CN104597860B - 自动化控制器中的控制硬件和监视系统的独立操作 - Google Patents

Abstract

本发明涉及自动化控制器中控制硬件和监视系统的独立操作，并公开了工业控制器及其自监视操作的方法。本文还描述了用于工业控制器(10)的自监视的改进系统。在控制板上设置用于工业控制器(10)的、彼此通信的控制处理器和监视处理器(60、70)。控制处理器(60)执行用于工业控制系统的控制程序。监视处理器(70)验证工业控制器(10)的正确操作。控制处理器(60)周期性地验证监视处理器(70)在操作。若监视处理器(70)停止操作，则控制处理器(60)生成警告并提供工业控制器(10)的延迟关闭。控制处理器(60)可将工业控制器(10)的当前状态复制到存储器(62)。在问题改正后，控制处理器(60)可恢复所存储的工业控制器(10)的状态。

Description

自动化控制器中的控制硬件和监视系统的独立操作

技术领域

本文所公开主题通常涉及用于工业控制器的监视系统，更具体地涉及监视工业控制器的处理器并且独立于处理器执行的系统。

背景技术

工业控制器(例如可编程逻辑控制器(PLC))是用于控制例如工厂环境中的工业过程或机器的专用电子计算机系统。工业控制器在许多方式上与常规计算机不同。物理上，工业控制器被构造成对震动和损坏基本上更加鲁棒并且更好地抵御外部污染和极端环境状况。处理器和操作系统被优化成实时控制和执行使得已经定制的程序能够与各种不同控制器应用相适应的语言。工业控制器可以具有用于例如通过具有键盘、鼠标和显示器的本地连接终端对工业控制器进行访问、配置和/或编程的用户接口。

通常，工业控制器具有高度模块化架构，其使得不同数目和类型的模块或适配器能够被用于将控制器连接至用于监视和/或控制工业过程或机器的物理设备。网卡或适配器建立适用于高可靠性和可用性实时通信的专用“控制网络”。在工业控制系统中通常使用的这种控制网络包括例如控制网、设备网或以太网/IP。通过保证最大通信延迟，控制网络不同于标准通信网络，例如以太网。这可以例如通过预先计划网络的带宽和/或提供用于高可用性的冗余通信能力来获得。控制网络还在物理方面彼此不同，例如，介质的类型(例如，同轴线缆、双绞线或光纤)、其操作协议(例如，波特率、信道数、字传输大小或连接消息传递的使用)、如何格式化数据以及如何将其收集在标准消息中。

作为其增强的模块化的一部分，工业控制器可以采用专用于特定类型的电气信号和功能(例如检测AC或DC输入信号或者控制AC或DC输出信号)的I/O模块。这些I/O模块中的每一个可以具有使得它们能够连同其它所选的I/O模块一起以不同的组合安装在壳体或机架中以符合特定应用的需求的连接器系统。多个或单个I/O模块可以被定位在接近所控制的过程或机器的方便控制点，以经由专用控制网络与中央工业控制器进行通信。

随着工业过程和机器变得更加复杂，工业控制器和相关联的工业控制系统也变得更加复杂。可能会导致系统失效的部件的数目相应地增加。因此，程序员已设计系统来检测是否存在失效。例如，可以在受控机器或过程的设备与I/O模块之间布线冗余的输入和输出。处理器可以监视每个输入或输出的状态，以确保每一个均正常工作。类似地，公知周期性地将状态转变强加于独立的输入或输出，以确保输入和输出仍能够改变状态。

恰恰随着工业控制系统中的部件的数目增加，工业控制器中部件的数目也类似地增加。工业控制器包括控制板，控制板可以包括例如微处理器、模数(A/D)转换器以及用于经由许多端口(包括但不限于工业网络、通用串行总线(USB)、光纤连接、通用异步接收器/发送器(UART)和背板)通信的缓冲器和接口。控制板还包括用于数据、地址和在各种设备与对于上述中的每一个在不同控制电压处的电源之间的电力的许多总线。工业控制器中部件的增加数目使其更容易出故障。

在工业控制器中检测故障提供了独特的挑战。在控制处理器中执行的程序控制工业控制系统的操作。如果部件中之一失效，则控制处理器会进入这样一种状况，其中程序停止正常工作并且会在未知或无意状态下终止。如果控制处理器处于未知或无意的状态下，则工业控制系统会类似地在未知或无意的状态下终止操作，并且会导致对控制系统的损坏。因此，工业控制器通常被配置成如果其检测到故障状况则执行控制系统的硬关闭或者立即关闭。

历来，已知除了使用控制处理器来控制工业控制系统之外，还使用控制处理器来监视工业控制器的状况。控制处理器可以执行试图在工业控制器失效之前利用工业控制器检测系统问题的程序。然而，额外的监视程序增加了控制处理器的复杂度，并且还会导致故障。如果监视程序失效，则工业控制器进入故障状况，产生对工业控制系统的硬关闭。

