JP2007512625A - 監視オーバレイヤを備えたプロセス装置 - Google Patents

Abstract

プロセス装置（１００）は、所望の安全保全レベル（ＳＩＬ：Safety Integrity Level）を満たすように構成される。装置インタフェース（３１０）は、プロセス装置に接続され、プロセス装置の構成要素の動作に関連する出力を提供するように構成される。構成要素監視器（３１４）は、構成要素の動作を監視し、構成要素の安全イベントを識別する。安全レスポンスモジュール（３１８）は、安全レスポンスに従って構成要素の安全イベントに応答する。

Description

本発明は、産業プロセスの動作を監視または制御するのに用いられるタイプのプロセス装置に関する。より詳細には、本発明は、前述のようなプロセス装置の安全認証に関する。
プロセス装置は、産業プロセスを監視および／または制御するために、産業プロセス制御システム内で使用される。

制御装置は、プロセスを制御するために用いられるプロセス装置である。制御装置の例としては、ポンプ、バルブ、アクチュエータ、ソレノイド、モータ、混合器、撹拌器、破砕機、圧搾機、ローラ、粉砕器、ボール粉砕器、ニーダー、フィルタ、混合機、サイクロン、遠心分離機、タワー、ドライヤー、コンベア、分離器、エレベータ、昇降機、ヒータ、冷却器、および他の類似の装置がある。送信機は、例えば、温度、圧力、流量などのプロセス変数を監視することによって、プロセスの動作を感知（または監視）するために用いられるプロセス装置である。監視されたプロセス変数は、送信されて、プロセス内の他の装置、例えば中央制御室で用いられる。別のプロセス装置の例は、プロセス送信機やプロセスコントローラなどの、プロセス内で用いられるプロセス装置の動作を監視するため、および装置をプログラミングしたり、装置へ命令を送信することによってプロセス装置を制御するために用いられるプロセス監視装置または通信機である。

典型的には、プロセス装置は、かなり丈夫に設計され、故障率が低く、長寿命となるように製造されている。プロセス装置の故障は、プロセスに重大な影響を及ぼし、装置が修理されるか交換される間、プロセスを一時的に停止することを余儀なくする。しかしながら、プロセス装置のいくつかの用途では、典型的なプロセス装置のレベルをはるかに上回る性能レベルを必要とする。そのような装置は「安全認証プロセス」あるいは「安全保全レベル」（ＳＩＬ）認可基準を満たさなければならない。この認可は、所望の安全要求を満たすプロセスを構成するための測定の基準を提供する。

安全保全レベルは、プロセスの安全性を測定するために使用可能な測定基準を提供する１組の規格である。安全保全レベルは、情報を提供し、プロセスが安全に作動しているかどうかを予測する方法を提供し、かつ故障の場合には、プロセスの故障を安全な範囲にとどめるようにする。ＳＩＬ評価は、製品の信頼性に関連する。例えば、製品は、ある予め定められた速さで指定されたタスクを行なうのに「有効である」と示されなければならない。この有効性は、平均修復時間（ＭＴＴＲ）だけでなく、製品の平均故障間時間（ＭＴＢＦ）、および必要な故障の予測（ＰＦＤ）に関与するものである。一般には、安全保全レベルの使い方は、「機能安全および安全保全レベル（Functional Safety and Safety Integrity Levels）」アプリケーションノート（Applications Note） ベントリー ネバダ ＢＮ（Bently Nevada BN）パートナンバー１４９４０９−０１修正版Ａ（Revision A）２００２年４月に記載されている。装置用の安全保全レベル認可を増大させるために用いられる１つの手法は、故障の少ない、電気的または機械的部品などの構成要素を使用することである。例えば、故障を低減するために予備のシステムを提供する設計的な手順が用いられる。故障を低減することに加えて、プロセス装置は、特別の故障イベントを検知し、プロセスを制御して停止するような、所望のレスポンスを提供するために用いられることができる。一般的には、そのような認可要件を満たすためにプロセス装置を設計することは、困難で、時間のかかるプロセスである。

プロセス装置に用いられる装置は、プロセス装置用の所望の安全保全レベル（Safety Integrity Level：ＳＩＬ）を提供する。装置インタフェースは、プロセス装置に接続されて、プロセス装置の構成要素の動作に関連する出力を提供する。構成要素監視器は、装置インタフェースからの出力で、構成要素の動作を監視し、構成要素の安全イベントを確認する。安全レスポンスモジュールは、所望のレスポンスに従って構成要素の安全イベントに応答する。

多くのプロセスは、本質的には危険である。これらのプロセスは、典型的には有毒性、可燃性、あるいは反応性物質を使用し、高温かつ高圧であることが多い。これらのプロセス内の装置機能不良あるいは人為的エラーの場合には、大災害が生じる可能性がある。安全計装システム（ＳＩＳ：Safety Instrumented Systems）は、そのような災害を防ぐことを目的とするオートメーションシステムである。新しい国際規格によって、特に化学薬品、石油化学製品および精製産業において、このような安全システムに対する関心が、過去数年にわたって増大している。

安全計装システムは、次の目的で設計されたセンサ、論理解答器（logic solvers）および最終制御要素からなるシステムとして定義される。
−予め定められた状態が侵害された時に、プロセスを自動的に安全な状態にすること。
−指定された状態の時に、プロセスが安全な方法で作動し続けることを可能にすること。
−産業上の危険の恐れを軽減するための処置をとること。

