JP6521560B2 - 安全計装プロセス制御装置、並びに、方法 - Google Patents

Description

本発明は、一般に、プロセス制御システムに関し、具体的には、安全計装プロセス制御システム用の装置、並びに、方法に関する。

化学製品、石油、製薬、パルプ・製紙、または、他の製造プロセスにおいて使用されるプロセス制御システムは、主要システムに誤作動が発生した場合に１つ以上のフィールド装置の動作を確保するか、または、これらのフィールド装置からの動力を除去するため、バックアップ用、または、安全用のシステムを備えることが多い。フィールド装置、例えば、制御装置、バルブ、バルブ用アクチュエーター、バルブ・ポジショナー、スイッチ、及び、送信器（例えば、温度、圧力、流速、及び、化学組成センサー）、または、これらの組み合わせが、バルブの開閉、及び、プロセス・パラメータの測定、または、推測などプロセス制御システム内の機能を実行する。緊急時の間、フィールド装置から電力を除去する場合がある。

公知の安全計装プロセス制御システムは、主として、複数チャンネルを備えた入出力（Ｉ／Ｏ)カードのコントローラを含む。Ｉ／Ｏカードのチャンネルの１つに接続するフィールド装置から電力を除去する際、チャンネル全ての一括停止が要求される。一括停止の影響を緩和するため、Ｉ／Ｏカードを冗長的な組み合わせとして実装するのが一般的である。だが、冗長的な組み合わせのカードの何れか一方の１チャンネルの障害によって、フィールド装置からの電力が除去されず、システム全体の安全性が損なわれる。

フィールド装置への電力を除去する例示的な装置を開示している。この例示的な装置には、フィールド装置への電力を制御する第１スイッチ、及び、第１、第２ゲートを備えた第２スイッチが含まれる。第２ゲートは、第１ゲートと並列電気接続し、第２スイッチは、第１スイッチと直列電気接続する。更に、この例示的な装置は、第１、第２ゲートを制御する第１診断コントローラと、第１スイッチを制御する第１プロセッサーと、フィールド装置への電力を制御する第３スイッチと、並びに、第３、第４ゲートを備えた第４スイッチとを含む。第４ゲートは、第３ゲートと並列電気接続し、第４スイッチは、第３スイッチと直列電気接続する。また、この例示的装置は、第３スイッチを制御するための第２プロセッサー、並びに、第３、第４ゲートを制御するための第２診断コントローラも含む。

更に、フィールド装置への電力を制御する例示的な方法も開示している。この方法は、フィールド装置への電力を除去する信号を送信するステップと、第１スイッチを開くステップと、更に、第１スイッチ両端の第１電圧を測定するステップを含む。第１電圧が略非ゼロ値である場合、第２スイッチを開くことで、第１スイッチへの電力を除去するよう、第１診断コントローラに命令する。第２スイッチは、第１スイッチと直列電気接続し、第１、第２ゲートを含む。第１ゲートは、第２ゲートと並列電気接続する。

本開示の教示に準拠する例示的な安全装置の概略図である。 図１の例示的装置のブロック図である。 図１の装置の操作に関する例示的方法を示す流れ図である。 図１の装置の操作に関する他の例示的方法を示す流れ図である。 本明細書で開示されている例示的方法、１つ、及び／または、複数の装置の任意、または、全てを実現するために、図３、及び／または、図４の方法を実装するのに使用可能な例示的なプロセッサー・プラットフォームについて説明している。

本明細書では、例示的装置、及び、方法を、とりわけ、ハードウェア上で実行される構成要素、ソフトウェア、及び／または、ファームウェアも含めて開示しているが、この様な装置は説明に過ぎず、限定的なものと見なさないものとする。例えば、これらのハードウェア構成要素、ソフトウェア構成要素、及び、ファームウェア構成要素のうちの任意、または、全てを、ハードウェアとして単独で、ソフトウェアとして単独で、或いは、ハードウェアとソフトウェアの任意の組み合わせとして具現化できることが想定される。従って、以下では例示的装置、及び、方法について説明するが、当業者であれば、ここで提供された例は、この様な装置や方法を実現する上での唯一の方法ではないことを容易に理解できることであろう。

例示的なプロセス制御システムは、特定のプロセス（例えば、化学プロセス、石油プロセス、製薬プロセス、パルプ・紙プロセス等）に関連する操作（例えば、バルブ制御、モータ制御、ボイラー制御、監視、パラメータ測定等）を実行する複数のフィールド装置を含む。一部のプロセス制御システムは、重要なプロセス・システム、つまり、問題が発生した場合に安全な状態を確保する必要のあるシステムである。例えば、緊急状態を含むある状況において、フィールド装置に供給される電力を、遮断、または、除去する。高度な診断率を備えたプロセス制御装置は、緊急停止適用中に適切に実行する。種々の耐障害性を備えたプロセス制御装置を、実装できる。例えば、ハードウェア耐障害度１（例えば、１ｏｏ２、１ｏｏ３）は、２つ、または、３つの構成要素のうち１つが、故障する可能性があり、これら構成要素のそれぞれに関連する機能は実行し続けることを示唆している。

プロセス制御システムのハードウェア制御、ソフトウェア制御、及び、ファームウェア制御を備えた安全計装システム（ＳＩＳ）を用いて、安全な操作の維持、及び／または、プロセス制御システムを停止させるための所定の制御機能を実行する。例示的なＳＩＳには、１つ以上のフィールド装置に向かう電力流を制御する（例えば、ゲート制御、切り替え、規制）コントローラ・カード（例えば、Ｉ／Ｏカード、マイクロプロセッサー）が含まれる。１つの素子が故障した場合、他の素子が所望の機能を供給する能力、例えば、フィールド装置（複数）から電力を除去するためにフィールド装置（複数）への電気経路を破壊、または、遮断することを持続できるよう、冗長性供給のために構成された複数のチャンネル、または、素子（例えば、トランジスタ、ＦＥＴ、中継装置、スイッチ）が、例示的なカードに含まれる。一部の例示的コントローラ、または、Ｉ／Ｏカードは、８、１６、または、３２本のチャンネルを備える。ある例では、カードの各チャンネルを用いて各フィールド装置への電力を除去するか、または、全カードを主電力レベルで停止して、１枚のカード上の全てのチャンネルからの電力を除去することが可能であり、これにより、カードに接続する全てのフィールド装置（複数）の安全な停止を、確実に実行できる。

