CN109478050A - 具有管理系统的可编程逻辑控制器 - Google Patents

Abstract

一种用于工业设施(100)中的至少一个现场设备(101)的可编程控制器(1)，包括硬件平台(2)，操作系统(3)在该硬件平台(2)上运行，其中操作系统(3)被配置为，在至少一个进程中实现至少一个执行环境(51‑53)，在该执行环境(51‑53)内能够运行包含该可编程逻辑控制器(1)的控制逻辑的控制软件(61‑63)，其中设置有更高层次的管理系统(4)，该管理系统(4)被配置为直接在操作系统(3)上运行，并且分别在各自的沙盒(41‑43)中实现一个或多个执行环境(51‑53)，其中管理系统(4)包括资源管理器(44)，该资源管理器(44)被配置为，将对硬件平台(2)的主存储器(21)、处理器功率(22)和通信资源(23)的访问指派给每个沙盒(41‑43)。

Description

具有管理系统的可编程逻辑控制器

技术领域

本发明涉及一种用于控制工业设施的分布式控制系统中的现场设备的可编程逻辑控制器。

背景技术

许多工业设施由分布式控制系统(DCS)控制。这种控制系统的基础是可编程逻辑控制器(SPS或英文PLC)。

标准SPS包括硬件平台和与该硬件平台精确匹配的控制软件。该控制软件以硬件编程的执行环境方式而在硬件上实现。通过该硬件平台的通信资源，SPS与其他SPS水平连接，并且与受控的现场设备和更高层次的控制系统垂直连接。

控制软件通常专用于特定的硬件平台和在该硬件平台上运行的执行环境。因此，在更换SPS时必须调整控制软件。当控制软件已根据标准(例如IEC 61131-3)进行编程，并且旧SPS和新SPS都支持上述标准时，上述控制软件的调整也可能是必要的，因为当前标准未强制地规定执行行为的所有细节。

例如，如果现在通过新设施部件来扩大工业设施，该设施部件具有与现有设施部件相同的功能，那么新设施部件也应该集成到控制系统中。如果在此规定客户特定的控制软件应保持不变，则由于控制软件与SPS的紧密连接，只能非常有限地通过性能更强大的SPS替换现有的SPS。大多数情况下，扩展必须使用相同类型的额外SPS。加装新功能也很困难。在现有控制系统中安装额外的SPS可能由于现有控制柜中的空间不足而失败。

从EP 2 506 098 A1中已知，在虚拟机上执行SPS内的控制软件，使得同一个控制软件能够在不同类型的SPS上执行。在同一个SPS上可以同时运行多个这样的虚拟机。从WO2015/124 320 A1中已知另一种动态SPS，在该SPS上可以同时执行多个不同的控制程序。因此，通过添加其他的控制程序可以为SPS提供附加功能。

在持续有效地使用此类解决方案时基本上存在以下困难：控制程序的无故障执行还取决于同时运行的其他控制程序的良好状况。

发明内容

因此，本发明的目的是通过附加功能改进单个SPS和控制系统整体的可扩展性。

该目的通过根据独立权利要求的可编程逻辑控制器和相关的计算机程序产品来实现。根据从属权利要求将得到其他有利实施例。

在本发明的上下文中，已经为工业设施中的至少一个现场设备开发了可编程逻辑控制器(SPS)。该SPS包括操作系统，该操作系统被配置为，在至少一个进程中实现至少一个执行环境，在该执行环境内，能够运行包含可编程逻辑控制器的控制逻辑的控制软件。

根据本发明，另外设置有更高层次的管理系统。该管理系统被配置为直接在操作系统上运行，并且分别在各自的沙盒中实现一个或多个执行环境。该管理系统包括资源管理器，该资源管理器被配置为，将对硬件平台的主存储器、处理器性能和通信资源的访问指派给每个沙盒。

资源管理器促使控制软件实例的无故障执行不再取决于其他同时运行的控制程序的良好状况。相反，控制软件具有可规划的资源，就像该控制软件在适当规格的硬件平台上单独运行一样。因此，资源管理器完成了沙盒彼此之间的独立性以及保护沙盒不受彼此之间的影响。

