Safe Control Systems Eine modulare Steuerungsplattform, ideal sowohl für Neu- als auch für modernisierte Züge, die eine einfache Integration und Nachrüstung sicherheitsrelevanter Automatisierungsfunktionen ermöglicht. Home Safe Control Plattform-Übersicht Anwendungen Produkte Software FAQ Sicherheitskritische Steuerungsplattform für den Schienenverkehr Ein modulares System für Bord- und streckenseitige Bahnautomatisierung Das duagon SAFE CONTROL (d-SC) System ist eine sicherheitszertifizierte, modulare Bahnsteuerungsplattform. Es erfüllt die Bahnentwicklungsnormen EN 50126 (RAMS), EN 50128 (Software) und EN 50129 (Hardware) für funktionale Sicherheit, und alle Komponenten sind bis SIL 4 sicherheitszertifiziert. Der modulare Aufbau ermöglicht es dem System, mit anderen Zugsystemen wie Service- oder Diagnoseeinheiten über jede Art von drahtgebundener oder drahtloser Schnittstelle zu kommunizieren. Zusätzlich können Feldbusschnittstellen wie MVB, CAN, Profinet und andere implementiert werden, um eine Verbindung zu anderen Netzwerken herzustellen. Dies erleichtert die Integration in ein TCN-Netzwerk sowie in regional unterschiedliche Zugsicherungssysteme wie ETCS, CTCS, ATCS, PTC oder Klub-U. Die COTS Safe Controller unterstützen QNX out-of-the-box mit dem mitgelieferten sicherheitszertifizierten Board Support Package (BSP). Zusätzlich bietet duagon verschiedene Softwarepakete an, z.B. Prozessdatensynchronisation (SNYCH), modulares I/O-Framework (PACY) oder Hochverfügbarkeitssoftware (HA-SW), die es Kundenanwendungen ermöglicht, zwei redundante d-SC-Systeme in einem Hot-Standby-Setup zu nutzen. Das d-SC system Das d-SC-System ist für den Betrieb in sicherheitsrelevanten fahrzeugseitigen Anwendungen wie dem automatischen Zugbetrieb (ATO) und der automatischen Zugsicherung (ATP) sowie für streckenseitige Anwendungen wie Bahnübergängen oder computergesteuerten Stellwerkssystemen konzipiert. Das modulare System besteht aus der sicheren Steuerung (1oo2, 2oo2), den sicheren I/O-Funktionen und den Kommunikationsschnittstellen zur "Außenwelt" Die robusten und schienenfertigen Komponenten entsprechen den Bahnnormen für Umwelt- und EMV-Bedingungen EN 50155 (Schienenfahrzeuge) und EN 50125-3 / EN 50121-4 (Signalisierung/Gleisanlage). Download: Cyber Secure Products & Service Packages Vorzertifizierte, modulare offene Systeme für einen langfristigen Einsatz Zertifizierte Funktionssicherheit Sparen Sie Kosten, Zeit und Risiko mit Vorzertifizierung Die sicherheitstechnischen Komponenten von duagon werden mit Zertifizierungspaketen für die Hardware und die entsprechende Plattformsoftware auf Basis von QNX geliefert. Unabhängig von der endgültigen Anwendung sind die Komponenten bereits zertifiziert und beschleunigen Ihren gesamten Zertifizierungsprozess. Nutzen Sie Synergien für alle sicherheitsrelevanten Anwendungen Als modulare Sicherheitsplattform mit flexibler I/O-Konfiguration und Erweiterungsmöglichkeiten kann dieses System für alle sicherheitsrelevanten Anwendungen im Fahrzeug und auf der Strecke eingesetzt werden: von einzelnen Funktionen wie Signal- und Bahnübergangssteuerung bis hin zu komplexen Systemen für den automatischen Zugbetrieb oder die Zugsicherung (ATO/ATP). Zertifizierung EN 50126: Spezifikation und Nachweis der Zuverlässigkeit, Verfügbarkeit, Instandhaltbarkeit und Sicherheit (RAMS) EN 50128: Kommunikations-, Signal- und Verarbeitungssysteme - Software für Bahnsteuerungs- und Sicherungssysteme EN 50129: Kommunikations-, Signal- und Datenverarbeitungssysteme und sicherheitsrelevante elektronische Systeme für die Signalisierung Modularität in I/O-Konfiguration und Software Flexible Konfiguration für Steuerungseinheit oder Gesamtnetzwerk Das duagon SAFE