JP4334572B2 - 拡張ハードウェアエラー検出を備えたプロセス測定装置 - Google Patents

Description

本発明は、プロセス測定装置に関し、特に拡張ハードウェアエラー検出を備えたプロセス測定装置に関する。

標準規格ＩＥＣ６１５０８（ＳＩＬ２）によるとプロセス測定装置の保証は、高い確率の生じるかもしれないハードウェア異常が、測定値の受信機で、エラー状態として検出および示されることが求められる。エラーの統計比率、それは測定値の受信機でエラー状態の正しい信号を発することをもたらし、ＳＦＦ（Ｓａｆｅ Ｆａｉｌｕｒｅ Ｆｒａｃｔｉｏｎ）と言われる。

本発明の目的は、それゆえ、ハードウェアエラーの場合に高い検出確率を示すプロセス測定装置を提供することである。
エラー頻度の統計分析は、特にプロセッサおよび他の高集積半導体部品、例えばメモリおよびＡＳＩＣは、決定的にプロセス測定装置の統計全体故障率の一因となることを示す。

その目的は、第一のアルゴリズムで第一の処理サイクルで測定値の処理を行う第一のプロセッサ、主に調整および／または通信に関与する第二のプロセッサを備え、さらに、第二のプロセッサは第一の処理サイクルより大きい時間間隔で第一のプロセッサからコントロールデータセットを読み出し、コントロールデータセットに基づいて第一のアルゴリズムを実行し、第一のプロセッサの正しい機能を検証する、プロセス測定装置により成し遂げられる。

第一のプロセッサは、非常に高速な処理サイクルを持つ専門のデジタルシグナルプロセッサが望ましい。第二のプロセッサは、例えば、デジタルシグナルプロセッサよりかなり遅く動作するマイクロコントローラである。

コントロールデータセットは、例えば、センサの生の測定値、および状態変数、同様に第一のプロセッサによりそれから計算された関連した結果値である。検証は、例えば、第一のプロセッサから読み出した結果と第二のプロセッサによる第一のアルゴリズムの実行の結果を直接比較することにより行われる。

第二のプロセッサはプログラムメモリを含んでいる。加えて、第二のプロセッサは、本発明の更なる発展において、チェックサムまたはＣＲＣ（Ｃｙｃｌｉｃ Ｒｅｄｕｎｄａｎｃｙ Ｃｈｅｃｋ）を用いて、定期的にそのプログラムメモリを検証できる。

第二のプロセッサは更にライト／リードメモリを含んでおり、第二のプロセッサは、本発明の更なる発展において、静的誤差に対してテストパターンを用いて定期的にテストできる。

第二のプロセッサは更に論理演算ユニット、およびライト／リードメモリを含んでおり、第二のプロセッサは、本発明の更なる発展において、静的誤差に対してテストアルゴリズムを用いて定期的にチェックできる。

本発明の更なる発展において、第二のプロセッサは、局所的にミラーされたメモリ領域を用いて第一のプロセッサのプログラムメモリのデータを比較および検証できる。
本発明の一態様において、第二のプロセッサは、局所的にミラーされた値との比較により、第一のプロセッサのデータメモリの既知の定数を検証できる。

本発明の更なる態様において、第二のプロセッサは、局所的にミラーされた値との比較により、第一のプロセッサのコンフィギュレーションレジスタを検証できる。
本発明の実施の形態において、プロセス測定装置は４．．２０ｍＡの２線式インターフェース（ｔｗｏ−ｗｉｒｅ ｉｎｔｅｒｆａｃｅ）を含む。任意で、監視回路は、第二のプロセッサの機能および関連したクロックをチェックでき、エラーの場合、第一のプロセッサおよび第二のプロセッサから独立して、４．．２０ｍＡの信号電流を介して、エラーを知らせることができる。

本発明は図面に示された実施の形態の例に基づいて説明されるであろう。その図は以下の通りである。
図１は、本発明の圧力センサの電子回路デバイスのブロック図である。
図２は、自己監視のブロック図である。

図１に表される本発明の圧力センサに関するモジュール電子機器は、センサ電子回路１およびメイン電子回路２を含む。メイン電子回路２は、センサ電子回路からシリアルインターフェースを介して受信されるセンサ信号を処理する。

