安全仪器系统或过程控制系统中的控制器间通信的方法

摘要

所提权利要求的系统提供一个I/O卡，该I/O卡可以用于连接一个通信线上的两个过程控制器，所述通信线与将所述两个过程控制器连接到一个工作站的一个主要通信线分离。所述过程控制器可以以类似用于存取连接到现场设备的I/O卡的方式，存取所述I/O卡。照这样，所述物理硬件及软件结构不需要更改以用于控制器间通信。控制器间通信可以编程为通用I/O通信。

说明书

本专利是在2003年1月28日提交的美国10/352,396号专利申请(U.S.Application Serial No.10/352,396)的部分连续申请案，所述美国专利申请的全部公开在此通过引用被并入本专利。

技术领域

本发明总体上涉及过程设备的过程控制系统，这些过程控制系统使用输入/输出(I/O)设备来提供控制器间通信。

背景技术

过程控制系统-如那些用于化学、石油、或其他过程的过程控制系统-典型地包括一个或多个过程控制器，过程控制器通过模拟总线、数字总线或模拟/数字混合总线，与至少一个主机或操作员工作站及与一个或多个现场设备通信连接。所述现场设备可能是阀、阀定位器、开关及传送器(例如温度传感器、压力传感器及流率传感器)，它们在过程设备中发挥功能，如开启或关闭阀及测量过程参数。过程控制器接收所述现场设备所进行的过程测量的信号和/或关于现场设备的其他信息，并使用这些信息来实施控制例程，然后产生控制信号并通过总线传送至现场设备，以控制过程的操作。来自现场设备和控制器的信息一般由操作员工作站执行的一种或多种应用程序使用，使操作员能够执行针对过程所需要的任何功能，例如配置所述过程、观察所述过程的当前状态、修正所述过程的操作等等。

在有些过程系统中，可以提供一个单独的安全系统，以检测过程设备中的重大安全相关问题及在可能造成或导致所述过程设备发生严重危险(比如有毒化学物质溢出、爆炸等等)的问题发生时自动地关闭阀、从设备拆除电源、转换设备中的流量等等。这些安全系统典型地包括一个或多个单独的输入/输出(I/O)设备，除了所述过程控制控制器外，这些输入/输出(I/O)设备具有控制器，控制器通过布置在过程设备中的单独的总线或通信线连接到安全现场设备。所述安全控制器使用所述安全现场设备来检测与重大事件有关的过程情况，比如所述过程中的某些安全开关或安全隔断阀、溢流或底流的位置，重要发电或控制设备的操作，故障检测设备的操作等等，以从而检测所述过程设备中的“事件”。在检测到一个事件时，所述安全控制器采取某种行动来限制所述事件的有害影响，比如采取关闭阀、关闭设备、拆除所述设备的局部的电源等等。

有些过程控制器和/或安全控制器可以完全相互分离。这个分离可以是过程控制设计的结果，而其中这些控制器一般被设计成各自独立地操作。然而，有些情况可能发生而导致需要分离的过程控制器彼此相互通信；例如，在一个过程受两个或多个过程控制器控制时，需要所述两个或多个过程控制器之间的协作。虽然有些系统可以提供控制器之间的某种彼此相互通信，但这个彼此相互通信可能效率较差，这是由于它使用本应用于控制功能的控制器资源。此外，即使是在可以不需要使用工作站来发送所述通信的过程控制系统中，所述通信可能只限于一个主要通信网络，而该主要通信网络更适合高级通信功能，但不适合控制器间通信。在其他实施例中，所述通信可以由一个专用通信处理器执行，而该专用通信处理器实质上是所述控制器的协处理器。可能需要进行特别配置来发送信息到所述通信协处理器，及从所述通信协处理器接收信息以实施一个控制方案。因此，现有系统的控制器间通信过程可能效率差或甚至不存在任何控制器间通信。

发明内容

一种包括第一过程控制系统控制器(该第一过程控制系统控制器通信连接到第一通信总线)及第二过程控制系统控制器(该第二过程控制系统控制器通信连接到第二通信总线)的过程控制系统带有通过系统的输入/输出(I/O)控制器间设备来提供的彼此相互通信连接。在一个实施例中，第一I/O控制器间卡连接在所述第一通信总线及通信链路之间，及第二I/O控制器间卡连接在所述第二通信总线及所述通信链路之间。控制器信号可以接着仅仅通过将信息寻址到所述第一I/O控制器间卡，从所述第一过程控制系统控制器发送到所述第二过程控制系统控制器，而反之亦然。因此，应用程序编程员或配置员以在I/O卡上寻址I/O频道的方式一样地处理这些通信。例如，发送信息可能与驱动一个输出频道完全一样；同样地，接收信息可能与读取输入频道完全一样。在一个实施例中，需要与过程控制信号分离地、在节点之间传送的安全信息，可以使用与所述I/O控制器间设备分离的信息传播设备，在I/O安全设备之间传送安全信息。在另一个实施例中，需要与过程控制信号分离地、在节点之间传送的安全信息，可以使用(除了所述I/O控制器间设备之外)信息传播设备，在I/O安全设备之间传送安全信息。在这个实施例中，所述I/O控制器间设备可以用于在较长距离之间进行通信或用于整体设备互锁的单独系统之间进行通信，反之，所述信息传播设备却只可以用于在一个系统中进行通信。

