具有快速备份和配置的安全控制器的制作方法

本项发明的披露内容在一般情况下涉及工业自动化与控制系统，例如在工业与商业环境中所使用的自动化与控制系统。尤其重要的是，本项发明的披露内容涉及适合于在适用于人类生命与健康保护的装置中使用的、具有高度可靠性或工业安全性的控制器，尤其是通过存储器模块进行快速备份或配置的工业安全控制器。

背景技术：

工业控制器是指在工业生产过程的控制方面所使用的专用计算机。在存储、受控程序的指引下，工业控制器对反映受控生产过程状态的一系列输入量进行检测，并对控制工业生产过程的一系列输出量予以改变。输入量与输出量可以采用二进制(即开启或关闭)、或采用模拟量，从而在实质性的连续范围内提供一个数值。可以通过连接到受控生产过程的传感器获得输入量，并且可以将输出量提供给受控生产过程中的各个执行机构。

安全系统是指用于确保在工业生产过程环境中进行工作的人员安全的各种系统。该类系统可以包含紧急停止按钮、光幕和其他机器锁定装置相关联的电子装置。在传统上，同用于控制与安全系统相关的某一工业生产过程的工业控制系统相分离的一组冗余电路已经实施了安全系统。该类安全系统通过开关和继电器进行了硬接线，包括可以进行冗余信号比较和所有状况内部检查的专用安全继电器，例如焊接接点或粘接接点。

根据所需要的控制复杂性和安全复杂性，考虑到受控区域的数量，可以采用各种方式进行安全控制。可以采用局部、小规模或简单安全控制用安全继电器、针对模块化、更加复杂配置的模块、或更加先进、并且达到特定安全等级、但是仍然属于小型可编程逻辑控制器的模块等形式提供安全控制器。在复杂的安全网络范围内，可以采用小型安全控制器。另一方面，安全继电器尤其适用于小规模的紧急停止应用。

我们时常会为了遵守标准化要求而配置安全装置，例如安全完整性水平(SIL)等。另一方面，需要确保用户不仅能够配置标准的控制装置， 而且能够利用编辑器程序、通过软件的方式配置安全控制器或安全继电器。在使通过软件方式配置的安全控制器全面运行之前，必须对安全控制器符合安全要求的情况进行验证，从而在所述安全控制器的运行过程中提高安全性。为了表明验证程序的完成情况，可以用同样保存在安全控制器中的验证身份对安全控制器上的安全控制程序予以补充，或将安全控制程序连同集成验证身份一起下载到安全控制器中。可以提供表明对安全控制程序进行验证的其他方式。

在传统上，安全控制器或安全继电器通过网络、USB连接、或蓝牙连接的方式连接到编程工具或装置上，以收取一个安全控制程序，有些时候也被称为安全控制应用程序或安全控制项目。然后，将安全控制程序下载到安全控制器上，从而可以要求将前述安全控制器连接到编程或编辑器装置上。

对于原始设备制造商而言，或通常在必须利用共用配置对许多台机器或控制器装置进行编程的情况下，这是一项耗费时间的程序，需要将各台控制器同装置连接在一起，以便运行编辑器软件，并将包含工业控制程序的配置下载到控制器中。而且，利用这种方法难以追踪是否已经将同一安全控制程序或预定安全控制程序下载到控制器中。

在为工业控制器提供配置的另一项常规传统方法中，需要将一个存储卡或存储模块永久性地插入到工业控制器的插座中。这样会减少工业控制器的可用空间以及扩展性。为了平衡这些不利条件，通常会在永久性插入到工业控制器中的存储卡或存储模块上提供额外的功能装置，例如实时时钟。

