CN104238493B - 过程控制设备和系统及其更新方法 - Google Patents

Abstract

一种过程控制设备，包括：虚拟化单元，其被配置为在硬件中操作；第一和第二操作系统，其被配置为在虚拟化单元中运行；应用程序，其被配置为在第一操作系统中运行，并且被配置为通过与现场装置通信以控制工业过程；记录单元，其被配置为记录恢复应用程序所需的第一信息以及在第一操作系统和应用程序之间传递的第二信息；以及恢复单元，其被配置为采用第二信息的历史记录以将第二操作系统设定为与第一操作系统的内部状态相同的状态，并且被配置为采用第一信息来将在第一操作系统中运行的应用程序恢复至第二操作系统中。

Description

过程控制设备和系统及其更新方法

相关申请的交叉引用

本申请要求于2013年6月24日提交的日本专利申请No.2013-131714的优先权，该日本专利申请的公开内容以引用的方式结合于此。

技术领域

本发明涉及过程控制设备和系统及其更新方法。

背景技术

通常，在车间、工厂等场所中(以下统称为车间)，实施过程控制系统来在生产过程中控制不同状态参量(例如压力、温度、或流量等参数)，从而实现高自动化的操作。

例如，具体而言，如在专利参考文献1(日本专利公开No.4399773)、专利参考文献2(国际专利公开2005/050336)、以及专利参考文献3(美国专利申请公开2007/0078980)中所示，形成过程控制系统的核心的控制器需要通过多个传感器(流量计、温度计或诸如此类)获得检测结果。根据这些检测结果，控制器确定驱动器(例如阀门)的驱动量。控制器基于该驱动量来操作驱动器，以使得可以控制上述状态参量。

虽然常见的车间控制系统采用具有独特规格的专用设备实施，但近年来车间控制系统逐渐变得开放，并且其中许多采用了具有通用开放规格的通用设备实施(例如计算机和工作站)。与通用信息系统的情况类似，在采用通用设备的车间控制系统中，必须进行硬件的更换和软件的改进。软件的改进包括诸如操作系统的功能增强、操作系统中的问题或缺陷的改正等。

专利参考文献4(日本公开专利公布N0.JPA11(1999)-3240)记载了下述公开技术，在安装了双重处理器单元(控制端和待机端)的计算机控制系统中，可以在不影响控制目标的情况下在系统程序中实现改变。具体而言，待机端被临时停止并且被加载新的系统程序，之后待机端启动，存储于控制端之内的应用程序数据被复制进待机端，之后控制端被停止并且将待机端作为控制端启动，从而在不影响控制目标的情况下改变了系统程序。

由于几乎所有的过程控制系统都需要在数月或数年长的时间内连续操作，因此不可能随意地停止正在操作的过程控制系统。例如，除非为了周期性维护或建立车间安全措施而关闭系统，否则基本不允许停止过程控制系统。

基于安全的立场，需要过程控制系统不出现操作错误或操作遗漏，如果发现操作错误或诸如此类情况(例如，操作系统中的问题和缺陷)的原因，则需要立即采取行动(更新操作系统)以消除此原因。但是，如上所述，即使发现了操作错误的潜在原因也不可以随意停止过程控制系统，因此会导致不可能立即采取合适行动的问题。

可以预期的是，如果采用上述专利文献4中公开的技术，则有可能在不停止过程控制系统和不影响控制目标的情况下更新操作系统。但是，上述专利文献4中公开的技术在控制端执行了新的系统程序，却未在实际操作状态下充分地验证操作。这会产生问题：即使有可能在不停止过程控制系统的情况下更新操作系统，也不可能保证在此更新过版本的新的操作系统上对应用程序进行稳定持续的操作。

发明内容

一种用于控制在车间中实施的工业过程的过程控制设备，该过程控制设备可以包括：虚拟化单元，其被配置为在硬件中操作；第一和第二操作系统，其被配置为在虚拟化单元中运行；应用程序，其被配置为在第一操作系统中运行，并且被配置为通过与用于执行至少一种控制工业过程所需的测量或者驱动的现场装置通信来控制工业过程；记录单元，其被配置为记录恢复应用程序所需的第一信息以及在第一操作系统和应用程序之间传递的第二信息；以及恢复单元，其被配置为采用记录单元中所记录的第二信息的历史记录来将第二操作系统设定为与第一操作系统的内部状态相同的状态，并且被配置为采用第一信息来将在第一操作系统中运行的应用程序恢复至第二操作系统中。

附图说明

图1为示出了根据本发明的第一实施例的过程控制系统的配置的主体部分的框图。

图2为用于描述本发明的第一实施例中的控制器在转换前的操作的示意图。

图3为示出本发明的第一实施例中的控制器的转换操作的流程图。

图4为用于描述本发明的第一实施例中的应用程序的恢复的示意图。

图5为用于描述本发明的第一实施例中数据输入时的操作检验的示意图。

图6为用于描述本发明的第一实施例中数据输出时的操作检验的示意图。

图7为示出了根据本发明的第二实施例的过程控制系统的配置的主体部分的框图。

具体实施方式

以下将参考所示优选实施例对本发明进行描述。本领域技术人员应该意识到，采用本发明的示教可以完成许多不同的优选实施例，并且本发明不限于在此以解释为目的而示出的优选实施例。

以下将参考附图详细描述根据本发明的实施例的过程控制设备和系统及其更新方法。

(第一实施例)

(过程控制系统的配置)

图1为示出了根据本发明的第一实施例的过程控制系统的配置的主体部分的框图。如图1所示，本发明的过程控制系统1具有多个现场装置10、控制器20(过程控制设备)、和监控设备30，控制器20在监控设备30的监控下控制现场装置10，从而控制在车间(未示出)内实施的工业过程。在本实施例的过程控制系统1中，有可能在监控设备30的控制下更新(也被成为“在线版本更新”和“在线rev-up”)控制器20内使用的操作系统。“更新”包括了下载新操作系统、安装、引导、通过对新操作系统和旧操作系统的比较进行验证、切换至新操作系统的含义。

