(57)【要約】      （修正有）【課題】  安全システムがフィールドデバイスの保守点検等の理由で生じる出力に対して作動してしまうのを防止する。【解決手段】フィールドデバイスが試験または校正モードかどうかを監視・判定し、検出されたフィールドデバイス設定状態に応答してバイパス機能またはオーバライド機能を自動的に開始させる。またフィールドデバイスが正常の動作設定状態に戻されたときにバイパス機能オーバライド機能を自動的に取り除く。これにより、たとえばハンドヘルドデバイスによりデバイスの試験が手動で始動されるとプロセスプラント内の安全システムにより停止手順が開始されることを防止することができる。同様に、バイパスおよびオーバライドが自動的に取り除かれることにより、デバイスの試験のために設定されたバイパスまたはオーバライドをユーザが手動で除去することを忘れるために安全システムが正常に動作しなくなることを容易に防止することができる。【選択図】  図１
2004310767.tif 000002
【特許請求の範囲】
【請求項１】
少なくとも一つのフィールドデバイスが正常動作コンフィギュレーション状態と少なくとも一つの非正常動作コンフィギュレーション状態とを含む複数の異なるコンフィギュレーション状態に設定可能である一または複数のフィールドデバイスを制御するために通信可能に接続されるプロセッサを備えるプロセス環境において利用される機能ブロックエンティティであって、
コンピュータ読み取り可能媒体と、
前記プロセッサで実行されるように構成された、前記コンピュータ読み取り可能媒体に格納されている機能ブロックとを備え、
該機能ブロックは、
前記フィールドデバイスのうちの少なくとも一つのコンフィギュレーション状態を示す入力信号を前記プロセス環境内から受信するように構成された入力部と、
前記フィールドデバイスのうちの少なくとも一つが非正常動作コンフィギュレーション状態にあることを検出する、前記入力部に接続されている検出ユニットと、
前記フィールドデバイスのうちの少なくとも一つが非正常動作コンフィギュレーション状態であるとき、該フィールドデバイスのうちの該少なくとも一つからのさらなる信号の使用を禁止する禁止信号を自動的に生成する禁止ロジックと
を有してなる機能ブロックエンティティ。
【請求項２】
前記禁止ロジックは、前記フィールドデバイスのうちの前記少なくとも一つからのさらなる信号の使用をバイパスするバイパス信号を生成するように構成されている、請求項１記載の機能ブロックエンティティ。
【請求項３】
前記禁止ロジックは、前記フィールドデバイスのうちの前記少なくとも一つからのさらなる信号を用いてなされる判断をオーバライドするオーバライド信号を生成するように構成されている、請求項１記載の機能ブロックエンティティ。
【請求項４】
前記機能ブロックは、前記フィールドデバイスのうちの前記少なくとも一つからのさらなる信号を受信するもう一つの入力部を備えてなる、請求項１記載の機能ブロックエンティティ。
【請求項５】
前記検出ユニットが、前記フィールドデバイスのうちの前記少なくとも一つが前記非正常動作コンフィギュレーション状態から前記正常動作コンフィギュレーション状態に入るときを該フィールドデバイスのうちの該少なくとも一つからの入力信号に基づいてさらに検出するように構成されており、前記禁止ロジックが、前記フィールドデバイスのうちの前記少なくとも一つが前記正常動作コンフィギュレーション状態にあるときに、該フィールドデバイスのうちの該少なくとも一つからのさらなる信号の使用を許可すべく前記禁止信号を自動的に除去するように構成されている、請求項１記載の機能ブロックエンティティ。
【請求項６】
前記フィールドデバイスのうちの前記少なくとも一つが書き込み禁止変数を有しており、該書き込み禁止変数の状態により該フィールドデバイスのうちの該少なくとも一つが前記正常動作コンフィギュレーション状態と前記非正常動作コンフィギュレーション状態との間で切り替え可能であるときが一般的に制御されており、前記機能ブロックは、前記書き込み禁止変数が前記正常動作コンフィギュレーション状態と前記非正常動作コンフィギュレーション状態との間における前記フィールドデバイスのうちの前記少なくとも一つの切り替えを一般的に禁止している状態であるときに該フィールドデバイスの該少なくとも一つに該正常動作コンフィギュレーション状態と該非正常動作コンフィギュレーション状態との間を変位させるように構成されたコンフィギュレーション変更命令を格納するメモリをさらに有しており、前記機能ブロックは、前記書き込み禁止変数をリセットすることなく前記フィールドデバイスの前記少なくとも一つにコンフィギュレーション変更を受けさせる前記コンフィギュレーション変更コマンドを、該フィールドデバイスの該少なくとも一つに伝送するコマンドトランスミッタを有してなる、請求項１記載の機能ブロックエンティティ。
【請求項７】
前記機能ブロックは、該機能ブロックが前記コンフィギュレーション変更コマンドを前記フィールドデバイスの前記少なくとも一つにいつ送信したかを示すログを有してなる、請求項６記載の機能ブロックエンティティ。
【請求項８】
前記機能ブロックは、前記フィールドデバイスの前記少なくとも一つが該機能ブロックから受信した前記コンフィギュレーション変更コマンドにいつ応答したかを示す他のログを有してなる、請求項７記載の機能ブロックエンティティ。
【請求項９】
前記入力部は、ＨＡＲＴ通信プロトコルに準拠する入力信号を受信するように構成されている、請求項１記載の機能ブロックエンティティ。
【請求項１０】
前記禁止ロジックは、所定の時間のあとに前記禁止信号を自動的に取り除くように構成されている、請求項１記載の機能ブロック。
【請求項１１】
前記禁止信号がもう一つの所定の時間出力されていることをユーザに通知する通知ロジックをさらに有してなる、請求項１０記載の機能ブロック。
【請求項１２】
前記禁止ロジックが前記禁止信号を除去するまえに、前記禁止信号が前記所定の時間のあとに除去されることをユーザに通知する通知ロジックをさらに有してなる、請求項１０記載の機能ブロック。
【請求項１３】
前記禁止信号が所定の時間出力されていることをユーザに通知する通知ロジックをさらに有してなる、請求項１記載の機能ブロック。
【請求項１４】
プロセス環境において利用されるプロセス制御システムであって、
正常動作コンフィギュレーション状態と少なくとも一つの非正常動作コンフィギュレーション状態とを含む複数の異なるコンフィギュレーション状態に設定可能である、プロセスに関連する信号を生成するフィールドデバイスと、
通信リンクと、
前記プロセスに関連する信号を用いて前記プロセス環境内の制御アクティビティを実行するように構成された、前記通信リンクを介して前記フィールドデバイスに接続されているコントローラとを備え、
該コントローラは、
プロセッサと、
前記通信リンクを介して前記フィールドデバイスから一または複数の信号を受信するために前記プロセッサで実行されるように構成された受信ユニットと、
前記フィールドデバイスからの前記一または複数の信号に基づいて該フィールドデバイスが前記非正常動作コンフィギュレーション状態にあることを検出するように構成された検出ユニットと、
前記フィールドデバイスが非正常動作コンフィギュレーション状態にあるときに、前記プロセス環境における制御アクティビティを実行する際に前記コントローラによる該フィールドデバイスからの前記プロセスに関連する信号の利用を禁止する禁止信号を自動的に生じる禁止ユニットと
を有してなるプロセス制御システム。
【請求項１５】
前記検出ユニットは、前記フィールドデバイスからの前記一または複数の信号に基づいて、該フィールドデバイスが前記非正常動作コンフィギュレーション状態から前記正常動作コンフィギュレーション状態に入るときを検出するようにさらに構成されており、前記禁止ユニットは、前記フィールドデバイスが前記非正常な動作コンフィギュレーション状態にあるとき、前記コントローラによる該フィールドデバイスからの前記プロセスに関連する信号の利用を可能にするために前記禁止信号を自動的に取り除く、請求項１４記載のプロセス制御システム。
【請求項１６】
前記フィールドデバイスがセンサである、請求項１４記載のプロセス制御システム。
【請求項１７】
前記フィールドデバイスが、前記コントローラにより制御されるバルブである、請求項１４記載のプロセス制御システム。
【請求項１８】
前記コントローラが、前記プロセス環境内の停止手順を開始するために前記プロセスに関連する信号を利用する安全システムコントローラである、請求項１４記載のプロセス制御システム。
【請求項１９】
前記フィールドデバイスは、書き込み禁止変数を有しており、該書き込み禁止変数の状態により、該フィールドデバイスが前記正常動作コンフィギュレーション状態と前記非正常動作コンフィギュレーション状態との間で切り替え可能であるときが一般的に制御されており、前記コントローラは、前記書き込み禁止変数が、前記正常動作コンフィギュレーション状態と前記非正常動作コンフィギュレーション状態との間における前記フィールドデバイスの切り替えを一般的に禁止する状態にあるときに該フィールドデバイスに該正常動作コンフィギュレーション状態と該非正常動作コンフィギュレーション状態との間を変位させるように構成されたコンフィギュレーション変更コマンドを格納するフィールドデバイスコンフィギュレーションユニットをさらに有している、請求項１４記載のプロセス制御システム。
【請求項２０】
前記コントローラまたは前記フィールドデバイスは、該コントローラが前記コンフィギュレーション変更コマンドを該フィールドデバイスに送信するときをロギングするログを有してなる、請求項１９記載のプロセス制御システム。
【請求項２１】
前記コントローラまたは前記フィールドデバイスは、該フィールドデバイスが、前記正常動作コンフィギュレーション状態および前記非正常動作コンフィギュレーション状態のうちの一方と、前記正常動作コンフィギュレーション状態および前記非正常動作コンフィギュレーション状態のうちの他方との間を変移するときをロギングするログを有してなる、請求項１９記載のプロセス制御システム。
【請求項２２】
前記コントローラは、前記フィールドデバイスコンフィギュレーションによって前記フィールドデバイスにコンフィギュレーション状態の変更を受けさせるべく、信号を当該フィールドデバイスコンフィギュレーションユニットに送信するロジックをさらに有してなる、請求項１９記載のプロセス制御システム。
【請求項２３】
前記フィールドデバイスの前記正常動作コンフィギュレーション状態が固定電流モードである、請求項１４記載のプロセス制御システム。
【請求項２４】
前記フィールドデバイスがＨＡＲＴプロトコルに準拠するように構成されている、請求項２３記載のプロセス制御システム。
【請求項２５】
前記禁止ユニットが、所定の時間のあと、前記禁止信号を除去するように構成されている、請求項１４記載のプロセス制御システム。
【請求項２６】
前記禁止信号がもう一つの所定の時間出力されていることをユーザに通知する通知ロジックをさらに有してなる、請求項２５記載のプロセス制御システム。
【請求項２７】
前記禁止ユニットが前記禁止信号を除去するまえに、該禁止信号が前記所定の時間のあとに除去されることをユーザに通知する通知ロジックをさらに有してなる、請求項２５記載のプロセス制御システム。
【請求項２８】
前記禁止信号が所定の時間出力されていることをユーザに通知する通知ロジックをさらに有してなる、請求項１４記載のプロセス制御システム。
【請求項２９】
正常動作コンフィギュレーション状態および非正常動作コンフィギュレーション状態を含む複数の異なるコンフィギュレーション状態に設定可能であるフィールドデバイスと、該フィールドデバイスに接続される通信リンクとを有するプロセス環境において利用されるプロセス制御システムであって、
メモリと、
プロセッサと、
前記プロセス環境内でプロセス制御機能を実行するために前記フィールドデバイスからの第一の信号を利用すべく前記プロセッサで実行されるように構成された、前記メモリに格納されている第一の制御ルーチンと、
前記フィールドデバイスの前記コンフィギュレーション状態を示す第二の信号を該フィールドデバイスから前記通信リンクを介して受信するように構成された入力部と、前記第二の信号に基づいて前記フィールドデバイスが前記非正常動作コンフィギュレーション状態にあることを検出するように構成された検出ユニットと、前記フィールドデバイスが前記非正常動作コンフィギュレーション状態にあるときに禁止信号を自動的に生成するとともに、該禁止信号を前記第一の制御ルーチンに供与して前記第一の制御ルーチンにより前記フィールドデバイスからの前記第一の信号が利用されることを禁止する禁止ユニットとを有する第二のルーチンと
を備えてなる制御システム。
【請求項３０】
前記第二のルーチンは、前記メモリに格納され前記プロセッサで実行されるように構成されている、請求項２９記載の制御システム。
【請求項３１】
第二のメモリと第二のプロセッサとをさらに備え、前記第二のルーチンが該第二のメモリに格納され該第二のプロセッサで実行されるように構成されている、請求項２９記載の制御システム。
【請求項３２】
前記検出ユニットは、前記フィールドデバイスからの前記第二の信号に基づいて、前記フィールドデバイスが前記非正常動作コンフィギュレーション状態から前記正常動作コンフィギュレーション状態に入るときを検出するようにさらに構成されており、前記禁止ユニットは、前記フィールドデバイスが前記正常な動作コンフィギュレーション状態にあるときに、前記第一の制御ルーチンによる該フィールドデバイスからの前記第一の信号の利用を可能にするために、該第一の制御ルーチンからの前記禁止信号を自動的に除去するように構成されている、請求項２９記載の制御システム。
【請求項３３】
前記第一の制御ルーチンは、前記プロセス環境内の停止手順を開始するために前記フィールドデバイスからの前記第一の信号を用いる安全システム制御ルーチンである、請求項３２記載の制御システム。
【請求項３４】
前記禁止ユニットは、前記プロセス制御機能を実行するか否かを評価する際に前記第一の制御ルーチンに前記フィールドデバイスからの前記第一の信号を利用させない前記禁止信号としてバイパス信号を生成するように構成されている、請求項２９記載の制御システム。
【請求項３５】
前記禁止ユニットは、前記プロセス制御機能を実行するか否かを決定するために前記第一の信号を用いる前記第一の制御ルーチン内のロジックが、前記プロセス制御機能を実行する必要があることを示すとき、該第一の制御ルーチンに該プロセス制御機能を実行させない前記禁止信号としてオーバライド信号を生成するように構成されている、請求項２９記載の制御システム。
