同一网络上实现两种控制

安全网络标准的改变使得安全设备能够与标准控制共存于同一个网络中，而无需考虑这个网络是否需要安全控制器

为了确保生产人员的安全，制造商们一直处于安全问题的压力之下。在过去，这通常意味着需要安装专用的安全网络。尽管这种传统的安全网络的确保护了工人，然而也带来了许多“额外的工作” ——铺设电缆、维护、培训以及由于工程师们需要在标准控制和安全控制两套自动化系统之间进行协调，因而造成了很多麻烦。

现在，这些情况已经有了彻底的改变。这将归功于通用工业协议——CIPTM，一种应用于工厂车间网络，如DeviceNetTM、ControlNetTM 和 EtherNet/IPTM的基础协议标准。对CIP协议进行安全性能的扩充，提出了CIP SafetyTM协议，它将成为IEC国际电工委员会的一项安全网络标准。

安全网络介绍

安全网络是一种现场总线，用于连接工厂车间中的设备。包括易于连接和拆卸的单一电缆、方便集成的设备，允许设备之间进行通信、配置、发布诊断数据和其他性能状况，来帮助工人更有效地维护安全系统。

但是，与标准的网络不同，安全网络的设计并非只针对于用来容忍限制内的错误，还要在错误达到特定限制时，进行检测并做出反应，将设备切换到预定的安全状态。

企业为了节省布线，方便安装设备而选择安全网络，或者能够提供网络诊断信息，来提升制造过程的性能，以此完全发挥出它们的优势。例如，当错误出现时，硬接线安全系统将做出响应，关闭所有可编程控制器（PLC）的输出， 实际上就等于关闭了整个应用系统。无论发生什么问题，系统的响应都是相同的。

这种处理方式虽然避免了危险状况的发生，但实际上却造成了损耗。一旦整个应用系统都被关闭，要让它再次启动和运行就不那么简单了—— 时间和能源的损耗将造成重大的利润损失，而且有可能违背对客户的承诺。

另一方面，如果使用带有网络的系统，那么安全控制器对于什么系统需要被关闭，什么系统需要继续运行，可以做出精确的决定。例如，如果一个偏离正常方向的安全传感器影响到了一个单元中的机械手臂，那么只需要关闭那个特定的单元。

当出现安全问题时，不需要关闭整个区域或者整个设备，从而提高生产率。这种功能的关键就在于有先进的诊断功能作为保障，而诊断功能设计在控制器、网络和I/O设备中，以及会对这些诊断做出响应的固件和应用软件里面。

该协议继承了安全网络的特点，能够确保在应用中有很高级别的完整性，包括报文冗余、交叉核对，确保安全信息能够在预定时间内，可靠地从一个设备传输到另一个设备，并能保证数据内容的完整性。

重新定义标准

IEC 61508 ——可编程电气系统中的功能性安全标准——详细说明了安全网络的功能。这个由7个部分组成的标准定义了安全系统的需求，使其遵守相应的安全完整性等级 (SIL)。

根据最近提出的观点，IEC 61508定义了安全系统评估的方式，从基于预计方式转换为以目的为导向的方式。这种转变从仪器的角度允许了先进安全控制系统的发展，特别是在更多使用安全网络作为硬接线替代品的形势下。

在IEC 61508之前，商家要证明他们的器件和解决方案与方块图像一致，需要找评估人员来完成。现在，用户和商家一起进行风险评估来检查潜在的失败可能性、记录因果关系和事件出现的概率。这种分析决定了保护系统所必须达到的SIL级别，它反过来也定义了所要求的最大可允许失败的可能性。

新的结构单元

CIP安全协议是在标准的CIP协议基础上，为安全信息添加冗余数据、错误校验和基于时间期限标志。这些功能实现过去只能在终端设备中添加代码和硬件才能达到的信息传输完整性。由于完整性可以在终端设备实现，所以中间介质网桥或者连接设备可以是标准的设备。

安全网络能够实现高级别的完整性。这种完整性是在设计上，使设备在通信出现错误时，进入预定的安全状态。不同设备的安全状态是不同的。

另外，安全网络必须具有确定性来保证所有的安全信息能够在预定或者可预计的时间内进行传输。安全网络允许用户对每个设备进行设定，使其具有自己的响应周期。

因为有了该功能，安全设备就能保持信息的传输在规定时间内完成。安全信息包括一个时间标志，用于通过对其进行检查，确保信息在规定的时间内到达。如果安全信息的到达超出规定时间，就会导致受到影响的相关设备进入安全状态。

安全网络中的设备一般使用双处理器设计，用来在报文到达时进行交叉校验。由于数据冗余是加载到网络协议内部的，因此双处理器都将获取信息并交叉核对另一方的结果来确保准确性。

除了这些结构单元之外，还有许多特点可以区分安全网络。这里要着重说明的是DeviceNet SafetyTM，它为关闭安全回路提供了一种最为有效的方法，并且作为CIP架构的一部分，提供了多路链接架构的优点。

DeviceNet Safety

DeviceNet Safety，是对于DeviceNet的安全性扩展，它由开放设备网供应商协会（ODVA）制定。这种扩展使得安全设备可以与标准控制设备在同一DeviceNet网络上共存。这意味着，安全传感器可以在变频器旁边工作，安全控制器可以与标准PLC、接近开关进行通信。

