WO2013164181A1 - Verfahren zur darstellung sicherheitskritischer daten durch eine anzeigeneinheit; anzeigeneinheit - Google Patents

Verfahren zur darstellung sicherheitskritischer daten durch eine anzeigeneinheit; anzeigeneinheit Download PDF

Info

Publication number
WO2013164181A1
WO2013164181A1 PCT/EP2013/057757 EP2013057757W WO2013164181A1 WO 2013164181 A1 WO2013164181 A1 WO 2013164181A1 EP 2013057757 W EP2013057757 W EP 2013057757W WO 2013164181 A1 WO2013164181 A1 WO 2013164181A1
Authority
WO
WIPO (PCT)
Prior art keywords
safety
display unit
data
critical
background
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Ceased
Application number
PCT/EP2013/057757
Other languages
English (en)
French (fr)
Inventor
Norbert Scherm
Christian Behrens
Torsten Frerichs
Sven HEITHECKER
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Airbus DS Airborne Solutions GmbH
Original Assignee
Airbus DS Airborne Solutions GmbH
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Airbus DS Airborne Solutions GmbH filed Critical Airbus DS Airborne Solutions GmbH
Priority to US14/398,747 priority Critical patent/US20150109340A1/en
Priority to EP13718149.1A priority patent/EP2845185A1/de
Publication of WO2013164181A1 publication Critical patent/WO2013164181A1/de
Anticipated expiration legal-status Critical
Ceased legal-status Critical Current

Links

Classifications

    • G—PHYSICS
    • G09—EDUCATION; CRYPTOGRAPHY; DISPLAY; ADVERTISING; SEALS
    • G09G—ARRANGEMENTS OR CIRCUITS FOR CONTROL OF INDICATING DEVICES USING STATIC MEANS TO PRESENT VARIABLE INFORMATION
    • G09G3/00—Control arrangements or circuits, of interest only in connection with visual indicators other than cathode-ray tubes
    • G09G3/20—Control arrangements or circuits, of interest only in connection with visual indicators other than cathode-ray tubes for presentation of an assembly of a number of characters, e.g. a page, by composing the assembly by combination of individual elements arranged in a matrix no fixed position being assigned to or needed to be assigned to the individual characters or partial characters
    • G09G3/34—Control arrangements or circuits, of interest only in connection with visual indicators other than cathode-ray tubes for presentation of an assembly of a number of characters, e.g. a page, by composing the assembly by combination of individual elements arranged in a matrix no fixed position being assigned to or needed to be assigned to the individual characters or partial characters by control of light from an independent source
    • G09G3/36—Control arrangements or circuits, of interest only in connection with visual indicators other than cathode-ray tubes for presentation of an assembly of a number of characters, e.g. a page, by composing the assembly by combination of individual elements arranged in a matrix no fixed position being assigned to or needed to be assigned to the individual characters or partial characters by control of light from an independent source using liquid crystals
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06T—IMAGE DATA PROCESSING OR GENERATION, IN GENERAL
    • G06T11/00—Two-dimensional [2D] image generation
    • G06T11/60—Creating or editing images; Combining images with text
    • G—PHYSICS
    • G09—EDUCATION; CRYPTOGRAPHY; DISPLAY; ADVERTISING; SEALS
    • G09G—ARRANGEMENTS OR CIRCUITS FOR CONTROL OF INDICATING DEVICES USING STATIC MEANS TO PRESENT VARIABLE INFORMATION
    • G09G2330/00—Aspects of power supply; Aspects of display protection and defect management
    • G09G2330/08—Fault-tolerant or redundant circuits, or circuits in which repair of defects is prepared
    • G—PHYSICS
    • G09—EDUCATION; CRYPTOGRAPHY; DISPLAY; ADVERTISING; SEALS
    • G09G—ARRANGEMENTS OR CIRCUITS FOR CONTROL OF INDICATING DEVICES USING STATIC MEANS TO PRESENT VARIABLE INFORMATION
    • G09G2340/00—Aspects of display data processing
    • G09G2340/12—Overlay of images, i.e. displayed pixel being the result of switching between the corresponding input pixels
    • G—PHYSICS
    • G09—EDUCATION; CRYPTOGRAPHY; DISPLAY; ADVERTISING; SEALS
    • G09G—ARRANGEMENTS OR CIRCUITS FOR CONTROL OF INDICATING DEVICES USING STATIC MEANS TO PRESENT VARIABLE INFORMATION
    • G09G2358/00—Arrangements for display data security
    • G—PHYSICS
    • G09—EDUCATION; CRYPTOGRAPHY; DISPLAY; ADVERTISING; SEALS
    • G09G—ARRANGEMENTS OR CIRCUITS FOR CONTROL OF INDICATING DEVICES USING STATIC MEANS TO PRESENT VARIABLE INFORMATION
    • G09G2380/00—Specific applications
    • G09G2380/12—Avionics applications

