JP2021047855A - プロセス制御システムに関連付けられた安全アプリケーションを実装するための方法および装置 - Google Patents

Abstract

【課題】プロセス制御システムに関連付けられた安全アプリケーションを実装するための方法および装置を提供する。【解決手段】装置は、安全トリップデバイス１１０による実装のための複数の利用可能な安全アプリケーションを、ユーザ選択のために提供し、第１の安全アプリケーションは、Ｉ／Ｏ信号の第１のセットに関連付けられ、メモリに記憶された第１の事前にプログラムされた命令に基づいて実装され、第２の安全アプリケーションは、Ｉ／Ｏ信号の第２のセットに関連付けられ、メモリに記憶された第２の事前にプログラムされた命令に基づいて実装され、第１の安全アプリケーションのユーザ選択に応答して、ユーザに、第１の安全アプリケーションに関連付けられた構成設定に対する値を指定するように促すことと、を行うための構成コントローラを含む。第１の安全アプリケーションを実装するためのＩ／Ｏアナライザも含む。【選択図】図１

Description

本開示は、一般に、安全計装システムに関し、より詳細には、プロセス制御システムに関連付けられた安全アプリケーションを実装するための方法および装置に関する。

多くのプロセス制御アプリケーション（例えば、分散制御システム（ＤＣＳ）、監視制御およびデータ収集（ＳＣＡＤＡ）システムなど）には、１つ以上の監視されたパラメータ値が、対応するトリップ限界の範囲外である、および／または他の安全条件が満たされている場合に、安全トリップをトリガーするための機器が含まれている。そのような安全トリップは、安全システムの入出力（Ｉ／Ｏ）数および／またはシステムの関連する複雑さに応じて、異なるタイプの機器を使用して実装され得る。例えば、高度な実装では、安全ロジックソルバは、異なるタイプのさまざまな数のＩ／Ｏポイント（数千になることもある）を取り扱うように構成され得、それは、完全に構成可能な（例えば、プログラム可能な）手法で処理されることができる。その対極では、全般的に、トリップアンプまたは安全リレーと呼ばれる比較的簡素なデバイスは、通常、単一の入力信号を受信し、それを限界と比較して出力信号（通常、ディスクリート出力）をトリップする。

プロセス制御システムに関連付けられた安全アプリケーションを実装するための方法および装置が開示されている。例示的な装置は、構成コントローラであって、プロセス制御システムに関連付けられた、安全トリップデバイスによる実装のための複数の利用可能な安全アプリケーションを、ユーザに選択のために提供することであって、安全アプリケーションのうちの第１の安全アプリケーションは、Ｉ／Ｏ信号の第１のセットに関連付けられ、安全アプリケーションのうちの第２の安全アプリケーションは、Ｉ／Ｏ信号の第２のセットに関連付けられ、Ｉ／Ｏ信号の第１のセットは、Ｉ／Ｏ信号の第２のセットとは異なり、第１の安全アプリケーションは、安全トリップデバイスのメモリに記憶された第１の事前にプログラムされた命令に基づいて実装され、第２の安全アプリケーションは、安全トリップデバイスのメモリに記憶された第２の事前にプログラムされた命令に基づいて実装される、提供することと、第１の安全アプリケーションのユーザ選択に応答して、ユーザに、第１の安全アプリケーションに関連付けられた構成設定に対する値を指定するように促すことであって、第１の事前にプログラムされた命令は、構成設定を定義する、促すことと、を行うための構成コントローラと、ユーザによって指定された構成設定に対する値に基づいて、かつ第１の事前にプログラムされた命令に基づいて、第１の安全アプリケーションを実装するためのＩ／Ｏアナライザと、を含む、装置。

例示的な命令を含む非一時的なコンピュータ可読媒体であって、命令は、実行されるとき、安全トリップデバイスに、少なくとも、プロセス制御システムに関連付けられた、安全トリップデバイスによる実装のための複数の利用可能な安全アプリケーションを、ユーザに選択のために提供することであって、安全アプリケーションのうちの第１の安全アプリケーションは、Ｉ／Ｏ信号の第１のセットに関連付けられ、安全アプリケーションのうちの第２の安全アプリケーションは、Ｉ／Ｏ信号の第２のセットに関連付けられ、Ｉ／Ｏ信号の第１のセットは、Ｉ／Ｏ信号の第２のセットとは異なり、第１の安全アプリケーションは、安全トリップデバイスのメモリに記憶された第１の事前にプログラムされた命令に基づいて実装され、第２の安全アプリケーションは、安全トリップデバイスのメモリに記憶された第２の事前にプログラムされた命令に基づいて実装される、提供することと、第１の安全アプリケーションのユーザ選択に応答して、ユーザに、第１の安全アプリケーションに関連付けられた構成設定に対する値を指定するように促すことであって、第１の事前にプログラムされた命令は、構成設定を定義する、促すことと、ユーザによって指定された構成設定に対する値に基づいて、かつ第１の事前にプログラムされた命令に基づいて、第１の安全アプリケーションを実装することと、を行わせる、非一時的なコンピュータ可読媒体。

例示的な方法は、プロセス制御システムに関連付けられた、安全トリップデバイスによる実装のための複数の利用可能な安全アプリケーションを、ユーザに選択のために提供することであって、安全アプリケーションのうちの第１の安全アプリケーションは、Ｉ／Ｏ信号の第１のセットに関連付けられ、安全アプリケーションのうちの第２の安全アプリケーションは、Ｉ／Ｏ信号の第２のセットに関連付けられ、Ｉ／Ｏ信号の第１のセットは、Ｉ／Ｏ信号の第２のセットとは異なり、第１の安全アプリケーションは、安全トリップデバイスのメモリに記憶された第１の事前にプログラムされた命令に基づいて実装され、第２の安全アプリケーションは、安全トリップデバイスのメモリに記憶された第２の事前にプログラムされた命令に基づいて実装される、提供することと、第１の安全アプリケーションのユーザ選択に応答して、ユーザに、第１の安全アプリケーションに関連付けられた構成設定に対する値を指定するように促すことであって、第１の事前にプログラムされた命令は、構成設定を定義する、促すことと、ユーザによって指定された構成設定に対する値に基づいて、かつ第１の事前にプログラムされた命令に基づいて、第１の安全アプリケーションを実装することと、を含む。

安全トリップデバイスは、バックプレーンを含むハウジングと、それぞれのスロットを含む端子ブロックであって、スロットは、終端モジュールの第１のセットを受信して、プロセス制御システムに関連付けられた第１の安全アプリケーションに関連付けられたフィールドデバイスの第１のセットと通信し、スロットは、終端モジュールの第２のセットを受信して、プロセス制御システムに関連付けられた第２の安全アプリケーションに関連付けられたフィールドデバイスの第２のセットと通信する、端子ブロックと、バックプレーンを介して端子ブロックのスロット内の終端モジュールと通信するためのＩ／Ｏスキャナであって、Ｉ／Ｏスキャナは、第１の安全アプリケーションの動作を定義する第１の事前にプログラムされた命令を記憶し、第２の安全アプリケーションの動作を定義する第２の事前にプログラムされた命令を記憶するためのメモリを含む、Ｉ／Ｏスキャナと、を含む。

本開示の教示が実装され得る、プロセス制御システムの例を示す。 図１の例示的なプロセス制御システムを、異なる配置の例示的な安全トリップデバイスと共に示す。 図１および／または図２の例示的な安全トリップデバイスのうちのいずれか１つを示す。 図３の例示的なＩ／Ｏスキャナのうちの１つの例示的な実装を示すブロック図である。 図４の例示的なＩ／Ｏスキャナを実装するために実行され得る機械可読命令を表すフローチャートである。 図４の例示的なＩ／Ｏスキャナを実装するために図５の命令を実行するように構成された例示的な処理プラットフォームのブロック図である。

図は縮尺通りではない。代わりに、層または領域の厚さは、図面において拡大され得る。概して、同じまたは同様の一部分を指すために、図面（複数可）および付随する書面による説明を通して同じ参照番号が使用される。本特許で使用されているように、任意の部分（例えば、層、膜、区域、領域、または板）が任意の方法で他の部分上にある（例えば、上に位置付けられ、上に位置特定され、上に配置され、または上に形成されているなど）と述べていることは、参照部分が他の部分と接触しているか、または参照部分が他の部分よりも上にあり、それらの間に１つ以上の中間部分（複数可）が位置特定されていることを示す。接続の言及（例えば、取り付けられた、結合された、接続された、および接合された）は、広く解釈されるべきであり、特に示さない限り、要素の集合間の中間部材、および要素間の相対移動を含み得る。そのため、接続の言及は、２つの要素が直接接続され、互いに固定された関係にあることを必ずしも推測しない。いずれかの部分が別の部分と「接触」していると述べていることは、２つの部分の間に中間部分がないことを意味する。図は、線および境界がはっきりしている層および領域を示しているが、これらの線および／または境界のいくつかまたはすべては、理想化され得る。実際には、境界および／または線は、観察不能であり、融合され、および／または不規則であり得る。

「第１」、「第２」、「第３」などの記述子は、別々に言及され得る複数の要素または構成要素を識別するときに本明細書で使用される。そのような記述子は、使用状況に基づいて別段に指定または理解されていない限り、優先順位、物理的順序もしくはリスト内の配設、または時間順に並べ替えることのいかなる意味をも補完することを意図したものではなく、開示された例の理解を容易にするために、単に複数の要素または構成要素を別々に参照するためのラベルとして使用される。いくつかの例では、「第１」という記述子は、詳細な説明の要素を指すために使用できるが、「第２」または「第３」などの異なる記述子を有するクレームにおいて同じ要素を指すことができる。そのような場合、そのような記述子は、単に、複数の要素または構成要素を参照しやすくするために使用されることを理解されたい。

プロセス制御システムに関連付けられた安全アプリケーションを実装するために使用される機器は、柔軟な手法で多数のＩ／Ｏ信号を取り扱い得る非常に高度なロジックソルバから、特定のタイプの１つの入力を監視して、１つの出力を生成する単一目的の安全リレーに至るまで、様々であり得る。高度な安全デバイス（例えば、ロジックソルバ）は、完全に構成可能な手法で、多くの異なるアプリケーションに高い柔軟性を提供するが、そのような装置は、比較的高価であり、実装される安全アプリケーション（複数可）のプログラミングおよび／または構成に関わる複雑さのため、実装することが困難である。安全アプリケーションのプログラミングおよび／または構成の複雑さが結果として人的ミスの可能性をもたらし得るだけでなく、完全にプログラム可能なシステムの柔軟な性質により、安全アプリケーションが正しく構成された後に（不注意にまたは悪意を持って（例えば、サイバー攻撃を介して））改ざんされる可能性も生じる。

対照的に、複雑さの低い安全トリップデバイス（例えば、安全リレー）は、限られた固定機能を有するため、比較的安価でセットアップすることが容易であるという利点を有する。さらに、機能が制限されているため、そのようなデバイスの構成に人的エラーが発生する可能性が低くなり、サイバー攻撃を通じてそのようなデバイスの実装が改ざんされることも防止される。安全リレーの簡易な設計および機能は、それらの動作が非常に信頼できるようなものである。ただし、多くの安全リレーは、冗長性を備えていないため、システムに障害がある場合、問題に対応するためのバックアップが組み込まれていない。さらに、多くの安全リレーは、スタンドアロンデバイスであり、他の監視システム（例えば、トリップをマスターステーションにリレーする必要がある坑口アプリケーション）との通信を許可していない。

いくつかの安全アプリケーションには、いくつかの異なるＩ／Ｏ信号が含まれ得る（例えば、採決ロジックに基づくアプリケーション）。そのようないくつかの状況では、いくつかの異なる安全リレーを一緒に配線して、アプリケーションに関連付けられた所望の機能を提供し得る。これにより、単一の安全トリップデバイスを使用する場合に比べて複雑さが増すが、これによりさらに、高度な完全にプログラム可能なロジックソルバを取得、セットアップ、および維持する必要がある場合よりも、複雑さは十分に少なくなり得る。さらに、そのような安全アプリケーションのＩ／Ｏ数が比較的少ない（例えば、２５未満）場合、そのようなアプリケーションの容易さは、完全にプログラム可能なロジックソルバのコストを正当化し得ない。複数であるが比較的少数のＩ／Ｏ信号を含むいくつかの安全アプリケーションでは、専用安全トリップデバイスが開発され、複数の単一入力安全リレーを配線する必要がなくなった。これらの専用安全トリップデバイスは、通常、特定の安全アプリケーションに対応する事前定義されたタイプの固定数のＩ／Ｏを有する。そのようなデバイスは、システムのセットアップおよび構成に利便性を提供するが、通常、それらが開発された特定のアプリケーションに基づいて、動作および機能が固定的であるか、または制限されている。その結果、そのようなデバイスは、設計および製造によって定義された限られた制約を超えて、新しい状況および／または（例えば、異なるタイプのＩ／Ｏ信号に関連付けられた）異なるタイプの安全アプリケーションに容易に適合され得ない。さらに、多くの安全リレーと同様に、そのような専用安全トリップデバイスは、冗長性を備えていない場合がある。

