【白皮書(shū)】工業(yè)設(shè)備的功能安全（上）

一

概要

近年來(lái)，“功能安全”正在成為工業(yè)設(shè)備領(lǐng)域中實(shí)現(xiàn)系統(tǒng)安全性的可靠方法。除了向來(lái)重視安全的汽車(chē)領(lǐng)域之外，在工業(yè)設(shè)備領(lǐng)域，也會(huì)因?yàn)闄C(jī)器故障和事故的發(fā)生以及人身傷害事件對(duì)工廠運(yùn)轉(zhuǎn)造成影響或引起社會(huì)關(guān)注，而且還導(dǎo)致了經(jīng)濟(jì)損失。為了避免這些情況，“功能安全”的重要性與日俱增。在通過(guò)人與機(jī)器人協(xié)同作業(yè)來(lái)提高作業(yè)效率的進(jìn)程中，設(shè)備安全性越發(fā)受到關(guān)注。因此，越來(lái)越多的設(shè)備制造商以滿足社會(huì)與用戶的要求和提高商品競(jìng)爭(zhēng)力為目的，開(kāi)始研究功能安全設(shè)備。

在本文章中，我們將對(duì)功能安全的定義和必要性，實(shí)際系統(tǒng)結(jié)構(gòu)，開(kāi)發(fā)中存在的課題以及瑞薩為解決這些課題而提供的功能安全解決方案進(jìn)行說(shuō)明。

二

什么是功能安全

功能安全的目的是，通過(guò)“功能”把因裝置誤動(dòng)作，誤操作而造成的人身傷害，財(cái)產(chǎn)損害或社會(huì)危害等風(fēng)險(xiǎn)控制在容許限度以?xún)?nèi)。

下面將以在機(jī)器人等電機(jī)控制裝置中為避免出現(xiàn)危險(xiǎn)狀況而使電機(jī)停止工作的情況為例，進(jìn)行具體說(shuō)明。

圖1是以通過(guò)MCU控制電機(jī)旋轉(zhuǎn)的系統(tǒng)作為采取功能安全措施的例子。為了實(shí)現(xiàn)功能安全，首先要分析與裝置相關(guān)的風(fēng)險(xiǎn)，并研究相應(yīng)的措施。這被稱(chēng)為風(fēng)險(xiǎn)評(píng)估，而功能安全的裝置（安全裝置）能夠通過(guò)電子電路等，實(shí)現(xiàn)以風(fēng)險(xiǎn)評(píng)估結(jié)果為基礎(chǔ)制定的安全措施。在這里，功能安全與傳統(tǒng)安全裝置之間存在很大差異，即“安全裝置”需要根據(jù)IEC61508等國(guó)際標(biāo)準(zhǔn)進(jìn)行標(biāo)準(zhǔn)化，使“安全裝置”規(guī)格的合理性能夠通過(guò)客觀，定量的方法來(lái)實(shí)現(xiàn)。

圖1 功能安全的電機(jī)驅(qū)動(dòng)裝置結(jié)構(gòu)示例

功能安全規(guī)格的要求事項(xiàng)有許多，如通過(guò)分析因安全裝置故障造成的誤動(dòng)作的影響，設(shè)計(jì)基于診斷功能的，在安全裝置故障時(shí)也能引導(dǎo)至安全狀態(tài)的措施；通過(guò)做出設(shè)計(jì)方法和設(shè)計(jì)流程的相關(guān)規(guī)定，避免因軟硬件設(shè)計(jì)缺陷等原因?qū)е碌恼`動(dòng)作等。通過(guò)這些要求事項(xiàng)，便可更加客觀地判斷其安全規(guī)格以及作為安全裝置的動(dòng)作準(zhǔn)確性（可靠性）。另外，此類(lèi)FA系統(tǒng)還要求采用類(lèi)似圖1所示的雙配置MCU結(jié)構(gòu)，在系統(tǒng)結(jié)構(gòu)上實(shí)現(xiàn)即使一個(gè)MCU在動(dòng)作期間出現(xiàn)故障等動(dòng)作不良，也能通過(guò)正常動(dòng)作的另一個(gè)MCU執(zhí)行可靠的安全動(dòng)作。