安全計装システム（ＳＩＳ）は、ベーシックプロセス制御システムと同様の構成要素を使用するという点において、該ベーシックプロセス制御システム（ＢＰＣＳ）に酷似している。このシステムは、センサからプロセスに結合された最終制御要素までの全ての要素、すなわち、入力、出力、ＳＩＳユーザインタフェース、電源および論理解答器を含む。ＳＩＳ構成要素は、通常は、ＢＰＣＳから分離され、独立している。ＳＩＳの目的のために、追加の設計要件が必要である。ベーシックプロセス制御システム（ＢＰＣＳ：Basic Process Control System）、警報、および安全計装システム（ＳＩＳ）はすべて予防レイヤである。残りのレイヤは、緩和レイヤである。

例えば、プラントは、大惨事から職員、装置および地域コミュニティを保護するために多くの保護レイヤを有する。いくつかの保護レイヤは、予防レイヤであり、また、いくつかのレイヤは緩和レイヤである。予防レイヤは、大惨事が突然発生するのを防止するために存在する。緩和レイヤは、事故の発生を阻止し、事故が生じた後の費用を低減するために用いられる。ベーシックプロセス制御システム（ＢＰＣＳ：Basic Process Control System）、警報、および安全計装システムは、すべて予防レイヤである。残りのレイヤは、緩和レイヤである。

容器内の反応の例を使用して、保護レイヤを説明する。例えば、正しい状態ならば、反応は、「暴走（runaway）」し、異なる保護レイヤがなければ、タンクは爆発し、かなりの損傷を引き起こすとする。

この場合、保護レイヤの例としては、次のものがある。
レイヤ１：温度／圧力を制御するためのベーシックプロセス制御システム。
レイヤ２：反応を停止するために手動でバルブを閉めるようにオペレータに伝えるための可聴警報。
レイヤ３：タンク破裂の前に圧力を低減するためのＳＩＳ。

また、緩和レイヤの例としては、次のものがある。
レイヤ４：タンク破裂の前に開く圧力安全弁。
レイヤ５：圧力安全弁によって開放された蒸気がさらなる損傷を引き起こさないことを確実にし、環境汚染を最小限にするための施設緊急時対応（Plant Emergency Response）体制。

ＳＩＳレイヤは、最後の防止レイヤである。ＳＩＳに故障がある場合には、危険を阻止することはできず、緩和レイヤだけが、結果として生じる損傷の量を制限する。重大な損傷または人命損失を防ぐために、ＳＩＳレイヤが十分な保護を提供することが重要である。必要とされる保護の量は、リスク管理と一致する。

ＳＩＳを特定するには、全ての要素および構成要素を考慮しなければならないが、予見における重要な構成要素は、センサ、論理解答器および最終制御要素の３つである。

センサは、圧力、温度、流量、質量流量、レベル、炎検知器、ｐＨあるいは他のパラメータを測定する。それらは、単純な空気または電気スイッチから、オン−ボード診断法を備えたスマート（Smart）送信機までに及んでいる。ＳＩＳセンサは、（後述の制限状態下の）典型的なプロセスセンサと同じであってもよいし、またはＳＩＳ用途のために特別に設計されたセンサであってもよい。ＳＩＳ用に特別に設計されたセンサは、故障を検知し、装置のセットアップおよび較正に対する動作を制御する追加の内部診断法およびソフトウェアを有している。

安全規格は、ＳＩＳ用途内で用いられるセンサのための特定のタイプあるいは技術を規定しない。規格を満たすための最適化された／安全な技術を確定することは、システムの設計次第である。

しかしながら、規格は、ＳＩＳセンサを特定し、インストールし、維持する時に、エンドユーザが従わなければならない特定の要件を定義する。

論理解答器は、典型的にはセンサから信号を読み、危険を防ぐために予めプログラムされたアクションを実行するコントローラである。安全論理解答器と従来のデジタル制御システム（ＤＣＳ：Digital Control System）またはプログラム可能な論理コントローラ（ＰＬＣ：Programmable Logic Controller）との間には多くの類似点がある。それらは論理機能を実行し、センサから入力し、最後の制御要素から出力する能力を有する。相違点は、ＳＩＳ論理解答器（SIS Logic Solver）が耐故障性であるように設計され、内部に冗長な部分を有しており、安全モードで機能しなくなるように設計されていることである。それらは、故障検知を可能にする追加の内部診断法およびハードウェアおよびソフトウェアで設計されている。安全論理解答器は、さらに偶発的な構成の変化に対する安全性を守るためのセキュリティが追加されている。

センサと同様に、規格は、使用する論理解答器のタイプは規定せず、その用途のための要求事項のみを規定している。

最後の制御要素は、安全停止を実行する際の最終段階を示している。これは、安全な状態を達成するために作用する構成要素である。これらの要素は、ソレノイドバルブ、オン／オフバルブ、およびモータスタータを含む。最も一般的なものは、ダイアフラムまたはプロセスシャットダウンバルブのピストンアクチュエータに空気を提供するソレノイドバルブである。バルブ供給者は、最近、特にＳＩＳ用途に設計されたスマートポジショナを発表した。

さらにセンサと同様に、ＳＩＳ最終要素は、ある制限状態下の典型的なプロセス最終要素であるか、特にＳＩＳ用途に設計されることができる。これらの特別に設計された最終要素は、故障検知を可能にする追加の内部診断法およびソフトウェアを有する。さらに、センサと同様に、規格は、ＳＩＳ用途で用いられる最終の制御要素のための特定の技術を規定しない。最適化された／安全な技術を確定することは、システムの設計次第である。規格は、エンドユーザが従わなければならない要求事項を説明するのみである。

