JP2019061661A - オープンプロセス自動化システムにおいて使用される分散制御ノードに基づいたプロセス信頼性向上方法 - Google Patents

Abstract

【課題】オープンアーキテクチャの要件を満たしながら、クリティカルプロセスに求められる高信頼性を達成し、かつ従来の特許製品より安い費用を維持する分散制御ノードＤＣＮを含むプラント施設のための管理システムを提供する。【解決手段】システムは、プロセス値を計測する第１フィールド装置と、プロセス値に基づいて第１制御値を計算する第１制御ノードと、第１制御値に従って作動する第２フィールド装置と、第１制御値を計算するための１つまたは複数のパラメータを設定するアプリケーションノードとを含む。第１制御ノードは、第１制御値を、第１フィールド装置、第１制御ノード、第２制御ノード、アプリケーションノードのうちの１つにより計算された第２制御値と比較する。第１及び第２制御値が同一であると判定された時、第１制御ノードは、第２フィールド装置に第１制御値を設定する。【選択図】なし

Description

本発明は概して、プラント施設の管理システム及びプラント施設の管理方法に関する。

プラントまたは工場（以下「プラント」とまとめて称する）は通常、プロセス自動化システム（ＰＡＳ）を利用して、産業プロセスにおける様々な種類のプロセスデータ（例えば圧力、温度、流量等）を制御及び管理する高度自動動作を実施する。

特に化学、石油、またはガス関連製品を生産するプラントのＰＡＳは、可用性及び信頼性に関して高水準を満たさなければならない。可用性は、システムがエラーの発生に関係なくその動作を続けられる能力を意味し、信頼性は、エラーを検出して、システムを停止する、及び／またはシステム全体にダメージを与えることなく継続的動作を行うためにバックアップシステムに切り替える能力を意味する。このような生産プラントにおいて、ＰＡＳの故障は、材料及び資源の大損失だけでなく、人命が関わる過酷な事故も引き起こし得る。例えば、電気雑音の発生により、システムが制御装置（例えばバルブ）に対し異常値（すなわち、異常又は無効な状態又は事態を示す値）を不適切に出力する時、故障が起こり得る。このような故障を防ぎ、システムの信頼性を向上させるために、様々な種類のスキームが開発されてきた。

最近、ＰＡＳに接続される入出力（Ｉ／Ｏ）装置の数が増えるにつれ、コントローラの信頼性の重要性が増している。高信頼性ＰＡＳを達成する解決策として、いくつかのＰＡＳメーカーやベンダーは、自身のＰＡＳ用コントローラを開発した。高信頼性コントローラに関する従来の解決策のうちの１つが、図１（日本公開特許出願Ｈ０６‐２４２９７９）において示され、これは冗長構成によりＰＡＳにおける信頼性のあるデータ処理を保証する。「ペアとスペア」（Ｐ＆ＳＰ）と呼ばれる当スキームは、冗長コントローラ及び冗長ネットワークにより高信頼性を達成する。さらにそれぞれのコントローラは、２つのＣＰＵから出力される値を比較して、データ計算における不一致を検出する２つのＣＰＵ及びコンパレータを有する。

一方、異なるメーカーにより個別に開発されたこのようなコントローラは、ＰＡＳの相互運用性及び拡張性に影響を及ぼす傾向にあることが知られている。プラント施設のオーナー又はユーザーは、コントローラの互換性の低さ及び高い費用のため、コントローラの拡張または取り替えの際困難に直面する。よって、システムが単に汎用または商用オフザシェルフ（ＣＯＴＳ）ハードウェア及びソフトウェアによって構成されることを意味する「オープンアーキテクチャ」に従ってシステムを設計する別の手法もまた考慮されている。米国特許出願公開第２０１６／００６５６５６号は、このようなＰＡＳ用オープンアーキテクチャプラットフォームを提案する。当公開の図１Ａは、サーバと、制御ノードと、フィールド装置（Ｉ／Ｏ装置）とを含むプラットフォームを示す。このようなプラットフォームにおいて、ユーザーが特定のメーカーに依存することなく自身のシステムを開発可能なように、可搬性の高い標準アプリケーション、プロトコル、及びアプリケーションプログラミングインタフェース（ＡＰＩ）が採用される。ユーザーはまた、費用の低減、拡張性の向上、及びシステムの最新化の容易さといった利益も享受することが可能である。

しかしながら、オープンプラットフォームの手法には欠点がある。様々なメーカーにより開発されたハードウェア及びソフトウェアの任意の組み合わせは、コントローラ及びＩ／Ｏ装置を含むコアコンポーネントの信頼性、並びにそのネットワーク接続に影響を及ぼす。オープンアーキテクチャに従って開発されたシステムが、特定のメーカーにより開発されたプロプライエタリシステムと同じレベルの信頼性を達成することは難しい。

オープンアーキテクチャに従って作動するこのようなシステムにおいて特定レベルの信頼性を確保するために、１つのコントローラに接続するＩ／Ｏ装置の総数を制限することが提案されている。特に、Ｉ／Ｏ装置からの入力信号、またはＩ／Ｏ装置への出力信号を処理するために、分散制御ノード（ＤＣＮ）が定義される。当構成において、ＤＣＮにおいて起こったエラーは、単一入力及び単一出力装置から成る単一ループにのみ影響を及ぼすため、これにより他の制御ループに伝播することが防がれる。

本発明の１つまたは複数の実施形態は、プロセス値を計測する第１フィールド装置と、プロセス値に基づいて第１制御値を計算する第１制御ノードと、第１制御値に従って作動する第２フィールド装置と、第１制御値を計算するための１つまたは複数のパラメータを設定するアプリケーションノードとを備えるプラント施設の管理システムを提供し、第１制御ノードは第１制御値を、第１フィールド装置、第１制御ノード、第２制御ノード、アプリケーションノードのうちの１つにより計算された第２制御値と比較し、第１及び第２制御値が同一であると判定された時、第１制御ノードは、第２フィールド装置に第１制御値を設定する。

本発明の１つまたは複数の実施形態は、第１フィールド装置においてプロセス値を計測することと、第１制御ノードにおいて、計測されたプロセス値及びアプリケーションノードにより設定された１つまたは複数のパラメータに基づいて第２フィールド装置を作動させる第１制御値を計算することと、第１フィールド装置、第１制御ノード、第２制御ノード、アプリケーションノードのうちの１つにおいて、第２フィールド装置を作動させる第２制御値を計算することと、第１制御ノードにおいて、第１制御値を第２制御値と比較することと、第１制御ノードにおいて、第１及び第２制御値が同一である時、第２フィールド装置に第１制御値を設定することとを含むプラント施設の管理方法を提供する。

本発明の別の態様は、以下の発明を実施するための形態及び添付の特許請求の範囲から明らかとなるであろう。

従来のＰＡＳの概略図を示す。 本発明の１つまたは複数の実施形態による、管理システムのブロック図を示す。 本発明の１つまたは複数の実施形態による、管理システムが実行する動作のシーケンス図を示す。 本発明の１つまたは複数の実施形態による、管理システムが実行する動作のシーケンス図を示す。 本発明の１つまたは複数の実施形態による、管理システムのブロック図を示す。 本発明の１つまたは複数の実施形態による、管理システムのブロック図を示す。 本発明の１つまたは複数の実施形態による、管理システムが実行する動作のシーケンス図を示す。 本発明の１つまたは複数の実施形態による、管理システムが実行する動作のシーケンス図を示す。 本発明の１つまたは複数の実施形態における有益な効果を説明する図を示す。 本発明の１つまたは複数の実施形態による、管理システムのブロック図を示す。 本発明の１つまたは複数の実施形態による、管理システムのブロック図を示す。 本発明の１つまたは複数の実施形態による、管理システムが実行する動作のシーケンス図を示す。 本発明の１つまたは複数の実施形態による、管理システムのブロック図を示す。 本発明の１つまたは複数の実施形態による、管理システムが実行する動作のシーケンス図を示す。 本発明の１つまたは複数の実施形態による、管理システムが実行する動作のシーケンス図を示す。 本発明の１つまたは複数の実施形態による、管理システムのブロック図を示す。 本発明の１つまたは複数の実施形態による、管理システムが実行する動作のシーケンス図を示す。 本発明の１つまたは複数の実施形態による、管理システムが実行する動作のシーケンス図を示す。 本発明の１つまたは複数の実施形態による、管理システムのブロック図を示す。 本発明の１つまたは複数の実施形態による、管理システムのブロック図を示す。 本発明の１つまたは複数の実施形態による、管理システムが実行する動作のシーケンス図を示す。 本発明の１つまたは複数の実施形態による、ＤＣＮの実施態様例を示す。

