CN1534420A - 实现用在处理安全系统中的因果矩阵的功能块 - Google Patents

Abstract

因果功能块，可容易地集成到处理装置安全系统中功能块图解编程环境中以执行由传统因果矩阵指定的因果逻辑，包括一组因输入和一组果输出。该块中多路复用器接收每个因输入，并耦合到状态机，使单独的状态机用于每个果输出。多路复用器对每个因输入解码并基于因输入和在前识别的因果矩阵逻辑，将断开信号提供给状态机。根据接收的断开信号，状态机将相关的果输出强制为断开或安全状态。必要时，状态机可以使用诸如来自用户或处理的一个或多个其它信号，以便在一组使处理装置从断开或安全状态安全返回正常操作状态的不同状态间变换。

Description

实现用在处理安全系统中的因果矩阵的功能块

技术领域

本发明总的涉及一种用在处理装置中的安全系统，尤其涉及一种实现用于控制在处理装置内使用的安全系统的操作的因果矩阵的功能块。

背景技术

与在化学、石油或其它处理中所用的处理控制系统类似，处理控制系统通常包括一个或多个处理控制器，这些处理控制器用通信联络的方式经由模拟、数字或组合模拟/数字总线或线路而被耦合到至少一个主机或操作员工作站，以及一个或多个现场装置。例如可以是阀、阀门定位器、开关和发送器(例如，温度，压力和流速传感器)的所述现场装置执行处理装置内诸如打开或关闭阀门和测量处理参数的功能。处理控制器接收指出由现场装置进行的处理测量的信号和/或与现场装置有关的其它现场装置信息，使用这些信息实现控制例程，然后生成控制信号，这些控制信号通过总线或线路被发送到现场装置，以控制处理的操作。来自现场装置和控制器的信息通常可以使由操作员工作站执行的一个或多个应用程序使能操作员执行与处理有关的各项所需功能，诸如是配置处理、查看当前的处理状态、修改处理的操作等。

此外，在很多处理中，提供了独立的安全系统以检测处理装置内的重要的涉及安全的问题，以及当发生可能在装置中导致或引起诸如有毒化学物质溢出、爆炸等此类的严重不测事件时，自动关闭阀门、切断装置的电源和变换装置内的流程等。除了标准的处理控制控制器之外，这些安全系统通常都具有一个或多个被称为逻辑解算器的独立控制器，它们经由安装在处理装置内的独立总线或通信线连接到安全现场装置上。逻辑解算器使用安全现场装置检测与严重事件相关的处理状态，诸如是某些安全开关或停机阀的位置、在处理中的上溢或下溢、重要的发电或控制装置的操作、故障检测装置的操作等，借此以检测处理装置内的“事件”。当检测到事件(event)(通常称之为“因(cause)”)时，安全控制器将采取一些动作(通常称之为“果”(effect))来限制事件的有害特性，这些动作诸如是关闭阀门、关断装置、切断部分装置的电源等。通常，这些动作或效果包括将安全装置切换到断开或“安全”的运行模式，设计该模式的目的是防止在处理装置内发生严重的或危险的情况。

在过去，已经使用了传统上称做因果矩阵的矩阵对安全系统进行了编程，该因果矩阵将一组因(通常为检测到的处理状态)中的每个因与将被执行的一个或多个果(例如，将安全装置变换为安全模式)关联起来。特别是，因果矩阵规定当检测到在处理装置内出现的一组因中的每个因时将要发生的一个或多个果。任一特定因的存在都可能导致一个或多个果，例如是安全系统内一个或多个不同安全装置的操作。为了规定安全系统的操作，安全工程师通常会建立一个因果矩阵，其中，全部因都被列表在两维矩阵的一侧(例如对应于矩阵的行)，而所有的果都被列在矩阵的另一侧(例如，对应于矩阵的列)。如由行或列定义的矩阵元素用于规定与那个矩阵元素相关的因是否将导致与那个矩阵元素相关的果的操作。通常，配置或安全工程师检查矩阵的元素以指出有关该元素的因(由矩阵元素的行指定)的检测将导致有关该元素的果(由矩阵元素的列指定)的操作。因此，例如在矩阵中第二行和第三列相交部分处的检查意味着与第二行相关的因的存在将导致与该矩阵第三列相关的果的操作。在这种方式下，可以规定将发生的每个果以作为一个或多个因的结果。

一旦配置或安全工程师已经确定了用于安全系统的适当因果矩阵，或它的某些部分，那么就必须创建安全系统的控制例程来执行由因果矩阵定义的逻辑。在过去，虽然配置或安全工程师已经使用不同的编程语言人工地将因果矩阵变换为安全系统控制器，但是这些编程步骤令人遗憾的非常的冗长，耗时并且充满着错误，因为适当操作的安全系统的故障可能导致装置人员受到严重伤害乃至死亡并且可能会破坏装置内价值数百万元的装置和材料，所以这是很严重的事。

近年来，已经开发了很多用于将因果矩阵自动地翻译为诸如使用梯形逻辑的程序的高级控制程序的程序。在有帮助的同时，这些自动程序生成仍然导致了程序，该程序以特定的编程语言编写、必须被集成到安全系统的控制策略中以及必须被测试和调试。由于以这种方式变换的安全逻辑可能导致高度复杂的程序，因此这些程序对于测试和调试来说仍然很难并耗时，并且这些程序可能需要大量的记录。此外，难以在使用功能块编程策略的控制例程中使用这种程序来执行控制功能。

发明内容

在处理装置之内的安全系统使用一个或多个因果功能块以执行由常规的因果矩阵指定的因果逻辑，该因果功能块可以被很容易地集成到功能块简图编程设计环境中。能够被很容易创建、使用、测试、调试和记录的这种因果功能块包括一个或多个因输入端和一个或多个果输出端，并可以被编程从而使在一个因输入端处因信号的到达导致一个或多个果输出端被设置为断开或安全状态。因输入端可以连接到诸如用于确定因存在的表决器功能块的其它功能块上，而果输出端可以连接到诸如用于控制安全装置或该处理装置中其它装置的操作的模拟或数字输出功能块的其它功能块上。

因果功能块可以包括耦合到一个或多个状态机上的因果矩阵逻辑或多路复用器，其具有为每个果输出端而存在的独立状态机。多路复用器接收和译码每一个因输入，并在该因输入和先前已识别的因果矩阵逻辑的基础上，将断开信号提供给一个或多个状态机。在接收断开信号的基础上，状态机将相关的果输出端强制为断开或安全状态。必要时，状态机然后可以请求一个或多个诸如来自用户或处理的复位信号的其它信号，以便在一组涉及将该安全系统从断开或安全状态返回到正常状态(其中处理操作正常)的状态之间变换。

