一、引言
長期以來，故障安全通信技術方面的任務只能在第二層采用常規(guī)手段或者通過專用總線分散地加以解決。這使得應用于制造業(yè)和過程工業(yè)自動化的分布式現場總線profibus的生存空間受到限制。1998年德國profibus用戶組織(pno)以故障安全技術的應用為目標，專門設立了一個工作組，著手制訂一種整體的、開放的解決方案。其通信基礎是profibus-dp，所依據的主要標準則是iec61508和歐洲標準en954以及en5o159-1/-2等。
1999年，pno在德國漢諾威博覽會上公布了在標準profibus上實現主、從站之間故障安全通信的技術規(guī)范，其注冊商標名為proflsafe(v. 1.0)。它通過了德國bia-聯邦勞動安全研究所和t v-技術監(jiān)督聯合會的認證。之后，該規(guī)范的使用范圍擴大，成為連接任何安全控制器所必備的先決條件。隨著從站與從站之間故障安全通信(f-slave to f-slave，profibus dpv2)和以太網通信(profinet)的出臺，profisafe的工作進入了第二階段，即“v.1.20，2002”。以西門子為首的德國25家知名企業(yè)參與了profisafe應用行規(guī)的制訂和產品開發(fā)。
profisafe的問世曾在國際現場總線技術領域中引起了轟動。迄今為止，profibus因其擁有profisafe故障安全技術解決方案始終是唯一能夠滿足制造業(yè)(采用rs485和光纖傳輸技術)和過程工業(yè)自動化(采用“mbp-is”，即曼徹斯特編碼一總線供電和本質安全傳輸技術，原名iec61158-2)故障安全通信要求的現場總線。
二、profisafe的主要特征
profisafe的主要特征歸納如下：
●安全通信和標準通信在同一根電纜上共存；
●profisafe-故障安全性建立在單信道通信系統(tǒng)之上，安全通信不通過冗余電纜來達到目的；
●標準通信部件，如電纜、專用芯片(asics)、dp-棧軟件等等，無任何變化；
●故障安全措施封閉在終端模塊中(f-master,f-slave)；
●采用專利sil監(jiān)視器獲得極高的安全性；
●最高故障安全完整性等級為sil3(iec61508)，相應的德國標準和歐洲標準分別為ak6(din v19250)、kat.4(en954-1)。sil3：＞10-8…10-7，即在連續(xù)工況下每小時故障率；
●profisafe的軟件解決方案可以靈活地應用于sil1，2或3的設備及安全控制回路；
●既可用于低能耗(ex-i)的過程自動化，又可用于反應迅速的制造業(yè)自動化；
●環(huán)境條件同標準profibus(抗電磁干擾等)。
三、通信原理：“black channel”和f-(failsafe)層結構
profisafe使標準現場總線技術和故障安全技術合為一個系統(tǒng)，即故障安全通信和標準通信在同一根電纜上共存。這不僅在布線上和品種多樣性方面可以節(jié)約一大筆資金，而且可以日后改建。用戶自然可以根據組織方面的理由將安全功能和標準功能分配到兩根profibus干線上(圖2)。由圖1可見，經f-gateway(f-網關)可連接其他安全總線系統(tǒng)。
過程工業(yè)自動化要求采用冗余來提高設備的使用率。profisafe則采用單信道通信結構的方法使上述要求的實現非常容易(圖5)。單信道故障安全可編程控制器可以達到sil3。這種通信結構原則上也可以執(zhí)行標準自動化任務，如診斷、參數設置服務器等。
