北京奔馳-戴姆勒柯萊斯勒有限公司是北京北汽集團(tuán)與奔馳-戴姆勒柯萊斯勒的合資企業(yè)，于05年10月開(kāi)始在北京亦莊新建汽車(chē)生產(chǎn)廠，本地化生產(chǎn)奔馳E200、E280系列和戴姆勒柯萊斯勒300C系列車(chē)型。新建廠由兩個(gè)廠區(qū)組成，一邊是生產(chǎn)奔馳車(chē)的焊裝和總裝車(chē)間，另一邊是生產(chǎn)300C的焊裝和總裝車(chē)間。兩個(gè)車(chē)間共用一個(gè)噴涂車(chē)間，這次建廠并沒(méi)有新建沖壓車(chē)間。整個(gè)項(xiàng)目控制系統(tǒng)的實(shí)施完全依照IntegraBBDC V1.02標(biāo)準(zhǔn)（奔馳和Siemens合訂汽車(chē)廠控制系統(tǒng)標(biāo)準(zhǔn)）和北京奔馳-戴姆勒柯萊斯勒汽車(chē)有限公司企業(yè)標(biāo)準(zhǔn)。

根據(jù)300C整車(chē)生產(chǎn)工藝，控制系統(tǒng)機(jī)構(gòu)如圖1。設(shè)備層面控制系統(tǒng)采用總線方式，集中控制各生產(chǎn)車(chē)間生產(chǎn)線，各生產(chǎn)控制系統(tǒng)上層通過(guò)TCP/IP通訊協(xié)議和廠級(jí)計(jì)算機(jī)系統(tǒng)相接入的接口?，F(xiàn)場(chǎng)總線采用SIEMENS公司PROFIBUS總線，相關(guān)總線I/O擴(kuò)展元件以此為基礎(chǔ)搭建。通常情況下工廠的控制系統(tǒng)可以分為五層：傳感器/執(zhí)行器層、現(xiàn)場(chǎng)總線層、控制層、 區(qū)域管理層、生產(chǎn)管理層。

圖1. 生產(chǎn)車(chē)間控制系統(tǒng)簡(jiǎn)圖

在控制層采用了Siemens控制系統(tǒng) CPU416F-2作系統(tǒng)主站，采用WinCC開(kāi)發(fā)了中控室人機(jī)界面；而現(xiàn)場(chǎng)總線層采用了如下PROFIBUS從站：ET200S和ET200ECO作分布式I/O，MasterDrive作工藝線和升降機(jī)的驅(qū)動(dòng)裝置，ET200FC變頻器作滾床、推車(chē)機(jī)等設(shè)備的驅(qū)動(dòng)設(shè)備，PP17作操作面板，TP270作現(xiàn)場(chǎng)HMI；傳感器層采用了Siemens大量接近開(kāi)關(guān)。安全系統(tǒng)方面采用了Siemens的PROFIsafe安全總線協(xié)議、分布式安全模塊4/8F-DI和4F-DO、光幕、急停按鈕和門(mén)開(kāi)關(guān)等產(chǎn)品。

本文針對(duì)PROFIsafe在300C總裝車(chē)間的應(yīng)用，描述了PROFIsafe實(shí)現(xiàn)安全機(jī)制的機(jī)理，結(jié)合PROFIsafe的實(shí)際工程應(yīng)用，探討了應(yīng)用方法和使用效果。