CONTROL-System basiert auf dem modularen 19"-CompactPCI-Standard, der eine skalierbare Plug-and-Play-ähnliche Systemkonfiguration ermöglicht, Kommunikation mit anderen Zugfunktionen wie Service oder Diagnose bietet und die Integration in bestehende Zugbusnetze unterstützt: Der MH50C-Controller kann mit der genauen Anzahl der erforderlichen sicheren Kanäle und nicht sicheren Funktionen auf Basis von Standard CompactPCI-Karten konfiguriert werden. Bis zu 63 externe sichere I/O-Module (mit vier bis acht Platinen pro Gerät) können an einen einzigen MH50C-Controller angeschlossen werden, was Verdrahtungskosten spart und die Betriebsstabilität erhöht. Modularität in Bezug auf Software Da alle Softwarefunktionen (SYNCH, EXCH) unabhängig voneinander sind, können nur die Teile im System konfiguriert werden, die wirklich benötigt werden. Das PACY I/O-Framework ist auch in sich modular, so dass Funktionen wie neue I/O-Module, neue Bussysteme oder neue Sicherheitsprotokolle einfach hinzugefügt werden können. Unabhängigkeit von Lieferanten Vermeiden Sie Lock-in von Anbietern und behalten Sie die Kontrolle! Als offene und modulare Plattform macht das duagon SAFE CONTROL-System Bahndienstleister und Bahnbetreiber unabhängig von einem Systemhersteller und gibt ihnen die volle Kontrolle über ihr Projekt. Basierend auf Standards: Standard CompactPCI-Industriestandard und x86-Host-Controller Standard-Betriebssystem (QNX, Linux) Standard EtherCAT mit Sicherheitsprotokoll FSoE Standard-Kommunikationsschnittstellen zu TCN-Netzwerk, MVB, CANopen, ProfiNet, etc. Standard POSIX Programmierinterface für "C" "C"-Codegenerierung, z.B. mit modellbasierten Codegenerierungswerkzeugen wie ANSYS' SCADE oder MathWorks' Simulink. Langjährige Verfügbarkeit Schützen Sie Ihre Investitionen vor dem Ausstieg aus dem Markt! Das System basiert ausschließlich auf offenen Industriestandards für Hardware, Software und Kommunikation mit breiter Akzeptanz auf dem Markt. Dies garantiert Alternativen für jede Funktion, so dass der Endnutzer vor Veralterungsproblemen geschützt ist. Verlängern Sie Ihren Projektlebenszyklus! Die Lebensdauer ist durch das Familienkonzept und ein dahinter stehendes Life-Cycle-Management erweiterbar. Nach der garantierten Mindestverfügbarkeit von 10 Jahren für alle Teile stellt duagon seinen Kunden alle notwendigen Schritte und Dokumente (z.B. Änderungsfolgenanalyse, Redesign) für mögliche Nachfolgeprodukte zur Verfügung. duagon garantiert: 10 Jahre Lieferung von identischen duagon-Boards pro Projekt 25 Jahre technische Unterstützung pro Projekt Zeitlich unbegrenzte Lieferung von Funktionalität Safe Control (d-SC) Hardware Systembeispiel Das Herzstück des modularen duagon SAFE CONTROL-Systems ist die Steuerung MH50C. Sie basiert auf dem SIL 4-zertifizierten Intel CPU-Board F75P. Der sichere Teil kann um weitere, nicht-vitale I/O-Funktionen erweitert werden, ohne die Sicherheit des Systems zu beeinträchtigen. Es kann als Standalone-Gerät und in Kombination mit bis zu 63 externen I/O-Boxen eingesetzt werden. Echtzeit-Ethernetkommunikation Die Kommunikation innerhalb des duagon SAFE CONTROL (d-SC)-Systems - zwischen der sicheren d-SC-Steuerung, den sicheren I/O-Boards und den sicheren Remote-I/O-Boxen - basiert vollständig auf einem standardisierten sicheren Echtzeit-Ethernet unter Verwendung von EtherCAT und FSoE (Fail Safe over EtherCAT). Die Anwendung kann daher alle I/O-Funktionen auf die gleiche Weise behandeln. Alle Remote-I/O-Boxen sind in einer Ringtopologie mit dem Controller verbunden, die einzelne Ausfälle toleriert. Im Falle eines Kabelbruchs beispielsweise ist das System immer noch voll funktionsfähig, da alle I/O-Boxen auch vom anderen Ende des Rings aus erreichbar