CN103781692A - 操作装置 - Google Patents

Abstract

本发明涉及一种用于控制安全技术设备（10，300）的操作装置（30），其中所述操作装置（30）具有：计算机装置（50），与所述计算机装置（50）相连的、能够显示所述安全技术设备（10，300）的运行状态并且由所述计算机装置（50）的显示控制信号（AST）控制的显示装置（60，100），和与所述计算机装置（50）相连的、用于操作者方面输入控制命令（STB）的输入装置（60，110）。按照本发明，所述计算机装置（50）构造为，其监视操作者方面的输入行为的动态性并且在低于预定程度的动态性的情况下要求操作者方面检查所述显示装置（60，100）的正确的工作方式。

Description

操作装置

技术领域

本发明涉及一种用于控制安全技术设备，特别是用于控制铁路技术设备，诸如集控站或铁路控制装置的操作装置。

背景技术

这样的操作装置在轨道车辆技术领域例如在西门子控制系统族Vicos OC中被采用。其尤其具有计算机装置，与计算机装置相连的、可以显示安全技术设备的运行状态并且由计算机装置的显示信号控制的显示装置，和与计算机装置相连的用于操作者方面输入控制命令的输入装置。

在许多安全技术设备中，例如在铁路集控站或铁路控制装置中，存在问题，即，待监视和待控制的设备的运行状态可以在较长的时间段上保持不变。由此，用于显示所述设备的运行状态的显示装置的显示在较长的时间段上也不变。由此不清楚，由显示装置显示的运行状态是否实际上是最新的并且显示没有被“冻结”或“打上烙印”。

发明内容

本发明要解决的技术问题是，提出一种操作装置，利用所述操作装置可以在控制安全技术设备时以特别小的设备技术开销实现特别高的安全性。

上述技术问题通过具有在权利要求1的特征的操作装置解决。按照本发明的操作装置的优选构造在从属权利要求中给出。

按照本发明，提供一种用于控制安全技术设备、特别是用于控制铁路技术设备（例如集控站或铁路控制装置）的操作装置，其中所述操作装置具有：计算机装置；与计算机装置相连的显示装置，其可以显示安全技术设备的运行状态并且由计算机装置的显示控制信号控制；和与计算机装置相连的输入装置，用于操作者方面输入控制命令。计算机装置被构造为，其监视操作者方面的输入行为的动态性并且在低于预定程度的动态性的情况下要求操作者方面检查显示装置的正确的工作方式。

按照本发明的操作装置的一个主要优点是，在操作装置的操作时其评估操作行为，以便得出关于显示装置的正确的工作方式的结论。按照本发明的思路在于，在操作装置的定期的或“动态的”操作的情况下将定期地引起在显示装置上的显示的改变，从而可以及时揭示显示装置上的显示的冻结或烙印或其他显示故障（例如像素或片段缺失），因为这一点可以操作者方面被识别并且被报告。然而如果在较长的时间段上没有进行输入，则计算机装置按照本发明假定，其可能发生显示装置上的显示的冻结或烙印或其他显示故障：在这种情况下其要求检查显示装置的正确的工作方式，方法是，其例如显示测试图像。显示装置的正确的工作方式可以操作者方面通过在输入装置上的相应的输入来确认。

按照本发明的操作装置的另一个主要优点在于，用于检查显示装置的显示的当前性的另外的或其他措施是不必要的，因为如在发明者方面确定的那样已经通过对操作的“动态性”的监视实现了非常高程度的安全性。

按照一种特别优选的构造，计算机装置在检查操作者方面的输入行为的动态性的范围内检查，通过操作者方面的控制命令的输入是否这样改变显示控制信号，使得在显示装置的正确的工作方式的情况下在显示装置上的预定程度的时间上的显示变化被达到或超过，并且在低于预定程度的时间上的显示变化的情况下，要求操作者方面检查显示装置的正确的工作方式。在该优选构造中，在在计算机方面监视输入行为的动态性的情况下考虑显示控制信号的、引起在显示装置上的显示的变化：如果没有发生显示控制信号的（例如在预定的时间段中的）足够变化，，则要求操作者方面检查所述显示。