本明細書に開示されている例示的な安全トリップデバイスは、エンドユーザが各異なるタイプの安全アプリケーションのためにデバイスをプログラミングする時間および費用を費やす必要なしに、異なるタイプおよび／または異なる数のＩ／Ｏ信号に関連付けられた異なるタイプの安全アプリケーションに適応し得る。むしろ、いくつかの例では、関連する安全アプリケーションを実装するための機械可読命令（例えば、ソフトウェアおよび／またはファームウェア）は、事前にインストールおよび／または事前にプログラムされ、ユーザが例示的な安全トリップデバイスでの実装のために選択することができるようにされる。本明細書で使用されるように、「事前にプログラムされた」という用語は、エンドユーザが、対応する安全アプリケーションに例示的な安全トリップデバイスを利用する前に、エンドユーザ以外の誰かによってプログラムされることを意味すると明確に定義される。いくつかの例では、特定の安全アプリケーションに関連付けられた機械可読命令は、例示的な安全トリップデバイスの製造業者によって事前にプログラムされ、製造時にインストールされる。さらに、いくつかの例では、特定の安全アプリケーションのための事前にプログラムされた命令は、製造時にインストールするために、サードパーティエンティティ（例えば、相手先ブランド製造業者（ＯＥＭ））によって開発され得る。追加的または代替的に、いくつかの例では、事前にプログラムされた命令（製造業者によって、または他のサードパーティによって開発されたかどうかにかかわらず）は、安全トリップデバイスの製造後のダウンロードおよびインストールのために、エンドユーザに提供され得る。

本明細書に開示される例は、特定の安全アプリケーションのための「事前にプログラムされた」命令を含むが、そのような命令は、関連する安全パラメータおよび／または他の構成設定に対する特定の値を定義および／または指定する能力を用いて、プログラムされ得る。特定の安全アプリケーションに関連付けられた例示的な安全パラメータおよび／または他の構成設定には、トリップ限界（例えば、セットポイント）、トリップ限界に対する単位、トリップの方向（例えば、高または低）、トリップに関連付けられた遅延期間などが含まれ得る。エンドユーザにはこのような構成設定を設定する能力が与えられるが、関連付けられた安全アプリケーションの残りの動作および機能は、事前にプログラムされた命令で事前に定義される。すなわち、入力信号および出力信号の特定のタイプおよび数、ならびにＩ／Ｏ信号が分析および／または処理される手順は、すでに定義されている。いくつかの例では、本明細書で開示される安全トリップデバイスは、任意の適切な通信プロトコル（例えば、Ｍｏｄｂｕｓ）を使用して監視および／または他のシステムとの通信を可能にする、通信インターフェースを含む。いくつかのそのような例では、異なるＩ／Ｏパラメータおよび／または信号値に対する通信アドレス（例えば、レジスタ）のマッピングもまた、事前にプログラムされた命令によって定義されるため、ユーザは、基本的な通信ポート設定（例えば、Ｍｏｄｂｕｓポート設定）を指定するだけで済み、システムのセットアップを完了する。その結果、本明細書に開示される例示的な安全トリップデバイスを使用した安全アプリケーションの設定は、完全にプログラム可能なロジックソルバよりもはるかに高速かつ容易であり、人的エラーがより発生しにくい。さらに、ユーザが、異なる事前にプログラムされた安全アプリケーションを選択する能力により、例示的な安全デバイスは、安全リレーおよび／または固定機能を備えた専用安全トリップデバイスよりも柔軟であることが可能である。

製造業者および／または他のサードパーティエンティティによって開発された事前にプログラムされた命令の別の利点は、そのようなエンティティが、事前にプログラムされた命令に対して、関連する安全コンプライアンス当局または統治機関から認証を取得し得ることである。その結果、エンドユーザは、独自のアプリケーションをプログラミングすること、および新しいアプリケーションを開発するたびに適切な認証を求めたりすることに時間および費用を負担する必要なしに、すべての必要な安全要件および／またはコードを満たしているなど、事前にプログラムされた命令に自信を持って信頼することができる。さらに、本明細書に開示される例示的な安全トリップデバイスは、冗長性を提供し、それにより、他の比較的少ないＩ／Ｏ数の安全トリップデバイス（例えば、安全リレーおよび専用安全トリップデバイス）と比較して、信頼性を高める。さらに、より改ざんされやすい完全にプログラム可能なロジックソルバとは異なり、開示されたいくつかの例は、エンドユーザおよび／または悪意のある攻撃者が、特定の安全アプリケーションの基礎となる（事前にプログラムされた）命令を修正することを防止する。さらに、いくつかの例では、エンドユーザおよび／または悪意のある攻撃者は、ユーザの存在を物理的に確認することなく、実装されている特定の安全アプリケーションおよび／またはアプリケーションに対する関連付けられた設定を変更することが防止されているため、そのようなデバイスのサイバーセキュリティが向上する。

図面を詳細に参照すると、図１は、本開示の教示が実施され得る、例示的なプロセス制御システム１００を示す。この特定の例は、坑口で実装され得るようなスタンドアロンの安全計装システム（ＳＩＳ）に対応する。この例は、説明のみを目的として提供されている。本明細書に開示される教示は、示された例で示されているものよりも複雑な、または、複雑でないあらゆるタイプのプロセス制御システム（例えば、分散制御システム（ＤＣＳ）、監視制御およびデータ収集（ＳＣＡＤＡ）システムなど）の安全アプリケーションに関連して実装され得る。

図１の示された例に示されるように、例示的なシステム１００は、１つ以上のフィールドデバイス１０４、１０６と通信しているリモート端末装置（ＲＴＵ）１０２を含む。さらに、図１に示すように、ＲＴＵ１０２は、例示的なシステム１００に関連付けられたシステムホスト１０８（例えば、既存のＳＣＡＤＡネットワーク）とも通信している。示された例では、ＲＴＵ１０２とシステムホスト１０８との間の通信は、任意の適切な通信デバイスおよび／または媒体を介して達成され得る。この例では、ＲＴＵ１０２および関連付けられたフィールドデバイス１０４、１０６は、例示的なプロセス制御システム１００の非安全面を実装する。

図１の例示的なシステムホスト１０８は、オペレータ、エンジニア、および／または他の工場要員（それらのいずれも本明細書ではユーザと呼ばれ得る）が、例示的な制御システム１００に関連付けられたシステム変数、状態、条件、および／または警報をユーザが見ることを可能にする、１つ以上のオペレータ表示画面および／またはアプリケーションを検討および／またはそれらと対話することと、例示的な制御システム１００に対する制御設定（例えば、設定点、動作状態、クリアアラーム、サイレンスアラームなど）を変更することと、例示的な制御システム１００内のデバイスを構成および／または較正することと、例示的な制御システム１００内のデバイスの診断を実行することと、および／またはそうでなければ、例示的な制御システム１００内のデバイスと対話することと、を可能にする。

図１の例示的なシステムホスト１０８は、１つ以上のワークステーションおよび／または任意の他の適切なコンピュータシステムおよび／または処理システムを使用して実装され得る。例えば、システムホスト１０８は、シングルプロセッサパーソナルコンピュータ、シングルまたはマルチプロセッサワークステーション、ポータブルラップトップコンピュータなどを使用して実装されることができる。ホスト１０８は、１つ以上の情報技術アプリケーション、ユーザインタラクティブアプリケーション、および／または通信アプリケーションを実行するように、１つ以上のアプリケーションステーションで構成され得る。例えば、アプリケーションステーションは、主にプロセス制御関連のアプリケーションを実行するように構成され得、別のアプリケーションステーションは、制御システム１００が、任意の所望の通信メディア（例えば、無線、ハードワイヤードなど）およびプロトコル（例えば、ＨＴＴＰ、ＳＯＡＰなど）を使用して、他のデバイスまたはシステムと通信することを可能にする主に通信アプリケーションを実行するように構成され得る。

図１の例示的なシステム１００は、１つ以上の安全トリップデバイス１１０、１１２、１１４を含み、それらの各々は、１つ以上のフィールドデバイス１１６、１１８、１２０、１２２と通信している。安全トリップデバイス１１０、１１２、１１４は、プロセス制御システム１００に関連付けられるものとして示され、記載されているが、いくつかの例では、安全トリップデバイス１１０、１１２、１１４は、システム１００の残りの部分から独立して動作する１つ以上の安全計装システムの一部として実装され得る。いくつかの例では、フィールドデバイス１１６、１１８、１２０、１２２のうちの１つ以上は、安全トリップデバイス１１０、１１２、１１４のうちの２つ以上と通信していてもよい。追加的または代替的に、いくつかの例では、安全トリップデバイス１１０、１１２、１１４のうちの１つ以上と通信しているフィールドデバイス１１６、１１８、１２０、１２２のうちの１つ以上は、ＲＴＵ１０２と通信しているフィールドデバイスのうちの１つ以上に対応し得る。いくつかの例では、例示的なフィールドデバイス１０４、１０６、１１６、１１８、１２０、１２２の少なくともいくつかは、フィールドバス準拠のバルブ、アクチュエータ、センサなどのスマートフィールドデバイスであり得、その場合、スマートフィールドデバイス１０４、１０６、１１６、１１８、１２０、１２２は、有線または無線通信媒体のいずれかを介して、周知のファウンデーションフィールドバスプロトコルを使用して、ＲＴＵ１０２および／または安全トリップデバイス１１０、１１２、１１４と通信する。もちろん、他のタイプのスマートフィールドデバイスと通信プロトコルを代わりに使用することもできる。例えば、スマートフィールドデバイス１０４、１０６、１１６、１１８、１２０、１２２は、代わりに、周知のＰｒｏｆｉｂｕｓ（登録商標）およびＨＡＲＴ（登録商標）通信プロトコルを使用してＲＴＵ１０２および／または安全トリップデバイス１１０、１１２、１１４と通信するＰｒｏｆｉｂｕｓ（登録商標）およびＨＡＲＴ（登録商標）準拠デバイスであり得る。追加的または代替的に、いくつかの例では、フィールドデバイス１０４、１０６、１１６、１１８、１２０、１２２は、ＷｉｒｅｌｅｓｓＨＡＲＴ（商標）プロトコルに従って、ローカルワイヤレスネットワークを介して通信可能に結合され得る。さらに、いくつかの例では、フィールドデバイス１０４、１０６、１１６、１１８、１２０、１２２のうちの少なくともいくつかは、それぞれのハードワイヤードリンクを介して、ＲＴＵ１０２および／または安全トリップデバイス１１０、１１２、１１４と通信する、従来の４〜２０ミリアンペア（ｍＡ）または０〜２４ボルトの直流（ＶＤＣ）装置デバイスなどの非スマートフィールドデバイスであり得る。例示的なフィールドデバイス１１６、１１８、１２０、１２２と例示的な安全トリップデバイス１１０、１１２、１１４との通信に関するさらなる詳細は、図３に関連して以下でさらに提供される。

示された例では、安全トリップデバイス１１０、１１２、１１４は、第１のスイッチ１２６を介してプライマリネットワーク１２４を通じて、および第２のスイッチ１３０を介して冗長ネットワーク１２８を通じて、ＲＴＵ１０２と通信している。いくつかの例では、スイッチ１２６、１３０は、省略され得る。この例では、ネットワーク１２４、１２８は、周知のＭｏｄｂｕｓプロトコルを使用して実装されている。しかしながら、他の例では、他の通信プロトコルが使用され得る。図１の示された例では、例示的な安全トリップデバイス１１０、１１２、１１４の各々は、２つのネットワーク１２４、１２８に独立して接続して、独立した安全計装機能（ＳＩＦ）を提供する。安全トリップデバイス１１０、１１２、１１４をＲＴＵ１０２に通信可能に結合することにより、システムホスト１０８に関連付けられたワークステーションの担当者とＳＩＳ情報を共有することが可能になる。

