CN1790208B - 用于安全装备式过程控制系统的安全数据写入装置和方法 - Google Patents

Abstract

本发明公开了用于安全装备式过程控制系统中的安全数据写入装置和方法，其选择与过程控制系统内一过程控制单元相关联的参数，并将与该参数相关联的第一数据发送给该过程控制单元。从用户接收与将第一数据写入到该过程控制单元的请求相关联的确认回执，并响应该确认回执的接收，发送第二数据给该过程控制单元。在该过程控制单元处比较第一和第二数据，并且如果第一和第二数据至少是基本上相同，将第一或第二数据写入到该过 程控制单元中与该参数相关联的区域。

Description

用于安全装备式过程控制系统的安全数据写入装置和方法

技术领域

本发明一般涉及过程控制系统，更具体地说，涉及用于安全装备式(safety instrumented)过程控制系统的安全数据写入装置和方法。 

背景技术

过程控制系统，例如用于化学，石油或其他过程的那些过程控制系统，通常包括一个或多个集中式的过程控制器，其经由模拟，数字或组合模拟/数字总线，以通信联络方式被连接到至少一个主机或操作员工作站上，并被连接到一个或多个现场设备上。可以是例如阀、阀位控制器、开关和变送器(例如，温度、压力和流速传感器)的现场设备，执行过程内的各项功能，例如开启或关闭阀，和测量过程参数。过程控制器接收由现场设备作出的指示过程测量的信号，和/或关于该现场设备的其他信息，使用这些信息来执行控制例行程序，然后生成控制信号，这些控制信号通过总线或其他通信线路发送给现场设备，以控制过程操作。来自现场设备和控制器的信息可以用于一个或多个由操作员工作站执行的应用程序，从而使操作员能够执行关于该过程的所需功能，例如查看过程的当前状态、修改过程的操作，等等。 

许多过程控制系统也包括一个或多个应用程序站。通常，这些应用程序站使用个人计算机、工作站或者诸如此类的设备来实现，这类设备通过局域网(LAN)以通信联络的方式连接到控制器、操作员工作站和过程控制系统内的其他系统。每个应用程序站均可以运行一个或多个软件应用程序，这些软件应用程序可以执行过程控制系统内的活动管理功能、维护管理功能、虚拟控制功能、诊断功能、实时监控功能、安全相关功能、配置功能，等等。 

某些过程控制系统或其中某些部分可能会出现重大的安全风险。例如， 化学处理工厂，发电厂等可能会实施危险的处理过程，这些处理过程如果没有正确地进行控制和/或未能使用预定的关闭工序迅速地关闭，将会导致对人类、环境和/或设备的严重危害。为了对与具有上述危险处理过程的过程控制系统相关联的安全风险进行处理，许多过程控制系统供应商提供符合安全相关标准的产品，例如国际电工技术委员会(IEC)61508标准和IEC 61511标准。 

通常，符合一个或多个已知的安全相关标准的过程控制系统，使用安全装备式的系统架构来实现，其中与负责整个过程的持续操作的基础过程控制系统相关联的控制器和现场设备，物理上或逻辑上是与专门用途的现场设备以及与安全装备式系统相关联的其他专门用途的控制单元(control element)分开的，所述安全装备式系统负责安全装备式功能的运行，以响应各种控制条件，确保出现重大安全风险的过程的安全关闭。特别是，符合许多已知的安全相关标准，要求基础过程控制系统用专门用途的控制单元来补充，例如逻辑解算器、安全认证的现场设备(例如，传感器、末级控制单元——比如气动阀)和安全认证的软件或代码(例如，认证的应用程序、功能模块、功能块等)。 

安全装备式过程控制系统的一个特别重要的方面包括，在系统内各种过程控制设备(例如，控制器、逻辑解算器、工作站等)之间传送的信息或数据的完整性。具体地说，任何失败或讹误消息(以及与之相关的数据写入操作)，例如包含安全相关信息和/或发送给控制器的其他数据的命令，用户请求的与安全装备式功能相关联的参数值改变，等等，可能潜在地威胁整个过程控制系统的安全。尽管用于过程控制系统的已知安全相关硬件和/或软件通常能够提供冗余通信链路，数据差错校验机制——例如著名的循环冗余校验等，然而许多已知的过程控制系统并没有充分地解决这些与失败或讹误消息或者数据写入操作相关联的问题。 

除了安全相关的数据传输装置和方法(例如，冗余链路、循环冗余校验等)之外，许多已知的过程控制系统也提供至少一个运行期间(run-time) 图形界面，允许用户或其他系统操作员监控过程，改变参数值，向一个或多个设备、控制回路和/或其他过程控制实体发布命令等等。此外，这些已知的过程控制系统也可以提供图形配置和/或诊断界面，使用户或操作员能够定义或配置运行期间图形界面的各个方面，调试或诊断与过程控制系统的操作有关的各种问题，等等。例如，用户可以与配置图形界面交互作用，以将某些对话框、编码脚本(即机器可读的和/或可执行的编码)关联到运行期间图形对象(例如，功能模块、设备图形、参数值等等)上。如此，在运行期间内，用户可以调用这些预先配置的图形对象(例如，通过使用鼠标或其他指示设备来选择这些对象)，以引起潜在于其下的脚本(underlying script)或代码的执行。然而，尤其是对于拥有大量安全相关的过程控制部件、子系统、设备等的过程控制系统而言，这些图形对象、会话和可执行脚本的创建是耗时而乏味的过程。此外，一旦创建了图形对话框和脚本，对其进行修改也是耗时且容易出错的过程。在安全装备式功能必须以连贯一致的方式来实施，以便例如基础脚本、代码等以符合安全认证的手续、标准等的方式来执行数据写入操作的情况下，对话框和脚本错误是尤其难以解决。 

发明内容

在一个例子中，用于在过程控制系统中写入数据的方法和装置，选择与过程控制系统内的过程控制单元相关联的参数，并将与该参数相关联的第一数据发送给该过程控制单元。该示例方法和装置从用户接收与将第一数据写入到该过程控制单元的请求相关联的确认，响应该确认的接收，发送第二数据给该过程控制单元，并比较在该过程控制单元处的第一和第二数据。如果第一和第二数据至少是基本上相同的，则该示例方法和装置将第一或第二数据写入到该过程控制单元中与该参数相关联的位置。 

在另一例子中，安全写入服务器包括存储器和连接到该存储器上的处理器。该处理器被配置为响应应用程序调用安全写入方法，发送安全写入请求给控制器。另外，安全写入服务器通过该应用程序接收来自用户的确认输入， 并响应该确认输入的接收，发送安全写入确认请求给控制器。 

在又一个例子中，用于自动生成用于在过程控制系统中写入数据的脚本的系统和方法，接收与过程控制单元的参数相关联的用户选择，提供与该参数相关联的图形配置界面给用户，并通过该图形配置界面接收与该参数相关联的用户输入。该示例方法和系统基于用户输入自动地生成脚本，当该脚本被执行时，生成图形对话框以执行将安全数据写入到该过程控制单元。 