在此情况下，现场装置10和控制器20均连接至现场网络N1,且控制器20和监控设备30均连接至控制网络N2。现场网络N1为例如遍布车间内现场地点放置的电缆网络。控制网络N2为例如连接车间现场地点和监控室的电缆网络。现场网络N1和控制网络N2可选地可以为无线网络。

例如，现场装置10可以为传感器装置(例如流量计或温度传感器)、阀门装置(例如流量控制阀或开关阀)、驱动器(例如风扇或马达)、或在车间内安装的其他装置。为了帮助理解上述车间内安装的现场装置10的描述，图1中示出了用于测量流体流量的传感器装置11和用于控制(驱动)流体流量的阀门装置12。

现场装置10根据控制器20经由现场网络N1发送的控制数据来操作。例如，如果控制器20将传输测量数据(指明流体流量测量结果的数据)的请求传输给传感器装置11，则传感器装置11通过现场网络N1向控制器20传输测量数据。如果控制器20传输控制数据(控制打开的数据)至阀门装置12，阀门装置12根据控制数据的打开指示打开阀门以使得流体通过。

在监控设备30的监控下，控制器20从现场装置10(例如传感器装置11)处收集测量数据，并且还基于所收集的测量数据控制现场装置10(例如阀门装置12)。控制器20还基于来自监控设备30的指令来更新其自用的操作系统。控制器20的这种功能通过读入计算机的软件以及通过软件和硬件资源的协同操作来实施。

具体而言，通过由MPU(微处理单元、微处理器)和存储器等组成的硬件21执行已安装的程序来实施控制器20的功能。在此情况下，在控制器20内安装用于实施管理程序22(虚拟化单元)的程序、用于实施操作系统23a和23b(第一和第二操作系统)的程序、用于实施应用程序管理器24a和24b(第一中间件和第二中间件)的程序、和用于实施应用程序25的程序。

以下将描述本实施例中将控制器20内使用的操作系统23a更新为操作系统23b的示例。

为了实现这种更新，在更新操作系统23a时，从监控设备30处下载并且安装用于实施操作系统23b的程序和用于实施应用程序管理器24b的程序。应用程序25b是被恢复到操作系统23b(应用程序管理器24b)中的操作系统23a(应用程序管理器24a)中的应用程序25a，以下将详细描述。

管理程序22在硬件21中虚拟运行以代替硬件，并且提供此管理程序22是为了使操作系统23a、应用程序管理器24a、和应用程序25a与相应的操作系统23b、应用程序管理器24b、和应用程序25b独立操作。提供管理程序22可以在不切换操作系统23a和23b、应用程序管理器24a和24b、以及应用程序25a和25b的情况下代替硬件21。

在此情况下，提供管理程序22能够使得操作系统23a和23b、应用程序管理器24a和24b、以及应用程序25a和25b以下述方式操作：(a)仅运行操作系统23a、应用程序管理器24a、和应用程序25a；(b)仅运行操作系统23b、应用程序管理器24b、和应用程序25b；

(c)并行运行操作系统23a、应用程序管理器24a、和应用程序25a以及操作系统23b、应用程序管理器24b、和应用程序25b。

如图1所示，管理程序22具有输入分配单元41(分配单元)、输出获得单元42(获得单元)、和输出比较单元42a。输入分配单元41将来自现场装置10(例如传感器装置11)的测量数据和状态分配给操作系统23a和23b中的每一个。分配给操作系统23a和23b的测量数据或类似数据分别经过应用程序管理器24a和24b输出至应用程序25a和25b。

输出获得单元42获得操作系统23a和23b的输出，并且将操作系统23a的输出输出至现场装置10(例如阀门装置12)。操作系统23a、23b的输出为分别由应用程序25a、25b经由应用程序管理器24a、24b和操作系统23a、23b输出的控制数据。输出获得单元42将获得的操作系统23a、23b的输出传递给输出比较单元42a。

输出比较单元42a将输出获得单元42a的输出(操作系统23a、23b的输出)进行比较。输出比较单元42a检验所比较的操作系统23a、23b的输出的内容是否相同，以及检验所比较的操作系统23a、23b的输出的时间差(timing gap)是否处于预确定的允许范围内。

在管理程序22中提供输入分配单元41、输出获得单元42、以及输出比较单元42a的原因是为了，在并行运行时，将操作系统23a、应用程序25a的操作定时与操作系统23b、应用程序25b的操作定时进行对准，以检验并行操作的操作系统23a、应用程序25a和操作系统24b、应用程序25b的操作，使得在操作检验后应用程序25a的处理与应用程序25b的处理无缝进行，将在随后详细描述。即，上述过程完成了在操作系统23b中运行的新的操作系统23b、应用程序25b是否以与初始操作系统23a、应用程序25a相同的方式进行操作的检验，使得从初始操作系统23a、应用程序25a处获得应用程序操作维持不变的新的操作系统23b、应用程序25b的处理有可能进行。

操作系统23a、23b在管理程序22中独立运行，并且，例如，每个操作系统执行应用程序25a、25b运行所需的过程管理和存储管理。如上所述，在本实施例中，操作系统23a为初始操作系统，操作系统23b为新操作系统。

应用程序管理器24a、24b执行用于将操作系统23a(应用程序管理器24a)中的应用程序25a作为应用程序25b恢复至操作系统23b(应用程序管理器24b)中所需的处理。应用程序管理器24a、24b执行检验新操作系统23b和应用程序25b是否以与初始操作系统23a和应用程序25a相同的方式进行操作所需的处理。

应用程序管理器24a为安装于操作系统23a和应用程序25a之间的中间件。应用程序管理器24a具有信息记录单元51(记录单元)和传输单元52，其执行用于将应用程序25a作为应用程序25b恢复至操作系统23b(应用程序管理器24b)中所需的信息以及检验新操作系统23b、应用程序25b的操作时采用的信息的收集、记录和传输。

信息记录单元51记录恢复应用程序25a所需的信息(第一信息)和在操作系统23a和应用程序25a之间传递的信息(第二信息)。具体而言，信息记录单元51记录了以下信息。

