知財求人 - 知財ポータルサイト「IP Force」
▶ フィッシャー−ローズマウント システムズ，インコーポレイテッドの特許一覧
特許7656411フィールドデバイスループ警告パラメータの変更のスマートな通知
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】特許公報(B2)
(11)【特許番号】
(24)【登録日】2025-03-26
(45)【発行日】2025-04-03
(54)【発明の名称】フィールドデバイスループ警告パラメータの変更のスマートな通知
(51)【国際特許分類】
G05B 23/02 20060101AFI20250327BHJP
【ＦＩ】
G05B23/02 Z
【請求項の数】
24
【外国語出願】
(21)【出願番号】P 2020177859
(22)【出願日】2020-10-23
(65)【公開番号】P2021077363
(43)【公開日】2021-05-20
【審査請求日】2023-06-16
(31)【優先権主張番号】16/675,380
(32)【優先日】2019-11-06
(33)【優先権主張国・地域又は機関】US
(73)【特許権者】
【識別番号】512132022
【氏名又は名称】フィッシャー－ローズマウント システムズ，インコーポレイテッド
(74)【代理人】
【識別番号】100096091
【弁理士】
【氏名又は名称】井上 誠一
(72)【発明者】
【氏名】ジョセフ・アベイル・バカス
(72)【発明者】
【氏名】イェヒエル・カミーユ・ジェロニモ・バッラ
(72)【発明者】
【氏名】ウィン・ヘルバシオ・ディアンシン
(72)【発明者】
【氏名】ダシェヌ・アレン・サムソン
【審査官】大古 健一
(56)【参考文献】
【文献】国際公開第２０１４／１４２０７０（ＷＯ，Ａ１）
(58)【調査した分野】(Int.Cl.，ＤＢ名)
Ｇ０５Ｂ ２３／００ －２３／０２
(57)【特許請求の範囲】
【請求項1】
分散プロセス制御システム（ＤＣＳ）内の少なくとも１台のフィールドデバイスへの重要なパラメータ変更を検証する、コンピュータに実装された方法であって、前記ＤＣＳは少なくとも１台のコントローラおよび前記１台のフィールドデバイスを含み、かつ、前記ＤＣＳは、前記ＤＣＳとは異なる資産管理システム（ＡＭＳ）を有し、前記ＤＣＳとは独立して前記ＤＣＳの前記コントローラまたは前記ＤＣＳの前記１台のフィールドデバイスのうちの少なくとも１台に通信可能に結合され、前記コンピュータに実装された方法は、
１つ以上のプロセッサを介して、前記資産管理システム（ＡＭＳ）から生じるプロセス制御デバイスのパラメータ変更コマンドをインターセプトすることであって、前記パラメータ変更コマンドが、前記プロセス制御デバイスの少なくとも一組の重要なパラメータを修正する命令を含む、インターセプトすることと、
１つ以上のプロセッサを介して、前記プロセス制御デバイスのパラメータ変更コマンドがインターセプトされることを示す警告メッセージを、前記分散プロセス制御システム（ＤＣＳ）のワークステーションに送信することであって、前記警告メッセージが、少なくとも、ユーザ識別子、プラントデバイス識別子、および前記パラメータ変更コマンドによって修正される前記プロセス制御デバイスの前記一組の重要なパラメータを含む、一組の警告パラメータを含む、送信することと、
１つ以上のプロセッサを介して、前記警告メッセージを前記ＤＣＳの前記ワークステーションに表示することと、
前記プロセス制御デバイスの前記一組の重要なパラメータを修正する前記パラメータ変更コマンドを許可するかどうかを示す、前記ＡＭＳのワークステーションの前記ＤＣＳの前記ワークステーションにより生成された応答を、１つ以上のプロセッサを介して、受信することと、
１つ以上のプロセッサを介して、前記ＤＣＳからの前記応答を前記ＡＭＳのユーザインターフェースデバイスに表示することと、
前記プロセス制御デバイスの前記一組の重要なパラメータを修正することに対する前記応答が、拒否応答である場合、１つ以上のプロセッサを介して、前記パラメータ変更コマンドの前記一組の重要なパラメータを修正する前記命令を終了することと、を含む、方法。
【請求項2】
プロセス制御デバイスのパラメータ変更コマンドをインターセプトすることが、前記コマンドが前記プロセス制御デバイスによって受信される前に前記パラメータ変更コマンドを中止することを含む、請求項１に記載の方法。
【請求項3】
前記ＤＣＳからの追加のパラメータ情報を前記警告メッセージへの前記応答に提供することをさらに含み、前記パラメータ変更コマンドへの前記応答を前記ＡＭＳに表示することが、前記追加のパラメータ情報を表示することを含む、請求項１または請求項２に記載の方法。
【請求項4】
前記追加のパラメータ情報が、前記プロセス制御デバイスの前記一組の重要なパラメータへの以前の変更、および前記以前の変更に基づいて前記プロセス制御デバイスによって制御されているプロセスへの以前の効果に関する情報を含む、請求項３に記載の方法。
【請求項5】
前記応答および追加のパラメータ情報が表示された時点で、前記パラメータ変更コマンドを検証することを前記ＡＭＳワークステーションのユーザに促すことと、前記ＡＭＳの前記ユーザインターフェースデバイスにおいて前記パラメータ変更コマンドを検証し次第、前記一組のパラメータ変更を前記プロセス制御デバイスにコミットすることと、をさらに含む、請求項４に記載の方法。
【請求項6】
前記一組の重要なパラメータに関する追加情報を、前記ＡＭＳから前記ＤＣＳに送信して、前記ＤＣＳワークステーションに表示することをさらに含み、前記追加情報が、前記パラメータ変更コマンドによって修正される１つ又は複数のパラメータに対する前記ＡＭＳの前記ワークステーションによって開始された以前の変更の説明、および前記パラメータ変更コマンドの前記１つ又は複数のパラメータへの現在の変更の理由を含む、請求項３から請求項５のいずれかに記載の方法。
【請求項7】
前記パラメータ変更コマンドが、前記プロセス制御デバイスの前記一組の重要なパラメータを含む複数のパラメータ、および前記一組の重要なパラメータ以外の一組の重要でないパラメータを修正するコマンドである、請求項１から請求項６のいずれかに記載の方法。
【請求項8】
前記プロセス制御デバイスの前記一組の重要なパラメータを修正することに対する前記応答が拒否応答であった場合、前記プロセス制御デバイスにコミットされる前記一組の重要でないパラメータへの変更を許可する一方、前記一組の重要なパラメータへの変更を終了する、請求項７に記載の方法。
【請求項9】
前記ＡＭＳの前記ユーザインターフェースデバイスが、電子デバイス記述（ＥＤＤ）サーバによって処理されたＥＤＤに基づいて生成される、請求項１から請求項８のいずれかに記載の方法。
【請求項10】
前記分散プロセス制御システム（ＤＣＳ）のワークステーションに警告メッセージを送信することが、前記ＥＤＤサーバによって行われる、請求項９に記載の方法。
【請求項11】
分散プロセス制御システム（ＤＣＳ）内の少なくとも１台のフィールドデバイスへの重要なパラメータ変更を検証するためのコンピューティングシステムであって、前記ＤＣＳは、少なくとも１台のコントローラおよび前記１台のフィールドデバイスを含み、かつ、前記ＤＣＳは、前記ＤＣＳとは異なる資産管理システム（ＡＭＳ）を有し、前記ＤＣＳの前記コントローラまたは前記ＤＣＳの前記１台のフィールドデバイスのうちの少なくとも１台に通信可能に結合され、前記コンピューティングシステムは、
前記ＤＣＳの前記少なくとも１台のコントローラおよび１台のフィールドデバイスと通信するように適合された前記ＤＣＳのワークステーションと、
前記ＤＣＳとは独立して前記ＤＣＳの前記少なくとも１台のコントローラおよび１つのフィールドデバイスと通信するように適合された前記ＡＭＳのワークステーションと、
前記資産管理システム（ＡＭＳ）の前記ワークステーションおよび前記分散プロセス制御システム（ＤＣＳ）の前記ワークステーションに通信可能に結合されたセキュリティサービスモジュールであって、
１つ以上のプロセッサを介して、前記資産管理システム（ＡＭＳ）の前記ワークステーションから生じるプロセス制御デバイスのパラメータ変更コマンドをインターセプトすることであって、前記パラメータ変更コマンドが、前記プロセス制御デバイスの少なくとも一組の重要なパラメータを修正する命令を含む、インターセプトすることと、
１つ以上のプロセッサを介して、前記プロセス制御デバイスに対する前記パラメータ変更コマンドがインターセプトされることを示す警告メッセージを前記ＤＣＳの前記ワークステーションに送信することであって、前記警告メッセージが、少なくとも、ユーザ識別子、プラントデバイス識別子、および前記パラメータ変更コマンドによって修正される前記プロセス制御デバイスの前記一組の重要なパラメータを含む、一組の警告パラメータを含む、送信することと、
前記ＤＣＳの前記ワークステーションから、前記プロセス制御デバイスの前記一組の重要なパラメータを修正する前記パラメータ変更コマンドを許可するかどうかを示す、前記ＤＣＳのワークステーションによって生成された応答を、１つ以上のプロセッサを介して、受信することと、
１つ以上のプロセッサを介して、前記一組の重要なパラメータを修正することへの前記応答が許可された場合に、前記インターセプトされたパラメータ変更コマンドをリリースすることと、