本明細書で開示された例示的システムでは、チャンネル単位ごとに選択可能な冗長性を持たせるよう、ＳＩＳには冗長性が組み込まれている。この冗長性によって、ＳＩＳの動作中に、重要なチャンネルが、これを指定した時に、確実に動作することが保証される。冗長性を指定ごとにチャンネルに追加できるので、冗長性を必要としない他のチャンネルへの冗長性の追加によるコストの増加を、防止することが可能である。従って、以下でより詳細に説明するように、例示的装置は、出力レベルで素子の構成（例えば、アーキテクチャー）を用いて、１つ以上の素子が損傷した場合に電力を除去するための冗長性を高める間、フィールド装置への電力流を制御する。この他、例示的装置、及び、方法は、迅速な停止能力を確保するために、複数の診断点検（例えば、試験）も提供する。

図１は、プロセス制御システムのフィールド装置への電力を除去する等のために使用可能な例示的な冗長型安全装置１００の概略図である。装置１００は、負荷１０６（例えば、フィールド装置、コントローラ、バルブ、駆動装置、バルブ・ポジショナー、スイッチ、送信器、及び／または、プロセス制御装置に関連する他の任意の負荷）への電力流を制御するための第１プロセッサー１０２（例えば、マイクロプロセッサー、カード、Ｉ／Ｏカード、ＦＰＧＡ、ＡＳＩＣ、及び／または、他の適切な任意の処理装置）、及び、第２プロセッサー１０４を含む。第１プロセッサー１０２は、第１電源１１２から負荷１０６までの電力の印加、または、供給を制御するため、第１素子１０８、及び、第２素子１１０に接続する。この例で示す様に、第１、第２素子１０８、１１０は、例えば、１つ以上のスイッチ素子（例えば、金属酸化膜半導体電界効果トランジスタ（ＭＯＳＦＥＴ）、接合ゲート電界効果トランジスタ（ＪＦＥＴ）、バイポーラトランジスタ（ＢＪＴ）、電気機械型スイッチ素子、及び／または、他の適切な任意のスイッチ素子（複数））を含められる。第２素子１１０は、並列接続する（例えば、電気接続）第１ゲート１１４、及び、第２ゲート１１６を含む。この例では、第２素子１１０は、第１素子１０８と直列接続する（例えば、電気接続）。第１素子１０８、及び、第２素子１１０の第１、第２ゲート１１４、１１６の一方、または、双方が電気的に閉じている時（即ち、素子１０８、１１０を介して電流が流れるよう、回路が形成されていること）、第１電源１１２から負荷１０６へと電力が供給される。だが、第１素子１０８、または、第１、第２ゲート１１４、１１６が共に電気的に開放している場合（即ち、回路が形成されず、電流が流れない場合）、負荷１０６への電力が切断される（例えば、除去、断線）。この例では、第２素子１１０は、安全機構（例えば、バックアップ・スイッチ）として動作する。従って、安全性動作により、負荷１０６（例えば、フィールド装置）への電力を除去するために回路を開き、第１素子１０８が故障時閉状態の場合（即ち、回路を開くのに失敗し、電流が流れ続ける場合）、第１、第２ゲート１１４、１１６双方の開放により、第１素子１０８を介した負荷１０６への電力流を遮断するよう、第２素子１１０を実装できる。

例示的装置１００では、第１素子１０８は、第１プロセッサー１０２により制御される。第１プロセッサー１０２は、第１素子１０８を介した負荷１０６への電力印加を制御するため、第１素子１０８を開放、及び／または、閉じるための信号を送信する。第２素子１１０の第１、第２ゲート１１４、１１６は、第１プロセッサー１０２と通信可能に接続する第１診断コントローラ１１８により制御される。第１診断コントローラ１１８は、以下でより詳細に説明する様な第１、第２ゲート１１４、１１６を制御、試験するための、例えば、ＦＰＧＡ、ＡＳＩＣ、または、他の任意の構成要素の組み合わせで良い。

動作時、第１診断コントローラ１１８は、第２素子１１０を介した第１素子１０８への電力印加、または、供給を制御するため、第１ゲート１１４、及び／または、第２ゲート１１６を開放、及び／または、閉じるための信号を送信する。第１素子１０８、第１ゲート１１４、及び、第２ゲート１１６は、それぞれのダイオード１２０、１２２、１２４に接続する。ダイオード１２０、１２２、１２４は、任意の適切なダイオード、または、適切な任意の他の整流素子で良い。ダイオード１２０、１２２、１２４は、以下で詳細に説明する電圧読み取りと併せて使用される。

