JP2020533661A - ヒューマンマシンインタフェースのリモート制御のための方法およびシステム - Google Patents

Abstract

リモート制御およびヒューマンマシンインタフェースのための方法およびシステム。 本本発明は、鉄道または交通システムにおいて使用されるモニタ、パネル、ディスプレイ、画面、その他などのグラフィカルユーザインタフェースのステータスをリモート制御するための方法に関する。 信頼性の高い安全レベルを実現して、リアルタイムにグラフィックインタフェースに表示される情報が、交通ネットワークの実際の状況に対応していることを人々が確信できるようにするべく、画像エラボレーション‐生成ブロックと安全性ブロックとの間にフィードバック制御ループが提供される。好ましい解決法によれば、制御ループのブロック間の通信は暗号化される。本発明の制御方法を用いることにより、ＣＯＴＳ端末など、市販のグラフィカルユーザインタフェースを使用するときでも、鉄道ネットワークにおいて、最高の安全レベルを達成することが可能である。

Description

幅広い一般的な態様において、本発明は、鉄道、機器、デバイス、交通システム、その他の制御および／または調整において使用されるものなどのヒューマンマシンインタフェースに関する。

この説明を更に続ける前に、次のことに留意する必要がある。本発明は特に、鉄道輸送において使用されるモニタ、パネル、ディスプレイ、画面、その他など、コンピュータ端末のリモート制御を目的にしているが、発明の原理は、産業で使用される他のグラフィックインタフェースにも適用し得る。

実際、多くの技術的または工業分野において、機器または製造プロセスの動作ステータスについての情報が、コンピュータ動作環境のインタフェースに表示されることが周知である。

周知のように、鉄道の交通ネットワークにおいて使用されるものなどのセーフティクリティカル用途の監視および制御システムにより、人間のオペレータは、特定の安全性の要件に適合する必要があるグラフィックインタフェースを用いて、システムの状態をインタラクティブにモニタリングすることが可能である。

オペレータは、画面上に表示される情報を使用して、どれが人々および物、すなわち、鉄道用途における乗客および電車の安全性に影響を与えるかについて決定できる。

結果的な影響として、安全性または障害の診断に関連するクリティカルの状況の検出および制御は、画面、パネル、モニタ、または類似のものに表示される画像の信頼性に大きく依存する。

輸送用鉄道のための動画視覚化システムは一般に、駅などの重要な場所に位置し、相対的なステータスおよびアラームリストと共に、重要なシステム情報を表示するコンピュータネットワークから成る。

鉄道産業に関連して、中央制御室は、現在の電車の経路、信号現示、電車位置など、コンピュータ画面上に知覚可能なデータを表示することによって、電車をモニタリングおよび監視するために、頻繁に編成される。シグナリングシステム状態の信頼できる評価を保証するべく、すぐに検出されるセーフティクリティカルイベントおよび／または異常な挙動の発生のために、画像フローの完全な制御を保証することが重要である。

例えば、静止画像の後の視覚化に起因して、動画フレームのリフレッシュが無いことは、決定タスクにおけるクリティカルな側面であり得て、ユーザ業務の運用有効性が低減する。

情報を安全に表示するべく、結果的なアーキテクチャが特定の安全インテグリティレベル（ＳＩＬ）に適合するように、画像を供給するシステムのすべての部分が整理および制御されることが一般に要求される。

アーキテクチャの観点から、監視および制御システムは、基本的に、ヒューマンマシンインタフェース（ＨＭＩ）であり、これに関して、ユーザがこのタスクまたは決定を実行するために採用するすべての要素を含む。

このことは、結果としての製品が安全性の目標を達成するようにオペレータを最適にサポートすることを確実にするべく、すべてのシステムのコンポーネントが設計において考慮される必要があることを示している。

