CN104281121B - 现场装置和数据处理方法 - Google Patents

Abstract

本发明公开了一种现场装置和数据处理方法。现场装置包括一个或多个处理器，所述一个或多个处理器被配置为执行关于安全关键数据的第一处理以及关于不如所述安全关键数据重要的安全非关键数据的第二处理，其中所述一个或多个处理器被配置为在所述第二处理中生成用于存储所述安全关键数据的第一请求，根据所述第一请求在所述第一处理中将所述安全关键数据存储在存储单元中，以及在所述第二处理中将所述安全非关键数据存储在所述存储单元中。

Description

现场装置和数据处理方法

相关申请的交叉引用

本申请要求于2013年7月11日提交的日本专利申请第2013-145753号的优先权，其内容通过引用合并于此。

技术领域

本发明涉及现场装置和数据处理方法。

背景技术

在车间或工厂等中，分布式控制系统(DCS)被配置为实施高水平的自动化操作。在分布式控制系统中，被称为现场装置的在现场的装置(测量仪器、驱动器、显示器和报警器)和控制现场装置的控制设备通过通信单元彼此连接。虽然构成这种类型的分布式控制系统的现场装置几乎总是通过电缆进行通信，然而近些年来，已实施了执行符合诸如ISA100.11a和之类的工业无线通信标准的无线通信的现场装置。

由于在车间等中实现安全性和可靠性是极其重要的，因此，构成功能上安全的系统的现场装置必须符合功能安全性标准，无论它们是通过电缆还是通过无线进行通信。分布式控制系统也需要具有与功能上安全的系统一样的标准。在这种情况下，术语功能安全性通常指的是通过引入功能改进(functional refinement)(建立安全性的功能)来建立所需的安全性等级，上述功能安全性标准提出这类标准。

美国专利申请公布第2010/0125427号公开了其中引入了针对功能安全性的功能的传统现场装置的示例。具体地，在美国专利申请公布第2010/0125427号中公开的现场装置将存储器存储区域分成存储对安全性重要的数据(安全关键数据)的第一区域和存储对安全性影响很小的数据(安全非关键数据)的第二区域，并通过存储器管理设备来管理对存储器的第一和第二区域的所有访问，以便保持数据的独立。

在美国专利申请公布第2010/0125427号中，因为存储在存储器的第一区域中的数据对安全性重要，所以不能被自由地重写。相反，由于存储在存储器的第二区域中的数据对安全性的影响很小，所以可以自由地重写。因此，虽然在美国专利申请公布第2010/0125427号中公开的现场装置可以将存储在存储器的第一区域中的数据传输到存储器的第二区域，但是可以预期的是，反之，其不能将存储在存储器的第二区域中的数据传输到存储器的第一区域。

在这种情况下，在2013年时，在上述美国专利申请公布第2010/0125427号中公开的混合传输型(智能传输型)现场装置中，与模拟信号(过程值)的采集和传输相关的处理被看作是对安全性重要的处理，与叠加在模拟信号上的数字信号的通信相关的处理被看作是对安全性影响很小的处理。由于这个原因，在上述美国专利申请公布第2010/0125427号中所公开的现场装置中，从传感器获取的测量值(过程值)以及应当被传输的过程值被存储在存储器的第一区域中，而从外部发出的控制数据(数字信号)被存储在存储器的第二区域中。

考虑到在上述美国专利申请公布第2010/0125427号中所公开的现场装置被设想为接收从外部发出的控制数据(指示改变传感器的测量范围的控制数据)。如上所述，这种控制数据被存储在存储器的第二区域中，并且，因为改变传感器的测量范围的处理是获取过程值的处理，所以需要将存储在第二区域中的控制数据传输到第一区域。

然而，对于在上述美国专利申请公布第2010/0125427号中公开的现场装置，由于存储在存储器的第二区域中的数据不能被传输到第一区域，所以使用与未引入针对功能安全性的功能的传统现场装置一样的过程来改变现场装置中设置的诸如测量范围之类的设定值被认为是不可能的。因此，尽管上述美国专利申请公布第2010/0125427号中公开的现场装置可以实现安全性，但是其存在严重损害使用便利性的风险。

发明内容

一种现场装置，可包括一个或多个处理器，其被配置为执行关于安全关键数据的第一处理以及关于不如所述安全关键数据重要的安全非关键数据的第二处理，其中所述一个或多个处理器被配置为：在所述第二处理中生成用于存储所述安全关键数据的第一请求，根据所述第一请求在所述第一处理中将所述安全关键数据存储在存储单元中，以及在所述第二处理中将所述安全非关键数据存储在所述存储单元中。