特别地，SPS的操作系统可以是实时操作系统。于是，即使多个控制软件实例同时运行，资源管理器也能够仍然保证响应时间。

通过资源管理器，现有的SPS可以在多个方面进行附加扩展，而不影响现有功能。

一方面，通过现有控制软件的其他实例，例如当工业设施通过新的功能相同的设施部件扩展时，SPS的控制功能可以扩展到其他类似的现场设备。SPS硬件平台的性能通常是针对控制软件的特定复杂度而设计规格的，在此还慷慨地考虑到以后通常不可能升级硬件。因此，在许多工业设施中，SPS的硬件规格超过控制软件所要求的实际性能。因此，本发明可以使用这种空闲容量。因此，不是采购额外的SPS，而是可以首先激活现有硬件中的呆滞资源。

另一方面，SPS可以以小得多的花费添加全新的功能。到目前为止，在不更换硬件的情况下，即使“仅”将新功能合并到控制软件中，这仍然是困难的。任何更改都可能使控制软件的验证或类似检查无效，类似于打开设备外壳时破坏保修封条。必须再次进行具有相应人工成本的测试。这也不是没有根据的，因为在软件工程中已知许多情况，其中某一点上的有意改善令人惊讶地导致其他地方的功能恶化。控制软件越复杂，这种相互作用越难被全面掌握。与之相反，如果将附加功能外包给另一个控制软件实例，则通过实例的沙盒相互地确保现有功能不被损害。因此，仅需要测试新添加的程序代码。

此外，通过这种方式避免了单片控制软件无法任意增长的困难，因为SPS硬件平台的架构通常限制了可执行软件的复杂性。例如，可以通过分成两个实例来绕过对最大程序大小的限制。

最后，由于管理系统，“工业4.0”意义上的生产线可以灵活设计。由于现在可以通过管理系统确定哪个控制软件在SPS上详细地运行，因此SPS总体来说可以在运行时重新配置为完全不同的功能并且控制与原计划完全不同的现场设备。根据目前的现有技术，对于目前市场上没有可购买的解决方案来说，这种额外的SPS以及SPS之间的切换是必要的。

因此，即使不打算并行执行多个控制软件实例，从出工厂就提供具有该管理系统的新SPS也是有利的。该管理系统也可以以软件的形式进行改装，因此是可以独立销售的产品。

资源的指派可以例如在SPS设置(工程)期间静态地确定。对于手动确定而言，用户可以例如根据他的经验或测试结果。然而，也可以例如在系统启动初始化期间或在SPS运行的稍后期间确定和/或动态调整指派。对于指派而言，还可以使用控制软件的静态或动态分析，该分析提供关于资源需求的信息

为了将沙盒彼此分开(沙盒化)，可以使用操作系统和/或硬件平台为此目的提供的所有工具。例如，硬件平台的存储器管理单元(MMU)能够将被指派给每个沙盒的存储器区域彼此分开。此外，操作系统的功能可以用于划分彼此之间的进程，例如每个进程只能访问自身及其子进程的方案。最后，操作系统的功能也可以用于监视和实施资源指派，例如“ulimits”Unix操作系统或软件容器。

在本发明特别有利的实施例中，管理系统具有冗余管理器，该冗余管理器被配置为，从控制软件的多个冗余实例中检索和提供与现场设备相关设置的控制器功能。通过这种方式，冗余可以特别地作为纯软件解决方案进行改装，而无需改变现有的控制软件。这也同样适用于即使在开发原始控制软件时根本没有考虑冗余的情况。

但是，冗余管理器不一定必须纯粹通过软件实现。冗余管理器以及管理系统的其他部分也可以全部或部分地通过硬件实现。这可以例如以价格来提高性能，管理系统更难移植到其他硬件平台。

将冗余管理器集成到管理系统中，使得尤其可以在SPS初始设置(工程)期间或者在运行期间通过SPS的配置接口为每个执行环境和控制软件的每个实例单独设置冗余级别，而不管在控制软件的实际配置例程中可能的提供冗余是否实施。

例如，通过提供冗余，可以用更少的花费实现所需的安全完整性等级(SIL)。例如，SIL3可以通过将具有符合SIL1标准软件的第一沙盒和具有符合SIL2标准软件的第二沙盒相结合来实现。

