特許 7542300 長距離安全システムトリップ

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2024-08-22

(45)【発行日】2024-08-30

(54)【発明の名称】長距離安全システムトリップ

(51)【国際特許分類】

   G05B 23/02 20060101AFI20240823BHJP

【ＦＩ】

G05B23/02 Z

【請求項の数】 28

【外国語出願】

(21)【出願番号】P 2019052882

(22)【出願日】2019-03-20

(65)【公開番号】P2019192222

(43)【公開日】2019-10-31

【審査請求日】2022-03-15

(31)【優先権主張番号】15/926,665

(32)【優先日】2018-03-20

(33)【優先権主張国・地域又は機関】US

(73)【特許権者】

【識別番号】512132022

【氏名又は名称】フィッシャー－ローズマウント システムズ，インコーポレイテッド

(74)【代理人】

【識別番号】110002860

【氏名又は名称】弁理士法人秀和特許事務所

(72)【発明者】

【氏名】ゲーリー ケー． ロウ

(72)【発明者】

【氏名】ゴッドフリー アール． シェリフ

【審査官】岩▲崎▼ 優

(56)【参考文献】

【文献】特開２００８－１０２９２４（ＪＰ，Ａ）

【文献】特開２００２－２０２８０９（ＪＰ，Ａ）

【文献】特表２００５－５０１３２３（ＪＰ，Ａ）

【文献】米国特許出願公開第２０１０／０００４７６１（ＵＳ，Ａ１）

【文献】特開２００４－２４６８８８（ＪＰ，Ａ）

【文献】特開２０１１－１００４４３（ＪＰ，Ａ）

【文献】特開２０１４－１０９８５７（ＪＰ，Ａ）

【文献】特開２００４－２１３４１９（ＪＰ，Ａ）

【文献】特表２００８－５３９６７９（ＪＰ，Ａ）

【文献】米国特許第０５３１１５６２（ＵＳ，Ａ）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０５Ｂ ２３／００－２３／０２

(57)【特許請求の範囲】

【請求項1】

プロセス制御システムを有する長距離プロセスプラントで使用するための安全計装システムであって、
前記安全計装システムの第１の部分内に配置され、前記プロセス制御システムの第１の組の１つ以上のプロセス制御装置と動作可能に通信する第１の組の１つ以上の安全論理ソルバに通信可能に接続された安全データ集約器であって、
前記プロセス制御システムは、前記安全計装システムによってサービスを提供され、
前記プロセス制御システムの前記１つ以上のプロセス制御装置は、１つ以上の物理的機能を遂行し、それによって前記長距離プロセスプラントで実行される工業プロセスを制御し、
前記安全データ集約器は、
前記第１の組の１つ以上の安全論理ソルバによって生成された複数の安全メッセージを単一の集約安全メッセージであって、前記複数の安全メッセージのそれぞれの長さの合計よりも短い全長を有する、単一の集約安全メッセージ、に結合することと、
前記単一の集約安全メッセージを前記安全計装システムの第２の部分へ長距離リンクを介して送信することと、を行うように構成された、安全データ集約器と、
前記安全計装システムの前記第２の部分内に配置され、前記プロセス制御システムの第２の組の１つ以上のプロセス制御装置と動作可能に通信する第２の組の１つ以上の安全論理ソルバに通信可能に接続された安全データ集約解除器であって、前記安全データ集約解除器は、前記長距離リンクを介して前記単一の集約安全メッセージを受信し、前記単一の集約安全メッセージから前記複数の安全メッセージを回復し、前記回復された複数の安全メッセージを前記第２の組の１つ以上の安全論理ソルバに通信する、安全データ集約解除器と、を備える、安全計装システム。

【請求項2】

前記第１の組の１つ以上のプロセス制御装置は、前記安全計装システムの前記第１の部分によってサービスを提供される前記プロセス制御システムの第１の部分内に配置され、前記第２の組の１つ以上のプロセス制御装置は、前記安全計装システムの前記第２の部分によってサービスを提供される前記プロセス制御システムの第２の部分内に配置されている、請求項１に記載の安全計装システム。

【請求項3】

前記安全データ集約解除器は、
前記回復された複数の安全メッセージに示された１つ以上の安全状態、
閾値論理比較器の出力であって、前記閾値論理比較器は、第１の１つ以上の回復された安全メッセージを示す第１の組の信号に適用され、前記閾値論理比較器は、前記安全データ集約解除器に含まれる第１の内部論理ソルバである、出力、
投票論理比較器の出力であって、前記投票論理比較器は、第２の１つ以上の回復された安全メッセージを示す第２の組の信号に適用され、前記投票論理比較器は、前記安全データ集約解除器に含まれる第２の内部論理ソルバである、出力、
前記安全データ集約解除器に含まれ、第３の１つ以上の回復された安全メッセージを示す第３の組の信号に対して動作する１つ以上の他の内部論理ソルバのそれぞれの出力、
前記回復された複数の安全メッセージ中の特定の安全メッセージの有無、または
少なくとも１つの回復された安全メッセージの内容、のうちの１つ以上に基づいて、前記回復された複数の安全メッセージを、前記第２の組の１つ以上の安全論理ソルバに通信するように構成されている、請求項１または２に記載の安全計装システム。

【請求項4】

前記安全データ集約器は、
前記単一の集約安全メッセージの送信予定時刻、
前記複数の安全メッセージに示された１つ以上の安全状態、
閾値論理比較器の出力であって、前記閾値論理比較器は、前記複数の安全メッセージに含まれる第１の１つ以上の安全メッセージを示す第１の組の信号に適用され、前記閾値論理比較器は前記安全データ集約器に含まれる第１の内部論理ソルバである、出力、
投票評価器の出力であって、前記投票評価器は、前記複数の安全メッセージに含まれる第２の１つ以上の安全メッセージを示す第２の組の信号に適用され、前記投票評価器は前記安全データ集約器に含まれる第２の内部論理ソルバである、出力、
前記安全データ集約器に含まれ、前記複数の安全メッセージに含まれる第３の１つ以上の安全メッセージを示す第３の組の信号に対して動作する１つ以上の他の内部論理ソルバのそれぞれの出力、
前記複数の安全メッセージ中の特定の安全メッセージの有無、または
前記複数の安全メッセージに含まれる少なくとも１つの安全メッセージの内容、のうちの少なくとも１つに基づいて、前記複数の安全メッセージを前記単一の集約安全メッセージに結合するように構成されている、請求項１から３のいずれか一項に記載の安全計装システム。

【請求項5】

前記安全データ集約器は、
前記単一の集約安全メッセージの送信予定時刻、
前記複数の安全メッセージに示された１つ以上の安全状態、
閾値論理比較器の出力であって、前記閾値論理比較器は、前記複数の安全メッセージに含まれる第１の１つ以上の安全メッセージを示す第１の組の信号に適用され、前記閾値論理比較器は前記安全データ集約器に含まれる第１の内部論理ソルバである、出力、
投票評価器の出力であって、前記投票評価器は、前記複数の安全メッセージに含まれる第２の１つ以上の安全メッセージを示す第２の組の信号に適用され、前記投票評価器は前記安全データ集約器に含まれる第２の内部論理ソルバである、出力、
前記安全データ集約器に含まれ、前記複数の安全メッセージに含まれる第３の１つ以上の安全メッセージを示す第３の組の信号に対して動作する１つ以上の他の内部論理ソルバのそれぞれの出力、
前記複数の安全メッセージ中の特定の安全メッセージの有無、または
前記複数の安全メッセージに含まれる少なくとも１つの安全メッセージの内容、のうちの１つ以上に基づいて、前記単一の集約安全メッセージを送信するように構成されている、請求項１から４のいずれか一項に記載の安全計装システム。

【請求項6】

第２のリンクであって、前記第２のリンクを介して前記安全計装システムの２つ以上の部分間で安全メッセージが送信される、第２のリンクをさらに含み、
前記長距離リンクは、前記第２のリンクの帯域幅よりも小さい帯域幅を有し、
前記安全計装システムの前記第１の部分と前記安全計装システムの前記第２の部分との間の地理的距離は、前記第２のリンクによってサポートされている前記安全計装システムの任意の２つの部分間の地理的距離よりも長い、請求項１から５のいずれか一項に記載の安全計装システム。

【請求項7】

前記長距離リンクは、光ファイバリンク、海底ケーブル、長距離無線リンク、有線通信リンク上にオーバーレイされているかもしくはそれによってサポートされている通信リンク、または高帯域幅のリンクに含まれる低帯域幅の仮想リンクである、請求項１から６のいずれか一項に記載の安全計装システム。

【請求項8】

前記１つ以上の論理ソルバは、前記１つ以上のプロセス制御装置から特定のフォーマットの信号を取得し、前記１つ以上の論理ソルバによって生成される前記複数の安全メッセージは、前記特定のフォーマットのものであり、前記安全データ集約器によって取得される、請求項１から７のいずれか一項に記載の安全計装システム。

【請求項9】

前記特定のフォーマットは、前記プロセス制御システムのＩ／Ｏレベルで実装されている、請求項８に記載の安全計装システム。

【請求項10】

長距離プロセスプラントのプロセス制御システムにサービスを提供する安全計装システムにおいて使用するための方法であって、
前記安全計装システムの第１の部分に配置され、前記長距離プロセスプラントの前記プロセス制御システムの第１の組の１つ以上のプロセス制御装置と動作可能に通信する第１の組の１つ以上の安全論理ソルバに通信可能に接続された安全データ集約器で、前記第１の組の１つ以上の安全論理ソルバによって生成された複数の安全メッセージを受信することと、
前記安全データ集約器によって、前記複数の安全メッセージを単一の集約安全メッセージであって、前記複数の安全メッセージの個々の長さの合計よりも短い全長を有する、単一の集約安全メッセージ、に結合することと、
前記安全データ集約器によって、前記安全計装システムの第２の部分への長距離リンクを介して、前記単一の集約安全メッセージを、前記安全計装システムの前記第２の部分内に配置され、前記プロセス制御システムの第２の組の１つ以上のプロセス制御装置と動作可能に通信する第２の組の１つ以上の安全論理ソルバに通信可能に接続された安全データ集約解除器に送信することと、を含み、
前記安全データ集約解除器は、前記第２の組の安全論理ソルバへの通信のために、前記単一の集約安全メッセージから前記複数の安全メッセージを回復するように構成され、
前記第１の組の１つ以上のプロセス制御装置および前記第２の組の１つ以上のプロセス制御装置は、１つ以上の物理的機能を遂行し、それによって前記長距離プロセスプラントで実行される工業プロセスを制御する、方法。

【請求項11】

前記単一の集約安全メッセージを送信することは、
前記単一の集約安全メッセージの送信予定時刻、
前記複数の安全メッセージ中の少なくとも１つによって示された１つ以上の安全状態、
閾値論理比較器の出力であって、前記閾値論理比較器は、前記複数の安全メッセージに含まれる第１の１つ以上の安全メッセージを示す第１の組の信号に適用され、前記閾値論理比較器は前記安全データ集約器に含まれる第１の内部論理ソルバである、出力、
投票評価器の出力であって、前記投票評価器は、前記複数の安全メッセージに含まれる第２の１つ以上の安全メッセージを示す第２の組の信号に適用され、前記投票評価器は前
記安全データ集約器に含まれる第２の内部論理ソルバである、出力、
前記安全データ集約器に含まれ、前記複数の安全メッセージに含まれる第３の１つ以上の安全メッセージを示す第３の組の信号に対して動作する１つ以上の他の内部論理ソルバのそれぞれの出力、
前記複数の安全メッセージ中の特定の安全メッセージの有無、または
前記複数の安全メッセージに含まれる少なくとも１つの安全メッセージの内容、のうちの１つ以上に基づいて、前記単一の集約安全メッセージを送信することをさらに含む、請求項１０に記載の方法。

【請求項12】

前記複数の安全メッセージを前記単一の集約安全メッセージに結合することは、前記第１の組の１つ以上の安全論理ソルバのうちの１つの特定の安全論理ソルバによって生成された複数の安全メッセージを前記単一の集約安全メッセージに結合することをさらに含む、請求項１０または１１に記載の方法。

【請求項13】

前記複数の安全メッセージを前記単一の集約安全メッセージに結合することは、前記第１の組の１つ以上の安全論理ソルバに含まれる複数の論理ソルバによって生成された安全メッセージを前記単一の集約安全メッセージに結合することをさらに含む、請求項１０から１２のいずれか一項に記載の方法。

【請求項14】

前記複数の安全メッセージを前記単一の集約安全メッセージに結合することは、複数の異なる種類の安全メッセージを前記単一の集約安全メッセージに結合することをさらに含む、請求項１０から１３のいずれか一項に記載の方法。

【請求項15】

前記安全計装システムの２つ以上の部分間の第２のリンクを介して他の安全メッセージを送信することをさらに含み、
前記長距離リンクは、前記第２のリンクの帯域幅よりも小さい帯域幅を有し、前記安全計装システムの前記第１の部分と前記安全計装システムの前記第２の部分との間の地理的距離は、前記第２のリンクによってサポートされている前記安全計装システムの任意の２つの部分間の地理的距離よりも長い、請求項１０から１４のいずれか一項に記載の方法。

【請求項16】

前記長距離リンクを介して前記単一の集約安全メッセージを前記安全データ集約解除器に送信することは、
前記単一の集約安全メッセージを、光ファイバリンク、海底ケーブル、長距離無線リンク、有線通信リンク上にオーバーレイされているかもしくはそれによってサポートされている通信リンク、または高帯域幅のリンクに含まれる低帯域幅の仮想リンクを介して前記安全データ集約解除器に送信することを含む、請求項１０から１５のいずれか一項に記載の方法。

【請求項17】

前記複数の安全メッセージを前記単一の集約安全メッセージに結合することは、
前記単一の集約安全メッセージの送信予定時刻、
前記複数の安全メッセージに含まれる少なくとも１つの安全メッセージによって示された１つ以上の安全状態、
閾値論理比較器の出力であって、前記閾値論理比較器は、前記複数の安全メッセージに含まれる第１の１つ以上の安全メッセージを示す第１の組の信号に適用され、前記閾値論理比較器は前記安全データ集約器に含まれる第１の内部論理ソルバである、出力、
投票評価器の出力であって、前記投票評価器は、前記複数の安全メッセージに含まれる第２の１つ以上の安全メッセージを示す第２の組の信号に適用され、前記投票評価器は前記安全データ集約器に含まれる第２の内部論理ソルバである、出力、
前記安全データ集約器に含まれ、前記複数の安全メッセージに含まれる第３の１つ以上の安全メッセージを示す第３の組の信号に対して動作する１つ以上の他の内部論理ソルバ
のそれぞれの出力、
前記複数の安全メッセージ中の特定の安全メッセージの有無、または
前記複数の安全メッセージに含まれる少なくとも１つの安全メッセージの内容、のうちの少なくとも１つに基づいて、前記複数の安全メッセージを前記単一の集約安全メッセージに結合することを含む、請求項１０から１６のいずれか一項に記載の方法。

【請求項18】

前記安全データ集約解除器は特定の安全データ集約解除器であり、
前記長距離リンクは特定の長距離リンクであり、
前記方法は、前記安全データ集約器によって、複数の長距離リンクを介して、前記単一の集約安全メッセージを、複数の安全データ集約解除器に送信することをさらに含み、前記複数の安全データ集約解除器は前記特定の安全データ集約解除器を含み、前記複数の長距離リンクは前記特定の長距離リンクを含む、請求項１７に記載の方法。

【請求項19】

前記単一の集約安全メッセージは特定の集約安全メッセージであり、前記方法は、前記安全データ集約器によって、前記長距離リンクを介して、複数の集約安全メッセージを前記安全データ集約解除器に送信することをさらに含み、前記複数の集約安全メッセージは前記特定の集約安全メッセージを含む、請求項１７または１８に記載の方法。

【請求項20】

前記単一の集約安全メッセージは特定の単一の集約安全メッセージであり、
前記安全データ集約解除器は特定の安全データ集約解除器であり、
前記長距離リンクは特定の長距離リンクであり、
前記方法は、前記安全データ集約器によって、複数の長距離リンクを介して、複数の集約安全メッセージを複数の安全データ集約解除器に送信することをさらに含み、前記複数の集約安全メッセージは前記特定の集約安全メッセージを含み、前記複数の安全データ集約解除器は前記特定の安全データ集約解除器を含み、前記複数の長距離リンクは前記特定の長距離リンクを含む、請求項１７から１９のいずれか一項に記載の方法。

【請求項21】

長距離プロセスプラントのプロセス制御システムにサービスを提供する安全計装システムにおいて使用するための方法であって、
安全データ集約解除器によって、前記安全計装システムの第１の部分からの長距離リンクを介して、前記安全計装システムの前記第１の部分内に配置され、前記プロセス制御システムの第１の組の１つ以上のプロセス制御装置と動作可能に通信する第１の組の１つ以上の安全論理ソルバに通信可能に接続された安全データ集約器によって送信された単一の集約安全メッセージを受信することであって、
前記安全データ集約器は、前記第１の組の１つ以上の安全論理ソルバによって生成された複数の安全メッセージを前記単一の集約安全メッセージに結合するように構成され、前記単一の集約安全メッセージは前記複数の安全メッセージの個々の長さの合計よりも短い全長を有し、
前記安全データ集約解除器は、前記安全計装システムの第２の部分内に配置され、前記プロセス制御システムの第２の組の１つ以上のプロセス制御装置と動作可能に通信する第２の組の１つ以上の安全論理ソルバに通信可能に接続され、
前記第１の組の１つ以上のプロセス制御装置および前記第２の組の１つ以上のプロセス制御装置は、１つ以上の物理的機能を遂行し、それによって前記長距離プロセスプラントで実行される工業プロセスを制御する、受信することと、
前記安全データ集約解除器によって、前記単一の集約安全メッセージから前記複数の安全メッセージを回復することと、
前記回復された複数の安全メッセージを前記第２の組の１つ以上の安全論理ソルバに通信することと、を含む、方法。

【請求項22】

前記複数の安全メッセージは、
前記単一の集約安全メッセージの送信予定時刻、
前記複数の安全メッセージに示された１つ以上の安全状態、
閾値論理比較器の出力であって、前記閾値論理比較器は、前記複数の安全メッセージに含まれる第１の１つ以上の安全メッセージを示す第１の組の信号に適用され、前記閾値論理比較器は前記安全データ集約器に含まれる第１の内部論理ソルバである、出力、
投票評価器の出力であって、前記投票評価器は、前記複数の安全メッセージに含まれる第２の１つ以上の安全メッセージを示す第２の組の信号に適用され、前記投票評価器は前記安全データ集約器に含まれる第２の内部論理ソルバである、出力、
前記安全データ集約器に含まれ、前記複数の安全メッセージに含まれる第３の１つ以上の安全メッセージを示す第３の組の信号に対して動作する１つ以上の他の内部論理ソルバのそれぞれの出力、
前記複数の安全メッセージ中の特定の安全メッセージの有無、または
前記複数の安全メッセージに含まれる少なくとも１つの安全メッセージの内容、のうちの少なくとも１つに基づいて、前記安全データ集約器によって結合されたかまたは送信されたかの少なくとも１つであった、請求項２１に記載の方法。

【請求項23】

前記安全計装システムの２つ以上の部分間の第２のリンクを介して送信された安全メッセージを受信することをさらに含み、
前記長距離リンクは、前記第２のリンクの帯域幅よりも小さい帯域幅を有し、前記安全計装システムの前記第１の部分と前記安全計装システムの前記第２の部分との間の地理的距離は、前記第２のリンクによってサポートされている前記安全計装システムの任意の２つの部分間の地理的距離よりも長い、請求項２１または２２に記載の方法。

【請求項24】

前記安全計装システムの前記第１の部分からの前記長距離リンクを介して安全データ集約器によって送信された前記単一の集約安全メッセージを受信することは、
光ファイバリンク、海底ケーブル、長距離無線リンク、有線通信リンクにオーバーレイされているかもしくはそれによってサポートされている通信リンク、または高帯域幅のリンクに含まれる低帯域幅の仮想リンクを介して前記安全データ集約器によって送信された前記単一の集約安全メッセージを受信することを含む、請求項２１から２３のいずれか一項に記載の方法。

【請求項25】

前記回復された複数の安全メッセージを前記第２の組の１つ以上の安全論理ソルバに通信することは、
前記回復された複数の安全メッセージに示された１つ以上の安全状態、
閾値論理比較器の出力であって、前記閾値論理比較器は、第１の１つ以上の回復された安全メッセージを示す第１の組の信号に適用され、前記閾値論理比較器は、前記安全データ集約解除器に含まれる第１の内部論理ソルバである、出力、
投票論理比較器の出力であって、前記投票論理比較器は、第２の１つ以上の回復された安全メッセージを示す第２の組の信号に適用され、前記投票論理比較器は、前記安全データ集約解除器に含まれる第２の内部論理ソルバである、出力、
前記安全データ集約解除器に含まれ、第３の１つ以上の回復された安全メッセージを示す第３の組の信号に対して動作する１つ以上の他の内部論理ソルバのそれぞれの出力、
前記回復された複数の安全メッセージ中の特定の安全メッセージの有無、または
少なくとも１つの回復された安全メッセージの内容、のうちの１つ以上に基づいて、前記回復された複数の安全メッセージの１つ以上を通信することを含む、請求項２１から２４のいずれか一項に記載の方法。

【請求項26】

前記長距離リンクは、前記安全計装システムの前記第１の部分と前記安全計装システムの前記第２の部分とを通信可能に接続する複数の長距離リンクに含まれる特定の長距離リンクであり、
前記方法は、
前記安全計装システムの前記第１の部分内に配置された１つ以上の追加の安全データ集約器によって送信された１つ以上の追加の集約安全メッセージを、前記複数の長距離リンクを介して受信することと、
前記１つ以上の追加の集約安全メッセージの各々からそれぞれの複数の安全メッセージを回復することと、
前記回復された安全メッセージの少なくともいくつかを前記第２の組の１つ以上の安全論理ソルバに通信することと、をさらに含む、請求項２１から２５のいずれか一項に記載の方法。

【請求項27】

閾値論理比較器の出力であって、前記閾値論理比較器は、前記１つ以上の追加の集約安全メッセージに対応する第１の組の信号に適用され、前記閾値論理比較器は、前記安全データ集約解除器に含まれる第１の内部論理ソルバである、出力、
投票論理評価器の出力であって、前記投票論理評価器は、前記１つ以上の追加の集約安全メッセージに対応する第２の組の信号に適用され、前記投票論理評価器は、前記安全データ集約解除器に含まれる第２の内部論理ソルバである、出力、または
前記安全データ集約解除器に含まれ、前記１つ以上の追加の集約安全メッセージに対応する第３の組の信号に対して動作する１つ以上の他の内部論理ソルバのそれぞれの出力、のうちの１つ以上に基づいて、前記第２の組の１つ以上の安全論理ソルバに通信されるべき前記回復された安全メッセージの前記少なくともいくつかを決定することをさらに含む、請求項２１から２６のいずれか一項に記載の方法。

