CN103460196A

CN103460196A - 校验和生效plc系统中冗余软件的系统和方法

Info

Publication number: CN103460196A
Application number: CN2012800177053A
Authority: CN
Inventors: 纪昆; 宋震
Original assignee: Siemens AG
Current assignee: Siemens AG
Priority date: 2011-03-23
Filing date: 2012-03-13
Publication date: 2013-12-18
Also published as: AU2012231363A1; WO2012128994A1; RU2013147142A; CA2830494A1; EP2689335A1; BR112013024032A2; US20120246612A1

Abstract

本发明制定了一种校验和生效PLC冗余软件的有限状态机（FSM）的正式方法。本方法和系统在冗余软件的生命周期的每一个阶段被执行；其分别是，需求阶段、设计阶段、执行阶段和最终的集成阶段（包括系统集成）。在此期间的每一个步骤，校验和生效过程使用例如基于核对列表的审核和检测，需求可追溯性分析，正式校验（型号核对）等工具来确认所创立的冗余软件是零误差的以及在冗余PLC系统中被执行时如同规划的那样执行。

Description

校验和生效PLC系统中冗余软件的系统和方法

相关申请的交叉参考

本申请要求于2011年3月23日提交的美国临时申请No.61/466650的权益，在此通过参考合并。

技术领域

本发明涉及一种冗余PLC系统，并且更具体地涉及一种用于检验和生效用于提供对与这些系统相关联的冗余软件的完整生命周期的客观评估的过程和系统。

背景技术

可编程逻辑控制器（PLC）被认为是一种用于自动控制系统的特殊种类的计算机。一般而言，PLC是基于能够对特殊过程或过程的集合进行控制、监测并且与之互动的传感器和执行器。PLC是高度可配置的，并且因此可以应用于多个工业领域，例如自动化、化学、能源、运输等。

在某些情况下，如图1所示利用冗余PLC结构。在此装置中第一PLC10和第二PLC20都与多个外部设备通过网络30进行通讯。所述外部设备在本示例中被图示为I/O模组40、42和44，其对于接口而言所已知的是多种传感器、执行器、供电设备等（未示出）。PLC10被设计为“主”PLC，其是可操作的并且与外部设备在正常操作条件下通讯。PLC20被设计为“备用”PLC，其在PLC10出现错误或失效时联机与多种外部设备通讯。常规的与控制执行器、从传感器读入输入等等相关联的操作由PLC10中的“PLC功能”模组12（以及PLC20中的模组22）定义。

如图1所示，PLC控制器的冗余功能性由PLC10中的冗余管理组件14和PLC20的组件24提供，这些组件零散地彼此连结。如同进一步示出的，每个冗余管理组件进一步包括一个有限状态机（FSM），PLC10包括FSM16而PLC20包括FSM26。FSM16被利用来监控PLC10的状态并且管理在需要时转接到PLC20（FSM26以类似方式工作和管理转接回PLC10）。特别的是，每个有限状态机在任意时间点仅仅允许两个PLC中的一个作为“主”PLC。因此冗余管理组件14和24对于“故障保险”冗余系统的合适操作是必要的。

然而本装置的一个问题是，在大多数现实应用中，FSM（如FSM16）的全体状态空间对于彻底测试来说过于庞大（“状态空间”是所有可能状态的组合）。在某些个案中，使用测试脚本以详细调查状态空间的子集，选择多个测试方案以满足多种需求。名为“使用综合设计来减少有限状态机的测试生成的复杂性”并且于2006年4月4日授予A.Hartman et al.的美国专利7024589，揭露了此种的测试装置，尽管用于不同于冗余软件的系统。虽然看似有理地提供了一定程度的保险，但是没有进行每个可能状态的彻底测试，系统不能够被彻底校验。冗余管理器14利用了极端复杂的FSM16而FSM16的彻底测试被认为是很难做到的，如果不是不可能。

实际上对于复杂的FSM配置，彻底的测试（无论人工还是自动化）不是一个可选项。即使有尖端的测试系统可供使用，仍然是无法彻底地测试所有可能条件。作为庞大的状态空间（即所有不同状态的可能组合）的结果，彻底地测试复杂的FSM可能（理论上）需要数千年。正式的校验工具，如型号核对器，目前被使用来智能地挑选一小批代表性状态用于测试，但是其从未被完全用于如同PLC系统的冗余软件这样的装置。

