Die vorliegende Erfindung betrifft ein Verfahren und eine Vorrichtung zum Anzeigen eines Hinweises für einen Anwender sowie eine Arbeitsvorrichtung. Insbesondere betrifft die vorliegende Erfindung die zuverlässige Darstellung von sicherheitstechnisch relevanten Inhalten im Zusammenhang mit komplexen informationstechnischen Vorrichtungen sowie ein Fahrzeug.

Die Sicherheitsanforderungen in der Automobilindustrie aber auch im

Zusammenhang mit anderen Arbeitsvorrichtungen gewinnen zunehmend an Bedeutung. Um für diverse Produkte größtmögliche Sicherheit zu gewährleisten, sind bestimmte Normen (z.B. ISO 26262) zum Beispiel für elektrische oder elektronische Systeme in Kraftfahrzeugen eingeführt worden. Durch das

Einhalten dieser Normen sollen Fehlfunktionen elektrischer oder elektronischer Komponenten in einem Kraftfahrzeug minimiert werden.

Für die Unterscheidung sicherheitsrelevanter Aspekte wurde die Klassifizierung nach dem ASIL-Konzept (ASIL : Automotive Safety Integrity Level) eingeführt. Diese Klassifizierung erfolgt in Abstufungen von A bis D, wobei ASIL D die höchsten Anforderungen an die Absicherung der Systeme stellt.

Zu einer Gruppe sicherheitsrelevanter Systeme oder Meldungen gehören zum Beispiel Gefahrenmeldungen, welche über ein Kombiinstrument und/oder eine andere Anzeige innerhalb eines Fahrzeugs an einen Fahrer als Anwender ausgegeben werden. Diese Meldungen werden auch als Check-Control-

Messages (CCM) bezeichnet und beinhalten zum Beispiel einen Text und/oder ein Symbol. Im Zusammenhang mit den steigenden Sicherheitsanforderungen gilt es sicherzustellen, dass zumindest die sicherheitsrelevanten Meldungen zuverlässig und innerhalb der hierfür spezifizierten Zeitspanne fehlerfrei angezeigt werden.

Der Erfindung liegt die Aufgabe zu Grunde, eine Vorrichtung und ein Verfahren zum Anzeigen eines Hinweises für einen Anwender und eine damit im

Zusammenhang stehende Arbeitsvorrichtung zu schaffen, bei welchen mit einfachen Mitteln ein besonders hohes Maß an Zuverlässigkeit bei der Anzeige sicherheitsrelevanter Hinweise erreicht wird.

Die der Erfindung zu Grunde liegende Aufgabe wird bei einem Verfahren zum Anzeigen eines Hinweises für einen Anwender erfindungsgemäß mit den

Merkmalen des unabhängigen Patentanspruchs 1 , bei einer Vorrichtung zum Anzeigen eines Hinweises erfindungsgemäß mit den Merkmalen des

unabhängigen Anspruchs 9 sowie bei einer Arbeitsvorrichtung und insbesondere bei einem Fahrzeug erfindungsgemäß mit den Merkmalen des unabhängigen Patentanspruchs 1 0 gelöst. Vorteilhafte Weiterbildungen sind jeweils

Gegenstand der abhängigen Ansprüche.

Gemäß einem ersten Aspekt der vorliegenden Erfindung wird ein Verfahren zum Anzeigen eines Hinweises für einen Anwender geschaffen, bei welchem

(i) in einem ersten oder normalen Anzeigemodus dem Hinweis zugeordnete erste Bilddaten auf einer Anzeigeeinheit angezeigt werden,

(ii) in einem zweiten oder Sicherheitsanzeigemodus dem Hinweis zugeordnete zweite Bilddaten auf einer und insbesondere derselben Anzeigeeinheit angezeigt werden, sobald im normalen Anzeigemodus eine vorbestimmte Fehlerbedingung erfüllt ist, und (iii) die Erfüllung der vorbestimmten Fehlerbedingung geprüft wird, indem eine aktuelle Anzeige der ersten Bilddaten durch die Anzeigeeinheit im normalen Anzeigemodus auf das Vorliegen von Bildfehlern mit einer Referenzanzeige der ersten Bilddaten durch die Anzeigeeinheit im normalen Anzeigemodus verglichen wird. Ferner werden erfindungsgemäß zum Vergleichen die aktuelle Anzeige und die Referenzanzeige in Bereiche und/oder Pixel unterteilt, welche Klassen als Hintergrund, Vordergrund, Bildkante und/oder irrelevant zugeordnet werden. Für jede Klasse werden Farbwertintervalle und/oder Farbschwellenwerte festgelegt, insbesondere auf der Grundlage eines RGB-Schemas. Für jeden Bereich und/oder für jedes Pixel und für jede Klasse wird eine Lage innerhalb oder außerhalb der Farbwertintervalle und/oder Farbschwellenwerte ermittelt. Bei einer Lage außerhalb der Farbwertintervalle und/oder Farbschwellenwerte wird auf einen Bildfehler erkannt. Ein Kernaspekt der vorliegenden Erfindung besteht also im Detektieren eines Vorliegens oder NichtVorliegens einer vorbestimmten Fehlerbedingung im Zusammenhang mit der Anzeige und in einem sich daran orientierenden bedingten Wechsel des Anzeigemodus. Durch diese Maßnahmen kann beim Auftreten eines Anzeigefehlers unmittelbar reagiert und der Anzeigemodus gewechselt werden, so dass sicherheitsrelevante Aspekte dem Anwender weiterhin als Hinweis angezeigt werden können.

