CN107273180A - 控制装置、控制方法以及程序 - Google Patents

Abstract

本发明涉及一种控制装置、控制方法以及程序，迫切期望对于采用了虚拟技术的控制装置能够安全关停的结构。用于控制设备或机械的控制装置包括：一个或多个处理器；在一个或多个处理器上并列执行的通用OS和实时OS，该实时OS提供用于实现设备或机械的控制的用户程序的执行环境；以及输入接口，接收来自外部的中断事件。实时OS包含如下功能：响应中断事件，执行实时OS的关停所需的关停准备处理；在关停准备处理的执行后，对通用OS指示关停；以及当包含来自通用OS的关停完成通知的接收在内的、预定条件被满足时，完成实时OS的关停而中断控制装置的电源。

Description

控制装置、控制方法以及程序

技术领域

本技术涉及一种使用共用的硬件资源(hardware resource)来执行多个操作系统(Operating System，OS)的控制装置、控制方法以及程序(program)。

背景技术

伴随近年的信息和通信技术(Information and Communication Technology，ICT)的进步，通用计算设备(computing device)的可靠性也逐渐提高。在用于控制设备或机械的工厂自动化(Factory Automation，FA)关联装置中，也正在推进此种通用计算设备的导入。在采用此种通用计算设备的情况下，对于与设备或机械相关的处理，也优选采用可靠性高的软件(software)。另一方面，对于与用户(user)操作相关的处理等，通过采用通用软件，能够提高操作性等。

因此，提出有使用可靠性高的操作系统(Operating System，以下也简称作“OS”)及通用性高的通用OS这两者的系统。

例如，日本专利特开2005-275818号公报(专利文献1)揭示了一种包含利用通信部件而连接的两个系统的电子设备装置。而且，日本专利特开2005-004381号公报(专利文献2)揭示了一种包含主(master)中央处理器(Central ProcessingUnit，CPU)块(block)和从(slave)CPU块的多(multi)CPU装置。

在专利文献1及专利文献2分别揭示的结构中，在通常时，两个装置并列地执行，在异常时，两个装置均将被停止。关于停止此种装置的观点，专利文献1揭示了下述结构，即，仅配置于其中一个系统中的异常检测部对另一系统输出关停(shut down)命令。专利文献2揭示了下述结构，即，当来自源电源的供电停止时，实时(RealTime)OS关停通用OS。

而且，关于电源供给停止时的关停处理，日本专利特开平11-134073号公报(专利文献3)揭示了一种针对从不间断电源装置接受电力供给的多个服务器(server)的OS关停方法。

现有技术文献

专利文献

专利文献1：日本专利特开2005-275818号公报

专利文献2：日本专利特开2005-004381号公报

专利文献3：日本专利特开平11-134073号公报

发明内容

[发明所要解决的问题]

伴随ICT的进步，计算设备的处理速度提高，使用共用的硬件资源来实现彼此独立的OS环境，并且在各OS环境中执行各不相同的应用(application)的、所谓虚拟技术等逐渐发展。通过采用此种虚拟技术，有可能实现装置成本的低廉化。

所述专利文献1～专利文献3所揭示的不过是与彼此独立的多个装置(CPU)并列执行时的关停等相关的技术，对于虚拟技术未作任何研讨。

期望一种对于采用虚拟技术的控制装置能够安全关停的结构。

[解决问题的技术手段]

本技术的一方案的控制设备或机械的控制装置包括：一个或多个处理器(processor)；在一个或多个处理器上并列执行的通用操作系统(OS)和实时OS，该实时OS提供用于实现设备或机械的控制的用户程序的执行环境；以及输入接口(interface)，接收来自外部的中断事件。实时OS具备如下功能：响应中断事件，执行实时OS的关停所需的关停准备处理；在关停准备处理的执行后，对通用OS指示关停；以及当包含来自通用OS的关停完成通知的接收在内的、预定条件被满足时，完成实时OS的关停而中断控制装置的电源。

优选的是，实时OS在从对通用OS指示关停开始经过预定期间时，即使未收到来自通用OS的关停完成通知，也中断控制装置的电源。

优选的是，输入接口构成为，接收对控制装置供给电源的不间断电源装置丢失了对该不间断电源装置供给的外部电源时发出的中断事件。实时OS还具备下述功能，即，将实时OS的关停已完成的情况通知给不间断电源装置。

优选的是，实时OS还具备下述功能，即，使用户程序可参照表示是否已收到中断事件的信息。

优选的是，实时OS在收到中断事件后，包含已收到来自用户程序的规定的通知在内的预定条件被满足时，执行关停准备处理。

优选的是，实时OS在从对用户程序指示关停开始经过预定期间时，开始关停准备处理。

本技术的另一方案的控制设备或机械的控制装置中的控制方法包括如下步骤：在一个或多个处理器上，并列执行通用操作系统(OS)和实时OS，实时OS提供用于实现设备或机械的控制的用户程序的执行环境；实时OS响应经由输入接口而接收的中断事件，执行实时OS的关停所需的关停准备处理；实时OS在关停准备处理的执行后，对通用OS指示关停；以及实时OS在包含来自通用OS的关停完成通知的接收在内的、预定条件被满足时，完成实时OS的关停而中断控制装置的电源。

根据本技术的又一方案，提供一种程序，包含构建用于依照预先准备的用户程序来控制设备或机械的环境的实时操作系统(OS)。实时OS是与通用OS一同在一个或多个处理器上并列执行。程序使计算机执行如下步骤：响应经由输入接口而接收的中断事件，执行实时OS的关停所需的关停准备处理；在关停准备处理的执行后，对通用OS指示关停；以及在包含来自通用OS的关停完成通知的接收在内的、预定条件被满足时，完成实时OS的关停而中断电源。

[发明的效果]

