-
Die
Erfindung betrifft ein Feldgerät zur Bestimmung und/oder Überwachung
einer physikalischen oder chemischen Prozessgröße,
bestehend aus einem Sensor, der entsprechend einem vorgegebenen
Messprinzip arbeitet, und einer Regel-Auswerteeinheit, die die von
dem Sensor gelieferten Messdaten/Messwerte in Abhängigkeit
von einem in der jeweiligen sicherheitskritischen Anwendung geforderten
Sicherheitsstandard entlang einer vorgegebenen Anzahl von redundanten
oder diversitären oder redundanten und diversitären
Messpfaden aufbereitet und/oder auswertet.
-
In
der Automatisierungstechnik, insbesondere in der Prozessautomatisierungstechnik,
werden Feldgeräte eingesetzt, die zur Bestimmung und Überwachung
von Prozessvariablen dienen. Beispiele für derartige Feldgeräte
sind Füllstandsmessgeräte, Durchflussmessgeräte,
Analysemessgeräte, Druck- und Temperaturmessgeräte,
Feuchte- und Leitfähigkeitsmessgeräte, Dichte
und Viskositätsmessgeräte. Die Sensoren dieser
Feldgeräte erfassen die entsprechenden Prozessvariablen,
z. B. den Füllstand, den Durchfluss, den pH-Wert, die Stoffkonzentration,
den Druck, die Temperatur, die Feuchte, die Leitfähigkeit,
die Dichte oder die Viskosität.
-
Unter
den Begriff 'Feldgeräte' werden aber auch Aktoren, z. B.
Ventile oder Pumpen, subsumiert, über die beispielsweise
der Durchfluss einer Flüssigkeit in einer Rohrleitung oder
der Füllstand in einem Behälter veränderbar
ist. Eine Vielzahl solcher Feldgeräte wird von der Firmengruppe
Endress + Hauser angeboten und vertrieben.
-
In
der Regel sind Feldgeräte in modernen automatisierungstechnischen
Anlagen über Kommunikationsnetzwerke, wie HART-Multidrop,
Punkt zu Punkt Verbindung, Profibus, Foundation Fieldbus, mit einer übergeordneten
Einheit verbunden, die als Leitsysteme oder Leitwarte bezeichnet
wird. Diese übergeordnete Einheit dient zur Prozesssteuerung, zur
Prozessvisualisierung, zur Prozessüberwachung sowie zur
Inbetriebnahme und zum Bedienen der Feldgeräte. Für
den Betrieb von Feldbussystemen notwendige Zusatzkomponenten, die
direkt an einen Feldbus angeschlossen sind und die insbesondere zur
Kommunikation mit den übergeordneten Einheiten dienen,
werden ebenfalls häufig als Feldgeräte bezeichnet.
Bei diesen Zusatzkomponenten handelt es sich z. B. um Remote I/Os,
um Gateways, um Linking Devices oder um Controller.
-
Der
Software-Anteil bei Feldgeräten steigt stetig an. Der Vorteil
beim Einsatz von Mikrocontroller-gesteuerten Feldgeräten
besteht darin, dass sich über anwendungsspezifische Softwareprogramme eine
Vielzahl von unterschiedlichen Funktionalitäten in einem
Feldgerät realisieren lassen; auch lassen sich Programmänderungen
relativ einfach durchführen. Der hohen Flexibilität
der programmgesteuerten Feldgeräte stehen auf der anderen
Seite als Folge der sequentiellen Programmabarbeitung eine relativ geringe
Verarbeitungsgeschwindigkeit und damit eine entsprechend geringe
Messrate entgegen.
-
Um
die Verarbeitungsgeschwindigkeit zu erhöhen, werden immer
dann, wenn es sinnvoll ist, in den Feldgeräten ASICs – Application
Specific Integrated Circuits – eingesetzt. Durch die anwendungsspezifische
Konfiguration können diese Bausteine Daten und Signale
wesentlich schneller verarbeiten, als dies ein Softwareprogramm
tun kann. Insbesondere für rechenintensive Anwendungen
sind ASICs hervorragend geeignet.
-
Nachteilig
bei der Applikation von ASICs ist, dass die Funktionalität
dieser Bausteine fest vorgegeben ist. Eine nachträgliche Änderung
der Funktionalität ist bei diesen Bausteinen nicht ohne
weiteres möglich. Weiterhin zahlt sich der Einsatz von
ASICs nur bei relativ großen Stückzahlen aus,
da der Entwicklungsaufwand und die damit verbundenen Kosten hoch
sind.
