WO2015161866A1

WO2015161866A1 - Überwachen einer ausfalltoleranz einer automatisierungsanlage

Info

Publication number: WO2015161866A1
Application number: PCT/EP2014/058115
Authority: WO
Inventors: Thomas Grosch; Jan Richter
Original assignee: Siemens Aktiengesellschaft
Priority date: 2014-04-22
Filing date: 2014-04-22
Publication date: 2015-10-29
Also published as: EP3117273A1; CN106462113A; US20170082998A1

Abstract

Die Erfindung betrifft ein Verfahren zum Überwachen einer Ausfalltoleranz einer Automatisierungsanlage (10). Die Automatisierungsanlage (10) betreibt einen Prozess (12) mittels einer Regelstrecke (32), wobei mindestens zwei Steuervorrichtungen (20, 22) bereitgestellt sind, die abwechselnd die Regelstrecke (32) in einem Regelbetrieb durch Ausgeben von Steuerausgaben (U, U´) regeln und wobei bei einem Ausfall der momentan regelnden Steuervorrichtung (22) zu einer anderen der Steuervorrichtungen (20) umgeschaltet wird. Während des Umschaltens die Regelstrecke (32) wird die Regelstrecke (32) für eine Totzeit (T) reglerlos weiterbetrieben. Der Erfindung liegt die Aufgabe zugrunde, dieses Failover-Verhalten sicher zu machen. Hierzu wird mindestens ein im Regelbetrieb möglicher Betriebspunkt der Regelstrecke (32) ermittelt, für jeden Betriebspunkt jeweils ein reglerloser Betrieb für die Dauer der Totzeit (T) simuliert und hierdurch eine von dem Betriebspunkt ausgehende Zustandstrajektorie der Regelstrecke ermittelt und überprüft, ob die Zustandstrajektorie ein vorbestimmtes Sicherheitskriterium (48) verletzt, und gegebenenfalls eine vorbestimmte Schutzmaßnahme zum Vermeiden des Betriebspunkt eingeleitet.

Description

Beschreibung

Überwachen einer Ausfalltoleranz einer Automatisierungsanlage

Die Erfindung betrifft ein Verfahren zum Überwachen einer Ausfalltorleranz einer Automatisierungsanlage. Mit der Automatisierungsanlage wird ein Prozess, beispielsweise die Gewinnung von elektrischer Energie aus Kernkraft, mittels einer Regelstrecke betrieben oder durchgeführt. Die Automatisierungsanlage soll ausfallsicher sein und weist hierzu zumindest zwei Steuervorrichtungen auf, die abwechselnd die Regelstrecke regeln. Bei einem Ausfall der momentan regelnden Steuervorrichtung wird zu einer anderen Steuervorrichtung umgeschaltet. Hierbei muss sichergestellt sein, dass während des Umschaltens der Prozess gefahrlos weiter betrieben werden kann .

Die beschriebene hoch verfügbare Lösung einer Anlagensteuerung mittels mindestens zweier Steuervorrichtungen reduziert eventuell auftretende Stillstandzeiten der Automatisierungsanlage auf ein Minimum. Die Entwicklung derartiger hochverfügbarer Lösungen ist aber derzeit sehr kostenintensiv. Die primäre Leistung eines derartigen Automatisierungssystems ist das automatische Failover, das heißt Umschalten, im Falle eines Ausfalls einer der Steuervorrichtungen, beispielsweise durch CPU-Ausfall (CPU - Central Prozessing Unit, Zentrale Prozessiereinheit) . Die Regelung des Prozesses kann dann auf einer Backup-CPU weitergeführt werden. Dieses Failover ist für den Prozess nie gänzlich rückwirkungsfrei. Gefordert wird üblicherweise ein stoßfreies Failover, das heißt an dem Ausgang der Steuerungsvorrichtungen, das heißt den Eingängen der Regelstrecke des Prozesses, darf kein Sprung feststellbar sein, der nicht durch eine Veränderung der Regelstrecke, sondern ausschließlich aufgrund des Ausfalls der Steuervorrichtung verursacht ist. Die Ausgänge müssen sich also stetig verhalten, so dass das Steuersignal für die Regelstrecke, das heißt die Abfolge von Steuerausgaben, darf ausfallbedingt nicht über ein vorbestimmtes Maß schwanken. Toleriert wird üblicherweise eine begrenzte Zeitspanne, in welcher die an die Regelstrecke übermittelten Steuerausgaben ihren letzten Wert halten, bevor dann die Steuerung der Regelstrecke von der Backup-CPU weitergeführt wird. Einflussfaktoren für die zu erwartende Totzeit, während welcher die konstante Steuerausgabe ausgegeben wird, sind das Failover- Verhalten der Steuervorrichtungen sowie das Failover- Verhalten der Regelstrecke. Abhängig von den verwendeten Peripheriekomponenten, welche durch die Steuervorrichtungen angesteuert werden und den Prozess überwachen und steuern, dominiert in der Regel einer der beiden Einflussfaktoren.

Heute muss der Nutzer einer Automatisierungsanlage selbst beurteilen, ob der zu regelnde Prozess die Auswirkungen eines Failovers toleriert. Ein Failover darf nicht zur Destabili- sierung des Prozesses führen. Diese Fragen beantwortet der Nutzer heutzutage auf der Grundlage von Erfahrungswerten über seinen Prozess beziehungsweise von Erfahrungswerten über ähnliche Prozesse.

Der Erfindung liegt die Aufgabe zugrunde, bei einer Automatisierungsanlage deren Failover- erhalten dahingehend zu überprüfen, ob die Automatisierungsanlage eine ausreichende Ausfalltoleranz gegenüber einem Ausfall einer ihrer Steuervorrichtungen aufweist.

Die Aufgabe wird erfindungsgemäß durch die Gegenstände der unabhängigen Patentansprüche gelöst. Vorteilhafte Weiterbildungen der Erfindung ergeben sich durch die Merkmale der abhängigen Patentansprüche.

Das erfindungsgemäße Verfahren geht von der eingangs beschriebenen Automatisierungsanlage aus, bei welcher mittels einer Regelstrecke ein Prozess durchgeführt wird, also beispielsweise elektrische Energie aus Kernkraft gewonnen wird, Flaschen abgefüllt werden, Erdöl raffiniert wird oder ein Gebäude beheizt wird. Bei der Automatisierungsanlage sind mindestens zwei Steuervorrichtungen bereitgestellt, die abwech- selnd die Regelstrecke m einem Regelbetrieb regeln, was das Ausgeben von Steuerausgaben umfasst. Mit abwechselnd ist hierbei gemeint, dass bei einem Ausfall der momentan regelnden Steuervorrichtung zu einer anderen der Steuervorrichtungen umgeschaltet wird. Während des Umschaltens wird die Regelstrecke reglerlos weiterbetrieben, wobei das Umschalten eine Zeitdauer benötigt, die hier als Totzeit bezeichnet ist. Bei den Steuervorrichtungen kann es sich jeweils beispielsweise um eine speicherprogrammierbare Steuerung (SPS) handeln .