Ein weiterer Kernaspekt der Erfindung ist der fehlertolerante Bildvergleich, der einen Vorteil gegenüber bekannten Bildprüfungen mittels Prüfsummen mit sich bringt. Der Wechsel von einem normalen Anzeigemodus zu einem

Sicherheitsanzeigemodus im Fehlerfall ist als Fehlerreaktion essentiell.

Grundsätzlich bestehen verschiedene Möglichkeiten, eine aktuelle Anzeige und eine Referenzanzeige miteinander zu vergleichen. Ein besonders hohes Maß an Zuverlässigkeit ergibt sich, wenn das Vergleichen mit der Referenzanzeige erfolgt, indem der aktuelle Inhalt eines Bildspeichers der Anzeigeeinheit zur aktuellen Anzeige ausgelesen und mit dem Inhalt des Bildspeichers der Anzeigeeinheit zur Referenzanzeige verglichen wird.

Auch bieten sich unterschiedliche Analyseparameter zur Untersuchung der aktuellen Anzeige und der Referenzanzeige an.

Bereiche und/oder Pixel, die als irrelevant klassifiziert sind, können vom oben beschriebenen Vergleich ausgeschlossen sein oder werden. Grundsätzlich können verschiedene Szenarien dazu führen, auf das Vorliegen einer Fehlerbedingung zu erkennen.

Bei einer besonders bevorzugten Ausgestaltungsform des erfindungsgemäßen Verfahrens ist die vorbestimmte Fehlerbedingung erfüllt, wenn die Anzahl der Bildfehler der aktuellen Anzeige im Vergleich zur jeweiligen Referenzanzeige einen vorgegebenen Schwellenwert überschreitet.

Dies kann insbesondere mit einer vorbestimmten Mindestzeitspanne in

Zusammenhang gebracht werden. Das bedeutet, dass auf das Vorliegen eines Fehlers erst dann erkannt wird, wenn die Fehlerbedingung mindestens für eine Mindestzeitspanne andauert und insbesondere darüber hinaus vorliegt.

Bei einer vorteilhaften Weiterbildung können der Schwellenwert und/oder die Mindestzeitspanne dynamisch und/oder in Abhängigkeit vom Hinweis und/oder dessen Kontext, von den ersten Bilddaten, von einer Anzeigeposition und/oder von der Anzeigeeinheit festgelegt sein oder werden. Es können auch beliebige andere Abhängigkeiten zur Festlegung des Schwellenwerts und/oder der Mindestzeitspanne vorgesehen werden.

Es ist denkbar, die verschiedenen Anzeigemodi im Zusammenhang mit voneinander getrennten Anzeigebereichen oder gar Anzeigeeinrichtungen zu realisieren. Besonders einfache Verhältnisse auch im Hinblick auf die Sehgewohnheiten des Anwenders stellen sich ein, wenn auf der Grundlage einer anderen vorteilhaften Weiterbildung des erfindungsgemäßen Verfahrens ein Wechseln zwischen dem normalen Anzeigemodus und dem Sicherheitsanzeigemodus durch

bereichsweises oder vollständiges Überblenden zwischen den Anzeigen der ersten und der zweiten Bilddaten erfolgt, insbesondere auf einer normalen Anzeigeschicht oder -schnittsteile bzw. einer Sicherheitsanzeigeschicht oder - schnittsteile und/oder nach Art einer kombinierten Anzeige, zum Beispiel durch Überblenden und/oder Bütten.

