CN218158810U - 用于控制安全阀的系统 - Google Patents

Abstract

本实用新型涉及一种用于控制安全阀的系统。该系统包括：阀定位器，其包括传送输出信号到安全阀的输出部件、耦合到安全回路以检测回路电流的输入部件、以及驱动输出信号以驱动安全阀的电路；以及控制面板，其包括电耦合到安全回路的通信接口、用户接口元件、以及电耦合到电输出端和用户接口元件的电流控制电路，电流控制电路被配置为通过从安全回路吸收或向安全回路供应驱动回路电流的电流来响应对用户接口元件的激活。

Description

用于控制安全阀的系统

技术领域

本公开内容总体涉及使智能安全阀定位器跳闸(trip)，并且更具体地，涉及通过利用控制面板操纵触发智能安全阀定位器的内置跳闸功能的回路电流来实现。

背景技术

过程控制系统，如化学、石油或其它过程中使用的那些过程控制系统，通常包括经由模拟、数字或组合的模拟/数字总线通信地耦合到至少一个主机或操作员工作站以及一个或多个现场设备通信的一个或多个过程控制器。现场设备(其可以是例如阀、阀定位器、开关以及变送器(例如，温度、压力以及流量传感器))在过程工厂中执行功能，诸如打开或关闭阀和测量过程参数。过程控制器接收指示由现场设备进行的过程测量的信号和/或与现场设备有关的其它信息，使用该信息来实现控制例程，然后生成将在总线上发送到现场设备以控制过程的操作的控制信号。来自现场设备和控制器的信息通常可用于由操作员工作站执行的一个或多个应用，以使操作员能够执行关于该过程的任何期望的功能，诸如配置过程、查看过程的当前状态、修改过程的操作等。

此外，在许多过程中，当出现可能导致工厂中严重危害的问题(诸如有毒化学品溢出、爆炸等)时，提供单独的安全系统(有时称为“安全仪表系统”或“SIS”)以检测过程工厂内的显著安全相关问题并自动关闭阀，从设备移除电力，切换在工厂内的流等。安全系统或SIS应做什么(功能要求)和它必须如何执行好(安全完整性要求)可以根据危险和可操作性研究(HAZOP)、保护分析层(LOPA)、风险图等确定。IEC 61511和IEC 61508 中提到了示例性技术。在安全系统或SIS设计、构建、安装和操作期间，安全人员通常验证是否满足这些要求。功能要求可以通过设计评审(诸如故障模式、影响和严重性分析(FMECA)和各种类型的测试(例如，示例性工厂接受性测试、站点接受性测试、以及定期功能测试))进行验证。

一般而言，安全系统或SIS被设计为执行“特定控制功能”以在发生不可接受或危险的状况时使过程具有故障安全或者保持过程的安全操作。通常，安全系统应当与其它控制系统相对独立，以便确保安全系统功能不会受到损害。安全系统通常由与基本过程控制系统(BPC)相同类型的控制元件(包括传感器、逻辑解算器或控制器、致动器和其它控制设备)组成。然而，在典型的实施方式中，安全系统中的控制元件仅专用于安全系统的适当运行(例如，而不是对由控制系统控制的过程的适当控制)。

通常，“安全仪表功能”或“SIF”是安全系统中的特定的设备集合，旨在降低与特定危害相关联的风险，并且可以被认为或称为安全系统控制回路或者“安全回路”。SIF旨在(1)在违反了特定条件时自动将工业过程处于安全状态；(2)当特定条件允许(许可功能)时，允许过程以安全方式向前移动；或(3)采取动作以减轻工业危害的后果。SIF通常实施为整体风险降低策略的一部分，该策略旨在消除先前识别的安全性、健康和环境(SH&E)事件的可能性，该事件的范围可从次要设备损坏到涉及能量和 /或材料的不受控制的灾难性释放。

通常，使用IEC 61508/61511中定义为“风险图”、“风险矩阵”或LOPA 的方法的一个为每个SIF或安全回路分配由“安全完整性水平”或“SIL” (1、2、3或4)定义的特定级别的保护。SIL的分配是风险分析中的一项工作，在该分析中，在没有SIF的有益风险降低效果的情况下计算旨在由 SIF防范的与特定危害相关联的风险。然后将未减轻的风险与可容忍的风险目标进行比较。如果未减轻的风险高于可容忍的风险，则必须通过SIF的风险降低来解决未减轻的风险与可容忍的风险之间的差异。该所需风险降低量与SIL目标相关。本质上，所需的风险降低的每个数量级都与所需的 SIL数量之一的增加相关。在典型的示例中，SIL-1表示风险降低达100倍； SIL-2表示风险降低达1000倍；SIL-3表示风险降低达10,000倍；并且SIL-4 表示风险降低达100,000倍。

国际电工委员会(IEC)标准IEC 61508使用分为两大类别的要求定义 SIL：硬件安全完整性和系统安全完整性。设备或系统通常应当满足两个类别的要求来达到给定的SIL。对硬件安全完整性的SIL要求是基于设备的概率分析。为了达到给定的SIL，设备通常满足最大危险故障概率和最小安全故障分数的目标。通常，针对所讨论的系统定义“危险故障”的概念，通常以需求约束的形式进行，其完整性在整个系统开发中被验证。所需的实际目标根据需求的可能性、(多个)设备的复杂性和所使用的冗余类型而有所不同。

如上所述，安全系统通常除了过程控制控制器之外还具有一个或多个单独的逻辑解算器或控制器，经由设置在过程工厂内的单独的总线或通信线路连接到安全现场设备。安全控制器使用安全现场设备来检测与重要事件相关联的过程状况(诸如某些安全开关或关断阀的位置、过程中的溢出或下溢、重要的发电设备或控制设备的操作、故障检测设备的操作等)，从而检测表示异常状况的过程工厂内的“事件”。当检测到事件时，安全控制器采取一些动作来限制事件的不利影响，诸如传送命令关闭一个或多个阀、去激活或关闭一个或多个设备、移除工厂的部分的电力，等等。

注意，该背景描述提供了便于理解和明白下面的详细描述的上下文。目前提及的发明人的工作，就其在本背景部分中描述的程度而言(以及在递交时可能以其它方式未作为现有技术的背景描述的方面)既不明确也不隐含地被承认为相对于本公开内容的现有技术。

实用新型内容

所描述的系统使得用于过程控制环境的安全系统中安全阀的控制面板能够操纵由用于安全阀的阀定位器(有时简称“定位器”)使用的回路电流，从而使得阀定位器启动其中安全阀被置于安全状态的跳闸功能。

在实施例中，一种用于控制安全阀的系统(例如，过程控制系统)包括：用于控制安全阀的阀定位器。阀定位器可以经由安全回路(例如，4-20 mA回路)耦合到安全控制器或逻辑解算器，安全控制器或逻辑解算器向阀定位器发送命令信号，从而驱动安全阀的位置。该系统可以包括：控制面板，该控制面板耦合到安全回路并且被配置为操纵安全回路上的电流(例如，从而控制阀定位器的行为)。控制面板可以包括一个或多个按钮，其使用户能够经由电流操纵手动向阀定位器发送一个或多个命令(例如，跳闸命令、复位命令、测试命令等)。

阀定位器可以包括以下中的任何一个或多个：(i)输出部件，被配置为将输出信号传送到安全阀以驱动安全阀的位置(例如，驱动其关闭或打开)； (ii)输入部件，被配置为耦合到安全回路，从而检测安全回路上的电流信号(例如，4-20mA信号)的回路电流；和/或(iii)电路，被配置为实现用于基于回路电流控制输出信号的控制例程，其中，该电路被配置为响应于回路电流进入预配置的跳闸范围而将输出信号驱动到被选择为将安全阀的位置驱动到安全状态的值。

控制面板可以包括以下任何一个或多个：(i)通信接口，被配置为电耦合到安全回路；(ii)表示跳闸命令的用户接口元件；和/或(iii)电流控制电路，电耦合到电输出端和用户接口元件两者，其中，该电流控制电路被配置为通过从安全回路吸收或向安全回路供应足以将回路电流驱动到预配置的跳闸范围中的电流来响应对用户接口元件的激活。

在一些示例中，所述控制面板还包括被配置为向所述控制面板的部件供电的电源，并且其中，所述电源通过从所述安全回路吸收足以向所述控制面板的部件供电的电流水平来供电。

在一些示例中，所述控制面板还包括表示第二命令的第二用户接口元件；其中，所述电流控制电路还被配置为通过从所述安全回路吸收或向所述安全回路供应足以将所述回路电流驱动到与所述第二命令相关的所述预配置的范围中的电流来响应对所述第二用户接口元件的激活；并且其中，所述阀定位器的处理器还被配置为检测所述回路电流进入第二范围并且通过启动第二功能来进行响应。

在一些示例中，所述第二命令为复位功能。

在一些示例中，所述控制面板还包括指示所述阀定位器或所述安全阀的状态的指示器。

在一些示例中，所述阀定位器的处理器还被配置为激活互锁，以防止将使所述安全阀离开所述安全状态的对所述安全阀的调节。

在一些示例中，所述阀定位器的处理器根据去激励跳闸(DETT)配置进行配置，并且其中，所述控制面板被配置为通过激活电流吸收器以从所述安全回路吸收电流来操纵所述回路电流，从而降低所述回路电流。

在一些示例中，所述范围为0-11mA。

在一些示例中，所述阀定位器根据激励跳闸(ETT)配置进行配置，并且其中，所述控制面板被配置为通过激活电流源以向所述安全回路供应电流来操纵所述回路电流，从而增加所述回路电流。

在一些示例中，所述范围为13-20mA。

在一些示例中，所述阀定位器为包括处理器的智能阀定位器，并且其中，所述阀定位器被配置为传送或接收数字消息。

在一些示例中，所述控制面板的所述通信接口还被配置为经由与所述安全回路的所述电流信号不同的数字链路通信地耦合到所述阀定位器。

在一些示例中，所述控制面板还被配置为通过经由所述数字链路传送包括跳闸命令的数字消息来响应对所述用户接口元件的激活，以使得除了检测到所述回路电流被驱动到所述预配置的跳闸范围的情形之外，所述阀定位器也接收所述跳闸命令。

注意，已经提供了本概述以引入在下面详细描述中进一步描述的精选构思。如在详细描述中说明的，某些实施例可以包括在本概述中未描述的特征和优点，并且某些实施例可以省略本概述中描述的一个或多个特征或优点。

附图说明

下面描述的附图描绘了本文公开的系统和方法的各个方面。理解每个附图都描绘了所公开的系统和方法的特定方面的实施例，并且每个附图都旨在符合其可能的实施例。此外，尽可能地，以下描述参考附图中包括的附图标记。

图1描绘了包括与安全系统集成的过程控制系统的过程工厂。

图2示出了可以通过图1所示的配置例程生成的画面显示，其描绘了具有与图1所示的过程控制系统集成的图1所示的安全系统(包括逻辑解算器和安全场装置)的配置呈现。

图3更详细地示出了过程工厂的节点之内和之间的通信连接，包括图1 中的过程控制系统和安全系统中的设备之间以及之内的通信连接。

图4是图1所示的安全回路和LCP的框图。

图5描绘了诸如LCP的安全阀控制面板的示例性壳体。

图6是用于为定位器(诸如图1、4和5中所示的阀定位器)操纵回路电流，以便响应于回路电流进入特定范围而启动由定位器触发的定位器的跳闸功能的示例性方法的流程图。

图7是用于操作定位器，以使得其响应于回路电流分别进入跳闸范围和复位范围来启动跳闸和复位的示例性方法的流程图。

图8是用于操作定位器，以使得其响应于回路电流分别进入跳闸范围和复位范围而启动跳闸和复位的示例性方法的状态图。

具体实施方式

如上所述，所描述的方法和系统使得用于过程控制环境的安全系统中安全阀的本地控制面板(“LCP”)能够耦合到安全回路，该安全回路将逻辑解算器耦合到用于安全阀的阀定位器。LCP可以将安全回路上的回路电流驱动到期望的范围，从而使阀定位器通过启动由进入期望的范围的回路电流触发的阀定位器的跳闸功能来响应回路电流进入期望的范围。替代地或另外地，在一些实施例中，LCP可以被配置为操纵回路电流以触发阀定位器的复位功能或冲程测试功能。

有利地，所描述的技术和系统使得LCP能够使阀定位器跳闸，而无需经由典型的装置(诸如数字通信(例如，使用HART或Fieldbus协议或任何其它适当的数字协议))来向阀定位器传递消息。一般而言，对于典型控制面板的给定模型，需要针对控制面板可以配对的安全阀控制器/定位器的每个模型来评估典型的跳闸消息传递功能，以使得可以为每对控制面板模型和定位器模型的跳闸消息传递分配安全等级(并且因此，以符合安全标准的方式实现跳闸消息传递)。这种安全评估和评级过程可能是耗时的和昂贵的。相比之下，所描述的技术通过依赖于回路电流操纵来为阀定位器创建回路电流跳闸条件而避免了这种昂贵的安全评估和评级过程。可以独立于阀定位器与LCP的交互来评估阀定位器的回路电流跳闸功能，并为该阀定位器的回路电流跳闸功能分配安全等级。通过操纵回路电流使阀定位器启动其自身的回路电流跳闸功能，LCP避免了对数字跳闸消息传递操作进行额外的安全评估和评级的需要。

如本文所使用的，术语“跳闸(trip)”是指由异常或不期望的条件(例如，“跳闸条件”)触发的安全功能。安全功能可涉及将设备或系统置于“发生故障”或“跳闸”或“安全状态”。例如，跳闸LCP可以使得LCP跳闸阀定位器，这可以转而跳闸安全阀(例如，将安全阀置于期望的安全状态)。一般而言，跳闸的设备保持在跳闸状态，直到其被复位，而不管跳闸条件是否仍然保持(尽管该关系可以被配置为使得移除跳闸条件将复位所讨论的设备，如果需要的话)。

在任何情况下，下面参考图1-图8讨论各种技术、系统和方法。

I.示例性过程控制环境

图1描绘了包括与安全系统14(由虚线表示)集成的过程控制系统12 的过程工厂10，该安全系统14通常作为安全仪表系统(SIS)进行操作来监控和超控(override)过程控制系统12提供的控制以最大化过程工厂10 的可能安全操作。安全系统14包括安全系统控制回路1(有时为“回路”、“控制回路”、“安全回路”、或“SIF”)，该安全系统控制回路1包括安全系统逻辑解算器50，耦合到用于安全阀的数字阀控制器或智能阀定位器 (“SVP”)60A，以及用于安全回路1的本地控制面板(“LCP”)99A。

LCP 99a包括用户接口(例如，包括按钮)，以使用户能够根据本文讨论的技术和方法以安全的方式经由SVP 60A手动跳闸安全阀。具体地，LCP 99A可以操纵回路电流以使SVP60A以不需要安全评估并且不需要超过已经分配给SVP 60A的内部跳闸功能的安全水平的分配的安全水平(例如， SIL-3)的方式跳闸。

在更详细地描述安全回路1之前(参见下面关于图4的讨论)，下面的说明描述了较大过程控制系统12和安全系统14的结构和功能。

A.示例性过程控制系统和示例性安全系统的示例性部件

过程工厂10包括可以工厂人员(诸如过程控制操作员、维护人员、配置工程师等)可访问的一个或多个主机工作站、计算机或用户接口16(其可以是任何类型的个人计算机、工作站等)。在图1所示的示例中，三个用户接口16被示出为经由公共通信线路或总线22连接到两个单独的过程控制/安全控制节点18、20和配置数据库21。通信网络22可以使用任何期望的基于总线或非基于总线的硬件、使用任何期望的硬连线或无线通信结构、以及使用任何期望或适合的通信协议(例如以太网协议)来实现。

一般而言，过程工厂10的节点18和20中每一个都包括经由总线结构连接在一起的过程控制系统设备和安全系统设备，该总线结构可以被提供在不同设备附加到其中的背板上。节点18在图1中被示为包括过程控制器 24(其可以是冗余的控制器对)以及一个或多个过程控制系统输入/输出(I/O) 设备28、30和32，而节点20被示为包括过程控制器26(其可以是冗余的控制器对)以及一个或多个过程控制系统I/O设备34和36。过程控制系统 I/O设备28、30、32、34和36中的每一个都通信地连接到过程控制相关的现场设备集合，如图1所示的现场设备40和42。过程控制器24和26、I/O 设备28-36和控制器现场设备40和42通常构成图1的过程控制系统12。

类似地，节点18包括一个或多个安全系统逻辑解算器50、52，而节点 20包括安全系统逻辑解算器54和56。逻辑解算器50-56中每一个都是具有处理器57的I/O设备，该处理器57执行存储在存储器中的安全逻辑模块 58，并且通信地连接以向安全系统现场设备60和62提供控制信号和/或从安全系统现场设备60和62接收信号。另外，节点18和20中的每一个都包括至少一个消息传播设备(MPD)70或72，其经由环型总线连接74通信地彼此耦合。安全系统逻辑解算器50-56、安全系统现场设备60和62、 MPD 70和72以及总线74通常构成图1的安全系统14。

过程控制器24和26，举例而言可以是艾默生过程管理公司(Emerson ProcessManagement)销售的DeltaV^TM控制器或者任何其它期望类型的过程控制器，被编程为使用I/O设备28、30和32(针对控制器24)、I/O设备 34和36(针对控制器26)以及现场设备40和42来提供过程控制功能(使用通常所称的控制模块)。具体地，控制器24和26中每一个都实现或监督存储于其中或以其它方式与其相关联的一个或多个过程控制例程，并与现场设备40和42和工作站14通信来以任何期望的方式控制过程10或过程 10的一部分。现场设备40和42可以是任何期望类型的现场设备(诸如传感器、阀、变送器、定位器等)，并且可以符合任何期望的开放的、专有的或其它通信或编程协议，包括例如HART或者4-20mA协议(如示出用于现场设备40)、任何现场总线协议，诸如Foundation Fieldbus协议(如示出用于现场设备42)，或者CAN、PROFIBUS、AS-Interface协议，等等。类似地，I/O设备28-36可以是使用任何适当的通信协议的任何已知类型的过程控制I/O设备。

图1的安全逻辑解算器50-56可以是包括处理器57和存储器的任何期望类型的安全系统控制设备，该存储器存储安全逻辑模块58，安全逻辑模块58适于在处理器57上执行以使用现场设备60和62提供与安全系统14 相关联的控制功能。当然，安全现场设备60和62可以是符合或使用任何已知或期望的通信协议(诸如上面提到的那些)的任何期望类型的现场设备。特别地，现场设备60和62可以是传统上由单独的、专用的安全相关控制系统进行控制的类型的安全相关现场设备。在图1所示的过程工厂10 中，安全现场设备60被描绘为使用专用或点对点通信协议(诸如HART或 4-20mA协议)，而安全现场设备62被示为使用总线通信协议(诸如现场总线协议)。

在节点18和20中每一个中使用公共背板76(由穿过控制器24、26、 I/O设备28-36、安全逻辑解算器50-56以及MPD 70和72的虚线指示)，以将控制器24和26连接到过程控制I/O卡28、30和32或34和36，以及安全逻辑解算器52、54或56和58、以及MPD 70或72。控制器24和26 也被通信地耦合到总线22，并且作为总线22的总线仲裁器进行操作，以使 I/O设备28-36、逻辑解算器52-56以及MPD 70和72中的每一个都能够经由总线22与工作站16中的任一个进行通信。

如将理解的，工作站16中的每一个都包括处理器77和存储器78，存储器78存储适于在处理器78上执行的一个或多个配置应用和/或查看应用。配置应用80和查看应用82在图1中以分解图示出为存储在工作站14中的一个中。然而，如果需要的话，可以在工作站14中的不同工作站中或在与过程工厂相关联的其它计算机中存储和执行这些应用。一般而言，配置应用80向配置工程师提供配置信息，并使配置工程师能够配置过程工厂10 的某些或所有元件，并将该配置存储在配置数据库21中。作为由配置应用 80执行的配置活动的一部分，配置工程师可以为过程控制器24和26创建控制例程或控制模块，可以为任何和所有安全逻辑解算器50-56创建安全逻辑模块，并且可以将这些不同的控制和安全模块经由总线22和控制器24 和26下载到过程控制器24和26和安全逻辑解算器50-56中的适当的过程控制器和安全逻辑解算器。类似地，配置应用80可以用于创建其它程序和逻辑并将其它程序和逻辑下载到I/O设备28-36、现场设备40、42、60和 62等中的任一个。

反过来，查看应用82可以用于向用户(诸如过程控制操作员、安全操作员等)提供一个或多个显示，其包括(如果需要)在单独的视图中或在同一视图中的关于过程控制系统12和安全系统14的状态的信息。例如，查看应用82可以是警报显示应用，其接收警报的指示并将其显示给操作员。这种警报显示可以从过程控制系统12和安全系统14中接收警报并在集成报警显示中显示警报，因为来自系统12和14两者的警报将被发送到执行警报显示应用的操作员工作站14，并将被识别为来自不同设备的警报。类似地，操作员可以以与过程控制警报相同的方式处理警报横幅中显示的安全警报。例如，操作员或用户可以使用警报显示来确认安全警报、关闭安全警报等，这将使用通过总线22和背板76的通信将消息发送到安全系统 14内的适当过程控制器24、26，以关于安全警报采取相应的动作。以类似的方式，当过程控制系统12和安全系统14使用相同类型的参数、安全性和引用时，其它查看应用可以显示来自过程控制系统12和安全系统14两者的信息或数据，使得来自系统12和14中的一个的任何数据并且14可以集成到传统上为过程控制系统所提供的显示或视图中。

在任何情况下，应用80和82可以将单独的配置和其它信号发送到每个过程控制器24和26以及每一个安全系统逻辑解算器50-56，并且可以从每个过程控制器24和26以及从每一个安全系统逻辑解算器50-56接收数据。这些信号可以包括与控制过程现场设备40和42的操作参数相关的过程级消息，并且可以包括与控制安全相关现场设备60和62的操作参数相关的安全级消息。尽管安全逻辑解算器50-56可以被编程为识别过程级消息和安全级消息两者，但是安全逻辑解算器50-56能够区分两种类型的消息，并且将不能够被过程级配置信号编程或影响。在一个示例中，发送到过程控制系统设备的编程消息可以包括某些字段或地址，其由安全系统设备识别并且阻止这些信号用于编程安全系统设备。

如果需要的话，与用于过程控制I/O卡28-36的硬件和软件设计相比，安全逻辑解算器50-56可以采用相同或不同的硬件或软件设计。然而，将替代的技术用于过程控制系统12内的设备和安全系统14内的设备可以最小化或消除共同原因的硬件或软件故障。

此外，包括逻辑解算器50-56的安全系统设备可以采用任何期望的隔离和安全技术来减少或消除对由此实现的安全相关功能进行的未授权更改的机会。例如，安全逻辑解算器50-56和配置应用80可以要求具有特定权限级别的人或位于特定工作站的人对逻辑解算器50-56内的安全模块作出更改，其中该权限级别或位置不同于对由控制器24和26和I/O设备28-36执行的过程控制功能作出更改所需的权限或访问级别或位置。在这种情况下，只有被授权为对安全系统14作出更改的工作站的、在安全软件内指定的人或位于工作站的人具有改变安全相关功能的授权，这最小化了对安全系统 14的操作的破坏(corruption)的机会。如将理解的，要实现这种安全性，安全逻辑解算器50-56内的处理器针对适当的形式和安全性对输入消息进行评估，并作为对向安全逻辑解算器50-56内执行的安全级控制模块58作出的更改的看门者。

此外，如果需要的话，一旦在逻辑解算器50-56内启用安全相关功能，则在没有适当的访问权限的情况下不能经由操作员工作站14作出安全功能的状态的改变，这使得与过程控制系统12相关联的通信结构能够用于为安全系统14提供初始化，并用于提供安全系统14的操作的运行时报告，但是仍然能够将过程控制系统12与安全系统14隔离，在某种意义上，对过程控制系统12的改变不能影响安全系统14的操作。

如将理解的，在节点18和20中的每一个中使用背板76使得安全逻辑解算器50和52以及安全逻辑解算器54和56能够彼此本地地通信，以协调由这些设备中的每一个实现的安全功能，以彼此传送数据，或执行其它集成功能。另一方面，MPD 70和72操作用于使设置在工厂10的大量不同地点的安全系统14的部分能够仍然彼此通信以在过程工厂10的不同节点处提供协调的安全操作。特别地，MPD 70和72结合总线74使得与过程工厂10的不同节点18和20相关联的安全逻辑解算器能够通信地级联在一起，以允许根据指定的优先级在过程工厂10内级联安全相关的功能。替代地，在过程工厂10内的不同位置处的两个或更多个安全相关功能可以被互锁或互连，而无需将专用线路布置到工厂10的单独区域或节点内的各个安全现场设备。换句话说，对MPD 70和72和总线74的使用使得配置工程师能够设计和配置安全系统14，该安全系统14在整个过程工厂10中自然分布，但是其不同的部件通信地互连，以使得不同的安全相关硬件能够根据需要彼此通信。该特征还提供安全系统14的可扩展性，因为它使得能够在需要附加的安全逻辑解算器时或在将新的过程控制节点添加到过程工厂10时将附加的安全逻辑解算器添加到安全系统14中。

B.示出安全系统设备的示例性配置显示

图2示出了可以由图1的配置例程80生成的画面显示(screen display) 83，描绘了具有与过程控制系统12集成的安全系统14(包括逻辑解算器和安全现场设备)的配置呈现。应当理解的是，图2的配置显示83示出了其中配置应用80已配置了与过程工厂10内的不同设备相关联的软件的方式，并且可以由配置工程师通过下载新的配置软件到过程工厂10内的设备(包括过程控制系统设备和安全系统设备)来创建或改变过程工厂10的当前配置。

如画面显示83中所示，过程工厂10包括物理网络部分84和安全网络部分85，物理网络部分84用于显示过程工厂10内的设备，安全网络部分 85用于配置安全系统设备。物理网络部分84包括具有控制器87(命名为 CTRLR1)的控制网络部分86。控制器87(其可以是图1的控制器中的一个)包括一组分配的模块88和I/O设备部分89，分配的模块88存储在控制器87中并由控制器87执行，I/O设备部分89连接到控制器87以用于通信目的。I/O设备部分89被展开以示出经由图1的背板76中的一个连接到控制器87(CTLR1)的所有卡90。在该示例中，I/O设备部分89包括过程控制输入/输出卡C01-C05、C11-C15和C21。这些卡中的每一个都可以被展开以示出与这些卡中的每一个连接的不同现场设备(其是图1的现场设备40和42中的各个设备)身份和相关联的其它信息。类似地，举例说明物理连接，两个安全系统卡C07(命名为BLR1BMS)和CO17(尚未配置)。这些卡以阴影格式示出，并不能在该部分进行展开，因为它们不可在控制网络中或由控制网络配置。然而，可以通过添加、删除或更改控制模块、I/O设备和/或现场设备到配置呈现，使用画面83的控制网络部分86 来配置与过程控制系统12相关联的设备。

在画面83的安全网络部分85中示出安全系统14包括命名为BLR1BMS、BLR2BMS和LS1的三个安全逻辑解算器91-93。同样，如果需要的话，可以在安全网络部分85中示出消息传播设备(诸如图1的MPD 70和72)。在画面83中，展开安全逻辑解算器91以示出它包括分配的安全模块、一个或多个通道(其连接到诸如图1的设备60和62的安全现场设备)和安全参数。可以进一步在画面83的该部分中查看、添加、删除或改变这些元件中的每一个，从而配置安全系统14。特别地，可以以与使用控制网络部分86配置过程控制网络14的方式类似的方式使用安全网络部分85配置和修改安全系统14。实际上，如将理解的，可以使用如美国专利 No.5,838,563(其被转让给本专利的受让人并且在此通过引用明确地并入本文)中所描述的用于配置过程控制系统的方法来创建控制或安全模块，并将控制或安全模块分配给这些不同的控制和安全系统中的每一个。然而，一般而言，可以从存储在配置库中的模块模板对象创建安全逻辑模块，并调整以便用于特定的安全逻辑解算器，以关于过程工厂10内的特定安全现场设备执行安全功能。为了创建安全逻辑模块，安全工程师可以复制特定的控制模板(其可以用于创建在过程控制器中运行的过程控制模块以及在安全逻辑解算器中运行的安全逻辑模块)来创建特定的安全逻辑模块，并且可以通过图2的配置显示画面83内的安全逻辑解算器的指示下，拖放该安全逻辑模块来将安全逻辑模块分配到特定的安全元件，诸如安全逻辑解算器中的一个。在实施所公开的系统时，创建了安全工程师的新用户角色。在配置安全系统时，管理过程控制部分的配置工程师可能没有适当的特权来配置安全模块，并且因此安全模块的配置将由安全工程师执行。因此，系统内的安全性将允许勾画(delineate)单独的安全工程师和过程配置工程师。

C.由过程控制系统和安全系统使用的示例性通信技术

图3更详细地示出了过程工厂10的节点18和20内以及之间的通信连接，其包括图1所示的过程控制系统12和安全系统14中的设备之间和之内的通信连接。

一般而言，在图3中示出的图1的部件由相同的附图标记引用。然而，控制器24和26中的每一个在图3示为可以使用任何标准冗余技术的冗余控制器对24A、24B和26A和26B。类似地，安全逻辑解算器50-56中的每一个被示为各自对具有初级安全逻辑解算器50A、52A、54A和56A以及次级安全逻辑解算器50B、52B、54B和56B的一对设备。如将理解的，该对安全逻辑解算器50-56中的每一个都连接到安全现场设备(图3中未示出)，并且可以存储相同的安全逻辑模块58以用于执行安全系统14内的安全功能。每对安全逻辑解算器50-56都包括专用总线50C、52C、54C和56C，其连接在初级解算器和次级逻辑解算器之间，以提供逻辑解算器对之间的控制通信。初级安全逻辑解算器和次级安全逻辑解算器优选地同时运行和执行计算，并且可以经由适当的总线50C、52C、54C和56C彼此传输并确认这两个设备的输出。如果需要的话，初级设备可以包括表决逻辑，其基于初级设备和次级设备的两者的输出确定该对安全逻辑解算器的输出。替代地，任何期望的或已知的冗余技术可以用于逻辑解算器50-56对。此外， MPD 70和72中的每一个都被示为冗余的一对设备70A、70B和72A、72B，其中不同节点18和20的MPD利用冗余的一对节点间通信线路或总线74 连接。尽管在图1和图3中示出了仅两个节点18与20之间的通信互连，但是将理解，单个MPD或冗余的一对MPD可以位于过程工厂10的任何数量的不同节点中，并且可以以环形总线结构彼此连接，以便以任何期望的方式提供节点间通信。因为通常(尽管不一定)使用环形总线通信结构，所以第一节点的MPD将连接到第二节点的MPD，第二节点的MPD将连接到第三节点的MPD，依此类推，其中最后一个节点的MPD连接到第一节点的MPD，均经由环形总线74。如果在过程工厂10中仅存在两个节点，诸如图1中所示，从节点20的MPD 72A和72B出来的总线74将直接连接到节点18的MPD 70A和70B的输入。

除了示出控制器24和26与图1的工作站之间的连接之外，图3更详细地示出了背板76。特别地，在节点18处，控制器24A和24B经由(优选地设置在背板76中的)轨道线(railbus)通信连接100连接到I/O设备 28、30和32、冗余的各对安全逻辑解算器50A、50B和52A、52B以及冗余的一对MPD 70A和70B。以相同的方式，在节点20处，控制器26A和 26B经由设置在背板76中的轨道线通信连接102连接到I/O设备34和36、各对安全逻辑解算器54A、4B和56A、56B以及冗余的一对MPD 72A和 72B。控制器24和26使用轨道线连接100和102来一方面提供工作站14 之间的通信，并且另一方面提供I/O设备28、30、32、34和36与安全系统逻辑解算器50、52、54、56、70和72之间的通信，以及一方面提供I/O设备28、30、32、34和36之间的通信，并且另一方面提供安全系统逻辑解算器50、52、54、56、70和72之间的通信。换句话说，轨道线线路100 和102被用作通信网络，其使得安全系统设备能够在过程工厂10内以较高级别与过程控制系统设备集成，以使得设置在工作站14内的相同的配置应用和显示应用可以与过程控制系统设备和安全系统设备两者进行通信，配置和显示来自过程控制系统设备和安全系统设备两者的信息。

另外，如关于节点18所示，背板76包括初级对等(P2P)总线104A，该初级对等(P2P)总线104A将安全系统逻辑解算器50和52中的每一个连接到初级MPD 70A，而次级P2P总线104B将安全系统逻辑解算器50和 52中的每一个连接到次级MPD 70B。初级P2P总线104A和次级P2P总线 104B是在单个背板76提供安全逻辑解算器之间的本地通信以及向连接到背板76或与背板76相关联的MPD 70提供本地通信的本地总线。以类似的方式，节点20包括初级对等(P2P)总线106A，其将冗余的各对安全系统逻辑解算器54和56中的每一个连接到初级MPD 72A，而次级P2P总线 106B将冗余的各对安全系统逻辑解算器54和56中的每一个连接到次级 MPD 72B。初级P2P总线106A和次级P2P总线106B是在节点20的背板 76内提供安全逻辑解算器与MPD 72之间的本地通信的本地总线。如果需要的话，本地P2P总线104和106可以作为广播总线来操作，其中连接到总线的每一个安全逻辑解算器和MPD设备接收该总线上所有其它设备的传输，并且一次仅一个设备可以传输。当然，尽管图3示出了连接到不同节点18和20中的背板76中的每一个的两个安全逻辑解算器，但是任何所需数量的安全逻辑解算器(其可以是冗余对的逻辑解算器或独立逻辑解算器)可以连接到在节点18和20中的每一个处的背板76(从而连接到本地 P2P总线104或106)。

如果需要的话，安全逻辑解算器可以使用时分多址(TDMA)方法共享本地P2P总线介质，其中特定背板上的所有本地安全逻辑解算器彼此同步。在一种情况下，本地P2P总线104和106可以使用RS485曼彻斯特编码的HDLC协议，其具有例如2Mb/秒的吞吐量。该曼彻斯特编码方案使导线在4Mb/s下被驱动。给定的速率仅是示例性的，因为也可以选择其它适合的速率和编码方案。此外，如果需要的话，特定背板上的本地安全逻辑解算器中的每一个都可以基于背板76中的其物理位置确定或为其分配在背板76上使用的TDMA方案中的传输时隙，这减少了在特定节点处设置背板76所需的配置步骤的数量。此外，背板76的初级P2P总线104和次级P2P总线106可以支持任何期望的消息类型，并且本地P2P总线104和 106的物理互连可以驻留在背板76内。

远程P2P总线74优选地使用环形拓扑，以允许在位于过程工厂10的不同节点处、以及因此设置在不同背板76上的安全逻辑解算器之间传送数据。MPD 70和72负责围绕由远程P2P总线74组成的环传播消息，以便将来自与MPD 70或72相同的背板上的安全逻辑解算器的消息放置到环74，并且以便将位于环74上的并寻址到与MPD 70或72相同的背板上的安全逻辑解算器的消息转发到该安全逻辑解算器。尽管可以在远程P2P总线74 上传播任何数量的消息，但是一个实施例提供了要在任何P2P总线循环期间传播的最大三十二(32)个消息。这些消息可以源自1到32个单独的和不同的安全逻辑解算器，包括节点18和20的背板76上的安全逻辑解算器 50-56，以及通过环形总线74互连的在过程工厂10中的其它节点处的任何其它背板上的安全逻辑解算器。作为该操作的结果，即使当安全系统14中的所有安全逻辑解算器位于不同节点时，它们也可以同步地操作，因为环形总线74提供了这些设备之间的通信互连(其能够实现同步)。环形总线 74可以使用任何期望类型的总线结构和协议，但是优选使用点对点光缆和 10BaseT以太网协议(其具有约10Mb/s的吞吐量)。

II.示例性安全回路

图4是图1中所示的LCP 99A和安全回路1的框图(包括安全阀411 以及图1中所示的SVP 60A和逻辑解算器50)。一般而言，安全回路1包括电链路或连接499，其被配置为承载电流信号(例如，4-20mA)到响应的SVP 60A(例如，其中特定范围内的电流水平表示特定期望的阀位置，另一个范围内的电流水平表示要跳闸的命令；在又一个范围内的电流水平表示要复位的命令)。

如图所示，LCP 99A可以被耦合到安全回路1，以使得能够对安全回路1上的回路电流进行操纵，从而使得LCP 99A能够操纵由SVP 60A经由安全回路1接收的信号。一般而言，由安全回路1承载的信号是电流信号(例如，4-20mA)，其中安全回路上的电流水平(有时称为“电流信号”或“回路电流”)由逻辑解算器50进行改变，以使SVP 60A重新定位阀411。

注意，尽管本文关于LCP 99A的功能描述的方法和技术提及LCP 99A 通过操纵安全回路1的回路电流来触发SVP 60A的功能的能力，但是将理解的是，LCP 99A可以操纵用于被配置为基于电流信号(例如，4-20mA信号)操作的任何适合的阀定位器(例如，模拟的阀定位器)的任何适合的安全回路的回路电流。也就是说，本文关于LCP 99A的触发SVP 60A的功能的能力描述的技术也可以应用于使LCP 99A(或与所公开的设计和技术一致的任何类似配置的控制面板)能够触发基于回路电流水平操作的任何适合的数字或模拟的阀定位器的功能(因为LCP 99A通过回路电流操纵的方式实现这种触发)。这种阀定位器可以具有被配置为接收电流信号(例如， 4-20mA)并基于该电流信号驱动阀的一个或多个电路(例如，包括诸如 ASIC或微处理器的永久电路)。

安全回路1包括耦合到用于安全阀411(其可以是任何适合的安全阀) 的SVP 60A的逻辑解算器50。逻辑解算器50被配置为将控制信号传送到 SVP 60A，以便使得SVP 60A将安全阀411驱动到期望的位置。在典型示例中，逻辑解算器50确定阀411应当处于“正常状态”(例如，响应于确定不存在跳闸条件)或“安全状态”(例如，响应于确定存在跳闸状态)。根据过程的配置，“安全状态”可以是“打开”、“关闭”或任何其它期望的预定故障安全位置。示例性跳闸条件包括过热过程或压力罐的过压。

如图所示，在一些实施例中，LCP 99A和SVP 60A可以经由数字链路 499通信地连接。该链路499与电连接498不同。一般而言，SVP 60A和 LCP 99A中的每一个都可以经由链路499在彼此之间传送和接收信息。通常，在经由链路499传送的任何安全相关命令可以在工厂环境中适当实施之前，必须根据安全标准对它进行评估和评级。如先前所描述的，除了针对SVP 60A已经执行的那些，所公开的技术(其使LCP 99A能够经由回路电流的操纵触发SVP 60A的跳闸功能)除了针对SVP 60A已经执行的评估和评级之外不需要这种评估和评级。在一些实施例中，链路499可能不存在。例如，LCP 99A可以电连接(例如，经由链路，诸如链路498)到包括模拟阀定位器(未示出)或数字阀定位器(诸如SVP 60A)的安全回路而无需建立两者之间的数字链路。

SVP 60A是数字阀控制器或定位器，其被配置为调节诸如阀411之类的阀。SVP 60A包括存储器421、被配置为执行存储到存储器421的一个或多个指令集的处理器或微处理器423、以及通信接口425，该通信接口425 被配置为：(i)从控制系统(例如，逻辑解算器50和安全系统14)接收符合一个或多个过程控制或工厂通信协议和标准的通信信号(例如，传统4-20 mA信号或HART)，以及(ii)向阀(例如，阀411)传送SVP到阀(SVP-to-valve) 输出信号，以调节阀的位置和/或从阀接收指示阀位置的阀到SVP (valve-to-SVP)输入信号(有时称为“反馈信号”)。通信接口425可以是两个不同部件或接口的概念分组(例如，包括耦合到安全系统14以传送和接收4-20mA信号和/或数字信号的第一接口，以及耦合到阀411以传送气动输出信号来驱动阀411的第二接口)。

由SVP 60A从逻辑解算器50接收的信号可以被称为“回路电流”、“SVP 回路输入电流”、“SVP输入信号”等。在一些实施例中，SVP 60A可以经由叠加在由SVP 60A(例如，符合HART标准)接收的4-20mA信号上的数字信号将消息发送到逻辑解算器。由SVP 60A传送到逻辑解算器50的数字输出消息可以被称为“SVP回路输出信号”、“SVP输出消息”等。类似地，在SVP 60A处向阀411传送的或在SVP 60A处从阀411接收的信号可以分别被称为“SVP到阀输出信号”和“阀到SVP输入信号”。

在高级别下，“阀定位器”或“定位器”(诸如SVP 60A)是控制阀本体(例如，阀411)与安全系统(例如，安全系统14)之间的解释器。一般而言，SVP 60A依赖于两个信号以用于适当操作：输入信号(通常是来自安全系统14的输出控制信号)和反馈信号(阀411的检测到的阀位置)。在实施例中，SVP 60A将来自安全系统14(例如，来自逻辑解算器50)的控制信号进行转换(translate)，并调节对阀组件411的致动器的空气供应，该致动器将阀411移动到安全系统14请求的位置。SVP 60A还可以从阀411 的阀杆/轴取得位置反馈，并将该信息发送回安全系统14。

在典型的示例中，SVP 60A是智能阀定位器或控制器而不是传统的阀定位器。与依赖于气动输入信号(表示设定点)来控制将加压空气(即，气动输出)输送到阀致动器(例如，而不是处理器或基于计算机的系统) 的传统阀定位器不同，“智能”阀定位器或控制器执行与传统阀定位器相同的基本功能，但它具有扩展功能。国际自动化协会(ISA)在其标准中没有区分传统定位器和智能定位器。类似于典型的“智能”设备，与传统的阀定位器相比，智能阀定位器或控制器包括实现附加的能力的一个或多个处理器。智能阀定位器有时称为“SVP”、“智能定位器”、“阀控制器”、“智能阀控制器”、“数字阀控制器”或“DVC”。

如上所述，SVP 60A是基于处理器微处理器的定位器，其与各种通信协议兼容，包括HART、Foundation fieldbus和Profibus。处理器423能够实现与逻辑解算器50的诊断和双向通信以简化设置和故障排除。注意，仅依赖于传统的4-20mA信号来与控制系统通信的定位器通常不能将信号传输回控制系统，或者需要第二专用4-20mA链路进行定位器到控制系统信号传递。这是因为传统的非HART 4-20mA链路能够承载单向信号。相比之下，SVP 60A可以利用HART，这使得数字信号能够叠加在4-20mA信号上，从而经由单个4-20mA回路实现双向数字通信。

在任何情况下，在典型的操作中，SVP 60A从安全系统14(例如，从逻辑解算器50)接收控制信号，该控制信号由处理器423读取、经由存储到存储器421的数字算法进行处理、并转换为驱动电流信号，然后由电流- 压力(“I/P”)转换器(例如，通信接口425的一部分)将其转换成气动输出信号以将阀411驱动到期望的位置。与通常依赖于机械梁、凸轮和挡板组件来驱动气动输出的传统气动定位器不同，SVP 60A的处理器423执行表示位置控制算法的指令(例如，由机器可读指令或电路来体现)驱动电流信号，该电流信号被转换为驱动阀411的SVP输出。

因为SVP 60A是“智能”控制器或定位器，所以它提供了与传统定位器相比的许多优点。例如，它提供更精确和可靠的定位功能。此外，当使用类似于SVP 60A的多个定位器时，每个这样的定位器可以以相同的方式校准并以相同的方式维持，这提供了对设定点的更精确的控制，并因与传统定位器相比提供了改进的控制。此外，SVP 60A能够实现精确校准。例如，用户可以为SVP 60A指定具有比所需更大范围的输入信号，以补偿不精确的定位器校准。在模拟4-20mA的输入的情况下，用户可以使输入下降到大大低于4mA，然后将其调整为超过20mA以确保阀关闭，并使阀从 0％行进到100％。

另外，SVP 60A可以具有诊断的特征，其提供对阀性能的了解。这些诊断可以包括服务中(in-service)和脱离服务(out-of-service)诊断。典型的服务中诊断包括监控、摩擦分析、故障排除和空气消耗测试。监控诊断指示重要的参数，诸如气压、输入设定点、阀行程以及对操作至关重要的其它值。当阀41处于操作中时可以进行摩擦分析以确定阀组件中存在的摩擦量；过度摩擦可以使阀411更难以控制。可以进行空气消耗测试以确定阀411是否使用过多量的空气。过多的空气使用可能由致动器组件的压力保持部分和/或仪器管的磨损或损坏引起的。所有这些非侵入式服务中诊断都可以突出显示故障或性能劣化，并警告操作员是时候安排对组件的维护。

脱离服务诊断可以包括阀特性(valve signature)和阶跃响应测试。阀特性是在阀411缓慢打开和关闭时致动器压力输入与阀位置之间的关系的图形表示。来自阀特性的数据可以用于计算弹簧设置、弹簧率(spring rate)、阀摩擦和阀闭合力。阶跃响应测试以预定的增量移动阀411，并响应于到 SVP 60A的输入测量实际阀行程，这有助于评估阀性能、校准精度、定位器调谐和冲程速度。

SVP 60A可以被配置为当存在“跳闸条件”时“跳闸”。一般而言，术语“跳闸”是指由异常或不期望的条件(例如，“跳闸条件”)触发的安全功能。安全功能可涉及将阀411置于“故障”或“跳闸”或“安全状态”。一般而言，SVP 60A保持在跳闸状态，直到它被复位，而不管跳闸条件是否仍然保持(尽管该关系可以被配置为使得移除跳闸条件将复位所讨论的设备，如果需要的话)。

可以以去激励跳闸(de-energize to trip，DETT)配置或激励跳闸(energize totrip，ETT)配置(其中任何一个都可以满足SIL 3的系统完整性要求) 来配置SVP 60A。在任何一种情况下，逻辑解算器50可以被配置为通过提供比期望的回路电流多的附加的4mA(或与LCP功率消耗(power draw) 等效的任何其它期望的电流)来考虑LCP 99A的4mA功率消耗。例如，为了实现4mA回路电流，逻辑解算器50可以向安全回路1提供8mA的电流。换句话说，通常从SVP 60A的角度来理解“回路电流”。

在典型的DETT配置中，逻辑解算器50可以被配置为在大约20mA的正常操作(指示没有存在启动跳闸的异常条件)期间传送“基线”回路电流。SVP 60A可以被配置为将进入低于“基线”的“跳闸范围”的回路电流(例如，0-11mA)解释为跳闸命令，这使得SVP 60A将阀411移动到其安全状态(例如，当尝试跳闸SVP 60A时，逻辑解算器50可以在这种配置中传送4-15mA以考虑4mA LCP功率消耗)。类似地，SVP 60A可以被配置为检测任何适合数量的电流范围作为要启动一些其它功能的信号，诸如冲程测试。例如，在“基线”与“跳闸范围”之间的范围内的回路电流(例如，13-15mA)可以表示使SVP 60A启动冲程测试的“冲程测试范围”(例如，当尝试启动冲程测试时，逻辑解算器50可以在这种配置中传送17-19 mA以考虑4mALCP功率消耗)。最后，在高于基线的范围内的回路电流(例如，20mA或更大)可以表示在跳闸之后触发SVP 60A复位的“复位范围” (例如，当尝试复位SVP 60A时，逻辑解算器50可以在这种配置中传送 20mA或更多以考虑4mA LCP功率消耗)。

在典型的ETT配置中，逻辑解算器50可以被配置为在大约8mA的正常操作期间传送“基线”回路电流，以使得LCP吸收4mA的功率，并使得SVP 60A吸收4mA。在这种配置中，SVP60A可以被配置为将进入高于基线电流(例如，13-20mA)的“跳闸范围”的回路电流解释为跳闸，这使得SVP 60A将阀411移动到其安全状态(例如，当尝试跳闸SVP 60A时，逻辑解算器50可以在这种配置中传送17mA或更大以考虑4mA LCP功率消耗)。类似地，SVP 60A可以被配置为检测任何适合数量的电流范围作为要启动一些其它功能的信号，诸如冲程测试。例如，在“基线”与“跳闸范围”之间的回路电流(例如，5-7mA)可以表示使SVP 60A启动冲程测试的“冲程测试范围”(例如，当尝试启动冲程测试时，逻辑解算器50A可以在这种配置中传送9-11mA以考虑4mA LCP功率消耗)。最后，在低于基线的范围内的回路电流(例如，4mA或更低)可以表示在跳闸之后触发 SVP 60A复位的“复位范围”(例如，当尝试复位SVP 60A时，逻辑解算器 50A可以在这种配置中传送8mA以考虑4mA LCP功率消耗)。

III.示例性LCP

停留在图4中，LCP 99A是控制面板，该控制面板被配置为与诸如SVP 60A的阀定位器或控制器通信，以使得它可以将命令传送到定位器(例如，以引起跳闸、复位或冲程测试)。LCP 99A通常是基于现场的面板，位于与 SVP 60A相对靠近的位置，从而使得现场中的人员(例如，检查SVP 60A 的人员)能够对SVP 60A具有一定控制程度，如果期望的话(例如，使人员能够跳闸或复位SVP 60A)。可能需要该“本地”控制，因为它可以使人员能够在SVP60A和阀411响应经由LCP 99A使能的命令时亲自查看SVP 60A和阀411，从而能够在SVP 60A和/或LCP 99A不是以预期的方式进行动作时实现故障排除。

LCP 99A被配置为经由4-20mA链路498耦合到安全回路1，从而使 LCP 99A能够响应于用户手动激活跳闸命令来操纵回路电流，从而使用户能够以与安全标准一致的方式跳闸SVP 60A。也就是说，LCP 99A可以用于操纵回路电流以启动与由回路电流进入与各种功能对应的范围触发的 SVP 60A的各种功能(即，其中，电流范围触发SVP 60A的特定功能)。以下，关于典型的DETT配置描述了LCP 99A的功能，但是应当理解的是，可以利用略微不同的范围。此外，将理解的是，可以利用具有不同范围的 ETT配置。

