-
Die
Erfindung betrifft ein Verfahren zum sicheren Versenden von Daten
eines Feldgerätes
der Prozessautomatisierungstechnik.
-
In
der Prozessautomatisierungstechnik werden vielfach Feldgeräte eingesetzt,
die zur Erfassung und/oder Beeinflussung von Prozessvariablen dienen.
Beispiele für
derartige Feldgeräte
sind Füllstandsmessgeräte, Massedurchflussmessgeräte, Druck-
und Temperaturmessgeräte,
pH- und Leitfähigkeitsmessgeräte etc.,
die als Sensoren die entsprechenden Prozessvariablen Füllstand,
Durchfluss, Druck, Temperatur bzw. pH-Wert bzw. Leitfähigkeitswert
erfassen.
-
Zur
Beeinflussung von Prozessvariablen dienen Aktoren, die z. B. als
Ventile den Durchfluss einer Flüssigkeit
in einem Rohrleitungsabschnitt oder als Pumpen den Füllstand
in einem Behälter
steuern.
-
Als
Feldgeräte
werden auch Registriergeräte bezeichnet,
die vor Ort Messdaten aufzeichnen.
-
Eine
Vielzahl solcher Feldgeräte
wird von der Fa. Endress + Hauser hergestellt und vertrieben.
-
In
der Regel sind Feldgeräte
in modernen Automatisierungsanlagen über Feldbussysteme (HART, Profibus,
Foundation Fieldbus, etc.), mit übergeordneten
Einheiten (z. B. Leitsysteme oder Steuereinheiten) verbunden. Diese
Einheiten dienen unter anderem zur Prozesssteuerung, Prozessvisualisierung,
Prozessüberwachung.
-
Meist
sind die Feldbussysteme in Unternehmensnetzwerke integriert. Damit
kann aus unterschiedlichen Bereichen eines Unternehmens auf Prozess- bzw. Feldgerätedaten
zugegriffen werden.
-
Zur
weltweiten Kommunikation können
die Firmennetzwerke auch mit öffentlichen
Netzwerken, z. B. dem Internet verbunden sein.
-
Bei
der Kommunikation eines Feldgeräts
mit einer übergeordneten
Einheit, werden die zu versendenden Daten in einem Anwendungsprogramm
des Feldgeräts
erzeugt.
-
Bei
den Daten kann es sich um Messwerte, Alarmmeldungen etc. handeln.
In einem Kommunikations-Controller werden die zu versendenden Daten in
Feldbustelegramme verpackt, die gemäß dem verwendeten Feldbus spezifiziert
sind. In einer Anschalteinheit (Medium Access Unit MAU) werden die
Feldbustelegramme in Sendesignale umgewandelt, die den physikalischen
Anforderungen des Feldbusses entsprechen.
-
Insbesondere
bei sicherheitskritischen Anwendungen ist eine sichere und zuverlässige Datenübertragung
notwendig.
-
Bei
herkömmlichen
Feldgeräten
wird jedoch nicht geprüft,
ob die im Gerät
erzeugten Daten auch wirklich über
den Feldbus als Sendesignale von der Anschalteinheit versendet werden.
-
So
kann eine Alarmmeldung entweder gar nicht oder nicht entsprechend
der Feldbusspezifikationen übertragen
werden, so dass sie beim Empfänger
nicht ankommt oder für
diesen nicht lesbar ist.
-
Das
Anwendungsprogramm geht jedoch davon aus, dass das Telegramm mit
der Alarmmeldung richtig übertragen
und vom Empfänger
empfangen wurde. Es hat deshalb keine Veranlassung das betreffende
Telegramm nochmals zu versenden.
-
Aufgabe
der Erfindung ist es deshalb, ein Verfahren zum sicheren Versenden
von Daten eines Feldgerätes
der Prozessautomatisierungstechnik über einen Feldbus anzugeben,
das die oben genannten Nachteile nicht aufweist, dass insbesondere Fehler
bei der Datenübertragung
erkennt.
-
Gelöst wird
diese Aufgabe durch die im Anspruch 1 angegebenen Verfahrensmerkmale.
-
Vorteilhafte
Weiterentwicklungen der Erfindung sind in den Unteransprüchen angegeben.
-
Die
wesentliche Idee der Erfindung besteht darin, das Feldbustelegramm
beim Senden nochmals im betreffenden Feldgerät als Kontrollsignal einzulesen
und zu überprüfen.
