-
Technisches Sachgebiet der
Erfindung
-
Die
vorliegende Erfindung bezieht sich auf die sichere Anzeige eines
Schaubilds und insbesondere auf ein Überwachungssystem für sicherheitskritische
Anwendungen.
-
Hintergrund der Erfindung
und Stand der Technik
-
Aus
dem Stand der Technik ist die Verwendung von Schaubildern bekannt,
die zum Visualisieren des Zustands eines technischen Systems wie z.B.
einer Chemieanlage, eines Kernkraftwerks oder eines Schienennetzes
dienen. Die Betreiber von solchen hochgradig sicherheitskritischen
Anwendungen müssen
unbedingt sicher sein können,
daß die
Anzeige des Schaubilds auf dem Bildschirm den gegenwärtigen Betriebszustand
des Systems korrekt wiedergibt.
-
In
der Eisenbahntechnik beispielsweise steuert ein Fahrstraßen-Verriegelungssystem
die Gleisanlagen eines Eisenbahnnetzes anhand von Betriebsanforderungen,
die von einer zentralen Leitwarte aus übermittelt werden.
-
Ein
solches Fahrstraßen-Verriegelungssystem
ist gewöhnlich
mit einem Überwachungssystem gekoppelt,
zu dem unter anderem auch eine Workstation mit einem Bildschirm
zum Anzeigen des aktuellen Betriebszustands des Schienennetzes in
Form von Schaubildern gehört.
Diese Schaubilder basieren auf Informationen, die von Sensoren im überwachten
Schienennetz übermittelt
werden. Ein Bediener steuert den Betrieb des Fahrstraßen-Verriegelungssystems
anhand der auf dem Bildschirm dargestellten Situation. Vor allem
aber kann der Bediener insbesondere im Fall einer Fehlfunktion von
Anlagenkomponenten nach eigenem Ermessen Entscheidungen über die
Steuerung der Gleisanlagen des Schienennetzes treffen, um den störungsfreien Betrieb
des Netzes zu gewährleisten.
In diesem Zusammenhang ist der Ausdruck "Sicherung der Anzeige" so zu verstehen,
daß eine
Fehlfunktion der Anzeige erkannt wird.
-
Da
es sich hierbei um hochgradig sicherheitskritische Anwendungen handelt,
muß in
einer solchen Situation sichergestellt sein, daß die Anzeige der Schaubilder
auf dem Bildschirm den gegenwärtigen
Betriebszustand des Eisenbahnnetzes exakt widerspiegelt. Insbesondere
muß sichergestellt
sein, daß das Überwachungssystem
fehlerfrei arbeitet. Sollte dies nicht der Fall sein, so muß der Bediener
in der Lage sein, eine Fehlfunktion des Überwachungssystems einschließlich einer
fehlerhaften Anzeige der Schaubilder zu erkennen. Ein Anzeigenfehler kann
durch eine Störung
im Überwachungssystem verursacht
werden, zu der es beispielsweise dann kommen kann, wenn ein Programm
eine Schleife abarbeitet und dadurch die Rechenleistung der zentralen
Verarbeitungseinheit vollständig
in Anspruch nimmt, oder wenn es am Anzeigebildschirm selbst zu einer
Fehlfunktion kommt (diese Liste möglicher Fehlerursachen erhebt
keinerlei Anspruch auf Vollständigkeit).
-
Im
US-Patent Nr. 5,608,868 wird
ein Verfahren zum Absichern der Anzeige von Schaubildern auf einem
Bildschirm beschrieben, die den Betriebszustand eines an eine Workstation
angeschlossenen Systems wiedergeben. Dabei sind ein erster Zähler im
System und ein zweiter Zähler
in der Workstation implementiert. Das System sendet regelmäßig Bilddaten,
die ein Schaubild definieren, das den gegenwärtigen Betriebszustand des
Systems widerspiegelt, zusammen mit dem Stand des ersten Zählers und
einer Signatur an die Workstation. Als Reaktion zeigt die Workstation
auf dem Bildschirm ein auf den empfangenen Bilddaten basierendes
Schaubild an und berechnet einen Prüfwert, der vom ersten und vom
zweiten Zähler festgesetzt
wird und eine Basis für
die Erkennung eines möglichen
Anzeigenfehlers bildet.