本発明の特定の実施形態が、これから添付図を参照して詳しく説明される。様々な図における同様の要素は、一貫性を保つために同様の参照番号で示される。

本発明のより完全な理解を提供するために、本発明の実施形態の以下の詳細説明において、多数の具体的な詳細が明記される。しかしながら、本発明はこれらの具体的な詳細がなくとも実行可能であることは、当業者には明らかであろう。別の事例では、説明を不必要に複雑にすることを避けるために、周知の特徴は詳しく説明されていない。

ＰＡＳにおいて使用されるＤＣＮは、オープンアーキテクチャに従って、最小数のＩ／Ｏ信号を処理するように限定されるため、信頼性及び可用性に対するその要求レベルは、従来のコントローラより比較的低い。しかしながら、オープンアーキテクチャＰＡＳにおいてもクリティカルプロセスは存在し、プロセスデータ計算及び制御に関して高い可用性及び信頼性を要する。このようなシステムにおいて、１つのエラーが、プラントまたは他のシステムの全制御に深刻な影響を与え得る。

オープンアーキテクチャプラットフォームの下、汎用ハードウェア及びソフトウェアを使用する冗長構成により、システムの可用性は改善され得る。しかしながら、システムに接続されるＩ／Ｏ装置の数に比例してＤＣＮの数は増加する傾向にあるため、ＤＣＮの信頼性を大幅に改善し、その費用面において従来のシステムと同レベルの信頼性を達成することは難しい。言うまでもなく、システムの信頼性を改善するためであっても、特定のメーカーにより設計された特許製品は、オープンアーキテクチャシステムに導入不可能である。

本発明の１つまたは複数の実施形態は、オープンアーキテクチャの要件を満たしながら、クリティカルプロセスに求められる高信頼性を達成し、かつ従来の特許製品より安い費用を維持するＤＣＮを含むシステムを提供する。その結果、ユーザーは、様々なメーカーにより提供される汎用ハードウェア及びソフトウェアを用いたミッションクリティカルプロセス制御を伴う自身のＰＡＳを設計及び実施し得る。

図２は、本発明の１つまたは複数の実施形態による、管理システム１のブロック図を示す。管理システム１は、センサ１０と、センサ１０を制御するＤＣＮ２０と、アクチュエータ３０と、アクチュエータ３０を制御するＤＣＮ４０と、アプリケーションＤＣＮとしてのＰＣ５０とを備える。センサ１０とアクチュエータ３０は、ＨＡＲＴ及びファウンデーションフィールドバス（ＦＦ）等のフィールドネットワークにより、または４〜２０ｍＡのアナログ信号通信により、それぞれＤＣＮ２０とＤＣＮ４０に接続される。ＰＣ５０は、イーサネット等のリアルタイムネットワークにより、ＤＣＮ２０及びＤＣＮ４０に接続される。ＤＣＮ２０とＤＣＮ４０は、リアルタイムネットワークを介して互いと通信し得る。

本発明の１つまたは複数の実施形態において、フィールドネットワークは、ワイヤレスＨＡＲＴ又はＩＳＡ１００．１１ａ等の無線ネットワークであり得る。本発明の１つまたは複数の実施形態において、リアルタイムネットワークは、信頼性のあるクロック同期機能に対応する任意の種類のネットワークであり得る。リアルタイムネットワークは、スイッチ、ルータ、または同等物を含む任意の種類のネットワークトポロジーを有し得る。

センサ１０は、プラント施設内に配備され、かつ温度、気圧、水圧等のプロセス値（ＰＶ）を計測する第１フィールド装置の実施例である。計測されたＰＶは、ＤＣＮ２０へ送信、またはＤＣＮ２０により定期的に読み出される。

ＤＣＮ２０は、１つのフィールド装置（例えばセンサ１０）から１つのＰＶを受信する単一点ＤＣＮの実施例である。ＤＣＮ２０は、リアルタイムネットワークにより、ＤＣＮ４０とＰＣ５０に対し定期的にＰＶを送信する。ＤＣＮ４０とＰＣ５０に対するＰＶの送信間隔は異なり得る。本発明の１つまたは複数の実施形態において、ＤＣＮ４０に対するＰＶの送信間隔は、ＰＣ５０に対するＰＶの送信間隔（例えば１秒）より短い（例えば１００ミリ秒）。

アクチュエータ３０は、プラント施設内に配備され、かつバルブ、モータ、ポジショナ等の制御対象を制御する第２フィールド装置の実施例である。アクチュエータ３０は、ＤＣＮ４０により設定される操作値（ＭＶ）すなわち制御値に従って制御対象を制御する。

ＤＣＮ４０は、ＰＶ、並びに設定値（ＳＶ）及び調整パラメータ（ＴＰ）といったＰＣ５０が設定する１つまたは複数のパラメータに基づいてＭＶを計算するよう線形積分微分型制御（ＰＩＤ）アプリケーションのような基本制御アプリケーションが作動する単一点ＤＣＮである。ＳＶ及びＴＰは、ＰＩＤアプリケーションがＭＶを計算する前に、ＰＣ５０により設定される。一旦ＭＶが適切に（すなわちエラーなく）計算されると、ＤＣＮ４０は、ＭＶをアクチュエータ３０に設定し、ＭＶをＰＣ５０へ送信する。ＭＶをアクチュエータ３０に設定するタイミングと、ＭＶをＰＣ５０へ送信するタイミングは、非依存関係であり得る。

ＰＣ５０は、オペレータがＳＶ及びＴＰを手動で設定し、かつＤＣＮ４０から送信される計算済みＭＶ及びエラーを表示及び監視することを可能にするヒューマンマシンインタフェース（ＨＭＩ）及び高度プロセス制御（ＡＰＣ）を含む様々なアプリケーションを実行するアプリケーションＤＣＮの実施例である。ＰＣ５０は、ＣＰＵと関連メモリとを備える任意の種類のコンピュータであり得る。本発明の１つまたは複数の実施形態において、ＰＣ５０は、ネットワーク上の分散コンピュータにより構成される１つまたは複数の汎用コンピュータもしくはシステムであり得る。

発明の１つまたは複数の実施形態において、ＤＣＮ４０は、２つのプロセッサ（または２つのプロセッサコア）で同時に同じ動作を並行して実行してこのような動作におけるエラーを検出し得るロックステップマイクロプロセッサユニット（ＭＰＵ）を備える。つまり、ロックステップＭＰＵは、２つのプロセッサにより計算された結果を比較することにより、動作の不整合を検出し得る。本発明の１つまたは複数の実施形態において、ＤＣＮ４０（ＰＩＤアプリケーション）は、各プロセッサまたはロックステップＭＰＵのコアに、ＭＶを計算させ、ＭＶ計算におけるエラーを検出させ得る。エラーが検出されなかった時（すなわち２つのプロセッサにおいて計算されたＭＶが同一である時）、ＤＣＮ４０はＭＶをアクチュエータ３０に設定する。反対に、エラーが検出された時（すなわち計算されたＭＶが同一でない時）、ＤＣＮ４０はＭＶをアクチュエータ３０に設定しない。代わりに、ＤＣＮ４０は、エラーをＰＣ５０へ報告する。この場合、アクチュエータ３０は、現在のＭＶ値を用いて動作し続ける。