Definitions

  • the invention relates to a method for displaying data on the display of a modular display unit, wherein the data to be displayed comprise safety-critical data portions and non-safety-critical data portions and the data is fed to the display via a graphic data stream and displayed on the display.
  • the invention further relates to an associated display unit.
  • safety-critical data on multifunction displays can be problematic because the entire chain of data creation, processing and conversion to video data and the actual display requires a data criticality development process. This applies in particular to the development of elaborate man-machine interfaces based on status windows, as well as their graphics generation. Typically, safety-critical graphics controllers and potentially heterogeneous controllers must be developed.
  • the object of the invention is therefore to provide a method for displaying safety-critical data on a display, in which the development process is simplified and the degree of documentation and detection obligations is as low as possible.
  • the object of the invention is also to provide an associated display unit which meets these requirements.
  • this object is achieved by a method according to independent claim 1.
  • Advantageous developments of the method will become apparent from the dependent claims 2-5.
  • the object of the invention is achieved by a modular display unit according to claim 6.
  • Advantageous developments of this display unit will become apparent from the dependent claims 7-10.
  • the inventive method is used to display data on the display of a modular display unit, wherein the data to be displayed include safety-critical data portions and non-safety-critical data portions. The data is fed to the display via a graphic data stream and displayed on the display.
  • a security component of the display unit the safety-critical data shares due to safety-critical Generates signals which are supplied to the display unit, while a background component of the display unit generates the non-safety-critical data shares in the form of a background image.
  • the safety critical data portions on the display are then overlaid on this background image by a multiplexer switching the graphics data stream to display between the security component and the background component.
  • graphics content of the background image is changed in certain areas and safety-critical graphics content is introduced and displayed on the display.
  • the security-critical data portions are data which are critical for a system to which the display unit belongs, that is, in the event of errors within these data portions and / or a loss of the data portions, the security of the associated system would be jeopardized.
  • non-safety-critical data shares have little or no importance for the security of an associated system. Whether this is the case and in which category data shares are to be classified does not only depend on the technical parameters of systems, but can also be dependent on applicable regulations and standards. The categorization of data shares can thus also change for consistent systems as regulations change. The approach according to the invention thus shifts the challenge of displaying safety-critical graphics content into a display unit.
  • a display unit Due to safety-critical signals, such a display unit generates the corresponding safety-critical graphics contents in the form of displayed text or symbols within the display. This content is applied to a security-relevant background image as an "overlay" by the image data stream of the background image in the areas of safety-critical data is selectively changed.
  • a display unit according to the invention has all the necessary properties which correspond, for example, to a DAL-B application in aviation or to a SIL-3 application according to IEC 61508 at the time of the application.
  • An analogous approach may result in a Level D or higher rating in accordance with the MIL-STD-882.
  • the shift of safety-critical graphics generation into the display unit can simplify the design of potentially heterogeneous control devices and the presentation of the relevant status data.
  • the development of safety-critical graphics controllers can be avoided in this way.
  • Complex image content and information can also be represented here, and the approach according to the invention allows modularity and a high reuse rate for use in modified safety-critical applications.
  • the invention is particularly suitable for cockpit applications in all aircraft such as aircraft or rotary-wing aircraft, but also for ground stations for unnamed aircraft (drones).
  • the invention is not limited to the application within aviation, but it could be used, for example, in the field of other vehicles, ships and / or in the fire control.
  • the method according to the invention can be embodied such that the background component generates the background image on the basis of background pages stored in a background page memory, the background page memory being part of the modular display unit.
  • the background component can also generate the background image due to non-safety-critical signals which are supplied externally to the modular display unit.
  • symbols are used which are called from a symbol memory of the security component, while positions are called from a position memory for determining the position of these symbols.
  • the safety-critical data components within an architecture of the safety component are generated at least twice redundantly, and a selection unit of the safety component performs a selection between the redundantly generated safety-critical data components before being fed into the graphics data.
  • a triple-redundant architecture is used to implement, for example, a 2-out-of-3 voting. In this way, the criticality of the data components generated in the security component can be taken into account.
  • the invention further comprises a corresponding modular display unit which
  • the display unit comprises at least one multiplexer which is designed to switch the graphic data stream for display between the data components of the security component and the background component.
  • the security component for generating the security-critical data shares correspondingly has an at least twice-redundant architecture and a selection unit for selecting and feeding redundantly generated data portions into the graphics data stream.
  • the security component can comprise at least one symbol memory and a position memory, wherein symbols for safety-critical data portions are stored in the symbol memory, while associated positions for symbols are stored in the position memory.
  • a prefabricated set of graphic contents consisting of text and symbols can be stored in a memory of the display unit and then retrieved. Since the content of the store is generic, the evidence and documentation must be created only once. This type of library can then be used in various applications.
  • the modular display unit includes a background page memory associated with the background component, with background pages stored in the background page memory for creating the background image.
  • the display unit can have at least one input for feeding non-safety-critical signals into the background component, which can likewise be used to generate the background image.
  • the display unit 10 (shown in dashed lines) comprises at least one display 11, a security component 20, a background component 30 and a first multiplexer 40 (MXU1).
  • COTS commercial-off-the-shelf / components-of-the-shelf
  • the mass production which requires no special adjustments ex works, can be achieved in particular cost savings.
  • COTS commercial-off-the-shelf / components-of-the-shelf
  • the mass production which requires no special adjustments ex works, can be achieved in particular cost savings.
  • COTS commercial-off-the-shelf / components-of-the-shelf
  • the mass production which requires no special adjustments ex works, can be achieved in particular cost savings.
  • pixel monitoring 12 where the color information is in a corner 1, for example, in the lower right corner
  • an activity display 13 with a cyclic symbol change can be displayed on the LC display 1 1, by means of which the freezing of the display can be displayed.
  • the LC display preferably turns to black as soon as pixel clock, line sync, or frame sync signal fail. This is also recognizable to the operator.
  • an automated evaluation can also be carried out analogously to the pixel monitoring 12.
  • Both the pixel monitoring 12 in a corner of the display 11 and the activity display 13 can be generated by a safety-critical data path.
  • the HMI displays commands such as changing the screen, switching the video source, adjusting the brightness of the display and test pattern functions, as well as the corresponding status displays.
  • the HMI functions are accessible via external interfaces (e.g., CAN-BUS), which functions may also include an additional BITE module.
  • a BITE module is a built-in test equipment (BITE) that allows you to verify and monitor the correct operation of a system and automatically respond to any problems that may arise. The BITE module thus checks and monitors the display 1 1.
  • the BITE module may be implemented as programmable hardware and transmit the BITE data of the bus interface to a maintenance system outside the display unit 10.
  • the LC display 1 1 is connected via a graphic data stream D to the security component 20 and the background component 30, wherein the display 1 1 is transmitted via this graphic data stream, which data where represent on the display.
  • a first multiplexer 40 switches the graphic data Ström D between a security-critical data component generated by the security component 20 and a non-security-critical data component generated by the background component 30, whereby individual areas of a background image can be manipulated by a corresponding control of the multiplexer 40 in order to specifically manipulate the to place safety-critical data on the non-safety-critical background image and display it together on the display 1 1.
  • the background image is generated by the background component 30, which processes only non-safety-critical data.
  • the background image can be formed from masks, texts and video data, as well as other non-security-relevant data shares.
  • the background component 30 consists essentially of a CPU / GFX combination, which is preferably implemented as a COTS module of hardware and software components.
  • the non-safety-critical background images used can be stored, for example, in a background page memory 31 which belongs to the display unit 10 and can be embodied as read-only memory (ROM memory).
  • ROM memory read-only memory
  • DVI Digital Visual Interface
  • the non-safety-critical background images can thus also be supplemented by adding non-safety-critical data A via further bus data or discrete signals.
  • signals B can be taken from external video sources and processed further. These signals from external video sources are then preferably multiplexed by a second multiplexer 41 (MXU2) before being supplied to the background component 30.
  • MXU2 second multiplexer 41
  • the security component 20 is based entirely on a 2oo3 architecture (2 out of 3 architecture) and is implemented in programmable hardware (eg, FGPA, PLD).
  • FGPA programmable hardware
  • the triple redundancy of the individual sub-components and a voting component make it possible that the error or failure of a sub-component within the voting component is overruled by the other two sub-components. So before the entire system fails, all three sub-components must fail. Since it is to be expected that the subcomponents will fail independently of each other and thus does not take place, the probability of a failure of the overall system is very small.
  • the 2oo3 architecture used is shown schematically by hardware components at least in the form of three superimposed interfaces 21, three GFX components 22, and a selector (voter) 25.
  • the interfaces 21 and the GFX component 22 should be provided triple redundant, but it can also be further components such as memory 23 and 24 formed triple redundant.
  • This variant is likewise shown in FIG. 1 by three memories 23, 24 shown one above the other.
  • the memories 23 are symbol memories in which symbols are stored for display on the display 11, while the memories 24 are position memories in which the associated positions for the symbols are stored.
  • the memories 23, 24 can be designed as ROM memories, the symbol and position memory ROMs preferably having an ECC or parity code.
  • Safety-critical signals C are then accepted via the three interfaces 21. This can be done, for example, via Ethernet / AFDX, ARINC, CAN, Flexray, discrete signals or a combination of these signal paths.
  • the corresponding symbol position is respectively read from the position memories 23.
  • the corresponding symbol is read from the symbol memories 24.
  • the corresponding symbol is then inserted into the graphic data stream D by means of a GFX component at the corresponding position by setting the multiplexer 40 and inserting the symbol (s) into the graphic data stream D.
  • the multiplexer 40 is read from the position memory 24 in accordance with the image positions as 2oo3 architecture by each of the three safety-critical GFX components 22 and evaluated accordingly via the voter 25. This is the pixel-precise image position of the safety-critical image components, which is calculated by the 2oo3 architecture and supplies the switching signal for the multiplexer 40.
  • the switching over of several video inputs B is also calculated via the safety-critical (video) data path 20 from the interfaces C.

