JP6310946B2 - 不具合インジケータを備える保護監視システム - Google Patents

Description

本明細書において開示される主題は、広くには、保護システムの監視に関する。

いくつかのシステム（例えば、工業オートメーションシステム）は、種々の機能を実行する機械（例えば、タービン）を備えている。更に、いくつかのシステムは、機械が自身、人員、又はシステムの他の部分に被害を及ぼす可能性を減らすために、機械を特定の許容パラメータのもとで動作させる保護システム（例えば、センサ及び制御システム）を備えている。そのような保護システムは、保護システムが適正に機能しており、「ＯＫ」であることを確認する保護監視システム（例えば、保護システムのセンサの機能及び接続を検証する）を備えることができる。

更に、これらの保護システムは、保護システムの機能を差し止める種々の方法を提供することができる。例えば、運転者は、測定されるパラメータが通常の動作状態の外側に発生することが予想される場合（例えば、保守時の警報停止、トリップ乗算、など）に、１つ以上の警報を差し止めることができる。しかしながら、停止、迂回、又は不具合が保護システムにおいて生じると、保護監視システムは、保護システムが「非ＯＫ」であり、或いは適正に機能していない旨を知らせることができる。非ＯＫの状態が知らされたとき、ユーザは、その状態が重大な不具合、非重大な不具合、ユーザによる停止、迂回、及び／又は他の重要なシステムのイベントのいずれに起因するのかを、判断することができない。代わりに、そのようなシステムにおいては、ユーザが、保護システム及び／又は工業オートメーションシステムのログを調べて非ＯＫの状態の原因を突き止めなければならないため、ユーザの作業効率が低下し、且つ／又はユーザが非ＯＫの状態を無視する結果となる。

欧州特許出願公開第２５１８４５７号公報

本発明の１つ以上の具体的な実施形態を、以下で説明する。それらの実施形態の簡潔な説明を提供する努力において、必ずしも実際の実施例におけるすべての特徴は、明細書において説明されないことがある。そのようなあらゆる実際の実施例の開発においては、あらゆる工学又は設計プロジェクトと同様に、実施例毎に様々であり得るシステム関連及び事業関連の制約の順守等の開発者の具体的な目標を達成するために、実施例に特有の多数の決定を行わなければならないことを、理解すべきである。更に、そのような開発の努力が、複雑且つ時間を必要とするものであり得るが、それでもなお本明細書の開示の恩恵を被る当業者にとって設計、製作、及び製造の日常的な取り組みにすぎないと考えられることを、理解すべきである。

一実施形態において、保護監視システムは、保護不具合ハンドラを備える。保護不具合ハンドラは、保護不具合インジケータを備える。保護不具合ハンドラは、保護不具合信号の表示時に保護不具合インジケータを作動させるように構成される。更に、保護不具合信号は、保護監視システムによって監視される保護システムにおいて発生した重大な不具合を示している。保護監視システムは、ユーザ停止ハンドラを更に備える。ユーザ停止ハンドラは、ユーザ停止インジケータを備える。更に、ユーザ停止ハンドラは、ユーザ停止信号の表示時にユーザ停止インジケータを作動させるように構成される。更に、ユーザ停止信号は、ユーザによって有効にされる警報停止又はユーザによって有効にされる迂回を示している。

別の実施形態において、工業オートメーションシステムは、機械を保護するように構成された保護システムを備える。工業オートメーションシステムは、保護監視システムを更に備える。保護監視システムは、保護システムにおいて重大な不具合が生じたか否かに関する第１の種類の警報が検出されたときに作動するように構成された保護不具合リレーを備える。保護監視システムは、ユーザによる停止又はユーザによって有効にされる迂回の有効化に関する第２の種類の警報が検出されたときに作動するように構成されたユーザ停止インジケータを更に備える。更に、保護監視システムは、第１又は第２の種類の警報に分類されない種類の不具合に関する第３の種類の警報が検出されたときに作動するように構成された注意インジケータを備える。

更なる実施形態においては、一時的でないコンピュータ可読媒体が、インストラクションを含んでいる。インストラクションは、保護システムのクリティカルパスにおいて不具合が発生しているか否かに関する第１の種類の警報が発生したか否かを判断するように構成されている。インストラクションは、第１の種類の警報が発生した場合に保護不具合リレーを作動させるように更に構成されている。更に、インストラクションは、ユーザによって有効にされる停止又はユーザによって有効にされる迂回が保護システムにおいて有効であるか否かに関する第２の種類の警報が発生したか否かを判断するように構成されている。更に、インストラクションは、第２の種類の警報が発生した場合にユーザ停止インジケータを作動させるように構成されている。

本発明のこれらの特徴、態様、及び利点、並びに他の特徴、態様、及び利点が、以下の詳細な説明を添付の図面を参照して検討したときに、よりよく理解されるであろう。添付の図面において、類似の文字は、図面の全体を通して類似の部分を表している。

