DE102016122939A1

DE102016122939A1 - Medical device and method for driving actuators in a medical device

Info

Publication number: DE102016122939A1
Application number: DE102016122939.3A
Authority: DE
Inventors: Bapio Bamouni; Markus Bürstner; Cédric Kieffer
Original assignee: Maquet GmbH
Current assignee: Maquet GmbH
Priority date: 2016-11-28
Filing date: 2016-11-28
Publication date: 2018-05-30
Also published as: CN110022832B; BR112019010215A2; CN110022832A; EP4295831A3; KR20190085939A; JP7100032B2; EP3544566B1; WO2018095979A1; EP4295831A2; EP3544566A1; JP2019535436A; JP2022068281A; JP7297957B2

Abstract

Eine medizinische Vorrichtung mit wenigstens einer Komponente, welche durch einen Aktuator (15) bewegbar ist, umfasst:eine Benutzerschnittstelle (11, 12), über die ein Benutzer eine Anweisung zur Bewegung der Komponente an einen Benutzerschnittstellen-Mikrocontroller (18) eingeben kann; undeine Steuereinrichtung (13), welche ausgelegt ist, um Daten des Benutzerschnittstellen-Mikrocontrollers (18) abzufragen, zu authentifizieren und bei erfolgreicher Authentifizierung den Aktuator (15) anzusteuern, um die Komponente entsprechend der Anweisung des Benutzers zu bewegen.A medical device having at least one component movable by an actuator (15) comprises: a user interface (11, 12) via which a user may enter an instruction to move the component to a user interface microcontroller (18); and a controller (13) arranged to query, authenticate and, upon successful authentication, query the actuator of the user interface microcontroller (18) to drive the actuator (15) to move the component in accordance with the user's instruction.

Description

Hintergrund der ErfindungBackground of the invention

Die vorliegende Erfindung betrifft eine medizinische Vorrichtung, wie beispielsweise einen Operationstisch oder ein Deckenstativ, mit wenigstens einer Komponente, welche durch einen Aktuator bewegbar ist, sowie ein Verfahren zur Ansteuerung von Aktuatoren in einer medizinischen Vorrichtung.The present invention relates to a medical device, such as an operating table or a ceiling stand, with at least one component which is movable by an actuator, and a method for driving actuators in a medical device.

Bei medizinischen Vorrichtungen, wie z.B. Deckenstativen oder Operationstischen, sind üblicherweise mechanische Komponenten vorhanden, die über einen Aktuator bewegt werden können, sobald der Anwender einen Funktionsbefehl über eine Dateneingabeschnittstelle erzeugt. Eine fehlerhafte Bewegung dieser Komponenten stellt jedoch ein hohes Sicherheitsrisiko für einen Patienten oder einen Benutzer der medizinischen Vorrichtung dar. Daher wird die Ansteuerung der Aktuatoren üblicherweise redundant ausgelegt, so dass zusätzliche Sicherheits- und Kontrollmechanismen realisiert werden können.In medical devices, e.g. Ceiling tripods or operating tables usually have mechanical components that can be moved via an actuator as soon as the user generates a function command via a data input interface. A faulty movement of these components, however, represents a high security risk for a patient or a user of the medical device. Therefore, the actuation of the actuators is usually designed to be redundant, so that additional safety and control mechanisms can be realized.

Das Ansteuerungssystem wird dabei elektronisch realisiert und enthält in der Regel einen oder mehreren Mikrocontroller für die Verarbeitung der Funktionsbefehle. Aus Risikobetrachtungen werden Maßnahmen umgesetzt, so dass die Ansteuerung der Aktuatoren erstfehlersicher erfolgt. Die Erstfehlersicherheit wird klassischerweise über Hardware-Redundanzen im System realisiert. Dadurch werden jedoch die Komplexität und die Herstellungskosten der medizinischen Vorrichtung erhöht, da Komponenten sowie Kommunikationskanäle (Bus) aufgrund der Redundanzen jeweils mehrfach bereitgestellt, getestet, eingebaut und geprüft werden müssen.The control system is realized electronically and usually contains one or more microcontroller for processing the function commands. From risk considerations, measures are implemented so that actuation of the actuators is first-fail-safe. The first error security is conventionally realized via hardware redundancies in the system. However, this increases the complexity and manufacturing costs of the medical device, since components and communication channels (bus) must each be provided, tested, installed and tested several times due to the redundancies.

Es ist daher eine Aufgabe der vorliegenden Erfindung, die Komplexität und Herstellungskosten einer medizinischen Vorrichtung zu verringern, wobei jedoch weiterhin eine sichere Ansteuerung von Aktuatoren der medizinischen Vorrichtung gewährleistet werden kann.It is therefore an object of the present invention to reduce the complexity and manufacturing costs of a medical device, while still ensuring safe actuation of actuators of the medical device.

Überblick über die ErfindungOverview of the invention

Die voranstehend genannte Aufgabe wird durch eine medizinische Vorrichtung gemäß Anspruch 1 sowie durch ein Verfahren gemäß Anspruch 11 gelöst.The above object is achieved by a medical device according to claim 1 and by a method according to claim 11.

Eine medizinische Vorrichtung, wie beispielsweise ein Operationstisch oder ein Deckenstativ, umfasst dabei wenigstens eine Komponente, welche durch einen Aktuator bewegbar ist. Ferner umfasst die Vorrichtung eine Benutzerschnittstelle, über die ein Benutzer eine Anweisung zur Bewegung der Komponente an einen Benutzerschnittstellen-Mikrocontroller eingeben kann und eine Steuereinrichtung, welche ausgelegt ist, um Daten des Benutzerschnittstellen-Mikrocontrollers abzufragen. Der Benutzerschnittstellen-Mikrocontroller muss somit nicht ständig aktiv sein, sondern kann bei Eingabe einer Anweisung durch den Benutzer eingeschaltet werden, während die Steuereinrichtung mittels eines Polling-Verfahrens herausfinden kann, ob der Benutzerschnittstellen-Mikrocontroller aktiv ist und ob er eine Anweisung eines Benutzers erhalten hat. Die Steuereinrichtung ist ferner ausgelegt, um die vom Benutzerschnittstellen-Mikrocontroller empfangenen Daten zu authentifizieren und bei erfolgreicher Authentifizierung den Aktuator anzusteuern, um die Komponente entsprechen der Anweisung des Benutzers zu bewegen. Somit kann sichergestellt werden, dass die Aktuatoren nur dann aktiviert werden, wenn überprüft wurde, dass sowohl die Steuereinrichtung, als auch der Benutzerschnittstellen-Mikrocontroller fehlerfrei funktionieren.A medical device, such as an operating table or a ceiling stand, in this case comprises at least one component which can be moved by an actuator. Further, the apparatus includes a user interface through which a user may input an instruction to move the component to a user interface microcontroller and a controller configured to retrieve data from the user interface microcontroller. Thus, the user interface microcontroller does not have to be constantly active, but can be turned on when an instruction is input by the user, while the controller can use a polling method to find out if the user interface microcontroller is active and if it has received a user instruction , The controller is further configured to authenticate the data received from the user interface microcontroller and, upon successful authentication, to drive the actuator to move the component in accordance with the user's instruction. Thus, it can be ensured that the actuators are activated only when it has been verified that both the controller and the user interface microcontroller are functioning properly.

