JP5823861B2

JP5823861B2 - 冗長電源

Info

Publication number: JP5823861B2
Application number: JP2011526575A
Authority: JP
Inventors: ジェイムズランパード，メルビン; ダグラスウェーバー，ラッセル
Original assignee: クーパーテクノロジーズカンパニー
Priority date: 2008-09-15
Filing date: 2009-09-14
Publication date: 2015-11-25
Anticipated expiration: 2029-09-14
Also published as: JP2012503457A; EP2327132B1; WO2010029375A1; CN102150339A; CN102150339B; EP2327132A1; CA2735985C; CA2735985A1; GB0816844D0

Description

本発明は、冗長電源に関する。より詳細には、本質的安全回路における冗長性に関し、さらに、本質的安全回路における機能的冗長性のために複数の本質的安全出力を多重化する装置、及びその方法に関する。

工業的に危険な環境は、ガス、又は微粉の潜在的な爆発性混合物が置かれる場所を含むことができる。

本質的安全（Intrinsically Safe）は、電気装置が危険な環境での爆発の原因になることを防止するために使用される概念である。本質的安全（ＩＳ）システムは、危険な環境に配置されるＩＳ装置（フィールド回路（field Circuit）、又はフィールド装置（field device）として知られる）と、電源とＩＳ装置との間の危険でない領域（すなわち安全な領域）に配置される電力制限装置（ＩＳバリア、ガルバニック絶縁器）と、付随する配線とを備える。本質的安全システムにおいて、設備の全ては、故障状態においても潜在的な爆発性ガス混合物の発火するために十分なエネルギー、又は電力を供給する可能性がないように設計され、かつ設置される。

ＩＳシステムは、フィールド装置へのアクセスしやすさが非常に制限されることが多く、かつ重要な構成素子の故障により費用がかかるだけでなく、重要な構成素子の故障が潜在的に高い危険性を有するが、ＩＳシステムにおいて、信頼性は、特に重要な要因である。システムにおける構成素子、又は回路の冗長性、又は重複は、システムの信頼性を高めるための１つの方法であり、セーフティクリティカルな回路は、主回路が機能しなくなる場合に始動可能な等価的な従回路となるように、冗長的に供給されることが多い。

ＩＳシステムは、リアルタイムに分配される制御システム、特に危険な領域を有する製造工場において一般的になりつつあり、フィールドバスの本質的安全の概念（Fieldbus Intrinsic Safe COncept、ＦＩＳＣＯ）として知られる本質的安全フィールドバスシステムのＩＥＣ規格（ＩＥＣ６００７９−２７）に基づく。

ＦＩＳＣＯシステムにおいて、アクティブな電源（電力調整器、又は電力供給ユニット）は、セグメント当たり１つのみ認められる。他の全ての構成素子は、パッシブな電流シンク（passive current sinks、機器）として作動しなければならない。保守に備えてセグメントの全ての装置が機能しなくなることを防止する必要があるシステムにおいて、１つが機能しなくなり、又は交換する必要がある場合に、電源間を切り替える手段とともに、１つ、又は２つ以上の冗長な電源ユニット（ＰＵＳ）を設置することが可能である。

欧州において、危険な環境、及び防爆領域は、いわゆるＺｏｎｅに分類される。Ｚｏｎｅ０、１、及び２の間で区分され、Ｚｏｎｅ０は、可燃雰囲気が長期間、又は連続的に存在する可能性が高い最も慎重に対処すべき区域である。Ｚｏｎｅ１においては、可燃雰囲気である可能性はあるが、長期間に亘り存在する可能性はなく、Ｚｏｎｅ２においては、典型的には処理故障状態により生じる短期間の間を除き、可燃雰囲気は、存在する可能性がない。

また、これらの危険な環境Ｚｏｎｅに対応する電気設備のための本質的安全３つのカテゴリが承認されている。本質的安全「ｉａ」、又は略して「Ｅｘｉａ」は、Ｚｏｎｅ０、１、及び２に適応する設備であり、「Ｅｘｉｂ」は、Ｚｏｎｅ１、及び２にのみ適合し、「Ｅｘｉｃ」は、Ｚｏｎｅ２にのみ適合する。

米国特許出願第２００４／０２５２４２８号では、電流制限抵抗を使用する防爆領域の電気負荷のＩＳが説明され、冗長な電流‐電圧供給のための装置が説明される。

米国特許出願第２００４／０１４５８４３号では、コントローラ動作用の電源の電圧感知、及び逆バイアス感知を有するＮチャネルＦＥＴを使用して共通負荷への２つ以上の電源の接続を絶縁し、かつ配列する始動防止回路が説明される。

公知のＩＳ冗長システム、及びその方法に関連する問題は、電源の切換えの間にただ１つの入力電源が負荷に接続されることを保障しないことである。必要なものは、不安全な状態、すなわち出力負荷に同時に接続される１つより多い入力電源が生じる可能性がある状態でないことを保障するために、切換えの間に負荷から全ての入力電源が十分に不接続であることを保障されるシステムである。