强制工业控制系统的硬关闭具有各种缺点。工业控制器保持有包含工业控制系统的当前状态的表。如果硬关闭发生，则控制系统停止工作，这转而会导致表中的许多状态改变。一旦技术人员修理了控制器，则不存在工业控制系统在关闭之前的状态的认知。会需要在重新开始控制系统的操作之前，清理工业控制系统，例如通过从过程流水线移除产品或者通过将驻地移动到已知位置。清理过程导致了在修理过程中的另外时间和费用。

因此，期望提供一种用于工业控制器的改进的监视系统。

发明内容

本文所公开的主题描述了一种用于工业控制器的自监视的改进的系统。在控制板上设置用于工业控制器的两个处理器。处理器中之一被指定为控制处理器并且执行用于工业控制系统的控制程序。另一处理器被指定为监视处理器并且验证控制器的正确操作。监视处理器接收在工业控制器上存在的控制电压和时钟频率中的每一个作为输入。监视处理器验证电压中的每一个处于正确电位并且验证时钟处于正确频率。如果监视处理器检测到故障，则其关闭工业控制器的操作。监视处理器还与控制处理器进行通信。控制处理器周期性地验证监视处理器在操作。如果监视处理器停止操作，则控制处理器生成警告消息并且提供工业控制器的延迟关闭。通过使工业控制器能够在之后时间关闭而非执行立即关闭，控制处理器可以将受控机器或过程的当前状态复制到存储器，并且提供受控机器或过程的较小破坏性关闭。在技术人员已经利用监视处理器改正问题之后，控制处理器可以恢复受控机器或过程的所存储的状态，从而提供从故障状况的较快速恢复。

根据本发明的一个实施方式，工业控制器被配置成控制至少部分地限定工业机器或过程的多个设备。工业控制器包括控制板、第一处理器、独立于第一处理器执行的第二处理器以及在第一处理器与第二处理器之间周期性地发送的握手信号。第一处理器操作性地连接至控制板并且被配置成接收多个第一输入信号。每个第一输入信号与所述多个设备中之一的当前状态相对应。第一处理器还执行所存储的程序，以根据多个第一输入信号来生成多个输出信号。每个输出信号控制多个设备中之一的至少部分操作。第二处理器操作性地连接至控制板并且被配置成接收多个第二输入信号。每个第二输入信号与控制板的硬件功能相对应。第二处理器监视多个第二输入信号并且在检测到控制板的硬件功能的错误时生成第一故障。第一故障启动第一处理器的硬关闭。第一处理器监视握手信号并且在检测到握手信号的错误时生成第二故障。第二故障允许第一处理器在被关闭之前继续执行达预定时间。

根据本发明的另一实施方式，公开了一种工业控制器的自监视操作的方法，该工业控制器被配置成控制至少部分地限定工业机器或过程的多个设备。该方法包括如下步骤：在操作性地连接至控制板的第一处理器处接收多个第一输入信号，并且执行所存储的程序以根据所述多个第一输入信号来生成多个输出信号。每个第一输入信号与多个设备中之一的当前状态相对应。每个输出信号控制多个设备中之一的至少部分操作。在操作性地连接至控制板的第二处理器处接收多个第二输入信号。每个第二输入信号与控制板的硬件功能相对应，并且第二处理器独立于第一处理器执行。以周期性时间间隔在第一处理器与第二处理器之间发送握手信号，并且利用第一处理器来监视握手信号。当第一处理器检测到握手信号的错误时，利用第一处理器生成故障。当生成故障时，在关闭第一处理器之前继续第一处理器的执行达预定时间。

根据详细的描述和附图，本发明的这些优点和特征以及其它优点和特征对于本领域技术人员将变得明显。然而，应当理解的是，详细的说明和附图尽管示出本发明的优选实施方式，但其是通过举例的方式给出的并非是限制性的。在不背离本发明的精神的情况下可以在其范围内做出许多改变和修改，并且本发明包括所有这样的修改。

附图说明

将参照附图来说明本文所公开的主题的各种示例性实施方式，贯穿整个附图，相同的附图标记表示相似的零件，并且附图中：

图1是根据本发明的一个实施方式包含有工业控制器的示例性工业控制系统；

图2是图1的工业控制系统的局部框图；以及

图3是图1的工业控制器中的控制板的部分示意图。

在描述附图所示的、本发明的各种实施方式中，为了清楚起见，将借助于特定术语。然而，其并不意味着本发明受限于所选择的特定术语，并且应当理解的是，每个特定术语包括以类似方式操作以实现类似目的的所有技术等同物。例如，常常使用词语“连接”、“附接”或与其类似的术语。它们不限于直接连接，而是包括通过其它元件的连接，其中这样的连接被本领域技术人员认为是等同的。