【請求項28】

前記閾値論理比較器の前記出力、前記投票論理評価器の前記出力、または前記安全データ集約解除器の前記１つ以上の他の内部論理ソルバの前記それぞれの出力、のうちの１つ以上に基づいて追加の安全メッセージを生成することと、
前記追加の安全メッセージを、前記安全計装システムの前記第２の部分内に配置された１つ以上の受信側安全論理ソルバに通信することと、をさらに含む、請求項２７に記載の方法。

【発明の詳細な説明】

【技術分野】

【0001】

本開示は、一般に、プロセスプラント内で動作する安全計装システムの遠隔に位置する部分間で安全メッセージを伝送するためのシステムおよび方法に関する。

【背景技術】

【0002】

物理的物質または生産物を製造、精製、変形、生成、または生産するための、化学、石油、工業、または他のプロセスプラントにおいて使用されるものなどの分散型プロセス制御システム（「ＰＣＳ」）またはプロセス制御ネットワークは、典型的には、アナログバス、デジタルバス、またはアナログ／デジタル結合バスを介して、かつ／または１つ以上の優先および／もしくは無線通信リンクまたはネットワークを介して、１つ以上のフィールド装置と通信可能に連結されている、１つ以上のプロセス制御器、ならびに他の構成要素を含む。例えば、バルブ、バルブポジショナ、スイッチ、およびトランスミッタ（例えば、温度センサ、圧力センサ、レベルセンサ、および流量センサ）である場合があるフィールド装置は、プロセス環境（これは、本明細書ではプロセスプラントのプラント環境、フィールド環境、もしくはフロントエンド環境と交換可能に呼ぶ）内に位置し、一般に、バルブを開閉する、閉鎖、圧力、温度などのプロセスパラメータを測定するなどの物理的またはプロセス制御機能を遂行して、プロセスプラント内またはシステム内で実行される１つ以上の工業プロセスを制御する。周知のＦｉｅｌｄｂｕｓプロトコルに準拠するフィールド装置などのスマートフィールド装置はまた、制御計算、アラーム機能、およびプロセス制御器内で一般的に実装される他の制御機能を遂行し得る。プロセス制御器は、これもまた典型的にはプラント環境内に位置するが、フィールド装置によって行われたプロセス測定を示す信号および／またはフィールド装置に関する他の情報を受信し、例えば、プロセス制御決定を下し、受信された情報に基づき制御信号を生成し、ＨＡＲＴ（登録商標）、ＷｉｒｅｌｅｓｓＨＡＲＴ（登録商標）、およびＦＯＵＮＤＡＴＩＯＮ（登録商標）Ｆｉｅｌｄｂｕｓフィールド装置などのフィールド装置内で遂行される制御モジュールまたはブロックと連携する、異なる制御モジュールを実行するそれぞれの制御器アプリケーションを実行する。プロセス制御器内の制御モジュールは、通信リンクを通じてフィールド装置に制御信号を送付し、それによって、プロセスプラントまたはシステムの少なくとも一部分の動作を制御し、プラントまたはシステム内部で稼働または実行している１つ以上の工業プロセスの少なくとも一部分を、例えば、制御する。Ｉ／Ｏ装置は、これもまたプラント環境内に位置するが、典型的には制御器と１つ以上のフィールド装置との間に配置され、それらの間の通信を、例えば、電気信号をデジタル値に変換することによって可能にし、逆の場合も同様である。本明細書で使用する場合、「プロセス制御装置」という用語は、一般に、プロセス制御システムまたはプラントのフィールド環境に位置し、配置され、または設置されるフィールド装置、制御器、およびＩ／Ｏ装置を指す。

【0003】

またさらに、多くのプロセスまたは工業プラントでは、プロセス制御ネットワークは、プロセス制御システムおよび／またはプロセスプラント内の重大な安全関連状態、問題点、または問題を検出するように動作する安全計装システム（「ＳＩＳ」）に連結されている（例えば、時間の経過とともに振幅が増大する振動、予期される範囲外の値の流れ、プロセスの一部分が制御不能になること、有毒化学物質の漏れ、バルブ詰まりなどの深刻なハザードをもたらすかまたはもたらすおそれがある１つ以上の状態の発生）。安全計装システムは、プロセスプラント内のプロセス制御システムの少なくとも一部をサポートするかまたはそれにサービスを提供し、バルブの開閉、装置からの電力の除去、プラント内のフローの切り替え、１つ以上の装置の安全モードへのトリップもしくは移行、および／またはその他の予防もしくは緩和措置、などの予防または緩和措置を自動的にトリガするために、装置間および／またはプロセスプラントの部分間で安全メッセージを通信する。一
般的に言って、安全計装システムは、プロセスを制御するためにプラント内で動作しているプロセス制御制御器とは典型的には別個でありはっきりと異なる１つ以上の安全制御器を含む。ＳＩＳ制御器は、安全バス、通信線、リンク、有線ネットワーク、および／またはプロセスプラント内に設置された無線ネットワークを介して安全フィールド装置に通信可能に接続され得る１つ以上の安全システム論理ソルバを含んでもよく、いくつかの布置では、プロセス制御フィールド装置および制御器に通信可能に接続されてもよい。典型的には、ＳＩＳ制御器、装置、論理ソルバなどのＳＩＳ装置は、安全通信バス、リンク、ネットワークなどを介して、直接的なポイントツーポイント様式で、例えばプロセス制御システムのＩ／Ｏレベルで（例えば、プロセス制御システムに含まれるＩ／Ｏカードにより通信のために利用および／または実装されるメッセージフォーマットを使用することによって）または他の好適な通信レベルで互いに通信する。

【0004】

安全システム論理ソルバは、他の安全システム論理ソルバまたは制御器、安全フィールド装置、プロセス制御フィールド装置、および／またはプロセス制御制御器によって生成される、例えば特定のパラメータの値（複数可）、特定の安全スイッチまたはシャットダウンバルブの位置、プロセス内のオーバーフローまたはアンダーフロー、重要な発電装置または制御装置の動作、故障検出装置の動作などの様々な状態を示すそれぞれの入力信号を受信し処理するそれぞれの安全情報機能（ＳＩＦ）ルーチンを実行する。安全情報機能ルーチンは、そのそれぞれの論理に従って受信された入力に対して動作し、受信された入力の組み合わせがプロセスプラント内の安全に影響を与えるもしくは安全に関連する事象（例えば、「安全事象」）の発生またはその蓋然性を示すかどうかを判定する。安全事象は、例えば、プラントの１つの部分で発生する単一の状態、プラントの１つ以上の部分における２つ以上の状態の同時発生などによって検出または示され得る。一般的に言えば、必ずしもそうとは限らないが、複数の入力信号を受信し、ルーチン論理に従って入力を処理して出力を生成する際に安全機能ルーチンによって出力される「真」の信号は、安全事象の発生またはその重大な蓋然性を示す。安全事象の発生（またはその重大な蓋然性）が検出されると、安全制御器は、バルブを閉じるための制御信号の送付、装置の電源オフ、装置および／またはプラントの区画からの電力の除去など、事象の有害な性質を限定するための何らかの措置を講じる。例えば、安全制御器は、制御信号を送付して、他の装置または構成要素を強制的に、プロセスプラント内の深刻または危険な状態の影響を予防または緩和するように設計されたトリップ状態または「安全な」動作モードに移行させることができる。

【0005】

フィールド装置、プロセス制御器、および安全システム論理ソルバ（安全制御器とも呼ぶ）からの情報は、通常、１つ以上のデータハイウェイまたは通信ネットワークを通じて、オペレータワークステーション、パーソナルコンピュータもしくはユーザインターフェースを有する他の種類のコンピューティング装置、データヒストリアン、レポート生成器、中央集中型データベース、またはプロセス制御ネットワークに含まれ、典型的には制御室もしくはプラントのより過酷なフィールド環境から離れた他の位置、例えばプロセスプラントのバックエンド環境内に配設される他の中央集中型管理運営コンピューティング装置、などの１つ以上の他のハードウェア装置から利用可能にされ得る。これらのハードウェア装置の各々は、典型的には、プロセスプラントにわたって、またはプロセスプラントの一部分にわたって集中化される。これらのハードウェア装置は、プロセス制御ルーチンまたは安全ルーチンの設定の変更、プロセス制御器、安全システム制御器、フィールド装置内などの制御モジュールの動作の修正、プロセスの現在状態の閲覧、フィールド装置、プロセス制御器、または安全システム制御器によって生成されたアラームの閲覧、要員の訓練またはプロセス制御ソフトウェアの試験を目的としたプロセスの動作のシミュレーション、構成データベースの保守および更新などの、プロセスの制御および／またはプロセスプラントの動作に関する機能を制御または安全システムオペレータが遂行することを可能にするアプリケーションを実行する。ハードウェア装置、制御器、およびフィールド装
置によって利用されるデータハイウェイは、有線通信パス、無線通信パス、または有線および無線通信経路の組み合わせを含むことができる。典型的に、プロセス制御フィールド装置および制御器によって生成された制御情報を伝送するデータハイウェイ／通信ネットワークは、安全フィールド装置および制御器によって生成された安全情報を伝送するデータハイウェイ／通信ネットワークとは別個のまったく異なるものであり、制御データハイウェイおよび安全データハイウェイの少なくとも一部は、一体的でもよく、一般的に実装されてもよい。

【0006】

例として、Ｅｍｅｒｓｏｎ Ｐｒｏｃｅｓｓ Ｍａｎａｇｅｍｅｎｔによって販売されているＤｅｌｔａＶ（商標）プロセス制御システムは、プロセスプラント内の多様な場所に位置する異なる装置内に記憶され、それら異なる装置によって実行される複数のアプリケーションを含む。プロセス制御システムまたはプラントのバックエンド環境内の１つ以上のワークステーションまたはコンピューティング装置内に常駐する構成アプリケーションは、ユーザが、プロセス制御モジュールを作成または変更し、これらのプロセス制御モジュールをデータハイウェイを介して専用の分散型制御器へダウンロードすることを可能にする。典型的には、これらの制御モジュールは、通信可能に相互接続された機能ブロックから構成され、これらの機能ブロックは、それに対する入力に基づき制御スキーム内で機能を遂行し、出力を制御スキーム内の他の機能ブロックに提供するオブジェクト指向プログラミングプロトコル内のオブジェクトであってもよい。構成アプリケーションはまた、データをオペレータに対して表示するため、かつオペレータによるプロセス制御ルーチン内の設定点などの設定の変更を可能にするために閲覧アプリケーションが使用するオペレータインターフェースを、構成設計者が作成または変更することを可能にする。各専用制御器（プロセス制御器および安全システム制御器など）、ならびにいくつかの場合においては、１つ以上のフィールド装置は、実際のプロセス制御および／または安全システム機能を実装するために、それらに割り当てられてダウンロードされた制御モジュールを実行するそれぞれの制御器または安全アプリケーションを記憶および実行する。

【0007】

その上、オペレータワークステーション、オペレータワークステーションおよびデータハイウェイなどと通信可能に接続された１つ以上の遠隔コンピューティング装置などの、１つ以上のユーザインターフェース装置、または１つ以上のユーザインターフェース装置上で実行されるプラントディスプレイアプリケーションは、データハイウェイ（複数可）を介して制御器およびフィールド装置からデータを受信し、このデータをユーザインターフェース画面を介してプロセス制御システムの設計者、オペレータ、またはユーザに表示する。これらのユーザインターフェース装置またはアプリケーションは、オペレータのビュー、エンジニアのビュー、技術者のビューなど、プラント内の異なるユーザによって遂行される活動に合ったいくつかの異なるビューのうちの任意のものを提供する。その上、データヒストリアンアプリケーションが、典型的には、データハイウェイ（複数可）にわたって提供されたデータの一部または全部を収集および記憶するデータヒストリアン装置に記憶され、それによって遂行される一方、構成データベースアプリケーションが、現在のプロセス制御ルーチン構成およびそれに関連するデータを記憶するためにデータハイウェイ（複数可）に接続されたさらなるコンピュータで実行される。あるいは、構成データベースは、構成アプリケーションと同じワークステーション内に位置してもよい。

【0008】

長距離プロセスプラント構成（例えば、石油パイプライン、沖合プラットフォーム、遠隔坑口など）では、プロセス制御システムのフィールド環境の相互接続された部分は、互いから遠隔に所在または位置してもよい（例えば、互いから遠距離離れて、かつ／または物理的な妨害物、障壁、もしくは水、山、地下井戸などの障害物によって隔てられて）。例えば、プロセス制御システムの１つ以上の部分は、システムの残部から地理的に離間していてもよく、例えば、システムの残部が地上に位置する一方で地下に位置してもよく、システムの残部が陸上にある一方で水中に位置してもよく、システムの残部が都市内など
に所在する一方で何マイルも離れた砂漠に位置してもよい。しかしながら、プロセス制御システムの非常に遠隔な部分で生じる安全状態でさえ、場合によっては他の部分にあるプロセス制御システムの他の部分および／または全体としての安全性に影響を及ぼすおそれがあり、逆の場合も同様である。したがって、多くの場合、プロセス制御システムにサービスを提供する安全計装システムの離間部分間で安全メッセージを通信することは、有害化学物質の流出、爆発などのプラントのハザードを防止し、かつ／または小さな安全事象の影響さえ防止もしくは緩和するために必要である。現在知られている安全計装システムは、典型的に、ローカル通信バスまたはローカルデータハイウェイを使用してプロセスプラントのローカル部分間で安全メッセージを通信し、典型的に、衛星や光ファイバケーブルなどの高帯域幅のリンクを使用することによって、長距離離れた（例えば、遠隔に位置する）プロセスプラントの部分間で安全メッセージを通信する。しかしながら、そのような高帯域幅のリンクは使用するのが高価であり、衛星通信の場合にはサードパーティベンダに依存する。その上、いくつかの低速の低速通信安全メッセージ（例えば、ハートビートメッセージなど）については、高帯域幅リンクによって提供される帯域幅の量は過剰であり、したがってそれらの使用は慎重な経済的決定ではない。他方では、低帯域幅または別の点で「低速」の伝送リンクは、長距離離れた安全システムの部分間のデータ伝送に使用するのに安価である一方、典型的に、低帯域幅のリンクは、十分な忠実度で、かつプロセスプラントの安全な運転を維持するのに必要な時間的制約の範囲内で、大きなまたは頻繁に生成される安全メッセージを長距離にわたって効率的かつ効果的に伝送するものではない。

【発明の概要】

【0009】

本明細書に開示されるシステム、方法、装置、および技術は、安全メッセージ（例えば、安全メッセージパケット）が、物理的に長距離離れたプロセスプラントの安全計装システム（ＳＩＳ）の部分間でより効率的かつ効果的に、かつ衛星および光ファイバケーブルなどの高帯域幅のリンクを使用する場合と比較してより低コストで、伝送されることを可能にする。本明細書に開示されるシステム、方法、装置、および技術は、小さくかつ／または頻繁には送信されない安全メッセージを長距離にわたって、効率的、効果的、かつ低コストの様式で伝送するのに特に適しているが、それらは、そのような種類の安全メッセージを伝送することには限定されない。その上、本明細書に開示されるシステム、方法、装置、および技術は、工業プロセスがプロセス制御システムによって実行および制御されているプロセスプラントの既存の（例えば、以前に設置された）安全計装システム（ＳＩＳ）に容易かつ簡単に統合される。

【0010】

一実施形態では、安全データ集約器（ＳＤＣ）は、安全データ集約解除器（ＳＤＤ）とペアにされ、長距離通信リンクによってそれと通信可能に接続されている。ＳＤＣは、プロセスプラントの長距離部分の送信端またはその近くに、プロセスプラントのプロセス制御システム（ＰＣＳ）をサポートする安全計装システム（ＳＩＳ）内に所在または位置し、ＳＤＤは、プロセスプラントの長距離部分の受信端またはその近くに所在または位置する。例えば、例解的な構成では、ＳＤＣは陸上に所在し、それとペアをなすＳＤＤは海中に何マイルも離れて位置する掘削ステーションに所在する。ＳＤＣとＳＤＤとを通信可能に接続する長距離通信リンクは、衛星リンクおよび光ファイバケーブルなどの長距離構成で典型的に使用される長距離、高帯域幅の通信リンクよりも低い帯域幅を有する（例えば、「低速」である、または低容量を有する）。例えば、長距離、低帯域幅の通信リンクは、海底ケーブル、長距離無線リンク、非衛星地上無線リンク、有線通信リンク上に便乗した（例えば、その上にオーバーレイされているかもしくは別の方法でそれによってサポートされている）通信リンク、低帯域幅のＶＰＮ（仮想私設ネットワーク）、または高帯域幅のリンクに含まれるかまたは収容される仮想リンクなどを介して実装され得る。

【0011】

ＳＤＣおよびＳＤＤの各々は、プロセスプラントの長距離部分のそれぞれの端部に物理
的に位置するそれぞれの組の安全論理ソルバ（ＬＳ）に接続されている。安全論理ソルバの観点からは、ＳＤＣおよびＳＤＤは、安全論理ソルバおよび装置が、例えばＩ／Ｏレベルで、かつ／または既知の通信レベルもしくは層で何らかの他の既知の通信フォーマットを使用して、典型的に互いに通信するためのＩ／Ｏカードまたは何らかの他の既知の伝送機構であるように見える。つまり、安全論理ソルバは、速度、距離、それどころか安全メッセージが送受信される物理的な伝送機構すら知らない。実際、いくつかの実装形態では、安全論理ソルバはＳＤＣおよびＳＤＤの存在を知らない。そのため、論理ソルバによって送受信される安全メッセージは、ＳＤＣ／ＳＤＤペアが伝送に使用されるかどうかにかかわらず、ローカルで通信されているように論理ソルバに見える。つまり、ＳＤＣ／ＳＤＤペアを含む長距離伝送機構が利用されているかどうかは、論理ソルバにとって透過的である。

【0012】

一般的に言えば、ＳＤＣは、複数の個々の安全メッセージを集約安全メッセージ（例えば、単一の集約安全メッセージ）に圧縮および／または統合し、集約安全メッセージを長距離低帯域幅の通信リンクを介してＳＤＤに送信する。集約安全メッセージを受信すると、ＳＤＤは、集約安全メッセージから個々の安全メッセージをマイニングするかまたは別の方法で回復し、それらを意図された受信者に提供する。そのため、ＳＤＣ／ＳＤＤペアおよび低帯域幅の長距離通信リンクを使用することにより、プロセスプラントの遠隔に所在する部分間で安全メッセージを送達するために利用される全帯域幅が少なくなり、したがって、帯域幅利用およびとりわけ長距離にわたる安全メッセージの送信コストの著しい節約が実現される。加えて、複数の安全メッセージのグループメッセージへの圧縮、統合、および／または集約は、個々のメッセージ内容のエラーの可能性を有利に少なくする。さらに、ＳＤＣ／ＳＤＤペアおよび長距離通信リンクの使用は安全論理ソルバにとって透過的であるので、ＳＤＣ／ＳＤＤペアは、論理ソルバおよび装置などの組み込み安全システム構成要素を再構成する必要なしに、既存のＳＩＳシステムにシームレスに追加することができる。

【0013】

一態様では、プロセス制御システムを有する長距離プロセスプラントで使用するための安全計装システムが開示されている。安全計装システムは、安全計装システムの第１の部分内に配置され、安全計装システムによってサービスを提供されるプロセス制御システムの１つ以上のプロセス制御装置および／または安全制御器と動作可能に通信する１つ以上の安全論理ソルバに通信可能に接続された安全データ集約器を含む。プロセス制御システムの１つ以上のプロセス制御装置は、１つ以上の物理的機能を遂行し、それによって長距離プロセスプラントで実行される工業プロセスを制御する。安全データ集約器は、１つ以上の安全論理ソルバによって生成された複数の安全メッセージを単一の集約安全メッセージに結合するように構成され、単一の集約安全メッセージは、複数の安全メッセージに含まれる安全メッセージのそれぞれの長さの合計よりも短い全長を有する。加えて、安全データ集約器は、集約安全メッセージを安全計装システムの第２の部分への長距離リンクを介して送信するように構成されている。

【0014】

別の態様では、長距離プロセスプラントのプロセス制御システムにサービスを提供する安全計装システムで使用する方法が開示されている。この方法は、安全計装システムの第１の部分内に配置され、安全計装システムによってサービスを提供されるプロセス制御システムの第１の組の１つ以上のプロセス制御装置と動作可能に通信する第１の組の１つ以上の安全論理ソルバに通信可能に接続された安全データ集約器によって、第１の組の１つ以上の安全論理ソルバによって生成された複数の安全メッセージを受信することを含む。この方法は、安全データ集約器によって、複数の安全メッセージを単一の集約安全メッセージに結合することをさらに含み、単一の集約安全メッセージは、複数の安全メッセージに含まれる安全メッセージの個々の長さの合計よりも短い全長を有する。加えて、この方法は、安全データ集約器によって、安全計装システムの第２の部分への長距離リンクを介
して、安全計装システムの第２の部分内に配置され、プロセス制御システムの第２の組の１つ以上のプロセス制御装置と動作可能に通信する第２の組の１つ以上の安全論理ソルバに通信可能に接続された安全データ集約解除器に単一の集約安全メッセージを送信することを含み、安全データ集約器は、第２の組の安全論理ソルバへの通信のために集約安全メッセージから複数の安全メッセージを回復するように構成され、第１の組の１つ以上のプロセス制御装置および第２の組の１つ以上のプロセス制御装置は、１つ以上の物理的機能を遂行し、それによって長距離プロセスプラントで実行される工業プロセスを制御する。

【0015】

さらに別の態様では、長距離プロセスプラントのプロセス制御システムにサービスを提供する安全計装システムで使用する方法が開示されている。この方法は、安全集約解除器によって、安全計装システムの第１の部分からの長距離リンクを介して、安全計装システムの第１の部分内に配置され、安全計装システムによってサービスを提供されるプロセス制御システムの第１の組の１つ以上のプロセス制御装置と動作可能に通信する第１の組の１つ以上の安全論理ソルバに通信可能に接続された安全データ集約器によって送信された単一の集約安全メッセージを受信することを含む。安全データ集約器は、第１の組の１つ以上の安全論理ソルバによって生成された複数の安全メッセージを単一の集約安全メッセージに結合するように構成され、安全データ集約解除器は、安全システムの第２の部分内に配置され、プロセス制御システムの第２の組の１つ以上のプロセス制御装置と動作可能に通信する第２の組の１つ以上の安全論理ソルバに、通信可能に接続されている。加えて、第１の組の１つ以上のプロセス制御装置および第２の組の１つ以上のプロセス制御装置は、１つ以上の物理的機能を遂行し、それによって長距離プロセスプラントで実行される工業プロセスを制御する。この方法は、安全データ集約解除器によって、単一の集約安全メッセージから複数の安全メッセージを回復すること、および回復された複数の安全メッセージを第２の組の１つ以上の安全論理ソルバに通信することをさらに含む。

