WO2010086073A1 - Feldgerät zur bestimmung und/oder überwachung einer physikalischen oder chemischen prozessgrösse - Google Patents

Abstract

Die Erfindung betrifft ein Feldgerät zur Bestimmung und/oder Überwachung einer physikalischen oder chemischen Prozessgröße bestehend aus einem Sensor (2), der entsprechend einem vorgegebenen Messprinzip arbeitet, und einer Regel-Auswerteeinheit (14), die die von dem Sensor (2) gelieferten Messdaten/Messwerte in Abhängigkeit von einem in der jeweiligen sicherheitskritischen Anwendung geforderten Sicherheitsstandard entlang einer vorgegebenen Anzahl von redundanten oder diversitären oder redundanten und diversitären Messpfaden (MP1, MP2 MP3) aufbereitet und/oder auswertet wobei für den Fall dass sich die Antwortzeiten auf eine sprunghafte Änderung der physikalischen oder chemischen Prozessgröße in zumindest zwei Messpfaden (MP1, MP2, MP3) voneinander unterscheiden, die Regel-/Auswerteeιnheιt (14) so ausgestaltet ist dass sie während der sprunghaften Änderung der physikalischen oder chemischen Prozessgröße automatisch den Messpfad (MP1, MP2, MP3) auswählt bzw. konfiguriert, der die geringere Antwortzeit aufweist.

Description

Feldgerät zur Bestimmung und/oder Überwachung einer physikalischen oder chemischen Prozessgroße

Die Erfindung betrifft ein Feldgerat zur Bestimmung und/oder Überwachung einer physikalischen oder chemischen Prozessgroße, bestehend aus einem Sensor, der entsprechend einem vorgegebenen Messprinzip arbeitet, und einer Regel-Auswerteeinheit, die die von dem Sensor gelieferten Messdaten/Messwerte in Abhängigkeit von einem in der jeweiligen sicherheitskritischen Anwendung geforderten Sicherheitsstandard entlang einer vorgegebenen Anzahl von redundanten oder diversitaren oder redundanten und diversitaren Messpfaden aufbereitet und/oder auswertet

In der Automatisierungstechnik, insbesondere in der Prozessautomati-sierungstechnik, werden Feldgerate eingesetzt, die zur Bestimmung und Überwachung von Prozessvaπablen dienen Beispiele für derartige Feldgerate sind Fullstandsmessgerate, Durchflussmessgerate Analysemessgerate Druck- und Temperaturmessgerate, Feuchte- und Leitfahigkeitsmessgerate, Dichte und Viskositatsmessgerate Die Sensoren dieser Feldgerate erfassen die entsprechenden Prozessvanablen, z B den Füllstand, den Durchfluss, den pH-Wert, die Stoffkonzentration den Druck, die Temperatur, die Feuchte die Leitfähigkeit, die Dichte oder die Viskosität

Unter den Begriff 'Feldgerate' werden aber auch Aktoren, z B Ventile oder Pumpen, subsumiert, über die beispielsweise der Durchfluss einer Flüssigkeit in einer Rohrleitung oder der Füllstand in einem Behalter veränderbar ist Eine Vielzahl solcher Feldgerate wird von der Firmengruppe Endress + Hauser angeboten und vertrieben

In der Regel sind Feldgerate in modernen automatiεierungstechnischen Anlagen über Kommunikationsnetzwerke, wie HART- Multidrop, Punkt zu Punkt Verbindung, Profibus Foundation Fieldbus, mit einer übergeordneten Einheit verbunden, die als Leitsysteme oder Leitwarte bezeichnet wird Diese übergeordnete Einheit dient zur Prozesssteueruπg, zur Prozessvisualisierung zur Prozessuberwachung sowie zur Inbetriebnahme und zum Bedienen der Feldgerate Für den Betrieb von Feldbussystemen notwendige Zusatzkomponenten die direkt an einen Feldbus angeschlossen sind und die insbesondere zur Kommunikation mit den übergeordneten Einheiten dienen, werden ebenfalls häufig als Feldgerate bezeichnet Bei diesen Zusatz-komponenten handelt es sich z B um Remote I/Os, um Gateways, um Linking Devices oder um Controller

Der Software-Anteil bei Feldgeraten steigt stetig an Der Vorteil beim Einsatz von Mikrocontroller-gesteuerten Feldgeraten besteht darin, dass sich über anwendungsspezifische Softwareprogramme eine Vielzahl von uπterschied-hchen Funktionalitäten in einem Feldgerat realisieren lassen auch lassen sich Programmanderungen relativ emfach durchfuhren Der hohen Flexibilität der programmgesteuerten Feldgerate stehen auf der anderen Seite afs Folge der sequentiellen Programmabarbeitung eine relativ geringe Verarbeitungs-geschwindigkeit und damit eine entsprechend geringe Messrate entgegen

Um die Verarbeitungsgeschwmdigkeit zu erhohen werden immer dann wenn es sinnvoll ist, in den Feldgeraten ASICs - Application Specific Integrated Circuits - eingesetzt Durch die anwendungsspezifische Konfiguration können diese Bausteine Daten und Signale wesentlich schneller verarbeiten, als dies ein Softwareprogramm tun kann Insbesondere für rechenintensive Anwendungen sind ASiCs hervorragend geeignet

Nachteilig bei der Applikation von ASICs ist, dass die Funktionalität dieser Bausteine fest vorgegeben ist Eine nachträgliche Änderung der Funktionalität ist bei diesen Bausteinen nicht ohne weiteres möglich Weiterhin zahlt sich der Einsatz von ASICs nur bei relativ großen Stuckzahlen aus, da der Entwicklungsaufwand und die damit verbundenen Kosten hoch sind

