西门子6ES7211-0AA23-0XB0厂家供应
一、引言
长期以来，故障安全通信技术方面的任务只能在第二层采用常规手段或者通过专用总线分散地加以解决。这使得应用于制造业和过程工业自动化的分布式profibus的生存空间受到限制。1998年德国profibus用户组织(pno)以故障安全技术的应用为目标，专门设立了一个工作组，着手制订一种整体的、开放的解决方案。其通信基础是profibus-dp，所依据的主要标准则是iec61508和欧洲标准en954以及en5o159-1/-2等。
1999年，pno在德国汉诺威博览会上公布了在标准profibus上实现主、从站之间故障安全通信的技术规范，其注册商标名为proflsafe(v.1.0)。它通过了德国bia-联邦劳动安全研究所和tv-技术监督联合会的认证。之后，该规范的使用范围扩大，成为连接任何安全控制器所必备的先决条件。随着从站与从站之间故障安全通信(f-slaveto f-slave，profibusdpv2)和以太网通信(profinet)的出台，profisafe的工作进入了第二阶段，即“v.1.20，2002”。以西门子为首的德国25家企业参与了profisafe应用行规的制订和产品开发。
profisafe的问世曾在国际现场总线技术领域中引起了轰动。迄今为止，profibus因其拥有profisafe故障安全技术解决方案始终是唯一能够满足制造业(采用rs485和光纤传输技术)和过程工业自动化(采用“mbp-is”，即曼彻斯特编码一总线供电和本质安全传输技术，原名iec61158-2)故障安全通信要求的现场总线。
二、profisafe的主要特征
profisafe的主要特征归纳如下：
●安全通信和标准通信在同一根电缆上共存；
●profisafe-故障安全性建立在单信道通信系统之上，安全通信不通过冗余电缆来达到目的；
●标准通信部件，如电缆、专用芯片(asics)、dp-栈软件等等，无任何变化；
●故障安全措施封闭在终端模块中(f-master,f-slave)；
●采用专利sil监视器获得极高的安全性；
●高故障安全完整性等级为sil3(iec61508)，相应的德国标准和欧洲标准分别为ak6(dinv19250)、kat.4(en954-1)。sil3：＞10-8…10-7，即在连续工况下每小时故障率；
●profisafe的软件解决方案可以灵活地应用于sil1，2或3的设备及安全控制回路；
●既可用于低能耗(ex-i)的过程自动化，又可用于反应迅速的制造业自动化；
●环境条件同标准profibus(抗电磁干扰等)。
三、通信原理：“black channel”和f-(failsafe)层结构
profisafe使标准现场总线技术和故障安全技术合为一个系统，即故障安全通信和标准通信在同一根电缆上共存。这不仅在布线上和品种多样性方面可以节约一大笔资金，可以日后改建。用户自然可以根据组织方面的理由将安全功能和标准功能分配到两根profibus干线上(图2)。由图1可见，经f-gateway(f-网关)可连接其他安全总线系统。
过程工业自动化要求采用冗余来提高设备的使用率。profisafe则采用单信道通信结构的方法使上述要求的实现非常容易(图5)。单信道故障安全可编程控制器可以达到sil3。这种通信结构原则上也可以执行标准自动化任务，如诊断、参数设置服务器等。
profisafe以标准总线通信部件一电缆、芯片、基本软件包(层栈)、profibus-dp-主站和profibus-dp-从站等为基础，这些均被划入“blackchannel-黑色通道”。它一方面表示在“blackchannel”中可能出现的所有故障均由profisafe查出；另一方面“blackchannel”中没有提高传输安全性的各项功能，它不涉及安全技术的范畴。
profisafe解决方案的iso/osi简化模型4。
众所周知，profibus在iso/osi-模型中仅使用了第1、2和7层。故障安全措施则置于第7层一应用层之上的安全层(safety-layer)。由于该层仅对有效数据的安全传送负责，它需要上层负责准备与提供有效数据，而在一个安全现场设备(例如，安全输入)中是由它的技术固件来施行的。这类固件通常至少有一部分是按照故障安全技术要求设计的。在冗余的硬、软件结构中嵌入profisafe功能也可以达到上述目的。同标准操作一样，过程信号及过程数据出现在相应的有效报文中。在安全操作时，仅对这些报文加以补充(图10、11)。