Bei der Automatisierungsanlage wird durch das Verfahren nun überwacht, ob sie ausfalltolerant ist. Mit anderen Worten wird überprüft, ob der Ausfall einer Steuervorrichtung und das Umschalten zu einer anderen Steuervorrichtung möglich ist, ohne dass hierbei innerhalb der Totzeit der Prozess einen vorbestimmten, unerwünschten kritischen Zustand erreicht, also die Regelstrecke einen unerwünschten Betriebszustand einnimmt .

Nach dem erfindungsgemäßen Verfahren wird hierzu mindestens ein im Regelbetrieb möglicher Betriebspunkt der Regelstrecke ermittelt. Ein Betriebspunkt beschreibt hierbei einen möglichen Betriebszustand der Regelstrecke und kann beispielsweise als Vektor von Betriebsgrößen dargestellt oder beschrieben werden. Eine solche Betriebsgröße kann beispielsweise jeweils eine Temperatur, eine Drehzahl oder eine Fördergeschwindigkeit sein. Diese Betriebsgrößen beschreiben jeweils einen Zustand mindestens einer Peripheriekomponente, also beispielsweise eines Sensors oder eines Aktors, der Automatisierungsanlage. Insgesamt ergibt sich dann der Betriebspunkt, d.h. der Betriebszustand der gesamten Regelstrecke, aus der Gesamtheit der Betriebsgrößen.

Für jeden Betriebspunkt wird nun jeweils überprüft, ob ausgehend von diesem Betriebspunkt das Umschalten zwischen den Steuervorrichtungen möglich ist und hierbei für die Totzeit der reglerlose Betrieb gefahrlos möglich ist. Hierzu wird für jeden Betriebspunkt jeweils ein reglerloser Betrieb für die Dauer der Totzeit simuliert und hierdurch eine von dem Betriebspunkt ausgehende Zustandstraj ektorie der Regelstrecke ermittelt. Die Zustandstraj ektorie setzt sich also aus einer zeitlichen Abfolge von Betriebspunkten zusammen, die sich ausgehend von dem Umschaltzeitpunkt bei reglerlosem Betrieb gemäß der Simulation ergeben. Zu der jeweiligen Zustandstra- jektorie wird überprüft, ob sie ein vorbestimmtes Sicherheitskriterium verletzt. Gegebenenfalls wird eine vorbestimmte Schutzmaßnahme zum Vermeiden dieses Betriebszustands eingeleitet, von welchem aus das Umschalten zu der kritischen Zustandstraj ektorie geführt hat.

Der Begriff Regelstrecke umfasst im Zusammenhang mit der Erfindung sowohl die mindestens eine Peripheriekomponente, die zum Steuern des Prozesses in der Automatisierungsanlage bereitgestellt ist, also die Sensoren und Aktoren der Automatisierungsanlage, das Kommunikationsnetzwerk, über welches die Steuervorrichtungen mit der mindestens einen Peripheriekomponente gekoppelt, und den Prozess selbst, also die durch die Peripheriekomponenten überwachten und/oder gesteuerten Anlagenkomponenten, wie beispielsweise Fließbänder, Gerüste oder Rohre .

Die Erfindung weist den Vorteil auf, dass nun ein Verfahren bereitgestellt ist, das die Abschätzung der Auswirkungen eines Umschaltvorganges auf den Prozess unterstützt und so das Risiko einer Fehleinschätzung eines Betriebs der Automatisie rungsanlage vermindert. Der Nutzer der Automatisierungsanlag kann hier durch bei der Auswahl der für ihn passenden Automa tisierungslösung unterstützt werden.

In diesem Zusammenhang sieht die Erfindung auch ein Engineering-System zum Auslegen und/oder Konfigurieren einer Automatisierungsanlage vor. Mit dem Engineering-System kann eine Automatisierungsanlage mit mindestens zwei Steuervorrichtungen zum Regeln einer Regelstrecke überprüft werden. Erfindungsgemäß weist das Engineering-System eine Analyseeinrich- tung auf, beispielsweise eine Prozessoreinrichtung, wie beispielsweise einen Computer. Die Analyseeinrichtung ist dazu ausgelegt, auf der Grundlage eines aktuellen Topologiemodells der Automatisierungsanlage und eines Prozessmodells die sich ergebende Regelstrecke zu ermitteln. Das Topologiemodell beschreibt hierbei die vorhandenen Peripheriekomponenten, die insgesamt als Mengengerüst bezeichnet werden, und deren Verknüpfung über beispielsweise ein Kommunikationsnetzwerk und ihre mechanische Verbindung und die überwachten und/oder gesteuerten Anlagenkomponenten, wie beispielsweise Fließbänder oder Kessel. Ein Prozessmodell beschreibt den mittels der Automatisierungsanlage durchzuführenden Prozess, d.h. die physikalischen Vorgänge, die während des Durchführens des Prozesses stattfinden. Methoden zum Bereitstellen von Prozessmodellen für einen vorgegebenen Prozess sind zahlreich im Stand der Technik vorhanden.

Die Analyseeinrichtung ist des Weiteren dazu ausgelegt, eine durch ein Umschalten zwischen den Steuervorrichtungen verursachte Totzeit zu ermitteln, also die Umschaltdauer, und auf der Grundlage einer Ausführungsform des erfindungsgemäßen Verfahrens zu überprüfen oder zu überwachen, ob die Automatisierungsanlage ausfalltolerant ist. Das erfindungsgemäße Engineering-System weist den Vorteil auf, dass bereits beim Auslegen einer Automatisierungsanlage ein Mangel bei der Ausfalltoleranz erkannt und durch die beschriebenen Schutzmaßnahmen behoben werden kann.

Zu der Erfindung gehört schließlich auch eine Automatisierungsanlage mit einer Regelstrecke zum Durchführen eines Prozesses und mit mindestens zwei Steuervorrichtungen zum ausfallsicheren, abwechselnden Regeln der Regelstrecke. Mit ausfallsicher ist hierbei der beschriebene Umschaltvorgang im Falle eines Ausfalls einer der Steuervorrichtungen gemeint. Die erfindungsgemäße Automatisierungsanlage ist dazu ausgelegt, im laufenden Betrieb ihre Ausfalltoleranz durch Durchführen einer Ausführungsform des erfindungsgemäßen Verfahrens zu überwachen. Bei der erfindungsgemäßen Automatisierungsan- läge ergibt sich der Vorteil, dass diese auch während des Betriebs erkennt, dass ein kritischer Betriebspunkt vorhanden sein kann, der durch Ergreifen einer Schutzmaßnahme umgangen werden muss.