Um den Missstand der fest vorgegebenen Funktionalität zu umgehen, ist aus der WO 03/098154 ein konfigurierbares Feldgerat bekannt geworden, bei dem ein rekonfigunerbarer Logikbaustein in Form eines FPGAs vorgesehen ist Bei dieser bekannten Losung wird beim Systemstart der Logikbaustein mit mindestens einem MikroController der auch als Embedded Controller bezeichnet wird, konfiguriert Nachdem die Konfiguration abgeschlossen ist, wird die erforderliche Software in den Mikrocontroller geladen Der hierbei benotigte rekonfigunerbare Logikbaustein muss über ausreichende Ressourcen, und zwar Logik-, Verdrahtungs- und Speicherressourcen, verfugen, um die gewünschten Funktionalitäten zu erfüllen Logikbausteine mit vielen Ressourcen benotigen viel Energie, was wiederum aus funktioneller Sicht ihren Einsatz in der Prozeεsautomatisierung uneingeschränkt möglich macht Nachteilig beim Einsatz von Logikbausteinen mit wenigen Ressourcen und somit mit einem geringeren Energieverbrauch ist die erhebliche Einschränkung in der Funktionalität des entsprechenden Feldgerats

Je nach Anwendungsfall müssen die Feldgerate unterschiedlichsten

Sicherheitsanforderungen genügen Um den jeweiligen Sicherheits-anforderungen, z B dem SIL-Standard Secuπty Integπty Level zu genügen, müssen die Feldgerate redundant und/oder diversitar ausgelegt sein

Redundanz bedeutet erhöhte Sicherheit durch doppelte oder mehrfache Auslegung aller sicherheitsrelevanter Hard- und Software-Komponenten Diversitat bedeutet, dass die in den unterschiedlichen Messpfaden befindlichen Hardware-Komponenten, wie z B ein Mikroprozessor, von unterschiedlichen Herstellern stammen und/oder dass sie von unterschiedlichem Typ sind Im Falle von Software-Komponenten erfordert die diversitare, dass die in den Mikroprozessoren gespeicherte Software aus unterschiedlichen Quellen, sprich von unterschiedlichen Herstellern bzw Programmierern stammt Durch alle diese

Maßnahmen soll sichergestellt werden dass ein sicherheitskritischer Ausfall des Messgerats ebenso wie das Auftreten von gleichzeitig auftretenden systematischen Fehlern bei der Messwertbereitstellung mit hoher Wahrscheinlichkeit ausgeschlossen ist Auch ist es bekannt, zusätzlich auch noch einzelne wesentliche Hardware- und Software-Komponenten der Auswerteschaltung redundant und/oder diversitar auszulegen Durch die redundante und diversitare Auslegung einzelner von Hardware- und Software-Komponenten lasst der Grad der Sicherheit noch einmal erhohen

Ein Beispiel für eine sicherheitsrelevante Applikation ist die Fuilstands-uberwachung in einem Tank, in dem eine brennbare oder auch eine nicht brennbare, dafür aber waεsergefahrdende Flüssigkeit gelagert ist Hier muss sichergestellt sein, dass die Zufuhr von Flüssigkeit zu dem Tank sofort unterbrochen wird sobald ein maximal zulassiger Füllstand erreicht ist Dies wiederum setzt voraus, dass das Messgerat hoch zuverlässig den Füllstand detektiert und fehlerfrei arbeitet Problematisch wird die redundante und/oder diversitare Auslegung von Messpfaden, wenn die Verarbeitungs-geschwindigkeit in den zumindest zwei Messpfaden voneinander abweicht

Der Erfindung liegt die Aufgabe zugrunde, ein Feldgerat vorzuschlagen, das eine unterschiedliche Verarbeitungsgeschwindigkeit in zwei redundant und/oder diversitar ausgelegten Messpfaden kompensieren kann

Die Aufgabe wird dadurch gelost, dass für den FaIi₁ dass sich die Antwortzeiten auf eine sprunghafte Änderung der physikalischen oder chemischen Prozessgroße in zumindest zwei Messpfaden voneinander unterscheiden, die Regel-/Auswerteeinheιt so ausgestaltet ist, dass sie wahrend der sprunghaften Änderung der physikalischen oder chemischen

Prozessgroße automatisch den Mesεpfad auswählt bzw konfiguriert, der die geringere Antwortzeit aufweist Im Einzelfall richtet sich die Ausgestaltung der Messpfade nach dem jeweiligen Sicherheitsstandard, 2 B nach SSL1 SIL2 SIL3 Der Stcherheitsstandard erfordert beispielsweise eine redundante oder eine diversitare Auslegung der Hard- und Software- Komponenten Dies bedeutet, dass die redundanten Komponenten von unterschiedlichen Herstellern bezogen werden, wodurch systematische Fehlfunktionen der Komponenten mit hoher Wahrscheinlichkeit ausgeschlossen werden können Im Falle von Software bedeutet diversitar, dass die Programme von unterschiedlichen Programmierfirmen bzw unterschiedlichen Programmierern erstellt werden Auch hierdurch soll mit an Sicherheit grenzender Wahrscheinlichkeit die Elimmierung von systematischen Fehlern erzielt werden

Eine bevorzugte Ausgestaltung des erfindungsgemaßen Feldgerats sieht vor dass die Regel-/Auswerteeιnheιt zumindest teilweise als rekonfiguπerbarer Logikbaustein mit mehreren partiell dynamisch (FPGA) und/oder dynamisch rekonfiguπerbaren Funktionsmσdulen (FPAA) ausgebildet ist, und dass die Regel-/Auswerteeιnheιt die Funktionsmodule in den Messpfaden in Abhängigkeit von der jeweils definierten sicherheitskπtischen Anwendung so konfiguriert dass das Feldgerat entsprechend dem geforderten Sicherheitsstandard ausgelegt ist Der Vorteil der partiell dynamisch oder dynamisch rekonfiguπerbaren Funktionsmodule in den Messpfaden zeichnet sich durch eine hohe Flexibilität bei kleinem Platzbedarf aus Unter dynamisch wird m diesem Zusammenhang verstanden dass die Rekonfiguπerung wahrend des Betriebs des Feldgerats erfolgt

