SE522549C2

SE522549C2 - An apparatus and method for sensor analysis of a flow process, for detecting erroneous alarms and indicating the reliability of alarm signals to an operator

Info

Publication number: SE522549C2
Application number: SE0101525A
Authority: SE
Inventors: Jan Eric Larsson; Fredrik Dahlstrand; Bengt Oehman
Original assignee: Goalart Ab
Priority date: 2001-03-06
Filing date: 2001-04-29
Publication date: 2004-02-17
Also published as: EP1377949A1; SE0101525L; WO2002071359A1; SE0101525D0

Abstract

The present invention relates to analysis of sensors and sensor signals using status signals carrying information about the status of components in a flow system. The invention can comprise means for condition checking (31) arranged to determine the alarm state of a function connected via a condition to a goal when the goal is not achieved or means for checking for normal/failed situations (32) arranged to check a function in an alarmed state next to a function in a normal state using consequence propagation rules. Further, the invention can comprise means for full consequence irregularity analysis (33) arranged to assume that one of the alarm signals is erroneous, to check the alarm states using consequence propagation rules and to present the simplified situation if the number of primary alarms are decreased.

Description

25 30 35 . . u. ~ » u u . .. .. . . z O 0 ll I OI I OI I 00 IC u. ~ - I v - . ~ - . « . s - _ u. v. . - . .. »Un- . .u . - . . . n . . . . . . . . . - . . . . . . . u H s .... n . 2 Uppfinningens syfte Ett syfte med föreliggande uppfinning är att tillhandahålla ett system, en anordning och en metod som kan detektera larmsignaler som eventuellt är felaktiga. 25 30 35. . u. ~ »u u. .. ... . z O 0 ll I OI I OI I 00 IC u. ~ - I v -. ~ -. «. s - _ u. v.. -. .. »Un-. .u. -. . . n. . . . . . . . . -. . . . . . . u H s .... n. Object of the invention An object of the present invention is to provide a system, a device and a method which can detect alarm signals which may be incorrect.

Ett annat syfte är att tillhandahålla ett system, en anordning och en metod för sensoranalyser som är korrekt, enkel att implementera och inte är datamässigt komplex. Ytterligare ett syfte med uppfinningen är att åstadkomma ett system, en anordning och en metod som ger en indikation till en operatör på att den indikerade larmsignalen eller larmsignalerna inte är tillförlitlig respektive tillförlitliga.Another object is to provide a system, a device and a method for sensor analyzes which are accurate, simple to implement and are not data complex. A further object of the invention is to provide a system, a device and a method which gives an indication to an operator that the indicated alarm signal or signals are not reliable and reliable, respectively.

Sammanfattning av uppfinningen Enligt föreliggande uppfinning uppnås de ovan angivna syftena med ett system, en anordning och en metod för sensoranalys enligt vad som definieras i de efterföljande patentkraven.Summary of the Invention According to the present invention, the above objects are achieved with a system, an apparatus and a method for sensor analysis as defined in the appended claims.

Föreliggande uppfinning avser ett system för sensoranalys som använder statussignaler medförande information om statusen för komponenter i en process.The present invention relates to a sensor analysis system which uses status signals carrying information about the status of components in a process.

Systemet kännetecknas av att kvalitativa beskrivningar av komponentemas status erhålles genom generering av larmsignaler beroende av gränsvärden för status- signalema, vilka gränsvärden definieras av förbestämda funktioner. Systemet kännetecknas vidare av att de kvalitativa beskrivningarna analyseras beroende på en uppsättning förbestämda regler, såsom konsekvensutbredningsregler, och på en enda funktionell modell som beskriver processens funktion. I en utföringsform av uppﬁnningen är den funktionella modellen företrädesvis en multinivåﬂödesmodell av anläggningen. Enligt uppﬁnningen fordras vidare bara en modell av anläggningen för att genomföra sensoranalysen.The system is characterized in that qualitative descriptions of the status of the components are obtained by generating alarm signals depending on limit values for the status signals, which limit values are defined by predetermined functions. The system is further characterized by the fact that the qualitative descriptions are analyzed depending on a set of predetermined rules, such as consequence distribution rules, and on a single functional model that describes the function of the process. In one embodiment of the invention, the functional model is preferably a multi-level fate model of the plant. According to the invention, only one model of the plant is required to carry out the sensor analysis.

Systemet innefattar organ för att definiera ett villkor mellan ett mål och en funktion samt organ för att kontrollera konsekvensen mellan ett larmtillstånd för funktionen och villkoret. Systemet innefattar vidare en valideringsanordning som innefattar organ för villkorskontroll. Organet för villkorskontroll är anordnat att bestämma larmtillståndet för en funktion knutet via ett villkor till ett mål, när målet inte har uppnåtts. Valideringsenheten innefattar vidare organ för kontroll av normala/felaktiga situationer anordnade för kontroll av en funktion i ett larm- tillstånd relativt en funktion i ett normaltillstånd under utnyttjande av konsekvens- utbredningsregler och organ för full konsekvensoregelbundenhetsanalys. Organet för full konsekvensoregelbundenhetsanalys är anordnat att antaga att en av larmsignalerna är felaktig, för att kontrollera larmtillstånden med användning av 10 20 25 30 35 o ~ ooo o o oo oo oo o .. ,. . : o o o o oo o o oo o oo o oo oo o o o o o o o o o o o o o o o o _ ooo ooo oo o o o oo oooooo o .oo o o o o oo o o o o o o o o o o o o o o o o o oo oo o o o o o oo 3 konsekvensutbredningsreglerna och för att presentera den förenklade situationen om antalet primära larm har minskats.The system includes means for defining a condition between a target and a function and means for checking the consequence between an alarm state for the function and the condition. The system further comprises a validation device which comprises means for condition control. The condition control means is arranged to determine the alarm state of a function linked via a condition to a target, when the target has not been achieved. The validation unit further comprises means for checking normal / erroneous situations arranged for checking a function in an alarm state relative to a function in a normal state using consequence propagation rules and means for full consequence regularity analysis. The means for full consequence irregularity analysis is arranged to assume that one of the alarm signals is incorrect, in order to check the alarm conditions using o ~ ooo o o oo oo oo o ..,. . o o o o o o o o o o o o o o o o o o o o o o o o o o o o o o o o o o o o o o o o o o o o o o o o o o o o o o o o o o o o o o o o o o o o 3 o o

Kortfattad beskrivning av ritningarna Föreliggande uppfinning kommer att beskrivas mer i detalj med hänvisning till bifogade ritningar, där ﬁg. 1 schematiskt visar sensoranalyssystemet enligt föreliggande uppfinning, fig. 2 visar stegen för valideringsförfarandet enligt föreliggande uppfinning, fig. 3 visar stegen för förfarandena för a) villkorskontroll, b) kontroll av normala/ felaktiga situationer samt c) full partkonsekvensoregelbundenhetsanalys, fig. 4 visar ett ﬂödesledningssystem och sensorer innefattade i ett exemplifierande system för sensoranalys enligt uppfinningen, fig. 5 visar en MFM-modell med två nätverk N1 och N2, där det nedre nätverket N2 beskriver ett elektriskt flöde och det övre nätverket N 1 beskriver ett vattenﬂöde, fig. 6a visar att funktionerna FS och F2 har låga ﬂödeslarm, fig. 6b visar att funktionen F5 har lågt ﬂödeslarm och funktionen F2 har högt ﬂödeslarm, ﬁg. 7a visar en larmsituation utan några misstänkta larm, fig. 7b visar en larmsituation utan någon förklaring i enlighet med konsekvens- reglerna i MFM-modellen, fig. 8 visar två larmsituationer som kommer att indikeras som rnisstärilcta, fig. 9 visar ett MFM-ﬂöde med två primära larm, som kan förenklas genom att anta att ett av larmen är inkorrekt, i fig. 10 visar nätverket enligt fig. 9 där funktionen FZ antages vara i tillståndet högt ﬂöde i stället för i tillståndet lågt ﬂöde, ﬁg. 11 visar nätverket enligt fig. 9 där funktionen F3 antages vara i tillståndet hög volym i stället föri tillståndet låg volym, fig. 12 visar nätverket enligt fig. 9 där funktionen F4 antages vara i tillståndet lågt ﬂöde i stället för i tillståndet högt ﬂöde och fig. 13 visar en larmsituation som inte kan reduceras till att innefatta färre primära larm genom att antaga att en enda mätning är inkorrekt.Brief Description of the Drawings The present invention will be described in more detail with reference to the accompanying drawings, in which ﬁ g. Fig. 1 schematically shows the sensor analysis system according to the present invention, Fig. 2 shows the steps of the validation method according to the present invention, Fig. 3 shows the steps of the procedures for a) condition checking, b) checking of normal / incorrect situations ﬂ fate line systems and sensors included in an exemplary sensor analysis system according to the invention, Fig. 5 shows an MFM model with two networks N1 and N2, where the lower network N2 describes an electric flow and the upper network N1 describes a water ﬂ fate, Fig. 6a shows that the functions FS and F2 have low ﬂ fatal alarms, Fig. 6b shows that the function F5 has a low ﬂ fatal alarm and the function F2 has a high ﬂ fatal alarm, ﬁ g. Fig. 7a shows an alarm situation without any suspicious alarms, Fig. 7b shows an alarm situation without any explanation in accordance with the consequence rules in the MFM model, Fig. 8 shows two alarm situations that will be indicated as remote, Fig. 9 shows an MFM fate with two primary alarms, which can be simplified by assuming that one of the alarms is incorrect, in Fig. 10 shows the network according to Fig. 9 where the function FZ is assumed to be in the state high ﬂ desert instead of in the state low ﬂ desert, ﬁ g. Fig. 11 shows the network according to Fig. 9 where the function F3 is assumed to be in the high volume state instead of the low volume state, Fig. 12 shows the network according to Fig. 9 where the function F4 is assumed to be in the low ﬂ desert state instead of in the high ﬂ desert state and 13 shows an alarm situation that cannot be reduced to include fewer primary alarms by assuming that a single measurement is incorrect.