LCP 99A包括包用户接口402(其包括按钮402a和402b)；将接口402 到电流调节电路406的接口电路；以及通信接口408。

用户接口(“UI”)402可以包括任何期望的用于检测用户输入的输入元件和/或用于向用户提供信息的输出元件。可以包括在UI 402中的示例性 UI输出部件包括：(i)用于提供视觉输出的可视输出部件，例如灯(例如， LED)和电子显示器(例如，LCD、LED、CRT、等离子体、投影显示器、抬头式显示器等)，(ii)音频输出部件，诸如用于提供音频输出的扬声器，以及(iii)运动产生部件，诸如提供触觉反馈的电机。可以包括在UI 402 中的示例性UI输入部件包括：(i)用于检测物理或触摸输入的机械或电气部件，诸如硬件致动器(例如，用于机械按钮的那些致动器)或电气传感器(例如，电阻或电容式触摸传感器)；(ii)用于检测音频输入(诸如语音命令)的音频传感器(例如，麦克风)；(iii)用于检测图像或视频输入的图像传感器，诸如在相机中发现的那些(例如，实现面部识别输入或手势输入，而无需用户触摸设备)；(iv)用于检测计算机系统本身的运动的运动传感器(例如，加速度计、陀螺仪等)(例如，使得用户能够通过旋转或以其它方式移动计算机系统来提供输入)。

一般而言，接口电路404用作UI 402与电流调节电路406之间的接口，以向电路406“通知”在UI 402处接收的用户输入或致动(例如，经由传输到电路406的电信号的改变)。电路404可以是任何适合的电路，其将 UI 402电链接到电流调节器电路406。在实施例中，致动按钮402a/b中的一个关闭或打开引起信号变化(例如，电流或者电压下降或上升)的电路，从而使电流调节器电路406中的相应开关(例如，下面更详细地描述的开关406d/e中的一个)改变状态(例如，关闭)。

一般而言，电流调节器电路406响应来自接口电路404的信号(例如，响应于UI402)以向安全回路1提供附加的电流，或者从安全回路1吸收附加的电流，这取决于SVP 60A的实施例和配置，从而使安全回路1的回路电流进入触发SVP 60A的期望功能(例如，跳闸功能、复位功能或冲程测试功能)的期望范围。

电流调节器406可以包括任何期望数量的电流源(以向安全回路1添加电流)或电流吸收器(current sink)(以从安全回路1吸收电流)，其中的任何一个或多个可以响应于接口电路404(其转而响应于UI 402)经由一个或多个开关耦合到电路406的其余部分。如图所示，电流调节电路406包括4mA电流吸收器406a；经由开关406d连接到电路406的12mA电流吸收器406b；以及经由开关406e连接到电路406的2mA电流吸收器406c。

在示例性实施例中，在默认状态下，吸收器406a从安全回路1中拉取 4mA的电流以向LCP 99A供电。因此，逻辑解算器50被配置为在8-24mA 的范围内供应电流，以使得LCP99A以其默认状态接收4mA，并使得DCV 60A接收4-20mA的电流信号。通过在正常操作期间供应最小的8mA，逻辑解算器50从而避免了回路电流下降到低于4mA，这将在它使用DETT 配置时跳闸SVP 60A。在一些实施例中，LCP 99A经由外部源供电，并且不包括吸收器406a。在这样的实施例中，逻辑解算器50可以在正常操作期间向安全回路提供标准4-20mA信号。

在任何情况下，开关406d和406e使LCP 99A能够操纵安全回路1上的回路电流，从而使LCP 99A能够通过使回路电流进入特定范围来向SVP 60A发送信号。例如，因为SVP 60A被配置为将4mA或更小的回路电流解释为跳闸消息或跳闸条件，所以LCP 99A可以通过使回路电流下降到低于4mA来触发SVP 60A的跳闸功能。

在默认情况下，该开关406d和406e是打开的，从而防止吸收器406b 和406c从安全回路1中泄出电流。当用户按下按钮402a时，接口404通过关闭开关406e来检测到该按下和响应，从而关闭包括吸收器406c的电路，并由此导致在吸收器406c从安全回路1拉取2mA的电流。类似地，当用户按下按钮402b时，接口404检测到该按下并通过关闭开关来进行响应，从而闭合包括吸收器406b的电路，并由此导致吸收器406b从安全回路1 拉取12mA的电流。

在实施例中，LCP 99A还可以经由数字命令(例如，经由叠加在HART 信号的4-20mA的信号上的数字信号来传送的，或经由专用链路(诸如图4 所示的链路499)来传送的)跳闸SVP 60A。然而，这样的数字命令可能无法被安全评级或批准，并且因此相比于上述电流操纵技术时可能不是期望的实施方式。

通信接口408将电流调节器电路406电耦合到安全回路1，并且可以包括任何适当的端子、导线或端口的集合来实现电连接通信。在一些实施方式中，LCP 90A可以经由电流操纵(在本文中详细描述)以及经由(例如，经由图4所示的链路499传送的)数字命令来跳闸SVP 60A。当跳闸条件出现时，该冗余可以减少LCP 99A未能跳闸SVP 60A的可能性。也就是说，如果跳闸命令未能经由图4中所示的链路498或499中的一个进行传输，则它可仍然经由其它链路传送和接收，以确保SVP 60A接收该命令，并将阀调整到安全状态。

图5根据实施例描述了用于安全阀控制面板(诸如LCP 99A)的示例性壳体500。如图所示，壳体500包括UI 501，其包括输出元件511、513、和515，以及输入元件521、402b和402a。在所示实施例中，输出元件511-515 是灯(例如，LED)。输出元件511指示何时阀411处于正常状态；输出元件513指示何时阀411处于跳闸或安全状态；并且输出元件515指示何时阀411准备复位(例如，指示跳闸条件不再存在)。输出元件511-513可以由电路404和/或由被配置为接收和解释叠加在安全回路1上的数字信号(例如，由SVP 60A和/或逻辑解算器50)的电路进行驱动。例如，输出元件 511和513可以通过由DVP 60A传送到LCP 99A的数字消息进行驱动。

在所示的实施例中，输入元件521、402a、以及402b是可以由用户致动的机械按钮。如图所示，按钮521表示“复位”命令，其使LCP 99A从安全回路1吸收或向安全回路1供应足以使SVP 60A触发复位功能从而返回正常操作的电流。按钮402b表示“跳闸”命令，其使LCP99A从安全回路1吸收或向安全回路1供应足以使SVP 60A触发跳闸功能从而将安全阀 411置于跳闸或安全状态的电流。并且按钮402a表示“测试”命令，其使 LCP 99A从安全回路1吸收或向安全回路1供应足以使SVP 60A触发其中 SVP 60A执行阀411的冲程测试的测试功能的电流。

IV.示例性方法

图6是用于为定位器(诸如SVP 60A)操纵回路电流，以便响应于回路电流进入特定范围而启动由定位器触发的定位器的跳闸功能的示例性方法600的流程图。方法600可以全部或部分地由图1、4和5中所示的LCP 99A实施，并且可以经由永久或半永久地被配置成执行方法600的电路(例如，LCP 99A)集合来实现。在实施例中，方法600可以由被存储到存储器并由处理器执行以实现方法600的功能的指令或例程集合来体现。注意，尽管下面的讨论参考图1-图5所示的结构(例如，LCP 99A)描述了方法 600，但是应当理解的是，方法600可以利用被配置为耦合到任何适合的定位器的回路的任何适合的控制面板来实现。

方法600开始于步骤605。在步骤605中，LCP 99A被电耦合到安全回路1(该回路将SVP 60A耦合到逻辑解算器50)，或者任何其它安全系统中的、将适合的阀定位器耦合到安全系统的安全回路。安全回路1可以承载 4-20mA信号。在一些情况下，安全回路1可以承载叠加在4-20mA信号上的数字信号(例如，根据HART协议)。

在步骤610中，LCP 99A监控用户接口402，以检测用户对诸如按钮(例如，在图4中所示的按钮402a或402b中的一个)之类的用户接口元件的致动。

在步骤615中，LCP 99A确定是否已经在用户接口402处检测到跳闸命令(例如，经由检测到“跳闸按钮”已经被致动)。如果检测到跳闸命令，则LCP 99A前进到步骤620以处理跳闸命令。否则，LCP 99A前进到步骤 625(下文讨论)。

在步骤620中，LCP 99A激活电流控制或调节器电路(例如，图4中所示的电路406)以向安全回路1供应或从安全回路1吸收足以使回路电流进入“跳闸范围”的电流，SVP 60A被配置为针对该跳闸范围通过启动跳闸来进行响应。例如，当SVP 60A被配置用于DETT配置时，LCP 99A可以关闭图4中所示的开关406e，以从安全回路吸收附加的12mA的电流。因此，当解算器50A供应16mA的基线电流时，LCP 99A可以(例如，经由电流吸收器406a和406b)吸收16mA的电流，使得回路电流降低到0mA。该SVP 60A可以通过跳闸安全阀411来响应检测到回路电流进入跳闸范围 (例如，0-11mA)。

在步骤625中，LCP 99A确定是否已经在用户接口402处检测到第二命令(诸如复位命令或冲程测试命令)。如果已经检测到第二命令，则该LCP 99A前进到步骤630，否则，LCP99A前进到步骤610以继续监控用户接口 402。

在步骤630中，LCP 99A激活电流控制或调节器电路(例如，图5中所示的电路40)，以向安全回路1供应或从安全回路1吸收足以使回路电流进入第二范围的电流，SVP 60A被配置为针对该第二范围通过启动第二功能来进行响应)。第二功能可以是复位功能(例如，16mA或更大或20mA 或更大的回路电流，这取决于实施例)或冲程测试范围(例如，13-15mA的回路电流)。为了使回路电流进入“复位范围”，LCP 99A可以激活电流源(未在图4中示出)，以将足够的电流添加到安全回路1。为了使回路电流进入“冲程测试范围”，LCP 99A可以激活电流吸收器(例如，电流吸收器406c)，以使回路电流下降到低于其基准电流进入“冲程测试范围”。在激活电流调节电路以触发第二命令之后，LCP 99A可以返回到步骤610以继续监控用户接口。

图7是用于操作定位器，以使得其响应于回路电流分别进入跳闸范围和复位范围来启动跳闸和复位的示例性方法700的流程图。方法700可以全部或部分地由图1和图4中所示的SVP 60A实现，并且可以经由永久或半永久地被配置成执行方法700的电路(例如，SVP60A)集合来实现。在实施例中，方法700可以由被存储到存储器(图4中所示的SVP 60A的存储器421)并由处理器(例如，处理器423)执行以实现方法700的功能的指令或例程集合来体现。注意，尽管下面的讨论参考图1-5所示的结构(例如，SVP 60A)描述了方法700，但是应当理解的是，方法700可以使用任何适合的阀控制器或定位器来实现。