ＳＩＳの３つの構成要素に類似の課題がある。その課題は、診断法である。ＳＩＳは、プロセスの異常を検知し、プロセスを安全な状態に戻すように設計されている。オペレータは、任意のＳＩＳ故障に気付き、それに対応することができなければならない。

前述のように、産業プロセスを測定、監視および制御するために用いられるプロセス装置は、典型的には非常に高い信頼性で設計されている。しかしながら、プロセス装置がさらに動作上の要求事項を満たさなければならないいくつかの例がある。例えば、安全計装システムでは、プロセス装置は、ある安全保全レベル（ＳＩＬ：Safety Integrity Level）認可を満たすことを要求される。規制規格の例は、ＩＥＣ ６１５１１、ＩＥＣ ６１５０８およびＩＳＡ ＳＰ ８４．０１である。これらの規格は、複雑な開発プロセス、構成要素の変化に対する厳密な制御、および重要な確認および検証を必要とする。これらの規格を遵守するには、多くの場合、追加の設計時間が必要であり、新しいプロセス装置用の開発サイクル全体によって、不確実性が１レベル上がることになる。さらに、一旦装置が保証されると、装置に対するいかなる変更も分析されることが必要になり、必要に応じて、装置は再度保証されなければならなくなる。

安全保全レベル（ＳＩＬ：Safety Integrity Level）認可の取得の第一の要素の１つは、装置の安全な故障フラクション（ＳＦＦ：Safe Failure Fraction）を確定するための分析である。ＳＦＦ分析は、装置内の全ての構成要素のための様々なハードウェアおよびソフトウェアの故障中に、装置がどのように作用するか判断するために、装置上で、故障モード、影響および診断分析（ＦＭＥＤＡ：Failure Modes, Effects and Diagnostics Analysis）を用いて行われる。このテストは、潜在している危険な装置故障の総数、およびそれらの故障の内の、装置の出力を誤った値に変更することのないパーセンテージを確定することを目的としている。特定の具体例において、ＳＩＬ２認可を達成するために、ＦＭＥＤＡは、少なくとも９０％のＳＦＦを示さなければならない。

本発明は、プロセス装置と共に、あるいはプロセス装置内で用いられる監視オーバレイヤを提供する。監視オーバレイヤは、プロセス装置の動作を監視し、監視オーバレイヤ自身を含む装置の構成要素の故障または他の態様を防止、軽減、および／または検知するために用いられる。本発明は、ベーシックプロセス制御システム（Basic Process Control Systems）だけでなく安全計装システム（Safety Instrumented Systems）にも適用可能である。

一般的には、本発明は、測定（センサ）、制御およびホスト（論理解答器）装置を含む任意のプロセス装置に適用可能である。「監視ラッパ（supervisory wrapper）」は、装置または装置の部分の近傍に配置され、改良された安全保全レベルを提供する。このことにより、非保証の構成要素や装置を含む安全保証装置を提供することができる。１つの実施例では、例えば現場において、ソフトウェアを改良することによって、非保証装置を保証装置に改良することができる。第２の実施例では、例えば現場において、エレクトロニクスを改良することによって非保証装置を改良することができる。ＳＩＳと共に使用することに加えて、この「監視ラッパ」は、高度な診断法などの、装置のための改良された機能を提供するために用いられる。本発明は、装置用の安全保全レベルを向上させるために様々な技術を使用する。例えば、本発明によって提供される「監視オーバレイヤ」は、完全な故障の前に、構成要素が故障しそうであること、または、故障過程にあることを確認することができるので、危険な状態を引き起こさずに、構成要素を交換することができる。別の実施例においては、本発明は、構成要素が故障してしまうか、故障過程に入ることをを補うことができるので、危険な状態は生じない。別の実施例においては、本発明は、危険な状態が生じたこと、あるいはまさに危険な状態が生じつつあることを示す出力を提供するので、適切な措置を取ることができる。ＳＩＳ装置と共に使用される場合には、本発明は、装置による監視またはレスポンス能力が故障しているか、故障するかもしれないことを表示する。

図１は、プロセスパイプ１６に接続された送信機１２を含むプロセス制御システム１０の図である。システム１０は、基本的なプロセス制御システムであるか、安全計装システムであるかである。以下に詳述されるように、送信機１２は、あるタイプのプロセス装置であり、本発明は、任意のプロセス装置に適用可能である。

送信機１２は、フィールドバス（Fieldbus）、プロフィバス（Profibus）、またはＨＡＲＴ規格などの通信プロトコルによって作動する２線式プロセス制御ループに接続されている。一般的には、ＳＩＳシステムは、２線式４−２０ｍＡループのみと共に使用可能である。しかしながら、本発明は、これらの規格あるいは２線式構成に制限されない。２線式プロセス制御ループ１８は、送信機１２と制御室２０との間に延びている。ループ１８が、ＨＡＲＴ（登録商標）プロトコルによって作動する実施例においては、ループ１８は、感知されたプロセス変数を示す電流Ｉを伝送する。さらに、ＨＡＲＴプロトコルによって、ループ１８を流れる電流にデジタル信号を重畳することが可能となるので、送信機１２とのデジタル情報の送受信が可能である。フィールドバス（Fieldbus）規格によって作動する場合には、ループ１８は、デジタル信号を伝送し、他の送信機などの複数の現場装置に接続されることができる。