Im Folgenden sind vorteilhafte Weiterbildungen des erfindungsgemäßen Verfahrens beschrieben, die auch entsprechende Weiterbildungen des erfindungsgemäßen Engineering-Systems und der erfindungsgemäßen Automatisierungsanlage darstellen.

Gemäß einer Ausführungsform der Erfindung werden zum Simulieren des reglerlosen Betriebs ausgehend von dem jeweiligen möglichen Betriebspunkt mittels eines Modells der Regelstrecke zeitlich nachfolgende Betriebspunkte berechnet. Die be- rechneten Betriebspunkte werden dann zu der Zustandstraj ekto- rie zusammengefasst . Diese Ausführungsform nutzt ein Modell der Regelstrecke, um die Auswirkungen eines Umschaltvorganges zu ermitteln. In heutigen regelungstechnischen Anwendungen, das heißt der Prozesstechnik, umfasst das Regelungssystem, wie es durch jede Steuervorrichtung bereitgestellt wird, oft ein Modell der Regelstrecke. Dies ist zum Beispiel deshalb erforderlich, da häufig Zustandsgrößen der Regelstrecke nicht direkt oder nur mit einem unerwünscht großen Aufwand gemessen werden können, und deshalb geschätzt werden. Hierzu kann ein sogenannter Beobachter, wie beispielsweise ein Luenberger-

Beobachter genutzt werden. Ein solcher Beobachter oder allgemein das Modell der Regelstrecke eines Regelsystems, kann auch für die Simulation vorteilhaft genutzt werden. Diese Ausführungsform weist den Vorteil auf, dass bereits vorhande- ne Modelle einer Regelstrecke genutzt werden und hierbei die Simulation und die tatsächliche Regelung der Regelstrecke auf demselben Modell basieren, was die Zuverlässigkeit des Simulationsergebnisses verbessert. Das Simulieren selbst kann beispielsweise durch Lösen einer Differentialgleichung erfol- gen, welche ein dynamisches Verhalten der Regelstrecke beschreibt . Das beschriebene Sicherheitskriterium umfasst insbesondere, dass überprüft wird, ob die Zustandstraj ektorie zumindest einen Betriebspunkt umfasst, der außerhalb eines vorbestimmten zulässigen Betriebsbereichs liegt. Dieser Betriebsbereich kann in für den Fachmann bekannter Weise durch Betriebsgrenzen der Peripheriekomponenten der Regelstrecke ermittelt werden .

Zusätzlich oder alternativ dazu kann vorgesehen sein, dass als das Sicherheitskriterium überprüft wird, ob ein dynamischer Übergang zwischen zwei Betriebspunkten der Zustandstra- jektorie größer als eine vorbestimmte maximal zulässige Dynamik ist. Beispielsweise kann also eine Zeitdauer ermittelt werden, innerhalb welcher die Zustandstraj ektorie von einem vorbestimmten ersten Betriebspunkt zu einem zweiten vorbestimmten Betriebspunkt übergeht. Ist diese Zeitdauer zu kurz, so kann dies bedeuten, dass eine Peripheriekomponente der Regelstrecke oder eine Anlagenkomponente, beispielsweise mechanisch oder thermisch, überbelastet wird, obwohl diese Kompo- nente bei geringer Dynamik des Übergangs durchaus den Übergang tolerieren würde.

In Bezug auf die eingeleiteten Schutzmaßnahmen ergeben sich ebenfalls mehrere unterschiedliche Ausführungsformen der Er- findung.

Eine Weiterbildung geht davon aus, dass im reglerlosen Betrieb, also während des Umschaltens, eine konstante Steuerausgabe an die Regelstrecke übertragen wird, wie eingangs be- schrieben wurde. Die Schutzmaßnahme kann in diesem Fall umfassen, dass eine konstante Steuerausgabe ermittelt wird, die für den ermittelten kritischen Betriebspunkt doch noch eine sichere Zustandstraj ektorie für einen Weiterbetrieb der Regelstrecke ergibt. Die ermittelte konstante Steuerausgabe wird dann dem Betriebspunkt zugeordnet, was bedeutet, dass für den Fall eines Ausfalls der Steuervorrichtung, während sich die Regelstrecke in dem Betriebspunkt befindet, die ermittelte konstante Steuerausgabe während des Umschaltens an die Regelstrecke ausgegeben wird. Hierdurch ergibt sich der Vorteil, dass für alle kritischen Betriebspunkte durch die Zuordnung eine bereits überprüfte konstante Steuerausgabe vorliegt, so dass auf diese Steuerausgabe, das heißt beispielsweise auf einen Vektor mit Steuerwerten für die einzelnen Peripheriekomponenten, zurückgegriffen werden kann und auch für diesen kritischen Betriebspunkt somit ein sicheres Umschalten gewährleistet ist.

Eine andere Weiterbildung sieht vor, einem kritischen Betriebspunkt eine Sicherheitssteuerausgabe zuzuordnen, die im Falle eines Umschaltens in dem Betriebspunkt ausgegeben wird und hierdurch einen Betrieb der Regelstrecke unterbricht. Mit anderen Worten wird im Falle eines Ausfalls der Steuervorrichtung, während sich die Regelstrecke in diesem Betriebspunkt befindet, ein Not-Stopp der Regelstrecke eingeleitet.

Gemäß einer anderen Ausführungsform umfasst die Schutzmaßnahme, dass auf der Grundlage von Engineering-Daten der Automatisierungsanlage, also Daten betreffend die Anlagentopologie oder die Programmierung der Komponenten, diejenige Anlagenkomponente ermittelt wird, welche den größten Anteil der Totzeit verursacht. Neben den Steuervorrichtungen können hierbei zum Beispiel auch das Kommunikationsnetzwerk, welches die Steuervorrichtungen mit Peripheriekomponenten koppelt, und/oder einzelne Peripheriekomponenten, die beispielsweise eine verhältnismäßig große Zeitdauer zum Quittieren von Steuerbefehlen benötigen, überprüft werden. Mit anderen Worten wird gemäß dieser Ausführungsform ein Flaschenhals in der Automatisierungsanlage ermittelt, durch welchen das Umschalten verzögert wird. Insgesamt werden dazu das Kommunikationsnetzwerk und/oder das Mengengerüst analysiert. Durch Ändern des Engineerings der Automatisierungsanlage kann dann die Totzeit verringert werden. Zusätzlich oder alternativ zu dieser Analyse der die Totzeit verursachenden Komponenten kann vorgesehen sein, diejenige Anlagenkomponente zu ermitteln, welche einen unzulässigen Zustand einnimmt, so dass die Zu- standstraj ektorie das Sicherheitskriterium verletzt. Es wird also beispielsweise diejenige Anlagenkomponente ermittelt, die zu heiß wird oder mechanisch überbelastet wird oder sich zu schnell bewegt. Dann kann der Nutzer gezielt diese Anlagenkomponente durch Verändern der Engineering Daten oder durch Austauschen der Anlagekomponente anpassen und hierdurch die Ausfalltoleranz vergrößern.