Die Zuverlässigkeit des erfindungsgemäßen Verfahrens zum Anzeigen eines Hinweises lässt sich weiter steigern, indem die ersten Bilddaten für den normalen Anzeigemodus eine höhere graphische und/oder Bildkomplexität aufweisen als die zweiten Bilddaten für den Sicherheitsanzeigemodus, insbesondere hinsichtlich der Farbwerte und/oder der Weite der jeweiligen Wertebereiche der Farbwerte. Bei einer anderen Weiterbildung des erfindungsgemäßen Verfahrens ist es vorgesehen, dass der normale Anzeigemodus im Zusammenhang mit einer normalen Grafikschnittstelle und der Sicherheitsanzeigemodus über eine Sicherheitsschnittstelle realisiert werden, wobei Referenzanzeigen in der oder im Zusammenhang mit der Sicherheitsschnittstelle generiert und/oder gespeichert werden.

Alternativ oder zusätzlich kann es vorgesehen sein, dass die Größe und/oder die Position einer oder mehrerer Anzeigeregionen für eine Anzeige vom oder im Zusammenhang mit dem normalen Anzeigemodus und insbesondere von der oder im Zusammenhang mit der normalen Grafikschnittstelle festgelegt werden. Zwar bieten sich unterschiedliche Anwendungsmöglichkeiten des

erfindungsgemäßen Verfahrens an. Von besonderer Bedeutung ist das erfindungsgemäße Vorgehen jedoch im Zusammenhang mit Hinweisen, welche als Hinweise sicherheitsrelevante Informationen in Bezug auf den Betrieb einer zu Grunde liegenden Arbeitsvorrichtung und insbesondere eines Fahrzeugs anzeigen und insbesondere im Zusammenhang mit einem Betriebs- oder

Fahrmodus, einer Normalfunktion und/oder einer Fehlfunktion einer Komponente und/oder einem Betriebs- oder Fahrparameter.

Gemäß einem weiteren Aspekt der vorliegenden Erfindung wird eine Vorrichtung zum Anzeigen eines Hinweises geschaffen. Die erfindungsgemäße Vorrichtung weist eine Anzeigeeinheit auf, welche zum gesteuerten Anzeigen des Hinweises oder damit im Zusammenhang stehender erster und/oder zweiter Bilddaten ausgebildet ist. Des Weiteren ist eine Steuereinrichtung zum Steuern der Anzeige der oder durch die Anzeigeeinheit auf der Grundlage des

erfindungsgemäßen Verfahrens zum Anzeigen eines Hinweises ausgebildet. Ferner schafft die vorliegende Erfindung eine Arbeitsvorrichtung und

insbesondere ein Fahrzeug. Die Arbeitsvorrichtung ist mit der

erfindungsgemäßen Vorrichtung zum Anzeigen eines Hinweises ausgestattet.

Weitere Einzelheiten, Merkmale und Vorteile der Erfindung ergeben sich aus der nachfolgenden Beschreibung und den Figuren.

Figur 1 zeigt eine schematische Seitenansicht eines Ausführungsbeispiels eines erfindungsgemäßen Fahrzeugs als Arbeitsvorrichtung mit einem Ausführungsbeispiel einer erfindungsgemäßen Vorrichtung zum Anzeigen eines Hinweises. Figur 2 erläutert in schematischer Darstellung Möglichkeiten der

Charakterisierung eines Bildbereichs einer Anzeige nach Art eines Bildvergleichers.

Figur 3 zeigt nach Art eines Blockdiagramms den Aufbau einer

erfindungsgemäßen Anzeigeeinheit im Zusammenhang mit einer erfindungsgemäßen Vorrichtung, und zwar nach Art einer

Anwenderschnittstelle.

Figur 4 erläutert nach Art eines Blockdiagramms eine Ausführungsform des erfindungsgemäßen Verfahrens im Zusammenhang mit einem Zustandsautomaten. Nachfolgend werden unter Bezugnahme auf die Figuren 1 bis 4

Ausführungsbeispiele und der technische Hintergrund der Erfindung im Detail beschrieben. Gleiche und äquivalente sowie gleich oder äquivalent wirkende Elemente und Komponenten werden mit denselben Bezugszeichen bezeichnet. Nicht in jedem Fall ihres Auftretens wird die Detailbeschreibung der bezeichneten Elemente und Komponenten wiedergegeben.

Die dargestellten Merkmale und weiteren Eigenschaften können in beliebiger Form voneinander isoliert und beliebig miteinander kombiniert werden, ohne den Kern der Erfindung zu verlassen. Figur 1 zeigt eine schematische Seitenansicht eines Ausführungsbeispiels eines erfindungsgemäßen Fahrzeugs 1 als Arbeitsvorrichtung mit einem

Ausführungsbeispiel einer erfindungsgemäßen Vorrichtung zum Anzeigen eines Hinweises. Das erfindungsgemäße Fahrzeug 1 ist in Figur 1 als Personenkraftwagen ausgestaltet und weist eine Karosserie 2 und über einen hier nicht dargestellten Antrieb antreibbare Räder 4 auf. Zur Information eines Anwenders des