本発明は、プロセス制御環境において用いられる全てのプロセス装置に適用可能である。一般的には、図１に示される送信機１２のようなプロセス装置は、プロセス変数を監視または制御するために用いられる。典型的には、プロセス変数は、プロセスにおいて制御される主要な変数である。本明細書において、プロセス変数とは、例えば圧力、流量、温度、製品レベル、ｐＨ、濁度、振動、位置、モータ電流、プロセスの他の特性などの、プロセス状態を表わす任意の変数を意味する。制御信号とは、プロセスを制御するために用いられる（プロセス変数以外の）任意の信号を意味する。例えば、制御信号は、所望の温度、圧力、流量、製品レベル、ｐＨ、または濁度などの所望のプロセス変数値（すなわち設定点）を意味し、コントローラによって調節されるか、プロセスを制御するために用いられる。さらに、制御信号は、較正値、警報、警報状態、バルブアクチュエータに提供されるバルブ位置信号などの制御要素に提供される信号、発熱要素に提供されるエネルギー準位、ソレノイドオン／オフ信号などや、プロセスの制御に関する他の信号を含む。ＳＩＳ環境においては、制御信号は、プロセスを安全に停止する信号である。本明細書で使用される診断信号は、プロセス制御ループ内の装置および要素の動作に関連する情報を含むが、プロセス変数や制御信号は含まない。例えば、診断信号は、バルブ軸位置、印加されるトルクあるいは力、アクチュエータ圧力、バルブを駆動するために用いられる加圧された気体の圧力、電圧、電流、電力、抵抗、キャパシタンス、インダクタンス、装置温度、静止摩擦（stiction）、摩擦、フルオン／オフ位置、移動、周波数、振幅、スペクトルおよびスペクトルの構成要素、強度、電気的または磁気的強度、存続時間、強度、（運動、電動機逆起電力、モータ電流、（制御ループ抵抗、電圧または電流などの）ループ関連変数、あるいはシステム内で検知または測定される（プロセス変数以外の）他の変数を含む。さらに、プロセス信号は、例えばプロセス変数、制御信号あるいは診断信号などのプロセス内のプロセスまたは要素に関連する全ての信号を意味する。プロセス装置は、プロセス制御ループの一部であるか、プロセス制御ループに接続されており、プロセスの制御または監視に用いられる任意の装置を含む。

前述のように、図１は、プロセス流体を導くプロセスパイプ１６およびループ電流Ｉを伝送する２線式プロセス制御ループ１８を含むプロセス制御システム１０の例を示す図である。送信機１２、アクチュエータ、バルブ、ポンプ、モータあるいはソレノイドなどのループ内の最終制御要素に接続されたコントローラ２２、発信機２６、および制御室２０は、全てプロセス制御ループ１８の一部である。ループ１８は、ある１つの構成で示されているが、４−２０ｍＡループ、２、３、または４線ループ、マルチドロップループ、およびＨＡＲＴ（登録商標）、フィールドバス（Fieldbus）、あるいは他のデジタルまたはアナログ通信プロトコルによって作動するループのような、任意の適切なプロセス制御ループも使用可能であることは理解されるであろう。動作においては、送信機１２は、センサ２１を使用して、流量などのプロセス変数を感知し、感知されたプロセス変数をループ１８を介して送信する。プロセス変数は、コントローラ／バルブアクチュエータ２２、発信機２６および／または制御室装置２０によって受信される。コントローラ２２は、バルブ２４に接続されており、バルブ２４を調節し、パイプ１６内の流量を変化させることによってプロセスを制御する。コントローラ２２は、例えば、制御室２０、送信機１２、あるいは発信機２６からの制御信号をループ１８介して受信し、この制御信号に応答してバルブ２４を調節する。別の実施例では、コントローラ２２は、ループ１８を介して受信されたプロセス信号に基づいて制御信号を内部で生成する。発信機２６は、図１に示される携帯用発信機であってもよいし、プロセスを監視し、計算を行なうプロセスユニットに固定されていてもよい。プロセス装置は、例えば、図１に示される（（ローズマウント インコーポレイテッド（Rosemount Inc.）から入手可能な３０５１Ｓ送信機などの）送信機１２、コントローラ２２、発信機２６、および制御室２０を含む。別のタイプのプロセス装置は、監視、管理、および／またはループ上の送信を可能にする適切な入／出力回路を用いる、ループに接続されたＰＣ、プログラム可能な論理ユニット（ＰＬＣ）、あるいは他のコンピュータである。

図１に示されたプロセス装置１２、２０、２２、または２６の内のいずれかが、本発明による監視オーバレイヤ能力を含む。

図２は、本発明の一実施例によるプロセス装置１００の概略ブロック図である。プロセス装置１００は、装置１００が産業プロセスと相互作用することを可能にするプロセス回路および構成要素１０２を含む。このような相互作用は、基本的なプロセス制御システムあるいは安全計装システムに用いるためのプロセス変数を監視または制御することを含む。本発明によれば、プロセス装置１００は、プロセス回路および構成要素１０２に接続された監視オーバレイヤ１０４を含む。オプションによる追加のセンサ１０６もまた監視オーバレイヤ１０４に接続されて、プロセス装置１００内の構成要素の動作を監視するために用いられる。

