Fehlertolerantes Regelsystem

Architektur eines fehlertoleranten Regelsystems. Es besteht aus einem gewöhnlichen Regelkreis, der um eine Überwachungsebene erweitert ist. Diese besteht aus einem Modul zur Fehlerdiagnose (Fehler Detektion, Isolation und Identifikation, FDI), welches den Regelkreis durch Beobachten der Ein- und Ausgangsgrößen überwacht und den Fehlerzustand der Regelstrecke ermittelt. Die Schätzung des Fehlers wird an ein Modul weitergereicht, welches den Regler so anpasst, dass wenigstens minimal erforderliche Regelungsziele erfüllt werden.

Ein fehlertolerantes Regelsystem ist ein technisches System, das auch nach dem Auftreten eines Fehlers seine Funktion erfüllt. Das zugehörige Gebiet der fehlertoleranten Regelung ist ein Teilgebiet der Regelungstechnik und fügt der Ebene des Regelkreises eine Überwachungsebene hinzu, um seine Zuverlässigkeit zu verbessern. Die Überwachungsebene realisiert im Wesentlichen zwei Funktionen: Die Fehlerdiagnose und die Anpassung der Regelung an den aktuellen Fehlerzustand des geregelten Systems.

Übersicht über fehlertolerante Regelsysteme

Zur Realisierung eines fehlertoleranten Regelkreises sind zwei Voraussetzungen notwendig. Erstens müssen die Regelgeräte selbst Mindestanforderungen an die Zuverlässigkeit erfüllen, das heißt mindestens doppelt, mit gegenseitiger Überwachung, ausgeführt sein. Zweitens muss die Logik der Regelkreise auf Fehler in der Regelstrecke reagieren können. Beide Aspekte erfordern die Minderung der Auswirkung von Fehlern, im ersten Fall bezogen auf den Regler, im zweiten Fall bezogen auf die Regelstrecke einschließlich Aktoren und Sensoren.

Zur Erkennung und Reaktion auf Fehler ist mindestens einfache Redundanz erforderlich. Physische Redundanz bedeutet das mehrfache Vorhandensein physischer Komponenten wie Messgeräten oder Stellgeräten. Analytische Redundanz bezeichnet die Möglichkeit, eine zu messende oder zu manipulierende Größe auf verschiedenen Wegen zu berechnen bzw. zu beeinflussen. Ein Beispiel ist nach Sensorausfall die Ermittlung des fehlenden Messwerts durch einen Beobachter, falls die fehlerhafte Strecke beobachtbar ist.

Abgesehen von passiven Methoden zur fehlertoleranten Regelung ist stets eine Ermittlung des Fehlers erforderlich, bevor darauf reagiert werden kann. Die Fehlerdiagnose bezeichnet die Detektion (Erkennen), Isolation (Ermitteln der defekten Komponente) und Identifikation (Quantifizierung des Fehlers) von Fehlern an technischen Systemen. Sie ist nicht zu verwechseln mit Fehlerkorrekturverfahren der Nachrichtenübertragung.

Passive fehlertolerante Regelung

In der passiven fehlertoleranten Regelung wird die Regelung bereits bei der Auslegung so dimensioniert, dass bestimmte Fehler ohne Eingriff in den Regler zur Laufzeit toleriert werden, Ausblendung eines gestörten Signals. Hierzu macht man sich vor allem Verfahren zur robusten Regelung zu Nutze. Auch Methoden zur simultanen Stabilisierung und simultanen Beobachtung sind prinzipiell für passive fehlertolerante Regelung geeignet.

Aktive fehlertolerante Regelung

Unter dem Begriff der aktiven fehlertoleranten Regelung fasst man Methoden zusammen, welche eine Veränderung des Reglers zur Laufzeit vornehmen, um auf den Fehler zu reagieren. Voraussetzung hierfür ist die Kenntnis eines Fehlermodells, also ein Mindestmaß an Wissen über den aufgetretenen Fehler. Vorteilhaft ist die Möglichkeit, auf wesentlich schwerwiegendere Fehler reagieren zu können.

In der Akkommodation wird lediglich der Regler bezüglich seiner Struktur und seinen Parametern an die Fehlersituation angepasst. Die Rekonfiguration erlaubt zusätzlich das Verändern der Regelkreisstruktur, so dass vollkommen ausgefallene Sensoren oder Aktoren umgangen werden.