Weiterhin ist vorgesehen dass die Regel-/Auswerteeιnheιt in jedem der Messpfade digital- hardware- und/oder anatog-hardware und/oder softwarebasierte Funktionsmodule rekonfiguriert

Bei dem Logikbaustein handelt es sich vorteilhafter Weise um einen dynamisch partiell rekonfiguπerbaren FPGA für die digitalen Funktionsmodule und/oder um einen dynamisch rekonfiguπerbaren FPAA für die analogen Funktionsmodule

Eine vorteilhafte Weiterbildung des erfindungsgemaßen Feldgerats sieht vor, dass einer der Messpfade als analoger Kanal oder digitaler Kanal und ein anderer der Messpfade als digitaler Kanal oder analoger Kanal ausgestaltet ist, wobei einer der beiden Kanäle sich durch eine geringere Verarbeitungsgeschwindigkeit für die Bereitstellung eines Ausgangssignals oder eine höhere Genauigkeit des Ausgangssignals auszeichnet als der jeweils andere Kanal Üblicherweise zeichnet sich der analoge Kanal durch eine höhere Verarbeitungsgeschwindigkeit aber durch eine geringere Genauigkeit als der digitale Kanal aus Es kann sich aber genauso gut um zumindest zwei analoge oder zumindest zwei digitale Kanäle handeln, die die o g Kriterien bezüglich Verarbeitungsgeschwindigkeit und Genauigkeit erfüllen

Weiterhin sieht eine Ausfuhrungsform des erfindungsgemaßen Feldgerats vor, dass der Rege!-/Auswerteeιnheιt ein Voter z B ein Mikrokontroiler zugeordnet ist, der die von den einzelnen oder in den einzelnen Messpfaden zur Verfugung gestellten Ausgangssignale miteinander vergleicht und jeweils das Ausgangssignal des Kanals mit der höheren Genauigkeit bereitstellt, solange die Abweichung zwischen den Ausgangssignalen des Kanals mit der höheren Genauigkeit und des Kanals mit der geringeren Genauigkeit aber der höheren Verarbeitungsgeschwindigkeit innerhalb der Toleranzgrenzen des Kanals mit der höheren Reaktionszeit liegt

Insbesondere ist vorgesehen, dass im Falle einer sprunghaften Änderung der Prozessgroße der Voter bzw der Mikrokontroiler so lange das Ausgaπgssignal mit der geringeren Genauigkeit und der höheren Verarbeitungsgeschwindig-keit ausgibt, bis das Ausgangssignal mit der höheren Genauigkeit aber der geringeren Verarbeitungsgeεchwindigkeit den Wert des Ausgangssignals mit der geringeren Genauigkeit aber der höheren Verarbeitungsgeschwindigkeit Geschwindigkeit erreicht hat

Als besonders vorteilhaft wird es angesehen wenn eine ungeradzahlige Anzahl von Messpfaden vorgesehen bzw konfiguriert ist Bei einem auftretenden Fehler ist es dann möglich den fehlerhaften Messpfad zu definieren

Hierbei erzeugt der Voter bzw der Mikrocontroller im Falle einer Abweichung der

Ausgangssignale von zwei Messpfaden bzw Kanälen eine Warn- oder Fehlermeldung, wenn die Differenz zwischen den Ausgangssignalen von zwei Messpfaden großer ist als die Genauigkeit des Messpfades mit der höheren Verarbeitungsgeschwindigkeit und wenn sich in dem Ausgangssignal des Messpfades mit der geringeren Verarbeitungsgeschwindigkeit keine Reaktion auf die sprunghafte Änderung der Prozessgroße zeigt

Darüber hinaus wird vorgeschlagen dass die Regel-/Auswerteeιnheιt seriell oder parallel die Funktionsmodute für eine ungeradzahlige Anzahl von redundanten oder diversitaren oder redundanten und diversitaren Messpfaden partiell dynamisch oder dynamisch konfiguriert, dass die Regel-/Auswerteeinheit die von oder in den Messpfaden zur Verfugung gestellten Daten miteinander vergleicht, und dass die Regel /Auswerteeinheit eine Warnmeldung generiert, dass ein definierter Messpfad fehlerhafte Daten liefert, wenn auf dem definierten Messpfad Daten zur Verfugung gestellt werden, die von den Daten der verbleibenden Messpfade abweichen

Weiterhin wird vorgeschlagen, dass die Regel-/Auswerteeιnheιt die einzelnen Funktionsmodule oder eine m einem Messpfad angeordnete Gruppen von

Funkfionsmodulen in einem definierten ersten Bereich des Logikbaustein rekonfiguriert und dass ein Mikrocontroller vorgesehen ist, der durch Vergleich der Daten einzelner Funktionsmodule oder Gruppen von Funktionsmodulen mit entsprechenden redundanten oder diversitaren Funktionsmodulen oder Gruppen von Funktionsmodulen ermittelt, ob das Funktionsmodul oder die Gruppe von Funktionsmodulen in dem ersten Bereich des Logikbausteins korrekt arbeitet oder fehlerhaft ist

Darüber hinaus wird es als vorteilhaft angesehen, wenn die Regel-/Auswerteeιnheιt im Fall eines ermittelten Fehlers das fehlerhafte Funktionsmodul bzw die fehlerhafte Gruppe von Fuπktioπsmodulen erneut in dem ersten Bereich rekonfiguriert und die entsprechenden Daten miteinander vergleicht