動作中には、プロセス装置１００の回路および構成要素１０２は、一般には、標準プロセス装置の構成要素に従って作動する。例えば、プロセス装置回路および構成要素１０２は、プロセス装置１００によって使用するか、又は２線式プロセス制御ループ１８を介して送信するためのプロセス変数を感知するか、あるいは、例えばバルブを制御することによってプロセスの動作を制御するために用いられる出力を発生する。監視オーバレイヤ１０４が、構成要素の故障、間近に迫った構成要素の故障、または構成要素の故障の可能性が発生したことを検知すると、監視オーバレイヤ１０４は、所望の安全保全レベル認可に従って、適切な措置を取るために、プロセス装置１００を制御する。例えば、誤差量が正確に決定されるか、またはその近似値が求められると、監視オーバレイヤ１０４は、測定誤差を補償する。前述のことに代えて、またはそれに加えて、監視オーバレイヤ１０４は、プロセス装置１００を停止する処理をするか、および／あるいは、例えばプロセス制御ループ１８を介して、監視オーバレイヤ１０４によって感知または予測された故障あるいは機能不全を示すメッセージを、外部構成要素に送信する処理をする。

図３は、監視オーバレイヤ１０４の別の実施例を示す、プロセス装置の概略図である。図３においては、プロセス装置１００は、プロセスインタフェース１２０、装置回路１２２、および入力／出力回路１２４を含んでいる。プロセスインタフェース１２０は、プロセス装置１００を産業プロセスに接続するために使用される、任意の機械的および／または電気的な回路である。例えば、プロセスインタフェースは、プロセスのプロセス変数を感知するために用いられる、圧力センサ、流量センサ、温度センサなどのセンサを含む。例えば電流センサ、電圧センサなどの他のタイプのセンサも、プロセス装置の動作を感知するために用いられることができる。同様に、プロセスインタフェース１２０は、例えば、バルブの動作を制御するバルブコントローラに信号を提供する出力ステージなどの、制御要素に接続される出力ステージからなることもでき、またそれ自身に最終制御要素を含むことができる。プロセスインタフェースは、また装置の構成要素との任意のインタフェースであってもよいし、装置によって他の目的のために用いられる接続を含んでもよい。例えば、マイクロプロセッサによるデータバスへの接続は、装置インタフェースを提供することができる。一般的には、装置回路１２２は、装置１００の様々な機能を実行するために用いられる装置１００内の電気的回路から構成される。例えば、この装置回路は、産業プロセスの測定または制御のために用いられる。入力／出力インタフェース１２４は、プロセス制御システムの外部構成要素にプロセス装置１００を接続するために用いられる。図３に示される例においては、入力／出力回路１２４は、２線式プロセス制御ループ１８に接続される。回路１２４は、ループ１８を介して情報を送信するか、ループ１８から情報を受信するために用いられる。いくつかの実施例では、回路１２４は、プロセス制御ループ１８を介して受信された電力で装置１００内の全ての回路に電力を供給する能力を有する。監視オーバレイヤ１０４は、必要に応じて、回路１２０，１２２、または１２４の１つ又はそれ以上に接続される。監視オーバレイヤ１０４は、任意の必要とされたセンサまたは回路と共に、マイクロプロセッサ内のソフトウェア内で実行される。マイクロプロセッサは、プロセス装置１００を作動するために用いられる一般的なマイクロプロセッサ、あるいは監視オーバレイヤ機能を実行するための独立したマイクロプロセッサである。監視オーバレイヤ１０４を実施する構成要素のいくつか、あるいはすべては、プロセス装置１００内の他の回路と共有されることができる。

図４は、図２および３に示された監視オーバレイヤ１０４の特定の構成を含むプロセス装置２００のブロック図である。図４の実施例では、監視オーバレイヤは、装置２００内の複数の構成要素によって実施される。プロセス装置２００は、送信機として構成され、産業プロセスに接続され、プロセス変数を測定するように構成されたセンサモジュール２０２を含む。既知の技術によれば、装置２００は、機能モジュール２０３に接続されたセンサモジュール２０２内のセンサによって感知された、１つ以上のプロセス変数に関連する出力をループ１８上に提供する。装置２００は、データバスプロセッサ２０６および物理層２０８によって提供されるデータバスを介してセンサモジュール２０２に連結された、マイクロプロセッサおよびメモリ２０４を含む。マイクロプロセッサ２０４とのプロセス制御ループ１８を介して行う相互通信は、ループ制御回路２２０および通信回路２２２を用いて行われる。従来の既知の技術によれば、通信はアナログおよび／またはデジタルプロトコルを用いて行われる。ループフィードバック回路２２４は、ループ１８を流れる電流を監視するために用いられ、通信回路２２２にフィードバックを提供する。ループオーバライド回路２２６は、ループ制御回路２２０をオーバライドし、かつ予め定められたレベルにループ電流を設定するように構成される。図４に示される実施例では、ループ１８からの電力は、プロセス装置２００に完全に電力を供給するために用いられる。線型のプリレギュレータ２４０は、あらかじめ調整された電圧を電圧調整回路２４２に提供する。電圧調整回路２４２は、供給電圧＋ＶＳＳおよび＋Ｖ’ＳＳをプロセス装置２００内の回路に供給する。独立した電力制御モジュール２５６は、センサモジュール２０２に電力を供給する。