Gemäß einiger Ausführungsformen kann die Steuereinrichtung einen ersten und einen zweiten Mikrocontroller umfassen, wobei der erste Mikrocontroller ausgelegt ist, um mit dem Benutzerschnittstellen-Mikrocontroller zu kommunizieren, wobei der zweite Mikrocontroller ausgelegt ist, um mit dem ersten Mikrocontroller zu kommunizieren. Der zweite Mikrocontroller benötigt somit keinen eigenen Kommunikationskanal zum Benutzerschnittstellen-Mikrocontroller, sondern die Kommunikation zwischen der Benutzerschnittstelle und der Steuereinrichtung kann vom ersten Mikrocontroller gesteuert werden, ohne dass es zu Kollisionen oder Konkurrenz auf dem Kommunikationskanal kommen würde, und ohne dass ein zweiter Kommunikationskanal zwischen der Steuereinrichtung und der Benutzerschnittstelle benötigt würde.According to some embodiments, the controller may include first and second microcontrollers, wherein the first microcontroller is configured to communicate with the user interface microcontroller, wherein the second microcontroller is configured to communicate with the first microcontroller. The second microcontroller thus does not require its own communication channel to the user interface microcontroller, but the communication between the user interface and the controller can be controlled by the first microcontroller, without causing collisions or competition on the communication channel, and without a second communication channel between the Control device and the user interface would be needed.

Dabei kann der zweite Mikrocontroller ausgelegt sein, um über den ersten Mikrocontroller eine Sicherheitsabfrage, Challenge, an den Benutzerschnittstellen-Mikrocontroller zu senden, und wobei der erste Mikrocontroller ausgelegt ist, um die Antwort, Response, auf die Sicherheitsabfrage zu empfangen, und um die Antwort an den zweiten Mikrocontroller weiterzuleiten. Somit kann ein Challenge-Response-Verfahren zwischen dem zweiten Mikrocontroller und dem Benutzerschnittstellen-Mikrocontroller durchgeführt werden, ohne dass ein direkter Kommunikationskanal zwischen dem zweiten Mikrocontroller und dem Benutzerschnittstellen-Mikrocontroller besteht. Der erste Mikrocontroller leitet dabei vorzugsweise sowohl die Challenge als auch die Response lediglich weiter, ohne sie zu verändern oder auszuwerten. Weitere Daten vom Benutzerschnittstellen-Mikrocontroller, wie beispielsweise Bewegungsbefehle, können entweder zusammen mit der Response mitgeschickt werden, oder können unabhängig von der Authentifizierung über das Challenge-Response-Verfahren separat vom Benutzerschnittstellen-Mikrocontroller an den ersten Mikrocontroller geschickt werden.In this case, the second microcontroller may be configured to send a security query, Challenge, to the user interface microcontroller via the first microcontroller, and wherein the first microcontroller is configured to receive the response, response to the security query, and the response forward to the second microcontroller. Thus, a challenge-response method may be performed between the second microcontroller and the user interface microcontroller without having a direct communication channel between the second microcontroller and the user interface microcontroller. The first microcontroller preferably only forwards both the challenge and the response without changing or evaluating it. Additional data from the user interface microcontroller, such as motion commands, may be sent along with the response, or may be sent via the Challenge-Response procedures are sent separately from the user interface microcontroller to the first microcontroller.

Gemäß einiger Ausführungsformen kann der erste Mikrocontroller ausgelegt sein, um eine Bewegungsanweisung an den Aktuator auszugeben. Der zweite Mikrocontroller kann ferner ausgelegt sein, um eine Energiezufuhr des Aktuators zu aktivieren. Somit findet eine Bewegung der Komponente der medizinischen Vorrichtung durch den Aktuator nur dann statt, wenn sowohl der erste, als auch der zweite Mikrocontroller die von dem Benutzerschnittstellen-Mikrocontroller empfangenen Daten als gültigen Bewegungsbefehl identifiziert haben.According to some embodiments, the first microcontroller may be configured to output a move instruction to the actuator. The second microcontroller may be further configured to activate an energization of the actuator. Thus, movement of the medical device component by the actuator occurs only when both the first and second microcontrollers have identified the data received from the user interface microcontroller as a valid motion command.

Gemäß einiger Ausführungsformen kann die Steuereinrichtung in regelmäßigen Zeitabständen Daten von dem Benutzerschnittstellen-Mikrocontroller abfragen. Dadurch muss der Benutzerschnittstellen-Mikrocontroller keine Daten aktiv senden, sondern der Kommunikationskanal zwischen der Steuereinrichtung und dem Benutzerschnittstellen-Mikrocontroller kann von der Steuereinrichtung aus gesteuert und betrieben werden.According to some embodiments, the controller may poll data from the user interface microcontroller at regular intervals. As a result, the user interface microcontroller does not have to actively send data, but the communication channel between the controller and the user interface microcontroller can be controlled and operated by the controller.

Gemäß einiger Ausführungsformen kann ein Bussystem zwischen der Steuereinrichtung und der Benutzerschnittstelle vorgesehen sein, das derart ausgelegt ist, dass der Datenaustausch zwischen allen Elementen der Steuereinrichtung und der Benutzerschnittstelle über das Bussystem verläuft. Somit ist nur eine einzige Datenleitung zwischen der Steuereinrichtung und der Benutzerschnittstelle erforderlich. Dadurch wird der Aufbau der medizinischen Vorrichtung vereinfacht, insbesondere wenn die Steuereinrichtung in einem größeren räumlichen Abstand zu der Benutzerschnittstelle angeordnet ist.According to some embodiments, a bus system may be provided between the controller and the user interface, which is configured such that the data exchange between all elements of the controller and the user interface extends over the bus system. Thus, only a single data line is required between the controller and the user interface. This simplifies the construction of the medical device, in particular if the control device is arranged at a greater spatial distance from the user interface.

Gemäß einiger Ausführungsformen kann die Steuereinrichtung über zwei getrennte Kommunikationskanäle mit einer Ansteuerung des Aktuators verbunden sein, wobei über einen ersten Kommunikationskanal die Energiezufuhr für den Aktuator aktivierbar ist, und über einen zweiten Kommunikationskanal Bewegungsbefehle an den Aktuator übermittelt werden können. Bei einer modularen medizinischen Vorrichtung kann somit für jedes mit wenigstens einem Aktuator versehene Modul eine eigene Aktuator-Ansteuerung vorgesehen sein, welche dann jeweils über die beiden Kommunikationskanäle mit der zentralen Steuereinrichtung der medizinischen Vorrichtung verbunden werden kann. Alternativ kann die Steuereinrichtung ausgelegt sein, um die Energiezufuhr und die Bewegung des Aktuators jeweils direkt anzusteuern.According to some embodiments, the control device can be connected via two separate communication channels with a control of the actuator, wherein the energy supply for the actuator can be activated via a first communication channel, and movement commands can be transmitted to the actuator via a second communication channel. In the case of a modular medical device, a separate actuator drive can thus be provided for each module provided with at least one actuator, which can then be connected in each case via the two communication channels to the central control device of the medical device. Alternatively, the control device can be designed to directly control the energy supply and the movement of the actuator in each case.

