阅读说明：本技术 用于参数化现场设备的方法和可参数化的现场设备 (Method for parameterizing a field device and parameterizable field device ) 是由 马丁·奥古斯丁 马丁·博尔曼 迈克尔·克洛茨巴赫 马尔科·米拉诺维克 罗宾·普马尼克 于 2018-04-04 设计创作，主要内容包括：本发明涉及一种用于利用至少一个参数(SCUP)对现场设备(Fx)进行参数化的方法和用于执行该方法的现场设备。为了验证,由现场设备(Fx)基于参数(SCUP)和设备ID(SN)计算第一检查标识(P1),其存储在现场设备(Fx)的存储器(21)中并通过逻辑接口传输给工程系统(4)。另外,待验证的参数和设备ID经由相对于上述接口数据分集的逻辑接口传输到工程系统(4),并在那输出在显示器(6)上。为了确认正确的参数化,用户可以在工程系统(4)的操控单元(6)上输入读取的第一检查标识(P1),该第一检查标识然后通过数据分集的接口回传到现场设备(Fx)。为了验证参数,由现场设备将所接收到的检查标识(P1’)与计算出的检查标识(P1)进行比较。由此能够以有利的方式省去在现场设备外部计算检查标识,并且确保验证是关于正确的现场设备的。(The invention relates to a method for parameterizing a field device (Fx) using at least one parameter (SCUP) and to a field device for carrying out the method. For verification, a first test identification (P1) is calculated by the field device (Fx) on the basis of the parameters (SCUP) and the device ID (SN), stored in a memory (21) of the field device (Fx) and transmitted to the engineering system (4) via a logical interface. In addition, the parameters to be verified and the device ID are transmitted to the engineering system (4) via a logical interface with respect to the above-mentioned interface data diversity and output there on a display (6). In order to confirm the correct parameterization, the user can enter a first test identifier (P1) read on a control unit (6) of the engineering system (4), which is then transmitted back to the field device (Fx) via the data-diverse interface. To verify the parameters, the received check identifier (P1') is compared with the calculated check identifier (P1) by the field device. In this way, the calculation of the check identifier outside the field device can advantageously be dispensed with, and it can be ensured that the verification is with respect to the correct field device.)

用于参数化现场设备的方法和可参数化的现场设备

技术领域

本发明涉及一种用于参数化现场设备、特别是安全关键的现场设备的方法，该现场设备例如可以用作自动化技术设施或发电厂中的过程检测的现场设备，以及涉及一种相应的可参数化的现场设备。

背景技术

在自动化技术设施中，为了对过程进行控制而应用多种用于过程检测的现场设备。这些现场设备通常配备有操控单元，在该操控单元上，例如，可以通过操控者输入来执行现场设备的参数化以用于其在设施的自动化系统内的运行，或者可以在现场显示关于现场设备的过程值。通常称为传感器的测量变换器被用于获取过程变量，例如介质的温度、压力、流量、液位、密度或气体浓度。通过也称为致动器的控制环节，能够基于检测到的过程变量根据由上级控制器(例如可编程逻辑控制器或控制站)指定的策略来影响过程顺序。作为控制环节的实例，可以列举出控制阀、加热器或泵。

通常使用现场总线作为用于数据通信的网络，现场设备通过该网络连接到上级控制器，这种现场总线例如根据PROFIBUS、HART(高速可寻址远程传感器)或FF(基金会现场总线)协议工作。利用自动化系统实现的自动化应用的配置、调试和监控是通过控制系统来实现的。实例包括SCADA(监控和数据采集)、WinCC(Windows控制中心)和例如Simatic PCS 7的PLS(过程控制系统)。特别地，现场设备的规划、参数化、调试、诊断和维护可以例如使用工具Simatic PDM(过程设备管理器)来实现。

对于现场设备的参数化、特别是对于用于测量和监控安全关键的设施、系统或过程的安全关键系统的参数化，适用有特殊的安全要求。在要求符合IEC 61508的设施中、即执行安全功能的电子系统被要求有功能安全的设施中存在的问题是，现场设备为了调试和参数化通常仅具有不安全的接口，例如HART、PROFIBUS、FF或PROFINET。对于在本申请中被称为工程系统的现场设备和参数化单元之间的通信而言则只有不安全的通信信道可用，在不安全的通信信道上传输的数据可能是伪造的。如果没有符合功能安全要求的、例如要求等级SIL 3(安全完整性等级3)的额外技术措施，则无法在这样的环境中实施安全的远程参数化(其还包括验证、即检查参数的有效性以及可能的故障确认步骤)，因为已经不安全的通信环境可能导致参数的篡改。同样存在问题的可能是对同一现场设备的竞争访问(konkurrierende Zugriffe)，这可能发生在例如系统调试期间，当多个现场设备要由多个用户同时投入运行时。

