Die Erfindung betrifft ein Feldgerät zur Bestimmung oder Überwachung einer

Prozessgröße in der Automatisierungstechnik. Das Feldgerät ist so ausgestaltet, dass es einem Sicherheitsstandard genügt, der in einer vorgegebenen sicherheitskritischen Anwendung gefordert ist. Weiterhin umfasst das Feldgerät einen Sensor, der nach einem definierten Messprinzip arbeitet, und eine Kontroll-/Auswerteeinheit, die die vom Sensor gelieferten Messdaten entlang von zumindest drei redundanten und/oder diversitär ausgelegten Messkanälen aufbereitet und auswertet. Eine entsprechende Lösung ist aus der WO 2004/013585 A1 bekannt geworden.

In der Automatisierungstechnik, insbesondere in der Prozessautomati-sierungstechnik, werden Feldgeräte eingesetzt, die zur Bestimmung und Überwachung von

Prozessvariablen dienen. Beispiele für derartige Feldgeräte sind Füllstandsmessgeräte, Durchflussmessgeräte, Analysemessgeräte, Druck- und Temperaturmessgeräte, Feuchte- und Leitfähigkeitsmessgeräte, Dichte und Viskositätsmessgeräte. Die Sensoren dieser Feldgeräte erfassen die entsprechenden Prozessvariablen, z.B. den Füllstand, den Durchfluss, den pH-Wert, die Stoffkonzentration, den Druck, die Temperatur, die Feuchte, die Leitfähigkeit, die Dichte oder die Viskosität.

Unter den Begriff 'Feldgeräte' werden in Verbindung mit der Erfindung aber auch Aktoren, z. B. Ventile oder Pumpen, subsumiert, über die beispielsweise der Durchfluss einer Flüssigkeit in einer Rohrleitung oder der Füllstand in einem Behälter veränderbar ist. Eine Vielzahl solcher Feldgeräte wird von der Firmengruppe Endress + Hauser angeboten und vertrieben.

In der Regel sind Feldgeräte in modernen automatisierungstechnischen Anlagen über Kommunikationsnetzwerke, wie HART- Multidrop, Punkt zu Punkt Verbindung, Profibus, Foundation Fieldbus, mit einer übergeordneten Einheit verbunden, die als Leitsysteme oder Leitwarte bezeichnet wird. Diese übergeordnete Einheit dient zur Prozesssteuerung, zur Prozessvisualisierung, zur Prozess Überwachung sowie zur Inbetriebnahme und zum Bedienen der Feldgeräte. Für den Betrieb von Feldbussystemen notwendige Zusatzkomponenten, die direkt an einen Feldbus angeschlossen sind und die insbesondere zur Kommunikation mit den übergeordneten Einheiten dienen, werden ebenfalls häufig als

Feldgeräte bezeichnet. Bei diesen Zusatz-komponenten handelt es sich z. B. um Remote I/Os, Gateways, Linking Devices, Controller oder Wireless Adapter. Je nach Anwendungsfall müssen die Feldgeräte unterschiedlichsten

Sicherheitsanforderungen genügen. Um den jeweiligen Sicherheits-anforderungen, z.B. der IEC61508 (SIL-Standard 'Safety Integrity Level') zu genügen, müssen die Feldgeräte redundant und/oder diversitär ausgelegt sein.

Redundanz bedeutet erhöhte Sicherheit durch doppelte oder mehrfache Auslegung aller sicherheitsrelevanter Hard- und Software-Komponenten. Diversität bedeutet, dass die in den unterschiedlichen Messkanälen befindlichen Hardware-Komponenten, wie z.B. ein Mikroprozessor, von unterschiedlichen Herstellern stammen und/oder dass sie von unterschiedlichem Typ sind. Im Falle von Software-Komponenten erfordert die Diversität, dass die in den Mikroprozessoren gespeicherte Software aus unterschiedlichen Quellen, sprich von unterschiedlichen Herstellern bzw. Programmierern stammt. Durch alle diese Maßnahmen soll sichergestellt werden, dass ein sicherheitskritischer Ausfall des

Feldgeräts ebenso wie das Auftreten von gleichzeitig auftretenden systematischen Fehlern bei der Messwertbereitstellung mit hoher Wahrscheinlichkeit ausgeschlossen ist.

Ein Beispiel für eine sicherheitsrelevante Applikation ist die Füllstands-überwachung in einem Tank, in dem eine brennbare oder auch eine nicht brennbare, dafür aber wassergefährdende Flüssigkeit gelagert ist. Hier muss sichergestellt sein, dass die Zufuhr von Flüssigkeit zu dem Tank sofort unterbrochen wird, sobald ein maximal zulässiger

Füllstand erreicht ist. Dies wiederum setzt voraus, dass das Messgerät hoch zuverlässig den Füllstand detektiert und fehlerfrei arbeitet.

Zwar ist bei den bekannten Lösungen der Messkanal redundant und/oder diversitär ausgelegt, jedoch stellt der Voter, üblicherweise ein Mikroprozessor, die Achillesferse eines Feldgeräts dar, das hohen und höchsten Sicherheitsanforderungen genügen soll.

Der Mikroprozessor ist monolithisch ausgestaltet. Tritt hier ein gefahrbringender Fehler

(entsprechend der Nomenklatur des zuvor genannten Standards) auf, so versagt das

Feldgerät. Um die Anforderungen von SIL 3 zu erfüllen, darf der Anteil der

gefahrbringenden Fehler zu der Anzahl aller möglichen Fehler bei maximal einem Prozent liegen. Mit einem herkömmlichen Mikroprozessor ist dieser Sicherheitslevel nicht zu erreichen.