Ebenso ist vorgesehen dass die Regel-/Auswerteeιnheιt im Falle des erneuten Auftretens eines Fehlers ein diversitares Funktionsmodul oder die Gruppe von diversitaren Funktionsmodulen in den ersten Bereich des Logikbausteins ladt

Im Falle des abermaligen Auftretens eines Fehlers sperrt die Regel-/Auswerteeιnheιt den ersten Bereich des Logikbausteins und rekonfiguπert das entsprechende Funktionsmodul bzw die entsprechende Gruppe von Funktionsmodulen in einem von dem ersten Bereich des Logikbausteins abweichenden zweiten Bereich des Logikbaustein anschließend werden die entsprechenden Daten miteinander verglichen

Weiterhin ist vorgesehen, dass die Regel-/Auswerteeιnheit im Falle des wiederholten Auftretens eines Fehlers eine Meldung ausgibt, dass das Funktionsmodul bzw die Gruppe von Funktionsmodulen fehlerhaft arbeitet und wobei die Regel-/Auswerteeιnheιt einen redundanten und/oder diversitaren Funktionsblock in dem zweiten Bereich rekonfiguπβrt

Gemäß einer vorteilhaften Ausgestaltung des erfindungsgemaßen Feldgerats ist ein Test- Mikroprozessor vorgesehen, der ein Testsignal oder ein Testmuster auf ein Funktionsmodul oder eine Gruppe von Funktionsmodulen gibt und durch einen Vergleich der IST-

Antwortdaten auf das Testsignal oder das Testmuεter mit entsprechenden abgespeicherten SOLL-Antwortdaten die Funktion des Fuπktionsmoduls oder die Funktion der Gruppe von Funktionsmodulen überprüft

Üblicherweise ist in dem statischen Bereich zumindest ein Funktionsmodul, z B die der Voter, z B der Mikrokontroller, m dem das Steuerprogramm zur Konfigurierung der Funktionsmodule ablauft, permanent konfiguriert

Weiterhin wird vorgeschlagen, dass der Logikbaustein eine Vielzahl von Logikzellen in einer fest verdrahteten FPGA / Standard ASIC Struktur aufweist wobei die Logikzellen mittels Konfigurationsregisterπ so konfigurierbar sind, dass sie elementare Logikfunktionen ausfuhren wobei eine Verknupfungsmatπx mit einer Vielzahl von Speicherzellen vorgesehen ist über die unterschiedliche logische Verknüpfungen der Logikzellen in definierten komplexen Verknüpfungen mittels der Konfigurationsregister konfigurierbar sind, und dass eine zweite Steuereinheit vorgesehen ist, die die Lσgikzelleπ und die Verknupfungsmatπx über einen internen Bus und über die Konfigurationsregister mittels eines Konfigurattons-Bitstrom partiell dynamisch so konfiguriert dass die fest verdrahtete FPGA / ASIC Struktur sich funktional wie ein partiell dynamisch rekonfigunerbarer Standard Logikbauεtein verhalt

Die Erfindung wird anhand der nachfolgenden Figuren naher erläutert Es zeigt

Fig 1 ein Blockschaltbild eines redundant/diversitar ausgestalteten Druckmessgerats, das einem vorgegebenen Sicherheitsstandard entspricht

Fig 2 ein Blockschaltbild eines erfindungsgemaßen partiell dynamisch rekonfiguπerbaren Druckmessgerats, das einem vorgegebenen Sicherheitsstandard entspricht

Fig 3 eine erste erfmdungεgemaße diversitar analog/digital ausgestaltete Ausgestaltung der Regel-/Auswerteeιnheιt für sicherheitskritische Anwendungen,

Fig 4a eine zweite Ausgestaltung der erfindungsgemaßen Regel-/Auswerteeιnheιt mit dreifacher Redundanz,

Fig 4b eine dritte Ausgestaltung der erfindungsgemaßen Regel-/Auswerteeιnheιt mit dreifacher Redundanz, Fig 5 eine Visualisierung der Reaktionen zweier unterschiedlich ausgestalteter Messpfade auf eine sprunghafte Änderung der Prozessgroße und

Fig 6 eine Visulaisierung einer vierten Ausgestaltung der erfind ungsgemaßen Regel /Auswerteeinheit bei der der Voter u a die Funktion eines Schalters übernimmt

Fig 1 zeigt ein Blockschaltbild eines redundant/diversitar ausgestalteten Druckmessgerats Obwohl an dieser Stelle auf eine Vorrichtung zur Druckmessung Bezug genommen wird versteht es sich von selbst, dass die erfmdungsgemaße Losung in Verbindung mit jeder Vorrichtung zur Messung einer physikalischen oder chemischen Prozessgroße eingesetzt werden kann Entsprechende Vorrichtungen sind in der Beschreibungseinleitung der vorliegenden Patentanmeldung explizit - aber keinesfalls abschließend - beschrieben

Bei Feldgerateπ 1 , die in sscherheitskritischeπ Anwendungen eingesetzt werden und die nach SIL - Secunty /Safety Iπtegπty Level nach IEC 61508 - klassifiziert sind, ist eine unabhängige Überprüfung des in einem Messpfad MP1 , MP2 MP3 gelieferten Messergebnisses gefordert Bisher wurden in Feldgeraten 1 hierfür zwei oder mehrere unterschiedliche Messpfade MP1 , MP2 MP3 vorgesehen Häufig wird dabei der Messwert hardwaremaßig in einem ersten Messpfad MP1 mit Hiife eines ASICs 5 bestimmt Zusatzlich wird der Messwert noch softwaremaßig in einem zweiten Messpfad MP2 mit einem auf einem MikroController 6 ablaufenden Programm bestimmt Der mit dem MikroController 6 ermittelte diversitare Messwert wird mit dem vom ASIC 5 ermittelten Messwert verglichen Sind beide Messwerte innerhalb einer vorgegebenen Fehlertoleranz gleich - eine entsprechende Überprüfung erfolgt in dem Voter 7 - so kann man davon ausgehen dass das Feldgerat 1 einwandfrei arbeitet Eine Abweichung wird stets als etn Indiz für eine Fehlfunktion gewertet Bei Ungleichheit der beiden Messwerte wird folglich ein Alarm erzeugt der über eine digitale Kommunikationselektronik 8 eine analoge Kommumkationselektronik 9 und ein Bussystem 10 an eine übergeordnete Steuereinheit oder Lettwarte 12 weitergeleitet wird Em entsprechendes Feldgerat 1 zur Druckmessung wird von der Anmeldeπn unter der Bezeichnung Cerabar S Evolution angeboten und vertrieben Problematisch bei einer geradzahligen Anzahl von Messpfaden MP1 , MP2 ist dass nicht spezifiziert werden kann in welchem der Messpfade MP1 MP2 der Fehler aufgetreten ist