当检查，是否操作者方面在输入装置上输入用于放大和/或缩小在显示装置上显示的显示片段（或者说屏幕内容）的、预定程度（例如每个预定的时间单位）的控制命令时，可以特别简单和由此有利地检查操作者方面的输入行为的动态性。在低于预定程度时，可以要求操作者方面检查显示装置的正确的工作方式。

替换地或附加地可以设置，在检查操作者方面的输入行为的动态性的范围内检查，是否操作者方面在输入装置上输入用于移动在显示装置上显示的显示片段的、预定程度（例如每个预定的时间单位）的控制命令。在低于预定程度的情况下，可以要求操作者方面检查显示装置的正确的工作方式。

为了允许特别人类工程学地、直观地和由此特别不易出错地操作所述操作装置，认为有利的是，输入装置适合于，采集操作者方面的触摸和/或操作者方面的运动。这一点允许通过操作者方面的触摸和/或运动操作者方面输入控制命令。

认为特别有利的是，操作装置包括触摸和/或运动敏感的屏幕，其既构成用于操作者方面输入控制命令的输入装置又构成显示装置。触摸和/或运动敏感的屏幕（所谓的“触摸屏”）可以目前非常便宜并且以大的屏幕对角线获得，从而操作者方面的输入是特别简单并且不易出错的。

为了保证计算机装置的特别可靠的工作方式，作为有利的是，计算机装置包括第一和第二计算机单元，其二者与触摸和/或运动敏感的屏幕相连，其中，第一计算机单元利用显示控制信号控制屏幕并且其中第二计算机单元检查第一计算机单元的输出信号并且在由第一计算机单元产生的显示控制信号与本身确定的显示控制信号有偏差时产生故障信号。借助两个或另外的计算机单元可以确保，在一个计算机单元发生故障的情况下不会产生屏幕上的错误显示，因为通过第二或其他计算机单元总体上保证计算机装置的正确的工作方式。

为了确保，操作单元的操作仅通过授权的操作人员进行，还有利的是，操作装置包括验证装置，利用其可以检查，操作人员实际上是否被授权以操作。这样的验证装置例如可以包括：指纹传感器、RFID标签（射频识别元件）读设备和/或签名检查装置，其例如构造在触摸和/或运动敏感的屏幕的输入域上。

通过验证操作人员还可以的是，多个用户先后或同时在操作装置的一个或多个操作位置上工作。

为了揭示在操作装置的操作的范围内可能的输入错误或伪造，认为有利的是，将所有操作者方面输入的控制命令在显示装置上可视化。优选强调所有参与操作的元素。附加地或替换地也可以进行显示装置上的颜色改变，以便显示操作的方式和/或范围。

此外认为有利的是，操作装置这样构造，使得其在输入安全性相关的控制命令时始终要求确认。这样的确认例如可以通过显示“OK”输入域来进行，其必须操作者方面被激活，以便确认所述操作。

对控制命令的输入进行确认或要求对输入进行确认的图像元素的分辨率，优选大于其他图像元素的预定的平均分辨率。

同样认为有利的是，控制命令的内容替换地或附加地多样地显示，例如通过文本来替代/附加于图形或通过扬声器装置（例如耳机）进行报告来替代/附加于图形或文本。

本发明还涉及一种铁路技术设备，特别是集控站或铁路控制装置，其构造为具有如上所述的操作装置。

关于按照本发明的铁路技术设备的优点参见按照本发明的操作装置的上述优点，因为按照本发明的操作装置的优点与按照本发明的铁路技术设备的优点相应。

本发明还涉及一种用于控制安全性技术设备、特别是用于控制铁路技术设备（例如集控站或铁路控制装置）的方法，其中在显示装置上显示安全性技术设备的状态并且由输入装置采集操作者方面的控制命令。在发明人方面设置，监视操作者方面的输入行为的动态性并且在低于预定程度的动态性的情况下，要求操作者方面检查显示装置的正确的工作方式。