そうでなければ、１つ以上のプロセッサを介して、前記一組の重要なパラメータを修正する前記命令を終了することと、を行わせるように適合された、セキュリティサービスモジュールと、を備える、コンピューティングシステム。
【請求項12】
前記セキュリティサービスモジュールが、前記ＡＭＳワークステーションで実行された構成要素および前記ＤＣＳワークステーションで実行された構成要素を含み、前記ＡＭＳワークステーション構成要素が、前記ＡＭＳワークステーションにおいて前記パラメータ変更コマンドをインターセプトするように適合され、前記ＤＣＳワークステーション構成要素が、前記ＡＭＳワークステーション構成要素から、前記パラメータ変更コマンドがインターセプトされたことを示す警報を受信するように適合される、請求項１１に記載のシステム。
【請求項13】
前記一組の重要なパラメータを修正することへの前記応答が許可された場合に、前記インターセプトされたパラメータ変更コマンドをリリースすることが、前記ＤＣＳが前記プロセス制御デバイスの前記一組の重要なパラメータに前記修正をコミットする要求を前記ＤＣＳに送信することを含む、請求項１１または請求項１２に記載のシステム。
【請求項14】
前記ＤＣＳの前記ワークステーションが、前記一組の警告メッセージパラメータの少なくとも１つを表示し、前記パラメータ変更コマンドの承認を前記ＤＣＳワークステーションのユーザに促すように適合される、請求項１１から請求項１３のいずれかに記載のシステム。
【請求項15】
前記ＡＭＳの前記ワークステーションが、前記ＤＣＳの前記ワークステーションからの、前記パラメータ変更コマンドが前記プロセス制御デバイスの前記一組の重要なパラメータを修正することを許可するかどうかを示す前記応答を表示するように適合される、請求項１４に記載のシステム。
【請求項16】
前記パラメータ変更コマンドが、前記一組の重要なパラメータおよび前記一組の重要なパラメータ以外の一組の重要でないパラメータを含む、複数のパラメータに対するものであり、前記セキュリティサービスモジュールが、前記ＤＣＳワークステーションからの前記応答にもかかわらず、前記プロセス制御デバイスの前記重要でないパラメータを変更する命令を許可するように適合される、請求項１１から請求項１５のいずれかに記載のシステム。
【請求項17】
前記パラメータ変更コマンドがインターセプトされたことを示す前記警告メッセージを受信することと、前記インターセプトされたパラメータ変更コマンドを検証するプロンプトを前記ＤＣＳの前記ワークステーションに表示することと、
前記応答を前記セキュリティサービスモジュールに送信することであって、前記応答が、前記パラメータ変更コマンドが検証されたかどうかを示す、送信することと、を行わせるように適合された、前記分散プロセス制御システム（ＤＣＳ）のセキュリティモジュールをさらに備える、請求項１１から請求項１６のいずれかに記載のシステム。
【請求項18】
前記ＤＣＳの前記セキュリティーモジュールが、修正履歴のための前記ＤＣＳのイベントクロニクルデータベースを前記パラメータ変更コマンドの前記一組の重要なパラメータのうちの少なくとも１つにクエリし、前記修正履歴の少なくとも一部分を前記ＤＣＳのユーザインターフェースに表示するようにさらに適合される、請求項１７に記載のシステム。
【請求項19】
前記セキュリティサービスモジュールが、前記パラメータ変更コマンドの前記一組の重要なパラメータへの以前の修正履歴について前記ＡＭＳの監査証跡データベースにクエリするように適合され、前記以前の修正履歴が、１つ以上の以前のパラメータ修正の理由を含む、請求項１１から請求項１８のいずれかに記載のシステム。
【請求項20】
前記資産管理システム（ＡＭＳ）の前記ワークステーションで実行され、ユーザインターフェースから、プロセス制御デバイスへのパラメータ変更の要求を受信するように適合されたフィールドデバイス統合（ＦＤＩ）電子デバイス記述（ＥＤＤ）サーバをさらに備え、前記セキュリティサービスモジュールが、前記ＦＤＩ ＥＤＤサーバによって実行されるロジックを使用して実装される、請求項１１から請求項１９のいずれかに記載のシステム。
【請求項21】
分散プロセス制御システム（ＤＣＳ）内の少なくとも１台のフィールドデバイスへの重要なパラメータ変更を検証するためのコンピューティングシステムであって、前記ＤＣＳは、少なくとも１台のコントローラおよび前記１台のフィールドデバイスを含み、かつ、前記ＤＣＳは、前記ＤＣＳとは異なる第２のシステムを有し、前記ＤＣＳの前記少なくとも１台のコントローラまたは前記１台のフィールドデバイスに通信可能に結合され、前記コンピューティングシステムは、
前記ＤＣＳのワークステーションであって、前記ＤＣＳの前記少なくとも１台のコントローラおよび１台のフィールドデバイスと通信するように適合され、かつ
前記第２のシステムから、前記ＤＣＳのプロセス制御デバイスに対して前記第２のシステムによって開始されたパラメータ変更コマンドを示す警報を、１つ以上のプロセッサを介して受信するように、
１つ以上のプロセッサを介して、前記パラメータ変更コマンドによって修正される一組のパラメータに関連するエントリについて前記ＤＣＳのイベントクロニクルデータベースにクエリするように、
前記パラメータ変更コマンドによって修正される前記一組のパラメータと関連するイベントクロニクルエントリと共に、前記第２のシステムからの前記警報を、１つ以上のプロセッサを介して表示するように、および
前記パラメータ変更コマンドが承認されたかどうかを示す前記第２のシステムへの前記警報への応答を、１つ以上のプロセッサを介して送信するように適合され、
前記第２のシステムのワークステーションは、
前記ＤＣＳとは独立して、前記ＤＣＳの少なくとも１台のプロセス制御デバイスと、１つ以上のプロセッサを介して通信することと、
１つ以上のプロセッサを介して、前記第２のシステムのパラメータ変更コマンドをインターセプトすることであって、前記パラメータ変更コマンドが、前記ＤＣＳの前記少なくとも１台のプロセス制御デバイスの少なくとも一組の重要なパラメータを変更する命令を含む、インターセプトすることと、
１つ以上のプロセッサを介して、前記パラメータ変更コマンドがインターセプトされたと示すことを含む警報を前記ＤＣＳの前記ワークステーションに送信することと、
１つ以上のプロセッサを介して、前記ＤＣＳワークステーションからの応答に基づいて、前記プロセス制御デバイスで実行するための前記インターセプトされたパラメータ変更コマンドをリリースすることと、を行うように適合された、コンピューティングシステム。
【請求項22】
資産管理システム（ＡＭＳ）のワークステーションが、少なくともパラメータ識別子、以前のパラメータ修正、および修正の理由を含む前記パラメータ変更コマンドの前記一組の重要なパラメータに対応する監査証跡ログを検索するようにさらに適合され、前記警報を前記ＤＣＳの前記ワークステーションに送信することが、前記検索された監査証跡ログを送信することを含む、請求項２１に記載のシステム。
【請求項23】
前記イベントクロニクルエントリが、前記一組の重要なパラメータの識別子、前記一組の重要なパラメータへの以前の変更、およびプラントプロセスへの前記以前の変更の効果を含む、請求項２１または請求項２２に記載のシステム。
【請求項24】
分散プロセス制御システム（ＤＣＳ）内のデバイスへの重要なパラメータ変更を検証するためのコンピューティングシステムであって、前記ＤＣＳは、少なくとも１台のコントローラおよび少なくとも１台のフィールドデバイスを含み、かつ、前記ＤＣＳは、前記ＤＣＳとは異なる第２のシステムを有し、共通の通信ネットワークを介して前記ＤＣＳの前記コントローラまたは前記１台のフィールドデバイスのうちの少なくとも１台に通信可能に結合され、
前記共通の通信ネットワークを介して、前記第２のシステムと前記ＤＣＳとを通信可能に結合するセキュリティサービスモジュールは、
１つ以上のプロセッサを介して、前記ＤＣＳの外部から生じるプロセス制御デバイスのパラメータ変更コマンドをインターセプトすることであって、前記パラメータ変更コマンドが、前記プロセス制御デバイスの少なくとも一組の重要なパラメータを変更する命令を含む、インターセプトすることと、
１つ以上のプロセッサを介して、警告メッセージを前記ＤＣＳのワークステーションに送信することであって、前記警告メッセージが、前記ＤＣＳのプロセス制御デバイスのパラメータ変更コマンドがインターセプトされたことを示す、送信することと、
前記ＤＣＳの前記ワークステーションから、前記プロセス制御デバイスへの前記重要なパラメータ変更が許可されたかどうかを示す、前記ＤＣＳのワークステーションによって生成された応答を、１つ以上のプロセッサを介して、受信することと、
前記重要なパラメータ変更への前記応答が許可された場合に、前記インターセプトされたパラメータ変更コマンドを、１つ以上のプロセッサを介してリリースすることと、を行わせるように適合されているコンピューティングシステム。
【発明の詳細な説明】
【技術分野】
【0001】
本開示は、一般に、プロセス制御システムに関し、より具体的には、プロセス制御システムのデバイスへの独立したアクセスを有する別個の二次システムに通信可能に連結され、かつプラントデバイスへの書き込みコマンドが２つのシステム間で検証される、プロセス制御システムに関する。
