【導(dǎo)讀】在設(shè)計(jì)安全相關(guān)系統(tǒng)(SRS)時(shí)使用符合功能安全(FS)的組件能夠帶來諸多優(yōu)勢(shì)，但大多數(shù)設(shè)計(jì)仍然依賴于標(biāo)準(zhǔn)IC，即未按照FS標(biāo)準(zhǔn)開發(fā)的IC。從系統(tǒng)級(jí)角度來看，通過使用標(biāo)準(zhǔn)部件進(jìn)行功能安全設(shè)計(jì)，設(shè)計(jì)人員便能夠始終實(shí)現(xiàn)合規(guī)性，尤其是目前僅有少數(shù)IC達(dá)到FS等級(jí)。為此，本系列的第3部分將深入探討在選擇監(jiān)控電路時(shí)，值得關(guān)注的FS關(guān)鍵特性，以幫助設(shè)計(jì)人員在眾多標(biāo)準(zhǔn)解決方案中做出更明智的選擇。
簡(jiǎn)介
在本系列的第1部分中，我們闡釋了診斷功能如何充當(dāng)功能安全(FS)合規(guī)性的支柱，主要強(qiáng)調(diào)了在安全相關(guān)系統(tǒng)(SRS)中，起到診斷作用的監(jiān)控電路如何通過三個(gè)關(guān)鍵要求——系統(tǒng)能力、可靠性預(yù)測(cè)和架構(gòu)約束——來提高FS合規(guī)性。系統(tǒng)能力評(píng)估的是在從概念化到退役的整個(gè)產(chǎn)品或服務(wù)生命周期中，質(zhì)量管理的有效性。它強(qiáng)調(diào)通過嚴(yán)格的開發(fā)過程來避免發(fā)生系統(tǒng)失效的目標(biāo)，同時(shí)指出需要借助診斷功能來控制此類失效。另一方面，可靠性預(yù)測(cè)則用于評(píng)估隨著時(shí)間推移，SRS發(fā)生故障的可能性。此外，架構(gòu)約束揭示了硬件容錯(cuò)(HFT)、失效容忍能力和安全失效比率(SFF)之間的權(quán)衡關(guān)系，即安全功能在安全狀態(tài)下失效的傾向性，而診斷功能正是這一架構(gòu)中的重要組成部分。
之后，本系列的第2部分介紹了使用符合FS的診斷功能改進(jìn)SRS設(shè)計(jì)的方法，并總結(jié)了該方法的多項(xiàng)優(yōu)勢(shì)，包括：
本身包含失效模式、影響和診斷分析(FMEDA)功能。
集成了多種安全特性，涵蓋多個(gè)診斷功能。
內(nèi)置了診斷功能來檢測(cè)片內(nèi)隨機(jī)硬件失效。
滿足即將發(fā)布的IEC 61508修訂版本的要求。
兼容其他國(guó)家/地區(qū)的安全標(biāo)準(zhǔn)和指令。
有助于簡(jiǎn)化FS評(píng)估。
盡管存在上述優(yōu)勢(shì)，系統(tǒng)設(shè)計(jì)人員可能仍會(huì)選擇使用非FS標(biāo)準(zhǔn)的組件，例如支持FS且經(jīng)過FS評(píng)估的ADI部件1。然而，由于市場(chǎng)上提供的監(jiān)控電路解決方案眾多，設(shè)計(jì)人員可能很難選出正確的解決方案。因此，無論組件是否符合FS，都必須明確對(duì)FS至關(guān)重要的診斷功能特性。出于這個(gè)原因，本系列的第3部分列舉了設(shè)計(jì)SRS時(shí)較適合診斷功能的四個(gè)安全關(guān)鍵特性，并分析了這些特性對(duì)FS合規(guī)性的影響。
電源監(jiān)控
基本FS標(biāo)準(zhǔn)IEC 61508:2010（特別是第2部分）提出了兩個(gè)與電源相關(guān)的要求2。第一個(gè)要求與表A.1和表A.9中的診斷覆蓋率(DC)和SFF有關(guān)，表A.1指定了在量化隨機(jī)硬件失效的影響時(shí)要假設(shè)的故障或失效類型，或在計(jì)算SFF時(shí)要考慮的故障或失效類型，表A.9則針對(duì)診斷測(cè)試措施和最大可實(shí)現(xiàn)DC提出了建議。第二個(gè)要求針對(duì)每個(gè)安全完整性等級(jí)(SIL)推薦了用于控制系統(tǒng)失效的技術(shù)和措施，如表A.15至表A.17所示。例如，表A.16列出的診斷措施是關(guān)于防范電壓擊穿、變化、過壓(OV)、下壓(UV)等問題所采取的措施。
