jinnianhui今年会|官网-利用高性能监控电路提高工业功能安全合规性： 安全关键特性——第3部分

发布时间：2026-07-08 来历：转载 责任编纂：Lily

【导读】于设计安全相干体系(SRS)时利用切合功效安全(FS)的组件可以或许带来诸多上风，但年夜大都设计仍旧依靠在尺度IC，即未根据FS尺度开发的IC。从体系级角度来看，经由过程利用尺度部件举行功效安全设计，设计职员便可以或许始终实现合规性，特别是今朝仅有少数IC到达FS等级。为此，本系列的第3部门将深切切磋于选择监控电路时，值患上存眷的FS要害特征，以帮忙设计职员于浩繁尺度解决方案中做出更明智的选择。

简介

于本系列的第1部门中，咱们阐释了诊断功效怎样充任功效安全(FS)合规性的支柱，重要夸大了于安全相干体系(SRS)中，起到诊断作用的监控电路怎样经由过程三个要害要求——体系能力、靠得住性猜测及架构约束——来提高FS合规性。体系能力评估的是于从观点化到退役的整个产物或者办事生命周期中，质量治理的有用性。它夸大经由过程严酷的开发历程来防止发生体系掉效的方针，同时指出需要借助诊断功效来节制此类掉效。另外一方面，靠得住性猜测则用在评估跟着时间推移，SRS发生妨碍的可能性。此外，架构约束展现了硬件容错(HFT)、掉效容忍能力及安全掉效比率(SFF)之间的衡量瓜葛，即安全功效于安全状况下掉效的偏向性，而诊断功效恰是这一架构中的主要构成部门。

以后，本系列的第2部门先容了利用切合FS的诊断功效改良SRS设计的要领，并总结了该要领的多项上风，包括：

自己包罗掉效模式、影响及诊断阐发(FMEDA)功效。

集成为了多种安全特征，涵盖多个诊断功效。

内置了诊断功效来检测片内随机硬件掉效。

满意行将发布的IEC 61508修订版本的要求。

兼容其他国度/地域的安全尺度及指令。

有助在简化FS评估。

只管存于上述上风，体系设计职员可能仍会选择利用非FS尺度的组件，例如撑持FS且颠末FS评估的ADI部件1。然而，因为市场上提供的监控电路解决方案浩繁，设计职员可能很难选出准确的解决方案。是以，不管组件是否切合FS，都必需明确对于FS至关主要的诊断功效特征。出在这个缘故原由，本系列的第3部门枚举了设计SRS时较合适诊断功效的四个安全要害特征，并阐发了这些特征对于FS合规性的影响。

电源监控

基本FS尺度IEC 61508:2010（尤其是第2部门）提出了两个与电源相干的要求2。第一个要求与表A.1及表A.9中的诊断笼罩率(DC)及SFF有关，表A.1指定了于量化随机硬件掉效的影响时要假定的妨碍或者掉效类型，或者于计较SFF时要思量的妨碍或者掉效类型，表A.9则针对于诊断测试办法及最年夜可实现DC提出了建议。第二个要求针对于每一个安全完备性等级(SIL)保举了用在节制体系掉效的技能及办法，如表A.15至表A.17所示。例如，表A.16列出的诊断办法是关在提防电压击穿、变化、过压(OV)、下压(UV)等问题所采纳的办法。

按照IEC 61508-2表A.1，假如于量化随机硬件掉效的影响时假定存于固定电平妨碍，则可以到达60%的诊断笼罩率（低）；而假如假定存于DC妨碍模子及/或者漂移及振荡，则可到达99%的诊断笼罩率（高）。固定电平妨碍是指元件引脚上持续呈现零（低旌旗灯号）或者一（高旌旗灯号）的妨碍。DC妨碍模子包括固定电平妨碍、常开妨碍、开路或者高阻抗输出以和旌旗灯号线之间的短路等掉效模式。