【請求項３６】
前記フィールドデバイスが書き込み禁止変数を有しており、該書き込み禁止変数の状態により、該フィールドデバイスが前記正常動作コンフィギュレーション状態と前記非正常動作コンフィギュレーション状態との間で切り替え可能であるときが一般的に制御されており、前記制御システムは、前記書き込み防止変数が、前記正常動作コンフィギュレーション状態と前記非正常動作コンフィギュレーション状態との間での変移を前記フィールドデバイスに一般的に禁止する状態にあるときに、該フィールドデバイスに該正常動作コンフィギュレーション状態と該非正常動作コンフィギュレーション状態との間を変位させるように構成されたコンフィギュレーション変更コマンドを格納する第三のルーチンと、該コンフィギュレーション変更コマンドを該フィールドデバイスに伝送する信号トランスミッタとをさらに有している、請求項２９記載の制御システム。
【請求項３７】
前記第三のルーチンは、前記第一の制御ルーチンに通信可能に接続され、前記第一の制御ルーチンからの制御信号に応答して、前記コンフィギュレーション変更コマンドを前記フィールドデバイスに伝送するように構成されている、請求項３６記載の制御システム。
【請求項３８】
前記第三のルーチンは、該第三のルーチンが前記コンフィギュレーション変更コマンドを前記フィールドデバイスに送信するときをロギングするログを有してなる、請求項３６記載の制御システム。
【請求項３９】
前記第二のルーチンは、前記第三のルーチンによる前記コンフィギュレーション変更コマンドの前記フィールドデバイスへの送信に応答して、該フィールドデバイスが、前記正常動作コンフィギュレーション状態および前記非正常動作コンフィギュレーション状態の一方と、前記正常動作コンフィギュレーション状態および前記非正常動作コンフィギュレーション状態の他方との間を変移するときをロギングするログを有してなる、請求項３６記載の制御システム。
【請求項４０】
前記禁止ユニットは、所定の時間のあとに、前記禁止信号を自動的に除去するように構成されている、請求項２９記載の制御システム。
【請求項４１】
前記所定の時間を計るクロックをさらに備えてなる、請求項４０記載の制御システム。
【請求項４２】
前記禁止ユニットが前記禁止信号を除去するまえに、該禁止信号が前記所定の時間のあと取り除かれることをユーザに通知する通知ロジックをさらに備えてなる、請求項４０記載の制御システム。
【請求項４３】
前記禁止ユニットは、該禁止ユニットが前記禁止信号を除去するまえに、ユーザによる前記所定の時間の増加を可能にするように構成されている、請求項４２記載の制御システム。
【請求項４４】
前記禁止信号が所定の時間出力されていることをユーザに通知する通知ロジックをさらに備えている、請求項２９記載の制御システム。
【請求項４５】
正常動作コンフィギュレーション状態および非正常動作コンフィギュレーション状態を含む複数の異なるコンフィギュレーション状態に設定可能である、通信リンクを介してコントローラに接続されるフィールドデバイスと、コントローラ内のロジックとを調整する、プロセス環境内のコントローラにおいて利用される方法であって、
前記フィールドデバイスから第一の信号を受信し、該第一の信号を、前記プロセス環境に対して制御機能を実行するために用いることと、
前記フィールドデバイスのコンフィギュレーション状態を示す第二の信号を、前記通信リンクを通じて該フィールドデバイスから受信することと、
前記フィールドデバイスからの前記第二の信号に基づいて、前記フィールドデバイスが前記非正常動作コンフィギュレーション状態であるときを検出することと、
前記フィールドデバイスが前記非正常動作コンフィギュレーション状態であるとき、前記制御機能の実行に前記第一の信号を利用することを自動的に禁止することと
を有する方法。
【請求項４６】
前記検出することは、前記フィールドデバイスからの前記第二の信号に基づいて、該フィールドデバイスが前記非正常動作コンフィギュレーション状態から前記正常動作コンフィギュレーション状態に入るときを検出することをさらに含んでおり、前記自動的に禁止することは、前記フィールドデバイスが前記正常動作コンフィギュレーション状態にあるときに前記制御機能の実行に前記第一の信号を利用することを自動的に許可することを含んでいる、請求項４５記載の方法。
【請求項４７】
前記制御機能は、前記プロセス環境内の停止手順を開始するために前記フィールドデバイスからの前記第一の信号を利用する安全システム制御機能である、請求項４５記載の方法。
【請求項４８】
前記フィールドデバイスが書き込み禁止変数を有しており、該書き込み禁止変数の状態により、該フィールドデバイスが前記正常動作コンフィギュレーション状態と前記非正常動作コンフィギュレーション状態との間での切り替えが可能であるときが一般的に制御されており、前記方法は、前記書き込み禁止変数が、前記正常動作コンフィギュレーション状態と前記非正常動作コンフィギュレーション状態との間で前記フィールドデバイスが変移することを一般的に禁止する状態にあるときに、該フィールドデバイスに該正常動作コンフィギュレーション状態と該非正常動作コンフィギュレーション状態との間を変移させるように構成されたコンフィギュレーション変更コマンドを格納し、該書き込み禁止変数をリセットすることなく該フィールドデバイスにコンフィギュレーション変更を受けさせるために該フィールドデバイスに該コンフィギュレーション変更コマンドを送信することをさらに含んでいる、請求項４５記載の方法。
【請求項４９】
前記コントローラが前記コンフィギュレーション変更コマンドを前記フィールドデバイスに送信したときを示すログを格納することをさらに含んでいる、請求項４８記載の方法。
【請求項５０】
前記フィールドデバイスが前記コントローラから受信された前記コンフィギュレーション変更コマンドに応答したときを示すログを格納することをさらに含んでいる、請求項４８記載の方法。
【請求項５１】
前記制御機能の実行に前記第一の信号を利用することを自動的に禁止することは、該制御機能を実行するか否かを決定すべく利用されるロジックに該制御機能を実行するか否の評価に前記第一の信号を利用させないバイパス信号を作成することを含んでいる、請求項４５記載の方法。
【請求項５２】
前記制御機能の実行に前記第一の信号の利用を自動的に禁止することは、該制御機能を実行するか否かを決定するために前記第一の信号を利用するロジックが該制御機能を実行する必要があることを示すときに、前記制御機能の実行に利用されるロジックに該制御機能を実行させない禁止信号を作成することを含んでいる、請求項４５記載の方法。
【請求項５３】
自動的に禁止することは、所定の時間のあと、前記制御機能の実行に前記第一の信号を利用することを自動的に許可することを含んでいる、請求項４５記載の方法。
【請求項５４】
自動的に禁止することは、前記所定の時間を計測するためにクロックを利用することを含んでいる、請求項５３記載の方法。
【請求項５５】
自動的に禁止することは、前記所定の時間のあとで前記制御機能を実行するために前記第一の信号の利用を自動的に許可するまえに、該所定の時間のあとで該第一の信号が前記制御機能を実行することを許可されることをユーザに通知することを含んでいる、請求項５３記載の方法。
【請求項５６】
自動的に禁止することは、前記所定の時間のあとで前記制御機能の実行に前記第一の信号を利用することが自動的に許可されるまえに、ユーザによる前記所定の時間の増加を可能にすることを含んでいる、請求項５５記載の方法。
【請求項５７】
自動的に禁止することは、所定の時間のあと、前記第一の信号を前記制御機能の実行に利用することが禁止されていることをユーザに通知することを含んでいる、請求項４５記載の方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、一般的に、プロセスプラントにおいて利用されるプロセス制御システムおよびプロセス安全システムに関するものであり、さらに詳細には、プロセスコントローラまたは安全システムコントローラ内におけるフィールドデバイスの動作をオーバライドおよびバイパスを利用して調整するシステムに関するものである。
【背景技術】
【０００２】
本出願は、２００３年４月１日に出願された、表題が「プロセス制御／安全システムに統合されたオンラインデバイス試験ブロック」である、同時継続中の米国特許出願番号第10/404,156号に基づいて優先権を主張する一部継続出願である。上記同時継続中の出願の全内容は本明細書において参照することによりここで明示的に援用される。
【０００３】
化学プロセス、石油プロセス、または他のプロセスにおいて利用されるプロセス制御システムは、一般的に、アナログバスもしくはアナログ回線、デジタルバスもしくはデジタル回線、またはアナログとデジタルとを組み合わせたバスもしくは回線を介して、少なくとも一つのホストワークステーションもしくはオペレータワークステーションと、一または複数のフィールドデバイスとに通信可能に接続されている一または複数のプロセスコントローラを備えている。これらのフィールドデバイスには、たとえば、バルブポジショナ、スイッチ、センサ（たとえば、温度センサ、圧力センサ、および流量センサ）などが含まれ、バルブの開閉およびプロセスパラメータの測定の如きプロセスプラント内の機能を実行する。プロセスコントローラは、フィールドデバイスにより計測されたプロセス測定値および／またはそれらのフィールドデバイスに関する他の情報を表す信号を受信し、この情報を用いて制御ルーチンを実行し、次いで、制御信号を生成する。この制御信号は、バルブの開閉などの如きプロセス動作を制御すべく上記のバスまたは回線を介してフィールドデバイスに送信される。フィールドデバイスおよび制御装置からの情報は、通常、オペレータワークステーションにより実行される一または複数のアプリケーションに利用することができるようになっており、これにより、オペレータは、プロセスの設定、プロセスの現在の状況の閲覧、プロセス動作の修正などの如き、プロセスに対する所望の機能を実行することができる。
【０００４】
さらに、プロセスプラント内で重要な安全に関連する問題を検出し、そのプラント内で有毒薬品の流出、爆発などの如き深刻な事故になるまたは引き起こすおそれのある問題が発生した場合に、バルブの閉鎖、デバイスの電力の停止、プラント内のフローの切換えなどを自動的に行う個別の安全システムがほとんどのプロセスにおいて設けられている。これらの安全システムは、通常、標準プロセス制御コントローラ以外に、ロジックソルバと呼ばれる一または複数の個別のコントローラを備えている。これらのロジックソルバは、プロセスプラント内に設けられている別々のバスまたは通信回線を介して安全フィールドデバイスに接続されている。ロジックソルバは、安全フィールドデバイスを用いて、特定の安全スイッチまたは遮断バルブの位置、プロセス内のオーバフローまたはアンダーフロー、重要な電力発生デバイスまたは電力制御デバイスの動作、不良検出デバイスの動作などの如き、重要なイベントに関連するプロセス状態を検出することにより、プロセスプラント内の「イベント」を検出する。イベントが検出された場合、安全コントローラは、バルブの閉鎖、デバイスの停止、プラント内領域の電力停止などの如き、そのイベントの有害性を制限するなんらかのアクションを取る。一般的に、これらのアクションには、プロセスプラント内で深刻なまたは有害な状態を防止するように設計されたトリップモード運転または安全モード運転に安全デバイスを切換えることが含まれる。
【０００５】
安全計装システム内の機能ブロックは、たとえば、フィールドデバイスから受信された信号が不良である場合、フィールドデバイス内のロジックが不良モードもしくは非正常モードである場合、または操作信号のバイパスもしくはオーバライドを開始するためにオペレータワークステーションから送信された場合には、フィールドデバイスの信号または検出された状態を利用することをバイパスまたはオーバライドするロジックでプログラムされうる。たとえば、アナログ入力（ＡＩ）機能ブロックまたはデジタル入力（ＤＩ）機能ブロックの一部は、安全システムコントローラ内の、イベントが発生したか否かの判定に用いられる有効な入力としてフィールドデバイスの出力（すなわち、ＡＩブロックまたはＤＩブロックの出力）を安全システムコントローラロジックが用いることを防ぐロジックに対して、バイパスまたはオーバライドを供与するようにプログラムされている。しかしながら、これらの機能ブロックは、フィールドデバイスがたとえばメンテナンスを受けるときにオペレータまたはエンジニアにより生成される手動作動信号に応答してそのようなバイパス信号またはオーバライド信号を提供することが一般的である。
【０００６】
同様に、安全のさらなる完全性またはプロセス変数測定のさらなる有効性を実現するために、トランスミッタおよびスイッチの如き冗長入力デバイスを用いてシステム内のイベントを検出することが安全計装システムにおいて一般的な方法である。そのようなシステムでは、冗長入力に基づいてプロセス状態が容認可能であるか危険であるかを判定するために停止ロジックに採決ロジック機能を設けることが必要になることもある。そのような採決ロジックは、イベント状態が発生したか否かを検出するために入力の過半数を判定するのみでよいことが一般的なので、かなり単純なものである。さらに、表題が「プロセス制御システムにおける動作オーバライドおよびメンテナンスオーバライドを有する採決ロジックブロック」である米国特許出願番号第10/409,576号に詳細に記載されているように、たとえば、プロセス制御システムの開始中に停止システムの動作を妨げるため、メンテナンス作業員による入力デバイスの一または複数に対するメンテナンス作業の実行を可能にするため、選択されたプロセス条件を一時的に無視するためなどのオーバライド機能およびバイパス機能を採決機能ブロックに提供することが可能である。なお、上記の特許出願にかかる発明は、本発明の譲受人に譲渡されており、本明細書において参照することによりここで明示的に援用される。
【発明の開示】
【発明が解決しようとする課題】
【０００７】
