1 引言

　　隨著我國工業(yè)制造水平不斷提高，生產(chǎn)工藝日益復(fù)雜，對工業(yè)安全也提出了更高的要求，因此安全技術(shù)及安全相關(guān)系統(tǒng)無疑將扮演越來越重要的角色。近年來，以計算機為基礎(chǔ)的系統(tǒng)已經(jīng)滲透到幾乎所有的工控領(lǐng)域，徹底改變了工廠和工業(yè)過程的控制，而且包含電子、電氣設(shè)備和計算機軟硬件的系統(tǒng)被越來越多地用于安全目的。1998年，國際電工委員會正式發(fā)布了IEC61508，即《電氣/電子/可編程電子安全相關(guān)系統(tǒng)的功能安全》，該標準的發(fā)布實質(zhì)上正式承認了以軟件為基礎(chǔ)的安全相關(guān)系統(tǒng)，并且已經(jīng)成為國際公認的功能安全基礎(chǔ)標準，與之對應(yīng)的我國國家標準GB/T20438也已經(jīng)正式發(fā)布。

　　IEC61508還有一個重要的目標是促進應(yīng)用領(lǐng)域標準的制訂。因此，在IEC61508的基礎(chǔ)上，已經(jīng)制定了一些具體行業(yè)或應(yīng)用領(lǐng)域的功能安全標準。其中，獨立于生產(chǎn)商和產(chǎn)品的性協(xié)會的PLCopen組織，致力于解決控制編程等相關(guān)方面問題，從而支持使用該領(lǐng)域國際標準；旗下6個技術(shù)委員會分別關(guān)注：TC1標準； TC2功能；TC2-TF運動控制；TC3；TC4通訊；TC5安全；TC6XML。其中第5個技術(shù)委員會專注于研究IEC61508和IEC61511等相關(guān)的安全標準，為我們應(yīng)用IEC61131-3標準時，如何使它匹配安全相關(guān)的標準而提出建議。

　　2 安全相關(guān)控制系統(tǒng)簡介

　　根據(jù)IEC標準，安全型系統(tǒng)稱為Safety-Related System。它覆蓋的范圍很廣，適用于所有工控自動化系統(tǒng)，它包含了影響安全的各種因素，如儀表組成的保護系統(tǒng)，工藝設(shè)備的安全措施以及管理和人員的操作和規(guī)章制度等各方面。對于我們平常所說的安全控制系統(tǒng)就是指儀表和控制設(shè)備構(gòu)成的保護系統(tǒng)。

　　安全控制系統(tǒng)主要由現(xiàn)場檢測儀表、控制邏輯單元和現(xiàn)場執(zhí)行裝置和他們之間的連線組成，其中控制邏輯單元是整個控制系統(tǒng)的。這一系統(tǒng)能以符合安全要求的概率，在工藝過程出現(xiàn)預(yù)先規(guī)定的故障情況時，使過程處在安全狀態(tài)。

　　在安全控制系統(tǒng)的設(shè)計中，為了定量的來分析各種生產(chǎn)裝置的安全性，并作為安全控制系統(tǒng)的配置依據(jù)，IEC61508定義了4個安全度等級（ Safety Integrity Level）SIL1-4，同時每個等級包括兩個定量的安全要求，即系統(tǒng)連續(xù)操作每小時故障概率（PFH）和按要求模式執(zhí)行指定功能的故障概率（PFD），參見表1：

表1 安全等級劃分標準

　　安全控制系統(tǒng)的設(shè)計以及系統(tǒng)結(jié)構(gòu)既要滿足工業(yè)過程的安全度要求，又要保證可靠性和可用性，因此，必須對具體的工業(yè)過程進行安全評價。我國目前還沒有具體的安全等級評價和設(shè)計標準，而目前國際上通用的標準有德國的DIN19250、美國的ISA S84.01和IEC61508；權(quán)威的機構(gòu)包括德國的T?V、美國的UL和FM等。

　　安全度等級可以根據(jù)IEC61508提供的風(fēng)險圖（Risk Graph），按照估計發(fā)生危險時的損害程度、人員存在的可能性、防止危險發(fā)生的可能性以及無保護系統(tǒng)時出現(xiàn)危險的可能性這四個參數(shù)來計算故障概率PFD而終確定。按照這一要求，電廠的爐膛安全保護系統(tǒng)的安全度等級一般被定義為SIL3 （IEC61508），此等級相當(dāng)于DIN19250標準的RC6級。

　　對于安全相關(guān)的控制系統(tǒng)來說，一直以來所采用的硬件主要有以下三種形式：

　　1） 繼電器；2） 硬接線固態(tài)電路；3） 可編程電子系統(tǒng)（大多為PLC 系統(tǒng)）。

　　目前，由于采用微處理器技術(shù)的PLC具有高可靠性、高可用性和可維護性，因此在工程實際中得到了廣泛的應(yīng)用。

　　3 總設(shè)計思想

　　3.1 概述。

　　安全方面的實現(xiàn)，可集成到軟件的開發(fā)工具中。這樣的結(jié)合可使得開發(fā)者在剛開始進入開發(fā)周期時，就可將與安全相關(guān)的功能集成到他們的系統(tǒng)中去。

圖1 在一個平臺上合并三個環(huán)境

　　3.2 安全控制系統(tǒng)的基本要求

　　在所有可應(yīng)用的安全標準中，對機械制造商來說，一個安全應(yīng)用程序的通用基本要求如下：

表1 安全等級劃分標準

　　可應(yīng)用的編程語言和語言子集的運用

　　的軟件模塊的運用

　　可應(yīng)用的編程指導(dǎo)方針的運用

　　安全相關(guān)軟件的生命周期中，被認可的降低錯誤的測量手段的運用

　　3.3 提供易用的工業(yè)控制編程環(huán)境

　　對用戶來說，為符合上述高要求所做的努力應(yīng)該盡量減少。要做到這點，可采用標準化的解決方案，使得典型的功能可以輕松實現(xiàn)。功能塊的標準化、軟件工具的支持和集成，使得程序員從一開始就可在他們的應(yīng)用中集成安全部分。