Definitioner I beskrivningen av föreliggande uppfinning kommer följande definitioner att användas: F lödessystem avser ett system av komponenter och ﬂödet av enheter mellan dem samt komponenternas förmåga med avseende på ﬂödet, såsom förmågan att 10 20 25 30 35 u n nu n n nu o. ua a un o o : :. n . rn n . a n n u. o en nu n' I" u u u o q n av u nu o n u o ua n o n v: nun-o u n; n _ 1 n n I »a a n n o n n . , . .Definitions In the description of the present invention, the following definitions will be used: Flow systems refer to a system of components and the fate of units between them and the ability of the components with respect to the fate, such as the ability to work. oo::. n. rn n. a n n u. o en nu n 'I "u u u o q n av u nu o n u o ua n o n v: nun-o u n; n _ 1 n n I» a a n n o n n.,..

I c 4 . u u n c ao »n u : c | n nu 4 lagra, transportera, alstra, konsumera och styra ﬂödet av någonting. Dessa enheter kan vara vad som helst så länge som de lyder oförstörbarhetslagarna, exempelvis mass-, energi-, kassa- eller informationsﬂöden. I ett massﬂödessystem kan komponenterna vara pumpar, behållare, transportband, kemiska reaktioner, biologiska processer eller andra komponenter som användes för att upprätthålla massﬂöden. I ett energiﬂöde kan komponenterna vara radiatorer, batterier, elektriska strömuttag, kablar för överföring av elektrisk energi och radioaktivt sönderfall. I ett informationsflöde kan komponentema vara PID-regulatorer, sensorer och aktivatorer, men även mer abstrakta komponenter såsom informations- rninne i en Intemet-server, nätomkopplare, dokumentmatningssystem samt organ för verbal kommunikation. Ett kassaﬂödessystem kan innefatta komponenter såsom bankkonton, finansiella transaktioner och investeringar.I c 4. u u n c ao »n u: c | n now 4 store, transport, generate, consume and control the fate of something. These devices can be anything as long as they obey the laws of indestructibility, such as the fate of mass, energy, cash or information. In a mass fate system, the components may be pumps, containers, conveyor belts, chemical reactions, biological processes or other components used to maintain mass fate. In an energy fate, the components can be radiators, batteries, electrical outlets, cables for the transmission of electrical energy and radioactive decay. In an information flow, the components can be PID controllers, sensors and activators, but also more abstract components such as information flow in an Intemet server, network switches, document feed systems and means for verbal communication. A cash flow system can include components such as bank accounts, financial transactions and investments.

Process avser komponenter och interaktion mellan dem. En process kan innehålla ett ﬂertal ﬂödessystem, som kan vara oberoende. Ett exempel kan vara en värmeväxlare innefattande både ett vattenﬂöde (ett massﬂöde) och ett värmeﬂöde (ett energiﬂöde), vilka ﬂöden fordras för värmeväxlarens korrekta drift. Ett annat exempel kan vara en kemisk process, vilken använder värme (ett energiﬂöde) för att möjliggöra en kemisk reaktion (ett massﬂöde). Ännu ett exempel är luft- matningssystemet (ett massﬂöde) i en rymdkapsel, som krävs för att astronauterna skall kunna fatta beslut (ett infonnationsﬂöde).Process refers to components and interaction between them. A process can contain a number of fate systems, which can be independent. An example may be a heat exchanger comprising both a water ﬂ fate (a mass ﬂ fate) and a heat ﬂ fate (an energy ﬂ fate), which den fate is required for the proper operation of the heat exchanger. Another example might be a chemical process, which uses heat (an energy de destiny) to enable a chemical reaction (a mass ﬂ destiny). Another example is the air supply system (a mass ﬂ fate) in a space capsule, which is required for astronauts to be able to make decisions (an information ﬂ fate).

Mål avser syftet med en process och är det resultat mot vilket vissa aktiviteter hos processen är riktade. Ett mål skulle exempelvis kunna vara att hålla nivån i en behållare tillräckligt hög och ett delmål (eng. sub-goal) skulle kunna vara att mata elektrisk effekt till en pump, som pumpar in vatten i behållaren, varvid submålet måste uppfyllas för att huvudmålet skall uppfyllas.Goals refer to the purpose of a process and are the result towards which certain activities of the process are directed. One goal could be, for example, to keep the level in a container high enough and a sub-goal could be to supply electrical power to a pump, which pumps water into the container, whereby the sub-goal must be met in order for the main goal to be met.

Funktion avser förmågan hos de komponenter som användes för att uppfylla målen. En källfunktion kan exempelvis användas för att modellera förmågan hos ett tråg, dvs. för att tillhandahålla en oändlig massmängd, eller förmågan hos ett kraftverk att alstra en oändlig energimängd. Vidare kan en transportfunktion exempelvis användas för att modellera förmågan hos en pump, dvs. att förﬂytta en massmängd, eller överföra pengar från ett konto till ett annat, dvs. flytta en penningmängd. En funktion kan även användas för att beskriva förmågan att styra uppfyllandet av ett mål. Hanteringsfunktionen kan användas för att modellera förmågan hos operatörema i ett kraftverk att styra energiproduktionen och därmed uppfylla målet med kraftverket.Function refers to the ability of the components used to meet the goals. A source function can be used, for example, to model the ability of a trough, ie. to provide an infinite amount of mass, or the ability of a power plant to generate an infinite amount of energy. Furthermore, a transport function can, for example, be used to model the capacity of a pump, ie. to transfer a quantity, or transfer money from one account to another, ie. move a money supply. A function can also be used to describe the ability to control the fulfillment of a goal. The management function can be used to model the ability of the operators in a power plant to control energy production and thus fulfill the goal of the power plant.

Multinivåﬂödesmodell (MFM) beskriver processens mål och funktioner.Multi-level fate model (MFM) describes the goals and functions of the process.

Multinivåﬂödesmodeller är grafiska modeller varmed det är möjligt att basera ﬂera 10 20 25 30 35 522 549 5 n I . _ _ . . - u u u ou olika metoder för diagnostiska resonemang. Multinivåﬂödesmodellen för en anläggning kan vara uppdelad i ﬂera mindre modelldelar, var och en med ett mål att uppfylla. Dessa mål är de ovan nämnda submål.Multi-level fate models are graphic models with which it is possible to base your 20 20 25 30 35 522 549 5 n I. _ _. . - u u u ou different methods of diagnostic reasoning. The multi-level fate model for a plant can be divided into your smaller model parts, each with a goal to fulfill. These goals are the sub-goals mentioned above.

Målsystem är det system som övervakas, observeras, analyseras eller diagnosticeras av uppfinningen, eventuellt innefattande minst ett ﬂödessystem och/eller ett övervaknings- eller styrsystem.Target system is the system that is monitored, observed, analyzed or diagnosed by the invention, possibly comprising at least one fate system and / or a monitoring or control system.

Signaler eller parametrar är i ett fysiskt flödessystem genererade analoga eller digitala vågformer som användes för att bära information. Sensorer anordnade vid komponenterna kan exempelvis registrera signalerna. I ett icke fysiskt ﬂödes- system, såsom ett affärs- eller hanteringssystem, användes specifika parametrar för att bära information om komponenterna.Signals or parameters are in a physical flow system generated analog or digital waveforms that are used to carry information. Sensors arranged at the components can, for example, register the signals. In a non-physical fate system, such as a business or management system, specific parameters are used to carry information about the components.