Fahrzeuges 1 im Hinblick auf sicherheitsrelevante Informationen, zum Beispiel im Hinblick auf den Zustand oder Betrieb des Fahrzeugs 1 , weist das

erfindungsgemäße Fahrzeug 1 eine Ausführungsform der erfindungsgemäßen Vorrichtung 100 zum Anzeigen eines Hinweises auf, welche auch als

Schnittstelle 101 und insbesondere als Anwenderschnittstelle aufgefasst werden kann und dazu entsprechende Hardware- und/oder Softwarekomponenten aufweist. Die Vorrichtung 100 als Anwenderschnittstelle 101 weist eine Anzeigeeinheit 20 zur Anzeige von Hinweisen und mit den Hinweisen im Zusammenhang stehenden ersten und zweiten Bilddaten 31 und 32 auf, die über eine

Steuerleitung 1 1 mit einer Erfassungs- und Steuereinheit 10 und mittelbar über diese mit einer Speichereinheit 30 verbunden ist. Die Speichereinheit 30 selbst ist eingerichtet, die entsprechenden ersten und zweiten Bilddaten 31 bzw. 32 für verschiedene Hinweise, insbesondere mit Sicherheitsrelevanz, zu speichern, um diese über die Steuerleitung 1 1 durch Abruf mittels der Erfassungs- und

Steuereinheit 10 an die eigentliche Anzeigeeinheit 20 zur Anzeige 26, 26' zu übertragen. Die bereits dargelegt wurde, kommen bei der Anzeige 26 in einem ersten oder normalen Anzeigemodus erste Bilddaten 31 und in einem zweiten oder

Sicherheitsanzeigemodus zweite Bildraten 32 zur Anzeige des

sicherheitsrelevanten Hinweises zum Tragen.

Dazu muss im Hinblick auf eine bestehende Anzeige 26 ermittelt werden, ob eine Fehlerbedingung für einen Wechsel vom normalen Anzeigemodus zum

Sicherheitsanzeigemodus vorliegt oder nicht. Dazu werden Bildbereiche 50 der Anzeige 26 und der damit in Beziehung zu setzenden Referenzanzeige 26' im Hinblick auf Bildelemente 51 , die auch als Pixel bezeichnet werden, analysiert und in verschiedene Klassen unterteilt, zum Beispiel in Klassen 51 -0 bis 51 -3 mit der Bedeutung 51 -0 Hintergrund, 51 -1 Vordergrund, 51 -2 Kantenbereich und 51 -3 irrelevant. Dies ist schematisch in Figur 2 dargestellt.

Figur 2 erläutert Möglichkeiten der Charakterisierung eines Bildbereichs 50 einer Anzeige 26 oder einer Referenzanzeige 26', insbesondere nach Art eines Bildvergleichers, der auch als Image-Matcher oder IM bezeichnet wird. Dabei werden entsprechende Bildbereiche 50 für eine aktuelle Anzeige 26 und für eine Referenzanzeige 26' bildelementweise, insbesondere pixelweise, miteinander verglichen. Abweichungen werden als Bildfehler gezählt, wenn zum Beispiel Farbwerte der einzelnen Pixel außerhalb zugeordneter

Farbwertebereiche oder Schwellenwerte liegen. Vorliegende Bildelementfehler oder Pixelfehler werden pro Bildbereich 50 oder für die Anzeige 26 insgesamt in ihrer Anzahl aufsummiert. Die Summe wird gegebenenfalls mit einem Schwellenwert verglichen, wobei auf das Vorliegen einer Fehlerbedingung erkannt wird, wenn der Schwellenwert überschritten ist.

Zusätzlich kann eine zeitliche Randbedingung gestellt werden, so dass beim Überschreiten des Schwellenwerts auf das Vorliegen einer Fehlerbedingung erst dann erkannt wird, wenn der Schwellenwert für eine Mindestzeitspanne fortbesteht. Diese wird auch als Fehlertoleranzzeit, Fault-Tolerance-Time oder FTT bezeichnet. Der Wert FTT kann in Abhängigkeit von der Art des

sicherheitsrelevanten Hinweises verschieden lang gewählt werden,

gegebenenfalls auch dynamisch; zum Beispiel für eine falsche Ganganzeige im Bereich von 0,5 Sekunden oder für einen CCM-Hinweis, zu eine offene

Kofferraumklappe, ein bis 2 Sekunden.

