系統(tǒng)設計和功能安全合規(guī)性不應該依次進行。遺憾的是，傳統(tǒng)設計方法以及許多組織都將設計流程中的這些步驟視為單獨的孤立活動，這往往會導致設計成本增加和產品面市延誤。

內容概覽

1. 定義功能安全合規(guī)性

功能安全標準的目標是管理和緩解系統(tǒng)故障，同時還能夠檢測和防止隨機硬件故障，或至少確保排除其風險。

2. 功能安全系統(tǒng)設計的兩個屬性

功能安全涉及開發(fā)能提供預期功能并符合安全完整性等級的系統(tǒng)。

3. 設計功能安全電機控制和驅動系統(tǒng)的推薦方法

設計功能安全系統(tǒng)的系統(tǒng)工程師應在設計流程開始時就著手處理功能安全合規(guī)性，而不是在事后才考慮。

在設計功能安全的電機控制應用時，您是否應該從一開始就將功能安全合規(guī)性作為初始設計要求？或者，您是否應該將功能安全視為融入設計最終階段的附加功能？

功能安全應納入初始設計要求中，與電機驅動器的預期功能交織在一起。這并不是準則，因為傳統(tǒng)的系統(tǒng)設計工作流程不會協(xié)同處理安全合規(guī)性。但是，如果不一開始就考慮如何滿足安全完整性合規(guī)要求，則可能會導致將系統(tǒng)推向市場時出現(xiàn)延誤，而這種延誤成本高昂。

隨著工業(yè) 4.0 的興起以及車輛電氣化和連接技術的發(fā)展，我們需要改變功能安全合規(guī)性方法。簡而言之，現(xiàn)在我們在更多的應用中擁有更多的電機系統(tǒng)，并且在符合功能安全標準方面達到了很高的水準。

定義功能安全合規(guī)性

諸如國際電工委員會 (IEC) 61508 和國際標準化組織 (ISO)26262 等功能安全標準的目標是管理和緩解系統(tǒng)故障，同時還能夠檢測和防止隨機硬件故障，或至少確保排除其風險。

采用具有獨立驗證和確認的嚴格開發(fā)流程有助于針對系統(tǒng)故障進行管理。

可以通過以下方式檢測、防止隨機硬件故障或排除其風險：

? 全面了解所控制的設備。

? 分析情境性風險的可能來源及其屬性，例如發(fā)生概率、影響的嚴重性和事件的可控性。

然后，將安全機制與情境性風險配對，有助于設計人員滿足 IEC 61508 所要求的量化指標，例如安全失效分數(shù)(SFF) 和每小時故障概率 (PFH)。例如，安全完整性等級(SIL) 為 2 的系統(tǒng)在超過 10 億小時的運行中必須滿足SFF≥90% 且 PFH ≤100 時基故障。

功能安全系統(tǒng)設計的兩個屬性

功能安全標準假設所有系統(tǒng)都將發(fā)生故障（不是會不會發(fā)生故障，而是何時發(fā)生故障），不存在零風險的情況。

功能安全系統(tǒng)設計的兩個屬性分別是：開發(fā)一個系統(tǒng)來提供預期功能，以及開發(fā)同一個系統(tǒng)來滿足特定 SIL 或汽車SIL (ASIL) 等安全功能要求。

設計人員經常以不同的方式或按順序處理這兩個方面。為大容量應用設計功能安全的系統(tǒng)，同時保持設計預算要求是一項挑戰(zhàn)。表 1 概述了控制和驅動應用中預期功能和安全功能的示例。

為了更好地理解此概念，請查看表 1 中的電梯電機示例。

電梯的預期功能是根據(jù)用戶輸入上下運送乘客。如果您按下到達五樓的按鈕，電梯應該會停在五樓。

電梯的安全功能則更進一步，可能包括：

? 將您從一個樓層平穩(wěn)地運送到另一個樓層。

? 停在與每層樓平臺齊平的位置。

? 如果電梯超過安全速度，則自動應用制動器。

表 1.控制和驅動應用中的預期和安全功能示例。

為了更好地理解預期功能和安全功能如何協(xié)同工作，假設一棟建筑物中有 20 個樓層，里面的電梯有一個按鈕電路（請參閱圖 1），電梯電機控制器將故障解釋為讓電梯抵達第 25 或第 30 層（即，建筑物內不存在的樓層）。界限檢查會盡早發(fā)現(xiàn)故障，以免其導致錯誤或最終導致失效。這是功能安全方面的公認進展：“故障”會導致“錯誤”，而某些錯誤可能會導致“失效”。

圖 1.現(xiàn)代電梯按鈕示例。
我們來回顧一下預期功能設計和安全功能設計的流程。

在電機驅動器的預期功能設計流程中，系統(tǒng)工程師選擇微控制器 (MCU) 來滿足預期功能的要求。隨后，他們分配檢測功能（例如集成模數(shù)轉換器 (ADC) 通道），以監(jiān)控轉子位置、線路電流、相電壓和系統(tǒng)溫度。然后，系統(tǒng)工程師繼續(xù)使用 MCU 的可用處理能力（例如 CPU 的每秒百萬條指令 (MIPS)）來運行電機控制算法，以及可用的驅動外設（例如脈寬調制器 (PWM)）來驅動電機驅動器電路。此過程通常需要幾個月，還涉及設計印刷電路板 (PCB)、開發(fā)電機控制算法以及開發(fā)和調試所有嵌入式軟件。