源于某个模块式从站(一个profibus站点，它可内装若干个带输入/输出通道的故障安全模块)的发送器信号经profibus从站联接点进入f-控制器的两个dp-主站联接点中的一个，从那里经局域总线进入f-控制器，即故障安全cpu。经联接后产生的一个输出信号通过局域总线进入第二dp-主站联接点，入第二根profibus干线。传输速度在dp-pa链接器中降低，使用pa-物理传输技术(mbp-is)-达到31.25kbaud，将信号输送到故障安全pa-从站中。此信号在其通信路径的任何地点均未使用一条冗余通道，也就是说，传输是单通道的。
以上仅对故障安全报文的通信路径作了详细的探讨，至于谁负责发送，何时发送的问题，回答很简单。这里运用了profibus的标准机制，即主-从操作方式。一个主站-通常为一个cpu，循环地同其所有组态的从站交换报文，即在主站与从站之间存在着1：1的关系。这种轮询操作(polling)方式的优点是能够立即察觉一旦出现故障的某个设备，这正是故障安全技术的基本原则之一。
四、故障安全保护措施：附加的crc是关键
在复杂的网络拓扑结构中，发送报文会引发一系列的错误，如报文丢失、重复、添加、顺序错、延迟以及伪数据，等等。在故障安全通信中还会出现寻址错，即一个标准报文错误地出现在一个故障安全站点中，且被当作故障安全报文输出(masquerade)。传输速率的不同还可能对存储器产生不良后果。profisafe采取以下措施来对付传输错误.
●故障安全报文按顺序编号；
●带应答的时间监控；
●用密码标识发送器和接收器；
●增设16/32位循环冗余校验(crc)，以保证数据的安全。
一台接收器根据顺序号可以判断它是否收到按正确顺序排列的全部报文。如果它将有顺序号的“空”报文作为应答送返发送器，则该接收器同样是可信的。从原理上讲，只要在其中设置一个“toggle-bit”也就足够了，但profisafe因其采用总线存储元件(路由器)而选择了一个0…255的计数器，其中“0”为例外。
在故障安全技术中，一个报文仅仅传输正确的过程信号或数值是不够的，重要的是这些数值必须在故障极限时间内送达，才能使现场相关站点自动地作出安全响应。为此，各站点均配备一个时间控制器，它在故障安全报文到达后即刻“复原”。
主站与从站之间1：1的关系易于辨别错误报文。两者均设有网络明确规定的标志(密码)，以此即可核查某报文的真实性。
增设循环冗余校验(crc-cyctic-redundancy-check)对报文错误数据位的识别具有重要作用。有关故障概率的研讨可参阅iec61508，它对所有的故障安全功能均作了详述。根据iec61508，profisafe是以一个或若干个故障安全功能的控制回路为考虑故障概率的出发点).
一个故障安全控制回路包括参与某个安全控制功能的全部、执行器、传输元件和逻辑处理单元。在iec61508中，针对不同的安全级别(safety-integrity-levels)规定了故障总概率。例如，sil3：10-7/h。profisafe在传输过程中仅占其1%，即容许的故障概率为10-9/h。根据iec61508和en50159-1，对于sil3可应用下式计算：
rdp=rhw+remi+rtc＜10-9/h (1)
式中：rhw=hardware_failure
remi=emi_failure
rtc=transmissioncode_failure
由此可以建立与报文长度相关的crc一多项式，以保证未经发现的错误报文残留错误率(residual errorrate)达到所要求的数量级。在profisafe中不使用profibus所依靠的帧-校验-序列(fcs：frame-checking-sequence)和奇偶校验(parity-check)来识别基本错误。基本机制下的故障揭示概率不受附加的profisafecrc-机制的影响。
当位错误率很高时，即当一个报文有许多位受到干扰时，残留错误率难以确定。为避免任何不安全性，profisafe使用了一种称之为sil-监视器的方法)，这种方法已经获得专利权。
crc-安全措施不仅循环地保证过程信号和数据的完整性，也保证在相关从站中存放的参数，如标志(密码)、看门狗(watch-dog)时间等完整性。
五、f-报文结构
以上讨论了profisafe安全传输报文所使用的方法。下面介绍故障安全报文结构，即profisafe在profibus通信上的具体映像。先来观察profibus-dp报文结构。
在dp-帧结构中，data-unit，pb(parity-bit)和fcs是人们关注的焦点。在系统组态/启动阶段，slave(从站)通过gsd-设备基本数据文件将有效数据的格式通报dp-master(主站)。在profisafe中的情况雷同。