したがって、本発明の目的は、負荷がＺｏｎｅ１、又は２に搭載されるときに２つのＦＩＳＣＯＰＳＵが冗長な予備構造で動作し、いずれの時点でも入力電源の１つの最大が出力負荷に接続される、いわゆる冗長ＦＩＳＣＯＰＳＵスキームの要求に対応するシステム、及びその方法を提供することである。

具体的には、本発明は、ＦＩＳＣＯシステムの実施に適し、そのシステムの冗長ＰＳＵを提供するが、これには限定されない。

本発明は、ＩＳ回路の機能的冗長性のためにＩＳ出力のＩＳ出力を多重化する方法を提供するとともに、マルチプレクサを実施するために多段スイッチング設備を提供することを探求する。

本発明の第１の態様に従うと、機能的冗長性のための複数の本質的安全入力を多重化する方法であって、本質的安全出力に接続される複数のスイッチングモジュールと、複数の本質的安全入力電源から複数のスイッチングモジュールそれぞれへの実質的に同一の複数の入力とを使用して、スイッチングモジュールそれぞれの間の複数のインタロック信号を使用して、最大で１つのスイッチングモジュールがいずれの時点でもアクティブになることを可能にすることにより、複数の入力電源からの複数の入力の最大で１つを本質的安全出力に接続することを可能にし、代替的なスイッチングモジュールへのスイッチングの間に本質的安全出力に接続される入力がない期間である保障最小期間をさらに提供するステップを含む方法が提供される。

好適には使用中に、２つのスイッチングモジュールを使用して、他方が冗長であるとき、一方のスイッチングモジュールがアクティブになるようにする。

好適には、代替的なスイッチングモジュールへのスイッチングの間に本質的安全出力に接続される入力がない期間である保障最小期間は、少なくとも１０μｓであり（最小期間は、安全を保障し、又は立証するなど）、５００μｓの最大期間を有する（最大期間は、接続されるフィールド設備のいずれにも不利な機能的影響がないことを保障するなど）。

好適には、アクティブなモジュールの入力、又はアクティブなモジュール自体が機能しなくなる場合、出力は、代替的なスイッチングモジュールに自動的に切り替わる。

好適には、入力の少なくとも１つが本質的安全出力に接続されるときに、複数のスイッチングモジュールのいずれか１つ、及び複数の本質的安全入力電源のいずれか１つは、除去可能である。これは、出力に接続される１つ、又は２つ以上のＩＳ装置に電力が供給される間に、構成素子の修理が可能であり、また構成素子の置換が可能であることを意味する。

好適には、機械的インタロックは、関連する入力が存在するときに、スイッチングモジュールの除去を防止するように配置されるスイッチングモジュールそれぞれに提供される。有利には、これにより、入力の過渡的な結合を防止し、スイッチングモジュールの故障解析、及び電子設計を単純化する。

好適には、複数の入力のそれぞれは、本質的安全電源からの、特にはＦＩＳＣＯＰＳＵからの安定化した電流及び／又は電圧を備える。入力が本質的安全電源からであることを保障することにより、出力は、「Ｅｘｉｂ」フィールド回路を駆動するのに適する。

好適には、危険論理機能、及び非危険論理機能を制御する論理回路は、物理的に分離される。具体的な有利な配置では、危険論理機能は、個別論理を使用して実施され、非危険論理機能は、単一のチップマイクロプロセッサ上で実施される。

本発明のさらなる態様に従うと、複数の本質的安全入力を多重化するスイッチング回路であって、本質的安全出力に接続され、かつそれぞれが実質的に同一の複数の入力の１つを受信するように配置される複数のスイッチングモジュールを備え、スイッチングモジュールそれぞれは、いずれの時点でも複数の入力の最大で１つが本質的安全出力に接続されることを可能にするように配置されるロック手段を有し、ロック手段は、代替的なスイッチングモジュールへのスイッチングの間に本質的安全出力に接続される入力がない期間である保障最小期間をさらに提供するように配置される回路が提供される。

好適には、ロック手段は、複数のスイッチング手段のそれぞれの間の複数のロック信号を有する。

好適には、出力は、スイッチング回路に印加される最小で１つの加算的な故障によっても本質的安全を維持する。

本発明のさらなる態様に従うと、機能的冗長性のために複数の本質的安全入力を多重化するシステムであって、複数の入力電源と、本質的安全出力に接続される複数のスイッチングモジュールを有するスイッチング回路とを備え、モジュールそれぞれは、実質的に同一の複数の入力の１つを複数の入力電源から受信するように配置され、スイッチングモジュールそれぞれは、いずれの時点でも複数の入力の最大で１つが本質的安全出力に接続されることを可能にするように配置されるロック手段を有し、ロック手段は、代替的なスイッチングモジュールへのスイッチングの間に本質的安全出力に接続される入力がない期間である保障最小期間をさらに提供するように配置されるシステムが提供される。