于IEC 61508-2的表A.9中，为检测或者蒙受因电源缺陷引起的掉效，提供了一系列诊断办法建议，包括联合过压掩护、安全关断或者切换到备用电源的技能来实现低DC；经由过程联合断电掩护、安全关断或者切换到备用电源的技能来实现高DC，如表1所示。

表1.按照IEC 61508-2表A.9，建议的电源诊断办法

这些保举的诊断办法夸大利用适量的电源监控器，该监控器必需可以或许于所需时间内准确检测OV及/或者UV状况，并提供旌旗灯号，以便经由过程断电步伐或者切换到备用电源来触发体系的安全关断。

监控精度

设计OV/UV检测机制时，电源监控器的首要参数与容差窗口及阈值精度有关。窗口电源监控器的容差（或者称容差窗口）以相对于在标称值的百分比设置UV及OV阈值。例如，对于在标称电压值为1 V、容差窗口为±3%的窗口电压监控器，UV阈值设置为1 V × 0.97，OV阈值设置为1 V × 1.03。然而，监控器容差窗口中的这些UV及OV阈值自己也有其容差规范，即阈值精度。阈值精度是指与监控器偏离其标称或者抱负阈值的能力相干的监控器规范。相干参数如图1.3所示。

图1.MAX16193典型运用中的电源监控器精度及容差示例。

图1所示为电源监控器的阈值精度怎样影响SRS设计的示例。例如，现场可编程门阵列(FPGA)的焦点电源电压(VCORE)设计为采用1.07 V至1.13 V电源供电，以确保正常事情。采用1.1 V的电源输出电压为FPGA的VCORE供电时，电源监控器需要于焦点电源电压凌驾规范（低在1.07 V或者高在1.13 V）以前置位复位旌旗灯号。如图1所示，电源监控器的OV及UV阈值设置为±2.4%容差窗口。因为MAX16193的阈值精度规范为±0.3%，监控器可以于电压到达1.1231 V (OV)或者电压降至1.0769 V (UV)时触发断路。另外一方面，假如监控器精度较差（例如±1%），监控器可能会于更早的电日常平凡断路，好比1.1151% (OV)或者1.0843% (UV)。如许的设计不仅需要更正确的电源，还有会造成杂散跳变。是以，提高监控器阈值精度不仅可以放宽所需的电源规范，还有能显著削减误触发。

输出机制

检测到OV及UV状况后，下一步就要思量电源监控器的输出相应。如图2所示，输出相应可能包括提供旌旗灯号以触发体系的安全关断，例如置位状况旌旗灯号以启动断电步伐或者切换到备用电源，或者者甚至经由过程驱动晶体管开关的栅极来断开后续的要害安全电路。TUV SUD建议，于OV事务发生后，不宜当即复位微节制器单位(MCU)。只有于UV事务竣事后且再也不连续时，方可复位MCU4。这是由于OV事务可能会对于MCU的部件造成不容易察觉的毁坏。是以，建议采纳分外的办法来应答OV事务，例如经由过程关断电源或者扩展事情规模等方式来确保体系安全。

图2.利用MAX6399的电源监控器架构示例，包罗妨碍状况及栅极驱动输出。

妨碍状况旌旗灯号

输出机制的第一个例子是妨碍状况旌旗灯号，该旌旗灯号用在转达被监控电源或者旌旗灯号的状况。举个例子，从图2可以看出，于12 V输入中检测到异样时，POK旌旗灯号将被置位。该置位会向MCU发送旌旗灯号，暗示检测到异样，要求MCU复位。

栅极驱动

输出机制的另外一个例子是是栅极驱动，它用在节制晶体管开关以实现掩护及断绝功效。此类栅极驱动输出经由过程向晶体管发送旌旗灯号，唆使于正常前提下将主电源输入毗连到下流电路，或者于发生OV事务时断开毗连以掩护后面的电路，从而帮忙体系进入安全状况，如图2所示。是以，要想实现精彩的机能，选择适合的MOSFET5与设计栅极驱动参数6一样主要。

