系統(tǒng)設(shè)計(jì)和功能安全合規(guī)性不應(yīng)該依次進(jìn)行。遺憾的是，傳統(tǒng)設(shè)計(jì)方法以及許多組織都將設(shè)計(jì)流程中的這些步驟視為單獨(dú)的孤立活動(dòng)，這往往會(huì)導(dǎo)致設(shè)計(jì)成本增加和產(chǎn)品面市延誤。

內(nèi)容概覽

1. 定義功能安全合規(guī)性

功能安全標(biāo)準(zhǔn)的目標(biāo)是管理和緩解系統(tǒng)故障，同時(shí)還能夠檢測(cè)和防止隨機(jī)硬件故障，或至少確保排除其風(fēng)險(xiǎn)。

2. 功能安全系統(tǒng)設(shè)計(jì)的兩個(gè)屬性

功能安全涉及開發(fā)能提供預(yù)期功能并符合安全完整性等級(jí)的系統(tǒng)。

3. 設(shè)計(jì)功能安全電機(jī)控制和驅(qū)動(dòng)系統(tǒng)的推薦方法

設(shè)計(jì)功能安全系統(tǒng)的系統(tǒng)工程師應(yīng)在設(shè)計(jì)流程開始時(shí)就著手處理功能安全合規(guī)性，而不是在事后才考慮。

在設(shè)計(jì)功能安全的電機(jī)控制應(yīng)用時(shí)，您是否應(yīng)該從一開始就將功能安全合規(guī)性作為初始設(shè)計(jì)要求？或者，您是否應(yīng)該將功能安全視為融入設(shè)計(jì)最終階段的附加功能？

功能安全應(yīng)納入初始設(shè)計(jì)要求中，與電機(jī)驅(qū)動(dòng)器的預(yù)期功能交織在一起。這并不是準(zhǔn)則，因?yàn)閭鹘y(tǒng)的系統(tǒng)設(shè)計(jì)工作流程不會(huì)協(xié)同處理安全合規(guī)性。但是，如果不一開始就考慮如何滿足安全完整性合規(guī)要求，則可能會(huì)導(dǎo)致將系統(tǒng)推向市場(chǎng)時(shí)出現(xiàn)延誤，而這種延誤成本高昂。

隨著工業(yè) 4.0 的興起以及車輛電氣化和連接技術(shù)的發(fā)展，我們需要改變功能安全合規(guī)性方法。簡(jiǎn)而言之，現(xiàn)在我們?cè)诟嗟膽?yīng)用中擁有更多的電機(jī)系統(tǒng)，并且在符合功能安全標(biāo)準(zhǔn)方面達(dá)到了很高的水準(zhǔn)。

定義功能安全合規(guī)性

諸如國(guó)際電工委員會(huì) (IEC) 61508 和國(guó)際標(biāo)準(zhǔn)化組織 (ISO)26262 等功能安全標(biāo)準(zhǔn)的目標(biāo)是管理和緩解系統(tǒng)故障，同時(shí)還能夠檢測(cè)和防止隨機(jī)硬件故障，或至少確保排除其風(fēng)險(xiǎn)。

采用具有獨(dú)立驗(yàn)證和確認(rèn)的嚴(yán)格開發(fā)流程有助于針對(duì)系統(tǒng)故障進(jìn)行管理。

可以通過以下方式檢測(cè)、防止隨機(jī)硬件故障或排除其風(fēng)險(xiǎn)：

? 全面了解所控制的設(shè)備。

? 分析情境性風(fēng)險(xiǎn)的可能來源及其屬性，例如發(fā)生概率、影響的嚴(yán)重性和事件的可控性。

然后，將安全機(jī)制與情境性風(fēng)險(xiǎn)配對(duì)，有助于設(shè)計(jì)人員滿足 IEC 61508 所要求的量化指標(biāo)，例如安全失效分?jǐn)?shù)(SFF) 和每小時(shí)故障概率 (PFH)。例如，安全完整性等級(jí)(SIL) 為 2 的系統(tǒng)在超過 10 億小時(shí)的運(yùn)行中必須滿足SFF≥90% 且 PFH ≤100 時(shí)基故障。

功能安全系統(tǒng)設(shè)計(jì)的兩個(gè)屬性

功能安全標(biāo)準(zhǔn)假設(shè)所有系統(tǒng)都將發(fā)生故障（不是會(huì)不會(huì)發(fā)生故障，而是何時(shí)發(fā)生故障），不存在零風(fēng)險(xiǎn)的情況。

功能安全系統(tǒng)設(shè)計(jì)的兩個(gè)屬性分別是：開發(fā)一個(gè)系統(tǒng)來提供預(yù)期功能，以及開發(fā)同一個(gè)系統(tǒng)來滿足特定 SIL 或汽車SIL (ASIL) 等安全功能要求。

設(shè)計(jì)人員經(jīng)常以不同的方式或按順序處理這兩個(gè)方面。為大容量應(yīng)用設(shè)計(jì)功能安全的系統(tǒng)，同時(shí)保持設(shè)計(jì)預(yù)算要求是一項(xiàng)挑戰(zhàn)。表 1 概述了控制和驅(qū)動(dòng)應(yīng)用中預(yù)期功能和安全功能的示例。