【背景技術】
【0002】
プラントの分散制御システム（ＤＣＳ）は、フィールドデバイス、入力／出力（Ｉ／Ｏ）デバイスと、コントローラと、オペレータワークステーションと、を含み得る。この分散制御システムは、プラントの種々のプロセスを調整および制御するために必要なアプリケーションを含み得る。他の補助ツールおよびアプリケーションは、プラントの操業をサポートするために開発されたものであるが、直接的なプラント制御の一部ではない場合がある。このような機能は、資産管理システムまたは資産保守システムによって行うことができるデバイスの保守および健全性管理を含み得る。保守および健全性監視機能は、従来、プラントデバイスへのアクセス（あるときには計装技術者によるプラントデバイスへの直接的な物理アクセス）を必要とするので、資産管理システムの開発は、ライブのプラント操業においてＤＣＳによってアクティブに制御されているフィールドデバイスへの独立アクセスを導入している場合がある。
【0003】
独立した通信経路は、同じ一組のプラントデバイスに対して、ＡＭＳおよびＤＣＳアプリケーションの間に存在し得るので、計装技術者がフィールドデバイスに対する書き込みコマンドを開始し得る状況が存在し、これは、ＤＣＳオペレータなどのプロセス制御システムの操作側のユーザからの知識または承認を伴わずに、アクティブ制御プロセスを変更し得る。オペレータは、ＤＣＳによって制御されているプラントの現在アクティブなプロセスに関してより多くの知識を有し得るので、本方法およびシステムは、書き込みコマンドをプラントデバイスに対して実行またはコミットすることができる前に、ＤＣＳ側からのアクティブな入力および情報に関与する、検証プロセスを提供し得る。
【発明の概要】
【0004】
本開示は、少なくとも１台のコントローラおよび１台のフィールドデバイスを含む分散制御システム、ならびにＤＣＳのプラントデバイスへの独立したアクセスを有する第２のシステムを記載し、第２のシステムからＤＣＳプラントデバイスへの書き込みコマンドが、承認プロセスのためにインターセプトされる。承認プロセスは、通知をＤＣＳワークステーションに送信して、ＤＣＳのフィールドデバイスまたは他のプラントデバイスの書き込みコマンドまたはパラメータ変更コマンドがインターセプトされることをオペレータに警告することを含み得る。このプロセスは、ＤＣＳワークステーションが、パラメータ変更コマンドに関する承認判定を送信することに関与し得る。次いで、承認判定を使用して、フィールドデバイスまたは他のプラントデバイスにおいて実行またはコミットするためのインターセプトされたパラメータ変更コマンドをリリースするか、またはパラメータ変更コマンドを終了することができる。
【0005】
いくつかの実施形態では、パラメータ変更コマンドをインターセプトすることは、セキュリティサービスモジュールによって行われる。セキュリティサービスモジュールは、第２のシステムの構成要素であり得るか、またはいくつかの実施形態では、セキュリティサービスモジュールは、第２のシステムその機能のうちのいくつかを独立して行い得る。いくつかの実施形態では、第２のシステムのワークステーションは、ＤＣＳから承認判定を受信し、承認判定に対応するメッセージを第２のシステムのユーザに表示し得る。いくつかの実施形態では、第２のシステムは、健全性監視および保守をプラントデバイスに提供するために、資産管理システムまたは資産保守システムであり得る。
【図面の簡単な説明】
【0006】
【図1】は、プロセスプラント内に位置する分散プロセス制御ネットワーク、または各々が通信アーキテクチャを使用するプラットフォームを有する産業用コンピューティングデバイスを含む、他の産業用設定のブロック図である。
【図2】分散プロセス制御システム（ＤＣＳ）に結合され得る資産管理システム（ＡＭＳ）を例示する。
【図3】ＡＭＳが通信ネットワークをＤＣＳと共有して、プラントデバイスと通信し得るシステムを例示する。
【図4】ＡＭＳが１つの通信ネットワークを介してＤＣＳに結合され、一方で、別個の通信ネットワークを使用してプラントデバイスと通信する、他のシステムを例示する。
【図5】承認プロセスを伴わない、ＡＭＳのユーザインターフェースの例示的な警告画面を例示する。
【図7B】ＡＭＳワークステーションとＤＣＳワークステーションとの間に直接結合される代わりに、共通のネットワークに通信可能に結合されているセキュリティサービスモジュールを有する、図７Ａの通信アーキテクチャに類似する通信アーキテクチャを例示する。
【図8】分散制御システムにおいてプラントデバイスへの書き込みコマンドまたはパラメータ変更コマンドを検証または認可するための方法を例示する。
【図9】プラント内のプロセスの一部分のダッシュボード図を示し、分散制御システムのオーバレイを有する、可能なコントローラのグラフィカルユーザインターフェース９００を例示する。
【図10】パラメータ変更コマンドがインターセプトされることを示すために、ＤＣＳのオペレータワークステーションに表示され得る、可能な警報を例示する。
【図11】パラメータ変更コマンドに対するＤＣＳからの承認応答に対応する可能なメッセージを例示する。
【図12】パラメータ変更コマンドに対するＤＣＳからの拒絶応答に対応する可能なメッセージを例示する。
【図13】ＡＭＳがフィールドデバイス統合（ＦＤＩ）サーバ構成要素として実装される特定の実施形態を例示する。
【図14】ＤＣＳおよびプラントデバイスへの無線アクセスを有するモバイルコンピューティングデバイスを用いた承認システムを例示する。
【発明を実施するための形態】
【0007】
図１は、プロセスプラント１０のプロセス制御システム１２を例示する。より詳しくは、プロセス制御システム１２は、分散プロセス制御システムまたはＤＣＳを表し得る。プロセスプラント１０はまた、プロセス制御オペレータ、保守要員、構成エンジニアなどのプラント要員によってアクセス可能である、１台以上のホストワークステーション、コンピュータ、またはユーザインターフェース１６（任意のタイプのパーソナルコンピュータ、ワークステーションなどであり得る）も含む。図１に例示する実施例では、ユーザインターフェース１６は、共通の通信回線またはバス２２を介してプロセス制御ノード１８および構成データベース２１に接続されるものとして示されている。通信ネットワーク２２は、任意の所望のバスベースまたは非バスベースのハードウェアを使用して、任意の所望のハードワイヤードまたは無線通信構造を使用して、およびイーサネットプロトコルなどの任意の所望のまたは好適な通信プロトコルを使用して実装され得る。
【0008】
一般的に言えば、プロセスプラント１０のノード１８は、異なるデバイスが取り付けられるバックプレーンに提供され得るバス構造を介して共に接続されたプロセス制御システムデバイスを含む。ノード１８（複数のノードを表し得る）は、プロセス制御器２４（マルチコントローラを表し得る）ならびに１台以上のプロセス制御システム入力／出力（Ｉ／Ｏ）デバイス２８、３０、および３２を含むものとして図１に例示する。プロセス制御システムＩ／Ｏデバイス２８、３０、および３２の各々は、フィールドデバイス４０および４２として図１に例示する、一組のプロセス制御関連のフィールドデバイスに通信可能に接続される。ワークステーション１６、プロセス制御器２４、Ｉ／Ｏデバイス２８～３２、およびコントローラフィールドデバイス４０および４２は、一般に、図１の分散プロセス制御システム（ＤＣＳ）１２を形成する。
【0009】
単なる例としてＥｍｅｒｓｏｎ Ｐｒｏｃｅｓｓ Ｍａｎａｇｅｍｅｎｔによって販売されているＤｅｌｔａＶ（商標）コントローラまたは他の任意の所望のタイプのプロセスコントローラであり得る、プロセスコントローラ２４は、Ｉ／Ｏデバイス２８、３０、および３２、ならびにフィールドデバイス４０および４２を使用して、（一般に、制御モジュールと称されるものを使用する）プロセス制御機能を提供するようにプログラムされる。具体的には、コントローラ２４は、メモリ７５に記憶されるかまたは別様にはそれに関連付けられた１つ以上のプロセス制御ルーチン（制御モジュールとも称される）を実装または監視し、フィールドデバイス４０および４２ならびにワークステーション１６と通信して、プロセス１０またはプロセス１０の一部分を任意の所望の様式で制御する。フィールドデバイス４０および４２は、センサ、バルブ、送信機、ポジショナなどの任意の所望のタイプのフィールドデバイスであり得、例えば、ほんの少し例を挙げれば、（フィールドデバイス４０について例示するような）ＨＡＲＴもしくは４～２０ｍａプロトコル、（フィールドデバイス４２について例示するような）Ｆｏｕｎｄａｔｉｏｎ（登録商標）Ｆｉｅｌｄｂｕｓプロトコルなどの任意のフィールドバスプロトコル、またはＣＡＮ、Ｐｒｏｆｉｂｕｓ、ＡＳインタフェースプロトコルを含む、任意の所望のオープンな、専有の、または他の通信もしくはプログラミングプロトコルに準拠し得る。同様に、Ｉ／Ｏデバイス２８～３２は、任意の適切な通信プロトコル（複数可）を使用する任意の既知のタイプのプロセス制御Ｉ／Ｏデバイスであり得る。
【0010】
