用于安全裝備式過程控制系統(tǒng)的安全數(shù)據(jù)寫入裝置和方法
【專利說明】
[0001] 本申請是于2005年11月18日提交的申請?zhí)枮?00510123697. 2、標(biāo)題為"用于安 全裝備式過程控制系統(tǒng)的安全數(shù)據(jù)寫入裝置和方法"的專利申請的分案申請。
技術(shù)領(lǐng)域
[0002] 本發(fā)明一般涉及過程控制系統(tǒng)，更具體地說，涉及用于安全裝備式（safety instrumented)過程控制系統(tǒng)的安全數(shù)據(jù)寫入裝置和方法。
【背景技術(shù)】
[0003] 過程控制系統(tǒng)，例如用于化學(xué)，石油或其他過程的那些過程控制系統(tǒng)，通常包括一 個或多個集中式的過程控制器，其經(jīng)由模擬，數(shù)字或組合模擬/數(shù)字總線，以通信聯(lián)絡(luò)方式 被連接到至少一個主機或操作員工作站上，并被連接到一個或多個現(xiàn)場設(shè)備上?？梢允抢?如閥、閥位控制器、開關(guān)和變送器（例如，溫度、壓力和流速傳感器）的現(xiàn)場設(shè)備，執(zhí)行過程 內(nèi)的各項功能，例如開啟或關(guān)閉閥，和測量過程參數(shù)。過程控制器接收由現(xiàn)場設(shè)備作出的指 示過程測量的信號，和/或關(guān)于該現(xiàn)場設(shè)備的其他信息，使用這些信息來執(zhí)行控制例行程 序，然后生成控制信號，這些控制信號通過總線或其他通信線路發(fā)送給現(xiàn)場設(shè)備，以控制過 程操作。來自現(xiàn)場設(shè)備和控制器的信息可以用于一個或多個由操作員工作站執(zhí)行的應(yīng)用程 序，從而使操作員能夠執(zhí)行關(guān)于該過程的所需功能，例如查看過程的當(dāng)前狀態(tài)、修改過程的 操作，等等。
[0004] 許多過程控制系統(tǒng)也包括一個或多個應(yīng)用程序站。通常，這些應(yīng)用程序站使用個 人計算機、工作站或者諸如此類的設(shè)備來實現(xiàn)，這類設(shè)備通過局域網(wǎng)（LAN)以通信聯(lián)絡(luò)的 方式連接到控制器、操作員工作站和過程控制系統(tǒng)內(nèi)的其他系統(tǒng)。每個應(yīng)用程序站均可以 運行一個或多個軟件應(yīng)用程序，這些軟件應(yīng)用程序可以執(zhí)行過程控制系統(tǒng)內(nèi)的活動管理功 能、維護(hù)管理功能、虛擬控制功能、診斷功能、實時監(jiān)控功能、安全相關(guān)功能、配置功能，等 等。
[0005] 某些過程控制系統(tǒng)或其中某些部分可能會出現(xiàn)重大的安全風(fēng)險。例如，化學(xué)處理 工廠，發(fā)電廠等可能會實施危險的處理過程，這些處理過程如果沒有正確地進(jìn)行控制和/ 或未能使用預(yù)定的關(guān)閉工序迅速地關(guān)閉，將會導(dǎo)致對人類、環(huán)境和/或設(shè)備的嚴(yán)重危害。為 了對與具有上述危險處理過程的過程控制系統(tǒng)相關(guān)聯(lián)的安全風(fēng)險進(jìn)行處理，許多過程控制 系統(tǒng)供應(yīng)商提供符合安全相關(guān)標(biāo)準(zhǔn)的產(chǎn)品，例如國際電工技術(shù)委員會（IEC)61508標(biāo)準(zhǔn)和 IEC 61511 標(biāo)準(zhǔn)。