工業オートメーションシステムの実施形態のブロック図である。 警報ハンドラを１つだけ備える図１の工業オートメーションシステムの実施形態の概略図である。 保護不具合ハンドラ及びユーザ停止ハンドラを備える図１の工業オートメーションシステムの実施形態の概略図である。 保護不具合ハンドラ、ユーザ停止ハンドラ、及び注意ハンドラを備える図１の工業オートメーションシステムの実施形態の概略図である。 工業オートメーションシステムの保護システムを監視するための方法の一実施形態のフロー図である。

本発明の１つ以上の具体的な実施形態を、以下で説明する。それらの実施形態の簡潔な説明を提供する努力において、必ずしも実際の実施例におけるすべての特徴は、明細書において説明されないことがある。そのようなあらゆる実際の実施例の開発においては、あらゆる工学又は設計プロジェクトと同様に、実施例毎に様々であり得るシステム関連及び事業関連の制約の順守等の開発者の具体的な目標を達成するために、実施例に特有の多数の決定を行わなければならないことを、理解すべきである。更に、そのような開発の努力が、複雑且つ時間を必要とするものであり得るが、それでもなお本明細書の開示の恩恵を被る当業者にとって設計、製作、及び製造の日常的な取り組みにすぎないと考えられることを、理解すべきである。

本発明の種々の実施形態の構成要素を紹介するとき、冠詞「１つの（ａ）」、「１つの（ａｎ）」、「前記（ｔｈｅ）」、及び「前記（ｓａｉｄ）」は、その構成要素が１つ以上存在することを意味するように意図される。用語「ｃｏｍｐｒｉｓｉｎｇ（備える）」、「ｉｎｃｌｕｄｉｎｇ（含む）」、及び「ｈａｖｉｎｇ（有する）」は、包含であるように意図され、そこに挙げられた構成要素以外の更なる構成要素が存在してもよいことを意味する。

以下で詳しく説明されるとおり、不具合及び停止機能を保護監視システムの対応するハンドラへと仕分けするシステムが開示される。

例えば、不具合保護ハンドラは、工業オートメーションシステムのための保護システムのクリティカルパスにおける重大な不具合の判断及び／又は処置に専用であってよい。重大な不具合に専用のハンドラを備えることで、検出された重大な不具合の性質を、より容易に判断することができる。更に、不具合保護ハンドラを、些細な不具合及び／又は迂回におけるシャットダウンの恐れなく、不具合保護リレーを使用して、保護に不具合がある機械１２及び／又は工業オートメーションシステムをシャットダウンするために使用することができる。システムは、ユーザ停止ハンドラ及び／又は注意ハンドラなどの追加のハンドラを更に含むことができる。これらのハンドラを、問題をさらなる分類へと仕分けするために使用することができる。例えば、ユーザ停止ハンドラを、ユーザが保護システムの機能を停止又は迂回させた旨を知らせるために使用することができ、注意ハンドラを、重大でない不具合が生じたこと、及び／又は工業オートメーションシステムにおける重要なイベントについて未だ認知の応答がなされていないことを知らせるために使用することができる。これらの問題をそのような粒度を有するハンドラへと仕分けすることによって、運転者は、工業オートメーションシステムにおいて保護システムの動作がどのような不具合及び／又は停止によって妨げられているのかをより迅速に判断し、且つ／又は重大な問題に専用のリレーによって対処することができる。

図１は、タービンシステム又は自動化可能な工業システムなどの工業オートメーションシステム１０のブロック図である。図示の工業オートメーションシステム１０は、機械１２と、保護監視システム１４と、制御システム１６とを含んでいる。他の実施形態において、工業オートメーションシステム１０は、監視装置などのさらなる装置を含むことができる。更に、工業オートメーションシステム１０の特定の実施形態は、機械１２及び／又は制御システム１６に統合された保護システム１７を備えることができる。いくつかの実施形態において、保護システム１７は、工業オートメーションシステム１０の他の部分から離れ、別個であってよい。

保護システム１７は、機械１２についての種々の制約の範囲内で所望の目標を達成すべく機械１２を動作させるように制御システム１６を拘束する。換言すると、制御システム１６及び／又は保護システム１７を、動作パラメータが許容可能な水準を超えて変化することに起因する損傷から機械１２を保護するために使用することができる。例えば、特定の実施形態において、制御システム１６は、ニューヨーク州ＳｃｈｅｎｅｃｔａｄｙのＧｅｎｅｒａｌ Ｅｌｅｃｔｒｉｃ（登録商標）から入手することができるＭＫ ＶＩ又はＭＫ ＶＩｅに設けられた制御システムと同様の制御システムなどを含むことができる。いくつかの実施形態において、保護監視システム１４は、やはりニューヨーク州ＳｃｈｅｎｅｃｔａｄｙのＧｅｎｅｒａｌ Ｅｌｅｃｔｒｉｃ（登録商標）から入手することができるＢｅｎｔｌｙ Ｎｅｖａｄａ（商標）Ａｓｓｅｔ Ｃｏｎｄｉｔｉｏｎ Ｍｏｎｉｔｏｒｉｎｇを備える３５００ Ｓｅｒｉｅｓ Ｍａｃｈｉｎｅｒｙ Ｐｒｏｔｅｃｔｉｏｎ Ｓｙｓｔｅｍと同様の保護監視システムを含むことができる。機械１２は、工業オートメーションシステム１０の機械機能部分（例えば、エンジン、圧縮機、燃焼器、搬送ベルト、発電機、入口ガイドベーン（ＩＧＶ）、ポンプ、ターボエキスパンダ、など）を含むことができる。例えば、工業オートメーションシステム１０がガスタービンシステムである実施形態において、機械１２は、タービン及び／又は他の機械機能部分（例えば、圧縮機）を含むことができる。