図１で示す様に、第２プロセッサー１０４は、第１プロセッサー１０２のものと類似の出力回路を含み、負荷１０６への電力の供給、及び、その除去のための冗長性供給点として機能する。第２プロセッサー１０４は、第３素子１２６を調整して、第２電源１２８から負荷１０６までの電力流を制御する。代替として、電源１１２、１２８は、同じ電源でも良い。装置１００は、第３素子１２６への電力を制御するための第４素子１３０を含む。図示の例では、第３、第４素子１２６、１３０は、例えば、１つ以上のスイッチ素子（例えば、金属酸化膜半導体電界効果トランジスタ（ＭＯＳＦＥＴ）、接合ゲート電界効果トランジスタ（ＪＦＥＴ）、バイポーラトランジスタ（ＢＪＴ）、電気機械型スイッチ素子、及び／または、他の適切な任意のスイッチ素子（複数））を含められる。第４素子１３０には、この例では、並列接続する（例えば、電気接続）第３ゲート１３２、及び、第４ゲート１３４が含まれる。この場合、第４素子１３０が、第３素子１２６と直列接続する（例えば、電気接続）。第２プロセッサー１０４と通信可能に接続する第２診断コントローラ１３６は、第３、第４ゲート１３２、１３４を制御する。第３素子１２６、及び、第３、第４ゲート１３２、１３４の一方、または、双方が電気的に閉じている際、電力は第２電源１２８から負荷１０６まで供給される。だが、第３素子１２６、または、第３、第４ゲート１３２、１３４両者の何れかが、電気的に開放している場合、負荷１０６への電力が遮断される。第４素子１３０は、安全機構として動作する。従って、安全動作により、負荷１０６（例えば、フィールド装置）への電力を除去するために回路を開いて、第３素子１２６が故障時閉の場合（即ち、回路を開放したり、遮断するために動作しない場合）、第３素子１２６を介した負荷１０６への電力流を抑止するよう第４素子１３０を実装する。更に、第３素子１２６、第３ゲート１３２、及び、第４ゲート１３４は、以下でより詳細に説明する電圧読み取りと併せて使用されるそれぞれのダイオード１３８、１４０、１４２に関連している。ダイオード１２０、１２２、１２４と類似して、ダイオード１３８、１４０、１４２は、適切な任意の種類のダイオード、または、他の適切な任意の種類の整流素子でも良い。

図１で示すように、第１プロセッサー１０２の出力回路は、第１ツェナー・ダイオード１４４を含み、第２プロセッサー１０４の出力回路は、第２ツェナー・ダイオード１４６を含む。第１、第２ツェナー・ダイオード１４４、１４６は、回路内の電圧が高すぎると（即ち、電圧が、ある破壊電圧よりも高い時）、電力流を接地可能とする安全機構である。

動作時、第１プロセッサー１０２とその各出力回路、及び／または、第２プロセッサー１０４とその各出力回路は、電力を負荷１０６に供給できる。緊急時の停止状態、つまり、電力を負荷１０６から除去する場合において、第１、第２プロセッサー１０２、１０４、及び、第１、第２診断コントローラ１１８、１３６は、第１、第２、第３、第４素子１０８、１１０、１２６、１３０を動作させ、回路を電気的に開放することで、負荷１０６への電力を遮断する。それ故、これらの例では、安全停止のための冗長性が、プロセッサーの出力レベルに存在する。即ち、第１、第２プロセッサー１０２、１０４はそれぞれ、第１素子１０８、及び／または、第３素子１２６が故障時閉の場合において、負荷１０６への電力をゲート処理して、独自の安全性機構（例えば、第２、第４素子１１０、１３０）を供給できる。

例えば、負荷１０６への電力を除去する緊急停止状態において、第２素子１１０が閉じていると仮定した場合では、第１プロセッサー１０２は、第１電源１１２から負荷１０６まで流れる電力を遮断するため、第１素子１０８を開放する。そして、第１プロセッサー１０２は、第１素子ダイオード１２０両端の電圧を測定する。略ゼロ値の電圧が検知されると、第１素子１０８を適切に作動させて、負荷１０６に電力は流れない。だが、第１素子１０８が故障時閉の場合（即ち、回路が形成されて、電力が第１素子１０８を介して負荷１０６に流れる場合）、第１プロセッサー１０２は、第１素子ダイオード１２０両端の電圧（例えば、ゼロより大きな電圧）を検知する。この場合、第１プロセッサー１０２は、第２素子１１０（即ち、第１、第２ゲート１１４、１１６）を開放するための信号を、第１診断コントローラ１１８に送信する。第２素子１１０が開放していれば、第１素子１０８、そして、負荷１０６までの電力が遮断される。それ故、第２素子１１０は、第１素子１０８が開放できない場合におけるバックアップ、または、安全性機構として機能する。

同様に、緊急停止状態において、第２プロセッサー１０４は、第３素子１２６を開放する。だが、第３素子が故障時閉の場合において、第２プロセッサー１０４が第４素子１３０の第３、第４ゲート１３２、１３４を開放するための信号を、第２診断コントローラ１３６へと送信することで、電力が第３素子１２６、そして、負荷１０６に流れることが抑止される。

例示的装置１００で示す様に、安全停止のための冗長性も、全プロセッサー点において形成される。第１、第２診断コントローラ１１８、１３６は、第１通信線１４８を介して、それぞれのノード１５０、１５２で、互いに、そして、第１、第２プロセッサー１０２、１０４と通信可能に（例えば、交差結合）接続する。第１プロセッサー１０２が故障した場合、第１、及び／または、第２素子１０８、１１０を制御できなくなり、第２プロセッサー１０４が故障すると、第３、及び／または、第４素子１２６、１３０を制御することが不可能となる。だが、第１、第２プロセッサー１０２、１０４、及び、第１、第２診断コントローラ１１８、１３６は、通信可能に接続しているので、動作可能なプロセッサーは、各素子を開いて、負荷１０６への電力を遮断するための信号を、故障したプロセッサーに関連する診断コントローラに送ることができる。ある実施例では、第１通信線１４８は、通常、固定線である。従って、プロセス制御システムの通常動作中、第１通信線１４８には、信号が含まれない。障害があり、且つ、プロセッサー１０２、１０４の１つが他のプロセッサーと接続する他の素子１１０、１３０を制御する場合には、パルスを発生させて、これを第１通信線１４８を介して送る。それ故、一部の例では、第１通信線１４８上での何らかの信号の検知に基いて、冗長性制御を実装することが可能である。