sind. Software-Architektur Trennung zwischen sicheren und nicht-vitalen Bereichen Die d-SC Software unterscheidet zwischen dem sicheren und dem nicht-vitalen Bereich, um Kosten und Zeit bei der Anwendungsentwicklung und Zertifizierung zu sparen. Diese Trennung ermöglicht es, nicht-vitale Anwendungen getrennt von sicheren Anwendungen zu entwickeln. Nicht-vitale Anwendungen können sichere Anwendungen nicht beeinflussen, da sie auf einem separaten Prozessor mit einem Standard-Linux-Betriebssystem ausgeführt werden. Die sichere Anwendung läuft in einem sicheren Kernel des QNX-Echtzeitbetriebssystems und kann entweder direkt mit der Standardsprache "C" programmiert werden oder bietet POSIX-konforme APIs. Sichere Anwendungsschnittstelle Da d-SC eine offene Mehrzweck-Hardwareplattform für verschiedene Arten von sicheren Anwendungen ist, benötigt der Softwareprogrammierer eine Schnittstelle, um vollen Zugriff auf die Steuerelektronik zu erhalten. Das PACY Safety I/O Framework bietet einen einfachen und modularen Zugang zu den sicheren I/O-Boards. PACY enthält auch eine sichere Kommunikationsschicht (Fail Safe over EtherCat, FSoE). Sichere Kommunikation Um eine ordnungsgemäße Kommunikation zwischen der sicheren Steuerung und den sicheren I/O-Funktionen über Echtzeit-Ethernet zu gewährleisten, wird der Black-Channel-Ansatz angewendet. Die Anforderungen für den Transport sicherer Daten über nicht vertrauenswürdige Kommunikation sind in der EN 50159 definiert und werden mit dem sicheren Kommunikationsprotokoll FSoE (Fail Safe over EtherCat) sichergestellt. Produkte Quad Fast Ethernet & Real-Time Ethernet 3U CompactPCI Interface Board The F305 is a 3U CompactPCI 100-Mbit/s networking controller with a strong focus on railway applications. It comes in a compact 4 HP, one-slot width even with its rugged M12 connectors. F305 8 Safe Digital Outputs High-Side Switching for d-SC, SIL 2 to SIL 4 Modular Train Control System I/O Board The K1 is a safe digital output card for use in the duagon SAFE CONTROL (d-SC) System. The d-SC platform performs safe train control functions in rolling stock applications like Automated Train Protection (ATP) or CBTC (Communications Based Train Control). K1 16 Safe Digital Inputs for d-SC SIL 2 to SIL 4 Modular Train Control System I/O Board The K2 is a safe digital input card for use in the duagon SAFE CONTROL (d-SC) System. The d-SC platform performs safe train control functions in rolling stock applications like Automated Train Protection (ATP) or CBTC (Communications Based Train Control). K2 Low-Side Switching for d-SC 8 Safe Digital Outputs, Low-Side Switching for d-SC SIL 2 to SIL 4 Modular Train Control System I/O Board The K7 is a safe digital output card for use in the duagon SAFE CONTROL (d-SC) System. The d-SC platform performs safe train control functions in rolling stock applications like Automated Train Protection (ATP) or CBTC (Communications Based Train Control). K7 d-SC Remote I/O Extension for 8 Cards Modular Train Control System for Safe Applications in Transportation KT8 is a safe, remote I/O box inside the duagon SAFE CONTROL (d-SC) System.The modular system platform d-SC is usable for safety-critical train applications like train control, automatic train operation (ATO) and automatic train protection (ATP) up to SIL 4 (EN5012x) or SIL 3 (IEC61508). KT8 Vital System Controller duagon SAFE CONTROL Vital System Controller. Modular Train Control System for Safe Applications in Transportation MH50C is a central controller of the duagon SAFE CONTROL (d-SC) System. It is a modular system platform usable for safety-critical train applications like train control, automatic train operation (ATO) and automatic train protection (ATP) up