CN101738237A - 从安全相关区域转移对安全功能有影响的部件 - Google Patents

Abstract

根据本发明的一种实施方式，公开了一种用于高度测量、压力测量或密度测量的电子模块，其中安全相关的功能被转移到归为非安全关键类的区域。为了防止故障，在电子模块的安全关键区域执行诊断功能以便检查所转移的功能。在以安全为导向的操作过程中还检查该诊断功能的有效性。在检测到错误的情况下会启动适当的措施。

Description

从安全相关区域转移对安全功能有影响的部件

相关申请的交叉引用

本申请要求2008年11月4日提交的欧洲专利申请No.08168296.5和2008年11月4日提交的美国临时专利申请No.61/111,097的优先权，就此将这些申请的公开内容以参引的方式结合到本文中。

技术领域

本发明涉及高度、压力以及密度的测量。本发明具体涉及用于高度测量、压力测量或密度测量的电子模块；用于测量和确定容器中的介质的高度、压力或密度的方法；现场装置；控制装置；以及显示及操作单元。

背景技术

要实现的安全要求等级决定了技术装置的功能是归类为安全关键的还是非安全关键的。安全要求等级是源于功能安全领域的术语，又称为安全完整性等级(safety integration level，SIL)。希望的安全要求等级限定了需要观测的装置的以安全为导向的构造原理，从而使得故障的风险满足具体的要求。

如果某种功能被归类为安全关键的，这意味着，例如，该功能需要满足SIL3级甚至4级的要求。如果某种功能被归类为非安全关键的，这意味着，例如，该功能不必满足SIL要求。

在很多情况下，在高度测量、压力测量或密度测量领域中执行安全功能(比如，在SIL的意义上)的技术装置其内部包括两个区域。一个区域是负责安全功能的安全关键区域或者安全相关区域。另一个区域是不影响安全功能的非安全关键区域。

根据安全等级，属于装置的安全相关区域的所有硬件和软件部件不仅在装置的开发阶段而且在装置的整个寿命周期内都需要很多时间和努力。相反，在非安全相关区域中的软件和/或硬件部件通常可以以更简单和更具成本效益的方式开发和维护。

在装置的规划阶段，对安全功能有直接影响的部件通常被分配到安全相关区域，使得可以根据安全功能要求开发这些部件。然而，这并非在所有的情况下都绝对必要并且可能导致不必要的高花费和高成本。

发明内容

本发明提出了如独立权利要求的特征部分所述的用于例如容器内介质的填充高度测量、压力测量或密度测量的电子模块；具有电子模块的现场装置、具有电子模块的控制装置、具有电子模块的显示及操作单元；以及用于测量和确定容器中介质的填充高度、压力或密度的方法。本发明的其它改进在从属权利要求中公开。

所描述的实施方式同样涉及所述的电子模块、现场装置、控制装置、显示及操作单元以及方法。换而言之，以下参照电子模块描述的特点也可以在现场装置、控制装置、显示及操作单元或者方法中实现，反之亦然。

根据本发明的一种实施方式，公开了用于高度测量、压力测量和/或密度测量的电子模块，其中所述电子模块的特点在于第一区域和第二区域。所述第一区域归为安全关键类而所述第二区域归为非安全关键类。所述电子模块设计用于执行安全功能，其中所述第二区域设计用于执行电子模块的归为安全关键类且影响安全功能的转换的功能(即，从第一区域外包到第二区域中的功能)。

换而言之，将通常需要分配到安全相关区域的部件或功能从该安全关键区域转移到非安全关键区域。这会使得能够降低与该部件的开发和集成相关的花费。

这样可以使得能够获得改进的用于高度测量、压力测量和/或密度测量的电子部件。

根据本发明的另一种实施方式，被归为安全关键类的第一区域设计成尤其用于执行诊断功能，该诊断功能使得能够检查是否在第二区域中执行了转移的功能。

因此，功能上影响安全功能的部件被转移到非安全相关区域中。这可能意味着这个部件无须再满足安全功能的高质量要求。然而，由于在安全相关区域中采取了诊断措施(诊断功能)，因此特别是如果现在转移的部件对安全功能有负面影响，那么可以确保能够检测到它们的所有错误。

根据本发明的另一种实施方式，诊断功能设计成用于检测转移的功能的所有已知错误，即已知可能在某时刻发生的所有错误。

根据本发明的又一种实施方式，归为安全关键类的第一区域还设计用于采取适当的措施，其中如果上述诊断功能在转移的功能中发现错误，就会采取这些措施。例如，诊断部件可以不执行任何超过诊断范围的动作。这些动作仍然留给需要布置在第一区域中的其它部件。