附图说明

图1是使用在此描述的安全数据写入装置和方法的示例过程控制系统的方框图。 

图2是描绘图1的现行应用程序工作站、控制器和逻辑解算器可以被配置的一种方式的更为详细的方框图，以实施在此描述的示例安全数据写入装置和方法。 

图3是描绘可以由图1和2的现行应用程序工作站用来改变安全参数的示例方法的流程图。 

图4A是描绘可以由图2的安全写入服务器用来改变安全参数的示例方法的流程图。 

图4B是描绘可以由图2的安全写入服务器用来发送安全写入请求给图2的控制器的示例方法的流程图。 

图4C是描绘可以由图2的安全写入服务器用来发送安全确认请求给图2的控制器的示例方法的流程图。 

图5是描绘可以由图2的控制器用来改变安全参数的示例方法的流程图。 

图6是描绘可以由图2的逻辑解算器用来改变安全参数的示例方法的流程图。 

图7是描绘可以由图1和2的现行应用程序工作站，以安全方式，并符合安全装备式系统的标准，用来发送命令给逻辑解算器的示例方法的流程 图。 

图8是描绘可以用来实现图2的安全写入打标程序(stamper)的示例方法的流程图。 

图9是描绘可以用来实现在此描述的装置和方法的示例处理器系统。 

图10-16是可以用来实现在此描述的安全数据写入装置和方法的示例图形界面和对话框。 

具体实施方式

通常，在此描述的示例装置和方法可以用于过程控制系统内，以便于图形对象和/或与图形对象相关联的脚本的自动创建和编辑，其中图形对象可以用于传送过程控制消息给安全装备式过程控制系统内的安全相关硬件和/或软件。更具体地说，在此描述的示例方法和装置使系统操作员或用户能够选择与该过程控制系统内的设备、装置、功能模块、功能块，和/或任何其他硬件和/或软件过程控制单元相关联的图形对象，并将图形对话框和可执行脚本(例如，机器可存取的和/或可执行的指令、代码或软件)关联到这些单元上。这些图形对话框和可执行脚本被配置为对于各种命令、参数值改变，和/或其他发送给这些所选单元的用户发起消息，强制使用安全数据写入协议。 

在某些例子中，系统操作员或用户可以初始化过程控制系统的，或其一部分的图形配置相关视图，并可以选择代表功能模块、功能块、设备、装置，或参数的图形对象。然后该示例装置和方法可以用于创建图形对话框，如以下更为详细描述的那样，利用该图形对话框，系统用户或操作员随后可以通过运行期间应用程序，对话框应用程序等进行交互作用，以便以安全方式(例如，以符合安全相关标准或认证的方式，并且该方式基本上最小化或消除了消息讹误、失败的消息交付，和/或虚假消息的可能性)来发送消息(例如，5命令、参数值等)给该过程控制系统内的安全装备式硬件和/或软件。该图形对话框可以由一个或多个图形窗口组成，其中每一个均可以包括用户可选 图形按钮或标签；与例如参数值和/或用户想要发送给过程控制系统内的安全装备式部分的命令有关的说明性文本或图形信息；以及用户可以向其中输入与要发送的消息或数据相关联的文本和/或数字信息的入口区域或字段，等等。 

示例图形对话框覆盖了机器可存取或可读脚本、指令或代码，或者与它们相关联，当基于所选图形对象的启用和/或通过与图形对话框的交互作用来执行这些脚本、指令或代码时，它们能够使一个或多个过程控制消息安全地传送到过程控制系统的安全装备式部分或其他安全相关部分。更具体地说，这些潜在于图形对话框之下的脚本、指令或代码，可以被配置为与示例安全数据写入装置和方法进行交互作用，该装置和方法执行并强制使用安全数据写入协议或技术，以便基本上确保这些消息由具有适当权限或许可的用户来发送；并基本上消除虚假信息影响参数值改变和/或导致命令执行的可能性；并基本上确保这些可能包括参数值数据和/或命令数据的，由目标安全装备式实体(例如，安全装备式软件部分，安全装备式硬件部分，等)来接收的消息，不会是讹误的或其他方式的不安全。更一般来说，示例安全数据写入装置和方法能够使信息或数据以确保符合一个或多个安全相关标准的方式，在安全装备式过程控制系统内的各个设备之间进行传送。 

如以下更为详细描述的那样，示例安全数据写入协议，技术，或方法可以发送冗余消息给逻辑解算器，该逻辑解算器被配置为执行安全相关和/或安全认证过程控制操作，或安全装备式功能。特别是，示例安全数据写入方法可以顺序地发送多个数据写入请求，其中每一个均包含相同的消息或内容(例如，参数值信息或数据、命令信息或数据，等)。因此，多个数据写入请求是冗余的，因为它们包括相同或同样的内容，或至少基本上同样的内容。多个或冗余数据写入请求中的每一个均采取封装的数据包格式的形式，或者符合任何所需的信息分包方案，通信协议等。另外，包含数据写入请求信息的每一个封装的数据包，均可以包括循环冗余校验值和/或其他所需的差错校验值。 

逻辑解算器和由它执行的软件可以配置为使用分组差错校验值来测试所接收到的各个数据包的完整性。另外，逻辑解算器还可以配置为提取数据包内的参数值信息、命令信息，或所发送的其他数据，并比较所提取的信息。举例来说，如果通过CRC各个数据包被判定为完整无缺的，和/或如果数据包的内容(例如，参数值信息，命令信息等)相互匹配(例如，相同或至少基本上相同)，则逻辑解算器和由它执行的软件会由此对该分组内容采取如下行动，例如，执行命令，改变参数值，或采取任何其他恰当的行动。 

图1是使用在此描述的安全数据写入装置和方法的示例过程控制系统10的方框图。如图1所示，过程控制系统10包括基础过程控制系统12和安全装备式部分14。基础过程控制系统部分12负责所控制过程的持续运行，而安全装备式部分14负责，响应一个或多个不安全条件，执行所控制过程的关闭。如图1所描绘的，基础过程控制系统部分12包括控制器16、操作员站18、现行应用程序站20和备用应用程序站22，所有这些都以通信联络的方式通过总线或局域网(LAN)24进行连接，通常也称作应用程序控制网络(ACN)。操作员站18和应用程序站20和22可以使用一个或多个工作站，或任何其他合适的计算机系统或处理单元来实现。例如，应用程序站20和22能够使用类似于以下在图9中所示的示例处理器系统902的单处理器个人计算机，以及单或多处理器工作站，等等来实现。另外，LAN 24可以使用任何所需的通信介质或协议来实现。例如，LAN 24可以基于硬连线的或无线以太网通信方案，这是众所周知的，并因此不在此进行更为详细的描述。然而，本领域普通技术人员容易理解，也可以使用任何其他合适的通信介质和协议。此外，尽管示出了单个LAN，但是也可以使用多个LAN，以及应用程序工作站20和22内合适的通信硬件，来提供操作员站18、应用程序站20和22，和控制器16之间的冗余通信路径。 

控制器16可以通过数字数据总线32和输入/输出(I/O)设备34，连接到多个智能现场设备26、28和30上。智能现场设备26-30可以是适应于现场总线(Fieldbus)的阀、致动器、传感器等，在这种情况下，智能总线设 备26-30使用众所周知的现场总线协议，通过数字数据总线32进行通信。当然，也可以使用其他类型的智能现场设备和通信协议作为替代。例如，智能现场设备26-30可以替换为适应于Profibus或HART的设备，其使用众所周知的Profibus或HART通信协议，通过数据总线32进行通信。额外的I/O设备(与I/O设备34类似或一样)可以连接到控制器16上，以使可能是现场总线设备、HART设备等其他智能现场设备组与控制器16通信。 