在一个实施例中，所述第一及第二过程控制系统控制器可以连接到主要通信网络(与所述通信链路分离)，其中一个或多个操作员工作站或主计算机也可以连接。所述操作员工作站中的软件可以通过所述主要通信网络，与所述过程控制器(及相关的过程控制现场设备)及所述安全控制器(及相关的安全现场设备)进行通信；并可以通过所述主要通信网络，配置及检视所述过程控制器(及相关的过程控制现场设备)及所述安全控制器(及相关的安全现场设备)的操作。在这个实施例中，所述I/O控制器间设备在没有使用所述主要通信网络的情况下提供控制器间通信。在进一步的实施例中，所述过程控制器可以编程为省略使用所述主要通信网络并将所有控制器间通信限制在连接到所述过程控制器的通信总线上进行。

附图说明

图1描绘一个框图，其显示一个范例过程设备，该范例过程设备带有与一个过程控制系统合并的一个安全系统。

图2描绘一个输入/输出控制器间卡或设备，该输入/输出控制器间卡或设备可以用于提供一种用于控制器间通信的、更有效率的方法。

图3描绘一个双输入/输出控制器间系统300，该双输入/输出控制器间系统300使用图2所示的两个输入/输出卡来提供控制器间通信。

图4A描绘在每个总线上使用一个输入/输出设备来提供控制器间通信。

图4B描绘在一个单一通信总线上使用两个输入/输出设备，在多个过程控制器之间提供控制器间通信。

图5描绘图1所示的集成安全及过程控制系统，该集成安全及过程控制系统使用控制器间输入/输出设备及信息传播设备(以用于不同节点上的安全组件之间的通信)。

图6描绘由图1所示的其中一个工作站中的一个配置应用程序产生的一个屏幕显示，该屏幕显示图解图1所示的过程设备的一个配置视图，其显示过程控制系统设备及安全系统设备。

图7A描绘一个框图，其显示一个过程控制器及一个工作站之间的一个现有数据流程。

图7B描绘一个框图，其显示一个控制器信号流程。

具体实施方式

虽然以下文字提供许多不同实施例的详细描述，但应该理解的是，本发明的法律范围应由在本专利结尾处陈列的权利要求中的文字来定义。所述详细描述应被解释为仅仅意在起例证性作用，而且并未描述每种可能的实施-既然每种可能的实施将会是不实际的，如果不是不可能。多种选择性实例可能采用目前的技术或采用本专利的提交日期后开发的技术来实施，任何这些选择性实例将还是属于本专利的权利要求的范围。

应该理解，除非一术语在本专利中以“如本专利中所使用的那样，术语“_______”据此定义为……”的句子或相似的句子明确地定义之外，不存在限制(不论是明确地或隐含地)该术语在其显然含义或平常含义以外的的含义的意图，而且该术语不应根据本专利的任何部分中的陈述(除了本专利的权利要求中的文字阐述之外)而被解释为限制本专利包括的范围。在这个意义上，本专利结尾处的权利要求中陈述的任何术语在本专利中是以与一个单一含义一致的方式被提及，这么做是为了清晰以免困惑读者起见，但并非意图将该权利要求术语的含义范围限制(不论是隐含地或以其他方式)在所述单一含义之内。最后，除非一权利要求要素通过采用“意指”一词及一功能(未叙述任何结构)来定义者外，并无意图根据美国法律35U.S.C.§112第6段的应用来阐释任何权利要求要素的范围。

在有些现有的系统中，原始I/O数据只能在所述I/O设备产生所述原始数据之时，在位于相同的通信总线上的设备之间传送。虽然连接在所述总线上的过程控制器可以通过一个主要通信网络(与所述通信总线分离)传送得自所述I/O设备的信息，来自所述过程控制器的所述信息一般是所述原始I/O数据的处理过或更改过的版本。操作员工作站可以从所述处理过的I/O数据(相对于所述原始I/O数据)得益，这是由于所述处理过的数据可以代表简化数据或增强数据，而与原始数据相比，简化数据或增强数据更适合用于监测功能。因此，所述过程控制器可以配置成只是在所述主要通信网络上传送处理过的数据。

此外，在现有存在安全仪器设备的系统中，安全相关设备之间的数据流可以是处理过的数据流，而不是原始I/O数据流。其中一个原因是，所述安全相关设备可以被设计成使用预计数据值(根据所述原始数据)来彼此相互通信，以加快安全相关识别过程。例如，通信信息的预处理可以使得一个接收设备能够更快地确定一个时间临界事件，从而允许所述安全系统处理器更快地对情况作出反应(例如发动关机或其他安全动作)。