Gemäß einiger Ausführungsformen kann die Benutzerschnittstelle mit einem Bedienelement verbunden sein, wobei das Bedienelement ausgelegt ist, ein erstes Signal zu erzeugen, mittels dessen eine Energiezufuhr zu dem Benutzerschnittstellen-Mikrocontroller aktivierbar ist, und ein zweites Signal zu erzeugen, das der vom Benutzer eingegebenen Anweisung zur Bewegung der Komponente der medizinischen Vorrichtung entspricht. Somit wird der Benutzerschnittstellen-Mikrocontroller nur dann aktiviert, wenn das Bedienelement tatsächlich von einem Benutzer aktiviert wird, und es kann, beispielsweise über einen zusätzlichen kapazitiven Sensor zur Erzeugung des ersten Signals, eine gültige Benutzereingabe an dem Bedienelement erkannt werden.According to some embodiments, the user interface may be connected to a control, wherein the control is configured to generate a first signal by means of which a power supply to the user interface microcontroller is activatable, and to generate a second signal representing the instruction input by the user Movement of the component of the medical device corresponds. Thus, the user interface microcontroller is activated only when the operating element is actually activated by a user, and it can be recognized, for example via an additional capacitive sensor for generating the first signal, a valid user input to the operating element.

Dabei kann vorgesehen sein, dass das Bedienelement mit der Benutzerschnittstelle kommuniziert, und dass die Benutzerschnittstelle Signale des Bedienelements auswertet und daraus das erste und das zweite Signal erzeugt. In diesem Fall kann beispielsweise auch ein einziger Tastendruck eines Benutzers von der Benutzerschnittstelle derart ausgewertet werden, dass daraus sowohl ein erstes Signal erzeugt wird, das eine Energiezufuhr zu dem Benutzerschnittstellen-Mikrocontroller aktiviert, als auch ein zweites Signal erzeugt wird, das anschließend von dem aktivierten Benutzerschnittstellen-Mikrocontroller als Bewegungsbefehl ausgewertet werden kann.It can be provided that the operating element communicates with the user interface, and that the user interface evaluates signals of the operating element and generates therefrom the first and the second signal. In this case, for example, a single button press of a user can be evaluated by the user interface in such a way that it generates both a first signal which activates a power supply to the user interface microcontroller and a second signal which is subsequently generated by the user interface User interface microcontroller can be evaluated as a motion command.

Gemäß einem weiteren Aspekt wird ein Verfahren zur Steuerung eines Aktuators zum Bewegen wenigstens einer Komponente einer medizinischen Vorrichtung bereitgestellt, wobei das Verfahren das Empfangen einer Anweisung zum Bewegen der Komponente über eine Benutzerschnittstelle an einem Benutzerschnittstellen-Mikrocontroller und das Abfragen von Daten des Benutzerschnittstellen-Mikrocontrollers durch eine Steuereinrichtung umfasst. Anschließend werden die vom Benutzerschnittstellen-Mikrocontroller abgefragten Daten in der Steuereinrichtung authentifiziert und der Aktuator wird entsprechend der Anweisung angesteuert, wenn die Authentifizierung in der Steuereinrichtung erfolgreich ist. Somit wird die Komponente der medizinischen Vorrichtung nur dann bewegt, wenn die Steuereinrichtung überprüft hat, dass ein gültiger Bewegungsbefehl von einem Benutzer eingegeben wurde und dass der Benutzerschnittstellen-Mikrocontroller fehlerfrei funktioniert.According to another aspect, there is provided a method of controlling an actuator to move at least one component of a medical device, the method comprising receiving an instruction to move the component via a user interface to a user interface microcontroller and retrieving data from the user interface microcontroller a control device comprises. Subsequently, the data interrogated by the user interface microcontroller is authenticated in the controller and the actuator is driven in accordance with the instruction if the authentication in the controller is successful. Thus, the medical device component is only moved when the controller has verified that a valid motion command has been entered by a user and that the user interface microcontroller is functioning properly.

Gemäß einiger Ausführungsformen kann der Schritt des Authentifizierens das Senden einer Sicherheitsabfrage, Challenge, von einem zweiten Mikrocontroller der Steuereinrichtung, über einen ersten Mikrocontroller der Steuereinrichtung an den Benutzerschnittstellen-Mikrocontroller, das Senden einer Antwort, Response, auf die Sicherheitsabfrage zusammen mit einem Bewegungsbefehl von dem Benutzerschnittstellen-Mikrocontroller an den ersten Mikrocontroller umfassen, und das Senden der Antwort von dem ersten Mikrocontroller an den zweiten Mikrocontroller umfassen. Anschließend kann die Antwort durch den zweiten Mikrocontroller zur Authentifizierung des Bewegungsbefehls überprüft werden. Somit kann die Kommunikation zwischen der Steuereinrichtung und dem Benutzerschnittstellen-Mikrocontroller vollständig über den ersten Mikrocontroller laufen, und es kann trotzdem ein Challenge-Response-Verfahren zwischen dem zweiten Mikrocontroller und dem Benutzerschnittstellen-Mikrocontroller realisiert werden, bei dem die jeweilige Challenge und Response von dem ersten Mikrocontroller jeweils nur weitergeleitet wird, ohne dass der erste Mikrocontroller die entsprechenden Daten weiter verarbeitet, auswertet oder verändert. Vorzugsweise kennt der erste Mikrocontroller auch nicht die korrekte Antwort auf die Sicherheitsabfrage des zweiten Mikrocontrollers, so dass bei einer Fehlfunktion des Benutzerschnittstellen-Mikrocontrollers nicht fälschlicherweise eine Antwort des ersten Mikrocontrollers im zweiten Mikrocontroller authentifiziert werden kann.According to some embodiments, the step of authenticating may include sending a security query, Challenge, from a second microcontroller of the controller, via a first microcontroller of the controller to the user interface microcontroller, sending a response, response, to the security query along with a move command from the controller Include user interface microcontroller to the first microcontroller, and sending the response from the first microcontroller to the second Microcontroller include. Subsequently, the response can be checked by the second microcontroller to authenticate the motion command. Thus, the communication between the controller and the user interface microcontroller may be completely over the first microcontroller, and yet a challenge-response method may be realized between the second microcontroller and the user interface microcontroller, where the respective challenge and response from the The first microcontroller is only forwarded in each case without the first microcontroller further processing, evaluating or changing the corresponding data. Preferably, the first microcontroller also does not know the correct answer to the security query of the second microcontroller, so that a malfunction of the user interface microcontroller can not erroneously authenticate a response of the first microcontroller in the second microcontroller.

Dabei kann der Schritt des Ansteuerns des Aktuators das Senden einer Bewegungsanweisung an den Aktuator durch den ersten Mikrocontroller und das Aktivieren einer Energiezufuhr des Aktuators durch den zweiten Mikrocontroller umfassen. Somit wird sichergestellt, dass die Komponente der medizinischen Vorrichtung nur dann bewegt wird, wenn beide Mikrocontroller die Authentizität der von dem Benutzerschnittstellen-Mikrocontroller empfangenen Daten verifiziert haben.In this case, the step of driving the actuator may comprise sending a movement instruction to the actuator by the first microcontroller and activating a power supply of the actuator by the second microcontroller. Thus, it is ensured that the component of the medical device is moved only when both microcontrollers have verified the authenticity of the data received from the user interface microcontroller.