除了智能现场设备26-30以外，一个或多个非智能现场设备36和38可以以通信联络的方式连接到控制器16上。非智能现场设备36和38可以是，例如能够通过各自的硬连线链路40和42与控制器16进行通信的常规4-20毫安(mA)或0-10伏特直流(VDC)设备。 

控制器16可以是，例如由费舍-柔斯芒特系统有限公司(Fish-RosemountSystems，Inc)销售的DeltaV^TM控制器。然而，也可以使用任何其他控制器作为替代。此外，尽管在图1中仅示出了一个控制器，但是任何所需类型的或类型组合的额外的控制器也可以连接到LAN 24上。控制器16可以执行一个或多个与过程控制系统10有关的过程控制例行程序。可以由系统工程师或其他系统操作员使用操作员站18来生成这些过程控制例行程序，将它们下载到控制器16上，并在控制器16上初始化。如以下更为详细描述的那样，控制器16也可以被配置为执行与在此描述的示例安全数据写入装置和方法相关联的操作。 

如图1所描绘的，示例的过程控制系统10也可以包括远程操作员站44，其可以通过通信链路46和LAN 48以通信联络的方式连接到应用程序站20和22上。远程操作员站44可以在地理上远程地放置，在这种情况下通信链路46优选是，但不一定是无线通信链路，基于因特网或其他基于分组的交换通信网络、电话线路(例如，数字用户线路)或其任意组合。 

如图1的例子所描述的，现行应用程序站20和备用应用程序站22通过LAN 24和通过冗余链路50以通信联络方式连接。冗余链路50可以是现行应用程序站20和备用应用程序站22之间单独的、专用的通信链路。冗余链 路50可以使用，例如专用以太网链路(例如，应用程序站20和22中每一个中的相互连接的专用以太网卡)来实现。然而，在其他例子中，冗余链路50也可以使用LAN 24或冗余LAN(未示出)来实现，其中没有一个必须是专用的，并以通信联络方式连接到应用程序站20和22上。 

一般而言，应用程序站20和22连续不断地、异常或周期地通过冗余链路50来交换信息(例如，响应参数值改变、应用程序站配置改变，等等)，以建立并维持冗余环境。该冗余环境能够实现现行应用程序站20与备用应用程序站22之间的无缝或无波动的控制移交或切换。例如，该冗余环境能够响应现行应用程序站20内的硬件或软件故障，或者响应过程控制系统10的系统操作员或用户或者客户应用程序的指令，作出从现行应用程序站20到备用应用程序站22的控制移交或切换。 

如图1所描绘的，过程控制系统10的安全装备式部分14，包括逻辑解算器52和54，以及现场设备56和58。举例来说，逻辑解算器52和54可以使用可从商业上获得的，由费舍-柔斯芒特系统有限公司生产的DeltaVSLS 1508逻辑解算器。通常，逻辑解算器52和54通过冗余链路60作为一个冗余对而相互协作。然而，冗余逻辑解算器52和54可以用单个非冗余逻辑解算器或多个非冗余逻辑解算器来替代。同样，一般地，示例的逻辑解算器52和54是安全相关的电子控制器，其能够被配置为执行一个或多个安全装备式功能。正如众所周知的，安全装备式功能负责监控一个或多个与特定危险或不安全的条件相关联的过程条件，评估这些过程条件以判定是否应该批准该过程的关闭，如果得到批准的话，则使一个或多个末端控制单元(例如，关闭阀)来实施过程的关闭。 

典型地，每个安全装备式功能均至少使用一个传感设备、一个逻辑解算器和一个末端控制设备(例如，阀)来实现。逻辑解算器通常被配置为通过该传感器监控至少一个过程控制参数，并且如果检测到危险条件，则操作该末端控制设备来实施过程的安全关闭。举例来说，逻辑解算器可以通过通信联络方式连接到压力传感器上，该压力传感器可以感测容器或贮罐中的压 力；并且可以被配置为，如果通过该压力传感器检测到不安全的过压条件，则使排气阀打开。当然，安全装备式系统内的每一个逻辑解算器均可以负责执行一个或多个安全装备式功能，并因此可以通过通信联络的方式连接到多个传感器和/或末端控制设备上，所有这些通常都是安全相关的或安全认证的。 

现场设备56和58可以是智能或非智能的传感器、致动器和/或能够用于监控过程条件和/或实施过程控制系统10的受控关闭的任何其他的过程控制设备。举例来说，现场设备56和58可以是安全认证的或安全相关的流量传感器、温度传感器、压力传感器、关闭阀、排气阀、隔离阀、紧急开/闭阀等。尽管图1的示例过程控制系统10的安全装备式部分14中仅描绘了两个逻辑解算器和两个现场设备，但是额外的现场设备和/或逻辑解算器也可以用于实施任何所需数目的安全装备式功能。 

如图1所描绘的，现场设备56和58通过各自的链路62和64，以通信联络方式连接到逻辑解算器52和54上。在现场设备56和58是智能设备的情况下，逻辑解算器52和54可以使用硬连线的数字通信协议(例如，HART，Fieldbus，等等)与现场设备56和58进行通信。然而，也可用使用任何其他所需的通信介质(例如，硬连线的、无线的，等等)来替代。如图1中还示出的，逻辑解算器52和54通过总线32和I/O设备34，以通信联络的方式连接到控制器16上。然而，可替换地，逻辑解算器52和54可以以任何其他所需的方式，以通信联络的方式在系统10内进行连接。举例来说，逻辑解算器52和54可以通过LAN 24直接连接或通过LAN 24连接到控制器16上。不管逻辑解算器52和54以何种方式在系统10内进行连接，逻辑解算器52和54优选是，但不一定是相对于控制器16的逻辑同位体。 

图2是描绘图1的现行应用程序工作站、控制器和逻辑解算器可以被配置的一种方式的更为详细的方框图，以实施在此描述的示例安全数据写入装置和方法。如图2所描绘的，应用程序站20包括多个应用程序100和安全写入服务器102，所有这些都可以使用机器可存取或可读指令、代码或软件 来实现，当执行(例如，通过一个或多个处理器，例如通过图9所示的处理器系统902)这些指令、代码或软件时，它们使应用程序站20执行如以下更详细阐述的各种操作。 

通常，应用程序100包括被配置为执行各种控制系统配置功能、诊断功能、运行期间功能等的软件。可以执行应用程序100以提供各种图形界面(例如，包括设备、装置、过程条件等的图形显示的屏幕，窗口等)，利用这些图形界面，系统操作员、工程师或任何其他经授权的用户或人员可以进行交互作用，来配置过程控制系统10(图1)，监控过程控制系统10，和/或查找过程控制系统100的故障。 

如图2所描绘的，应用程序100包括安全写入打标程序104，其能够使系统操作员或用户来选择图形对象，并如以下更为详细描述的那样，生成图形安全写入对话框和可执行脚本，并将它们关联到所选择的那些对象上。例如，用户可以通过由图形配置应用程序提供的图形配置界面，来选择图形对象，例如安全装备式功能块。接下来可以调用安全写入打标应用程序104，以与用户交互作用，从而自动地生成与所选择的安全装备式功能块相关联的可执行脚本和一个或多个图形对话框。更具体地说，安全写入打标应用程序104向用户提示，为自动地生成过程控制系统10(图1)内所选实体的安全写入对话框和脚本所需要的信息。 