【図面の簡単な説明】

【0016】

【図1】長距離構成を含む例示的なプロセスプラントにサービスを提供する例示的な安全計装システム（ＳＩＳ）のブロック図を示す。

【図2A】図１の例示的な長距離安全計装システムの実施形態のそれぞれの詳細ブロック図を示す。

【図2B】図１の例示的な長距離安全計装システムの実施形態のそれぞれの詳細ブロック図を示す。

【図2C】図１の例示的な長距離安全計装システムの実施形態のそれぞれの詳細ブロック図を示す。

【図2D】図１の例示的な長距離安全計装システムの実施形態のそれぞれの詳細ブロック図を示す。

【図3】長距離構成を有するプロセスプラントに含まれる例示的な安全計装システムに関連する例示的な信号図を示す。

【図4A】長距離構成を含むプロセス制御システムまたはプラントで使用するための例示的方法の流れ図を示す。

【図4B】長距離構成を含むプロセス制御システムまたはプラントで使用するための例示的方法の流れ図を示す。

【図5A】図５Ａは、例示的な安全データ集約器（ＳＤＣ）のブロック図を示し、そのＳＤＣは、図１の安全計装システムに含まれ得る。

【図5B】図５Ｂは、例示的な安全データ集約解除器（ＳＤＤ）のブロック図を示し、そのＳＤＤは、図１の安全計装システムに含まれ得る。

【図6】図１の例示的な長距離プロセスプラントおよび例示的な長距離安全計装システムのより詳細なブロック図を示す。

【発明を実施するための形態】

【0017】

石油パイプライン、沖合プラットフォーム、遠隔坑口などの長距離プロセスプラント構成では、プロセス制御システムの相互接続された部分は、互いに遠隔にまたは離間して位置してもよい（例えば、遠距離離れて、地理的に離間して、または物理的な妨害物、障壁、もしくは水、山、地下井戸などの障害物によって隔てられて）。例えば、プロセス制御システムの遠隔部分は、システムの残部が地上に位置する一方で地下に位置してもよく、システムの残部が陸上にある一方で水中に位置してもよい。一例として、水中油井は、例えば人工島であってもよく、浮いていてもよく、海底に固定されていてもよい沖合石油プラットフォームから掘削される。これらの沖合石油プラットフォームは、しばしば陸地から数百マイル離れたところに位置し、それらに関連する水中油井は、典型的に海面下数千フィートである。その上、そのような井戸から抽出された油は、典型的に、精製のために陸上施設に配管で戻さなければならない。したがって、この例では、集合的に、水中油井、沖合石油プラットフォーム、および陸上精製施設がプロセスプラントを構成する。ある観点からは、プロセスプラントの「ローカル」部分は陸上精製所を含む一方、プロセスプラントの「遠隔」部分は沖合石油プラットフォームおよび水中油井を含む。別の観点からは、プロセスプラントの「ローカル」部分は特定の沖合石油プラットフォーム／井戸であり、「遠隔」部分は他の沖合プラットフォーム／井戸および陸上精製所を含む。プロセスプラントの動作は、それぞれのローカル環境および遠隔環境にそれぞれ統合される部分を有するプロセス制御システムによって制御され、プロセスプラントの安全リスクは、少なくとも部分的に、それぞれのローカル環境および遠隔環境にそれぞれ統合される部分を有する安全計装システムによって管理される。加えて、プロセスプラントのローカル部分および遠隔部分は、１つ以上の長距離伝送リンクを介して接続されている。

【0018】

プロセス制御システムの非常に遠隔な部分で生じる安全状態でさえ、プロセス制御システム全体および／またはプロセス制御システムのローカル部分の安全性に影響を及ぼすおそれがあり、逆もまた同様である。例えば、オイル抽出および精製プロセスプラントのいかなる点におけるオイル漏れも、プロセスプラントの他のローカル部分または遠隔部分における爆発および／または他の望ましくない帰結をもたらすおそれがある危険な状態を作り出し得る。その上、プロセス制御システムの遠隔部分で生じる安全状態は、場合によっては、プロセス制御システムの他の部分の措置によって防止されることがある。例えば、プラントのある部分でオイル漏れが検出された場合、漏れ口を通るオイルの流れを低減または防止するために、プラントの別の部分に遠隔に位置するバルブを閉じることができる。

【0019】

その結果、有毒化学物質の流出（例えば、海洋油流出）、爆発などのプラントハザードを防ぐために、プロセス制御システムのローカル部分と遠隔部分との間の安全メッセージの通信が必要である。プロセスプラントにサービスを提供する安全計装システムは、典型的に、ローカル通信バスまたはローカルデータハイウェイを使用して、プロセスプラントのローカル部分間の安全メッセージを通信し、ローカル通信バスまたはローカルデータハイウェイは、プロセス制御関連メッセージを通信するためにプロセス制御システムによって使用されるのと同じデータハイウェイであってもよく、そうでなくてもよい。長距離構成（例えば、プロセスプラントの部分が長距離にわたって分散し、かつ／または水、山、地下井戸などの物理的な障壁を越えて分散している構成）では、プロセスプラントの遠隔部分に到達するために使用される安全データハイウェイは、典型的に、衛星リンクなどの長距離にわたることができる高帯域幅リンクを使用して実装される。しかしながら、そのような高帯域幅のリンクは使用するのが非常に高価であり、衛星通信の場合にはサードパーティベンダに依存する。他方では、より安価な低帯域幅または別の点で「低速」の伝送リンク（例えば、非衛星地上無線、有線通信リンク上に便乗したリンク、全体的に高帯域幅のリンクに含まれる低帯域幅のＶＰＮ（仮想私設ネットワーク）など）は、典型的に、長距離にわたって大きいまたは頻繁に発行される安全メッセージを効率的かつ効果的に伝送することはできない。例えば、大型の安全メッセーまたは大量の安全メッセージを長距
離にわたって、とりわけ短期間にわたって低帯域幅のリンクで送付しようとすると、リンクは圧倒され、安全メッセージのいくつかは遅延することもあれば、単に送信されないこともある。しかしながら、安全メッセージは時間に敏感であるので、安全メッセージの通信に関する遅延および／または他の問題はプロセスプラント内の危険な動作状態につながるおそれがある。

【0020】

本明細書に開示されているシステム、方法、および／または技術は、プロセスプラントの遠隔に所在する部分間で、遠隔に所在する部分間の距離にわたる低帯域幅の長距離通信リンクを介して安全メッセージを通信するために、安全データ集約器（ＳＤＣ）および安全データ集約解除器（ＳＤＤ）を使用することによって、既知の長距離ＳＩＳシステムのこれらおよび他の欠点に対処する。一実施形態では、ＳＤＣは、プロセス制御システムにサービスを提供する安全計装システムの第１の部分に統合され、プロセス制御システムの第１の部分に含まれる様々な装置および構成要素によって生成された個々の安全メッセージを、集約安全メッセージに（例えば、単一の集約安全メッセージに）結合する。ＳＤＣは、集約安全メッセージを低帯域幅の長距離リンクを介して、第１の部分から（例えば、長距離の）遠隔に所在する安全計装システムの第２の部分に統合されたＳＤＤに送信する。ＳＤＤは、集約安全メッセージから個々の安全メッセージを回復し、回復された安全メッセージを、安全計装システムの第２の遠隔部分内に配置されたそれぞれの受信装置または構成要素に通信する。

【0021】

具体的には、例示的な一布置では、ＳＤＣは、プロセスプラントの第１の部分内に配置された一組の安全論理ソルバに通信可能に接続されている。安全論理ソルバは、次に、典型的には（必ずしもそうとは限らないが）Ｉ／Ｏレベルで、複数のプロセス制御装置（例えば、制御器、プロセス制御フィールド装置、安全フィールド装置など）に通信可能に接続されている。安全論理ソルバは、プロセス制御装置および対応するメッセージトラフィックを監視し、プラント内で発生する安全関連状態を検出する。安全関連状態または安全に影響を与える状態は、例えば、パラメータ値、特定の安全スイッチもしくはシャットダウンバルブの位置、プロセス内のオーバーフローもしくはアンダーフロー、重要な発電装置もしくは制御装置の動作、障害検出装置の動作、監視対象装置によって生成されるステータスおよび／もしくはデータなど、ならびに／またはこれらの組み合わせなどのプロセス状態に基づいて検出することができる。安全関連状態が検出されると、安全論理ソルバは、安全メッセージまたは信号を生成し、それらをプラントの様々な部分にわたって適切な装置および構成要素に配信して、対応する安全措置を発生させる。様々な種類の安全メッセージまたは信号、例えばトリップメッセージ／信号、シャットダウンメッセージ／信号、アラームメッセージ／信号、警報メッセージ／信号、セーフモード移行メッセージ／信号、インターロック有効化メッセージ／信号、を配信することができる。

【0022】

安全メッセージは、既知のローカル安全通信機構によって、例えば、例えば米国特許第７，２８９，８６１号に記載されているローカルリング通信バスなどのローカル安全データハイウェイまたはローカル安全通信バスを介して、プラントのローカル部分内およびローカル部分間でローカルに配信される。いくつかのプロセスプラント構成では、ローカル安全通信バスまたはデータハイウェイは、プロセス制御システムによって利用されるいずれの通信ネットワーク（例えば、データハイウェイ、無線ネットワーク、通信バスなど）とも異なり、それらとは別個である。他のプロセスプラント構成では、ローカル安全通信バス／データハイウェイの少なくともいくつかの部分および１つ以上のプロセス制御システム通信バス／データハイウェイの少なくともいくつかの部分は、一体的に実装される。他方では、プラントの遠隔に所在する部分内に配置された装置に遠隔に配信されるべき安全メッセージは、以下により詳細に記載されるように、集約および長距離通信リンクを介した遠隔に所在するプラント部分への送達／配信のためにＳＤＣに提供される。安全メッセージは、ローカルに配信されるか遠隔に配信されるかにかかわらず、適切な装置または
構成要素によって受信されると、例えば装置の電源を切る、プラントの区域から電力を除去する、バルブを閉じる、安全装置および／または制御装置をトリップまたは「安全」モードに切り替える、アラームを生成するなどの制御信号を送付することなどによって、検出された安全関連状態の有害な性質を制限する措置をトリガする。状況によっては、受信された安全メッセージそれ自体は、安全措置を開始またはトリガするかどうかを決定するために論理ソルバによって他の検出された状態と組み合わされる状態であることがある。

【0023】

有利なことに、一実施形態では、プロセスプラントの第１の部分において、安全論理ソルバは、安全論理ソルバが互いに、および／またはプロセス制御システムの第１の部分内のローカルに配置されたプロセス制御装置との間で安全メッセージを提供するのと同じまたは同様の様式で、ＳＤＣに安全メッセージを提供する。例示的な一実装形態では、安全論理ソルバは、ローカルの安全フィールド装置に、他のローカルに配置された安全論理ソルバに、およびＳＤＣに安全メッセージを直接Ｉ／Ｏレベルで通信する。ＳＤＣでは、安全論理ソルバから受信された複数の個々の安全メッセージが、（例えば、圧縮、集約、多重化、ラッピングなどによって）、複数の個々の安全メッセージの個々のサイズ／長さの合計よりもサイズまたは長さが小さい集約安全メッセージ（例えば単一の集約安全メッセージ）に結合され凝縮される。ＳＤＣは、例えば長距離通信リンクの１つ以上の特性（例えば、利用可能および／または最大帯域幅）に基づいて、一群の個々の安全メッセージを単一の集約安全メッセージに結合することができる。追加的または代替的に、ＳＤＣは、メッセージの１つ以上の特性、例えば個々の安全メッセージの内容、特定の安全メッセージの有無、安全メッセージの１つ以上の送信予定時刻、受信側装置が安全メッセージを受信すべき時刻などに基づいて、一群の安全メッセージを集約安全メッセージに結合することができる。ＳＤＣは、プロセスプラントの第１の部分からプロセスプラントの第２の遠隔に所在する部分に、長距離リンクを介して集約安全メッセージをＳＤＤに送信する。集約安全メッセージは複数の安全メッセージの個々のサイズの合計よりもサイズが小さいので、プラントの遠隔に所在する第１の部分と第２の部分との間で複数の安全メッセージを通信するために必要な帯域幅は減少する。したがって、送信前に安全メッセージを結合し凝縮することによって、ＳＤＣは、忠実度を維持し過負荷状態のためにメッセージを喪失する可能性を減少させながら、長距離リンクの制約内でプロセスプラントの遠隔部分への安全メッセージ情報の低帯域幅送信を有利に促進する。

【0024】

プロセスプラントの第１の部分から長距離の距離に所在するプロセスプラントの第２の部分では、長距離リンクを介して集約安全メッセージを受信すると、ＳＤＤは、受信された集約安全メッセージから個々の安全メッセージを回復する（例えば、抽出、解凍、分離、逆多重化、アンラップすることなどによって）。ＳＤＤは、回復された安全メッセージを、（例えば、安全通信バスもしくはリンクを介して、および／または１つ以上のプロセス制御通信バスもしくはリンクを介して直接Ｉ／Ｏレベルで）、回復された安全メッセージによってそれぞれ示されプラントの第２の部分内に配置された受信側安全論理ソルバおよび／または他の受信側装置に送信する。その後、安全論理ソルバは、受信された個々の安全メッセージに基づいて、例えばそれぞれの安全メッセージを適切な受信側プロセス制御装置、プロセス制御器、安全装置、および／または遠隔地に配置された安全制御器に配信することによって、１つ以上の制御メッセージおよび／または信号を送付してトリップまたは他の緩和措置を引き起こすことによって、アラームを生成することによってなど、適切な措置を講じ得る。

【0025】

したがって、一般的に言えば、ＳＤＣおよびＳＤＤはミラー対であり、それらはそれらの通信において双方向的であってもよい。例示的な一実装形態では、ＳＤＣの出力は、低帯域幅の長距離リンクを含む伝送機構を介して、ＳＤＤの入力に直接論理的に接続され、逆の場合も同様である。

【0026】

有利には、ＳＤＣが個々の安全メッセージを集約メッセージに圧縮し結合することによって、かつＳＤＤが集約メッセージから個々の安全メッセージを回復することによって、ＳＤＣおよびＳＤＤは、プロセスプラントのローカル部分内に配置された装置によって生成された安全メッセージを、低帯域幅の長距離リンク上で、プロセスプラントの遠隔部分内に配置された受信装置に効率的かつ効果的に伝送することを促進する。つまり、一般的に言って、例えばパケットを特定のサイズおよび／または特定の頻度に制限することなどによって、低帯域幅の長距離リンクの帯域幅および他の制約を考慮に入れた様式で安全メッセージまたはパケットが構成されている場合、データは、低帯域幅の長距離リンクを介してより効率的かつ効果的に伝送され得る。したがって、安全論理ソルバによって生成された複数の安全メッセージを圧縮して集約安全メッセージに結合することによって、ＳＤＣは、プロセスプラントの第１の部分からプロセスプラントの第２の遠隔部分に送信される安全メッセージのサイズ（例えば、安全メッセージを圧縮することによって）および頻度（例えば、安全メッセージの各メッセージを受信するとすぐに送付するのではなく、安全メッセージ群を結合し低頻度で一緒に送信することによって）の両方を低減することができる。送信される安全メッセージのサイズおよび頻度が低減されると、リンクを圧倒してクリティカルな安全メッセージを喪失することなく、低帯域幅の長距離リンクをプラントの遠隔部分への安全メッセージの送信に効果的かつ効率的に使用することができる。そのため、低コスト、低帯域幅の長距離リンクを利用して、忠実度を損なうことなく、かつ安全関連リスクを増大させることなく、プロセスプラントの安全性を維持することができる。

【0027】

いくつかの構成では、安全計装システムは、低帯域幅の長距離リンクと標準的な高帯域幅の長距離リンクの両方を含み得ることに留意されたい。そのため、最も適切な長距離リンクが、異なる種類の安全メッセージの送達に利用されてもよい。例えば、非常に緊急性の高い安全性メッセージは、高帯域幅と低帯域幅の両方の長距離リンクを介して送信されてもよい。他方では、ハートビートメッセージは、専ら低帯域幅の長距離リンクを介して通信されてもよい。

【0028】

また、ＳＤＣとＳＤＤとは双方向に連結されてもよい（しかし必須ではない）。例えば、長距離リンクの第１の端部に配置されたＳＤＣは、長距離リンクの他端に送達されるべきメッセージの集約器として機能してもよく、長距離リンクの他端から受信されたメッセージの集約解除器として機能してもよい一方、ＳＤＣとペアをなすＳＤＤは、長距離リンクの他端に配置されてもよく、長距離リンクの他端に対して同じ機能を遂行してもよい。

【0029】

いくつかの実施形態では、ＳＤＣおよび／またはＳＤＤは、それらのそれぞれの集約および集約解除機能に加えて、トリップまたは他の緩和措置をトリガし得る１つ以上の安全事象の存在を検出するように特定の状態を処理するためのそれぞれの内部ロジックを含む。必ずしもそうとは限らないが一般的に、そのような状態は低帯域幅の長距離リンクに関連している。例えば、特定の通信パケットおよび／または特定のインジケータを含む通信パケットが、単独でまたは組み合わせて、ＳＤＣおよび／またはＳＤＤに到着することは、場合によっては、１つ以上の構成要素または装置のトリップをトリガしてもよい。追加的または代替的に、長距離リンク上の通信パケットの損失（例えば、一定期間にわたる）、長距離リンクを介して（例えば、一定期間にわたって）受信された不良または劣悪品質の通信パケット、通信パケットの品質の不良または劣悪品質の程度、などの状態をＳＤＣおよび／またはＳＤＤが検出すると、１つ以上の構成要素または装置のトリップがトリガされてもよい。

【0030】

本明細書に開示されているシステム、方法、および技術のさらなる利点は、ＳＤＣおよびＳＤＤを既存の安全計装システムにシームレスに統合することができることである。つまり、安全論理ソルバとＳＤＣおよび／またはＳＤＤとの間の通信は、安全論理ソルバと
他のローカル装置（例えば、他の安全論理ソルバ、プロセス制御Ｉ／Ｏ装置、安全フィールド装置、プロセス制御フィールド装置、プロセス制御器など）との間で使用されるのと同じレベルおよび形態の通信を利用するため、組み込み安全論理ソルバは、安全メッセージの長距離送信および／または受信にＳＤＣおよび／またはＳＤＤを利用しているという事実を知らない。例えば、安全論理ソルバは、ローカル装置およびＳＤＣ／ＳＤＤの両方とＩ／Ｏレベルで通信してもよく、個々の安全メッセージ／信号の送付側／受信側アドレスは、集約安全メッセージ内に維持されてもよい。したがって、安全論理ソルバの観点からは、安全メッセージはローカルで個々に送受信されるように見える。その結果、ＳＤＣおよびＳＤＤは、プロセスプラントのローカル部分および遠隔部分の既存の安全計装システムに容易に統合され、各システムの既存の安全論理ソルバ間の安全メッセージの通信を容易に促進する。有益なことに、ＳＤＣ、ＳＤＤ、および長距離リンクをプロセスプラントの既存の安全計装システムに実装するために、安全論理ソルバに対するハードウェアまたはソフトウェアの変更は必要ではない。したがって、ＳＤＣ／長距離リンク／ＳＤＤの布置は、ＳＩＳ内で論理的な長距離伝送パイプとして機能する。

【0031】

図１は、例示的な安全計装システム（ＳＩＳ）１００および例示的なプロセス制御システム（ＰＣＳ）１１０を含む例示的なプロセスプラント１０の高レベルブロック図を示しており、プラント１０のフィールド環境の様々な部分は、長距離の距離、例えば「長距離」プロセスプラント１０にわたって地理的に位置する。図１に示すように、プロセスプラント１０は、ローカル環境１２を含み、ローカル環境１２から長距離の距離に所在する遠隔環境１４を含む。ローカル環境１２はローカル環境部分１６、１８、および２０を含み、遠隔環境部分１４は遠隔環境部分２２および２４を含む。ローカル環境部分１４、１６、１８および遠隔環境部分２２、２４の各々は、プロセスプラント１０内で動作するプロセス制御システム（ＰＣＳ）１１０のそれぞれの部分３６～４４、ならびにＰＣＳ１１０のそれぞれの部分３６～４４にサービスを提供するＳＩＳ１００のそれぞれの部分４６～５４を含む。一般的に言えば、ＰＣＳ１１０はプロセスプラント１０の１つ以上の工業プロセスをリアルタイムで制御する一方、ＳＩＳ１００はＰＣＳ１１０および／またはプロセスプラント１０内で生じる安全関連の問題および／または状態を検出し、例えば装置の電源を切る、プラントの区域から電力を除去する、バルブを閉じる、安全装置および／または制御装置をトリップまたは「安全」モードに切り替えるなどの制御信号を送付することなどによって、検出された安全関連状態の有害な性質を防止または制限するために、安全メッセージ／信号を生成し、プロセスプラント１０の部分内および部分間で送信する。状況によっては、受信された安全メッセージそれ自体は、安全トリガを開始するかどうかを決定するために論理ソルバによって他の検出された状態と組み合わされる状態であることがある。

【0032】

図１に示すように、ローカル環境１２内で、ＳＩＳ１００のローカル部分４６はＰＣＳ１１０のローカル部分３６にサービスを提供し、ＳＩＳ１００のローカル部分４８はＰＣＳ１１０のローカル部分３８にサービスを提供し、ＳＩＳのローカル部分５０はＰＣＳのローカル部分４０にサービスを提供する。同様に、遠隔環境１４内で、ＳＩＳ１００の遠隔部分５２はＰＣＳ１１０の遠隔部分４２にサービスを提供し、ＳＩＳ１００の遠隔部分５４はＰＣＳ１１０の遠隔部分４４にサービスを提供する。当然のことながら、図１に示すＳＩＳ部分４６～５４およびＰＣＳ部分３６～４４の数および布置は例示的なものであり、説明を容易にするためのものである（限定するためのものではない）。例えば、ローカル環境１２（および／または遠隔環境１４）は、所望により、一対一、一対多、または多対一の布置で任意の数のＰＣＳ部分にサービスを提供する任意の数のＳＩＳ部分を含むことができる。さらに、ローカル環境１２内（または完全に遠隔環境１４内）に完全に配置されたＳＩＳの部分は、任意の好適な様式で（例えば、１つ以上の直接交差接続、リングなどを介して）通信可能に相互接続することができる。同様に、ローカル環境１２（または遠隔環境１４）に配置されたＰＣＳの部分は、任意の好適な様式で通信可能に相互接
続することができる。