例如，冗余管理器可以有利地配置为，将现场设备的数据输入转发到控制软件的多个实例，并且对随后由这些实例产生的数据输出进行相互的合理性检查。例如，如果两个实例提供至少大致一致的数据输出，而第三个实例的输出明显与此偏离，则第三个实例可能不正确地工作。例如，在负责第三实例的主存储器的部分中，单个Bit可能发生突变，并且使得现场设备提供的对于压力的数值被解释为单位是“磅/平方英寸”(psi)而不是“bar”。然后，第三个实例产生的输出与其他两个实例的输出在系统方面不同。

冗余管理器例如也可以有利地被配置为，连续地监控控制软件的多个实例的功能，并且在实例停止或故障的情况下，重新启动该实例和/或该实例的执行环境，和/或在其他沙盒中的附加执行环境下激活至少一个附加实例。例如，控制软件中的编程错误可能会导致在某些情况下保留的主存储器在使用后不会再次释放(存储器泄漏)，使得在某一时刻可用的主存储器被完全耗尽。虽然由冗余管理器引起的对控制软件的重新启动并没有消除问题的原因，但是新的沙盒再次以“干净”的主存储器启动，因此问题至少暂时得到缓解。此外，设施管理员以这种方式意识到问题，并且可以在编程技术方面找到原因。

例如，冗余管理器还可以有利地被配置为，根据轮询方法控制多个控制软件实例与现场设备的通信。所有实例将均匀使用。如果轮到响应的实体对于预定的时间(超时)没有响应，则这个实例可以被识别为工作不正确。

在本发明其他特别有利的实施例中，为了提供SPS同一个功能，设置有内容上不同的两个执行环境，和/或内容上不同的两个控制软件实例。特别地，在冗余操作中可以由此进一步增加操作安全性。这背后的想法是，例如不同开发人员根据不同方案编程的控制软件的两个实例小概率地分别具有在完全相同的操作情况下具有相同的影响效果的错误。

然而，例如，还可以同时执行控制软件的多个实例，以便测试正在开发或新获得的控制软件的新版本，而不必中断先前版本正在进行的操作并且停止由此控制的工业过程。此外，在功能扩展的情况下，先前控制软件的实例可以与仅包含附加添加功能的其他实例一起执行。

最后，例如，还可以将不同执行环境下为不同类型SPS编写的控制程序合并在同一物理SPS上或者例如在具有相应通信接口的服务器上。于是，服务器可以与相应复制的SPS具有相同的效果。原则上，不同客户的、其中不存在信任关系的不同执行环境可以合并在同一服务器上。例如，用于彼此分开沙盒的管理系统的功能可以通过安全功能进行扩展，从而防止沙盒之间的故意干扰。

在本发明的特别有利实施例中，至少一个沙盒包括抽象层，该抽象层以与操作系统和/或控制设备的硬件相同的方式来响应由执行环境发出的系统调用，针对该控制设备已经开发了执行环境和/或相关的控制软件。例如，从工厂与SPS一起提供的控制软件发出的系统调用可以以这种方式从操作系统和/或硬件平台概括，使得程序代码可以在其他硬件平台上更大程度地被重新使用。然而，例如还可以提供一种环境，其中在SPS上运行为另一种不兼容类型的控制单元开发的控制软件。以这种方式，例如现有的控制软件可以迁移到具有新的硬件平台的新SPS上，而不必为其修改控制软件。

有利地，抽象层包括至少一个运行时环境，该运行时环境通过使用由操作系统提供的工具来实施对于由执行环境发出的系统调用的处理程序。类似于例如运行时环境“wine”(通过该运行时环境在Unix操作系统下运行程序)，执行环境和相关控制软件可以作为SPS操作系统下的本机进程运行，而无需通过管理程序进行虚拟化。与虚拟化相比，这可以节省硬件平台的系统资源，该系统资源可以相反投入到运行控制软件的更多实例。

在本发明的其他有利实施例中，管理系统包含管理程序，该管理程序被配置为，为每个沙盒提供各自的虚拟机。这消耗了更多的系统资源，但比运行时环境更容易实现，该运行时环境为每个系统调用单独复制处理。取而代之，可以例如模拟硬件平台。

