Fehlertolerantes Regelsystem

Architektur eines fehlertoleranten Regelsystems. Es besteht aus einem gewöhnlichen Regelkreis, der um eine Überwachungsebene erweitert ist. Diese besteht aus einem Modul zur Fehlerdiagnose (Fehler Detektion, Isolation und Identifikation, FDI), welches den Regelkreis durch Beobachten der Ein- und Ausgangsgrößen überwacht und den Fehlerzustand der Regelstrecke ermittelt. Die Schätzung des Fehlers wird an ein Modul weitergereicht, welches den Regler so anpasst, dass wenigstens minimal erforderliche Regelungsziele erfüllt werden.

Ein fehlertolerantes Regelsystem ist ein technisches System, das auch nach dem Auftreten eines Fehlers seine Funktion erfüllt. Das zugehörige Gebiet der fehlertoleranten Regelung ist ein Teilgebiet der Regelungstechnik und fügt der Ebene des Regelkreises eine Überwachungsebene hinzu, um seine Zuverlässigkeit zu verbessern. Die Überwachungsebene realisiert im Wesentlichen zwei Funktionen: Die Fehlerdiagnose und die Anpassung der Regelung an den aktuellen Fehlerzustand des geregelten Systems.

Übersicht über fehlertolerante Regelsysteme

Zur Realisierung eines fehlertoleranten Regelkreises sind zwei Voraussetzungen notwendig. Erstens müssen die Regelgeräte selbst Mindestanforderungen an die Zuverlässigkeit erfüllen, das heißt mindestens doppelt, mit gegenseitiger Überwachung, ausgeführt sein. Zweitens muss die Logik der Regelkreise auf Fehler in der Regelstrecke reagieren können. Beide Aspekte erfordern die Minderung der Auswirkung von Fehlern, im ersten Fall bezogen auf den Regler, im zweiten Fall bezogen auf die Regelstrecke einschließlich Aktoren und Sensoren.

Zur Erkennung und Reaktion auf Fehler ist mindestens einfache Redundanz (Technik) erforderlich. Physische Redundanz bedeutet das mehrfache Vorhandensein physischer Komponenten wie Messgeräten oder Stellgeräten. Analytische Redundanz bezeichnet die Möglichkeit, eine zu messende oder zu manipulierende Größe auf verschiedenen Wegen zu berechnen bzw. zu beeinflussen. Ein Beispiel ist nach Sensorausfall die Ermittlung des fehlenden Messwerts durch einen Beobachter, falls die fehlerhafte Strecke beobachtbar ist.

Abgesehen von passiven Methoden zur fehlertoleranten Regelung ist stets eine Ermittlung des Fehlers erforderlich, bevor darauf reagiert werden kann. Die Fehlerdiagnose bezeichnet die Detektion (Erkennen), Isolation (Ermitteln der defekten Komponente) und Identifikation (Quantifizierung des Fehlers) von Fehlern an technischen Systemen. Sie ist nicht zu verwechseln mit Fehlerkorrekturverfahren der Nachrichtenübertragung.

Passive fehlertolerante Regelung

In der passiven fehlertoleranten Regelung wird die Regelung bereits bei der Auslegung so dimensioniert, dass bestimmte Fehler ohne Eingriff in den Regler zur Laufzeit toleriert werden, Ausblendung eines gestörten Signals. Hierzu macht man sich vor allem Verfahren zur robusten Regelung (siehe auch en:Robust control) zu Nutze. Auch Methoden zur simultanen Stabilisierung und simultanen Beobachtung sind prinzipiell für passive fehlertolerante Regelung geeignet.

Aktive fehlertolerante Regelung

Unter dem Begriff der aktiven fehlertoleranten Regelung fasst man Methoden zusammen, welche eine Veränderung des Reglers zur Laufzeit vornehmen, um auf den Fehler zu reagieren. Voraussetzung hierfür ist die Kenntnis eines Fehlermodells, also ein Mindestmaß an Wissen über den aufgetretenen Fehler. Vorteilhaft ist die Möglichkeit, auf wesentlich schwerwiegendere Fehler reagieren zu können.