Landscapes

  • Engineering & Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Theoretical Computer Science (AREA)
  • Chemical & Material Sciences (AREA)
  • Crystallography & Structural Chemistry (AREA)
  • Computer Hardware Design (AREA)
  • Controls And Circuits For Display Device (AREA)

Abstract

Verfahren zur Darstellung sicherheitskritischer Daten durch eine Anzeigeneinheit; Anzeigeneinheit Die Erfindung betrifft ein Verfahren zur Darstellung von Daten auf der Anzeige (11) einer modularen Anzeigeneinheit (10), wobei die darzustellenden Daten sicherheitskritische Datenanteile und nichtsicherheitskritische Datenanteile umfassen und die Daten der Anzeige (11) über einen Grafikdatenstrom (D) zugeführt und auf der Anzeige (11) dargestellt werden. Erfindungsgemäß erzeugt eine Sicherheitskomponente (20) der Anzeigeneinheit (10) die sicherheitskritischen Datenanteile aufgrund von sicherheitskritischen Signalen, welche der Anzeigeneinheit (10) zugeführt werden, während eine Hintergrundkomponente (30) der Anzeigeneinheit (10) die nichtsicherheitskritischen Datenanteile in Form eines Hintergrundbildes erzeugt. Die sicherheitskritischen Datenanteile werden auf der Anzeige (11) über dieses Hintergrundbild gelegt, indem ein Multiplexer (40) den Grafikdatenstrom (D) zur Anzeige (11) zwischen der Sicherheitskomponente (20) und der Hintergrundkomponente (30) umschaltet, wodurch in bestimmten Bereichen Grafikinhalte des Hintergrundbildes verändert und sicherheitskritische Grafikinhalte eingebracht und auf der Anzeige (11) dargestellt werden. Die Erfindung betrifft ferner eine zugehörige modulare Anzeigeneinheit (10) zur Durchführung des Verfahrens.

