Hintergrund der Erfindung

Die vorliegende Erfindung betrifft einen Operationstisch, mit wenigstens einer Komponente, welche durch einen Aktuator bewegbar ist, sowie ein Verfahren zur Ansteuerung von Aktuatoren in einem Operationstisch. Bei medizinischen Vorrichtungen, wie z.B. Deckenstativen oder Operationstischen, sind üblicherweise mechanische Komponenten vorhanden, die über einen Aktuator bewegt werden können, sobald der Anwender einen Funktionsbefehl über eine Dateneingabeschnittstelle erzeugt. Eine fehlerhafte Bewegung dieser Komponenten stellt jedoch ein hohes Sicherheitsrisiko für einen Patienten oder einen Benutzer der medizinischen Vorrichtung dar. Daher wird die Ansteuerung der Aktuatoren üblicherweise redundant ausgelegt, so dass zusätzliche Sicherheits- und Kontrollmechanismen realisiert werden können.

Das Ansteuerungssystem wird dabei elektronisch realisiert und enthält in der Regel einen oder mehrere Mikrocontroller für die Verarbeitung der Funktionsbefehle. Aus Risikobetrachtungen werden Maßnahmen umgesetzt, so dass die Ansteuerung der Aktuatoren erstfehlersicher erfolgt. Die Erstfehlersicherheit wird klassischerweise über Hardware-Redundanzen im System realisiert. Dadurch werden jedoch die Komplexität und die Herstellungskosten der medizinischen Vorrichtung erhöht, da Komponenten sowie Kommunikationskanäle (Bus) aufgrund der Redundanzen jeweils mehrfach bereitgestellt, getestet, eingebaut und geprüft werden müssen.

Das Dokument US 2013/0069778 AI beschreibt ein Dialysegerät mit einem Sicherheitsmerkmal zur Unterstützung und Überwachung des Patienten.

Das Dokument US 2011/0166512 AI betrifft ein Handgerät zum Spritzen eines Arzneimittels.

Es ist eine Aufgabe der vorliegenden Erfindung, die Komplexität und Herstellungskosten eines Operationstischs zu verringern, wobei jedoch weiterhin eine sichere Ansteuerung von Aktuatoren des Operationstischs gewährleistet werden kann.

Überblick über die Erfindung

Die voranstehend genannte Aufgabe wird durch einen Operationstisch gemäß Anspruch 1 sowie durch ein Verfahren gemäß Anspruch 11 gelöst. Die Erfindung kann aber auch bei anderen medizini- sehen Vorrichtungen, wie etwa dem Deckenstativ eines Operationssaals, eine Anwendung finden.

Eine medizinische Vorrichtung, wie beispielsweise ein Operationstisch oder ein Deckenstativ, umfasst dabei wenigstens eine Komponente, welche durch einen Aktuator bewegbar ist. Ferner umfasst die Vorrichtung eine Benutzerschnittstelle, über die ein Benutzer eine Anweisung zur Bewegung der Komponente an einen Benutzerschnittstellen-Mikrocontroller eingeben kann und eine Steuereinrichtung, welche ausgelegt ist, um Daten des Benutzerschnittstellen-Mikrocontrollers abzufragen. Der Benutzerschnittstellen-Mikrocontroller muss somit nicht ständig aktiv sein, sondern kann bei Eingabe einer Anweisung durch den Benutzer eingeschaltet werden, während die Steuereinrichtung mittels eines Polling-Verfahrens herausfinden kann, ob der Benutzerschnittstellen-Mikrocontroller aktiv ist und ob er eine Anweisung eines Benutzers erhalten hat. Die Steuereinrichtung ist ferner ausgelegt, um die vom Benutzerschnittstellen-Mikrocontroller empfangenen Daten zu authentifizieren und bei erfolgreicher Authentifizierung den Aktuator anzusteuern, um die Komponente entsprechen der Anweisung des Benutzers zu bewegen. Somit kann sichergestellt werden, dass die Aktuatoren nur dann aktiviert werden, wenn überprüft wurde, dass sowohl die Steuereinrichtung, als auch der Be- nutzerschnittstellen-Mikrocontroller fehlerfrei funktionieren. Gemäß einiger Ausführungsformen kann die Steuereinrichtung einen ersten und einen zweiten Mikrocontroller umfassen, wobei der erste Mikrocontroller ausgelegt ist, um mit dem Benutzerschnitt- stellen-Mikrocontroller zu kommunizieren, wobei der zweite Mikrocontroller ausgelegt ist, um mit dem ersten Mikrocontroller zu kommunizieren. Der zweite Mikrocontroller benötigt somit keinen eigenen Kommunikationskanal zum Benutzerschnittstellen-Mikrocontroller, sondern die Kommuni- kation zwischen der Benutzerschnittstelle und der Steuereinrichtung kann vom ersten Mikrocontroller gesteuert werden, ohne dass es zu Kollisionen oder Konkurrenz auf dem Kommunikationskanal kommen würde, und ohne dass ein zweiter Kommunikationskanal zwischen der Steuereinrichtung und der Benutzerschnittstelle benötigt würde.

