DE102005011942A1 - Verfahren zur Fehleroffenbarung bei Anwendung einer sicherheitsrelevanten Anzeige, insbesondere auf Basis eines LCD- bzw. TFT-Displays oder einer analogen Technolgie - Google Patents

Abstract

Die Erfindung betrifft ein Verfahren zur Fehleroffenbarung bei Anwendung einer sicherheitsrelevanten Anzeige, insbesondere auf Basis eines LCD- bzw. TFT-Displays oder einer analogen Technologie, mit einem ersten über eine erste Datenquelle angesteuertes Anzeigeelement 9 und einem zweiten über eine zweite Datenquelle angesteuerten Anzeigeelement 10 zur Darstellung eines erfassten Messwertes. Eine redundante Erfassung und Übermittlung der Messwertdaten bietet die Möglichkeit einer einfachen Weise der Fehleroffenbarung. Hierzu wird erfindungsgemäß vorgeschlagen, dass das erste Anzeigeelement 9 durch das zweite Anzeigeelement 10 verdeckbar ist; vorzugsweise ist das zweite Anzeigeelement größer.

Description

• Die Erfindung betrifft ein Verfahren zur Fehleroffenbarung bei Anwendung einer sicherheitsrelevanten Anzeige auf Basis eines LCD- bzw. TFT-Displays oder einer analogen Technologie mit einem Anzeigeelement, einem Piktogramm oder einer Anzeigenadel zur analogen Darstellung eines Messwertes.
• In modernen ATP (Automatic Train Protection)-Systemen werden konventionelle Analog-Anzeigeinstrumente immer häufiger durch Displays auf Basis einer LCD-, TFT- oder verwandten Technologie ersetzt. Die Geschwindigkeit sowie Alarme (Statusanzeige) werden in Form einer virtuellen Instrumentengrafik dargestellt. Insbesondere sind die Ist-Geschwindigkeit (v_ist) oder die vom System festgelegte Soll-Geschwindigkeit (v_soll) sicherheitsrelevant, da sie für den Lokführer eine Führungsgröße darstellen. Darüber hinaus ist das ATP-System aufgrund der Sicherheitsanforderungen, z.B. "safety-integrity level" SIL 4, stets auf mehreren, von einander unabhängigen Kanälen aufgebaut. Diese Redundanz bietet eine Reihe von Möglichkeiten, eine Fehleroffenbarung bei Übertragung zur Display-Grafik darzustellen. Ein Alarmindikator (Zustand: "wahr"/"unwahr" bzw. "an"/"aus") könnte z.B. als Pixel-Bild auf Basis von zwei von einander unab hängigen Datenquellen aufgebaut oder zeitversetzt alternativ von diesen beiden Datenquellen angesteuert werden; nur, wenn die Daten übereinstimmen (Zustand: beide "wahr"), ist das Piktogramm entweder vollständig oder nicht-blinkend. D. h. der unvollständige bzw. blinkende Zustand weist auf eine Fehleroffenbarung (Fehlermeldung) hin.
• Für die Geschwindigkeitsanzeige kann ein solches Prinzip ebenfalls angewendet werden. Hier besteht die Anzeigenadel z.B. aus zwei Teilen (Teilzeiger), und die Position bzw. der Winkel der beiden Teilzeiger werden von unabhängigen Datenquellen bestimmt. Stimmen die Daten überein, so zeigt der jeweilige Teilzeiger die von den Eingangsdaten (-Informationen) festgelegte Geschwindigkeit an. Enthält ein Eingangskanal unterschiedliche Daten, so fallen die von den Nadeln angezeigten Werte auseinander. Ursache für unterschiedliche Eingangsdaten können der im Hintergrund geschaltete Steuerungscomputer oder auch Übertragungsfehler sein.
• Damit ist eine Reihe von Darstellungsmöglichkeiten einer Fehleroffenbarung vorstellbar, die auf den gleichen oder ähnlichen Grundprinzipien beruhen.