在汽車(chē)生產(chǎn)廠，尤其是在自動(dòng)化程度較高的焊裝車(chē)間和總裝車(chē)間，大量的焊接機(jī)器人和裝配機(jī)械手的出現(xiàn)，造成了許多需要安全保護(hù)的危險(xiǎn)區(qū)域，所以安全傳感器，如區(qū)域保護(hù)掃描器、安全光幕、安全鎖、安全地毯、急停開(kāi)關(guān)等的使用已經(jīng)非常普遍，但現(xiàn)在連接這些安全設(shè)備的控制系統(tǒng)仍停留在“安全繼電器”或“安全PLC”的非總線控制系統(tǒng)的低級(jí)控制狀態(tài)，大大限制了生產(chǎn)過(guò)程控制系統(tǒng)的發(fā)展。但如果將這些安全設(shè)備連接到非安全的現(xiàn)場(chǎng)總線系統(tǒng)（如標(biāo)準(zhǔn)的Profibus）上去，就會(huì)存在比較大的安全隱患，是一種非安全的控制狀態(tài)。北京奔馳-戴克有限公司300C項(xiàng)目的總裝車(chē)間采用PROFIBUS作為現(xiàn)場(chǎng)控制網(wǎng)絡(luò)，同時(shí)采用PROFIsafe為安全通信協(xié)議，實(shí)現(xiàn)了控制網(wǎng)絡(luò)和安全網(wǎng)絡(luò)的完美集成，簡(jiǎn)化了控制網(wǎng)絡(luò)結(jié)構(gòu)，節(jié)省了安裝成本和工程施工時(shí)間，使系統(tǒng)具有了可靠的安全保護(hù)裝置，為安全、穩(wěn)定生產(chǎn)提供保障。

隨著現(xiàn)場(chǎng)總線技術(shù)的發(fā)展和廣泛應(yīng)用，故障安全通信技術(shù)近年也得到了飛速發(fā)展，安全總線系統(tǒng)的應(yīng)用使得工業(yè)控制系統(tǒng)更具安全性和可用性，同時(shí)提高了系統(tǒng)靈活性，有效節(jié)約了布線和工程施工的成本。

與SafetyBus p這種獨(dú)立的安全網(wǎng)絡(luò)和獨(dú)立的安全PLC想比，Siemens推出的安全通信協(xié)議PROFIsafe將安全設(shè)備和標(biāo)準(zhǔn)設(shè)備的數(shù)據(jù)流完全整合在以PROFIBUS為平臺(tái)的總線系統(tǒng)中，使標(biāo)準(zhǔn)設(shè)備和安全設(shè)備能同時(shí)共用一條通信鏈路。從1999年P(guān)ROFIsafe引入以來(lái)，TUV已經(jīng)認(rèn)證了其在PROFIBUS上運(yùn)用的安全性，達(dá)到了IEC61508中SIL3的等級(jí)，最近它還獲得了PROFInet上使用安全性的認(rèn)證。開(kāi)放架構(gòu)的PROFIsafe使得選擇其他廠商的產(chǎn)品成為可能。目前有大量的廠商都提供支持PROFIsafe的設(shè)備，如Banner，Beckhoff，Sick，Turck和Wago等。