Eine andere Weiterbildung sieht vor, dass die Steuervorrichtungen untereinander über eine Synchronisationsverbindung Synchronisationsdaten zum Angleichen von Reglerzuständen austauschen. Dies ermöglicht es bei einem Ausfall einer der Steuervorrichtungen der anderen Steuervorrichtung, sofort mit dem Regelbetrieb dort fortzufahren, wo die ausgefallene Steuervorrichtung aufgehört hat. Die Schutzmaßnahme umfasst hierbei, dass eine Rate der Synchronisationsvorgänge, also die Häufigkeit, mit welcher die Synchronisationsdaten innerhalb eines vorgegebenen Zeitraums ausgetauscht werden, vergrößert wird. Hierdurch erhöht sich in vorteilhafter Weise die Wahrscheinlichkeit, dass die Steuervorrichtungen im Moment des Ausfalls synchron sind. Zudem benötigt die übernehmende Steuervorrichtung weniger Zeit, um ihr Reglersystem an die aktuelle Regelsituation anzupassen.

Gemäß einer anderen Weiterbildung umfasst die Schutzmaßnahme, dass der jeweilige Betriebspunkt von dem aus sich die Trajek- torie ergeben hat, die das Sicherheitskriterium verletzt, aus dem Regelbetrieb ausgeschlossen wird. Mit anderen Worten nimmt also die Regelstrecke diesen kritischen Betriebspunkt nie ein. Um den Betriebspunkt auszuschließen, werden bevorzugt die Regelparameter der Steuervorrichtung angepasst, so dass die Betriebsgrenzen entsprechend eingeengt sind.

In Bezug auf die Simulation ergibt sich eine vorteilhafte Weiterbildung, wenn eine Annahme über einen maximalen Betrag einer in der Regelstrecke wirkenden Störgröße verwendet wird, z.B. ein Reibungswert oder ein Gleitwert, wobei dann die Schutzmaßnahme umfasst, dass der maximale Betrag verringert und die Simulation erneut durchgeführt wird. Ergibt sich hierbei dann, dass nun das Sicherheitskriterium bei der verringerten Störgröße erfüllt wird, so wird auf diese Störgröße hingewiesen, beispielsweise mittels einer Anzeige auf einer Anzeigeeinrichtung, so dass der Nutzer der Automatisierungsanlage gezielt diese Störgröße durch konstruktive Maßnahmen verringern kann. Mit anderen Worten wird also diejenige Störgröße detektiert, die zu dem unsicheren oder kritischen Betriebszustand führen würde, wenn in dem untersuchten Betriebspunkt eine der Steuervorrichtungen ausfiele.

Um die Ausfalltoleranz noch weiter zu steigern, wird gemäß einer Ausführungsform nach dem Durchführen der Schutzmaßnahmen das Überwachen der Ausfalltoleranz erneut durchgeführt, so dass also iterativ mit jeder weiteren eingeleiteten

Schutzmaßnahme die Ausfalltoleranz steigt.

Für das Verfahren muss festgelegt werden, für welche Ausgangs-Betriebspunkte die Simulation durchgeführt wird. Gemäß einer Ausführungsform der Erfindung wird dies festgelegt, indem anhand einer Konfiguration der Automatisierungsanlage ein erwartungsgemäßer oder bestimmungsgemäßer Betriebsbereich ermittelt wird. Es wird also anhand von Konfigurationsparametern ermittelt, welche Betriebspunkte sich theoretisch im fehlerfreien Betrieb ergeben könnten.

Alternativ dazu kann vorgesehen sein, die Automatisierungsanlage im Betrieb zu beobachten und hierdurch die im Regelbetrieb wahrscheinlichsten Betriebspunkte zu ermitteln. Hierdurch ergibt sich der besondere Vorteil, dass Schutzmaßnahmen für die wahrscheinlichsten Betriebspunkte ermittelt werden.

Eine andere Möglichkeit, um mit möglichst wenig Überprüfungsschritten die Automatisierungsanlage hinsichtlich ihrer Ausfalltoleranz zu verbessern, wird gemäß einer Ausführungsform des Verfahrens erreicht, indem zum Ermitteln des mindestens einen möglichen Betriebspunkt nur Extremwerte der Stellgrößenbeschränkungen von Anlagenkomponenten berücksichtigt werden, also beispielsweise ein bestimmtes Ventil, welches eine Peripheriekomponente darstellt, nur in der Maximal-Offen- Stellung und der Geschlossenstellung überprüft wird.

Im Folgenden ist ein Ausführungsbeispiel der Erfindung beschrieben . Hierzu zeigt :

FIG 1 eine schematische Darstellung einer Ausführungsform der erfindungsgemäßen Automatisierungsanlage und des erfindungsgemäßen Engineering-Systems,

FIG 2 ein Flussschaubild eines Regelsystems, wie es Bestandteil von Steuervorrichtungen der Automatisierungsanlage von FIG 1 sein kann,

FIG 3 einen Signalflussgraphen zur Automatisierungsanlage von FIG 1 während eines Umschaltens zwischen Steuervorrichtungen und

FIG 4 eine Skizze zur Veranschaulichung einer Ausführungsform des erfindungsgemäßen Verfahrens, wie es bei dem Engineering-System und der Automatisierungsanlage von FIG 1 durchgeführt werden kann.

Bei dem im Folgenden erläuterten Ausführungsbeispiel handelt es sich um eine bevorzugte Ausführungsform der Erfindung. Bei dem Ausführungsbeispiel stellen aber die beschriebenen Komponenten der Ausführungsform jeweils einzelne, unabhängig voneinander zu betrachtende Merkmale der Erfindung dar, welche die Erfindung jeweils auch unabhängig voneinander weiterbilden und damit auch einzeln oder in einer anderen als der gezeigten Kombination als Bestandteil der Erfindung anzusehen sind. Des Weiteren ist die beschriebene Ausführungsform auch durch weitere der bereits beschriebenen Merkmale der Erfindung ergänzbar.

