為了更易于調試和獲得更好的性能，制造企業(yè)可以采用“黑色通道”方法來實現(xiàn)功能安全，并能更好的利用EtherCAT的優(yōu)勢。

功能安全作為現(xiàn)場總線網絡架構必不可少的部分，已經成為現(xiàn)代控制系統(tǒng)的一個標準。EtherCAT的功能安全標準Safety?over?EtherCAT（FSoE），是一種數(shù)學上有保證的方式，可以為傳輸安全數(shù)據(jù)提供雙重的“黑色通道”，安全數(shù)據(jù)和非安全數(shù)據(jù)由同一條電纜完成。自2005年以來，F(xiàn)SoE認證的產品就已面世。

01

?“黑色通道”的優(yōu)勢

對于現(xiàn)場總線安全協(xié)議來說，采取黑色通道的方式進行機器安全通信越來越普遍。黑色通道的目的是確保從一個安全設備到另一個安全設備的數(shù)據(jù)是安全的，因此攜帶數(shù)據(jù)的通信系統(tǒng)不會影響數(shù)據(jù)的安全性——如果因意外或故意篡改導致安全數(shù)據(jù)變化，則會被檢測到，不會造成任何傷害。

對于設備的安全功能來說，EtherCAT主網絡似乎是不可見的。承載功能安全數(shù)據(jù)的總線系統(tǒng)，不執(zhí)行任何安全相關任務；它僅用作傳輸介質。黑色通道方法意味著安全評估不必包含運輸機制和介質。

為了符合相關安全標準，安全總線數(shù)據(jù)容器必須未經修改地從安全發(fā)送者傳輸?shù)桨踩邮照撸瑹o論使用哪種傳輸系統(tǒng)。安全措施封裝在終端設備中。

▲圖1：通過黑色通道方法，將安全措施封裝在安全終端設備中。

02

完整的安全功能和認證

在機器安全方面，用戶必須確保所有進入系統(tǒng)的內容都是準確的。FSoE具有豐富的功能，有助于檢測安全通信中的錯誤，包括：

■?每個FSoE設備都有一個唯一的16位地址。

■?每個安全數(shù)據(jù)容器對安全數(shù)據(jù)都有一個單獨的循環(huán)冗余校驗（CRC）。

■?每個FSoE設備都有自己的內部狀態(tài)機。在啟動期間，安全設備必須通過狀態(tài)機來傳送安全數(shù)據(jù)。

■?如果出現(xiàn)錯誤，狀態(tài)機將重置，設備將進入安全狀態(tài)，安全控制器必須重新建立連接。

■?每次正確處理完安全數(shù)據(jù)時，看門狗計時器（WD）都會重置。如果存在多個連續(xù)校驗和錯誤或通信丟失，計時器將超時并將安全設備置于安全狀態(tài)。

FSoE協(xié)議符合IEC 61508安全完整性等級SIL 3以及IEC 61784-3的相關要求。國際公認的獨立安全認證機構TüV南德意志集團已對FSoE協(xié)議進行了評估和認證。這意味著系統(tǒng)集成商無需證明FSoE協(xié)議認證設備的適用性，因此在認證機器或過程方面的工作量要小得多。

FSoE協(xié)議的特殊特性也確保了FSoE的黑色通道獨立于底層現(xiàn)場總線通信系統(tǒng)。對于其它安全系統(tǒng)，用戶必須遵守某些限制，例如，確保基礎總線系統(tǒng)滿足特定的可靠性要求。

▲圖2：開放式 FSoE 協(xié)議支持機器之間的標準化數(shù)據(jù)交換。

03

增加開放性和加強安全通信

從一開始，ETG技術協(xié)會就專注于確保EtherCAT技術的開放性和可訪問性。FSoE已在IEC 61784-3-12中實現(xiàn)標準化，是免費許可的，也是開放協(xié)議。任何ETG成員都可以訪問所有FSoE文件，并可以自由開發(fā)和銷售安全設備。

一些安全協(xié)議是封閉的和專有的。任何具有專有安全解決方案的控制解決方案，在很大程度上都會將開發(fā)人員和最終用戶的選擇，限制在同一個供應商的硬件和工具上。

