避免電機控制設(shè)計流程中的功能安全 合規(guī)性缺陷

系統(tǒng)設(shè)計和功能安全合規(guī)性不應(yīng)該依次進行。遺憾的是，傳統(tǒng)設(shè)計方法以及許多組織都將設(shè)計流程中的這些步驟視為單獨的孤立活動，這往往會導(dǎo)致設(shè)計成本增加和產(chǎn)品面市延誤。

內(nèi)容概覽

1. 定義功能安全合規(guī)性

功能安全標準的目標是管理和緩解系統(tǒng)故障，同時還能夠檢測和防止隨機硬件故障，或至少確保排除其風(fēng)險。

2. 功能安全系統(tǒng)設(shè)計的兩個屬性

功能安全涉及開發(fā)能提供預(yù)期功能并符合安全完整性等級的系統(tǒng)。

3. 設(shè)計功能安全電機控制和驅(qū)動系統(tǒng)的推薦方法

設(shè)計功能安全系統(tǒng)的系統(tǒng)工程師應(yīng)在設(shè)計流程開始時就著手處理功能安全合規(guī)性，而不是在事后才考慮。

在設(shè)計功能安全的電機控制應(yīng)用時，您是否應(yīng)該從一開始就將功能安全合規(guī)性作為初始設(shè)計要求？或者，您是否應(yīng)該將功能安全視為融入設(shè)計最終階段的附加功能？

功能安全應(yīng)納入初始設(shè)計要求中，與電機驅(qū)動器的預(yù)期功能交織在一起。這并不是準則，因為傳統(tǒng)的系統(tǒng)設(shè)計工作流程不會協(xié)同處理安全合規(guī)性。但是，如果不一開始就考慮如何滿足安全完整性合規(guī)要求，則可能會導(dǎo)致將系統(tǒng)推向市場時出現(xiàn)延誤，而這種延誤成本高昂。

隨著工業(yè) 4.0 的興起以及車輛電氣化和連接技術(shù)的發(fā)展，我們需要改變功能安全合規(guī)性方法。簡而言之，現(xiàn)在我們在更多的應(yīng)用中擁有更多的電機系統(tǒng)，并且在符合功能安全標準方面達到了很高的水準。

定義功能安全合規(guī)性

諸如國際電工委員會 (IEC) 61508 和國際標準化組織 (ISO)26262 等功能安全標準的目標是管理和緩解系統(tǒng)故障，同時還能夠檢測和防止隨機硬件故障，或至少確保排除其風(fēng)險。

采用具有獨立驗證和確認的嚴格開發(fā)流程有助于針對系統(tǒng)故障進行管理。

可以通過以下方式檢測、防止隨機硬件故障或排除其風(fēng)險：

? 全面了解所控制的設(shè)備。

? 分析情境性風(fēng)險的可能來源及其屬性，例如發(fā)生概率、影響的嚴重性和事件的可控性。

然后，將安全機制與情境性風(fēng)險配對，有助于設(shè)計人員滿足 IEC 61508 所要求的量化指標，例如安全失效分數(shù)(SFF) 和每小時故障概率 (PFH)。例如，安全完整性等級(SIL) 為 2 的系統(tǒng)在超過 10 億小時的運行中必須滿足SFF≥90% 且 PFH ≤100 時基故障。

功能安全系統(tǒng)設(shè)計的兩個屬性

功能安全標準假設(shè)所有系統(tǒng)都將發(fā)生故障（不是會不會發(fā)生故障，而是何時發(fā)生故障），不存在零風(fēng)險的情況。

功能安全系統(tǒng)設(shè)計的兩個屬性分別是：開發(fā)一個系統(tǒng)來提供預(yù)期功能，以及開發(fā)同一個系統(tǒng)來滿足特定 SIL 或汽車SIL (ASIL) 等安全功能要求。

設(shè)計人員經(jīng)常以不同的方式或按順序處理這兩個方面。為大容量應(yīng)用設(shè)計功能安全的系統(tǒng)，同時保持設(shè)計預(yù)算要求是一項挑戰(zhàn)。表 1 概述了控制和驅(qū)動應(yīng)用中預(yù)期功能和安全功能的示例。