共通のバックプレーン７６（コントローラ２４およびＩ／Ｏデバイス２８～３６を通る破線で示される）は、コントローラ２４をプロセス制御Ｉ／Ｏカード２８、３０、および３２に接続するために、ノード１８の各々で使用される。コントローラ２４はまた、バス２２に通信可能に結合され、該バスのバスアービトレータとして動作して、Ｉ／Ｏデバイス２８～３２の各々が、バス２２を介してワークステーション１６のいずれかと通信することを可能にする。
【0011】
図１は、複数のワークステーション１６がＤＣＳに結合され得ることを例示する。ワークステーションは、プラントを稼働させるための標準動作制御アプリケーションを実行するようにプログラムされ得る。これらの標準的な動作制御アプリケーションは、フィールドデバイスを使用してプラントプロセスを制御および操作することを必要とし得るので、ＤＣＳの一部と見なされ得る。プラントを動作させるために使用されるワークステーションに加えて、いくつかのワークステーションは、バス２２の外部に結合され、ＤＣＳ動作制御以外の二次機能のためのアプリケーションを稼働させ得る。すなわち、これらのアプリケーションは、プラントデバイスの保守および監視はどのプラントの動作制御に直接関与しないプラントデバイスへのアクセスを有し得る。１つのそのようなアプリケーションは、資産管理システムである。
【0012】
図２は、分散プロセス制御システム（ＤＣＳ）１１２に結合され得る資産管理システム（ＡＭＳ）２００を例示する。図１に類似して、図２のＤＣＳ１１２は、少なくともオペレータワークステーション１１６と、少なくとも１台のコントローラ１２４と、少なくとも１台のＩ／Ｏデバイス１２８と、１台以上のフィールドデバイス１４０と、を含み得る。図２は、ＤＣＳ１１２のプラントデバイス（１２４、１２８、１４０）の各々が、ＤＣＳシステム内で通信回線１５１、１５２、１５３、または１５４を使用して通信し得ることを例示する。
【0013】
図２は、ＤＣＳ１１２のデバイスが、ＡＭＳ２００に通信可能に結合され得ることを例示する。ＡＭＳ２００は、プラントデバイスに対する保守機能を実行するために使用され得る、複数のワークステーションまたはコンピューティングデバイスを表し得る、コンピュータまたはワークステーション２０１を含み得る。ワークステーション２０１は、例えば、その役割がＤＣＳ１１２のデバイスの１台以上を監視および保守することである計装技術者にユーザインターフェースを提供し得る。ＤＣＳ１１２は、ＤＣＳ制御プログラムを使用して、１台以上のオペレータワークステーション１１６を通して、ＤＣＳ１１２と相互作用する１人以上のプラントオペレータの制御下であり得る。ＡＭＳコンピューティングデバイス２０１はまた、監視および保守機能を複数のユーザに提供する１台以上のワークステーションまたはサーバのネットワークも表し得る。
【0014】
一般に、ＡＭＳ２００は、ＤＣＳ１１２のデバイスまたは構成要素の１台以上に関連する情報を管理し得る。いくつかの産業界では、資産管理システム（ＡＭＳ）２００はまた、資産保守システムとも称され得る。ＡＭＳ２００は、プラントデバイス監視し、そこから情報を収集し、診断を実行してプラントデバイスの異なる障害症状を識別し得る。例えば、ＡＭＳ２００の機能およびツールを通して、プラントデバイスおよび資産の全体的な健全性および寿命を確認し、記録し得る。動作中に、ＡＭＳ２００は、プラントデバイスのデバイス健全性および保守要件を算出するための情報を得るために、プラントデバイスに対して様々な試験を行い得る。いくつかの実施形態では、ＡＭＳ２００は、コントローラ１２４、Ｉ／Ｏデバイス１２８、フィールドデバイス１４０、および任意の他のプラントデバイスなどのプラントデバイスに対して、読み出しおよび書き込み動作を行い得る。プラントデバイスから抽出された情報に対してＡＭＳ２００によって行われた診断に基づいて、ＡＭＳ２００は、コントローラ１２４、Ｉ／Ｏ１２８、またはフィールドデバイス１４０などのプラントデバイスのパラメータを調整または修正することをユーザに促して、その効率を向上させるようにプログラムされ得る。ＡＭＳ２００の典型的なユーザは、計装技術者であり得る。いくつかの実施形態では、ＡＭＳ２００は、コントローラ１２４、Ｉ／Ｏ１２８、またはフィールドデバイス１４０などのプラントデバイスのパラメータを自動的に調整または修正して、その効率を向上させるようにプログラムされ得る。
【0015】
図２によって例示するように、ＡＭＳ２００は、ＤＣＳ１１２から別個かつ独立に、ＤＣＳ１１２の１台以上のデバイス１２４、１２８、１４０に通信可能に結合され得る。通信回線２５１～２５４は、ＤＣＳ１１２の通信および制御ネットワーク１５１～１５４とは独立に、別個のまたは隔離された通信ネットワークを表し得る。例えば、図２に例示するように、ＡＭＳは、ＤＣＳ１１２の他の構成要素またはデバイスと通信するためにデバイスによって使用される通信回線１５１～１５４およびポートとは別個の、ＤＣＳのデバイスの１台以上への物理通信回線２５１～２５４およびポート（図示せず）を有し得る。いくつかの実施形態では、ＡＭＳ２００は、制御信号を送信するためにまたはＤＣＳ１１２のデバイス間で通信するためにＤＣＳ１１２によって使用されるもの以外の論理ポートを介して、ＤＣＳ１１２のデバイスと通信し得る。ＡＭＳ２００とプラントデバイス１２４、１２８、１４０へのＤＣＳ１１２との間の別個かつ独立の通信経路のため、計装技術者は、修正が現在のプラントプロセスに対して不要であるかまたは損傷効果を与え得る場合に、プラントオペレータの知識または承認を伴うことなく、プラントデバイス１２４、１２８、１４０を修正し得る。
【0016】
図３は、ＡＭＳ２００が通信ネットワーク１６０をＤＣＳ１１２と共有してプラントデバイス１２４、１２８、および１４０と通信し得る、システムを例示する。図３のＡＭＳ２００およびＤＣＳ１１２は、図２のものに類似し得、同様にラベル付けされている。共有通信ネットワーク１６０は、例えば、Ｅｔｈｅｒｎｅｔネットワークであり得る。プラントデバイスとＡＭＳとＤＣＳとの間の通信は、コントローラ１２４、フィールドデバイス１４０、または他のプラントデバイスへの共通の通信ネットワーク、回線、またはリンク１６０を共有し得るが、ＡＭＳは、最初にＤＣＳシステム１１２または（例えば、ワークステーション１１６で実行する）オペレータアプリケーションと、またはそれを通して通信することなく、プラントデバイス１２４、１２８、１４０と直接通信し、プラントデバイス１２４、１２８、１４０のパラメータを変更または修正するコマンドを送信することが可能であり得る。図３のシステムでは、ＡＭＳ２００およびＤＣＳ１１２は、共通のプラントネットワーク１６０を使用して、プラントのコントローラ１２４またはフィールドデバイス１４０または任意の他のデバイスと直接通信し得、ＡＭＳ２００は、ワークステーション１１６上で稼働しているコントローラアプリケーションを介して、ＤＣＳ１１２を通して通信する必要はない。より具体的には、図２および図３のシステムは、ＡＭＳ２００が、コントローラ１２４、Ｉ／Ｏ１２８、およびフィールドデバイス１４０などのプラントデバイスのパラメータ修正を一方的に行う能力を有し得ることを例示する。プラントデバイスのパラメータ修正に関するさらなる議論を単純にするために、ＡＭＳが開始したパラメータ修正がコントローラまたはフィールドデバイスに適用されるように記載されている場合、本明細書に記載するまたは特許請求する任意の実施形態では、ＡＭＳが、同じまたは類似するパラメータ修正をＤＣＳの構成要素（例えば、サーバ、ワークステーション、コントローラ、Ｉ／Ｏ、フィールドデバイスなど）のいずれかまたは全てに行うことが可能であり得ることを理解されたい。
【0017】
図４は、ＡＭＳがＤＣＳに結合されている他のシステムを例示する。図４のアーキテクチャでは、ＤＣＳおよびＡＭＳは、ＡＭＳ２００のワークステーション２０１とＤＣＳ１１２のワークステーション１１６との間を接続している通信ネットワーク１６０を介して、互いに通信可能に結合され得る。この状況では、２つのシステム間にいくつかのレベルの情報交換が存在し得るが、依然として 互いに独立してフィールドデバイスの修正を行うことができる。図２～図４のシステムは、ＡＭＳ２００とＤＣＳ１１２との間に共有の通信回線を含み得るが、依然として、ＡＭＳ２００の計装技術者などのユーザの行為が、潜在的に損傷を与える様式におけるプラントのＤＣＳ１１２コントローラの動作と矛盾するときに問題が生じ得る。この矛盾は、単純に、プラント内の現在のプロセスアクティビティの知識および認識のレベルが、その保守業務がより定期的である計装技術者よりも、そのプロセスの管理に現在従事しているオペレータのほうが高いことにより起こり得る。
【0018】
一般に、ＡＭＳ２００は、プラントデバイス１２４、１２８、１４０から情報を収集して、様々なプラントデバイスの健全性を判定し、デバイスの動作を向上させ得る。このように、ＡＭＳ２００は、フィールドデバイスの保守、維持管理、および更新を提供する際に、計装技術者を支援し得る。ＡＭＳ２００は、その計算に基づいて調整を行うようにユーザに促し得るか、またはいくつかのシステムでは、ＡＭＳ２００は、一組の調整を自動的に行い得る。多くの状況では、健全性を判定し、提案される調整を提供するために必要とされる情報を収集することは、１つ以上の試験を、１２４、１２８、または１４０などのターゲットプラントデバイスに対して実行することを必要とする。試験の過程で、１台以上のデバイスパラメータまたは構成パラメータを修正することが必要であり得る。したがって、少なくとも２つの状況は、試験中に、および試験後のデバイス修正中に、ＡＭＳによってコントローラまたはフィールドデバイスのパラメータの修正を必要とし得る。