此外，每个状态机可以提供一个用于指出状态机当前状态的信号以及一个用于指出第一因的信号，该第一因导致状态机将其相关的果信号强制为断开或安全状态。

这些因果功能块容易以其基本形式来建立，它仅需要配置或安全工程师向其提供因果矩阵逻辑以及规定用于定义因果功能块的期望操作的一组参数值。通过将因果功能块的输入端和输出端与其它的功能块或控制策略内的元件互连，当可以与集成任何其它功能块相同的方式来集成因果功能块时，这些因果功能块也很容易被集成到控制器或逻辑解算器中。作为结果，该因果功能块同样容易记录、测试和调试。此外，该因果功能块可以提供在安全系统中非标准提供的附加功能，诸如使能安全系统在返回从断开或安全状态到正常操作状态的一个特定安全状态之前经过一系列状态循环。

附图说明

图1的框图示出了一个范例性处理装置，该装置具有一个安全系统，该安全系统与一个处理控制系统集成在一起并使用一个或多个因果功能块对处理装置内的安全装置执行控制；

图2的框图示出了图1中的一个因果功能块；

图3简要示出了一个范例性的因果矩阵；和

图4是一个状态图，它示出了与图2所示因果功能块中每个状态机潜在相关的一组状态。

具体实施方式

现在请参考图1，处理装置10包括与安全系统14(用虚线指出)集成在一起的处理控制系统12，其通常作为安全仪表化的系统(SIS)来操作，以监视和补偿(override)由处理控制系统12提供的控制以便最佳化处理装置10的类似安全操作。处理装置10还包括一个或多个主机工作站、计算机或用户接口16(其可以为任何类型的个人计算机、工作站、PDA等)，它们由装置人员访问，诸如处理控制操作员、维护人员，安全工程师等。在图1所示的例子中，示出了两个用户接口16，其经由公用通信线或总线22连接到两个独立的处理控制/安全控制节点18和20并连接到配置数据库21。可以使用任何期望的、基于总线的或基于非总线的硬件，使用任何期望的硬连接的或无线通信结构以及使用任何期望或适当的通信协议，例如以太网协议来实现通信网络22。

通常，处理装置10的节点18以及20中的每一个节点都包括处理控制系统装置和安全系统装置，它们可以经由在附着多种不同装置的底板上提供的总线结构连接在一起。图1所示节点18包括处理控制器24(可以是冗余对控制器)以及一个或多个处理控制系统输入/输出(I/O)装置28、30和32，而所示节点20包括处理控制器26(其可以为冗余对控制器)以及一个或多个处理控制系统I/O装置34和36。处理控制系统I/O装置28、30、32、34和36中的每一个都以通信联络的方式连接到一组与处理控制相关的现场装置上，例如图1所示的现场装置40和42。处理控制器24和26、I/O装置28-36以及控制器现场装置40和42通常构成图1所示的处理控制系统12。

同样，节点18包括一个或多个安全系统逻辑解算器50、52，而节点20包括安全系统逻辑解算器54以及56。逻辑解算器50-56中的每一个都是具有处理器57的I/O装置，该处理器57执行存储在一个存储器中的安全逻辑模块58并以通信联络的方式进行连接以向和/或从安全系统现场装置60和62提供控制信号和/或接收信号。另外，节点18和20中的每一个都包括至少一个消息传播装置(MPD)70或72，其经由环形总线连接74(仅在图1中示出了一部分)以通信联络的方式彼此耦合。安全系统逻辑解算器50-56、安全系统现场装置60和62、MPD 70和72和总线74通常构成图1的安全系统14。

使用I/O装置28、30和32(对于控制器24)，I/O装置34和36(对于控制器26)和现场装置40和42对例如是由Fisher-Rosemount，Inc.出售的DeltaV^TM控制器或任何其它所希望类型的处理控制器的处理控制器24和26编程以(使用通常被称作控制模块的装置)提供处理控制功能。特别是，控制器24和26中的每一个都执行或监视一个或多个其中所存储或相反与其相关的处理控制例程，并且与现场装置40和42和工作站16进行通讯以便以任何期望的方式来控制处理装置10或处理装置10的一部分。仅举例而言，现场装置40和42可以是任何期望类型的现场装置，诸如传感器、阀门、发送器、定位器等，并且可以符合任何期望的开放的、专有的或其它的通信或编程协议，该协议包括，例如，HART或4-20ma协议(例如对于现场装置40的说明)、任何诸如FOUNDATION？现场总线协议此类的现场总线协议(例如对于现场装置42的说明)，或CAN、Profibus、AS-接口协议。同样地，I/O装置28-36可以为任何已知类型的使用任何适当的通信协议的处理控制I/O装置。

图1的安全逻辑解算器50-56可以是任一所期望类型的安全系统控制装置，其包括处理器57和储存适合于在处理器57上执行的安全逻辑模块58的存储器以便利用现场装置60和62来提供与安全系统14相关的控制功能。当然，安全现场装置60和62可以是任一所期望类型的现场装置，其遵守或使用诸如上述协议的任何已知的或期望的通信协议。特别是，现场装置60和62可以是那种由独立的、专用的涉及安全的控制系统按照传统控制的涉及安全的现场装置。在图1所示的处理装置10中，安全现场装置60被描述为使用专用的或点对点的通信协议，诸如是HART or 4-20ma协议，而安全现场装置62被描述为使用总线通信协议，诸如是现场总线协议。安全现场装置60可以执行任何所需的功能，诸如关闭阀门，关闭开关等。

公用的底板76(由经过控制器24、26，I/O装置28-36、安全逻辑解算器50-56和MPD 70和72的虚线表示)被用在节点18和20中的每一个节点中以将控制器24和26连接到处理控制I/O卡28、30和32或者34和36上，以及连接到安全逻辑解算器50、52、54或56上和连接到MPD 70或72上。控制器24和26同样以通信联络的方式耦合到总线22上，并且作为总线22的总线仲裁器操作，以便使I/O装置28-36、逻辑解算器50-56和MPD 70、72能够经由总线22与任何的工作站16进行通信。

应理解，工作站16的每一个都包括处理器77和存储器78，该存储器存储一个或多个适于在处理器78上执行的配置和/或查看应用程序。图1以放大图的形式示出了存储在工作站16内一个工作站中时的配置应用程序80和查看应用程序82。然而，必要时，可以在不同的工作站16或与处理装置10相关的其它计算机中存储和执行这些应用程序。一般而言，配置应用程序80将配置信息提供给安全工程师，而且使安全工程师能够配置处理装置10的某些或全部的构件，并将这些配置存储在配置数据库21中。作为由配置应用程序80执行的配置活动的一部分，安全工程师可以创建用于处理控制器24和26的控制例程或控制模块，可以建立用于任何及全部安全逻辑解算器50-56(包括创建和编程供在安全逻辑解算器50-56里使用的因果功能块)的安全逻辑模块58并且经由总线22可以将这些不同的控制和安全模块下载到处理控制器24和26和安全逻辑解算器50-56的适当的一个中，另外还可以下载到控制器24和26中。同样地，配置应用程序80可以用于建立其它的程序和逻辑以及将它们下载到I/O装置28-36、任何的现场装置40、42，60和62等。