FIG 1 zeigt eine Automatisierungsanlage 10 zum automatisierten Betreiben oder Durchführen eines Prozesses, wie beispielsweise der Gewinnung von elektrischer Energie aus Kern- kraft, dem Abfüllen von Flaschen, dem Raffinieren oder dem Heizen. Die Automatisierungsanlage 10 umfasst ein Automatisierungssystem S, mittels welchem der Prozess 12 geregelt wird. Zum Überwachen und zum Beeinflussen des Prozesses 12 können Peripheriekomponenten 14, 16 und (nicht dargestellte) weitere Peripheriekomponenten bereitgestellt sein. Eine Peripheriekomponente kann einen Sensor und/oder einen Aktor umfassen. Die Peripheriekomponente 14 kann beispielsweise ein Sensor, wie beispielsweise ein Temperaturfühler oder eine Lichtschranke, sein. Die Peripheriekomponente 16 kann beispielsweise ein Aktor oder ein Stellglied sein, wie beispielsweise ein Elektromotor oder ein steuerbares Ventil. Das Automatisierungssystem S kann an die Peripheriekomponenten 14, 16 über ein Kommunikationsnetzwerk 18 angekoppelt sein. Das Kommunikationsnetzwerk 18 kann beispielsweise einen Profi-Bus umfassen.

Das Automatisierungssystem S kann beispielsweise zwei Steuervorrichtungen 20, 22 umfassen, die jeweils beispielsweise eine SPS aufweisen können. Es können auch weitere (nicht dargestellte) Steuervorrichtungen bereitgestellt sein. Jede Steuervorrichtung 20, 22 kann dazu ausgelegt sein, mittels eines Regelsystems R, R^' die Regelstrecke 32 auf eine Sollwertvorgabe W einzuregeln. Die Steuervorrichtungen 20, 22 regeln dabei nicht zugleich die Regelstrecke 32, sondern abwechselnd, wobei ein Wechsel immer dann stattfinden kann, wenn die gerade regelnde Steuervorrichtung 20, 22 ausfällt.

In FIG 1 ist die Situation gezeigt, dass die Steuervorrichtung 22 ausgefallen ist und daher die Steuervorrichtung 20 mittels ihres Regelsystems R über eine Regelstreckenanbindung 26 Steuerausgaben U an die Peripheriekomponenten 14, 16 ausgibt, um die Regelstrecke 32 auf die Sollwertvorgabe W einzuregeln. Eine Regelstreckenanbindung 28 der ausgefallenen Steuervorrichtung 22 ist unterbrochen oder entkoppelt, so dass gegebenenfalls fehlerhafte Steuerausgaben U^' des Regelsystems R' der Steuervorrichtung 22 keinen Einfluss auf die Regelstrecke 32 haben. Das Automatisierungssystem S ist durch die redundaten Auslegung mit mindestens zwei Steuervorrichtungen 20, 22 hoch verfügbar. Die an das Automatisierungssystem S angeschlossenen Peripheriekomponenten 14, 16 können prinzipiell von beiden Steuervorrichtungen 20, 22 bedient werden. Damit beide Steuervorrichtungen 20, 22 synchron laufen können, können sie über eine Synchronisationsverbindung 24 in vorgegebenen Zeitabständen synchronisiert werden. Die Synchronisationsverbindung 24 kann eine direkte Verbindung sein (wie in FIG 1 dargestellt) oder beispielsweise über das Kommunikationsnetzwerk 18 realisiert sein. Bezüglich der Häufigkeit der Synchronisation und deren Umfang können verschiedene Ausprägungen voreingestellt werden. Um bei der Umschaltung im Fehlerfall die fehlerbehaftete Steuervorrichtung eindeutig zu identifizieren, ist eine an sich aus dem Stand der Technik bekannte Systemdiagnose vorgesehen.

Der Umschaltvorgang hat eine Totzeit T gedauert, während welcher weder die Steuervorrichtung 20 noch die Steuervorrichtung 22 ihre Steuerausgaben U, U^' an die Regelstrecke 32 ausgegeben haben. Während dieser Zeit wurde an die Peripheriekomponenten 14, 16 eine stationäre Steuerausgabe Ustat ausgegeben. Dies kann beispielsweise dadurch erreicht werden, dass das Kommunikationsnetzwerk 18 auf einer Zeitschlitz basierten Kommunikation beruht und die zu den einzelnen Zeitschlitzen ausgesendeten Werte nicht gelöscht werden, so dass sie auch bei einer Wiederholung des Kommunikationszyklus weiter an die Peripheriekomponenten 14, 16 ausgegeben werden.

Die Steuervorrichtungen 20, 22 können in der Automatisierungsanlage 10 durch ein Engineering-System E konfiguriert werden. Mittels des Engineering-Systems E kann auch eine To- pologie des Automatisierungssystems 10 geplant werden, wie sie benötigt wird, um den Prozess 12 in einer gewünschten Weise zu betreiben. Bei der Automatisierungsanlage 10 ist sichergestellt, dass der Ausfall einer Steuervorrichtungen 20, 22 jederzeit erfolgen und hierbei die Regelstrecke 32 weiter betrieben werden kann, das heißt der Ablauf des Prozesses 12 aufrechterhalten werden kann, ohne dass während der Totzeit T der Prozess 12 einen unerwünschten Zustand erreicht, das heißt ein Betriebspunkt der Regelstrecke 32 außerhalb einer vorbestimmten Menge zulässiger Betriebspunkte liegt.

Die beiden Reglersysteme R, R^' können auf einem an sich bekannten Regleralgorithmus beruhen, beispielsweise einen Proportionalregler, Integralregler, Differentialregler oder einer Mischform davon, wie beispielsweise einem PID-Regler. Die Regelsysteme R, R^' können insbesondere auch einen Beobachter umfassen, wie er beispielhaft in FIG 2 dargestellt ist. Mittels des Beobachters 34 können Betriebspunkte der Regelstrecke 32 ermittelt werden. Die zu einem bestimmten Zeitpunkt gegebenen Betriebsparameterwerte, die zusammen den Betriebspunkt definieren, können zu einem Vektor zusammengefasst werden, welcher den Betriebszustand X beschreibt. Um den Betriebszustand X zu einem vorgegebenen Zeitpunkt zu ermitteln, kann der Beobachter ein Regelsteckenmodell oder Modell 30 der Regelstrecke 32 umfassen, wie in FIG 2 veranschaulicht.

Mittels des Modells 30 kann die Auswirkung einer Totzeit simuliert oder vorausgesagt werden, wie sie sich zwischen dem Zeitpunkt des Abkoppeins der Steuervorrichtung 22 und dem Ankoppeln der Steuervorrichtung 20 ergibt.