更に、保護システム１７は、種々のシステム診断及び監視装置（例えば、センサ、トランスデューサ、それらの間の配線、など）を含むことができる。保護監視システム１４は、保護システム１７の機能及び接続を監視する。換言すると、保護監視システム１４は、機械１２が保護システム１７によって正しく保護されていることを確認する。いくつかの実施形態において、保護システム１７は、機械１２の保護及び保護の状態の監視を行う１つのシステムへと基本的に統合された保護監視システム１４を含むことができる。特定の実施形態においては、保護監視システム１４を、コンピューティングデバイス（例えば、プロセッサを有する電子装置）上に格納されたソフトウェアを使用して実現することができる。例えば、いくつかの実施形態において、保護監視システム１４を、メモリ、ディスクドライブ、光ドライブ、又は他の種類の記憶装置などのコンピュータ可読媒体に記憶されたインストラクションとして格納することができる。特定の実施形態においては、これらのインストラクションを、制御システム１６、運転者装置、又は遠隔サーバによって記憶及び／又は実行することができる。他の実施形態においては、保護監視システム１４を、ハードウェア回路を用いて実現することができる。例えば、いくつかの実施形態においては、保護監視システム１４を、制御システム１６を囲んでいるハウジング内に配置することができる。後述されるように、保護監視システム１４は、保護システム１７に不具合があると判断される場合に、不具合に対処し、且つ／又はユーザ／運転者に警報を出して、機械１２が保護されていない旨を知らせることができる。

図２は、機械１２と、保護監視システム１４と、制御システム１６とを含む工業オートメーションシステム１０の概略図である。更に、図示のとおり、機械１２の特定の実施形態は、タービン１８及び発電機２０を含む。機械１２のいくつかの実施形態は、さらなる機械機能部分（例えば、圧縮機、など）を含むことができる。いくつかの実施形態において、機械１２のタービン１８、発電機２０、及び／又は他の機械的に機能する装置は、機械１２の種々の動作パラメータを明らかにするために使用することができる１つ以上のセンサ２２を含むことができる。特定の実施形態において、センサ２２は、振動センサ、温度センサ、速度センサ、圧力センサ、及び／又は機械１２の種々の動作パラメータを測定することができる他の適切なセンサを含むことができる。例えば、温度を測定するように構成されたセンサ２２を、発電機２０のベアリング又は潤滑油の温度を測定するために発電機２０に配置でき、更に／或いは速度を測定するように構成されたセンサ２２を、タービン１８の回転速度を明らかにするためにタービン１８に配置することができる。センサ２２は、機械１２の種々の動作パラメータを測定し、情報を保護監視システム１４及び／又は制御システム１６へと渡す。

センサ２２から送られる情報を使用し、制御システム１６は、機械１２の種々の動作パラメータを決定する。例えば、より多くの電力を生成するために、制御システム１６は、測定される温度が制御システム１６によって設定される限界に近付くまで、燃料混合物及び／又は燃料消費量を調節することによって燃焼器内の燃焼温度を高めることができる。いくつかの実施形態においては、１つ以上の動作パラメータ（例えば、燃焼温度、タービン回転数、気圧、振動）が許容範囲の外へと変化する場合に、保護システム１７及び／又は制御システム１６は、パラメータを許容範囲内に戻すように１つ以上の関連する因子を調節する（例えば、より多くの燃料を噴射する、ＩＧＶの角度を調整する）ことができる。或る実施形態においては、測定される動作パラメータが許容範囲の外へと変化する場合に、制御システム１６は、機械１２の損傷を避けるために機械１２をシャットダウンさせることができる。

図示の実施形態において、保護監視システム１４は、ただ１つの警報ハンドラ２４を備えている。更に、保護監視システム１４は、センサ２２及び／又は制御システム１６から測定値を受信する。保護監視システム１４及び／又は制御システム１６は、機械１２の保護に不具合が発生していないことを確認する。保護監視システム１４及び／又は制御システム１６を、不具合（例えば、断線）、迂回（例えば、警報／保護の停止）、ファームウェアの問題、及び／又はさらなる保護の問題を明らかにするために使用することができる。何らかの保護の問題（例えば、クリティカルパスのセンサに不具合がある）が明らかになると、保護監視システム１４は、ＮＯＴ ＯＫ信号２６を生成し、或いは制御システム１６からＮＯＴ ＯＫ信号２６を受信する。これに加え、或いはこれに代えて、保護監視システム１４は、センサ２２及び／又は制御システム１６からの信号が断たれたとき（例えば、断線の可能性）に、ＮＯＴ ＯＫ信号２６を生成することができる。次いで、特定の実施形態において、保護監視システム１４は、ＮＯＴ ＯＫ信号２６を使用して、ただ１つの警報ハンドラ２４を作動させる。ただ１つの警報ハンドラ２４の作動時に、保護監視システム１４は、保護リレー２８を切り替え、視覚警報３０を切り替え、更に／或いはヒューマンマシンインターフェイス（ＨＭＩ）３２及び／又は制御システム１６へと警報を送信する。特定の実施形態において、ＨＭＩ ３２は、運転者と装置との間を仲立ちするように構成された入力／出力デバイス（例えば、電子ディスプレイ、スピーカ、マウス、キーボード、タッチ式画面、など）を含むことができる。