依照本技术，对于采用了虚拟技术的控制装置，能够更安全地进行关停。

附图说明

图1是表示依据本实施方式的控制装置的概要的示意图。

图2是表示依据本实施方式的控制系统的装置结构的一例的示意图。

图3是表示依据本实施方式的控制装置的硬件结构的一例的示意图。

图4是表示依据本实施方式的控制装置的软件结构的一例的示意图。

图5是表示依据本实施方式的控制装置中的关停处理的处理流程的序列图。

图6是表示依据本实施方式的控制装置中的考虑到关停处理的用户程序的一例的图。

图7是表示依据本实施方式的控制装置中的关停处理的另一处理流程的序列图。

图8是表示依据本实施方式的控制装置中的关停处理的又一处理流程的序列图。

图9是表示依据本实施方式的控制装置的实时OS所执行的处理流程的流程图。

图10是表示在依据本实施方式的控制装置中实时OS在启动中跳转至关停处理时的处理流程的序列图。

图11是表示在依据本实施方式的控制装置中通用OS在启动中跳转至关停处理时的处理流程的序列图。

附图标记说明

1：控制系统

100：控制装置

102：处理器

104：系统控制器

106：视频控制器

108：RAM

110：HDD

112：管理程序

114：实时OS

116：通用OS

118：用户程序

120、1162：通用应用

122：网络接口

124：输入/输出接口

126：本地通信接口

128：电源按钮

130：电源部

132：存储卡接口

134：存储卡

200：不间断电源装置

202：外部电源(一次电源)

1142：任务调度程序

1144：运动控制进程

1146：I/O控制进程

1164：用户应用

1181、1182、1184、1185：标记

1183、1186：功能块

1187：线圈

S2～S24：步骤

SQ100～SQ128、SQ200～SQ222：序列

Tu、Tw：超时时间

具体实施方式

对于本发明的实施方式，参照附图来进行详细说明。另外，对于图中的相同或相当的部分，标注相同的符号且并不重复其说明。

<A.概要>

首先说明依据本实施方式的控制装置100的概要。图1是表示依据本实施方式的控制装置100的概要的示意图。

参照图1，在控制装置100中，提供用于实现设备或机械的控制的用户程序的执行环境的实时OS与通用OS是在包含一个或多个处理器的共用硬件资源上并列执行。控制装置100具有接收来自外部的中断事件的接口。

本说明书中，“中断事件”是指成为控制装置100开始关停或电源阻断处理的触发(trigger)的任意事件，典型而言，可包含如后所述的、来自不间断电源装置200的事件或用户对电源按钮(button)的操作等。

图1所示的实时OS及通用OS是在利用管理程序(hypervisor)等的虚拟环境下执行。实时OS是可靠性高的OS，能够稳定地控制设备或机械。与此相对，通用OS与实时OS相比，在可靠性方面较差，但通用性高，因此能够执行各种通用应用或用户应用。因此，能够更低成本及短时间地进行要求高度的信息处理的系统的构建。而且，也容易经由网络(network)来与外部装置连接。

当因某些理由而发生了中断事件时，两OS均必须安全关停。因此，本实施方式中，实时OS取得主导权，关停通用OS，并且自身也关停。另外，一般而言，实时OS所处理的数据比起通用OS所处理的数据而优先级高，因此实时OS起到主导作用，由此，对于优先级更高的数据也能够切实地保护。

作为关停的具体流程，实时OS响应中断事件而执行实时OS的关停所需的关停准备处理。继而，实时OS在关停准备处理的执行后，对通用OS指示关停。然后，当包含来自通用OS的关停完成通知的接收在内的、预定条件被满足时，完成实时OS自身的关停而中断控制装置100的电源。经过此种流程，能够安全且切实地关停实时OS及通用OS这两者。

<B.控制系统的装置结构>

接下来说明依据本实施方式的控制系统的更详细的装置结构的一例。图2是表示依据本实施方式的控制系统1的装置结构的一例的示意图。参照图2，控制系统1包含：用于控制设备或机械的控制装置100；以及对控制装置100供给电源的不间断电源装置200。

控制装置100执行用于控制设备或机械的用户程序。为了控制此种设备或机械，控制装置100能够经由现场网络(field network)等来交换现场信息，并且也能够与处于上位网络上的服务器装置等之间交换数据。此种控制处理是利用由控制装置100所执行的实时OS而实现。控制装置100中，除了实时OS以外，还执行通用OS，能够使任意通用应用进行动作。

不间断电源装置(Uninterruptible Power Supply，UPS)200包含电力转换装置及蓄电装置等，将从外部电源(一次电源)202供给的外部电力的一部分直接或者转换成规定的交流电力或直流电力，作为二次电力而供给至控制装置100，并且将剩余的电力蓄积到蓄电装置中。当因某些因素而导致来自外部电源的电力供给停止时，使用蓄积在蓄电装置中的电力来继续对控制装置100供给二次电力。但是，内置在不间断电源装置200中的蓄电装置能够蓄积的电力有限，因此当来自外部电源的电力供给停止时，不间断电源装置200对控制装置100通知外部电源已停止的情况和/或在规定时间经过后二次电力的供给将停止。

接下来说明依据本实施方式的控制装置100的硬件结构的一例。图3是表示依据本实施方式的控制装置100的硬件结构的一例的示意图。图3所示的控制装置100基本上包含依照通用体系结构(architecture)的计算元件(computing element)，具有与通用的个人计算机(personal computer)类似的硬件结构。

参照图3，控制装置100包含处理器102、系统控制器104、视频控制器(videocontroller)106、随机存取存储器(Random Access Memory，RAM)108、硬盘驱动器(HardDisk Drive，HDD)110、网络接口(Interface，以下也记作“I/F”)122、输入/输出接口124、本地(local)通信接口126、电源按钮128、电源部130及存储卡接口(memory card interface)132。控制装置100中，使用共用的硬件资源来实现多个OS可彼此独立地执行的虚拟环境。

