DE102004049771A1

DE102004049771A1 - Verfahren zum Betreiben eines modular aufgebauten Feldgerätes der Automatisierungstechnik

Info

Publication number: DE102004049771A1
Application number: DE102004049771A
Authority: DE
Inventors: Walter Borst; Oliver Seifert; Ole Koudal
Original assignee: Endress and Hauser Flowtec AG; Flowtec AG
Current assignee: Endress and Hauser Flowtec AG
Priority date: 2004-10-12
Filing date: 2004-10-12
Publication date: 2006-04-13
Also published as: EP1800193B1; DE502005007634D1; WO2006040238A1; ATE435447T1; EP1800193A1

Abstract

Bei einem Verfahren zum Betreiben eines modular aufgebauten Feldgerätes der Automatisierungstechnik, das mehrere austauschbare Elektronikmodule M1, M2 aufweist und das Softwarefunktionalitäten besitzt, die über einen Sicherheitscode SC freischaltbar sind, wird geprüft, ob eines der Module ausgetauscht wurde und ob eines der Module einen gültigen Sicherheitscode aufweist. Ein gültiger Sicherheitscode liegt vor, wenn der gespeicherte Wert des Sicherheitscodes mit einem aus der Seriennummer des Feldgerätes berechneten Wert übereinstimmt. DOLLAR A Liegt eine plausible Seriennummer und ein gültiger Sicherheitscode in einem der Module vor, so werden die Softwarefunktionalitäten entsprechend dem/den gültigen Sicherheitscode(s) SC freigeschaltet. Falls keine plausible Seriennummer vorliegt, erfolgt eine Sperrung aller Softwarefunktionalitäten, die über Sicherheitscodes freischaltbar sind.

