6) und getrennt vom Rechner (4) ausgeführt ist, und einen Nur-Lese-Eingang (18) aufweist, welcher parallel an eine die Anzeige mit dem Rechner verbindende Bilddatenleitung (8) anschließbar ist.

12. Vorrichtung nach Anspruch 10 oder 11, DADURCH GEKENNZEICHNET, DASS die Prüfeinheit einen FPGA (12) oder ASIC umfasst, welcher zur Durchführung des Verfahrens gemäß den kennzeichnenden Merkmalen aus einem der Ansprüche 1 bis 9 konfiguriert ist.

13. Vorrichtung nach einem der Ansprüche 10 bis 12, DADURCH GEKENNZEICHNET, DASS die Prüfeinheit (10) einen Eingang (14) für die Zustandsinformation und einen Ausgang für die Ausgabe des Ergebnisses der Sicherheitsprüfung aufweist.

14. Fahrzeug, insbesondere ein Schienenfahrzeug, umfasssend eine Vorrichtung nach einem der Ansprüche 10 bis 13.

Claims

1. A method for representing a safety-relevant state by means of a display (6), comprising:

creating an image data stream by a processor (4) taking into account a status information, wherein the image data stream contains representation values, in particular color values;

forwarding the image data stream (8) to the display (6) for representing an image by driving pixels on the basis of the representation values; and

supplying of the image data stream to a test unit (10) for performing a computational safety test of a monitoring region (16), which comprises a contiguous set with a plurality of individual pixels of an image to be represented;

CHARACTERIZED IN THAT

a reference value valid for all pixels of said monitoring region (16) is determined and the test unit (10) stores this reference value (24);

said test unit (10) in a test sequence computationally determines a result variable starting from the image data stream and for this purpose, successively and respectively for each pixel of a selection of pixels of the monitoring region (16), wherein said selection comprises at least every second pixel of the monitoring region to be tested,

- performs a comparison operation between at least one representation value of the respective pixel and said stored reference value to form a comparison result; and

- in order to determine said result variable, the respective comparison result for each pixel of the selection is taken into account, in particular by incrementally increasing or decreasing said result variable;

and, after said test sequence has been carried out, comparing said result variable, which the test unit has computationally determined as a function of the comparison results, with a threshold value, preferably by means of said test unit (10),

so as to form either a positive or negative result of the safety test, wherein said threshold value for said result variable is determined such that a positive result of the safety test is ascertained when a predetermined proportion of said selection of pixels satisfies the comparison criterion and this proportion is less than 100%.

2. The method according to claim 1, CHARACTERIZED IN THAT said comparison operation is carried out in form of

- an identity comparison of the digital representation value with a digital reference value of identical word length;

- a comparison of inequalities, in particular as a less than comparison, a less than or equal comparison, greater than or equal comparison or greater than comparison; or in form of

- a tolerance comparison, in particular of a part of the bits of the representation value which is of a higher value in terms of bit value, with a reference value of shorter word length.

3. The method according to claim 1 or 2, CHARACTERIZED IN THAT said test sequence extends over more than one image frame and preferably has a repetition frequency of f/n, where f is the frame rate of the display (6) and n is an integer > 1.

4. The method according to any one of the preceding claims, CHARACTERIZED IN THAT representing of an image comprises a color area whose color is determined by the processor (4) depending on said status information, said color area in particular symbolizing a control or warning light or representing the background of a dynamically changing safety-relevant display (6).

5. The method according to any one of the preceding claims, in particular according to claim 4, CHARACTERIZED IN THAT said test sequence comprises the incremental increase or decrease of a pixel counter (26) and said threshold value used for forming the result of the safety test is determined as a function of the pixel counter.

6. The method according to any one of the preceding claims, CHARACTERIZED BY supplying said status information (14) to said test unit (10) and determining said reference value valid for all pixels of said monitoring region and/or said monitoring region by the testing unit (10) as a function of the status information.

