SYSTEM AND METHOD FOR CONTROLLER REDUNDANCY AND CONTROLLER NETWORK REDUNDANCY WITH ETHERNET/IP I/O

An apparatus includes a first controller (104a, 104b, 202, 304, 306) having at least one interface (120) and at least one processing device (116). The at least one interface is configured to communicate with a second controller (104a, 104b, 202, 304, 306) and with a controlled network (350) having multiple EtherNet/IP-compatible input/output (I/O) modules (206, 208, 360) and multiple EtherNet/IP-compatible controlled devices (210, 212, 362). The at least one processing device is configured to detect a fault associated with the second controller while the second controller is in communication with at least one of the I/O modules and at least one of the controlled devices. The at least one processing device is also configured, upon detection of the fault associated with the second controller, to resume the communication with the at least one I/O module and the at least one controlled device without the at least one I/O module updating the at least one controlled device to a failsafe condition. Un appareil comporte un premier contrôleur (104a, 104b, 202, 304, 306) ayant au moins une interface (120) et au moins un dispositif de traitement (116). La ou les interfaces sont configurées pour communiquer avec un second contrôleur (104a, 104b, 202, 304, 306) et avec un réseau commandé (350) ayant de multiples modules d'entrées-sorties compatibles EtherNet/IP (206, 208, 360) et de multiples dispositifs commandés compatibles EtherNet/IP (210, 212, 362). Le ou les dispositifs de traitement sont configurés pour détecter un défaut associé au second contrôleur tandis que le second contrôleur est en communication avec au moins un des modules d'entrées-sorties et avec au moins un des dispositifs commandés. Le ou les dispositifs de traitement sont également configurés pour, lors de la détection du défaut associé au second contrôleur, reprendre la communication avec le ou les modules d'entrées-sorties et avec le ou les dispositifs commandés sans que le ou les modules d'entrées-sorties mettent à jour le ou les dispositifs commandés à un état à sûreté intégrée.