JP2022525645A - 安全に関するグラフィカルユーザインターフェースのための方法及び監視ユニット - Google Patents

Abstract

本発明は、グラフィカルユーザインターフェース（ＧＵＩ）上の安全に関する入力に関する。この事例において、コンピュータ（１）は、ディスプレイ（２）に画像データライン（３）を介して送信される画像データを生成する。グラフィカルユーザインターフェースは、入力デバイス（４）によって選択可能な少なくとも１つのグラフィカルオペレータ制御要素（６）を有する。またさらに、監視ユニット（２１）が、画像データライン（３）に接続され、安全機能のための画像データを読み出す。本発明によると、監視ユニット（２１）には入力デバイス（４）から入力情報が供給され、監視ユニット（２１）はユーザ確認の目的で安全な信号経路（１１Ｂ）を介して確認装置（１４）に接続される。本発明によると、オペレータ制御要素（６）の検出された選択（５）が正しく表現されているかを保証及び／又は確認し、オペレータ制御要素（６）の表現された選択に対するユーザ確認の場合、関連する安全に関するオペレータ制御コマンドを安全な信号経路（ＨＤ）を介して有効化又は始動する監視ユニット（２１）がさらに設けられる。これにより、安全証明のない入力デバイス、例えば、市販のコンピュータマウスなどの相対的及び／又は間接的ポインタデバイスによっても安全な入力が可能となる。またさらに、提案される入力方法に適した監視ユニットのための好適なアーキテクチャが提案される。

Description

本発明は、概略として、ハザード又は操作上の安全の意味で安全が非常に重要な用途におけるグラフィカルユーザインターフェース（ＧＵＩ）に関する。

本発明は、特に、例えば、鉄道技術のための信号ボックス又は産業システム、リアクタなどの動作のための制御デスクまたはシステムコントローラにおいて、特定の操作又は入力が安全のために決定的又は重要なユーザインターフェースに関する。そのような用途では、入力として記録された情報又は入力が、オペレータが選定又は選択したものに厳密に一致していることが保証されなければならない。

コンピュータグラフィクスとしての情報の単なる提示でさえ、障害（エラー）となりやすい。例えば、その結果として、障害は、例えば不良のマイクロプロセッサに起因して、グラフィクスを生成するコンピュータの各個々のコンポーネントにおいて、グラフィクスプロセッサにおいて、個々のメモリモジュールにおいて、電源において、ただし、特に、オペレーティングシステムにおけるソフトウェア障害にも起因して、ソフトウェア生産で使用されるライブラリ、特にＧＵＩを生成するアプリケーションソフトウェア又はＧＵＩを生成する他のソフトウェアコンポーネントにおいて起こり得る。

特許文献１又は本出願人による特許文献２におけるコンセプトによる、安全に関する情報を表示するために使用される製品名ＩｃｏｎＴｒｕｓｔ（登録商標）で利用可能な技術によって、飛躍的な向上がもたらされる。この技術は、表示をより安全とすることができ、例えば、安全度水準ＳＩＬ－２以上に適する。１つの大きな利点は、安全技術の観点で、安全と評価されていない（以下、「安全でない」という）事実上あらゆる種類及び複雑さのハードウェア及びソフトウェアが、独立した安全証明済みの監視モジュールを用いる機器によっておそらくは安全な態様で使用可能となることである。

安全に関する情報の単なる表示に加えて、安全に関する入力もユーザインターフェース（ＧＵＩ）上で行われた場合、更なる障害発生源が生じることは明らかである。潜在的な障害発生源は、基本的には、入力を記録及び処理するのに使用される全てのハードウェア及びソフトウェアコンポーネントである。これは、市販のハードウェアで構成される本来的に安全でないシステムについて、システム全体の安全の検証又は安全の証明を回避するために、上記手法による安全モジュールが装備されようとしている場合に特に適用可能となる。一方で、これは、例えば、コンピュータマウス又はタッチパネルを用いて通常の種類の直感的操作を可能とするために、又は更新された証明なしにＧＵＩに対する後の変化を許容するために、ＧＵＩにおける様々なグラフィカル制御要素又はボタンが自由に使用可能となることが意図される場合に、特に望ましい。

モジュール性又は現在のグラフィカルユーザインターフェース／ＧＵＩが望まれる場合、問題は、使用中にＧＵＩが動的に又はコンテキスト依存的に変化可能であることに加えて、機能及び表示の双方が自由にプログラム可能であることである。ＧＵＩのデータ入力又は操作に関して関連する安全性重視の障害モードは多岐にわたり、単なる例示として、以下の場合を含む。
ａ）安全でない表示用のコンピュータが、グラフィカル制御要素の作動を（例えば、異なるコンテキストから）正しいもの以外の情報コンテンツに誤って関連付ける、ｂ）作動された制御要素が、作動されたものとして正しく表示されず、又は記録されない（すなわち、緊急停止の場合に重大となる）、又はｃ）制御要素の作動が、ユーザ制御又はユーザ作動による入力が実際に行われることなく自然に又は偶発的に誘発される。

特に上記第１の場合、本出願人の特許文献３の発明は、特にタッチパネルの場合に決定的な改善をもたらす。前述の２つの場合も、さらに多少の手間をかければ、この解決策のコンセプトを用いて回避可能となる。このコンセプトは、製品名ＳｅｌｅｃｔＴｒｕｓｔ（登録商標）で市場では差し当たり成功してきたものであり、主にタッチパネル用に設計されている。プログラム可能なキー（いわゆるソフトキー）を有する特にＨＭＩデバイス用の１つの変形例が、特許文献４に記載されている。

いずれの解決策も、安全でないと評価され又は安全証明されていないコンピュータによって生成されたＧＵＩへの安全に関する入力を可能とする。この場合、ユーザインターフェースは、それぞれの入力デバイスを用いてユーザ制御による態様で選択可能な少なくとも１つのグラフィカル制御要素とともに、ディスプレイ上に示される。独立した監視ユニット又は安全モジュールは、画像データラインに接続され、所望の安全機能のために画像データの少なくとも部分を読み出す。

特許文献３及び特許文献４による解決策は、ユーザが－－タッチ操作を介してであっても、ディスプレイに関連付けられたソフトキー・キーボードを介してであっても－－すなわち、不連続入力のための絶対的かつ直接的入力デバイスが、関連するグラフィカル制御要素を作動させ、この作動に対する監視ユニットがそのユニット又はモジュール内の所定領域に関連付けられた座標に応じて安全に決定されるという意味において、安全な入力を可能とする。これらの安全に決定された座標に基づいて、監視ユニットは、所定領域に関する画像データを特に符号化によって安全に関するコマンドに直接変換する。したがって、安全でない表示用のコンピュータは含まれない。ユニット又はモジュール、そこに接続されたタッチキー又はソフトキー入力構成、及び画像データ変換又は符号化における関連性に起因して、ユーザがディスプレイ上で実際に知覚及び選択したものにコマンドの活性化が安全に対応することが本来的に保証される。この背景では、ディスプレイ自体は、本目的のための安全なデバイスとして評価され得る。

特許文献３及び特許文献４による解決策は、いずれも、特殊な入力デバイスに適合され、それに関して安全に関するコマンドへの符号化及び／又は変換が行われる画像領域座標の安全に関する信頼性のある決定を必要とする。双方とも、ある程度の労力に関連付けられ、使用可能なハードウェアを制限する。

国際公開第２０１１／００３８７２号 欧州特許第２３５３０８９号明細書 欧州特許第２５５１７８７号明細書 独国実用新案第２０２０１５１０４８８７号明細書

したがって、本発明の第１の課題は、表示用のコンピュータとして市販のＰＣを有する従来のデスクトップワークステーションにおいて、種々の従来的な又は安全でない入力デバイスを用いて、特に、コンピュータマウスのような相対ポインティングデバイスを用いてグラフィカルユーザインターフェース上での安全な入力を可能とする更なる展開を提供することである。この場合、入力は、安全でない入力デバイス、特に、ポインティングデバイス、例えば、コンピュータマウス、トラックボール、ジョイスティック、タッチパッド、タッチポイント、グラフィクスタブレット、デジタイザなどを用いても少なくとも実行可能なグラフィカルユーザインターフェース制御要素のユーザ制御による選択又は作動の観点として理解されるものである。

この課題は、請求項１に係る方法によって、及び請求項１０に係る安全モジュールによって達成される。この場合、解決手段は、少なくとも、ＳＩＬ－２安全度要求水準又は（ＩＥＣ６１５０８／ＩＥＣ６１５１１による）安全度水準以上、特にＳＩＬ－３に適するべきである。

包括的な方法又はシステムは、グラフィカルユーザインターフェース（以下、略してＧＵＩという）上での安全に関する又は安全を目的とした入力を可能とする。この場合、コンピュータは、ディスプレイ用の画素フォーマットされた画像データを生成し、それはコンピュータから画像データラインを介してディスプレイに送信される。この場合、入力デバイスによってＧＵＩの制御が可能となる。

ユーザインターフェースが－－少なくとも１つの動作状態又はコンテキストにおいて－－ディスプレイに表示されている場合、安全に関する機能に関連付けられた少なくとも１つのグラフィカル制御要素が表示される。制御要素は、例えば、ポインタ又はカーソルによって入力デバイスを用いるユーザ制御による態様で選択可能となる。

またさらに、表示用のコンピュータから独立した包括的な監視ユニット又は安全モジュールは、画像データラインに接続され、安全を目的とした機能のための画像データの少なくとも部分を読み出す。監視ユニットは、特に、信号の観点において、表示用のコンピュータとは独立し又は分離されている。

本発明の第１の態様によると、そして技術的手順の観点において、以下が規定される：
－入力情報、特に、画像画素関連の相対又は絶対座標が、入力デバイスから、論理的又は物理的信号経路、より正確には、それに応じて制御要素選択が認識可能となる監視ユニットの第１のチャネルを介して供給されること、
－選択に関するユーザ制御による確認を受信するための監視ユニットが、安全な信号経路、特に、専用のかつ独立した物理的な第２のチャネルを介して、安全なデバイスとして特に設計されて表示用のコンピュータ及び／又は入力デバイスの信号依存でない確認デバイスに接続されること、
－監視ユニットが－－特にそれ自体が保証、理由付け又は検証する－－安全機能を有する１つ又は各々のユーザ制御による制御要素選択が想定通りに画像データにおいてディスプレイに供給され、又は実際にディスプレイに正しく示されることを保証にすること、及び
－第２のチャネルを介して受信されたユーザ制御による確認の場合に、監視ユニットが、信頼性を以て表示される制御要素選択が存在する期間内に、特に保証又は検証された態様で、この制御要素に関連付けられた安全に関する機能をリリース又は始動すること。

特に、上記の始動は、この場合、対応するコマンドを出力することによって、安全な通信のために特別に設けられた第３のチャネルを介して行われてもよい。

本発明によると、入力デバイスを用いる選択は、安全を目的とした機能の作動又は制御を未だ伴っていない。その代わり、この機能は、まず安全を目的とした制御要素しか表示しない（又はユーザに視認可能としない）。モジュールに対して想定される要件が満たされていることをモジュールが検証もしくは判定又はそれ自体で保証する限り、監視モジュールに接続され及び／又は安全となるように設計された確認デバイスによってのみ、制御要素の作動又は制御が実際に始動される。特に、これらの要件は、ディスプレイに供給される画像データにおける選択の想定される再生又は正しい再生を含む。

この場合、旧来的なコンピュータワークステーションの表示及び制御のコンセプトが保持可能であり、いずれの市販の入力デバイスも使用可能である。特に、本発明によると、ＣＯＴＳ（市販の既製品の）ポインティングデバイスが使用可能となる。好ましくは、２Ｄ入力のための従来の間接的かつ相対的ポインティングデバイスが、入力デバイス、特に、コンピュータマウス又は、同様に例示として、トラックボール、ジョイスティック、タッチパッド、デジタイザなどとして好適に使用される。

操作又は入力の安全性は、とりわけ、追加の確認デバイス、例えば、本発明による信頼性を以て表示される選択と組み合わせて監視ユニットに接続された安全なボタンの独立した作動によって達成される。したがって、ユーザは、実際に意図した入力を確認デバイスによって確認するためのインスタンスとして含まれる。

したがって、本発明によって提案される手法は－－特許文献３又は特許文献４とは異なり－－例えば、タッチパネルを用いることによって、又は（ソフトキーを用いて）直接入力によって、入力情報、特に絶対座標の安全な入力及び決定を省略することができ、入力処理は基本的に３個のサブステップに分割され、すなわち、入力処理を３個のサブステップ、具体的には：
ｉ）実際の作動から独立した、入力情報、例えば、選択座標の生成又は決定、
ｉｉ）ユーザによる表示された選択に応じた入力の承認又は確認のための制御要素の選択又は選定に基づく表示、及び
ｉｉｉ）追加の確認デバイスによって行われたユーザによる確認に応じた制御要素に関連付けられた安全に関する機能の後続又は以降の活性化
に分割される。

