CN101858773B

CN101858773B - 包括两个处理器的现场设备

Info

Publication number: CN101858773B
Application number: CN201010141481.XA
Authority: CN
Inventors: 温弗里德·劳尔; 马丁·盖泽; 曼弗雷德·科普; 拉尔夫·舍茨勒
Original assignee: Vega Grieshaber KG
Current assignee: Vega Grieshaber KG
Priority date: 2009-04-01
Filing date: 2010-03-26
Publication date: 2014-01-15
Anticipated expiration: 2030-03-26
Also published as: US8321155B2; US20100256921A1; CN101858773A; EP2236999A1; EP2236999B1

Abstract

本发明涉及包括两个处理器的现场设备。根据本发明的示例性实施例，阐述了一种用于测量容器中介质的填充水平、压力或密度的现场设备，该现场设备包括彼此分离的两个处理器。第一处理器对应于较低安全标准，而第二处理器对应于较高安全标准。现场设备中涉及安全的功能在第二处理器中实现。对于安全来说不太关键的功能在第一处理器中实现。在这两个处理器之间的数据交换通过操作系统来控制。

Description

包括两个处理器的现场设备

相关申请的引用

本申请要求于2009年4月1日提交的欧洲专利申请第EP 09 157117.4号的利益，其公开内容通过引用合并于此，并要求2009年4月1日提交的美国临时专利申请第61/165,703号的利益，其公开内容通过引用合并于此。

技术领域

本发明涉及填充水平测量、压力测量和密度测量。具体来说，本发明涉及例如用于用以测量容器中介质的填充水平、压力或密度的现场设备或用于评估设备的电子单元；涉及用于测量并确定容器中介质的填充水平、压力或密度的方法；涉及程序单元和计算机可读介质。

背景技术

涉及填充水平测量、压力测量和/或密度测量领域中的“功能安全”的开发通常要求大量时间的努力和开发队伍的资质。

用于实现安全功能的测量设备或评估设备通常可以具有非用来实现安全功能的附加功能。通常，可能需要从非面向安全的功能可能对安全功能具有的任何反应的角度来对非面向安全的功能进行评估。

这可能也导致通常被认为关键的这些功能，这可能带来开发费用支出的增加。

发明内容

希望具有一种满足较高安全需求的用于填充水平测量、压力测量或密度测量的电子单元。

所阐述的是根据本发明的一个示例实施例的一种用于容器中介质的填充水平测量、压力测量或密度测量的电子单元以及一种用于测量和确定容器中介质的填充水平、压力和/或密度的方法。还阐述了本发明的其它示例性实施例。

所描述的示例性实施例同等地涉及电子单元和方法。换句话说，以下提及的关于电子单元的特征也可以在该方法中实现，反之亦然。

根据本发明的示例性实施例，阐述了一种用于容器中的介质的填充水平测量、压力测量或密度测量的(例如模块化的)电子单元，该电子单元包括第一处理器和第二处理器，其中第一处理器和第二处理器被设计用于执行程序模块；其中第二处理器被设计用于比第一处理器满足更高的安全要求；并且其中电子单元被设计成(例如通过执行相应的程序模块)利用第一处理器仅实现对于安全来说不关键的程序模块，并且(例如通过执行其它程序模块)利用第二处理器实现对于安全来说关键的程序模块。

通过这种方式可以实现电子单元中对于安全来说关键的程序模块与电子单元中对于安全来说不关键的程序模块(例如，诊断、数据记录、统计、测量值显示)的分离。

由于两个处理器的分离，所以在电子单元中执行的多种程序模块，即对于安全来说不关键的程序模块或不涉及安全的程序模块的开发可以比具有其它程序模块的情况的费用更少。因此，可以使用已经在手边的或买来的软件部件或硬件部件，这些部件不必满足关于安全完整性的更严格的要求。

关于(随后在一个处理器上执行的)程序模块或功能要被考虑成对于安全来说关键还是对于安全来说不关键的问题取决于该功能需要满足的安全要求等级。该安全要求等级(也称为安全完整性等级(SIL))是来自功能安全领域的术语。所针对的安全完整性等级规定对于故障风险来说要满足的与安全相关的构造原理以满足要被满足的要求。

如果功能被分类成对于安全来说关键，这意味着例如该功能需要满足SIL3或甚至SIL4或SIL2的要求。如果功能未被分类成对于安全来说关键或者对于安全来说仅较低程度关键，这意味着例如需要满足SIL0或SIL1的要求。