センサ電子回路は、詳細には、その重要な仕事は、圧力測定セル１１または主センサの圧力信号、同様に温度信号を受信し、必要に応じてその信号レベルを調整するセンサＡＳＩＣ１２を備える。それと関連して、主センサの測定原理に応じて、抵抗性のセンサの場合は電流源が、容量性の圧力センサの場合は容量性のインターフェースがあり、アプリケーションに応じて、絶対／相対または差動圧力測定セルが接続可能である。実施の形態において調整は、差動および絶対値アンプとして、“プログラマブルゲインアンプ”（ＰＧＡ）と呼ばれる調整アンプを介して行われる。その後、調整された値はアナログ／デジタル変換され、シリアルインターフェースを介してメイン電子回路２に送られる。補正係数などのセンサ特有のデータは、センサＥＥＰＲＯＭ１３に格納される。

ＡＳＩＣ１２は、内部アンプおよびＡ／Ｄコンバータのオーバーランを検出し、そしてこれらを同様にシリアルインターフェースを介して、エラー電信の形でメイン電子回路２に報告するように設計されている。

メイン電子回路２は、基本的に以下の部品を含んでいる。圧力プロセッサ２１（デジタルシグナルプロセッサ（ＤＳＰ）が統合されたＡＳＩＣ）、それは特にセンサ電子回路１に対してシリアルインターフェースの役割を果たし、そのロウデータを受信し、それから出力値を計算する。アプリケーションのタイプに応じて、出力値は圧力が十分なレベルか流れているかを表すことができる。計算された結果は、例えば、パルス幅変調信号（ＰＷＭ）として与えられる。さらにプロセッサ２１の機能は、全測定送信機電子回路に対するクロック信号を生成する。

メイン電子回路は、さらに、通信ＡＳＩＣ２２を含み、この部品は外部に対する測定送信機のインターフェースとしての役割を果たす。その中に統合されたのは、全装置の電流供給に対するＤＣ／ＤＣコンバータおよび電流レギュレータであり、圧力プロセッサのＰＷＭ信号は４−２０ｍＡカレントループの対応する電流値に置かれている。加えてその中に統合されたのはフィールドレベルでの通信のためのＨＡＲＴモデム、高精度の電圧基準およびハードウェア監視機構である。

さらに、メイン電子回路は、測定プロセッサを初期化するために必要とされるマイクロコントローラ２５を含む。制御された動作において、押しボタンを介した現場の相互作用、ＨＡＲＴを介した遠隔の相互作用は、マイクロコントローラ２０を介して実現される。このために、ディスプレイ２３が備えられることもできる。

マイクロコントローラ２５の他の機能は、例えば、エラー処理、測定データをユーザの設定した単位に変換、通信ＡＳＩＣの監視機構のトリガ、最大／最小値および事象を超える測定範囲の記録、“流れ率”モードに対する合計カウンタ、および不揮発データの保存である。

圧力プロセッサ２１は、集積信号プロセッサを備えたＡＳＩＣである。その長所は、測定値の計算が高速かつ非常に省エネルギーという点にある。全負荷時、圧力プロセッサの消費電流は約６００μＡになる。

マイクロコントローラ２５もまた、事実、原理上はこれらの計算を行う能力がある。しかしながら、それは同じ計算スピードで、より多くのエネルギーを消費し、すなわち、４−２０ｍＡカレントループから供給を得る装置に対して過大である。マイクロコントローラはタイムクリティカルな計算と関係ないタスクに使用される。このように、電流消費を許容レベルに下げるために、非常に低下したクロックレートでチップを動作させることが可能である。

装置の初期化において、以下の特別な特徴に注意が払われる。複数の異なるセンサの組立品およびメイン電子回路の変形があるので、センサと電子回路の組み合わせの全ての可能性に対するソフトウェアソリューションを提供することは複雑すぎるであろう。これは、ソフトウェアを二つのパーツ、すなわちセンサ特有の部分とアプリケーション特有の部分に分けることにより避けられる。

センサ特有の部分はセンサＥＥＰＲＯＭ１３のセンサ電子回路に格納される。センサ電子回路がメイン電子回路から最初のクロック信号を受信したとき、それはそのプログラム部分をＥＥＰＲＯＭから読み出し、シリアル接続を介してメイン電子回路に送信する。そこで、センサプログラムはマイクロコントローラ２５によりＤＳＰ２１から読み出され、メイン電子回路のプログラムメモリから得たアプリケーション特有のプログラムと結合される。二つのプログラム部分は一緒に結合され、すなわち、メモリのアドレスのオフセットが変化し、異なる変数は同じメモリ領域を使用しない。この処理の完了の後で、今の完全なプログラムはＤＳＰに書き戻される。その後、測定変換のパラメータの構造のみがＤＳＰのデータメモリにロードされる必要がある。そして、測定送信機はその後に到着するロウデータからの測定値の使用および計算の準備ができている。