7. The method according to any one of the preceding claims, CHARACTERIZED IN THAT color values are used as representation values for the basic colors of a color space, in particular an RGB color space with 8-bit word length per color value respectively, and in said test sequence at least one color value, preferably all color values, are subjected as a representation values for each pixel to said comparison operation, in particular to a comparison operation that is executed as a tolerance comparison.

8. The method according to any one of the preceding claims, in particular according to claim 3, CHARACTERIZED IN THAT said test sequence extends over regularly intermittent image frames, and preferably in that another test sequence extends over alternately intermittent image frames and performs a comparison operation with another stored reference value.

9. The method according to any one of the preceding claims, CHARACTERIZED BY supplying one or more pieces of status information (14) from a control processor (20), that is safe in terms of signaling-technology, to said processor (4) which generates the image data stream and to the test unit (10).

10. A device for representing a safety-relevant state, comprising:

a display (6), in particular a TFT display;

a processor (4) for computer-aided creation of an image data stream taking into account a status information, wherein the image data stream contains representation values, in particular color values, and for forwarding the image data stream (8) to the display (6) for displaying an image by driving the pixels on the basis of the representation values;

as well as

a test unit (10) to which the image data stream is supplied for carrying out a computational safety test of a monitoring region (16), which comprises a contiguous set including a plurality of individual pixels in the image to be represented;

CHARACTERIZED IN THAT

a reference value (24) valid for all pixels of said monitoring region is stored in said test unit (10);

said test unit (10) is configured in order to computationally determine, in a test sequence, starting from the image data stream a result variable and for this purpose, successively and respectively for each pixel of a selection of pixels of said monitoring region (16), wherein said selection comprises at least every second pixel of the monitoring region to be tested,

- to perform a comparison operation between at least one representation value of the respective pixel and said stored reference value to form a comparison result; and

- in order to determine said result variable, to take into account said respective comparison result for each pixel of the selection, in particular by incrementally increasing or decreasing said result variable;

and configured in order to, after said test sequence has been carried out, either output said result variable which the test unit (10) has computationally determined as a function of the comparison results, or to compare the latter with a threshold value, so as to form either a positive or negative result of the safety test, wherein said threshold value for said result variable is determined in such a way that a positive result of the safety test is ascertained when a predetermined proportion of said selection of pixels satisfies the comparison criterion and this proportion is less than 100%.

11. The device according to claim 10, CHARACTERIZED IN THAT said test unit (10) is configured as a separate module distinct from said display (6) and distinct from said processor (4), and has a read-only input (18), which can be connected in parallel to an image data line (8) that connects said display to said processor.

12. The device according to claim 10 or 11, CHARACTERIZED IN THAT said test unit comprises an FPGA (12) or ASIC configured to perform the method according to the characterizing features of one of claims 1 to 9.

13. The device according to any one of claims 10 to 12, CHARACTERIZED IN THAT said test unit (10) has an input (14) for status information and an output for outputting the result of the safety test.

14. A vehicle, in particular a railway vehicle, comprising a device according to any one of claims 10 to 13.

Revendications

1. Procédé pour représenter un état relatif à la sécurité au moyen d'un affichage (6), comprenant les étapes de
créer un flux de données d'image moyennant un processeur (4) prenant en compte une information d'état, le flux de données d'image contenant des valeurs de représentation, en particulier des valeurs de couleur; transférer le flux de données d'image (8) vers l'affichage (6) pour représenter une image en commandant des pixels sur la base des valeurs de représentation; et
fournir le flux de données d'image à une unité de test (10) pour effectuer un test informatique de sécurité d'une région de surveillance (16), qui comprend un ensemble contigu incluant une pluralité de pixels individuels d'une image à représenter;
CARACTÉRISÉ EN CE QUE
une valeur de référence valable pour tous les pixels de ladite région de surveillance (16) est déterminée et l'unité de test (10) stocke cette valeur de référence (24) ;
ladite unité de test (10) détermine par calcul, dans une séquence de test, une variable de résultat à partir du flux de données d'image et, à cette fin, successivement et respectivement pour chaque pixel d'une sélection de pixels de la région de surveillance (16), ladite sélection comprenant au moins un pixel sur deux de la région de surveillance à tester,

