账号:
密码:
智动化 / 文章 /

使用SIL 2元件设计功能安全的SIL 3类比输出模组
[作者 Brian Condell]   2024年05月27日 星期一 浏览人次: [1216]

过去几年,受以下多项因素的驱动,工业功能安全系统开始加速普及,像是制造商希??使用新的复杂技术来降低成本,例如使用安全扭矩关闭而不是再增加一个接触器;实际证明使用机器人可以提高许多生产厂房的生产率,尤其是协作机器人;认识到使用安全认证设备可以提高整体可靠性;确认使用诊断可以提高许多工厂和设备的产量;以及导入新的安全要求。另一个驱动因素,则是对能源、石油和天然气产业提出了严格的要求和监管义务。


在展开详细讨论之前,我们先看一些基本定义,以协助读者能够更理解本文。


什麽是安全?

「安全」就是指能避免发生不可接受的风险,例如生产厂房内未加防护的旋转机器就是不安全的。


什麽是安全功能?

「安全功能」是指为实现或确保安全必须执行的操作。安全功能的目的是降低系统风险,例如如果上述旋转机器的前面安装了光幕,当手穿过光幕时,安全功能将会检测到光束中断,进而在手接触到旋转机器之前使其停止运转。


安全功能通常包括三个子系统:


● 输入子系统(感测器,如液位感测器):用於感测值或状态


● 逻辑子系统(可编程逻辑控制器(PLC)):用於判断该状态是否危险


● 输出子系统(执行器):可采取行动来确保安全


图一的安全系统用於检测危险液体的液位,并在充满时切断液流。



图一 : 典型安全功能
图一 : 典型安全功能

什麽是功能安全?

指系统在需要时执行预期安全功能的可靠性。其能有效地衡量功能安全工程师对光束中断时光幕和马达的停机安全功能会运行的信任度。


如果硬体指标(随机错误)、系统能力(SC)和共因失效(CCF)不会导致安全系统故障、人员伤亡、环境受损或生产损失,则认为该系统功能安全。除了上述基本安全定义,还需了解设计功能安全系统时必须遵循的一些功能安全标准,及其相关优势。


制造商进行功能安全开发时,遵循IEC 61508或ISO 26262等标准,具有前期需求更清晰、测试期间较少出错、软体编写保持一致、整合过程中发现的缺陷更少、测试更全面、现场缺陷更少、相较於竞争对手,差异化程度更高等好处。


安全标准有很多(图二),其中大部分源自工业IEC 61508标准。值得注意的是,所有标准的90%到95%要求都与IEC 61508的要求类似。



图二 : 安全标准
图二 : 安全标准

本文重点介绍针对工业应用的IEC 61508标准,特别是如何使用SIL 2元件以相同冗馀设计SIL 3解决方案。


冗馀、高可用性和硬体容错

无论系统多麽可靠,系统最终都会失效!两种常见的故障类型是系统性故障和随机故障。叁见图三。



图三 : 系统性故障和随机故障
图三 : 系统性故障和随机故障

冗馀实际上是备用或冗馀路径,当安全系统中发生故障时,其能执行预期的安全功能。值得注意的是,系统具有一定程度的冗馀,并不表示同时具有高可用性。只有冗馀路径能够自动开启或启动时,其才具有高可用性。IEC 61508中常用的另一个术语是硬体容错(HFT)。HFT为N表示至少出现N + 1个故障才可能导致安全功能丧失。需注意一点,不应考虑其他可能控制故障影响的措施,例如诊断。HFT是一种有效的手段,可确保硬体能够抵御故障,同时允许使用者权衡HFT和SFF。叁见表一。


表一:硬体容错

元件的安全失效比率

硬体容错

0

1

2

<60%

不允许

SIL 1

SIL 2

60% <90%

SIL 1

SIL 2

SIL 3

90% <99%

SIL 2

SIL 3

SIL 4

≥99%

SIL 3

SIL 4

SIL 4


安全完整性等级

SIL描述了安全功能的完整性及其提供的降风险能力的相对水准。IEC 61508规定了四级SIL,SIL 1的安全完整性等级最低,SIL 4的安全完整性等级最高。表二比较了工业IEC 61508安全等级(SIL)、汽车(ISO 26262)安全等级(ASIL)和航空电子安全等级。请注意,这些只是近似比较。


表二:各种SIL等级

IEC 61508

ISO 26262

航空电子

SIL 1

ASIL A

D

SIL 2

ASIL B

C

SIL 3

ASIL C/D

B

SIL 4

 

A

随着SIL等级的提高(从SIL 1到SIL 4),允许的故障率(FIT)依次降低。1 FIT相当於每运行十亿(1e9)小时发生一次故障。1e9小时约为10万年!有一点要注意,没有任何设备能够持续运行10亿小时,但如果100,000台设备运行一年,在此期间可能会出现一次随机硬体故障。安全失效比率(SFF)是检测到的安全加危险故障总数与安全功能中的故障总数之比。 表三显示了硬体容错为零(HFT = 0)时安全失效比率(SFF)和SIL之间的对应关系。

表三:SIL和SFF

SIL

SFF

每小时高需求率危险故障

理论上允许的危险故障

1

60%

1e5 10,000 FIT

10年发生1次危险故障

2

90%

1e6 1,000 FIT

100年发生1次危险故障

3

99%

1e7 100 FIT

1,000年发生1次危险故障


问题/现有解决方案

对於许多采用功能安全的设计人员而言,尤其是使用IC进行设计时,问题在於获得认证可能很困难且成本高昂,并存在非常现实的不合规风险。设计人员必须创建系统级FMEDA,并且必须将ASIC视为黑匣子,因为他们不知道:


o 电晶体数量


o 内部故障机制


o 布局块大小


o IC的可靠性


因此,为了实现总体SIL目标,设计人员在FIT计算中必然会过於保守,在安全系统的其他部分中也会过度确保安全。这通常表示需要使用外部诊断,例如外部ADC。如此做法的问题是更加昂贵(BOM) ,尺寸更大,更加复杂,系统软体存在额外开销,以及开发时间更长,除了上述问题,新版IEC 61508标准(第3版)的推出更进一步加重了困难。