-
Um
den Missstand der fest vorgegebenen Funktionalität zu umgehen,
ist aus der
WO 03/098154 ein
konfigurierbares Feldgerät bekannt geworden, bei dem ein
rekonfigurierbarer Logikbaustein in Form eines FPGAs vorgesehen
ist. Bei dieser bekannten Lösung wird beim Systemstart
der Logikbaustein mit mindestens einem Mikrocontroller, der auch
als Embedded Controller bezeichnet wird, konfiguriert. Nachdem die
Konfiguration abgeschlossen ist, wird die erforderliche Software
in den Mikrocontroller geladen. Der hierbei benötigte rekonfigurierbare
Logikbaustein muss über ausreichende Ressourcen, und zwar
Logik-, Verdrahtungs- und Speicherressourcen, verfügen,
um die gewünschten Funktionalitäten zu erfüllen.
Logikbausteine mit vielen Ressourcen benötigen viel Energie,
was wiederum aus funktioneller Sicht ihren Einsatz in der Prozessautomatisierung
uneingeschränkt möglich macht. Nachteilig beim
Einsatz von Logikbausteinen mit wenigen Ressourcen und somit mit
einem geringeren Energieverbrauch ist die erhebliche Einschränkung
in der Funktionalität des entsprechenden Feldgeräts.
-
Je
nach Anwendungsfall müssen die Feldgeräte unterschiedlichsten
Sicherheitsanforderungen genügen. Um den jeweiligen Sicherheitsanforderungen,
z. B. dem SIL-Standard 'Security Integrity Level' zu genügen,
müssen die Feldgeräte redundant und/oder diversitär
ausgelegt sein.
-
Redundanz
bedeutet erhöhte Sicherheit durch doppelte oder mehrfache
Auslegung aller sicherheitsrelevanter Hard- und Software-Komponenten.
Diversität bedeutet, dass die in den unterschiedlichen
Messpfaden befindlichen Hardware-Komponenten, wie z. B. ein Mikroprozessor,
von unterschiedlichen Herstellern stammen und/oder dass sie von
unterschiedlichem Typ sind. Im Falle von Software-Komponenten erfordert
die diversitäre, dass die in den Mikroprozessoren gespeicherte
Software aus unterschiedlichen Quellen, sprich von unterschiedlichen
Herstellern bzw. Programmierern stammt. Durch alle diese Maßnahmen
soll sichergestellt werden, dass ein sicherheitskritischer Ausfall
des Messgeräts ebenso wie das Auftreten von gleichzeitig
auftretenden systematischen Fehlern bei der Messwertbereitstellung
mit hoher Wahrscheinlichkeit ausgeschlossen ist. Auch ist es bekannt,
zusätzlich auch noch einzelne wesentliche Hardware- und
Software-Komponenten der Auswerteschaltung redundant und/oder diversitär
auszulegen. Durch die redundante und diversitäre Auslegung
einzelner von Hardware- und Software-Komponenten lässt
der Grad der Sicherheit noch einmal erhöhen.
-
Ein
Beispiel für eine sicherheitsrelevante Applikation ist
die Füllstandsüberwachung in einem Tank, in dem
eine brennbare oder auch eine nicht brennbare, dafür aber
wassergefährdende Flüssigkeit gelagert ist. Hier
muss sichergestellt sein, dass die Zufuhr von Flüssigkeit
zu dem Tank sofort unterbrochen wird, sobald ein maximal zulässiger
Füllstand erreicht ist. Dies wiederum setzt voraus, dass das
Messgerät hoch zuverlässig den Füllstand
detektiert und fehlerfrei arbeitet. Problematisch wird die redundante
und/oder diversitäre Auslegung von Messpfaden, wenn die
Verarbeitungsgeschwindigkeit in den zumindest zwei Messpfaden voneinander
abweicht.
-
Der
Erfindung liegt die Aufgabe zugrunde, ein Feldgerät vorzuschlagen,
das eine unterschiedliche Verarbeitungsgeschwindigkeit in zwei redundant und/oder
diversitär ausgelegten Messpfaden kompensieren kann.
-
Die
Aufgabe wird dadurch gelöst, dass für den Fall,
dass sich die Antwortzeiten auf eine sprunghafte Änderung
der physikalischen oder chemischen Prozessgröße
in zumindest zwei Messpfaden voneinander unterscheiden, die Regel-/Auswerteeinheit so
ausgestaltet ist, dass sie während der sprunghaften Änderung
der physikalischen oder chemischen Prozessgröße
automatisch den Messpfad auswählt bzw. konfiguriert, der
die geringere Antwortzeit aufweist.
