CN104169816B - 用于控制器转变的方法和系统 - Google Patents

Abstract

描述了一种用于控制从第一控制器（101）到第二控制器（103）的转变的方法，所述方法包括：将第一控制器和第二控制器通信地耦合（143，145），使得将由一个控制器（101）接收的至少一个静态数字输入信号（110）相互提供到各个其他控制器（103），并且使得将由一个控制器（101）生成的至少一个静态数字输出信号（118）相互提供到各个其他控制器（103）；将至少一个输出线（124）从第一控制器（101）断开连接；将至少一个输出线（126）连接到第二控制器（103）；将至少一个输出信号（147）供应到至少一个输出线（126），其中通过向由第一控制器（101）生成的至少一个第一输出信号（118）和由第二控制器（103）生成的至少一个第二输出信号（136）执行逻辑或，特别是使用或门来获得至少一个输出信号（147），所述方法进一步包括在将至少一个输出线（124）从第一控制器（101）断开连接之前：如果第一输出信号（118）是逻辑高信号或如果在正常操作期间输出线处在逻辑高状态，则由外部电压源向输出线供应逻辑高信号。

Description

用于控制器转变的方法和系统

技术领域

本发明涉及用于控制在两个控制器之间的转变的方法，并且涉及用于控制在两个控制器之间的转变的系统，其中特别地提供控制器用于特别是在石油勘探期间控制用于燃气和/或火灾紧急设备的操作的致动器。

背景技术

针对石油和/或燃气的生产，特别是使用离岸石油或燃气平台的石油和/或燃气的生产，提供设备用于在诸如火灾紧急情况或者燃气泄出紧急情况的紧急的情况下采取措施可能是必需的。特别地，可以需要操作诸如泵的一个或多个致动器以便对抗燃气和/或火灾紧急情况。

可以由接收诸如从一个或多个传感器导出或者从维护人员的人工输入导出的输入信号的一个或多个输入信号的控制器控制紧急设备。

可能不时地需要以新的（一个或多个）控制器替换（一个或多个）控制器。由此，将连接到每个现有的控制器的多个输入线切换到每个新控制器的多个相应的输入端子可能是必要的。进一步地，可能需要将当前连接到现有的控制器的多个输出端子的多个输出线连接到新控制器的多个输出端子。在现有的控制器和新控制器之间的这样的切换或转变期间，必须确保紧急系统的适当操作。特别地，可以不可能关闭紧急系统，因为关闭紧急系统可能涉及大量成本。特别地，在以新的控制系统替换现有的旧的控制系统期间，特别是针对制炼厂（process plant），避免归因于控制器的关闭以及归因于控制和安全系统的完整性的损失的生产损失可能是必须的。进一步地，避免中央控制室操作者人员的压力，维持计划的过程的集中和安全可能是必须的。

在常规系统中，在以新过程控制系统替换现有的过程控制系统期间，通常需要关闭系统。

可以存在针对用于在两个控制器之间的控制的转变的方法和系统的需要，其中可以防止在从现有的旧的控制器到新的控制器的转换或转变期间的控制系统的关闭。

进一步地，可以存在针对这样的方法和系统的需要，其中可以减少对控制室人员的干扰。进一步地，可以存在针对这样的方法和系统的需要，其中可以在不需要昂贵的硬件改变或完全不需要硬件改变的情况下利用现在的设备。

发明内容

可以由根据独立权利要求的主题满足该需要。由从属权利要求描述本发明的有利的实施例。

根据本发明的任何实施例，提供了一种用于控制从第一控制器向第二控制器转变的方法，所述方法包括：将第一控制器和第二控制器通信地耦合，使得将由一个控制器接收的至少一个静态数字输入信号相互地提供到各个其他控制器，并且使得将由一个控制器生成的至少一个静态数字输出信号相互地提供到各个其他控制器；将至少一个输出线从第一控制器断开连接；将至少一个输出线连接到第二控制器；将至少一个输出信号供应到至少一个输出线，其中通过向由第一控制器生成的至少一个第一输出信号和由第二控制器生成的至少一个第二输出信号执行逻辑或（OR）来获得至少一个输出信号，其中用于转变的方法进一步包括，在将至少一个输出线从第一控制器断开连接之前：如果第一输出信号是逻辑高信号或者如果在正常操作期间输出线处在逻辑高状态，则由外部电压源向至少一个输出线供应逻辑高信号（诸如24 V的信号）。

