CN101807074B - 用于具有安全网络的过程装置的配置系统 - Google Patents

Abstract

一种过程装置包括具有嵌入其中的安全系统的过程控制系统。所述集成的过程控制和安全系统包括用于发送并接收过程级消息和安全级消息的主机、通过第一通信网络与该主机有效相连的控制器、与至少一个过程控制现场设备有效通信的至少一个第一输入/输出设备、以及与至少一个安全相关现场设备有效通信的至少一个第二输入/输出设备。所述第一和第二输入/输出设备通过第二通信总线与该控制器有效连接。该第二输入/输出设备包括处理器，其编程为监视所述过程级消息和安全级消息，区别所述过程级消息和安全级消息，选择安全级消息，并根据该安全级消息与安全相关现场设备进行通信。

Description

用于具有安全网络的过程装置的配置系统

本申请是申请日为2004年1月28日、申请号为200410005097.1、发明名称为“具有嵌入式安全系统的过程控制系统”的发明专利申请的分案申请。 

技术领域

本发明一般涉及用于过程装置的安全系统，并特别涉及嵌入或集成到过程装置的过程控制系统中的安全系统。 

背景技术

过程控制系统，例如用于化学、石油或者其他过程的过程控制系统，一般包括一个或者多个过程控制器，它们通过模拟、数字或者模拟/数字混合总线通信连接到至少一个主机或者操作员工作站，以及连接到一个或者多个现场设备。该现场设备，可能是，例如阀门、阀门定位器、开关和发送器(例如，温度、压力、流速传感器)，它们在过程装置中完成例如开启或者关闭阀门以及测量过程参数的功能。该过程控制器接收表示现场设备作出的过程测量的信号和/或其他与现场设备有关的信息，利用该信息完成控制程序，并接着产生通过总线发送给现场设备的控制信号以控制过程的操作。来自现场设备和控制器的信息典型地用于一个或者多个由操作员工作站执行的应用程序，来使操作员执行任何与过程有关的所期望的功能，例如，配置该过程、观察过程的当前状态、修改该过程的操作，等等。 

另外，在许多过程中，当装置中例如有毒化学物质泄漏、爆炸等可能引起或导致严重事故的问题发生时，独立的安全系统就用来检测过程装置中重要的安全相关问题，并且用于自动关闭阀门、切断装置电源、切换装置中的流量等。这些安全系统除了典型地具有过程控制器之外，还具有一个或者多个独立的控制器，这些控制器都通过置于处理装置中的独立总线或通信线与安全现场设备连接。安全控制器利用安全现场设备检测与重要事件相关的过程状态，例如某些安全开关的位置或者关闭阀门、该过程中的上溢或下溢、重要能源发生或控制装置的操作、故障检测装置的操作等等，从而检测过程 装置中的“事件”。当检测到某个事件时，安全控制器就采取措施限制事件带来的有害影响，所述措施例如关闭阀门、关闭装置、切断部分装置的电源等等。 

因为当过程控制器失灵时，利用过程控制器实现安全功能会导致安全功能和过程控制功能同时失灵，所以，认为将过程控制器和安全控制器隔离是非常重要的(通常由适当的政府标准指定)。然而，当过程控制器失灵时，由于此时全部或部分过程失控，安全功能将达到最临界。 

不幸的是，过程装置中的过程控制器和安全控制器之间的隔离已经导致这些系统彼此完全分离。结果，不同的通信基础设施典型地用于完成同一装置中的不同系统，该装置具有不同的配置应用程序和工作站用来配置并监视这些分离的系统。因为这些不同，典型地需要不同的成员来实现对于这些不同系统进行的配置和监视，所有的这些将导致在配置和运行使用安全系统的过程装置方面的额外费用开支。 

另外，因为安全系统并不利用过程控制系统的基础设施，所以通常在同一过程装置中不同的位置，例如在不同的节点上，使用不同的和完全断开的安全系统硬件。这将导致在相同装置中必须单独配置并监视许多不同和断开的安全系统。 

发明内容

一种过程装置，包括以下述方式与过程控制系统物理集成的安全系统，该方式是使安全系统和过程控制系统能够应用过程装置中的公共通信、配置和显示硬件及软件，而在安全系统控制器和过程控制系统控制器之间仍旧提供功能隔离。更进一步，在过程装置的不同节点上的安全系统硬件可能相互通信，而在过程装置中产生一个单一和集成的安全系统。 

典型地，分离的安全系统控制器通过安全通信基础设施连接到安全设备，而过程控制系统控制器通过标准控制系统总线或通信线连接到控制系统现场设备。然而，所述安全系统控制器通过总线或其它通信线与过程控制系统控制器通信连接，并且每个安全系统控制器都通过公共通信网络与过程装置中的一个或多个操作员工作站相连，这个公共通信网络使操作员工作站中的软件能够与过程控制器(相关过程控制现场设备)和安全控制器(相关安全现场设备)进行通信，并能够配置和显示它们的操作情况。然而，当安全系统 和过程控制系统控制器能够互相通信以致相互之间获取信息时，它们则配置成使得过程控制系统控制器不能控制或配置任何能在过程控制系统和安全系统之间提供必要的功能隔离的安全系统设备。 

这种集成消除了装置中对附加通信和显示结构的需要，该装置并不严格需要与过程控制系统分离的安全系统的正确操作，这种集成使与过程装置有关的配置应用程序能够配置过程控制系统和安全控制系统，并且能够在过程装置的公共或集成视图中显示过程控制和安全控制的软、硬件。 