Description

Die Erfindung betrifft ein Verfahren zum Betreiben eines modular aufgebauten Feldgerätes der Automatisierungstechnik gemäß dem Oberbegriff des Anspruchs 1.
Beispiele für Feldgeräte sind Füllstandsmessgeräte, Massedurchflussmessgeräte, Druck- und Temperaturmessgeräte, etc., die als Sensoren die entsprechenden Prozessvariablen Füllstand, Durchfluss, Druck bzw. Temperatur erfassen.
Zur Beeinflussung des Prozesses dienen Aktoren, wie zum Beispiel Ventile oder Pumpen, die es ermöglichen, den Durchfluss einer Flüssigkeit in einem Rohrleitungsabschnitt oder den Füllstand in einem Behälter zu ändern.
Allgemein werden Feldgeräte prozessnah eingesetzt um prozessrelevante Informationen zu liefern oder zu verarbeiten.
Eine Vielzahl solcher Feldgeräte wird von der Firma Endress+Hauser hergestellt und vertrieben.
Mit zunehmender Tendenz werden Feldgeräte über moderne Kommunikationssysteme (Profibus, Foundation Fieldbus, HART, etc.) mit übergeordneten Einheiten, zum Beispiel Leitsystemen oder Steuereinheiten verbunden. Diese dienen zur Prozessvisualisierung, Prozessüberwachung oder zur Inbetriebnahme des Kommunikationssystems sowie zur Prozesssteuerung.
Heutige Feldgeräte sind häufig modular aufgebaut. Dadurch können Feldgeräte bei der Herstellung sehr einfach an unterschiedliche Kundenwünsche angepasst werden.
Sehr oft bestehen Feldgeräte aus einzelnen Modulen, einem Netzteilmodul, einem Verstärkermodul und einem Ein/Ausgabemodul, wobei das Netzteilmodul und das Ein-/Ausgabemodul meist als ein einziges Modul ausgebildet sind.
Die Funktionalitäten eines Feldgeräts werden neben der Hardware auch in zunehmendem Masse durch die eingesetzte Gerätesoftware (Firmware) bestimmt.
Häufig weisen Feldgeräte neben Basisfunktionen noch zusätzliche Softwarefunktionalitäten auf, die nur über entsprechende Sicherheitscodes freigeschaltet werden können. Die numerischen Werte der Sicherheitscodes werden im Feldgerät auf der Basis der Seriennummer des betreffenden Gerätes mit Hilfe von mathematischen Algorithmen gewonnen. Nur wenn der am Feldgerät eingegebene Sicherheitscode mit dem Wert des berechneten Codes übereinstimmt, wird die zu diesem Sicherheitscode gehörende Funktionalität freigeschaltet.
Sicherheitscodes müssen normalerweise vom Anwender direkt bei der Inbetriebnahme des Feldgerätes direkt am Feldgerät über ein Display mit Tastatur bzw. über ein tragbares Bediengerät eingegeben werden.
Eine Alternative bieten Speicherchips, in denen der Sicherheitscode abgespeichert ist und die am oder im Feldgerät in einen entsprechenden Steckplatz einzusetzen sind. Ein derartiger Speicherchip ist aus der Europäischen Patentschrift EP 1093069 bekannt. Unter der Bezeichnung F-Chip bietet die Firma Endress+Hauser einen Speicherchip für ihre Feldgeräte der Linie „Proline" an.
Ein Vorteil, den die Speicherchip-Lösung für Sicherheitscodes bietet, besteht darin, dass der Anwender den Chip auch bei anderen baugleichen Geräten einsetzen kann, um gleiche Softwarefunktionalitäten freizuschalten.
Insbesondere nach einer Reparatur eines Feldgerätes, wenn z. B. ein Austausch eines Elektronikmoduls erforderlich war, kann der Speicherchip ohne Probleme weiterhin eingesetzt werden.
Außerdem bietet ein Speicherchip eine relativ hohe Sicherheit gegen das unberechtigte Kopieren von Sicherheitscodes.
Bei einigen Feldgeräten ist der Einsatz eines derartigen Speicherchips jedoch nicht möglich, weil mechanisch und bautechnisch bedingt, kein Raum für einen entsprechenden Steckanschluss im oder am Feldgerätegehäuse zur Verfügung steht.
Eine Alternative zu einem Speicherchip besteht darin, den Sicherheitscode fest in einem Speicher, auf den der Hauptprozessor des Feldgerätes Zugriff hat, abzuspeichern und die Gültigkeit des Codes bei der Inbetriebnahme des Gerätes jeweils zu prüfen.
Es ist jedoch nicht auszuschließen, dass bei einer Reparatur eines Feldgerätes das Elektronikmodul mit dem Speicher, in dem der Sicherheitscode abgespeichert ist, ausgetauscht werden muss, so dass der Sicherheitscode nach einer Reparatur nicht mehr verfügbar ist.
In diesem Fall muss der Anwender bei der erneuten Inbetriebnahme des Feldgerätes nach der Reparatur den Sicherheitscode nochmal eingeben. Ein solches Verfahren ist für den Anwender äußerst aufwendig und zeitraubend. Die betreffende Person, die die Inbetriebnahme durchführt, kennt möglicherweise den Sicherheitscode nicht und muss diesen erst aufwendig in Erfahrung bringen. Eventuell ist Person, die das Feldgerät installiert nicht zur Eingabe eines Sicherheitscodes berechtigt oder nicht qualifiziert.
Aufgabe der Erfindung ist es deshalb, ein Verfahren zum Betreiben eines modular aufgebauten Feldgerätes der Automatisierungstechnik anzugeben, das die oben genannten Nachteile nicht aufweist, das insbesondere auch nach einer Reparatur des Feldgerätes eine einfache Inbetriebnahme ermöglicht.