【0033】

いずれにせよ、上述したように、プラント１０の一部分１２に生じる安全状態は、プラント１０全体の安全および／またはプラント１０の遠隔に所在する部分１４における安全に影響を及ぼし得、逆の場合も同様である。その上、プラントの一部分１２で講じられる予防または緩和措置はまた、プラント１０の他の部分１４における安全事象および状態を予防または緩和するのにも役立つことがある（逆の場合も同様である）。したがって、プロセスプラント１０内の安全リスクを効果的に管理するために、適切な予防および／または緩和措置をトリガするように、プラント１０内の安全状態を示す安全関連メッセージを、プラント１０のローカル部分内およびローカル部分間で（例えば、ローカルＳＩＳ部分４６、４８、５０のうちの１つと別のローカルＳＩＳ部分４６、４８、５０との間でローカルに、および遠隔ＳＩＳ部分５２と５４との間でローカルに）、ならびにプラント１０の遠隔に位置する部分間で（例えば、ローカルＳＩＳ部分４６、４８、５０の１つ以上と遠隔ＳＩＳ部分５２、５４の１つ以上との間で）、送信することができなければならない。ＳＩＳ１００のローカル部分４６、４８、５０とＳＩＳ１００の遠隔部分５２、５４との間の長距離の距離にわたる安全メッセージの送達を促進するために、安全データ集約器（ＳＤＣ）１２８が、ローカル環境１２内に配置され、ＳＩＳ１００の１つ以上のローカル部分４６、４８、５０に通信可能に連結されている一方、安全データ集約解除器（ＳＤＤ）１３０が、遠隔環境１４内に配置され、ＳＩＳ１００の１つ以上の遠隔部分５２、５４に通信可能に連結されている。図１では、ＳＤＣ１２８はローカルＳＩＳ部分４６、４８、５０に通信可能に連結されているとして示されており、ＳＤＤは遠隔ＳＩＳ部分５２、５４に通信可能に連結されているとして示されているが、この布置は説明を容易にするためだけのものである。例えば、図示されていないが、任意の数のローカルＳＩＳ部分がＳＤＣ１２８に通信可能に接続されてもよく、任意の数の遠隔ＳＩＳ部分がＳＤＤ１３０に通信可能に接続されてもよい。いくつかの実施形態（やはり図示せず）では、ローカル環境１２内に複数のＳＤＣ１２８を配置することができ、ローカルＳＩＳ部分のそれぞれのサブセットを各ＳＤＣ１２８に通信可能に連結することができる。同様に、いくつかの実施形態（やはり図示せず）では、複数のＳＤＤ１３０を遠隔環境１４に配置することができ、遠隔ＳＩＳ部分のそれぞれのサブセットを各ＳＤＤ１３０に通信可能に連結することができる。

【0034】

図１に示されるように、ＳＤＣ１２８は、ローカルＳＩＳ部分４６、４８、および５０によって生成され、遠隔ＳＩＳ部分５２、５４の１つ以上によって受信されることを意図されている個々の安全メッセージを１つ以上の集約安全メッセージに集約し、集約安全メッセージ（複数可）を長距離リンク１３２を介して遠隔環境１４に配置されたＳＤＤ１３０に送信する。遠隔環境１４において、ＳＤＤ１３０は、集約安全メッセージ（複数可）から個々の安全メッセージを回復し、それらをそれらの意図された受信者、例えば遠隔ＳＩＳ部分５２および／または遠隔ＳＩＳ部分５４内に配置された論理ソルバに提供する。合わせて、ＳＤＣ１２８、ＳＤＤ１３０、および長距離リンク１３２は、安全計装システム１００の長距離部分１３４（例えば、長距離伝送機構１３４）を構成する。

【0035】

長距離伝送機構１３４は、物理的および／または地理的に互いから離間している、例えば互いからかなりの長距離の距離に所在するローカル環境１２と遠隔環境１４とを相互接続する。一実施形態では、任意の２つのローカル環境部分１６、１８、２０間の地理的距離は、ローカル環境１２と遠隔環境１４との間の地理的距離よりも短く、遠隔環境部分２２、２４間の地理的距離は、ローカル環境１２と遠隔環境１４との間の地理的距離よりも短い。例示的な一構成では、プロセスプラント１０のローカル環境１２は陸上に位置する一方、プラント１０の遠隔環境１４は水域に位置する（例えば、沖合および／または水中）。別の例示的な構成では、プラント１０のローカル環境１２は地上に位置する一方、遠隔環境１４は地下に位置する。当然のことながら、上記はプロセスプラント１０の長距離
構成のほんの数例であり、プロセスプラント１０の遠隔環境１４がプロセスプラント１０のローカル環境１２から遠隔に位置するまたは所在する追加の構成が可能である。

【0036】

ローカル環境１２内で、ＳＩＳ１００のローカル環境部分４６、４８、５０は、ローカル環境１２内に配置された１つ以上の安全システムデータハイウェイ、バス、および／またはリング（本明細書では「安全システム通信リンク」とも交換可能に呼ぶ）を介して互いに通信する（例えば、直接Ｉ／Ｏレベルで、または他の何らかの指定されたレベルで）。同様に、遠隔環境１４内で、ＳＩＳの遠隔環境部分５２、５４は、遠隔環境１４内に配置された１つ以上の安全システム通信リンクを介して互いに通信する（例えば、直接Ｉ／Ｏレベルで、または他の何らかの指定されたレベルで）。加えて、図１に示すように、特定の環境１２、１４内の各ＳＩＳ部分およびそれに対応するＰＣＳ部分は、その特定の環境１２、１４の１つ以上の常駐安全システム通信リンクを介して互いに通信可能に接続されている（例えば、Ｉ／Ｏレベルで、または他の何らかの指定されたレベルで）。したがって、各ＳＩＳ部分は、それに対応するＰＣＳ部分から、および他のローカルに所在するＳＩＳ部分からの信号および／またはメッセージを、当該常駐安全システム通信リンク（複数可）を介して取得する。例えば、ＳＩＳ部分５２は、遠隔環境１４内に配置された１つ以上の安全システム通信リンクを介してＰＣＳ部分４２に通信可能に接続され、それによってＰＣＳ部分４２からの信号および／またはメッセージを当該安全システム通信リンク（複数可）を介して取得する。

【0037】

さらに、ローカル環境１２内で、１つ以上のローカルＳＩＳ部分４６、４８、５０によって生成された安全メッセージは、例えばＩ／Ｏレベルで、または安全メッセージを通信するためにローカルＳＩＳ部分４６、４８、５０によって本来利用される他の何らかの指定されたレベルで、ローカル環境１２の１つ以上の常駐安全システム通信リンクを介してＳＤＣ１２８に送達される。同様に、遠隔環境１４内で、ＳＤＤ１３０によって回復された安全メッセージは、例えばＩ／Ｏレベルで、または安全メッセージを通信するために遠隔ＳＩＳ部分５２、５４によって本来利用される他の何らかの指定されたレベルで、遠隔環境１４の１つ以上の常駐安全システム通信リンクを介して１つ以上の遠隔ＳＩＳ部分５２、５４に送達される。例えば、図１に示すように、ローカルＳＩＳ部分５０は、ローカルＳＩＳ部分４６、４８、５０によって利用される１つ以上の安全システム通信リンクを介してＳＤＣ１２８に通信可能に接続され、ＳＤＤ１３０は、遠隔ＳＩＳ部分５２、５４によって利用される１つ以上の安全システム通信リンクを介して、ＳＤＤ１３０に通信可能に接続されている。ローカルＳＩＳ部分５０とＳＤＣ１２８との相互接続、およびＳＤＤ１３０と遠隔ＳＩＳ部分５２との相互接続については、後のセクションでさらに詳しく説明する。

【0038】

またさらに、上述のように、特定の環境１２、１４内の様々なＰＣＳ部分は、特定の環境１２、１４内に配置された１つ以上の好適な常駐プロセス制御通信データハイウェイ、バス、および／またはネットワーク（本明細書では「プロセス制御通信リンク」とも交換可能に呼ぶ）を使用して互いに通信する。一般的に言えば、ＰＣＳ１１０の特定の環境１２、１４内に完全に配置されたプロセス制御通信リンクは有線でも無線でもよく、典型的には（必ずしもそうとは限らないが）ＰＣＳ１００をサポートするＳＩＳ１１０の安全システム通信リンクとは異なる通信リンクである。

【0039】

他方では、ＳＤＣ１２８とＳＤＤ１３０は、ローカル環境１２と遠隔環境１４との間の距離にわたる長距離リンク１３２を使用して、その間で集約安全メッセージを送受信する。一実施形態では、長距離リンク１３２は、衛星または他の高帯域幅リンクと比較して、低帯域幅または別の点で「低速」の伝送リンクである。例えば、長距離リンク１３２は、１つ以上の非衛星地上無線リンク、有線通信リンク上に便乗した１つ以上のリンク、１つ以上の全体的に高帯域幅のリンクに含まれる１つ以上の低帯域幅ＶＰＮ、および／または
他の任意の好適な低帯域幅の長距離リンクを使用して実装され得る。一般に、長距離リンク１３２は、ローカルＳＩＳ部分４６、４８、５０を相互接続するローカル安全システム通信リンクおよび遠隔ＳＩＳ部分５２、５４を相互接続するローカル安全システム通信リンクと比較して低速または低帯域幅のリンクであり、長距離リンク１３２は、衛星リンクまたは光ファイバリンクと比較して低速または低帯域幅のリンクである。有利には、そのような低速または低帯域幅のリンクは、高帯域幅のリンクよりも、稼働および／または使用するのが典型的に安価である。典型的に、長距離リンク１３２を介してＳＤＣ１２８とＳＤＤ１３０との間で送信される通信は、１つ以上の機構または技術、例えば許可、認証、暗号化、鍵、および／または他の好適なセキュリティ機構または技術を介して保護される。

【0040】

図１は、ローカル環境１２内に配置されたＳＤＣ１２８および遠隔環境１４内に配置されたＳＤＤ１３０を示しているが、いくつかの実施形態では、例えば遠隔環境１４で発生した安全関連状態をローカル環境１２内に配置された装置に通信する必要がある場合、ＳＤＣ１２８は遠隔環境１４内に配置されてもよい一方、ＳＤＤ１３０はローカル環境１２内に配置されている。いくつかの実施形態では、ローカル環境１２および遠隔環境１４の各々は、それぞれのＳＤＣ１２８およびそれぞれのＳＤＤ１３０の両方を含み、かつ／または複数のＳＤＣ１２８および／または複数のＳＤＤ１３０を含む。そのような実施形態では、長距離リンク１３２は双方向リンクであってもよく、または長距離の距離にわたる各ＳＤＣ／ＳＤＤペア間の通信のために追加の長距離リンクが存在してもよい。さらに、いくつかの実装形態では、所望に応じて、同じ環境内に配置されたＳＤＣ１２８およびＳＤＤ１３０（例えば、両方ともローカル環境１２内、または両方とも遠隔環境１４内）を一体型装置として実装してもよい。またさらに、１つの環境１２、１４内に配置されたＳＤＣから別の環境１２、１４内に配置されたＳＤＤとの間の長距離の距離にわたるマッピングは、１対１（図１に示す）一対多、または多対一（図示せず）であってもよい。加えて、図１には１つのローカル環境１２と１つの遠隔環境１４のみが示されているが、様々なプロセスプラントの布置は、任意の数のローカル環境と任意の数の遠隔環境を含むことができる。

【0041】

図２Ａは、図１の安全計装システム（ＳＩＳ）１００の一部分の実施形態１４０のブロック図を示す。図２Ａの例示的な実施形態１４０では、ローカル環境１２内に配置されたＳＩＳ１００の１つ以上の部分は、１つ以上の遠隔環境１４内に配置されたＳＩＳ１００の１つ以上の安全論理ソルバ１４８、１５０、１５２に送達されるべき安全メッセージを生成する１つ以上の安全論理ソルバ１４２、１４４、１４６を含む。説明を容易にするために、図２Ａはローカル論理ソルバ１４２、１４４、１４６をローカルＳＩＳ部分５０に含まれるものとして示しているが、他の実施形態では、ローカル論理ソルバ１４２、１４４、１４６は別のローカルＳＩＳ部分４６、４８に含まれてもよく、またはＳＩＳ１００の２つ以上のローカル部分４６、４８、５０にわたって配置されてもよい。同様に、図２Ａは遠隔論理ソルバ１４８、１５０、１５２を遠隔ＳＩＳ部分５２に含まれるものとして示しているが、遠隔論理ソルバ１４８、１５０、１５２は、遠隔ＳＩＳ部分５４内に、またはＳＩＳ１００の両方の遠隔部分５２、５４にわたって配置されてもよい。例解的、例示的なシナリオでは、（例えば、ローカル安全データハイウェイおよび／またはローカルＰＣＳデータハイウェイを介して１つ以上のメッセージおよび／または信号を受信または取得することによって）、様々な安全関連状態がローカル論理ソルバ１４２、１４４、１４６によって検出され得、そのいくつかは、ローカル論理ソルバ１４２、１４４、１４６から長距離の距離に遠隔に配置された１つ以上の受信側遠隔論理ソルバ１４８、１５０、１５２への送達のために、１つ以上のローカル論理ソルバ１４２、１４４、１４６にそれぞれの安全メッセージを生成させることができる。

【0042】

したがって、ローカル安全論理ソルバ１４２、１４４、１４６によって生成され、遠隔
安全論理ソルバ１４８、１５０、１５２のうちの１つ以上を宛先とする安全メッセージは、ＳＩＳ１００の長距離部分１３４を介してローカル環境１２から遠隔環境１４に伝送される。特に、図２Ａに示すように、ローカル論理ソルバ１４２、１４４、１４６によって生成された安全メッセージは、ＳＤＣ１２８、長距離リンク１３２、およびＳＤＤ１３０を介して、意図された受信側遠隔論理ソルバ１４８、１５０、１５２に送達される。しかしながら、とりわけ、安全メッセージをそれらのそれぞれの受信者（複数可）に送達するために利用される実際の伝送機構（例えば、ＳＩＳ１００の長距離送達部分１３４、またはローカル安全データハイウェイ、バス、またはリングなどのローカル伝送機構）は、論理ソルバ１４２、１４４、１４６、１４８、１５０、１５２に対して透過的であってもよい。一例では、「送付側」論理ソルバは、「受信側」論理ソルバが送付側論理ソルバに対してローカルに位置するか遠隔に位置するかを知らない。したがって、送付側論理ソルバは、安全メッセージのアドレスをそれぞれの意図された受信側論理ソルバとし、受信側論理ソルバがローカルに所在するか遠隔に所在するかに関係なく、同じ様式でメッセージを送信する。例えば、送信側論理ソルバは、受信側論理ソルバがローカルに所在するか遠隔に所在するかに関係なく、安全メッセージを生成してＩ／Ｏレベル（または他の何らかのレベルおよび／または通信フォーマット）で別の論理ソルバに送信することができる。具体的には、送付側ローカル論理ソルバ１４２、１４４、１４６は、生成された安全メッセージがＳＤＣ１２８を介して送信されるべきか否かといういかなる表示（例えば、アドレス、ラッパー、または他の表示）も提供する必要がない。つまり、ＳＤＣ１２８のアドレスまたは他の表示は、送付側論理ソルバ１４２、１４４、１４６によって生成された安全メッセージに示される必要はない。

【0043】

ＳＤＣ１２８は、送付側安全論理ソルバ１４２、１４４、１４６によって（および任意選択で他のローカル送付側安全論理ソルバによって）生成され、遠隔に位置する装置を宛先とする複数の安全メッセージが一時的に収集またはステージングされ、１つ以上の集約安全メッセージに結合されるゲートウェイまたはウェイステーションとして機能する。複数の安全メッセージを集約安全メッセージ（複数可）に結合することは、任意の好適な技術、例えば、圧縮、集約、統合、多重化、および／または他の好適な種類の個々のメッセージを単一メッセージに結合することを使用して遂行され得る。しかしながら、一般的に言えば、集約安全メッセージの全長は、集約安全メッセージを形成するために結合される個々の安全メッセージの長さの合計よりも短い。さらに、複数の安全メッセージを結合することは、１つ以上の基準に基づき得る。例えば、１つ以上の結合基準は、利用可能な帯域幅、最大帯域幅、雑音レベルなど、低帯域幅の長距離リンク１３２の少なくとも１つの特性を含むことができる。追加的または代替的に、安全メッセージの１つ以上の結合基準としては、メッセージ自体の特性、例えば、特定の主題に関する内容を含むメッセージ、共通の受信側装置を有するメッセージ、メッセージの所要到着時間、メッセージに含まれる安全情報の緊急性、メッセージに含まれる安全情報の優先度、許容遅延などが挙げられる。

【0044】

他の種類のメッセージ集約が可能であり得る。例えば、論理ソルバ１４２、１４４、１４６からＳＤＣ１２８で受信される予期されるハートビートメッセージは長距離リンク１３２を介して送信されなくてもよく、その代わりに、ＳＤＤ１３０が論理ソルバ１４２、１４４、１４６に代わって自動的にローカルで予期されるハートビートメッセージを生成し、それらをそれらのそれぞれの受信者に転送してもよい。しかしながら、ハートビートメッセージがＳＤＣ１２８の観点からみて予期しないパターンでＳＤＣ１２８で論理ソルバ１４２、１４４、１４６から受信された場合（例えば、予期しない内容、欠落メッセージ、遅延メッセージなど）、ＳＤＣ１２８は、次いで、長距離リンク１３２を介して、それを示す信号を生成してＳＤＤ１３０に送信することができる。当該信号を受信すると、ＳＤＤ１３０は、論理ソルバ１４２、１４４、１４６に代わって予期されるハートビートメッセージを生成するのをやめることができ、その代わりに予期しないパターンを示す安
全メッセージ／信号を生成し送付することができる。

【0045】

長距離リンク１３２の遠隔端で、ＳＤＤ１３０は、集約安全メッセージを受信し、そこから元の個々の安全メッセージを回復する。例えば、ＳＤＤ１３０は、ＳＤＣ１２８によって利用される結合技術の逆であるか、または別の方法でそれを打ち消す回復技術（例えば、解凍／圧縮、逆多重化／多重化、ラッピング／アンラッピングなど）を使用することができる。ＳＤＣ１３０は、回復された安全メッセージをＳＩＳの遠隔環境部分１４内に配置されたそれらの意図された受信側論理ソルバ１４８、１５０、１５２に送達する。例えば、ＳＤＤ１３０は、個々の回復された安全メッセージをＩ／Ｏレベルで、またはそれらのそれぞれの受信側安全論理ソルバ１４８、１５０、１５２にとって本来的な他の何らかのレベルおよび／もしくは通信フォーマットを使用することによって、送信する。受信された安全メッセージの受信および／または内容に基づいて、受信側論理ソルバ１４８、１５０、１５２は、トリップを引き起こす、バルブを開閉するなどのための制御メッセージまたは信号を送付することなどの、１つ以上の安全緩和措置を開始することができる。ローカル安全論理ソルバ１４２、１４４、１４６と同様に、遠隔安全論理ソルバ１４８、１５０、１５２は、ＳＩＳ１００に含まれる長距離伝送機構１３４の存在を知らないことがあり、かつ／または受信された安全メッセージが長距離伝送機構１３４を介して送達されたことさえ知らないことがあることに留意されたい。

【0046】

したがって、上記の説明に照らして、異なる安全メッセージを送達するために使用される伝送機構は、安全論理ソルバ１４２、１４４、１４６、１４８、１５０、１５２によって知られる必要はない。つまり、安全論理ソルバ１４２、１４４、１４６、１４８、１５０、１５２は、安全メッセージが長距離伝送機構１３４を介して送達されるべきか、それともローカル安全データハイウェイ、バス、もしくはリングを介して送達されるべきかについて知らないことがある。実際、上述したように、安全論理ソルバ１４２、１４４、１４６、１４８、１５０、１５２は、長距離伝送機構１３４の存在さえ知らないことがある。そのため、（例えば、ＳＤＣ１２８、長距離リンク１３２、およびペアをなすＳＤＤ１３０を含む）長距離伝送機構１３４は、ＳＩＳ１００内で、ＳＩＳ１００のローカル環境１２と遠隔環境１４とを相互接続する論理パイプとして機能し得る。その結果、ＳＤＣ１２８／ＳＤＤ１３０ペアおよび対応する長距離リンク１３２は、いかなる組み込み安全論理ソルバ１４２、１４４、１４６、１４８、１５０、１５２にも影響を与えず、さらには通知することもなく、プロセス制御プラント１０のＳＩＳ１００の既存のローカル環境１２および遠隔環境１４にシームレスに統合することができる。

【0047】

次に図２Ｂを参照すると、ＳＩＳ１００の長距離部分１３４の例示的な実施形態１５５では、ＳＤＣ１２８は１つ以上の内部関数Ｆ_ＳＤＣｘを含む。１つ以上の内部関数Ｆ_ＳＤＣｘは、安全論理ソルバ１４２、１４４、１４６からのどの安全メッセージを互いに結合すべきか、いつ安全メッセージを互いに結合すべきか、ならびにいつ集約安全メッセージを送信すべきか、および／またはＳＤＣ１２８による長距離リンク１３２を介した伝送のために提供すべきか、を決定する。１つ以上の内部関数Ｆ_ＳＤＣｘは、例えば、各安全メッセージの内容、安全メッセージのタイミング、各安全メッセージの緊急性、各安全メッセージの発信元である論理ソルバもしくは一組の安全メッセージの発信元である特定の組み合わせの安全論理ソルバ、受信された安全メッセージの数、各特定の安全論理ソルバから受信された安全メッセージの数、受信された安全メッセージの頻度、受信されていない予期される安全性メッセージ（例えば、「ハートビート」メッセージ）、などの１つ以上の因子および／もしくは入力、またはこれらの因子および／もしくは入力の何らかの組み合わせに基づいて、これらの決定を行う。

【0048】

例示的な一実装形態では、１つ以上の内部関数Ｆ_ＳＤＣｘは、各個々の安全メッセージの内容に基づいて、いくつかの個々の安全メッセージを１つの集約安全メッセージに結合
すべきであると決定する。いくつかのシナリオでは、各々が同じフィールド機器または同じ種類のフィールド装置に関連する個々の安全メッセージが結合される。追加的または代替的に、いくつかのシナリオでは、プラントの特定の位置またはユニットに関連した個々の安全メッセージが結合される。その上、いくつかのシナリオでは、オーバーフローなどのプラント内の特定の状態に関連する安全メッセージが結合され、かつ／または同じ安全論理ソルバで受信されるべき個々の安全メッセージが集約安全メッセージに結合される。