Folgendes Abfrageschema im Hinblick auf die Farbwertebereiche kann zum Tragen kommen, wobei RGB-Farben zu Grunde gelegt werden: Hintergrund Klasse 51 -0: R < T _B R, G < T _B G, B < T _B B Vordergrund Klasse 51 - 1 : R > T _F R, G > TFG, B > TFB

Kantenbereiche Klasse 51 -2: T _A R- < R < T _A R ₊ Dabei können die entsprechenden Schwellenwerte oder Intervallgrenzen je nach Anwendungsfall festgelegt werden.

Figur 3 zeigt nach Art eines Blockdiagramms den Aufbau einer

erfindungsgemäßen Anzeigeeinheit 20 im Zusammenhang mit einer

erfindungsgemäßen Vorrichtung 1 00, und zwar aufgefasst als

Anwenderschnittstelle 1 01 .

Zur Realisierung des normalen Anzeigemodus und des

Sicherheitsanzeigemodus werden im Zusammenhang mit einem ersten

Adressraum 21 und einem zweiten Adressraum 22 (VAS) eine normale

Schnittstelleneinheit 21 -1 (HMI) als Menschmaschineschnittstelle, ein

Graphikprozessor 21 -3 (graphics engine) und ein entsprechender normaler Grafiktreiber 21 -2 normal und nicht ASIL-konform bzw. mit einem zweiten Adressraum 22 (VAS) eine Sicherheitsschnittstelleneinheit 22-1 (safety HMI) und einen Sicherheitsgrafiktreiber 22-2 (safety graphics driver) ASIL-konform definiert. Über diese Adressräume 21 und 22 werden durch Übergabeprozesse 21 -4 bzw. 22-4 in gesteuerter Weise einem darzustellenden Hinweis zugeordnete erste bzw. zweite Bilddaten 31 bzw. 32 über einen Grafikkern 23 einer Anzeige 26 mit einer Mehrzahl normaler Schichten 21 -5 (non-safety layer) und einer

Sicherheitsschicht 22-5 (safety layer) zugeführt. Dabei entsteht über einen Prozess 26-2 des Überblendens und/oder Blittens eine kombinierte Anzeige 26- 1 , bei welcher das Vorliegen oder NichtVorliegen einer entsprechenden

Fehlerbedingung berücksichtigt wird, wie dies oben im Detail beschrieben wurde. Figur 3 zeigt den Prozess 22-3 des Rückauslesens (back read) der Anzeige 26, entweder zur Definition der Referenzanzeige 26' und/oder für den Prozess des Vergleichens.

Über entsprechende Schnittstellen 27-1 , 27-2, 27-3 sind die Steuerprozesse 21 -1 und 22-1 und die entsprechenden geschützten Adressräume 21 und 22 mit weiteren Steuerkomponenten 24 (IPC (grey Channel)) und 25 (Betriebssystem) zur Steuerung gekoppelt, wobei die Schnittstelle 27-3 sämtliche Signale überträgt, die Schnittstelle 27-2 dagegen zum Beispiel die so genannten

Warnleuchten-, Ganganzeige- und Warnmeldungs-Signale, die insbesondere durch Prüfsummen und Alive-Counter gesichert sind. Die Schnittstelle 27-1 überträgt Position und/oder Größe der Anzeige 26 von der normalen

Anzeigeeinheit 21 -1 im Zusammenhang mit dem ersten Adressraum 21 an die Sicherheitsanzeigeeinheit 22-1 im Zusammenhang mit dem zweiten Adressraum 22, wobei ebenfalls die Signale für Warnleuchten, die Ganganzeige und

Warnmeldungen zum Tragen kommen können.

Figur 4 erläutert nach Art eines Blockdiagramms eine Ausführungsform des erfindungsgemäßen Verfahrens im Zusammenhang mit einem

Zustandsautomaten 40 (State machine).

Der Zustandsautomat 40 gemäß Figur 4 realisiert den Prozessablauf für die alternative Darstellung der Anzeigen 26 mit den ersten Bilddaten 31 bzw. den zweiten Bilddaten 32 in Abhängigkeit von dem Vorliegen oder Nichtvorliegen einer Fehlerbedingung in der oben beschriebenen Weise.

Der Zustandsautomat 40 gemäß Figur 4 umfasst drei Zustände, nämlich einen ersten oder normalen Zustand 41 , einen Sicherheitszustand 42 und einen entarteten Zustand 43 (degraded).

Im Normalzustand 41 kommt die normale Schnittstelleneinheit 21 -1 unter Überwachung durch die Sicherheitsschnittstelleneinheit 22-1 zum Einsatz. Dabei wird der Zeitgeber für die Fehlertoleranzzeit FTT zurückgesetzt, sobald die Bildübereinstimmungsprüfung gemäß dem Prozess 44, also der Image-Matcher die Anzeige 26 verifiziert. Im Normalzustand 44 kommen die ersten Bilddaten 31 für den Hinweis an den Anwender zur Anzeige 26.

