【誤訳訂正書】
【提出日】平成20年9月19日(2008.9.19)
【誤訳訂正１】
【訂正対象書類名】明細書
【訂正対象項目名】全文
【訂正方法】変更
【訂正の内容】
【書類名】        明細書
【発明の名称】    安全装置の作動能力を検証するための方法及び装置
【特許請求の範囲】
【請求項１】  プラントのプロセス装置が危険に曝される緊急時に前記プロセス装置を前記危険から保護するための安全装置として備えられた停止バルブと、前記停止バルブを制御する安全システムとの作動能力を検証する方法であって、
前記安全システムは、前記停止バルブの弁体の可動性を検証する診断作業と、前記安全システムの電気機器ユニットの作動能力を検証する診断作業と、を実行する診断ユニットを備えるとともに、
前記停止バルブによる保護機能を直接起動するためのコンポーネントを前記停止バルブに取り付け、
前記診断ユニットを前記コンポーネントに設け、
前記プラントに設けられた高レベル安全システム、又は、前記コンポーネントに設けられた論理ユニットによって前記緊急時と判定された際に、前記診断ユニットを迂回して、前記高レベル安全システム又は前記論理ユニットによって、前記停止バルブによる保護機能が直接起動されるように構成されており、
前記診断ユニットによって前記停止バルブまたは前記電気機器ユニットの故障が観測された場合、前記停止バルブを無条件で起動させずに、前記診断ユニットによる前記各診断作業を実行できるようにしたことを特徴とする方法。
【請求項２】  前記弁体の可動性と前記安全システム内の電気機器ユニットの作動能力を検証する診断作業は、予めプログラムされたスケジュールに従って連続的に、または、通信リンクによる単一回の操作として実行されることを特徴とする請求項１記載の方法。
【請求項３】  プラントのプロセス装置が危険に曝される緊急時に、前記プロセス装置を前記危険から保護するための安全装置としての停止バルブと、前記停止バルブによる保護機能を起動するための制御ユニットと、前記プラントが有する高レベル安全システム又は論理ユニットによって前記制御ユニットを直接制御するための通信リンクと、前記停止バルブの弁体の可動性を検証する診断作業と、前記安全システムの電気機器ユニットの作動能力を検証する診断作業とを実行するための電子機器とを備えて、前記停止バルブの作動能力を検証する装置において、
前記停止バルブに直接取り付けたコンポーネント(2)が、
前記停止バルブによる保護機能を起動するための制御ユニット(7)と、
前記制御ユニット(7)に接続されており、前記停止バルブまたは前記電気機器ユニットに故障が観測された場合、前記停止バルブを無条件に起動させることなく前記各診断作業を実行するための電子機器ユニット(19)と、
前記高レベル安全システム(18)、又は、前記コンポーネントに設けられた論理ユニットによって前記緊急時と判定された際に、前記安全高レベルシステム(18)又は前記コンポーネント(2)に組み込まれた前記論理ユニットによって、前記制御ユニットを直接制御するために、前記電子機器ユニット(19)を迂回することを可能にする通信リンク(5,10)を含んでいることを特徴とする装置。
【請求項４】  前記コンポーネント(2)とは別の場所に配置された監視ユニット(1)と、前記コンポーネントと監視ユニット(1,2)間に接続された通信リンク(5)とを含み、
前記電子機器ユニット(19)からの信号と、前記安全システム(18)からの信号とが、前記通信リンク(5)に伝送されることを特徴とする請求項３に記載の装置。
【請求項５】    前記安全装置は、アクチュエータ及びバルブから構成されることを特徴とする請求項３または請求項４記載の装置。
【発明の詳細な説明】
【０００１】
（技術分野）
本発明は、安全装置のメンテナンスに関する。特に、本発明は、可動部品、いわゆる緊急停止バルブ及びその制御装置を備えたアクチュエータ制御式安全装置の正しい性能を、装置の生産連続性も、また装置の待機状態も損なわないように検証することに関する。
【０００２】
（背景技術）
石油化学プロセス工業では、システムは、故障による事故を引き起こしそうなプロセス装置を使用しており、このプロセス装置は、予め設定したプロセスパラメータが限界値を超えた場合、プロセス装置を素早く安全状態に移行させるように設計されたバルブや機械的手段を備えている。
【０００３】
例えば、通常、このようなシステムは、単動式アクチュエータを備えており、アクチュエータを開閉することにより、過圧から解放して、有害なプロセス流をタンクなどに迂回させる。このようなバルブを停止バルブ（開閉機能を備えた緊急バルブである）と称する。