-
In
WO 01/55853 A1 wird
ein Verfahren zum Darstellen eines Bildes der Verkehrslage in einem Gleissystem
auf einer Anzeige beschrieben, die aus einer pixelorientierten Sichtanzeigeeinheit
eines Bahnverkehrs-Kontrollsystems besteht. Das Bild wird auf der
Anzeige vor einem Bildhintergrund dargestellt, dessen Helligkeit
oder Farbe in Abhängigkeit vom
Vorhandensein oder Fehlen eines Steuersignals variiert wird. Das
Steuersignal wird mittels des Steuerungsgeräts automatisch in einem Intervall
zwischen der Eingabe eines benutzerseitigen Einstellungssignals
und der Eingabe eines benutzerseitigen Bestätigungssignals erzeugt.
-
In
GB-A 1,527,379 ist
ein Anzeigegerät
mit einem Symbolgenerator abgebildet, der eine Zusatzmarkierung
erzeugt. Die Zusatzmarkierung erscheint in regelmäßigen Intervallen
auf dem Bildschirm. Sobald eine Fehlfunktion oder Störung auftritt,
verändert
sich die Häufigkeit,
mit der die Markierung erscheint.
-
In
DE-A 199 18 902 wird
ein Verfahren zur Vermeidung eines Einbrenneffekts auf einer Anzeigeeinheit
gezeigt.
-
In
sicherheitskritischen Systemen nach dem bisherigen Stand der Technik
werden Anzeigen vom Bildröhrentyp
verwendet, da man davon ausgehen kann, daß die Fehlfunktion einer Bildröhre für den Bediener
unmittelbar erkennbar ist. Dies gilt jedoch nicht für Matrixanzeigen
wie z.B. Flachbildschirme und insbesondere Dünnfilmtransistor-(Thin-Film-Transistor-,
TFT-)Flüssigkristallanzeigen
(Liquid Crystal Displays, LCDs). Solche TFT-LCD-Anzeigeeinheiten
beinhalten Signalaufbereitungsmodule wie Analog-Digital-Wandler,
Module mit ASICs (Application-Specific Integrated Circuits, anwenderspezifischen
integrierten Schaltungen), Software-Treibern und Millionen von aktiven Feldeffekttransistoren.
Eine Fehlfunktion auch nur eines der Signalverarbeitungs-Subsysteme einer
solchen TFT-LCD-Matrixanzeigeeinheit kann in einer Veränderung
des Schaubilds resultieren, das dann nicht mehr dem aktuellen Betriebszustand
des zu überwachenden
Systems entspricht. Infolgedessen kommen solche Matrixanzeigeeinheiten
in hochgradig sicherheitskritischen Anwendungen nach dem bisherigen Stand
der Technik nicht zum Einsatz.
-
Zusammenfassende Beschreibung
der Erfindung
-
Die
Erfindung sieht ein verbessertes Verfahren zum Absichern der Anzeige
eines Schaubilds vor, welches es erlaubt, eine Matrixanzeigeeinheit
wie z.B. eine TFT-LCD-Anzeigeeinheit
in hochgradig sicherheitskritischen Anwendungen einzusetzen. Ferner
sieht die Erfindung ein entsprechendes Überwachungssystem und Computerprogramm
vor.
-
Gemäß einer
ersten Ausführungsform
der Erfindung wird das Schaubild auf der Matrixanzeigeeinheit angezeigt,
deren Hintergrund einen Grauwert hat. Der Grauwert des Hintergrundes
wird ständig verändert. So
wird der Hintergrundgrauwert beispielsweise innerhalb einer bestimmten
Zeitspanne zwischen einer unteren und einer oberen Grauwertgrenze
verändert.
Die Veränderung
kann bewirkt werden, indem an der unteren Grenze begonnen, danach
der Grauwert bis zur oberen Grenze erhöht und anschließend der
Grauwert von der oberen Grenze bis zur unteren Grenze verringert
wird und so fort. Diese Veränderung
wird in kurzen Intervallen durchgeführt, um ein Flimmern zu vermeiden.