因此，对于自动化系统仍然有需要在执行之前校验和生效PLC系统的冗余软件需求。

发明内容

本发明着眼于在现有技术中存在的需求，其涉及到一种冗余PLC系统，并且更具体地涉及一种用于检验和生效用于提供对与这些系统相关联的冗余软件的完整生命周期的客观评估的过程和系统。

根据本发明，制定了一种校验和生效PLC冗余软件的有限状态机（FSM）的正式方法。本方法和系统在冗余软件的生命周期的每一个阶段被执行；其分别是，需求阶段、设计阶段、执行阶段和最终的集成阶段（包括系统集成）。在此期间的每一个步骤，校验和生效过程使用例如基于核对列表的审核和检测的工具、需求可追溯性分析、正式校验（型号核对）等来确认所创立的冗余软件是零误差以及在冗余PLC系统中被执行时如同所期望的那样执行。

在一种实施例中，本发明涉及到一种计算机可读取的媒体，包括执行用于可编程逻辑控制器（PLC）系统的冗余软件的校验和生效的编程指令，其包含用于如下方面的编程指令：（1）处理PLC冗余需求以创立特征规格，包括PLC冗余需求与所创立的特征规格的比较，以校验和生效：所有冗余需求在特征规格中被合适表述；（2）处理特征规格以生成能够执行定义特征的软件组件的相关结构规格和每个软件组件的具体设计文档，包括特征规格和结构规格和具体设计文档的比较，以便校验和生效：所有特征在结构规格和关联的具体设计文档中被合适表述；（3）从具体设计文档中捕获有限状态机设计并校验有限状态机设计；（4）从具体设计文档中创立源代码模组，其中每个源代码模组被测试以便执行校验和生效；且（5）将所校验和生效的源代码模组与PLC系统的冗余组件集成，包括执行PLC系统中的源代码模组的操作的校验和生效。

在另一种具体构造中，本发明定义了一种计算机执行的用于可编程逻辑控制器（PLC）系统的冗余软件开发的校验和生效的方法，其包括以下步骤：（1）处理PLC冗余需求以创立特征规格，包括PLC冗余需求和所创立的特征规格的比较，以校验和生效：所有冗余需求在特征规格中被合适表述；（2）处理特征规格以生成能够执行定义特征的软件组件的相关结构规格和每个软件组件的具体设计文档，包括特征规格和结构规格和具体设计文档的比较，以便校验和生效：所有的特征在结构规格和关联的具体设计文档中被合适表述；（3）从具体设计文档中捕获有限状态机设计并校验有限状态机设计；（4）从具体设计文档中创立源代码模组，其中每个源代码模组被测试以便执行校验和生效；且（5）将所校验和生效的源代码模组与PLC系统的冗余组件集成，包括执行PLC系统中的源代码模组的操作的校验和生效。

本发明的其它的和更进一步的方面和特征将在接下来的讨论中和通过附图参考变得清晰可见。

附图说明

现参照附图，

图1包含一个在冗余管理器和相关有限状态机（FSM）的分析中利用本发明的校验和生效的方法论的冗余PLC系统实例的结构图表；

图2是根据本发明的PLC冗余软件的校验和生效过程的实例的概要图表；

图3包含本发明的校验和生效组件的需求阶段的细节图表；

图4包含本发明的校验和生效组件的设计阶段的细节图表；

图5包含本发明的校验和生效组件的执行阶段的细节图表；

图6包含本发明的校验和生效组件的集成阶段的细节图表。

具体实施方式

可编程逻辑控制器（PLC）的冗余管理软件利用有限状态机（FSM）来监控和管理系统冗余功能。首先，使用测试和模拟途径以评估冗余软件。然而如同上面注意到的，这些途径产生不完整结果而且未详细调查有限状态机（FSM）的完整状态空间的每一种可能的状态组合。本工作的焦点就在于FSM的完整状态空间的正式的校验和生效。

实际上，本发明提供了校验和生效过程（和相关的基于软件的工具）以提供在冗余软件的整个生命周期（需求、设计、执行和集成）对于冗余PLC系统的客观评估。如同下面在细节上描述的，正式方法（包括，例如型号核对、可追溯性等）被用于校验PLC冗余软件的FSM。

如同上面讨论的一样，PLC的冗余管理软件利用FSM来监控和管理系统冗余功能。PLC冗余相关的软件错误需要在软件编译的时间被识别，且冗余特征需要被校验和生效以满足与冗余相关联的安全需求，对于牵涉到安全关键的应用如铁路列车控制、能源系统控制等的PLC是一个尤其重要的方面。