[0006] 通常，符合一個或多個已知的安全相關(guān)標(biāo)準(zhǔn)的過程控制系統(tǒng)，使用安全裝備式的 系統(tǒng)架構(gòu)來實現(xiàn)，其中與負(fù)責(zé)整個過程的持續(xù)操作的基礎(chǔ)過程控制系統(tǒng)相關(guān)聯(lián)的控制器和 現(xiàn)場設(shè)備，物理上或邏輯上是與專門用途的現(xiàn)場設(shè)備以及與安全裝備式系統(tǒng)相關(guān)聯(lián)的其他 專門用途的控制單元（control element)分開的，所述安全裝備式系統(tǒng)負(fù)責(zé)安全裝備式功 能的運行，以響應(yīng)各種控制條件，確保出現(xiàn)重大安全風(fēng)險的過程的安全關(guān)閉。特別是，符合 許多已知的安全相關(guān)標(biāo)準(zhǔn)，要求基礎(chǔ)過程控制系統(tǒng)用專門用途的控制單元來補充，例如邏 輯解算器、安全認(rèn)證的現(xiàn)場設(shè)備（例如，傳感器、末級控制單元一一比如氣動閥）和安全認(rèn) 證的軟件或代碼（例如，認(rèn)證的應(yīng)用程序、功能模塊、功能塊等）。
[0007] 安全裝備式過程控制系統(tǒng)的一個特別重要的方面包括，在系統(tǒng)內(nèi)各種過程控制設(shè) 備（例如，控制器、邏輯解算器、工作站等）之間傳送的信息或數(shù)據(jù)的完整性。具體地說， 任何失敗或訛誤消息（以及與之相關(guān)的數(shù)據(jù)寫入操作），例如包含安全相關(guān)信息和/或發(fā) 送給控制器的其他數(shù)據(jù)的命令，用戶請求的與安全裝備式功能相關(guān)聯(lián)的參數(shù)值改變，等等， 可能潛在地威脅整個過程控制系統(tǒng)的安全。盡管用于過程控制系統(tǒng)的已知安全相關(guān)硬件和 /或軟件通常能夠提供冗余通信鏈路，數(shù)據(jù)差錯校驗機制一一例如著名的循環(huán)冗余校驗等， 然而許多已知的過程控制系統(tǒng)并沒有充分地解決這些與失敗或訛誤消息或者數(shù)據(jù)寫入操 作相關(guān)聯(lián)的問題。
[0008] 除了安全相關(guān)的數(shù)據(jù)傳輸裝置和方法（例如，冗余鏈路、循環(huán)冗余校驗等）之外， 許多已知的過程控制系統(tǒng)也提供至少一個運行期間（run-time)圖形界面，允許用戶或其 他系統(tǒng)操作員監(jiān)控過程，改變參數(shù)值，向一個或多個設(shè)備、控制回路和/或其他過程控制實 體發(fā)布命令等等。此外，這些已知的過程控制系統(tǒng)也可以提供圖形配置和/或診斷界面， 使用戶或操作員能夠定義或配置運行期間圖形界面的各個方面，調(diào)試或診斷與過程控制系 統(tǒng)的操作有關(guān)的各種問題，等等。例如，用戶可以與配置圖形界面交互作用，以將某些對話 框、編碼腳本（即機器可讀的和/或可執(zhí)行的編碼）關(guān)聯(lián)到運行期間圖形對象（例如，功 能模塊、設(shè)備圖形、參數(shù)值等等）上。如此，在運行期間內(nèi)，用戶可以調(diào)用這些預(yù)先配置的圖 形對象（例如，通過使用鼠標(biāo)或其他指示設(shè)備來選擇這些對象），以引起潛在于其下的腳本 (underlying script)或代碼的執(zhí)行。然而，尤其是對于擁有大量安全相關(guān)的過程控制部 件、子系統(tǒng)、設(shè)備等的過程控制系統(tǒng)而言，這些圖形對象、會話和可執(zhí)行腳本的創(chuàng)建是耗時 而乏味的過程。此外，一旦創(chuàng)建了圖形對話框和腳本，對其進(jìn)行修改也是耗時且容易出錯的 過程。在安全裝備式功能必須以連貫一致的方式來實施，以便例如基礎(chǔ)腳本、代碼等以符合 安全認(rèn)證的手續(xù)、標(biāo)準(zhǔn)等的方式來執(zhí)行數(shù)據(jù)寫入操作的情況下，對話框和腳本錯誤是尤其 難以解決。

【發(fā)明內(nèi)容】