用于从第一控制器到第二控制器的控制的转变的方法可以包括电执行的步骤和通过物理地移动或操纵（一个或多个）输出线和/或（一个或多个）输入线执行的步骤。

第一控制器也可以被称为现有的控制器，并且第二控制器也可以被称为新的控制器，其意图替换现有的控制器。第一控制器可以包括至少一个（特别是多个）（一个或多个）第一输入端子，至少一个（特别是多个）（一个或多个）第一输入线可以是可连接到所述（一个或多个）第一输入端子，并且可以在方法的开始时连接。类似地，第二控制器可以包括至少一个（一个或多个）输入线可连接到的（特别是相同数量的）（一个或多个）第二输入端子。

第一和第二控制器的输入端子可以适于接收特别是数字逻辑静态信号，诸如例如指示逻辑高状态的24 V的信号或者指示逻辑低信号的0 V的信号，或者反之亦然。通常，在多个各个输入端子处接收的一个或多个数字输入信号可以是静态的，即可以随诸如在一个小时和三个月之间、特别是在一天和三个月之间的延伸的时间跨度恒定。特别地，输入信号可以仅在诸如燃气泄出或火灾情况的紧急的情况下改变。

相似地，第一控制器以及还有第二控制器可以包括至少一个（特别是多个）（一个或多个）各个输出端子，其可以适于输出（一个或多个）静态数字信号，诸如指示数字或逻辑高状态的24 V的信号和表示数字或逻辑低状态的0 V的信号。

第一控制器和第二控制器被通信地耦合，使得它们的（一个或多个）输入和输出信号（组合地称为I/O状态）被相互交换或者在两者方向上传送。由此，可以利用现有的总线系统，并且进一步地，被加载到第一控制器和第二控制器中的特定软件可以被利用并且可以有助于相互交换。特别地，可以经由可以将I/O状态从第一控制器传送到第二控制器并且反之亦然的现有网络设立在现有的（第一）和新的（第二）控制器之间的通信。

最初，至少一个输出线可以连接到第一控制器的至少一个第一输入端子。然后，（特别是由维护人员，特别是人类）可以将至少一个输出线从第一控制器的至少一个输出端子物理地断开连接。在将输出线从第一控制器断开连接之后，第一控制器可能不能将控制信号适当地供应到连接在输出线的另一端处的各个致动器。因此，在断开输出线和将输出线连接到第二控制器之间的时间跨度期间，可以由外部电压源供应支持电压，以便维持连接到输出线的另一端的致动器的适当控制。

在输出线或输入线的转换期间，可以在第一控制器处维持控制，照常或者经由将第一控制器和第二控制器通信地耦合的通信总线接收I/O信号。如果输出线（和/或输入线）已经被移动（或连接）到第二控制器，则将输出状态发送到第二控制器并且“或”门执行与第二控制器的输出的或操作。特别地，完全的状态和控制针对全部系统可用，除在传送中的一个信号线之外，特别是除从第一控制器断开连接并且然后连接到第二控制器的该信号线之外。

特别地，在传送中的（从第一控制器断开连接并且然后连接到第二控制器的）输出信号和/或输入信号在传送期间可以被阻塞/抑制，并且进一步地，在被从第二控制器释放并且被在应用程序中使用或被用于控制致动器之前，可以在第二控制器中检验一个信号和传送。

可以在除最后的暂时总线连接硬件之外没有暂时硬件改变的情况下执行所述方法。替代地，通过将通信软件加载到第一控制器和第二控制器中并且运行该软件，可以实现将第一控制器和第二控制器通信地耦合，而用于控制紧急设备的控制系统在连续的操作中。

通过在由第一控制器生成的第一输出信号和由第二控制器生成的至少一个第二输出信号上执行逻辑或来获得至少一个输出信号。因此，如果第一输出信号是高的或者第二输出是高的，或者如果第一输出信号是高的并且第二输出是低的，或者如果第一输出信号是低的并且第二输出是高的，则供应到至少一个输出线的输出信号是高的。