サブステップｉ）では、例えば、座標は、座標（ＤＥＬＴＡ座標）の変化としてシフトを相対ポインティングデバイスとしてコントローラに送信する市販のコンピュータマウスを用いて決定され得る。例えば、それにより、絶対座標が、直前の位置及びその変化又はシフトに基づいて生成可能となる。サブステップｉｉ）を実施するために、絶対座標は、例えば、監視ユニットに、すなわち、より安全なモジュールに維持されてもよく、好ましくは、このモジュールによって、モジュールによって既知の絶対座標において、例えば、マウスポインタの形態で安全に表示され得る。代替的又は追加的に、特に安全に関する制御要素を有する所定の画像領域外の位置及び／又は座標に関して、表示は、安全でない表示用のコンピュータを介しても行われ得る。安全に関する制御要素を有する所定の画像領域内で、表示は、モジュールに記憶された絶対座標に対応する位置において安全に又は信頼性を以て行われるべきである。サブステップｉｉｉ）では、これに基づいて、ユーザ又は閲覧者は、所望の制御を始動するために、安全に関する制御要素に関して表示が有効な選択位置であることを認識、承認又は確認することができる。これは、ボタンなどの独立した安全確認デバイスを作動させることによってサブステップｉｉｉ）において行われ得る。これに基づいて、監視ユニット又はモジュールは、対応するコマンドを生成又は出力することができる。

まとめると、安全に表示された選択は、この場合、確認デバイスを用いた確認によって制御要素の作動から分離される。本発明によって、市販の入力デバイスを用いて実施することが困難な（例えば、絶対座標の）入力情報の面倒な決定が不要となる。またさらに、（例えば、安全でないチャネルであっても）いずれのチャネルを介して監視ユニットの入力情報が送信されるのかは無関係である。安全でない入力デバイスが、例えば、安全でないコンピュータに接続されることもある。入力情報は、例えば、特許文献２による画素データコンテナにおける画像データとともに選択的に、画像データラインを介して監視ユニットに送信され得る。

入力情報の種類及び生成は、提案される解決手段を介して基本的に無関係であるので、任意の入力デバイス、特に、間接的及び／又は相対的ＣＯＴＳポインティングデバイスが使用可能である。

好ましくは、特許文献３及び特許文献４における教示とは逆に、特に、相対及び連続入力、特に、２Ｄ入力のための間接的ポインティングデバイスに適したポインティングデバイスが使用される。市販の又はＣＯＴＳの周辺デバイス、特に、コンピュータマウスが、この場合には使用可能である。そのようなデバイスによって、ＧＵＩにおける直感的ポインタ又はカーソル案内が可能となる。したがって、ポインティングデバイスによって記録された相対移動が変換され、特に、ポインタ移動又はディスプレイの解像度に対する画像座標に変換される。

入力デバイス、特に、ポインティングデバイスによる入力情報は、任意のインターフェースを介して監視ユニットに供給され得る。監視ユニットへの送信は：
－入力デバイスが監視ユニット、特に監視ユニットのコントローラコンポーネントに接続され、又は接続されたコンピュータマウスとともにデスクトップＰＣ、例えば、コンピュータによって間接的に接続される場合に、
特に、入力デバイスによって直接的に実行され得る。

選択又は表示は、例えば、監視ユニット又は他の何らかの視覚的表示によって重ね合わされたマウスポインタを用いて、例えば、色付けされたフレームによって、又は選択された制御要素の色を監視ユニットもしくはモジュールを介して変えることによって行われる。

監視ユニットは、ＧＵＩにおける安全性重視の制御要素又はその意図された使用に応じた制御コマンドを出力する目的のため、例えば、監視ユニットによって視覚的に強調された安全性重視の制御要素に関して、ユーザによる後続の入力の承認又は確認を記録することができる。

好適な実施形態では、監視ユニット自体は、認識された制御要素の選択が、ディスプレイに供給された画像データに正しく表現されることを保証する。これは、制御要素に関連付けられた所定の画像領域における表示のために意図された画像データの少なくとも一部分を監視ユニットが修正することによって実現可能であり、それに対応して、監視ユニットは修正された画像データをディスプレイに転送する。この修正は、例えば、監視ユニットによるポインタ表示を含み、又は監視ユニットによって修正された画像データは監視ユニットに現在供給されている入力情報の位置に応じたポインタを表現し得る。追加的又は代替的に、修正は、特に、ディスプレイにおけるそれぞれの制御要素に関連付けられた所定の画像領域において、ユーザに対して選択の視覚的強調又は視覚的表示をもたらし得る。

画像データは、特に、画素フォーマットされた表現のためのデジタル画像データであり得る。

特に、監視ユニットによって修正された画像データは、コンピュータ生成による画像データを特定の領域、特に、グラフィカルユーザインターフェース全体に対して比較的小さな画像領域にのみ重ね合わされ、すなわち、ＧＵＩ表示は、表示用のコンピュータによって少なくとも大部分において生成されることが規定され得る。

監視ユニット自体を用いて画像を変えることによって正しい表示の選択を保証することの代替として、表示用のコンピュータによって生成される画像データが制御要素の選択を表現することが規定され得る。この場合、認識された制御要素の選択が各場合においてディスプレイに供給された画像データに正しく表現されていることを監視ユニットが検証することが特に規定される。これは、制御要素に関連付けられた所定の画像領域における表示に対して意図された画像データについて、監視ユニットがチェックコードを計算し、このチェックコードを少なくとも１つの予め記憶された基準コードと比較することによって実現可能となる。例えば、本出願人の特許文献２の特許におけるコンセプトに基づく技術は、この目的に適する。

表示用のコンピュータにおけるユーザインターフェースの容易に実施される操作性のために及び／又は監視ユニットにおける選択の簡単な認識のために、－－従来の入力デバイスが監視ユニット又は表示用のコンピュータに直接接続されるか否かに応じて－－、入力情報が入力デバイスからそのコンピュータに監視ユニットを介して送信され、又は監視ユニットにそのコンピュータを介して送信されることが規定されるべきである。好適な実施形態では、従来の入力デバイス、特に、コンピュータマウスは、監視ユニットに直接接続される。

特に、監視ユニットを用いた画像修正によって正しい選択の表示を保証するための画像データ修正との関連において、監視ユニットは、入力側で特に表示用のコンピュータから画像データラインを介してコンピュータ生成による画像データが供給される第１のコンピューティングコンポーネントを備え、安全性重視の制御要素の選択に応じて、第１のコンピューティングコンポーネントが、出力側の選択及び画像データ（必要であれば結果的に修正される画像データを含む）を視覚的に強調するためにこの画像データを修正し、それをディスプレイに出力することが好ましくは規定される。この場合、監視ユニットは、例えば、コンピュータ生成によるコードを比較する目的のための画像データ符号化に関して、出力側で第１のコンピューティングコンポーネントからの画像データ、特に修正された画像データを検証するのに使用される第２のコンピューティングコンポーネントをさらに備え得る。

特に、一実施形態では、第１のコンピューティングコンポーネントが、コンピュータ生成による入力に関する第１水準チェックコード又は所定の画像領域における表示に対して意図された入力側の入力画像データを計算し、監視ユニットは、この第１水準チェックコードを所定の画像領域に対する少なくとも１つの予め記憶された基準コードと比較することが規定されてもよく、その場合、第１のコンピューティングコンポーネントは、好ましくは、入力側の第１のステップにおいてコンピュータ生成による画像データに関するチェックコードを計算し、第２のステップにおいて後に画像データを修正する。

ハードウェア及び計算量の観点で有効な（例えば、表示の検証がモジュール的に利用可能な）実施形態において、以下が規定され得る：
－監視ユニットの、１つの、より正確には上記の第１のコンピューティングコンポーネントは、所定の画像領域の表示に対して意図された第１のコンピューティングコンポーネントによって修正された画像データに関して第１の第２水準チェックコードを計算し、
－監視ユニットの、１つの、より正確には上記の第２のコンピューティングコンポーネントは、所定の画像領域の表示に対して意図された第１のコンピューティングコンポーネントによって修正された出力側の画像データに関して第２の第２水準チェックコードを計算し、
－監視ユニットは、特に、第１のコンピューティングコンポーネントによって意図された通りに選択が強調されていることを検証する目的のために、結果として生成された第２水準チェックコードを相互に比較する。

この場合、両コンピューティングコンポーネントの各々は、好ましくは、選択なしに所定の画像領域に対する画像データに関して第３のチェックコードを計算し、監視ユニットは、選択を表示するために強調の前に、より正確には強調なしに制御要素の表示を検証する目的のために、第３のチェックコードを相互に比較する。

必要な計算電力を低減するために、制御要素の選択が監視ユニットによって認識された場合にのみコンピューティングコンポーネントが１つ又は複数の上記チェックコードを計算することが規定され得る。

対応するチェックコードは、特に、例えば、制御要素の表示領域に完全に又は部分的にのみ対応する制御要素に関連付けられた所定の画像領域に対する画素フォーマットされた画像データに関して決定可能である。任意の適切な符号化方法、例えば、ＣＲＣ計算がこの場合には使用され得る。この点に関して、特許文献１又は特許文献２における教示が参照される。

第１のコンピューティングコンポーネントは、選択された制御要素が第１の非選択表示状態から視覚的に区別可能な第２の選択済み状態として現れるように、例えば、重ね合わせ、色の変化などによって、選択の視覚的強調のためにデータを修正することができる。そうすることによって、人間工学性が向上し、ユーザに対して選択の視覚的認識が単純化される。一方で、制御要素による単なるポインタ表示は、この時点では、表示された制御要素の選択であるものとして理解される。一方で、現在の座標は安全に関する制御要素に一致する場合、ポインタは非表示とされ、視覚的に認識可能な選択済み状態の表示によって置き換えられてもよい。

原則として、第１のコンピューティングコンポーネントは、実施形態では、画像データストリームにおける修正画像データをコンピュータ生成による画像データとともにディスプレイに出力することができる。これは、例えば、特定のグラフィクス関連領域においてのみコンピュータ生成による画像データを上書きし又は重ね合わせ、その他のコンピュータ生成による画像データをそのままとすることによって、簡単に実現可能である。

監視ユニットは、好ましくは、少なくとも１つの集積回路を有する回路モジュールとして設計される。監視ユニットは、第１のコンピューティングコンポーネントに画像データラインにおけるシリアル回路構成を介して、好ましくは、ディスプレイの近くに、特に、ディスプレイの画像データ入力部において直接接続される。

従来の制御コンセプトに特に適した実施形態では、ユーザインターフェースを操作するために、ポインタ又はカーソル、特にコンピュータマウスによって制御されるマウスポインタがディスプレイ上に示される。この場合、監視ユニットに供給される入力情報に基づいて、例えば、第１のコンピューティングコンポーネントを用いて、特に監視ユニットにおける画像データ修正によって、ポインタが監視ユニットによって排他的に生成されることが規定され得る。この場合、入力デバイス、好ましくは相対ポインティングデバイス、特にコンピュータマウスは、監視ユニットにおいて好ましくは再度直接に接続され得る。モジュールは、その結果としてこの入力情報を表示用のコンピュータに転送する。

方法及びデバイスは、通常のかつ連続的な操作を可能とするために、ＧＵＩにおけるポインタ又はカーソルがユーザに視認可能となるように、特に、永続的に視認可能となり、表示され又は重ね合わせられるように実施され得る。

好ましくは連続的なポインタ案内に適した相対的及び／又は間接的ポインティングデバイスは、好ましくは入力デバイスとして用いられる。この場合、ＣＯＴＳポインティングデバイスは、例えば、ＵＳＢ接続とともに使用され得る。ただし、ＣＯＴＳポインティングデバイスを提供することは本発明の範囲内ではないが、電気的シグナリングの観点で安全な独立したＳＩＬ能力のある確認デバイス、例えば、押しボタンを一体化部品としてさらに備える従来の相対ポインティングデバイス（例えば、コンピュータマウス）と互換可能な特注のポインティングデバイスを提供することは本発明の範囲内にある。この場合、確認デバイスは、好ましくは、論理的及び／又は物理的に安全となるように設計された別個かつ独立の信号経路を介してポインティングデバイスのための信号接続とは独立して監視ユニットに接続される。

ポインタ操作を含む更なる実施形態では、安全性重視の制御要素のための全ての所定の画像領域の少なくとも外部において、ポインタが表示用のコンピュータによって生成されることが規定され得る。この背景において、それぞれの関連する領域における安全性重視の制御要素の選択が監視ユニットによって認識される場合、好ましくは監視ユニットにおける画像データ修正によって、コンピュータ生成によるポインタは表示されないことがここでも規定され得る。この実施形態では、特に、入力デバイス、特にコンピュータマウスが、例えば、ＵＳＢポートを介して従来的な態様で表示用のコンピュータに直接接続され得る。これにより、表示用のコンピュータは、入力情報を監視ユニットに転送する。

