JP2022092595A - プロセス制御環境における通信の変数レベルの整合性チェック - Google Patents

Abstract

【課題】受信デバイスが変数ごとに受信値の整合性を検証することを可能にし、プロセス制御デバイスがデバイス変数値を送信および受信することを可能にする方法を提供する。【解決手段】整合性の検証を容易にするために、メッセージ内の任意の所望の数の変数は、メッセージ内のデータ整合性チェックを行うことができる。データ整合性チェックがある受信値ごとに、受信デバイスは、受信値およびシード（送信デバイスと受信デバイスの両方に知られている）に基づいて独自のデータ整合性チェックを計算し、次いで、受信データ整合性チェックと比較して、受信値が通信中に変更されたかどうかを検証することができる。【選択図】図２

Description

本開示は、概して、プロセス制御環境における通信の整合性を検証することに関し、より具体的には、通信を受信するデバイスの変数値の信頼性および信用性を向上させるために、そのような通信における変数値（安全システムで使用されるものなど）の整合性を変数ごとに検証することに関する。

発電、化学、石油、または他のプロセスで使用されるような分散型またはスケーラブルなプロセス制御システムなどの分散プロセス制御システムは、プロセス制御ネットワークを介して、少なくとも１つのホストまたはオペレータワークステーションに、およびアナログ、デジタル、または組み合わされたアナログ／デジタルバスを介して、１つ以上の器具類またはフィールドデバイスに、互いに通信可能に結合された１つ以上のプロセスコントローラを典型的に含む。

フィールドデバイスは、バルブの開閉、デバイスのオン／オフの切り替え、およびプロセスパラメータの測定などのプロセスまたはプラント内の機能を行う。フィールドデバイスの例としては、バルブ、バルブポジショナ、スイッチ、および送信機（例えば、温度、圧力、または流量を測定するためのセンサを含むデバイス、ならびに感知された温度、圧力、および流量を送信するための送信機）が挙げられる。

プロセスコントローラは、典型的にはプラント環境内に位置するが、フィールドデバイスによって行われるプロセス測定値（またはフィールドデバイスに関する他の情報）を示す信号を受信し、ならびに、例えば、プロセス制御判定を行い、受信した情報に基づき制御信号を生成し、スマートフィールドデバイス（例えば、ＨＡＲＴ（登録商標）、ＷｉｒｅｌｅｓｓＨＡＲＴ（登録商標）、およびＦＯＵＮＤＡＴＩＯＮ（登録商標）のＦｉｅｌｄｂｕｓフィールドデバイス）に実装されている制御モジュールまたはブロックと連携する、異なる制御モジュールを実行するコントローラアプリケーションを実行する。

制御モジュールの実行により、プロセスコントローラは、通信リンクまたは信号路を通じてフィールドデバイスに制御信号を送信して、それによって、プロセスプラントまたはシステムの少なくとも一部分の動作を制御する（例えば、プラントまたはシステム内部で稼働または実行している１つ以上の工業プロセスのうちの少なくとも一部分を制御する）。例えば、コントローラおよびフィールドデバイスの第１のセットが、プロセスプラントまたはシステムによって制御されているプロセスの第１の部分を制御し得、コントローラおよびフィールドデバイスの第２のセットが、プロセスの第２の部分を制御し得る。

入出力（Ｉ／Ｏ）カード（「Ｉ／Ｏデバイス」または「Ｉ／Ｏモジュール」と呼ぶ場合もある）は、これもまた典型的にはプラント環境内に位置付けられるが、典型的にはコントローラと１つ以上のフィールドデバイスとの間に配設され、それらの間の通信を可能にする（例えば、電気信号をデジタル値に変換することによって、およびその逆によって）。通常、Ｉ／Ｏカードは、プロセスコントローラと、Ｉ／Ｏカードによって使用されるものと同じ通信プロトコル用に構成された１つ以上のフィールドデバイスの入力または出力との間の中間ノードとして機能する。具体的には、フィールドデバイスの入力および出力は、典型的には、アナログ通信またはディスクリート通信用に構成される。フィールドデバイスと通信するために、コントローラは通常、フィールドデバイスによって使用されるのと同じタイプの入力または出力用に構成されたＩ／Ｏカードを必要とする。すなわち、アナログ制御出力信号（例えば、４～２０ｍＡの信号）を受信するように構成されたフィールドデバイスの場合、コントローラには、適切なアナログ制御出力信号を送信するためのアナログ出力（ＡＯ）Ｉ／Ｏカードが必要であり、アナログ信号を介して測定値または他の情報を送信するように構成されたフィールドデバイスの場合、コントローラには典型的には、送信された情報を受信するためにアナログ入力（ＡＩ）カードが必要である。同様に、ディスクリート制御出力信号を受信するように構成されたフィールドデバイスの場合、コントローラには、適切なディスクリート制御出力信号を送信するためのディスクリート出力（ＤＯ）Ｉ／Ｏカードが必要であり、ディスクリート制御入力信号を介して情報を送信するように構成されたフィールドデバイスの場合、コントローラにはディスクリート入力（ＤＩ）Ｉ／Ｏカードが必要である。さらに、いくつかのＩ／Ｏカードは、抵抗温度検出器（ＲＴＤ）（温度によってワイヤの抵抗を変化させる）または熱電対（ＴＣ）（温度に比例した電圧を生成する）用に構成されている。一般に、各Ｉ／Ｏカードは、複数のフィールドデバイス入力または出力に接続することができ、特定の入力または出力への各通信リンクは、「Ｉ／Ｏチャネル」（または、より一般的には「チャネル」）と称される。例えば、１２０チャネルのＤＯ Ｉ／Ｏカードは、１２０個の個別のＤＯ Ｉ／Ｏチャネルを介して１２０個の個別のディスクリートフィールドデバイス入力に通信可能に接続され得、コントローラが（ＤＯ Ｉ／Ｏカードを介して）ディスクリート制御出力信号を１２０個の個別のディスクリートフィールドデバイス入力に送信することを可能にする。

本明細書で利用される場合、フィールドデバイス、コントローラ、およびＩ／Ｏデバイスは、概して「プロセス制御デバイス」と称され、概してプロセス制御システムまたはプラントのフィールド環境内に位置付けされるか、配設されるか、または設置される。１つ以上のコントローラと、１つ以上のコントローラに通信可能に接続されたフィールドデバイスと、コントローラとフィールドデバイスとの間の通信を容易にする中間ノードと、によって形成されたネットワークは、「Ｉ／Ｏネットワーク」または「Ｉ／Ｏサブシステム」と称され得る。

Ｉ／Ｏネットワークからの情報は、データハイウェイまたは通信ネットワークを経由して、オペレータワークステーション、パーソナルコンピュータもしくはコンピューティングデバイス、ハンドヘルドデバイス、データヒストリアン、レポートジェネレータ、中央集中型データベース、または、典型的にはプラントのより過酷なフィールド環境から離れた制御室もしくは他の場所、例えば、プロセスプラントのバックエンド環境内に置かれる他の中央集中型管理コンピューティングデバイスなどの１つ以上の他のハードウェアデバイスに利用可能であり得る。

プロセス制御ネットワークを経由して通信される情報により、オペレータまたは保守担当者は、ネットワークに接続された１つ以上のハードウェアデバイスを介して、プロセスに関して所望の機能を実行することが可能となる。これらのハードウェアデバイスは、例えば、オペレータが、プロセス制御ルーチンの設定を変更し、プロセスコントローラまたはスマートフィールドデバイス内の制御モジュールの動作を修正し、プロセスの現在の状態またはプロセスプラント内の特定のデバイスのステータスを視認し、フィールドデバイスとプロセスコントローラとによって生成されたアラームを視認し、要員のトレーニングまたはプロセス制御ソフトウェアのテストを目的としたプロセスの動作をシミュレーションし、プロセスプラント内の問題またはハードウェア障害を診断することなどを行えるようにするアプリケーションを実行し得る。ハードウェアデバイス、コントローラ、およびフィールドデバイスによって使用されるプロセス制御ネットワークまたはデータハイウェイは、有線通信路、無線通信路、または有線通信路と無線通信路との組み合わせを含み得る。

さらに、多くのプロセスでは、有害化学物質の流出や爆発など、プラント内に重大な危険をもたらし得る問題が発生したとき、プロセスプラント内の安全に関わる重大な問題を検出し、バルブの閉鎖、デバイスの電源遮断、プラント内の流れの切り替えなどを自動的に行うための安全システム（「安全計装システム」または「ＳＩＳ」と呼ばれることもある）が設けられている。安全システムまたはＳＩＳが何をしなければならないか（機能要件）、およびどれだけの性能を発揮しなければならないか（安全性の整合性要件）は、ハザードおよび操作性の調査（ＨＡＺＯＰ）、保護層の分析（ＬＯＰＡ）、リスクグラフなどから判定され得る。技術の例は、ＩＥＣ６１５１１およびＩＥＣ６１５０８に記載されている。安全システムまたはＳＩＳの設計、建設、設置、および運用中に、安全担当者は通常、これらの要件が満たされていることを検証する。機能要件は、障害モード、影響、および重要度分析（ＦＭＥＣＡ）などの設計レビュー、および様々なタイプのテスト（例えば、工場の受け入れテスト、サイトの受け入れテスト、および定期的な機能テスト）によって検証され得る。

一般的に、安全システムまたはＳＩＳは、「特定の制御機能」を実行してフェイルセーフを実行したり、許容できないまたは危険な状態が発生したときにプロセスの安全な操作を維持したりするように設計されている。通常、安全システムは、安全システムの機能が損なわれないようにするために、他の制御システムから比較的独立している。安全システムは通常、基本プロセス制御システム（ＢＰＣＳ）と同じタイプの制御要素（センサ、論理ソルバまたはコントローラ、アクチュエータ、および他の制御機器を含む）で構成される。しかしながら、従来の実装では、安全システムの制御要素は、安全システムの適切な機能のみに専念している（例えば、制御システムによって制御されるプロセスの適切な制御ではない）。

一般に、「安全計装機能」または「ＳＩＦ」は、特定の危険に関連するリスクを軽減することを目的とした安全システム内の特定の機器セットであり、安全システム制御ループまたは「安全ループ」と考えられ得るか、または称され得る。ＳＩＦは、（１）指定された条件に違反した場合に、工業プロセスを自動的に安全な状態にする、（２）指定された条件が許す場合にプロセスが安全な方法で前進することを可能にする（許容機能）、または（３）産業上の危険の影響を軽減するための措置を講じる、ことを目的としている。ＳＩＦは通常、軽微な機器の損傷から、エネルギーおよび／または材料の制御不能な壊滅的放出を伴うイベントまで様々なものがあり得る、以前に特定された安全、健康および環境（ＳＨ＆Ｅ）イベントの可能性を排除することを目的としている、全体的なリスク削減戦略の一部として実装される。

通常、各ＳＩＦまたは安全ループには、ＩＥＣ６１５０８／６１５１１で「リスクグラフ」、「リスクマトリックス」、またはＬＯＰＡとして定義されている方法のうちの１つを使用して、「安全整合性レベル」または「ＳＩＬ」（１、２、３、または４）で定義される特定のレベルの保護が割り当てられる。ＳＩＬの割り当ては、ＳＩＦによって保護されることを目的とした、特定のハザードに関連するリスクが、ＳＩＦの有益なリスク削減効果なしで計算されるリスク分析における実践である。次いで、その軽減されていないリスクが、許容可能なリスク目標と比較される。軽減されていないリスクが許容可能なリスクよりも高い場合、軽減されていないリスクと許容可能なリスクの違いは、ＳＩＦのリスク削減を通じて対処する必要がある。この必要なリスク削減量は、ＳＩＬ目標と相関関係がある。本質的に、必要とされるリスク削減の各桁は、必要なＳＩＬ数のうちの１つの増加と相関している。典型的な例では、ＳＩＬ－１は最大１００倍のリスク削減を表し、ＳＩＬ－２は、最大１０００倍のリスク削減を表し、ＳＩＬ－３は、最大１０，０００倍のリスク削減を表し、ＳＩＬ－４は、最大１００，０００倍のリスク削減を表す。

国際電気標準会議（ＩＥＣ）の規格ＩＥＣ６１５０８は、ハードウェアの安全性の整合性と体系的な安全性の整合性という２つの大きなカテゴリに分類される要件を使用してＳＩＬを定義している。デバイスまたはシステムは通常、特定のＳＩＬを達成するために、両方のカテゴリの要件を満たす必要がある。ハードウェアの安全性の整合性に関するＳＩＬ要件は、デバイスの確率的分析に基づく。特定のＳＩＬを達成するために、デバイスは通常、危険な障害の最大確率と最小の安全な障害の割合の目標を満たす。通常、「危険な障害」の概念は、問題のシステムに対して定義され、通常、システム開発全体で整合性が検証される要件制約の形式で定義される。実際に必要な目標は、需要の可能性、デバイスの複雑さ、および使用される冗長性のタイプによって異なる。

通信に関して、ＩＥＣ６１５０８規格は、安全通信が、所望のＳＩＬの１時間当たりの危険な障害の許容確率の１％を超えてはならないことを示している。ＳＩＬ３アプリケーションでの使用を受け入れるには、安全通信による危険な障害の可能性が１時間当たり１０～９未満である必要がある。つまり、通信を介して受信した特定の情報の整合性を検証する機能は、安全システムが一般的な安全基準に準拠した方法で情報に依存できるかどうかに大きな影響を与える可能性がある。別の言い方をすれば、情報の整合性を検証する機能がないと、通信に関連する予想エラー率が許容可能な閾値を超え、情報が安全システムで使用不能にする可能性がある。

前述のように、安全システムには通常、プロセスプラント内に配置された個別のバスまたは通信ラインを介して安全フィールドデバイスに接続されるプロセス制御コントローラとは別に、１つ以上の個別の論理ソルバまたはコントローラ（「安全コントローラ」と呼ばれることもある）がある。安全コントローラは、安全フィールドデバイスを使用して、重大なイベントに関連するプロセス状況、例えば、いくつかの安全スイッチまたは遮断バルブの位置、プロセス中のオーバーフローまたはアンダーフロー、重要な発電または制御デバイスの動作、障害検出デバイスの動作などを検出し、それによって、プロセスプラント内の異常な状態を表す「イベント」を検出する。イベントが検出されると、安全コントローラは、１つ以上のバルブを閉じる、１つ以上のデバイスを非アクティブ化またはオフにする、プラントのセクションから電源を切るなどのコマンドの送信など、イベントの悪影響を制限するための何らかのアクションを実行する。

