合理的功能安全設(shè)計(jì)離不開(kāi)嚴(yán)謹(jǐn)?shù)膽B(tài)度和大量的文檔參考，也需要投入一定的時(shí)間。無(wú)論您從事工廠車(chē)間還是公路方面的設(shè)計(jì)，此白皮書(shū)中 TI 的集成電路 (IC) 設(shè)計(jì)方法都會(huì)為您提供所需的資源，從而簡(jiǎn)化功能安全設(shè)計(jì)。隨著工業(yè)和汽車(chē)領(lǐng)域自動(dòng)化的出現(xiàn)，人們對(duì)功能安全的需求有增無(wú)減。所有的工業(yè)應(yīng)用都有功能安全要求，尤其是在工廠自動(dòng)化和控制系統(tǒng)中。

 

在汽車(chē)行業(yè)，盡管安全氣囊和制動(dòng)系統(tǒng)在多年前就具備了功能安全性，但隨著電氣化水平的提高和自動(dòng)駕駛功能的出現(xiàn)，系統(tǒng)需要控制電池管理、傳感器融合和車(chē)輛操作，進(jìn)而增加了對(duì)功能安全設(shè)計(jì)的需求。無(wú)論是設(shè)計(jì)工廠機(jī)器人系統(tǒng)、家用電器還是未來(lái)的汽車(chē)，人們對(duì)設(shè)計(jì)工程師提出了更高的要求，即交付的項(xiàng)目應(yīng)符合應(yīng)用相關(guān)的功能安全標(biāo)準(zhǔn)。在不要求遵循標(biāo)準(zhǔn)的應(yīng)用中，設(shè)計(jì)更安全的系統(tǒng)是在同類(lèi)競(jìng)爭(zhēng)產(chǎn)品中脫穎而出的關(guān)鍵因素。

 

功能安全標(biāo)準(zhǔn)

 

功能安全是系統(tǒng)整體安全性的一部分，是對(duì)某些輸入或故障狀態(tài)做出預(yù)測(cè)性響應(yīng)。功能安全標(biāo)準(zhǔn)認(rèn)為危險(xiǎn)總是存在的，因此，所有系統(tǒng)都有一個(gè)固有故障率。功能安全標(biāo)準(zhǔn)對(duì)如何開(kāi)發(fā)系統(tǒng)作出了規(guī)定，從而將故障率降低到可容忍水平。包含功能安全的系統(tǒng)設(shè)計(jì)必須能降低由操作不當(dāng)引發(fā)故障的風(fēng)險(xiǎn)，還能檢測(cè)故障并充分降低故障造成的影響。為實(shí)現(xiàn)功能安全合規(guī)性，工程師必須：

 

• 預(yù)測(cè)并定義危險(xiǎn)狀況。

• 確定能應(yīng)對(duì)危險(xiǎn)狀況的安全功能。

• 評(píng)估安全功能的風(fēng)險(xiǎn)降低等級(jí)。

• 確保安全功能符合設(shè)計(jì)初衷。

 

功能安全標(biāo)準(zhǔn)是由標(biāo)準(zhǔn)組織以及相關(guān)行業(yè)企業(yè)共同制定的，它通過(guò)定義系統(tǒng)中的安全功能和建立安全等級(jí)評(píng)定規(guī)范，為設(shè)計(jì)人員提供了指導(dǎo)。德州儀器(TI) 加入標(biāo)準(zhǔn)組織，有助于確保其產(chǎn)品開(kāi)發(fā)從始至終都符合功能安全要求。常見(jiàn)的安全標(biāo)準(zhǔn)包括國(guó)際電工委員會(huì) (IEC) 的61508 標(biāo)準(zhǔn)（針對(duì)工業(yè)應(yīng)用）、國(guó)際標(biāo)準(zhǔn)化組織(ISO) 的 26262 標(biāo)準(zhǔn)（針對(duì)汽車(chē)應(yīng)用）以及 IEC60730 標(biāo)準(zhǔn)（針對(duì)家用電器）。各類(lèi)安全標(biāo)準(zhǔn)都規(guī)定了風(fēng)險(xiǎn)降低等級(jí)和安全完整性等級(jí) (SIL)。例如，IEC 61508 標(biāo)準(zhǔn)將 SIL 劃分為SIL 1 至 SIL 4 四個(gè)等級(jí)，其中 SIL 4 的要求最高。SIL 1 要求安全可用性為 90% 至 99%，平均要求失效率 (PFDavg) 為 0.1 至 0.01，風(fēng)險(xiǎn)降低因子 (RRF) 為 10 至 100。SIL 4 要求安全可用性>99.99%，PFDavg 為 0.0001 至 0.00001，RRF為 10,000 至 100,000。