しかしながら、一般的にいえば、これらのバイパスまたはオーバライド、とくにメンテナンスバイパスは、メンテナンス手順の開始時にオペレータまたはメンテナンス作業員により手動により開始される。採決ロジックまたはロジックソルバの内でバイパスまたはオーバライドが自動的に始動される範囲では、これらのオーバライドおよびバイパスは、ロジックシステムにより行われる開始手順、遅延機能などの如きアクティビティに関連付けされているが、外部より実行される、正常状態から試験状態または校正状態へのフィールドデバイス状態の変更には関連付けされていない。以上のように、従来、エンジニアは、フィールドデバイスの試験手続中、フィールドデバイスのバイパスまたはオーバライドをシステム計装システム内のロジックソルバの動作状態で調整していたが、この調整は手動工程であり、したがって人的エラーを受けることになる。たとえば、フィールドデバイスに対してメンテナンス手続きを行っているとき、エンジニアは、手動で安全計装ロジックに対してバイパス開始信号を供与し、そのフィールドデバイスに関連するＡＩ、ＤＩ、または採決ロジックブロックの如き入力ブロックにそのフィールドデバイスからの信号または入力をバイパスさせ、それにより、安全ロジックがそのフィールドデバイス信号に基づいてイベントを認識または検出し、そして停止手順を開始することを防止する。ロジックソルバ内の機能ブロックは、外部により実行されてフィールドデバイスの状態が試験状態に変更されていることを認識し、フィールドデバイスがそのように変更されたことによりそのデバイスの出力を自動的にバイパスまたはオーバライドする機構を有していない。
【０００８】
ゆえに、エンジニアがフィールドデバイス試験を開始するまえにロジックソルバにバイパスまたはオーバライドを手動により設定することを忘れた場合、そのロジックソルバは試験中のフィールドデバイスからの信号に基づいてプラント内に問題を検出し、必要のない停止手順を実行させてしまうこともある。この停止手順は、プロセスプラント内の材料の損失および時間の損失という点においてコストがかかる場合もあれば、そのデバイス試験を行っている作業員にとり、そのデバイス試験がプラントのフロアから手動で行われていた場合にはとくに、物騒または危険な場合もある。さらに、手動によりバイパスが安全ロジックソルバ内に設定された場合、エンジニアは、メンテナンス手順が完了したあとこのオーバライドまたはバイパスを解除することを忘れる場合があり、その結果、安全システムの性能を劣化させ、また、フィールドデバイスの測定結果または状態に基づいて停止手順が有効であるのにもかかわらず無視され停止手順が開始されない結果になるおそれもある。
【０００９】
さらに、典型的なフィールドデバイスは、権限のないソースからのフィールドデバイスのコンフィギュレーション変更を防止するように設計されている書き込み防止機構を内蔵している。具体的にいえば、フィールドデバイスは書き込み防止変数を内蔵しており、この書き込み防止変数は、それが設定されると、フィールドデバイスコンフィギュレーション設定のいかなる変更も禁止し、それが設定されていないと、上記の変更を許可する。さらに、ほとんどのフィールドデバイスは、この書き込み防止変数の変更状態を認識するためにパワーサイクルを受けなければならない。その結果、フィールドデバイスが試験状態（たとえば、固定電流モードまたは校正モード）に入れるようにフィールドデバイスの設定を変更するためには、書き込み変数は保護されていない状態に設定されなければならず、かつフィールドデバイスは、パワーアップ手順によって、電源をいったん切って入れなおした状態にされる必要がある。フィールドデバイスに対する無許可の変更を許可しない間、この防止機能は、一般的に、フィールドデバイスに対して手動試験のみを行うことを可能にしている。その理由は、書き込み防止変数を再設定しフィールドデバイス試験を可能にする状態にフィールドデバイスを置くためには、そのフィールドデバイスの電源を手動でオン・オフする必要があるからである。フィールドデバイス書き込み防止機構を手動で変更または切換えオフにする必要があるので、デバイス試験手順またはデバイス校正手順を安全ロジックソルバに自動的に開始させることは現時点では困難なことまたはほとんど不可能なことである。
【課題を解決するための手段】
【００１０】
プロセス制御または安全計装システムは、そのプロセス制御または安全計装システム内のロジックをフィールドデバイスの動作状態と調整するために、これらの動作状態がプロセス制御または安全計装システムの外部に生じる場合であっても機能ブロックロジックを用いる。具体的にいえば、フィールドデバイスに関連する入力機能ブロックまたは採決機能ブロックの内のロジックは、その関連するフィールドデバイスが試験モードまたは校正モードに置かれるときを監視・判定し、検出されたフィールドデバイス状態に応答してバイパス機能またはオーバライド機能を自動的に実行しうる。同様に、この機能ブロックロジックは、フィールドデバイスが正常の動作モードに戻されたときにバイパス機能オーバライド機能を自動的に除去しうる。このバイパスおよびオーバライドが自動的に開始されることにより、たとえばフィールドデバイスに取り付けられたハンドヘルドデバイスによりデバイスの試験が手動で開始されるとプロセスプラント内の安全システムにより停止手順が開始されることを容易に防止することができる。同様に、バイパスおよびオーバライドが自動的に除去されることにより、デバイスの試験を可能にするために設定されたバイパスまたはオーバライドをユーザが手動で除去することを忘れるためにプロセスプラント内の安全システムが正常に動作しなくなることを容易に防止することができる。
【００１１】
さらに、ロジックシステムおよびフィールドデバイスは、フィールドデバイスが書き込み禁止されている場合であってもそのフィールドデバイスを試験モードまたは校正モードに置くために、安全ロジックシステムにより実行されうる命令のサブセットを用いてプログラムされうる。この場合、ＩＥＣ６１５１１により要求される書き込みチェック機構を組み込むだけでなく、フィールドデバイスを固定電流モードまたは校正モードに入らせるとともに、フィールドデバイスが書き込み禁止に依然として設定されている場合に送信・実行されるさらなる保護命令を、ロジックシステムおよびフィールドデバイスは有しうる。これらの新しい命令は、安全ロジックシステムなどの如き公知のかつ信頼の於けるソースにより実行されるので、フィールドデバイスの書き込み禁止機構により禁止される必要がない。しかしながら、これらの新しい命令により、パワーアップ手順または他の手動手順を必要とせずに、ロジックシステムは、フィールドデバイスを試験モードまたは校正モードに置くために、そのフィールドデバイスの設定を変更できる。その結果、安全ロジックシステムは、フィールドデバイスに対して、そのフィールドデバイスを他の不必要なコンフィギュレーション変更に晒すことなく安全な方法で、必要なメンテナンス機能を調整することができる。
【００１２】
同様に、安全システムおよびフィールドデバイスは、フィールドデバイスへの書き込みが禁止である場合であっても、そのフィールドデバイスに対して取られるアクションの完全なログを提供するために、フィールドデバイスとロジックソルバとの間で送信された命令および応答の記録を格納することができる。所望であれば、上記のさらなる命令のサブセットは、たとえばＨａｒｔ命令の製造業者指定カテゴリに設けられてもよく、フィールドデバイスがサポートする既存の命令と並行して動作してもよい。このような製造業者通信機能を用いて、ロジックソルバはフィールドデバイスの状態を継続的に監視することができる。
【発明を実施するための最良の形態】
【００１３】
図１を参照すると、プロセスプラント10は、（破線により示されている）安全システム14と統合されているプロセス制御システム12を備えている。安全システム14は、一般的に、プロセスプラント10の適切な安全運転を最大限まで実現させるめにプロセス制御システム12により提供される制御を監視・オーバライドする安全計装システム（ＳＩＳ）として動作する。またプロセスプラント10は、プロセス制御オペレータ、保守作業員、安全エンジニアなどの如きプラント作業員によりアクセス可能な、一または複数のホストワークステーション、コンピュータ、またはユーザインターフェイス16（いかなるタイプのパーソナルコンピュータ、ワークステーション、ＰＤＡなどでもよい）を備えている。図１に例示されている一例では、二つのユーザインターフェイス16が、共通の通信回線または通信バス22を介して、二つの別のプロセス制御／安全制御ノード18、20と、一つのコンフィギュレーションデータベース21とに接続されているものとして例示されている。通信ネットワーク22は、任意の所望のバスをベースにしたハードウェアまたはバス以外のものをベースにしたハードウェアを用いて、任意の所望のハードワイヤード通信構造または無線通信構造を用いて、また任意の所望のまたは適切なイーサネットの如き通信プロトコルを用いて実現されうる。
【００１４】
一般的にいえば、プロセスプラント10のノード18、20の各々はプロセス制御システムデバイスおよび安全システムデバイスの両方を備えており、これらのシステムデバイスは、さまざまなデバイスが取り付けられているバックプレーンに設けられうるバス構造を介して相互に接続されている。ノード18は、（一対の冗長コントローラでありうる）プロセスコントローラ24と、一または複数のプロセス制御システム入力／出力（Ｉ／Ｏ）デバイス28、30、32とを備えているものとして図１に例示されており、その一方、ノード20は、（一対の冗長コントローラでありうる）プロセスコントローラ26と、一または複数のプロセス制御システムＩ／Ｏデバイス34、36とを備えているものとして例示されている。プロセス制御システムＩ／Ｏデバイス28、30、32、34、36の各々は、フィールドデバイス40、42として図１に例示されている一組のプロセス制御関連フィールドデバイスに通信可能に接続されている。プロセスコントローラ24、26、Ｉ／Ｏデバイス28〜36、およびコントローラフィールドデバイス40、42により、概して、図１のプロセス制御システム12が形成されている。
【００１５】
同様に、ノード18は一または複数の安全システムロジックソルバ50、52を備えており、ノード20は安全システムロジックソルバ54、56を備えている。ロジックソルバ50〜56の各々は、プロセッサ57を備えているＩ／Ｏデバイスであり、このＩ／Ｏデバイスは、メモリ79に格納された安全ロジックモジュール58を実行し、制御信号を送信するためにおよび／または信号を受信するために、安全システムフィールドデバイス60、62に通信可能に接続されている。さらに、ノード18、20の各々は、メッセージ伝送デバイス（ＭＰＤ）70、72を備えうる。このメッセージ伝送デバイスは、リング型バス接続74を介して相互に通信可能に接続されている（図１にはその一部のみが例示されている）。安全ロジックソルバ50〜56、安全システムフィールドデバイス60、62、ＭＰＤ70、72、およびバス74により、概して、図１の安全システム14が形成されている。
【００１６】
ほんの一例ではあるが、プロセスコントローラ24、26は、エマソンプロセスマネージメント社により販売されているＤｅｌｔａＶ（登録商標）コントローラまたはその他の所望のタイプのプロセスコントローラでありうる。このプロセスコントローラ24、26は、（コントローラ24に対する）Ｉ／Ｏデバイス28、30、32、（コントローラ26に対する）Ｉ／Ｏデバイス34、36、およびフィールドデバイス40、42を用いて、（制御モジュールと呼ばれるモジュールを利用して、）プロセス制御機能を提供するようにプログラムされている。具体的にいえば、コントローラ24、26の各々は、プロセス10または該プロセス10の一部を任意の所望の方法で制御するために、そのコントローラの内部に格納されているかまたはそのコントローラと関連付けされている一または複数のプロセス制御ルーチンを実行または監視し、フィールドデバイス40、42およびワークステーション14と通信する。フィールドデバイス40、42は、センサ、バルブ、トランスミッタ、ポジショナなどの如きいかなる所望のタイプのフィールドデバイスでもよく、いかなる所望のオープン通信プロトコルもしくはプログラミングプロトコル、所有権を主張できる通信プロトコルもしくはプログラミングプロトコル、または他の通信プロトコルもしくはプログラミングプロトコルに準拠してもよい。このような通信プロトコルまたはプログラミングプロトコルには、たとえば、（フィールドデバイス40に対して例示されているような）ＨＡＲＴプロトコルもしくは４〜２０ｍａプロトコル、（フィールドデバイス42に対して例示されているような）ＦＯＵＮＤＡＴＩＯＮ（登録商標）Ｆｉｅｌｄｂｕｓプロトコルの如き任意のｆｉｅｌｄｂｕｓプロトコル、またはＣＡＮプロトコル、Ｐｒｏｆｉｂｕｓプロトコル、ＡＳ−Ｉｎｔｅｒｆａｃｅプロトコルなどが含まれる。同様に、Ｉ／Ｏデバイス28〜36は、任意の適切な通信プロトコルを用いる任意の公知のプロセス制御Ｉ／Ｏデバイスでありうる。
【００１７】
図１の安全ロジックソルバ50〜56はいかなる所望のタイプの安全システム制御デバイスであってもよく、プロセッサ57と、フィールドデバイス60、62を用いて安全システム14に関連する制御機能を提供するためにプロセッサ57により実行されるように構成された安全ロジックモジュール58を格納するメモリとを備えている。もちろん、安全フィールドデバイス60、62は、上述の通信プロトコルの如きいかなる公知のまたは所望の通信プロトコルに準拠するまたは用いるいかなる所望のタイプのフィールドデバイスでもよい。具体的にいえば、フィールドデバイス60、62は、安全に関連する個別かつ専用の制御システムにより慣習的に制御されるタイプの、安全に関連するフィールドデバイスであってもよい。図１に例示されているプロセスプラント10では、安全フィールドデバイス60は、ＨＡＲＴプロトコルまたは４〜２０ｍａプロトコルの如き専用のまたはポイント・ツー・ポイント形式の通信プロトコルに準拠するものとして例示されており、その一方、安全フィールドデバイス62は、Ｆｉｅｌｄｂｕｓプロトコルの如きバス通信プロトコルに準拠しているものとして例示されている。安全フィールドデバイス60は、遮断バルブ、遮断スイッチなどの機能の如きいかなる所望の機能を実行してもよい。
【００１８】
プロセス制御Ｉ／Ｏカード28、30、32、34、36、安全ロジックソルバ50、52、54、56、およびＭＰＤ70、72にコントローラ24、26を接続するために、（コントローラ24、26、Ｉ／Ｏデバイス28〜36、安全ロジックソルバ50〜56、およびＭＰＤ70、72を通る破線により示されている）共通バックプレーン86がノード18、20の各々において用いられている。またコントローラ24、26は、Ｉ／Ｏデバイス28〜36、ロジックソルバ52〜56、およびＭＰＤ70、72の各々がワークステーション16のうちのいずれかとバス22を介して通信することを可能にするために、バス22に通信可能に接続され、バス22に対する調停器として動作しうる。
