(57)【要約】【課題】【解決手段】論理ゲートアレイ、特にＦＰＧＡは、ハードウェア専用のランタイム環境内にて緊急応答システムの所定の戦略を具体化する形態とされている。論理ゲートアレイは、工業的処理システム内に配置された１組みのセンサ及びアクチュエータから複数の入力信号を受け取る。受け取った複数の入力信号に基づいて、論理ゲートアレイは、所定の戦略を使用して緊急応答を決定する。論理ゲートアレイは、所定の戦略に基づいて工業的処理システムを制御すべく緊急応答を実行する。所定の戦略の変化に基づいて、論理ゲートアレイを再構成することができる。【選択図】図１
2009522644.tif 000002
【特許請求の範囲】
【請求項１】
ハードウェア専用のランタイム環境にて緊急応答システム（１００）に対する所定の戦略を実行する構成とされた論理ゲートアレイ（１１０）において、
（ａ）  工業的処理システム内に配置された１組みのセンサ（１２０）及びアクチュエータ（１２１）からの複数の入力信号（１２０）を受け取る手段と、
（ｂ）  所定の戦略を使用して、受け取った複数の入力信号（１２０）に基づいて緊急応答を決定する手段と、
（ｃ）  所定の戦略により決定され且つ、工業的処理システムを制御する、緊急応答（１４０）を実行する手段とを備える、論理ゲートアレイ。
【請求項２】
請求項１に記載の論理ゲートアレイ（１１０）において、
前記論理ゲートアレイ（１１０）は、フィールドプログラム可能ゲートアレイ（ＦＰＧＡ）である、論理ゲートアレイ。
【請求項３】
請求項１に記載の論理ゲートアレイ（１１０）において、
前記構成により、論理ゲートアレイの小集合体が、所定の戦略により決定された、ブール（Ｂｏｏｌｅａｎ）論理関数、順序論理関数、組み合わせ論理関数として作用するよう共にグループ化され且つ接続される、論理ゲートアレイ。
【請求項４】
請求項１に記載の論理ゲートアレイ（１１０）において、
前記論理ゲートアレイ（１１０）は、所定の戦略に変更があるとき、再構成される、論理ゲートアレイ。
【請求項５】
請求項１に記載の論理ゲートアレイ（１１０）において、
論理ゲートアレイ（１１０）からの出力（１３０）は、別個のプロセス制御システムにフィードバックされ且つ、プロセス制御システムが工業的処理システムに対するプロセス制御を具体化するための制御信号として使用される、論理ゲートアレイ。
【請求項６】
請求項２に記載の論理ゲートアレイ（１１０）において、
前記ＦＰＧＡは、少なくともの別のＦＰＧＡと並列に接続されて冗長的緊急応答システムを形成する、論理ゲートアレイ。
【請求項７】
請求項１に記載の論理ゲートアレイ（１１０）において、
前記接続したＦＰＧＡの各々からの出力は、互いに比較して出力が同一であることを確認し、また、前記出力が同一でない場合、前記緊急応答システムにより工業的処理システムの作動が停止される、論理ゲートアレイ。
【請求項８】
品質認証可能な緊急応答システム（１００）を提供する方法において、
（ａ）  工業的処理システム内に配置された複数の入力センサ（１２２）及びアクチュエータ（１２１）から受け取った信号（１２０）に基づいて少なくとも１つの緊急応答（１４０）を発生させる命令を含む、緊急応答システム（１００）を具体化する所定の戦略を策定するステップと、
（ｂ）  ハードウェア専用のランタイム環境内にて緊急応答システム（１００）に対する所定の戦略を具体化し得るよう論理ゲートアレイ（１１０）を構成するステップとを備え、
前記緊急応答システム（１００）は、適合性の証明を必要とする項目が少ない状態にて品質認証可能である、方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、緊急作動停止システム、より詳細には、所定のユーザの戦略を使用して緊急応答を実行するよう再構成可能な論理回路に関する。
【背景技術】
【０００２】