反之，必要时，查看应用程序82可以用于将一个或多个显示提供给诸如处理控制操作员、安全操作员等的用户，该显示包括以独立视图或同一视图方式显示的与处理控制系统12和安全系统14有关的状态信息。例如，查看应用程序82可以是报警显示应用程序，其接收并将报警指示显示给操作员。必要时，这样的报警查看应用程序可以采用专利号为5,768,119、发明名称为″包括报警优先级调节的处理控制系统″和申请号为09/707,580、标题为″处理控制网络中的集成报警显示″的美国专利或申请所披露的形式，其中两者都已转让给本专利的受让人，因此特别地以引用的方式并入文中。然而，应理解这些专利的报警显示或警报指出都可以集成的报警显示的方式从处理控制系统12和安全系统14两者中接收并显示警报，当来自系统12和14两者的警报将发送到执行警报显示应用程序的工作站14并且作为来自不同装置的警报将为可识别的时。同样地，操作员可以与处理控制警报相同的方式来处理警报指出中显示的安全警报。例如，该操作员或用户可以使用警报显示来确认安全警报，关掉安全警报等，其使用经由总线22和底板76的通信将信息发送到安全系统14内的适当的处理控制器24、26中以采取与安全警报相关的相应动作。如同这些系统可以使用同一类型和种类的参数、安全性和参照一样，其它的查看应用程序可以按类似方式显示来自处理控制系统12和安全系统14两者的信息或数据，从而来自系统12和14中一个系统的任何数据都可以集成到为处理控制系统提供的传统上的显示器或视图中。

在任何事件中，应用程序80和82可以将独立的配置及其它信号传送给处理控制器24和26以及安全系统逻辑解算器50-56中的每一个，并且可以从处理控制器24和26的每一个之中以及从安全系统逻辑解算器50-56的每一个之中接收数据。这些信号可以包括涉及控制处理现场装置40和42的操作参数的处理电平信息，并且可以包括涉及控制有关安全的现场装置60和62的操作参数的安全电平信息。在安全逻辑解算器50-56可以被编程以识别处理电平信息和安全电平信息的同时，该安全逻辑解算器50-56能够区别两种类型的信息而且不能够被处理电平配置信号编程或受其影响。在一个实例中，传送给处理控制系统装置的编程消息可以包括某些字段或地址，其由安全系统装置识别并能够防止这些信号被用于编程安全系统装置。

必要时，与用于处理控制I/O卡28-36的硬件和软件设计相比较而言，安全逻辑解算器50-56可以使用相同的或不同的硬件或软件设计。用于处理控制系统12内的装置和安全系统14内的装置的替代技术的使用可以最小化或消除常见的因硬件或软件故障。

此外，包括逻辑解算器50-56的安全系统装置可以使用任何期望的绝缘和安全技术来减少或消除对借此执行的涉及安全功能进行的非法改变的机会。例如，安全逻辑解算器50-56和配置应用程序80可以请求具有特权级的人员或位于特定工作站的人员使用特权级或场所来对逻辑解算器50-56内的安全模块做出改变，该特权级和场所不同于需要对由控制器24和26和I/O装置28-36执行的处理控制功能做出改变的授权或访问级别或场所。在该情况下，只有那些在安全软件中指定的或位于被授权对安全系统14做出改变的工作站处的人才有权改变涉及安全的功能，这使得对安全系统14操作误用的机会最小。应理解，为实现这种安全，安全逻辑解算器50-56内部的处理器以适当的形式评价所输入的信息和安全性并且作为把关人对在安全逻辑解算器50-56内部执行的安全电平控制模块58所作的改变进行操作。

此外，必要时，一旦在逻辑解算器50-56的内部启动了安全相关功能，可以经由操作工作站14在没有正确的访问权限的情况下不变化安全功能的状态，其使得与处理控制系统12相关的通信结构能够用于对安全系统14提供初始化以及用于提供安全系统14的操作的运行时间报告，且在对处理控制系统12的改变不能影响安全系统14的操作的意义上，仍然隔离处理控制系统12和安全系统14。

应理解，通过使用节点18和20中每一个的底板76使得安全逻辑解算器50和52以及安全逻辑解算器54和56能够彼此本地通信，以便协调由这些装置中的每一个所执行的安全功能，从而彼此进行数据通信，或者执行其它集成的功能。另一方面，MPD 70和72运行以使布置在装置10内的不同位置的安全系统14的一部分仍然能够彼此通信，以便协调处理装置10的不同节点的安全操作。特别地，MPD 70和72连同总线74一同使与处理装置10的不同节点18和20相关的安全逻辑解算器能够以通信联络的方式串联在一起，以便允许根据指定优先权来串联处理装置10内部的安全相关功能。换句话说，在处理装置10内部的不同位置的两个或更多安全相关功能在不需架设专用线路到装置10内的独立的区域或节点内部的个别安全现场装置可以互锁或互连。换句话说，使用MPD 70和72以及总线74使得安全工程师能够设计和配置安全系统14，该安全系统14以属性分配在整个处理装置10中，但具有不同的构件，其中以通信联络的方式互连以使得不同的安全有关硬件能够根据需要地互相通信。这个特征同样提供可伸缩性的安全系统14，在这一点上它使得附加的安全逻辑解算器能够在需要时或者处理装置10增加了新的处理控制节点时被添加到安全系统14上。

应当理解，可以使用功能块编程程式对逻辑解算器50-56编程以执行与安全装置60和62相关的控制活动。特别是，如逻辑解算器54的一个安全控制模块58a(存储在存储器79中)的放大图所示，安全控制模块可以包括一组以通信方式互连的功能块，该功能块可以在运行处理10期间被创建和下载到逻辑解算器54中以便执行。如图1所示，控制模块58a包括两个因果(CE)功能块92和94，其具有与其它功能块96以通信方式互连的输入(称为因输入)，它例如可以为模拟输入(AI)，数字输入(DI)功能块、表决器功能块或其它目的是将因信号提供给因果功能块92和94的功能块。因果功能块92和94具有连接到输出功能块98的输出(称为果输出)，该输出可以为模拟输出(AO)、数字输出(DO)或其它的从因果功能块92和94接收果信号以控制安全装置60和62的操作的功能块，安全装置诸如为开关、阀门等等。当然，可以任何期望的方式对安全控制模块58a进行编程，以连同一个或多个因果功能块地包括任何类型的功能块，以任何期望或有用的方式来配置因果功能块以执行任何期望的功能。

另外，在图1的安全控制模块58a的放大图包括两个因果功能块的同时，应当理解，可以为不同逻辑解算器50-56中的每一个创建不同数量的安全逻辑模块58并且在其中使用，并且这些模块的每一个都可以包括任一数量的以任何期望的方式通信地连接到其它功能块的因果功能块。同样地，例如如果因果功能块92和94被用于现场总线网络中，那么其可以被定位且在其它装置，诸如现场装置62中执行，该因果功能块92和94可以为任何现场总线型功能块或任何其它连接其的功能块。如果在安全系统之外使用因果功能块，那么因果功能块可以在处理控制器24、26，I/O装置28-36，现场装置42等中被执行。