【００１９】
いうまでもなく、ワークステーション16の各々は、プロセッサ77と、該プロセッサ78により実行されるように構成された一または複数のコンフィギュレーションアプリケーションおよび／または閲覧アプリケーションを格納するメモリ78とを備えている。図１の拡大図に例示されているように、コンフィギュレーションアプリケーション80および診断アプリケーション82は、ワークステーション16のうちの一方に格納されており、診断アプリケーション84は、ワークステーション16のうちの他方に格納されている。しかしながら、所望ならば、これらのまたは他のアプリケーションは、ワークステーション16のうちの異なるワークステーションにより、またはプロセスプラント10に関連する他のコンピュータにより格納・実行されてもよい。一般的にいえば、コンフィギュレーションアプリケーション80は、コンフィギュレーション情報を安全エンジニアに提供し、この安全エンジニアがプロセスプラント10の一部または全部のエレメントを設定し、コンフィギュレーションデータベース21にその設定情報を格納することを可能にする。コンフィギュレーションアプリケーション80により実行されるコンフィギュレーヨンアクティビティの一部として、安全エンジニアは、プロセスコントローラ24、26に対して制御ルーチンまたは制御モジュールを作成し、安全ロジックソルバ50〜56のうちのいずれかまたはすべてに対して安全ロジックモジュール58を作成し（安全ロジックソルバ50〜56またはコントローラ24、26の内で利用される入力機能ブロック、採決機能ブロック、および他の機能ブロックの作成およびプログラミングを含む）、これらのさまざまな制御モジュールおよび安全モジュールを、プロセスコントローラ24、26および安全ロジックソルバ50〜56のうちの適切な装置にバス22およびコントローラ24、26を介してダウンロードしうる。同様に、他のプログラムおよびロジックを作成し、Ｉ／Ｏデバイス28〜36、フィールドデバイス40、42、60、62のうちのいずれかなどにダウンロードするために、コンフィギュレーションアプリケーションを用いうる。
【００２０】
それに対して、閲覧アプリケーション82は、プロセス制御オペレータ、安全オペレータなどの如きユーザに一または複数の表示画面を提供するために利用されうる。この表示画面は、所望ならば、別々のビューまたは同一のビュー内に、プロセス制御システム12および安全システム14の状態についての情報を有してもよい。たとえば、閲覧アプリケーション82は、アラームの表示情報を受けつけてオペレータに対して表示するアラーム表示アプリケーションでありうる。所望ならば、そのようなアラーム閲覧アプリケーションは、表題が「アラーム優先順位調整機能を有するプロセス制御システム」である米国特許番号第5,768,119号、および表題が「プロセス制御ネットワークにおける統合型アラーム表示画面」である米国特許出願番号第09/707,580号において開示されている形態を有しうる。その両方は、本特許の譲受人に譲渡されたものであり、本明細書において参照することによりここで明示的に援用される。しかしながら、いうまでもなく、上記の特許のアラーム表示画面またはアラームバナーは、プロセス制御システム12および安全システム14の両方からのアラームを受信し、統合型アラーム表示画面に表示しうる。その理由は、そのアラーム表示アプリケーションを実行しているオペレータワークステーション16に両方のシステム12、14からのアラームが送信され、異なるデバイスからのアラームであるということが認識されうるからである。同様に、オペレータは、アラームバナーに表示される安全アラームに対してプロセス制御アラームと同一の方法で対処しうる。たとえば、オペレータまたはユーザは、アラーム表示画面を利用して、安全アラームに対する受信了承応答、安全アラームの停止などを行いうる。そうすることにより、バス22およびバックプレーン76上の通信を用いて、メッセージが、安全システム14内の適切なプロセスコントローラ24、26に送信され、その結果、その安全アラームに対する適切なアクションが取られる。同様に、他の診断アプリケーションは、プロセス制御システム12および安全システム14の両方からの情報またはデータを表示しうる。というのは、これらのシステムは、同一のタイプまたは種類のパラメータ、セキュリティ、および参照方法を利用しており、その結果、システム12、14のうちの一つからのいかなるデータであってもプロセス制御システムに設けられている従来型の表示画面またはビューに統合させることができるからである。
【００２１】
診断アプリケーション84はプラント10のプロセス制御システムおよび安全システムの内の診断プログラムまたはメンテナンスプログラムを実行するために用いられうる。そのような診断アプリケーションは、プロセス試験、バルブ試験、スタートアップ手順などの実行の如きいかなる所望のタイプの診断手順またはメンテナンス手順でも実行しうるが、診断手順により影響を受けた一または複数のデバイスからの入力に基づいて安全システムが動作することを防止するために、プロセスプラント10内で用いられているＡＩ機能ブロック、ＤＩ機能ブロック、または採決機能ブロックに対してオーバライドを提供してもしなくてもよい。同様に、ハンドヘルド式の設定デバイスまたは試験デバイス85をそれらのフィールドデバイス40、42、60、62のいずれかにに接続して、プロセスプラント10内のＡＩ機能ブロック、ＤＩ機能ブロック、または採決機能ブロックのうちの一または複数に対してバイパス信号またはオーバライド信号を送信してまたは送信せずにこれらのフィールドデバイス上でコンフィギュレーション手順、試験手順、校正手順を実行してもよい。
【００２２】
いずれの場合であっても、アプリケーション80、82、84およびその他のアプリケーションは、プロセスコントローラ24、26の各々および安全ロジックソルバ50〜56の各々に対して別々のコンフィギュレーション信号および他の信号を送信し、それらからデータを受信しうる。これらの信号には、プロセスフィールドデバイス40、42の動作パラメータの制御に関するプロセスレベルメッセージを含みうるし、安全関連フィールドデバイス60、62の動作パラメータの制御に関する安全レベルメッセージを含みうる。プロセスレベルメッセージおよび安全レベルメッセージの両方を認識するように安全ロジックソルバ50〜56をプログラミングしうるが、その安全ロジックソルバ50〜56は、二つのタイプのメッセージを区別することが可能でも、プロセスレベルのコンフィギュレーション信号によりプログラミングまたは作動されることは可能でない。一例では、プロセス制御システムデバイスに対して送信されるプログラミングメッセージには、安全システムデバイスにより認識され、それらの信号を用いて安全システムデバイスをプログラムすることを禁止する特定のフィールドまたはアドレスが含まれうる。
【００２３】
所望の場合には、安全ロジックソルバ50〜56は、プロセス制御Ｉ／Ｏカード28〜36に用いられるハードウェアデザインおよびソフトウェアデザインと比較して同一のまたは異なるハードウェアデザインまたはソフトウェアデザインを利用してもよい。プロセス制御システム12内のデバイスと安全システム14内のデバイスとで異なる技術を利用することにより、共通の原因によるハードウェア故障またはソフトウェア故障を最小限まで減らしうるまたは排除しうる。さらに、ロジックソルバ50〜56を含む安全システムデバイスは、それにより実行される安全に関する機能に対して無許可の変更が行われる可能性を減少させるまたは排除するためにいかなる所望の分離技術およびセキュリティ技術を用いてもよい。たとえば、安全ロジックソルバ50〜56およびコンフィギュレーションアプリケーション80は、特定の権限レベルを有する人または特定のワークステーションに配置された人がロジックソルバ50〜56内の安全モジュールに変更を加えることを要求しうる。この権限レベルまたは配置はコントローラ24、26およびＩ／Ｏデバイス28〜36により実行されるプロセス制御機能に対して変更を加えるのに必要な権限レベルもしくはアクセスレベルまたは配置と異なっている。この場合、安全ソフトウェア内で指定されたまたは安全システム14に対して変更を加える権限を与えられたワークステーションに配置されている人たちのみが安全に関連する機能を変更する権限を有しており、そうすることにより、安全システム14の動作を悪化させる可能性を最小限にする。いうまでもなく、そのようなセクリティを実現するために、安全ロジックソルバ50〜56内のプロセッサは、送られてくるメッセージが正しい形式に従いかつセキュリティに問題がないことを検査し、安全ロジックソルバ50〜56内で実行される安全レベル管理モジュール58に対してなされる変更に対するゲートキーパとして動作する。
【００２４】
ノード18、20の各々でバックプレーン76を用いることにより、安全ロジックソルバ50、52および安全ロジックソルバ54、56は、これらのデバイスの各々により実行される安全機能を調整するために、データを相互に通信するために、または他の統合機能を実行するために、ローカルに相互に通信することができる。それに対して、ＭＰＤ70、72は、プロセスプラント10のさまざまなノードにおいて調整された安全動作を実現するために、プラント10の非常にさまざまな場所に配置されている安全システム14の一部が依然として相互に通信できるように動作する。具体的にいえば、バス74によって結合されるＭＰＤ70、72により、プロセスプラント10のさまざまなノード18、20に関連付けされている安全ロジックソルバは、プロセス10内において指定優先順位に従いカスケード式に安全に関連する機能を実行可能にするために、カスケード式に相互に通信することができる。あるいは、プラント10の別々の物理的ロケーションまたはノード内の個々の安全フィールドデバイスに専用回線を取り付ける必要もなく、プロセスプラント10内の別々の場所における二つ以上の安全に関連する機能を連結または相互接続しうる。換言すれば、ＭＰＤ70、72およびバス74の利用により、安全エンジニアは、安全システム14をデザイン・設定することができる。この安全システム14は、実質的にプロセスプラント10全体に亘り分散されている安全システムであって、さまざまな安全に関連するハードウェアを必要に応じて相互に通信可能にするために、相互に通信可能に接続されるさまざまなコンポーネントを備える、また、以上のような特徴により、安全ロジックソルバを追加することが必要な場合や、プロセスプラント10に新規のプロセス制御ノードが追加される場合に、さらなる安全ロジックソルバを安全システム14に追加することができるので、安全システム14にスケーラビリティを付与することができるようになる。
【００２５】
所望の場合には、ロジックソルバ50〜56は、機能ブロックプログラミングパラダイムを用いて、安全デバイス60、62に対して制御アクティビティを実行するようにプログラムされうる。具体的にいえば、ロジックソルバ54の（メモリ79に格納されている）安全制御モジュール58aのうちの一つモジュールの拡大図に例示されているように、安全制御モジュールは、ロジックソルバ54に対して作成・ダウンロードされ、プロセス10の動作中に実行されうる一組の通信可能に相互接続されている機能ブロックを備えうる。図１に示されているように、制御モジュール58aは、他の機能ブロック90と通信可能に相互に接続されている入力部を有する二つの採決機能ブロック92、94を備えている。これらの他の機能ブロック90は、たとえば、採決機能ブロック92に信号を提供するように設計されているアナログ入力（ＡＩ）機能ブロック、デジタル入力（ＤＩ）機能ブロック、または他の機能ブロックでありうる。採決機能ブロック92、94は、一または複数の他の機能ブロック91に接続されている少なくとも一つの出力部を備えている。これらの他の機能ブロック91は、アナログ出力部（ＡＯ）、デジタル出力部（ＤＯ）、原因・結果ロジックを実行する原因・結果機能ブロック、安全デバイス60、62の動作を制御するために採決機能ブロック92、94から出力信号を受信しうる制御・診断機能ブロックなどでありうる。もちろん、安全制御モジュール58aは、任意の所望の機能を実行するための任意の所望のまたは有用な方法で構成された一または複数の採決機能ブロックとともに任意のタイプの機能ブロックを備えるために、いかなる所望の方法でプログラミングされてもよい。これに加えてまたはこれに代えて、ＡＩ機能ブロックおよびＤＩ機能ブロックの如き他の入力機能ブロックを直接安全システムロジックに接続させることにより、これらのＡＩブロックおよびＤＩブロックにより検出される一または複数のイベントに対して、その一または複数のイベントの発生とともに一または複数の遮断デバイスを作動させることにより応答する安全ロジック制御モジュールを実現してもよい。
【００２６】
以上のように、図１の安全制御モジュール58aの拡大図は、５つのデジタル入力部を有するデジタル採決機能ブロック92と、３つのアナログ入力部を有するアナログ採決機能ブロック94とを備えているが、いうまでもなく、異なるロジックソルバ50〜56の各々に対して任意の数の異なる安全ロジックモジュール58が作成されてもその内で用いられてもよく、また、任意の所望の方法で他の機能ブロックに通信可能に接続される任意の所望の数の入力部を有する任意の数のＡＩ機能ブロック、ＤＩ機能ブロック，採決機能ブロック、または他の入力機能ブロックをこれらのモジュールの各々が備えてもよい。同様に、いかなるｆｉｅｌｄｂｕｓタイプ機能ブロックでありうる採決機能ブロック92、94またはそれに接続されるその他の機能ブロックは、たとえばＦｉｅｌｄｂｕｓネットワーク内で用いられる場合、フィールドデバイス62の如き他のデバイス内に設けられ実行されてもよい。採決機能ブロック92、94およびその他の入力機能ブロックは、安全システムの外部で用いられる場合、プロセスコントローラ24、26、Ｉ／Ｏデバイス28〜36、フィールドデバイス42などの内で実現されてもよい。一般的に理解されるように、採決機能ブロック92、94は、通常、安全システム14内の冗長センサまたは冗長トランスミッタにより供与される冗長入力を受信し、これらの入力に対して採決スキームを適用し、これらの入力すべてに基づいて、安全システムトリップ状態が存在するか否かを決定する。さらに、これらの採決機能ブロックは安全システムロジック内でバイパスまたはオーバライドを開始するようにプログラミングされうる。