Um dieses Problem zu lösen, wird in der nicht vorveröffentlichten DE 10 2012 106 652.3, angemeldet am 23.07.2012, ein Feldgerät beschrieben, dessen Voter als Mehrheitsvoter ausgestaltet ist und der drei Stufen umfasst:

eine Komparatorstufe, die die von den einzelnen Messkanälen gelieferten

Ausgangssignale miteinander vergleicht; eine Fehlererkennungsstufe, die durch geeignete Verknüpfung der

Ausgangssignale der Komparatorstufe einen in einem Messkanal auftretenden Fehler erkennt, und

eine Ausgangsauswahlstufe.

Der Inhalt der DE 10 2012 106 652.3, insbesondere im Hinblick auf die Bezugnahme auf den Voter, ist dem Offenbarungsgehalt der vorliegenden Patentanmeldung zuzurechnen.

Bislang ist kein Feldgerät bekannt, das die hohe Sicherheitsstufe auch im Bereich des Stromausgangsmoduls z.B. bei einem 4-20mA Zwei- oder Vier- Draht-Feldgerät erfüllt.

Der Erfindung liegt die Aufgabe zugrunde, ein Feldgerät vorzuschlagen, das sich durch eine erhöhte funktionale Sicherheit auszeichnet.

Die Aufgabe wird durch ein Feldgerät zur Bestimmung oder Überwachung einer

Prozessgröße in der Automatisierungstechnik gelöst, wobei das Feldgerät einem

Sicherheitsstandard genügt, der in einer vorgegebenen sicherheitskritischen Anwendung gefordert ist, mit einem Sensor, der nach einem definierten Messprinzip arbeitet, und mit einer Kontroll-/Auswerte-einheit, die die vom Sensor gelieferten Messdaten entlang von zumindest drei redundanten und/oder diversitär ausgelegten Messkanälen aufbereitet und auswertet, und

wobei eine redundante analoge Stromschnittstelle vorgesehen ist, über die ein die Prozessgröße repräsentierender Strom über eine Zweidrahtleitung einstellbar ist, wobei die analoge Stromschnittstelle dreifach redundant ausgelegt ist und wobei der analogen Stromschnittstelle folgende Komponenten zugeordnet sind:

drei parallel geschaltete Stromeinstellkanäle,

ein zweifach redundanter Voter, der eine Fehlfunktion in einem der Messkanäle MK und/oder der Stromeinstellkanäle erkennt,

- eine zweifach redundante Ausschaltstufe, über die ein Messkanal bzw. ein

Stromeinstellkanal abgeschaltet wird, wenn der Voter in dem Messkanal oder in dem Stromeinstellkanal eine Fehlfunktion erkennt.

Gemäß einer bevorzugten Ausgestaltung des erfindungsgemäßen Feldgeräts weist jeder Stromeinstellkanal eine Stromeinstelleinheit und eine Stromregelung auf, wobei die Stromeinstelleinheit und die Stromregelung parallel geschaltet sind.

Weiterhin ist vorgesehen, dass der Voter aus mehreren Komponenten besteht, die zumindest teilweise oder in Gänze zweifach redundant ausgelegt sind. Insbesondere wird vorgeschlagen, dass der Voter ein Mehrheitsvoter ist, der mehrere Voterkanäle aufweist, wobei in jedem Voterkanal folgende Komponenten zu finden sind: eine Komparatorstufe, über die die von den einzelnen Stromeinstellkanälen gelieferten Ausgangssignale miteinander verglichen werden, eine Fehlererkennungsstufe, die durch geeignete Verknüpfung der Ausgangssignale der den Voterkanälen zugeordneten

Komparatorstufen eine in einem Messkanal oder in einem Stromeinstellkanal auftretende Fehlfunktion erkennt, und eine Ausschaltstufe, die den Stromeinstellkanal ausschaltet, in dem die Fehlererkennungsstufe eine Fehlfunktion detektiert. Eine vorteilhafte Weiterbildung des erfindungsgemäßen Feldgeräts sieht vor, dass jeder Voterkanal einen Teil der Komparatorstufe, einen Teil der Fehlererkennungseinheit und einen Teil der Ausschaltstufe umfasst, und dass jeder Voterkanal als integrierter

Bestandteil des zugehörigen Messkanals und des zugehörigen Stromeinstellkanals ausgestaltet ist.

Darüber hinaus wird vorgeschlagen, dass die Komparatorstufe für jeden Voterkanal zwei Komparatormodule aufweist, die die Ausgangssignale des zugehörigen

Stromeinstellkanals mit den Ausgangssignalen der verbleibenden Stromeinstellkanäle vergleicht.

Bevorzugt handelt es sich bei den Fehlererkennungsstufen jeweils um eine Logikstufe, die aus zwei NAND Gattern aufgebaut ist, wobei an den Eingängen des ersten NAND Gatters die Ausgangssignale der Komparatoren eines ersten Voterkanals anliegen, der einem ausgewählten Messkanal zugeordnet ist, und wobei an dem zweiten NAND Gatter die zu den Eingängen des ersten NAND Gatters redundanten Ausgangssignale der

Komparatoren des zweiten Voterkanals und des dritten Voterkanals anliegen, und wobei die Ausgangssignale des ersten NAND Gatters und des zweiten NAND Gatters die Steuersignale für die nachgeschaltete Ausschaltstufe bilden. Bevorzugt ist jedem Messkanal bzw. jedem Stromeinstellkanal eine eigene

Spannungsversorgung zugeordnet. Diese Ausgestaltung hat den Vorteil, dass es bei Wegfall einer der Spannungsversorgungen zu keinem Totalausfall des Feldgeräts kommt.