Gemäß einiger Ausführungsformen kann die Steuereinrichtung die Daten des Benutzerschnittstellen-Mikrocontrollers in regelmäßigen Zeitabständen abfragen, und somit ein Polling-Verfahren realisieren.According to some embodiments, the controller may interrogate the data of the user interface microcontroller at regular intervals, thus realizing a polling process.

Figurenlistelist of figures

Beispielhafte Ausführungsformen der vorliegenden Erfindung werden nachstehend unter Bezugnahme auf die angehängten Zeichnungen beschrieben, in welchen gleiche Bezugszeichen jeweils gleiche oder einander entsprechende Elemente bezeichnen.

1 zeigt einen beispielhaften Operationstisch mit ansteuerbaren Komponenten, bei dem die Vorrichtung und das Verfahren gemäß Ausführungsformen der vorliegenden Erfindung eingesetzt werden können.
2 zeigt ein beispielhaftes Deckenstativ mit ansteuerbaren Komponenten, bei dem die Vorrichtung und das Verfahren gemäß Ausführungsformen der vorliegenden Erfindung eingesetzt werden können.
3 zeigt einen schematischen Überblick über eine Steuerungsvorrichtung gemäß einer ersten Ausführungsform der vorliegenden Erfindung.
4 zeigt einen schematischen Überblick über eine Steuerungsvorrichtung gemäß einer zweiten Ausführungsform der vorliegenden Erfindung.
5 zeigt ein Flussdiagramm eines Steuerungsverfahrens gemäß einer Ausführungsform der vorliegenden Erfindung.

Exemplary embodiments of the present invention will now be described with reference to the accompanying drawings, in which like reference characters designate the same or corresponding elements respectively.

1 shows an exemplary operating table with controllable components, in which the device and the method according to embodiments of the present invention can be used.
2 shows an exemplary ceiling stand with controllable components, in which the device and the method according to embodiments of the present invention can be used.
3 shows a schematic overview of a control device according to a first embodiment of the present invention.
4 shows a schematic overview of a control device according to a second embodiment of the present invention.
5 FIG. 12 shows a flowchart of a control method according to an embodiment of the present invention.

Detaillierte BeschreibungDetailed description

In der folgenden Beschreibung werden unter Bezugnahme auf die Zeichnungen beispielhafte Ausführungsformen der vorliegenden Erfindung beschrieben. Die Zeichnungen sind dabei nicht notwendigerweise maßstabsgetreu, sondern sollen die jeweiligen Merkmale lediglich schematisch illustrieren.In the following description, exemplary embodiments of the present invention will be described with reference to the drawings. The drawings are not necessarily to scale, but are intended to illustrate the respective features only schematically.

Dabei ist zu beachten, dass die nachstehend beschriebenen Merkmale und Komponenten jeweils miteinander kombiniert werden können, unabhängig davon, ob sie in Zusammenhang mit einer einzigen Ausführungsform beschrieben worden sind. Die Kombination von Merkmalen in den jeweiligen Ausführungsformen dient lediglich der Veranschaulichung des grundsätzlichen Aufbaus und der Funktionsweise der beanspruchten Vorrichtung und des beanspruchten Verfahrens. Dabei sind Merkmale, die in Zusammenhang mit einer Ausführungsform der erfindungsgemäßen Vorrichtung beschrieben werden, auch in Zusammenhang mit dem beanspruchten Verfahren einsetzbar und umgekehrt.It should be understood that the features and components described below may be combined with each other regardless of whether they have been described in connection with a single embodiment. The combination of features in the respective embodiments is merely illustrative of the basic structure and operation of the claimed apparatus and method. In this case, features which are described in connection with an embodiment of the device according to the invention can also be used in connection with the claimed method and vice versa.

1 zeigt schematisch einen Operationstisch 100, mit einem Fuß 101 und einer Patientenlagerfläche 102. Die Patientenlagerfläche 102 umfasst mehrere Komponenten 103-106, wie beispielsweise Rückenplatten, Kopfplatten, Beinplatten und dergleichen. Die Komponenten 101, 103-106 sind mittels Aktuatoren bewegbar, um die Patientenlagerfläche 102 in eine gewünschte Position zu verstellen. Ein Benutzer kann über eine nicht gezeigte Bedieneinheit Befehle zur Ansteuerung der Aktuatoren eingeben. 1 schematically shows an operating table 100 with one foot 101 and a patient storage area 102 , The patient storage area 102 includes several components 103 - 106 such as back plates, head plates, leg plates and the like. The components 101 . 103 - 106 are movable by means of actuators to the patient support surface 102 to adjust to a desired position. A user can enter commands for actuating the actuators via an operating unit, not shown.

2 zeigt schematisch ein Deckenstativ 200, bei dem an einer zentralen Einheit 201 mehrere Arme 202, 203 angebracht sind, welche jeweils medizinische Geräte halten und in gewünschte Positionen bewegen können. Die Arme 202, 203 sind dabei mittels Aktuatoren bewegbar, wobei ein Benutzer über eine Bedieneinheit, die beispielsweise an der zentralen Einheit 201 angebracht sein kann, die Bewegung der Arme 202, 203 steuern kann. 2 shows schematically a ceiling tripod 200 in which at a central unit 201 a plurality of arms 202, 203 are mounted, which each hold medical devices and can move to desired positions. The poor 202 . 203 are movable by means of actuators, wherein a user via an operating unit, for example, to the central unit 201 can be attached, the movement of the arms 202 . 203 can control.

3 zeigt eine erste Ausführungsform der erfindungsgemäßen Vorrichtung 10. Dabei ist eine Benutzerschnittstelle 11 mit einer Benutzerschnittstellen-Platine (UI Processing Board) 12 verbunden, welche wiederum mit einer Steuerplatine 13 und einer Ansteuerung 14 verbunden ist. Die Ansteuerung 14 stellt die Spannungsversorgung und die Bewegungsbefehle für wenigstens einen Aktuator 15 einer medizinischen Vorrichtung, wie beispielsweise eines Operationstisches 100 oder eines Deckenstativs 200, bereit. 3 shows a first embodiment of the device according to the invention 10 , There is a user interface 11 connected to a user interface board (UI Processing Board) 12, which in turn is connected to a control board 13 and a drive 14 connected is. The driver 14 provides the power supply and the Movement commands for at least one actuator 15 a medical device, such as a surgical table 100 or a ceiling tripod 200 , ready.