為了更好地理解此概念，請(qǐng)查看表 1 中的電梯電機(jī)示例。

電梯的預(yù)期功能是根據(jù)用戶輸入上下運(yùn)送乘客。如果您按下到達(dá)五樓的按鈕，電梯應(yīng)該會(huì)停在五樓。

電梯的安全功能則更進(jìn)一步，可能包括：

? 將您從一個(gè)樓層平穩(wěn)地運(yùn)送到另一個(gè)樓層。

? 停在與每層樓平臺(tái)齊平的位置。

? 如果電梯超過安全速度，則自動(dòng)應(yīng)用制動(dòng)器。

表 1.控制和驅(qū)動(dòng)應(yīng)用中的預(yù)期和安全功能示例。

為了更好地理解預(yù)期功能和安全功能如何協(xié)同工作，假設(shè)一棟建筑物中有 20 個(gè)樓層，里面的電梯有一個(gè)按鈕電路（請(qǐng)參閱圖 1），電梯電機(jī)控制器將故障解釋為讓電梯抵達(dá)第 25 或第 30 層（即，建筑物內(nèi)不存在的樓層）。界限檢查會(huì)盡早發(fā)現(xiàn)故障，以免其導(dǎo)致錯(cuò)誤或最終導(dǎo)致失效。這是功能安全方面的公認(rèn)進(jìn)展：“故障”會(huì)導(dǎo)致“錯(cuò)誤”，而某些錯(cuò)誤可能會(huì)導(dǎo)致“失效”。

圖 1.現(xiàn)代電梯按鈕示例。
我們來回顧一下預(yù)期功能設(shè)計(jì)和安全功能設(shè)計(jì)的流程。

在電機(jī)驅(qū)動(dòng)器的預(yù)期功能設(shè)計(jì)流程中，系統(tǒng)工程師選擇微控制器 (MCU) 來滿足預(yù)期功能的要求。隨后，他們分配檢測(cè)功能（例如集成模數(shù)轉(zhuǎn)換器 (ADC) 通道），以監(jiān)控轉(zhuǎn)子位置、線路電流、相電壓和系統(tǒng)溫度。然后，系統(tǒng)工程師繼續(xù)使用 MCU 的可用處理能力（例如 CPU 的每秒百萬(wàn)條指令 (MIPS)）來運(yùn)行電機(jī)控制算法，以及可用的驅(qū)動(dòng)外設(shè)（例如脈寬調(diào)制器 (PWM)）來驅(qū)動(dòng)電機(jī)驅(qū)動(dòng)器電路。此過程通常需要幾個(gè)月，還涉及設(shè)計(jì)印刷電路板 (PCB)、開發(fā)電機(jī)控制算法以及開發(fā)和調(diào)試所有嵌入式軟件。

在由一個(gè)獨(dú)立的、有些孤立的團(tuán)隊(duì)負(fù)責(zé)處理安全功能設(shè)計(jì)流程的組織中，會(huì)有一名單獨(dú)的功能安全專家負(fù)責(zé)檢查系統(tǒng)工程師最初選擇的 MCU 的功能安全手冊(cè)。在某些情況下，功能安全專家可能會(huì)發(fā)現(xiàn)獨(dú)立安全元素 (SEooC) 安全概念需要使用軟件測(cè)試功能，包括錯(cuò)誤測(cè)試、硬件冗余、數(shù)模轉(zhuǎn)換器 (DAC) 至 ADC 環(huán)回檢查或通過增強(qiáng)型捕捉監(jiān)控增強(qiáng)型 PWM?；仡欀暗碾娞菔纠?，可能有必要使用多個(gè) ADC 通道來監(jiān)控每個(gè)樓層上的水平傳感器，以防止MCU ADC 中出現(xiàn)“卡住”故障。

如果 ADC 和 PWM 通道不足或 CPU MIPS 不足，無法實(shí)現(xiàn)功能安全，可能需要返回到制圖板并選擇另一個(gè) MCU來實(shí)現(xiàn)功能安全系統(tǒng)，這可能會(huì)使獨(dú)立系統(tǒng)設(shè)計(jì)團(tuán)隊(duì)迄今為止完成的工作付諸東流。

即使設(shè)計(jì)步驟不是按順序進(jìn)行，它們也經(jīng)常在獨(dú)立的組織孤島中進(jìn)行；也就是說，系統(tǒng)工程師通常不具備任何功能安全專業(yè)知識(shí)，而功能安全專家也不是系統(tǒng)工程師。這種孤立的方法最終會(huì)帶來同樣的問題：系統(tǒng)成本增加和面市時(shí)間延誤數(shù)月。

設(shè)計(jì)功能安全電機(jī)控制和驅(qū)動(dòng)系統(tǒng)的推薦方法

設(shè)計(jì)功能安全系統(tǒng)的系統(tǒng)工程師的最終目標(biāo)是在設(shè)計(jì)流程的一開始就著手處理功能安全合規(guī)性。