本発明の圧力センサは、ＩＥＣ６１５０８に準拠したＳＩＬ２レベルの機能安全の要求を満たすことが望ましい。この標準設定値は、装置に関する例えばＳａｆｅ Ｆａｉｌｕｒｅ Ｆｒａｃｔｉｏｎ（ＳＦＦ）のような、安全関連パラメータに関する最小値に関する量的な必要要件である。量的な必要要件を満たすために（例えば、ＳＦＦ＞９０％）、一般に、追加診断測定および監視機能は装置に必要である。部品レベルでの電子回路のＦＭＥＤＡ（故障モード（Ｆａｉｌｕｒｅ Ｍｏｄｅ）、効果および診断分析（Ｅｆｆｅｃｔ ａｎｄ Ｄｉａｇｎｏｓｔｉｃｓ Ａｎａｌｙｓｉｓ））を通して、後の最適化とともに、自己監視は、その設計は以下に記載され、ＳＩＬ２基準を満たすための貢献として特定される。

自己監視はソフトウェアパッケージから成り、特に、ＣＲＣ（Ｃｙｃｌｉｃ Ｒｅｄｕｎｄａｎｃｙ Ｃｈｅｃｋ）およびマイクロコントローラと同様にＥＥＰＥＯＭのＲＡＭおよびＲＯＭのチェックサムが実装されている。

自己監視は、さらに、マイクロコントローラの制御計算によるＤＳＰの機能のランダムサンプリング型チェックを備える。このために、図２に示すように、入力値および状態変数、同様に出力値はＤＳＰ２１から読み出される。入力値および状態変数から出力値が計算され、ＤＳＰはそれを出力する。その次に、測定された出力値は計算された出力値と比較される。もしこれを行うときに、差分が認められると、それは測定送信機のソフトウェアの上位の制御インスタンスに伝えられ、インスタンスは、それら側では、通信ＡＳＩＣ２２にエラー信号（ＨＡＲＴ）を発するように命令する。この信号に基づいて、測定送信機が接続された評価装置は、デバイスエラーを認識し、不具合のある装置の交換要求の報告のような、必要な措置を開始する。

メイン電子回路のＤＳＰ２１は計算を非常に速く行う。今、この部品を観察できるようにするために、少なくとも高速な計算が可能、または少なくともＤＳＰのデータを読み出し可能なアセンブリが必要とされる。実施の形態の本例では、マイクロコントローラ２５による自己監視が選択された。この解決法はマイクロコントローラ２５により行われる制御計算を含んでいる。拡張安全に対して、さまざまなハードウェアであっても、そのような場合、この手段は、追加のハードウェアの必要はなく、ケアはいらない。マイクロコントローラ２５の低い速度は、しかしながら、リアルタイムでのＤＳＰの計算の実行を妨げる。これは考慮されることである。

マイクロコントローラ２５は、それ故、ランダムサンプリングのみを行う。タイムクリティカルな処理は、そのような場合、状態変数のマイクロコントローラ２５（最近の測定周期の間に格納された値）およびセンサ電子回路の圧力および温度のロウデータ、同様にＤＳＰ２１の計算された出力値の読み込みだけである。その後のμＣの出力値の計算は、実際には時間非依存であり、それ故、要求されるたびに、他のプログラム部分により中断されることが可能である。

自己監視は主に三つのプログラム部分からなり、メインルーチン、測定値の記録、およびその後の比較を伴う独立した計算である。完全な自己監視は状態機械の形で実施され、記録および計算のために、二つの分離されたプロセスが意図的に使われる。これは割り込みレベルで二つの処理に異なる優先順位をつけることを可能にする。完全、有効なデータセットを使用可能時間で読み込むことができるように、測定値の記録は高い優先順位を要求する。もしこの処理が低いレベルで実行されると、割り込みによって、完全なデータデータセットが得られないため、自己監視は機能しない。対照的に、時間的制約が全くないため、計算は高い優先順位を必要としない。

センサおよびアプリケーション特有のプログラムには、いずれの場合にも、変数があり、それは以前の計測の値（減衰値、ノイズフィルタ）を含んでいる。そのような場合、ＤＳＰを通る完全なプログラムが続くのは１０ｍｓ未満なので、これらの値が非常に速く変化するという事実に注意が払われる。計算の制御に対して、別な方法でビットの精度（ｂｉｔ−ａｃｃｕｒａｔｅ）での比較は不可能なため、関連した点において時間内での数値が必要とされる。レジスタの呼び出しおよび冗長なスタック操作を削除する、アセンブラレベルでコード最適化された“インラインコード”を用いて、これは関連の変数の素早い読み込みにより達成される。