本发明还提供了一种用于具有安全网络、过程控制网络和用户工作站的过程装置的配置系统，该用户工作站通过共享的通信网络与所述安全网络和过程控制网络通信耦接，该配置系统包括：计算机可读存储器；配置应用程序，存储于计算机可读存储器中并适于在处理器中执行操作，该配置应用程序用于指定安全模块为该安全网络中的安全元件以执行安全功能；指定过程控制模块为该过程控制网络中的过程控制元件以执行过程控制功能；和通过该共享的通信网络下载该安全模块到安全元件中，下载该过程控制模块到过程控制元件中。 

附图说明

图1是具有集成过程控制系统的安全系统的示例性过程装置的方框图； 

图2是图1中一个工作站配置应用程序产生的屏幕显示，说明了图1中过程装置的配置视图，该图示出了过程控制系统设备和安全系统设备； 

图3是多个安全系统控制器的方框图，这些控制器通过第一通信网络互相通信连接，并且另外通过第二和公共通信网络与过程控制系统控制器和操作员界面连接；以及 

图4是说明用于图1和图3所示的安全系统中的本地对等总线的总线周期的示意图。 

具体实施方式

现在参看图1，过程装置10包括集成了安全系统14(由虚线示出)的过程控制系统12，该安全系统通常作为安全仪表系统(SIS)进行操作，监视并超越(override)由过程控制系统12提供的控制，用来最大化过程装置10可能的安全操作。过程装置10还包括一个或多个主机工作站、计算机或用户界 面16(可以是任何类型的个人电脑、工作站等)，它们可以通过装置成员进行访问，例如过程控制操作员、维护人员、配置工程师等等。如图1示例所示，示出三个用户界面16通过一个公共的通信线或总线22与两个独立的过程控制/安全控制节点18和20以及配置数据库21连接。可以利用任何期望的基于总线或基于非总线的硬件、利用任何期望的硬连接或无线通信结构、及利用任何期望的或合适的通信协议，例如以太网协议实现该通信网络22。 

一般来说，过程装置10的每个节点18和20都包括过程控制系统设备和安全系统设备，两者通过总线结构相互连接，总线结构位于不同设备所附的底板上。图1中说明节点18包括过程控制器24(可能是一对冗余的控制器)以及一个或多个过程控制系统输入/输出(I/O)设备28、30和32，而节点20包括过程控制器26(可能是一对冗余的控制器)以及一个或多个过程控制系统输入/输出(I/O)设备34和36。每个过程控制系统I/O设备28、30、32、34和36都与一组过程控制相关现场设备通信连接，如图1中所示的现场设备40和42。过程控制器24和26、I/O设备28-36和控制器现场设备40、42常规地组成图1所示的过程控制系统12。 

同样，节点18包括一个或多个安全系统逻辑解算器50、52，而节点20包括安全系统逻辑解算器54和56。每个逻辑解算器50-56都是一个I/O设备，该I/O设备具有运行储存在存储器中的安全逻辑模块58的处理器57，同时，各个逻辑解算器通信连接以提供控制信号到和/或从安全系统现场设备60和62中接收信号。另外，每个节点18和20都包括至少一个消息传播设备(MPD)70或72，它们通过环形总线线路74相互通信耦接。该安全系统逻辑解算器50-56、安全系统现场设备60和62、MPDs70和72以及总线74常规地组成图1中的安全系统14。 

仅举例来说，过程控制器24和26可以是Fisher-Rosemount Systems公司售出的ΔV^TM控制器，或者是任何其他所期望类型的过程控制器，利用I/O设备28、30和32(用于控制器24)、I/O设备34和36(用于控制器26)以及现场设备40和42，将过程控制器进行编程以提供过程控制功能(利用通常所说的控制模块)。具体说，每个控制器24和26都实现或检查一个或者更多的过程控制例程，该例程存储在控制器中或者与控制器有关，同时，每个控制器都以任何期望的方式与现场设备40、42及工作站14通信，以此来控制过程10或控制过程10的一部分。现场设备40和42可以是任何期望类 型的现场设备，例如传感器、阀门、发送器、定位器等等，并且它们可以遵守任何期望的公开、专有或其它通信或编程协议，这些协议包括例如HART或4-20ma协议(如用于说明现场设备40)，遵守任何现场总线协议，例如基础现场总线协议(如用于说明现场设备42)，或者遵守CAN、Profibus、AS-界面协议，以上仅列出了一部分。同样，I/O设备28-36可以是任何已知类型的利用任何适当通信协议的过程控制I/O设备。 

图1中的安全逻辑解算器50-56可以是任何期望类型的安全系统控制设备，它包括处理器57和存储器，该存储器存储安全逻辑模块58，该模块适于在处理器57上应用现场设备60、62运行，以提供与安全系统14有关的控制功能。当然，安全现场设备60和62可以是任何期望类型的现场设备，其遵守或使用任何已知的或期望的通信协议，例如上述的各种协议。具体说，现场设备60和62可以是安全相关类型的现场设备，该设备通常由独立的、专用的安全相关控制系统控制。在图1所示的过程装置10中，安全现场设备60描述成利用专门的或点到点的通信协议，例如HART协议或4-20ma协议，而安全现场设备62图示为利用总线通信协议，例如现场总线协议。 

公共底板76(由通过控制器24、26、I/O设备28-36、安全逻辑解算器50-56和MPDs70、72的虚线所示)用在每个节点18和20中，将控制器24和26与过程控制I/O卡28、30、32或34、36相连，以及将其与安全逻辑解算器52、54或56、58同时与MPDs70或72相连。控制器24和26还作为总线22的总线仲裁器通信耦接，使每个I/O设备28-36、逻辑解算器52-56、MPDs70和72能够通过总线22与任何一个工作站16通信。 