Dabei kann der zweite Mikrocontroller ausgelegt sein, um über den ersten Mikrocontroller eine Sicherheitsabfrage, Challenge, an den Benutzerschnittstellen-Mikrocontroller zu senden, und wobei der erste Mikrocontroller ausgelegt ist, um die Antwort, Response, auf die Sicherheitsabfrage zu empfangen, und um die Antwort an den zweiten Mikrocontroller weiterzuleiten. Somit kann ein Challenge-Response-Verfahren zwischen dem zweiten Mikrocontroller und dem Benutzerschnittstel- len-Mikrocontroller durchgeführt werden, ohne dass ein direkter Kommunikationskanal zwischen dem zweiten Mikrocontroller und dem Benutzerschnittstellen-Mikrocontroller besteht. Der erste Mikrocontroller leitet dabei vorzugsweise sowohl die Challenge als auch die Response lediglich weiter, ohne sie zu verändern oder auszuwerten. Weitere Daten vom Benutzerschnittstellen- MikroController, wie beispielsweise Bewegungsbefehle, können entweder zusammen mit der Response mitgeschickt werden, oder können unabhängig von der Authentifizierung über das Challenge-Response-Verfahren separat vom Benutzerschnittstellen-Mikrocontroller an den ersten Mikrocontroller geschickt werden.

Gemäß einigen Ausführungsformen kann der erste Mikrocontroller ausgelegt sein, um eine Bewegungsanweisung an den Aktuator auszugeben. Der zweite Mikrocontroller kann ferner ausgelegt sein, um eine Energiezufuhr des Aktuators zu aktivieren. Somit findet eine Bewegung der Komponente der medizinischen Vorrichtung durch den Aktuator nur dann statt, wenn sowohl der erste, als auch der zweite Mikrocontroller die von dem Benutzerschnittstellen-Mikrocontroller empfangenen Daten als gültigen Bewegungsbefehl identifiziert haben.

Gemäß einigen Ausführungsformen kann die Steuereinrichtung in regelmäßigen Zeitabständen Daten von dem Benutzerschnittstellen-Mikrocontroller abfragen. Dadurch muss der Benutzerschnittstellen- MikroController keine Daten aktiv senden, sondern der Kommunikationskanal zwischen der Steuereinrichtung und dem Benutzerschnittstellen-Mikrocontroller kann von der Steuereinrichtung aus gesteuert und betrieben werden.

Gemäß einigen Ausführungsformen kann ein Bussystem zwischen der Steuereinrichtung und der Benutzerschnittstelle vorgesehen sein, das derart ausgelegt ist, dass der Datenaustausch zwischen allen Elementen der Steuereinrichtung und der Benutzerschnittstelle über das Bussystem verläuft. Somit ist nur eine einzige Datenleitung zwischen der Steuereinrichtung und der Benutzerschnittstelle erforderlich. Dadurch wird der Aufbau der medizinischen Vorrichtung vereinfacht, insbesondere wenn die Steuereinrichtung in einem größeren räumlichen Abstand zu der Benutzerschnittstelle angeordnet ist. Gemäß einiger Ausführungsformen kann die Steuereinrichtung über zwei getrennte Kommunikationskanäle mit einer Ansteuerung des Aktuators verbunden sein, wobei über einen ersten Kommunikationskanal die Energiezufuhr für den Aktuator aktivierbar ist, und über einen zweiten Kommunikationskanal Bewegungsbefehle an den Aktuator übermittelt werden können. Bei einer modularen medizinischen Vorrichtung kann somit für jedes mit wenigstens einem Aktuator versehene Modul eine eigene Aktuator-Ansteuerung vorgesehen sein, welche dann jeweils über die beiden Kommunikationskanäle mit der zentralen Steuereinrichtung der medizinischen Vorrichtung verbunden werden kann. Alternativ kann die Steuereinrichtung ausgelegt sein, um die Energiezufuhr und die Bewegung des Aktuators jeweils direkt anzusteuern.

