作 者：鎮(zhèn)江靈芯軟件試驗室 / 陳鋼
1 引言
可編程序控制器（簡稱plc）是一種工業(yè)自動控制中使用的計算裝置。它廣泛應(yīng)用于鋼鐵、石油、化工、電力、建材、機械制造、汽車、輕紡、交通運輸、航天、環(huán)保及文化娛樂等各個行業(yè)。小到家用設(shè)備，大到航天器材，都有plc的應(yīng)用。
典型的plc由一個專用的cpu，一個存儲器和一組輸入輸出端口構(gòu)成，如圖1所示。它通過輸入端口接收來自傳感器的信號，并通過輸出端口發(fā)出控制信號驅(qū)動同它連接的外部設(shè)備。存儲器中安放控制程序，系統(tǒng)的活動由控制程序所驅(qū)動。
plc系統(tǒng)每隔一定的時間間隔（比如5毫秒）從輸入端口讀入信號，執(zhí)行計算，然后向輸出端口發(fā)送輸出信號。每一“輸入－計算－輸出”周期稱為一個掃描周期。plc程序在每個掃描周期中重復(fù)執(zhí)行一遍。plc的簡單應(yīng)用有洗衣機控制，電梯控制。復(fù)雜的應(yīng)用有自動機床控制，自動化工程控制。
plc程序設(shè)計具有不尋常的軟件編程模式。設(shè)計中需要考慮多個并行線程，它們之間的交互作用，以及在時間域上的行為。在plc的五種主要的編程語言當中，源自繼電器控制系統(tǒng)的梯形圖語言采用了一種簡單的方式巧妙地處理了并行程序設(shè)計問題，然而，由于plc編程問題的固有復(fù)雜性，以及測試手段的缺乏，許多plc程序中依然存在大量的錯誤。
為了解決這一問題，靈芯實驗室正在開發(fā)plc測試系統(tǒng)，為plc程序的調(diào)試提供解決方案。在這一系統(tǒng)的試用過程中，在兩本plc入門教科書的6個簡單程序例子中發(fā)現(xiàn)其中的4個程序里面至少包含8個錯誤。
●一個搶答器程序在兩個參賽者同時按下?lián)尨鸢粹o時，只有其中一個人的警報器能夠發(fā)出警報；
●一個噴泉程序中，噴水組在幾個指定時間上沒有按要求停止噴水，或開始噴水；
●一個交通燈控制程序中，綠燈閃爍控制不正常；系統(tǒng)啟動的時候，一個方向綠燈亮，另一個方向的紅燈卻不亮；強通結(jié)束之后，交通燈沒有立即恢復(fù)正常運行；
●在另一個交通燈程序中，按下停止按鈕之后，所有的燈熄滅，但兩個方向人行道上卻亮紅燈。
我們認為這一發(fā)現(xiàn)是不同尋常的。雖然每個程序員和教師都會犯編程錯誤，但是我們還從未在任何一本程序設(shè)計的教科書中發(fā)現(xiàn)如此高比例的程序錯。這一現(xiàn)象初步證實了plc程序 錯誤的廣泛性和嚴重性。
本文將逐一分析上述每一個程序的錯誤，指出錯誤原因。其中大部分程序，我們給出糾正了錯誤的新程序。期望這一分析能夠幫助plc程序員和教師提高plc程序設(shè)計的正確性。plc程序的執(zhí)行原理以及梯形圖的語義將在例子的介紹中同時給予解釋。我們相信，通過分析錯誤來學習是掌握遍程技巧的好方法。
圖1 plc構(gòu)造原理圖
2 搶答器程序
題目：搶答器程序
來源：plc應(yīng)用技術(shù)開發(fā)與實踐
編程平臺：西門子公司 s7-200
問題描述：
（1）主持人控制開始按鈕；
（2）3個搶答者每人控制自己的搶答按鈕；
（3）開始按鈕按下之后所有警報器斷電；
（4）之后每個搶答按鈕按下將使自己的警報器得電，并鎖住其他搶答者輸入信號的有效性。
變量分配：
i0.0 主持人按鈕；
i0.1，i0.2，i0.3 分別為三個搶答者按鈕；
q0.0，q0.1，q0.2 分別為對應(yīng)于搶答者的警報器輸出；
原書給出的搶答器梯形圖程序（見圖2）。
圖2 搶答器梯形圖程序
plc程序語義：
上述梯形圖程序的語義可以用比較簡短的方式表達出來：