处理器102是执行各种程序的算术逻辑运算装置，典型而言，可包含中央处理器(Central Processing Unit，CPU)、微处理器(Micro Processing Unit，MPU)、图形处理器(Graphics Processing Unit，GPU)等。处理器102既可安装有多个，或者也可在单个处理器102内安装有多个运算核心(core)。即，既可为所谓的多处理器(multi-processor)，也可为多核心。

系统控制器104是对处理器102与周边装置之间的内部命令或数据的交换等进行控制及中介的电路，典型而言，是通过大规模集成电路(Large Scale Integration，LSI)等来实现。

视频控制器106连接于显示器(display)等，以视觉方式输出由控制装置100所提供的运算结果等。

RAM108暂时保存在处理器102中执行程序所需的工作数据(work data)或者通过与外部的交换而获取的数据等。典型而言，RAM108是通过动态随机存取存储器(DynamicRandom Access Memory，DRAM)或静态随机存取存储器(Static Random Access Memory，SRAM)等易失性存储装置来实现。

HDD110是非易失性地保存由处理器102所执行的程序、或者通过处理器102执行程序而生成的数据的存储设备(storage device)。也可取代HDD110，或者除此以外，使用固态硬盘(Solid State Drive，SSD)或者光盘等存储设备。图3中，为了便于说明，作为单个存储设备而描绘了HDD110，但也可根据要保存的数据来将多个存储设备加以组合。例如，也可各别地准备用于保存实时OS114及通用OS116的存储设备(例如HDD)。通过采用此种结构，例如即使保存通用OS116的存储设备发生故障，也能够在实时OS114中继续控制。

典型而言，在HDD110中保存有管理程序(hypervisor)112、实时操作系统(RealTime Operating System，RTOS)114、通用OS116、用户程序118及通用应用120。

管理程序112如后所述，是用于使用共用的硬件资源来彼此独立地执行多个OS的管理程序(managing program)。管理程序112对分配给实时OS114及通用OS116的硬件资源进行管理。管理程序112将对各OS提供虚拟的硬件资源，从各OS看来，能够执行与利用通常的硬件资源同样的处理。

实时OS114是使用控制装置100的硬件资源来执行，提供用于控制设备或机械的用户程序的执行环境的程序，通过使用调度程序(scheduler)来管理所需进程(process)的执行周期，从而实现与以往的可编程逻辑控制器(Programmable Logic Controller，PLC)同样的功能。即，本说明书中，“实时OS”是指实现能以指定周期来执行用户程序的环境的程序，是指提供执行作为控制装置的用户程序(执行格式)所需的各种库(library)或函数等的程序整体。

通用OS116是使用控制装置100的硬件资源来执行，独立于实时OS114而动作。通用OS116是由普通的个人计算机等所执行的OS，例如可列举Windows(注册商标)、Mac OS(注册商标)、UNIX(注册商标)、LINUX(注册商标)、Android(注册商标)、MS-DOS(注册商标)及其他UNIX衍生的任意OS等。

用户程序118是由实时OS114所执行的任意控制程序。用户程序118在实时OS提供解释器(interpreter)的功能时，既可以源代码(source code)或中间代码的形式保存，或者也可以对象(object)格式等可执行的状态保存。

通用应用120是在通用OS116上执行的任意应用，可包含作为通用OS116的一部分而装入者、市售的任意应用、用户制作的个人应用等。

网络接口122是用于与其他装置之间交换数据的接口，例如可包含用于连接至上位计算机或上位网络的端口(port)、用于经由现场网络或现场总线(field bus)而连接至各种现场装置的端口、用于与其他控制装置之间交换数据的端口等。网络接口122可使用遵照任意规格的设备，例如为以太网(Ethernet(注册商标))、以太网控制自动化技术(EtherControl Automation Technology，EtherCAT(注册商标))等有线方式，或者无线局域网(Local Area Network，LAN)、蓝牙(Bluetooth(注册商标))等无线方式中的任一种均可。网络接口122对于实时OS114及通用OS116而言均可利用，各OS能够经由网络接口122来与其他装置之间交换数据。

输入/输出接口124相当于安装于PLC的输入/输出单元，与现场设备之间交换现场信号(数字(digital)输入/输出信号、模拟(analog)输入/输出信号、脉冲(pulse)信号等)。

本地通信接口126相当于接收来自外部的中断事件的输入接口，包含任意的通信接口。典型而言，本地通信接口126包含通用串行总线(Universal Serial Bus，USB)、并行(parallel)通信、RS-232C等串行(serial)通信等，与图2所示的不间断电源装置200或打印机(printer)等周边装置之间交换数据。即，本地通信接口126接收在对控制装置100供给电源的不间断电源装置200丢失了对不间断电源装置200供给的外部电源时发出的中断事件。

另外，表示中断事件的信号既可经由输入/输出接口124来接收，也可使用输入/输出接口124及本地通信接口126这两者。

电源按钮128根据用户操作，产生用于对控制装置100的电源接通/断开(ON/OFF)进行控制的指令。

电源部130将从不间断电源装置200供给的电力转换成规定的电压并供给至各部。典型而言，电源部130包含开关调节器(switching regulator)等。

存储卡接口132对存储卡134(例如安全数字(Secure Digital，SD)卡等)进行数据的写入/读出。

<C.控制装置的软件结构>

接下来说明控制装置100的软件结构的一例。图4是表示依据本实施方式的控制装置100的软件结构的一例的示意图。

参照图4，在控制装置100中，管理程序112管理控制装置100的硬件资源，并且对实时OS114及通用OS116调停并分配这些硬件资源，由此，在共用的硬件资源上执行彼此独立的实时OS114及通用OS116。即，使用管理程序112来实现执行多个不同的OS的虚拟环境。实时OS114与通用OS116之间经由管理程序112构成逻辑网络。