例えば、チェックコード計算による特に画像データ検証に関して、ポインタ、特にマウスポインタが、好ましくはユーザに不快なものとして知覚されない周波数で各場合において周期的に非表示及び表示とすることが行われると有利となり得る。例えば、画像データについての各Ｎ個の連続画像周期について、マウスポインタがコンピュータ又は監視ユニットによってＮ個未満のｍ個の画像周期についてのみ、結果として表示され得る。そうすることで、特に制御要素に対して、ポインタが非表示とされた状態で画像データに対するチェックコードを計算するオプションが提供される。これにより、ポインタがＧＵＩ内の非常に細かいグリッドで完全に位置可変又は移動可能となるものであるので、正しい表示の検証が大幅に簡素化される。あるいは、ポインタ表示は、決定された座標又は入力情報が関連領域から逸れない限り、制御要素における適切なソフトウェアによって単一の所定位置に固定又はクリップされてもよい。

入力デバイスに応じて、入力情報は、特に、タッチディスプレイで通常そうであるように絶対座標情報を、又はコンピュータマウスで通常そうであるように相対座標情報を表現し得る。相対座標情報は、この場合では、演算技術を用いて容易に絶対座標情報に変換可能である。

デバイス側では、グラフィカルユーザインターフェース（ＧＵＩ）を監視するための監視ユニットも提案され、それは少なくとも：
－コンピュータ生成による画像データのコンピュータからディスプレイへの送信のための画像データラインに接続するのに使用されるデジタル画像データインターフェース、特に、ＬＶＤＳインターフェース、ＨＤＭＩ（登録商標）インターフェースなど、
－安全機能を実施し、画像データインターフェースを介して画像データの少なくとも部分を読み出す少なくとも１つのコンピューティングコンポーネント、及び
－特にユーザ制御によるグラフィカル制御要素の選択のための入力デバイスに基づく、入力情報のためのデバイスインターフェース
を備える。

またさらに、本発明の第１の態様によると、監視ユニットは入力確認又はユーザ承認のための安全確認デバイスが接続され得る物理的な確認入力部を備え、少なくとも１つのコンピューティングコンポーネントは、認識された制御要素の選択が、特に、参照される先述の方法形態の１つによるディスプレイに供給される画像データにおいて正しく表現されることを保証及び／又は検証するように構成される。

また、本発明の第１の態様によると、監視ユニットは、表示された制御要素の選択中に確認インターフェースを介して、より正確には表示された制御要素の選択とともに時系列的に予め決定されたコンテキストにおいて確認入力を受信した場合に、関連する安全に関する制御コマンドを特に安全インターフェースを介して出力することである。

提案される監視ユニットは、好ましくは、画像データに基づいてチェックコードの画像データ修正及び／又は計算のために構成された少なくとも１つのコンピューティングコンポーネントを備える。監視ユニットは、特に検証目的で所定の画像領域及び／又は基準コードを指定するための少なくとも１つのメモリを備え得る。

監視ユニットは、好ましくは、入力デバイスのためのコントローラコンポーネントを備え、そのコントローラコンポーネントは入力デバイスの直接接続のために用いられるデバイスインターフェースに接続される。例えば、特にコンピュータマウスは、その結果として、監視ユニットに直接接続可能となる。特にこの場合、監視ユニットは、好ましくは、入力情報を外部の又は独立した表示用のコンピュータに送信するためのデータインターフェース、特に、双方向データインターフェースを備える。

本発明の更なる独立した態様によると、監視ユニットが２段又はおそらくは２チャネルのコンピュータアーキテクチャを有することが提案され、監視ユニットは：
－第１のコンピューティングコンポーネント、より正確には、入力側においてコンピュータ生成による画像データを受信し、安全機能に応じて、所定の画像領域における表示が意図された画像データの少なくとも一部分を修正し、出力側においてディスプレイのための画像データを提供するように構成されたコンピューティングコンポーネント
を備え、
－第２のコンピューティングコンポーネント、より正確には、画像データのためのチェックコードを計算することによって第１のコンピューティングコンポーネントから出力された画像データ、特に、所定の画像領域における表示が意図された修正画像データを検証するように構成されたコンピューティングコンポーネント
を備える。

これは、－－特に、ただし排他的にではなく、安全な入力のために－－監視ユニットの使用が安全を目的とした重ね合せ又は強調をグラフィカルユーザインターフェースにおいて安全な態様で生成することを可能とする独立した発明としてみなされる。

この背景において、第２の態様による監視ユニットは、特に、第１のコンピューティングコンポーネントによる強調が意図された通りであることを検証する目的のために及び／又は安全を目的とした応答を開始する目的のために、特に、計算されたチェックコードを少なくとも１つの予め記憶された基準コードと比較するように設定又は構成され得る。

この２段アーキテクチャを有する監視ユニットは、特に、ただし排他的にではなく、導入章で記載された第１の態様による方法に適する。例えば、領域が監視されているか否かに関してステータス表示を安全に示すために、（入力機能なしの）単なる表示のために指定監視領域を安全に示すために、及び障害であるとして表現されている領域が確実に非表示とされ、重ね合わされ、又は障害であるとしてマークなどされることを保証するために、他の用途にも有利に使用され得る。

特に第２の態様によると、第１のコンピューティングコンポーネントは、監視領域における表示用のコンピュータ生成による画像データに関して、監視領域について、少なくとも１つの予め記憶された基準値、特に基準コードとの、安全を目的とした比較のためのチェックコードを計算するように構成され得る。この場合、第１のコンピューティングコンポーネントは、まず入力側でコンピュータ生成による画像データに対してチェックコードを計算し、それに続く第２のステップにおいて、例えば、安全に関する情報を強調するように又は障害の場合に安全を目的とした応答として、画像データを修正することができる。特に、第２の態様による実施形態では、第１及び第２のコンピューティングコンポーネントが、多様化によってシステム上の障害に対する影響度を最小化するために、特に異なる種類のすなわち、多様な態様の、異なる符号化方法を実施し、及び／又はＦＰＧＡ、ＡＳＩＣなどの２つの独立した集積回路によって実装されることが規定され得る。

特に第２の態様による実施形態では、安全機能を有する少なくとも１つのコンピューティングコンポーネント、特に第１及び第２のコンピューティングコンポーネントが、選択された画像領域に関して、演算されたチェックコードを各場合に生成してもよい。

コンピューティングコンポーネントは、生成されたチェックコードを予め記憶された基準データと比較するように提供又は構成されたボーター（ｖｏｔｅｒ）構成、例えば、１つ又は複数のプロセッサに接続され得る。それにより、ボーター構成は、好ましくは、安全性及び／又は入手性の要件に応じて、他のＸ－ｏｕｔ－ｏｆ－Ｙボーターのコンセプトも可能として、２チャネルのプロセッサ回路として（２つのコンピューティングコンポーネントの場合には、好ましくは２ｏｏ２（２－ｏｕｔ－ｏｆ－２）ボーターとして）実装されてもよい。

第２のコンピューティングコンポーネントが用いられる場合、それは、画像データ修正に関して同様に２チャネル設計を有し、すなわち、第１のものに対して冗長性を有していてもよいが、これは必須ではない。コンピューティングコンポーネントが２つのチャネルを有する場合、第２のものは、第１のコンピューティングコンポーネントと同一の態様で画像データの少なくとも一部分を冗長的に修正することができる。それらの双方の各々が、修正され又は冗長的に修正された画像データに対して対応の第１又は第２のチェックコードを計算する場合、チェックコードは、特にボーター構成において、監視ユニットによって、機能的な安全のために相互に比較され得る。これによって、第１のコンピューティングコンポーネントが、想定される態様で又は正しく画像データを修正して、例えば、安全性重視の領域を強調し又は非表示としていることが保証可能となる。

第１又は第２の態様に関わらず、監視ユニットは、好ましくは、バスインターフェースを介して安全を目的とした通信のためのモジュールを備え、そのバスインターフェースは、その結果として、例えば、ＩＥＣ６１７８４－３－３、ＰＲＯＦＩｓａｆｅプロトコルなどに従う通信のために安全を目的とした制御コマンドを出力するための安全インターフェースとして使用可能となる。

第１又は第２の態様に関わらず、監視ユニットは、上記で説明した手順上の実施形態の１つによる少なくとも１つの方法ステップのコンピュータ実施による実行のために構成されるように、特に、構成可能又はプログラム可能な、ＦＰＧＡのようなコンピューティングコンポーネント、ロジックユニットもしくはコンピューティングコンポーネント及び／又はマイクロコントローラによって構成可能である。この場合では、用語「コンピューティングコンポーネント」は、プログラム可能なコンピュータ、例えば、ｖｏｎ Ｎｅｕｍａｎｎコンピュータに限定されないが、計算によって画像データを処理することができる任意のユニット、例えば、これは予め構成されたＦＰＧＡ、ＡＳＩＣなども含む。

第１又は第２の態様による提案の監視ユニットは、画素グラフィクスを表示するのに使用される表示デバイスを、特にＴＦＴパネルで装備するのに特に適する。モジュール式監視ユニットが、例えば、画像データ入力部において直接にデバイスに一体化されてもよい。この場合、ディスプレイは、監視ユニットのデバイスインターフェースに接続された入力デバイスのための少なくとも１つの接続部及び監視ユニットの確認入力部に接続された安全確認デバイスのための接続部を備え得る。

本発明は、コンピュータ及び当該コンピュータにグラフィクスデータラインを介して接続された画素グラフィクスのためのディスプレイを備える、ＧＵＩへの安全に関する入力のためのシステムにも関する。本発明によると、特に第１の態様によると、この場合、コンピュータから物理的に独立した監視ユニットが、上述したように提供される。

第１の態様によると、システムは、監視ユニットのデバイスインターフェースに好ましくは直接接続されたユーザインターフェースを操作するための入力デバイス、特にコンピュータマウスをさらに備え得る。またさらに、少なくとも第１の態様によると、独立してかつ安全確認デバイス、特に、例えば開閉接点を有する安全ボタンが、監視ユニットの物理的な確認入力部に接続される。

以上の方法の特徴及びデバイスの特徴は、相互に組み合わせ可能であり、各場合において、独立して又は個々に本発明に本質的なものとしてみなされるべきである。

提案される解決手段は、例えば、ＧＵＩによって安全でかつ同時にユーザフレンドリな操作を可能とするために、安全に関する処理又はシステムにおけるパラメータ化、例えば、処理技術又は自動化技術のために有利に使用され得る。

本発明の用途の分野は、ディスプレイ又はデスクトップコンピュータシステムに限られず、例えば、機械又はシステムの遠隔制御のためのいわゆるコンバーチブル又は小型可搬デバイスも含む。そのような、タブレットＰＣなどの小型デバイスは、ここでは、例えば、港湾のコンテナクレーンを制御し、又は産業ロボットをプログラムするのに使用される。またさらに、本発明は、特に、権限を必要とするシステムについて、重要なアクセス又は権限セキュリティの領域においても使用され得る。

保護範囲を限定することなく、本発明の更なる特徴及び有利な効果を、添付図面を参照して、以下の好適な例示的実施形態のより詳細な説明からまとめることができる。

安全でないコンピュータによって生成されたグラフィカルユーザインターフェース（ＧＵＩ）における安全に関するユーザ入力のためのシステムの概念図である。 ＧＵＩを監視するための３個の例示的実施形態であって、表示用のコンピュータに接続された入力デバイス及び本発明による監視ユニットに接続された確認デバイスを有するもの（図２Ａ）、入力デバイス及び本発明による監視ユニットに接続された確認デバイスを備えるもの（図２Ｂ）及び図２Ｂの確認デバイスの変形例（図２Ｃ）を示す。 本発明による方法を示すための、種々の状態において制御要素及び制御要素を選択するためのマウスポインタを備えるディスプレイ上の単に例示的なＧＵＩの種々の状態を示し、選択された非安全関連の制御要素を備えるもの（図３Ａ）、選択のないもの（図３Ｂ）及び選択された安全に関する制御要素を備えるもの（図３Ｃ）を示す。 制御要素の認識された選択が画像データに正しく表現されていることを監視ユニットがどのようにして保証するのかを示す概略信号フロー図とともに監視ユニットの２つの例示的実施形態を示す（図４Ａ～４Ｂ）。 本発明の独立した更なる態様による安全性重視の用途における安全な入力（図５Ａ）及び／又は表示（図５Ｂ）のための監視ユニットのアーキテクチャを示す。 本発明の態様の１つによる統合監視ユニットを備えるディスプレイデバイスの概念図である。