Description

B E S C H R E I B U N G
Verfahren zur Darstellung sicherheitskritischer Daten durch eine Anzeigeneinheit; Anzeigeneinheit
Die Erfindung betrifft ein Verfahren zur Darstellung von Daten auf der Anzeige einer modularen Anzeigeneinheit, wobei die darzustellenden Daten sicherheitskritische Datenanteile und nicht-sicherheitskritische Datenanteile umfassen und die Daten der Anzeige über einen Grafikdatenstrom zugeführt und auf der Anzeige dargestellt werden.
Die Erfindung betrifft ferner eine zugehörige Anzeigeneinheit.
Die Darstellung sicherheitskritischer Daten auf Multifunktionsanzeigen kann problematisch sein, da die gesamte Kette von Datenerzeugung, Prozessierung und Umwandlung in Videodaten und die eigentliche Anzeige einen der Kritikalität der Daten entsprechenden Entwicklungsprozess erfordert. Das gilt insbesondere für die Entwicklung von aufwendigen Mensch-Maschine-Schnittstellen auf Basis von Statusfenstern, sowie deren Grafikerzeugung. Dabei müssen üblicherweise sicherheitskritische Grafikkontroller, sowie potenziell heterogene Steuergeräte entwickelt werden.
Beispielsweise sind bei der Soft- und Hardwareentwicklung im Luftfahrtbereich derzeit Standards wie die DO-254 (Design Assurance Guidance for Airborne Electronic Hardware) und DO-178 (Software Considerations in Airborne Systems and Equipment Certification) zu berücksichtigen. Dabei kann eine Soft- oder Hardware je nach ihrer Funktion die Sicherheit des Flugzeugs mehr oder weniger gefährden, so dass zwischen sicherheitskritischen und weniger oder nicht- sicherheitskritischen Daten unterschieden werden kann, die entsprechend in verschiedene Stufen eingeordnet werden. In Abhängigkeit davon sind verschiedene Entwicklungsmethoden erlaubt bzw. vorgeschrieben, und es entstehen unterschiedliche Dokumentations- und Nachweispflichten, wobei dies bei sicherheitskritischen Daten aufwendig und mit hohen Kosten verbunden ist. Aufgabe der Erfindung ist es daher, ein Verfahren zur Darstellung von sicherheitskritischen Daten auf einer Anzeige bereitzustellen, bei dem der Entwicklungsprozess vereinfacht und der Grad an Dokumentations- und Nachweispflichten möglichst gering ist. Aufgabe der Erfindung ist es ferner, eine zugehörige Anzeigeneinheit bereitzustellen, welche diese Anforderungen erfüllt.
Erfindungsgemäß wird diese Aufgabe durch ein Verfahren gemäß dem unabhängigen Anspruch 1 gelöst. Vorteilhafte Weiterbildungen des Verfahrens ergeben sich aus den Unteransprüchen 2-5. Ferner wird die Aufgabe der Erfindung durch eine modulare Anzeigeneinheit gemäß Anspruch 6 gelöst. Vorteilhafte Weiterbildungen dieser Anzeigeneinheit ergeben sich aus den Unteransprüchen 7-10. Das erfindungsgemäße Verfahren dient zur Darstellung von Daten auf der Anzeige einer modularen Anzeigeneinheit, wobei die darzustellenden Daten sicherheitskritische Datenanteile und nicht-sicherheitskritische Datenanteile umfassen. Die Daten werden der Anzeige über einen Grafikdaten ström zugeführt und auf der Anzeige dargestellt. Dabei ist vorgesehen, dass eine Sicherheitskomponente der Anzeigeneinheit die sicherheitskritischen Datenanteile aufgrund von sicherheitskritischen Signalen erzeugt, welche der Anzeigeneinheit zugeführt werden, während eine Hintergrundkomponente der Anzeigeneinheit die nicht- sicherheitskritischen Datenanteile in Form eines Hintergrundbildes erzeugt. Die sicherheitskritischen Datenanteile auf der Anzeige werden dann über dieses Hintergrundbild gelegt, indem ein Multiplexer den Grafikdaten ström zur Anzeige zwischen der Sicherheitskomponente und der Hintergrundkomponente umschaltet. Dadurch werden in bestimmten Bereichen Grafikinhalte des Hintergrundbildes verändert und sicherheitskritische Grafikinhalte eingebracht und auf der Anzeige dargestellt.
Dabei handelt es sich bei den sicherheitskritischen Datenanteilen um Daten, welche für ein System, zu dem die Anzeigeneinheit gehört, kritisch sind, d.h. bei Fehlern innerhalb dieser Datenanteile und/oder einem Ausfall der Datenanteile wäre die Sicherheit des zugehörigen Systems gefährdet. Andererseits haben nicht-sicherheitskritische Datenanteile keine oder nur eine geringe Bedeutung für die Sicherheit eines zugehörigen Systems. Ob dies der Fall ist und in welche Kategorie Datenanteile einzustufen sind, richtet sich nicht nur nach den technischen Parametern von Systemen, sondern kann auch von anzuwendenden Vorschriften und Standards abhängig sein. Die Kategorisierung von Datenanteilen kann sich somit auch für gleichbleibende Systeme verändern, wenn sich Vorschriften ändern. Der erfindungsgemäße Ansatz verlagert somit die Herausforderung der Darstellung von sicherheitskritischen Grafikinhalten in eine Anzeigeneinheit. Eine solche Anzeigeeinheit erzeugt dabei aufgrund von sicherheitskritischen Signalen displayintern die entsprechenden sicherheitskritischen Grafikinhalte in Form von dargestelltem Text oder Symbolen. Diese Inhalte werden auf einem sicherheitstechnisch nicht relevanten Hintergrundbild als „Overlay" aufgebracht, indem der Bilddatenstrom des Hintergrundbilds in den Bereichen der sicherheitskritischen Daten gezielt geändert wird. Durch diese Maßnahme verfügt eine erfindungsgemäße Anzeigeneinheit über alle notwendigen Eigenschaften, die zum Zeitpunkt der Anmeldung beispielsweise einer DAL-B-Anwendung in der Luftfahrt bzw. einer SIL-3- Anwendung nach IEC 61508 entsprechen. Eine analoge Betrachtungsweise kann gemäß des MIL-STD-882 zu einer Einstufung gemäß Level D oder höher führen.
Ferner kann die Verschiebung der sicherheitskritischen Grafikerzeugung in die Anzeigeneinheit den Entwurf von potenziell heterogenen Steuergeräten und die Darstellung der jeweils relevanten Statusdaten vereinfachen. Insbesondere kann die Entwicklung von sicherheitskritischen Grafikkontrollern so vermieden werden. Dabei sind auch komplexe Bildinhalte und Informationen darstellbar, und der erfindungsgemäße Ansatz erlaubt eine Modularisierbarkeit und eine hohe Wiederverwendungsquote (Reuse-Quote) für die Verwendung in veränderten sicherheitskritischen Anwendungen.
Grundsätzlich eignet sich die Erfindung insbesondere für Cockpitanwendungen in allen Luftfahrzeugen wie Flugzeugen oder Drehflüglern, aber auch für Bodenstationen für unbenannte Flugzeuge (Drohnen). Die Erfindung ist jedoch nicht auf die Anwendung innerhalb der Luftfahrt begrenzt, sondern sie könnte beispielsweise auch im Bereich sonstiger Fahrzeuge, bei Schiffen und/oder bei der Feuerleitung eingesetzt werden.