與傳統(tǒng)安全系統(tǒng)相比PROFIsafe具有如下優(yōu)點(diǎn)：

（1）安全通信和標(biāo)準(zhǔn)通信在同一根電纜上共存；

（2）PROFIsafe-故障安全性建立在單信道通信系統(tǒng)之上，安全通信不通過(guò)冗余電纜來(lái)達(dá)到目的；

（3）標(biāo)準(zhǔn)通信部件，如電纜、專(zhuān)用芯片、DP-棧軟件等等，無(wú)任何變化；

（4）故障安全措施封閉在終端模塊中(F-Master，F(xiàn)-Slave) ，采用專(zhuān)利SIL監(jiān)視器獲得極高的安全性；

（5）最高故障安全完整性等級(jí)為SIL3(IEC61508)；

（6）既可用于低能耗(Ex-i)的過(guò)程自動(dòng)化，又可用于反應(yīng)迅速的制造業(yè)自動(dòng)化；

PROFIsafe使標(biāo)準(zhǔn)現(xiàn)場(chǎng)總線技術(shù)和故障安全技術(shù)合為一個(gè)系統(tǒng)，即故障安全通信和標(biāo)準(zhǔn)通信在同一根電纜上共存，安全通信不通過(guò)冗余電纜來(lái)實(shí)現(xiàn)。這不僅在布線上和品種多樣性方面可以節(jié)約成本，而且也方便日后系統(tǒng)的改造。圖2所示，標(biāo)準(zhǔn)控制器、I/O和安全控制器、F-I/O共用一條總線，通過(guò)F-網(wǎng)關(guān)可連接到其他安全總線系統(tǒng)。采用PROFIsafe既可使用單總線結(jié)構(gòu)也可根據(jù)要求采用標(biāo)準(zhǔn)總線和安全總線分開(kāi)的結(jié)構(gòu)。

圖3為PROFIsafe的ISO/OSI簡(jiǎn)化模型，PROFIBUS在ISO/OSI模型中使用了1、2和7層，相對(duì)安全層來(lái)說(shuō)，它是一個(gè)黑色通道（Black Channel）；PROFIsafe為置于第7層之上的安全層(Safety-Layer)，其僅負(fù)責(zé)有效數(shù)據(jù)的安全傳送，而有效數(shù)據(jù)的準(zhǔn)備和提供則是由依照故障安全技術(shù)要求設(shè)計(jì)的固件來(lái)完成。

圖2.標(biāo)準(zhǔn)通信和安全通信同在一個(gè)網(wǎng)絡(luò)內(nèi)

圖4為PROFIsafe通信的簡(jiǎn)單報(bào)文結(jié)構(gòu)，從這里可以看出，安全通信的報(bào)文與標(biāo)準(zhǔn)通信報(bào)文是同時(shí)在PROFIBUS網(wǎng)絡(luò)上進(jìn)行通信的。而且根據(jù)制造業(yè)和過(guò)程工業(yè)不同的要求，有兩種有效數(shù)據(jù)長(zhǎng)度。

PROFIsafe采用PROFIBUS標(biāo)準(zhǔn)機(jī)制的主從輪詢(xún)通信方式使F-CPU和F-Slave交換信息，這樣在主站與從站之間存在著1：1的關(guān)系，輪詢(xún)操作(Polling)能夠立即察覺(jué)一旦出現(xiàn)故障的某個(gè)設(shè)備，這正是故障安全技術(shù)的基本原則。為了避免網(wǎng)絡(luò)傳輸錯(cuò)誤，PROFIsafe采用了故障安全按位編號(hào)，帶應(yīng)答的時(shí)間監(jiān)控，用密碼標(biāo)識(shí)發(fā)送器和接收器，增設(shè)16/32位循環(huán)冗余校驗(yàn)(CRC)等措施以保證數(shù)據(jù)的安全。此外，PROFIsafe還采用了SIL-Monitor專(zhuān)利技術(shù)，SIL監(jiān)視器本身不是硬件，而是可實(shí)現(xiàn)PROFIsafe-驅(qū)動(dòng)器軟件的一部分。借助SIL-Monitor，F(xiàn)-系統(tǒng)能夠在故障率超過(guò)一定限度之前即采取有效的安全保護(hù)措施，從而避免系統(tǒng)中出現(xiàn)險(xiǎn)情。

圖3. PROFIsafe的ISO/OSI模型

圖4. 標(biāo)準(zhǔn)通信中的PROFIsafe報(bào)文

PROFIsafe的發(fā)展拓寬了PROFIBUS在工廠自動(dòng)化和過(guò)程自動(dòng)化領(lǐng)域的應(yīng)用范圍。本文通過(guò)探討PROFIsafe的通信原理及其在汽車(chē)廠的實(shí)際應(yīng)用，展現(xiàn)了PROFIsafe的實(shí)用性和優(yōu)越性。