図１は、画素フォーマット化されたデジタル画像データを生成するコンピュータ１を備えるグラフィカルユーザインターフェース（ＧＵＩ）上の安全に関する入力のための構成又はシステム１０を模式的に示す。画像データは、表示のために、ＣＯＴＳディスプレイ２、例えば、ＴＦＴコンピュータ画面に適宜の画像データライン３を介して供給される。任意のＣＯＴＳコンピュータ、例えば、デスクトップＰＣは、グラフィクスを表示するためのコンピュータ１（以下、略してＰＣ１という）として使用され得る。ＰＣ１は、安全要求の観点で安全ではなく、より正確には信号技術の観点で安全ではなく、すなわち、安全技術の観点で安全でないものとしてみなされる。ＰＣ１は、とりわけ、選択的に種々のコンテキストに応じたモード又は画面マスク（図３Ａ～３Ｃ参照）によって、用途に応じて、任意の所望のＧＵＩをディスプレイ２に表示するようにプログラム可能であり、又はプログラムされている。図１におけるシステム１０の部分は、ＧＵＩを操作するための入力デバイスであり、具体的には、図１では、相対的、連続的かつ間接的なポインティングデバイスであり、この場合では、市販のコンピュータマウス４である。図１では例として、ＣＯＴＳコンピュータマウス（略して「マウス」４という）が、従来の技術でＰＣ１に接続される。安全性の観点では、マウス４も安全でないものとしてみなされ得る。

マウス４又は他の何らかの相対的、間接的かつ連続的な制御によって、ユーザは、ＰＣ１によって生成されるＧＵＩ表現における位置ポインタ又はマウスポインタ５を移動させることによって通常通りにグラフィカル制御要素を操作することができる。

安全でないコンポーネント、例えば、安全でないＰＣ１及びＣＯＴＳ入力デバイス、この場合はマウス４の使用にもかかわらず、所望の安全度水準、例えば、ＳＩＬ－３を達成するために、図１に模式的に示すように、追加のモジュール式監視ユニット１１が設けられる。監視ユニット１１は、別個のハードウェアの形態で又は独立したモジュールとして設けられ、安全証明済みである。モジュール式監視ユニット１１（以下、略してＳＭＵ（Ｓａｆｅｔｙ Ｍｏｎｉｔｏｒｉｎｇ Ｕｎｉｔ）という）は、画像データライン３に接続され、例えば、ディスプレイ２の画像データ入力部に接続可能である。ＳＭＵ１１は、特に障害を検出する目的で安全機能を実施するとともに所定の画像領域を監視するために、及び／又は選択的にディスプレイ２の描画の目的で画像データを修正するためにも、画像データライン３からの画像データの少なくとも部分を読み出すように構成される。画像データライン３は、任意の適宜の信号形式、例えば、ＬＶＤＳなどで、好ましくはデジタルで画素フォーマット化された画像データを伝送することができる。

ＳＭＵ１１には、第１の信号経路、すなわち、チャネル１１Ａを介して入力情報も供給され、ＳＭＵ１１は安全な設計のものである必要はない。この情報は、特にマウス４の操作に基づいて、相対座標（図２Ｂ）又はそれによりマウスポインタ５（「カーソル」ともいう）から生成されたグラフィクス関連ポインタ座標（図２Ａ）のいずれかの具体的な座標を含む。図１におけるポインタ座標は、例えば、マウス４の相対座標に基づいてＰＣ１によって決定され、ＰＣ１からＳＭＵ１１に第１のチャネル１１Ａを介して送信され得る。入力デバイス、例えば、デジタイザに応じて、当該デバイスは、絶対座標を生成し、それらをＳＭＵ１１にチャネル１１Ａを介して送信することもできる。

そのような入力情報、特にポインタ座標に基づいて、ＳＭＵ１１は、安全性重視の制御要素６（ここでは概略的にのみ示される）の選択又はユーザ制御による選択を認識することができる。この背景において、任意のＧＵＩ制御要素は、安全性重視の制御要素６としてみなされることになり、その作動は、ハザード又は操作上の安全性の意味で用途に応じた安全に関する機能（例えば、鉄道の信号ボックスにおけるポイントの切換）又はアクセスもしくは権限セキュリティを有し、（例えば、ＰＩＮ入力）に関連付けられ、又はそれを始動することが意図される。この種の安全性重視の制御要素を、以下では略してＳＥＥ（ｓａｆｅｔｙ－又はｓａｆｅｔｙ－ｒｅｌｅｖａｎｔ ｅｎｔｒｙ ｅｌｅｍｅｎｔ）という。

図１は、独立した確認デバイス１４（以下、略してＣＤ（ｃｏｎｆｉｒｍａｔｉｏｎ ｄｅｖｉｃｅ）という）をさらに示し、それは第２の信号経路、すなわち、チャネル１１Ｂを介してＳＭＵ１１に接続される。ＣＤ１４は、好ましくはハードウェアの観点でマウス４から独立して設計される。ＣＤ１４は、好ましくはＳＩＬ能力があり、いかなる場合でもそれ自体の安全なチャネル１１Ｂを介してＳＭＵ１１に接続される。ＣＤ１４は、マウス４によって制御されるカーソル５を用いて以前に選択されたＳＥＥ６として模式的に示される安全性重視の制御要素の所望の操作又は作動のユーザ制御による確認のためにシステム１０において使用される。この点について、マウス４におけるボタンの作動は、適切なプログラミングによってＳＥＥ６では無視され、又は考慮されるＳＥＥ６に関連付けられた重要な機能を始動するのには使用可能とならない。その代わりに、対応する始動が、ＣＤ１４、例えば、安全なボタン又は押しボタンによってユーザにより行われなければならない。したがって、ユーザは、各場合において、追加のＣＤ１４を入力し又は作動させることによって、１つ又は各々の提供済みＳＥＥ６についての彼らの選定又は選択を別個にかつ独立して承認又は確認する。

選択的に複数のＳＥＥ６のうちの１つを含む制御要素の選択は、カーソル５のユーザ制御に応じて行われる。ＳＭＵ１１は、またさらに、選択的に複数のＳＥＥ６（以下の図３Ａ～３Ｃ参照）のうちの１つの認識された選定又は選択が、画像データライン３を介してディスプレイ２に供給される画像データに正しく表現されていることをそれ自体が保証し、ただし、少なくとも検証するように、コンピュータ上で構成され、例えば、プログラムされる。したがって、例えば、カーソル５のポインタ座標に基づいて、ＳＭＵ１１内のプログラムにおいて現在行われている選択が、ディスプレイ２における適切な表示によって閲覧者又はユーザに対して示されるものに確実に対応することが保証される。これは、ＳＭＵ１１におけるソフトウェア技術を介して実施可能である。

この場合、どのようにして上記表示がユーザに対して行われるのか、特に、それがＰＣ１によって生成されるのか又はＳＭＵ１１によって生成されるのかは、ＳＭＵ１１が考慮し又は現在有効であるものとみなされる選択をユーザが視覚的に認識する限り、二次的な重要性のものである。この表示は、特に、カーソル５がＳＥＥ６を従来的な態様で指し示すことによって、これはユーザに視認可能であり、かつ通常の制御に対応するので、既に達成されているはずである。したがって、ＰＣ１、ディスプレイ２及びＧＵＩにおけるマウス操作によるカーソル５を備える古典的なデスクトップワークステーションの表示コンセプト及び制御コンセプトは、維持される。

所望の安全度水準、例えば、ＳＩＬ－３は、とりわけ、この目的で具体的に提供されるＣＤ１４からユーザ制御による確認が受信されると、安全に関する制御コマンドを始動し、又は選択されたＳＥＥ６に適した安全に関する機能をリリースするのは、（安全でない）表示用のＰＣ１ではなく安全な又はＳＩＬに適合したＳＭＵ１１のみであるということにおいて、システム１０によって達成される。ＧＵＩの任意の制御要素の選択に関連付けられた明確性は、カーソル５を有するポインタベースのＧＵＩに本来的なものである（常に１つのカーソル５しかないため）。確認は、それが行われる場合、ＳＭＵ１１によって安全に表示されているものとして現在考えられている正確に１つの単一の選択に関連付けられ、すなわち、厳密に１つのＳＥＥ６に関連付けられ、その他の場合には破棄される。この目的のため、ＣＤ１４の活性化は、特に、関連のＳＥＥ６の表示選択中にＳＭＵ１１によって監視又は問合せされ、ＳＭＵ１１によって使用されて、このＳＥＥ６に関連付けられた制御コマンドを始動する。ＣＤ１４の監視又は問合せは、ＳＭＵ１１が選択的に複数のＳＥＥ６のうちの１つの有効な選択を認識しない場合には省略され、又は選択が認識された場合にのみ行われる（フェールセーフの挙動）。この場合、通常の障害の場合はユーザによって認識され得るので（障害検出）、ディスプレイ２は安全なものとみなされる。ただし、ディスプレイ２における正しい表示を確認するための追加のハードウェア対策が実施されてもよい。

図２Ａ～２Ｃは、画像データストリーム３において、ＳＭＵ１１又は２１を有する相対ポインティングデバイスを用いる安全な入力についての本発明によるシステム２０Ａ、２０Ｂ、２０Ｃの３個の実施形態を示す。

図２Ａは、図１におけるコンセプトに概ね対応する、具体的には、ＰＣ１に、例えば、ＵＳＢポートに直接接続されるマウス４、及びＣＤ１４として安全なボタンを備えるシステム２０Ａを示す。ＣＤ１４は、独立したＳＭＵ１１に安全なチャネル１１Ｂを介して直接接続される。この場合、マウス４の相対座標は、ＰＣ１において、カーソル５を制御するための画像関連又は絶対ポインタ座標に変換され、安全な設計のものであることが必要ではないチャネル１１Ａを介してＳＭＵ１１に連続的に送信される。あるいは、絶対ポインタ座標は、ＳＭＵ１１において決定されてチャネル１１Ａを介してＰＣ１に返送されてもよい。カーソル５が現在指し示しているＳＥＥ６（選択）などをさらに視覚的に強調するために、特に、ディスプレイ２における表現に関して、例えば、それがＳＥＥ６を指し示す場合にカーソル５を非表示とすることに関して、ＳＭＵ１１が制御コマンドをＰＣ１に返送できるように、チャネル１１Ａはシステム２０Ａにおいて双方向となるように設計される。マウスがＰＣ１に接続される場合、それは、ＳＥＥ６がＰＣ１を介して又はマウス４上のボタンを介して直接制御可能とならないように好適にプログラムされる。

またさらに、ＳＭＵ１１は、安全な外部親機コンピュータ７、例えば、システムコントローラなどに安全な信号経路、すなわち、チャネル１１Ｄを介して接続される。（カーソル５が指し示す）表示されたＳＥＥ選択の間にユーザ制御による確認がボタン１４において受け付けられると、例えば、システムパラメータ化のためのＧＵＩ承認ボタンが、ＳＥＥ６に関連付けられた安全に関する制御コマンドを安全なコンピュータ７に、例えば、チャネル１１Ｄを介して発出する。安全なコンピュータ７への安全な信号経路、すなわち、チャネル１１Ｄは、適切なバス又は適切なネットワーク、例えば、好ましくは安全な信号伝送に適した安全ビュー（ＯＳＩモデル）を有するＰＲＯＦＩＮＥＴ（図６参照）又はＰｒｏｆｉＳａｆｅによって実装可能である。

ＣＤ１４は、例えば、ＳＭＵ１１における適切なコントローラ技術を用いて機能的に安全となるように設計可能であり、例えば、単一チャネルのボタン１４として設計可能である。単にソフトウェアの観点で、ＣＤ１４の信頼性のある機能は、適切なコントローラによって保証され得る。より高い安全性の要求を考慮して、ＣＤ１４は、例えば、開閉器を備え及び／又は物理的に安全となるように設計された２チャネル設計を有していてもよい。とりわけ、ＣＤ１４が、実際には実行されなかった作動をＳＭＵ１１に誤って送信しないことが保証されなければならない。実行された作動がＣＤ１４にないことは、ユーザによって障害として認識されることになる。

図２Ａによるシステム２０Ａでは、マウス４によって制御されるポインタ５は、例えば、表示用のＰＣ１を用いて連続的に重ね合わせることができ、ディスプレイ２における表現は、例えば、特許文献１におけるコンセプトに従って、すなわち、画素フォーマット化された監視領域についてＳＭＵ１１が計算するチェックコードを用いることによって、及びその後に基準値と比較される値との比較又はそれに対する参照においてチェックコードを用いることによって、ＳＭＵ１１によって正確性について監視される。簡明化のために、特許文献１又は特許文献２におけるチェックコードの使用に関する教示が、好適な解決手段としてここに取り込まれる。