詳細には、ＣＥＮＥＬＥＣ ＥＮ（すなわち、Ｅｕｒｏｐｅａｎ ｔｅｃｈｎｉｃａｌ ｎｏｒｍｓ ｉｓｓｕｅ ｂｙ ｔｈｅ Ｅｕｒｏｐｅａｎ Ｃｏｍｍｉｔｔｅｅ ｆｏｒ Ｅｌｅｃｔｒｏｔｅｃｈｎｉｃａｌ Ｓｔａｎｄａｒｄｉｚａｔｉｏｎ）など、国際的に認められている規格に従う特定の安全レベルに設計が適合するように、画像処理チェーンにおいて潜在的なエラーソースを検出するための適切かつ広範な試験および制御機構を計画する必要がある。

これは容易なタスクではない。なぜなら、ＣＰＵ、グラフィックカード、メモリ、および、すべての他のハードウェア要素など、ならびに、グラフィカルユーザインタフェース、オペレーティングシステム、ドライバソフトウェアなど、設計のすべての部分が制御される必要があるからである。

視覚化システムが通常、当業者にＣＯＴＳとも称される市販の製品（すなわち、既製品）に基づいていることを考慮すると、制御はよりクリティカルになり、内部の詳細を網羅的に知ること、従って、障害モードを定義することが不可能であるという事実に起因する、後の制限がある。

図１は、従来技術に係る典型的なＨＭＩの図表示を示す。シンボルステータス生成のためのサブシステムまたはユニット（安全ニュークレアス（ｓａｆｅｔｙ ｎｕｃｌｅｕｓ））は、参照番号１で示される。データエラボレーションおよび画像生成のためのユニットまたはサブシステム（既製品またはＣＯＴＳ端末）は２と称される。画像視覚化のためのサブシステム（既製品のビデオカードおよびモニタリング）はブロック３である。

ＣＥＮＥＬＥＣ規格に従うセーフティクリティカルソフトウェアの発展に起因して、シンボルステータス生成のプロセスを安全に考慮できると主張することは可能である。

それにも関わらず、周期的試験、信頼性チェック、制御フローモニタリング、重複計算および比較など、ＥＮ ５０１２８によって計画されたすべての動作段階は、視覚化システムの信頼性を向上させることが可能であるが、それ自体では十分でない。なぜなら、図１において分かるように、重要な画像は、異なる既製品コンポーネントを通るセーフティクリティカルパスを超えることを強いられるからである。

既製品またはＣＯＴＳ端末を使用する、現在周知のＨＭＩの制限は、そのような端末が障害の後に不正確な情報を示すことをどのように防止するかである。

より具体的には、エラボレーションユニットによって生成される画像は、認識された障害の存在下においても、モニタ、画面、パネル、動画サポート、または同様のものに尚表示され得る。ＣＯＴＳコンポーネントの機能不全的な挙動は、視覚化の正確度に影響する。

現在、認証されたモニタを使用することにより、それらの信頼性に関連する、あり得る問題が除去される。それにも関わらず、既製品のオペレーティングシステム、グラフィックライブラリ、および、ビデオカードが、現在の解決法において採用されているので、それらの制御は、重要な側面であり続けている。

安全なオペレータインタフェースを提供するために、ＨＭＩベースのシステムに適用される、周知の異なる技法があり、信頼性の高い決定およびモニタリング動作を保証するという利点がある。大部分の場合において、動画データのフローの管理は、セーフティクリティカルプロセスをモニタリングするための試験プロシージャを通して達成される。それらは、視覚化ソフトウェアタスク、グラフィック制御におけるエラー、または、グラフィックメモリにおける障害など、最終的な結果の画像に影響し得るエラーの認識に基づく。

これらの目的を達成するのに役立つ文献において、革新的な手法を見つけることができる。動画データ転送中の、あり得るデータ破損の検出について、例えば、欧州特許出願ＥＰ ２ ２４４ １８８において、解決法が提供されている。ここで、ビットマップデータの一部は、周知のアルゴリズムに従って、体系的に変換される。このようにして、画像生成ユニットは、関連する変換機構を通して、効果的なデータコヒーレンスを検証する可能性を有する。視覚化に基づくシステムにおいて、この技法は、主要なメモリ（ＣＰＵなど）から副次的なメモリ（ビデオメモリなど）へのビットマップデータの正確な転送を想定するのに有用であることが明らかになっている。