当第一处理器被设计成实现对于安全来说不关键的专有功能或程序模块时，本文中对用于实现对于电子单元的安全来说关键的功能或程序模块的第二处理器的任何引用指的是比第一处理器满足更加严格的安全要求的第二处理器。例如，第二处理器满足安全要求SIL3或SIL4，或者在特定实施例中仅SIL2，而第一处理器仅满足标准SIL0或SIL1。

根据本发明的另一个示例性实施例，电子单元也被设计成在没有第二处理器的情况下操作。具体来说，电子单元可以具有模块化设计，使之可以容易地被装配以用于特定应用。

根据本发明的再一个示例性实施例，第一处理器和第二处理器被设计成用于互相进行数据交换。

换句话说，涉及安全的功能可以在第二处理器上实现。如果第一处理器向第二处理器请求特定数据，则第二处理器可以将该数据传送给第一处理器(反之亦然)。但是，该数据交换通过控制程序来监视，使得一种类型的“防火墙”被建立在通过两个处理器分别实现的两个处理之间，以防止不希望的数据交换。

根据本发明的又一个示例性实施例，此外还提供一种实时操作系统，其满足电子单元的安全要求，并被设计成控制两个处理器之间的数据交换。

这种操作系统可以被安装在中央。在每种情况中，一个操作系统也可以被安装在处理器中的一个上。

根据本发明的另一个示例性实施例，两个处理器彼此分离，使得在第二处理器的存储设备中的数据独立于在第一处理器的存储设备中的数据。

所存储的数据主体因此而彼此分离。如果需要进行数据交换，则该数据交换由操作系统来协调。

根据本发明的另一个示例性实施例，对于安全来说关键的功能例如是基于电子单元的测量传感器获得的传感器测量数据来进行测量值确定。同样地，该功能可以是基于已经确定的测量值和/或测量值输出和/或对电子单元或现场设备的特定功能的诊断来得到其它测量值。

根据本发明的再一个示例性实施例，对于安全来说不关键的功能例如是建立现场设备和外部通信单元之间的连接，记录带有关于时间的对应状态信息的测量值，显示测量值，以及/或者在现场设备中设置值。

根据本发明的又一个示例性实施例，现场设备被设计成填充水平雷达。在这种布置中，与外部通信单元的通信是基于Profibus标准或基金会现场总线(Foundation Fieldbus)标准来进行的。这该布置中，第二处理器被设计成实现对于安全来说关键的通信层，而第一处理器被设计成实现对于安全来说不关键的通信层。

根据本发明的另一个示例性实施例，第二处理器包括用于存储程序模块的数据存储设备，其中，数据存储设备被划分成至少一个第一存储区域和一个第二存储区域，这些存储区域彼此分离。第一存储区域存储电子单元或现场设备进行安全操作所需的、并且因而被分类成对于安全来说关键的那些程序模块，而第二存储区域存储被设置成用于传送被提供到第一处理器的数据。

根据本发明的再一个示例性实施例，两个存储区域形成存储设备管理单元的部分，例如是存储管理单元(MMU)。存储设备管理单元用于分离程序模块以及存储在各存储区域中的数据。存储设备管理单元可以是微处理器的附加外部部件。此外，存储设备管理单元可以被集成在微处理器中。存储设备管理单元尤其还控制存储设备保护任务。例如，可以封锁单个存储区域以防止其由限定的程序模块来执行或者防止进一步写入。

根据本发明的又一个示例性实施例，实现两个存储区域的分离，使得存储在第一存储设备中的值不会被无意间改变，从而，存储在第一存储设备中的数据独立于存储在第二存储设备中的数据而被存储。

根据本发明的示例性实施例，现场设备是使用雷达信号、引导微波信号、超声波信号或电容信号的填充水平测量设备，或者是基于辐射测量原理的填充水平测量设备。该现场设备还可以被设计成限制量(limit-level)测量设备。

根据本发明的另一个示例性实施例，电子单元形成评估设备或显示和操作设备的部分。

根据本发明的再一个示例性实施例，阐述了一种用于借助于电子单元来测量和确定容器中介质的填充水平、压力和/或密度的方法，在该方法中，对于安全来说关键的程序模块通过电子单元的第二处理器来实现，并且在该方法中，仅对于安全来说不关键的程序模块通过电子单元的第一处理器来实现，其中第二处理器被设计用于比第一处理器满足更高的安全要求。