此外，在有些现有系统中，安全相关设备与操作员工作站之间的通信只能通过所述控制器操作。在这些系统中，由操作员进行的安全信息监测只是属于抽样性质或周期性地进行。因此，所述过程控制器一般操作来提供所述原始I/O数据的过滤(或抽样)版本以及处理版本。在尝试从所述处理及过滤数据中提取所述原始安全I/O数据时，错误以及时间延误可能发生。

虽然使用处理过的数据有其优势，但控制器间通信可能需要原始I/O数据，而不是将处理过的数据传送到一个工作站。在所述控制器间通信由一个第一过程控制器协同一个第二过程控制器使用来产生控制信号时，情形便是这样。在这种情况下，所述过程控制器可能必须使用原始I/O数据，而不是处理过的数据。此外，在时间临界操作中，原始I/O数据的直接传送可能固有地较快，这是由于由一个第一控制器创建处理过的数据所需要的时间及由一个第二控制器从所述处理过的数据提取所述原始数据所需要的时间可以消除或缩减。同样地，对于安全相关功能，原始安全I/O数据可能必须方便地在不同节点或通信总线上的安全设备之间传送。

所提权利要求的方法及系统提供过程控制器和/或安全控制器之间的原始、未处理I/O数据的传送。

现在参看图1，一个过程设备10包括一个过程控制系统12，该过程控制系统12与一个安全系统14(以虚线指示)结合，所述安全系统14一般作为一个安全仪器系统(SIS)操作，以监测及覆盖由所述过程控制系统12提供的所述控制，以使所述过程设备10的安全操作可能性最大化。所述过程设备10也包括一个或多个主工作站、计算机或用户接口16(其可以是任何类别的个人计算机、工作站等等)，这些主工作站、计算机或用户接口16可以由设备人员(比如过程控制操作员、维护人员、配置工程师等等)存取。在图1的图解范例中，三个用户接口被显示为通过一个共用通信线或总线22连接到两个单独的过程控制/安全控制节点18及20及连接到一个配置数据库21。所述主要通信网络22可以使用任何期望的总线基或非总线基硬件、任何期望的固定或无线通信结构及任何期望或合适的通信协议(比如以太网协议)来实施。

一般而言，所述过程设备10的所述节点18及20中的每个节点包括过程控制系统设备及安全系统设备，这些过程控制系统设备及安全系统设备通过一个总线结构连接在一起，而所述总线结构可以提供于所述不同设备附装于其上的一个背板上。所述节点18及20中的每个节点可以位于所述设备的不同区域或控制不同设备。所述节点18在图1中被图解为包括一个过程控制器24(其可以是一对冗余控制器)以及一个或多个过程控制系统I/O设备28、30及32，而所述节点20被图解为包括一个过程控制器26(其可以是一对冗余控制器)以及一个或多个过程控制系统I/O设备34及36。所述过程控制系统I/O设备28、30、32、34及36中的每个过程控制系统I/O设备通信连接到一组过程控制相关现场设备，这些过程控制相关现场设备在图1中被图解为现场设备40及42。所述过程控制器24及26、所述I/O设备28-36以及所述控制器现场设备40及42共同构成图1所示的过程控制系统12。

同样地，所述节点18包括一个或多个安全系统逻辑求解器50、52，而所述节点20包括安全系统逻辑求解器54及56。所述逻辑求解器50-56中的每个逻辑求解器是一个I/O设备，其有一个处理器57，该处理器57执行存储在一个存储器中的安全逻辑模块58，而且通信连接来提供控制信号到安全系统现场设备60及62和/或从安全系统现场设备60及62接收信号。附加地，所述节点18及20中的每个节点包括至少一个信息传播设备(MPD)70或72，而所述信息传播设备(MPD)70及72通过一个环形总线连接74彼此相互通信连接。所述安全系统逻辑求解器50-56、所述安全系统现场设备60及62、所述信息传播设备(MPD)70及72以及所述总线74共同构成图1所示的安全系统14。

所述过程控制器24及26可以是由费舍尔·柔斯芒特系统有限公司(Fisher Rosemount System，Inc.)、艾默生过程控制(Emerson ProcessManagement)公司出售的DeltaVTM控制器或任何其他期望类别的过程控制器，这些控制器编程为使用所述I/O设备28、30及32(对于所述控制器24)、所述I/O设备34及36(对于所述控制器26)及所述现场设备40及42，以便(使用一般称为控制模块)提供过程控制功能。明确地说，所述控制器24及26中的每个控制器实施或监督存储于其上的或以其他方式与其发生联系的一个或多个过程控制例程，并与所述现场设备40及42及所述工作站14进行通信，以便以任何期望方式控制所述过程10或所述过程10的一部分。所述过程控制器24及26可以产生设备控制信号，并通过通信线22将这些设备控制信号发送到它们各自的I/O设备，而所述I/O设备与它们各自的现场设备进行通信，以影响一个物理过程特性或参数。所述过程控制器24及26也可以通过所述通信总线76，从它们各自的现场设备接收过程参数测量信号。所述过程控制器24及26也可以将过程参数测量信号发送到在其总线上的其他现场设备或I/O设备，或传输这些过程参数测量信号到操作员工作站16，以便在所述工作站进行监测或进一步处理。所述过程控制器24及26也可以(从I/O设备或工作站)接收、产生、或(向I/O设备或工作站)传输与所述过程控制系统的已检测情况有关的事件信号和/或告警信号。