例えば、ある緊急停止状況において、第１プロセッサー１０２が、第１素子１０８を開き、そして、第２プロセッサー１０４が、第３素子１２６を開いて、負荷１０６への電力流を除去する。第１プロセッサー１０２が応答不可能となる様なプロセッサーの障害が発生した場合、例えば、第１通信線１４８（例えば、通信線１４８が固定線ではない場合）、及び／または、第２通信線１５４を介した、及び／または、例示的システム１００内の他のセンサーを介した通信により、または、この通信を使わずに、第２プロセッサー１０４は、第１プロセッサー１０２が故障したということを認識する。第１プロセッサー１０２が故障しているので、第１プロセッサー１０２は、負荷１０６への電力を遮断する信号を、第１、及び／または、第２素子１０８、１１０に送らず、それ故、電力は、負荷１０６を通して流れ続ける。更に、第２プロセッサー１０４、または、第２診断コントローラ１３６は、第２素子１１０（即ち、第１、第２ゲート１１４、１１６）を開くための信号を、第１通信線１４８を介して第１診断コントローラ１１８に送信すると、第１素子１０８、つまり、負荷１０８への電力流が抑止される。この様なプロセッサー点での冗長性によって、緊急停止状況中にプロセッサーが故障した場合における適切な停止が確保される。

更に、以下で詳細に説明する様に、装置１００は、第１、第２診断コントローラ１１８、１３６、並びに、第２、第４素子１１０、１３０における他の冗長性供給点も形成する。この冗長性供給点は、安全装置１００の準備試験中に電力が確実に負荷１０６に供給されるよう動作する。装置１００は２つのチャンネルを備えたものとして図示しているが、装置１００は、冗長性を高めるために、任意の複数のチャンネルを含むことができる。

図２は、図１の例示的な冗長型安全装置１００に統合可能な例示的な安全装置２００の構成図である。例示的装置２００には、複数のゲート２０４に接続する電源２０２が含まれる。この説明例では、ゲート２０４は、負荷２０６への電力流を制御する。電源２０２は、例えば、図１で示した安全装置１００からの第１、または、第２電源１１２、１２８であり、ゲート２０４は、例えば、図１で示した安全装置１００からの第１、第２、第３、第４素子１０８、１１０、１２６、１３０で良い。この説明例では、電源２０２から負荷２０６までに供給される電力を制御するためのトランジスタ、ＦＥＴ、または、中継器を用いて、ゲート２０４を実装できる。

図２で示す様に、装置２００は、ゲート２０４に接続するプロセッサー２０８を含む。プロセッサー２０８は、ゲート２０４を開閉し、負荷２０６に供給される電力流を制御するための信号を、ゲート２０４に送信する。この説明例では、このプロセッサー２０８は、更に、ゲート２０４が適切に開放されたか、及び／または、閉じられたかを判定する。例えば、プロセッサー２０８は、負荷２０６への電力を遮断、または、除去するための信号を、１つ以上のゲート２０４に送信する。そして、プロセッサー２０８は、ゲート（複数）２０４が開放されたかどうかを判断するため、電力がゲート（複数）２０４両端を流れたままの状態にあるかどうかを測定する。ゲート（複数）２０４が開いていない場合、プロセッサー２０８は、故障したゲート（即ち、この例における第１ゲート）までの電力を遮断するための１つ以上の信号を、１つ以上の他のゲート（複数）、例えば、第１ゲートより前に配置されたゲート（複数）に送信することが可能である。

この説明例において、プロセッサー２０８は、診断コントローラ２１０にも接続して、ゲート２０４に接続する。診断コントローラ２１０は、例えば、図１で示す例示的な装置１００からの第２、第４素子１１０、１３０をそれぞれ制御する第１、または、第２診断コントローラ１１８、１３６でも良い。この説明例の診断コントローラ２１０は、ゲート２０４が適切に動作し、それ故、緊急事態、または、安全装置２００を始動させる他の状況での使用に備えて準備が整うよう、複数の開放閉止試験を実施する。

安全装置２００の準備試験時、診断コントローラ２１０は、ゲートを開放、及び／または、閉じ、その間に、ゲートに関連する電圧レベルを読み取る。例えば、２つのゲート（例えば、図１の装置のゲート１１４、１１６）を並列電気接続する場合、診断コントローラ２１０は、第１ゲートを開き、第２ゲートを閉じ、そして、第１ゲートに関連する電圧を測定すること等により、装置２００の準備を試験する。略ゼロ電圧が検知されると、装置２００は、第１ゲートが正しく動作し、安全装置２００の動作が始動した場合の動作の準備状態にあることを判断する。準備試験を継続するため、診断コントローラ２１０は、更に、第１ゲートを閉じ、第２ゲートを開き、そして、第２ゲートの電圧を測定する。略ゼロ電圧が検知された場合、装置２００は、第２ゲートが正しく動作し、安全装置２００の動作が始動した場合の準備状態にあることを判断する。ゲートが正しく開放、及び、閉じている限りは、第１ゲートと第２ゲート間の１サイクルの交互試験を継続可能である。実施例によっては、準備試験を、約５０ミリ秒毎に実施することがある。だが、非均一な周期（即ち、非周期的）等を含む他の適切な周期も使用可能である。

更に、一部の例示的なプロセス・システムでは、安全装置２００に対して負荷２０６からの電力を除去させる緊急状態、または、他の状態が無い場合、電力を負荷２０６に連続的に供給することが望ましい。この様な例示的装置では、装置に冗長性を供給するため、２つのゲートを供給して、これらを並列電気接続する。従って、第２ゲートを開放、及び、試験する間、電力を供給するため、第１ゲートを閉じたままにできる。そして、第１ゲートを開放、及び、試験する間、第２ゲートを閉じて、負荷に電力を供給する。