【0049】

例示的な一実装形態では、１つ以上の内部関数Ｆ_ＳＤＣｘは、ＳＤＣ１２８での個々の安全メッセージの受信のタイミングに基づいて、いくつかの個々の安全メッセージを集約安全メッセージに結合すべきであると決定する。例えば、いくつかの実施形態では、一定期間内にＳＤＣ１２８によって受信された個々の安全メッセージが結合される。別の例では、１つ以上の内部関数Ｆ_ＳＤＣｘは、ＳＤＣ１２８における個々の安全メッセージの受信のタイミングに基づいて、いつ個々の安全メッセージを結合すべきかを決定し、かつ／またはいつ集約安全メッセージを送信すべきか、および／もしくは長距離リンク１３２を介した伝送のために提供すべきかを決定する。例えば、いくつかの実施形態では、一定期間内にＳＤＣ１２８によって受信された個々の安全メッセージを結合することから作製された集約安全メッセージは、特定の時間にＳＤＤ１３０に送信される。

【0050】

追加的または代替的に、いくつかの実装形態では、１つ以上の内部関数Ｆ_ＳＤＣｘは、各個々の安全メッセージの緊急性に基づいて、いくつかの安全メッセージを集約安全メッセージに結合すべきであると決定する。例えば、緊急性が高い個々の安全メッセージが１つの集約安全メッセージに結合される一方、それほど緊急ではない個々の安全メッセージは別の集約安全メッセージまたは他の集約安全メッセージに結合される。その上、状況によっては、１つ以上の内部関数Ｆ_ＳＤＣｘは、個々の安全メッセージおよび／または集約安全メッセージの緊急性に基づいて、いつ個々の安全メッセージを集約安全メッセージに結合すべきか、またはいつ集約安全メッセージを送信すべきかを決定する。例えば、いくつかの実施形態では、緊急性が高い個々の安全メッセージはより早い時間に集約安全メッセージに結合され、かつ／または緊急性が高い安全メッセージを含む集約安全メッセージはより早い時間に送信される一方、それほど緊急ではない個々の安全メッセージは後で集約安全メッセージに結合され、かつ／または送信される。

【0051】

いくつかの実装形態では、１つ以上の内部関数Ｆ_ＳＤＣｘは、各個々の安全メッセージの発信元である安全論理ソルバに基づいて、または一組の安全メッセージの発信元である特定の組み合わせの安全論理ソルバに基づいて、個々の安全メッセージを集約安全メッセージに結合すべきであると決定する。例えば、いくつかのシナリオでは、特定の安全論理ソルバによって生成された一組の安全メッセージ（例えば、一定期間にわたって、または閾値数の安全メッセージが受信されるまで）が、１つの集約安全メッセージに結合される。別の例示的なシナリオとして、安全論理ソルバＡ、Ｂ、およびＣによって生成された（例えば、一定期間にわたって、または閾値数の安全メッセージが受信されるまで）個々の安全メッセージが１つの集約安全メッセージに結合される一方、安全論理ソルバＤおよびＥによって生成された安全メッセージは、別の集約安全メッセージに結合される。追加的または代替的なシナリオでは、１つ以上の内部関数Ｆ_ＳＤＣｘは、各安全メッセージの発信元である安全論理ソルバ、または一組の個々の安全メッセージの発信元である特定の組み合わせの安全論理ソルバに基づいて、個々の安全メッセージを結合すべきであると決定する。例えば、ＳＤＣ１２８が特定の安全論理ソルバから安全メッセージを受信すると（例えば、ＳＤＣ１２８が安全論理ソルバＡと安全論理ソルバＢの両方から安全メッセージを受信すると）、安全メッセージは直ちに集約安全メッセージに結合すべきであり、かつ／または集約安全メッセージは直ちに（もしくは一定時間内に）送信されるべきである。

【0052】

さらに、いくつかの実施形態では、１つ以上の内部関数Ｆ_ＳＤＣｘは、ＳＤＣ１２８に
よって受信された安全メッセージの数および／またはＳＤＣ１２８によって受信された個々の安全メッセージの頻度に基づいて、個々の安全メッセージを集約安全メッセージに結合すべきであると決定する。例えば、ＳＤＣ１２８が特定の閾値数の個々の安全メッセージを受信したとき、またはＳＤＣ１２８が特定の期間中に特定の閾値数の個々の安全メッセージを受信したとき、ＳＤＣ１２８が、受信された安全メッセージを集約安全メッセージに結合してもよい。同様に、いくつかのシナリオでは、１つ以上の内部関数Ｆ_ＳＤＣｘは、ＳＤＣ１２８によって受信された個々の安全メッセージの数および／またはＳＤＣ１２８によって受信された個々の安全メッセージの頻度に基づいて、いつ個々の安全メッセージを結合すべきかおよび／またはいつ集約安全メッセージを長距離リンク１３２を介して伝送すべきかを決定する。例えば、ＳＤＣ１２８が特定の閾値数の安全メッセージを受信すると、またはＳＤＣ１２８が特定の期間中に特定の閾値数の安全メッセージを受信すると、ＳＤＣ１２８は、受信された安全メッセージを集約安全メッセージに結合し、かつ／または集約安全メッセージを長距離リンク１３２を介して送信する。

【0053】

その上、いくつかの実装形態では、１つ以上の内部関数Ｆ_ＳＤＣｘは、予期される安全メッセージが受信されたかどうか（例えば、「ハートビート」メッセージ）に基づいて、または予期される安全メッセージが特定の時間間隔内に受信されたかどうかに基づいて、個々の安全メッセージを結合すべきかを決定する。追加的または代替的に、状況によっては、１つ以上の内部関数Ｆ_ＳＤＣｘは、受信されていない予期される安全メッセージに基づいて、または特定の時間間隔内に受信されていない予期される安全メッセージに基づいて、いつ安全メッセージを結合し、または送信すべきかを決定する。

【0054】

当然のことながら、上記の例示的な実装形態およびシナリオは、どの安全メッセージを互いに結合するか、いつ安全メッセージを結合するか、およびいつ集約安全メッセージを送信し、かつ／またはいつ長距離リンクを介した伝送のために提供すべきかを１つ以上の内部関数Ｆ_ＳＤＣｘが決定する方法のほんの一例に過ぎない。さらに、上記の例示的な結合の実装形態およびシナリオの各々は、単独でかつ／または他の結合の実装形態およびシナリオと組み合わせて、ＳＩＳ１００によって遂行されてもよい。

【0055】

追加的または代替的に、いくつかの実施形態では、ＳＤＤ１３０は１つ以上の内部関数Ｆ_ＳＤＤｙを含む。長距離リンク１３２を介して送信された結合安全メッセージを受信すると、１つ以上の内部関数Ｆ_ＳＤＤｙは、回復された個々の安全メッセージの各々を、受信する安全論理ソルバ１４８、１５０、１５２間でどのように配信すべきかを決定する。例えば、内部関数Ｆ_ＳＤＤｙは、同じ緩和措置をもたらす複数の安全メッセージがＳＤＤ１３０で、例えば異なる集約メッセージ内で受信されたと決定し、複製メッセージのうちの１つのみをその受信者に送達してもよい。別の実施形態では、ＳＤＤ１３０の１つ以上の内部関数Ｆ_ＳＤＤｙは、第１の特定の安全メッセージを受け取った後、特定の時間間隔内に第２の特定の安全メッセージがＳＤＤ１３０で受信されたかどうかに基づいて、異なる受信者が第２の特定の安全メッセージを受信すべきであると決定してもよい。当然のことながら、ＳＤＤ１３０の１つ以上の内部関数Ｆ_ＳＤＤｙを利用する他のシナリオも可能である。

【0056】

次に図２Ｃを参照すると、ＳＩＳ１００の長距離部分１３４の例示的な実施形態１５７では、ＳＤＣ１２８は、Ｆ_ＳＤＣｘに関連する処理のいくつかを取り扱う１つ以上の内部論理ソルバ１５８、１６０、１６２を含む。１つ以上の内部論理ソルバ１５８、１６０、１６２は、入力として、ローカル環境１２内に配置された他の安全論理ソルバ（例えば、安全論理ソルバ１４２、１４４、１４６）から安全メッセージおよび／または信号を受信する。内部論理ソルバ１５８、１６０、１６２は、安全メッセージの集約に対応する安全論理機能をそれぞれ遂行し、１つ以上の関数Ｆ_ＳＤＣｘへの入力として提供される得られた信号をそれぞれ出力もしくは提供する（または、状況によっては、それが遂行した安全
論理機能の結果として、いかなる信号も出力しない）。例えば、ＳＤＣ１２８に含まれる１つ以上の関数Ｆ_ＳＤＣｘは、閾値状態、特定の状態への投票、および／または複数の内部論理ソルバ１５８、１６０、１６２のうちの１つ以上によって示されるか示されない他の論理機能の出力に基づいて、長距離リンク１３２を介して様々な集約安全メッセージを集約および／または送信してもよい。例示的な一実施形態では、１つ以上の関数Ｆ_ＳＤＣｘは、内部論理ソルバ１５８、１６０、１６２のうちの１つ以上によって提供される１つ以上の安全状態または信号の有無に基づいて、長距離リンク１３２を介して送信されるべき様々な集約安全メッセージの内容および／または送信タイミングを決定してもよい。内部論理ソルバ１５８、１６０、１６２をＳＤＣ１２８に組み込むことによって、例えばローカル環境１２において、より簡単な構成および／またはローカル閾値／投票／論理機能要件への変更を可能にすることができる。さらに、この実施形態は、単一の安全データ集約解除器ＳＤＤ１３０が安全データ集約器ＳＤＣ１２８の複数インスタンスからの信号を処理する状況に特に適していることがある。追加的または代替的に、内部論理ソルバ１５８、１６０、１６２の使用は、長距離リンク１３２を介して利用される帯域幅を管理するのに役立ち得る。

【0057】

同様に、いくつかの実施形態では、ＳＤＤ１３０は、Ｆ_ＳＤＤｙに関連する処理のいくつかを取り扱う１つ以上の内部論理ソルバ１５９、１６１、１６３を追加的に含む。一実施形態では、ＳＤＤ１３０に含まれる内部論理ソルバ１５９、１６１、１６３の各々は、例えば図２Ｄに関して示し説明したものと同様の布置で、１つ以上の異なるＳＤＣ１２８にそれぞれ通信可能に接続され、それが受信した入力（複数可）に基づいてそれぞれの安全論理機能（例えば、閾値比較、特定の状態への投票、および／または他の種類の安全論理機能）を遂行する。得られた出力信号（または得られた出力信号の欠如）は、１つ以上の関数Ｆ_ＳＤＤｙへの入力として提供される。内部論理ソルバ１５９、１６１、１６３によって提供される安全状態または信号の有無に基づいて、ＳＤＤ１３０に含まれる１つ以上の関数Ｆ_ＳＤＤｙは、個々の安全メッセージを回復（および／または生成）し、遠隔環境１４内に配置された様々な受信者に送達してもよい。例えば、１つ以上の関数Ｆ_ＳＤＤｙは、１つ以上の内部論理ソルバ１５９、１６１、１６３によって示された信号／状態の有無に基づいて、１つ以上の個々の安全メッセージを遠隔環境１４内の１つ以上の追加の受信側安全論理ソルバに配信すべきであると、かつ／または１つ以上の回復された個々の安全メッセージをそれらの意図された受信者に送達する必要はないと（例えば、異なるＳＤＣ１２８からの回復された個々のメッセージの複製の場合）、決定してもよい。１つ以上の関数Ｆ_ＳＤＤｙは、内部論理ソルバ１５９、１６１、１６３によって提供される（および／または提供されない）種類の信号／状態の組み合わせに基づいて、内部論理ソルバ１５９、１６１、１６３などによって提供される（および／または提供されない）状態／信号のタイミングに基づいて、個々の安全メッセージを受信側論理ソルバに配信してもよい。

【0058】

さらなる柔軟性のために、いくつかの実施形態では、追加のまたは代替の内部論理ソルバ（図２Ｃには示さず）をＳＤＤ１３０に含め、１つ以上の関数Ｆ_ＳＤＤｙの少なくともいくつかの下流に配置することができる。そのため、そのような追加のまたは代替の内部論理ソルバは、１つ以上の関数Ｆ_ＳＤＤｙの少なくともいくつかの出力を受信し、それに対してそれぞれの論理機能を遂行して、遠隔環境１４内に配置された論理ソルバがどの個々の回復された（および／または生成された）安全メッセージを受信すべきか、ならびにいつ受信すべきかを決定する。内部論理ソルバ１５８、１６０、１６２（および／または１つ以上の関数Ｆ_ＳＤＤｙの出力を受信する追加のまたは代替の内部論理ソルバ）をＳＤＤ１３０に組み込むことによって、例えばローカル環境１２において、さらにより簡単な構成および／またはローカル閾値／投票／論理機能要件への変更を可能にすることができる。さらに、ＳＤＣ１２８に内部論理ソルバ１５８、１６０、１６２を含めることと同様に、ＳＤＤ１３０に内部論理ソルバ１５９、１６１、１６３を含めること（および／また
はＦ_ＳＤＤｙの下流に配置された追加の内部論理ソルバを含めること）は、単一の安全データ集約解除器ＳＤＤ１３０が複数の安全データ集約器ＳＤＣ１２８の複数インスタンスからの信号を処理する状況に特に適している。追加的または代替的に、ＳＤＤ１３０における内部論理ソルバ１５９、１６１、１６３の使用（および／またはＦ_ＳＤＤｙの下流に配置された追加の内部論理ソルバの使用）は、個々の安全メッセージを遠隔環境１４内の受信者に送達するために利用される帯域幅の管理に役立ち得る。

【0059】

いくつかの実施形態では、ＳＤＣ１２８および／またはＳＤＤ１３０自体は、ＳＤＣ１２８および／またはＳＤＤ１３０に、トリップまたは典型的に１つ以上のローカルに配置された論理ソルバに送達される他の種類の個々の安全メッセージを生成させる様々な安全状態をそれぞれ検出する。例えば、そのような状態を検出すると、ＳＤＣ１２８は、ローカル環境１２内に配置された様々な論理ソルバ１４２、１４４、１４６に、またはより多くの安全メッセージを送達してもよい。同様に、そのような状態を検出すると、ＳＤＤ１３０は、遠隔環境１４内に配置された様々な論理ソルバ１４８、１５０、１５２に、またはより多くの安全メッセージを送達してもよい。一般的に言えば、ＳＤＣ１２８によって、かつ／またはＳＤＤ１３０によって検出される安全状態は、ペア１２８、１３０を相互接続する長距離リンク１３２の状態および／または状況に関係する。そのような状態の例としては、通信パケットの損失（例えば、所定の時間間隔にわたる）、劣悪な通信パケット品質（例えば、所定の時間間隔にわたる所定の閾値未満の品質）、劣悪な通信パケット品質の程度（例えば、Ｘ時間間隔にわたって所定の閾値Ａを下回る品質、Ｙ時間間隔にわたって所定の閾値Ｂを下回る品質など）が挙げられる。長距離リンク１３２に関連する様々な安全状態の検出は、それぞれの１つ以上の内部関数（例えば、それぞれＦ_ＳＤＣｘおよびＦ_ＳＤＤｙ）によって、かつ／またはそれぞれの１つ以上の内部論理ソルバ（例えば、それぞれ内部論理ソルバ１５８、１６０、１６２および／もしくは内部論理ソルバ１５９、１６１、１６３）によって、ＳＤＣ１２８内および／またはＳＤＣ１３０内で実装することができる。ＳＤＣ１２８および／またはＳＤＤ１３０によって生成されたトリップおよび／または安全メッセージは、所望により、正論理（例えば、様々な状態の不在）ならびに／または負論理（例えば、パケットが到着するとき、および／もしくは明示的なインジケータを含むときなどの、様々な状態の存在）によってトリガされ得る。

【0060】

図２Ｄを参照すると、ＳＩＳ１００の例示的な実施形態１６５では、ＳＩＳ１００は、ローカル環境１２内に配置されたＳＤＣ１２８、１６８_１～１６８_ｍの複数インスタンスをサポートする、かつ／または遠隔環境１４内に配置されたＳＤＤ１３０、１７０_１～１７０_ｎの複数インスタンスをサポートする、複数の長距離リンク１３２、１６７、１６９、１７１、１７３を含んでいてもよい。ＳＤＣ１２８、１６８_１～１６８_ｍとＳＤＤ１７０_１～１７０_ｎとの具体的なペアリングは、一対一（例えば、長距離リンク１３２を介してＳＤＣ１２８とＳＤＤ１３０）、多対一（例えば、長距離リンク１６７を介してＳＤＣ１６８_１とＳＤＤ１７０_ｎ、および長距離リンク１６９を介してＳＤＣ１６８_２とＳＤＤ１７０_ｎ）、ならびに／または一対多（例えば、長距離リンク１７１を介したＳＤＣ１６８_ｍとＳＤＤ１７０_１、および長距離リンク１７３を介したＳＤＣ１６８_ｍとＳＤＤ１７０_２）であってもよい。ＳＤＣ１２８、１６８_１～１６８_ｍの各インスタンスおよびＳＤＤ１３０、１７０_１～１７０_ｎの各インスタンスは、ＳＩＳ１００内の他のインスタンスと同様の、部分的に同様の、またはそれとは異なる様式で個々に構成されてもよい。例えば、各ＳＤＣインスタンス１２８、１６８_１～１６８_ｍは、それぞれの１つ以上の関数Ｆ_ＳＤＣｘおよび／またはそれぞれの１つ以上の内部論理ソルバ１５８、１６０、１６２を含んでもよい。同様に、各ＳＤＤインスタンスは、それぞれの１つ以上の関数Ｆ_ＳＤＤｙならびに／またはそれぞれの１つ以上の内部論理ソルバ１５９、１６１、１６３（および／もしくはそのそれぞれの１つ以上の関数Ｆ_ＳＤＤｙの下流に配置された１つ以上の追加の内部論理ソルバ）を含んでもよい。

【0061】

図３は、長距離プロセスプラントにおける例示的な長距離安全計装システム（ＳＩＳ）に関連する信号図３００を示す。説明を容易にするためであり、限定する目的ではないが、図１および図２Ａを同時に参照すると、信号図３００は、第１の組の安全論理ソルバ３０２（例えば、安全論理ソルバ１４２、１４４、１４６など）、安全データ集約器３０４（例えば、ＳＤＣ１２８など）、安全データ集約解除器３０６（例えば、ＳＤＤ１３０など）、および第２の組の安全論理ソルバ３０８（例えば、安全論理ソルバ１４８、１５０、１５２など）を含む。第１の組の安全論理ソルバ３０２は、プロセスプラント（例えば、プロセスプラント１０）の第１の部分（例えば、ローカル環境１２に対応するＳＩＳの部分５０）に対応する一方、第２の組の安全論理ソルバ３０８は、例えば、プロセスプラント１０の第２の遠隔部分（例えば、遠隔環境１４に対応するＳＩＳの部分５２）に対応する。

【0062】

信号図３００において、第１の組の安全論理ソルバ３０２は、（例えば、プラントで検出された安全状態に基づいて）複数の安全メッセージを生成する（３１０）。安全論理ソルバ３０２は、複数の安全メッセージをＳＤＣ３０４に、例えばＩ／Ｏレベルで直接通信する（３１２）。つまり、安全論理ソルバ３０２は、安全環境ソルバ３０２がローカル環境１２内で互いに通信するのと同じ方法で、複数の安全メッセージをＳＤＣに通信する。次に、ＳＤＣ３０４は、複数の安全メッセージを１つの集約安全メッセージに結合する（３１４）。その上、ＳＤＣ３０４は、集約安全メッセージを長距離リンク（例えば、長距離リンク１３２）を介してＳＤＤ３０６に送信する（３１６）。ＳＤＤ３０６は、集約安全メッセージから複数の安全メッセージを回復する（３１８）。加えて、ＳＤＤ３０６は、回復された複数の安全メッセージを第２の組の安全論理ソルバ３０８に、例えばＩ／Ｏレベルで直接通信する（３２０）。したがって、第２の組の安全論理ソルバ３０８は、回復された複数の安全メッセージに基づいて適切なプロセス制御／緩和措置を講じる（３２２）。当然のことながら、信号図３００は例示的なものに過ぎず、データを送信する追加のまたは代替の手段が追加のまたは代替の実施形態で実装されてもよい。

【0063】

図４Ａは、長距離プロセスプラント（例えばプロセスプラント１０など）で使用するための例示的方法４００の流れ図を示す。いくつかの実施形態では、方法４００は、安全計装システム（例えば、ＳＩＳ１００）の安全データ集約器（例えば、ＳＤＣ１２８および／またはＳＤＣ３０４）によって遂行される。一般的に言えば、方法４００は、図１および図２Ａ～図２Ｄに示されるシステム（およびその部分）または他のシステムの実施形態とともに、かつ／または図３の信号図３００と協調して、動作し得る。それらを同時に参照しながら、（限定ではなく）例示のために、方法４００を以下に説明する。

【0064】

ブロック４０２で、第１の組の１つ以上の安全論理ソルバ（例えば、安全論理ソルバ１４２、１４４、１４６、または３０２）によって生成された複数の安全メッセージが、例えばＳＤＣ１２８および／またはＳＤＣ３０４によって、受信される。第１の組の安全論理ソルバは、第１の組のプロセス制御装置と通信可能に接続され（かつそれによって、第１の組のプロセス制御装置からの、および／または第１の組のプロセス制御装置に関連する信号またはメッセージを受信する）、第１の組のプロセス制御装置は、例えば、他の安全論理ソルバまたは制御器、安全フィールド装置、プロセス制御フィールド装置、プロセス制御制御器などを含み得る。一般的に言って、第１の組の１つ以上の安全論理ソルバおよび第１の組のプロセス制御装置は、同じ環境内にローカルに配置されている。

【0065】

ブロック４０４において、複数の安全メッセージは、例えばＳＤＣ１２８および／またはＳＤＣ３０４によって単一の集約安全メッセージに結合される。複数の安全メッセージを結合することは、例えば、圧縮、集約、統合、多重化、および／または任意の他の好適な種類の安全メッセージを結合することを含む。いくつかの実施形態では、複数の安全メッセージは、集約安全メッセージの送信予定時刻に基づいて単一の集約安全メッセージに
結合される。例えば、同じ送信予定時刻を有する複数の安全メッセージが、単一の集約安全メッセージに結合される。