以下、本発明は添付図面を参照して例示のみの方法でさらに説明される。

本発明に係る１つの実施形態に従う二重冗長ＦＩＳＣＯＰＳＵスキームの回路ブロックを概略的に示す図である。本発明に係る１つの実施形態に従う二重冗長ＦＩＳＣＯＰＳＵスキームの一般化した論理ブロックを概略的に示す図である。本発明に係る１つの実施形態に従う二重冗長ＦＩＳＣＯＰＳＵスキームの論理ブロックをより詳細に示す図である。本発明に係る１つの実施形態に従う二重冗長ＦＩＳＣＯＰＳＵスキームの簡明な論理シミュレーションの回路ブロックを概略的に示す図である。図４の論理シミュレーションにおいてシミュレーション動作から取得される一連のプロットを示す図である。

図１を参照すると、「Ｅｘｉｂ」フィールド回路を駆動するのに適する二重冗長構造において、２つのＰＩＳＣＯＰＳＵ装置が、同一の電気システムに接続可能であるスキームが示される。システム１０は、２つの物理領域に分離される。安全領域１２、及びＺｏｎｅ１危険領域１４である。安全領域１２内部では、第１のＦＩＳＣＯＰＳＵ（ＰＳＵ＿Ａ）１６、及び第２のＦＩＳＣＯＰＳＵ（ＰＳＵ＿Ｂ）２２は、第１のスイッチ調停モジュール（Switch Arbitration Module、ＳＡＭ）２８、及びＳＡＭ３０にそれぞれ接続される。ＰＳＵ＿Ａ１６は、第１のローカル電源１８により駆動され、第１の通信ポート２０に接続される。同様に、ＰＳＵ＿Ｂ２２は、第２のローカル電源２４により駆動され、第２の通信ポート２６に接続される。ＳＡＭ２８、及び３０は、バックプレーンインタロック信号３２により互いに接続されて、ＩＳスイッチング回路３３を形成する。ＳＡＭ２８、及び３０からの出力は、危険領域１４の「Ｅｘｉｂ」負荷３４に共通に接続される。

このＩＳスイッチング回路３３は、機能的ＰＳＵ１６、及び２２を選択するために、スイッチングによりＰＳＵ故障に応答するように配置される。システム１０は、システム１０が機能続ける間に、故障したＰＳＵ、又はＳＡＭの修理、交換、又は除去が可能なように配置される。インタロックは、ただ１つのＰＳＵが危険領域負荷３４に常に接続されることを保障することを含む。

活線での保守の間にＰＳＵの過渡的な組合せに対して適切な保護を維持するために、ＳＡＭそれぞれは、関連するＰＳＵが存在する間にＳＡＭの除去、又は挿入を防止する機械的インタロックを含む。これにより、ＳＡＭは、通電されるときに決して除去、又は交換される可能性がないことが保障される。したがって、ＳＡＭを「活線交換」（hot swapping）するとき、ＳＡＭは、通電されていないことが保障される。しかしながら、他のＳＡＭからのインタフェース信号は、アクティブのままであろう。

ＳＡＭそれぞれ内部の論理は、異なる２つの部分である「機能論理」（functional logic）、及び「危険論理」（hazardous logic）に分離されて実施される。安全のために、危険論理部は、個別論理の構成素子（discrete logic components）を使用して実行される。しかしながら、機能論理部は、単一のチップマイクロプロセッサ（ＭＰＵ）を使用して、より効果的に実施することが可能である。

図２は、本発明に従うＩＳスイッチング回路３３の一般化した実施を示す図である。ここで同等な素子は、同等な符号で識別される。第１のＳＡＭ２８は、信号ａ１によりスイッチＳＡ１を制御する論理ブロック３６と、信号ａ２によりスイッチＳＡ２を制御する論理ブロック３８とを有する。第２のＳＡＭ３０は、信号ｂ１によりスイッチＳＢ１を制御する論理ブロック４０と、信号ｂ２によりスイッチＳＢ２を制御する論理ブロックとを有する。２つのＳＡＭ２８、及び３０は、インタロック信号３２を有するインタフェースにより相互接続される。

ＳＡＭの保護機能は、
ａ）フィールド回路３４への２つのＦＩＳＣＯＰＳＵ１６、及び２２の危険な組合せを防止することと、
ｂ）切換えの間にＰＳＵ＿Ａ１６、及びＰＳＵ＿Ｂ２２がいずれも負荷に接続されない保障最小「オフ期間」（off period）によって、「ブレークビフォメーク」（break before make）を提供することと、
である。