【0019】
しかしながら、ＡＭＳ２００を使用するときなどの、デバイスがアクティブであるときもしくはコミッショニングされるとき、またはＤＣＳ１１２の操作環境以外でユーザによって試験が開始されるときもしくは調整が行われるときに、問題が生じ得る。ＤＣＳ１１２のデバイスの試験は、理想的には、フィールドデバイス１２４が非アクティブまたはオフラインであるときに行われるが、デバイスをオフラインにすることは、非現実的または困難であり得る。これは、重要なプロセスが現在行われているとき、およびプラントプロセスをシャットダウンすることができないときに当てはまり得る。同様に、計装技術者が、障害を示している、またはデバイスが動作中およびアクティブである間に起こり得る故障または機能の劣化の兆候を示しているプラントデバイスを試験することを必要とするときに、状況が生じ得る。
【0020】
図２～図４のシステムが、ＡＭＳなどの二次システムがＤＣＳ外部のプラントデバイスの修正を行うことを可能にすると想定すると、アクティブにコミッショニングされたフィールドデバイスのパラメータ修正に関与する保守手順（例えば、書き込みコマンド）が、ライブのプロセスにおいて損傷を与える操作変更を生じさせ得るときに、矛盾が生じ得る。計装技術者は、ＤＣＳフィールドデバイスまたは書き込みコマンドに対する試験がアクティブなプラントプロセスに悪影響を及ぼし得るまたは妨害し得るかどうかを判定する際に注意するように訓練され得るが、しばしば、プラント内の全てのプロセスがプラントデバイスを修正することによって悪影響を受け得ることが、その時点で計装技術者に知らされない場合がある。少なくともいくつかの場合では、計装エンジニアは、ＤＣＳプラントオペレータが保有し得る、プロセスについての現在の状況認識を有しない場合がある。これらの状況では、アクティブなプラントデバイスがプラントオペレータの知識を伴うことなく修正されるときに、潜在的な危険性が存在し得る。この問題は、ＡＭＳとＤＣＳとの間に存在するように本明細書に記載しているが、この問題は、ＤＣＳ外部の独立したシステムが、ＤＣＳ内のプラントデバイスのパラメータを独立して修正することができるプラントシステムに一般化され得る。
【0021】
いくつかの既存のシステムでは、単純な警告画面をＡＭＳの端末またはワークステーションでユーザに示して、ユーザに、パラメータの修正がシステムに悪影響を与え得ることを警告し得る。図５は、例示的な警告画面を例示する。この実施形態では、アクティブなプラントデバイスに相当な効果を及ぼすことが知られているいくつかの重要な変数が、高優先度セットに分類され得、これらのパラメータを修正しようとする際に、警告プロセスが実施され得る。いくつかのシステムでは、この高優先度セットは、ｌｏｏｐ＿ｗａｒｎｉｎｇ＿ｖａｒｉａｂｌｅｓと称されるセットに指定され得る。いくつかの実施形態では、ｌｏｏｐ＿ｗａｒｎｉｎｇ＿ｖａｒｉａｂｌｅｓは、プラントのモジュールまたはセクション内のプロセス制御ループ電流を大幅に変更し得るパラメータを含み得る。一組のｌｏｏｐ＿ｗａｒｎｉｎｇ＿ｖａｒｉａｂｌｅｓを有するシステムでは、ｌｏｏｐ＿ｗａｒｎｉｎｇ＿ｖａｒｉａｂｌｅｓ内のパラメータを変更しようとするたびに、図５の警告画面が表示され得る。いくつかの実施形態では、閾値によって定義されるように、ｌｏｏｐ＿ｗａｒｎｉｎｇ＿ｖａｒｉａｂｌｅｓは、プロセス制御ループ電流にかなりの効果を与え得る一組のパラメータであり得る。
【0022】
図５に例示するような警告を有することが、高優先度パラメータセット（例えば、ｌｏｏｐ＿ｗａｒｎｉｎｇ＿ｖａｒｉａｂｌｅｓ）を修正することに関して起こり得る問題をユーザに警告するまたは気付かせ得るが、この警告は、オペレータが危険な結果に関してより多くの知識を有する場合に、プラントデバイスで実行される修正または書き込みコマンドを防止し得ない。具体的には、単純な警告画面は、ＡＭＳの計装技術者が知識を有し得ないプラント操業との矛盾を縮小し得ない。
【0023】
図６～図８は、プラントデバイス１２４、１２８、および１４０へのアクセスを有する第１のシステム（ＤＣＳ１１２など）ならびに同じプラントデバイス１２４、１２８、および１４０へのアクセスを有する第２のシステム（ＡＭＳ２００など）が、プラントデバイス１２４、１２８、１４０を修正しようとしているＡＭＳワークステーション２０１のユーザと、ライブのプラント操業においてプラントデバイスをアクティブに管理しているＤＣＳ１１２のプラント制御システムのオペレータとの間の変更承認プロセスを提供することができるセキュリティサービスモジュール（ＳＳＭ）３００に通信可能に結合され得ることを例示する。これらのアーキテクチャにおいて、セキュリティサービスモジュール（ＳＳＭ）３００は、承認プロセスが行われるまで、フィールドデバイスまたは他のプラントデバイスに送信されている書き込みコマンドまたはパラメータ変更コマンドをインターセプトし得る。いくつかの実施形態では、ｌｏｏｐ＿ｗａｒｎｉｎｇ＿ｖａｒｉａｂｌｅｓを含む書き込みコマンドのみが、承認のために、セキュリティサービスモジュールを対象とし得るか、またはインターセプトされ得る。他の実施形態では、全ての書き込みコマンドは、最初に、承認のために、セキュリティサービスモジュールを対象とし得る。便宜的に、本明細書の実施形態および説明の多くは、フィールドデバイスのパラメータ変更コマンドをインターセプトすることに関する。しかしながら、別途指定されない限り、本明細書に記載する方法、プロセス、およびシステムは、任意のプラントデバイスのパラメータ変更コマンドをインターセプトすることにも同様に適用することができることに留意されたい。プラントデバイスは、フィールドデバイス、入力／出力デバイス、およびプロセスコントローラを含むＤＣＳの制御および通信構造とは独立に修正することができる、フィールドデバイス、入力／出力デバイス、プロセスコントローラ、および任意の他のデバイスを含み得る。プロセス制御デバイスという用語は、出願したデバイス、入力／出力デバイス、およびプロセスコントローラを含み得る。
【0024】
図６～図８は、ＳＳＭをＡＭＳおよびＤＣＳに通信可能に結合することができる様々な方法を例示する。図６は、ＡＭＳワークステーション２０１とＤＣＳオペレータワークステーション１１６との間に通信可能に結合されているセキュリティサービスモジュール３００を追加した、図２のシステムを例示する。図２のアーキテクチャに類似して、図５のＡＭＳ２００およびＤＣＳ１１２は、プラントデバイス１２４、１２８、および１４０への別個かつ独立のアクセスを有する。図５のシステムでは、ＳＳＭは、さらなる承認処理のためにＡＭＳによって生成されたパラメータ変更コマンドをインターセプトするようにＡＭＳとＤＣＳとの間で協調させることが可能であり得る。
【0025】
図７Ａは、ＡＭＳワークステーション２０１とＤＣＳオペレータワークステーション１１６との間に通信可能に結合されたセキュリティサービスモジュール３００を追加した、図３のシステムを例示する。図３のアーキテクチャに類似して、図７ＡのＡＭＳ２００およびＤＣＳ１１２は、プラントデバイス１２４、１２８、および１４０と通信するための共通のネットワークリンク１６０を共有し、２つのシステム２００および１１２は、ＳＳＭ３００を除いて、独立してプラントデバイスにアクセスする能力を有し、この時点で、ＡＭＳワークステーション２０１から書き込みコマンドをインターセプトし、ＤＣＳワークステーション１１６からの承認が保留中のコマンドを中止することができる。図７Ｂは、ＡＭＳワークステーション２０１とＤＣＳワークステーション１１６との間に直接結合される代わりに、共通のネットワーク１６０に通信可能に結合されているセキュリティサービスモジュールを有する、図７Ａのアーキテクチャに類似するアーキテクチャを例示する。図７Ａおよび７Ｂの両方では、ＳＳＭ３００は、承認プロセスが行われるまで、パラメータ変更コマンドをインターセプトし、それらのコマンドを中止するその機能を行うことができる。
【0026】
図７Ｃは、ＡＭＳワークステーション２０１およびＤＣＳオペレータワークステーション１１６に通信可能に結合されているセキュリティサービスモジュール３００を追加した、図４のシステムを例示する。また、図４のアーキテクチャに類似して、ＡＭＳワークステーション２０１およびＤＣＳワークステーション１１６の各々は、プラントデバイスの各々への独立した物理通信回線アクセスを有するが、互いの間に共通のネットワーク１６０を共有し得る。このアーキテクチャでは、ＳＳＭは、ＡＭＳ２００とＤＣＳ１１２との間の同じ共通のネットワーク１６０を利用して、そのインターセプト機能を行うことが可能であり得る。一実施形態では、下でさらに説明するように、ＡＭＳは、任意のパラメータ変更コマンドを生成または送信する前に、ＳＳＭと通信して承認を求めるようにプログラムされ得る。図７Ｃのアーキテクチャを有するいくつかの実施形態では、プロセス制御デバイス（例えば、コントローラまたはフィールドデバイス）は、プロセス制御デバイスによってパラメータ変更コマンドが受信され得る前に、書き込みアクセスをブロックし、ＳＳＭからのトークンまたはロック解除キーを必要とし得る。