可以理解，每个工作站16都包括处理器77和存储器78，该存储器存储适于在处理器78上运行的一个或多个配置和/或观察应用程序。配置应用程序80和观察应用程序82在图1的分解图中示出，存储于一个工作站14中。然而，如果希望的话，这些程序能在不同的工作站14中存储并执行，或者在与过程装置10相关的其它计算机中存储并执行。总的来讲，配置应用程序80提供配置信息给配置工程师，并且使配置工程师能够配置过程装置10的一些或所有元件，并能够将该配置存储在配置数据库21中。作为由配置应用程序80实行的部分配置行为，配置工程师可以为过程控制器24和26建立控制例程或控制模块，可以为任何和所有安全逻辑解算器50-56建立安全逻辑模块，可以通过总线22和控制器24、26将这些不同的控制和安全模块下载 到适当的过程控制器24、26和安全逻辑解算器50-56中。同样，配置应用程序80可以用于建立并下载其它程序和逻辑到I/O设备28-36、任何现场设备40、42、60和62等中。 

相反的，观察应用程序82可以用于向用户提供一个或多个显示，例如提供给过程控制操作人员、安全操作员等，所述显示包括有关过程控制系统12和安全系统14的状态的信息，根据需要，在独立视图中或同一视图中进行显示。例如，观察应用程序82可以是警报显示应用程序，该程序接收并显示警示信号给操作员。如果需要，这样的警报观察应用程序可以采取如美国专利号为5768119，题目为“包括警报优先权调整的过程控制系统”的专利和美国专利申请号为09/707580，题目为“过程控制网络中的集成警报显示”中所公开的形式，两者都转让给了本专利的受让人，并且在这里一并作为参考引用。然而，可以理解的是，由于来自系统12和14的警报将被发送到执行警报显示应用程序的操作员工作站14，并将被识别为来自不同设备的警报，所以这些专利的警报显示和警报标志都可以接收并在集成警报显示器中显示来自过程控制系统12和安全系统14的警报。同样，操作员可以采用与过程控制警报一样的方式处理显示在警报标志中的安全警报。例如，操作员或用户可以利用警报显示器确认安全警报、关闭安全警报等等，该警报显示器将利用总线22和底板76的通信将消息传送给安全系统14中适当的过程控制器24、26，从而针对安全警报采取相应的措施。以同样的方式，当这些系统应用相同类型和种类的参数、保护和参考数据时，其它的观察应用程序可以显示来自过程控制系统12和安全系统14的信息或数据，以至于可以将来自系统12和14之一的任何数据集成到通常用于过程控制系统的显示器或视图中。 

无论如何，应用程序80和82可以传送独立的配置和其它信号给每个过程控制器24和26以及每个安全系统逻辑解算器50-56，并且可以从每个过程控制器24和26以及每个安全系统逻辑解算器50-56中获取数据。这些信号可以包括与控制过程现场设备40和42的操作参数有关的过程级消息，可以包括与控制安全相关现场设备60和62的操作参数有关的安全级消息。当安全逻辑解算器50-56可以通过编程来识别过程级消息和安全级消息时，安全逻辑解算器50-56能够区分两种消息类型，但是不能由过程级配置信号编程或实现。举个例子，传送到过程控制系统设备的编程消息可以包括特定的场或地址，它们可以由安全系统设备识别，并且可以阻止这些信号用来编程 这些安全系统设备。 

如果需要的话，安全逻辑解算器50-56可以采用与用在过程控制I/O卡28-36的软、硬件设计相比，相同或不同的软、硬件设计。然而，过程控制系统12和安全系统14中设备的交替使用技术可以最小化或消除普通原因的硬件或软件故障。 

另外，包括逻辑解算器50-56的安全系统设备可以利用任何所需的隔离和保护技术来减少或消除对其所实现的安全相关功能作出未经许可的变化的几率。例如，安全逻辑解算器50-56和配置应用程序80可以要求具有特定权级的人员或位于特定工作站的人员，改变逻辑解算器50-56中的安全模块，由于这个权级或位置与改变过程控制功能所需的权级或存取级或位置是不同的，该过程控制功能由控制器24、26和I/O设备28-36实现。在这种情况下，仅仅只有在安全软件中指定的人员或位于有权改变安全系统14的工作站的人员才有权改变安全相关功能，这样使得恶化安全系统14操作的几率实现了最小化。可以理解的是，要完成这样的保护，安全逻辑解算器50-56中的处理器评估输入消息的正确格式和安全性，并且作为监视者，监视对安全逻辑解算器50-56中执行的安全级控制模块58的改变。 

另外，如果需要的话，一旦安全相关功能在逻辑解算器50-56中启动，就无法通过不具有适当存取权限的操作员工作站14对安全功能状态进行改变，这使与过程控制系统12有关的通信结构能够用于提供安全系统14的初始化，并且能够用于提供安全系统14操作的运行时间报告，但是仍然能够将过程控制系统12与安全系统14隔离，从某种意义上说，改变过程控制系统12不会影响安全系统14的操作。 

可以理解的是，每个节点18和20中底板76的应用使安全逻辑解算器50和52以及安全逻辑解算器54和56可以本地相互通信，来协调每个设备执行的安全功能，相互之间交换数据，或执行其它集成功能。另一方面，操作MPDs70和72使置于装置10非常不同的位置的安全系统14的各部分仍旧相互通信以提供过程装置10的不同节点的协调安全操作。具体说，MPDs70和72连同总线74使与过程装置10的不同节点18和20相关的安全逻辑解算器通信级联在一起，以允许根据指定优先级在过程装置10中级联安全相关功能。可选择的，过程装置10中不同位置的两个或者更多的安全相关功能可以互锁或者互联，而不必在装置10的独立区域或节点中运行连接到个别安全现 场设备的专用线。换句话说，MPDs70、72和总线74的使用使配置工程师能够设计并配置安全系统14，该安全系统实际上分布贯穿整个过程装置10，但其中具有不同的组件，这些不同的组件又通信互连，使完全无关的安全相关硬件根据需要相互通信。这个特点还提供了安全系统14的伸缩性，使得附加安全逻辑解算器在需要的时候或当过程装置10添加新的过程控制节点时能够添加到安全系统14上。 

