Auswahllogikblock mit Ausblendungsfunktionen für Betrieb und Wartung für ein Prozesssteuerungssystem

专利摘要:
Ein Auswahlfunktionsblock, der in die Programmierumgebung eines Funktionsblockdiagramms in einem Steuerungs- oder Sicherheitssystem einer Prozessanlage integriert werden kann, implementiert eine Auswahllogik in Verbindung mit der Bereitstellung von Ausblendungsfunktionen für Betrieb und Wartung, die zur Ausblendung individueller Eingänge des Auswahlfunktionsblocks und zur Ausblendung des Ausgangs des Auswahlfunktionsblocks eingestellt werden können. Der Auswahlfunktionsblock, der einfach erzeugt, genutzt, getestet, von Fehlern befreit und dokumentiert werden kann, umfasst eine oder mehrere Eingangsgrenzwert-Detektierungseinheiten, die detektieren, ob ein spezieller redundanter Eingang einen spezifizierten Grenzwert erreicht hat, der einen Zustand innerhalb der Prozessanlage anzeigt, eine Ausblendungseinheit, die von einem Nutzer eingestellt werden kann, um die Berücksichtigung dieses Eingangs in der Auswahlfunktion auszublenden, ein Auswahllogikobjekt, das bestimmt, ob auf Basis der Werte der gültigen oder nicht gesperrten Eingänge eine Abschaltbedingung vorliegt, und einen Sperrblock, der genutzt werden kann, um den Ausgang des Auswahllogikblocks beispielsweise während des Anfahrens oder eines anderen Betriebszustands auszublenden. Der Auswahlfunktionsblock kann in ein Prozessteuerungs- oder Sicherheitssystem integriert werden, und zwar durch eine kommunikative Verbindung mit anderen Funktionsblöcken, wie beispielsweise Analog- oder Digitaleingangsfunktionsblöcken, ...
公开号:DE102004016929A1
申请号:DE200410016929
申请日:2004-04-06
公开日:2004-11-25
发明作者:Robert Elgin Havekost；Gary Georgetown Law；Michael G. Austin Ott；Godfrey Austin Sherriff；Dennis Round Rock Stevenson
申请人:Fisher Rosemount Systems Inc；
IPC主号:G05B9-02