-
Im
Einzelfall richtet sich die Ausgestaltung der Messpfade nach dem
jeweiligen Sicherheitsstandard, z. B. nach SIL1, SIL2, SIL3. Der
Sicherheitsstandard erfordert beispielsweise eine redundante oder
eine diversitäre Auslegung der Hard- und Software-Komponenten.
Dies bedeutet, dass die redundanten Komponenten von unterschiedlichen
Herstellern bezogen werden, wodurch systematische Fehlfunktionen
der Komponenten mit hoher Wahrscheinlichkeit ausgeschlossen werden
können. Im Falle von Software bedeutet diversitär,
dass die Programme von unterschiedlichen Programmierfirmen bzw.
unterschiedlichen Programmierern erstellt werden. Auch hierdurch
soll mit an Sicherheit grenzender Wahrscheinlichkeit die Eliminierung
von systematischen Fehlern erzielt werden.
-
Eine
bevorzugte Ausgestaltung des erfindungsgemäßen
Feldgeräts sieht vor, dass die Regel-/Auswerteeinheit zumindest
teilweise als rekonfigurierbarer Logikbaustein mit mehreren partiell
dynamisch (FPGA) und/oder dynamisch rekonfigurierbaren Funktionsmodulen
(FPAA) ausgebildet ist, und dass die Regel-/Auswerteeinheit die
Funktionsmodule in den Messpfaden in Abhängigkeit von der
jeweils definierten sicherheitskritischen Anwendung so konfiguriert,
dass das Feldgerät entsprechend dem geforderten Sicherheitsstandard
ausgelegt ist. Der Vorteil der partiell dynamisch oder dynamisch
rekonfigurierbaren Funktionsmodule in den Messpfaden zeichnet sich
durch eine hohe Flexibilität bei kleinem Platzbedarf aus.
Unter dynamisch wird in diesem Zusammenhang verstanden, dass die
Rekonfigurierung während des Betriebs des Feldgeräts
erfolgt.
-
Weiterhin
ist vorgesehen, dass die Regel-/Auswerteeinheit in jedem der Messpfade
digital-hardware- und/oder analog-hardware und/oder softwarebasierte
Funktionsmodule rekonfiguriert.
-
Bei
dem Logikbaustein handelt es sich vorteilhafter Weise um einen dynamisch
partiell rekonfigurierbaren FPGA für die digitalen Funktionsmodule und/oder
um einen dynamisch rekonfigurierbaren FPAA für die analogen
Funktionsmodule.
-
Eine
vorteilhafte Weiterbildung des erfindungsgemäßen
Feldgeräts sieht vor, dass einer der Messpfade als analoger
Kanal oder digitaler Kanal und ein anderer der Messpfade als digitaler
Kanal oder analoger Kanal ausgestaltet ist, wobei einer der beiden
Kanäle sich durch eine geringere Verarbeitungsgeschwindigkeit
für die Bereitstellung eines Ausgangssignals oder eine
höhere Genauigkeit des Ausgangssignals auszeichnet als
der jeweils andere Kanal. Üblicherweise zeichnet sich der
analoge Kanal durch eine höhere Verarbeitungsgeschwindigkeit aber
durch eine geringere Genauigkeit als der digitale Kanal aus. Es
kann sich aber genauso gut um zumindest zwei analoge oder zumindest
zwei digitale Kanäle handeln, die die o. g. Kriterien bezüglich
Verarbeitungsgeschwindigkeit und Genauigkeit erfüllen.
-
Weiterhin
sieht eine Ausführungsform des erfindungsgemäßen
Feldgeräts vor, dass der Regel-/Auswerteeinheit ein Voter,
z. B. ein Mikrokontroller zugeordnet ist, der die von den einzelnen
oder in den einzelnen Messpfaden zur Verfügung gestellten Ausgangssignale
miteinander vergleicht und jeweils das Ausgangssignal des Kanals
mit der höheren Genauigkeit bereitstellt, solange die Abweichung
zwischen den Ausgangssignalen des Kanals mit der höheren
Genauigkeit und des Kanals mit der geringeren Genauigkeit aber der
höheren Verarbeitungsgeschwindigkeit innerhalb der Toleranzgrenzen
des Kanals mit der höheren Reaktionszeit liegt.
-
Insbesondere
ist vorgesehen, dass im Falle einer sprunghaften Änderung
der Prozessgröße der Voter bzw. der Mikrokontroller
so lange das Ausgangssignal mit der geringeren Genauigkeit und der höheren
Verarbeitungsgeschwindig keit ausgibt, bis das Ausgangssignal mit
der höheren Genauigkeit aber der geringeren Verarbeitungsgeschwindigkeit den
Wert des Ausgangssignals mit der geringeren Genauigkeit aber der
höheren Verarbeitungsgeschwindigkeit Geschwindigkeit erreicht
hat.