Statussignal är den omfattande termen för en signal som tillhandahåller information om processens status, där informationen innefattar både kvantitativa statussignaler, såsom mätningar, och kvalitativa statussignaler, såsom larm, larmsignaler och händelser.Status signal is the broad term for a signal that provides information about the status of the process, where the information includes both quantitative status signals, such as measurements, and qualitative status signals, such as alarms, alarm signals and events.

Mätsignaler eller mätningar är kvantitativa beskrivningar av process- komponentemas status, exempelvis nivån i en behållare eller ﬂödeshastigheten genom ett rör eller liknande i ett ﬂödessystem. Mätningarna registreras exempelvis av sensorer, som typiskt är anordnade i ett målsystem, exempelvis i ett instrumenterings- och styrsystem.Measurement signals or measurements are quantitative descriptions of the status of the process components, for example the level in a container or the speed of fate through a pipe or similar in a fate system. The measurements are registered, for example, by sensors, which are typically arranged in a target system, for example in an instrumentation and control system.

Larm är kvalitativa beskrivningar av komponenternas status som genereras när mätningarna inte är acceptabla enligt en förbestämd funktion som definierar driftgränsvärden, exempelvis nivån i en behållare är alltför hög eller ﬂödes- hastigheten genom ett rör är alltför låg. Larmet kan genereras i ett mälsystem, exempelvis i ett instrumenterings- och styrsystem.Alarms are qualitative descriptions of the status of the components that are generated when the measurements are not acceptable according to a predetermined function that defines operating limit values, for example the level in a container is too high or the fatal velocity through a pipe is too low. The alarm can be generated in a measuring system, for example in an instrumentation and control system.

Larmsignaler, larmvärden och larmtillstånd är kvalitativa beskrivningar på komponentemas status och indikerar typiskt kvalitativ klassificering av kvantitativa värden i enlighet med gränsvärden definierade av förbestämda funktioner. Larm- signalema, larmvärdena och larmtillstånden innefattar typiskt de kvalitativa värdena hög, normal eller låg. Larmsignalerna, larmvärdena och lanntíllstånden innefattar alltså även den kvalitativa värdet normal till skillnad från larmen, som inte innefattar det kvalitativa värdet normal.Alarm signals, alarm values and alarm states are qualitative descriptions of the status of the components and typically indicate qualitative classification of quantitative values in accordance with limit values defined by predetermined functions. The alarm signals, alarm values and alarm conditions typically include the qualitative values high, normal or low. The alarm signals, alarm values and country conditions thus also include the qualitative value normal in contrast to the alarms, which do not include the qualitative value normal.

Händelser är kvalitativ information om andra händelser än de som ger upphov till larmsignaler eller larm som uppträder i en process, exempelvis styråtgärder såsom stängning av en ventil, eller ändringar av drifttillståndet, såsom ingångsättning eller nedstängning. Händelserna genereras i ett målsystem, exempelvis i ett informations- och styrsystem. 10 20 25 30 35 n , , u nu v . a. o - - ~ . n q o. II' ' ' 0.1: :anø- 0 I"= .nu nu I' 0 ' . , . n v ° n v u a» I ° ,, . - - . . av ' u v o , , . I nu 6 Beräknad statusinfornzation är information som är beräknad medelst service- funktioner ingående i systemet enligt föreliggande uppfinning. Beräkningen baseras på de statussignaler som mottages från ett målsystem, exempelvis ett instrumenterings- och styrsystem.Events are qualitative information about events other than those that give rise to alarm signals or alarms that occur in a process, for example control measures such as closing a valve, or changes in the operating condition, such as starting or shutting down. The events are generated in a target system, for example in an information and control system. 10 20 25 30 35 n,, u nu v. a. o - - ~. nq o. II '' '0.1:: anø- 0 I "= .nu nu I' 0 '.,. nv ° nvua» I ° ,,. - -.. av' uvo,,. I nu 6 Calculated status information is information that is calculated by means of service functions included in the system according to the present invention.The calculation is based on the status signals received from a target system, for example an instrumentation and control system.

Konsekvensutbredningsregler innefattar kausala regler som beskriver förhållandet mellan olika delar och komponenter i ett ﬂöde/nätverk i målsystemet eller anläggningen, dvs. beskriver hur delarna eller komponenterna som ingår i ﬂödet/nätverket påverkar varandra. Konsekvensutbredningsreglema innefattar även de villkorli ga relationerna mellan nätverken, vilka relationer benämnes: villkors- relationer. Reglerna kan beskrivas med enkla if-satser eller med mer komplexa logiska uttryck.Impact propagation rules include causal rules that describe the relationship between different parts and components of a ﬂ fate / network in the target system or facility, ie. describes how the parts or components included in the ﬂ fate / network affect each other. The consequence dissemination rules also include the conditional relations between the networks, which relations are called: conditional relations. The rules can be described with simple if statements or with more complex logical expressions.

Detaljerad beskrivning av uppfinningen Föreliggande uppﬁnning avser ett system, en anordning och en metod för sensoranalys och speciellt ett sådant system och en sådan anordning och metod som kan detektera larmsignaler som eventuellt är felaktiga. Vidare avser föreliggande uppfinning ett system, en anordning och en metod för sensoranalys som kan ge en indikation till en operatör om att den indikerade larmsignalen eller larmsignalema kanske inte är tillförlitliga. g Systemet enligt uppfinningen är anordnat att automatiskt detektera falska sensormätningar genom jämförelse av information från många sensorer och applicering av kunskap om anläggningen samt sedan detektera när mätningarna inte är i överensstämmelse. Om suspekta mätningar påträffas så har systemet även förmåga att tillhandahålla ett alternativt mätvärde som passar larmsituationen.DETAILED DESCRIPTION OF THE INVENTION The present invention relates to a system, a device and a method for sensor analysis and in particular to such a system and such a device and method which can detect alarm signals which may be incorrect. Furthermore, the present invention relates to a system, a device and a method for sensor analysis which can give an indication to an operator that the indicated alarm signal or signals may not be reliable. The system according to the invention is arranged to automatically detect false sensor measurements by comparing information from many sensors and applying knowledge about the plant, and then detecting when the measurements are not in accordance. If suspicious measurements are found, the system is also able to provide an alternative measurement value that suits the alarm situation.

Systemet enligt uppfinningen kommer nu att beskrivas med hänvisning till fig. 1, där en utföringsform av uppfinningen visas. Systemet 1 innefattar åtminstone en del av en process 10 kopplad till en larmenhet 20. Vidare innefattar systemet l en sensoranalysanordning 5, som kan vara en datorbaserad anordning eller en dator, såsom en persondator. I en utföringsform av uppfinningen innefattar anordningen 5 en valideringsenhet 30 och en databas 40, men i en annan utföringsforrn kan sensor- analysanordningen 5 exempelvis innefatta larmenheten 20 och en återgivningsenhet 50. Valideringsenheten 30 är kopplad till larmenheten 20, till databasen 40 och kan även vara kopplad till en återgivningsenhet 50. Valideringsenheten 30 innefattar organ för villkorskontroll 31 (eng. condition checking), organ för normal/felkontroll 32 samt organ för full konsekvensoregelbundenhetanalys (eng. full part consequence irregularity analysis) 33, vilka valideringsorgan 31 - 33 kommer att beskrivas mer i detalj nedan. Även andra lämpliga organ för sensoranalys och/eller 10 20 25 30 35 522 549 7 .The system according to the invention will now be described with reference to Fig. 1, where an embodiment of the invention is shown. The system 1 comprises at least a part of a process 10 connected to an alarm unit 20. Furthermore, the system 1 comprises a sensor analysis device 5, which may be a computer-based device or a computer, such as a personal computer. In one embodiment of the invention, the device 5 comprises a validation unit 30 and a database 40, but in another embodiment the sensor analysis device 5 may for example comprise the alarm unit 20 and a display unit 50. The validation unit 30 is connected to the alarm unit 20, to the database 40 and may also be connected to a reproducing unit 50. The validation unit 30 comprises means for condition checking 31, means for normal / error control 32 and means for full part consequence irregularity analysis 33, which validation means 31 - 33 will be described more in detail below. Also other suitable means for sensor analysis and / or 10 20 25 30 35 522 549 7.

