DE3324313A1

DE3324313A1 - Einrichtung zur signaltechnisch sicheren darstellung von information auf einem datensichtgeraet

Info

Publication number: DE3324313A1
Application number: DE19833324313
Authority: DE
Inventors: Harald Ing.(grad.) 7143 Vaihingen Halfpap; Helmut Dipl.-Ing. 7250 Leonberg Uebel
Original assignee: Standard Elektrik Lorenz AG
Current assignee: Alcatel Lucent Deutschland AG
Priority date: 1983-07-06
Filing date: 1983-07-06
Publication date: 1985-01-17
Also published as: ZA844956B; YU111384A; IL72348A; IL72348A0

Description

Einrichtung zur signaltechnisch sicheren Darstellung von
Information auf einem Datensichtgerät Die Erfindung betrifft eine Einrichtung zur signaltechnisch sicheren Darstellung von Information auf einem Datensichtgerät.
Beim Einsatz von Rechnern zur Steuerung umfangreicher Anlagen oder Prozesse werden an der Schnittstelle zwischen Rechner und Bediener vielfach Datensichtgeräte eingesetzt, um dem Bediener zu ermöglichen, das Betriebsgeschehen anhand einer überschaubaren graphischen Darstellung zu beobachten.
Soll der Bediener in den Prozeß eingreifen können und aufgrund der ihm über das Datensichtgerät übermittelten Informationen sicherheitskritische Handlungen vornehmen können, so muß die Darstellung auf dem Sichtgerät signaltechnisch sicher sein, d.h. Fehler in der Informationsverarbeitung, die zu fehlerhafter Darstellung auf dem Datensichtgerät führen, dürfen nicht unerkannt bleiben.
Um signaltechnische Sicherheit zu erreichen, ist es beispielsweise aus einem Aufsatz von H.Steinfeld und W.Geber in "Signal + Draht" 69 (1977) Heft 10, Seiten 219 bis 229, bekannt, einen Farbmonitor von zwei getrennten Rechnersystemen aus mit voneinander unabhängig erarbeiteten, jedoch gleichen Bilddaten zu versorgen (siehe hier z.B. Seite 222, rechte Spalte, 3.Absatz). Die Bilddaten müssen hier zusätzlich noch in unterschiedlicher Form vorliegen, um ein richtiges Bild zu ergeben. Jede Abweichung der von den verschiedenen Rechnersystemen stammenden Bilddaten voneinander wird auf dem Bildschirm auffällig angezeigt. Letzeres kann durch ungültige Farben oder Zeichen oder aber, wie dies heute meist der Fall ist, durch Blinken von Bildteilen geschehen. Das Blinken tritt dabei automatisch ein, wenn der Monitor mit einer vom Auge gut wahrnehmbaren Frequenz einmal von dem einen und einmal von dem anderen Rechner angesteuert wird und die Bilddaten nicht übereinstimmen.
Die Darstellung auf einem in dieser Weise angesteuerten Datensichtgerät gilt als signaltechnisch sicher. Sie ist es jedoch nur, wenn auch sichergestellt ist, daß das Datensichtgerät ständig von einem Bediener überwacht wird.
Bleibt das Datensichtgerät längere Zeit unbeobachtet, so ist die Wahrscheinlichkeit dafür, daß während dieser Zeit bei beiden Rechnersystemen der gleiche Fehler auftritt, nicht mehr beliebig gering. Ein solcher Doppelfehler würde aber, wenn er nicht gerade eine unsinnige Anzeige ergibt, nicht bemerkt.
Die Einrichtung nach der Erfindung soll eine signaltechnisch sichere Darstellung von Information auf einem Datensichtgerät ohne die Mitwirkung eines Bedieners ermöglichen. Sie wird durch die Merkmale des Patentanspruchs 1 beschrieben.