Das in Fig 1 dargestellte Feldgerat 1 ist in Fig 2 als Losung mit einem partiell dynamisch rekonfigunerbaren Logikbaustein 11 beschrieben Das Feldgerat 1 arbeitet nach einem in der jeweiligen Applikation vorgeschriebenen SIL-Standard Erfindungsgemaß werden in dem partiell dynamisch rekonfϊguπerbaren Bereich des FPGAs 11 die entsprechenden diversitaren Funktionsmodule 5 6 entweder seriell oder parallel konfiguriert Dadurch lasst sich die Auswerteeinheit eines nicht SIL-fahiges Feldgerat erfindungsgemaß für den SIL- Betrieb vorbereiten Da zeitlich versetzt hard- oder softwaremaßige Funktionsmodule 5 6 nacheinander wahrend des Messbetriebs in demselben Bereich also auf derselben Flache, konfiguriert werden können ist der Speicherbedarf in Bezug auf die bekannten Losungen des Standes der Technik entsprechend gering Neben dem zeitweisen Entfernen einzelner Funktionsmodule 5 6 7 8 und dem Ersetzen durch andere Funktionsmodule 5 , 6 , 7 8 ist es auch möglich, einzelne Funktionsmodule 5 6 7 8 in ihrer Flache zeitweise zu verringern, wobei die reduzierte Flache letztlich von der spezifischen Anwendung des Feldgerates 1 abhangt

Partiell dynamisch rekonfiguπerbare Logikbausteine 11 bieten verschiedene Alternativen für die für den SIL-Betπeb notwendigen Messpfade MP1 , MP2 wobei in Fig 2 die Alternative Hardware 5 / Software 6 dargestellt ist Selbstverständlich können auch die Alternativen Hardware 5 / Hardware 5 oder Software 6 / Software 6 angewendet werden Bei allen Alternativen mit zwei gleichwertigen Messpfaden MP1 , MP2 - Hardware 5 / Hardware 5 bzw Software 6 /Software 6 - können beide Gruppen von Funktionsmodulen sowohl redundant als auch diversitar ausgestaltet sein Einzelne Beispiele sind anhand der nachfolgenden Figuren im Detail beschrieben

Fig 3 zeigt eine diversitare analog/digital ausgestaltete Kontroll-/Auswerte-eιnheιt 14 für sicherheitεkπtische Anwendungen, die dreifach diversitar ausgestaltet ist Die für die jeweilige Applikation geeignete Ausgestaltung wird auf dem FPGA 11 partiell dynamisch rekonfiguriert auf dem FPAA 18 werden die Analog-Komponenten bzw die analogen Funktionsmodule dynamisch konfiguriert

Tritt zwischen den Messergebnissen in den verschiedenen MP1 , MP2, MP3 eine Abweichung auf, so wird diese als Warn- oder Fehlermeldung über die Datenleitung bei der es sich bevorzugt um einen Datenbus 10 handelt an die Leitwarte 12 bzw an das Bedienpersonal ausgeben

In den Figuren Fig 4a und Fig 4b ist jeweils eine Kontroll-/ Auswerteeinheit 14 mit dreifacher Redundanz gezeigt Wahrend bei der in Fig 4a gezeigten Losung die dreifache Redundanz nur für die digitalen Funktionsmodule der Kontroil /Auswerteeinheit 14 ausgeführt ist betrifft die dreifache Redundanz bei der in Fig 4b gezeigten Ausgestaltung auch die analogen sensorseitigen Funktionsmodule Dreifach bzw ungeradzahlig ausgelegte Messpfade haben gegenüber geradzahligen ausgelegten Messpfaden den Vorteil dass im Fehlerfall der fehlerhafte Messpfade zweifelsfrei aufgefunden werden kann

Im Folgenden wird Bezug auf die Figuren Fig 5a, Fig 5b, Fig 5c und Fig 5d genommen In vielen Prozessen der Prozessautomatisierungεtechnik hat die Antwortzeit auf eine sprunghaft auftretende Änderung also die Verarbeitungs-geschwindigkeit denselben Stellenwert wie die Genauigkeit des ausgegebenen Ausgangssignals eines Messpfades Üblicherweise hangen beide Großen miteinander zusammen, da eine höhere Genauigkeit entsprechend ausgestaltete A/D Wandler voraussetzt Deshalb ist eine hohe Genauigkeit des Ausgangssignais eines Messpfades üblicherweise mit einer geringeren Verarbeitungsgeschwindigkeit in dem Messpfad verknüpft wahrend eine höhere Verarbeitungsgeschwindigkeit mit einer geringeren Verarbeitungsgeschwindigkeit auf dem entsprechenden Messpfad einhergeht Beispielsweise kann mit Hilfe des Voters und des analogen Messpfades eine möglichst kurze Antwortzeit bzw eine möglichst geringe