-
Bei
dieser Überprüfung kann
festgestellt werden, ob das Feldbustelegramm richtig gesendet wurde.
-
Es
sind prinzipiell zwei unterschiedliche Analysenvarianten denkbar;
einmal im Hinblick auf den Dateninhalt und zum anderen im Hinblick
auf die Signalform.
-
So
wird im ersten Fall der im Kontrollsignal enthaltenen Datenwerte
mit dem Datenwert, der zum Versenden bereitgestellt wurde, vergleichen.
Dadurch können
Fehler beim Verpacken der Daten in Feldbustelegramme bzw. Fehler
bei der Signalerzeugung in der Anschalteinheit ausgeschlossen werden.
-
Im
zweiten Fall wird das Kontrollsignal auf seine physikalischen Eigenschaften
hin analysiert und mit Vorgabewerten verglichen.
-
Somit
ist gewährleistet,
dass das gesendete Signal gewisse Anforderungen der Feldbusspezifikation
hinsichtlich der Signalform erfüllt.
-
Werden
diese Anforderungen nicht erfüllt,
so kann durch eine entsprechende Nachregelung, das Sendesignal wieder
angepasst werden. Dadurch kann sichergestellt werden, dass das Feldbustelegramm
als „sauberes" Signal, das den
Feldbusspezifikationen entspricht, übertragen worden. Somit muss
das Signal auch beim Empfänger
prinzipiell empfangbar und damit auch lesbar sein.
-
Falls
Fehler bei der physikalischen Signalerzeugung oder beim Verpacken
der Daten auftreten und diese festgestellt werden, wird eine entsprechende
Fehlermeldung erzeugt und z. B. an das Leitsystem gesendet.
-
Erfindungsgemäß sind zwei
Anschalteinheiten im Feldgerät
vorgesehen, die identisch aufgebaut sind.
-
In
einer einfacheren Ausgestaltung der Erfindung ist nur eine einzige
Anschalteinheit vorhersehen.
-
Nachfolgend
ist die Erfindung anhand eines in der Zeichnung dargestellten Ausführungsbeispiels näher erläutert.
-
Es
zeigen:
-
1 Netzwerk
der Automatisierungstechnik in schematischer Darstellung;
-
2 Blockschaltbild
eines erfindungsgemäßen Feldgerätes;
-
3 Flussdiagramm
der einzelnen Verfahrensschritten des erfindungsgemäßen Verfahrens.
-
In 1 ist
ein Netzwerk der Automatisierungstechnik näher dargestellt. An einem Datenbus D1
sind mehrere Rechnereinheiten in kleinere Workstations WS1, WS2,
angeschlossen. Diese Rechnereinheiten dienen als übergeordnete
Einheiten (Leitsysteme bzw. Steuereinheiten), unter anderem zur Prozessvisualisierung,
Prozessüberwachung
und zum Engineering sowie zum Bedienen und Überwachen von Feldgeräten. Der
Datenbus D1 arbeitet z. B. nach dem Profibus DP-Standard oder nach
dem HSE (High Speed Ethernet)-Standard der Foundation Fieldbus.
-
Über ein
Gateway G1, das auch als Linking Device oder auch als Segment-Koppler bezeichnet wird,
ist der Datenbus D1 mit einem Feldbus-Segment SM1 verbunden. Das
Feldbus-Segment SM1 besteht aus mehreren Feldgeräten F1, F2, F3, F4, die über einen
Feldbus FB miteinander verbunden sind. Bei den Feldgeräten F1,
F2, F3, F4 kann es sich sowohl um Sensoren oder um Aktoren handeln.
Der Feldbus FB arbeitet entsprechend nach einem der bekannten Feldbusstandards
Profibus, Foundation Fieldbus oder HART.
-
In 2 ist
ein Blockschaltbild eines erfindungsgemäßen Feldgerätes z. B. F1 näher dargestellt.
Eine Mikroprozessor μP
ist zur Messwertverarbeitung über
einen Analog-Digital-Wandler A/D und einen Verstärker V mit einem Messaufnehmer
MA verbunden, der eine Prozessvariable (z. B. Druck, Durchfluss
oder Füllstand)
erfasst. Der Mikroprozessor μP
ist mit mehreren Speichern verbunden. Der Speicher VM dient als
temporärer
(flüchtiger)
Arbeitspeicher RAM. Ein weitere Speicher EPROM oder Flash-Speicher
FLASH dient als Speicher für
das im Mikroprozessor μP
auszuführende
Anwendungsprogramm. In einem nichtflüchtigen beschreibbaren Datenspeicher
NVM z. B. EEPROM-Speicher werden Parameterwerte (z. B. Kalibrierdaten
etc.) abgespeichert.