為了更好地理解此概念，請查看表 1 中的電梯電機示例。

電梯的預(yù)期功能是根據(jù)用戶輸入上下運送乘客。如果您按下到達五樓的按鈕，電梯應(yīng)該會停在五樓。

電梯的安全功能則更進一步，可能包括：

? 將您從一個樓層平穩(wěn)地運送到另一個樓層。

? 停在與每層樓平臺齊平的位置。

? 如果電梯超過安全速度，則自動應(yīng)用制動器。

表 1.控制和驅(qū)動應(yīng)用中的預(yù)期和安全功能示例。

為了更好地理解預(yù)期功能和安全功能如何協(xié)同工作，假設(shè)一棟建筑物中有 20 個樓層，里面的電梯有一個按鈕電路（請參閱圖 1），電梯電機控制器將故障解釋為讓電梯抵達第 25 或第 30 層（即，建筑物內(nèi)不存在的樓層）。界限檢查會盡早發(fā)現(xiàn)故障，以免其導(dǎo)致錯誤或最終導(dǎo)致失效。這是功能安全方面的公認進展：“故障”會導(dǎo)致“錯誤”，而某些錯誤可能會導(dǎo)致“失效”。

圖 1.現(xiàn)代電梯按鈕示例。
我們來回顧一下預(yù)期功能設(shè)計和安全功能設(shè)計的流程。

在電機驅(qū)動器的預(yù)期功能設(shè)計流程中，系統(tǒng)工程師選擇微控制器 (MCU) 來滿足預(yù)期功能的要求。隨后，他們分配檢測功能（例如集成模數(shù)轉(zhuǎn)換器 (ADC) 通道），以監(jiān)控轉(zhuǎn)子位置、線路電流、相電壓和系統(tǒng)溫度。然后，系統(tǒng)工程師繼續(xù)使用 MCU 的可用處理能力（例如 CPU 的每秒百萬條指令 (MIPS)）來運行電機控制算法，以及可用的驅(qū)動外設(shè)（例如脈寬調(diào)制器 (PWM)）來驅(qū)動電機驅(qū)動器電路。此過程通常需要幾個月，還涉及設(shè)計印刷電路板 (PCB)、開發(fā)電機控制算法以及開發(fā)和調(diào)試所有嵌入式軟件。

在由一個獨立的、有些孤立的團隊負責(zé)處理安全功能設(shè)計流程的組織中，會有一名單獨的功能安全專家負責(zé)檢查系統(tǒng)工程師最初選擇的 MCU 的功能安全手冊。在某些情況下，功能安全專家可能會發(fā)現(xiàn)獨立安全元素 (SEooC) 安全概念需要使用軟件測試功能，包括錯誤測試、硬件冗余、數(shù)模轉(zhuǎn)換器 (DAC) 至 ADC 環(huán)回檢查或通過增強型捕捉監(jiān)控增強型 PWM。回顧之前的電梯示例，可能有必要使用多個 ADC 通道來監(jiān)控每個樓層上的水平傳感器，以防止MCU ADC 中出現(xiàn)“卡住”故障。

如果 ADC 和 PWM 通道不足或 CPU MIPS 不足，無法實現(xiàn)功能安全，可能需要返回到制圖板并選擇另一個 MCU來實現(xiàn)功能安全系統(tǒng)，這可能會使獨立系統(tǒng)設(shè)計團隊迄今為止完成的工作付諸東流。

即使設(shè)計步驟不是按順序進行，它們也經(jīng)常在獨立的組織孤島中進行；也就是說，系統(tǒng)工程師通常不具備任何功能安全專業(yè)知識，而功能安全專家也不是系統(tǒng)工程師。這種孤立的方法最終會帶來同樣的問題：系統(tǒng)成本增加和面市時間延誤數(shù)月。