Beim Sicherheitszustand 42 erfolgt die Anzeige 26 über die

Sicherheitsschnittstelle 22-1 unter Verwendung der zweiten Bilddaten 32 zur Darstellung des Hinweises an den Anwender.

Der Übergang vom Normalzustand 41 zum Sicherheitszustand 42 erfolgt gemäß dem Prozess 45 beim Vorliegen kontinuierlich fehlerhafter Eingabesignale über eine Zeitspanne in Weg, die größer ist als die Fehlertoleranzzeit FTT.

Der Übergang vom Sicherheitszustand 42 zurück zum Normalzustand 41 erfolgt gemäß dem Prozess 46 beim Vorliegen korrekter Eingangssignale.

Bei kontinuierlicher fehlender Übereinstimmung während einer Zeitspanne, die länger ist als die Fehlertoleranzzeit FTT, erfolgt der Übergang 47 zum entarteten Zustand 43. Von diesem ist eine Rückkehr 48 zum Normalzustand 41 unter verschiedenen Bedingungen möglich, darunter eine Bild Übereinstimmung für eine bestimmte Anzahl von Bildern oder Rahmen und/oder beim Vorliegen einer Signaländerung.

Ein Übergang 49 vom entarteten Zustand 43 zum Sicherheitszustand 42 ist beim kontinuierlichen Vorliegen fehlerhafter Eingangssignale während einer

Zeitspanne, die größer ist als die Fehlertoleranzzeit FTT, möglich. Diese und weitere Merkmale und Eigenschaften der vorliegenden Erfindung werden an Hand der folgenden Darlegungen weiter erläutert:

Die vorliegende Erfindung baut auf verschiedenen Sicherheitsanzeigekonzepten auf, welche der hier vorliegenden Erfindung als Grundlage dienen und bei welchen es insbesondere um die zuverlässige Darstellung sicherheitstechnisch relevanter Hinweise in komplexen informationstechnischen Apparaturen geht.

Diese Idee wird durch die vorliegende Erfindung erweitert, um insbesondere die nachfolgend aufgelisteten Nachteile des bisherigen Vorgehens zu vermeiden: - Es liegt ein sehr eingeschränktes, vorherbestimmtes Design der Anzeige von Inhalten vor.

- Es sind keine Animationen der Darstellung möglich.

- Die derzeitigen Methoden, die auf einer Überprüfung des Anzeigeinhalts mittels Checksummen beruhen, verlangen ein zu 100% vorbestimmtes Bild. Jegliche Abweichungen, z.B. ein anderer Hintergrund, Licht- oder

Schatteneffekte, würden als Fehler erkannt werden. Das herkömmliche Vorgehen ist somit unflexibel und störanfällig.

- Die derzeitige Methode zeigt ein vorgerendertes Bild an. Es sind keine

Animationen, Lich Schatteneffekte, Änderungen des Hintergrunds oder dergleichen möglich und es ergibt sich eine schlechte Integration der sicherheitsrelevanten Inhalte in die Gesamtszene mit insgesamt starken Designeinschränkungen.

- Bei Störungen in der Anzeigeoberfläche ergibt sich auch eine gestörte oder entfallende Anzeige von Informationen und/oder Hinweisen.

Eine Grundidee der vorliegenden Erfindung ist die dauerhafte Absicherung der korrekten Darstellung von sicherheitsrelevanten Hinweisen und Informationen innerhalb einer Szene, die durch eine nicht nach ASIL B entwickelten

Menschmaschineschnittstelle oder HMI (HMI: Human-Machine-Interface, Menschmaschineschnittstelle) dargestellt wird und die einen höheren Grad an Flexibilität der Darstellung erlaubt.

Essentiell für diese Idee ist die Einführung einer die Darstellung oder Anzeige 26 absichernden Sicherheitsschnittstelle 22-1 , die auch als Safety-HMI bezeichnet wird und mit der Absicherungsklasse ASIL B verbunden ist. Diese Safety-HMI 22-1 gleicht fortlaufend die Anzeige 26 der

sicherheitsrelevanten Hinweise einer nicht abgesicherten und somit normalen Schnittstelle 21 -1 ab, die auch als Non-Safety-Layer oder normale HMI bezeichnet wird, und zwar indem der Anzeigebildspeicher, auch Display-Frame- Buffer genannt, der normalen Anzeigeschicht 21 -5, die auch als Non-Safety- Layer bezeichnet wird, also der Bildspeicher der aktuellen Anzeige 26 oder aktuellen Darstellung auf der Anzeige 26 - insbesondere per back-read 22-3 - ausgelesen und mit Referenzanzeigen 26' oder Referenzbildern verglichen wird.