profisafe以標準總線通信部件一電纜、芯片、基本軟件包(層棧)、profibus-dp-主站和profibus-dp-從站等為基礎，這些均被劃入“black channel-黑色通道”。它一方面表示在“black channel”中可能出現的所有故障均由profisafe查出；另一方面“black channel”中沒有提高傳輸安全性的各項功能，所以它不涉及安全技術的范疇。
profisafe解決方案的iso/osi簡化模型4。
眾所周知，profibus在iso/osi-模型中僅使用了第1、2和7層。故障安全措施則置于第7層一應用層之上的安全層(safety-layer)。由于該層僅對有效數據的安全傳送負責，它需要上層負責準備與提供有效數據，而在一個安全現場設備(例如，安全輸入)中是由它的技術固件來施行的。這類固件通常至少有一部分是按照故障安全技術要求設計的。在冗余的硬、軟件結構中嵌入profisafe功能也可以達到上述目的。同標準操作一樣，過程信號及過程數據出現在相應的有效報文中。在安全操作時，僅對這些報文加以補充(圖10、11)。
源于某個模塊式從站(一個profibus站點，它可內裝若干個帶輸入/輸出通道的故障安全模塊)的發(fā)送器信號經profibus從站聯接點進入f-控制器的兩個dp-主站聯接點中的一個，從那里經局域總線進入f-控制器，即故障安全cpu。經聯接后產生的一個輸出信號再次通過局域總線進入第二dp-主站聯接點，入第二根profibus干線。傳輸速度在dp-pa鏈接器中降低，使用pa-物理傳輸技術(mbp-is)-達到 31.25kbaud，將信號輸送到故障安全pa-從站中。此信號在其通信路徑的任何地點均未使用一條冗余通道，也就是說，傳輸是單通道的。
以上僅對故障安全報文的通信路徑作了詳細的探討，至于誰負責發(fā)送，何時發(fā)送的問題，回答很簡單。這里運用了profibus的標準機制，即主-從操作方式。一個主站-通常為一個cpu，循環(huán)地同其所有組態(tài)的從站交換報文，即在主站與從站之間存在著1：1的關系。這種輪詢操作(polling)方式的優(yōu)點是能夠立即察覺一旦出現故障的某個設備，這正是故障安全技術的基本原則之一。
四、故障安全保護措施：附加的crc是關鍵
在復雜的網絡拓撲結構中，發(fā)送報文會引發(fā)一系列的錯誤，如報文丟失、重復、添加、順序錯、延遲以及偽數據，等等。在故障安全通信中還會出現尋址錯，即一個標準報文錯誤地出現在一個故障安全站點中，且被當作故障安全報文輸出(masquerade)。此外，傳輸速率的不同還可能對存儲器產生不良后果。profisafe采取以下措施來對付傳輸錯誤.
●故障安全報文按順序編號；
●帶應答的時間監(jiān)控；
●用密碼標識發(fā)送器和接收器；
●增設16/32位循環(huán)冗余校驗(crc)，以保證數據的安全。
一臺接收器根據順序號可以判斷它是否收到按正確順序排列的全部報文。如果它將有順序號的“空”報文作為應答送返發(fā)送器，則該接收器同樣是可信的。從原理上講，只要在其中設置一個“toggle-bit”也就足夠了，但profisafe因其采用總線存儲元件(路由器)而選擇了一個0…255的計數器，其中“0”為例外。
在故障安全技術中，一個報文僅僅傳輸正確的過程信號或數值是不夠的，重要的是這些數值必須在故障極限時間內送達，才能使現場相關站點自動地作出安全響應。為此，各站點均配備一個時間控制器，它在故障安全報文到達后即刻“復原”。
主站與從站之間1：1的關系易于辨別錯誤報文。兩者均設有網絡明確規(guī)定的標志(密碼)，以此即可核查某報文的真實性。
增設循環(huán)冗余校驗(crc-cyctic-redundancy-check)對報文錯誤數據位的識別具有重要作用。有關故障概率的研討可參閱iec61508，它對所有的故障安全功能均作了詳述。根據iec61508，profisafe是以一個或若干個故障安全功能的控制回路為考慮故障概率的出發(fā)點).