潜在的なエラーは、未発見のままであり得るので、残りのセーフティクリティカルユニットを適切に試験および管理するべく、更なる補完的な機構が提供される必要がある。しかしながら、他方で、特に、リアルタイムの用途について、類似の技法の広範な採用が、システム全体の完全な管理を確実にする場合、結果として、非常に時間とコストがかかるものになり得る。

近年、この問題は、動画データを効果的に処理すること、および、内部プロシージャを通してそのインテグリティを検証することが可能な専用モジュールを従来のシステムに導入することによって乗り越えられた。

この先端技術の例は、国際（ＰＣＴ）特許出願ＷＯ２０１１／００３８７２によって開示される。ここでは、現在の画像のデータコヒーレンスが、ＦＰＧＡベース安全試験ユニットによる比較を通してチェックされ、画像データを生成するコンピュータと、薄膜トランジスタ（ＴＦＴ）ディスプレイまたはパネルとの間に明示的に挿入される。

この従来技術において、プログラマブルロジックの使用により、より時間効率の高い画像処理が可能になるが、共通の試験手法（結果のデータの結果的なチェックによる画像の部分的エラボレーションに基づく）は維持される。具体的には、ＷＯ２０１１／００３８７２の場合において、入力画像は、より多くのセクションに分割され、安全性関連情報と非安全性関連情報との間で区別される。

各セーフティクリティカル画像に関連して、ＦＰＧＡは、関連するフィンガープリント（巡回冗長検査またはＣＲＣなど）を生成するための、および、表形式で以前保存された既存の参照コードとの対応を検索するための主要な役割を有する。その後、選択されたコードを、あり得る状態を代表する離散集合に属する画像に関連付けるために、メモリベースのチャートが使用される。

このようにして、入力画像部分の有効性が、予測される入力パラメータを基準として比較によって確立され、結果がネガティブである場合、結果的な安全上の反応を即座にアクティブ化できる。

ＷＯ２０１１／００３８７２において開示される試験プロシージャは、特に、妥当な画像セットが限定される用途（タコメータなどの用途）だけに適切なであり、そのような方式により、コンピューティングリソースの過剰な消費を回避する。

したがって、鉄道制御の分野において、上記の手法は、生成された画像の全体または大部分が安全性関連情報から成る典型的な視覚化システムに適さない結果となる。

この場合、画像をより小さいサブエリアに分割することは可能でなく、通常は高い解像度を特徴とする大きい画像の処理および制御を両方行う必要があるという課題が結果として生じる。実際の状況において、生成された画像が、各々最大１９２０×１２００ピクセルの解像度で、複数の（最大８）モニタに表示される必要があるということが起きる。

他方、典型的な画像に含まれる情報は、具体的な用途に依存する。したがって、表示されるデータの複雑性および可変性に起因して、ＷＯ ２０１１／００３８７２に係るアドホックのフィンガープリントベースの表を予め用意しておくことは、合理的でない。

これにより、すべての起こりうる状態を考慮するために、システムの非効率的なオーバーロードを伴い得て、過剰なメモリ利用率を要求するという短所が追加される。

上記の試験方法、または、同等の手法の不適格性により、適切な安全レベル、および、鉄道用途によって要求される具体的な性能特性を保証するのに適切な新しいシステムアーキテクチャを採用する必要性がもたらされる。

上記に鑑みて、本発明の根底にある技術的問題は、従来技術の周知の制御システムの欠点を克服するように、そのような機能および／または動作的特徴を有する、ヒューマンマシンインタフェース（ＨＭＩ）、グラフィックユーザインタフェース（ＧＵＩ）、または同様のもののための制御システムを提供することであると言える。

この一般的問題において、端末、画面、ディスプレイ、またはその他などのＣＯＴＳコンポーネントを使用すること、および、安全性または技術的規制を遵守することを可能にするヒューマンマシンインタフェース（ＨＭＩ）のための制御システムを提供することも本発明の目的である。

技術的問題を解決するための思想は、ＣＯＴＳコンポーネントまたは端末上の制御の欠失に対抗するのに適切な、好ましくはアルゴリズムによって実装できるプロセスを提供することである。