Das erfindungsgemäße Verfahren kann dabei so ausgeführt sein, dass die Hintergrundkomponente das Hintergrundbild aufgrund von in einem Hintergrundseitenspeicher hinterlegten Hintergrundseiten erzeugt, wobei der Hintergrundseitenspeicher Bestandteil der modularen Anzeigeneinheit ist. Alternativ oder ergänzend kann die Hintergrundkomponente das Hintergrundbild aber auch aufgrund von nicht-sicherheitskritischen Signalen erzeugen, welche der modularen Anzeigeneinheit extern zugeführt werden. Ferner werden bei der Erzeugung der sicherheitskritischen Datenanteile durch die Sicherheitskonnponente beispielsweise Symbole verwendet, welche aus einem Symbolspeicher der Sicherheitskomponente aufgerufen werden, während für die Ermittlung der Position dieser Symbole Positionen aus einem Positionsspeicher aufgerufen werden.
In einem bevorzugten Ausführungsbeispiel der Erfindung werden die sicherheitskritischen Datenanteile innerhalb einer Architektur der Sicherheitskomponente wenigstens zweifach redundant erzeugt, und eine Wahleinheit der Sicherheitskomponente führt vor Einspeisung in den Grafikdaten ström eine Auswahl zwischen den redundant erzeugten sicherheitskritischen Datenanteilen durch. Vorzugsweise wird jedoch eine dreifach redundante Architektur eingesetzt, um beispielsweise ein 2-out- of-3-Voting zu realisieren. Hierdurch kann der Kritikalität der in der Sicherheitskomponente erzeugten Datenanteile Rechnung getragen werden.
Von der Erfindung umfasst ist ferner eine entsprechende modulare Anzeigeneinheit, welche
wenigstens eine Sicherheitskomponente und eine Hintergrundkomponente umfasst, wobei die Sicherheitskomponente ausgebildet ist, um die sicherheitskritischen Datenanteile aufgrund von sicherheitskritischen Signalen zu erzeugen, welche der Anzeigeneinheit zugeführt wurden, während die Hintergrundkomponente ausgebildet ist, um die nicht- sicherheits-kritischen Datenanteile in Form eines Hintergrundbildes zu erzeugen. Ferner umfasst die Anzeigeneinheit wenigstens einen Multiplexer, welcher ausgebildet ist, um den Grafikdatenstrom zur Anzeige zwischen den Datenanteilen der Sicherheitskomponente und der Hintergrundkomponente umzuschalten. Mit dieser Anzeigeneinheit kann das erfindungsgemäße Verfahren durchgeführt werden.
Dabei weist die Sicherheitskomponente zur Erzeugung der sicherheitskritischen Datenanteile entsprechend eine wenigstens zweifach redundante Architektur und eine Wahleinheit zur Auswahl und Einspeisung von redundant erzeugten Datenanteilen in den Grafikdatenstrom auf. Ferner kann die Sicherheitskomponente wenigstens einen Symbolspeicher und einen Positionsspeicher umfassen, wobei in dem Symbolspeicher Symbole für sicherheitskritische Datenanteile hinterlegt sind, während in dem Positionsspeicher zugehörige Positionen für Symbole hinterlegt sind. Hierbei kann ein vorgefertigter Satz von Grafikinhalten, bestehend aus Text und Symbolen, in einem Speicher der Anzeigeneinheit abgelegt und dann abgerufen werden. Da der Speicheinhalt generisch ist, müssen Nachweise und Dokumentation nur einmalig erstellt werden. Diese Art der Bibliothek kann dann in verschiedenen Anwendungen zum Einsatz kommen.
Darüber hinaus umfasst die modulare Anzeigeneinheit in einem Ausführungsbeispiel der Erfindung einen Hintergrundseitenspeicher, der in Verbindung mit der Hintergrundkomponente steht, wobei in dem Hintergrundseitenspeicher Hintergrundseiten zur Erzeugung des Hintergrundbildes hinterlegt sind. Ergänzend oder alternativ kann die Anzeigeneinheit wenigstens einen Eingang zur Einspeisung nicht- sicherheitskritischer Signale in die Hintergrundkomponente aufweisen, welche ebenfalls zur Erzeugung des Hintergrundbildes verwendbar sind. So können bei der Erzeugung des Hintergrundbildes nicht nur fest hinterlegte, sondern auch variabel einspielbare Hintergrundseiten verwendet werden. Weitere Vorteile, Besonderheiten und zweckmäßige Weiterbildungen der Erfindung ergeben sich aus den Unteransprüchen und der nachfolgenden Darstellung bevorzugter Ausführungsbeispiele anhand der Fig. 1 . Fig. 1 zeigt ein Ausführungsbeispiel der erfindungsgemäßen Anzeigeneinheit 10, anhand der das erfindungsgemäße Verfahren zur Darstellung von Daten beispielhaft erläutert werden soll. Dabei umfasst die Anzeigeneinheit 10 (gestrichelt dargestellt) wenigstens eine Anzeige 1 1 , eine Sicherheitskomponente 20, eine Hintergrundkomponente 30 und einen ersten Multiplexer 40 (MXU1 ). Bei der Anzeige 1 1 handelt es sich beispielsweise um ein seriengefertigtes LC-Display, das auch als COTS- LC-Display bezeichnet werden kann (COTS = Commercial-off-the- shelf/components-of-the-shelf). Durch die Serienfertigung, welche ab Werk keine besonderen Anpassungen erfordert, lassen sich insbesondere Kosteneinsparungen erzielen. Da solche COTS-LC-Displays beispielsweise gemäß der am Anmeldetag geltenden Richtlinien nach DO- 254 als„complex COTS" klassifiziert werden, ist eine Überwachung des jeweiligen Displays erforderlich. Dies kann beispielsweise durch ein Pixelmonitoring 12 erfolgen, bei dem die Farbinformation in einer Ecke des Displays 1 1 gezielt angesteuert und mittels Fotodioden überwacht wird. In dem in Fig. 1 dargestelltem Ausführungsbeispiel erfolgt dies beispielsweise in der unteren rechten Ecke des Displays 1 1 . In einem anderen Ausführungsbeispiel der Erfindung wird ein Pixelsignal mittels Lichtleitfaser in das Gehäuse der Anzeigeneinheit 10 geführt und dort ausgewertet. Hierdurch lässt sich die elektromagnetische Verträglichkeit (EMV-Performance) der Displayeinheit 10 verbessern.
Weiterhin kann auf dem LC-Display 1 1 eine Aktivitätsanzeige 13 mit einem zyklischen Symbolwechsel dargestellt werden, mittels derer das Einfrieren des Displays angezeigt werden kann. Auf der Aktivitätsanzeige 13 erfolgt dabei beispielsweise ein stetiger Symbolwechsel — > — > , und sobald das Display eingefroren wird, erfolgt auch kein Symbolwechsel mehr, was für den Bediener erkennbar ist. Ferner stellt sich das LC- Display vorzugsweise auf schwarz, sobald Pixeltakt, Zeilen-Sync- oder Frame-Sync-Signal ausbleiben. Auch dies ist für den Bediener erkennbar. Statt einer solchen Bewertung der Aktivität des Displays 1 1 durch den Operator kann jedoch auch analog zum Pixelmonitoring 12 eine automatisierte Auswertung erfolgen.