技术实现要素：

在本发明的一项实施例中，安全控制器包含了非易失性存储器以及配置在主机模块上的一个或多个插槽。将一个或多个插槽中的一个，尤其是预定插槽(可以是最左边或最右边的插槽)，进行配置，以便通过通信联络方式将安全控制器同存储模块连接在一起。对安全控制器进行配置，以便将安全控制器上的配置备份传送到插槽中所托管的存储模块上和/或进行配置，以加载插槽中托管的存储模块所给予的配置。因此，可以利用可以由安全控制器托管的可拆除存储模块、以简单的方式在安全控制器之间往返进行安全控制器配置的传送。不必将存储模块永久性地安装在安全控 制器的插槽中。相反，可以将相同的插槽用于其他扩展模块，例如输入/输出模块或通信模块等。根据本实施例进行的工业安全控制器配置和备份并不需要网络或同编辑器装置的其他连接，这样可以便于在安全控制器生产过程中或在工厂场地进行快速分配。

根据当前发明的某一方面，只可以在非运行状态下进行安全控制器的备份和配置，可以将这种非运行状态称为运行的“故障状态”。这样可以确保安全控制器的安全运行不会受到备份过程或配置加载的影响。

根据当前发明的另一方面，配置包含了经过验证的安全控制程序和/或安全控制器固件。因此，可以将经过验证的安全控制程序连同支持各个已验证安全控制程序的安全控制器固件一起传送。根据当前发明的另一方面，在安全控制器的两个或多个处理单元之间提供了具有通信功能的一个处理单元。仅有一个预定插槽在内部进行连接，并提供同具有通信功能的前述单一处理单元进行的通信连接。该项配置减少了内部接线和硬件费用，同时为安全控制器提供了备份与恢复功能。此外，对预定插槽进行配置，从而不但可以通过通信方式与存储模块连接，而且在没有存储模块的情况下至少可以同预定插槽内所托管的通信模块相连接。

在本项发明的另一项实施例中，用于安全控制器快速配置的安全控制系统包含了多个安全控制器以及一个可拆除存储模块。系统的各个安全控制器均包含了一个或多个为了对插接式模块进行托管而配置的插槽，对一个或多个插槽中的一个，尤其是预定插槽，进行配置，以通过通信方式将安全控制器同可拆除的存储模块进行连接。对所有安全控制器以及存储模块进行配置，以便当存储模块在前述安全控制器中托管时，将可以保存在安全控制器存储器中的配置备份传送到存储模块中；和/或当存储模块在前述安全控制器中托管时，将配置从存储模块传送到安全控制器中。

在本项发明的另一项实施例中，将软件分配到多个工业安全控制器中的方法包含了一个将有关工业安全控制器或工业安全控制的软件加载到存储模块的步骤。之后将存储模块在工业安全控制器一个或多个插槽中的一个预先确定插槽中进行托管。然后，以通信方式、通过预定插槽将存储模块连接到工业安全控制器上。在开始将软件从存储模块传送到工业安全控制器后，软件从存储模块传送到工业安全控制器上，并保存在工业安全控制器的非易失性存储器中。

根据当前发明的一个方面，加载包含了通过第一工业安全控制器对存储模块进行托管、确定是否对第一工业安全控制器上的安全控制应用程序 进行了验证、以及(如果进行了验证)将软件从第一工业安全控制器加载到存储模块上。根据当前发明的一个方面，可以将软件从软件编辑器或软件配置工具下载到前述第一工业安全控制器上，并保存在该控制器的非易失性存储器中。

通过详细说明和随附图纸，所属领域的技术人员可以明确了解该项发明的这些优点以及其他优点。但是，应当了解的是，在指出当前发明首选实施例的同时，是通过图解而并非限制条件的方式给出了详尽说明和随附图纸。在当前发明的范围内，可以在没有背离发明精神的情况下进行许多更改和修改，而发明则包含了所有该类修改。

附图说明

在随附图纸中，对本文件中所披露发明主旨的各种示范性实施例进行了图解说明，其中相同的参考数字在整个图纸范围内表示相同的部分，其中：

附图1根据一项实施例显示了安全控制器的方框图；

附图2根据一项实施例显示了安全控制器快速配置用安全控制系统的方框图；

附图3A根据当前实施例显示了将软件分配到多个工业安全控制器中的一种方法的流程图；

附图3B根据当前实施例显示了将软件分配到多个工业安全控制器中的一种方法的另一流程图。

具体实施方式

在对图纸中所显示的各种发明实施例进行说明时，为了予以澄清，采用了特定的术语。但是，本项发明并不应当受到所选择的特定术语的限制；应当理解的是，各个特定术语包括以类似方式实现类似目的的所有等效技术术语。例如，经常使用词语“连接”、“相连”、或与此相类似的术语。该类术语并不限于直接连接，但是包括通过其他元件进行的连接；在这种情况下，所属领域的技术人员将该类连接确认为等效连接。