具体实施方式

首先参照图1，示例性工业控制系统包括成对的工业控制器10。如所示出的，工业控制器10是模块化的并且可以由在机架中被连接在一起或被安装到机轨的许多不同模块组成。可以添加附加模块或者可以移除现有的模块，并且工业控制器10可以被重新配置成适应新的配置。可选地，工业控制器10可以具有预定的且固定的配置。所示的工业控制器10中的每一个包括电源模块12、处理器模块14和网络模块16。每个工业控制器10还被示出具有两个附加模块18，所述两个附加模块18可以根据应用需求来选择，并且可以是例如模拟或数字输入或输出模块。

一个或更多个操作者接口20可以连接至工业控制网络。每个操作者接口20可以包括处理设备22、输入设备24(包括但不限于键盘、触摸板、鼠标、轨迹球或触摸屏)以及显示设备26。设想操作者接口的每个部件可以被合并到单个单元，例如工业计算机、膝上型计算机或平板计算机。还设想多个显示设备26和/或多个输入设备24可以被分布在受控机器或受控过程周围并且可连接至一个或多个处理设备22。操作者接口20可以用于显示受控机器或受控过程的操作参数和/或状况，从操作者接收指令，或者改变和/或加载控制程序或配置参数。接口线缆28将操作者接口20连接至工业控制器10中之一。

根据应用需要，工业控制器10通过一个或更多个网络连接至其它设备。如所示的，接口线缆30直接连接每个处理器模块14。通过由网络线缆32将两个工业控制器10的网络接口模块16连接到成对的开关34中的每一个，来建立冗余的网络拓扑。每个开关34通过合适的网络线缆36、38连接至成对的远程机架40中之一。设想接口线缆30或网络线缆32、36、38中的任何线缆可以是被配置成经由专有接口通信的定制线缆，或者可以是任何标准的工业网络，包括但不限于以太网/IP、设备网或控制网。每个网络模块16和开关34被配置成根据其所连接的网络的协议来进行通信，并且还可以被配置成在两个不同的网络协议之间翻译消息。

每个远程机架40可以被定位在受控机器或受控过程周围的不同位置处。如所示出的，每个远程机架40是模块化的并且可以由在机架中被连接一起或被安装到机轨的许多不同模块组成。可以添加附加模块或者可以移除现有的模块，并且远程机架40可以被重新配置成适应新的配置。可选地，远程机架40可以具有预定且固定的配置。如所示出的，每个远程机架40包括成对的网络模块42、输入模块44和输出模块46，其中每个网络模块42连接至冗余网络中之一。每个输入模块44被配置成从受控设备50接收输入信号45，并且每个输出模块46被配置成向受控设备50提供输出信号47。可选地，在远程机架40中还可以包括其它模块48。应当理解的是，在不背离本发明的范围的情况下，工业控制网络、工业控制器10和远程机架40可以采取许多其它的形式和配置。

接下来参照图2，电源模块12被配置成接收输入电压并且将其转换成一个或更多个控制电压。输入电压被连接至电源模块12上的一个或更多个端子11。根据本发明的一个实施方式，端子11被配置成接收110VAC输入电压。可选地，端子11可以被配置成接收其它交流(AC)或直流(DC)输入电压，包括但不限于200VAC、230VAC、24VDC或48VDC。端子11内部地连接至转换器13。转换器13将输入电压转换成一个或更多个不同电压水平。转换器13可以例如将AC输入转换成DC输出，或者将处于第一电压电势的DC输入转换成处于第二电压电势的DC电压。优选地，输出电压15是用于在控制系统内使用的控制电压。输出电压15可以是例如24VDC或5VDC，并且可以经由背板连接17或经由输出端子(未示出)和外部导体供给至控制系统中的其它模块。可选地，转换器13可以调节输入电压，例如24VDC输入，以保持用于控制系统的恒定控制电压。

处理器模块14被配置成对控制系统的操作进行控制并且自我监控处理器模块14的操作。处理器模块14包括第一处理器60、第一存储器设备62、第二处理器70和第二存储器设备72。处理器60、70中的每一个被配置成执行程序并且对存储在对应存储器设备62、72中的操作数据和/或配置参数进行访问或存储。根据本发明的另一实施方式，提供了单个存储器设备，并且第一处理器60和第二处理器70二者均与该存储器设备通信。根据模块需要，处理器60、70可以是任何合适的处理器。设想处理器60、70可以包括单个处理设备或并行执行的多个处理设备，并且处理器60、70可以在分离的电子设备中实现或者被合并在单个电子设备(例如现场可编程门阵列(FPGA)或专用集成电路(ASIC))上。还设想监视处理器70可以经由包括多个分立部件的逻辑电路(例如数字逻辑门和/或比较器电路)来实现。类似地，存储器设备62、72可以是单个设备、多个设备或者可以被部分或者全部地合并至FPGA或ASIC中。根据所示实施方式，处理器模块14还包括可移动存储设备74。可移动存储设备74可以是非易失性存储卡，例如安全数字(SD)卡。处理器模块14还包括时钟电路64，时钟电路64被配置成生成处于一个或更多个频率下的一个或更多个时钟信号。时钟信号用于操作处理器60、70中的每一个。安装在同一机架中或者包含在单个壳体内的模块之间的通信经由背板和相应背板连接器17进行。安装在不同机架中或者处于彼此远离位置的模块之间的通信经由端口76(例如网络接口和连接模块的适当通信介质)来进行。

