-
Die
Erfindung betrifft ein Feldgerät zur Bestimmung oder Überwachung
einer Prozessgröße in der Prozessautomatisierung,
bestehend aus einem Sensor, der nach einem definierten Messprinzip
arbeitet, und einer Kontroll-/Auswerteeinheit, die die vom Sensor
gelieferten Messdaten in Abhängigkeit von einem in der
jeweiligen sicherheitskritischen Anwendung geforderten Sicherheitsstandard
entlang von mindestens zwei gleichwertigen redundanten und/oder
diversitären Messpfaden aufbereitet und auswertet. Eine
entsprechende Lösung ist aus der
WO 2004/013585 A1 bekannt
geworden.
-
In
der Automatisierungstechnik, insbesondere in der Prozessautomatisierungstechnik,
werden Feldgeräte eingesetzt, die zur Bestimmung und Überwachung
von Prozessvariablen dienen. Beispiele für derartige Feldgeräte
sind Füllstandsmessgeräte, Durchflussmessgeräte,
Analysemessgeräte, Druck- und Temperaturmessgeräte,
Feuchte- und Leitfähigkeitsmessgeräte, Dichte
und Viskositätsmessgeräte. Die Sensoren dieser
Feldgeräte erfassen die entsprechenden Prozessvariablen,
z. B. den Füllstand, den Durchfluss, den pH-Wert, die Stoffkonzentration,
den Druck, die Temperatur, die Feuchte, die Leitfähigkeit,
die Dichte oder die Viskosität.
-
Unter
den Begriff 'Feldgeräte' werden aber auch Aktoren, z. B.
Ventile oder Pumpen, subsumiert, über die beispielsweise
der Durchfluss einer Flüssigkeit in einer Rohrleitung oder
der Füllstand in einem Behälter veränderbar
ist. Eine Vielzahl solcher Feldgeräte wird von der Firmengruppe
Endress + Hauser angeboten und vertrieben.
-
In
der Regel sind Feldgeräte in modernen automatisierungstechnischen
Anlagen über Kommunikationsnetzwerke, wie HART-Multidrop,
Punkt zu Punkt Verbindung, Profibus, Foundation Fieldbus, mit einer übergeordneten
Einheit verbunden, die als Leitsysteme oder Leitwarte bezeichnet
wird. Diese übergeordnete Einheit dient zur Prozesssteuerung, zur
Prozessvisualisierung, zur Prozessüberwachung sowie zur
Inbetriebnahme und zum Bedienen der Feldgeräte. Für
den Betrieb von Feldbussystemen notwendige Zusatzkomponenten, die
direkt an einen Feldbus angeschlossen sind und die insbesondere zur
Kommunikation mit den übergeordneten Einheiten dienen,
werden ebenfalls häufig als Feldgeräte bezeichnet.
Bei diesen Zusatzkomponenten handelt es sich z. B. um Remote I/Os,
um Gateways, um Linking Devices oder um Controller.
-
Der
Software-Anteil bei Feldgeräten steigt stetig an. Der Vorteil
beim Einsatz von Mikrocontroller-gesteuerten Feldgeräten
besteht darin, dass sich über anwendungsspezifische Softwareprogramme eine
Vielzahl von unterschiedlichen Funktionalitäten in einem
Feldgerät realisieren lassen; auch lassen sich Programmänderungen
relativ einfach durchführen. Der hohen Flexibilität
der programmgesteuerten Feldgeräte steht auf der anderen
Seite als Folge der sequentiellen Programmabarbeitung eine relativ
geringe Verarbeitungsgeschwindigkeit und damit eine entsprechend
geringe Messrate entgegen.
-
Um
die Verarbeitungsgeschwindigkeit zu erhöhen, werden immer
dann, wenn es sinnvoll ist, in den Feldgeräten ASICs – Applikation
Specific Integrated Circuits – eingesetzt. Durch die anwendungsspezifische
Konfiguration können diese Bausteine Daten und Signale
wesentlich schneller verarbeiten, als dies ein Softwareprogramm
tun kann. Insbesondere für rechenintensive Anwendungen
sind ASICs hervorragend geeignet.
-
Nachteilig
bei der Applikation von ASICs ist, dass die Funktionalität
dieser Bausteine fest vorgegeben ist. Eine nachträgliche Änderung
der Funktionalität ist bei diesen Bausteinen nicht ohne
Weiteres möglich. Weiterhin zahlt sich der Einsatz von
ASICs nur bei relativ großen Stückzahlen aus,
da der Entwicklungsaufwand und die damit verbundenen Kosten hoch
sind.