Sowohl das Pixelmonitoring 12 in einer Ecke des Displays 1 1 als auch die Aktivitätsanzeige 13 können durch einen sicherheitskritischen Datenpfad erzeugt werden. Diese Funktionen wie auch die Mensch-Maschine- Schnittstelle (HMI = Human-Machine Interface) werden in dem in Fig. 1 dargestellten Ausführungsbeispiel an eine System-Management-Funktion 50 angebunden. Über das HMI werden Kommandos wie ein Bildseitenwechsel, Wechsel der Videoquelle, Anpassung der Displayhelligkeit und Testbild-Funktionen sowie die entsprechenden Statusanzeigen dargestellt. Die HMI-Funktionen sind dabei über externe Schnittstellen (z.B. CAN-BUS) zugänglich, wobei diese Funktionen auch ein zusätzliches BITE-Modul umfassen können. Bei einem BITE-Modul handelt es sich um eine eingebaute Testeinrichtung (BITE = Built In Test Equipment), welche es erlaubt, die korrekte Funktionsweise eines Systems zu überprüfen und zu überwachen und gegebenenfalls automatisiert auf auftretende Probleme zu reagieren. Das BITE-Modul überprüft und überwacht somit die Anzeige 1 1 . Das BITE-Modul kann als programmierbare Hardware implementiert sein und die BITE-Daten der Busschnittstelle an ein Wartungssystem außerhalb der Anzeigeneinheit 10 übertragen.
Das LC-Display 1 1 ist über einen Grafikdatenstrom D an die Sicherheitskomponente 20 und die Hintergrundkomponente 30 angeschlossen, wobei dem Display 1 1 über diesen Grafikdatenstrom übermittelt wird, welche Daten wo auf dem Display darzustellen sind. Dabei schaltet ein erster Multiplexer 40 den Grafikdaten ström D zwischen einem von der Sicherheitskomponente 20 erzeugten sicherheitskritischen Datenanteil und einem von der Hintergrundkomponente 30 erzeugten nicht sicherheitskritischen Datenanteil um, wodurch sich durch eine entsprechende Ansteuerung des Multiplexers 40 einzelne Bereiche eines Hintergrundbildes gezielt manipulieren lassen, um die sicherheitskritischen Datenanteile über das nicht-sicherheitskritische Hintergrundbild zu legen und zusammen auf der Anzeige 1 1 darzustellen. Das Hintergrundbild wird durch die Hintergrundkomponente 30 erzeugt, welche ausschließlich nicht-sicherheitskritische Daten verarbeitet. Dabei kann das Hintergrundbild aus Masken, Texten und Videodaten, sowie anderen nicht-sicherheitsrelevanten Datenanteilen gebildet werden. Die Hintergrundkomponente 30 besteht im Wesentlichen aus einer CPU/GFX- Kombination, die vorzugsweise als COTS-Baugruppe aus Hard- und Softwarekomponenten realisiert ist. Die verwendeten nicht- sicherheitskritischen Hintergrundbilder können beispielsweise in einem Hintergrundseitenspeicher 31 hinterlegt sein, der zur Anzeigeneinheit 10 gehört und als Festwertspeicher (ROM-Speicher) ausgeführt sein kann. Die Hintergrundseiten können jedoch auch extern auf die Anzeigeneinheit 10 übertragen werden, was beispielsweise per DVI-Signal (DVI = Digital Visual Interface) erfolgen kann. Die nicht-sicherheitskritischen Hintergrundbilder können somit auch durch Zugabe nicht-sicherheitskritischer Daten A über weitere Busdaten oder diskrete Signale ergänzt werden. Ferner können Signale B von externen Videoquellen übernommen und weiterverarbeitet werden. Diese Signale von externen Videoquellen werden dann vorzugsweise durch einen zweiten Multiplexer 41 (MXU2) gemultiplext, bevor sie der Hintergrundkomponente 30 zugeführt werden. Die Sicherheitskomponente 20 basiert beispielsweise vollständig auf einer 2oo3-Architektur (2 out of 3-Architektur) und ist in progrannnnierbarer Hardware (z.B. FGPA, PLD) umgesetzt. Die dreifache Redundanz der einzelnen Sub-Komponenten und eine Voting-Komponente ermöglichen es dabei, dass der Fehler oder Ausfall einer Sub-Komponente innerhalb der Voting-Komponente durch die zwei anderen Sub-Komponenten überstimmt wird. Bevor das gesamte System ausfällt, müssen also alle drei Sub-Komponenten versagen. Da zu erwarten ist, dass die SubKomponenten unabhängig voneinander ausfallen und dies somit nicht stattfindet, ist die Wahrscheinlichkeit für einen Ausfall des Gesamtsystems sehr klein.
In Fig. 1 ist die verwendete 2oo3-Architektur schematisch durch Hardware-Komponenten wenigstens in Form von drei übereinander dargestellten Schnittstellen 21 , drei GFX-Komponenten 22 und einer Wahleinheit (Voter) 25 gezeigt. Dabei sollten vorzugsweise wenigstens die Schnittstellen 21 und die GFX-Komponente 22 dreifach redundant vorgesehen sein, es können jedoch auch weitere Komponenten wie Speicher 23 und 24 dreifach redundant ausgebildet sein. Diese Variante ist in Fig. 1 ebenfalls durch jeweils drei übereinander dargestellte Speicher 23, 24 gezeigt. Bei den Speichern 23 handelt es sich um Symbolspeicher, in denen Symbole zur Darstellung auf dem Display 1 1 hinterlegt sind, während es sich bei den Speichern 24 um Positionsspeicher handelt, in denen die zugehörige Positionen für die Symbole hinterlegt sind. Die Speicher 23, 24 können als ROM-Speicher ausgebildet sein, wobei die Symbol- und Positionsspeicher-ROMs vorzugsweise über einen ECC- oder Parity-Code verfügen. Die darzustellenden Symbole und die Bildpositionen sind somit hartcodiert in den Speichern hinterlegt, wobei der Speichereinhalt generisch ist. Über die drei Schnittstellen 21 werden dann sicherheitskritische Signale C entgegengenommen. Dies kann zum Beispiel über Ethernet/AFDX, ARINC, CAN, Flexray, diskrete Signale oder eine Kombination dieser Signalwege erfolgen. Entsprechend dieser anliegenden Statusdaten wird die entsprechende Symbolposition jeweils aus den Positionsspeichern 23 ausgelesen. Ergänzend wird das entsprechende Symbol aus den Symbolspeichern 24 ausgelesen. Das entsprechende Symbol wird dann per GFX-Anteil an der entsprechenden Position in den Grafikdatenstrom D eingefügt, indem der Multiplexer 40 gesetzt und das/die Symbole in den Grafikdatenstrom D eingefügt werden.
Der Multiplexer 40 wird dabei entsprechend der Bildpositionen als 2oo3- Architektur durch jeden der drei sicherheitskritischen GFX-Anteile 22 aus dem Positionsspeicher 24 ausgelesen und über den Voter 25 entsprechend ausgewertet. Dies ist die pixelgenaue Bildposition der sicherheitskritischen Bildanteile, die durch die 2oo3-Architektur berechnet wird und sie liefert das Umschaltsignal für den Multiplexer 40.
Ähnlich liegt der Fall für den Multiplexer 41 . Hierbei wird das Umschalten von mehreren Videoeingängen B auch über den sicherheitskritischen (Video-)Datenpfad 20 aus den Interfaces C berechnet.
Bezugszeichenliste:
10 Anzeigeneinheit
1 1 Anzeige, LC-Display
12 Pixelmonitoring
13 Aktivitätsanzeige
20 Sicherheitskomponente
21 Schnittstelle
22 GFX-Komponente
23 Symbolspeicher
24 Positionsspeicher
25 Wahleinheit, Voter
30 Hintergrundkomponente
31 Hintergrundseitenspeicher
40 Multiplexer für Grafikdatenstrom, MXU1
41 Multiplexer für externe Videoquellendaten, MXU2
50 System-Management-Funktion, Testeinrichtung, BITE-Modul
A Nicht-sicherheitskritisches Zusatzsignal
B Externes Videoquellensignal
C Sicherheitskritisches Signal
D Grafikdatenstrom