附图说明

图1是示出根据本发明的第一实施例的现场装置的构造的主要部分的框图。

图2是示出根据本发明的第一实施例的现场装置中的存储到存储器中的数据和从存储器中读出的数据的示图。

图3示出根据本发明的第一实施例的现场装置所使用的表格的示例。

图4是示出根据本发明的第一实施例的现场装置的操作示例的流程图。

图5是示出根据本发明的第二实施例的现场装置的构造的主要部分的框图。

图6是示出根据本发明的第三实施例的现场装置的构造的主要部分的框图。

图7是示出根据本发明的第一实施例的现场装置的变型示例的构造的主要部分的框图。

具体实施方式

以下将参考附图详细描述根据本发明的实施例的现场装置和数据处理方法。在下文中，为了便于理解，说明书使用了现场装置是测量在管道中流动的流体的流量的流量计的示例。虽然如此，除了测量流量的现场装置之外，本发明还可以应用于测量压力、温度、湿度、液面高度(水平高度)和PH值的现场装置中，以及分析流体成分等的现场装置。

(第一实施例)

图1是示出根据本发明的第一实施例的现场装置的构造的主要部分的框图。本发明的系统包括现场装置1和控制器50。如图1所示，本实施例的现场装置1具有感测单元10(传感器)、存储器20(存储单元)、传输通信单元30和CPU(中央处理单元)40。具有该构造的现场装置1测量在管道中流动的流体(未示出)的流量；将表示测量结果的过程值(模拟信号)传输到控制器50；将各种信号(数字信号)叠加到过程值上；以及与控制器50进行(数字)通信。

感测单元10被安装到待测流体在其中流动的管道，并在CPU40的控制下，测量在管道中流动的流体的流量。例如，感测单元10检测超声波信号沿着流体流动的方向传送时的穿过信号(穿过流体的超声波信号)，以及超声波信号沿着流体流动的反方向传送时的穿过信号。感测单元10基于检测穿过信号的结果来测量流体的流量。

存储器20是诸如RAM(随机访问存储器)之类的易失性存储器或者是诸如闪速ROM(只读存储器)或EEPROM(电可擦除可编程ROM)之类的非易失性存储器。存储器20存储现场装置1使用的对安全性重要的安全关键数据和对安全性影响很小的安全非关键数据。安全非关键数据没有安全关键数据重要。

在这种情况下，可以引用的上述对安全性重要的数据的示例包括：用于设置感测单元10的测量范围的数据；用于调整或校准感测单元10的数据；以及表示设置在感测单元10中的传感器元件所特有的特性(传感器常量)的数据。

可以引用的上述对安全性具有很小影响的数据的示例包括涉及与控制器50通信的数据和用于显示在现场装置1中设置的未示出的显示装置上的初始屏幕的数据。

图2是示出根据本发明的第一实施例的现场装置中的被存储到存储器中的数据和从存储器中读出的数据的示图。如图2所示，参考标记D1应用至存储到存储器20中或从存储器20中读出的对安全性重要的数据，参考标记D2应用至存储到存储器20中或从存储器20中读出的对安全性影响很小的数据。

例如，传输通信单元30连接到遍布车间中的现场位置而铺设的传输线(例如，用于传输4到20mA信号的传输线)。在CPU40的控制下，传输通信单元30将上述过程值传输到控制器50，并通过不同信号(数字信号)与控制器50通信。传输通信单元30采用例如工业处理通信协议(诸如或BRAIN)进行通信。

CPU40执行对现场装置1的操作的整体控制。例如，CPU40执行控制感测单元10，从感测单元10获取测量结果，以及将获取的测量结果转换为上述过程值的处理。CPU40还控制存储器20，执行读取存储在存储器20中的数据的处理或将数据存储到存储器20中的处理。CPU40还控制传输通信单元30，将过程值传输到控制器50并与控制器50进行(数字)通信。

通过一个或多个处理器执行第一处理41和第二处理42。术语“处理器”是使用硬件或软件组件来实现的。术语“处理”指的是由一个或多个处理器执行的动作或一系列动作。与软件组件一起实现所述一个或多个处理器的硬件的典型示例是一个或多个CPU40。在本实施例中，第一处理41和第二处理42在CPU40内部实现。第一处理41是关于存储在存储器20中的对安全性重要的数据D1(参见图2)而对安全性重要的处理。与此相反，第二处理42是关于存储在存储器20中的对安全性影响很小的数据D2而对安全性影响很小的处理。

例如通过CPU40读出并执行存储在存储器20中的用于实现每个处理的程序来实现第一处理41和第二处理42。例如，如果CPU40具有两个内部处理器内核(双处理器内核)，则第一处理41和第二处理42通过每个处理器内核并行执行。相反，如果CPU40中具有一个处理器内核(单个处理器内核)，则第一处理41和第二处理42通过单个处理器内核时分执行。