尽管本项发明有可能具有各种修改和替代形式，但是通过图纸中的范例方式显示了具体的实施例，并在本文件中对其进行了详细说明。但是， 应当明白的是，各种实施例并不应当限制于所披露的具体形式。更确切地说，披露应当包含处于附加权利要求所确定的发明精神和披露范围内的所有修改、对等发明和替代发明。此外，尽管在本文件中以简化说明的方式对各个实施例进行了论述，但是本项发明仍然意图包含该类实施例的所有组合。

尤其重要的是，尽管针对附图3A和附图3B对各种方法进行了说明，但是，根据在涉及附图1的情况下所显示的实施例、以及在涉及附图2的情况下按照本项发明所显示的安全控制器快速配置所用安全控制系统的实施例、针对安全控制器所披露的具体内容、元素和特定方面是可以组合在一起的，并且可以根据所披露的进一步实施例同涉及附图3的情况下所说明的方法步骤相结合。此外，根据进一步的实施例、在涉及通过附图1和附图2所显示实施例的情况下说明的具体内容和元素可以相互组合，尤其是根据在涉及附图1的情况下说明的实施例、在同安全控制器相关的情况下所说明的具体内容和结构元素明确可以和在涉及附图2的情况下所说明的实施例组合在一起，而该类实施例明显同严格的替代发明并不矛盾或被确定为同严格的替代发明相关。

此外，在本项发明实施例的下列说明中，应当将术语“安全控制器”或“工业安全控制器”理解为在其含义范围内包含了属于小规模安全控制器的安全继电器。

根据本项发明的实施例，通过自适应安全控制器为安全控制器的快速配置和/或备份进行准备，以便同具有安全控制器固件或安全控制程序(该类安全控制程序通常被称为安全控制应用程序或安全项目、或此二者)的可拆除存储模块一起运行，即可以储存安全控制程序以及适合于运行该程序的固件。

尤其重要的是，经过验证的安全控制程序连同验证身份一起储存在安全控制器上，因此可以在众多安全控制装置内进行分配，例如在生产过程中进行分配，这一点对于原始设备制造商、或后期在工厂场地中尤其有用，特别是在配置了众多安全控制器、以便执行相同安全控制程序的情况下。

在将所配置的安全控制程序下载到各个安全控制器上时，不需要将各个安全控制器通过网络或其他通信方式连接到某一种装置上，这种情况非常有利。在生产安全控制器时，或需要对已经设置在自动化环境中的众多安全控制器的固件和/或工业控制程序进行升级或更新时，情况尤为如此。例如，可以将不同的安全控制程序，尤其是经过验证的安全控制程序，保 存在不同的存储模块中。因此，可以根据需要在几台设备上对经过验证的安全控制程序进行复制。通过支持安全控制软件的快速恢复或配置、以及提供某一固件版本或某一固件修订，可以通过提供新固件版本或固件修订的方式对新功能(例如：控制程序的新功能块)予以支持。可以连同前述固件一起提供利用该固件版本或固件修订所支持的新功能、并且具有更高效率的安全控制程序。