あらゆる緊急作動停止システムは、緊急作動停止システムを実行するため使用されるソフトウェア及びハードウェアの双方に対する必要条件を規定する品質認定標準ＩＥＣ  ６１５０８により管理される。ＩＥＣ  ６１５０８は、電気的／電子的／プログラム可能な電子安全関連システムの機能上の安全性に関するものである。
【０００３】
ＩＥＣ  ６１５０８は、思想、設計、具体化、操作及び保守の面から緊急作動停止システムの全ての態様を管理する。詳細には、該標準は、システムに対して要求される機能を実現するのに必要な安全上の条件を規定するための方法を提供する。安全標準が主として懸念することは、人間の安全性又は環境に強い影響を与えるであろうシステムの障害である。
【発明の開示】
【発明が解決しようとする課題】
【０００４】
緊急作動停止システムの目的は、電子、液圧及び電気装置の作動に伴なう危険性及びリスクの可能性を少なくすることである。
典型的に、緊急作動停止システムは、コンピュータ利用のシステムによって実行される。このコンピュータ利用のシステムは、緊急作動停止システムのソフトウェア及びハードウェア要素の双方及びコンピュータを作動させる任意のその他のソフトウェアの品質認定を要求する。更に、ソフトウェア又はハードウェア要素の何れかの変更の品質認定を要求する。また、ハードウェア及びソフトウェアの開発過程の品質認定も要求する。
【０００５】
品質認定過程は、ハードウェア、ソフトウェア又は一体化の無作為の故障に起因する緊急作動停止システムの障害の回数を少なくするよう設計される。
品質認定過程は、時間を消費し且つ、特に、ソフトウェア及びハードウェアの双方を品質認定しなければならない場合、多額の費用を必要とする。重要なソフトウェアの構成要素を含むシステムにて品質認定を実施することは、ソフトウェアに対する条件が多数であるため、特に困難なことである。
【０００６】
従って、迅速に且つ効率的な態様にて品質認定することができる、ＩＥＣ  ６１５０８に適合した緊急作動停止システムを提供する必要がある。
【課題を解決するための手段】
【０００７】
当該出願人は、何らかのランタイムソフトウェアを不要にするハードウェア専用のランタイム緊急応答システムを開発した。
従って、ハードウェア専用のランタイム環境にて緊急応答システムに対する所定の戦略を実行する形態とされた論理ゲートアレイが開示されている。論理ゲートアレイは、工業的処理システム内に配置された１組みのセンサ及びアクチュエータからの複数の入力信号を受け取る手段と、所定の戦略を使用して、受け取った複数の入力信号に基づいて緊急応答を決定する手段と、緊急時応答を実行する手段とを備えている。緊急応答は、所定の戦略により決定され且つ、工業的処理システムを制御する。
【０００８】
論理ゲートアレイは、フィールドプログラム可能ゲートアレイ（ＦＰＧＡ）とすることができる。論理ゲートアレイの小集合体は、ブール（Ｂｏｏｌｅａｎ）論理、順序論理、組み合わせ論理として機能するよう共にグループ化され且つ接続される。このグループ化は、所定の戦略により決定される。最初のグループ化は、インストール前に行われる。ゲートをグループ化する構成のプロセスは、特殊な構成ツールを使用して実行される。論理ゲートアレイは、所定の戦略に変更があるとき、容易に再構成することができる。このことは、工場内の新たな機械又は、新たな安全性戦略に対して緊急応答システムを容易に調整することを許容する。
【０００９】
論理ゲートアレイは、少なくとも第二の別個の組みの論理ゲートアレイと並列に接続して冗長緊急応答システムを形成することができる。少なくとも第二の別個の組みの論理ゲートアレイは、当初の論理ゲートアレイと同一となるような構成とされよう。上記の接続した組みの論理ゲートアレイの各々からの出力は、互いに比較して出力が同一であることを確認し、また、上記出力が同一でない場合、上記緊急応答システムにより工業的処理システムの作動が停止される。
【００１０】
