CN113093612A - 安全仪表过程控制装置和方法 - Google Patents

Abstract

公开了用于冗余地控制对现场设备的供电的示例性装置和方法。示例性装置包括：第一开关，用于控制对现场设备供电；第二开关，包括第一门电路和第二门电路，第二开关串联地电耦合至第一开关，第二开关的第一和第二门电路彼此独立地受控制，第二门电路与第一门电路并联地电耦合；第一诊断控制器，用于控制对第一门电路供电；以及第二诊断控制器，用于控制第二开关，当第一开关、以及第二开关的第一和第二门电路中的一个或两者电闭合时，从电源向现场设备供电，并且当第一开关、或第二开关的第一和第二门电路两者电打开时，至现场设备的电源被切断，其中，第二开关是作为第一开关的安全备用设备，装置被配置为交替地测试第二开关的第一和第二门电路。

Description

安全仪表过程控制装置和方法

本申请是申请日为2013年9月30日、申请号为201310613160.9、发明创造名称为“安全仪表过程控制装置和方法”的发明申请的分案申请。

技术领域

本发明一般地涉及过程控制系统，更特别地涉及用于安全仪表过程控制系统的装置和方法。

背景技术

过程控制系统，诸如在化学、炼油、制药、纸浆和造纸、或其它制造过程中使用的，通常包括备用或安全系统以在当主系统发生故障时确保一个或多个现场设备的工作或对其进行断电。现场设备，例如可以为设备控制器、阀、阀致动器、阀定位器、开关以及传感器(例如，温度、压力、流速以及化学成分传感器)，或上述装置的组合，执行过程控制系统内的功能，例如打开或关闭阀、测量或推断过程参数。在紧急情况下，可对现场设备断电。

已知的安全仪表过程控制系统典型地包括具有多通道的输入/输出(I/O)卡的控制器。当对连接至I/O卡的一个通道的现场设备断电时，需要对所有通道进行组关闭。为了减轻组关闭的效应，I/O卡典型地配置为冗余对。然而，冗余对中的任何一个卡上的一个通道出现了错误，就会妨碍对现场设备的断电，这降低了系统的整体安全性。

发明内容

公开了一种用于冗余地控制对现场设备的供电的装置，所述装置包括：第一开关，用于控制对现场设备供电；第二开关，包括第一门电路和第二门电路，其中，所述第二开关串联地电耦合至所述第一开关，其中所述第二开关的所述第一门电路和所述第二门电路被彼此独立地控制，并且其中，所述第二门电路与所述第一门电路并联地电耦合；第一诊断控制器，用于控制对所述第一门电路供电；以及第二诊断控制器，用于控制第二开关，其中，当所述第一开关、以及所述第二开关的所述第一门电路和所述第二门电路中的一个或两者电闭合时，从电源向所述现场设备供电，并且其中，当所述第一开关、或所述第二开关的所述第一门电路和所述第二门电路两者电打开时，至所述现场设备的所述电源被切断，其中，所述第二开关是作为所述第一开关的安全备用设备，并且其中，所述装置被配置为交替地测试所述第二开关的所述第一门电路和所述第二门电路。

还公开了一种用于冗余地控制对现场设备的供电的方法，所述方法包括：向第一处理器发送信号以对现场设备断电；打开第一开关；使用所述第一处理器测量与所述第一开关相关联的第一二极管上的上的第一电压，其中如果所述第一电压基本上为非零，则指示第一诊断控制器通过打开第二开关以对所述第一开关断电，其中所述第二开关经由彼此独立地操作的第一门电路和第二门电路提供并联电流路径，其中所述第二开关与所述第一开串联地电耦合，其中所述第一门电路与所述第二门电路并联地电耦合，其中所述第一开关和所述第二开关限定电源与所述现场设备之间的串联电流路径以验证对所述现场设备的供电的冗余控制；当所述第一处理器或所述第一开关中的一个或多个出故障时，通过经由所述第一诊断控制器的输出来打开所述第二开关对所述第一开关断电，其中，当所述第一开关、以及所述第二开关的所述第一门电路和所述第二门电路中的一个或两者电闭合时，从电源向所述现场设备供电，并且其中，当所述第一开关、或所述第二开关的所述第一门电路和所述第二门电路两者电打开时，至所述现场设备的所述电源被切断，其中所述第二开关是作为所述第一开关的安全备用设备，以及交替地测试所述第二开关的所述第一门电路和所述第二门电路。

还公开了一种用于冗余地控制对现场设备的供电的装置，所述装置包括：用于控制对第一开关供电的装置，其中，所述用于控制供电的装置包括用于控制第二开关的冗余装置，其中所述第二开关串联地电耦合至所述第一开关电，其中所述第二开关包括彼此独立地受控制的第一门电路和第二门电路，其中，当所述第一开关、以及所述第二开关的所述第一门电路和所述第二门电路中的一个或两者电闭合时，从电源向所述现场设备供电，并且其中，当所述第一开关、或所述第二开关的所述第一门电路和所述第二门电路两者电打开时，至所述现场设备的所述电源被切断；以及用于交替地测试所述第二开关中的所述第一门电路和所述第二门电路的装置，所述第二门电路与所述第一门电路并联地电耦合。