实时OS114中执行用户程序118。通过用户程序118的执行，任务调度程序(taskscheduler)1142、运动(motion)控制进程1144与输入/输出(Input/Output，I/O)控制进程1146相关联。用户程序118是用于控制设备或机械的控制程序，是根据作为控制对象的设备或机械来任意制作。典型而言，用户程序118包含序列控制及运动控制的命令。用户程序118能够以任意的语言来制作，例如可使用梯形图(1adder)程序、ST语言、C语言、功能块(function block)命令等。典型而言，用户程序118被预先转换为执行格式，该执行格式的代码与任务调度程序1142、运动控制进程1144、I/O控制进程1146相关联，并且反复进行从控制对象的信号获取、控制逻辑(logic)的执行、执行结果的反映(执行器(actuator)的控制)。

任务调度程序1142针对用户程序118中所含的每个任务来控制执行周期或执行时序(timing)。运动控制进程1144执行运动控制所需的各种数值运算(浮点运算等)。I/O控制进程1146负责与控制对象之间交换各种信号的处理。

通用OS116中，执行任意的用户应用1164及通用应用1162。

典型而言，用户应用1164是由在实时OS114中执行的用户程序118的开发供应商(vender)等所制作的应用，执行获取和/或提供与用户程序118的处理结果相关的数据和/或处理所需的数据的处理。例如，用户程序118对上位服务器装置所具有的数据库(database)进行存取，以交换与用户程序118中的处理相关的数据，或者，向控制装置100的操作员(operator)等提供与针对控制装置100的操作相关的用户接口画面。

通用应用1162是可在通用OS116中执行的标准应用，通过与用户应用1164相关联，从而能够使用通用的处理或功能而以更少的工时来构建系统。

此处，在控制装置100中，对各种数据进行处理，但典型而言，可大致分为系统数据与用户数据。

系统数据是指实时OS114或通用OS116的动作所需的所有数据。若此种系统数据受到破坏，则实时OS114或通用OS116将无法启动及动作。作为该系统数据，包含实时OS114及通用OS116所生成的日志数据(log data)、及系统所生成的日志数据(事件日志)。这些日志数据也可存在开放给控制装置100的用户的数据与不开放的数据。

用户数据基本上是包含系统数据以外的数据的概念，例如是指用户所制作或安装(install)的数据等。作为此种用户数据，典型而言，包含用户程序118自身、及对与在作为控制对象的装置中生产的产品或半产品相应的处理进行定义的生产用配方(recipe)等。

<D.关停处理>

接下来说明依据本实施方式的控制装置100中的关停处理的若干示例。本实施方式中，实时OS114主导关停处理。典型而言，此种关停处理是以来自不间断电源装置200的通知、及控制装置100的用户按下电源按钮128等中断事件为触发而开始。

另外，在控制装置100的显示器上，主要显示由通用OS116所提供的用户接口画面，但优选的是在该用户接口画面上不准备用于关停通用OS116的菜单(menu)。即，为了避免控制装置100的用户无意中执行关停。包含通用OS116在内，控制装置100整体的关停是由实时OS114来管理。以下说明各情况下的典型的处理流程。

(d1：因不间断电源装置200引起的关停)

图5是表示依据本实施方式的控制装置100中的关停处理的处理流程的序列图。参照图5，当从外部电源对不间断电源装置200的电力供给停止时，不间断电源装置200对控制装置100输出关停指令(备份(backup)中的通知)。该信号经由本地通信接口126或输入/输出接口124而输入至控制装置100。通过该信号的输入，在控制装置100的内部产生外部中断(序列SQ100)。于是，实时OS114对用户程序118输出关停通知(序列SQ102)。典型而言，对该用户程序118的通知是经由系统变量来进行。

用户程序118以关停通知为触发，执行安全关停所需的处理(序列SQ104)。由用户程序118所执行的关停处理也可包含用于停止I/O刷新(refresh)(输入/输出信号的更新处理)的准备处理、或对外部存储器的写入处理的完成等处理。此种关停处理将根据用户程序118的内容而分别编程，例如执行用于使作为控制对象的设备或机械安全停止的处理。除此以外，执行关闭(close)已打开的生产用配方文件(file)的处理。如此，当用于安全关停的处理的执行完成时，将该处理完成通知给实时OS114(序列SQ106)。该处理完成也可以对实时OS114的关停命令的形式来通知。即，实时OS114响应来自用户程序118的关停命令而开始关停处理。

实时OS114在对用户程序118输出关停通知(序列SQ102)之后，以收到来自用户程序118的关停命令或者从关停通知后计起的经过时间超过超时(time out)时间Tu为触发，开始实时OS114自身的关停处理。如此，实时OS114监控从对用户程序118输出关停通知(序列SQ102)开始计起的经过时间。

作为实时OS114的关停处理，假设执行电源阻断处理1及电源阻断处理2。其中，既可执行一次电源阻断处理，也可进一步分为多次来执行。电源阻断处理1及电源阻断处理2的详细将后述。

首先，实时OS114在收到来自用户程序118的关停命令时，或者，在从关停通知后计起的经过时间超过超时时间Tu时，开始电源阻断处理1(序列SQ108)。在电源阻断处理1的执行完成后，实时OS114对通用OS116输出关停请求(序列SQ110)。

通用OS116响应来自实时OS114的关停请求，结束执行中的应用(序列SQ112)，执行OS的关停处理(序列SQ114)。实时OS114在关停请求的输出后，确认通用OS116的状态(序列SQ116、SQ120)。若通用OS116在运行中(序列SQ118)，则实时OS114等待至通用OS116中的关停处理完成为止。另外，典型而言，实时OS114确认通用OS116的状态的处理是实时OS114对通用OS116输出某些请求或消息(message)，基于其响应的有无及内容等来判断状态。这是因为，在该状态下，通用OS116处于关停处理中，无法保证完全响应来自实时OS114的请求。