Gelöst wird diese Aufgabe durch die im Anspruch 1 angegebenen Merkmale.
Die wesentliche Idee der Erfindung besteht darin, bei der Inbetriebnahme des Feldgerätes zuerst eine Prüfung durchzuführen, ob ein Austausch eines Elektronikmoduls stattgefunden hat. Hierzu wird in jedem Elektronikmodul des Feldgerätes werkseitig die Seriennummer des Feldgerätes abgespeichert. Austauschmodule weisen lediglich einen Defaultwert als Seriennummer z. B. 000000 auf.
Über eine Plausibilitätsprüfung der Seriennummer lässt sich deshalb leicht feststellen, ob das betreffende Modul ausgetauscht wurde.
Falls ein Modulaustausch stattgefunden hat und das Modul deshalb keine plausible Seriennummer aufweist, wird die plausible Seriennummer eines anderen Moduls in dieses Modul übernommen.
Am Ende dieser Abgleichprozedur weisen alle Module die gleiche Seriennummer nämlich die „richtige" Seriennummer des Gerätes auf.
Nach der Prüfung, ob ein Modulaustausch stattgefunden hat, erfolgt die Prüfung, ob in einem der Module ein gültiger Sicherheitscode gespeichert ist. Wird festgestellt, dass in einem Elektronikmodul ein ungültiger Sicherheitscode gespeichert ist, so wird dieser gegen einen gültigen Sicherheitscode eines anderen Elektronikmoduls ausgetauscht.
Entsprechend dem/den gültigen Softwarecode(s) werden die zugehörigen Softwarefunktionalitäten freigeschaltet.
Für den Fall dass keines der Elektronikmodule eine plausible Seriennummer aufweist, erfolgt die Sperrung aller zusätzlichen Softwarefunktionalitäten, die über Sicherheitscodes freigeschaltet werden können.
Ein wesentlicher Vorteil, den die Erfindung bietet, besteht darin, dass auch beim Austausch von Elektronikmodulen normalerweise keine manuelle Eingabe des Sicherheitscodes bei der Inbetriebnahme von Feldgeräten notwendig ist.
Weiterhin ist gewährleistet, dass in allen Modulen eines Feldgerätes die „richtige" Geräte-Seriennummer und der gleiche Sicherheitscode abgespeichert sind.
Nachfolgend ist die Erfindung anhand eines in der Zeichnung dargestellten Ausführungsbeispiels näher erläutert.
Es zeigen:
1 Kommunikationsnetzwerk der Automatisierungstechnik;
2 Explosionsdarstellung eines modular aufgebauten Feldgerätes;
3 Blockschaltbild eines Feldgerätes gemäß 2;
4 Flussdiagramm;
5 vereinfachte Darstellung der im Feldgerät gespeicherten Daten nach Durchführung des erfindungsgemäßen Verfahrens.
In 1 ist ein Kommunikationsnetzwerk KN der Automatisierungstechnik näher dargestellt. An einen Datenbus D1 sind mehrere Rechnereinheiten, Workstations WS1, WS2, angeschlossen. Diese Rechnereinheiten dienen als übergeordnete Einheiten zur Prozessvisualisierung, Prozessüberwachung und zum Engineering sowie zum Bedienen und Überwachen von mehreren Feldgeräten. Der Datenbus D1 arbeitet zum Beispiel nach dem Profibus DP-Standard oder nach dem HSE (High Speed Ethernet-Standard) der Foundation Fieldbus. Über eine Zwischeneinheit Z z. B. ein Controller, eine speicherprogrammierbare Steuerung (SPS) oder ein Gateway, das auch als Linking Device oder als Segmentkoppler bezeichnet wird, ist der Datenbus D1 mit einem Feldbussegment SM1 verbunden. Das Feldbussegment SM1 besteht aus mehreren Feldgeräten F1, F2, F3, F4, die über einen Feldbus FB miteinander verbunden sind. Bei den Feldgeräten F1, F2, F3, F4 handelt es sich sowohl um Sensoren wie auch um Aktoren. Der Feldbus arbeitet nach einem der bekannten Kommunikationsstandards der Automatisierungstechnik Profibus, Foundation Fieldbus oder HART.
In 2 ist die Elektronik eines modular aufgebauten Feldgerätes in einer Explosionsdarstellung näher dargestellt. Die Geräteelektronik besteht im Wesentlichen aus zwei Elektronikmodulen; einem Hauptmodul, dem Verstärkermodul M1, und einem I/O-Modul, dem Ein-/Ausgabemodul M2. Die Module sind über entsprechende Steckverbinder miteinander verbindbar. Zur Datenübertragung zwischen den Modulen M1 und M2 dient ein IIC-Bus. Weiterhin ist eine Anzeige-/Bedieneinheit 4 vorgesehen, die mit dem Verstärkermodul M1 über eine Kabelverbindung 5 anschließbar ist.
Im Verstärkermodul M1 erfolgt im Wesentlichen die Signalverarbeitung des vom Sensor gelieferten Messsignals.
Das Ein/Ausgabemodul M2 dient hauptsächlich zur Datenkommunikation und weist hierfür verschieden Signalausgänge (z. B. Stromausgänge, Impulsausgänge) bzw. eine Feldbusschnittstelle (HART, Profibus, Foundation Fieldbus) auf. Die Module M1, M2 sowie die Anzeige- /Bedieneinheit 4 sind in einem Gehäuse 10 mit einem aufschraubbaren Gehäusedeckel 12 angeordnet.
In 3 ist ein Blockschaltbild der Geräteelektronik gemäß 2 näher dargestellt. Das Verstärkermodul M1 besteht im Wesentlichen aus einer Signalverarbeitungseinheit SE mit einem nachgeschaltetem Mikrocontroller μC. Die Signalverarbeitungseinheit SE, die einen Analog-/Digitalwandler umfassen kann, dient zur Vorverarbeitung eines Messsignals, das von einem Messaufnehmer MA (z. B. Temperaturfühler) geliefert wird. Die weitere Signalverarbeitung findet im Mikrocontroller μC statt. Als Datenspeicher E1 dient ein EEPROM-Speicher.