IEC 61508第3版

IEC 61508第3版目前计画的变更包括:明确警告慎用晶片内诊断来检测同一晶片上的故障,除非IC是按照IEC 61508开发的。其并计画包括类似於汽车ISO 26262潜在故障指标的要求。除了针对诊断功能的SFF之外,诊断电路也会有SC要求。


ADFS5758:率先通过认证的资料转换器

ADFS5758 为一款单通道、16位元电流输出DAC,整合动态功率控制(DPC),具有内部基准电压源和众多晶片内诊断功能。图四显示其功能架构。



图四 : ADFS5758架构图
图四 : ADFS5758架构图

ADFS5758的诊断/安全措施

● 主要晶片内诊断功能由ADC提供;如前所述,IEC 61508第3版计画澄清,一般不允许使用晶片内诊断来检测晶片内故障,除非IC是按照IEC 61508开发的


● 检查有无有效的读/写位址


● ECC校正


● 看门狗计时器


● 锁定配置暂存器的能力


● 内部偏置电压监视器


● 温度监控器


除了满足工业工厂自动化程序控制应用及高密度精巧小尺寸PLC类比I/O卡等要求,并且具有接收数位输入码,产生精度在±2.5%满量程范围(FSR)内的输出电流的安全功能。此外,根据IEC 61508开发,硬体指标达到SIL 2,系统要求达到SIL 3。图五显示使用ADFS5758的典型安全应用。



图五 : 使用ADFS5758的典型应用
图五 : 使用ADFS5758的典型应用

为使系统满足SIL要求,硬体指标(也称为架构约束)和SC都必须满足SIL目标。


架构约束

从硬体指标的角度看,并行放置两个SIL 2元件(相同或不同)可使客户实现更高的SIL 3等级。叁见图六。



图六 : 使用两个SIL 2元件实现硬体指标达到SIL 3的解决方案
图六 : 使用两个SIL 2元件实现硬体指标达到SIL 3的解决方案

在系统能力方面,冗馀可以透过多样化(不同)元件或相同元件来实现。


相同元件

使用具有同样SC的相同元件并不能改善整体系统能力,因为其容易出现相同的类似CCF的温度峰值或压降,并且同一故障可能会导致两个元件同时失效。叁见图七。



图七 : 使用相同元件不会提高系统能力
图七 : 使用相同元件不会提高系统能力

不同元件

在冗馀配置中使用不同的元件可以提高整体系统能力。由於两个元件不相同,所以同一故障不太可能使两个元件同时失效。但在安全系统中使用不同元件时,相应的设计导入和测试工作量会明显增加,因此这种方法可能成本较高。理想的方法,是使用两个相同元件来同时满足功能安全要求的整体能力和随机/硬体指标。


开发系统能力比SIL高一级的重要性:相同冗馀

如果系统中可以采用某个元件,并且该系统是按照比元件的SIL高一个等级的系统能力开发的,则可以在安全系统中使用两个相同元件来提供冗馀,并提高整体系统能力。示例叁见图八。



图八 : 使用相同冗馀实现SIL 3的示例
图八 : 使用相同冗馀实现SIL 3的示例

ADFS5758是按照比硬体指标高一级的系统能力开发的,因此,即使它在硬体指标或随机故障方面只通过了SIL 2认证,也可被用於设计SIL3类比输出模组。


结语

在安全系统中使用经过认证的ADFS5758可带来许多优势,包括:风险更小:满足TUV要求;可使用晶片内诊断(ADC和分散式诊断);解决方案尺寸更精巧/给定空间中通道更多(由於使用整合ADC);仅需少量外部元件(可靠性更高);针对性的诊断(检测时间更短,覆盖率更高);为系统级工程师提供关键资料(FMEDA) ;系统软体的开销更少(软体中的诊断更少);提供针对假设环境的可靠性分析;缩短客户的开发时间;提供相关档(安全手册和TUV评估报告);因应未来的IEC 61508第3版标准。


除了上述优势之外,ADFS5758并允许使用SIL 2元件以相同冗馀设计SIL 3解决方案。


(本文作者Brian Condell为ADI产品应用工程师)


相关文章
利用精密讯号链μModule解决方案简化设计、提高性能
利用精密讯号链μModule解决方案简化设计、提高性能
具备超载保护USB 供电ISM无线通讯
巨磁阻多圈位置感测器的磁体设计
为新一代永续应用设计马达编码器
comments powered by Disqus
  相关新闻
» ST Edge AI Suite人工智慧开发套件正式上线
» 透过NBM被侵权案件 Vicor专利成功经PTAB确立了有效性
» Littelfuse发表第四份年度可持续发展报告
» 德州仪器与台达电子合作 推动电动车车载充电技术再进化
» 宜鼎二期研发制造中心正式启用,以「AI加速、视觉驱动、客制整合」 为技术核心
  相关产品
» Microchip多核心64位元微处理器支援智慧边缘设计
» Basler新型 CXP-12线扫描相机具备8k和16k解析度
» 友通EC5 系列嵌入式系统适合工业自动化的多元应用需求
» ROHM超小型CMOS运算放大器适用於智慧手机和小型物联网应用
» Littelfuse新款低侧栅极驱动器适用於SiC MOSFET和高功率IGBT