q0.0 := (i0.1 or q0.0) and ~i0.0 and ~q0.1 and ~q0.2；
q0.1 := (i0.2 or q0.1) and ~i0.0 and ~q0.0 and ~q0.2；
q0.2 := (i0.3 or q0.2) and ~i0.0 and ~q0.0 and ~q0.1；
其中~i0.0表示i0.0的邏輯非。
plc的程序周期性地重復(fù)執(zhí)行，每個周期時間很短。在一個周期中，plc將讀入輸入值（這里是i0.1,i0.2和i0.3），經(jīng)過對上述程序的計算之后，把輸出變量（這里是q0.0，q0.1和q0.2）的值送到外部。注意上述程序在每個周期中都重復(fù)執(zhí)行。在每個周期中，程序的執(zhí)行由上往下由左至右。
當一個搶答按鈕按下之后（比如i0.1=1），對應(yīng)的輸出（q0.0）馬上變成1。在下一周期中，即使該按鈕方開（i0.1=0）程序的輸出依然會保持為0，原因是程序依靠自反饋作用（or q0.0）。同時，由于在另外兩個程序段中含有~q0.1，因此它們的輸出都無法變成1，直到主持人按鈕i0.0把q0.0重新置0為止。
●程序問題
如果兩個搶答者在同一時刻按下按鈕，在程序中處于前面的搶答者的警報器輸出正常，另一個搶答者的警報器沒有輸出。
●程序分析
本問題分成三個程序段，它們本應(yīng)并行執(zhí)行方能達到公平的效果。但plc的cpu只能順序執(zhí)行程序，因此在程序中位置處于前面的搶答者的輸出產(chǎn)生之后，后面的程序輸出就被立即阻斷。因此兩個按鈕同時按下時，只有其中的一個得到響應(yīng)。
plc的編程模式來源于繼電器電路控制系統(tǒng)，在那些系統(tǒng)中，上述三個程序段對于三個并行運行的電路，但是轉(zhuǎn)到cpu中之后，這些程序就不得不順序執(zhí)行。并行模型與順序執(zhí)行的沖突是許多程序錯誤的原因。在作者先前的論文中就對這一問題進行了分析[1]。
在順序執(zhí)行的機器上面實現(xiàn)plc并行語義是可能的。但是依然需要小心各種陷阱。下面的第一次嘗試存在一個錯誤，再后面一個程序改正了這個錯誤，通過了程序測試。
●程序修正嘗試
克服上面問題的一個自然的想法是使用中間變量保存每個程序段的輸出。這一思路導(dǎo)致下面的程序?qū)崿F(xiàn)（見圖3）：
圖3 程序修正嘗試程序?qū)崿F(xiàn)圖
使用這一程序時，如果兩個搶答者的按鈕同時按下，對應(yīng)的兩個警報器會同時響。但是，在下一周期，兩個警報器的輸出又會同時恢復(fù)到0。原因是每一個搶答輸入都會導(dǎo)致另一個搶答無效，兩個搶答輸入就會同時導(dǎo)致對方無效。
●最終程序
下面的程序克服了上述問題，并且通過了基本的測試檢查（見圖4）。
它同前面程序不同之處在于把q0.0等變量的管轄范圍放寬了，因此一旦q0.0為1，只要主持人按鈕不按下，它的值就能繼續(xù)保持下去。
圖4 基本測試檢查結(jié)果
3 噴泉程序
題目：plc在噴泉中的應(yīng)用
來源：plc應(yīng)用技術(shù)開發(fā)與實踐
編程平臺：三菱公司fx2n系列
問題描述
(1)噴泉有a，b，c 3組噴頭；
(2)按動開始按鈕后，a組先噴，10秒后停，然后b組和c組同時噴；
(3)b和c噴10秒后b停，再10秒后c停；
(4)a，b又噴，5秒后，c也噴，持續(xù)10秒后全部停；
(5)再5秒后重返上述(2)到(4)步；
(6)按動停止按鈕后，a，b，c 3組噴頭全部停。
輸入輸出變量分配：
x0001：開始按鈕
x0002：結(jié)束按鈕
y0001：a組噴頭
y0002：b組噴頭
y0003：c組噴頭
