[发明专利]用于防止和检测安全关键型显示器上的危险误导信息的方法和系统

说明书

一种基于对象的完整性验证方法(330)，用于检测包含在图形处理单元的输出图像中的危险误导性信息，包括以下步骤：标识输出图像中的多个安全关键图形对象(步骤332)；为每个安全关键图形对象分配一个对象ID代码(步骤334)；创建一个对象验证数据库(步骤336)；使用对象ID代码作为颜色成分来渲染一个单色参考ID代码图像(步骤342T.1和步骤342C.1)；验证每个安全关键图形对象的位置、形状和颜色信息(步骤342S.4、步骤342T.5及步骤342C.6)，并使用上述单色参考ID代码图像来跟踪安全关键图形对象之间的可见性和重叠属性(步骤342T.5及步骤342C.6)；检测和评估故障状况(步骤346)；并在通告故障状况的同时提供适当的警告级别和适用的纠正措施(步骤350)。

技术领域

本发明涉及安全关键型显示器的应用，特别是用于防止和检测安全关键型飞机驾驶舱显示器上的危险误导信息(HMI)的方法和系统。

背景技术

主飞行显示器(PFD)是驾驶舱中的一种现代飞机仪表。PFD在一个集成显示屏上向飞行员提供最关键的飞行信息，如姿态、空速、高度、垂直速度和航向。驾驶舱中还有多功能显示器(MFD)用于导航、天气、地形避开、发动机显示和机组人员警报系统。图1显示了一个在典型的商用飞机上经过简化了的驾驶舱乘员站10。主飞行显示器(PFD#1)12和多功能显示器(MFD#1)14安装在驾驶舱左侧的机长面前。多功能显示器(MFD#2)18和主飞行显示器(PFD#2)20安装在驾驶舱右侧的副驾驶面前。待命飞行仪表16安装在两个多功能显示器MFDs14和18之间。

在一个主飞行显示器PFD发生故障的情况下，上述PFD屏幕可以通过一个回归方案显示在相邻的多功能显示器MFD的屏幕上。这种多冗余显示器的架构可确保关键飞行信息始终提供给机组人员使用。但是，在实行这一回归方案之前，系统或机组人员必须检测到故障情况。如果错误信息在给定的情况下看起来是正确且可信的，则机组人员可能无法检测到这些错误信息。这种不正确的信息变得具有误导性，并可能产生危险后果，取决于其性质和给定的飞行状况。

美国联邦航空管理局(FAA)在其咨询通告(AC)文件AC25-11B的第4.7.4节中提供了一系列故障状况、相关危险分类和有关的安全目标。例如，在单一主飞行显示器上显示误导性飞行姿态信息被归类为危险，其定性概率为“极遥远”。根据FAA文件AC25-19A中确定的概率定义，在单一主飞行显示器PFD上显示危险误导飞行姿态信息的概率必须在1×10^-7等级或更低。危险误导性信息的示例包括(但不限于)过时的飞机信息、冻结的显示屏、缺失的符号或图形被显示在不正确的位置，授予错误的颜色或亮度。

大多数航空电子设备系统使用商用现成(COTS)图形处理单元(GPU)来生成驾驶舱显示屏。正如FAA认证机构软件团队(CAST)CAST-29号立场文件指出的，COTS图形处理器(CGP)最初是为非安全关键型和非航空航天应用设计的，通常不遵循RTCA DO-254中指定的设计保证指南。因此，使用供应商的设计保证流程作为可接受的验证手段将是非常困难，也不实际。即使驾驶舱显示软件是基于RTCA DO-178开发的，而且复杂电子硬件(CEH)是根据RTCA DO-254流程开发的，驾驶舱显示系统仍必须包含体系结构缓解措施，以确保防止因使用CGP而显示有害误导性信息。系统还必须评估检测到的任何故障的可信性和严重性，以避免任何虚假、不必要、分散注意力、混乱和恼人的警报。