三

工業(yè)領(lǐng)域功能安全系統(tǒng)的具體示例

下面將用FA系統(tǒng)來(lái)說(shuō)明實(shí)際應(yīng)用中的功能安全系統(tǒng)結(jié)構(gòu)示例。

圖2是功能安全相關(guān)系統(tǒng)結(jié)構(gòu)示例。該FA系統(tǒng)由以下部分構(gòu)成：檢測(cè)是否有人進(jìn)入危險(xiǎn)區(qū)域的安全傳感器等輸入設(shè)備，由整體控制安全系統(tǒng)的安全PLC等構(gòu)成的控制設(shè)備，驅(qū)動(dòng)具體設(shè)備的驅(qū)動(dòng)設(shè)備以及連接以上設(shè)備的網(wǎng)絡(luò)。其內(nèi)部結(jié)構(gòu)如圖2下半部分所示，是由2個(gè)MCU構(gòu)成的雙配置MCU結(jié)構(gòu)。采用這種機(jī)構(gòu)的目的是，即使在安全功能的某處發(fā)生故障，也能通過(guò)正常動(dòng)作的MCU準(zhǔn)確執(zhí)行用于避免危險(xiǎn)的動(dòng)作，從而使設(shè)備能夠可靠地執(zhí)行安全動(dòng)作。

圖2 FA系統(tǒng)的結(jié)構(gòu)示例

接下來(lái)將說(shuō)明構(gòu)成該FA系統(tǒng)的各類(lèi)設(shè)備，即安全驅(qū)動(dòng)設(shè)備，安全I(xiàn)O設(shè)備以及安全網(wǎng)絡(luò)設(shè)備。

安全驅(qū)動(dòng)設(shè)備

驅(qū)動(dòng)設(shè)備的基本安全規(guī)格是通過(guò)監(jiān)控電機(jī)是否安全受控來(lái)實(shí)現(xiàn)的。在開(kāi)頭的圖1中也已經(jīng)對(duì)它的結(jié)構(gòu)作了說(shuō)明，一般采用在使電機(jī)旋轉(zhuǎn)的機(jī)構(gòu)外側(cè)加裝監(jiān)控單元的結(jié)構(gòu)，用于監(jiān)控電機(jī)安全動(dòng)作。該監(jiān)控單元通過(guò)雙配置SafetyMCU監(jiān)控電機(jī)轉(zhuǎn)速以及用于在緊急等時(shí)候緊急停止裝置的緊急停止信號(hào)，并在這些狀態(tài)被判斷為危險(xiǎn)狀態(tài)時(shí)，執(zhí)行向電機(jī)控制端發(fā)送電機(jī)停止信號(hào)的動(dòng)作。設(shè)計(jì)這些動(dòng)作時(shí)采用了雙配置結(jié)構(gòu)，因此即使監(jiān)控單元內(nèi)發(fā)生故障，也可以通過(guò)其中一個(gè)正常動(dòng)作的SafetyMCU轉(zhuǎn)移到安全動(dòng)作。此外，根據(jù)FA系統(tǒng)的用途，有多種電機(jī)的監(jiān)控方法和停止方法，其規(guī)格已在電機(jī)驅(qū)動(dòng)設(shè)備的安全標(biāo)準(zhǔn)IEC61800-5-2中定義。

安全遠(yuǎn)程I/O設(shè)備

安全遠(yuǎn)程I/O設(shè)備是傳輸信號(hào)的設(shè)備，這些信號(hào)包括根據(jù)安全傳感器等的輸入信號(hào)向需要緊急停止的設(shè)備輸出的信號(hào)等。它的內(nèi)部結(jié)構(gòu)是雙配置MCU結(jié)構(gòu)，即使安全裝置發(fā)生故障，也能可靠地執(zhí)行安全動(dòng)作。此外，通過(guò)用雙SafetyMCU執(zhí)行用于安全控制程序，也能以同樣結(jié)構(gòu)實(shí)現(xiàn)安全PLC（主要是低端型）。

安全網(wǎng)絡(luò)設(shè)備

安全網(wǎng)絡(luò)設(shè)備是可以通過(guò)工業(yè)網(wǎng)絡(luò)實(shí)現(xiàn)安全數(shù)據(jù)通信的設(shè)備。這里也采用了2個(gè)SafetyMCU，除了安全I(xiàn)O處理，還能根據(jù)安全網(wǎng)絡(luò)標(biāo)準(zhǔn)進(jìn)行通信安全數(shù)據(jù)處理。右側(cè)的網(wǎng)絡(luò)設(shè)備被稱(chēng)為“黑色通道（Black Channel）”，是非安全處理的一部分。黑色通道意味著不安全，不過(guò)安全網(wǎng)絡(luò)中的標(biāo)準(zhǔn)化安全協(xié)議有方法確認(rèn)從黑色通道接收的數(shù)據(jù)是否被正確傳送，即通過(guò)用2個(gè)SafetyMCU進(jìn)行確認(rèn)來(lái)實(shí)現(xiàn)。

未完待續(xù)