図１の示された例の例示的なプロセス制御システム１００はまた、ＲＴＵ１０２および／または安全トリップデバイス１１０、１１２、１１４を含むプロセス制御システム１００の動作に関連付けられた情報の表示を可能にするためのヒューマンマシンインターフェース１３２を含む。さらに、いくつかの例では、構成ツール１３４は、安全トリップデバイス１１０、１１２、１１４に通信可能に結合されて、ユーザが各安全トリップデバイス１１０、１１２、１１４を構成および／またはセットアップして特定の安全アプリケーションを実装することが可能になる。いくつかの例では、図１に示すように、構成ツール１３４は、第１のスイッチ１２６を介してプライマリネットワーク１２４を通じて、安全トリップデバイス１１０、１１２、１１４と通信する。追加的または代替的に、いくつかの例では、構成ツール１３４は、安全トリップデバイス１１０、１１２、１１４のうちの特定の１つに直接配線され得る。上述のように、および以下でさらに記載されるように、いくつかの例では、安全トリップデバイス１１０、１１２、１１４は、メモリに記憶されており、ユーザが選択および構成するために利用可能である異なる安全アプリケーションに関連付けられた事前にプログラムされた命令を含む。いくつかの例では、ユーザは、構成ツール１３４を介して特定の安全アプリケーションを選択し、構成ツール１３４を介して、関連する構成パラメータおよび／または設定に対する値をさらに指定する。さらに、いくつかの例では、ユーザは、構成ツール１３４を使用して、ウェブサイト（例えば、安全トリップデバイス製造業者および／またはサードパーティエンティティによって維持される）から異なる（例えば、新しい）事前にプログラムされたアプリケーションをダウンロードし、次いで新しいアプリケーションを安全トリップデバイス１１０、１１２、１１４にインストールし得る。構成ツール１３４は、ラップトップコンピュータ、ノートブックコンピュータ、スマートフォン、ハンドヘルドデバイス、および／または任意の他のコンピューティングデバイスであり得る。

いくつかの例では、安全トリップデバイス１１０、１１２、１１４は、トリップデバイスのサイズによって定義される限界まで、任意の適切な数のＩ／Ｏポイントおよび／またはチャネルを処理するように構成され得る。いくつかの例では、安全トリップデバイス１１０、１１２、１１４は、最大１２個のＩ／Ｏチャネルを取り扱うように構成されており、これは、比較的少ないＩ／Ｏ数の多くの安全アプリケーションに対処する柔軟性を提供するのに十分である。特定の安全アプリケーションに対するＩ／Ｏ数が、１つの安全トリップデバイスで利用可能な数よりも多くのＩ／Ｏチャネルを必要とする状況では、図２の示された例に示すように、複数のデバイスを組み合わせ得る。特に、図２は、第２の安全トリップデバイス１１２が、マスターノードとしての第１の安全トリップデバイス１１０に対してスレーブノードとして機能するように再構成された、図１の例示的なプロセス制御システム１００を示す。この手法で２つの安全トリップデバイスを組み合わせると、単一のＳＩＦで使用可能なＩ／Ｏ数が２倍になる（例えば、１２個のＩ／Ｏではなく２４個のＩ／Ｏ）。本明細書に記載される例示的な安全トリップデバイスは、１２個のＩ／Ｏチャネルを含むが、他の例示的なトリップデバイスは、１２個より多いまたは少ないＩ／Ｏチャネルを有し得る。

さらに、例示的な安全トリップデバイス１１０、１１２、１１４は、最大１２個のＩ／Ｏチャネルを含むと記載されているが、任意の特定のアプリケーションに使用される実際のチャネル数は、実装される特定のアプリケーションの要件に基づいて、ユーザによって設定され得る。つまり、１つのアプリケーションでは、４個のチャネルしか使用され得ないが、別のアプリケーションは、１１個のチャネルの使用を含み得る。さらに、チャネルのうちのいずれかに関連付けられた特定のタイプのＩ／Ｏ信号は、実装される特定のアプリケーションに適合させ得る。例えば、１つのアプリケーションでは、第１のＩ／Ｏチャネルは、４〜２０ｍＡのアナログ入力用に指定され得る。第２の異なるアプリケーションでは、第１のＩ／Ｏチャネルは、熱電対入力用に指定され得る。例示的な安全トリップデバイス１１０、１１２、１１４と互換性のある異なるタイプのＩ／Ｏ信号には、４〜２０ｍＡアナログ入力信号、４〜２０ｍＡアナログ出力信号、０〜１０Ｖアナログ入力信号、０〜１０Ｖアナログ出力信号、熱電対信号、測温抵抗体（ＲＴＤ）信号、ドライまたはＮＡＭＵＲディスクリート入力信号、ハイサイドディスクリート出力信号、高電流または高ＶＡＣ電圧用の絶縁ディスクリート入力信号またはディスクリート出力信号、リレー接点出力信号などが含まれる。これらの異なるタイプのＩ／Ｏ信号の任意の組み合わせを、安全トリップデバイスの構造容量までの（および複数のトリップデバイスを組み合わせた場合はさらに）任意の量を有効にすると、特定のアプリケーション用に設計された既存の専用安全トリップデバイスを使用して可能なものよりも、安全トリップデバイスを異なる用途およびアプリケーションに適応するのにかなりの柔軟性が提供される。さらに、特定のアプリケーションに対応する事前にプログラムされた命令をユーザに選択のために提供することにより、そのようなデバイスの構成およびセットアップは、完全にプログラム可能なロジックソルバを用いて可能であるものよりもはるかに複雑ではなくなる。

図３は、図１および／または図２の第１の例示的な安全トリップデバイス１１０のより詳細な図を示す。以下の説明は、第１の安全トリップデバイス１１０に関して提供されるが、図１および／または図２の第２および第３の安全トリップデバイス１１２、１１４は、第１の安全トリップデバイス１１０と類似または同一であり得る。示された例の例示的な安全トリップデバイス１１０は、１つ以上のＩ／Ｏスキャナ３０４、３０６を保持するハウジング３０２を含む。この例では、２つのＩ／Ｏスキャナがあり、第１のＩ／Ｏスキャナ３０４は、プライマリＩ／Ｏスキャナとして機能し、第２のＩ／Ｏスキャナは、冗長Ｉ／Ｏスキャナとして機能する３０６。Ｉ／Ｏスキャナ３０４、３０６は、それぞれのＩ／Ｏポート３０８、３１０と通信可能に結合されており、それらを通じて、Ｉ／Ｏスキャナ３０４、３０６は、図１に示される第１および第２のネットワーク１２４、１２８と通信可能に結合され得る。追加的または代替的に、Ｉ／Ｏポート３０８、３１０は、図２の第１および第２の安全トリップデバイス１１０、１１２によって示されるように複数の安全トリップデバイスを通信可能に相互接続するために使用され得る。いくつかの例では、Ｉ／Ｏスキャナ３０４、３０６は、ハウジング３０２内に含まれるバックプレーンを介して、Ｉ／Ｏポート３０８、３１０と通信可能に結合される。

いくつかの例では、Ｉ／Ｏスキャナ３０４、３０６は、ハウジング３０２から選択的に取り外し可能であり、それにより、特定のＩ／Ｏスキャナを異なるスキャナで置き換えることを可能にする。そのようないくつかの例では、クリップあるいはラッチ３１２、および／または他のロック機構を使用して、Ｉ／Ｏスキャナ３０４、３０６を、ハウジング３０２に結合されたときに所定の位置に固定する。他の例では、Ｉ／Ｏスキャナ３０４、３０６は、ハウジング３０２と一体化されている。Ｉ／Ｏスキャナ３０４、３０６と同様に、いくつかの例では、Ｉ／Ｏポート３０８、３１０は、ハウジング３０２から選択的に取り外し可能であり、それにより、特定のＩ／Ｏポートを異なるポート（例えば、示された例に示すようなものだけではなく複数の通信プラグを含むポート）で置き換えることを可能にする。いくつかの例では、クリップあるいはラッチ３１４、および／または他のロック機構が、Ｉ／Ｏポート３０８、３１０をハウジングに固定する。他の例では、Ｉ／Ｏポート３０８、３１０は、ハウジング３０２と一体化されている。

示された例に示されるように、安全トリップデバイス１１０はまた、複数の端子ブロック３１６を含む。この例では、１２個の端子ブロック３１６がある。他の例では、端子ブロック３１６の数は、１２個より多くても少なくてもよい。例示的な端子ブロック３１６は、第１の物理インターフェース（例えば、ワイヤ終端点３１８）を提供し、その上に、フィールドデバイス１１６、１１８、１２０、１２２からの１つ以上のワイヤが着地され得る。さらに、例示的な端子ブロック３１６は、複数の異なるタイプのＩ／Ｏ終端モジュール３２４のうちの１つを受信および保持するための第２の物理インターフェース（例えば、電気接点３２２が中に含まれるスロットまたはソケット３２０）を含む。示された例では、Ｉ／Ｏ終端モジュール３２４は、第１、第２、第３、第５および第１２の端子ブロック３１６のスロット３２０に挿入されている。いくつかの例では、終端モジュールは、Ｅｍｅｒｓｏｎ Ｐｒｏｃｅｓｓ Ｍａｎａｇｅｍｅｎｔによって開発されたＣＨＡＲＭ（特性付けモジュール）である。

示された例では、安全トリップデバイス１１０はまた、アドレスプラグ３２６も含む。いくつかの例では、アドレスプラグ３２６は、安全トリップデバイス１１０のハウジング３０２内の対応するスロット内で、互いに選択的に交換され得る２つのタイプのうちの１つに対応し得る。第１のタイプのアドレスプラグ３２６は、ランタイムアドレスプラグであり、これは、異なる終端モジュール３２４に対するアドレス指定情報をＩ／Ｏスキャナ３０４、３０６に提供する標準タイプのアドレスプラグである。第２のタイプのアドレスプラグ３２６は、構成アドレスプラグであり、これは、以下でより詳しく説明されるように、安全トリップデバイス１１０が特定の安全アプリケーション用に構成されている場合に特に使用され得る。

いくつかの例では、端子ブロック３１６は、ハウジング３０２から選択的に取り外し可能であり、（例えば、異なるタイプのフィールドデバイスに接続するための異なる数および／または異なるタイプの終端点３１８を有する）異なる端子ブロックによる置き換えを可能にする。そのようないくつかの例では、Ｉ／Ｏ終端モジュール３２４は、対応する端子ブロック３１６と一体化され得、それにより、異なるＩ／Ｏ終端モジュール３２４および端子ブロック３１６が一体として、安全トリップデバイス１１０から選択的に取り外しおよび／または置き換えされ得る。他の例では、端子ブロック３１６は、Ｉ／Ｏ終端モジュール３２４のみが選択的に取り外し可能である状態で、ハウジング３０２と一体化され得る。

示された例では、端子ブロック３１６上の電気接点３２２は、終端点３１８に電気的に結合されており、フィールドデバイス１１６、１１８、１２０、１２２（終端点３１８に配線されている）と、対応する端子ブロック３１６のスロット３２０に挿入されたＩ／Ｏ終端モジュール３２４との間の通信を可能にする。さらに、端子ブロック３１６の電気接点３２２は、ハウジング３０２のバックプレーンに電気的に結合されており、Ｉ／Ｏスキャナ３０４、３０６と、端子ブロック３１６に挿入された対応するＩ／Ｏ終端モジュール３２４との間の通信を可能にする。より具体的には、いくつかの例では、ハウジング３０２のバックプレーンは、端子ブロック３１６のいずれかにおけるＩ／Ｏ終端モジュール３２４をＩ／Ｏスキャナ３０４、３０６に通信可能に結合するユニバーサルＩ／Ｏバス（例えば、共通または共有の通信バス）を含む。

いくつかの例では、異なるフィールドデバイス１１６、１１８、１２０、１２２との間で送信または受信されるＩ／Ｏ信号は、関与するフィールドデバイスのタイプに基づいてタイプが異なり得る。その結果、Ｉ／Ｏ信号は、異なる通信プロトコルに基づいているため、ユニバーサルＩ／Ｏバスと直接互換性がない場合がある。したがって、いくつかの例では、（異なる通信プロトコルに基づいて通信される）異なるタイプのＩ／Ｏ信号に関連付けられた異なるタイプのフィールドデバイス１１６、１１８、１２０、１２２との間の送信は、対応するタイプのＩ／Ｏ信号を取り扱うように構成されている異なるタイプのＩ／Ｏ終端モジュール３２４によって処理される。すなわち、異なるタイプのＩ／Ｏ終端モジュール３２４は、対応するフィールドデバイスから特定の通信プロトコルに基づいて、フィールドデバイス情報を受信し、ユニバーサルＩ／Ｏバスに関連付けられた異なる通信プロトコルを使用して、フィールドデバイス情報をＩ／Ｏスキャナ３０４、３０６に通信するための異なる論理回路を含む。同様に、Ｉ／Ｏスキャナ３０４、３０６は、ユニバーサルＩ／Ｏバスに関連付けられた通信プロトコルに基づいて、フィールドデバイス情報をＩ／Ｏ終端モジュール３２４に伝達し得、次いで、各Ｉ／Ｏ終端モジュール３２４における論理回路は、フィールドデバイス情報を抽出し、特定のタイプのＩ／Ｏ信号、および各特定のフィールドデバイスを対象とする関連する通信プロトコルに従って、当該情報をそれぞれのフィールドデバイスに伝達し得る。