Die Benutzerschnittstelle 11 kann hierbei beispielsweise einen oder mehrere Folienschalter umfassen, welcher einerseits über einen ersten Kontakt, der über einen kapazitiven Sensor 17 realisiert werden kann, ein erstes Signal erzeugt, und wobei der Benutzer andererseits über ein Bedienelement 16, wie beispielsweise über eine Taste oder einen Knopf, ein Auswahlsignal für eine gewünschte Funktion eingeben kann. Gemäß einer Ausführungsform kann der kapazitive Sensor 17 eine Schaltfolie umfassen, die bei Berührung bzw. Druck aktiviert wird. Alternativ kann ein kapazitiver Sensor vorgesehen sein, der separat angebracht ist, vergleichbar mit einem separatem Freigabeschalter. Wenn das Bedienelement 16 als eine Folientastatur ausgeführt ist, kann jede Taste zwei Funktionen erfüllen, wobei bei Druck auf die Folie das erste Signal erzeugt werden kann, und über die entsprechende Taste eine Funktion aus gewählt werden kann. Das Foliensignal an der Folientastatur zeigt dabei nur an, dass das Bedienelement 16 überhaupt betätigt wurde, und zeigt nicht, welche Taste betätigt wurde, d.h. welche Funktion ein Benutzer ausgewählt hat.The user interface 11 This may include, for example, one or more membrane switches, which on the one hand via a first contact, via a capacitive sensor 17 can be realized, generates a first signal, and wherein the user on the other hand via a control element 16 , such as via a button or a button, can enter a selection signal for a desired function. According to one embodiment, the capacitive sensor 17 include a switching foil, which is activated by contact or pressure. Alternatively, a capacitive sensor may be provided which is mounted separately, comparable to a separate enable switch. If the control 16 As a membrane keyboard is executed, each key can fulfill two functions, which can be generated when printed on the film, the first signal, and on the corresponding button a function can be selected from. The foil signal on the membrane keyboard only indicates that the operating element 16 ever pressed, and does not show which key was pressed, ie which function a user has selected.

Sicherheitskonzept: wenn µC kein Strom mehr hat, dann kann er keine falschen Befehle mehr schickenSafety concept: if μC has no more power, then he can no longer send wrong commands

Die Benutzerschnittstellen-Platine 12 umfasst einen Benutzerschnittstellen-Mikrocontroller (µC) 18, welcher die Eingaben des Bedienelements 16 empfängt und verarbeitet, und eine Spannungsversorgung 19 für den Benutzerschnittstellen-Mikrocontroller 18. Die Spannungsversorgung 19 empfängt Eingangssignale von dem kapazitiven Sensor 17 und/oder von dem Bedienelement 16, um den Benutzerschnittstellen--Mikrocontroller 18 nur dann mit Energie zu versorgen, wenn ein Benutzer das Bedienelement 16 bzw. den ersten Kontakt 17 betätigt.The user interface board 12 includes a user interface microcontroller (μC) 18 which inputs the controls 16 receives and processes, and a power supply 19 for the user interface microcontroller 18 , The power supply 19 receives input signals from the capacitive sensor 17 and / or from the operating element 16 to the user interface - microcontroller 18 only to provide energy when a user controls the control 16 or the first contact 17 actuated.

Über eine Daten- und Energieversorgungsleitung 21 ist die Benutzerschnittstellen-Platine 12 mit der Steuerplatine 13 verbunden. Somit besteht bei der gezeigten Ausführungsform zwischen der Benutzerschnittstellen-Platine 12 und der Steuerplatine 13 nur eine Verbindung über ein einziges Bussystem mit entsprechenden Schnittstellen 20, 22. Auf der Steuerplatine 13 sind zwei weitere Mikrocontroller, µC1 und µC2, vorgesehen, welche in 3 mit den Bezugszeichen 23 und 24 gekennzeichnet sind. Dabei ist nur der erste Mikrocontroller (µC1) 23 mit dem Bussystem 20, 21, 22 verbunden, und der zweite Mikrocontroller (µC2) 24 kommuniziert nur indirekt über den ersten Mikrocontroller 23 mit der Benutzerschnittstellen-Platine 12. Bei der gezeigten Ausführungsform ist weiterhin mindestens eine Bremse 25 vorhanden, welche die manuelle Verstellung von Elementen blockiert, welche nicht durch einen Aktuator 15 angetrieben sind.Via a data and power supply line 21 is the user interface board 12 with the control board 13 connected. Thus, in the embodiment shown, there is between the user interface board 12 and the control board 13 only one connection via a single bus system with corresponding interfaces 20 . 22 , On the control board 13 There are two more microcontrollers, μC1 and μC2, which are available in 3 with the reference numerals 23 and 24 Marked are. Only the first microcontroller (μC1) 23 is connected to the bus system 20 . 21 . 22 connected, and the second microcontroller (μC2) 24 communicates only indirectly via the first microcontroller 23 with the user interface board 12 , In the embodiment shown is at least one brake 25 present, which blocks the manual adjustment of elements that are not by an actuator 15 are driven.

Bei der in 3 gezeigten ersten Ausführungsform ist die Ansteuerung 14 separat von der Steuerplatine 13 vorgesehen und ist über eine erste Signalleitung 26 und eine zweite Stromversorgungsleitung 27 mit dieser verbunden. Über die Signalleitung 26 kann der erste Mikrocontroller 23 Befehle an den wenigstens einen Aktuator 15 ausgeben. Die Stromversorgung des Aktuators 15 wird wiederum über einen Schalter 28 der Ansteuerung 14 an- und ausgeschaltet, welcher vom zweiten Mikrocontroller 24 angesteuert wird. Hierbei kann vorgesehen sein, dass der zweite Mikrocontroller 24 die Funktion des Schalters 28 und des Aktuators 15 überwacht und gegebenenfalls Testsignale an den Schalter 28 und/oder an den Aktuator 15 sendet.At the in 3 shown first embodiment is the drive 14 separately from the control board 13 is provided and is via a first signal line 26 and a second power supply line 27 connected thereto. Via the signal line 26 may be the first microcontroller 23 Commands to the at least one actuator 15 output. The power supply of the actuator 15 will turn over a switch 28 the control 14 switched on and off, which is controlled by the second microcontroller 24. It can be provided that the second microcontroller 24 the function of the switch 28 and the actuator 15 monitors and, if necessary, test signals to the switch 28 and / or to the actuator 15 sends.

4 zeigt eine zweite Ausführungsform der erfindungsgemäßen Vorrichtung 10. Die in 4 gezeigte Vorrichtung 10 unterscheidet sich von der in 3 gezeigten Vorrichtung darin, dass die Ansteuerung 14 mit der Steuerplatine 13 integriert ausgebildet ist. Auch hierbei wird der wenigstens eine Aktuator 15 vom ersten Mikrocontroller 23 angesteuert, und eine Stromzufuhr des Aktuators 15 wird über einen Schalter 28 vom zweiten Mikrocontroller 24 aktiviert oder deaktiviert. 4 shows a second embodiment of the device according to the invention 10 , In the 4 shown device 10 is different from the one in 3 shown device in that the control 14 with the control board 13 is integrated. Here, too, the at least one actuator 15 from the first microcontroller 23 controlled, and a power supply of the actuator 15 is via a switch 28 from the second microcontroller 24 activated or deactivated.

Die Funktion der in 3 und 4 gezeigten Vorrichtungen wird nachfolgend unter Bezugnahme auf 5 beschrieben.The function of in 3 and 4 The apparatuses shown below will be described with reference to FIG 5 described.