输出操作

针对于FS举行设计时，输出操作也是一个要害因素，由于这会影响体系于发生妨碍时的相应方式。输出操作重要分为两种类型：锁存操作及非锁存操作。于锁存模式下，除了非像MAX16126中那样完成周期供电，或者者像其他监控电路同样触发断根锁存旌旗灯号，不然输出将永世连结置位状况。比拟之下，非锁存模式（即始终主动重试模式）将于妨碍消散后主动排除体系置位。

其他思量因素

差别的选项会带来差别的操作效果，以是输出拓扑及极性对于FS也十分主要。例如，妨碍状况旌旗灯号的开漏拓扑可将后面的电路与电压监控器的输入电源断绝开来。就极性而言，为安全要害功效（即制动及紧迫住手功效）选择低电平有用复位旌旗灯号，可以确保于节制旌旗灯号掉效时，体系默许进入安全状况。比拟之下，高电平有用极性于电源妨碍时可能会致使体系掉效。

片内诊断

片内诊断是指答应IC内部用在检测自身死障的功效。这可以经由过程IC的内部安全机制来实现，好比内置自测功效(BIST)七、八、9，该功效可用在举行自测及按期测试。例如，MAX16138撑持于上电或者正常事情时期启动的BIST功效。此时，BIST让组件可以主动查抄其内部比力器或者数字电路，以削减发生随机硬件掉效的可能性，降低装备的伤害妨碍几率8。

基本FS尺度(IEC 61508-2)建议采用可测性设计(DFT)技能，以避免于SRS的设计及开发历程中引入妨碍。作为DFT的一种类型，BIST是硬件布局，可以或许天生测试数据，将数据运用在被测电路(CUT)，网络输出相应，并验证输出是否准确9。这一点可以从图3看出7。IEC 6256六、IEC 6098七、IEEE 37九、IEEE 7-4.3.2及NUREG/CR-7006等其他行业尺度也要求采纳近似的可测试性办法。值患上一提的是，NUREG/CR-7006建议集成BIST来监测FPGA体系的康健状态，由于仪器仪表及节制体系中的BIST逻辑可以用在监测所有功效，好比总线勾当、是否呈现过错数据及超时电路等9。

图3.BIST电路方框图。

片内诊断也能够经由过程RAM测试、闪存CRC查抄或者输出测试的情势举行。于每一次体系启动时履行这些测试时，它们可以阐扬主要作用，好比可以用作撑持诊断办法的论证，或者于安全阐发顶用在确定妨碍检测时间4。是以，安全手册中应指定与操作此类诊断办法相干的任何信息。

以是，具备BIST等片内诊断功效的组件不仅可以或许优化组件级及体系级的实现，还有能显著加强FS合规性。

看门狗按时器架构

跟着微节制器于电源及SRS中普和，看门狗按时器(WDT)特征成了高机能电压监控器运用中另外一个值患上存眷的安全特征。汗青注解，当所有其他办法均掉效时，特别是于安全要害运用中利用MCU时，WDT可作为体系的妨碍安全功效或者末了一道防地。

看门狗按时器切合基本FS尺度IEC 61508对于步伐序列监测的要求，可作为诊断办法来节制因硬件设计及情况压力或者影响引起的体系掉效。这一点也表现于IEC 61508-2:2010表A.15及表A.16里，表中提到，不管安全完备性等级及诊断笼罩率怎样，都强烈保举利用WDT。

与微节制器的内置WDT特征比拟，外部或者自力WDT（凡是为电源监控器IC的情势）可以消弭共因妨碍，同时确保于MCU发生妨碍时，仍能触发安全功效。图4为SRS中的WDT实现示例。这与TÜV SÜD于会商看门狗及微节制器时的不雅点也是一致的4。