（異なる通信プロトコルに関連付けられた）異なるタイプのＩ／Ｏ信号を処理するように構築された異なるＩ／Ｏ終端モジュール３２４を使用する能力により、各所望のアプリケーションに関わる特定のタイプのＩ／Ｏ信号に対応する適切なタイプのＩ／Ｏ終端モジュール３２４を選択し、そのようなモジュール３２４を端子ブロック３１６に挿入することによって、安全トリップデバイス１１０を異なる安全アプリケーションに適合させることを可能にする。もちろん、Ｉ／Ｏスキャナ３０４、３０６が所与の安全アプリケーションに対するＩ／Ｏ信号を適切に分析および／または処理することができるようにするには、Ｉ／Ｏスキャナ３０４、３０６を、そうするようにプログラムおよび／または構成する必要がある。いくつかの例では、Ｉ／Ｏスキャナ３０４、３０６は、異なるタイプの安全アプリケーションに関連付けられた事前にプログラムされた命令を記憶するためのメモリを含み、安全トリップデバイス１１０を新しい安全アプリケーションに適合させるたびに、エンドユーザがＩ／Ｏスキャナをプログラムする必要がない。いくつかの例では、事前にプログラムされた命令は、安全トリップデバイス１１０の販売前の製造時にメモリに記憶される。追加的または代替的に、事前にプログラムされた命令は、エンドユーザによってダウンロードされ、安全トリップデバイス１１０の購入後にＩ／Ｏスキャナ３０４、３０６に記憶され得る。

エンドユーザが開発する必要のない特定の安全アプリケーションに対して、事前にプログラムされた命令を提供することにより、そのような安全アプリケーションに対して安全トリップデバイス１１０をセットアップする複雑さが大幅に軽減される。例えば、いくつかの例では、事前にプログラムされた命令は、特定の安全アプリケーションに対し、関与するＩ／Ｏ信号の数とタイプ、ならびにそのような信号の相互関係、およびそれらを扱う方法および／または処理する方法を定義する。さらに、いくつかの例では、事前にプログラムされた命令は、特定の安全アプリケーションに対し、動作の論理シーケンス（複数可）を定義するだけでなく、外部コンポーネント（例えば、図１のホストシステム１０８）との通信のために、特定のアプリケーションに関わる異なるＩ／Ｏ信号のための通信アドレス（例えば、レジスタ）のマッピングを定義する。その結果、エンドユーザが、安全トリップデバイス１１０を特定の安全アプリケーションを実装するように構成することを望む場合、ユーザは、関連する事前にプログラムされた命令を選択し、関連するＩ／Ｏ終端モジュール３２４を挿入し、特定の構成設定および／または通信ポート設定を定義する。いくつかの例では、構成設定には、トリップ制限の値（例えば、セットポイント）、トリップ限界に対する単位、トリップの方向（例えば、高または低）、トリップに関連付けられた遅延期間などが含まれる。いくつかの例において、通信ポート設定（例えば、Ｍｏｄｂｕｓポート設定）には、端子ブロック３１６に関連付けられたインターネットプロトコル（ＩＰ）アドレス、サブネットマスク、ポート番号など、および／または安全アプリケーションに関連付けられた関連するＩ／Ｏ信号を定義することが含まれる。

いくつかの例では、事前にプログラムされた命令は、関連する安全コンプライアンス当局または統治機関によって認証され得る。このような認証は、一度だけ行えば十分であり、次いで、任意の数のエンドユーザによって、任意の数の安全トリップデバイス１１０で信頼性を持って使用され得る。認証が有効なままであることを確実にするために、いくつかの例では、エンドユーザが、事前にプログラムされた命令を修正することが防止されている。つまり、ユーザは、関連付けられた安全アプリケーションの特定の実装に適した構成設定を選択して提供し得るが、ユーザが、基礎となる論理シーケンス、および事前にプログラムされた命令に定義されているＩ／Ｏの信号の関連付けられた関係および相互作用にアクセスすること、それらを閲覧および／または修正することが防止され得る。エンドユーザは、Ｉ／Ｏスキャナ３０４、３０６に記憶された事前にプログラムされた命令を修正することができ得ないが、いくつかの例では、エンドユーザは、例えば、特定の安全アプリケーションに対して事前にプログラムされた命令が利用可能でない場合に、Ｉ／Ｏスキャナ３０４、３０６によって実装される独自のプログラムを開発し得る。そのような例では、エンドユーザは、必要に応じてプログラムを更新および／または修正することができ得る。

いくつかの例では、Ｉ／Ｏスキャナ３０４、３０６に記憶された事前にプログラムされた命令に関連付けられた特定の安全アプリケーションの選択、および実装のためにそのような命令の関連付けられた構成は、構成アドレスプラグ３２６が標準ランタイムアドレスプラグ３２６の代わりに安全トリップデバイス１１０に挿入された場合に限定される。特定の安全アプリケーションの構成およびセットアップに対する修正を、構成アドレスプラグ３２６が安全トリップデバイス１１０に挿入されたときに限定することにより、ユーザが構成アドレスプラグ３２６を物理的に挿入する必要があるため、修正を行い得る前に、セキュリティを強化するためのユーザ存在のテストが効果的に提供される。安全トリップデバイス１１０が特定の安全アプリケーションに対してセットアップおよび構成され、標準ランタイムアドレスプラグが構成アドレスプラグ３２６に置き換えられると、安全トリップデバイス１１０は、誰かが不注意または悪意を持ってアプリケーションに対する構成設定を改ざんする（および／または、事前にプログラムされた命令の異なるセットに関連付けられた異なる安全アプリケーションに対応するように、安全トリップデバイス１１０の動作を切り替える）リスクなしに構成されるように動作する。換言すれば、構成アドレスプラグ３２６は、安全トリップデバイス１１０を、安全アプリケーションを修正し得るが実装し得ない構成モードにする。一方、ランタイムアドレスプラグ３２６は、安全トリップデバイスを、安全アプリケーションを実装し得るが修正し得ない実行モードにする。

図４は、図３のプライマリＩ／Ｏスキャナ３０４の例示的な実装を示すブロック図である。以下の説明は、プライマリＩ／Ｏスキャナ３０４に関して提供されるが、冗長Ｉ／Ｏスキャナ３０６は、プライマリＩ／Ｏスキャナ３０４と同様または同一であり得る。示された例に示されるように、プライマリＩ／Ｏスキャナ３０４は、例示的な外部通信インターフェース４０２、例示的なＩ／Ｏ通信インターフェース４０４、例示的な構成コントローラ４０６、例示的なＩ／Ｏアナライザ４０８、および例示的なメモリ４１０を含む。

例示的な外部通信インターフェース４０２は、安全トリップデバイス１１０の外部の構成要素との通信を可能にする。すなわち、この例では、外部通信インターフェース４０２は、対応するＩ／Ｏポート３０８、３１０と相互作用して、ネットワーク１２４、１２８との通信および／または他の安全トリップデバイス１１０との通信を可能にする。例えば、とりわけ、ユーザは、Ｉ／Ｏスキャナ３０４の外部通信インターフェース４０２を介して安全トリップデバイス１１０と通信している図１および２の構成ツール１３４を介して、安全トリップデバイス１１０で特定の安全アプリケーションを選択および／または構成し得る。

例示的なＩ／Ｏ通信インターフェース４０４は、安全トリップデバイス１１０上の端子ブロック３１６に挿入された異なるＩ／Ｏ終端モジュール３２４との通信を可能にする。そのような例では、Ｉ／Ｏ通信インターフェース４０４は、上述のように、ユニバーサルＩ／Ｏバスを使用して、ハウジング３０２のバックプレーンを介してＩ／Ｏ終端モジュール３２４と通信する。いくつかの例では、Ｉ／Ｏ通信インターフェース４０４はまた、プライマリＩ／Ｏスキャナ３０４と冗長Ｉ／Ｏスキャナ３０６との間の通信を可能にする。その結果、いくつかの例では、Ｉ／Ｏスキャナ３０４、３０６のうちの一方に対する修正および／または変更は、自動的に他方に渡される。外部通信インターフェース４０２は、Ｉ／Ｏ通信インターフェース４０４とは別個に示されているが、いくつかの例では、外部通信インターフェース４０２は、Ｉ／Ｏ通信インターフェース４０４と一体化および／または組み合わされ得る。

図４のＩ／Ｏスキャナ３０４の例示的な構成コントローラ４０６は、安全トリップデバイス１１０によって実施される安全アプリケーションのユーザ選択および構成を管理する。いくつかの例では、構成コントローラ４０６は、アドレスプラグ３２６が構成アドレスプラグであるか、またはランタイムアドレスプラグであるかを判定する。プラグ３２６がランタイムアドレスプラグである場合、構成コントローラ４０６は、ユーザが、安全トリップデバイス１１０での実装のために安全アプリケーション指定を選択（例えば、変更）することを防止する。さらに、アドレスプラグ３２６がランタイムアドレスプラグである場合、構成コントローラ４０６は、ユーザが、現在指定されている安全アプリケーションに対して構成設定を修正することを防止することもできる。一方、アドレスプラグ３２６が構成アドレスプラグである場合、構成コントローラ４０６は、ユーザが、安全トリップデバイス１１０による実装のために安全アプリケーションを選択および／または構成することを可能にし得る。しかしながら、構成アドレスプラグ３２６は、有効なアドレス情報を欠いているというまさにその性質により、安全アプリケーションが実際に実装されることを防止する。指定された安全アプリケーションを実装することができるのは、標準ランタイムアドレスプラグ３２６が安全トリップデバイス１１０に再挿入されたときだけである。

上記のように、いくつかの例では、ユーザは、構成ツール１３４を使用して、特定の安全アプリケーションを選択および構成する。したがって、いくつかの例では、構成コントローラ４０６は、外部通信インターフェース４０２を介して構成ツール１３４と通信して、ユーザが構成プロセス中にフィードバックを選択および／または提供するためのプロンプトおよび／またはオプションを提供する。より具体的には、いくつかの例では、構成コントローラ４０６は、構成ツール１３４の表示画面上にレンダリングされる利用可能な安全アプリケーションを、ユーザに選択のために提供する。いくつかの例では、構成コントローラ４０６は、構成ツール１３４上のディスプレイを介するレンダリングのための関連するユーザオプションを備えたグラフィカルユーザインターフェースを生成し得る。他の例では、構成コントローラ４０６は、構成ツール１３４が適切なグラフィカルユーザインターフェースを生成して、情報をユーザに表示することを可能にするための関連情報を送信し得る。利用可能な安全アプリケーションは、任意の適切な事項（例えば、ドロップダウンリスト、表など）で表示され得る。

いくつかの例では、ユーザに選択のために提供される利用可能な安全アプリケーションは、Ｉ／Ｏスキャナ３０４のメモリ４１０に記憶される事前にプログラムされた命令に関連付けられたすべての安全アプリケーションに対応する。追加的または代替的に、いくつかの例では、ユーザに提供される利用可能な安全アプリケーションは、ユーザ（または異なるエンドユーザ）が以前に開発してメモリ４１０に記憶したアプリケーションを含み得る。いくつかの例では、ユーザに選択のために提供される利用可能な安全アプリケーションは、メモリ４１０に記憶される事前にプログラムされた命令を備えたすべての安全アプリケーションのサブセットに対応し得る。例えば、いくつかの例では、特定のタイプのプロセス制御システムに関連付けられた安全アプリケーション（例えば、坑口安全アプリケーション）のみがユーザに提供され得る。

いくつかの例では、利用可能な安全アプリケーションは、メモリ４１０にまだ記憶されていない事前にプログラムされた命令を含み得る。そのような例では、そのような事前にプログラムされた命令を、構成ツール１３４を使用してウェブサイトからダウンロードすることによって、それら命令を取得するためのオプションをユーザに提供し得る。ダウンロードされると、構成ツール１３４は、事前にプログラムされた命令をＩ／Ｏスキャナ３０４に送信して、メモリ４１０に記憶し得る。いくつかの例では、構成コントローラ４０６は、メモリ４１０に記憶されていない事前にプログラムされたアプリケーションを明確に特定しないが、それにもかかわらず、ユーザがメモリ４１０に記憶されたもの以外の新しいおよび／または異なる安全アプリケーションをチェックするためのオプションを提供し得る。

利用可能な安全アプリケーションは、安全計装システムで実装され得る任意の適切なタイプのアプリケーションに対応し得る。メモリ４１０に記憶されている事前にプログラムされた命令を有し得る異なる例示的なアプリケーションには、バーナー管理システム（ＢＭＳ）アプリケーション、緊急シャットダウン（ＥＳＤ）アプリケーション、自動オーバーフロー保護システム（ＡＯＰＳ）アプリケーション、高信頼性圧力保護システム（ＨＩＰＰＳ）アプリケーション、単一採決アプリケーション（例えば、２個のうち１個（１ｏｏ２）、３個のうち２個（２ｏｏ３）など）、複数反復採決アプリケーション（例えば、２ｏｏ３採決の２回の反復、１ｏｏ２採決の３回の反復など）、坑口アプリケーションなどが含まれる。