この背景説明は、以下の詳細な説明への理解および認識を容易にする文脈を提供することに留意されたい。この背景技術のセクションに記載されている範囲での現在名前が挙げられている発明者らの研究、（ならびに別の方法で出願時に先行技術と見なされていない場合がある背景技術の記載の態様）は、明示的にも黙示的にも本開示に対する先行技術とは認められない。

説明された方法およびシステムは、受信デバイスが変数ごとに受信値の整合性を検証することを可能にする方法で、プロセス制御デバイスがデバイス変数値を送信および受信することを可能にする。

一実施形態では、デバイス変数に対する値を含むメッセージを送信するための方法は、値の整合性を変数ごとに検証することができるように、メッセージを送信することを含む。この方法は、プロセスを制御するためのプロセス制御環境内の第１のプロセス制御デバイスによって、デバイス変数に対する検出値を検出すること、プロセス制御デバイスにより、検出値およびシードを入力として使用して、データ整合性計算を実行することにより、第１のデータ整合性チェックを計算すること、検出値および検出値に対する第１のデータ整合性チェックを含むように、メッセージを符号化すること、またはメッセージを送信すること、のうちのいずれか１つ以上を含み得る。メッセージを送信することは、（ｉ）メッセージを受信することと、（ｉｉ）デバイス変数に対するメッセージ内の候補値に対する第２のデータ整合性チェックを計算することと、（ｉｉｉ）第２のプロセス制御デバイスにおいて、第１および第２のデータ整合性チェックが一致するかどうかに基づいて、候補値でデバイス変数にマップされたプロセス変数を更新する、または更新しないことと、（ｉｖ）プロセス変数に従って、プロセスのための制御スキームの一部として機能を実装することと、を行うように構成された第２のプロセス制御デバイスによって受信可能であるメッセージを送信することを含み得る。

一実施形態では、システムは、パラメータまたは変数レベルで（例えば、変数ごとに）認証することができるプロセス変数に対する値を含むメッセージを送信するように構成される。システムは、プロセスを制御するためのプロセス制御環境の入力／出力（Ｉ／Ｏ）ネットワーク内の１つ以上の他のプロセス制御デバイスに通信可能に結合されるように構成された第１のプロセス制御デバイスを含み得る。第１のプロセス制御デバイスは、（Ａ）フィールドデバイスを１つ以上のコントローラに結合するように構成された通信インターフェース、または（Ｂ）通信インターフェースに通信可能に結合された回路のセット、のうちのいずれか１つ以上を含み得る。回路のセットは、デバイス変数に対する検出値を検出することと、検出値およびシードを入力として使用して、データ整合性計算を実行することにより、第１のデータ整合性チェックを計算することと、検出値および検出値に対する第１のデータ整合性チェックを含むように、メッセージを符号化することと、通信インターフェースを介して、メッセージを第２のプロセス制御デバイスに送信することと、を行うように構成され得る。第２のプロセス制御デバイスは、（ｉ）メッセージを受信すること、（ｉｉ）デバイス変数に対するメッセージ内の候補値に対する第２のデータ整合性チェックを計算すること、（ｉｉｉ）第２のプロセス制御デバイスにおいて、第１および第２のデータ整合性チェックが一致するかどうかに基づいて、候補値でデバイス変数にマップされたプロセス変数を更新する、または更新しないこと、または（ｉｖ）プロセス変数に従って、プロセスのための制御スキームの一部として機能を実装すること、のうちのいずれか１つ以上を行うように構成され得る。

一実施形態では、プロセス制御デバイスからのメッセージに含まれるデバイス変数値の整合性を検証するための方法が実装され得る。この方法は、（１）プロセスを制御するためのプロセス制御環境内の第２のプロセス制御デバイスにおいて、第１のプロセス制御デバイスによって送信されたメッセージを受信することと、（２）メッセージを復号化して、メッセージ内で、（ｉ）デバイス変数に対する候補値、および（ｉｉ）デバイス変数に対する第１のデータ整合性チェックを識別することと、（３）候補値およびシードを入力として使用して、第２のデータ整合性計算を実行することにより、第２のデータ整合性チェックを計算することと、（４）第２のデータ整合性チェックを第１のデータ整合性チェックと比較して、第２のデータ整合性チェックが第１のデータ整合性チェックと一致するかどうかを判定し、それによって、候補値が第１のデータ整合性チェックの計算に使用された検出値と一致するかどうかを判定することと、（５）デバイス変数にマップされたプロセス変数が前の値を維持するように、候補値を破棄することにより、第２のデータ整合性チェックが第１のデータ整合性チェックと一致しないという判定に応答することと、（６）第２のプロセス制御デバイスにおいて、候補値でプロセス変数を更新することにより、第２のデータ整合性チェックが第１のデータ整合性チェックと一致するという判定に応答することと、（７）プロセス変数に従って、プロセスのための制御スキームの一部として機能を実装することと、のうちのいずれか１つ以上を含み得る。

一実施形態では、プロセス制御デバイスからのメッセージに含まれるデバイス変数値の整合性を検証するためのシステムが実装され得る。システムは、プロセス制御環境において第１のプロセス制御デバイスに通信可能に結合されるように構成された第２のプロセス制御デバイスを含み得る。第２のプロセス制御デバイスは、（Ａ）第２のプロセス制御デバイスを第１のプロセス制御デバイスに通信可能に結合するように構成された通信インターフェース、または（Ｂ）通信インターフェースに通信可能に結合された回路のセット、のうちのいずれか１つ以上を含み得る。回路のセットは、通信インターフェースを介して、第１のプロセス制御デバイスによって送信されたメッセージを受信することと、メッセージを復号化して、メッセージ内で、（ｉ）デバイス変数に対する候補値、および（ｉｉ）デバイス変数に対する第１のデータ整合性チェックを識別することと、候補値およびシードを入力として使用して、第２のデータ整合性計算を実行することにより、第２のデータ整合性チェックを計算することと、第２のデータ整合性チェックを第１のデータ整合性チェックと比較して、第２のデータ整合性チェックが第１のデータ整合性チェックと一致するかどうかを判定し、それによって、候補値が第１のデータ整合性チェックの計算に使用された検出値と一致するかどうかを判定することと、デバイス変数にマップされたプロセス変数が前の値を維持するように、候補値を破棄することにより、第２のデータ整合性チェックが第１のデータ整合性チェックと一致しないという判定に応答することと、候補値でプロセス変数を更新することにより、第２のデータ整合性チェックが第１のデータ整合性チェックと一致するという判定に応答することと、プロセス変数に従って、プロセスのための制御スキームの一部として機能を実装することと、を行うように構成され得る。

記載された技術を実施することができる例示的なプロセス制御プラントのブロック図である。 記載された技術に従って通信することができる例示的なフィールドデバイスおよび例示的なコントローラのブロック図である。 本明細書に記載のプロセス制御デバイスによって、受信デバイスが変数ごとに受信値の整合性を検証することを可能にする方法で、プロセス制御デバイスがデバイス変数値を送信および受信するために使用され得る例示的なプロトコルスタックの例示的な層を示す。 受信デバイスが変数ごとに含まれる値の整合性を検証することができるようにするために、対応するデータ整合性チェックを有する１つ以上の変数値または候補値を含み得るメッセージペイロードの例を示す。 受信デバイスが変数ごとに含まれる値の整合性を検証することができるようにするために、対応するデータ整合性チェックを有する１つ以上の変数値または候補値を含み得るメッセージペイロードのさらなる例を示す。 受信デバイスが変数ごとに受信値の整合性を検証することを可能にする方法で、変数値を含むメッセージを送信するための例示的な方法を示す。 受信値の整合性を変数ごとに検証することを可能にする方法で、変数値を含むメッセージを受信するための例示的な方法７００を示す。

説明された方法およびシステムは、受信デバイスが変数ごとに受信値の整合性を検証することを可能にする方法で、プロセス制御デバイスがデバイス変数値を送信および受信することを可能にする。整合性の検証を容易にするために、メッセージ内の任意の所望の数の変数は、メッセージ内のデータ整合性チェックを行うことができる。データ整合性チェックがある受信値ごとに、受信デバイスは、受信値およびシード（送信デバイスと受信デバイスの両方に知られている）に基づいて独自のデータ整合性チェックを計算することができる。受信データと計算データの整合性チェックの間に不一致が存在する各プロセス変数値について、受信デバイスは、受信値が元の送信値と一致しないと見なすことができる（したがって、受信値を破棄することができる）。一方、受信データおよび計算データの整合性が特定のデバイス変数の一致をチェックする場合、受信デバイスは受信値の整合性を検証することができる（つまり、元の送信値と一致することを検証することができる）。その結果、受信デバイスは、受信値に自信を持って対応することができる（例えば、デバイス変数に対応するローカルまたはシステム全体のプロセス変数を更新したり、受信値に応じて制御を実装したりするなど）。比較すると、従来のシステムがデータの整合性の検証を可能にする範囲で、通常はパケットベースまたはメッセージベースで検証する。このようなシステムでは、メッセージ内のデータが変更されると、メッセージ全体が検証できなくなる。したがって、送信後に単一のデバイス変数値（または任意の他のデータ）が破損した場合、受信デバイスはメッセージ全体を破棄する必要がある（または、整合性を検証できない値で先に進む必要がある）。

本明細書で使用される場合、「メッセージ」という用語は、ノードによって（例えば、リンクを介して）送信または受信されるデータのセットによって表される通信の単位を指す。メッセージを表すデータのセットは、ペイロード（すなわち、配信されることを意図されたコンテンツ）およびプロトコルオーバーヘッドを含むことができる。オーバーヘッドは、プロトコルまたはペイロードに関連するルーティング情報およびメタデータを含むことができる（例えば、メッセージのプロトコルの識別、目的の受信者ノード、発信ノード、メッセージまたはペイロードのサイズ、の整合性をチェックするためのデータ整合性情報メッセージなど）。場合によっては、パケットまたはパケットのシーケンスは、メッセージと見なされることがある。

いずれの場合においても、様々な技術、システム、および方法が、図１～７を参照して以下で考察される。

Ｉ．例示的なプロセス制御環境
図１は、示された安全コントローラ、プロセスコントローラ、およびフィールドデバイスの各々が、受信デバイスが変数ごとに受信値の整合性を検証することを可能にする方法で、変数値を含むメッセージを送信および受信するように（所望される場合）構成され得るプロセスプラント１０を示す。変数ごとにデータの整合性を検証するためのこの改善は、安全システム（図１に示すものなど）にとって特に有益であり、そうでなければ安全システムの実装ではエラーが発生しやすい変数値を搬送する通信に依存できるようになる。

本明細書で使用される場合、「プロセス制御デバイス」は、プロセスプラント１０で実装するように構成され、メッセージがプロセスプラント１０内の１つ以上のデバイスによって受信され、復号化され、作用されるように、プロセスプラント１０で実装される１つ以上のプロトコルに従ってプロセス変数を搬送するメッセージを送信または受信するように構成された任意のデバイスである。

図示のように、プロセスプラント１０は、安全システム１４（点線で示される）と統合されたプロセス制御システム１２を含み、これは、一般に、プロセスプラント１０のありそうな安全動作を最大化するためにプロセス制御システム１２によって提供される制御を監視し、かつオーバーライドするための安全計装システム（ＳＩＳ）として動作する。

Ａ．例示的なプロセス制御システムおよび例示的な安全システムの例示的な構成要素
高レベルでは、プラント１０は、制御されたプロセスが測定され制御されるエリアに通常配置、配置、または設置されるプロセス制御デバイス（例えば、フィールドデバイス、コントローラ、およびＩ／Ｏデバイス）を含むフィールド環境（例えば、図１に示されるノード１８および２０内の構成要素）、ならびにフィールド環境（例えば、オフィス環境、リモート環境など）から分離または除去された構成要素、例えば、図１に示される構成要素２１および１６などを含み得るバックエンド環境を含み得る。

より具体的には、プロセスプラント１０は、プロセス制御オペレータ、保守要員、構成エンジニアなどのようなプラント要員によってアクセス可能である１つ以上のホストワークステーション、コンピュータ、またはユーザインターフェイス１６（任意のタイプのパーソナルコンピュータ、ワークステーションなどであってもよい）を含む。図１に示される例では、３つのユーザインターフェイス１６は、２つの別個のプロセス制御／安全制御ノード１８および２０、ならびに構成データベース２１に、共通の通信回線またはバス２２を介して接続されているものとして示される。通信ネットワーク２２は、任意の所望のバスベースまたは非バスベースのハードウェアを使用して、任意の所望のハードワイヤードまたはワイヤレスの通信構造を使用して、およびイーサネットプロトコルなどの任意の所望のまたは好適な通信プロトコルを使用して実装することができる。

一般的に言えば、本明細書で使用される際、別段の指定がない限り、「ネットワーク」という用語は、ノード間の遠距離通信を可能にするように接続されるノード（例えば、情報を送信する、受信するまたは転送することができるデバイスまたはシステム）およびリンクの集合を指す。実施形態に応じて（特に明記しない限り）、記載されたネットワークのそれぞれは、ノード間のトラフィックを方向付ける転送を担う専用のルータ、スイッチ、またはハブ、ならびに、任意選択的に、ネットワークの構成および管理を担う専用デバイスを含むことができる。記載されたネットワーク内のノードのうちのいくつかまたは全てはまた、他のネットワークデバイス間で送信されるトラフィックを方向付けるために、ルータとして機能するように適合され得る。記載されたネットワークのノードは、有線または無線の様式で相互接続され得、ネットワークデバイスは、異なるルーティングおよび転送能力を有し得る。