Gemäß einiger Ausführungsformen kann die Benutzerschnittstelle mit einem Bedienelement verbunden sein, wobei das Bedienelement ausgelegt ist, ein erstes Signal zu erzeugen, mittels dessen eine Energiezufuhr zu dem Benutzerschnittstellen-Mikrocontroller aktivierbar ist, und ein zweites Signal zu erzeugen, das der vom Benutzer eingegebenen Anweisung zur Bewegung der Komponente der medizinischen Vorrichtung entspricht. Somit wird der Benutzerschnittstellen-Mikrocontroller nur dann aktiviert, wenn das Bedienelement tatsächlich von einem Benutzer aktiviert wird, und es kann, beispielsweise über einen zusätzlichen kapazitiven Sensor zur Erzeugung des ersten Signals, eine gültige Benutzereingabe an dem Bedienelement erkannt werden.

Dabei kann vorgesehen sein, dass das Bedienelement mit der Benutzerschnittstelle kommuniziert, und dass die Benutzerschnittstelle Signale des Bedienelements auswertet und daraus das erste und das zweite Signal erzeugt. In diesem Fall kann beispielsweise auch ein einziger Tastendruck eines Benutzers von der Benutzerschnittstelle derart ausgewertet werden, dass daraus sowohl ein erstes Signal erzeugt wird, das eine Energiezufuhr zu dem Benutzerschnittstellen-Mikrocontroller aktiviert, als auch ein zweites Signal erzeugt wird, das anschließend von dem aktivierten Benutzerschnittstel- len-Mikrocontroller als Bewegungsbefehl ausgewertet werden kann.

Gemäß einem weiteren Aspekt wird ein Verfahren zur Steuerung eines Aktuators zum Bewegen we- nigstens einer Komponente einer medizinischen Vorrichtung bereitgestellt, wobei das Verfahren das Empfangen einer Anweisung zum Bewegen der Komponente über eine Benutzerschnittstelle an einem Benutzerschnittstellen-Mikrocontroller und das Abfragen von Daten des Benutzerschnittstellen- MikroControllers durch eine Steuereinrichtung umfasst. Anschließend werden die vom Benutzer- schnittstellen-Mikrocontroller abgefragten Daten in der Steuereinrichtung authentifiziert und der Aktuator wird entsprechend der Anweisung angesteuert, wenn die Authentifizierung in der Steuereinrichtung erfolgreich ist. Somit wird die Komponente der medizinischen Vorrichtung nur dann bewegt, wenn die Steuereinrichtung überprüft hat, dass ein gültiger Bewegungsbefehl von einem Benutzer eingegeben wurde und dass der Benutzerschnittstellen-Mikrocontroller fehlerfrei funktioniert.

Gemäß einiger Ausführungsformen kann der Schritt des Authentifizierens das Senden einer Sicherheitsabfrage, Challenge, von einem zweiten Mikrocontroller der Steuereinrichtung, über einen ersten Mikrocontroller der Steuereinrichtung an den Benutzerschnittstellen-Mikrocontroller, das Senden einer Antwort, Response, auf die Sicherheitsabfrage zusammen mit einem Bewegungsbefehl von dem Benutzerschnittstellen-Mikrocontroller an den ersten Mikrocontroller umfassen, und das Senden der Antwort von dem ersten Mikrocontroller an den zweiten Mikrocontroller umfassen. Anschließend kann die Antwort durch den zweiten Mikrocontroller zur Authentifizierung des Bewegungsbefehls überprüft werden. Somit kann die Kommunikation zwischen der Steuereinrichtung und dem Benutzerschnittstellen-Mikrocontroller vollständig über den ersten Mikrocontroller laufen, und es kann trotzdem ein Challenge-Response-Verfahren zwischen dem zweiten Mikrocontroller und dem Benutzerschnittstellen-Mikrocontroller realisiert werden, bei dem die jeweilige Challenge und Response von dem ersten Mikrocontroller jeweils nur weitergeleitet wird, ohne dass der erste Mikrocontroller die entsprechenden Daten weiter verarbeitet, auswertet oder verändert. Vorzugsweise kennt der erste Mikrocontroller auch nicht die korrekte Antwort auf die Sicherheitsabfrage des zwei- ten Mikrocontrollers, so dass bei einer Fehlfunktion des Benutzerschnittstellen-Mikrocontrollers nicht fälschlicherweise eine Antwort des ersten Mikrocontrollers im zweiten Mikrocontroller authentifiziert werden kann. Dabei kann der Schritt des Ansteuerns des Aktuators das Senden einer Bewegungsanweisung an den Aktuator durch den ersten Mikrocontroller und das Aktivieren einer Energiezufuhr des Aktuators durch den zweiten Mikrocontroller umfassen. Somit wird sichergestellt, dass die Komponente der medizinischen Vorrichtung nur dann bewegt wird, wenn beide Mikrocontroller die Authentizität der von dem Benutzerschnittstellen-Mikrocontroller empfangenen Daten verifiziert haben.