Als besonders vorteilhaft wird es erachtet, wenn ein Alarmstrommodul vorgesehen ist, das so ausgestaltet ist, dass es einen Fehlerstrom, z.B. von 22mA, setzt, wenn in zumindest zwei Messkanälen bzw. in zwei Stromeinstellkanälen gleichzeitig eine

Fehlfunktion auftritt. Hierdurch wird verhindert, dass die Stromschnittstelle instabil wird. Weiterhin wird vorgeschlagen, dass die Kontroll-/Auswerteeinheit mit Messkanälen bzw. Stromeinstellkanälen die zugehörigen Komponenten des Voters bzw. der Voterkanäle zumindest teilweise als rekonfigurierbarer Logikbaustein mit mehreren partiell dynamisch rekonfigurierbaren Funktionsmodulen in den Messkanälen bzw. in den

Stromeinstellkanälen ausgebildet ist.

Darüber hinaus ist eine Rekonfigurationssteuerung vorgesehen, die Funktionsmodule in den Messkanälen oder den Stromeinstellkanälen in Abhängigkeit von der jeweils definierten sicherheitskritischen Anwendung so konfiguriert, dass das Feldgerät dem geforderten Sicherheitsstandard genügt.

Insbesondere ist der Rekonfigurationssteuerung zumindest ein Mikroprozessor zugeordnet, der die Funktionsmodule eines Messkanals oder eines Stromeinstellkanals, in dem ein Fehler detektiert wird, partiell dynamisch rekonfiguriert.

Im Zusammenhang mit der Erfindung wird weiterhin vorgeschlagen, dass zumindest einer der Messkanäle und/oder der Stromeinstellkanäle analogbasiert in einem FPAA konfiguriert ist. Es wird zusätzlich angeregt, dass die einzelnen Messkanäle oder Stromeinstellkanäle so voneinander beabstandet sind, dass eine Temperatur- und/oder eine

Spannungsänderung in einem Messkanal oder Stromeinstellkanal keinen Einfluss auf einen benachbarten Messkanal oder Stromeinstellkanal haben/hat. Bevorzugt ist der zumindest eine Mikroprozessor in einem statischen Bereich des Logikbausteins permanent konfiguriert.

Die Erfindung wird anhand der nachfolgenden Figuren näher erläutert. Es zeigt: Fig. 1 : ein Blockschaltbild eines aus dem Stand der Technik bekannten

Stromausgangsmoduls,

Fig. 2: eine schematische Darstellung einer Ausführungsform des erfindungsgemäßen Feldgeräts mit Sensor, dreifach redundanten Messkanälen, dreifach redundanten Stromeinstellkanälen, zweifach redundanten Voterkanälen und zweifach redundanten Ausschaltstufen,

Fig. 3: eine bevorzugte Ausgestaltung einer bei dem erfindungsgemäßen Feldgerät einsetzbaren redundanten Stromschnittstelle mit redundantem Voter, Fig. 4: eine vergrößerte Darstellung der erfindungsgemäßen Stromschnittstelle aus Fig. 3,

Fig. 5: eine vergrößerte Darstellung der erfindungsgemäßen Stromschnittstelle mit den zugehörigen Ausschaltstufen für die Stromeinstellkanäle aus Fig. 3,

Fig. 6: eine vergrößerte Darstellung des zweifach redundanten, sicheren Voters mit Komparatorstufen, Fehlererkennungsstufen und Ausschaltstufen aus Fig. 3, und

Fig. 7: eine vergrößerte Darstellung des zweifach redundanten, sicheren Voters mit Fehlererkennungsstufen, Ausschaltstufen und einem Alarmstrommodul aus Fig. 3.

Fig. 1 zeigt ein Blockschaltbild eines aus dem Stand der Technik bekannten analogen Stromausgangsmoduls 1. Das Stromausgangsmodul 1 stellt den Strom I auf einer Stromschleife 2 bzw. einer Zweidrahtleitung ein. Über die Stromschleife 2 ist das

Feldgerät bzw. hier das Messgerät, bestehend aus Sensor S und einer Kontroll- /Auswerteeinheit 6, mit einer entfernt angeordneten Auswerte-/Ausgabeeinheit verbunden. Feldgeräte bzw. hier Messgeräte zur Bestimmung oder Überwachung einer Prozessgröße in der Automatisierungstechnik erfassen die Prozessgröße und übermitteln die erfassten Messwerte über die Stromschleife 2 oder eine digitale Kommunikation an eine Empfangseinheit, z.B. die bereits erwähnte Auswerte-/Ausgabeeinheit.

Der über die Stromschleife 2 fließende Strom I wird über eine Stromregelung 5 und eine Stromeinstelleinheit 7 so eingestellt, dass der eingestellte Strom I die ermittelte Prozess- oder Stellgröße eindeutig und mit hoher Genauigkeit repräsentiert. Üblicherweise wird in der Automatisierungstechnik der 4-20mA Standard verwendet. Hierbei repräsentiert ein Strom von 4 mA in der Stromschleife z.B. den minimalen Wert der Prozessgröße und ein Strom von 20 mA z.B. den maximalen Wert der Prozessgröße. Die 4-20mA Technik ist weitgehend störunempfindlich, sie ist im explosionsgefährdeten Bereich einsetzbar und findet bei industriellen Anwendungen häufig Verwendung.