to SIL 4 (EN5012x) or SIL3 (IEC61508). MH50C Anwendungsbereiche Schienenfahrzeuge Die duagon SAFE CONTROL-Plattform eignet sich sowohl für die Steuerung aller sicherheitsrelevanten Funktionen in neuen Zugmodellen als auch für die Umrüstung von Zügen. Dank ihrer Modularität lassen sich Automatisierungsfunktionen auch in Kombination mit anderen Teilen bereits vorhandener Zugsteuerungsanlagen einfach installieren und nachrüsten. Installation als Herzstück eines jeden Zugsicherungs- und/oder Automatisierungssystems Effizienzsteigerung der bereits vorhandenen ATO-, ATP- und ATS-Funktionen als Zentralcomputer Schrittweiser Ersatz älterer Geräte durch eine standardisierte Allzweckplattform für alle sicheren Anwendungen Fernsteuerung direkt an der Tür, am Rad, am Getriebe Alles in einem: sicheres Steuerungssystem und nicht-vitales Kommunikationssystem - sicher getrennt durch strikte Partitionierung Anbindung an die gesamte bestehende Zugkommunikation mit Ethernet und MVB, CAN-Bus etc. Anbindung an das Führerstandsdisplay Anbindung an die drahtlose Kommunikation mit der Außenwelt durch GSM-R, GPS, WLAN etc. Senkung der Lebenszykluskosten durch einfache Wartung von Standardkomponenten Längere Lebensdauer durch Verwendung standardisierter Technologien Streckenseitig Das duagon SAFE CONTROL System eignet sich für die Steuerung von CBI (Computer Based Interlocking), wichtiger Telemetrie für das Zugmanagement und streckenseitiger Geräte wie Weichen, Signale oder Bahnübergänge. Da es sich um eine modulare Plattform handelt, kann es sowohl in neuen Stellwerken als auch für eine schonende Modernisierung und Automatisierung von älteren Relaisstellwerken eingesetzt werden. Bestehende Außenanlagen können erhalten und angepasst werden. Die äußerst kompakte Innenanlage eines Stellwerks ist klar getrennt und bildet die sichere Plattform (SIL) für die Steuerungs- und Automatisierungsebene. Einführung von ETCS L2/L3 zur Optimierung von Sicherheit und Gleisbelastung Halbierung der entstehenden Gelegenheitskosten für Relais-Stellwerke Erhöhung der Leistungsfähigkeit der Stellwerke Geringer Verkabelungsaufwand durch standardisierte Ethernet-Technologie Vermeidung des kostspieligen Komplettaustausches durch CBIs (inkl. Außenanlagen) Installation von einfacheren, kleineren und standardisierten Innenanlagen Längere Betriebsdauer der Außenanlagen Geringere Kosten für die Erweiterung der Gesamtkapazitäten Senkung der Lebenszykluskosten durch einfache Wartung von Standardkomponenten Verringerung der Abhängigkeit von einzelnen Lieferanten, was zu einem wachsenden Dienstleistungsangebot führt Häufig gestellte Fragen Ist das duagon SAFE CONTROL (d-SC) SYSTEM mit bereits bestehenden Systemen kompatibel und wie kann es integriert werden? Ja, denn dank seiner Modularität ist d-SC einfach zu installieren und lässt sich auch nachträglich um Sicherheits- und Automatisierungsfunktionen von älteren Schienenfahrzeugen erweitern. d-SC unterstützt zudem angepasste Modernisierungen und Automatisierungen älterer elektronischer Stellwerkseinrichtungen sowie die Installation von einfacheren, kleineren und standardisierten Innenanlagen. Die modulare CompactPCI-Hardwarearchitektur ermöglicht die Erweiterung der MH50C-Steuerung mit weiteren Kommunikations- und Schnittstellenkarten, wobei auch Standard-PCI-Express-Mini-Karten und andere moderne Geräte verwendet werden können: Anbindung an bestehende TCN-Netzwerke über Schnittstellenkarten mit MVB- und WTB-Feldbus Anbindung an vorhandene Zugsysteme über CAN, ProfiNet und andere Feldbus-Schnittstellenkarten Anbindung an Standard-Switches und Router über Ethernet Anbindung an alle gängigen fahrzeuginternen und externen Kommunikationsschnittstellen über