(1)第一信息

第一信息包括驻存在应用程序25a的过程存储器空间中的已加载程序和所有数据。例如，该数据包括应用程序25a使用的堆区域和共享存储器空间中的内容。

(2)第二信息

第二信息包括由应用程序25a发送至操作系统23a的信息、以及由操作系统23a发送至应用程序25a的信息。例如，第二信息包括系统调用和信号的内容。

传输单元52读取信息记录单元51中记录的信息并且将此信息传输至应用程序管理器24b。除非是在操作系统更新的时候，否则由于应用程序管理器24b未加载，传输单元52不会将信息记录单元51中记录的信息发送至应用程序管理器24b。

应用程序管理器24b是安装在操作系统23b和应用程序25b之间的中间件。应用程序管理器24b具有接收单元61、恢复单元62、信息记录单元63、以及信息比较单元64(比较单元)，并且执行将应用程序25b恢复至操作系统23b(应用程序管理器24b)中的处理、以及执行检验新的操作系统23b和应用程序25b的操作的处理。

接收单元61接收由应用程序管理器24a的传输单元52传输的信息并且将此信息输出至恢复单元62或信息比较单元64。恢复单元62采用由接收单元61输出的信息将操作系统23a(应用程序管理器24a)中的应用程序25a作为应用程序25b恢复至操作系统23b(应用程序管理器24b)中。

在此情况下，采用操作系统的功能(例如套接字接口(socket interface))依次经过操作系统23a和23b执行从传输单元52至接收单元61的信息传输。或者，采用管理程序22的功能(例如，管理程序调用和虚拟机之间的通信)依次经过操作系统23a、管理程序22和操作系统23b执行从传输单元52至接收单元61的信息传输。

信息记录单元63记录操作系统23b和应用程序25b之间传递的信息。信息比较单元64对接收单元61输出的信息(操作系统23a和应用程序25a之间传递的信息)和信息记录单元63中记录的信息(操作系统23b和应用程序25b之间传递的信息)进行比较。信息比较单元64检验所比较信息的内容是否相同并且检验所比较信息的时间差是否处于预确定的允许范围内。

应用程序25a和25b在操作系统23a和23b(应用程序管理器24a和24b)中运行，并且均控制执行过程控制(例如，从传感器装置11处收集测量数据等、以及将控制数据传输至阀门传感器12、或诸如此类)所需的现场装置10。如上所述，虽然应用程序25b是恢复至操作系统23b(应用程序管理器24b)中的应用程序25a，但是应用程序25a和25b相互独立地运行。

监控设备30通过诸如计算机等设备实施，并且通过操作者操作以监控过程。具体而言，监控设备30监控和管理控制器20中运行的操作系统23a、23b以及应用程序25a、25b。并且，监控设备30根据操作者发出的指令指示控制器20执行过程控制。基于操作者发出的指令，监控设备30还可以指示控制器20更新操作系统23a。

(过程控制系统的操作)

随后，将描述上述结构的过程控制系统1的操作。以下首先描述在操作系统23a转换为操作系统23b之前控制器20的操作(转换前操作)，随后描述当操作系统23a转换为操作系统23b时的操作(转换操作)。

<转换前操作>

图2为用于描述本发明的第一实施例中的控制器的转换前操作的示意图。如图2中所示，在更新操作系统23a之前，在控制器20中的管理程序22中运行操作系统23a，并且在操作系统23a中操作应用程序管理器24a以及在应用程序管理器24a中运行应用程序25a。

在此状态下，当来自传感器装置11的测量数据被输入至控制器20时，该测量数据依次经过管理程序22中提供的输入分配单元41、操作系统23a、和应用程序管理器24a后输入至应用程序25a。当此情况发生，操作系统23a和应用程序25a之间传递的信息被记录在信息记录单元51中并被输出至传输单元52。

当来自传感器装置11的测量数据被输入至应用程序25a时，基于输入的测量数据确定阀门装置12的控制量，并且由应用程序25a输出用于指明控制量的控制数据。该控制数据依次经过应用程序管理器24a、操作系统23a、以及管理程序22的输出获得单元42后输出至阀门装置12。当此情况发生，操作系统23a和应用程序25a之间传递的信息被记录在信息记录单元51中并被输出至传输单元52。

在上述操作过程中，之前所述的恢复应用程序25a所需的信息以及操作系统23a和应用程序25a之间传递的信息被记录在信息记录单元51中(第一步)。在应用程序管理器24b未加载时，丢弃由信息记录单元51输出至传输单元52的测量数据和控制数据。

在上述操作过程中，将用于实施操作系统23b的程序和用于实施应用程序管理器24b的程序从监控设备30处下载至控制器20并且安装这些程序。这些程序的安装可以在开始更新操作系统23a之前的任何时间完成，以使得上述控制器20的过程控制不会被阻碍。并且，如果已经下载了程序，那么已经存在的程序被将要安装的最新下载的程序所覆盖。

<转换操作>

图3为本发明的第一实施例中的控制器的转换操作的流程图。在操作系统更新指令由监控设备30输出至控制器20时开始图3所示流程图中的处理。当处理开始时，基于来自监控设备30的指令，控制器20执行启动新操作系统23b的处理(步骤S11)。

具体而言，进行了用于执行在上述“转换前处理”期间下载的程序(用于实施操作系统23b的程序和用于实施应用程序管理器24b的程序)的处理。通过此处理，在管理程序22中运行操作系统23b，并且在操作系统23b中运行应用程序管理器24b(参考图1)。

随后，控制器20依次执行将应用程序管理器24a的信息记录单元51中记录的信息转移的处理(步骤S12)和将应用程序25a作为应用程序25b恢复至新的操作系统23b中的处理(步骤S13，也就是“第二步”)。图4为用于描述本发明的第一实施例中的应用程序恢复处理的示意图。

如图4中所示，通过控制器20以与上述转换前的操作相同的方式输入来自传感器装置11的测量数据和输出控制数据至阀门装置12，来完成过程控制、信息的转移和应用程序的恢复。即，在控制器20处执行信息的转移和应用程序的恢复，以既不阻碍测量数据的输入也不阻碍控制数据的输出。