Etabliert hat sich in der Automatisierungstechnik die sog. Zweileitertechnik, bei der über die Stromschleife 2 nicht nur die Mess- oder Stellwerte übermittelt werden, sondern über die der Sensor/Aktor auch mit Energie versorgt wird. Für die Mess-/Stellaufgabe steht dem Feldgerät somit nur eine begrenzte Leistung zur Verfügung. Diese Leistung hängt von der Versorgungsspannung und dem den aktuellen Messwert/Stellwert

repräsentierenden Strom ab. Um eine dauernde Verfügbarkeit des Feldgeräts zu gewährleisten, sind herkömmliche Feldgeräte so dimensioniert, dass sie mit der minimal zur Verfügung stehenden Leistung auskommen, d.h. sie benötigen für den Mess- oder Stellbetrieb nur die bei minimalem Strom und minimaler Spannung anstehende Leistung. Steht mehr Leistung zur Verfügung, wird diese zusätzliche Leistung üblicherweise in einer Stromsenke 4 in Verlustleistung umgesetzt. Das in Fig. 1 gezeigte Stromausgangsmodul 1 ist beispielsweise in einem 4-20mA Transmitter, also im Elektronikteil, eines Feldgeräts implementiert. Das

Stromausgangsmodul 1 stellt den Strom I ein, der über die Stromschleife 2 fließt. Der Strom I wird durch die Spannungsquelle V1 und den Widerstand R1 - links von dem positiven Anschluss 3a und dem negativen Anschluss 3b - repräsentiert. Die

Spannungsquelle V5 repräsentiert den Sollwert der Stromschleifenregelung 5.

Der Transistor Q2 der Stromeinstelleinheit 7 steuert den Strom, der von dem positiven Anschluss 3a zu der Stromsenke 4 fließt. Die Stromsenke 4 liegt auf Bezugspotential, vorzugsweise auf Masse GND. Der Strom fließt zum negativen Anschluss 3b über den Messwiderstand R12. Hierdurch wird eine Spannung zwischen dem negativen Anschluss und Masse GND erzeugt, die proportional zum fließenden Strom ist. Diese Spannung wird als Referenzspannung zur Steuerung des Transistors Q2 und somit zur Einstellung des Stroms in der Stromschleife 2 verwendet. Die Regelung des eingestellten Stroms erfolgt über die Stromschleifenregelung 5. Kernstück der Stromschleifenregelung 5 ist der Operationsverstärker U2A. Der Operationsverstärker U2A steuert den Transistor Q1 und auch den Transistor Q2 derart, dass am Plusausgang des Operationsverstärkers U2A die Summe der Spannungen gleich Null ist. Ist diese Bedingung erfüllt, so ist der Strom I durch den Messwiderstand R12 und in der Stromschleife 2 proportional zu dem Sollwert, der durch die Spannung V5 repräsentiert wird.

Erfolgt die Energieversorgung des Feldgeräts über dieselbe Stromschleife 2, die auch zur Übermittelung der Mess- oder Stellwerte des Feldgeräts verwendet wird, so dient die Stromsenke 4 dazu, den Strom, der von dem Feldgerät nicht benötigt wird, gegen Masse GND abzuleiten und somit in Verlustleistung umzuwandeln. Erfolgt die Energieversorgung des Feldgeräts über eine separate Stromleitung, so kann die Stromsenke 4 entfallen, bzw. sie kann durch eine Kurzschlussschaltung ersetzt werden.

Fig. 2 zeigt eine schematische Darstellung des erfindungsgemäßen Feldgeräts mit einem Sensor S, dreifach redundanten Messkanälen MK1 , MK2, Mk3, dreifach redundanten Stromeinstellkanälen IK1 , IK2, IK3 und dreifach redundanten Voterkanälen VK1 , VK2,

Vk3. Der Voter V umfasst die Voterkanäle VK1 , VK2, VK3, wobei den Voterkanälen VK1 , VK2, VK3 zumindest Teile der Komparatorstufen 1 1.1 , 1 1 .2, 1 1.3, der

Fehlererkennungsstufen 10.1 , 10.2, 10.3 und der Ausschaltstufen 9.1 , 9.2, 9.3 zugeordnet sind. Die redundante analoge Stromschnittstelle 8 umfasst die

Stromeinstellkanäle IK1 , IK2, IK3 und die Voterkanäle VK1 , VK2, VK3.

Fig. 3 zeigt eine bevorzugte Ausgestaltung einer bei dem erfindungsgemäßen Feldgerät einsetzbaren redundanten Stromschnittstelle 8 mit sicherem redundantem Voter V. Das erfindungsgemäße Feldgerät und insbesondere die analoge Stromschnittstelle 8 sind so ausgestaltet, dass sie den hohen Sicherheitsanforderungen in einer gewünschten sicherheitskritischen Anwendung, z.B. SIL 3, genügen. Die Spannung V1 und der Widerstand R1 repräsentieren die Spannungsversorgung, über die die 4-20mA

Stromschleife 2 mit Energie versorgt wird. Beispielsweise ist die Spannungsversorgung in eine entfernt angeordnete Ausgabe-/Auswerteeinheit, z.B. eine SPS integriert.

Nicht konkret dargestellt ist in Fig. 3 die Kontroll-/Auswerteeinheit 6, die die vom Sensor S gelieferten Ausgangssignale V5, V8, V4 - im Falle eines Sensors S repräsentieren die Ausgangssignale V5, V8, V4 insbesondere Messwerte - entlang von zumindest drei redundanten und/oder diversitär ausgelegten Messkanälen MK1 , MK2, MK3 aufbereitet und auswertet. Die in Fig. 3 gezeigten wesentlichen Komponenten der

erfindungsgemäßen Stromschnittstelle 8 sind in den nachfolgenden Figuren Fig. 4 - 7 im Detail dargestellt und beschrieben.