实时OS114在对通用OS116输出关停请求(序列SQ110)后，以在通用OS116中关停处理已完成、或从关停请求的输出后计起的经过时间超过超时时间Tw为触发，开始电源阻断处理2(序列SQ124)。如此，实时OS114监控从对通用OS116输出关停请求(序列SQ110)开始计起的经过时间。即，实时OS114基本上以收到来自通用OS的关停完成通知为触发开始电源阻断处理2，但当从对通用OS116指示关停开始经过预定期间(超时时间Tw)时，即使未收到来自通用OS116的关停完成通知，也中断控制装置100的电源。

在电源阻断处理2的执行完成后，实时OS114对不间断电源装置200输出供电停止许可(序列SQ126)，中断电源(序列SQ128)。该控制装置100的电源阻断(序列SQ128)是经由管理程序112来执行。在序列SQ126中输出的供电停止许可是将即使停止对控制装置100的电源供给也无问题的情况通知给不间断电源装置200的信号。即，实时OS114将关停已完成的情况通知给不间断电源装置200。

通过如上所述的处理流程，因不间断电源装置200引起的关停处理完成。

(d2：用户程序118的一例)

接下来说明沿着图5所示的序列的用户程序118的一例。图6是表示依据本实施方式的控制装置100中的关停处理的用户程序118的一例的图。实时OS114中，具有可使用户程序118参照表示是否收到中断事件的信息的功能，用户程序118能够参照这些信息来执行处理。

图6所示的用户程序118中，包含从用户程序118输出对实时OS114的关停处理完成的处理(图5所示的序列SQ106)、及对存储卡等写入数据的处理。

更具体而言，发布对实时OS114的关停命令(Enable_Shutdown)的功能块1183是通过标记(flag)1181与标记1182的逻辑与来激活，所述标记1181表示从外部电源对不间断电源装置200的电力供给已中断的状态(备份中)，所述标记1182表示文件写入完成。即，在从外部电源对不间断电源装置200的电力供给已中断的状态下，因某些文件写入处理完成而文件被关闭，而对实时OS114输出关停命令。

执行对存储卡等写入数据的处理(File_Write)的功能块1186当文件写入完成时，激活表示完成的线圈(coil)1187。标记1182的值表示该线圈1187的值。即，当功能块1186的文件写入完成时，激活功能块1183的条件成立。

作为功能块1186的执行条件，设定有标记1184与标记1185的逻辑与，所述标记1184表示文件写入命令已发布，所述标记1185表示并非备份中。即，当成为从外部电源对不间断电源装置200的电力供给中断的状态(备份中)时，即使在此以后发布了文件写入命令，功能块1186也不执行。即，当成为从外部电源对不间断电源装置200的电力供给中断的状态(备份中)之前命令的文件写入完成时，从功能块1183输出关停命令。

通过构建此种用户程序118，即使从外部电源对不间断电源装置200的电力供给中断，对于在此之前的处理中生成的数据也能够安全地保存，另一方面，一旦该数据保存完成，便能够立即开始实时OS114及通用OS116的关停处理。

(d3：实时OS114中的电源阻断处理)

对所述电源阻断处理(电源阻断处理1及电源阻断处理2)的详细进行说明。

电源阻断处理1相当于实时OS114的关停所需的关停准备处理，具体而言，包含如下所述的处理。

(1)中断用户程序118的执行。

(2)对于I/O刷新(输入/输出信号的更新处理)，停止对执行器的信号输出，并停止经由现场网络的数据更新。

(3)对于对外置存储卡134的存取，即使在写入中途，也中断该写入并关闭文件，并且解除安装(mount)。

(4)对于共享文件夹(folder)(网络驱动器(network drive))的存取，即使在写入中途，也中断该写入并关闭文件，且解除安装。

(5)若用户程序118等在转发中，则中断该转发。此时，有可能成为仅用户程序118的一部分被转发的状态，因此在下次电源接通时产生错误(error)，以免执行用户程序118。

(6)若为对用户程序118在线编辑(online edit)中，则中断该在线编辑。在下次电源接通时产生错误，敦促用户进行对数据的失配等的复原处理。

(7)将设置有保持属性的变量的当前值备份保存至非易失性存储器区域。

实时OS114在收到中断事件后，在包含收到来自用户程序118的规定的通知在内的、预定条件被满足时，执行关停准备处理即电源阻断处理1。但是，如后所述，作为关停处理整体所容许的时间有限，因此实时OS114在从对用户程序118指示关停开始经过预定期间(超时时间Tu)时，开始电源阻断处理1(关停准备处理)。

而且，在电源阻断处理2中，执行如下所述的处理。

(1)对于对内置存储卡(或辅助存储设备)的存取，即使在写入中途，也中断该写入并关闭文件，且解除安装。

(2)将记录有电源阻断的发生时刻等的事件日志备份保存至非易失性存储器区域。

在图5所示的处理流程中，所述电源阻断处理(电源阻断处理1及电源阻断处理2)是在对通用OS116输出关停请求之前、及在通用OS116中完成关停处理之后分别执行。也可使这些处理在通用OS116中完成关停处理之后一齐执行。但是，基于如下所述的理由，优选如图5所示般分两次执行。

即，当在通用OS116中所执行的应用(用户应用1164或通用应用1162)中存在直至结束处理为止需要长时间的应用时、或者任一应用在结束处理中发生了冻结(freeze)时，实时OS114将持续等待来自通用OS116的关停处理的完成，有可能不进行关停处理。

而且，在不间断电源装置200的蓄电装置中的蓄电量不够充分的情况下，若通用OS116的等待关停处理的完成所需的时间变长，则在通用OS116或实时OS114的关停中，来自不间断电源装置200的电力供给便有可能停止。

考虑到在此类关停处理中数据丢失的可能性，在对通用OS116输出关停请求之前，在实时OS114中尽可能执行电源阻断处理。即，为了降低数据丢失的风险(risk)，对于保存对象已确定的数据，尽早保存至安全区域中。但是，为了保留通用OS116的事件日志等，在来自通用OS116的关停处理完成后，执行电源阻断处理2。