一般的に言えば、プロセスプラント１０のノード１８および２０の各々は、異なるデバイスが取り付けられているバックプレーン上に提供され得るバス構造を介して一緒に接続されたプロセス制御システムデバイスと安全システムデバイスの両方を含む。ノード１８は、プロセスコントローラ２４（コントローラの冗長ペアであり得る）、ならびに１つ以上のプロセス制御システム入力／出力（Ｉ／Ｏ）デバイス２８、３０、および３２を含むものとして図１に示されている。ノード２０は、プロセスコントローラ２６（コントローラの冗長ペアであり得る）、ならびに１つ以上のプロセス制御システムＩ／Ｏデバイス３４および３６を含むものとして示されている。プロセス制御システムＩ／Ｏデバイス２８、３０、３２、３４、および３６のそれぞれは、図１にフィールドデバイス４０および４２として示されている、プロセス制御関連のフィールドデバイスのセットに通信可能に接続されている。プロセスコントローラ２４および２６、Ｉ／Ｏデバイス２８～３６、ならびにコントローラフィールドデバイス４０および４２は、一般に、図１のプロセス制御システム１２を構成する。

フィールドデバイス４０、４２、６０、および６２のうちの１つ以上は、バルブなどのデバイスのアクチュエータであり得、それが結合されているコントローラから受信したコマンドに応答し得る（例えば、コントローラからのコマンドに応じてバルブを開閉するために、バルブを作動させるように構成されている）。同様に、フィールドデバイス４０、４２、６０、および６２のうちの１つ以上は、センサを介して測定値（例えば、流量、温度、圧力など）を検出し、測定値をコントローラに送信するように構成された送信機であり得る。フィールドデバイスの１つ以上は、フィールドデバイスが駆動または測定するように構成された一次プロセス変数以外の１つ以上の「二次」変数値を送信するように構成された「スマート」フィールドデバイスであり得る。例えば、ＨＡＲＴ実装では、一次変数は、４～２０ｍＡ信号を介してフィールドデバイスによって送信または受信され得、１つ以上の二次変数は、４～２０ｍＡ信号に重ね合わされたデジタル信号を介して送信または受信され得る。

一般的に言えば、「フィールドデバイス変数」は、検出（例えば、センサ測定または計算を介して）または設定（例えば、コントローラから受信したメッセージに応答して）するように構成されたフィールドデバイス内部の変数である。典型的な実装形態では、フィールドデバイス変数がその一部である関連するプロセス制御システムまたは安全システムは、フィールドデバイス変数にマッピングされた１つ以上のプロセス変数を含む（例えば、構成システム８０を介して）。より広義には、「デバイス変数」が特定のデバイスに関して考察される場合、これは一般に、特定のデバイスによって検出、計算、設定、更新などされる変数を指す。

ノード１８は、１つ以上の安全システム論理ソルバ５０、５２を含み、一方、ノード２０は、安全システム論理ソルバ５４および５６を含む。論理ソルバ５０～５６の各々は、メモリに記憶された安全論理モジュール５８を実行し、安全システムフィールドデバイス６０および６２に制御信号を提供し、かつ／または安全システムフィールドデバイス６０および６２から信号を受信するように通信接続されているプロセッサ５７を有するＩ／Ｏデバイスである。

一般的に言えば、本明細書で使用される「メモリ」または「メモリデバイス」という句は、コンピュータ可読媒体または媒体（「ＣＲＭ」）を含むシステムまたはデバイスを指す。「ＣＲＭ」は、情報（例えば、データ、コンピュータ可読命令、プログラムモジュール、アプリケーション、ルーチンなど）を配置、保持、または検索するための関連するコンピューティングシステムによってアクセス可能な媒体（複数可）を指す。「ＣＲＭ」は、本質的に非一時的である媒体を意味し、電波などの無形な一時的信号は指さないことに留意されたい。記載されているメモリのＣＲＭは、関連するコンピューティングシステム内に含まれるか、または関連するコンピューティングシステムと通信する、任意の技術、デバイス、またはデバイスグループに実装され得る。記載されているメモリのＣＲＭは、揮発性または不揮発性の媒体、およびリムーバブルまたは非リムーバブルの媒体を含むことができる。

いずれにしても、ノード１８および２０の各々は、リング型バス接続７４を介して互いに通信可能に結合されている少なくとも１つのメッセージ伝播デバイス（ＭＰＤ）７０または７２を含む。安全システム論理ソルバ５０～５６、安全システムフィールドデバイス６０および６２、ＭＰＤ７０および７２、ならびにバス７４は、一般に、図１の安全システム１４を構成する。

いくつかの実施形態では、安全システムフィールドデバイス６０および６２は、典型的なプロセス制御操作ではなく、安全システムの実装のために特別に設計されたフィールドデバイスであり得る。一方、いくつかの実施形態では、安全システムフィールドデバイス４０および６０は、典型的なプロセス制御システム（例えば、システム１２）で実施することができるフィールドデバイスであり得、例えば、プロセス制御システム１２と安全システム１４の両方におけるフィールドデバイスとして同時に機能し得る。しかしながら、そのような実施形態では、フィールドデバイスは、安全システムでの実装に通常必要とされる高度な基準を満たす必要がある可能性が高い（例えば、デバイスによって送信および受信されるデータの検証可能な整合性に対する要求の高まりに関して）。結果として、本明細書に開示される変数ごとのデータ整合性検証技術は、安全システム１４などの安全システムにおいて特に有用であり得る。

プロセスコントローラ２４および２６は、ほんの一例として、Ｅｍｅｒｓｏｎ Ｐｒｏｃｅｓｓ Ｍａｎａｇｅｍｅｎｔによって販売されているＤｅｌｔａＶ（商標）コントローラであり得、任意の他の所望のタイプのプロセスコントローラは、モジュールＩ／Ｏデバイス２８、３０および３２（コントローラ２４用）、Ｉ／Ｏデバイス３４および３６（コントローラ２６用）、およびフィールドデバイス４０および４２を使用するプロセス制御機能を提供するようにプログラムされる（一般に制御と称されるものを使用する）。特に、コントローラ２４および２６のそれぞれは、そこに記憶されているか、そうでなければそれに関連付けられた１つ以上のプロセス制御ルーチンを実装するか、または監視し、フィールドデバイス４０および４２ならびにワークステーション１４と通信して、任意の所望の方法でプロセス１０またはプロセス１０の一部を制御する。フィールドデバイス４０および４２は、センサ、バルブ、送信機、ポジショナなどの任意の所望のタイプのフィールドデバイスとすることができ、例えば、ほんの少し例を挙げれば、（フィールドデバイス４０について示されているような）ＨＡＲＴもしくは４～２０ｍａプロトコル、（フィールドデバイス４２について示されているような）Ｆｏｕｎｄａｔｉｏｎ Ｆｉｅｌｄｂｕｓプロトコルなどの任意のフィールドバスプロトコル、またはＣＡＮ、Ｐｒｏｆｉｂｕｓ、ＡＳインターフェースプロトコルを含む、任意の所望のオープン、専有、または他の通信またはプログラミングプロトコルに準拠することができる。同様に、Ｉ／Ｏデバイス２８～３６は、任意の適切な通信プロトコルを使用する任意の既知のタイプのプロセス制御Ｉ／Ｏデバイスであり得る。一般的に言えば、プロセスコントローラは、制御ルーチン（プロセスを制御するためのより大きな制御戦略の一部）を実装して、１つ以上のコントローラ出力値（つまり、コントローラによって送信されるコマンド）を判定し、１つ以上のプロセス入力（すなわち、コントローラのコマンドに応答する制御バルブの位置などの操作変数）を駆動して、コントローラ入力としてコントローラにおいて受信された１つ以上の測定されたプロセス入力（例えば、測定された温度、流量、圧力など）に基づいて、プロセス出力（つまり、温度、流量などの制御変数）を所望の値（つまり、設定点）にすることによって、制御されるプロセスの制御を実施する。

図１の安全論理ソルバ５０～５６は、プロセッサ５７と、フィールドデバイス６０および６２を使用して安全システム１４に関連する制御機能を提供するためにプロセッサ５７上で実行されるように適合された安全論理モジュールまたはルーチン５８を記憶するメモリとを含む任意の所望のタイプの安全システム制御デバイスであり得る。制御されたプロセスの安全な制御を実装するために論理ソルバによって実装される論理は、「安全スキーム」または「安全システムスキーム」と称され得る。安全スキームは、１つ以上のプロセス変数値（例えば、センサ測定値、診断指標など）の評価および安全スキームの論理に基づいて検出された１つ以上の安全でない状態に基づいて、フィールドデバイス４０、４２、６０、または６２の１つ以上を安全な状態に遷移させる（例えば、関連するバルブを作動させて安全な状態になるように駆動させる）ように命令することを伴い得る。安全な状態の性質は、一般に、問題のプロセスとフィールドデバイスの特定の性質に依存する。例えば、タンクがオーバーフローするリスクがある場合、論理ソルバは、バルブを閉じることによって安全な状態になるように入口バルブを駆動し得る（これにより、より多くの液体がタンクに入るのを防ぐ）。対照的に、論理ソルバは、出口バルブを開くことによって（それによって、タンクを排水することによって）安全な状態になるように出口バルブを駆動し得る。言い換えれば、この特定の例では、入口バルブの安全な状態は、０％開いている場合があり、出口バルブの安全な状態は、１００％開いている場合がある。

当然のことながら、安全フィールドデバイス６０および６２は、上記のものなどの任意の既知のまたは所望の通信プロトコルに適合するか、または使用する任意の所望のタイプのフィールドデバイスであり得る。特に、フィールドデバイス６０および６２は、別個の専用の安全関連制御システムによって従来制御されるタイプの安全関連フィールドデバイスであり得る。図１に示されるプロセスプラント１０では、安全フィールドデバイス６０は、ＨＡＲＴまたは４～２０ｍａプロトコルなどの専用またはポイントツーポイント通信プロトコルを使用するものとして示され、一方、安全フィールドデバイス６２は、Ｆｉｅｌｄｂｕｓプロトコルなどのバス通信プロトコルを使用するものとして示されている。しかしながら、前述のように、一実施形態では、安全フィールドデバイス６０および６２は、プロセス制御システム１２および安全システム１４の両方で展開および使用することができる典型的なフィールドデバイスであり得る。

共通のバックプレーン７６（コントローラ２４、２６、Ｉ／Ｏデバイス２８～３６、安全論理ソルバ５０～５６、ならびにＭＰＤ７０および７２を通る点線で示される）は、コントローラ２４および２６を、プロセス制御Ｉ／Ｏカード２８、３０および３２または３４および３６に、ならびに安全論理ソルバ５２および５４または５６および５８に、ならびにＭＰＤ７０または７２に接続するために、ノード１８および２０の各々において使用される。コントローラ２４および２６はまた、バス２２に通信可能に結合され、バス２２のバスアービトレータとして動作して、Ｉ／Ｏデバイス２８～３６、論理ソルバ５２～５６およびＭＰＤ７０および７２の各々が、バス２２を介したワークステーション１６のいずれかと通信することを可能にする。

理解されるように、ワークステーション１６の各々は、プロセッサ７７と、プロセッサ７８上で実行されるように適合された１つ以上の構成および／または表示アプリケーションを記憶するメモリ７８とを含む。

構成アプリケーション８０および表示アプリケーション８２は、ワークステーション１４のうちの１つに記憶されているものとして図１の分解図に示されている。しかしながら、所望される場合、これらのアプリケーションは、ワークステーション１４のうちの異なるものの内で、またはプロセスプラント１０に関連付けられた他のコンピュータ内で記憶および実行され得る。一般的に言えば、構成アプリケーション８０は、構成情報を構成エンジニアに提供し、構成エンジニアがプロセスプラント１０の一部または全部の要素を構成し、その構成を構成データベース２１に記憶することを可能にする。構成アプリケーション８０によって実行される構成活動の一部として、構成エンジニアは、プロセスコントローラ２４および２６のための制御ルーチンまたは制御モジュールを作成し得、安全論理ソルバ５０～５６のいずれかおよび全てのための安全論理モジュールを作成し得、これらの異なる制御および安全モジュールを、バス２２およびコントローラ２４および２６を介して、プロセスコントローラ２４および２６ならびに安全論理ソルバ５０～５６のうちの適切なものにダウンロードし得る。同様に、構成アプリケーション８０を使用して、他のプログラムおよび論理を作成し、Ｉ／Ｏデバイス２８～３６、フィールドデバイス４０、４２、６０および６２などのいずれかにダウンロードすることができる。

構成データベース８０は、プロセスプラントフロアまたはフィールド環境において実装されるように計画されているか、または望まれている様々なデバイスまたは構成要素、およびそれらの相互接続を具体的に識別または対処するデータおよび他の情報を記憶する構成データベースを含むか、またはそうでなければそれにアクセスすることができる。一例として、構成データベースは、フィールド環境にある構成要素のいくつかの論理的な識別子を記憶し、コントローラおよび他のデバイスが、論理的な識別子を介して構成要素およびに関連付けられた信号を参照できるようにする。例えば、所与のフィールドデバイスについて、構成データベースは、論理識別子を特定のハードウェアアドレスまたはＩ／Ｏチャネルにマッピングまたはバインドする情報を記憶することができる。ハードウェアアドレスは、特定のコントローラ、特定のコントローラに接続された特定のＩ／Ｏカード、または特定のＩ／Ｏカードをフィールドデバイスに接続するＩ／Ｏチャネルのための特定のアドレスを特定し得る。場合によっては、このマッピングまたはバインディングは、コントローラ、ユーザインターフェースデバイス、オペレータワークステーション、または任意の他の所望のデバイス（例えば、論理識別子を解く必要がある任意のデバイス）に記憶され得る。

論理識別子がハードウェアアドレスまたはＩ／Ｏチャネルに結合された後、識別子は、「割り当てられた」と見なされる。場合によっては、システム１０は、「割り当てられていない」論理識別子を含み、これらは、ソフトウェア要素（例えば、制御ルーチンまたは機能ブロック）が参照するが、結合を有していない識別子である。すなわち、論理識別子は、システム１０および構成データベースが、タグにバインドされていないハードウェアアドレスまたはＩ／Ｏチャネルを有していないときに「割り当てられていない」と見なされる。したがって、割り当てられていない論理識別子が制御ルーチンによって参照されると、プラント１０内の信号によって搬送される値が読み出されないことになり、コマンドがプラント１０内のフィールドデバイスを介して送信されないことになる。