Die in Fig. 3 dargestellte Ausgestaltung der erfindungsgemäßen redundanten

Stromschnittstelle 8, über die ein die Prozessgröße repräsentierender Strom I auf der Stromschleife 2 eingestellt wird, weist die folgenden Komponenten auf: - drei parallel geschaltete Stromeinstellkanäle IK1 , IK2, IK3 (sh. Fig. 4);

einen zweifach redundanten Voter V, der eine Fehlfunktion in einem der

Messkanäle MK1 , MK2, MK3 und/oder der Stromeinstellkanäle IK1 , IK2, IK3 erkennt (sh. Fig. 6);

eine dreifach redundante Ausschaltstufe 9.1 , 9.2, 9.3, über die ein

Stromeinstellkanal IK1 , IK2, IK3 abgeschaltet wird, wenn der Voter V in dem

Messkanal MK1 , MK2, MK3 oder in dem zugehörigen Stromeinstellkanal IK1 , IK2, IK3 eine Fehlfunktion Fehl , Fch2, Fch3 erkennt (sh. Fig. 5);

ein Alarmstrommodul 14, das einen Alarmstrom stellt, wenn in zumindest zwei Messkanälen MK1 , MK2, MK3 und/oder Stromeinstellkanälen IK1 , IK2, IK3 gleichzeitig eine Fehlfunktion Feh auftritt (sh. Fig. 7).

Die analoge, redundant ausgelegte Stromschnittstelle 8 ist in Fig. 4 im Detail in vergrößerter Darstellung gezeigt und beschrieben. Die Einstellung des Stroms I erfolgt über die den Stromeinstelleinheiten 7.1 , 7.2, 7.3 zugeordneten parallel geschalteten Transistoren Q2, Q4, Q7. Die Sollwerte für die Ansteuerung der Transistoren Q2, Q4, Q7 durch die drei parallel geschalteten Stromschleifenregelungen 5.1 , 5.2, 5.3 entsprechen den Ausgangssignalen V5, V8, V4 der drei nicht gesondert in Fig. 4 dargestellten

Messkanäle MK1 , MK2, MK3. Über die Transistoren Q2, Q4, Q7 wird der Strom gesteuert, der in der Stromsenke 4 in Verlustleistung umgesetzt wird.

Im gezeigten Fall ist den Operationsverstärkern U2A, U3A, U4A der

Stromschleifenregelungen 5.1 , 5.2, 5.3 jeweils eine eigene Spannungsversorgung VCCI , VCC2, VCC3 zugeordnet. Diese Ausgestaltung hat den Vorteil, dass bei Wegfall einer der Spannungsversorgungen kein Totalausfall des Feldgeräts auftritt.

Über die Schattierungen in Fig. 4 ist die Zuordnung der einzelnen Komponenten der analogen Stromschnittstelle 8 zu einem der drei Stromeinstellkanäle IK1 , IK2, IK3 gekennzeichnet. Diese Schattierungen sind auch in den nachfolgenden Figuren und in Fig. 3 zu sehen. Die Schattierungen markieren auch hier die unterschiedlichen Kanäle, wobei jedem Kanal bevorzugt eine eigene Spannungsversorgung zugeordnet ist. Die einzigen Komponenten, die nicht redundant ausgelegt sind, sind der Widerstand R12 und die Diode U1 , die dafür Sorge trägt, dass der Strom nur in die gewünschte Richtung fließen kann. Im gezeigten Fall ist die Stromsenke 4 gleichfalls nur einfach ausgelegt; allerdings kann die Stromsenke 4 ebenso wie die weiteren Komponenten der analogen Stromschnittstelle 8 auch dreifach redundant ausgelegt sein, wobei die Stromsenken 4 dann parallel geschaltet sind. Hierdurch wird auch in diesem Teil der Schaltung die Sicherheit erhöht. Bei der in Fig. 4 gezeigten Schaltung wird der Ausgangsstrom I, der in der Stromschleife 2 fließt, automatisch über den Stromeinstellkanal IK vorgegeben, in dem der größte Strom eingestellt ist. Die Schaltung ist sozusagen so ausgelegt, das der Stromeinstellkanal IK mit dem größten eingestellten Strom gewinnt. Das erfindungsgemäße Feldgerät hat insgesamt die Genauigkeit des Messkanals MK auf, der die Messwerte/Stellwerte mit der geringsten Genauigkeit aufbereitet und auswertet. Üblicherweise ist dieser Messkanal der analog ausgestaltete Messkanal MK.

Tritt in einem der Messkanäle MK oder in einem der Stromeinstellkanäle IK eine

Fehlfunktion auf, so stellt der entsprechende Stromeinstellkanal IK einen falschen Strom ein. Ist dieser falsch eingestellte Strom höher als der Strom, der in den beiden korrekt eingestellten Stromeinstellkanälen IK eingestellt ist, dann wird in der Stromschleife 2 der falsche Strom eingestellt und das Feldgerät liefert einen falschen Messwert. Als Folge des falsch eingestellten Stromwertes wird auf der Stromschleife ein fehlerhafter

Messwert/Stellwert übertragen. Um die angestrebte hohe Sicherheitsstufe auch noch im Falle des Auftretens einer Fehlfunktion Feh zu gewährleisten, ist jedem

Stromeinstellkanal IK1 , IK2, IK3 bzw. jeder Stromeinstelleinheit 7.1 , 7.2, 7.3 eine

Ausschaltstufe 9.1 , 9.2, 9.3 zugeordnet. Die Ausschaltstufen 9.1 , 9.2, 9.3 sind in Fig. 5 zusätzlich zu den Stromregelungen 5.1 , 5.2, 5.3 und den Stromeinstelleinheiten 7.1 , 7.2, 7.3 dargestellt. Die Ausschaltstufen 9.1 , 9.2, 9.3 werden von dem Voter V durch die Signale A, B, C, D, E, F gesteuert. Sobald der Voter V eine Fehlfunktion Feh in einem Messkanal MK1 , MK2, MK3 oder in einem Stromeinstellkanal IK1 , IK2, IK3 detektiert, - dies ist der Fall, wenn der entsprechende Mess- oder Stromeinstellkanal MK, IK ein Ausgangssignal erzeugt, das von den

Ausgangssignalen der beiden verbleibenden Messkanäle MK oder Stromeinstellkanäle IK abweicht -, dann steuert der Voter V über die Ausgangssignale A, B, C, D, E, F die Abschaltung des fehlerhaften Stromeinstellkanals IK. Die Ausschaltstufen 9.1 , 9.2, 9.3 sind in jedem der Mess-/Stromeinstellkanal MK, IK zweifach redundant ausgestaltet, da der Voter V zweifach redundant in jedem der Mess-/Stromeinstellkanäle MK, IK ausgebildet ist.

