安全總線協議PROFIsafe在汽車廠總裝車間的應用

北京奔馳-戴姆勒柯萊斯勒有限公司是北京北汽集團與奔馳-戴姆勒柯萊斯勒的合資企業，于05年10月開始在北京亦莊新建汽車生產廠，本地化生產奔馳E200、E280系列和戴姆勒柯萊斯勒300C系列車型。新建廠由兩個廠區組成，一邊是生產奔馳車的焊裝和總裝車間，另一邊是生產300C的焊裝和總裝車間。兩個車間共用一個噴涂車間，這次建廠并沒有新建沖壓車間。整個項目控制系統的實施完全依照IntegraBBDC V1.02標準（奔馳和Siemens合訂汽車廠控制系統標準）和北京奔馳-戴姆勒柯萊斯勒汽車有限公司企業標準。

根據300C整車生產工藝，控制系統機構如圖1。設備層面控制系統采用總線方式，集中控制各生產車間生產線，各生產控制系統上層通過TCP/IP通訊協議和廠級計算機系統相接入的接口。現場總線采用SIEMENS公司PROFIBUS總線，相關總線I/O擴展元件以此為基礎搭建。通常情況下工廠的控制系統可以分為五層：傳感器/執行器層、現場總線層、控制層、 區域管理層、生產管理層。

圖1. 生產車間控制系統簡圖

在控制層采用了Siemens控制系統 CPU416F-2作系統主站，采用WinCC開發了中控室人機界面；而現場總線層采用了如下PROFIBUS從站：ET200S和ET200ECO作分布式I/O，MasterDrive作工藝線和升降機的驅動裝置，ET200FC變頻器作滾床、推車機等設備的驅動設備，PP17作操作面板，TP270作現場HMI；傳感器層采用了Siemens大量接近開關。安全系統方面采用了Siemens的PROFIsafe安全總線協議、分布式安全模塊4/8F-DI和4F-DO、光幕、急停按鈕和門開關等產品。

本文針對PROFIsafe在300C總裝車間的應用，描述了PROFIsafe實現安全機制的機理，結合PROFIsafe的實際工程應用，探討了應用方法和使用效果。

在汽車生產廠，尤其是在自動化程度較高的焊裝車間和總裝車間，大量的焊接機器人和裝配機械手的出現，造成了許多需要安全保護的危險區域，所以安全傳感器，如區域保護掃描器、安全光幕、安全鎖、安全地毯、急停開關等的使用已經非常普遍，但現在連接這些安全設備的控制系統仍停留在“安全繼電器”或“安全PLC”的非總線控制系統的低級控制狀態，大大限制了生產過程控制系統的發展。但如果將這些安全設備連接到非安全的現場總線系統（如標準的Profibus）上去，就會存在比較大的安全隱患，是一種非安全的控制狀態。北京奔馳-戴克有限公司300C項目的總裝車間采用PROFIBUS作為現場控制網絡，同時采用PROFIsafe為安全通信協議，實現了控制網絡和安全網絡的完美集成，簡化了控制網絡結構，節省了安裝成本和工程施工時間，使系統具有了可靠的安全保護裝置，為安全、穩定生產提供保障。

隨著現場總線技術的發展和廣泛應用，故障安全通信技術近年也得到了飛速發展，安全總線系統的應用使得工業控制系統更具安全性和可用性，同時提高了系統靈活性，有效節約了布線和工程施工的成本。

與SafetyBus p這種獨立的安全網絡和獨立的安全PLC想比，Siemens推出的安全通信協議PROFIsafe將安全設備和標準設備的數據流完全整合在以PROFIBUS為平臺的總線系統中，使標準設備和安全設備能同時共用一條通信鏈路。從1999年PROFIsafe引入以來，TUV已經認證了其在PROFIBUS上運用的安全性，達到了IEC61508中SIL3的等級，最近它還獲得了PROFInet上使用安全性的認證。開放架構的PROFIsafe使得選擇其他廠商的產品成為可能。目前有大量的廠商都提供支持PROFIsafe的設備，如Banner，Beckhoff，Sick，Turck和Wago等。

與傳統安全系統相比PROFIsafe具有如下優點：

（1）安全通信和標準通信在同一根電纜上共存；

（2）PROFIsafe-故障安全性建立在單信道通信系統之上，安全通信不通過冗余電纜來達到目的；

（3）標準通信部件，如電纜、專用芯片、DP-棧軟件等等，無任何變化；

（4）故障安全措施封閉在終端模塊中(F-Master，F-Slave) ，采用專利SIL監視器獲得極高的安全性；

（5）最高故障安全完整性等級為SIL3(IEC61508)；

（6）既可用于低能耗(Ex-i)的過程自動化，又可用于反應迅速的制造業自動化；

PROFIsafe使標準現場總線技術和故障安全技術合為一個系統，即故障安全通信和標準通信在同一根電纜上共存，安全通信不通過冗余電纜來實現。這不僅在布線上和品種多樣性方面可以節約成本，而且也方便日后系統的改造。圖2所示，標準控制器、I/O和安全控制器、F-I/O共用一條總線，通過F-網關可連接到其他安全總線系統。采用PROFIsafe既可使用單總線結構也可根據要求采用標準總線和安全總線分開的結構。

