過程控制系統，例如像西門子的simaticpcs7用于對技術設施中的過程進行自動化控制并且通常按照等級地通過多個層面進行結構化。在現場層面上通過現場設備來檢測技術過程的狀態(傳感器)或者有針對性地影響該過程(作動器)。在控制層面中，控制計算機(具有cpu單元的存儲器可編程控制裝置)執行靠近現場的控制和調節功能，其中，該控制計算機接收來自傳感器，例如壓力變換器的輸入值并且將輸出值輸出給作動器，例如用于調節閥的位置調節器。在過程引導層面上，在主機中進行對過程的上級控制和調節。

背景技術：

在現場設備與控制計算機之間的數據交換通常通過數字現場總線，例如像profibusdp或者profinet實現。因為現場設備通常自己不具有相應的現場總線接口，因此其通過分散式的外圍工作站連接至現場總線。外圍工作站由用于連接至現場總線的接口模塊(頭組件)和用于連接現場設備的多個外圍組件(數字和模擬的輸入和輸出組件)構成。外圍組件能夠具有一個或者多個通道，在其上能夠分別連接一個現場設備。

高可用性的系統，例如其由de102004034451a1或者wo2005/057306a1所公開的那樣，具有冗余地設計的中央功能并且構造具有兩個分離的控制計算機。在所謂的“熱待機”運行的情況中，這兩個控制計算機在無干擾的情況下同時處理相同的控制程序，然而其中僅僅一個控制計算機是活躍的并且利用其輸出值對過程進行控制。在故障的情況中，功能正常的控制計算機單獨承擔過程的控制。這兩個控制計算機的輸出值通過單獨的輸出組件提供給作動器，其中，如de102004034451a1所示出的那樣，在輸出組件的信號輸出端處的退耦二極管在一些情況中導致數字輸出值的或運算或者模擬的輸出值相加。為了交換例如狀態和平衡信息的形式的信息，設置有冗余耦合裝置，通過其將控制計算機彼此連接。

在由wo2005/057306a1所公開的冗余控制系統中，第一控制計算機通過第一總線與第一外圍工作站的接口模塊，例如西門子的et200m連接，其包括至少一個外圍組件。第二冗余控制計算機通過第二總線與第二外圍工作站的接口模塊連接，其同樣包括至少一個外圍組件。作動器布置在兩個外圍組件的信號輸出端處，其形成輸出組件并布置在不同的外圍工作站中。兩個外圍工作站的每個接口模塊設計用于，通過總線將從相應的控制計算機為作動器獲得的輸出值傳輸給相應的輸出組件，用于輸出給作動器。每個輸出組件設計用于對其信號輸出端上的干擾進行識別并且呈現給控制計算機，從而實現切換到無干擾的外圍單元上。

ep0478288a2公開了一種用于作動器的冗余的自動化系統，該作動器連接在兩個輸出組件的彼此斷開耦合的信號輸出端上。兩個輸出組件通過共同的總線與兩個冗余的控制計算機連接。

由ep2806316a1公開了一種用于傳感器的冗余自動化系統，該傳感器冗余地連接在兩個布置在不同的外圍工作站中的外圍組件上。兩個外圍工作站分別包含一個接口模塊，其利用該接口模塊通過共同的總線連接至自動化設備。

由ep2799947a1已知一種具有冗余的適配器單元的裝置，以將現場設備，例如作動器冗余地連接至兩個布置在不同的外圍工作站中的外圍組件上。

由ep2860598a1已知一種用于傳感器和作動器的冗余的自動化系統，二者連接在外圍工作站上。外圍工作站通過總線連接至兩個子系統，例如自動化設備，其如由上述的de102004034451a1或者wo2005/057306a1所公開的那樣循環和同步地處理相同的控制程序并且為此通過同步連接器彼此連接。在此僅僅一個子系統是活躍的，其中在故障的情況中切換到另外的子系統上。為了使得該切換不會對待控制的技術過程產生干擾影響，允許在所連接的外圍設備的輸出端上出現死區時間，在死區時間期間輸出端保持在其最后有效的過程輸出值上。

冗余運行的一個問題在于，當布置在輸出組件之前的裝置，例如像控制計算機或者現場總線被干擾時或者故障時，確定系統的特定反應。在pcs7系統中，這樣的現場總線側的干擾或者這樣的故障由外圍工作站的接口模塊探測，從而由此外圍工作站的所有輸出組件都通過一個指令(命令“outputdisable”)導致最后獲得的輸出值被凍結。這在上述的具有兩個控制計算機和兩個分散式外圍工作站的冗余運行中導致，即在直至此時活躍的控制計算機被干擾的情況中在下級布置的輸出組件的信號輸出端上保持由該活躍的控制計算機最后輸出的輸出值，而布置在之前不活躍的并且現在活躍的控制計算機之后的輸出組件輸出最新的輸出值。在模擬輸出的情況中，作動器因此獲得由凍結的和最新的輸出值構成的和，并且在數字輸出的情況中，在無效的情況中邏輯值持續為“一”。確定出的反應機制因此導致完全的冗余故障。

解決該問題的一個可能性在于，在兩個外圍工作站中的每一個中布置一個附加的數字輸出組件作為輔助組件，其在獲得指令“outputdisable”時對外部的配電繼電器進行驅控，從而將為冗余運行設置的輸出組件與電源斷開。由此，輸出組件的信號輸出被強制性地帶入到無電流和無電壓的狀態，其不會通過或運算對由另外冗余的輸出組件提供的輸出值產生影響。

雖然該問題利用也引起成本提高的這種措施得到解決，但是該措施是有缺陷的，即冗余輸出組件在去掉其電源時相對長時間地保持不受控制和未定義的狀態，從而不能實現快速切換到相應的另外的輸出組件上。