Bevorzugt besteht jede Ausschaltstufe 9.1 , 9.2, 9.3 aus einfachen Transistoren Q9, Q10; Q12, Q13; Q14, Q15, die das Steuersignal, und somit den Basisstrom der für die

Stromregelung verantwortlichen Transistoren Q2, Q4, Q7 unterbrechen. Sobald der

Basisstrom unterbrochen ist, ist der Transistor Q2, Q4, Q7 offen, und es fließt kein Strom in der Stromschleife 2. Die beiden verbleibenden Stromeinstellkanäle IK übernehmen in diesem Fall nahtlos die Funktion der Stromeinstellung auf der Stromschleife 2; die Einstellung des Stroms auf der Stromschleife 2 erfolgt automatisch über einen der verbleibenden Stromeinstellkanäle IK.

Die Übernahme der Einstellfunktion durch einen der verbleibenden Stromeinstellkanäle IK kann folgendermaßen genutzt werden: Wie aus Fig. 5, insbesondere aber aus Fig. 6 ersichtlich, sind in jeder Ausschaltstufe 9.1 , 9.2, 9.3 zwei Transistoren Q14, Q15; Q12, Q13; Q9, Q10 angeordnet. Hierdurch ist es dem Voter V möglich, die Stromeinstellkanäle IK1 , IK2, IK3 unabhängig voneinander abzuschalten. Dem Voter V müssen die

Ausgangssignale der Stromeinstellkanäle Chi , Ch2, Ch3 zur Verfügung gestellt werden. Um zu sicherzustellen, dass auch bei den analogen Komponenten des

Stromeinstellmoduls 1 eine Fehlererkennung erfolgt, müssen die Ausgänge der

Stromstelleinheiten 5.1 , 5.2, 5.3 dem Voter V zur Verfügung gestellt werden. Da es nicht möglich ist, direkt die Ströme an den Transistoren Q2, Q4, Q7 zu messen, werden die Ausgangssignale der Operationsverstärker U2A, U3A, U4A verwendet. Die

entsprechenden Ausgangssignale sind in den Figuren Fig. 5 und Fig. 6 mit Chi , Ch2, Ch3 gekennzeichnet. Wie bereits zuvor erwähnt, ist es mit der erfindungsgemäßen Lösung möglich, den korrekten Betrieb des Feldgeräts auch dann noch zu gewährleisten, wenn ein Mess- oder Stromeinstellkanal MK, IK ausfällt. Sobald in einem der Mess- oder Stromeinstellkanäle MK, IK ein von dem Sollwert abweichender Stromwert ermittelt wird und somit eine Fehlfunktion Feh auftritt, wird der fehlerbehaftete Mess-oder Stromeinstellkanal MK, IK ausgeschaltet. Seine Funktion wird automatisch von einem der verbleibenden Mess- oder Stromeinstellkanäle MK, IK übernommen.

Um die Fehlfunktion zu erkennen, ist jedem Stromeinstellkanal IK1 , IK2, IK3 ein

Voterkanal VK1 , VK2, VK3 zugeordnet. Jeder Voterkanal VK1 , VK2, VK3 ist Teil des zweifach redundanten Voters V und besteht aus einer Komparatorstufe 1 1 .1 , 1 1.2, 1 1 .3 und einer Fehlererkennungsstufe 10.1 , 10.2, 10.3. Jede Komparatorstufe 1 1 weist zwei Komparatormodule 12 auf, die wiederum zwei Komparatoren 18 und zwei

Spannungsteiler 16 aufweisen. Da es sich bei den Signalen, die den Komparatoren 18 zugeführt werden, um analoge Signale handelt, müssen auch die Komparatoren 18 als analoge Komponenten ausgelegt sein. Dies hat den Vorteil, dass eine Fehlfunktion Feh unmittelbar nach ihrem Auftreten erkannt wird und das Umschalten auf einen der verbleibenden Stromeinstellkanäle IK gleichfalls ohne Zeitverzögerung erfolgen kann. Hierdurch werden ein nahtloser Übergang und damit ein kontinuierlicher Betrieb des Feldgeräts sichergestellt.

Jedes Komparatormodul 12 besteht, wie bereits gesagt, aus zwei analogen

Komparatoren 18 und zwei Spannungsteilern 16. Die Toleranz, die bei einem Vergleich der Genauigkeiten der Kanäle gegeben ist, entspricht im Wesentlichen der Genauigkeit des Messkanals MK mit der geringsten Genauigkeit. Bevorzugt liegt die Toleranz bei einem Prozent des aktuellen Messwertes. Der Messkanal MK mit der geringsten

Genauigkeit ist prinzipiell der analoge Messkanal MK. Der Ausgang einer

Komparatorstufe 1 1 signalisiert die Differenz zwischen zwei Signalen, die größer als 1 % ist.

In einer Formel lässt sich dies wie folgt ausdrücken:

(CH3 Φ CH1 ) ist gegeben, wenn (CH3 > Chlx0.99)A(Chl > Ch3x0.99) , wobei die Toleranz 1 ,01 %/-1 % beträgt.