內(nèi)部繼電器：m0—m5
定時器分配（見圖5）：
t0：a組噴10秒； 0—10
t1：b，c組噴10秒； 10—20
t2：c組噴10秒； 20—30
t3：a，b組噴5秒；30—35
t4：a，b，c組噴10秒； 35—45
t5：a，b，c組停噴5秒； 45—50
同前一程序相比，這一程序中增加了t0，t1等定時器。定時器用t標識，它的上方是定時器變量名，下方是預(yù)定的定時延遲。本例使用的是ton類型定時器，這種定時器只要輸入端由0轉(zhuǎn)1計時就開始，在計時過程中，輸入端必須始終保持為1，一旦定時器到時，它所對應(yīng)的變量就立即由0轉(zhuǎn)1。在計時過程中，如果輸入端轉(zhuǎn)0，則計時停止，定時器到時之后，只要輸入端繼續(xù)為1，那么計時器變量也繼續(xù)保持為1，一旦輸入變0，計時變量也轉(zhuǎn)為0。本例中的定時器按十分之一秒為單位計時。
這個程序含有三個錯誤，它的某些噴頭在預(yù)定停止的時刻沒有停止，在預(yù)定開始的時刻沒有開始。
程序錯誤（1）：按照要求程序開始后20秒，c組噴發(fā)應(yīng)該停止，但該程序卻沒有停止c的噴發(fā)。
原因分析
c的噴發(fā)受到m1，m2和m3的控制，它們分別控制c組的第一,第二和第三次噴發(fā)。在第二次噴發(fā)結(jié)束之后，m2為0，噴發(fā)本應(yīng)停止，但調(diào)試中發(fā)現(xiàn)c的輸出（y0002）繼續(xù)為1，單步調(diào)試發(fā)現(xiàn), 此時m1為1，由此造成c組輸出繼續(xù)。分析發(fā)現(xiàn)，產(chǎn)生m1的梯形圖有錯。應(yīng)該使用m1來產(chǎn)生反饋，但程序中用了b組的輸出變量y0001。 該變量恰好在c組第二次噴發(fā)之后重新置1，因此造成了c組繼續(xù)噴發(fā)。將此處改成m1之后這一錯誤即可消除。
程序錯誤（2）：程序開始后50秒，a組噴發(fā)應(yīng)該重新開始，但實際運行中并未開始。
原因分析：
這是一個定時時間寫錯的簡單錯誤。定時器t4設(shè)定的時間應(yīng)為5秒（50），但梯形圖中錯寫成100（該書指令表程序中也是寫50，梯形圖中是一個失誤）。
程序錯誤（3）：在糾正了上面兩個錯誤之后，程序依然無法通過測試。50秒之后，c組不應(yīng)該開始噴發(fā)，但實際運行中噴發(fā)。
原因分析：
50秒之后，程序進入下一周期。此時程序該如何運行在原書中沒有清楚描述，這屬于描述不全。根據(jù)程序的具體實現(xiàn)，可以看出作者的意圖是在50秒之后把整個噴發(fā)過程重演一遍?；谶@樣的理解，程序應(yīng)該在50秒之后開始a組噴發(fā)，但程序運行結(jié)果是，不但a組噴發(fā)，而且c組也噴發(fā)，后一行為不符合規(guī)定。
出現(xiàn)這一現(xiàn)象的原因在于，m0的梯形圖中使用了y000來實現(xiàn)反饋。這一錯誤同第一個錯誤類似，只是這一方式在一個周期的運行中沒有問題，在第二周期中就會出現(xiàn)問題。在該圖中用m0取代y000就能消除這一錯誤。
在消除了以上問題之后得到梯形圖如圖6所示。
圖5 定時器分配程序圖
圖6 梯形圖
4 十字路口交通燈控制程序
題目：交通燈控制程序
來源：plc應(yīng)用技術(shù)開發(fā)與實踐
編程平臺：omron公司cqm1系列
●任務(wù)描述
工作順序：啟動按鈕，南北綠燈，東西紅燈，東西綠燈，南北紅燈。按此順序循環(huán)。
時序控制：（90秒周期）
●主干道
南北左轉(zhuǎn)燈：綠10秒，黃2秒，紅78秒；
南北直行燈：紅10秒，綠30秒，綠閃3秒，黃2秒，紅45秒；