具体而言，在步骤S12，完成应用程序管理器24a中读出存储在信息记录单元51中的信息并且通过传递单元52将该信息传输至应用程序管理器24b的处理。作为响应，应用程序管理器24b执行接收由应用程序管理器24a的传输单元52传输来的信息并且将此接收到的信息输出至恢复单元62的处理。

在步骤S13(第二步)，应用程序管理器24b的恢复单元62采用转移和接收到的信息中包含的第二信息的历史记录来执行使新操作系统23b的状态和操作系统23a的内部状态相同的处理。恢复单元62还采用转移和接收到的信息中包含的第一信息来执行将应用程序25a恢复至操作系统23b中的处理。

在此情况下，采用第二信息历史记录而变得与操作系统23a相同的操作系统23b的内部状态具体为以下状态。

(a)构成应用程序25a的每个过程的状态，其包括每个过程的管理信息及其父子关系的信息。

(b)构成应用程序25a的(多个)过程之间的IPC(内部过程通信)的状态，其包括(多个)过程之间的通信信息和同步控制、排除控制等的信息。

(c)与外部通信的应用程序25a的状态，其包括应用程序25a采用的网络连接的状态。

如果这些状态中的一部分可以在不采用历史信息的情况下通过操作系统23a的功能直接获得并直接反映，意味着可以采用第一信息恢复应用程序以达到相同结果。具体而言，可以通过在操作系统23b中恢复从操作系统23a获得的状态来恢复与操作系统23a中相同的内部状态。

如图4中所示，上述处理将操作系统23a中的应用程序25a作为应用程序25b恢复至操作系统23b中。完成上述步骤后，在控制器20中，初始操作系统23a、应用程序25a和新的操作系统23b、应用程序25b(与应用程序25a等效的应用程序)并行运行。

当应用程序25b的恢复完成时，检验新的操作系统23b和应用程序25b的操作。具体而言，检验输入数据时的操作(步骤S14)和输出数据时的操作(步骤S15)。在此情况下，输入数据时的操作的检验为(例如)在测量数据从传感器装置11输入至控制器20的情况下的操作的检验，输出数据时的操作的检验为(例如)在输出控制数据至阀门装置12的情况下的操作的检验。

图5为用于描述本发明的第一实施例中数据输入时的操作检验的示意图。如图5所示，当测量数据由传感器装置11输入至控制器20时，管理程序22中提供的输入分配单元51进行将时间戳(时间t1)附加至测量数据并且将其分配到操作系统23a和操作系统23b的处理。通过分配测量数据，可以在相同时间将测量数据输入至操作系统23a和操作系统23b。

分配给操作系统23a的测量数据依次经过操作系统23a和应用程序管理器24a后输入至应用程序25a。当此情况发生时，完成处理以在信息记录单元51中记录在操作系统23a和应用程序25a之间传递的信息，并且在将时间戳(时间t11)附加至该信息上之后，输出该信息至传输单元52。输出至传输单元52的信息经过应用程序管理器24b的接收单元61后被输出至信息比较单元64。

随着以上过程，分配给操作系统23b的测量数据依次经过操作系统23b和应用程序管理器24b后输出至应用程序25b。当此情况发生时，执行处理以在信息记录单元63中记录在操作系统23b和应用程序25b之间传递的信息，并且还在将时间戳(时间t12)附加至该信息上之后，输出该信息至信息比较单元64。

当来自接收单元61的信息和来自信息记录单元63的信息输入时，信息比较单元64比较该信息并检验所比较的信息是否相同并且检验所比较的信息之间的时间差是否处于预确定的允许范围之内。具体而言，在前面的检验中，(例如)进行以下检验：在操作系统23a和23b之间，当测量数据由操作系统23a和23b传递至应用程序25a和25b时，向操作系统23a和23b请求的系统调用的内容(变元和返回值)是否相同。同样，(例如)还可以进行以下检验：操作系统23a和23b之间，由操作系统23a和23b发送的信号的信息是否相同。

在后面的检验中，通过比较附加到信息上的时间戳，完成以下检验：操作系统23a和23b将测量数据传递给应用程序25a和25b的处理所需的时间之间的差异是否处于预确定的允许范围之内。具体而言，完成以下检验：操作系统23a中的处理时间(t11-t1)和操作系统23b中的处理时间(t12-t1)之间的差异是否处于预确定的允许范围(例如，控制时间周期的1％)之内。信息比较单元64基于以上检验结果通知监控设备30发生了异常。

图6为用于描述本发明的第一实施例中数据输出时的操作检验的示意图。当由应用程序25a输出控制数据时，该输出的控制数据被输入至应用程序管理器24a，并且在信息记录单元51中，在该控制数据上附加了时间戳(时间t21)，并且将该控制数据经过操作系统23a输出至管理程序22的输出获得单元42。当这种情况发生时，进行处理以在信息记录单元51中记录在操作系统23a和应用程序25a之间传递的信息，还将上述时间戳(时间t21)附加到此信息之上并将此信息输出至信息比较单元64。输出至传输单元52的信息经过应用程序管理器24b的接收单元61输出至信息比较单元64。

随着以上过程，当由应用程序25b输出控制数据时，该输出的控制数据被输入至应用程序管理器24b，在信息记录单元63中为该控制数据附加时间戳(时间t22)、并且将该控制数据经过操作系统23b输出至管理程序22的输出获得单元42。当此情况发生时，进行在信息记录单元63中记录在操作系统23b和应用程序25b之间传递的信息的处理，还将上述时间戳(时间t22)附加到此信息之上并将此信息输出至信息比较单元64。

