Physical Address
304 North Cardinal St.
Dorchester Center, MA 02124
IEC TR 63158：工业自动化安全相关系统功能块的正式描述
面向IEC 61508 / IEC 61499安全应用中功能块行为规约与验证的技术框架
功能块形式化用于安全系统概述
现代工业自动化系统越来越依赖功能块作为控制逻辑的基本构建单元。IEC 61499（分布式控制系统）和IEC 61131-3（可编程控制器）等标准已将功能块图确立为主要的编程范式。然而，当这些功能块部署在受IEC 61508（功能安全）约束的安全相关应用中时，对无歧义、数学上严密的规约需求就变得至关重要。IEC TR 63158通过为安全相关系统中使用的功能块提供形式化描述框架来填补这一空白。
IEC TR 63158不是IEC 61499或IEC 61131-3的替代品。相反，它用形式化语义扩展了这些标准，从而实现自动化验证、测试用例生成以及系统设计者、软件工程师和安全评估者之间的无歧义沟通。
IEC TR 63158要解决的核心问题是语义歧义。以自然语言描述或不完整执行语义定义的非正式功能块规约可能导致微妙的实现错误，而仅通过测试很难发现这些错误。考虑一个简单的安全功能：监测压力传感器，当压力超过阈值时触发紧急停机。在非正式规约中，会出现各种问题：传感器输入采样与输出执行之间的确切时序关系是什么？功能块在初始化期间或通信故障后如何行为？安全功能降级或失效的精确条件是什么？IEC TR 63158的形式化描述以数学精度回答了这些问题。
| 语义方面 | 非正式描述 | 形式化描述（IEC TR 63158） | 优势 |
|---|---|---|---|
| 执行顺序 | “先处理输入再更新输出” | 带显式触发规则的时钟同步数据流 | 跨平台确定性行为 |
| 时序行为 | “在100 ms内响应” | 带最差情况执行时间边界的计时自动机 | 可验证的延迟保证 |
| 错误处理 | “适当检测故障” | 带转移条件和恢复路径的显式故障状态 | 故障模式的完整覆盖 |
| 数据依赖 | “使用传感器值X” | 带类型约束和范围检查的有向数据流图 | 自动一致性验证 |
| 可组合性 | “功能块可以组合” | 带接口合约的代数组合规则 | 无副作用的安全生产 |
形式化语义与执行模型
IEC TR 63158定义了安全相关功能块的三种形式化执行模型：同步模型——所有功能块在公共时钟上以锁步方式执行（适用于时间触发安全系统）；异步模型——功能块独立执行并通过缓冲通道通信（适用于分布式安全系统）；以及混合模型——将同步集群与集群间异步通信相结合（适用于多速率安全系统）。执行模型的选择对安全案例具有深远影响——特别是在IEC 61508背景下的系统能力（SC）评级方面。
报告中的一个关键工程见解：异步执行模型在功能块通信时序中引入了非确定性。要在IEC 61508下达到SIL 3或SIL 4，安全设计者必须要么实现带有最差情况延迟证明的有界延迟通信协议，要么将架构限制为同步模型。IEC TR 63158为每种方法提供了形式化证明义务。
形式化使用了两种互补的数学框架：计时自动机用于建模时间行为，数据流方程用于建模功能行为。安全相关功能块被描述为一个六元组（状态、输入、输出、时钟、转移、不变量），其中转移由输入事件和时序约束保护，不变量定义了每个状态下必须成立的安全性质。这种双重形式化方法同时支持模型检验（安全性质的穷举验证）和运行时监控（在操作期间检测性质违反）。
| 执行模型 | 时序确定性 | 硬件要求 | 最高可达SIL | 典型应用 |
|---|---|---|---|---|
| 同步 | 完全确定性 | 单一控制器或同步多核 | SIL 4 | 涡轮控制、反应堆保护 |
| 异步（有界延迟） | 有界非确定性 | 带时间触发网络的分布式控制器 | SIL 3 | 传送带系统、过程工厂 |