图2的框图示出了图1所示因果功能块92的构件的结构图。在这种情况下，因果功能块92包括七个因输入100并且其适合于接收从不同源，如图1的一个输入功能块96输出的因信号，七个因输入的每一个被标记为Cause1、Cause2、Cause3等等。另外，因信号可以由其它的应用程序或其它的功能块以外的处理内的元件提供。因输入100中的每一个都被提供到矩阵逻辑块以确定哪个果，如果有一些的话，应该被作为任何特定因输入变化状态的果而被激活或断开，以便指出处理10内部的指定的不安全状态的检测，该矩阵逻辑块在此被称为多路复用器102，其可以使用因果矩阵(CEM)逻辑105，诸如为可以由安全工程师在输入106提供的典型的因果矩阵。

图3更详细地示出了示出典型因果逻辑的范例性因果矩阵105。可以用在因果功能块92中的因果矩阵105包括七个因且具有两个果，七个因向下列表在矩阵(具有与矩阵105的不同的行相相关的每个因)的左侧，而果沿矩阵(具有与矩阵105不同列相关的每个果)的顶端列表。因被识别为复杂数据变量或被命名为DESC_CAUSE1数据串、DESC_CAUSE2数据串等的信号，它们中的每一个都可以具有一个值和与此相关的状态，果被识别为复杂数据变量或命名为DESC_EFFECT1数据串、DESC_EFFECT2数据串等的信号，其中的每一个都可以具有一个8值和与此相关的状态。虽然矩阵105被表示为提供了高达十六个因和十六个果，但在这种情况下，由于是结构范例性因果功能块92的一种方式，所以只使用了七个因和两个果。但是应当理解，在此设想的因果功能块可以具有任何合理数量的彼此相关的因和果，而且当因果功能块具有因输入和果输出时，因果矩阵通常包括相同数量的因和果。此外，如图3所示，该矩阵105可以具有任何期望的规模，包括除了16*16之外的所有规模。

图3以当安全工程师要配置或建立因果功能块92时可将矩阵105描述给例如安全工程师的方式描述了矩阵105。为了能对矩阵逻辑105适当地编程，被提供给每个因和果的数据串可以唯一地识别或命名因或果，以保证安全工程师理解哪个因和果实际上被表示在矩阵105中。同样地，竖线106和横线107可以由安全工程师使用和操作以将矩阵105的框(box)或元素对准到在矩阵105的左侧和上方列表的特定因和果。在这种方式下，安全工程师将能清楚地识别哪个框涉及哪个因和果。同样地，如果不使用矩阵105的框或元素，那么可以使其变灰。

如将被理解的，因果矩阵105的特定框中的检查指出与该框相关的因将导致与该框相关的果，而缺少检查将指出该因不能导致该果。由此，第一因DESC_CAUSE1将导致果DESC_EFFECT1和DESC_EFFECT2被断开或被激活。然而，第二因DESC_CAUSE2仅仅将导致第一果DESC_EFFECT1被断开。当然，安全工程师可以使用鼠标器或键盘通过在框上拖曳检查并且将其下拉到该框上或者以任何其它期望的方式来选择一个框。因果矩阵105具有图2所示多路复用器102的性能并且在操作因果功能块92之前被提供给多路复用器102。

请再参考图2，在接收一个或多个因输入的基础上，多路复用器102在断开信号线108和110中适当的一个上产生输出，该输出指出当前存在于多路复用器102的输入端处并用于两个果中的每个果的活动因，正如因果矩阵105所定义的那样。断开信号线108和110中的每一个都连接到因果功能块92内部的两个状态机112和114中的一个状态机上。不同的状态机112和114与不同的果输出相关联，并且产生由因果功能块92发出的不同的果信号。特别是，状态机112和114分别响应线108和/或110上的因指出的出现而分别产生被断开或设置为安全或断开状态的果输出116和118(标记为Effect1和Effect2)。在这个例子中，当使用图3的矩阵105时，和当Cause1和Cause2输入100在适当的因输入端100处同时变为活动的(而其它因Cause3到Cause7的每个保持不活动)时，多路复用器102将包括Cause1和Cause2的指出的信号置于断开信号线108上，这是因为根据图3的矩阵逻辑105，这两个因会导致操作或断开Effect1。同样地，根据图3的矩阵105，多路复用器102将只指示Cause1的信号置于断开信号线110上，该Cause1仅为导致Effect2被设置或被断开的活动的因。

一般而言，对于每个与因果功能块相关的果或果输出，存在单一的且不同的状态机。在图2所示的情况下，因为因果功能块92只包括两个果输出，所以其只包括两个状态机112和114。但是，如果因果功能块92要是包括更多的果输出，诸如是10个或12个果输出，那么因果功能块92分别将包括10个或12个状态机。同样，多路复用器102将经由例如不同的断开信号线而耦合到每一个状态机上，以便根据提供给多路复用器102的因输入端100和矩阵105的状态将活动的因数据串提供给这些状态机。

现在将描述Effect1状态机112的操作，应当理解，因果功能块92中的其它状态机将以相同的方式操作。特别是，Effect1的状态机112接收信号线120上的Trip_Type输入信号、断开信号线108(标记为Active_Causes1)上的活动因输入或信号以及一组状态输入，其包括Require_Reset1信号122、Reset_Permit1信号124、Reset1信号126和Start_Permit1 128。断开信号输入和状态输入使状态机112在不同的状态之间变换，在此进一步地描述为使在因果功能块92的输出的Effect1信号116变化以便在正常或非断开值和断开或安全值之间变换，相反地，在断开或安全值和正常的或非断开值之间变换。

更具体地说，当信号线108上的Active_Causes1数据串指出一个或多个因(假定其将导致Effect1进入安全或断开状态)当前为活动的，那么状态机112将强制Effect输出信号116以进入到断开的或安全状态。定义断开的或安全状态可以依赖于或由提供到状态机112的输入端的在信号线120上的Trip_Type信号来定义。特别是，信号线120上的Trip_Type信号可以将Effect1信号的安全操作状态或值定义为1或0、高或低等。同时，Trip_Type信号120可以定义因信号100的状态或值，该状态或值在被输入到多路复用器102时指出是否存在因。也就是说，因信号100同样可以被定义为0或1、低或高值等，以便指出处理中存在或缺乏已检测的因。信号线120之上的Trip_Type信号可以定义与已检测的因关联以及与因果功能块92正确操作的安全果状态相相关的因和果。一般而言，每一个因输入100都以相同的方式定义存在的一个因，(例如，像1或0)以及每个果输出信号116和118将以相同的方式定义果(例如，像1或0)。如果这是所述因，那么，可以将信号线120上的同一Trip_Type信号提供给因果功能块92中的每个状态机。如果这不是所述因，那么，可以定义独立的Trip_Type信号并且将其独立地提供给因果功能块92中的每个不同的状态机。

在任何事件中，当信号线108上的Active_Causes1信号指出与检测处理中的一个或多个因相关的值和状态时，那么状态机112将强制Effect1输出信号116为断开或安全值。但是，一旦Effect1输出信号116处于安全状态，状态112就不得不在一系列附加的状态之间运行或移动，以迫使或将状态机116变回到正常或非断开值或状态。状态机112的操作主要是由存在于状态机112的状态输入Require_Reset1122、Reset_Permit1124、Reset1 126和Start_Permit1 128处的信号决定的，应当理解这些信号可以由安全工程师或其它用户在每个不同的状态机上独立地配置以规定用于在断开或正常状态之间的变换的许可逻辑，反之亦然。由于状态输入可以从一个状态机变化到另一状态机，所以因果功能块92的每个果输出可以具有不同的与此相关的变换动作。

