PROCEDIMIENTO PARA LA REALIZACIÓN DE MODIFICACIONES DE PROGRAMA EN LÍNEA EN UN SISTEMA DE AUTOMATIZACIÓN.

Procedimiento para la realización de modificaciones de programa en línea en un sistema de automatización,

en el que se realiza una modificación del programa en línea porque en una CPU del sistema de automatización, en la que está cargado un programa de usuario que se está ejecutando actualmente, se cargan (S1) nuevas partes del programa, para preparar un programa de usuario nuevo, y en el que solamente se conmuta (S2) al programa de usuario nuevo después de una supervisión (S3) de una primera ejecución de todos los ciclos del nuevo programa de usuario, caracterizado porque solamente se conmuta definitivamente al nuevo programa de usuario, después de que no se ha reconocido (S4) una sobrecarga de la CPU después de la supervisión (S3) del primer procesamiento de todos los ciclos del nuevo programa de usuario

Antecedentes de la invención

La invención se refiere a un procedimiento para la realización de modificaciones de programa en línea 5 en un sistema de automatización, en el que se realiza una modificación del programa en línea porque en una CPU del sistema de automatización, en la que está cargado un programa de usuario que se está ejecutando actualmente, se cargan nuevas partes del programa, para preparar un programa de usuario nuevo, y en el que solamente se conmuta al programa de usuario nuevo después de una supervisión de una primera ejecución de todos los ciclos del nuevo programa de usuario. 10

Una instalación técnica de procesos, que se emplea, por ejemplo, en centrales eléctricas, es automatizada la mayoría de las veces a partir de una combinación de muchos sistemas de control y de regulación. Estos sistemas están asociados a zonas individuales de las instalaciones. A pesar de esta estructuración en zonas individuales de automatización, nunca se puede impedir una influencia mutua. Así, por ejemplo, el fallo de un único sistema de automatización puede conducir al fallo de toda la instalación. 15

Además de los fallos, provocados por errores de hardware, que pueden ser evitados en la mayor medida posible, por ejemplo, por medio de redundancias correspondientes, a través de modificaciones del programa en línea se pueden producir igualmente sobrecargas de sistemas de automatización.

Las modificaciones del programa en línea son necesarias especialmente durante la puesta en servicio o durante la ampliación de instalaciones en el funcionamiento en curso. En este caso, el riesgo de una 20 sobrecarga de la CPU de un sistema de automatización se puede reducir a un mínimo, aprovechando al mismo tiempo de una manera óptima los recursos de la CPU.

Un sistema de automatización trabaja la mayoría de las veces sobre una base de ciclos. Es decir, que el programa de usuario se ejecuta distribuido en ciclos de diferente rapidez. Si el tiempo de ejecución de las partes individuales del programa excede el tiempo del ciclo respectivo, se produce una sobrecarga de la 25 CPU. Las repercusiones se extienden desde un comportamiento de regulación poco limpio o bien comportamiento en tiempo real hasta la parada de todo el sistema de automatización.

Hasta ahora la mayoría de las veces solamente se ha verificado la capacidad de recepción estática de una CPU antes o bien durante la carga. Esto significa que la necesidad de memoria de las nuevas partes del programa ha sido comparada con la memoria todavía disponible en la CPU. Para la verificación de la 30 capacidad de recepción dinámica se necesitan, sin embargo, otras medidas. Además, el régimen de trabajo de la CPU se puede calcular fuera de línea. A tal fin, se suman todas las funciones individuales de un programa de usuario teniendo en cuenta de ciclo de ejecución. Por lo demás, hay que añadir al cálculo magnitudes tales como carga del sistema y carga de comunicación. En este caso, se producen inexactitudes mayores, por lo que debe planificarse una reserva más elevada, con un aprovechamiento implicado más 35 reducido de la CPU. Además, el cálculo manual es muy intensivo de tiempo y propenso a errores. Para evitarlo debe desarrollarse y tratarse adicionalmente una solución de cálculo. Así, por ejemplo, es necesario calcular el tiempo de ejecución típico de funciones de usuario nuevas o bien modificadas e incorporarlo en la herramienta de cálculo.

Tampoco la carga del sistema y la carga de comunicación de un sistema de automatización se 40 pueden calcular con suficiente exactitud, puesto que estas magnitudes dependen de muchos parámetros y la mayoría de las veces no visibles para el usuario. Las magnitudes de influencia típicas son, entre otras:

- actualización de la imagen del proceso de las entradas y salidas,

- ejecución cíclica de alarma,

- funciones de comunicación, y 45

- ejecución del sistema operativo.

Si todas las verificaciones preventivas, si existen, se desarrollan entonces de forma positiva, se cargan las partes nuevas del programa en la CPU en curso y se ejecutan. En este caso, nunca se puede excluir que se produzcan sobrecargas de la CPU, debido a un exceso de programas de usuario cargados. Esto conduce entonces a desbordamientos del tiempo de ciclo, que son notificados, en efecto, pero la 50

mayoría de las veces no le queda ya tiempo al usuario para anular la última modificación. En muchas situaciones, un exceso repetido del tiempo del ciclo conduce al estado de parada de todo el sistema de automatización. Se conoce a partir del documento EP 1 300 874 A1 realizar un estado de parada de forma selectiva en caso de sobrecarga de la CPU.