现在转到图纸，并首先参看附图1，其中显示了示范性安全控制器100。示范性安全控制器100包含了一个非易失性存储器110；该非易失性存储器110包含了可写存储器以及(可选项)只读存储器(ROM)，尤其是在用于储存固件时。根据实施例的情况，安全控制器110至少包含了两个处理单元130。其中至少有一个处理单元为可以确保高度可靠性的安全控制处理单元130b。根据实施例的情况，通过拥有至少两个至少可以按照部分冗余的方式运行的安全控制处理单元，可以提供冗余度。根据一个实施例，两个安全控制处理单元130b执行一个同步程序，其中输入信号在两个处理单元130b之间同步，之后每一个安全处理单元130b利用前述同步输入量执行安全控制程序的各项安全任务。最后，在将各个输出量提供到安全控制器100的输出终端(未显示)之前，对安全控制程序的各个输出量进行比较。如果输出量并不匹配，则安全控制器输入一个操作安全状态。安全控制器100进一步包含了一个处理单元130a，该处理单元支持有关安全控制器100的通信功能。根据一个实施例，该处理单元130a是不执行安全控制程序各项安全任务的标准处理单元。

安全控制器100包含了一个或多个对模块、尤其是插接式模块、进行托管的插槽。根据各个实施例，模块托架122包括了插槽120，而每个插槽120都包含了至少可以确保同插接式模块进行通信连接的模块托架连接器124。此外，可以通过模块托架连接器124将电力从安全控制器100传供到插接式模块中。

根据当前实施例，配置了一个或多个插槽120中的一个预先确定插槽120a，以通过通信方式将安全控制器100连接到存储模块150上，而该存储模块并未永久性地连接到安全控制器100上。根据各个实施例，预定插槽120a可以是为了确保同存储模块进行前述通信连接而配置的唯一插槽120。前述预定插槽120a同样可以连接到通信模块160上，该通信模块至少可以提供网关功能、到安全控制器100的有线网络连接或无线网络连接。可以通过串行网络通信协议和接口的方式提供有线网络连接，可以通 过蓝牙通信或蜂窝通信的方式提供无线网络连接。安全控制器100可以包含两个对模块进行托管的插槽120，而左侧插槽或右侧插槽均可以作为预定插槽120a进行配置，以便通过通信方式将安全控制器同存储模块150和/或通信模块160进行连接。

根据各个实施例，仅将没有提供安全控制功能、但是至少提供部分通信功能的处理单元130a连接到预定插槽120a上，从而可以在预定插槽120a所托管的存储模块150与具有前述通信功能的处理单元130a之间提供通信连接。利用这种方式，可以在更换为安全控制器100提供通信、备份或配置功能(例如通过存储模块150的方式)的可拆除模块时防止安全控制功能的执行受到影响。而且，减少了硬件成本(尤其是内部接线或电路方面)以及软件的复杂性(在使工业安全控制器100的所有处理单元都能够同存储模块150互动方面)。此外，尽管预定插槽120准备好同存储模块150以及通信模块160进行连接，但是根据各个实施例，该插槽同样可以支持同其他扩展模块进行的通信连接，包括输入/输出扩展模块等，并且不会损失安全控制器100上任何宝贵的空间。根据当前实施例，提供了安全控制器100的简单备份或配置。

根据一个实施例，可以提供除了通过其插槽120(包括预定插槽120a)之外没有任何网络连接的安全控制器100，利用该类插槽可以通过通信方式连接到存储模块150和/或通信模块160上。这样可以导致硬件部件数量和成本的进一步减少，并且能够确保安全控制器100结构的进一步简化，同时为更加复杂的安全控制器提供了安全功能和升级能力。

可以将配置111保存在安全控制器100的非易失性存储器100中。根据各个实施例，该类配置111包含了经过验证的安全控制程序112和/或安全控制器固件114。应当注意的是，配置111同样可以包含未经过验的安全控制程序112，在有限操作运行模式中可以对该安全控制程序进行测试。根据一个实施例，确认了准备将未经验证的安全控制程序112备份到存储模块150的尝试，并通过安全控制器100予以阻止，以防止分配可能有损于工业自动化环境安全性的未经验证的安全控制程序112。根据一个实施例，经过验证的安全控制程序112具有通过该程序予以保存的相关验证身份113。经过验证的安全控制程序112在存储模块150上的备份包含了用于恢复经过验证的安全控制程序112的验证身份113以及任何其他适当安全控制器100上的验证身份113。