当来自接收单元61的信息和来自信息记录单元63的信息输入时，信息比较单元64将这些信息进行比较，并且检验所比较信息是否相同，以及检验所比较信息之间的时间差是否处于预确定的允许范围之内。具体而言，在前面的检验中，进行的检验与图5中采用的“输入数据时的操作检验”描述的情况相同。在后面的检验中，采用附加到来自接收单元61的信息上的时间戳(时间t21)作为参考，进行以下检验：附加到来自信息记录单元63的信息上的时间戳(时间t22)是否处于预确定的允许范围之内。信息比较单元64基于以上检验结果通知监控设备30发生了异常。

当控制数据由操作系统23a和23b输入至输出获得单元42时，输出获得单元42将此由操作系统23输出的控制数据输出至阀门装置12。输出获得单元42将时间戳(时间t31)附加至来自操作系统23a的控制数据，还将时间戳(时间t32)附加至来自操作系统23b的控制数据，并且将这些数据传递给输出比较单元42a。输出比较单元42a比较由输出获得单元42传递而来的控制数据，并且以与信息比较单元64相同的方式检验所比较的控制数据的内容是否相同、还检验所比较的控制数据之间的时间差是否处于预确定的允许范围之内。

在此情况下，在前面的检验中，举例而言，进行以下检验：来自操作系统23a和23b的控制数据是否为相同值。在后面的检验中，使用附加至控制数据的时间戳来检验通过操作系统23a和23b对控制数据进行处理所需的时间的差异是否处于预确定的允许范围之内。

具体而言，完成以下检验：操作系统23a中的处理时间(t31-t21)和操作系统23b中的处理时间(t32-t22)之间的差异是否处于预确定的允许范围之内。或者，完成以下检验：在对输出获得单元42进行输入时附加到控制数据上的时间戳(t31和t32)之间的差异是否处于预确定的允许范围之内。输出比较单元42a基于以上检验结果通知监控设备30发生了异常。以这种方式，输出数据时的操作检验通过应用程序管理器24b的信息比较单元64进行比较并且通过管理程序22的输出比较单元42a进行比较。

在上述操作检验中(输入数据时的操作检验和输出数据时的操作检验)，基于检验的结果，对监控设备30做出发生了异常的通知。当此情况发生时，当发生了异常操作时，除了对监控设备30做出通知之外，信息比较单元64和输出比较单元42a等可以停止操作系统23b和应用程序25b。

随后，监控设备30判断操作检验是否终止(步骤S16)。如果判断操作检验还未终止(步骤S16中判断结果为“否”)，继续操作检验(步骤S14和S15)。但是，如果判断操作检验已经终止(步骤S16中判断结果为“是”)，监控设备30判断操作检验是否正常终止(步骤S17)。

如果判断操作检验正常终止(步骤17中判断结果为“是”),监控设备30将操作检验正常终止指令传输至控制器20。在发送了操作检验正常终止指令时，控制器20的输出比较单元42a将来自操作系统23b的控制数据(而不是来自操作系统23a的控制数据)输出至阀门装置12。控制器20进行处理以停止操作系统23a、应用程序管理器24a、和应用程序25a，从而转换操作系统(步骤S18)。

与上述情况相反，如果判断操作检验异常终止(步骤17中判断结果为“否”)，监控设备30将操作检验异常终止指令传输至控制器20。在发送了操作检验异常终止指令时，如果控制器20没有停止新的操作系统23b、应用程序管理器24b、和应用程序25b，则进行处理以停止它们(步骤S19)。上述步骤导致出现可以重新更新操作系统的状态。

如上所述，在本实施例中，管理程序22在硬件21中运行(代替硬件),从而使得初始操作系统23a和新的操作系统22b可以并行操作。随后在信息记录单元51中记录恢复应用程序25a所需要的信息和在操作系统23a与应用程序25a之间传递的信息，并且采用信息记录单元51中记录的信息将操作系统23a中运行的应用程序25a恢复至操作系统23b中。

这样可以在不停止过程控制系统1的情况下将操作系统23a更新至操作系统23b。并且，由于操作系统23a中的应用程序25a和操作系统23b中的应用程序25b并行运行，并且在应用程序25b的操作被检验之后转换操作系统，因此能够确保在版本更新的新的操作系统23b中应用程序25b的连续操作。

此外，由于并行操作意味着应用程序25a和25b中的至少一个将连续运行，因此可以保证由应用程序执行的现场装置10的控制不会停止(包括更新操作系统的期间)。此外，在更新操作系统期间，由于在更新前通过停止操作系统23b、应用程序25b进行对配置的恢复，因此即使操作检验判定存在异常，也有可能任意次地重新尝试更新操作系统。

上述实施例将在操作系统23a和应用程序25a之间传递的信息(即第二信息)记录到信息记录单元51中，并且将在操作系统23b和应用程序25b之间传递的信息记录到信息记录单元63中，最终通过信息比较单元64将第二信息和通过一系列处理附加的时间戳的合并信息与在操作系统23b、应用程序25b之间传递的信息和通过一系列处理附加的时间戳的合并信息进行比较。

但是，除了第二信息之外，应用程序恢复所需的第一信息也会由于数据的输入和数据的输出而改变，即使采用第一信息代替第二信息，也可以通过与采用第二信息的情况相同的方式执行操作检验。

在此情况下，将第一信息(而不是第二信息)记录到信息记录单元51中，并且信息记录单元63记录与恢复至操作系统23b中的应用程序25a的第一信息相对应的应用程序25b的信息(而不是记录在操作系统23b和应用程序25b之间传递的信息)。

在此情况下，与第一信息相对应的信息是与应用程序恢复所需信息类似的信息，这是指(例如)贮存于存储器空间中的下载程序和数据。

此外，信息比较单元64可以不仅仅比较第一信息和第二信息中的一种，而可以同时比较第一信息和第二信息。

由于第一信息代表应用程序的内部状态，因此同时比较第一信息和第二信息可以达到详细检验异常的效果。例如，当第二信息的比较揭露出异常时，也指第一信息的比较结果(通过比较获得的差异的地点和细节)可以检验该异常是否处于更新的操作系统中的应用程序的预期操作范围之内。

可以在输入和输出数据时存储第一信息和第二信息。不仅如此，可以通过以下方法比较第一信息和第二信息：对于第一信息的情况，存储应用程序的在重要处理之后的内部状态；对于第二信息的情况，在没有数据输入和输出时存储系统调用的执行内容。