現(xiàn)場(chǎng)總線技術(shù)的發(fā)展，改變了汽車(chē)廠控制系統(tǒng)的控制結(jié)構(gòu)，近年新上項(xiàng)目均采用了以現(xiàn)場(chǎng)總線和分布式I/O為主的控制結(jié)構(gòu)。開(kāi)放式現(xiàn)場(chǎng)總線技術(shù)的使用，不僅能使不同供貨商的設(shè)備共存于一個(gè)總線系統(tǒng)中，而且還能簡(jiǎn)化布線，加快信息在數(shù)字網(wǎng)絡(luò)上的傳播。但際上，標(biāo)準(zhǔn)的現(xiàn)場(chǎng)總線系統(tǒng)還不能算是一個(gè)完美的總線系統(tǒng)，尤其在“安全控制”方面存在著很大的漏洞。PROFIsafe安全通信協(xié)議是PROFIBUS網(wǎng)絡(luò)在安全領(lǐng)域的擴(kuò)展，PROFIsafe的引入使PROFIBUS更具完整性。

300C項(xiàng)目總裝車(chē)間按工藝分由三部分構(gòu)成：漆后緩沖區(qū)、門(mén)線、內(nèi)飾/底盤(pán)線。漆后緩沖區(qū)實(shí)現(xiàn)了總裝車(chē)間和噴涂車(chē)間的接口，從噴涂車(chē)間接收到噴好漆的車(chē)身，然后根據(jù)車(chē)的不同型號(hào)和顏色進(jìn)行編組，根據(jù)管理層的生產(chǎn)任務(wù)，按要求將車(chē)身移交給總裝的內(nèi)飾線。內(nèi)飾線由兩條輸送線組成，全長(zhǎng)300米，45個(gè)工位，線上按汽車(chē)安裝工藝編排工位任務(wù)，兩條內(nèi)飾線間通過(guò)快鏈銜接。與內(nèi)飾線相同，底盤(pán)線也有兩條線組成，內(nèi)飾和底盤(pán)間通過(guò)快鏈相連，底盤(pán)線上要與發(fā)動(dòng)機(jī)合裝線和加注機(jī)進(jìn)行信號(hào)交接。在底盤(pán)線的末端會(huì)有升降機(jī)將裝配好的車(chē)放到尾線上，進(jìn)行裝門(mén)和監(jiān)測(cè)。門(mén)線作為總裝的一部分，完成車(chē)門(mén)的安裝和輸送。

整個(gè)總裝車(chē)間控制系統(tǒng)建立在PROFIBUS現(xiàn)場(chǎng)總線基礎(chǔ)上，根據(jù)工藝劃分由三部分構(gòu)成，每部分由一個(gè)CPU416F-2作為PROFIBUS主站和ET200S分布式I/O組成，不同PROFIBUS網(wǎng)絡(luò)間采用DP COUPLER交接信號(hào)。本文以?xún)?nèi)飾/底盤(pán)線為例介紹了系統(tǒng)控制結(jié)構(gòu)和PROFIsafe的應(yīng)用。

圖5. 內(nèi)飾、底盤(pán)線控制網(wǎng)絡(luò)

內(nèi)飾底盤(pán)線分慢鏈和快鏈，慢鏈為工藝線，包括2條內(nèi)飾線、2條底盤(pán)線、尾線，全長(zhǎng)700多米；快鏈實(shí)現(xiàn)了2條內(nèi)飾線、2條底盤(pán)線間的銜接和吊具緩沖功能?？刂葡到y(tǒng)由一個(gè)CPU416F-2為主站，20個(gè)ET200S、11個(gè)ET200ECO、7個(gè)MasterDrive和8個(gè)PP17和1個(gè)TP270等從站組成，通過(guò)DP Coupler與緩沖區(qū)交接信號(hào)。如圖5為內(nèi)飾底盤(pán)線的控制網(wǎng)絡(luò)PROFIBUS簡(jiǎn)圖，安全模塊分布于各個(gè)ET200S從站內(nèi)，通過(guò)IM151HF接口模塊與主站416F-2進(jìn)行安去通信?，F(xiàn)場(chǎng)急停、門(mén)開(kāi)關(guān)、限位開(kāi)關(guān)、光幕等安全信號(hào)通過(guò)安全模塊輸入點(diǎn)連接到控制系統(tǒng)中。這樣整個(gè)系統(tǒng)的控制設(shè)備和安全設(shè)備就通過(guò)一條PROFIBUS總線連接起來(lái)了。