图4描述了一个状态图130，该状态图说明了状态机112可以从断开或安全模式循环到非断开或正常模式所遍历的不同状态，反之亦然。图4所示的状态图130包括6个状态，定义为：断开状态132、等待复位许可状态134、准备好复位状态136、等待开始许可状态138、正常操作状态140和断开启动-延迟状态142。状态图130中状态之间的箭头表示状态132-142之间的可能的状态变换。

如从状态图130了解到的，状态机112可以从状态134、136、138、140和142中的任何一个状态进入断开状态132，其中，所述任何一个状态是响应在断开信号输入108处接收活动因的状态机112而定位的。因此，当状态机112处于正常操作状态140并且Effect1信号116处于正常状态时，在断开信号线108上一个或多个活动因的存在将使得状态机112进入断开状态132。同样，当状态机处于其它状态134、136、138和142中的任何一种状态时，断开信号线108上活动因的存在将使得状态机112进入断开状态132。

一旦处于断开状态132，状态机112就将Effect1信号116强制为断开或安全值，如由线120上的Trip_Typ信号来定义一样。状态机112将停留在断开状态(藉此将Effect1输出信号116保持在断开值或安全值)直到去除了信号线108上的所有活动信号为止，即直到在输入100处的导致Effect1的所有因信号被设置为“无因存在”值为止。状态机112可以依据存在于状态机112的状态输入122、124、126和128处的信号从断开状态132进入状态134、136、138和140的任何一种状态。例如，如果Require_Reset1为高或活动并且Reset_Permit1信号124为低或不活动，那么状态机132必须从断开状态转到等待复位许可状态134，而且将不能够直接进入其它任何状态。一旦进入了等待复位许可状态134，状态机112就检查Reset_Permit1信号124的值。当该信号为高或活动，那么状态机112就进入准备复位状态136，信号为高或活动表示复位许可(其例如可由处理控制系统10内的操作员或其它人员使用图1的用户接口16来产生)已由状态机112接收。作为替代，如果Require_Reset1信号122为低(藉此表示不需要复位许可)，那么状态机132可以直接从断开状态132变换到准备复位状态136。

在准备好复位状态136，当Require_Reset1信号122活动时，消除Reset_Permit1信号124将导致状态机112返回等待复位许可状态134。换句话说，在准备复位状态136中，状态机112等待Reset1信号126变得存在于状态机112的状态输入126处，该信号可以由通过来自于操作者的键盘输入或命令，或者由诸如批处理程序此类之应用程序产生。当接收到Reset1信号126时，如果Start_Permit1信号128存在或活动于状态机112的输入端，则状态机112进入正常操作状态140，或者如果Start-Permit1信号不存在或不活动于状态机112的状态输入端128，那么进入等待开始许可状态138。换句话说，当不需要复位许可或需要以及存在(也就是Require_Reset1信号不活动或活动以及Reset_Permit1124存在或活动)以及当Reset1信号126存在或活动时，状态机112可以直接从断开状态132进入等待开始许可状态138。

当在等待开始许可状态138中时，状态机112等待直到Start_Permit1信号变为高或在状态输入端128处活动，然后进入正常操作状态140。Start_Permit1信号可由操作员经由(例如)图1的一个用户接口、由处理控制网络10中的控制器或其它任何计算机中的应用程序、通过处理变量或其它处理信号或者以其它任何期望的方式来产生。但是开始允许信号一般由操作员或由诸如批处理软件应用程序此类之程序中的其它软件来产生，以便指示因果功能块以正常模式开始循环操作。

当不需要复位允许或需要且存在(也就是Require_Reset1信号122不活动或活动以及Reset_Permit1124存在或活动)并且Reset1信号126和Start_Permit1信号128两者都存在或活动时，状态机112可以直接地从断开状态132进入正常操作状态140。在任何情况下，一旦状态机112处于正常操作状态140中，其就强制Effect1信号116为正常或非断开状态，如同由Trip_Type信号120定义并藉此允许与由状态机112控制的Effect1有关的处理的正常操作。

应当理解，状态机112的许可逻辑可通过处理内部参数来实现或定义，该参数可以表述为因果功能块92的状态输入。安全工程师可以在果信号将变换到正常操作状态之间对需要状态信号的每个果信号做出判定。例如，在图4的状态图中，如果请求操作员复位，那么有必要将复位许可、操作员复位本身、和开始许可变换为正常操作状态。如果不需要操作员复位、那么在所有的相关因信号已变得不活动之后仅需要存在开始许可。

在图2所示断开信号线108之上接收一个或多个活动因的基础上，状态机112可以从正常操作状态140直接进入断开状态132。但是，必要时，当状态机112在断开信号线108上接收一个或多个活动因时，也可以将状态机112设置成以从正常操作状态140进入到延迟启动断开状态142。可以将独立的输入提供给状态机112和114中的一个以指出这些状态机是否应该使用延迟启动断开状态142，或可以对状态机112和114进行具体地配置以使用或不使用延迟启动断开状态。当在延迟启动断开状态142中，状态机112对时钟或其它计数器并且向下(或向上)计数到一预定值，以便藉此在进入断开状态132之前等待规定的时间周期。在该时间周期过去之后，状态机112进入断开状态132。然而，在延迟启动断开状态142期间，状态机112将保持正常或非断开状态下的图2的Effect1输出信号116。必要时，如果在定时器点清之前消除断开信号线108上的所有因指示或在该定时器点清之前接收到放弃信号(诸如由操作员产生的)，状态机112可以被设计成能够重新进入正常运行状态140。换句话说，可以设计状态机112以使其只能够退出延迟启动断开状态142而进入断开状态132。延迟启动断开状态142可以用于阻止因信号100中的噪声或小波动导致关闭(其在时间损失、工时和材料方面花费很高)，或者使操作员或其它用户有机会放弃关闭。

虽然图4的状态机图130示出了了使因果功能块92的状态机能够在正常操作状态和断开状态之间(反之亦然)变换的一个方式，但是应理解可以设计状态机以便使用较少的状态或附加的状态或两者的组合。此外，状态机112和114的操作使因果功能块92能够在通常提供在已知的因果逻辑之上提供附加功能，该已知的因果功能块在其它程序设计环境中创建。

必要时，状态机112可以产生若干其它输出，以便将信息提供到例如操作员或其它用户，或者为处理10内的其它应用程序或控制程序所用。例如，状态机112可以产生State1输出140，其提供识别状态(诸如图4状态132-142中的一个状态)的数据串或其它信号，在该状态中当前定位状态机112。更进一步，状态机112可以产生表示因输入100的第一因的First_Out1信号142，该信号将导致状态机112进入到断开状态132中。在处理装置或其中部分已关闭之后可以使用First_Out1信号142以确定哪个因为存在于状态机112的输入端的第一因，以便导致状态机112进入断开状态132(图4的)。这个信号有益或者在某些情况下，由于将Effect1输出116置于断开状态可以导致其它因信号100变得活动或设置为高，所以这个信号也是必要的，因信号100变得活动或设置为高可以导致相同的或甚至不同的被断开的果输出。在那时，没有第一因输出，很难表明启动关闭序列的因。