处理器模块14经由背板连接17从电源模块12接收电力。可以提供一个或更多个控制电压，例如24VDC或5VDC。控制电压作为输入被提供给处理器模块14中的调节器电路68。调节器电路68被配置成将经调节的控制电压或者以输入控制电压或者以一个或更多个不同的电压电势输出至处理器模块内的电子部件。公知各种电子设备可需要不同的控制电压以用于操作，包括但不限于1.0VDC、1.5VDC、3.3VDC或5VDC。调节器电路68执行所需电压转换，以向处理器模块14中的电子部件中的每一个提供处于适当电压电势的恒定电压。电压电势中的每一个被另外地作为输入提供给用于监视的第二处理器70。设想处理器模块14中的每一个部件可以被安装至封闭在处理器模块14的壳体内的单个控制板。可选地，可以将两个或更多个控制板封闭在壳体内，并且可以利用控制板之间的合适通信接口在控制板之间划分部件。

根据图2所示的控制系统的实施方式，示例性附加模块80被示出为连接至处理器模块14。设想附加模块可以是安装在控制机架中并且经由背板连接器17通信的附加模块18中之一。可选地，示例性附加模块80可以是在远程机架40中经由合适的网络介质和/或通信线缆连接的输入模块44、输出模块46或附加模块48。附加模块80包括接收一个或更多个控制电压(例如24VDC或5VDC)的调节器电路82。控制电压作为输入被提供给处理器模块14中的调节器电路68。调节器电路68被配置为将经调节的控制电压或者以输入控制电压或者以一个或更多个不同的电压电势输出至处理器模块内的电子部件。调节器电路82执行所需电压转换，以向附加模块80中的电子部件中的每一个提供处于适当电压电势的恒定电压。附加模块80还包括控制电路84，该控制电路84包括任何电子设备和用于在端子86与处理器模块14之间处理和传递输入和/或输出信号的相关联连接。端子86被配置成将模块80连接至受控设备50。

在操作中，处理器模块14被配置成保持与受控机器或过程的当前状态相对应的一个或更多个表。每个表可以是存储在存储器设备62中的单个数据库或多个数据库。表包括与机器的当前操作状态相对应的值。所存储的值的类型可以根据正在存储的信息的类型而不同。例如，数字输入/输出可以包括二进制值(即，0或1)，而模拟输入/输出可以包括与电压电势(例如，0V至5V)相对应的值或者与电压电势的数字表示相对应的数字计数(例如，0至255)相对应的值。类似地，内部变量可以包括与在控制程序内执行的计数器和定时器等相对应的各种值。数据库可以例如根据针对其正在存储值的信号类型而分类，例如I/O表、定时器表和计数器表等。

处理器模块14被配置成执行自监视，以验证模块本身正常运行。还参照图3，监视处理器70从调节器电路68接收控制电压(V1至Vn)中的每一个作为输入信号。根据本发明的一个实施方式，输入中的每一个是将控制电压转换成表示在输入处存在的电压幅度的数字值的模拟输入。将数字值与参考值进行比较，以确定调节器电路68是否正在生成正确的控制电压(V1至Vn)。可选地，控制板可以包括多路复用器电路，并且控制电压中的每一个可以依次被提供给单个模拟输入并且被读到监视处理器70中。设想在不背离本发明的范围的情况下，还可以提供外部电路的其它配置和输入，以向监视处理器70提供每个电压水平的指示。还可以向监视处理器70提供其它输入。例如，从时钟电路64输出的一个或多个时钟信号可以被提供作为输入。可选地，控制板可以包括温度传感器65，该温度传感器65向监视处理器70提供输入，以检测处理器模块14中的总温度状况。监视处理器70验证每个时钟信号的频率是正确的以及处理器模块14内的温度低于最大允许温度。在不背离本发明的范围的情况下，与处理器模块14的操作相对应的其它信号也可以作为输入被提供至监视处理器70。