由此，特别当需要将多个输出线从第一控制器连接或转移或切换到第二控制器时，可以将这些多个输出线从第一控制器逐一地切换或移动到第二控制器。由此，特别地，在将第一输出信号和/或第二输出信号实际上释放用于传送到现有的控制器或第一控制器之前，可以（特别是由使用控制屏幕的控制人员）检验第一输出信号和/或第二输出信号。当已经检验或检查由第二控制器生成的第二控制信号有效时，可以移除在第二控制器中的阻塞。在已经移动所有输出线和所有输入线之后，即在连接到第二控制器并且在第二控制器处已经移除所有输出信号和输入信号的所有阻塞之后，可以在没有中断控制系统的操作的情况下移除第一控制器。

因此，在从旧的现有的过程控制器到新的过程控制器的转换或转变期间，可以不需要紧急保护过程的关闭。可以在没有控制器或者过程的任何关闭的情况下加载和移除必需的通信软件。因此，在转换期间可以确保过程控制器功能的完全的完整性。特别地，方法仅包括或需要有限的暂时硬件改变，或者甚至完全不包括或需要硬件改变。进一步地，控制室操作员可以仅被小程度地干扰。特别地，在转换期间可以由本地人员控制在转换中的I/O的激活。特别地，在完成转换之后，可以从第一控制器并且也从第二控制器移除用于I/O状态交换的通信软件。

通过由外部电压源将逻辑高信号（诸如24 V的信号）供应到至少一个输出线，而且在至少一个输出线从第一控制器到第二控制器的转换期间，当将输出线从第一控制器断开连接并且也从第二控制器断开连接时，可以适当操作连接到输出线的另一端的致动器。特别地，如果第一输出信号是逻辑低的值或信号或者如果在正常操作（例如在非紧急情况中）期间输出线处在逻辑低电平或低状态，则可以不需要向输出线供应逻辑高信号。

根据本发明的实施例，方法进一步包括，特别地，在将至少一个输出线从第一控制器断开连接之前：阻塞第一输出信号的输出（特别是使用包括在第一控制器中的布置在第一控制器的内部第一输出端口和在第一控制器中的第一输出或门之间的阻塞元件）和/或阻塞第二输出信号的输出。由此，可以避免到第一控制器和/或第二控制器的损害，特别是在当外部电压源连接到至少一个输出线时的情况下。

根据本发明的实施例，用于控制的转变的方法进一步包括，特别地，在将至少一个输出线连接到第二控制器之后：移除阻塞第二输出信号的输出和/或移除阻塞第一输出信号的输出。特别地，在将至少一个输出线连接到第二控制器时或者甚至略微之前，也可以将外部电压源从至少一个输出线断开连接。由此，连接到输出线的另一端的致动器或应用程序可以被适当地供应有如由第一控制器和/或第二控制器生成的输出信号。

根据本发明的实施例，将至少一个输出线连接到第二控制器包括将至少一个输出线连接到第二控制器的至少一个第二输出端子，所述方法进一步包括：监视至少一个输出线到第二控制器的至少一个第二输出端子的连接是否正确。

特别地，可以监视是否已经将至少一个第二输出端子中的正确的一个与至少一个输出线连接。因此，特别地，控制人员可以检查连接是否正确。由此，可以关于安全和/或可靠性改进所述方法。

根据本发明的实施例，将至少一个输出线的所有的输出线（诸如10-1000个输出线，特别是在100个和500个之间的输出线）的连接从第一控制器逐一切换到第二控制器（使得在该转变时间期间，将输出线中的仅一个从第一控制器断开连接并且然后连接到第二控制器，而不接触所有其他输出线）。由此，特别地，可以逐一监视切换的输出线的适当连接。

根据本发明的实施例，方法进一步包括：将至少一个输入线从第一控制器断开连接；将至少一个输入线连接到第二控制器；将由至少一个输入线运送的至少一个输入信号供应到第一控制器。

因此，方法也使能至少一个输入线（特别是多个输入线，诸如在10个和1000个之间的输入线）从第一控制器到第二控制器的转变。特别地，首先可以将所有输入线从第一控制器切换到第二控制器，并且然后可以将所有输出线从第一控制器切换到第二控制器。替代地，首先可以将所有输出线从第一控制器切换到第二控制器，并且然后可以将所有输入线从第一控制器切换到第二控制器。更进一步地，首先可以将输入线的子集从第一控制器切换到第二控制器，并且然后可以将输出线的子集从第一控制器切换到第二控制器。

