【導(dǎo)讀】對(duì)安全功能電路進(jìn)行首次失效模式、影響與診斷分析(FMEDA)后，結(jié)果只有兩種。第一種結(jié)果是系統(tǒng)完整性等級(jí)(SIL)要求得到滿足，第二種結(jié)果是要求未能滿足。對(duì)于后者，要在不進(jìn)行重大架構(gòu)變更的情況下解決問題，系統(tǒng)集成商可以提高診斷覆蓋率、調(diào)整運(yùn)行條件和/或采用額外安全措施。ADI公司安全應(yīng)用筆記中的信息可以幫助系統(tǒng)集成商實(shí)施此類設(shè)計(jì)改進(jìn)，從而達(dá)到每小時(shí)危險(xiǎn)失效概率(PFH)/按需危險(xiǎn)失效概率(PFDAVG)和安全失效比率(SFF)要求。因此，本系列的第3部分深入探討系統(tǒng)集成商如何使用功能安全(FS)型器件的安全應(yīng)用筆記，來(lái)提升IC在系統(tǒng)中的功能安全性能。
示例FMEDA
本系列的第2部分介紹了系統(tǒng)集成商在進(jìn)行系統(tǒng)失效模式、影響與診斷分析(FMEDA)時(shí)，如何使用功能安全(FS)型IC的安全應(yīng)用筆記中包含的安全信息。首次執(zhí)行FMEDA后，如果安全功能的功能安全(FS)架構(gòu)設(shè)計(jì)已經(jīng)較為完善，則設(shè)計(jì)可能已經(jīng)達(dá)到規(guī)定的每小時(shí)危險(xiǎn)失效平均頻率(PFH)/按需危險(xiǎn)失效平均概率(PFDAVG)和安全失效比率(SFF)要求。否則，設(shè)計(jì)將需要進(jìn)一步改進(jìn)。
例如，表1展示了一項(xiàng)系統(tǒng)FMEDA，側(cè)重于分析ADP7156對(duì)一個(gè)假定的單通道（無(wú)硬件容錯(cuò)(HFT)/HFT = 0）安全功能的影響。分析中假設(shè)：
LDO為邏輯控制器供電。
如果低壓差穩(wěn)壓器(LDO)的輸出電壓為0V，則安全功能可以實(shí)現(xiàn)安全狀態(tài)；否則，后果要么是對(duì)安全功能沒有影響，要么導(dǎo)致安全功能喪失。
就診斷而言，假設(shè)采用帶安全切斷的過壓保護(hù)技術(shù)（參見IEC 61508-2:2010表A.9）。據(jù)此，針對(duì)與過壓相關(guān)的危險(xiǎn)失效，最大可聲稱診斷覆蓋率(DC)可達(dá)到60%。在運(yùn)行方面，假設(shè)安全功能在高需求模式下運(yùn)行。同樣，本文使用的失效率預(yù)測(cè)依據(jù)IEC 62380標(biāo)準(zhǔn)。
表1：針對(duì)ADP7156的FMEDA分析示例
圖1：基于IEC 61508:2010的診斷2
回顧SFF計(jì)算公式1：
IC每小時(shí)危險(xiǎn)失效平均頻率(PFH)的計(jì)算公式1：
對(duì)于當(dāng)前設(shè)計(jì)，安全功能的SFF為69%，而PFH貢獻(xiàn)為1.77FIT。如果安全功能需要達(dá)到IEC 61508規(guī)定的系統(tǒng)完整性等級(jí)(SIL) 2，設(shè)計(jì)的SFF至少需要為90%。同時(shí)，SIL 2容許的PFH為100FIT至1000FIT。假設(shè)1%的PFH分配給IC，則要求的PFH貢獻(xiàn)將在1FIT到10FIT的范圍內(nèi)。如果目標(biāo)是下限，即1FIT，則當(dāng)前架構(gòu)將不符合SIL 2的SFF和PFH要求。
接下來(lái)將闡述系統(tǒng)集成商可以通過哪些途徑來(lái)改進(jìn)設(shè)計(jì)的PFH和SFF指標(biāo)。
提高診斷覆蓋率
公式2表明，PFH與未檢出的危險(xiǎn)失效率成正比。同樣，公式1表明SFF與安全失效率和未檢出的危險(xiǎn)失效率成正比。因此，降低未檢出的危險(xiǎn)失效率并提高已檢出的危險(xiǎn)失效率，會(huì)改善IC的PFH和SFF指標(biāo)。詳情如圖1所示。
對(duì)于表1所示的FMEDA示例，僅與過壓相關(guān)的失效被納入診斷覆蓋范圍。為了提升IC的安全性能，可從提高診斷覆蓋率入手，具體包括以下兩種方法：第一種是增加診斷覆蓋率以檢測(cè)欠壓相關(guān)的危險(xiǎn)失效，第二種是增加診斷覆蓋率以檢測(cè)過壓相關(guān)的危險(xiǎn)失效。例如，診斷覆蓋率(DC)從60%增加到90%。
當(dāng)前設(shè)計(jì)采用過壓保護(hù)和安全關(guān)斷診斷措施，根據(jù)IEC 61508-2:2010表A.9，最大可聲稱診斷覆蓋率為60%。使用電壓控制（次級(jí)）診斷措施來(lái)監(jiān)測(cè)ADP7156的輸出，將使最大可聲稱診斷覆蓋率達(dá)到99%。這種診斷措施會(huì)同時(shí)監(jiān)測(cè)過壓(OV)和欠壓(UV)情況，或任何超出指定范圍的異常情況，因此與OV和UV相關(guān)的危險(xiǎn)失效都會(huì)得到覆蓋。將此方法應(yīng)用于表2中的FMEDA示例，可實(shí)現(xiàn)0.04FIT的PFH和99.3%的SFF，超過SIL 2的要求。1,3