Das Modell 30 konnte in dem Beispiel insbesondere ohne zusätzlichen Aufwand aus der regelungstechnischen Anwendung, das heißt den Engineeringdaten für die Anlage 10, entnommen werden, wie sie im Engineering-System E bereitstehen. Beim Engineering der Anlage 10 zum Konfigurieren oder Auslegen der Regelung des Prozesses 12 durch jeweils eine der Steuervorrichtungen 20, 22 kann es sein, dass manche Zustandsgrößen des Prozesses 12, also beispielsweise Temperaturen oder andere physikalische Größen, indirekt ermittelt werden müssen, weil sie nicht direkt oder nur mit einem unerwünscht großen Aufwand gemessen werden können und deshalb geschätzt werden müssen. Hierzu kann beispielsweise eine Beobachtermethode, wie beispielsweise ein Luenberger-Beobachter 34, genutzt wer- den. Der in FIG 2 beispielhaft dargestellte Beobachter 34 bildet die Auswirkungen der Steuerausgabe U der Steuervorrichtung 30 auf die Regelstrecke 32, das heißt den Prozesszu- stand des Prozesses 12, nach, um hierdurch interne Zustands- größen der Regelstrecke 32 zu ermitteln. Die in FIG 2 darge- stellten Matrizen A, B und C beschreiben dabei in an sich bekannter Weise das dynamische Verhalten der Regelstrecke 32 bei Beaufschlagung mit der Steuerausgabe U, die sich über der Zeit ändert. Die Matrix L ist eine Korrekturmatrix zum Ausgleichen eines Beobachtungsfehlers, der am Subtraktionspunkt 36 ermittelt wird. Ausgehend von einem Subtraktionspunkt 38 wird mittels eines Integrators 40 ein Folgezustand, das heißt ein für einen nächsten Beobachtungszeitpunkt geschätzter Zu- standsvektor ermittelt. Die Folge der so für mehrere zukünftige Zeitpunkte ermittelten Zustandsvektoren ergibt eine Zu- standstraj ektorie .

Das Modell 30 wird nun vorteilhaft auch dazu genutzt, um das Verhalten der Regelstrecke 32 im Umschaltfall zu berechnen. Der Umschaltfall ist dadurch gekennzeichnet, dass sowohl die Eingangsdaten Y als auch die Ausgangsdaten U, U' an die Peripheriekomponenten 14, 16 für die Dauer der Totzeit T nicht aktualisiert werden können. Während der Totzeit T ist die Regelstrecke 32 also vom eben noch aktiven Reglersystem R' abgekoppelt, so dass sie nicht durch das Reglersystem R^' und auch durch das noch nicht angekoppelte Reglersystem R beein- flusst werden kann.

Hierzu ist in FIG 3 dargestellt, wie sich aus dem durch das nun abgekoppelte Reglersystem R^' und der Regelstrecke 32 eine offene Kette ergibt, weil die Ankopplung 28 unterbrochen wurde. In FIG 3 ist dargestellt, wie aus diesem Grund die Peripheriekomponenten 14, 16 mit der stationären Steuerausgabe Ustat beaufschlagt werden. Beispielsweise können die Peripherie-Ausgaben während der Um schaltphase ihren letzten Wert beibehalten, so dass die Regelstrecke 32 während der Totzeit T mit dem letzten Ausgabevektor beaufschlagt wird. Dieser führt zu einer Trajektorie der Zustandsgrößen der Regelstrecke 32. Abhängig von den Streckenparametern ändern sich die Zustandsgrößen der Regelstrecke 32, beispielsweise eine Kesseltemperatur, im unerwünschten Fall derart, dass sie einen für den Prozess 12 kri tischen Wert erreichen. In einem solchen Fall wäre die Failo ver-Totzeit des verwendeten Automatisierungssystems S zu gro für den zu steuernden Prozess 12. Die zu erwartende Totzeit ist aber eine Kenngröße des eingesetzten hochverfügbaren Steuerungssystems S. Sie wird jedoch auch von der Projektierung der Automatisierungsanlage 10, das heißt deren Mengenge rüst, der verwendeten Netztopologien für die Peripherieeinschaltungen, beeinflusst und kann demnach für das konkret verwendete Automatisierungssystem S ermittelt werden und an- gepasst werden.

Bei dem vorliegenden Automatisierungssystem 10 wird der Nutzer hierbei durch das Engineering-System E unterstützt.

Ist nämlich die zu erwartende Totzeit T bekannt, so kann beispielsweise in der im Folgenden beschriebenen Weise geprüft werden, ob bestimmte Zustandsgrößen während des Failovers einen kritischen Wert erreichen. Da Steuerungsausfälle und hierdurch verursachte Failover spontan und ungeplant auftreten, ist allerdings der Betriebszustand X0 der Automatisierungsanlage 10 zum Zeitpunkt tO des Ausfalls einer Steuervorrichtung 20, 22 unbekannt und eben nicht planbar. Es wird daher zunächst die Menge von Betriebspunkten ermittelt, der sogenannte zulässige Betriebsbereich, in welchem sich der Prozess 12 während des Betriebs der Automatisierungsanlage 10 aufhalten darf. Ausnahmen können hierbei beispielsweise das Anfahr- und das Abfahrverhalten darstellen. Zudem kann diese Menge auch Sicherheitsabstände zu gefährlichen, das heißt unerwünschten Betriebsbereichen aufweisen. Die Menge der unerwünschten oder gefährlichen Betriebspunkte ergibt die Menge V verbotener Betriebszustände , die beispielsweise als Polytope oder Polyeder definiert sein können. Die Menge der zulässigen Betriebspunkte ergibt den Betriebsbereich B, der beispielsweise ebenfalls als Polytop oder Polyeder definiert sein kann. Physikalische Stellgrößenbeschränkungen Umax und Umin der Aktoren unter den Peripheriekomponenten 14, 16 im Prozess 12 kann ebenfalls ermittelt werden, also beispielsweise eine kleinste und größte Ventilöffnung, eine maximale Pumpleistung, eine maximale Heizleistung. Auch für auf den Prozess 12 einwirkende Störgrößen können maximale Beträge zugrundegelegt werden. Das Modell 30 für den geregelten Prozess 12 kann ein lineares oder ein nicht- lineares Modell sein, beispielsweise kann die folgende Differentialgleichung zur Beschreibung der Regelstrecke 32 zugrunde gelegt werden: d(X(t))/dt = f(X(t), U(t), D(t)), X(t0)=X0, wobei d ()/dt die mathematische Ableitung nach der Zeit t darstellt, f () eine lineare oder nicht lineare Funktion ist, welche das dynamische Verhalten der Regelstrecke 32 in Reaktion auf den aktuellen Betriebszustand X, die Steuerausgabe U und die Störgrößen D darstellt und X0 einen Betriebspunkt zu einem Zeitpunkt tO darstellt.