根據(jù)IEC 61508-2表A.1，如果在量化隨機(jī)硬件失效的影響時(shí)假設(shè)存在固定電平故障，則可以達(dá)到60%的診斷覆蓋率（低）；而如果假設(shè)存在DC故障模型和/或漂移和振蕩，則可達(dá)到99%的診斷覆蓋率（高）。固定電平故障是指元件引腳上連續(xù)出現(xiàn)零（低信號(hào)）或一（高信號(hào)）的故障。DC故障模型包括固定電平故障、常開故障、開路或高阻抗輸出以及信號(hào)線之間的短路等失效模式。
在IEC 61508-2的表A.9中，為檢測(cè)或承受因電源缺陷引起的失效，提供了一系列診斷措施建議，包括結(jié)合過壓保護(hù)、安全關(guān)斷或切換到備用電源的技術(shù)來實(shí)現(xiàn)低DC；通過結(jié)合斷電保護(hù)、安全關(guān)斷或切換到備用電源的技術(shù)來實(shí)現(xiàn)高DC，如表1所示。
表1.根據(jù)IEC 61508-2表A.9，建議的電源診斷措施
這些推薦的診斷措施強(qiáng)調(diào)使用適當(dāng)?shù)碾娫幢O(jiān)控器，該監(jiān)控器必須能夠在所需時(shí)間內(nèi)正確檢測(cè)OV和/或UV狀態(tài)，并提供信號(hào)，以便通過斷電程序或切換到備用電源來觸發(fā)系統(tǒng)的安全關(guān)斷。
監(jiān)控精度
設(shè)計(jì)OV/UV檢測(cè)機(jī)制時(shí)，電源監(jiān)控器的首要參數(shù)與容差窗口和閾值精度有關(guān)。窗口電源監(jiān)控器的容差（或稱容差窗口）以相對(duì)于標(biāo)稱值的百分比設(shè)置UV和OV閾值。例如，對(duì)于標(biāo)稱電壓值為1 V、容差窗口為±3%的窗口電壓監(jiān)控器，UV閾值設(shè)置為1 V × 0.97，OV閾值設(shè)置為1 V × 1.03。然而，監(jiān)控器容差窗口中的這些UV和OV閾值本身也有其容差規(guī)范，即閾值精度。閾值精度是指與監(jiān)控器偏離其標(biāo)稱或理想閾值的能力相關(guān)的監(jiān)控器規(guī)范。相關(guān)參數(shù)如圖1.3所示。
圖1.MAX16193典型應(yīng)用中的電源監(jiān)控器精度和容差示例。
圖1所示為電源監(jiān)控器的閾值精度如何影響SRS設(shè)計(jì)的示例。例如，現(xiàn)場(chǎng)可編程門陣列(FPGA)的核心電源電壓(VCORE)設(shè)計(jì)為采用1.07 V至1.13 V電源供電，以確保正常工作。采用1.1 V的電源輸出電壓為FPGA的VCORE供電時(shí)，電源監(jiān)控器需要在核心電源電壓超出規(guī)范（低于1.07 V或高于1.13 V）之前置位復(fù)位信號(hào)。如圖1所示，電源監(jiān)控器的OV和UV閾值設(shè)置為±2.4%容差窗口。由于MAX16193的閾值精度規(guī)范為±0.3%，監(jiān)控器可以在電壓達(dá)到1.1231 V (OV)或電壓降至1.0769 V (UV)時(shí)觸發(fā)斷路。另一方面，如果監(jiān)控器精度較差（例如±1%），監(jiān)控器可能會(huì)在更早的電平時(shí)斷路，比如1.1151% (OV)或1.0843% (UV)。這樣的設(shè)計(jì)不僅需要更準(zhǔn)確的電源，還會(huì)造成雜散跳變。因此，提高監(jiān)控器閾值精度不僅可以放寬所需的電源規(guī)范，還能顯著減少誤觸發(fā)。
輸出機(jī)制
檢測(cè)到OV和UV狀態(tài)后，下一步就要考慮電源監(jiān)控器的輸出響應(yīng)。如圖2所示，輸出響應(yīng)可能包括提供信號(hào)以觸發(fā)系統(tǒng)的安全關(guān)斷，例如置位狀態(tài)信號(hào)以啟動(dòng)斷電程序或切換到備用電源，或者甚至通過驅(qū)動(dòng)晶體管開關(guān)的柵極來斷開后續(xù)的關(guān)鍵安全電路。TUV SUD建議，在OV事件發(fā)生后，不宜立即復(fù)位微控制器單元(MCU)。只有在UV事件結(jié)束后且不再持續(xù)時(shí)，方可復(fù)位MCU4。這是因?yàn)镺V事件可能會(huì)對(duì)MCU的部件造成不易察覺的損壞。因此，建議采取額外的措施來應(yīng)對(duì)OV事件，例如通過關(guān)斷電源或擴(kuò)大工作范圍等方式來確保系統(tǒng)安全。