为了帮助理解上述实施例，以将初始操作系统23a更新至新的操作系统23b为例进行了描述。因此，在初始操作系统23a中运行的应用程序管理器24a具有信息记录单元51和传输单元52，在新的操作系统23b中运行的应用程序管理器24b具有从接收单元61到信息比较单元64的范围内的元件。

同样可以设想，由于检测到了较新的缺陷等原因，从而将新的操作系统23b更新为更新的操作系统。为此，在操作系统中运行的应用程序管理器的配置可以同时具有图1中所示的应用程序管理器24a和24b，并且可以通过设定操作模式来使得应用程序管理器24a和24b中的一个运行，以使得在操作系统中运行的应用程序管理器的配置可转换。

上述实施例描述了监控设备30监控控制器20并且指示控制器20更新操作系统23a的情况。但是，可以设想将监控设备30配置为按以下方式分离：执行在上述实施例的流程中发生的指令和监控的功能(更新监控功能)；以及执行其他指令和监控的功能(控制监控功能或诸如此类)。在这种配置中，更新和监控功能可以并入执行控制系统设定的计算机(例如工程工作站)，或者并入存储了系统更新程序或运行了管理应用程序状态(一个实施实例为Windows(注册商标)服务器更新服务)的服务器的计算机或诸如此类设备中。

除此之外，当正常终止操作检验时，如果不需要通过监控设备30监控与操作系统转换有关的判断，例如，如果在一个特定时间段内信息比较单元64完全未检测到异常，则信息比较单元64或输出比较单元42可以代替监控设备30提供操作检验终止指令以自动完成操作系统转换。在此情况下，用于转换操作系统的条件预先经过监控设备等输入至信息比较单元64或输出比较单元42a。

同样，如果可以根据是否检测到异常来确定操作系统23a和23b的转换，则信息记录单元51和信息记录单元63可以通过压缩来减少第一信息和第二信息的量从而缩短信息比较单元64和输出比较单元42a的比较过程。具体而言，采用诸如MD5的单项散列函数来执行将信息的一部分转变为散列值的处理，计算之前信息和当前信息之间的差异，以使得可以完成差异位置和差异内容的输出(或诸如此类)。

同样，在操作系统23b的操作检验以正常方式结束之后，存在一种情况：控制器20永久操作操作系统23b、应用程序管理器24b、和应用程序25b的设置，而不操作操作系统23a、应用程序管理器24a、和应用程序25a的设置。在此情况下，需要在操作系统23b上安装实施应用程序25b的程序，以使得可以在重启控制器20后操作应用程序25b。其原因为，由于应用程序25b存储在易失性存储器中，通过恢复单元62恢复的应用程序25b会被删除。

(第二实施例)

图7为示出了根据本发明的第二实施例的过程控制系统的配置的主体部分的框图。在图7中，与图1中相同的组成元件由相同的参考数字指定。如图7中所示，本实施例的过程控制系统2具有两个控制器20a和20b(第一和第二过程控制设备)以代替控制器20，控制器20a和20b连接至控制网络N2，并且其两者之间通过管理程序互连网络N3彼此连接。

控制器20a具有在硬件21a中实施的管理程序22a，在管理程序22a中实施操作系统23a、应用程序管理器24a、和应用程序25a。管理程序22a除了具有图1中的管理程序22的输入分配单元41和输出获得单元42外，还具有通信单元43。通信单元43(例如)经过管理程序互连网络N3与控制器20b中实施的管理程序22b通信。

控制器20b具有在硬件21b中实施的管理程序22b，在管理程序22b中实施操作系统23b、应用程序管理器24b、和应用程序25b。管理程序22b除了具有图1中的管理程序22的输出比较单元42a外，还具有通信单元44。通信单元44(例如)经过管理程序互连网络N3与控制器20a中实施的管理程序22a通信。在控制器20b的管理程序22b中提供输出比较单元42a使得运行了初始操作系统23a的控制器20a的操作不受影响。

在此情况下，控制器20a的管理程序22a中提供的通信单元43和控制器20b的管理程序22b中提供的通信单元44之间的相互通信逻辑集成并且运行管理程序22a和22b。类似于第一实施例的情况，这使得输入至输入分配单元41的测量数据分配至操作系统23a和23b，并且通过输出获得单元42获得由操作系统23a输出的控制数据并将此控制数据输出至输出比较单元42a。

由操作系统23b输出的控制数据被直接输出至输出比较单元42a。类似于第一实施例的情况，从操作系统23b获得的控制数据不输出至阀门装置12而仅通过输出比较单元42a进行比较。因此，在第二实施例中，必然会直接输出至在同一控制器20b上的输出比较单元42a。

分别由现场网络N1和控制网络N2提供的管理程序互连网络N3被用于控制器20a的管理程序22a中提供的通信单元43和控制器20b的管理程序22b中提供的通信单元44之间的通信。提供管理程序互连网络N3以防止通信单元43和44之间的通信具有不利影响，例如，现场网络N1和控制网络N2的通信速度的降低。因此，只要诸如现场网络N1和控制网络N2的通信速度的降低等不利影响不会发生，则管理程序互连网络N3可以被省略。

虽然在图7所示示例中在管理程序22a中提供了输入分配单元41和输出获得单元42，但是也可以在管理程序22b中提供输入分配单元41和输出获得单元42。但是，如果控制器20a是(例如)控制现行过程的控制器并且控制器20b是将要采用的新控制器，并且如果需要通过之前的操作跟踪记录获得稳定的操作，则需要在应用程序22a中提供输入分配单元41和输出获得单元42。

当具有上述配置的过程控制系统2更新控制器20a时，其执行的处理基本上与图3的流程图中所示的相同。即，首先，在控制器20a中，上述应用程序25a的恢复所需的信息和在操作系统24a、应用程序25a之间传递的信息均被记录在信息记录单元51中(第一步)。随后，采用此信息，应用程序25a作为应用程序25b被恢复至控制器20b中(步骤S13，也就是“第二步)。随后，在控制器20b中，执行输入数据时的操作检验(步骤S14)和输出数据时的操作检验(步骤S15)。