在这种情况下，在第一处理41中执行的对安全性重要的处理例如是从感测单元10获取测量结果的处理；将感测单元10的测量结果转换成过程值的处理；以及传输所述过程值的处理。在第二处理42中执行的对安全性影响很小的处理例如是与控制器50的通信处理(与数字通信相关的处理)。

第一处理41包括由信号处理单元41a、写处理单元41b、读出处理单元41c以及请求接受处理单元41d执行的处理。信号处理单元41a执行获取感测单元10的测量结果的处理；将感测单元10的测量结果转换成过程值的处理；以及传输所述过程值的处理。

写处理单元41b执行将从信号处理单元41a或请求接受处理单元41d输出的对安全性重要的数据D1存储到存储器20中的处理。在信号处理单元41a中没有执行处理时的空闲时间内，写处理单元41b执行对从请求接受处理单元41d输出的对安全性重要的数据的存储。这是为了防止从信号处理单元41a输出的数据的写入被阻碍的情形以及在规定时间内完成在信号处理单元41a中执行的第一处理被阻碍的情形。

读出处理单元41c在信号处理单元41a的控制下执行从存储器20读出对安全性重要的数据D1的处理。请求接受处理单元41d执行接受来自第二处理42的对安全性重要的数据的写请求，并且基于所接受的写请求，使得写处理单元41b将对安全性重要的数据D1存储到存储器20中的处理。

第二处理42包括由通信处理单元42a、写处理单元42b、读出处理单元42c和写请求处理单元42d执行的处理。通信处理单元42a执行涉及与控制器50一起执行的数字通信的处理。通信处理单元42a检查通过与控制器50通信所接收的数据是否合适。例如，如果接收到设置感测单元10的测量范围的数据，则做出关于数据值是否在感测单元10的可设置范围内的检查。

通信处理单元42a具有用于识别数据类型的表格。通信处理单元42a通过参考该表格来识别通过与控制器50通信所接收的数据的类型。此外，通信处理单元42a将接收的数据输出到写处理单元42b或写请求处理单元42d。图3示出了根据本发明的第一实施例的现场装置所使用的表格的示例。如图3所示，在通信处理单元42a中设置的表格针对每个数据指示该数据是对安全性重要(安全关键数据)还是对安全性影响很小(安全非关键数据)。

在图3所示的示例中，“范围设置”数据、“校准”数据和“传感器常量”数据被指示为对安全性重要的数据(安全关键数据)。此外，“通信设置”数据和“显示设置”数据被指示为对安全性影响很小的数据(安全非关键数据)。如果数据类型被识别为对安全性重要的数据(安全关键数据)，则通信处理单元42a参考表格并将数据输出到写请求处理单元42d。然而，如果参考了表格并且数据类型被识别为对安全性影响很小的数据(安全非关键数据)，则数据被输出到写处理单元42b。

写处理单元42b执行将从通信处理单元42a输出的对安全性影响很小的数据D2存储到存储器20中的处理。另一方面，写处理单元42b被禁止将数据D1存储到存储器20中。在从控制器50接收到用于读出对安全性影响很小的数据D2的请求命令的通信处理单元42a的控制下，读出处理单元42c从存储器20中读出对安全性影响很小的数据D2。如图2所示，读出处理单元42c不仅可以读取对安全性影响很小的数据D2，还可以读取存储在存储器20中的对安全性重要的数据D1。

写请求处理单元42d在通信处理单元42a的控制下，生成用于存储对安全性重要的数据的请求并将该请求提供至第一处理41。虽然写处理单元42b可以执行将对安全性影响很小的数据D2存储到存储器20中的处理，但是它不能将对安全性重要的数据D1写入存储器20中。由于这个原因，在本实施例中，第一处理41包括由请求接受处理单元41d执行的处理，第二处理42包括由写请求处理单元42d执行的处理。此外，通过生成用于存储对安全性重要的数据的请求并将该请求从写请求处理单元42d提供至请求接受处理单元41d，来将对安全性重要的数据D1写入到存储器20中。

下面，将描述具有上述构造的现场装置1的操作。图4是示出根据本发明的第一实施例的显示现场装置的操作示例的流程图。每当接收到从控制器50发出的命令(包括数据)时开始图4的流程图。下面，为了便于理解，依次描述已从控制器50发送写请求命令(将数据写(存)入存储器20的命令)时的操作和从控制器50接收到读出请求命令(从存储器20中读出数据的命令)时的操作(读出操作)。

(写操作)