专利说明:
[0001] Dievorliegende Erfindung bezieht sich allgemein auf Prozesssteuerungs-und Sicherheitssysteme fürProzessanlagen, und insbesondere auf ein System mit einen Auswahllogikblockmit Ausblendungsfunktionen fürBetrieb und Wartung.
[0002] Prozesssteuerungssysteme,wie sie z.B. in Prozessen der chemischen Industrie, Prozessen der Petrochemieund fürandere Prozesse eingesetzt werden, umfassen typischerweise ein odermehrere Prozesssteuerungsgeräte,die mit wenigstens einem Host oder einer Bediener-Workstation undmit einer oder mehreren Feldvorrichtungen über analoge, digitale oderkombinierte analog/digitale Busse bzw. Datenstrecken oder Kommunikationsleitungenkommunikativ verbunden sind. Die Feldvorrichtungen, bei denen essich z.B. um Ventile, Ventilsteller, Schalter und Messwertumformer(z.B. fürTemperatur-, Druck- und Durchflusssensoren) handelt, nehmen Funktioneninnerhalb des Prozesses wahr, z.B. Öffnen und Schließen vonVentilen und Erfassen von Prozessparametern. Die Prozesssteuerungenerhalten Signale, die Prozessdaten von den Feldvorrichtungen und/oderandere Informationen, betreffend die Feldvorrichtungen, vermitteln,und nut zen diese Information zur Implementierung von Steuerungsroutinen, umSteuersignale zu generieren, die über die Datenstrecken oderandere Kommunikationsleitungen an die Feldvorrichtungen übermitteltwerden, um die Arbeitsweise des Prozesses zu steuern. Informationen vonden Feldvorrichtungen und den Steuerungen können einer oder mehreren Applikationenzur Verfügunggestellt werden, die von der Bediener-Workstation ausgeführt werden,um einem Bediener zu ermöglichen,die jeweils gewünschtenFunktionen bezüglichdes Prozesses zu veranlassen, etwa Konfigurieren des Prozesses,Abfragen des aktuellen Prozesszustandes, Modifizieren des Prozessablaufs, etc.
[0003] Darüber hinausist in vielen Prozessen ein separates Sicherheitssystem bereitgestellt,um bedeutende sicherheitsrelevante Probleme innerhalb der Prozessanlagezu detektieren, und um automatisch Ventile zu schließen, dieEnergiezufuhr zu Vorrichtungen zu unterbrechen, Fluidströme innerhalb derAnlage zu steuern etc., wenn ein Problem auftritt, das ernsthafteSchädenan der Anlage verursachen oder solche nach sich ziehen könnte, etwaein Austreten toxischer Chemikalien, eine Explosion etc. Diese Sicherheitssystemeverfügentypischerweise überein oder mehrere, von den normalen Steuerungsgeräten für die Prozesssteuerung getrennte Steuerungsgeräte, dieals Logiksolver bezeichnet werden, und die über separate Busse oder Kommunikationsleitungenmit innerhalb der Anlage installierten Sicherheitsfeldvorrichtungenverbunden sind. Die Logiksolver nutzen die Sicherheitsfeldvorrichtungen, umProzessbedingungen zu detektieren, die mit signifikanten Ereignissenwie z.B. der Position bestimmter Sicherheitsschalter oder Absperrventile, Über- oderUnterschreitung bestimmter Prozessgrößen, der Bereitschaft wichtigerEnergieversorgungen oder Steuerungseinrichtungen, der Funktion vonVorrichtungen zur Erfassung von Fehlersituationen etc. verbundensind, um "Ereignisse" innerhalb der Prozessanlagezu erkennen. Wenn ein Ereignis festgestellt wird, veranlasst dieSicherheitssteuerung Maßnahmenzur Begrenzung der schädlichenAuswirkung des Ereignisses, beispielsweise das Schließen von Ventilen,das Abschalten von Geräten,die Unterbrechung der Energiezufuhr zu Teilen der Anlage etc. Ganzallgemein umfassen diese Maßnahmendas Verbringen von Sicherheitsvorrichtungen in einen abgeschaltetenoder "sicheren" Betriebsmodus, derso gewähltist, das eine schwerwiegende oder gefahrenträchtige Bedingung innerhalbder Prozessanlage verhindert wird.
[0004] Esist allgemein üblich,für dieInstrumentierung von Sicherheitssystemen Eingabegeräte wie beispielsweiseMesswertumformer und Schalter in redundanter Ausführung zuverwenden, um fürdie Detektierung von Ereignissen innerhalb des Systems eine höhere Sicherheitoder Verfügbarkeitder Messung von Prozessvariablen zu erzielen. In solchen Systemenist es manchmal erforderlich, eine Auswahllogikfunktion innerhalbder Abschaltlogik vorzusehen, um auf Basis der redundanten Eingänge zu bestimmen,ob der Prozesszustand akzeptabel oder gefahrenträchtig ist. Während sicheine solche Auswahllogikfunktion relativ einfach gestaltet, da sietypischerweise nur eine Mehrheitsentscheidung aus den Eingängen treffenmuss, um festzustellen, ob eine Ereignisbedingung aufgetreten ist,verfügendiese Auswahlsysteme überkeine effektive Ausblendungsmöglichkeit.Es ist jedoch oftmals wünschenswert, sowohlin den Sicherheitssystemen als auch in einigen Prozesssteuerungssystemendie Möglichkeiteiner Ausblendung des Ausgangs der Auswahlfunktion zu haben, umbeispielsweise ein Ansprechen des Abschaltsystems während desAnfahrens des Prozesssteuerungssystems zu verhindern, um dem Wartungspersonaldie Durchführungvon Wartungsmaßnahmenan einer oder mehreren der Eingangsbaugruppen zu ermöglichen,um ausgewählteProzessbedingungen vorübergehendzu ignorieren etc.
[0005] Obwohlin der Vergangenheit die Konfigurationstechniker oder die Sicherheitsingenieuremanchmal auf manuellem Wege und unter Verwendung verschiedener ProgrammiersprachenAuswahllogiken in die Steuerungsgeräte des Sicherheitssystems einprogrammierthaben, war eine solche Maßnahmezur Programmierung leider umständlich,zeitraubend und fehlerträchtig,was schwerwiegende Folgen nach sich ziehen konnte, da eine Fehlfunktiondes Sicherheitssystems zu schweren Verletzungen oder sogar zum Todvon Anlagenpersonal und möglicherweise zuSchädenin Höhevon mehreren Millionen Dollar bei Ausrüstung und Material an der Prozessanlage führen kann.Allgemein gesagt, umfassen einige nützliche Merkmale, die nichtin einfacher Weise in bekannte Auswahllogikkonzepte integriert werden können, dieAusblendung ausgewählterEingänge desAuswahllogiksystems fürWartungszwecke, Ausblendungen fürden Anlauf, Verzögerungszeitenfür Anlaufund/oder Abschaltung etc.
[0006] EinSicherheitssystem innerhalb einer Prozessanlage nutzt einen odermehrere Auswahlfunktionsblöcke,die in einfacher Weise in eine Programmierumgebung für Funktionsblockdiagrammeintegriert werden können,um die von einem Nutzer spezifizierte Auswahllogik mit verschiedenenMöglichkeitenfür Außerkraftsetzungund Ausblendung zu implementieren. Ein derartiger Auswahlfunktionsblock, derin einfacher Weise zu erstellen, anzuwenden, zu testen, von Fehlernzu bereinigen und zu dokumentieren ist, weist eine oder mehrereGrenzwert-Detektierungseinheiten auf, die feststellen, wenn einzugeordneter Eingang einen bestimmten Grenzwert erreicht hat, dereinen Zustand innerhalb der Prozessanlage kennzeichnet, eine Eingangs-Ausblendungseinheit,die von einem Nutzer gesetzt werden kann, um die Berücksichtigungdes betreffenden Eingangs bei der Auswahlfunktion zu übergehen,ein Auswahlfunktionslogikobjekt zur Feststellung des Vorliegens einerAbschaltbedingung auf Basis der Werte der gültigen Eingänge, und einen Sperrblock,der fürdas Außerkraftsetzendes Ausgangs des Auswahllogikblocks während, beispielsweise des Anlaufsoder anderer Betriebszustände,genutzt werden kann. Der Auswahlfunktionsblock kann kommunikativmit anderen Funktionsblöckenverbunden sein, beispielsweise mit analogen oder digitalen Eingangsfunktionsblöcken, analogenoder digitalen Ausgangsfunktionsblöcken, Steuerungsfunktionsblöcken, Ursache/-Wirkungsfunktionsblöcken zurImplementierung von Ursache/Wirkungslogik etc., um die Auswahllogikals Teil einer umfangreicheren Prozesssteuerungs- oder Sicherheitssystemstrategiezu implementieren. In einem Fall kann der Auswahlfunktionsblockgenutzt werden, um das Vorliegen eines Ereignisses innerhalb einesProzesssicherheitssystems auf Basis einer Mehrzahl von Messungeneiner Prozessvariablen festzustellen, die in redundanter Weise durch Mess-oder Sensorvorrichtungen erfasst werden.
[0007] Derhierin beschriebene Auswahlfunktionsblock kann in einfacher Weiseerstellt werden, da er in seiner Grundform nur erfordert, dass einKonfigurierungs- oder Sicherheitstechniker bzw. -ingenieur Angabenzur Anzahl der auszuwertenden Eingänge, zum Typ der anzuwendendenAuswahllogik und zu den zu berücksichtigendenAusblendungen bzw. Außerkraftsetzungenmacht, die zur Definition der gewünschten Funktionsweise desAuswahlfunktionsblocks erforderlich sind. Dieser Auswahlfunktionsblockist ebenso in einfacher Weise in ein Steuerungsgerät oder einenLogiksolver zu integrieren, der Funktionsblocklogik nutzt, da derAuswahlfunktionsblock in der gleichen Weise wie andere Funktionsblöcke integriertwerden kann, indem Eingängeund Ausgängedes Auswahlfunktionsblocks mit anderen Funktionsblöcken oder-elementen innerhalb der Steuerungsstrategie verbunden werden. ImErgebnis ist der Auswahlfunktionsblock auch in einfacher Weise zudokumentieren, zu testen und von Fehlern zu bereinigen. Des Weiterenkann der Auswahlfunktionsblock zusätzliche Funktionsmerkmale bereitstellen,die in Sicherheitssystemen nicht immer zur Verfügung stehen, z.B. die Bereitstellungvon Ausblendungs- oder Außerkraftsetzungsfunktionen,die zur Laufzeit sowie fürWartung und Inbetriebnahme genutzt werden können.
[0008] 1 ist ein Blockdiagrammeiner beispielhaften Prozessanlage, die über ein in ein Prozesssteuerungssystemintegriertes Sicherheitssystem verfügt, das einen oder mehrerekonfigurierbare Auswahlfunktionsblöcke nutzt, um Ausblendungenfür dasHerunterfahren des Systems und fürWartungsmaßnahmenzu kontrollieren;
[0009] 2 ist ein Blockdiagrammeines konfigurierbaren Auswahlfunktionsblocks der 1;
[0010] 3 ist eine Tabelle mehrererbeispielhafter Auswahlschemata, die einen ausgeblendeten Eingangbeinhalten, und die im Auswahlfunktionsblock der 2 Anwendung finden können;
[0011] 4 ist eine beispielhafteTabelle zur Darstellung der Art und Weise, in der sich das Auswahlschemareduzieren kann, wenn einer der Eingänge des Auswahlfunktionsblockseinen Fehlerstatus annimmt; und
[0012] 5 ist ein Zustandsdiagramm,das mehrere Zuständeaufzeigt, die sich potentiell im Zusammenhang mit dem Auswahlfunktionsblockder 2 einstellen können.
[0013] 1 zeigt eine Prozessanlage 10,die ein mit einem Sicherheitssystem 14 (durch gestrichelte Linienangedeutet) kombiniertes Prozesssteuerungssystem 12 umfasst,das generell als ein sicherheitsgerichtet instrumentiertes System(SIS – SafetyInstrumented System) arbeitet, um die vom Prozesssteuerungssystem 12 bewirktenSteuerungseingriffe geeignet zu überwachenund außerKraft zu setzen, so dass die Wahrscheinlichkeit des sicheren Betriebs derProzessanlage 10 maximiert wird. Die Prozessanlage 10 umfasstaußerdemeine oder mehrere Host-Workstations, Computer oder Bedienerschnittstellen 16 (beidenen es sich um jede Art von Personalcomputern, Workstations, PDAsetc. handeln kann), die dem Anlagenpersonal wie beispielsweise Prozesssteuerungsbedienern,Wartungspersonal, Sicherheitsingenieuren etc. zugänglich sind.Im Beispiel der 1 sindzwei Bedienerschnittstellen 16 dargestellt, die hier mitzwei verschiedenen Prozesssteuerungs-/Sicherheitssteuerungsknoten 18 und 20 undmit einer Konfigurationsdatenbank 21 über eine gemeinsame Verbindungsleitungoder einen Bus 22 verbunden sind. Das Kommunikationsnetzwerk 22 kannunter Verwendung jeder beliebigen busbasierten oder nicht busbasiertenHardware, jeder beliebigen festverdrahteten oder drahtlosen Kommunikationsstrukturund unter Verwendung jedes gewünschtenoder geeigneten Kommunikationsprotokolls, beispielsweise eines Ethernet-Protokoll,realisiert werden.
[0014] Allgemeingesagt, enthältjeder der Knoten 18 und 20 der Prozessanlage 10 sowohlVorrichtungen des Prozesssteuerungssystems als auch Vorrichtungendes Sicherheitssystems, die übereine Busstruktur miteinander verbunden sind, die auf einer Leiterplattebereitgestellt ist, welche die verschiedenen Vorrichtungen aufnimmt.Der Knoten 18 ist in 1 dargestelltund enthältdabei ein Prozesssteuerungsgerät 24 (beidem es sich um ein redundantes Paar zweier Steuerungsgeräte handelnkann) sowie eine oder mehrere Prozesssteuerungssystem-Eingabe-/Ausgabe-(I/O)-Vorrichtungen 28, 30 und 32, wäh rend derKnoten 20 mit einem Prozesssteuerungsgerät 26 (beidem es sich um ein redundantes Paar zweier Steuerungsgeräte handelnkann) und eine oder mehrere Prozesssteuerungssystem-(I/O)-Vorrichtungen 34 und 36 dargestelltsind. Jede der Prozesssteuerungssystem-(I/O)-Vorrichtungen 28, 30, 32, 34 und 36 istkommunikativ mit einer Gruppe prozesssteuerungsbezogener Feldvorrichtungenverbunden, die in 1 alsFeldvorrichtungen 40 und 42 wiedergegeben sind.Die Prozesssteuerungsgeräte 24 und 26,die I/O-Vorrichtungen 28–36 unddie Feldvorrichtungen 40 und 42 der Steuerungbilden im Allgemeinen das Prozesssteuerungssystem 12 der 1.
[0015] In ähnlicherWeise umfasst der Knoten 18 einen oder mehrere Sicherheitssystem-Logiksolver 50, 52,währendder Knoten 20 Sicherheitssystem-Logiksolver 54 und 56 umfasst.Jeder der Logiksolver 50–56 ist eine I/O-Vorrichtung,die mit einem Prozessor 57 versehen ist, der die Sicherheitslogikmodule 58 ausführt, diein einem Speicher 79 gespeichert sind, und der kommunikativverbunden ist, um Steuersignale an Feldvorrichtungen 60 und 62 desSicherheitssystems abzusetzen bzw. Signale von diesen zu erhalten.Außerdemumfasst jeder der Knoten 18 und 20 wenigstenseine Meldungsweitergabevorrichtung (MPD – Message Propagation Device) 70 oder 72,die übereine Ringbusleitung 74 (in 1 nurteilweise dargestellt) kommunikativ miteinander verbunden sind.Die Logiksolver 50–56 desSicherheitssystems, die Feldvorrichtungen 60 und 62 des Sicherheitssystems,die MPD's 70 und 72 undder Bus 74 bilden im Allgemeinen insgesamt das Sicherheitssystem 14 der 1.
[0016] DieProzesssteuerungsgeräte 24 und 26,bei denen es sich beispielsweise um DeltaV^TM Steuerungsgeräte, wiesie von Fisher-Rosemount Systems, Inc., vertrieben werden, oderum beliebige andere Prozesssteuerungsgeräte handeln kann, sind programmiert,um (unter Verwendung von normalerweise als Steuerungsmodule bezeichnetenKomponenten) eine Funktionalitätzur Prozesssteuerung bereitzustellen, wobei sie auf die I/O-Vorrichtungen 28, 30 und 32 (für das Steuerungsgerät 24),die I/O-Vorrichtungen 34 und 36 (für das Steuerungsgerät 26) unddie Feldvorrichtungen 40 und 42 zurückgreifen. Insbesondereimplementiert oder überwachtjedes der Steuerungsgeräte 24 und 26 eineoder mehrere Prozesssteuerungsroutinen, die in diesem gespeichertoder in anderer Weise mit diesem verbunden sind, und kommuniziertmit den Feldvorrichtungen 40 und 42 und den Workstations 14,um den Prozess 10 oder einen Teil des Prozesses 10 inirgendeiner gewünschtenWeise zu steuern. Bei den Feldvorrichtungen 40 und 42 kannes sich um jeden gewünschten Typvon Feldvorrichtungen handeln, beispielsweise Sensoren, Ventile,Geber, Stellungsregler etc., die jedem gewünschten offenen, proprietären oderanderen Kommunikations- oder Programmprotokoll entsprechen können, einschließlich beispielsweisedem HART- oder dem 4-20 ma-Protokoll (wie für die Feldvorrichtungen 40 dargestellt),jedem Fieldbus-Protokoll wie dem FOUNDATION^® FieldbusProtokoll (wie fürdie Feldvorrichtungen 42 dargestellt), oder dem CAN-, demProfibus- oder dem AS-Interface-Protokoll, um nur einige zu nennen.Entsprechend kann es sich bei den I/O-Vorrichtungen 28–36 umjeden bekannten Typ von Prozesssteuerungs-I/O-Vorrichtungen handeln,die irgendein geeignetes Kommunikationsprotokoll verwenden können.
[0017] Beiden Sicherheitslogiksolvern 50–56 der 1 kann es sich um jedenbeliebigen Typ von Sicherheitssystemsteuerungsvorrichtungen handeln, dieeinen Prozessor 57 und einen Speicher enthalten, der Sicherheitslogikmodule 58 speichert,die geeignet sind, auf dem Prozessor 57 ausgeführt zu werden,um einen dem Sicherheitssystem 14 zugehörigen Steuerungsfunktionsumfangbereitzustellen, der die Feldvorrichtungen 60 und 62 einbezieht.Es versteht sich von selbst, dass die Sicherheitsfeldvorrichtungen 60 und 62 vonjedem gewünschtenTyp einer Feldvorrichtung sein können,der mit einem beliebigen bekannten oder gewünschten Kommunikationsprotokoll übereinstimmtoder dieses verwendet, beispielsweise eines der weiter oben erwähnten. Insbesonderekönnendie Feldvorrichtungen 60 und 62 sicherheitsbezogeneFeldvorrichtungen des Typs sein, der herkömmlicherweise durch ein separates,zweckgebundenes sicherheitsbezogenes Steuerungssystem gesteuertwird. In der in 1 dargestelltenProzessanlage 10 sind die Sicherheitsfeldvorrichtungen 60 ineiner Form dargestellt, die ein zweckgebundenes oder Punkt-zu-Punkt-Kommunikationsprotokoll nutzt,beispielsweise das HART- oder das 4-20 ma-Protokoll, während dieSicherheitsfeldvorrichtungen 62 unter Verwendung einesBuskommunikationsprotokolls, beispielsweise des Fieldbus-Protokolls,dargestellt sind. Die Sicherheitsfeldvorrichtungen 60 können jedegewünschteFunktion wahrnehmen, beispielsweise die eines Absperrventils, eines Stoppschaltersetc.