Claims

PATENTANSPRÜCH E
1.
Verfahren zur Darstellung von Daten auf der Anzeige (11) einer modularen Anzeigeneinheit (10), wobei die darzustellenden Daten sicherheitskritische Datenanteile und nicht-sicherheitskritische Datenanteile umfassen und die Daten der Anzeige (11) über einen Grafikdaten ström (D) zugeführt und auf der Anzeige (11) dargestellt werden,
dadurch gekennzeichnet, dass eine Sicherheitskomponente (20) der Anzeigeneinheit (10) die sicherheitskritischen Datenanteile aufgrund von sicherheitskritischen Signalen erzeugt, welche der Anzeigeneinheit (10) zugeführt werden, während eine Hintergrundkomponente (30) der Anzeigeneinheit (10) die nicht-sicherheitskritischen Datenanteile in Form eines Hintergrundbildes erzeugt, und dass die sicherheitskritischen Datenanteile auf der Anzeige (11) über dieses Hintergrundbild gelegt werden, indem ein Multiplexer (40) den Grafikdatenstrom (D) zur Anzeige (11) zwischen der Sicherheitskomponente (20) und der Hintergrundkomponente (30) umschaltet, wodurch in bestimmten Bereichen Grafikinhalte des Hintergrundbildes verändert und sicherheitskritische Grafikinhalte eingebracht und auf der Anzeige (11) dargestellt werden.
2.
Verfahren nach Anspruch 1 , dadurch gekennzeichnet, dass die
Hintergrundkomponente (30) das Hintergrundbild aufgrund von in einem Hintergrundseitenspeicher (31 ) hinterlegten Hintergrundseiten erzeugt, wobei der Hintergrundseitenspeicher (31 ) Bestandteil der modularen Anzeigeneinheit (10) ist.
3.
Verfahren nach einem oder beiden der Ansprüche 1 und 2, dadurch gekennzeichnet, dass die Hintergrundkomponente (30) das Hintergrundbild aufgrund von nicht-sicherheitskritischen Signalen (A;B) erzeugt, welche der modularen Anzeigeneinheit (10) extern zugeführt werden.
4.
Verfahren nach einem oder mehreren der Ansprüche 1 bis 3, dadurch gekennzeichnet, dass bei der Erzeugung der sicherheitskritischen Datenanteile durch die Sicherheitskomponente (20) Symbole verwendet werden, welche aus einem Symbolspeicher (23) der Sicherheitskomponente (20) aufgerufen werden, während für die Ermittlung der Position dieser Symbole Positionen aus einem Positionsspeicher (24) aufgerufen werden.
5.
Verfahren nach einem oder mehreren der Ansprüche 1 bis 4, dadurch gekennzeichnet, dass die sicherheitskritischen Datenanteile innerhalb einer Architektur der Sicherheitskomponente (20) wenigstens zweifach redundant erzeugt werden, und eine Wahleinheit (25) der Sicherheitskomponente (20) vor Einspeisung in den Grafikdatenstrom (D) eine Auswahl zwischen den redundant erzeugten sicherheitskritischen Datenanteilen durchführt.
6.
Modulare Anzeigeneinheit (10) zur Darstellung von Daten auf einer Anzeige (1 1 ) der modularen Anzeigeneinheit (10), wobei die darzustellenden Daten sicherheitskritische Datenanteile und nicht- sicherheitskritische Datenanteile umfassen und die Anzeigeneinheit (10) Mittel zur Zuführung der Daten zu der Anzeige (1 1 ) über einen Grafikdatenstrom (D) und Mittel zur Darstellung der Daten auf der Anzeige (1 1 ) aufweist, dadurch gekennzeichnet, dass die Anzeigeneinheit (10) wenigstens eine Sicherheitskomponente (20) und eine Hintergrundkomponente (30) umfasst, wobei die Sicherheitskomponente (20) ausgebildet ist, um die sicherheitskritischen Datenanteile aufgrund von sicherheitskritischen Signalen zu erzeugen, welche der Anzeigeneinheit (10) zugeführt wurden, während die Hintergrundkomponente (30) ausgebildet ist, um die nicht- sicherheitskritischen Datenanteile in Form eines Hintergrundbildes zu erzeugen, und dass die Anzeigeneinheit (10) ferner wenigstens einen Multiplexer (40) umfasst, welcher ausgebildet ist, um den Grafikdaten ström (D) zur Anzeige (1 1 ) zwischen den Datenanteilen der Sicherheitskomponente (20) und der Hintergrundkomponente (30) umzuschalten.
7.
Modulare Anzeigeneinheit nach Anspruch 6, dadurch gekennzeichnet, dass die Sicherheitskomponente (20) zur Erzeugung der sicherheitskritischen Datenanteile eine wenigstens zweifach redundante Architektur und eine Wahleinheit (25) zur Auswahl und Einspeisung von redundant erzeugten Datenanteilen in den Grafikdaten ström (D) umfasst.
8.
Modulare Anzeigeneinheit nach einem oder beiden Ansprüche 6 und 7, dadurch gekennzeichnet, dass die Sicherheitskomponente (20) wenigstens einen Symbolspeicher (23) und einen Positionsspeicher (24) umfasst, wobei in dem Symbolspeicher (23) Symbole für sicherheitskritische Datenanteile hinterlegt sind, während in dem Positionsspeicher (24) zugehörige Positionen für Symbole hinterlegt sind.
9.
Modulare Anzeigeneinheit nach einem oder mehreren der Ansprüche 6 bis
8, dadurch gekennzeichnet, dass sie einen Hintergrundseitenspeicher (31 ) umfasst, der in Verbindung mit der Hintergrundkomponente (30) steht, wobei in dem Hintergrundseitenspeicher (31 ) Hintergrundseiten zur Erzeugung des Hintergrundbildes hinterlegt sind.
10.
Modulare Anzeigeneinheit nach einem oder mehreren der Ansprüche 6 bis
9, dadurch gekennzeichnet, dass sie wenigstens einen Eingang zur Einspeisung nicht-sicherheitskritischer Signale in die Hintergrundkomponente (30) aufweist, welche zur Erzeugung des Hintergrundbildes verwendbar sind.
PCT/EP2013/057757 2012-05-04 2013-04-15 Verfahren zur darstellung sicherheitskritischer daten durch eine anzeigeneinheit; anzeigeneinheit Ceased WO2013164181A1 (de)

Priority Applications (2)

Application Number Priority Date Filing Date Title
US14/398,747 US20150109340A1 (en) 2012-05-04 2013-04-15 Method for depicting safety-critical data via a display unit, display unit
EP13718149.1A EP2845185A1 (de) 2012-05-04 2013-04-15 Verfahren zur darstellung sicherheitskritischer daten durch eine anzeigeneinheit; anzeigeneinheit

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
DE201210207439 DE102012207439A1 (de) 2012-05-04 2012-05-04 Verfahren zur Darstellung sicherheitskritischer Daten durch eine Anzeigeneinheit; Anzeigeneinheit
DE102012207439.2 2012-05-04

Publications (1)

Publication Number Publication Date
WO2013164181A1 true WO2013164181A1 (de) 2013-11-07

Family

ID=48170446

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/EP2013/057757 Ceased WO2013164181A1 (de) 2012-05-04 2013-04-15 Verfahren zur darstellung sicherheitskritischer daten durch eine anzeigeneinheit; anzeigeneinheit

Country Status (4)

Country Link
US (1) US20150109340A1 (de)
EP (1) EP2845185A1 (de)
DE (1) DE102012207439A1 (de)
WO (1) WO2013164181A1 (de)