在因果功能块92的多路复用器102能够在因信号值的基础上操作或检测因的同时，该多路复用器102可以附加地或替代地使用与一个或多个因信号100相关的状态信号来确定是否存在因。在这种情况下，图2的多路复用器102可以包括状态逻辑块150，以基于因输入和因果矩阵105来确定如何和何时在信号线108和110上产生断开信号。例如，如上所述，在一种运行模式下，当适当因信号的值指出在装置10内存在因时，不管该因信号的状态是什么，状态逻辑块150都可以使得多路复用器102在一个或多个断开信号线108和110上产生因指示。在另一种运行模式下，如果因信号的值指出存在被检测的状态和该因信号的状态是好或正常，或者如果该因信号的状态是坏，那么，即使是该因信号保留在好或“不存在因的状态下，多路复用器102的状态逻辑块150也可以使得每个果状态机断开，以用于如由因果矩阵105所义的特定因。在又一种运行模式中，多路复用器102的状态逻辑块150可以使用具有好或正常状态的最后活动因信号(用于特定的因输入100)并忽略所有具有坏状态的后续因信号。在这种情况下，如果因信号变为坏状态，多路复用器102将简单地使用与具有好或正常状态的因信号相关的最后值(藉此基本上忽略了坏的因信号)。当然，多路复用器102的状态逻辑块150可以使用其它的值或状态指示或每个因信号的参数的组合来检测在处理装置10内是否存在因。

虽然在此仅仅描述了状态机112的操作，但是应理解，诸如因果功能块92的状态机114的每个其它状态机都可以与针对状态机112所描述方式类似的方式来运行。同样，可以在任何具有由因果功能块生成或控制的果数量所确定的数量的特定因果功能块中提供任何数量的不同状态机。

必要时，因果功能块92可以包括其它的参数和状态特性。例如因果功能块92可以包括由用户或另一应用程序等设置的强制果参数，以便强制一个或多个果信号为断开或安全状态。这种参数可被用于使处理被关闭或保持系统处于关闭状态。即使是与被强制为断开状态的果相关的状态机处于图4所示的延迟启动断开状态142下，这种强制果参数的运行也可以使处理立即被停止，如正被强制为断开状态的果所定义的。同样，可以与强制果参数相同或不同的强制正常参数可以强制果为正常状态或一个值，而不必考虑在因果功能块输入端处因信号的存在。

因果功能块的每个果信号或输出可以具有与由例如其中与果信号相关的状态机被定位的状态或与果信号(由用在多路复用器102中的矩阵逻辑定义)相关的因信号的状态所确定的状态相关的状态。特别是，当因信号的状态为坏时，如果多路复用器102的状态逻辑150忽略了因信号的状态，或者检测到了因的存在，那么，除非与果信号(例如由矩阵逻辑105定义)相关的每个因信号的状态都是坏(在这种情况下，果信号的状态被设置为坏)，否则，该果信号的状态可以被设置为好。

可以将因掩码参数提供给因果功能块以避免一个或多个因信号在特定状态下变为活动的。例如，当不运行批处理时，批处理执行程序可以为一个或多个被输入到因果功能块的因信号设定因掩码参数，藉此以避免在没有任何问题发生的情况下断开所述果。

可以由因果功能块使用或输出一个补偿参数，以规定该因果功能块的正常逻辑没有被使用的时间。这可能会发生在例如设置掩码参数时、设置强制正常或强制果参数时等。这个参数可以用在例如用户接口种以提供状态或警报信息给诸如操作员等的用户。当然，因果功能块可以提供任何警报信号，诸如指出坏状态的警报、强制果或强制正常状态、关于一个或多个果的断开状态等等。应当理解，除了在此所述的这些之外，同样可以使用其它的期望的警报。

如可以看到的，在此所述的因果功能块的使用使得容易创建具有已知格式的功能块，且一旦创建，只需要使用适当的矩阵和参数设置对其编程以提供适当的操作。由于可以生成因果功能块并且将其以任何已知的或期望的方式而以通信联络的方式连接到其它功能块，所以在功能块编程环境下调整因果功能块变得容易。同样，由于因果功能块通常只需要在上下文中调节在编程环境下和传送给它的结构参数内如何进行连接，因此调试因果功能块也变得比用其它编程语言创建因果矩阵逻辑更容易。再有，由于因果功能块是一个典型的具有由提供给它的个别参数和矩阵设置改变的标准文本的功能块，因此提供该因果功能块文件也变得的较容易。

在图1指出因果功能块92和94从AI、DI、仲裁器或其它功能块接收输入的同时，该因输入可以来自任何一种其它功能块，或者可以作为处理装置10内的其它信号生成。再有，虽然已经将因果功能块92和94的果输出阐述为连接到诸如AO、DO或其它输出功能块上，但是这些输出可以连接到任何其它诸如定序功能块、分级功能块等期望类型的功能块上，或者甚至可直接连接到处理装置10内的其它应用程序或编程环境上。同样，虽然使用功能块编程图示已经实现了在此所述的逻辑，但是可以在其它类型的编程环境中提供同样的逻辑而且仍将其视为自此使用的功能块。更进一步地，虽然在此所述的因果功能块用于处理装置的安全系统或处理控制环境中，但是这些或类似的功能块可以用在标准处理控制环境中或用于其它期望的使用中而不是用在安全系统中。

另外，虽然在此所述的因果功能块包括状态机，但是应理解，这些状态机可以任何形式来实现，诸如经由硬件或以任何编程语言编写的软件来实现。为了成为这样的状态机，诸如软件程序、例程，对象等的元素只需使功能块在这里所定义或解释的状态或者在由功能块的输出表示的状态之间变换，藉此使果输出从安全或断开状态变换到正常或非断开状态。反之亦然。

当实施时，包括复用器、块、状态机、信号连接等的上述任何元素可以用存储在诸如磁盘、激光影碟或光碟等的任何计算机可读存储器或其它存储介质、计算机或处理器的RAM或ROM等中的软件形式实现。在此所描述的信号和信号线可采用任何形式，包括实际电线、数据寄存器、存储器定位等等。这个软件可以采用任何形式，包括在通用目的计算机或处理器上执行的应用软件或例如烧入特定用途集成电路(ASIC)中的硬编码软件，EPROM、EEPROM或其它任何固件装置等等。同样，使用任何已知的或期望的传送方法，可以将这个软件传送到用户、处理装置，操作员工作站、控制器、逻辑解算器或任何其它的计算装置上，该传送方法例如包括在计算机可读盘上或其它可传输计算机存储机构或在诸如电话线上、在因特网上、在万维网站上、任何局域网或广域网上等的通信信道上。(传送被视为相同于或经由可传输存储介质可交换地提供这种软件)此外，这个软件可以被直接提供而不需调制或加密，或者可以在通信信道上传输之前使用任何适当的调制载波和/或加密技术调制和/或加密这个软件。

