快速通過工業功能安全認證，這款器件值得一試

過去幾年，受以下多項因素的驅動，工業功能安全系統開始加速普及：

另一個驅動因素是對能源、石油和天然氣行業提出了嚴格的要求和監管義務。在展開詳細討論之前，我們先看一些基本定義，以幫助各類讀者更好地理解本文。

什么是安全？

安全就是指能避免發生不可接受的風險。例如，工廠車間內未加防護的旋轉機器就是不安全的。

什么是安全功能？

安全功能是指為實現或確保安全必須執行的操作。安全功能的目的是降低系統風險。例如，如果上述旋轉機器的前面安裝了光幕，當手穿過光幕時，安全功能將會檢測到光束中斷，從而在手接觸到旋轉機器之前使其停止運轉。

安全功能通常包括三個子系統。圖1的安全系統用于檢測危險液體的液位，并在充滿時切斷液流。

圖1. 典型安全功能

什么是功能安全？

指系統在需要時執行預期安全功能的可靠性。它能有效地衡量功能安全工程師對光束中斷時光幕和電機的停機安全功能會運行的信任度。

如果硬件指標（隨機錯誤）、系統能力(SC)和共因失效(CCF)不會導致安全系統故障、人員傷亡、環境受損或生產損失，則認為該系統功能安全。

除了上述基本安全定義，還需了解設計功能安全系統時必須遵循的一些功能安全標準，及其相關優勢。

制造商進行功能安全開發時，遵循IEC 61508或ISO 26262等標準，具有以下好處：

安全標準有很多（見圖2），其中大部分源自工業IEC 61508標準。值得注意的是，所有標準的90%到95%要求都與IEC 61508的要求類似。

圖2. 安全標準

本文重點介紹針對工業應用的IEC 61508標準，特別是如何使用SIL 2器件以相同冗余設計SIL 3解決方案。

冗余、高可用性和硬件容錯

無論系統多么可靠，系統最終都會失效！兩種常見的故障類型是系統性故障和隨機故障。參見圖3。

圖3. 系統性故障和隨機故障

冗余實際上是備用或冗余路徑，當安全系統中發生故障時，它能執行預期的安全功能。值得注意的是，系統具有一定程度的冗余，并不意味著同時具有高可用性。只有冗余路徑能夠自動開啟或激活時，它才具有高可用性。IEC 61508中常用的另一個術語是硬件容錯(HFT)。HFT為N意味著至少出現N + 1個故障才可能導致安全功能喪失。需注意一點，不應考慮其他可能控制故障影響的措施，例如診斷。HFT是一種有效的手段，可確保硬件能夠抵御故障，同時允許用戶權衡HFT和SFF。參見表1。

表1. 硬件容錯

安全完整性等級

SIL描述了安全功能的完整性及其提供的降風險能力的相對水平。IEC 61508規定了四級SIL，SIL 1的安全完整性等級最低，SIL 4的安全完整性等級最高。表2比較了工業IEC 61508安全等級(SIL)、汽車(ISO 26262)安全等級(ASIL)和航空電子安全等級。請注意，這些只是近似比較。

表2. 各種SIL等級

隨著SIL等級的提高（從SIL 1到SIL 4），允許的故障率(FIT)依次降低。1 FIT相當于每運行十億(1e9)小時發生一次故障。1e9小時約為10萬年！有一點要注意，沒有任何設備能夠持續運行10億小時，但如果100,000臺設備運行一年，在此期間可能會出現一次隨機硬件故障。安全失效比率(SFF)是檢測到的安全加危險故障總數與安全功能中的故障總數之比。

表3顯示了硬件容錯為零(HFT = 0)時安全失效比率(SFF)和SIL之間的對應關系。

表3. SIL和SFF

對于許多采用功能安全的設計人員而言，尤其是使用IC進行設計時，問題在于獲得認證可能很困難且成本高昂，而且還存在非常現實的不合規風險。設計人員必須創建系統級FMEDA，并且必須將ASIC視為黑匣子，因為他們不知道：

除了這些問題，新版IEC 61508標準（第3版）的推出進一步加大了困難。

IEC 61508第3版目前計劃的變更包括：明確警告慎用片內診斷來檢測同一芯片上的故障，除非IC是按照IEC 61508開發的。它還計劃包括類似于汽車ISO 26262潛在故障指標的要求。除了針對診斷功能的SFF之外，診斷電路也會有SC要求。

ADFS5758 是一款單通道、16位電流輸出DAC，集成動態功率控制(DPC)，具有內部基準電壓源和眾多片內診斷功能。圖4顯示了其功能框圖。

ADFS5758的診斷/安全措施

旨在滿足以下要求：

安全功能：

接收數字輸入碼，產生精度在±2.5%滿量程范圍(FSR)內的輸出電流。

根據IEC 61508開發：

圖5是ADFS5758的TUV Rheinland功能安全證書副本。

圖4. ADFS5758框圖

圖5. ADFS5758功能安全證書

圖6顯示使用ADFS5758的典型安全應用。

圖6. 使用ADFS5758的典型應用

為使系統滿足SIL要求，硬件指標（也稱為架構約束）和SC都必須滿足SIL目標。

架構約束

從硬件指標的角度看，并行放置兩個SIL 2元件（相同或不同）可以讓客戶實現更高的SIL 3等級。參見圖7。

圖7. 使用兩個SIL 2元件實現硬件指標達到SIL 3的解決方案

系統能力

冗余可以通過多樣化（不同）元件或相同元件來實現。

相同元件

使用具有同樣SC的相同元件并不能改善整體系統能力，因為它們容易出現相同的類似CCF的溫度峰值或壓降，并且同一故障可能會導致兩個元件同時失效。參見圖8。

圖8. 使用相同元件不會提高系統能力

不同元件

在冗余配置中使用不同的元件可以提高整體系統能力。參見圖9。

圖9. 使用不同元件可以提高系統能力

由于兩個元件不相同，所以同一故障不太可能使兩個元件同時失效。

但在安全系統中使用不同元件時，相應的設計導入和測試工作量會顯著增加，因此這種方法可能成本較高。

理想方法是使用兩個相同元件來同時滿足功能安全要求的整體能力和隨機/硬件指標。

開發的系統能力比SIL高一級的重要性：相同冗余

如果系統中可以采用某個元件，并且該系統是按照比元件的SIL高一個等級的系統能力開發的，則可以在安全系統中使用兩個相同元件來提供冗余，并提高整體系統能力。示例參見圖10。

圖10. 使用相同冗余實現SIL 3的示例

ADFS5758是按照比硬件指標高一級的系統能力開發的，因此，即使它在硬件指標或隨機故障方面只通過了SIL 2認證，也可使用它來設計SIL3模擬輸出模塊。

在安全系統中使用經過認證的ADFS5758可帶來許多優勢：

除了上述優勢之外，ADFS5758還允許使用SIL 2器件以相同冗余設計SIL 3解決方案。