【０００４】
これらのバルブは、他の機械式安全装置と同様に、通常は常に同じ位置を維持しており、その結果、停止位置に作動される機会が少ない場合、作動しなくなる虞がある。従来の装置や方法に停止バルブを使用する場合、総体的に停止バルブの安全性は十分に考慮されていない。
【０００５】
現在のシステムの最大の欠点は、機械的に作動しなくなるなどの故障を、準備状態において必ずしも監視していないことであり、また、緊急時にシステムが破損状態に陥り作動しなくなることである。機能を適性に検証するためには、停止バルブを実際の緊急状態で試験、即ち、シミュレーションすることである。この方法は、実際には非常に大きなリスクを伴うことになり、停止バルブシステムの機能が一時的に阻害され、装置が適性に作動しない場合は、その状態がそのまま継続されることとなる。
【０００６】
停止バルブを試験する方法の一つに、バルブの動程を機械的に制限して、プロセス上の影響を抑制して、一定の制限のもとで、バルブの移動性をチェックすることである。この方法は、例えば、有形の鍵を必要としており、試験中は緊急システムの、少なくとも関連ユニットの作動が抑制される。試験は、予め設定した間隔、例えば１年に２回の間隔で行われるが、この試験は、試験時点で装置が作動することを証明するだけである。試験直後に故障するかもしれないし、或は次回の試験まで持続されるかもしれない。この試験方法は、システムの作動性を検査する方法としては信頼性に欠ける。
【０００７】
センサやデジタル技術を使用したバルブ診断が急速に進展している。例えば、フィンランド特許出願第９６２４０６号及びヨーロッパ特許出願第９５３０６５４６号には、アクチュエータ及びバルブ制御手段にセンサを使用し、センサからの信号をマイクロプロセッサで分析して、バルブユニット全体の作動性を解析する制御バルブの状態を監視する方法が開示されている。上述したように、安全システムの一部であるバルブ或は他の機械的装置の状態を監視することに対する要望がある。
【０００８】
ノルウェー特許第１５２３１４号には、安全装置の機能を試験する方法と装置が開示されている。この特許によると、安全システムが適合されるシステムに影響を与えることなく、緊急停止バルブ或は電気モータの制御リレーは定期的に試験される。停止バルブに影響するソレノイドパイロットバルブの信号を一時的に遮断することにより、例えば、停止バルブは１０度シフトされ、停止バルブの位置がセンサ或はリミットスイッチにより監視される。機能不全が認められた場合には、安全機能が作動される。試験シーケンスは、フィールド外に配置された論理回路によって制御されており、タイマー及び標準論理素子によって実行される。
【０００９】
（発明の開示）
一般的記述
請求項１に記載された発明による方法は、機械的安全装置、例えば、停止バルブのエラーフリーの操作の確認を目的とするものであり、一方、安全システムの待機状態は常に損傷なく維持される。上記方法において、安全機能は診断機能よりも、より高い優先度を有しているにも関わらず、安全機能および監視あるいは診断機能は、リアルタイムで結合される。
【００１０】
本発明による方法において、安全機能を起動するために安全装置に直接取り付けられるコンポーネントは、プラントの、安全操作を担っている高レベル安全システムによって、あるいは、代りに、本発明による装置中に組み込まれる論理ユニットによって制御され、前述した起動用のコンポーネントに診断ユニットが設けられている。診断ユニットは、プロセスが通常状態であるときはいつでも、プロセス機能を乱さないような診断を実行することを可能とする。緊急状態では、診断ユニットはバイパスされ、それによって、例えば、診断テストにおける失敗あるいは乱れや、進行中のルーティンテストのどちらも、上記安全機能を害することがない。所望レベルの信頼性を達成するために、診断の範囲や周期は、システム内にプログラムされている。
【００１１】
本発明の一実施形態によれば、安全システムの待機状態を完全に維持しながら、メカニカルな安全装置の正常操作を確認できる装置が設けられている。
【００１２】
本発明による安全システムの現場ユニットは、プリセットされた自己テスト及び診断手順を提供するマイクロプロセッサを含む。この現場ユニットは、さらに、アクチュエータ制御を与える制御ユニットを含む。適切な通信手段によって、上記制御ユニットは、一方では、高レベルの安全システムあるいは現場ユニットに組み込まれた論理ユニットに接続され、他方では、安全装置へのエネルギー源、例えば、圧縮空気供給源に接続される。高レベル安全システムあるいは組み込まれた論理ユニットは、診断機能をバイパスして、安全機能を直接起動させる。