-
Das
im Mikroprozessor μP
ausgeführte
Anwendungsprogramm definiert die einzelnen Funktionalitäten des
Feldgerätes
(Messwertberechnung, Hüllkurvenauswertung,
Linearisierung der Messwerte, Diagnoseaufgaben etc.).
-
Weiterhin
ist der Mikroprozessor μP
mit einer Anzeigebedieneinheit A/B (z. B. LCD-Anzeige mit mehreren
Drucktasten) verbunden.
-
Zur
Kommunikation mit dem Feldbus-Segment SM1 ist der Mikroprozessor μP über einen Kommunikations-Controller
COM1 mit einer Feldbusschnittstelle FBS1, die auch als Anschalteinheit
oder als MAU (Medium Attache Unit) bezeichnet wird, verbunden. Ein
Netzteil NT liefert die notwendige Energie für die einzelnen Elektronikkomponenten
des Feldgerätes
F1. Es kann vom Feldbus FB gespeist werden oder von einer anderen
Energiequelle. Die Versorgungsleitungen für die Energieversorgung der einzelnen
Komponenten im Feldgerät
sind der Übersichtlichkeit
halber nicht eingezeichnet.
-
Zusätzlich zu
einem herkömmlichen
Feldgerät
sind bei dem erfindungsgemäßen Feldgerät F1 noch
ein zweiter Kommunikations-Controller
COM2 und eine zweite Feldbusschnittstelle FBS2 vorgesehen, die ebenfalls
mit dem Feldbus FB verbunden ist.
-
Nachfolgend
ist das erfindungsgemäße Verfahren
anhand 3 näher
erläutert.
-
In
einem ersten Verfahrensschritt a wird ein Datenwert im Anwendungsprogramm,
das im Mikrokontroller μP
des Feldgeräts
abläuft,
erzeugt.
-
Bei
diesem Datenwert kann es sich um einen Messwert oder eine Alarmmeldung
handeln.
-
Zum
Versenden über
den Feldbus FB muss dieser Datenwert in ein Feldbustelegramm verpackt werden
(Verfahrensschritt b). Das Feldbustelegramm besteht z. B. aus Startkennung,
Adressfeld, Controlbits, dem eigentlichen Datenfeld mit dem Datenwert, Prüfbits und
Endkennung. In der Feldbusschnittstelle FBS1 wird das Feldbustelegramm
in ein Sendesignal umgewandelt, das den physikalischen Spezifikationen
des eingesetzten Feldbusstandards entspricht bzw. entsprechen sollte
(Verfahrensschritt c).
-
Das
Sendesignal wird beim Versenden als Kontrollsignal erfasst (Verfahrensschritt
d). Dies kann mit der zweiten Feldbusschnittstelle FBS2 und dem zweiten
Kommunikations-Controller COM2 erfolgen. Alternativ ist auch die
Erfassung des Kontrollsignals mit der Feldbusschnittstelle FBS1
und dem Kommunikations-Controllers COM1 denkbar, wobei dann die beiden
Komponenten FBS2 und COM2 entfallen.
-
Anschließend erfolgt
eine Analyse des Kontrollsignals im Feldgerät (Verfahrensschritt e).
-
Es
besteht nun die Möglichkeit
das Kontrollsignal im Hinblick auf seine Signalform bzw. auf den Dateninhalt
hin zu analysieren um Fehler festzustellen.
-
Gemäß Anspruch
2 wird das Kontrollsignal in der Feldbusschnittstelle FBS2 wieder
in ein Feldbustelegramm umgewandelt und dem Kommunikations-Controller COM2 zugeführt, wo
der entsprechende Dateninhalt des Telegramms als zweiter Datenwert
ausgelesen wird.
-
Anschließend wird
der tatsächlich
gesendete Datenwert, der zweite Datenwert, mit dem Datenwert, der
vom Anwendungsprogramm zum Versenden bereitgestellt wurde, dem ersten
Datenwert, verglichen. Dadurch kann überprüft werden, ob der erste Datenwert
ordnungsgemäß über den
Feldbus versendet wurde.
-
Stimmen
die beiden Datenwerte nicht miteinander überein, so liegt eine Fehlfunktion
vor. Insbesondere bei Alarmwerten muss sichergestellt werden, dass
diese auch beim Empfänger
richtig ankommen.