根据一个实施例，为了对安全控制器100的配置111进行备份并将配 置111加载到安全控制器100上，首先必须关掉安全控制器的电源；在安装了存储模块150并再次打开安全控制器100的电源之后，安全控制器100将会检测是否存在存储模块150，并输入一个故障状态或非运行状态。在非运行状态或故障状态期间，安全控制器100不会执行目前选定为安全控制器100上运行安全控制程序的安全控制程序。这样可以确保安全控制程序的执行不会受到工业安全控制器100备份过程或恢复工业安全控制起100配置的不利影响。

根据各个实施例，安全控制器100包含了用户接口方式140，可以利用该用户接口方式开始将某项配置备份到存储模块150中和/或开始将模块150的配置111加载到安全控制器100上。根据各个实施例，可以通过在遥控装置180上运行的软件配置安全控制器100。可以将所配置的项目作为配置111下载到安全控制器100上。而且，通过在遥控装置180上运行的编辑器软件可以在安全控制器之间往返进行配置的备份和加载。根据一个实施例，可以将安全控制程序112和安全控制器固件的备份限制为只可以通过前述编辑器软件生效。

至少可以通过用户接口方式140部分启动从存储模块150到安全控制器100的配置加载。根据一个实施例，用户接口方式140包含了一个可以按下、并在预定时间内按住、以开始将配置111从托管的存储模块150加载到安全控制器100上的按钮。根据某些实施例，在验证是否开始将配置111加载或恢复到安全控制器100时，还需要激活存储模块150上的一个按钮(未显示)，而安全控制器100上的按钮140仍然处于激活状态，即已经被按下或按住。根据各个实施例，可以利用安全控制器100上和/或存储模块150上的发光二极管灯(未显示)指示是否开始和执行了将配置111备份和/或传送到安全控制器上。可以将该类发光二极管灯或其他发光二极管指示灯用于指示未验证的运行模式，该类运行模式需要在有限的时间内对安全控制器100进行测试。

现在转到附图2，其中显示了根据当前实施例对安全控制器201进行快速配置所使用的示范性安全控制系统200。系统200包含了两个或多个可以或不可以在工业自动化网络范围内进行连接的安全控制器201。每个安全控制器201都包含了一个或多个为了托管插接式模块而配置的插槽220。如附图2所示，最左边的安全控制器201包含了两个插槽，在中间的安全控制器201仅包含了一个插槽220，而最右边的安全控制器201则包含了三个用于对插接式模块220进行托管的插槽。每个安全控制器201 至少包含了一个为了以通信方式将安全控制器201连接到可拆除存储模块250上而配置的预定插槽220a。

为了在多个安全控制器的每个安全控制器201中至少一个前述预定插槽220中进行托管，配置了可拆除的存储模块。根据各个实施例，可以对相同的预定插槽220a进行进一步的配置，以便通过通信方式将安全控制器201连接到在涉及附图1的情况下、在上文中详细说明的通信模块260上。此外，应当配置预定插槽220a以及其他插槽220，以托管(尤其是)其他扩展模块270，包括输入/输出模块272；除了通常已经在安全控制器201上提供的接线端子之外，该类模块可以提供数字和/或模拟输入和/或输出端子。但是，根据一个实施例，安全控制器201自身并不具有任何输入和/或输出接线端子，并且通过所需要的一个或多个输入/输出扩展模块272而配备了输入和/或输出功能。

配备了一个安全控制器201a，以接收通过连接290从外部装置下载的配置211。连接290可以是串行或并行网络协议连接，例如通常为工业控制网络提供的连接、或USB连接。连接290同样可以包含各种无线网络，例如蓝牙、蜂窝通信等。因此，可以为其中一个安全控制器201，即安全控制器201a，提供配置211，然后可以通过可以插入到安全控制器201a预定插槽220a中的可拆除存储模块250分配给其他安全控制器201；在对来自于安全控制器201a的配置211进行了备份之后，可以将其从安全控制器201a中拆除，然后在另一个安全控制器201中进行托管。对于可以包含在配置211中的经过验证的安全控制程序，可以通过这种方式分配到其他安全控制器201中，尽管该类安全控制器可能没有连接到外部编辑器装置、以便下载配置211的方法。