[0009] 在一個例子中，用于在過程控制系統(tǒng)中寫入數(shù)據(jù)的方法和裝置，選擇與過程控制 系統(tǒng)內(nèi)的過程控制單元相關(guān)聯(lián)的參數(shù)，并將與該參數(shù)相關(guān)聯(lián)的第一數(shù)據(jù)發(fā)送給該過程控制 單元。該示例方法和裝置從用戶接收與將第一數(shù)據(jù)寫入到該過程控制單元的請求相關(guān)聯(lián)的 確認(rèn)，響應(yīng)該確認(rèn)的接收，發(fā)送第二數(shù)據(jù)給該過程控制單元，并比較在該過程控制單元處的 第一和第二數(shù)據(jù)。如果第一和第二數(shù)據(jù)至少是基本上相同的，則該示例方法和裝置將第一 或第二數(shù)據(jù)寫入到該過程控制單元中與該參數(shù)相關(guān)聯(lián)的位置。
[0010] 在另一例子中，安全寫入服務(wù)器包括存儲器和連接到該存儲器上的處理器。該處 理器被配置為響應(yīng)應(yīng)用程序調(diào)用安全寫入方法，發(fā)送安全寫入請求給控制器。另外，安全寫 入服務(wù)器通過該應(yīng)用程序接收來自用戶的確認(rèn)輸入，并響應(yīng)該確認(rèn)輸入的接收，發(fā)送安全 寫入確認(rèn)請求給控制器。
[0011] 在又一個例子中，用于自動生成用于在過程控制系統(tǒng)中寫入數(shù)據(jù)的腳本的系統(tǒng)和 方法，接收與過程控制單元的參數(shù)相關(guān)聯(lián)的用戶選擇，提供與該參數(shù)相關(guān)聯(lián)的圖形配置界 面給用戶，并通過該圖形配置界面接收與該參數(shù)相關(guān)聯(lián)的用戶輸入。該示例方法和系統(tǒng)基 于用戶輸入自動地生成腳本，當(dāng)該腳本被執(zhí)行時，生成圖形對話框以執(zhí)行將安全數(shù)據(jù)寫入 到該過程控制單元。
【附圖說明】
[0012] 圖1是使用在此描述的安全數(shù)據(jù)寫入裝置和方法的示例過程控制系統(tǒng)的方框圖。
[0013] 圖2是描繪圖1的現(xiàn)行應(yīng)用程序工作站、控制器和邏輯解算器可以被配置的一種 方式的更為詳細(xì)的方框圖，以實施在此描述的示例安全數(shù)據(jù)寫入裝置和方法。
[0014] 圖3是描繪可以由圖1和2的現(xiàn)行應(yīng)用程序工作站用來改變安全參數(shù)的示例方法 的流程圖。
[0015] 圖4A是描繪可以由圖2的安全寫入服務(wù)器用來改變安全參數(shù)的示例方法的流程 圖。
[0016] 圖4B是描繪可以由圖2的安全寫入服務(wù)器用來發(fā)送安全寫入請求給圖2的控制 器的示例方法的流程圖。
[0017] 圖4C是描繪可以由圖2的安全寫入服務(wù)器用來發(fā)送安全確認(rèn)請求給圖2的控制 器的示例方法的流程圖。
[0018] 圖5是描繪可以由圖2的控制器用來改變安全參數(shù)的示例方法的流程圖。
[0019] 圖6是描繪可以由圖2的邏輯解算器用來改變安全參數(shù)的示例方法的流程圖。
[0020] 圖7是描繪可以由圖1和2的現(xiàn)行應(yīng)用程序工作站，以安全方式，并符合安全裝備 式系統(tǒng)的標(biāo)準(zhǔn)，用來發(fā)送命令給邏輯解算器的示例方法的流程圖。
[0021] 圖8是描繪可以用來實現(xiàn)圖2的安全寫入打標(biāo)程序（stamper)的示例方法的流程 圖。
[0022] 圖9是描繪可以用來實現(xiàn)在此描述的裝置和方法的示例處理器系統(tǒng)。
[0023] 圖10-16是可以用來實現(xiàn)在此描述的安全數(shù)據(jù)寫入裝置和方法的示例圖形界面 和對話框。
【具體實施方式】
[0024] 通常，在此描述的示例裝置和方法可以用于過程控制系統(tǒng)內(nèi)，以便于圖形對象和/ 或與圖形對象相關(guān)聯(lián)的腳本的自動創(chuàng)建和編輯，其中圖形對象可以用于傳送過程控制消息 給安全裝備式過程控制系統(tǒng)內(nèi)的安全相關(guān)硬件和/或軟件。更具體地說，在此描述的示例 方法和裝置使系統(tǒng)操作員或用戶能夠選擇與該過程控制系統(tǒng)內(nèi)的設(shè)備、裝置、功能模塊、功 能塊，和/或任何其他硬件和/或軟件過程控制單元相關(guān)聯(lián)的圖形對象，并將圖形對話框和 可執(zhí)行腳本（例如，機器可存取的和/或可執(zhí)行的指令、代碼或軟件）關(guān)聯(lián)到這些單元上。 這些圖形對話框和可執(zhí)行腳本被配置為對于各種命令、參數(shù)值改變，和/或其他發(fā)送給這 些所選單元的用戶發(fā)起消息，強制使用安全數(shù)據(jù)寫入?yún)f(xié)議。