東西方向左轉(zhuǎn)燈和直行燈的工作方式與上相仿，但延遲45秒。人行道燈與主干道直行燈相同。
●強通控制
打開強通開關(guān)，強通方向綠燈亮，斷開強通開關(guān)，綠燈閃3秒，恢復(fù)正?？刂?；
閃爍控制，亮0.5秒，暗0.5秒，持續(xù)3秒；
這個程序比較長，不便全部抄錄在此。這里僅指出程序中的幾個錯誤，并列出相關(guān)的程序段。
圖7程序的實現(xiàn)
程序錯誤（1）：閃爍控制錯誤。閃爍過程通過一個專門的程序段控制，按要求該程序應(yīng)該每隔0.5秒輸出1，然后0.5秒輸出0，不斷循環(huán)。圖7是書中該程序的實現(xiàn)：
其中只用到tim050一個定時器，計時單位為十分之一秒。omron的tim型定時器的工作方式同西門子ton型定時器相仿，當輸入為1時啟動計時，一旦輸入轉(zhuǎn)0，立即停止計時，定時器變量輸出復(fù)位為0。
起始狀態(tài)tim050的值為0，取反后送入定時器1，啟動計時，5個單位之后到時定時器產(chǎn)生信號1。該信號經(jīng)反饋之后，把0送入定時器，這一輸入值立即把定時器輸出重新變?yōu)?。因此，該段程序只能產(chǎn)生非常短暫的1，而不是持續(xù)0.5秒的1。當該信號用于驅(qū)動綠燈時，無法產(chǎn)生正常的均勻閃爍效果。
●程序修正（見圖8）
圖8 程序修正圖
這里用了兩個定時器，當?shù)谝粋€定時器tim050到時之后，它的輸出信號1送到第二個定時器tim051啟動后者計時。但tim051需要5個單位之后才能到時，在這段時間內(nèi)，tim050依然的輸入依然是1，因此它能夠把1繼續(xù)保持0.5秒，由此產(chǎn)生一個均勻的每隔0.5秒變化的脈沖。
程序錯誤（2）：在系統(tǒng)初始啟動階段，南北方向綠燈亮，但東西方向的左轉(zhuǎn)紅燈和直行紅燈沒有同時點亮
原因分析：由于相關(guān)程序比較長，不便在這里展示，這里我們僅分析一下出錯的原因及解決的辦法。原程序中采用順序啟動各個顏色燈的方法。即左轉(zhuǎn)綠燈10秒后啟動直行綠燈，30秒后綠閃，2秒后黃燈，然后55秒紅燈。然而，按這一順序運行時，一開始南北直行紅燈的10秒缺掉了，東西左轉(zhuǎn)紅燈45秒漏了，最后東西直行紅燈55秒也漏了。要改變這一情況，需要改變后一程序，同時再引入兩個定時器，把紅燈控制切分成兩段完成。
可能人們認為上一個問題不算嚴重，因為原來程序在啟動一分鐘之后就能達到正常。但下面的強通控制的錯誤確是比較嚴重的。所謂強通是指緊急車輛到達路口時，人工控制按下相應(yīng)方向的強通開關(guān)，使得這一方向的綠燈亮，另一方向亮紅燈。緊急車輛過去之后，強通開關(guān)方塊，強通方向綠燈閃動三下之后，恢復(fù)原來的系統(tǒng)運行。
程序錯誤（3）：強通按鈕放開之后，按規(guī)定強通方向綠燈應(yīng)該閃爍三下，然后熄滅，但實際情況是綠燈沒有按照規(guī)定閃爍和停止，而是持續(xù)發(fā)亮。
原因分析：
我們以東西向直行綠燈控制程序段為例分析這一問題。
該程序中100.12為控制東西向綠燈的輸出變量。該方向的強通通過hr0.00控制，強通按鈕按下之后，該變量為1，從而引起100.12輸出為1，綠燈亮。強通按鈕放開之后，這條通路切斷，hr0.01變?yōu)?之后，hr0.03會變?yōu)?，過程在這里略去。hr0.03所在的通路將產(chǎn)生一個3秒鐘的閃爍脈沖。編程者的意圖是通過它在結(jié)束強通之后制造一個綠燈閃爍過程。然而，由于變量100.12的反饋存在，一旦該變量為1，它將自動地繼續(xù)保持為1。只有兩種方式可以使它恢復(fù)為0，一種是30秒定時器到時（tim010），另一個是另一方向的強通信號hr0.01。在同方向強通信號結(jié)束之后，一般情況下，上述兩個信號均不會轉(zhuǎn)為1，因此綠燈無法馬上停止。系統(tǒng)并不產(chǎn)生規(guī)定的效果。