Families Citing this family (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
ES2619190T3 (es) 2014-12-30 2017-06-23 Matthias Auchmann Método y sistema para la visualización segura de información relevante para la seguridad
KR102373465B1 (ko) 2016-01-04 2022-03-11 삼성전자주식회사 디스플레이 장치, 멀티 디스플레이 장치 및 이를 이용한 영상 표시 방법
DE102016003359B4 (de) * 2016-03-18 2023-07-20 Mercedes-Benz Group AG Anzeigevorrichtung
SI3549842T2 (sl) 2018-04-06 2025-06-30 Thales Management & Services Deutschland Gmbh Sistem za nadzor železniškega prometa in postopek za varno prikazovanje stanja proge in nadzorni sistem vlakov
DE102021001673B3 (de) 2021-03-30 2022-06-15 Mercedes-Benz Group AG Verfahren und Vorrichtung zur sicheren Anzeige von ASIL-relevanten Daten auf einer Anzeigevorrichtung eines Kraftfahrzeuges
FR3122491B1 (fr) * 2021-04-30 2023-06-02 Safran Electronics & Defense Système d’affichage d’informations critiques et non critiques
CN119583894B (zh) * 2024-11-22 2026-06-30 中国航空工业集团公司洛阳电光设备研究所 一种面向lcos平视显示器的安全性监控方法

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20080208399A1 (en) * 2007-02-27 2008-08-28 Pham Tuan A Electronic flight bag system and method
FR2919951A1 (fr) * 2007-08-08 2009-02-13 Airbus France Sas Systeme de traitement et d'affichage de donnees
US20090112380A1 (en) * 2007-10-30 2009-04-30 Honeywell International, Inc. Standby instrument system

Family Cites Families (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US4639721A (en) * 1982-10-09 1987-01-27 Sharp Kabushiki Kaisha Data selection circuit for the screen display of data from a personal computer
US6822624B2 (en) * 2002-09-10 2004-11-23 Universal Avionics Systems Corporation Display generation system
US20060044328A1 (en) * 2004-08-26 2006-03-02 Rai Barinder S Overlay control circuit and method
WO2008062592A1 (en) * 2006-11-22 2008-05-29 Sharp Kabushiki Kaisha Display control unit, on-vehicle display system, display controller, and on-vehicle display
CA2707373A1 (en) * 2010-06-14 2011-12-14 Ievgenii Bakhmach Platform and method to implement safety critical instrumentation and control (i&c) functions

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20080208399A1 (en) * 2007-02-27 2008-08-28 Pham Tuan A Electronic flight bag system and method
FR2919951A1 (fr) * 2007-08-08 2009-02-13 Airbus France Sas Systeme de traitement et d'affichage de donnees
US20090112380A1 (en) * 2007-10-30 2009-04-30 Honeywell International, Inc. Standby instrument system

Also Published As

Publication number Publication date
DE102012207439A1 (de) 2013-11-07
EP2845185A1 (de) 2015-03-11
US20150109340A1 (en) 2015-04-23

Similar Documents

Publication Publication Date Title
EP2845185A1 (de) Verfahren zur darstellung sicherheitskritischer daten durch eine anzeigeneinheit; anzeigeneinheit
EP2273369B1 (de) Verfahren zur Darstellung einer sicherheitsrelevanten Information auf einer Anzeigevorrichtung und Vorrichtung zur Durchführung des Verfahrens
EP3605256B1 (de) System und verfahren zum überwachen des zustands eines unbemannten luftfahrzeugs
EP3712770B1 (de) Überwachungseinheit für sicherheitsrelevante grafische benutzeroberflächen
DE10243713A1 (de) Redundante Steuergeräteanordnung
EP2367083A1 (de) Vorrichtung zur Erstellung eines Programms für eine speicherprogrammierbare Steuerung, Programmiereinrichtung und Verfahren zur Programmierung einer speicherprogrammierbaren Steuerung
EP2833349B1 (de) Verfahren und Vorrichtung zur Darstellung eines sicherheitsrelevanten Zustands
DE112008003195T5 (de) Elektrischer Schaltkreis mit einem physikalischen Übertragungsschicht-Diagnosesystem
DE102019202862B4 (de) Vorrichtung zur Bereitstellung von Bilddaten
EP3074293B1 (de) Verfahren zur fehleroffenbarung bei einem stellwerksrechnersystem und stellwerksrechnersystem
EP3839683B1 (de) System mit selbstprüffunktion und verfahren zum verifizieren der selbstprüffunktion eines systems
DE102010026392B4 (de) Verfahren zur sicheren Parametrierung eines Sicherheitsgeräts
DE102008021241B4 (de) Messwert-Anzeige, insbesondere im Führerstand eines Schienenfahrzeugs
WO2014048641A1 (de) Benutzerschnittstelle und verfahren zur fehlerdiagnose einer industriellen anlage
EP3629141B1 (de) Verfahren und vorrichtung zum überprüfen eines konfigurationsparameterwerts
EP3265360B1 (de) Verfahren und vorrichtung zum anzeigen eines prozessgeschehens zumindest einer eisenbahnsicherungseinrichtung sowie eisenbahnsicherungssystem mit einer derartigen vorrichtung
WO2014128036A1 (de) Verfahren zur fehleroffenbarung bei einem stellwerksrechnersystem und stellwerksrechnersystem
DE102014218191A1 (de) Verfahren zum Betreiben eines Verkehrsleitsystems
EP3629112B1 (de) Verfahren zur anzeige von diskrepanzen zwischen einem anwenderprogramm für eine speicherprogrammierbare steuerung und dessen kopie
EP3646313B1 (de) Verfahren und vorrichtung zur ausgabe von bilddaten für eine sichere anzeige
EP3317856B1 (de) Verfahren zum überprüfen der richtigkeit von einer darstellung von bilddaten auf einem anzeigemittel und anzeigeeinrichtung
DE102005007477B4 (de) Programmierbare Steuerung zur Maschinen-und/oder Anlagenautomatisierung mit Standard-Steuerungs- und Sicherheitsfunktionen und Kommunikation mit einer Sicherheits-EA sowie Verfahren zum Betrieb der programmierbaren Steuerung
WO2011113405A1 (de) Steuergeräteanordnung
DE102019216030A1 (de) Verfahren und Vorrichtung zur Ausgabe von Repräsentationen für den sicheren Betrieb eines Fahrzeugs relevanter Zustände durch ein Ausgabemodul
EP4414826A1 (de) Verfahren und system zur visualisierung von sicherheitsrelevanten grafischen und textuellen daten im eisenbahnwesen

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 13718149

Country of ref document: EP

Kind code of ref document: A1

REEP Request for entry into the european phase

Ref document number: 2013718149

Country of ref document: EP

WWE Wipo information: entry into national phase

Ref document number: 2013718149

Country of ref document: EP

WWE Wipo information: entry into national phase

Ref document number: 14398747

Country of ref document: US