关于按照本发明的方法的优点参阅按照本发明的操作装置的所述优点，因为按照本发明的操作装置的优点与按照本发明的工作方式的优点相应。

按照方法的一种特别优选的构造，在检查操作者方面的输入行为的动态性的范围内检查，在显示装置的正确工作方式的情况下是否通过操作者方面输入控制命令而会达到或超过显示装置上的时间上的显示变化的预定程度，并且在低于时间上的显示变化的预定程度的情况下，显示至少一个测试图像或至少一个测试图像序列。如上所述，可以监视操作者方面的输入行为的动态性，方法是，监视显示片段、特别是屏幕内容的放大、缩小或移动。

替换地或附加地也可以在预定的时间窗之内监视显示元素的选择，例如通过手指触摸和/或双击，以便量化地确定并且监视操作者方面的输入行为的动态性。

替换地或附加地可以检查操作者方面的输入行为的动态性，其方式是，监视屏幕按键上（“On-screen”按键）的字母数字符号的输入。

附图说明

以下借助附图详细解释本发明。在此示例性的：

图1示出按照本发明的集控站的实施例，所述集控站构造为具有按照本发明的操作装置的实施例，

图2示出了在操作装置借助测试图像已经要求检查显示装置的正确工作方式之后，按照图1的集控站，

图3示出具有操作装置的集控站的实施例，所述操作装置装备有传统的屏幕以及键盘和计算机鼠标，

图4示出具有操作装置的集控站的实施例，所述操作装置具有验证装置，和

图5示出了按照本发明的铁路控制装置的实施例，所述铁路控制装置装备有按照本发明的操作装置的实施例。

在附图中为了清楚起见对于相同的或类似的组件始终使用相同的附图标记。

具体实施方式

图1示出了集控站10，其包括集控站计算机20以及操作装置30。除了操作装置30之外，另外的操作装置也可以连接到集控站计算机20，但是它们由于清楚性原因而在图1中没有被示出。

集控站10的集控站计算机20间接或直接与由集控站计算机20通过控制信号ST控制的铁路轨道设备（Eisenbahngleisanlage）40相连。利用控制信号ST例如可以控制或切换道岔、信号或铁路轨道设备40的其他组件。

操作装置30具有计算机装置50，触摸敏感的屏幕60连接到所述计算机装置。触摸敏感的屏幕60同时既构成显示装置又构成输入装置。

触摸敏感的屏幕60从计算机装置50接收显示控制信号AST，其引起触摸敏感的屏幕60上的显示。在触摸敏感的屏幕60上可以看出以显示窗61、62和63的形式的三个显示片段，它们可以进行不同的显示功能或者说可以显示不同的屏幕内容。

示例性地以下假定，显示窗61将铁路轨道设备40的运行状态可视化。两个显示窗62和63表示如下的输入窗，所述输入窗可以通过用于输入控制命令STB的、操作者方面的触摸来触摸。两个显示窗62和63例如可以显示选择元件，它们在被触摸时就产生对应的控制命令STB。替换地，在显示窗62和63也可以显示必须通过用于产生控制命令STB的触摸来例如多次触摸的字母数字键盘。也可以通过移动在触摸敏感的屏幕60上的元素或者“擦去”整个屏幕显示或单个显示窗61、62和63来产生控制命令STB。

由屏幕60识别的控制命令STB被传输到计算机装置50并且在那里被评估。为了确保，计算机装置50始终正确工作，其装备有第一计算机单元51以及第二计算机单元52。两个计算机单元51和52处理操作者方面在触摸敏感的屏幕60上输入的控制命令STB，以及由集控站计算机20传输到两个计算机单元51和52的消息M。