.. .I . . . . . . .- analyser kan emellertid ingå i valideringsenheten 30. Databasen 40 innefattar konsekvensutbredningsreglema och villkorsrelationer för anläggningen. Dessa regler och relationer kan vara förbestämda utifrån kunskap om komponenterna 15 i processen, interaktioner mellan komponenterna 15 och genom användning av kunskap om interaktionema mellan nätverken, vilka nätverk innefattar funktionerna som modellerar komponentema 15. Ätergivningsenheten 50 kan vara en monitor, men den kan även vara en skrivare eller annan enhet anordnad att återge I valideringsenhetens 30 resultat för en operatör av anläggningen... .I. . . . . . .- analyzes can, however, be included in the validation unit 30. The database 40 includes the consequence dissemination rules and conditional relationships for the facility. These rules and relationships can be predetermined based on knowledge of the components 15 in the process, interactions between the components 15 and by using knowledge of the interactions between the networks, which networks include the functions that model the components 15. The display unit 50 can be a monitor, but it can also be a printer or other device arranged to reproduce in the results of the validation unit 30 for an operator of the plant.

Sensorer innefattade i systemet 1 mäter olika parametrar för processens 10 komponenter 15, varvid kvantitativa mätsignaler jämförs med förbestämda gränsvärden medelst larmenheten 20. Kvalitativa larmsignaler genereras och om sensorsignalerna ligger utanför intervallet för de förbestämda gränsvärdena så genereras larm. Dessa larm och larmsignaler är kvalitativa beskrivningar av komponentens status. Vidare bestämmer larmenheten 20 det kausala sambandet mellan de mottagna larmsignalerna, medelst uppräkning av samtliga möjliga larmkombinationer, logiska uttryck eller larmanalys. Larmenheten 20 bestämmer alltså vilka av larmen som är primära larm och vilka som är sekundära larm.Sensors included in the system 1 measure different parameters for the components 10 of the process 10, whereby quantitative measurement signals are compared with predetermined limit values by means of the alarm unit 20. Qualitative alarm signals are generated and if the sensor signals are outside the range of the predetermined limits, alarms are generated. These alarms and alarm signals are qualitative descriptions of the component's status. Furthermore, the alarm unit 20 determines the causal relationship between the received alarm signals, by enumerating all possible alarm combinations, logical expressions or alarm analysis. The alarm unit 20 thus determines which of the alarms are primary alarms and which are secondary alarms.

Nämnda larmsignaler och deras kausala samband överförs från larmenheten 20 och mottages i valideringsenheten 30. Närmare bestämt mottages larmsignalema och det kausala sambandet i vart och ett av valideringsorganen 31 - 33 innefattade i valideringsenheten 30. Därvid beräknar valideringsorganen 31 - 33 ny status- information baserat på konsekvensutbredningsreglerna. Denna beräknade nya statusinformation kan sedan presenteras för operatören på återgivningsenheten 50.Said alarm signals and their causal connection are transmitted from the alarm unit 20 and received in the validation unit 30. More specifically, the alarm signals and the causal connection are received in each of the validation means 31 - 33 included in the validation unit 30. In doing so, the validation means 31 - 33 calculate new status information based on consequence rules. This calculated new status information can then be presented to the operator on the display unit 50.

Sensoranalyssystemet 1 enligt uppfinningen kommer nu att beskrivas med hänvisning till fig. 3. I detta enkla exempel innefattar processen 10 ett vätskeflödes- system cl - c4 och tre sensorer sl - s3. Sensorerna sl - s3 kan registrera olika parametervärden i ﬂödet, såsom massﬂödet, energiﬂödet och inforrnationsﬂödet.The sensor analysis system 1 according to the invention will now be described with reference to Fig. 3. In this simple example, the process 10 comprises a liquid flow system c1 - c4 and three sensors s1 - s3. The sensors sl - s3 can register different parameter values in the fate, such as the mass fate, the energy fate and the information fate.

Med hänvisning till fig. 4 kommer uppfinningen att beskrivas med användning av vätskeﬂödet och ﬂödesriktningarna illustreras i ﬁg. 4 med användning av pilar.Referring to Fig. 4, the invention will be described using the liquid fate and the directions of fate illustrated in Figs. 4 using arrows.

Värdena/signalerna som registreras av sensorema sl - s3 kan uttryckas som kvalitativa beskrivningar, såsom litet ﬂöde, normalt ﬂöde och stort ﬂöde. I sensor- analyssystemet enligt uppfinningen är ﬂödessystemets konstruktion känd i förväg liksom de fysiska lagarna avseende ﬂödets rörelse. Eftersom vätskeﬂödet i systemet är känt är det möjligt att förbestämma de konsekvensutbredningsregler och villkorsrelationema som gäller för denna process 10. Genom användning av sensorsignaler, konsekvensutbredningsregler relaterade till de fysikaliska 10 20 25 30 35 522 549 . . f | n» 8 egenskapema och de fysikaliska lagarna mellan komponenterna 15 och nätverket kan sensorsystemet 1 enligt uppfinningen sålunda analysera larmsignalerna.The values / signals registered by the sensors sl - s3 can be expressed as qualitative descriptions, such as small ﬂ fate, normal ﬂ fate and large ﬂ fate. In the sensor analysis system according to the invention, the construction of the fate system is known in advance as well as the physical laws regarding the movement of fate. Since the liquid ﬂ fate of the system is known, it is possible to predetermine the consequence propagation rules and conditional relationships that apply to this process 10. By using sensor signals, consequence propagation rules related to the physical 10 20 25 30 35 522 549. . f | n »8 the properties and the physical layers between the components 15 and the network, the sensor system 1 according to the invention can thus analyze the alarm signals.

Såsom nämnts ovan innefattar uppfinningen tre olika valideringsorgan 31 - 33. Valideringsorganen 31 och 32, dvs. organet för villkorskontroll 31 och organet för kontroll av normala/felaktiga situationer 32, är anordnade att detektera enkla brister i överensstämmelsen, vilket berättar att ”någonting måste vara fel här”. Det tredje valideringsorganet 33, dvs. organet för full partkonsekvensoregelbundenhets- analys 33, är anordnat att förenkla den detekterade larmsituationen genom att anta att en larmsignal är inkorrekt, varvid en annan larmsituation kan påträffas som skulle ge färre primära larm i enlighet med konsekvensutbredningsreglema.As mentioned above, the invention comprises three different validation means 31 - 33. Validation means 31 and 32, i.e. the body for checking conditions 31 and the body for checking normal / incorrect situations 32, are arranged to detect simple deficiencies in the conformity, which states that “something must be wrong here”. The third validation means 33, i.e. the means for full batch consequence irregularity analysis 33, is arranged to simplify the detected alarm situation by assuming that an alarm signal is incorrect, whereby another alarm situation may be encountered which would give fewer primary alarms in accordance with the consequence propagation rules.

Sensoranalysförfarandet enligt föreliggande uppfinning innefattar stegen att (jämför ﬁg. 2): - motta ett ﬂertal sensorsignaler i larmenheten 20 (steg 100); - generera larmsignaler i larmenheten 20 i beroende av gränsvärden för status- signalema och bestämma det kausala sambandet mellan larmsignalerna, dvs. dela upp larmsignalema i primära och sekundära larm (steg 200); - mottaga i valideringsenheten 30 de primära och sekundära larmen och det kausala förhållandet mellan dem (steg 300); - beräkna ny statusinforrnation i valideringsorganen 31 - 33 baserat på de primära och sekundära larmen (steg 400) och i beroende av konsekvensutbredningsreglema och villkorsrelationema; samt - presentera den beräknade nya statusinforrnationen för en operatör medelst återgivningsenheten 50 (steg 500). förfarandet _1_°_ö_r__y_i_l_l_l_<_qr_s_lç9_nt_r_t_)_l_l kommer nu att beskrivas med hänvisning till det enkla exemplet som illustreras i ﬁg. 4. Flödet i ledningen c4 beror av lednings- systemets konstruktion och av ﬂödet i ledningen cl. Om sensom s2 är associerad med ett larmtillstånd som indikerar ett litet ﬂöde och sensom s3 är associerad med ett larmtillstånd som indikerar ett stort ﬂöde, så föreligger en motsägelse mellan dessa båda larmsignaler. Motsägelsen föreligger på grund av det faktum att det är osannolikt att ett litet ﬂöde i ledningen cl orsakar ett stort ﬂöde i ledningen c4.The sensor analysis method according to the present invention comprises the steps of (compare ﬁ g. 2): - receiving a number of sensor signals in the alarm unit 20 (step 100); - generate alarm signals in the alarm unit 20 depending on the limit values of the status signals and determine the causal relationship between the alarm signals, ie. divide the alarm signals into primary and secondary alarms (step 200); - receive in the validation unit 30 the primary and secondary alarms and the causal relationship between them (step 300); - calculate new status information in the validation means 31 - 33 based on the primary and secondary alarms (step 400) and depending on the consequence propagation rules and the conditional relationships; and - presenting the calculated new status information to an operator using the display unit 50 (step 500). the procedure _1_ ° _ö_r__y_i_l_l_l _ <_ qr_s_lç9_nt_r_t _) _ l_l will now be described with reference to the simple example illustrated in ﬁ g. 4. The flow in line c4 depends on the construction of the line system and on the fate of line cl. If sensor s2 is associated with an alarm condition indicating a small ﬂ fate and sensor s3 is associated with an alarm condition indicating a large ﬂ fate, then there is a contradiction between these two alarm signals. The contradiction exists due to the fact that it is unlikely that a small ﬂ fate in line c causes a large ﬂ fate in line c4.