-
Alternativ
dazu kann die Veränderung
auch "sägezahnförmig" erfolgen, indem
an der unteren Grauwertgrenze begonnen, der Grauwert bis zur oberen
Grauwertgrenze erhöht
und anschließend
sofort zur unteren Grauwertgrenze zurückgekehrt wird. Andere Veränderungsmuster
für die
Veränderung des
Grauwertes zwischen der unteren und oberen Grenze sind ebenfalls
möglich,
unter anderem pseudo-zufällige
Veränderungen.
-
Gemäß einer
weiteren bevorzugten Ausführungsform
der Erfindung wird die Zykluszeit für das Verändern der Grauwerte so gewählt, daß die Veränderung
von einem Bediener bequem erkennbar ist. Eine geeignete Wahl der
Zykluszeit für
diesen Zweck liegt in der Größenordnung
zwischen 0,2 Sekunden und 30 Sekunden und vorzugsweise zwischen
20 Sekunden und 25 Sekunden.
-
Gemäß einer
weiteren bevorzugten Ausführungsform
der Erfindung wird der Grauwert G des Hintergrundes zwischen G =
0 und G = 8% auf einer Skala verändert,
auf der ein Wert von G = 0 einem schwarzen und ein Wert von G =
100% einem weißen Hintergrund
entspricht. Alternativ dazu kann für die obere Grenze von G auch
ein höherer
Wert gewählt werden.
-
Gemäß einer
weiteren bevorzugten Ausführungsform
der Erfindung wird die Anzeige des Schaubilds auf der Matrixanzeigeeinheit
nach Ablauf bestimmter zuvor festgelegter Zeitintervalle verschoben.
Auf diese Weise wird ein "Einbrenneffekt" vermieden. Ein Schaubild
bleibt typisch über
längere Zeit
im wesentlichen unverändert.
-
Wenn
ein und dieselbe Anzeige über
längere Zeit
auf einer Matrixanzeige dargestellt wird, hat dies einen Speicher- und/oder "Einbrenn"-Effekt zur Folge.
Im Fall einer TFT-LCD-Matrixanzeige
ist dieser Effekt zwar reversibel, aber die Umkehrung des Effekts
dauert ebenso lange wie seine Entstehung. Um die Speicher- oder
Einbrenneffekte zu vermeiden, die durch die statische Anzeige eines
Schaubilds verursacht werden, wird die Anzeige des Schaubilds nach bestimmten
Zeitintervallen verschoben.
-
Vorzugsweise
wird die Verschiebung bewerkstelligt, indem das Schaubild entlang
einer Diagonalen der Matrixanzeigeeinheit verschoben wird. Vorzugsweise
ist die Strecke, um welche das Schaubild verschoben wird, größer als
die Dicke der Linien des Schaubilds.
-
Beispielsweise
läßt sich
das Zeitintervall für die
Verschiebevorgänge
zu acht Stunden wählen, was
einem Arbeitstag entspricht. Nach jedem Arbeitstag bzw. jeder Acht-Stunden-Schicht wird
ein solcher Verschiebevorgang der Schaubildanzeige ausgeführt.
-
Es
sei ausdrücklich
darauf hingewiesen, daß der
Verschiebevorgang nicht kontinuierlich ausgeführt wird, wie dies von Bildröhren nach
dem bisherigen Stand der Technik bekannt ist. Ein kontinuierlicher
Verschiebevorgang führt
bei Matrixanzeigen zu Flimmern. Die vorliegende Erfindung sieht
ein Mittel vor, um die Speicher- und Einbrenneffekte bei einer Matrixanzeige
zu vermeiden und zugleich Flimmererscheinungen der Anzeige zu verhindern.
Dies wird erreicht, indem die Anzeige in diskreten Zeitintervallen
wie z.B. in Acht-Stunden-Intervallen
verschoben wird.
-
Gemäß einer
weiteren bevorzugten Ausführungsform
der Erfindung wird zusätzlich
zum Schaubild ein regelmäßiges Muster
aus geometrischen Objekten auf der Matrixanzeigeeinheit angezeigt.
Die geometrischen Objekte haben voneinander einen Abstand, der mindestens
der doppelten Spalten- und/oder Zeilenbreite der Matrixanzeige entspricht. Bei
einem Adressierungsfehler wie z.B. einem Adressen-Invertierungsfehler
wird die Form des regelmäßigen Musters geändert, um
den Bediener vor der Fehlfunktion der Matrixanzeige zu warnen.
