全新西门子工业业务领域中文网站发布

   摘要：本文首先介绍了西门子工业安全的理念和基本方法，并在此基础上阐述了基于PROFINET总线的安全总线协议PROFIsafe的安全原理和特点，针对生产工艺和控制方式特点，对PROFIsafe在立体库这一对安全程度要求比较高的行业中的应用，从风险的降低办法到风险监控的实现等方面进行了详细介绍。

   关键字：安全总线；PROFIsafe；PROFINET；安全模块；安全系统

   1　西门子安全集成技术

   安全集成是西门子用于自动化控制中的安全技术，它将自动化工程先进的成功技术和系统用于安全工程。工业自动化领域中很多行业对安全有着非常高的要求，比如汽车行业，煤矿行业，机械行业以及机场，铁路系统等。所谓集成安全，即将安全技术内嵌于自动化工程中，完成符合安全标准要求的安全功能，最后实现自动化工程中的安全工程。 西门子安全集成技术覆盖从传感器、控制器直至实行机构，甚至包括上位监控系统的整个系列，同时也包括标准现场总线上的安全相关通信。安全集成技术符合国际安全标准IEC 61508、IEC62061或 ISO13849-1以及我国安全标准GB/T 20438等标准的要求，能够实现SIL 3或Category 4级的高安全等级以确保安全，极大地满足了客户需求。

   安全集成技术覆盖下的控制器和驱动装置除基本功能外，同时具备集成安全功能，这种合二为一的特点不仅使它们确保可靠的安全性，能保证系统运行时高度的灵活性和高生产率。

  将安全技术集成到标准自动化控制的优点包括：

   具有集成安全功能的自动化控制系统比电子机械类的解决方案更加灵活可靠。

  硬件和接线成本更低。由于使用集成解决方案，使接线方法更加简便；硬件上在集成安全CPU中同时执行标准功能和安全功能，只需要一个CPU即可满足所有要求。

   工程更加简化。使用标准工程工具对标准部分和安全部分进行组态和编程， 因此集成所需的工程量更少。

   安全相关组件和标准程序组件间的通讯非常简单。二者之间仍旧基于PROFIBUS或者PROFINET机制进行通讯，通过加载PROFIsafe安全行规确保信息传输过程当中的安全性。

  本文就将详细介绍这种基于PROFINET的安全通信行规PROFIsafe的安全通信协议以及它在立体库的应用。在此之前，我们先来了解一下拥有安全集成技术的西门子故障安全系统。

   2　西门子故障安全系统

   西门子故障安全自动化系统，又称为F系统（使用Failsafe的第一个字母），它是用于将整个系统控制在安全状态，或是关闭后立即达到安全状态，以避免对人员、设备投资或者环境造成危害。

   一个合格的故障安全系统还必须具有这样的特点：当使用一系列自动化安全装置构造一个故障安全系统后，该系统可实现一系列的故障安全保护功能。 当这其中的一个或多个自动化装置发生故障时，此系统仍能够继续执行安全功能。对安全要求较高的系统必须使用故障安全系统，故障安全系统的另一个好处是其可以列出详细的诊断信息，帮助用户诊断和定位故障，并且安全系统中的故障检测和本地化操作功能可以允许生产出现安全相关中断后快速恢复生产，有效地保证生产效率。
  
                      
                　                  图1 西门子安全集成系统构成

   西门子故障安全系统的构成如图1所示。

   根据图1可以看出，西门子安全集成系统的构成非常简单紧凑，安全的传感器和执行机构可以通过安全I/O模板连接到总线系统中，安全信号和标准信号经过安全传感器采集到安全输入模板中，在通过PROFIsafe安全无误的传送给安全集成PLC，经过安全PLC处理后的安全信号再由PROFIsafe传送给安全输出模板，经由安全执行机构完成安全动作，使系统进入到安全状态。标准I/O模板可以和安全I/O模板安装在一个机架上；一个西门子安全CPU可以对采集上来的安全信号和标准信号进行处理，极大地节省了硬件成本；同样精妙的在于总线部分，加载与标准通信协议PROFIBUS DP或PROFINET总线之上的安全行规PROFIsafe可以在传输标准信号的情况下，高安全标准的传输安全信号。通过集成安全用户可以获得更精简的设计和工程操作；更快速的响应时间，最快响应速度可以达到50ms；以及安全可靠性极高的安全通信PROFIsafe而无需多花费额外的硬件成本。对于立体库的控制，有时候常常要通过无线，在这里，PROFIsafe最大的亮点之一，它也支持无线的通信协议，换言之，就是它能够确保无线通信下的数据传输安全。那么，PROFIsafe是如何实现这种安全无误的信号传输的呢？下面我们重点来介绍一下PROFIsafe安全行规及其原理。

