FSoE: Functional Safety over EtherCAT
Was ist FSoE?
Functional Safety over EtherCAT (FSoE) ist ein sicherheitszertifiziertes Kommunikationsprotokoll gemäß ETG.5100, das eine Safety-Schicht auf Standard-EtherCAT aufbaut. Es ermöglicht die Übertragung sicherheitsrelevanter Prozessdaten bis SIL 3 über das bestehende EtherCAT-Netzwerk — ohne separate Sicherheitsverkabelung.
Warum ist das wichtig?
Ohne FSoE benötigt jeder Servoantrieb mit Sicherheitsfunktionen dedizierte, zweikanalig-redundante Sicherheitsleitungen von der Sicherheits-SPS zum Antrieb. Bei einem Multi-Achs-System mit 6 oder mehr Achsen bedeutet das erheblichen Verkabelungsaufwand, große Steckverbinder und aufwändige Inbetriebnahme.
FSoE löst dieses Problem grundlegend:
- Keine separate Sicherheitsverkabelung — Sicherheitsbefehle (STO, SLS, SS1 etc.) und Sicherheitsfeedback (sichere Position, sichere Geschwindigkeit, Status) laufen im gleichen EtherCAT-Frame wie die Standard-Prozessdaten
- SIL 3 über Standard-Hardware — normale Cat5e-Kabel, keine speziellen Sicherheitskabel oder -stecker erforderlich
- Reduzierte Kosten — weniger Kabel, kleinere Schaltschränke, schnellere Inbetriebnahme
- Integrierte Diagnose — Sicherheitsstatus und Fehlerinformationen sind direkt im Feldbusprotokoll verfügbar
Wie funktioniert es?
Black-Channel-Prinzip: FSoE behandelt die gesamte EtherCAT-Infrastruktur — Kabel, Master-Stack, Slave-Controller — als „schwarzen Kanal“, der von der Sicherheitsbewertung ausgeschlossen ist. Die Datenintegrität wird Ende-zu-Ende zwischen FSoE-Master (Sicherheits-SPS) und FSoE-Slave (Sicherheitsgerät) sichergestellt. Selbst wenn das Transportmedium Daten verfälscht, verzögert, dupliziert oder verliert, erkennt die Sicherheitsschicht dies und löst den sicheren Zustand aus.
Frame-Struktur: Jeder FSoE-Frame enthält Safety-Datenblöcke, die jeweils durch eine eigene CRC abgesichert sind, sowie eine Connection ID zur Identifikation der Verbindung. Dieses granulare Prüfschema erkennt alle acht Fehlerkategorien gemäß IEC 61508: Verfälschung, Wiederholung, falsche Reihenfolge, Nachrichtenverlust, unzulässige Verzögerung, Einfügung, Maskierung und Adressierungsfehler.
Watchdog-Überwachung: Der FSoE-Master startet bei jedem gesendeten Frame einen Watchdog-Timer. Bleibt die gültige Antwort des Slaves innerhalb der konfigurierten Watchdog-Zeit aus, wird der sichere Zustand (STO) ausgelöst. Typische Watchdog-Zeiten liegen bei 15 ms oder höher.
Master-Slave-Modell: Jede FSoE-Verbindung ist eine Punkt-zu-Punkt-Verbindung zwischen einem FSoE-Master und einem FSoE-Slave. Der Master sendet Sicherheitsbefehle (Control Words), der Slave antwortet mit Sicherheitsstatus, sicherer Position und sicherer Geschwindigkeit.
Wie setzt SOMANET das um?
Der SOMANET Circulo mit Safe Motion Module (SMM) arbeitet als FSoE-Slave und verbindet sich mit einer externen Sicherheits-SPS (z. B. Beckhoff TwinSAFE). Die interne SMM-Zykluszeit beträgt 1 ms, die minimale FSoE-Zykluszeit 6 ms.
Über FSoE werden alle Sicherheitsfunktionen gesteuert: STO, SBC, SS1, SS2, SOS, SLS (vier Instanzen) und SMS. Die FSoE-Datenframes transportieren neben den Sicherheitsbefehlen auch sichere Positionswerte (0x6611), sichere Geschwindigkeitswerte (0x6613) und Status-Informationen — alles CRC-geschützt und mit Gültigkeitsflags versehen.
Synapticon war einer der ersten Anbieter im Bereich integrierter Servotechnik, der FSoE als zertifiziertes Standardprodukt implementiert hat — ein wesentlicher Baustein für die Sicherheitsarchitektur kollaborativer Roboter und autonomer mobiler Roboter (AMR).
Weiterführende Links:
