WO2011023469A2 - Feldgerät zur bestimmung oder überwachung einer physikalischen oder chemischen variablen - Google Patents

Abstract

Feldgerät (1) zur Bestimmung oder Überwachung einer physikalischen oder chemischen Variablen, bestehend aus einem Sensor (2), der nach einem definierten Messprinzip arbeitet, und einer Kontroll-/Auswerteeinheit (3), die die vom Sensor (2) gelieferten Messdaten in Abhängigkeit von einem in der jeweiligen sicherheitskritischen Anwendung geforderten Sicherheitsstandard entlang von mindestens zwei gleichwertigen Messpfaden (MP1, MP2,...) aufbereitet und auswertet, wobei die Kontroll-/Auswerteeinheit (3) auf einer anwendungsspezifischen integrierten Schaltung, einem ASIC (4), realisiert ist, die in zumindest einem ersten Teilbereich (5.1; 5.2;..) und in einem zweiten Teilbereich (5.2; 5.1;...) als dynamisch rekonfigurierbarer Logikbaustein (13) ausgestaltet ist, wobei in jedem der beiden Teilbereiche (5.1, 5.2,...) jeweils ein Messpfad (MP1, MP2), der aus mehreren Funktionsmodulen (6.1, 6.2,..) besteht, konfigurierbar ist, wobei die einzelnen Teilbereiche (5.1, 5.2,...) derart voneinander beabstandet sind, dass eine Temperatur- und/oder eine Spannungsänderung in einem der Teilbereiche (5.1; 5.2;...) keinen Einfluss auf den anderen Teilbereich (5.1; 5.2;...) bzw. die anderen Teilbereiche (5.1, 5.2,...) hat, und wobei die Kontroll-/Auswerteeinheit (3) die Funktionsmodule (6.1, 6.2,..) in den Messpfaden (MP1, MP2,...) in Abhängigkeit von der jeweils definierten sicherheits-kritischen Anwendung partiell dynamisch rekonfiguriert, so dass das Feldgerät (1) den geforderten Sicherheitsstandard erfüllt.

Description

Feldgerät zur Bestimmung oder Überwachung einer

physikalischen oder chemischen Variablen

Die Erfindung betrifft ein Feldgerät zur Bestimmung oder Überwachung einer physikalischen oder chemischen Variablen, bestehend aus einem Sensor, der nach einem definierten Messprinzip arbeitet, und einer Kontroll-/Auswerte- einheit, die die vom Sensor gelieferten Messdaten in Abhängigkeit von einem in der jeweiligen sicherheitskritischen Anwendung geforderten Sicherheitsstandard entlang von mindestens zwei gleichwertigen Messpfaden aufbereitet und auswertet. Bevorzugt wird das Feldgerät in der Automatisierungstechnik, insbesondere in der Prozess- und Fabrikautomatisierung eingesetzt.

Einsetzbar ist sie jedoch auch bei sicherheitskritischen Anwendungen im Automobilsektor, etc. Aus der WO 2004/013585 A1 ist bereits eine

entsprechende Lösung aus dem Bereich der Prozessautomatisierung bekannt worden.

In der Automatisierungstechnik, insbesondere in der Prozessautomati- sierungstechnik, werden Feldgeräte eingesetzt, die zur Bestimmung und Überwachung von Prozessvariablen dienen. Beispiele für derartige

Feldgeräte sind Füllstandsmessgeräte, Durchflussmessgeräte,

Analysemessgeräte, Druck- und Temperaturmessgeräte, Feuchte- und Leitfähigkeitsmessgeräte, Dichte und Viskositätsmessgeräte. Die Sensoren dieser Feldgeräte erfassen die entsprechenden Prozessvariablen, z.B. den Füllstand, den Durchfluss, den pH-Wert, die Stoff konzentration, den Druck, die Temperatur, die Feuchte, die Leitfähigkeit, die Dichte oder die Viskosität.

Unter den Begriff 'Feldgeräte' werden aber auch Aktoren, z. B. Ventile oder Pumpen, subsumiert, über die beispielsweise der Durchfluss einer Flüssigkeit in einer Rohrleitung oder der Füllstand in einem Behälter veränderbar ist. Eine Vielzahl solcher Feldgeräte wird von der Firmengruppe Endress + Hauser angeboten und vertrieben. In der Regel sind Feldgeräte in modernen automatisierungstechnischen Anlagen ebenso wie im Automobilsektor über Kommunikationsnetzwerke, wie HART- Multidrop, Punkt zu Punkt Verbindung, Profibus, Foundation Fieldbus, den CAN-Bus mit einer übergeordneten Einheit verbunden, die als Leitsystem oder übergeordnete Steuereinheit bezeichnet wird. Diese übergeordnete Einheit dient zur Steuerung, zur Diagnose zur Visualisierung, zur

Überwachung sowie zur Inbetriebnahme und zum Bedienen der Feldgeräte. Für den Betrieb von Feldbussystemen notwendige Zusatzkomponenten, die direkt an einen Feldbus angeschlossen sind und die insbesondere zur Kommunikation mit den übergeordneten Einheiten dienen, werden ebenfalls häufig als Feldgeräte bezeichnet. Bei diesen Zusatzkomponenten handelt es sich z. B. um Remote I/Os, um Gateways, um Linking Devices oder um

Controller, Wireless Adapter. Der Software-Anteil bei Feldgeräten steigt stetig an. Der Vorteil beim Einsatz von Mikrocontroller-gesteuerten intelligenten Feldgeräten (Smart Field Devices) besteht darin, dass sich über anwendungsspezifische

Softwareprogramme eine Vielzahl von unterschiedlichen Funktionalitäten in einem Feldgerät realisieren lassen; auch lassen sich Programmänderungen relativ einfach durchführen. Der hohen Flexibilität der programmgesteuerten Feldgeräte steht auf der anderen Seite als Folge der sequentiellen

Programmabarbeitung eine relativ geringe Verarbeitungsgeschwindigkeit und damit eine entsprechend geringe Messrate entgegen. Um die Verarbeitungsgeschwindigkeit zu erhöhen, werden immer dann, wenn es sinnvoll ist, in den Feldgeräten ASICs - Application Specific Integrated Circuits - eingesetzt. Durch die anwendungsspezifische Konfiguration können diese Bausteine Daten und Signale wesentlich schneller verarbeiten, als dies ein Softwareprogramm tun kann. Insbesondere für rechenintensive

Anwendungen sind ASICs hervorragend geeignet.

Nachteilig bei der Applikation von ASICs ist, dass die Funktionalität dieser Bausteine fest vorgegeben ist. Eine nachträgliche Änderung der Funktionalität ist bei diesen Bausteinen nicht ohne Weiteres möglich. Weiterhin zahlt sich der Einsatz von ASICs nur bei relativ großen Stückzahlen aus, da der

Entwicklungsaufwand und die damit verbundenen Kosten hoch sind.

Um den Missstand der fest vorgegebenen Funktionalität zu umgehen, ist aus der WO 03/098154 A1 ein konfigurierbares Feldgerät bekannt geworden, bei dem ein rekonfigurierbarer Logikbaustein in Form eines FPGAs vorgesehen ist. Bei dieser bekannten Lösung wird beim Systemstart der Logikbaustein mit mindestens einem MikroController, der auch als Embedded Controller bezeichnet wird, konfiguriert. Nachdem die Konfiguration abgeschlossen ist, wird die erforderliche Software in den MikroController geladen. Der hierbei benötigte rekonfigurierbare Logikbaustein muss über ausreichende

Ressourcen, und zwar Logik-, Verdrahtungs- und Speicherressourcen, verfügen, um die gewünschten Funktionalitäten zu erfüllen. Logikbausteine mit vielen Ressourcen benötigen viel Energie, was wiederum aus funktioneller Sicht ihren Einsatz in der Automatisierung nur eingeschränkt möglich macht. Nachteilig beim Einsatz von Logikbausteinen mit wenigen Ressourcen und somit mit einem geringeren Energieverbrauch ist die erhebliche

Einschränkung in der Funktionalität des entsprechenden Feldgeräts.

Je nach Anwendungsfall müssen die Feldgeräte unterschiedlichsten

Sicherheitsanforderungen genügen. Um den jeweiligen Sicherheitsanforderungen, z.B. dem SIL-Standard 'Security Integrity Level', der in der Prozessautomatisierung wichtig ist, zu genügen, muss die Funktionalität der Feldgeräte redundant und/oder diversitär ausgelegt sein.

Redundanz bedeutet erhöhte Sicherheit durch doppelte oder mehrfache Auslegung aller sicherheitsrelevanter Hard- und Software-Komponenten. Diversität bedeutet, dass die in den unterschiedlichen Messpfaden

befindlichen Hardware-Komponenten, wie z.B. ein Mikroprozessor, ein A/D Wandler, von unterschiedlichen Herstellern stammen und/oder dass sie von unterschiedlichem Typ sind. Im Falle von Software-Komponenten erfordert die Diversität, dass die in den Mikroprozessoren gespeicherte Software aus unterschiedlichen Quellen, sprich von unterschiedlichen Herstellern bzw. Programmierern stammt. Durch alle diese Maßnahmen soll sichergestellt werden, dass ein sicherheitskritischer Ausfall des Feldgeräts ebenso wie das Auftreten von gleichzeitig auftretenden systematischen Fehlern bei der Messwertbereitstellung mit hoher Wahrscheinlichkeit ausgeschlossen ist. Auch ist es bekannt, zusätzlich noch einzelne wesentliche Hardware- und Software-Komponenten der Auswerteschaltung redundant und/oder diversitär auszulegen. Durch die redundante und diversitäre Auslegung einzelner von Hardware- und Software-Komponenten lässt der Grad der Sicherheit weiter erhöhen.

Ein Beispiel für eine sicherheitsrelevante Applikation ist die Füllstands- Überwachung in einem Tank, in dem eine brennbare, explosive oder auch eine nicht brennbare, dafür aber wassergefährdende Flüssigkeit gelagert ist.

Hier muss sichergestellt sein, dass die Zufuhr von Flüssigkeit zu dem Tank sofort unterbrochen wird, sobald ein maximal zulässiger Füllstand erreicht ist.

Dies wiederum setzt voraus, dass das Messgerät hoch zuverlässig den Füllstand detektiert und fehlerfrei arbeitet.

Aus der WO 2009/062954 A1 ist ein Feldgerät bekannt geworden mit einem Sensor, der nach einem definierten Messprinzip arbeitet, und einer Kontroll- /Auswerteeinheit, die die vom Sensor gelieferten Messdaten in Abhängigkeit von einem in der jeweiligen sicherheitskritischen Anwendung geforderten

Sicherheitsstandard entlang von mindestens zwei gleichwertigen Messpfaden aufbereitet und auswertet. Die Kontroll-/Auswerteeinheit ist zumindest teilweise als rekonfigurierbarer Logikbaustein mit mehreren partiell dynamisch rekonfigurierbaren Funktionsmodulen ausgebildet. Die Kontroll- /Auswerteeinheit konfiguriert die Funktionsmodule in den Messpfaden in Abhängigkeit von der jeweils definierten sicherheitskritischen Anwendung derart, dass das Feldgerät entsprechend dem geforderten

Sicherheitsstandard ausgelegt ist.

Problematisch bei der bekannten Ausgestaltung ist, dass eine Fehlfunktion, z.B. ein Kurzschluss oder eine Temperaturänderung in einem Teilbereich andere Teilbereiche automatisch mit beeinflusst. Es kommt zu einem

Übersprechen auf andere Teilbereiche, so dass das Feldgerät fehlerhafte Messergebnisse liefern kann und nicht mehr verlässlich arbeitet. Dies stellt in sicherheitskritischen Anwendungen ein hohes Risiko dar, das nicht akzeptabel ist.

Der Erfindung liegt die Aufgabe zugrunde, ein hoch flexibles Feldgerät für den sicherheitskritischen Bereich vorzuschlagen. Die Aufgabe wird dadurch gelöst, dass die Kontroll-/Auswerteeinheit auf einer anwendungsspezifischen integrierten Schaltung, einem ASIC, aufbaut, die in zumindest einem ersten Teilbereich und in einem zweiten Teilbereich als konfigurierbarer Logikbaustein ausgestaltet ist, wobei in jedem der beiden Teilbereiche jeweils ein Messpfad, der aus mehreren Funktionsmodulen besteht, konfigurierbar ist, wobei die einzelnen Teilbereiche derart

voneinander beabstandet sind, dass eine Temperatur- und/oder eine

Spannungsänderung in einem der Teilbereiche keinen Einfluss auf den anderen Teilbereich bzw. die anderen Teilbereiche hat, und wobei die

Kontroll-/Auswerteeinheit die Funktionsmodule in den Messpfaden in

Abhängigkeit von der jeweils definierten sicherheitskritischen Anwendung partiell dynamisch rekonfiguriert, so dass das Feldgerät entsprechend dem geforderten Sicherheitsstandard ausgelegt ist. Der Abstand zwischen zwei aneinander grenzenden Teilbereichen ist so bemessen, dass eine

Fehlfunktion in einem Teilbereich, die durch einen Kurzschluss oder eine plötzliche Temperaturänderung hervorgerufen wird, kein Auswirkungen bzw. kein Übersprechen auf den/die benachbarten Teilbereich/Teilbereiche hat. Gemäß einer vorteilhaften Ausgestaltung des erfindungsgemäßen Feldgeräts ist der Abstand zwischen zwei benachbarten Teilbereichen bzw. Messpfaden abhängig von der jeweiligen Applikation, in der die Kontroll-/Auswerteeinheit zum Einsatz kommt. Unter Applikation wir in diesem Zusammenhang z.B. die Höhe der Versorgungsspannung der einzelnen Teilbereiche verstanden.

Additiv oder alternativ ist in diesem Zusammenhang vorgesehen, dass der Abstand zwischen zwei benachbarten Teilbereichen ein Vielfaches der Größe der Strukturelemente (Kanallänge der Transistoren) beträgt, aus denen die anwendungsspezifische integrierte Schaltung (ASIC) aufgebaut ist.

Weiterhin sieht eine bevorzugte Ausgestaltung des erfindungsgemäßen Feldgeräts vor, dass um jeden Teilbereich ein Potentialring angeordnet ist. Bevorzugt ist dieser Potentialring durch entsprechende Strukturierung des ASICs realisiert. Hierdurch wird gleichfalls ein Übersprechen von einem Teilbereich auf einen benachbarten Teilbereich im Fehlerfall verhindert.

Weiterhin wird gemäß einer bevorzugten Ausgestaltung des

erfindungsgemäßen Feldgeräts vorgeschlagen, dass jeder Teilbereich eine separate Energieversorgung aufweist.

Um die gewünschte hohe Flexibilität zu erreichen, sind die Messpfade mit den dynamisch rekonfigurierbaren Funktionsmodulen redundant, diversitär oder redundant und diversitär ausgelegt bzw. auslegbar. Im Einzelfall richtet sich die Ausgestaltung nach dem jeweiligen Sicherheitsstandard, z.B. nach SIL1 , SIL2, SIL3. Der Sicherheitsstandard erfordert beispielsweise eine redundante und eine diversitäre Auslegung der Hard- und Software-Komponenten. Dies bedeutet, dass die redundanten Komponenten von unterschiedlichen

Herstellern bezogen werden, wodurch systematische Fehlfunktionen der Komponenten mit hoher Wahrscheinlichkeit ausgeschlossen werden können. Im Falle von Software bedeutet diversitär, dass die Programme von unterschiedlichen Programmierfirmen bzw. unterschiedlichen Programmierern erstellt werden. Auch hierdurch soll mit an Sicherheit grenzender

Wahrscheinlichkeit die Eliminierung von systematischen Fehlern erzielt werden. Weiterhin ist der Kontroll-/Auswerteeinheit ein Voter bzw. ein MikroController zugeordnet, der die von oder in den Messpfaden zur Verfügung gestellten und einander entsprechenden Daten miteinander vergleicht und im Falle einer Abweichung eine Warn- oder Fehlermeldung generiert. Insbesondere rekonfiguriert die Kontroll-/Auswerteeinheit seriell oder parallel die Funktionsmodule für eine ungeradzahlige Anzahl von redundanten und oder diversitären Messpfaden partiell dynamisch, wobei die Kontroll- /Auswerteeinheit die von oder in den Messpfaden zur Verfügung gestellten Daten miteinander vergleicht, und eine Warnmeldung generiert, dass ein definierter Messpfad fehlerhafte Daten liefert, wenn auf dem definierten Messpfad Daten zur Verfügung gestellt werden, die von den Daten der verbleibenden Messpfade abweichen.

Darüber hinaus wird vorgeschlagen, dass die Kontroll-/Auswerteeinheit die einzelnen Funktionsmodule oder Gruppen von Funktionsmodulen in den einzelnen Teilbereichen redundant und/oder diversitär rekonfiguriert, und wobei der Voter bzw. der MikroController durch Vergleich der Daten einzelner Funktionsmodule oder Gruppen von Funktionsmodulen mit entsprechenden redundanten oder diversitären Funktionsmodulen oder Gruppen von

Funktionsmodulen ermittelt, ob das Funktionsmodul oder die Gruppe von

Funktionsmodulen in dem entsprechenden Teilbereich korrekt arbeitet oder fehlerhaft ist. Weiterhin ist vorgesehen, dass die Kontroll-/Auswerteeinheit im Fall eines ermittelten Fehlers das fehlerhafte Funktionsmodul bzw. die fehlerhafte Gruppe von Funktionsmodulen erneut in dem Teilbereich rekonfiguriert und die entsprechenden Daten miteinander vergleicht. Im Falle des erneuten Auftretens eines Fehlers lädt die Kontroll- /Auswerteeinheit ein diversitäres Funktionsmodul oder die Gruppe von diversitären Funktionsmodulen erneut in entsprechenden Teilbereich des Logikbausteins.

Tritt der Fehler nachfolgend immer noch auf, so sperrt die Kontroll- /Auswerteeinheit den entsprechenden Teilbereich des Logikbausteins, rekonfiguriert das entsprechende Funktionsmodul bzw. die entsprechende Gruppe von Funktionsmodulen des Messpfades in einem anderen Bereich des entsprechenden Teilbereichs und vergleicht die entsprechenden Daten miteinander vergleicht.

Weiterhin gibt die Kontroll-/Auswerteeinheit im Falle des wiederholten

Auftretens eines Fehlers die Meldung aus, dass das Funktionsmodul bzw. die Gruppe von Funktionsmodulen bzw. der Messpfad fehlerhaft arbeitet; darüber hinaus rekonfiguriert die Kontroll-/Auswerteeinheit ein redundantes und/oder diversitäres Funktionsmodul in dem anderen Bereich. Mehr Information hierzu findet sich in der DE 10 2006 047 262 A1.

Eine vorteilhafte Ausgestaltung des erfindungsgemäßen Feldgeräts sieht vor, dass die Kontroll-/Auswerteeinheit in jedem der Messpfade hardware- und/oder softwarebasierte Funktionsmodule und/oder analoge

Funktionsmodule rekonfiguriert.

Gemäß einer bevorzugten Ausgestaltung des erfindungsgemäßen Feldgeräts, ist dem Sensor eine analoge Sensorschaltung zur Ausgabe eines Roh-

Messsignals zugeordnet, welches die zu bestimmende oder zu überwachende Prozessgröße repräsentiert; die nachgeordnete Kontroll-Auswerteeinheit weist im Detail die folgenden Funktionsmodule auf: einen Analog-/Digital- Wandler, der das analoge Roh-Messsignal in ein digitales Roh-Messsignal umwandelt,

eine Verarbeitungseinheit, die zur redundanten und/oder diversitären

Auswertung des digitalen Roh-Messsignals dient, und ggf. eine Kommunikationsschaltung, die zur Weiterleitung des ausgewerteten

Messsignals an eine übergeordnete Steuereinheit dient.

Darüber hinaus ist vorgesehen, dass das Roh-Messsignal zusätzlich dem Voter bzw. dem MikroController zugeleitet wird und dass anhand eines Vergleichs der IST-Daten des Roh-Messsignals mit entsprechend

abgespeicherten SOLL-Daten ermittelt wird, ob der Sensor korrekt oder fehlerhaft arbeitet. Bevorzugt ist auf einem ausgewählten Bereich eines der Logikbausteine ein statischer Bereich vorgesehen, in dem zumindest ein Funktionsmodul, z.B. eine Steuereinheit, in der das Steuerprogramm zu Konfigurierung der

Funktionsmodule abläuft, permanent konfiguriert ist. Als besonders vorteilhaft wird es angesehen, wenn sich die Teilbereiche des Logikbausteins jeweils wie ein dynamisch partiell rekonfigurierbarer FPGA oder ein dynamisch partiell rekonfigurierbarer FPAA verhalten. Hierdurch wird ein erhöhtes Maß an Diversität erreicht. Nähere Angaben zu dem partiell dynamisch rekonfigurierbaren FPGA finden sich in der DE 10 2006 049 509 A1 , die dem Offenbarungsgehalt der vorliegenden Lösung zuzurechnen ist.

Bevorzugt weisen die Teilbereiche eine Standard ASIC Struktur mit

Logikzellen auf, wobei die Logikzellen mittels Konfigurationsregistern so konfigurierbar sind, dass sie elementare Logikfunktionen ausführen, wobei eine Verknüpfungsmatrix mit einer Vielzahl von Speicherzellen vorgesehen ist, über die unterschiedliche logische Verknüpfungen der Logikzellen in definierten komplexen Verknüpfungen mittels der

Konfigurationsregister konfigurierbar sind, und wobei eine Steuereinheit vorgesehen ist, die die Logikzellen und die Verknüpfungsmatrix über einen internen Bus und über die Konfigurationsregister mittels eines Konfigurations- Bitstrom partiell dynamisch so konfiguriert, dass die ASIC Struktur sich in den Teilbereichen funktional wie ein partiell dynamisch rekonfigurierbarer Standard Logikbaustein verhält. Bevorzugt ist zumindest ein Teilbereich als dynamisch partiell rekonfigurierbarer FPAA oder als Analog Array

ausgestaltet. Die Erfindung wird anhand der nachfolgenden Figuren näher erläutert. Es zeigt:

Fig. 1 : eine schematische Darstellung des erfindungsgemäßen Feldgeräts 1 mit zwei Messpfaden,

Fig. 2: eine schematische Darstellung einer zweiten Ausgestaltung des erfindungsgemäßen Feldgeräts mit zwei Messpfaden und einem Voter,

Fig. 3: eine schematische Darstellung einer dritten Ausgestaltung des erfindungsgemäßen Feldgeräts, wobei die Messpfade und der Voter jeweils separate Energieversorgungen aufweisen,

Fig. 4: eine schematische Darstellung einer vierten Ausgestaltung des erfindungsgemäßen Feldgeräts mit drei Messpfaden und einem Voter,

Fig. 3: eine schematische Darstellung einer fünften Ausgestaltung des erfindungsgemäßen Feldgeräts, wobei die drei Messpfade und der Voter jeweils separate Energieversorgungen aufweisen, und Fig. 6: eine schematische Darstellung der einzelnen Komponenten einer vorteilhaften Ausgestaltung des erfindungsgemäßen Feldgeräts mit zwei diversitären analog/digital ausgestalteten Messpfaden.

Fig. 1 zeigt eine schematische Darstellung des erfindungsgemäßen

Feldgeräts 1 mit zwei Messpfaden MP1 , MP2 in den beiden Teilbereichen 5.1 , 5.2. Die beiden Messpfade MP1 , MP2 sind auf einem ASIC 4 realisiert, der in den beiden Teilbereichen 5.1 , 5.2 als dynamisch partiell rekonfiguherbarer Logikbaustein 13 ausgestaltet ist. Jeder Messpfad 5.1 , 5.2 besteht aus mehreren Funktionsmodulen 6.1 , 6.2, ..., die in der Fig. 1 nicht gesondert dargestellt sind. Die beiden Messpfade MP1 , MP2 sind - je nach gefordertem Sicherheitsstandard - redundant und/oder diversitär ausgelegt. Die einzelnen Funktionsmodule 6.1 , 6.2 werden in den Messpfaden MP1 , MP2 dynamisch partiell rekonfiguriert. Dargestellt sind in den Fig. 1 - Fig. 5 beispielhaft die Logikzellen 16, aus denen sich der Logikbaustein 13 zusammensetzt.

Um zu verhindern, dass eine Fehlfunktion in einem Teilbereich 5.1 einen Einfluss auf den anderen Teilbereich 5.2 hat, sind die beiden Messpfade MP1 , MP2 voneinander beabstandet. Der Abstand der beiden Messpfade MP1 , MP2 bzw. der beiden Teilbereiche 5.1 , 5.2 ist mit D gekennzeichnet. Der Abstand D zwischen zwei benachbarten Teilbereichen 5.1 , 5.2 ist üblicherweise abhängig von der jeweiligen Applikation, in der die Kontroll- /Auswerteeinheit 4 zum Einsatz kommt. Eine wichtige Größe ist in diesem Zusammenhang die Höhe der Versorgungsspannung in den einzelnen Teilbereichen 5,1 , 5.2. Weiterhin ist es sinnvoll, dass der Abstand D zwischen zwei benachbarten Teilbereichen 5.1 , 5.2 ein Vielfaches der Größe der Strukturelemente beträgt, aus denen die anwendungsspezifische integrierte Schaltung, sprich der ASIC 4, aufgebaut ist. Auch über diese Angabe lässt sich der optimale Abstand D definieren, den zwei benachbarte Teilbereiche 5.1 , 5.2 voneinander haben müssen, damit das Auftreten einer Fehlfunktion in einem Teilbereich 5.1 bzw. in einem Messpfad MP1 den anderen Teilbereich 5.2 bzw. den anderen Messpfad MP2 nicht beeinflusst. Bevorzugt wird der optimale Abstand D in Kenntnis der Auslegung der Beschaltung im Vorfeld experimentell bestimmt. Um zu erkennen, ob eine Temperaturänderung auftritt, wird es als vorteilhaft angesehen, wenn in jedem Messpfad MP1 , MP2 eine Temperaturmessung realisiert ist. Um jeden Teilbereich 5.1 , 5.2 ist ein Potentialring 7 angeordnet, so dass

Überspannungen, die in einem Teilbereich 5.1 , 5.2 auftreten, gegen Masse abgeleitet werden. Bevorzugt ist der Potentialring 7 durch entsprechende Strukturierung des ASIC 4 während der Herstellung realisiert. Durch den Potentialring 7 wird gleichfalls ein Übersprechen von einem Teilbereich 5.1 auf einen benachbarten Teilbereich 5.2 im Falle des Auftretens einer

Fehlfunktion verhindert.

Bei der in Fig. 1 gezeigten Ausgestaltung hat jeder Teilbereich 5.1 , 5.2 bzw. jeder Messpfad MP1 , MP2 seine eigene Energieversorgung 8.1 , 8.2.

Fig. 2 zeigt eine schematische Darstellung einer zweiten Ausgestaltung des erfindungsgemäßen Feldgeräts 1 mit zwei Messpfaden MP1 , MP2. Zusätzlich ist auf dem Logikbaustein 13 ein statischer Bereich 15 vorgesehen, in dem ein Voter 9 bzw. ein MikroController permanent konfiguriert ist. Die Messpfade

MP1 , MP2 und der Voter 9 haben eine gemeinsame Energieversorgung 8.

Die in Fig. 3 gezeigte Ausgestaltung unterscheidet sich von der in Fig. 2 gezeigten Ausgestaltung dadurch, dass hier die beiden Teilbereiche 5.1 , 5.2 und der Voter 9 jeweils eine separate Energieversorgung 8.1 , 8.2, 8.3 aufweisen.

Die in Fig. 4 gezeigte schematische Darstellung einer weiteren Ausgestaltung des erfindungsgemäßen Feldgeräts 1 unterscheidet sich von der in Fig. 2 gezeigten Ausgestaltung dadurch, dass drei Messpfade MP1 , MP2, MP3 in drei Teilbereichen 5.1 , 5.2, 5.3 des Logikbausteins 13 realisiert sind. Somit zeichnet sich diese Ausgestaltung durch eine dreifache Redundanz und-/oder Diversität aus und ist für Anwendungen mit höheren

Sicherheitsanforderungen geeignet.

Die in Fig. 5 gezeigte Lösung unterscheidet sich von der in Fig. 3

dargestellten Ausgestaltung dadurch, dass drei Messpfade MP1 , MP2, MP3 an Stelle von zwei Messpfaden MP1 , MP2 realisiert sind. Jeweils sind zwei der Messpfade MP1 , MP2 als redundante und/oder diversitäre FPGAs realisiert, während der Messpfad MP3 als FPAA realisiert ist. In Fig. 6 sind die einzelnen Komponenten 6.1 , 6.2, ... des erfindungsgemäßen Feldgeräts 1 mit zwei diversitären analog/digital ausgestalteten Messpfaden MP1 , MP2 für sicherheitskritische Anwendungen dargestellt. Weitere Ausgestaltungen mit drei bzw. fünft Messpfaden sind in der WO 2009/062954 A1 der Anmelderin genannt. Diese Ausgestaltungen ebenbso wie die entsprechenden Vorteile sind dem Offenbarungsgehalt der vorliegenden Patentanmeldung zuzurechnen.

Mit dem Sensor 2, der eine beliebige physikalische oder chemische Variable misst und/oder überwacht, ist die Kontroll-/Auswerteeinheit 3 verbunden. Die Kontroll-/Auswerteeinheit 3 ist zumindest teilweise in dem Bereich des

Logikbausteins 13 auf dem ASIC 4 derart partiell dynamisch konfigurierbar, dass sie für die jeweilige Applikation geeignet ist. Neben den Messpfaden MP1 , MP2 sind auf dem ASIC 4 auch die analoge Sensorelektronik 10 und die analoge Kommunikationselektronik 11 entsprechend der jeweiligen

Anwendung vorgesehen. Applikation bedeutet in diesem Zusammenhang sowohl die Art des Messprinzips (z.B. Laufzeitmessung mit Radar-Geräten, Durchflussmessung mit magnetisch induktiven Messgeräten) oder auch die Nutzung der Laufzeitmessung für die Füllstands- oder die

Durchflussmessung. Tritt zwischen den Messergebnissen M1 , M2 in den verschiedenen Messpfaden MP1 , MP2 eine Abweichung auf, so wird diese als Warn- oder Fehlermeldung über die Datenleitung 14, bei der es sich bevorzugt um einen Datenbus handelt, an eine nicht gesondert dargestellt Leitwarte bzw. an das Bedienpersonal ausgeben.

Claims

Patentansprüche

1. Feldgerät (1 ) zur Bestimmung oder Überwachung einer physikalischen oder chemischen Variablen, bestehend aus einem Sensor (2), der nach einem definierten Messprinzip arbeitet, und einer Kontroll-/Auswerteeinheit (3), die die vom Sensor (2) gelieferten Messdaten in Abhängigkeit von einem in der jeweiligen sicherheitskritischen Anwendung geforderten Sicherheitsstandard entlang von mindestens zwei gleichwertigen Messpfaden (MP1 , MP2, ...) aufbereitet und auswertet,

wobei die Kontroll-/Auswerteeinheit (3) auf einer anwendungsspezifischen integrierten Schaltung, einem ASIC (4), realisiert ist, die in zumindest einem ersten Teilbereich (5.1 ; 5.2; ..) und in einem zweiten Teilbereich (5.2; 5.1 ; ...) als dynamisch rekonfiguherbarer Logikbaustein (13) ausgestaltet ist, wobei in jedem der beiden Teilbereiche (5.1 , 5.2,...) jeweils ein Messpfad (MP1 , MP2), der aus mehreren Funktionsmodulen (6.1 , 6.2, ..) besteht, konfigurierbar ist, wobei die einzelnen Teilbereiche (5.1 , 5.2, ...) derart voneinander

beabstandet sind, dass eine Temperatur- und/oder eine Spannungsänderung in einem der Teilbereiche (5.1 ; 5.2; ...) keinen Einfluss auf den anderen Teilbereich (5.1 ; 5.2; ...) bzw. die anderen Teilbereiche (5.1 , 5.2, ...) hat, und wobei die Kontroll-/Auswerteeinheit (3) die Funktionsmodule (6.1 , 6.2, ..) in den Messpfaden (MP1 , MP2,...) in Abhängigkeit von der jeweils definierten sicherheits-kritischen Anwendung partiell dynamisch rekonfiguriert, so dass das Feldgerät (1 ) den geforderten Sicherheitsstandard erfüllt.

2. Feldgerät nach Anspruch 1 , wobei der Abstand zwischen zwei

benachbarten Teilbereichen (5.1 , 5.2; ...) abhängig ist von der jeweiligen Applikation, in der die Kontroll-/Auswerteeinheit (3) zum Einsatz kommt.

3. Feldgerät nach Anspruch 1 , wobei der Abstand zwischen zwei

benachbarten Teilbereichen (5.1 , 5.2; ...) ein Vielfaches der Größe der Kanallänge der Transistoren bzw. Strukturelemente (16) beträgt, aus denen die anwendungsspezifische integrierte Schaltung, der ASIC (4), aufgebaut ist.

4. Feldgerät nach einem der Ansprüche 1 - 3, wobei jeder Teilbereich (5.1 , 5.2, ..) von einem Potentialring (7) umgeben ist.

5. Feldgerät nach einem der Ansprüche 1 -3, wobei jeder Teilbereich (5.1 ; 5.2; ...) eine separate Energieversorgung (8.1 , 8.2, ..) aufweist.

6. Feldgerät nach einem oder mehreren der vorhergehenden Ansprüche, wobei die Messpfade (MP1 , MP2, ...) mit den dynamisch rekonfigurierbaren Funktionsmodulen (6.1 , 6.2, ..) redundant, diversitär oder redundant und diversitär ausgelegt sind.

7. Feldgerät nach einem oder mehreren der vorhergehenden Ansprüche, wobei der Kontroll-/Auswerteeinheit (3) ein Voter (9) bzw. ein MikroController zugeordnet ist, der die von oder in den Messpfaden (MP1 , MP2, ..) zur Verfügung gestellten und einander entsprechenden Daten miteinander vergleicht und im Falle einer Abweichung eine Warn- oder Fehlermeldung generiert.

8. Feldgerät nach Anspruch 1 oder 7, wobei die Kontroll-/Auswerteeinheit (3) seriell oder parallel die Funktionsmodule (6.1 , 6.2, ..) für eine ungeradzahlige Anzahl von redundanten und oder diversitären Messpfaden (MP1 , MP2, ...) partiell dynamisch rekonfiguriert,

wobei die Kontroll-/Auswerteeinheit (3) die von oder in den Messpfaden (MP1 , MP2, ...) zur Verfügung gestellten Daten miteinander vergleicht,

und wobei die Kontroll-/Auswerteeinheit (3) eine Warnmeldung generiert, dass ein definierter Messpfad (MP1 ) fehlerhafte Daten liefert, wenn auf dem definierten Messpfad (MP1 ) Daten zur Verfügung gestellt werden, die von den Daten der verbleibenden Messpfade (MP2, ...) abweichen.

9. Feldgerät nach Anspruch 1 , 7 oder 8, wobei die Kontroll-/Auswerteeinheit (3) die einzelnen Funktionsmodule (6.1 , 6.2, ..) oder eine Gruppen von Funktionsmodulen (6.1 , 6.2; ..) in den einzelnen Teilbereichen (5.1 , 5.2, ..) redundant und/oder diversitär

rekonfiguriert, und

wobei der Voter (8) bzw. der MikroController durch Vergleich der Daten (M1 , M2, ..) einzelner Funktionsmodule (6.1 , 6.2, ..) oder Gruppen von

Funktionsmodulen (6.1 , 6.2; ..) mit entsprechenden redundanten oder diversitären Funktionsmodulen (6.1 , 6.2, ..) oder Gruppen von

Funktionsmodulen (6.1 , 6.2; ..) ermittelt, ob das Funktionsmodul (6.1 ; 6.2; ..) oder die Gruppe von Funktionsmodulen (6.1 , 6.2; ..) in dem entsprechenden Teilbereich (5.1 ;5.2; ..) korrekt arbeitet oder fehlerhaft ist.

10. Feldgerät nach Anspruch 9,

wobei die Kontroll-/Auswerteeinheit (3) im Fall eines ermittelten Fehlers das fehlerhafte Funktionsmodul (6.1 ; 6.2; ..) bzw. die fehlerhafte Gruppe von Funktionsmodulen (6.1 , 6.2; ..) erneut in dem Teilbereich (5.1 ;5.2; ..) rekonfiguriert und die entsprechenden Daten miteinander vergleicht.