図３は、本発明の１つまたは複数の実施形態による、管理システム１が実行する動作のシーケンス図を示す。図３は、ＤＣＮ４０が、計算したＭＶをアクチュエータ３０に正しく設定するシナリオを例示する。

まず、ＰＣ５０は、ＰＶに基づいてＭＶを計算するＰＩＤアプリケーションにより使用されるＳＶ及びＴＰを、ＤＣＮ４０に設定する（Ｓ１０１）。当ステップは、ＳＶ及びＴＰが設定または更新される必要があると随時、実行され得る。例えば、ＰＣ５０のオペレータは、ＨＭＩによりＳＶ及びＴＰの設定を始動し得る。

一旦ＳＶ及びＴＰが設定されると、センサ１０は、ＰＶを計測し、フィールドネットワークによりＰＶをＤＣＮ２０へ送信する（Ｓ１０２）。ＰＶの送信は、ＤＣＮ２０の読み出し行動により始動され得る。ＰＶを受信すると、ＤＣＮ２０は、リアルタイムネットワークによりＰＶを、ＤＣＮ４０へ送信し（Ｓ１０３）、かつＰＣ５０へ送信する（Ｓ１０４）。ＤＣＮ４０とＰＣ５０に対するＰＶの送信は、独立して行われ得る。例えば、ＤＣＮ２０からＤＣＮ４０へのＰＶの送信は、特定の間隔で、または所定の同期信号に従って自動で行われ、ＰＣ５０へのＰＶの送信は、ＰＣ５０からの要求に基づいて行われ得る。

前もって設定されたＳＶ及びＴＰ、並びに受信したＰＶにより、ＤＣＮ４０（ＰＩＤアプリケーション）はＭＶを計算する（Ｓ１０５）。ここで、ＰＩＤアプリケーションはロックステップＭＰＵ上で作動しており、よってＤＣＮ４０（ロックステップＭＰＵ）は、ＭＶ計算の不整合を検出し得る。言い換えると、ＤＣＮ４０は、ＭＶ計算を並行して行い、２つの計算したＭＶを比較する（Ｓ１０６）。２つの結果が一致する（同一である）時、ＤＣＮ４０は、ＤＣＮ４０がＭＶ計算を誤っていないと判断し、フィールドネットワークによりＭＶをアクチュエータ３０に設定する（Ｓ１０７）。ＤＣＮ４０はまた、計算したＭＶを、リアルタイムネットワークによりＰＣ５０へ送信する（Ｓ１０８）。ＭＶの設定及び送信は、独立して行われ得る。例えば、ＰＣ５０へのＭＶの送信は、ＰＣ５０からの要求により始動され得る。

図４は、本発明の１つまたは複数の実施形態による、管理システム１が実行する動作のシーケンス図を示す。図４は、ＤＣＮ４０がエラーを検出し、異常値をアクチュエータ３０に設定することを避けるシナリオを例示する。

ステップＳ１５１〜Ｓ１５６は、図３において示されるＳ１０１〜１０６にそれぞれ対応する。

Ｓ１５７において、２つの結果が一致しない（同一でない）時、ＤＣＮ４０は、ＤＣＮ４０がＭＶ計算を誤っていると判断し、計算したＭＶをアクチュエータ３０に設定することをやめる。代わりにＤＣＮ４０は、エラーをＰＣ５０へ送信し（Ｓ１５８）、ＰＣ５０のオペレータにシステム内にエラーが発生したことを知らせる。

本発明の１つまたは複数の実施形態によれば、一時的電気雑音のためにＤＣＮ４０においてある計算エラーが発生したとしても、プラントまたは他のシステムの全制御に深刻な影響を与え得る潜在的誤ＭＶは、アクチュエータ３０に送信される前に検出され、これにより深刻な事故は防がれ得る。

本発明の１つまたは複数の実施形態によれば、アクチュエータ３０に接続されたＤＣＮ４０のみがロックステップＭＰＵを有する必要があり、これは、特に数千のフィールド装置が接続されるシステムの費用削減に貢献する。ＤＣＮ４０のロックステップＭＰＵはＣＯＴＳ製品であり、よって管理システム１はなお、オープンアーキテクチャの概念から逸脱することなく設計され得る。

図５は、本発明の１つまたは複数の実施形態による、管理システム１ａのブロック図を示す。管理システム１ａは、センサ１０と、センサ１０を制御するＤＣＮ２０ａと、アクチュエータ３０と、アクチュエータ３０を制御するＤＣＮ４０ａと、アプリケーションＤＣＮとしてのＰＣ５０ａとを備える。センサ１０とアクチュエータ３０は、フィールドネットワークによりＤＣＮ２０ａとＤＣＮ４０ａにそれぞれ接続され、ＰＣ５０ａは、図２の実施例と同様にリアルタイムネットワークによりＤＣＮ２０ａ及びＤＣＮ４０ａに接続される。ＤＣＮ２０ａとＤＣＮ４０ａは、リアルタイムネットワークにより互いと通信し得る。

ＤＣＮ２０ａは、センサ１０からＰＶを受信または取得し、ＤＣＮ２０ａ上で作動するＰＩＤアプリケーションでＭＶ（以下「ＭＶ（ａ）」と称する）を計算し得る。ＤＣＮ２０ａにおいてＭＶ（ａ）を計算するために、パラメータＳＶ及びＴＰが、事前または随時にＰＣ５０ａにより設定される。ＤＣＮ２０ａは、受信したＰＶをＰＣ５０ａ並びにＤＣＮ４０ａへ送信する。さらに、ＤＣＮ２０ａは、後続の比較動作のために、計算したＭＶ（ａ）をＤＣＮ４０ａへ送信する。本発明の１つまたは複数の実施形態において、ＤＣＮ２０ａは、ＭＶ（ａ）を計算するために使用されたＳＶ及びＴＰ（以下「ＳＶ（ａ）」及び「ＴＰ（ａ）」と称する）を、ＤＣＮ４０ａへ送信し得る。ＳＶ（ａ）及びＴＰ（ａ）は、ＤＣＮ４０ａにおけるＭＶ計算に同一のＳＶ及びＴＰが使用されていることを確かめるために、ＤＣＮ４０ａにより使用される。

管理システム１ａのＤＣＮ４０ａは、ＤＣＮ２０ａから受信したＭＶ（ａ）を、ＤＣＮ２０ａから受信したＰＶに基づいてＤＣＮ４０ａにおけるＰＩＤアプリケーションが計算したＭＶ（ｂ）と比較するＭＶコンパレータを備える。パラメータＳＶ及びＴＰは、ＰＣ５０ａにより設定されており、その計算に使用される。図６に示されるように、ＭＶコンパレータは次いで、ＭＶ（ａ）及びＭＶ（ｂ）を読み取り、ＭＶ（ａ）とＭＶ（ｂ）が「同一」である場合、すなわち、双方の値が文字通り同一であるか、双方の値の差が所定の値以下である場合、ＭＶ（ａ）（またはＭＶ（ｂ））をアクチュエータ３０及びＰＣ５０ａに出力する。一方、ＭＶ（ａ）とＭＶ（ｂ）が同一でないか、双方の値の差が所定の値より大きい場合、ＭＶコンパレータはエラーをＰＣ５０ａに報告する。図６に図示されていないが、ＭＶコンパレータは、エラーを他のシステムまたはＤＣＮに報告し得る。ＭＶコンパレータは、ハードウェア（すなわちＤＣＮ４０ａに組み込まれた回路）、またはソフトウェア（すなわちＤＣＮ４０ａ上で作動するアプリケーション）により実施され得る。