Se conoce, además, a partir del documento US 5.970.243, para la prevención de un estado de 5 parada, lleva a cabo antes de una conmutación a un programa de usuario actualizado, en primer lugar una supervisión de una primera ejecución de todos los ciclos del nuevo programa de usuario.

La invención tiene el cometido de indicar un procedimiento para la realización de modificaciones del programa en línea en un sistema de automatización, con el que se puede reconocer y evitar de manera segura y especialmente sencilla desde el punto de vista técnico un comportamiento de regulación o bien un 10 comportamiento en tiempo real no limpio, condicionado por sobrecargas de la CPU, que conduce, en el peor de los casos, a una parada de todo el sistema de automatización.

Este cometido se soluciona de acuerdo con la invención porque solamente se conmuta definitivamente al nuevo programa de usuario, después de que no se ha detectado ninguna sobrecarga de la CPU después de la supervisión de la primera ejecución de todos los ciclos del programa del nuevo programa 15 de usuario.

Por medio del procedimiento de acuerdo con la invención se puede realizar una modificación del programa en línea de tal manera que no se produce ya una eventual situación de sobrecarga. Por medio de la supervisión prevista de acuerdo con la invención de una primera ejecución de todos los ciclos del nuevo programa de usuario se puede reconocer oportunamente inmediatamente después de una primera 20 conmutación provisional al nuevo programa de usuario una eventual sobrecarga de la CPU y se puede retornar a la versión original del programa, de manera que no es necesaria una reacción del usuario. La supervisión se realiza en este caso con preferencia desde el sistema operativo del aparato de automatización, siendo determinado el periodo de tiempo de la supervisión con preferencia a partir del ciclo más lento o bien el ciclo con la mínima prioridad. 25

En general, por medio del procedimiento de acuerdo con la invención se puede elevar claramente la estabilidad en el caso de modificaciones del programa en línea. Además, los recursos de la CPU se pueden aprovechar de manera óptima.

En una forma de realización práctica del procedimiento de acuerdo con la invención, que es especialmente ventajosa en sistemas en los que el sistema de automatización se comunica con un sistema 30 de ingeniería, que posibilita, en general, a través de una interfaz gráfica una guía del proceso de usuario de los procesos a controlar/regular del sistema de automatización, se emite, cuando se detecta una sobrecarga de la CPU, un reconocimiento negativo al sistema de ingeniería para señalizar una conmutación de retroceso al programa de usuario original. Por lo tanto, de acuerdo con la invención, el sistema de automatización, cuando se detecta una sobrecarga de la CPU, conmuta de retorno al programa de usuario original y lo 35 señaliza con un reconocimiento negativo al sistema de ingeniería. De esta manera, se puede conmutar de retorno a la versión anterior del programa de forma coordinada de acuerdo con la invención. Todo el proceso de modificación en línea es evaluado de esta manera como no realizado y es comunicado al usuario con preferencia en una reacción adecuada. De acuerdo con la invención, en este caso se puede asegurar con preferencia que la función de supervisión propiamente dicha trabaje de forma correcta incluso en caso de 40 sobrecarga, lo que se puede realizar asociando a la función de supervisión una prioridad suficientemente alta.

En el caso de que no se reconozca ninguna sobrecarga de la CPU, se emite desde el sistema de automatización un reconocimiento positivo al sistema de ingeniería que se comunica con el...

1. Procedimiento para la realización de modificaciones de programa en línea en un sistema de automatización, en el que se realiza una modificación del programa en línea porque en una CPU del sistema de automatización, en la que está cargado un programa de usuario que se está ejecutando actualmente, se cargan (S1) nuevas partes del programa, para preparar un programa de usuario nuevo, y en el que solamente 5 se conmuta (S2) al programa de usuario nuevo después de una supervisión (S3) de una primera ejecución de todos los ciclos del nuevo programa de usuario, caracterizado porque solamente se conmuta definitivamente al nuevo programa de usuario, después de que no se ha reconocido (S4) una sobrecarga de la CPU después de la supervisión (S3) del primer procesamiento de todos los ciclos del nuevo programa de usuario.

2. Procedimiento de acuerdo con la reivindicación 1, caracterizado porque cuando se detecta una 10 sobrecarga de la CPU, se emite desde el sistema de automatización un reconocimiento negativo a un sistema de ingeniería, con el que se comunica el sistema de automatización, para señalizar una conmutación hacia atrás al programa de usuario original.

3. Procedimiento de acuerdo con la reivindicación 1, caracterizado porque después de que no se ha reconocido ninguna sobrecarga de la CPU, se emite desde el sistema de automatización un reconocimiento 15 positivo a un sistema de ingeniería con el que se comunica el sistema de automatización, para señalizar una conmutación definitiva al nuevo programa de usuario.