有利地，执行环境的适配管理程序的至少一个版本，和/或抽象层的适配管理程序的至少一个版本通过管理程序被半虚拟化。通过这种方式，可以简化管理程序，以便在各个沙盒中可以获得更高的性能。

在本发明其他特别有利的实施例中，资源管理器被配置为，将在至少一个第一沙盒中对于对主存储器、处理器性能和/或将通信资源的访问未使用的指派重新指派给至少一个第二沙盒。当第二沙盒的资源过载或即将发生过载时，这特别可能发生。通过这种方式可以提高硬件平台的利用率。特别是在给定的开关柜体积中，可以容纳更多用于控制更多现场设备的功能。根据现有技术，现有开关柜中的空间不足可能是扩展工业控制系统的显著阻碍。此外，当更好地利用SPS的硬件时，控制系统的特定功耗较低。指派也可以取决于其他参数(例如优先级)或启发法。

在本发明其他特别有利的实施例中，资源管理器被配置为，在主存储器、处理器性能和/或通信资源不足的情况下，根据规则集中的规则完全或部分地撤回至少一个第一沙盒的相应资源，并且将其重新指派给至少一个第二沙盒。这背后的想法是，例如，如果由于硬件故障，没有足够的资源可用于SPS的正常操作，则不可避免的操作限制应该至少是可预见的，并且理想地应当最小化它们对工业设施的影响。例如，如果不能避免工业设施的关闭，则相应的规则集可以例如确保，各个设施部件的关闭通过对工业设施通常温和的顺序和方式进行。例如，在真空设施中，应当首先关闭依赖真空的装置，然后关闭真空泵。此外，努力集中维持真空并且关闭其他地方的更多设备可能是有意义的，因为通过加热重新制造真空需要几天。

许多根据现有技术的控制系统在发生故障时仍然努力完全恢复设备运行，即使剩余资源客观上不可能。利用根据本发明提供的管理系统，可以识别这种情况，并且可以将优化目标改变为温和地减少或关闭操作。

因此，在本发明其他特别有利的实施例中，根据资源的相应撤回对工业设施整体的影响，规则集中的规则被分级。例如，可以通过减慢非时间关键的进程尽可能地避免设备的完全关闭。于是，对这些进程的调节需要较少的计算时间，而这可以另外用于调节时间关键的进程。

根据以上所述，管理系统可以通过软件进行改造。因此，本发明还涉及一种具有机器可读指令的计算机程序产品，当该机器可读指令在计算机和/或可编程逻辑控制器上执行时，该机器可读指令将计算机程序产品或可编程逻辑控制器升级到根据本发明的可编程控制器。

附图说明

下面将参考附图解释本发明的主题，而本发明的主题不受其限制。其中：

图1示出了根据第一实施例的具有SPS 1的工业设施100，具有虚拟机81、82、83。

图2示出了根据第二实施例的具有SPS 1的工业设施100，具有抽象层71、72、73。

图3示出了与根据现有技术的SPS 102的比较。

具体实施方式

图1示例性示出了工业设施100，其中，例如SPS 1经由I/O接口105控制现场设备101。另外，SPS 1集成在网络104中，该网络104还包含根据现有技术的SPS 102和人机接口103。

SPS 1包括硬件平台2，该硬件平台2提供主存储器21、处理器性能22和用于连接到网络104的通信接口23。操作系统2在硬件平台3上运行。管理环境4以管理程序46直接在操作系统3上运行，该管理程序46启动虚拟机81、82和83中的三个沙盒41、42和43。在每个虚拟机81、82和83中，执行环境51、52和53分别运行。在每个执行环境51、52和53中，控制软件的实例61、62和63分别是可执行的。

从虚拟机81、82和83中，只有相应的管理程序46可以访问操作系统3和硬件资源21、22和23。通过资源管理器44来调节该访问。资源管理器44特别地被配置为，根据虚拟机81、82和83中任一个虚拟机的规则47a、47b和47c，在资源21、22或23不足的情况下，全部或部分地撤回资源21、22和23，从而将它们提供给其他虚拟机81、82和83中更紧急需要的一个虚拟机。为此目的，规则47a、47b和47c在规则集47中被分类为，关于撤回资源对整个工业设施100的影响有多严重。因此，当资源不足时，工业设施100的性能下降到可接受的水平，而不是徒劳地试图保持完全运行。