-
Um
den Missstand der fest vorgegebenen Funktionalität zu umgehen,
ist aus der
WO 03/098154 ein
konfigurierbares Feldgerät bekannt geworden, bei dem ein
rekonfigurierbarer Logikbaustein in Form eines FPGAs vorgesehen
ist. Bei dieser bekannten Lösung wird beim Systemstart
der Logikbaustein mit mindestens einem Mikrocontroller, der auch
als Embedded Controller bezeichnet wird, konfiguriert. Nachdem die
Konfiguration abgeschlossen ist, wird die erforderliche Software
in den Mikrocontroller geladen. Der hierbei benötigte rekonfigurierbare
Logikbaustein muss über ausreichende Ressourcen, und zwar
Logik-, Verdrahtungs- und Speicherressourcen, verfügen,
um die gewünschten Funktionalitäten zu erfüllen.
Logikbausteine mit vielen Ressourcen benötigen viel Energie,
was wiederum aus funktioneller Sicht ihren Einsatz in der Prozessautomatisierung
uneingeschränkt möglich macht. Nachteilig beim
Einsatz von Logikbausteinen mit wenigen Ressourcen und somit mit
einem geringeren Energieverbrauch ist die erhebliche Einschränkung
in der Funktionalität des entsprechenden Feldgeräts.
-
Je
nach Anwendungsfall müssen die Feldgeräte unterschiedlichsten
Sicherheitsanforderungen genügen. Um den jeweiligen Sicherheitsanforderungen,
z. B. dem SIL-Standard 'Security/Safety Integrity Level' nach IEC
61 508 zu genügen, müssen die Feldgeräte
redundant und/oder diversitär ausgelegt sein.
-
Redundanz
bedeutet erhöhte Sicherheit durch doppelte oder mehrfache
Auslegung aller sicherheitsrelevanter Hard- und Software-Komponenten.
Diversität bedeutet, dass die in den unterschiedlichen
Messpfaden befindlichen Hardware-Komponenten, wie z. B. ein Mikroprozessor,
von unterschiedlichen Herstellern stammen und/oder dass sie von
unterschiedlichem Typ sind. Im Falle von Software-Komponenten erfordert
die Diversität, dass die in den Mikroprozessoren gespeicherte
Software aus unterschiedlichen Quellen, sprich von unterschiedlichen
Herstellern bzw. Programmierern stammt. Durch alle diese Maßnahmen
soll sichergestellt werden, dass ein sicherheitskritischer Ausfall
des Messgeräts ebenso wie das Auftreten von gleichzeitig
auftretenden systematischen Fehlern bei der Messwertbereitstellung
mit hoher Wahrscheinlichkeit ausgeschlossen ist. Auch ist es bekannt,
zusätzlich auch noch einzelne wesentliche Hardware- und
Software-Komponenten der Auswerteschaltung redundant und/oder diversitär
auszulegen. Durch die redundante und diversitäre Auslegung
einzelner von Hardware- und Software-Komponenten lässt
der Grad der Sicherheit noch einmal erhöhen.
-
Ein
Beispiel für eine sicherheitsrelevante Applikation ist
die Füllstandsüberwachung in einem Tank, in dem
eine brennbare oder auch eine nicht brennbare, dafür aber
wassergefährdende Flüssigkeit gelagert ist. Hier
muss sichergestellt sein, dass die Zufuhr von Flüssigkeit
zu dem Tank sofort unterbrochen wird, sobald ein maximal zulässiger
Füllstand erreicht ist. Dies wiederum setzt voraus, dass das
Messgerät hoch zuverlässig den Füllstand
detektiert und fehlerfrei arbeitet.
-
Der
Erfindung liegt die Aufgabe zugrunde, ein Feldgerät vorzuschlagen,
das einfach und mit hoher Flexibilität an einen geforderten
Sicherheitsstandard anpassbar ist.
-
Die
Aufgabe wird durch die Merkmale des Anspruchs 1 gelöst.
-
Ein
großer Vorteil der erfindungsgemäßen Lösung
der Aufgabe besteht darin, dass das Feldgerät einfach und
mit einer hohen Flexibilität an die geforderten Sicherheitsstandard
unter Berücksichtigung der geforderten Sicherheitsnormen
anpasst werden kann und ein Ausfall zumindest einer sicherheitsrelevanten
Komponente nicht zwangsläufig zu einem Totalausfall des
gesamten Feldgeräts führt.
-
Erfindungsgemäß sind
die Messpfade mit den partiell dynamisch rekonfigurierbaren Funktionsmodulen
(FPGA) und/oder mit den dynamisch konfigurierbaren Funktionsmodulen
(FPAA) redundant, diversitär oder redundant und diversitär
ausgelegt sind. Im Einzelfall richtet sich die Ausgestaltung nach
dem jeweiligen Sicherheitsstandard, z. B. nach SIL1, SIL2, SIL3.