【００１３】
上記現場ユニットに加えて、本発明による安全システムの他の主たる要素は、監視ユニットである。高レベル安全システムからの通信リンクは、監視ユニットを通る経路である。好ましくは、監視ユニットの作業は、現場ユニットのステータスをオンラインでモニタすることであり、ユーザへステータス情報を伝えるための手段を与えることである。本発明は、以下に参照する図面にさらに記載されている。
【００１４】
（好適な実施形態の説明）
図1において、符号１は、本発明に従うシステムの監視ユニットを表し、符号２は、本発明に従う制御ユニット７、通信インタフェイス３、マイクロプロセッサを含む電子機器ユニット１９、必要なセンサ及び空気圧機器(図示せず)を備えた現場ユニット(field unit)である。
【００１５】
制御ユニット７は、アクチュエータ８及びバルブ２２を備えた安全装置２４を制御する。監視ユニット１と制御ユニット７との間の通信は、好ましくは、以下に述べるように、通信リンク５を通して維持される。通信リンク５は、例えば、ケーブル対によって、アナログ、デジタル又はこれら双方の組合せとすることができる。現場領域が爆発危険領域である場合、本システムは、バリアユニット６を含む。
【００１６】
現場ユニット２は、安全機能を担う高レベル安全システム１８から、或いは、本発明の安全システムが論理ユニットを含む場合にはデジタル通信リンクから、好ましくは２４Ｖの電源電圧を供給される。好ましくは、監視ユニット１には、通信リンク５及び対応するリレー出力２１によって供給される信号によって制御されて、現場ユニットの状態を反映する表示ランプが設けられる。
【００１７】
例えば、グリーンランプは、信号が正常であることを示し、また、本発明の安全システムが待機状態にあることを示す。電子機器ユニット１９に含まれるマイクロプロセッサは、プログラム可能な時間間隔で診断を実行する。これにより、リンク５の信号は、例えば黄色ランプを示すものに変わる。この診断が故障を知らせたとき、このことは、例えば、これに応答する赤ランプによって表示される。表示ランプに対応する信号は、例えば、リレー出力２１を通して転送することができる。表示ランプの作動およびリレー出力は、例えば監視ユニット上のローカル押しボタンによってチェックされるようにしてもよい。
【００１８】
好ましくは、監視ユニット１は、安全システム維持プログラムを実行して、診断システムによって記憶されたデータの分析によって故障の特徴を決定することができるコンピュータ２３に接続される。この機能に必要な通信は、好ましくは、通信リンク５によって提供される。
【００１９】
更に、監視ユニットハウジングは、好ましくは、電子機器ユニット１９に含まれるマイクロプロセッサのローカル制御のための手段(例えば、キーボード及びLEDディスプレイ)を含む。通信インタフェイス３のタスクは、以下に述べる通信リンク５によって伝達される信号を分離することである。加えて、現場ユニットに統合された論理ユニットを含んでもよい。
【００２０】
通信インタフェイス３では、通信リンクは、制御ユニット７への直接リンク１０と、電子機器ユニット１９へのリンク２５とに分岐される。更に、電子機器ユニット１９は、制御ユニットに接続される。
【００２１】
正常作動中は、制御ユニット７及び安全装置２４でのテストは、電子機器ユニット１９内のマイクロプロセッサに属するプログラムの制御下で規定された時間間隔で実行される。また、テストは、コンピュータ２３によって、必要な場合に実行される。
緊急機能が起動される状況では、信号は通信リンク５，１０を介して高レベル安全システム１８から制御ユニット７へと、例えば下記の要領で直接搬送される。或いは、通信インタフェイス２３に組み込まれた論理ユニットが直通リンク１０を介して信号を制御ユニット７に伝えても良い。
【００２２】
図２において、符号７は、現場ユニット２の主バルブである。この図は、正常作動状態を表す。結線１０が２４Ｖの制御電圧で作動されている場合、空気圧制御バルブ１１は、閉じたままで、スライド１４は、反発スプリング１５に抗して右側に押し付けられたままである。
【００２３】
これにより、アクチュエータの作動空気圧は、自由に管路１２及び１３を通って作用し、バルブアクチュエータシリンダ８が加圧されてスプリングが圧縮される。電子機器ユニット１９内のマイクロプロセッサ17は、以下に述べるように、空気圧制御バルブ１６による診断を実行できるようにする。
【００２４】