Hierbei ist die Verwendung von rückgekoppelten Schieberegistern zur Datenreduktion in anderem Zusammenhang für sich bekannt (siehe z.B. DE-OS 30 09 355). Ein Vergleich der Bilddaten hat neben dem Wegfall der Sichtkontrolle den Vorteil, daß sämtliche Baugruppen bis hin zum Bildschirm einschließlich der Bildschirmansteuereinheit ständig auf einwandfreie Funktion überwacht werden. Durch die vorgeschaltete Datenreduktion mittels der rückgekoppelten Schieberegister können zur Wiedergabe eines vollständigen Bildes ausreichende Datenmengen ohne eine überlastung der eingesetzten Mikroprozessoren signaltechnisch sicher (fall safe) auf übereinstimmung geprüft werden.
Die Verwendung einfacher und kostengünstiger Bauelemente erlaubt auch die Verdreifachung von Bauteilen, so daß gemäß Patentanspruch 2 auch Farbmonitore überwacht werden können.
Eine besonders kostengünstige Ausgestaltung der Einrichtung nach der Erfindung ist im Patentanspruch 3 angegeben. Es wird hier eine gesonderte Vergleichseinrichtung eingespart.
Ein im Patentanspruch 4 beschriebenes Ausführungsbeispiel der erfindungsgemäßen Einrichtung sieht eine Umschaltung der Bilddatenquelle des Sichtgerätes vor, so daß bei einem Defekt in einem Steuerprozessor oder den diesem nachgeschalteten Baugruppen auf den parallelarbeitenden Steuerprozessor umgeschaltet werden und wenigstens ein nicht signaltechnisch sicherer Betrieb weitergeführt werden kann.
Anspruch 5 schließlich gibt eine Ausgestaltung wieder, die zur Bildschirmansteuerung einen zusätzlichen Mikroprozessor verwendet und in der eine Anpassung des langsamen Mikroprozessortaktes an den schnellen Takt der seriellen Bilddateneingabe erfolgt.
Anhand zweier Figuren soll nun ein Ausführungsbeispiel der erfindungsgemäßen Einrichtung beschrieben und seine Funktion erklärt werden.
Figur 1 zeigt ein Blockschaltbild der Erfindung 1 Figur 2 zeigt die Bildschirmansteuerung und Daten- a reduktion in einkanaliger Darstellung.
In Figur 1 ist das Prinzip der Einrichtu.ng nach der Erf findung dargestellt. Auf einem Datensichtgerät BS soll von zwei Steuerprozessoren SP1, SP2 parallel erarbeitet Information, beispielsweise das Gleisbild eines Stell-f werkes, graphisch dargestellt werden.
Das Datensichtgerät weist hierzu einen Bilddateneingano BD und einen Steuereingang SY für die zur Strahlablenkung erforderlichen Horizontal- und Vertikal-Synchronisationsimpulse auf. Ist das Datensichtgerät ein Farb- monitor, so weist es getrennte Bilddateneingänge für die drei Primärfarben Rot, Grün und Blau auf. Um die von den Steuerrechnern erarbeitete Information auf dem Bildschirm des Datensichtgerätes wiedergeben zu können, ist eine Umwandlung dieser Information in geeignete, vom Datensichtgerät verarbeitbare Bilddaten erforderlich. Diese Umwandlung erfolgt ebenfalls parallel in zwei Bildschirmansteuereinheiten BAl, BA2. Sie umfaßt die Zuordnung bestimmter Bildsymbole zu bestimmten, in den Steuerprozessoren erarbeiteten Informationen oder Teilinformationen, ferner die Abspeicherung der diese Bildsymbole bildenden Bildpunkte in je einem Bildwiederholspeicher BWS und das wiederholte Auslesen dieser Bildwiederholspeicher in einem schnellen, für eine flimmerfreie Darstellung erforderlichen Takt.
Die zweikanalig erarbeiteten, an den Ausgängen der Bildschirmansteuereinheiten ausgegebenen Bilddaten können dann als signaltechnisch sicher angesehen werden, wenn durch einen Vergleich ihre Identität festgestellt wird.
Gemäß der Erfindung geschieht dieser Vergleich automatisch und ohne Mitwirkung eines Menschen.
Nach jedem vollständigen Bild werden die zur Wiedergabe dieses Bildes aus einer Bildschirmansteuereinheit BA1 ausgegebenen Daten mit den von der anderen Bildschirmansteuereinheit BAZ ausgegebenen elektronisch verglichen.