【００２７】
図２は、バイパス機能およびオーバライド機能を備えた、図１の採決機能ブロック94の一例の構成要素を示しているブロック線図である。採決機能ブロック92は、たとえばアナログ入力（ＡＩ）機能ブロック90を通じて伝送されるアナログ入力信号を処理するので、アナログ型採決機能ブロックである。一般的に、採決機能ブロック94は、ＩＮ１、ＩＮ２、およびＩＮ３の符号が付された３つの入力部を備えており、これら３つの入力部は、図１のフィールドデバイス60、62の如き、プロセスプラント内の冗長センサまたは他の冗長エレメントから、アナログ入力信号を受信するように構成されている。入力部ＩＮ１、ＩＮ２、およびＩＮ３の各々は、トリップリミットチェックブロック95a、95b、または95cおよびプリリミットチェックブロック96a、96b、または96cに対して設けられている。トリップリミットチェックブロック95は伝送されてくる入力を事前に設定されているリミット値と比較し、その入力信号がトリップ状態に関連付けされている数値（高値、低値、または所定の範囲内の値）に到達しているか否かを決定する。同様に、プリリミットチェックブロック96は、伝送されてくる入力を事前に設定されているプリリミット値と比較し、トリップ状態はまだ存在していないがそれに近い状態が存在していることを表すアラームまたはウォーニングに関連付けされている数値（高値、低値、または所定の範囲内の値）にその入力信号が到達しているか否かを決定する。要するに、プリリミットチェックブロック96により、危険な状態または望ましくない状態がまだ存在していないがそれに近い状態が存在していることを表すアラームまたはイベントを作成することができる。
【００２８】
トリップリミットチェックブロック95およびプリリミットチェックブロック96の出力（たとえば、ブロック95、96においてリミット値またはプリリミット値が到達された場合に高値に設定されるデジタル信号でありうる）は、それぞれ、一組の入力バイパス禁止ブロック98a、98b、98cのうちの一つに伝送される。入力バイパス禁止ブロック98は、入力部ＩＮ１、ＩＮ２、およびＩＮ３のうちの一または複数に対して入力を禁止する、すなわち、トリップ状態が存在するか否かまたはプリトリップアラーム状態が存在するか否かを決定するために採決機能ブロック94において用いられないように、これらの個々の入力部に対して入力を禁止する。入力バイパス禁止ブロック98の各々は、関連トリップリミット状態の出力をトリップ採決ロジックブロック100aに供与し、関連プリトリップリミット状態の出力をプリトリップ採決ロジックブロック100bに供与する。採決ロジックブロック100a、100bは、任意の所望の動作で採決ロジックを実行し、供与された入力値に基づいてトリップ状態またはプリトリップ状態が存在するか否かを決定する。
【００２９】
トリップ採決ロジックブロック100aおよびプリトリップ採決ロジックブロック100bはそれぞれ、（上記の状態が存在すると決定された場合、）その対応するトリップ信号およびプリトリップ信号を禁止ブロックまたはオーバライドブロック102に供与する。この禁止ブロックまたはオーバライドブロック102は、採決機能ブロック94の動作を禁止することが望ましい、たとえばスタートアップもしくは他の動作中、実行中、またはメンテナンス中に、採決機能ブロック94にトリップ信号出力またはプリトリップアラーム信号出力の提供を禁止しうる。禁止ブロック102は、トリップ採決ロジックブロック100aおよびスタートアップ禁止ブロックロジックの動作の結果から決定されるトリップ出力信号（Ｏｕｔと符号が付されている）を発生し、さらに、プリトリップ採決ロジックブロック100bおよびスタートアップ禁止ブロックロジックの動作の結果から決定されるＰｒｅ＿ｏｕｔ信号を発生する。図１の安全システム14内で停止処理動作を実行するためにこのＯｕｔ信号が用いられうるし、プロセスプラント10内にトリップ状態に近い状態が存在する事実を示すアラームを提供するためにＰｒｅ＿ｏｕｔ信号を用いうる。もちろん、所望の場合には、他の目的でＯｕｔ信号およびＰｒｅ＿ｏｕｔ信号が用いられてもよい。
【００３０】
採決機能ブロック94は一組のパラメータを有しうる。このパラメータの一部は、図２において、そのパラメータが用いられるブロックの上側または下側に示され、採決機能ブロック94の動作を実行または規定するために採決機能ブロック94のコンフィギュレーション中に設定される。具体的にいえば、トリップリミット（Ｔｒｉｐ＿Ｌｉｍ）パラメータおよびプリトリップリミット（Ｐｒｅ＿Ｔｒｉｐ＿Ｌｉｍ）パラメータを用いて、トリップリミットブロック95で用いられるトリップリミットを設定または確立し、プリリミットチェックブロック96で用いられるプリトリップリミットを設定する。トリップリミットパラメータおよびプリトリップリミットパラメータは、異なるブロック95、96の各々に対して同一であってもよく、それらのブロック95、96の各々に対して個別に設定されてもよい。同様に、トリップヒステリシス（Ｔｒｉｐ＿Ｈｙｓ）パラメータおよびプリトリップヒステリシス（Ｐｒｅ＿Ｔｒｉｐ＿Ｈｙｓ）パラメータを用いて、連続するトリップの間にブロック95、96が受けるべきヒステリシスを設定する。すなわち、ブロック95、96のうちの一つが、入力信号のうちの一つがリミット値を上回っている（または、下回っている）ことを検出すると、（ブロック95に対する）トリップヒステリシスパラメータのヒステリシス値および（ブロック96に対する）プリトリップヒステリシスパラメータのヒステリシス値により、トリップ信号（または、プリトリップ信号）がオフになるまでに、または第二のトリップ信号（または、プリトリップ信号）をそのブロックにより設定できるまでに、その入力信号がどの程度下方に（または上方に）移動しなければならないかが決定される。
【００３１】
また、採決機能ブロック94は、Ｔｒｉｐ＿Ｔｙｐｅと呼ばれる内部トリップ型コンフィギュレーションパラメータを有しており、このパラメータは採決機能ブロック94の入力および／または出力に関連する正常状態値およびトリップ状態値を定義している。たとえば、採決機能ブロック94が、（デフォルト値でありうる）「トリップ動作不可」に設定されている場合、出力の正常動作値は１であり、そのトリップ状態値は零である。それに対して、採決機能ブロック94が、「トリップ動作可」に設定されている場合、正常動作値は零であり、トリップ状態値は１である。これらは、最初に、入力部ＩＮ１、ＩＮ２、およびＩＮ３にそれぞれ対応しているトリップリミットチェックブロック95a、95b、95cおよびプリリミットチェックブロック96a、96b、96cにおいて判定される。トリップリミットに対する比較が、より大きい（ハイリミット）比較またはより小さい（ローリミット）比較のいずれの比較かを判断するためには検出タイプ（Ｄｅｔｅｃｔ＿Ｔｙｐｅ）パラメータが用いられる。入力信号が所定のリミットに達したか否かを決定するために、この比較が適切なトリップリミットチェックブロック95およびプリリミットチェックブロック96において実行される。
【００３２】
いうまでもなく、トリップリミットチェックブロック95は、それぞれ、入力ＩＮ１、ＩＮ２、および／またはＩＮ３のうちの対応する一つによりトリップが示されているか否かを表す。上述のように、採決ロジックブロック100により適用される採決ロジックにおいて入力ＩＮ１、ＩＮ２、ＩＮ３が用いられるのを防止するために、個々の入力ＩＮ１、ＩＮ２、ＩＮ３に対して入力バイパス禁止ブロック98によりメンテナンスオーバライドまたはメンテナンスバイパスを適用できる。このバイパス機能は、たとえば、採決機能ブロック94に対して入力信号を提供するトランスミッタまたは他のフィールドデバイスに対してメンテナンスが行われているような場合に望ましい。複数の入力に基づいてトリップ出力を決定する採決ロジックを用いる場合、メンテナンスバイパスが常に必要といことではない。というのは、トリップへの単一の誤採決（その入力を提供しているセンサに対するメンテナンスアクティビティに起因しうる誤採決）が必ずしもトリップを引き起こすわけではないからである。しかしながら、このバイパス機能は、メンテナンスアクティビティ中の誤ったトリップを防止するために望ましい機能であり、冗長センサから一つでもトリップ信号があればトリップを引き起こすワン・アウト・オブ・ツー採決ロジックスキームの如き特定の採決ロジックでは必要な機能である。
【００３３】
入力バイパス禁止ブロック98のうちの一つが入力をバイパスさせた場合、そのバイパスされた入力値がトリップリミットパラメータまたはプリトリップリミットパラメータにより規定されているリミット値を越えていたとしても、採決ロジックブロック100a、100bは、そのバイパスされた入力を用いてトリップ信号またはプリトリップアラーム信号を発生しない。バイパスを可能にするために、まず、入力のバイパスを許可するか否かを制御するバイパス許可（Ｂｙｐａｓｓ＿Ｐｅｒｍｉｔ）パラメータを有効にすることができる。一般的にいえば、Ｂｙｐａｓｓ＿Ｐｅｒｍｉｔパラメータを設定または有効にした場合入力のバイパスが許可され、Ｂｙｐａｓｓ＿Ｐｅｒｍｉｔパラメータを設定または有効にしなかった場合入力のバイパスが許可されない。バイパス禁止ブロック98のすべてに対して、単一Ｂｙｐａｓｓ＿Ｐｅｒｍｉｔパラメータが適用可能であるが、バイパス禁止ブロック98a、98b、98cの各々に対して別々のバイパス許可を設定してもよい。
【００３４】
Ｂｙｐａｓｓ＿Ｐｅｒｍｉｔパラメータが設定または有効にされた場合、ＢＹＰＡＳＳｘパラメータを用いてバイパス禁止ブロック98のうちの一または複数に入力ＩＮ１、ＩＮ２、ＩＮ３のうちの対応する一つの使用を禁止するように動作させうる。ＢＹＰＡＳＳｘパラメータのｘは入力ＩＮ１、ＩＮ２、ＩＮ３のうちのいずれの一つを無効にするかを表している。所望ならば、任意の指定時間に一を越える入力を禁止してもよく、一度に一つの入力のみを禁止することができるように採決機能ブロック94を構成してもよい。Ｂｙｐａｓｓ＿ＰｅｒｍｉｔパラメータおよびＢＹＰＡＳＳｘパラメータはいかなる所望の方法で設定または提供されてもよい。たとえば、オペレータスクリーンまたはメンテナンススクリーン上のオペレータ表示画面ボタン、物理的なキースイッチ、安全モジュールに対する別個の入力などにより、コンフィギュレーションアプリケーション、制御アプリケーション、表示アプリケーション、もしくは診断アプリケーションにより、その他の入力機能ブロック（以下でさらに詳細に記載される）により、またはその他の方法により設定または提供される。もちろん、採決機能ブロック94の特定の実行においてバイパス許可の利用が必要でない場合、採決機能ブロック94のコンフィギュレーションにおいてＢｙｐａｓｓ＿Ｐｅｒｍｉｔパラメータのデフォルト値が有効となるように設定される。
【００３５】
ブロック98のうちの一つに対するバイパスが自動的に取り消される経過時間を設定するためにバイパスタイムアウト（Ｂｙｐａｓｓ＿Ｔｉｍｅｏｕｔ）が用いられうる。この場合、入力バイパス禁止ブロック98の各々は、一組のタイマー110のうちの一つとして、Ｂｙｐａｓｓ＿Ｔｉｍｅｏｕｔパラメータ値が設定され、バイパスの開始からカウントダウンされうるバイパスタイマーを備えうる。この状況では、入力バイパス禁止ブロック98は、ＢＹＰＡＳＳｘがオフになるまで、またはバイパスタイマーが零に到達するまでそれに対応する入力の使用を禁止しうる。いうまでもなく、所定の経過時間のあとバイパスが解除されることを確実にするためにバイパスタイマーを用いうる。
【００３６】
所望の場合には、入力バイパス禁止ブロック98は、バイパスタイムアウトが差し迫っていることをユーザに気付かせるまたは通知するため、注意喚起アラームをオペレータ、安全エンジニア、テクニシャンなどの如きユーザに供与するように設定されてもよい。バイパスがバイパスタイムアウト時点で消滅または無効になるように設定されている場合、注意換気時間（ＲＥＭＩＮＤＥＲ＿ＴＩＭＥ）パラメータを零以外のなんらかの値に設定することにより、タイムアウトに先立ってユーザまたは他のオペレータに対して注意を促す情報を送信することができる。この場合、バイパスタイマーが零以外の値であるが注意換気時間よりも小さい値でありかつバイパスされたいずれかの入力がトリップを支持している場合、バイパスタイマーの終了が差し迫っておりそれが終了すると停止機能が作動するおそれがあることを示すアラームをユーザに対して発するために注意換気アラームをアクティブな状態にすることができる。バイパスされたどの入力もトリップを支持していない場合は、そのアラームをアクティブな状態にすることは依然として可能であるが、その必要がない。しかしながら、いうまでもなく、バイパスタイムアウトアラームがアクティブな状態であっても、トリップ採決ロジックブロック100aにトリップ信号を発生させるために十分な数の他の入力がトリップを支持しているとは限らないので、必ずしもトリップが差し迫っているわけではない。
【００３７】
一つの実施例では、最初のバイパスがタイムアウトになるときのみバイパスタイマーを再設定しうる。しかしながら、バイパスタイマーは、タイムアウトの発生が差し迫っているという通知のあとそのバイパスタイムを延長するためにオペレータ表示ボタン（他の適切な方法）を用いてバイパスタイマーをの時間を増加することができるように、バイパスタイマーが書き込み可能な計器であってもよい。このような機能により、ユーザは、たとえば、採決機能ブロック94にバイパス済みの入力を供与しているフィールドデバイスに対してメンテナンス手順を依然として実行している場合でもバイパスタイムを延長することができる。あるいは、バイパスタイムアウト通知は、たとえば、バイパスタイマーがタイムアウトしたときにバイパスを無効にされない場合の表示目的のためのみのものであってもよい。この場合、注意換気時間パラメータが零に設定されている場合であっても、バイパスタイマーがタイムアウトしたときに注意換気アラームがアクティブになるように設定しうる。しかしながら、注意喚起時間パラメータが零以外の値である場合（、そして入力がトリップを支持する場合）には、タイムアウトまえに注意換気が依然として行われる。注意喚起アラームおよびバイパスアラームは受信了承応答が行われるアラームであってもよく受信了承応答が行われないアラームであってもよい。