由安全写入打标应用程序104生成的图形对话框(例如，包括文本信息，图形信息等的窗口)和可执行脚本被配置为，如果用户选择安全装备式功能块，以改变参数值或发送命令给运行期间应用程序范围内的安全装备式功能块，那么通过该图形对话框自动地向用户提示鉴权信息、确认信息、新数值信息和/或命令信息。另外，执行潜在于该图形对话框之下的可执行脚本、代码或指令，以使一个或多个应用程序100(包括新数值对话框106和/或电子签名对话框108)、安全写入服务器102和控制器16相互协作，从而使用安全数据写入协议，将新参数值信息和/或命令信息写入到逻辑解算器52(和/或冗余逻辑解算器54)中。安全数据写入协议基本上最小化或消除了 将讹误或未经授权的数据写入到逻辑解算器52的可能性，以及因此写入到与之相关的安全装备式功能中的可能性。 

应当认识到，尽管图2的例子将逻辑解算器52描绘为通过控制器16连接到应用程序站20上，但是也可以使用其他的通信方案来替代。例如，逻辑解算器52可以通过LAN 24和/或与LAN 24分离或独立的通信链路(未示出)，以通信联络方式连接到应用程序站20和/或控制器16上。此外，如果想要或需要满足可应用的安全标准，也可以使用多个、冗余的通信链路(未示出)以通信联络方式将逻辑解算器52连接到控制器16和/或应用程序站20上。也应当认识到，尽管在图2中将逻辑解算器52展示为物理上依赖于控制器16，然而可能想要或需要(例如，为了满足某些安全标准)确保连接到逻辑解算器52的电源线和连接器、通信链路等，与控制器16所用的电源线和连接器、通信链路等分离开，或者功能上独立于控制器16所用的电源线和连接器、通信链路等。更进一步地，尽管逻辑解算器52和控制器16被展示为物理上分离的，但是逻辑解算器52和控制器16也可以是物理上集成一体的。 

更进一步地，尽管示例的安全写入服务器102被展示为集成或驻留在应用程序站20上，但是作为替代，安全写入服务器102也可以包含于另一设备或系统之内，例如另一应用程序站。在这种情况下，安全写入服务器102能够通过一个或多个分离的符合安全的通信链路，以通信联络方式连接到应用程序站20上。 

图3是描绘可以由应用程序站20(图2)用来改变逻辑解决器52(图2)中的安全参数(例如，与安全装备式功能相关联的参数)的示例方法300的流程图。更具体地说，示例的方法300能够使可由应用程序站20执行的应用程序100(图2)中的一个改变与由逻辑解算器52执行的安全装备式功能相关联的安全参数。例如，正在与配置或运行期间应用程序进行交互作用的系统操作员或经授权的用户，可能想要(或者被要求)改变安全参数以便获得所需的安全条件或等级，验证安全相关部件或设备(例如，比如安全阀的 末端控制单元的可操作性)的操作，测试一个或多个安全装备式功能的操作，等等。 

如以下结合图10-16更为详细描述的那样，系统操作员或其他用户与在此描述的示例安全写入方法和装置的各个方面之间的某些或所有交互作用，可以涉及交互式的图形显示、界面或对话框。如以下将要论述的，这些图形显示、界面或对话框可以便于潜在于其下的脚本、代码或指令的调用，这些脚本、代码或指令致使应用程序站20、安全写入服务器102、控制器16和/或逻辑解算器52相互协作，以便按照如下方式执行安全数据写入，这种方式基本上消除了逻辑解算器52没有接收数据或信息的可能性，逻辑解算器52作用于讹误信息或数据的可能性，逻辑解算器52作用于虚假数据的可能性。此外，也如以下所要更为详细描述的那样，这些图形显示、界面或对话框助长了系统操作员和其他用户的以下能力，配置或改变安全相关系统，并发送信息或数据给与这些安全相关系统相关联的逻辑解算器，同时确保符合安全相关标准，例如IEC 61508。 

返回到图3的示例方法300的细节，响应系统操作员或用户请求，或响应由软件应用程序作出的请求，应用程序(例如，运行期间应用程序)调用图2的安全写入服务器102中的数值改变方法(例如，设定数值(SetValue)方法)(框302)。当调用数值改变方法时，应用程序可以将路径(例如，逻辑解算器52内参数的位置)、参数的类型和参数的当前值传递给安全写入服务器102。系统操作员或其他用户可以通过，例如选择某一图形对象，实施对安全写入服务器102中数值改变方法的调用，所述图形对象可以代表已经与潜在于其下的脚本、代码或指令相关联的设备、装置、安全装备式功能块，等等，所述关联是使用例如以下将进行更为详细的描述的安全写入打标程序104来完成的。 

在应用程序在框302调用数值改变方法之后，应用程序显现新数值对话框(例如，选自图2的对话框106)给系统操作员或用户(框304)。通常，新数值对话框通过图形窗口或其他显示，来显示参数路径和参数的当前值， 所述图形窗口或其他显示可能包括多种文本和图形信息，以便于参数值的改变。接下来系统操作员或用户与在框304显现的新数值对话框进行交互，以便输入想要的新参数值(框306)。下面图15和16描述了新数值对话框的一个例子。 

在系统操作员或用户在框306输入新参数值之后，示例方法300判断电子签名校验是否已被激活(框308)。如果在框308电子签名校验被激活，则示例方法300使用任何所需的已知签名分析技术来执行电子签名分析(框310)。当在框310执行电子签名分析之后，示例方法300接下来判断或验证该签名是否与经过授权来作出所请求的参数值改变的人员相关联(框312)。如果在框312签名没有通过验证(例如，请求参数值改变的人员没有得到授权来作出所请求的改变)，则示例方法300结束或返回到调用例行程序。 

另一方面，如果电子签名校验没有被激活(框308)或者如果该签名在框312通过验证，则示例方法300使应用程序发送新参数值给安全写入服务器102(图2)(框314)，而如以下所要更为详细描述的那样，安全写入服务器102又执行到逻辑解算器52(图2)的安全写入请求。在发送参数值给安全写入服务器102之后，应用程序等候接收安全写入请求的状态(框316)。 

图4A是描绘可以由安全写入服务器102(图2)用来改变逻辑解算器52(图2)中的安全参数(例如，与安全装备式功能相关联的参数)的示例方法400的流程图。更具体地说，示例方法400能够使安全写入服务器102与控制器16(图2)相互协作，以便能够使控制器16改变逻辑解算器52中的参数。 

转到图4A的示例方法400的细节，安全写入服务器102(图2)判断安全写入方法是否已被调用(框402)。例如，安全写入方法可以由上述关于图3的框302的应用程序来调用。无论如何，只要安全写入服务器102在框402判定安全写入方法已经被调用，则安全写入服务器102就发送安全写 入请求给控制器16(图2)(框404)。该安全写入请求包括参数值改变信息、与要改变的参数相关联的路径、新参数值和用于该请求的CRC。 

当在框404发送该安全写入请求之后，安全写入服务器102生成确认对话框(框406)。特别是，该确认对话框是由安全写入服务器102使用应用程序在图3的示例方法300的框314发送的数据的复本而创建的。下面图16描述了图形/文本确认对话框的一个例子。 

当在框406生成确认对话框之后，安全写入服务器102(图2)等候由控制器16(图2)作出的确认回执，确认由安全写入服务器102在框402发送的安全写入请求已经被完整无缺地接收(例如，与该请求一起发送的CRC信息由控制器16用来判定所接收的原始数据已经被基本上完整无缺地接收，或者没有任何讹误地接收)(框408)。一旦安全写入服务器102接收到控制器16接收该安全写入请求的确认回执，安全写入服务器102就激活确认按钮或与在框406生成的确认对话框相关联的其他图形(框410)。 