附图说明

图1是根据本发明教导的示例性安全装置的示意图。

图2是图1的示例性装置的方框图。

图3是表示图1的装置的示例性工作方法的流程图。

图4是表示图1的装置的另一示例性工作方法的流程图。

图5示出了可用来实施图3和/或图4的方法以实现在此描述的任意或全部示例性方法、多个装置和/或单个装置的示例性处理器平台。

具体实施方式

虽然该说明书披露了包括在硬件上执行的软件和/或固件、及其它组件的示例性装置和方法，但应注意到，这种装置仅仅是示例性的且不应被考虑为是进行限定的。例如，可预期，任意和所有的这些硬件、软件和固件组件可具体实施为专用硬件、专用软件、或硬件和软件的任意组合。因而，虽然下文描绘了示例性装置和方法，但本领域普通技术人员容易理解，所提供的示例并非是实施这种装置和方法的仅有的方式。

示例性过程控制系统包括多个执行与特定过程(例如，化学过程、炼油过程、制药过程、纸浆和造纸过程，等)相关联的操作(例如，控制阀、控制电机、控制锅炉、监视、测量参数，等)的多个现场设备。一些过程控制系统是关键过程系统，当出现问题时应确保这些过程系统处于安全状态。举例来说，在例如包括紧急情况的一些情形下，应当切断或移除供应至现场设备的电力。具有高的诊断覆盖率的过程控制装置在紧急关闭应用中运行良好。过程控制装置可实施为具有不同的容错度。例如，一个组件的硬件容错度(例如，1oo2，1oo3)表示两个或三个组件中的一个可以出现故障，且与这些组件中的每一个关联的功能仍被执行。

安全仪表系统(SIS)，包括过程控制系统的硬件、软件和固件控制，用于执行特定的控制功能以维持安全工作和/或关闭过程控制系统。示例性SIS包括用以控制(例如，选通、开关、调节)一个或多个现场设备的通电的控制器卡(例如，I/O卡、微处理器)。示例性的卡具有设置为提供冗余的多个通道或元件(例如，晶体管、FET、继电器、开关)，从而如果一个元件出现故障，另一元件保持提供期望功能的能力，例如，破坏或干扰对现场设备的通电路径以对该现场设备断电。一些示例性控制器或I/O卡具有8、16或32个通道。在一些实施例中，采用卡的单个通道来对各个现场设备进行断电，和/或在主功率电平上关闭整个卡以对一个卡上的所有通道进行断电，因此，确保了安全关闭耦合至该卡的所有现场设备。

在本文披露的示例性系统中，SIS结合了冗余，这样在每个通道基础上具有可选择的冗余。这种冗余确保了在SIS工作期间，选择的关键通道是可操作的。由于可基于选择在通道上增加冗余，因而避免了在不需冗余的其它通道上增加冗余的额外花销。因而，如下文中将详细描述的，示例性装置采用了元件在输出电平上的一种布置(例如，结构)以控制对现场设备的通电，且当一个或多个元件出现故障时提供增加的冗余以断电。此外，示例性装置和方法还提供了多诊断核查(例如，测试)以确保关闭能力准备就绪。

附图1是示例性冗余安全装置100的示意图，例如安全装置100可用于对过程控制系统中的现场设备断电。装置100包括第一处理器102(例如，微处理器、卡、I/O卡、FPGA、ASIC和/或任意其它适宜的处理装置)以及第二处理器104，用以控制向负载106(例如，现场设备、控制器、阀、致动器、阀定位器、开关、传感器和/或任意其它与过程控制装置关联的负载)的通电。第一处理器102耦合到第一元件108和第二元件110，用于控制第一电源112向负载106施加或供应电力。在示出的示例中，第一和第二元件108、110例如可以包括一个或多个开关元件(例如，金属氧化物半导体场效应晶体管(MOSFET)、结型场效应晶体管(JFET)、双极结晶体管(BJT)、电机开关元件和/或任意其它适宜的开关元件)。第二元件110包括并联耦合(例如，电连接)的第一门电路114和第二门电路116。在该示例中，第二元件110与第一元件108串联耦合(例如，电连接)。当第一元件108和第二元件110的第一和第二门电路114、116中的一个或两者电闭合时(即，电路连通，从而电流流经元件108、110)，第一电源112向负载106供电。然而，第一元件108、或第一和第二门电路114和116电打开时(即，电路未连通，无电流流经)，向负载106的供电被切断(例如，移除、破坏)。在该示例中，第二元件110作为安全机构(例如，备用开关)运行。因此，当安全操作是用以打开电路以移除对负载106(例如，现场设备)的供电且第一元件108出故障关闭时(即，无法打开并继续导电)，则第二元件110通过打开第一和第二门电路114和116来实施对通过第一元件108向负载106的通电的关闭。