新しいデータパケットは、ＤＳＰに到達し、割り込みのきっかけとなり、自己監視の同期化に対して使うこともできる。割り込みルーチンで、カウンタ（フレームカウンタ）は、呼び出し毎に自動的にインクリメントされる。ある程度のフレームカウンタで状態変数の読み込みが追加機能性として統合される。

測定値記録は、センサＡＳＩＣの圧力値および温度値、以前の計算の間で
格納された結果、同様にＤＳＰの計算された出力値の読み込みを含む。値の読み込みの後、読み込んだ値が適切な時期に同じ測定地点を実際に表すかどうか、チェックされる。

その後、読み込みデータに基づき制御計算を行うために、ＤＳＰプログラムはマイクロコントローラ２５により実行される。制御計算の後、計算値と測定値の比較が行われる。もしマイクロコントローラが計算値と測定値との間にあまりに大きな差を検出すると、通信ＡＳＩＣはエラー電流および、要求に応じて、ＨＡＲＴを介してエラー報告を出力するように指示される。

本発明の圧力センサの電子回路デバイスのブロック図である。 自己監視のブロック図である。

Claims (10)

1. 第一のアルゴリズムで第一の処理サイクルで測定値の処理を行う、第一のプロセッサ（２１）と、
   調整および／または通信タスクに関与する、第二のプロセッサ（２５）と、
   を備えるプロセス測定装置であって、
   さらに、前記第二のプロセッサ（２５）は、前記第一の処理サイクルよりも大きい時間間隔で、コントロールデータセットを前記第一のプロセッサ（２１）から読み出し、前記コントロールデータセットに基づいて、前記第一のプロセッサの正しい機能を検証するために前記第一のアルゴリズムを実行するプロセス測定装置。
2. 前記コントロールデータセットは、センサの生の測定値および状態変数、同様に前記第一のプロセッサによりそれらから計算された関連した結果値を含むことを特徴とする請求項１記載のプロセス測定装置。
3. 前記検証は、前記第一のプロセッサから読み出した結果と前記第二のプロセッサによる前記第一のアルゴリズムの実行の結果との直接比較により行われることを特徴とする請求項１または２記載のプロセス測定装置。
4. 前記第二のプロセッサはプログラムメモリを備え、
   前記プログラムメモリはチェックサムまたはＣＲＣにより定期的に検証されることを特徴とする請求項１乃至３のいずれか１項に記載のプロセス測定装置。
5. 前記第二のプロセッサはライト／リードメモリをさらに備え、
   前記第二のプロセッサは静的誤差に対してテストパターンを用いて定期的にチェックできることを特徴とする請求項１乃至４のいずれか１項に記載のプロセス測定装置。
6. 前記第二のプロセッサはライト／リードメモリをさらに備え、
   前記第二のプロセッサは静的誤差に対してテストアルゴリズムを用いて定期的にチェックできることを特徴とする請求項１乃至５のいずれか１項に記載のプロセス測定装置。
7. 前記第二のプロセッサは前記第一のプロセッサのプログラムメモリのデータと局所的にミラーされたメモリ領域とを比較および検証することを特徴とする請求項１乃至６のいずれか１項に記載のプロセス測定装置。
8. 前記第二のプロセッサは局所的にミラーされた値との比較により前記第一のプロセッサのデータメモリの既知の定数を検証することを特徴とする請求項１乃至７のいずれか１項に記載のプロセス測定装置。
9. 前記第二のプロセッサは局所的にミラーされた値との比較により前記第一のプロセッサのコンフィギュレーションレジスタを定期的に検証することを特徴とする請求項１乃至８のいずれか１項に記載のプロセス測定装置。
10. 前記プロセス測定装置は４．．２０ｍＡの２線式インターフェース（ｔｗｏ−ｗｉｒｅ ｉｎｔｅｒｆａｃｅ）を備え、
    監視回路は、
    前記第二のプロセッサの機能および関連したクロックをチェックし、
    エラーの場合、前記第一のプロセッサ（２１）および前記第二のプロセッサ（２５）から独立して、４．．２０ｍＡの信号電流を介してエラーを知らせることを特徴とする請求項１乃至９のいずれか１項に記載のプロセス測定装置。