下面将参考附图对本发明的示例性实施例进行描述。

附图说明

图1a示出了根据本发明的示例性实施例的具有输入部和输出部的两个处理器；

图1b以示例性方式示出了根据本发明的示例性实施例的用于填充水平雷达设备的电子装置；

图2示出了根据本发明的另一个示例性实施例的用于现场设备的电子装置的说明图；

图3示出了根据本发明的再一个示例性实施例的用于现场设备的电子装置的说明图；

图4示出了根据本发明的又一个示例性实施例的填充水平测量设备；

图5示出了根据本发明的示例性实施例的方法的流程图；

图6示出了根据本发明的示例性实施例的用于评估设备的电子装置的说明图。

具体实施方式

附图中的图例是图解性的并且不按比例。

在以下对附图的描述中，相同的附图标记用于相同或相似的元件。

图1a示出了根据本发明的示例性实施例的具有输入部和输出部的两个处理器。第一处理器102用于实现对于安全来说不关键的功能，而第二处理器101用于实现对于安全来说关键的功能。这两个处理器可以彼此通信。第一处理器102接收通信信号或操作信号，而第二处理器接收对于安全来说关键的输入数据。第一处理器包括非SIL输出部604，而第二处理器包括SIL输出部603。

图1b以示例性方式示出了用于填充水平雷达设备的电子装置，其包括第二微控制器或处理器101以及第一微控制器或处理器102。图1到3中所示的电子模块可以被安装在各种现场设备或评估设备中，例如安装在填充水平雷达设备中。应该注意到，根据本发明的具有其两个处理器的电子模块还可以用于压力测量设备或密度测量设备。

图1的示例性实施例提供了电源组103，其为HF前端104提供能量。HF前端104连接到测量天线105。通过天线105接收的测量信号经由HF前端104而被传递到放大器106。放大器106将放大的接收信号传送给第二处理器101，该第二处理器101控制通过电流输出部107输出的测量值。为了测量值的显示，电流输出部107被耦合到电源组103并进而例如耦合到4～20mA的双线环路。

该测量值当然还可以通过其它通信协议而被传输到外部设备，例如以通过无线连接的无线方式。

第二处理器101以可通信方式(双向)连接到第一处理器102，其中确保数据不会无意间从第一处理器传送到第二处理器。第一处理器102被耦合到图形输出单元(显示器)109以便于图形化测量的数据。

此外，第一处理器102连接到HART总线108，第一处理器102可以将数据传输到该HART总线108。HART总线108以可通信(双向)方式连接到电流输出部107。

此外，第二处理器101可以例如按控制环路的方式接入HF前端104和放大器106。

一种发明的用于过程变量的测量设备被构造使得其包括至少两个处理器。也可以提供更大数量的处理器。一个处理器承担要被分配给安全功能的任务，例如，控制硬件、测量并输出测量值。另一个处理器102执行对于安全来说不关键的任务，例如操作或通信。这两个处理器彼此通信。

这样，对于安全来说关键的软件部件和硬件部件以及对于安全来说不关键的软件部件和硬件部件彼此分离。对于安全来说不关键的部件不能损害安全功能。安全标准仅需要应用于设备中执行对于安全来说关键的功能的那些部分。这导致了可以尽更少的努力来开发的更耐用的设备。

在设备中，存在对于安全来说关键的任务和对于安全来说不关键的任务之间的这种分离。因此不必根据安全标准来开发所有软件部件和硬件部件。

图2示出了电子模块的另一个示例性实施例，其中也提供彼此分离的两个处理器101和102。

一个处理器(即对于安全来说关键的处理器101)包括彼此分离的存储区域201和202。虚线207表示两个存储区域之间的边界。

此外，提供实时操作系统203，其控制这两个分离的存储区域201和202之间的通信(见通信路径208和209)。

第一存储区域201耦合到测量换能器105(例如雷达天线或压力传感器)并且被提供以测量值。在该区域201中，运行对于安全来说关键的程序模块。如果另一个处理器102向处理器101请求数据，则该数据借助于操作系统203从第一存储区域201传送到第二存储区域202，并且随后通过通信路径206传送到另一个处理器102的存储区域204。

处理器102通过分离的操作系统205被控制。

这样，提供了双分离。首先，两个处理器101和102彼此分离，其次，并且处理器101的存储区域201、202彼此分离。这样可以进一步提高安全性。

图3示出了电子模块的另一个示例性实施例，其也包括两个处理器101和102。这两个处理器包括彼此分离的存储区域201和202以及204和302。

例如，数据从一个处理器的包括特别优良的安全特征的第一存储区域201到第二存储区域202的传送仅能够单向进行。来自于第二存储区域202的数据不能达到第一存储区域201。