Der Sicherheitsstandard erfordert beispielsweise eine redundante
und eine diversitäre Auslegung der Hard- und/oder Software-Komponenten
und/oder der Analogkomponenten. Dies bedeutet, dass die redundanten
Komponenten von unterschiedlichen Herstellern bezogen werden, wodurch systematische
Fehlfunktionen der Komponenten mit hoher Wahrscheinlichkeit ausgeschlossen
werden können. Im Falle von Software bedeutet diversitär, dass
die Programme von unterschiedlichen Programmierfirmen bzw. unterschiedlichen
Programmierern erstellt werden. Auch hierdurch soll mit an Sicherheit
grenzender Wahrscheinlichkeit die Eliminierung von systematischen
Fehlern erzielt werden. Partiell dynamisch bzw. dynamisch bedeutet,
dass ausgewählte Funktionsmodule bzw. alle Funktionsmodule
eines Bereichs während des Betriebs des Feldgeräts
rekonfiguriert werden.
-
Darüber
hinaus ist im Zusammenhang mit der erfindungsgemäßen
Lösung vorgesehen, dass die Kontroll-/Auswerteeinheit seriell
oder parallel die Funktionsmodule für eine ungeradzahlige
Anzahl von redundanten und/oder diversitären Messpfaden
partiell dynamisch (FPGA) bzw. dynamisch (FPAA) rekonfiguriert,
wobei die Kontroll-/Auswerteeinheit, bei dem es sich im einfachsten
Fall um einen Voter handelt, die von oder in den Messpfaden zur
Verfügung gestellten Daten miteinander vergleicht, und
wobei die Kontroll-/Auswerteeinheit eine Warnmeldung geniert, dass
ein definierter Messpfad fehlerhafte Daten liefert, wenn auf dem
definierten Messpfad Daten zur Verfügung gestellt werden,
die von den Daten der verbleibenden Messpfade abweichen. Liefert
einer der Messpfade ein fehlerhaftes Ergebnis, so lässt sich
z. B. mit einer dreifachen Auslegung der Messpfade der fehlerhafte
Messpfad eindeutig auffinden, und es kann ggf. eine Korrektur an
diesem definierten Messpfad vorgenommen werden.
-
Gemäß einer
vorteilhaften Ausgestaltung der erfindungsgemäßen
Vorrichtung ist vorgesehen, dass der Kontroll-/Auswerteeinheit ein
Voter zugeordnet ist, der die von oder in den Messpfaden zur Verfügung
gestellten entsprechenden Daten miteinander vergleicht und im Falle
einer Abweichung eine Warn- oder Fehlermeldung generiert. Bei dem
Voter handelt es sich im einfachsten Fall um eine Entscheidungslogik.
Selbstverständlich kann hier auch ein Mikrocontroller zum
Einsatz kommen. Bevorzugt sind der Voter oder der Mikrocontroller
permanent in einem sog. statischen Bereich des FPGA konfiguriert.
-
Bevorzugt
rekonfiguriert die Kontroll-/Auswerteeinheit die einzelnen Funktionsmodule
oder die in einem Messpfad angeordnete Gruppen von Funktionsmodulen
partiell dynamisch in einem definierten ersten Bereich des Logikbausteins.
Weiterhin ist ein Mikrocontroller vorgesehen, der durch Vergleich
der Daten einzelner Funktionsmodule oder Gruppen von Funktionsmodulen
mit den Daten entsprechender redundanter oder diversitärer
Funktionsmodule oder Gruppen von Funktionsmodulen ermittelt, ob
das Funktionsmodul oder die Gruppe von Funktionsmodulen in dem ersten
Bereich des Logikbausteins korrekt arbeitet oder fehlerhaft ist.
Dieser Test kann auch mittels eines Testsignals erfolgen. Ein entsprechendes
Verfahren ist in der
DE
10 2006 047 262.4 beschrieben. Der Inhalt dieser Anmeldung
ist dem Offenbarungsgehalt der vorliegenden Anmeldung zuzurechnen.
-
Gemäß einer
Weiterbildung des erfindungsgemäßen Feldgeräts
wird vorgeschlagen, dass die Kontroll-/Auswerteeinheit im Fall eines
ermittelten Fehlers das fehlerhafte Funktionsmodul bzw. die fehlerhafte
Gruppe von Funktionsmodulen erneut in dem ersten Bereich rekonfiguriert
und die entsprechenden Daten miteinander vergleicht. Tritt nunmehr erneut
ein Fehler auf, so rekonfiguriert die Kontroll-Auswerteeinheit ein
diversitäres Funktionsmodul oder eine Gruppe von diversitären
Funktionsmodulen in den entsprechenden ersten Bereich des Logikbausteins.
-
Beim
abermaligen Auftreten eines Fehlers sperrt die Kontroll-/Auswerteeinheit
nachfolgend den ersten Bereich des Logikbausteins und rekonfiguriert das
entsprechende Funktionsmodul bzw. die entsprechende Gruppe von Funktionsmodulen
in einem von dem ersten Bereich des Logikbausteins abweichenden
zweiten Bereich des Logikbaustein; wiederum werden die entsprechenden
Daten miteinander verglichen.