图2示出一显示屏83，它可以由图1中配置例程80生成，该显示屏描绘了具有集成了过程控制系统12的安全系统14(包括逻辑解算器和安全现场设备)的配置呈现。可以理解的是，图2中配置显示屏83说明了配置应用程序80对与过程装置10中不同设备有关的软件进行配置的方式，并且配置应用程序可以由配置工程师使用以通过下载新的配置软件到过程装置10的设备中来建立或改变过程装置10的当前配置，过程装置10中的设备包括过程控制系统设备和安全系统设备。 

如屏幕显示器83所示，过程装置10包括物理网络部分84，其用来显示过程装置10中设备的物理互连，以及安全网络部分85，其用于配置安全系统设备。物理网络部分84包括具有一控制器87(名叫CTRLR1)的控制网络部分86。控制器87可以是图1所示的控制器中的一个，包括一组指定模块88，它们都是存储于控制器87中并由其执行的控制模块，还包括一个为通信目的与控制器87相连的I/O设备部分89。该I/O设备部分89被放大，说明了通过图1的一个底板76与控制器87(CTLR1)相连的所有卡90。在这个例子中，I/O设备部分89包括过程控制输入/输出卡C01-05、C11-15和C21。这些卡的每个都可以被放大，以说明与每个卡相连的不同现场设备(是图1现场设备40和42的独立设备)的一致性和与其关联的其他信息。同样，为了说明物理连接，两个安全系统卡C07(名叫BLR1BMS)和CO17(还没有配置)也是这样。这些卡都表示成阴影格式，并且不能在该部分中放大，因为它们不能在控制网络中配置或由控制网络配置。然而，正如可以理解的那样，和过程控制系统12关联的设备可以利用屏幕83的控制网络部分86，通过在配置呈现中添加、删除、或改变控制模块、I/O设备和/或现场设备进行配置。 

安全系统12在屏幕83的安全网络部分85中说明，其包括名为BLR1BMS、BLR2BMS和LS1的三个安全逻辑解算器91-93。同样，如果需 要，消息传播设备(例如图1中的MPDs70和72)可以在安全网络部分85中说明。在屏幕83中，安全逻辑解算器91被放大以说明其包括指定的安全模块、一个或多个信道(与安全现场设备，例如图1中的设备60和62相连)以及安全参数。这些元件的每个都可以在这个屏幕83部分中进一步观察、增加、删除或改变，从而配置安全系统14。尤其是，可以利用安全网络部分85，以与利用控制网络部分86配置过程控制网络14相同的方式，对安全系统14进行配置和修改。事实上，如可以理解的一样，利用美国专利号为5838563专利所述的过程控制系统的配置方法，可以创建并指定控制或安全模块给每个不同的控制和安全系统，该专利转让给了本专利受让人并且在这里一并参考引用。然而，总的来说，安全逻辑模块可从存储在配置库中的模块模板对象中创建出来，并且适于用于特定的安全逻辑解算器中以执行关于过程装置10中特定安全现场设备的安全功能。为了创建一个安全逻辑模块，安全工程师可以复制特定的控制模板(其可以用于创建运行于过程控制器的过程控制模块和运行于安全逻辑解算器的安全逻辑模块)，以创建特定的安全逻辑模块，并且在图2所示的配置显示屏83中的安全逻辑解算器指示之下，通过拖曳或下拉安全逻辑模块来指定安全逻辑模块为一个特殊的安全元件，例如指定为一个安全逻辑解算器。在实现所公开系统的过程中，产生了安全工程师的新用户角色。当配置该安全系统时，管理过程控制部分的配置工程师可以不具有配置安全模块的适当权限，因此安全模块的配置将由安全工程师完成。这样，系统的安全性能将允许对独立安全工程师和过程配置工程师的描绘。 

在一个特定的例子中，安全工程师可以通过从安全网络菜单(例如可以是弹出菜单或下拉菜单)中选择加逻辑解算器菜单选项(未示出)，而在安全网络部分85中增加安全逻辑解算器。这时，具有下一个可用系统名的逻辑解算器在安全网络85中创建。自动创建的系统名可以由例如LS1开始，但是在过程装置10的配置系统中可以重新命名为任何全局唯一的名称。图2说明了两个逻辑解算器已重新命名而一个(LS1)还没重新命名的情况。在这点上，逻辑解算器仍然是一个占位符，不仅仅限于是物理逻辑解算器。此后，用户可以从物理网络部分84下将逻辑解算器拖曳和下拉到安全网络部分85上来，将特定的物理逻辑解算器绑定在所创建的占位符上。一旦安全网络部分85下的特定逻辑解算器被绑定，则就将在物理网络部分84指定的特定物理逻辑解算器上执行并下载对于该逻辑解算器所作的配置变化。另外，一旦绑定，安 全网络部分85下的逻辑解算器就可以示出括号中的物理路径，物理网络部分84下的逻辑解算器就可以示出括号中逻辑解算器的名称。安全逻辑设备91和卡CO7以图2的这种方式被绑定在一起。 

