2. PCS 7安全系统架构
PCS 7的SIS集成方案以S7-400FH/FH系统为核心。理解这套架构，关键不是记住型号清单，而是看清一条安全信号从现场到执行机构所经过的硬件、冗余路径与通信协议，以及每一层如何保证“故障时导向安全”。
一、硬件组成：从机架到安全模块
S7-400FH是标准S7-400的故障安全版本，其硬件基础仍是S7-400系列机架与电源，但CPU必须选用FH型，例如CPU 414-5H、CPU 417-5H。FH CPU内部运行两套独立的程序执行环境，通过硬件比较器持续比对结果，这是容错机制的核心。机架通常采用UR2-H或UR2机架，用于安装两套冗余的CPU、电源和通信模块。
安全相关模块分为数字量输入/输出和模拟量输入/输出两类，典型型号如SM 326 F-DI、SM 326 F-DO、SM 336 F-AI。这些模块与普通I/O模块的本质区别在于：它们内部带有安全逻辑处理单元，可对输入信号进行1oo2或2oo3表决，对输出进行周期性测试与回读校验。模块通过背板总线与FH CPU交换数据，同时将诊断信息上传至PCS 7的维护站。
现场侧，安全信号通常来自急停按钮、安全栅、火焰探测器、液位开关等，经安全模块采集后进入FH系统。执行侧则通过安全输出模块驱动电磁阀、继电器或安全切断阀。整个硬件链路上，任何单点故障都不应导致安全功能失效。
二、冗余与容错：不是简单双份
S7-400FH的冗余是“热备”而非“冷备”。两套CPU同时运行、同时处理、同时输出，主CPU与备用CPU通过同步光纤链路保持数据一致。当主CPU故障时，备用CPU在毫秒级内接管，过程不中断。这种机制称为“无扰动切换”。
容错则体现在I/O层。以1oo2表决为例，两个传感器信号同时进入安全模块，模块内部比较两者：若一致，则输出有效；若不一致，则进入安全状态并报警。对于2oo3表决，三个信号中任意两个一致即认为有效，既提高了可用性，又保证了安全性。实际工程中，表决逻辑由安全模块或FH CPU中的F程序实现，需在安全程序中明确配置。
需要区分“冗余”与“容错”：冗余是物理上的双份配置，容错是系统在故障后仍能维持功能的能力。S7-400FH同时具备两者，但冗余并不自动等于容错，必须配合正确的表决逻辑和诊断机制。
三、安全通信协议：PROFIsafe
FH系统与分布式I/O之间的安全通信依赖PROFIsafe协议。它运行在标准PROFIBUS DP或PROFINET之上，通过附加的安全层实现故障安全数据传输。PROFIsafe报文包含安全校验码、时间戳和序列号，接收方据此判断数据是否被篡改、延迟或丢失。
PROFIsafe的关键参数包括F监视时间、F地址和F参数。F监视时间决定通信超时后系统进入安全状态的时间，通常设置为通信周期的数倍。F地址用于区分不同安全设备，必须在硬件组态中唯一分配。F参数则定义表决方式、测试脉冲等行为。这些参数在PCS 7的硬件配置中通过F模块的属性页设置，并下载到CPU和I/O模块。
实际组态时，安全程序使用F-FBD或F-LAD编写，编译后生成F签名。任何安全相关修改都会改变签名，必须重新验证并记录。这是SIS集成中不可省略的合规步骤。
四、系统拓扑与网络组态
典型拓扑为：上层为PCS 7 OS站和工程师站，通过工业以太网连接；中间为S7-400FH控制器，通过PROFIBUS DP或PROFINET连接分布式I/O；下层为安全I/O模块和现场设备。若采用PROFINET，安全通信仍由PROFIsafe承载，但网络冗余可通过MRP或PRP实现。
网络组态中，安全相关设备必须与非安全设备逻辑隔离或通过安全网关隔离。FH CPU的同步光纤链路独立于过程网络，避免网络故障影响CPU同步。分布式I/O站通常采用冗余电源和冗余DP链路，确保单条链路断开时通信不中断。
图中展示了从OS/ES层到现场设备的完整信号链。安全信号从现场输入设备进入F-DI模块，经PROFIsafe上传至FH CPU，在F程序中执行表决与联锁逻辑，再通过F-DO模块驱动执行机构。同步光纤独立于过程网络，保证两套CPU数据一致。安全网关用于隔离非安全网络，防止外部访问影响SIS。
五、组态要点与常见问题
在PCS 7中组态FH系统时，首先在硬件配置中插入UR2-H机架和两个FH CPU，设置同步光纤参数。然后添加ET 200M站和F模块，为每个F模块分配唯一的F地址，并设置F监视时间。F监视时间过短会导致误触发安全状态，过长则降低响应速度，通常取通信周期的3～5倍。
安全程序编译后，必须检查F签名是否变化。若签名变化，需重新进行安全验证并更新安全手册。常见问题包括：F地址重复导致通信失败、F监视时间设置不当引起频繁切换、表决逻辑配置错误导致安全功能降级。排查时可通过CPU的诊断缓冲区查看F模块的故障代码，结合PCS 7的维护站定位具体通道。
整体来看，S7-400FH/FH系统的安全架构是硬件冗余、软件表决与安全通信三者的结合。理解每一层的职责与交互，才能在PCS 7中正确组态并维护一套可靠的SIS集成方案。