圖2.使用MAX6399的電源監(jiān)控器架構(gòu)示例，包含故障狀態(tài)和柵極驅(qū)動(dòng)輸出。
故障狀態(tài)信號(hào)
輸出機(jī)制的第一個(gè)例子是故障狀態(tài)信號(hào)，該信號(hào)用于傳達(dá)被監(jiān)控電源或信號(hào)的狀態(tài)。舉個(gè)例子，從圖2可以看出，在12 V輸入中檢測(cè)到異常時(shí)，POK信號(hào)將被置位。該置位會(huì)向MCU發(fā)送信號(hào)，表示檢測(cè)到異常，要求MCU復(fù)位。
柵極驅(qū)動(dòng)
輸出機(jī)制的另一個(gè)例子是是柵極驅(qū)動(dòng)，它用于控制晶體管開關(guān)以實(shí)現(xiàn)保護(hù)和隔離功能。此類柵極驅(qū)動(dòng)輸出通過向晶體管發(fā)送信號(hào)，指示在正常條件下將主電源輸入連接到下游電路，或在發(fā)生OV事件時(shí)斷開連接以保護(hù)后面的電路，從而幫助系統(tǒng)進(jìn)入安全狀態(tài)，如圖2所示。因此，要想實(shí)現(xiàn)出色的性能，選擇合適的MOSFET5與設(shè)計(jì)柵極驅(qū)動(dòng)參數(shù)6同樣重要。
輸出操作
針對(duì)FS進(jìn)行設(shè)計(jì)時(shí)，輸出操作也是一個(gè)關(guān)鍵因素，因?yàn)檫@會(huì)影響系統(tǒng)在發(fā)生故障時(shí)的響應(yīng)方式。輸出操作主要分為兩種類型：鎖存操作和非鎖存操作。在鎖存模式下，除非像MAX16126中那樣完成周期供電，或者像其他監(jiān)控電路一樣觸發(fā)清除鎖存信號(hào)，否則輸出將永久保持置位狀態(tài)。相比之下，非鎖存模式（即始終自動(dòng)重試模式）將在故障消失后自動(dòng)解除系統(tǒng)置位。
其他考慮因素
不同的選項(xiàng)會(huì)帶來不同的操作效果，所以輸出拓?fù)浜蜆O性對(duì)FS也十分重要。例如，故障狀態(tài)信號(hào)的開漏拓?fù)淇蓪⒑竺娴碾娐放c電壓監(jiān)控器的輸入電源隔離開來。就極性而言，為安全關(guān)鍵功能（即制動(dòng)和緊急停止功能）選擇低電平有效復(fù)位信號(hào)，可以確保在控制信號(hào)失效時(shí)，系統(tǒng)默認(rèn)進(jìn)入安全狀態(tài)。相比之下，高電平有效極性在電源故障時(shí)可能會(huì)導(dǎo)致系統(tǒng)失效。
片內(nèi)診斷
片內(nèi)診斷是指允許IC內(nèi)部用于檢測(cè)自身故障的功能。這可以通過IC的內(nèi)部安全機(jī)制來實(shí)現(xiàn)，比如內(nèi)置自測(cè)功能(BIST)7、8、9，該功能可用于進(jìn)行自測(cè)和定期測(cè)試。例如，MAX16138支持在上電或正常工作期間啟動(dòng)的BIST功能。此時(shí)，BIST讓組件可以自動(dòng)檢查其內(nèi)部比較器或數(shù)字電路，以減少發(fā)生隨機(jī)硬件失效的可能性，降低設(shè)備的危險(xiǎn)故障概率8。
基本FS標(biāo)準(zhǔn)(IEC 61508-2)建議采用可測(cè)性設(shè)計(jì)(DFT)技術(shù)，以防止在SRS的設(shè)計(jì)和開發(fā)過程中引入故障。作為DFT的一種類型，BIST是硬件結(jié)構(gòu)，能夠生成測(cè)試數(shù)據(jù)，將數(shù)據(jù)應(yīng)用于被測(cè)電路(CUT)，收集輸出響應(yīng)，并驗(yàn)證輸出是否正確9。這一點(diǎn)可以從圖3看出7。IEC 62566、IEC 60987、IEEE 379、IEEE 7-4.3.2和NUREG/CR-7006等其他行業(yè)標(biāo)準(zhǔn)也要求采取類似的可測(cè)試性措施。值得一提的是，NUREG/CR-7006建議集成BIST來監(jiān)測(cè)FPGA系統(tǒng)的健康狀況，因?yàn)閮x器儀表和控制系統(tǒng)中的BIST邏輯可以用于監(jiān)測(cè)所有功能，比如總線活動(dòng)、是否出現(xiàn)錯(cuò)誤數(shù)據(jù)和超時(shí)電路等9。