另外，也可采用如下所述的两阶段的处理，即，在电源阻断处理1中，也执行保存事件日志的处理，且在电源阻断处理2中，仅追加保存在电源阻断处理1的执行后新生成的事件日志。通过采用此种以两阶段保存事件日志的处理，从而能够至少保存对通用OS116输出关停请求之前的阶段的事件日志。

(d4：超时时间的设定)

接下来说明图5所示的超时时间Tu及超时时间Tw的设定例。超时时间Tu及超时时间Tw是等待关停处理完成的时间，是分别预估直至用户程序118及通用OS116的关停处理完成为止所需的时间而设定。

超时时间Tu是推断用户程序118中的关停处理(例如控制程序的结束处理、数据记录(data logging)的停止、I/O刷新的停止)等所需的时间而设定。例如也可设定为1秒～30秒范围的值。

超时时间Tw是对通用OS116中执行的应用的结束所需的时间、及通用OS116自身的关停所需的时间进行合计而设定。例如也可设定为30秒～300秒范围的值。

对于此种超时时间，也可由用户使用连接于控制装置100的设定工具(tool)来任意设定。具体而言，超时时间Tu及超时时间Tw被设定为，超过各系统的关停处理所需的最低时间，且小于所容许的最大时间。此处，所容许的最大时间被设定为小于在来自外部电源的电力供给停止后可由不间断电源装置200单独供给电力的时间。

另外，也可仅设定在控制装置100中执行的关停处理的整体所需的时间的最大值，并根据该设定的最大值来动态地决定超时时间Tu及超时时间Tw。

(d5：超过超时时间Tw时)

在实时OS114对通用OS116输出关停请求之后，即使超过超时时间Tw，仍未从通用OS116收到关停处理的完成通知时，实时OS114使通用OS116强制关停。

图7是表示依据本实施方式的控制装置100中的关停处理的另一处理流程的序列图。参照图7，实时OS114对通用OS116输出关停请求(序列SQ110)后，确认通用OS116的状态(序列SQ116)。即使超过超时时间Tw，若通用OS116在运行中，实时OS114仍使通用OS116强制关停(序列SQ123)。

因此种强制关停，在通用OS116上执行的应用的系统数据的一部分有可能未被保存，但可认为在下次电源接通后，对于在实时OS114上执行的用户程序118无实质上的影响。因此，考虑到控制装置100因来自不间断电源装置200的电源阻断而受到的损害(damage)，在超过超时时间Tw而无法完成关停处理的情况下，强制关停通用OS116。

(d6：因电源按钮128引起的关停)

接下来说明通过控制装置100的用户按下电源按钮128而执行的关停处理。对于电源按钮128被按下时执行的关停处理，也与通过来自不间断电源装置200的通知所执行的关停处理同样。但是，当电源按钮128被按下时，通常处于对控制装置100的电力供给仍在继续的状态。因此，也可不考虑关于用户程序118及通用OS116的超时时间。

图8是表示依据本实施方式的控制装置100中的关停处理的又一处理流程的序列图。参照图8，当控制装置100的用户按下电源按钮128时，在控制装置100的内部产生外部中断(序列SQ101)。于是，实时OS114开始关停处理。该关停处理与图5所示的关停处理同样。但是，在电源按钮128被按下时的关停处理中，不设定超时时间Tu及超时时间Tw，或者，设定比在图5的情况下设定的时间长的时间。

即，实时OS114缓和等待来自用户程序118的关停命令的输出、及通用OS116中的关停完成的时间限制。由此，在控制装置100中，确保用户程序118及通用OS116的关停处理的完全执行。即，执行与执行通用OS116的通常的个人计算机同样的关停处理。

如此，当电源按钮128被按下时，将保证更切实且安全的关停处理。

(d7：实时OS114的处理流程)

接下来说明依据本实施方式的控制装置100的实时OS114中执行的处理流程。图9是表示依据本实施方式的控制装置100的实时OS114中执行的处理流程的流程图。图9所示的各步骤是通过处理器102执行实时OS114的代码而实现。

参照图9，处理器102判断是否发生了开始关停处理的中断(中断事件)(步骤S2)。若未发生开始关停处理的中断(步骤S2中为否(NO)时)，则重复步骤S2的处理。

若发生开始关停处理的中断(步骤S2中为是(YES)时)，对用户程序118输出关停通知(步骤S4)。然后，处理器102判断是否由用户程序118通知了关停命令(步骤S6)。若未由用户程序118通知关停命令(步骤S6中为否时)，处理器102判断从输出关停通知开始计起的经过时间是否达到超时时间Tu(步骤S8)。若从输出关停通知开始计起的经过时间尚未达到超时时间Tu(步骤S8中为否时)，则重复步骤S6及其以下的处理。

与此相对，若由用户程序118通知了关停命令(步骤S6中为是时)、或者从输出关停通知开始计起的经过时间达到超时时间Tu(步骤S8中为是时)，则处理器102执行电源阻断处理1(步骤S10)，继而，对通用OS116输出关停请求(步骤S12)。

然后，处理器102确认通用OS116的状态，判断通用OS116中关停是否已完成(步骤S14)。若在通用OS116中关停尚未完成(步骤S14中为否时)，则处理器102判断从输出关停请求开始计起的经过时间是否达到超时时间Tw(步骤S16)。若从输出关停请求开始计起的经过时间尚未达到超时时间Tw(步骤S16中为否时)，则重复步骤S14及其以下的处理。

若通用OS116中关停已完成(步骤S14中为是时)，则处理器102执行电源阻断处理2(步骤S20)，对不间断电源装置200输出供电停止许可(步骤S22)。然后，处理器102中断电源(步骤S24)。然后，一连串的处理结束。

此外，若从输出关停请求开始计起的经过时间已达到超时时间Tw(步骤S16中为是时)，则处理器102强制关停通用OS116(步骤S18)，执行步骤S20及其以下的处理。然后，一连串的处理结束。