-
Als
besonders vorteilhaft wird es angesehen, wenn eine ungeradzahlige
Anzahl von Messpfaden vorgesehen bzw. konfiguriert ist. Bei einem
auftretenden Fehler ist es dann möglich, den fehlerhaften Messpfad
zu definieren.
-
Hierbei
erzeugt der Voter bzw. der Mikrocontroller im Falle einer Abweichung
der Ausgangssignale von zwei Messpfaden bzw. Kanälen eine
Warn- oder Fehlermeldung, wenn die Differenz zwischen den Ausgangssignalen
von zwei Messpfaden größer ist als die Genauigkeit
des Messpfades mit der höheren Verarbeitungsgeschwindigkeit
und wenn sich in dem Ausgangssignal des Messpfades mit der geringeren
Verarbeitungsgeschwindigkeit keine Reaktion auf die sprunghafte Änderung
der Prozessgröße zeigt.
-
Darüber
hinaus wird vorgeschlagen, dass die Regel-/Auswerteeinheit seriell
oder parallel die Funktionsmodule für eine ungeradzahlige
Anzahl von redundanten oder diversitären oder redundanten
und diversitären Messpfaden partiell dynamisch oder dynamisch
konfiguriert, dass die Regel-/Auswerteeinheit die von oder in den
Messpfaden zur Verfügung gestellten Daten miteinander vergleicht,
und dass die Regel-/Auswerteeinheit eine Warnmeldung generiert,
dass ein definierter Messpfad fehlerhafte Daten liefert, wenn auf
dem definierten Messpfad Daten zur Verfügung gestellt werden,
die von den Daten der verbleibenden Messpfade abweichen.
-
Weiterhin
wird vorgeschlagen, dass die Regel-/Auswerteeinheit die einzelnen
Funktionsmodule oder eine in einem Messpfad angeordnete Gruppen von
Funktionsmodulen in einem definierten ersten Bereich des Logikbaustein rekonfiguriert,
und dass ein Mikrocontroller vorgesehen ist, der durch Vergleich
der Daten einzelner Funktionsmodule oder Gruppen von Funktionsmodulen
mit entsprechenden redundanten oder diversitären Funktionsmodulen oder
Gruppen von Funktionsmodulen ermittelt, ob das Funktionsmodul oder
die Gruppe von Funktionsmodulen in dem ersten Bereich des Logikbausteins korrekt
arbeitet oder fehlerhaft ist.
-
Darüber
hinaus wird es als vorteilhaft angesehen, wenn die Regel-/Auswerteeinheit
im Fall eines ermittelten Fehlers das fehlerhafte Funktionsmodul
bzw. die fehlerhafte Gruppe von Funktionsmodulen erneut in dem ersten
Bereich rekonfiguriert und die entsprechenden Daten miteinander
vergleicht.
-
Ebenso
ist vorgesehen, dass die Regel-/Auswerteeinheit im Falle des erneuten
Auftretens eines Fehlers ein diversitäres Funktionsmodul oder
die Gruppe von diversitären Funktionsmodulen in den ersten
Bereich des Logikbausteins lädt.
-
Im
Falle des abermaligen Auftretens eines Fehlers sperrt die Regel-/Auswerteeinheit
den ersten Bereich des Logikbausteins und rekonfiguriert das entsprechende
Funktionsmodul bzw. die entsprechende Gruppe von Funktionsmodulen
in einem von dem ersten Bereich des Logikbausteins abweichenden
zweiten Bereich des Logikbaustein; anschließend werden
die entsprechenden Daten miteinander verglichen.
-
Weiterhin
ist vorgesehen, dass die Regel-/Auswerteeinheit im Falle des wiederholten
Auftretens eines Fehlers eine Meldung ausgibt, dass das Funktionsmodul
bzw. die Gruppe von Funktionsmodulen fehlerhaft arbeitet und wobei
die Regel-/Auswerteeinheit einen redundanten und/oder diversitären
Funktionsblock in dem zweiten Bereich rekonfiguriert.
-
Gemäß einer
vorteilhaften Ausgestaltung des erfindungsgemäßen
Feldgeräts ist ein Test-Mikroprozessor vorgesehen, der
ein Testsignal oder ein Testmuster auf ein Funktionsmodul oder eine
Gruppe von Funktionsmodulen gibt und durch einen Vergleich der IST-Antwortdaten
auf das Testsignal oder das Testmuster mit entsprechenden abgespeicherten SOLL-Antwortdaten
die Funktion des Funktionsmoduls oder die Funktion der Gruppe von
Funktionsmodulen überprüft.