f-host和f-slave(f:fail-safe，故障安全)在封闭的条件下彼此交换控制信息和状态信息。当一个f-slave需要增加参数，或者f-host要更改参数时，两者之间就要交换信息。f-slave可将出错报文通知f-host。为进行上述信息交换，profisafe将1byte(状态/控制字节)设在有效数据左边(图10、11)。status/controlbyte各个位所代表的状态见。
另有1byte用于顺序号，该号由某报文的发送器登录(源计数器)，由接收器验证且以应答报文送返发送器。在一次循环操作中，计数器从1计数到255，0是为系统启动而设定的。
如前所述，制造业和过程工业对一个安全系统的要求是不同的。前者必须以极快的速度处理(断路)信号；后者则允许更多的时间处理过程数据。profisafe规定了两种不同的有效数据长度，它们要求采取不同的crc-安全措施。种有效长多为12bytes且有1个2bytes-crc2接于流水号之后；另一种有效长多为122bytes且有1个4bytes-crc2。
剩余报文有效空间可为标准数据所用。当系统设有通往其他安全总线的f-网关时(图1)，这种结构使通信效率提高。
f报文顺序号用于监控发送器的生存期(life)和监控链接接收器的通信区段。借助顺序号和profisafe应答机制可对f-cpu〈-〉f-output之间报文运行时间进行控制。
六、sil-监视器(monitor)的机理及其作用
如前所述，profisafe并不依托于profibus的基本安全机制，而是用附加的crc来识别全部错误，以达到所需求的sil等级。上面提到的一种专利sil-monitor监视器(图14)可以使sil等级在分布式故障安全自动化方案的生命期内保持不变，且不受所用总线部件和组态的影响。
图14中总线故障原因的综合给出一个表征profibus传输系统上受干扰信息的频率fw（一个虚构的值）。故障源来自硬件(hw)、emv/emi(电磁干扰)及其他。当受干扰报文的频率超越规定的界限时，则f-host使安全控制回路进入安全状态。监视器时间周期t(monitortime period)决定于sil等级和crc-长度。
数值是在时间t内多只容许一个受干扰报文存在的情况下计算出来的。由图14可见，profibus的标准安全机制(1.filter)用以识别hd=4的每个位错误；只有hb≥4的位错误(specialbit patterns)进入profisafe安全机制。如果在标准profibusasic中的安全机制出现故障(概率很小)，则受干扰的信息以统计位模式(statistical bitpatterns)进入profisafe安全机制。此种情况下可用下式求出pus(typ)：
式中：pus=max.residual errorprobability(16/32-bit-crc的大残留错误概率，其中误码率-bit error rate为0…0.5)
sil-monitor本身不是硬件，而是可实现profisafe-驱动器软件的一部分。借助sil-monitor，f-系统能够在故障率超过一定限度之前即采取有效的安全保护措施，从而避免系统中出现险情。
profisafe的各项功能可以借助一个专用芯片(asics)或软件来实现。德国的众多企业由于各种原因了软件这条路子。上述“profisafe-驱动器软件”就是由西门子、bürkert、sick、e+h等11家企业共同开发的，凡参加开发的企业都有权获得开发相应设备(f-主站、f-从站)的许可证。
七、f-控制系统对f-从站的支持通过fdt/dtm
智能化f-现场设备要求f-系统为实现以下操作提供支持：设计、调试、迅速更换设备、程控参数设置、“teach-in”、设备诊断和项目数据保存等。
在控制器中，通过dp-v1平台(非循环数据交换)和通信功能元件(符合iec61131-3)来达到相关设备的整合。设备制造厂商的参数化软件与诊断软件被整合到系统制造厂商的工程设计工具中，则是通过fdt/dtm-接口来实现的。所谓fdt/dtm是现场设备智能化管理软件。fdt是profibus标准之一，2000年底由德国pno推出。fdt(fielddevice tool)规范描述设备特定软件(设备类型管理器-device typemanager)和自动化系统工程工具之间的接口，设备管理软件的发展从gsd、profile、eddl直至的fdt/dtm。fdt/dtm是将现场总线技术(profibus、ff，等等)实际应用到过程自动化的基础。fdt/dtm、f-slave(图中为光栅)和f-控制器中代理功能元件(proxyfb)之间的互动关系，说明了f-系统如何支持f-从站。