そのような論理識別子の例としては、各々が、特定の計器、コントローラ、バルブ、または他の物理フィールドデバイス（例えば、フィールドデバイス６０Ａ）を表す、デバイスタグ（ＤＴ）と、各々が、特定のデバイスによって受信または生成され、典型的にはフィールドデバイスによって利用される特定のパラメータ（例えば、フィールドデバイス６０Ａがコントローラ５２から受信したコマンド、またはフィールドデバイス６０Ａがコントローラ５２に送信した測定値）に対応する特定の信号を表すデバイスシグナルタグ（ＤＳＴ）とがある。いくつかのデバイスでは、ＤＳＴは、デバイスのＤＴと、そのデバイスによって受信または生成された特定の信号の識別子、例えば、制御モジュールによって参照される特定のパラメータの識別子との組み合わせを含む。レガシーデバイスまたはダムデバイスのようないくつかのデバイスでは、ＤＴは、物理デバイスとデバイスによって生成された信号の両方を表す。一般的に言えば、デバイスの論理識別子は、デバイスを一意に識別するために、フィールド環境およびバックエンド環境の両方において、プロセスプラント１０によって使用される。ＤＴおよびＤＳＴは、「システムタグ」または「システム識別子」と称され得る。「システムタグ」で表される変数は、「システム変数」と称され得る。

場合によっては、１つ以上のスマートフィールドデバイス（例えば、フィールドデバイス４０、４２、６０、または６２のうちの１つ以上）も、スマートフィールドデバイス２２に固有の論理識別子を格納し得る。これらの論理識別子は、フィールドデバイスと、その関連信号を識別するためにプラント１０が利用するシステムタグとは、異なる場合があり、「ソース識別子」、「ソースタグ」と称され得る。ソースタグは、実装に応じて、前述の構成データベースに記憶される場合とそうでない場合がある。

一般的に言えば、本明細書で考察される「フィールドデバイス変数」は、記載されたフィールドデバイスに局所的な変数である。一例として、スマートフィールドデバイスは、スマートフィールドデバイスにローカルなフィールドデバイス変数を一意に識別するローカル「ソースタグ」を有し得る。所望される場合、スマートフィールドデバイスは、フィールドデバイス変数値を対応するコントローラに送信するように構成され得、次いで、受信値を、関心のあるソースタグにマッピングすることを意図したシステムタグにマッピングし得る。場合によっては、制御システム１０は、フィールドデバイスの１つ以上のソースタグがシステムタグにマッピングされないように構成され得る（したがって、表された変数は、関連するプロセス制御システムまたは安全システムに統合されず、考慮されない場合がある）。いくつかのソースタグは、それが表す変数がプロセス制御システムまたは安全システムの運用目標または安全目標にほとんど影響を与えない可能性があるため、プロセス制御システムまたは安全システムによって無視される場合がある。

表示アプリケーション８２は、プロセス制御システム１２および安全システム１４の状態に関する情報を含む、１つ以上の表示を、必要に応じて、別々のビューまたは同じビューのいずれかで、プロセス制御オペレータ、安全オペレータなどのユーザに提供するために使用することができる。例えば、表示アプリケーション８２は、アラームの指示を受信してオペレータに表示するアラーム表示アプリケーションであり得る。このようなアラームディスプレイは、プロセス制御システム１２と安全システム１４の両方からのアラームを受信し、プロセス制御システム１２と安全システム１４の両方からのアラームが、アラームディスプレイアプリケーションを実行するオペレータワークステーション１４に送信され、異なるデバイスからのアラームとして認識されるので、統合されたアラームディスプレイでアラームを受信し、表示することができる。同様に、オペレータは、プロセス制御アラームと同じ方法で、アラームバナーに表示される安全アラームを処理できる。例えば、オペレータまたはユーザは、アラーム表示を使用して安全アラームを確認し、安全アラームをオフにすることができ、これは、バス２２およびバックプレーン７６を介した通信を使用して、安全システム１４内の適切なプロセスコントローラ２４、２６にメッセージを送信し、安全アラームに関して対応するアクションを実行する。同様の方法で、他の表示アプリケーションは、システム１２および１４のうちの一方からの任意のデータが、プロセス制御システムのために伝統的に提供されるディスプレイまたはビューに統合することができるように、これらのシステムが同じタイプおよび種類のパラメータ、セキュリティおよび参照を使用するので、プロセス制御システム１２と安全システム１４の両方からの情報またはデータを表示し得る。

いずれの場合においても、アプリケーション８０および８２は、各プロセスコントローラ２４および２６に個別の構成および他の信号を送信し得、また、各安全システム論理ソルバ５０～５６からデータを受信し得る。これらの信号は、プロセスフィールドデバイス４０および４２の動作パラメータの制御に関連付けられたプロセスレベルのメッセージを含み得、安全関連フィールドデバイス６０および６２の動作パラメータの制御に関連付けられた安全レベルのメッセージを含み得る。安全論理ソルバ５０～５６は、プロセスレベルのメッセージと安全レベルのメッセージの両方を認識するようにプログラムされ得るが、安全論理ソルバ５０～５６は、２つのタイプのメッセージを区別することができ、プロセスレベルの構成信号によってプログラムされることも、影響を受けることもできない。一例では、プロセス制御システムデバイスに送信されるプログラミングメッセージは、安全システムデバイスによって認識され、それらの信号が安全システムデバイスをプログラムするために使用されるのを妨げる一定のフィールドまたはアドレスを含み得る。

所望される場合、安全論理ソルバ５０～５６は、プロセス制御Ｉ／Ｏカード２８～３６に使用されるハードウェアおよびソフトウェア設計と比較して、同じまたは異なるハードウェアまたはソフトウェア設計を採用し得る。しかしながら、プロセス制御システム１２内のデバイスおよび安全システム１４内のデバイスに代替技術を使用することで、共通の原因となるハードウェアまたはソフトウェアの故障を最小化または排除し得る。

さらに、論理ソルバ５０～５６を含む安全システムデバイスは、それによって実装される安全関連機能に無許可の変更が加えられる可能性を低減または排除するために、任意の所望の分離およびセキュリティ技術を採用し得る。例えば、安全論理ソルバ５０～５６および構成アプリケーション８０は、論理ソルバ５０～５６内の安全モジュールに変更を加えるために、特定の権限レベルを持つ人または特定のワークステーションにいる人を必要とする場合があり、この権限レベルまたは場所は、コントローラ２４および２６ならびにＩ／Ｏデバイス２８～３６によって実行されるプロセス制御機能に変更を加えるために必要な権限またはアクセスレベルまたは場所とは異なる。この場合、安全ソフトウェア内で指定された、または安全システム１４の変更を許可されたワークステーションに配置された人だけが、安全関連機能を変更する権限を有し、これにより、安全システム１４の動作に対する破損の可能性が最小限に抑えられる。理解されるように、そのようなセキュリティを実装するために、安全論理ソルバ５０～５６内のプロセッサは、受信メッセージを適切な形式およびセキュリティについて評価し、安全論理ソルバ５０～５６内で実行される安全レベル制御モジュール５８に加えられた変更に対してゲートキーパーとして動作する。

さらに、所望される場合、安全関連機能が論理ソルバ５０～５６内で有効化されると、適切なアクセス権なしにオペレータワークステーション１４を介して安全機能へのステータスの変更を行うことができず、これにより、プロセス制御システム１２に関連付けられた通信構造が、安全システム１４の初期化を提供するために使用され、安全システム１４の動作のランタイムレポートを提供するために使用されることを可能にするが、プロセス制御システム１２への変更が安全システム１４の動作に影響を与えることができないという意味で、プロセス制御システム１２を安全システム１４から依然として隔離することができる。

理解されるように、ノード１８および２０の各々でバックプレーン７６を使用することにより、安全論理ソルバ５０および５２と安全論理ソルバ５４および５６とが互いにローカルに通信して、これらのデバイスの各々が実装する安全機能を調整したり、データを互いに通信したり、または他の統合機能を実行したりすることができる。一方、ＭＰＤ７０および７２は、プラント１０の非常に異なる場所に配設された安全システム１４の部分が依然として互いに通信して、プロセスプラント１０の異なるノードで調整された安全動作を提供できるように動作する。特に、バス７４と組み合わせたＭＰＤ７０および７２は、プロセスプラント１０の異なるノード１８および２０に関連付けられた安全論理ソルバが通信可能に一緒にカスケードされ、割り当てられた優先度に応じてプロセスプラント１０内の安全関連機能のカスケードを可能にすることを可能にする。あるいは、プロセスプラント１０内の異なる場所にある２つ以上の安全関連機能は、プラント１０の別個の領域またはノード内の個々の安全フィールドデバイスへの専用ラインを実行する必要なしに、インターロックされるか、または相互接続され得る。言い換えれば、ＭＰＤ７０および７２ならびにバス７４の使用により、構成エンジニアは、プロセスプラント１０全体に自然に分散されているが、それらの異なる構成要素が通信可能に相互接続されて、異種の安全関連ハードウェアが必要に応じて相互に通信できる安全システム１４を設計し、構成することができる。この機能はまた、必要に応じて、または新しいプロセス制御ノードがプロセスプラント１０に追加されるときに、追加の安全論理ソルバを安全システム１４に追加することを可能にするという点で、安全システム１４のスケーラビリティを提供する。

Ｂ．フィールドデバイスおよびコントローラの例
図２は、図１に示すＩ／Ｏネットワーク１である場合、リンク１９９を介して通信可能に結合されたフィールドデバイス６０Ａおよびコントローラ５２（図１にも示す）の例示的な構成要素を示すブロック図であり、これらの各々は、受信デバイスが受信値の整合性を変数ごとに検証することができるような方法で、変数値を含むメッセージを送信および受信するように構成され得る。

特に明記しない限り、「通信リンク」または「リンク」は、２つ以上のノードを接続する経路または媒体である。リンクは、物理リンクまたは論理リンクとすることができる。物理リンクは、情報が転送されるインターフェースおよび／または媒体であり、本質的に有線であってもよくまたは無線であってもよい。物理リンクの例には、（ｉ）電気エネルギーを伝送するための導体または光を伝送するための光ファイバ接続を備えたケーブルなどの有線リンク、および（ｉｉ）電磁波の１つ以上の特性に加えられた変更を介して情報を伝える無線電磁信号などの無線リンクが含まれる。２つ以上のノード間の論理リンクは、基礎となる物理リンクまたは２つ以上のノードを接続する中間ノードの抽象概念を表す。例えば、２つ以上のノードは、論理リンクを介して論理的に連結され得る。論理リンクは、物理リンクおよび中間ノード（例えば、ルータ、スイッチ、または他のネットワーク機器）の任意の組み合わせを介して確立され得る。

示されるように、フィールドデバイス６０Ａは、回路のセット１０２、リンク１９９を介してフィールドデバイス６０Ａをコントローラ５２に結合するための通信インターフェース１０４、アクチュエータ１０６（例えば、バルブを作動させるためのもの）、および／またはセンサ（例えば、圧力、流量、タンクレベル、温度などのプロセス変数値を検出または測定するためのもの）を含む。回路のセット１０２は、メモリ１１１に結合されたプロセッサ１１３を含む。メモリ１１１は、プロセッサ１１３によって実行されると、フィールドデバイスに本明細書で説明される機能の１つ以上（例えば、図６および７を参照して説明されるもの）を実行させる論理または命令１２１を含み得る。具体的には、論理１２１は、データ整合性チェックを計算するためのデータ整合性式１３２およびアクチュエータ／センサ論理１３４を含み得る。メモリ１１１はまた、シード１２３およびデバイス変数１２５（フィールドデバイス６０Ａによって、センサ１０８を介して、またはプロセッサ１１３による計算を介して、検出される任意の好適な変数であり得る）を含み得る。

さらに、コントローラ５２は、回路のセット１５２と、（ｉ）リンク１９９を介してコントローラ５２をフィールドデバイス６０Ａに結合し、（ｉｉ）コントローラ５２を通信ネットワーク２２に結合するための通信インターフェース１５４とを含む。回路のセット１５２は、プロセッサ１６３およびメモリ１６１を含み、これは、プロセッサ１６３によって実行されると、コントローラ５２に本明細書で説明される機能の１つ以上（例えば、図６および７を参照して説明されるもの）を実行させる論理または命令１７１を含む。メモリ１５２は、フィールドデバイス６０Ａによって使用される同じデータ整合性式１３２および同じシード１２３を含み、コントローラ５２がフィールドデバイス６０Ａから受信した値のデータ整合性チェックを計算することを可能にする。コントローラ５２は、デバイス変数１２５に対応するか、またはそれにマップするプロセス変数１７５を含む。

動作中、フィールドデバイス６０Ａは、アクチュエータ１０６（例えば、コントローラ５２からのコマンドに応答してバルブを作動させる）および／またはセンサ１０８（例えば、センサ１０８を介してプロセス変数値を検出し、その値をコントローラ５２に送信する）に関して制御機能を実行するために論理１３４を実装する。さらに、フィールドデバイス６０Ａは、データ整合性式１３２を実装して、変数１２５の値およびシード１２３を式１３２に入力することによって、デバイス変数１２５のデータ整合性チェックを生成することができる。シード１２３は、フィールドデバイス１６０およびメッセージの意図された受信者（例えば、コントローラ５２）に知られている任意の比較的一意の情報であり得る。場合によっては、データ整合性チェックは、変数１２５が更新されるたびに更新されるシーケンスパラメータ、変数１２５のステータスを示す変数ステータスパラメータなどの追加の入力を使用して計算され得る。

メッセージを介してデバイス変数１２５の値をコントローラ５２に送信するとき、フィールドデバイス６０Ａは、コントローラ５２が受信値の整合性を検証することができるようにするための計算されたデータ整合性チェックを含み得る。一般的に言えば、コントローラ５２（または任意の所望の受信者）は、既知のシード１２３（コントローラ５２にも既知）および受信されたメッセージに含まれる値に基づいてデータ整合性チェックを再計算するように構成される。式１３２は、入力のいずれかを変更すると、異なるデータ整合性チェックが行われるように構成されている。したがって、変数１２５（または使用されている場合はシーケンスパラメータまたは変数ステータスパラメータ）の値が送信中に何らかの形で変更された場合、コントローラ５２によって計算されたデータ整合性チェックはメッセージで受信されたものとは異なり、したがって、入力のうちの１つ（例えば、変数１２５の値）が送信されたものと異なることがわかる。