Organet för villkorskontroll 31 som ingår i sensoranalyssystemet 1 enligt uppfinningen kommer att detektera denna motsägelse och indikera, exempelvis för en operatör, att larmen inte kan vara tillförlitliga.The condition control means 31 included in the sensor analysis system 1 according to the invention will detect this contradiction and indicate, for example for an operator, that the alarms cannot be reliable.

Förfarandet för kontroll av normala/felaktiga situationer kommer också att beskrivas med hänvisning till fig. 4. Om sensom sl är associerad med ett larm- 10 20 25 30 35 522 '549 9 tillstånd som indikerar exempelvis ett stort ﬂöde i ledningen cl och sensorn s2 är associerad med ett normalt tillstånd, så föreligger en motsägelse mellan larm- signalema. Motsägelsen föreligger på grund av det faktum att de båda sensorema sl, s2 är belägna sida vid sida i ledningen cl och alltså passerar samma ﬂöde båda två. Organet för att kontrollera normala/felaktiga situationer 32 som ingår i sensor- analyssystemet 1 enligt uppﬁnningen kommer alltså att indikera att larmsignalerna inte kan vara tillförlitlig samt att en av sensorerna sl och s2 kan vara ur funktion.The method for checking normal / erroneous situations will also be described with reference to Fig. 4. If the sensor s1 is associated with an alarm condition indicating, for example, a large de fate in the line c1 and the sensor s2 is associated with a normal state, there is a contradiction between the alarm signals. The contradiction exists due to the fact that the two sensors s1, s2 are located side by side in the line c1 and thus the same fate passes both. The means for checking normal / erroneous situations 32 which are included in the sensor analysis system 1 according to the invention will thus indicate that the alarm signals can not be reliable and that one of the sensors s1 and s2 may be out of order.

Eörjfnarandet för full konsekverrsoregelbunçlenhetsﬂalys kommer nu att beskrivas. Såsom beskrivits ovan kan larmsignalerna vara indikerade som primära larm eller som sekundära larm medelst larmenheten 20. Med organet för full konsekvensoregelbundenhetsanalys 33 sker vidare antaganden om larmen med utnyttjande av konsekvensutbredningsregler, för att minska antalet primära larm.The equation for full consequence irregularity unit lys alys will now be described. As described above, the alarm signals can be indicated as primary alarms or as secondary alarms by means of the alarm unit 20. With the means for full consequence regularity analysis 33 further assumptions are made about the alarms using consequence propagation rules, in order to reduce the number of primary alarms.

Lösningen med det minsta antalet primära larm kommer sedan att presenteras för operatören på återgivningsenheten 50. Företrädesvis minskas antalet primära larm till enbart ett primärt larm eftersom det är mer sannolikt att enkla fel uppträder än att multipla fel uppträder.The solution with the minimum number of primary alarms will then be presented to the operator on the display unit 50. Preferably, the number of primary alarms is reduced to only one primary alarm as simple errors are more likely to occur than multiple errors.

Multinivåﬂödesmodell (MFM) I en utföringsform av systemet enligt föreliggande uppfinning implementeras sensorfeldetekteringen med användning av en abstrakt funktionell modell, såsom en multinivåflödesmodell (Multilevel Flow Model, MFM), av anläggningen. MFM- modellen innefattar ett ﬂertal nätverk, där varje nätverk innefattar ett ﬂertal ﬂödesfunktioner som modellerar komponenter hos anläggningen och interaktioner mellan dessa. Funktionerna innefattade i nätverket samverkar för att uppnå målet för nätverket. Denna implementering innefattar även konsekvensutbrednings- reglerna och villkorsrelationerna mellan komponenterna 15 respektive nätverken.Multilevel Flow Model (MFM) In one embodiment of the system of the present invention, the sensor error detection is implemented using an abstract functional model, such as a Multilevel Flow Model (MFM), of the plant. The MFM model includes a number of networks, where each network includes a number of fate functions that model components of the plant and interactions between them. The functions included in the network work together to achieve the goal of the network. This implementation also includes the consequence propagation rules and the conditional relationships between the components 15 and the networks, respectively.

Valideringsorganen 31 - 33 implementerade i en MFM-modell av anläggningen kommer nu att beskrivas. ' __C_)_rgz_1_r_1_e_t_föryilllggrskgntrglljål är anordnat att jämföra mätningar från två olika ﬂöden/nätverk med kunskap om hur ett ﬂöde påverkar de andra ﬂödena som ingår i modellen av anläggningen. Om mätningarna är motsägelsefulla med avseende på denna kunskap har en felaktig sensormätning upptäckts. När man bygger en MFM-modell för användning med larmenheten 20 har varje villkors- relation i modellen en tillhörande egenskap, som indikerar på vilket sätt felet för det tillhörande målet kommer att påverka den kopplade funktionen. Denna egenskap kan tala om om målfelet innebär att funktionen går mot ett tillstånd ”högt fel”, 10 20 25 30 35 522549 10 v - - | u u n | ~ . nu såsom stort ﬂöde eller stor volym, eller om den går mot ett tillstånd ”lågt fel”, Såsom lågt ﬂöde eller liten volym.The validation means 31 - 33 implemented in an MFM model of the plant will now be described. '__C _) _ rgz_1_r_1_e_t_föryilllggrskgntrglljål is arranged to compare measurements from two different ﬂ fates / networks with knowledge of how one de fate affects the other ﬂ fates included in the model of the facility. If the measurements are contradictory with regard to this knowledge, an incorrect sensor measurement has been detected. When building an MFM model for use with the alarm unit 20, each conditional relationship in the model has an associated property, which indicates in what way the error of the associated target will affect the coupled function. This property can tell if the target error means that the function goes towards a state "high error", 10 20 25 30 35 522549 10 v - - | u u n | ~. now as large ﬂ fate or large volume, or if it goes against a state "low error", Such as low ﬂ fate or small volume.

Fig. 5 visar ett exempel på en MFM-modell av en anläggning som innefattar två nätverk N 1 och N2. Det nedre nätverket N2 beskriver ett ﬂöde av elektrisk energi från en strömförsörjningsanordning beskrivet av funktionen F4, via en ledning, beskrivet av funktionen F5, till en pump, beskrivet av funktionen F6.Fig. 5 shows an example of an MFM model of a plant comprising two networks N1 and N2. The lower network N2 describes a fate of electrical energy from a power supply device described by the function F4, via a line, described by the function F5, to a pump, described by the function F6.

Tillsammans uppnår dessa funktioner F4, F5, F6 ett mål G2, som kan förklaras som ”Tillföra elektrisk ström till pumpen”. Det övre nätverket N 1 beskriver ett ﬂöde av vatten från en källa Fl via pumpen F2 till en brunn P3. Tillsammans uppnår dessa funktioner Fl, F2, F3 ett mål G1. För att pumpen skall transportera vatten, såsom beskrivs av funktionen F2, behöver den elektrisk ström. Därför föreligger ett villkor Cl mellan nätverkets N2 mål G2 och nätverkets N1 funktion F2, vilket indikerar detta krav. Om målet G2 inte är uppfyllt, dvs. strörnförsörjningen inte är uppfylld, så kommer pumpen inte att kunna pumpa vatten och följaktligen kommer funktionen F2 att vara i tillståndet lågt ﬂöde. Vattnet kommer alltså att stoppa om pumpen inte får någon elektrisk energi, varför förhållandets Cl egenskaper indikerar att om målet G2 inte uppnås så kommer funktionen F2 att gå till tillståndet lågt ﬂöde.Together, these functions F4, F5, F6 achieve a target G2, which can be explained as "Supply electric current to the pump". The upper network N 1 describes a fate of water from a source F1 via the pump F2 to a well P3. Together, these functions F1, F2, F3 achieve a goal G1. In order for the pump to transport water, as described by function F2, it needs electric current. Therefore, there is a condition C1 between the target G2 of the network N2 and the function F2 of the network N1, which indicates this requirement. If goal G2 is not met, ie. If the power supply is not met, the pump will not be able to pump water and consequently the function F2 will be in the low ﬂ state. The water will thus stop if the pump does not receive any electrical energy, so the properties Cl of the condition indicate that if the target G2 is not reached, the function F2 will go to the low ﬂ state.