当然，在此所述的因果功能块可以使用任何外部处理控制通信协议(包括现场总线协议或DeltaV协议)来实现，并且可以用于与任何类型的功能块通信，这些功能块包括任何类似于或相同于任何由现场总线协议指定识别或支持的不同功能块。而且，虽然在其中一个具体实施例中将因果功能块描述为现场总线“功能块”，但应注意，在此使用的表达“功能块”并不限于现场总线协议识别为的功能块，而是包括任何其它类型的块、程序、硬件、固件等，与任何类型的控制系统和/或通信协议相关的实体可以用于执行一些处理控制例程功能或这具有将信息或数据提供给其它这种功能块的预定配置或协议。因此，虽然功能块一般采用面向对象编程环境中的对象的形式，但是这不需要因而且可以替代地为其它逻辑单元，其用于使用任何期望的编程结构或图示来执行处理装置或控制环境中的特定控制(包括输入何输出)功能。

虽然已参考特定实例描述了本发明，特定实例仅为说明性的并不用于限制本发明。很明显，在不脱离本发明的精神和范围的情况下，本领域的普通技术人员可以对所披露的具体实施例作做出改变、添加或删除。

Claims (47)

1、一种在具有适于控制一个或多个现场设备的处理器的处理装置中使用的功能块实体，该功能块实体包括：

计算机可读介质；以及

存储在计算机可读介质上并适于在该处理器上执行的功能块，该功能块包括；

一组因输入，其适于从处理装置中接收因信号，每个因信号指出已检测因状态的存在或不存在；

一个或多个果输出，其适于提供果信号以在处理装置中生成果；

因果矩阵逻辑，其把每一个因输入和果输出联系起来；

耦合到每个因输入上的多路复用器，其使用因果矩阵逻辑生成一个或多个断开信号；以及

一个或多个状态机，每个状态机被耦合到不同的一个断开信号上，并被耦合到不同的一个果输出上，其中，每个状态机适于响应相关的一个断开信号来强制相关的果输出为断开值。

2、根据权利请求1的功能块实体，其中，所述多个状态机中的一个包括一个或多个状态输入，并且当处于第一状态时适于强制相关的果输出为断开值，处于第二状态时适于强制相关的果输出为正常值，以及当根据一个或多个状态输入的信号从第一状态变换到第二状态时，循环经过一个或多个附加状态。

3、根据权利请求2的功能块实体，其中，一个状态输入为复位许可状态输入，用于规定许可复位相关的果输出，并且其中一个或多个附加状态中的一个处于复位状态，在该复位状态下，所述一个状态机等待在复位许可状态输入端处的复位许可信号。

4、根据权利请求3的功能块实体，其中，第二个状态输入是请求许可状态输入，其规定是否需要复位许可信号以复位相关的果信号。

5、根据权利请求3的功能块实体，其中，第二个状态输入是复位信号输入，其指出状态机中的一个应当复位相关的果输出，并且其中一个或多个附加状态的第二个状态是附加复位状态，在该状态下，所述一个状态机等待在复位信号输入端处的复位信号。

6、根据权利请求5的功能块实体，其中，第三个状态输入是开始许可输入，其指出所述一个状态机应进入到第二状态，在第二状态下，相关的果输出被强制为正常值，以及其中一个或多个附加状态的第三个状态是开始状态，在开始状态下，所述一个状态机等待在开始许可输入端处的开始许可信号。

7、根据权利请求2的功能块实体，其中，多个状态输入中的一个是复位信号输入，其指出该状态机应当复位相关的果输出，和其中一个或多个附加状态中的一个是复位状态，在该状态下，多个状态机中的一个等待在所述一个复位信号输入端处的复位信号。

8、根据权利请求2的功能块实体，其中，多个状态输入中的一个是开始许可输入，其指出所述多个状态机中的一个应当进入到第二状态，在该第二状态下，相关的果输出被强制为正常值，和其中一个或多个附加状态中的一个是开始状态，在该状态下，所述多个状态机中的一个等待在开始许可输入端处的开始许可信号。

9、根据权利请求2的功能块实体，其中，当从第二状态变换到变换到第一状态时，所述多个状态机中的一个适于进入进一步的状态，其中，该进一步的状态使所述多个状态机中的一个在进入第一状态之前等待预定的时间周期。

10、根据权利请求9的功能块实体，其中，所述多个状态机中的一个包括时钟，用于确定所述多个状态机中的一个处于所述进一步的状态的预定时间周期。

11、根据权利请求2的功能块实体，其中，所述多个状态机中的一个生成指出特定状态的进一步的输出，在该特定状态下定位所述多个状态机中的一个。

12、根据权利请求1的功能块实体，其中，所述多个状态机中的一个在处于第一状态时适于强制相关的果输出为断开值，在第二状态时适于强制相关的果输出为正常值，以及当从第二状态变换到第一状态时适于经过第三状态循环，其中，第三状态使得所述多个状态机中的一个在进入第一状态之前等待预定的时间周期。

13、根据权利请求12的功能块实体，其中，所述多个状态机中的一个包括时钟，用于确定所述多个状态机中的一个处于第三状态的预定时间周期。

14、根据权利请求1的功能块实体，其中，多路复用器适于和因果矩阵逻辑一起使用因输入的值以生成一个或多个断开信号。

15、根据权利请求1的功能块实体，其中，多个因信号中的一个包括一个值和一个状态，和其中多路复用器包括适于和因果矩阵逻辑一起使用的一个因信号的状态和值生成一个或多个断开信号的状态逻辑。

16、根据权利请求15的功能块实体，其中，当一个因信号的状态为坏时，多路复用器的状态逻辑根据因果矩阵逻辑来生成一个或多个断开信号中的一个信号。

17、根据权利请求16的功能块实体，其中。当一个因信号的状态为好且当该因信号的值指出存在状态时，状态逻辑根据因果矩阵逻辑进一步生成一个或多个断开信号中的一个信号。

18、根据权利请求15的功能块实体，其中，多路复用器的状态逻辑根据因果矩阵逻辑使用状态为好的一个因信号的最后的值生成一个或多个断开信号中的一个信号。

19、根据权利请求1的功能块实体，进一步包括断开类型指示，用于规定与存在的因相关的一个因信号的值，和其中多路复用器在该因信号值的基础上使用断开类型指示检测因的存在。

20、根据权利请求1的功能块实体，进一步包括断开类型指示，用于规定与断开值相关的一个果输出的值，和其中所述多个状态机中的一个使用断开类型指示将相关的果输出设置为断开值。