-
Üblicherweise
ist in dem statischen Bereich zumindest ein Funktionsmodul, z. B.
die der Voter, z. B. der Mikrokontroller, in dem das Steuerprogramm zur
Konfigurierung der Funktionsmodule abläuft, permanent konfiguriert.
-
Weiterhin
wird vorgeschlagen, dass der Logikbaustein eine Vielzahl von Logikzellen
in einer fest verdrahteten FPGA/Standard ASIC Struktur aufweist,
wobei die Logikzellen mittels Konfigurationsregistern so konfigurierbar
sind, dass sie elementare Logikfunktionen ausführen, wobei
eine Verknüpfungsmatrix mit einer Vielzahl von Speicherzellen vorgesehen
ist, über die unterschiedliche logische Verknüpfungen
der Logikzellen in definierten komplexen Verknüpfungen
mittels der Konfigurationsregister konfigurierbar sind, und dass
eine zweite Steuereinheit vorgesehen ist, die die Logikzellen und
die Verknüpfungsmatrix über einen internen Bus
und über die Konfigurationsregister mittels eines Konfigurations-Bitstrom
partiell dynamisch so konfiguriert, dass die fest verdrahtete FPGA/ASIC
Struktur sich funktional wie ein partiell dynamisch rekonfigurierbarer Standard
Logikbaustein verhält.
-
Die
Erfindung wird anhand der nachfolgenden Figuren näher erläutert.
Es zeigt:
-
1:
ein Blockschaltbild eines redundant/diversitär ausgestalteten
Druckmessgeräts, das einem vorgegebenen Sicherheitsstandard
entspricht,
-
2:
ein Blockschaltbild eines erfindungsgemäßen partiell
dynamisch rekonfigurierbaren Druckmessgeräts, das einem
vorgegebenen Sicherheitsstandard entspricht,
-
3:
eine erste erfindungsgemäße diversitär
analog/digital ausgestaltete Ausgestaltung der Regel-/Auswerteeinheit
für sicherheitskritische Anwendungen,
-
4a:
eine zweite Ausgestaltung der erfindungsgemäßen
Regel-/Auswerteeinheit mit dreifacher Redundanz,
-
4b:
eine dritte Ausgestaltung der erfindungsgemäßen
Regel-/Auswerteeinheit mit dreifacher Redundanz,
-
5: eine Visualisierung der Reaktionen zweier
unterschiedlich ausgestalteter Messpfade auf eine sprunghafte Änderung
der Prozessgröße und
-
6:
eine Visulaisierung einer vierten Ausgestaltung der erfindungsgemäßen
Regel-/Auswerteeinheit, bei der der Voter u. a. die Funktion eines Schalters übernimmt.
-
1 zeigt
ein Blockschaltbild eines redundant/diversitär ausgestalteten
Druckmessgeräts. Obwohl an dieser Stelle auf eine Vorrichtung
zur Druckmessung Bezug genommen wird, versteht es sich von selbst,
dass die erfindungsgemäße Lösung in Verbindung
mit jeder Vorrichtung zur Messung einer physikalischen oder chemischen
Prozessgröße eingesetzt werden kann.
-
Entsprechende
Vorrichtungen sind in der Beschreibungseinleitung der vorliegenden
Patentanmeldung explizit – aber keinesfalls abschließend – beschrieben.