一個故障安全控制回路包括參與某個安全控制功能的全部傳感器、執(zhí)行器、傳輸元件和邏輯處理單元。在iec61508中，針對不同的安全級別(safety-integrity-levels)規(guī)定了故障總概率。例如，sil3：10-7/h。profisafe在傳輸過程中僅占其1%，即容 許的故障概率為10-9/h。根據iec61508和en50159-1，對于sil3可應用下式計算：
rdp=rhw+remi+rtc＜10-9/h (1)
式中：rhw=hardware_failure
remi=emi_failure
rtc=transmissioncode_failure
由此可以建立與報文長度相關的crc一多項式，以保證未經發(fā)現的錯誤報文殘留錯誤率(residual error rate)達到所要求的數量級。在profisafe中不使用profibus所依靠的幀-校驗-序列(fcs：frame-checking-sequence)和奇偶校驗(parity-check)來識別基本錯誤。換句話說，基本機制下的故障揭示概率不受附加的profisafe crc-機制的影響。
當位錯誤率很高時，即當一個報文有許多位受到干擾時，殘留錯誤率難以確定。為避免任何不安全性，profisafe使用了一種稱之為sil-監(jiān)視器的方法)，這種方法已經獲得專利權。
crc-安全措施不僅循環(huán)地保證過程信號和數據的完整性，而且也保證在相關從站中存放的參數，如標志(密碼)、看門狗(watch-dog)時間等完整性。
五、f-報文結構
以上討論了profisafe安全傳輸報文所使用的方法。下面介紹故障安全報文結構，即profisafe在profibus通信上的具體映像。先來觀察profibus-dp報文結構。
在dp-幀結構中，data-unit，pb(parity-bit)和fcs是人們關注的焦點。在系統(tǒng)組態(tài)/啟動階段，slave(從站)通過gsd-設備基本數據文件將有效數據的格式通報dp-master(主站)。在profisafe中的情況雷同。
f-host和f-slave(f:fail-safe，故障安全)在封閉的條件下彼此交換控制信息和狀態(tài)信息。當一個f-slave需要增加參數，或者f-host要更改參數時，兩者之間就要交換信息。此外f-slave可將出錯報文通知f-host。為進行上述信息交換，profisafe將1byte(狀態(tài)/控制字節(jié))設在有效數據左邊(圖10、11)。status/control byte各個位所代表的狀態(tài)見。
另有1byte用于順序號，該號由某報文的發(fā)送器登錄(源計數器)，由接收器驗證且以應答報文送返發(fā)送器。在一次循環(huán)操作中，計數器從1計數到255，0是為系統(tǒng)啟動而設定的。
如前所述，制造業(yè)和過程工業(yè)對一個安全系統(tǒng)的要求是不同的。前者必須以極快的速度處理(斷路)信號；后者則允許更多的時間處理過程數據。profisafe因此規(guī)定了兩種不同的有效數據長度，它們要求采取不同的crc-安全措施。第一種有效長最多為12bytes且有1個2bytes-crc2接于流水號之后；另一種有效長最多為122bytes且有1個4bytes-crc2。
剩余報文有效空間可為標準數據所用。當系統(tǒng)設有通往其他安全總線的f-網關時(圖1)，這種結構使通信效率提高。
f報文順序號用于監(jiān)控發(fā)送器的生存期(life)和監(jiān)控鏈接接收器的通信區(qū)段。借助順序號和profisafe應答機制可對f-cpu〈-〉f-output之間報文運行時間進行控制。
六、sil-監(jiān)視器(monitor)的機理及其作用
如前所述，profisafe并不依托于profibus的基本安全機制，而是用附加的crc來識別全部錯誤，以達到所需求的sil等級。上面提到的一種專利sil-monitor監(jiān)視器(圖14)可以使sil等級在分布式故障安全自動化方案的生命期內保持不變，且不受所用總線部件和組態(tài)的影響。
圖14中總線故障原因的綜合給出一個表征profibus傳輸系統(tǒng)上受干擾信息的頻率fw（一個虛構的值）。故障源來自硬件(hw)、emv/emi(電磁干擾)及其他。當受干擾報文的頻率超越規(guī)定的界限時，則f-host使安全控制回路進入安全狀態(tài)。監(jiān)視器時間周期t(monitor time period)決定于sil等級和crc-長度。