-
Ein "Einfrieren" der Anzeige ist
ebenfalls vom Bediener unmittelbar erkennbar: Falls die Anzeige vollständig einfriert,
erfolgt keine Veränderung
des Grauwertes mehr, den der Hintergrund des Schaubilds hat. Dies
signalisiert ein vollständiges
Einfrieren.
-
Falls
nur eine bestimmte Region der Anzeigeeinheit von einem solchen Einfrieren
betroffen ist, resultiert daraus eine Kontrastlinie am Rand dieser Region,
da der Hintergrund-Grauwert
innerhalb der Region unverändert
bleibt, während
sich der Grauwert des Hintergrundes innerhalb der übrigen Anzeige
weiterhin zyklisch verändert.
-
Gemäß einer
weiteren bevorzugten Ausführungsform
der Erfindung wird auf der Matrixanzeige ein Balken angezeigt. Der
Balken zeigt das Graustufenspektrum der Grauwertänderungen des Hintergrundes
an. Anhand des Balkens kann ein Bediener den sich ändernden
Grauwert des Hintergrundes wegen der Kontraständerung gegenüber dem
Balken unmittelbar erkennen.
-
Kurzbeschreibung der Zeichnungen
-
Im
folgenden wird die Erfindung unter Bezugnahme auf die Zeichnungen
ausführlicher
erläutert, von
denen
-
1 ein
Blockdiagramm einer Ausführungsform
eines Überwachungssystems
gemäß der Erfindung
ist,
-
2 ein
Ablaufdiagramm zur Veranschaulichung einer Ausführungsform eines Verfahrens
gemäß der Erfindung
ist,
-
3 eine
schematische Darstellung zur 3 Veranschaulichung
der Verschiebung des Schaubilds ist und
-
4 eine
vergrößerte Teilansicht
des Diagramms 4 aus 3 ist und
eine Ausführungsform
eines Musters aus geometrischen Objekten zeigt.
-
Ausführliche Beschreibung
-
1 zeigt
ein Blockdiagramm eines Überwachungssystems.
Das Überwachungssystem
besitzt einen Computer 1, der beispielsweise eine Workstation
sein kann. Der Computer 1 ist mit einem Anwendungsprogramm 2 zum
Erzeugen von Anzeigedaten eines Schaubilds ausgerüstet.
-
Der
Computer 1 besitzt einen Eingang oder mehrere Eingänge 3 zum
Empfangen von Eingangssignalen, die den Zustand des zu überwachenden Systems
repräsentieren.
Im Fall eines Bahnnetzes werden hier von Sensoren Eingangssignale
empfangen, die Änderungen
signalisieren, die zu einem bestimmten Zeitpunkt im Bahnnetz stattfinden.
Somit können
die Eingangssignale, die zum Eingang 3 des Computers 1 gelangen,
die Anwesenheit eines Zuges auf einem Gleisabschnitt, den Zustand
eines Gleissignals, die Einstellung einer Weiche oder andere Betriebszustände signalisieren.
Das Anwendungsprogramm bereitet die Eingangssignale 4 zu
den Bilddaten auf, die wiederum das Schaubild definieren, welches
den aktuellen Betriebszustand des Bahnnetzes widerspiegelt.
-
Der
Computer 1 besitzt ferner ein Anzeigen-Steuerungsprogramm 5. Das Anzeigen-Steuerungsprogramm 5 dient
dazu, den Grauwert des Schaubildhintergrundes zu verändern.
-
Der
Computer 1 ist mit einer Matrixanzeigeeinheit 6 gekoppelt,
welche eine TFT-LCD-Anzeige 7 und eine Anzeigen-Steuerungseinheit 8 beinhaltet. Zur
Kopplung des Computers 1 und der Anzeigeeinheit 6 kann
eine analoge oder digitale Standardschnittstelle verwendet werden.
-
Die
Anzeigen-Steuerungseinheit 8 empfängt Anzeigen-Steuersignale, die
vom Anwendungsprogramm 2 und vom Anzeigen-Steuerungsprogramm 5 erzeugt
werden. Diese Anzeigen-Steuersignale
definieren das anzuzeigende Schaubild und den momentanen Grauwert
des Schaubildhintergrundes.