一般に、コントローラ５２は、受信値の整合性を検証することに応答して、フィールドデバイス６０Ａから受信されたデバイス変数１２５の値でプロセス変数１７５を更新する。コントローラ５２によって計算されたデータ整合性チェックが受信データ整合性チェックと一致しない場合、コントローラ５２は、プロセス変数１７５を受信値で更新するのではなく、受信値を破棄する。実施形態に応じて、プロセス変数１７５は、ローカル変数またはシステム変数であり得る。さらに、コントローラ５２は、安全スキームの一部として機能を実装するための制御論理１８２を含み得る（例えば、危険な状態の検出に応答して１つ以上のフィールドデバイスを安全な状態にする）。特定の構成に応じて、制御論理１８２は、プロセス変数１７５の値を考慮し得る（したがって、デバイス変数１２５に依存し得る）。変数ごとのデータ整合性チェックに関する追加の詳細は、図６および７に示される方法を参照して以下に説明される。

所望される場合、フィールドデバイス６０Ａは、所望の数の変数値のうちのいずれに対してもデータ整合性チェックを計算および送信し得、所望される場合、単一の変数値について複数のデータ整合性チェックを送信し得る（例えば、各々が異なる受信者を対象とする場合）。さらに、任意の好適なプロセス制御デバイスは、式１３２などのデータ整合性式およびシード１２３などのシードを実装することによってデータ整合性の変数ごとの検証を可能にするメッセージで変数値を送信するように構成され得る。

ＩＩ．例示的なプロトコル
図３は、本明細書に記載のプロセス制御デバイスによって、受信デバイスが変数ごとに受信値の整合性を検証することを可能にする方法で、プロセス制御デバイスがデバイス変数値を送信および受信するために使用され得る例示的なプロトコルスタック３００の例示的な層を示す。

プロトコルスタック３００は、物理層３０３、データリンク層３０５、ネットワーク層３０７、トランスポート層３０９、およびアプリケーション層３１１の５つの層を含む。記載されているシステムによって使用されるプロトコルは、記載されているものに対する追加のまたは代替の層を含み得る。プロトコル３００の各層３０３～３１１は、ネットワーク上のノードがメッセージの内容を適切に理解するためにプロトコルデータユニット（ＰＤＵ）またはメッセージが従わなければならない一連の規則を有し得る。各層のＰＤＵには、ペイロードとメタデータ（例えば、ヘッダ、フッタ、プリアンブルなどに含まれる）が含まれる場合がある。一般的に言えば、ペイロードはＰＤＵのコンテンツまたはデータであり、メタデータは「データに関するデータ」である（例えば、フォーマット、シーケンス、タイミング、宛先アドレスおよび送信元アドレス、通信ハンドシェイクなど）。

一般的に言えば、各層３０３～３１１の各々は、インターネットプロトコルスイートに見られる任意の好適なプロトコル（例えば、ＴＣＰ、ＵＤＰ、ＩＰなど）、または、ＨＡＲＴ、ＨＡＲＴ－ＩＰ、ＷｉｒｅｌｅｓｓＨＡＲＴ、Ｅｔｈｅｒｎｅｔ／ＩＰ、Ｆｉｅｌｄｂｕｓ、ＣｏｎｔｒｏｌＮｅｔなどの典型的なプロセス制御通信プロトコルに見られる任意の好適なプロトコルまたは標準であってもよい。一実施形態では、本明細書で説明されるメッセージは、アプリケーション層３１１のＨＡＲＴプロトコルに準拠しており、標準的なＨＡＲＴコマンド、レスポンス、およびフォーマットが使用されている。一実施形態では、説明されたメッセージは、産業オートメーション用の機械間通信プロトコルであるＯｐｅｎ Ｐｌａｔｆｏｒｍ Ｃｏｍｍｕｎｉｃａｔｉｏｎｓ Ｕｎｉｔｅｄ Ａｒｃｈｉｔｅｃｔｕｒｅ（「ＯＰＣ ＵＡ」）など、他のプロトコルに準拠している場合がある。ＡＬＰＤＵは、任意の好適なＮＬＤＵを介して送信され得る。

ＩＩＩ．例示的なメッセージペイロード
図４および５は、例示的なメッセージペイロード４００および５００を示し、各々は、図３に示されるメッセージペイロード３５２の例を表し、各々は、受信デバイスが含まれる値の整合性を変数ごとに検証することができるように、対応するデータ整合性チェックを有する１つ以上の変数値を含む。図１に示されるプロセス制御デバイスのうちのいずれか１つ以上は、ペイロード４００および５００と同様の方法でフォーマットされたペイロードを含むメッセージを送信または受信するように構成され得る。

ペイロード４００は、メッセージ部分４０２～４１０を含む。一般的に言えば、変数部分４０２～４０６は、各々特定の変数に固有の「変数部分」であり、その特定の変数に対する値を搬送するように構成される。例えば、変数部分４０２は、デバイス変数値４１１（例えば、図２に示されるデバイス変数１２５の値）を含む。所望される場合、部分４０２は、変数に関連する他のデータを含み得る。

整合性部分４０８および４１０は、変数部分において搬送される値に対応するデータ整合性チェックを含む。部分４０８および４１０の各々は、データ整合性チェックが対応する変数部分を示すパラメータを含み得る。例えば、整合性部分４０８は、データ整合性チェック４２５と、データ整合性チェック４２１が対応するメッセージ部分を識別するパラメータ４２３とを含む。例えば、図２を参照すると、データ整合性チェック４２５は、値４１１およびシード１２３を入力として使用して、データ整合性式１３２を介して計算された値であり得る。部分パラメータ４２３は、部分４０８のチェック４２１が部分４０２（したがって値４１１）に対応することを示す値「４０２」（または部分４０２または値４１１を識別する任意の他の好適なＩＤ）を含み得る。

同様に、整合性部分４１０は、データ整合性チェック（図示せず）およびそれが対応する部分を示すパラメータを含み得る。例えば、整合性部分４１０は、変数部分４０６または変数部分４０２に対応し得る（例えば、値４１１が２つの異なる受信者によって受信されることを意図されるとき、部分４０８／４１０の各々は、異なる受信者に対応する。

図５に移ると、部分５０２～５１０は、図４に示される部分４０２～４１０に対応する。同様に、デバイス変数値５１４は、値４１１に対応し、データ整合性チェック５２５は、データ整合性チェック４２５に対応し、部分パラメータ５２３は、部分パラメータ４２３に対応する。

しかしながら、部分５０２～５１０は、ペイロード４００の部分４０２～４１０に必ずしも含まれない追加のデータを含む。例えば、変数部分５０２は、（ｉ）問題の変数に固有の値を含む（例えば、図２に示される変数１２５を一意に識別する）デバイス変数コード５１１、（ｉｉ）変数タイプ（例えば、プロセス変数、整合性変数など）に固有の値を含むデバイス変数分類５１２、（ｉｉｉ）問題の変数に対応するユニット（例えば、華氏、摂氏、ケルビンなど）に固有の値を含むデバイス変数ユニットコード５１３、（ｉｖ）値５１４のステータスを示す値を含むデバイス変数ステータス５１５（例えば、良好または信頼できる、不良または信頼できない、不明など）を含む。

さらに、整合性部分５０８は、データ整合性チェック５２５に関連するデータを含み得る。例えば、それは、（ｉ）問題のデータ整合性チェックに固有の値を含むデバイス変数コード５２１、（ｉｉ）変数タイプに固有の値を含むデバイス変数分類５２２（例えば、問題の変数がデータ整合性チェックであることを示す）、（ｉｉｉ）データ整合性チェック５２５が対応するメッセージ部分を識別する部分５２３、（ｉｖ）値５１４が更新されるたびに増分されるシーケンスパラメータ５２４、（ｖ）部分５０２（すなわち、関連する部分）および部分５０８に含まれる構成データの、ＣＲＣなどのデータ整合性チェック５２６、および（ｖｉ）データ整合性チェック５２５のステータスまたは信頼性を示すデバイス変数ステータスを含み得る。構成データのデータ整合性チェック５２６は、チェック５２５が意図された情報に対するものであることを保証することができる。例えば、構成がＤｅｇ ＣからＤｅｇ Ｆに変更された場合、または熱電対のタイプが変更された場合について考える。実施形態に応じて、この変化は、値５１４のチェック５２５によって捕捉されない場合がある。したがって、チェック５２６は、例えば、変数値４１１／５１４に関連付けられたメタデータへの変更をキャプチャすることができる。

ＩＶ．変数レベルでデータ整合性チェックを可能にするメッセージを送信するための例示的な方法
図６は、受信デバイスが変数ごとに受信値の整合性を検証することを可能にする方法で、変数値を含むメッセージを送信するための例示的な方法を示す。方法６００は、全体的または部分的に、図１および２に示されるものなどのいずれか１つ以上の好適なプロセス制御デバイス（例えば、コントローラ２４、２６、５０、５２、５４、もしくは５６、またはフィールドデバイス４０、４２、６０、もしくは６２）によって実施され得、方法６００を実行するように恒久的または半恒久的に構成された回路のセット（例えば、フィールドデバイス６０Ａの）を介して実装され得る。一実施形態では、方法６００は、メモリに格納され、方法６００の機能を実装するためにプロセッサによって実行可能である一組の命令またはルーチンによって具体化され得る。以下の考察は図１および２に示される構造を参照し得るが、方法６００は、本明細書に記載されているものなど、プロセス変数値および変数ごとのデータ整合性チェックを含むメッセージを送信するように構成された任意の好適なプロセス制御デバイスによって実装され得ることを理解されたい。

方法６００は、ステップ６０５で始まり、第１のプロセス制御デバイス（例えば、フィールドデバイス６０Ａ）は、デバイス変数に対する値を検出する。値は、センサ測定（例えば、流量、温度、圧力、粘度、レベル、光、音など）または計算によって検出することができる。計算によって検出値の例には、第１のプロセス制御デバイスの健全性や、それが作動させるデバイス（例えば、バルブ）や計測に使用するデバイス（例えば、センサ）に関連する診断パラメータが挙げられる。

ステップ６１０において、第１のプロセス制御デバイス（例えば、フィールドデバイス６０Ａ）は、改善されたデータ整合性が望まれる各検出値に対するデータ整合性チェックを計算する。データ整合性チェックは、巡回冗長検査（ＣＲＣ）、チェックサム、またはハッシュなど、データの整合性を検証するための任意の好適なエラー検出コードであり得る。

所望される場合、検出値のうちのいくつかは、対応するデータ整合性チェックを有しない場合がある。データ整合性チェックは、図１Ｂに示されるデータ整合性式１３２を介して計算され得る。一般的に言えば、データ整合性チェックを計算するために、第１のプロセス制御デバイスは、検出値およびシードを式１３２への入力として使用する。シードは、第１のプロセス制御デバイスおよび意図された受信デバイス（例えば、コントローラ５２）に知られている任意の好適なシードであり得る。一実施形態では、シードは、マスカレードの検出を可能にするのに十分に独特である。

例えば、シードは、フィールドデバイス６０Ａのためにプロセス制御システム１２および／または安全システム１４によって使用されるデバイスタグ、目的のコントローラ５２のデバイスタグ、フィールドデバイス６０Ａのシリアル番号、コントローラ５２のシリアル番号、フィールドデバイス６０Ａのハードウェアアドレス（例えば、ＭＡＣアドレス）、コントローラ５２のハードウェアアドレス、プロセス制御環境１０のサイトＩＤ、ランダムに生成された一意の値、またはそれらのいくつかの組み合わせであり得る。例示的な実施形態では、シードは、フィールドデバイス６０Ａのデバイスタグとフィールドデバイス６０Ａのシリアル番号との組み合わせである。

一実施形態では、第１のプロセス制御デバイスは、それぞれの値が更新されるたびに更新される検出値ごとのシーケンスパラメータを含む。所望される場合、このシーケンスパラメータは、データ整合性式の入力として使用され得る。

一実施形態では、第１のプロセス制御デバイスは、値の相対的な信頼性（例えば、良好、不良、不明など）を示す各検出値に対して変数ステータスを生成する。所望される場合、この変数ステータスは、データ整合性式の入力として使用され得る。

所望される場合、第１のプロセス制御デバイスは、検出値ごとに複数のデータ整合性チェックを計算し得る。これは、他の複数のプロセス制御デバイスが検出値を受信して、それに依存する場合に有用であり得る（例えば、メッセージにおいて搬送される検出値は、メッセージが最初の通信パスを介して１つのデバイスに到達するまでに破損している可能性があるが、第２の通信パスを介して別のデバイスで受信するときには破損していない可能性があるためである）。さらに、これは、データの第２の消費者に第２のシードが必要な場合に有用であり得る（例えば、セキュリティ上の理由でシードを共有したくない高レベルのシステム）。

ステップ６１５において、第１のプロセス制御デバイス（例えば、フィールドデバイス６０Ａ）は、各検出値および各対応するデータ整合性チェック（１つ存在すると仮定する）によりメッセージを符号化する。メッセージは、図４および５のメッセージ４００および５００のものなどのフォーマットに従って符号化され得る。メッセージは、データ整合性計算の計算に使用される各入力を含むように符号化され得る。したがって、変数値、変数のシーケンス番号、変数のステータス、およびシードに基づいて、データ整合性式が特定の変数に対して計算される実施形態では、メッセージは、所与の変数についての変数値、シーケンス番号、および変数ステータスを含み得る。

例えば、メッセージは、各々が異なる変数に対応する複数の部分を有するペイロードを含み得る（例えば、図４に示される部分４０２～４０６を参照されたい）。次いで、データ整合性チェックを有する各値について、メッセージは、データ整合性チェックに対応する追加の部分を含み得る（例えば、図４に示される部分４０８および４１０を参照されたい）。

説明のために、メッセージは、それぞれ、第１、第２、および第３の変数に対応する第１、第２、および第３の部分を含み得る。第１および第３の変数に対してデータ整合性チェックが望まれるが、（例えば）第２の変数に対しては望まれない場合、メッセージは、第１の変数に対するデータ整合性チェック（例えば、第４の部分）および第３の変数に対するデータ整合性チェック（例えば、第５の部分）を含む第４および第５の部分も含み得る。

メッセージは、整合性部分およびデータ整合性チェックが対応する変数値またはメッセージ部分を判定するための手段を含み得る。例えば、メッセージ内の各整合性部分は、対応する変数値を搬送する部分のメッセージ内の位置を示す「部分番号」パラメータを含み得る。説明のために、整合性部分４０８が部分４０２の変数値に対応する場合、パラメータ４２２は「４０２」に設定され得る。メッセージが単一の検出値に対する複数のデータ整合性チェックを含む場合、複数の整合性部分は、同じ変数値部分を識別する「部分番号」パラメータを含み得る。