-
Bei
Feldgeräten 1, die in sicherheitskritischen Anwendungen
eingesetzt werden und die nach SIL-Security/Safety Integrity Level
nach IEC 61508 – klassifiziert sind, ist
eine unabhängige Überprüfung des in einem
Messpfad MP1, MP2, MP3 gelieferten Messergebnisses gefordert. Bisher
wurden in Feldgeräten 1 hierfür zwei
oder mehrere unterschiedliche Messpfade MP1, MP2, MP3 vorgesehen. Häufig
wird dabei der Messwert hardwaremäßig in einem
ersten Messpfad MP1 mit Hilfe eines ASICs 5 bestimmt. Zusätzlich
wird der Messwert noch softwaremäßig in einem
zweiten Messpfad MP2 mit einem auf einem Mikrocontroller 6 ablaufenden
Programm bestimmt. Der mit dem Mikrocontroller 6 ermittelte
diversitäre Messwert wird mit dem vom ASIC 5 ermittelten
Messwert verglichen. Sind beide Messwerte innerhalb einer vorgegebenen
Fehlertoleranz gleich – eine entsprechende Überprüfung
erfolgt in dem Voter 7 –, so kann man davon ausgehen,
dass das Feldgerät 1 einwandfrei arbeitet. Eine
Abweichung wird stets als ein Indiz für eine Fehlfunktion
gewertet. Bei Ungleichheit der beiden Messwerte wird folglich ein
Alarm erzeugt, der über eine digitale Kommunikationselektronik 8,
eine analoge Kommunikationselektronik 9 und ein Bussystem 10 an
eine übergeordnete Steuereinheit oder Leitwarte 12 weitergeleitet
wird. Ein entsprechendes Feldgerät 1 zur Druckmessung
wird von der Anmelderin unter der Bezeichnung Cerabar S Evolution
angeboten und vertrieben. Problematisch bei einer geradzahligen Anzahl
von Messpfaden MP1, MP2 ist, dass nicht spezifiziert werden kann,
in welchem der Messpfade MP1, MP2 der Fehler aufgetreten ist.
-
Das
in 1 dargestellte Feldgerät 1 ist
in 2 als Lösung mit einem partiell dynamisch
rekonfigurierbaren Logikbaustein 11 beschrieben. Das Feldgerät 1 arbeitet
nach einem in der jeweiligen Applikation vorgeschriebenen SIL- Standard.
Erfindungsgemäß werden in dem partiell dynamisch
rekonfigurierbaren Bereich des FPGAs 11 die entsprechenden
diversitären Funktionsmodule 5, 6 entweder seriell
oder parallel konfiguriert. Dadurch lässt sich die Auswerteeinheit
eines nicht SIL-fähiges Feldgerät erfindungsgemäß für
den SIL-Betrieb vorbereiten. Da zeitlich versetzt hard- oder softwaremäßige
Funktionsmodule 5, 6 nacheinander während
des Messbetriebs in demselben Bereich, also auf derselben Fläche,
konfiguriert werden können, ist der Speicherbedarf in Bezug
auf die bekannten Lösungen des Standes der Technik entsprechend
gering. Neben dem zeitweisen Entfernen einzelner Funktionsmodule 5, 6, 7, 8 und
dem Ersetzen durch andere Funktionsmodule 5', 6', 7', 8' ist
es auch möglich, einzelne Funktionsmodule 5, 6, 7, 8 in
ihrer Fläche zeitweise zu verringern, wobei die reduzierte
Fläche letztlich von der spezifischen Anwendung des Feldgerätes 1 abhängt.
-
Partiell
dynamisch rekonfigurierbare Logikbausteine 11 bieten verschiedene
Alternativen für die für den SIL-Betrieb notwendigen
Messpfade MP1, MP2, wobei in 2 die Alternative
Hardware 5/Software 6 dargestellt ist. Selbstverständlich
können auch die Alternativen Hardware 5/Hardware 5' oder Software 6/Software 6' angewendet
werden. Bei allen Alternativen mit zwei gleichwertigen Messpfaden MP1,
MP2 – Hardware 5/Hardware 5' bzw. Software 6/Software 6' – können
beide Gruppen von Funktionsmodulen sowohl redundant als auch diversitär ausgestaltet
sein. Einzelne Beispiele sind anhand der nachfolgenden Figuren im
Detail beschrieben.
-
3 zeigt
eine diversitäre analog/digital ausgestaltete Kontroll-/Auswerteeinheit 14 für
sicherheitskritische Anwendungen, die dreifach diversitär ausgestaltet
ist. Die für die jeweilige Applikation geeignete Ausgestaltung
wird auf dem FPGA 11 partiell dynamisch rekonfiguriert,
auf dem FPAA 18 werden die Analog-Komponenten bzw. die
analogen Funktionsmodule dynamisch konfiguriert.
-
Tritt
zwischen den Messergebnissen in den verschiedenen MP1, MP2, MP3
eine Abweichung auf, so wird diese als Warn- oder Fehlermeldung über die
Datenleitung, bei der es sich bevorzugt um einen Datenbus 10 handelt,
an die Leitwarte 12 bzw. an das Bedienpersonal ausgeben.
-
In
den Figuren 4a und 4b ist
jeweils eine Kontroll-/Auswerteeinheit 14 mit dreifacher
Redundanz gezeigt. Während bei der in 4a gezeigten
Lösung die dreifache Redundanz nur für die digitalen
Funktionsmodule der Kontroll-/Auswerteeinheit 14 ausgeführt
ist, betrifft die dreifache Redundanz bei der in 4b gezeigten
Ausgestaltung auch die analogen sensorseitigen Funktionsmodule.