在由一個獨立的、有些孤立的團隊負責處理安全功能設計流程的組織中，會有一名單獨的功能安全專家負責檢查系統(tǒng)工程師最初選擇的 MCU 的功能安全手冊。在某些情況下，功能安全專家可能會發(fā)現(xiàn)獨立安全元素 (SEooC) 安全概念需要使用軟件測試功能，包括錯誤測試、硬件冗余、數(shù)模轉換器 (DAC) 至 ADC 環(huán)回檢查或通過增強型捕捉監(jiān)控增強型 PWM?；仡欀暗碾娞菔纠?，可能有必要使用多個 ADC 通道來監(jiān)控每個樓層上的水平傳感器，以防止MCU ADC 中出現(xiàn)“卡住”故障。

如果 ADC 和 PWM 通道不足或 CPU MIPS 不足，無法實現(xiàn)功能安全，可能需要返回到制圖板并選擇另一個 MCU來實現(xiàn)功能安全系統(tǒng)，這可能會使獨立系統(tǒng)設計團隊迄今為止完成的工作付諸東流。

即使設計步驟不是按順序進行，它們也經常在獨立的組織孤島中進行；也就是說，系統(tǒng)工程師通常不具備任何功能安全專業(yè)知識，而功能安全專家也不是系統(tǒng)工程師。這種孤立的方法最終會帶來同樣的問題：系統(tǒng)成本增加和面市時間延誤數(shù)月。

設計功能安全電機控制和驅動系統(tǒng)的推薦方法

設計功能安全系統(tǒng)的系統(tǒng)工程師的最終目標是在設計流程的一開始就著手處理功能安全合規(guī)性。

設計和提供符合設計預算的功能安全系統(tǒng)需要對安全合規(guī)性和預期功能進行協(xié)同分析。獨立或依次處理工程可能會帶來挑戰(zhàn)，甚至無法滿足系統(tǒng)設計目標?？紤]到之前的由團隊管理安全功能設計流程的示例，盡早開展協(xié)作或許可以避免選擇新 MCU 和重新配置 PCB。

實際上，另一個示例可能說明了建議的方法。人類同時利用左腦（邏輯）和右腦（創(chuàng)造性）來全面解決問題，如圖2 所示。

圖 2.整個大腦在系統(tǒng)設計和功能安全合規(guī)性方面擁有統(tǒng)一的專業(yè)知識。

將大腦想象成一個組織，其中每一半代表不同的團隊或內部設計資源，能夠在設計流程中提出特定學科的觀點。他們可以在設計工作流程中作為一個單元協(xié)同工作，從專業(yè)角度處理設計，同時保持清晰持續(xù)的溝通。

同樣，有效的設計工程需要系統(tǒng)設計人員和功能安全專家團隊協(xié)同工作來實現(xiàn)功能安全系統(tǒng)。為了幫助縮短產品面市時間，系統(tǒng)工程師需要合適的設計資源。例如，TI 提出了子系統(tǒng)級和系統(tǒng)級功能安全概念，并由第三方獨立評估。

TI 如何幫助您設計功能安全系統(tǒng)

TI 的產品系列種類繁多，涵蓋電機驅動器和柵極驅動器到基于專有 CPU 架構的 MCU，包括基于 C2000? 和基于Arm? Cortex? 的 MCU，例如 AM2434BSDFHIALVR。這些產品具有高級診斷功能和片上感應外設，能夠快速檢測故障并對其做出反應，同時更大限度地減少系統(tǒng)停機時間（在工業(yè)環(huán)境中，可提高工廠生產力）。

為了幫助您找到更有效的器件來進行功能安全設計，TI 定義了三個適合在功能安全應用中使用的產品類別：TI 功能安全型、TI 功能安全質量管理型和 TI 功能安全合規(guī)型。（我們的電機驅動器、柵極驅動器和 MCU 通常是 TI 功能安全合規(guī)型產品。）

TI 設計和構建這些產品來滿足 IEC 61508 和 ISO 26262 的系統(tǒng)功能合規(guī)性建議，使您能夠構建安全可靠的電機控制和驅動系統(tǒng)。我們?yōu)槊總€器件提供失效模式、影響和診斷分析 (FMEDA)、功能安全手冊以及（若適用）安全診斷庫，系統(tǒng)和子系統(tǒng)功能安全概念報告可在 TI.com 上找到或通過申請獲得。TI MCU 的功能安全手冊包括 SEooC 的背景介紹，并概述了示例應用可能的故障組。

我們的設計資源示例包括適用于工業(yè)驅動器且經過 TüVSüD 評估的 STO 模塊，如適用于工業(yè)驅動器且經過 TUEV評估的安全轉矩關閉 (STO)參考設計 (IEC 61800-5-2) 中所述。請訪問 www.ti.com.cn/zh-cn/technologies/functional-safety.html，詳細了解我們的功能安全產品并查看設計資源。

TI 在符合 ISO 26262 SEooC 和 IEC 61508 標準的部件，以及使用 TI 產品的功能安全型系統(tǒng)的類型方面擁有豐富的經驗。當然，實現(xiàn)這些優(yōu)勢需要平衡開發(fā)預期功能和安全功能的復雜需求