如果需要，也可以通过拖曳安全网络部分85下未绑定逻辑解算器到物理网络部分84下的未绑定逻辑解算器，或拖曳和下拉物理网络部分84下的未绑定的逻辑解算器到安全网络85下来执行绑定。无论在哪种情况下，将占位符绑定在物理逻辑解算器上会产生括号中示出的标记。当然，拖曳和下拉安全网络部分85下的占位符至控制网络部分中控制器下的I/O设备得不到支持，以至于不可能在过程控制器I/O设备下产生逻辑解算器卡。这为过程控制设备和安全设备之间提供了功能上的分离。当然，低级安全元件，例如安全现场设备、安全模块、参数等等，可以通过在屏幕显示器83的正确位置中放置低级元件的标志，而指定给或绑定到特定的安全逻辑解算器。 

图3详细示出了过程装置10的节点18和20中及其之间的通信连接关系。总的来讲，图3中说明的图1的元件都用同样的参考标记表示。然而，图3中示出控制器24和26的每个都是冗余控制器对24A、24B和26A、26B，它们可以应用任何标准的冗余技术。类似地，示出每个安全逻辑解算器50-56是每对中都具有初级安全逻辑解算器50A、52A、54A、56A和次级安全逻辑解算器50B、52B、54B、56B的设备对。应当理解，每对安全逻辑解算器50-56都连接到安全现场设备(图3中未示出)，并且可以存储用于在安全系统14中执行安全功能的相同的安全逻辑模块58。每对安全逻辑解算器50-56都包括专用总线50C、52C、54C和56C，它们连接在初级和次级逻辑解算器之间，给逻辑解算器对之间提供控制通信。初级和次级安全逻辑解算器最好同时运行并执行计算操作，两设备的输出可以通过适当总线50C、52C、54C、56C彼此之间相互通信并确认。如果需要，初级设备包括表决逻辑，该逻辑基于初级和次级设备的输出确定该对安全逻辑解算器的输出。可选择地，任何期望的或已知的冗余技术都可用于逻辑解算器对50-56。另外，图示出了每个MPDs70和72作为冗余设备对70A、70B和72A、72B，不同节点18和20的MPDs与一对冗余节点间通信线或总线74相连。当图1和图3中示出仅有两节点18和20之间相互通信连接时，可以理解，单个或冗余对MPDs可以定位于过程装置10任何数量的不同节点，并且可以在环形总线结构中相互连接，以任何需要的方式提供节点间通信。因为通常应用环形总线通信结 构(尽管不必要)，所以第一节点的MPDs与第二节点的MPDs连接，第二节点的MPDs与第三节点的MPDs连接，依次类推，最后节点的MPDs与第一节点的MPDs连接，它们都通过环形总线74。如果过程装置10中仅仅存在两个节点，如图1所示，则节点20的MPDs72A和72B的输出总线74将直接与节点18的MPDs70A和70B的输入连接。 

除了示出了图1的控制器24、26和工作站之间的连接以外，图3详细示出底板76。尤其是，在节点18中，控制器24A、24B连接到I/O设备28、30、32，连接到冗余安全逻辑解算器对50A、50B和52A、52B，连接到冗余MPDs对70A、70B，这些都是通过最好定位在底板76上的轨道总线通信线路100。同样，在节点20中，控制器26A、26B连接到I/O设备34、36，连接到安全逻辑解算器对54A、54B和56A、56B，连接到冗余MPDs对72A、72B，这些都是通过置于底板76上的轨道总线通信线路102。控制器24和26利用轨道总线线路100和102，提供一端在工作站14，另一端在I/O设备28、30、32、34、36和安全系统逻辑解算器50、52、54、56、70、72之间的通信，同时提供一端在I/O设备28、30、32、34、36，另一端在安全系统逻辑解算器50、52、54、56、70、72之间的通信。换句话说，轨道总线100和102用作通信网络，使安全系统设备和过程控制系统设备在过程装置10中以较高级别集成在一起，使得安排在工作站14中相同的配置应用程序和显示应用程序可以与来自过程控制系统设备和安全系统设备的配置和显示信息进行通信。 

另外，如对于节点18所示的，底板76包括初级对等(P2P)总线104A，其将每个安全系统逻辑解算器50和52连接到初级MPD 70A，而次级P2P总线104B将每个安全系统逻辑解算器50、52连接到次级MPD 70B。初级和次级P2P总线104A和104B都是本地P2P总线，也提供单一底板76中的安全逻辑解算器到相关或连接于底板76的MPD 70之间的本地通信。同样，节点20包括初级对等(P2P)总线106A，其将每个冗余安全系统逻辑解算器对54和56连接到初级MPD 72A，而次级P2P总线106B将每个冗余安全系统逻辑解算器对54、56连接到次级MPD 72B。初级和次级P2P总线106A和106B都是本地P2P总线，提供节点20的底板76中的安全逻辑解算器和MPD 72之间的本地通信。可以理解，本地初级和次级P2P总线104A、104B、106A、106B在相应底板76上所有安全相关逻辑解算器50-56之间提供冗余通信路 径。如果需要的话，本地P2P总线104和106可以作为广播总线工作，其中每个连接到总线的安全逻辑解算器和MPD设备接收总线上所有其它设备发送的信息，一次只有一个设备可以发送信息。当然，尽管图3示出了连接到不同节点18和20中每个底板76上的两个安全逻辑解算器，但任何期望数量的安全逻辑解算器，可以是逻辑解算器或单机逻辑解算器的冗余对，都可以在每个节点18和20中连接到底板76上(因此连接到本地P2P总线104或106上)。 