<E.系统启动中的关停处理>

所述说明中，例示了实时OS114及通用OS116均在运行中开始关停处理的情况。接下来说明在实时OS114和/或通用OS116的系统启动中跳转到关停处理时的处理例。

作为此种在系统启动中跳转到关停处理的典型场景(scenario)，设想如下所述的情况。

(1)实时OS114启动前的关停处理

例如，存在下述情况：在系统启动中，控制装置100的用户有意识地按下电源按钮128，由此在启动完成前开始关停处理。或者，存在下述情况：在系统启动中，来自外部电源的电力供给停止，由此在启动完成前开始关停处理。

任一情况下均能够利用与所述运行中的关停处理同样的方法来检测事件。此时，由于未执行用户程序118，因此设备或机械的控制未开始。

图10是表示在依据本实施方式的控制装置100中，实时OS114在启动中跳转至关停处理时的处理流程的序列图。参照图10，假设实时OS114及通用OS116分别开始初始化处理(序列SQ210及SQ220)。若假设在该初始化处理刚刚开始之后，从外部电源对不间断电源装置200的电力供给停止(电源阻断)(序列SQ200)，则不间断电源装置200对控制装置100输出关停指令(备份中的通知)(序列SQ202)。

实时OS114收到来自不间断电源装置200的关停指令而开始关停处理(序列SQ212)，并且待通用OS116的初始化处理完成后，对通用OS116输出关停请求(序列SQ214)。

通用OS116执行关停处理(序列SQ222)，当其完成通知被输出至实时OS114(序列SQ224)时，一连串的关停处理完成。

另外，图10中，为了便于说明，简洁地记载了实时OS114中的关停处理，但实际上优选执行图5所示的电源阻断处理。

(2)通用OS116启动前的关停处理

例如，存在下述情况：当在维护作业中误启动系统时或者发现所使用的生产用配方有误等时，通过用户的操作，在启动前开始关停处理。为了使控制装置100安全停止，执行必要的关停处理。此时，由于用户程序118也未执行，因此设备或机械的控制也未开始。

这些情况下，实时OS114也能够利用与所述运行中的关停处理同样的方法来检测事件。但是，若通用OS116在启动中，则待通用OS116的启动完成后开始关停处理。在控制装置100中，实时OS114主导关停处理，因此对于通用OS116，优选在启动完成后而非系统启动中实施关停处理。

图11是表示在依据本实施方式的控制装置100中，通用OS116在启动中跳转至关停处理时的处理流程的序列图。参照图11，假设实时OS114及通用OS116分别开始初始化处理(序列SQ210及SQ220)。然后，假设实时OS114的初始化处理先完成而成为正常运转的状态(序列SQ211)。另一方面，若假设对于通用OS116，在初始化处理的执行中，从外部电源对不间断电源装置200的电力供给停止(电源阻断)(序列SQ200)，则不间断电源装置200对控制装置100输出关停指令(备份中的通知)(序列SQ202)。

实时OS114收到来自不间断电源装置200的关停指令而开始关停处理(序列SQ212)，并且待通用OS116的初始化处理完成后，对通用OS116输出关停请求(序列SQ214)。

通用OS116执行关停处理(序列SQ222)，当该完成通知被输出至实时OS114(序列SQ224)时，一连串的关停处理完成。

另外，在图11中，为了便于说明，简洁地记载了实时OS114中的关停处理，但实际上，执行图5所示的电源阻断处理。

图10及图11中表示了响应来自不间断电源装置200的关停指令(备份中的通知)而开始关停处理的示例，但在用户按下控制装置100的电源按钮128的情况下，也通过同样的处理流程来执行关停处理。

如上所述，在依据本实施方式的控制装置100中，即使实时OS114或通用OS116在启动中，也能够安全且切实地完成关停处理。

<F变形例>

对于所述实施方式，能够适用如下所述的变形例。

(fl：与不间断电源装置200的剩余量相应的处理)

内置在不间断电源装置200中的蓄电装置会因劣化而导致可充电容量减少。因此，也可获取来自不间断电源装置200的剩余容量(或者寿命)等信息，以调整超时时间。

具体而言，实时OS114也可定期或者依事件(例如电源阻断时)来获取来自不间断电源装置200的剩余容量，并基于该获取的信息来推断关停处理的整体所容许的最大时间，并根据该推断出的最大时间来动态决定超时时间Tu及超时时间Tw。

即使在用户预先设定好超时时间Tu及超时时间Tw的情况下，当基于来自不间断电源装置200的信息而决定的超时时间较长时，也可采用更长的超时时间。

另外，作为来自不间断电源装置200的信息，也可使用能够推断寿命的信息(例如累计的运转时间等)而非剩余容量。

(f2：因电源按钮引起的关停)

在因电源按钮128引起的关停处理中，与因不间断电源装置200引起的关停处理不同，原则上可保证电力供给继续。因此，可执行用于使设备或机械更安全且切实地停止的处理。

而且，在并非用户直接按下电源按钮128，而是探测到某些事件而欲停止控制装置100的情况等下，也可从上位服务器装置等对控制装置100给予关停指令。此时，实时OS114接收来自该上位服务器装置等的关停指令，依照与所述同样的流程来执行关停处理。

(f3：用户程序的关停处理的切换)

当根据来自不间断电源装置200的信息等而关停处理的执行所容许的最大时间可能发生变化时，也可从实时OS114对用户程序118输出该容许的最大时间的信息。

在用户程序118中，也可以下述方式进行编程，即，能够根据所容许的最大时间的长度，来选择多个停止处理方法中的任一种。例如，对于存在因停止而破损的风险的设备或机械，也可预先准备尽可能降低该风险的模式(pattem)(但是，停止所需的时间长)、与以尽可能短的时间停止的模式，基于来自实时OS114的所容许的最大时间的信息来选择任一种模式。例如，只要预先将使马达减速时的加速度设置多个阶段，根据所容许的最大时间的长度来适当切换即可。