Darüber hinaus müssen für die korrekte Berechnung auch die Toleranzen der

Komparatoren 12 und der Widerstände der Spannungsteiler 16 berücksichtigt werden. Unter der Annahme, dass die Komponenten ein ideales Verhalten und somit keine Abweichungen aufweisen, wird der Faktor 0,99 über die Bemessung der Widerstände der Spannungsteiler 16 realisiert. Beispielsweise beträgt R40 470kQ und R41 4,7kQ. Die Komparatorstufen 1 1 sind mit den Fehlererkennungsstufen 10 verbunden, die erkennen, in welchem der Mess- oder Stromeinstellkanäle MK, IK eine Fehlfunktion aufgetreten ist. Gilt beispielsweise (Ch1 ? ⁱ Ch2) Λ (Chl ^ChS), dann ist die Fehlfunktion im Kanal IK1 aufgetreten. Die Fehlererkennungsstufe 10.1 steuert die entsprechende Ausschaltstufe 9.1 derart, dass die Stromstelleinheit 7.1 des Kanals IK1 , in dem die Fehlfunktion vorliegt, außer Kraft gesetzt wird.

Wie aus den Figuren Fig. 6 und Fig. 7 ersichtlich ist, ist der Voter V zweifach redundant ausgelegt. Der Voter V erlaubt die zuverlässige Detektion einer Fehlfunktion Feh, der in einem der Stromeinstellkanäle IK auftritt, sogar in dem Fall, wenn die Fehlfunktion Feh in einer Komponente des Voters V auftritt, also entweder in der Komparatorstufe 1 1 , der Fehlererkennungsstufe 10 oder in der Ausschaltstufe 9 eines jeden Stromeinstellkanals IK. Falls irgendeine Komponente in einem der Stromeinstellkanäle IK ausfällt, so wird die Einstellfunktion von einem der verbleibenden Stromeinstellkanäle IK übernommen - die Funktionstüchtigkeit des Feldgeräts ist somit auch bei Auftreten einer Fehlfunktion in einem der Stromeinstellkanäle IK sichergestellt. Selbstverständlich werden

erfindungsgemäß auch Fehler erkannt, die in den vorgeschalteten Messkanälen MK auftreten. Der analog ausgestaltete zweifach redundante Voter V ist so ausgestaltet, dass er auch bei Ausfall der Spannungsversorgung in einem Kanal IK weiterarbeitet. Somit bleibt das Feldgerät betriebsbereit. Versagt eine Spannungsversorgung, so fällt Stromregelung 5/Stromeinstelleinheit 7 des betroffenen Kanals IK aus. Die Funktion des betroffenen Kanals IK wird von einem der verbleibenden Kanäle IK übernommen. Da die

Fehlererkennungsstufe 10 eines Kanals IK Information von den Komparatoren 12 der anderen Kanäle IK erhält, ist es wichtig, dass ein Kanal IK bei Wegfall der Spannung die anderen Kanäle IK nicht beeinflusst. Daher ist die Fehlererkennungseinheit 10 mit Pull- Down Widerständen 13 versehen. Jeder Pull Down Widerstand 13 ist zwischen eine Signalleitung und Massepotential angeschlossen und sorgt dafür, dass das Signal auf einen definierten Pegel gesetzt wird, wenn ein Stromeinstellkanal IK ausgeschaltet wird und die Steuerung aufgrund des Ausschaltens eines Stromeinstellkanals IK ausfällt. Solange die Steuerung korrekt arbeitet, haben die Pull Down Widerstände 13 keinen Einfluss auf das Signal, da sie relativ hochohmig sind. Die Pull Down Widerstände 13 stellen sicher, dass ein korrekt arbeitender Stromeinstellkanal IK nicht ausgeschaltet wird, wenn die Spannungsversorgung in einem der anderen Stromeinstellkanäle IK ausfällt.

Darüber hinaus sind in jedem Stromeinstellkanal IK Spannungsüberwachungselemente vorgesehen, die Über- oder Unterspannungen detektieren. Ein Spannungsüberwachungs- element kann bei Auftreten einer Fehlfunktion die Energieversorgung des betroffenen Stromeinstellkanals IK abschalten. Nachfolgend sind noch einige Detailinformationen zu Fig. 6 angeführt. Jeder Voterkanal VK umfasst einen Teil der Komparatorstufe 1 1 , einen Teil der Fehlererkennungsstufen 10 und einen Teil der Ausschaltstufe 9. Jeder Voterkanal VK ist als integrierter Bestandteil des zugehörigen Messkanals MK und des zugehörigen Stromeinstellkanals IK ausgestaltet.

Bezogen auf den Voterkanal VK1 , weist die Komparatorstufe 11 .1 zwei

Komparatormodule 12 auf, die die Ausgangssignale Chi des zugehörigen

Stromeinstellkanals IK1 mit den Ausgangssignalen Ch2, Ch3 der verbleibenden

Stromeinstellkanäle IK2, IK3 vergleichen. Die Ausgangssignale der beiden Komparatoren 18 von jedem der Komparatormodule 12 bilden die Eingangssignale für das

nachgeschaltete NAND Gatter 22.1 und das nachgeschaltete NAND Gatter 22.2. Die Ausgangssignale F, E des NAND Gatters 22.1 und des NAND Gatters 22.2 werden der Fehlererkennungsstufe 10.1 zugeleitet.