マイクロプロセッサ２０４は、ウィンドウ監視回路２５０に接続される。マイクロプロセッサ２０４が、回路２５０に周期的な入力を提供しないと、回路２５０は、マイクロプロセッサ２０４をリセットする。抵抗器２５４の両端間の電圧低下は、マイクロプロセッサ２０４に出力を提供するアナログ／ディジタル（Ａ／Ｄ）変換器２５６によって測定される。抵抗器２５４の両端間の電圧低下は、ループ１８を通って流れる電流に関連している。マイクロプロセッサ２０４は、さらにループオーバーライド回路２２６に接続されている。いくつかの実施例では、センサモジュール２０２は、さらに表示装置２７０に接続されて、情報がプロセス装置２００によって局所的に表示される。

装置２００は、幾つかの異なる監視オーバレイヤ機能を実行する。監視オーバレイヤは、例えば、マイクロプロセッサ２０４のメモリ内のソフトウェアの更新、あるいは既存のプロセス制御装置の改良によって、モジュール式付加装置として提供されることができる。

一つの監視オーバレイヤ機能は、センサモジュール２０２によって提供されるプロセス測定データの流れを監視することを含んでいる。プロセス変数は、データバス２８２および２８４上に伝送される。しかしながら、監視オーバレイヤ機能は、プロセス変数の流れの監視に加えて、データバス２８２および２８４上の他の動作を監視し、所望の警報出力を提供することができる。センサモジュール２０２が、プロセス変数の更新を停止すると、マイクロプロセッサ２０４内のプログラム命令は、安全イベントを識別する。データの消滅が検知されると、マイクロプロセッサ２０４のレスポンスは所望のように構成されることができる。例えば、マイクロプロセッサは、局所的な警報信号を提供するか、あるいはプロセス制御ループ１８上に警報信号を送信する。部分的なデータの消滅が検知されると、マイクロプロセッサ２０４は、警報信号の提供に加えて、さらに故障中に限定された機能を提供するためにデータポイント間を補間することを試みる。

監視オーバレイヤの別の例では、表示装置２７０に提供されるデータの流れが監視される。マイクロプロセッサ２０４によってデータの流れの途切れが検知されると、プロセス装置２００は、例えばループ１８を通じて警報を送信することによって、選択された警報状態に入る。

監視オーバレイヤの別の実施例では、電力制御回路２５６は、センサモジュール２０２に提供される電力を監視および制御する。例えば、センサモジュール２０２によって引き込まれる電流が、しきい値を越えると、電力制御回路２５６は、センサモジュールに送る電流を制限するか、所望ならばセンサモジュールを完全に切り離す。さらに、警報出力が提供される。このことによって、センサモジュール２０２が故障したとしても、装置全体の完全な故障を引き起こすことなく、プロセス装置２００は、限定された機能を継続するができる。

この監視オーバレイヤの別の実施例では、ループ１８に設定された電流レベルは、Ａ／Ｄ変換器２５６によって測定され、マイクロプロセッサブロック２０４に提供される。ループ制御回路２２０が設定した電流値とループ電流とが異なることをマイクロプロセッサが検知すると、マイクロプロセッサ２０４は警報出力を提供する。所望ならば、マイクロプロセッサ２０４は、ループ制御回路２２０を一時的に再較正し、ループ電流Ｉは所望のレベルに設定される。同様に、いくつかの実施例では、マイクロプロセッサ２０４は、ループ電流制御回路２２０の動作をオーバライドするループオーバライド回路２２６を活性化し、ループ電流Ｉを、あらかじめ定められたレベルにまで調整するようにする。このあらかじめ定められたレベルは、例えば、警報レベルとすることができる。

監視オーバレイヤのさらに別の実施例では、ウィンドウ監視回路２５０が、マイクロプロセッサ２０４の動作を監視する。正常な動作中には、マイクロプロセッサ２０４は、監視回路２５０に規則的に信号を送るように構成されている。監視回路２５０が、マイクロプロセッサ２０４からの信号を非常に頻繁に受信するか、非常にゆっくり受信するかのどちらの場合にも、監視回路２５０は、装置２００が、ループオーバライド回路２２６を用いて、たとえば警報信号をループ１８上に提供するようにする。

別の実施例においては、マイクロプロセッサおよびメモリブロック２０４のメモリの動作が監視される。例えば、メモリは、チェックサムビットまたは他のエラー検知メカニズムを含む。メモリに記憶されたデータが誤っていることをエラー検知メカニズムが示すと、マイクロプロセッサは、警報状態を開始するなどの所望のレスポンスを提供する。メモリは、揮発性又は不揮発性メモリのどちらであってもよい。

図５は、監視オーバレイヤ１０４の概略ブロック図である。前述の実施例に示されたように、監視オーバレイヤは、様々なタイプの故障あるいは差し迫った故障を検知する。一般的には、監視オーバレイヤは、プロセス装置の一つまたは複数の構成要素に接続される装置インタフェース３１０を含む。これは、データや信号を監視できるように、物理的な結合であるか、または電気的な結合、あるいはその他の結合でありうる。装置インタフェース３１０は、プロセス装置の一つまたは複数の構成要素の動作に関連する出力３１２を提供する。出力３１２は、出力３１２に基づく一つまたは複数の構成要素の動作を監視する構成要素監視器３１４により受信される。構成要素監視器は、構成要素内の安全イベントを識別し、安全レスポンスモジュール３１８に出力３１６を提供するように構成されている。安全イベントとは、将来の故障の予測や表示、あるいは本明細書に詳述されたような故障の検知であり、また特別な安全基準や要求によって定義される。安全レスポンスモジュール３１８は、所望の安全基準によって安全レスポンス３２０を提供する。装置インタフェース３１０、構成要素監視器３１４、および安全レスポンスモジュール３１８の特別な実施態様は、その実施態様に基づいて広範に変更可能であり、ハードウェアおよびソフトウェアの両方の構成要素を含む。さらに、図５に示された様々なブロックは、プロセス装置に既に存在する構成要素内にあるか、相互の構成要素内または他の構成要素内で共有することができる。