Fig. 6 visar samma modell som ﬁg. 5. I ﬂg. 6a föreligger ett larm lågt ﬂöde på funktionen F5, indikerat med en vertikal och nedåtriktad pil. Detta larm lågt ﬂöde indikerar ett litet ﬂöde av elektrisk energi till pumpen. Vidare föreligger ett larm lågt ﬂöde på funktionen F2, likaledes indikerat med en vertikal och nedåtriktad pil. Detta indikerar ett lågt ﬂöde av vatten genom pumpen. I detta fall stämmer larmtillståndet för funktionen F2 överens med informationen från villkoret Cl, dvs. funktionen F2 bör gå till ett tillstånd lågt ﬂöde om målet G2 inte uppnås.Fig. 6 shows the same model as ﬁ g. 5. I ﬂ g. 6a there is an alarm low ﬂ fate on the function F5, indicated by a vertical and downward arrow. This low de alarm indicates a small de of electrical energy to the pump. Furthermore, there is an alarm low ﬂ fate on the function F2, likewise indicated by a vertical and downward arrow. This indicates a low flow of water through the pump. In this case, the alarm state of the function F2 corresponds to the information from the condition C1, i.e. function F2 should go to a low ﬂ state if target G2 is not reached.

I ﬁg. 6b föreligger ett larm lågt ﬂöde på funktionen F5, precis som förut, men ett larm högt ﬂöde på funktionen F2. I detta fall stämmer larmtillståndet för funktionen F2 inte överens med det förväntade värdet som beräknats på grundval av det faktum att målet G2 inte har uppfyllts och villkorets Cl egenskaper såsom nämnts tidigare. I detta fall utpekas det översta nätverket N 1 såsom det som eventuellt har en suspekt larmsituation.I ﬁ g. 6b there is an alarm low ﬂ fate on the function F5, just as before, but an alarm high ﬂ fate on the function F2. In this case, the alarm state of the function F2 does not correspond to the expected value calculated on the basis of the fact that the target G2 has not been met and the properties of the condition C1 as mentioned earlier. In this case, the top network N 1 is designated as the one that may have a suspicious alarm situation.

Det föreligger en annan situation som organet för villkorskontroll 31 kommer att identifiera. Om funktionen F2 i ﬁg. 6a inte har något larm, dvs. funktionen F2 är i ett normalt tillstånd, kommer även detta att uppmärksammas och indikeras.There is another situation that the condition monitoring body 31 will identify. About the function F2 in ﬁ g. 6a has no alarm, ie. function F2 is in a normal state, this will also be noticed and indicated.

Förfarandet för villkorskontroll innefattar stegen att (jämför fig. 3a): - bestämma om en larmsignal för en funktion, kopplad via ett villkor till ett icke uppnått mål i MFM-modellen, inte är i det förväntade feltillståndet (steg 402a) och 10 20 25 30 35 nn n n n u nn» n I " ,", ."n: nnn n n n 0 _ n n n gr. .r i 2 , , n n n n n z ß v ~ I nnnnnn o H ,., ... n. n : _- f; , , , n n n n n nn n ,, . n n n n nn n n n n n n c n no 11 - indikera larmsignalen som motsägelsefullt (steg 404a). jämföra sensormätningar inom ett ﬂöde/nätverk och järnföra dem med kunskap om hur flödet är kopplat. Om de jämförda mätningarna är motsägelsefulla har en felaktig mätning detekterats. Detta förfarande för kontroll av normala/felaktiga situationer är utformat för att täcka motsägelser mellan nätverk via villkors- relationer. Det finns emellertid en annan typ av enkel motsägelse som kan uppträda i ett MFM-nätverk och som kan indikera suspekta larmsignaler.The condition check method comprises the steps of (compare Fig. 3a): - determining if an alarm signal for a function, coupled via a condition to an unachieved target in the MFM model, is not in the expected fault state (step 402a) and 30 35 nn nnnu nn »n I", ",." N: nnn nnn 0 _ nnn gr. .Ri 2,, nnnnnz ß v ~ I nnnnnn o H,., ... n. N: _- f; ,,, nnnnn nn n ,,. nnnn nn nnnnnncn no 11 - indicate the alarm signal as contradictory (step 404a). compare sensor measurements within a ﬂ fate / network and iron them with knowledge of how the flow is connected. If the compared measurements are contradictory, have a This method of checking for normal / incorrect situations is designed to cover contradictions between networks via conditional relationships, however there is another type of simple contradiction that can occur in an MFM network and which may indicate suspicious alarm signals.

I fig. 7a kan larmsituationen förklaras med konsekvensutbredningsreglerna i MFM-modellen eftersom ett larm lågt ﬂöde i en transportfunktion inte kommer att orsaka något larm låg kapacitet i en kopplad källfunktion. Någon konflikt föreligger alltså inte. Ä andra sidan kan funktionen i fig. 7b inte förklaras genom konsekvensutbredningsreglerna. Två konsekvensutbredningsregler kan komma i fråga i detta exempel. För det första, ”ett lågt ﬂöde i en transport till vänster om ett lager kommer att orsaka en liten volym i lagret” och för det andra kommer ”en normal situation i ett lager till höger om en transport att orsaka en normal situation för transporten Situationen i fig. 7b passar inte någon av dessa konsekvens- utbredningsregler och därför indikeras nätverket som innehåller funktionerna som om det har en suspekt larmsituation.In Fig. 7a, the alarm situation can be explained by the consequence propagation rules in the MFM model because an alarm low ﬂ fate in a transport function will not cause any alarm low capacity in a connected source function. There is thus no conflict. On the other hand, the function in Fig. 7b cannot be explained by the consequence propagation rules. Two consequence distribution rules may come into play in this example. Firstly, “a low fate in a transport to the left of a warehouse will cause a small volume in the warehouse” and secondly, a normal situation in a warehouse to the right of a transport will cause a normal situation for the transport situation in Fig. 7b, none of these consequence propagation rules fit and therefore the network containing the functions is indicated as if it has a suspicious alarm situation.

I ﬁg. 8 visar det översta nätverket att en skälig gissning av en operatör kunde vara att det saknas ett larm och i det nedre nätverket att det enda larmet är falskt.I ﬁ g. 8 shows the top network that a reasonable guess by an operator could be that an alarm is missing and in the lower network that the only alarm is false.

Båda dessa angivelser skulle givetvis fordra att denna situation kvarstod under en viss tid för att utesluta möjligheten att det bara är fråga om övergångseffekter, Förfarandet för kontroll av normala/felaktiga situationer innefattar stegen att (jämför fig. 3b): - kontrollera larmsignalema för varje par av kopplade funktioner (steg 402b) och - indikera funktionerna som motsägelsefulla om deras larmsignaler inte över- ensstämmer med konsekvensutbredningsreglema (steg 404b).Both of these indications would of course require that this situation persist for a certain period of time to exclude the possibility that it is only a question of transition effects. The procedure for checking normal / incorrect situations includes the steps to (compare Fig. 3b): - check the alarm signals for each pair of connected functions (step 402b) and - indicate the functions as contradictory if their alarm signals do not comply with the consequence propagation rules (step 404b).

Qtgannt.Iëtfull.knnsszlsyçnsQrszgçlbttntlemctsanalys. 33 är anordnat att använda sensormätningar från ett enda ﬂöde/nätverk samt för att använda kunskap om hur ﬂödet är kopplat. Om antagandet att ett sensormätningsfel kan minska antalet observerade fel i ﬂödet och således förenkla felsituationen, så kommer förfarandet att presentera sensormätningen såsom eventuellt felaktig. Förfarandet för full konsekvensoregelbundenhetsanalys är således utformad för att finna ut varje slags situation där larmsituationen skulle vara mer trolig i enlighet med konsekvens- utbredningsreglerna och under antagandet att en larmsignal är inkorrekt. Om en 10 20 25 30 35 522 549 12 I ' . ' . . - c o o av sådan situation påträffas tages denna som en indikering på det faktum att denna specifika larmsignal kan vara felaktig. Denna typ av situation, med antagandet av en enda felaktig larmsignal ger en enklare larmsituation, kännetecknas alltid av det faktum att antalet primära larm minskar. Detta faktum användes för att bestämma vilka MFM-nätverk som skall inspekteras av organet för full konsekvensoregel- bundenhetsanalys 33. I ett trivialt fall med ett MFM-nätverk med en enda felaktig funktion, såsom det nedre nätverket i fig.-S, kan larmsituationen alltid förenklas genom ändring av den enda felaktiga funktionen till ett normalt tillstånd, varför denna situation inte behöver beskrivas ytterligare.Qtgannt.Iëtfull.knnsszlsyçnsQrszgçlbttntlemctsanalys. 33 is arranged to use sensor measurements from a single ﬂ fate / network and to use knowledge of how ﬂ fate is connected. If the assumption that a sensor measurement error can reduce the number of observed errors in fate and thus simplify the error situation, then the procedure will present the sensor measurement as possibly incorrect. The procedure for full consequence regularity analysis is thus designed to find out any kind of situation where the alarm situation would be more probable in accordance with the consequence propagation rules and under the assumption that an alarm signal is incorrect. Om en 10 20 25 30 35 522 549 12 I '. '. . - c o o of such a situation is encountered, this is taken as an indication of the fact that this specific alarm signal may be incorrect. This type of situation, with the assumption of a single erroneous alarm signal giving a simpler alarm situation, is always characterized by the fact that the number of primary alarms decreases. This fact was used to determine which MFM networks to inspect by the full consequence compliance analysis means 33. In a trivial case with an MFM network with a single malfunction, such as the lower network in Figs. S, the alarm situation can always is simplified by changing the only malfunction to a normal state, so this situation does not need to be described further.