虽然至少一个输出线不再经由第一控制器的第一输入端子连接到第一控制器，但是通过使用将第一控制器和第二控制器通信地耦合的通信软件，第一控制器仍然被供应有由至少一个输入线运送的至少一个输入信号。因此，在执行方法的任何时间处，第一控制器以及第二控制器可以具有可用的至少一个输入信号和至少一个输出信号两者，除在当至少一个输入线既不连接到第一控制器也不连接到第二控制器时或者当至少一个输出线既不连接到第一控制器也不连接到第二控制器时的时间跨度期间之外。

根据本发明的实施例，用于控制的转变的方法进一步包括，特别地，在将至少一个输入线从第一控制器断开连接之前：阻塞在第一控制器处的输入信号（使得特别地，供应到第一控制器的第一输入端子的输入信号不被传送到第一控制器的至少一个第一内部输入端口）；和/或阻塞在第二控制器处的输入信号（使得特别地，在第二控制器的至少一个第二输入端子处提供的输入信号不被供应或传送到第二控制器的第二内部输入端口）。由此，在至少一个输入线的转换期间，可以减少或者甚至避免对控制器的部件的损害。

根据本发明的实施例，用于控制的转变的方法进一步包括，特别地，在将至少一个输入线连接到第二控制器之后：移除第一控制器的输入信号阻塞；和/或移除第二控制器的输入信号阻塞。因此，第一控制器和/或第二控制器然后被提供有实际上递送到第一控制器的第一输入端子或者递送到第二控制器的第二输入端子的输入信号。由此，可以实际上基于真实的输入信号执行第一控制器和第二控制器的控制功能。

输入信号可以例如表示例如感测燃气泄出或火灾的传感器信号。

根据本发明的实施例，将至少一个输入线连接到第二控制器包括将至少一个输入线连接到第二控制器的至少一个第二输入端子，方法进一步包括：监视至少一个输入线到第二控制器的至少一个第二输入端子的连接是否正确。

特别地，将至少一个输入线从第一控制器断开连接可以包括将至少一个输入线从至少一个第一输入端子断开连接。

进一步地，可以检查至少一个第一输入端子是否对应于输入线已经连接到的至少一个第二输入端子。如果确定至少一个输入线到第二控制器的至少一个第二输入端子的连接不对应于第一控制器的至少一个第一输入端子，则可以输出警报并且可以将至少一个输入线从有故障的第二输入端子断开连接，并且可以代之以连接到可以继而由另一监视步骤确认的第二控制器的另一适当的第二输入端子。

应理解针对根据本发明的实施例的用于从第一控制器到第二控制器的控制的转变的方法单独或组合地公开、描述、解释或提供的特征也可以针对根据本发明的实施例的用于在两个控制器之间的控制的转变的系统应用、提供或使用，并且反之亦然。

根据本发明的实施例，提供了用于在两个控制器之间的控制的转变的系统，所述系统包括：第一控制器，其具有：至少一个第一输入端子、至少一个第一内部输入端口、在第一输入端子和第一内部输入端口之间的至少一个第一输入或门、至少一个第一输出端子、至少一个第一内部输出端口、在第一内部输出端口和第一输出端子之间的至少一个第一输出或门；第二控制器，其具有：至少一个第二输入端子、至少一个第二内部输入端口、在第二输入端子和第二内部输入端口之间的至少一个第二输入或门、至少一个第二输出端子、至少一个第二内部输出端口、在第二内部输出端口和第二输出端子之间的至少一个第二输出或门；以及用于将第一控制器和第二控制器通信地耦合的通信系统，使得将在第二控制器的第二输入端子处接收的输入信号供应到第一输入或门，使得将在第二控制器的第二输出端子处生成的输出信号供应到第一输出或门，使得将在第一控制器的第一输入端子处接收的输入信号供应到第二输入或门，使得将在第一控制器的第一输出端子处生成的输出信号供应到第二输出或门。