图4.利用MAX16058的SRS中的WDT实现示例。

表2及表3所示为IEC 61508-2的表A.10及表A.11，此中列出了每一种类型的看门狗（具备自力时基，有或者没有时间窗口）别离用在步伐序列及时钟时，可实现的最年夜诊断笼罩率。这象征着，于诊断步伐序列及时钟掉效时，简朴的看门狗按时器的最年夜DC可到达60%至90%。另外一方面，窗口化看门狗于用在步伐序列时的最年夜DC可到达90%到99%，于用在时钟时的最年夜DC至少可到达99%。DC是安全阐发及指标计较的构成部门，是以于举行FMEDA时，此类数据很是有效。

表2.按照IEC 61508-2的表A.10——步伐序列（看门狗）

按照表2及表3所示的看门狗按时器架构10和其运用场景，可到达的最年夜诊断笼罩率也会有所差别。值患上留意的是，与简朴的（非窗口化）看门狗按时器比拟，窗口化看门狗按时用具有更高的妨碍笼罩率11，是以后者可以到达更高的DC。

结论

本文的重要目的是深切切磋于设计安全相干体系时需留意的多个电源监控器IC特征。不管IC是否切合FS尺度，这些特征都至关主要。本文以FS尺度为起点，从外部评估机构的角度会商了电源监控精度及输出机制、片内诊断与看门狗架构的主要性。此外，本文还有针对于SRS设计中所需的各项诊断办法，提供了响应的架构示例及设计考量。

本系列的下一部门将会商怎样将看门狗按时器与步伐序列监测相联合，敬请存眷。

参考文献

1 Bryan Borres及Rachele Diane Yco。“值患上相信的电源产物：工业功效安全体系的监控电路”。ADI公司，2024年11月。

2 IEC 61508 All Parts,“Functional Safety of Electrical/Electronic/Progra妹妹able Electronic Safety-Related Systems”。国际电工委员会，2010年。

3 Noel Tenorio及Camille Bianca Gomez。“使用高精度窗口监控器优化电源机能”。ElectronicDesign，2025年1月。

4 “Top Misunderstandings About Functional Safety”。TÜV SÜD。

5 “针对于工业高端输出运用为MAX14922选择适合的N通道MOSFET”。ADI公司，2021年4月。

6 Sanket Sapre。“断绝式栅极驱动器揭秘”，《模仿对于话》，第52卷，2018年6月。

7 Brian Harrington。“用在Analog Weenies的BIST”。《模仿对于话》，第42卷，2008年2月。

8 Lee Harrison。“How to Meet Functional Safety Requirements With Built-In-Self-Test”。Semiconductor Engineering，2020年6月。

9 Zequn Lin、Lingzhi Wang、Yuanfeng Cai、Fanyu Wang及Yichun Wu。“Implementation of a Built-in Self-Test for Nuclear Power Plant FPGA-Based Safety-Critical Control Systems”。《Annals of Nuclear Energy》，第165卷，2022年1月。

10“窗口化看门狗操作的基础常识”。ADI公司，2021年12月。

11 Ashraf M. El-Attar及Gamal Fahmy。“A Study of Fault Coverage of Standard and Windowed Watchdog Timers”。IEEE旌旗灯号处置惩罚及通讯国际集会，2007年。

作者简介

Bryan Angelo Borres是经TÜV SÜD认证的功效安全工程师，今朝卖力多个工业功效安全产物开发项目。作为高级电源运用工程师，他卖力帮忙体系集成商设计切合IEC 61508等工业功效安全尺度的功效安全电源架构。近来，他成了IEC TC65/SC65A的IEC菲律宾国度委员会及IEEE功效安全尺度委员会的成员。Bryan拥有电力电子专业的研究生文凭，于设计高效、稳健的电力电子体系方面堆集了近七年的富厚经验。

Christopher Macatangay是多市场Power-East事业部的高级产物运用工程师，今朝卖力为HPS产物的功效安全特征及新产物开发提供撑持。他在2015年插手ADI公司，担当产物运用工程师。于插手ADI公司以前，Christopher曾经于一家电源公司担当测试/产物开发工程师，堆集了六年的事情经验。他拥有亚当森年夜学电子与通讯工程学士学位。