フィールド回路が「Ｅｘｉｂ」を許可されることを意図するため、保護のこのレベルは、相互接続される２つのＳＡＭ２８、及び３０と、そのインタロック信号接続３２との組合せに適用される最大で１つの可算的な故障（one countable fault）によって維持される必要がある。ここで、１つの可算的な故障は、開路、短絡、又は他の抵抗値の故障にしてもよい。これを考慮して、予見不可能な論理故障、又は論理状態のリスクを最小化するように、以下の設計基準が規定される。
ａ）論理は、ステートマシンとして設計されることになる
ｂ）全ての状態は、公表される（declared）ことになる
ｃ）４つの全ての論理ブロック３６、３８、４０、及び４２が同時にオンする状態は、通常動作、又は単一の可算的な故障が印加されることにより生じるであろういずれの状態遷移を介して決して入らない「不許可」（disallowed）状態にすることになるであろう。このような状態が生じる場合、ステートマシンは、４つの論理ブロック３６、３８、４０、及び４２の少なくとも２つが「オフ」にスイッチングされるより安全な状態に遷移するように早急に、かつ無条件に試みるように配置される
ｄ）論理ブロック３６、３８、４０、及び４２のいずれか３つが同時に「オン」する状態は、通常動作により生じるであろういずれの状態遷移を介しての決してはいらない「不許可」状態にすることになるであろう。このような状態が生じる場合、ステートマシンは、４つの論理ブロック３６、３８、４０、及び４２の少なくとも２つが「オフ」にスイッチングされるより安全な状態に遷移するように早急に、かつ無条件に試みるように配置される
ｅ）スイッチ論理回路３６、３８、４０、及び４２それぞれは、論理電圧の低電圧検出、及び過電圧クランプにより保護されるように配置される
ｆ）ＳＡＭ２８、及び３０それぞれ内部の半導体電源スイッチＳＡ１、ＳＡ２、ＳＢ１、及びＳＢ２それぞれは、論理に電力が印加されないときは「ノーマリオフ」（normally off）がデフォルトであるように配置される。

図２に示すように、一般化されたＳＡＭの実施可能な２つのステートマシンを実施することが考えられる。第１の実施では、中間トランクＡ１、及びＢ１、並びに出力トランクＣの感知電圧のみを使用する。第２の実施では、ａ１、ａ２、ｂ１、及びｂ２を使用して（「ａ１、及びｂ１」をゲート制御する）、不要な遷移状態を良好に制御し、かつ、アイドル状態（idle state）にせざるおう得ないことを保障する。この外部制御は、適正な「Ｅｘｉｂ」ソリュージョンに本質的であるとは考えられないが、保護を向上させるためには好適である。しかしながら、「ａ１、及びｂ１」のゲート制御は、無制限な開路インタフェース故障のためにＳＡＭを活線交換可能にする場合は、使用することはできない。

信号ａ１、ａ２、ｂ１、及びｂ２がインタフェースを介して遷移するとき（「ａ１、及びｂ１」をゲート制御する）、設計基準を使用して、対称性を有する以下の保護論理式を図２の回路の実施のために抽出してもよい。

ここで、

＝Ｂ１の論理的な反転
ａ１＋＝ａ１の次の状態
・＝項のＡＮＤ論理
＋＝項のＯＲ論理
である。

図３は、上述の安全論理式を実行する図１のＩＳスイッチング回路３３の一般化された論理ブロックを概略的に示す図である。図１、及び２に示すように、システムは、相互接続信号３２により接続される第１のＳＡＭモジュール２８と、第２のＳＡＭモジュール３０とを有する。強調して示される接続は、ＰＳＵ＿Ａ１６、及びＰＳＵ＿Ｂ２２から危険領域負荷３４へ電力が流れる経路を示す。

電圧検出器ａ９、及びｂ９は、ＰＳＵ入力電圧の妥当性を判定し、論理信号Ｖ_AOK、及びＶ_BOKとして送信する機能的（非安全）構成素子である。これらの信号、並びに手動押しボタンＡ３６、及び押しボタンＢ３８は、機能論理ブロックＭＰＵ_A、及びＭＰＵ_Bに提供される。機能論理ブロックＭＰＵ_A、及びＭＰＵ_Bは、機能信号ＥＮＡ、及びＥＮＢそれぞれを使用してローカルスイッチＳＡ１、ＳＡ２、ＳＢ１、及びＳＢ２をオフすることが可能なマイクロプロセッサで実施される。図示されないが、電圧検出器ａ９、及びｂ９は、出力Ｖ_AOK、及びＶ_BOKを判定するために、信号を交換することができる。

スイッチＳＡ１、ＳＡ２、及びＳＢ１、ＳＢ２は、論理信号ａ１、ａ２、及びｂ１、ｂ２によりそれぞれ制御される半導体スイッチである。スイッチは、ローカル論理電源が不足する場合、ノーマリオープンになるように配置される。

低電圧検出器（図示せず）は、ローカル論理電源が不足電圧の場合、関連するスイッチを強制的に開にする反転論理信号Ｕ_VOLTA1、Ｕ_VOLTA2、及びＵ_VOLTB1、Ｕ_VOLTB2を提供する。