第一输入端子可以表示至少一个输入线可以连接到的物理输入端子。第一内部输入端口可以表示可以通过提供在之间的第一输入或门来间接地连接到第一输入端子的在第一控制器之内的内部软件逻辑。进一步地，可以将I/O卡布置在第一输入端子和第一内部输入端口之间。进一步地，可以将阻塞元件提供在第一输入端子和第一内部输入端口之间。

进一步地，第一输出端子可以表示至少一个输出线可以连接到的物理端子。进一步地，第一内部输出端口可以表示在第一控制器之内的内部内部软件逻辑，在此处第一控制器基于在至少一个内部输入端口中的一个或多个处接收的信号生成控制信号。进一步地，在第一输出端子和第一内部输出端口之间可以布置I/O卡。I/O卡可以提供某种数据转换或者数据编码或解码。第一控制器可以适于在根据本发明的实施例的用于从第一控制器到第二控制器的控制的转变的方法中使用。

因此，第一控制器可以特别地适于将其I/O状态与第二控制器交换。

可以在以第二控制器替换第一控制器期间操作根据该实施例的系统，同时系统处于连续的操作中。

根据本发明的实施例，用于在两个控制器之间的控制的转变的系统进一步包括布置在第一输入端子和第一输入或门之间的至少一个第一可控制的输入阻塞用于阻塞在第一输入端子处接收的输入信号；布置在第一内部输出端口和第一输出或门之间的至少一个第一可控制的输出阻塞用于阻塞在第一内部输出端口处生成的输出信号；被布置在第二输入端子和第二输入或门之间的至少一个第二可控制的输入阻塞用于阻塞在第二输入端子处接收的输入信号；被布置在第二内部输出端口和第二输出或门之间的至少一个第二可控制的输出阻塞用于阻塞在第二内部输出端口处生成的输出信号。

第一可控制的输入阻塞可以避免被供应到第一输入端子的输入信号可能被传送到第一内部输入端口，用于避免第一控制器的损害。进一步地，第一可控制的输出阻塞可以避免当输出线从第一控制器断开连接时或者当在第一输出端子处的电势在未定义的条件中时的第一控制器的损害。相同的内容可以应用于第二控制器的第二可控制的输入阻塞和第二可控制的输出阻塞。

由此，可以避免控制器的损害，因此确保系统的可靠操作。

根据本发明的实施例，在加载到第一控制器和第二控制器中的软件中实施通信系统。由此，可以不需要硬件替换或附加以便提供系统并且执行控制的转变的方法。

根据本发明的实施例，用于在两个控制器之间的控制的转变的系统被适配为用于控制用于燃气和/或火灾紧急设备的操作的致动器的保护系统。

特别地，可以利用燃气和/或火灾紧急设备来管理在诸如离岸平台或海底燃气/石油勘探站的燃气勘探或燃气和石油生产设施中的紧急情况。

现在参考附图描述本发明的实施例。本发明不限于描述或说明的实施例。

应注意已经参考不同主题描述了本发明的实施例。特别地，已经参考方法类型的权利要求描述了某些实施例，而参考装置类型的权利要求描述了其他的实施例。然而，本领域技术人员将从上文和以下的描述获悉以下内容：除非另有说明，否则除属于一个类型的主题的特征的任何组合被认为以本文件公开之外，在涉及不同主题的特征之间、特别是在方法类型的权利要求的特征和装置类型的权利要求的特征之间的任何组合也被认为以本文件公开。

附图说明

图示意地图示了用于在两个控制器之间的控制的转变的系统100，适于执行根据本发明的实施例的用于从第一控制器101到第二控制器103的控制的转变的方法的第一控制器101和第二控制器103。

具体实施方式

系统100包括第一控制器101、第二控制器103和用于将第一控制器101和第二控制器103通信地耦合的通信系统105。

第一控制器101具有提供第一输入信号110的至少一个第一输入端子107，这里由五个第一输入端子107示例性地表示。进一步地，第一控制器101包括第一内部输入端口109，再次由对应于五个第一输入端子107的五个输入端口109示例性地表示。进一步地，第一控制器包括至少一个第一输入或门111，其被布置在第一输入端子107和第一内部输入端口109之间。

为了清楚，在图中示出了在第一输入端子107和第一内部输入端口109之间的仅一个信号路径，虽然至少一个第一输入端子107中的每个包括到港接（harbour）内部输入端口109的控制段113的这样的信号传输路径。进一步地，在第一输入端子107和第一输入或门111之间布置可控制的第一输入阻塞113。