いくつかの例では、ユーザが、実装される特定の安全アプリケーションを選択すると、構成コントローラ４０６は、メモリ４１０に記憶される関連付けられた命令を取得し、関連するパラメータおよび他の構成設定（例えば、トリップ制限、トリップ方向、時間遅延など）に対する値を提供するように（例えば、構成ツール１３４を介して）ユーザに促す。いくつかの例では、構成コントローラ４０６は、ユーザに（例えば、構成ツール１３４を介して）、選択された安全アプリケーションに関与するＩ／Ｏ信号のタイプのリストを提供して、正しいＩ／Ｏ終端モジュール３２４が安全トリップデバイス１１０の端子ブロック３１６に挿入されていることをユーザが確認することを可能にする。いくつかの例では、ユーザは、安全トリップデバイス１１０にインストールされた終端モジュール３２４のタイプ、および異なる端子ブロック３１６内のそれらの位置を指定して、事前にプログラムされた命令で定義されているように、正しいＩ／Ｏ終端モジュール３２４が選択したアプリケーションに関わるＩ／Ｏ信号に基づいて使用されていることを、構成コントローラ４０６が確認することを可能にする。さらに、Ｉ／Ｏ終端モジュール３２４の各々に対する場所（例えば、Ｉ／Ｏチャネル）をユーザが指定することにより、構成コントローラ４０６がそれらの通信アドレスを適切に構成することを可能にする。いくつかの例では、構成コントローラ４０６は、Ｉ／Ｏ終端モジュール３２４を自動的にスキャンして、モジュールが、ユーザによって選択された安全アプリケーションに関連付けられた事前にプログラムされた命令で定義されたＩ／Ｏ信号に対応する正しいタイプであることを確認し、および／または各Ｉ／Ｏ終端モジュール３２４が挿入されている特定の端子ブロック３１６を判定し得る。いくつかの例では、間違ったＩ／Ｏ終端モジュール３２４が検出され、および／または関連するＩ／Ｏ終端モジュール３２４が検出されない場合、構成コントローラ４０６は、検出されたエラーをユーザに通知するための警告またはエラーメッセージを生成し得る。

構成コントローラ４０６が、ユーザからのすべての構成設定および通信ポート設定を受信すると、構成コントローラ４０６は、安全トリップデバイス１１０からの構成アドレスプラグ３２６の取り外し、およびランタイムアドレスプラグとの置き換えを監視し得る。ランタイムアドレスプラグ３２６が挿入されると、Ｉ／Ｏスキャナ３０４の制御および／または動作は、例示的なＩ／Ｏアナライザ４０８に渡される。Ｉ／Ｏアナライザ４０８は、事前にプログラムされた命令を実装して、ユーザが選択した安全アプリケーションの実装を制御する。すなわち、Ｉ／Ｏアナライザ４０８は、意図されたフィールドデバイス１１６、１１８、１２０、１２２に通信されるフィールドデバイス情報を生成し、また、フィールドデバイス１１６、１１８、１２０、１２２から受信されたフィールドデバイス情報を受信して処理する。より具体的には、Ｉ／Ｏアナライザ４０８は、関連するＩ／Ｏ信号をユーザ構成のトリップ限界と比較し、および／またはそうでなければ、事前にプログラムされた命令に規定された動作の論理シーケンス（複数可）に従ってＩ／Ｏ信号を処理し、関連付けられた安全アプリケーションを有効にする。

図３のＩ／Ｏスキャナ３０４を実装する例示的な手法が図４に示されているが、図４に示された要素、プロセス、および／またはデバイスのうちの１つ以上は、組み合わされ、分割され、再配設され、省略され、削除され、および／または他の任意の方法で実装され得る。さらに、例示的な外部通信インターフェース４０２、例示的なＩ／Ｏ通信インターフェース４０４、例示的な構成コントローラ４０６、例示的なＩ／Ｏアナライザ４０８、例示的なメモリ４１０、および／または、より全般的には、図３の例示的なＩ／Ｏスキャナ３０４は、ハードウェア、ソフトウェア、ファームウェア、ならびに／またはハードウェア、ソフトウェアおよび／あるいはファームウェアの任意の組み合わせによって実装され得る。したがって、例えば、例示的な通信インターフェース４０２、例示的なＩ／Ｏ通信インターフェース４０４、例示的な構成コントローラ４０６、例示的なＩ／Ｏアナライザ４０８、例示的なメモリ４１０、および／または、より全般的には、例示的なＩ／Ｏスキャナ３０４は、１つ以上のアナログまたはデジタル回路（複数可）、論理回路、プログラム可能なプロセッサ（複数可）、プログラム可能なコントローラ（複数可）、グラフィックス処理ユニット（複数可）（ＧＰＵ（複数可））、デジタル信号プロセッサ（複数可）（ＤＳＰ（複数可））、特定用途向け集積回路（複数可）（ＡＳＩＣ（複数可））、プログラム可能な論理デバイス（複数可）（ＰＬＤ（複数可））、および／またはフィールドプログラム可能な論理デバイス（複数可）ＦＰＬＤ（複数可））によって実装されることができる。本特許の装置またはシステムのクレームのいずれかを読んで、純粋にソフトウェアおよび／またはファームウェアの実装をカバーするとき、例示的な通信インターフェース４０２、例示的なＩ／Ｏ通信インターフェース４０４、例示的な構成コントローラ４０６、例示的なＩ／Ｏアナライザ４０８、および／または例示的なメモリ４１０は、本明細書により、ソフトウェアおよび／またはソフトウェアを含む、メモリ、デジタル多用途ディスク（ＤＶＤ）、コンパクトディスク（ＣＤ）、ブルーレイディスクなどの非一時的なコンピュータ可読記憶デバイスまたは記憶ディスクを含むと明確に定義されている。さらに、図３の例示的なＩ／Ｏスキャナ３０４は、図４に示されたものに加えて、またはその代わりに、１つ以上の要素、プロセスおよび／もしくはデバイスを含み得、ならびに／または、示された要素、プロセスおよびデバイスのいずれかまたはすべてのうちの２つ以上を含み得る。本明細書で使用される「通信中」という句は、その変形例を含めて、直接通信および／または１つ以上の中間構成要素を通じた間接通信を包含し、直接の物理的（例えば有線）通信および／または常時通信を必要とせず、むしろさらに、周期的な間隔、スケジュールされた間隔、非周期的な間隔、および／または１回限りのイベントでの選択的な通信を含む。

図３および／または図４のＩ／Ｏスキャナ３０４を実装するための、例示的なハードウェア論理、機械可読命令、ハードウェア実装状態機械、および／またはそれらの任意の組み合わせを表すフローチャートが図５に示されている。機械可読命令は、図６に関連して以下で説明される例示的なプロセッサプラットフォーム６００に示される、プロセッサ６１２などのコンピュータプロセッサによる実行のための１つ以上の実行可能プログラムまたは実行可能プログラムの部分（複数可）であってもよい。プログラムは、ＣＤ−ＲＯＭ、フロッピーディスク、ハードドライブ、ＤＶＤ、ブルーレイディスク、またはプロセッサ６１２に関連するメモリなどの非一時的なコンピュータ可読記憶媒体に保存されたソフトウェアで具現化されてもよいが、プログラム全体および／またはその一部分は、代替的に、プロセッサ６１２以外のデバイスによって実行され、かつ／またはファームウェアまたは専用ハードウェアで具現化され得る。さらに、図５に示されるフローチャートを参照して例示的なプログラムが説明されるが、例示的なＩ／Ｏスキャナ３０４を実装する他の多くの方法が代替的に使用され得る。例えば、ブロックの実行順序が変更されてもよく、かつ／または記載したブロックのいくつかが変更されるか、削除されるか、または組み合わされ得る。追加的または代替的に、ブロックのいずれかまたはすべては、ソフトウェアまたはファームウェアを実行せずに対応する動作を行うように構成されている、１つ以上のハードウェア回路（例えば、離散および／または統合アナログおよび／またはデジタル回路、ＦＰＧＡ、ＡＳＩＣ、コンパレータ、演算増幅器（オペアンプ）、論理回路など）によって実装されてもよい。

本明細書に記載する機械可読命令は、圧縮形式、暗号化形式、断片化形式、コンパイル形式、実行形式、パッケージ形式などのうちの１つ以上で記憶され得る。本明細書に記載する機械可読命令は、機械実行可能命令を作成、製造、および／または生み出すために利用され得るデータ（例えば、命令の部分、コード、コードの表現など）として記憶され得る。例えば、機械可読命令は、断片化され、１つ以上の記憶デバイスおよび／またはコンピューティングデバイス（例えば、サーバ）に保存され得る。機械可読命令は、それらをコンピューティングデバイスおよび／または他の機械で直接読み取り可能、解釈可能、および／または実行可能にするために、インストール、修正、適応、更新、組み合わせ、補足、構成、復号化、解凍、展開、配布、再割り当て、コンパイルなどのうちの１つ以上を必要とし得る。例えば、機械可読命令は、個々に圧縮、暗号化され、別個のコンピューティングデバイスに保存される、複数の一部分に保存され、これらの一部分は、復号化、解凍、組み合わされるとき、本明細書に記載されるようなプログラムを実装する一連の実行可能命令を形成する。

別の例では、機械可読命令は、それらがコンピュータによって読み取られ得る状態で保存され得るが、特定のコンピューティングデバイスまたは他のデバイスで命令を実行するためには、ライブラリ（例えば、ダイナミックリンクライブラリ（ＤＬＬ））、ソフトウェア開発キット（ＳＤＫ）、アプリケーションプログラミングインターフェース（ＡＰＩ）などの追加が必要である。別の例では、機械可読命令および／または対応するプログラム（複数可）を全体または一部分で実行する前に、（例えば、設定の保存、データ入力、ネットワークアドレスの記録など）機械可読命令を構成する必要がある場合がある。したがって、開示された機械可読命令および／または対応するプログラム（複数可）は、保存されているか、そうでなければ保管中または輸送中、機械可読命令および／またはプログラムの特定のフォーマットまたは状態に関係なく、そのような機械可読命令および／またはプログラムを離間することが意図されている。

本明細書に記載する機械可読命令は、過去、現在、または将来の任意の命令言語、スクリプト言語、プログラミング言語などで表すことができる。例えば、機械可読命令は、以下の言語、つまり、Ｃ、Ｃ＋＋、Ｊａｖａ、Ｃ＃、Ｐｅｒｌ、Ｐｙｔｈｏｎ、ＪａｖａＳｃｒｉｐｔ、ＨｙｐｅｒＴｅｘｔ Ｍａｒｋｕｐ Ｌａｎｇｕａｇｅ（ＨＴＭＬ）、Ｓｔｒｕｃｔｕｒｅｄ Ｑｕｅｒｙ Ｌａｎｇｕａｇｅ（ＳＱＬ）、Ｓｗｉｆｔなどのいずれかの言語を使用して表し得る。

上述のように、図５の例示的なプロセスは、ハードディスクドライブ、フラッシュメモリ、読み取り専用メモリ、コンパクトディスク、デジタル多用途ディスク、キャッシュ、ランダムアクセスメモリ、および／または、情報が任意の持続時間（例えば、長時間、永続的、短時間、一時的なバッファリングの間、および／または情報のキャッシングの間）記憶される、任意の他の記憶デバイスまたは記憶ディスクなどの、非一時的なコンピュータおよび／または機械可読媒体に記憶された実行可能命令（例えば、コンピュータおよび／または機械可読命令）を使用して実装され得る。本明細書で使用される用語「非一時的なコンピュータ可読媒体」は、任意のタイプのコンピュータ可読記憶デバイスおよび／または記憶ディスクを含み、伝搬信号を除外し、伝送媒体を除外すると明確に定義される。

「含む」および「備える」（およびそのすべての形式および時制）は、本明細書では開放形式の用語であるように使用される。したがって、特許請求項がプリアンブルとして、またはあらゆる種類の特許請求項記述内で「含む」または「備える」のいずれかの形式を使用する場合（例えば、備える（ｃｏｍｐｒｉｓｅｓ）、含む（ｉｎｃｌｕｄｅｓ）、備える（ｃｏｍｐｒｉｓｉｎｇ）、含む（ｉｎｃｌｕｄｉｎｇ）、有するなど）、追加の要素、用語などが、対応する特許請求項または記述の範囲から外れることなく存在する場合があることが理解されるべきである。本明細書で使用されるように、「少なくとも」の句が、例えば特許請求項のプリアンブルで移行用語として使用される場合、「備える」および「含む」という用語が開放形式であるのと同じ手法で開放形式である。例えば、Ａ、Ｂ、および／またはＣなどの形態で使用されるときの「および／または」という用語は、（１）Ａのみ、（２）Ｂのみ、（３）Ｃのみ、（４）ＡとＢ、（５）ＡとＣ、（６）ＢとＣ、および（７）ＡとＢとＣとの組み合わせなどのＡ、Ｂ、Ｃの任意の組み合わせまたはサブセットを指す。構造、構成要素、アイテム、オブジェクト、および／または物事を記載する文脈において本明細書で使用されるように、「ＡおよびＢの少なくとも１つ」という句は、（１）少なくとも１つのＡ、（２）少なくとも１つのＢ、ならびに（３）少なくとも１つのＡおよび少なくとも１つのＢのうちのいずれかを含む実装態様指すことが意図される。同様に、構造、構成要素、アイテム、オブジェクト、および／または物事を説明する文脈において本明細書で使用されるように、「ＡまたはＢのうちの少なくとも１つ」という句は、（１）少なくとも１つのＡ、（２）少なくとも１つのＢ、ならびに（３）少なくとも１つのＡおよび少なくとも１つのＢのうちのいずれかを含む実装態様を指すことが意図される。プロセス、命令、アクション、アクティビティ、および／またはステップの実施または実行を説明する文脈において本明細書で使用されるように、「ＡおよびＢの少なくとも１つ」という句は、（１）少なくとも１つのＡ、（２）少なくとも１つのＢ、ならびに（３）少なくとも１つのＡおよび少なくとも１つのＢのうちのいずれかを含む実装態様を指すことが意図される。同様に、プロセス、命令、アクション、アクティビティ、および／またはステップの実施または実行を説明する文脈において本明細書で使用されるように、「ＡまたはＢの少なくとも１つ」という句は、（１）少なくとも１つのＡ、（２）少なくとも１つのＢ、および（３）少なくとも１つのＡと少なくとも１つのＢのうちのいずれかを含む実装態様を指すことが意図される。