监视处理器70连续地监视输入信号，以验证处理器模块14的正确操作。监视处理器70执行程序，以周期性地评估输入信号中的每一个，所述程序可以存储在存储器设备72中或者存储在与处理器70集成的存储器中。如果输入信号中之一表示在处理器模块14的操作中存在错误，则监视处理器70生成故障状况并且启动处理器模块14的硬关闭。硬关闭的实现可以根据应用需要而不同，但一般情况下需要控制处理器60停止执行控制程序并且使受控机器或过程达到立即停止，例如经由切断电力和设置对电机/致动器的制动或者经由立即控制电机/致动器减速到停止状况。如图3所示，来自监视处理器70的专用故障输出FLT可以连接至控制处理器60上的、启动中断关闭程序的中断。可选地，输入可以是由控制处理器60周期性读取的标准输入。还设想可以将成对的专用故障输出FLT从监视处理器70连接至控制处理器60，其中控制处理器60在启动关闭程序之前将两个故障信号的状态进行比较，使得两个故障输出之一上的伪信号或失灵输出不会不经意地使控制处理器60关闭。在两个故障输出之一上检测到失效会启动下面更加详细讨论的受控关闭。在不背离本发明的范围的情况下，还可以实现将故障状况从监视处理器70传达到控制处理器60的其它配置。然而，硬关闭通常不会向控制处理器60提供捕获受控机器或过程的当前状态的机会，所述受控机器或过程的当前状态可以有助于在已改正故障状态之后重新启动受控机器或过程。

根据本发明的另一方面，监视处理器70可以区分需要硬关闭的某些硬件故障和允许受控关闭的其它硬件故障。例如，监视处理器70可检测到作为输入被提供的控制电压(V1至Vn)中之一的水平是不正确的。这可以表示例如调节器电路68中的器件中的一个器件对于该控制电压已失效。监视处理器70还可以具有如下知识：电路板上哪些电子器件和/或电路利用特定控制电压(V1至Vn)以及电子器件和/或电路是否对于受控机器或过程的操作是至关重要的。如果仅对于操作不关键的电子器件和/或电路利用特定控制电压，则监视处理器70可生成故障，但还向控制处理器60指示可以进行受控关闭而非硬关闭。受控关闭可以向控制处理器60提供在使受控机器或过程进入停止状况之前捕获受控机器或过程的当前状态的机会。

此外，监视处理器70还提供附加潜在失效状况，即监视处理器70和/或其相关联外围硬件停止，以正常工作。因此，控制处理器60用于对监视处理器70的操作进行监视。根据所示实施方式，监视处理器70和控制处理器60具有在彼此之间连接的输入和/或输出I/O。I/O可以是被配置成在两个处理器之间传递消息或数据包的专用信号或通信信道。在监视处理器70与控制处理器60之间传递的信号之一为握手信号。以周期性的时间间隔，监视处理器70和控制处理器60中的任一个生成被发送至其中的另一处理器的握手信号。该另一处理器生成被发送回发起处理器的响应信号。控制处理器60监视握手信号，以验证监视处理器70正在继续操作。如果监视处理器70是发起处理器，则控制处理器60期望握手信号以周期性时间间隔生成。类似地，如果控制处理器60是发起处理器，则控制处理器60期望响应信号在发送握手信号的预定时间间隔内被生成。如果控制处理器60未在期望时间内从监视处理器70接收到握手信号或者响应信号，则其生成表示监视处理器70已停止正确操作的故障状况。

在控制处理器60生成表示监视处理器70已经停止正确操作的故障状况之后，它可以在一定时间段内继续操作。根据本发明的一个实施方式，该时间段可以高达八小时。在该时间段期间，允许控制处理器60继续控制该机器或过程，并且操作者可以确定停止受控机器或过程的操作的适当时间。例如，可以允许过程流水线完成处理已经开始的部分或者可以允许机器操作完成当前操作或一系列操作。因此，控制系统可以在更合适的状态停止操作。

根据本发明的另一方面，受控关闭可以使得监视处理器70能够从故障状况恢复而无需受控机器或过程的任何停止。如果例如监视处理器70遭受到由监视处理器70访问的存储器72用于数据或者用于程序指令的一部分被损坏的“软故障”，则监视处理器70可以被配置成重设存储器72。被损坏的存储器72可以是易失性的，而存储器72的非易失性部分存储可以在重设期间被恢复到存储器72的易失性部分的数据记录和/或指令。在完成重设时，监视处理器70可以恢复正常操作。如果在用于关闭控制处理器60的预定延迟期间重设成功且发生，则最初故障状况不再存在并且无需关闭控制处理器60。