數值是在時間t內最多只容許一個受干擾報文存在的情況下計算出來的。由圖14可見，profibus的標準安全機制(1.filter)用以識別hd=4的每個位錯誤；只有hb≥4的位錯誤(special bit patterns)進入profisafe安全機制。如果在標準profibus asic中的安全機制出現故障(概率很小)，則受干擾的信息以統(tǒng)計位模式(statistical bit patterns)進入profisafe安全機制。此種情況下可用下式求出pus(typ)：
式中：pus=max.residual error probability(16/32-bit-crc的最大殘留錯誤概率，其中誤碼率-bit error rate為0…0.5)
sil-monitor本身不是硬件，而是可實現profisafe-驅動器軟件的一部分。借助sil-monitor，f-系統(tǒng)能夠在故障率超過一定限度之前即采取有效的安全保護措施，從而避免系統(tǒng)中出現險情。
profisafe的各項功能可以借助一個專用芯片(asics)或軟件來實現。德國的眾多企業(yè)由于各種原因首選了軟件這條路子。上述“profisafe-驅動器軟件”就是由西門子、bürkert、sick、e+h等11家企業(yè)共同開發(fā)的，凡參加開發(fā)的企業(yè)都有權獲得開發(fā)相應設備(f-主站、f-從站)的許可證。
七、f-控制系統(tǒng)對f-從站的支持通過fdt/dtm
智能化f-現場設備要求f-系統(tǒng)為實現以下操作提供支持：設計、調試、迅速更換設備、程控參數設置、“teach-in”、設備診斷和項目數據保存等。
在控制器中，通過dp-v1平臺(非循環(huán)數據交換)和通信功能元件(符合iec61131-3)來達到相關設備的整合。設備制造廠商的參數化軟件與診斷軟件被整合到系統(tǒng)制造廠商的工程設計工具中，則是通過fdt/dtm-接口來實現的。所謂fdt/dtm是現場設備智能化管理軟件。fdt是profibus標準之一，2000年底由德國pno推出。fdt(field device tool)規(guī)范描述設備特定軟件(設備類型管理器-device type manager)和自動化系統(tǒng)工程工具之間的接口，設備管理軟件的發(fā)展從gsd、profile、eddl直至今日的fdt/dtm。fdt/dtm是將現場總線技術(profibus、ff，等等)實際應用到過程自動化的基礎。fdt/dtm、f-slave(圖中為光柵)和f-控制器中代理功能元件(proxy fb)之間的互動關系，說明了f-系統(tǒng)如何支持f-從站。
一個安裝在工程工具(et)中的設備制造廠商的參數化軟件與診斷軟件包(dtm)通過et的通信接口fdt訪問現場設備 f-slave(本例中為光柵)①。在參數化和調試之后，參數組通過f-控制器中的proxy fb被裝進f-控制器中②，并在那里供迅速更換設備使用。為驗證數據(i-parameter)的可信性和完整性，dtm借助et讀入proxy-fb中的狀態(tài)參數，將它們同存在于f-slave中的i-parameter進行比較。一旦設備被更換，proxy fb能夠自動地將i-parameter裝入f-slave中。profisafe還規(guī)定proxy-fb能夠自動地、周期地執(zhí)行現場設備的測試程序，以確定該設備的狀況是否正常。用這種方式可在適當的時刻更換有隱患的現場設備。
八、結束語
最先運用profisafe故障安全通信技術的設備已于2000年由西門子公司推向市場。其中經德國t v認證的西門子自動化系統(tǒng)simatic s7-417f/h同et200m的安全i/o模塊于同年成功地應用在歐洲最現代化的煉油廠——德國海德煉油廠(raffinerie heide)加氫裂化裝置中，使該廠不再需要煉油廠中常用的故障安全關機系統(tǒng)。
自2002年以來，又相繼出現了一系列profisafe產品，它們展示在2002年、2003年的漢諾威博覽會上，并在歐洲的一些工程項目中獲得了應用。profisafe的應用可以做到對人、機器和環(huán)境的有效保護。它所帶來的經濟利益倍受人們的關注。
由此看來，profisafe安全通信技術的應用已不再是對未來的憧憬，而是眼前的現實。
筆者相信，在不久的將來，profisafe-它的規(guī)范與標準，產品的開發(fā)和應用也會在中國開花結果。