控制软件的实例61、62和63另外通过冗余管理器45进行控制，使得它们相对于现场设备101以冗余方式提供SPS 1的功能。该附加特征仅在冗余管理器45中实现。执行环境51、52和53以及实例61、62和63与没有管理系统4的SPS 1相同。

因此，管理系统4也可以改装到SPS 1，其中执行环境51、52或53和/或控制软件61、62或63仅作为编译的二进制代码存在。

图2示出了与图1相同的工业设施100，但具有根据本发明其他实施例的SPS 1。与图1不同地，沙盒41、42和43不被配置为虚拟机。相反，执行环境51、52和53分别通过抽象层71、72和73在操作系统3上作为正常进程运行。抽象层71、72和73针对由执行环境51、52和53发出的系统调用而分别提供运行时环境。

图3比较地示出了根据现有技术的SPS 102的结构以及该SPS 102与现场设备101和网络104的连接。控制软件102g在执行环境102a上运行，该执行环境102a又在操作系统102b上运行并使用专有硬件驱动器102c。操作系统102b和硬件驱动器102c访问专用硬件102d，其包括通过I/O接口105与现场设备101通信的第一接口102e和集成到网络104中的第二接口102f。

与图1和图2不同，SPS 102的各种组件相互构建并且相互作用，但不相互抽象并封装。硬件102d的任何改变都需要改变硬件驱动器102c。最迟在新硬件架构上更换硬件102d使得对操作系统102b的改变是必要的。改变的硬件驱动器102c使得必须调整访问这些硬件驱动器102c的控制软件102g。由更换硬件架构而导致的操作系统102b的改变需要对控制软件102g和运行该控制软件102g的执行环境102a进行进一步的改变。

附图标记列表

1 可编程逻辑控制器，SPS

2 SPS 1的硬件平台

21 硬件平台2的主存储器

22 硬件平台2的处理器性能

23 硬件平台2的通信资源

3 SPS 1的操作系统

4 SPS 1的管理系统

41-43 用于执行环境51-53的沙盒

44 管理系统4中的资源管理器

45 管理系统4中的冗余管理器

46 针对虚拟机81-83的管理程序

47 用于重新指派资源21-23的规则集

47a-47c 规则

51-53 控制软件61-63的执行环境

51'-53' 针对半虚拟化适配的环境51-53

61-63 控制软件

61'-63' 针对半虚拟化适配的控制软件61-63

71-73 沙盒41-43中的抽象层

71'-73' 针对半虚拟化适配的抽象层71-73

81-83 作为沙盒41-43的虚拟机

100 工业设施

101 工业设施100中的现场设备

102 根据现有技术的SPS

102a 针对软件102g的SPS 102的执行环境

102b SPS 102的操作系统

102c SPS 102的专有硬件驱动器

102d SPS 102的专有硬件

102e 用于I/O接口105的SPS 102的接口

102f SPS 102与网络104的接口

102g SPS 102的控制软件

103 工业设施100的人机接口

104 工业设施100的网络

105 I/O接口

Claims (15)

1.一种用于工业设施(100)中的至少一个现场设备(101)的可编程逻辑控制器(1)，包括硬件平台(2)，操作系统(3)在所述硬件平台(2)上运行，其中所述操作系统(3)被配置为，在至少一个进程中实现至少一个执行环境(51-53)，在所述执行环境(51-53)内能够运行包含所述可编程逻辑控制器(1)的控制逻辑的控制软件(61-63)，

其特征在于，

设置有更高层次的管理系统(4)，所述管理系统(4)被配置为，直接在所述操作系统(3)上运行，并且分别在各自的沙盒(41-43)中实现一个或多个执行环境(51-53)，其中所述管理系统(4)包括资源管理器(44)，所述资源管理器(44)被配置为将对所述硬件平台(2)的主存储器(21)、处理器性能(22)和通信资源(23)的访问指派给每个沙盒(41-43)。

2.根据权利要求1所述的可编程逻辑控制器(1)，

其特征在于，

所述管理系统(4)具有冗余管理器(45)，所述冗余管理器(45)被配置为，从控制软件的多个冗余实例(61-63)中检索和提供所述控制器(1)的与所述现场设备(101)相关设置的功能。