緊急応答システムは、適合性を証明する必要がある項目が少ない状態にて品質認定可能である。
【発明を実施するための最良の形態】
【００１１】
本発明の上記及びその他の特徴、利点及び有利な効果は、図面を通じて同様の要素を同様の参照番号にて表示する、以下の説明及び図面を参照することにより、明らかになるであろう。
【００１２】
本発明の１つの実施の形態に従い、応答システムは、プログラム可能論理回路を含む。プログラム可能論理回路は、１つのグループの論理ゲート又はブロック、すなわち、特定のユーザの所定の安全性戦略に対する機能性を提供する構成とすることのできるゲートアレイを含む。プログラム可能論理回路は、プログラム可能論理アレイ（ＰＬＡ）、プログラム可能アレイ論理回路（ＰＡＬ）及びフィールドプログラム可能ゲートアレイ（ＦＧＰＡ）のような、論理ゲートのグループを含む任意の回路とすることができる。ＦＧＰＡは、複数の論理ブロックと、論理ブロック間の複数の相互接続部とを保持する回路である。論理ブロック及び相互接続部の各々は、基本的な論理ゲートの機能性、又は、デコーダ、マルチプレックス若しくは完全な数理的機能のようなより複雑な機能を複製するようプログラム化することができる。論理ブロック及び相互接続部は、複数の機能を実行するようユーザがゲートを相互に接続することを許容する。更に、この構造体は、ユーザが異なる機能を実行するよう相互接続部を再構成することを許容する。
【００１３】
図１には、本発明の１つの実施の形態に従った緊急応答システムが示されている。この緊急応答システム１００は、論理ゲートアレイ１１０と、複数の入力信号１２０と、複数の出力信号１３０とを含む。複数の入力信号は、論理ゲートアレイ１１０と通信する１組みのアクチュエータ１２１及びセンサ１２２により発生される。センサ１２２及びアクチュエータ１２１は、論理ゲートアレイ１１０と物理的に接続し又は通信ネットワークを介して接続することができる。センサ１２２は、温度、圧力、煙、時間、動き、圧力及び放射物を含むが、これらにのみ限定されない工業的処理システムの色々な特性を検出する。入力値は、高又は低ビット信号、すなわち、１つの事象の存在又は不存在、又はセンサにより検出された特定の値、すなわち所定の閾値以上又は以下の値とすることができる。更に、入力値は、１つの整数のようなマルチビット値とすることができる。出力信号１３０は、論理ゲートアレイ１１０のブール論理関数、順序論理関数又は組み合わせ論理関数に基づいて発生される。出力信号１３０の各々は、緊急応答１４０を駆動するため使用される。
【００１４】
緊急応答システム１００は、論理ゲートアレイ１１０が所定のユーザの安全性戦略を実行する構成とする手段（図示せず）を含むであろう。論理ゲートアレイ１１０を構成する手段は、ハードウェア記述言語ツール又は回路設計ツール又は電子設計自動化ツールとすることができる。例えば、共通のハードウェア記述言語ツールは、ＶＨＤＬ及びベリログ（Ｖｅｒｉｌｏｇ）である。
【００１５】
詳細には、論理ゲートアレイ１１０は、電子設計自動化ツールの１つを使用して構成することになろう。電子設計自動化ツールは、プレイスアンドルート(place-and-route)プロセスを使用して実際の論理ゲートアレイに適合することのできる図表化したネットリストを生成する。ユーザは、例えば、タイミング解析、シミュレーション及び反復(repetition)のような色々な検証法を使用してマップ、プレイス及びルートの結果を検証する。設計及び検証プロセスが完了したとき、ファイルは、論理ゲートアレイ１１０にアップロードし、少なくとも１つの入力ソケット１５０を介して回路を構成する。この構成は、緊急応答システム１００がハードウェア専用のランタイム環境にて作動するとき、何らかの操作の前に行われる。
【００１６】