圖3.BIST電路方框圖。
片內(nèi)診斷也可以通過RAM測(cè)試、閃存CRC檢查或輸出測(cè)試的形式進(jìn)行。在每次系統(tǒng)啟動(dòng)時(shí)執(zhí)行這些測(cè)試時(shí)，它們可以發(fā)揮重要作用，比如可以用作支持診斷措施的論證，或在安全分析中用于確定故障檢測(cè)時(shí)間4。因此，安全手冊(cè)中應(yīng)指定與操作此類診斷措施相關(guān)的任何信息。
所以，具有BIST等片內(nèi)診斷功能的組件不僅能夠優(yōu)化組件級(jí)和系統(tǒng)級(jí)的實(shí)現(xiàn)，還能顯著增強(qiáng)FS合規(guī)性。
看門狗定時(shí)器架構(gòu)
隨著微控制器在電源和SRS中普及，看門狗定時(shí)器(WDT)特性成為了高性能電壓監(jiān)控器應(yīng)用中另一個(gè)值得關(guān)注的安全特性。歷史表明，當(dāng)所有其他措施均失效時(shí)，尤其是在安全關(guān)鍵應(yīng)用中使用MCU時(shí)，WDT可作為系統(tǒng)的故障安全功能或最后一道防線。
看門狗定時(shí)器符合基本FS標(biāo)準(zhǔn)IEC 61508對(duì)程序序列監(jiān)測(cè)的要求，可作為診斷措施來控制因硬件設(shè)計(jì)和環(huán)境壓力或影響引起的系統(tǒng)失效。這一點(diǎn)也體現(xiàn)在IEC 61508-2:2010表A.15和表A.16里，表中提到，無論安全完整性等級(jí)和診斷覆蓋率如何，都強(qiáng)烈推薦使用WDT。
與微控制器的內(nèi)置WDT特性相比，外部或獨(dú)立WDT（通常為電源監(jiān)控器IC的形式）可以消除共因故障，同時(shí)確保在MCU發(fā)生故障時(shí)，仍能觸發(fā)安全功能。圖4為SRS中的WDT實(shí)現(xiàn)示例。這與TüV SüD在討論看門狗和微控制器時(shí)的觀點(diǎn)也是一致的4。
圖4.使用MAX16058的SRS中的WDT實(shí)現(xiàn)示例。
表2和表3所示為IEC 61508-2的表A.10和表A.11，其中列出了每種類型的看門狗（具有獨(dú)立時(shí)基，有或沒有時(shí)間窗口）分別用于程序序列和時(shí)鐘時(shí)，可實(shí)現(xiàn)的最大診斷覆蓋率。這意味著，在診斷程序序列和時(shí)鐘失效時(shí)，簡(jiǎn)單的看門狗定時(shí)器的最大DC可達(dá)到60%至90%。另一方面，窗口化看門狗在用于程序序列時(shí)的最大DC可達(dá)到90%到99%，在用于時(shí)鐘時(shí)的最大DC至少可達(dá)到99%。DC是安全分析和指標(biāo)計(jì)算的組成部分，因此在進(jìn)行FMEDA時(shí)，此類數(shù)據(jù)非常有用。
表2.根據(jù)IEC 61508-2的表A.10——程序序列（看門狗）
根據(jù)表2和表3所示的看門狗定時(shí)器架構(gòu)10及其應(yīng)用場(chǎng)景，可達(dá)到的最大診斷覆蓋率也會(huì)有所不同。值得注意的是，與簡(jiǎn)單的（非窗口化）看門狗定時(shí)器相比，窗口化看門狗定時(shí)器具有更高的故障覆蓋率11，因此后者可以達(dá)到更高的DC。
結(jié)論
本文的主要目的是深入探討在設(shè)計(jì)安全相關(guān)系統(tǒng)時(shí)需注意的多個(gè)電源監(jiān)控器IC特性。無論IC是否符合FS標(biāo)準(zhǔn)，這些特性都至關(guān)重要。本文以FS標(biāo)準(zhǔn)為出發(fā)點(diǎn)，從外部評(píng)估機(jī)構(gòu)的角度討論了電源監(jiān)控精度和輸出機(jī)制、片內(nèi)診斷與看門狗架構(gòu)的重要性。此外，本文還針對(duì)SRS設(shè)計(jì)中所需的各項(xiàng)診斷措施，提供了相應(yīng)的架構(gòu)示例和設(shè)計(jì)考量。