从DE 10 2010 062 908 B4中已知，设备参数化的验证原则上也可以借助于现场设备处存在的显示器在现场执行。输入的参数显示在现场设备的显示屏上。用户可以基于其可用的参数列表检查各个参数的正确性，该参数列表包含对应于参数的参数ID(参数识别码)和参数值。如果显示的参数与在列表中给出的一致，用户例如可以以其签名在测试协议上确认，其所验证的参数值与预定的参数值一致，并且还检查了正确的安全关键现场设备。然而，该方法的缺点在于，复杂现场设备的参数列表通常包括大量设备参数，因此对各个参数的可视化检查与高成本和一定的误差敏感性相关联。此外，安全关键的现场设备通常难以进行现场操控。

为了避免这些缺点，在上述专利文献中描述了一种方法，其中为了验证现场设备的参数一方面通过现场设备基于存储的参数和设备ID(设备识别码)，另一方面通过可能远程布置的工程站根据对其可用的参数列表和设备ID通过预定的计算函数分别计算出检查标识。将获得的检查标识相互比较。该比较可以通过工程站或现场设备执行。

然而，这里的缺点在于，尽管现场设备的参数化与工程系统中存在的参数列表之间存在足够的一致性，甚至在工程系统和现场设备中使用的计算函数一致时也可能产生不同的检查标识。

发明内容

因此，本发明的目的是提供一种用于对现场设备进行参数化的方法和一种适于执行该方法的现场设备，其避免了上述缺点，并且还允许现场设备本身在不安全的网络上进行功能安全的远程参数化。

为了解决该问题，对现场设备进行参数化的新方法具有在权利要求1中给出的特征。在权利要求6中描述了一种现场设备，其适用于执行该方法。在从属权利要求中给出了本发明的进一步改进方案。

在权利要求中，为了清晰描述根据本发明的参数化，列出了第一、第二、第三和第四逻辑接口。然而应指出的是，第一接口和第二接口可以是同一物理和逻辑接口。同样，第三和第四接口可以是同一个。但是，重要的是，为了将参数从现场设备回写到工程系统而使用了相对于用于参数化现场设备的接口数据分集(Datendiversitaet)的逻辑接口。在该上下文中，数据分集意味着在传输中至少使用了不同的数据格式。例如，至少一个参数可以以最初在传输协议中定义的形式经由第一逻辑接口发送到现场设备，而将参数回传到工程系统则例如以与之前不同的串表示形式进行。通过所使用的数据分集满足了传输期间的在功能上的安全性要求。这同样适用于第一检查标识在现场设备与工程系统之间的两个传输方向。

第一检查标识的计算例如可以根据已经提到的DE 10 2010 062 908 B4中已知的方法之一来执行，其仅利用现场设备的装置来实现。这具有以下优点，即在工程系统中、即在现场设备外部不必实施用于计算检查标识的算法，因此避免了在不同制造商的工程系统上实施该方法而得出不同检查标识的风险。有利地，因此获得了如下的一种用于参数化现场设备的方法，其独立于所使用的工程系统的相应制造商地实现了参数的可靠功能验证。如果为了调试现场设备将电子设备描述文件加载到工程系统中，则这还具有以下优点，即它不必在工程系统中特别地实现计算检查标识或实现用于此目的的任何方法。这导致设备描述文件的有利的高互用性。

通过在现场设备中的主要地实施该方法，现场设备基本上强制遵守该方法流程。在创建设备描述文件时，可以集中精力设计工程系统上的用户掌控，在其中，要求用户在工程系统的操控单元上进行参数化和设备ID的可视化检查，并且在成功的检查之后输入由现场设备计算并显示在工程系统的操控单元上的检查标识以进行认可。还有利的是，在工程系统中不需要特殊的措施。