当在框410激活确认按钮之后，安全写入服务器102判断系统操作员或其他用户是否选择了确认按钮(即，已经确认或验证了该安全参数值改变)(框412)。如果在框412用户还没有选择确认按钮，则服务器102判断用户是否选择了取消按钮(框414)，或判断必须选择确认的时期是否已经超时(框416)。如果取消请求和超时均未出现，则安全写入服务器102将控制返回到框412。另一方面，如果出现了取消请求(框414)或超时(框416)，则服务器102将控制转移到框422。 

在框414的确认之后，安全写入服务器102发送安全参数确认请求给控制器16(框418)。安全参数确认请求与以下内容一起发送到控制器16，包括参数值改变命令、与要改变的参数相关联的路径、从确认对话框(在框406发起)接收的新参数值和用于确认请求的CRC。 

在发送参数值改变确认请求给控制器16之后，安全写入服务器102等候来自控制器16的响应，如以下所要更为详细描述的那样，该响应表示控制器16已经接收到来自逻辑解算器52的响应(框420)。接下来，在框420 收到来自控制器16的响应之后，安全写入服务器102发送安全写入状态(例如，表示所请求的参数值改变、命令等已经完成，或者以别的方式来实施的信息)给调用应用程序(Calling Application)(框422)。如上所述，这些状态由调用应用程序在例如图3的示例方法300的框316接收。 

因此，正如根据上述描述能够理解的，安全写入服务器102两次发送参数值改变信息给控制器16。更具体地说，安全写入服务器102第一次响应由应用程序发送给它的参数值改变信息(例如在图3的框314)，发送参数值改变信息给控制器16；而第二次关于确认对话框(例如，在图4A的框406～418)，发送冗余的(例如，相同的或至少基本上相同的)参数值改变信息给控制器16。如以下所要更为详细描述的那样，冗余的参数值改变信息由控制器16和逻辑解算器52用来基本上消除信息(例如参数值改变信息)不能到达(即，不能由其接收)逻辑解算器52的可能性，讹误信息到达并作用于逻辑解算器52的可能性，和/或虚假信息到达并作用于逻辑解算器52的可能性。以这种方式，诸如图1的示例系统100的安全装备式系统能够更好地符合安全相关标准(例如，IEC 61508标准)。 

图4B是描绘可以由图2的安全写入服务器102用来发送安全写入请求(图4A的框404)给图2的控制器16的示例方法450的流程图。最初，安全写入服务器102使用客户数据(例如，从在例如图3的框316或图7的框708发送的应用程序100中的一个接收的)来设置安全写入数据(框452)。接下来安全写入服务器102生成包含在框452设置的安全写入数据的安全写入请求消息(框454)。接下来安全写入服务器102解析在框454生成的安全写入请求消息，以便从其中提取安全写入数据(框456)。然后服务器102将在框456提取的数据与在框452设置的数据进行比较(框458)。如果在框458中发现所提取的数据与所设置的数据是相同的，则安全写入服务器102发送安全写入请求消息给控制器16(框460)，并且服务器102将控制转移到图4A的框406。在框456提取的并进行解析后的数据，由安全写入服务器102在图4A的框406用来生成在确认对话框中所示的数据或命令信 息。以这种方式，可以向用户展示随后在图4A的框412请求的确认回执的消息的内容。如果在框458，发现所提取的数据与所设置的数据是不同的，则安全写入服务器102可以按照任何已知的方式来执行差错处理例行程序(框462)。 

图4C是描绘可以由图2的安全写入服务器102用来发送安全确认请求(图4A的框418)给图2的控制器16的示例方法470的流程图。最初，安全写入服务器102使用从确认对话框(图4A的框406)接收的数据，来设置确认请求数据(框472)。接下来安全写入服务器102生成包含在框472设置的确认请求数据的确认请求消息(框474)。然后安全写入服务器102解析在框474生成的确认请求消息，以便从其中提取确认请求数据(框476)。接下来服务器102将在框476提取的数据与在框472设置的数据进行比较(框478)。如果在框478中发现所提取的数据与所设置的数据是相同的，则安全写入服务器102发送确认请求消息给控制器16(框480)，并且服务器102将控制转移到图4A的框420。如果在框478，发现所提取的数据与所设置的数据是不同的，则安全写入服务器102可以按照任何已知的方式来执行差错处理例行程序(框482)。 

正如根据上述描述能够理解的，安全写入请求和确认请求是使用独立的过程来生成的。这样一种技术能够实现在将数据转化为要传送给控制器和/或逻辑解算器的消息的过程中出现的单个错误或差错，以及多个错误或差错的检测(例如，由用户查看配置对话框的可视检测，作为失败的比较结果的自动检测，等等)。 

图5是描绘可以由控制器(图2)用来执行逻辑解算器52(图2)中的安全参数(例如，与安全装备式功能相关联的参数)的改变的示例方法500的流程图。更具体地说，示例方法500比较它从安全写入服务器102接收的冗余参数值改变信息，并且基于该比较结果，与逻辑解算器52进行通信，以便确保逻辑解算器52接收想要的参数值改变信息，并且不会响应讹误或虚假的数据来改变参数值。 

转到示例方法500的细节，控制器16(图2)判断安全写入请求是否已被接收(框502)。如果已经从安全写入服务器102接收(例如，在图4A的框404)安全写入请求(例如，要在逻辑解算器52中实施的参数值改变)，那么控制器16存储该请求数据(框504)。该请求数据(例如，与要在逻辑解算器52中改变的参数值相关联的路径信息、新参数值、CRC信息，等等)可以存储在与和该参数相关联的功能块或功能模块相关联的存储器单元。在框504存储该安全写入请求数据之后，控制器16发送请求收到确认回执给安全写入服务器102(框506)。如上所述，安全写入服务器102监控由控制器16在图4A的框408发送的请求回执(框506)。 

接下来，控制器16等候接收由安全写入服务器102在图4A的框422发送的安全参数确认请求(框508)。当在框508接收安全参数确认请求信息(即，冗余的参数值改变信息)时，控制器16清空与以下要论述的超时机制相关联的定时器(框509)，并将确认请求信息存储在也与和在框504存储的数据相关联的功能块或功能模块相关联的第二存储单元(框510)。然后控制器16将安全请求数据(在框504存储的)与安全确认请求数据(在框510存储的)进行比较，并且如果数据匹配的话(或者至少基本上相同)，控制器16就发送原始的安全写入请求数据(在框504存储的)和匹配的安全确认请求数据(在框510存储的)给逻辑解算器52(框514)。 

当在框514发送数据给逻辑解算器52之后，控制器16等待由逻辑解算器52收到该数据的确认回执(框516)。一旦在框516收到确认回执，控制器16就发送确认回执或响应给安全写入服务器102(框518)，该回执或响应是由安全写入服务器102在图4A的框420接收的。 

如图5的示例方法500所描绘的，控制器16使用关于安全确认请求的回执(框508)的超时机制。特别是，如果控制器16在框508没有接收到安全确认请求，则控制器判断(例如，基于定时器)从在框502收到安全写入请求数据开始，是否已经过去一定量的时间(框520)。如果在框520已经过去一定量或预定量的时间，那么控制器16清除未决的安全写入请求(框 522)，并发送恰当的错误消息给安全写入服务器102(框524)。超时时间(即，与超时条件相关联的时间量)可以基于由例如调用应用程序通过安全写入服务器102(例如，通过框314，404和418)发送到控制器16的信息、基于预定的默认值或者以任何所需的方式来确定。 