-
Erst
wenn jetzt immer noch eine Fehlermeldung generiert wird, gibt die
Kontroll-/Auswerteeinheit eine Meldung aus, dass das Funktionsmodul bzw.
die Gruppe von Funktionsmodulen fehlerhaft arbeitet, und die Kontroll-/Auswerteeinheit
rekonfiguriert einen redundanten und/oder diversitären
Funktionsblock in dem zweiten Bereich.
-
Wie
bereits an vorhergehender Stelle erwähnt, rekonfiguriert
die Kontroll-/Auswerteeinheit in jedem der Messpfade digital-hardware-,
analog-hardware und/oder software-basierte Funktionsmodule.
-
Eine
bevorzugte Ausgestaltung des erfindungsgemäßen
Feldgeräts sieht vor, dass dem Sensor eine analoge Sensorschaltung
zur Ausgabe eines Roh-Messsignals zugeordnet ist, welches die zu bestimmende
oder zu überwachende Prozessgröße repräsentiert.
Die Kontroll-Auswerteeinheit weist insbesondere die folgenden Funktionsmodule
auf:
- – einen Analog-/Digital-Wandler,
der das analoge Roh-Messsignal in ein digitales Roh-Messsignal umwandelt,
- – eine Verarbeitungseinheit, die zur redundanten und/oder
diversitären Auswertung des digitalen Roh-Messsignals dient,
und
- – ggf. eine Kommunikationsschaltung, die zur Weiterleitung
des ausgewerteten Messsignals an eine übergeordnete Einheit
dient.
-
Darüber
hinaus ist vorgesehen, dass das Roh-Messsignal zusätzlich
dem Voter zugeleitet wird; anhand eines Vergleichs der IST-Daten
des Roh- Messsignals mit entsprechend abgespeicherten SOLL-Daten
wird ermittelt, ob der Sensor korrekt oder fehlerhaft arbeitet.
-
Wie
bereits zuvor erwähnt, ist es vorteilhaft, wenn ein Test-Mikroprozessor
vorgesehen ist, der ein Testsignal oder ein Testmuster auf ein Funktionsmodul
oder eine Gruppe von Funktionsmodulen gibt und durch einen Vergleich
der IST-Antwortdaten auf das Testsignal oder das Testmuster mit
entprechenden abgespeicherten SOLL-Antwortdaten die Funktion des
Funktionsmoduls oder die Funktion der Gruppe von Funktionsmodulen überprüft.
Mehr Information hierzu findet sich in der bereits erwähnten
DE 10 2006 047 262.4 .
-
Bevorzugt
ist neben dem dynamischen Bereich ein statischer Bereich vorgesehen,
in dem zumindest ein Funktionsmodul, z. B. eine Steuereinheit, in
der das Steuerprogramm zu Konfigurierung der Funktionsmodule abläuft,
permanent konfiguriert ist.
-
Wie
bereits erwähnt, handelt es sich bei dem Logikbaustein
um einen dynamisch partiell rekonfigurierbaren FPGA. Nähere
Info zu dem partiell dynamisch rekonfigurierbaren FPGA findet sich
in der nicht vorveröffentlichten
PCT/EP2007/059440 , die u. a. die
Priorität der gleichfalls nicht vorveröffentlichten
DE 10 2006 049 509.82 vom
17.10.2007 beansprucht.
-
Alternativ
ist vorgesehen, dass es sich bei dem Logikbaustein um eine Vielzahl
von Logikzellen in einer fest verdrahteten FPGA/Standard ASIC Struktur
handelt, wobei die Logikzellen mittels Konfigurationsregistern so
konfigurierbar sind, dass sie elementare Logikfunktionen ausführen.
Weiterhin ist eine Verknüpfungsmatrix mit einer Vielzahl
von Speicherzellen vorgesehen, über die unterschiedliche
logische Verknüpfungen der Logikzellen in definierten komplexen
Verknüpfungen mittels der Konfigurationsregister konfigurierbar
sind. Weiterhin ist eine Steuereinheit vorgesehen, die die Logikzellen
und die Verknüpfungsmatrix über einen internen
Bus und über die Konfigurationsregister mittels eines Konfigurations-Bitstroms
partiell dynamisch so konfiguriert, dass die fest verdrahtete FPGA/ASIC
Struktur sich funktional wie ein partiell dynamisch rekonfigurierbarer
Standard Logikbaustein verhält. Nähere Info zu dieser
FPGA/ASIC Struktur findet sich in der nicht vorveröffentlichten
PCT/EP2007/059442 , die
die Priorität der
DE
10 2006 049 509.82 beansprucht.
-
Die
Erfindung wird anhand der nachfolgenden Figuren näher erläutert.