ＭＰＵ_A、及びＭＰＵ_Bの論理機能は、反転出力ＲＥＳＥＴ_A、及びＲＥＳＥＴ_Bをそれぞれ提供する関連する監視検出器を有する。関連するマイクロプロセッサがリセットされる場合に、半導体スイッチＳＡ１、ＳＡ２、及びＳＢ１、ＳＢ２を強制的にオフする機能論理信号がある。

論理ゲートａ１、ａ２、ａ１０、及びｂ１、ｂ２、ｂ１０、並びに関連するインバータ、及びバッファは、上述の状態遷移式を実施する。

タイマＴＡ１、ＴＡ２、及びＴＢ１、ＴＢ２は、立ち上がり入力を３０μｓから６８μｓ遅延させるが、立ち下り入力では遅延がほぼゼロである非対称タイミング回路である。関連するゲート制御（ＴＡ１のａ３、及びａ４など）によって、これらのタイマは、「ブレークビフォメーク」の保障されるブレーク時間の提供を実施する。多重タイマは、可算的な故障が印加されるときでさえも、この遅延が保障されることを保障する。

中間トランク電圧検出器ａ８、ａ１６、ａ１２、ａ５、及びｂ８、ｂ１６、ｂ１２、ｂ５は、関連するトランク電圧が２．３Ｖ〜３．７Ｖの範囲のしきい値電圧を超えるかを検出する。低電圧しきい値は、５Ｖ論理を電源供給するために十分なトランク電圧があるとき、インタロック信号が有効であることを保障することによって、トランク電圧が４．５Ｖ（最小動作論理電源）を超過するときに、ただ１つのスイッチモジュールが常に「オン」できることを保障する。出力トランク電圧検出器１７、及び１７は、出力トランク電圧が７．６Ｖ〜１１Ｖの範囲のしきい値電圧を超えるかを検出する。比較的高い電圧を選択して、フィールド負荷がほとんどないときにスイッチング遅延を最小化することによって、フィールドバス線路終端容量は、電力が除去されるときに、徐々に放電する。

ドライバａ１４、ａ１５、及びｂ１４、ｂ１５は、「ａ２、及びｂ２」のゲート制御機能が可能な出力を提供する。ドライバは、いずれかの単一の可算的な故障が印加されることによって出力が「オフ」（Ｌｏｗ）に落ちる可能性がないように配置される。

抵抗ＲＡ１〜ＲＡ１４、及びＲＢ１〜ＲＢ１４は、機能回路と、危険領域保護論理との間の間違いのない保護を提供する。抵抗値は、機能論理内のいずれの短絡条件によっても危険領域保護機能内の危険な故障をもたらさないように選択される。

Ａ１、及びＢ１ゲート制御（ａ５、ａ１２、及びｂ５、ｂ１２をそれぞれ介する）は、キャリアにより中間トランクＡ１、及びＢ２をルーティングすることにより実施される。出力接続の開路故障は、インタロック信号３２の喪失を生じるが、危険領域１４への電力を同時に切断する。

スイッチＳＡ２、及びＳＢ２の論理制御は、スイッチＳＡ１、及びＳＢ２それぞれの論理制御の出力から動作される「カスケード」（cascade）である。これにより、スイッチそれぞれがオンするとき、「グレーコード化された」（Gray-coded）シーケンスを実施する。

以下の説明は、危険領域保護の様々なレイヤに関する。

論理項目ａ５、ａ２、ａ３、ａ４、ＳＡ１、ｂ５、ｂ２、ｂ３、ｂ４、及びＳＢ１は、双安定（bistable）を形成し、常にＳＡ１、又はＳＡ２がオンすることのみを可能にする。

いずれかの項目に印加される単一の可算的な故障は、状態を変化させるが、ＳＡ１、及びＳＡ２の双方を常に導電することはできない。

論理が電圧供給されることを保障するときに、トランク電圧検出器ａ５、及びｂ５が有効な出力を有することによって、双安定動作が保障されるように、論理電源低電圧検出器ｎｏｔ−Ｕ_VOLTA1、及びｎｏｔ−Ｕ_VOLTA2が、４．５Ｖより低い電圧で動作する。

論理項目ａ１６、ａ１２、ａ１０、ａ１１、ＳＡ２、Ｂ１６、ｂ１２、ｂ１０、ｂ１１、及びＳＢ２は、先により詳細に説明されたように、過渡的な性能に主として関係する。しかしながら、補助的な保護機能もまた、この論理により提供される。論理は、反対する中間トランクＡ１、又はＢ１がオンの場合、スイッチＳＡ１、又はＳＢ１がオフするようになる。またこの論理は、ＳＡ１、及びＳＢ１により形成されるフリップフロップが互いに接続される２つの出力Ａ１、及びＢ１を決して有さないために、双安定として動作できることを保障する。ＳＡ２、又はＳＢ２の論理のいずれかが機能しなくなり、他のＳＡＭがオンであるときにＳＡ２、又はＳＢ２が「オン」状態にある場合、機能しなくなったＳＡ２、又はＳＢ２を介する（Ａ１、又はＢ１への）反転条件によって、スイッチは、状態を変化させて、「３つのスイッチがオン」（three switch on）状態から「2つのスイッチがオン」（two switch on）状態に遷移する。