如上所述，与第一实施例类似，在此实施例中恢复应用程序25a所需的信息和在操作系统23a、应用程序25a之间传递的信息也均被记录在信息记录单元51中。随后，采用记录在信息记录单元51中的信息，将在操作系统23a中运行的应用程序25a被恢复至操作系统23b中。

完成以上过程使得可以在不停止过程控制系统2的情况下将操作系统23a更新为操作系统23b。同样，由于操作系统23a中的应用程序25a和操作系统23b中的应用程序25b并行运行，可以确保在已经进行过版本更新的新的操作系统23b中运行的应用程序25b可以连续操作。

此外，由于并行操作意味着应用程序25a和25b中的至少一个将连续运行，因此可以保证由应用程序执行的现场装置10的控制不会停止(包括更新操作系统的期间)。此外，在更新操作系统期间，由于在更新前仅通过停止操作系统23b、应用程序25b进行对配置的恢复，因此即使操作检验判定存在异常，也有可能任意次地重新尝试更新操作系统。

为了将输出至阀门装置12的控制数据的输出转换为新的控制器20b的输出，并且停止初始控制器20a(即，执行控制器的替换)，需要新的控制器20b具有替换初始控制器20a的输入分配单元41和输出获得单元42的功能。

因此，使得在硬件中进行操作的虚拟化单元的配置具有图7中的虚拟化单元22a和22b二者的配置，使得通过设定操作模式可以在运行虚拟化单元22a或运行虚拟化单元22b之间转换。在图3中的在第二实施例中转换操作系统的步骤(步骤S18)中，新的控制器20b的虚拟化单元的配置被转换为虚拟单元22a的配置，并且由操作系统23b输出的控制数据被传递给新的控制器20b的输出获得单元。当完成此转换时，输入到操作系统23b的控制数据来自新的控制器20b的输入分配单元。通过以上步骤，可以消除初始控制器20a和已经被转换到的新的控制器20b之间的交换需求，并且可以停止初始控制器20a。

在第二实施例中，信息比较单元64和输出比较单元42a均在新操作系统23b运行于其中的控制器20b中运行。因此，可以在不影响控制器20a中运行的应用程序25a和操作系统23a的操作的情况下，进行操作系统更新的检验和更新后操作的检验。

在上述第一和第二实施例中，对于管理程序、操作系统、和应用程序，以及对于操作系统和管理程序的一系列操作，由于信息比较单元64和输出比较单元42a执行比较，因此操作可以被检验。这使得可以得到操作中问题的地点的更多确定的认知。对于操作系统或应用程序的操作，相比于通过调试(排除错误)等方法追踪每个操作步骤的情况，上述方法减少了需要检验的信息量，因此还可以促进对于操作问题的地点的判断。

以上描述了根据本发明的(多个)实施例的过程控制设备、过程控制系统及其更新方法，但本发明并不受限于上述(多个)实施例，并且可以在本发明的范围内自由地修改。例如，虽然在以上所述实施例的示例中，在控制器20、20a、20b中采用管理程序22、22a、22b实施了可以运行多个操作系统或应用程序的虚拟环境，但这种虚拟环境的实施手段并不受限于所采用的管理程序22。例如，上述虚拟环境可以通过硬件实施。

同样，虽然上述实施例的描述中采用了可以经过现场网络N1进行数字通信的现场装置10作为示例，但也可以采用使用模拟信号进行输入和输出的现场装置。当采用这种现场装置时，可以将I/O节点连接至现场网络N1，该I/O节点用于转换现场装置输入/输出的信号(模拟信号)和经过现场网络N1通信的信号(数字信号)，并且该I/O节点可以通过模拟传输路径(例如，用于传输4至20mA信号的传输路径)连接至现场装置。

虽然第一和第二实施例描述的是关于现场装置10和监控设备30的穿过现场网络N1和控制网络N2的数据输入和数据输出，但是可以预期的是，例如，硬件21、21a和21b直接输入和输出数据(例如，硬件固定周期计时器中断)。在此情况下，数据的输入和输出与现场装置10和监控设备30不相关，而直接在硬件21、21a、和21b中进行。

术语“配置”用于描述装置的组件、单元或部分包含被构造和/或编程为用于实现所需功能的硬件和/或软件。

以上描述并且示出了本发明的优选实施例，可以理解的是这些实施例仅为本发明的示例而本发明并不受限于此。可以在不脱离本发明范围的情况下对本发明做出添加、省略、替换、或其他修改。因此，本发明并非由以上描述所限定，而仅由所附权利要求书的范围所限定。

Claims (20)

1.一种用于控制在车间中实施的工业过程的过程控制设备，所述过程控制设备包括：

虚拟化单元，其被配置为在硬件中操作；

第一操作系统和第二操作系统，其被配置为在所述虚拟化单元中运行；

应用程序，其被配置为在所述第一操作系统中运行，并且被配置为通过与现场装置通信以控制工业过程，所述现场装置执行控制工业过程所需的测量和驱动的至少一个；

记录单元，其被配置为记录恢复应用程序所需的第一信息以及在所述第一操作系统和所述应用程序之间传递的第二信息；以及

恢复单元，其被配置为采用所述记录单元中所记录的第二信息的历史记录来将所述第二操作系统设定为与所述第一操作系统的内部状态相同的状态，并且被配置为采用所述第一信息来将在所述第一操作系统中运行的所述应用程序恢复至所述第二操作系统中。

2.如权利要求1所述的过程控制设备，还包括比较单元，其被配置为执行下述比较操作中的至少一个：将所述第一信息与恢复至所述第二操作系统中的所述应用程序的第一信息的对应信息进行比较的操作；将所述第二信息与在所述第二操作系统和恢复至所述第二操作系统中的所述应用程序之间传递的信息进行比较的操作。