图2是一个图解本发明的总的校验和生效的方法论的结构的高级图表。特别的是，根据本发明的校验和生效工具的集合50被规划为在冗余软件的生命周期的每个阶段与其互动。特别的是，工具50首先被用于校验和生效用于在FSM之内提供PLC冗余的初始需求集合，其被定义为“需求阶段52”并且在下面联系图3的图表被细节描述。紧随着需求阶段52的结尾，校验和生效工具50被用来分析在设计阶段54（联系图4的图表被细节讨论）的开发的系统结构（和明确的组件）。

执行阶段56与生成用于在前一个阶段创立的具体设计的明确的源代码相关联，其中校验和生效被用于执行每个软件组件的测试（见图5）。最后，根据本发明的校验和生效工具50被用来在执行阶段58分析冗余软件和PLC系统二者的性能，在图6中图示了用于执行阶段58的校验和生效过程的细节。

现参照图3，在细节上示出需求阶段52，其使用工具50以执行可以被分为两个单独种类的任务：“功能的”和“过程的”。来自需求阶段52的输出是一种高级特征规格60，其概括了所有与用于特别应用的PLC冗余性能相关联的需求，如在PLC冗余需求62的初始集合里被定义的。值得注意的是每个明确的PLC系统可能具体包括不同的PLC冗余需求的集合，所以特征规格60被视作一个独一无二的过程；本发明的校验和生效过程旨在足够鲁棒和灵活地来执行对于每个所创立的特征规格的所需求的分析。

参照图3的细节，示出在需求阶段52的工具50的校验和生效任务，包括以下责任：（1）校验，在需求62中提到的每个明确的功能需求真正地被包括在高级特征规格60之内和（2）生效与之关联的过程特性。

如图示，待由工具50校验的功能特性64的实例集合包括适时、精确、安全和如同在需求列表62里具体化的初始需求集合的功能。可以看见，待生效的过程特性66的集合包括一致性、可追溯性、无歧义性和正确性。根据本发明，校验和生效工具50被用作执行需求列表62和特征规格60之间的可追溯性分析，以及基于核对列表的审核和检测以生效相反于列表62之中原始需求、在特征规格60中具体化的过程。校验和生效操作在需求阶段52中持续被执行直到所有条件被满足和特征规格60在考虑到初始需求列表62的前提下完全被校验和生效。

如图4所示，过程在这一点进行到设计阶段54。明确的设计是基于特征规格60的，其最终产物为结构规格70和对于每个软件组件的明确的具体设计文档72。结构规格70是提供所有软件组件的结构概要和定义这些软件组件相互之间的明确互动的基础设计文档。设计文档72包括形成结构规格70的每个软件组件的细节。

校验和生效工具50在设计阶段50被用来校验，所有在特征规格60中表列出来的需求都被包括在结构规格70中，以及用来生效设计文档72之中的每个组件的具体设计。特别的是，工具50利用可追溯性任务以在特征规格60和结构规格70之间交叉核对，校验在设计中每个特征的内含物。常规的型号核对器组件74被工具50用作校验每个具体设计文档72的详情。

如图5所示在执行阶段56期间，具体设计文档72被用作生成相关源代码80。校验和生效工具50在过程的这个阶段来测试每个生成的源代码模组，如图5所示的模组测试的示例流程82包括步骤：测试规划84、测试案例设计86、测试案例执行88和测试结果报告90。型号核对器74也在此阶段被使用。应该理解为，软件模组将持续被测试和核对直至其性能没有误差。实际上，用于PLC冗余软件的总的校验和生效过程直到每个软件模组被校验和生效之后才会进行到最终集成阶段58。

被包括在集成阶段58之内的校验和生效任务被分成两个种类：软件集成任务（即冗余软件组件的集成测试）和系统集成任务（即包含冗余软件组件的总PLC系统的集成测试）。如同在执行阶段56的测试，软件集成校验使用示例性集成测试框架92，包括测试规划94、测试案例设计96、测试案例执行98和测试结果报告100。对于总的PLC系统的集成测试，使用如图1所示的实际的设置来测试所有特征。

总之，本发明提出一种检验和生效过程（和相关软件工具）以提供贯穿整个冗余软件开发生命周期（从定义初始需求到在冗余PLC系统中的最终执行）对冗余PLC系统的客观评估。如同上面在细节中描述的，正式方法如型号核对被使用来校验PLC冗余软件的FSM和确保其当安装在工作系统中时的合适的操作。