注意，在方法700的上下文中，应当理解的是，对由SVP 60A检测的“回路电流”的引用是指SVP输入回路电流。在传统的配置中，单个实体 (例如，逻辑解算器50)用作单一的回路电流的源，现场设备检测回路电流以基于电流水平确定命令。然而，利用所公开的实施例，LCP 99A还可以向安全回路1供应或从安全回路1吸收电流。因此，DVC输入回路电流(即，由SVP 60A检测的回路电流)可以不同于由逻辑解算器50供应的电流，因为LCP 99A可以吸收或供应回路电流，这取决于实施例。

在任何情况下，方法700在步骤710开始，在步骤710，实施SVP 60A (或任何其它适合的阀定位器或数字阀控制器)的正常操作。

一般而言，SVP 60A在正常操作期间耦合到安全回路1，该回路将SVP 60A耦合到逻辑解算器50和安全系统14。

在步骤715中，SVP 60A监控安全回路1上的回路电流。一般而言，安全回路上的电流表示用于SVP 60A的信号，并且SVP 60A被配置为响应于回路电流是相应的水平或在相应的范围内来启动不同的功能(例如，将阀411定位在期望的位置)。

在步骤720中，SVP 60A确定安全回路的回路电流是否已经进入“跳闸范围”。响应于确定回路电流未进入“跳闸范围”，SVP 60A返回到步骤 715。

注意，在一些实施例中，在确定回路电流未进入“跳闸范围”之后， SVP 60A可以进行到其中它确定回路电流是否已进入与第二命令(诸如冲程测试命令)相关联的第二范围的步骤(未示出)。在这样的实施例中，SVP 60A通过启动冲程测试来响应检测到回路电流已经进入第二范围(例如， 13-15mA)。

在步骤725中，SVP 60A通过启动跳闸来响应检测到回路电流进入跳闸范围。上面参考图3讨论了示例性跳闸范围。

在步骤730中，SVP 60A通过将阀411置于安全状态来响应对跳闸的启动。安全状态可以是100％打开、0％打开、50％打开、或被选择作为故障安全位置的任何其它期望的预定位置。如果SVP 60A不能将阀411安全地置于安全状态中，则它可以生成警报。在一些情况下，安全阀411在发生跳闸时可能已经处于安全状态，因此可能不需要重新定位。在任何情况下，当SVP 60A确认阀已经达到了安全状态时，它前进到步骤735。在一些实施例中，在确认阀411已经达到安全状态之前(或者完全无需确认它已经达到安全的状态)，SVP 60A前进到步骤735。

在一些情况下，将阀411置于“安全状态”包括防止逻辑解算器50和 /或安全系统14(和/或任何其它设备、系统或用户，如果需要的话)将阀 411的位置改变离开安全状态位置。例如，SVP 60A可以激活防止移动阀 411的互锁，并且互锁可以保持有效直到满足特定条件(例如，检测到明确的复位命令)，而不管回路电流是否退出跳闸范围。互锁可以是“软”互锁 (例如，其中存储到SVP 60A的存储器的表示互锁的比特被设置为“1”以指示互锁是激活的)。在这样的示例中，只要将互锁比特或标志设置为“1”， SVP 60A就防止对阀位置的操纵(例如，防止阀411从其预定的安全状态或故障安全位置移动离开)。

在步骤735中，SVP 60A继续监控回路电流，然后前进到步骤740。

在步骤740中，SVP 60A确定回路电流是否已经进入复位范围。上面参考图3讨论了示例性复位范围。响应于确定回路电流未进入复位范围， SVP 60A返回到步骤635。响应于检测到回路电流已经进入复位范围，SVP 60A前进到步骤745。

在步骤745中，SVP 60A响应于在步骤740处检测到回路电流处于复位范围中而启动复位并前进到步骤750。

在步骤750中，SVP 60A通过将阀411置于“正常状态”中来响应对复位的启动。正常状态可以是100％打开、0％打开、50％打开、或被选择为“正常”的任何其它期望的预定位置，其中已经确认跳闸条件不再存在。

在一些情况下，将阀放置于“正常状态”包括允许逻辑解算器50和/ 或安全系统14将阀411置于任何期望的状态。这可以涉及去除或去激活防止重新定位阀411的互锁。互锁可以是“软”互锁，诸如设置为“1”的比特或标志，以指示激活的互锁。在这样的示例中，SVP60A可以通过将比特改变为“0”来移除互锁。针对该实例，可以配置SVP 60A，以使得只要互锁比特或标志被设置为“1”，SVP 60A就防止对阀位置的操纵。因此，通过将比特改变为“0”，SVP 60A使得能够重新定位阀411(例如，根据安全系统14的期望或命令)。

图8是用于操作定位器，以使得其响应于回路电流分别进入跳闸范围和复位范围来启动跳闸和复位的示例性方法800的流程图。方法800可以全部或部分地由图1和图4中所示的SVP 60A实现，并且可以经由永久或半永久地被配置成执行方法800的电路(例如，SVP60A)集合来实现。在实施例中，方法800可以由被存储到存储器(图4中所示的SVP 60A的存储器421)并由处理器(例如，处理器423)执行以实现方法800的功能的指令或例程集合来实现。注意，尽管下面的讨论参考图1-图5所示的结构 (例如，SVP 60A)描述了方法800，但是应当理解的是，方法800可以使用任何适合的阀控制器或定位器来实现。此外，注意到图8和图7描述了类似的功能，但图8以状态图而不是流程图的形式描述了方法800的功能。

在状态805中，SVP 60A处于“正常状态”，在此期间其监控安全回路 1的回路电流。当回路电流保持在“正常范围”时，SVP 60A可以保留在正常状态805。

当回路电流进入“跳闸范围”时，SVP 60A可以前进到状态810。在一些实施例中，当回路电流进入“X命令范围”时，SVP 60A前进到其中它实现了功能“x”的状态(未示出)。功能“x”可以是任何适合的功能。在实施例中，例如，“功能x”是冲程测试。

在任何情况下，在状态810中，SVP 60A将阀411置于安全状态。如果SVP 60A检测到阀411未被成功置于安全状态，则SVP 60A可以前进到状态815。否则，SVP 60A可以前进到状态820。

在状态815中，SVP 60A生成警报。生成警报可以包括发送消息以向安全系统14和/或用户通知阀411未从正常状态被成功重新定位到安全状态。生成警报可以包括向逻辑解算器50发送关于阀411的失败的重新定位的消息，并且逻辑解算器50可以通过将消息传送到安全系统14的一个或多个其它节点，以使得安全系统14意识到失败。在一些实施例中，生成警报可以包括将消息发送到用户的工作站(例如，经由安全控制器50和/或安全系统14的一个或多个其它节点)以使得通知以使其对用户可见或可听的方式 (例如，光、声音、或者某种类型的显示)来提供。在一些实施例中，可以将消息发送到LCP 99A，以使得在LCP 99A处为用户提供关于失败的复位的通知。

生成警报可以包括将消息传送到LCP 99A或逻辑解算器50(然后其可以传送要最终在工作站处接收的消息)来使得通知以使其对用户可见或可听的方式(例如，光、声音或某种类型的显示)来提供。

在状态820中，SVP 60A处于跳闸状态，在该状态中它监控回路电流。在状态820中，SVP 60A可以具有防止对阀411操纵的激活互锁。当在状态820中，当回路电流未能进入复位范围时，SVP 60A可以保持在跳闸状态820中。然而，当回路电流进入复位范围时，SVP 60A可以转换到状态 825。

在状态825中，SVP 60A是“未跳闸”或复位，并且可以尝试将阀411 重新定位到与“正常状态”相关联的预定位置。附加地或替代地，在某些情况下，在状态825中，SVP 60A移除互锁，从而允许对阀411的操纵。当SVP 60A检测到阀411未能从安全状态成功重新定位到正常状态(例如，未成功移除互锁，或者阀411未成功重新定位到“正常”位置)时，SVP 60A可以前进到状态830。在状态830中，SVP 60A生成警报以向安全系统14 和/或用户通知阀411没有成功地从安全状态转换到正常状态。生成警报可以包括与关于状态815所提到的步骤相同或相似的步骤。

当阀411成功地转换到正常状态时，与状态825保持(例如，其中互锁被移除和/或阀411被定位于预定的“正常”位置)，SVP 60A转换回到正常状态805，其中它监控安全回路1的回路电流。

V.其它考虑因素

当在软件中实现时，本文描述的应用、服务和引擎中的任一个可以存储在任何有形的、非暂时性计算机可读存储器中，诸如在磁盘、激光磁盘、固态存储器件、分子内存存储设备或其它存储介质上、计算机或处理器的 RAM或ROM中等。尽管本文公开的示例性系统被公开为包括在硬件上执行的软件或固件中，但是应当指出这种系统仅仅是示例性的，不应当被视为限制性的。例如，将预期到这些硬件、软件和固件组件中的任何或所有都可以专门地体现在硬件中、专门地体现在软件中，或者在硬件和软件的任何组合中。因此，尽管本文描述的示例性系统被描述为在一个或多个计算机设备的处理器上执行的软件中实现，但是本领域普通技术人员将容易理解所提供的示例不是实现这种系统的唯一方法。

参考方法600-800，具体地，可以在图1-图5中所示的SVP 60A和LCP 99A的设备、电路或例程中整体或部分地实现所描述的功能。所描述的方法中的每一个都可以由电路集合来实现，该电路集合可以被永久地或半永久地配置(例如，ASIC或FPGA)以执行相应方法的逻辑功能或至少被临时配置以执行相应方法的逻辑功能(例如，保存到存储器的、表示逻辑功能的一个或多个处理器和设置指令或例程)。

在本说明书中，多个实例可以实现描述为单个实例的部件、操作或结构。尽管将一个或多个方法的操作示出并且描述为单独的操作，但是可以在某些实施例中同时执行各个操作中的一个或多个。

如本文所用，对“一个实施例”或“实施例”的任何引用意味着结合该实施例所描述的特定元素、特征、结构或特性包括在至少一个实施例中。说明书中的各个地方的短语“在一个实施例中”的出现不一定参考同一实施例。