　　1. 安全功能塊的標準化為了幫助開發(fā)者使用安全相關(guān)的功能，他們使用軟件時的舒適度應(yīng)當(dāng)被提高，這樣便更容易去接受這種工作方式。要做到這點，需要標準化安全功能塊。這樣，安全功能能更好地被辨認出來，做出化的安全功能塊的趨勢被降低。所以，便沒有必要進行再培訓(xùn)；另外，也有利于實體更容易、快捷地檢查安全軟件。

　　在較高的層次提供功能塊，使得它們較少地依賴于下層的硬件結(jié)構(gòu)。

　　2. 標準程序的集成一旦功能塊具有了其功能，下一步便要決定如何將安全相關(guān)的程序并入其中。在這一層面上，軟件工具應(yīng)該盡可能地幫助使用者。所以，我們可以定義一種新的布爾變量，它可應(yīng)用于安全相關(guān)環(huán)境中，于是安全相關(guān)和非安全相關(guān)的布爾變量便有了區(qū)別。這使得開發(fā)工具有了可辨別安全程序部分的基礎(chǔ)，引導(dǎo)用戶做出被允許的連接，同時阻止了錯誤的連接。

　　并且，編程語言的功能要減少。另外，使用FBD和LD 圖形，這樣程序部分可以更容易地去寫和檢查。

　　4 安全應(yīng)用程序的模型

　　4.1 控制系統(tǒng)的結(jié)構(gòu)及相關(guān)的安全標準。

　　不同標準開發(fā)階段和運行時間的關(guān)系在“圖4-1-1 框架”中示出。左側(cè)是兩個層次軟件的開發(fā)環(huán)境。

圖2 框架

　　1. 嵌入式軟件、固件或操作系統(tǒng)，必須遵從IEC 61508規(guī)范，尤其是第3部分。該部分可以使用的語言包括C、C++、匯編或其它。這些是完全可變語言（FVL）：是組件提供商用于實現(xiàn)（安全）固件、操作系統(tǒng)或開發(fā)工具的獨立語言，很少用于安全應(yīng)用本身。

　　2. 安全應(yīng)用軟件，如果用C、C++、匯編和其它語言實現(xiàn)的，必須象上面一樣遵守IEC61508規(guī)則，它們?nèi)允腔谕耆勺冋Z言（FVL）。如果做到了精簡編程語言、指令和功能塊，那么機械業(yè)的標準，如IEC62061和ISO13849-1，則必須被用戶在各個的工業(yè)中所遵守。這樣可極大地簡化軟件的開發(fā)和。在這種情況下，它們可被認為是限制可變語言（LVL）。這些語言針對那些開發(fā)自己的安全應(yīng)用功能塊的用戶。典型的語言是梯形圖（LD）和功能塊圖（FBD）。這兒所說的功能塊并不是IEC62061中定義的“子系統(tǒng)要素”，而是IEC61131-3功能塊。功能塊的IEC62061定義不同于IEC61131-3中的定義，就某一方面來說，前者包含硬件，提供安全子系統(tǒng)功能。

　　4.2 安全應(yīng)用程序的結(jié)構(gòu)模型

　　下面的軟件結(jié)構(gòu)模型描述了在機械控制系統(tǒng)中，安全功能塊的一般位置。這個模型盡可能地做到簡化，這樣它便可覆蓋到現(xiàn)有的和將來的安全控制系統(tǒng)。在這個軟件說明中，不應(yīng)該排斥任何的安全控制硬件結(jié)構(gòu)。

圖3 結(jié)構(gòu)模型

　　上面的結(jié)構(gòu)模型與功能應(yīng)用部分和安全應(yīng)用部分不同，它是與兩個層次的軟件環(huán)境相聯(lián)系的。我們要做的是合并這兩個環(huán)境，也就是，功能部分的開發(fā)環(huán)境中集成一個安全部分，包括編程語言和安全部分的功能的精簡。

　　以上兩個應(yīng)用程序部分可以運行在一個設(shè)備上，或者在兩個或更多的、雖然分散卻被接在一起的設(shè)備上。上圖中的虛線表示應(yīng)用程序間的數(shù)據(jù)交換，它可以通過網(wǎng)絡(luò)、連線輸入/輸出或設(shè)備中的存儲器交換來實現(xiàn)。

　　模型的左側(cè)是兩類輸入，右側(cè)是兩類輸出。在中間，兩個環(huán)境是分開來表示的，它們都與各自的輸入輸出相連接。

　　模型的中間表示了功能和安全應(yīng)用程序所允許的數(shù)據(jù)交換。

　　功能應(yīng)用程序有權(quán)讀取安全輸入和全局變量（正如左邊的箭頭所示）在安全應(yīng)用程序中，非安全信號僅能用來控制程序走向，不能被直接連至安全輸出上（正如右箭頭和AND 操作符所示）

　　5 結(jié)語

　　安全控制系統(tǒng)的運行需要底層硬件的支持——硬件采集上來的數(shù)據(jù)本身已有安全信號和標準信號之分；但安全控制系統(tǒng)里的安全應(yīng)用程序的實現(xiàn)則獨立于底層硬件。在工業(yè)控制編程環(huán)境中提供安全數(shù)據(jù)變量和安全功能塊，有利于用戶輕松的將安全性集成到他們的功能應(yīng)用中。