如附图2所示，可以利用接近于永久性的方式将输入/输出模块272安装在插接式插槽220中，尽管所有扩展模块270均以可拆除的方式进行配置。此外，在大多数时间内，预定插槽220a都可以对通信模块260进行托管；只可以为了准备对来自于安全控制器201的配置进行备份或将配置加载到安全控制器201而在存储模块250之间分别进行临时替换。为此目的，将通信模块从预定插槽220a中拆除，并在有限的时间内用存储模块250予以更换，以利用存储模块250进行配置的备份或将配置加载至安全控制器201。可以在安全控制系统200的范围内使用若干存储模块250，以分配或恢复不同的安全控制程序和/或安全控制固件。

根据一个实施例，在开始对系统200某个安全控制器201的安全继电 器项目或工业控制程序进行备份时，首先应当关闭安全控制器201的电源。将目前位于预定插槽220a内(可以是插槽220最左边的插槽或最右边的插槽)的防尘盖或其他插接式模块拆除。然后将存储模块扣到模块托架的预定插槽220a中。然后，打开安全控制器201的电源，而安全控制器201可以检测是否存在存储模块250，并输入一个操作故障状态。可以提供发光二极管故障指示灯，以表明操作故障状态。在安全控制器201上提供的其他发光二极管指示灯可以用于表明是否对安全控制器201上的配置进行了验证。可以激活存储模块250上的用户接口按钮，以开始进行备份过程，而存储模块250上的发光二极管状态指示灯表明已经开始了备份过程。在完成了备份操作后，前述发光二极管状态指示灯停止闪烁。根据一个实施例，可以通过在安全控制器201上提供的发光二极管指示灯显示在安全控制器201上保存的验证身份。此时，可以确认在安全控制器201上显示的验证身份是否同所要备份的安全控制应用程序的预期验证身份相匹配。

接下来，关闭安全控制器201的电源，并将存储模块250从安全控制器模块托架的预定插槽220a上拆除。可以将防尘盖或之前安装的插接式模块，例如输入/输出模块272或通信模块260，扣回到模块托架的预定插槽220a中，并再次打开安全控制器201的电源，以恢复实施安全控制的正常操作。

根据另一个实施例，安全控制系统的安全控制器201可以利用存储模块250和安全控制器201上的一个或多个按钮从存储模块250恢复安全控制器项目。首先，关闭安全控制器201的电源，并拆除防尘盖或目前位于预定插槽220a内、目前予以安装的插接式模块。然后，将存储模块250扣入到安全控制器201模块托架的预定插槽220a中。然后，打开安全控制器201的电源，以检测是否存在存储模块250，并输入一个故障状态。可以提供点亮时为纯红色的发光二极管故障指示灯，并且没有执行包括工业安全控制程序在内的应用程序逻辑。在此阶段，在安全控制器201上提供的额外发光二极管指示灯可以表明是否对目前在安全控制器201上的配置进行了验证。

如要将存储模块250上经过验证的安全控制程序恢复到安全控制器201上，则应当激活位于安全控制器201上的用户接口按钮。在激活安全控制器上的用户接口按钮时，可以要求同时激活存储模块250上的用户接口按钮，以确认将存储模块250上的配置恢复至安全控制器201。

在完成了恢复操作之后，存储模块250上的发光二极管状态指示灯停止闪烁，而上文说明的、可以作为选项在安全控制器201上提供的发光二极管灯则表明从存储模块250恢复到安全控制器201的、目前已恢复安全应用程序的验证身份。在此阶段，可以确认所显示的验证身份是否同从存储模块250恢复的应用程序的预期验证身份相匹配。

接下来，关闭安全控制器201的电源，并将存储模块250从安全控制器模块托架的预定插槽220a中拆除。将防尘盖、之前安装的插接式模块或提供所需要功能的其他插接式模块扣回到模块托架的预定插槽220a中，并打开安全控制器201的电源，以恢复正常操作，包括执行安全控制器201上已经恢复的安全控制应用程序。