いくつかの実施例では、本発明の監視オーバレイヤは、既存の装置に後から取り付けることができるように構成される。後からの取り付けは、製造途中または製造後に実施することができる。例えば、監視オーバレイヤは、図４に示されるような既存のセンサモジュール２０２に接続するための機能ボード２００の中で実施可能である。

別の具体例実施例では、監視オーバレイヤは、ソフトウェアの更新によって実現されることができる。ソフトウェアの更新は、現場で行なうか、または遠隔的に２線式プロセス制御ループなどの通信バスを介して送信されることができる。監視オーバレイヤに関連するソフトウェアおよび回路は、装置内の他の構成要素から完全に隔離されるのが望ましい。このことによって、追加の自由度が大きくなる。

監視オーバレイヤは、２つ以上の装置を監視することができ、監視オーバレイヤが実行される装置の監視に制限されない。

同様に、監視オーバレイヤは、複数の（分散配置された）装置に跨って動作するので、その機能は、複数の装置間で行われ、情報は該複数の装置間で伝送される。

監視オーバレイヤは、基本的なプロセス制御ループの一部である装置内で実行されるか、安全計装システムを備えた装置内で実行される。

１つの態様では、監視オーバレイヤは、特別の装置や構成要素の有効性に関連する情報を提供し、有効性または切迫している無効性を検知されると、装置や構成要素は、予め定められた方法で、ループから取り出されることができる。

本発明は好ましい実施例に関して説明されたが、当業者は、本発明の精神および範囲から逸脱しないで、形状および細部において変形できることを認識できるであろう。

特に本明細書に記載された実施例は、実例的な用途を説明しただけである。監視オーバレイヤは、他の故障や状態を検知し、プロセス装置を停止する、および／または、警報信号を送信するような制御されたレスポンスを提供することができる。本発明を用いれば、プロセス装置内で使用される標準の構成要素が監視されるので、プロセス装置は、個々の構成要素およびプロセス装置が、そうでなければ達成できないある認可手順において必要な安全基準を満たす。一般的には、監視オーバレイヤは、プロセス装置に接続された、あるタイプの装置インタフェースを含み、装置の１つまたは複数の構成要素の動作に関連する出力を提供する。

あるタイプの構成要素監視器は、装置インタフェースからの出力に基づいて、構成要素の動作を監視する。構成要素の故障のうちの安全な故障は、構成要素監視器によって識別され、安全レスポンスモジュールは、安全な故障に必要な安全レスポンスを提供する。

監視オーバレイヤ、装置インタフェース、構成要素監視器、および安全レスポンスモジュールは、ソフトウェアおよび／またはハードウェア内で実行される。監視オーバレイは、制御システム内に分散配置された装置を含む複数のプロセス装置を監視することができる。監視オーバレイヤは、２線式プロセス制御ループからの電力で完全に電力供給されるか、別の電源から電力を受け取ることができる。

プロセスパイプに連結されたプロセス送信機を含む産業プロセスの図である。 監視オーバレイヤを備えたプロセス装置を示す概略ブロック図である。 図２のプロセス装置を示す別の概略ブロック図である。 特定の監視オーバレイヤ機能の様々な例を含むプロセス装置のブロック図である。 本発明による監視オーバレイヤの様々な構成要素の概略図である。

符号の説明

１０……プロセス制御システム、 １２……送信機、 １６……プロセスパイプ、 １８……ループ、 ２０……制御室、 ２１……センサ、 ２２……コントローラ、 ２４……バルブ、 ２６……発信機、 １００……プロセス装置、 １０２……プロセス回路および構成要素、 １０４……監視オーバレイヤ、 １０６……センサ

Claims (55)