この説明例では、上記説明の様に、ゲート２０４が適切に動作することを確保するよう、プロセッサー２０８、及び、診断コントローラ２１０は、ゲート２０４上の準備試験を実行する。ゲート（複数）２０４の１つ以上が適切に動作していない場合（例えば、故障時閉が発生し、開放しない場合）、装置２００は、警告モジュール２１２を備える。警告モジュール２１２は、安全装置２００のゲート（複数）２０４の１つ以上が誤作動を起こし、これを修理、または、交換する必要があることを適切な作業者に警告する出力信号２１４を送信する。

図２の例示的装置２００では、電源２０２、ゲート２０４、プロセッサー２０８、診断コントローラ２１０、及び、警告モジュール２１２は、通信リンク２１８を介して通信可能に接続する。通信リンク２１８は、旧式、現行、または、次世代の任意の通信プロトコル（例えば、Ｂｌｕｅｔｏｏｔｈ（登録商標）、ＵＳＢ２．０等）を用いた任意の種類の有線（例えば、データバス、ＵＳＢ接続等）、または、無線通信機構（例えば、無線周波数、赤外線等）で良い。更に、例示的装置２００の構成要素を、１つの装置に統合すること、２つ以上の装置に分散させること、及び／または、冗長性や安全性を高めるために重複することが可能である。

図１や図２において、安全装置１００、２００を実現する例示的な方法について説明したが、図１や図２で説明した構成要素、プロセス、及び／または、装置の１つ以上を、他の任意の方法により組み合わせ、分割、再構成、省略、削除、及び／または、実装することができる。更に、図１や図２の例示的プロセッサー１０２、１０４、２０８、例示的診断コントローラ１１８、１３６、２１０、例示的電源１１２、１２８、２０２、例示的ゲート１０８、１１４、１１６、１２６、１３２、１３４、２０４、例示的警告モジュール２１２、例示的出力２１４、及び／または、より一般的な例示的装置１００、２００を、ハードウェア、ソフトウェア、ファームウェア、及び／または、ハードウェア、ソフトウェア、及び／または、ファームウェアによって実装可能である。従って、図１や図２の例示的プロセッサー１０２、１０４、２０８、例示的診断コントローラ１１８、１３６、２１０、例示的電源１１２、１２８、２０２、例示的ゲート１０８、１１４、１１６、１２６、１３２、１３４、２０４、例示的警告モジュール２１２、例示的出力２１４、及び／または、より一般的な例示的装置１００、２００を、１つ以上の回路（複数）、プログラマブル・プロセッサー（複数）、特定用途向け集積回路（複数）（ＡＳＩＣ（複数））、プログラマブル論理装置（複数）（ＰＬＤ（複数））、及び／または、フィールド・プログラマブル論理装置（複数）（ＦＰＬＤ（複数））等によって実装可能である。本特許の装置、または、方法に関する請求項の何れかを、純粋なソフトウェア、及び／または、ファームウェア実装を網羅するよう読むに際して、例示的プロセッサー１０２、１０４、２０８、例示的診断コントローラ１１８、１３６、２１０、例示的電源１１２、１２８、２０２、例示的ゲート１０８、１１４、１１６、１２６、１３２、１３４、２０４、例示的警告モジュール２１２、及び／または、例示的出力２１４を、ソフトウェア、及び／または、ファームウェアを記憶する有形コンピュータ可読媒体、例えば、メモリー、ＤＶＤ、ＣＤ、Ｂｌｕ−ｒａｙ（登録商標）などを含めるよう明確に規定される。更に、図１や図２の例示的装置１００、２００は、図１や図２で説明したものに追加、若しくは、これらの代わりに、１つ以上の構成要素、プロセス、及び／または、装置を含めること、及び／または、説明した構成要素、プロセス、及び、装置の何れか、または、その全ての１つ以上を含めることができる。

図１や図２の例示的装置１００、２００を実現するための例示的プロセス、または、方法を表す流れ図を、図３や図４において示す。この例では、図５と併せて以下で論じる例示的コンピュータ５００において示したプロセッサー５１２の様なプロセッサーによって実行するためのプログラムを用いて、方法を実装する。プログラムは、プロセッサー５１２に関連するＣＤ−ＲＯＭ、フロッピー・ディスク、ハード・ドライブ、デジタル多用途ディスク（ＤＶＤ）、Ｂｌｕ−ｒａｙ（登録商標）ディスク、または、メモリー等の有形コンピュータ可読媒体上に記憶されたソフトウェアとして具現化可能であるが、プログラム全体、及び／または、その一部を、代替的に、プロセッサー５１２以外の装置によって実行、及び／または、ファームウェア、若しくは、専用ハードウェア内で具現化することが可能である。更に、図３や図４中で説明される流れ図を参照して、例示的なプログラムについて述べているが、例示的装置１００、２００を実装する他の多くの方法も、代替として利用できる。例えば、ブロックの実行順序を、変更すること、及び／または、ここで述べたブロックの一部を変更、削除、及び／または、組み合わせることが可能である。