いくつかの実施形態では、メッセージごとに最大８つの部分が予想され得、整合性部分の「部分番号」は、それが対応する変数部分を示すために０～７に設定され得る。所望される場合、変数部分および整合性部分は、図５を参照して考察したものなどの追加および／または代替情報で符号化され得る。

ステップ６２０において、第１のプロセス制御デバイス（例えば、フィールドデバイス６０Ａ）は、メッセージが第２のプロセス制御デバイス（例えば、コントローラ５０～５６または２４／２６のうちの１つ、フィールドデバイス４０／４２／６０／６２のうちの１つ、ワークステーション１６、ヒストリアンなど）によって受信可能であるように、メッセージを送信する。実施形態に応じて、第１のプロセス制御デバイスは、有線または無線リンクを介してメッセージを送信することができる。一般的に言えば、第２のプロセス制御デバイスは、プロセス制御環境（例えば、プラント１０）で制御されるプロセスのための制御スキームの一部として機能を実装するように構成されたデバイスである。制御スキームは、環境内の機器の安全な動作を維持する責任がある安全システムスキーム（例えば、安全システム１４を介して実施される）であり得る（例えば、不安定な状態またはそうでなければ潜在的に危険な状態の検出に応答して、環境内の１つ以上のプロセス制御デバイスを駆動する責任がある）。一実施形態では、制御スキームは、制御目的（例えば、エタノールなどの所望の製品または化学物質の生産、発電など）を達成するためにプロセスを制御するためのプロセス制御スキームまたは戦略（例えば、プロセス制御システム１２を介して実施される）である。安全システムスキームは、潜在的に危険な状態が発生したときにのみ介入する「パッシブ」システムとして特徴付けられ得るが、プロセス制御システムは通常、よりアクティブであり、プロセスの状態に継続的に反応し、所望の目的を達成するためにプロセスの様々な側面を目的の状態に駆動しようとする。

第１および第２のプロセス制御デバイスは、パブリッシュ／サブスクライブモデル（例えば、第１のデバイスが第２のデバイスからプロンプトを出さずに定期的にメッセージを送信する場合）を介してメッセージを送信および受信するように、または要求／応答メッセージに従ってメッセージを送信する（例えば、第１のデバイスが第２のデバイスからの要求に応答してメッセージを送信する）ように構成され得る。一実施形態では、第１および第２のプロセス制御デバイスは各々、必要に応じて、要求／応答モデルまたは公開／サブスクライブモデルのいずれかを実装するように構成可能である。

第１および第２のプロセス制御デバイスは、プロセス制御環境に実装され得る任意の好適なプロトコルに従ってメッセージを送信および受信するように構成され得るが、そのようなプロトコルは、本明細書に記載されている変数ごとのデータ整合性チェックに対応することができるか、または対応するように修正することができることが前提である。第１および第２のプロセス制御デバイスで利用できるプロトコルの例には、ＨＡＲＴ、ＨＡＲＴ－ＩＰ、ＷｉｒｅｌｅｓｓＨＡＲＴ、Ｐｒｏｆｉｂｕｓ、ＦＯＵＮＤＡＴＩＯＮ（商標）フィールドバス、Ｅｔｈｅｒｎｅｔ／ＩＰ、ＣｏｎｔｒｏｌＮｅｔ、ＤｅｖｉｃｅＮｅｔ、Ｍｏｄｂｕｓ、ＯＰＣ ＵＡなどがある。

場合によっては、方法６００は、スキャンサイクルに比例するレートで実施される（例えば、全てのスキャンサイクル、１つおきのスキャンサイクルなど）。一般的に、スキャンサイクルは全てのスキャン時間（１ミリ秒、１００ミリ秒、１秒などの任意の所望の時間）ごとに発生する。スキャンサイクルは、一般的に言えば、関連するコントローラが入力を収集し、制御アルゴリズムを実行し、それに応じて出力を更新するサイクルである。したがって、コントローラ５２が所与のスキャン時間中にスキャンサイクルを実施するように構成されている場合、フィールドデバイス６０Ａは、スキャン速度に等しい速度またはより速い速度で（例えば、スキャン時間に対する高調波周期）方法６００を実施するように構成され得る（例えば、それにより、最新のフィールドデバイス変数値をコントローラ５２に提供する）。

場合によっては、方法６００は、関連するフィールドデバイス変数（例えば、フィールドデバイス６０Ａが値を送信するように構成されている変数）において変化が検出されるたびに実施される。

所望される場合、方法６００は、変数ごとにデータの整合性の検証を可能にする方法で、変数値を含むメッセージを送信する目的で、任意の好適なデバイスによって実装され得る。例えば、場合によっては、コントローラ（例えば、論理ソルバ５０～５６またはプロセスコントローラ２４／２６）、ワークステーション（プロセス制御環境１０に対してリモートまたはローカル）、ヒストリアン、資産管理システム（ＡＭＳ）内のデバイス、ネットワークデバイス、またはプロセス制御環境に実装され得る他の任意の所望のデバイスは、変数ごとにデータの整合性の検証を可能にするメッセージを送信するための方法６００を実装することができ、結果として、任意のそのようなプロセス制御デバイスは、一実施形態では、フィールドデバイス６０Ａによって実行されるものとして上記の機能を実装することができる。同様に、第２のプロセス制御デバイス（すなわち、送信されたメッセージの受信者）は、これらのデバイスのいずれかであり得る。

Ｖ．変数レベルでデータ整合性チェックを可能にするメッセージを受信するための例示的な方法
図７は、受信値の整合性を変数ごとに検証することを可能にする方法で、変数値を含むメッセージを受信するための例示的な方法７００を示す。方法７００は、全体的または部分的に、図１および２に示されるものなどのいずれか１つ以上の好適なプロセス制御デバイス（例えば、コントローラ２４、２６、５０、５２、５４、もしくは５６、またはフィールドデバイス４０、４２、６０、もしくは６２）によって実施され得、方法７００を実行するように恒久的または半恒久的に構成された回路のセット（例えば、コントローラ５２）を介して実装され得る。一実施形態では、方法７００は、メモリに格納され、方法７００の機能を実装するためにプロセッサによって実行可能である一組の命令またはルーチンによって具体化され得る。以下の考察は、図１および２に示される構造を参照して方法７００を説明するが、方法６００は、本明細書に記載されているものなど、プロセス変数値および変数ごとのデータ整合性チェックを含むメッセージを受信するように構成された任意の好適なプロセス制御デバイスによって実装され得ることを理解されたい。

方法７００は、プロセス変数値および変数ごとのデータ整合性チェックを含む、第１のプロセス制御デバイスによって送信されるメッセージを処理するために実装され得る。具体的には、方法７００は、図１および２に示されるコントローラ５２などの第２のプロセス制御デバイスによって実施され得る。

この方法は、ステップ７０５で始まり、第２のプロセス制御デバイス（例えば、コントローラ５２）が、第１のプロセス制御デバイス（例えば、フィールドデバイス６０Ａ）からメッセージを受信する。場合によっては、第２のプロセス制御デバイスは、説明された技術と一致する方法でデータ整合性の変数ごとの検証を可能にする方法で、メッセージを送信するように構成された任意の好適なデバイス（フィールドデバイスまたはその他）からメッセージを受信することができる。メッセージは、有線または無線のリンクを介して受信され得る。

ステップ７１０において、第２のプロセス制御デバイス（例えば、コントローラ５２）は、受信したメッセージを復号化して、（ｉ）デバイス変数に対する候補値、および（ｉｉ）各候補値に対するデータ整合性チェックを識別する。場合によっては、メッセージは、データチェックが存在しない変数値を含み得る。すなわち、所望される場合、メッセージは、データ整合性チェックを有するフィールドデバイス値とデータ整合性チェックを有さないフィールドデバイス値との何らかの組み合わせを含み得る。

さらに、場合によっては、メッセージは、所与の候補値に対する複数のデータ整合性チェックを含み得る（例えば、各データ整合性チェックは、メッセージの異なる受信者を対象としている）。このような場合、第２のプロセス制御デバイスは、所与の候補値に対応するデータ整合性チェックを判定する必要がある。いくつかの実施形態では、第２のプロセス制御デバイスは、データ整合性チェックのうちの１つがそれに割り当てられていると想定するように事前構成されている（例えば、第２のプロセス制御デバイスに対するデータ整合性チェックは、メッセージの同じ相対位置または部分に常にあり得る）。いくつかの実施形態では、メッセージは、それが対応する受信デバイスを識別するためのデータ整合性チェックの各々のパラメータ（例えば、意図された受信デバイスのタグ、シリアル番号、一意の識別子、ＩＰアドレスなどを識別するデータ整合性チェックごとのパラメータ）を含む。

メッセージを復号化する際に、第２のプロセス制御デバイス（例えば、コントローラ５２）は、メッセージを分析して、メッセージのどの部分が変数部分（すなわち、デバイス変数値を搬送する部分）であり、どの部分が整合性部分（すなわち、デバイス変数値のデータ整合性チェックを搬送する部分）であるかを判定し得る。そのために、メッセージの各部分は、そのタイプを示すパラメータまたはフィールド（例えば、部分が変数部分であることを示すデバイス変数コード、整合性部分など）を含み得る。次いで、第２のプロセス制御デバイスは、整合性部分を分析して、整合性部分が対応する変数部分を判定する。これは、整合性部分が対応するメッセージ内の部分を示す、各整合性部分の「部分番号」パラメータの分析を伴い得る。

ステップ７１５において、第２のプロセス制御デバイス（例えば、コントローラ５２）は、候補値に対する第２のデータ整合性チェックを計算する。例えば、図２および４を参照すると、コントローラ５２は、部分４０２内の候補値４１１および部分４０８内の対応するデータ整合性チェック４２１を識別することができる。次いで、式１３２への入力として値４１１および所定のシードを使用して、第２のデータ整合性チェックを計算することができる。次いで、第２の整合性チェックを永続的または一時的に記憶し得る。同様に、第２のプロセス制御デバイスは、メッセージに含まれる他のデータ整合性チェックの各々について、第２のデータ整合性チェックを計算し得る。

ステップ７２０において、第２のプロセス制御デバイス（例えば、コントローラ５２）は、比較される所与の候補値に対する第１および第２のデータ整合性チェックを選択する。例えば、前の例に固執して、コントローラ５２は、値４１１および値４１１に対応するデータ整合性チェック４２１を選択し得る。

ステップ７２５において、第２のプロセス制御デバイス（例えば、コントローラ５２）は、第１および第２のデータ整合性チェックを比較する。例えば、値４１１の場合、コントローラ５２は、受信されたデータ整合性チェック４２１を、値４１１およびシードを入力として使用して、コントローラ５２によって計算されたデータ整合性チェックと比較し得る。データ整合性チェック４２１以降に値４１１が変更されていない場合、第１および第２のデータ整合性チェックは一致するはずである。値４１１が変更された場合（または、シーケンス番号を使用して整合性チェックを計算する実施形態ではシーケンス番号が変更された場合）、第１および第２の整合性チェックは一致しない。

ステップ７３０において、第２のプロセス制御デバイス（例えば、コントローラ５２）は、第１および第２のデータ整合性チェックが一致した場合（第１のデータ整合性チェックが計算されたときから候補値が変化していないことを示し、したがって、受信された候補値が、フィールドデバイス６０Ａが送信することを意図した検出値であることを示す）、ステップ７４０に進み、そうでない場合（値４１１がフィールドデバイス６０Ａによって送信された元の値と何らかの形で異なることを示す）、ステップ７３５に進む。

ステップ７３５において、データ整合性チェックの不一致が存在するという判定に応答して、第２のプロセス制御デバイス（例えば、コントローラ５２）は、第１および第２のデータ整合性チェックに対応する所与の候補値を破棄する。つまり、対応するプロセス変数を値４１１で更新せずに続行する。第２のプロセス制御デバイスおよびより大きな制御システムまたは安全システムは、問題の変数の値がメッセージを受信する前に持っていた値であるという仮定の下で動作を継続することができる。場合によっては、第２のプロセス制御デバイスは、不一致が存在することを検出したことに応答して（または特定の期間の経過、または特定の数のメッセージの経過の間に特定の数の不一致を受信したことに応答して）（例えば、ワークステーションを介して）アラームを生成することができる。場合によっては、第２のプロセス制御デバイスは、そのような状態で操作を進めるにはリスクが高すぎると判定し得、第１のフィールドデバイス（例えば、フィールドデバイス６０Ａ）に（例えば、バルブを開閉させることにより）安全な状態になるようにメッセージを送信し得る。

ステップ７４０において、データ整合性チェックの一致が存在するという判定に応答して、第２のプロセス制御デバイス（例えば、コントローラ５２）は、フィールドデバイス変数に対応するプロセス変数を候補値で更新する。

例えば、方法７００を実施する前に、バルブＣＶ００１は、２５％オープンの位置を有し得る。受信したメッセージでは、問題の変数はＣＶ００１のバルブ位置である可能性があり、メッセージの候補値は５０％オープンである可能性がある（バルブ位置が変更されたことを示す）。データ整合性の不一致の検出に応答して、コントローラ５２は、候補値を破棄し、例えば、バルブがまだ２５％オープンである、バルブの位置が不明であるなどの仮定の下で動作を継続することができる。

しかしながら、受信値の整合性を検証することに応答して、コントローラ５２は、バルブの位置を表すシステム変数を５０％に更新することができる。したがって、コントローラ５２、制御システム１２、および／または安全システム１４は、この更新された制御バルブ位置に基づいて動作する（例えば、制御ルーチンを実施する）ことができる。いくつかの実施形態では、更新されたプロセス変数は、制御システム１２および／または安全システム１４の構成要素によってアクセス可能なシステム変数である。いくつかの実施形態では、更新されたプロセス変数は、コントローラ５２におけるローカル変数である。

ステップ７４５において、第２のプロセス制御デバイス（例えば、コントローラ５２）は、受信したメッセージが、ステップ７２５および７３０でデータ整合性チェックが分析されていない追加の候補値を含むかどうかを判定する。追加の候補値がメッセージに存在する場合、コントローラはステップ７２０に進み、そうでなければ、ステップ７５０に進む。例えば、図４を参照すると、コントローラ５２は、メッセージ４００の変数部分４０６が整合性部分（例えば、部分４０８）も有することを判定し得る。結果として、コントローラ５２は、ステップ７２０に進み、変数部分４０６に含まれる値の整合性を分析し得る。