当从控制器50发出写请求命令(包括将存储的数据)时，该写请求命令在传输通信单元30处被接收并输出到在CPU40中实现的第二处理42的通信处理单元42a。当写请求命令被输入时，通信处理单元42a执行检查(核查)写请求命令中包括的数据是否恰当的处理(步骤S11)。例如，如果设置感测单元10的测量范围的数据包括在写请求命令中，则执行处理来检查数据值是否在感测单元10的可设置范围内。

当上述检查完成时，通信处理单元42a执行判断包括在写请求命令中的数据是否恰当的处理(步骤S12)。如果判断出该数据不恰当(在步骤S12处为“否”判断结果)，则终止图4所示的处理。结果是，在现场装置1中，基于已发出的写请求命令不执行任何处理，包括不恰当数据的写请求命令作为通信错误被返回到控制器50。

然而，如果判断出包括在写请求命令中的数据是恰当的(在步骤S12处为“是”判断结果)，则通信处理单元42a执行判断接收数据类型的处理(步骤S13)。具体地，通信处理单元42a参考图3中的示例示出的表格，判断接收的数据是对安全性重要的数据(安全关键数据)还是对安全性影响很小的数据(安全非关键数据)。

在这种情况下，例如，如果接收的数据是设置感测单元10的测量范围的数据，则基于图3所示的表格判断该数据为安全关键数据。通信处理单元42a随后进行判断以区分数据读出(R)和写入(W)(步骤S14)。在这种情况下，因为控制器50已发送写请求命令，所以判断是写(W)。

当做出写(W)判断时，通信处理单元42a将要存储到存储器20中的数据输出到写请求处理单元42d。之后，除了将数据从写请求处理单元42d传输到在第一处理41中实现的请求接受处理单元41d之外，还提出写数据的请求(步骤S15)。

一旦从写请求处理单元42d接收到数据和写请求，请求接受处理单元41d基于所接受的写请求，使得写处理单元41b执行将数据(对安全性重要的数据D1)存储到存储器20中的处理。具体地，请求接受处理单元41d将要存储到存储器20中的数据输出到写处理单元41b，指示写处理单元41b执行写。当做出该写指令时，写处理单元41b执行将对安全性重要的数据D1存储到存储器20中的处理(步骤S16)。

伴随或替代在步骤S11处的检查处理和在步骤S12处的判断处理，在请求接受处理单元41d使得写处理单元41b执行写之前，其可以使得进行与在步骤S11处的检查处理和在步骤S12处的判断处理一样的处理。即，可以在请求接受处理单元41d中设置执行与在步骤S11处的检查处理和在步骤S12处的判断处理类似的处理的第一检查单元。在第一处理41侧的检查也使得能够增强功能安全性。

此外，在第一处理41中，通过上述处理读取新存储到存储器20中的数据(例如，设置感测单元10的测量范围的数据)，使得能够通过反映数据的内容来改变感测单元10的测量范围。

然而，如果在步骤S13处接收的数据是“通信设置”数据，则基于图3所示的表格判断该数据为安全非关键数据。通信处理单元42a然后进行判断以区分数据读出(R)和写入(W)(步骤S17)。在这种情况下，因为考虑到已从控制器50发出写请求命令，判断将是写入(W)。当做出写入(W)判断时，通信处理单元42a输出将存储到存储器20中的数据到写处理单元42b，这使得写处理单元42b执行将对安全性影响很小的数据D2存储到存储器20中的处理(步骤S18)。

(读出操作)

当从控制器50发出读出请求命令时，读出请求命令在传输通信单元30处被接收并输出到在CPU40中实现的第二处理42的通信处理单元42a。当读出请求命令被输入时，通信处理单元42a执行检查(核查)该读出请求命令所请求的数据是否恰当的处理(步骤S11)。

当上述检查完成时，通信处理单元42a执行判断读出请求命令所请求的数据是否恰当的处理(步骤S12)。如果判断出数据不恰当(在步骤S12处为“否”判断结果)，则终止图4所示的处理。结果是，在现场装置1中，基于已发出的读出请求命令不执行任何处理，请求不恰当数据的读出请求命令作为通信错误返回到控制器50。例如，数据被判断为不恰当的一个情况是读出请求所针对的数据不对应于图3所示的任何数据类型。

相反，如果判断出读出请求命令所请求的数据是恰当的(在步骤S12处为“是”判断结果)，则通信处理单元42a执行判断请求读出的数据的类型的处理(步骤S13)。具体地，通信处理单元42a参考图3所示的表格并判断请求读出的数据是对安全性重要的数据(安全关键数据)或对安全性影响很小的数据(安全非关键数据)。

在这种情况下，如果我们考虑请求读出的数据例如是“校准”数据的情况，则基于图3所示的表格，判断该数据为“安全关键数据”。通信处理单元42a随后进行判断以区分数据读出(R)和写入(W)(步骤S14)。在这种情况下，因为已从控制器50发送读出请求命令，所以判断为读出(R)。

