為了更易于調試和獲得更好的性能，制造企業可以采用“黑色通道”方法來實現功能安全，并能更好的利用EtherCAT的優勢。

功能安全作為現場總線網絡架構必不可少的部分，已經成為現代控制系統的一個標準。EtherCAT的功能安全標準Safety?over?EtherCAT（FSoE），是一種數學上有保證的方式，可以為傳輸安全數據提供雙重的“黑色通道”，安全數據和非安全數據由同一條電纜完成。自2005年以來，FSoE認證的產品就已面世。

01

?“黑色通道”的優勢

對于現場總線安全協議來說，采取黑色通道的方式進行機器安全通信越來越普遍。黑色通道的目的是確保從一個安全設備到另一個安全設備的數據是安全的，因此攜帶數據的通信系統不會影響數據的安全性——如果因意外或故意篡改導致安全數據變化，則會被檢測到，不會造成任何傷害。

對于設備的安全功能來說，EtherCAT主網絡似乎是不可見的。承載功能安全數據的總線系統，不執行任何安全相關任務；它僅用作傳輸介質。黑色通道方法意味著安全評估不必包含運輸機制和介質。

為了符合相關安全標準，安全總線數據容器必須未經修改地從安全發送者傳輸到安全接收者，無論使用哪種傳輸系統。安全措施封裝在終端設備中。

▲圖1：通過黑色通道方法，將安全措施封裝在安全終端設備中。

02

完整的安全功能和認證

在機器安全方面，用戶必須確保所有進入系統的內容都是準確的。FSoE具有豐富的功能，有助于檢測安全通信中的錯誤，包括：

■?每個FSoE設備都有一個唯一的16位地址。

■?每個安全數據容器對安全數據都有一個單獨的循環冗余校驗（CRC）。

■?每個FSoE設備都有自己的內部狀態機。在啟動期間，安全設備必須通過狀態機來傳送安全數據。

■?如果出現錯誤，狀態機將重置，設備將進入安全狀態，安全控制器必須重新建立連接。

■?每次正確處理完安全數據時，看門狗計時器（WD）都會重置。如果存在多個連續校驗和錯誤或通信丟失，計時器將超時并將安全設備置于安全狀態。

FSoE協議符合IEC 61508安全完整性等級SIL 3以及IEC 61784-3的相關要求。國際公認的獨立安全認證機構TüV南德意志集團已對FSoE協議進行了評估和認證。這意味著系統集成商無需證明FSoE協議認證設備的適用性，因此在認證機器或過程方面的工作量要小得多。

FSoE協議的特殊特性也確保了FSoE的黑色通道獨立于底層現場總線通信系統。對于其它安全系統，用戶必須遵守某些限制，例如，確保基礎總線系統滿足特定的可靠性要求。

▲圖2：開放式 FSoE 協議支持機器之間的標準化數據交換。

03

增加開放性和加強安全通信

從一開始，ETG技術協會就專注于確保EtherCAT技術的開放性和可訪問性。FSoE已在IEC 61784-3-12中實現標準化，是免費許可的，也是開放協議。任何ETG成員都可以訪問所有FSoE文件，并可以自由開發和銷售安全設備。

一些安全協議是封閉的和專有的。任何具有專有安全解決方案的控制解決方案，在很大程度上都會將開發人員和最終用戶的選擇，限制在同一個供應商的硬件和工具上。

盡管用戶在技術上可以通過任何通信總線使用FSoE，但EtherCAT在架構和功能方面的高效提供了關鍵優勢，例如：

■?實時反應。即使在高度動態的驅動架構中也是如此。

■?簡化的系統。布線和系統擴展都更簡單，診斷效果更好，因此可用性更高。一條電纜可以非常容易地取代所有離散的安全布線。

■?更低的成本。可以使用標準工業以太網電纜和連接器。安全數據和過程數據可以共享一個網絡和一條電纜。

無論是集中的還是分散的安全邏輯都是可能的，這意味著可以將安全功能添加到控制系統中，而不必用復雜的安全控制器替換可編程邏輯控制器（PLC），因為無需重寫應用程序代碼。由于它們共享相同的通信系統，安全控制器可以將安全事件通知非安全控制器，例如在工廠的另一端按下緊急停止裝置。

04

集成安全系統真的安全嗎？

有時會被問到一個問題：“如果安全數據中的一個點啟動電機，而該點是由故障幀錯誤設置的，會發生什么事？”答案是讓兩件事協同工作：循環冗余校驗和看門狗計時器。

■?循環冗余校驗（CRC）。在滿足安全總線可靠性要求方面，通過CRC檢測損壞的數據起著關鍵作用。包含EtherCAT數據報的每個以太網幀，在每個EtherCAT設備的每個端口都做一次整體CRC檢查。如果發現CRC錯誤，則該幀無效。每個安全容器也有自己的CRC，由FSoE控制器和FSoE設備分別評估，因此任何損壞的數據都不會影響系統。

■?看門狗計時器（WD）。超時對于檢測FSoE通信錯誤也至關重要。根據網絡運行的速度，在EtherCAT看門狗超時（通常為100毫秒）之前，不會發生任何事情。計時器在接收到非錯誤幀后自行復位。還有一個單獨的FSoE看門狗（通常也是100毫秒），這同樣適用：如果FSoE看門狗超時，安全組將收到通信錯誤并進入安全狀態。因此，用戶可以區分安全相關的通信問題。

▲圖3：EtherCAT功能安全協議Safety over EtherCAT–系統示例。

此外，FSoE允許在具有ETG.6100.1安全驅動配置文件的驅動器中實現功能安全。FSoE控制命令允許根據IEC 61800-5-2實現高級安全運動功能。這意味著FSoE驅動器可以處理日益流行的安全功能，如安全扭矩關閉（更換冗余電機接觸器）、安全速度范圍、安全停機等。FSoE驅動中的安全功能，可以由驅動器的內部邏輯或FSoE觸發。驅動器的安全狀態字可通過FSoE傳回安全控制器，這是一種功能齊全的診斷工具。

05

確保安全裝置的互操作性

一致性和互操作性始終受到重視，FsoE實施、測試和發布的生態系統，使得安全設備的測試得以簡化。ETG的目標是支持FSoE設備制造商順利通過認證，從而盡快將產品投入市場。

安全設備必須首先通過內部一致性測試，然后通過專門針對 FSoE 設備的一致性測試，該測試使用 TüV 認證的測試用例。此外，所有FSoE設備還必須在位于德國紐倫堡的EtherCAT測試中心，通過完整的一致性測試（基本一致性和FSoE一致性），而FSoE測試由TüV人員在同一地點進行，因此一次預約可以完成所有測試。

最后，供應商可以到其認證機構獲得最終設備的批準和認證。ETG一致性方法有助于設計安全裝置并確保其互操作性。由于該設備可以與系統中的其它設備互操作，因此機器制造商、系統集成商和最終用戶都將從中受益。

FSoE是一個開放式安全系統，擁有多家安全控制器、安全輸入和輸出以及功能安全驅動器供應商。一致性和互操作性受到重視，用戶可以從多個供應商處獲得理想的安全系統。該系統中的FSoE設備有助于確保一切安全工作。

編輯：黃飛

?