-
Das
Anzeigen-Steuerungsprogramm 5 erzeugt Anzeigen-Steuersignale, die
bewirken, daß auf der
Anzeige 7 ein Graustufenbalken 9 dargestellt wird.
Der Graustufenbalken zeigt die Skala der Grauwerte an, die verwendet
werden, um den Grauwert des Hintergrundes des Schaubild zyklisch
zu verändern.
-
Im
Normalbetrieb wird das Schaubild auf der Anzeige 7 angezeigt,
während
der Grauwert des Schaubildhintergrundes kontinuierlich zwischen
dem unteren Grauwert 10 und dem oberen Grauwert 11 des
Graustufenbalkens 9 verändert
wird.
-
Aufgrund
eines Defekts der Anzeigen-Steuerungseinheit 8 kann die
Anzeige 7 zu einem bestimmten Zeitpunkt "einfrieren". Dies bedeutet,
daß der
Inhalt der Anzeige 7 unverändert bleibt, obwohl vom Computer 1 Anzeigen-Steuersignale
für die
Anzeige der sich ändernden
Hintergrundgrauwerte und/oder von Änderungen innerhalb des Schaubilds,
die Änderungen
des Zustands des überwachten
Systems widerspiegeln, empfangen werden. Ein vollständiges Einfrieren
kann vom Bediener unmittelbar festgestellt werden, da sich der Grauwert
des Schaubildhintergrundes nicht mehr verändert.
-
Ein
anderes Szenario für
eine Fehlfunktion der Anzeigen-Steuerungseinheit 8 könnte sein,
daß nur
Teile der Anzeige 7 einfrieren. So könnte beispielsweise die linke
Seite 12 der Anzeige 7 eingefroren sein. In diesem
Fall ändert
sich der Grauwert des Schaubildhintergrundes auf der rechten Seite 13 der Anzeige 7 weiterhin,
während
der Grauwert des Schaubildhintergrundes auf der linken Seite unverändert bleibt.
Dies resultiert in einer Kontrastlinie 14 zwischen der
linken Seite 12 und der rechten Seite 13. Anhand
der Kontrastlinie 14 wird auch ein solcher Teilausfall
für den
Bediener unmittelbar ersichtlich.
-
Der
Graustufenbalken 9 ist eine optische Hilfe für den Bediener
und soll gewährleisten,
daß sich der
Grauwert des Hintergrundes ständig
verändert. Durch
Betrachten des Graustufenbalkens 9 sieht der Bediener,
wie sich die Graustufe des Hintergrundes ständig zwischen den oberen und
unteren Grauwerten 10 und 11 verändert, sofern
die Matrixanzeigeeinheit 6 korrekt arbeitet.
-
2 zeigt
ein zugehöriges
Ablaufdiagramm. In Schritt 20 wird ein Schaubild auf einer
Matrixanzeigeeinheit (vgl. die Matrixanzeigeeinheit 6 aus 1)
angezeigt. In Schritt 21 wird eine neue Information von
einem Sensor des Bahnnetzes empfangen (vgl. die Eingangssignale 4 aus 1).
Diese neue Information resultiert in einer Veränderung des Schaubildes in
Schritt 22 durch das zugehörige Anwendungsprogramm (vgl.
das Anwendungsprogramm 2 aus 1).
-
Das
veränderte
Schaubild ist in Schritt 20 dargestellt. Die Schritte 20, 21 und 22 werden
wiederholt ausgeführt.
-
Parallel
zu dem Ablauf, der die Schritte 20, 21 und 22 beinhaltet,
wird ein Ablauf zum Verändern des
Grauwerts des Schaubildhintergrundes ausgeführt. In Schritt 23 dieses
Ablaufs nimmt der Grauwert des Hintergrundes einen Anfangswert wie
etwa den Wert G1 an (vgl. den unteren Grauwert 10 aus 1).
In Schritt 24 wird dieser Grauwert nach Ablauf eines bestimmten
Zeitintervalls auf G2 erhöht.
-
Danach
wird der Grauwert des Schaubildhintergrundes in aufeinanderfolgenden
Zeitintervallen schrittweise erhöht,
bis der Grauwert Gi in Schritt 26 den
oberen Grauwert Gn erreicht (vgl. den oberen Grauwert 11 des
Graustufenbalkens 9 aus 1).