所定のユーザ安全性戦略は、緊急応答システム１００により制御される特定の工業的処理システムに基づくものとなろう。詳細には、所定のユーザ安全性戦略は、緊急応答システム１００が所定の組みのセンサ及びアクチュエータ入力１２０及び１３０に対して適正な緊急応答１４０を実行する小集団から１組のブール論理関数、順序論理関数又は組み合わせ論理関数を規定すべく論理ゲートのグループ化又は小集団を形成するため使用される。適正な緊急応答１４０は、作動停止、電力の遮断、警報の発生機能を含み、また、火災スプリンクラーシステムを作動させるものを含む。緊急応答システム１４０は、論理ゲートアレイ１１０により発生された出力信号１３０の１つ又はより多くに基づくものとなろう。
【００１７】
所定の戦略は、プロセスシステム、工業的製造機械の型式、及び製造した製品に依存する。例えば、製紙機械及びアルミニウム製造システムに対する所定の戦略は、異なるものとなろう。
【００１８】
例えば、ある工業的プロセスには、原料の流体を受け入れ、それを加熱する容器及びその容器を空ける容器があろう。このプロセスは、幾つかの状態、すなわち、タンク内の液位を介して原料の供給、熱電対装置を介しての容器内の温度、気体供給管の圧力を介しての加熱要素に対する燃料、出口弁の健全性、及び処理システム内の次のタンク内の液位を監視することを必要とする。ユーザは、修正のため測定された状態の各々、すなわち、ある範囲の予想値を試験する、所定の戦略を策定する。詳細には、ユーザは、値及び場合の各々を試験するための論理関数を策定する。１つ又はより多くの値が不正確である、すなわち範囲外である場合、所定の戦略は、容器から熱を除去し、全ての圧力を排出し且つ（又は）流体を後で処分するため貯蔵領域に動かすような設計とすることができる。次に、論理ゲートアレイは、所定の戦略にて構成且つ、連続的に作動させる。論理ゲートは、測定値の試験及び測定値に基づく何らかの行為の順序化を実行するようグループ化されよう。行為は、音／光装置に対して警報を発生させるステップを含むこともできる。
【００１９】
更に、緊急応答システム１００は、オペレータがスイッチをリセットしない場合、スイッチが正常な位置にセットされる迄、すなわちリセットされる迄、流体が追加されないようになるインターロック又はリセットスイッチを含むであろう。
【００２０】
緊急応答システム１００は、応答に到る事象の順序が把握されるよう、ある応答が発生されたときの日時をスタンプする手段を含むことができる。
論理ゲートアレイ１１０が構成されたならば、システム内に含み込まれた「データプロセッサ」に対するランタイムソフトウェア又は作動システムは何ら存在しないから、論理ゲートアレイ１１０及び所定のユーザの安全性戦略の機能的特徴の品質認証のみをすればよい。このように、本発明の１つの有利な点は、緊急応答システムが品質認証の必要ありとする対象組みが少ない点である。例えば、ＩＥＣ  ６１５０８は、ソフトウェアアーキテクチャの特定の必要条件、Ｅ／Ｅ／ＰＥハードウェアとソフトウェアとの相互作用、言語及び要求される安全の完全性レベルに対するコンプライヤーを含む、適宜な組みのツールの選択のための特定の必要条件を提供する。実際には、品質認定機関は、特に、使用中の作動システム、ソフトウェアが命令を実行する態様、データの処理又はデータをシステム内にて伝達する態様に重点を置く。本発明は、古典的な定義による「オペレーティングシステム」を不要にし、論理ゲートのグループを使用することにより命令の実行を簡略化し且つ、データを色々な論理ゲートのグループ間にてのみ伝達することにより、データの伝達を簡略化する。
【００２１】
本発明の別の有利な点は、論理ゲートアレイ１１０を再構成することができるから、センサ１２２又はアクチュエータ１２１又は任意の新たに識別された安全手順の何らかの変化を反映するよう、緊急応答システム１００を容易に更新し又は、変更することができる点である。この緊急応答システム１００の変更は、論理ゲート間の相互接続部の変化により、また、所定の戦略の改変により決定された、ブール論理関数、順序論理関数又は組み合わせ論理関数の変化に起因する論理ゲートアレイのグループ化により生じさせることになろう。更に、論理ゲートアレイ１１０が再構成されたとき、新たな関数のみを再度、品質認定すればよい。