ステップ７５０において、第２のプロセス制御デバイス（例えば、コントローラ５２）は、受信したメッセージの分析を終了し、次のタスク（例えば、将来のスキャン中に受信された新しいメッセージの処理）に進む。

場合によっては、コントローラ５２（または方法７００を実装する任意の他のデバイス）は、所定のスキャン期間または時間の開始時にスキャンサイクルを実装するように構成される。そのような場合、方法６００は、コントローラ５２によってスキャンサイクルごとに実施される。方法６００は、メッセージを受信し、変数ごとに含まれる変数値の整合性を検証するように構成された任意の好適なデバイスによって実装され得ることに留意されたい。例えば、場合によっては、スマートフィールドデバイスは、方法６００を実装し得る。

さらに、図６を参照して考察されるように、第１および第２のプロセス制御デバイスは、サブスクライブ／パブリッシュモデル（例えば、第１のデバイスが第２のデバイスからプロンプトを出さずに定期的にメッセージを送信する場合）を介してメッセージを送信および受信するように、または要求／応答メッセージに従ってメッセージを送信する（例えば、第１のデバイスが第２のデバイスからの要求に応答してメッセージを送信する）ように構成され得る。一実施形態では、第１および第２のプロセス制御デバイスは各々、必要に応じて、要求／応答モデルまたは公開／サブスクライブモデルのいずれかを実装するように構成可能である。さらに、図６を参照して述べたように、第１および第２のプロセス制御デバイスは、プロセス制御環境に実装され得る任意の好適なプロトコルに従ってメッセージを送信および受信するように構成され得るが、そのようなプロトコルは、本明細書に記載されている変数ごとのデータ整合性チェックに対応することができるか、または対応するように修正することができることが前提である。

ＶＩ．追加の検討事項
一実施形態では、単一のメッセージ部分（ＳＬＯＴと呼ばれることもある）の残余誤差を計算することができる。実施形態に応じて、以下の仮定が使用され得る（しかし必ずしもそうではない）。通信用のデータパスがシールド付きツイストペアを使用するという制限は、最悪の場合のビット誤り率を１０－４に制限する。０ｘ９ｅｂ２ １６ビットＣＲＣ（ＣＲＣ－１６－ＤＮＰ）多項式は、１３５ビット（または１６バイト）未満のメッセージのハミング距離が６である。ハミング距離を超えるビットエラーでさえ、結果への寄与はごくわずかである（奇数エラーが検出される）。データワードは６バイト－４８ビット（フロート＋ステータス＋シーケンス番号）、コードワードは８バイト－６４ビット（データワード＋２バイトＣＲＣ）、６４ビットコードワードでの６ビットエラーの確率は、所与のＢＥＲで７．４５４０８－１７である。これらの仮定の下で、０ｘ９ｅｂ２ １６ビットＣＲＣ多項式の場合、データワードサイズに対して２０５１の６ビットエラーが発生する可能性がある。このような仮定の下では、検出されない６ビットエラーの確率は２．８３２１４－２４である。転送速度を４０Ｈｚとすると、ＰＦＨは４．０７８２８－１９に等しくなり得る。

いくつかの実施形態では、説明されたシステムの実装は、安全なネットワーク接続と、ユーザベースまたは役割ベースの承認の両方を含み得る。例えば、ＨＡＲＴ－ＩＰは、ＴＬＳおよびＤＴＬＳを使用した安全な接続の確立をサポートしている。「ユーザ」はコントローラまたは安全アプリケーションである可能性があるため、役割ベースの承認が望ましい場合がある。いくつかの実施形態では、説明されたシステムは、ユーザ／役割ベースの承認なしで実装され得る。

ディスクリートプロセス制御要素（例えば、ディスクリートデバイス、ディスクリート通信チャネル、ディスクリート信号、など）を管理し、制御システム５内のディスクリート要素をスマートコミッショニングするための様々な態様、装置、システム、コンポーネント、デバイス、方法、および技法を以下に説明する。

ソフトウェアに実装される場合、本明細書に記載されるアプリケーション、サービス、およびエンジンはいずれも、コンピュータもしくはプロセッサのＲＡＭもしくはＲＯＭなどにおける磁気ディスク、レーザディスク、固体メモリデバイス、分子メモリ記憶デバイス、または他の記憶媒体などの、任意の有形の非一時的コンピュータ可読メモリに記憶され得る。本明細書に開示される例示的なシステムは、他の構成要素の中でも、ハードウェア上で実行されるソフトウェアまたはファームウェアを含むように開示されているが、そのようなシステムは単に例示的であるに過ぎず、限定的であると見なされるべきではないことに留意されたい。例えば、これらのハードウェア、ソフトウェア、およびファームウェア構成要素のうちのいずれかまたは全てが、ハードウェアにのみ、ソフトウェアにのみ、またはハードウェアおよびソフトウェアの任意の組み合わせで、具体化され得ることが企図される。したがって、本明細書に記載される例示的なシステムは、１つ以上のコンピュータデバイスのプロセッサで実行されるソフトウェアに実装されるものとして記載されているが、提供される例がかかるシステムを実装する唯一の方式ではないことを、当業者は容易に認識するであろう。

方法６００および７００を具体的に参照すると、説明された機能は、図１および２に示されるシステム１０のデバイス、回路、またはルーチンによって、全体的または部分的に実装され得る。説明された方法の各々は、各々の方法の論理機能を実行するように恒久的または半恒久的に構成されて（例えば、ＡＳＩＣまたはＦＰＧＡ）それぞれの方法の論理機能を実行する回路のセット、または少なくとも一時的に構成されて（例えば、１つ以上のプロセッサ、および論理機能を表し、メモリに保存されたセット命令またはルーチン）それぞれの方法の論理機能を実行する回路のセットによって具体化され得る。

本明細書を通して、複数の事例は、単一の事例として記載された構成要素、動作、または構造を実装することができる。１つ以上の方法の個々の動作が別個の動作として図示および記載されたが、個々の動作のうちの１つ以上が、特定の実施形態において同時に実行され得る。

本明細書に使用される際、「一実施形態」または「実施形態」に対する任意の参照は、実施形態と併せて説明された特定の要素、特徴、構造または特性が、少なくとも１つの実施形態に含まれることを意味する。本明細書の様々な場所における「一実施形態において」という句の出現は、必ずしも全てが同一の実施形態を参照しているとは限らない。

本明細書に使用される際、「備える（ｃｏｍｐｒｉｓｅｓ）」、「備える（ｃｏｍｐｒｉｓｉｎｇ）」、「含む（ｉｎｃｌｕｄｅｓ）」、「含む）ｉｎｃｌｕｄｉｎｇ）」、「有する（ｈａｓ）」、「有する（ｈａｖｉｎｇ）」という用語、またはそれらの任意の他の変形は、非排他的な包含を網羅することを意図する。例えば、要素のリストを含むプロセス、方法、物品、または装置は、必ずしもそれらの要素のみに限定されるものではなく、明示的に列挙されていないか、またはかかるプロセス、方法、物品もしくは装置に固有の他の要素を含むことができる。さらに、正反対に明示的に述べられない限り、「または」は、排他的なまたはではなく、包括的なまたはを指す。例えば、条件ＡまたはＢは、Ａが真（または存在）且つＢが偽（または存在しない）、Ａが偽（または存在しない）且つＢが真（または存在する）、ならびにＡおよびＢの双方が真である（または存在する）のうちのいずれか１つによって満たされる。

さらに、「システムが少なくとも１つのＸ、Ｙ、またはＺを含む」という句は、システムがＸ、Ｙ、Ｚ、またはそれらの何らかの組み合わせを含むことを意味する。同様に、「コンポーネントがＸ、Ｙ、またはＺのために構成される」という句は、コンポーネントがＸのために構成される、Ｙのために構成される、Ｚのために構成される、またはＸ、Ｙ、およびＺの何らかの組み合わせのために構成されることを意味する。

加えて、「ａ」または「ａｎ」の使用は、本明細書の実施形態の要素および構成要素を説明するために用いられる。この説明、およびそれに続く特許請求の範囲は、１つまたは少なくとも１つを含むように読まれるべきである。単数形はまた、それが複数形を含まないことが明らかでない限り、複数形も含む。

様々な実施形態において、本明細書に説明されるハードウェアシステムは、機械的にまたは電子的に実装され得る。例えば、ハードウェアシステムは、恒久的に構成された専用回路または論理を含み得る（例えば、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）または特定用途向け集積回路（ＡＳＩＣ）などの専用プロセッサとして）。ハードウェアシステムはまた、特定の動作を実施するためにソフトウェアによって一時的に構成されるプログラマブル論理または回路（例えば、汎用プロセッサまたは他のプログラマブルプロセッサ内に包含されるもの）も含み得る。専用かつ恒久的に構成された回路において、または一時的に構成された回路（例えば、ソフトウェアによって構成された）においてハードウェアシステムを機械的に実装する決定は、コストおよび時間を考慮してなされ得ることが理解されよう。

Claims (34)