優(yōu)化可靠性預(yù)測(cè)
改善IC的PFH的另一種方法是降低估計(jì)的失效率?！读私獍踩马?xiàng)應(yīng)用筆記》系列的第1部分介紹了系統(tǒng)集成商如何根據(jù)高溫工作壽命(HTOL)、SN 29500和IEC 62380，計(jì)算FS型器件的失效率。在ADI安全應(yīng)用筆記中給出的假設(shè)條件下，系統(tǒng)集成商可以使用所提供的信息來(lái)確?？煽啃灶A(yù)測(cè)與工作條件相符，而不必使用最差情況下的值。
例如，在假設(shè)工作條件下根據(jù)SN 29500 FIT進(jìn)行的ADP7156可靠性預(yù)測(cè)如圖2所示。SN 29500可靠性預(yù)測(cè)受應(yīng)用相關(guān)參數(shù)的影響，例如電壓依賴因子和溫度依賴因子。因此，如果假設(shè)的IC工作條件（如工作電壓、環(huán)境工作溫度、任務(wù)剖面和負(fù)載條件）比實(shí)際應(yīng)用更嚴(yán)苛，設(shè)計(jì)人員可以調(diào)整假設(shè)條件，使其與實(shí)際情況相匹配。
表2：針對(duì)ADP7156的FMEDA分析示例
圖2：ADP7156的SN 29500 FIT，基于其安全應(yīng)用筆記
采用額外安全措施
ADI的安全應(yīng)用筆記還給出了分析中使用的假設(shè)應(yīng)用電路，如圖3所示。應(yīng)用筆記中的“失效模式分布(FMD)”部分提供了系統(tǒng)失效模式。在此基礎(chǔ)上，設(shè)計(jì)人員可以根據(jù)需要決定，應(yīng)采取哪些額外的安全措施來(lái)應(yīng)對(duì)這些失效模式。例如，可以添加齊納二極管和保險(xiǎn)絲等保護(hù)措施，防止輸出端發(fā)生過壓相關(guān)的危險(xiǎn)失效。有了這種保護(hù)，齊納二極管會(huì)鉗位過壓，使此類失效不產(chǎn)生影響，從而消除危險(xiǎn)失效，改善PFH和SFF指標(biāo)。
圖3：ADP7156安全應(yīng)用筆記中假設(shè)的應(yīng)用電路
結(jié)論
要達(dá)到嚴(yán)格的SIL要求，未必需要對(duì)系統(tǒng)架構(gòu)進(jìn)行全面改造。很多情況下，利用有針對(duì)性的診斷和可靠性數(shù)據(jù)，對(duì)現(xiàn)有設(shè)計(jì)進(jìn)行策略性優(yōu)化，就能實(shí)現(xiàn)目標(biāo)。借助ADI公司安全事項(xiàng)應(yīng)用筆記中提供的見解，系統(tǒng)集成商可以增強(qiáng)診斷覆蓋率，優(yōu)化運(yùn)行條件以降低估計(jì)失效率，或納入外部保護(hù)電路等補(bǔ)充安全措施，從而系統(tǒng)性地提升功能安全性能，尤其是SFF和PFH/PFDAVG。正如ADP7156 LDO穩(wěn)壓器示例所示，從基本過壓關(guān)斷升級(jí)為次級(jí)電壓監(jiān)測(cè)，能夠使設(shè)計(jì)從不符合SIL 2標(biāo)準(zhǔn)，一舉躍升為滿足并超越SIL 2標(biāo)準(zhǔn)的要求?？偠灾@些應(yīng)用筆記為工程師的安全設(shè)計(jì)提供了關(guān)鍵指引，可確保集成電路能夠精準(zhǔn)高效地滿足IEC 61508的嚴(yán)格要求。
參考文獻(xiàn)
1 Bryan Borres，“了解安全事項(xiàng)應(yīng)用筆記——第2部分：失效模式分布”，《模擬對(duì)話》，第59卷，2025年10月。
2 Bryan Borres，“利用高性能監(jiān)控電路提高工業(yè)功能安全合規(guī)性：使用SIL級(jí)器件——第二部分”，ADI公司，2025年3月。
3 Bryan Borres和Noel Tenorio，“工業(yè)功能安全電源設(shè)計(jì)——第一部分：IEC 61508標(biāo)準(zhǔn)解讀”，ADI公司，2025年7月。
作者簡(jiǎn)介
Bryan Angelo Borres是一名經(jīng)TüV認(rèn)證的功能安全工程師，目前負(fù)責(zé)多個(gè)工業(yè)功能安全項(xiàng)目。作為高級(jí)功能安全工程師，他協(xié)助元器件設(shè)計(jì)師和系統(tǒng)集成商設(shè)計(jì)符合工業(yè)功能安全標(biāo)準(zhǔn)的功能安全電源產(chǎn)品。Bryan是菲律賓參加國(guó)際電工委員會(huì)(IEC) TC65/SC65A技術(shù)委員會(huì)的國(guó)家委員會(huì)成員，同時(shí)也是電氣電子工程師協(xié)會(huì)(IEEE)的高級(jí)會(huì)員。此外，他擁有電力電子專業(yè)研究生文憑，在高效、穩(wěn)健的電力電子系統(tǒng)設(shè)計(jì)方面擁有超過八年的豐富行業(yè)經(jīng)驗(yàn)。