所述现场设备40及42可以是任何期望类别的现场设备，比如传感器、阀、变送器、定位器等等，而且可以符合任何期望的公开、专用或其他通信或编程协议，包括(例如)HART或4-20mA协议(适用于所述现场设备40)、任何现场总线(Fieldbus)协议(适用于所述现场设备42)、或CAN、Profibus、AS-Interface协议。同样地，所述I/O设备28-36可以是任何已知类别的、使用任何适当通信协议的过程控制I/O设备。

图1所示的安全逻辑求解器50-56可以是任何类别的安全系统控制设备，其包括一个处理器57及一个存储器，该存储器存储安全逻辑模块58，这些安全逻辑模块58适合在所述控制器57上执行，以便使用所述现场设备60及62，提供与所述安全系统14有关的控制功能。当然，所述安全现场设备60及62可以是任何期望类别的、符合或使用任何已知或期望通信协议的现场设备，比如以上提及的那些现场设备。明确地说，所述现场设备60及62可以是传统上由一个单独、专用安全相关控制系统控制的类别的安全相关设备。在图1图解的过程设备10中，所述安全现场设备60被描绘为使用一个专用或点到点通信协议，比如HART或4-20mA协议，而所述安全现场设备62被描绘为使用一个总线通信协议，比如Fieldbus协议。

一个通用背板76(以通过所述控制器24及26、所述I/O设备28-36、所述安全逻辑求解器50-56及所述信息传播设备(MPD)70及72的一条虚线指示)在所述节点18及20中用于将所述控制器24及26连接到所述过程控制I/O卡28、30及32或34及36，以及连接到所述安全逻辑求解器52、54或56及58和连接到所述信息传播设备(MPD)70或72。所述控制器24及26也通信连接到所述总线22并作为一个总线仲裁器进行操作，以使得所述I/O设备28-36、所述逻辑求解器52-56及所述信息传播设备(MPD)70及72能够通过所述总线22与所述工作站16中的任何工作站进行通信。

应该理解，所述工作站16中的每个工作站包括一个处理器77及一个存储器78，该存储器78存储一个或多个配置和/或显示应用程序，这些配置和/或显示应用程序适合在所述处理器78上执行。一个配置应用程序80及一个显示应用程序82在图1的一个分解图中图解为存储在所述工作站14的其中之一中。然而，如果需要，这些应用程序可以存储在所述工作站14中的不同工作站或与所述过程设备10有关的其他计算机中，以及可以在所述工作站14中的不同工作站或与所述过程设备10有关的其他计算机中执行。一般而言，所述配置应用程序80向配置工程师提供配置信息，并使得所述配置工程师能够配置所述过程设备10的有些或全部元件以及将该配置存储在所述配置数据库21中。作为由所述配置应用程序80执行的所述配置活动的部分，所述配置工程师可以为所述过程控制器24及26创建控制例程或控制模块，可以为任何及所有所述安全逻辑求解器50-56创建安全逻辑模块，而且可以通过所述总线22及控制器24及26，将这些不同控制及安全模块下载到所述过程控制器24及26及所述安全逻辑求解器50-56中的适当过程控制器及安全逻辑求解器。同样地，所述配置应用程序80可以用于创建及下载其他编程及逻辑到所述I/O设备28-36、所述现场设备40、42、60及62中的任何现场设备等等。

相反地，所述显示应用程序82可以用于向用户(比如过程控制操作员、安全操作员等等)提供一个或多个显示，这包括在单独的视图中或在相同的视图中(如果需要)显示有关所述过程控制系统12及所述安全系统14的状态的信息。例如，所述显示应用程序82可以是一个告警显示应用程序，其接收及显示向操作员提供的告警的指示。

无论如何，所述应用程序80及82可以发送分别的配置信号及其他信号到所述过程控制器24及26中的每个过程控制器，并可以从所述过程控制器24及26中的每个过程控制器接收数据，以及可以从所述安全系统逻辑求解器50-56中的每个安全系统逻辑求解器接收数据。这些信号可以包括涉及控制所述过程现场设备40及42的操作参数的过程级信息，而且可以包括涉及控制所述安全相关现场设备60及62的操作参数的安全级信息。在所述安全逻辑求解器50-56可以被编程来识别所述过程级信息及所述安全级信息的同时，所述安全逻辑求解器50-56能够在所述两个类别的信息之间进行区别，但将不能被编程或由过程级配置信息达成。在一个范例中，发送到所述过程控制系统设备的编程信息可以包括某些可以由所述安全系统设备识别、而且可以防止这些信号被用来编程所述安全系统设备的域或地址。