【0066】

特定の実施形態または例では、単一の集約安全メッセージに結合される複数の安全メッセージは、１つの特定の安全論理ソルバによって生成される。他の実施形態または例では、単一の集約安全メッセージに結合される複数の安全メッセージは、複数の安全論理ソルバによって生成される。加えて、いくつかの実施形態または例では、複数の異なる種類の安全メッセージが単一の集約安全メッセージに結合される一方、他の実施形態または例では、複数の１つの特定の種類の安全メッセージが単一の集約安全メッセージに結合される。安全メッセージを結合するための他の基準としては、本明細書の他の箇所で前述したものなどの基準、および／または他の望ましい基準が挙げられる。結合基準の評価は、例えば、ＳＤＣに含まれる１つ以上の内部関数Ｆ_ＳＤＣｘによって遂行することができる。

【0067】

ブロック４０６において、集約安全メッセージは、（例えば、ＳＤＣ１２８および／またはＳＤＣ３０４によって）長距離リンク（例えば、長距離リンク１３２）を介して安全データ集約解除器（例えば、ＳＤＤ１３０および／またはＳＤＤ３０６）に送信される。長距離リンクは、例えば、有線通信機構、高帯域幅リンク内の低帯域幅ＶＰＮ、光ファイバリンク、海底ケーブル、長距離無線リンク、または他の任意の好適な低帯域幅の長距離リンクである。長距離リンクは、ＳＩＳの第１の部分（例えば部分４６、４８、および／または５０）をＳＩＳ（例えばＳＩＳ１００）の第２の部分（例えば部分５２、および／または５４）に接続する。いくつかの実施形態では、ＳＩＳの第２の部分はＳＩＳの第１の部分から地理的に遠隔にある。例えば、長距離プロセスプラントは、プロセスプラントの他の部分から遠隔にある石油パイプライン、沖合プラットフォーム、遠隔坑口などを含むことができる。そのような場合、例えば、ＳＩＳの第１の部分は地上に位置する一方、第２の部分は地下に位置する。別の例として、ＳＩＳの第１の部分は陸上に位置することができる一方、第２の部分は水域または水中に位置することができる。さらに別の例として、ＳＩＳの第１の部分は、第２の部分の位置から地理的に遠隔にあるプロセスプラントの部分内に位置することができる。

【0068】

ＳＤＤは、ＳＩＳの第２の部分に対応し、送信された集約安全メッセージを受信し、そこから複数の安全メッセージを回復し、その後回復されたメッセージを第２の組の安全論理ソルバ（例えば安全論理ソルバ１４８、１５０、１５２、または３０８）に通信する。第２の組の安全論理ソルバはＳＩＳの第２の部分内に配置され、プロセス制御システムの第２の組のプロセス制御装置と動作可能に通信する（それによってプロセス制御システムの第２の組のプロセス制御装置にメッセージ／信号を送信または送付することができる）。第２の組のプロセス制御装置もＳＩＳの第２の部分内に配置され、例えば、他の安全論理ソルバまたは制御器、安全フィールド装置、プロセス制御フィールド装置、プロセス制御制御器などを含み得る。

【0069】

いくつかの実施形態では、単一の集約安全メッセージは、複数の安全メッセージのうちの少なくとも１つによって示された１つ以上の安全状態に基づいて長距離リンクにわたって送信される。他の実施形態では、単一の集約安全メッセージは、複数の安全メッセージのうちの１つ以上に適用される閾値論理比較器の出力に基づいて長距離リンクを介して送信される。さらに他の実施形態では、単一の集約安全メッセージは、複数の安全メッセージのうちの１つ以上に適用される論理評価器の出力に基づいて長距離リンクを介して送信される。追加的または代替的に、さらに他の実施形態では、単一の集約安全メッセージは、複数の安全メッセージ中の特定の安全メッセージの有無に基づいて長距離リンクを介して送信される。さらに他の実施形態では、単一の集約安全メッセージは、複数の安全メッセージのうちの１つ以上の内容に基づいて長距離リンクを介して送信される。当然のことながら、いくつかの実施形態では、単一の集約安全メッセージは、本明細書に記載の前述
の因子もしくは出力の倍数に基づいて、および／または列挙されていない要因もしくは出力に基づいて長距離リンクにわたって送信される。一実施形態では、ＳＤＣに含まれる１つ以上の安全論理ソルバは、閾値比較器、投票論理評価器、ならびに／または安全メッセージおよび／もしくは状態に関連する論理機能を決定し因子を処理し出力を生成するための他の機構および／もしくは技術を含む。

【0070】

いくつかの実施形態では、単一の集約安全メッセージは、例えば１つ以上の長距離リンクを介して複数のＳＤＤに送信される。例えば、単一の集約安全メッセージは、ＳＩＳの様々な部分内の追加のＳＤＤに送信されてもよく、いくつかの実施形態では、異なる遠隔に所在する長距離部分に送信されてもよい。加えて、いくつかの実施形態では、複数の集約安全メッセージが１つ以上のＳＤＤに送信され、それらは同じ遠隔の長距離部分内に、またはいくつかの遠隔の長距離部分にわたって配置されてもよい。

【0071】

いくつかの実施形態では、安全メッセージは、長距離リンクとははっきり異なるローカルリンクを介してＳＩＳの部分間でさらに送信される。他のリンクは一般に、互いに近接しているＳＩＳの部分を接続するように構成されたリンクである。つまり、長距離リンクが互いに（地理的にまたは別の方法で）遠隔なＳＩＳの部分を接続する一方、第２のリンクは互いに比較的近い（例えばローカルに配置された）ＳＩＳの部分を接続する。いくつかの実施形態では、互いに近接しているＳＩＳの部分を接続するリンクは高帯域幅のリンクである一方、長距離リンクは低帯域幅のリンクである。

【0072】

図４Ｂは、長距離プロセスプラント（例えば、プロセスプラント１０）で使用するための例示的な方法４５０の流れ図を示す。いくつかの実施形態では、方法は、安全計装システム（例えば、ＳＩＳ１００）の安全データ集約解除器（例えば、ＳＤＤ１３０および／またはＳＤＤ３０６）によって遂行される。一般的に言えば、方法４５０は、図１および図２Ａ～図２Ｄに示されるシステム（およびその部分）または他のシステムの実施形態とともに、かつ／または図３の信号図３００と協調して、動作し得る。いくつかの実施形態では、方法４５０は、方法４００の少なくとも一部とともに動作してもよい。

【0073】

ブロック４５２において、安全データ集約器（例えば、ＳＤＣ１２８および／またはＳＤＣ３０４）によって送信された単一の集約安全メッセージは、例えばＳＤＤ１３０および／またはＳＤＤ３０６によって長距離リンクを介して受信される。集約安全メッセージが受信されるＳＤＣは、ＳＩＳの第１の部分（例えば部分５０）に対応し、第１の組の１つ以上の安全論理ソルバ（例えば、安全論理ソルバ１４２、１４４、１４６、または３０２）に通信可能に接続されている。安全論理ソルバは、ＳＩＳの第１の部分にも対応する。安全論理ソルバはさらに、第１の組のプロセス制御装置と動作可能に通信し（それによって、第１の組のプロセス制御装置からの、および／または第１の組のプロセス制御装置に関連する信号もしくはメッセージを受信し）、第１の組のプロセス制御装置は、例えばプロセス制御システムの他の安全論理ソルバまたは制御器、安全フィールド装置、プロセス制御フィールド装置、プロセス制御制御器などを含み得る。第１の組のプロセス制御装置は一般に、ＳＩＳ１００の第１の部分内に配置されている。その上、ＳＤＣは、第１の組の安全論理ソルバによって生成された複数の安全メッセージを集約安全メッセージに結合し、集約安全メッセージを長距離リンクを介してＳＤＤに送信するように構成されている。いくつかの実施形態では、同様の構成の複数のＳＤＣによって（すなわち、ＳＩＳの他の部分で）送信された集約安全メッセージが受信される。集約安全メッセージは、例えば、有線通信機構、高帯域幅のリンク内の低帯域幅のＶＰＮ、光ファイバリンク、海底ケーブル、長距離無線リンク、またはＳＩＳの様々な部分から集約安全メッセージを送受信するように構成された他の任意の好適な低帯域幅の長距離リンク、などの長距離リンク（例えば、長距離リンク１３２）を介して送受信される。

【0074】

いくつかの例では、ＳＤＣは１つの安全論理ソルバによって生成された複数の安全メッセージを結合する一方、他の例では、ＳＤＣは複数の安全論理ソルバによって生成された安全メッセージを結合する。同様に、いくつかの構成では、ＳＤＣは複数の異なる種類の安全メッセージを単一の集約メッセージに結合する一方、他の構成では、ＳＤＣは複数の同様の種類の安全メッセージを単一の集約メッセージに結合する。いくつかの実施形態では、ＳＤＣは、集約安全メッセージの送信予定時刻に基づいて、第１の組の安全論理ソルバによって生成された複数の安全メッセージを集約安全メッセージに結合する。当然のことながら、いくつかの実施形態では、これらの様々な構成が組み合わされる。

【0075】

加えて、集約安全メッセージは、複数の安全メッセージのうちの少なくとも１つによって示された１つ以上の安全状態に基づいて送信される。いくつかの実施形態では、集約安全メッセージは、複数の安全メッセージのうちの１つ以上に適用される閾値論理比較器の出力に基づいて送信される。他の構成では、集約安全メッセージは、複数の安全メッセージのうちの１つ以上に適用される論理評価器（例えば、閾値評価器、投票評価器、および／または他の安全機能評価器）の出力に基づいて送信される。追加または代替の実施形態では、集約安全メッセージは、結合された複数の安全メッセージ中の特定の安全メッセージの有無に基づいて送信される。他の実施形態では、集約安全メッセージは、複数の安全メッセージのうちの１つ以上の内容に基づいて送信される。

【0076】

ＳＤＤは、第２の組の安全論理ソルバ（例えば、安全論理ソルバ１４８、１５０、１５２、または３０８）に通信可能に接続されている。第２の組の安全論理ソルバは、ＳＩＳの第２の部分（例えば部分５２）に対応し、プロセス制御システムの第２の組の１つ以上のプロセス制御装置（例えば、安全システムフィールド装置）と動作可能に通信する（それによってプロセス制御システムの第２の組の１つ以上のプロセス制御装置にメッセージ／信号を送信または送付することができる）。第２の組のプロセス制御装置は一般に、ＳＩＳの第２部分に配置され、例えば他の安全論理ソルバまたは制御器、安全フィールド装置、プロセス制御フィールド装置、プロセス制御制御器などを含むことができる。

【0077】

ブロック４５４において、例えばＳＤＤ１３０および／またはＳＤＤ３０６によって単一の集約安全メッセージから複数の安全メッセージが回復され、ブロック４５６において、回復された複数の安全メッセージが、例えばＳＤＤ１３０および／またはＳＤＤ３０６によって、第２の組の安全論理ソルバに含まれるそれぞれの意図された受信者に通信される。一般的に言えば、意図された受信者は、第２の組の論理ソルバが通信可能に接続されている第２の組のプロセス制御装置に含まれる。いくつかの実施形態では、回復された安全メッセージは、回復された安全メッセージのうちの１つ以上によって示された１つ以上の安全状態に基づいて第２の組の安全論理ソルバに通信される。

【0078】

他の実施形態では、回復された安全メッセージは、回復された安全メッセージのうちの１つ以上に適用される閾値論理比較器の出力に基づいて第２の組の安全論理ソルバに通信される。いくつかの構成では、回復された安全メッセージは、回復された安全メッセージのうちの１つ以上に適用される論理評価器（例えば、閾値評価器、投票評価器、および／または他の安全機能評価器）の出力に基づいて第２の組の安全論理ソルバに通信される。追加または代替の構成では、回復された安全メッセージは、回復された安全メッセージ内の特定の安全メッセージの有無に基づいて第２の組の安全論理ソルバに通信される。さらに他の実施形態では、回復された安全メッセージは、回復された安全メッセージのうちの１つ以上の内容に基づいて第２の組の安全論理ソルバに通信される。特定の例では、特定の回復された安全メッセージは特定の安全論理ソルバのみに通信される一方、他の回復された安全メッセージは他の安全論理ソルバに通信される。他の例では、当然のことながら、全ての回復された安全メッセージは全ての安全論理ソルバに通信される。当然のことながら、受信され回復された安全メッセージは、本明細書に記載の複数の因子のうちの１つ
以上に基づいて、かつ／または他の因子に基づいて様々な受信者に送信され得る。一実施形態では、安全メッセージをローカルで様々な受信者に送達することに関連する安全ロジックを決定するための１つ以上の安全論理ソルバ、例えば閾値比較器、投票論理評価器、および／または他の安全論理機能機構がＳＤＤに含まれる。

【0079】

いくつかの実施形態では、安全メッセージは、ＳＩＳの遠隔に所在する部分間の第２のリンクを介してさらに送信される。いくつかの実施形態では、第２のリンク（例えば、衛星リンク、光ファイバリンクなど）は、長距離リンクよりも高い帯域幅を有する。第２のリンクは、例えば、受信がよりタイムクリティカルである安全メッセージを送信するために使用されてもよい。加えて、いくつかの実施形態では、第２のリンクを介して送信される安全メッセージは集約されない。

【0080】

図５Ａは、図１の安全計装システムおよび本明細書に記載のその実施形態、例えば図２Ａ～図２Ｄおよび／または図３に関連して説明したものに含めることができる例示的な安全データ集約器（ＳＤＣ）５００のブロック図を示す。追加的または代替的に、安全データ集約器５００を利用して、それぞれ図４Ａおよび図４Ｂの方法４００および／または方法４５０の実施形態を遂行することができる。説明を容易にするためであり、限定する目的ではないが、図１および２Ａ～２Ｄを同時に参照しながら図５Ａを以下に説明される。

【0081】

図５Ａに示すように、ＳＤＣ５００は、１つ以上のプロセッサ５０２（いくつかの実装形態では、マルチコアプロセッサとすることができる）および１つ以上の有形の非一時的コンピュータ可読媒体またはメモリ５０５を含む。１つ以上の有形の非一時的コンピュータ可読媒体またはメモリ５０５には、集約安全メッセージを生成し、長距離プロセスプラント１０にサービスを提供する安全計装システム１００の長距離リンク１３２を介して送信するための実行可能命令５０８が記憶される。つまり、コンピュータ実行可能命令５０８は、１つ以上のプロセッサ５０２によって実行されると、ＳＤＣ５００に、ＳＤＣ５００に関してＳＩＳ１００内にローカルに配置された論理ソルバ１４２、１４４、１４６によって生成された安全メッセージまたは信号（例えば、個々の安全メッセージまたは信号）を受信または取得させ、受信された２つ以上の安全メッセージを１つ以上の集約基準（例えば、上述のような）に従って単一の集約安全メッセージに集約し、単一の集約安全メッセージをそれぞれの長距離リンク（例えば、長距離リンク１３２、１６７、１６９、１７１、１７３）を介して１つ以上の安全データ集約解除器（ＳＤＤ）（例えば、ＳＤＤ１３０、１７０_１～１７０_ｎの１つ以上）に送信する。一般的に言えば、ＳＤＣ５００によって生成された生成された単一の集約安全メッセージの全長は、集約安全メッセージを構成するローカル安全メッセージのそれぞれの長さの合計よりも短い。コンピュータ実行可能命令５０８は、本明細書では集約命令５０８と呼ばれ、選択されたローカル安全メッセージがそれに基づいて結合されたり結合されなかったりする様々な基準を示す１つ以上の内部関数Ｆ_ＳＤＣｘを含むか、または実装することができる。

【0082】

ＳＤＣ５００は、ローカルに配置された論理ソルバ（例えば、ローカル論理ソルバ１４２、１４４、１４６）によって生成された安全メッセージ５１２ａ～５１２ｎがそれを介して取得される１つ以上のローカルＳＩＳインターフェース５１０を含む。例示的な一実装形態では、１つ以上のローカルＳＩＳインターフェース５１０は、安全メッセージがローカル環境１２内に配置されたＳＩＳ１００の部分内でそれを介して送達される１つ以上のローカル安全データハイウェイまたはローカル安全通信バスに通信可能に接続されている。例えば、１つ以上のローカルＳＩＳインターフェース５１０は、例えばＩ／Ｏカードを介して、ならびに／またはＩ／Ｏカードによってサポートされているプロトコルおよび／もしくはフォーマットを使用することによって、ＳＩＳ１００の様々な構成要素間で情報が交換されるレベルで動作し得る。

【0083】

得られたローカルで生成された安全メッセージ５１２ａ～５１２ｎは、ステージング領域５１５においてＳＤＣ５００によってステージングされる（例えば、一時的に記憶される）。ステージング領域５１５は、図５Ａに示されるようにＳＤＣ５００に含まれてもよく、またはＳＤＣ５００の外部に、ＳＤＣ５００からアクセス可能に配置されてもよい（図示せず）。ステージング領域５１５は、１つ以上のメモリ５０５上に実装されてもよく、または異なる組の１つ以上のメモリ（図示せず）上に実装されてもよい。例示的な一構成では、集約命令５０８は、１つ以上の状態、例えば重複したメッセージをステージングしないこと、記憶装置を最適化するようにステージング領域５１５のメモリ構成を管理すること、様々な安全メッセージに関連するタイマーをオンオフすること、ステージング領域５１５から安全メッセージを消去または除去すること、などに基づいて、取得された安全メッセージ５１２ａ～５１２ｎのステージングを制御する。

【0084】

集約命令５０８は、ステージングされたローカル安全メッセージ５１２ａ～５１２ｎの少なくとも一部に対して動作し、１つ以上の結合基準に従って、例えば安全メッセージの内容、様々な安全メッセージを生成したそれぞれのローカル論理ソルバ、様々な安全メッセージの受信者となるそれぞれの遠隔論理ソルバ、安全メッセージの緊急性、送信予定タイミングまたは時刻、いくつかの受信／取得された安全メッセージ、ある種類の安全メッセージ、受信／取得された安全メッセージの頻度、および／または他の好適な結合基準に基づいて、例えば２つ以上のステージングされた安全メッセージを単一の集約安全メッセージ５１８に結合する。２つ以上のステージングされた安全メッセージを単一の集約安全メッセージ５１８に集約することは、ステージングされた安全メッセージのヘッダに対しておよび／またはステージングされた安全メッセージの内容に対して遂行され得る圧縮、統合、多重化などの任意の１つ以上の好適な技術を利用し得る。

【0085】

ＳＤＣ５００は、それを介して集約安全メッセージ５１８がそれぞれの長距離リンク（例えば、長距離リンク１３２、１６７、１６９、１７１、１７３）を介してそれぞれのＳＤＤに送信される１つ以上の長距離リンクインターフェース５２０を含む。いくつかの実装形態では、ＳＤＣ５００は、例えばＳＩＳ１００のローカル部分１２と遠隔部分１４とを相互接続する複数種類の長距離リンクを含むＳＩＳ１００の構成をサポートするために、様々な種類の複数の長距離リンクインターフェース５２０を含む。例えば、ＳＤＣ５００は、高帯域幅の長距離リンクに含まれるかまたは収容される仮想リンクへの長距離リンクインターフェース５２０を含み得、長距離無線リンクへの異なる長距離リンクインターフェース５２０も含み得る。

【0086】

いくつかの実施形態では、ＳＤＣ５００は、１つ以上の内部論理ソルバ５２２ａ～５２２ｍを含む。例えば、１つ以上の内部論理ソルバ５２２ａ～５２２ｍは、内部論理ソルバ１５８、１６０、１６２の１つ以上を含み得る。図５Ａでは、内部論理ソルバ５２２は、ローカルＳＩＳインターフェース５１０の下流かつプロセッサ５０２および／または安全メッセージステージング領域５１５の上流に配置されるように示されている。つまり、内部論理ソルバ５２２は、ローカルＳＩＳインターフェース５１０からメッセージおよび／または信号を受信し、出力をプロセッサ５０２に送達する。いくつかの実施形態（図示せず）では、内部論理ソルバ５２２の１つ以上は、それぞれのローカルＳＩＳインターフェース５１０を一体的に含み得る。

【0087】

内部論理ソルバ５２２の各々は、取得されたローカルに生成された安全メッセージまたはその欠如を示す信号（図５Ａにおいて参照番号５２５によって集合的に表される）に対して動作し、それらに対してそれぞれの論理演算（例えば、閾値比較、投票機能など）を遂行し、プロセッサ５０２に提供されるそれぞれの出力信号（図５Ａにおいて参照符号５２８によって集合的に表されている）を生成し得る。集約命令５０８を実行するプロセッサ５０２は、結合関数Ｆ_ＳＤＣｘへの追加の入力として出力信号５２８を利用することが
できる。例えば、内部論理ソルバ５２２の出力信号に基づいて、集約命令５０８は、１つ以上のステージングされた安全メッセージ５１２ａ～５１２ｎを選別または削除することができ、ローカル安全メッセージを収集するための時間間隔に対応するタイマーを開始または停止することができ、単一のローカルで生成された安全メッセージを他の安全メッセージと結合することなく送信することができ、長距離インターフェース５２０などを介してＳＩＳの１つ以上の遠隔部分に送達するための新しい安全メッセージを生成することができる。

【0088】

図５Ｂは、図１の安全計装システムおよび本明細書に記載のその実施形態、例えば図２Ａ～２Ｄおよび／または図３に関連して説明したもの、に含まれ得る例示的な安全データ集約解除器（ＳＤＤ）５５０のブロック図を示す。追加的または代替的に、安全データ集約解除器５５０を利用して、それぞれ図４Ａおよび図４Ｂの方法４００および／または方法４５０の実施形態を遂行することができる。さらに追加的または代替的に、安全データ集約解除器５５０は、安全性データ集約器５００とともに利用することができる。説明を容易にするためであり、限定する目的ではないが、図１、図２Ａ～２Ｄ、および図５Ｂを同時に参照しながら図５Ｂを以下に説明する。