| 异步（无界） | 非确定性 | 标准现场总线或以太网 | SIL 2 | 物料搬运、包装 |
| 混合 | 集群确定性 | 带同步域的混合架构 | SIL 3 | 汽车制造、机器人单元 |
形式化验证与工程实践
IEC TR 63158最有价值的贡献之一是关于功能块安全案例形式化验证技术的指南。该报告描述了三种验证方法：模型检验（穷举状态空间探索以验证安全性质，如”当输入S为假时，输出Q永远不会被断言”）、定理证明（数据流方程功能正确性的数学证明）和抽象解释（计算功能块行为安全近似的静态分析）。该标准根据功能块的复杂度和所需的SIL等级，提供了选择合适验证技术的详细标准。
从工程实践角度来看，该报告提供了在现有开发工作流中实现形式化描述的具体指导。它定义了形式化功能块规约与常用实现语言（结构化文本、梯形图、带安全限制的C++）之间的映射关系，包括必须遵循的具体编码规则，以确保形式化模型与部署代码之间的语义等价性。报告还讨论了功能块组合这一关键课题——当两个经过形式化验证的功能块组合时，产生的复合体可能保留也可能不保留原有的安全性质。IEC TR 63158定义了一种组合合约方法，其中每个功能块公开其假设和保证，从而实现组合式验证。
多家主要工业自动化供应商已在其安全功能块库中采用IEC TR 63158框架。报告中引用了一个化工过程控制安全停机功能块的案例研究：采用形式化描述方法，在规约阶段（编写任何代码之前）就识别出了87%的潜在故障模式，而使用传统的非正式规约方法只能识别约45%。
常见问题
问1：IEC TR 63158是否适用于使用传统继电器逻辑或硬接线安全回路的遗留安全系统？
该框架主要面向基于软件的功能块。不过，如果遗留系统的行为首先被抽象为功能块模型，则形式化描述方法也可以应用于遗留系统。这种逆向工程方法对于安全案例更新和现代化改造项目非常有用。
该框架主要面向基于软件的功能块。不过，如果遗留系统的行为首先被抽象为功能块模型，则形式化描述方法也可以应用于遗留系统。这种逆向工程方法对于安全案例更新和现代化改造项目非常有用。
问2：有哪些工具支持该报告中规定的形式化描述方法？
多种工具支持IEC TR 63158的形式化方法：UPPAAL（计时自动机模型检验）、NuSMV（符号模型验证）以及3S CoDeSys Safety和西门子Safety Matrix等商业工具。FBDK（功能块开发工具包）等开源项目也已添加对该报告中定义的形式化语义的实验性支持。
多种工具支持IEC TR 63158的形式化方法：UPPAAL（计时自动机模型检验）、NuSMV（符号模型验证）以及3S CoDeSys Safety和西门子Safety Matrix等商业工具。FBDK（功能块开发工具包）等开源项目也已添加对该报告中定义的形式化语义的实验性支持。
问3：形式化描述如何处理组件老化或漂移等时变行为？
报告通过”参数化形式化模型”的概念解决了这一问题，其中时变参数（如传感器漂移率、执行器磨损）被建模为功能块的附加输入。安全性质在整个参数范围内进行验证，确保安全功能在设备的整个使用寿命内保持有效。
报告通过”参数化形式化模型”的概念解决了这一问题，其中时变参数（如传感器漂移率、执行器磨损）被建模为功能块的附加输入。安全性质在整个参数范围内进行验证，确保安全功能在设备的整个使用寿命内保持有效。
问4：该形式化框架是否支持安全功能块的在线修改（重配置）？
IEC TR 63158包含关于动态重配置的章节，定义了一个”重配置管理器”功能块，用于协调旧配置与新配置之间的状态转移，同时在过渡期间保持安全不变量。形式化模型确保在重配置期间不会达到危险状态，即使旧块和新块具有不同的执行速率或数据接口。
IEC TR 63158包含关于动态重配置的章节，定义了一个”重配置管理器”功能块，用于协调旧配置与新配置之间的状态转移，同时在过渡期间保持安全不变量。形式化模型确保在重配置期间不会达到危险状态，即使旧块和新块具有不同的执行速率或数据接口。
