|
Fehlertolerantes Regelsystem Ein fehlertolerantes Regelsystem ist ein technisches System, das auch nach dem Auftreten eines Fehlers seine Funktion erfüllt. Das zugehörige Gebiet der fehlertoleranten Regelung ist ein Teilgebiet der Regelungstechnik und fügt der Ebene des Regelkreises eine Überwachungsebene hinzu, um seine Zuverlässigkeit zu verbessern. Die Überwachungsebene realisiert im Wesentlichen zwei Funktionen: Die Fehlerdiagnose und die Anpassung der Regelung an den aktuellen Fehlerzustand des geregelten Systems. Übersicht über fehlertolerante RegelsystemeZur Realisierung eines fehlertoleranten Regelkreises sind zwei Voraussetzungen notwendig. Erstens müssen die Regelgeräte selbst Mindestanforderungen an die Zuverlässigkeit erfüllen, das heißt mindestens doppelt, mit gegenseitiger Überwachung, ausgeführt sein. Zweitens muss die Logik der Regelkreise auf Fehler in der Regelstrecke reagieren können. Beide Aspekte erfordern die Minderung der Auswirkung von Fehlern, im ersten Fall bezogen auf den Regler, im zweiten Fall bezogen auf die Regelstrecke einschließlich Aktoren und Sensoren. Zur Erkennung und Reaktion auf Fehler ist mindestens einfache Redundanz erforderlich. Physische Redundanz bedeutet das mehrfache Vorhandensein physischer Komponenten wie Messgeräten oder Stellgeräten. Analytische Redundanz bezeichnet die Möglichkeit, eine zu messende oder zu manipulierende Größe auf verschiedenen Wegen zu berechnen bzw. zu beeinflussen. Ein Beispiel ist nach Sensorausfall die Ermittlung des fehlenden Messwerts durch einen Beobachter, falls die fehlerhafte Strecke beobachtbar ist. Abgesehen von passiven Methoden zur fehlertoleranten Regelung ist stets eine Ermittlung des Fehlers erforderlich, bevor darauf reagiert werden kann. Die Fehlerdiagnose bezeichnet die Detektion (Erkennen), Isolation (Ermitteln der defekten Komponente) und Identifikation (Quantifizierung des Fehlers) von Fehlern an technischen Systemen. Sie ist nicht zu verwechseln mit Fehlerkorrekturverfahren der Nachrichtenübertragung. Passive fehlertolerante RegelungIn der passiven fehlertoleranten Regelung wird die Regelung bereits bei der Auslegung so dimensioniert, dass bestimmte Fehler ohne Eingriff in den Regler zur Laufzeit toleriert werden, Ausblendung eines gestörten Signals. Hierzu macht man sich vor allem Verfahren zur robusten Regelung zu Nutze. Auch Methoden zur simultanen Stabilisierung und simultanen Beobachtung sind prinzipiell für passive fehlertolerante Regelung geeignet. Aktive fehlertolerante RegelungUnter dem Begriff der aktiven fehlertoleranten Regelung fasst man Methoden zusammen, welche eine Veränderung des Reglers zur Laufzeit vornehmen, um auf den Fehler zu reagieren. Voraussetzung hierfür ist die Kenntnis eines Fehlermodells, also ein Mindestmaß an Wissen über den aufgetretenen Fehler. Vorteilhaft ist die Möglichkeit, auf wesentlich schwerwiegendere Fehler reagieren zu können. In der Akkommodation wird lediglich der Regler bezüglich seiner Struktur und seinen Parametern an die Fehlersituation angepasst. Die Rekonfiguration erlaubt zusätzlich das Verändern der Regelkreisstruktur, so dass vollkommen ausgefallene Sensoren oder Aktoren umgangen werden. FehlerKlassifikation
Normen zur Klassifizierung von FehlernDie wichtigsten Normen sind in der IEC 61508 beschrieben. AK ist dabei die Anforderungsklasse nach der 2004 zurückgezogenen deutschen Vornorm DIN V 19250. SIL steht für Safety Integrity Level, einem aktuellen System zur Einstufung von Industriegeräten (IEC 61508, IEC 61511, VDI/VDE 2180).