-
Alternativ
kann die Signalform des Kontrollsignals analysiert werden. Hierzu
sind Werte für
typische Signalformen entsprechend den Feldbusspezifikationen im
Feldgerät
abgelegt.
-
Bei
dieser Analyse können
Signaldrifts erfasst werden und geeignete Gegenmaßnahmen
eingeleitet werden. Untere anderem kann die Frequenz bei einer HART-Übertragung
nachgeregelt werden, damit die Frequenz im spezifizierten Bereich
von 1200 Hz +/- 12Hz bzw. 2200 Hz +/- 22 Hz (HART Physical Layer
Spezifikation Rev 8.1) liegt.
-
Ebenso
kann bei einem Bussystem wie z. B. Profibus oder Foundation Fieldbus
die Bitzeit von 32 μsec
+/- 0.9 μsec
nachgeführt
werden. Dadurch wird ebenfalls eine sichere Datenübertragung
gewährleistet.
Da die Werte für
typische Signalformen der Feldbustelegramme im Feldgerät abgespeichert
sind, können
auch Bussysteme unterschiedlicher Art automatisch vom Feldgerät erkannt
werden. Es werden die Werte der über
den Feldbus übertragenen
Feldbustelegramme bestimmt und mit den gespeicherten Werten verglichen.
Bussysteme mit der gleichen Busphysik können aber nicht unterschieden
werden.
-
Da
mit dem erfindungsgemäßen Verfahren u.
a. auch die Signalform des Kontrollsignals analysiert werden kann,
können
auch Signale von anderen Feldgeräten
geprüft
werden, ob diese in entsprechenden Toleranzen den Feldbusspezifikationen
entsprechen und falls nicht wird eine entsprechende Meldung erzeugt,
um den Fehler zu signalisieren bzw. um Gegenmaßnahmen einleiten zu können.
-
In
einer einfacheren Ausgestaltung der Erfindung erfolgt das Senden
und gleichzeitige Lesen des zu versendenden Telegramms mit derselben
Feldbusschnittstelle, d. h. das Feldgerät weist nur eine Feldbusschnittstelle
FBS, gegebenenfalls kann auch auf den zweiten Kommunikations-Controller
verzichtet werden, so dass ein Kommunikations-Controller COM ausreicht.
-
Diese
Ausgestaltung der Erfindung ist zwar kostengünstiger aber sie weist dafür einige
Nachteile auf. So können
Fehler von Signalen, die von einem Referenzsignal oder einem Referenzelement
im Kommunikations-Controller COM bzw. in der Feldbusschnittstelle
abhängen
nicht festgestellt werden. So bleibt eine Änderung der Oszillatorfrequenz
unerkannt, weil keine zweite Oszillatorfrequenz zur Verfügung steht.
Dasselbe gilt auch für
anderer Bauteile wie Referenzdiode etc..
-
Denkbar
ist auch eine Variante mit einer Feldbusschnittstelle und zwei Kommunikations-Controllern.
Hierdurch werden die im obigen Abschnitt genannten Nachteile wieder
verringert.
-
Ist
der Dateninhalt des Kontrollsignals falsch so kann dies z. B. durch
eine störende
Einkopplung verursacht worden sein. Eine Möglichkeit für solche Einkopplungen stellen
z. B. die Ultraschallimpule eines Ultraschalllaufzeitmessgeräts oder
die Startimpulse von Elektromotoren dar.
-
In
der Regel treten Einkopplungen statistisch unkorreliert auf, so
dass Fehlfunktionen eher selten, und wenn dann zufällig, festgestellt
werden. Regelmäßige Störungen können auf
Einkopplungen hinweisen, die korreliert zu Ereignissen im Feldgerät oder anderen
Feldgeräten
auftreten (z. B. dem Ultraschallimpuls). Es besteht die Möglichkeit
durch gezieltes Verschieben (z. B. Verzögern) des Sendezeitpunktes
den Einfluss solcher Einkopplungen zu verringern. Ein solches Verschieben
kann vom Feldgerät
selbständig
durchgeführt
werden. Dadurch wird auch die Datenübertragung sicherer.
-
Durch
die Erfindung wird ein wesentlich sicheres Versenden von Daten über einen
Feldbus gewährleistet.
Dies ist insbesondere für
sicherheitskritische Anwendungen, die strengen Vorschriften und Auflagen,
wie z. B. IEC 61508 SIL 3, genügen
müssen,
wichtig.