在示例性装置100中，第一元件108由第一处理器102控制。第一处理器102发送信号以打开和/或关闭第一元件108，从而控制经由第一元件108向负载106施加电力。第二元件110的第一和第二门电路114、116由第一诊断控制器118控制，而第一诊断控制器118通信地耦合至第一处理器102。第一诊断控制器118例如可以为FPGA、ASIC或组件的任意其它组合以控制并测试第一和第二门电路114、116，如在下文进一步详细披露的。

工作时，第一诊断控制器118发送信号以打开和/或关闭第一门电路114和/或第二门电路116以控制经由第二元件110向第一元件108施加或供应电力。第一元件108、第一门电路114和第二门电路116分别与二极管120、122、124关联。二极管120、122、124可以为任意合适类型的二极管或任意其它合适的整流装置。二极管120、122、124与下文会详细披露的电压读数结合使用。

如图1所示，第二处理器104包括与第一处理器102相似的输出电路，其作为向负载106供电和断电的冗余点而运作。第二处理器104控制第三元件126以控制从第二电源128向负载106的通电。可选地，电源112、128可以为同一电源。装置100包括第四元件130以控制向第三元件126供电。在示出的示例中，第三和第四元件126、130例如包括一个或多个开关元件(例如，金属氧化物半导体场效应晶体管(MOSFET)、结型场效应晶体管(JFET)、双极结晶体管(BJT)、电机开关元件和/或任意其它适宜的开关元件)。在该示例中，第四元件130包括并联地耦合(例如，电连接)的第三门电路132和第四门电路134。在该示例中，第四元件130与第三元件126串联耦合(例如，电连接)。与第二处理器104通信地耦合的第二诊断控制器136控制第三和第四门电路132、134。当第三元件126以及第三和第四门电路132、134中的一个或两者电闭合时，第二电源128向负载106供电。然而，第三元件126、或第三和第四门电路132和134电打开时，向负载106的供电被切断。第四元件130作为安全机构而运作。因此，当安全操作是用以打开电路以移除对负载106(例如，现场设备)的供电且第三元件126出故障关闭时(即，无法打开并断开电路)，则第四元件130被实施为阻止通过第三元件126向负载106的通电。第三元件126、第三门电路132和第四门电路134分别与二极管138、140、142关联，这些二极管与下文会详细披露的电压读数结合使用。与二极管120、122、124类似的，二极管138、140、142可以为任意合适类型的二极管或任意其它合适类型的整流装置。

如图1所示，第一处理器102的输出电路包括第一齐纳二极管144，第二处理器104的输出电路包括第二齐纳二极管146。第一和第二齐纳二极管144、146为安全机构而运作，以在电路中的电压过高时(即，当电压高于特定击穿电压时)将电力流接地。

工作时，第一处理器102及其各输出电路和/或第二处理器104及其各输出电路可向负载106供电。在将从负载106上移除电力的紧急关闭状态下，第一和第二处理器102、104及第一和第二诊断控制器118、136操作第一、第二、第三和第四元件108、110、126、130以电打开电路，从而切断对负载106的供电。因此，在这些示例中，安全关闭冗余存在于处理器的输出电平上。换言之，第一和第二处理器102、104皆能够选通对负载106供电，且在第一元件108和/或第三元件126出故障关闭时，提供其自身的安全机构(例如，第二和第四元件110、130)。

例如，在将从负载106上移除电力的紧急关闭状态下，假定第二元件110闭合，第一处理器102打开第一元件108以切断第一电源112向负载106的供电。第一处理器102随后测量第一元件二极管120上的电压。如果探测到电压基本为零，则第一元件108已正确操作，且没有电力流向负载106。然而，如果第一元件108出故障关闭时(即，电路是连通的，且经由第一元件108向负载106供电)，则第一处理器102探测第一元件二极管120上的电压(例如，大于零的电压)。这种情况下，第一处理器102向第一诊断控制器118发送信号以打开第二元件110(即，第一和第二门电路114、116)。如果第二元件110是打开的，则切断向第一元件108的供电，从而切断了向负载106的供电。因此，第二元件110作为当第一元件108无法打开时的备用或安全机构。

同样地，在紧急关闭状态下，第二处理器104打开第三元件126。然而，在第三元件126出故障关闭时，第二处理器104向第二诊断控制器136发送信号以打开第四元件130的第三和第四门电路132、134，则阻止了向第三元件126的供电，从而阻止了向负载106的供电。