[0018] Einegemeinsame Leiterplatte 76 (durch eine gestrichelte Liniedurch die Steuerungsgeräte 24, 26, dieI/O-Vorrichtungen 28–36,die Sicherheitslogiksolver 50–56 und die MPD's 70 und 72 angedeutet)wird in jedem der Knoten 18 und 20 verwendet,um die Steuerungsgeräte 24 und 26 mitden Prozesssteuerungs-I/O-Karten 28, 30 und 32 oder 34 und 36 sowie mitden Sicherheitslogiksolvern 50, 52, 54 oder 56 undden MPD's 70 oder 72 zuverbinden. Die Steuerungsgeräte 24 und 26 sindebenfalls kommunikativ mit dem Busmanager verbunden und arbeitenals solche fürden Bus 22, um jeder der I/O-Vorrichtungen 28–36,den Logiksolvern 50–56 undden MPD's 70 und 72 dieKommunikation mit jeder der Workstations 16 über denBus 22 zu ermöglichen.
[0019] Selbstverständlich enthält jededer Workstations 16 einen Prozessor 77 und einenSpeicher 78, der eine oder mehrere Konfigurierungs- und/oderAnzeigeapplikationen speichert, die so angelegt sind, dass sie vomProzessor 78 ausgeführtwerden können.Eine Konfigurierungsapplikation 80 und eine Anzeigeapplikation 82 sindin 1 in Explosionsansichtals einer der Workstations 16 gespeichert angedeutet, während eineDiagnoseapplikation 84 als in der anderen der Workstations 16 gespeichertdargestellt ist. Wenn gewünscht,könnendiese und andere Applikationen jedoch in anderen als den Workstations 16 gespeichertund ausgeführtweiden, oder auch in anderen Computern, die mit der Prozessanlage 10 zugeordnetsind. Allgemein gesagt, stellt die Konfigurierungsapplikation 80 einemSicherheitsingenieur Konfigurationsinformation bereit und ermöglicht esdem Sicherheitsingenieur, einige oder alle Elemente der Prozessanlage 10 zukonfigurieren und die Konfiguration in der Konfigurationsdatenbank 21 zuspeichern. Als Teil der mittels der Konfigurierungsapplikation 80 vorgenommenenKonfigurierungsaktivitätenkann der Sicherheitsingenieur Steuerungsroutinen oder Steuerungsmodulefür dieProzesssteuerungsgeräte 24 und 26 erstellen,er kann Sicherheitslogikmodule 58 für jedes und alle der Sicherheitslogiksolver 50–56 erstellen(einschließlich Erstellungund Programmierung von Auswahlfunktionsblöcken für den Einsatz in den Sicherheitslogiksolvern 50–56 odersogar in den Steuerungsgeräten 24 und 26),und kann diese verschiedenen Steuerungs- und Sicherheitsmodule über denBus 22 und die Steuerungsgeräte 24 und 26 indas jeweils geeignete Prozesssteuerungsgerät 24 und 26 bzw.den jeweils geeigneten der Sicherheitslogiksolver 50–56 laden.In entsprechender Weise kann die Konfigurierungsapplikation 80 genutztwerden, um andere Programme und Logikstrukturen in die I/O-Vorrichtungen 28–36,in beliebige der Feldvorrichtungen 40, 42, 60 und 62 etc.zu laden.
[0020] Umgekehrtkann die Anzeigeapplikation 82 genutzt werden, um ein odermehrere Displays füreinen Nutzer bereitzustellen, beispielsweise für einen Prozesssteuerungsbediener,einen Sicherheitsbediener etc., wobei diese Displays Informationhinsichtlich des Zustands des Prozesssteuerungssystems 12 unddes Sicherheitssystems 14 in getrennten Darstellungen oder,wenn dies gewünschtist, in einer gemeinsamen Darstellung enthalten. Beispielsweisekann die Anzeigeapplikation 82 eine Alarmdisplayapplikationsein, die Alarmmeldungen erhältund füreinen Operator zur Anzeige bringt. Wenn gewünscht, kann eine solche Alarmanzeigeapplikation eineForm haben wie in der US-Patentschrift Nr. 5,768,119 mit dem Titel "Process Control SystemIncluding Alarm Priority Adjustment" und der US-Patenschrift Nr. 09/707,580mit dem Titel "Integrated AlarmDisplay in a Process Control Network" offenbart, die beide an die Rechtsnachfolgerindes vorliegenden Patents abgetreten wurden und hierin durch Referenzeinbezogen sind. Es versteht sich jedoch von selbst, dass das Alarmdisplayoder die Alarmbanner dieser Patente Alarme in einer integrierten Alarmanzeigesowohl vom Prozesssteuerungssystem 12 und vom Sicherheitssystem 14 erhaltenund darstellen können,da die Alarme beider System 12 und 14 an die Bediener-Workstation 14 übermittelt werden,die die Alarmdisplayapplikation ausführt, und dort als Alarme vonunterschiedlichen Geräten erkanntwerden können.Ebenso kann ein Operator in einem Alarmbanner angezeigte Sicherheitsalarmein gleicher Weise behandeln wie Prozesssteuerungsalarme. Beispielsweisekann der Bediener bzw. Operator oder Nutzer Sicherheitsalarme quittieren,ausschalten etc., indem er das Alarmdisplay verwendet, welches dabeidurch Kommunikation überden Bus 22 und die Leiterplatte 76 Meldungen andie entsprechenden Prozesssteuerungen 24, 26 innerhalbdes Sicherheitssystems 14 sendet, um die entsprechendeMaßnahmehinsichtlich des Sicherheitsalarms zu treffen. In entsprechenderWeise könnenandere Anzeigeapplikationen Informationen oder Daten sowohl vomProzesssteuerungssystem 12 als auch vom Sicherheitssystem 14 zurAusgabe bringen, da diese Systeme die gleichen Typen und Arten vonParametern, Sicherheits- und Verweisstrukturen verwenden können, sodass beliebige Daten von jedem der Systeme 12 und 14 inein herkömmlicherweisefür ein Prozesssteuerungssystembereitgestelltes Display bzw. eine Anzeige integriert werden können.
[0021] DieDiagnoseapplikation 84 kann zur Implementierung von Diagnose-oder Wartungsprogrammen innerhalb des Prozesssteuerungs- und Sicherheitssystemsder Anlage 10 genutzt werden. Derartige Diagnoseapplikationen,die jeden beliebigen Typ von Diagnose- oder Wartungsprozeduren ausführen können, beispielsweisedas Laufenlassen von Prozessen und Ventil-Tests, von Anfahrvorgängen etc., können Ausblendungenbetreffend einen oder mehrere der innerhalb der Prozessanlage 10 verwendetenAuswahlfunktionsblöcke(weiter unten beschrieben) veranlassen, um ein durch die Diagnoseprozedurenauf Basis von Eingangssignalen von einer oder mehreren Vorrichtungenveranlasstes Ansprechen des Sicherheitssystems zu unterdrücken.
[0022] Injedem Fall könnendie Applikationen 80, 82 und 84 ebensowie alle anderen Applikationen separate Konfigurations- und andereSignale an jedes der Prozesssteuerungsgeräte 24 und 26 undjedes der Sicherheitssystem-Logiksolver 50–56 übermitteln,und sie könnenDaten von diesen empfangen. Diese Signale können Meldungen auf Prozessebene umfassen,die die Betriebsparameter der prozessbezogenen Feldvorrichtungen 40 und 42 betreffen,und sie könnenMeldungen auf Sicherheitsebene umfassen, die die Betriebsparameterder sicherheitsbezogenen Feldvorrichtungen 60 und 62 betreffen.Währenddie Sicherheitslogiksolver 50–56 so programmiertsein können,dass sie sowohl die Meldungen auf Prozessebene als auch die Meldungenauf Sicherheitsebene erfassen, sind die Sicherheitslogiksolver 50–56 fähig, zwischenden beiden Meldungstypen zu unterscheiden, und können nicht durch Konfigurierungssignaleauf Prozessebene programmiert oder beeinflusst werden. In einemBeispiel könnendie an die Vorrichtungen des Prozesssteuerungsystems gesendetenProgrammierungsanweisungen bestimmte Felder oder Adressen enthalten, dievon den Vorrichtungen des Sicherheitssystems erkannt werden, unddie vermeiden, dass diese Signale verwendet werden, um Sicherheitssystemvorrichtungenzu programmieren.
[0023] Wenndies gewünschtist, könnendie Sicherheitslogiksolver 50–56 ein Hard- oderSoftwarekonzept verwenden, das dem für die Prozesssteuerungs-I/O-Karten 28–36 ver wendetenHard- oder Softwarekonzept gleicht oder von diesem verschieden ist.Die Nutzung unterschiedlicher Technologien für die Vorrichtungen innerhalbdes Prozesssteuerungssystems 12 und die Vorrichtungen innerhalb desSicherheitssystems 14 kann das Auftreten von Hard- oderSoftwarefehlern aufgrund gemeinsamer Ursachen minimieren oder eliminieren.Außerdem können dieVorrichtungen des Sicherheitssystems einschließlich der Logiksolver 50–56 jedegewünschtenSchutz- und Sicherheitstechniken verwenden, um die Möglichkeitennicht autorisierter Veränderungenan dadurch implementierten sicherheitsbezogenen Funktionen zu verringernoder ganz zu eliminieren. Beispielsweise können die Sicherheitslogiksolver 50–56 unddie Konfigurierungsapplikation 80 eine Person mit einembestimmten Autoritätsleveloder eine Person an einer bestimmten Workstation erfordern, um Änderungenan den Sicherheitsmodulen in den Logiksolvern 50–56 vorzunehmen,wobei das Autoritätsleveloder die Zugriffsstation von dem Autoritäts- oder Zugangslevel oderdem Ort der notwendig ist, um Änderungenan den Prozesssteuerungsfunktionen vorzunehmen, welche von den Steuerungsgeräten 24 und 26 undden I/O-Vorrichtungen 28–36 durchgeführt werden.In diesem Fall verfügennur die Personen, die in der Sicherheitssoftware benannt sind oderdie an Workstations arbeiten, die für Änderungen am Sicherheitssystem 14 freigegebensind, überdie Berechtigung, sicherheitsbezogene Funktionen zu verändern, wodurchdie Möglichkeiteiner unberechtigten Veränderungder Funktion des Sicherheitssystems 14 minimiert wird.Es ist klar, dass für dieImplementierung einer solchen Sicherheitsstruktur die Prozessorenin den Sicherheitslogiksolvern 50–56 die eintreffendenMeldungen auf korrekte und sicherheitsgerichtete Form überprüfen undsomit eine Türsteherfunktionwahrnehmen, wenn Änderungenan den Steuerungsmodulen 58 der Sicherheitsebene erfolgen,die in den Sicherheitslogiksolvern 50–56 ausgeführt werden.
[0024] Esist klar, dass durch die Verwendung der Leiterplatte 76 injedem der Knoten 18 und 20 die Sicherheitslogiksolver 50 und 52 unddie Sicherheitslogiksolver 54 und 56 lokal miteinanderkommunizieren können,um die von jeder der Vorrichtungen implementierten Sicherheitsfunktionenzu koordinieren, um Daten miteinander auszutauschen, oder um andereintegrierte Funktionen auszuführen.Andererseits arbeiten die MPD's 70 und 72 derart,dass Abschnitte des Sicherheitssystems 14, die sich anerheblich unterschiedlichen Orten der Anlage 10 befinden,immer noch miteinander kommunizieren können, um koordinierte Sicherheitsfunktionenan verschiedenen Knoten der Prozessanlage 10 bereitzustellen.Insbesondere versetzen die MPD's 70 und 72 inVerbindung mit dem Bus 74 die mit verschiedenen Knoten 18 und 20 derProzessanlage 10 verbundenen Sicherheitslogiksolver indie Lage, eine kaskadierte Kommunikation zu unterhalten, um dieKaskadierung der sicherheitsbezogenen Funktionen innerhalb der Prozessanlage 10 entsprechendder zugeordneten Prioritätzu ermöglichen.Alternativ können zweioder mehr sicherheitsbezogene Funktionen an verschiedenen Punkteninnerhalb der Prozessanlage 10 gegeneinander verriegeltoder miteinander verbunden sein, ohne eine jeweils eigene Verbindungsleitungzu einzelnen Sicherheitsfeldvorrichtungen innerhalb der separatenBereiche oder Knoten der Anlage 10 zu führen. Anders gesagt, die Verwendung derMPD's 70 und 72 unddes Busses 74 versetzt einen Sicherheitsingenieur in dieLage, ein Sicherheitssystem 14 zu konzipieren und zu konfigurieren,das von seinem Wesen her überdie Prozessanlage 10 verteilt ist, das aber verschiedeneKomponenten aufweist, die kommunikativ miteinander verbunden sind, damitdie unterschiedliche sicherheitsbezogene Hardware wie erforderlichmiteinander kommunizieren kann. Dieses Merkmal stellt außerdem dieAnpassungsfähigkeitdes Sicherheitssystems 14 dahingehend bereit, dass demSicherheitssystem 14 je nach Bedarf oder im Zuge der Einführung neuerProzesssteuerungsknoten in die Prozessanlage 10 zusätzlicheSicherheitslogiksolver hinzugefügtwerden können.
[0025] Esversteht sich von selbst, dass die Logiksolver 50–56 programmiertwerden können,um Überwachungsaktivitäten in Bezugauf die Sicherheitsvorrichtungen 60 und 62 wahrzunehmen,wobei ein Beispiel füreinen Funktionsblock als Grundlage verwendet wird. Insbesonderekann, wie in einer vergrößerten Darstellungeines der Sicherheits-Steuerungsmodule 58a (imSpeicher 79 abgelegt) des Logiksolvers 54 dargestellt,ein Sicherheits-Steuerungsmodul eine Gruppe kommunikativ verbundener Funktionsblöcke enthalten,die erstellt und in den Logiksolver 54 geladen werden können, umdiese im Betrieb der Prozessanlage 10 zu implementieren. Wiein 1 gezeigt, umfasstdas Steuerungsmodul 58a zwei Auswahlfunktionsblöcke 92 und 94,deren Eingängekommunikativ mit anderen Funktionsblöcken 90 verbundensind, wobei es sich um Funktionsblöcke mit analogen Eingängen (AI),um solche mit digitalen Eingängen(DI) oder um andere Funktionsblöckehandeln kann, die konzipiert sind, um Signale für die Auswahlfunktions blöcke 92 bereitzustellen. DieAuswahlfunktionsblöcke 92 und 94 habenmindestens einen Ausgang, der mit einem oder mehreren anderen Funktionsblöcken 91 verbundenist, bei denen es sich um Funktionsblöcke mit analogen Ausgängen (AO),um solche mit digitalen Ausgängen (DO),um reagierende Funktionsblöcke,die Ursache/Wirkungslogik implementieren, um Funktionsblöcke für Steuerungund Diagnose, die Ausgangssignale von den Auswahlfunktionsblöcken 92 und 94 erhaltenkönnen,um die Funktion der Sicherheitsvorrichtungen 60 und 62 zusteuern, etc. handeln kann. Selbstverständlich kann das Sicherheits-Steuerungsmodul 58a injeder gewünschtenWeise programmiert sein, um jeden Typ eines Funktionsblocks zusammenmit einem oder mehreren Auswahlfunktionsblöcken zu enthalten, die in jedergewünschtenoder nützlichenWeise konfiguriert sein können,um so jede gewünschteFunktion zu übernehmen.
[0026] Obwohldie vergrößerte Darstellungdes Sicherheits-Steuerungsmoduls 58a der 1 einen digitalen Auswahlfunktionsblock 92 mitfünf digitalen Eingängen undeinen analogen Auswahlfunktionsblock 94 mit drei analogenEingängenaufweist, versteht es sich von selbst, dass jede beliebige Anzahl verschiedenerSicherheitslogikmodule 58 für jeden der verschiedenen Logiksolver 50–56 erstelltund in diesem eingesetzt werden kann, wobei jedes dieser Modulejede beliebige Anzahl von Auswahlfunktionsblöcken umfassen kann, die jedebeliebige Anzahl von Eingängenaufweisen können,die in jeder gewünschtenWeise kommunikativ mit anderen Funktionsblöcken verbunden sein können. Ebensokönnen etwabeim Einsatz in einem Fieldbusnetz die Auswahlfunktionsblöcke 92 und 94,bei denen es sich um jeden Typ eines Fieldbus-Funktionsblocks handeln kann,oder jeder der anderen damit verbundenen Funktionsblöcke in anderenVorrichtungen angeordnet und implementiert sein, beispielsweisein den Feldvorrichtungen 62. Bei der Verwendung außerhalbeines Sicherheitssystems könntendie Auswahlfunktionsblöcke 92 und 94 inden Prozesssteuerungsgeräten 24, 26,den I/O-Vorrichtungen 28–36, den Feldvorrichtungen 42 etc.angeordnet werden. Allgemein ist dabei klar, dass die Auswahlfunktionsblöcke 92 und 94 typischerweiseredundante Eingängeerhalten, die von redundanten Sensoren oder Gebern innerhalb desSicherheitssystems 14 bereitgestellt werden, und ein Auswahlschemaauf diese Eingängezur Anwendung bringen, um auf Basis aller dieser Eingänge festzustellen,ob eine Situation vorliegt, die ein Ansprechen des Sicherheitssystemsbedingt.