如果需要的话，安全逻辑解算器可以利用时分多址(TDMA)方法论共享本地P2P总线媒体，TDMA方法论中特定底板上的所有本地安全逻辑解算器彼此同步。在一种情况下，本地P2P总线104和106可以使用RS485曼彻斯特编码的HDLC协议，具有例如2Mb/sec的吞吐量。曼彻斯特编码方案导致以4Mb/s的速度驱动导线。该给定速度仅是示例，也可选择其它合适的速率和编码方案。另外，如果需要的话，根据底板76的物理位置，特定底板上的每个本地安全逻辑解算器都可以在用于底板76的TDMA方案中确定或被指定传输间隙，这将减少在特定节点建立底板76所需的配置步骤数量。进一步的，底板76的初级和次级P2P总线104和106可以支持任何想要的消息类型，本地P2P总线104和106的物理互连可以存在于底板76中。 

远程P2P总线74最好利用环形拓扑结构，允许数据在安全逻辑解算器之间进行通信，所述安全逻辑解算器位于过程装置10中的不同节点中，从而位于不同的底板76上。MPDs 70和72负责通过远程P2P总线74组成的环路传播消息，负责放置从与MPD 70或72相同的底板上的安全逻辑解算器指向环线74的消息，负责将在环线74上并要寻址到与MPD 70或72相同的底板上的安全逻辑解算器的消息传送到安全逻辑解算器。尽管在远程P2P总线74上可以传播任何数量的消息，但在一个实施例中，在任何P2P总线周期传播的最大信息量是32。这些信息可以从1到32个独立的、截然不同的安全逻辑解算器产生，包括节点18和20的底板76上的安全逻辑解算器50-56，还有通过环形总线74互连的过程装置10中其它节点的任何其他底板。然而，因为环形总线74在这些设备之间提供的通信互连可以实现同步，所以这种操作的结果是，即使当它们位于不同的节点中，安全系统14中所有的安全逻辑解算器可以同步操作。环形总线74可以采用期望类型的总线结构和协议，但最好采用点到点光纤线缆和具有大约10Mb/s吞吐量的10BaseT以太网协议。 

图4描述本地P2P总线104或106上使用的单一总线周期302的时序图300，说明了对于以下方式的时序的一个示例，其中，相对于安全系统14中的其他活动，P2P消息在P2P总线104或106中传送。总线周期302反映了合适的总线循环时间帧或总线循环周期，它被分成适当数量的独立时隙，每个单独时隙都具有选择的长度。可选择地，所有单独时隙都可以具有相同的固定长度。相关领域的技术人员能根据所用的通信协议和其它已知的设计因素，针对独立的时隙选择一个合适的总线循环周期和适当的时间间隔。同样，如果需要的话，除TDMA通信之外的其它类型的总线通信也可以应用到P2P总线104和106中。 

总的来讲，图4中的总线周期302被分成几个离散的时间块。根据已公开的例子，有四个时间块304、306、308和310，每个时间块都具有不同数量的不同长度的时隙。图4的总线周期302中，时间块304包括适当数目的独立时隙，每个时隙具有合适的长度。同样，时间块306、308和310的每个也都有适当数目的独立时隙，时间块306、308和310的每个时隙都有合适的长度。时间块304、306、308和310中独立时隙的数目和长度可以基于系统11的终端用户选择的通信协议的细节来进行选择。总的来讲，分派给时间块304的时隙不用来通过P2P总线104或106传送任何特定的通信。然而，在时间块304的部分312期间，总线104或106上的逻辑解算器执行输入采样操作(例如，采样与其相连的现场设备60和62的输入)，然后在安全逻辑解算器中执行安全逻辑控制算法或模块。当然，因为这些行为不使用P2P总线104或106，所以只要这些消息类型不干扰发生在这个时间周期中的采样和安全控制行为，任何消息类型都可以分配到时间块304中。无论如何，如图4所示，时间部分314都可以利用例如图3中的线50C、52C、54C和56C，在冗余安全逻辑解算器对之间传递同步信号。同样，在时间周期316中，执行总线104和106上安全逻辑解算器内的独立安全逻辑模块，计算并设置这些安全模块的输出。 

在时间块306期间，总线104或106上的安全逻辑解算器发送一组布尔数据值。布尔数据值由单个逻辑解算器生成，并最好是指示逻辑解算器内执行的逻辑结果的数字信号。在已公开的例子中，这样的数字信号可能部分适合安全系统11中通常采用的安全相关关闭消息。尤其是，每个安全逻辑解算器都在块时间周期306期间被提供一个或多个时隙，执行这个行为，并且其 它每个安全逻辑解算器和总线104或106上的MPD设备接收这些布尔数据的传输。 

在第三个时间块308期间，安全逻辑解算器在指定的时隙内通过本地P2P总线104或106发送它们的原始I/O数据值。再一次，在相应底板76上的每个其它本地安全逻辑解算器就接收这些发送信息，而MPDs则忽略这些发送信息。然而，如果总线104或106上的MPD已接收到具有全局目标地址的布尔消息(即，与过程装置10的不同节点有关的不同底板上定位的目标地址)，则MPD就为具有其它此类全局消息的消息打包，并且在时间周期318中通过全局P2P总线74将全局消息传送到下一个MPD。在此过程中，MPDs还传送(到环路74中的下一个MPD)从预先定位在环路上的其它MPDs接收的任何消息。当MPD看到本地产生的数据值时，它才停止传送消息。 

在时间块310中，MPD通过总线104或106传播寻址到本地安全逻辑解算器的全局消息(通过总线74从其它远程底板传送到MPD的消息)到那些安全逻辑解算器。因为这些全局消息先前已经由远程底板上的MPD打包成单一消息，因此一个单一的相对较大的时隙是必须的。 