Es zeigt:
-
1:
ein Blockschaltbild eines redundant/diversitär ausgestalteten
Druckmessgeräts des Standes der Technik, das einem vorgegebenen
Sicherheitsstandard entspricht,
-
2:
ein Blockschaltbild eines erfindungsgemäßen partiell
dynamisch rekonfigurierbaren Druckmessgeräts, das einem
vorgegebenen Sicherheitsstandard entspricht,
-
3a:
eine erste erfindungsgemäße diversitär
analog/digital ausgestaltete Kontrolleinheit für sicherheitskritische
Anwendungen,
-
3b:
eine zweite erfindungsgemäße diversitär
analog/digital ausgestaltete Kontrolleinheit für sicherheitskritische
Anwendungen,
-
4a:
eine dritte erfindungsgemäße Kontroll-/Auswerteeinheit
mit dreifacher Redundanz,
-
4b:
eine vierte erfindungsgemäße Kontroll-/Auswerteeinheit
mit dreifacher Redundanz,
-
5:
eine Variante eines erfindungsgemäßen Feldgeräts
mit fünffacher Redundanz bzw. Diversität der Kontroll-/Auswerteeinheit,
-
6:
ein Flussdiagramm eines Verfahrens zur Erkennung der Fehlerquelle
bei einer erfindungsgemäß ausgestalteten Kontroll-/Auswerteeinheit,
-
7:
eine alternative Ausgestaltung des erfindungsgemäßen
Feldgeräts als Multisensor,
-
8:
eine bevorzugte Ausgestaltung des erfindungsgemäßen
Feldgeräts mit einer Option zur Überprüfung
der Funktionstüchtigkeit einzelner Funktionsmodule der
Kontroll-/Auswerteeinheit und
-
9:
eine Ausgestaltung des erfindungsgemäßen Feldgeräts
mit einer Option zur Überprüfung der Funktionstüchtigkeit
des Sensors.
-
1 zeigt
ein Blockschaltbild eines redundant/diversitär ausgestalteten
Druckmessgeräts, wie es aus dem Stand der Technik bekannt
geworden ist. Obwohl an dieser Stelle auf eine Vorrichtung zur Druckmessung
Bezug genommen wird, versteht es sich von selbst, dass die erfindungsgemäße
Lösung in Verbindung mit jeder Vorrichtung zur Messung
einer physikalischen oder chemischen Prozessgröße eingesetzt
werden kann. Entsprechende Vorrichtungen sind in der Beschreibungseinleitung
der vorliegenden Patentanmeldung explizit – aber keinesfalls abschließend – beschrieben.
-
Bei
Feldgeräten 1, die in sicherheitskritischen Anwendungen
eingesetzt werden und die nach SIL – Security/afety Integrity
Level nach IEC 61 508 – kiassifiziert
sind, ist eine unabhängige Überprüfung
des in einem Messpfad MP1, MP2, MP3 gelieferten Messergebnisses
gefordert. Bisher wurden in Feldgeräten 1 hierfür
zwei oder mehrere unterschiedliche Messpfade MP1, MP2, MP3 vorgesehen.
Häufig wird dabei der Messwert hardwaremäßig
in einem ersten Messpfad MP1 mit Hilfe eines ASICs 5 bestimmt.
Zusätzlich wird der Messwert noch softwaremäßig
in einem zweiten Messpfad MP2 mit einem auf einem Mikrocontroller 6 ablaufenden
Programm bestimmt. Der mit dem Mikrocontroller 6 ermittelte
diversitäre Messwert wird mit dem vom ASIC 5 ermittelten
Messwert verglichen. Sind beide Messwerte innerhalb einer vorgegebenen
Fehlertoleranz gleich – eine entsprechende Überprüfung
erfolgt in dem Voter 7 –, so kann man davon ausgehen,
dass das Feldgerät 1 einwandfrei arbeitet. Eine
Abweichung wird stets als ein Indiz für eine Fehlfunktion
gewertet. Bei Ungleichheit der beiden Messwerte wird folglich ein Alarm
erzeugt, der über eine digitale Kommunikationselektronik 8,
eine analoge Kommunikationselektronik 9 und ein Bussystem 10 an
eine übergeordnete Steuereinheit oder Leitwarte 12 weitergeleitet
wird. Ein entsprechendes Feldgerät 1 zur Druckmessung wird
von der Anmelderin unter der Bezeichnung Cerabar S Evolution angeboten
und vertrieben. Problematisch bei einer geradzahligen Anzahl von
Messpfaden MP1, MP2 ist, dass nicht spezifiziert werden kann, in
welchem der Messpfade MP1, MP2 der Fehler aufgetreten ist.
-
Das
in 1 dargestellte Feldgerät 1 ist
in 2 als erfindungsgemäße Lösung
mit einem partiell dynamisch rekonfigurierbaren Logikbaustein 11 beschrieben.