Fehler

Klassifikation

• Aktorfehler (z. B. Ventile, Motoren), Sensorfehler (z. B. Thermoelemente, Durchflussmesser), interne Streckenfehler (z. B. verstopfte Leitungen, Lecks an Behältern). Diese Fehler betreffen die Regelstrecke im weiteren Sinne, einschließlich Sensoren und Aktoren. Die Reaktion auf solche Fehler ist das eigentliche Anliegen der fehlertoleranten Regelsysteme.

• Fehler im Regelgerät (z. B. CPU, Speicher, Bussystem) oder der Software. Fehler, welche die Rechentechnik betreffen, werden in der Praxis durch mehrfache parallele Anordnung der kritischen Geräte in unterschiedlicher technologischer Realisierung und gegenseitige Überwachung abgefangen. Die Erreichbare Zuverlässigkeit ist eine Frage der Anzahl redundanter Komponenten und der Auswertlogik. Systematischen Fehlern wird durch Diversifizierung der technologischen Realisierung begegnet. Diese Problematik ist nicht Kernbestandteil des Gebiets der fehlertoleranten Regelsysteme, siehe auch Ausfallsicherheit.

• Fehler sind nicht zu verwechseln mit Störsignalen, welche keine Fehlfunktion einer Komponente repräsentieren. In einer Raumheizung ist das Klemmen des Thermostatventils ein Fehler, das Öffnen des Fensters jedoch ein Störsignal. Davon zu unterscheiden ist die Störung, die in der Technik ein Versagen oder Fehlverhalten bezeichnet.

Normen zur Klassifizierung von Fehlern

Die wichtigsten Normen sind in der IEC 61508 beschrieben. AK ist dabei die Anforderungsklasse nach der 2004 zurückgezogenen deutschen Vornorm DIN V 19250. SIL steht für Safety Integrity Level, einem aktuellen System zur Einstufung von Industriegeräten (IEC 61508, IEC 61511, VDI/VDE 2180).

• SIL1, AK 2 & 3: Kleine Schäden an Anlagen und Eigentum
• SIL2, AK 4: Große Schäden an Anlagen, Personenverletzung
• SIL3, AK 5 & 6: Verletzung von Personen, einige Tote
• SIL4, AK 7: Katastrophen, viele Tote und gravierende Umweltverschmutzung

Fehlerdiagnose

Hauptartikel: Fehlerdiagnose

Fehlerdetektion, -Isolation und -Identifikation

Die Fehlerdiagnose umfasst die drei Schritte

• Fehlerdetektion,
• Fehlerisolation,
• Fehleridentifikation,

die nachfolgend erläutert werden. Die Aufgabe der Fehlerdetektion besteht in der zweiwertigen Entscheidung, ob ein Fehler in einem System aufgetreten ist oder nicht. Ist bekannt, dass ein Fehler eingetreten ist, so ist für eine erfolgreiche Anpassung der Regelung mindestens die Kenntnis der betroffenen Komponente erforderlich, also des genauen Stellgliedes, Messgliedes oder der Streckenkomponente. Durch Abschalten der betroffenen und Umschalten auf eine redundante Komponente kann bereits mit dieser groben Kenntnis auf den Fehler reagiert werden.

Allerdings wird dann eine möglicherweise noch vorhandene der fehlerhaften Komponente nicht genutzt. Erst wenn ein quantitatives Modell über das Ausmaß des Fehlers identifiziert (ermittelt) ist, kann optimal auf den Fehler reagiert werden. In der Praxis ist die genaue Fehleridentifikation schwierig, daher muss oft auf Basis der Detektion und Isolation gearbeitet werden.