可以理解，MPDs负责利用环形总线74将全局布尔消息从每个底板上的安全逻辑解算器传播到不同底板上的其它安全逻辑解算器。然而，MPDs还可以用于监视本地P2P总线104和106上、远程P2P总线74上、以及相应轨道总线90发送或接收部分上的通信行为。如果需要，初级MPD(例如70A或72A)连接到相应初级本地P2P总线104A或106A，连接到初级远程P2P总线74A，以及连接到相应轨道总线90和92的发送侧。可替换的，次级MPD 

70B和72B分别连接到相应次级本地P2P总线104B和106B，连接到次级远程P2P总线74B，以及连接到轨道总线90和92的接收侧。因此，MPDs可以监视轨道总线90和92以及本地及远程P2P总线104、106和74上的所有行为。如果需要的话，MPDs可以在发送出消息之前，例如，在利用10BaseT以太网监视器端口的总线74上，对所有消息进行收集并作出时标。一个外部以太网包检漏头可以用来捕获并显现来自监视器端口的所有通信。在一个例子中，每个底板76都能够支持32个安全相关I/O卡和两个信息传播设备(MPDs)。 

不同安全逻辑设备和MPDs的源地址可以从轨道总线消息获得，并可以由底板ID(BPID)和间隙ID(SID)组成，底板ID在每个节点中都是相同 的，但是在过程装置10中是唯一的，而间隙ID在节点与节点之间进行重复，但是在一个节点内是唯一的。同样，安全逻辑解算器可以从它们的SID获得本地P2P总线104或106内的传播时隙(相对于其他设备)。如果需要，不同节点的底板可以在10ms内相互同步。 

最好是，远程P2P总线74上的消息按照接收它们的顺序进行发送，并按组的方式仅在P2P总线通信周期的输入数据部分308期间发送。如果需要，相邻间隙中的安全逻辑解算器，例如逻辑解算器50A和50B可以根据它们在底板76中的位置自动配置成冗余及初级或次级冗余设备。冗余总线50C、52C等，可以安排在底板76内，与冗余设备对相连。总的来讲，如果配置成这样的话，尽管冗余对的次级或备用安全逻辑解算器不发送全局布尔消息使得MPDs将仅仅传播来自初级或激活安全逻辑服务器的全局布尔消息，但激活或初级安全逻辑解算器还是会发送全局布尔消息。当然，冗余对内的次级或备用安全逻辑解算器从激活或初级安全逻辑解算器、通过冗余链接50C、52C、54C和56C获得它的配置。该备用设备从激活设备、通过P2P链接104或106获得它的布尔和I/O数据。如果发生故障(在激活和备用安全逻辑解算器之间切换)，则新激活的安全逻辑解算器将在与失败的激活设备先前使用的一样的本地P2P总线104或106上的时隙内开始传播。如果激活安全逻辑解算器在特定数量的时隙内不发送消息，则备用安全逻辑解算器将与有效安全逻辑解算器一样自动接管，但是在这种情况下，新激活的安全逻辑解算器将在其自己的本地时隙内进行传播，而不是在先前激活安全逻辑解算器的时隙内。 

以下的方法可以用来使连接在本地P2P总线104或106上的安全逻辑解算器同步。首先，给这些设备提供电源，并指定来自控制器设备(管理轨道总线90或100)的BPID和SID。其次，逻辑解算器利用SID定义的时隙开始接收并分析来自P2P总线104或106的数据包。此行为被执行“等待发送”数量秒，如下计算： 

等待发送(秒)＝((64)(时隙持续时间))+((我的时隙-1)(时隙持续时间) 

如果在“等待发送”秒数过去之前没有接收到P2P总线数据包，则安全逻辑解算器立即在本地P2P总线104或106上发送“没有配置”的消息。然而，如果在“等待发送”时间内该安全逻辑服务器接收到一个或多个数据包，它会利用这些消息的时间和时隙来确定它自己发送时隙的相对位置(及时 地)。 

总的来讲，底板上的MPDs将与本地P2P总线104或106同步。然而，当缺少提供这种同步的本地安全逻辑解算器时，MPD将不会在本地P2P总线上进行发送，并将仅仅在本地安全逻辑解算器开始传播之后才与本地总线同步。一旦MPD接收到来自本地安全逻辑解算器的消息，它就能确定关于该安全逻辑解算器的时隙。 

尽管嵌入式安全系统可以采用许多可能消息结构或通信协议中的任何一个，但在本地P2P总线104和106以及远程P2P总线74中采用以下的消息结构。 

所有本地P2P总线消息通常包括三个基本部分，这三个基本部分包括前同步(例如1字节)、数据或消息部分(例如129字节)和后同步(1字节)。尽管数据部分包含了具有给定地址的实际消息，但前同步和后同步部分还是用于硬件同步。如果需要的话，硬件位插入可以出现在高级消息结构的消息部分。 

总的来讲，消息的数据或消息部分分成总长度达到给定应用程序的最大可用长度的七个字段。例如，可以有138个有效字节(包括前面协议的11个字节)。消息部分可以包括2字节源地址、2字节目标地址、1字节类型字段、1字节设备状态字段、1字节长度字段、0到128字节的消息字段以及4字节提供循环冗余数据的CRC字段。 

例如，按照利用这些字段的方式，源地址字段包括发送设备的地址。高阶字节包括底板ID(BPID)，低阶字节包括间隙ID(SID)。直到安全逻辑解算器具有一个配置的SOURCE ADDRESS，它才能在本地P2P总线上进行发送或接收。当电源上升时，每个安全逻辑解算器通过轨道总线从控制器获得它全部的SOURCE ADDRESS。SOURCE ADDRESS的底板ID(BPID)部分设置得与控制器IP地址的最大八比特组相等。SOURCE ADDRESS的间隙ID(SID)部分从控制器的轨道总线消息中获得。最好是，每个安全逻辑解算器直到获得全部SOURCE ADDRESS才在本地P2P上进行通信(发送或接收)。 