Über ein Ein-/Ausgabemodul M2 mit einer I/O-Einheit kann die Messinformation an übergeordnete Einheiten weitergeleitet werden. Die I/O-Einheit kann einen Impulsausgang, einen Frequenzausgang oder eine Feldbusschnittstelle besitzen.
Neben der I/O-Einheit weist das Ein-/Ausgabemodul M2 noch einen EEPROM-Speicher als Datenspeicher E2 und ein Netzteil NT, das zur Spannungsversorgung der Geräteelektronik dient, auf.
Nachfolgend ist das erfindungsgemäße Verfahren anhand des in 4 dargestellten Flussdiagramms näher erläutert:
Bei der Inbetriebnahme des Feldgerätes wird u. a. überprüft, welche Softwarefunktionalitäten für dieses Gerät freizuschalten sind.
Hierzu ist ein entsprechendes Programm im Mikrocontroller μC des Verstärkermoduls M2 implementiert.
In einem ersten Verfahrensschritt A erfolgt eine Prüfung, ob das Verstärkermodul M1 ausgetauscht wurde. Hierzu wird der Speicherwert für die Seriennummer des Feldgerätes aus dem Datenspeicher E1 des Moduls M1 ausgelesen und einer Plausibilitätsprüfung unterzogen.
Falls die im Verstärkermodul M1 gespeicherte Seriennummer nicht plausibel ist, erfolgt ein Prüfung, ob das Ein-/Ausgabemodul M2 ausgetauscht wurde. Hierzu wird die im Speicher E2 des Ein-/Ausgabemoduls M2 gespeicherte Seriennummer ausgelesen und einer Plausibilitätsprüfung unterzogen.
In einem Verfahrensschritt B wird, falls z. B. das Ein/Ausgabemodul M2 eine plausible Seriennummer und das Verstärkermodul M1 keine plausible Seriennummer aufweist, die plausible Seriennummer des Ein/Ausgabemoduls M2 in das Verstärkermodul M1 übertragen.
In einem Verfahrensschritt C erfolgt die Überprüfung, ob in einem der Elektronikmodule M1 oder M2 ein gültiger Sicherheitscodes SC abgespeichert ist. Falls in einem Modul ein ungültiger Sicherheitscode SC gespeichert ist, wird gegebenenfalls der gültige Sicherheitscode eines anderen Moduls in dieses Modul in einem Verfahrensschritt D übertragen. Falls mehrere Sicherheitscodes vorliegen, erfolgt eine weitere Überprüfung, ob in einem der Elektronikmodule M1 oder M2 ein weiterer gültiger Sicherheitscodes SC abgespeichert ist.
Im Verfahrensschritt E erfolgt das Freischalten der zu dem/den gültigen Softwarecode(s) gehörenden Softwarefunktionalitäten.
Falls beide Elektronikmodule M1 und M2 eine nicht plausible Seriennummer bzw. in keinem der beiden Module gültige Sicherheitscodes SC vorliegen, werden in einem Verfahrensschritt F alle Softwarefunktionalitäten, die über Sicherheitscodes freischaltbar sind, gesperrt.
Erfindungsgemäß wird im Feldgerät mit Hilfe eines entsprechenden Algorithmus aus der Seriennummer des Gerätes ein Sicherheitscode-Wert berechnet. Bei der Prüfung, ob ein gültiger Sicherheitscode vorliegt, wird der berechnete Wert des Sicherheitscodes mit dem gespeicherten Wert eines Sicherheitscodes verglichen. Nur wenn beide Werte übereinstimmen, liegt ein gültiger Sicherheitscode vor. Normalerweise erfolgen die Überprüfung des Sicherheitscodes und die Plausibilitätsprüfung der Seriennummer im Verstärkermodul M1, das als Mastermodul dient. Dies trifft zum Beispiel bei einem Feldgerät mit einer HART-Schnittstelle zu. Diese Geräte werden einfach als HART-Geräte bezeichnet.
Handelt es sich bei dem Feldgerät um ein Profibus-Gerät, also ein Feldgerät mit einer Profibus-Schnittstelle, so ist das Ein-/Ausgabemodul M2 das Mastermodul.
Der Grund hierfür liegt darin, dass bei busfähigen Feldgeräten, ein bzw. mehrere Sicherheitscodes SC nur über entsprechende Bedienwerkzeuge eingegeben werden können, die direkt auf das Ein-/Ausgabemodul M2 als Mastermodul zugreifen. Das Ein-/Ausgabemodul M2 reicht die vom Bedienwerkzeug angesprochenen Dienste gegebenenfalls zum Verstärkermodul M1 weiter.
Mit dem erfindungsgemäßen Verfahren ist gewährleistet, dass in jedem Elektronikmodul des Feldgerätes identische Seriennummer und identische Softwarecodes SC abgespeichert sind, dies ist nochmal in 5 anschaulich dargestellt. Die im Verstärkermodul M1 gespeicherte Seriennummer SN stimmt mit der im Ein-/Ausgabemodul M2 gespeicherten Seriennummer SN überein.
Bei dem betreffenden Feldgerät sind zwei Sicherheitscodes SC1 und SC2 in den beiden Modulen M1 und M2 abgespeichert. Auch diese stimmen jeweils überein.
Durch das angegebene Verfahren wird die Inbetriebnahme von Feldgeräten nach einer Reparatur, bei der einzelne Module des Feldgeräts ausgetauscht wurden, erheblich vereinfacht. Der Anwender kann das Feldgerät sofort in Betrieb nehmen. Er muss keine Softwarecodes aufwendig von Hand eingeben. Für den Fall, dass mehrere Module gültige Softwarecodes bzw. plausible Seriennummern aufweisen sind die Werte des jeweiligen Mastermoduls entscheidend. In diesem Fall werden immer die Daten vom Mastermodul in das/die anderen Module übertragen.