第一控制器101的控制段113包括至少一个第一输出端子117，这里由三个内部输出端口117示例性地表示。然而，可以存在更多或更少的内部输出端口117并且也可以存在更多或更少的内部输入端口109。控制段113在至少一个第一内部输出端口117处输出输出信号118或者对应于不同的内部输出端口117的多个输出信号118，其基于在至少一个内部输入端口109处接收的至少一个输入信号被导出。经由第一可控制的输出阻塞119、或门121将在至少一个第一内部输出端口117处供应的第一输出信号118供应到至少一个第一输出端子123，其中第一输出端子123的数量对应于第一内部输出端口117的数量。

第二控制器103包括至少一个第二输入端子125，其中至少一个输入端子的数量等于第一控制器101的至少一个输入端子107的数量。第二控制器103包括第二可控制的输入阻塞127和在至少一个第二输入端子125和至少一个第二内部输入端口131之间的第二输入或门129。

进一步地，第二控制器103包括控制段133，其基于在至少一个内部输入端口131处接收的至少一个输入信号导出在至少一个第二内部输出端口135处提供的第二输出信号136。经由第二可控制的输出阻塞137和第二输出或门139将第二输出信号供应到第二控制器103的至少一个第二输出端子141。为了清楚，仅图示针对一个第二输入端子125的第二可控制的输入阻塞137和第二输入或门139，然而其他输入端子141包括相应的传输线。相同的内容适于在控制段133和至少一个输出端子141之间的输出路径。

经由包括由在输入段处的信号线143和在输出段处的信号线145组成的通信总线的通信系统105相互地交换在第一控制器101和第二控制器103之间的输入信号和输出信号。

特别地，在已经通过可控制的第一输入阻塞115之后，将供应到（第一控制器101的）至少一个第一输入端子107的输入信号（经由通信总线143）供应到（第二控制器103的）至少一个或门129。相似地，在已经通过第二输入阻塞元件127之后，将供应到第二控制器103的第二输入端子125的输入信号（经由通信总线143）供应到第一控制器101的第一输入或门111。由此，使能了在两个控制器101、103之间的输入信号的交换。

相似地，在已经通过第一可控制的输出阻塞119之后，将在内部第一输出端子117处输出的第一输出信号118供应到第二控制器103的第二输出或门139。进一步地，在已经通过第二输出可控制的阻塞元件137之后，将在第二内部输出端口135处供应或提供的第二输出信号136供应到第一控制器101的第一输出或门121。

特别地，第一内部输出端口117输出第一输出信号118。进一步地，第二内部输出端口135提供第二输出信号136。

在图中示出的系统100适于执行根据本发明的实施例的用于从第一控制器101到第二控制器103的控制的条件的方法。

由此，开始时，输入线106全部连接到第一控制器101的各个第一输入端子107，并且输出线124全部连接到第一控制器的第一输出端子123。这由输入线106和输出线124的（一个或多个）实线指示。特别地，输入线106可以连接到用于感测诸如温度、烟雾、湿度、燃气等等的物理量的一个或多个传感器。进一步地，输出线124可以通向一个或多个致动器，用于向这些致动器提供控制信号以便在诸如火灾情况或燃气泄出的紧急的情况下操作这些致动器。

当将以第二控制器103替换第一控制器101时，可以将输出线124中的一个从第一输出端子123断开连接，并且然后可以连接到第一输出端子141，如由虚线126指示的那样。特别地，可以将一个输出线124在另一个之后从第一控制器101切换到第二控制器103。这可以被执行，与此同时没有输入线106连接到第二控制器103的一个或多个输入端子125。因此，也在该情况下，第二控制器103可以被提供有与由连接到第一控制器的输入端子107的输入线106提供的那些基本上相同的（一个或多个）输入信号。这通过在两个控制器101、103之间的输入信号的上述的交换实现。

如之前提及的那样，由第一控制器101的控制段113导出的第一输出信号118被供应到第二控制器103的第二输出或门139，并且由此被用作该或门139的输入，其中进一步作为输入，由第二控制器103的控制段133导出的第二输出信号136被供应到该第二输出或门139。因此，从或门139得到的信号147被导出为信号136和信号118的逻辑“或”。