此外，控制处理器60可以将与受控机器或过程的当前状态相对应的表的全部或一部分从存储设备62复制到第二存储器，例如可移动存储装置74。控制处理器60可以被配置成在生成故障时、在受控机器或过程已达到期望状态或者已停下来时、或者其组合时复制表。可以设想可以将存储在存储设备62中的各种其它数据(例如控制程序)复制到可移动存储设备74。复制可以自动地执行或者由操作者手动启动。因为控制处理器60已经在监视处理器70中检测到故障，所以改正故障最可能的方法将是替换处理器模块14或其一部分。因此，可移动存储设备74被从故障的处理器模块14取出并且插入到替换的处理器模块14中。所有的复制数据在替换的处理器模块14中均是可用的，其可以包括受控机器或过程的期望状态和/或控制程序。技术人员可以将数据从可移动存储设备74复制回存储器设备62，以有助于重新启动受控机器或过程。

根据本发明的另一实施方式，第二存储器可以被定位成远离控制处理器60。第二存储器可以是连接至计算机或其它处理设备的存储设备，包括但不限于硬盘驱动器、CD-ROM、DVD-ROM、USB驱动器或SD卡。计算机或处理设备可以是例如中央服务器或专用设备，例如平板计算机、笔记本式计算机、膝上型计算机或台式计算机。计算机或处理装置经由网络连接至控制处理器60，该网络可以是有线的、无线的或其组合。网络可以由单个网络协议组成或者由具有在其间进行适当转换的多个网络协议组成。

应当理解的是，本发明在应用上不限于本文所阐述的元件的结构和布置的细节，本发明能够具有其它实施方式，并且能够以不同方式来实施或实现。前述的变型或改变处于本发明的范围内。还应理解的是，本文所公开和所定义的发明延伸至根据文本和/或附图提及或明显看出的单个特征中的两个或更多个的所有替选组合。所有这些不同组合构成本发明的各种替选方面。本文所描述的实施方式说明了用于实施本发明的最好模式并且将能够使本领域技术人员利用本发明。

本发明还可以通过以下方案来实现：

1.一种工业控制器，所述工业控制器被配置成控制至少部分地限定工业机器或过程的多个设备，所述工业控制器包括：

控制板；

第一处理器，所述第一处理器操作性地连接至所述控制板，并且所述第一处理器被配置成接收多个第一输入信号，每个第一输入信号与所述多个设备中的一个设备的当前状态相对应，并且所述第一处理器被配置成执行所存储的程序，以根据所述多个第一输入信号来生成多个输出信号，每个输出信号控制所述多个设备中的一个设备的至少部分操作；

第二处理器，所述第二处理器独立于所述第一处理器执行，所述第二处理器操作性地连接至所述控制板并且被配置成接收多个第二输入信号，每个第二输入信号与所述控制板的硬件功能相对应；以及

在所述第一处理器与所述第二处理器之间周期性地传输的握手信号，其中：

所述第二处理器监视所述多个第二输入信号，并且在检测到所述控制板的所述硬件功能中的错误时生成第一故障，所述第一故障启动所述第一处理器的硬关闭，以及

第一处理器监视所述握手信号，并且在检测到所述握手信号中的错误时生成第二故障，所述第二故障允许所述第一处理器在被关闭之前继续执行达预定时间。

2.根据上述1所述的工业控制器，还包括：

第一存储器，所述第一存储器被配置成存储动态状态表，其中，所述动态状态表包括多个值，所述多个值中的每一个与所述工业机器或过程的当前操作的状态相对应，并且其中，所述动态状态表中的所述多个值中的每一个在所述状态改变时被更新；以及

第二存储器，所述第二存储器被配置成存储所述动态状态表的副本，其中，在生成所述第二故障之后的所述预定时间期间，所述第一处理器将来自所述动态状态表的所述多个值复制为所述副本。

3.根据上述2所述的工业控制器，其中，所述第二存储器是能够移除地连接至所述控制板的便携式存储介质。

4.根据上述3所述的工业控制器，其中，所述第二存储器是非易失性存储卡。

5.根据上述2所述的工业控制器，还包括通信接口，所述通信接口操作性地连接在所述第一处理器与网络之间，其中，所述第二存储器远离所述工业控制器并且所述第一处理器经由所述通信接口和所述网络将所述多个值复制到所述第二存储器。

6.根据上述1所述的工业控制器，其中，输入至所述第二处理器的所述多个第二输入信号选自控制电压和时钟频率中的一个。

7.一种工业控制器，所述工业控制器被配置成控制至少部分地限定工业机器或过程的多个设备，所述工业控制器包括：

控制板；

处理器，所述处理器操作性地连接至所述控制板，并且所述处理器被配置成接收多个第一输入信号，每个第一输入信号与所述多个设备中的一个设备的当前状态相对应，并且所述处理器被配置成执行所存储的程序，以根据所述多个第一输入信号来生成多个输出信号，每个输出信号控制所述多个设备中的一个设备的至少部分操作；