Wi-Fi, Funk, GPS, RS485 etc. Warum wird duagon SAFE CONTROL (d-SC) als offenes System bezeichnet? d-SC basiert ausschließlich auf offenen Industriestandards in den Bereichen Hardware, Software und Kommunikation, sodass die Systeme herstellerunabhängig und vor Alterungsprozessen (Obsoleszenz) geschützt sind: Standard-PC-Hardwarearchitektur mit modernstem x86-Host-Controller Standard-19"-CompactPCI-Industriestandard Standard-Betriebssysteme (QNX, Linux) Standard-Ethernet-Kommunikation mit sicherem Echtzeit-EtherCAT Standard-Kommunikationsschnittstellen zu TCN-Netzwerk, MVB, CANopen, ProfiNet etc. Standard-POSIX-Programmierschnittstelle für C d-SC trennt die Steuerungselektronik (Rechnerhardware) von der Steuerungsfunktion (Anwendungssoftware). d-SC bietet die wesentlichen Schnittstellen zwischen der Steuerelektronik und der Applikation. Als komplett offene Plattform ist d-SC der erste Bahncomputer, der Bahndienstleister und Bahnbetreiber unabhängig von einem Lösungsanbieter macht und ihnen die volle Kontrolle über ihr Projekt gibt. Warum wird das duagon SAFE CONTROL (d-SC) als modulares System bezeichnet? Die Hardware von d-SC basiert auf der bewährten 19“-CompactPCI-Technolgie und lässt sich modular an individuelle Projektbedürfnisse zusammenstellen und zusammensetzen: Der MH50C-Controller kann mit der exakten Anzahl der benötigten sicheren I/O-Kanäle und nicht-sicheren Funktionen auf der Basis von Standard-CompactPCI-Karten konfiguriert werden. d-SC ist modular in Bezug auf den I/O-Standort: Bis zu 63 dezentrale I/O-Boxen (mit vier bis acht Karten pro Gerät) können an einen MH50C-Controller angeschlossen werden, was enorme Verdrahtungskosten spart und die Betriebsstabilität erhöht. d-SC ist modular in Bezug auf die Software: Bereit für die Integration aller modernen Board Support Packages, wobei QNX standardmäßig als Echtzeitbetriebssystem zum Einsatz kommt Bereit für die Kombinationen eines Echtzeitbetriebssystem für funktional sichere Funktionen mit Linux für nicht-sichere Funktionen Bereits für die Echtzeitkommunikation über das Standard-Ethernet EtherCAT Bereit für die Programmierung auf der Basis verschiedener Standardumgebungen d-SC ist im Hinblick auf die Zertifizierung modular aufgebaut: Da die komplette d-SC Lösung "funktional sichere" und "nicht-sichere" Teile enthalten kann, unterstützt sie verschiedene SIL-4-Zertifizierungspakete. Alle Zertifikate sind entweder nur für die Hardware oder als Bundle zusammen mit den sicheren Komponenten des QNX-Echtzeitbetriebssystems erhältlich. Welche Arten von Anwendungen für Schienenfahrzeug kann duagon SAFE CONTROL (d-SC) abgedecken? d-SC ist die zentrale Computerplattform für fahrzeugseitige ATO- und ATP-Funktionen (Automated Train Operation and Protection). d-SC kann das Herzstück eines CBTC-Systems (Communication Based Train Control) bilden. d-SC hat Schnittstellen zu allen bestehenden Zugkommunikationsstandards wie MVB, WTB, CAN usw. d-SC hat Schnittstellen zur Außenwelt über drahtlose Kommunikation mit GSM-R, GPS, WLAN usw. Welche Arten streckenseitiger Anwendungen kann duagon SAFE CONTROL (d-SC) abdecken? d-SC entspricht der EMV-Norm EN 50121-4 für Bahnanwendungen, die Emissionen und Störfestigkeit von Signal- und Telekommunikationsgeräten definiert. d-SC ist die zentrale Rechnerplattform für elektronische Stellwerke in Signalsteuerungssystemen. d-SC kann als Zentralrechner in ATO/ATP-Anwendungen eingesetzt werden, beispielsweise als Zonensteuerung, Bahnsteigtürsteuerung usw. d-SC kann als Steuereinheit für alle Arten von streckenseitigen Anlagen wie Bahnübergänge, Signale, LEU usw. verwendet werden. d-SC deckt einen Teil der Funktionen des europäischen ETCS ab sowie beispielsweise CTCS, ATMS, PTC oder