1. 値の整合性を変数ごとに検証することができるように、デバイス変数に対する前記値を含むメッセージを送信するための方法であって、
   プロセスを制御するためのプロセス制御環境内の第１のプロセス制御デバイスによって、デバイス変数に対する検出値を検出することと、
   前記プロセス制御デバイスにより、前記検出値およびシードを入力として使用して、データ整合性計算を実行することにより、第１のデータ整合性チェックを計算することと、
   前記検出値および前記検出値に対する前記第１のデータ整合性チェックを含むように、メッセージを符号化することと、
   （ｉ）前記メッセージを受信することと、（ｉｉ）前記デバイス変数に対する前記メッセージ内の候補値に対する第２のデータ整合性チェックを計算することと、（ｉｉｉ）第２のプロセス制御デバイスにおいて、前記第１および第２のデータ整合性チェックが一致するかどうかに基づいて、前記候補値で前記デバイス変数にマップされたプロセス変数を更新する、または更新しないことと、（ｉｖ）前記プロセス変数に従って、前記プロセスのための制御スキームの一部として機能を実装することと、を行うように構成された前記第２のプロセス制御デバイスによって受信可能であるように、前記メッセージを送信することと、を含む、方法。
2. 前記第２のプロセス制御デバイスは、フィールドデバイスである、請求項１に記載の方法。
3. 前記第２のプロセス制御デバイスは、コントローラである、請求項１に記載の方法。
4. 前記コントローラ、安全システムのための論理ソルバであり、前記制御スキームは、前記論理ソルバに結合された１つ以上のフィールドデバイスをいつ安全な状態に駆動するかを判定するための安全システムスキームである、請求項３に記載の方法。
5. 前記コントローラは、前記プロセスを制御するように構成されたプロセス制御システムのためのプロセスコントローラであり、前記制御スキームは、前記プロセス制御システムのためのプロセス制御スキームである、請求項３に記載の方法。
6. 前記第１のプロセス制御デバイスは、フィールドデバイスであり、前記デバイス変数は、フィールドデバイス変数である、請求項１に記載の方法。
7. 前記第１のプロセス制御デバイスは、コントローラである、請求項１に記載の方法。
8. 前記メッセージは、各々がデータ整合性チェックを有する複数の検出値を含むように符号化され、前記方法は、
   第２のデバイス変数に対する第２の検出値を検出することと、
   前記第２の検出値および前記シードを入力として使用して、前記データ整合性計算を実行することにより、第３のデータ整合性チェックを計算することと、をさらに含み、
   前記メッセージを符号化することは、前記第２の検出値と、前記第２の検出値に対する前記第２のデータ整合性チェックと、を含むように、前記メッセージを符号化することをさらに含み、
   前記第２のプロセス制御デバイスは、
   （ｉ）前記第２のデバイス変数に対する前記メッセージ内の第２の候補値に対する第４のデータ整合性チェックを計算することと、
   （ｉｉ）前記第２のプロセス制御デバイスにおいて、前記第３および第４のデータ整合性チェックが一致するかどうかに基づいて、前記第２の候補値で前記第２のデバイス変数にマップされた第２のプロセス変数を更新する、または更新しないことと、
   （ｉｉｉ）前記第２のプロセス変数に従って、前記プロセスのための制御スキームの一部として機能を実装することと、を行うようにさらに構成されている、請求項１に記載の方法。
9. 前記メッセージを前記符号化することは、前記メッセージが複数のメッセージ部分を含むように、前記メッセージを符号化することを含み、前記複数のメッセージ部分は、
   第１のメッセージ部分が、前記第１の検出値を含み、
   第２のメッセージ部分が、前記第２の検出値を含み、
   第３のメッセージ部分が、前記第１のデータ整合性チェックと、前記複数のメッセージ部分のどれに前記第１のデータ整合性チェックが対応するかを示すパラメータと、を含み、
   第４のメッセージ部分が、前記第３のデータ整合性チェックと、前記複数のメッセージ部分のどれに前記第３のデータ整合性チェックが対応するかを示すパラメータと、を含むことを含む、請求項８に記載の方法。
10. 前記デバイス変数に対する更新を示すためにシーケンスパラメータをインクリメントすることであって、前記シーケンスパラメータは、前記デバイス変数が更新されるたびに更新されるように構成されている、インクリメントすることをさらに含み、
    前記第１のデータ整合性チェックを計算することは、前記データ整合性計算のための前記入力のうちの１つとして、前記シーケンスパラメータを使用することをさらに含み、
    前記メッセージを符号化することは、前記シーケンスパラメータを含むように、前記メッセージを符号化することをさらに含む、請求項１に記載の方法。
11. 前記デバイス変数に対する変数ステータスを検出することをさらに含み、
    前記第１のデータ整合性チェックを計算することは、前記データ整合性計算のための前記入力のうちの１つとして、前記変数ステータスを使用することをさらに含み、
    前記メッセージを符号化することは、前記変数ステータスを含むように、前記メッセージを符号化することをさらに含む、請求項１０に記載の方法。
12. 前記第１のプロセス制御デバイスは、前記メッセージを受信する第３のプロセス制御デバイスが、第３のデータ整合性チェックを介して、前記検出値の前記整合性を検証することができるように、前記検出値に対する前記第３のデータ整合性チェックを計算するように構成されており、前記方法は、
    前記第１のプロセス制御デバイスによって、前記検出値および第２のシードを入力として使用して、前記データ整合性計算を実行することによって、前記第３のデータ整合性チェックを計算することをさらに含み、
    前記メッセージを符号化することは、前記検出値に対する前記第３のデータ整合性チェックを含むように、前記メッセージを符号化することをさらに含み、
    前記メッセージを送信することは、前記第３のプロセス制御デバイスによって受信可能であるように、前記メッセージを送信することを含み、前記第３のプロセス制御デバイスは、（ｉ）前記メッセージを受信することと、（ｉｉ）前記メッセージ内の前記候補値に対する第４のデータ整合性チェックを計算することと、（ｉｉｉ）前記第３のプロセス制御デバイスにおいて、前記第３および第４のデータ整合性チェックが一致するかどうかに基づいて、前記候補値で前記デバイス変数にマップされたプロセス変数を更新する、または更新しないことと、を行うように構成されている、請求項１に記載の方法。
13. 前記シードは、前記第１のプロセス制御デバイスのシリアル番号と前記第１のプロセス制御デバイスのタグとを組み合わせることによって形成される値であり、前記タグは、前記第１のプロセス制御デバイスが前記プロセス制御環境内の１つ以上の他のデバイスによってアドレス指定可能である識別子である、請求項１に記載の方法。
14. 前記パラメータレベルで認証することができるプロセス変数に対する値を含むメッセージを送信するためのシステムであって、前記システムは、
    プロセスを制御するためのプロセス制御環境の入力／出力（Ｉ／Ｏ）ネットワーク内の１つ以上の他のプロセス制御デバイスに通信可能に結合されるように構成された第１のプロセス制御デバイスを含み、前記第１のプロセス制御デバイスは、
    （Ａ）前記フィールドデバイスを前記１つ以上のコントローラに結合するように構成された通信インターフェースと、
    （Ｂ）回路のセットであって、前記通信インターフェースに通信可能に結合されており、かつ
    デバイス変数に対する検出値を検出することと、
    前記検出値およびシードを入力として使用して、データ整合性計算を実行することにより、第１のデータ整合性チェックを計算することと、
    前記検出値および前記検出値に対する前記第１のデータ整合性チェックを含むように、メッセージを符号化することと、
    前記通信インターフェースを介して、（ｉ）前記メッセージを受信することと、（ｉｉ）前記デバイス変数に対する前記メッセージ内の候補値に対する第２のデータ整合性チェックを計算することと、（ｉｉｉ）第２のプロセス制御デバイスにおいて、前記第１および第２のデータ整合性チェックが一致するかどうかに基づいて、前記候補値で前記デバイス変数にマップされたプロセス変数を更新する、または更新しないことと、（ｉｖ）前記プロセス変数に従って、前記プロセスのための制御スキームの一部として機能を実装することと、を行うように構成された前記第２のプロセス制御デバイスに前記メッセージを送信することと、を行うように構成されている、回路のセットと、を含む、システム。
15. 前記第２のプロセス制御デバイスは、コントローラである、請求項１４に記載のシステム。
16. 前記第１のプロセス制御デバイスは、フィールドデバイスであり、前記デバイス変数は、フィールドデバイス変数である、請求項１４に記載のシステム。
17. 前記メッセージは、各々がデータ整合性チェックを有する複数の検出値を含むように符号化され、前記回路のセットは、
    第２のデバイス変数に対する第２の検出値を検出することと、
    前記第２の検出値および前記シードを入力として使用して、前記データ整合性計算を実行することにより、第３のデータ整合性チェックを計算することと、を行うようにさらに構成されており、
    前記メッセージを符号化することは、前記第２の検出値と、前記第２の検出値に対する前記第２のデータ整合性チェックと、を含むように、前記メッセージを符号化することをさらに含み、
    前記第２のプロセス制御デバイスは、
    （ｉ）前記第２のデバイス変数に対する前記メッセージ内の第２の候補値に対する第４のデータ整合性チェックを計算することと、
    （ｉｉ）前記第２のプロセス制御デバイスにおいて、前記第３および第４のデータ整合性チェックが一致するかどうかに基づいて、前記第２の候補値で前記第２のデバイス変数にマップされた第２のプロセス変数を更新する、または更新しないことと、
    （ｉｉｉ）前記第２のプロセス変数に従って、前記プロセスのための制御スキームの一部として機能を実装することと、を行うようにさらに構成されている、請求項１４に記載のシステム。
18. 前記回路のセットは、前記メッセージが複数のメッセージ部分を含むように、前記メッセージを符号化するようにさらに構成されており、前記複数のメッセージ部分は、
    第１のメッセージ部分が、前記第１の検出値を含み、
    第２のメッセージ部分が、前記第２の検出値を含み、
    第３のメッセージ部分が、前記第１のデータ整合性チェックと、前記複数のメッセージ部分のどれに前記第１のデータ整合性チェックが対応するかを示すパラメータと、を含み、
    第４のメッセージ部分が、前記第３のデータ整合性チェックと、前記複数のメッセージ部分のどれに前記第３のデータ整合性チェックが対応するかを示すパラメータと、を含むことを含む、請求項１７に記載のシステム。
19. 前記回路のセットは、
    前記デバイス変数に対する更新を示すためにシーケンスパラメータをインクリメントすることであって、前記シーケンスパラメータは、前記デバイス変数が更新されるたびに更新されるように構成されている、インクリメントすることをさらに含み、
    前記第１のデータ整合性チェックを計算することは、前記データ整合性計算のための前記入力のうちの１つとして、前記シーケンスパラメータを使用することをさらに含み、
    前記メッセージを符号化することは、前記シーケンスパラメータを含むように、前記メッセージを符号化することをさらに含む、請求項１４に記載のシステム。
20. 前記回路のセットは、
    前記デバイス変数に対する変数ステータスを検出するようにさらに構成されており、
    前記第１のデータ整合性チェックを計算することは、前記データ整合性計算のための前記入力のうちの１つとして、前記変数ステータスを使用することをさらに含み、
    前記メッセージを符号化することは、前記変数ステータスを含むように、前記メッセージを符号化することをさらに含む、請求項１９に記載のシステム。
21. 前記回路のセットは、前記メッセージを受信する第３のプロセス制御デバイスが第３のデータ整合性チェックを受信するように、前記メッセージの異なる受信者に対する前記検出値に対する複数のデータ整合性チェックを計算するように構成されており、前記回路のセットは、
    前記検出値および第２のシードを入力として使用して、前記データ整合性計算を実行することにより、第３のデータ整合性チェックを計算するように構成されており、
    前記メッセージを符号化することは、前記検出値に対する前記第３のデータ整合性チェックを含むように、前記メッセージを符号化することをさらに含み、
    前記メッセージを送信することは、前記第３のプロセス制御デバイスによって受信可能であるように、前記メッセージを送信することを含み、前記第３のプロセス制御デバイスは、（ｉ）前記メッセージを受信することと、（ｉｉ）前記メッセージ内の前記候補値に対する第４のデータ整合性チェックを計算することと、（ｉｉｉ）前記第３のプロセス制御デバイスにおいて、前記第３および第４のデータ整合性チェックが一致するかどうかに基づいて、前記候補値で前記デバイス変数にマップされたプロセス変数を更新する、または更新しないことと、を行うように構成されている、請求項１４に記載のシステム。
22. 前記シードは、前記第１のプロセス制御デバイスのシリアル番号と前記第１のプロセス制御デバイスのタグとを組み合わせることによって形成される値であり、前記タグは、前記第１のプロセス制御デバイスが前記プロセス制御環境内の１つ以上の他のデバイスによってアドレス指定可能である識別子である、請求項１４に記載のシステム。
23. プロセス制御デバイスからのメッセージに含まれるデバイス変数値の整合性を検証するための方法であって、
    プロセスを制御するためのプロセス制御環境内の第２のプロセス制御デバイスにおいて、第１のプロセス制御デバイスによって送信されたメッセージを受信することと、
    前記メッセージを復号化して、前記メッセージ内で、（ｉ）デバイス変数に対する候補値、および（ｉｉ）前記デバイス変数に対する第１のデータ整合性チェックを識別することと、
    前記候補値およびシードを入力として使用して、第２のデータ整合性計算を実行することにより、第２のデータ整合性チェックを計算することと、
    前記第２のデータ整合性チェックを前記第１のデータ整合性チェックと比較して、前記第２のデータ整合性チェックが前記第１のデータ整合性チェックと一致するかどうかを判定し、それによって、前記候補値が前記第１のデータ整合性チェックの計算に使用された検出値と一致するかどうかを判定することと、
    前記デバイス変数にマップされたプロセス変数が前の値を維持するように、前記候補値を破棄することにより、前記第２のデータ整合性チェックが前記第１のデータ整合性チェックと一致しないという判定に応答することと、
    前記第２のプロセス制御デバイスにおいて、前記候補値で前記プロセス変数を更新することにより、前記第２のデータ整合性チェックが前記第１のデータ整合性チェックと一致するという判定に応答することと、
    前記プロセス変数に従って、前記プロセスのための制御スキームの一部として機能を実装することと、を含む、方法。
24. 前記第２のプロセス制御デバイスは、コントローラである、請求項２３に記載の方法。
25. 前記コントローラ、安全システムのための論理ソルバであり、前記制御スキームは、前記論理ソルバに結合された１つ以上のフィールドデバイスをいつ安全な状態に駆動するかを判定するための安全システムスキームである、請求項２４に記載の方法。
26. デバイス変数は、第１のデバイス変数であり、前記メッセージを前記復号化することは、前記メッセージを復号化して、前記メッセージ内で、
    前記第１のデバイス変数に対する前記候補値を含む、第１のメッセージ部分と、
    第２のデバイス変数に対する候補値を含む、第２のメッセージ部分と、
    （ｉ）前記第１のデータ整合性チェック、および（ｉｉ）前記複数のメッセージ部分のどれに前記第１のデータ整合性チェックが対応するかを示すパラメータを含む、第３のメッセージ部分と、
    （ｉ）前記第２のデバイス変数に対する前記候補値に対する第３のデータ整合性チェック、および（ｉｉ）前記複数のメッセージ部分のどれに前記第３のデータ整合性チェックが対応するかを示すパラメータを含む、第４のメッセージ部分と、を識別することを含む、請求項２３に記載の方法。
27. 前記メッセージを復号化することは、
    前記デバイス変数が更新されるたびに更新されるように構成されたシーケンスパラメータを識別することをさらに含み、
    前記第２のデータ整合性チェックを計算することは、前記データ整合性計算のための前記入力のうちの１つとして、前記シーケンスパラメータを使用することをさらに含む、請求項２３に記載の方法。
28. 前記シードは、前記第１のプロセス制御デバイスのシリアル番号を含む値である、請求項２３に記載の方法。
29. プロセス制御デバイスからのメッセージに含まれるデバイス変数値の前記整合性を検証するためのシステムであって、
    プロセス制御環境において第１のプロセス制御デバイスに通信可能に結合されるように構成された第２のプロセス制御デバイスを含み、前記第２のプロセス制御デバイスは、
    （Ａ）前記第２のプロセス制御デバイスを前記第１のプロセス制御デバイスに通信可能に結合するように構成された通信インターフェースと、
    （Ｂ）回路のセットであって、前記通信インターフェースに通信可能に結合されており、かつ
    前記通信インターフェースを介して、前記第１のプロセス制御デバイスによって送信されたメッセージを受信することと、
    前記メッセージを復号化して、前記メッセージ内で、（ｉ）デバイス変数に対する候補値、および（ｉｉ）前記デバイス変数に対する第１のデータ整合性チェックを識別することと、
    前記候補値およびシードを入力として使用して、第２のデータ整合性計算を実行することにより、第２のデータ整合性チェックを計算することと、
    前記第２のデータ整合性チェックを前記第１のデータ整合性チェックと比較して、前記第２のデータ整合性チェックが前記第１のデータ整合性チェックと一致するかどうかを判定し、それによって、前記候補値が前記第１のデータ整合性チェックの計算に使用された検出値と一致するかどうかを判定することと、
    前記デバイス変数にマップされたプロセス変数が前の値を維持するように、前記候補値を破棄することにより、前記第２のデータ整合性チェックが前記第１のデータ整合性チェックと一致しないという判定に応答することと、
    前記候補値で前記プロセス変数を更新することにより、前記第２のデータ整合性チェックが前記第１のデータ整合性チェックと一致するという判定に応答することと、
    前記プロセス変数に従って、前記プロセスのための制御スキームの一部として機能を実装することと、を行うように構成されている、回路のセットと、を含むシステム。
30. 前記第２のプロセス制御デバイスは、コントローラである、請求項２９に記載のシステム。
31. 前記コントローラは、前記プロセスを制御するように構成されたプロセス制御システムのためのプロセスコントローラであり、前記制御スキームは、前記プロセス制御システムのためのプロセス制御スキームである、請求項３０に記載のシステム。
32. デバイス変数は、第１のデバイス変数であり、前記メッセージを前記復号化することは、前記メッセージを復号化して、前記メッセージ内で、
    前記第１のデバイス変数に対する前記候補値を含む、第１のメッセージ部分と、
    第２のデバイス変数に対する候補値を含む、第２のメッセージ部分と、
    （ｉ）前記第１のデータ整合性チェック、および（ｉｉ）前記複数のメッセージ部分のどれに前記第１のデータ整合性チェックが対応するかを示すパラメータを含む、第３のメッセージ部分と、
    （ｉ）前記第２のデバイス変数に対する前記候補値に対する第３のデータ整合性チェック、および（ｉｉ）前記複数のメッセージ部分のどれに前記第３のデータ整合性チェックが対応するかを示すパラメータを含む、第４のメッセージ部分と、を識別することを含む、請求項２９に記載のシステム。
33. 前記回路のセットは、
    前記デバイス変数が更新されるたびに更新されるように構成されたシーケンスパラメータを識別するようにさらに構成されており、
    前記第２のデータ整合性チェックを計算することは、前記データ整合性計算のための前記入力のうちの１つとして、前記シーケンスパラメータを使用することをさらに含む、請求項２９に記載のシステム。
34. 前記シードは、前記第１のプロセス制御デバイスのシリアル番号を含む値である、請求項２９に記載のシステム。
    

Images