[0027] 2 ist ein Blockdiagramm,das die Komponenten des beispielhaften Auswahlfunktionsblocks 94 der 1 wiedergibt, wobei es sichum einen analogen Auswahlfunktionsblock handelt, da er analoge Eingangssignaleverarbeitet, die überbeispielsweise Funktionsblöcke 90 für analogeEingänge(AI) geliefert werden. Generell enthält der Auswahlfunktionsblock 94 dreiEingängemit den Bezeichnungen IN1, IN2 und IN3, die geeignet sind, analogeSignale von beispielsweise redundanten Sensoren oder anderen redundantenElementen innerhalb der Prozessanlage 10 wie beispielsweisevon den Feldvorrichtungen 60 und 62 der 1 zu übernehmen. Jeder der Eingänge IN1,IN2 und IN3 wird an einen Abschaltgrenzwert-Prüfblock 95a, 95b oder 95c undan einen Grenzbereichs-Prüfblock 96a, 96b und 96c übergeben.Die Abschaltgrenzwert-Prüfblöcke 95 vergleichendie an sie gelieferten Eingängemit einem voreingestellten Grenzwert, um zu bestimmen, ob das Eingangssignaleinen Wert erreicht hat (wobei es sich um einen hohen Wert, einenniedrigen Wert oder um einen Wert innerhalb eines bestimmten Bereichs handelnkann), der einer Abschaltbedingung zugeordnet ist. In entsprechenderWeise vergleichen die Grenzbereichs-Prüfblöcke 96 die an siegelieferten Eingängemit einem voreingestellten Grenzbereichswert, um zu bestimmen, obdas Eingangssignal einen Wert erreicht hat (wobei es sich um einenhohen Wert, einen niedrigen Wert oder um einen Wert innerhalb einesbestimmten Bereichs handeln kann), der einem Alarm oder einer Warnungzugeordnet ist, die eine Abschaltbedingung signalisiert, die zwarnoch nicht gegeben, aber nahezu erreicht ist. Im Ergebnis ermöglichenes die Grenzbereichs-Prüfblöcke 96,ein Alarm- oder ein Ereignissignal zu generieren, das eine nahezueingetretene gefahrenträchtigeoder in anderer Weise nicht wünschenswerteBedingung anzeigt, die jedoch noch nicht tatsächlich gegeben ist.
[0028] DieAusgängeder Abschaltgrenzwert-Prüfblöcke 95 undder Vor-Grenzwert-Prüfblöcke 96 (bei denenes sich beispielsweise um digitale Signale handeln kann, die aufeinen oberen Pegel gesetzt werden, wenn die Grenzen oder die Vor-Grenzwerte inden Blöcken 95 und 96 erreichtwerden) werden jeweils an eine Gruppe von Eingangsausblendungsblöcken 98a, 98b und 98c geliefert.Die Eingangsausblendungsblöcke 98 bewirkendie Ausblendung der einzelnen Eingänge IN1, IN2 und IN3, so dasseiner oder mehrere dieser Eingängeausgeblendet werden können,d.h. nicht mehr im Auswahlfunktionsblock 94 genutzt werden,um zu bestimmen, ob eine Abschaltbedingung oder eine Voralarmbedingunggegeben ist. Jeder der Eingangsausblendungsblöcke 98 stellt einenAusgang fürdie zugehörigeAbschalt-Grenzbedingung an einen Abschalt-Auswahllogikblock 100a undeinen Ausgang fürdie zugehörigeVor-Grenzwertbedingung an einen Vor-Abschalt-Auswahllogikblock 100b bereit.Die Auswahllogikblöcke 100a und 100b wickelnAuswahllogik ab, die weiter unten detaillierter beschrieben wird,um auf Basis der an sie übermitteltenEingängefestzustellen, ob eine Abschaltbedingung oder eine Voralarmbedingunggegeben ist.
[0029] DerAbschalt-Auswahllogikblock 100a und der Vor-Abschalt-Auswahllogikblock 100b stellenjeweils ein Abschaltsignal und ein Vor-Abschalt-Alarmsignal (wenndas Vorliegen der betreffenden Bedingungen festgestellt wird) aneinen Anlaufsperrblock 102 bereit, der den Auswahlfunktionsblock 94 sperrenkann, so dass dieser kein Abschaltsignal bzw. kein Vor-Abschalt-Alarmsignalwährendbeispielsweise des Anlaufs oder eines anderen Vorgangs oder im Zugeder Ausführungeiner Laufzeitprozedur ausgibt, bei der es wünschenswert ist, die Funktiondes Auswahlfunktionsblocks 94 außer Kraft zu setzen. Der Anlaufsperrblock 102 bereitetein Ausgangssignal zur Abschaltung auf (mit der Bezeichnung Out),das aus der Funktion des Abschalt-Auswahllogikblocks 100a undder Logik des Anlaufsperrblocks gebildet wird, und er bereitet außerdem einSignal Pre_out auf, das aus der Funktion des Vor-Abschalt-Auswahllogikblocks 100b unddes Anlaufsperrblocks gebildet wird. Das Signal Out kann genutztwerden, um die Funktion einer Abschaltprozedur innerhalb des Sicherheitssystems 14 der 1 anzusteuern, während dasSignal Pre_out genutzt werden kann, um einen Alarm abzusetzen, derauf die Tatsache hinweist, dass eine Abschaltbedingung innerhalbder Prozessanlage 10 nahezu erreicht ist. Wenn dies gewünscht ist,könnendie Signale Out und Pre-out selbstverständlich auch für andereZwecke herangezogen werden.
[0030] DerAuswahlfunktionsblock 94 kann einen Satz Parameter enthalten,von denen einige in 2 über oderunter den jeweiligen Blöckenangedeutet sind, in denen sie verwendet werden, wobei diese Parameterbeispielsweise währendder Konfigurierung des Auswahlfunktionsblocks 94 gesetztwerden, um die Funktionsweise des Auswahlfunktionsblocks 94 zusteuern oder festzulegen. Insbesondere weiden ein Parameter für den Abschaltgrenzwert (Trip_Lim)und ein Parameter fürden Vor-Abschalt-Grenzwert (Pre_Trip_Lim) genutzt, um die in denAbschaltgrenzwert-Prüfblöcken 95 verwendeten Abschaltgrenzwerteund die in den Vor-Grenzwert-Prüfblöcken 96 verwendetenVor-Grenzwertschrankenzu setzen oder festzulegen. Die Parameter für den Abschaltgrenzwert und/oderden Vor-Abschalt-Grenzwert könnenfür jedender verschiedenen Blöcke 95 und 96 dieselbensein, oder sie könnenfür jedender Blöcke 95 und 96 individuellgesetzt werden. In ähnlicherWeise werden Parameter für eineAbschalthysterese (Trip_Hys) und eine Vor-Abschalt-Hysterese (Pre_Trip_Hys)verwendet, um die Hysterese vorzugeben, die die Blöcke 95 und 96 zwischenaufeinander folgenden Abschaltungen durchlaufen müssen. Diesbedeutet, dass dann, wenn einer der Blöcke 95 oder 96 detektiert,dass eines der Eingangssignale oberhalb (oder unterhalb) eines Grenzwertsliegt, der Hysteresewert des Typs Hystereseparameter (für die Blöcke 95)und der Hysteresewert des Parameters für die Vor-Abschalt-Hysterese (für die Blöcke 96)bestimmen, wie weit das Eingangssignal den Grenzwert überschreiten(oder unterschreiten) muss, bevor das Abschaltsignal (oder das Vor-Abschaltsignal)zurückgenommenwird oder bevor vom betreffenden Block ein zweites Abschaltsignal(oder ein Vor-Abschaltsignal) gesetzt werden kann.
[0031] DerAuswahlfunktionsblock 94 hat des Weiteren einen internenAbschalt-Konfigurationsparameter-Typmit der Bezeichnung Trip Type, der die Normal- und die Abschaltzustandswertedefiniert, die den Ein- und/oder Ausgängen des Auswahlfunktionsblocks 94 zugeordnetsind. Wenn beispielsweise der Auswahlfunktionsblock 94 als "Spannungslos für Abschaltung" konfiguriert ist(was der Vorgabewert sein kann), ist der Normalbetrieb des AusgangsEins, und der Abschalt-Zustandswert ist Null. Umgekehrt ist dann,wenn der Auswahlfunktionsblock 94 als "Spannungsführend für Abschaltung" konfiguriert ist,der Normalbetriebswert Null, und der Abschalt-Zustandswert ist Eins.Die anfänglicheFestsetzung erfolgt in den Abschalt-Grenzwert-Prüfblöcken 95a, 95b und 95c undin den Vor-Grenzwert-Prüfblöcken 96a, 96b und 96c,die jeweils den EingängeIN1, IN2 und IN3 entsprechen. Ein Detektierungs-Typ-Parameter (Detect_Type)kann verwendet werden, um festzulegen, ob der Vergleich mit demAbschaltgrenzwert ein Vergleich auf größer (oberer Grenzwert) oderein Vergleich auf kleiner (unterer Grenzwert) sein soll. DieserVergleich erfolgt in den jeweils zugehörigen Abschaltgrenzwert- Prüfblöcken 95 undden Grenzbereichs-Prüfblöcken 96,um festzustellen, ob die Eingangssignale die vorbestimmten Grenzenerreicht haben.
[0032] Esist klar, dass die Ausgängeder Abschaltgrenzwert-Prüfblöcke 95 jeweilsanzeigen, ob durch den zugehörigenEingang IN1, IN2 und/oder IN3 eine Abschaltung angezeigt wird. Wieweiter oben erläutert,kann fürWartungszwecke durch die Eingangsausblendungsblöcke 98 ein Übergehenbzw. ein Ausblenden fürjeden der einzelnen Eingänge IN1,IN2 und IN3 eingerichtet weiden, um zu verhindern, dass diese Eingänge in diedurch die Auswahllogikblöcke 100 angewendeteAuswahllogik eingehen. Dieses Ausblendungsmerkmal ist wünschenswert,wenn beispielsweise Wartungsmaßnahmenan einem Geber oder an einer anderen Feldvorrichtung durchgeführt werden,die Eingangssignale fürden Auswahlfunktionsblock 94 bereitstellen. Bei Verwendungeiner Auswahllogik zum Setzen eines Abschaltausgangs auf Basis mehrererEingängesind Ausblendungen fürWartungsmaßnahmennicht immer erforderlich, da eine einzelne falsche Abschaltanforderung(etwa infolge von Wartungsmaßnahmenam fürdie Bereitstellung des Eingangs vorgesehenen Sensor) nicht zwingendzu einer Abschaltung führt. DieseAusblendungsfunktion ist wünschenswert,um Fehlabschaltungen währendWartungsaktivitätenzu vermeiden, und sie kann fürbestimmte Auswahllogiken, beispielsweise in einem Eins-aus-Zwei-Logikkonzepterforderlich sein, bei dem bereits das Vorliegen eines einzigenAbschaltsignals von redundanten Sensoren in einer Abschaltung resultierenkann.
[0033] Wenneiner der Eingangsausblendungsblöcke 98 dieAusblendung eines Eingangs bewirkt, wird der ausgeblendete Eingangvon den Auswahllogikblöcken 100a und 100b nichtin die Bildung eines Abschaltsignals oder eines Vor-Abschalt-Alarmsignals einbezogen,und zwar selbst dann nicht, wenn der Eingangswert die durch dieParameter fürden Abschaltgrenzwert und den Vor-Abschalt-Grenzwert vorgegebenenGrenzwerte überschreitet.Um die Ausblendung freizugeben, kann ein Parameter für die Zulassungder Ausblendung (Bypass_Permit) zuerst freigegeben werden, um festzulegen,ob als erstes eine Ausblendung der Eingänge erfolgen kann. Allgemeingesagt, die Ausblendung von Eingängen isterlaubt, wenn der Parameter Bypass_Permit gesetzt oder freigegebenist, währenddie Ausblendung von Eingängennicht erlaubt ist, wenn der Parameter Bypass_Permit nicht gesetztoder nicht freigegeben ist. Obwohl ein einziger Parameter Bypass_Permit aufalle Ausblendungsblöcke 98 angewendetwerden kann, ist es auch möglich,eine separate Zulassung der Ausblendung für jeden der Eingangsausblendungsblöcke 98a, 98b, 98c zusetzen.
[0034] Wennder Parameter Bypass_Permit gesetzt oder freigegeben ist, kann einParameter BYPASSx verwendet werden, um zu bewirken, dass ein oder mehrereAusblendungsblöcke 98 aktiviertwerden, um die Verwendung eines zugehörigen Eingangs IN1, IN2 oderIN3 zu sperren. Das x in BYPASSx gibt an, welcher der Eingänge IN1,IN2 oder IN3 zu sperren ist. Wenn dies gewünscht ist, können zujedem beliebigen Zeitpunkt mehr als ein Eingang gesperrt werden,oder der Auswahlfunktionsblock 94 kann so konfiguriertwerden, dass zu einem bestimmten Zeitpunkt nur jeweils ein Eingangausgeblendet werden kann. Die Parameter Bypass_Permit und BYPASSx können injeder gewünschtenWeise gesetzt oder vorgegeben weiden, beispielsweise mittels einesim Operator- oder Wartungsbildschirm zur Verfügung gestellten Bedienknopfs,durch einen physikalischen Schlüsselschalter, über einengetrennten Eingang in das Sicherheitsmodul, durch eine Konfigurierungs-, Steuerungs-,Display- oder Diagnoseapplikation oder in jedes anderen Weise. Wennfür einebestimmte Implementierung des Auswahlfunktionsblocks 94 die Verwendungeiner Ausblendungsfreigabe nicht erforderlich ist, ist es selbstverständlich möglich, beider Konfigurierung des Auswahlfunktionsblocks 94 den ParameterBypass_Permit standardmäßig mitFreigabe vorzubesetzen.
[0035] EinParameter fürdie zeitliche Begrenzung der Ausblendung (Bypass_Timeout) kann genutzt werden,um den Zeitraum vorzugeben, des nach dem Einstellen einer Ausblendungfür einender Blöcke 98 bewirkt,dass nach dem Ablauf der betreffenden Zeit die Ausblendung automatischwieder zurückgenommenwird. In diesem Fall kann jedes der Eingangsausblendungsblöcke 98 einenAusblendungszeitgeber aus einer Zeitgebergruppe 110 enthalten, derentsprechend dem Parameter Bypass_Timeout gesetzt wird, und derab dem Einstellen der Ausblendung heruntergezählt werden kann. In diesemFall könnendie Eingangsausblendungsblöcke 98 dieEinbeziehung des zugehörigenEingangs sperren, bis BYPASSx zurückgenommen wird oder bis derAusblendungszeitgeber den Wert null erreicht hat. Es ist klar, dassAusblendungszeitgeber genutzt werden, um si cherzustellen, dass Ausblendungennach Ablauf eines vorbestimmten Zeitraums zurückgenommen werden.
[0036] Wenngewünscht,könnendie Eingangsausblendungsblöcke 98 außerdem konfiguriertwerden, um einen Erinnerungsalarm für einen Nutzer wie z.B. einenBediener bzw. Operator, einen Sicherheitsingenieur, einen Technikeretc. bereitzustellen, um den Nutzer zu erinnern bzw. diesem mitzuteilen,dass der Auslauf eines Ausblendungszeitgebers bevorsteht. Wenn Ausblendungenso konfiguriert werden, dass diese nach einer Zeitbegrenzung für die Ausblendungnicht mehr gegeben bzw. nicht mehr wirksam sind, kann vor Ablaufder Zeitbegrenzung eine Nachricht an einen Nutzer oder einen anderenOperator übermitteltwerden, indem ein Parameter fürdie Erinnerungszeit (REMINDER_TIME) auf einen entsprechenden Wertungleich null gesetzt wird. Wenn in diesem Fall der Ausblendungszeitgeberungleich null ist, aber einen niedrigeren Wert erreicht hat, alsder Parameter fürdie Erinnerungszeit, und wenn gleichzeitig ein ausgeblendeter Eingangeine Abschaltung anfordert, kann der Erinnerungsalarm aktiviertwerden, um einen Alarm füreinen Nutzer bereitzustellen, der anzeigt, dass nach dem bevorstehendenAblauf des Ausblendungszeitgebers eine Abschaltung erfolgen kann.Wenn keiner der ausgeblendeten Eingänge eine Abschaltung anfordert,braucht der Alarm nicht aktiviert zu werden, er kann aber trotzdemaktiviert werden. Es ist klar, dass selbst dann, wenn der dem Ausblendungszeitgeberzugeordnete Alarm aktiv ist, nicht notwendigerweise eine Abschaltungbevorsteht, da möglicherweisenicht ausreichend viele weitere Eingänge eine Abschaltung anfordern,um den Abschalt-Auswahllogikblock 100a zum Absetzen einesAbschaltsignals zu veranlassen.
[0037] Ineiner Ausführungsformwird der Ausblendungszeitgeber nur dann erneut gestartet, wenn die Zeitbegrenzungder ersten Ausblendung ausgelaufen ist. Der Ausblendungszeitgeberkann jedoch auch als schreibfähigerParameter konfiguriert sein, wobei dann, wenn die Meldung einesanstehenden Auslaufs der Zeitbegrenzung erfolgt, der Ausblendungszeitgebermittels eines Bedienknopfs im Operatordisplay (oder durch ein anderesgeeignetes Verfahren) inkrementiert werden kann, um die Ausblendungszeitzu verlängern.Ein derartiges Merkmal ermöglichtes einem Nutzer, die Ausblendungszeit zu verlängern, wenn beispielsweiseeine Wartungsmaßnahmean der Feldvorrichtung, die den ausgeblendeten Eingang für den Auswahlfunktionsblock 94 zur Verfügung stellt,noch nicht abgeschlossen ist. Alternativ kann die Meldung des Auslaufseiner Ausblendung ausschließlichzu Anzeigezwecken dienen, beispielsweise wenn eine Ausblendung nachdem Auslauf der Zeitbegrenzung nicht mehr außer Kraft gesetzt werden muss.In diesem Fall kann der Erinnerungsalarm mit Auslauf des Ausblendungszeitgebers aktiviertwerden, und zwar auch dann, wenn der Parameter für die Erinnerungszeit auf nullgesetzt ist. Wenn jedoch der Parameter für die Erinnerungszeit ungleichnull ist, erfolgt vor dem Auslauf der Zeitbegrenzung weiterhin eineErinnerung (sofern der Eingang eine Abschaltung anfordert). DieErinnerungsalarme und die Ausblendungsalarme können zu bestätigendeoder nicht zu bestätigendeAlarme sein.
[0038] Diein den Auswahllogikblöcken 100a und 100b realisierteAuswahllogik ist vorzugsweise als "M-von-N"-Logikfunktion konfiguriert. Entsprechend dieserFunktionalitätmüssenM Eingängeaus insgesamt N Eingängeneine Abschaltung anfordern. Beispielsweise kann der Auswahlfunktionsblock 94 entsprechendeiner 2-aus-3-Logik (2oo3-Logik) konfiguriert sein, was bedeutet,dass zwei der drei Eingänge denAbschaltgrenzwert erreichen müssen,bevor der Ausgang des Auswahllogikblocks 100a in den Abschaltzustandversetzt wird, und dass zwei von dreien der Eingänge den Vor-Abschalt-Grenzwerterreichen müssen,bevor der Vor-Abschalt-Auswahllogikblock 100b auf einenVor-Abschalt-Alarmwertgesetzt wird. Der Wert N der "M-aus-N"-Funktion ist durchdie Anzahl der nicht ausgeblendeten Eingänge gegeben, während derWert M auf Basis eines internen Parameters des Blocks mit der BezeichnungAnzahl für Abschaltung(NUM_TO_TRIP) festgelegt wird, dessen Vorgabewert auf jeden beliebigenWert gleich oder kleiner als N bei der Konfigurierung gesetzt werdenkann. GebräuchlicheAuswahlschemata können beispielsweise2-aus-3 (2oo3), 1-aus-2 (1oo2), 2-aus-2 (2oo2) etc. enthalten. Eskann jedoch auch jede andere Auswahllogik verwendet werden. Aufgrundder sonstigen Merkmale des Blocks 94 kann der Auswahlfunktionsblock 94 auchfür einzelneGeber-Anwendungenin beispielsweise einer 1-aus-1-Auswahllogiksituation (1oo1) verwendet werden.