Verarbeitungs-geschwindigkeit mit hoher Genauigkeit erreicht werden Verwiesen wird in diesem Zusammenhang auch auf die Fig 6, die einen als Schalter ausgestalteten Voter 7 aufweist, der dafür Sorge tragt, dass im Falle einer sprunghaften Änderung der Prozessgroße stets die optimalen Werte ais Ausgangssignale zur Verfugung gestellt werden

Der analog ausgestaltete Messpfad MP3 ist schneller aber weniger genau als die beiden digitalen Messpfade MP1 , MP2, die üblicherweise denselben Typ von A/D Wandler verwenden Der Voter 7 vergleicht die Ausgangssignale der beiden digitalen Messpfade MP1 , MP2 mit dem Ausgangssignal des analogen Messpfades MP3 Liegt die Abweichung innerhalb der Toleranzgrenzen des analogen Mesεpfades MP3, so wird das Ausgangssignal der digitalen Messpfade MP1 , MP2 an das analoge Stromausgangsmodul 9 weitergegeben

Sobald sich wahrend des Betriebs der vom entsprechenden Sensor / Messgerat gelieferte Eiπgaπgswert sprunghaft ändert, wird das analoge Ausgangssignals des analogen

Messpfades MP3 dieser sprunghaften Änderung schneller folgen als die Ausgangssignale der beiden langsameren digitalen Messpfade MP1 , MP2 Der Unterschied in den Ausgangssignalen der digitalen Messpfade MP1 , MP2 und in dem Ausgangssignal des analogen Messpfades MP3 liegt dann außerhalb der Toleranz- bzw Genauigkeits-grenzen des analogen Messpfades MP3 In diesem Fall gibt der Voter 7 das Ausgangssigna! des analogen Messpfades aus Der Voter 7 gibt nachfolgend solange das Ausgangssigπal des analogen Messpfades MP3 aus, bis die Ausgangssignale der digitalen Messpfade MP1 , MP2 wieder im Bereich der Toleranzgrenzen des Ausgangssignals des analogen Messpfades MP3 liegen Sobald die Ausgangssignale der beiden digitale Messpfade MP1 , MP2 wieder innerhalb der Toleranzgrenzen des Ausgangssignals des analogen Messpfades MP3 hegen gibt der Voter 7 wieder die digitalen Ausgangs-signaJe zur Auswertung des Messwertes weiter Obwohl in Fig 3 drei Messpfade MP1 MP2 MP3 verwendet werden versteht es sich von selbst dass auch bereits bei zwei Messpfaden die erfindungsgemaße Losung zur Anwendung kommen kann Ebenso können anstelle eines langsamen digitalen Messpfades und eines schnellen analogen Meεspfades auch zwei digitale und/oder analoge Messpfade mit unterschiedlicher Verarbeituπgs-geschwindtgkeit und unterschiedlicher Genauigkeit verwendet werden

Wie bereits zuvor erwähnt, hat eine Ausgestaltung mit einer ungeradzahligen Anzahl von Messpfaden gegenüber einer Ausgestaltung mit einer geradzahligen Anzahl von Messpfaden den Vorteil, dass bei dem entsprechenden Feldgerat ein Fehlerfall automatisch in einem definierten Messpfad aufgespurt werden kann Das Feidgerat bleibt aufgrund von drei nebeneinander existierenden Messpfaden stets sicher und verfugbar Hierzu vergleicht der Voter 7 in jedem Fall die Ausgangssignale von z B drei Messpfaden MP1 MP2, MP3 Tritt ein Fehler in einem der beiden digitalen Messpfade MP1 MP2 auf, wird er automatisch erkannt, da die digitalen Messpfade MP1 MP2 zumindest naherungsweise die gleiche Antwortzeit bzw die gleiche Verarbeitungsgeschwindigkeit aufweisen Em Fehler im analogen Messpfad MP3 ist auf Grund der schnellen Verarbeitungs-geschwindigkeit bzw Reaktionszeit wesentlich kritischer aber auch dieser lasst sich über die erfindungsgemaße Losung eindeutig identifizieren

Bei einer sprunghaften Änderung (Fig 5a) der zu messenden Prozessgroßs reagiert der analoge Messpfad MP3 sehr schnell (Fig 5 c), so dass sich im Ausgangssignal auch sehr schnell die entsprechende sprunghafte Änderung der Prozeεsgroße spiegeln wird Hingegen reagiert das bzw reagieren die digitalen Messpfade MP1 , MP2 langsamer (Fig 5b) Folglich wird das Ausgangssignal des digitalen Messpfades bzw der digitalen Messpfade MP1 MP2 eine signifikante Erhöhung in Reaktion auf die sprunghafte Änderung der Prozessgroße verzögert zeigen Besitzt der A/D Wandler z B eine Architektur zweiter Ordnung, so zeigt sich diese zweite Ordnung auch in der Sprungantwort Diese Änderung kann mit dem Ausgangssignal des analogen Messpfades MP3 verglichen werden

Sofern die Differenz zwischen dem analogen Ausgangssignal und digitalen Ausgangssignal großer ist als die Genauigkeit des Ausgangssignals des analogen Messpfades und sofern das Ausgangssignal des digitalen Messpfades MP1 MP2 noch nicht - wenn auch verzögert - auf die sprunghafte Änderung hindeutet, so hegt auf einem der beiden Messpfade MP1 , MP2 MP3 ein Fehler vor Sind die Ausgaπgssignale in den beiden digitalen Messpfaden MP1 , MP2 gleich so hegt der Fehler eindeutig im analogen Messpfad MP3 Um nun diesen Fehler zu beheben kann die Methode der Selbstheilung, wie sie bereits zuvor beschrieben wurde, angewendet werden