   3　PROFIsafe安全行规

   3.1　安全总线概述

   随着现场总线技术在工业自动化领域的发展和广泛应用，其传输速度和相应的网络功能在不断的提高。与此同时，也出现了很多问题。比如传输过程当中的响应时间较长；数据包在传输过程当中的丢失和错误等，这些都给用户带来了极大的困扰。在这种情况下，故障安全通信技术也越来越成为工业用户，特别是有安全需求的工业用户的一大诉求。如何使工业控制系统的信号传输更具安全性和可靠性，并且在此基础上更兼具灵活性和经济性，成为各大自动化设备厂商思考的问题。

   1998年德国PROFIBUS用户组织（PNO）以故障安全技术的应用为目标，专门设立了一个工作组，着手制定一种整体的，开放的安全总线解决方案。1999年，PNO在德国汉诺威博览会上公布了在标准PROFIBUS上实现主-从站之间故障安全通信的技术规范，其注册名为PROFIsafe，当时的版本为V.1.0。之后，该规范的使用范围逐渐扩大，成为连接任何安全控制器所必备的先决条件。随着从站与从站之间故障安全通信的出台，PROFIsafe的工作进入了第二阶段，即版本V.2.0 Sep.2005。以西门子为首的德国25家知名企业参与了PROFIsafe应用行规的制定和产品开发。
  
                     
                             　图2 截止2011年PROFIsafe的节点数

   PROFIsafe的问世也在国际现场总线技术领域中引起轰动，它符合国际安全标准IEC61508享有广泛的国际接受度。PROFIBUS和PROFINET总线因拥有PROFIsafe故障安全技术解决方案成为能够极大满足制造业和过程工业自动化故障安全通信要求的现场总线。到目前为止，PROFIsafe拥有超过850,000个节点数，成为安全控制解决方案中节点数最多的安全总线（如图2所示）。并且早在2007年1月PROFIsafe就已成为中华人民共和国功能安全方面最早的国家标准化指导性技术文件——GB/Z 20830-2007。

  与其他公司的安全通信协议相比，如Pilz公司的SafetyBus p以及OMRON、Rockwell公司的Devicenet Safety等，PROFIsafe提供了更加广泛的通信方式和灵活性，它将安全信号和标准信号的数据进行整合，使得他们可以在PROFIBUS DP或PROFINET通信的基础上同时共用一条通信链路。此外PROFIsafe的开放性使其能够自由地连接各个支持其协议的厂家的产品，目前有大量的安全设备生产厂商都提供支持PROFIsafe的设备，如邦纳、倍加福、西克、图尔克和万可等。

  3.2　PROFIsafe的“黑色通道”原理

   工业过程中固有地存在人身伤害、财产损失、环境破坏的风险。因此，现在几乎没有一台机器或一件装置没有急停按钮，以此指示安全系统的存在。自动化工程中安全的重要性在稳步增加，而PROFIsafe实现了这些相关要求。

   PROFIsafe行规将标准现场总线技术和故障安全技术合二为一，即在同一根电缆中进行故障安全通信和标准通信，这样，安全通信不用通过额外的电缆来实现，当然如果系统需要独立的安全总线，PROFIsafe也可以实现。即PROFIsafe可以完成单总线结构也可根据要求采用标准总线和安全总线分开的结构。

   早些时候，故障安全通信技术方面的任务只能在第二层采用常规手段或者通过专用总线分散地加以解决。这样不仅增加成本而且使系统的灵活性也大大降低了。而PROFIsafe的结构，根据其ISO/OSI的简化模型，PROFIsafe位于ISO/OSI的模型第7层之上的安全层（Safety-Layer），其功能为仅负责有效数据的安全传送，而有效数据的准备和提供则是由依照故障安全技术要求设计的固件来完成，即由安全数据的发送方和接收方完成。PROFIBUS在ISO/OSI模型中使用了1、2和7层，相对安全层来说，它是一个黑色通道（Black Channel）。这就是PROFIsafe的黑色通道原理，如图3所示。
 