本発明の１つまたは複数の実施形態において、ＭＶ（ｂ）を計算する前に、ＤＣＮ４０ａのＰＩＤアプリケーションは、ＰＣ５０ａにより設定されたＳＶとＴＰ（すなわちＳＶ（ｂ）とＴＰ（ｂ））が、ＳＶ（ａ）とＴＰ（ａ）とそれぞれ同一であることを確認し得る。当動作により、ＤＣＮ２０ａのＰＩＤアプリケーションとＤＣＮ４０ａのＰＩＤアプリケーションが、同一パラメータで設定されていることが確認される。

本発明の１つまたは複数の実施形態において、ＤＣＮ４０ａは、ＤＣＮ２０ａから受信したＳＶ（ａ）及びＴＰ（ａ）にのみ基づいて、ＭＶ（ｂ）を計算し得る。当構成はまた、ＤＣＮ４０ａのＰＩＤアプリケーションが不整合なパラメータに基づいてＭＶ（ｂ）を計算することを防ぐ。本発明の他の実施形態では、ＰＣ５０ａにより設定されたＳＶとＴＰ（すなわちＳＶ（ｂ）とＴＰ（ｂ））がＳＶ（ａ）とＴＰ（ａ）とそれぞれ同一でないと判断したときに、ＤＣＮ４０ａのＰＩＤアプリケーションは、ＤＣＮ２０ａから受信したＳＶ（ａ）及びＴＰ（ａ）にのみ基づいてＭＶ（ｂ）を計算し得る。

図７は、本発明の１つまたは複数の実施形態による、管理システム１ａが実行する動作のシーケンス図を示す。図７は、ＤＣＮ４０ａが、計算されたＭＶをアクチュエータ３０に正しく設定するシナリオを例示する。

まず、ＰＣ５０ａは、ＳＶ及びＴＰをＤＣＮ２０ａ及びＤＣＮ４０ａに設定する（Ｓ２０１及びＳ２０２）。これらの設定は、マルチキャスト送信により同時に行われ得る。

次に、センサ１０は、計測を行い、ＰＶをＤＣＮ２０ａへ送信する（Ｓ２０３）。前述のように、このような送信は、ＤＣＮ２０ａの読み出し行動により始動され得る。ＤＣＮ２０ａ（ＰＩＤアプリケーション）は次いで、受信したＰＶ並びにパラメータＳＶ（ａ）及びＴＰ（ａ）に基づいてＭＶ（ａ）を計算し（Ｓ２０４）、計算したＭＶ（ａ）をＰＶと共にＤＣＮ４０ａへ送信する（Ｓ２０５）。ＤＣＮ２０ａはまた、ＳＶ（ａ）及びＴＰ（ａ）を、ＭＶ（ａ）及びＰＶと共にＤＣＮ４０ａへ送信し得る。さらに、ＤＣＮ２０ａは、ＰＶをＰＣ５０ａへ送信する（Ｓ２０６）。

一旦ＰＶ及びＭＶ（ａ）を受信すると、ＤＣＮ４０ａ（ＰＩＤアプリケーション）は、受信したＰＶ並びにパラメータＳＶ（ｂ）及びＴＰ（ｂ）に基づいてＭＶ（ｂ）を計算する（Ｓ２０７）。次いで、ＤＣＮ４０ａのＭＶコンパレータは、ＤＣＮ２０ａから受信したＭＶ（ａ）を、ＤＣＮ４０ａが計算したＭＶ（ｂ）と比較する（Ｓ２０８）。ＭＶ（ａ）とＭＶ（ｂ）が同一である場合、ＤＣＮ４０ａのＭＶコンパレータは、ＭＶ（ａ）（またはＭＶ（ｂ））をアクチュエータ３０に設定する（Ｓ２０９）。加えて、ＤＣＮ４０ａは、ＭＶ（ａ）（またはＭＶ（ｂ））をＰＣ５０ａへ送信する（Ｓ２１０）。

図８は、本発明の１つまたは複数の実施形態による、管理システム１ａが実行する動作のシーケンス図を示す。図８は、ＤＣＮ４０ａがエラーを検出し、異常値をアクチュエータ３０に設定することを避けるシナリオを例示する。

ステップＳ２５１〜Ｓ２５８は、図７において示されるＳ２０１〜Ｓ２０８にそれぞれ対応する。

Ｓ２５９において、ＤＣＮ２０ａが計算したＭＶ（ａ）とＤＣＮ４０ａが計算したＭＶ（ｂ）が一致しない（同一でない）時、ＤＣＮ４０ａのＭＶコンパレータは、エラーを検出し、ＭＶ（ａ）またはＭＶ（ｂ）のどちらにしてもアクチュエータ３０に設定することをやめる。代わりにＤＣＮ４０ａは、エラーをＰＣ５０ａへ送信し（Ｓ２６０）、ＰＣ５０ａのオペレータにシステム内に異常が発生したことを知らせる。

本発明の１つまたは複数の実施形態によれば、オープンアーキテクチャに従うＤＣＮを使用するシステムにおいて、アクチュエータ３０に異常値が設定されることが防がれ得る。さらに、図９により明示されるように、本発明の実施形態は入力フィールド装置に接続されたＤＣＮに追加ＭＶ計算の実行を求めるにも関わらず、このような計算時間は全システムのパフォーマンスに影響を及ぼさない。

従来の管理システムにおいて使用される典型的レガシーコントローラは、数千を超すＩ／Ｏ装置を扱い、よってその計算能力のおおよそ３０％をＩ／Ｏ動作の処理に消費する必要がある。言い換えると、制御サイクルが１００ミリ秒に設定されていると仮定すると、３０ミリ秒がＩ／Ｏ動作に費やされる。本発明の１つまたは複数の実施形態において、それぞれのＤＣＮは基本的に、１つのフィールド装置（例えばセンサ及びアクチュエータ）を取り扱い、これにより何千ものＩ／Ｏ及び制御動作を並行して実行することができる。従って、ＤＣＮの一部が、本実施形態が求める追加ＭＶ計算を実行する必要があったとしても、各動作は制御サイクル全体に悪影響を与えない。

図１０は、本発明の１つまたは複数の実施形態による、管理システム１ｂのブロック図を示す。管理システム１ｂにおいて、センサ１０と共に冗長センサ１０’が提供され、ＤＣＮ２０ｂ及び４０ｂと共に冗長ＤＣＮ２０ｂ’及び４０ｂ’が提供される。前述の管理システム１ａのＤＣＮ２０ａと同様に、ＤＣＮ２０ｂと２０ｂ’はそれぞれ、センサ１０と１０’から取得したＰＶに基づいてＭＶ（ａ）を計算し得る。さらに、ＤＣＮ４０ａと同様に、ＤＣＮ４０ｂと４０ｂ’はそれぞれＭＶ（ｂ）を計算し、それをＭＶ（ａ）と比較して、システムにおける計算エラーを検出し得る。センサ１０と１０’は、プラント内において近くに配置され、実質的に同一のＰＶを計測するため、ＤＣＮ４０ｂと４０ｂ’は同一のＭＶを計算すると見込まれる。それぞれのＤＣＮ２０ｂ、２０ｂ’、４０ｂ、４０ｂ’は、リアルタイムネットワークにより、ＰＣ５０ｂと接続される。