図示の実施形態は、保護リレー２８及び視覚警報３０を備えているが、いくつかの実施形態は、保護リレー２８又は視覚警報３０だけを備えてもよい。更に、保護リレー２８は、任意の適切な電気スイッチを含むことができる。例えば、保護リレー２８は、単極単投（ＳＰＳＴ）スイッチ、単極双投（ＳＰＤＴ）スイッチ、単極センターオフ（ＳＰＣＯ）スイッチ、２極双投（ＤＰＤＴ）スイッチ、２極センターオフ（ＤＰＣＯ）スイッチ、他の適切なスイッチ、又はこれらの何らかの組み合わせを含むことができる。いくつかの実施形態において、保護リレー２８は、ＮＯＴ ＯＫ信号２６の原因への対処がなされるまで、機械１２の動作をシャットダウン及び／又は阻止することができる。特定の実施形態においては、保護リレー２８を、ＨＭＩ ３２及び／又は制御システム１６を介してＮＯＴ ＯＫ信号２６によって保護システム１７における問題の存在をユーザ／他の構成要素に警報するために使用することができる。これに加え、或いはこれに代えて、視覚警報３０を、ＮＯＴ ＯＫ信号２６の存在をユーザに警報するために使用することができる。例えば、視覚警報３０は、保護監視システム１４がＮＯＴ ＯＫ信号２６が存在すると判断したときに点滅及び／又は色の変化を生じる発光ダイオードを含むことができる。

ただ１つの警報ハンドラを有する保護監視システム１４は、機械１２が望ましくない状態下で運転されることを防止することができるが、ただ１つのリレーは、非重大なエラーで混雑する可能性がある。換言すると、ただ１つのリレーでは所望の粒度を含むことができず、重大な不具合と非重大な問題（例えば、ユーザによる停止）とを区別できない可能性がある。図示の実施形態において、ユーザが所望の期間（例えば、保守時の警報停止）が経過した後も警報停止の解除を忘れている場合、保護監視システム１４は、単に機械１２の保護システム１７がＯＫでない旨を表示する。ユーザは、警報に関してユーザによる停止が有効であることを知ることができない。代わりに、ユーザは、どのエラーが保護監視システム１４の作動を生じさせたのかを独力で突き止めなければならない（例えば、保護システム１７のログを点検しなければならない）。このように、ユーザ／制御システムは、重大な不具合と非重大との間の区別を保護監視システム１４から直接的に行うことができない。ユーザは、重大な不具合よりも非重大な問題の方が可能性が高いと信じることができるため、ユーザは、単に警報の無視又はリレーの迂回を選択する可能性があり、結果として、ただ１つのリレーは、重大な警報をユーザに警告するのに無効及び／又は無駄になりかねない。

図３は、保護不具合ハンドラ４０及びユーザ停止ハンドラ４２を有する保護監視システム１４を備える工業オートメーションシステム１０の概略図である。保護監視システム１４及び／又は制御システム１６が重大な不具合が保護システム１７に発生したと判断したときに、保護監視システム１４は、機械１２の保護を妨げる重大なエラーを保護不具合ハンドラ４０に伝える。例えば、重大なエラーは、クリティカルパスのセンサのエラー、内部のクリティカルパスのハードウェアの不具合、及び／又はクリティカルパスに関するファームウェアが正しく機能していないなど、使用されるクリティカルパスに関するエラーを含むことができる。

同様に、いくつかの実施形態において、保護監視システム１４は、ユーザによる停止の発生をユーザ停止ハンドラ４２に伝える。例えば、ユーザによる停止の発生は、迂回又は停止の有効化を含むことができる。工業オートメーションシステム１０のいくつかの実施形態は、ユーザが種々の警報の停止及び／又は特定の問題の迂回を行うことを可能にすることができる。例えば、停止機能は、ラック停止、ラック警報停止、特別警報停止、警告停止、危険停止、チャネル迂回、トリップ乗算、及び／又は他の迂回／停止機能を含むことができる。ラック停止は、警報及び他の機能を含む保護システム１７及び／又は保護監視システム１４のすべての機能を無効にすることができる。本質的に、この形式の停止は、工業オートメーションシステム１０を、あたかも保護システム１７及び／又は保護監視システム１４が存在しないかのように機能させる。逆に、ラック警報停止は、警報を差し止めるが、測定値の表示は可能にする一方で、特別警報は、特定の機械の種類に関連する。

