现场总线系统的功能安全评价

现场总线技术发展至今，它的安全性如何仍然是用户观望等待的重要因素之一。对于电厂、化工厂、冶炼厂等用户来说，现场总线的优越性己经了解很多，有些用户可能已经开始在一些非重要部门采用现场总线控制系统，但要在工厂重要的、与安全相关的工业过程采用现场总线控制系统，还需要供应商提供更多的资料与保证。

现场总线的优势很多，但换一个角度看可能就是劣势:它的串行结构决定了它能节省布线、简化系统安装、维护和管理费用、简化通信协议、方便解决总线供电等问题，是它的重要优势，但同时也是重要的安全隐患。因为所有控制命令、维护信息都通过这条单一总线发送信号，一旦这条总线损坏，这条支路就瘫痪了;产品的可互操作性使用户选择产品的自由度增加，成本降低，但多家供应商提供的产品在一个系统中运行，它们的可互操作程度能达到多少?系统监控软件可以提供设备的预诊断，但软件中可能存在的成千上万个 "bug"如何控制?现场总线上层连接以太网、Internet网，可以实现远程在线诊断和维护，但如果 "黑客"们也通过这个网络对系统进行远程攻击，我们设置的密码是不是足够?面对种种安全问题，我们是否该就此停步?表1是自动化领域技术的发展历程。

上表实际上展示了一种趋势，技术发展的脚步势不可挡，关键是我们如何来选择。在考虑安全应用的问题时，最终用户的问题是选择什么样的系统，根据什么来决定在不同重要的场合使用哪种现场总线?如何评价一个现场总线系统的安全性水平?而供应商的问题是:我该怎么做才能让用户相信自己的产品或系统可以用于安全目的?

实际上，他们所提问题的答案都是IEC61508。

二、IEC61508概述

2000年5月，国际电工委员会正式发布了IEC61508标准，名为《电气/电子/可编程电子安全系统的功能安全》，与之对应的我国国家标准正在制定中。该标准分七部分，涉及1000多个规范。

由电气和电子部件构成的系统，多年来在许多领域中执行安全功能;以计算机为基础的系统在许多领域中用于非安全目的，但也越来越多地用于安全目的。当前计算机、集成电路等技术的发展已经渗透到所有工业领域，计算能力的极大增加彻底改变了工厂和工业过程的控制，也改变了安全控制策略。对于包含有电子、电气设备，计算机软、硬件的系统，要用于关系到人身财产安全的领域中时，进行规范的安全指导是十分必要的。

TEC61508针对由电气/电子/可编程电子部件构成的、起安全作用的电气/电子/可编程电子系统(E/E/PE)的整体安全生命周期，建立了一个基础的评价方法。目的是要针对以电子为基础的安全系统提出一个一致的、合理的技术方案，统筹考虑 单独系统(如传感器、通信系统、控制装置、执行器等)中元件与安全系统组合的问题。

TEC61508的七个部分内容分别为:

第1部分:一般要求，描述了主要概念、组织、生命期、文档编制、引导证据及SIL的定义。

第2部分是对电气/电子/可编程电子安全系统的要求，包括对设备和系统的要求，它的很多内容与第7部分的鉴别方法的应用有关，这些方法解决了随机或系统失效问题。

第3部分是对软件的要求，描述避免失效的方法，与第7部分的附录相关。

第4部分是定义和缩略语。

第5部分给出一些确定安全完整性水平的方法示例。

第6部分包括第2和第3部分的应用指南。

第7部分给出测试方法，简短的注释并提供部分参考书目。

(一)IEC61508中的基本定义

1.安全功能 (safety function)

针对规定的危险事件，为达到或保持受控设备(EUC)的安全状态，由E/E/PE安全系统、其他技术安全系统或外部风险降低设施实现的功能。

2.安全完整性 (Safety integrity)

在规定的条件下、规定的时间内，安全系统成功实现所要求的安全功能的概率。这一定义着重于安全系统执行安全功能的可靠性。在确定安全完整性过程中，应包括所有导致非安全状态的因素，如随机的硬件失效，软件导致的失效以及由电气干扰引起的失效，这些失效的类型，尤其是硬件失效可用测量方法来定量，如在危险模式中的失效和系统失效率，或按规定操作的安全防护系统失效的概率。但是，系统的安全完整性还取决于许多因素，这些因素无法精确定量，仅可定性考虑。

3.E/E/PE系统

基于电气/电子和可编程电子装置的用于控制、防护或监视的系统，包括系统中所有的元素如电源、传感器、所有其他输入输出装置及所有通信手段。

　　4.EUC(Equipment Under Control)

受控设备，指用于制造、运输、医疗或其他领域的设备、机器、装置或装备。

5.可接受凤险 (ACCeptable risk)

风险指的是出现伤害的概率及该伤害严重性的组合。可接受风