管理システム１ｂにおいて、それぞれのＤＣＮは、ハードウェア（例えば回路）、ソフトウェア（例えばアプリケーション）、及びそれらの組み合わせのうちのいずれかにより実施される冗長マネージャ（ＲＭ）を備える。各ＲＭは、ＤＣＮの状態、すなわち「稼働」、「待機」、及び「非稼働」を制御する。非稼働以外の全てのＤＣＮが、ＭＶ計算を行い得る。しかしながら、稼働ＤＣＮのみが計算されたＭＶをアクチュエータに設定し得る（例えば図１０におけるＤＣＮ４０ｂ）。これを達成するために、稼働ＤＣＮ４０ｂ及び待機ＤＣＮ４０ｂ’のそれぞれは、ハードウェア（例えば回路）、ソフトウェア（例えばアプリケーション）、及びそれらの組み合わせのうちのいずれかにより実施されるゲートを介して、アクチュエータ３０に接続される。ＭＶ計算においてエラーが起こらない限り、ＤＣＮ４０ｂのゲートのみが開放され、ＤＣＮ４０ｂが独占的にＭＶをアクチュエータ３０に設定する。ＤＣＮ４０ｂにおいてエラーが起こった場合、ＤＣＮ４０ｂのゲートは閉鎖され、ＤＣＮ４０ｂ’のゲートが開放され、これによりＤＣＮ４０ｂ’がアクチュエータ３０に対するＭＶの設定を開始する。

本発明の１つまたは複数の実施形態において、ゲートの代わりに、ＤＣＮ４０ｂと４０ｂ’は両方とも、稼働ＤＣＮからアクチュエータ３０に対するＭＶのみを送り得るスイッチを介して、アクチュエータ３０に接続され得る。ＭＶが稼働ＤＣＮからアクチュエータ３０へ送られることを可能にするために、その他の同等装置も使用され得る。

図１１は、ＤＣＮ４０ｂにてエラーが検出された時の管理システム１ｂにおけるＤＣＮ２０ｂ、２０ｂ’、４０ｂ、及び４０ｂ’の状態遷移を例示する。一旦ＤＣＮ４０ｂにエラーが発生すると（「１．エラー検出」）、エラーは、ＤＣＮの各ＲＭ、並びにＰＣ５０ｂへ報告される（「２．エラーメッセージ発信」）。次に、ＤＣＮ２０ｂ及び４０ｂのＲＭは、自身の状態を「非稼働」に変更し、ＤＣＮ２０ｂ’及び４０ｂ’のＲＭは、自身の状態を「稼働」に変更する（「３．切り替え」）。ＤＣＮ４０ｂは次いでゲートを閉鎖し、ＤＣＮ４０ｂ’はゲートを開放する（「４．ゲート動作」）。最後に、ＤＣＮ２０ｂ’及び４０ｂ’はそれぞれ、現在非稼働のＤＣＮ２０ｂ及び４０ｂの動作を引継ぎ、アクチュエータ３０に対するＭＶの設定を開始する。一旦非稼働になると、ＤＣＮ２０ｂ及び４０ｂは、自身の動作を停止し得る。

図１２は、本発明の１つまたは複数の実施形態による、管理システム１ｂが実行する動作のシーケンス図を示す。図１２は、稼働ＤＣＮ４０ｂにおいてエラーが発生し、そこで待機ＤＣＮ４０ｂ’が動作を引き継ぐシナリオを例示する。ここで、ＲＭによる状態遷移動作の説明に焦点を絞るために、ＰＣ５０ｂとの対話は図から省略される。

ステップＳ３０１〜Ｓ３０６はそれぞれ、図８において示されるＳ２５３〜Ｓ２５５及びＳ２５７〜Ｓ２５９に対応する。

ＤＣＮ４０ｂがエラーを検出する（すなわちＤＣＮ４０ｂにより計算されたＭＶ（ｂ）と、ＤＣＮ２０ｂにより計算されたＭＶ（ａ）が同一ではない）時、ＤＣＮ４０ｂのコンパレータは、ＤＣＮ２０ｂ、２０ｂ’、及び４０ｂ’の各ＲＭに対しエラーを送信する（Ｓ３０７、Ｓ３０８、及びＳ３０９）。エラーを受信したＤＣＮ２０ｂ及び２０ｂ’の各ＲＭは、切り替え動作を行い、すなわちＤＣＮ２０ｂのＲＭは自身の状態を「非稼働」に変更し、ＤＣＮ２０ｂ’のＲＭは自身の状態を「稼働」に変更する（Ｓ３１０）。同様に、ＤＣＮ４０ｂ及び４０ｂ’の各ＲＭは、切り替え動作を行う（Ｓ３１１）。続いて、ＤＣＮ４０ｂはゲートを閉鎖し（Ｓ３１２）、ＤＣＮ４０ｂ’はゲートを開放する（Ｓ３１３）。その結果、ＤＣＮ４０ｂ’は、ＤＣＮ４０ｂの動作を引継ぎ、代わりにアクチュエータ３０に対するＭＶの設定を開始する（Ｓ３１４）。

本発明の１つまたは複数の実施形態によれば、一旦ＤＣＮ４０ｂがＭＶの計算においてエラーを検出すると、冗長ＤＣＮ４０ｂ’はＤＣＮ４０ｂの動作を引継ぎ、よってシステムはメンテナンスなしで作動し続け得る。その結果、システムの信頼性及び可用性は有利に向上する。

本発明の１つまたは複数の実施形態において、冗長（待機）ＤＣＮ２０ｂ’及び４０ｂ’は、ＭＶをアクチュエータ３０に設定すること以外、図１２において破線で示されるように、稼働ＤＣＮ２０ｂ及び４０ｂが作動しているのと同じ様に作動していることが可能である。この冗長構成は、「ホットスタンバイ」と呼ばれる。あるいは、冗長ＤＣＮ２０ｂ’及び４０ｂ’は、切り替えが起こった後にのみ、その動作を開始し、これは「ウォームスタンバイ」と呼ばれる。待機ＤＣＮを稼働化し、稼働ＤＣＮを非稼働化させる切り替え動作に、その他の冗長スキームが使用可能である。

本発明の１つまたは複数の実施形態において、図１２に図示されていないが、ＲＭはエラーをＰＣ５０ｂへ送信し得る。例えば、ＰＣ５０ｂのＨＭＩは、オペレータにエラー及び／または切り替え動作の発生を知らせ得る。

本発明の１つまたは複数の実施形態において、Ｓ３０７〜Ｓ３０９におけるエラー送信は、マルチキャスト送信により行われ得る。本発明の１つまたは複数の実施形態において、切り替え動作Ｓ３１０、Ｓ３１１は、並行して行われ得る。本発明の１つまたは複数の実施形態において、ゲート閉鎖Ｓ３１２、及びゲート開放Ｓ３１３は、並行して行われ得る。さらに、ゲートの開放又は閉鎖などの各ゲーティング動作は、各ＤＣＮによって並行して行われ得る。切り替え完了後、全てのＲＭは、完了メッセージを互いへ、並びにＰＣ５０ｂへ送信し得る。

図１３は、本発明の１つまたは複数の実施形態による、管理システム１ｃのブロック図を示す。管理システム１ｃは、１つまたは複数のセンサ１０‐１〜１０‐ｘに接続されたＤＣＮ２０ｃを備える。これは、ＤＣＮ２０ｃが、これらのセンサから１つまたは複数のＰＶ（ＰＶ１〜ＰＶｘ）を受信し得ることを意味する。加えて、管理システム１ｃは、ＤＣＮ２０ｃを介して受信したＰＶ（ＰＶ１〜ＰＶｘ）に基づいてＭＶ（ａ）（ＭＶ１（ａ）〜ＭＶｘ（ａ））をそれぞれが計算する１つまたは複数のＰＩＤアプリケーションを実行するＰＣ５０ｃを備える。ＭＶを計算するために、ＰＣ５０ｃは、パラメータＳＶ１〜ＳＶｘ及びＴＰ１〜ＴＰｘをＰＩＤアプリケーションにそれぞれ設定する。