ａ６、ａ２、ａ１３、ａ１０、ａ１４、ａ１５、ｂ６、ｂ２、ｂ１３、ｂ１０、ｂ１４、及びｂ１５により提供される論理ゲート制御は、上述の「ａ２、及びｂ２」ゲート制御機能を実施する。ゲート制御の目的は、不要な遷移状態を認識することにより不要な遷移状態が生じることを防止し、これにより状態遷移は、より安全なアイドル状態になるように主に配置されることである。しかしながら、静的な危険状態の発生に対する付加的な保護をも提供する。

出力、相互接続、及び入力は、単一の可算的な故障により全て「オフ」にならないように配置される。

タイマＴＡ１、及びＴＢ１は、スイッチが状態を変化させる保障最小「ブレーク」（break）期間を保障する遅延を提供する。タイマＴＡ１、又はＴＢ１のいずれかに印加される可算的な故障は、一方の方向、又は他方の方向において状態変化が生じたときにこの保護を破ることになるであろう。しかしながら、タイマＴＡ２、及びＴＢ２は、ＴＡ１、及びＴＢ１と協働して動作し、切換えブレーク遅延は、ＴＡ１、又はＴＢ１に印加される可算的な故障に関わらず生ずる。

原理的には、ＳＡ１、及びＳＢ１により形成される双安定は、ＴＡ１、及びＴＢ１が正しく動作さえすれば、スイッチＳＡ１、及びＳＢ１の双方は過渡的な不安定状態に入る可能性はない。タイマＴＡ２、及びＴＢ２は、トランクＡ１、及びＢ１の過渡信号が出力Ｃに伝播することを防止する。ＴＡ１、又はＴＢ１が単一の可算的な故障により故障した場合でさえも、過渡信号は、ＳＡＭモジュールの１つのみを介して伝播する可能性はあるが、双方を介して伝播する可能性はない。

スイッチＳＡ２（及びＳＢ２）は、オンするときに、ＳＡ１（及びＳＢ１）に対して連続的に動作する。これは、論理項目ａ１６（及びｂ１６）を介してＡ１（及びＢ１）の状態を感知することによる。このシーケンスは、出力に伝播する「オン」過渡信号を最小化することを意図する。最大の安全を実現するように、オフするときに、スイッチＳＡ１、及びＳＢ１の双方（及びＳＢ１、及びＳＢ２）が同時にオフするので、コーディングは、厳密にはグレーコード化されていない。このシーケンスは、単一の換算的な故障が印加されるとき、不確実である。

論理項目ａ８、及びｂ８は、出力タンクＣを感知し、切換えの間、出力トランク電圧が７．６Ｖ〜１１Ｖの範囲のしきい値電圧を下回るまで、スイッチがオンすることを防止する。これにより、他方のスイッチがオンできる前に、先にアクティブなスイッチの切断が（ある程度）確かめられるようにシーケンスを効果的に提供することになるであろう。保護は、単一の可算的な故障を利用することによって破られる可能性がある。

上述のように、システムは、保障切断（ブレーク）間隔で２つのＰＳＵの間による「ブレークビフォメーク」切換えを保障しなければならない。最小ブレーク間隔の大きさは、ＳＡＭがオンオフするときの様々なクリティカル回路を介するワーストケースの伝播遅延に依存する。安全のために、オンの最小時間遅延は、オフの最大遅延を超えることを保障するように設計され、これら２つの遅延の差異は、保障されるブレーク間隔を示す。設計では、間隔は、１０μｓを超えなければならない。これは、他方のＰＳＵの再接続によって、焼夷危険（incendive hazard）のリスクの増加をもたらさないであろうところまで、潜在的な焼夷条件が低下しているであろうと一般に理解される期間である。しかしながら、フィールドバスの応用では、間隔は、最大許容可能なドロップアウト間隔である５００μｓを超えてはいけない。

図３に関して、以下の表は、ＳＡＭの安全な構成素子それぞれのオンオフの計算される時間遅延を示す。

表は、最小ブレークマージン（一方のタイマが機能しなくなり、他方が最小遅延を提供すると仮定する）＝３０μｓ−１３μｓ＝１７μｓであることを示す。

図４は、ＳＡＭ論理シミュレーションの簡明な論理シミュレーションの回路を概略的に示す図である。スイッチの論理、及びゲート電圧は、０．５Ｖのしきい値を有する１Ｖの論理電圧に正規化される。ＰＳＵ＿Ａ１６、及びＰＳＵ＿Ｂ２２は、５Ｖの供給に正規化される。