Das Feldgerät 1 arbeitet nach einem in der jeweiligen
Applikation vorgeschriebenen SIL-Standard. Erfindungsgemäß werden
in dem partiell dynamisch rekonfigurierbaren Bereich des FPGAs 11 die
entsprechenden diversitären Funktionsmodule 5, 6 entweder
seriell oder parallel konfiguriert. Dadurch lässt sich
die Auswerteeinheit eine nicht SIL-fähiges Feldgerät
erfindungsgemäß für den SIL-Betrieb vorbereiten.
Da zeitlich versetzt hard- oder softwaremäßige
Funktionsmodule 5, 6 nacheinander während
des Messbetriebs in demselben Bereich, also auf derselben Fläche,
konfiguriert werden können, ist der Speicherbedarf in Bezug
auf die bekannten Lösungen des Standes der Technik entsprechend
gering. Neben dem zeitweisen Entfernen einzelner Funktionsmodule 5, 6, 7, 8 und
dem Ersetzen durch andere Funktionsmodule 5', 6', 7', 8' ist
es auch möglich, einzelne Funktionsmodule 5, 6, 7, 8 in ihrer
Fläche zeitweise zu verringern, wobei die reduzierte Fläche
letztlich von der spezifischen Anwendung des Feldgerätes 1 abhängt.
-
Partiell
dynamisch rekonfigurierbare Logikbausteine 11 bieten verschiedene
Alternativen für die für den SIL-Betrieb notwendigen
Messpfade MP1, MP2, MP3, wobei in 2 die Alternative
Hardware 5/Software 6 dargestellt ist. Selbstverständlich
können auch die Alternativen Hardware 5/Hardware 5' oder
Software 6/Software 6' angewendet werden. Bei allen
Alternativen mit zwei gleichwertigen Messpfaden MP1, MP2 – Hardware 5/Hardware 5' bzw.
Software 6/Software 6' – können
beide Gruppen von Funktionsmodulen sowohl redundant als auch diversitär
ausgestaltet sein. Einzelne Beispiele sind anhand der nachfolgenden
Figuren im Detail beschrieben.
-
3a und 3b zeigen
zwei unterschiedliche diversitäre analog/digital ausgestaltete
Kontroll-/Auswerteeinheiten 14 für sicherheitskritische Anwendungen.
Während die in 3a gezeigte
Ausgestaltung zweifach diversitär ist, ist die in 3b gezeigte
Ausgestaltung dreifach diversitär ausgestaltet. Die für
die jeweilige Applikation geeignete Ausgestaltung wird – wie
in 3a gezeigt – auf dem FPGA 11 erfindungsgemäß partiell
dynamisch rekonfiguriert, auf dem FPAA 18 werden die Analog-Komponenten
bzw. die analogen Funktionsmodule dynamisch konfiguriert. Weiterhin
werden auch in 3b die Analog-Komponenten bzw.
die analogen Funktionsmodule dynamisch auf dem FPAA 18 konfiguriert.
-
Tritt
zwischen den Messergebnissen in den verschiedenen Messpfaden MP1,
MP2 bzw. MP1, MP2, MP3 eine Abweichung auf, so wird diese als Warn-
oder Fehlermeldung über die Datenleitung, bei der es sich
bevorzugt um einen Datenbus 10 handelt, an die Leitwarte 12 bzw.
an das Bedienpersonal ausgeben.
-
In
den Figuren 4a und 4b ist
jeweils eine Kontroll-/Auswerteeinheit 14 mit dreifacher
Redundanz gezeigt. Während bei der in 4a gezeigten
Lösung die dreifache Redundanz nur für die digitalen
Funktionsmodule der Kontroll-/Auswerteeinheit 14 ausgeführt
ist, betrifft die dreifache Redundanz bei der in 4b gezeigten
Ausgestaltung auch die analogen sensorseitigen Funktionsmodule.
-
In 5 ist
beispielhaft eine erste erfindungsgemäße Kontroll-/Auswerteeinheit 14 mit
dreifacher Redundanz gezeigt, die höchsten Sicherheitsanforderungen
genügt. Beispielhaft sei an dieser Stelle der Einsatz eines
Sensors 2 in einem Hochsicherheitsbereich eines Atomkraftwerks
genannt. Es versteht sich von selbst, dass auch die komplette Messstelle,
bestehend aus dem Sensor 2 und der als redundante, diversitäre
Toolkette ausgelegten Kontroll-/Auswerteeinheit 14 wiederum
ihrerseits redundant ausgelegt sein kann.
-
Partiell
dynamisch rekonfiguriert werden auf dem FPGA 11 in dem
ersten und dem zweiten Messpfad MP1, MP2 jeweils die Funktionsmodule
für eine digitale bzw. eine Software-Lösung. Beide
Messpfade MP1, MP2 sind redundant oder diversitär ausgestaltet.
