基于國際標準IEC61496-1/2（Type 4）安全光幕的軟核設計

王學軍，邵光存，李英杰，韓長偉，王 輝，邵學濤

（濟寧科力光電產業有限責任公司，山東 濟寧 272000）

安全光幕又稱為電敏防護裝置（ESPE），由發射、接收檢測光信號的敏感元件、控制單元和輸出電路組成，是為達到保護脫扣或敏感功能而協同工作的一組元器件組合[1]。安全光幕具有安全性高、響應時間短、非接觸性檢測、自動化程度高等特性，被廣泛應用于工業現場需要人身防護的高危場所。

為防止安全光幕故障導致危險失效，國際電工委員會（IEC）在1997年頒布產品標準IEC 61496-1/2，定義電敏防護裝置是用于人身防護的安全相關系統的一部分，規定了設計開發、制造和試驗的總體要求。隨著工業發展和功能安全的需求，標準多次更新，現已執行V3.0版，與其他功能安全標準IEC 61508、IEC 62061和ISO 13849共同規定，用于人身防護的Type4型安全光幕需要達到以下特性：類別Cat4，系統診斷覆蓋率DC≥99%，性能等級PLe，每小時失效概率PFHD=10-8～10-7，系統安全完整性等級SIL3[2]，并通過一系列數據化指標規定產品的安全特性。國外產品采用高性能專用CPU和高集成度專用光敏元件實現產品的標準要求，長期壟斷安全光幕的高端市場，國內產品因為元件性能受限，一直無法打破國外品牌的壟斷地位。本文提出基于FPGA設計一種專用于安全光幕控制系統的IP軟核，配合簡單的外圍電路，實現Type4型安全光幕的標準要求。

1 IP核

IP(Intellectual Property)核是具有知識產權核的集成電路芯核總稱，作為一種已經設計好的、用代碼形式表現的、經驗證可以重復使用的集成電路模塊，被廣泛應用于SoC設計[3]。根據硬件描述級不同，IP核分為軟核、固核和硬核3類[4]。軟核通常采用硬件描述語言進行功能描述，是可綜合的RTL（Register Transfer Level）級代碼形式，具有靈活性大、移植性好等特點，可以提高系統設計性能，縮短短設計周期，降低開發成本[5]。

2 安全光幕軟核設計

滿足Type4型安全光幕需求的軟核系統包括接收器主核、從核和發射器軟核，接收器主核和從核采用相同的功能架構組成雙核系統。每個軟核包括控制模塊、系統通信模塊、掃描模塊、輸出模塊和內核通信模塊5部分，如圖1所示。發射器軟核包括控制模塊、系統通信模塊、掃描模塊和輸入模塊4部分，如圖2所示。接收器軟核產生系統的工作指令，經過通信電路發送到發射器軟核，協調外圍光敏電路工作，形成一一對應的檢測光束。接收器的雙核形成主從式結構，獨立判斷光束的通遮光狀態，根據防區的檢測結果，兩軟核的輸出模塊分別控制外圍開關電路工作，組成獨立的雙通道控制系統。接收器主核和從核的狀態信息通過內核通信模塊實時比較，保證接收器雙核工作狀態的一致性。

圖1 接收器雙核系統結構圖

2.1 接收器主核設計

接收器主核產生系統工作指令，通過外部硬件電路協調發射器和接收器工作。主核的控制模塊產生系統的工作指令，包括光束掃描指令、輸出控制指令、系統狀態檢測指令和雙核狀態檢測指令，控制內部各功能模塊按照特定的時序工作。系統通信模塊將掃描指令和系統檢測指令發送到發射器軟核，并接收發射器軟核應答的狀態信息，判斷發射器的工作狀態和功能請求。掃描模塊根據掃描指令輸出分頻信號，控制光敏接收電路形成分時工作的掃描信號鏈，與發光電路形成一一對應的掃描光幕，采用失效斷言技術接收和判斷受光信號的正確性。為防止外界光干擾引入非法受光信號，或硬件電路故障導致一發多收或同時接收等危險失效，掃描模塊根據系統檢測指令，周期性輸出檢測信號，動態檢測移位信號鏈的完整性和接收電路的正確性。輸出模塊根據輸出控制指令和防區掃描結果輸出控制狀態，控制外圍開關裝置的工作狀態，為防止輸出危險失效或開關裝置與其他信號短路，輸出的控制信號中調制動態檢測信號，周期性檢測輸出狀態的正確性。內核通信模塊將主核的指令信息、掃描狀態、輸出狀態和故障檢測狀態等信息實時發送到從核，并接收從核發送的相關信息，采用動態檢測方法和失效斷言技術檢測兩核工作狀態的一致性。軟核內部故障或檢測到外圍電路故障時，輸出模塊進入安全狀態，控制外部電路輸出OFF。