設(shè)計功能安全電機控制和驅(qū)動系統(tǒng)的推薦方法

設(shè)計功能安全系統(tǒng)的系統(tǒng)工程師的最終目標是在設(shè)計流程的一開始就著手處理功能安全合規(guī)性。

設(shè)計和提供符合設(shè)計預(yù)算的功能安全系統(tǒng)需要對安全合規(guī)性和預(yù)期功能進行協(xié)同分析。獨立或依次處理工程可能會帶來挑戰(zhàn)，甚至無法滿足系統(tǒng)設(shè)計目標?？紤]到之前的由團隊管理安全功能設(shè)計流程的示例，盡早開展協(xié)作或許可以避免選擇新 MCU 和重新配置 PCB。

實際上，另一個示例可能說明了建議的方法。人類同時利用左腦（邏輯）和右腦（創(chuàng)造性）來全面解決問題，如圖2 所示。

圖 2.整個大腦在系統(tǒng)設(shè)計和功能安全合規(guī)性方面擁有統(tǒng)一的專業(yè)知識。

將大腦想象成一個組織，其中每一半代表不同的團隊或內(nèi)部設(shè)計資源，能夠在設(shè)計流程中提出特定學(xué)科的觀點。他們可以在設(shè)計工作流程中作為一個單元協(xié)同工作，從專業(yè)角度處理設(shè)計，同時保持清晰持續(xù)的溝通。

同樣，有效的設(shè)計工程需要系統(tǒng)設(shè)計人員和功能安全專家團隊協(xié)同工作來實現(xiàn)功能安全系統(tǒng)。為了幫助縮短產(chǎn)品面市時間，系統(tǒng)工程師需要合適的設(shè)計資源。例如，TI 提出了子系統(tǒng)級和系統(tǒng)級功能安全概念，并由第三方獨立評估。

TI 如何幫助您設(shè)計功能安全系統(tǒng)

TI 的產(chǎn)品系列種類繁多，涵蓋電機驅(qū)動器和柵極驅(qū)動器到基于專有 CPU 架構(gòu)的 MCU，包括基于 C2000? 和基于Arm? Cortex? 的 MCU，例如 AM2434BSDFHIALVR。這些產(chǎn)品具有高級診斷功能和片上感應(yīng)外設(shè)，能夠快速檢測故障并對其做出反應(yīng)，同時更大限度地減少系統(tǒng)停機時間（在工業(yè)環(huán)境中，可提高工廠生產(chǎn)力）。

為了幫助您找到更有效的器件來進行功能安全設(shè)計，TI 定義了三個適合在功能安全應(yīng)用中使用的產(chǎn)品類別：TI 功能安全型、TI 功能安全質(zhì)量管理型和 TI 功能安全合規(guī)型。（我們的電機驅(qū)動器、柵極驅(qū)動器和 MCU 通常是 TI 功能安全合規(guī)型產(chǎn)品。）

TI 設(shè)計和構(gòu)建這些產(chǎn)品來滿足 IEC 61508 和 ISO 26262 的系統(tǒng)功能合規(guī)性建議，使您能夠構(gòu)建安全可靠的電機控制和驅(qū)動系統(tǒng)。我們?yōu)槊總€器件提供失效模式、影響和診斷分析 (FMEDA)、功能安全手冊以及（若適用）安全診斷庫，系統(tǒng)和子系統(tǒng)功能安全概念報告可在 TI.com 上找到或通過申請獲得。TI MCU 的功能安全手冊包括 SEooC 的背景介紹，并概述了示例應(yīng)用可能的故障組。

我們的設(shè)計資源示例包括適用于工業(yè)驅(qū)動器且經(jīng)過 TüVSüD 評估的 STO 模塊，如適用于工業(yè)驅(qū)動器且經(jīng)過 TUEV評估的安全轉(zhuǎn)矩關(guān)閉 (STO)參考設(shè)計 (IEC 61800-5-2) 中所述。請訪問 www.ti.com.cn/zh-cn/technologies/functional-safety.html，詳細了解我們的功能安全產(chǎn)品并查看設(shè)計資源。

TI 在符合 ISO 26262 SEooC 和 IEC 61508 標準的部件，以及使用 TI 產(chǎn)品的功能安全型系統(tǒng)的類型方面擁有豐富的經(jīng)驗。當然，實現(xiàn)這些優(yōu)勢需要平衡開發(fā)預(yù)期功能和安全功能的復(fù)雜需求