In der der Komparatorstufe 1 1.1 nachgeschalteten Fehlererkennungsstufe 10.1 wird ermittelt, in welchem der Mess- oder Stromeinstellkanäle MK, IK eine Fehlfunktion aufgetreten ist. Bei den Fehlererkennungsstufen 10.1 , 10.2, 10.3 handelt es sich jeweils um eine Logikstufe, die aus zwei NAND Gattern 15.1 , 15.2 aufgebaut ist. Betrachten wir im Folgenden wieder den ersten Voterkanal VK1 etwas genauer: An den Eingängen des ersten NAND Gatters 15.2 liegen die Ausgangssignale E, F der Komparatorstufe 1 1 .1 des ersten Voterkanals VK1 an. Der erste Voterkanal VK1 ist dem ersten Messkanal MK1 zugeordnet. An den Eingängen des zweiten NAND Gatters 15.1 liegen die redundanten Ausgangssignale B, D der Komparatorstufen 1 1.2, 1 1.3 des zweiten Voterkanals VK2 und des dritten Voterkanals VK3 an. Die Ausgangssignale des ersten NAND Gatters 15.2 und des zweiten NAND Gatters 15.1 bilden die Steuersignale für die nachgeschaltete

Ausschaltstufe 9.1. Solange zumindest ein Eingangssignal des ersten NAND Gatters 15.2 und zumindest ein Eingangssignal des zweiten NAND Gatters 15.1 auf dem logisch "0" Zustand sind, passiert nicht. Sobald beide Eingangssignale des ersten NAND Gatters 15.2 oder beide Eingangssignale des zweiten NAND Gatters 15.1 auf dem logisch

"1 " Zustand sind, wird der entsprechende Stromeinstellkanal IK1 durch die entsprechende Ausschaltstufe 9.1 unmittelbar abgeschaltet. Analoges gilt für die beiden weiteren Stromeinstellkanäle VK2, VK3. Ist die Kontroll-/Auswerteeinheit 6 als dynamisch rekonfigurierbarer oder als

rekonfigurierbarer oder einfach nur als FPGA ausgeführt und sind zwei Kanäle MK, IK in dem FPGA implementiert, so sind an eine Spannungsversorgung jeweils zwei Kanäle MK, IK angeschlossen. Daher kann die Stromversorgung von einem einzelnen Kanal MK, IK nicht abgeschaltet werden. Dargestellt ist das Alarmstrommodul 14 zusammen mit den Fehlererkennungsstufen 10.1 , 10.2, 10.3 und den Ausschaltstufen 9.1 , 9.2, 9.3 in Fig. 7. Das Alarmstrommodul 14 ist so ausgestaltet, dass es mehrfach auftretende Fehlfunktionen Feh in unterschiedlichen Messkanälen MK oder Stromeinstellkanälen IK detektieren kann. Im Prinzip entspricht das Alarmstrommodul 14 einem vierten Stromeinstellkanal IK4, der so getriggert werden kann, dass er einen Fehlerstrom von >22 mA, den sog. Alarmstrom, setzt. Die Triggerung erfolgt über die die Steuerung 20 für die Alarmstromregelung 19. Da dieser Alarmstrom in einer 4-20mA Stromschleife größer ist als alle anderen in der analogen Stromschnittstelle 8 fließenden Ströme, übernimmt er automatisch die Steuerung. Das Alarmstrommodul 14 wird bevorzugt von einer eigenen Spannungsversorgung VCC4 gespeist.

Das Alarmstrom modul 14 wird nach einem Algorithmus gesteuert, der in den folgenden Formeln zusammengefasst und in Fig. 7 durch eine Logikstufe realisiert ist. Ein

Alarmstrom wird gesetzt, wenn in zumindest zwei Kanälen gleichzeitig eine Fehlfunktion auftritt. Hierbei kennzeichnet FchX.Y=1 einen Fehler im Mess-/Stromeinstellkanal X, der von der Fehlererkennungs-einheit Y detektiert wird. Es gilt:

((Fehl .1 vFch 1.2)A((FCII2.1 vFch2.2))v

((Fehl .1 vFchl .2)A((Fch3.1 vFch3.2))v

((Fch2.1 vFch2.2)A((Fch3.1 vFch3.2))

Über das Alarmstrommodul 14 werden somit zumindest zwei gleichzeitig auftretende Fehler erkannt, die in zwei verschiedenen Messkanälen MK und/oder

Stromeinstellkanälen IK auftreten. Das Alarmstrommodul 14 kann auch durch andere Module getriggert werden, wie beispielsweise durch ein

Spannungsüberwachungselement oder durch Rekonfigurationssteuerungen. Diese Ausgestaltungen sind in Fig.7 nicht gesondert dargestellt. Die Signale der

Fehlererkennungsstufen 10 werden bevorzugt an die Rekonfigurations-steuerung weitergeleitet, die die Rekonfiguration der fehlerhaften Messkanäle MK veranlasst.

Dargestellt und beschrieben sind diese in der bereits zuvor erwähnten DE 10 2012 106 652.3 in den Figuren Fig. 1 , Fig. 2 und Fig. 3.

Die wesentlichen Unterschiede sind mit Bezug auf die vorliegende Erfindung darin zu sehen, dass der Voter V bei der vorliegenden Erfindung in der analogen

Stromschnittstelle 8 implementiert ist und dass die Stromschnittstelle 8 redundant ist. Bezugszeichenliste analoges Stromausgangsmodul

Stromschleife

Anschluss

Stromsenke

Stromregelung

Kontroll-/Auswerteeinheit

Stromeinstelleinheit

erfindungsgemäße analoge Stromschnittstelle bzw. erfindungsgemäßes analoges Stromausgangsmodul

Ausschaltstufe

Fehlererkennungsstufe

Komparatorstufe

Korn pa ratormod u I

Pull-Down Widerstand

Alarmstrom modul

N AND Gatter

Spannungsteiler

Mikroprozessor

Analog Komparator

Alarmstromregelung

Steuerung für die Alarmstromregelung

NAND Gatter