-
Von
Schritt 26 aus (vgl. das Anzeigen-Steuerungsprogramm 5 aus 1)
kehrt die Steuerung zum Schritt 23 zurück. Die Zykluszeit für die Graustufenänderung,
d.h. das Zeitintervall zwischen Schritt 23 und Schritt 26,
wird so gewählt,
daß ein
Bediener die Veränderung
der Graustufe des Schaubildhintergrundes bequem erkennen kann. Eine
angemessene Auswahl für
die Zykluszeit liegt zu diesem Zweck zwischen 20 und 30 Sekunden.
-
Alternativ
dazu werden die Grauwerte "sägezahnförmig" verändert, d.h.
der Grauwert wird, nachdem der Grauwert Gn erreicht
ist, auf Gn-1, Gn-2 usw. verringert,
bis wieder der Grauwert G1 erreicht ist. Von
dort an wird der Grauwert iterativ erhöht, bis Gn erreicht
ist und so fort.
-
3 zeigt
eine schematische Darstellung zur Veranschaulichung der Verschiebung
des Schaubildes auf der Anzeige (vgl. Anzeige 7 aus 1)
zu bestimmten Zeitpunkten.
-
Zu
einem Zeitpunkt t= T1 wird das Schaubild 15 an
einer Position angezeigt, die einen oberen und einen rechten Rand 16 in
der Anzeige 7 hinterläßt.
-
Zu
einem Zeitpunkt t = T2 wird das Schaubild 15 an
eine andere Position verschoben, die einen linken und einen unteren
Rand 17 in der Anzeige 7 hinterläßt. Beispielsweise
wird das Zeitintervall zwischen T1 und T2 zu acht Stunden gewählt, was einem Arbeitstag oder
einer Acht-Stunden-Schicht entspricht. Beispielsweise wird das Schaubild 15 am Ende
der Frühschicht
diagonal von seiner Position zum Zeitpunkt t = T1 an
seine diagonal versetzte Position zum Zeitpunkt t = T2 verschoben.
Am Ende der Tagschicht wird das Schaubild 15 diagonal zurück an seine
ursprüngliche
Position verschoben und so fort.
-
Auf
diese Weise wird ein Speicher- oder Einbrenneffekt der statischen
Anzeige des Schaubilds verhindert.
-
4 zeigt
einen vergrößerten Ausschnitt der
Ränder 16 und 17.
Ein regelmäßiges Muster
aus geometrischen Objekten wie z.B. Quadraten 18 wird innerhalb
der Ränder 16 beziehungsweise 17 dargestellt.
Die Quadrate 18 sind um eine Strecke D versetzt. Die Strecke
D ist länger
als die dreifache Spaltenbreite der Anzeigematrix der Anzeige 7 (vgl. 1)
und zudem länger
als die doppelte Zeilenbreite.
-
Im
allgemeineren Fall wird für
die Strecke D vorzugsweise ein ungerades Vielfaches der Spaltenbreite
gewählt.
Wenn beispielsweise ein Quadrat 18 einem Pixel entspricht,
wird die Strecke D gleich 3, 5, 7,... mal der Pixelbreite gewählt.
-
Im
Fall eines Adressen-Invertierungsfehlers der Anzeigen-Steuerungseinheit
resultiert ein solcher Adressenfehler in einer Veränderung
des Erscheinungsbildes des im Randbereich angezeigten regelmäßigen Musters.
Auf diese Weise wird auch ein solcher Adressen-Invertierungsfehler
für den
Bediener ersichtlich.
-
- 1
- Computer
- 2
- Anwendungsprogramm
- 3
- Eingang
- 4
- Eingangssignale
- 5
- Anzeigen-Steuerungsprogramm
- 6
- Matrixanzeigeeinheit
- 7
- Anzeige
- 8
- Anzeigen-Steuerungseinheit
- 9
- Graustufenbalken
- 10
- Unterer
Grauwert
- 11
- Oberer
Grauwert
- 12
- Linke
Seite
- 13
- Rechte
Seite
- 14
- Kontrastlinie
- 15
- Schaubild
- 16
- Rand
- 17
- Rand
- 18
- Quadrat