两个计算机单元中的一个，例如第一计算机单元51，活动地与触摸敏感的屏幕60一起工作：其活动地产生显示控制信号AST，所述显示控制信号到达触摸敏感的屏幕60。

而由触摸敏感的屏幕60识别的控制命令STB既由第一计算机单元51又由第二计算机单元52处理。第二计算机单元52按照所谓的“热备用”（开机备用）模式工作并且与第一计算机单元51并行地处理控制命令STB。

如在图1中可以看出的，两个计算机单元51和52互相连接，从而它们可以将控制命令STB的处理结果互相比较。这样第二计算机单元52获悉，哪些显示控制信号AST由第一计算机单元51产生并且应当在触摸敏感的屏幕60上被显示。如果由第一计算机单元51产生的显示控制信号AST与第二计算机单元52也基于控制命令STB以及集控站计算机20的消息M已经确定的显示控制信号一致，则计算机装置50总体上无故障地工作，使得可以进一步操作所述操作装置30。

相反如果第一计算机单元51或第二计算机单元52确定，两个计算机单元51和52的处理结果不同，则要么第一计算机单元51要么还有第二计算机单元52产生故障信号F并且传输到集控站计算机20。集控站计算机20由此识别，操作装置30不再正确工作，从而由操作装置30可能还传输的控制命令的执行未进行。

计算机单元51的在显示控制信号AST的产生方面的分配在此仅示例性地理解；替换地，显示控制信号AST也可以由第二计算机单元52产生。两个计算机单元51和52也可以交替地产生显示控制信号AST，例如在预定的时间段过去之后。

除了两个计算机单元51和52之外为了控制的目的还可以存在另外的计算机单元。

两个计算机单元51和52优选这样工作，使得其将过程模拟图，也就是铁路轨道设备40的状态，作为离散的状态自动机建模。铁路轨道设备40的每个元件可以取离散状态的有限数。在屏幕60上的输入或控制信号STB由此可以定义必要时应当触发状态过渡的事件。

此外可以设置，两个计算机单元51和52在例如由计算机单元51和52在允许的上限内部达成的同步时间点，将在屏幕60上显示的过程模拟图互相比较。例如可以利用或者从显示图像形成（例如基于哈希函数编码的）校验和，其被互相比较。

在按照图1的实施例中，计算机装置50通过两个物理上分开的计算机单元51和52形成。替换地也可以设置，两个计算机单元51和52仅虚拟地作为在同一个计算机单元上执行的软件重现来实现。

在图1中此外还可以看出，计算机装置50如何监视屏幕60上的显示的当前性。计算机装置50这样评估由触摸敏感的屏幕60传输的控制命令STB。如果控制命令STB足够频繁地包含例如导致显示窗移动（参见图1中的显示窗62）或显示窗放大或缩小（参见图1中的显示窗63）的命令，则计算机装置50假定，触摸敏感的屏幕60正确地工作：该假定从以下思路出发，即，显示窗的放大或缩小或移动可以由操作人员直接掌控；也就是如果在用于移动和/或放大和/或缩小显示窗的、操作者方面的相应命令情况下不是直接进行屏幕60上的显示的相应更新，则操作人员可直接识别，操作装置30不再正确工作并且控制命令STB的进一步产生是不允许或危险的，因为集控站计算机20会提供可能错误的控制命令STB'并且会发生铁路轨道设备40的错误转换。

但是如果在移动和/或放大和/或缩小显示窗之后通过产生其他控制命令STB而继续进行利用操作装置30的操作，则计算机装置50假定触摸敏感的屏幕60上的正确显示，从而输入的控制命令STB被进一步处理并且作为控制信号STB'被转送到集控站计算机20。