Dreifach bzw. ungeradzahlig ausgelegte Messpfade haben gegenüber
geradzahligen ausgelegten Messpfaden den Vorteil, dass im Fehlerfall
der fehlerhafte Messpfade zweifelsfrei aufgefunden werden kann.
-
Im
Folgenden wird Bezug auf die Figuren 5a, 5b, 5c und 5d genommen.
In vielen Prozessen der Prozessautomatisierungstechnik hat die Antwortzeit
auf eine sprunghaft auftretende Änderung, also die Verarbeitungsgeschwindigkeit denselben
Stellenwert wie die Genauigkeit des ausgegebenen Ausgangssignals
eines Messpfades. Üblicherweise hängen beide Größen
miteinander zusammen, da eine höhere Genauigkeit entsprechend ausgestaltete
A/D Wandler voraussetzt. Deshalb ist eine hohe Genauigkeit des Ausgangssignals
eines Messpfades üblicherweise mit einer geringeren Verarbeitungsgeschwindigkeit
in dem Messpfad verknüpft, während eine höhere
Verarbeitungsgeschwindigkeit mit einer geringeren Verarbeitungsgeschwindigkeit
auf dem entsprechenden Messpfad einhergeht. Beispielsweise kann
mit Hilfe des Voters und des analogen Messpfades eine möglichst
kurze Antwortzeit bzw. eine möglichst geringe Verarbeitungsgeschwindigkeit
mit hoher Genauigkeit erreicht werden. Verwiesen wird in diesem
Zusammenhang auch auf die 6, die einen
als Schalter ausgestalteten Voter 7 aufweist, der dafür
Sorge trägt, dass im Falle einer sprunghaften Änderung
der Prozessgröße stets die optimalen Werte als
Ausgangssignale zur Verfügung gestellt werden.
-
Der
analog ausgestaltete Messpfad MP3 ist schneller aber weniger genau
als die beiden digitalen Messpfade MP1, MP2, die üblicherweise
denselben Typ von A/D Wandler verwenden. Der Voter 7 vergleicht
die Ausgangssignale der beiden digitalen Messpfade MP1, MP2 mit
dem Ausgangssignal des analogen Messpfades MP3. Liegt die Abweichung
innerhalb der Toleranzgrenzen des analogen Messpfades MP3, so wird
das Ausgangssignal der digitalen Messpfade MP1, MP2 an das analoge
Stromausgangsmodul 9 weitergegeben.
-
Sobald
sich während des Betriebs der vom entsprechenden Sensor/Messgerät
gelieferte Eingangswert sprunghaft ändert, wird das analoge
Ausgangssignals des analogen Messpfades MP3 dieser sprunghaften Änderung
schneller folgen als die Ausgangssignale der beiden langsameren
digitalen Messpfade MP1, MP2. Der Unterschied in den Ausgangssignalen
der digitalen Messpfade MP1, MP2 und in dem Ausgangssignal des analogen
Messpfades MP3 liegt dann außerhalb der Toleranz- bzw.
Genauigkeitsgrenzen des analogen Messpfades MP3. In diesem Fall
gibt der Voter 7 das Ausgangssignal des analogen Messpfades
aus. Der Voter 7 gibt nachfolgend solange das Ausgangssignal
des analogen Messpfades MP3 aus, bis die Ausgangssignale der digitalen
Messpfade MP1, MP2 wieder im Bereich der Toleranzgrenzen des Ausgangssignals
des analogen Messpfades MP3 liegen. Sobald die Ausgangssignale der
beiden digitale Messpfade MP1, MP2 wieder innerhalb der Toleranzgrenzen
des Ausgangssignals des analogen Messpfades MP3 liegen, gibt der
Voter 7 wieder die digitalen Ausgangssignale zur Auswertung
des Messwertes weiter. Obwohl in 3 drei Messpfade
MP1, MP2, MP3 verwendet werden, versteht es sich von selbst, dass
auch bereits bei zwei Messpfaden die erfindungsgemäße
Lösung zur Anwendung kommen kann. Ebenso können anstelle
eines langsamen digitalen Messpfades und eines schnellen analogen
Messpfades auch zwei digitale und/oder analoge Messpfade mit unterschiedlicher
Verarbeitungsgeschwindigkeit und unterschiedlicher Genauigkeit verwendet
werden.