缺陷可以修复，并且如果适用，还可以通过采取适当的措施消除缺陷源。如果都不能，系统会转入预定的安全状态。该状态一直持续到诊断出转移的功能的故障。

因此，可以在电子模块的安全关键操作过程中周期性检验诊断的有效性。例如，可以短暂模拟某种故障，以便检查诊断措施的有效性。

因此可以排除转移的功能(部件)中的缺陷降低安全功能的质量的情况发生。

根据本发明的另一种实施方式，所述转移的功能设计成连续控制电子模块的内部变量。例如，这可能涉及对高度传感器的某一频率的控制。该频率的精度可能影响测量的精确度。在这种情况下，所述控制可以包括例如微控制器形式的控制程序以及电路。

根据本发明的又一种实施方式，所述转移的功能设计用于调整4至20mA双线回路的电流输出。在这种情况下，经调整的电流输出对应于测量值并用于传输该测量值。

根据本发明的再一种实施方式，所述转移的功能包括：基于传感器的测量数据来确定测量值；基于已确定的测量值来推导其它测量值；或者，输出测量值。

还可以将若干功能从安全相关区域转移到非安全相关区域中。

根据本发明的另一种实施方式，所述电子模块集成到高度测量装置、压力测量装置或密度测量装置中。

根据本发明的又一种实施方式，所述电子模块集成到用于高度测量装置、压力测量装置或密度测量装置的控制装置中。

根据本发明的再一种实施方式，所述电子模块集成到用于高度测量装置、压力测量装置或密度测量装置的显示及操作单元中。

根据本发明的另一种实施方式，公开了一种具有上述电子模块的现场装置。

根据本发明的另一种实施方式，公开了一种具有上述电子模块的控制装置。

根据本发明的另一种实施方式，公开了一种具有上述电子模块的显示及操作单元。

根据本发明的另一种实施方式，公开了一种用于通过现场装置测量和确定容器中的介质的高度、压力或密度的方法，其中在电子模块的归为安全关键类的第一区域中执行安全功能。此外，在电子模块的归为非安全关键类的第二区域中执行电子模块的转移的功能。该转移的功能涉及现场装置的归为安全关键类且影响安全功能的功能。

根据本发明的又一种实施方式，所述方法还包括下面的步骤：在所述第一区域中执行诊断功能，以便检查是否在所述第二区域中执行了所述转移的功能；如果在所述转移的功能中检测出错误则采取适当的措施；以及周期性地检查所述诊断功能的有效性。

当然也可以例如根据实施单独的高度、压力或密度测量所采用的频率在在不规则的区间内检查诊断功能的有效性。由于诊断措施执行安全关键性功能，因此其应当将发现的错误上传至更高实体。该更高实体(通常是第一区域或者说安全关键区域中的特定部件)随后采取适当的措施。

可以看出，本发明的一个优点在于，在安全相关区域中采取诊断措施并在安全相关区域外实施所述部件比完全在安全相关区域中实施相应的部件会更容易且更具成本效益。

因为通过诊断功能对转移的功能进行检查，所以安全功能的质量并未因将直接有利于安全功能的复杂功能从安全相关区域转出到非安全关键区域中而降低。

下面参照附图描述本发明的实施方式。

附图说明

图1示出了根据本发明的一种实施方式的电子模块的图示。

图2示出了根据本发明的一种实施方式的测量系统的图示。

图3示出了根据本发明的一种实施方式的显示及操作单元、高度测量装置、密度测量装置和压力测量装置。

图4示出了根据本发明的一种实施方式的方法的流程图。

图5示出了根据本发明的另一种实施方式的电子模块的图示。

具体实施方式

附图示出了非真实比例的示意性图示。

在下面对附图的描述中，相同或者相似的元件用相同的附图标记表示。

图1示出了具有第一区域101和第二区域102的电子模块100。第一区域101归为安全关键类并且与归为非安全关键类的第二区域102分开(如虚线103所示)。

例如，安全关键区域包含例如第一处理器形式的第一子系统104，而第二区域102包含例如第二处理器形式的第二子系统105。

这两个区域还可以包含不同的数据存储器和电路等。

此外，设置有使两个子系统104、105能够互相通信的通信线路106。在这种情况下，例如也可以仅单向地实现数据交换，即仅实现从安全关键区域101到非安全关键区域102中的数据交换。

应当注意，能够以模块100的形式实现两个区域101、102，也能以彼此分开的两个部分模块的形式(图1中未示出)实现这两个区域。

此外，两个区域101、102中的特征还在于具有用于连接至外界的接口121和121。

因此，电子模块100具有两个区域，即负责安全功能的安全相关区域101和不影响安全功能的非安全相关区域102。一个可能影响安全功能的功能可以包括电子模块的非安全相关区域102中的子系统107中所产生的内部变量，并且这个内部变量由子系统105通过连接物109(校正变量)恒定地保持在预定值。如果在高度传感器中使用电子模块，这可能涉及例如一定频率的信号。这可能需要连续控制。