如示例性装置100所示，也可在整个处理器点上形成安全关闭冗余。第一和第二诊断控制器118、136彼此通信地耦合(例如，交叉连接)、且通过各个节点150、152上的第一通信线148通信地耦合至第一和第二处理器102、104。如果第一处理器102出故障，将无法控制第一和/或第二元件108、110，如果第二处理器104出故障，将无法控制第三和/或第四元件126、130。然而，由于第一和第二处理器102、104与第一和第二诊断控制器118、136通信地耦合，则可工作的处理器可向与出故障的处理器关联的诊断控制器发送信号以打开各个元件并切断向负载106的供电。在一些示例中，第一通信线148通常为防静电接地线(staticline)。因此，在过程控制系统的正常工作时，第一通信线148无信号。当出现故障并且处理器102、104中之一控制与另一处理器关联的其它元件110、130时，生成脉冲并通过第一通信线148进行通信。因此，在一些示例中，可基于探测第一通信线148上的任意信号来实施冗余控制。

例如，在紧急关闭状态下，第一处理器102用以打开第一元件108，第二处理器104用以打开第三元件126以移除向负载106的供电。当处理器发生故障时，例如，第一处理器102无法响应时，第二处理器104例如通过经由第一通信线148(例如当通信线148不是防静电接地线时)和/或第二通信线154和/或借由示例性系统100中的其它传感器的通信或者通信中断，而识别出第一处理器102出故障。由于第一处理器102出故障，第一处理器102不再向第一和/或第二元件108、110发送信号以切断向负载106的供电，从而电力继续流向负载106。第二处理器104，或第二诊断控制器136通过第一通信线148向第一诊断控制器118发送信号以打开第二元件110(即，第一和第二门电路114、116)以阻止向第一元件108供电，因而阻止了向负载106供电。在处理器点上的冗余确保了在紧急关闭状态下处理器出故障时仍进行正确的关闭。

如下文进一步详细描述的，装置100还在第一和第二诊断处理器118、136以及第二和第四元件110、130上形成了另一冗余点。该冗余点可操作以确保在测试安全装置100是否准备就绪时向负载106供电。虽然，图中绘出的装置100具有两个通道，但装置100可具有任意多个通道以增大冗余。

图2是示例性安全装置200的方框图，其可以包括图1的示例性冗余安全装置100。示例性装置200包括耦合至多个门电路204的电源202。在示出的示例中，门电路204控制向负载206的供电。电源202例如可为来自图1示出的安全装置100的第一和第二电源112、128，门电路204例如可为来自图1示出的安全装置100的第一、第二、第三和第四元件108、110、126、130中的一个或多个。在示出的示例中，门电路204可实施为使用晶体管、FET或继电器以控制电源202向负载206的供电。

如图2所示，装置200包括耦合至门电路204的处理器208。处理器208向门电路204发送信号以打开或关闭门电路204，从而控制向负载206的供电。在示出的示例中，处理器208还确定门电路204是否已经正确地打开和/或关闭。例如，处理器208可向一个或多个门电路204发送信号以关闭或移除向负载206的供电。随后，处理器208可测量是否仍有电力流经门电路204，以确定门电路204是否已打开。在门电路204并未打开的情况下，则处理器可208向一个或多个其它门电路发送一个或多个信号，其它门电路例如为设置在第一门电路之前的门电路，以切断向故障门电路(即，该示例中的第一门电路)的供电。

在示出的示例中，处理器208还耦接至诊断控制器210，诊断控制器201也耦接至门电路204。诊断控制器210例如可为来自图1示出的示例性装置100的、分别控制第二和第四元件110、130的第一和第二诊断控制器118、136。示出的示例的诊断控制器210执行多次打开和关闭测试，以确保门电路204正确地工作，从而门电路已准备好用于触发安全装置200工作的紧急或其它情况。

测试安全装置200是否已准备就绪时，诊断控制器210打开和/或关闭门电路，同时读取与门电路关联的电压电平。例如，当两个门电路电性并联时(例如，图1的装置的门电路114、116)，诊断控制器210例如通过打开第一门电路、关闭第二门电路，并测量与第一门电路关联的电压来测试装置200是否已准备就绪。如果探测到基本为零的电压，则装置200确定第一门电路正常工作，从而已准备好在触发安全装置200工作时进行工作。为继续测试是否准备就绪，诊断控制器210还关闭第一门电路、打开第二门电路，并测量与第二门电路关联的电压。如果探测到基本为零的电压，则装置200确定第二门电路正常工作，从而已准备好在触发安全装置200工作时进行工作。循环交替地测试第一门电路和第二门电路可持续下去，直到门电路都正常地打开和关闭。在一些示例中，可每约50毫秒测试一次是否已准备就绪。但也可使用其它合适的周期，例如包括不均匀的周期(即，不定期地)。