本明細書で使用されるように、単数の言及（例えば、「ａ」、「ａｎ」、「第１」、「第２」など）は、複数を除外しない。本明細書で使用されるように、「ａ」または「ａｎ」エンティティという用語は、１つ以上のそのエンティティを指す。「ａ」（または「ａｎ」）、「１つ以上」、および「少なくとも１つ」という用語は、本明細書では互換的に使用することができる。さらに、複数の手段、要素、または方法アクションは、個別にリストされているが、例えば、単一のユニットまたはプロセッサによって実装され得る。さらに、個々の機能は、異なる例または特許請求の範囲に含まれ得るが、これらは、場合によっては組み合わされ得、異なる例または特許請求の範囲に含めることは、機能の組み合わせが実現可能でないおよび／または有利でないことを意味するものではない。

図５のプログラムは、ブロック５０２で始まり、ここで、例示的な構成コントローラ４０６は、Ｉ／Ｏスキャナ３０４が構成ツール１３４に通信可能に結合されているかどうかを判定する。そうである場合、制御は、ブロック５０４に進み、ここで、例示的な外部通信インターフェース４０２は、現在の安全アプリケーションを修正する要求が受信されたかどうかを判定する。そうである場合、制御は、ブロック５０６に進み、ここで、例示的な構成コントローラ４０６は、構成アドレスプラグ３２６が安全トリップデバイス１１０に存在するかどうかを判定する。そうである場合、制御は、ブロック５０８に進み、ここで、例示的な構成コントローラ４０６は、利用可能な安全アプリケーションをユーザに選択のために提供する。ユーザ選択を受信すると、ブロック５１０で、例示的な構成コントローラ４０６は、選択された安全アプリケーションがＩ／Ｏスキャナ３０４にすでにインストールされているかどうかを判定する。そうでない場合、制御は、ブロック５１２に進み、ここで、例示的な構成コントローラ４０６は、選択された安全アプリケーションをダウンロードおよびインストールするようにユーザに促す。いくつかの例では、ユーザは、そうするように促されることなく、（例えば、特定の安全アプリケーションをセットアップするためのプロセスを開始する前に）安全アプリケーションを個別にダウンロードし得る。そのようないくつかの例では、ユーザは、ユーザが、Ｉ／Ｏスキャナ３０４に新しい安全アプリケーションをインストールすることを望むことを単に示し得る。

アプリケーションがインストールされると、制御は、ブロック５１４に進む。ブロック５１０に戻ると、選択された安全アプリケーションがすでにインストールされている場合、制御は、ブロック５１４に直接進む。ブロック５１４で、例示的な構成コントローラ４０６は、ユーザに、選択された安全アプリケーションに関連付けられた構成設定に対する値を指定するように促す。ブロック５１６で、例示的な構成コントローラ４０６は、ユーザに、選択された安全アプリケーションに関連付けられた通信ポート設定を指定するように促す。その後、制御は、ブロック５１８に進む。

ブロック５０２に戻ると、Ｉ／Ｏスキャナ３０４が構成ツール１３４に通信可能に結合されていない場合、制御は、ブロック５１８に直接進む。同様に、ブロック５０４に戻ると、外部通信インターフェース４０２が現在の安全アプリケーションを修正する要求を受信していない場合、制御は、方向をブロック５１８に進める。同様に、ブロック５０６に戻ると、例示的な構成コントローラ４０６が、構成アドレスプラグ３２６が存在しない（例えば、ランタイムアドレスプラグが安全トリップデバイス１１０にある）と判定した場合、制御は、ブロック５１８に直接進む。ブロック５１８で、例示的なＩＯアナライザ４０８は、安全アプリケーションを実装するかどうかを判定する。いくつかの例では、この判定は、アプリケーションの構成が完了したこと、および／またはユーザがブロック５０８〜５１６に進んだ後にアプリケーションを実装することを望むことを示すユーザからのフィードバックに基づいて、行われる。この判定は、ブロック５０８〜５１６が、ブロック５０２〜５０６のうちのいずれか１つにおける判定に基づいてスキップされることを考慮して、システムのステータスに基づいて追加的または代替的に行われ得る。安全アプリケーションが実装されない場合、制御は、ブロック５２４に進む。安全アプリケーションが実装される場合、制御は、ブロック５２０に進み、ここで、例示的な構成コントローラ４０６は、構成アドレスプラグ３２６が安全トリップデバイス１１０内に存在するかどうかを再び判定する。この判定は、ブロック５０６で、安全アプリケーションの選択および／または構成への意図しない変更を防止するために行われるが、この同じ判定は、ブロック５２０で、現在選択および構成された安全アプリケーションの意図しない実装を防ぐために行われる。構成アドレスプラグ３２６が存在する場合、安全アプリケーションは、実装されず、制御は、ブロック５２４に進む。構成アドレスプラグ３２６が存在しない場合（例えば、ランタイムアドレスプラグが安全トリップデバイス１１０にある場合）、制御は、ブロック５２２に進み、ここで、例示的なＩ／Ｏアナライザ４０８は、安全アプリケーションに関連付けられた命令を実行する。その後、制御は、ブロック５０４に進み、ここで、プロセスを継続するかどうかが判定される。そうである場合、制御はブロック５０２に戻る。そうでなければ、図５の例示的なプロセスは終了する。

図６は、図３および／または図４のＩ／Ｏスキャナ３０４を実装するための図５の命令を実行するように構成された、例示的なプロセッサプラットフォーム６００のブロック図である。プロセッサプラットフォーム６００は、例えば、サーバ、パーソナルコンピュータ、ワークステーション、自己学習機械（例えば、ニューラルネットワーク）、モバイルデバイス（例えば、携帯電話、スマートフォン、ｉＰａｄ（登録商標）などのタブレット）または任意の他のタイプのコンピューティングデバイスであり得る。

示された例のプロセッサプラットフォーム６００は、プロセッサ６１２を含む。示された例のプロセッサ６１２は、ハードウェアである。例えば、プロセッサ６１２は、１つ以上の集積回路、論理回路、マイクロプロセッサ、ＧＰＵ、ＤＳＰ、または任意の所望のファミリまたは製造業者からのコントローラによって実装され得る。ハードウェアプロセッサは、半導体ベース（例えば、シリコンベース）のデバイスであってもよい。この例では、プロセッサは、例示的な構成コントローラ４０６および例示的なＩ／Ｏアナライザ４０８を実装する。

示された例のプロセッサ６１２は、ローカルメモリ６１３（例えば、キャッシュ）を含む。示された例のプロセッサ６１２は、バス６１８を介して、揮発性メモリ６１４および不揮発性メモリ６１６を含むメインメモリと通信している。揮発性メモリ６１４は、同期ダイナミックランダムアクセスメモリ（ＳＤＲＡＭ）、ダイナミックランダムアクセスメモリ（ＤＲＡＭ）、ＲＡＭＢＵＳ（登録商標）ダイナミックランダムアクセスメモリ（ＲＤＲＡＭ（登録商標））、および／または任意の他のタイプのランダムアクセスメモリデバイスによって実装されてもよい。不揮発性メモリ６１６は、フラッシュメモリおよび／または任意の他の所望のタイプのメモリデバイスによって実装されてもよい。メインメモリ６１４、６１６へのアクセスは、メモリコントローラによって制御される。この例では、不揮発性メモリ６１６は、メモリ４１０を含む。

示された例のプロセッサプラットフォーム６００は、インターフェース回路６２０も含む。インターフェース回路６２０は、イーサネットインターフェース、ユニバーサルシリアルバス（ＵＳＢ）、ブルートゥース（登録商標）インターフェース、近距離通信（ＮＦＣ）インターフェース、および／またはＰＣＩエクスプレスインターフェースなど、任意のタイプのインターフェース標準によって実装されてもよい。

示された例において、１つ以上の入力デバイス６２２がインターフェース回路６２０に接続されている。入力デバイス６２２（複数可）は、ユーザがデータおよび／またはコマンドをプロセッサ６１２に入力することを許可する。入力デバイス（複数可）は、例えば、音声センサ、マイクロホン、（静止画または動画）カメラ、キーボード、ボタン、マウス、タッチスクリーン、トラックパッド、トラックボール、アイソポイントデバイス、および／または音声認識システムによって実装され得る。

１つ以上の出力デバイス６２４も、示された例のインターフェース回路６２０に接続されている。出力デバイス６２４は、例えば、ディスプレイデバイス（例えば、発光ダイオード（ＬＥＤ）、有機発光ダイオード（ＯＬＥＤ）、液晶ディスプレイ（ＬＣＤ）、陰極線管ディスプレイ（ＣＲＴ）、インプレーススイッチング（ＩＰＳ）ディスプレイ、タッチスクリーンなど）、触覚出力デバイス、プリンタ、および／またはスピーカなどにより実装され得る。したがって、示された例のインターフェース回路６２０は、通常、グラフィックスドライバカード、グラフィックスドライバチップ、および／またはグラフィックスドライバプロセッサを含む。

示された例のインターフェース回路６２０はまた、送信機、受信機、トランシーバ、モデム、ホームゲートウェイ、無線アクセスポイント、および／またはネットワークインターフェースなどの通信デバイスを含み、ネットワーク６２６を介した外部機械（例えば、あらゆる種類のコンピューティングデバイス）とのデータ交換を容易にする。通信は、例えば、イーサネット接続、デジタル加入者線（ＤＳＬ）接続、電話線接続、同軸ケーブルシステム、衛星システム、サイトの無線システム、携帯電話システムなどを介することができる。この例では、インターフェース回路６２０は、例示的な外部通信インターフェース４０２および例示的なＩ／Ｏ通信インターフェース４０４を実装する。

示される例のプロセッサプラットフォーム６００は、ソフトウェアおよび／またはデータを保存するための１つ以上の大容量記憶デバイス６２８も含む。このような大容量記憶デバイス６２８の例には、フロッピーディスクドライブ、ハードドライブディスク、コンパクトディスクドライブ、ブルーレイディスクドライブ、独立ディスクの冗長アレイ（ＲＡＩＤ）システム、およびデジタル多用途ディスク（ＤＶＤ）ドライブが含まれる。この例では、大容量記憶デバイス６２８は、メモリ４１０を含む。

図５の機械実行可能命令６３２は、大容量記憶デバイス６２８、揮発性メモリ６１４、不揮発性メモリ６１６、および／あるいはＣＤまたはＤＶＤなどの取り外し可能な非一時的なコンピュータ可読記憶媒体に記憶され得る。

上記から、本明細書に開示される例は、ユーザに、特定の安全アプリケーションに対応する事前にプログラムされた命令を選択する能力を提供するため、既存の完全にプログラム可能なロジックソルバを使用するのに必要なものよりもはるかに少ない時間および労力で安全トリップデバイスのセットアップおよび構成を可能にする例示的な方法、装置、および製品が開示されたことが理解されよう。そのような事前にプログラムされた命令は、関連する安全コンプライアンス当局によって認証され得、それによって、エンドユーザに、そのような安全アプリケーションの信頼性により大きな確信を与え、および／または独自のアプリケーションを開発すること、およびそのようなアプリケーションに関する独自の認証を求めることの複雑さおよびコストが削減される。さらに、いくつかの例示的な安全トリップデバイスは、構成モジュールが挿入された場合にのみ、構成およびセットアップされ得、構成モジュールが取り外された後にのみ、実装され得、それによって、改ざんされやすい既存の完全にプログラム可能なロジックソルバよりも優れたセキュリティが提供される。本明細書に開示される例は、事前にプログラムされた命令に基づいて、はるかに容易なエンドユーザエクスペリエンスを提供する一方、本明細書に開示される例示的な安全トリップデバイスはまた、異なるタイプの安全アプリケーションに関連付けられた命令の複数の異なるセットを記憶し得るため、他の専用安全トリップデバイスおよび／または安全リレーよりもはるかに高い柔軟性も提供する。この柔軟性は、異なるタイプのＩ／Ｏ信号を取り扱い得る選択的に取り外し可能な終端モジュールを備えた例示的な安全トリップデバイスを実装することで可能になり、任意の特定の安全アプリケーションは、対象となる特定の安全アプリケーションに関わるＩ／Ｏ信号に対応する適切な終端モジュールを挿入するだけで実装され得る。