21、根据权利请求1的功能块实体，其中，所述多个状态机中的一个生成进一步输出，用于指出导致所述多个状态机中的一个将相关的果输出强制为断开值的第一因输入。

22、一种用在处理装置中的控制系统，该处理装置具有在处理中连接的多个现场装置，该控制系统包括：

控制装置，以通信联络的方式耦合到若干现场装置，该控制装置包括处理器和计算机可读介质；以及

存储在计算机可读介质上并且适于在处理器上执行的控制块，该控制块包括；

一组因输入，适于从处理装置中接收因信号，每个因信号指出已检测因状态的存在或不存在；

一个或多个果输出，适于使用多个现场装置中的一个装置提供果信号以在处理装置中生成果；

因果矩阵逻辑，将每一个因输入和果输出联系起来；

耦合到每个因输入上的多路复用器，用于使用因果矩阵逻辑生成一个或多个断开信号；以及

一个或多个状态机，每个状态机被耦合到不同的一个断开信号上，并且耦合到不同的一个果输出上，其中每个状态机适于响应相关的一个断开信号来强制相关的果输出为断开值。

23、根据权利请求22的控制系统，其中，所述控制块是功能块。

24、根据权利请求22的控制系统，其中，控制块为遵循现场总线协议的功能块。

25、根据权利请求22的控制系统，其中，多个状态机中的一个包括一个或多个状态输入，并且当处于第一状态时适于强制相关的果输出为断开值，当处于第二状态时适于强制相关的果输出为正常值，以及当根据在一个或多个状态输入端的信号从第一状态变换到第二状态时，经过一个或多个附加状态循环。

26、根据权利请求25的控制系统，其中，所个状态输入中的一个是复位许可状态输入，用于规定许可复位相关的果输出，和其中一个或多个附加状态中的一个处于复位状态，在该复位状态下，所述多个状态机中的一个等待在复位许可状态输入端处的复位许可信号。

27、根据权利请求25的控制系统，其中，所述多个状态输入中的一个是复位信号输入，用于指出所述多个状态机中的一个应复位相关的果输出，和其中一个或多个附加状态中的一个是复位状态，在该状态下，所述多个状态机中的一个等待在复位信号输入端处的复位信号。

28、根据权利请求25的控制系统，其中，所述多个状态输入中的一个是开始许可输入，用于指出所述多个状态机中的一个应进入第二状态，在第二状态下，将相关的果输出强制为正常值，和其中一个或多个附加状态中的一个的状态是开始状态，在开始状态下，所述多个状态机中的一个等待在一个开始许可输入端处的开始许可信号。

29、根据权利请求25的控制系统，其中，所述多个状态机中的一个在从第二状态变换到第一状态时适于进入进一步的状态，其中，该进一步的状态使所述多个状态机中的一个在进入第一状态之前等待预定的时间周期。

30、根据权利请求25的控制系统，其中，所述多个状态机中的一个生成指出特定状态的进一步的输出，在该特定状态下，定位所述多个状态机中的一个。

31、根据权利请求22的控制系统，其中，多个因信号中的一个包括一个值和一个状态，和其中多路复用器包括适于和因果矩阵逻辑一起使用多个因信号中的一个的状态和值生成一个或多个断开信号的状态逻辑。

32、根据权利请求31的控制系统，其中，当多个因信号中的一个的状态是坏时，多路复用器的状态逻辑根据因果矩阵逻辑生成一个或多个断开信号中的一个信号。

33、根据权利请求31的控制系统，其中，多路复用器的状态逻辑根据因果矩阵逻辑使用状态为好的一个因信号的最后值生成一个或多个断开信号的一个信号。

34、根据权利请求22的控制系统，其中，所述多个状态机中的一个生成进一步的指出导致所述多个状态机中的一个将相关的果输出强制为断开值的第一因输入的输出。

35、根据权利请求22的控制系统，其中，控制块为第一功能块，并且还包括附加功能块，其以通信的方式经由因输入或果输出连接到第一功能块。

36、一种用于强制在处理装置内使用的一个或多个果信号在正常值和断开值之间变化以控制现场装置的方法，包括：

从处理装置内接收一组因信号，每个因信号指出已检测因状态的存在或不存在；

存储因果矩阵逻辑，该矩阵逻辑将每个因信号与一个或多个果信号关联；

根据因信号，使用因果矩阵逻辑生成一组断开信号；

将每个断开信号提供给独立的状态机，其中，每个状态机与多个果信号中不同的一个相关；以及

响应断开信号，使用状态机生成处于正常值或断开值的果信号。

37、根据权利请求36的方法，其中，状态机的使用包括当所述多个状态机中的一个处于第一状态时根据多个断开信号中的一个将多个果信号中的一个强制为断开值，当所述多个状态机中的一个处于第二状态时根据多个断开信号中的一个将多个果信号中的一个强制为正常值，并且进一步包括将一个或多个状态信号提供给所述多个状态机中的一个以及当从第一状态变换到第二状态时根据一个或多个状态信号值使所述多个状态机中的一个经过一个或多个附加状态循环。

38、根据权利请求37的方法，其中，提供一个或多个状态信号包括提供规定许可去复位一个果信号的复位允许信号，和其中使一个状态机经过一个或多个附加状态的循环包括使该状态机进入复位状态，在该复位状态下，该状态机等待复位许可信号。

39、根据权利请求37的方法，其中，提供一个或多个状态信号包括提供规定复位该果信号的命令的复位信号，和其中使该状态机经过一个或多个附加状态循环包括使该状态机进入复位状态，在该状态下，该状态机等待复位信号。

40、根据权利请求37的方法，其中，提供一个或多个状态信号包括提供规定开始受该果信号影响的处理的允许的开始允许信号，和其中使该状态机经过一个或多个附加状态循环包括使所述多个状态机中的一个进入开始状态，在该开始状态下，该状态机等待开始许可信号。

41、根据权利请求37的方法，还包括生成指出特定状态的输出信号，在该状态下，定位所述多个状态机中的一个。

42、根据权利请求36的方法，其中，状态机的使用包括当所述多个状态机中的一个处于第一状态时根据断开信号之一将果信号之一强制为断开值，当所述多个状态机中的一个处于第二状态时根据断开信号之一将果信号之一强制为正常值，并且进一步包括当从第二状态变换到第一状态时使所述多个状态机中的一个经过第三状态循环，其中，第三状态使所述多个状态机中的一个在进入第一状态之前等待预定的时间的周期。

43、根据权利请求36的方法，其中，使用因果矩阵逻辑根据因信号生成一组断开信号包括与因果矩阵逻辑一起使用因信号之一的值生成断开信号。

44、根据权利请求36的方法，其中，从处理装置中接收一组因信号包括接收与至少一个因信号相关的值和状态，并且其中根据因信号使用因果矩阵逻辑生成一组断开信号包括与因果矩阵逻辑一起使用至少一个因信号的值和状态以生成断开信号。

45、根据权利请求44的方法，其中，与因果矩阵逻辑一起使用至少一个因信号的值和状态生成断开信号包括当至少一个因信号的状态为坏时，根据因果矩阵逻辑生成一个或多个断开信号。

46、根据权利请求44的方法，其中，与因果矩阵逻辑一起使用至少一个因信号的值和状态生成断开信号包括根据因果矩阵逻辑使用状态是好的至少一个因信号的最后值生成一个或多个断开信号。

47、根据权利请求36的方法，还包括提供指出导致所述多个状态机中的一个将一个果信号强制为断开值的第一因信号的进一步输出。

Images