【0027】
図８は、分散制御システムにおいてプラントデバイスの書き込みコマンドまたはパラメータ変更コマンドを認可または承認するための方法を例示する。書き込みコマンドまたはパラメータ変更コマンドは、パラメータ変更の要求、パラメータ変更のための一組の命令、またはプラントデバイスが受信したときにパラメータ変更を実施、コミット、または別様に実装させ得る、任意の修正コマンドであり得る。
【0028】
ブロック８１０で、システムは、フィールドデバイスのパラメータ変更の書き込みコマンドをインターセプトし得る。セキュリティサービスモジュールが、インターセプトを行い得る。セキュリティサービスモジュールは、ＡＭＳなどのＤＣＳとは異なる第２のシステムのサーバまたはワークステーションの構成要素であり得る。代替的に、インターセプト機能は、第２のシステムとＤＣＳとの間に共通の通信ネットワークを管理するサーバの実行プログラムとして実装され得る。ブロック８１２で、システムは、コマンドが重要なパラメータ変更であるかどうかを判定し得る。コマンドが重要なパラメータ変更に関するものではない場合、ブロック８１４で、システムは、随意に、パラメータ変更コマンドが正しいこと、およびコマンドを許可するかまたは通すかどうかを確認するようにユーザに促し得る。ユーザがコマンドを確認する場合、ブロック８１６で、コマンドをプラントデバイスに送信および／またはコミットし得る。いくつかの実施形態では、ＤＣＳシステムは、システムが重要または高優先度であると認識するｌｏｏｐ＿ｗａｒｎｉｎｇ＿ｖａｒｉａｂｌｅｓセットなどの、プログラムまたは定義された一組の重要な高優先度変数を有し得る。これらの実施形態では、一組のｌｏｏｐ＿ｗａｒｎｉｎｇ＿ｖａｒｉａｂｌｅｓ以外のパラメータまたは変数に対する書き込みコマンドまたは変更コマンドは、重要でないと見なされ、ブロック８１２で、それを使用して重要なおよび重要でないパラメータセットを区別し得る。ユーザがコマンドを拒絶した場合、ブロック８１７で、コマンドが終了され得る。
【0029】
ブロック８１２で、コマンドが重要なパラメータ変更に関するものと判定された場合、ブロック８１８で、システムは、フィールドデバイスの重要なパラメータ変更のコマンドを中止し得る。コマンドの送信を中止することは、コマンドを保持状態または状況にすることを伴い得る。いくつかの実施形態では、変更コマンドを中止することは、それが処理または承認され（下でさらに述べる）、次いで、リリースされるか（例えば、承認された場合）、または終了するまで（例えば、拒絶された場合）、コマンドを一時的な保留キューまたはキャッシュに置くことを伴い得る。判定ブロック８１２でのコマンドは、重要または高優先度パラメータ変更のみがインターセプトされ、承認プロセスを受けることが中止される実施形態に適用され得ることに留意されたい。しかしながら、他の実施形態では、システムは、二次システムからフィールドデバイスへの全てのパラメータ変更をインターセプトし得る。この場合、プロセスは、ブロック８１２を迂回して、ブロック８１０から直接ブロック８１８へ進む。
【0030】
ブロック８２０で、システムは、二次システム（例えば、ＤＣＳの外側のシステム）からの書き込みコマンドがインターセプトされたことをＤＣＳに警告し得る。ブロック８２０は、重要なパラメータ変更のコマンドがインターセプトされたことを示す警報または警告メッセージを生成し、分散プロセス制御システム（ＤＣＳ）のユーザインターフェースデバイスに送信し得る。ＤＣＳ１１２のワークステーション１１６などのＤＣＳのユーザインターフェースが警報を受信したときに、ユーザインターフェースは、既存のＤＣＳ制御ディスプレイの上に警報を示し得る。図９は、プラント内のプロセスの一部分のダッシュボード図を示し、分散制御システムのオーバレイを有する、可能なコントローラのグラフィカルユーザインターフェース９００を例示する。図９は、ＤＣＳアプリケーションによって管理されているプロセスプラント９１０の一部分のグラフィカル表現を示し、プラント内のアクティビティの周囲に位置付けられた１台以上のフィールドデバイス９４０を例示する。このグラフィカルユーザインターフェース（ＧＵＩ）９００は、オペレータが図１のワークステーション１６のうちの任意の１台以上で動作しているＤＣＳのアプリケーションを監視している態様を表し得る。一般に、オペレータは、ＧＵＩ９００を使用して、一組の入力出力Ｉ／Ｏデバイスまたはインターフェースを介して通信することによって、プラントプロセスを監視し、プラントデバイス（例えば、コントローラおよびフィールドデバイス）を調整し、スケジュールし得る。図９は、プラントおよびプロセスの鳥瞰図およびダッシュボード図を例示し得、コントローラは、任意の特定のセクションまたはデバイスに関するより詳細な情報を検索する能力によって、プラント９１０の周辺の、およびその周りの主要なパラメータ９５６を監視することができる。プラントの通常作動中に、この画面は、図１０に例示するような、ＳＳＭ３００からの警報メッセージが割り込み得る。
【0031】
ブロック８２２で、システムは、メッセージをＤＣＳのユーザインターフェースデバイスに表示し得る。メッセージは、フィールドデバイスの重要なパラメータの変更の試行または要求が保持状態で、オペレータ承認またはオペレータフィードバックが保留状態になっていることをＤＣＳのユーザに知らせ得る。図１０は、ＤＣＳのオペレータワークステーションに表示され得る、可能なメッセージプロンプト１０１０を例示する。メッセージプロンプトは、以下のフィールド、すなわち、エンティティまたはユーザが発行するコマンドまたは要求１０１２、コマンドまたは要求の意図されたプラントデバイス１０１４、プラントデバイスのノードまたはモジュール１０１６、修正のターゲットパラメータ１０１８、ターゲットパラメータの変更が行われること、または要求が行われること（図示せず）、変更を行おうとするアプリケーションまたはシステム１０２０、変更のコミットメントに関連する安全ガイドライン１０２２、およびコマンドまたは変更要求を許可または拒否するためのプロンプト１０２４、のうちの少なくともいくつかを含み得る。
【0032】
いくつかの実施形態では、イベントクロニクルデータベースをクエリすることによって、追加のパラメータ情報がオペレータに提供され得る。イベントクロニクルデータベースは、ＤＣＳによってコントローラまたはフィールドデバイスなどのプラントデバイスに行われる全てのパラメータ変更に関する情報を記録するための、ＤＣＳによって保守されるデータベースであり得る。イベントクロニクルは、以下のフィールド、すなわち、日付、時間、ユーザＩＤ、デバイスＩＤ、パラメータ名、パラメータ値の変更、および効果のうちの少なくともいくつかを含む記録を含み得る。一般に、イベントクロニクルの効果フィールドは、任意の変更の情報をプラントデバイスおよびプラントデバイスのパラメータ変更に対応するプロセスまたはサブプロセスで提供することができる。効果フィールドは、限定されないがパラメータ値変更による悪影響または障害イベントなどの、パラメータ変更に関する任意の悪影響または追加の警告を追加的に示し得る。いくつかの実施形態では、イベントクロニクルの追加的なフィールドは、パラメータ値変更のための具体的な詳細またはオペレータの見解を提供する、オペレータの所見または注記であり得る。この詳細は、将来にパラメータ値を調整するときに考慮する必要がある、起こり得るミスステップに関する警告または相関パラメータ効果を含み得る。いくつかの実施形態では、イベントクロニクルは、パラメータ変更の警告を提供する記録フィールドを含み得る。例えば、警告は、パラメータ値の変更が進行中であるか、またはスケジュールされたイベントに相関しているので、それを特定の時間に行うべきでないことを示し得る。
【0033】
ブロック８２４で、システムは、コントローラまたはかフィールドデバイスの重要なパラメータ変更が許可されたか拒否されたかまたは拒絶されたかを示す応答を、ＤＣＳのユーザインターフェースデバイスからＡＭＳのユーザインターフェースデバイスに送信し得る。いくつかの実施形態では、この応答は、オペレータが図１０に示すようなＤＣＳユーザインターフェースのグラフィカルユーザインターフェースの承認または拒否ボタン１０２４をクリックしたときに送信され得る。ＤＣＳ応答が送信されると、承認プロセスは、ＡＭＳに戻り得、ブロック８２６で、ＡＭＳワークステーションは、ＤＣＳオペレータからの応答を表示し得る。図１１は、ＤＣＳからの応答に対応し、ＡＭＳユーザインターフェースに表示される、可能なメッセージプロンプト１１１０を例示する。
【0034】
ブロック８２６で、ＡＭＳシステムは、ＤＣＳからの応答を受信し、処理し得る。いくつかの実施形態では、ＤＣＳで応答を処理することは、重要なパラメータ変更コマンドへの応答または応答の情報をＡＭＳのユーザインターフェースデバイスに表示することを伴い得る。いくつかの実施形態では、プロセスは、ブロック８２８で、ＤＣＳからの応答が承認されたかどうかを確認し得、ブロックの８３０で、インターセプトされたパラメータ変更コマンドをリリースし得るか、または別様に、ブロック８３２で、パラメータ変更コマンドを終了し得る。