Übersicht über Diagnoseverfahren

Fehlerdetektion und -Isolation mit

• Schwellwertüberwachung
• Signalmodell

Fehlerdetektion und -Isolation mit Prozessmodell

• Identifikationsfilter
• Paritäts-Gleichungen
• Zustandsbeobachter-gestützte Diagnose

Fehleridentifikation

• Klassifikationsmethoden (Neuronale Netze, Bayes’sches Netz)
• Wissensbasierte Diagnose auf Basis der Schlussfolgerungs-Methoden der künstlichen Intelligenz

Aktive Anpassung der Regelung

Akkommodation

• Adaptive Regelung

Rekonfiguration

Voting

Schaltungsbeispiel für Ventile in einer Rohrleitung für ein 1oo3-System (a) und ein 3oo3-System (b)

Unter dem Begriff Voting (von engl. abstimmen) werden Methoden zusammengefasst, welche die parallele Installation funktional identischer Systeme zur Voraussetzung haben. Beispielsweise werden mehrere Temperatursensoren in Flugzeugen parallel installiert. Eine Auswertlogik vergleicht eine Anzahl Y an Messwerten, von denen mindestens eine Anzahl X übereinstimmen müssen. Nach IEC 61508 wird von XooY (X out of Y, dt.: „X aus Y“) Elementen gesprochen. Der Zusatz D weist auf eine Selbstprüfung hin. Aber auch Systeme ohne den Zusatz D benötigen bei mehrkanaligen Systemen irgendeine Art von Diagnose, so dass diese Abgrenzung meist schwierig zu treffen ist. Je nach Wahl von X und Y können null, ein oder mehr Fehler mit Sicherheit erkannt und der fehlerhaften Komponente zugeordnet werden. Typische Schemata sind z. B.:

• 1oo1: Einkanalige Verarbeitung
• 1oo2: Redundante Verarbeitung mit Kreuzdiagnose. Bei erkanntem Fehler eines Systems Abschalten des Gesamtsystems
• 2oo2: Redundante Verarbeitung das erst bei Ausfall beider Systeme die Funktion nicht mehr gewährleistet
• 2oo3: Dreifache Verarbeitung mit Verwendung des Mehrheitsergebnisses: Voting ('2 von 3'-Wähler)

In der funktionalen Sicherheit im Maschinenbau sind je nach erforderlichem Sicherheitslevel 1oo1- und 1oo2-Systeme üblich. Die der Prozessindustrie, sowie bei Systemen ohne einen sicheren Zustand der in kurzer Zeit erreichbar ist (z. B.: Flugzeugsteuerungen, Atomkraftwerke, Chemiereaktoren) sind auch höhere Redundanzen in Form von 2oo2-, 2oo3- oder 2oo4-Steuerungen üblich. Erkennt eine 2oo2-Logik einen Fehler, so schaltet sie auf die intakte Einheit um. Bei einer 2oo3-Logik kann durch das Voting mit hinreichender Sicherheit festgestellt werden, welche Einheit die fehlerhafte ist. Die 2oo4-Konfiguration bleibt stabil für den Fall, dass zwei Einheiten gleichzeitig ausfallen könnten. Um die Betriebssicherheit aufrechtzuerhalten, müssen die Signaleingänge der redundanten Einheiten und die Ergebnisse der Rechenprozesse bei jedem Abtastvorgang ständig synchronisiert werden. Man spricht von lokaler Gleichzeitigkeit. Dieses Verfahren realisiert eine Rekonfiguration der Regelung, weil der Signalweg bei Verwendung in einem Regelkreis verändert wird.

Die Verfügbarkeit des Gesamtsystems sinkt in der Regel mit zunehmender Anzahl von Teilsystemen.

Modellanpassung

• Pseudoinverse Methode
• Perfekte Modellanpassung
• Adaptive Modellanpassung

Anwendungen fehlertoleranter Regelsysteme

• 1oo1 Pipelines
• 1oo2 Toröffnungsanlagen, AGV (Automatically Guided Vehicle, dt. „Fahrerlose Transportsysteme“) (AK4)
• 1oo3, 1oo4, 2oo2, 2oo3 Gasturbinen (AK5)
• 2oo3 Airbus Flugzeuge, Chemische Anlagen, AK6
• 2oo4 Space Shuttle (AK6), Atomkraftwerke (AK7)

Literatur

• M. Blanke, M. Kinnaert, J. Lunze and M. Staroswiecki: Diagnosis and Fault-Tolerant Control (2006), 2nd edition, Springer Verlag, ISBN 3-540-35652-5
• R. Isermann: Fault-Diagnosis Systems (2006), Springer-Verlag, ISBN 3-540-24112-4
• DIN 55350: Begriffe zu Qualitätsmanagement und Statistik

Siehe auch

• Fehlermöglichkeits- und Einflussanalyse
• Qualitätsmanagement
• Teaming