Es kann nun eine Erreichbarkeitsanalyse durchgeführt werden auf Basis des Modells 30, der Menge der zu untersuchenden An- fangsbedingungen, das heißt der Betriebspunkte B, welche die Regelstrecke 32 erwartungsgemäß einnehmen kann, aller möglichen Eingangswerte U im Bereich der Stellgrößenbeschränkungen Umax, Umin und aller möglichen zu untersuchenden Störgrößen D.

Das Ergebnis der Erreichbarkeitsanalyse, für jeden zukünftigen Zeitpunkt t, ist eine Menge E (t) der erreichbaren Zustände, wie sie sich ergeben, wenn eine Steuervorrichtung ausfällt und also in der beschriebenen Weise die Peripheriekomponenten 14, 16 mit der stationären Steuerausgabe Ustat beaufschlagt werden. Mit anderen Worten wird also ausgehend von einem zu untersuchenden Ausfallzeitpunkt tO unter Annahme einer stationären Steuerausgabe das Modell wie folgt betrieben : d(X(t))/dt = f(X(t), Ustat, D(t)), X(t0)=X0. Die sich hieraus für die Folgezeitpunkte t > tO ergebenden Punkte bilden zusammen eine Zustandstraj ektorie, welche die Entwicklung oder das Verhalten der Regelstrecke 32 während der Totzeit T beschreibt. Man kann nun den ersten Zeitpunkt tv ermitteln, zu dem der Schnitt G (tv) geschnitten mit V nicht mehr leer ist, also keine leere Menge darstellt. Jeder vorangehende Zeitpunkt t < tv, zu dem E (t) geschnitten mit V eine leere Menge bildet, bestimmt einen zulässigen Zeithorizont tvo für den si- cheren Betrieb. Dieser Zeithorizont tvo kann aus Sicherheitsgründen auch noch weiter um eine Pufferzeit verkürzt werden. Die Zeit tv ist die größte tolerierbare Umschaltzeit für das Failover . Im Engineering-System E kann sie zur Auswahl der Komponenten für die Automatisierungsanlage 10 verwendet werden. Falls bereits während des Engineerings, das heißt des Auslegens und Konfigurierens der Automatisierungsanlage 10 durch Kenntnis der Regelalgorithmen der Regelsysteme R, R^' bekannt ist, dass die Grenzen Umax, Umin der Stellgrößen nicht vollkommen ausgenutzt werden, kann auch ein entsprechend eingeengter Bereich der Steuerausgaben U, U' festgelegt werden. Dies vergrößert ebenfalls die akzeptable Latenz beim Umschalten. Vorteilhaft ist es, wenn das Engineering-System E den Nutzer auf diese Einstellmöglichkeiten hinweist, damit dieser nicht frühzeitig eine zu kostspielige alternative Anlagenkomponente auswählt. Fällt die Totzeit T weiterhin zu groß aus, so kann durch Ändern der Anlagentopologie die Totzeit T im Falle eines Failovers ebenfalls verkürzt werden. Dies kann der Nutzer ebenfalls anhand des Engineering-Systems E überprüfen. Im Rahmen einer iterativen Vorgehens kann der Anwender die Anlagentopologie für die Erfordernisse des zu automatisierenden Prozesses 12 dadurch zuschneiden.

Die Erreichbarkeitsanalyse 42 kann beispielsweise durch eine Analyseeinrichtung des Engineering-Systems E durchgeführt werden, beispielsweise einem Programmmodul des Engineering- Systems E und hierbei ein Prozessmodell 44 des zu betreibenden Prozesses 12 sowie ein Topologiemodell 46 der Automatisierungsanlage 10, wie sie der Anwender momentan festgelegt hat. Aus dem Prozessmodell 44, das die physikalischen Vorgänge in dem Prozess 12 beschreibt, sowie dem Topologiemodell 46 kann das Modell 30 der Regelstrecke 32 in an sich bekannter Weise nach den Prinzipien der Regelungstechnik ermittelt werden. Zusätzlich ergibt das Topologiemodell 46 einen Wert für die Totzeit T.

Die Erreichbarkeitsanalyse kann in einem Schritt S10 die Zu- standstraj ektorie für unterschiedliche Betriebspunkte des Betriebsbereichs B ermitteln und zu jeder Zustandstraj ektorie in einem Schritt S12 ein Sicherheitskriterium 48 überprüfen, ob also die jeweilige Zustandstraj ektorie beispielsweise die Menge V erreicht. Ist dies der Fall, in FIG 4 durch ein Plus- Zeichen (+) symbolisiert, so wird in einem Schritt 48 eine Sicherungsmaßnahme eingeleitet, wie beispielsweise das beschriebene Anzeigen des kritischen Betriebspunktes durch das Engineering-System E. Andernfalls, wenn also sämtliche Zustandstraj ektorien eine sicheren Umschaltvorgang signalisieren (in FIG 4 durch ein Minus-Zeichen (-) symbolisiert) , kann in einem Schritt S16 die Ausfalltoleranz des Topologiemodells 46, das heißt der Automatisierungsanlage 10 in ihrem gegenwärtigen Entwurfszustand signalisiert werden.

Somit ist durch das Ausführungsbeispiel insgesamt ein Verfahren zur modellbasierten Bestimmung der Auswirkungen eines Failover eines hochverfügbaren Automatisierungssystems auf einen zu steuernden Prozess beschrieben.

Bezugszeichenliste

10 Automatisierungsanlage

12 Prozess

14, 16 Peripheriekomponente

18 Kommunikationsnetzwerk

20, 22 Steuervorrichtung

24 Synchronisationsverbindung

26 Steuerverbindung

28 abgekoppelte Steuerverbindung

30 Regelstreckenmodell

32 Regelstrecke

34 Beobachter

36, 38 Subtraktionspunkt

40 Integrator

42 Erreichbarkeitsanalyse

44 Prozessmodell

46 Topologiemodell

48 Sicherheitskriterium

E Engineering-System

U, U^' Steuerausgabe

R, R' Regelsystem

W Sollwertvorgabe

T Totzeit

S10 - S16 Verfahrensschritt

Ustat stationäre Steuerausgabe

Claims

Patentansprüche

1. Verfahren zum Überwachen einer Ausfalltoleranz einer Automatisierungsanlage (10), wobei die Automatisierungs- anläge (10) einen Prozess (12) mittels einer Regelstrecke (32) betreibt und mindestens zwei Steuervorrichtungen (20,22) bereitgestellt sind, die abwechselnd die Regelstrecke (32) in einem Regelbetrieb durch Ausgeben von Steuerausgaben (U, U^') regeln, wobei bei einem Ausfall der momentan regelnden Steuervorrichtung (22) zu einer anderen der Steuervorrichtungen (20) umgeschaltet wird und während des Umschaltens die Regelstrecke (32) für eine Totzeit (T) reglerlos weiterbetrieben wird, dadurch gekennzeichnet, dass

mindestens ein im Regelbetrieb möglicher Betriebspunkt der Regelstrecke (32) ermittelt wird, für jeden Betriebspunkt jeweils ein reglerloser Betrieb für die Dauer der Totzeit (T) simuliert und hierdurch eine von dem Betriebspunkt ausgehende Zustandstraj ektorie der Regel- strecke ermittelt wird und überprüft wird (S12), ob die