圖3為PROFIsafe的ISO/OSI簡化模型，PROFIBUS在ISO/OSI模型中使用了1、2和7層，相對安全層來說，它是一個黑色通道（Black Channel）；PROFIsafe為置于第7層之上的安全層(Safety-Layer)，其僅負責有效數據的安全傳送，而有效數據的準備和提供則是由依照故障安全技術要求設計的固件來完成。

圖2.標準通信和安全通信同在一個網絡內

圖4為PROFIsafe通信的簡單報文結構，從這里可以看出，安全通信的報文與標準通信報文是同時在PROFIBUS網絡上進行通信的。而且根據制造業和過程工業不同的要求，有兩種有效數據長度。

PROFIsafe采用PROFIBUS標準機制的主從輪詢通信方式使F-CPU和F-Slave交換信息，這樣在主站與從站之間存在著1：1的關系，輪詢操作(Polling)能夠立即察覺一旦出現故障的某個設備，這正是故障安全技術的基本原則。為了避免網絡傳輸錯誤，PROFIsafe采用了故障安全按位編號，帶應答的時間監控，用密碼標識發送器和接收器，增設16/32位循環冗余校驗(CRC)等措施以保證數據的安全。此外，PROFIsafe還采用了SIL-Monitor專利技術，SIL監視器本身不是硬件，而是可實現PROFIsafe-驅動器軟件的一部分。借助SIL-Monitor，F-系統能夠在故障率超過一定限度之前即采取有效的安全保護措施，從而避免系統中出現險情。

圖3. PROFIsafe的ISO/OSI模型

圖4. 標準通信中的PROFIsafe報文

PROFIsafe的發展拓寬了PROFIBUS在工廠自動化和過程自動化領域的應用范圍。本文通過探討PROFIsafe的通信原理及其在汽車廠的實際應用，展現了PROFIsafe的實用性和優越性。

現場總線技術的發展，改變了汽車廠控制系統的控制結構，近年新上項目均采用了以現場總線和分布式I/O為主的控制結構。開放式現場總線技術的使用，不僅能使不同供貨商的設備共存于一個總線系統中，而且還能簡化布線，加快信息在數字網絡上的傳播。但際上，標準的現場總線系統還不能算是一個完美的總線系統，尤其在“安全控制”方面存在著很大的漏洞。PROFIsafe安全通信協議是PROFIBUS網絡在安全領域的擴展，PROFIsafe的引入使PROFIBUS更具完整性。

300C項目總裝車間按工藝分由三部分構成：漆后緩沖區、門線、內飾/底盤線。漆后緩沖區實現了總裝車間和噴涂車間的接口，從噴涂車間接收到噴好漆的車身，然后根據車的不同型號和顏色進行編組，根據管理層的生產任務，按要求將車身移交給總裝的內飾線。內飾線由兩條輸送線組成，全長300米，45個工位，線上按汽車安裝工藝編排工位任務，兩條內飾線間通過快鏈銜接。與內飾線相同，底盤線也有兩條線組成，內飾和底盤間通過快鏈相連，底盤線上要與發動機合裝線和加注機進行信號交接。在底盤線的末端會有升降機將裝配好的車放到尾線上，進行裝門和監測。門線作為總裝的一部分，完成車門的安裝和輸送。

整個總裝車間控制系統建立在PROFIBUS現場總線基礎上，根據工藝劃分由三部分構成，每部分由一個CPU416F-2作為PROFIBUS主站和ET200S分布式I/O組成，不同PROFIBUS網絡間采用DP COUPLER交接信號。本文以內飾/底盤線為例介紹了系統控制結構和PROFIsafe的應用。

圖5. 內飾、底盤線控制網絡

內飾底盤線分慢鏈和快鏈，慢鏈為工藝線，包括2條內飾線、2條底盤線、尾線，全長700多米；快鏈實現了2條內飾線、2條底盤線間的銜接和吊具緩沖功能。控制系統由一個CPU416F-2為主站，20個ET200S、11個ET200ECO、7個MasterDrive和8個PP17和1個TP270等從站組成，通過DP Coupler與緩沖區交接信號。如圖5為內飾底盤線的控制網絡PROFIBUS簡圖，安全模塊分布于各個ET200S從站內，通過IM151HF接口模塊與主站416F-2進行安去通信。現場急停、門開關、限位開關、光幕等安全信號通過安全模塊輸入點連接到控制系統中。這樣整個系統的控制設備和安全設備就通過一條PROFIBUS總線連接起來了。