- effectue une opération de comparaison entre au moins une valeur de représentation du pixel respectif et ladite valeur de référence stockée pour en former un résultat de comparaison; et

- afin de déterminer ladite variable de résultat, le résultat de comparaison respectif pour chaque pixel de la sélection est pris en compte, notamment en augmentant ou diminuant de manière incrémentale ladite variable de résultat;

et, après que ladite séquence de test a été exécutée, ladite variable de résultat, que l'unité de test a déterminée par calcul en fonction des résultats de comparaison, es comparée avec une valeur seuil, de préférence au moyen de ladite unité de test (10), de manière à former un résultat positif ou négatif du test de sécurité, ladite valeur seuil pour ladite variable de résultat étant déterminée de telle sorte qu'un résultat positif du test de sécurité est déterminé lorsqu'une proportion prédéterminée de ladite sélection de pixels satisfait au critère de comparaison et que cette proportion est inférieure à 100 %.

2. Procédé selon la revendication 1, CARACTERISE EN CE QUE ladite opération de comparaison est effectuée sous forme

- d'une comparaison d'identité de la valeur de représentation numérique avec une valeur de référence numérique de longueur de mot identique;

- d'une comparaison d'inégalité, notamment en tant que comparaison inférieure à, comparaison inférieure ou égale à, comparaison supérieure à ou d'une comparaison supérieure ou égale à; ou sous forme

- d'une comparaison à tolérance, en particulier d'une partie des bits de la valeur de représentation qui est d'une valeur supérieure en termes de valeur binaire, avec une valeur de référence d'une longueur de mot plus courte.

3. Procédé selon la revendication 1 ou 2, CARACTERISE EN CE QUE ladite séquence de test s'étend sur plus d'une trame d'image et présente de préférence une fréquence de répétition de f/n, où f est la fréquence de trames de l'affichage (6) et n est un nombre entier > 1.

4. Procédé selon l'une quelconque des revendications précédentes, CARACTERISE EN CE QUE la représentation d'une image comprend une zone de couleur dont la couleur est déterminée par le processeur (4) en fonction desdites informations d'état, ladite zone de couleur symbolisant notamment un témoin lumineux de contrôle ou d'avertissement ou représentant l'arrière-plan d'un affichage (6) relatif à la sécurité qui change dynamiquement.

5. Procédé selon l'une quelconque des revendications précédentes, en particulier selon la revendication 4, CARACTERISE EN CE QUE ladite séquence de test comprend l'augmentation ou la diminution incrémentale d'un compteur de pixels (26) et que ladite valeur seuil utilisée pour former le résultat du test de sécurité est déterminée en fonction du compteur de pixels.

6. Procédé selon l'une quelconque des revendications précédentes, CARACTERISE PAR l'étape de fournir ladite information d'état (14) à ladite unité de test (10) et de déterminer ladite valeur de référence valable pour tous les pixels de ladite région de surveillance et/ou de ladite région de surveillance par l'unité de test (10) en fonction de l'information d'état.

7. Procédé selon l'une quelconque des revendications précédentes, CARACTERISE EN CE QUE des valeurs de couleur sont utilisées comme valeurs de représentation pour les couleurs de base d'un espace colorimétrique, en particulier un espace colorimétrique RVB avec une longueur de mot de 8 bits par valeur de couleur respectivement, et en ce que dans ladite séquence de test au moins une valeur de couleur, de préférence toutes les valeurs de couleur, sont soumises à ladite opération de comparaison en tant que valeurs de représentation pour chaque pixel, en particulier à une opération de comparaison qui est exécutée comme une comparaison à tolérance.