Gemäß einigen Ausführungsformen kann die Steuereinrichtung die Daten des Benutzerschnittstellen- MikroControllers in regelmäßigen Zeitabständen abfragen, und somit ein Polling-Verfahren realisieren.

Kurze Beschreibung der Zeichnungen

Beispielhafte Ausführungsformen der vorliegenden Erfindung werden nachstehend unter Bezugnahme auf die angehängten Zeichnungen beschrieben, in welchen gleiche Bezugszeichen jeweils gleiche oder einander entsprechende Elemente bezeichnen.

Fig. 1 zeigt einen beispielhaften Operationstisch mit ansteuerbaren Komponenten, bei dem die Vorrichtung und das Verfahren gemäß Ausführungsformen der vorliegenden Erfindung eingesetzt werden können.

Fig. 2 zeigt ein beispielhaftes Deckenstativ mit ansteuerbaren Komponenten, bei dem die

Vorrichtung und das Verfahren gemäß Ausführungsformen der vorliegenden Erfindung eingesetzt werden können.

Fig. 3 zeigt einen schematischen Überblick über eine Steuerungsvorrichtung gemäß einer ersten Ausführungsform der vorliegenden Erfindung.

Fig. 4 zeigt einen schematischen Überblick über eine Steuerungsvorrichtung gemäß einer zweiten Ausführungsform der vorliegenden Erfindung.

Fig. 5 zeigt ein Flussdiagramm eines Steuerungsverfahrens gemäß einer Ausführungsform der vorliegenden Erfindung.

Detaillierte Beschreibung

In der folgenden Beschreibung werden unter Bezugnahme auf die Zeichnungen beispielhafte Ausführungsformen der vorliegenden Erfindung beschrieben. Die Zeichnungen sind dabei nicht notwendigerweise maßstabsgetreu, sondern sollen die jeweiligen Merkmale lediglich schematisch illustrieren.

Dabei ist zu beachten, dass die nachstehend beschriebenen Merkmale und Komponenten jeweils miteinander kombiniert werden können, unabhängig davon, ob sie in Zusammenhang mit einer einzigen Ausführungsform beschrieben worden sind. Die Kombination von Merkmalen in den jeweiligen Ausführungsformen dient lediglich der Veranschaulichung des grundsätzlichen Aufbaus und der Funktionsweise der beanspruchten Vorrichtung und des beanspruchten Verfahrens. Dabei sind Merkmale, die in Zusammenhang mit einer Ausführungsform der erfindungsgemäßen Vorrichtung beschrieben werden, auch in Zusammenhang mit dem beanspruchten Verfahren einsetzbar und umgekehrt.

Fig. 1 zeigt schematisch einen Operationstisch 100, mit einem Fuß 101 und einer Patientenlagerfläche 102. Die Patientenlagerfläche 102 umfasst mehrere Komponenten 103-106, wie beispielsweise Rückenplatten, Kopfplatten, Beinplatten und dergleichen. Die Komponenten 101, 103-106 sind mit- tels Aktuatoren bewegbar, um die Patientenlagerfläche 102 in eine gewünschte Position zu verstellen. Ein Benutzer kann über eine nicht gezeigte Bedieneinheit Befehle zur Ansteuerung der Aktuatoren eingeben. Fig. 2 zeigt schematisch ein Deckenstativ 200, bei dem an einer zentralen Einheit 201 mehrere Arme 202, 203 angebracht sind, welche jeweils medizinische Geräte halten und in gewünschte Positionen bewegen können. Die Arme 202, 203 sind dabei mittels Aktuatoren bewegbar, wobei ein Benutzer über eine Bedieneinheit, die beispielsweise an der zentralen Einheit 201 angebracht sein kann, die Bewegung der Arme 202, 203 steuern kann.