Der Vergleich zwischen den Messergebnissen, die in den Messpfaden
MP1, MP2 ermittelt werden, erfolgt in dem Voter 7.1.
-
Seriell
oder parallel werden auf dem FPGA 11 in dem dritten und
vierten Messpfad MP3, MP4 jeweils die Funktionsmodule für
eine analoge oder Hardware-Lösung partiell dynamisch rekonfiguriert. Wiederum
sind beide Messpfade MP3, MP4 redundant oder diversitär
ausgestaltet. Der Vergleich zwischen den Messergebnissen, die in
den Messpfaden MP3, MP4 ermittelt werden, erfolgt in dem Voter 7.2. Darüber
hinaus wird das von dem Voter 7.1 ermittelte Ergebnis jeweils
mit den Messergebnissen aus den Messpfaden MP3, MP4 verglichen.
Zuständig hierfür ist der Voter 7.2.
Hierdurch kann im Falle einer Warn- oder Fehlermeldung eine Entscheidung
getroffen werden, in welchem Messpfad das fehlerbehaftet Messergebnis
aufgetreten ist.
-
In
einem weiteren Schritt werden dem Voter 7.3 das Messergebnis
des Voters 7.1, das Messergebnis des Voters 7.2 sowie
die Messergebnisse aus den Messpfaden MP4, MP5 zugeführt.
Der Messpfad M5 ist in der gezeigten Ausführungsform mittels
eines dynamisch konfigurierbaren FPAAs realisiert. Durch diese kaskadenförmige
Votierung der Messergebnisse aus den einzelnen Messpfaden MP1, MP2, MP3,
MP4, MP5 lässt sich im Falle einer Fehlermeldung bestimmen,
welcher der redundanten oder diversitären Messpfade MP1,
MP2, MP3, MP4, MP5 fehlerhaft arbeitet.
-
Eine
Abweichung kann nun dadurch verursacht werden, dass eine Gruppe
von Funktionsmodulen fehlerhaft arbeitet oder dass der entsprechende
Speicherbereich des FPGAs 11 fehlerbehaftet ist. Ein Verfahren,
das hier die Möglichkeit zu einer sicheren Unterscheidung
bietet, ist anhand des Flußdiagramms in 6 skizziert. 6 zeigt übrigens eine
3-fach redundante Rekonfiguration der Messpfade MP1, MP2, MP3.
-
Nach
dem Systemstart bei Programmpunkt 20 wird unter Programmpunkt 21 seriell
oder parallel eine geeignete Gruppe von Funktionsmodulen in drei Messpfaden
MP1, MP2, MP3 partiell dynamisch rekonfiguriert. Unter Programmpunkt 22 wird überprüft, ob
die Messergebnisse, die von den drei Messpfaden MP1, MP2, MP3 geliefert
werden, identisch sind oder ob sie voneinander abweichen. Üblicherweise
erfolgt die Überprüfung mittels eines Voters 7.
Sind die Messergebnisse innerhalb vorgegebener Toleranzgrenzen gleich,
springt das Programm zum Endpunkt 29 des Programms.
-
Meldet
der Voter 22 bei Programmpunkt 22 eine fehlerhafte
Funktion eines der drei Gruppen von Funktionsmodulen in den Messpfaden
MP1, MP2, MP3, so werden die Funktionsmodule in dem als fehlerhaft
erkannten Messpfad, z. B. dem Messpfad MP1, erneut in demselben
Speicherbereich A des FPGAs 11 partiell dynamisch rekonfiguriert.
-
Zeigt
der Voter 7 erneut an, dass der Messpfad MP1 fehlerhaft
arbeitet, was unter dem Programmpunkt 24 überprüft
wird, so wird die fehlerhaft arbeitende Gruppe von Funktionsmodulen
durch eine diversitäre Lösung in demselben Speicherbereich
A des partiell dynamisch rekonfigurierbaren FPGAs 11 rekonfiguriert.
Liefert der Voter 7 nunmehr das Ergebnis, dass die Messergebnisse
in den drei Messpfaden MP1, MP2, MP3 gleich sind, so springt das
Programm zum Programmende bei 29.
-
Tritt
hingegen immer noch eine Abweichung in den Messergebnissen der einzelnen
Messpfade MP1, MP2, MP3 auf, so ist dies mit hoher Wahrscheinlichkeit
ein Indiz dafür, dass der Speicherbereich A des FPGAs defekt
ist. Als Gegenmaßnahme wird unter dem Programmpunkt 27 die
erste Gruppe von Funktionsmodulen in einen neuen Speicherbereich
A' partiell dynamisch rekonfiguriert; der Bereich A wird auf Gatter-Ebene überprüft.
