2. 功能安全基础

在FSoE安全从站集成工程中，功能安全不是“把普通通信加上CRC”这么简单，而是一套从风险分析到验证确认的完整工程体系。理解功能安全的基本概念、安全完整性等级（SIL）、安全生命周期以及IEC 61508与IEC 61784-3等标准之间的关系，是后续配置FSoE从站、计算响应时间、设计安全功能的前提。

一、功能安全的核心概念

功能安全（Functional Safety）指通过自动保护系统使被控设备或过程进入安全状态，从而避免或降低危险事件发生的风险。其核心逻辑是：风险 = 危险事件发生概率 × 后果严重度。功能安全的目标不是消除所有风险，而是把风险降低到可接受水平。

几个必须区分的术语：

• 安全功能（Safety Function）：针对特定危险提出的、由安全相关系统执行的功能，例如“当光幕被遮挡时，在100 ms内切断驱动器STO”。
• 安全相关系统（SRECS/安全控制系统）：执行安全功能的系统，包括传感器、逻辑单元、执行器以及通信通道。
• 安全状态（Safe State）：设备或过程处于不会造成不可接受风险的状态，如驱动器转矩关闭、阀门失电关闭。
• 危险失效与安全失效：危险失效会导致安全功能丧失；安全失效则使系统进入安全状态或可被检测到，不会直接造成危险。
• 诊断覆盖率（DC）：系统自动检测危险失效的能力比例，直接影响SIL可达等级。
• 硬件故障裕度（HFT）：系统在发生一个或多个故障后仍能执行安全功能的容错能力。

二、安全完整性等级SIL

SIL（Safety Integrity Level）是衡量安全功能可靠性的离散等级，IEC 61508定义SIL 1～SIL 4。等级越高，要求危险失效概率越低。对于低要求模式，用PFDavg衡量；对于高要求模式或连续模式，用PFH衡量。

在FSoE工程中，安全从站通常需要支持SIL 3。SIL 3不仅要求通信协议具备高完整性，还要求从站硬件具备足够的诊断覆盖率与故障裕度。例如，一个双通道输入模块，若两个通道独立采集且交叉比较，可显著提高DC并满足SIL 3对HFT的要求。

三、安全生命周期

安全生命周期（Safety Lifecycle）是IEC 61508提出的全流程管理框架，确保安全功能从概念到退役始终受控。主要阶段包括：

1. 概念与范围定义：确定被控对象、边界、法规要求。
2. 危险与风险分析：通过HAZOP、FMEA、风险图等方法识别危险，确定所需SIL。
3. 安全需求规格：编写SRS，明确安全功能、响应时间、SIL、安全状态。
4. 系统设计与实现：包括硬件选型、软件设计、FSoE通信配置。
5. 安装与调试：验证接线、地址、参数、FSoE连接。
6. 安全验证与确认：功能测试、故障注入、响应时间测量。
7. 运行与维护：定期 proof test、诊断记录、变更管理。
8. 退役与变更：安全评估后停用或改造。

四、标准体系与FSoE定位

功能安全标准呈层级结构：

• IEC 61508：功能安全基础标准，定义SIL、安全生命周期、硬件/软件要求。
• IEC 61511：过程工业领域应用，面向SIS。
• IEC 62061 / ISO 13849：机械领域安全控制，分别对应SIL和PL。
• IEC 61784-3：工业通信网络功能安全通信行规，定义FSoE、PROFIsafe、CIP Safety等。
• IEC 61158 / IEC 61784-2：EtherCAT通信基础。

FSoE（Fail-Safe over EtherCAT）位于IEC 61784-3框架下，属于“安全通信层”。它不依赖EtherCAT本身安全，而是通过安全数据封装、CRC、序列号、看门狗、连接ID等机制，在黑色通道上实现SIL 3安全通信。

五、案例与常见误区

案例：某包装线要求安全门打开后100 ms内停止运动，风险分析确定需SIL 2。工程师选用支持FSoE的伺服驱动器，配置安全输入为双通道，FSoE看门狗设为50 ms。验证时发现：安全门信号经普通PLC采集后再通过FSoE转发，额外引入80 ms延迟，总响应时间达到130 ms，不满足SRS。整改方案：将安全门信号直接接入FSoE安全输入模块，缩短链路，最终响应时间降至65 ms。

掌握这些基础后，后续配置FSoE从站时，才能正确理解安全参数、诊断信息和验证要求，把“通信正常”提升为“安全功能可信”。