一个安装在工程工具(et)中的设备制造厂商的参数化软件与诊断软件包(dtm)通过et的通信接口fdt访问现场设备f-slave(本例中为光栅)①。在参数化和调试之后，参数组通过f-控制器中的proxyfb被装进f-控制器中②，并在那里供迅速更换设备使用。为验证数据(i-bbbbbeter)的可信性和完整性，dtm借助et读入proxy-fb中的状态参数，将它们同存在于f-slave中的i-bbbbbeter进行比较。一旦设备被更换，proxyfb能够自动地将i-bbbbbeter装入f-slave中。profisafe还规定proxy-fb能够自动地、周期地执行现场设备的测试程序，以确定该设备的状况是否正常。用这种方式可在适当的时刻更换有隐患的现场设备。
八、结束语
先运用profisafe故障安全通信技术的设备已于2000年由西门子公司推向市场。其中经德国t v认证的西门子自动化系统simatics7-417f/h同et200m的安全i/o模块于同年成功地应用在欧洲现代化的炼油厂——德国海德炼油厂(raffinerieheide)加氢裂化装置中，使该厂不再需要炼油厂中常用的故障安全关机系统。
自2002年以来，又相继出现了一系列profisafe产品，它们展示在2002年、2003年的汉诺威博览会上，并在欧洲的一些工程项目中获得了应用。profisafe的应用可以做到对人、机器和环境的有效保护。它所带来的经济利益倍受人们的关注。
由此看来，profisafe安全通信技术的应用已不再是对未来的憧憬，而是眼前的现实。
笔者相信，在不久的将来，profisafe-它的规范与标准，产品的开发和应用也会在中国开花结果。
1引言
许多测试系统要求在连续运动的能实时进行数据采集。如果测试过程不连续，或者测试位置在前而采集在后，二者之间不能同步，将不可避免地产生误差。为了提高测量精度，运动控制和数据采集必须实现同步。目前，美国ni公司提供的pci总线e系列数据采集卡和运动控制卡都嵌入了rtsi（real-time systemintegration）总线，它可以满足需要jingque同步和实时数据采集处理的测试系统的要求。本文主要介绍如何利用rtsi总线编程实现运动控制和数据采集之间的同步。
2rtsi总线
risi总线是实时系统集成总线，它是一种专用高速数字总线，专门提供ni产品（包括图像采集和数据采集产品）之间的高速互连。rtsi总线包括7根触发线，用于创建ni的测量、图像采集和运动控制设备以及接口板卡之间灵活的同步关系。通过软件设置可将其他触发信号路由到rtsi总线上，也可以将rtsi总线信号路由到其分触发信号线上作为触发时钟，实现l路信号驱动多个设备，达到同步的目的。通过rtsi总线，可用1个公共的触发或定时事件实现几个功能事件同步。rtsi总线的典型应用包括触发图像采集、基于运动事件的数据采集测量、捕获基于外部事件到运动控制器的当前运动位置等。
对于pci总线e系列数据采集卡，有15种信号与rtsi总线相连，包括时基信号、数据采集时钟、d/a输出时钟、板上通用计数器信号、外部pfi（可编程输入）信号等，如图1所示。
3运动控制与数据采集的同步
测试系统中采取的同步方式一般有二种：一种是运动控制卡控制电机运动到某个指定位置，数据采集卡能实时采集该位置上的数据，这种方式称为中断;另一种同步方式是如果电机运动到某个位置时数据采集卡采集到满足某种条件的信号，则需要记录电机当前的运动位置，这种方式称为捕获。本文主要讨论中断同步方式。
3.1 中断方式
中断分为位置中断、相对位置中断及周期性位置中断。位置中断是指当电机运动到某位置时运动控制卡将产生外部中断信号;相对位置中断是指当电机的运动位置相对于允许电机产生中断时的位置之差满足设定的条件时产生中断信号;求模位置中断是指每相对于某个设定的位置都将产生1个中断信号。可以根据测试系统的不同需要决定采取什么样的中断方式。
3.2 同步的原理
当运动控制卡控制电机运动到某个位置时，编码器上返回的位置信号一旦符合设定的位置条件，将发出1个中断信号。该信号可作为数据采集卡采集信号的触发条件，使采集卡能实时采集所需数据。运动控制卡和数据采集卡可以通过rtsi总线实现二者之间的同步。运动控制卡产生的中断信号通过内部电路传送到rtsi输出引脚，目前rtsi输出引脚主要有7个（rtsio-rtsl6）。rpsi输出引脚可通过外部电缆与数据采集卡的rtsi引脚相连。采集卡的rtsi引脚也可以通过内部电路与其控制信号（见图1）相连，从而实现二者之间的同步。