如本文所使用的，术语“包括(comprises)”、“包括(comprisiing)”、“包含(includes)”、“包含(including)”“具有(has)”、“具有(having)”或其任何其它变化，旨在覆盖非排他性的包含。例如，包括元件列表的过程、方法、制品、或装置不必仅限于那些元件，而是可以包括未明确地列出或固有这种过程、方法、制品或装置的其它元件。此外，除非明确说明相反，否则“或”是指包含性或不属于排他或。例如，条件A或B由以下的任何一个满足：A为真(或存在)且B为假(或不存在)，A为假(或不存在)且B为真(或存在)，A和B都是真的(或存在)。

此外，短语“其中，所述系统包括X、Y或Z中的至少一个”表示系统包括X、Y、Z或其某种组合。类似地，短语“其中，部件被配置用于X、 Y或Z”表示该部件被配置用于X、用于Y、用于Z，或者被配置用于X、Y和Z的某种组合。

此外，使用“一”或“一个”用于描述本文实施例的元件和部件。该描述和随后的权利要求应当读取为包括一个或至少一个。单数还包括复数，除非它显然不是。

在各种实施例中，本文描述的硬件系统可以机械地或电子地实现。例如，硬件系统可以包括永久配置的专用电路或逻辑(例如，作为专用处理器，诸如现场可编程门阵列(FPGA)或专用集成电路(ASIC)来执行某些操作)。硬件系统还可以包括可编程逻辑或电路(例如，包括在通用处理器或其它可编程处理器中)，其被软件临时配置以执行某些操作。应当理解，对在专用和永久配置的电路或在临时配置的电路(例如，由软件配置的) 中机械地实现硬件系统的决定，可以由成本和时间考虑来确定。

此外，本文档末尾的专利权利要求不旨在35U.S.C§112(f)下解释，除非明确叙述传统装置-加-函数语言，诸如“用于……的装置”或“用于……的步骤”的语言在(多个)权利要求中被明确引用。本文描述的系统和方法的至少一些方面涉及对计算机功能的改进，并改进传统计算机的用途。

此外，通常来讲，如本文所使用的，短语“存储器”或“存储器设备”是指包括计算机可读媒介或介质(“CRM”)的系统或设备。“CRM”是指相关计算系统可访问的用于放置、保持或取回信息(例如，数据、计算机可读指令、程序模块、应用、例程等)的介质或媒介。注意，“CRM”是指在自然界中是非暂时性的媒介，并且不指的无法体现的暂时性信号，例如无线电波。

CRM可以在相关计算系统中包括的或与相关计算系统通信的任何技术、设备或设备组中实现。CRM可以包括易失性或非易失性介质，以及可去除或不可去除的介质。CRM可以包括但不限于RAM、ROM、EEPROM、闪存或其它存储器技术、CD-ROM、数字通用磁盘(DVD)或其它光盘存储器、磁盒、磁带、磁盘存储器或其它磁存储设备或可以用于存储信息并可以由计算系统访问的任何其它介质。CRM可以通信地耦合到系统总线，从而使能在CRM与耦合到系统总线的其它系统或部件之间的通信。在一些实施方式中，CRM可以经由存储器接口(例如，存储器控制器)耦合到系统总线。存储器接口是管理CRM与系统总线之间的数据流的电路。

此外，当在通信网络的上下文中使用时，术语“消息”是指(例如，经由链路)由节点发送或接收的、由数据集合表示的通信单元。表示消息的数据集可以包括有效载荷(即，旨在传送的内容)和协议开销。开销可以包括与协议或有效载荷有关的路由信息和元数据(例如，标识用于消息的协议、预期的收件人节点、始发节点、消息或有效载荷的大小、用于检查消息完整性的数据完整性信息等)。在某些情况下，可以将数据包或数据包序列视为消息。

另外，如本文所使用的，除非另有说明，在传送信息或数据的(多个) 系统或(多个)设备的上下文中使用时，术语“网络”是指节点和连接以实现节点之间的电信的链路的集合(例如，能够发送、接收或转发信息的设备或系统)。

取决于实施例(除非另有说明)，所描述的网络中的一个或多个可以包括负责转发节点之间的指示流量的专用路由器、交换机或集线器，以及可选地，负责配置和管理网络的专用设备。所描述的网络中的节点中的一些或所有节点也可以适于用作路由器，以便在其它网络设备之间发送直接流量。所描述的网络的节点可以以有线或无线方式相互连接，并且可以具有不同的路由和传输能力。

关于术语“处理器”，可以由一个或多个所描述的或隐式公开的控制器或处理器至少部分地执行本文描述的示例性方法的各种操作。一般而言，术语“处理器”和“微处理器”可互换地使用，每次是指被配置为获取和执行存储到存储器的指令的计算机处理器。

通过执行这些指令，所公开的(多个)处理器可以执行由指令定义的各种操作或功能。根据特定实施例，所公开的(多个)处理器(例如，用于专用集成电路或ASIC的处理器)可以临时配置(例如，通过指令或软件) 或永久地配置为执行相关操作或功能。每个公开的处理器可以是芯片组的一部分，其还可以包括例如存储器控制器或I/O控制器。芯片组是集成电路中的电子元件的集合，其通常被配置为提供I/O和存储器管理功能以及多个通用或专用寄存器、定时器等。通常来讲，所描述的处理器中的一个或多个可以经由系统总线通信地耦合到其它部件(诸如存储器设备和I/O设备)。

操作中某些的性能可以分布在一个或多个处理器之间，不仅驻留在单个机器内，而且部署在多个机器上。例如，当单个处理器描述为执行操作集合时，应当理解的是，在一些实施例中，根据多个处理器上的任何期望的分布，多个处理器可以执行操作集合。在一些示例实施例中，一个或多个处理器可以位于单个位置(例如，在家庭环境、办公环境或服务器群组内)，而在其它实施例中，处理器可以分布在许多位置。

诸如“处理”、“计算”、“运算”“确定”、“呈现”、“显示”等词语可以是指操纵或转换表示为一个或多个存储器(例如，易失性存储器、非易失性存储器或其组合)、寄存器或接收、存储、传送或显示信息的其它及其部件内的物理(例如，电子、磁或光学)量的数据的机器(例如，计算机) 的动作或过程。

尽管已经参考仅旨在说明而不限制本实用新型的实施例的具体实施例描述了本实用新型，它对于本领域普通技术人员来说显而易见的是，可以在不脱离本实用新型的精神和范围的情况下做出对所公开的实施例改变、某些添加或删除。此外，尽管上述文本阐述了许多不同实施例的详细描述，但是应当理解的是，专利的范围由本专利末尾阐述的权利要求和它们的等同物的词语进行限定。详细描述仅被解释为示例性示例，并且没有描述每个可能的实施例，因为描述每个可能的实施例如果不是不可能也是不切实际的。

Claims (13)

1.一种用于控制安全阀的系统，其特征在于，包括：

阀定位器，包括：

(i)输出部件，被配置为将输出信号从所述阀定位器传送到安全阀以驱动所述安全阀的位置；

(ii)输入部件，被配置为耦合到安全回路，从而检测所述安全回路上的电流信号的回路电流；以及

(iii)电路，被配置为实现用于基于所述回路电流来控制所述输出信号的控制例程，其中，所述电路被配置为响应于所述回路电流进入预配置的跳闸范围而将所述输出信号驱动到被选择为将所述安全阀的所述位置驱动到安全状态的值；以及

控制面板，通信地耦合到所述阀定位器，其中，所述控制面板包括：

(i)通信接口，被配置为电耦合到所述安全回路；

(ii)表示跳闸命令的用户接口元件；以及

(iii)电流控制电路，电耦合到电输出端和所述用户接口元件两者，其中，所述电流控制电路被配置为通过从所述安全回路吸收或向所述安全回路供应足以将所述回路电流驱动到所述预配置的跳闸范围中的电流来响应对所述用户接口元件的激活。

2.根据权利要求1所述的系统，其特征在于，所述控制面板还包括被配置为向所述控制面板的部件供电的电源，并且其中，所述电源通过从所述安全回路吸收足以向所述控制面板的部件供电的电流水平来供电。

3.根据权利要求1所述的系统，其特征在于，所述控制面板还包括表示第二命令的第二用户接口元件；

其中，所述电流控制电路还被配置为通过从所述安全回路吸收或向所述安全回路供应足以将所述回路电流驱动到与所述第二命令相关的所述预配置的范围中的电流来响应对所述第二用户接口元件的激活；并且

其中，所述阀定位器的处理器还被配置为检测所述回路电流进入第二范围并且通过启动第二功能来进行响应。

4.根据权利要求3所述的系统，其特征在于，所述第二命令为复位功能。

5.根据权利要求1所述的系统，其特征在于，所述控制面板还包括指示所述阀定位器或所述安全阀的状态的指示器。

6.根据权利要求1所述的系统，其特征在于，所述阀定位器的处理器还被配置为激活互锁，以防止将使所述安全阀离开所述安全状态的对所述安全阀的调节。

7.根据权利要求1所述的系统，其特征在于，所述阀定位器的处理器根据去激励跳闸(DETT)配置进行配置，并且其中，所述控制面板被配置为通过激活电流吸收器以从所述安全回路吸收电流来操纵所述回路电流，从而降低所述回路电流。

8.根据权利要求7所述的系统，其特征在于，所述范围为0-11mA。

9.根据权利要求1所述的系统，其特征在于，所述阀定位器根据激励跳闸(ETT)配置进行配置，并且其中，所述控制面板被配置为通过激活电流源以向所述安全回路供应电流来操纵所述回路电流，从而增加所述回路电流。

10.根据权利要求9所述的系统，其特征在于，所述范围为13-20mA。

11.根据权利要求1所述的系统，其特征在于，所述阀定位器为包括处理器的智能阀定位器，并且其中，所述阀定位器被配置为传送或接收数字消息。

12.根据权利要求11所述的系统，其特征在于，所述控制面板的所述通信接口还被配置为经由与所述安全回路的所述电流信号不同的数字链路通信地耦合到所述阀定位器。

13.根据权利要求12所述的系统，其特征在于，所述控制面板还被配置为通过经由所述数字链路传送包括跳闸命令的数字消息来响应对所述用户接口元件的激活，以使得除了检测到所述回路电流被驱动到所述预配置的跳闸范围的情形之外，所述阀定位器也接收所述跳闸命令。

Images