Fig. 3 zeigt eine erste Ausführungsform der erfindungsgemäßen Vorrichtung 10. Dabei ist eine Benutzerschnittstelle 11 mit einer Benutzerschnittstellen-Platine (Ul Processing Board) 12 verbunden, welche wiederum mit einer Steuerplatine 13 und einer Ansteuerung 14 verbunden ist. Die Ansteuerung 14 stellt die Spannungsversorgung und die Bewegungsbefehle für wenigstens einen Aktuator 15 ei- ner medizinischen Vorrichtung, wie beispielsweise eines Operationstisches 100 oder eines Deckenstativs 200, bereit.

Die Benutzerschnittstelle 11 kann hierbei beispielsweise einen oder mehrere Folienschalter umfassen, welcher einerseits über einen ersten Kontakt, der über einen kapazitiven Sensor 17 realisiert werden kann, ein erstes Signal erzeugt, und wobei der Benutzer andererseits über ein Bedienelement 16, wie beispielsweise über eine Taste oder einen Knopf, ein Auswahlsignal für eine gewünschte Funktion eingeben kann. Gemäß einer Ausführungsform kann der kapazitive Sensor 17 eine Schaltfolie umfassen, die bei Berührung bzw. Druck aktiviert wird. Alternativ kann ein kapazitiver Sensor vorgesehen sein, der separat angebracht ist, vergleichbar mit einem separatem Freigabeschalter. Wenn das Bedienelement 16 als eine Folientastatur ausgeführt ist, kann jede Taste zwei Funktionen erfüllen, wobei bei Druck auf die Folie das erste Signal erzeugt werden kann, und über die entsprechende Taste eine Funktion aus gewählt werden kann. Das Foliensignal an der Folientastatur zeigt dabei nur an, dass das Bedienelement 16 überhaupt betätigt wurde, und zeigt nicht, welche Taste betätigt wurde, d.h. welche Funktion ein Benutzer ausgewählt hat.

Sicherheitskonzept: wenn μC kein Strom mehr hat, dann kann er keine falschen Befehle mehr schicken

Die Benutzerschnittstellen-Platine 12 umfasst einen Benutzerschnittstellen-Mikrocontroller (μθ) 18, welcher die Eingaben des Bedienelements 16 empfängt und verarbeitet, und eine Spannungsversorgung 19 für den Benutzerschnittstellen-Mikrocontroller 18. Die Spannungsversorgung 19 empfängt Eingangssignale von dem kapazitiven Sensor 17 und/oder von dem Bedienelement 16, um den Be- nutzerschnittstellen-Mikrocontroller 18 nur dann mit Energie zu versorgen, wenn ein Benutzer das Bedienelement 16 bzw. den ersten Kontakt 17 betätigt.

Über eine Daten- und Energieversorgungsleitung 21 ist die Benutzerschnittstellen-Platine 12 mit der Steuerplatine 13 verbunden. Somit besteht bei der gezeigten Ausführungsform zwischen der Benutzerschnittstellen-Platine 12 und der Steuerplatine 13 nur eine Verbindung über ein einziges Bussystem mit entsprechenden Schnittstellen 20, 22. Auf der Steuerplatine 13 sind zwei weitere Mikrocon- troller, μθΐ und μC2, vorgesehen, welche in Fig. 3 mit den Bezugszeichen 23 und 24 gekennzeichnet sind. Dabei ist nur der erste Mikrocontroller (μθΐ) 23 mit dem Bussystem 20, 21, 22 verbunden, und der zweite Mikrocontroller ^C2) 24 kommuniziert nur indirekt über den ersten Mikrocontroller 23 mit der Benutzerschnittstellen-Platine 12. Bei der gezeigten Ausführungsform ist weiterhin mindestens eine Bremse 25 vorhanden, welche die manuelle Verstellung von Elementen blockiert, welche nicht durch einen Aktuator 15 angetrieben sind.