更に、警告警報を、動作パラメータが第１のしきい値を超えたことをユーザに警告するために設定することができるが、危険警報を、動作パラメータが第２のより高いしきい値を超えるときに設定することができる。したがって、警告停止が有効であるとき、第１のしきい値を超えたときの警報が無効にされ、危険停止が有効にされたとき、第２のしきい値を超えたときの警報が無効にされる。加えて、特定の実施形態においては、ユーザが望むときに、保護システム１７のチャネルを完全に無効にすることができる。しかしながら、ユーザが、誤ってチャネルを無効のままにしてしまう可能性がある。したがって、チャネルが迂回されている旨をユーザに知らせるために警告を提示することができる。トリップ乗算は、特定の期間（例えば、機械が共振に相当する毎分の回転数（ＲＰＭ）の範囲にある、など）の間警報レベルを一時的に高くすることを可能にする。例えば、いくつかの実施形態においては、振動センサを、典型的な警報の予め設定された倍数（例えば、２倍又は３倍）に設定することができる。特定の実施形態においては、重大に分類されない任意の警報を、ユーザ停止ハンドラ４２に割り当ててもよい。

図示のとおり、保護監視システム１４内の各々のハンドラ４０、４２は、独立して制御される表示システムを備える。特定の実施形態において、保護不具合ハンドラ４０は、保護監視システム１４による保護不具合信号４８の受信又は生成時に作動させることができる保護不具合リレー４４及び保護不具合視覚警報４６を含むことができる。例えば、保護監視システム１４及び／又は制御システム１６が、断線、センサ２２の不具合、及び／又は機械１２の保護システム１７のクリティカルパスにおける内部の不具合が存在すると判断するとき、保護不具合リレー４４が作動し、更に／或いは保護不具合視覚警報４６が保護の不具合を知らせる。特定の実施形態において、保護不具合ハンドラ４０は、保護不具合リレー４４、保護不具合視覚警報４６、及び／又はＨＭＩ ３２を介して保護不具合視覚警報を表示するように構成された論理だけを含むことができる。保護不具合リレー４４が存在する実施形態においては、保護不具合リレー４４を、制御システム１６を使用して機械１２をシャットダウンするために使用することができる。或いは、保護不具合リレー４４を、緊急停止手順（ＥＳＰ）を実行し、更には／或いは機械１２を直接シャットダウンする減衰弁を作動させるために使用することができる。

いくつかの実施形態において、ユーザ停止ハンドラ４２は、保護システム１７においてユーザによる停止／迂回の機能が有効なままである旨を示すようにそれぞれ構成されたユーザ停止リレー５０及びユーザ停止視覚警報５２を備える。例えば、工業オートメーションシステム１０においてハンドラの迂回が現時点において有効にされている場合、ユーザ停止信号５４が、保護監視システム１４によって生成又は受信される。ユーザ停止信号５４は、ユーザ停止リレー５０を作動させることにより、ユーザ停止情報のＨＭＩ ３２及び／又は制御システム１６への送信を生じさせる。いくつかの実施形態においては、ユーザ停止情報を、保護されていない機械１２及び／又は工業オートメーションシステム１０をシャットダウンするために使用することができる。特定の実施形態において、ユーザ停止ハンドラは、ユーザ停止リレー５０、ユーザ停止視覚警報５２、ＨＭＩ ３２上の視覚警報、又はこれらの任意の組み合わせを備えることができる。更に、ユーザ停止リレー５０を、光源（例えば、ＬＥＤ）、運転者装置、ＨＭＩ ３２、又はこれらの何らかの組み合わせに接続することができる。特定の実施形態においては、ユーザ停止リレー５０の作動時に、ユーザ停止リレー５０は、光源の点滅／色の変化を生じさせることができ、運転者装置及び／又はＨＭＩ ３２による警報の表示を生じさせることができ、更には／或いは保護システム１７において迂回又は停止の機能が有効である旨を運転者に警告する別の適切な警報を生成することができる。

図４は、保護不具合ハンドラ４０、ユーザ停止ハンドラ４２、及び注意ハンドラ５６を有する保護監視システム１４を備える工業オートメーションシステム１０の概略図である。図示の実施形態において、注意ハンドラ５６は、注意リレー５８及び注意視覚警報６０を備えている。しかしながら、注意ハンドラ５６のいくつかの実施形態は、注意リレー５８、注意視覚警報６０、ＨＭＩ ３２を介する視覚警報、又はこれらの何らかの組み合わせを備えることができる。保護不具合リレー４４及びユーザ停止リレー５０と同様に、注意リレー５８は、保護監視システム１４の注意信号６２の生成又は受信に応答して作動することができる。注意信号６２は、保護システム１７に種々の非重大な不具合及び／又はユーザによる停止以外のイベントが存在する場合に生成されてよい。例えば、いくつかの実施形態においては、注意信号６２を、重要なシステムのイベントの発生（例えば、特定のモードが有効／無効にされた、特定の動作パラメータの値が生じた、など）について認知の応答がなされていないとき、ハードウェアの不具合がクリティカルパス以外で生じたとき、並びに／或いは保護不具合信号４８又はユーザ停止信号５４においては捕捉されない任意の他の種々のイベント又は不具合の場合に、生成することができる。特定の実施形態においては、ひとたび重要なシステムのイベントについて認知の応答がなされたならば、注意リレー５８及び／又は注意視覚警報６０をリセットすることができる。