这样，可以进一步提高数据的安全性。

两个处理器之间的数据交换仅可以发生在一个处理器101的第二存储区域202和另一个处理器102的第一存储区域204之间。处理器102的操作系统205控制处理器102的两个存储区域204和302之间的数据交换。

同样，在该处理器中，两个存储区域204和302彼此分离(见虚线301)。

如果现场设备是根据雷达原理的填充水平测量设备，则第二处理器被设计用于控制HF前端、控制放大器和计算测量值，以及控制对应于测量值的电流输出部。第一处理器控制显示和操作模块，并负责通信。可以例如根据HART标准来进行通信。

如果现场设备是通过Profibus标准或基金会现场总线标准进行通信的现场总线设备，则第二处理器还实现通信的安全关键层。第一处理器实现通信的低层，其对于安全来说不关键。

可以完全以这种方式设计辐射测量填充水平传感器或密度传感器。

图4示出了安装在罐404中的填充水平测量设备100，其包括具有两个彼此分离的处理器101和102的电子模块。填充水平测量设备100在供给材料402表面的方向上发送测量信号401。该测量信号从供给材料表面反射，并且相应的接收信号403随后由填充水平测量设备100获得并被评估。通过通信模块405可以进行与外部评估单元406的通信。与外部评估单元的通信可以以有线方式或无线方式进行。

图5示出了根据本发明的示例性实施例的方法的流程图。在步骤501中，现场设备中对于安全来说关键的功能通过第二处理器来实现。在步骤502中，现场设备中对于安全来说不关键的功能通过第一处理器来实现。在步骤503中，数据在两个处理器之间交换。该数据交换通过现场设备的实时操作系统来控制。

图6示出了根据本发明的示例性实施例的评估设备的电路。该评估设备连接到填充水平传感器100。其还可以连接到压力传感器或密度传感器，或连接到用于一些其它物理量的传感器。

评估设备的特征在于其模块化设计，这使得对于安全来说关键的任务和对于安全来说不关键的任务可以分离。

具体来说，评估设备包括两个处理器101和102。第一处理器102位于已知为评估设备的对于安全来说不关键的路径中，该路径满足相对低的安全标准。另一个处理器101被设置在评估设备的对于安全来说关键的路径中，该路径满足更加严格的安全标准。

对于安全来说关键的路径和对于安全来说不关键的路径通过虚线框611和612示出。

电子模块(或者测量设备或评估设备)被设计成包括至少两个处理器101和102。一个处理器101承担要被分配给安全功能的功能，例如，控制SIL输出部、测量、实现需要的诊断措施。第二个处理器102实现对于安全来说不关键的任务，例如，操作或通信，并控制非SIL输出部。两个处理器101和102彼此通信。为此，提供通信线610，该通信线610例如在参数存储设备628和分离过滤器634之间。参数存储设备629也连接到分离过滤器634。

基于来自于传感器100、通过A/D转换器606提供的传感器的值，处理器101实现测量值的计算，并相应地控制SIL输出部603。SIL输出部603可以是中继设备或电流输出部。如果它是电流输出部，则对所述电流输出的诊断需要另一个A/D转换器605，其在相应的SIL输出部和处理器101之间切换。

A/D转换器606通过线608连接到处理器101。此外，该转换器606通过线609连接到另一个处理器102。

还基于通过A/D转换器606提供的传感器的值，布置在对于安全来说不关键的路径612中的处理器102执行对测量值的计算，并以这种方式控制非SIL输出部604。此外，处理器102负责操作传感器以及(例如在传感器和显示以及操作设备之间的)通信。为此，提供相应连接，例如通过这种方式，计算机613(例如通过USB接口、RS232接口或以太网接口)或设备操作单元607可以被连接。可以通过PC 613来进行通信。

由于评估设备的模块化设计，在评估设备的非SIL设计中，以下情况是可行的：没有实现安全功能的处理器101、以及没有A/D转换器605和SIL输出部603。在这种情况下，全部传感器数据通过通信线609而被传送到处理器102。作为对于安全来说关键的软件部件和硬件部件以及对于安全来说不关键的软件部件和硬件部件之间的模块化分离的结果，仅存在用于电子单元的SIL实施例和非SIL实施例的不同的硬件组件。