由于设备ID包含在检查标识的计算中，因此即使在保持现场设备安装在系统中时，该方法也允许对现场设备的参数化，因为通过设备ID确保的是，其是对正确参数的验证并且因此避免了一些问题，否则这些问题例如由于在现场总线线路上多次使用现场设备而可能潜在地出现。该方法能够有利地并不依赖于现有的自动化结构来使用并且例如在分层结构的情况下允许工程系统嵌入到任意层中。该方法还有利地允许在相应设施的正常运行期间对现场设备进行参数化，因为不会产生可能干扰设施的其他部分或影响其在功能上的安全性的信号。在暂时出现、例如由EMC干扰触发的安全错误时，能够通过远程布置的工程系统对现场设备进行参数化以及能够从远处启用现场设备的安全运行是很大的优点。

为了使在验证时在工程系统的显示器上的待由用户进行可视化检查的参数数量保持在合理的范围内，可以分成在此称为SCUP(安全关键用户参数)的用户参数和在此称为SCIP(安全关键安装参数)的安装参数。优选地，仅提供SCUP来验证其有效性。

特别是当调试大型设施时，随着各个步骤之间的暂停会耗费一定的时间成本。例如，必须建造带有泵等装置的储罐和管道。因此，在现场设备的安装、对现场设备的参数化、验证和功能测试之间经常存在时间延迟。因此，用户总是知道要在哪个点继续调试，特别有利的是，例如将完成的SCUP验证的状态存储在现场设备的存储器中，从而可以在此时继续调试。因此，调试的进度(甚至超过开/关循环)被有利地存储在设备中。

现场设备有利地具有写保护，其具有可由用户设定的PIN码(个人识别号码)。这在安全关键的现场设备中是一种常用的措施。为了在设备中存储的SCUP不被错误地更改，启用的写保护是转换到已完成验证状态并停留在这种状态中的先决条件。

在验证结束时，由现场设备根据其利用SCUP和SCIP进行的参数化来计算第二检查标识，并使其在工程系统的显示器上提供给用户使用，以便后者可存档第二检查标识并为了管控而对其在此期间的变化进行检验。如果在调试期间或在现场设备的后续运行期间对参数化有任何改变，则由现场设备计算的第二检查标识也发生改变。因此，即使超过通/断循环，用户也可以检查参数化的有效性。如果现场设备当前计算的第二检查标识不再与记录的那个相对应，则提醒用户检查参数化或重复参数化过程。有利地，可以确保参数化的完整性，并且在不允许改变参数化的情况下可以采取适当的措施。

在SCUP的验证结束之后，可以有利地进行在调试期间的功能检查以确定安装参数(称为SCIP)的有效性。如果用户确认功能测试过程成功，则SCIP的验证完成并且现场设备切换到安全模式。如果在功能测试期间检测到错误，则提醒用户中止该过程。于是现场设备变为非安全模式。功能测试的执行不是强制性的，也可以利用用户的相应操控输入而跳过该功能测试。但是不建议这样做，但对于某些应用程序可能是可接受的解决方案。

在本发明的一个特别有利的实施例中，现场设备具有状态自动机，该状态自动机至少在非安全运行、验证、安全运行和安全错误的状态之间进行区分。有利地，状态自动机在调试期间驱动和监视流程，即，它确保遵循预定的方法流程。只有在操控员输入或工程系统和现场设备之间的数据传输有效时，才进行在状态自动机中确定的状态转换。无效的输入或数据传输被拒绝或被忽略，并且现场设备不会变为例如安全模式。

附图说明

接下来，参考其中示出了本发明实施例的附图来更详细地解释本发明以及设计方案和优点。

图中示出：

图1示出了自动化系统的框图；

图2示出了安全关键现场设备的框图；

图3示出了根据图2的现场设备的存储器；以及

图4示出了现场设备中的自动机的状态图表。

具体实施方式

图1示出了自动化系统1，其被用在用于控制过程的(未进一步示出的)自动化技术设施中。在自动化系统1中，控制系统2(在此为SIMATIC PCS 7)、调试工具3(在此为SIMATICPDM)、工程站4和现场设备F1、F2、...Fn通过网络5互连以进行数据通信。网络5可以是任何网络，例如利用PROFIBUS、PROFINET、HART或FF协议的工业网络。然而非工业网络、例如WAN(广域网)、Internet或任何无线网络也是合适的。相比于用于交换用于在功能上安全的控制/调节运行的过程值的连接，不必在功能安全方面对网络5进行要求。调试工具3和工程站4用于参数化安全关键的现场设备F1、F2、...Fn。工程站4配备有操控单元6，借助于该操控单元，用户7可以实施在执行用于参数化现场设备的方法时所需的各种操控输入。操控单元6同时用作输出数据的显示器，以在执行该方法时让用户进行可视化检查。