Klub-U. Welche Möglichkeiten der Sicherheitskonfiguration bietet duagon SAFE CONTROL (d-SC)? d-SC besteht aus SIL-4-Hard- und Softwarekomponenten, die nach EN 50126, EN 50128 und EN 50129 vorzertifiziert sind, was zu einer erheblichen Zeit- und Kosteneinsparung für die Endanwendung führt. Ein einziges F75P (funktional sicheres CPU-Board) oder MH50C (funktional sicherer d-SC-Controller) ist bereits eine 2oo2-Einheit gemäß EN 50129. Der MH50C ist ausfallsicher ausgelegt. Er unterstützt die doppelte Ausführung von Software auf zwei redundanten Prozessoren. Er unterstützt Cross-Checking zwischen zwei redundanten Prozessoren. Die funktional sichere Kommunikation mit den I/O basiert auf entsprechenden Sicherheitsprotokollen. Warum QNX als funktional sicheres Standard-Betriebssystem für duagon SAFE CONTROL (d-SC) wählen? Das Echtzeitbetriebssystem QNX ist international etabliert und bietet eine breite Palette von Entwicklungswerkzeugen. Der funktional sichere Mikrokernel QNX Neutrino unterstützt die Partitionierung der Anwendung. Das spart Kosten und Entwicklungszeit durch …: … Trennung von funktional sicheren und nicht-sicheren Funktionen auf derselben Plattform. … Kombination verschiedener SI-Levels auf einer Plattform, beispielsweise SIL 2 für ATO und SIL 4 für ATP Darüber hinaus erlaubt die Mikrokernel-Struktur Anwendungsprozessen von Protokoll-Stacks und Treibern zu trennen. QNX unterstützt die Übermittlung von Nachrichten, sodass Anwendungen Prozessorgrenzen überschreiten können. d-SC kann auch zusammen mit anderen funktional sicheren Betriebssystemen verwendet werden: d-SC ist vorbereitet für die Unterstützung von GreenHills Integrity, Sysgo PikeOS und Wind River VxWorks 7 Safety Profile. Ein Demo-Board-Support-Package (BSP) für PikeOS ist von Sysgo erhältlich. Integrity und VxWorks 7 Safety Profile werden auf Anfrage zur Verfügung gestellt. Welches Betriebssystem sollte für die nicht sicheren Teile der Anwendung verwendet werden? Linux, da es aufgrund seiner Quelloffenheit unabhängig ist von der Hardwareplattform, eine riesige Auswahl an frei verfügbaren Entwicklungswerkzeugen sowie Peripherietreibern bietet und weltweit eingesetzt wird. Warum ergibt es Sinn, die funktional sicheren von den nicht-sicheren Anwendungen zu trennen? Die Kombination von zwei Betriebssystemen (meist QNX und Linux) auf einer Hardwareplattform (hier d-SC) beschränkt den Aufwand der Anwendungsprogrammierung auf die funktional sicheren Teile. Das macht die Softwareentwicklung und die anschließende Zertifizierung einfacher und schneller, was zu deutlich geringeren Gesamtkosten führt. Durch die Abstraktion der Peripherie kann die Anwendung auf das breite Angebot an peripherer Linux-Treiberunterstützung zurückgreifen. Warum verwendet duagon SAFE CONTROL (d-SC) EtherCAT für die Kommunikation? EtherCAT ist ein Echtzeit-Ethernet-Standard, der auf Open Ethernet basiert und die Voraussetzungen erfüllt, um eine funktional sichere Kommunikation zwischen d-SC-Komponenten zu gewährleisten: EtherCAT ist deterministisch, mit Zykluszeiten von ≤ 5 ms. EtherCAT ist in der Lage, ohne Switches zu arbeiten. EtherCAT unterstützt eine Ringtopologie, die im Falle eines Kabelbruchs oder eines Stromausfalls an einem Remote-I/O die Kontinuität des Betriebs gewährleistet. Die funktional sichere Kommunikationsschicht von EtherCAT (FSoE) stellt einen Ende-zu-Ende-Schutz für die sichere I/O-Karte her. Jedes Paket, das die sichere Domäne verlässt, wird in einem „Umschlag“ gekapselt, den der Empfänger des Pakets (die funktional sichere I/O-Karte) prüft. Diese Methode verhindert Fehler wie Paketverdopplung, Verlust, falsche Reihenfolge, Korruption, falsche Adressierung usw. FSoE deckt die Anforderungen der EN 50159 ab.