【0089】

図５Ｂに示すように、ＳＤＤ５５０は、１つ以上のプロセッサ５５２（いくつかの実装形態では、マルチコアプロセッサとすることができる）、および実行可能命令５５８が記憶された１つ以上の有形の非一時的コンピュータ可読媒体またはメモリ５５５を含む。コンピュータ実行可能命令５５８は、例えば、長距離プロセスプラント１０にサービスを提供する安全計装システム１００の長距離リンク１３２を介して集約安全メッセージから個々の安全メッセージを回復し、個々の安全メッセージをそれぞれの受信者に送達するように実行可能である。つまり、コンピュータ実行可能命令５５８は、１つ以上のプロセッサ５５２によって実行されると、ＳＤＤ５５０に、ＳＩＳ１００の長距離リンク１３２を介して集約安全メッセージを受信させ、集約安全メッセージをその個々の安全メッセージへと集約解除させ（または別の方法で集約安全メッセージから個々の安全メッセージを回復させ）、回復された安全メッセージをＳＤＤ５５０に関してＳＩＳ１００内にローカルに配置された受信側安全論理ソルバに（例えば論理ソルバ１４８、１５０、１５２に）通信させる。一般的に言えば、ＳＤＤ５５０で受信または取得された単一の集約安全メッセージの全長は、集約安全メッセージを構成する個々の安全メッセージのそれぞれの長さの合計よりも短い。コンピュータ実行可能命令５５８は、本明細書では集約解除命令５５８と呼ばれ、選択されたローカル安全メッセージがそれに基づいて受信側ローカル安全論理ソルバに通信されたり通信されなかったりする１つ以上の基準を示す１つ以上の内部関数Ｆ_ＳＤＤｙを含むか、または実装することができる。

【0090】

ＳＤＤ５５０は、それを介して集約安全メッセージ（例えば、図５Ａに示す集約安全メッセージ５１８）がそれぞれの長距離リンク（例えば、長距離リンク１３２、１６７、１６９、１７１、１７３）を介してＳＤＣ１２８、１６８_１～１６８_ｍ、５００などのそれぞれのＳＤＣから受信される１つ以上の長距離リンクインターフェース５６０を含む。いくつかの実装形態では、ＳＤＤ５５０は、例えばＳＩＳ１００のローカル部分１２と遠隔部分１４とを相互接続する複数種類の長距離リンクを含むＳＩＳ１００の構成をサポートするために、様々な種類の複数の長距離リンクインターフェース５６０を含む。例えば、ＳＤＤ５５０は、有線通信リンク上に便乗した長距離リンクへの長距離リンクインターフェース５６０を含み得、長距離無線リンクへの異なる長距離リンクインターフェース５６０も含み得る。

【0091】

集約解除メッセージ５５８は、受信された集約安全メッセージ５１８に対して動作し、長距離リンクの他端で集約安全メッセージ５１８を形成するように結合された個々の安全メッセージ５１２ａ～５１２ｎを回復することができる。単一の集約安全メッセージ５１
８から個々の安全メッセージ５１２ａ～５１２ｎを回復することは、解凍、逆統合、逆多重化などの任意の１つ以上の好適な技術を利用することができ、これは、集約安全メッセージ５１８のヘッダおよび／または集約安全メッセージ５１８の内容に対して遂行され得る。一実施形態では、集約解除命令５５８は、長距離リンクの送信端で集約安全メッセージ５１８を生成したそれぞれのＳＤＣ５００によって利用された結合技術に関して反対または逆の技術を遂行することによって、集約安全メッセージ５１８から個々の安全メッセージを分離する。

【0092】

一実施形態では、集約解除命令５５８は、ステージング領域５６２を利用して、集約安全メッセージおよび回復された安全メッセージをステージングまたは一時的に記憶することができる。ステージング領域５６２は、図５Ｂに示されるようにＳＤＤ５５０に含まれてもよく、またはＳＤＤ５５０の外部に、ＳＤＤ５５０からアクセス可能に配置されてもよい（図示せず）。ステージング領域５６２は、１つ以上のメモリ５５５上に実装されてもよく、または異なる組の１つ以上のメモリ（図示せず）上に実装されてもよい。例示的な一構成では、集約解除命令５５８は、１つ以上の状態、例えば重複したメッセージを送達しないこと、記憶装置を最適化するようにステージング領域５６２のメモリ構成を管理すること、様々な安全メッセージに関連するタイマーをオンオフすること、などに基づいて、回復された安全メッセージ５１２ａ～５１２ｎのローカルに配置された受信者への送達を制御する。

【0093】

ＳＤＤ５５０は、それを介して回復された安全メッセージ５１２ａ～５１２ｎがそれらのそれぞれの意図されたローカルに配置された論理ソルバ（例えば、論理ソルバ１４８、１５０、１５２）に送達される１つ以上のローカルＳＩＳインターフェース５６５を含む。例示的な一実装形態では、１つ以上のローカルＳＩＳインターフェース５６５は、安全メッセージがＳＤＤ５００のローカル環境内に配置されたＳＩＳ１００の部分内でそれを介して送達される１つ以上のローカル安全データハイウェイまたはローカル安全通信バスに通信可能に接続されている。例えば、１つ以上のローカルＳＩＳインターフェース５６５は、例えばＩ／Ｏカードを介して、ならびに／またはＩ／Ｏカードによってサポートされているプロトコルおよび／もしくはフォーマットを使用することによって、ＳＩＳ１００の様々な構成要素間で情報が交換されるレベルで動作し得る。

【0094】

いくつかの実施形態では、ＳＤＤ５５０は、第１の組の１つ以上の内部論理ソルバ５６８ａ～５６８ｍを含む。例えば、１つ以上の内部論理ソルバ５６８は、内部論理ソルバ１５９、１６１、１６３の１つ以上を含み得る。例示的な一布置では、各内部論理ソルバ５６８は、例えば、図２Ｄに関して示し説明したものと同様の布置で、１つ以上の異なるＳＤＣにそれぞれ通信可能に接続されている。内部論理ソルバ５６８の各々は、１つ以上の長距離リンクを介して受信された集約安全メッセージまたはその欠如を示す信号（図５Ｂでは参照符号５７０によって集合的に表される）に対して動作し、それらに対してそれぞれの論理演算（例えば、閾値比較、投票機能など）を遂行し、プロセッサ５５２に提供されるそれぞれの出力信号（図５Ｂにおいて参照符号５７２によって集合的に表されている）を生成し得る。集約解除命令５５８を実行するプロセッサ５５２は、回復関数Ｆ_ＳＤＤｙへの追加の入力として出力信号５７２を利用することができる。例えば、内部論理ソルバ５６８の出力信号に基づいて、集約解除命令５５８は、新しい安全メッセージを作成してその新しい安全メッセージを１つ以上の受信側のローカルに配置された論理ソルバに通信することができ、特定の回復された個々の安全メッセージを喪失するかまたは任意のローカルに配置された論理ソルバに送付されることを防止することができ、他の受信された集約安全メッセージに関連するタイマーを設定またはキャンセルすることができ、回復された安全メッセージをステージング領域５６２からクリアまたは削除することなどができる。

【0095】

いくつかの実施形態では、ＳＤＤ５５０は、追加的または代替的に、第２の組の１つ以上の内部論理ソルバ５７５ａ～５７５ｐを含む。図５Ｂでは、第２の組の内部論理ソルバ５７５は、ローカルＳＩＳインターフェース５６５の上流かつプロセッサ５５２および／または安全メッセージステージング領域５６２の下流に配置されるように示されている。つまり、第２の組の内部論理ソルバ５７５は、プロセッサ５５２から信号５７８を受信し、１つ以上のローカルＳＩＳインターフェース５６５に出力５８０を供給する。いくつかの実施形態（図示せず）では、内部論理ソルバ５７５の１つ以上は、それぞれのローカルＳＩＳインターフェース５６５を一体的に含み得る。一般的に言えば、内部論理ソルバ５７５は、集約解除命令５５８によって生成された、例えば関数Ｆ_ＳＤＤｙの１つ以上によって生成された１つ以上の出力（これらは図５Ｂでは、参照番号５７８で集合的に表されている）をプロセッサ５５２から受信し、それに対してそれぞれの論理機能（例えば、閾値比較、投票機能など）を遂行する。内部論理ソルバ５７５（これらは図５Ｂでは、参照番号５８０で集合的に表されている）の出力は、受信側のローカルに配置された安全論理ソルバへの個々の安全メッセージの送達を通知することができる。例えば、内部論理ソルバ５７５の出力信号に基づいて、集約解除命令５５８は、新しい安全メッセージを作成し、その新しい安全メッセージを１つ以上の受信側のローカルに配置された論理ソルバに通信することができ、特定の回復された個々の安全メッセージを喪失するかまたは任意のローカルに配置された論理ソルバに送付されることを防止することができ、他の受信された集約安全メッセージに関連するタイマーを設定またはキャンセルすることができ、回復された安全メッセージをステージング領域５６２からクリアまたは削除することなどができる。

【0096】

一般的に言って、ＳＤＤ５５０の第１の組の内部論理ソルバ５６８は、ＳＤＤ５５０が接続されている長距離リンク（複数可）を介して受信される集約安全メッセージに対応する信号に対して動作し、それによって集約解除技術に影響を及ぼし、どの特定の安全メッセージ（例えば、これは回復された安全メッセージまたは新たに生成された安全メッセージであってもよい）をどの特定のローカルに配置された安全論理ソルバに通信すべきかを決定し、安全メッセージをローカルに配置された安全論理ソルバなどに通信する効率を高める。ＳＤＤ５５０の第２の組の内部論理ソルバ５７５は、集約解除器５５８の出力に対応する信号に対して動作し、どの特定の安全メッセージ（例えば、これは回復された安全メッセージまたは新たに生成された安全メッセージであってもよい）をどの特定のローカルに配置された安全論理ソルバに通信すべきかを決定し、いつ特定の安全メッセージをローカルに通信すべきかを決定し、安全メッセージをローカルに配置された安全論理ソルバなどに通信する効率を高める。

【0097】

図６は、図１の例示的な長距離プロセスプラントおよび例示的な長距離安全計装システムの実施形態のブロック図を示す。具体的には、図６は、ローカル環境１２のローカル環境部分２０および遠隔環境１４の遠隔環境部分２２をさらに詳細に示している。ローカル環境１２のローカル環境部分１８および遠隔環境１４の遠隔環境部分２４は、簡潔にするために図６ではそれほど詳細に示していないが、様々な実施形態において同様の特徴および詳細を含むことができることが理解されるべきである。

【0098】

図６に示すように、プロセスプラント１０のローカル環境部分２０および遠隔環境部分２２は各々、プラント環境内に位置するそれぞれの１つ以上の安全システムフィールド装置６０２、６０４を含む。安全システムフィールド装置６０２は、例えばプロセスプラント１０内に設置された様々なバス、通信回線、無線ネットワークなどを介して、ローカルＳＩＳ部分５０の安全論理ソルバ１４２、１４４、１４６に通信可能に接続されている。同様に、安全システムフィールド装置６０４は、遠隔ＳＩＳ部分５２の安全論理ソルバ１４８、１５０、１５２に通信可能に接続されている。ローカルＳＩＳ部分５０のそれぞれの安全論理ソルバ１４２、１４４、１４６および遠隔ＳＩＳ部分５２の安全論理ソルバ１
４８、１５０、１５２は、安全システムフィールド装置６０２、６０４とそれらのそれぞれのプロセス制御器６１６、６２０との間の通信を可能にする。

【0099】

同様に、ローカル環境部分２０および遠隔環境部分２２は各々、プラント環境内に位置するそれぞれのプロセス制御フィールド装置６０６、６０８を含む。プロセス制御フィールド装置６０６は各々、例えばプロセスプラント１０内に設置された様々なバス、通信回線、無線ネットワークなどを介してローカルＰＣＳ部分４０のそれぞれのプロセス制御Ｉ／Ｏ装置６１０に通信可能に接続されている。同様に、プロセス制御フィールド装置６０８は各々、遠隔ＰＣＳ部分４２のそれぞれのプロセス制御Ｉ／Ｏ装置６１２に通信可能に接続されている。ローカルＰＣＳ部分４０のそれぞれのプロセス制御Ｉ／Ｏ装置６１０と遠隔ＰＣＳ部分４２のプロセス制御Ｉ／Ｏ装置６１２は、プロセス制御フィールド装置６０６、６０８とそれらのそれぞれのプロセス制御器６１６、６１８との間の通信を可能にする。

【0100】

様々な実施形態において、安全システムフィールド装置６０２、６０４、およびプロセス制御フィールド装置６０６、６０８は、例えば、バルブ、バルブポジショナ、スイッチおよびトランスミッタ（例えば、温度、圧力、レベルおよび流量センサ）を含み、一般に、バルブを開閉する、圧力、温度などのプロセスパラメータを測定するなどの物理的またはプロセス制御機能を遂行し、プロセスプラントまたはシステム内で実行される１つ以上の工業プロセスを制御する。加えて、いくつかの実施形態では、安全システムフィールド装置６０２、６０４、およびプロセス制御フィールド装置６０６、６０８は、例えば制御計算、アラーム機能、および例えばプロセス制御器６１６、６１８などのプロセス制御器内で一般的に実装される他の制御機能を遂行することができる、よく知られたフィールドバスプロトコルに準拠するフィールド装置などのスマートフィールド装置を含む。

【0101】

さらに、図６に示すように、ローカル環境部分１８、ローカル環境部分２０、遠隔環境部分２２、および遠隔環境部分２４は各々、それぞれのメッセージ伝播装置（ＭＰＤ）６２２、６２４、６２６、および６２８を含む。各ＭＰＤは、それぞれのＳＩＳ部分４８、５０、５２、５４に通信可能に接続されている。その上、ローカル環境部分１８および２０のＭＰＤ６２２、６２４は、安全メッセージがローカル環境部分１８と２０との間で送受信される１つ以上のリンク（例えば、リング型バス接続および／または他の好適な種類の接続）によって互いに通信可能に接続されている。同様に、遠隔環境部分２２および２４のＭＰＤ６２６、６２８も、安全メッセージがローカル環境部分２２と２４との間で送受信される１つ以上の好適なリンクによって互いに通信可能に接続されている。

【0102】

その上、プロセスプラント１０は、プロセス制御オペレータ、保守要員、構成エンジニアなどのプラント要員からアクセス可能な１つ以上のホストワークステーション、コンピュータ、またはユーザインターフェース（例えば、パーソナルコンピュータ、ワークステーションなど）６３０をさらに含む。各コンピュータ６３０は、共通の通信線またはバス６３４を介して構成データベース６３２に接続されている。通信ネットワークは、任意の所望のバスベースまたは非バスベースのハードウェアを使用して、任意の所望のハードワイヤードまたは無線通信構造を使用して、およびイーサネット（登録商標）プロトコルなどの任意の所望または好適な通信プロトコルを使用して実装され得る。

【0103】

理解されるように、コンピュータ６３０の各々は、プロセッサ（図示せず）、ならびに１つ以上の構成および／またはプロセッサ上で実行されるようになっている閲覧アプリケーションを格納するメモリ（図示せず）を含み得る。一般的に言えば、１つ以上の構成アプリケーションは、構成情報を構成エンジニアに提供し、したがって構成エンジニアがプロセスプラント１０の一部または全部の要素を構成し、その構成を構成データベース６３２に記憶させることを可能にする。１つ以上の構成アプリケーションによって遂行される
構成アクティビティの一環として、構成エンジニアは典型的に、プロセス制御器６１４、６１６、６１８、６２０の制御ルーチンまたは制御モジュール、および安全論理ソルバ１４２、１４４、１４６、１４８、１５０、１５２のいずれかおよび全ての安全論理モジュールを作成する。さらに、構成エンジニアは典型的に、バス６３４を介してこれらの異なる制御および安全モジュールをプロセス制御器６１４、６１６、６１８、６２０および安全論理ソルバ１４２、１４４、１４６、１４８、１５０、１５２のうちの適切なものにダウンロードする。場合によっては、１つ以上の構成アプリケーションを使用して他のプログラムおよび論理を作成して、ＰＣＳＩ／Ｏ装置６１０、６１２、安全システムフィールド装置６０２、６０４のいずれか、プロセス制御フィールド装置６０６、６０８のいずれかなどにダウンロードする。

【0104】

したがって、本発明は具体的な例に関して記載されてきたが、これらの例は例解的であるに過ぎず、本発明の限定であることを意図せず、変更、追加、または削除が、本発明の趣旨および範囲から逸脱することなく、開示される実施形態に対して行われ得ることが当業者には明らかであろう。さらに、本明細書に記載のシステム、方法、および技術の用途および利点は、上記の例だけに限定されない。本明細書に記載のシステム、方法、および技術を使用することによって、他の多くの用途および利益が可能である。

【0105】

その上、上記の文章は多くの異なる実施形態の詳細な説明を記載しているが、本特許の範囲は本特許の最後に記載される特許請求の範囲の文言によって定義されることが理解されるべきである。詳細な説明は、単に例示的なものとして解釈されるべきであり、全ての可能な実施形態を説明することは、不可能ではない場合でも非現実的であるので、全ての可能な実施形態を説明するものではない。多くの代替的な実施形態が、現在の技術または本特許の出願日後に開発された技術のいずれかを使用して実装され得るが、これらは、依然として特許請求の範囲の範囲内に収まるであろう。例示を目的とし、かつ限定を目的とせず、本明細書における開示は、少なくとも以下の態様を意図する。

【0106】

１．プロセス制御システムを有する長距離プロセスプラントで使用するための安全計装システムであって、安全計装システムは、安全計装システムの第１の部分内に配置され、プロセス制御システムの１つ以上のプロセス制御装置と動作可能に通信する１つ以上の安全論理ソルバに通信可能に接続された安全データ集約器を備え、プロセス制御システムは、安全計装システムによってサービスを提供され、プロセス制御システムの１つ以上のプロセス制御装置は、１つ以上の物理的機能を遂行し、それによって長距離プロセスプラントで実行される工業プロセスを制御する。安全データ集約器は、１つ以上の安全論理ソルバによって生成された複数の安全メッセージを単一の集約安全メッセージであって、複数の安全メッセージのそれぞれの長さの合計よりも短い全長を有する、単一の集約安全メッセージ、に結合し、単一の集約安全メッセージを安全計装システムの第２の部分への長距離リンクを介して送信する。

【0107】

２．１つ以上の安全論理ソルバは第１の組の１つ以上の安全論理ソルバであり、１つ以上のプロセス制御装置は第１の組の１つ以上のプロセス制御装置である、前述の態様に記載の安全計装システム。

【0108】

３．安全計装システムの第２の部分内に配置され、プロセス制御システムの第２の組の１つ以上のプロセス制御装置と動作可能に通信する第２の組の１つ以上の安全論理ソルバに通信可能に接続された安全データ集約解除器をさらに備える、前述の態様のいずれか１つに記載の安全計装システム。安全データ集約解除器は、長距離リンクを介して単一の集約安全メッセージを受信し、単一の集約安全メッセージから複数の安全メッセージを回復し、回復された複数の安全メッセージを第２の組の１つ以上の安全論理ソルバに送信するように構成されている。

【0109】

４．第１の組の１つ以上のプロセス制御装置は、安全計装システムの第１の部分によってサービスを提供されるプロセス制御システムの第１の部分内に配置されている、前述の態様のいずれか１つに記載の安全計装システム。

【0110】

５．第２の組の１つ以上のプロセス制御装置は、安全計装システムの第２の部分によってサービスを提供されるプロセス制御システムの第２の部分内に配置されている、前述の態様のいずれか１つに記載の安全計装システム。

【0111】

６．安全データ集約解除器は、回復された複数の安全メッセージに示された１つ以上の安全状態に基づいて、回復された複数の安全メッセージを第２の組の１つ以上の安全論理ソルバに通信するように構成されている、前述の態様のいずれか１つに記載の安全計装システム。

【0112】

７．安全データ集約解除器は、閾値論理比較器の出力に基づいて、回復された複数の安全メッセージを第２の組の１つ以上の安全論理ソルバに通信するように構成され、閾値論理比較器は、第１の１つ以上の回復された安全メッセージを示す第１の組の信号に適用され、閾値論理比較器は、安全データ集約解除器に含まれる第１の内部論理ソルバである、前述の態様のいずれか１つに記載の安全計装システム。

【0113】

８．安全データ集約解除器は、投票論理比較器の出力に基づいて、回復された複数の安全メッセージを第２の組の１つ以上の安全論理ソルバに通信するように構成され、投票論理比較器は、第２の１つ以上の回復された安全メッセージを示す第２の組の信号に適用され、投票論理比較器は、安全データ集約解除器に含まれる第２の内部論理ソルバである、前述の態様のいずれか１つに記載の安全計装システム。

【0114】

９．安全データ集約解除器は、安全データ集約解除器に含まれ、第３の１つ以上の回復された安全メッセージを示す第３の組の信号に対して動作する１つ以上の他の内部論理ソルバのそれぞれの出力に基づいて、回復された複数の安全メッセージを第２の組の１つ以上の安全論理ソルバに通信するように構成されている、前述の態様のいずれか１つに記載の安全計装システム。

【0115】

１０．安全データ集約解除器は、回復された複数の安全メッセージ中の特定の安全メッセージの有無に基づいて、回復された複数の安全メッセージを第２の組の１つ以上の安全論理ソルバに通信するように構成されている、前述の態様のいずれか１つに記載の安全計装システム。

【0116】

１１．安全データ集約解除器は、少なくとも１つの回復された安全メッセージの内容に基づいて、回復された複数の安全メッセージを第２の組の１つ以上の安全論理ソルバに通信するように構成されている、前述の態様のいずれか１つに記載の安全計装システム。

【0117】

１２．安全データ集約器は、単一の集約安全メッセージの送信予定時刻に基づいて、複数の安全メッセージを単一の集約安全メッセージに結合するように構成されている、前述の態様のいずれか１つに記載の安全計装システム。

【0118】

１３．安全データ集約器は、複数の安全メッセージに示された１つ以上の安全状態に基づいて、複数の安全メッセージを単一の集約安全メッセージに結合するように構成されている、前述の態様のいずれか１つに記載の安全計装システム。

【0119】

１４．安全データ集約器は、閾値比較器の出力に基づいて、複数の安全メッセージを単
一の集約安全メッセージに結合するように構成され、閾値比較器は複数の安全メッセージに含まれる第１の１つ以上の安全メッセージを示す第１の組の信号に適用され、閾値比較器は安全データ集約器に含まれる第１の内部論理ソルバである、前述の態様のいずれか１つに記載の安全計装システム。

【0120】

１５．安全データ集約器は、投票評価器の出力に基づいて、複数の安全メッセージを単一の集約安全メッセージに結合するように構成され、投票評価器は、複数の安全メッセージに含まれる第２の１つ以上の安全メッセージを示す第２の組の信号に適用され、投票評価器は、安全データ集約器に含まれる第２の内部論理ソルバである、前述の態様のいずれか１つに記載の安全計装システム。

【0121】

１６．安全データ集約器は、安全データ集約解除器に含まれ、複数の安全メッセージに含まれる第３の１つ以上の安全メッセージを示す第３の組の信号に対して動作する１つ以上の他の内部論理ソルバのそれぞれの出力に基づいて、複数の安全メッセージを単一の集約安全メッセージに結合するように構成されている、前述の態様のいずれか１つに記載の安全計装システム。