Bei der in Fig. 3 gezeigten ersten Ausführungsform ist die Ansteuerung 14 separat von der Steuerplatine 13 vorgesehen und ist über eine erste Signalleitung 26 und eine zweite Stromversorgungsleitung 27 mit dieser verbunden. Über die Signalleitung 26 kann der erste Mikrocontroller 23 Befehle an den wenigstens einen Aktuator 15 ausgeben. Die Stromversorgung des Aktuators 15 wird wiederum über einen Schalter 28 der Ansteuerung 14 an- und ausgeschaltet, welcher vom zweiten Mikrocontroller 24 angesteuert wird. Hierbei kann vorgesehen sein, dass der zweite Mikrocontroller 24 die Funktion des Schalters 28 und des Aktuators 15 überwacht und gegebenenfalls Testsignale an den Schalter 28 und/oder an den Aktuator 15 sendet.

Fig. 4 zeigt eine zweite Ausführungsform der erfindungsgemäßen Vorrichtung 10. Die in Fig. 4 gezeigte Vorrichtung 10 unterscheidet sich von der in Fig. 3 gezeigten Vorrichtung darin, dass die Ansteue- rung 14 mit der Steuerplatine 13 integriert ausgebildet ist. Auch hierbei wird der wenigstens eine Aktuator 15 vom ersten Mikrocontroller 23 angesteuert, und eine Stromzufuhr des Aktuators 15 wird über einen Schalter 28 vom zweiten Mikrocontroller 24 aktiviert oder deaktiviert.

Die Funktion der in Fig. 3 und 4 gezeigten Vorrichtungen wird nachfolgend unter Bezugnahme auf Fig. 5 beschrieben.

Fig. 5 zeigt eine schematische Darstellung eines Verfahrens gemäß einer Ausführungsform. Das in Fig. 5 gezeigte Verfahren ist in vier Aspekte gegliedert: A. Dateneingabe

B. Verarbeitung

C. Empfangen und Umsetzen

D. Bewegung erzeugen Diese Aspekte werden nachfolgend unter Bezugnahme auf die in Fig. 3 und 4 gezeigten Elemente der Steuervorrichtung beschrieben:

A. Dateneingabe

Gemäß einer Ausführungsform wird in Schritt Sl an der Benutzerschnittstelle über einen kapazitiven Sensor oder dergleichen eine Betätigung eines Benutzers empfangen. Hierbei kann es sich um die Betätigung einer Freigabetaste durch den Benutzer oder um das Berühren der Folie einer Folientastatur durch den Benutzer handeln. Anschließend wird in Schritt S2 eine Energiezufuhr zum Benutzer- schnittstellen-Mikrocontroller 18 eingeschaltet. Der Benutzerschnittstellen-Mikrocontroller 18 liest dann in Schritt S3 einen vom Benutzer über die Benutzerschnittstelle eingegebenen Bewegungsbe- fehl (Schritt S4) aus. Bei dem Bewegungsbefehl kann es sich beispielsweise um ein Niederdrücken einer bestimmten Taste einer Folientastatur handeln, oder um das Betätigen eines Schalters oder dergleichen zur Auswahl einer bestimmten Bewegung und Bewegungsrichtung.

B. Verarbeitung

Bei der Verarbeitung sendet Benutzerschnittstellen-Mikrocontroller 18 keine Kommandos von sich aus weiter, sondern der erste Mikrocontroller 23 auf der Steuerplatine 13 triggert jede Datenübertragung über das Bussystem 20, 21, 22 und fragt zyklisch Daten vom Benutzerschnittstellen- MikroController 18 ab („Polling"-Verfahren, Schritt S5). Dabei ist der erste Mikrocontroller 23 immer aktiv, selbst wenn der Benutzerschnittstellen-Mikrocontroller 18 ausgeschaltet ist. Der erste Mikro- Controller 23 bestimmt dabei die Zeiten zwischen den einzelnen Abfragen einer Benutzerschnittstellen-Platine 12. Die Zeiten liegen hierbei im Millisekundenbereich.

Ist der Benutzerschnittstellen-Mikrocontroller 18 aktiviert, wenn eine Polling-Anfrage des ersten Mikrocontrollers 23 eintrifft, sendet er in Schritt S6 eine Antwort auf die Polling-Anfrage an den ers- ten Mikrocontroller 23. Diese Antwort kann bereits den vom Benutzer eingegebenen Bewegungsbefehl umfassen, kann aber auch lediglich eine Statusanzeige des Benutzerschnittstellen- MikroControllers 18 sein. C. Empfangen und Umsetzen

Beim Empfangen und Umsetzen der vom ersten Mikrocontroller 23 abgefragten Benutzerbefehle ist eine zweite Sicherung vorgesehen, durch den zweiten Mikrocontroller 24 auf der Steuerplatine 13. Bei der in Fig. 5 gezeigten Ausführungsform wird ein Challenge- esponse-Verfahren verwendet.