この目的のために、プロセスは、フィードバックループを用いてＣＯＴＳコンポーネントを制御する段階を含む。この手法は、より信頼性の高い画像の視覚化を提供する。

提案された解決法は、既製のコンポーネントを使用し、同時に、全体的な視覚化システムの安全性を向上させながら、従来技術の制限を克服することを可能にする。

ＣＯＴＳ端末およびコンポーネント、すなわち、市販の製品を使用することにより、信頼性を損なうことなく、発明の方法を実装するシステムの全体的なコストも低減した。発明の特徴は、付属の特許請求の範囲において具体的に説明される。

そのような特徴は、以下に記載された、発明の好ましいが非限定的な実施形態の説明から、より明らかになるであろう。当該実施形態は、付属の図面を参照して以降で説明される。

従来技術の制御システムを表すブロック図である。 本発明に係る制御システムを表すブロック図である。 本発明の制御方法の動作フェーズを示すフローチャートである。 本発明の制御方法の動作フェーズを示すフローチャートである。 本発明の制御方法の動作フェーズを示すフローチャートである。 本発明の制御システムの動作を示す更なるブロック図である。 本発明の制御システムの動作を示す更なるブロック図である。

一般に番号１０で参照される、発明のＨＭＩのブロック図を示す上記の図面、特に図２に関連して、簡潔にするために、識別された３つの主な動作ユニットまたはブロック、すなわち、ＨＭＩセーフサーバブロック１１、ＨＭＩ端末ブロック１２、および、ＣＯＴＳモニタブロック１３がある。

これらのブロックまたはユニット１１、１２および１３は、図面において矢印で示されるように、互いに直列に接続され、好ましい実施形態によれば、ＨＭＩシステム１０は、ＨＭＩ端末１２とＨＭＩセーフサーバ１１との間にフィードバック制御ループ１５を含む。

全体的に、画像を生成してＣＯＴＳモニタ１３上の動画に表示するプロセスは、２つのサブシステムＨＭＩセーフサーバ１１およびＨＭＩ端末１２を伴う一連の段階に分割される。

より具体的には、ＨＭＩセーフサーバ１１は、表示されるシンボルのステータスを生成する段階と、状態の暗号化コピーをＨＭＩ端末１２へ送信する段階と、通常動作モードにおいて、状態を復号するための暗号鍵をＨＭＩ端末１２へ提供する段階と、各ＨＭＩ端末１２で実行される診断テストの結果を監視し、それらを通常または安全動作モードに割り当てる段階とを実行する。

一方、ＨＭＩ端末１２は、ＨＭＩセーフサーバによって受信されたシンボルのステータスを、受信された鍵で解読する段階と、表示される画像を生成する段階と、ＨＭＩセーフサーバ１１によって要求される診断ルーチンを実行する段階と、応答メッセージをＨＭＩセーフサーバ１１へ送信する段階とを実行する。

図３から図５のフローチャートから分かるように、本発明の新しく独自の特徴は、暗号化技法の使用を通して、ＨＭＩセーフサーバ１１が個別のＨＭＩ端末１２上のディスプレイの更新を安全に有効化／無効化することを可能するという点である。

特に、好ましい実施形態によれば、ＨＭＩセーフサーバ１１とＨＭＩ端末１２との間の通信では、以下の２つのレベルの暗号化を使用する。
１、すべてのＨＭＩ端末１２を通してＨＭＩセーフサーバ１１によって送信されるシンボル状態を保護するためのＡＥＳを用いた対称鍵暗号。ＨＭＩセーフサーバ１１は、各処理サイクルで変更される鍵「Ｋｓ」を使用する。
２．暗号鍵「Ｋｓ」を保護するためのＲＳＡを用いた非対称鍵暗号。ＨＭＩセーフサーバ１１は、更なる暗号化メッセージにおいて、「Ｋｓ」鍵（状態の解読に必要）を送信する。各ＨＭＩ端末１２につき一対の固有の鍵が存在する。各ＨＭＩ端末１２は、適切な鍵ブロックを復号するだけの鍵「Ｋｓ」を取得できる。