非対称タイマは、ゲートＧ１、Ｇ２、Ｇ３、及びＧ４について２０μｓの立ち上がり時間を規定し、事実上１０μｓにタイマそれぞれを規定する（５０％しきい値）ことにより、実施される。通常動作のプロットは、図５に示される。

図５のプロットは、相互接続されるＳＡＭの状態における多くの事象の効果を示す。シミュレーションでは、ＰＳＵ＿Ａは、ＰＳＵ＿Ｂの前に起動する。そしてスイッチ制御信号ａ１、及びａ２は、「オン」を連続させて、ＳＡ１、及びＳＡ２を介して負荷にＰＳＵ＿Ａを接続する。

次いで、押しボタンＡ３６が動作して、ａ１、及びａ２がＬｏｗになり、ＰＳＵ＿Ａ１６を負荷から切断する。次いで、ｂ１、及びｂ２は、「オン」を連続させて、ＳＢ１、及びＳＢ２を介して負荷にＰＳＵ＿Ｂ２２を接続する。

次いで、押しボタンＢ３８が動作して、ｂ１、及びｂ２がＬｏｗになり、ＰＳＵ＿Ｂ２２を負荷から切断し、ａ１、及びａ２が「オン」を連続する。最後に、ＰＳＵ＿Ａ１６は、Ｌｏｗに落ちて、ａ１、及びａ２がＬｏｗになり、ｂ１、及びｂ２がオンを連続して、ＰＳＵ＿Ｂ２２をオンラインにする。

シミュレーションにおけるブレーク遅延は、切換えそれぞれで２０μｓ程度であり、２０μｓの立ち上がり時間と５０％のしきい値に基づいて、ゲートＧ１、Ｇ２、Ｇ３、及びＧ４のそれぞれから１０μｓに等しいことが理解できる。

理解されるであろうように、本発明は、本質的安全システムにおける冗長な電力を提供するために特に効果的、かつ信頼性があるスキームを提供可能である。本質的安全は、代替的な入力が出力に接続される前に、接続される電源が十分に切断されるという事実により少なくとも部分的に保障される。