[0025] 在某些例子中，系統(tǒng)操作員或用戶可以初始化過程控制系統(tǒng)的，或其一部分的圖 形配置相關(guān)視圖，并可以選擇代表功能模塊、功能塊、設(shè)備、裝置，或參數(shù)的圖形對象。然后 該示例裝置和方法可以用于創(chuàng)建圖形對話框，如以下更為詳細(xì)描述的那樣，利用該圖形對 話框，系統(tǒng)用戶或操作員隨后可以通過運行期間應(yīng)用程序，對話框應(yīng)用程序等進(jìn)行交互作 用，以便以安全方式（例如，以符合安全相關(guān)標(biāo)準(zhǔn)或認(rèn)證的方式，并且該方式基本上最小化 或消除了消息訛誤、失敗的消息交付，和/或虛假消息的可能性）來發(fā)送消息（例如，命令、 參數(shù)值等）給該過程控制系統(tǒng)內(nèi)的安全裝備式硬件和/或軟件。該圖形對話框可以由一個 或多個圖形窗口組成，其中每一個均可以包括用戶可選圖形按鈕或標(biāo)簽；與例如參數(shù)值和 /或用戶想要發(fā)送給過程控制系統(tǒng)內(nèi)的安全裝備式部分的命令有關(guān)的說明性文本或圖形信 息；以及用戶可以向其中輸入與要發(fā)送的消息或數(shù)據(jù)相關(guān)聯(lián)的文本和/或數(shù)字信息的入口 區(qū)域或字段，等等。
[0026] 示例圖形對話框覆蓋了機器可存取或可讀腳本、指令或代碼，或者與它們相關(guān)聯(lián)， 當(dāng)基于所選圖形對象的啟用和/或通過與圖形對話框的交互作用來執(zhí)行這些腳本、指令或 代碼時，它們能夠使一個或多個過程控制消息安全地傳送到過程控制系統(tǒng)的安全裝備式部 分或其他安全相關(guān)部分。更具體地說，這些潛在于圖形對話框之下的腳本、指令或代碼，可 以被配置為與示例安全數(shù)據(jù)寫入裝置和方法進(jìn)行交互作用，該裝置和方法執(zhí)行并強制使用 安全數(shù)據(jù)寫入?yún)f(xié)議或技術(shù)，以便基本上確保這些消息由具有適當(dāng)權(quán)限或許可的用戶來發(fā) 送；并基本上消除虛假信息影響參數(shù)值改變和/或?qū)е旅顖?zhí)行的可能性；并基本上確保 這些可能包括參數(shù)值數(shù)據(jù)和/或命令數(shù)據(jù)的，由目標(biāo)安全裝備式實體（例如，安全裝備式軟 件部分，安全裝備式硬件部分，等）來接收的消息，不會是訛誤的或其他方式的不安全。更 一般來說，示例安全數(shù)據(jù)寫入裝置和方法能夠使信息或數(shù)據(jù)以確保符合一個或多個安全相 關(guān)標(biāo)準(zhǔn)的方式，在安全裝備式過程控制系統(tǒng)內(nèi)的各個設(shè)備之間進(jìn)行傳送。
[0027] 如以下更為詳細(xì)描述的那樣，示例安全數(shù)據(jù)寫入?yún)f(xié)議，技術(shù)，或方法可以發(fā)送冗余 消息給邏輯解算器，該邏輯解算器被配置為執(zhí)行安全相關(guān)和/或安全認(rèn)證過程控制操作， 或安全裝備式功能。特別是，示例安全數(shù)據(jù)寫入方法可以順序地發(fā)送多個數(shù)據(jù)寫入請求，其 中每一個均包含相同的消息或內(nèi)容（例如，參數(shù)值信息或數(shù)據(jù)、命令信息或數(shù)據(jù)，等）。因 此，多個數(shù)據(jù)寫入請求是冗余的，因為它們包括相同或同樣的內(nèi)容，或至少基本上同樣的內(nèi) 容。多個或冗余數(shù)據(jù)寫入請求中的每一個均采取封裝的數(shù)據(jù)包格式的