如果需要，所述安全逻辑求解器50-56可以使用与用于所述过程控制I/O卡28-36的硬件及软件设计相同或不同的硬件或软件设计。然而，为所述过程控制系统12中的设备及所述安全系统14中的设备采用备用技术可以减少或消除普通原因造成的硬件或软件故障。

在所述节点18及20的每个节点中使用所述背板76，使得所述安全逻辑求解器50及52及所述安全逻辑求解器54及56能够相互局部通信，以便协调由这些设备中的每个设备实施的安全功能、相互传送数据、或执行其他集成功能。另一方面，所述信息传播设备(MPD)70及72进行操作，使得所述安全系统14的布置在所述过程设备10的大不相同的位置的部分之间还能够彼此相互通信，以便在所述过程设备10的不同节点提供协调安全操作。明确地说，所述信息传播设备(MPD)70及72连同所述总线74使得与所述过程设备10的不同节点18及20有关的安全逻辑求解器能够彼此相互通信级联在一起，以允许根据一个指定优先权来级联所述过程设备10中的安全相关功能。可选择地，在所述过程设备10中的不同位置的两个或多个安全相关功能可以在不需要拉一专用线到所述过程设备10的单独区域或节点中的单独安全现场设备的情况下互锁或互连。换句话说，所述信息传播设备(MPD)70及72及所述总线74的使用使得配置工程师能够设计及配置实际上分布遍及所述过程设备10、但其不同组件通信互连的一个安全系统14，以使得所述全异的安全相关硬件能够按需要彼此相互通信。这个特征也提供所述安全系统14的可量测性，这是由于该特征使得能够在需要时或在添加新的过程控制节点到所述过程设备10时添加另外的安全逻辑求解器到所述安全系统14。

如以上所述，一个过程控制器可以负责在一个节点上的一组现场设备的操作，而所述节点可以包括一个过程控制器，该过程控制器连接到一个总线，该总线有多个I/O设备及连接到所述I/O设备的现场设备。所述I/O设备可以由所述工作站配置来执行只是涉及所述节点上的设备的过程控制功能。这些过程控制功能可以在其他过程控制器之外独立地执行。然而，在有些时候，受两个或多个过程控制器控制的两组或多组现场设备之间的协调和/或通信可能有必要。换句话说，在分离节点上的两个或多个过程控制器之间可能需要协调或通信。在有些系统中，两个或多个过程控制器(它们可以是布置在一个车间的不同区域或布置在控制不同设备的节点)之间的这种通信，可以通过将所述工作站作为所述两个或多个过程控制器之间的一个判优器来使用而完成。例如，在一个第一节点的一个第一控制器需要传送一个信号到一个第二节点上的一个第二过程控制器时，所述过程控制器可以编程来发送所述信号到一个工作站。所述工作站可以使用一个运行编程来处理所述信号，并确定其有必要传送所述信号或创建一个第二信号以指挥所述第二过程控制器。然而，这种间接的通信需要操作工作站级的额外编程。这种控制器间通信的方法可能依赖一个中央工作站来充当代理服务器或中央处理器，以便于两个过程控制器或节点之间的协作。此外，在分布式过程控制系统环境中，优势仰赖在远离一个中央计算机的条件下重新分配控制功能的能力，而这个判优方法可能削弱所述分布设计的好处。

可以通过将所述过程控制器编程为在不涉及将所述工作站作为判优器的情况下使用一个主要通信网络(比如将过程控制器连接到一个工作站的通信网络)，在所述过程控制器之间传送及接收信号，以提供一个选择性的控制器间通信的方法。实际上，这个方法可以通过减少所述工作站的角色来提供超越于使用一个工作站来处理所述控制器间通信的方法的优势。然而，所述主要通信线一般为过程控制器及工作站之间的通信设计及保留。例如，所述主要通信线可以在配置所述过程控制器及接收及监测过程控制活动以及安全控制信号方面扮演一定角色。其实，过程控制功能一般预定使用连接到现场设备的通信总线及I/O设备，在节点级执行及隔离。在不需要高级的控制器间通信的情况下，所述主要通信线可能被控制器间通信传输拥塞，造成监测及编程功能的退化。此外，这可能减弱所述设计的功能分配的优越性。