本発明は、前述の実施形態の特定の詳細には限定されず、ＦＩＳＣＯＰＳＵではない本質的安全入力の発明に使用されるような代替手段は、本発明の概念の一部として含まれる。

Claims

機能的冗長性のための複数の本質的安全入力を多重化する方法であって、
本質的安全出力に接続される複数のスイッチングモジュールと、
複数の本質的安全入力電源から前記複数のスイッチングモジュールそれぞれへの実質的に同一の複数の入力と、
を使用し、前記スイッチングモジュールそれぞれの間の複数のインタロック信号を使用して、最大で１つのスイッチングモジュールがいずれの時点でもアクティブになることを可能にすることにより、前記複数の本質的安全入力電源からの前記複数の実質的に同一の入力の最大で１つを前記本質的安全出力に接続することを可能にし、
代替的なスイッチングモジュールへのスイッチングの間に前記本質的安全出力に接続される入力がない期間である保障最小期間をさらに提供するステップを含む方法。
２つのスイッチングモジュールを具備する請求項１に記載の方法。
代替的なスイッチングモジュールへの前記スイッチングの間に前記本質的安全出力に接続される入力がない期間である前記保障最小期間は、少なくとも危険な組合せの可能性を取り除くために必要な時間であるか、又は全ての電源が負荷から切断されることを立証する（テストの間）ために必要な時間である請求項１、又は請求項２に記載の方法。
代替的なスイッチングモジュールへの前記スイッチングの間に前記本質的安全出力に接続される入力がない期間である前記保障最小期間は、接続されるＩＳ負荷装置のドロップアウト特性に依存する最大期間を有する請求項１〜３のいずれか一項に記載の方法。
アクティブなスイッチングモジュールの前記入力が機能しなくなる場合に、代替的なスイッチングモジュールに自動的にスイッチングするステップをさらに備える請求項１〜４のいずれか一項に記載の方法。
アクティブなスイッチングモジュールが機能しなくなる場合に、代替的なスイッチングモジュールに自動的にスイッチングするステップをさらに備える請求項１〜５のいずれか一項に記載の方法。
前記入力の少なくとも１つが前記本質的安全出力に接続されるときに、前記複数のスイッチングモジュールのいずれか１つ、及び前記複数の本質的安全入力電源のいずれか１つは、除去可能である請求項１〜６のいずれか一項に記載の方法。
関連する入力が存在するときに、前記スイッチングモジュールの除去を防止するように配置されるスイッチングモジュールそれぞれのための機械的インタロックを提供するステップをさらに有する請求項１〜７のいずれか一項に記載の方法。
前記複数の実質的に同一の入力のそれぞれは、本質的安全電源からの安定化した電流及び／又は電圧を備える請求項１〜８のいずれか一項に記載の方法。
前記本質的安全入力電源は、ＦＩＳＣＯＰＳＵを備える請求項９に記載の方法。
前記出力は、「Ｅｘｉｂ」フィールド回路を駆動するのに適する請求項１〜１０のいずれか一項に記載の方法。
危険論理機能、及び非危険論理機能を制御する論理回路を物理的に分離するステップをさらに有する請求項１〜１１のいずれか一項に記載の方法。
個別論理を使用して前記危険論理機能を実施し、単一のチップマイクロプロセッサ上で前記非危険論理機能を実施するステップをさらに有する請求項１２に記載の方法。
複数の本質的安全入力を多重化するスイッチング回路であって、
本質的安全出力に接続され、かつそれぞれが実質的に同一の複数の入力の１つを受信するように配置される複数のスイッチングモジュールを備え、
スイッチングモジュールそれぞれは、いずれの時点でも前記複数の実質的に同一の入力の最大で１つが前記本質的安全出力に接続されることを可能にするように配置されるロック手段を有し、
前記ロック手段は、代替的なスイッチングモジュールへのスイッチングの間に前記本質的安全出力に接続される入力がない期間である保障最小期間をさらに提供するように配置されるスイッチング回路。
２つのスイッチングモジュールを具備する請求項１４に記載のスイッチング回路。
前記ロック手段は、前記複数のスイッチングモジュールのそれぞれの間の複数のロック信号を提供する請求項１４に記載のスイッチング回路。
代替的なスイッチングモジュールへの前記スイッチングの間に前記本質的安全出力に接続される入力がない期間である前記保障最小期間は、少なくとも危険な組合せの可能性を取り除くために必要な時間であるか、又は全ての電源が負荷から切断されることを立証する（テストの間）ために必要な時間である請求項１４、請求項１５、又は請求項１６のいずれか一項に記載のスイッチング回路。
代替的なスイッチングモジュールへの前記スイッチングの間に前記本質的安全出力に接続される入力がない期間である前記保障最小期間は、接続されるＩＳ負荷装置のドロップアウト特性に依存する最大期間を有する請求項１４〜１７のいずれか一項に記載のスイッチング回路。
使用時に、アクティブなスイッチングモジュールの入力が機能しなくなる場合に、代替的なスイッチングモジュールに自動的にスイッチングするように配置される請求項１４〜１８のいずれか一項に記載のスイッチング回路。
使用時に、アクティブなスイッチングモジュールが機能しなくなる場合に、代替的なスイッチングモジュールに自動的にスイッチングするように配置される請求項１４〜１９のいずれか一項に記載のスイッチング回路。
使用時に、外部指令に応答して、代替的なスイッチングモジュールにスイッチングするように配置される請求項１４〜２０のいずれか一項に記載のスイッチング回路。
使用時に、他のスイッチング回路の少なくとも１つが前記出力に接続されるときに、前記複数のスイッチングモジュールのいずれか１つは、除去可能である請求項１４〜２１のいずれか一項に記載のスイッチング回路。
前記複数のスイッチングモジュールのいずれかは、関連する入力が存在するときに、前記スイッチングモジュールの前記除去を防止するように配置される機械的インタロックを備える請求項２２に記載のスイッチング回路。
前記複数の実質的に同一の入力は、本質的安全電源からの安定化した電流及び／又は電圧を備える請求項１４〜２３のいずれか一項に記載のスイッチング回路。
前記本質的安全電源は、ＦＩＳＣＯＰＳＵである請求項２４に記載のスイッチング回路。
前記出力は、「Ｅｘｉｂ」フィールド回路を駆動するのに適する請求項１４〜２５のいずれか一項に記載のスイッチング回路。
内部の危険論理機能を制御する論理回路は、非危険論理機能を制御する論理回路から物理的に分離される請求項１４〜２６のいずれか一項に記載のスイッチング回路。
個別論理を使用して前記危険論理機能が実施され、単一のチップマイクロプロセッサ上で前記非危険論理機能が実施される請求項２７に記載のスイッチング回路。
前記出力は、前記スイッチング回路に印加される最小で１つの加算的な故障によっても本質的安全を維持する請求項１４〜２８のいずれか一項に記載のスイッチング回路。
機能的冗長性のために複数の本質的安全入力を多重化するシステムであって、
複数の入力電源と、
スイッチング回路であって、
本質的安全出力に接続される複数のスイッチングモジュールを有し、それぞれのスイッチングモジュールは、実質的に同一の複数の入力の１つを前記複数の入力電源から受信するように配置されるスイッチング回路と、
を備え、スイッチングモジュールそれぞれは、いずれの時点でも前記複数の実質的に同一の入力の最大で１つが前記本質的安全出力に接続されることを可能にするように配置されるロック手段を有し、
さらに前記ロック手段は、代替的なスイッチングモジュールへのスイッチングの間に前記本質的安全出力に接続される入力がない期間である保障最小期間を提供するように配置されるシステム。