【００３８】
採決ロジックブロック100a、100bにより実行される採決ロジックは、「Ｍ個のうちのＮ個」のロジック関数である。この関数によると、全部でＮ個の入力のうちのＭ個の入力がトリップを支持しなければならない。たとえば、採決機能ブロック94を、３個のうちの２個（２ｏｏ３）ボータとして設定することができ、このことは、採決ロジックブロック100aの出力をトリップ状態値に設定するまえに３個の入力のうちの２個の入力がトリップリミット値を充足しなければならなく、プリトリップ採決ロジックブロック100bをプリトリップラーム値に設定するまえに３個の入力のうちの２個の入力がプリトリップリミット値を充足しなければならない。「Ｍ個のうちのＮ個」の関数のＮ値は、禁止されていない入力の数から求められ、Ｍの値は、トリップ数（ＮＵＭ＿ＴＯ＿ＴＲＩＰ）と呼ばれる該当ブロックの内部パラメータに基づいて求められる。このトリップ数のデフォルト値は、コンフィギュレーション時点において、Ｎに等しいまたはそれより小さい数値ならばいかなる所望の数値に設定されてもよい。共通の採決スキームには、たとえば、３個のうちの２個（２ｏｏ３）、２個のうちの１個（１ｏｏ２）、２個のうちの２個（２ｏｏ２）などが含まれる。しかしながら、他のいかなる採決ロジックを用いてもよい。ブロック94の他の機能に起因して、一個のうちの一個（１ｏｏ１）採決ロジック状況の如き単一のトランスミッタの場合の用途においても採決機能ブロック94を用いうる。
【００３９】
一般的にいえば、１ｏｏ２採決スキームまたは１ｏｏ１採決スキームの場合には、メンテナンスアクティビティ中に採決機能ブロック94の入力部においてトリップ状態を検出させてしまうような様態でトランスミッタのうちの一つでも動作不能状態にしてしまうと採決ロジックブロック100aにより必ずトリップ状態が引き起こされることになるため、メンテナンスバイパス機能が必要である。しかしながら、トリップに複数の採決を必要とするように設定されている採決機能ブロックの場合であっても、メンテナンス中の挙動が予測可能であるという利益をバイパス機能ブロックから受けることができる。
【００４０】
入力ＩＮ１、ＩＮ２、またはＩＮ３のうちの一つをバイパスすると、採決ロジックブロック100a、100bが二つのうちの方法のうちのいずれか一つに従って動作する。トリップ状態（または、プリトリップアラーム状態）を決定するために必要な入力数を一つだけ減らしてもよいしその入力数を同じ数のまま留めてもよい。たとえば、採決ロジックブロック100aが２ｏｏ３採決ロジックブロックとして設定され、入力ＩＮ１、ＩＮ２、またはＩＮ３のうちの一つがバイパスされた場合、その採決スキームは１ｏｏ２採決スキームになりうるし、その場合、トリップを決定するために必要な入力数が（利用可能な入力数とともに）一つだけ減らされることを意味している。選択された入力がバイパスされた場合、２ｏｏ３採決スキームは、任意選択的に、２ｏｏ２採決スキームに変更されてもよく、その場合、トリップを決定するために必要な入力数は（利用可能な入力数が一つだけ減ったのにもかかわらず）同じ数に留まることを意味する。ある入力がバイパスされた場合にトリップに必要な実際の数を一つだけ減らすべきか否かを指定するためにはバイパス選択肢パラメータが利用されうる。図３は、いくつかの異なる採決スキームに対するこの効果を例示している。図３の第一の列は、禁止された入力のない設定された通りの採決ロジックスキームを示しており、図３の第二の列は、単一の入力が禁止されかつ元のトリップ設定数Ｍを用いている場合の採決ロジックを例示しており、図３の第三の列は、単一の入力が禁止されかつトリップ数Ｍを一つだけ減らした場合の採決ロジックを例示している。もちろん、入力をさらに禁止すると、図３の第二の列および第三の列で示されている数値が上述の場合と同様に変化する。いずれの場合であっても、トリップ採決ロジックブロック100a（および、プリトリップ採決ロジックブロック100b）は、一般的に、トリップに必要な実際の入力数を一よりも小さい数に減らすことはなく、１ｏｏ１採決スキームのようにトリップ決定に利用可能な入力数が零に減った場合にはトリップを禁止する。
【００４１】
入力バイパス禁止ブロック98のデフォルト挙動は、一度に一つの入力のみをバイパス可能にするように構成されうる。この機能は、第二の入力のバイパスを防止する書き込みチェック機能により強化されうる。任意選択的に、複数の入力を同時にバイパスすることができる。所望ならば、ＢＹＰＡＳＳｘパラメータはさらなる書き込みチェックを有してもよく、このさらなる書き込みチェックは、ＢＹＰＡＳＳ＿ＰＥＲＭＩＴパラメータが真であること、またはＢＹＰＡＳＳｘパラメータが設定されうるまえに設定されることを必要とする。
【００４２】
トリップ採決ロジックブロック100aにおいてＮ個のうちのＭ個方式の採決スキームに従って採決が実行されたあと、ＯＵＴ信号がトリップ状態値に変更されるまえに、設定可能な時間の中、採決されたトリップ状態がアクティブになるように、トリップ・ディレイ・オン時間パラメータＴＲＩＰ＿ＤＥＬＡＹ＿ＯＮ（このデフォルト値は零秒に設定されてもよい）を適応しうる。同様に、トリップ状態に対する支持がクリアされたとき、すなわちトリップ採決ロジックブロック100aが送られてきた入力に基づいてトリップ状態が存在しないと決定したときにＯＵＴ信号が正常状態値に戻る時間を遅延させるためにトリップ・ディレイ・オフ時間パラメータＴＲＩＰ＿ＤＥＬＡＹ＿ＯＦＦ（このデフォルト値は零秒に設定されてもよい）を適用しうる。もちろん、トリップ・ディレイ・オン時間パラメータおよびトリップ・ディレイ・オフ時間パラメータは、異なる任意の所望の値を有しうるし、トリップ採決ロジックブロック100aにより生成されるＯｕｔ信号およびプリトリップ採決ロジックブロック100bにより生成されるＰｒｅ−ｏｕｔアラーム信号の一方または両方に対して適用されうる。所望ならば、トリップ・ディレイ・オン時間およびトリップ・ディレイ・オフ時間は、トリップ採決ロジックブロック100aおよびプリトリップ採決ロジックブロック100bに対して独立して設定されてもよく、また、タイマー110のうちの一つにより設定されてもよい。
【００４３】
以上のように、禁止ブロック102が、スタートアップオーバライド機能または他の動作オーバライド機能を供する。所望ならば、このオーバライド機能は、（以下でさらに詳細に記載されるように、）入力機能ブロックの如き他の機能ブロックにより実行されてもよい。たとえば、ある種のフィールドデバイス試験状況を含むスタートアップ動作状況または他の一時的動作状況において短時間Ｏｕｔ信号を正常状態にさせておくために採決機能ブロック94の出力をオーバライドすることが必要な場合がある。たとえば、プロセスまたはそれに関連する部分が停止状態であるため、フィールドデバイスがメンテナンス状態であるためなどの理由により採決機能ブロックにより継続的に生成されるトリップ要求を無効にし、それにより、採決機能ブロック94の入力部で提供されているプロセス値がトリップさせる必要があることを示す値ではなくなる時点までプロセススタートアップ手順を進行させるために、または一もしくは複数のフィールドデバイスに対して完全なメンテナンスを実行すること可能にするために、上記の禁止機能またはオーバライド機能を用いることができる。
【００４４】
一例では、禁止ブロック102は、スタートアップパラメータの設定により示されうるスタートアップ表示信号を受信すると、スタートアップ遅延（ＳＴＡＲＴＵＰ＿ＤＥＬＡＹ）パラメータにより定義される設定可能時間の間、禁止ブロック102が、Ｏｕｔ信号および所望ならばＰｒｅ＿ｏｕｔ信号を正常状態値にするようなデフォルト動作を含みうる。禁止ブロック102は、タイマー110のうちの一つとしてスタートアップカウントダウンタイマーを備えうる。このスタートアップカウントダウンタイマーは、スタートアップ遅延パラメータにより指定される数値に設定され、スタートアップパラメータを介してスタートアップ表示信号を受信するとカウントダウンを開始する。カウントダウンタイマーがタイムアウトになると、トリップ採決ロジックブロック100a及びプリトリップ採決ロジックブロック100bは通常のトリップ検出を再開する。禁止ブロック102は、スタートアップタイマーが時間を減少方向に刻んでいる間、そのスタートアップ時間に対して引き続いて行われるスタートアップパラメータの設定が影響を与えないように設定されうる。任意選択的に、トリップがタイムアウトに至らずに保留されたまま残ってしまうことを回避できるように、スタートアップパラメータを新規に設定する毎にスタートアップタイマーを再設定させるようにすることが可能である。
【００４５】
入力バイパス禁止ブロック98と同様に、禁止ブロック102は、たとえばバイパスパラメータを設定することによりオンにされうる注意喚起機能を有しうる。この注意喚起機能は、入力バイパス（メンテナンスバイパス）に対して動作するのと実質的に同様にスタートアップバイパスに対して動作する。したがって、スタートアップタイマーが零を越える値であるが、（コンフィギュレーション時点において設定しうる）設定可能な注意喚起時間（ＲＥＭＩＮＤＥＲ＿ＴＩＭＥ）パラメータ値未満であり、かつトリップに対して十分な支持が存在している場合には、注意喚起アラーム状態がアクティブになり、バイパスの終了が差し迫っており、入力Ｎ１，Ｎ２，およびＮ３の値に基づいて停止させることを示す。
【００４６】
これに加えてまたはこれに代えて、所望の場合には、スタートアップタイマーは入力が安定化ならば、すなわち設定可能な時間中トリップすることに対する十分な支持がない場合自動的に終了してもよい。この安定時間は、タイマー１１０のうちの一つでありえかつ採決ロジックブロック100aの出力が指定された時間中たとえば非トリップ値または正常値であって安定であるときを検出しうる安定タイマーにより設定されうる。この場合、スタートアップタイマーが減少方向に時間を刻んでいる間、安定タイマーは、トリップに対して充分な支持がないときにはいつでも増加方向に時間を刻みうるし、トリップの支持がトリップに対して必要な数に一致またはそれを越えるときにはいつでもリセットされうる。安定タイマーが設定可能な安定時間に到達した場合、スタートアップタイマーは零にリセットされ、正常なトリップ検出機能が再び作動し始める。もちろん、安定タイマーは、スタートアップ期間の最後においてリセットされない、しかし、スタートアップの最初において、またトリップに対して充分な支持があるときスタートアップ禁止期間中の任意の時間においてリセットされる。
【００４７】
あるいは、スタートアップバイパス時間は、固定期間または採決機能ブロック94に対する入力ＩＮ１、ＩＮ２，およびＩＮ３の値に基づいたものである必要がなく、それに代えて、イベントの発生の有無に基づくものであってもよい。この場合、スタートアップバイパスは、イベントの検出により発生しうる、スタートアップリセットパラメータが設定されている状態か、所定の状態か、または真の状態になると終了する。このようして、スタートアップバイパスが不確定量の時間長のイベントの有無と結び付けられうる。
【００４８】
所望の場合には、採決機能ブロック94の動作に対して影響を与えるために、入力ＩＮ１、ＩＮ２，および／またはＩＮ３のステータスを用いてもよい。このステータス動作は、ステータスオプションパラメータを用いて設定されてもよい。いうまでもなく、ＨＡＲＴシステムおよびＦｉｅｌｄｂｕｓシステムの如きシステムの多くにおいて、トランスミッタまたは他のフィールドデバイスは、プロセス変数またはプロセス値とともにステータス信号を送信する。ここで、ステータス信号はトランスミッタそれ自体のステータスを示す。このようなステータス信号は、トランスミッタが正常な状態もしくは良好な状態であるか、またはそのトランスミッタにより送信されているプロセス変数の数値を疑しいものにしうる劣悪な状態もしくは他の望ましくない状態の如き異常な状態であるかを示しうる。したがって、採決機能ブロック94のＩＮ１入力部、ＩＮ２入力部，およびＩＮ３入力部に対して提供される入力信号のステータスは、採決スキームまたはその採決スキームにおいて入力信号が用いられる様態に影響を与えるために判別・利用されうる。
【００４９】
所望の場合には、測定されているプロセス変数の有効な値を示す他のトランスミッタを利用することができる場合、一つの故障したトランスミッタ（すなわち、劣悪ステータスを有する一つの入力）がトリップを自動的に開始しないように、ブロック100により用いられる採決スキームを設定しうる。入力信号のステータスを考慮する場合、一つの選択肢は、入力のステータスに関係なく入力ＩＮ１、ＩＮ２、またはＩＮ３の値を常に用いることである。このようにすると、ハードウェア不良が必ずしも停止を引き起こすこともなく、修理のための時間が与えられる。他の選択肢は、入力の劣悪ステータスをその入力がバイパスされたものとして処理することである。こうすることにより、入力バイパス禁止ブロック98に関連して以上で記載したのと同様の方法で、その入力によるトリップの支持を防止することができる。第三の選択肢は、入力信号が劣悪ステータスである場合、その入力信号をトリップに対する支持であると自動的に考えることである。この選択肢を、デフォルト選択肢として設定してもよく、そうすることにより、１ｏｏＸ採決スキームに対して最高レベルの安全性を実現することができる。図４は、単一入力が劣悪ステータスを有している場合にいくつかの一般的な採決スキームがグレードを下げる様態を、以上で記載した選択肢に対して例示している。たとえば、図４の第一の行の第一の列に示されているように、２ｏｏ３採決スキームは、入力値が常に用いられる場合、２ｏｏ３採決スキーム（不良トランスミッタからの信号値が非トリップ値である場合）か、１ｏｏ２採決スキーム（不良トランスミッタからの信号値がトリップ値である場合）に事実上グレードを下げる。それに対して、図４の第一の行の第二の列に示されているように、２ｏｏ３採決スキームは、不良トランスミッタの値をまったく用いない場合、２ｏｏ２採決スキームにグレードを下げる（または、選択されたバイパス機能に応じて１ｏｏ２スキームにグレードを下げうる）。同様に、図４の第一の行の第三の列に示されているように、２ｏｏ３採決スキームは、不良トランスミッタの値がトリップに対する支持として処理された場合、その信号の実際の値がどのような値を示そうと、１ｏｏ２採決スキームに実質的にグレードを下げる。
【００５０】