Betrakta i stället fallet med två primära larm inom ett MFM-nätverk. I detta fall kan det vara möjligt att påträffa en lösning med enbart ett primärt larm genom att antaga att ett av de givna larmen är felaktigt. Lösningen med enbart ett primärt larm anses sedan förenkla den givna larmsituationen och är därför mer sannolik som en konsekvens av antagandet att enkla fel uppträder mer frekvent än multipla fel i processen. MFM- nätverket i fråga rapporteras därför som om det har en suspekt larmsituation och den enklare lösningen eller de enklare lösningama presenteras tillsammans med den funktion som antogs ha ett inkorrekt larmtillstånd för en operatör av anläggningen.Instead, consider the case of two primary alarms within an MFM network. In this case, it may be possible to find a solution with only one primary alarm by assuming that one of the given alarms is incorrect. The solution with only one primary alarm is then considered to simplify the given alarm situation and is therefore more likely as a consequence of the assumption that simple errors occur more frequently than multiple errors in the process. The MFM network in question is therefore reported as having a suspicious alarm situation and the simpler solution or solutions are presented together with the function that was assumed to have an incorrect alarm condition for an operator of the facility.

I fig. 9 antas att varje MFM-funktion har en tillhörande mätning eller larm- signal. I fig. 9 visas sålunda ett MFM-ﬂöde där sex av sju funktioner har aktiva larm och där funktionen F7 är i ett normalt tillstånd. De svarta punkterna indikerar funktionerna som har primära larm enligt larmenheten 20 och de ljusa punkterna indikerar funktioner som har sekundära larm. För att se om denna situation kan förenklas eller ej kommer varje funktion att kontrolleras för att se om antalet primära larm kommer att minska om den inspekterade funktionen antages ha ett inkorrekt larmtillstånd. Betrakta således först källfunktionen Fl. En källfunktion S har bara två larmtillstånd, normal och låg kapacitet. Om mätningen för Fl i ﬁg. 1 är inkorrekt så måste den vara normal. Om Fl antages vara i normalt tillstånd så kommer det inte att föreligga någon minskning av antalet primära larm eftersom funktionerna P2 och F5 är primära. Alltså vinnes inte någonting av att antaga att Fl är inkorrekt och larmet för Fl rapporteras därför inte som suspekt. Om transport- funktionen F2 antages vara i normalt tillstånd i stället för i lågt ﬂödestillstånd erhålles inte heller någon vinst eftersom funktionerna Fl och F5 alltjämt är primära larm. Men om transportfunktionen F2 antages vara i ett högt ﬂödestillstånd kommer situationen att se ut som den som visas i fig. 10, där det enbart är ett primärt larm, nämligen funktionen F5. Samtliga övriga larm har blivit sekundära larm och alltså har situationen förenklats. Larmet på funktionen P2 presenteras därför såsom 10 20 25 30 35 t' . ' ,. nu nn' , o. u ~ q I u I u» 0 I' , , , . I | o 0 0 : : , I . ; Q I v n - . . a u u 0 . u u: ß n v Q, , e n v; nu: n ' I n. u- _ . u u n uu I" _ u 'H -nv H 1 e . ao ua no 13 eventuellt suspekt tillsammans med den förenklade situationen för operatören.In Fig. 9 it is assumed that each MFM function has an associated measurement or alarm signal. Fig. 9 thus shows an MFM mode where six of seven functions have active alarms and where the function F7 is in a normal state. The black dots indicate the functions that have primary alarms according to the alarm unit 20 and the bright dots indicate functions that have secondary alarms. To see if this situation can be simplified or not, each function will be checked to see if the number of primary alarms will decrease if the inspected function is assumed to have an incorrect alarm condition. Thus, first consider the source function Fl. A source function S has only two alarm states, normal and low capacity. If the measurement for Fl i ﬁ g. 1 is incorrect, it must be normal. If F1 is assumed to be in a normal state, there will be no reduction in the number of primary alarms because the functions P2 and F5 are primary. Thus, nothing is gained by assuming that F1 is incorrect and the alarm for F1 is therefore not reported as a suspect. If the transport function F2 is assumed to be in the normal state instead of in the low ﬂ fate state, no gain is obtained either, since the functions F1 and F5 are still primary alarms. However, if the transport function F2 is assumed to be in a high ﬂ state of fate, the situation will look like that shown in Fig. 10, where it is only a primary alarm, namely the function F5. All other alarms have become secondary alarms and thus the situation has been simplified. The alarm on the function P2 is therefore presented as 10 20 25 30 35 t '. ',. nu nn ', o. u ~ q I u I u »0 I',,,. I | o 0 0::, I. ; Q I v n -. . a u u 0. u u: ß n v Q,, e n v; nu: n 'I n. u- _. u u n uu I "_ u 'H -nv H 1 e. ao ua no 13 possibly suspect along with the simplified situation for the operator.

Operatören har alltså att besluta om det skall göras ytterligare undersökningar av vissa sensormätningar eller ej.The operator thus has to decide whether or not to carry out further examinations of certain sensor measurements.

Att antaga att funktionen i fig. 9 bör vara i normalt tillstånd förenklar inte situationen eftersom funktionerna F l och F5 alltjämt kommer att anses vara primära larm. Att antaga att funktionen F3 bör vara i högt volymtillstånd kommer inte heller att förenkla situationen. I stället kommer situationen att förvärras såsom visas i fig. 11. Här betraktas funktionerna Fl, F3 och F5 som primära larm och därmed ökar antalet primära larm från två till tre.Assuming that the function in Fig. 9 should be in the normal state does not simplify the situation since the functions F1 and F5 will still be considered primary alarms. Assuming that the function F3 should be in a high volume state will not simplify the situation either. Instead, the situation will worsen as shown in Fig. 11. Here, the functions F1, F3 and F5 are considered as primary alarms and thus the number of primary alarms increases from two to three.

Antag att funktionen F4 i fig. 9 bör vara i normalt tillstånd i stället för i högt ﬂödestillstånd. Detta förbättrar inte situationen. Men om funktionen F4 i stället antages vara i lågt ﬂödestíllstånd erhålles situationen enligt fig. 12, där det bara föreligger ett primärt larm och situationen har alltså förenklats.Assume that the function F4 in Fig. 9 should be in the normal state instead of in the high ﬂ fate state. This does not improve the situation. But if the function F4 is instead assumed to be in a low ﬂ idle state, the situation according to Fig. 12 is obtained, where there is only one primary alarm and the situation has thus been simplified.

Genom att göra samma analys för funktionerna F5, F6 och F7 återﬁnnes inte någon ytterligare situation med bara ett primärt larm. Resultatet av analysen av denna situation är att den kan förenklas från att innefatta två primära larm till ett på två olika sätt. För det första genom att antaga att mätningen för funktionen P2 är felaktig och borde ha varit i högt ﬂödestíllstånd i stället för i lågt ﬂödestillstånd. För det andra genom att antaga att mätningen för funktionen F4 är felaktig och borde ha varit i lågt ﬂödestillstånd i stället för i högt ﬂödestillstånd.By doing the same analysis for the functions F5, F6 and F7, no further situation is recalled with only one primary alarm. The result of the analysis of this situation is that it can be simplified from including two primary alarms to one in two different ways. First, by assuming that the measurement for the function P2 is incorrect and should have been in a high ﬂ idle state instead of in a low ﬂ idle state. Second, by assuming that the measurement for the F4 function is incorrect and should have been in the low ﬂ state instead of in the high ﬂ state.