1. プロセス装置に接続され、前記プロセス装置の構成要素の動作に関連する出力を提供するように構成された装置インタフェース、
   前記装置インタフェースからの出力に基づいて構成要素の動作を監視し、構成要素の安全イベントを識別するするように構成された構成要素監視器、および
   安全レスポンスに従って構成要素の安全イベントに応答するように構成された安全レスポンスモジュールを含む、
   プロセス装置のために所望の安全保全レベル（ＳＩＬ：Safety Integrity Level）を提供する、プロセス装置内で用いられる装置。
2. 前記装置インタフェースが、前記プロセス装置のデータバスへの結合を含む請求項１の装置。
3. 前記構成要素監視器が、データバス上を伝送されるデータを監視するように構成された請求項２の装置。
4. 前記装置インタフェースが、プロセス装置に接続されたセンサを含む請求項１の装置。
5. 前記プロセス装置が、プロセス制御ループに接続され、前記センサが、前記プロセス制御ループ内の電流の流れを監視するように構成された請求項４の装置。
6. 前記構成要素監視器が、前記感知された電流を、ある電流値と比較する請求項５の装置。
7. 前記安全レスポンスモジュールが、安全な故障に基づいて前記プロセス制御ループ内の電流を制御する請求項１の装置。
8. 前記装置インタフェースが、監視回路を含む請求項１の装置。
9. 前記装置インタフェースが、前記プロセス装置の回路によって引き込まれる電力を感知するように構成された請求項１の装置。
10. 前記装置インタフェースが、メモリに接続される請求項１の装置。
11. 前記構成要素監視器が、前記メモリに蓄積されたデータ内のエラーを検知するように構成された請求項１０の装置。
12. 前記安全レスポンスモジュールが、警報出力を提供する請求項１の装置。
13. 前記安全レスポンスモジュールが、プロセス制御ループからプロセス装置を切り離す請求項１の装置。
14. 前記安全レスポンスモジュールが、プロセス装置内の回路を切り離す請求項１の装置。
15. 前記安全レスポンスモジュールが、安全な故障を補償しようとする請求項１の装置。
16. 前記安全レスポンスモジュールが、前記装置内のデータ内のエラーを修正する請求項１４の装置。
17. 前記安全レスポンスモジュールが、データエラーを修正するためにデータポイント間を補間する請求項１６の装置。
18. 前記安全レスポンスモジュールが、直前のデータポイントを保持する請求項１６の装置。
19. 前記センサが、電圧センサを含む請求項４の装置。
20. 前記センサが、電流センサを含む請求項４の装置。
21. 前記装置インタフェースが、装置のデータバス内で伝送されるデータを監視するように構成された請求項１の装置。
22. 前記構成要素監視器が、前記装置のマイクロプロセッサ内で実行されるソフトウェアを含む請求項１の装置。
23. 前記安全イベントが、将来の構成要素の故障の可能性を含む請求項１の装置。
24. 前記安全イベントが、構成要素の故障の検知を含む請求項１の装置。
25. 請求項１の装置を含むプロセス変数送信機。
26. 前記安全レスポンスモジュールが、センサモジュールに接続される機能モジュール内で実行される請求項２５の送信機。
27. 前記安全レスポンスモジュールが、複数のセンサモジュールに接続された機能モジュール内で実行される請求項２５の送信機。
28. 前記構成要素監視器が、前記センサモジュール内のセンサ用のデータを監視するように構成された請求項２５の送信機。
29. 表示装置を含み、前記構成要素監視器が、前記表示装置に送信されたデータを監視する請求項２５の装置。
30. 請求項１の装置を含むプロセスコントローラ。
31. 請求項１による安全計装システム（ＳＩＳ）内の装置。
32. 前記構成要素監視器が、複数のプロセス装置を監視するように構成された請求項１の装置。
33. 前記構成要素監視器および前記安全レスポンスモジュールが、ソフトウェア内で実行される請求項１の装置。
34. 前記ソフトウェアが、既存のプロセス装置を更新するように構成された請求項３４の装置。
35. 既存のプロセス装置を更新するように構成された請求項１による機能モジュール。
36. プロセスに連結され、プロセス変数を測定するように構成されたセンサモジュールと、
    該センサモジュールに接続されるように構成された特徴モジュールとを具備し、
    該特徴モジュールが、
    プロセス装置に接続され、プロセス装置の構成要素の動作に関連する出力を提供するように構成された装置インタフェース、
    前記装置インタフェースからの出力に基づいて構成要素の動作を監視し、前記構成要素の安全イベントを識別するように構成された構成要素監視器、および
    安全レスポンスに従って前記構成要素の安全イベントに応答するように構成された安全レスポンスモジュールを含む、
    産業プロセス内で用いられる送信機。
37. プロセス装置の構成要素の動作を感知すること、
    前記感知された構成要素の動作を監視すること、および前記構成要素の安全イベントを識別すること、および
    安全レスポンスに従って安全イベントに応答することを含む、
    プロセス装置内の安全保全レベル（ＳＩＬ：Safety Integrity Level）を満たす方法。
38. 前記監視が、データバス上を伝送されるデータを監視することを含む請求項３７の方法。
39. 前記感知が、プロセス装置に接続されたセンサを用いる請求項３７の方法。
40. 前記プロセス装置が、プロセス制御ループに接続され、監視が、前記プロセス制御ループ内を流れる電流を感知することを含む請求項３７の方法。
41. 前記監視が、感知された電流と、ある電流値とを比較することを含む請求項４０の方法。
42. 前記応答が、安全な故障に基づいてプロセス制御ループ内の電流を制御することを含む請求項３７の方法。
43. 前記感知が、プロセス装置の回路によって引き込まれる電力を感知することを含む請求項３７の方法。
44. 前記監視が、前記メモリに蓄積されたデータ内のエラーを検知することを含む請求項３７の方法。
45. 前記応答が、警報出力を提供することを含む請求項３７の方法。
46. 前記応答が、プロセス制御ループのために、プロセス装置を切り離すことを含む請求項３７の方法。
47. 前記応答が、安全な故障のための補償を含む請求項３７の方法。
48. 前記応答が、前記装置内のデータ内のエラーの修正を含む請求項３７の方法。
49. 前記感知が、電圧を感知することを含む請求項３７の方法。
50. 前記感知が、電流を感知することを含む請求項３７の方法。
51. 前記安全イベントが、将来の構成要素の故障の可能性を含む請求項３７の方法。
52. 前記安全イベントが、構成要素の故障の検知を含む請求項３７の方法。
53. 請求項３７の方法を実行するプロセス変数送信機。
54. 請求項３７の方法を実行する安全計装システム（ＳＩＳ）内の装置。
55. 請求項１の方法を実行するソフトウェア。

Images