もちろん、採決機能ブロック94に対する入力のステータスの利用法が、トリップ採決ロジックブロック100aおよびプリトリップ採決ロジックブロック100bの各々において同一であっても異なっていてもよい。所望ならば、バイパスされていない入力のすべてが劣悪ステータスを有しない限り、Ｏｕｔ信号およびＰｒｅ＿ｏｕｔ信号のステータスをＧｏｏｄとして設定し、バイパスされていない入力のすべてが劣悪ステータスを有する場合には、Ｏｕｔ信号およびＰｒｅ＿ｏｕｔ信号のステータスをＢａｄとして設定してもよい。所望ならば、バイパスされていないなんらかの入力が劣悪ステータスを有している場合、採決機能ブロック94により劣悪入力を示すアラーム状態パラメータが設定されてもよい。
【００５１】
以上の説明により理解できるように、採決機能ブロックはその内部にバイパス機能とオーバライド機能とを備えうる。しかしながら、従来、採決機能ブロックに対する入力のモードもしくはステータスにより、またはオペレータ表示デバイス16のうちの一つからの如きオペレータから送信されたこの機能を開始する手動信号により、この機能が開始されていた。しかしながら、試験モードまたは校正モードの如き、フィールドデバイスの正常動作に関連しない設定状態またはモードにフィールドデバイスが置かれたときを検出するように入力機能ブロックそれ自体を設定することが可能である。たとえば、ＨＡＲＴデバイスは、ロジックソルバおよびそれに関連するフィールド配線に対する入力をチェックするために、または校正を実行するために固定電流モードに置かれうるし、固定電流モードに置かれると、Ｈａｒｔ通信を用いてフィールドデバイスが固定電流モードであることを示しうる。ロジックソルバは、入力機能ブロックのうちの一つを用いて、この固定電流モードを検出し、（以上で記載した採決機能ブロックのバイパス機能またはオーバライド機能の如き）ロジックソルバ内のバイパス機能またはオーバライド機能を自動的に開始し、そのフィールドデバイスからの関連入力を、たとえば、バイパスされているように処理することができる。同様に、この入力機能ブロックは、フィールドデバイスが固定電流モードから正常動作モードへ帰還することを検出しうるし、また、バイパスまたはオーバライドを除去するとともにそれにより安全ロジックにおいてフィールドデバイスの入力がプロセスプラント内のイベントを検出するために用いられることを自動的に担保するロジックを備えうる。もちろん、入力機能ブロックにより自動的に検出されるバイパス機能またはオーバライド機能を除去するために、以上で記載されたタイムアウト機能の如き他の取り除きロジックが用いられてもよい。
【００５２】
図５は入力機能ブロック120を例示している。この入力機能ブロック120は、この場合、ＡＩ機能ブロックであり、関連するフィールドデバイスのコンフィギュレーション状態を自動的に検出するとともに、この状態を用いてそのロジックソルバ内で適切なバイパス機能またはオーバライド機能を生成または開始するロジックを組み込んでいる。図５に例示されているように、機能ブロック120は、フィールドデバイス125と、採決ロジックブロック127と、他の安全システムロジック129とに通信可能に接続されている。この入力機能ブロック120は、ＨＡＲＴ通信プロトコルまたはＦｉｅｌｄｂｕｓ通信プロトコルなどの標準通信プロトコルの如き任意の所望の通信プロトコルを用いてフィールドデバイス125と通信する標準通信スタック130を備えている。もちろん、この通信スタックは、フィールドデバイス125から標準的な（または、所望ならば非標準的な）通信を受信するために、また所望ならば、フィールドデバイス125に対してメッセージを送信するためにフィールドデバイス125と通信するソフトウェアを備える。
【００５３】
フィールドデバイス125のコンフィギュレーション状態を判別するためにフィールドデバイス125からのメッセージを受信・逆符号化するデバイスコンフィギュレーション検出ブロック132が通信スタック130に接続されている。図５には示されていないが、入力機能ブロック120は、フィールドデバイス125からの信号を受信し、これらの信号を逆符号化・翻訳し、機能ブロック120の出力部においてＩＮ１信号を生成するためのフィールドデバイス通信用標準ソフトウェアを備えている。このＩＮ１信号は、たとえば採決機能ブロック127に対して、または安全システムロジック内のその他の所望のブロックに対して提供されうる。
【００５４】
また、入力機能ブロック120は、フィールドデバイス125が（たとえば図１のハンドヘルド式コンフィギュレーションデバイス85によりフィールドデバイス125が外部から試験モードに置かれたことを示す）固定電流モードに置かれていることを示す、またはなんらかの他の非正常動作コンフィギュレーションモードに置かれていることを示す信号（または、メッセージ）をフィールドデバイス125からたとえば受信・検出しうるデバイスコンフィギュレーション検出ブロック132を備えている。必要ならば、デバイスコンフィギュレーション検出ブロック132は、周期的にまたはフィールドデバイス状態の検出された変化に応答して、フィールドデバイス125のコンフィギュレーション状態に関して照会する信号をフィールドデバイス125に対して送信し、それにより、フィールドデバイス125にフィールドデバイス125のコンフィギュレーション状態を示す信号を用いて応答させてもよい。
【００５５】
フィールドデバイス125のコンフィギュレーション条件またはコンフィギュレーション状態が正常動作コンフィギュレーション状態から非正常動作コンフィギュレーション状態へ変更されるのを検出すると、デバイスコンフィギュレーション検出ブロック132はバイパス／オーバライドロジックブロック134に信号を送信する。このバイパス／オーバライドロジックブロックは、任意の所望のまたは適切なロジックを用いて、（フィールドデバイス125に関連する）バイパスまたはオーバライドを開始し、バイパス信号またはオーバライド信号を採決機能ブロックに127に提供する。たとえば、フィールドデバイスが固定電流モードなどに置かれていることにより試験モードに置かれていることを検出すると、バイパス／オーバライドロジックブロック134は、プロセスプラント内のイベントの検出に採決機能ブロック127がフィールドデバイス125からの出力信号を用いないようにする、採決機能ブロック127用のバイパス信号またはオーバライド信号を自動的に生成しうる。同様に、フィールドデバイス125が試験モードまたは校正モード（たとえば、非正常動作コンフィギュレーション状態）から正常動作状態に置かれたことを検出すると、オーバライド／バイパスロジックブロック134は、採決機能ブロック127に前に送信されていたバイパス信号またはオーバライド信号を自動的に除去し、それにより、プロセスプラント内のイベントの検出にフィールドデバイス125からの出力信号（すなわち、ＩＮ１信号）を採決機能ブロック127に再び使用させうる。
【００５６】
このように、入力機能ブロック120は、フィールドデバイスのコンフィギュレーションに対する変更が外部のデバイスにより安全システムロジックとの調整なしに行われた場合であっても、そのフィールドデバイスのコンフィギュレーションの変更とバイパスおよびオーバライドの利用を自動的に調整するロジックを備えている。この調整の結果、安全システムは、どのユーザまたはどのソースによりフィールドデバイスが試験動作状態、校正動作状態、または他の非正常動作状態に置かれた場合であってもそのフィールドデバイスからの入力を自動的にバイパスまたはオーバライドする。それに対して、安全システムは、フィールドデバイスが試験動作コンフィギュレーション状態、校正動作コンフィギュレーション状態、または他の非正常動作コンフィギュレーション状態から正常動作状態に置かれた場合、オーバライドまたはバイパスを自動的に除去し、それにより、フィールドデバイスの状態と安全システムにおいて用いられるオーバライド信号およびバイパス信号とを調整している。
【００５７】
フィールドデバイスが正常動作状態に戻されていると検出された場合にオーバライド信号またはバイパス信号を除去するものとしてオーバライド／バイパスロジック134が記載されているが、それに代えてまたはそれに加えて、オーバライド／バイパスロジック134は、図２の採決機能ブロック94に関連する上記のタイマーなどの如きタイマーに基づいてオーバライド信号またはバイパス信号を自動的に除去してもよい。したがって、オーバライド／バイパスロジック134は、バイパスまたはオーバライドのあとタイマーがタイムアウトするとき、バイパス信号またはオーバライド信号を除去すること、時間が終了したこともしくは終了時間が差し迫っていることをユーザへ通知すること、または採決機能ブロック94内のオーバライド信号もしくはバイパス信号の除去に関連する上記のその他のアクションのうちのいずれかのアクションを実行すること、を自動的に行いうるロジックを備えうる。
【００５８】
さらに、安全システムは、フィールドデバイス125が書き込み禁止状態にある場合であっても、ユーザまたはオペレータの手動による援助なしで、フィールドデバイス125を正常動作状態から試験動作状態、校正動作状態、または他の非正常動作状態に置くことができることによりフィールドデバイスの試験をさらに調整しうる。具体的にいえば、入力機能ブロック120は、フィールドデバイス125が書き込み禁止状態にある場合であっても、フィールドデバイス125のコンフィギュレーション設定を変更するために、フィールドデバイス125に対して送信されうる一組の命令142にアクセス可能なデバイスコンフィギュレーション制御ブロック140を備えうる。所望ならば、デバイスコンフィギュレーション制御ブロック140は、ロジックソルバ内の他のロジック、すなわちＳＩＳロジック129から与えられる信号に応答して、フィールドデバイスのコンフィギュレーションに変更を開始し、それにより、ロジック129が安全システムロジックの一部としてそのフィールドデバイスに試験手順、校正手順などを受けさせることができるようにしてもよい。
【００５９】
命令142は、フィールドデバイス125がたとえ書込み禁止であったとしても、正常動作モードから固定電流モードへの変更の如きコンフィギュレーション変更をフィールドデバイス125に受けさせるように特別に校正された命令のサブセットでありうる。そのような一組の命令は、一般的に、フィールドデバイス125により認識される一組の命令に追加される必要があり、したがって、フィールドデバイス125は、たとえば安全ロジックシステム内のデバイスコンフィギュレーション制御ブロック140からの一または複数の有効な信号の受信に基づいて、これらのコンフィギュレーション変更を作動させるようにプログラミングされる必要がある。そのような一組の命令にはＨＡＲＴプロトコルのＣｏｍｍａｎｄ35が含まれており、このＣｏｍｍａｎｄ35は、ＨＡＲＴデバイスを再設定するために用いられうる「書き込み範囲値」命令である。もちろん、ＨＡＲＴプロトコルまたは他のプロトコルからの他の書き込み命令も同様に用いてよい。
【００６０】
図５に示されている一例では、フィールドデバイス125は、任意の所望のまたは公知の通信プロトコルを用いて、フィールドデバイス125に対するまたはフィールドデバイス125からの通信を実現する標準的な通信スタックを備えている。また、フィールドデバイス125は、該フィールドデバイス125のコンフィギュレーション状態を制御するコンフィギュレーション制御ソフトウェアを備えている。そのようなコンフィギュレーション制御ソフトウェアは、公知のフィールドデバイスにおいて用いられているような、要求されたコンフィギュレーション変更を行うか否かを制御する書き込み禁止パラメータ154を用いる標準型コンフィギュレーション制御ソフトウェアであってもよい。しかしながら、コンフィギュレーション制御ソフトウェア152は、書き込み禁止パラメータ154が禁止状態に依然として設定されている間に、公知のロジックコントローラまたはプロセスコントローラの如き信頼性のあるソースからの一組の命令142を認識し、これらの命令のうちの一つを有効に受信するとフィールドデバイス125のコンフィギュレーション変更を開始するようにプログラミングされてもよい。このようにして、ロジックコントローラもしくはプロセスコントローラまたは他の信頼性のあるソースは、書き込み禁止パラメータ154を書き込み可能状態に変更する必要もなく（変更すると、権限を有していない他のソースからの他のコンフィギュレーション変更も可能にしうる）、フィールドデバイス125にパワーサイクルを受けさせる必要もなく、フィールドデバイス125のコンフィギュレーションに変更を加えることが可能となりうる。所望ならば、命令142は、正常動作状態から試験状態もしくは校正状態または試験状態もしくは校正状態から正常動作状態の如きコンフィギュレーション変更を行う命令を有してもよく、その命令のソース、すなわちその命令を発信しているデバイスの表記を有していてもよい。また、フィールドデバイス125は、命令142のうちの一つにより指定されるコンフィギュレーション変更を、その命令142が特定のソース（たとえば、機能ブロック）またはデバイスからのまたはそこを起源とする場合にのみ、（フィールドデバイス125の書き込み禁止機能が設定されているか否かに係わらず）開始するようにプログラミングされうる。このようにして、書き込み禁止変数154により規定されてフィールドデバイス125が書き込み禁止状態であっても、そのフィールドデバイスのコンフィギュレーションを変更させるために変更命令142が信頼性のあるソースにより送信されうる。
【００６１】
いずれの場合であっても、上述の新しい一組の命令を用いて、ロジックソルバは、フィールドデバイス125に対してコンフィギュレーション変更を加え、フィールドデバイス125を試験モードまたは校正モードに入れるまたは試験モードまたは校正モードから出す。これらの新しい命令は、ＩＥＣ６１５１１により要求される書き込みチェック機構を組み込みうるが、フィールドデバイスを固定電流モードまたは校正モードに入れうるし、またフィールドデバイス125が書き込み禁止状態に依然として設定されている場合でも送信・実行されうる。しかしながら、この新しい命令が公知のかつ信頼性のあるソース、すなわち安全ロジックシステムにより実行されるので、この新しい命令は書き込み禁止機構により禁止される必要がない。この命令の結果、安全ロジックシステムは、フィールドデバイス125を他の望ましくないコンフィギュレーション変更に晒すことなく安全な方法によりフィールドデバイス125の必要なメンテナンス機能を調整することができる。
【００６２】