Hierzu kann der erste Mikrocontroller 23 zunächst in Schritt S7 den zweiten Mikrocontroller 24 aktivieren, welcher gemäß einer Ausführungsform somit nicht dauerhaft mit Energie versorgt werden muss. Alternativ kann auch vorgesehen sein, dass der zweite Mikrocontroller 24 dauerhaft aktiviert ist, und in Schritt S7 lediglich den Befehl erhält, eine Challenge zu erzeugen. In Schritt S9 sendet der zweite Mikrocontroller 24 die Challenge an den ersten Mikrocontroller 23, der selber weder die Challenge noch die dazugehörige korrekte Response kennt, und die Challenge in Schritt S10 somit nur an den Benutzerschnittstellen-Mikrocontroller 18 weiterleitet.

In Schritt Sil erzeugt der Benutzerschnittstellen-Mikrocontroller 18 die korrekte Antwort, Response, auf die Sicherheitsfrage, Challenge, die vom zweiten Mikrocontroller 24 erzeugt wurde, und anschließend fragt in Schritt S12 der erste Mikrocontroller 23 die Response über ein Polling-Verfahren vom Benutzerschnittstellen-Mikrocontroller 18 ab. Als Antwort auf die Anfrage des ersten Mikrocon- trollers 23 sendet in Schritt S13 der Benutzerschnittstellen-Mikrocontroller 18 die Response an den ersten Mikrocontroller 23, der die Response selbst nicht prüfen kann und sie in Schritt S14 unverän- dert an den zweiten Mikrocontroller 24 weiterleitet.

Der zweite Mikrocontroller 24 prüft in Schritt S15 die Response, die der Benutzerschnittstellen- MikroController 18 erzeugt hat. Bei einer richtigen Response ist sichergestellt, dass der Benutzer- schnittstellen-Mikrocontroller 18 angeschaltet ist und funktioniert. Wenn somit in Schritt S16 ermit- telt wird, dass die Response gültig ist, kann in Schritt S17 der zweite Mikrocontroller 24 den ersten Mikrocontroller 23 darüber informieren, dass das Challenge-Response-Verfahren erfolgreich abgeschlossen ist und dass somit der Benutzerschnittstellen-Mikrocontroller 18 authentifiziert ist. Sollte in Schritt S16 ermittelt werden, dass die Response nicht gültig ist, wird in S18 der Prozess abgebrochen, und kann beispielsweise durch eine erneute Benutzereingabe (Schritt Sl) wieder gestartet werden.

Parallel zur Überprüfung der Response durch den zweiten Mikrocontroller 24 kann der erste Mikrocontroller 23 in Schritt S19 einen Bewegungsbefehl vom Benutzerschnittstellen-Mikrocontroller 18 abfragen, falls der erste Mikrocontroller 23 nicht bereits beispielsweise auf die erste Abfrage in Schritt S5 oder auf die Abfrage der Response in Schritt S12 den Bewegungsbefehl erhalten hat. In diesem Fall sendet der Benutzerschnittstellen-Mikrocontroller 18 den Bewegungsbefehl in Schritt S20 auf die entsprechende Anfrage des ersten Mikrocontrollers 23. Der erste Mikrocontroller 23 kann den Bewegungsbefehl dann beispielsweise auf Plausibilität, Kollisionsbedingungen oder dergleichen prüfen, und kann in Schritt S21 den zweiten Mikrocontroller 24 informieren, dass ein gültiger Bewegungsbefehl vorliegt.