在用于从第一控制器101到第二控制器103的控制的转变的方法的稍后的阶段中，可以使用第一可控制的输出阻塞119阻塞由第一控制器101的控制段113输出的第一输出信号118，使得第二输出或门139不再接收第一输出信号118但是仅接收第二输出信号136。由此，在第二输出端子141处最后输出的输出信号147是如由第二控制器103的控制段133输出的第二输出信号136。

特别地，在将输出线124从第一输出端子123断开连接并将其连接到第二输出端子141期间，可以分别使用阻塞元件119、137阻塞第一输出信号118的输出和/或第二输出信号136的输出。之后，可以通过移除阻塞，不再阻塞第一输出信号118和/或第二输出信号136。

可以将最初连接到第一控制器101的各个第一输入端子107的输入线106逐一地切换到连接到第二控制器103的第二输入端子125（类似于切换输出线124），如虚线108示意地示出的那样。

以下的表格指示了将适于执行根据本发明的实施例的方法的系统100的若干部件的适配的程度：

表格：

模块	改变	注释
			输入模块	减少2%	通常改进I/O模块。改进输入卡的诊断法和输入卡的SIL。新的安全优于利用标准I/O模块的现有的技术方案
到CPU的总线	减少1%	由于新的批准的安全总线的使用，通常改进从输入卡到CPU的总线
			新CPU	增加2%	除现有的CPU之外出现的新CPU
到现有的CPU的冗余总线，包括冗余转换器	增加1%	到现有的控制器的总线链接是除现有技术方案之外的，但是表示小于1%的SIL2预算
			现有的CPU	无改变	与一直使用的相同的CPU
到输出卡的总线	无改变	与一直使用的相同的过程现场总线（profibus）
			输出卡	无改变	与一直使用的相同的输出卡

应理解术语“包括”不排除其他元件或步骤，并且“一”或“一个”不排除多个。而且可以组合与不同实施例相关联描述的元素。也应注意在权利要求书中的参考标号不应被解释为限制权利要求书的范围。

Claims (17)

1.一种用于从第一控制器（101）到第二控制器（103）的控制的转变的方法，所述方法包括：

将第一控制器和第二控制器通信地耦合（143、145），

使得将由一个控制器（101）接收的至少一个静态数字输入信号（110）相互地提供到各个其他控制器（103）并且

使得将由一个控制器（101）生成的至少一个静态数字输出信号（118）相互地提供到各个其他控制器（103）；

将至少一个输出线（124）从第一控制器（101）断开连接；

将至少一个输出线（126）连接到第二控制器（103）；

将至少一个输出信号（147）供应到至少一个输出线（126），

其中通过向由第一控制器（101）生成的至少一个第一输出信号（118）和由第二控制器（103）生成的至少一个第二输出信号（136）执行逻辑或来获得至少一个输出信号（147），

所述方法进一步包括在将至少一个输出线（124）从第一控制器（101）断开连接之前：

如果第一输出信号（118）是逻辑高信号或者如果在正常操作期间输出线处在逻辑高状态，则由外部电压源将逻辑高信号供应到输出线。

2.根据权利要求1所述的方法，其中使用或门执行逻辑或。

3.根据权利要求1所述的方法，进一步包括：

阻塞（119）第一输出信号（118）的输出，和/或

阻塞（137）第二输出信号（136）的输出。

4.根据权利要求1所述的方法，进一步包括在将至少一个输出线从第一控制器断开连接之前：

阻塞（119）第一输出信号（118）的输出，和/或

阻塞（137）第二输出信号（136）的输出。

5.根据权利要求1到4中的一个所述的方法，进一步包括，在将至少一个输出线（126）连接到第二控制器之后：

移除对第二输出信号的输出的阻塞，和/或

移除对第一输出信号的输出的阻塞。

6.根据权利要求1到4中的一个所述的方法，其中将至少一个输出线（126）连接到第二控制器（103）包括将至少一个输出线（126）连接到第二控制器的至少一个第二输出端子（141），所述方法进一步包括：