当做出读出(R)判断时，通信处理单元42a控制读出处理单元42c使得读出处理单元42c从已存储在存储器20中的对安全性重要的数据D1中读出由读出请求所指定的数据(步骤S19)。由读出处理单元42c读出的数据被输出到通信处理单元42a，通信处理单元42a控制传输通信单元30使得数据被传送到控制器50。

然而，如果在步骤S13处所接收的数据例如是“显示设置”数据，则基于图3所示的表格，判断该数据为“安全非关键数据”。之后，通信处理单元42a判断以区分数据读出(R)和数据写入(W)(步骤S17)。在这种情况下，因为已从控制器50发送读出请求命令，所以判断是读出(R)。

当做出(R)判断时，通信处理单元42a控制读出处理单元42c使得读出处理单元42c从已存储在存储器20中的对安全性影响很小的数据D2中读出由读出请求所指定的数据(步骤S20)。由读出处理单元42c读出的数据以与读出处理单元42c读出对安全性重要的数据D1的情况一样的方式输出到通信处理单元42a。通信处理单元42a控制传输通信单元30使得数据被传送到控制器50。

如上所述，在本实施例中，由CPU40执行的处理被分成执行对安全性重要的处理的第一处理41和执行对安全性影响很小的处理的第二处理42。由于这个原因，本实施例可以改善每个处理的独立性，使得对安全性重要的处理41不受对安全性影响很小的处理器42的影响，从而实现安全性。

在本实施例中，第二处理42包括由写请求处理单元42d执行的处理，写请求处理单元42d生成用于写对安全性重要的数据D1的请求并将该请求提供至第一处理41，第一处理41包括由请求接受处理单元41d执行的处理，请求接受处理单元41d接受来自写请求处理单元42d的写请求。结果是，如果控制器50通过第二处理42产生写请求并将该写请求供给第一处理41来向现场装置1发送写请求命令以书写对安全性重要的数据D1，则可以将对安全性重要的数据D1存储到存储器20中。

因此，可以通过与采用未引入针对功能安全性的功能的传统现场装置一样的过程来改变诸如在现场装置中设置的测量范围之类的设置值。这样，本实施例在未导致使用便利性的丧失的情况下建立了功能安全性。

此外，在本实施例中，在第二处理42中读出处理单元42c可直接从存储器20中读出对安全性重要的数据D1。由于这个原因，可以在不影响第一处理41中的处理的情况下读出存储在存储器20中的对安全性重要的数据D1。由此可见，本实施例使得功能安全性的认证范围被限制在第一处理41，并且使得用于获取功能安全性的认证的人力和成本降低。

(第二实施例)

图5是示出根据本发明的第二实施例的现场装置的构造的主要部分的框图。在图5中，为了便于理解，存储到存储器20中的数据和从存储器20中读出的数据按与图2相同的方式示出。如图5所示，在本实施例的现场装置2中，存储在存储器20中的对安全性重要的数据D1包括非公开数据D11和公开数据D12。

非公开数据D11只能通过第一处理41读出和写入。相反地，公开数据D12可以通过第一处理41读出和写入并且可以通过第二处理42读出。对安全性影响很小的数据D2只能通过第二处理42读出和写入。

在这种情况下，可以引用的非公开数据D11的示例是在信号处理单元41a进行处理的过程中临时存储在存储器20中的数据(临时数据)等。相反地，公开数据D12的示例是关于第一实施例描述的数据(诸如设置感测单元10的测量范围的数据、用于调整和校准感测单元10的数据、以及指示设置在感测单元10中的传感器所特有的特性(传感器常量)的数据)。

为了处理非公开数据D11和公开数据D12，本实施例的现场装置2具有写处理单元51和读出处理单元52来取代第一处理41中执行的写处理单元41b和读出处理单元41c。写处理单元51执行将从信号处理单元41a输出的临时数据(非公开数据D11)存储到存储器20中以及将从信号处理单元41a或请求接受单元41d所输出的数据(如相对于第一实施例描述的与对安全性重要的数据D1对应的数据)作为公开数据D12存储到存储器20中的处理。类似于写处理单元41b，在信号处理单元41a中没有执行处理时的空闲时间内,写处理单元51执行写入从请求接受处理单元41d输出的数据的处理。

在信号处理单元41a的控制下，读出处理单元52执行从存储器20中读出临时数据(非公开数据D11)的处理或从存储器20中读出公开数据D12的处理。由读出处理单元52读出的数据(非公开数据D11或公开数据D12)被输出到信号处理单元41a。

