[发明专利]用于运行冗余的自动化系统的方法

说明书

本发明涉及一种用于运行冗余的、具有两个子系统(1、2)的自动化系统(AS)的方法，其中，在冗余运行中子系统之一(1)作为主机起作用并且承担过程控制并且另一个子系统(2)作为辅机起作用。提出一种措施，通过该措施提高了自动化系统(AS)的可用性，其中，并不取决于是否在作为主机或者在作为辅机起作用的子系统(1、2)上出现短暂的故障，进一步避免了自动化系统(AS)的完全失效。

技术领域

本发明涉及一种用于运行冗余的自动化系统的方法，该系统具有两个子系统，其中，在冗余的运行中一个子系统作为主机起作用并且承担过程控制，并且另一个子系统作为辅机起作用。

背景技术

这种类型的方法例如由EP 0 907 912 B1公开。在那里两个子系统事件同步地耦合连接，其中在设置有数据补偿的合适的程序位置处两个子系统等待相应的另外的用户的应答，并且仅仅在获得应答的情况下分别同步地继续其程序处理。但是，当在两个子系统中的一个中出现短时的故障时，常常产生同步问题。这种类型的短时出现的和通常非局部化的故障的可能起因将会是在主存储器中的“比特错误”、在ASIC中的“比特错误”、固件错误、或者程序或程序部分的有错误的行为，其中该行为仅仅在确定的条件下设定。短时的故障可以导致两个子系统的完全失效，因为通常作为辅机起作用的子系统为了启动故障搜索运行而转换到停止状态中，并且还在运行的“有故障的”并且作为主机起作用的子系统在该转换之后马上失灵。由于这种类型的完全失效的原因，首先关闭待控制的过程，更换故障的子系统并且最后再次启动过程，这意味着很长的停机时间。

由EP 2 765 464 A1公开了一种用于运行冗余的自动化系统的方法，通过该方法进一步避免的短时故障的干扰效果。

发明内容

因此，本发明的目的是给出一种的用于运行自动化系统的方法，其提高了自动化系统的可用性。

该目的通过根据本发明的实施方式的措施实现。

有利的是，并不取决于是否在作为主机或者在作为辅机起作用的子系统上出现短暂的故障，进一步避免了自动化系统的完全失效。

本发明由这样的想法出发，即不立即在同步损失之后-而是仅仅时间延迟地-在作为辅机起作用的子系统中开始故障搜索运行，从而测定出同步损失的起因或者在辅机上的可能的故障。由此进一步避免了，即对于在主机由于短时故障而失灵的情况中，辅机已经处于故障搜索运行中并且由此在故障搜索运行期间导致自动化系统完全失灵。时间延迟或者时间间隔如此地选择，即对于主机在该时间间隔期间失灵的情况，辅机可以承担过程控制，其中在该种情况中，辅机首先(erst)完全不激活或者启动故障搜索运行。自动化系统的完全失灵被理解为，不仅是主机而且还有辅机都不能承担过程控制。

在辅机的故障搜索运行之后，主机在更新的范畴中为辅机提供重要相关的(控制)数据，其中，在更新之后辅机作为新的主机承担过程控制并且主机作为新的辅机启动另外的故障搜索运行。由此检验，是否“老的”主机(“新的”辅机)对同步损失或者对于故障负有责任，其中，“新的”主机(“老的”辅机)在单独运行中以重要相关的控制数据或者过程数据承担过程控制。

在本发明的一个设计方案中提出，在预定的时间间隔(Timeout)之后以及对于在故障搜索运行期间辅机探测到故障的情况，辅机占据故障状态。主机总是还在单独运行中控制过程，并且实现：服务技术人员能够更换辅机。辅机的故障状态被理解为辅机的受干扰的运行，在该框架中辅机不能执行过程控制。

在本发明的一个设计方案中提出，对于在故障搜索运行期间主机失灵或者被干扰的情况并且因此主机不能在实现或者执行主机职责或者过程控制时，主机首先将内部主机数据传输给辅机并且指出故障状态，其中，辅机作为新的主机承担过程控制。该切换或者该主机职责转换尽管不能“无冲击地”实现(而是由于切换的原因实现了在过程输出的值上的跳跃或者冲击)，但是也在该种情况中避免了自动化系统的失灵。

附图说明