除了基于超时的错误消息之外，在原始请求数据(即在框504存储的数据)和确认数据(在框510存储的)在框512不匹配(例如，不相同或至少基本上不相同)的情况下，控制器16也可以发送错误消息(框524)。 

图6是描绘可以由逻辑解算器(图2)用来执行逻辑解算器52中的安全参数(例如，与安全装备式功能相关联的参数)的改变的示例方法600的流程图。更具体地说，该示例方法600分析路径和CRC信息，并判断原始的安全写入请求信息是否与确认安全写入请求信息相匹配(或至少基本上匹配)，以便判断，例如新数值是否能够安全地写入到与逻辑解算器52的安全装备式功能相关联的参数中。 

参照图6的详细流程图，逻辑解算器52判断是否已经接收到参数值改变请求数据或信息(框602)。该参数值改变请求数据包括在图5的框514发送的安全写入请求数据和确认安全写入请求数据。然后逻辑解算器52判断原始的安全写入请求数据是否与确认请求数据相匹配(框604)。鉴于先前由控制器16在图5的框512执行的匹配操作，在框604的匹配操作可能是冗余的。然而，这种在逻辑解算器52处的冗余匹配检测，在控制器16不管图5的框512的匹配失败而发送安全写入请求信息给逻辑解算器52的情况下，进一步提高了安全性。 

如果在框604安全写入请求数据和确认写入请求数据相匹配(例如，相同或至少基本上相同)，则逻辑解算器52判断用于该请求数据的CRC和路径是否是好的、有效的、正确的，等等(框606)。如果CRC和路径在框606是正确的，则逻辑解算器52将新数据(即新参数值)写入到该参数中(框608)。当在框608将新参数值写入到参数中之后，逻辑解算器52发送写入状态给控制器16(框610)。如上所述，控制器16监控在图5的框 516的写入状态信息。在将该写入状态信息传达给控制器16之后，逻辑解算器52通过冗余链路60(图1)发送改变请求信息(即新参数值信息)给备用逻辑解算器(例如，图1的逻辑解算器54)。 

如图6所描绘的，逻辑解算器52也可以被配置为发送错误消息给控制器16(框614)。特别是，如果在框604原始的安全写入请求数据和随后生成的，由控制器16发送给逻辑解算器52的确认请求信息不匹配，或者如果在框606CRC和路径信息不正确，则在框614将恰当的错误消息发送给控制器16。 

尽管以上关于图3，4，5和6而论述的示例方法描述了示例性的方式，其中应用程序站20，控制器16，和逻辑解算器52可以被配置为相互协作来执行安全参数值改变，但是示例方法也可以更一般地适用于将其他数据写入到逻辑解算器(例如，逻辑解算器52)。例如，如以下关于图7所论述的那样，应用程序站20、控制器16和逻辑解算器52可以被配置为相互协作以执行逻辑解算器52的安全命令。换句话说，系统操作员或其他用户可以，例如通过在应用程序20处执行的运行期间应用程序，以符合一个或多个适用于安全装备式系统的安全标准的方式，发送一个或多个命令给逻辑解算器52。这些安全命令基本上最小化由系统操作员或其他用户发送的一个或多个命令不能到达逻辑解算器52的可能性，一个或多个讹误命令由逻辑解算器52来处理或执行的可能性，和/或一个或多个虚假命令由逻辑解算器52来处理或执行的可能性。 

转到图7的细节，描绘可以由应用程序工作站20用来以安全方式，并符合安全装备式系统的安全相关标准，来发送命令给逻辑解算器52的示例方法700的流程图。最初，响应系统操作员或其他用户通过应用程序(例如，运行期间应用程序)对代表设备、装置、功能模块，和/或功能块的图形的选择，以及命令(例如，到冗余逻辑解算器的强制切换)的输入，应用程序调用安全写入服务器102中的安全命令方法(框702)。所需的命令可以通过例如键盘作为文本信息来输入，和/或使用例如指示设备——例如鼠标、 跟踪球等作为图形对象来选择。 

当在框702应用程序已经调用安全写入服务器102中的安全命令方法之后，应用程序向系统操作员或其他用户显现确认对话框(框704)。接下来示例方法700等候由系统操作员或其他用户作出的确认(框706)。该确认可以通过使系统操作员能够选择图形确认按钮、输入确认文本信息，和/或通过任何其他所需的方式来实现。一旦在框706确认了安全命令，则应用程序站20就发送该确认命令信息给安全写入服务器102(图2)(框708)。在框710，应用程序站20(和应用程序)接收与在框708发送的安全命令信息相关联的安全写入请求的状态。 

在逻辑解算器52的安全命令的执行中，安全写入服务器102、控制器16和逻辑解算器52通常被配置为分别使用图4，5，和6的示例方法来执行安全命令。然而，与参数值信息在应用程序站20、安全写入服务器120、控制器16和逻辑解算器52之间进行处理和传送不同，命令信息是在各种实体之间进行处理(例如，存储、比较，等等)和传送的。 

为了便于安全装备式系统的配置，图1的示例系统10包括安全写入打标应用程序104。通常，安全写入打标程序104使系统操作员或用户能够生成图形对象和/或潜在于其下的可执行脚本，用于与一个或多个安全装备式功能相关联的设备、装置、功能模块、功能块，等等。更具体地说，安全写入打标程序104便利了用于安全装备式系统的安全相关或符合安全的图形对话框和可执行脚本的，连贯的、迅速的和基本上自动的生成。该图形对话框和脚本可以在运行期间内调用，以便使系统操作员或其他用户能够使用结合图3～7所论述的示例安全数据写入方法，来实施逻辑解算器52中的安全参数值改变，逻辑解算器52的安全命令。 

图8是描绘可以用来实现安全写入打标程序104(图2)的示例方法800的流程图。最初，响应例如系统操作员或其他用户对与逻辑解算器52和54中的一个或两者都执行的安全装备式功能相关联的图形对象(例如，功能块或功能模块)的选择(例如，通过例如鼠标的指示设备指示和点击来选择)， 可以在示例系统10(图1)的配置期间调用安全写入打标程序104(框802)。如果在框802安全写入打标程序104已经被调用，则安全写入打标程序104判断是否已经选择了某一对象(或者是否已经选择了多个对象)(框804)。 

如果在框804，安全写入打标程序104已经被调用，而没有选择任何对象，那么安全写入打标程序104生成图形对象，和相关的或潜在于其下的点击事件脚本(框806)。图形对象和潜在于其下的脚本是基于所影响的逻辑解算器参数，和/或要发布的命令来生成的。如以下结合图10～16更为详细论述的那样，在某些例子中，图形对象可以是标记按钮(labeled button)或诸如此类的东西，当在运行期间选择它们时，执行潜在于其下的脚本，该脚本能够使系统操作员或其他用户与图形窗口、对话框，或其他显示进行交互作用，以便使用在此描述的示例安全数据写入方法，发送新参数值和/或命令信息给逻辑解算器52(图2)。 