In der Akkommodation wird lediglich der Regler bezüglich seiner Struktur und seinen Parameterm an die Fehlersituation angepasst. Die Rekonfiguration erlaubt zusätzlich das Verändern der Regelkreisstruktur, so dass vollkommen ausgefallene Sensoren oder Aktoren umgangen werden.

Fehler

Klassifikation

• Aktorfehler (z. B. Ventile, Motoren), Sensorfehler (z. B. Thermoelemente, Durchflussmesser), interne Streckenfehler (z. B. verstopfte Leitungen, Lecks an Behältern). Diese Fehler betreffen die Regelstrecke im weiteren Sinne, einschließlich Sensoren und Aktoren. Die Reaktion auf solche Fehler ist das eigentliche Anliegen der fehlertoleranten Regelsysteme.

• Fehler im Regelgerät (z. B. CPU, Speicher, Bussystem) oder der Software. Fehler, welche die Rechentechnik betreffen, werden in der Praxis durch mehrfache parallele Anordnung der kritischen Geräte in unterschiedlicher technologischer Realisierung und gegenseitige Überwachung abgefangen. Die Erreichbare Zuverlässigkeit ist eine Frage der Anzahl redundanter Komponenten und der Auswertlogik. Systematischen Fehlern wird durch Diversifizierung der technologischen Realisierung begegnet. Diese Problematik ist nicht Kernbestandteil des Gebiets der fehlertoleranten Regelsysteme, siehe auch Ausfallsicherheit.

• Fehler sind nicht zu verwechseln mit Störsignalen, welche keine Fehlfunktion einer Komponente repräsentieren. In einer Raumheizung ist das Klemmen des Thermostatventils ein Fehler, das Öffnen des Fensters jedoch ein Störsignal. Davon zu unterscheiden ist die Störung, die in der Technik ein Versagen oder Fehlverhalten bezeichnet.

Normen zur Klassifizierung von Fehlern

Die wichtigsten Normen sind in der IEC 61508 beschrieben. AK ist dabei die Anforderungsklasse nach dem 2004 zurückgezogenen deutschen Normentwurf DIN V 19250. SIL steht für Safety Integrity Level, einem aktuellen System zur Einstufung von Industriegeräten (IEC 61508, IEC 61611, VDI/VDE 2180).

• SIL1, AK 2 & 3: Kleine Schäden an Anlagen und Eigentum
• SIL2, AK 4: Große Schäden an Anlagen, Personenverletzung
• SIL3, AK 5 & 6: Verletzung von Personen, einige Tote
• SIL4, AK 7: Katastrophen, viele Tote und gravierende Umweltverschmutzung

Fehlerdiagnose

Hauptartikel: Fehlerdiagnose

Fehlerdetektion, -Isolation und -Identifikation

Die Fehlerdiagnose umfasst die drei Schritte

• Fehlerdetektion,
• Fehlerisolation,
• Fehleridentifikation,

die nachfolgend erläutert werden. Die Aufgabe der Fehlerdetektion besteht in der zweiwertigen Entscheidung, ob ein Fehler in einem System aufgetreten ist oder nicht. Ist bekannt, dass ein Fehler eingetreten ist, so ist für eine erfolgreiche Anpassung der Regelung mindestens die Kenntnis der betroffenen Komponente erforderlich, also des genauen Stellgliedes, Messgliedes oder der Streckenkomponente. Durch Abschalten der betroffenen und Umschalten auf eine redundante Komponente kann bereits mit dieser groben Kenntnis auf den Fehler reagiert werden.

Allerdings wird dann eine möglicherweise noch vorhandene der fehlerhaften Komponente nicht genutzt. Erst wenn ein quantitatives Modell über das Ausmaß des Fehlers identifiziert (ermittelt) ist, kann optimal auf den Fehler reagiert werden. In der Praxis ist die genaue Fehleridentifikation schwierig, daher muss oft auf Basis der Detektion und Isolation gearbeitet werden.