5 zeigt eine schematische Darstellung eines Verfahrens gemäß einer Ausführungsform. Das in 5 gezeigte Verfahren ist in vier Aspekte gegliedert:

A. Dateneingabe
B. Verarbeitung
C. Empfangen und Umsetzen
D. Bewegung erzeugen

5 shows a schematic representation of a method according to an embodiment. This in 5 The procedure shown is divided into four aspects:

A. Data entry
B. Processing
C. Receiving and Reacting
D. Create movement

Diese Aspekte werden nachfolgend unter Bezugnahme auf die in 3 und 4 gezeigten Elemente der Steuervorrichtung beschrieben:These aspects are described below with reference to the in 3 and 4 shown elements of the control device described:

Dateneingabedata entry

Gemäß einer Ausführungsform wird in Schritt S1 an der Benutzerschnittstelle über einen kapazitiven Sensor oder dergleichen eine Betätigung eines Benutzers empfangen. Hierbei kann es sich um die Betätigung einer Freigabetaste durch den Benutzer oder um das Berühren der Folie einer Folientastatur durch den Benutzer handeln. Anschließend wird in Schritt S2 eine Energiezufuhr zum Benutzerschnittstellen-Mikrocontroller 18 eingeschaltet. Der Benutzerschnittstellen-Mikrocontroller 18 liest dann in Schritt S3 einen vom Benutzer über die Benutzerschnittstelle eingegebenen Bewegungsbefehl (Schritt S4) aus. Bei dem Bewegungsbefehl kann es sich beispielsweise um ein Niederdrücken einer bestimmten Taste einer Folientastatur handeln, oder um das Betätigen eines Schalters oder dergleichen zur Auswahl einer bestimmten Bewegung und Bewegungsrichtung.According to one embodiment, in step S1 at the user interface via a capacitive sensor or the like receive an operation of a user. This may be the operation of a release button by the user or touching the foil of a membrane keyboard by the user. Subsequently will be in step S2 an energy input to the user interface microcontroller 18 switched on. The user interface microcontroller 18 then reads in step S3 a motion command entered by the user through the user interface (step S4 ) out. The movement command may be, for example, a depression of a particular key of a membrane keyboard, or the operation of a switch or the like for selecting a particular movement and direction of movement.

Verarbeitungprocessing

Bei der Verarbeitung sendet Benutzerschnittstellen-Mikrocontroller 18 keine Kommandos von sich aus weiter, sondern der erste Mikrocontroller 23 auf der Steuerplatine 13 triggert jede Datenübertragung über das Bussystem 20, 21, 22 und fragt zyklisch Daten vom Benutzerschnittstellen-Mikrocontroller 18 ab („Polling“-Verfahren, Schritt S5). Dabei ist der erste Mikrocontroller 23 immer aktiv, selbst wenn der Benutzerschnittstellen-Mikrocontroller 18 ausgeschaltet ist. Der erste Mikrocontroller 23 bestimmt dabei die Zeiten zwischen den einzelnen Abfragen einer Benutzerschnittstellen-Platine 12. Die Zeiten liegen hierbei im Millisekundenbereich.When processing sends user interface microcontroller 18 no commands on its own, but the first microcontroller 23 on the control board 13 triggers every data transfer via the bus system 20 . 21 . 22 and cyclically retrieves data from the user interface microcontroller 18 from ("polling" method, step S5 ). Here is the first microcontroller 23 always active, even if the user interface microcontroller 18 is off. The first microcontroller 23 determines the times between the individual queries of a user interface board 12 , The times are in the millisecond range.

Ist der Benutzerschnittstellen-Mikrocontroller 18 aktiviert, wenn eine Polling-Anfrage des ersten Mikrocontrollers 23 eintrifft, sendet er in Schritt S6 eine Antwort auf die Polling-Anfrage an den ersten Mikrocontroller 23. Diese Antwort kann bereits den vom Benutzer eingegebenen Bewegungsbefehl umfassen, kann aber auch lediglich eine Statusanzeige des Benutzerschnittstellen-Mikrocontrollers 18 sein.Is the user interface microcontroller 18 activated when a polling request from the first microcontroller 23 arrives, he sends in step S6 an answer to the polling request to the first microcontroller 23 , This response may already include the user-entered motion command, but may also include only a status display of the user interface microcontroller 18 be.

Empfangen und UmsetzenReceive and implement

Beim Empfangen und Umsetzen der vom ersten Mikrocontroller 23 abgefragten Benutzerbefehle ist eine zweite Sicherung vorgesehen, durch den zweiten Mikrocontroller 24 auf der Steuerplatine 13. Bei der in 5 gezeigten Ausführungsform wird ein Challenge-Response-Verfahren verwendet. When receiving and converting the first microcontroller 23 queried user commands, a second fuse is provided by the second microcontroller 24 on the control board 13 , At the in 5 In the embodiment shown, a challenge-response method is used.

Hierzu kann der erste Mikrocontroller 23 zunächst in Schritt S7 den zweiten Mikrocontroller 24 aktivieren, welcher gemäß einer Ausführungsform somit nicht dauerhaft mit Energie versorgt werden muss. Alternativ kann auch vorgesehen sein, dass der zweite Mikrocontroller 24 dauerhaft aktiviert ist, und in Schritt S7 lediglich den Befehl erhält, eine Challenge zu erzeugen. In Schritt S9 sendet der zweite Mikrocontroller 24 die Challenge an den ersten Mikrocontroller 23, der selber weder die Challenge noch die dazugehörige korrekte Response kennt, und die Challenge in Schritt S10 somit nur an den Benutzerschnittstellen-Mikrocontroller 18 weiterleitet.For this purpose, the first microcontroller 23 first in step S7 the second microcontroller 24 activate, which thus does not need to be permanently supplied with energy according to an embodiment. Alternatively, it can also be provided that the second microcontroller 24 permanently activated, and in step S7 just gets the command to create a challenge. In step S9 sends the second microcontroller 24 the challenge to the first microcontroller 23 who knows neither the challenge nor the corresponding correct response, and the challenge in step S10 thus only to the user interface microcontroller 18 forwards.

In Schritt S11 erzeugt der Benutzerschnittstellen-Mikrocontroller 18 die korrekte Antwort, Response, auf die Sicherheitsfrage, Challenge, die vom zweiten Mikrocontroller 24 erzeugt wurde, und anschließend fragt in Schritt S12 der erste Mikrocontroller 23 die Response über ein Polling-Verfahren vom Benutzerschnittstellen-Mikrocontroller 18 ab. Als Antwort auf die Anfrage des ersten Mikrocontrollers 23 sendet in Schritt S13 der Benutzerschnittstellen-Mikrocontroller 18 die Response an den ersten Mikrocontroller 23, der die Response selbst nicht prüfen kann und sie in Schritt S14 unverändert an den zweiten Mikrocontroller 24 weiterleitet.In step S11 generates the user interface microcontroller 18 the correct answer, response, to the security question, Challenge, by the second microcontroller 24 was generated, and then asks in step S12 the first microcontroller 23 the response via a polling procedure from the user interface microcontroller 18 from. In response to the request of the first microcontroller 23 sends in step S13 the user interface microcontroller 18 the response to the first microcontroller 23 who can not test the response himself and she in step S14 unchanged to the second microcontroller 24 forwards.