受控变量传输到安全关键区域中的子系统104同时也通过连接物108传输到非安全相关区域中的子系统105。

然而，在每种情况下，安全功能可能仅仅周期性地需要这种内部变量并且需要短暂的时段。

现在非安全相关区域中的诊断措施检查待控制内部变量在需要用于实现安全功能的同时是否在可容许范围内。

另外，在装置的以安全为导向的操作过程中周期性地检查诊断措施以便确保诊断措施的有效性。为此，可以有意虚构内部变量然后检查诊断措施是否对这个模拟的错误恰当的做出反应。例如，当安全功能不需要控制内部变量受到时，总是执行这种对诊断措施的联机检查。也可以在装置的诊断周期内仅执行一次这种检查。

这意味着所述控制自身被转移到非安全相关区域中，使得与在安全相关区域中实现该控制相比，可以降低用于该控制的花费并且可以提供额外的自由度。

例如，如果为了实施测量需要产生复杂的信号并且为了正确地产生信号需要通过诊断措施实施简单的检查，那么可以利用与频率控制中相同的方法，只要可以通过诊断措施发现并处理产生复杂信号时的所有可能错误。如果是这种情况，产生上述信号所需的所有部件都可以转移到非安全关键区域。然而，在这种情况下，需要在操作时在安全关键区域中执行对应的诊断措施以及对该诊断措施的功能性检查。

如果诊断措施不是以标准的诊断措施的形式即关键性降低的形式实现的，那么也可以免去操作时对诊断措施的功能性检查。由于在这种情况下，针对诊断措施的实现应用了更严的要求，因此使诊断措施的故障风险最小化到并非绝对需要在操作时对诊断措施进行功能性检查的程度。

所述方法可以在现场装置以及用于现场装置的控制装置或者评估及操作单元中实施。

图2示出了根据本发明的一种实施方式的测量系统，该测量系统可用于高度测量以及压力和密度测量。该测量系统的特征在于包括一个或多个高度传感器200、一个或多个压力传感器300和/或一个或者多个密度测量装置400。所有的传感器通过测量总线130连接到控制装置500。然后，控制装置500通过线路120和/或121连接到评估及操作单元600。

在根据图2的实施方式中，电子模块集成到控制装置500中。

图3示出了测量传感器以及评估及操作单元600的实施方式，电子模块100分别集成到测量传感器和评估及操作单元中。测量传感器包括高度测量装置200、压力测量装置300和密度测量装置400。

在这种情况下，集成电子模块100可以分别适应于这些不同的装置，即这些集成电子模块可以彼此不同。也可以将相同的设计成通用的电子模块100集成到所有的装置中。

图4示出了根据本发明的一种实施方式的方法的流程图。步骤400到405表示为了实现安全功能需要执行的动作。这些动作在安全关键区域中执行。

在步骤410到412中，执行用于控制内部变量的所有动作。这些动作在非安全关键区域中执行。在步骤410中，确定待控制的变量的实际值，其中在步骤411中通过控制算法确定校正变量并在步骤412中最终输出该校正变量。

这两个循环(步骤400到405和步骤410到412)以并行方式连续执行并且不同步。

在需要待控制的内部变量之前执行步骤400中的动作。在步骤401，执行利用待控制的内部变量的动作。步骤402与步骤401同时执行。在步骤402，执行动作时监测待控制的内部变量，此处这用于判定该内部变量是否处于需要观察的值的限定范围内，以便实现安全功能。

步骤403同样与步骤404同时执行。在步骤404，执行与步骤402中完全相同的动作(监测待控制的内部变量)。但是，与步骤401相反，在步骤403中不使用待控制的内部变量，而是使用有意虚构的变量。这必须在步骤404中由监测设备检测出并以信号告知。因此，步骤403执行对同样在步骤402和步骤404中运行的监测设备的联机检查。同样在步骤405中也不再需要待控制的内部变量。在该步骤中确定并输出安全相关测量结果。然而，如果在步骤402中判定在步骤401期间待控制的内部变量不在所需的范围值内或者对监测设备的联机检测失败，则在步骤405中不确定新的检测结果，而是采取针对这种错误的适当措施。

可以不必在每个测量周期中都执行步骤403和404。如果这些步骤在所述系统的诊断期间执行过一次就足够了。

图5示出了根据本发明的另一种实施方式的电子模块100的图示。该电子模块100具有第一区域101和第二区域102。

区域101是安全关键的而区域102是非安全关键的。为了使其明了，将区域101再划分为区域101a和101b。对于系统而言区域101a的重要性最高因此需要最高的开发费用。区域101b的重要性低于区域101a因此需要略低的开发费用。区域102没有重要性因此需要的开发费用比区域101a和101b低得多。

