[发明专利]用于互连模块的方法和设备

说明书

相关申请的交叉引用 

本申请要求2008年2月1日申请的美国临时申请序列第61/025,501号、2008年9月26日申请的欧洲专利申请第EP08165262号以及提交的相应美国非临时申请的优先权。 

技术领域

本发明涉及用于互连工业过程控制系统中的模块的方法和设备，特别地涉及用于互连适合于供诸如以下的示例性系统使用的工业过程控制系统中的模块的方法和设备： 

紧急停工系统； 

关键过程控制系统； 

火灾与瓦斯检测和保护系统； 

旋转机械控制系统； 

燃烧器管理系统； 

蒸煮器与炉控制系统；以及 

分布式监视与控制系统。 

这样的控制系统适用于许多工业，包括石油和天然气生产与精炼、化学生产与处理、发电、造纸与纺织厂以及污水处理厂。 

背景技术

在工业过程控制系统中，容错是最重要的。容错是在系统之内发生一个或多个故障的情况下继续安全运行的能力。通常按照安全完整性水平(SIL)等级来对容错进行分类，其中较高的SIL意味着较好的安全性能。SIL在标准IEC 61508(电气/电子/可编程电子安全相关系统的功能安全)中定义，并且特别地用于符合IEC 61511(用于过程工业部门的功能安全 -安全仪表化系统)的过程工业。 

容错可以通过若干不同技术来实现，每种技术具有其特定的优点和缺点。 

提供冗余的系统的例子是三重模块冗余(TMR)系统。使用TMR，关键电路被一式三份并同时且独立地执行同一功能。在影响系统的输出之前，在多数表决电路中表决从三个电路中的每一个电路中输出的数据。如果三重电路中的一个电路故障，则其数据输出被忽略。然而，系统继续输出以处理符合于大多数功能电路的值(电压、电流电平或离散输出状态)。TMR提供以这样的方式装备的系统的连续可预测操作。 

然而，如果全部TMR不是实际需求，则TMR系统实行起来太贵，并且希望使用下述结构，所述结构提供了灵活性，以便可以取决于规定的系统需求来提供不同水平的容错。 

用于容错的另一种方法是使用热备份模块。这种方法提供了容错水平，由此备份模块在模块故障的情况下维持系统操作。使用这种方法，如果模块不是自身容错的，则在转换期间可能存在对系统操作的某种中断。 

容错系统理想地产生故障隔离区(FCR)，以确保FCR边界之内的故障不传播到系统的其余部分。这使得能够在不影响操作的情况下多个故障共存于系统的不同部分。 

容错系统一般使用专用的硬件与软件测试和诊断体系，其提供非常快的故障识别和响应时间以提供较安全的系统。 

安全控制系统一般设计成“故障操作/故障安全”。故障操作意味着当故障发生时系统继续操作：它处在故障操作状态下。系统应当在这种状态下继续操作，直到发生故障的模块被更换并且系统返回到完全操作状态为止。 

故障安全操作的例子发生如下：如果在TMR系统中，在并联电路中发生第二故障之前发生故障的模块未被更换，则第二故障应当使TMR系统停工到故障安全状态。值得注意的是，即使第二故障不是故障安全的，只要第一故障被检测到并被宣布并且自身是故障安全的，TMR系统就仍然可以被认为是安全的。 

因此，希望提供一种使用互连方案来互连模块的系统和方法，所述互连方案允许灵活的系统配置，同时维持希望的系统操作冗余水平。 

发明内容

本发明提供了克服上面讨论的问题中的一个或多个问题的系统和方法。根据本发明的一个方面，提供了一种工业过程控制设备，其包括多个处理器和多个输入/输出模块。每个处理器具有连接到多个输入/输出模块的单向命令线。每个入/输出模块具有连接到多个处理器的单向响应线。 

优选地，多个处理器经由处理器间链路连接在一起，所述处理器间链路可以提供每个处理器和每个其它处理器之间的点对点双向链路，并且/或者可以提供用于由每个其它处理器接收的广播信号的装置。 

优选地，处理器中的一个或多个处理器直接连接到控制网络，并且每个处理器经由处理器间链路中的一个和另一个处理器访问另一个控制网络。 

在优选的方面中，处理器在操作中被布置以向所有的所述输入与输出模块发出标识符请求。每个输入与输出模块在操作中被布置以经由响应线用包括唯一标识符的响应作出响应，使得每个处理器能够通过识别在其上接收响应的响应线来识别具有特殊唯一标识符的输入或输出模块的物理位置。