[0039] Allgemeingesagt, die Auswahlschemata 1oo2 und 1oo1 erfordern eine Ausblendungsfunktion für Wartungszwecke,da bereits die Außerbetriebnahmeeines der Geber in einer Weise, die während Wartungsmaßnahmendie Detektion einer Abschaltbedingung für diesen Geber am Eingang desAuswahlfunktionsblocks 94 bewirkt, notwendigerweise zumSetzen einer Abschaltbedingung durch den Auswahllogikblock 100a führt. EineAusblendungsfunktion kann jedoch auch für Auswahlfunktionsblöcke von Nutzensein, die so konfiguriert sind, dass sie mehrere Anforderungen für eine Abschaltungbenötigen, umein exakter vorhersehbares Verhalten bei Wartungsmaßnahmenzu erhalten.
[0040] DieAusblendung eines der EingängeIN1, IN2 oder IN3 kann sich in zweierlei Weise auf die Auswahllogikblöcke 100a und 100b auswirken.Entweder kann dadurch die Anzahl der zur Erkennung einer Abschaltbedingung(oder einer Vor-Abschalt-Alarmbedingung) erforderlichen Eingänge um einsreduziert werden, oder aber die Anzahl dieser Eingänge kanndabei die gleiche bleiben. Wenn beispielsweise der Auswahllogikblock 100a alsAuswahllogikblock des Typs 2oo3 konfiguriert ist und einer der Eingänge IN1,IN2 oder IN3 ausgeblendet wird, kann sich das Auswahlschema zu einemAuswahlschema 1oo2 wandeln, was bedeutet, dass die erforderlicheAnzahl von Eingängenmit einer Abschaltanforderung um eins reduziert wird (zusammen mitder Anzahl der möglichenEingänge).Optional kann beim Ausblenden eines ausgewählten Eingangs das 2oo3-Auswahlschema inein 2oo2-Auswahlschema gewandelt weiden, was bedeutet, dass dieerforderliche Anzahl der Eingängemit einer Abschaltanforderung die gleiche bleibt (obwohl die Anzahlder möglichenEingängeum eins reduziert ist). Ein Parameter für Ausblendungsoptionen kanngenutzt werden, um zu bestimmen, ob die nach der Ausblendung einesEingangs aktuell füreine Abschaltung erforderliche Anzahl um eins reduziert wird odernicht. 3 verdeutlichtdie Auswirkung dieser Option fürverschiedene unterschiedliche Auswahlschemata. Die erste Spalteder 3 gibt die Konfigurationder Auswahllogikschemata ohne ausgeblendete Eingänge an, die zweite Spalte der 3 gibt die Auswahllogiknach Ausblendung eines einzelnen Eingangs an, wobei die ursprünglich konfigurierte AnzahlM für eineAbschaltung beibehalten wird, und die dritte Spalte der 3 gibt die Auswahllogiknach Ausblendung eines einzelnen Eingangs an, wobei die Anzahl Mfür eineAbschaltung um eins reduziert wird. Selbstverständlich können zusätzliche Ausblendungen von Eingängen entsprechende Änderungen derin der zweiten und dritten Spalte der 3 angegebenenWerte bewirken. In jedem Fall wird der Abschalt-Auswahllogikblock 100a (undder Vor-Abschalt-Grenzwert-Auswahllogikblock 100b) die aktuelleAnzahl der füreine Abschaltung erforderlichen Eingänge generell nicht auf wenigerals eins reduzieren, und er wird eine Abschaltung verhindern, wenn dieAnzahl der möglichenEingängefür eineAbschaltanforderung auf null reduziert ist, wie z.B. in einem 1oo1-Auswahlschema.
[0041] Dasstandardmäßige Verhaltendes Eingangsausblendungsblocks 98 kann so konfiguriert weiden,dass immer nur ein Eingang ausgeblendet werden kann. Diese Funktionsweisekann durch eine Eintragskontrolle erzwungen werden, die die Ausblendungeines zweiten Eingangs verhindert. Optional können mehrere Eingänge gleichzeitigausgeblendet werden. Wenn gewünscht,kann der Parameter BYPASSx eine zusätzliche Eintragskontrolle haben,die erfordert, dass der Parameter BYPASS_PERMIT wahr oder gesetztist, bevor der Parameter BYPASSx besetzt werden kann.
[0042] Nachdemim Abschalt-Auswahllogikblock 100a eine Auswahl entsprechenddem M-aus-N-Auswahlschema getroffen wurde, kann ein Zeitparameter TRIP_DELAY_ONzum Anschalten einer Verzögerungder Abschaltung zur Anwendung gebracht werden, so dass die durchAuswahl erhaltene Abschaltbedingung für eine konfigurierbare Zeitperiode(deren Vorgabewert auf null Sekunden gesetzt sein kann) gegebensein muss, bevor das Signal OUT in den Zustand für eine Abschaltung wechselt.In entsprechender Weise kann ein Zeitparameter TRIP DELAY_OFF zurAbschaltung einer Abschalt-Verzögerungzur Anwendung gebracht werden (dessen Vorgabewert auf null Sekundengesetzt sein kann), um nach dem Ausbleiben der Abschaltanforderung dieRückkehrdes Signals OUT in den Normalzustand zeitlich zu verzögern, d.h.wenn der Abschalt-Auswahllogikblock 100a auf Basis deran ihn angelegten Eingängefeststellt, dass die Abschaltbedingung nicht mehr gegeben ist. Selbstverständlich können derZeitparameter zur Verzögerungder Abschaltung und der Zeitparameter zur Verzögerung der Rücknahmeder Abschaltung unterschiedliche und wie gewünscht einstellbare Werte haben,und sie können aufdas Abschaltsignal vom Abschalt-Auswahllogikblock 100a undauf das Abschalt-Voralarmsignalvom Vor-Abschalt-Auswahllogikblock 100b oder auch auf beideSignale angewendet werden. Wenn gewünscht, können die Zeiten zum Anschaltender Verzögerungder Abschaltung und zum Abschalten der Verzögerung der Abschaltung unabhängig für den Abschalt-Auswahllogikblock 100a undden Vor-Abschalt-Auswahllogik block 100b konfigurierbarsein, und sie könnendurch einen der Zeitgeber 110 verfolgt werden.
[0043] Wieweiter oben angemerkt, ermöglichtder Anlaufsperrblock 102 das Ausblenden für den Anlauf oderfür anderebetriebliche Funktionen. Es kann beispielsweise erforderlich sein,den Ausgang des Auswahlfunktionsblocks 94 zu übergehen,um das Abschaltsignal währenddes Anlaufs oder fürandere vorübergehendebetriebliche Situationen füreinen kurzen Zeitraum im Normalzustand zu erzwingen. Diese Anlaufsperrfunktionkann beispielsweise genutzt werden, um eine anstehende Abschaltanforderung zudeaktivieren, die vom Auswahlfunktionsblock 94 generiertwird, wenn sich der Prozess oder ein erheblicher Teil desselbennoch im Stillstand befindet, so dass der Anlaufvorgang bis zu einemPunkt ablaufen kann, ab dem die an den Eingängen des Auswahlfunktionsblocks 94 anstehendenProzessdaten keine Werte mehr aufweisen, aus denen hervorgeht, dass eineAbschaltung erfolgen sollte.
[0044] Ineinem Beispiel kann der Anlaufsperrblock 102 ein standardmäßiges Verhaltenaufweisen, bei dem mit Erhalt einer Anzeige des Anlaufvorgangs, diebeispielsweise durch Setzen eines Anlaufparameters mitgeteilt werdenkann, der Anlaufsperrblock 102 das Abschaltsignal, undwenn gewünscht,das Vox-Abschalt-Signal, füreine konfigurierbare Zeitperiode, die durch einen Parameter für die Anlaufverzögerung (STARTUP_DELAY)festgelegt werden kann, in den Normalzustand zwingt. Der Anlaufsperrblock 102 kanneinen abwärtszählendenZeitgeber als einen der Zeitgeber 110 enthalten, der aufden durch den Parameter fürdie Anlaufverzögerungspezifizierten Wert gesetzt wird, und der mit der Abwärtszählung beginnt,sobald die Anlaufmeldung überden Anlaufparameter eintrifft. Wenn der abwärtszählende Zeitgeber ausläuft, kehrender Abschalt-Auswahllogikblock 100a und der Vor-Abschalt-Auswahllogikblock 100b zurnormalen Detektierung einer Abschaltung zurück. Der Anlaufsperrblock 102 kannso konfiguriert werden, dass ein nachfolgendes Neusetzen des Anlaufparameterswährenddes Ablaufs des Anlaufzeitgebers die Anlaufzeit nicht beeinflusst.Optional ist es möglich,jedem erneuten Setzen des Anlaufparameters ein Rücksetzen des Anlaufzeitgebers zuermöglichen,so dass eine bevorstehende Abschaltung aufgrund des Auslaufens desZählerverhindert werden kann.
[0045] In ähnlicherWeise wie die Eingangsausblendungsblöcke 98 kann der Anlaufsperrblock 102 eine Erinnerungsfunktionaufweisen, die beispielsweise durch das Setzen eines Ausblendungsparameters aktiviertwerden kann. Die Erinnerungsfunktion arbeitet für Ausblendungen in der Anlaufphaseim Wesentlichen in der gleichen Weise wie für die Ausblendung von Eingängen (Ausblendungenfür Wartungszwecke).Demzufolge wird dann, wenn der Anlaufzeitgeber größer alsnull, aber kleiner als ein konfigurierbarer Parameter für die Erinnerungszeit (REMINDER_TIME)eingestellt ist (wobei Letzterer im Zuge der Konfigurierung gesetztwerden kann), und hinreichend viele Abschaltanforderungen vorliegen,eine Bedingung füreinen Erinnerungsalarm aktiv, die anzeigt, dass die Ausblendungausläuft,was zu einer Abschaltung auf Basis der Werte der Eingänge IN1,IN2 und IN3 führenwird.
[0046] Wenngewünscht,kann der Anlaufzeitgeber zusätzlichoder wahlweise automatisch auslaufen, sobald sich die Eingänge stabilisierthaben, d.h., wenn innerhalb eines konfigurierbaren Zeitraums nichtmehr hinreichend viele Anforderungen vorliegen, um eine Abschaltungzu bewirken. Diese Stabilisierungszeit kann durch einen Zeitgeberfür dieStabilisierung verfolgt werden, bei dem es sich um einen der Zeitgeber 110 handelnkann, und wobei dieser feststellen kann, wenn sich der Ausgang desAuswahllogikblocks 100a auf beispielsweise einem nicht für eine Abschaltunggenügendenbzw. einen normalen Wert stabilisiert hat. In diesem Fall kann,während derAnlaufzeitgeber nach unten zählt,der Stabilisierungszeitgeber nach oben zählen, wenn nicht ausreichendviele Abschaltanforderungen vorliegen, und kann sich zurückzusetzen,wenn die Abschaltanforderungen die für eine Abschaltung erforderlicheAnzahl erreichen oder überschreiten.Wenn der Anlaufzeitgeber den konfigurierten Zeitwert für die Stabilisierungerreicht, wird der Stabilisierungszeitgeber auf null rückgesetztund die normale Funktion zur Erfassung einer Abschaltbedingung wirdwieder aufgenommen. Selbstverständlichwird der Stabilisierungszeitgeber am Ende der Anlaufzeitperiodenicht rückgesetzt,er wird jedoch mit dem Beginn eines Anlaufs und zu jedem Zeitpunktwährendder Anlaufsperrzeit rückgesetzt,wenn hinreichend viele Abschaltanforderungen vorliegen.
[0047] Wahlweisemuss die Anlauf-Ausblendungszeit nicht auf einer festen Zeitperiodeoder auf den Werten der EingängeIN1, IN2 und IN3 fürden Auswahlfunktionsblock 94 basieren, sondern sie kann stattdessenauf dem Auftreten oder dem Ausbleiben eines Ereignisses basieren.In diesem Fall endet die Anlaufausblendung dann, wenn ein Anlauf-Rücksetzparameter gesetzt istoder gesetzt wird bzw. den Wert Wahr annimmt, was bei der Detektierungeines Ereignisses eintreten kann. Auf diese Weise kann die Anlaufausblendungmit dem Vorliegen oder dem Nichtvorliegen eines Ereignisses vonunbestimmter zeitlicher Längeverknüpftwerden.
[0048] Wenngewünscht,kann der Zustand der EingängeIN1, IN2 und/oder IN3 genutzt werden, um das Verhalten des Auswahlfunktionsblocks 94 zusteuern, wobei das erwähnteVerhalten mittels eines Parameters für Statusoptionen vorgegebenwerden kann. Es ist klar, dass in einer Vielzahl von Systemen, wiez.B. in den HART- und Fieldbussystemen, Geber oder andere Feldvorrichtungenzusammen mit dem Signal einer Prozessvariablen oder einer Prozessgröße ein Statussignal übermitteln,wobei das Statussignal den Zustand des Gebers selbst übermittelt. DerartigeStatussignale könnenanzeigen, dass sich der Geber im normalen oder guten Zustand, oderin einem abnormalen Zustand, beispielsweise in einem schlechtenoder nicht wünschenswertenZustand befindet, der bewirken kann, dass der von dem Geber übermittelteWert der Prozessvariablen von fraglicher Natur ist. Folglich kannder Status der Eingangssignale an den Eingängen IN1, IN2 und IN3 des Auswahlfunktionsblocks 94 bestimmtund zur Bildung des Auswahlschemas und der Art und Weise der Auswertungder Eingängeinnerhalb des Auswahlschemas genutzt werden.
[0049] Wenngewünscht,könnendie von den Blöcken 100 verwendetenAuswahlschemata so gesetzt werden, dass ein ausgefallener Geber(d.h. ein Eingang nimmt einen Fehlerstatus an) nicht automatisch eineAbschaltung auslöst,wenn andere Geber verfügbarsind, um einen gültigenWert fürdie erfasste Prozessvariable zu liefern. Bei der Berücksichtigung desStatus des Eingangssignals ist es eine Option, ungeachtet des Statusdes Eingangs, stets den Wert des Eingangs IN1, IN2 oder IN3 zu verwenden.Auf diese Weise führtein Hardwarefehler nicht notwendigerweise zu einer Abschaltung,so dass Zeit fürReparaturmaßnahmenverbleibt. Eine andere Option besteht darin, einen Eingang mit Fehlerstatusso zu behandeln, als ob der Eingang ausgeblendet wäre, wodurchverhindert wird, dass der Eingang eine Abschaltanforderung in derweiter oben fürdie Eingangsaus blendungsblöcke 98 beschriebenenWeise absetzt. Eine dritte Option ist die automatische Einbeziehungdes Eingangs als einen Eingang mit Abschaltanforderung, sobald derStatus des Eingangs „schlecht" ist. Dies kann alsstandardmäßige Option konfiguriertwerden, die das höchsteSicherheitsniveau für1ooX-Auswahlschemata bietet. 4 macht deutlich,wie verschiedene üblicheAuswahlschemata unter Anwendung der oben beschriebenen Optionenherabgestuft werden, wenn ein einzelner Eingang einen schlechtenStatus aufweist. Wie beispielsweise in der ersten Spalte der erstenReihe von 4 gezeigt,geht dann, wenn der betreffende Wert stets einbezogen wird, ein2oo3-Auswahlschema entweder wieder in ein 2oo3-Auswahlschema (wenn derWert des Signals von dem schlechten Geber keine Abschaltung anfordert)oder in ein 1oo2-Auswahlschema über(wenn der Wert des Signals von dem schlechten Geber eine Abschaltunganfordert). Dagegen zeigt die zweite Spalte der ersten Reihe der 4, dass das 2oo3-Auswahlschemain ein 2oo2-Auswahlschema übergeht,wenn der Wert des schlechten Gebers überhaupt nicht einbezogen wird (oderes kann je nach den gewähltenAusblendungsmerkmalen in ein 1oo2-Auswahlschema übergehen). Wie entsprechendin der dritten Spalte der ersten Reihe von 4 zeigt, geht das 2oo3-Auswahlschemain ein 1oo2-Auswahlschema über,wenn der Wert des schlechten bzw. fehlerhaften Gebers unabhängig vomtatsächlichenWert des Signals als Abschaltanforderung betrachtet wird.
[0050] Selbstverständlich kanndie Nutzung des jeweiligen Status der Eingänge für den Auswahlfunktionsblock 94 ingleicher oder in abweichender Weise auch beim Abschalt-Auswahllogikblock 100a und beimVor-Abschalt-Auswahllogikblock 100 angewendet werden. Wenngewünscht,kann der Status des Out-Signals und des Pre_out-Signals auf "Gut" gesetzt werden,außerwenn alle nicht ausgeblendeten Signale einen schlechten Status aufweisen,in welchem Fall der Status der Signale Out und Pre_out auf "Schlecht" gesetzt werden kann.Wenn gewünscht, kanndann, wenn irgendeiner der nicht ausgeblendeten Eingänge einenschlechten Status aufweist, ein Parameter für einen Alarmzustand gesetztwerden, der anzeigt, dass ein schlechter Eingang durch den Auswahlfunktionsblock 94 gesetztwerden kann.
[0051] 5 zeigt ein Zustandsdiagramm 130,das verschiedene Zuständeverdeutlicht, die der Auswahlfunktionsblock 94 durchlaufenkann, um aus einer Abschaltbedingung (bei der das Signal Out inden Abschaltzustand gebracht ist) in einen nicht abgeschaltetenoder normalen Zustand (bei dem das Signal Out in den Normalzustandgebracht ist) zu gelangen oder umgekehrt. Das Zustandsdiagramm 130 umfasstfünf Zustände, dieals Abschaltzustand 132, ein Auswahl-Normal-Verzögerungszustand 134,ein Auswahl-zu-Abschalt-Verzögerungszustand 136, Abschaltsperrzustand 138 undals Normalzustand 140 definiert sind. Die Pfeile oder Verbindungslinien zwischenden Zuständenim Zustandsdiagramm 130 zeigen die möglichen Zustandswechsel zwischen denZuständen 132–140 an.Die durchgezogenen Linien in 5 kennzeichnendie häufigauftretenden Zustandswechsel, die zu erwarten sind, wenn der erfassteProzesswert den Abschaltgrenzwert über- oder unterschreitet. Diegestrichelten Linien in 5 stehenfür wenigerhäufigeZustandswechsel.
[0052] DerAuswahlfunktionsblock 94 tritt aus jedem der anderen Zustände in denAbschaltsperrzustand 138 ein, wenn eine Anlaufausblendungaktiv ist, oder wenn eine Abschaltung nicht möglich ist, da nicht ausreichendviele Eingängeam Auswahlschema beteiligt sind, entweder weil ein oder mehrereEingänge ausgeblendetsind, oder weil ein oder mehrere Eingänge einen schlechten Zustandbzw. Fehlerstatus aufweisen und ein schlechter Zustand dahin gehend behandeltwird, dass der Eingang nicht in die Auswahl einbezogen wird. Ausdem Zustand der Abschaltsperrung 138 kann der Auswahlfunktionsblock 94 aufBasis der Einstellungen der Verzögerungsparameter(Abschalt-Verzögerungs-An-Parameterund der Abschalt-Verzögerungs-Aus-Parameter)sowie der Eingängezum Auswahlfunktionsblock 94 in jeden anderen Zustand wechseln,wenn die Sperrbedingung aufgehoben wird.