非安全关键区域102中的部件115影响电子模块100的安全功能并被转移出具有高安全等级的区域101而进入区域102。为了防止这样给安全功能带来负面影响，采取了两个措施。

首先，该电子模块的特征在于包括监测转移的部件115的特定部件113。在此，应当指出，名称“部件”可涉及本发明背景下的计算机程序和/或硬件。

因此，部件113是安全相关的因此首先需要分配到区域101。更具体地，113是标准的诊断部件因此可以分配到关键性降低的区域101b。

其次，该电子模块的特点还在于包括在以安全为导向的操作过程中检查部件113的功能的部件111。因此，这涉及对诊断装置的诊断，或者换而言之，涉及分别对诊断部件113或者诊断措施的联机检查。为了确保该联机检测对安全工程有效果，相应的部件111布置在高关键性区域101a中。

以这种方式，实现部件115的费用可以显著降低。但是，需要实现额外的部件111和113。如果用于实现部件115的费用减少所带来的节省超过用于实现部件111和113的额外费用，则能够以更具成本效益的方式实现电子模块100。

非安全关键区域102还包含不影响安全功能的部件114。关键性降低的区域101b包含用于诊断和/或监测的部件112。具有高安全等级的区域101a包含用于实现通过部件112进行监测的诊断功能形式的安全功能的部件110。

作为补充，应当指出，“包括”和“特征在于”并不排除其它元件或者步骤，并且“一个”也不排除多个。还应当指出，参照上述实施方式中的一种实施方式描述的特点或步骤也可以与上述实施方式中的其它实施方式的特点或步骤结合使用。权利要求书中的附图标记不应当从限制意义上理解。

Claims (15)

1.一种用于高度测量、压力测量或密度测量的电子模块，所述电子模块(100)包括：

第一区域(101)；以及

第二区域(102)；

其中，

所述第一区域(101)归为安全关键类；

所述第二区域(102)归为非安全关键类；

所述电子模块(100)设计用于执行安全功能；

所述第二区域(102)设计用于执行所述电子模块(100)的转移的功能；并且

所述转移的功能归为安全关键类并且影响所述安全功能。

2.如权利要求1所述的电子模块，

其中，所述第一区域(101)设计用于执行诊断功能，以便检查所述转移的功能在所述第二区域(102)中的执行情况。

3.如权利要求2所述的电子模块，

其中，所述诊断功能设计用于检测所述转移的功能中的错误。

4.如权利要求2或3所述的电子模块，

其中，所述电子模块(100)设计成如果在所述转移的功能中检测出错误则采取适当的措施。

5.如权利要求2至4中的一项所述的电子模块，

其中，所述电子模块(100)设计成周期性地检查所述诊断功能的有效性。

6.如前述权利要求中的一项所述的电子模块，

其中，所述转移的功能设计成连续地控制所述电子模块的内部变量。

7.如前述权利要求中的一项所述的电子模块，

其中，所述转移的功能设计成执行选自于以下群组的功能：基于传感器的测量数据确定测量值、基于已确定的测量值推导其它测量值、输出测量值和诊断结果。

8.如前述权利要求中的一项所述的电子模块，

其中，所述电子模块(100)集成到高度测量装置(200)、压力测量装置(300)或密度测量装置(400)中。

9.如权利要求1至7中的一项所述的电子模块，

其中，所述电子模块(100)集成到用于所述高度测量装置(200)、压力测量装置(300)或密度测量装置(400)的控制装置(500)中。

10.如权利要求1至7中的一项所述的电子模块，

其中，所述电子模块(100)集成到用于所述高度测量装置(200)、压力测量装置(300)或密度测量装置(400)的评估及操作单元(600)中。

11.一种具有如权利要求1至10中的一项所述的电子模块(100)的现场装置。

12.一种具有如权利要求1至10中的一项所述的电子模块(100)的控制装置。

13.一种具有如权利要求1至10中的一项所述的电子模块(100)的评估及操作单元。

14.一种用于通过现场装置测量和确定容器中介质的高度、压力或密度的方法，其中，所述方法的特征在于包括以下步骤：

在电子模块的归为安全关键类的第一区域中执行安全功能；以及

在所述电子模块(100)的第二区域中执行所述电子模块的转移的功能，所述转移的功能归为安全关键类并且影响所述安全功能，

其中，所述第二区域(102)归为非安全关键类。

15.如权利要求14所述的方法，其特征在于还包括以下步骤：

在所述第一区域中执行诊断功能，以便检查是否在所述第二区域中执行了所述转移的功能；

如果在所述转移的功能中检测出错误则采取适当的措施；以及

周期性地检查所述诊断功能的有效性。

Images