Claims

Verfahren zum Betreiben eines modular aufgebauten Feldgerätes der Automatisierungstechnik, das mehrere austauschbare Elektronikmodule M1, M2 aufweist und das Softwarefunktionalitäten besitzt, die über einen Sicherheitscode SC freischaltbar sind, gekennzeichnet durch folgende Verfahrensschritte: A. Prüfung ob im Feldgerät ein Modulaustausch stattgefunden hat, indem mindestens die im Datenspeicher E1 des Elektronikmoduls M1 abgespeicherte Seriennummern SN ausgelesen und der Speicherwert einer Plausibilitätsprüfung unterzogen wird B. Falls das Modul M1 keine plausible Seriennummer und das Modul M2 eine plausible Seriennummer SN aufweist, wird die plausible Seriennummer SN in das Elektronikmodul M1 übertragen C. Prüfung ob im Feldgerät ein gültiger Sicherheitscode SC vorliegt, indem mindestens der im Datenspeicher E1des Elektronikmoduls M1 abgespeicherte Sicherheitscode SC ausgelesen wird und der Speicherwert mit dem berechneten Wert des Sicherheitscode verglichen wird D. Bei Vorliegen eines ungültigen Sicherheitscodes im Elektronikmodul M1 und eines gültigen Sicherheitscodes SC im Elektronikmodul M2 wird der gültige Sicherheitscode in das Elektronikmodul M1 übertragen E. Freigabe der Softwarefunktionalitäten entsprechend dem/den gültigen Sicherheitscode(s) SC F. Falls keine plausible Seriennummer vorliegt, Sperrung aller Softwarefunktionalitäten, die über Sicherheitscodes freischaltbar sind
Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass der Sicherheitscode SC von der Seriennummer SN des Feldgeräts abhängig ist und mit Hilfe eines entsprechenden Algorithmus im Feldgerät berechnet wird und eine Prüfung ob ein gültiger Sicherheitscode vorliegt, dadurch erfolgt, dass der berechnete Wert des Sicherheitscodes mit dem gespeicherten Wert des Sicherheitscodes verglichen wird.
Verfahren nach Anspruch 2, dadurch gekennzeichnet, dass Austausch-Modulen eine Seriennummer zugewiesen wird (z. B. 0000000), die einfach als nicht plausibel erkennbar ist.
Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass das Feldgerät mindestens zwei Elektronikmodule, ein Verstärkermodul M1 und ein Ein/Ausgabemodul M2 aufweist.
Verfahren nach Anspruch 4, dadurch gekennzeichnet, dass die Überprüfung der Sicherheitscodes SC und die Plausibiltätsprüfung der Seriennummern SN in einem Master-Modul erfolgt.
Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass bei HART-Feldgeräten, das Verstärkermodul M1 das Master-Modul ist.
Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass bei Profibus-Feldgeräten, das Ein/Ausgabemodul M2 das Master-Modul ist.
Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass in einem Feldgerät mehrer Sicherheitscodes (z. B. SC1, SC2) für unterschiedliche Funktionalitäten gespeichert sind.