图2示例性示出，当在预定的最大时间段Tmax之内不进行显示窗的移动和/或放大和/或缩小时，计算机装置50如何修改在触摸敏感的屏幕60上的显示。在这种情况下计算机装置50不再假定，在触摸敏感的屏幕60上的显示必须是正确的。出于该原因，计算机装置50通过产生相应的显示控制信号AST（测试）并且传输到触摸敏感的屏幕60来在触摸敏感的屏幕60上产生测试图像T。操作所述操作装置30的操作人员现在可以在其已经检查了测试图像T的正确显示并且通过触摸为此设置的测试域70而已经确认了测试图像T的正确显示之后，才继续产生其他控制命令STB。在点击了测试域70之后又借助显示窗显示铁路轨道设备40的状态并且允许进一步产生控制命令STB，如结合图1已经解释的。

也可以设置，在调整轨道设备40的控制命令STB的输入之前的预定的时间段之内必须产生控制命令，该控制命令使得屏幕显示的当前性是可能的，也就是例如用于移动和/或放大和/或缩小显示片段（显示窗）的控制命令。如果并非如此，则例如产生测试图像T。

图3示出了集控站10的实施例，其中操作装置30不是具有触摸敏感的屏幕60而是具有以非触摸敏感的传统的屏幕形式的显示装置100。为了输入控制命令STB，设置单独的输入装置110，其包括键盘111以及计算机鼠标112。操作装置30的控制或控制命令STB的产生在此如结合图1已经解释的那样进行。

在按照图3的实施例中计算机装置50也定期地检查，操作者方面的输入行为的动态性是否达到预定程度。例如通过计算机鼠标112的相应运动，产生显示窗62和63的足够频繁的（例如每小时10次）移动和/或放大和/或缩小，则计算机装置50假定，显示装置100上的显示是最新的并且由此是正确的。但是如果计算机装置50确定，操作者方面的输入行为的动态性没有达到预定程度，因为没有以足够的频度（也就是例如每小时少于10次）进行显示窗的移动和/或放大和/或缩小，则其在显示装置100上显示测试图像，如已经结合图2解释的。此外按照图3的操作装置30的工作方式与按照图1和2的操作装置30的工作方式相应，从而参见上面的解释。

图4示出了集控站的实施例，其中操作装置30附加地具有验证装置200。验证装置200例如可以是指纹传感器、RFID芯片读设备或签名传感器，利用其可以检查操作所述操作装置30的操作人员的真实性。为此这样构造计算机装置50，使得其评估由验证装置200提供的验证信号AUT并且在成功验证的情况下允许操作装置30的操作并且否则禁止。

图5示出了铁路控制装置300的实施例，其包括主计算机310以及如结合图1和2已经解释的操作装置30。主计算机310评估控制命令STB'，所述控制命令由操作装置30产生并且相应地既控制与铁路控制装置300相连的铁路轨道设备40也控制在铁路轨道设备40上行驶的轨道车辆，其全部通过具有附图标记320的框来表示。

操作者方面的输入行为的动态性的监视通过评估由触摸敏感的屏幕60产生的控制信号STB来进行。如果控制命令STB表明，在触摸敏感的屏幕60发生预定程度的时间上的显示变化（也就是关于预定的时间间隔），则操作者方面产生的控制命令STB被允许并且作为控制命令STB'被进一步传输到控制站计算机（Leitwerksrechner）310。否则在触摸敏感的屏幕60上产生测试图像，如结合图2已经解释的那样。

尽管详细地通过优选实施例详细示出并描述了本发明，但是本发明不受公开的例子限制并且专业人员可以从中导出其他变化，而不脱离本发明的保护范围。

Claims (10)

1.一种用于控制安全技术设备（10，300）的操作装置（30），其中所述操作装置（30）具有：

-计算机装置（50），

-与所述计算机装置（50）相连的显示装置（60，100），其能够显示所述安全技术设备（10，300）的运行状态并且由所述计算机装置（50）的显示控制信号（AST）控制，和