当然，控制系统2，调试工具3和工程站4可以由任何数量的计算单元实现，这例如是与所示实施例通过仅一个在其上集合了所提到的三个组件的功能的计算单元实现不同的。

现场设备F1、F2、...Fn每个都提供有安全手册，该手册描述了执行该方法时的确切过程。此外，相应地提供与现场设备F1、F2、...Fn匹配的设备描述文件，它们指定了工程系统4中的方法流程并操控接口，从而提供对于安全手册中所描述的对话来说必要的数据。

当然，替选于以EDDL(电子设备描述语言)编写的设备描述文件，该方法在工程站4侧可以得到诸如DTM(设备类型管理器)或FDI(现场设备集成)之类的装置/方法的支持。

图2用现场设备Fx的实例示出了原理性的现场设备结构，其可以是现场设备F1、F2、...Fn中的任何一个并且满足功能安全性的要求。现场设备Fx设有两个逻辑接口S1和S2，二者设计用于通过自动化网络5进行通信。接口S2相对于接口S1是数据分集的，也就是说，在所示实施例中，对于两个接口S1和S2，使用了分开的地址空间和数据分集的数据格式来传输数据。此外，现场设备Fx还具有计算单元20、存储器21和操控单元22，该操控单元配备有键盘和用于由用户23进行现场操控的显示器。在纯远程操控中，可以省略操控单元22。

图3示出了现场设备Fx(图2)的存储器21的内容的摘录。作为固件的一部分存储有用于实现状态自动机ZA的具有相应状态Z的编码的程序部段。其它存储器区域用于存储用户参数SCUP，该用户参数可以通过操控单元(22)输入到现场设备(Fx)中、或者经由第一逻辑接口(S1)发送到现场设备(Fx)，并且为了对其验证而执行用户的可视化检查。同样存储在存储器21中的序列号SN被用于明确地识别现场设备Fx(图2)。另外，在存储器21中存储有在本申请中也被称为验证密钥的第一检查标识P1和在下文中也称为指纹的第二检查标识P2。在指纹中还可以包含与安全无关的其他参数。因此，它也可以用作配置的明确表征。两个检查指示符P1和P2的计算在现场设备内部通过计算单元20(图2)基于用户参数SCUP和序列号SN或基于用户参数SCUP、安装参数SCIP和序列号SN执行。为此，相应地使用CRC(CyclicRedundancy Check，循环冗余校验)功能。如在开头提到的DE 10 2010 062 908 B4中已经描述的那样，可替选地，当然也可以使用其他已知方法来计算检查标识。另一种可能性是散列、简单校验和、消息完整性代码(MIC)或消息认证码(MAC)。此列举并不是全部。在选择方法时重要的是，在计算检查标识时没有其他配置得出相同结果的可能性很小。另外，在存储器21中存储有在执行该方法时通过现场设备接收的第一校验标记P1`。

图4示出了在现场设备Fx(图2)中实现的状态自动机ZA的简化视图。状态自动机ZA确保在现场设备的调试期间遵循给定的方法流程。示出的状态自动机ZA的部分包括非安全运行40、对用户参数SCUP的验证41A，对安装参数SCIP和安全运行42的验证41B这些状态。在执行状态转换之前，检查每个现场设备与状态转换的请求的正确对应关系。为此目的，状态自动机ZA使用现场设备的序列号SN(图3)。如果序列号不匹配，则放弃该请求。通过使用状态自动机ZA、内部计算的检查标识P1和/或P2以及作为设备ID的单独的序列号，消除偏离指定流程、伪造参数或错误地配属设备的情况。另外，在相应的现场设备中可以执行对所选的参数化的合理性检查。与安全运行冲突的参数阻止从非安全运行40转换到验证41A、41B。在操控单元22(图2)或操控单元6(图1)的显示器上可以为用户显示与安全运行相矛盾的参数，以便用户可以通过相适应地改变参数来解决这个问题。