安全模塊的輸入采用4/8F-DI，輸出采用4F-DO，在電氣硬件設計上安全模塊的本身特性使安全模塊的供電和模塊接線與控制部分相分離，既如果安全模塊和普通模塊電氣設計上相互交叉，安全模塊將報錯。在硬件組態中，也可對安全模塊的屬性進行進一步的設置，例如選擇通道評估類型，兩線傳感器輸出信號的誤差時間，產生誤差后替代值。同時，在軟件設計上，PROFIsafe也采用控制軟件與安全通信軟件相分離的方法，來提高系統的安全等級。軟件設計中所有的安全程序將通過一個屬性為F-CALL的FC塊，完成程序的執行。

本系統安全程序參照Siemens安全程序編寫標準的基礎上，采用奔馳 IntegraBBDC標準程序庫，采集安全模塊的輸入并進行處理，同時通過安全模塊的輸出來控制電機接觸器的分斷。圖6為安全程序基本機構，通過處理輸入點的FC程序塊，對急停、限位開關、光幕等安全輸入信號進行處理，同時將處理過的信號輸出給處理輸出模塊的FC塊，輸出模塊的FC塊直接輸出控制信號給DO點，來控制接觸器動作。圖6中，分別采集了兩個急停的輸入信號給兩個FC塊，把FC塊的輸出相與給到輸出模塊的輸入點上，這樣只要有一個急停被觸發，輸出模塊就會動作。

圖6. 安全程序基本結構

內飾/底盤控制系統的PROFIsafe實現了現場30個急停和30個保護開關及光幕的通信監測，實現了標準控制網絡與安全網絡的良好集成，簡化了控制網絡結構，節省了安裝成本和工程施工時間。本系統于2006年6月開始投入使用，至今運行穩定。當系統正常運行時，維護人員基本不用考慮與安全設備相關的問題，就像安全相關的設備不在這個系統中一樣，但實際上其已經集成在了這個系統中了。由于控制信息和安全信息在一個網絡上進行傳輸，所以操作員可以通過一個人機界面就可以觀察現場的所有部件運行狀況，這無論對生產控制或者避免非安全事件的發生，都能產生更為有效的反應。

在系統的調試階段碰到的問題有兩個：

（1） 連接到PROFIBUS上的TP270不能接收到CPU傳過來的數據

按項目的最初設計，TP270應該與其他分布式I/O和現場控制設備共存于一個PROFIBUS網絡，但調試TP270時，其卻不能得到CPU416F-2的數據。分析原因可能是安全模塊過多，造成網絡負荷過大。解決方案是利用CPU的另一個PROFIBUS接口建立與TP的連接，完成通信。

（2）位于底盤2的加注機給我們的信號有急停，而且其要求急停信號可在兩個回路間切換。實現加注機開或關閉時，急停都能控制輸送線的運行。這里邊存在的問題是，安全模塊限制這樣的回路切換，一旦切換就會報短路故障。解決方法是在安全模塊的硬件屬性設置里邊有一項“Short circuit test”設置，將其默認屬性“cyclic”改成“lock”，這樣這塊模塊就不具備了短路監測功能，當切換時也不會發生短路故障報警。但這樣作同時也降低了系統的安全等級。

圖7.現場控制柜安全模塊從站

PROFIsafe自1999年推出以來，在歐美地區制造業和過程工業都取得了良好的業績。北京奔馳-戴克汽車廠PROFIsafe安全通信協議的應用，實現了安全通信和標準通信的集成，節省了安裝費用，沒有復雜的反饋接線，安全邏輯通過程序來實現，增強了靈活性，實現了系統對故障的實時監測。隨著現場總線在中國的大力發展，安全總線及其帶來的經濟利益將倍受關注，對于面臨全球化的中國企業來說，使自己的生產系統可進行安全等級評價，也增強了企業的競爭力，相信不久的將來，PROFIsafe將在中國取得更大的發展。

1 PNO: PROFIBUS Profile, “PROFIsafe-Profile for Safety Technology”, Version 1.20, October 2002, Order No.3.092

2 System Manual Safety Technology. 5 Edition. Order No. 6ZB5 000-0AA02-0BA1

3 SIMATIC S7 Distributed Safety: feedback for Version 10/2004 A5E00297771

Yang Hong Bo

Siemens A&D OD Beijing 100102

Abstract：In this paper, the principle and characteristic of the PROFIsafe are introduced. In the meanwhile, PROFIsafe application of Beijing Benz Daimler Chrysler assembly factory is described according to the technics and control type.

Keywords：Safety Bus PROFIsafe PROFIBUS Safety module

總裝車間輸送線