ＭＶ１（ａ）〜ＭＶｘ（ａ）を計算したＰＣ５０ｃは、ＭＶ（ａ）及びＰＶ（並びに任意でＳＶ及びＴＰ）をアクチュエータに接続されたＤＣＮそれぞれに送信する。図１３の実施例において、代表的なＤＣＮ４０ｃのみが図示され、これは、ＰＶ１並びにＰＣ５０ｃにより事前に設定されたパラメータＳＶ１及びＴＰ１に基づいて、ＭＶ１（ｂ）を計算する。続いて、図５に示されるＤＣＮ４０ａ、または図１０に示されるＤＣＮ４０ｂと同様に、ＤＣＮ４０ｃは、計算したＭＶ１（ｂ）を受信したＭＶ１（ａ）と比較し、両者が同一である場合には、ＤＣＮ４０ｃはＭＶ１（ａ）（またはＭＶ１（ｂ））をアクチュエータ３０に設定する。同一でない場合、ＤＣＮ４０ｃは、エラーをＰＣ５０ｃへ送信する。

図１４は、本発明の１つまたは複数の実施形態による、管理システム１ｃが実行する動作のシーケンス図を示す。図１４は、ＤＣＮ４０ｃが、計算されたＭＶをアクチュエータ３０に正しく設定するシナリオを例示する。当実施例において、説明のため、ＤＣＮ２０ｃに接続された２つのセンサ１０‐１、１０‐ｘ、並びにＤＣＮ４０ｃとアクチュエータ３０の１つのペアのみが図示される。

まずＰＣ５０ｃは、ＳＶ１〜ＳＶｘ及びＴＰ１〜ＴＰｘを、ＰＣ５０ｃで動作しているＰＩＤアプリケーションに設定する（Ｓ４０１）。次にＰＣ５０ｃは、ＳＶ１及びＴＰ１をＤＣＮ４０ｃに設定する（Ｓ４０２）。図１４に図示されていないが、ＰＣ５０ｃは、残りのパラメータを、他のアクチュエータにそれぞれ接続された他のＤＣＮに設定し得る。

パラメータが設定された後、ＤＣＮ２０ｃは、センサ１０‐１からＰＶ１を取得または受信し（Ｓ４０３）、それをＰＣ５０ｃへ送信する（Ｓ４０４）。続いて（または同時に）、ＤＣＮ２０ｃは、センサ１０‐ｘからＰＶｘを取得または受信し（Ｓ４０５）、それをＰＣ５０ｃへ送信する（Ｓ４０６）。当実施例において、ＰＶｘは未だＰＣ５０ｃに届いていない。

ＰＶ１を受信すると、ＰＣ５０ｃは、受信したＰＶ１並びに設定したＳＶ１及びＴＰ１に基づいてＭＶ１（ａ）を計算し（Ｓ４０７）、計算したＭＶ１（ａ）をＰＶ１と共にＤＣＮ４０ｃへ送信する（Ｓ４０８）。後続のステップＳ４０９〜Ｓ４１２は、図７のＳ２０７〜Ｓ２１０に類似する。

図１５は、本発明の１つまたは複数の実施形態による、管理システム１ｃが実行する動作のシーケンス図を示す。図１５は、ＤＣＮ４０ｃがＭＶ計算のエラーを検出し、異常値をアクチュエータ３０に設定することを避けるシナリオを例示する。

ステップＳ４５１〜Ｓ４５８は、図１４において示されるＳ４０１〜Ｓ４０８にそれぞれ対応する。さらに、後続のステップＳ４５９〜Ｓ４６２は、図８のＳ２５７〜Ｓ２６０に類似する。

本発明の１つまたは複数の実施形態によれば、入力フィールド装置に接続されたＤＣＮ２０ｃは、ＭＶ計算を行わないため、計算能力が少なくて済む。従って、既存の単一入力モジュールまたは複数入力モジュールがＤＣＮ２０ｃとして使用可能であるため、全システムの初期費用及びメンテナンス費用は大幅に削減され得る。

本発明の１つまたは複数の実施形態において、ＤＣＮ２０ｃは、３２個以上のフィールド装置から入力信号を受け付け得る複数入力モジュールまたは複数入力ＤＣＮであり得る。本発明の１つまたは複数の実施形態において、ＰＣ５０ｃは、汎用コンピュータと同等の機能を有するコントローラであり得る。あるいは、ＰＣ５０ｃは、ネットワークを介して互いに接続された１つまたは複数のコンピュータを含む分散コンピュータシステムであり得る。

図１６は、本発明の１つまたは複数の実施形態による、管理システム１ｄのブロック図を示す。管理システム１ｄは、ＰＩＤアプリケーションを実行し、かつ計測したＰＶに基づいてＭＶ（ａ）を計算することがそれぞれ可能な１つまたは複数のセンサ１０ｄ‐１〜１０ｄ‐ｘを備える。管理システム１ｄはまた、ＤＣＮ４０ｄを介してセンサ１０ｄ‐１〜１０ｄ‐ｘそれぞれに対し、パラメータＳＶ及びＴＰ（ＳＶ１〜ＳＶｘ及びＴＰ１〜ＴＰｘ）を設定し得るＰＣ５０ｄを備える。さらに、管理システム１ｄは、センサ１０ｄ‐１〜１０ｄ‐ｘからのＰＶに基づいてそれぞれ制御される１つまたは複数のアクチュエータ３０‐１〜３０‐ｘを備える。センサ１０ｄ‐１〜１０ｄ‐ｘとアクチュエータ３０‐１〜３０‐ｘは、ＤＣＮ４０ｄを介して接続される。

管理システム１ｄにおいて、それぞれのセンサ１０ｄ‐１〜１０ｄ‐ｘは、計算したＭＶ（ａ）（ＭＶ１（ａ）〜ＭＶｘ（ａ））及び計測したＰＶ（ＰＶ１〜ＰＶｘ）（並びに、任意で、パラメータＳＶ１（ａ）〜ＳＶｘ（ａ）及びＴＰ１（ａ）〜ＴＰｘ（ａ））を、ＤＣＮ４０ｄへ送信する。ＤＣＮ４０ｄは次いでＭＶ（ｂ）（ＭＶ１（ａ）〜ＭＶｘ（ａ）にそれぞれ対応するＭＶ１（ｂ）〜ＭＶｘ（ｂ））を計算し、それを、受信したＭＶ（ａ）（ＭＶ１（ａ）〜ＭＶｘ（ａ）それぞれ）と比較する。ＤＣＮ４０ｄにより計算されたＭＶ（ｂ）とセンサ１０ｄから受信されたＭＶ（ａ）が同一である時、ＤＣＮ４０ｄは、ＭＶ（ａ）（またはＭＶ（ｂ））を対応アクチュエータ３０に設定する。反対に、ＭＶ（ｂ）とＭＶ（ａ）が同一でない場合、ＤＣＮ４０ｄはエラーをＰＣ５０ｄへ送信する。

図１７は、本発明の１つまたは複数の実施形態による、管理システム１ｄが実行する動作のシーケンス図を示す。図１７は、ＤＣＮ４０ｄが、ＭＶをアクチュエータ３０‐１に正しく設定するシナリオを例示する。当実施例において、センサ１０ｄ‐１、１０ｄ‐ｘ及びアクチュエータ３０‐１以外のセンサ及びアクチュエータは、説明の簡易化のため省略される。

まずＰＣ５０ｄは、ＳＶ１〜ＳＶｘ及びＴＰ１〜ＴＰｘをＤＣＮ４０ｄに設定する（Ｓ５０１）。次いでＤＣＮ４０ｄはＳＶとＴＰのペアを、センサ１０ｄ‐１、１０ｄ‐ｘそれぞれに設定する（Ｓ５０２、Ｓ５０３）。一旦パラメータが設定されると、センサ１０ｄ‐１、１０ｄ‐ｘはそれぞれ、ＰＶ１、ＰＶｘを計測し、ＭＶ１（ａ）、ＭＶｘ（ａ）を計算する（Ｓ５０４、Ｓ５０５）。センサ１０ｄ‐１、１０ｄ‐ｘは、計算したＭＶ１（ａ）、ＭＶｘ（ａ）をＰＶ１、ＰＶｘと共にＤＣＮ４０ｄへそれぞれ送信する（Ｓ５０６、Ｓ５０７）。

