Definition und Konzept:
Triple Modular Redundancy (TMR), zu Deutsch Dreifach Modulare Redundanz, ist eine hochentwickelte, fehlertolerante Architektur, die dazu dient, die Verfügbarkeit und Zuverlässigkeit von kritischen Systemen, insbesondere in sicherheitsbezogenen Anwendungen, extrem zu erhöhen. Das Prinzip basiert auf der Verwendung von drei identischen Modulen oder Verarbeitungseinheiten, die parallel arbeiten und deren Ergebnisse durch eine Mehrheitsentscheidungslogik (2-out-of-3-voting) verglichen werden.
Das Hauptziel von TMR ist es, den Ausfall einer einzelnen Komponente zu tolerieren, ohne dass die Funktion des Gesamtsystems beeinträchtigt wird. Das System kann also weiterarbeiten, selbst wenn ein Modul einen Fehler aufweist.
Funktionsweise:
- Drei identische Kanäle: Ein Eingangssignal wird an drei separate, identische Module (z.B. SPS-CPUs, I/O-Module) gesendet.
- Parallele Verarbeitung: Jedes der drei Module führt unabhängig voneinander die gleiche Verarbeitung durch.
- Mehrheitsentscheider (Voter): Die Ausgänge der drei Module werden einem „Voter“ zugeführt. Dieser Voter vergleicht die Ergebnisse und leitet das Ergebnis, das von mindestens zwei der drei Module übereinstimmt, an den Ausgang weiter.
- Fehlererkennung: Wenn eines der Module ein abweichendes Ergebnis liefert, erkennt der Voter dies als Fehler, isoliert das fehlerhafte Modul, aber der Prozess läuft ungestört weiter, da die beiden anderen Module weiterhin ein korrektes Ergebnis liefern.
Relevanz in der Automatisierung (Sicherheitssysteme):
TMR ist eine der höchsten Formen der Redundanz und wird in Systemen eingesetzt, die höchste Anforderungen an die funktionale Sicherheit (SIL 3, SIL 4) und Verfügbarkeit haben:
- Sicherheitssysteme (SIS): In der Prozessindustrie für Notabschaltsysteme (ESD), Brand- und Gasmeldesysteme (z.B. Honeywell Safety Manager, Schneider Electric Triconex).
- Kritische Infrastrukturen: In Kernkraftwerken, Flugzeugsteuerungen, Weltraumanwendungen.
- Vorteile:
- Extrem hohe Ausfallsicherheit: Verkraftet den Ausfall eines Moduls.
- Unterbrechungsfreier Betrieb: Keine Betriebsunterbrechung bei einem Einzelfehler.
- Umfassende Diagnose: Fehler werden sofort erkannt und signalisiert.
- Hot-Swap-Fähigkeit: Das defekte Modul kann oft im laufenden Betrieb ausgetauscht werden.
Nachteile:
- Hohe Kosten: Dreifacher Hardware-Aufwand.
- Komplexität: Höherer Engineering-Aufwand.
TMR ist ein Benchmark für Zuverlässigkeit und Sicherheit in kritischen Automatisierungsanwendungen.
→ Siehe auch: Redundanz, Funktionale Sicherheit, SIL (Safety Integrity Level), Safety Manager, EcoStruxure Triconex, Verfügbarkeit