技術實現要素：

根據本發明，以上列出的問題簡單地通過一種冗余的控制系統和相應的方法解決，二者相應地也實現了在冗余的輸出組件之間的快速的切換。

因此本發明的內容是一種用于作動器的冗余的控制系統，

具有第一控制計算機，該第一控制計算機通過第一總線與第一外圍工作站的接口模塊連接，該第一外圍工作站包含至少一個外圍組件，

具有冗余的第二控制計算機，該第二控制計算機通過第二總線與第二外圍工作站的接口模塊連接，該第二外圍工作站同樣包含至少一個外圍組件，其中

作動器連接在兩個外圍工作站的分別形成一個輸出組件的兩個外圍組件的彼此退耦的信號輸出端上，

每個接口模塊設計用于，

通過總線將從相應的控制計算機為作動器獲得的輸出值傳輸給輸出組件，以輸出給作動器，以及

在探測到總線側的干擾時，向輸出組件和外圍工作站的所有另外的輸出組件傳輸用于將替代值輸出給其信號輸出端的指令，并且此外，

在其信號輸出端上連接有作動器的兩個輸出組件通過通信連接彼此連接并且設計用于交換關于獲得用于輸出替代值的指令的信息，并且該指令僅僅在相應的另外的輸出組件同樣收到這樣的指令時才將被執行。

因此本發明的內容此外是一種用于在控制系統中對作動器進行冗余的控制的方法，其中，

第一控制計算機通過第一總線與第一外圍工作站的接口模塊連接，該第一外圍工作站包含至少一個外圍組件，

第二控制計算機通過第二總線與第二外圍工作站的接口模塊連接，該第二外圍工作站同樣包含至少一個外圍組件，以及

作動器連接在兩個外圍工作站的分別形成一個輸出組件的兩個外圍組件的彼此退耦的信號輸出端上，其中，

每個接口模塊通過總線將從相應的控制計算機為作動器獲得的輸出值傳輸給輸出組件，以輸出給作動器，以及

在探測到總線側的干擾時，向輸出組件和外圍工作站的所有另外的輸出組件傳輸用于將替代值輸出給其信號輸出端的指令，并且此外

在其信號輸出端上連接有作動器的兩個輸出組件，通過通信連接交換關于獲得用于輸出替代值的指令的信息，并且該指令僅僅在相應的另外的輸出組件同樣收到這樣的指令時才被執行。

替代值尤其可以是最后獲得的輸出值，但是也可以是另外的、與按規定運行的輸出值不同的參數化的值。

根據本發明的冗余的控制系統的輸出組件可以同樣是數字的或者模擬的輸出組件。

對于兩個冗余的輸出組件多通道地設計的情況，僅僅在相應的另外的輸出組件同樣獲得這樣的指令時才執行用于輸出替代值的指令的這種限制僅僅適用于以下的通道，其中作動器通過二極管連接到該通道上。

附圖說明

為了進一步描述本發明，接下來對唯一的附圖1進行參考，該附圖在示意性的框圖中示出了根據本發明的冗余控制系統的實施例。

具體實施方式

圖1中示出了過程控制系統的一個部段，其具有：在過程引導層面中的管理裝置1；在控制層面中的、存儲器可編程控制裝置的形式的第一和第二控制計算機2，3；以及在現場層面上的作動器4。現場層面包含另外的、在此沒有示出的現場設備，其以傳感器的形式檢測技術過程的狀態并且設計成作動器以便對過程有針對性地影響。管理裝置1和控制計算機2，3通過設備總線5(例如以太網)彼此連接。為了產生用于作動器4的輸出值，兩個控制計算機2，3在冗余運行中分別對一個且相同的控制和應用程序進行處理，其中，其此外對通過單獨的數字現場總線6，7(例如profibusdp)從傳感器獲得的輸入值進行處理。通過第一和第二分散式外圍工作站8，9將現場設備連接在兩個控制計算機2，3的現場總線6，7上。兩個外圍工作站8，9中的每一個都由用于連接至相應的現場總線6，7的接口模塊10，11(頭部組件)以及多個單通道或者多通道的外圍組件構成，在此僅僅分別示出了其中一個輸出組件12，13。作動器4通過退耦二極管14，15連接在這兩個輸出組件12，13的信號輸出端16，17上。接口模塊10從相應的控制計算機2，3獲得用于作動器4的輸出值，并傳遞輸出值給輸出組件12，13，其中用于作動器4的二極管14，15對數字值進行析取(或)運算并且對模擬值(電流)進行相加。這兩個輸出組件12，13都是活躍的。其在無故障的冗余運行中獲得兩個相同的輸出值。兩個控制計算機2，3自身相應地進行平衡。

接口模塊10，11相應地對其所連接到的現場總線6，7進行監控，并且在干擾的情況中，例如在控制計算機故障(例如運行狀態為停止，電纜被拉走，等等)中向涉及的外圍工作站8，9的所有輸出組件輸出指令，以用于輸出例如最后獲得的輸出值形式的替代值。該行為在非冗余運行中是必要的。然而，這在冗余運行中導致有故障的運行狀態。為作動器4冗余地提供輸出值的輸出組件12，13因此僅在以下時刻執行該指令，即當且只要兩個輸出組件獲得這樣的指令時。為了能夠實現前述情況，輸出組件通過通訊連接(例如rs485)來交換關于獲得用于輸出替代值的指令的信息。由此阻止了，作動器4例如替代當前的模擬輸出值獲得該當前模擬輸出值和一個根據指令凍結的輸出值的和。