在框804，如果安全写入打标程序104判定已选择至少一个对象，那么安全写入打标程序104判断是否已选择了多个对象(框808)。如果在框808已经选择了多个对象，则安全写入打标程序104返回一个错误(框810)。另一方面，如果只有一个对象已被选择(框808)，则安全写入打标程序104生成用于(即，要关联到的)所选对象的适当的点击事件脚本(框812)。 

图3～8的示例方法中所示的功能块或操作，可以使用软件、固件和硬件的任何所需的组合来实现。例如，一个或多个微处理器、微控制器、专用集成电路(ASIC)等可以访问存储在机器或处理器可存取的存储介质上的指令或数据，以便执行在此描述的方法，并实现在此描述的装置。存储介质可以包括如下设备和/或介质的任意组合，例如，包括随机存取存储器(RAM)、只读存储器(ROM)、电可擦可编程只读存储器(EEPROM)等的固态存储介质，光存储介质，磁存储介质，等等。另外，用于实现功能块的软件还可以通过因特网、电话线路、卫星通信等方式，被额外地或可选地传送到执行该软件的处理器或其他设备上，并且由这些处理器或设备来访问。 

图9描绘了可以用来实现于此描述的装置和方法的一个示例处理器系统902。该示例的基于处理器的系统902可以是，例如服务器、个人计算机或任何其他类型的计算设备。 

举例来说，处理器900可以使用来自奔腾( 

)系列， 

系列或 系列的一个或多个英特尔( )微处理器来实现。当然，其他系列的其他处理器也是适合的。处理器900通过总线908与包括易失性存储器904的主存储器和非易失性存储器906进行通信。易失性存储器904可以由同步动态随机存取存储器(SDRAM)、动态随机存取存储器(DRAM)、RAMBUS动态随机存取存储器(RDRAM)和/或任何其他类型的随机存取存储设备来实现。非易失性存储器906可以由闪速存储器和/或任何其他所需类型的非易失性存储设备来实现。对存储器904的存取通常是由存储器控制器(未示出)以常规方式来进行控制的。 

系统902也可以包括接口电路910。接口电路910可以由任何类型的众所周知的接口标准来实现，例如，以便使系统902能够通过一个或多个链路24，32，40，42，46，48，62，和64来进行通信。 

系统902也可以包括一个或多个大容量存储设备918，以存储软件和/或数据。这些大容量存储设备的例子包括软盘驱动器，硬盘驱动器，光盘驱动器和数字通用盘(DVD)驱动器。 

前述示例方法可以关于一个或多个以下将要详细描述的示例图形显示或对话框来执行。特别是，在安全写入打标程序104被调用，并且没有对象被选择的情况下(图8的框804)，安全写入打标程序104可以使用如图10所示的示例图形界面1000，来生成图形对象(例如，标记按钮)和相关联的点击-事件脚本(框806)。如示例的图形界面1000所描绘的，参数路径字段1002可以向系统操作员或其他用户提示要写入的参数的完整路径(例如，通往逻辑解算器52中参数值的路径)。该示例参数路径与安全装备式功能模块“SIFMOD1”，块“CEM1”，和参数“RESET1.B CV.”相关联。 

用户也可以在％P参数路径字段1004中随意地输入信息。在本例中，％P参数对应于文本“主气阀”。示例图形界面1000也可以使用户能够控制由安全写入打标程序104生成的标记按钮的各种属性。例如，用户可以在文本字段1006中输入一个按钮标记，并可以控制用于所有这些文本的颜色和字体，以及用于该标记按钮图形的背景色。 

用户还可以在数字值字段1008输入信息。如以下要更为详细描述的那样，在字段1008中输入的数字值是使用于此描述的示例安全写入方法，并响应运行期间中标记按钮的选择，而写入到例如逻辑解算器52参数(对应于字段1002中指定的路径)中的值。 

用户也可以在文本信息字段1010中输入数据。该信息可以包括基于运行期间中标记按钮的激活或选择，要显现给系统操作员或其他用户的文本短语，问题等。在本例中，将会把文本“Do You Want to Reset the Main GasValve？(你想复位主气阀吗？)”显现给系统操作员或用户。应当注意的是，在运行期间，在示例字段1010中示出的“％P”要用与字段1004中指定路径相对应的文本来代替，在该情况下是“主气阀”。 

可选的可视性动画字段1020使用户能够输入可视性表达。如果被输入，则这样的可视性表达可以用于在运行期间在标记按钮被选择时，提供图形动画。 

在系统操作员或其他用户在示例图形界面1000所示的某些或所有上述引用的数据字段中输入了信息后，系统用户或操作员可以选择OK按钮1014，OK按钮1014的选择将致使安全写入打标程序104生成与图像界面1000的各种数据字段中所指定的视觉或功能要求相一致的标记按钮。 

图11描绘了当通过图10的示例图形界面1000创建的标记按钮，在运行期间内被选择或以别的方式被调用时，所生成的示例图形对话框1100。该示例图形对话框1100可以覆盖执行一个或多个与应用程序站20相关联的操作的脚本。具体地说，潜在于其下的脚本或脚本可以执行一个或多个结合图7的示例方法而描述的操作。例如，示例图形对话框1100可以在框704 (图7)显现，并且用户对确认按钮1101的选择将导致在框706(图7)的确认，以及在框708(图7)的安全命令的写入(最终要写入到逻辑解算器52)，该安全命令在本例中是复位命令。 

图12描绘了一个示例安全写入打标图形界面1200，如果基于安全写入打标程序104的调用而选择了双态值(toggle value)标签1016(图10)，它将会被显现。该示例界面1200能够使系统操作员或其他用户创建双态值或双态复选框，其可以用于在运行期间转换参数值，从零到一，或从一到零。特别是，这种双态值复选框可以用于转换布尔值的数值，例如表决器功能块的BYPASSx(旁路)参数的CV字段。然而，在运行期间作为双态复选框的调用结果而写入的值可以是任何所需的数字数据类型。 

如图12所示，该示例图形界面1200包括参数路径字段1202，％P路径字段1204，复选框属性区域1206，和确认对话框信息字段1208和1210。同时也包括OK按钮1212，以便系统用户通过例如选择OK按钮1212来完成双态值对话框的配置。 

图13是示例运行期间对话框1300，可以响应调用与逻辑解算器参数相关联的对象或其他图形，将它显现给系统用户，所述逻辑解算器参数已经利用图12的双态值界面1200，使用安全写入打标程序104来对其进行配置。该示例对话框框1300可以在例如框704(图7)显现，用户可以在框706(图7)选择确认按钮1302，以及安全命令，从而使逻辑解算器52(图2)中参数的切换可以在框708，写入到或发送到逻辑解算器52。 

图14描绘了示例的写入值界面1400，可以基于安全写入打标程序104的调用，响应写入值标签1010(图10)的选择，将它显现给系统操作员或其他用户。如图14的示例对话框1400所描绘的，向系统操作员提示参数路径信息，选项％P信息，和要在运行期间对话框中显示的信息文本，所述运行期间对话框用于将数值写入到逻辑解算器参数中。 

图15和图16描绘了示例运行期间对话框1500和1600，它们可以显现给系统操作员或用户，以便能够使用在此公开的安全数据写入方法，将数字 值写入到逻辑解算器参数中。例如，示例的图形对话框1500和1600可以显现给用户，并由用户结合如图3的示例方法300中阐述的应用程序站20的操作，与之进行交互。特别是，示例的新数值对话框1500可以在图3的框304呈现。用户可以在框306(图3)输入新的参数值到字段1502中，然后在框306选择键入(Enter)按钮1504。 