Übersicht über Diagnoseverfahren

Fehlerdetektion und -Isolation mit

• Schwellwertüberwachung
• Signalmodell

Fehlerdetektion und -Isolation mit Prozessmodell

• Identifikationsfilter
• Paritäts-Gleichungen
• Zustandsbeobachter-gestützte Diagnose

Fehleridentifikation

• Klassifikationsmethoden (Neuronale Netze, Bayes'sches Netz)
• Wissensbasierte Diagnose auf Basis der Schlussfolgerungs-Methoden der künstlichen Intelligenz

Aktive Anpassung der Regelung

Akkommodation

• Adaptive Regelung

Rekonfiguration

Voting

Unter dem Begriff Voting (von engl. abstimmen) werden Methoden zusammengefasst, welche die parallele Installation funktional identischer Systeme zur Voraussetzung haben. Beispielsweise werden mehrere Temperatursensoren in Flugzeugen parallel installiert. Eine Auswertlogik vergleicht die Y Messwerte, von denen mindestens X übereinstimmen müssen. Nach IEC 61508 wird von XooY (X out of Y, dt.: „X aus Y“) Elementen gesprochen. Der Zusatz D weist auf eine Selbstprüfung hin. Je nach Wahl von X und Y können ein, zwei oder mehr Fehler mit Sicherheit erkannt und der fehlerhaften Komponente zugeordnet werden. Typische Schemata sind z. B.:

• 1oo1: Notausschaltung
• 1oo1: z. B. Fa. ABB
• 1oo2: z. B. Fa. HIMA
• 2oo2: Doppelt redundant
• 2oo2D: z. B. Simatic S7 400 der Fa. Siemens
• 2oo3: z. B. Fa. GE Intelligent Platforms, Foxboro, Triconex, Voting ('2 von 3'-Wähler)
• 2oo4: z. B. Fa. GE Intelligent Platforms, Fa. HIMA

Erkennt eine 2oo2-Logik einen Fehler, so schaltet sie auf die intakte Einheit um. Bei einer 2oo3-Logik kann durch das Voting mit hinreichender Sicherheit festgestellt werden, welche Einheit die fehlerhafte ist. Die 2oo4-Konfiguration bleibt stabil für den Fall, dass zwei Einheiten gleichzeitig ausfallen könnten. Um die Betriebssicherheit aufrechtzuerhalten, müssen die Signaleingänge der redundanten Einheiten und die Ergebnisse des Rechenprozesse bei jedem Abtastvorgang ständig synchronisiert werden. Man spricht von lokaler Gleichzeitigkeit.

Dieses Verfahren realisiert eine Rekonfiguration der Regelung, weil der Signalweg bei Verwendung in einem Regelkreis verändert wird.

Modellanpassung

• Pseudoinverse Methode
• Perfekte Modellanpassung
• Adaptive Modellanpassung

Fehlerverdeckung

Anwendungen fehlertoleranter Regelsysteme

• 1oo1
• 1oo2 Toröffnungsanlagen, AGV (Automatically Guided Vehicle, dt. „Fahrerlose Transportsysteme“) (AK4)
• 2oo2 Gasturbinen (AK5)
• 2oo3 Airbus Flugzeuge, Chemische Anlagen, AK6
• 2oo4 Space Shuttle (AK6), Atomkraftwerke (AK7)

Literatur

• M. Blanke, M. Kinnaert, J. Lunze and M. Staroswiecki: Diagnosis and Fault-Tolerant Control (2006), 2nd edition, Springer Verlag, ISBN 3-540-35652-5
• R. Isermann: Fault-Diagnosis Systems (2006), Springer-Verlag, ISBN 3-540-24112-4
• DIN 55350: Begriffe zu Qualitätsmanagement und Statistik

Siehe auch

• Fehlermöglichkeits- und Einflussanalyse
• Qualitätsmanagement
• Teaming