图2图解一个I/O控制器间卡或设备200，该I/O控制器间卡或设备200可以用于提供一个高效率的控制器间通信的方法。所述I/O控制器间卡200可以有一个用于存储通信命令的存储器202及一个控制器204以执行这些命令来提供控制器间功能。所述I/O控制器间卡200可以包括一个第一接口206，以便连接到一个通信总线208，该通信总线208与(例如)一个过程控制器进行通信。所述I/O控制器间卡200可以包括第二接口210，以便连接到一个通信链路212，该通信链路212与所述通信总线208分离。与处理一个总线76及现场设备40及42之间的通信的I/O卡28-36(图1)或处理与安全现场设备60-62进行的安全相关通信的I/O卡50-56不同，所述I/O控制器间卡200可以执行命令来处理来自所述通信总线208及所述通信链路212上的一个过程控制器的通信。在一个实施例中，所述I/O控制器间卡200可以编程为听取及接收一个过程控制器通过使用一个第一通信协议的所述总线208发送的第一过程控制器的信息。所述I/O控制器间卡200可以接着将所接收的信号转换，以便以一个不同的通信协议在所述通信链路212上传送转换信号。

图3描绘一个双I/O控制器间系统300，该双I/O控制器间系统300使用图2所示的两个I/O卡200来提供控制器间通信。I/O设备302及304可以操作来使得布置在所述过程设备10的大不相同位置或节点的所述过程控制系统12的部分还能够彼此相互通信，以便在所述过程设备10的不同节点(例如图1所示的18及20)提供协调过程控制功能。明确地说，所述I/O设备302及304连同一个通信链路306可以使得与一个过程设备的节点312及314有关的过程控制器308及310能够通信连接在一起，以使得所述过程设备中的控制器之间的过程相关功能能够集成。与所述信息传播设备(MPD)功能相同，所述过程设备中不同位置的两个或多个过程控制相关功能可以在不需要拉一专用线到所述过程设备的单独区域或节点中的单独安全现场设备的情况下互锁或互连。换句话说，所述I/O设备302及304及所述通信链路306的使用使得配置工程师能够设计及配置分布遍及所述过程设备10、但其不同组件通信互连的一个过程控制系统，以使得所述全异的过程控制相关硬件能够按需要彼此相互通信。这个特征也提供一个过程控制系统的可量测性，这是由于该特征使得能够在不需要物理地重新构造设备及过程控制器之间的连接的情况下，进行设计一个过程控制例程中的装置及设备的结合。

图4A所示的实施例描绘一个控制器间通信实施例，其中多个过程控制器401-403可以通过一组I/O控制器间设备415-417，互连到一个通信链路410。在这个配置中，通过添加一个单一I/O控制器间卡415及416到每个相关通信总线431-432，在一个第一节点422处的一个过程控制器401可以与在另一个节点424处的一个过程控制器402进行通信。此外，通过添加一个单一I/O控制器间卡417到其通信总线433，一个第三过程控制器403可以在相同的通信链路410上与所述第一过程控制器401及所述第二过程控制器402进行通信。在这种情况下，所述通信链路410可以代表运行一个Ethernet(以太网)、Token Ring(令牌环)、FDDI(光纤分布式数据接口)、ARCNET(弧网)、WiFi(无线保真)、串联或并联通信协议的一个通信网络。所述通信网络可以是在公司的内部网络，比如内联网，或可能使用互联网(使用适当安全协议)。

图4B图解一个选择性的实施例，其中一个过程控制器451可以使用多个I/O控制器间设备461-466，互连到多个过程控制器452-454。明确地说，在这个实施例中，一个单一的通信总线471-474可以使用多个I/O控制器间卡463及462。一个第一I/O控制器间卡462可以用于将一个第一过程控制器451通信连接到一个第二过程控制器453，而一个第二I/O控制器间卡463可以用于将所述第一过程控制器451连接到一个第三过程控制器452。在这个级联配置中，每个所述过程控制器451-454可以使用多个I/O卡461-466及多个通信链路481-483彼此相互通信，而不是如图4A图解的那样-每个总线一个单一I/O卡及一个单一通信链接或网络。在图4B所示的实施例中，所述I/O控制器间卡461-466之间的所述通信链路481-483可以是每次只是在两个节点之间提供信号的通信总线。在这个实施例中，一个过程控制器(比如454)可以仅仅通过将来自一个过程控制器(例如451)的信号传送到另一个过程控制器(例如452)来促进控制器间通信。

图5描绘图1所示的过程控制系统与图2所示的I/O桥系统的集成。在这个实施例中，信息传播设备(MPD)70及72进行操作，以便通过连接74来提供安全系统逻辑求解器50-52与54-56之间的通信，而I/O控制器间设备501及502进行操作，以便通过连接75来提供过程控制器24及26之间的控制器间通信。如图5所示，一个主要通信网络22可以用于在所述工作站16与所述过程控制器24及26之间传送配置数据及监测数据。虽然其可以在所述主要通信网络22上提供控制器间通信，但这可能是一个无效率的通信方法。明确地说，如以上所述，所述主要通信网络刻意为监测及配置功能而保留。这些功能对于过程控制配置及监测至关重要，而且以控制器间通信来侵占这个主要通信网络上的带宽可能负面地影响所述配置及监测功能。此外，控制器间通信可能因需要原始数据的处理及提取而耽搁通信。图5图解以现有基础设施来提供控制器间通信的一个系统。