如同根据本发明被利用的明确的软件工具可以从基于计算机的系统中的计算机可读取媒体中被加载（launched）以执行上面讨论的多种功能（特别的是，如图2-6所示的具体功能）。被具体化为程序的发明或发明的部分，可能被储存于多种计算机可读取媒体，包括光盘、硬盘驱动器、磁带、只读存储器（ROM）芯片等。

虽然已经图解和描述了本发明的优选的和其它具体实施方式，但是很清楚地本发明并不由此被限制。本领域普通技术人员可以进行数目众多的修改、变化、变种、代替和等效且不背离本发明的精神和范围。

Claims

1.一种计算机可读取的媒体，包括执行用于可编程逻辑控制器（PLC）的冗余软件的校验和生效的编程指令，其包含用于如下方面的编程指令：

-处理PLC冗余需求以创立特征规格，包括PLC冗余需求和所创立的特征规格的比较，以校验和生效：所有冗余需求在特征规格中被合适表述；

-处理特征规格以生成能够执行定义特征的软件组件的相关结构规格和每个软件组件的具体设计文档，包括特征规格和结构规格和具体设计文档的比较，以便校验和生效：所有特征在结构规格和关联的具体设计文档中被合适表述；

-从具体设计文档中捕获有限状态机设计和校验有限状态机设计；

-从具体设计文档中创立源代码模组，其中每个源代码模组被测试以便执行校验和生效；且

-将所校验和生效的源代码模组与PLC系统的冗余组件集成，包括执行PLC系统中的源代码模组的操作的校验和生效。

2.根据权利要求1所述的计算机可读取的媒体，其中用于处理PLC冗余需求的编程指令包括校验在特征规格中所创立特征的功能特性和生效在特征规格中所创立规格的过程特性。

3.根据权利要求2所述的计算机可读取的媒体，其中所述功能特性从这样的组中被选择：适时、精确、安全和功能。

4.根据权利要求2所述的计算机可读取的媒体，其中所述过程特性从这样的组中被选择：一致性、可追溯性、无歧义性和正确性。

5.根据权利要求1所述的计算机可读取的媒体，其中用于处理特征规格以生成软件组件的相关结构规格的编程指令包括型号核对器，用于校验和生效每个软件组件的操作。

6.根据权利要求1所述的计算机可读取的媒体，其中从具体设计文档中创立源代码模组的编程指令利用型号核对器和源代码模组测试框架来执行校验和生效。

7.根据权利要求6所述的计算机可读取的媒体，其中所述源代码模组测试框架包括用于测试规划、测试案例设计、测试案例执行和测试结果报告的编程指令。

8.根据权利要求1所述的计算机可读取的媒体，其中将校验和生效的源代码模组与PLC系统的冗余组件集成的编程指令包括使用特征规格来校验：所有需求的特征都被正确地执行和测试。

9.根据权利要求8所述的计算机可读取的媒体，其中所述编程指令通过测试规划、测试案例设计、测试案例执行和测试结果报告来执行与特征规格的集成测试。

10.一种计算机执行的用于可编程逻辑控制器（PLC）系统的冗余软件开发的校验和生效的方法，其包括以下步骤：

11.根据权利要求10所述的方法，其中处理PLC冗余需求的步骤进一步包括以下步骤：

-校验在特征规格中所创立特征的功能特性；和

-生效在特征规格中所创立特征的过程特性。

12.根据权利要求11所述的方法，其中所述功能特性从这样的组中被选择：适时、精确、安全和功能。

13.根据权利要求1所述的方法，其中所述过程特性从这样的组中被选择：一致性、可追溯性、无歧义性和正确性。

14.根据权利要求10所述的方法，其中用于处理特征规格以生成软件组件的相关结构规格的步骤包括利用型号核对器校验和生效每个软件组件的操作的步骤。

15.根据上述权利要求10所述的方法，其中从具体设计文档中创立源代码模组的步骤包括利用型号核对器和具有每个源代码模组的测试框架来执行校验和生效。

16.根据上述权利要求15所述的方法，其中利用测试框架的步骤包括用于测试规划、测试案例设计、测试案例执行和测试结果报告的编程指令。

17.根据上述权利要求10所述的方法，其中将校验和生效的源代码模组与PLC系统的冗余组件集成的步骤包括使用特征规格的步骤，以校验：所有需求的特征都被正确地执行和测试。

18.根据上述权利要求17所述的方法，其中所述编程指令通过测试规划、测试案例设计、测试案例执行和测试结果报告来执行与特征规格的集成测试。