-
Wie
bereits zuvor erwähnt, hat eine Ausgestaltung mit einer
ungeradzahligen Anzahl von Messpfaden gegenüber einer Ausgestaltung
mit einer geradzahligen Anzahl von Messpfaden den Vorteil, dass
bei dem entsprechenden Feldgerät ein Fehlerfall automatisch
in einem definierten Messpfad aufgespürt werden kann. Das
Feldgerät bleibt aufgrund von drei nebeneinander existierenden
Messpfaden stets sicher und verfügbar. Hierzu vergleicht
der Voter 7 in jedem Fall die Ausgangssignale von z. B.
drei Messpfaden MP1, MP2, MP3. Tritt ein Fehler in einem der beiden
digitalen Messpfade MP1, MP2 auf, wird er automatisch erkannt, da
die digitalen Messpfade MP1, MP2 zumindest näherungsweise
die gleiche Antwortzeit bzw. die gleiche Verarbeitungsgeschwindigkeit
aufweisen. Ein Fehler im analogen Messpfad MP3 ist auf Grund der
schnellen Verarbeitungsgeschwindigkeit bzw. Reaktionszeit wesentlich kritischer;
aber auch dieser lässt sich über die erfindungsgemäße
Lösung eindeutig identifizieren.
-
Bei
einer sprunghaften Änderung (5a) der
zu messenden Prozessgröße reagiert der analoge
Messpfad MP3 sehr schnell (5c), so
dass sich im Ausgangssignal auch sehr schnell die entsprechende
sprunghafte Änderung der Prozessgröße
spiegeln wird. Hingegen reagiert das bzw. reagieren die digitalen
Messpfade MP1, MP2 langsamer (5b). Folglich
wird das Ausgangssignal des digitalen Messpfades bzw. der digitalen
Messpfade MP1, MP2 eine signifikante Erhöhung in Reaktion
auf die sprunghafte Änderung der Prozessgröße
verzögert zeigen. Besitzt der A/D Wandler z. B. eine Architektur zweiter
Ordnung, so zeigt sich diese zweite Ordnung auch in der Sprungantwort.
Diese Änderung kann mit dem Ausgangssignal des analogen
Messpfades MP3 verglichen werden.
-
Sofern
die Differenz zwischen dem analogen Ausgangssignal und digitalen
Ausgangssignal größer ist als die Genauigkeit
des Ausgangssignals des analogen Messpfades und sofern das Ausgangssignal
des digitalen Messpfades MP1, MP2 noch nicht – wenn auch
verzögert – auf die sprunghafte Änderung hindeutet,
so liegt auf einem der beiden Messpfade MP1, MP2, MP3 ein Fehler
vor. Sind die Ausgangssignale in den beiden digitalen Messpfaden
MP1, MP2 gleich, so liegt der Fehler eindeutig im analogen Messpfad
MP3. Um nun diesen Fehler zu beheben, kann die Methode der Selbstheilung,
wie sie bereits zuvor beschrieben wurde, angewendet werden.
-
Erfindungsgemäß wird
für den Fall, dass sich die Antwortzeiten auf eine sprunghafte Änderung
der physikalischen oder chemischen Prozessgröße
in zumindest zwei Messpfaden MP1, MP2, MP3 voneinander unterscheiden,
die Regel-/Auswerteeinheit so ausgestaltet ist, dass sie während
der sprunghaften Änderung der physikalischen oder chemischen Prozessgröße
automatisch den Messpfad auswählt bzw. konfiguriert, der
die geringere Antwortzeit aufweist.
-
- 1
- Feldgerät
- 2
- Sensor
- 3
- Analoge
Sensorelektronik
- 4
- A/D-Wandler
- 5
- Funktionsmodul/ASIC
- 6
- Funktionsmodul/Mikrocontroller
- 7
- Funktionsmodul/Voter/Entscheidungslogik
- 8
- Funktionsmodul/Digitale
Kommunikationselektronik
- 9
- Analoge
Kommunikationselektronik
- 10
- Datenbus
- 11
- rekonfigurierbarer
Logikbaustein, partiell dynamisch rekonfigurierbarer FPGA/dynamisch rekonfigurierbarer
FPAA
- 12
- Leitwarte/übergeordnete
Steuereinheit
- 13
- Steuereinheit
- 14
- Regel-/Auswerteeinheit
-
ZITATE ENTHALTEN IN DER BESCHREIBUNG
-
Diese Liste
der vom Anmelder aufgeführten Dokumente wurde automatisiert
erzeugt und ist ausschließlich zur besseren Information
des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen
Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt
keinerlei Haftung für etwaige Fehler oder Auslassungen.
-
Zitierte Patentliteratur
-
-
Zitierte Nicht-Patentliteratur
-