前述の様に、図３や図４の例示的方法は、任意の持続時間の間（例えば、長時間周期に渡り、永続的、短時間、一時的なバッファリング用、及び／または、情報キャッシング用）、情報が記憶されるハードディスク・ドライブ、フラッシュ・メモリー、読み取り専用メモリー（ＲＯＭ）、コンパクト・ディスク（ＣＤ）、デジタル多用途ディスク（ＤＶＤ）、キャッシュ、ランダム・アクセス・メモリー（ＲＡＭ）、及び／または、他の任意の記憶媒体の様な有形コンピュータ可読媒体上に記憶された符号化命令（例えば、コンピュータ可読命令）を使って実装可能である。本明細書において、用語「有形コンピュータ可読記憶媒体」は、任意の種類のコンピュータ可読記憶装置、及び／または、ストレージ・ディスクを含めること、及び／または、電搬信号を排除し、更に、伝送媒体も排除するよう明確に定義される。付加的、若しくは、代替的に、図３や図４の例示的プロセスは、任意の持続時間の間（例えば、長時間周期に渡り、永続的、短時間、一時的なバッファリング用、及び／または、情報キャッシング用）、情報が記憶されるハードディスク・ドライブ、フラッシュ・メモリー、読み取り専用メモリー、コンパクト・ディスク、デジタル多用途ディスク、キャッシュ、ランダム・アクセス・メモリー、及び／または、他の任意の記憶媒体の様な非一時的コンピュータ可読媒体上に記憶された符号化命令（例えば、コンピュータ可読命令）を用いて実装可能である。本明細書において、用語「非一時的コンピュータ可読記憶媒体」は、任意の種類のコンピュータ可読記憶装置、及び／または、ストレージ・ディスクを含めること、及び／または、電搬信号を排除し、更に、伝送媒体も排除するよう明確に定義される。本明細書では、請求項の前提部分において語句「少なくとも（ａｔ ｌｅａｓｔ）」を移行語句として使用する際、この語句は、用語「含む（ｃｏｍｐｒｉｓｉｎｇ）」が開放形式であるのと同じく開放形式である。従って、前提部分内で「少なくとも（ａｔ ｌｅａｓｔ）」を移行語句として用いた請求項には、請求項内で明示的に引用されたものに追加した構成要素を含むことができる。

装置（ブロック３００）の準備試験に関する例示的方法３００を、図３において示している。例示的方法３００は、例えば、図１で示した例示的装置１００の第１、第２ゲート１１４，１１６上の第１診断コントローラ１１８、及び、第１プロセッサー１０２によって、及び／または、第３、第４ゲート１３２、１３４上の第２診断コントローラ１３６、及び、第２プロセッサー１０４によって実行可能である。例えば、図１で示す様に、第１素子１０８は、第１電源１１２から負荷１０６までの電力流を制御する。第１素子１０８が、緊急停止状態中に故障時閉である場合、第１、第２ゲート１１４、１１６を含む第２素子１１０は、第１素子１０８、そして、負荷１０６への電力を遮断する。第２素子１１０（即ち、安全機構）が正しく動作することを確保するよう、例示的な方法３００を、他の冗長性供給点として利用できる。

例示的なプロセス３００は、第１ゲートを閉じるステップと（ブロック３０２）、第２ゲートを開くステップと（ブロック３０４）、更に、第２ゲート・ダイオード両端の電圧を測定するステップ（ブロック３０６）とを含む。この電圧は、例えば、図１の装置１００で示した第１プロセッサー１０２によって測定可能である。電圧が特定された場合（ブロック３０８）（即ち、電圧が非ゼロ値であり、電力が第２ゲートを介して流れる場合）、第２ゲートは、開放できなかったものと判定され、例えば、視覚的、及び／または、聴覚的な警告をプロセス制御ワークステーションに送信する等によって、第２ゲートを交換するための警告信号を出力する（ブロック３１０）。電圧が特定されない場合（電圧が略ゼロの等しい場合）（ブロック３０８）、第２ゲートは適切に開放され、第２ゲートを介して電力が遮断されたものと判定される。

更に、例示的プロセス３００は、第２ゲートを閉じるステップ（ブロック３１２）と、第１ゲートを開くステップ（ブロック３１４）も含む。第１ゲート・ダイオード両端の電圧を測定する（ブロック３１６）。電圧は、例えば、第１プロセッサーによって測定できる。電圧が特定された場合（ブロック３１８）（即ち、電圧が非ゼロ値であり、電力が第１ゲートを介して流れる場合）、第１ゲートは、開放できなかったものと判定され（即ち、故障時閉）、例示的プロセス３００は、例えば、視覚的、及び／または、聴覚的な警告をプロセス制御ワークステーションに送信する等によって、第１ゲートを交換するための警告信号を出力する（ブロック３１０）。電圧が特定されない場合（ブロック３１８）、第１ゲートは適切に開放されたものと判定され、安全装置３００の準備試験を実行する例示的プロセスを再開する。例示的プロセス３００は、約５０ミリ秒ごと、若しくは、これより短い間隔ごとに反復可能であり、これによって、第２素子１１０、及び／または、第４素子１３０、つまり、安全機構が、正しく動作しているかどうかを（例えば、準備状態にあること）反復的に点検する。

この説明例において、２つのゲートの１つが常時閉じており、これにより、負荷に電力を供給するための閉回路が形成される。一部の例示的プロセス装置では、一定の電力供給が望ましい。それ故、並列電気接続する２つのゲートの使用によって、診断コントローラは、中断せずに電力流を負荷に供給できるよう閉ゲートを並列に維持する間、一方のゲートを開いて、これを点検する準備評価を含むシステム診断を実行することが可能となる。

図４は、フィールド装置への電力を除去する例示的方法４００（ブロック４００）の流れ図である。例示的プロセス４００を、負荷１０６への電力を除去するための図１で示した例示的システム１００等によって実行可能である。例えば、図１で示すように、第１素子１０８は、第１電源１１２から負荷１０６までの電力流を制御する。第１素子１０８が、緊急停止状態中に故障時閉である場合、第１、第２ゲート１１４、１１６を含む第２素子１１０は、第１素子１０８、そして、負荷１０６への電力を遮断する。更に、第１プロセッサー１０２が応答に失敗した場合、第２プロセッサー１０４、または、第２診断コントローラ１３６が、第２素子１１０を開き、負荷１０６までの電力を遮断するためのパルス信号を第１診断コントローラ１１８に送信する。