8. Procédé selon l'une quelconque des revendications précédentes, en particulier selon la revendication 3, CARACTERISE EN CE QUE ladite séquence de test s'étend sur des trames d'images régulièrement intermittentes, et de préférence en ce qu'une autre séquence de test s'étend sur des trames d'images alternativement intermittentes et effectue une opération de comparaison avec une autre valeur de référence stockée.

9. Procédé selon l'une quelconque des revendications précédentes, CARACTERISE PAR l'étape de fournir une ou plusieurs informations d'état (14) provenant d'un processeur de commande (20), qui est sécurisé en termes de technologie de signalisation, audit processeur (4) qui génère le flux de données d'image et à ladite unité de test (10).

10. Dispositif pour représenter un état relatif à la sécurité, comprenant:

un écran (6), en particulier un écran TFT;

un processeur (4) pour la création assistée par ordinateur d'un flux de données d'image prenant en compte une information d'état, le flux de données d'image contenant des valeurs de représentation, en particulier des valeurs de couleur, et pour transmettre le flux de données d'image (8) à l'affichage (6) pour afficher une image en commandant les pixels sur la base des valeurs de représentation; ainsi que une unité de test (10) à laquelle le flux de données d'image est fourni pour effectuer un test informatique de sécurité d'une région de surveillance (16), qui comprend un ensemble contigu comprenant une pluralité de pixels individuels dans l'image à représenter;

CARACTÉRISÉ EN CE QUE

une valeur de référence (24) valable pour tous les pixels de ladite région de surveillance est stockée dans ladite unité de test (10);

ladite unité de test (10) est configurée pour déterminer par calcul, dans une séquence de test, à partir du flux de données d'image, une variable de résultat et, à cette fin,

successivement et respectivement pour chaque pixel d'une sélection de pixels de la région de surveillance (16), ladite sélection comprenant au moins un pixel sur deux de la région de surveillance à tester,

- pour effectuer une opération de comparaison entre au moins une valeur de représentation du pixel respectif et ladite valeur de référence stockée pour en former un résultat de comparaison; et

- pour déterminer ladite variable de résultat, de prendre en compte ledit résultat de comparaison respectif pour chaque pixel de la sélection, notamment en augmentant ou diminuant de manière incrémentale ladite variable de résultat;

et ladite unité de test (10) est configuré de manière, après que ladite séquence de test a été exécutée, soit à faire sortir ladite variable de résultat que l'unité de test (10) a déterminée par calcul en fonction des résultats de la comparaison, soit à comparer ladite variable de résultat avec une valeur seuil, de manière à former un résultat positif ou

négatif du test de sécurité, dans lequel ladite valeur seuil pour ladite variable de résultat est déterminée de telle sorte qu'un résultat positif du test de sécurité est déterminé lorsqu'une proportion prédéterminée de ladite sélection de pixels satisfait au critère de comparaison et que cette proportion est inférieure à 100 %.

11. Dispositif selon la revendication 10, CARACTERISE EN CE QUE ladite unité de test (10) est configurée comme module séparé qui est distinct dudit affichage (6) et distinct dudit processeur (4), et possède une entrée en lecture seule (18), qui peut être connectée en parallèle à une ligne de données d'image (8) qui relie ledit affichage audit processeur.

12. Dispositif selon la revendication 10 ou 11, CARACTERISE EN CE QUE ladite unité de test comprend un FPGA (12) ou un ASIC configuré pour exécuter le procédé selon les caractéristiques de la partie caractérisante d'une des revendications 1 à 9.

13. Dispositif selon l'une quelconque des revendications 10 à 12, CARACTERISE EN CE QUE ladite unité de test (10) possède une entrée (14) pour l'information d'état et une sortie pour la sortie du résultat du test de sécurité.

14. Véhicule, en particulier véhicule ferroviaire, comprenant un dispositif selon l'une quelconque des revendications 10 à 13.

Zeichnung