特定の実施形態において、注意リレー５８は、注意視覚警報６０により、光源（例えば、ＬＥＤ）、運転者装置、ＨＭＩ ３２、又はこれらの何らかの組み合わせによって運転者の注意を引くことができる。特定の実施形態においては、注意リレー５８の作動時に、注意リレー５８は、注意視覚警報６０の点滅／色の変化を生じさせることができ、運転者装置及び／又はＨＭＩ ３２による警報の表示を生じさせることができ、更には／若しくは保護システム１７において重要なイベントが生じたが認知の応答がなされていないこと、或いは非重大な不具合が生じていることを運転者に警告するための別の適切な警報を生成することができる。注意リレー５８を有する保護監視システム１４のいくつかの実施形態において、注意リレー５８は、制御システム１６へと信号を送信し、制御システム１６を使用して機械１２及び／又は工業オートメーションシステム１０をシャットダウンし、ＥＳＰを使用して監視対象の機械１２及び／又は工業オートメーションシステム１０をシャットダウンし、減衰弁を使用して直接的に監視対象の機械１２及び／又は工業オートメーションシステム１０をシャットダウンし、更には／或いはユーザへの警告及び／又は工業オートメーションシステム１０の少なくとも一部分のシャットダウンのための他の適切な処理を実行することができる。

図５は、工業オートメーションシステム１０などの工業オートメーションシステムのための保護システム１７などの保護システムを監視するための方法７０の実施形態を説明するフロー図である。特定の実施形態においては、方法７０を、コンピューティングデバイス（例えば、プロセッサを有する電子装置）上に格納されたソフトウェアを使用して実施することができる。例えば、いくつかの実施形態においては、方法７０を、メモリ、ディスクドライブ、光ドライブ、又は他の種類の記憶装置などの非有形のコンピュータ可読媒体に記憶されたインストラクションとして実現することができる。特定の実施形態においては、これらのインストラクションを、制御システム１６、運転者装置、又は遠隔サーバによって記憶及び／又は実行することができる。他の実施形態においては、方法７０を、上述のようにハードウェア回路を用いて実現してもよい。方法７０は、保護システム１７において重大な不具合が発生したか否かを判断すること（ブロック７２）を含む。すでに述べたように、重大な不具合は、保護システム１７のクリティカルパスに関する断線又はセンサの不具合に関係することができる。いくつかの実施形態において、保護監視システム１４は、センサ２２から戻される値にもとづいて重大な不具合を判断することができる。他の実施形態においては、制御システム１６が、保護監視システム１４へと値を送信することができる。これらの値がクリティカルパスの不具合に相当するとき、保護監視システム１４は、重大な不具合が発生したと判断することができる。或いは、制御システム１６は、重大な不具合が発生したと判断し、重大不具合信号（例えば、保護不具合信号４８）を保護監視システム１４へと送信することができる。重大な不具合が発生したと判断されたときに、保護監視システム１４は、保護不具合リレー４４を作動させる（ブロック７４）。いくつかの実施形態において、保護監視システム１４は、保護不具合リレー４４の作動時に、もはや保護されていない機械１２及び／又は工業オートメーションシステム１０をシャットダウンすることができる（ブロック７６）。例えば、保護不具合リレー４４の作動は、システムをシャットダウンさせるべく制御システム１６へと信号を送信でき、ＥＳＰシャットダウンを開始させることができ、更には／或いは減衰弁を使用して工業オートメーションシステム１０をシャットダウンすることができる。これに加え、或いはこれに代えて、保護不具合リレー４４は、光の点滅（例えば、保護不具合視覚警報４６）並びに／或いは運転者装置及び／又は他の表示装置（例えば、ＨＭＩ ３２）における表示を生じさせることができる。

更に、方法７０は、ユーザによる停止又は迂回が保護システムにおいて有効であるか否かを判断すること（ブロック７８）を含むことができる。例えば、いくつかの実施形態において、制御システム１６は、ハンドラの迂回、警報の停止、トリップ乗算、ラック停止、又は他のユーザの選択による機能の停止が保護システム１７において有効なままである旨を知らせるユーザ停止信号５４を、保護監視システム１４へと送信することができる。保護システム１７において停止機能が有効であると判断されると、保護監視システム１４は、ユーザ停止インジケータを作動させる（ブロック８０）。いくつかの実施形態において、ユーザ停止インジケータは、ユーザ停止リレー及び／又はＬＥＤ（例えば、ユーザ停止視覚インジケータ５２）を含むことができる。ＬＥＤを有するユーザ停止インジケータの作動時に、ＬＥＤは、点滅又は明滅することができる。リレーを有するユーザ停止インジケータの作動時に、ユーザ停止リレーのいくつかの実施形態は、点滅する光の表示を生じさせることができ、運転者装置における警告の表示を生じさせることができ、ＨＭＩ ３２における視覚又は聴覚警報の形態の警告を生じさせることができ、別の適切な警告を生じさせることができ、或いはこれらの何らかの組み合わせが可能である。