図面において、Ｋｓは、ステータスブロックを暗号化するのに使用される対称鍵である（図４、ポイント１）。Ｋｔｎは、ＨＭＩ端末ｎに対してＫｓを暗号化するのに使用される公開非対称鍵である（図４、ポイント２）。Ｋｐｎは、解読Ｋｔｎ（Ｋｓ）を操作するためにＨＭＩ端末ｎによって使用される秘密非対称鍵である（図５、ポイント１）。

シンボル状態の解読のために正しい鍵を提供すると、要求された診断結果をチェックした後に、ＨＭＩセーフサーバ１１は、ＨＭＩ端末１２に、ＣＯＴＳモニタ１３へ送信される出力画像を生成させる。

そのような認証が無い場合、ＨＭＩ端末１２は、有効な画像を生成するための正確な状態を構築できない。このことは、提案されたシステムを使用する用途に対して、２つの制約または条件を提供する。

第１の条件は、ＨＭＩセーフサーバ１１によって処理される診断結果は、望ましい確率の範囲内で、あり得るＨＭＩ端末１２の機能異常の識別を保証するように設計される必要があるということである。

第２の条件または制約は、非更新状態が無い場合、ＨＭＩ端末１２は、オペレータのＣＯＴＳモニタ１３のために有効な画像を生成することができてはならないということである。

両方の場合において、どの解決法を適用するかには、用途の制約があるので、鉄道制御システムへの本発明の適用は、図６および図７を参照して、より良く説明される。

鉄道シグナリングの用途の文脈において、特に、オペレータインタフェースに関連して、ＨＭＩ制御システム２０は、図２における図面のＨＭＩセーフサーバ１１のように動作する安全ニュークレアス２１を含み、一方、ＣＯＴＳ ＰＣ２２は、以前のＨＭＩ端末１２のように動作する。

システムにおいて、ＣＯＴＳ ＬＣＤモニタ２３が使用される。これらの定義を考慮して、報告された下の表は、ディスプレイ２３の正確度を保証するために対処される必要があるパラメータ（脅威）を水平線上に示す。垂直の列において、あり得る対策が報告されている。
表の各特徴は、図７のフロー図のように割り当てられることができる。

ここで開示される特徴のセットを使用して、フィードバック制御ループは、ＣＯＴＳ端末２２の安全な有効化または無効化を提供し、それにより、モニタ２３を見ているオペレータが、それに表示される画像の完全な正確性に頼れることを保証する。

換言すれば、本発明に係るＨＭＩ制御システム２０において、フィードバック制御ループ２５によって信頼性が完全に試験された画像だけが最終的なモニタおよび／または画面、パネル、または、他の視覚的ディスプレイ２３に送信される。

したがって、上の説明から、最初に説明された技術的問題を本発明がどのように解決するかを理解できる。

実際、提案された解決法は、ＣＯＴＳコンポーネントのクリティカルパスを制御するための閉ループを追加することによって、視覚化システムの全体的な安全性を改善する。

フィードバックチェーンにより、視覚化プロセスの信頼性は、使用されるＣＯＴＳ製品の特定のセットから独立したものとなる。

より厳密には、シグナリングシンボルのステータスに対応する画像の安全な生成だけを必要なシステム仕様とみなすと、安全性目標に到達するために導入すべき他の重要な機構は存在しない。実際、機能異常のハードウェアまたはソフトウェアソースによって生じる著しいすべてのエラーは、フィードバックループに報告され、これにより、画像更新の安全な停止につながる。

提案される方法は、経済的な（すなわち、コスト上の）影響なく、既存のアーキテクチャに組み込まれ、カスタマイズされることが容易であるので、鉄道の分野において、プロプライエタリのハードウェアに基づく現在のモニタリングシステムをやめることが可能である。

その上、特定の用途から独立していることに起因して、本システムは、安全なグラフィック視覚化インタフェース（ＨＭＩ、ＧＵＩ、またはその他）が要求されるすべてのものに適用できる。

したがって、他の動作の文脈、または、他の企業にもその利用を広げて、人々および物の安全性を改善し、著しい社会的影響を与えることが可能である。

Claims (12)