[0053] Ausdem Zustandsdiagramm 130 wird klar, dass sich der Auswahlfunktionsblock 94 allgemeinim Normalzustand 140 befindet, wenn die Eingänge des Auswahlfunktionsblocks 94 Wertederart aufweisen, dass das im Abschalt-Auswahllogikblock 100a der 2 verwendete Auswahlschemaanzeigt, dass keine Abschaltbedingung vorliegt. Selbstverständlich kannder Auswahllogikblock 100a alle Eingänge verwenden und ausgeblendeteEingängein jeder oben beschriebenen Weise verwenden, um zu entscheiden,dass keine Abschaltbedingung gegeben ist. Wenn vom Auswahlfunktionsblock 100a eineAbschaltbedingung festgestellt wird, kann der Auswahlfunktionsblock 94 direktin den Abschalt zustand 132 gehen, sofern keine Abschalt-Verzögerungs-An-Zeit eingestelltist, oder er kann in den Auswahl-zu-Abschalt-Verzögerungzustand 136 wechseln,wenn der Abschalt-Verzögerungs-An-Parameterauf einen Wert ungleich null gesetzt ist.
[0054] DerAuswahlfunktionsblock 94 verbleibt während der Verzögerungszeitperiodeim Auswahl-zu-Abschalt-Verzögerungzustand 136,wie durch Abschalt-Verzögerungs-An-Zeitparameter gesetzt,der von einem Nutzer, einem Konfigurierungsingenieur etc. konfiguriertwerden kann. Wenn die Abschalt-Verzögerungs-An-Zeitperiode ausläuft (und nichtvom Nutzer erneut zurückgesetztwird) und die Abschaltbedingung noch gegeben ist, tritt der Auswahlfunktionsblock 94 inden Abschaltzustand 132 ein und setzt das Signal Out aufden Wert fürAbschaltung. Wenn dagegen die Abschaltbedingung während desAuswahl-zu-Abschalt-Verzögerungszustands 136 aufgehobenwird, kehrt der Auswahlfunktionsblock 94 in den Normalzustand 140 zurück, ohneauf das Signal Out Einfluss zu nehmen.
[0055] Wennsich der Auswahlfunktionsblock 94 im Abschaltzustand 132 befindet,bringt er das Signal Out in den Abschaltzustand und hält es indiesem Zustand, bis der Auswahlfunktionsblock 94 entwederin den Zustand der Abschaltsperrung 138 oder in den Normalzustand 140 eintritt.Wenn eine Abschaltbedingung aufgehoben wird, weil sich beispielsweise eineroder mehrere der Eingängedes Auswahlfunktionsblocks 94 ändern und dadurch die Abschalt-Auswahllogikeine nicht zur Abschaltung führendeBedingung detektiert, geht der Auswahlfunktionsblock 94 beinicht gesetzter Abschalt-Verzögerungs-An-Zeitperiode direktin den Normalzustand 140, oder er tritt in den Auswahl-Normal-Verzögerungszustand 134 ein,wenn der Abschalt-Verzögerungs-Aus-Parameterauf einen Wert ungleich null gesetzt ist. Der Auswahlfunktionsblock 94 verbleibtim Zustand des Auswahl-Normal-Verzögerungszustands 134,bis der erste der Abschalt-Verzögerungs-Aus-Zeitgeber zur Verzögerung derRücknahmeder Abschaltung ausläuft(zu welcher Zeit der Auswahlfunktionsblock 94 in den Normalzustand 140 eintritt),eine Abschalt-Sperrbedingungauftritt (zu welcher Zeit der Auswahlfunktionsblock 94 inden Abschaltsperrzustand 138 eintritt), oder bis eine Auswahl-zu-Abschalt-Bedingungauf Basis einer Änderungder Eingängeerneut auftritt (zu welcher Zeit der Auswahlfunktionsblock 94 inden Abschaltzustand 132 zurückkehrt).
[0056] Während dasZustandsdiagramm 130 der 5 eineBetriebsweise wiedergibt, bei der der Auswahlfunktionsblock 94 auseinem normalen Betriebszustand in einen Abschaltzustand übergehen kannund umgekehrt, ist klar, dass, wenn gewünscht, der Auswahlfunktionsblock 94 konzipiertwerden kann, um weniger als die dargestellten Zustände oderum zusätzlicheZuständeoder um eine Kombination beider Möglichkeiten zu nutzen. Außerdem ist klar,dass währenddie Zustandsmaschinerie 130 spezifisch so beschrieben ist,dass sie zur Steuerung des Zustands des Signals Out, d.h. des Abschaltsignalsverwendet wird, ein ähnlichesDiagramm einer Zustandsmaschinerie verwendet werden könnte, um, dieFunktion des Signals Pre_out zu beschreiben, das von einem Normalzustandin einen Alarmzustand bzw. gesetzten Zustand wechselt und umgekehrt.
[0057] Wenngewünscht,kann der Auswahlfunktionsblock 94 des Weiteren eine odermehrere Statusvariablen oder Statussignale bereitstellen, die den Abschaltzustandoder den Vor-Abschaltzustand anzeigen, in dem sich der Auswahlfunktionsblock 94 befindet.Ein typischer Statuswert fürdiese Signale kann "Normal" oder seltener "Abgeschaltet" sein. Wie jedochaus dem Zustandsdiagramm 130 der 5 hervorgeht, kann der Abschaltzustand,und wenn gewünschtauch der Vorabschaltzustand, einen Wert "Delayed" annehmen, wenn der Abschalt-Verzögerungs-An-oder der Abschalt-Verzögerungs-Aus-Parameter auf einenWert ungleich null gesetzt ist, und ein Wechsel zwischen dem Normal-und dem Abschaltzustand erfolgt. In ähnlicher Weise können das Abschaltsignalund das Vox-Abschaltsignal (Out und Pre_out) einen "Sperrstatus" aufweisen, wennsich der Auswahlfunktionsblock 94 im Zustand der Abschaltsperrung 138 befindet.
[0058] Wenngewünscht,kann das Prozesssteuerungssystem 12 konfiguriert werden,um Information in einer Ereignishistorie zu speichern, wenn Eingänge ausgeblendetwerden oder wenn eine Ausblendung aufgehoben wird, basierend aufden dem Auswahlfunktionsblock 94 zugeordneten Signalenund Parametern. In vielen Fällenkönnendiese Ereignisse inhärentaufgezeichnet werden, da der Ausblendungsparameter direkt in denAuswahlfunktionsblock 94 eingeschrieben wird. In einigenFällensind Ausblendungen und Ausblendungsfreigaben fest mit physikalischenDruckknopfschaltern verdrahtet, und es kann eine spezielle Eintragskontrolle/Ereignisprotokollierungerforderlich sein. In der Praxis kann die Ausblendungsfreigabe für eine Gruppevon Auswahlfunktionsblöckenoder für eineneinzelnen Auswahlfunktionsblock erfolgen. Wenn zeitliche Begrenzungenfür dieAusblendung einbezogen werden, kann eine spezielle Ereignisprotokollierungverwendet werden, um auch den Sachverhalt der Aufhebung der Ausblendungendurch den Block zu erfassen. Selbstverständlich kann der Auswahllogikblock 94 jedegewünschteEreignisaufzeichnung generieren (durch Erzeugen von Ereignis-Aufzeichnungs-Signalen),die beispielsweise an die Konfigurations- oder die Historiendatenbank 21 der 1 übermittelt und dort gespeichertwerden sollen. Eine derartige Ereignisaufzeichnung oder derartigeEreignis-Aufzeichnungs-Signale könnenbeispielsweise enthalten: Aufzeichnungen eines jeden Setzens oder Änderns desAusblendungs-Erlaubnis-Parameters, des Parameters BYPASSx, des Bypass-Timeouts(typischerweise durch die Grenzwert-Prüfblöcke 95 erzeugt), Anlaufausblendungenund Anlauf-Timeouts (typischerweise durch den Anlaufsperrblock 102 erzeugt),sowie auch Aufzeichnungen von Zustandsänderungen, die bestimmten Eingängen, dieeine Sperrung (oder eine Vorsperrung) auswählen, zugeordnet sind, diebeispielsweise von den Auswahlfunktionsblöcken 100 oder denAbschaltgrenzwert-Prüfblöcken 95 erzeugt werdenkönnen.Solche Ereignisaufzeichnungen sind von hohem Wert für Nutzerbei Ereignisabfolgeermittlungen, die typischerweise nach dem Auftreteneiner Abschaltung in einem Sicherheitssystem stattfinden.
[0059] Wiedaraus hervorgeht, kann durch die Verwendung des hierin beschriebenenAuswahlfunktionsblocks 94 in einfacher Weise ein Funktionsblock erstelltwerden, der ein bekanntes Format hat, und der somit nach seinerErstellung nur noch mittels geeigneter Einstellungen der Konfigurierungsparameter aufdie richtige Funktionsweise programmiert werden muss. Die Implementierungdes Auswahlfunktionsblocks innerhalb einer Programmierumgebung für Funktionsblöcke gestaltetsich einfach, da der Auswahlfunktionsblock in jeder bekannten odergewünschtenWeise erstellt und kommunikativ mit anderen Funktionsblöcken verbundenwerden kann. In ähnlicherWeise ist die Fehlerbereinigung des Auswahlfunktionsblocks einfacherals bei Auswahllogiken, die in anderen Programmiersprachen erzeugt sind,da der Auswahllogikblock typischerweise nur im Rahmen des Kontextsseiner Einbindung innerhalb der Programmierumgebung und aufgrundder auf ihn angewendeten Konfigurationsparameter fehlerbereinigtwerden muss. Darüberhinaus kann der Auswahlfunktionsblock in einfacher Weise dokumentiert werden,da es sich um einen typischen Funktionsblock mit standardisierterDokumentation handelt, die nur hinsichtlich der jeweils verwendetenParametereinstellungen abzuändernist.
[0060] Während hierinder Auswahlfunktionsblock 94, bei dem es sich um einenanalogen Auswahlfunktionsblock handelt, detailliert beschriebenwurde, ist klar, dass digitale Auswahlfunktionsblöcke in ähnlicherWeise arbeiten können.In einem digitalen Auswahlfunktionsblock (der digitale Eingangssignaleverarbeitet), arbeiten jedoch die Grenzwertprüfblöcke oder Detektierungseinheiten 95 nurderart, dass sie den Wert des digitalen Eingangssignals als logisch Einsoder logisch Null behandeln, wobei einer dieser Zustände alszutreffend füreine Abschaltbedingung und der andere als nicht zutreffend für eine Abschaltbedingungdefiniert ist. Außerdemkann bei digitalen Auswahlfunktionsblöcken die Verwendung der Vor-Grenzwert-Prüfblöcke oderDetektierungseinheiten 96 nicht erforderlich oder nichtmöglichsein, da die digitalen Eingangssignale typischerweise einen vonzwei Zuständenannehmen und nicht gegen einen anderen Grenzwert zwischen diesenbeiden Zuständenabgeprüftwerden können.Wenn gewünscht,könnenjedoch die Ausgängedes Abschaltgrenzwert-Prüfblocks 95 aneinen zweiten Auswahllogikblock (der ein weniger exaktes Auswahlschema verwendetals das vom Abschalt-Auswahllogikblock 100a verwendeteAuswahlschema) übergebenwerden, um das Vorliegen eines Vor-Abschalt-Alarms festzustellen. Außerdem istes möglich,auch wenn die Auswahlfunktionsblöcke 92 und 94 hierinmit jeweils fünfund drei Eingängenbeschrieben wurden, jede beliebige andere Anzahl von Eingängen einzubeziehen.
[0061] Während nach 1 die Auswahlfunktionsblöcke 92 und 94 Eingänge vonFunktionsblöcken desTyps AI, DI und andere erhalten, können die in die Auswahl einbezogenenEingängevon jedem anderen Typ eines Funktionsblocks kommen oder als andereTypen von Signalen innerhalb der Prozessanlage 10 generiertwerden. Außerdemkönnen,auch wenn die Ausgängeder Auswahlfunktionsblöcke 92 und 94 alsmit Ausgangsfunktionsblöckenbeispielsweise des Typs AO, DO und anderen, wie z.B. einem Ursache/Wirkung-Funktionsblockoder einer Steuerungsroutine, verbunden dargestellt sind, dieseAusgängemit jedem anderen gewünschtenTyp von Funktionsblöckenverbunden werden, etwa mit Folgesteuerungs- und Zwischenspeicherblöcken etc., odersogar direkt mit anderen Applikationen oder Programmierumgebungeninnerhalb der Prozessanlage 10. In ähnlicher Weise kann, während diehierin beschriebene Logik anhand einer bestimmten beispielhaftenFunktionsblockprogrammierung realisiert wurde, die gleiche Logikunter anderen Programmierumgebungen bereitgestellt und dennoch alsFunktionsblock im hierin beschriebenen Sinn aufgefasst werden. DesWeiteren können,währenddie hierin beschriebenen Auswahlfunktionsblöcke für die Verwendung in einem Sicherheitssystemeiner Prozessanlage oder einer Prozesssteuerungsumgebung beschriebensind, diese oder ähnlicheFunktionsblöcke ineiner normalen Prozesssteuerungsumgebung oder für andere gewünschte Zweckeaußerhalbeines Sicherheitssystems verwendet werden.
[0062] Während dieAuswahlfunktionsblöckehierin anhand von Diagrammen zur Statusmaschinerie beschrieben wurden,sind diese Diagramme nur gedacht, um die Funktionsweise der Auswahllogikund der Funktionalitätder Ausblendungen zu beschreiben. Es ist klar, das keine Statusmaschinerieverwendet werden muss, und dass bei Verwendung einer solchen diesein jeder Form, beispielsweise durch Hardware oder durch Softwarein jeder beliebigen Programmiersprache implementiert werden kann. Umeine solche Statusmaschinerie zu realisieren, muss lediglich nurein Element wie z.B. ein Softwareprogramm, eine Routine, ein Objektetc. den Funktionsblock zum Übergangzwischen Zuständen,wie hierin erläutertoder definiert (oder anderen Zuständen), oder wie durch die Ausgänge desFunktionsblocks dargestellt anstoßen und so einen Wechsel desAusgangs von einem Normal- in einen Abschaltzustand oder umgekehrtbewirken.
[0063] ZurImplementierung kann jedes der hierin beschriebenen Elemente, einschließlich derSperrblöcke,der Auswahlfunktionsblöcke,der Statusmaschinerien, der Signalverbindungen etc., in Form von Softwarerealisiert werden, die auf einem beliebigen rechnerlesbaren Speichermediumwie z.B. Magnetplatte, Laser- oder optische Disk, oder auf einemanderen Speichermedium, in einem RAM oder einem ROM eines Computersoder Prozessors etc. gespeichert ist. Die hierin beschriebenen Signaleund Signalleitungen könnenjede Form haben, einschließlich wirklicherDrahtleitungen, Datenregister, Speicherplätze etc. Die Software kannjede beliebige Form haben, einschließlich auf einem Universalrechneroder -prozessor ausgeführteApplikationssoftware, oder es kann sich um festkodierte Softwarehandeln, die beispielsweise in einem Applikationsspezifischen IntegriertenSchaltkreis (ASIC – ApplicationSpecific Integrated Circuit) realisiert oder in ein EPROM, EEPROModer ein anderes Firmwareelement eingebrannt ist. In ähnlicherWeise kann die Software an einen Nutzer, einen Betrieb oder eineBedienerworkstation, eine Steuerung, einen Logiksolver oder an einebeliebige bekannte Rechnervorrichtung auf jede bekannte oder gewünschte Artder Lieferung einschließlichbeispielsweise auf einer rechnerlesbaren Disk oder einem anderentransportablen Speichermedium fürComputer oder übereinen Kommunikationskanal wie z.B. eine Telefonleitung, das Internet, dasWorld Wide Web, jedes andere lokale oder Fernnetz etc. übermitteltwerden (wobei unter Übermittlungauch die Bereitstellung solcher Software auf einem transportablenSpeichermedium zu verstehen ist). Des Weiteren kann die Softwaredirekt ohne Modulation oder Verschlüsselung bereitgestellt werden, odersie kann unter Verwendung jeder geeigneten Modulationsträgerwelleund/oder Verschlüsselungstechnikmoduliert und/oder verschlüsseltweiden, bevor sie übereinen Kommunikationskanal übermittelt wird.
[0064] Selbstverständlich können diehierin beschriebenen Auswahlfunktionsblöcke mittels eines jeden externenKommunikationsprotokolls zur Prozesssteuerung (neben dem Fieldbus-Protokolloder einem DeltaV-Protokoll) implementiert werden, und sie können genutztwerden, um mit jedem Typ eines Funktionsblocks einschließlich einesjeden Funktionsblocks, der ähnlichoder gleich einem der verschiedenen Funktionsblöcke ist, die speziell für das Fieldbus-Protokollidentifiziert sind bzw. von diesem unterstützt weiden, zu kommunizieren.Des Weiteren ist anzumerken, dass trotz der Bezeichung der Auswahlfunktionsblöcke in einerAusführungsformhiervon als Fieldbus-"Funktionsblöcke" der Begriff "Funktionsblock" hierin nicht aufetwas beschränktist, das das Fieldbus-Protokoll als Funktionsblock identifiziert,sondern stattdessen jeden anderen Typ eines Blocks, eines Programms,einer Hardware, Firmware etc., also eines jeden Objekts umfasst,das mit jeder Art von Steuerungssystem und/oder Kommunikationsprotokollin Zusammenhang steht, das fürdie Implementierung der Funktionalität einer Prozesssteuerungsroutinegenutzt werden kann, oder das übelein vordefiniertes Setup oder Protokoll verfügt, um Information oder Datenfür anderederartige Funktionsblöckebereitzustellen. Das bedeutet, dass Funktionsblöcke zwar typischerweise dieForm von Objekten in einer objektorientierten Programmierumgebunghaben, wobei dies aber nicht notwendigerweise der Fall ist, so dassstattdessen andere logische Einheiten genutzt werden können, umeine bestimmte Steuerungsfunktion (einschließlich der Ein- und Ausgänge) innerhalb einerProzessanlage oder einer Steuerungsumgebung zu erfüllen, wobeijede beliebige Programmstruktur oder -vorgabe zu Grunde gelegt werdenkann.
[0065] Während dievorliegende Erfindung unter Bezugnahme auf spezifische Ausführungsformenbeschrieben worden ist, die die Erfindung nur verdeutlichen undnicht einschränkensollen, wird es fürden Fachmann offensichtlich sein, daß Änderungen, Hinzufügungen oderWeglassungen an den offenbarten Ausführungsformen vorgenommen werdenkönnen, ohnevom Grundgedanken und Geltungsbereich der Erfindung abzuweichen.