Zusätzlich wird optional eine Warnmeldung generiert, dass
die erste Gruppe von Funktionsmodulen 3.1, 3.2, 3.3, 6.1, 6.2, 6.3 in
dem Messpfad MP1 ausgetauscht werden sollte. Anschließend
wird das Programm bei Punkt 29 beendet.
-
In 7 ist
eine alternative Ausgestaltung des Feldgeräts 1 als
Multisensor zu sehen. Bei dieser Ausgestaltung ist die Messstelle
dreifach redundant und ggf. diversitär ausgelegt.
-
8 zeigt
eine bevorzugte Ausgestaltung des erfindungsgemäßen
Feldgeräts
1 mit einer Option zur Überprüfung
der Funktionstüchtigkeit einzelner Funktionsmodule
3.1,
3.2,
3.3,
6.1,
6.2,
6.3 der Kontroll-/Auswerteeinheit
14. Über
Schalter
16.1,
16.2 wird ein definiertes Referenzsignal
auf das entsprechende Funktionsmodul – hier die analoge
Sensorelektronik
3.3 – gegeben. Hierzu wird bevorzugt ein
Test- Mikroprozessor
13 partiell dynamisch rekonfiguriert.
Ebenso kann es jedoch vorgesehen sein, dass der Test-Mikroprozessor
13 in
einem permanent konfigurierten Bereich des FPGAs rekonfiguriert
ist. Der Test-Mikroprozessor
13 gibt ein Referenzsignal oder
ein Testmuster auf ein Funktionsmodul
3.3 oder alternativ
auf eine Gruppe von Funktionsmodulen; durch einen Vergleich der
IST-Antwortdaten auf das Testsignal oder das Testmuster mit entsprechenden abgespeicherten
SOLL-Antwortdaten lässt sich die Funktion des Funktionsmoduls
3.3 oder
die Funktion der Gruppe von Funktionsmodulen überprüfen.
Die Entkopplung des zu überprüfenden Funktionsmoduls
3.1,
3.2 erfolgt über
Schalter
16.1,
16.2. Mehr Information zu diesem
Verfahren findet sich in der bereits erwähnten
DE 10 2006 047 262.4 .
Der Inhalt dieser Patentanmeldung bezüglich des Testens
einzelner Funktionsmodule
3.2 oder Gruppen von Funktionsmodulen
ist explizit dem Offenbarungsgehalt der vorliegenden Patentanmeldung
zuzurechnen.
-
9 zeigt
eine Ausgestaltung des erfindungsgemäßen Feldgeräts 1,
welches eine Option zur Überprüfung der Funktionstüchtigkeit
des Sensors 2 aufweist. Hier wird zusätzlich zu
den Messergebnissen in den drei Messpfaden MP1, MP2, MP3 das in
der statistischen Auswerteeinheit 15 statistisch ausgewertet
Rohsignal des Sensors 2 dem Voter 7 zugeführt.
Mit dieser Ausgestaltung lässt sich überprüfen,
ob einerseits in den Messpfaden MP1, MP2, MP3 der Kontroll-/Auswerteeinheit 14 und
andererseits am Sensor 2 ein Fehler auftritt.
-
- 1
- Feldgerät
- 2
- Sensor
- 3
- Analoge
Sensorelektronik
- 4
- A/D-Wandler
- 5
- Funktionsmodul/ASIC
- 6
- Funktionsmodul/Mikrocontroller
- 7
- Funktionsmodul/Voter/Entscheidungslogik
- 8
- Funktionsmodul/Digitale
Kommunikationselektronik
- 9
- Analoge
Kommunikationselektronik
- 10
- Datenbus
- 11
- rekonfigurierbarer
Logikbaustein, partiell dynamisch rekonfigurierbarer FPGA
- 12
- Leitwarte/übergeordnete
Steuereinheit
- 13
- Test-Mikroprozessor/Selbsttest-Kontroller
- 14
- Kostroll-/Auswerteeinheit
- 15
- statistische
Auswerteeinheit
- 16
- Schalter
- 17
- Steuereinheit
- 18
- rekonfigurierbarer
Logikbaustein, dynamisch rekonfigurierbarer FPAA
-
ZITATE ENTHALTEN IN DER BESCHREIBUNG
-
Diese Liste
der vom Anmelder aufgeführten Dokumente wurde automatisiert
erzeugt und ist ausschließlich zur besseren Information
des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen
Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt
keinerlei Haftung für etwaige Fehler oder Auslassungen.
-
Zitierte Patentliteratur
-
- - WO 2004/013585
A1 [0001]
- - WO 03/098154 [0008]
- - DE 102006047262 [0018, 0025, 0058]
- - EP 2007/059440 [0027]
- - DE 200604950982 [0027]
- - EP 2007/059442 [0028]
- - DE 10200604950982 [0028]
-
Zitierte Nicht-Patentliteratur
-
- - IEC 61 508 [0009]
- - IEC 61 508 [0042]