Der zweite Mikrocontroller 24 prüft in Schritt S15 die Response, die der Benutzerschnittstellen-Mikrocontroller 18 erzeugt hat. Bei einer richtigen Response ist sichergestellt, dass der Benutzerschnittstellen-Mikrocontroller 18 angeschaltet ist und funktioniert. Wenn somit in Schritt S16 ermittelt wird, dass die Response gültig ist, kann in Schritt S17 der zweite Mikrocontroller 24 den ersten Mikrocontroller 23 darüber informieren, dass das Challenge-Response-Verfahren erfolgreich abgeschlossen ist und dass somit der Benutzerschnittstellen-Mikrocontroller 18 authentifiziert ist. Sollte in Schritt S16 ermittelt werden, dass die Response nicht gültig ist, wird in S18 der Prozess abgebrochen, und kann beispielsweise durch eine erneute Benutzereingabe (Schritt S1) wieder gestartet werden.The second microcontroller 24 checks in step S15 the response that the user interface microcontroller 18 has generated. A correct response ensures that the user interface microcontroller 18 is turned on and works. So if in step S16 it is determined that the response is valid in step S17 the second microcontroller 24 the first microcontroller 23 inform that the challenge-response procedure has been successfully completed, and thus that the user-interface microcontroller 18 is authenticated. Should be in step S16 If it is determined that the response is not valid, the process is aborted in S18, and may be terminated, for example, by reentering the user (step S1 ) are restarted.

Parallel zur Überprüfung der Response durch den zweiten Mikrocontroller 24 kann der erste Mikrocontroller 23 in Schritt S19 einen Bewegungsbefehl vom Benutzerschnittstellen-Mikrocontroller 18 abfragen, falls der erste Mikrocontroller 23 nicht bereits beispielsweise auf die erste Abfrage in Schritt S5 oder auf die Abfrage der Response in Schritt S12 den Bewegungsbefehl erhalten hat. In diesem Fall sendet der Benutzerschnittstellen-Mikrocontroller 18 den Bewegungsbefehl in Schritt S20 auf die entsprechende Anfrage des ersten Mikrocontrollers 23. Der erste Mikrocontroller 23 kann den Bewegungsbefehl dann beispielsweise auf Plausibilität, Kollisionsbedingungen oder dergleichen prüfen, und kann in Schritt S21 den zweiten Mikrocontroller 24 informieren, dass ein gültiger Bewegungsbefehl vorliegt.Parallel to checking the response by the second microcontroller 24 may be the first microcontroller 23 in step S19 a move command from the user interface microcontroller 18 query if the first microcontroller 23 for example, not already on the first query in step S5 or to the query of the response in step S12 received the movement command. In this case, the user interface microcontroller sends 18 the move command in step S20 to the corresponding request of the first microcontroller 23 , The first microcontroller 23 For example, it may then check the motion command for plausibility, collision conditions, or the like, and may, in step S21 the second microcontroller 24 inform that there is a valid motion command.

Beim voranstehend beschriebenen Verfahren kann in einer sogenannten Nachlaufzeit die Situation auftreten, dass der Benutzerschnittstellen-Mikrocontroller 18 noch aktiv ist, obwohl der Benutzer keinen Knopf am Bedienelement mehr drückt. In diesem Fall wird das Challenge-Response-Verfahren noch zu einer korrekten Response führen, aber der erste Mikrocontroller 1 erhält keinen gültigen Bewegungsbefehl. Während des gegenseitigen Informationsaustausches des ersten und zweiten Mikrocontrollers 23, 24 in den Schritten S17 und S21 kann somit sichergestellt werden, dass nur dann eine Bewegung erzeugt wird, wenn sowohl ein gültiger Bewegungsbefehl vorliegt, als auch sichergestellt wurde, dass der Benutzerschnittstellen-Mikrocontroller 18 authentifiziert ist. Das Vorhandensein einer gültigen Response alleine führt dabei bei der gezeigten Ausführungsform nicht direkt dazu, dass beispielsweise die Energiezufuhr der Aktuatoren aktiviert wird, und das Vorhandensein eines gültigen Bewegungsbefehls alleine führt ebenfalls nicht direkt dazu, dass dieser an die Aktuatoren gesendet wird. Somit kann auch während der Nachlaufzeit sichergestellt werden, dass die Aktuatoren nicht fälschlicherweise mit Energie versorgt oder gar aufgrund eines möglicherweise nicht mehr aktuellen Bewegungsbefehls bewegt werden, wenn der Benutzerschnittstellen-Mikrocontroller 18 noch aktiv ist, der Benutzer aber keinen weiteren Befehl mehr eingegeben hat.In the method described above, in a so-called follow-up time, the situation may occur that the user-interface microcontroller 18 is still active, although the user no longer presses a button on the control element. In this case, the challenge-response method will still lead to a correct response, but the first microcontroller 1 does not receive a valid motion command. During the mutual information exchange of the first and second microcontroller 23 . 24 in the steps S17 and S21 Thus, it can be ensured that only if a movement is generated, if there is both a valid motion command, and it has been ensured that the user interface microcontroller 18 is authenticated. The presence of a valid response alone does not directly result in the embodiment shown, for example, that the power supply of the actuators is activated, and the presence of a valid motion command alone does not directly lead to the fact that this is sent to the actuators. Thus, even during the follow-up time, it can be ensured that the actuators are not erroneously energized or even moved due to a possibly no longer current motion command when the user interface microcontroller 18 is still active, but the user has not entered another command.

Bewegung erzeugenGenerate movement

Um schließlich eine Bewegung der Aktuatoren zu erzeugen, nachdem der Benutzerschnittstellen-Mikrocontroller 18 authentifiziert wurde und der Bewegungsbefehl geprüft wurde, aktiviert in Schritt S22 der zweite Mikrocontroller 24 die Energiezufuhr des Aktuators bzw. der Aktuatoren, und der erste Mikrocontroller 23 leitet in Schritt S23 den Bewegungsbefehl an die Ansteuerungs-Platine 14 weiter, von der aus die Aktuatoren 15 angesteuert werden.Finally, to generate movement of the actuators after the user interface microcontroller 18 was authenticated and the move command was checked, activated in step S22 the second microcontroller 24 the power supply of the actuator (s), and the first microcontroller 23 leads in step S23 the move command to the drive board 14 continue, from which the actuators 15 be controlled.