3.根据权利要求2所述的可编程逻辑控制器(1)，

其特征在于，

所述冗余管理器(45)被配置为，将所述现场设备(101)的数据输入转发到控制软件的多个实例(61-63)，并且对随后由这些实例(61-63)生成的数据输出进行相互的合理性检查。

4.根据权利要求2至3中任一项所述的可编程逻辑控制器(1)，

其特征在于，

所述冗余管理器(45)被配置为，连续地监视控制软件的多个实例(61-63)的功能，并且在实例(61-63)停止或故障的情况下，重新启动所述实例(61-63)和/或所述实例的执行环境(51-53)，和/或在其他沙盒(41-43)中的附加执行环境(51-53)下激活至少一个附加实例(61-63)。

5.根据权利要求2至4中任一项所述的可编程逻辑控制器(1)，

其特征在于，

所述冗余管理器(45)被配置为，根据轮询方法来控制控制软件的多个实例(61-63)与所述现场设备(101)的通信。

6.根据权利要求1至5中任一项所述的可编程逻辑控制器(1)，

其特征在于，

设置有内容不同的两个执行环境(51-53)，和/或内容不同的两个控制软件实例(61-63)，以用于提供所述控制器(1)的同一个功能。

7.根据权利要求1至6中任一项所述的可编程逻辑控制器(1)，

其特征在于，

至少一个沙盒(41-43)包括抽象层(71-73)，所述抽象层(71-73)以与所述操作系统和/或控制设备(1，105)的硬件相同的方式响应由所述执行环境(51-53)发出的系统调用，针对所述控制设备开发了所述执行环境(51-53)和/或相关的控制软件(61-63)。

8.根据权利要求7所述的可编程逻辑控制器(1)，

其特征在于，

所述抽象层(71-73)包括至少一个运行时环境，所述运行时环境通过使用由所述操作系统(3)提供的工具来实施对于由所述执行环境(51-53)发出的所述系统调用的处理程序。

9.根据权利要求1至8中任一项所述的可编程逻辑控制器(1)，

其特征在于，

所述管理系统(4)被配置为，通过所述操作系统(3)的虚拟化功能为每个沙盒(41-43)生成各自的用户空间实例。

10.根据权利要求1至9中任一项所述的可编程逻辑控制器(1)，

其特征在于，

所述管理系统(4)包括管理程序(46)，所述管理程序(46)被配置为，为每个沙盒(41-43)提供各自的虚拟机(81-83)。

11.根据权利要求1至10中任一项所述的可编程逻辑控制器(1)，

其特征在于，

执行环境(51-53)的适配所述管理程序(46)的至少一个版本(51'-53')，和/或所述抽象层(71-73)的适配所述管理程序(46)的至少一个版本(71'-73')通过所述管理程序(46)被半虚拟化。

12.根据权利要求1至11中任一项所述的可编程逻辑控制器(1)，

其特征在于，

所述资源管理器(44)被配置为，将在至少一个第一沙盒(41-43)中对于对主存储器(21)、处理器性能(22)和/或通信资源(23)的访问未使用的指派重新指派给至少一个第二沙盒(41-43)。

13.根据权利要求1至12中任一项所述的可编程逻辑控制器(1)，

其特征在于，

所述资源管理器(44)被配置为，在主存储器(21)、处理器性能(22)和/或通信资源(23)不足的情况下，根据规则集(47)中的规则(47a-47c)，全部或部分地撤回至少一个第一沙盒(41-43)的相应资源(21-23)，并且重新指派给至少一个第二沙盒(41-43)。

14.根据权利要求13所述的可编程逻辑控制器(1)，

其特征在于，

根据资源(21-23)的相应撤回对整个所述工业设施(100)的影响，所述规则集中的所述规则(47a-47c)被分级。

15.一种计算机程序产品，包括机器可读指令，当所述机器可读指令在计算机和/或可编程逻辑控制器(1)上执行时，所述机器可读指令将所述计算机或所述可编程逻辑控制器升级到根据权利要求1至13中任一项所述的可编程逻辑控制器(1)。