例１は、装置であって、構成コントローラであって、プロセス制御システムに関連付けられた、安全トリップデバイスによる実装のための複数の利用可能な安全アプリケーションを、ユーザに選択のために提供することであって、安全アプリケーションのうちの第１の安全アプリケーションは、Ｉ／Ｏ信号の第１のセットに関連付けられ、安全アプリケーションのうちの第２の安全アプリケーションは、Ｉ／Ｏ信号の第２のセットに関連付けられ、Ｉ／Ｏ信号の第１のセットは、Ｉ／Ｏ信号の第２のセットとは異なり、第１の安全アプリケーションは、安全トリップデバイスのメモリに記憶された第１の事前にプログラムされた命令に基づいて実装され、第２の安全アプリケーションは、安全トリップデバイスのメモリに記憶された第２の事前にプログラムされた命令に基づいて実装される、提供することと、第１の安全アプリケーションのユーザ選択に応答して、ユーザに、第１の安全アプリケーションに関連付けられた構成設定に対する値を指定するように促すことであって、第１の事前にプログラムされた命令は、構成設定を定義する、促すことと、を行うための構成コントローラと、ユーザによって指定された構成設定に対する値に基づいて、かつ第１の事前にプログラムされた命令に基づいて、第１の安全アプリケーションを実装するためのＩ／Ｏアナライザと、を備える、装置を含む。

例２は、例１の装置を含み、Ｉ／Ｏ信号の第１のセットは、第１のＩ／Ｏ数に対応し、Ｉ／Ｏ信号の第２のセットは、第２のＩ／Ｏ数に対応し、第１のＩ／Ｏ数は、第２のＩ／Ｏ数とは異なる。

例３は、例１の装置を含み、Ｉ／Ｏ信号の第１のセットは、異なるタイプのＩ／Ｏ信号の第１のサブセットに対応し、Ｉ／Ｏ信号の第２のセットは、異なるタイプのＩ／Ｏ信号の第２のサブセットに対応し、異なるタイプのＩ／Ｏ信号の第１のサブセットは、異なるタイプのＩ／Ｏ信号の第２のサブセットとは異なる。

例４は、例３の装置を含み、Ｉ／Ｏ信号の第１のセットは、安全トリップデバイスのハウジングによって保持される終端モジュールの第１のセットを介して、安全トリップデバイスのプロセッサとフィールドデバイスとの間で通信され、終端モジュールの第１のセットは、異なるタイプのＩ／Ｏ信号の第１のサブセットに対応する異なるタイプの終端モジュールを含む。

例５は、例４の装置を含み、終端モジュールの第１のセットのうちのいくつかは、ハウジング内で、終端モジュールの第２のセットのうちのいくつかによって選択的に交換可能であり、終端モジュールの第２のセットは、異なるタイプのＩ／Ｏ信号の第２のサブセットに対応する異なるタイプの終端モジュールを含む。

例６は、例１の装置を含み、複数の利用可能な安全アプリケーションは、メモリに記憶されたアプリケーションの第１のセットと、ダウンロード可能なアプリケーションの第２のセットと、を含む。

例７は、例１の装置を含み、複数の利用可能な安全アプリケーションのうちのいくつかは、ユーザに選択のために提供される前に、安全コンプライアンス当局によって認証される。

例８は、例１の装置を含み、構成コントローラは、構成アドレスプラグが安全トリップデバイスのハウジングのスロットに挿入されることに応答して、複数の利用可能な安全アプリケーションをユーザに選択のために提供し、ユーザが第１の安全アプリケーションに関連付けられた構成設定に対する値を指定することを可能にすることと、ランタイムアドレスプラグが安全トリップデバイスのハウジングのスロットに挿入されることに応答して、ユーザが、構成設定を変更すること、または、第１の安全アプリケーションから第２の安全アプリケーションに切り替えること、を防止することと、を行う。

例９は、命令を備える非一時的なコンピュータ可読媒体であって、命令は、実行されるとき、安全トリップデバイスに、少なくとも、プロセス制御システムに関連付けられた、安全トリップデバイスによる実装のための複数の利用可能な安全アプリケーションを、ユーザに選択のために提供することであって、安全アプリケーションのうちの第１の安全アプリケーションは、Ｉ／Ｏ信号の第１のセットに関連付けられ、安全アプリケーションのうちの第２の安全アプリケーションは、Ｉ／Ｏ信号の第２のセットに関連付けられ、Ｉ／Ｏ信号の第１のセットは、Ｉ／Ｏ信号の第２のセットとは異なり、第１の安全アプリケーションは、安全トリップデバイスのメモリに記憶された第１の事前にプログラムされた命令に基づいて実装され、第２の安全アプリケーションは、安全トリップデバイスのメモリに記憶された第２の事前にプログラムされた命令に基づいて実装される、提供することと、第１の安全アプリケーションのユーザ選択に応答して、ユーザに、第１の安全アプリケーションに関連付けられた構成設定に対する値を指定するように促すことであって、第１の事前にプログラムされた命令は、構成設定を定義する、促すことと、ユーザによって指定された構成設定に対する値に基づいて、かつ第１の事前にプログラムされた命令に基づいて、第１の安全アプリケーションを実装することと、を行わせる、非一時的なコンピュータ可読媒体を含む。

例１０は、例９の非一時的なコンピュータ可読媒体を含み、Ｉ／Ｏ信号の第１のセットは、第１のＩ／Ｏ数に対応し、Ｉ／Ｏ信号の第２のセットは、第２のＩ／Ｏ数に対応し、第１のＩ／Ｏ数は、第２のＩ／Ｏ数とは異なる。

例１１は、例９の非一時的なコンピュータ可読媒体を含み、Ｉ／Ｏ信号の第１のセットは、異なるタイプのＩ／Ｏ信号の第１のサブセットに対応し、Ｉ／Ｏ信号の第２のセットは、異なるタイプのＩ／Ｏ信号の第２のサブセットに対応し、異なるタイプのＩ／Ｏ信号の第１のサブセットは、異なるタイプのＩ／Ｏ信号の第２のサブセットとは異なる。

例１２は、例１１の非一時的なコンピュータ可読媒体を含み、Ｉ／Ｏ信号の第１のセットは、安全トリップデバイスのハウジングによって保持される終端モジュールの第１のセットを介して、安全トリップデバイスのプロセッサとフィールドデバイスとの間で通信され、終端モジュールの第１のセットは、異なるタイプのＩ／Ｏ信号の第１のサブセットに対応する異なるタイプの終端モジュールを含む。

例１３は、例１２の非一時的なコンピュータ可読媒体を含み、終端モジュールの第１のセットのうちのいくつかは、ハウジング内で、終端モジュールの第２のセットのうちのいくつかによって選択的に交換可能であり、終端モジュールの第２のセットは、異なるタイプのＩ／Ｏ信号の第２のサブセットに対応する異なるタイプの終端モジュールを含む。

例１４は、例９の非一時的なコンピュータ可読媒体を含み、複数の利用可能な安全アプリケーションは、メモリに記憶されたアプリケーションの第１のセットと、ダウンロード可能なアプリケーションの第２のセットと、を含む。

例１５は、例９の非一時的なコンピュータ可読媒体を含み、複数の利用可能な安全アプリケーションのうちのいくつかは、ユーザに選択のために提供される前に、安全コンプライアンス当局によって認証される。

例１６は、例９の非一時的なコンピュータ可読媒体を含み、命令は、安全トリップデバイスに、構成アドレスプラグが安全トリップデバイスのハウジングのスロットに挿入されることに応答して、複数の利用可能な安全アプリケーションをユーザに選択のために提供し、ユーザが第１の安全アプリケーションに関連付けられた構成設定に対する値を指定することを可能にすることと、ランタイムアドレスプラグが安全トリップデバイスのハウジングのスロットに挿入されることに応答して、ユーザが、構成設定を変更すること、または、第１の安全アプリケーションから第２の安全アプリケーションに切り替えること、を防止することと、をさらに行わせる。

例１７は、方法であって、プロセス制御システムに関連付けられた、安全トリップデバイスによる実装のための複数の利用可能な安全アプリケーションを、ユーザに選択のために提供することであって、安全アプリケーションのうちの第１の安全アプリケーションは、Ｉ／Ｏ信号の第１のセットに関連付けられ、安全アプリケーションのうちの第２の安全アプリケーションは、Ｉ／Ｏ信号の第２のセットに関連付けられ、Ｉ／Ｏ信号の第１のセットは、Ｉ／Ｏ信号の第２のセットとは異なり、第１の安全アプリケーションは、安全トリップデバイスのメモリに記憶された第１の事前にプログラムされた命令に基づいて実装され、第２の安全アプリケーションは、安全トリップデバイスのメモリに記憶された第２の事前にプログラムされた命令に基づいて実装される、提供することと、第１の安全アプリケーションのユーザ選択に応答して、ユーザに、第１の安全アプリケーションに関連付けられた構成設定に対する値を指定するように促すことであって、第１の事前にプログラムされた命令は、構成設定を定義する、促すことと、ユーザによって指定された構成設定に対する値に基づいて、かつ第１の事前にプログラムされた命令に基づいて、第１の安全アプリケーションを実装することと、を備える、方法を含む。

例１８は、例１７の方法を含み、Ｉ／Ｏ信号の第１のセットは、第１のＩ／Ｏ数に対応し、Ｉ／Ｏ信号の第２のセットは、第２のＩ／Ｏ数に対応し、第１のＩ／Ｏ数は、第２のＩ／Ｏ数とは異なる。

例１９は、例１７の方法を含み、Ｉ／Ｏ信号の第１のセットは、異なるタイプのＩ／Ｏ信号の第１のサブセットに対応し、Ｉ／Ｏ信号の第２のセットは、異なるタイプのＩ／Ｏ信号の第２のサブセットに対応し、異なるタイプのＩ／Ｏ信号の第１のサブセットは、異なるタイプのＩ／Ｏ信号の第２のサブセットとは異なる。

例２０は、例１９の方法を含み、Ｉ／Ｏ信号の第１のセットは、安全トリップデバイスのハウジングによって保持される終端モジュールの第１のセットを介して、安全トリップデバイスのプロセッサとフィールドデバイスとの間で通信され、終端モジュールの第１のセットは、異なるタイプのＩ／Ｏ信号の第１のサブセットに対応する異なるタイプの終端モジュールを含む。

例２１は、例２０の方法を含み、終端モジュールの第１のセットのうちのいくつかは、ハウジング内で、終端モジュールの第２のセットのうちのいくつかによって選択的に交換可能であり、終端モジュールの第２のセットは、異なるタイプのＩ／Ｏ信号の第２のサブセットに対応する異なるタイプの終端モジュールを含む。

例２２は、例１７の方法を含み、複数の利用可能な安全アプリケーションは、メモリに記憶されたアプリケーションの第１のセットと、ダウンロード可能なアプリケーションの第２のセットと、を含む。

例２３は、例１７の方法を含み、複数の利用可能な安全アプリケーションのうちのいくつかは、ユーザに選択のために提供される前に、安全コンプライアンス当局によって認証される。

例２４は、例１７の方法を含み、構成アドレスプラグが安全トリップデバイスのハウジングのスロットに挿入されることに応答して、複数の利用可能な安全アプリケーションをユーザに選択のために提供し、ユーザが第１の安全アプリケーションに関連付けられた構成設定に対する値を指定することを可能にすることと、ランタイムアドレスプラグが安全トリップデバイスのハウジングのスロットに挿入されることに応答して、ユーザが、構成設定を変更すること、または、第１の安全アプリケーションから第２の安全アプリケーションに切り替えること、を防止することと、をさらに含む。

例２５は、安全トリップデバイスであって、バックプレーンを含むハウジングと、それぞれのスロットを含む端子ブロックであって、スロットは、終端モジュールの第１のセットを受信して、プロセス制御システムに関連付けられた第１の安全アプリケーションに関連付けられたフィールドデバイスの第１のセットと通信し、スロットは、終端モジュールの第２のセットを受信して、プロセス制御システムに関連付けられた第２の安全アプリケーションに関連付けられたフィールドデバイスの第２のセットと通信する、端子ブロックと、バックプレーンを介して端子ブロックのスロット内の終端モジュールと通信するためのＩ／Ｏスキャナであって、Ｉ／Ｏスキャナは、第１の安全アプリケーションの動作を定義する第１の事前にプログラムされた命令を記憶し、第２の安全アプリケーションの動作を定義する第２の事前にプログラムされた命令を記憶するためのメモリを含む、Ｉ／Ｏスキャナと、を備える、安全トリップデバイスを含む。