安全模塊的輸入采用4/8F-DI，輸出采用4F-DO，在電氣硬件設(shè)計(jì)上安全模塊的本身特性使安全模塊的供電和模塊接線與控制部分相分離，既如果安全模塊和普通模塊電氣設(shè)計(jì)上相互交叉，安全模塊將報(bào)錯(cuò)。在硬件組態(tài)中，也可對(duì)安全模塊的屬性進(jìn)行進(jìn)一步的設(shè)置，例如選擇通道評(píng)估類(lèi)型，兩線傳感器輸出信號(hào)的誤差時(shí)間，產(chǎn)生誤差后替代值。同時(shí)，在軟件設(shè)計(jì)上，PROFIsafe也采用控制軟件與安全通信軟件相分離的方法，來(lái)提高系統(tǒng)的安全等級(jí)。軟件設(shè)計(jì)中所有的安全程序?qū)⑼ㄟ^(guò)一個(gè)屬性為F-CALL的FC塊，完成程序的執(zhí)行。

本系統(tǒng)安全程序參照Siemens安全程序編寫(xiě)標(biāo)準(zhǔn)的基礎(chǔ)上，采用奔馳 IntegraBBDC標(biāo)準(zhǔn)程序庫(kù)，采集安全模塊的輸入并進(jìn)行處理，同時(shí)通過(guò)安全模塊的輸出來(lái)控制電機(jī)接觸器的分?jǐn)?。圖6為安全程序基本機(jī)構(gòu)，通過(guò)處理輸入點(diǎn)的FC程序塊，對(duì)急停、限位開(kāi)關(guān)、光幕等安全輸入信號(hào)進(jìn)行處理，同時(shí)將處理過(guò)的信號(hào)輸出給處理輸出模塊的FC塊，輸出模塊的FC塊直接輸出控制信號(hào)給DO點(diǎn)，來(lái)控制接觸器動(dòng)作。圖6中，分別采集了兩個(gè)急停的輸入信號(hào)給兩個(gè)FC塊，把FC塊的輸出相與給到輸出模塊的輸入點(diǎn)上，這樣只要有一個(gè)急停被觸發(fā)，輸出模塊就會(huì)動(dòng)作。

圖6. 安全程序基本結(jié)構(gòu)

內(nèi)飾/底盤(pán)控制系統(tǒng)的PROFIsafe實(shí)現(xiàn)了現(xiàn)場(chǎng)30個(gè)急停和30個(gè)保護(hù)開(kāi)關(guān)及光幕的通信監(jiān)測(cè)，實(shí)現(xiàn)了標(biāo)準(zhǔn)控制網(wǎng)絡(luò)與安全網(wǎng)絡(luò)的良好集成，簡(jiǎn)化了控制網(wǎng)絡(luò)結(jié)構(gòu)，節(jié)省了安裝成本和工程施工時(shí)間。本系統(tǒng)于2006年6月開(kāi)始投入使用，至今運(yùn)行穩(wěn)定。當(dāng)系統(tǒng)正常運(yùn)行時(shí)，維護(hù)人員基本不用考慮與安全設(shè)備相關(guān)的問(wèn)題，就像安全相關(guān)的設(shè)備不在這個(gè)系統(tǒng)中一樣，但實(shí)際上其已經(jīng)集成在了這個(gè)系統(tǒng)中了。由于控制信息和安全信息在一個(gè)網(wǎng)絡(luò)上進(jìn)行傳輸，所以操作員可以通過(guò)一個(gè)人機(jī)界面就可以觀察現(xiàn)場(chǎng)的所有部件運(yùn)行狀況，這無(wú)論對(duì)生產(chǎn)控制或者避免非安全事件的發(fā)生，都能產(chǎn)生更為有效的反應(yīng)。