在进入验证状态之前，已经存在例如通过SIMATIC PDM经由接口S1(图2)来执行的对现场设备的完整参数化。对于每个现场设备，存在唯一的识别特征，即存储在现场设备中的设备ID，并且在每个输入对话期间在工程系统的操控单元6(图1)的显示器上将其输出以供用户管控。

该显示例如可能如下所示：

标签：KV1474-F30

产品名称：SIRANS P 410

序列号：12345678-12345。

为此，序列号例如能够经由工程系统的接口S1(图2)读取。此外，该识别特征也安置在设备的壳体上。指示用户记录识别特征并在每个输入对话期间检查在对话中提及的正确现场设备。

存在对设备参数的写保护，从而可以排除未授权用户对参数的改变或由于设备的错误寻址而导致的参数变化。只有在对参数SCUP和SCIP的写保护启用的情况下，才能从安全运行40转换到验证41A、41B。对于验证过程，部分地停用对用户的写保护，使得仅可以进行对于改变根据图4的现场设备的状态所需的用户输入。

从状态40、即非安全运行出发，能够依据用户的期望根据路径43直接转移到状态42、即安全运行中。用户对其设施的功能上安全性负责并因此负责是否应该执行验证。仅当可以确保在现场设备的交付时已经存在正确的参数化时，才应执行该路径43。因此通常不推荐该路径，只能在现场设备上进行现场操控。

相对地，推荐路径44，以转换到状态41A中，在该状态中首先执行对用户参数SCUP的验证。

如果在现场设备存储器中存储了用户参数SCUP已被验证的事实，则不再需要重新进行验证，并且可以跳过。为此目的，成功执行的用户参数SCUP验证的状态被存储在现场设备中，从而在对用户参数SCUP验证的最后完成的步骤之后，在验证中断的情况下例如通过开/关循环的方式实现重新进入。

如果之前还没有进行对用户参数SCUP的验证，则为了执行对用户参数SCUP的验证，通过计算单元20基于经由接口Sl(图2)获得的并存储在存储器21(图3)中的用户参数SCUP和设备ID来计算出也称为验证密钥的第一检查标识P1(图3)并存储在存储器21(图3)中。通过与所述示例中的第一逻辑接口S1相同的第二逻辑接口，将验证密钥P1作为字符串发送到工程站4(图1)。此外，用户参数SCUP经由第三逻辑接口以单个的或多个字符串的形式发送给工程系统4(图1)，该第三逻辑接口在本申请中被设计为与逻辑接口S2相同并相对于第一逻辑接口S1数据分集。利用字符串格式的所述传输仅仅是数据传输的分集的实例。但也可以想到以整数代替浮点数来传输，或相应传输的数据的位反表示。

在第一逻辑接口S1和第三逻辑接口S2之间的数据分集如下地实现，即在经由第三逻辑接口S2访问时使用附加地址空间，并且数据表示在通过第一逻辑接口S1以在传输协议中最初定义的形式来传输参数时进行，例如通过SIMATIC PDM进行参数化，而在通过第三逻辑接口S2回传时使用字符串表示。由于设备ID包括在验证密钥P1的计算中，因此即使不同现场设备的参数化相同，验证密钥对于每个现场设备也是唯一的。例如，在冗余的1oo2(1out of 2)架构的情况下(使用了两个相同类型的现场设备)这是有利的。

在工程系统4(图1)的操控单元6的显示器上，除了上述设备ID的输出之外，还输出了由现场设备发送的用户参数SCUP和验证密钥，并且在仅具有一个用户参数“测量范围”的实例中，表示如下：

测量范围：100mbar

验证密钥：56789。

为了验证，用户现在在工程系统4(图1)的操控单元6处执行对显示的用户参数SCUP和设备ID的正确性的检验，并且为了确认其正确性而在操控单元6的显示装置上所提供的输入区域中输入验证密钥的显示值。在正确输入验证密钥后，用户可以通过按下“开始功能测试”(英语：Start Function Test)按钮或“跳过功能测试”(英语：Skip FunctionTest)按钮来确认所显示的值的正确性，并且同时选择，是应当经由路径45从状态41A转换到执行功能测试的状态41B，还是经由路径46直接转换到状态42、即安全运行。当然，除了上述的两个按钮，还提供有“取消”(英文：cancel)按钮。如果参数化有错误，则用户可以在此时取消验证。然后现场设备从状态41A根据路径47切换到非安全运行的状态40。