ある例示的なシステム、方法、装置、および製造物品が本明細書で開示されてきたが、本特許の対象範囲はそれに限定されない。それどころか、本特許は、本特許の特許請求の範囲の範囲内にかなり加わるすべてのシステム、方法、装置、および製造物品をカバーする。

以下の特許請求の範囲は、本明細書により、この参照によりこの詳細な説明に組み込まれ、各特許請求の範囲は、本開示の別個の実施形態として独立している。

Claims (24)

1. 構成コントローラであって、
   プロセス制御システムに関連付けられた、安全トリップデバイスによる実装のための複数の利用可能な安全アプリケーションを、ユーザに選択のために提供することであって、前記安全アプリケーションのうちの第１の安全アプリケーションは、Ｉ／Ｏ信号の第１のセットに関連付けられ、前記安全アプリケーションのうちの第２の安全アプリケーションは、Ｉ／Ｏ信号の第２のセットに関連付けられ、前記Ｉ／Ｏ信号の第１のセットは、前記Ｉ／Ｏ信号の第２のセットとは異なり、前記第１の安全アプリケーションは、前記安全トリップデバイスのメモリに記憶された第１の事前にプログラムされた命令に基づいて実装され、前記第２の安全アプリケーションは、前記安全トリップデバイスの前記メモリに記憶された第２の事前にプログラムされた命令に基づいて実装される、提供することと、
   前記第１の安全アプリケーションのユーザ選択に応答して、前記ユーザに、前記第１の安全アプリケーションに関連付けられた構成設定に対する値を指定するように促すことであって、前記第１の事前にプログラムされた命令は、前記構成設定を定義する、促すことと、を行うための構成コントローラと、
   前記ユーザによって指定された前記構成設定に対する値に基づいて、かつ前記第１の事前にプログラムされた命令に基づいて、前記第１の安全アプリケーションを実装するためのＩ／Ｏアナライザと、を備える、装置。
2. 前記Ｉ／Ｏ信号の第１のセットは、第１のＩ／Ｏ数に対応し、前記Ｉ／Ｏ信号の第２のセットは、第２のＩ／Ｏ数に対応し、前記第１のＩ／Ｏ数は、前記第２のＩ／Ｏ数とは異なる、請求項１に記載の装置。
3. 前記Ｉ／Ｏ信号の第１のセットは、異なるタイプのＩ／Ｏ信号の第１のサブセットに対応し、前記Ｉ／Ｏ信号の第２のセットは、前記異なるタイプのＩ／Ｏ信号の第２のサブセットに対応し、前記異なるタイプのＩ／Ｏ信号の前記第１のサブセットは、前記異なるタイプのＩ／Ｏ信号の前記第２のサブセットとは異なる、請求項１に記載の装置。
4. 前記Ｉ／Ｏ信号の第１のセットは、前記安全トリップデバイスのハウジングによって保持される終端モジュールの第１のセットを介して、前記安全トリップデバイスのプロセッサとフィールドデバイスとの間で通信され、前記終端モジュールの第１のセットは、前記異なるタイプのＩ／Ｏ信号の前記第１のサブセットに対応する異なるタイプの終端モジュールを含む、請求項３に記載の装置。
5. 前記終端モジュールの第１のセットのうちのいくつかは、前記ハウジング内で、終端モジュールの第２のセットのうちのいくつかによって選択的に交換可能であり、前記終端モジュールの第２のセットは、前記異なるタイプのＩ／Ｏ信号の前記第２のサブセットに対応する異なるタイプの終端モジュールを含む、請求項４に記載の装置。
6. 前記複数の利用可能な安全アプリケーションは、前記メモリに記憶されたアプリケーションの第１のセットと、ダウンロード可能なアプリケーションの第２のセットと、を含む、請求項１に記載の装置。
7. 前記複数の利用可能な安全アプリケーションのうちのいくつかは、前記ユーザに選択のために提供される前に、安全コンプライアンス当局によって認証される、請求項１に記載の装置。
8. 前記構成コントローラは、
   構成アドレスプラグが前記安全トリップデバイスのハウジングのスロットに挿入されることに応答して、前記複数の利用可能な安全アプリケーションを前記ユーザに選択のために提供し、前記ユーザが前記第１の安全アプリケーションに関連付けられた構成設定に対する値を指定することを可能にすることと、
   ランタイムアドレスプラグが前記安全トリップデバイスの前記ハウジングの前記スロットに挿入されることに応答して、前記ユーザが、前記構成設定を変更すること、または、前記第１の安全アプリケーションから前記第２の安全アプリケーションに切り替えること、を防止することと、を行う、請求項１に記載の装置。
9. 命令を備える非一時的なコンピュータ可読媒体であって、前記命令は、実行されるとき、安全トリップデバイスに、少なくとも、
   プロセス制御システムに関連付けられた、前記安全トリップデバイスによる実装のための複数の利用可能な安全アプリケーションを、ユーザに選択のために提供することであって、前記安全アプリケーションのうちの第１の安全アプリケーションは、Ｉ／Ｏ信号の第１のセットに関連付けられ、前記安全アプリケーションのうちの第２の安全アプリケーションは、Ｉ／Ｏ信号の第２のセットに関連付けられ、前記Ｉ／Ｏ信号の第１のセットは、前記Ｉ／Ｏ信号の第２のセットとは異なり、前記第１の安全アプリケーションは、前記安全トリップデバイスのメモリに記憶された第１の事前にプログラムされた命令に基づいて実装され、前記第２の安全アプリケーションは、前記安全トリップデバイスの前記メモリに記憶された第２の事前にプログラムされた命令に基づいて実装される、提供することと、
   前記第１の安全アプリケーションのユーザ選択に応答して、前記ユーザに、前記第１の安全アプリケーションに関連付けられた構成設定に対する値を指定するように促すことであって、前記第１の事前にプログラムされた命令は、前記構成設定を定義する、促すことと、
   前記ユーザによって指定された前記構成設定に対する値に基づいて、かつ前記第１の事前にプログラムされた命令に基づいて、前記第１の安全アプリケーションを実装することと、を行わせる、非一時的なコンピュータ可読媒体。
10. 前記Ｉ／Ｏ信号の第１のセットは、第１のＩ／Ｏ数に対応し、前記Ｉ／Ｏ信号の第２のセットは、第２のＩ／Ｏ数に対応し、前記第１のＩ／Ｏ数は、前記第２のＩ／Ｏ数とは異なる、請求項９に記載の非一時的なコンピュータ可読媒体。
11. 前記Ｉ／Ｏ信号の第１のセットは、異なるタイプのＩ／Ｏ信号の第１のサブセットに対応し、前記Ｉ／Ｏ信号の第２のセットは、異なるタイプのＩ／Ｏ信号の第２のサブセットに対応し、前記異なるタイプのＩ／Ｏ信号の前記第１のサブセットは、前記異なるタイプのＩ／Ｏ信号の前記第２のサブセットとは異なる、請求項９に記載の非一時的なコンピュータ可読媒体。
12. 前記Ｉ／Ｏ信号の第１のセットは、前記安全トリップデバイスのハウジングによって保持される終端モジュールの第１のセットを介して、前記安全トリップデバイスのプロセッサとフィールドデバイスとの間で通信され、前記終端モジュールの第１のセットは、前記異なるタイプのＩ／Ｏ信号の前記第１のサブセットに対応する異なるタイプの終端モジュールを含む、請求項１１に記載の非一時的なコンピュータ可読媒体。
13. 前記終端モジュールの第１のセットのうちのいくつかは、前記ハウジング内で、終端モジュールの第２のセットのうちのいくつかによって選択的に交換可能であり、前記終端モジュールの第２のセットは、前記異なるタイプのＩ／Ｏ信号の前記第２のサブセットに対応する異なるタイプの終端モジュールを含む、請求項１２に記載の非一時的なコンピュータ可読媒体。
14. 前記複数の利用可能な安全アプリケーションは、前記メモリに記憶されたアプリケーションの第１のセットと、ダウンロード可能なアプリケーションの第２のセットと、を含む、請求項９に記載の非一時的なコンピュータ可読媒体。
15. 前記複数の利用可能な安全アプリケーションのうちのいくつかは、前記ユーザに選択のために提供される前に、安全コンプライアンス当局によって認証される、請求項９に記載の非一時的なコンピュータ可読媒体。
16. 前記命令は、前記安全トリップデバイスに、
    構成アドレスプラグが前記安全トリップデバイスのハウジングのスロットに挿入されることに応答して、前記複数の利用可能な安全アプリケーションを前記ユーザに選択のために提供し、前記ユーザが前記第１の安全アプリケーションに関連付けられた構成設定に対する値を指定することを可能にすることと、
    ランタイムアドレスプラグが前記安全トリップデバイスの前記ハウジングの前記スロットに挿入されることに応答して、前記ユーザが、前記構成設定を変更すること、または、前記第１の安全アプリケーションから前記第２の安全アプリケーションに切り替えること、を防止することと、を行う、請求項９に記載の装置。
17. プロセス制御システムに関連付けられた、安全トリップデバイスによる実装のための複数の利用可能な安全アプリケーションを、ユーザに選択のために提供することであって、前記安全アプリケーションのうちの第１の安全アプリケーションは、Ｉ／Ｏ信号の第１のセットに関連付けられ、前記安全アプリケーションのうちの第２の安全アプリケーションは、Ｉ／Ｏ信号の第２のセットに関連付けられ、前記Ｉ／Ｏ信号の第１のセットは、前記Ｉ／Ｏ信号の第２のセットとは異なり、前記第１の安全アプリケーションは、前記安全トリップデバイスのメモリに記憶された第１の事前にプログラムされた命令に基づいて実装され、前記第２の安全アプリケーションは、前記安全トリップデバイスの前記メモリに記憶された第２の事前にプログラムされた命令に基づいて実装される、提供することと、
    前記第１の安全アプリケーションのユーザ選択に応答して、前記ユーザに、前記第１の安全アプリケーションに関連付けられた構成設定に対する値を指定するように促すことであって、前記第１の事前にプログラムされた命令は、前記構成設定を定義する、促すことと、
    前記ユーザによって指定された前記構成設定に対する値に基づいて、かつ前記第１の事前にプログラムされた命令に基づいて、前記第１の安全アプリケーションを実装することと、を備える、方法。
18. 前記Ｉ／Ｏ信号の第１のセットは、第１のＩ／Ｏ数に対応し、前記Ｉ／Ｏ信号の第２のセットは、第２のＩ／Ｏ数に対応し、前記第１のＩ／Ｏ数は、前記第２のＩ／Ｏ数とは異なる、請求項１７に記載の方法。
19. 前記Ｉ／Ｏ信号の第１のセットは、異なるタイプのＩ／Ｏ信号の第１のサブセットに対応し、前記Ｉ／Ｏ信号の第２のセットは、異なるタイプのＩ／Ｏ信号の第２のサブセットに対応し、前記異なるタイプのＩ／Ｏ信号の前記第１のサブセットは、前記異なるタイプのＩ／Ｏ信号の前記第２のサブセットとは異なる、請求項１７に記載の方法。
20. 前記Ｉ／Ｏ信号の第１のセットは、前記安全トリップデバイスのハウジングによって保持される終端モジュールの第１のセットを介して、前記安全トリップデバイスのプロセッサとフィールドデバイスとの間で通信され、前記終端モジュールの第１のセットは、前記異なるタイプのＩ／Ｏ信号の前記第１のサブセットに対応する異なるタイプの終端モジュールを含む、請求項１９に記載の方法。
21. 前記終端モジュールの第１のセットのうちのいくつかは、前記ハウジング内で、終端モジュールの第２のセットのうちのいくつかによって選択的に交換可能であり、前記終端モジュールの第２のセットは、前記異なるタイプのＩ／Ｏ信号の前記第２のサブセットに対応する異なるタイプの終端モジュールを含む、請求項２０に記載の方法。
22. 前記複数の利用可能な安全アプリケーションは、前記メモリに記憶されたアプリケーションの第１のセットと、ダウンロード可能なアプリケーションの第２のセットと、を含む、請求項１７に記載の方法。
23. 前記複数の利用可能な安全アプリケーションのうちのいくつかは、前記ユーザに選択のために提供される前に、安全コンプライアンス当局によって認証される、請求項１７に記載の方法。
24. 構成アドレスプラグが前記安全トリップデバイスのハウジングのスロットに挿入されることに応答して、前記複数の利用可能な安全アプリケーションを前記ユーザに選択のために提供し、前記ユーザが前記第１の安全アプリケーションに関連付けられた構成設定に対する値を指定することを可能にすることと、
    ランタイムアドレスプラグが前記安全トリップデバイスの前記ハウジングの前記スロットに挿入されることに応答して、前記ユーザが前記構成設定を変更すること、または、前記第１の安全アプリケーションから前記第２の安全アプリケーションに切り替えること、を防止することと、をさらに行わせる、請求項１７に記載の方法。
    

Images