现在转到附图3A和附图3B，其中显示了按照当前实施例将软件分配给多个工业存储模块的方法。首先参照附图3A并根据第一步骤330，将同工业安全控制器或工业安全控制相关的软件装载到一个存储模块上。软件可以破解安全控制应用程序、安全控制程序和/或安全控制器固件。根据一个实施例，可以在工厂将软件装载到存储模块上。此外，可以通过存储模块和编辑器工具或软件安装装置之间的直接连接装载软件。根据另一个范例，可以通过已经安装了软件的第一工业安全控制器恢复或装载软件。在下文中针对附图3B以及步骤310至330a进行了更加详尽的说明。

在下一步骤340中，在工业安全控制器其中一个或多个模块插槽的一个插槽中对存储模块进行托管，尤其是上文所说明的预定插槽，并根据步骤350、通过前述插槽、以通信方式将其连接到工业安全控制器上。通信连接可以包含检测插槽中是否存在存储模块、并为了启动存储模块同为了提供安全控制器的通信功能而配置的工业安全控制器处理单元(在涉及附图1的情况下、在上文中予以更加详尽的说明)的通信而交换一项或多项信息。在步骤360中启动了将软件从存储模块到工业安全控制器的传送。通过激活用户接口方式，例如按下按钮、触摸屏上的输入量或触摸输入装置、或将一项命令传达给安全控制器，可以完成这一操作。作为对前述启动的回应，在步骤370中将软件从存储模块传送到工业安全控制器；在步骤380中，将所传送的软件保存在工业安全控制器的非易失存储器中。

正如所述，软件可以破解在有或没有安全控制应用程序的情况下所提供的控制器固件。如果软件破解了控制器固件，则传送步骤370可以破解，并对工业安全控制器只读存储器(ROM)中保存的现有控制器固件进行覆写。在其他实施例中，固件保存在读/写非易失存储器中。

正如所述，在步骤330中加载到存储模块上的软件可以是通过第一工业安全控制器所备份的软件。现在参考附图3B，根据各个实施例，在步骤310中将软件从软件编辑器或软件配置工具下载到前述第一工业安全控制器中并保存在第一工业安全控制器的非易失存储器中。根据其他实施例，也可以通过先前加载或配置过程中的存储模块加载第一工业安全控制器上的软件。

根据步骤320，此时由前述第一工业安全控制器对存储模块进行托管。根据步骤322，可以确定是否对第一工业安全控制器上的安全控制应用程序进行了验证。如上文所说明的那样，可以对工业安全控制应用程序进行验证，以说明工业安全控制应用程序符合安全标准和/或要求。可以根据预定的程序、利用具有已安装工业安全控制应用程序的安全控制器执行特定的操作，以实施验证过程，或者可以通过为了按照预定安全标准和/或要求确定完整验证而执行规定操作的验证工具自动予以实施。如果确定已经对安全控制应用程序进行了验证，则在步骤330a中将软件从第一工业安全控制器加载到存储模块中。然后，可以按照上文中针对附图3A的说明，继续进行该方法的步骤340至步骤380。

根据进一步的实施例，在步骤380中将传送的软件保存到工业安全控制器的非易失存储器后，前述工业安全控制器可以起到第一工业安全控制器的作用，以确保将该工业安全控制器上所保存的安全控制应用程序备份到存储模块上，之后将其分配到其他工业安全控制器上。

应当认识到，该项发明在其应用方面并不限于其中说明的构造细节和部件安排。该项发明适合于其他实施例，并且可以通过各种方式予以实践或执行。对前述内容进行的变更和修改属于当前发明的范围之内。同样应当认识到，所披露的发明和其中确定的内容适用于文本和/或图纸中所述及或所证明的两项或多项特征的所有替代组合。所有该类不同组合构成了当前发明的各个替代方面。在本文件中说明的各个实施例说明了实施该项发明的已知最佳方法，并且确保所属领域的技术人员能够利用该项发明。