-与所述计算机装置（50）相连的输入装置（60，110），用于操作者方面输入控制命令（STB），

其特征在于，

所述计算机装置（50）被构造为，其监视操作者方面的输入行为的动态性并且在低于预定程度的动态性的情况下要求操作者方面检查所述显示装置（60，100）的正确的工作方式。

2.根据权利要求1所述的操作装置，其特征在于，

所述计算机装置（50）被构造为使得其

-在检查操作者方面的输入行为的动态性的范围内检查，通过操作者方面输入所述控制命令（STB）是否这样频繁地改变所述显示控制信号（AST），使得在所述显示装置（60，100）的正确的工作方式的情况下达到或超过在所述显示装置（60，100）上的时间上的显示变化的预定程度，

-并且在低于时间上的显示变化的预定程度的情况下，要求操作者方面检查所述显示装置（60，100）的正确的工作方式。

3.根据上述权利要求中任一项所述的操作装置，

其特征在于，

所述计算机装置（50）被构造为，其在检查操作者方面的输入行为的动态性的范围内检查，是否操作者方面在所述输入装置（60，110）上输入预定程度的、用于放大和/或缩小在所述显示装置（60，100）上显示的显示片段（61，62，63）的控制命令（STB），并且在低于该预定程度时，要求操作者方面检查所述显示装置（60，100）的正确的工作方式。

4.根据上述权利要求中任一项所述的操作装置，

其特征在于，

所述计算机装置被构造为，其在检查操作者方面的输入行为的动态性的范围内检查，是否操作者方面在所述输入装置（60，110）上输入预定程度的、用于移动在所述显示装置（60，100）上显示的显示片段（61，62，63）的控制命令（STB），并且在低于该预定程度的情况下，要求操作者方面检查所述显示装置（60，100）的正确的工作方式。

5.根据上述权利要求中任一项所述的操作装置，

其特征在于，

所述输入装置（30）适合于，采集操作者方面的触摸和/或操作者方面的运动，并且通过操作者方面的触摸和/或运动能够操作者方面输入控制命令（STB）。

6.根据上述权利要求中任一项所述的操作装置，

其特征在于，

所述操作装置（30）包括触摸和/或运动敏感的屏幕（60），后者既构成用于操作者方面输入控制命令的输入装置又构成显示装置。

7.根据权利要求6所述的操作装置，

其特征在于，

-所述计算机装置（50）包括第一计算机单元和第二计算机单元（51，52），其二者与所述触摸和/或运动敏感的屏幕（60）相连，

-其中，所述第一计算机单元（51）利用所述显示控制信号（AST）控制所述屏幕（60），以及

-其中，所述第二计算机单元（52）检查所述第一计算机单元（51）的显示控制信号（AST），并且在由所述第一计算机单元（51）产生的显示控制信号（AST）与本身确定的显示控制信号有偏差时产生故障信号（F）。

8.一种铁路技术设备，特别是集控站（10）或铁路控制装置（300），具有按照上述权利要求中任一项所述的操作装置（30）。

9.一种用于控制安全性技术设备（10，300）的方法，其中，

-在显示装置（60，100）上显示所述安全性技术设备（10，300）的状态，以及

-由输入装置（60，110）采集操作者方面的控制命令（STB），

其特征在于，

监视操作者方面的输入行为的动态性并且在低于预定程度的动态性的情况下，要求操作者方面检查所述显示装置（60，100）的正确的工作方式。

10.根据权利要求9所述的方法，

其特征在于，

在检查操作者方面的输入行为的动态性的范围内检查，在所述显示装置的正确工作方式的情况下是否通过操作者方面输入控制命令（STB）而会达到或超过所述显示装置上的时间上的显示变化的预定程度，并且在低于时间上的显示变化的所述预定程度的情况下，显示至少一个测试图像（T）或至少一个测试图像序列。

Images