例示的プロセス４００は、フィールド装置からの電力を除去する信号を送信するステップ（ブロック４０２）を含む。例えば、プロセス制御ワークステーション、または、他のロジック・ソルバが、フィールド装置／負荷からの電力を除去するための信号を、第１プロセッサーに送信する。第１プロセッサーは、第１素子を開放する信号を送信する（ブロック４０４）、これにより、フィールド装置から流れる電流を除去する。第１プロセッサーが応答中にあると判定されると（ブロック４０６）、第１素子が負荷への電力を適切に遮断していることを確認するため、第１素子ダイオード両端の電圧を測定する（ブロック４０８）。例示的プロセス４００において、第１素子ダイオード両端に電圧があるかどうかを判定する（ブロック４１０）。第１素子ダイオード両端で電圧が検知されなければ（例えば、略ゼロ電圧）、第１素子が適切に開放されており、フィールド装置に電力が流れず、例示的プロセス４００は終了する（ブロック４１２）。だが、略非ゼロの電圧が検知された場合（ブロック４１０）、第１診断を動作するための信号を送信し（ブロック４１４）、これを用いて、第１素子、そして、フィールド装置への電力を除去するため、第２素子を開放する（ブロック４１６）。この例では、図３の例示的な準備試験プロセス３００の実装によって、第２素子が正しく動作しているものと仮定している。第２素子の開放と共に（ブロック４１６）、例示的プロセス４００は終了する（ブロック４１２）。

図４の例示的プロセス４００において、第１プロセッサーが応答していないと判定されると（ブロック４０６）、第１プロセッサーは、第２素子を開き、フィールド装置への電力を除去するため、第１素子の開放、及び／または、第１診断素子の動作を始動するよう機能しない。第１プロセッサーが応答していない場合（ブロック４０６）、第２診断コントローラ、または、第２プロセッサーは、第１プロセッサーが誤作動していることを認識して、パルス信号を第１診断コントローラに送信する（ブロック４１８）。第１診断コントローラが、第１素子への電力を除去して、フィールド装置への電力を遮断するよう、第２素子を開放すると（ブロック４１６）、例示的プロセス４００は終了する（ブロック４１２）。

図５は、図１、図２の例示的装置１００、２００を実装するため、図３、図４の命令を実行可能な例示的コンピュータ５００の構成図である。コンピュータ５００は、例えば、サーバ、パーソナル・コンピュータ、インターネット機器、Ｂｌｕ−ｒａｙ（登録商標）プレーヤ、または、他の種類のコンピュータ装置で良い。

本実例の装置５００は、プロセッサー５１２を含む。例えば、プロセッサー５１２は、任意の所望の種類、または、製造者からの１つ以上のマイクロプロセッサー、若しくは、コントローラによって実装可能である。

プロセッサー５１２は、ローカル・メモリー５１３（例えば、キャッシュ）を含み、揮発性メモリー５１４、及び、不揮発性メモリー５１６を含む主メモリーと、バス５１８を介して通信する。揮発性メモリー５１４は、同期式ダイナミック・ランダム・アクセス・メモリ（ＳＤＲＡＭ）、ダイナミック・ランダム・アクセス・メモリ（ＤＲＡＭ）、ＲＡＭＢＵＳダイナミック・ランダム・アクセス・メモリ（ＲＤＲＡＭ）、及び／または、他の任意の種類のランダム・アクセス・メモリー素子により実装可能である。不揮発性メモリー５１６は、フラッシュ・メモリー、及び／または、他の任意のメモリー素子により実装できる。主メモリー５１４、５１６へのアクセスは、メモリー・コントローラ（図示せず）によって制御される。

更に、コンピュータ５００は、インターフェース回路５２０も含む。インターフェース回路５２０は、任意の種類のインターフェース規格、例えば、イーサネット（登録商標）・インターフェース、ユニバーサル・シリアル・バス（ＵＳＢ）、及び／または、ＰＣＩ ｅｘｐｒｅｓｓ（登録商標）インターフェース等により実装可能である。

１つ以上の入力装置５２２が、インターフェース回路５２０に接続する。入力装置（複数）５２２によって、ユーザが、データや命令をプロセッサー５１２に入力することが可能となる。入力装置（複数）は、例えば、キーボード、マウス、タッチスクリーン、トラック・パッド、トラックボール、アイソポイント、及び／または、音声認識システムによって実装可能である。

更に、１つ以上の出力装置５２４も、インターフェース回路５２０に接続する。出力装置５２４は、例えば、ディスプレイ装置（例えば、液晶ディスプレイ、陰極線管ディスプレイ（ＣＲＴ），プリンター、及び／または、スピーカ）によって実装できる。インターフェース回路５２０は、主として、グラフィックス・ドライバー・カードを含む。

更に、インターフェース回路５２０は、ネットワーク５２６（例えば、イーサネット（登録商標）接続、デジタル加入者線（ＤＳＬ）、電話線、同軸ケーブル、セルラー式電話システム等）を介して外部コンピュータとのデータの交換を支援するモデム、または、ネットワーク・インターフェース・カードの様な通信装置を含む。

更に、コンピュータ５００は、ソフトウェアやデータを記憶するための１つ以上の大容量記憶装置５２８も含む。この様な大容量記憶装置５２８には、フロッピー・ディスク・ドライブ、ハード・ドライブ・ディスク、コンパクト・ディスク・ドライブ、及び、デジタル多用途ディスク（ＤＶＤ）ドライブがある。大容量記憶装置５２８は、ローカル・ストレージ装置を実装できる。

図３や図４の方法を実現する符号化命令５３２は、大容量記憶装置５２８内、揮発性メモリー５１４内、不揮発性メモリー５１６内、及び／または、ＣＤ、若しくは、ＤＶＤの様なリムーバブル記憶媒体上に記憶可能である。