在对于安全来说关键的路径中代替提供一个传感器100，还可以在对于安全来说关键的路径中连接若干传感器。这些传感器的值可以通过处理器102和处理器101两者来处理。此外，另外的传感器还可以仅连接到处理器102。这些传感器是仅可用于对于安全来说不关键的路径中的测量值处理的传感器。

因此在对于安全来说关键的软件和硬件部件以及对于安全来说不关键的软件和硬件部件之间存在分离。对于安全来说不关键的部件不能损害安全功能。安全标准仅需要应用于设备中位于对于安全来说关键的路径中的那些部件。结果是，作为配备有一个处理器的结果的评估设备或一般而言是电子单元可以被用于对于安全来说不关键的应用中，而如果它们配备有两个或更多个处理器，则它们还可以用于对于安全来说关键的应用中。

这样，在对于安全来说不关键的应用中，可以没有对于安全来说关键的路径。也不需要在对于安全来说关键的这种路径中提供诊断电路。

模块化设计使得可以在不使用专用的新固件的情况下通过简单的重新配备或不配备来装配对于安全来说关键的应用的实施例，以及装配第二个更简单的对于安全来说不关键的应用的实施例。

此外，应该指出的是，“包括”并不排除其它元件或步骤，并且“一”或“一个”并不排除复数的数量。此外，应该指出的是，已经参考上述一个示例性实施例所描述的特征或步骤还可以与上述其它示例性实施例的其它特征或步骤联合使用。权利要求中的附图标记不应被理解为限制。

Claims

1.一种用于容器中的介质的填充水平测量、压力测量或密度测量的电子单元，该电子单元包括：

第一处理器(102)；以及

第二处理器(101)，

其中第一处理器(102)和第二处理器(101)被设计用于执行程序模块；

其中第二处理器(101)被设计用于比第一处理器(102)满足更高的安全要求；并且

其中该电子单元被设计成利用第一处理器(102)仅实现对于安全来说不关键的程序模块，并且利用第二处理器(101)实现对于安全来说关键的程序模块。

2.根据权利要求1所述的电子单元，

其中所述第一处理器(102)和所述第二处理器(101)被设计用于互相进行数据交换。

3.根据权利要求2所述的电子单元，还包括：

实时操作系统；

其中所述实时操作系统(203)满足所述电子单元的安全要求，并被设计成控制所述处理器(101，102)之间的数据交换。

4.根据权利要求1所述的电子单元，

其中两个所述处理器(101，102)彼此分离，使得在所述第二处理器(101)的存储设备(201)中的数据独立于在所述第一处理器(102)的存储设备(204)中的数据。

5.根据权利要求1所述的电子单元，

所述对于安全来说关键的程序模块从包括以下的组中选择：基于传感器测量数据来确定测量值；基于已经确定的测量值来获得进一步的测量值；输出测量值；以及诊断。

6.根据权利要求1所述的电子单元，

其中所述对于安全来说不关键的程序模块从包括以下的组中选择：建立至外部通信单元(405)的连接；记录带有关于时间的状态信息的测量值；显示测量值；以及在现场设备中设置值。

7.根据权利要求1所述的电子单元，

其中所述电子单元形成填充水平传感器、压力测量设备或密度测量设备(100)的部分。

8.根据权利要求7所述的电子单元，适用于与外部通信单元(405)进行通信；

其中所述通信基于Profibus标准或基金会现场总线标准来进行；

其中所述第二处理器(101)实现对于安全来说关键的通信层，并且其中所述第一处理器(102)实现对于安全来说不关键的通信层。

9.根据权利要求1所述的电子单元，

其中所述电子单元形成评估设备或显示和操作设备的部分。

10.根据权利要求1所述的电子单元，

其中所述第二处理器(101)包括用于存储程序模块的数据存储设备；

其中所述数据存储设备被划分成至少一个第一存储区域(201)和一个第二存储区域(202)，这些存储区域彼此分离；

第一存储区域(201)存储现场设备(100)进行安全操作所需的、并且因而被分类成对于安全来说关键的程序模块；

其中所述第二存储区域(202)存储被设置成用于传送被提供到第一处理器(102)的数据。

11.一种用于借助于电子单元来测量和确定容器中介质的填充水平、压力或密度的方法，该方法包括以下步骤：

借助于电子单元的第一处理器(102)仅实现对于安全来说不关键的程序模块；以及

借助于电子单元的第二处理器(101)实现对于安全来说关键的程序模块，

其中第二处理器(101)被设计用于比第一处理器(102)满足更高的安全要求。