這是一個比較嚴重的錯誤，因為此處本應(yīng)經(jīng)過綠燈閃爍轉(zhuǎn)為紅燈，但系統(tǒng)卻始終保持綠燈。這樣的系統(tǒng)是無法接受的。
這一問題的解決比較復(fù)雜一點。由于我們的主要任務(wù)是發(fā)現(xiàn)錯誤，此地我們不再討論如何修正這一錯誤的問題。
圖9 東西向直行綠燈控制程序分析圖
5 第二個十字路口交通燈控制程序
本節(jié)討論另一本書上的交通燈控制程序中的錯誤。這一程序沒有處理強通控制這樣的復(fù)雜問題，但是人行道控制同主干道控制分開處理，結(jié)果在人行道控制上出現(xiàn)了錯誤。
題目：交通燈控制程序
來源：plc應(yīng)用開發(fā)實用子程序
編程平臺：西門子s7-200
時序控制：（90秒周期）
南北主干道 左轉(zhuǎn)綠10秒，綠30秒，綠閃3秒，黃2秒，紅45秒；
東西人行道：紅13秒，綠27秒，綠閃3秒，紅47秒；
東西主干道： 紅45秒，左轉(zhuǎn)綠10秒，綠30秒，綠閃3秒，黃2秒；
南北人行道：紅58秒，綠27秒，綠閃3秒，紅2秒。
注：
（1）綠閃包括轉(zhuǎn)向綠燈和轉(zhuǎn)向綠燈；
（2）東西人行道指東西兩端的人行道。
測試顯示該程序時序上運行正確，但是在關(guān)機時出了問題。
程序錯誤：按下系統(tǒng)停止開關(guān)，大部分燈都熄滅，但兩個方向的人行道上亮起紅燈。
程序分析：
我們以控制東西方向人行道紅燈的變量q1.3的計算為例進行分析。下面把相關(guān)程序段專門抽出來進行分析（見圖10）。
圖10 相關(guān)程序段分析圖
圖中可見，當m0.4為0 時q1.3將輸出1。當t7,t8為0時m0.4必定為0。系統(tǒng)停止開關(guān)是i0.2，它按下之后會使m0.1變?yōu)?，該變量是控制系統(tǒng)活動的主要變量，它變?yōu)?將使一系列變量變?yōu)?，也包括t7和t8。然而這樣做卻沒有關(guān)掉東西兩端人行道的紅燈。南北兩端人行道紅燈采用的是類似程序，因此也沒有關(guān)掉。
程序修正：
只需把m0.1直接加入到人行道紅燈的控制中即可。
6 結(jié)束語
本文分析了來自兩本plc教材的4個程序例子，從中找出大大小小8個錯誤，并對這些錯誤的原因進行了分析。我們希望這個分析能夠幫助程序員減少編程錯誤。
本文目的是為了揭示plc程序錯誤的普遍性。這些錯誤不能簡單歸咎于作者的失誤，主 要原因是編程模式的復(fù)雜性以及測試手段的缺乏。
失誤是人類的普遍行為。對于計算機程序這樣復(fù)雜的對象，出錯經(jīng)常出現(xiàn)。程序編制過程本身就是一個不斷嘗試不斷糾正錯誤的過程。然而，在plc領(lǐng)域，離線的調(diào)試工具比較薄弱，迄今為止最好的調(diào)試方式依然是現(xiàn)場調(diào)試，但是這一方式過于耗費時間，而且一般教師和學生都沒有這樣的條件。這是程序錯誤率高的根本原因。
作者簡介
陳鋼 男 現(xiàn)就職于鎮(zhèn)江靈芯軟件試驗室，從事plc測試軟件的開發(fā)和商業(yè)化工作。
參考文獻
[1]陳鋼，宋曉宇，顧明等.coq定理證明器輔助plc程序驗證和分析[j].北京大學學報，2010（1）.
[2]求是科技.plc應(yīng)用開發(fā)技術(shù)與工程實踐[m].北京：郵電出版社，2005.
[3]賈德勝.plc應(yīng)用開發(fā)實用子程序[m].北京：郵電出版社，2006（1）.