 

ISO 26262 標(biāo)準(zhǔn)的 ASIL 等級(jí)與 SIL 類(lèi)似，即從ASIL A 至 ASIL D，其中 ASIL D 的要求最高。功能安全流程在功能安全開(kāi)發(fā)流程中，通常需要先確定各種危險(xiǎn)情況和功能安全目標(biāo)。然后，工程師開(kāi)始檢查系統(tǒng)架構(gòu)、模塊和 IC。之后，將 IC 作為符合功能安全標(biāo)準(zhǔn)系統(tǒng)的主要構(gòu)建塊進(jìn)行開(kāi)發(fā)。為預(yù)測(cè)系統(tǒng)可能出現(xiàn)的行為，工程師必須量化和預(yù)測(cè)模塊的運(yùn)行情況。為此，工程師必須在開(kāi)發(fā)流程中對(duì)系統(tǒng)進(jìn)行結(jié)構(gòu)化安全定性分析，從而找出各種失效模式、失效原因及其影響。功能安全標(biāo)準(zhǔn)規(guī)定了工程師需要了解的 IC 相關(guān)信息，便于工程師獨(dú)立進(jìn)行失效模式、影響和診斷分析 (FMEDA)。由于 IC 的復(fù)雜度不同，系統(tǒng)安全分析可能需要有關(guān)設(shè)計(jì)、芯片和封裝的信息。

 

在此過(guò)程中，請(qǐng)務(wù)必從可靠的供應(yīng)商處選擇合適的器件。無(wú)論是用于功能安全設(shè)計(jì)，還是用于實(shí)現(xiàn)差異化競(jìng)爭(zhēng)的較安全系統(tǒng)中，TI 都能讓工程師更輕松地找到并使用合適的產(chǎn)品。

 

借助功能安全類(lèi)別簡(jiǎn)化器件的選擇

 

典型的工業(yè)和汽車(chē)應(yīng)用需要復(fù)雜度迥異的大量 IC，如一個(gè)或多個(gè)傳感器和傳動(dòng)器，處理傳感器數(shù)據(jù)的微控制器 (MCU) 或處理器，模擬多路復(fù)用器，運(yùn)算或儀表放大器，可能與或未與處理器集成的模數(shù)轉(zhuǎn)換器 (ADC) 和數(shù)模轉(zhuǎn)換器，直流/直流轉(zhuǎn)換器，低壓降穩(wěn)壓器或電源管理 IC (PMIC)，以及 LED 驅(qū)動(dòng)器、電機(jī)驅(qū)動(dòng)器、電磁閥驅(qū)動(dòng)器、場(chǎng)效應(yīng)晶體管(FET) 和絕緣柵雙極晶體管柵極驅(qū)動(dòng)器等驅(qū)動(dòng)器元件，電源開(kāi)關(guān)和負(fù)載開(kāi)關(guān)。另外，應(yīng)用還包括各類(lèi)通信接口，如 RS-485、控制器區(qū)域網(wǎng) (CAN)、以太網(wǎng)、FPD-Link 和外圍組件快速互連 (PCIe) 接口。表 1 所示是 TI 為功能安全設(shè)計(jì)提供的產(chǎn)品類(lèi)別，這也表明了基于標(biāo)準(zhǔn)的 IC 復(fù)雜度分類(lèi)依據(jù)。這些類(lèi)別包括 TI 功能安全型、TI 功能安全質(zhì)量管理型、TI 功能安全合規(guī)型。

 

功能安全合規(guī)型產(chǎn)品

 

這類(lèi)產(chǎn)品通常都是系統(tǒng)中相當(dāng)復(fù)雜的器件，如MCU、處理器或模擬電機(jī)驅(qū)動(dòng)器，可能具有集成的安全功能。TI 使用經(jīng) Technischer Überwachungsverein (TÜV)SÜD 等機(jī)構(gòu)認(rèn)證的功能安全開(kāi)發(fā)流程，開(kāi)發(fā)了這類(lèi)產(chǎn)品。這類(lèi)認(rèn)證可確保這一類(lèi)別的產(chǎn)品是按照功能安全標(biāo)準(zhǔn)（ISO26262 和 IEC61508）規(guī)定的規(guī)格開(kāi)發(fā)的。