同样地，在一些示例性过程系统中，期望在没有引起安全装置200对负载206断电的紧急或其它情况时，持续地向负载206供电。在这种示例性装置中，提供电性并联的两个门电路，以向装置提供冗余。因此，第一门电路可保持关闭以向负载供电，而第二门电路被打开和测试。随后，第二门电路关闭以向负载供电，而第一门电路被打开和测试。

在示出的示例中，如上所述，处理器208和诊断处理器210在门电路204上测试是否准备就绪，以确保门电路204正常工作。当一个或多个门电路204未正常工作时(例如，出故障关闭和无法打开)，装置200包括报警模组212。报警模组212发送输出信号214以警告合适的人员安全装置200的一个或多个门电路204出现故障，应进行维修或替换。

在图2的示例性装置200中，电源202、门电路204、处理器208、诊断处理器210和报警模组212通过通信线路218通信地连接。通信线路218可为使用任意过去、现在或未来的通信协议(例如蓝牙、USB2.0等)的任意类型的有线(例如数据总线、USB接口等)或无线(例如，射频、红外等)通信机构。同样地，示例性装置200的组件可集成在一个装置中，或是分布在两个或更多装置中，和/或为冗余和增强安全性对其进行复制。

虽然图1和2中示出了实施安全装置100、200的示例方式，但图1和2中示出的一个或多个元件、程序和/或装置可被组合、分开、再-布置、省略、去除，和/或以任意其它方式实施。进一步地，图1和2的示例处理器102、104、208，示例诊断控制器118、136、210，示例电源112、128、202，示例门电路108、114、116、126、132、134、204，示例报警模组212、示例输出214，和/或，更普遍地，示例装置100、200可由硬件、软件、固件和/或硬件、软件和/或固件的任意组合来实施。因此，例如，图1和2的示例处理器102、104、208，示例诊断控制器118、136、210，示例电源112、128、202，示例门电路108、114、116、126、132、134、204、示例报警模组212、示例输出214，和/或，更普遍地，示例装置100、200中任意之一可由一个或多个电路、可编程控制器、专用集成电路(ASIC)、可编程逻辑装置(PLD)和/或现场可编程逻辑装置(FPLD)等来实施。若本专利的任一装置和方法权利要求覆盖纯粹的软件和/或固件实施时，示例处理器102、104、208，示例诊断控制器118、136、210，示例电源112、128、202，示例门电路108、114、116、126、132、134、204、示例报警模组212、示例输出214中的至少一个据此明确地定义为包括诸如内存、DVD、CD、蓝光碟等存储软件和/或固件的有形计算机可读取介质。进一步地，图1和2的示例装置100、200可包括除图1和2所示出的之外的一个或多个元件、程序和/或装置，或替换图1和2所示出的元件、程序和/或装置，和/或可包括多于一个的任意和全部的所示出的元件、程序和装置。

图3和4中示出了表述实施图1和2的示例装置100、200的示例性过程或方法的流程图。在该示例中，可使用由诸如处理器512的处理器执行的程序来实施方法，下文结合图5讨论的示例计算机500中示出处理器512。程序可具体为存储在诸如与处理器512关联的CD-ROM、软盘、硬盘驱动、数字化视频光盘(DVD)、蓝光盘或内存上的有形计算机可读取介质中的软件，但整个程序和/或其部分可选地由除处理器512之外的装置和/或实施为固件或专用硬件的装置执行。进一步地，虽然参考图3和4中示出的流程图描述了示例程序，但可选择使用实施示例装置100、200的许多其它方法。例如，可改变方框的执行顺序，和/或改变、去除或组合某些所描述的方框。

如上所述，可使用存储在有形计算机可读取介质中的编码指令(例如，计算机可读取指令)来实施图3和4的示例方法，有形计算机可读取介质例如为硬盘驱动、闪存、只读存储器(ROM)、高密度磁盘(CD)、数字化视频光盘(DVD)、高速缓冲存储器、随机存取存储器(RAM)和/或其中以任意存续时间存储信息(例如，长时间周期、永久地、短期、暂时缓冲和/或高速缓冲存储信息)的任意其它存储介质。本文中所使用的，术语有形计算机可读取存储介质明确地定义为包括任意类型的计算机可读取存储介质和/或存储磁盘，但不包括传播信号和传输介质。另外地或可选地，图3和4的示例程序可使用存储在永久计算机可读取介质中的编码指令来实施，永久计算机可读取介质例如为硬盘驱动、闪存、只读存储器、高密度磁盘、数字化视频光盘、高速缓冲存储器、随机存取存储器和/或其中以任意存续时间(例如，长时间周期、永久地、短期、暂时缓冲和/或高速缓冲存储信息)存储信息的任意其它存储介质。本文中所使用的，术语永久计算机可读取介质明确地定义为包括任意类型的计算机可读取存储介质和/或存储磁盘，但不包括传播信号和传输介质。本文中所使用的，术语“至少”在权利要求的前序部分中用作过渡词，其是开放式的，与开放式的术语“包括”相类似。因此，在前序部分中使用“至少”作为过渡词的权利要求可包括除权利要求中明确陈述的元件之外的其它元件。