I ﬂg. 13 visas ett MFM-ﬂöde/nätverk med en larmsituation där tre av funktionerna anses som primära larm. I detta exempel kan inte antalet primära larm reduceras genom antagande av att en enda mätning är inkorrekt. Alltså måste minst två mätningar ändras för att reducera antalet primära larm.I ﬂ g. 13 shows an MFM f / network with an alarm situation where three of the functions are considered primary alarms. In this example, the number of primary alarms cannot be reduced by assuming that a single measurement is incorrect. Thus, at least two measurements must be changed to reduce the number of primary alarms.

Förfarandet för full konsekvensoregelbundenhetsanalys innefattar stegen (jämför fig. 3c): - påträffande av ett nätverk med minst två primära larm, steg 402c, - ändring av larmtillståndet för funktionen till ett annat tillstånd för varje funktion i nätverket, steg 404c, - lagring av den uppnådda situationen och indikering av den undersökta larmsigna- len som motsägande om antalet primära larm i nätverket minskar, steg 4060 och - upprepning från steg 402c för varje ytterligare nätverk med minst två primära larm, steg 408c.The method for full consequence irregularity analysis includes the steps (compare Fig. 3c): - finding a network with at least two primary alarms, step 402c, - changing the alarm state of the function to another state for each function in the network, step 404c, - storing it achieved situation and indication of the examined alarm signal as contradictory if the number of primary alarms in the network decreases, step 4060 and - repetition from step 402c for each additional network with at least two primary alarms, step 408c.

Systemet och anordningen för sensoranalys i enlighet med förfarandet enligt uppfinningen innefattar organ för utförande av stegen och funktionerna i förfarandet. Alla organ kan förverkligas som hårdvaruenheter och de flesta är med u~uø~q 10 522 549 14 fördel implementerade som datorprogram, som exekveras på hårdvarudelar av arrangemanget. Särskilt innefattar en datorprogramprodukt för användning med ett sensorsystem för utförande av en utföringsform av sensoranalys förfarandet enligt uppfinningen och förverkligande av en utföringsform av sensoranalysstrukturen enligt uppfinningen, ett upptagningsmedium och organ för genomförande av nämnda förfarande och för förverkligande av nämnda sensoranalysstruktur lagrad på rninnesmediet. i Systemet och anordningen för sensoranalys enligt föreliggande uppfinning har beskrivits med hänvisning till enkla exempel. Det bör emellertid förstås att detta bara har gjorts för att öka förståelsen för föreliggande uppfinning och inte för att begränsa uppfinningens omfattning, vilken bara avgränsas av de efterföljande patentkraven.The system and device for sensor analysis in accordance with the method according to the invention comprises means for performing the steps and functions of the method. All means can be realized as hardware units and most are advantageously implemented as computer programs, which are executed on hardware parts of the arrangement. In particular, a computer program product for use with a sensor system for performing an embodiment of the sensor analysis method according to the invention and realizing an embodiment of the sensor analysis structure according to the invention comprises a recording medium and means for performing said method and for realizing said sensor analysis structure stored on the sensor. The sensor analysis system and apparatus of the present invention have been described with reference to simple examples. It is to be understood, however, that this has been done only to increase the understanding of the present invention and not to limit the scope of the invention, which is limited only by the appended claims.

Claims

10 15 20 25 30 35 522 549 'IS ..... .. New requirements

A device for sensor analysis of a fate process (10) with components (15) and sensors which record at least two status signals which include information about the status of at least one of the components, comprising: - a database (40) arranged to store a functional model describing the functionality of said fate process and storing a set of predetermined rules describing the causal relationship between components of said fate process; and - a validation unit (30) communicatively coupled to said database (40) and arranged to receive at least two alarm signals relating to at least one component of said fate process, to receive the causal connection between said alarm signals, and arranged to validate the conformity of said signals. to generate new status information based on said alarm signals and in dependence on a set of predetermined rules and on said functional model. .

The device according to claim 1, further comprising an alarm unit (20) communicatively coupled to said fate process and arranged to generate land signals based on said status signals received from said fate process (10) and depending on the limit value for said status signals, and arranged to determine the causal relationship between two alarm signals, ie to separate the alarm signals into primary alarms and secondary alarms. .

The device according to claim 2, wherein said validation unit (30) is arranged to receive said primary and secondary alarms and said causal relationship, and arranged to generate said new status information based on said primary and secondary alarms and in dependence on said set of predetermined rules and of said functional model. .

The device according to claim 1, wherein said validation unit (30) is arranged to determine a contradiction between two alarm signals. .

The device according to claim 1, wherein said validation unit (30) is arranged to determine if the alarm signals are reliable. .

The device of claim 3, wherein the validation unit (30) is arranged to reduce the number of primary alarms. 10 15 20 25 30 35 - u «~ v u u - -. ., 522 549 * 0- u .. -. ° 0 ~ n .- n- u '- n.; -. ... I. 2'I '' '-. ''. , - n U '' 'n. / E "~« -... »N»

The device according to claim 1, wherein said validation unit (30) comprises means for condition control (31) arranged to determine the alarm state of a function connected via a conditional relation to a target and to indicate that alarm signal as contradictory when said targets are not achieved.

The device according to claim 1, wherein said validation unit (30) comprises means for checking normal / erroneous situations (3 2) arranged to check a function in an alarm state which is connected to a function in a normal state by means of said set of predetermined rules and arranged to indicate said alarm signal as contradictory if their alarm signals do not comply with said set of rules.

The device according to claim 3, wherein said validation unit (30) comprises means for full consequence irregularity analysis (33) arranged to form a network of said functional model comprising at least two primary alarms, and arranged to change the alarm state belonging to one of the functions included in the network, and to check the alarm state of the functions included in said networks by means of said set of predetermined rules and to present the simplified situation if the number of primary alarms decreases.

The device according to any of the preceding claims, wherein said set of predetermined rules is arranged to consist of a set of predetermined consequence propagation rules comprising a set of causal rules describing the causal relationship between functions and a set of conditional relationships describing the causal relationship between networks.

The device according to any of the preceding claims, wherein said functional model is a multilevel ﬂ ow model.

The device according to any of the preceding claims, further comprising means for presenting said generated new status information on a display unit (50).

A method for sensor analysis of a fate process (10) with components (15) and sensors which register at least two status signals which comprise information about the status of at least one of the components, comprising the steps of: - receiving at least two alarm signals originating from at least one component of said process of fate; 10 15 20 25 30 35 522 549 I? - n ». - »o - receive the causal connection between said alarm signals; and - validating the conformity of said alarm signals by generating new status information based on said alarm signals and depending on a set of predetermined rules and on a functional model of said fate process (10).

The method of claim 13, further comprising the step of: - generating said alarm signals based on said status signals received from said ﬂ process (10) and depending on the limit value of said status signals; and - determining the causal relationship between two alarm signals, ie dividing the alarm signals into primary alarms and secondary alarms.

The method of claim 14, further comprising the step of generating said new status information based on said primary and secondary alarms and depending on said set of specific rules and said functional model.

The method of claim 13, wherein the step of generating new status information comprises the step of determining a discrepancy between two alarm signals.

The method of claim 13, wherein the step of generating new status information comprises the step of determining whether the alarm signals are reliable.

The method of claim 15, wherein the step of generating new status information comprises the step of reducing the number of primary alarms.

The method of claim 13, wherein the step of generating new status information comprises the steps of: - determining if an alarm signal to a function associated with a conditional relationship to an unfulfilled target is not in the expected error state (step 402a ); and - indicate that alarm signal as contradiction ﬁ ill (step 404a).

The method of claim 13, wherein the step of generating new status information comprises the steps of: - checking the country signals for each pair of coupled functions (step 402b); and - indicate the land signal as contradictory, if their alarm signals do not match 10 15 20 25 21.. > o - n o u. _ now .. 522 549/8 v »o n o o» agrees with said set of predetermined rules (step 404b).

The method of claim 14, wherein the step of generating new status information (step 400) comprises the steps of: - finding a network of said functional model having at least two primary alarms (step 402c); changing the alarm state to an armed state for one of the functions of said network (step 404c); and storing the received situation and indicating the examined alarm signal as contradictory if the number of primary lanes in said network decreases (step 406c).

The method of any of claims 12-21, wherein said set of predetermined rules is arranged to consist of a set of predetermined consequence propagation rules comprising a set of causal rules describing the causal relationship between functions and a set of conditional relationships describing the causal relationship between networks. .

The method of any of claims 12-22, wherein said functional model is a multilevel ﬂ ow model.

The method of any of claims 12-23, further comprising the step of presenting said generated new status information to an operator by means of a display unit (50) (step 500).

A computer program product for use in a computerized sensor analysis device, comprising software code portions for performing the steps and functions of any preceding claim.