11. Feldgerät nach Anspruch 10,

wobei die Kontroll-/Auswerteeinheit (3) im Falle des erneuten Auftretens eines Fehlers ein diversitäres Funktionsmodul (6.1 ; 6.2; ..) oder die Gruppe von diversitären Funktionsmodulen (6.1 , 6.2; ..) in den entsprechenden

Teilbereich (5.1 ;5.2; ..) des ASICs (4) lädt.

12. Feldgerät nach Anspruch 11 ,

wobei die Kontroll-/Auswerteeinheit (3) im Falle des abermaligen Auftretens eines Fehlers den entsprechenden Teilbereich (5.1 ;5.2; ..) des ASICS sperrt und das entsprechende Funktionsmodul (6.1 ; 6.2; ..) bzw. die entsprechende Gruppe von Funktionsmodulen (6.1 , 6.2; ..) in einem anderen Teilbereich (5.1 ;5.2; ..) rekonfiguriert und die entsprechenden Daten miteinander vergleicht.

13. Feldgerät nach Anspruch 12,

wobei die Kontroll-/Auswerteeinheit (3) im Falle des wiederholten Auftretens eines Fehlers eine Meldung ausgibt, dass das Funktionsmodul (6.1 ; 6.2; ..) bzw. die Gruppe von Funktionsmodulen (6.1 , 6.2; ..) fehlerhaft arbeitet und wobei die Kontroll-/Auswerteeinheit (3) ein redundantes und/oder diversitäres Funktionsmodul (6.1 , 6.2, ..) in dem anderen Bereich (5.1 ;5.2; ..)

rekonfiguriert.

14. Feldgerät nach Anspruch 1 oder 2,

wobei die Kontroll-/Auswerteeinheit (3) in jedem der Messpfade (MP1 , MP2, ...) hardware- und/oder softwarebasierte Funktionsmodule (6.1 , 6.2, ..) und/oder analoge Funktionsmodule (6.1 , 6.2, ..) rekonfiguriert.

15. Feldgerät nach einem oder mehreren der vorhergehenden Ansprüche, wobei dem Sensor (2) eine analoge Sensorschaltung (10) zur Ausgabe eines

Roh-Messsignals zugeordnet ist, welches die zu bestimmende oder zu überwachende Prozessgröße repräsentiert, und

wobei die nachgeordnete Kontroll-Auswerteeinheit (3) folgende

Funktionsmodule (6.1 , 6.2, ..) aufweist:

einen Analog-/Digital-Wandler, der das analoge Roh-Messsignal in ein digitales Roh-Messsignal umwandelt,

eine Verarbeitungseinheit, die zur redundanten und/oder diversitären

Auswertung des digitalen Roh-Messsignals dient, und

ggf. eine Kommunikationsschaltung, die zur Weiterleitung des ausgewerteten Messsignals an eine übergeordnete Steuereinheit dient.

16. Feldgerät nach Anspruch 15,

wobei das Roh-Messsignal zusätzlich dem Voter (9) bzw. dem MikroController zugeleitet wird und

wobei anhand eines Vergleichs der IST-Daten des Roh-Messsignals mit entsprechend abgespeicherten SOLL-Daten ermittelt wird, ob der Sensor (2) korrekt oder fehlerhaft arbeitet.

17. Feldgerät nach einem oder mehreren der vorhergehenden Ansprüche, wobei auf einem ausgewählten Bereich (5.1 , 5.2, ..) des Logikbausteins (13) ein statischer Bereich (15) vorgesehen ist, in dem zumindest ein

Funktionsmodul (6.1 ; 6.2, ..), z.B. eine Steuereinheit (9), in der das

Steuerprogramm zu Konfigurierung der Funktionsmodule (6.1 , 6.2,..) abläuft, permanent konfiguriert ist.

18. Feldgerät nach einem oder mehreren der vorhergehenden Ansprüche, wobei sich die Teilbereiche (5.1 , 5.2, ...) des Logikbausteins wie ein dynamisch partiell rekonfigurierbarer FPGA oder ein dynamisch partiell rekonfigurierbarer FPAA verhalten.

19. Feldgerät nach einem oder mehreren der vorhergehenden Ansprüche, wobei die Teilbereiche eine Standard ASIC Struktur 4 mit Logikzellen (16) aufweisen, wobei die Logikzellen (16) mittels Konfigurationsregistern so konfigurierbar sind, dass sie elementare Logikfunktionen ausführen, wobei eine Verknüpfungsmatrix mit einer Vielzahl von Speicherzellen vorgesehen ist, über die unterschiedliche logische Verknüpfungen der Logikzellen (16) in definierten komplexen Verknüpfungen mittels der

Konfigurationsregister konfigurierbar sind, und

wobei eine zweite Steuereinheit vorgesehen ist, die die Logikzellen (16) und die Verknüpfungsmatrix über einen internen Bus (17) und über die

Konfigurationsregister mittels eines Konfigurations-Bitstrom partiell dynamisch so konfiguriert, dass die ASIC Struktur 4 sich in den Teilbereichen 5.1 , 5.2, .. funktional wie ein partiell dynamisch rekonfigurierbarer Standard

Logikbaustein 13 verhält.

20. Feldgerät nach Anspruch 19, wobei zumindest ein Teilbereich (5.1 ; 5.2; ..) als dynamisch partiell rekonfigurierbarer FPAA oder als Analog Array ausgestaltet ist.