在一个实施例中，所述信息传播设备(MPD)70及72可以操作以便传送与其连接的所述安全相关设备之间的数据流。在这个实施例中，所述控制器间设备501及502可以操作来传送原始I/O数据，以用于安全相关功能。例如，由所述安全系统逻辑求解器50-56产生的原始I/O数据可以经由控制器间设备501及502，通过所述通信链路503(与连接74分离)传送。在一个实施例中，所述安全系统逻辑求解器可以以与所述过程控制器24及26相同的方式，直接地寻址所述I/O控制器间设备501及502。在一个选择性的实施例中，来自所述安全系统逻辑求解器50-56的所述原始I/O数据可以首先由所述过程控制器24及26的其中之一采集和/或接收，而所述过程控制器24及26管理所述原始I/O数据通过所述I/O控制器间设备501及502、在不同节点上的设备之间的传送。

在一个实施例中，所述过程控制系统控制器可以编程来检测一个I/O控制器间通信卡或设备是否连接到所述控制器的总线。在这个实施例中，如果需要，所述过程控制器可以在没有检得控制器间I/O卡时使用所述主要通信网络来传送与另一个过程控制器之间的控制器间通信。可选择地，如果所述过程控制器检测到一个控制器间I/O卡，所述过程控制器可以使用所述I/O控制器间通信卡来处理所有控制器间通信。

图6图解可以由图1所示的配置例程80产生的一个屏幕显示83，该屏幕显示83描绘一个配置图像，其显示所述安全系统14(包括所述逻辑求解器及所述安全现场设备)与所述过程控制系统(包括控制器间I/O桥设备)集成。应该理解，图6所示的配置显示屏幕83图解所述配置应用程序80配置与所述过程设备10中的不同设备有关的软件的方式，以及图解配置工程师通过下载新配置软件到所述过程设备10中的所述设备(包括所述过程控制系统设备及所述安全系统设备)，使用所述配置应用程序80来创建或更改所述过程设备10的目前配置的方式。

如所述屏幕显示83中所图解，所述过程设备10包括一个物理网络部分84(该物理网络部分84用于显示所述过程设备10中的设备的物理互连)及一个安全网络部分85(该安全网络部分85用于配置安全系统设备)。所述物理网络部分84包括一个控制网络部分86，该控制网络部分86有一个控制器87(称为CTLR1)及一个控制器101(称为CTLR2)。所述控制器87(其可以是图1所示的控制器的其中之一)包括一组分配模块88(它们是存储在所述控制器87并由所述控制器87执行的控制模块)及一个I/O设备部分89(该I/O设备部分89连接到所述控制器87以达通信目的)。所述I/O设备部分89展开来图解通过图1所示的背板76的其中之一连接到所述控制器87(CTLR1)的所有所述的卡90。在这个范例中，I/O设备部分89包括过程控制I/O卡C01-C04、C06-C09及C14。这些卡中的每个卡可以展开来图解与连接到所述每个卡的不同现场设备(它们是图1所示的现场设备40及42中的单独的现场设备)有关的特性及其他信息。

为了图解所述物理连接，一个控制器间卡C15(CTLR2)列于CTLR1之下，以指示控制器87及控制器101(即CTLR2)之间的一个链接。在有多个控制器间卡用于连接到多个过程控制器的一个系统中，所述I/O设备部分89可以提供多个I/O控制器间卡条目。可选择地，在有一个单一控制器间卡连接到包括多个过程控制器的网络的一个系统中，所述控制器间卡可以由一个单一的卡C023(CTLR2、3、4、6等等)代表。同样地，两个安全系统卡C05(称为BLRlBMS)及C11(未配置)在控制器87之下图解。这些卡不能在这个部分展开(以缺少一个+号表示)，这是由于它们不能在所述控制网络中配置或不能由所述控制网络配置。然而，应该理解，通过使用所述屏幕83的所述控制网络部分86，对所述配置显示添加、删除或更改控制模块、I/O设备和/或现场设备，可以配置与所述过程控制系统12有关的所述设备。

所述安全系统12在所述屏幕83的所述安全网络部分85中被图解为包括三个安全逻辑求解器91-93，该三个逻辑求解器91-93的名称依次为BLRlBMS、BLR2BMS及LS1。同样地，如果需要，信息传播设备(MPD)(比如图1所示的信息传播设备(MPD)70及72)可以在所述安全网络部分85中图解。在所述屏幕83中，所述安全逻辑求解器91展开来图解其包括分配安全模块、一个或多个频道(它们连接到安全现场设备，比如图1所示的设备60及62)及安全参数。这些元件中的每个元件可以进一步在所述屏幕83的这个部分中显示、添加、删除或更改，从而配置所述安全系统14。明确地说，可以以类似于使用所述控制网络部分86来配置所述过程控制网络14的方式相似的方式，使用所述安全网络部分85来配置及更改所述安全系统14。其实，应该理解，可以使用美国5,838,563号专利(U.S.Patent No.5,838,563)中描述的配置过程控制系统的方法(所述专利据此转让予本专利的受让人并在此通过引用明确地被并入本专利)，创建控制或安全模块并将它们分配到这些不同的控制及安全系统中的每个控制及安全系统。