除了只通过第一处理41来完成非公开数据D11的读出和写入之外，在具有上述构造的现场装置2中，操作基本与第一实施例的现场装置1中的操作相同。即，现场装置2根据图4所示的流程图进行操作。由于这个原因，将省略对本实施例的现场装置2的详细操作说明。

如上所述，同样在本实施例中，由CPU40执行的处理被分为第一处理41和第二处理42。写请求处理单元42d在第二处理42中执行，请求接受处理单元41d在第一处理41中执行。由于这个原因，同样在本实施例中，可以在不导致使用便利性丧失的情况下建立安全性。

此外，在本实施例中，对安全性重要的数据D1被分成只能通过第一处理41读出和写入的非公开数据D11和可以通过第一处理41读出和写入并且可以通过第二处理42读出的公开数据D12。这可以防止只能通过第一处理41处理的数据通过第二处理42进行处理的情形，可以增强安全性等级，并降低用于获取功能安全性的认证的人力和成本。

(第三实施例)

图6是示出根据本发明的第三实施例的现场装置的构造的主要部分的框图。同样在图6中，存储到存储器20中的数据和从存储器20中读出的数据按与图2相同的方式示出。如图6所示，本实施例的现场装置3具有读出处理单元61和请求接受处理单元62来替代在图1所示的现场装置1的第一处理41中执行的读出处理单元41c和请求接受处理单元41d，并且具有通信处理单元71、读出处理单元72和请求处理单元73来替代在第二处理42中执行的通信处理单元42a、读出处理单元42c和写请求处理单元42d。

在第一和第二实施例的现场装置1和2中，第二处理42生成对安全性重要的数据D1的写请求并将该写请求提供至第一处理41。相比之下，在本实施例的现场装置3中，第二处理42可以生成对安全性重要的数据D1的写请求以及对安全性重要的数据D1的读出请求，并将该写请求和读出请求提供至第一处理41。

读出处理单元61在信号处理单元41a的控制下执行从存储器20中读出对安全性重要的数据D1的处理，以及在请求接受处理单元62的控制下执行从存储器20中读出对安全性重要的数据D1的处理。在请求接受处理单元62的控制下由读出处理单元61读出的对安全性重要的数据D1经由请求接受处理单元62传输到第二处理42的请求处理单元73。

请求接受处理单元62执行从第二处理42接受写入或读出对安全性重要的数据的请求的处理。一旦从第二处理42接受写请求，请求接受处理单元62基于该写请求使得写处理单元41b执行将对安全性重要的数据D1存储到存储器20中的处理。相反地，一旦从第二处理42接受读出请求，则基于该读出请求使得读出处理单元61执行从存储器20中读出对安全性重要的数据D1的处理。

类似于图1所示的设置在现场装置1中的通信处理单元42a，通信处理单元71执行关于与控制器50进行数字通信的处理；检查通过通信所接收的数据是否恰当的处理；以及使用图3所示的表格来识别接收到的数据的类型的处理。然而，在从控制器50发出对于安全性重要的数据(安全关键数据)的读出请求命令时，图1所示的通信处理单元42a控制读出处理单元42c执行读出。相比之下，在从控制器50发出对安全性重要的数据(安全关键数据)的读出请求命令时，图6所示的通信处理单元71相对于请求处理单元73执行对安全性重要的数据(安全关键数据)的读出。

在通信处理单元71的控制下，读出处理单元72执行从存储器20中读出对安全性影响很小的数据D2的处理。然而，与图1所示的通信处理单元42c形成对照，其不能读出存储在存储器20中的对安全性重要的数据D1。在通信处理单元71的控制下，请求处理单元73执行对安全性重要的数据相对于第一处理41的写入或读出。即，在本实施例中，第一处理41包括由请求接收处理单元62执行的处理，第二处理42包括由请求处理单元73执行的处理，使得请求处理单元73生成写入或读出对安全性重要的数据的请求并将该请求提供至请求接受处理单元62，使得对安全性重要的数据D1被存储到存储器20中或从存储器20中读出。

在具有上述构造的现场装置3中，除了在从第二处理42向第一处理41提出读出请求时经由第一处理41读出对安全性重要的数据D1之外，操作基本与第一实施例的现场装置1中的操作相同。即，在图4的流程图中，如果步骤S19被改为“生成数据读出请求并基于请求由读出处理单元61读数数据”，则获得了示出本实施例的现场装置3的操作的流程图。由于这个原因，省略本实施例的现场装置3的操作的详细说明。

如上所述，同样在本实施例中，CPU40的处理被分为第一处理41和第二处理42。请求处理单元73在第二处理42中执行，请求接受处理单元62在第一处理41中执行，从第二处理42向第一处理41提出对安全性重要的数据D1的写入或读出请求。由于这个原因，本实施例同样在不会引起使用便利性丧失的情况下就可以实现功能安全性。