                      
                                 图3 PROFIsafe的黑色通道原理

   表1列出了通信过程中可能发生的错误类型和PROFIsafe的检测机制。
 
   表1 通信中可能发生的错误类型和PROFIsafe的检测机制
  
                    
 
   3.3 PROFIsafe报文结构

  图4为PROFIsafe通信报文结构的一个简单示意，安全通信的报文与标准通信报文可以同时在PROFIBUS DP或PROFINET网络上进行。通过增加CRC校验，可以保证数据在传输过程当中的安全性和可靠性。
  
                    
                           　图4 PROFIsafe的报文格式

   为了避免数据的网络传输错误，PROFIsafe采用了若干中防范机制如故障安全按位编号、带应答的时间监控、用密码标识发送器和接收器以及增设16/32位循环冗余校验（CRC）等措施以保证数据的安全。此外，PROFIsafe还采用了SIL-Monitor专利技术，通过PROFIsafe-驱动器软件对其安全状态进行监控。通过SIL-Monitor安全专利技术，西门子故障安全系统能够在故障率超过一定限度之前即采取有效的安全保护措施，以避免故障保证系统的运行安全。

   3.4　PROFIsafe的优势

   和以往传统独立的安全总线相比PROFIsafe具有如下优点：

   安全通信和标准通信在同一根电缆上共存，有效地提高了安全系统的灵活性并在很大程度上降低了硬件成本。

   符合IEC 61508国际安全标准可支持到SIL3的最高安全完整性等级。

   通过安全主站和从站将故障安全机制进行封装，通过SIL监视器获得极高的安全性。

   PROFIsafe-故障安全性建立在单信道通信系统之上，安全通信不通过冗余电缆来达到目的。

   既可以用于工厂自动化，也可用于过程自动化。可以实现无线通信下的数据安全。

  PROFIsafe是加载于标准现场总线技术的故障安全行规，以此实现故障安全通信和标准通信共存于同一根电缆上，通过这种方法简化了系统的结构。这不仅在接线，硬件，以及工程的编程组态上可以极大地节省成本，而且其带来的系统灵活性也使之后系统的改造和升级更加容易。当然，如果需要标准和安全独立分开的系统构型，PROFIsafe也可能轻松实现。下面就让我们通过一个实例来切身感受PROFIsafe带来的便利。

  4　基于PROFINET的安全行规PROFIsafe在立体库中的应用

   立体库由于其工艺特点，涉及三维的动作控制，且运动频繁，一旦急停，或者某些元器件失效，或者不受控，都会带来非常严重的后果。在此基础上，安全功能：包括紧急停止按钮装置、安全门、行程限位以及一些光电检测等安全功能都需要使用相应的安全解决方案确保人员设备的安全万无一失。

   下面就来介绍一种立体库中所使用的安全解决方案。在本例中，用户的需求是保证操作人员在进行立体库控制时人员和设备的安全性，其安全功能涉及上文所提到的紧急停止按钮装置，安全门，行程限位以及光栅。当人员一旦走进危险区，光栅中的光线被遮挡，立即使立体仓库停止运动。这样就需要保证人进入危险区域时，立体库有足够的时间停下来进入安全状态。整个应用需要无线控制并且能够实现远程监控。生产线布置有许多急停按钮，其触点信号被接入故障安全模板，在F- CPU中经过程序处理然后控制生产线的分段供电。此外，急停信号还需要在不同的S7300F-CPU中通过DP/DP Coupler进行通信。工厂本身具备局域网，无线设备通信和WIFI802.11a/b/g。