図２Ｂは、この場合にはマウス４がＳＭＵ２１にチャネル１１Ａを介して直接接続される点で図２Ａと主に異なる好適なシステム２０Ｂを示す。ＳＭＵ２１は、例えば、既存のマイクロコントローラもしくはプロセッサ又は適宜の独立した集積ハードウェアコンポーネントにおいて、例えば、この目的に適した入力デバイスコントローラを備え得る。入力デバイスコントローラは、別個にかつ外部に実装されてもよく、ＳＭＵ２１（図６）とインターフェース、例えば、Ｉ^２Ｃを介して通信し得る。図２Ｂにおける好適なアーキテクチャでは、マウス４が生成又は送信する相対座標の画像関連ポインタ座標への変換は、ＳＭＵ２１内の画像関連の指示された座標において行われる。結果としての画像関連ポインタ座標又は相対マウス入力座標、及び選択的にマウスボタン割込みは、非安全関連の入力について、ＧＵＩを表示するためにＰＣ１がポインタの位置及び選択的にマウス４のボタンの作動を処理できるように、その後にＧＵＩを制御する目的でデータチャネル１１Ｃを介してＰＣ１に連続的に送信される。図２Ｂによる構成では、ＳＭＵ２１は、入力デバイス、この場合ではマウス４からの現在の、選択的に安全でもある入力データを常に有している。

特に図２Ｂによるシステム２０Ｂでは、ポインタ５は、好ましくはＳＭＵ２１内で又はそれ自体によって、マウス４の制御を介して連続的に表示される。この目的のため、ＳＭＵ２１は、例えば、ＰＣ１によって生成されたグラフィクスを特定の領域に重ね合わせることによって、ディスプレイ２に転送される画像データの修正を行う（以降の図４Ａ～４Ｂに関して以下を参照）。この背景において、ＳＭＵ２１は、ＣＤ１４を介してユーザによって後に確認された、例えば、関連する安全に関する制御コマンドを安全なコンピュータ７にチャネル１１Ｄを介して転送する場合に、関連する重要な機能を始動するために、ポインタ座標及びＳＥＥ６の各選択の知識を本来的に常に有している。

図２Ｃは、確認デバイス（ＣＤ）の種類が主に異なるシステム２０Ｃの更なる変形例を示す。システム２０Ｃでは、ディスプレイ２を備えるＨＭＩに設けられたソフトキー・キーボード２５が、安全確認デバイスとしてのＳＭＵ２１に安全な信号経路１１Ｂを介して接続される。ソフトキー・キーボード２５は、特許文献４による設計に対応し、それは簡明化のためにここに取り込まれる。

物理キー２４の機能的な安全性は、ソフトキーコントローラ２６によって保証される。あるいは、ＳＭＵ２１は、ボタン２４を直接かつ安全に読み出すことができる。キー２４は、通常はディスプレイ２の余白に配置される。ＰＣ１は、この場合、ソフトキー・キーボード２５の個々のキー２４に関連付けられたグラフィカルアイコン２３、シンボルなどを表示することができる。ＳＥＥ６に対する確認入力に関して、コンテキストに応じて、異なる又は常に同じキー２４が使用可能であり、その場合、安全関連性又は必要な確認処理は、より直感的使用のために、例えば、適切なアイコン２３を用いて、ＧＵＩにおいてユーザに視覚的に表示され得る。確認処理に関連するそのような追加のアイコン２３の表示の精度も同様に、特許文献１におけるコンセプトに従って、例えば、関連する画像データを符号化してそれを想定基準コードと比較することによって、ＳＭＵ２１によって監視可能である。

システム２０Ｃは、この場合にはソフトキーボタン２４の１つによって、独立した確認によって、ポインタベースの選択又は重要なＳＥＥ６の選択と、それらの実際の作動／制御との間の分離を実行することもできる。対応するソフトキーボタン２４は、確認入力に関して、所定の態様でＳＭＵ２１における選択済みＳＥＥ６に関連付けられる。したがって、ユーザによる実際の確認を考慮すると、すなわち、所定のキー２４が押下されると、ＳＭＵ２１は関連する制御コマンドを安全なコンピュータ７にチャネル１１Ｄを介して出力することができる。さらに、カーソル５がＳＭＵ２１によって排他的に表示される場合、システム２０Ｃは、特許文献４に従って、又は特許文献３にも従って、更なる機能を選択的に実施することもできる。一方、位置可変のカーソルがＰＣ１によって表示される場合、画像データに基づく固有のチェックコードについての要件を考慮すると、そのような解決手段は、膨大なソフトウェア処理なしには可能とはならない。ただし、この場合、マウス４などの相対的、連続的かつ間接的な入力デバイスを用いるカーソル５を介したＧＵＩの安全動作が焦点となり、確認入力を超えるソフトキーボタン２４の他の機能は選択的であることを意味する。

図３Ａ～３ＣにおけるＧＵＩ２Ａの概略図を参照して、機能、より正確には方法を以下に簡単に説明する。

ユーザは、ディスプレイ２によって描画される画像上、すなわち、ＧＵＩ２Ａ内でカーソル５を移動させる。この場合、多数の非安全関連の制御要素９も提供され、その動作はＰＣ１によって完全に従来的な態様で、選択的にＳＭＵ１１；２１による関与なしに実施される。

一方、ポインタ座標によって認識可能なカーソル５の位置が、ＳＥＥ６に対応する所定の画像領域（監視領域）に進入した場合、ＳＭＵ１１；２１は、安全に関する選択を認識することになる。この目的のため、ポインタ座標（絶対座標）は、入力デバイス４からの間接送信（図２Ａ）又は直接送信（図２Ｂ／２Ｃ）に基づいて、ＳＭＵ１１；２１において常に記憶及び更新される。選択は、ＳＭＵ１１；２１に記憶されたグラフィクス関連画像座標によって、ＳＥＥ６の表示領域、より正確には所定の対応する監視領域として認識される。したがって、これは、カーソル５が、例えば、ＳＭＵ１１；２１の入力段においてＧＵＩ２Ａのこのグラフィクス領域に入ると、認識される。選択的に、ＰＣ１によって及びＳＭＵ１１；２１によって制御されて、又は好ましくはＳＭＵ１１；２１自体によって、例えば、図３Ｃに概略的に示すような明瞭に認識可能なフレーム８などによってこの領域の追加の視覚的強調が行われてもよい。

ＳＭＵ１１；２１は、ポインタ５の現在のポインタ座標に基づいてＳＥＥ６の既存の選択の知識を有する。そのような選択の場合、ＳＭＵ１１；２１は、正確なポインタ表示、及び選択的に、適切な視覚的強調を検証又は保証する。これに基づいて、ＳＭＵ１１；２１は、確認入力、特に、選択されたＳＥＥ６のアクティブな強調の間に行われた確認入力を、ユーザによる承認として安全なボタン１４又は２４を介して認識し、それをＳＥＥ６の対応の安全性重視の機能に関連付けることができる。ＣＤ１４又は２４における対応する確認入力を考慮すると、ＳＭＵ１１；２１は、安全性重視の機能を有効化し、例えば、対応するコマンドを安全なコンピュータ７に出力することができる。このコマンドは、任意の所定の形態をとってもよいし、例えば、ＳＥＥ６についての符号化された画像データに対応していてもよい。この場合、マウス４の従来のマウスボタンの作動は、安全でないとみなされるため、無視されることになり、ＳＭＵ１１；２１によるリリース又はコマンド出力は影響を及ぼさない。これは、マウス４がＳＭＵ１１；２１に直接接続される場合（図２Ｂ）、より容易に実施され得る。

特に、安全でないＰＣ１によって引き起こされた場合の強調の検証も、この場合、例えば、特許文献１に従って、ＳＭＵ１１；２１における関連の監視領域の画像データを符号化し、それを対象コード又は基準コードと比較することによって実現可能となる。

ＳＥＥ６の選択の視覚的強調は、カーソル５のみによる表現によって達成され得る。演算の簡素化の目的のため、マウス４がＳＥＥ６の画像領域内に移動された場合、特に、カーソル５がＰＣ１によってグラフィカルに生成された場合、カーソル５は、選択的に、何らかの種類のクリッピング又はスナッピングを介して所定の位置に設定及び保持され得る。例えば、この場合、カーソル５は、現在のポインタ座標（絶対座標）が上書き又は無視可能となるようにして、ＳＥＥ６の幾何中心に対応するポインタ座標に表示され、又はそれに重ね合わされてもよい。このようにして、カーソル５は、常に、選定又は選択の場合に選択されたＳＥＥ６内で所定のグラフィカル表現を受け付けるので、例えば、ＳＭＵ１１；２１でのコード比較による安全を目的としたグラフィクス検証は潜在的に大幅に簡素化され得る。さらに、操作上の安全性が高められ、より正確には、ユーザは上記挙動を安全に関するものとして認識することができる。この変形例では、カーソル５がマウス４によってＳＥＥ６の監視画像領域から大幅に離れるように移動されるまで、通常の表示モードには戻されない。言い換えると、カーソル５がＳＥＥ６の監視画像領域まで移動されると、ＧＵＩ２Ａの残余の部分とは異なる態様でユーザに対して挙動し、例えば、所定の画像位置に保持され、又は非表示とされるように、システムは有利に構成される。

一方で、選択を強調することは、特に、画像データライン３に適宜接続されたＳＭＵ１１；２１がアクセスを有するディスプレイに転送された画像データを修正することによって、好ましくは、ＳＭＵ１１；２１自体によって行われる。特にこの目的のため、ＳＭＵ１１；２１自体は、カーソル５を画像データにおいて示し、その結果として、画像データの安全を目的とした符号化も簡素化される（以下の図４Ａ～４Ｂ参照）。

いずれの場合においても、ＳＭＵ１１；２１は、ＳＥＥ６を選択する場合に、（ユーザに視認可能な）表示されたカーソル５のポインタ座標がそれに対応し、又はそれに対応して監視される画像領域内に存在することを保証することができる。ＳＥＥ６の選定又は選択（さらに事前選択）の承認は、選択から独立して、その後に、ユーザによって、具体的にはＣＤ１４；２４を作動させることによって行われる。この処理は、例えば、この目的のための独立したチャネル１１Ｄを介して、関連する安全に関するアクションを開始するための必要な条件としてＳＭＵ１１；２１によって監視される。

図４Ａ～４Ｂは、例えば、図２Ｂによるコンセプトについて、ＳＩＬに適合した又はＳＩＬ能力があるＳＭＵ２１、２１´の好適な実施例及びアーキテクチャを概略的に示す。図４Ａ～４Ｂにおける説明は、部分的に、機能の好適な態様を説明する信号フロー図として設計されている。ＳＭＵ２１、２１´は、画像データラインを入力側のＰＣ１から接続するためのインターフェース、及びマウス４などの相対入力デバイスを接続するとともに、確認デバイス（ＣＤ）１４、例えば、安全なボタンを接続するための少なくとも１つのインターフェースを有するそれら自体の回路基板又はプリント回路基板上の独立したモジュール式ハードウェアとして実施される。出力側では、ＳＭＵ２１、２１´は、画像データをディスプレイ２に画像データライン３を介して転送するためのインターフェース、及び、例えば、ＰＣ１との通信のためのデータチャネルＩＣのための少なくとも１つのデータ出力部又は更なるインターフェースを有する。共通のインターフェースが、マウス４及びデータチャネル１１Ｃのために選択的に使用され得る。またさらに、安全なコンピュータ７（図２Ｂ）などへの接続が、提供され得る。画像データは、好ましくは、専用チャネル３を介して送信される。

図４Ａ～図４ＢにおけるＳＭＵ２１は、選択的に共用ハードウェア、例えば、集積回路の形態で設計され得る２つの少なくとも論理的に独立したユニット又はコンピューティングコンポーネント４１、４２によって２段カスケードアーキテクチャを有する。一方、２つの物理的に独立したコンピューティングコンポーネント４１、４２、特に、第１のＦＰＧＡ４１及び独立した第２のＦＰＧＡ４２を有する実施形態が好ましい。コンピューティングコンポーネント、すなわち、ＦＰＧＡ４１、４２は、特に、画像データのコンピュータ処理及びチェックコードの計算に使用される。第１のＦＰＧＡ４１は、ＰＣ１からの画像データのための入力部及びディスプレイへの画像データのための出力部（ＬＶＤＳ送信機）を有する。第２のＦＰＧＡ４２は、画像データのための１つの入力部のみを有し、表示を変えられないことを意味する。