逻辑电路，所述逻辑电路独立于所述处理器执行，所述逻辑电路操作性地连接至所述控制板并且被配置成接收多个第二输入信号，每个第二输入信号与所述控制板的硬件功能相对应；以及

在所述处理器与所述逻辑电路之间周期性地传输的握手信号，其中：

所述逻辑电路监视所述多个第二输入信号，并且在检测到所述控制板的所述硬件功能中的错误时生成第一故障，所述第一故障启动所述处理器的硬关闭，以及

所述处理器监视所述握手信号，并且在检测到所述握手信号中的错误时生成第二故障，所述第二故障允许所述处理器在被关闭之前继续执行达预定时间。

8.根据上述7所述的工业控制器，还包括：

第一存储器，所述第一存储器被配置成存储动态状态表，其中，所述动态状态表包括多个值，所述多个值中的每一个与所述工业机器或过程的当前操作的状态相对应，并且其中，所述动态状态表中的所述多个值中的每一个在所述状态改变时被更新；以及

第二存储器，所述第二存储器被配置成存储所述动态状态表的副本，其中，在生成所述第二故障之后的所述预定时间期间，所述处理器将来自所述动态状态表的所述多个值复制为所述副本。

9.根据上述8所述的工业控制器，其中，所述第二存储器是能够移除地连接至所述控制板的便携式存储介质。

10.根据上述9所述的工业控制器，其中，所述第二存储器是非易失性存储卡。

11.根据上述8所述的工业控制器，还包括通信接口，所述通信接口操作性地连接在所述处理器与网络之间，其中，所述第二存储器远离所述工业控制器并且所述处理器经由所述通信接口和所述网络将所述多个值复制到所述第二存储器。

12.根据上述7所述的工业控制器，其中，输入至所述逻辑电路的所述多个第二输入信号选自控制电压和时钟频率中的一个。

13.一种工业控制器的自监视操作的方法，所述工业控制器被配置成控制至少部分地限定工业机器或过程的多个设备，所述方法包括如下步骤：

在操作性地连接至控制板的第一处理器处接收多个第一输入信号，每个第一输入信号与所述多个设备中的一个设备的当前状态相对应；

执行所存储的程序，以根据所述多个第一输入信号来生成多个输出信号，每个输出信号控制所述多个设备中的一个设备的至少部分操作；

在操作性地连接至所述控制板的第二处理器处接收多个第二输入信号，每个第二输入信号与所述控制板的硬件功能相对应，其中，所述第二处理器独立于所述第一处理器执行；

以周期性时间间隔在所述第一处理器与所述第二处理器之间传输握手信号；

利用所述第一处理器来监视所述握手信号；

当所述第一处理器检测到所述握手信号中的错误时，利用所述第一处理器生成故障；以及

当生成所述故障时，在关闭所述第一处理器之前继续所述第一处理器的执行达预定时间。

14.根据上述13所述的方法，还包括如下步骤：

在所述工业控制器的操作期间，在第一存储器中存储动态状态表，其中，所述动态状态表包括多个值，所述多个值中的每一个与所述工业机器或过程的当前操作的状态相对应，并且其中，所述动态状态表中的所述多个值中的每一个在所述状态改变时被更新；以及

在生成所述故障之后的所述预定时间期间，利用所述第一处理器在第二存储器中存储所述动态状态表的副本。

15.根据上述14所述的方法，其中，所述第二存储器是能够移除地连接至所述控制板的便携式存储介质。

16.根据上述15所述的方法，其中，所述第二存储器是非易失性存储卡。

17.根据上述14所述的方法，其中，所述第二存储器远离所述工业控制器，并且存储所述动态状态表的副本的步骤包括经由通信接口和网络将所述多个值传输至所述第二存储器，所述通信接口操作性地连接至所述第一处理器，所述网络操作性地连接在所述通信接口与所述第二存储器之间。

18.根据上述13所述的方法，还包括如下步骤：

在所述第二处理器处监视所述多个第二输入信号；

当所述第二处理器检测到所述控制板的所述硬件功能中的错误时，利用所述第二处理器生成第二故障；以及

响应于生成所述第二故障，启动所述第一处理器的硬关闭。

部件列表

部件编号	描述
		10	工业控制器
11	端子
		12	电源模块
13	转换器
		14	处理器模块
15	输出电压
		16	网络模块
17	背板连接器
		18	附加模块
20	操作者接口
		22	处理设备
24	输入设备
		26	显示设备
28	接口线缆
		30	接口线缆
32	线缆
		34	开关
36	网络线缆
		38	网络线缆
40	远程机架
		42	网络模块
44	输入模块
		46	输出模块
47	输出信号

48	附加模块
		50	受控设备
60	控制处理器
		62	第一存储器设备
64	时钟电路
		65	温度传感器
68	调节器电路
		70	监控处理器
72	第二存储器设备
		74	可移动存储设备
76	端口
		80	附加模块
82	调节器电路
		84	控制电路
86	端子