此外，在本实施例中，基于相对于第一处理41分别来自第二处理42的读出和写入请求，在第一处理41中执行对安全性重要的数据D1的写入和读出。由于这个原因，虽然可预期到第一处理41的负担比起第一和第二实施例将略微增加，但是可以明确地分开写入和读出授权，使得只有第一处理41可以基于来自第二处理42的请求来执行对安全性重要的数据D1的读出和写入；并且使得只有第二处理42可以执行对安全性影响很小的数据D2的读出和写入。

虽然以上已描述了根据本发明的各实施例的现场装置和数据处理方法，但是本发明不限于上述实施例并且可以在其范围内任意修改。例如，虽然上述实施例中的示例描述了由CPU40执行的处理根据软件来划分，但是该处理可以根据硬件来划分。例如，可以使用MMU(存储器管理单元)和MPU(存储器保护单元)等的功能来划分硬件。通过使用这类硬件，软件处理负担可以极大地降低，这在必须具有低CPU40操作频率并且在低功率消耗下操作的现场装置中是有利的。

另外，如图7所示，诸如MMU或MPU之类的存储器控制单元(存储器控制器)80可以设置在CPU40和存储器20之间，由存储器控制单元80控制针对对安全性重要的数据D1和对安全性影响很小的数据D2的访问。图7是示出根据本发明的第一实施例的现场装置的变型示例的构造的主要部分的框图。第二处理42向第一处理41提供安全关键数据和存储该安全关键数据的写请求。第一处理41向存储器控制单元80提供安全关键数据和自第二处理42接收的存储该安全关键数据的写请求。存储器控制单元80根据存储安全关键数据的写请求将自第一处理41接收的安全关键数据存储到存储器20中。第一处理41执行关于存储在存储器20中的安全关键数据的第一处理。第二处理42执行关于没有安全关键数据重要的安全非关键数据的第二处理。第一处理41和第二处理42被禁止将安全关键数据存储到存储器20中。采用这种方式，通过设置存储器控制单元80来执行访问控制，不仅可以降低CPU40执行的与访问控制相关的处理负担，而且可以实现更加安全的访问控制。这种存储器控制单元80也可以应用到第二和第三实施例的现场装置2和现场装置3。

上述实施例描述了通过第一处理41和第二处理42直接访问存储器20的示例。然而，第一处理41和第二处理42可以在操作系统(OS)中运行，并且可以通过使用操作系统的功能来限制对存储器20的访问。使用这种操作系统有利于创建多处理(例如第一处理41和第二处理42)程序，或者创建其中执行获取测量结果并将它们转换为过程值的处理的多任务程序，还有利于存储器和外围设备的管理。

在上述实施例中，针对现场装置是测量例如流量或温度的传感器装置的示例进行了说明。然而，本发明还可以应用到诸如流量控制阀和开/关阀之类的阀装置；诸如风扇或电机之类的驱动器；诸如静物相机和视频相机之类的捕获车间中的状态和物体的成像装置；诸如麦克风和扬声器之类的采集异常声音等并在车间中发出警报等的音频装置；输出各种装置的位置信息的位置检测装置；表明现场装置所测量的过程值等的显示装置；以及其他现场装置。

在上述实施例中，对经由传输线(例如，传输4到20mA信号的传输线)进行传输和(数字)通信过程值的现场装置的示例进行了说明。然而，本发明可以应用到经由电缆网络或无线网络来通信过程值和各种信号(例如，控制信号)的现场装置。符合ISA100.11a无线通信的现场装置；符合无线通信的现场装置；符合无线通信的现场装置；或者符合无线通信的现场装置可以用作经由网络无线通信的现场装置。

虽然以上描述并示出了本发明的优选实施例，但是应当理解的是，这些是本发明的示例而不应认为是限制。可以在不脱离本发明的范围的情况下做出增加、省略、替换和其他修改。因此，本发明不应当解释为受上述说明的限制，而是仅由所附权利要求的范围来限制。

Claims (19)