ＦＰＧＡ４１、４２の機能化は、シグナリングの目的で上記入力部に接続されるとともにシグナリングの目的で２つのＦＰＧＡ４１、４２に接続される適切な設計のプロセッサ構成５０によって制御及び補完される。プロセッサ構成５０は、ＳＭＵ２１のコンポーネントであり、図５Ａ～５Ｂに関して以下に説明するように、１つ又は複数のチャネル、例えば、２つのチャネルを有するように設計可能である。プロセッサ構成５０は、この場合、画像処理コンピューティングコンポーネント４１、４２、特に、コンピューティングコンポーネント４１、４２のテスト機能と連携して、ＩＥＣ６１５０８による適切なＸ－ｏｕｔ－ｏｆ－Ｙ手法を実施することができる。例えば、図５Ｂは、冗長処理によって、まず両システムが故障した場合にＧＵＩ機能を保証せず、それゆえ、増強された安全性及び高い利用可能性を与える２ｏｏ２手法を示す。これにより、プロセッサ構成５０は、安全性及び利用可能性の要求に応じて、例えば、単にクロス診断（１ｏｏ２）での冗長処理のための単一のチャネル（１ｏｏ１）として、１－ｏｕｔ－ｏｆ－３ボーター（１ｏｏ３）として、又は２－ｏｕｔ－ｏｆ－３ボーター（２ｏｏ３）としてなど、他のボーティング手法に対しても構成可能である。例えば、設計に応じて、フェールセーフが有効化可能となり、その場合、認識された表示障害の後に、ＧＵＩ２Ａは、まず、減少した機能での安全動作モードに移行され、ＧＵＩ２Ａは、例えば、図５Ｂに示すように、認識された二重の障害に対してのみオフされる。したがって、一方では、要求によっては、２つの少なくとも論理的に独立したユニット、すなわち、コンピューティングコンポーネント４１、４２を有する２段アーキテクチャは必須ではない。特に、カーソル５が表示用のコンピュータ１によって示されている時には、画像データの安全を目的とした検証のための１つの画像処理段４１のみを有する単一段又は単一チャネルの設計が、代替的に可能である。

ここで、図４Ａを参照してＳＭＵ２１の好適なソフトウェア実行による又は演算的な機能化を説明する。

プロセッサ構成５０は、マウス４から相対座標を受信し、これに基づいてポインタ座標を生成し、ＳＥＥ６の選択がＧＵＩ２Ａに存在するか否かをポインタ座標によって監視又は認識する。これが存在しない場合、プロセッサ構成５０は、ポインタ座標又は相対座標及び選択的にマウスボタンへの割込みをＰＣ１にデータチャネル１１Ｃを介して通信する。これに基づいて、ＰＣ１は、従来的な態様でディスプレイ２に対する画像データにおいて、ＧＵＩ又はその表現を制御する。あるいは、マウス４の相対入力信号が、ＰＣ１及びＳＭＵ２１、２１´に並列に送信されてもよい。

またさらに、プロセッサ構成５０は、例えば、プロセッサ構成５０が連続的に決定するポインタ座標に応じて画像データを表示又は上書きすることによって上記ＦＰＧＡ４１が表示用の画像データにカーソル５を生成するように、第１のＦＰＧＡ４１を制御する。この場合、ＰＣ１はＧＵＩにカーソル５を表示せず、又はＰＣ１自体がカーソルを重要でない領域のみに表示する一方で、第１のＦＰＧＡ４１のみがカーソル５をＧＵＩ２Ａに対するグラフィクスの重要な領域に表示することが規定され得る。

選択的又は追加的に、表示されるＧＵＩグラフィクスの監視領域に対するＦＰＧＡ４１、４２の一方又は両方によって安全性重視の情報の単なる表示の安全性について、特許文献１によるテスト方法が実行されてもよく、その目的のため、ＳＭＵ２１、例えば、単なる表示機能を有する（制御要素を有さない）監視対象の画像領域に関連するパラメータが、例えば、安全なコンピュータからＳＭＵ２１に供給される。

プロセッサ構成５０が、カーソル５の連続的に決定されるポインタ座標をＳＥＥ６の、より正確には対応する監視領域の所定の又は予め記憶された画像座標と比較することによって、ＳＥＥ６の選択が存在することを認識した場合には、ＦＰＧＡ４１、４２は選択監視モードに切り換えられ得る。あるいは、特に、グラフィクスにおける重要なＳＥＥ６に関してそれぞれの監視領域に限定される各場合には、ＦＰＧＡ４１、４２はそのような監視を連続的又は継続的に行うことができる。

ＳＭＵ２１、２１´によって安全でないＰＣ１から入力側で受信された画像データに関して、ＦＰＧＡ４１は、ＳＥＥ６に対応し又はそれに一致する画像データについて、適切な符号化アルゴリズム、例えば、ＣＲＣ法を用いて最初の機能ブロックＣＲＣ１にチェックコードを生成する。機能ブロックＣＲＣ１からの連続的に生成されたコードは、プロセッサ構成５０によって、１つ又は選択的に複数のＳＥＥ６について、メモリ５５からの予め記憶された基準コード又は対象コードと比較される。入力側において、これは、想定されるＳＥＥ６がＰＣ１によって正しく表示済みであり、かつカーソル５の位置可変の表示によっては影響されることはないことを保証する。後の信号フローにおいてのみ、ＦＰＧＡ４１は、例えば、上書き又は重ね合せによって、現在のポインタ座標に応じた位置に機能ブロック４３における画像データにカーソル５を表示する。機能ブロックＣＲＣ２では、ＦＰＧＡ４１は、カーソル５の現在の表示に対応する画像データの領域に対して更なるポインタ関連チェックコードを生成する。追加の機能ブロックＣＲＣ４において、ＦＰＧＡ４１は、カーソル５の表示なしに画像データの周辺領域に対する「ポインタフリー」チェックコード、例えば、ＣＲＣ２に対するカーソル領域とＳＥＥ画像領域との差分、又は一方ではＣＲＣ２に対する領域とそれを越えてＧＵＩの表示全体までの領域との差分をさらに生成する。「ポインタフリー」チェックコードＣＲＣ４を生成するために、監視画像領域における画素の差分又は残量、例えば、ＧＵＩ２Ａ全体（量Ａ）及びカーソル５を表す画素の量（量Ｂ）を表す画素についてチェックコードＣＲＣ４が計算され、これは量Ｂを有さない量Ａ、すなわち、カーソル５のための画素は差分量に含まれないことを意味する。他の適宜の方法も、すなわち、ＣＲＣチェックサムに加えて、チェックコードのためのアルゴリズムとして使用可能である。

カーソル５を表示することによってＦＰＧＡ４１によって対応して修正された画像データは、ＦＰＧＡ４１の出力部からディスプレイ２に画像データライン３を介して出力される。またさらに、これらの修正画像データは、第２の論理又は物理段、この場合、ＦＰＧＡ４１とは異なり１つの入力部のみを介して画像データライン３に接続される第２のＦＰＧＡ４２に並列に供給される。第２のＦＰＧＡ４２は、第１のＦＰＧＡ４１のものと同一の態様で、プロセッサ構成５０の現在のポインタ座標に応じてカーソル自体の表示を再度重ね合わせるが、これらのデータは出力されない。機能ブロックＣＲＣ３において、ＦＰＧＡ４２は、ＦＰＧＡ４１におけるＣＲＣ２と同様の態様でＦＰＧＡ４２によるカーソル５の現在表示されている表現に対応する画像データの領域に対する更なるポインタ関連チェックコードを生成する。機能ブロックＣＲＣ５において、ＦＰＧＡ４２は、カーソル５を表示することなく画像データの周辺領域について、すなわち、ＦＰＧＡ４１におけるＣＲＣ４に対応する関連画素の差分量について、更なるポインタフリーチェックコード（上記参照）を形成する。

プログラム段、より正確にはブロックＣＲＣ２、ＣＲＣ３、ＣＲＣ４、ＣＲＣ５において計算されたチェックコードは、プロセッサ構成５０によって安全を目的とした態様で評価され、特に比較される。この目的のため、プロセッサ構成５０は、ポインタ関連チェックコードＣＲＣ２及びＣＲＣ３を、障害検出の目的で、すなわち、カーソル５がＦＰＧＡ４１によって正しく表示されたことを検証及び保証するために、比較器又は機能ブロック５３において相互に比較する。またさらに、プロセッサ構成５０は、ポインタフリーチェックコードＣＲＣ４及びＣＲＣ５を、障害検出の目的で、すなわち、カーソル５の表示又はＦＰＧＡ４１における画像データの修正がＧＵＩの他の画面領域にいずれの無用又は不要な変化も引き起こさないことを検証及び保証するために、比較器又は機能ブロック５３において相互に比較する。比較レベルの１つが、ＣＲＣ１、ＣＲＣ２又はＣＲＣ４に基づく乖離を示す場合、ＳＥＥ６の安全性重視の機能の活性化もしくはリリースが阻止され、又は許可されず、選択的に、障害が更なる画像データ修正によって（例えば、ＳＥＥ６を非表示とするなどして）ユーザに示される。全ての安全を目的としたテスト又は比較結果が肯定的である場合にのみ、プロセッサ構成５０は、特に、表示される選択の期間中に、それぞれのＳＥＥ６に関連付けられた安全に関するアクションの承認として認識される安全なＣＤ１４におけるユーザ制御による入力を採用する。ＳＭＵ２１は、選択が正しいものと検証された場合のみ、この場合、安全なシステム、例えば安全なコンピュータ７、又は例えばシステムコントローラに対する適切なインターフェースを介して、プロセッサ構成５０からの出力によってこの機能又はアクションを始動する。プロセッサ構成５０は、ボーター、好ましくは上述のような２ｏｏ２ボーターを生成するが、これは必須ではない。

プロセッサ構成５０とは独立して制御されて読み出される第２のＦＰＧＡ４２を有する２段又は２チャネルアーキテクチャは、この場合、全ての安全に関するＧＵＩ機能の信頼性のある表示を、特に、第１のＦＰＧＡ４１によってカーソル５の表示も可能とする。ＰＣ１とは逆に、監視モジュール、すなわち、ＳＭＵ２１は、ＳＩＬ能力があり又はＳＩＬに適合し、特に安全証明済みのものであり得る。

図４ＢにおけるＳＭＵ２１´は図４Ａに関して説明したものと可能な限り同じ設計及び機能を有するが、特にＰＣ１からＳＭＵ２１´に通信される画像データが入力側で２つのＦＰＧＡ４１、４２に直接供給され、すなわち、ＦＰＧＡ４２はＦＰＧＡ４１の出力によっては影響され得ない点で異なる。一方、安全を目的としたチェック機能は、同一に又は等しく実行され得る。特に、この場合、ＣＲＣ２及びＣＲＣ３からのチェックコードを比較することによって、カーソル５が想定通りにＦＰＧＡ４１によって表示されたことも保証又は検証される。いずれの場合においても、表示及び符号化は、特に、例えば、各画面が新しくなる毎に、連続してかつ画像データと同期して行われ得る。いずれの実施形態でも、カーソル５の位置に基づく選択がプロセッサ構成５０によって認識され、かつ選択的に、ＳＥＥ６の正しい表示がＣＲＣ１によって判定された場合には、双方とも後続の承認の前提条件であるので、レベルＣＲＣ２・・・ＣＲＣ５による符号化は、その後に必要な場合のみ行われ得る。

一方、前述の機能の変形例として、特に、ポインタ位置が、ＳＥＥ６について所定の重要な領域の予め構成されたグラフィクス関連又は画素関連の入力領域（ＥＢ）の外側に位置する限り、カーソル５が表示用のＰＣ１によって示されることも規定され得る。ＳＭＵ２１；２１´は、例えば、ポインタ座標をＰＣ１にチャネル１１Ｃを介して送信することによって、カーソル５がＥＢの内部の画像座標に位置するのか、外部の画像座標に位置するのかを同時に報告する。この応答を考慮して、選択的に、選択が存在する（ポインタ座標がＥＢ内にある）場合にはＰＣ１はカーソル５を非表示とするように要求される。その座標がＥＢ内に位置する場合には、ＳＭＵ２１；２１´自体が、例えば、色の変化によって、又は選択的にカーソル５を非表示とすることによって、関連のＥＢを追加的に視覚的に強調してもよい。このモードの動作は、上述したように、安全を目的とした態様で検証されてもよい。特に全てのＳＥＥ又はＥＢの正しい表現に関して、カーソル５又は強調なしにＰＣ１によって生成された画像データがより容易に正確性について検証可能となるように、安全なＳＭＵ２１；２１´によってカーソル５が直接表示され又は選択が強調されれば有利である。

図５Ａは、２つの独立したコントローラ、すなわち、プロセッサ５１、５２によるボーター構成、すなわち、プロセッサ構成５０の２チャネルの実施例を有する、例えば図４Ａによる、監視モジュール、すなわち、ＳＭＵ２１のための更なる好適なアーキテクチャを示す。プロセッサ５１、５２は、各場合において二重にかつ独立して、より高い安全要求に関して不規則な障害関連の挙動を発見するために、図４Ａに関して上述したような関連の制御及び検証機能の全てを実行し、検証エンコーダとしてＦＰＧＡ４１、４２を用いて２－ｏｕｔ－ｏｆ－２ボーターを生成する。この目的のため、両プロセッサ５１、５２の各々は、シグナリング目的のために２つのＦＰＧＡ４１、４２に接続され、適切かつ正しい機能のために相互に独立して相互を検証する（２チャネルのコンセプト）。相対ポインティングデバイス、例えば、マウス４のための、特に安全なボタン４のための外部インターフェース６１が、独立したコンポーネントとして実装されてもよいし、プロセッサ５１、５２に統合されてもよい。

