Mobile Maschinen 2/2018

DAS E-GAS-ÜBERWACHUNGSKONZEPT
Ein bewährtes Überwachungskonzept für die eigentliche Funktion stammt aus der Automobilindustrie, das E-Gas-Konzept [Standardisiertes
E-Gas-Überwachungskonzept für Benzin- und Diesel-Motorsteuerungen, EGAS Arbeitskreis]. Dies beruht im Wesentlichen
darauf, dass die für die Sicherheit wichtigen Zustände viel einfacher zu beschreiben sind, als die Funktion selbst. Im dargestellten Beispiel
ist die Proportionalsteuerung für die Kupplungsregelung aufwendig, jedoch der für die Sicherheit relevante Zustand, z. B. „Fahrtrichtungseinstellung
im Getriebe gleich Richtungshebel-Position“, viel einfacher zu prüfen. Am Steuergerät werden die Richtungshebel Signale geprüft
und die Kommunikation mit dem Getriebe abgesichert. Zusätzlich läuft eine redundante Sicherheitsfunktion, im E-Gas-Konzept „Level-
2-Monitor“ genannt, wobei der Level-2-Monitor nur die Ein- und Ausgangssignale prüft. Lässt die Elektronik fälschlicherweise zu, dass der
Richtungshebel nicht mit der angeforderten Getriebefahrtrichtung übereinstimmt, dann wird die Überwachungsfunktion aktiv.
V + S
Regelung
Eingangsverarbeitung
Ausgangsverarbeitung
Fahrtrichtung
Level-2
Monitor
03 Überwachungsfunktion als redundanter Pfad zur eigentlichen Regelung
Erkennen die Sicherheitsfunktionen einen Fehler, dann wird das System in den „sicheren Zustand“ überführt. Im dargestellten Beispiel
wird die Kommunikation zwischen den Steuergeräten deaktiviert, damit verweilt der Traktor im aktuellen Zustand. Trotz des aufgetretenen
Fehlers befindet sich das Fahrzeug im kontrollierbaren Zustand. Für den Kunden, beispielsweise dem Landwirt, ist es durchaus
unbefriedigend, wenn die Elektronik den Traktor stilllegt. Um die Verfügbarkeit des Systems nicht zu beeinträchtigen, dürfen lediglich
sicherheitskritische Fehler zu einer Abschaltung des Systems führen.
DIE SYNCHRONISIERUNG IST VON BEDEUTUNG
Bei der Überwachung sind zwei Arten von „korrekt“ zu unterscheiden:
n Funktional korrekt, die Überwachung muss den Zustand des Systems richtig erkennen
n Zeitlich korrekt, die Überwachung muss den Abgleich des Systemzustands auch „zeitgleich“
(also mit hinreichend wenig Verzögerung) durchführen
Eingangssignal
V + S
ruhend
R + S
Fahrtrichtung
Vorwärtskontakt (V)
Sicherheitskontakt (S)
Rückwärtskontakt (R)
IN_V IN_R IN_S Ausgang
0 0 0 Ruhend
0 0 1 Ruhend
0 1 0 Fehler
0 1 1 Rückwärts
1 0 0 Fehler
1 0 1 Vorwärts
1 1 0 Fehler
1 1 1 Fehler
Eingangssignal Vorwärtskontakt
1
t
Eingangssignal Sicherheitskontakt
0
t
Abtastung Level-2 Monitor
Abtastung Funktionsregler
04 Darstellung der möglichen Abtastzeitpunkte von Eingangssignalen
Die zeitliche Korrektheit ist ebenso wichtig, wie die funktionale Korrektheit. Beim Level-2-Monitor wird der Systemzustand redundant,
zusätzlich zur Regelung selbst, berechnet. Danach wird ein Vergleich durchgeführt: entspricht der Systemzustand, den die
Regelung hergestellt hat, den Erwartungen der Überwachung? Sprichwörtlich steckt hier der Teufel im Detail: es gibt viele Übergänge
zwischen den Systemzuständen. Die Signale „IN_V“ und „IN_S“ – müssen gleichzeitig gelten – sind in der Phase, in der der
Hebel gerade bewegt wird, nicht synchron. Die Normalfunktion kann früher abtasten als die Überwachungsfunktion, was zu einer
unterschiedlichen Interpretation der Zustände führen kann.
Zeitliche Differenzen zwischen Funktion und Sicherheitsfunktion kann es bei nahezu allen Zustandsübergängen geben. Alle
Übergänge müssen daher mit Sorgfalt überdacht und wenn nötig entprellt werden. Im dargestellten Beispiel traten in der Praxis
weitere Fehler auf: Es stellte sich heraus, dass die bereits entprellte Überwachungsfunktion immer wieder aktiv wurde, als der
Benutzer den Richtungshebel rasch vor und zurück bewegte und damit weitere Asynchronitäten auslöste.
Die Überwachungsfunktionen müssen ebenso getestet werden, wie die Regelung selbst. Hier kommt das Entwicklungsteam
in eine befremdliche Situation: Hat es doch die größte Sorgfalt daraufgelegt, dass die Systeme korrekt funktionieren – was aber
be deutet, dass die Überwachungsfunktion nie aktiv wird. Wie kann also die Überwachungsfunktion getestet werden, wenn man
62 Mobile Maschinen 2018/02 www.mobile-maschinen.info