图3中示出了测试装置是否准备就绪的示例方法300(方框300)。示例方法300例如可由图1中示出的示例装置100的第一和第二门电路114、116上的第一诊断控制器118和第一处理器102和/或由第三和第四门电路132、134上的第二诊断控制器136和第二处理器104执行。例如，如图1所示，第一元件108用以控制由第一电源112向负载106的供电。当在紧急关闭情况下第一元件108出故障闭合时，包括第一和第二门电路114、116的第二元件110切断向第一元件108的供电，从而切断了向负载106的供电。示例方法300可用作其它冗余点以确保第二元件110(即，安全机构)正常工作。

示例过程300包括闭合第一门电路(方框302)，打开第二门电路(方框304)以及测量第二门电路二极管两端的电压(方框306)。例如，可通过图1的装置100中示出的第一处理器102来测量电压。如果识别出电压(方框308)(即，电压不为零，有电力通过第二门电路)，则确定第二门电路无法打开，且例如通过向过程控制站发送可视和/或音频警报而输出替换第二门电路的报警信号(方框310)。如果未识别出电压(电压基本为零)(方框308)，则确定第二门电路正常工作，通过第二门电路的电力已切断。

示例过程300还包括闭合第二门电路(方框312)，打开第一门电路(方框314)。测量第一门电路二极管两端的电压(方框316)。例如通过第一处理器测量电压。如果识别出电压(方框318)(即，电压不为零，有电力通过第一门电路)，则确定第一门电路无法打开(即，出故障闭合)，且示例过程300例如通过向过程控制站发送可视和/或音频警报而发送替换第一门电路的警报(方框310)。如果未识别出电压(方框318)，则确定第一门电路正常工作，测试安全装置300是否准备就绪的示例过程重新开始。可每约50毫秒重复示例过程300，或以更短的时间间隔，从而反复地检查第二元件110和/或第四元件130、或安全机构是否正常工作(例如，已准备就绪)。

在示出的示例中，两个门电路中的一个总是闭合的，从而提供闭合电路以向负载供电。在一些示例过程装置中，期望的是持续供电。因而，采用电性并联的两个门电路以允许在保持并联的一个门电路闭合以不间断地向负载供电时，诊断控制器通过打开并检查另一门电路来执行包括准备评价的系统诊断。

图4是用于对现场设备断电(方框400)的示例方法400的流程图。例如通过图1中示出的示例系统100来执行示例过程400，以对负载106断电。例如，如图1所示，第一元件108用以控制第一电源112向负载106的供电。当在紧急关闭情况下第一元件108出故障闭合时，包括第一和第二门电路114、116的第二元件110用以切断向第一元件108的供电，从而切断了向负载106的供电。同样地，如果第一处理器102停止响应，则第二处理器104或第二诊断控制器136向第一诊断控制器118发送脉冲信号以打开第二元件110并切断对负载106的供电。

示例过程400包括发送对现场设备断电的信号(方框402)。例如，过程控制站或其它逻辑解算器向第一处理器发送信号以对现场设备/负载断电。第一处理器发送信号以打开第一元件(方框404)，从而断开通往现场设备的电力。如果确定出第一处理器在响应(方框406)，则测量第一元件二极管两端的电压(方框408)以确保第一元件已完全切断对负载的供电。在示例过程400中，确定第一元件二极管两端是否有电压(方框410)。如果在第一元件二极管两端未探测到电压(例如，电压基本为零)，则第一元件已正常打开，没有电力通往现场设备，示例过程400结束(方框412)。然而如果探测到基本非零的电压(方框410)，则发送信号以操作第一诊断(方框414)，用于打开第二元件(方框416)以对第一元件断电，从而对现场设备断电。在该示例中，假定根据图3的示例准备测试过程300，第二元件将正常运行。打开第二元件(方框416)，示例过程400结束(方框412)。

在图4的示例过程400中，如果确定第一处理器未响应(方框406)，第一处理器将无法打开第一元件和/或触发操作第一诊断元件以打开第二元件并对现场设备断电。在第一处理器未响应的情况下(方框406)，第二诊断控制器或第二处理器识别出第一处理器出现故障，并向第一诊断控制器发送脉冲信号(方框418)。第一诊断控制器打开第二元件(方框416)以对第一元件断电，从而也切断了对现场设备的供电，示例过程400结束(方框412)。

图5是能够执行图3和4的指令以实现图1和2的示例装置100、200的示例计算机500的方框图。计算机500例如可以为服务器、个人计算机、因特网装置、蓝光播放器或任意其它类型的计算装置。