図５Ｂは、監視モジュール８０のための更なる、好ましくは連続する２チャネルアーキテクチャを示す。監視モジュール８０は、安全な入力のための上記機能にもかかわらず、本来的に、入力パラメータの安全な表現を監視するために（選択的に、入力機能なしに）使用される特許文献１における教示の更なる展開としても考えられ、本発明に必須のものとしてみなされるべきである。

監視対象の入力パラメータは、例えば、安全なコンピュータ７によって監視モジュール８０にインターフェース７０を介して供給可能である。

ＦＰＧＡ４１は、安全性重視の表示のための１以上のグラフィクス関連の所定の監視領域に関してチェックコードを生成する。２つのＦＰＧＡ４１又は４２の一方によって各々が決定されるチェックコードＣＲＣ１．１及びＣＲＣ１．２の各々は独立して、プロセッサ５１、５２の２チャネルの実施例において、例えば構成中に、それぞれの入力パラメータに対する基準値として予め記憶された入力パラメータに対応する所定の基準値と比較される。比較のための基準値は、例えば参照テーブルを用いて、入力パラメータに基づいて基準コードとして決定されてもよいし、又は現在の入力パラメータが、例えば参照テーブルを用いて、決定されたコードから回復された基準パラメータと比較される。更なる機能、特に、監視領域のためのチェックコードの生成に関して、特許文献１における教示が図５Ｂに関してここに取り込まれる。

ＦＰＧＡ４１、４２についての２段のかつ好ましくは２チャネルでもあるハードウェアの実施例は、図４Ａに対応する。この場合、第２のＦＰＧＡ４２は、入力部のみ（読出し専用接続）を介して画像データライン３に再度接続され、すなわち、それは上流側の第１のＦＰＧＡ４１が（例えば、ＬＶＤＳ受信機として）画像データを読み出している間に画像データを修正することはできず、それは選択的に（例えば、ＬＶＤＳ送信機として）修正なしの転送を行うことになる。

図５Ｂによる監視モジュール８０を用いると、より高い安全度水準、例えば、ＳＩＬ－３以上を可能とする、安全性の観点で有利な特に２つの機能が実施可能となる。

一方、特に非表示もしくは表示（例えば、白色への切換）又はＦＰＧＡ４１の出力部での画像データにおけるユーザに視認可能な他の表示による画像データ修正をＦＰＧＡ４１が用いることによる安全を目的とした視覚的障害検出は、チェックコード法を用いて検出される障害の場合に第２のＦＰＧＡ４２によって検証可能となる。この場合、ＦＰＧＡ４２は、グラフィクス障害表示のためのチェックコードを生成することによって、例えば、チェックコード法を用いて、それに対応して想定される表現によってＦＰＧＡ４１の出力部で画像データにおいて生成されるものと想定される障害の場合に想定されるグラフィクス障害検出を検証する。グラフィクス障害表示又は障害検出は、ＦＰＧＡ４２によって、欠陥と認識される画像データに関する画像データの修正を表示する第１のＦＰＧＡ４１と同じ機能をＦＰＧＡ４２が実施することによって、検証可能となり、すなわち、この場合、ＦＰＧＡ４１、４２も画像データを検証及び修正するための２チャネル構成を形成する。一方、ＦＰＧＡ４２は、ＦＰＧＡ４２における画像修正を冗長的に反復することなく、第１のＦＰＧＡ４１による画像修正の想定される挙動又は対象となる挙動に対応する予め記憶されたコードを生成することもできる。

ＦＰＧＡ４１、４２からのチェックコードによって、対応する対象値又は対象コードとの比較が行われる。この比較は、安全性を高めるために、２つのチャネルを介して両プロセッサ５１、５２において独立して再実行される。そうすることで、正しい障害検出又はユーザに視認可能な態様での障害検出が保証される。障害検出及びクロス検証は、好ましくは個々の所定の監視領域に限定され、かつ各場合においてそれに関して限定されるので、表示の残部は影響を受けないままとなる。このＦＰＧＡ４２を用いた障害検出のクロス検証が肯定的な結果をもたらさない場合、安全を目的とした対策、例えば、表示をオフとすること又は表示を安全でないモードに切り換えることが行われ得る。結果として、安全性重視の情報の不適切な表示を回避するために２つの異なる方法が提供されるので、システムはより高い安全性を提供する。個々の監視領域のための選択的障害検出は、例えば、第１のＦＰＧＡ４１によって非表示とすること、表示すること又は障害のあるもの（誤ったもの）としてマークを付けることによって、まず利用可能性のレベルを上昇させる。これは、正しいものとして選択的に表示される、さらに検証された安全性重視の画像領域は影響を受けないからである。フェールセーフ動作を保証するための第２の方法は、この場合、プロセッサ構成５０と相互作用する追加のＦＰＧＡ４２を有する第２の段階に基づいて実現される。想定されるように第１の方法が監視画像領域に障害を選択的に知らせない場合、この結果は、例えば、表示全体がボーター又はプロセッサ構成５０によってオフ可能となるように、第２のＦＰＧＡ４２によって知らせられる。プロセッサ構成などの２ｏｏ２ボーターも、この目的に有利である。特にこれら２つの独立した障害検出法のために、監視モジュール８０は、致命的な二重障害が排除可能となるため、安全度水準ＳＩＬ－３を保証することができる。さらに、監視モジュール８０における少なくとも第２の方法はまた、２チャネル設計によって及び／又は多様な態様で実施可能である。

追加的又は代替的に、監視されている表示領域の正確さを高めることに関して、これは画像データ修正によって想定されるようにＦＰＧＡ４１が実行するものであるが、第２のＦＰＧＡ４２もこの検証を実行可能である。この場合、視覚的強調及び／又は表示は、例えば、ディスプレイ２の現在の描画のいずれの領域が監視モジュール８０によって実際に監視されているのか又は安全性重視の態様で監視モジュール８０によって検証されているのかをユーザが認識できる基礎となるグラフィカルなフレーム又はグラフィックシンボル、アイコンもしくはウィジェットを表示することによって、種々の態様で行われ得る。この目的のため、第２のＦＰＧＡ４２は、ＦＰＧＡ４１の出力部で画像データに対して、例えば、想定されるグラフィカルな強調を含む監視領域に対してチェックコードを生成することもでき、そのチェックコードは同様に独立して、かつ対応の対象値又は対象コードを有する両プロセッサ５１、５２における２つのチャネルを選択的に介して比較される。したがって、この場合、ＦＰＧＡ４１、４２は、各監視領域に対して２つの異なるチェックコードを生成することができ、第１のチェックコードは、監視されていることの表示を有しない監視領域の画像データに対するものであり、第２のチェックコードは、監視されていることの表示を有するものである。例えば、大きなハミング距離を有する適切な符号化アルゴリズムを条件に、２チャネルの符号化は、結果としてＰＣ１によって生成された元の画像データとの関連で同時に実現される。対応する所定の比較データは、第１及び第２のチェックコード（ＣＲＣ１．１及びＣＲＣ１．２参照）についてボーター及び／又はプロセッサ構成５０に記憶され、そのデータは、有効な場合に対応し、すなわち、第１の検証コードによる初期パラメータの正しい表現及び第２のチェックコードによる監視領域の強調付きの正しい表示に対応する。このように、第２のＦＰＧＡ４２及びプロセッサ５１、５２によってアクティブなものとして信頼性を以て認識されるそれぞれの画像領域の監視は、例えば、安全なコンピュータ７に出力されてもよい。

またさらに、監視モジュール８０自体は、監視モジュール８０が、例えば、アクティブな監視（安全な）又は非アクティブな監視（安全でない）とともに動作している動作モードの視覚的表示を安全な態様で生成することができる。これはまた、第１のＦＰＧＡ４１による画像データ修正によって行われ、かつ第２のＦＰＧＡ４２及び好ましくは２つのプロセッサ５１、５２を有する提案のアーキテクチャを介して安全にクロス検証され得る。ＧＵＩが種々のモード又は種々のコンテキストに応じた画面マスクを表示することが意図される場合に、監視モジュール８０によるステータス表示は特に有利である。

監視モジュール８０によって、ＰＣ１によって安全でない態様で生成される画像データに対する基本的に任意の種類の所望の変化が、安全な態様で実行可能となる。これは、第１の段階において、例えば、ＦＰＧＡ４１において画像データを修正することができることによって、及び第２の段階における、例えば第２のＦＰＧＡ４２による、第１の段階による画像データ修正の検証のために実現される。この目的のために用いられる両コンピューティングコンポーネント、例えば、ＦＰＧＡ４１、４２は、特に、上述のように重要な画像データのための２チャネル監視機能を実施することもできるが、これは選択的なものである。

この２段階の実施例は、単一の集積回路、例えば、単一のＦＰＧＡによっても実現され、又は論理的な、より正確には２段階のコンピューティングコンポーネントもしくはモジュールへの仮想的な分割もしくは分離を有する単一のプロセッサなどによっても実現され得る。ただし、実際のハードウェアベースの２つのコンピューティングコンポーネント、例えば、ＦＰＧＡ４１、４２を有する２チャネルの実施例が有利である。この場合、設計の多様性を有する多様な種類のコンポーネント、例えば、ＦＰＧＡ４１、４２は、システム障害、例えば、共通コアの障害のリスクを最小化するために使用され得る。同様のことが、プロセッサ５１、５２にも当てはまる。

プロセッサ５１、５２の同様の２チャネルボーターの実施例が、より高い安全性のために、好ましくは絶縁コンポーネントによってＦＰＧＡ４１、４２からガルバニックに分離されるので、物理的に独立したプロセッサ領域５０が監視モジュール８０の共通のプリント回路基板に設けられる。

検証目的のため、－－例えば、上述のような－－テスト目的のための画像データ修正に関して同一の機能を実施する画像データ符号化のための２つのコンピューティングコンポーネント４１、４２並びに機能的な制御及び動作のための２つのプロセッサ５１、５２を有する監視モジュール８０のための完全２チャネルのアーキテクチャは、障害制限及び障害検出に関して特に有利である。好ましくは、少なくとも両プロセッサ５１、５２の各々は、電源、クロック、信号経路などのような独立した又は少なくとも反応しないリソースを有する。

図６は、例えば、ＳＭＵ２１が図４Ａによるデバイスに統合された、特にＴＦＴパネルを有する画素グラフィクスを表示するための安全な表示デバイス６０を概略的に示す。コンピュータ生成による画像データは、選択的に、既存のモニタコントローラによるＨＤＭＩなどのＰＣディスプレイに合わせられた信号形式からＬＶＤＳへの変換後に、ＳＭＵ２１に転送され、そこから表示デバイス６０のＴＦＴコントローラに出力される。

表示デバイス６０はまた、ＳＭＵ２１に双方向データ接続を介して接続された、統合された特殊なインターフェースモジュール又はゲートウェイ６１を有するので、ＳＭＵ２１上ではこの目的のために１つの接続しか必要とならず、ゲートウェイ６１は用途に応じて構成可能となる。図６におけるゲートウェイ６１は、ＣＯＴＳ入力デバイス４、及び安全でない表示用のＰＣ１（図６には不図示）との接続のための対応の出力のための接続、例えば、ＵＳＢ接続を有し、ＧＵＩを制御し又はＰＣ１を動作させるために、それを介して相対座標がＰＣ１に転送される。並行して、ゲートウェイ６１は、上述のように、特にカーソル５を表示する目的でＳＭＵ２１に相対座標を供給する。ゲートウェイ６１は、確認デバイス、すなわち、ＣＤ１４に対する入力部を有し、とりわけ、確認デバイス１４とＳＭＵ２１の間に論理的に安全なチャネルを提供する。またさらに、ゲートウェイ６１は、特に、例えば、ＣＤ１４での確認入力に基づいてＳＭＵ２１自体によって生成された安全を目的としたコマンドもしくは情報又は例えば安全を目的としたコマンドも送信する目的で、安全な産業用バス、例えば、ＰＲＯＦＩＮＥＴ又は同様にＰＲＯＦＩＳａｆｅプロトコルを介して安全を目的とした通信のためのインターフェースを提供する。

本発明による安全な入力機能に加えて、ＳＭＵ２１はまた、特許文献１におけるコンセプトによる安全な表示及び／又は絶対入力デバイス、例えば、特許文献３による容量性タッチデバイスを用いる安全な入力を実施することができる。簡明化のため、後者及び前者の文献の双方における教示は、ここに完全に取り込まれる。

Claims (20)