盡管用戶在技術上可以通過任何通信總線使用FSoE，但EtherCAT在架構和功能方面的高效提供了關鍵優(yōu)勢，例如：

■?實時反應。即使在高度動態(tài)的驅動架構中也是如此。

■?簡化的系統(tǒng)。布線和系統(tǒng)擴展都更簡單，診斷效果更好，因此可用性更高。一條電纜可以非常容易地取代所有離散的安全布線。

■?更低的成本。可以使用標準工業(yè)以太網電纜和連接器。安全數(shù)據(jù)和過程數(shù)據(jù)可以共享一個網絡和一條電纜。

無論是集中的還是分散的安全邏輯都是可能的，這意味著可以將安全功能添加到控制系統(tǒng)中，而不必用復雜的安全控制器替換可編程邏輯控制器（PLC），因為無需重寫應用程序代碼。由于它們共享相同的通信系統(tǒng)，安全控制器可以將安全事件通知非安全控制器，例如在工廠的另一端按下緊急停止裝置。

04

集成安全系統(tǒng)真的安全嗎？

有時會被問到一個問題：“如果安全數(shù)據(jù)中的一個點啟動電機，而該點是由故障幀錯誤設置的，會發(fā)生什么事？”答案是讓兩件事協(xié)同工作：循環(huán)冗余校驗和看門狗計時器。

■?循環(huán)冗余校驗（CRC）。在滿足安全總線可靠性要求方面，通過CRC檢測損壞的數(shù)據(jù)起著關鍵作用。包含EtherCAT數(shù)據(jù)報的每個以太網幀，在每個EtherCAT設備的每個端口都做一次整體CRC檢查。如果發(fā)現(xiàn)CRC錯誤，則該幀無效。每個安全容器也有自己的CRC，由FSoE控制器和FSoE設備分別評估，因此任何損壞的數(shù)據(jù)都不會影響系統(tǒng)。

■?看門狗計時器（WD）。超時對于檢測FSoE通信錯誤也至關重要。根據(jù)網絡運行的速度，在EtherCAT看門狗超時（通常為100毫秒）之前，不會發(fā)生任何事情。計時器在接收到非錯誤幀后自行復位。還有一個單獨的FSoE看門狗（通常也是100毫秒），這同樣適用：如果FSoE看門狗超時，安全組將收到通信錯誤并進入安全狀態(tài)。因此，用戶可以區(qū)分安全相關的通信問題。

▲圖3：EtherCAT功能安全協(xié)議Safety over EtherCAT–系統(tǒng)示例。

此外，F(xiàn)SoE允許在具有ETG.6100.1安全驅動配置文件的驅動器中實現(xiàn)功能安全。FSoE控制命令允許根據(jù)IEC 61800-5-2實現(xiàn)高級安全運動功能。這意味著FSoE驅動器可以處理日益流行的安全功能，如安全扭矩關閉（更換冗余電機接觸器）、安全速度范圍、安全停機等。FSoE驅動中的安全功能，可以由驅動器的內部邏輯或FSoE觸發(fā)。驅動器的安全狀態(tài)字可通過FSoE傳回安全控制器，這是一種功能齊全的診斷工具。

05

確保安全裝置的互操作性

一致性和互操作性始終受到重視，F(xiàn)soE實施、測試和發(fā)布的生態(tài)系統(tǒng)，使得安全設備的測試得以簡化。ETG的目標是支持FSoE設備制造商順利通過認證，從而盡快將產品投入市場。

安全設備必須首先通過內部一致性測試，然后通過專門針對 FSoE 設備的一致性測試，該測試使用 TüV 認證的測試用例。此外，所有FSoE設備還必須在位于德國紐倫堡的EtherCAT測試中心，通過完整的一致性測試（基本一致性和FSoE一致性），而FSoE測試由TüV人員在同一地點進行，因此一次預約可以完成所有測試。

最后，供應商可以到其認證機構獲得最終設備的批準和認證。ETG一致性方法有助于設計安全裝置并確保其互操作性。由于該設備可以與系統(tǒng)中的其它設備互操作，因此機器制造商、系統(tǒng)集成商和最終用戶都將從中受益。

FSoE是一個開放式安全系統(tǒng)，擁有多家安全控制器、安全輸入和輸出以及功能安全驅動器供應商。一致性和互操作性受到重視，用戶可以從多個供應商處獲得理想的安全系統(tǒng)。該系統(tǒng)中的FSoE設備有助于確保一切安全工作。

編輯：黃飛

?