Beim voranstehend beschriebenen Verfahren kann in einer sogenannten Nachlaufzeit die Situation auftreten, dass der Benutzerschnittstellen-Mikrocontroller 18 noch aktiv ist, obwohl der Benutzer keinen Knopf am Bedienelement mehr drückt. In diesem Fall wird das Challenge-Response-Verfahren noch zu einer korrekten Response führen, aber der erste Mikrocontroller 1 erhält keinen gültigen Bewegungsbefehl. Während des gegenseitigen Informationsaustausches des ersten und zweiten Mikrocontrollers 23, 24 in den Schritten S17 und S21 kann somit sichergestellt werden, dass nur dann eine Bewegung erzeugt wird, wenn sowohl ein gültiger Bewegungsbefehl vorliegt, als auch sichergestellt wurde, dass der Benutzerschnittstellen-Mikrocontroller 18 authentifiziert ist. Das Vor- handensein einer gültigen Response alleine führt dabei bei der gezeigten Ausführungsform nicht direkt dazu, dass beispielsweise die Energiezufuhr der Aktuatoren aktiviert wird, und das Vorhandensein eines gültigen Bewegungsbefehls alleine führt ebenfalls nicht direkt dazu, dass dieser an die Aktuatoren gesendet wird. Somit kann auch während der Nachlaufzeit sichergestellt werden, dass die Aktuatoren nicht fälschlicherweise mit Energie versorgt oder gar aufgrund eines möglicherweise nicht mehr aktuellen Bewegungsbefehls bewegt werden, wenn der Benutzerschnittstellen- MikroController 18 noch aktiv ist, der Benutzer aber keinen weiteren Befehl mehr eingegeben hat.

D. Bewegung erzeugen

Um schließlich eine Bewegung der Aktuatoren zu erzeugen, nachdem der Benutzerschnittstellen- MikroController 18 authentifiziert wurde und der Bewegungsbefehl geprüft wurde, aktiviert in Schritt S22 der zweite Mikrocontroller 24 die Energiezufuhr des Aktuators bzw. der Aktuatoren, und der erste Mikrocontroller 23 leitet in Schritt S23 den Bewegungsbefehl an die Ansteuerungs-Platine 14 weiter, von der aus die Aktuatoren 15 angesteuert werden.

Bei dem voranstehend beschriebenen Verfahren wird nur ein einziger Benutzerschnittstellen- MikroController 18 verwendet. Es können jedoch auch mehrere, unterschiedliche Eingabegeräte vor- gesehen sein, welche jeweils als unabhängige Benutzerschnittstelle ausgeführt sind, und welche jeweils einen separaten zugeordneten Benutzerschnittstellen-Mikrocontroller 18 aufweisen. Das voranstehend beschriebene Konzept kann dabei auch für solche Anwendungsfälle skaliert werden, wenn mehrere Benutzerschnittstellen-Platinen 12 am Datenbus der Steuerplatine 13 angehängt werden, da jede einzelne Benutzerschnittstellen-Platine nur solange aktiv ist, wie der Anwender sie bedient. Die indirekte Datenübertragung zwischen dem zweiten Mikrocontroller 24 und dem Benutzerschnitt- stellen-Mikrocontroller 18 über den ersten Mikrocontroller 23 hat die Vorteile, dass der Bus 20, 21,

22 nur von dem ersten Mikrocontroller 23 gesteuert und getaktet werden kann, ohne dass weitere Prozessoren über die gleiche Leitung kommunizieren. Dies vereinfacht die Synchronisation und das Timing bei der Datenübertragung, da keinerlei Konkurrenz oder Kollision auftreten kann.

Die voranstehend beschriebenen Ausführungsformen der vorliegenden Erfindung gewährleisten somit eine sichere Ansteuerung von Aktuatoren der medizinischen Vorrichtung, auch ohne dass die an der Steuerung der Aktuatoren beteiligten Hardwarekomponenten vollständig redundant ausgelegt werden müssen. Es ist insbesondere nicht erforderlich, eine redundante Kommunikationsleitung, mit entsprechenden redundanten Bussystemen, zwischen einer Benutzerschnittstelle und einer Steuereinrichtung vorzusehen, da gemäß den voranstehend beschriebenen Ausführungsformen auch mit einer einzigen Datenverbindung ein Challenge- esponse-Verfahren realisiert werden kann, um die fehlerfreie Funktion des Benutzerschnittstellen-Mikrocontrollers 18 und des ersten Mikrocontrollers

23 der Steuerplatine 13 mittels eines zweiten Mikrocontrollers 24 zu überprüfen. Somit kann sicher- gestellt werden, dass sowohl die Eingabe von Anweisungen durch den Benutzer, als auch die Ausgabe von Bewegungsanweisungen durch den ersten Mikrocontroller 23 fehlerfrei erfolgen.