DeviceNet有许多功能，使其可以理想地应用于安全系统。这些功能包括：
·良好的介质，已经在高干扰和其他恶劣环境下通过测试；
·对于重复结点地址进行自动检查；
·数据链路层的内置重试功能；
·可配置的权限设定；
·网络中每个连接的错误计数器；
·基于连接的信息传送，所以生产者和消费者都可以分辨数据是否失败。

同时，标准DeviceNetTM介质和拓扑结构使得用于安全应用时不需任何改动。因此，DeviceNetTM用户可以继续使用现有的布线来构建安全系统，只需将DeviceNetTM安全设备添加到现有网络中。事实上，最终用户将可以在同一网络上集成标准控制和安全控制。
DeviceNetTM安全协议确保了标准设备不会干扰安全设备，而且安全设备也不会对标准设备构成干扰。 对于其他许多安全协议来说，制造商则必须采用一个独立的网络来进行安全控制，为系统增加了不必要的复杂度。而且，单独的网络无法紧密集成到标准控制系统架构中，这将导致系统无法对每种不同的错误做出不同的响应。

当处理多个网络时，考虑安全回路如何关闭非常重要。有两种在I/O设备之间关闭回路的方法。第一种是以控制器为中心的方法，这种方法要求所有的安全回路都通过一个安全PLC；第二种是安全网络控制器的方法，这种方法不需要使用安全PLC来作为安全回路的一部分。这第二种方法可以被归结为一种常规的继电器替换方法，一般用于非常严格的闭合回路。 两种方法都有各自的优点，而且并不互相排斥，这就意味着制造商可以结合使用这两种方法。

由于CIP安全协议是标准CIP协议的扩展，它继承了EtherNet/IPTM、ControlNetTM和DeviceNetTM用户所推崇的桥接和路由功能。因此，从一个工厂范围的角度来看，DeviceNetTM安全网络用户将从多种链接架构中获得收益。多个DeviceNetTM安全网段可以使用高速EtherNet/IPTM主干网络相互连接，所有节点都可以像在同一网段上一样进行无缝通信。

同时，工程师还可以将DeviceNetTM安全解决方案拆分成不同的网络，对每个网络进行配置，使其提供所需的准确响应时间。同时，只向其他网络发送被请求的信息，从而优化网络带宽。除此之外，DeviceNetTM的多回路特性和安全控制器也对确保性能提供了帮助。
因此，OEM厂商可以设计单独的设备和他们自己的独立子网，保证每台设备的安全回路都可以进行访问，而不会受到其他机器的消极影响。从OEM厂商的立场来看，需要确保性能并对其负责。

对于集成，IEC 61508要求使用下列两种方法之一：具有安全控制和标准控制功能的物理分离，或者逻辑分离。DeviceNet安全协议对这两种方法都支持，但是如果想要达到最佳效果，需要进行逻辑分离。

逻辑分离确保了操作的安全，并能够比使用物理分离更有机会提高生产效率。一个单独的控制器平台可以用于强制进行逻辑分离，它将简化安全系统的配置，并将减少培训。同时，它所需的系统维护专业知识更少，从而增强了整个系统的安全性。

DeviceNet TM安全协议所提供的附加灵活性提高了系统配置、测试和调试的速度，降低了整体拥有成本。DeviceNetTM的用户已经体验到了许多好处，这些好处包括：减少最多80%的硬接线，将安装所需的时间从几天锐减到几个小时，显著减少了启动阶段所需的故障诊断。同时，设备、车间采用非常有用的诊断功能将使得生产效率大幅提高。

集成标准控制器和安全控制器的功能

罗克韦尔自动化Allen-Bradley? 新推出的GuardLogixTM控制器在标准ControlLogix?处理器上增加了安全功能，从而达到安全完整性等级（SIL）3/Cat 4安全控制。由于采用了双处理器架构（1oo2），它使用了一个安全主处理器和一个安全从处理器，从而在一个平台上实现安全控制和标准控制的集成。

与其他罗克韦尔自动化控制器一样，采用相同的Logix控制引擎、网络和输入/输出（I/O）模块，GuardLogix提供了更快的执行速度、更高生产效率和更简单的功能，用于满足当今先进安全控制的要求。

GuardLogix采用RSLogixTM 5000编程软件，与所有Logix可编程自动化控制器（PAC）采用的开发工具是相同的。现有的Logix用户如果已经非常了解其系统，那么可以减少培训的费用，使得编程和调试更加快捷。新用户将体会到基于标签寻址方式的灵活性优点，该系统允许编程人员使用实际名称而不是物理地址。

在GuardLogix系统的开发阶段，对于安全控制的管理与标准控制是相同的。并且，由于可以在线编辑，对于用户来说，开发和调试环境变得更加简单。一旦功能经过测试，并已经准备好进行最后的确认，用户可以把安全任务设置为SIL 3。这是由GuardLogix控制器随后来强制完成的。安全内存被锁定在SIL 3状态，逻辑将受到保护，但是GuardLogix 的标准控制部分将继续运行，如同常规Logix控制器一样。

安全内存可以通过标准逻辑和外部设备，如人机界面和其他控制器来读取。用户不需要在一个复杂的安全设备上安装或者调整安全数据，因此节省了时间。

GuardLogix控制器发挥了通用工业协议(CIP) SafetyTM的优势。在DeviceNetTM上是为了安全I/O的连接性，而在EtherNet/IPTM上是为了GuardLogix处理器之间的安全互锁。这样就使多个不同单元/区域的GuardLogix 控制器共享安全互锁数据。