3. TIA Portal安全工程环境搭建

在TIA Portal中做安全工程，第一步不是写程序，而是把“安全环境”搭对。所谓安全环境，包含五个相互关联的层面：项目与设备的安全属性、安全程序编辑器的可用性、安全模式（Safety Mode）的设定、访问保护（Access Protection）的权限划分，以及安全编译选项对程序一致性的约束。这五者中任何一项配置不当，都会导致安全程序无法编译、无法下载，或下载后CPU进入安全停机。本节按实际工程顺序展开，并给出可直接参照的配置示例。

一、项目创建与安全设备组态

新建项目后，先添加安全型CPU（如CPU 1516F-3 PN/DP）与安全型分布式I/O（如ET 200SP的F-DI、F-DQ模块）。关键点在于：安全设备必须在设备视图中完成组态，并为其分配F目标地址（F_Dest_Add）与看门狗时间（F_WD_Time）。F目标地址是F设备在安全通信中的唯一标识，同一F系统中不得重复；看门狗时间决定F设备与F主机之间安全报文的最大允许间隔，典型值取100～500 ms，需大于网络最大响应时间并留有余量。

示例参数：CPU的F目标地址设为1，ET 200SP接口模块的F目标地址设为2，F_WD_Time设为150 ms。若现场PROFINET网络负载较重，可放宽至300 ms，但不宜过大，否则故障响应变慢。组态完成后，设备视图中安全设备图标会带有“F”标识，这是判断设备是否被识别为F设备的直观依据。

二、安全程序编辑器与安全模式

安全程序不能写在标准OB1中，必须使用专用的F-OB（如OB123作为主安全程序块，或按功能拆分为多个F-FB/F-FC）。在TIA Portal中，安全程序编辑器通过“安全模式”进行管理：当打开F-OB或F-FB时，编辑器自动进入安全模式，此时可用的指令集被限制为安全指令（如F-AND、F-OR、F-TOF、F-ESTOP等），标准指令不可用。这种限制是强制的，目的是防止在安全程序中误用非安全指令导致诊断失效。

安全模式设置中需要关注两项：一是“安全程序密码”，用于保护F块不被未授权修改；二是“F签名”，每次编译后生成，用于校验安全程序与硬件组态的一致性。若修改了F块或F参数而未重新编译下载，F签名不匹配，CPU会拒绝进入RUN。因此，安全模式不仅是编辑约束，也是版本一致性的管理手段。

三、访问保护与安全编译选项

访问保护分为多个层级：CPU保护级别（如“禁止上传”“读写保护”）、F块保护（安全程序密码）、以及项目文件保护。工程实践中，建议至少设置F块密码，并将CPU保护级别设为“读写保护”，防止现场人员误改安全逻辑。密码应记录在项目文档中，遗失后F块无法恢复。

安全编译选项位于F块的属性中，主要包括：编译时是否生成F签名、是否允许在线修改、以及是否启用“安全程序一致性检查”。建议保持默认的严格模式，即每次下载前必须编译且签名一致。若在调试阶段需要临时在线修改，可启用“允许在线修改”，但调试结束后必须恢复严格模式并重新编译下载，否则安全程序的完整性无法保证。

四、配置示例与结果判断

下面给出一份可直接参照的安全环境配置基线，适用于中小型F系统：

配置完成后，执行一次完整编译。观察编译输出窗口：若显示“编译完成，无错误”，且F块的签名与硬件组态一致，则可下载。下载后CPU应进入RUN，F设备上的“F”指示灯常亮或按诊断规范闪烁。若编译报错，常见原因包括：F目标地址重复、F_WD_Time小于网络响应时间、F块中误用了标准指令、或安全程序密码未设置导致F块无法生成签名。逐项排查后重新编译即可。

最后强调一点：安全环境搭建不是一次性动作。每次修改F块、F参数或硬件组态后，都必须重新编译并检查F签名。只有签名一致、编译无错误，下载才被允许。这套机制虽然增加了操作步骤，但正是它保证了安全程序在生命周期内始终处于受控状态。