ＤＣＮ４０ｄがセンサ１０ｄ‐１からＰＶ１及びＭＶ１（ａ）を受信すると、ＤＣＮ４０ｄは、ＰＶ１をＰＣ５０ｄへ送信する（Ｓ５０８）。後続のステップＳ５０９〜Ｓ５１２は、図７のＳ２０７〜Ｓ２１０に類似する。

図１８は、本発明の１つまたは複数の実施形態による、管理システム１ｄが実行する動作のシーケンス図を示す。図１８は、ＤＣＮ４０ｄのうちの１つがＭＶ計算のエラーを検出し、異常値をアクチュエータ３０‐１に設定することを避けるシナリオを例示する。

ステップＳ５５１〜Ｓ５５８は、図１７において示されるＳ４５１〜Ｓ４５８にそれぞれ対応する。さらに、後続のステップＳ５５９〜Ｓ５６２は、図８のＳ２５７〜Ｓ２６０に類似する。

本発明の１つまたは複数の実施形態によれば、全ての動作（すなわちパラメータ設定、ＰＶ計測、並びにＭＶ計算及び比較）は、ＤＣＮ４０ｄの制御ループ内で完了し得る。例えば、一旦ＤＣＮ４０ｄがＭＶ計算のエラーを検出すると、ＤＣＮ４０ｄは、誤計算に関わるセンサ及びアクチュエータの動作のみを停止し得る。よって、ＤＣＮ４０ｄは、潜在的欠陥のあるセンサを除外するために自身の動作を停止する必要はなく、エラーの可能性がある制御ループだけを停止する。つまりＤＣＮ４０ｄは、システムの一部の独立運転を可能とする。

加えて、いくつかのアクチュエータ及びセンサは１つのＤＣＮ４０ｄにより制御されるため、全システム内のＤＣＮの総数は減少し、これによりオペレータは全システムを保全及び拡張しやすくなる。

本発明の１つまたは複数の実施形態において、それぞれのセンサ１０ｄ‐１〜１０ｄ‐ｘは、ＨＡＲＴまたはＦＦの規格に従って作動するインテリジェントセンサであり得る。本発明の１つまたは複数の実施形態において、ＤＣＮ４０ｄは、１６個以上のフィールド装置から入力信号を受け付け、１６個以上のフィールド装置に対する出力信号を生成し得る複数入力／出力ＤＣＮであり得る。

図１９は、本発明の１つまたは複数の実施形態による、管理システム１ｅのブロック図を示す。管理システム１ｅは、図１６において示されるセンサ１０ｄ‐１と同様の機能を有するセンサ１０ｅを備える。センサ１０ｅ及びアクチュエータ３０は、図１６において示されるＤＣＮ４０ｄと同様の機能を有するＤＣＮ４０ｅを介して接続される。加えて、管理システム１ｅは、図１０において示される管理システム１ｂのように、センサ１０ｅ及びＤＣＮ４０ｅの冗長セット、すなわち冗長センサ１０ｅ’及び冗長ＤＣＮ４０ｅ’を備える。

図１９の実施例において、ＤＣＮ４０ｅは、センサ１０ｅが計算したＭＶ（ａ）を取得し、ＭＶ（ａ）をＤＣＮ４０ｅが計算したＭＶ（ｂ）と比較して、ＭＶ計算にエラーが発生したか否かを判定する。一旦エラーが発生すると、図１０の管理システム１ｂと同様に、冗長センサ１０ｅ’と冗長ＤＣＮ４０ｅ’は、センサ１０ｅとＤＣＮ４０ｅのそれぞれの動作を引き継ぐ。ＤＣＮ４０ｅ、４０ｅ’のそれぞれの状態は、前述のようにＲＭにより管理される。

図２０は、ＤＣＮ４０ｅにて計算エラーが検出された時の管理システム１ｅにおけるＤＣＮ４０ｅ及びＤＣＮ４０ｅ’の状態遷移を例示する。一旦ＤＣＮ４０ｅにエラーが発生すると（「１．エラー検出」）、エラーは、ＤＣＮ４０ｅ及びＤＣＮ４０ｅ’の各ＲＭへ報告される（「２．エラーメッセージ発信」）。次に、ＤＣＮ４０ｅのＲＭは自身の状態を「非稼働」に変更し、ＤＣＮ４０ｅ’のＲＭは自身の状態を「稼働」に変更する（「３．切り替え」）。ＤＣＮ４０ｅは次いでゲートを閉鎖し、ＤＣＮ４０ｅ’はゲートを開放する（「４．ゲート動作」）。最後に、ＤＣＮ４０ｅ’は、非稼働ＤＣＮ４０ｅの動作を引継ぎ、アクチュエータ３０に対するＭＶの設定を開始する。

図２１は、本発明の１つまたは複数の実施形態による、管理システム１ｅが実行する動作のシーケンス図を示す。図２１は、稼働ＤＣＮ４０ｅにおいてエラーが発生し、そこで待機ＤＣＮ４０ｅ’がその動作を引き継ぐシナリオを例示する。ここで、ＲＭによる状態遷移の説明に焦点を絞るために、ＰＣ５０ｅとの対話は図から省略される。

ステップＳ６０１〜Ｓ６０５はそれぞれ、図１８において示されるＳ５５４、Ｓ５５６、及びＳ５５９〜Ｓ５６１に対応する。

ＤＣＮ４０ｅがエラーを検出する（すなわちＤＣＮ４０ｅにより計算されたＭＶ（ｂ）と、センサ１０ｅにより計算されたＭＶ（ａ）が同一ではない）時、ＤＣＮ４０ｅのＭＶコンパレータは、ＤＣＮ４０ｅ及びＤＣＮ４０ｅ’の各ＲＭへエラーを送信する（Ｓ６０６）。続いて、ＤＣＮ４０ｅ及びＤＣＮ４０ｅ’の各ＲＭは切り替えを行い（Ｓ６０７）、すなわちＤＣＮ４０ｅのＲＭは自身の状態を「非稼働」に変更し、ＤＣＮ２０ｅ’のＲＭは自身の状態を「稼働」に変更する。ＤＣＮ４０ｅは次いでゲートを閉鎖し（Ｓ６０８）、ＤＣＮ４０ｅ’はゲートを開放する（Ｓ６０９）。その結果、ＤＣＮ４０ｅ’は、ＤＣＮ４０ｅの動作を引継ぎ、アクチュエータ３０にＭＶを設定する（Ｓ６１０）。

本発明の１つまたは複数の実施形態によれば、一旦ＤＣＮ４０ｅがＭＶの計算においてエラーを検出すると、冗長ＤＣＮ４０ｅ’はＤＣＮ４０ｅの動作を引継ぎ得る。その結果、システムは非稼働ＤＣＮ４０ｅを取り替えることなく、その運転を継続し得る。

本発明の１つまたは複数の実施形態において、冗長（待機）ＤＣＮ４０ｅ’は、アクチュエータ３０にＭＶを設定すること以外、図２１において破線で示されるように、稼働ＤＣＮ４０ｅが作動しているのと同じ様に作動していることが可能である（ホットスタンバイ）。あるいは、冗長ＤＣＮ４０ｅ’は、切り替えが始動された時にのみ、その動作を開始し得る（ウォームスタンバイ）。ＤＣＮ４０ｅからＤＣＮ４０ｅ’へ動作を切り替えるために、その他の冗長スキームも使用され得る。

本発明の１つまたは複数の実施形態において、図２１においてＰＣ５０ｅは図示されていないが、ＤＣＮ４０ｅはエラーをＰＣ５０ｅへ送信し得る。例えば、ＰＣ５０ｅのＨＭＩは、オペレータにＤＣＮ４０ｅにてエラーが発生したことを知らせ得る。