図３は、安全機能が起動した状況を示している。結線１０における電圧が、ゼロボルトに落ち、その結果、バルブ１１を介して圧力が開放される。スプリング１５がスライド１４を左に押すと、アクチュエータの圧力は、開口２０を介して開放される。そして、圧縮ばね９の反発力によってアクチュエータ８は、停止バルブを弁が開放または閉鎖される安全位置に移動する。マイクロプロセッサ１７の機能は、この状況に何の影響も与えない。好ましくは、マイクロプロセッサは、この状態においては、制御バルブ１１と同一の結線から電力が供給されるので、起動していない。当然に、停止バルブの現場電子機器ユニット１９は、通常、不揮発性メモリ回路を備えており、電力の供給がなくなる前に、安全機能に関する測定データを記憶できる。
【００２５】
マイクロプロセッサ１７は、少なくとも次の入力データ、すなわち、
制御バルブの位置、
停止バルブの位置、
アクチュエータのシリンダ圧力、
ローカルキーボードからの入力される命令、
を受信する。
【００２６】
マイクロプロセッサ１７は、プリセットインターバル、例えば、１週間に１５ミリ秒の間隔で診断機能を実行するようにプログラムされている。以下に記載する好ましい実施形態では、これらは、いわゆるヒステリシステストを含んでいる。このテストを始める前に、マイクロプロセッサは、通信リンク５の信号を変更することによって、監視ユニットにメッセージを送り、監視ユニットは、テストが進行中であることを示すようにシフトする。
【００２７】
次に、制御圧力が、前に定めた時間間隔中にバルブ１６によってプリセットレベルまで下げられ、そして、開始レベルに戻る。これにより、対応するアクチュエータの圧力低下が、センサ（図示略）によって示されるように、所定の時間遅れの範囲内で観察されるであろう。この圧力が低下し、所定の時間間隔の範囲内で初期状態に戻ると、対応する停止バルブにおける位置の変化が、所定の時間遅れで観測されるであろう。
【００２８】
目標値が達成されない場合、マイクロプロセッサ１７は、通信リンク５における信号を変更することにより、監視ユニット１にメッセージを送り、監視ユニットは、故障警報を示すためにシフトする。テストサイクル中の停止バルブの動きは、プロセスを妨げないように制限される。
【００２９】
停止バルブの機械的作動能力を確かめるための上記のテストに加えて、診断には、本発明の範囲外の他の機能、例えば、電子機器の内部診断や、個別の音響センサを用いて、バルブの漏れとその動作特性に関する内部診断を含む。
【００３０】
本発明を利用する実施形態に従って、現場および制御場所の間における全ての通信は、同一の通信リンク５に沿って行なうことができる。好ましくは、これは、一対のケーブルであり、
(a)  高レベルの安全システム１８での制御電圧を、例えば、２４Ｖに維持し、同時に現場ユニット２を待機状態に維持する。
(b)  信号の変化によって監視ユニット１の指示ライトおよびリレー出力を制御する。
(c)  コンピュータ２３と電子機器ユニット１９の安全システムにおけるメンテナンスプログラム間の通信、例えば、当業者に良く知られたＨＡＲＴプロトコルを用いる。
【００３１】
上述した設備は、存在するプラント内で安全システムの改造を行なうのに便利であることから望ましい。
【００３２】
ノルウェー特許第１５２３１４号に開示された方法及び装置と対比すると、本発明は、次の利点を備えている。
‐現場に高機能な部品が配置され、この部品は、安全装置をフィールドバスシステムに接続することを可能にする。
‐誤動作が観察されると、安全機能は、無条件で起動せずに、メンテナンスが可能であり、かつプラントは稼動状態に維持できる。
‐主待機信号（例えば、上述の例では２４Ｖの主電圧）は、テスト中影響を受けないで、安全機能を担う安全システムと直接接触するように常に維持される。テストは、専用の信号と個別の配線を用いて実行される。
‐複数のセンサに関連する詳細な診断と同様に、個別のスタンドアローンのテストを、場合によっては自己診断の形態で、実行することも可能である。
‐現場ユニットへの配線は、最小限で維持され、しばしば、現在あるケーブル対で十分である。
【００３３】
本発明は、ここに記載したように、バルブに対して手段を提供するシステムに用いられるが、本発明は、一般的な概念から逸脱することなく、他の安全装置においても実行できるものであり、この安全装置には、必ずしも流体の流れを制御するだけではなく、他の手段によって安全状態を提供する機械的部品を含んでいる。
【図面の簡単な説明】
【図１】
図１は、本発明の方法を実行するためのシステムを表わしている。
【図２】
図２は、通常状態のバルブアクチュエータに接続された、本発明による現場ユニットを表わしている。
【図３】
図３は、本発明による、緊急状態における現場ユニットおよびアクチュエータを表わしている。