設(shè)計(jì)和提供符合設(shè)計(jì)預(yù)算的功能安全系統(tǒng)需要對(duì)安全合規(guī)性和預(yù)期功能進(jìn)行協(xié)同分析。獨(dú)立或依次處理工程可能會(huì)帶來挑戰(zhàn)，甚至無法滿足系統(tǒng)設(shè)計(jì)目標(biāo)?？紤]到之前的由團(tuán)隊(duì)管理安全功能設(shè)計(jì)流程的示例，盡早開展協(xié)作或許可以避免選擇新 MCU 和重新配置 PCB。

實(shí)際上，另一個(gè)示例可能說明了建議的方法。人類同時(shí)利用左腦（邏輯）和右腦（創(chuàng)造性）來全面解決問題，如圖2 所示。

圖 2.整個(gè)大腦在系統(tǒng)設(shè)計(jì)和功能安全合規(guī)性方面擁有統(tǒng)一的專業(yè)知識(shí)。

將大腦想象成一個(gè)組織，其中每一半代表不同的團(tuán)隊(duì)或內(nèi)部設(shè)計(jì)資源，能夠在設(shè)計(jì)流程中提出特定學(xué)科的觀點(diǎn)。他們可以在設(shè)計(jì)工作流程中作為一個(gè)單元協(xié)同工作，從專業(yè)角度處理設(shè)計(jì)，同時(shí)保持清晰持續(xù)的溝通。

同樣，有效的設(shè)計(jì)工程需要系統(tǒng)設(shè)計(jì)人員和功能安全專家團(tuán)隊(duì)協(xié)同工作來實(shí)現(xiàn)功能安全系統(tǒng)。為了幫助縮短產(chǎn)品面市時(shí)間，系統(tǒng)工程師需要合適的設(shè)計(jì)資源。例如，TI 提出了子系統(tǒng)級(jí)和系統(tǒng)級(jí)功能安全概念，并由第三方獨(dú)立評(píng)估。

TI 如何幫助您設(shè)計(jì)功能安全系統(tǒng)

TI 的產(chǎn)品系列種類繁多，涵蓋電機(jī)驅(qū)動(dòng)器和柵極驅(qū)動(dòng)器到基于專有 CPU 架構(gòu)的 MCU，包括基于 C2000? 和基于Arm? Cortex? 的 MCU，例如 AM2434BSDFHIALVR。這些產(chǎn)品具有高級(jí)診斷功能和片上感應(yīng)外設(shè)，能夠快速檢測(cè)故障并對(duì)其做出反應(yīng)，同時(shí)更大限度地減少系統(tǒng)停機(jī)時(shí)間（在工業(yè)環(huán)境中，可提高工廠生產(chǎn)力）。

為了幫助您找到更有效的器件來進(jìn)行功能安全設(shè)計(jì)，TI 定義了三個(gè)適合在功能安全應(yīng)用中使用的產(chǎn)品類別：TI 功能安全型、TI 功能安全質(zhì)量管理型和 TI 功能安全合規(guī)型。（我們的電機(jī)驅(qū)動(dòng)器、柵極驅(qū)動(dòng)器和 MCU 通常是 TI 功能安全合規(guī)型產(chǎn)品。）

TI 設(shè)計(jì)和構(gòu)建這些產(chǎn)品來滿足 IEC 61508 和 ISO 26262 的系統(tǒng)功能合規(guī)性建議，使您能夠構(gòu)建安全可靠的電機(jī)控制和驅(qū)動(dòng)系統(tǒng)。我們?yōu)槊總€(gè)器件提供失效模式、影響和診斷分析 (FMEDA)、功能安全手冊(cè)以及（若適用）安全診斷庫(kù)，系統(tǒng)和子系統(tǒng)功能安全概念報(bào)告可在 TI.com 上找到或通過申請(qǐng)獲得。TI MCU 的功能安全手冊(cè)包括 SEooC 的背景介紹，并概述了示例應(yīng)用可能的故障組。

我們的設(shè)計(jì)資源示例包括適用于工業(yè)驅(qū)動(dòng)器且經(jīng)過 TüVSüD 評(píng)估的 STO 模塊，如適用于工業(yè)驅(qū)動(dòng)器且經(jīng)過 TUEV評(píng)估的安全轉(zhuǎn)矩關(guān)閉 (STO)參考設(shè)計(jì) (IEC 61800-5-2) 中所述。請(qǐng)?jiān)L問 www.ti.com.cn/zh-cn/technologies/functional-safety.html，詳細(xì)了解我們的功能安全產(chǎn)品并查看設(shè)計(jì)資源。

TI 在符合 ISO 26262 SEooC 和 IEC 61508 標(biāo)準(zhǔn)的部件，以及使用 TI 產(chǎn)品的功能安全型系統(tǒng)的類型方面擁有豐富的經(jīng)驗(yàn)。當(dāng)然，實(shí)現(xiàn)這些優(yōu)勢(shì)需要平衡開發(fā)預(yù)期功能和安全功能的復(fù)雜需求