该示例的装置500包括处理器512。例如，处理器512可由来自任意期望系列或制造商的一个或多个微处理器或控制器来实现。

处理器512包括本地存储器513(例如，高速缓冲存储器)，且通过总线518与包括非永久性存储器514和永久性存储器516的主内存进行通信。非永久性存储器514可由同步动态随机存取存储器(SDRAM)、动态随机存取存储器(DRAM)、RAMBUS动态随机存取存储器(RDRAM)和/或任意其它类型的随机存取存储装置实现。永久性存储器516可由闪存和/或任意其它期望类型的内存装置实现。由内存控制器(未示出)来控制对主内存514、516的访问。

计算机500还包括接口电路520。接口电路520可由任意类型的接口标准实现，例如以太网接口、通用串行总线(USB)和/或PCI总线接口。

一个或多个输入装置522连接至接口电路520。输入装置522允许用户向处理器512输入数据和命令。输入装置例如可由键盘、鼠标、触摸屏、跟踪板、跟踪球、等同点(isopoint)和/或声音识别系统实现。

一个或多个输出装置524还连接至接口电路520。输出装置524例如可由显示器装置(例如，液晶显示器、阴极射线管显示器(CRT)、打印机和/或扬声器)实现。因而接口电路520典型地包括显卡驱动。

接口电路520还包括诸如调制解调器或网络接口卡的通信装置，以便于通过网络526(例如，以太网连接、数字用户线(DSL)、电话线、同轴电缆、移动电话系统等)与外部计算机交换数据。

计算机500还包括用于存储软件和数据的一个或多个大容量存储器528。这种大容量存储器528的示例包括软盘驱动、硬盘驱动、高密度磁盘驱动以及数字化视频光盘(DVD)驱动。大容量存储器528可用于本地存储器。

用于实施图3和4的方法的编码指令532可存储在大容量存储器528、非永久性存储器514、永久性存储器516和/或诸如CD或DVD的可移动存储介质中。

本文披露的示例系统和方法在每个通道基础上创建了多个冗余点，从而确保了现场设备的正常关闭。

虽然本文披露了特定示例方法、装置和制造产品，但本专利所覆盖的范围并不仅限于此。相反，本专利覆盖应当落入本专利权利要求的范围内的所有方法、装置和制造产品。

Claims (18)

1.一种用于冗余地控制对现场设备的供电的装置，所述装置包括：

第一开关，用于控制对现场设备供电；

第二开关，包括第一门电路和第二门电路，其中，所述第二开关串联地电耦合至所述第一开关，其中所述第二开关的所述第一门电路和所述第二门电路彼此独立地受控制，并且其中，所述第二门电路与所述第一门电路并联地电耦合；

第一诊断控制器，用于控制对所述第一门电路供电；以及

第二诊断控制器，用于控制第二开关，其中，当所述第一开关、以及所述第二开关的所述第一门电路和所述第二门电路中的一个或两者电闭合时，从电源向所述现场设备供电，并且其中，当所述第一开关、或所述第二开关的所述第一门电路和所述第二门电路两者电打开时，至所述现场设备的所述电源被切断，其中，所述第二开关是作为所述第一开关的安全备用设备，并且其中，所述装置被配置为交替地测试所述第二开关的所述第一门电路和所述第二门电路。

2.根据权利要求1所述的装置，其中，所述第二门电路与所述第一门电路并联地电耦合，其中所述第二开关通过所述第二开关的所述第一门电路和所述第二门电路提供并联电流路径，并且其中，所述第一开关和所述第二开关限定电源与所述现场设备之间的串联电流路径，其中所述第一诊断控制器用于彼此独立地控制所述第一门电路和所述第二门电路以验证对所述现场设备的第一冗余控制；

第一处理器，用于控制所述第一开关，其中，所述第一处理器测量与所述第一开关相关联的第一二极管上的电压以确定所述第一开关是否出故障，并且其中，当所述第一开关出故障时，所述第一诊断控制器通过打开所述第二开关对所述第一开关断电；

第三开关，用于控制对所述现场设备供电；

第四开关，包括第三门电路和第四门电路，所述第四门电路与所述第三门电路并联地电耦合，其中，所述第四开关的所述第三门电路和所述第四门电路提供通过所述第四开关的并联电流路径，并且其中，所述第三开关和所述第四开关限定所述电源与所述现场设备之间的串联电流路径；

第二处理器，用于控制所述第三开关，其中所述第二诊断控制器用于彼此独立地控制所述第三门电路和所述第四门电路以验证对所述现场设备的第二冗余控制，其中，当所述第一开关、以及所述第二开关的所述第一门电路和所述第二门电路中的一个或两者电闭合时，从所述电源向所述现场设备供电，并且其中，当所述第一开关、或所述第二开关的所述第一门电路和所述第二门电路两者电打开时，至所述现场设备的所述电源被切断，其中所述第二开关是作为所述第一开关的安全备用设备。