DESTINATION ADDRESS字段包括目标设备的地址。高阶字节包括BPID，低阶字节包括SID。当HB＝0且LB＝0时，消息用于总线上所有远程和本地安全逻辑解算器。当HB＝BPID且LB＝0时，消息用于本地底板上的所有节点。当HB＝BPID且LB＝0时，消息用于本地底板上的特定SID。最后， 当HB＝0且LB＝0时，表示一无效地址。 

消息TYPE字段包括关于消息类型的信息，该消息类型包含在消息日期字段中。可定义许多不同的消息类型。 

DEVICE STATUS字段可适当的划分以进行指示，例如诊断状态(指示出错或未出错)、切换状态(指示在进程中或不在进程中)、控制器模式(指示正常模式或工程模式)、安全跳闸状态(指示跳闸或未跳闸)、冗余状态(指示冗余或未冗余)、配置状态(指示配置或未配置)、控制器类型(由逻辑解算器确定，指示备用状态或激活状态)、以及模式(通过总线来自控制器的模式值，指示工程模式或正常模式)。 

LENGTH字段包括总线中即将来临的MESSAGE DATA字段的长度，属于从属信息。 

MESSAGE DATA字段是根据消息TYPE形成的消息有效载荷，具有依赖于该消息的长度。 

最后，CRC或循环冗余校验/代码字段是从SOURCE ADDRESS、TYPE、DEVICE STATUS、LENGTH和MESSAGE DATA字段中计算出来的，也属于从属信息。 

在已经公开的示例中，远程P2P总线消息仅仅能在MPDs之间发送。通常来讲，所有远程P2P总线消息在以太网IEEE 802.3协议信息包的DATA部分中被封存起来，该信息包包括，例如7字节前同步信号、1字节帧起始分界符、6字节目标地址、6字节源地址、2字节类型/长度字段、46至1500字节数据字段和4字节帧校验序列字段。 

如已知的，帧以在1与0之间交替变化的7字节前同步信号开始。当该帧被曼彻斯特编码后，前同步信号给接收站一个已知的用于锁定的模型。帧起始分界符跟随前同步信号，表示帧的开始。由于接收器将收听混合模式，所以目标和源地址通常不相互关连。 

以太网TYPE字段/IEEE 802.3 LENGTH字段表示用于剩余帧的协议，长度字段表示该帧的数据部分的长度。因为以太网帧和IEEE 802.3帧要共存在同样的LAN上，所以帧的长度字段一直必须总是与所用的任何类型字段不同。这个事实将帧的数据部分的长度限制到1500字节，总帧长度限制到1518字节。对于安全逻辑解算器应用程序来说，类型将是以太网，数据字段的长度将是消息的尺寸。数据字段包括安全逻辑解算器发送的P2P消息。数据长 度小于46字节的消息将被填充。如已知的，4字节的帧校验序列字段是标准的43位CCITT-CRC多项式。 

如果需要，高级消息结构的数据部分分成总长度达到最大值551字节(包括之前协议的6字节)的三个字段。另外，低级消息结构可用256种消息类型。类型字段唯一地识别每个消息类型，且消息类型有一个与长度字段相应的值，它确定每个消息的数据部分的长度。消息类型可以压缩在布尔数据中，该布尔数据具有封存在全部消息内的任何数量的1-32布尔数据消息。当然，如果需要的话，也可以发送其它类型的消息。 

尽管参考特定的示例对本发明进行了描述，但其仅仅是对本发明的说明，不能作为对本发明的限制，本领域普通技术人员应清楚得明白在不脱离本发明的精神和范围的情况下，可以对所公开的实施例进行改变、添加或删除。 

Claims (7)

1.一种用于具有安全网络、过程控制网络和用户工作站的过程装置的配置系统，该用户工作站通过共享的通信网络与所述安全网络和过程控制网络通信耦接，该配置系统包括：

用于指定安全模块给该安全网络中的安全元件以执行安全功能的部件；

用于指定过程控制模块给该过程控制网络中的过程控制元件以执行过程控制功能的部件；

用于通过该共享的通信网络下载该安全模块到安全元件中，下载该过程控制模块到过程控制元件中的部件；和

用于阻止该过程控制网络中的过程控制元件控制或配置该安全网络中的安全元件的部件，其用于在过程控制元件和安全元件之间提供必要的功能隔离。

2.根据权利要求1的配置系统，其中该配置系统适于使用户建立该安全模块。

3.根据权利要求2的配置系统，其中该配置系统适于建立安全模块，以与位于该过程装置相同节点上的其它安全元件中的其它安全模块通过本地总线进行通信，该本地总线连接于所述安全元件和其它安全元件之间，但并不与该过程控制元件连接。

4.根据权利要求3的配置系统，其中该安全元件位于该过程装置的第一节点上，并且其中该配置系统适于建立该安全模块，以通过连接于该过程装置中的第一和第二节点之间的远程总线与远程安全模块通信，该远程安全模块位于该过程装置第二节点的远程安全元件中。

5.根据权利要求1的配置系统，其中该配置系统适于在集成配置视图中显示所述安全元件和过程控制元件。

6.根据权利要求5的配置系统，其中该配置系统适于在该集成配置视图中显示与该安全元件关联的安全模块。

7.根据权利要求1的配置系统，其中该配置系统适于使用户建立该安全模块，并通过将安全模块拖曳到配置视图内的安全元件中，而将该安全模块指定给该安全元件。

Images