Zustandstraj ektorie ein vorbestimmtes Sicherheitskriterium (48) verletzt, und gegebenenfalls eine vorbestimmte Schutzmaßnahme zum Vermeiden des Betriebspunkts eingeleitet wird (S14) .

2. Verfahren nach Anspruch 1, wobei zum Simulieren des

reglerlosen Betriebs ausgehend von dem jeweiligen Betriebspunkt mittels eines Modells (30) der Regelstrecke (32) zeitlich nachfolgende Betriebspunkte berechnet und die berechneten Betriebspunkte zu der Zustandstraj ektorie zusammengefasst werden.

3. Verfahren nach einem der vorhergehenden Ansprüche, wobei als das Sicherheitskriterium (48) überprüft wird,

- ob die Zustandstraj ektorie zumindest einen Betriebspunkt umfasst, der außerhalb eines vorbestimmten zulässigen Betriebsbereich liegt, und/oder - ob ein dynamischer Übergang zwischen zwei Betriebspunkten der Zustandstraj ektorie größer als eine vorbestimmte maximal zulässige Dynamik ist.

Verfahren nach einem der vorhergehenden Ansprüche, wobei die Schutzmaßnahme das Ausgeben eines Warnhinweises an einen Nutzer der Automatisierungsanlage (10) umfasst.

Verfahren nach einem der vorhergehenden Ansprüche, wobei im reglerlosen Betrieb eine konstante Steuerausgabe (Ustat) an die Regelstrecke (32) übertragen wird und die Schutzmaßnahme umfasst, dass eine konstante Steuerausgabe (Ustat) ermittelt wird, die für den jeweiligen Betriebspunkt eine sichere Zustandstraj ektorie für einen Weiterbetrieb der Regelstrecke (32) ergibt, und die ermittelte konstante Steuerausgabe (Ustat) dem Betriebspunkt zugeordnet wird.

Verfahren nach einem der vorhergehenden Ansprüche, wobei dem jeweiligen Betriebspunkt eine Sicherheitssteuerausgabe zugeordnet wird, die im Falle eines Umschaltens in dem Betriebspunkt ausgegeben wird und hierdurch einen Betrieb der Regelstrecke (32) unterbricht.

Verfahren nach einem der vorhergehenden Ansprüche, wobei die Schutzmaßnahme umfasst, dass auf der Grundlage von Engineeringdaten der Automatisierungsanlage (10) eine Anlagekomponente (14, 16, 18, 20, 22) ermittelt wird, welche den größten Anteil an der Totzeit (T) verursacht und/oder gemäß der Zustandstraj ektorie einen unzulässigen Betriebspunkt einnimmt.

Verfahren nach einem der vorhergehenden Ansprüche, wobei die Steuervorrichtungen (20,22) über eine Synchronisationsverbindung (24) Synchronisationsdaten zum Angleichen von Reglerzuständen austauschen und die Schutzmaßnahme umfasst, dass eine Rate der Synchronisationsvorgänge vergrößert wird.

9. Verfahren nach einem der vorhergehenden Ansprüche, wobei die Schutzmaßnahme umfasst, dass der jeweilige Betriebspunkt aus dem Regelbetrieb ausgeschlossen wird und hier- zu Reglerparameter der Steuervorrichtungen (20, 22) an- gepasst werden.

10. Verfahren nach einem der vorhergehenden Ansprüche, wobei bei der Simulation eine Annahme über einen maximalen Be- trag einer in der Regelstrecke (32) wirkenden Störgröße verwendet wird und die Schutzmaßnahme umfasst, dass der maximale Betrag verringert und die Simulation erneut durchgeführt wird, und auf die Störgröße hinwiesen wird, falls bei der erneuten Simulation das Sicherheitskrite- rium (48) erfüllt wird.

11. Verfahren nach einem der vorhergehenden Ansprüche, wobei das Überwachen der Ausfalltoleranz nach einem Durchführen (S14) der Schutzmaßnahme iterativ erneut durchge- führt wird.

12. Verfahren nach einem der vorhergehenden Ansprüche, wobei zum Ermitteln des mindestens einen möglichen Betriebspunkts ein bestimmungsgemäßer Betriebsbereich anhand ei- ner Konfiguration (44, 46) der Automatisierungsanlage

(10) ermittelt wird.

13. Verfahren nach einem der vorhergehenden Ansprüche, wobei zum Ermitteln des mindestens einen möglichen Betriebs- punkts bei Stellgrößenbeschränkungen von Anlagenkomponenten nur extreme Werte berücksichtigt werden.

14. Engineering-System (E) zum Auslegen und/oder Konfigurieren einer Automatisierungsanlage (10) mit mindestens zwei Steuervorrichtungen (20, 22) zum Regeln einer Regelstrecke (32) ,

dadurch gekennzeichnet, dass das Engineering-System (E) eine Analyseeinrichtung aufweist, die dazu ausgelegt ist, auf der Grundlage eines aktuellen Topologiemodells (46) der Automatisierungsanlage (10) und eines Prozessmodells (44) eines mittels der Automatisierungsanlage (10) durchzuführenden Prozesses (12) die sich ergebende Regelstrecke (32) und eine durch ein Umschalten zwischen den Steuervorrichtungen (20, 22) verursache Totzeit (T) zu ermitteln und ein Verfahren nach einem der vorhergehenden Ansprüche durchzuführen .

Automatisierungsanlage (10) mit einer Regelstrecke (32) zum Betreiben eines Prozesses (12) und mit mindestens zwei Steuervorrichtungen (20, 22) zum ausfallsicheren, abwechselnden Regeln der Regelstrecke (32),

dadurch gekennzeichnet, dass

die Automatisierungsanlage (10) dazu ausgelegt ist, im laufenden Betrieb ihre Ausfalltoleranz durch Durchführen eines Verfahrens nach einem der Ansprüche 1 bis 13 zu überwachen .