权利要求:
Claims (59)
[1] Funktionsblockeinheit zur Nutzung in einer Prozessanlage,mit einem Prozessor, der zur Steuerung einer oder mehrerer Feldvorrichtungenkommunikativ verbunden ist, wobei die Funktionsblockeinheit Folgendesaufweist: – eincomputerlesbares Medium; und – einen auf computerlesbaremMedium gespeicherten und so angelegten Funktionsblock, dass er auf demProzessor ausgeführtwird, wobei der Funktionsblock Folgendes aufweist: – eine Gruppevon Eingängen,wobei jeder Eingang ausgelegt ist, um ein Eingangssignal von innerhalb derProzessanlage zu erhalten, das einen Prozesszustand angibt; – eine Grenzwert-Detektierungseinheit,die mit jedem Eingang aus der Gruppe der Eingänge verbunden ist, wobei jedeGrenzwert-Detektierungseinheit ein Grenzwertsignal erzeugt, dasangibt, ob das Eingangssignal am zugehörigen Eingang einem Abschaltkriteriumentspricht; – einenfür dieBereitstellung eines Abschaltsignals geeigneten Ausgang; – einenzwischen die Grenzwert-Detektierungseinheiten und den Ausgang zwischengeschaltetenAuswahllogikblock, wobei der Auswahllogikblock geeignet ist, Auswahllogikauf die Grenzwertsignale anzuwenden, um das Abschaltsignal als einenAbschaltwert am Ausgang zu erzeugen, wenn eine bestimmte AnzahlEingangssignale dem Abschaltkriterium entspricht, und um das Abschaltsignalals einen Normalwert am Ausgang zu erzeugen, wenn die bestimmte Anzahlder Eingangssignale nicht dem Abschaltkriterium entspricht; und einenAusblendungsblock, der geeignet ist, um die Nutzung mindestens einesder Eingängeder Gruppe durch den Auswahllogikblock zu verhindern, oder um dasvom Auswahllogikblock am Ausgang erzeugte Abschaltsignal auszublenden.
[2] Funktionsblockeinheit nach Anspruch 1, wobei derAusblendungsblock ein Eingangssperrblock ist, der die Nutzung einesder Eingängeder Gruppe durch den Auswahllogikblock verhindert.
[3] Funktionsblockeinheit nach Anspruch 2, wobei derAusblendungsblock einen Ausblendungszeitparameter enthält, dereinen ersten Zeitraum spezifiziert, für den die Nutzung des einender Eingängeder Gruppe durch den Auswahllogikblock verhindert werden muss.
[4] Funktionsblockeinheit nach Anspruch 3, wobei derAusblendungsblock einen Erinnerungszeitparameter enthält, dereinen zweiten Zeitraum vor Ablauf des ersten Zeitraums spezifiziert,an dem ein Erinnerungssignal zu veranlassen ist, wobei das Erinnerungssignalden bevorstehenden Ablauf des ersten Zeitraums anzeigt.
[5] Funktionsblockeinheit nach Anspruch 1, wobei derAusblendungsblock einen Eingangssperrblock für jeden der Eingänge derGruppe enthältwobei jeder Sperrblock getrennt gesetzt werden kann, um die Nutzungeines anderen Eingangs der Gruppe durch den Auswahllogikblock zusperren.
[6] Funktionsblockeinheit nach Anspruch 1, wobei derAusblendungsblock eine betriebliche Ausblendung besitzt, aber gesetztwerden kann, um zu verhindern, dass der Abschaltwert des Abschaltsignals demAusgang weitergegeben wird.
[7] Funktionsblockeinheit nach Anspruch 6, wobei derAusblendungsblock einen Zeitgeber enthält, der die Zeit der betrieblichenAusblendung überwacht undnach einem vorbestimmten Zeitraum unterbricht um zu ermöglichen,dass der Abschaltwert des Abschaltsignals an den Ausgang weitergegebenwird.
[8] Funktionsblockeinheit nach Anspruch 6, wobei derAusblendungsblock angepasst ist, um zu detektieren, wenn der Auswahllogikblockeinen Wert für dasAbschaltsignal erzeugt, der füreinen vorbestimmten Zeitraum stabil ist und die Weitergabe des Abschaltsignalwertsan den Ausgang zulässt,nachdem detektiert wurde, dass der Abschaltsignalwert während desvorbestimmten Zeitraums stabil geblieben ist.
[9] Funktionsblockeinheit nach Anspruch 6, wobei derAusblendungsblock einen Ereignisdetektierungsparameter enthält und diesennutzt, um die Weitergabe des Abschaltwerts des Abschaltsignals anden Ausgang zuzulassen, wenn der Ereignisdetektierungsparameteranzeigt, dass ein Ereignis entweder aufgetreten oder ausgebliebenist.
[10] Funktionsblockeinheit nach Anspruch 1, wobei derAusblendungsblock einen Eingangssperrblock für jeden Eingang der Gruppeenthält,wobei jeder Eingangssperrblock getrennt gesetzt werden kann, umdie Nutzung eines der Eingängeder Gruppe durch den Auswahllogikblock zu verhindern, und bei demder Ausblendungsblock ferner einen betrieblichen Sperrblock enthält, dergesetzt werden kann, um den Auswahllogikblock durch Setzen des Abschaltsignalsauf den Normalzustand am Ausgang auszublenden.
[11] Funktionsblockeinheit nach Anspruch 1, wobei derAuswahllogikblock ein M-aus-N-Auswahllogikschema enthält, beidem N die Anzahl der berücksichtigtenEingängeund M die Anzahl der Grenzwertsignale ist, die anzeigen müssen, dassdas Abschaltkriterium fürden Auswahllogikblock erreicht ist, um das Vorhandensein einer Abschaltbedingungzu detektieren und das Abschaltsignal auf den Abschaltwert zu setzen.
[12] Funktionsblockeinheit nach Anspruch 11, wobei derAusblendungsblock ein Eingangssperrblock ist, der die Nutzung einesEingangs der Gruppe durch den Auswahllogikblock verhindert und wobei dasAuswahllogikschema die Anzahl N der berücksichtigten Eingänge vermindert,wenn einer der Eingängeder Gruppe ausgeblendet wird, aber die Anzahl der GrenzwertsignaleM auf dem gleichen Stand hält,wenn einer der Eingängeder Gruppe ausgeblendet ist.
[13] Funktionsblockeinheit nach Anspruch 11, wobei derAusblendungsblock ein Eingangssperrblock ist, der die Nutzung einesEingangs der Gruppe durch den Auswahllogikblock verhindert, undwobei das Auswahllogikschema sowohl die Anzahl der Eingänge N alsauch die Anzahl der Grenzwertsignale M im Auswahllogikschema reduziert,wenn einer der Eingängeder Gruppe ausgeblendet ist.
[14] Funktionsblockeinheit nach Anspruch 11, wobei einesder Eingangssignale einen Zustands- und einen Wertparameter enthält, undwobei eine der Grenzwert-Detektierungseinheiten den Zustandsparameternutzt, um zu entscheiden, wie der Wertparameter des betreffendenEingangssignals behandelt werden muss.
[15] Funktionsblockeinheit nach Anspruch 14, wobei dieeine der Grenzwert-Detektierungseinheiten automatisch das eine derEingangssignale mit einem schlechten Zustandsparameter als ein Eingangssignalbehandelt, das dem Abschaltkriterium entspricht.
[16] Funktionsblockeinheit nach Anspruch 14, wobei dieeine der Grenzwert-Detektierungseinheiten das eine der Eingangssignalemit einem schlechten Zustandsparameter als ein gesperrtes Eingangssignalbehandelt, um die Nutzung des einen der Eingangssignale durch denAuswahllogikblock zu verhindern.
[17] Funktionsblockeinheit nach Anspruch 1, die fernereine Vor-Grenzwert-Detektierungseinheit aufweist, die jedem derEingängeder Gruppe zugeordnet ist, wobei jede Vor-Grenzwert-Detektierungseinheitein Vor-Abschalt-Grenzwertsignal erzeugt, das anzeigt, ob das Eingangssignalan dem zugehörigen Eingangein Vor-Abschalt-Kriterium erfüllt,das sich vom Abschaltkriterium unterscheidet, sowie ferner einenVor-Abschalt-Ausgang aufweist, der geeignet ist, um ein Vor-Abschalt-Alarmsignalbereitzustellen, und einen Vor-Abschalt-Auswahllogikblock,der zwischen die Vor-Grenzwert-Detektierungseinheiten und den Vor-Abschalt-Ausganggeschaltet ist, wobei der Vor-Abschalt-Auswahllogikblock geeignet ist, um weitereAuswahllogik auf die Vor-Abschalt-Grenzwertsignale anzuwenden, um dasVor-Abschalt-Alarmsignal als einen Vor-Abschalt-Alarmwert zu erzeugen, wenneine bestimmte Anzahl Eingangssignale dem Vor-Abschalt-Kriteriumentspricht.
[18] Funktionsblockeinheit nach Anspruch 1, wobei jederder Eingängegeeignet ist, ein analoges Signal als Eingangssignal zu empfangen.
[19] Funktionsblockeinheit nach Anspruch 1, wobei jederder Eingängegeeignet ist, ein digitales Signal als Eingangssignal zu empfangen.
[20] Funktionsblockeinheit nach Anspruch 1, wobei derAusblendungsblock ausgelegt ist, um ein mit einem Betrieb verbundenesEreignis-Aufzeichnungs-Signal zu erzeugen, um die Nutzung mindestenseines der Eingängeder Gruppe durch den Auswahllogikblock zu verhindern, oder um dasvom Auswahllogikblock am Ausgang erzeugte Abschaltsignal auszublenden.
[21] Funktionsblockeinheit nach Anspruch 1, wobei eineder Grenzwert-Detektierungseinheiten ausgelegt ist, um ein Ereignis-Aufzeichnungs-Signalzu erzeugen, mit dem ein Wechsel eines der Eingangssignale von einemdem Abschaltkriterium entsprechenden Zustand in einen dem Abschaltkriterium nichtentsprechenden Zustand oder umgekehrt angezeigt wird.
[22] Steuerungssystem zur Verwendung in einer Prozessanlagemit einer Vielzahl von Feldvorrichtungen, die innerhalb eines Prozessesverbunden sind, wobei das Steuerungssystem Folgendes umfasst: – eine kommunikativmit der Vielzahl der Feldvorrichtungen verbundene Vorrichtung, wobeidie Vorrichtung einen Prozessor und ein computerlesbares Mediumumfasst; und – einenauf dem computerlesbaren Medium gespeicherten und vom ProzessorausführbarenAuswahlblock, wobei der Auswahlblock Folgendes umfasst: – eine Gruppevon Eingängen,wobei jeder Eingang geeignet ist, ein Eingangssignal von innerhalbder Prozessanlage zu erhalten, mit dem ein Prozesszustand angezeigtwird; – einemit jedem der Eingängeder Gruppe verbundene Grenzwert-Detektierungseinheit,wobei jede Grenzwert-Detektierungseinheit ein Grenzwertsignal erzeugt,das anzeigt, ob das Eingangssignal am zugehörigen Eingang einem Abschaltkriteriumentspricht; – einAusgang, der ein Abschaltsignal bereitstellen kann; – ein zwischendie Grenzwert-Detektierungseinheiten und den Ausgang geschalteterAuswahllogikblock, wobei der Auswahllogikblock geeignet ist, Auswahllogikauf die Grenzwertsignale anzuwenden, um das Abschaltsignal am Ausgangals Abschaltwert zu erzeugen, wenn eine bestimmte Anzahl Eingangssignaledem Abschaltkriterium entspricht, und das Abschaltsignal am Ausgangals Normalwert zu erzeugen, wenn die bestimmte Anzahl Eingangssignaledem Abschaltkriterium nicht entsprechen; und – ein Ausblendungsblock,der ausgelegt ist, um die Nutzung mindestens eines der Eingänge derGruppe durch den Auswahllogikblock zu verhindern, oder um das vomAuswahllogikblock am Ausgang erzeugte Abschaltsignal auszublenden.
[23] Steuerungssystem nach Anspruch 22, bei dem der Auswahlblockein Funktionsblock ist.
[24] Steuerungssystem nach Anspruch 22, wobei der Ausblendungsblockein Eingangssperrblock ist, der die Nutzung eines der Eingänge derGruppe durch den Auswahllogikblock verhindert.
[25] Steuerungssystem nach Anspruch 24, wobei der Ausblendungsblockeinen Ausblendungszeitparameter enthält, der einen ersten Zeitraumspezifiziert, fürwelchen die Nutzung des einen der Eingänge der Gruppe durch den Auswahllogikblockverhindert werden soll.
[26] Steuerungssystem nach Anspruch 25, wobei der Ausblendungsblockeinen Erinnerungszeitparameter enthält, der einen zweiten Zeitraumvor Ablauf des ersten Zeitraums spezifiziert, zu dem ein Erinnerungssignalserzeugt werden soll, wobei das Erinnerungssignal den bevorstehendenAblauf des ersten Zeitraums anzeigt.
[27] Steuerungssystem nach Anspruch 22, wobei der Ausblendungsblockeine Ausblendung enthält, dieeingesetzt werden kann, um die Weitergabe des Abschaltwerts desAbschaltsignalwerts an den Ausgang zu verhindern.
[28] Steuerungssystem nach Anspruch 27, wobei der Ausblendungsblockeinen Zeitgeber enthält,der die Zeit der betrieblichen Ausblendung der Betriebsfreigabeverfolgt, und der nach einer vorbestimmten Zeit unterbricht, damitder Abschaltwert des Abschaltsignalwerts an den Ausgang weitergegeben werdenkann.
[29] Steuerungssystem nach Anspruch 27, wobei der Ausblendungsblockausgelegt ist, um zu detektieren, wenn der Auswahllogikblock einenWert für dasAbschaltsignal liefert, der währendeines vorbestimmten Zeitraums stabil bleibt, und der die Weitergabedes Abschaltsignalwerts an den Ausgang zulässt, nachdem detektiert wurde,dass der Abschaltsignalwert währenddes vorbestimmten Zeitraums stabil geblieben ist.
[30] Steuerungssystem nach Anspruch 27, wobei der Ausblendungsblockeinen Ereignisdetektierungsparameter enthält und diesen Parameter nutzt,um die Weitergabe des Abschaltwerts des Abschaltsignals an den Ausgangzuzulassen, wenn der Ereignisdetektierungsparameter anzeigt, dassein Ereignis entweder aufgetreten oder ausgeblieben ist.
[31] Steuerungssystem nach Anspruch 22, wobei der Ausblendungsblockeinen Eingangssperrblock fürjeden der Eingängeder Gruppe enthält,wobei jeder Eingangssperrblock getrennt gesetzt werden kann, umdie Nutzung eines der Eingängeder Gruppe durch den Auswahllogikblock zu verhindern, und wobeider Ausblendungsblock außerdemeinen Betriebssperrblock enthält,der so gesetzt werden kann, dass der Auswahllogikblock durch dasSetzen des ausgangsseitigen Abschaltsignals auf Normalzustand ausgeblendetwird.
[32] Steuerungssystem nach Anspruch 22, wobei der Ausblendungsblockeinen Eingangssperrblock fürjeden der Eingängeder Gruppe enthält,wobei jeder Sperrblock getrennt gesetzt werden kann, um die Nutzungeines anderen Eingangs der Gruppe durch den Auswahllogikblock zuverhindern, und wobei der Ausblendungsblock außerdem einen Betriebssperrblockenthält,der gesetzt werden kann, um die Weitergabe des Abschaltsignalwertsan den Ausgang zu verhindern.
[33] Steuerungssystem nach Anspruch 32, wobei der Auswahllogikblockein M-aus-N-Auswahllogikschema enthält, bei dem N die Anzahl derberücksichtigtenEingängeund M die Anzahl der Grenzwertsignale ist, die anzeigen müssen, dassdas Abschaltkriterium erreicht ist, damit der Auswahllogikblock dasVorhandensein einer Abschaltbedingung detektieren und das Abschaltsignalauf den Abschaltwert setzt.
[34] Steuerungssystem nach Anspruch 33, wobei das Auswahllogikschemadie Anzahl der berücksichtigtenEingängeN vermindert, wenn einer der Eingänge der Gruppe durch einender Eingangssperrblöckeausgeblendet wird, jedoch die Anzahl der Grenzwertsignale M aufdem gleichen Stand hält, wennder eine der Eingängeder Gruppe durch den einen der Eingangssperrblöcke ausgeblendet ist.
[35] Steuerungssystem nach Anspruch 33, wobei das Auswahllogikschemasowohl die Anzahl der EingängeN als auch die der Grenzwertsignale M im Auswahllogikschema reduziert,wenn einer der Eingängeder Gruppe durch einen der Eingangssperrblöcke ausgeblendet ist.
[36] Steuerungssystem nach Anspruch 33, wobei eines derEingangssignale einen Zustandsparameter und einen Wertparameterenthält,und wobei eine der Grenzwert-Detektierungseinheiten den Zustandsparameternutzt, um überdie Behandlung des Wertparameters des betreffenden Eingangssignalszu entscheiden.
[37] Steuerungssystem nach Anspruch 36, wobei die eineder Grenzwert-Detektierungseinheiten das eine der Eingangssignalemit einem schlechten bzw. fehlerhaften Zustandsparameter automatischals ein Eingangssignal behandelt, das dem Abschaltkriterium entspricht.
[38] Steuerungssystem nach Anspruch 36, wobei die eineder Grenzwert-Detektierungseinheiten das eine der Eingangssignalemit einem schlechten bzw. fehlerhaften Zustandsparameter als einausgeblendetes Eingangssignal behandelt, um die Nutzung des betreffendenEingangssignals durch den Auswahllogikblock zu verhindern.
[39] Steuerungssystem nach Anspruch 33, das ferner eineVor-Grenzwert-Detektierungseinheit, die jedem der Eingänge derGruppe zugeordnet ist, umfasst, wobei jede dieser Einheiten einVor-Abschalt-Grenzwert-Signalerzeugt, das anzeigt, ob das Eingangssignal am zugehörigen Eingangein Vor-Abschalt-Kriterium erfüllt,das sich vom Abschaltkriterium unterscheidet, sowie einen Vor-Abschalt-Ausgang,der geeignet ist, ein Vor-Abschalt-Alarmsignal bereitzustellen, und einenVor-Abschalt-Auswahllogikblock, der zwischen die Vor-Grenzwert-Detektierungseinheitenund den Vor-Abschalt-Ausgang eingeschaltet ist, wobei der Vor-Abschalt-Auswahllogikblockausgelegt ist, weitere Auswahllogik auf die Vor-Abschalt-Grenzwert-Signaleanzuwenden, um das Vor-Abschalt-Alarmsignalals Vor-Abschalt-Alarmwert zu erzeugen, wenn eine bestimmte AnzahlEingangssignale das Vor-Abschalt-Kriterium erfüllt.
[40] Steuerungssystem nach Anspruch 22, wobei jeder derEingängegeeignet ist, ein Analogsignal als Eingangssignal zu empfangen.
[41] Steuerungssystem nach Anspruch 22, wobei der Ausblendungsblockausgelegt ist, um ein mit einem Betrieb verbundenes Ereignis-Aufzeichnungs-Signalzu erzeugen, um die Nutzung mindestens eines der Eingänge derGruppe durch den Auswahllogikblock zu verhindern oder das vom Auswahllogikblockam Ausgang erzeugte Abschaltsignal auszublenden.
[42] Steuerungssystem nach Anspruch 41, wobei eine derGrenzwert-Detektierungseinheiten ausgelegt ist, um ein Ereignis-Aufzeichnungs-Signalzu erzeugen, das einen Wechsel eines der Eingangssignale von einemdem Abschaltkriterium entsprechenden Zustand in einen Zustand anzeigt,der dem Abschaltkriterium nicht entspricht, oder umgekehrt.
[43] Verfahren zur Bestimmung des Vorliegens einer Abschaltbedingunginnerhalb einer Prozessanlage aus einer Vielzahl redundanter Messungeneiner Prozessvariablen, wobei das Verfahren Folgendes aufweist: – Erfasseneines Signals, das jede der redundanten Messungen anzeigt; – Bestimmen,ob jedes der erfassten Signale ein Abschaltkriterium erfüllt; – Verwendeneines Auswahllogikschemas, um ein Abschaltsignal als einen Normalwertzu erzeugen, wenn eine bestimmte Anzahl erfasster Signale das Abschaltkriteriumnicht erfüllt,und um das Abschaltsignal als Abschaltwert zu erzeugen, wenn diebestimmte Anzahl erfasster Signale das Abschaltkriterium erfüllt; – Empfangeneines Sperrsignals von einer weiteren Einheit innerhalb der Prozessanlage;und – Verhinderungder Nutzung mindestens eines der erfassten Signale durch das Auswahllogikschemaoder das Verhindern des Setzens des Abschaltsignals auf den Abschaltwertbei Empfang des Sperrsignals.
[44] Verfahren nach Anspruch 43, wobei das Empfangendes Sperrsignals den Empfang eines einem der erfassten Signale zugeordnetenEingangssperrsignals umfasst und wobei die Verhinderung der Nutzungvon mindestens einem der erfassten Signale die Verhinderung derNutzung des mindestens einen der erfassten Signale innerhalb desAuswahllogikschemas füreinen vorbestimmten Zeitraum umfasst.
[45] Verfahren nach Anspruch 44, wobei die Verhinderungder Nutzung des mindestens einen der erfassten Signale die Erzeugungeiner Erinnerungsmeldung zu einem voreingestellten Zeitpunkt vorAblauf des vorbestimmten Zeitraums umfasst.
[46] Verfahren nach Anspruch 43, wobei die Verhinderungder Nutzung von mindestens einem der erfassten Signale durch dasAuswahllogikschema oder die Verhinderung des Setzens des Abschaltsignals aufden Abschaltwert bei Empfang des Sperrsignals eine Verhinderungdes Setzens des Abschaltsignals auf den Abschaltwert für einenvorbestimmten Zeitraum umfasst.
[47] Verfahren nach Anspruch 43, wobei die Verhinderungder Nutzung von mindestens einem der erfassten Signale durch dasAuswahllogikschema oder die Verhinderung des Setzens des Abschaltsignals aufden Abschaltwert bei Empfang des Sperrsignals eine Verhinderungdes Setzens des Abschaltsignals auf den Abschaltwert umfasst, bisdas Auswahllogikschema feststellt, dass die bestimmte Anzahl erfassterSignale füreinen festgelegten Zeitraum nicht das Abschaltkriterium erfüllt.
[48] Verfahren nach Anspruch 43, wobei die Verhinderungder Nutzung von mindestens einem der erfassten Signale durch dasAuswahllogikschema oder die Verhinderung des Setzens des Abschaltsignals aufden Abschaltwert bei Empfang des Sperrsignals eine Verhinderungdes Setzens des Abschaltsignals auf den Abschaltwert umfasst, bisein Ereignis als vorhanden oder nicht vorhanden detektiert wird.
[49] Verfahren nach Anspruch 43, wobei die Verhinderungder Nutzung von mindestens einem der erfassten Signale durch dasAuswahllogikschema oder die Verhinderung des Setzens des Abschaltsignals aufden Abschaltwert bei Empfang des Sperrsignals, eine Verhinderungder Nutzung von mindestens einem der erfassten Signale durch dasAuswahllogikschema bei Empfang eines ersten Sperrsignals und eineVerhinderung des Setzens des Abschaltsignals auf den Abschaltwertbei Empfang eines zweiten Sperrsignals umfasst.
[50] Verfahren nach Anspruch 43, wobei die Nutzung desAuswahllogikschemas zur Erzeugung eines Abschaltsignals auch dieNutzung eines Auswahllogikschemas umfasst, das eine M-aus-N-Auswahllogikenthält,wobei N die Anzahl der berücksichtigtenerfassten Signale und M die bestimmte Anzahl der erfassten Signaleist, die dem Abschaltkriterium entsprechen müssen, um das Abschaltsignalals Abschaltwert zu erzeugen.
[51] Verfahren nach Anspruch 50, wobei ferner die Anzahlder vom Auswahllogikschema berücksichtigtenerfassten Signale N vermindert wird, wenn eines der erfassten Signaleinfolge des Sperrsignals ausgeblendet wird, jedoch eine bestimmteAnzahl erfasster Signale M, die dem Abschaltkriterium entsprechenmüssen,auf dem gleichen Stand gehalten wird, wenn das eine der erfasstenSignale infolge des Sperrsignals ausgeblendet wird.
[52] Verfahren nach Anspruch 50, wobei ferner sowohldie Anzahl der vom Auswahllogikschema berücksichtigten erfassten SignaleN als auch die bestimmte Anzahl der erfassten Signale M, die demAbschaltkriterium entsprechen müssen,vermindert wird, wenn das eine der erfassten Signale infolge des Sperrsignalsausgeblendet wird.
[53] Verfahren nach Anspruch 43, wobei die Bestimmung,ob jedes der erfassten Signale dem Abschaltkriterium entspricht,die Nutzung eines Zustandsparameters umfasst, der jedem der erfassten Signalezugeordnet ist, um zu bestimmen, ob die erfassten Signale dem Abschaltkriteriumentsprechen.
[54] Verfahren nach Anspruch 53, wobei die Nutzung desZustandsparameters eine automatische Behandlung eines erfasstenSignals mit einem schlechten Zustandsparameter, als ein erfasstesSignal, das das Abschaltkriterium erfüllt, umfasst.
[55] Verfahren nach Anspruch 53, wobei die Nutzung desZustandsparameters eine automatische Verhinderung der Nutzung eineserfassten Signals mit einem schlechten Zustandsparameter durch das Auswahllogikschemazur Erzeugung des Abschaltsignals umfasst.
[56] Verfahren nach Anspruch 43, das ferner eine Bestimmungumfasst, ob jedes der erfassten Signale einem Vor-Grenzwert-Abschaltkriteriumentspricht, wobei ein anderes Auswahllogikschema zur Erzeugung einesVor-Abschalt-Alarmsignals als Normalwert verwendet wird, wenn diebestimmte Anzahl der erfassten Signale nicht dem Vor-Grenzwert-Abschaltkritexiumentspricht, und zur Erzeugung des Vor-Abschalt-Alarmsignals alsAlarmwert verwendet wird, wenn die bestimmte Anzahl erfasster Signale demVor-Grenzwert-Abschaltkriterium entspricht.
[57] Verfahren nach Anspruch 43, wobei die Erfassungeines Signals, das indikativ fürjede der redundanten Messungen ist, die Erfassung eines separatenDigitalsignals, das indikativ fürjede der redundanten Messungen ist, umfasst.
[58] Verfahren nach Anspruch 43, wobei die Verhinderungder Nutzung von mindestens einem der erfassten Signale durch dasAuswahllogikschema oder die Verhinderung des Setzens des Abschaltsignals aufden Abschaltwert bei Empfang des Sperrsignals die Erzeugung einesEreignis-Aufzeichnungs-Signals, das mit einer Verhinderung der Nutzungvon mindestens einem der erfassten Signale oder einer Verhinderungdes Setzens des Abschaltsignals auf den Abschaltwert zugeordnetist, umfasst.
[59] Verfahren nach Anspruch 43, wobei die Bestimmung,ob jedes der erfassten Signale dem Abschaltkriterium entspricht,eine Erzeugung eines Ereignis-Aufzeichnungs-Signals umfasst, wenneines der erfassten Signale zwischen einem Zustand wechselt, derdas Abschaltkriterium erfüllt,und einem Zustand, der das Abschaltkriterium nicht erfüllt, oderumgekehrt.