Da es sehr schwierig sein dürfte, einen signaltechnisch sicheren (fail safe) Vergleicher für die mit hoher Frequenz (z.B. 14 MHz) an den Ausgängen der Bildschirmansteuereinheiten auftretenden seriellen Datenströme zu realisieren, wird in der erfindungsgemäßen Einrichtung zunächst eine Datenreduktion durchgeführt. Hierzu werden die seriellen Bilddatenströme jeweils dem seriellen Eingang eines rückgekoppelten Schieberegister RSR1, RSR2 zugeführt. Nach Eingabe der für ein vollständiges Bild erforderlichen Bilddaten werden die Parallelausgänge der rückgekoppelten Schieberegister durch die Steuerprozessoren SP1, SP2 abgefragt. Die ausgelesenen Bitkombinationen werden dann über eine zwischen den Steuerprozessoren bestehende Datenverbindung DV gegenseitig ausgetauscht und es wird in beiden Steuerprozessoren ein Identitätsvergleich durchgeführt. Das Bild wird nur dann als richtig angesehen, wenn der Vergleich in beiden Rechnern Identität ergibt.
Die rückgekoppelten Schieberegister sind so ausgelegt, daß sie in der Lage sind, eine zur Darstellung von z.B.
512 x 512 Bildpunkten erforderliche Datenmenge mit Hammingdistanz H=4 zu sichern. Hierzu reicht eine Schieberegisterlänge von 20 Bit aus. Die Steuerprozessoren führen damit nur noch einen Vergleich zwischen zwei 20 Bit-Worten durch, was in den Bildpausen ohne Schwierigkeiten erfolgen kann.
Bei einem Farbmonitor als Datensichtgerät ist für jeden der drei Bilddateneingänge eine Bildschirmansteuereinheit und ein rückgekoppeltes Schieberegister vorgesehen. Der Vergleich der Parallelausgänge der rückgekoppelten Schieberegister erfolgt jeweils zwischen den Inhalten der der gleichen Farbe zugeordneten Schieberegister, auf gleiche Weise wie bei Vorhandensein nur eines Bilddaten einganges.
In Figur 2 ist der Aufbau eines einzelnen Kanals der erfindungsgemäßen Einrichtung dargestellt. Die Bildschirmansteuereinheit BA enthält hier einen Bildprozessor BP, einen Bildwiederholspeicher BWS und eine Steuerlogik SL welche das rückgekoppelte Schieberegister RSR über Steuerleitungen 1 und 2 mit Bildanfangs- und Bi Idendesignalen sowie mit dem Takt des seriellen Bilddatenstromes versorgt. Letzterer wird von einem schnellen Taktgenerator TG erzeugt. Auch der Arbeitstakt des Bildprozessors BP wird aus dem Takt des Taktgenerators TG über einen Frequenzteiler T gewonnen. Die Bildschirmansteuereinheit enthält außerdem noch ein weiteres Schieberegister SR.
Dieses dient der Anpassung der Arbeitsgeschwindigkeiten von Bildwiederholspeicher und Datensichtgerät bei der Ausspeicherung der im Bildwiederholspeicher gespeicherten Bilddaten. Der Inhalt des relativ langsam arbeitenden Bildwiederholspeichers wird byteweise parallel auf das Schieberegister SR ausgegeben. Die serielle Weitergabe auf das Datensichtgerät BS erfolgt dann mit dem schnellen Takt des Taktgebers TG. Ein Und-Glied zwischen Schieberegister und Datensichtgerät überwacht, daß die serielle Ausgabe des Schieberegisters SR nicht vom Takt des Taktgenerators TG abweicht. Schieberegister und Und-Glied sind hierzu über eine Takt leitung 4 mit dem Taktgeber TG verbunden.
Figur 2 enthält schließlich noch einen Pufferspeicher PS.
Dieser dient der Zwischenspeicherung des Inhaltes des rückgekoppelten Schieberegisters RSR. Eine solche Zwischenspeicherung ist besonders dann erforderlich, wenn ein Farbmonitor als Datensichtgerät verwendet wird und für jede Farbe ein besonderes rückgekoppeltes Schieberegister und ein besonderer Pufferspeicher vorhanden sind.