Die dafür notwendige Vergleichseinrichtung - zum Beispiel ein so genannter Image-Matcher oder IM 44 - ist ein Aspekt der vorliegenden Erfindung und beinhaltet aber auf jeden Fall spezifische Anforderungen für einen

Referenzbildvergleich.

Dabei werden Position und/oder Größe der sicherheitsrelevanten

Anzeigeregionen von der normalen Schnittstelle 21 -1 oder HMI vorgegeben. Die Referenzanzeigen 26' oder Referenzbilder sind in der Safety-HMI 22-1 abgespeichert und die einzelnen Pixel 51 oder Bildkomponenten in verschiedene Bereiche oder Klassen 51 -0 bis 51 -3 unterteilt, insbesondere in Vordergrund 51 - 1 , Hintergrund 51 -0, Antialiasingregionen 51 -2 sowie in irrelevante oder dont- care-Regionen gemäß der Klasse 51 -3. Für jede dieser Gruppen oder Klassen 51 -0 bis 51 -3 gibt es vorbestimmte Bildfehlerschwellenwerte und insbesondere Farbschwellenwerte.

Der Image-Matcher IM, 44 prüft für jedes Pixel 51 , ob seine Farbe innerhalb eines vorbestimmten Bereichs liegt, so dass eine gewisse Abweichung von der eigentlichen Farbgebung toleriert werden kann. Weiterhin ist es möglich, einen bestimmten Schwellenwert für die maximal tolerierte Anzahl an fehlerhaften Pixeln festzulegen, ab welchem die

Sicherheitsschnittstelle 22-1 oder Safety-HMI die Darstellung oder Anzeige 26 der sicherheitsrelevanten Information übernimmt.

Die tolerierte Anzahl an Pixelfehlern kann z.B. bildgrößenabhängig festgelegt werden.

Sofern die Anzeige 26 der Informationen auf dem normalen HMI-Layer 21 -5, z.B. im Zusammenhang mit einem zweiten virtuellen Adressraum (Virtual address space VAS 1 , fehlerfrei bzw. fast fehlerfrei erfolgt und also Pixelfehleranzahl unterhalb des Schwellenwerts liegt, bleibt die Anzeige 26 durch die oder der der Sicherheitsschnittstelle 22-1 oder Safety-HMI verborgen und die Anzeige 26 erfolgt über die normale Schnittstelle 21 -1 oder non-Safety-HMI.

Wird der Schwellenwert überschritten, übernimmt die Sicherheitsschnittstelle 22- 1 oder Safety-HMI die Darstellung oder Anzeige 26 der sicherheitsrelevanten Information im fehlerhaften Bereich, insbesondere auf dem Safety-Layer 22-5.

Dabei wird eine Bitmap von der Sicherheitsschnittstelle 22-1 oder Safety-HMI auf das oberste Anzeigegrafiklayer oder Safety-Layer 22-5 mit einem Prozess 26-2 geblittet und somit der fehlerhafte Inhalt des normalen Schnittstelle 21 -1 oder des normalen HMI-Layers 21 -5 überblendet, so dass die Information wieder korrekt angezeigt wird.

Das Auslesen 22-3 der Darstellung durch die Anzeige 26, also der so genannte Back-Read zum Pixelabgleich, erfolgt kontinuierlich mit einem festen Zeitintervall. Somit ist es möglich, im normalen HMI-Layer 21 -5 Animationen einzublenden, sofern die Dauer dieser Animationen kürzer ist als die Fehlertoleranzzeit oder Fault-Tolerance-Time vom Back-Read, die auch mit FTT bezeichnet wird.

Obwohl während der Animation die Darstellung des normalen HMI-Layers 21 -5 nicht mit der Referenzanzeige 26' oder dem Referenzbild übereinstimmt, wird nicht sofort das Safety-Layer 22-5 aktiviert, da die Fault-Tolerance-Time oder FTT noch nicht überschritten wurde. Dies kann zum Beispiel bei der Darstellung des momentanen Gangs angewendet werden:

Im Normalfall kann beim Hoch- oder Runterschalten des Gangs eine Animation - z.B. ein Rollen - gezeigt werden. Während der Animation kommt es zu

Bildvergleichsfehlern, die aber nicht zu einer Reaktion durch die Safety-HMI 22-1 führen, da die Animation vor Ablauf der FFT abgeschlossen ist und damit wieder ein gültiges, fehlerfreies Bild vorliegt.