本系列的下一部分將討論如何將看門狗定時(shí)器與程序序列監(jiān)測(cè)相結(jié)合，敬請(qǐng)關(guān)注。
參考文獻(xiàn)
1 Bryan Borres和Rachele Diane Yco。“值得信賴的電源產(chǎn)品：工業(yè)功能安全系統(tǒng)的監(jiān)控電路”。ADI公司，2024年11月。
2 IEC 61508 All Parts,“Functional Safety of Electrical/Electronic/Programmable Electronic Safety-Related Systems”。國(guó)際電工委員會(huì)，2010年。
3 Noel Tenorio和Camille Bianca Gomez?！袄酶呔却翱诒O(jiān)控器優(yōu)化電源性能”。ElectronicDesign，2025年1月。
4 “Top Misunderstandings About Functional Safety”。TüV SüD。
5 “針對(duì)工業(yè)高端輸出應(yīng)用為MAX14922選擇合適的N通道MOSFET”。ADI公司，2021年4月。
6 Sanket Sapre?！案綦x式柵極驅(qū)動(dòng)器揭秘”，《模擬對(duì)話》，第52卷，2018年6月。
7 Brian Harrington?！坝糜贏nalog Weenies的BIST”?！赌M對(duì)話》，第42卷，2008年2月。
8 Lee Harrison?！癏ow to Meet Functional Safety Requirements With Built-In-Self-Test”。Semiconductor Engineering，2020年6月。
9 Zequn Lin、Lingzhi Wang、Yuanfeng Cai、Fanyu Wang和Yichun Wu?！癐mplementation of a Built-in Self-Test for Nuclear Power Plant FPGA-Based Safety-Critical Control Systems”?！禔nnals of Nuclear Energy》，第165卷，2022年1月。
10“窗口化看門狗操作的基礎(chǔ)知識(shí)”。ADI公司，2021年12月。
11 Ashraf M. El-Attar和Gamal Fahmy?！癆 Study of Fault Coverage of Standard and Windowed Watchdog Timers”。IEEE信號(hào)處理和通信國(guó)際會(huì)議，2007年。
作者簡(jiǎn)介
Bryan Angelo Borres是經(jīng)TüV SüD認(rèn)證的功能安全工程師，目前負(fù)責(zé)多個(gè)工業(yè)功能安全產(chǎn)品開發(fā)項(xiàng)目。作為高級(jí)電源應(yīng)用工程師，他負(fù)責(zé)幫助系統(tǒng)集成商設(shè)計(jì)符合IEC 61508等工業(yè)功能安全標(biāo)準(zhǔn)的功能安全電源架構(gòu)。最近，他成為了IEC TC65/SC65A的IEC菲律賓國(guó)家委員會(huì)和IEEE功能安全標(biāo)準(zhǔn)委員會(huì)的成員。Bryan擁有電力電子專業(yè)的研究生文憑，在設(shè)計(jì)高效、穩(wěn)健的電力電子系統(tǒng)方面積累了近七年的豐富經(jīng)驗(yàn)。
Christopher Macatangay是多市場(chǎng)Power-East事業(yè)部的高級(jí)產(chǎn)品應(yīng)用工程師，目前負(fù)責(zé)為HPS產(chǎn)品的功能安全特性和新產(chǎn)品開發(fā)提供支持。他于2015年加入ADI公司，擔(dān)任產(chǎn)品應(yīng)用工程師。在加入ADI公司之前，Christopher曾在一家電源公司擔(dān)任測(cè)試/產(chǎn)品開發(fā)工程師，積累了六年的工作經(jīng)驗(yàn)。他擁有亞當(dāng)森大學(xué)電子與通信工程學(xué)士學(xué)位。