(f4：针对多个OS或进程的关停处理)

在所述说明中，例示了实时OS114指示对通用OS116的关停的结构，但实时OS114也可对由控制装置100所执行的多个OS或进程指示关停处理。

例如，实时OS114也可对在实时OS114或其他OS中执行的数据库管理进程或软件人机接口(Human Machine Interface，HMI)等指示关停处理。此种关停处理的指示是通过用户预先设定对象来自动执行。例如，通过事先关停数据库管理进程，能够防止数据被破坏。软件HMI也可接收关停处理的指示，以适当切换关停处理中的操作画面的显示内容。

(f5：从实时OS对通用OS的监控处理/操作)

所述说明中，例示了实时OS114对通用OS116输出关停请求的结构，但除此以外，也可安装对通用OS116的状态进行监控的功能。作为成为监控对象的通用OS116的状态，

·通用OS116在更新(update)中

·通用OS116的动作状态

·通用OS116的事件日志的内容

·通用OS116中的设备动作状态

实时OS114也可将所收集的通用OS116的状态通知给上位计算机。此时，上位计算机对所收集的信息进行分析。

而且，也可从实时OS114对通用OS116指示关停处理以外的处理。例如为通用OS116的启动或再启动、通用OS116上的应用的启动、经由通用OS116对外部的通知、通用OS116中的定期处理的执行、在通用OS116上的应用的安装或卸载(uninstall)等。

(f6：连接于控制装置100的单元的监控)

实时OS114也可进行连接于控制装置100的单元的监控。例如，也可一并执行单元的状态监控、单元所发生的事件的收集、对单元的诊断等功能。此种监控及诊断的结果也可通知给计算机。

(f7：关停处理的触发)

所述实施方式中，对起因于不间断电源装置200或电源按钮128而开始关停处理的示例进行了说明，但例如也可接收地震速报等，以该地震速报为触发来开始关停处理。

<G.优点>

根据依据本实施方式的控制装置，通过利用共用的硬件资源来并列执行实时OS及通用OS，从而能够确保用于控制设备或机械的稳定的用户程序的执行，并且通过硬件资源的简化，能够实现低成本化。进而，通过采用通用OS，即使是需要高度的信息处理的系统，也能够以更少的工时来实现。

进而，根据依据本实施方式的控制装置，当发生中断事件时，实时OS主导地关停在实时OS上执行的用户程序及通用OS，因此能够降低数据被破坏的可能性，且能够实现切实的关停处理。

应认为，此次揭示的实施方式在所有方面仅为例示，并非限制者。应意识到，本发明的范围是由权利要求而非所述说明所示，包含与权利要求均等的含义及范围内的所有变更。

Claims (8)

1.一种控制装置，其控制设备或机械，所述控制装置的特征在于包括：

一个或多个处理器；

在所述一个或多个处理器上并列执行的通用操作系统和实时操作系统，所述实时操作系统提供用于实现所述设备或机械的控制的用户程序的执行环境；以及

输入接口，接收来自外部的中断事件，

所述实时操作系统具备如下功能：

响应所述中断事件，执行所述实时操作系统的关停所需的关停准备处理；

在所述关停准备处理的执行后，对所述通用操作系统指示关停；以及

当包含来自所述通用操作系统的关停完成通知的接收在内的、预定条件被满足时，完成所述实时操作系统的关停而中断所述控制装置的电源。

2.根据权利要求1所述的控制装置，其特征在于，

所述实时操作系统在从对所述通用操作系统指示关停开始经过预定期间时，即使未收到来自所述通用操作系统的关停完成通知，也中断所述控制装置的电源。

3.根据权利要求1或2所述的控制装置，其特征在于，

所述输入接口构成为，接收对所述控制装置供给电源的不间断电源装置丢失了对所述不间断电源装置供给的外部电源时发出的所述中断事件，

所述实时操作系统还具备下述功能，即，将所述实时操作系统的关停已完成的情况通知给所述不间断电源装置。

4.根据权利要求1至3中任一项所述的控制装置，其特征在于，

所述实时操作系统还具备下述功能，即，使所述用户程序可参照表示是否已收到所述中断事件的信息。

5.根据权利要求1至4中任一项所述的控制装置，其特征在于，

所述实时操作系统在收到所述中断事件后，包含已收到来自所述用户程序的规定的通知在内的预定条件被满足时，执行所述关停准备处理。

6.根据权利要求1至5中任一项所述的控制装置，其特征在于，

所述实时操作系统在从对所述用户程序指示关停开始经过预定期间时，开始所述关停准备处理。

7.一种控制方法，是控制设备或机械的控制装置中的控制方法，所述控制方法的特征在于包括如下步骤：

在一个或多个处理器上，并列执行通用操作系统和实时操作系统，所述实时操作系统提供用于实现所述设备或机械的控制的用户程序的执行环境；

所述实时操作系统响应经由输入接口而接收的中断事件，执行所述实时操作系统的关停所需的关停准备处理；

所述实时操作系统在所述关停准备处理的执行后，对所述通用操作系统指示关停；以及

所述实时操作系统在包含来自所述通用操作系统的关停完成通知的接收在内的、预定条件被满足时，完成所述实时操作系统的关停而中断所述控制装置的电源。

8.一种程序，包含构建用于依照预先准备的用户程序来控制设备或机械的环境的实时操作系统，所述程序的特征在于，

所述实时操作系统是与通用操作系统一同在一个或多个处理器上并列执行，

所述程序使计算机执行如下步骤：

响应经由输入接口而接收的中断事件，执行所述实时操作系统的关停所需的关停准备处理；

在所述关停准备处理的执行后，对所述通用操作系统指示关停；以及

在包含来自所述通用操作系统的关停完成通知的接收在内的、预定条件被满足时，完成所述实时操作系统的关停而中断电源。