所望の場合には、このプロセスの一部として、入力機能ブロック120のデバイスコンフィギュレーション制御ブロック140および／またはフィールドデバイス125の一方または両方は、デバイスコンフィギュレーション制御ブロック140により作成されたメッセージおよびコンフィギュレーション変更と、フィールドデバイス125により行われたこれらのメッセージに対する応答とを格納または記録するログ160、162を備えてもよい。もちろん、これらのログを標準的な、公知の、または所望のいかなる方法で構築してもよい。このようにして、安全システムおよびフィールドデバイス125は、フィールドデバイス125が書き込み禁止状態であるにもかかわらずフィールドデバイス125に対して取られたアクションの完全な記録を残すために、フィールドデバイス125と安全システムのロジックソルバとの間で送信される命令および応答の記録を格納することができる。
【００６３】
所望の場合にはおよび以上で記載されたように、命令のサブセット142は、信頼性のあるソース、たとえば安全システム14内のロジックソルバのみがこれらの命令を用いてコンフィギュレーション変更を行うことができることを担保するために、図５のデバイスコンフィギュレーション制御ブロック140の如きロジックソルバからのみ実行されてもよい。ただし、フィールドデバイス125は、いったん試験モード、校正モード、または他の非正常動作モードに置かれると、図１のハンドヘルドコンフィギュレーションデバイス85の如き他のソースにより操作されうる。さらに、所望ならば、フィールドデバイス125が、ロジックソルバのみにより設定されることができるか、またはロジッソルバのみにより変更されたコンフィギュレーションを有することができ、それにより、フィールドデバイス125に加えられるコンフィギュレーション変更がいずれも安全システム14と調整されていることを担保するようにフィールドデバイス125を設定してもよい。
【００６４】
フィールドデバイスとロジックソルバとの間の調整を実現する入力機能ブロックがＡＩ機能ブロックであるとして詳細に記載されているが、ＡＩ機能ブロック、ＤＩ機能ブロック、採決機能ブロック、または他の入力機能ブロックの如きいかなるタイプの機能ブロックがこの機能を実現するようにプログラミングされてもよい。したがって、デバイスコンフィギュレーション制御ロジック140およびデバイスコンフィギュレーション検出ロジック132が入力機能ブロック内に設けられているとして例示・記載されているが、それに代えてまたはそれに加えて、このロジックを、ロジックソルバにおけるロジックに関連するスタンドアロン機能ブロックを含む他の機能ブロックに設置されてもよい。さらに、ロジックソルバに結び付けられるまたはロジックソルバにおいて用いられるものとして記載されているが、本明細書で記載のデバイスコンフィギュレーション検出ブロックおよびデバイスコンフィギュレーション制御ブロック132、140は、図１のコントローラ24、26内の制御ソフトウェアのような従来のプロセス制御機能の実行に実装される制御ブロックまたは制御ルーチンの如き他のタイプの制御ブロックまたは制御ルーチンの内で、または制御アクティビティを実行するその他のデバイス内で用いられてもよい。さらに、図５の入力機能ブロック120が安全ロジックシステム内の採決機能ブロック127に対してバイパス信号またはオーバライド信号を供与するものとして記載されているが、それに代えてまたはそれに加えて、入力機能ブロック120は、安全システム（または、プロセス制御システム）内の他のエレメントに対してそのようなオーバライド信号またはバイパス信号を供与して、それらのシステムに関連する他の機能の他のタイプのバイパスまたはオーバライドを引き起こしてもよい。したがって、上述の採決機能ブロックのオーバライド機能およびバイパス機能の説明は、自動的に生成されたバイパス信号またはオーバライド信号を用いうる一つの様態の一つの例示のみを意図したものであり、これらのバイパス信号またはオーバライド信号を用いる唯一の様態であるとして考えられているものではない。
【００６５】
ＨＡＲＴ通信プロトコルを用いた一例において記載されているが、本明細書で記載されるデバイスコンフィギュレーション検出ロジックおよびデバイスコンフィギュレーション制御ロジックは、Ｆｉｅｌｄｂｕｓプロトコル、Ｐｒｏｆｉｂｕｓプロトコル、ＣＡＮプロトコルなどの如きその他の所望の通信プロトコルおよびデバイスプロトコルとともに用いてもよい。さらに、このロジックは、Ｆｏｕｎｄａｔｉｏｎ  Ｆｉｅｌｄｂｕｓプロトコルに従うシステムにおいて、または安全機能がフィールドデバイス内に完全に配置されているかまたは配置されうるその他のシステムにおいて用いてもよい。したがって、被制御デバイスとは異なるデバイス内に設けられているものとして例示されているが、本明細書で記載のデバイス検出ロジックおよびデバイスコンフィギュレーションロジックは被制御デバイスそれ自体の内に実装されてもよい。
【００６６】
図１は、ＡＩ機能ブロック、ＤＩ機能ブロック、または他の機能ブロックからの入力を受信する採決機能ブロックを安全ロジックシステム14が用いることを示しているが、このシステムロジックシステム14は、その他のタイプの機能ブロックからの入力を用いてもよく、またはプロセスプラント10内で他のタイプの信号として生成された入力を有してもよい。たとえばおよびいうまでもなく、入力／出力値、デバイスの状態／ステータス／モード信号を読み取りかつデバイスのコンフィギュレーション変更の検出を可能にするためにデバイス間で送信されているその他の命令またはメッセージを観察するためのフレームワークサポートが、安全システムにおいて、通信スタックを越えるレベルで設けうる。また、このフレームワークは、２〜３例を挙げると、ラダーロジック言語、シーケンシャル機能チャート言語、状態変位言語、カスタム機能ブロック言語の如き他の制御言語でも用いられうる。たとえば、このフレームワークは、安全システム内においてバイパスまたはオーバライドの開始または解除が起こる可能性のある安全システム内のコンフィギュレーション変更または他の変更を示すこれらの言語内で状態変化または他の動作を表す信号を観察しまたは読み取ることにより、他の制御言語でも用いられうる。
【００６７】
さらに、図１の採決機能ブロック92、94の出力部が、ＡＯ、ＤＯなどの如き出力機能ブロックまたは原因・効果機能ブロックまたは制御ルーチンの如き他の機能ブロックに接続されているものとして例示されているが、安全ロジックシステム14に関連するシーケンサ機能ブロック、ステージング機能ブロックなどの如きその他の所望のタイプの機能ブロックに限らず、プロセスプラント10内の他のアプリケーションまたはプログラミング環境に直接にこれらの出力部を接続することができる。同様に、本明細書で記載されるロジックが機能ブロックプログラミングパラダイムを用いて達成されているが、同一のロジックを、他のタイプのプログラミング環境で実現することもでき、それでも、本明細書で用いられる機能ブロックとして依然として考えられる。したがって、本明細書で記載の機能ブロックが、プロセスプラントまたはプロセス制御環境の安全システムにおいて用いられるものとして記載されているが、これらに機能ブロックまたは同等の機能ブロックを、標準的なプロセス制御環境において用いてもよく、または安全システムにおける使用以外の他の所望の用途に用いてもよい。
【００６８】
実現される場合には、入力ブロック、採決ブロック、禁止ブロック、採決ロジックブロック、デバイスコンフィギュレーションブロック、デバイス検出ブロック、信号コネクションなどを含む本明細書で記載のエレメントは、いずれも、磁気ディスク、レーザディスク、光学式ディスク、または他の格納媒体、コンピュータのＲＡＭもしくはＲＯＭまたはプロセッサのＲＡＭもしくはＲＯＭなどの如き任意のコンピュータ読み取り可能メモリ内に格納されるソフトウェアにより実現されうる。本明細書に記載の信号および信号回線は、実際のワイヤ、データレジスタ、メモリ領域などを含むいかなる形態でも取りうる。また、本明細書で説明されるソフトウェアは、汎用目的のコンピュータまたはプロセッサ上で実行されるアプリケーションソフトウェア、またはたとえば特定用途集積回路（ＡＳＩＣ）、ＥＰＲＯＭ、ＥＥＰＲＯＭ、もしくはその他のファームウェアデバイスに焼きつけたハードコーディッドソフトウェアを含むいかなる形態でも取りうる。同様に、このソフトウェアは、たとえば、コンピュータ読み取り可能ディスクもしくは他の搬送可能なコンピュータ格納メカニズム、または電話回線、インターネット、ワールドワイドウェブ、その他のローカルエリアネットワークもしくはワイドエリアネットワークなどの如き通信チャネルを含む公知または所望の任意の搬送方法を用いて、ユーザ、プロセスプラント、オペレータワークステーション、コントローラ、ロジックソルバ、またはその他の計算デバイスに搬送されうる（電話回線、インターネット、ワールドワイドウェブ、その他のローカルエリアネットワークもしくはワイドエリアネットワークなどの如き通信チャネルにより搬送は、搬送可能な格納媒体を介してこのソフトウェアを提供することと同一または互換性があると考えられる）。さらに、このソフトウェアは、通信チャネルを通じて伝送されるまえに、変調もしくは暗号化なしに直接提供するか、または任意の適切な変調用搬送波および／もしくは暗号化手法を用いて変調および／もしくは暗号化されうる。
【００６９】
もちろん、本明細書で記載の機能ブロックは、（たとえば、ＦｉｅｌｄｂｕｓプロトコルまたはＤｅｌｔａＶプロトコル以外に）いかなる外部プロセス制御通信プロトコルを用いて実現されてもよく、またＦｉｅｌｄｂｕｓプロトコルにより詳細に特定されるまたはサポートされるさまざまな機能ブロックのいずれかと同等のまたは同一の機能ブロックいずれかを含むいかなるタイプの機能ブロックとの通信に用いられうる。さらに、本明細書の一つの実施例における入力機能ブロックおよび採決機能ブロックがＦｉｅｌｄｂｕｓ「機能ブロック」でありうるが、本明細書における「機能ブロック」の表現はＦｉｅｌｄｂｕｓプロトコルが機能ブロックとして特定するものに限定されるものではなく、それどころか、なんらかのプロセス制御ルーチン機能を実現するために用いることができるまたは他のそのような機能ブロックに情報もしくはデータを提供するための事前定義された構成セットアップまたはプロトコルを有する任意のタイプの制御システムおよび／または通信プロトコルに関連付けされたその他のタイプのブロックエンティティ、プログラムエンティティ、ハードウェアエンティティ、ファームウェアエンティティなどを含みうる。したがって、機能ブロックは、通常、オブジェクト指向プログラミング環境内のオブジェクトの形態を取るが、これに限定されるわけではなく、それに代えて、任意の所望のプログラミング構造またはプログラミングパラダイムを用いてプロセスプラントまたはプロセス制御環境の内で特定の制御（入力および出力）機能を実行するために用いられる他のロジカルユニットでありうる。
以上のように、本発明は特定の例を参照して記載したが、これらの例は説明のみを意図し、本発明を限定することを意図したものではなく、本発明の精神および範疇から逸脱することなく、開示された実施例に変更、追加、または削除を加えうることは当業者にとって明らかである。
【図面の簡単な説明】
【００７０】
【図１】プロセスプラント内におけるシステム停止およびメンテナンス用のバイパスアクティビティおよびオーバライドアクティビティを自動的に制御するために一または複数の設定可能なＡＩ機能ブロック、ＤＩ機能ブロック，および採決機能ブロックを用いる、プロセス制御システムと統合された安全システムを備えているプロセスプラントの一例を示すブロック線図である。
【図２】バイパス機能およびオーバライド機能を組み入れた図１の設定可能採決機能ブロックのうちの一つを示すブロック線図である。
【図３】バイパスされた一つの入力を伴っている、図２の採決機能ブロックにより用いられうる採決スキームの複数の例を示すテーブルである。
【図４】採決機能ブロックに対する入力のうちの一つが不良ステータスを有している場合に採決スキームが劣化しうる様態を示しているテーブルの一例である。
【図５】採決機能ブロックに対する入力のうちの一つが不良ステータスを有している場合に採決スキームが劣化しうる様態を示しているテーブルの一例である。
【符号の説明】
【００７１】
10  プロセスプラント
12  プロセス制御システム
14  安全システム
16  ユーザインターフェイス
18、20  プロセス制御ノード、安全制御ノード
21  コンフィギュレーションデータベース
22  通信ネットワーク
24  プロセスコントローラ
28、30、32、34、36  プロセス制御システム入力／出力（Ｉ／Ｏ）デバイス
35  Ｃｏｍｍａｎｄ
40、42  コントローラフィールドデバイス
50、52、54、56  安全システムロジックソルバ
57  プロセッサ
58  安全ロジックモジュール
60、62  安全システムフィールドデバイス
68  バス
70、72  メッセージ伝送デバイス（ＭＰＤ）
74  リング型バス
76  バックプレーン
77  プロセッサ
78  ルーチン
79  メモリ
80  コンフィギュレーションアプリケーション
82  閲覧アプリケーション
84  診断アプリケーション
85  ハンドヘルド式設定デバイスまたは試験デバイス
86  共通バックプレーン
88  オンラインデバイス自己試験ルーチン
90、91  機能ブロック
92、94  採決機能ブロック
95  トリップリミットチェックブロック
96  プリトリップリミットチェックブロック
98  入力バイパス禁止ブロック
100  採決ロジックブロック
102  オーバライドブロック
110  タイマー
120  入力機能ブロック
125  フィールドデバイス
127  採決ロジックブロック
129  安全システムロジック
130  通信スタック
132  デバイスコンフィギュレーション検出ブロック
134  バイパス／オーバライドロジックブロック
140  デバイスコンフィギュレーション制御ブロック
142  命令
154  書き込み禁止パラメータ
160、162  ログ
【図１】
2004310767.tif 000003
【図２】
2004310767.tif 000004
【図３】
2004310767.tif 000005
【図４】
2004310767.tif 000006
【図５】
2004310767.tif 000007
【外国語明細書】
2004310767000001.pdf