接下来，在框404作出安全数据写入请求的确认之后，可以在框406(图4A)显现或生成示例新数值确认对话框1600，并且在框410激活确认按钮1602。如果用户在框412选择确认按钮1602，则通过示例对话框1500输入的新数值，在框418作为安全参数确认请求第二次发送给控制器。 

以上关于图10～16所描述的图形界面和对话框作为不同的例子，可以在关于图1～9中描述的示例安全数据写入装置和方法中使用。然而，许多其他的图形界面和对话框可以用来代替上述例子，或添加到上述例子中。例如，能够实现布尔变量的设置，所命名的设置数据类型(例如，在使用中，业务中止不能使用等)的设置，浮点变量类型的设置，整数参数值的设置等等的图形对话框，可以用来代替上述这些例子，或添加到上述这些例子中。 

更一般地说，任何所需的图形对话框均可以用来与恰当的脚本一起运行，从而执行于此描述的示例安全写入方法。此外，这些图形对话框和脚本也可以用在任何所需的配置或运行期间应用程序中，以便执行一个或多个于此描述的示例安全数据写入方法。 

尽管已经于此描述了特定的方法和装置，以及制造加工的产品，但是本专利的覆盖范围并不限于此。与此相反，本专利覆盖了所有清楚地落在附加的权利要求的范围之内的方法，装置和制造加工的产品，无论是在字面上亦或是在其等同物的原则之内。 

Claims (28)

1.一种在过程控制系统中写入数据的方法，包括：

接收对数值改变方法的调用；

接收新参数值；

向控制器发送包括至少所述新参数值的安全写入请求；

生成指示所述新参数值的确认对话框；

从所述控制器接收所述安全写入请求已经被完整无缺地接收的确认回执；

响应于接收到所述确认回执而激活与所述确认对话框相关联的确认控制；

判断用户是否已确认对所述参数值的改变；

关于所述确认对话框向所述控制器发送安全参数确认请求；以及

等待来自所述控制器的指示所述控制器已从逻辑解算器接收到响应的响应，来自所述逻辑解算器的响应包括写入状态，所述写入状态指示所述逻辑解算器将所述安全写入请求中的数据和所述安全参数确认请求中的数据进行了比较，判断两次发送的数据是有效的，并且已将所述新参数值写入到参数中。

2.根据权利要求1的方法，其中接收对数值改变方法的调用包括接收图形对象的选择。

3.根据权利要求2的方法，其中接收图形对象的选择包括接收代表设备、装置、功能模块或功能块中之一的图形对象的选择。

4.根据权利要求1的方法，其中接收对数值改变方法的调用包括接收与安全装备式功能或逻辑解算器相关联的参数的选择。

5.根据权利要求1的方法，其中接收对数值改变方法的调用包括，通过运行期间应用程序、操作员站、应用程序站或控制器接收参数的选择。

6.根据权利要求1的方法，其中第一次发送所述参数值改变信息和第二次发送参数值改变信息包括，通过应用程序站和控制器发送所述参数值改变信息。

7.根据权利要求1的方法，其中发送所述安全写入请求和发送所述安全参数确认请求包括发送冗余信息。

8.根据权利要求1的方法，其中发送所述安全写入请求进一步包括发送命令信息。

9.根据权利要求1的方法，其中发送所述安全写入请求进一步包括连同所述新参数值一起发送错误校验值。

10.根据权利要求1的方法，其中发送所述安全写入请求进一步包括执行潜在的脚本。

11.根据权利要求1的方法，其中判断用户是否已确认对所述参数值的改变包括，判断用户是否已选择所述确认对话框上的确认按钮。

12.根据权利要求1的方法，其中将所述安全写入请求中的数据和所述安全参数确认请求中的数据进行比较包括，比较错误校验信息、参数路径信息、命令信息或参数值信息中的至少一个。

13.根据权利要求1的方法，还包括：在接收到第一次发送的参数值改变信息之后，响应在预定时间内未能第二次接收到参数值改变信息，阻止将所述新参数值写入到所述参数中。

14.根据权利要求13的方法，还包括：在接收到第一次发送的参数值改变信息之后，响应在预定时间内未能第二次接收到参数值改变信息，生成错误消息。

15.一种在过程控制系统中写入数据的装置，包括：

一个或多个存储器；和

一个或多个处理器，连接到所述一个或多个存储器上，并且被配置为：

接收对数值改变方法的调用；

接收新参数值；

向控制器发送包括至少所述新参数值的安全写入请求；

生成指示所述新参数值的确认对话框；

从所述控制器接收所述安全写入请求已经被完整无缺地接收的确认回执；

响应于接收到所述确认回执而激活与所述确认对话框相关联的确认控制；

判断用户是否已确认对所述参数值的改变；

关于所述确认对话框向所述控制器发送安全参数确认请求；并且

等待来自所述控制器的指示所述控制器已从逻辑解算器接收到响应的响应，来自所述逻辑解算器的响应包括写入状态，所述写入状态指示所述逻辑解算器将所述安全写入请求中的数据和所述安全参数确认请求中的数据进行了比较，判断两次发送的数据是有效的，并且已将所述新参数值写入到参数中。

16.根据权利要求15的装置，其中一个或多个处理器被配置为，通过接收图形对象的选择来接收对数值改变方法的调用。

17.根据权利要求16的装置，其中一个或多个处理器被配置为，通过接收代表设备、装置、功能模块或功能块中之一的图形对象的选择，来接收图形对象的选择。

18.根据权利要求15的装置，其中一个或多个处理器被配置为，通过接收与安全装备式功能或逻辑解算器相关联的参数的选择，来接收对数值改变方法的调用。

19.根据权利要求15的装置，其中一个或多个处理器被配置为，通过借助运行期间应用程序、操作员站、应用程序站或控制器接收参数的选择，来接收对数值改变方法的调用。

20.根据权利要求15的装置，其中一个或多个处理器被配置为，通过借助应用程序站和控制器发送所述参数值改变信息，来第一次发送所述参数值改变信息和第二次发送参数值改变信息。

21.根据权利要求15的装置，其中一个或多个处理器被配置为，通过发送冗余信息来发送所述安全写入请求和所述安全参数确认请求。

22.根据权利要求15的装置，其中一个或多个处理器被配置为，通过发送命令信息来发送所述安全写入请求。

23.根据权利要求15的装置，其中一个或多个处理器被配置为，通过连同所述新参数值一起发送错误校验值，来发送所述安全写入请求。

24.根据权利要求15的装置，其中一个或多个处理器被配置为，通过执行潜在的脚本，来发送所述安全写入请求。

25.根据权利要求15的装置，其中一个或多个处理器被配置为，通过判断用户是否已选择所述确认对话框上的确认按钮，来判断用户是否已确认对所述参数值的改变。

26.根据权利要求15的装置，其中一个或多个处理器被配置为，通过比较错误校验信息、参数路径信息、命令信息或参数值信息中的至少一个，将所述安全写入请求中的数据和所述安全参数确认请求中的数据进行比较。

27.根据权利要求15的装置，其中一个或多个处理器被配置为，在接收到第一次发送的参数值改变信息之后，响应在预定时间内未能第二次接收到参数值改变信息，阻止将所述新参数值写入到所述参数中。

28.根据权利要求27的装置，其中一个或多个处理器被配置为，在接收到第一次发送的参数值改变信息之后，响应在预定时间内未能第二次接收到参数值改变信息，生成错误消息。

Images