Sollte nun allerdings ein falscher Gang angezeigt werden - z.B. beim Fahrzeug 1 mit Vorwärtsbetrieb die dauerhafte Anzeige eines Rückwärtsgangs - wird nach Ablauf der FTT festgestellt, dass die Darstellung nicht mehr mit der Referenzanzeige 26' oder mit dem Referenzbild aus dem Safety-Layer 22-5 übereinstimmt. Daraufhin übernimmt das Safety-HMI 22-1 die Darstellung oder Anzeige 26 des Gangs. Die Möglichkeit der animierten Anzeige entfällt dann.

Das Safety-Layer 22-5 und dessen Referenzbilder können z.B. weniger

Farbwerte als die normale HMI-Anzeige umfassen und verbrauchen

dementsprechend verhältnismäßig wenig Speicherkapazität. Daraus ergibt sich zwar eine weniger ansprechende Darstellung oder Anzeige 26 der Information, die allerdings lediglich für Anzeige im Notfall gedacht ist und keinen

Dauerzustand darstellen soll. Ein Referenzbild hat zum Beispiel zwei Bits pro Pixel, die Farbe und die

Schwellenwerte sind pro Bitmap gespeichert.

Die Datenkomprimierung kann per Run-Length-Encoding (RLE) erfolgen.

Alle Antialiasingpixel - also Pixel 51 der Klasse 51 -2 - können dieselbe und insbesondere„mittlere" Farbe aufweisen, die definiert ist durch die Vorschrift: (Vordergrundfarbe + Hintergrundfarbe) / 2.

Die Betriebszustände oder Betriebsmodi der Sicherheitsschnittstelle oder Safety- HMI 22-1 (Gen2) bestehen zum Beispiel aus einzelnen Zustandsautomaten 40, und zwar für jede anzuzeigende Fahrzeugfunktion, z.B. Check-Control-Symbol, Teiltales (Kontroll-Leuchten), GearSpa usw., mit Zuständen 41 , 42, 43, wie dies im Zusammenhang mit Figur 4 angedeutet ist.

Das heißt, für jede Fahrzeugfunktion gibt es eine normale Darstellung in der normalen HMI 21 -1 und ein spezifisches Referenzbild 26', welches nur im Fehlerfall der betreffenden Fahrzeugfunktion aktiviert wird, während die anderen, fehlerfreien Funktionen weiterhin von der normalen HMI 21 -1 dargestellt werden. Es können unter anderem folgende Vorteile mit der vorliegenden Erfindung erreicht werden:

Sicherheitsrelevanter Inhalt kann animiert dargestellt werden. - Sicherheitsrelevanter Inhalt kann mit verschiedenen Hintergrunddarstellungen hinterlegt oder unterlegt werden.

- Der sicherheitsrelevante Inhalt besitzt nicht notwendigerweise einen rechteckigen Rahmen. - Referenzbilder sind wesentlich kleiner als vollfarbige Bitmaps, ein geringerer Speicherplatzverbrauch stellt sich ein.

- Der Bildabgleich toleriert gewisse Abweichungen in der Farbgebung und Pixelfehler.

- Referenzbilder werden nur im Fehlerfall dargestellt.

Bezugszeichenliste: 1 Fahrzeug, Arbeitsvorrichtung

2 Karosserie

4 Rad

10 Erfassungs- und Steuereinheit

1 1 Steuerleitung

20 Anzeigeeinheit

21 (erster) Adressraum VAS 1 , nicht konform nach ASIL B 21 -1 normale Schnittstelleneinheit

21 -2 normaler Grafiktreiber

21 -3 Graphikprozessor

21 -4 Datenübergabe

21 - 5 Anzeigeschicht (non-safety layer)

22 (zweiter) Adressraum VAS 2 - konform nach ASIL B

22- 1 Sicherheitsschnittstelleneinheit

22-2 Sicherheitsgrafiktreiber

22-3 Rückausleseprozess

22-4 Datenübergabe

22-5 Sicherheitsschicht (safety layer)

23 Grafikkern

24 Prozess/Einheit gemäß IPC (Grey Channel)

25 Prozess/Einheit gemäß Integrity OS (ASIL B)

26 Anzeige

26' Referenzanzeige

26- 1 kombinierte Anzeige

26-2 Bütten und/oder Blenden

27- 1 Verbindung, Steuerleitung

27-2 Verbindung, Steuerleitung

27-3 Verbindung, Steuerleitung 30 Speichereinheit

31 (erste) Bilddaten

32 (zweite) Bilddaten

40 Zustandsautomat

41 Normalzustand

42 Sicherheitszustand

43 entarteter Zustand

44 Bildübereinstimmungsprüfung

45-49 Übergang

50 Bildbereich

51 Pixel, Bildelement

51 -0 Klasse Hintergrund

51 -1 Klasse Vordergrund

51 -2 Klasse Kantenbereich

51 -3 Klasse irrelevant 100 Anzeigevorrichtung

101 Schnittstelle