【００２２】
本発明の別の実施の形態において、少なくとも２組みの論理ゲートアレイ１１０１−ｎが並列して使用され、緊急応答システムを実行する。図２には、この実施の形態に従った緊急応答システムが示されている。論理ゲートアレイ１１０１−ｎの各組みは、この入力ソケット１５０１−Ｎを使用して同一のブール論理関数、順序論理関数又は組み合わせ論理関数、同一のゲート接続部及び同一の相互接続部を有する構成とされる。論理ゲートアレイ１１０１−ｎの組みの各々は、アクチュエータ１２１及びセンサ１２２と同一の入力信号を更に有する。
【００２３】
組みの各々にて二重化されたゲートの構成は、緊急応答システム１００が適正に機能することを保証する冗長目的のため使用される。詳細には、論理ゲートアレイ１１０１−ｎの組みの各々は、論理ゲートアレイの１１０１−ｎの組みの各々が同一の入力値及び構成を有することを考慮して、論理ゲートアレイの他方の組みの各々と同一の出力値１３０１−ｎを発生させる必要がある。このため、論理ゲートアレイの１１０１−ｎの組みの各々の出力値１３０１−ｎが異なるときは、論理ゲートアレイの組みの各々の少なくとも１つが誤作動しているときである。誤作動であることは、組みの各々の出力値１３０１−Ｎを比較することにより決定される。組みの各々の出力値１３０１−Ｎは、比較のため比較器２００に送られる。組みの出力信号が適合しない場合、そのときは、論理ゲートアレイの組みの各々の少なくとも１つが誤作動しているときである。このことは、比較器２４０の出力から決定される。緊急応答システムは、この誤作動に応答して工業的処理システムの作動を停止させることができる。比較器２００は、任意の型式の比較装置とすることができる。これと代替的に、比較器２００は、簡単なＸＯＲゲートとしてもよい。
【００２４】
別の実施の形態において、緊急応答システム１００は、プロセス制御のような、安全性応答機能を持たない工業的処理システムの別の要素を制御し又は作動させることもできる論理ゲートアレイ１１０を含む。例えば、論理ゲートアレイ１１０の状態を使用して１組みのアクチュエータ１２１を制御することができる。別個で且つ相違するプロセス制御システムは、プロセスを制御する前、安全システムの状況を点検することができる。プロセス制御システムは、緊急応答システムが緊急応答を開始したかどうかを決定し、緊急応答があるならば、プロセス制御システムは、その機能を実行しないであろう。例えば、緊急応答システムが加熱された流体を使用する工場の一部分の作動を停止させた場合、プロセス制御システムは、流体にて満たされた容器の加熱を開始することはない。この場合、緊急応答システムの出力は、プロセス制御システムへの入力としてもフィードバックされる。
【００２５】
上述した説明及び図面は、本発明の色々な形態を示し且つ例を提供するため掲げたものであり、本発明をこれらの例又は図面にのみ限定することを意図するものではない。上記の開示の利点を考えるならば、当該技術の当業者は、本明細書にて開示した例と相違するが、それでも本発明の利点を享受し且つ、本発明の範囲に属する色々な変更例及び代替的な構造を案出することができるであろう。
【図面の簡単な説明】
【００２６】
【図１】本発明の第一の実施の形態に従ったハードウェア利用の緊急応答システムを示す図である。
【図２】本発明に従った緊急応答システムの別の実施の形態を示す図である。
【図１】
2009522644.tif 000003
【図２】
2009522644.tif 000004
【国際調査報告】
2009522644.tif 000005
2009522644.tif 000006
2009522644.tif 000007
2009522644.tif 000008