Fehlerdiagnose
Fehlerdetektion, -Isolation und -IdentifikationDie Fehlerdiagnose umfasst die drei Schritte
die nachfolgend erläutert werden. Die Aufgabe der Fehlerdetektion besteht in der zweiwertigen Entscheidung, ob ein Fehler in einem System aufgetreten ist oder nicht. Ist bekannt, dass ein Fehler eingetreten ist, so ist für eine erfolgreiche Anpassung der Regelung mindestens die Kenntnis der betroffenen Komponente erforderlich, also des genauen Stellgliedes, Messgliedes oder der Streckenkomponente. Durch Abschalten der betroffenen und Umschalten auf eine redundante Komponente kann bereits mit dieser groben Kenntnis auf den Fehler reagiert werden. Allerdings wird dann eine möglicherweise noch vorhandene der fehlerhaften Komponente nicht genutzt. Erst wenn ein quantitatives Modell über das Ausmaß des Fehlers identifiziert (ermittelt) ist, kann optimal auf den Fehler reagiert werden. In der Praxis ist die genaue Fehleridentifikation schwierig, daher muss oft auf Basis der Detektion und Isolation gearbeitet werden. Übersicht über DiagnoseverfahrenFehlerdetektion und -Isolation mit
Fehlerdetektion und -Isolation mit Prozessmodell
Fehleridentifikation
Aktive Anpassung der RegelungAkkommodation
RekonfigurationVoting Unter dem Begriff Voting (von engl. abstimmen) werden Methoden zusammengefasst, welche die parallele Installation funktional identischer Systeme zur Voraussetzung haben. Beispielsweise werden mehrere Temperatursensoren in Flugzeugen parallel installiert. Eine Auswertlogik vergleicht eine Anzahl Y an Messwerten, von denen mindestens eine Anzahl X übereinstimmen müssen. Nach IEC 61508 wird von XooY (X out of Y, dt.: „X aus Y“) Elementen gesprochen. Der Zusatz D weist auf eine Selbstprüfung hin. Aber auch Systeme ohne den Zusatz D benötigen bei mehrkanaligen Systemen irgendeine Art von Diagnose, so dass diese Abgrenzung meist schwierig zu treffen ist. Je nach Wahl von X und Y können null, ein oder mehr Fehler mit Sicherheit erkannt und der fehlerhaften Komponente zugeordnet werden. Typische Schemata sind z. B.:
In der funktionalen Sicherheit im Maschinenbau sind je nach erforderlichem Sicherheitslevel 1oo1- und 1oo2-Systeme üblich. Die der Prozessindustrie, sowie bei Systemen ohne einen sicheren Zustand der in kurzer Zeit erreichbar ist (z. B.: Flugzeugsteuerungen, Atomkraftwerke, Chemiereaktoren) sind auch höhere Redundanzen in Form von 2oo2-, 2oo3- oder 2oo4-Steuerungen üblich. Erkennt eine 2oo2-Logik einen Fehler, so schaltet sie auf die intakte Einheit um. Bei einer 2oo3-Logik kann durch das Voting mit hinreichender Sicherheit festgestellt werden, welche Einheit die fehlerhafte ist. Die 2oo4-Konfiguration bleibt stabil für den Fall, dass zwei Einheiten gleichzeitig ausfallen könnten. Um die Betriebssicherheit aufrechtzuerhalten, müssen die Signaleingänge der redundanten Einheiten und die Ergebnisse der Rechenprozesse bei jedem Abtastvorgang ständig synchronisiert werden. Man spricht von lokaler Gleichzeitigkeit. Dieses Verfahren realisiert eine Rekonfiguration der Regelung, weil der Signalweg bei Verwendung in einem Regelkreis verändert wird. Die Verfügbarkeit des Gesamtsystems sinkt in der Regel mit zunehmender Anzahl von Teilsystemen. Modellanpassung
Anwendungen fehlertoleranter Regelsysteme
Literatur
Siehe auch |