本明細書で開示された例示的なシステム、並びに、方法は、フィールド装置の適切な停止を確保するよう、チャンネル単位で複数の冗長性供給点を生成する。

本明細書では、ある一部の例示的方法、装置、製品が開示されているが、本特許の網羅範囲は、これに限定されない。その代わり、本特許は、その特許請求の範囲内で公正に収まる全ての方法、装置、及び、製品を網羅する。

Claims (18)

1. フィールド装置への電力を制御する第１スイッチと、
   第１ゲートと第２ゲートを含む第２スイッチであって、前記第２ゲートは、前記第１ゲートと並列電気接続する第２スイッチとを含み、前記第２スイッチは、前記第１スイッチと直列電気接続し、
   更に、
   前記第１ゲート及び第２ゲートを制御するための第１診断コントローラと、
   前記第１スイッチを制御するための第１プロセッサーと、
   前記フィールド装置への電力を制御するための第３スイッチと、
   第３ゲートと第４ゲートを含む第４スイッチであって、前記第４ゲートは、前記第３ゲートと並列電気接続する第４スイッチとを含み、前記第４スイッチは、前記第３スイッチと直列電気接続し、
   更に、
   前記第３スイッチを制御するための第２プロセッサーと、
   前記第３ゲート及び第４ゲートを制御するための第２診断コントローラと、を含むことを特徴とする装置。
2. 前記第１診断コントローラは、前記第２診断コントローラと通信可能に接続することを特徴とする、請求項１に記載の装置。
3. 前記第１プロセッサーと前記第２プロセッサーは、通信可能に接続することを特徴とする、請求項１に記載の装置。
4. 前記第１プロセッサーは、前記第１診断コントローラと通信可能に接続し、前記第２プロセッサーは、前記第２診断コントローラと通信可能に接続する、請求項１に記載の装置。
5. 前記第１プロセッサーは、前記第２診断コントローラと通信可能に接続し、前記第２プロセッサーは、前記第１診断コントローラと通信可能に接続する、請求項１に記載の装置。
6. 前記電力は、複数の電力源により供給されることを特徴とする、請求項１に記載の装置。
7. 前記第１スイッチ、前記第１ゲート、前記第２ゲート、前記第３スイッチ、前記第３ゲート、または、前記第４ゲートの１つ以上は、トランジスタ、電界効果トランジスタ（ＦＥＴ）、または、中継器を含むことを特徴とする、請求項１に記載の装置。
8. 前記第１診断コントローラは、前記第３スイッチ、または、前記第２プロセッサーが故障した時に、前記第４スイッチを制御することを特徴とする、請求項１に記載の装置。
9. 前記第２診断コントローラは、前記第１スイッチ、または、前記第１プロセッサーが故障した時に、前記第２スイッチを制御することを特徴とする、請求項１に記載の装置。
10. 前記第１診断コントローラは、前記第１ゲート及び第２ゲートを交互に試験し、前記第２診断コントローラは、前記第３ゲート及び第４ゲートを交互に試験することを特徴とする、請求項１に記載の装置。
11. 各ゲートの前記試験は、定期的に実施されることを特徴とする、請求項１０に記載の装置。
12. 前記第１プロセッサーは、前記第１ゲートに関連する第１電圧、前記第２ゲートに関連する第２電圧、及び、前記第１スイッチに関連する第３電圧を測定することを特徴とする、請求項１に記載の装置。
13. 前記第２プロセッサーは、前記第３ゲートに関連する第４電圧、前記第４ゲートに関連する第５電圧、及び、前記第３スイッチに関連する第６電圧を測定することを特徴とする、請求項１に記載の装置。
14. フィールド装置への電力を除去する信号を第１プロセッサーに送信するステップと、
    第１スイッチを開放するステップと、更に、
    前記第１スイッチと前記フィールド装置との間に設けられた第１ダイオードの両端の第１電圧を測定するステップとを含み、
    前記第１電圧が略非ゼロ値の場合、第２スイッチを開放することにより、前記第１スイッチへの電力を除去するよう、第１診断コントローラに命令し、
    前記第２スイッチは、前記第１スイッチと直列電気接続し、第１ゲート及び第２ゲートを含み、
    前記第１ゲートは、前記第２ゲートと並列電気接続する、ことを特徴とする、
    方法。
15. 前記第１プロセッサーが応答しているかどうかを判定するステップを更に含み、
    前記第１プロセッサーが応答していない場合、前記第２スイッチを開放するための信号を、第２診断コントローラ、または、第２プロセッサーから前記第１診断コントローラへと送信することを特徴とする、請求項１４に記載の方法。
16. 前記第１ゲートを閉じるステップと、
    前記第２ゲートを開放するステップと、更に、
    前記第２ゲートと前記第１スイッチとの間に設けられた第２ダイオードの両端の第２電圧を測定するステップを更に含み、
    前記第２電圧が略ゼロの場合、前記第２ゲートを閉じ、前記第１ゲートを開放し、更に、前記第１ゲートと前記第１スイッチとの間に設けられた第３ダイオードの両端の第３電圧を測定し、
    前記第２電圧、または、前記第３電圧の実測値が略非ゼロであれば、警告を送信することを特徴とする、請求項１４に記載の方法。
17. 前記第１ゲート、第２ゲートを閉鎖、及び、開放する前記ステップは、前記フィールド装置の動作中に定期的に実施することを特徴とする特徴とする、請求項１６に記載の方法。
18. 前記第１プロセッサー、または、前記第１スイッチの１つ以上が故障した時、前記第２スイッチを開放することで、前記第１スイッチへの電力を除去するステップを更に含むことを特徴とする、請求項１４に記載の方法。
    

Images