Claims (10)

1.一种工业控制器，所述工业控制器被配置成控制至少部分地限定工业机器或过程的多个设备，所述工业控制器包括：

控制板；

第一处理器，所述第一处理器操作性地连接至所述控制板，并且所述第一处理器被配置成接收多个第一输入信号，每个第一输入信号与所述多个设备中的一个设备的当前状态相对应，所述第一处理器还被配置成执行所存储的程序，以根据所述多个第一输入信号来生成多个输出信号，每个输出信号控制所述多个设备中的一个设备的至少部分操作；以及

第二处理器，所述第二处理器被配置成独立于所述第一处理器执行，所述第二处理器操作性地连接至所述控制板并且被配置成接收多个第二输入信号，每个第二输入信号与所述控制板的硬件功能相对应，

其中，所述第二处理器还被配置成监视所述多个第二输入信号、并且在检测到所述控制板的所述硬件功能的错误时生成第一故障，所述第一故障启动所述第一处理器的硬关闭，

其特征在于，

所述工业控制器还被配置成在所述第一处理器与所述第二处理器之间周期性地传输握手信号，并且

所述第一处理器还被配置成监视所述握手信号、并且在检测到所述握手信号中的错误时生成第二故障，所述第二故障允许所述第一处理器在被关闭之前继续执行达预定时间。

2.根据权利要求1所述的工业控制器，还包括：

第一存储器，所述第一存储器被配置成存储动态状态表，其中，所述动态状态表包括多个值，所述多个值中的每一个与所述工业机器或过程的当前操作的状态相对应，并且其中，所述动态状态表中的所述多个值中的每一个在所述状态改变时被更新；以及

第二存储器，所述第二存储器被配置成存储所述动态状态表的副本，其中，所述第一处理器还被配置成在所述第二故障生成之后的所述预定时间期间将来自所述动态状态表的所述多个值复制为所述副本。

3.根据权利要求2所述的工业控制器，其中，所述第二存储器是能够移除地连接至所述控制板的便携式存储介质。

4.根据权利要求2所述的工业控制器，还包括通信接口，所述通信接口操作性地连接在所述第一处理器与网络之间，其中，所述第一处理器还被配置成经由所述通信接口和所述网络将所述多个值复制到所述第二存储器。

5.根据权利要求1所述的工业控制器，其中，输入至所述第二处理器的所述多个第二输入信号选自控制电压和时钟频率中的一个。

6.根据权利要求1至5中的任一项所述的工业控制器，其中，所述第二处理器经由逻辑电路来实现。

7.一种工业控制器的自监视操作的方法，所述工业控制器被配置成控制至少部分地限定工业机器或过程的多个设备，所述方法包括如下步骤：

在操作性地连接至控制板的第一处理器处接收多个第一输入信号，每个第一输入信号与所述多个设备中的一个设备的当前状态相对应；

执行所存储的程序，以根据所述多个第一输入信号来生成多个输出信号，每个输出信号控制所述多个设备中的一个设备的至少部分操作；

在操作性地连接至所述控制板的第二处理器处接收多个第二输入信号，每个第二输入信号与所述控制板的硬件功能相对应，其中，所述第二处理器独立于所述第一处理器执行，其中：

在所述第二处理器处监视所述多个第二输入信号，

当所述第二处理器检测到所述控制板的所述硬件功能中的错误时，利用所述第二处理器生成第一故障，并且

响应于生成所述第一故障，启动所述第一处理器的硬关闭；

其特征在于，

以周期性时间间隔在所述第一处理器与所述第二处理器之间传输握手信号；

利用所述第一处理器来监视所述握手信号；

当所述第一处理器检测到所述握手信号中的错误时，利用所述第一处理器生成第二故障；以及

当生成所述第二故障时，在关闭所述第一处理器之前继续所述第一处理器的执行达预定时间。

8.根据权利要求7所述的方法，还包括如下步骤：

在所述工业控制器的操作期间，在第一存储器中存储动态状态表，其中，所述动态状态表包括多个值，所述多个值中的每一个与所述工业机器或过程的当前操作的状态相对应，并且其中，所述动态状态表中的所述多个值中的每一个在所述状态改变时被更新；以及

在所述第二故障生成之后的所述预定时间期间，利用所述第一处理器在第二存储器中存储所述动态状态表的副本。

9.根据权利要求8所述的方法，其中，所述第二存储器是能够移除地连接至所述控制板的便携式存储介质。

10.根据权利要求8所述的方法，其中，存储所述动态状态表的副本的步骤包括经由通信接口和网络将所述多个值传输至所述第二存储器，所述通信接口操作性地连接至所述第一处理器，所述网络操作性地连接在所述通信接口与所述第二存储器之间。