IEC TR 62685：工业通信网络——功能安全通信行规

IEC TR 62685作为技术报告于2010年发布，为工业通信网络中的功能安全通信行规提供指导。由IEC第65技术委员会制定的该文件解决了通过标准工业通信网络传输安全相关信息的关键挑战。随着现代工业自动化系统越来越依赖网络化控制架构，将安全功能集成到与标准控制数据相同的通信基础设施中对于降低系统复杂性、接线成本和设备占地面积变得至关重要。

该技术报告描述了不同安全通信行规如何实现IEC 61784-3和IEC 61508的要求。工业安全通信的关键创新是”黑通道”原理，其中安全通信层独立于底层标准通信网络运行。这意味着安全协议将标准通信通道视为”黑盒”——它不依赖标准网络的错误检测机制，而是在安全层实现自己的全面错误检测。这一原理允许安全数据和标准数据共享同一物理网络，而无需对整个网络基础设施进行安全认证，大幅降低了实现复杂性和成本。

安全通信原理与错误检测机制

所有工业安全通信行规的基础是IEC 61784-3中规定的一组错误检测机制。这些机制应对可能导致危险情况的潜在通信故障：重复、删除、插入、破坏、顺序错误、延迟和伪装。每个安全通信行规都实施错误检测措施的组合，以达到所需的残余错误概率——对于SIL 3应用通常低于每小时10^-9，源自IEC 61508的整体风险降低要求。

所有行规共用的标准错误检测措施包括：使用连续消息编号的序列编号来检测重复、删除、插入和顺序故障；在接收端使用看门狗定时器的时间预期来检测延迟故障；源地址和目标地址以防止伪装和跨域通信；使用循环冗余校验的数据完整性保证；以及在更高SIL应用中使用的认证机制。常见安全行规使用的CRC长度从16位到32位不等，较长的CRC用于更高SIL级别和更长的安全数据载荷。

每个安全通信行规将这些错误检测措施打包到特定的协议数据单元结构中。以PROFIsafe为例，安全PDU由控制字节、安全数据字节和CRC校验和组成。SIL 3的PROFIsafe的CRC多项式使用源自IEEE 802.3 CRC-32的32位校验和，并通过设备特定的CRC初始化值进一步增强。该CRC种子结合设备F参数集，确保即使同一网络上的两个安全设备具有相同的硬件，它们的安全层通信也不会相互干扰。F参数集包括看门狗时间、PROFIsafe地址、SIL等级、CRC长度和通信故障后的行为——每个参数在连接建立期间通过CRC验证和确认。

PROFIsafe、CIP Safety与工程设计要点

PROFIsafe是在工厂自动化中部署最广泛的安全通信行规，基于黑通道原理在PROFIBUS DP和PROFINET IO上运行。关键设计原则是标准通信协议栈与安全应用之间的”安全隔离层”。F主机和F设备各自实现一个安全层，在将数据传递给安全应用之前添加和评估安全协议信息。安全数据交换基于循环方式运行，具有可配置的F监控时间。如果在监控窗口内未收到有效的安全电报，则转换到配置的安全状态。向安全状态的转换必须在指定的安全反应时间内完成。

CIP Safety由罗克韦尔自动化开发，采用类似的原理但针对通用工业协议应用层进行了调整。CIP Safety使用”Safety-over-CIP”架构，其中安全数据封装在标准CIP消息中，但带有安全特定头部。与PROFIsafe的一个关键区别是CIP Safety使用8位序列号而非16位，减少了通常较短的离散制造应用安全数据载荷的协议开销。CIP Safety还支持某些应用的”无连接”安全通信模式，简化了分布式安全架构的系统配置。

从工程设计角度来看，安全通信行规的实施需要仔细关注几个关键因素。安全系统设计必须从根据ISO 12100和IEC 62061进行的彻底风险评估开始，以确定每个安全功能所需的SIL。然后必须根据应用要求、网络拓扑和与所选安全控制器和现场设备的兼容性来选择安全通信行规。系统设计人员必须验证F参数配置，特别是看门狗时间设置。对于多供应商系统，即使所有设备都声称符合相同的安全通信行规，互操作性测试也至关重要。

诊断数据是安全通信行规中经常被低估但至关重要的特性。PROFIsafe通过标准的PROFINET报警机制提供广泛的诊断能力，使安全设备能够传达与维护相关的信息。CIP Safety通过CIP对象模型提供类似的诊断功能。将安全诊断数据集成到整体工厂状态监测系统中，实现了安全功能的预测性维护，降低了未检测到的安全设备故障风险，同时避免了需要机器停机的不必要的功能安全测试。工程师应在安全系统设计初期明确诊断数据需求，以确保所选的安全通信行规和设备提供必要的诊断覆盖。