Ertϊndungsgemaß wird für den Fall, dass sich die Antwortzeiten auf eine sprunghafte Änderung der physikalischen oder chemischen Prozessgroße in zumindest zwei Messpfadeπ MP1 , MP2 MP3 voneinander unterscheiden die Regel-/Auεwerteeιnheιt so ausgestaltet ist, dass sie wahrend der sprunghaften Änderung der physikalischen oder chemischen

Prozessgroße automatisch den Messpfad auswählt bzw konfiguriert, der die geringere Antwortzeit aufweist

Bezugszeichenliste

1 Feldgerat

2 Sensor

3 Analoge Sensorelektronik

4 A/D-Wandier

5 Funktionsmodul / ASIC 6 Funktionsmodul / MikroController

7 Funktionsmodul / Voter / Entscheidungslogik

8 Funktionsmodul / Digitale Kommunikationselektromk

9 Analoge Kommunikationselektromk

10 Datenbus 1 1 rekoπfiguπerbarer Logikbaustein partiell dynamisch rekonfiguπerbarer FPGA/dynamisch rekonfiguπerbarer FPAA

12 Leitwarte / übergeordnete Steuereinheit

13 Steuereinheit

14 Regel-/Auswerteeιnheιt

Claims

Patentansprüche

1. Feldgerat zur Bestimmung und/oder Überwachung einer physikalischen oder chemischen

Prozessgrόße, bestehend aus einem Sensor (2), der entsprechend einem vorgegebenen Messprinzip arbeitet, und einer Regel-Auswerteeinheit (14), die die von dem Sensor (2) gelieferten Messdaten/Messwerte in Abhängigkeit von einem in der jeweiligen sicherheitskritischen Anwendung geforderten Sicherheitsεtandard entlang einer vorgegebenen Anzahl von redundanten oder diversitaren oder redundanten und diversitaren Messpfaden (MP1 , MP2, MP3) aufbereitet und/oder auswertet, wobei für den Fall, dass sich die Antwortzeiten auf eine sprunghafte Änderung der physikalischen oder chemischen Pro2essgroße in zumindest zwei Messpfaden (MP1 , MP2, MP3) voneinander unterscheiden, die Regel-/Auswerteeιnheιt (14) so ausgestaltet ist, dass sie wahrend der sprunghaften Änderung der physikalischen oder chemischen Prozessgroße automatisch den Messpfad (MP1 , MP2, MP3) auswählt bzw. konfiguriert, der die geringere Antwortzeit aufweist.

2. Feldgerat nach Anspruch 1 , wobei die Regel-/Auswerteeinheιt (14) zumindest teilweise als rekonfiguπerbarer Logikbaustein (11 ) mit mehreren partiell dynamisch oder dynamisch rekonfigurierbaren Funktionsmodulen (5, 6) ausgebildet ist, und wobei die Regel-/Auswerteeinheιt (14) die Funktionsmodule (5, 6) in den Messpfaden (MP1 , MP2, MP3) in Abhängigkeit von der jeweils definierten sicherheitskritischen Anwendung so konfiguriert, dass das Feldgerät (1 ) entsprechend dem geforderten Sicherhestsstandard ausgelegt ist

3 Feldgerät nach Anspruch 1 oder 2, wobei die RegeWAuswerteemheit (14) in jedem der Messpfade (MP1 , MP2, MP3) digital- hardware- und/oder analog-hardware und/oder softwarebasierte Funktionsmodule (5, 6) rekonfiguriert

4. Feldgerat nach Anspruch 2 oder 3, wobei es sich bei dem Logikbaustein (11 ) um einen dynamisch partiell rekonfigurierbaren FPGA für die digitalen Funktionsmodule (5, 6, 7, 8) und/oder um einen dynamisch rekonfigurierbaren FPAA für die analogen Funktionsmodule handelt.

5. Feldgerät nach einem oder mehreren der vorhergehenden Ansprüche, wobei einer der Messpfade (MP3) als analoger Kanal oder digitaler Kanal und ein anderer der Messpfade (MP1 , MP2) als digitaler Kanal oder analoger Kanal ausgestaltet ist, wobei einer der beiden Kanäle sich durch eine geringere Verarbeitungsgeschwindigkeit für die Bereitstellung eines Ausgangssignals oder etne höhere Genauigkeit des Ausgangssignals auszeichnet als der jeweils andere Kanal

6 Feldgerat nach einem oder mehreren der vorhergehenden Ansprüche, wobei der Regel-/ Auswerteeinheit (14) ein Voter (7) z B ein Mikrokontroller zugeordnet ist, der die von den einzelnen oder in den einzelnen Messpfaden (MP1 , MP2, MP3) zur Verfugung gestellten Ausgangssignale miteinander vergleicht und jeweils das

Ausgangssignal des Kanals mit der höheren Genauigkeit bereitstellt, solange die Abweichung zwischen den Ausgangssignaleπ des Kanals mit der höheren Genauigkeit und des Kanals mit der geringeren Genauigkeit aber der höheren Verarbeitungs-geschwindigkeit innerhalb der Toleranzgrenzen des Kanals mit der höheren Reaktionszeit liegt

7 Feldgerat nach Anspruch 1 oder 6 wobei im Falle einer sprunghaften Änderung der Prozessgroße der Voter (7) bzw der Mikrokontroller so lange das Ausgangssignal mit der geringeren Genauigkeit und der höheren Verarbeitungsgeschwindigkeit ausgibt, bis das Ausgangssignal mit der höheren Genauigkeit aber der geringeren Verarbeitungsgeschwindigkeit den Wert des Ausgangssignals mit der geringeren Genauigkeit aber der höheren Verarbeitungsgeschwindigkeit Geschwindigkeit erreicht hat

8 Feldgerat nach einem oder mehreren der vorhergehenden Ansprüche wobei eine ungeradzahlige Anzahl von Messpfaden (M P1 , MP2 MP3) vorgesehen bzw konfiguriert ist