1. 鉄道の交通システム、またはその一部の監視および／または調整のために使用されるものなどのヒューマンマシンインタフェース（ＨＭＩ）をリモート制御するための方法であって、
   監視される前記交通システム、または、その一部のステータスについてのデータを取得して、グラフィックシンボルまたはグラフィック情報を適宜に生成する段階と、
   前記グラフィック情報を処理して、対応する画像を生成する段階と、
   前記画像を表示手段において視覚化する段階と
   を備え、
   前記グラフィック情報と、視覚化される前記画像とを比較して、互いに対応しているかどうかをチェックする段階であって、チェックによって対応していると判定されたデータによって生成された画像だけが前記表示手段によって視覚化される、段階を備える、
   方法。
2. 前記グラフィック情報は暗号化され、前記処理する段階は、前記視覚化の段階の前に、解読された前記グラフィック情報を、以前に取得されたものと比較するために、前記グラフィック情報を復号することを含む、請求項１に記載の方法。
3. 好ましくは対称および非対称のタイプである２つのレベルの暗号化が使用される、請求項２に記載の方法。
4. 前記交通システム、または、その一部のステータスについての取得された前記グラフィック情報はシンボルを含む、請求項１から３のいずれか一項に記載の方法。
5. 前記処理の段階および／または前記視覚化の段階は、ＣＯＴＳ端末および／またはＣＯＴＳディスプレイを用いてそれぞれ実行される、請求項１から４のいずれか一項に記載の方法。
6. 前記交通システムは、鉄道または路面電車の路線である、請求項１から５のいずれか一項に記載の方法。
7. 表示される前記グラフィックシンボルのステータスを生成する段階と、
   前記ステータスの暗号化コピーをＨＭＩ端末へ送信する段階と、
   通常の動作モードにおいて、前記ステータスを復号するための暗号鍵を前記ＨＭＩ端末へ提供する段階と、
   各ＨＭＩ端末で実行される診断テストの結果を監視して、前記結果を前記通常の動作モードまたは安全動作モードに割り当てる段階と
   を備える、請求項１から６のいずれか一項に記載の方法。
8. 受信された鍵を用いて、ＨＭＩセーフサーバによって受信された前記グラフィックシンボルの前記ステータスを解読する段階と、
   表示される前記画像を生成する段階と、
   前記ＨＭＩセーフサーバによって要求される診断ルーチンを実行する段階と、
   応答メッセージを前記ＨＭＩセーフサーバへ送信する段階と
   を備える、請求項１から７のいずれか一項に記載の方法。
9. 請求項１から６のいずれか一項に記載の方法を実行するためのヒューマンマシンインタフェースであって、
   監視される前記交通システム、または、その一部の前記ステータスについてのデータを取得するための、および、グラフィックシンボルまたはグラフィック情報を適宜に提供するための安全ユニットまたは安全ニュークレアスと、
   グラフィック情報および画像生成を処理するために前記安全ユニットと通信するヒューマンマシンインタフェース端末と、
   画像を表示するために前記ヒューマンマシンインタフェース端末と通信する視覚化ユニットと、
   を備え、前記安全ユニットは、グラフィック情報の暗号化のための手段を含み、前記ヒューマンマシンインタフェース端末は、前記グラフィック情報の復号のための手段を含む、
   ヒューマンマシンインタフェース。
10. 前記ヒューマンマシンインタフェース端末は、グラフィック情報の復号を操作し、それらを、前記安全ユニットまたは前記安全ニュークレアスによって提供される前記グラフィックシンボルまたは前記グラフィック情報と比較する、請求項９に記載のヒューマンマシンインタフェース。
11. 前記安全ユニットまたは前記安全ニュークレアスは、前記ヒューマンマシンインタフェース端末による比較を監視する、請求項１０に記載のヒューマンマシンインタフェース。
12. 前記ヒューマンマシンインタフェース端末、および、視覚化手段は、ＣＯＴＳタイプの要素を含む、請求項９から１１のいずれか一項に記載のヒューマンマシンインタフェース。