• In den bisher dargestellten Ansätzen wurde davon ausgegangen, dass die Informationen über unabhängige Kanäle und Datenwege im Display verarbeitet und durch verschiedene Segmente dargestellt werden. Dabei bleibt unberücksichtigt, dass es bei der Darstellung von dynamisch veränderlichen Informationen (wie z.B. die Ist- Geschwindigkeit) aufgrund der unabhängigen nicht synchronen Verarbeitung zu zeitlichen Verzögerungen zwischen den beiden Darstellungselementen kommen kann. Diese Verzögerungen werden als temporäre Abweichung zwischen den Darstellungselementen sichtbar, welche durch den Betrachter (z.B. Triebfahrzeugführer) ggf. als Fehler interpretiert würde. Dieses Verhalten ist aus ergonomischen Gesichtspunkten unakzeptabel.
• Aufgabe der vorliegenden Erfindung ist deshalb diese Probleme zumindest teilweise zu beheben und ein Anzeigeverfahren bereitzustellen, welches Toleranzunterschiede kompensiert.
• Dieses wird erfindungsgemäß dadurch erreicht, dass die sicherheitsrelevante Information nicht durch nebeneinander unabhängige Zeigersegmente zusammengesetzt dargestellt wird, sondern dass die Information für jeden unabhängigen Datenkanal jeweils vollständig einen ersten und einen zweiten Anzeigeelement abbildet und das zweite Anzeigeelement das erste Anzeigelement grundsätzlich überlappt.
• Im Falle der Zeigerdarstellung analoger dynamisch (zeitlich) veränderlicher Informationen wird die Toleranz gegenüber der Verarbeitungsasynchronität dadurch ausgeglichen, dass die beiden Zeiger unterschiedlich äußere Abmaße aufweisen und der erste (kleiner) Zeiger vollständig durch den anderen abdeckbar ist. Es liegt aber auch im Rahmen der Erfindung, dass das erste Anzeigelement eine LED oder dergleichen umfasst und das zweite, abdeckende Anzeigelement einen die LED Zeiger oder dergleichen.
• Je größer der Unterschied zwischen den Zeigerabmaßen ist, desto größer ist die zeitliche Toleranz, die durch die Darstellung ausgeglichen werden kann. Der Fehlerfall ist klar durch das Heraustreten des ersten (kleineren) Zeigers aus den Konturen des zweiten (größeren) Zeigers erkennbar.
• Bei einer besonders bevorzugten Weiterentwicklung ist vorgesehen, dass sich der Betreiber (z.B. Lokführer) bei einem Auseinanderfallen des ersten und des zweiten Zeigers immer an dem Zeiger orientiert, welche den höheren Wert angibt und diesen aus Sicherheitsgründen als den relevanten Wert ansieht, z.B. die relevante Geschwindigkeit.
• Das erfindungsgemäße Verfahren lässt sich sowohl bei analogen Instrumenten als auch bei LCD- bzw. TFT-Displays oder einer verwandten Technologie umsetzen. Bei der Verwendung eines LCD- oder TFT-Displays wird aus ergonomischen Gründen die Darstellung des ersten und des zweiten Zeigers vorzugsweise in der gleichen Farbe erfolgen und ohne die Verwendung von Begrenzungslinien.
• Die Erfindung wird nachfolgend anhand von bevorzugten Ausführungsformen beschrieben, wobei auf die beigefügten Zeichnungen Bezug genommen wird. In diesen zeigen:
• 1: eine schematische Darstellung einer Vorrichtung zur Durchführung des erfindungsgemäßen Verfahrens; und
• 2a–2c: schematische Darstellungen einer weiteren Vorrichtung zur Durchführung des erfindungsgemäßen Verfahrens.
• Ein bekanntes Verfahren ist in 1 veranschaulicht. Hier wird die Geschwindigkeit 125 in den ersten Kanal 1 des Steuerungscomputers durch eine rückwirkungsfreie Darstellung ohne Datenumwandlung übertragen. Diese Daten steuern den ersten Teilzeiger 4 an. Der zweite Kanal 2 dagegen liefert die Daten für eine 3-stellige Ziffernanzeige 3, ebenfalls durch eine rückwirkungsfreie Darstellung ohne Datenumwandlung. Zur Darstellung der vollständigen Anzeige wird mittels eines anderen Algorithmus als erster Teilzeiger 1, z.B. Transformationstabelle, der zweite Teilzeiger 5 angesteuert.