Der Pufferspeicher erhält Taktsignale über eine Taktleitung 3 von der Steuerlogik SL und Steuersignale vom Steuerprozessor über eine Steuerleitung 8, welche die Vollständigkeit der Bildinformation signalisieren.
Die Funktion der Einrichtung nach der Erfindung ist wie folgt: Beide Steuerprozessoren haben eine Information, die auf dem Datensichtgerät angezeigt werden soll, erarbeitet, untereinander ausgetauscht und mittels eines Software-Vergleichs verglichen. Jeder der Prozessoren (SP in Fig. 2) gibt nun die darzustellende Information wiedergebende Daten, beispielsweise Ort und Lage einer Weiche in einem Gleisbild, codiert an den Bildprozessor BP aus. Der Bildprozessor ordnet den ihm übermittelten codierten Informationen bestimmte, in Listen abgelegte Bildpunkt- 4 kombinationen zu und überträgt diese auf den Bildwieder holspeicher. Er arbeitet dabei in einem Takt, der aus dEm Takt des Taktgebers TG abgeleitet ist und beispielsweise lediglich 1/8 der Taktgeschwindigkeit des Taktgebers TG aufweist. Mit diesem langsamen Takt wird auch der Inhalt des Bildwiederholspeichers BWS byteweise parallel in das Schieberegister SR eingespeichert. Das Auslesen dieses Schieberegisters auf den Bilddateneingang BD des Datensichtgerätes BS erfolgt jedoch mit der hohen Taktfrequenz des Taktgebers TG. Die Bildsynchronisation wird ebenfalls vom Bildprozessor BP über den Synchronisationseingang SY des Datensichtgerätes vorgenommen. Auch die Synchronisationsimpulse für Bildanfang und Bildende, die das regekoppelte Schieberegister RSR von der Steuerlogik SL erhält, stammen vom Bildprozessor. Der Bildprozessor ist hierzu über Steuerleitungen 5 und 6 mit der Steuerlogik verbunden.
Ist ein vollständiges Bild im Bildwiederholspeicher abgelegt, so beginnt die serielle Bilddatenausgabe auf das Datensichtgerät. über eine Leitung 7 werden die Bilddaten gleichzeitig dem seriellen Eingang des rückgekoppelten Schieberegisters zugeführt und dort mit dem Takt des Taktgebers TG eingespeichert. Das Schieberegister läuft zwar bereits nach 20 Bit über, vermag aber durch seine Rückkopplung die ankommende Information so zu verändern, daß nach Eingabe der gesamten Bildinformation der im Schieberegister befindliche Inhalt von der gesamten Bildinformation charakteristisch geprägt ist. Eine Anderung der Bildinformation an bis zu drei Bitplätzen führt hier mit großer Sicherheit zu einer Anderung des verbleibenden Schieberegisterinhaltes.
Die Wahrscheinlichkeit für ein Nichterkennen einer beliebigen Verfälschung beträgt hier nur 2 x 10 9. Der geänderte Schieberegisterinhalt muß sich dann von einem zweiten, parallel aus der gleichen Information erarbeiteten Schieberegisterinhalt unterscheiden. Zu diesem Vergleich, der als Software-Vergleich von beiden Steuerprozessoren durchgeführt wird, wird nach Eingang der ein vollständiges Bild ergebenden Bilddaten der Schieberegisterinhalt auf den Pufferspeicher PS ausgegeben und von dort vom Steuerprozessor abgerufen.
Da das Datensichtgerät immer nur durch eine Bildschirmsteuereinheit (einkanalig) angesteuert werden kann, wird die Information eines Steuerprozessors zur Ansteuerung des Datensichtgerätes benötigt. Der zweite, parallelarbeitende Kanal speist lediglich ein rückgekoppeltes Schieberegister (RSR2 in Figur 1) um den Vergleich der reduzierten Bilddatenmenge zu ermöglichen.
Es ist jedoch zusätzlich möglich, einen Umschalter vorzusehen, mit dem das Datensichtgerät auf den zweiten Kanal umgeschaltet werden kann. Dann kann bei einem Ausfall des ersten Kanals wenigstens nicht sichere Information auf dem Datensichtgerät dargestellt werden.