3.如权利要求2所述的过程控制设备，其中，比较单元执行检验，以检验所比较的信息的内容是否相同、以及所比较的信息之间的时间差是否处于预确定的允许范围之内。

4.如权利要求2所述的过程控制设备，其中，在安装于所述第一操作系统和所述应用程序之间的第一中间件中提供了记录单元，并且在安装于所述第二操作系统和恢复至所述第二操作系统中的所述应用程序之间的第二中间件中提供了所述恢复单元和所述比较单元。

5.如权利要求1所述的过程控制设备，还包括：

分配单元，其被配置为提供在所述虚拟化单元中，以将来自所述现场装置的信息分配至所述第一操作系统和第二操作系统；以及

获得单元，其被配置为提供在所述虚拟化单元中，以获得所述第一操作系统和第二操作系统的输出并且将该输出中的一个输出至所述现场装置。

6.如权利要求5所述的过程控制设备，还包括输出比较单元，其被配置为比较由所述获得单元获得的所述第一操作系统和第二操作系统的输出。

7.如权利要求6所述的过程控制设备，其中，输出比较单元执行检验，以检验所比较的所述第一操作系统和第二操作系统的输出的内容是否相同、以及所比较的所述第一操作系统和第二操作系统的输出的时间差是否处于预确定的允许范围之内。

8.如权利要求1所述的过程控制设备，其中，所述硬件被配置为经过第一网络连接至所述现场装置。

9.如权利要求8所述的过程控制设备，其中，所述硬件被配置为经过第二网络连接至监控设备，所述监控设备监控所述第一操作系统和第二操作系统以及所述应用程序。

10.一种用于控制在车间中实施的工业过程的过程控制系统，所述过程控制系统包括：

第一过程控制设备，其具有：

第一虚拟化单元，其被配置为在第一硬件中运行；

第一操作系统，其被配置为在所述第一虚拟化单元中运行；

应用程序，其被配置为在所述第一操作系统中运行，并且被配置为通过与现场装置通信以控制工业过程，所述现场装置执行控制工业过程所需的测量和驱动的至少一个；以及

记录单元，其被配置为记录恢复应用程序所需的第一信息以及在所述第一操作系统和所述应用程序之间传递的第二信息；并且

所述过程控制系统还包括：

第二过程控制设备，其具有：

第二虚拟化单元，其被配置为在第二硬件中运行并且与所述第一虚拟化单元逻辑集成；

第二操作系统，其被配置为在所述第二虚拟化单元中运行；以及

恢复单元，其被配置为采用所述记录单元中所记录的第二信息的历史记录来将所述第二操作系统设定为与所述第一操作系统的内部状态相同的状态，并且被配置为采用所述第一信息来将在所述第一操作系统中运行的所述应用程序恢复至所述第二操作系统中。

11.如权利要求10所述的过程控制系统，还包括比较单元，其被配置为执行下述比较操作中的至少一个：将所述第一信息与恢复至所述第二操作系统中的所述应用程序的第一信息的对应信息进行比较的操作；将所述第二信息与在所述第二操作系统和恢复至所述第二操作系统中的所述应用程序之间传递的信息进行比较的操作。

12.如权利要求11所述的过程控制系统，其中，比较单元执行检验，以检验所比较的信息的内容是否相同、以及所比较的信息之间的时间差是否处于预确定的允许范围之内。

13.如权利要求11所述的过程控制系统，其中，在安装于所述第一操作系统和所述应用程序之间的第一中间件中提供了记录单元，并且在安装于所述第二操作系统和恢复至所述第二操作系统中的所述应用程序之间的第二中间件中提供了所述恢复单元和所述比较单元。

14.如权利要求10所述的过程控制系统，还包括：

分配单元，其被配置为将来自所述现场装置的信息分配至所述第一操作系统和第二操作系统；以及

获得单元，其被配置为提供在所述第一虚拟化单元中以获得所述第一操作系统和第二操作系统的输出并且将该输出中的一个输出至所述现场装置。

15.如权利要求14所述的过程控制系统，还包括输出比较单元，其被配置为比较由所述获得单元获得的所述第一操作系统和第二操作系统的输出。

16.如权利要求15所述的过程控制系统，其中，输出比较单元执行检验，以检验所比较的所述第一操作系统和第二操作系统的输出的内容是否相同、以及所比较的所述第一操作系统和第二操作系统的输出的时间差是否处于预确定的允许范围之内。

17.如权利要求10所述的过程控制系统，其中，所述第一硬件被配置为经过第一网络连接至所述现场装置，并且所述第二硬件被配置为经过第一网络连接至所述现场装置。

18.如权利要求17所述的过程控制系统，其中，所述第一硬件被配置为经过第二网络连接至监控设备，并且所述第二硬件被配置为经过第二网络连接至监控设备，所述监控设备监控所述第一操作系统和第二操作系统以及所述应用程序。

19.一种为用于控制在车间中实施的工业过程的过程控制设备进行更新的方法，该方法包括：

第一步，记录恢复应用程序所需的第一信息、以及在第一操作系统和所述应用程序之间传递的第二信息，所述第一操作系统在运行于硬件中的虚拟化单元中运行以使得所述应用程序运行；以及

第二步，采用在所述第一步中记录的所述第二信息的历史记录来将在所述虚拟化单元中运行的第二操作系统设定为与所述第一操作系统的内部状态相同的状态，并且采用所述第一信息来将在所述第一操作系统中运行的所述应用程序恢复至所述第二操作系统中。

20.一种为用于控制在车间中实施的工业过程的具有第一过程控制设备和第二过程控制设备的过程控制系统进行更新的方法，该方法包括：

第一步，记录恢复在所述第一过程控制设备中运行的应用程序所需的第一信息、以及在运行所述应用程序的第一操作系统和所述应用程序之间传递的第二信息；以及

第二步，采用在所述第一步中记录的所述第二信息的历史记录来将在所述第二过程控制设备中运行的第二操作系统设定为与在所述第一过程控制设备中运行的所述第一操作系统的内部状态相同的状态，并且采用所述第一信息来将在所述第一操作系统中运行的所述应用程序恢复至所述第二操作系统中。