本発明の１つまたは複数の実施形態において、ゲート閉鎖Ｓ６０８、及びゲート開放Ｓ６０９は、同時に行われ得る。切り替え完了後、全てのＲＭは、完了メッセージを互いへ、並びにＰＣ５０ｅへ送信し得る。

図２２は、本発明の１つまたは複数の実施形態による、ＤＣＮの実施態様例を示す。

本発明の１つまたは複数の実施形態において、ＤＣＮは、ＣＰＵ１００１と、ＣＰＵ１００１に対応付けられたメモリ１００２と、フィールドネットワークを介してフィールド装置と通信するＩ／Ｏインタフェース１００３と、リアルタイムネットワークを介してＰＣと通信するネットワークインタフェース１００４とを備え得る。これらのコンポーネント１００１〜１００４のうちの２つ以上が単一回路に統合され得る。ＤＣＮは、図２２に図示されていないその他のハードウェアコンポーネントも備え得る。前述のように、ＤＣＮはまた、コンパレータ及びゲート用回路を備え得る。

本発明は限られた数の実施形態に関して説明されたが、当開示の利益を享受する当業者は、本明細書において開示される発明の範囲から逸脱しない他の実施形態が案出可能であることを認識するであろう。従って、本発明の範囲は、添付の特許請求の範囲によってのみ限定されるべきである。

Claims (20)

1. プロセス値を計測する第１フィールド装置と、
   前記プロセス値に基づいて第１制御値を計算する第１制御ノードと、
   前記第１制御値に従って作動する第２フィールド装置と、
   前記第１制御値を計算するための１つまたは複数のパラメータを設定するアプリケーションノードと
   を備えるプラント施設の管理システムであって、
   前記第１制御ノードは、前記第１制御値を、前記第１フィールド装置、前記第１制御ノード、第２制御ノード、前記アプリケーションノードのうちの１つにより計算された第２制御値と比較し、
   前記第１及び前記第２制御値が同一であると判定された時、前記第１制御ノードは、前記第２フィールド装置に前記第１制御値を設定する、
   前記プラント施設の管理システム。
2. 前記第１制御ノードは、２つのプロセッサコアを有するプロセッサを備え、
   前記２つのプロセッサコアはそれぞれ、前記第１及び前記第２制御値を計算し、
   前記プロセッサは、前記第１及び前記第２制御値が同一であるか否かを判定する、
   請求項１に記載の管理システム。
3. 前記第２制御ノードは、
   前記第１フィールド装置から前記プロセス値を取得し、
   前記取得したプロセス値に基づいて前記第２制御値を計算し、
   前記第１制御ノードは、前記第１制御ノードにより計算された前記第１制御値を、前記第２制御ノードにより計算された前記第２制御値と比較する、
   請求項１に記載の管理システム。
4. 前記第１制御ノードは、コンパレータを備え、
   前記コンパレータは、前記第１及び前記第２制御値を比較する、
   請求項３に記載の管理システム。
5. 前記第２制御ノードは、前記アプリケーションノードから前記第２制御値を計算するための１つまたは複数のパラメータを受信し、
   前記第２制御ノードは、前記受信した１つまたは複数のパラメータを、前記取得したプロセス値及び前記計算した第２制御値と共に、前記第１制御ノードへ送信する、
   請求項３に記載の管理システム。
6. 前記第１及び前記第２制御ノードのためにそれぞれ提供された第１及び第２冗長制御ノードと、
   前記第１フィールド装置のために提供された冗長フィールド装置と
   をさらに備え、
   前記第１制御ノードが前記第１及び前記第２制御値は同一でないと判断すると、前記第１冗長制御ノードは、前記冗長フィールド装置からの前記プロセス値に基づいて計算された第３制御値を、前記第２フィールド装置に設定する、
   請求項３に記載の管理システム。
7. 一旦前記第１制御ノードが前記第１及び前記第２制御値は同一でないと判断すると、前記第１及び前記第２冗長制御ノードは、前記第１及び前記第２制御ノードの動作をそれぞれ引き継ぐ、
   請求項６に記載の管理システム。
8. 前記動作の前記引継ぎは、前記第１及び前記第２制御ノード並びに前記第１及び前記第２冗長制御ノードのそれぞれにおいて作動する冗長マネージャにより管理される、
   請求項７に記載の管理システム。
9. 前記第１制御ノード及び前記第１冗長制御ノードはそれぞれゲートを備え、
   一旦前記第１制御ノードが前記第１及び前記第２制御値は同一でないと判断すると、前記第１制御ノードの前記ゲートは閉鎖され、前記第１冗長制御ノードの前記ゲートが開放される、
   請求項６に記載の管理システム。
10. 前記第２制御ノードは、前記第１フィールド装置から前記プロセス値を取得し、
    前記アプリケーションノードは、
    前記第２制御ノードから前記プロセス値を受信し、
    前記取得したプロセス値に基づいて前記第２制御値を計算し、
    前記第１制御ノードは、前記第１制御ノードにより計算された前記第１制御値を、前記アプリケーションノードにより計算された前記第２制御値と比較する、
    請求項１に記載の管理システム。
11. 前記第２制御ノードは、複数点入力モジュールである、
    請求項１０に記載の管理システム。
12. 前記第１及び前記第２フィールド装置は、前記第１制御ノードに接続され、
    前記第１フィールド装置は、前記計測したプロセス値に基づいて前記第２制御値を計算し、
    前記第１制御ノードは、前記第１制御ノードにより計算された前記第１制御値を、前記第１フィールド装置により計算された前記第２制御値と比較する、
    請求項１に記載の管理システム。
13. 前記第１制御ノードは、複数点ＤＣＮである、
    請求項１２に記載の管理システム。
14. 前記第１制御ノードのために提供された冗長制御ノードと、
    前記第１フィールド装置のために提供された冗長フィールド装置と
    をさらに備え、
    前記第１及び前記第２フィールド装置は、前記第１制御ノードに接続され、
    前記冗長及び前記第２フィールド装置は、前記冗長制御ノードに接続され、
    前記第１フィールド装置は、前記計測したプロセス値に基づいて前記第２制御値を計算し、
    前記第１制御ノードは、前記第１制御ノードにより計算された前記第１制御値を、前記第１フィールド装置により計算された前記第２制御値と比較し、
    前記第１制御ノードが前記第１及び前記第２制御値は同一でないと判断すると、前記冗長制御ノードは、前記冗長フィールド装置からの前記プロセス値に基づいて計算された第３制御値を、前記第２フィールド装置に設定する、
    請求項１に記載の管理システム。
15. 前記第１制御ノード及び前記冗長制御ノードの両者は、複数点ＤＣＮである、
    請求項１４に記載の管理システム。
16. 前記第１及び前記第２フィールド装置のうちの少なくとも１つは、フィールドネットワークにより前記第１制御ノードに接続される、
    請求項１に記載の管理システム。
17. 前記アプリケーションノードは、リアルタイムネットワークにより前記第１制御ノードに接続される、
    請求項１に記載の管理システム。
18. 前記アプリケーションノードは、前記第２フィールド装置に設定される前記第１制御値を、前記第１制御ノードから受信する、
    請求項１に記載の管理システム。
19. 前記アプリケーションノードは、汎用コンピュータである、
    請求項１に記載の管理システム。
20. 第１フィールド装置においてプロセス値を計測することと、
    第１制御ノードにおいて、前記計測されたプロセス値及びアプリケーションノードにより設定された１つまたは複数のパラメータに基づいて、第２フィールド装置を作動させる第１制御値を計算することと、
    前記第１フィールド装置、前記第１制御ノード、第２制御ノード、前記アプリケーションノードのうちの１つにおいて、前記第２フィールド装置を作動させる第２制御値を計算することと、
    前記第１制御ノードにおいて、前記第１制御値を前記第２制御値と比較することと、
    前記第１制御ノードにおいて、前記第１及び前記第２制御値が同一である時、前記第２フィールド装置に前記第１制御値を設定することと
    を含むプラント施設の管理方法。