1.一种现场装置，包括：

一个或多个处理器，其被配置为执行关于安全关键数据的第一处理以及关于不如所述安全关键数据重要的安全非关键数据的第二处理，其中

所述一个或多个处理器被配置为：

在所述第二处理中，生成用于存储所述安全关键数据在存储单元中的第一请求；

在所述第一处理中，根据所述第一请求将所述安全关键数据存储在所述存储单元中；

在所述第二处理中，将所述安全非关键数据存储在所述存储单元中；以及

在所述第二处理中，允许从所述存储单元中读出所述安全关键数据。

2.根据权利要求1所述的现场装置，其中

所述一个或多个处理器被配置为在所述第二处理期间禁止将所述安全关键数据存储到所述存储单元中。

3.根据权利要求2所述的现场装置，其中

所述一个或多个处理器被配置为在所述第二处理中从所述存储单元中读出所述安全关键数据。

4.根据权利要求2所述的现场装置，其中

所述一个或多个处理器被配置为：

在所述第二处理期间禁止从所述存储单元中读出所述安全关键数据,

在所述第二处理中生成用于读取所述安全关键数据的第二请求，以及

根据所述第二请求在所述第一处理中从所述存储单元中读出所述安全关键数据。

5.根据权利要求1所述的现场装置，进一步包括：

传感器，

其中所述安全关键数据包括用于设置所述传感器的测量范围的数据，用于调整或校准所述传感器的数据，以及用于指示所述传感器特有的特性的数据。

6.根据权利要求5所述的现场装置，其中

所述一个或多个处理器被配置为在所述第一处理中执行从所述传感器获取信号的处理。

7.根据权利要求5所述的现场装置，其中

所述传感器被配置为测量在管道中流动的流体的流量。

8.根据权利要求1所述的现场装置，其中

所述现场装置与控制器是可连接的，所述控制器向所述现场装置提供数据和请求命令，并且

所述安全非关键数据包括所述现场装置和所述控制器之间的通信数据。

9.根据权利要求8所述的现场装置，其中

所述一个或多个处理器被配置为在所述第二处理中执行所述现场装置和所述控制器之间的通信处理。

10.根据权利要求8所述的现场装置，其中

所述一个或多个处理器被配置为在所述第二处理中核查从所述控制器接收的数据是否恰当。

11.根据权利要求10所述的现场装置，其中

在从所述控制器接收的数据不恰当的情况下，所述一个或多个处理器将从所述控制器接收的数据作为通信错误返回到所述控制器，以及

在从所述控制器接收的数据恰当的情况下，所述一个或多个处理器执行判断从所述控制器接收的数据的类型的处理。

12.根据权利要求11所述的现场装置，其中

在从所述控制器接收到用于设置传感器的测量范围的数据的情况下，所述一个或多个处理器通过判断从所述控制器接收的数据是否在预定范围内来核查从所述控制器接收的数据是否恰当。

13.根据权利要求11所述的现场装置，其中

在判断从所述控制器接收的数据的类型的处理中，所述一个或多个处理器参照将数据与数据类型相关联的表格来判断从所述控制器接收的数据是安全关键数据还是安全非关键数据。

14.根据权利要求1所述的现场装置，其中

所述一个或多个处理器执行对安全性重要的所述第一处理。

15.根据权利要求1所述的现场装置，其中

所述一个或多个处理器执行对安全性影响很小的所述第二处理。

16.一种现场装置，包括：

一个或多个处理器，其被配置为执行关于安全关键数据的第一处理以及关于不如所述安全关键数据重要的安全非关键数据的第二处理，以及

存储控制器，其被配置为控制将数据存储到存储单元中，其中

所述一个或多个处理器被配置为在所述第二处理中，生成用于存储所述安全关键数据到所述存储单元中的第一请求，

所述存储控制器被配置为：

在所述第一处理中，根据所述第一请求将所述安全关键数据存储到所述存储单元中，

在所述第二处理中，将所述安全非关键数据存储到所述存储单元中；以及

在所述第二处理中，允许从所述存储单元中读出所述安全关键数据。

17.根据权利要求16所述的现场装置，其中

所述一个或多个处理器被配置为禁止将所述安全关键数据存储到所述存储单元中。

18.一种数据处理方法，包括：

通过一个或多个处理器执行关于安全关键数据的第一处理；

通过所述一个或多个处理器执行关于不如所述安全关键数据重要的安全非关键数据的第二处理；

在所述第二处理中通过所述一个或多个处理器生成用于存储安全关键数据到存储单元中的第一请求；

在所述第一处理中根据所述第一请求通过所述一个或多个处理器将所述安全关键数据存储到所述存储单元中；

在所述第二处理中通过所述一个或多个处理器将所述安全非关键数据存储到所述存储单元中；以及

在所述第二处理中允许从所述存储单元中读出所述安全关键数据。

19.一种数据处理方法，包括：

通过一个或多个处理器执行关于安全关键数据的第一处理；

通过所述一个或多个处理器执行关于不如所述安全关键数据重要的安全非关键数据的第二处理；

在所述第二处理中通过所述一个或多个处理器生成用于存储安全关键数据到存储单元中的第一请求；

在所述第一处理中根据所述第一请求通过存储控制器将所述安全关键数据存储到所述存储单元中；

在所述第二处理中通过所述存储控制器将所述安全非关键数据存储到所述存储单元中；以及

在所述第二处理中允许从所述存储单元中读出所述安全关键数据。