1. グラフィカルユーザインターフェース上の安全に関する入力のための方法であって、コンピュータがディスプレイのための画像データを生成し、前記グラフィカルユーザインターフェースを制御するための入力デバイスを備え、前記方法は、
   コンピュータ生成による前記画像データを前記コンピュータから前記ディスプレイに画像データラインを介して送信するステップと、
   前記入力デバイスを用いてユーザ制御による態様で選択可能な少なくとも１つのグラフィカルな制御要素とともに前記ディスプレイ上の前記グラフィカルユーザインターフェースを表示するステップと、
   を含み、監視ユニットが前記画像データラインに接続され、安全機能のために前記画像データの少なくとも部分を読み出し、
   －前記監視ユニットには前記入力デバイスから来る入力情報が供給され、該入力情報に応じて、前記制御要素の、前記ユーザ制御による選択が前記監視ユニットによって認識可能であり、
   －前記監視ユニットは、安全な信号経路を介して前記ユーザ制御による確認を受信するための確認デバイスに接続され、
   －前記監視ユニットは、認識された前記制御要素の選択が、前記ディスプレイに供給される前記画像データに正しく表現されていることを保証及び／又は検証し、
   －前記監視ユニットは、前記制御要素の表示された選択中に、前記ユーザ制御による確認の受信に応じて、前記制御要素に関連付けられた安全に関する制御コマンドをリリース又は始動し、特に、安全な前記信号経路を介して該制御コマンドを出力する
   ことを特徴とする方法。
2. 前記監視ユニットが前記制御要素に関連付けられた所定の画像領域における表示が意図された前記画像データの少なくとも一部を修正し、これに対応して前記監視ユニットが修正された前記画像データを前記ディスプレイに転送することにおいて、前記監視ユニットは、前記ディスプレイに供給される前記画像データに認識された前記制御要素の選択が正しく表現されていることを保証し、
   修正された前記画像データは、前記入力情報に応じたポインタを表現し、かつ／又は
   修正された前記画像データは、前記ディスプレイの所定の前記画像領域において、ユーザについての選択の視覚的強調をもたらし、かつ／又は
   修正された前記画像データは、コンピュータ生成による前記画像データを特定領域に重ね合わせる、
   ことを特徴とする請求項１に記載の方法。
3. コンピュータ生成による前記画像データは前記制御要素の選択を表現し、前記監視ユニットは、前記制御要素に関連付けられた所定の画像領域において表示が意図された前記画像データに関して、前記監視ユニットがチェックコードを計算し、該チェックコードを少なくとも１つの予め記憶された基準コードと比較することにおいて、前記ディスプレイに供給される前記画像データに前記制御要素の認識された選択が正しく表現されていることを検証することを特徴とする請求項１に記載の方法。
4. 前記入力情報が、前記入力デバイスから前記監視ユニットを介して表示用の前記コンピュータに送信され、又は表示用の前記コンピュータを介して前記監視ユニットに送信されることを特徴とする請求項１又は２に記載の方法。
5. －前記監視ユニットは、コンピュータ生成による前記画像データが入力側で供給され、安全性重視の前記制御要素の選択に応じて、選択を視覚的に強調するように前記画像データを修正し、表示のための前記画像データを出力側に転送する第１のコンピューティングコンポーネントを備え、かつ
   －前記監視ユニットは、前記第１のコンピューティングコンポーネントの出力側画像データを検証するのに使用される第２のコンピューティングコンポーネントを備える、
   ことを特徴とする請求項２に記載の方法。
6. 前記第１のコンピューティングコンポーネントは、所定の前記画像領域において表示が意図されたコンピュータ生成による前記画像データに関して、第１水準のチェックコードを計算し、前記監視ユニットは、該第１水準のチェックコードを、所定の前記画像領域に対する少なくとも１つの予め記憶された基準コードと比較し、前記第１のコンピューティングコンポーネントは、第１のステップにおける入力側において、コンピュータ生成による前記画像データに関する前記第１水準のチェックコードを計算し、その後の第２のステップにおいて、前記画像データを修正することを特徴とする請求項５に記載の方法。
7. －前記第１のコンピューティングコンポーネントは、所定の前記画像領域における表示が意図された、前記第１のコンピューティングコンポーネントによって修正される前記画像データに関して第１の第２水準のチェックコードを計算し、
   －前記第２のコンピューティングコンポーネントは、所定の前記画像領域における表示が意図された、前記第１のコンピューティングコンポーネントの出力側の前記画像データに関して第２の第２水準のチェックコードを計算し、
   －前記監視ユニットは、選択が前記第１のコンピューティングコンポーネントによって意図された通りに強調されたことを検証する目的のため、前記第１の第２水準のチェックコード及び前記第２の第２水準のチェックコードを相互に比較し、
   －両コンピューティングコンポーネントの各々は、前記制御要素の表示が意図された通りであることを検証する目的のために前記監視ユニットが相互に比較する、選択のない所定の前記画像領域の前記画像データに関して第３のチェックコードを計算し、かつ／又は
   －１または複数の前記コンピューティングコンポーネントは、前記制御要素に関連付けられた所定の前記画像領域のための前記画像データに関して、前記制御要素の選択が認識された場合にのみ複数の前記チェックコードを計算する
   ことを特徴とする請求項５又は６に記載の方法。
8. 第１のコンピューティングコンポーネントは、選択された前記制御要素が、フレームを表示する、または色を変化させて非選択の第１の表示状態から視覚的に区別可能な選択済みの第２の状態で表示されるように、選択の視覚的強調のために前記画像データを修正し、かつ／又は
   前記第１のコンピューティングコンポーネントは、修正された前記画像データを表示のためのコンピュータ生成による前記画像データとともに画像データストリームにおいて出力もしくは転送する
   ことを特徴とする請求項２及び４から７のいずれか一項に記載の方法。
9. 前記グラフィカルユーザインターフェースを制御するために、ポインタが前記ディスプレイ上に表示され、
   －前記ポインタは、前記監視ユニットにおいて画像データ修正によって前記監視ユニットによって排他的に生成され、前記監視ユニットに供給される前記入力情報に基づいて可能とされ、前記入力デバイスは、前記監視ユニットに直接接続され、前記入力情報を表示用の前記コンピュータに転送し、又は
   －前記ポインタは、表示用の前記コンピュータによって全ての所定の画像領域の外側で生成され、安全性重視の前記制御要素の選択がそれぞれの関連する前記画像領域において前記監視ユニットによって、前記監視ユニットにおける画像データ修正によって認識された場合に、コンピュータ生成による前記ポインタは表示されず、前記入力デバイスは、表示用の前記コンピュータに直接接続され、表示用の前記コンピュータは前記入力情報を前記監視ユニットに転送し、かつ／又は
   －各場合に、前記画像データのＮ個の連続する画像周期について、前記ポインタは、前記コンピュータもしくは前記監視ユニットによって前記画像周期のうちのＮ個未満のｍ個についてのみ表示され、
   －かつ／又は前記入力情報は、絶対座標情報もしくは相対座標情報を表現する、
   ことを特徴とする請求項１から８のいずれか一項に記載の方法。
10. 請求項１から９のいずれか一項に記載の方法によるグラフィカルユーザインターフェースを監視するための監視ユニットであって、
    －コンピュータからディスプレイへのコンピュータ生成による画像データの送信のための画像データラインへの接続のためのデジタル画像データインターフェースと、
    －安全機能を実行し、前記画像データの少なくとも部分を前記デジタル画像データインターフェースを介して読み出す少なくとも１つのコンピューティングコンポーネントと、
    －グラフィカル制御要素の前記ユーザ制御による選択のための、入力デバイスに基づく入力情報のためのデバイスインターフェースと、
    を備え、
    －前記監視ユニットは、安全確認デバイスのための物理的な確認入力部を備え、
    －少なくとも１つの前記コンピューティングコンポーネントは、前記制御要素の認識された選択が、前記ディスプレイに供給された前記画像データに正しく表現されたことを保証及び／又は検証するように構成され、かつ
    －前記監視ユニットは、前記制御要素の表示された選択の間に、確認インターフェースを介した確認入力の受信に応じて、関連する安全に関する制御コマンドを安全インターフェースを介して出力するように構成された
    ことを特徴とする監視ユニット。
11. －少なくとも１つの前記コンピューティングコンポーネントは、画像データ修正のために及び／もしくは前記画像データからチェックコードを計算するために構成され、
    －前記監視ユニットは、所定の画像領域及び／もしくは基準コードを指定するための少なくとも１つのメモリを備え、かつ／又は
    －前記監視ユニットは、前記入力デバイスに対するコントローラコンポーネントを備え、該コントローラコンポーネントは、前記監視ユニットへの前記入力デバイスの直接接続のために前記デバイスインターフェースに接続され、
    前記監視ユニットは、前記入力情報を前記コンピュータに送信するためのデータインターフェースを備えることを特徴とする請求項１０に記載の監視ユニット。
12. 請求項２に規定される方法によってグラフィカルユーザインターフェースを監視するために、
    前記監視ユニットは、特定の２チャネルにおける２段階のコンピュータアーキテクチャであって、
    －コンピュータ生成による前記画像データを入力側で受信し、安全機能に応じて、所定の画像領域における前記表示が意図された前記画像データの少なくとも一部分を修正し、前記画像データを前記ディスプレイのための出力側に提供するように構成された第１のコンピューティングコンポーネント
    を有し、かつ
    －所定の前記画像領域に表示されることが意図された前記画像データに対してチェックコードを計算することによって、前記第１のコンピューティングコンポーネントによって提供された前記画像データを検証するように構成された第２のコンピューティングコンポーネント
    を有するコンピュータアーキテクチャを備え、
    －前記監視ユニットは、前記第１のコンピューティングコンポーネントによる強調が意図された通りであることを検証する目的で及び／又は安全を目的とした応答を開始する目的で、計算された前記チェックコードを少なくとも１つの予め記憶された基準コードと比較するように構成されたことを特徴とする請求項１０に記載の監視ユニット。
13. 前記第１のコンピューティングコンポーネントは、監視領域における表示が意図されたコンピュータ生成による前記画像データに関して、前記監視領域に対する少なくとも１つの予め記憶された基準値との安全を目的とした比較のための前記チェックコードを計算するように構成され、前記第１のコンピューティングコンポーネントは、コンピュータ生成による前記画像データに対して入力側で前記チェックコードを最初に計算し、その後の第２のステップにおいて前記画像データを修正し、前記第１及び第２のコンピューティングコンポーネントは、異なる設計の２つの独立した集積回路によって実装されたことを特徴とする請求項１２に記載の監視ユニット。
14. 安全機能を有する少なくとも１つの前記コンピューティングコンポーネントは、選択された画像領域に関してそれぞれのチェックコードを演算して生成し、ボーター構成が、生成された該チェックコードを予め記憶された基準データと比較するために前記コンピューティングコンポーネントに接続された請求項１０から１３のいずれか一項に記載の監視ユニット。
15. 前記ボーター構成は、２チャネルのプロセッサ回路として、２ｏｏ２（２－ｏｕｔ－ｏｆ－２）ボーターとして実装されることを特徴とする請求項１４に記載の監視ユニット。
16. 前記第２のコンピューティングコンポーネントは、入力側で前記画像データを受信し、安全機能に応じて、前記第１のコンピューティングコンポーネントと同一の態様で前記画像データの少なくとも一部分を冗長的に修正するように構成され、前記第１のコンピューティングコンポーネントは、修正された前記画像データに関して第１のチェックコードを計算するように構成され、前記第２のコンピューティングコンポーネントは、冗長的に修正された前記画像データに関して第２のチェックコードを計算するように構成され、前記監視ユニットは、前記第１のチェックコードと前記第２のチェックコードとを比較することを特徴とする請求項１２から１５のいずれか一項に記載の監視ユニット。
17. 安全に関する前記制御コマンドの前記出力のための安全インターフェースの形態のバスインターフェースを介した安全を目的とした通信のためのモジュールが、前記監視ユニットに接続され、又は前記監視ユニットに統合されたことを特徴とする請求項１０から１６のいずれか一項に記載の監視ユニット。
18. 前記監視ユニットは、請求項２から９のいずれか一項に記載の少なくとも１つの特徴を有する方法を実行するように構成されたことを特徴とする請求項１０から１６のいずれか一項に記載の監視ユニット。
19. グラフィカルユーザインターフェースにおける安全に関する入力のためのシステムであって、
    コンピュータと、該コンピュータに画像データラインを介して接続された、画素グラフィクスのためのディスプレイと、を備え、
    前記コンピュータから物理的に分離された請求項１０から１８のいずれか一項に記載の監視ユニットを特徴とし、
    －前記グラフィカルユーザインターフェースを動作させるための入力デバイスが、前記監視ユニットの前記デバイスインターフェースに直接接続され、
    －独立した安全確認デバイスが、前記監視ユニットの物理的な確認入力部に接続された
    ことを特徴とするシステム。
20. ＴＦＴパネルを有する画素グラフィクスを表示するための表示デバイスであって、該表示デバイスに統合された請求項１０から１８のいずれか一項に記載の監視ユニット、該監視ユニットの前記デバイスインターフェースに接続された入力デバイスに対する少なくとも１つの接続部、及び前記監視ユニットの前記確認入力部に接続された安全確認デバイス用接続部を特徴とする表示デバイス。
    

Images