类似技术:

---

公开号 | 公开日 | 专利标题

---

JP6088001B2|2017-03-01|プロセス管理環境内でモジュール実行シーケンスを管理する方法及び装置

---

US9130980B2|2015-09-08|Integrated unified threat management for a process control system

---

CN100381957C|2008-04-16|在过程控制系统内生成警告消息的方法及过程控制系统

---

US7113085B2|2006-09-26|Enhanced device alarms in a process control system

---

EP2211244B1|2019-09-18|Entfernbare Sicherheitsmodule und zugehörige Verfahren

---

US8676357B2|2014-03-18|System and method for implementing an extended safety instrumented system

---

US7289861B2|2007-10-30|Process control system with an embedded safety system

---

JP6437224B2|2018-12-12|状態間の遷移に対するユーザ定義可能な動作を有する状態マシン機能ブロック

---

US9557735B2|2017-01-31|Methods and apparatus to manage process control status rollups

---

EP1192511B1|2004-05-26|Sicherheitsbezogenes automatisierungsbussystem

---

CN102077453B|2014-02-26|用于可靠安全系统停机的具有多通信设备的分布式和自适应智能逻辑

---

JP6410709B2|2018-10-24|プロセス制御システム及び無線出力デバイス

---

KR950014724B1|1995-12-13|공정설비에서의 공정제어기와 그 표시장치와 제어장치 및 제어방법

---

US9882893B2|2018-01-30|System and method for secured password management for industrial devices

---

US8044793B2|2011-10-25|Integrated device alerts in a process control system

---

EP0972388B1|2001-12-19|Verfahren zur programmierung eines sicherheitsgerichteten steuerungssystems

---

JP5154875B2|2013-02-27|フレキシブル入出力装置を含むプロセス制御システム、方法、及びプログラムを記憶した機械アクセス可能媒体

---

US7489977B2|2009-02-10|System and method for implementing time synchronization monitoring and detection in a safety instrumented system

---

EP1654603B1|2017-04-12|Datensammlung über eine einsatzort-trigger-einrichtung in einem prozesssteuersystem

---

US8019570B2|2011-09-13|System and method for continuous online safety and reliability monitoring

---

JP5444312B2|2014-03-19|処理コントロールシステムへデータを書き込むためのスクリプトを自動的に生成する方法、システム、及びマシンアクセス可能媒体

---

KR100553274B1|2006-06-14|Method and apparatus for monitoring a factory with several functional units

---

DE10154534B4|2017-04-13|Integrierte Alarmanzeige in einem Prozeßsteuerungsnetzwerk

---

DE102004003605B4|2016-05-19|Integriertes Diagnosesystem in einer Prozessanlage mit einem Prozesssteuerungssystem und einem Sicherheitssystem

---

JP4827964B2|2011-11-30|安全通信構成部品の取付け場所を検証するための方法ならびに制御およびデータ伝送システム

同族专利:

---

公开号 | 公开日

---

GB2400688B|2007-02-21|

---

US20040255013A1|2004-12-16|

---

JP4557588B2|2010-10-06|

---

HK1068967A1|2005-05-06|

---

US7130703B2|2006-10-31|

---

GB2400688A|2004-10-20|

---

CN1536457A|2004-10-13|

---

CN100445907C|2008-12-24|

---

JP2004310779A|2004-11-04|

---

GB0407892D0|2004-05-12|

引用文献:

---

公开号 | 申请日 | 公开日 | 申请人 | 专利标题

---

法律状态:
2008-09-11| 8110| Request for examination paragraph 44|

---

2011-03-17| R016| Response to examination communication|

---

2022-01-21| R016| Response to examination communication|

---

2022-02-21| R016| Response to examination communication|

---

2022-02-24| R018| Grant decision by examination section/examining division|

---

2022-02-24| R079| Amendment of ipc main class|Free format text: PREVIOUS MAIN CLASS: G05B0009020000 Ipc: G05B0009030000 |

优先权:

---

申请号 | 申请日 | 专利标题

---