【0122】

１７．安全データ集約器は、複数の安全メッセージ中の特定の安全メッセージの有無に基づいて、複数の安全メッセージを単一の集約安全メッセージに結合するように構成されている、前述の態様のいずれか１つに記載の安全計装システム。

【0123】

１８．安全データ集約器は、複数の安全メッセージに含まれる少なくとも１つの安全メッセージの内容に基づいて、複数の安全メッセージを単一の集約安全メッセージに結合するように構成されている、前述の態様のいずれか１つに記載の安全計装システム。

【0124】

１９．安全データ集約器は、単一の集約安全メッセージの送信予定時刻に基づいて、単一の集約安全メッセージを送信するように構成されている、前述の態様のいずれか１つに記載の安全計装システム。

【0125】

２０．安全データ集約器は、複数の安全メッセージに示された１つ以上の安全状態に基づいて、単一の集約安全メッセージを送信するように構成されている、前述の態様のいずれか１つに記載の安全計装システム。

【0126】

２１．安全データ集約器は、閾値比較器の出力に基づいて、単一の集約安全メッセージを送信するように構成され、閾値論理比較器は、複数の安全メッセージに含まれる第１の１つ以上の安全メッセージを示す第１の組の信号に適用され、閾値比較器は、安全データ集約器に含まれる第１の内部論理ソルバである、前述の態様のいずれか１つに記載の安全計装システム。

【0127】

２２．安全データ集約器は、投票評価器の出力に基づいて、単一の集約安全メッセージを送信するように構成され、投票評価器は、複数の安全メッセージに含まれる第２の１つ以上の安全メッセージを示す第２の組の信号に適用され、投票評価器は、安全データ集約器に含まれる第２の内部論理ソルバである、前述の態様のいずれか１つに記載の安全計装システム。

【0128】

２３．安全データ集約器は、安全データ集約器に含まれ、複数の安全メッセージに含まれる第３の１つ以上の安全メッセージを示す第３の組の信号に対して動作する１つ以上の他の内部論理ソルバのそれぞれの出力に基づいて、単一の集約安全メッセージを送信するように構成されている、前述の態様のいずれか１つに記載の安全計装システム。

【0129】

２４．安全データ集約器は、複数の安全メッセージ中の特定の安全メッセージの有無に基づいて、単一の集約安全メッセージを送信するように構成されている、前述の態様のいずれか１つに記載の安全計装システム。

【0130】

２５．安全データ集約器は、複数の安全メッセージに含まれる少なくとも１つの安全メッセージの内容に基づいて、単一の集約安全メッセージを送信するように構成されている、前述の態様のいずれか１つに記載の安全計装システム。

【0131】

２６．安全計装システムの２つ以上の部分間で安全メッセージがそれを介して送信される第２のリンクをさらに備え、長距離リンクは、第２のリンクの帯域幅よりも小さい帯域幅を有し、安全計装システムの第１の部分と安全計装システムの第２の部分との間の地理的距離は、第２のリンクによってサポートされている安全計装システムの任意の２つの部分間の地理的距離よりも長い、前述の態様のいずれか１つに記載の安全計装システム。

【0132】

２７．長距離リンクは、光ファイバリンク、海底ケーブル、長距離無線リンク、有線通信リンク上にオーバーレイされているかもしくはそれによってサポートされている通信リンク、または高帯域幅のリンクに含まれる低帯域幅の仮想リンクである、前述の態様のいずれか１つに記載の安全計装システム。

【0133】

２８．１つ以上の論理ソルバは、１つ以上のプロセス制御装置から特定のフォーマットの信号を取得し、１つ以上の論理ソルバによって生成される複数の安全メッセージは、安全データ集約器によって取得される、前述の態様のいずれか１つに記載の安全計装システム。

【0134】

２９．特定のフォーマットはプロセス制御システムのＩ／Ｏレベルで実装されている、前述の態様のいずれか１つに記載の安全計装システム。

【0135】

３０．長距離プロセスプラントのプロセス制御システムにサービスを提供する安全計装システムで使用するための方法であって、安全計装システムの第１の部分内に配置され、長距離プロセスプラントのプロセス制御システムの第１の組の１つ以上のプロセス制御装置と動作可能に通信する第１の組の１つ以上の安全論理ソルバに通信可能に接続された安全データ集約器において、第１の組の１つ以上の安全論理ソルバによって生成された複数の安全メッセージを受信することと、安全データ集約器によって、複数の安全メッセージを単一の集約安全メッセージであって、複数の安全メッセージの個々の長さの合計よりも短い全長を有する、単一の集約安全メッセージ、に結合することと、安全データ集約器によって、安全計装システムの第２の部分への長距離リンクを介して、安全計装システムの第２の部分内に配置され、プロセス制御システムの第２の組の１つ以上のプロセス制御装置と動作可能に通信する第２の組の１つ以上の安全論理ソルバに通信可能に接続された安全データ集約解除器に単一の集約安全メッセージを送信することと、を含み、安全データ集約解除器は、第２の組の安全論理ソルバへの通信のために単一の集約安全メッセージから複数の安全メッセージを回復するように構成され、第１の組の１つ以上のプロセス制御装置および第２の組の１つ以上のプロセス制御装置は、１つ以上の物理的機能を遂行し、それによって長距離プロセスプラントで実行される工業プロセスを制御する、方法。

【0136】

３１．態様１～２９の安全計装システムのいずれか１つによって遂行される態様３０の方法。

【0137】

３２．複数の安全メッセージを単一の集約安全メッセージに結合することは、単一の集約安全メッセージの送信予定時刻に基づいて複数の安全メッセージを単一の集約安全メッセージに結合することを含む、態様３０～３１のいずれか１つに記載の方法。

【0138】

３３．複数の安全メッセージを単一の集約安全メッセージに結合することは、複数の安全メッセージに含まれる少なくとも１つの安全メッセージによって示された１つ以上の安全状態に基づいて複数の安全メッセージを単一の集約安全メッセージに結合することを含む、態様３０～３２のいずれか１つに記載の方法。

【0139】

３４．複数の安全メッセージを単一の集約安全メッセージに結合することは、閾値比較器の出力に基づいて複数の安全メッセージを単一の集約安全メッセージに結合することを含み、閾値論理比較器は、複数の安全メッセージに含まれる第１の１つ以上の安全メッセージを示す第１の組の信号に適用され、閾値比較器は、安全データ集約器に含まれる第１の内部論理ソルバである、態様３０～３３のいずれか１つに記載の方法。

【0140】

３５．複数の安全メッセージを単一の集約安全メッセージに結合することは、投票評価器の出力に基づいて複数の安全メッセージを単一の集約安全メッセージに結合することを含み、投票評価器は、複数の安全メッセージに含まれる第２の１つ以上の安全メッセージを示す第２の組の信号に適用され、投票評価器は、安全データ集約器に含まれる第２の内部論理ソルバである、態様３０～３４のいずれか１つに記載の方法。

【0141】

３６．複数の安全メッセージを単一の集約安全メッセージに結合することは、安全データ集約器に含まれ、複数の安全メッセージに含まれる第３の１つ以上の安全メッセージを示す第３の組の信号に対して動作する１つ以上の他の内部論理ソルバのそれぞれの出力に基づいて、複数の安全メッセージを単一の集約安全メッセージに結合することを含む、態様３０～３５のいずれか１つに記載の方法。

【0142】

３７．複数の安全メッセージを単一の集約安全メッセージに結合することは、複数の安全メッセージ中の特定の安全メッセージの有無に基づいて、複数の安全メッセージを単一の集約安全メッセージに結合することを含む、態様３０～３６のいずれか１つに記載の方法。

【0143】

３８．複数の安全メッセージを単一の集約安全メッセージに結合することは、複数の安全メッセージに含まれる少なくとも１つの安全メッセージの内容に基づいて、複数の安全メッセージを単一の集約安全メッセージに結合することを含む、態様３０～３７のいずれか１つに記載の方法。

【0144】

３９．単一の集約安全メッセージを送信することは、単一の集約安全メッセージの送信予定時刻に基づいて、単一の集約安全メッセージを送信することを含む、態様３０～３８のいずれか１つに記載の方法。

【0145】

４０．単一の集約安全メッセージを送信することは、複数の安全メッセージに含まれる少なくとも１つの安全メッセージによって示された１つ以上の安全状態に基づいて、単一の集約安全メッセージを送信することを含む、態様３０～３９のいずれか１つに記載の方法。

【0146】

４１．単一の集約安全メッセージを送信することは、閾値比較器の出力に基づいて単一の集約安全メッセージを送信することを含み、閾値論理比較器は、複数の安全メッセージに含まれる第１の１つ以上の安全メッセージを示す第１の組の信号に適用され、閾値比較器は、安全データ集約器に含まれる第１の内部論理ソルバである、態様３０～４０のいずれか１つに記載の方法。

【0147】

４２．単一の集約安全メッセージを送信することは、投票評価器の出力に基づいて単一
の集約安全メッセージを送信することを含み、投票評価器は、複数の安全メッセージに含まれる第２の１つ以上の安全メッセージを示す第２の組の信号に適用され、投票評価器は、安全データ集約器に含まれる第２の内部論理ソルバである、態様３０～４１のいずれか１つに記載の方法。

【0148】

４３．単一の集約安全メッセージを送信することは、安全データ集約器に含まれ、複数の安全メッセージに含まれる第３の１つ以上の安全メッセージを示す第３の組の信号に対して動作する１つ以上の他の内部論理ソルバのそれぞれの出力に基づいて、単一の集約安全メッセージを送信することを含む、態様３０～４２のいずれか１つに記載の方法。

【0149】

４４．単一の集約安全メッセージを送信することは、複数の安全メッセージ中の特定の安全メッセージの有無に基づいて、単一の集約安全メッセージを送信することを含む、態様３０～４３のいずれか１つに記載の方法。

【0150】

４５．単一の集約安全メッセージを送信することは、複数の安全メッセージに含まれる少なくとも１つの安全メッセージの内容に基づいて、単一の集約安全メッセージを送信することを含む、態様３０～４４のいずれか１つに記載の方法。

【0151】

４６．複数の安全メッセージを単一の集約安全メッセージに結合することは、第１の組の１つ以上の安全論理ソルバの１つの特定の安全論理ソルバによって生成された複数の安全メッセージを単一の集約安全メッセージに結合することをさらに含む、態様３０～４５のいずれか１つに記載の方法。

【0152】

４７．複数の安全メッセージを単一の集約安全メッセージに結合することは、第１の組の１つ以上の安全論理ソルバに含まれる複数の論理ソルバによって生成された安全メッセージを単一の集約安全メッセージに結合することをさらに含む、態様３０～４６のいずれか１つに記載の方法。

【0153】

４８．複数の安全メッセージを単一の集約安全メッセージに結合することは、複数の異なる種類の安全メッセージを単一の集約安全メッセージに結合することをさらに含む、態様３０～４７のいずれか１つに記載の方法。

【0154】

４９．安全計装システムの２つ以上の部分間の第２のリンクを介して他の安全メッセージを送信することをさらに含み、長距離リンクは、第２のリンクの帯域幅よりも小さい帯域幅を有し、安全計装システムの第１の部分と安全計装システムの第２の部分との間の地理的距離は、第２のリンクによってサポートされている安全計装システムの任意の２つの部分間の地理的距離よりも長い、態様３０～４８のいずれか１つに記載の方法。

【0155】

５０．長距離リンクを介して単一の集約安全メッセージを安全データ集約解除器に送信することは、光ファイバリンク、海底ケーブル、長距離無線リンク、有線通信リンク上にオーバーレイされているかもしくはそれによってサポートされている通信リンク、または高帯域幅のリンクに含まれる低帯域幅の仮想リンクを介して安全データ集約解除器に送信することを含む、態様３０～４９のいずれか１つに記載の方法。

【0156】

５１．安全データ集約解除器は特定の安全データ集約解除器であり、長距離リンクは特定の長距離リンクであり、方法は、安全データ集約器によって、複数の長距離リンクを介して、単一の集約安全メッセージを、複数の安全データ集約解除器に送信することをさらに含み、複数の安全データ集約解除器は特定の安全データ集約解除器を含み、複数の長距離リンクは特定の長距離リンクを含む、態様３０～５０のいずれか１つに記載の方法。

【0157】

５２．単一の集約安全メッセージは特定の集約安全メッセージであり、方法は、安全データ集約器によって長距離リンクを介して複数の集約安全メッセージを安全データ集約解除器に送信することをさらに含み、複数の集約安全メッセージは特定の集約安全メッセージを含む、態様３０～５１のいずれか１つに記載の方法。

【0158】

５３．単一の集約安全メッセージは特定の単一の集約安全メッセージであり、安全データ集約解除器は特定の安全データ集約解除器であり、長距離リンクは特定の長距離リンクであり、方法は、安全データ集約器によって複数の長距離リンクを介して複数の集約安全メッセージを複数の安全データ集約解除器に送信することをさらに含み、複数の集約安全メッセージは特定の集約安全メッセージを含み、複数の安全データ集約解除器は特定の安全データ集約解除器を含み、複数の長距離リンクは特定の長距離リンクを含む、態様３０～５２のいずれか１つに記載の方法。

【0159】

５４．長距離プロセスプラントのプロセス制御システムにサービスを提供する安全計装システムで使用するための方法であって、方法は、安全計装システムの第１の部分内に配置され、プロセス制御システムの第１の組の１つ以上のプロセス制御装置と動作可能に通信する第１の組の１つ以上の安全論理ソルバに通信可能に接続された安全データ集約器によって送信された単一の集約安全メッセージを、安全データ集約解除器によって、安全計装システムの第１の部分からの長距離リンクを介して受信することを含み、安全データ集約器は、第１の組の１つ以上の安全論理ソルバによって生成された複数の安全メッセージを単一の集約安全メッセージに結合するように構成され、単一の集約安全メッセージは、複数の安全メッセージの個々の長さの合計よりも短い全長を有し、安全データ集約解除器は、安全システムの第２の部分内に配置され、プロセス制御システムの第２の組の１つ以上のプロセス制御装置と動作可能に通信する第２の組の１つ以上の安全論理ソルバに通信可能に接続され、第１の組の１つ以上のプロセス制御装置および第２の組の１つ以上のプロセス制御装置は、１つ以上の物理的機能を遂行し、それによって長距離プロセスプラントで実行される工業プロセスを制御する、方法。この方法は、安全性データ集約解除器によって、単一の集約安全性メッセージから複数の安全メッセージを回復することと、回復された複数の安全メッセージを第２の組の１つ以上の安全論理ソルバに通信することとをさらに含む。

【0160】

５５．態様３０～５３に記載の方法のいずれか１つと組み合わせた、態様５４に記載の方法。

【0161】

５６．態様１～２９の安全計装システムのいずれか１つによって遂行される態様５４～５５のいずれか１つに記載の方法。

【0162】

５７．複数の安全メッセージは、単一の集約安全メッセージの送信予定時刻に基づいて安全データ集約器によって結合されたかまたは送信されたかの少なくとも１つであった、態様５４～５６のいずれか１つに記載の方法。

【0163】

５８．複数の安全メッセージは、複数の安全メッセージに示された１つ以上の安全状態に基づいて安全データ集約器によって結合されたかまたは送信されたかの少なくとも１つであった、態様５４～５７のいずれか１つに記載の方法。

【0164】

５９．複数の安全メッセージは、閾値比較器の出力に基づいて安全データ集約機によって結合されたかまたは送信されたかの少なくとも１つであり、閾値論理比較器は、複数の安全メッセージに含まれる第１の１つ以上の安全メッセージを示す第１の組の信号に適用され、閾値比較器は、安全データ集約器に含まれる第１の内部論理ソルバである、態様５４～５８のいずれか１つに記載の方法。

【0165】

６０．複数の安全メッセージは、投票評価器の出力に基づいて安全データ集約器によって結合されたかまたは送信されたかの少なくとも１つであり、投票評価器は、複数の安全メッセージに含まれる第２の１つ以上の安全メッセージを示す第２の組の信号に適用され、投票評価器は、安全データ集約器に含まれる第２の内部論理ソルバである、態様５４～５９のいずれか１つに記載の方法。

【0166】

６１．複数の安全メッセージは、安全データ集約器に含まれ、複数の安全メッセージに含まれる第３の１つ以上の安全メッセージを示す第３の組の信号に対して動作する１つ以上の他の内部論理ソルバのそれぞれの出力に基づいて、安全データ集約器によって結合されたかまたは送信されたかの少なくとも１つであった、態様５４～６０のいずれか１つに記載の方法。

【0167】

６２．複数の安全メッセージは、複数の安全メッセージ中の特定の安全メッセージの有無に基づいて、安全データ集約器によって結合されたかまたは送信されたかの少なくとも１つであった、態様５４～６１のいずれか１つに記載の方法。

【0168】

６３．複数の安全メッセージは、複数の安全メッセージに含まれる少なくとも１つの安全メッセージの内容に基づいて、安全データ集約器によって結合されたかまたは送信されたかの少なくとも１つであった、態様５４～６２のいずれか１つに記載の方法。

【0169】

６４．安全計装システムの２つ以上の部分間の第２のリンクを介して送信される安全メッセージを受信することをさらに含み、長距離リンクは、第２のリンクの帯域幅よりも小さい帯域幅を有し、安全計装システムの第１の部分と安全計装システムの第２の部分との間の地理的距離は、第２のリンクによってサポートされている安全計装システムの任意の２つの部分間の地理的距離よりも長い、態様５４～６３のいずれか１つに記載の方法。

【0170】

６５．安全計装システムの第１の部分からの長距離リンクを介して安全データ集約器によって送信された単一の集約安全メッセージを受信することは、光ファイバリンク、海底ケーブル、長距離無線リンク、有線通信リンク上にオーバーレイされているかもしくはそれによってサポートされている通信リンク、または高帯域幅のリンクに含まれる低帯域幅の仮想リンクを介して安全データ集約器によって送信された単一の集約安全メッセージを受信することを含む、態様５４～６４のいずれか１つに記載の方法。

【0171】

６６．回復された複数の安全メッセージを第２の組の１つ以上の安全論理ソルバに通信することは、回復された複数の安全メッセージに示された１つ以上の安全状態に基づいて、回復された複数の安全メッセージのうちの１つ以上を通信することを含む、態様５４～６５のいずれか１つに記載の方法。

【0172】

６７．回復された複数の安全メッセージを第２の組の１つ以上の安全論理ソルバに通信することは、閾値論理比較器の出力に基づいて、回復された複数の安全メッセージのうちの１つ以上を通信することを含み、閾値論理比較器は、第１の１つ以上の回復された安全メッセージを示す第１の組の信号に適用され、閾値論理比較器は、安全データ集約解除器に含まれる第１の内部論理ソルバである、態様５４～６６のいずれか１つに記載の方法。

【0173】

６８．回復された複数の安全メッセージを第２の組の１つ以上の安全論理ソルバに通信することは、投票論理比較器の出力に基づいて、回復された複数の安全メッセージのうちの１つ以上を通信することを含み、投票論理比較器は、第２の１つ以上の回復された安全メッセージを示す第２の組の信号に適用され、投票論理比較器は、安全データ集約解除器に含まれる第２の内部論理ソルバである、態様５４～６７のいずれか１つに記載の方法。

【0174】

６９．回復された複数の安全メッセージを第２の組の１つ以上の安全論理ソルバに通信することは、安全データ集約解除器に含まれ、第３の１つ以上の回復された安全メッセージを示す第３の組の信号に対して動作する１つ以上の他の内部論理ソルバのそれぞれの出力に基づいて、回復された複数の安全メッセージのうちの１つ以上を通信することを含む、態様５４～６８のいずれか１つに記載の方法。

【0175】

７０．回復された複数の安全メッセージを第２の組の１つ以上の安全論理ソルバに通信することは、回復された複数の安全メッセージ中の特定の安全メッセージの有無に基づいて、回復された複数の安全メッセージのうちの１つ以上を通信することを含む、態様５４～６９のいずれか１つに記載の方法。

【0176】

７１．回復された複数の安全メッセージを第２の組の１つ以上の安全論理ソルバに通信することは、少なくとも１つの回復された安全メッセージの内容に基づいて、回復された複数の安全メッセージのうちの１つ以上を通信することを含む、態様５４～７０のいずれか１つに記載の方法。

【0177】

７２．長距離リンクは、安全計装システムの第１の部分と安全計装システムの第２の部分とを通信可能に接続する複数の長距離リンクに含まれる特定の長距離リンクであり、方法は、複数の長距離リンクを介して、安全計装システムの第１の部分内に配置された１つ以上の追加の安全データ集約器によって送信された１つ以上の追加の集約安全メッセージを受信することと、１つ以上の追加の集約安全メッセージの各々からそれぞれの複数の安全メッセージを回復することと、回復された安全メッセージの少なくともいくつかを第２の組の１つ以上の安全論理ソルバに通信することと、をさらに含む、態様５４～７１のいずれか１つに記載の方法。

【0178】

７３．閾値論理比較器の出力であって、閾値論理比較器は、１つ以上の追加の集約安全メッセージに対応する第１の組の信号に適用され、閾値論理比較器は、安全データ集約解除器に含まれる第１の内部論理ソルバである、出力；投票論理評価器の出力であって、投票論理評価器は、１つ以上の追加の集約安全メッセージに対応する第２の組の信号に適用され、投票論理評価器は、安全データ集約解除器に含まれる第２の内部論理ソルバである、出力；または安全データ集約解除器に含まれ、１つ以上の追加の集約安全メッセージに対応する第３の組の信号に対して動作する１つ以上の他の内部論理ソルバのそれぞれの出力、のうちの１つ以上に基づいて、第２の組の１つ以上の安全論理ソルバに通信されるべき回復された安全メッセージの少なくともいくつかを決定することをさらに含む、態様５４～７２のいずれか１つに記載の方法。

【0179】

７４．閾値論理比較器の出力、投票論理評価器の出力、または安全データ集約解除器の１つ以上の他の内部論理ソルバのそれぞれの出力、のうちの１つ以上に基づいて、追加の安全メッセージを生成することと、追加の安全メッセージを安全計装システムの第２の部分内に配置された１つ以上の受信側安全論理ソルバに通信することと、をさらに含む、態様５４～７３のいずれか１つに記載の方法。

【0180】

７５．先の態様のうちの他の任意の１つと組み合わせた先の態様の任意の１つ。

【0181】

したがって、本発明は具体的な例に関して記載されてきたが、これらの例は例解的であるに過ぎず、本発明の限定であることを意図せず、変更、追加、または削除が、本発明の趣旨および範囲から逸脱することなく、開示される実施形態に対して行われ得ることが当業者には明らかであろう。

【図1】

【図2A】

【図2B】

【図2C】

【図2D】

【図3】

【図4A】

【図4B】

【図5A】

【図5B】

【図6】