3.根据权利要求2所述的装置，其中，所述第一诊断控制器通信地耦合至所述第二诊断控制器，并且其中，所述第一处理器和所述第二处理器通信地耦合。

4.根据权利要求2所述的装置，其中，所述第一处理器通信地耦合至所述第一诊断控制器，并且所述第二处理器通信地耦合至所述第二诊断控制器。

5.根据权利要求2所述的装置，其中，所述第一处理器通信地耦合至所述第二诊断控制器，并且所述第二处理器通信地耦合至所述第一诊断控制器。

6.根据权利要求2所述的装置，其中，通过多个电源提供电。

7.根据权利要求2所述的装置，其中，所述第一开关、所述第一门电路、所述第二门电路、所述第三开关、所述第三门电路或所述第四门电路中的一个或多个包括晶体管、场效应晶体管(FET)或继电器。

8.根据权利要求2所述的装置，其中，当所述第三开关或所述第二处理器出故障时，所述第一诊断控制器控制所述第四开关。

9.根据权利要求2所述的装置，其中，当所述第一开关或所述第一处理器出故障时，所述第二诊断控制器控制所述第二开关。

10.根据权利要求2所述的装置，其中，所述第一诊断控制器交替地测试所述第一门电路和所述第二门电路，并且所述第二诊断控制器交替地测试所述第三门电路和所述第四门电路。

11.根据权利要求10所述的装置，其中，周期性地测试多个门电路。

12.根据权利要求2所述的装置，其中，所述第一处理器测量与所述第一门电路相关联的第一电压、与所述第二门电路相关联的第二电压，以及与所述第一开关相关联的所述电压。

13.根据权利要求2所述的装置，其中，所述第二处理器测量与所述第三门电路相关联的第四电压、与所述第四门电路相关联的第五电压，以及与所述第三开关相关联的第六电压。

14.一种用于冗余地控制对现场设备的供电的方法，所述方法包括：

向第一处理器发送信号以对现场设备断电；

打开第一开关；

使用所述第一处理器测量与所述第一开关相关联的第一二极管上的上的第一电压，其中如果所述第一电压基本上为非零，则指示第一诊断控制器通过打开第二开关以对所述第一开关断电，其中所述第二开关经由彼此独立地操作的第一门电路和第二门电路提供并联电流路径，其中所述第二开关与所述第一开串联地电耦合，其中所述第一门电路与所述第二门电路并联地电耦合，其中所述第一开关和所述第二开关限定电源与所述现场设备之间的串联电流路径以验证对所述现场设备的供电的冗余控制；

当所述第一处理器或所述第一开关中的一个或多个出故障时，通过经由所述第一诊断控制器的输出来打开所述第二开关对所述第一开关断电，其中，当所述第一开关、以及所述第二开关的所述第一门电路和所述第二门电路中的一个或两者电闭合时，从电源向所述现场设备供电，并且其中，当所述第一开关、或所述第二开关的所述第一门电路和所述第二门电路两者电打开时，至所述现场设备的所述电源被切断，其中所述第二开关是作为所述第一开关的安全备用设备，以及

交替地测试所述第二开关的所述第一门电路和所述第二门电路。

15.根据权利要求14所述的方法，还包括：确定所述第一处理器是否响应，并且如果所述第一处理器未响应，则从第二诊断控制器或第二处理器向所述第一诊断控制器发送信号以打开所述第二开关。

16.根据权利要求14所述的方法，还包括：

关闭所述第一门电路；

打开所述第二门电路；以及

测量与所述第二门电路相关联的第二二极管上的第二电压，其中，如果所述第二电压基本上为零，则关闭所述第二门电路，打开所述第一门电路并测量与所述第一门电路相关联的第三三极管上的第三电压，以及如果所述第二电压或所述第三电压的测量值基本上为非零，则发出警报。

17.根据权利要求16所述的方法，其中，在所述现场设备工作期间，周期性地关闭和打开所述第一门电路和所述第二门电路。

18.一种用于冗余地控制对现场设备的供电的装置，所述装置包括：

用于控制对第一开关供电的装置，其中，所述用于控制供电的装置包括用于控制第二开关的冗余装置，其中所述第二开关串联地电耦合至所述第一开关电，其中所述第二开关包括彼此独立地受控制的第一门电路和第二门电路，其中，当所述第一开关、以及所述第二开关的所述第一门电路和所述第二门电路中的一个或两者电闭合时，从电源向所述现场设备供电，并且其中，当所述第一开关、或所述第二开关的所述第一门电路和所述第二门电路两者电打开时，至所述现场设备的所述电源被切断；

以及用于交替地测试所述第二开关中的所述第一门电路和所述第二门电路的装置，所述第二门电路与所述第一门电路并联地电耦合。

Images