在系統(tǒng)的調(diào)試階段碰到的問(wèn)題有兩個(gè)：

（1） 連接到PROFIBUS上的TP270不能接收到CPU傳過(guò)來(lái)的數(shù)據(jù)

按項(xiàng)目的最初設(shè)計(jì)，TP270應(yīng)該與其他分布式I/O和現(xiàn)場(chǎng)控制設(shè)備共存于一個(gè)PROFIBUS網(wǎng)絡(luò)，但調(diào)試TP270時(shí)，其卻不能得到CPU416F-2的數(shù)據(jù)。分析原因可能是安全模塊過(guò)多，造成網(wǎng)絡(luò)負(fù)荷過(guò)大。解決方案是利用CPU的另一個(gè)PROFIBUS接口建立與TP的連接，完成通信。

（2）位于底盤(pán)2的加注機(jī)給我們的信號(hào)有急停，而且其要求急停信號(hào)可在兩個(gè)回路間切換。實(shí)現(xiàn)加注機(jī)開(kāi)或關(guān)閉時(shí)，急停都能控制輸送線的運(yùn)行。這里邊存在的問(wèn)題是，安全模塊限制這樣的回路切換，一旦切換就會(huì)報(bào)短路故障。解決方法是在安全模塊的硬件屬性設(shè)置里邊有一項(xiàng)“Short circuit test”設(shè)置，將其默認(rèn)屬性“cyclic”改成“l(fā)ock”，這樣這塊模塊就不具備了短路監(jiān)測(cè)功能，當(dāng)切換時(shí)也不會(huì)發(fā)生短路故障報(bào)警。但這樣作同時(shí)也降低了系統(tǒng)的安全等級(jí)。

圖7.現(xiàn)場(chǎng)控制柜安全模塊從站

PROFIsafe自1999年推出以來(lái)，在歐美地區(qū)制造業(yè)和過(guò)程工業(yè)都取得了良好的業(yè)績(jī)。北京奔馳-戴克汽車(chē)廠PROFIsafe安全通信協(xié)議的應(yīng)用，實(shí)現(xiàn)了安全通信和標(biāo)準(zhǔn)通信的集成，節(jié)省了安裝費(fèi)用，沒(méi)有復(fù)雜的反饋接線，安全邏輯通過(guò)程序來(lái)實(shí)現(xiàn)，增強(qiáng)了靈活性，實(shí)現(xiàn)了系統(tǒng)對(duì)故障的實(shí)時(shí)監(jiān)測(cè)。隨著現(xiàn)場(chǎng)總線在中國(guó)的大力發(fā)展，安全總線及其帶來(lái)的經(jīng)濟(jì)利益將倍受關(guān)注，對(duì)于面臨全球化的中國(guó)企業(yè)來(lái)說(shuō)，使自己的生產(chǎn)系統(tǒng)可進(jìn)行安全等級(jí)評(píng)價(jià)，也增強(qiáng)了企業(yè)的競(jìng)爭(zhēng)力，相信不久的將來(lái)，PROFIsafe將在中國(guó)取得更大的發(fā)展。

1 PNO: PROFIBUS Profile, “PROFIsafe-Profile for Safety Technology”, Version 1.20, October 2002, Order No.3.092

2 System Manual Safety Technology. 5 Edition. Order No. 6ZB5 000-0AA02-0BA1

3 SIMATIC S7 Distributed Safety: feedback for Version 10/2004 A5E00297771

Yang Hong Bo

Siemens A&D OD Beijing 100102

Abstract：In this paper, the principle and characteristic of the PROFIsafe are introduced. In the meanwhile, PROFIsafe application of Beijing Benz Daimler Chrysler assembly factory is described according to the technics and control type.

Keywords：Safety Bus PROFIsafe PROFIBUS Safety module

總裝車(chē)間輸送線