【0035】
図１１は、重要なパラメータ変更への応答が承認された場合に、ＡＭＳのユーザインターフェース（例えば、ワークステーション）に表示することができるグラフィカルユーザインターフェース（ＧＵＩ）の一実施形態を例示する。具体的には、ＧＵＩは、ＤＣＳオペレータからの応答を示す、計装技術者などのユーザに表示され得る。影響を受けたプラントデバイスの識別情報１１２２、影響を受けたモジュールの識別情報１１２４、パラメータ変更に関連する安全メッセージ１１２６、のうちのいくつかを含み得る。ＧＵＩはまた、パラメータおよび要求されたパラメータ変更の識別情報（例えば、パラメータの値）、判定の理由、変更要求が承認されたかまたは拒否されたかの指示、などの図１１に示していない他の関連する情報も含み得る。いくつかの実施形態では、パラメータ要求が拒否される指示が存在しないので、図１１のＧＵＩは、デフォルトで承認を示すことができることに留意されたい。
【0036】
いくつかの実施形態では、ブロック８２６および８２８は、ユーザが、ＤＣＳが許可したパラメータ変更コマンドの追加的な確認または検証を行うことを可能にし得る。いくつかの実施形態では、図１１のＧＵＩはまた、修正の理由１１２８、および書き込みコマンドを検証するかまたはそれを拒絶することをユーザに促す最終検証または確認チェックボタン１１３０を含むために、ＡＭＳオペレータのフィールドも含み得る。ブロック８２８でユーザが変更を許可し、適用することを選択した場合、ブロック８３０で、実行またはコミットメントのために、書き込みコマンドがＡＭＳからプラントデバイスにリリースされ得る。ユーザが変更を適用しないことを選択した場合、書き込みコマンドは、ブロック８３２で終了し得る。いくつかの実施形態では、承認した時点で、フィールドデバイスにコミットするために、書き込みコマンドがＤＣＳにルーティングされ得る。この実施形態では、ＤＣＳは、コミットメントのための書き込みコマンドを送信し得る。
【0037】
ＤＣＳオペレータからの応答が重要なパラメータ変更の拒絶であった場合、システムは、図１２に例示するような応答メッセージを表示し得る。図１２は、以下のフィールド、すなわち、変更要求が拒否した旨の指示１２１０、影響を受けたプラントデバイスの識別情報１２１２、プラントデバイスの制御モジュールの識別情報１２１４、およびパラメータおよび／または要求されたパラメータ変更の識別情報（例えば、パラメータの値）１２１６、を含み得る、ＧＵＩ１２００を例示する。
【0038】
ブロック８３２で、ＡＭＳまたはセキュリティサービスモジュール（ＳＳＭ）は、重要なパラメータ変更コマンドを終了し得る。この終了は、ＤＣＳからの拒否応答を受信した直後に自動であり得、またはいくつかの実施形態では、この終了は、ユーザが（例えば、画面プロンプトを介して）応答メッセージを受信することを示すかまたは肯定応答し終わるまで延期され得る。いくつかの実施形態では、図１２の表示は、ＡＭＳユーザインターフェースのユーザによるメッセージの受信を肯定応答するためのボタンを含み得る。この実施形態では、コマンドは、コマンドが終了することまたは別様には実行されないことを示すボタンをユーザがクリックするまで、終了され得ない。一般に、記載する方法およびシステムは、システムからの変更コマンドを終了するか、もしくは恒久的にブロックするか、または別様には無効にするか、もしくは削除する優先権および権限をＤＣＳオペレータに適用し得る。変更コマンドが保留状態であるか、または待ちキューにある実施形態では、ブロック８３２で、変更コマンドは、削除のためにマーク付け、またはフラグ付け、またはタグ付けされ得る。
【0039】
いくつかの実施形態では、パラメータ変更コマンドは、複数のパラメータ変更を含み得る。いくつかの状況では、複数のパラメータは、ｌｏｏｐ＿ｗａｒｎｉｎｇ＿ｖａｒｉａｂｌｅｓセットにあるような重要なパラメータ、ならびに重要でないパラメータへの変更を含み得る。いくつかの実施形態では、重要でないパラメータは、プラントデバイスの制御下でプロセスに対して少ない影響を有し得る、低優先度パラメータであり得る。この実施形態では、記載されたシステムは、重要なｌｏｏｐ＿ｗａｒｎｉｎｇ＿ｖａｒｉａｂｌｅｓへの変更が拒絶または拒否された場合であっても、重要でないパラメータへの変更を行うことを可能にし得る。いくつかの実施形態では、書き込みコマンドは、重要なパラメータに関する判定が行われるまでコマンドの全てのパラメータが中止されるように、保留状態になる。図１２のＧＵＩは、複数のパラメータ変更が重要でないパラメータを含む場合を例示し得る。この場合、応答メッセージのＧＵＩは、重要でないパラメータの修正の理由１２２８および最終検証または確認チェック１２３０を含む、ＡＭＳオペレータのフィールドを含み得る。図１２は、ＧＵＩを例示し、重要なパラメータ変更に対する拒絶が、重要なパラメータ変更を伴わない変更コマンドパラメータセット内の重要でないパラメータのパラメータ変更コマンドを続行したいかどうかをユーザに判定させるためのプロンプト１２３０と共に示される。上で論じたように、いくつかの実施形態では、一組のｌｏｏｐ＿ｗａｒｎｉｎｇ＿ｖａｒｉａｂｌｅｓ以外のパラメータなどの重要でないパラメータへの変更であっても、ＤＣＳオペレータの承認を必要とし得る。図１２の応答ＧＵＩは、ＤＣＳオペレータの拒絶理由などの、図示されていない他の情報を含み得る。
【0040】
いくつかの実施形態では、重要なパラメータ変更は、無効にされ得るか、または別様に送信がブロックされ得、一方で、変更コマンドの重要でないパラメータセットを通すまたはリリースすることを可能にする。いくつかの実施形態では、ＡＭＳサーバは、単純に、オペレータによって拒絶されないパラメータ変更のみを実施するように、変更コマンドパラメータセットを変更し得る。例えば、変更コマンドがパラメータ変更セットの命令を含む一実施形態では、ＡＭＳサーバは、ブロック８１８で、単純にコマンドをキューに置き、図８のブロック８２０～８２６のように、メッセージをＤＣＳに送信することによってコマンドのパラメータ変更セットを検査し、次いで、ブロック８２０で、承認を受けてコマンドをリリースするか、またはブロック８３２で、要求された変更のＤＣＳによる拒絶に応じて、パラメータ変更セットの重要なパラメータを除去または削除するように変更し得る。
【0041】
フィールドデバイスなどのプラントデバイスに行った変更、結果として生じた動作の変更、およびプラントオペレータによって観察される顕著な結果を取り込むイベントクロニクルデータベースなどのログをＤＣＳが含む場合、ＡＭＳまたは他の第２のシステムは、ＡＭＳまたはＡＭＳのユーザによって行われたフィールドデバイスへの試験、検査、および較正変更を記録する、監査証跡ログまたはデータベースなどの、対応するログを有し得る。一実施形態では、セキュリティサービスモジュールは、パラメータ変更のインターセプトされたコマンドに関する関連した監査証跡エントリを取り出すようにプログラムされ得る。例えば、セキュリティサービスモジュールは、変更コマンドによって修正するように要求されたパラメータ変更に基づく情報をＡＭＳの監査証跡にクエリし得る。監査証跡ログまたはデータベースエントリは、ＡＭＳなどの二次システムによって行われたプラントデバイス修正の日付および時間、修正の種類、および修正の理由を含み得る。セキュリティサービスモジュールは、警告メッセージをＤＣＳオペレータに転送するときに、この監査証跡ログ情報を含み得る。ＤＣＳオペレータは、監査証跡情報が、変更コマンドまたは変更要求を承認するかまたは拒否するかをより多くの情報に基づいて決定する際に有用であることを見出し得る。ＤＣＳオペレータが、通常は、ＤＣＳ側からの情報のみに基づいて変更要求をブロックまたは拒否するが、次いで、監査証跡情報に基づいてプラントデバイスパラメータを変更する優先度が、初期の動作上の考慮事項に優先すること認識するときに、１つの状況が生じ得る。これは、例えば、監査証跡が、プラントデバイスの起こり得る欠陥または重大な劣化を示す場合に当てはまる。
【0042】
一般に、図８に記載するプロセスおよび機能は、それぞれ、各システムのワークステーションまたはサーバなどの、ＡＭＳおよびＤＣＳのコンピューティング構成要素を介して、ＡＭＳとＤＣＳとの間に分配され得る。図８の機能またはプロセスブロックのうちの少なくともいくつかを実行し得るＳＳＭを実装するために、別個のコンピューティングデバイスが使用され得る。いくつかの実施形態では、図８のプロセスブロックは、ＡＭＳ、ＤＣＳ、およびＳＳＭに分けられ得る。いくつかの実施形態では、ＳＳＭは、図８のプロセスを実行するために、ＡＭＳワークステーションおよびＤＣＳワークステーションによって実装される要素を有し得る。
【0043】