更に、方法７０のいくつかの実施形態は、非重大な不具合が発生したかどうか、又は重要なイベントが発生したが認知の応答がまだであるかどうかの判断（ブロック８２）を含むことができる。例えば、或る出力水準への到達、周囲温度の変化、新たなモードの選択、など、工業オートメーションシステム１０における非重大な不具合及び／又は重要なイベントを、制御システム１６及び／又は保護監視システム１４によって監視することができる。特定の実施形態においては、重要なイベントについてユーザ（例えば、運転者）が認知の応答を行うことで、重要なイベントを無視することができる。非重大な不具合が発生したと判断され、更には／或いは重要なイベントが発生したが認知の応答がまだであると判断される場合、保護監視システム１４は、注意インジケータを作動させることができる（ブロック８４）。いくつかの実施形態においては、認知の応答がまだである重要なイベントについて認知の応答が行われたときに、この現時点において認知の応答が行われたイベントが注意インジケータの作動の唯一の理由であるならば、注意インジケータをリセットすることができる。いくつかの実施形態において、注意インジケータは、注意リレー及び／又はＬＥＤを含むことができる。ＬＥＤを有する注意インジケータの作動時に、ＬＥＤは点滅又は明滅することができる。リレーを有する注意インジケータの作動時に、注意リレーは、点滅する光の表示を生じさせることができ、運転者装置における警告の表示を生じさせることができ、ＨＭＩ ３２における視覚又は聴覚警報の形態の警告を生じさせることができ、別の適切な警告を生じさせることができ、或いはこれらの何らかの組み合わせが可能である。

本明細書においては、以上の説明を最良の態様を含めて開示するとともに、あらゆる装置又はシステムの製作及び使用並びにあらゆる関連の方法の実行を含む本発明の実施を当業者にとって可能にするために、いくつかの実施例を使用している。本発明の特許可能な範囲は、特許請求の範囲によって定められ、当業者であれば想到できる他の実施例も含むことができる。そのような他の実施例は、それらが特許請求の範囲の文言から相違しない構造要素を有しており、或いは特許請求の範囲の文言から実質的には相違しない同等の構造要素を含むならば、特許請求の範囲の技術的範囲に包含される。

１０ 工業オートメーションシステム
１２ 機械
１４ 保護監視システム
１６ 制御システム
１７ 保護システム
１８ タービン
２０ 発電機
２２ センサ
２４ ただ１つの警報ハンドラ
２６ ＮＯＴ ＯＫ信号
２８ 保護リレー
３０ 視覚警報
４０ 保護不具合ハンドラ
４２ ユーザ停止ハンドラ
４４ 保護不具合リレー
４６ 保護不具合視覚警報
４８ 保護不具合信号
５０ ユーザ停止リレー
５２ ユーザ停止視覚インジケータ、ユーザ停止視覚警報
５４ ユーザ停止信号
５６ 注意ハンドラ
５８ 注意リレー
６０ 注意視覚警報
６２ 注意信号
７２ ブロック
７４ ブロック
７６ ブロック
７８ ブロック
８０ ブロック
８２ ブロック
８４ ブロック

Claims (20)