Bei dem voranstehend beschriebenen Verfahren wird nur ein einziger Benutzerschnittstellen-Mikrocontroller 18 verwendet. Es können jedoch auch mehrere, unterschiedliche Eingabegeräte vorgesehen sein, welche jeweils als unabhängige Benutzerschnittstelle ausgeführt sind, und welche jeweils einen separaten zugeordneten Benutzerschnittstellen-Mikrocontroller 18 aufweisen. Das voranstehend beschriebene Konzept kann dabei auch für solche Anwendungsfälle skaliert werden, wenn mehrere Benutzerschnittstellen-Platinen 12 am Datenbus der Steuerplatine 13 angehängt werden, da jede einzelne Benutzerschnittstellen-Platine nur solange aktiv ist, wie der Anwender sie bedient. Die indirekte Datenübertragung zwischen dem zweiten Mikrocontroller 24 und dem Benutzerschnittstellen-Mikrocontroller 18 über den ersten Mikrocontroller 23 hat die Vorteile, dass der Bus 20, 21, 22 nur von dem ersten Mikrocontroller 23 gesteuert und getaktet werden kann, ohne dass weitere Prozessoren über die gleiche Leitung kommunizieren. Dies vereinfacht die Synchronisation und das Timing bei der Datenübertragung, da keinerlei Konkurrenz oder Kollision auftreten kann.In the method described above, only a single user interface microcontroller is used 18 used. However, it is also possible to provide a plurality of different input devices, which are each designed as an independent user interface, and which each have a separate associated user interface microcontroller 18 exhibit. The above-described concept can also be scaled for such applications, if several user interface boards 12 on the data bus of the control board 13 are appended since each user interface board is only active as long as the user operates it. The indirect data transfer between the second microcontroller 24 and the user interface microcontroller 18 over the first microcontroller 23 has the advantages of that bus 20 . 21 , 22 only from the first microcontroller 23 can be controlled and clocked without other processors communicate over the same line. This simplifies the synchronization and the timing in the data transmission, since no competition or collision can occur.

Die voranstehend beschriebenen Ausführungsformen der vorliegenden Erfindung gewährleisten somit eine sichere Ansteuerung von Aktuatoren der medizinischen Vorrichtung, auch ohne dass die an der Steuerung der Aktuatoren beteiligten Hardwarekomponenten vollständig redundant ausgelegt werden müssen. Es ist insbesondere nicht erforderlich, eine redundante Kommunikationsleitung, mit entsprechenden redundanten Bussystemen, zwischen einer Benutzerschnittstelle und einer Steuereinrichtung vorzusehen, da gemäß den voranstehend beschriebenen Ausführungsformen auch mit einer einzigen Datenverbindung ein Challenge-Response-Verfahren realisiert werden kann, um die fehlerfreie Funktion des Benutzerschnittstellen-Mikrocontrollers 18 und des ersten Mikrocontrollers 23 der Steuerplatine 13 mittels eines zweiten Mikrocontrollers 24 zu überprüfen. Somit kann sichergestellt werden, dass sowohl die Eingabe von Anweisungen durch den Benutzer, als auch die Ausgabe von Bewegungsanweisungen durch den ersten Mikrocontroller 23 fehlerfrei erfolgen.The embodiments of the present invention described above thus ensure reliable actuation of actuators of the medical device, even without the hardware components involved in the control of the actuators having to be designed completely redundantly. In particular, it is not necessary to provide a redundant communication line, with corresponding redundant bus systems, between a user interface and a control device, since, according to the embodiments described above, a challenge-response method can also be implemented with a single data connection in order to ensure the error-free operation of the user interfaces -Mikrocontrollers 18 and the first microcontroller 23 of the control board 13 by means of a second microcontroller 24 to check. Thus, it can be ensured that both the input of instructions by the user, as well as the output of movement instructions by the first microcontroller 23 error-free.

Claims

A medical device (100; 200) having at least one component (101, 103-106; 202, 203) movable by an actuator (15), comprising: a user interface (11, 12) for allowing a user to enter an instruction to move the component (101, 103-106; 202, 203) to a user interface microcontroller (18); and a control device (13) which is designed to query data of the user-interface microcontroller (18), to authenticate and, on successful authentication, to drive the actuator (15) to connect the component (101, 103-106; 202, 203) in accordance with Instruction of the user to move.

Medical device (100; 200) according to Claim 1 wherein the control device (13) comprises a first and a second microcontroller (23, 24), wherein the first microcontroller (23) is designed to communicate with the user interface microcontroller (18), and wherein the second microcontroller (24) is designed to communicate with the first microcontroller (23).

Medical device (100; 200) according to Claim 2 wherein the second microcontroller (24) is adapted to send a security challenge, challenge, to the user interface microcontroller (18) via the first microcontroller (23), and wherein the first microcontroller (23) is adapted to provide the response, Response, to receive the security query, and to forward the response to the second microcontroller (24).

Medical device (100; 200) according to one of Claims 2 or 3 wherein the first microcontroller (23) is further configured to issue a move instruction to the actuator (15), and wherein the second microcontroller (24) is further configured is to activate a power supply of the actuator (15).

The medical device (100; 200) of any one of the preceding claims, wherein the controller (13) polls data from the user interface microcontroller (18) at regular intervals.

Medical device (100; 200) according to one of the preceding claims, wherein a bus system (20-22) is provided between the control device (13) and the user interface (11, 12), which is designed so that the data exchange between all elements of the Control means (13) and the user interface (11, 12) via the bus system (20-22) extends.

A medical device (100; 200) according to any one of the preceding claims, wherein the control means (13) is arranged to separately control the power supply and movement of the actuator (15).

Medical device (100; 200) according to one of the preceding claims, wherein the control device (13) is connected to a drive (14) of the actuator (15) via two separate communication channels, the energy supply to the actuator (15) being supplied via a first communication channel. can be activated, and via a second communication channel movement commands to the actuator (15) can be transmitted.

A medical device (100; 200) according to any one of the preceding claims, wherein the user interface (11, 12) is connected to a control element (16, 17), and wherein the control element (16, 17) is adapted to generate a first signal, by means of which a power supply to the user interface microcontroller (18) is activatable and to generate a second signal corresponding to the user entered instruction to move the component (101, 103-106; 202, 203) of the medical device.

Medical device (100; 200) according to Claim 9 wherein the operating element (16, 17) communicates with the user interface (11, 12), and wherein the user interface (11, 12) evaluates signals of the operating element (16, 17) and generates therefrom the first and the second signal.

A method of controlling an actuator (15) for moving at least one component (101, 103-106; 202, 203) of a medical device (100; 200) comprising: Receiving (S1, S4) an instruction to move the component (101, 103-106, 202, 203) via a user interface (11, 12) to a user interface microcontroller (18); Querying (S5, S6) data of the user interface microcontroller (18) by a control device (13); Authenticating (S7-S15) the data interrogated by the user interface microcontroller (18) in the control means (13); and Driving (S22, S23) the actuator (15) according to the instruction when the authentication in the control device (13) is successful.

Method according to Claim 11 wherein the step of authenticating comprises: sending (S9) a security challenge, challenge, from a second microcontroller (24) of the controller (13) to the user interface microcontroller (18) via a first microcontroller (23) of the controller (13). ; Sending (S13) a response, Response, to the security query from the user interface microcontroller (18) to the first microcontroller (23); Sending (S14) the response from the first microcontroller (23) to the second microcontroller (24); and checking (S15) the response by the second microcontroller (24) to authenticate the motion command.

Method according to Claim 12 wherein the response is sent to the first microcontroller (23) from the user interface microcontroller (18) along with a move command.

Method according to Claim 12 or 13 wherein the step of driving the actuator (15) comprises: transmitting (S23) a move instruction from the first microcontroller (23) to the actuator (15); and activating (S22) an energization of the actuator (15) by the second microcontroller (24).

Method according to one of Claims 11 to 14 wherein the control device (13) polls the data of the user interface microcontroller (18) at regular time intervals.