图7A图解用于一个现有基于工作站的控制器间通信系统的一个信号处理路径。在一个第一过程控制器上执行的一个控制模块可以产生对一个第二过程控制器有用的信息(流程块701)。所述控制模块可以接着产生一个第一控制器信号并将所述第一控制器信号传送到一个操作员工作站(流程块702)。所述第一控制器信号可以是一个过程参数测量信号、一个控制信号、一个告警和/或事件。所述操作员工作站可以编程为听取及接收所述第一控制器信号(流程块703)。所述操作员工作站编程可以确定由所述第一控制器信号代表的信息需要通知或命令一个第二控制器执行一个动作(流程块704)。所述操作员工作站可以接着传送一个第二信号到一个第二过程控制器(流程块705)，从而间接地提供控制器间通信。

如图7A所示，在所提权利要求的系统中，所述I/O控制器间卡可以用于减少对使用一个工作站来促进不同节点上的两个过程控制器之间的通信的需求。取代创建需要通过发送一个信号到一个工作站(流程块702)、编程一个工作站来处理所述信号(流程块703及704)及命令一个第二过程控制器(流程块705)等步骤来处理信号的一个控制模块，所述控制模块可以编程为以图7B所示的步骤来处理信号。

图7B图解，所述第一控制器可以产生对一个第二过程控制器有用的信息(流程块710)。然而，在图7B中，是由所述第一控制器确定需要指示一个第二过程来调整一个物理参数(流程块711)。所述第一控制器可以接着通过其控制模块被编程为仅仅发送一个信号到一个I/O控制器间设备(流程块712)。所述第一控制器不需要包括进一步涉及所述第二处理器的编程。由于过程控制器一般编程为在所述局部通信总线上与I/O设备进行通信，所以不需要额外的编程来连接两个或多个过程控制器。在一个实施例中，一个第一过程控制器可以仅仅发送一个信息到其总线上的一个I/O控制器间设备，而不需考虑所述控制器间设备怎样提供所述互连。所述控制器间设备也可以编程为使用其自有的存储器及处理器来在所述局部通信总线上听取及接收信息(流程块713)。在只有两个过程控制器由其各自的I/O控制器间设备连接的情况下，接收一个发送予其的信息的一个第一控制器间卡可以仅仅将所接收的信号转换，以便通过一个通信链路传送到一个第二I/O控制器，该第二I/O控制器接着将其从所述通信链路接收的所述信息转换为一个适合在一个第二通信总线上传送到一个第二过程控制器的协议。所述第二过程控制器可以接收来自其总线上的相应的I/O控制器间通信卡的信号并处理所述信号(流程块714)。照这样，一个过程控制系统可以在控制器级隔离过程控制功能，而不需要涉及一个中央计算机，比如一个操作员工作站。这使得能够实施一个真正的分布式处理结构。

在所述通信链路可以代表超过两个连接的I/O控制器间设备的一个网络的情况下，每个I/O设备可以提供附加的逻辑，以在所述通信网络上传送信息到一个适当的接收I/O设备。启动一个控制器间通信的过程控制器可以在所述信息或信号的主要部分包括地址信息，以识别适当的第二控制器和/或一个与所述第二控制器有关的相应的I/O控制器间设备。

在图5图解的系统的实施例中，主要通信网络22可以是一个以太网网络。所述通信总线76可以使用HART、4-20mA协议、Foundation Fieldbus协议、CAN、Profibus、AS-Interface协议等等的其中之一。过程控制器间的所述通信链路可以是类似所述通信总线76的一个通信总线。在所述总线上只是很少控制器间I/O设备连接时，这可能较适当。在控制器间I/O设备数目较多时，所述通信链路可以是一个第二通信网络，比如以太网网络。所述主要通信网络或通信链路可以使用Ethernet(以太网)、Token Ring(令牌环)、FDDI(光纤分布式数据接口)、ARCNET(弧网)、WiFi(无线保真)、串联或并联通信协议来操作。所述通信链路可以在一个对公众隔离的内联网或公共网络(比如互联网)上操作。所述主要通信网络及通信链路可以使用相同的协议来操作。同样地，所述通信总线可以使用相同类别的、使用相同协议或不同协议的物理连接。

谨此强调，以上描述的系统及方法对过程控制系统需要重配置的情况可能比较适合。使用上述方法及系统，控制器间通信的先进计划并非必须达到显著地更改工作站、过程控制器、I/O设备及它们的相关现场设备之间的现有连接的程度。