1. 工業オートメーションシステム（１０）を保護する保護システム（１７）を監視する保護監視システム（１４）であって、
   保護不具合インジケータを備えており、当該保護監視システム（１４）によって監視される前記保護システム（１７）における重大な不具合の発生を表す保護不具合信号（４８）が知らされたときに、前記保護不具合インジケータを作動させるように構成されている保護不具合ハンドラ（４０）と、
   ユーザ停止インジケータを備えており、ユーザによって有効にされる警報停止又はユーザによって有効にされる迂回を表すユーザ停止信号（５４）が知らされたときに、前記ユーザ停止インジケータを作動させるように構成されているユーザ停止ハンドラ（４２）と、
   を備える、保護監視システム（１４）。
2. 注意インジケータを備える注意ハンドラ（５６）を備えており、前記注意ハンドラ（５６）は、注意信号（６２）が知らされたときに前記注意インジケータを作動させるように構成され、前記注意信号（６２）は、前記保護システム（１７）において非重大な不具合が発生したこと、又は前記保護システム（１７）によって保護される前記工業オートメーションシステム（１０）において生じた重要なシステムのイベントについて認知の応答がまだであることを表す、請求項１に記載の保護監視システム（１４）。
3. 前記工業オートメーションシステム（１０）は、機械（１２）を備えている、請求項２に記載の保護監視システム（１４）。
4. 前記保護不具合インジケータは、保護不具合リレー（４４）を備える、請求項１から３のいずれかに記載の保護監視システム（１４）。
5. 前記保護不具合リレー（４４）は、前記保護不具合ハンドラ（４０）が保護不具合信号（４８）を受信したときに前記保護システム（１７）によって保護される機械（１２）をシャットダウンするように構成されている、請求項４に記載の保護監視システム（１４）。
6. 前記保護不具合リレー（４４）は、前記機械（１２）のシャットダウンを、前記工業オートメーションシステム（１０）の制御システム（１６）を介して行い、非常シャットダウン手順（ＥＳＰ）の開始によって行い、減衰弁の使用によって行い、或いはこれらの何らかの組み合わせによって行うように構成されている、請求項５に記載の保護監視システム（１４）。
7. 前記保護不具合インジケータは、保護不具合視覚インジケータを備える、請求項１から６のいずれかに記載の保護監視システム（１４）。
8. 前記保護不具合視覚インジケータは、発光ダイオード（ＬＥＤ）である、請求項７に記載の保護監視システム（１４）。
9. 前記保護不具合インジケータは、ヒューマンマシンインターフェイス（ＨＭＩ）３２を介した保護不具合視覚インジケータの表示を生じさせる、請求項１から８のいずれかに記載の保護監視システム（１４）。
10. 工業オートメーションシステム（１０）であって、
    機械（１２）を保護するように構成された保護システム（１７）と、
    保護監視システム（１４）と、
    を備えており、
    前記保護監視システム（１４）は、
    前記保護システム（１７）のクリティカルパスにおける不具合に関係する第１の種類の警報が検出されたときに作動するように構成された保護不具合リレー（４４）と、
    ユーザによる停止又はユーザによって有効にされる迂回の作動に関係する第２の種類の警報が検出されたときに作動するように構成されたユーザ停止インジケータと、
    当該工業オートメーションシステム（１０）の動作における変化に関係する第３の種類の警報或いは前記第１又は第２の不具合の種類に分類されない種類の警報が検出されたときに作動するように構成された注意インジケータと、
    を備える、工業オートメーションシステム（１０）。
11. 前記第１の種類の警報は、前記保護システム（１７）のクリティカルパスにおける断線、前記保護システム（１７）のクリティカルパスにおけるセンサの不具合、又はこれらの何らかの組み合わせを含む、請求項１０に記載の工業オートメーションシステム（１０）。
12. 前記ユーザによる停止は、前記保護システム（１７）の機能を抑制し、或いは該停止が存在しない場合に前記保護システム（１７）において生じるはずの警報を抑制するように構成されている、請求項１０または１１に記載の工業オートメーションシステム（１０）。
13. 前記ユーザによって有効にされる迂回は、チャネルの迂回を含み、該チャネルの迂回は、当該工業オートメーションシステム（１０）におけるチャネルを無効にすることを含む、請求項１０から１２のいずれかに記載の工業オートメーションシステム（１０）。
14. 機械（１２）を備えており、該機械（１２）は、エンジン、圧縮機、燃焼器、搬送ベルト、発電機、ポンプ、ターボ膨張器、又はこれらの何らかの組み合わせを含む、請求項１０から１３のいずれかに記載の工業オートメーションシステム（１０）。
15. 前記保護不具合リレー（４４）は、前記保護システム（１７）における前記第１の種類の不具合の検出時に機械（１２）をシャットダウンするように構成されている請求項１０から１４のいずれかに記載の工業オートメーションシステム（１０）。
16. 前記保護システム（１７）における前記第１の種類の警報の検出時に作動するように構成された保護不具合視覚インジケータを備える請求項１０から１５のいずれかに記載の工業オートメーションシステム（１０）。
17. インストラクションを含んでいる一時的でないコンピュータ可読媒体であって、前記インストラクションは、
    工業オートメーションシステム（１０）を保護する保護システム（１７）の重大な不具合が発生したか否かに関する第１の種類の警報が発生したか否かを判断し、
    前記第１の種類の警報が発生した場合に、保護不具合リレー（４４）を作動させ、
    ユーザによって有効にされる停止又はユーザによって有効にされる迂回が前記保護システム（１７）において有効であるか否かに関する第２の種類の警報が発生したか否かを判断し、
    前記第２の種類の警報が発生した場合に、ユーザ停止インジケータを作動させるように構成されている、
    一時的でないコンピュータ可読媒体。
18. 請求項１７に記載の一時的でないコンピュータ可読媒体であって、前記インストラクションは、
    前記保護システム（１７）によって保護される前記工業オートメーションシステム（１０）において非重大な不具合が生じたか否か、又は重要なイベントが発生したが認知の応答がまだであるか否かに関する第３の種類の警報が発生したか否かを判断し、
    第３の種類の警報が発生した場合に、注意インジケータを作動させるように構成されている、
    一時的でないコンピュータ可読媒体。
19. 前記インストラクションは、前記作動した保護不具合リレー（４４）を介して前記工業オートメーションシステム（１０）内の機械（１２）をシャットダウンするように構成されている、請求項１７または１８に記載の一時的でないコンピュータ可読媒体。
20. 前記ユーザ停止インジケータの作動は、ユーザ停止リレー（５０）の作動又はユーザ停止視覚インジケータの作動を含む、請求項１７から１９のいずれかに記載の一時的でないコンピュータ可読媒体。