当认可了显示值的正确性时，输入的验证密钥经由第四逻辑接口发送到现场设备，该第四逻辑接口实施为相对于第二逻辑接口S2是数据分集的，并且在现场设备处输入的验证密钥作为接收的第一检查标识P1`存储在存储器21中。数据分集在所描述的实施例中如下地实现，即验证密钥回传到现场设备以纯数值的方式进行，而将在现场设备中计算的验证密钥传输到工程站时使用字符串格式。当然，所需的数据分集能够可替换地使用用于两个传输方向的交换数据格式来实现。可以使用相同的第二接口S2作为第四接口，该第二接口已经用于实现第三逻辑接口。

仅在现场设备中检测到所接收的验证密钥P1`与先前由现场设备计算的验证密钥P1匹配的情况下才进行到状态41B或42的转换。另外，如果没有使用第三逻辑接口S2进行从现场设备到工程系统的用户参数SCUP的回传，则现场设备拒绝验证密钥P1`。

状态转换引起存储在存储器21中的状态代码Z(图3)值的改变。因此，成功认可的状态、即在现场设备的参数化中实现的进展，即使超过通/断循环也被存储到现场设备中。通过现场设备，第二检查标识P2(图3)，即所谓的指纹被计算并存储在存储器21中。指纹P2的计算基于完整的参数化，即用户参数SCUP和安装参数SCIP以及现场设备的设备ID。该指纹P2一方面可以在现场设备Fx(图2)的操控单元22的显示器上由用户23调取，并且还例如通过逻辑接口S1传送到工程系统4(图1)，以使得指纹P2的值在操控单元6(图1)的远程布置的显示器上输出。指纹的显示，例如在一行中：

指纹：34512

再次与前面已经描述过的设备ID的显示一起实现，从而可以实现各个现场设备的明确的对应关系。用户可以在其文档中记录现场设备的指纹P2的相应值，以便其可以基于指纹P2识别参数化的有效性和开/关循环。这确保了即使在使用寿命期间参数化的完整性并且尽管可能竞争地访问现场设备的参数化也确保了完整性。如果当前从指纹P2的现场装置计算出的值与所记录的值不再匹配，那么识别出现场设备的参数化的变化，并且用户可以检查该参数化，并且在必要时执行重新参数化以及验证。

虽然可以跳过对应于图4中的路径46的功能测试，但不推荐。为了确保在功能上的安全性，用户应选择路径45以进行参数验证并在现场设备的状态41B中执行功能测试。在成功完成功能测试之后，还检查安装参数SCIP的正确性，并且可以根据路径48转换到安全运行的状态42。为了启用安全运行，用户按下“功能测试通过并且指纹有效”按钮(英语：Function Test Passed and Fingerprint Valid)。相对地，如果用户在功能测试期间检测到错误，则可以按下“功能测试失败”(英语：Functional Commissioning Test Failed)按钮并且现场设备根据路径49变换到状态40、即到非安全运行。

在现场设备成功的参数化之后，由状态自动机ZA(图3)控制的推荐方法针对从对应于图4中的状态40的非安全运行转换到安全运行状态42需要两个步骤：

第一步：借助于包括设备ID的验证密钥P1检查正确的参数化及其验证；并且

第二步：利用重新显示设备ID来确认成功的功能测试，以确保输入正确的现场设备。

对于从安全运行到非安全运行的转换，状态自动机再次需要两个步骤，(而为了清楚起见未在乎图4中示出这两个步骤)：

第一步：用户请求所需的转换并确认设备ID；并且

第二步：用户再次确认对所需状态转换的请求。

只有这样，现场设备的状态才会变为非安全运行。如果在第二步中所需的确认输入未在指定的时间段内实现，则现场设备返回安全运行状态。

为了清楚起见，图4中未示出诸如安全错误状态的其他状态。用于确认在安全运行中检测到的安全性故障的过程提醒用户首先检查设备ID。只有在非安全运行中确认后，才能更改已识别的现场设备。因此，现场设备保持在安全性错误状态，直到用户发送包含设备ID作为令牌的用于认可的命令。因此，在该方法的一个有利改进方案中还可以留下故障状态，并且在重新确认之后，如果没有检测到永久性故障则切换回安全运行而不必对设备进行现场操控。