当运动控制卡控制电机运动到某个指定位置时将产生中断信号，该中断输出信号可连接到运动控制卡的rtsi引脚，运动控制卡的rtsi引脚与数据采集卡的rtsi引脚相连。而在采集卡内，rtsi引脚信号作为系统的扫描时钟，与采样时钟信号相连，运动控制卡每产生1个中断信号，数据采集卡便进行1次通道扫描，读取各个上采集的数据。该数据将存放在设置的缓冲区中。而一旦缓冲区中的数据已满，则通过多线程的方式显示到屏幕上。这样就实现了运动控制和数据采集之间的同步。
4编程实现
运动控制与数据采集的同步控制流程如图2所示。
笔者采用labbbbbbbs/cvi软件对rtsl总线、数据采集和运动控制进行编程，其函数库由ni-daq和ni-motion提供。其中ni-motion函数库可以将运动控制与所有应用软件相结合，并可通过数字触发输入或ni运动控制卡上的断点输出，使运动与测量硬件同步运行。rtsi总线则将这些触发与中断信号连接到其他卡上，此总线功能由软件设定。通过“measurement&automationexplorer”（max）设备管理工具，可以配置各设备的硬件属性，为每个设备分配1个设备编号，在编程时作为查找设备的标识。下面是编程所需要的主要函数。
（1）连接中断信号和rtsi总线信号函数
flex_select_signal（boardid,destination,source）,其中boardld为max分配的数据采集卡的id号;destination目的信号,为rtsi某引脚，如nimc_rt-si[0..7];source源信号，为某一中断信号的名称，如nimc_breakpoint[1..4]。
（2）设置运动参数和中断信号模式函数
设置运动速度函数flex_load_velocity（boardld，axisorvectorspace，velocity，bbbbbvector），其中ax-isorvectorspace为选择轴编号或空间坐标;in-putvector参数对脱离主机运行的程序有用，一般设成oxff。
设置加速度/减速度函数flex_load_acceleration（boardid，axisorvectorspace，accelerationtype，accel-eration，bbbbbvector），其中accelerationtype为选择加载的方式，即加速度、减速度还是加载。
设置s-curve时间函数flex_load_velocity（boar-did，axisorvectorspace，scurvetime，bbbbbvector）,其中scurvetime为从0加速到恒定速度或从恒定速度减速到0时的时间，单位为采样时间的整数倍。范围为l～32767。
设置运动模式函数flex_set_op_mode（boardid,axisorvectorspace，operationmode）。
设置运动的目标位置flex_load_target_pos（boardid，axis，targetbbbbbbbb，bbbbbvector）。
设置产生中断的方式函数flex_config-ure_breakpoint（boardid，axisorencoder，enablemode，bbbbbbonbreakpoint，operation），其中bbbbbbonbreak-point为中断时电平的高低，operation为选择单点中断方式或缓冲中断方式，由运动控制卡的信号决定。
（3）设置中断信号产生位置和打开中断函数
设置中断信号产生位置函数flix_load_pos_bp（boardid，axisorencoder，breakpointbbbbbbbb.bbbbbvector），其中breakpointbbbbbbbb为中断位置（即采样点）的起始位置，下一次产生中断的位置为上一次产生中断的位置加上采样间距。打开中断函数flex_enable_breakpoint（）。
（4）启动电机运动函数
启动电机运动函数flex_start（boardid，ax-isorvectorspace，axisorvsmap）,其中axisorvsmap为可选择单轴运动或多轴运动。
（5）检查各种状态函数
检查运动状态，读取运动是否结束函数flex_check_move_complete_status（）。检测中断状态函数flex_read_axis_status_rtn0（）。从通信状态寄存器中读取通信状态函数flex_read_csr_rtn（）。
5结束语
利用rtsi可为各种测控系统应用提供基于硬件的高速同步能力，本文讨论的这种基于rtsi的运动控制和数据采集之间的同步方法采用lab-bbbbbbs/cvi编程实现，可应用到在运动过程中实时采集数据的测控系统中，能获得很好的测量精度。