Auch ist es denkbar, den Umschalter in bekannter Weise mit einer vom menschlichen Auge gut wahrnehmbaren Frequenz zu betätigen, womit sich Unterschiede in der Bilddarstellung durch Blinken bemerkbar machen. Diese heute übliche Sicherung unter Einbeziehung des Menschen kann als Rückfallebene dienen, für den Fall, daß der elektronische Vergleich der reduzierten Bilddaten, etwa infolge eines Bauelementeausfalles, versagt.

Claims

Patentansprüche ~.~ Einrichtung zur signaltechnisch sicheren Darstellung von Information auf einem Datensichtgerät mit mindestens zwei Steuerprozessoren, die die darzustellende Information unabhängig voneinander parallel erarbeiten, und mit mindestens zwei den einzelnen Steuerprozessoren nachgeschalteten Bi Ldschirmansteuereinheiten zur Umwandlung der von den Steuerprozessoren parallel erarbeiteten Information in zum Betrieb des Datensichtgerätes geeignete Bilddaten, d a d u r c h g e k e n n -z e i c h n e t , daß jeder Bildschirmansteuereinheit (BA, BAl, BA2) mindestens ein rückgekoppeltes Schieberegister CRSR, RSR1, RSR2) zugeordnet ist, dem die von der jeweiligen Bildschirmansteuereinheit ausgegebenen Bilddaten seriell zugeführt werden, und daß die Parallelausgänge jeweils zweier von verschiedenen Bildschirmansteuereinheiten beaufschlagter rückgekoppelter Schieberegister (RSR1, RSR2) mit einer Vergleichsschaltung verbunden sind, welche nach Durchgang einer bestimmten Datenmenge durch die Schieberegister einen Vergleich der Schieberegisterinhalte durchführt und ein storungssignal ausgibt, wenn diese nicht übereinstimmen.
2. Einrichtung nach Anspruch 1, dadurch gekennzeihnet, daß das Datensichtgerät (BS) ein Farbmonitor mit für die drei Primärfarben getrennten Bilddateneingängen (BD) ist, daß die Bildschirmansteuereinheiten (BAl , BA2) und die rückgekoppelten Schieberegister (RSR1, RSR2) für jede Primärfarbe getrennt, paarweise vorhanden sind und daß der Vergleich der Schieberegisterinhalte jeweils zwischen den Inhalten der einer Primärfarbe zugeordneten S#chieberegister stattfindet.
3. Einrichtung nach Anspruch 1 oder Anspruch 2, dadurch gekennzeichnet, daß die Vergleichsschaltung von den beiden Steuerprozessoren (SP1, SP2) gebildet wird, wobei jeder der Steuerprozessoren mit dem Parallelausgang eines von zwei Schieberegistern (RSR1, RSR2) verbunden ist, deren Inhalte zu vergleichen sind,und wobei zwischen beiden Steuerprozessoren eine Datenverbindung (DV) besteht, über die die Steuerprozessoren die ausgelesenen Schieberegisterinhalte zum internen Vergleich untereinander austauschen.
4. Einrichtung nach einem der vorstehenden Ansprüche, dadurch gekennzeichnet, daß das Datensichtgerät (BS) nur mit solchen Bildschirmansteuereinheiten (BAl) verbunden ist, die ein und demselben Steuerprozessor (SP1) nachgeschaltet sind und daß eine Umschalteinrichtung vorgesehen ist, durch die das Datensichtgerät auf die dem anderen Steuerprozessor (SP2) nachgeschaltete Bildschirmansteuereinheit (BA2) umschaltbar ist.
5. Einrichtung nach einem der vorstehenden Ansprüche, dadurch gekennzeichnet, daß jede Bildschirmansteuereinheit (BA1, BA2) einen Bildprozessor (BP), einen Bildwiederholspeicher (BWS) und ein Schieberegister (SR) zum byteweisen Auslesen des Inhaltes des Bildwiederholspeichers und schnellen Einlesen in das Datensichtgerät (BS) und das rückgekoppelte Schieberegister (RSR) enthält.