监视至少一个输出线（126）到第二控制器（103）的至少一个第二输出端子（141）的连接是否正确。

7.根据权利要求1到4中的一个所述的方法，其中将至少一个输出线的所有输出线（124）的连接从第一控制器（101）逐一地切换到第二控制器（103）。

8.根据权利要求1到4中的一个所述的方法，进一步包括：

将至少一个输入线（106）从第一控制器（101）断开连接；

将至少一个输入线（108）连接到第二控制器（103）；

将由至少一个输入线（108）运送的至少一个输入信号（110）供应到第一控制器（101）。

9.根据权利要求1到4中的一个所述的方法，进一步包括：

阻塞在第一控制器（101）处的输入信号（110）；和/或

阻塞在第二控制器（103）处的输入信号（110）。

10.根据权利要求1到4中的一个所述的方法，进一步包括在将至少一个输入线从第一控制器断开连接之前：

阻塞在第一控制器（101）处的输入信号（110）；和/或

阻塞在第二控制器（103）处的输入信号（110）。

11.根据权利要求1到4中的一个所述的方法，进一步包括：

移除对在第一控制器（101）处的输入信号（110）的阻塞；和/或

移除对在第二控制器（103）处的输入信号（110）的阻塞。

12.根据权利要求1到4中的一个所述的方法，进一步包括在将至少一个输入线（108）连接到第二控制器之后：

移除对在第一控制器（101）处的输入信号（110）的阻塞；和/或

移除对在第二控制器（103）处的输入信号（110）的阻塞。

13.根据权利要求1到4中的一个所述的方法，其中将至少一个输入线（108）连接到第二控制器（103）包括将至少一个输入线（108）连接到第二控制器（103）的至少一个第二输入端子（125），所述方法进一步包括：

监视至少一个输入线（108）到第二控制器（103）的至少一个第二输入端子（125）的连接是否正确。

14.一种用于控制在两个控制器之间的转变的系统（100），所述系统包括：

第一控制器（101），其具有：

至少一个第一输入端子（107）、

至少一个第一内部输入端口（109）、

在第一输入端子和第一内部输入端口之间的至少一个第一输入或门（111）、

至少一个第一输出端子（123）、

至少一个第一内部输出端口（117）、

在第一内部输出端口和第一输出端子之间的至少一个第一输出或门（121）；

第二控制器（103），其具有：

至少一个第二输入端子（125）、

至少一个第二内部输入端口（131）、

在第二输入端子和第二内部输入端口之间的至少一个第二输入或门（129）、

至少一个第二输出端子（141）、

至少一个第二内部输出端口（135）、

在第二内部输出端口和第二输出端子之间的至少一个第二输出或门（139）；以及

通信系统（143、145），其用于将第一控制器（101）和第二控制器（103）通信地耦合，

使得将在第二控制器（103）的第二输入端子（125）处接收的输入信号（110）供应到第一输入或门（111），

使得将在第二控制器（103）的第二内部输出端口（135）处生成的第二输出信号（136）供应到第一输出或门（121），

使得将在第一控制器（101）的第一输入端子（107）处接收的输入信号（110）供应到第二输入或门（129），

使得将在第一控制器（101）的第一内部输出端口（117）处生成的第一输出信号（118）供应到第二输出或门（139）。

15.根据权利要求14所述的系统，进一步包括：

至少一个第一可控制的输入阻塞（115），其被布置在第一输入端子（107）和第一输入或门（111）之间，用于阻塞在第一输入端子（107）处接收的输入信号（110）；

至少一个第一可控制的输出阻塞（119），其被布置在第一内部输出端口（117）和第一输出或门（121）之间，用于阻塞在第一内部输出端口（117）处生成的输出信号（118）；

至少一个第二可控制的输入阻塞（127），其被布置在第二输入端子（125）和第二输入或门（129）之间，用于阻塞在第二输入端子（125）处接收的输入信号（110）；

至少一个第二可控制的输出阻塞（137），其被布置在第二内部输出端口（135）和第二输出或门（139）之间，用于阻塞在第二内部输出端口（135）处生成的输出信号（136）。

16.根据权利要求14到15中的一个所述的系统，其中在加载到第一控制器和第二控制器中的软件中实施通信系统。

17.根据权利要求14到15中的一个所述的系统，其被适配为用于控制用于燃气和/或火灾紧急设备的操作的致动器的保护系统。