• Das oben genannte Prinzip könnte um unterschiedliche Datenformate zur Übertragung der v-Werte (Geschwindigkeitswerte) erweitert werden (z.B. unterschiedliche Hammingdistanz oder Nutzung von Binär- und Fließ-Komma-Formaten), um die Software-Sicherheit bei defizitärer Codierung zu erhöhen.
• In der ETCS (European Train Control System)-Spezifikation für ein virtuelles Anzeigeinstrument wird die unterschiedliche Darstellung der unterschiedlichen Geschwindigkeitsinformationen vorgeschlagen. D. h. die Nadel zeigt analog eine bestimmte Geschwindigkeit an, während dieselbe Geschwindigkeit nochmals in der Mitte digital als 3-stellige Ziffer angezeigt wird.
• Diese Lösung wird vom Betreiber aufgrund der möglichen Belastung des Lokführers nicht immer akzeptiert. Daher wird hier die erfindungsgemäße Alternative vorgeschlagen.
• 2a–2c zeigen das erfindungsgemäße Verfahren, bei dem ein durch den ersten Datenkanal angesteuerter erster Teilzeiger 9 durch einen durch einen zweiten Datenkanal angesteuerten zweiten Teilzeiger 10 in Normalstellung verdeckt wird.
• In 2a ist das System ohne Dynamik dargestellt, so dass beide Teilzeiger 9, 10 kollinear fluchten.
• 2b zeigt das System innerhalb der tolerierbaren Dynamik, bei dem der erste untere und kleinere Teilzeiger 9 gegenüber der Ruhestellung aus der Ruhestellung gemäß 2a nach oben ausschlägt. Diese „tolerierbare" Dynamik, die beispielsweise durch nicht vermeidbare Übertragungsverzögerungen auftreten kann, ist als solches für einen Betreiber aber nicht erkennbar, da der untere Teilzeiger 9 durch den größeren oberen Teilzeiger 10 verdeckt wird.
• Erst wenn der in 2c dargestellte Fehlerfall eine erhebliche Verzögerung und somit Dynamik erzeugt, tritt der untere Teilzeiger 9 aus der Umrandung des oberen Teilzeigers 10 heraus. Dieser ist als Fehler sofort für den Betreiber erkennbar. Damit bietet die in den 2a–2c dargestellte Ausführungsform des erfindungsgemäßen Verfahrens eine besonders einfache Möglichkeit zum Ausgleich unvermeidbarer Systemtoleran zen.
• Bei einer bevorzugten Realisierung des erfindungsgemäßen Verfahrens in einem Triebwagen mit einer Endgeschwindigkeit von 360 km/h hat der untere Zeiger 9 eine breite von 1 mm und eine Länge von 40 mm; der obere Zeiger 10 weist zur Realisierung des Toleranzausgleichs eine Breite von 4 mm und ebenfalls eine Länge von 40 mm auf. Der obere Zeiger deckt damit eine Toleranz von 6 km ab, wobei die auftretenden Toleranzunterschiede des Systems tatsächlich nur 1–2 km/h betragen.

1

Kanal

2

Kanal

3

Ziffernanzeige

4

erste Teilzeiger

5

zweite Teilzeiger

6

Vergleicher

7

Rückmeldung

8

juristische Recorder

9

unterer Zeiger

10

oberer Zeiger

Claims (3)

1. Verfahren zur Fehleroffenbarung bei Anwendung einer sicherheitsrelevanten Anzeige, insbesondere auf Basis eines LCD- bzw. TFT-Displays oder einer analogen Technologie, mit einem ersten über eine erste Datenquelle angesteuertes Anzeigelement (9) und einem zweiten über eine zweite Datenquelle angesteuerten Anzeigelemente (10) zur Darstellung eines erfassten Messwertes, DADURCH GEKENNZEICHNET, dass das erste Anzeigeelement (9) durch das zweite Anzeigeelement (10) verdeckbar ist.
2. Verfahren nach Anspruch 1, DADURCH GEKENNZEICHNET, dass die Anzeigeelemente (9, 10) im Wesentlichen dieselbe Geometrie aufweisen.
3. Verfahren nach Anspruch 1 und 2, DADURCH GEKENNZEICHNET, das erste Anzeigeelement (9) zum Ausgleich von Toleranzunterschieden kleiner als das zweite Anzeigelement (10).