9 Feldgerat nach einem oder mehreren der Ansprüche 1-8, wobei der Voter (7) bzw der Mikrokontroller im Falle einer Abweichung der Ausgangssignale von zwei Messpfaden bzw Kanälen eine Warn- oder Fehlermeldung generiert wenn die

Differenz zwischen den Ausgangssignalen von zwei Meεspfaden (MP1 , MP2) großer ist als die Genauigkeit des Messpfades (Mp3) mit der höheren Verarbeitungεgeschwmdtgkeit und sich in dem Ausgangssignal des Messpfades (MP1 MP2) mit der geringeren Verarbeitungsgeschwindigkeit keine Reaktion auf die sprunghafte Änderung der Prozessgroße zeigt

10 Feldgerat nach einem oder mehreren der vorhergehenden Ansprüche, wobei die Regel-/Auswerteeιnheιt (14) seriell oder parallel die Funktionsmodule (5 6) für eine ungeradzahlige Anzahl von redundanten oder diversitaren oder redundanten und diversitaren Meεspfaden (MP1 , MP2, MP3) partiell dynamisch oder dynamisch konfiguriert, wobei die Regel-/Auswerteeιnheιt (14) die von oder in den Messpfaden (MP1 , MP2, MP3) zur Verfugung gestellten Daten miteinander vergleicht, und wobei die Regei-/Auswerteeιnheιt (14) eine Warnmeldung generiert, dass ein definierter Messpfad (MP1 ) fehlerhafte Daten liefert, wenn auf dem definierten Messpfad (MP1 ) Daten zur Verfugung gestellt werden die von den Daten der verbleibenden Messpfade (MP2, MP3) abweichen

11 Feldgerat nach einem oder mehreren der Ansprüche 1 -10, wobei die Regel-/Auswerteeιnheιt (14) die einzelnen Funktionsmodule (5, 6, 7, 8) oder eine in einem Messpfad (MP1 , MP2, MP3) angeordnete Gruppen von Funktionsmodulen in einem defimerten ersten Bereich des Logikbaustein (11 ) rekonfiguπert, und wobei ein Mikrocontroller (13) vorgesehen ist, der durch Vergleich der Daten einzelner Funktionsmodule (5, 6) oder Gruppen von Funktionsmoduien mit entsprechenden redundanten oder diversitaren Funktionsmoduien (5 1 , 6 1 ) oder Gruppen von Funktionsmoduien ermittelt ob das Funktionsmodul (5, 6) oder die Gruppe von Funktionsmodulen in dem ersten Bereich (A) des Logikbaustβins korrekt arbeitet oder fehlerhaft ist

12 Feldgerat nach einem oder mehreren der vorhergehenden Ansprüche, wobei die Regel-/Auswerteeιnheιt (14) im Fall eines ermittelten Fehlers das fehlerhafte Funktionsmodul (5, 6) bzw die fehlerhafte Gruppe von Funktionsmoduien erneut in dem ersten Bereich (A) rekonfiguriert und die entsprechenden Daten miteinander vergleicht

13 Feldgerat nach Anspruch 12, wobei die Regel-/Auswerteeιnheιt (14) im Falle des erneuten Auftretens eines Fehlers ein diversitares Funktionsmodul (5, 6) oder die Gruppe von diversitaren Funktionsmoduien in den ersten Bereich (A) des Logikbausteins (11 ) ladt

14 Feldgerat nach Anspruch 13, wobei die Regel-/Auswerteeιnheιt (14) im Falle des abermaligen Auftretens eines Fehlers den ersten Bereich (A) des Logikbauεteins (11 ) sperrt und das entsprechende Funktionsmodul (5, 6) bzw die entsprechende Gruppe von Funktionsmodulen in einem von dem ersten Bereich (A) des Logikbausteins (11 ) abweichenden zweiten Bereich (A') des Logikbaustein (11 ) rekonfiguriert und die entsprechenden Daten miteinander vergleicht 15 Feidgerat nach einem oder mehreren der vorhergehenden Ansprüche wobei die Regel-/Auswerteeιnheιt (14) im Falle des wiederholten Auftretens eines Fehlers eine Meldung ausgibt, dass das Funktionsmodul (5, 6) bzw die Gruppe von Funktioπsmodulen fehlerhaft arbeitet und wobei die Regel-/Auswerteeιnheιt (14) einen redundanten und/oder diversitaren Funktionsblock (5 , 6 ) in dem zweiten Bereich rekonfiguriert

16 Feldgerat nach einem oder mehreren der vorhergehenden Ansprüche, wobei in dem statischen (SB) Bereich zumindest ein Funktionsmodul, z B die der Voter z B der

Mikrokontroller in dem das Steuerprogramm zur Konfigurierung der Funktionsmodule ablauft, permanent konfiguriert ist

17 Feldgerat nach einem der Ansprüche 1 , 5, 7 und 14, wobei der Logikbaustein (11 ) eine Vielzahl von Logikzelten ;π einer fest verdrahteten FPGA / Standard ASIC Struktur aufweist, wobei die Logikzellen mittels Konfigurationεregistern so konfigurierbar sind, dass ste elementare Logikfunktionen ausfuhren wobei eine Verknupfungsmatπx mit einer Vielzahl von Speicherzellen vorgesehen ist, über die unterschiedliche logische Verknüpfungen der Logikzellen in definierten komplexen Verknüpfungen mittels der Konfigurationsregister konfigurierbar sind, und wobei eine zweite Steuereinheit vorgesehen ist die die Logikzellen und die Verknupfungsmatnx über einen internen Bus und über die Konfigurationsregsster mittels eines Konfigurations-Bitstrom partiell dynamisch so konfiguriert, dass die fest verdrahtete FPGA / ASIC Struktur sich funktional wie ein partiell dynamisch rekonfiguπerbarer Standard Logikbaustein verhalt