圖2 發射器軟核系統結構圖

為保證軟核的安全性和可靠性，使系統安全完整性等級達到SIL3要求，采用IEC 61496中推薦的V模式進行開發，使用IEC 61508中強烈推薦的結構化、模塊化和半形式化等方法實現軟核功能。控制模塊的指令信息采用有限狀態機（FSM）實現，FSM可清晰體現事件的執行過程和狀態，準確描述模型，降低建模難度，有利于掌握系統的動態特性和結構，方便代碼設計和優化[6,7]。為提高發射器、接收器之間通信的安全性和可靠性，通信模塊遵循CAN通信協議進行設計。CAN通信具有安全可靠性高、傳輸速率快、抗電磁干擾能力強等特點，傳輸距離10km時傳輸速率達到5kbps[8]，更適合用于人身防護的工業現場。

2.2 接收器從核設計

接收器從核產生與主核相同的工作指令，不參與外圍掃描電路的控制，用于檢測系統的工作狀態。控制模塊產生與主核相同的系統工作指令，控制從核內部各功能模塊工作。通信模塊采用失效斷言技術檢測主核發送的通信信息的正確性，接收發射器應答的狀態信息，判斷發射器的工作狀態和功能請求。掃描模塊根據掃描指令，產生分頻信號，動態監控主核掃描模塊輸出信號的正確性，接收和處理受光信號，根據系統檢測指令，動態檢測掃描信號鏈的完整性和接收電路的正確性。輸出模塊與主核輸出模塊功能相同，根據輸出控制指令和防區掃描結果輸出控制狀態，控制外圍開關裝置的工作狀態，為防止輸出危險失效或開關裝置與其他信號短路，輸出與主核時序不同的調制信號，動態檢測輸出狀態的正確性。內核通信模塊將從核的指令信息、掃描狀態、輸出狀態和故障檢測狀態等實時發送到主核，并接收主核發送的相關信息，動態檢測兩核工作狀態的一致性。接收器主核與從核配合工作，形成1oo2D高診斷覆蓋率的雙通道控制系統。

2.3 發射器軟核設計

發射器軟核作為接收器軟核的子核，根據接收器發送的系統工作指令，協調發射器硬件電路工作。通信模塊接收接收器發送的系統工作指令，將指令信息發送到控制模塊，并將控制模塊的應答信息發送到接收器。控制模塊根據接收的系統工作指令，控制掃描模塊工作，讀取抑制、重啟動等輸入模塊狀態，將發射器的工作狀態通過通信模塊發送到接收器。掃描模塊根據掃描指令輸出分頻信號，控制光敏發射電路形成分時工作的掃描信號鏈，與受光電路形成一一對應的掃描光幕。為防止外界光干擾導致非法光信號，或硬件電路故障導致多發一收、同時發光或恒發光等危險失效，掃描模塊根據系統檢測指令，周期性輸出檢測信號，動態檢測移位信號鏈的完整性和發光電路的正確性。輸入模塊采用冗余雙通道技術采集外部輸入信號，采用失效斷言技術判斷兩輸入信號的正確性。

3 結語

采用本文設計的IP軟核配合簡單的外圍電路實現的安全光幕，安全等級達到Type4，性能等級為PLe，安全完整性等級為SIL3，檢測精度達到14mm，光束數量可以無限擴展，系統的診斷覆蓋率DC=99.99%，危險失效概率PFHD=1.21×10-8，單通道危險失效時間MTTFd=81.5年，其功能特性和安全特性都達到世界先進水平。本文設計的安全光幕軟核獲得2項國家發明專利，采用本軟核的產品獲得國際權威認證機構TUV的功能安全證書，實現了Type4型安全光幕的國產化和量產化，打破了國外品牌的安全光幕在高端市場的壟斷地位，極大提高了民族品牌的競爭力，促進了我國的工業安全和功能安全事業的發展。

[1] IEC 61496-2012Safety of machinery-Electro-sensitive protective equipment[S].IEC,Geneva,Switzerland,2012.

[2] IEC 61508-2010 Functional safety of electrical/electronic/programmable electronicsafety-related systems [S].IEC,Geneva,Switzerland,2010.

[3] 周 銀，周 潯，陳圣儉，等.基于IEEE Std 1500標準的soc可測性設計研究[J].計算機測量與控制，2012，20（ 5）：1190-1193.

[4] 馬 娟，陳 嵐，馮 燕，等.用于SoC集成的IP核質量評測方法研究[J].微電子學，2014，44（ 8）：555-558.

[5] 莫太平，王 丹，張明志.基于FPGA的PROFIBUS-DP從站IP軟核的設計[J].計算機應用與軟件，2014，31（ 10）：231-233.

[6] 王 欣.基于狀態機的移動終端應用軟件設計[D].上海：上海交通大學，2007.

[7] 夏宇聞.Verilog數字系統設計教程[M].北京：北京航空航天大學出版社，2008.

[8] 許文斌，桂武明.基于CAN總線的多參數測控系統設計[J].微計算機信息，2010，26（ 14）：61-62.