図１３は、ＡＭＳがフィールドデバイス統合（ＦＤＩ）サーバ構成要素として実装される特定の実施形態を例示する。フィールドデバイス統合システムは、電子デバイス記述（ＥＤＤ）を使用したプロセス制御デバイスのアクセスおよび通信のための業界標準手法である。具体的には、セキュリティサービスモジュール１３０８は、ＦＤＩサーバ１３１２の構成要素としてプログラムされ得る。ネットワーク１６０などの共通のネットワークに結合されたワークステーション２０１などのワークステーションのユーザは、ＥＤＤフィールドデバイスインターフェースまたはＦＤＩクライアント１３１６を使用して、重要なパラメータ変更の要求をフィールドデバイスに送信し得る。ＦＤＩサーバ１３１２のＳＳＭ１３０８は、ＡＭＳシステムの一部として、複数のＦＤＩクライアント１３１６のいずれか１つからのパラメータ変更コマンドまたは要求のうちのいくつかまたは全てをインターセプトするようにプログラムされ得る。図１３によって例示するように、ＦＤＩ ＥＤＤサーバ１３１２は、コントローラ１３４０、Ｉ／Ｏデバイス（例えばＣＨＡＲａｃｔｅｒｉｚａｔｉｏｎ Ｍｏｄｕｌｅ（ＣＨＡＲＭ）入力／出力カード（ＣＩＯＣ）１３４２、（Ｅｍｅｒｓｏｎ Ｄｅｌｔａ Ｖプロセス制御の実施形態の一部）、およびＤＣＳワークステーション１３５０からのアナログ出力（ＡＯ）ＨＡＲＴ通信４～２０ｍＡ ＣＨＡＲＭ１インターフェース１３４４を介して通信されるＤＣＳ制御機能とは独立に、ＦＤＩ通信サーバインターフェース１３３０介して、ＩＰ１０４Ａフィールドデバイス（例えば、弁位置決め器）などのフィールドデバイス１３２０と直接通信することができる。ＦＤＩサーバ１３１２の構成要素のＳＳＭ１３０８は、上記の実施形態に類似するパラメータ変更コマンドを処理し得る。具体的には、ＦＤＩ－ＥＤＤサーバは、パラメータ変更コマンドの承認の要求メッセージをＤＣＳ１３５０に送信し得る。ＤＣＳ１３５０の応答に基づいて、ＳＳＭ１３０８は、フィールドデバイス１３２０でのコミットメントのパラメータ変更コマンドをリリースするか、またはパラメータ変更コマンドを終了することができる。上記の全ての実施形態が、図１３の実施形態に適用され得ることに留意されたい。
【0044】
図１４は、承認システムの一実施形態を例示し、計装技術者１４０１は、ＨＡＲＴ通信インターフェース１４１２を介して、ＤＣＳ１４５０への無線アクセスを有し、かつフィールドデバイス１４２０へのアクセスを有するモバイルコンピューティングデバイス１４１０を使用し得る。いくつかの実施形態では、モバイルデバイス１４１０は、通信インターフェース１４１２を介して、プロセスプラント内のフィールドデバイス１４２０に物理的にかつ直接結合され得る。ＤＣＳワークステーション１４５０は、対応するコントローラ１４４０、Ｉ／Ｏ １４４２、およびインターフェース１４４４を使用して、フィールドデバイス１４２０を監視および制御し得る。この実施形態では、ＳＳＭ１４０８は、モバイルデバイス１４１０の構成要素としてプログラムされ得る。ＳＳＭ１４０８は、上で説明したように、ＤＣＳ１４５０への無線通信リンクを使用し得、同じまたは類似するパラメータ変更コマンドを承認するプロセスが実施され得る。
【0045】
以下の追加の検討事項が、上記の考察に適用される。本明細書全体を通して、任意のデバイスまたはルーチンによって実行されるものとして記載されたアクションは、機械可読命令に従ってデータを操作または変換するプロセッサのアクションまたはプロセスを概して指す。機械可読命令は、プロセッサに通信可能に連結されたメモリデバイス上に記憶され、それから取得され得る。換言すれば、本明細書に記載される方法は、コンピュータ可読媒体上に（すなわち、メモリデバイス上に）記憶された一連の機械実行可能命令によって具現化され得る。命令は、対応するデバイス（例えば、サーバ、ユーザインターフェースデバイスなど）の１つ以上のプロセッサによって実行されたとき、プロセッサに方法を実行させる。命令、ルーチン、モジュール、プロセス、サービス、プログラム、および／またはアプリケーションが、コンピュータ可読メモリ上またはコンピュータ可読媒体上に記憶または保存されるとして本明細書において言及される場合、「記憶（ｓｔｏｒｅｄ）」および「保存（ｓａｖｅｄ）」という語は、一時的信号を除外することが意図される。
【0046】
さらに、「オペレータ（ｏｐｅｒａｔｏｒ）」、「従業員（ｐｅｒｓｏｎｎｅｌ）」、「人物（ｐｅｒｓｏｎ）」、「ユーザ（ｕｓｅｒ）」、「技術者（ｔｅｃｈｎｉｃｉａｎ）」という用語、および同様の他の用語が、本明細書で記載されたシステム、装置、および方法を使用またはそれらと相互作用し得るプロセスプラント環境内の人物を記載するために使用されるが、これらの用語は、限定を意図するものではない。特定の用語が説明に使用される場合、用語は、プラント作業員が従事する従来の活動のために、部分的に使用されるが、特定の活動に従事し得る作業員を限定することを意図しない。
【0047】
加えて、本明細書全体を通して、複数の事例が、構成要素、動作、または単一のインスタンスとして説明された構造を実装し得る。１つ以上の方法の個々の動作が別個の動作として例示および記載されたが、個々の動作のうちの１つ以上が同時に実行されてもよく、例示された順序で動作が実行される必要はない。例示的な構成内で別個の構成要素として提示された構造および機能は、組み合わされた構造または構成要素として実施されてもよい。同様に、単一構成要素として提示された構造および機能は、別個の構成要素として実施されてもよい。これらのおよび他の変形、修正、追加、および改善は、本明細書の主題の範囲内にある。
【0048】
具体的に別途、記述されない限り、「処理する」、「演算する」、「計算する」、「決定する」、「識別する」、「提示する」、「提示させる」、「表示させる」、「表示する」などのような単語を使用する本明細書の論述は、１つ以上のメモリ（例えば、揮発性メモリ、不揮発性メモリ、またはそれらの組み合わせ）、レジスタ、または情報を受信、記憶、送信、または表示する他の機械構成要素内の物理的（例えば、電気的、磁気的、生態的、または光学的）量として表されるデータを操作または変形する機械（例えば、コンピュータ）のアクションまたはプロセスを意味し得る。
【0049】
ソフトウェアに実装される場合、本明細書に記載されるアプリケーション、サービス、およびエンジンはいずれも、コンピュータもしくはプロセッサのＲＡＭもしくはＲＯＭなどにおける磁気ディスク、レーザディスク、固体メモリデバイス、分子メモリ記憶デバイス、または他の記憶媒体などの、任意の有形の非一時的コンピュータ可読メモリに記憶され得る。本明細書に開示される例示的システムは、他の構成要素の中でも、ハードウェア上で実行されるソフトウェアおよび／またはファームウェアを含むように開示されているが、そのようなシステムは単に例示的であるに過ぎず、限定的であると見なされるべきではないことに留意されたい。例えば、これらのハードウェア、ソフトウェア、およびファームウェア構成要素のうちのいずれかまたは全てが、ハードウェアにのみ、ソフトウェアにのみ、あるいはハードウェアおよびソフトウェアの任意の組み合わせで、埋め込まれ得ることが企図される。したがって、当業者は、提供された例がこのようなシステムを実装する唯一の方式ではないことを容易に理解するであろう。
【0050】
したがって、本発明は具体的な例に関して記載されてきたが、これらの例は例解的であるに過ぎず、本発明の限定であることを意図せず、変更、追加、または削除が、本発明の趣旨および範囲から逸脱することなく、開示される実施形態に対して行われ得ることが当業者には明らかであろう。
【0051】
用語が、「本明細書に使用される、「＿＿＿＿＿＿」という用語は、本明細書では、・・・を意味するように定義される」という文または同様の文を使用して本特許内で明白に定義されない限り、明示的または暗示的のいずれかにおいて、その明白または通常の意味を越えて、その用語の意味を限定する意図は存在せず、かかる用語が本特許のいずれの節（特許請求の範囲の言葉以外）でなされたいずれの記述に基づいた範囲内に限定されるように解釈されるべきではないこともまた理解されるべきである。本特許の最後の特許請求の範囲内に記載された任意の用語が単一の意味と矛盾しない様式で本特許内で言及される場合、それは、読み手を混乱させないために単に明瞭化のためになされており、このような特許請求の範囲の用語が、暗示またはその他の方法によって、その単一の意味に限定されることを意図するものではない。最後に、特許請求の範囲の要素が「手段」の単語および任意の構造の詳述なしの機能を記載することによって定義されない限り、いずれの特許請求の範囲の要素の範囲も、米国特許法第１１２条（ｆ）および／またはＡＩＡ以前の米国特許法第１１２条第６段落の適用に基づいて解釈されることを意図しない。
【0052】
その上、上記の文章は多くの異なる実施形態の詳細な説明を記載しているが、本特許の範囲は本特許の最後に記載される特許請求の範囲の文言によって定義されることが理解されるべきである。詳細な説明は、単に例示的なものとして解釈されるべきであり、全ての可能な実施形態を説明することは、不可能ではない場合でも非現実的であるので、全ての可能な実施形態を説明するものではない。多くの代替的実施形態が、現在の技術または本特許の出願日の後に開発された技術のいずれかを使用して実装され得るが、これらは、依然として特許請求の範囲の範囲内に収まるであろう。
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7A】
【図7B】
【図7C】
【図8】
【図9】
【図10】
【図11】
【図12】
【図13】
【図14】