   该应用的几个安全技术关键点在于：

   需要系统能够在紧急情况下停机或者进入到相应的安全状态；

  自动控制系统可以被设置为禁用或用手动代替；

  工厂中的远程控制系统可以被设置为禁用；

  如果通信中断，工厂的远程控制系统能够安全停机；

  如果控制系统失效，工厂的自动控制系统可以安全停机；

  在执行其设计参数外的操作或工厂控制失效时，控制系统需要安全停机或进入安全状态。

  西门子根据用户和系统要求提供了解决方案： 由SIMATICS7-300 F安全控制器作为主控制器，用以处理标准功能和故障安全功能；光栅控制部分通过分布式I/O系列 SIMATIC ET200S进行连接，用以采集光栅的信号；电源系统通过SITOP和SCALANCE交换机系列进行控制；整个工厂通过无缝嵌入的WinCC安全控制台来进行监控和远程监控，通过该安全控制台更加快速简便的获得自动控制的故障数据和诊断信息，并能实时提供状态信息。

   在危险区域的进入控制上，黄色安全门中使用了安全接近开关；上方黄色部分通过拉线开关进行安全进入控制。

  总体的系统结构图如图5所示。总控由位于图5左侧上方的300F CPU实现，入口光栅安全控制，急停控制以及限位的安全控制由 ET200M完成，相应的安全机制加载于安全F-CPU和ET200MF-IO的安全模板中，对安全接近开关和拉线开关等安全输入信号进行处理，然后通过PROFIsafe可靠的传输给进行立体库的ET200M进行安全信号输出。整个安全系统达到SIL3级或Cat4级，能够在系统失效和通信中断情况下确保系统进入安全状态或者安全停机。与此同时，标准信号模板也可以安装在ET200 M站点中，由300F CPU进行信号处理，有效地节省了硬件和工程成本。

  安全的无线通信是该应用的亮点， PROFIsafe可以加载于PROFINET无线通信之上，其可靠的安全机制（如图5所示），保证无线通信中信号传输的安全性以及安全完整性等级达到SIL3级，满足了用户的要求。另外，西门子的无线安全集成面板可以通过无线和安全PLC相连，在全厂信号覆盖的位置进行全局安全监控，为立体库的控制带来了极大的便利性和可靠性。
  
                 
                      　图5 安全终端以及PROFIsafe安全机制

   该项目一经使用，获得用户的一致肯定。西门子为其设计的安全控制解决方案创建了一个易于扩展的3级区域隔离系统；削减了诊断故障造成的停机时间；并且可以自定义操作区的规模；凭借安全产品的高性能提供了安全系统更快的响应时间以增加操作区域并保证设备可以以更快的速度工作；PROFIsafe基于无线PROFINET网络的安全通信带来了更大的灵活性和可靠性；安全集成帮助用户极大地节省了相应的硬件和工程成本。

  5　小结

   近年来随着国内对安全技术了解的不断深入，我国在很多工控行业都开始使用安全技术和解决方案构建相应的安全系统和设备，比如汽车行业，机场和铁路，电力行业，游乐设备，以及很多机械设备的安全应用等，基于PROFIBUS DP和PROFINET的安全行规PROFIsafe以及西门子安全解决方案已经广泛地应用在了这些行业当中。作为工业安全发源地之一的德国，现在在其工业领域标准自动化节点和安全节点已经到达1：1的比例。 随着我国用户对安全技术、理念和相关标准更加深入的了解和认识，我们相信今后西门子安全集成和PROFIsafe技术会应用于更多的工业场合，给工业用户的使用带来便捷经济的体验和优势。

  参考文献：

  [1] Dr.Wolfgang Stripf编著. 惠敦炎译. PROFIsafe系统描述[Z] . 西门子资料,2008.

  [2] Safety Evaluation Tool软件说明[Z] . 西门子资料.

  [3] 杨洪波. 安全总线协议PROFIsafe在汽车厂总装车间的应用[DB/OL]. http://www.ad.siemens.com.cn/applic/publicsystem/article.asp?articleid=469.

  [4] IEC61508-1: 1998 Functional safety of electrical/electronic/programmableelectronic safety-related systems[S].

  [5] GB/T 20438. 1-2006/IEC61508-1: 1998 电气/ 电子/ 可编程电子安全相关系统的功能安全[S].

  作者简介：

    李佳  女，北京人，高级工程师，自动化与通讯专业硕士，现任西门子自动化集团自动化系统部故障安全产品经理，长期从事安全技术和安全解决方案的研究、推广和普及方面的工作。 

   摘自《自动化博览》2013年11月