避免電機控制設計流程中的功能安全 合規性缺陷

系統設計和功能安全合規性不應該依次進行。遺憾的是，傳統設計方法以及許多組織都將設計流程中的這些步驟視為單獨的孤立活動，這往往會導致設計成本增加和產品面市延誤。

內容概覽

1. 定義功能安全合規性

功能安全標準的目標是管理和緩解系統故障，同時還能夠檢測和防止隨機硬件故障，或至少確保排除其風險。

2. 功能安全系統設計的兩個屬性

功能安全涉及開發能提供預期功能并符合安全完整性等級的系統。

3. 設計功能安全電機控制和驅動系統的推薦方法

設計功能安全系統的系統工程師應在設計流程開始時就著手處理功能安全合規性，而不是在事后才考慮。

在設計功能安全的電機控制應用時，您是否應該從一開始就將功能安全合規性作為初始設計要求？或者，您是否應該將功能安全視為融入設計最終階段的附加功能？

功能安全應納入初始設計要求中，與電機驅動器的預期功能交織在一起。這并不是準則，因為傳統的系統設計工作流程不會協同處理安全合規性。但是，如果不一開始就考慮如何滿足安全完整性合規要求，則可能會導致將系統推向市場時出現延誤，而這種延誤成本高昂。

隨著工業 4.0 的興起以及車輛電氣化和連接技術的發展，我們需要改變功能安全合規性方法。簡而言之，現在我們在更多的應用中擁有更多的電機系統，并且在符合功能安全標準方面達到了很高的水準。

定義功能安全合規性

諸如國際電工委員會 (IEC) 61508 和國際標準化組織 (ISO)26262 等功能安全標準的目標是管理和緩解系統故障，同時還能夠檢測和防止隨機硬件故障，或至少確保排除其風險。

采用具有獨立驗證和確認的嚴格開發流程有助于針對系統故障進行管理。

可以通過以下方式檢測、防止隨機硬件故障或排除其風險：

? 全面了解所控制的設備。

? 分析情境性風險的可能來源及其屬性，例如發生概率、影響的嚴重性和事件的可控性。

然后，將安全機制與情境性風險配對，有助于設計人員滿足 IEC 61508 所要求的量化指標，例如安全失效分數(SFF) 和每小時故障概率 (PFH)。例如，安全完整性等級(SIL) 為 2 的系統在超過 10 億小時的運行中必須滿足SFF≥90% 且 PFH ≤100 時基故障。

功能安全系統設計的兩個屬性

功能安全標準假設所有系統都將發生故障（不是會不會發生故障，而是何時發生故障），不存在零風險的情況。

功能安全系統設計的兩個屬性分別是：開發一個系統來提供預期功能，以及開發同一個系統來滿足特定 SIL 或汽車SIL (ASIL) 等安全功能要求。

設計人員經常以不同的方式或按順序處理這兩個方面。為大容量應用設計功能安全的系統，同時保持設計預算要求是一項挑戰。表 1 概述了控制和驅動應用中預期功能和安全功能的示例。

為了更好地理解此概念，請查看表 1 中的電梯電機示例。

電梯的預期功能是根據用戶輸入上下運送乘客。如果您按下到達五樓的按鈕，電梯應該會停在五樓。

電梯的安全功能則更進一步，可能包括：

? 將您從一個樓層平穩地運送到另一個樓層。

? 停在與每層樓平臺齊平的位置。

? 如果電梯超過安全速度，則自動應用制動器。

表 1.控制和驅動應用中的預期和安全功能示例。

為了更好地理解預期功能和安全功能如何協同工作，假設一棟建筑物中有 20 個樓層，里面的電梯有一個按鈕電路（請參閱圖 1），電梯電機控制器將故障解釋為讓電梯抵達第 25 或第 30 層（即，建筑物內不存在的樓層）。界限檢查會盡早發現故障，以免其導致錯誤或最終導致失效。這是功能安全方面的公認進展：“故障”會導致“錯誤”，而某些錯誤可能會導致“失效”。

圖 1.現代電梯按鈕示例。
我們來回顧一下預期功能設計和安全功能設計的流程。

在電機驅動器的預期功能設計流程中，系統工程師選擇微控制器 (MCU) 來滿足預期功能的要求。隨后，他們分配檢測功能（例如集成模數轉換器 (ADC) 通道），以監控轉子位置、線路電流、相電壓和系統溫度。然后，系統工程師繼續使用 MCU 的可用處理能力（例如 CPU 的每秒百萬條指令 (MIPS)）來運行電機控制算法，以及可用的驅動外設（例如脈寬調制器 (PWM)）來驅動電機驅動器電路。此過程通常需要幾個月，還涉及設計印刷電路板 (PCB)、開發電機控制算法以及開發和調試所有嵌入式軟件。

在由一個獨立的、有些孤立的團隊負責處理安全功能設計流程的組織中，會有一名單獨的功能安全專家負責檢查系統工程師最初選擇的 MCU 的功能安全手冊。在某些情況下，功能安全專家可能會發現獨立安全元素 (SEooC) 安全概念需要使用軟件測試功能，包括錯誤測試、硬件冗余、數模轉換器 (DAC) 至 ADC 環回檢查或通過增強型捕捉監控增強型 PWM?；仡欀暗碾娞菔纠?，可能有必要使用多個 ADC 通道來監控每個樓層上的水平傳感器，以防止MCU ADC 中出現“卡住”故障。

如果 ADC 和 PWM 通道不足或 CPU MIPS 不足，無法實現功能安全，可能需要返回到制圖板并選擇另一個 MCU來實現功能安全系統，這可能會使獨立系統設計團隊迄今為止完成的工作付諸東流。

即使設計步驟不是按順序進行，它們也經常在獨立的組織孤島中進行；也就是說，系統工程師通常不具備任何功能安全專業知識，而功能安全專家也不是系統工程師。這種孤立的方法最終會帶來同樣的問題：系統成本增加和面市時間延誤數月。

設計功能安全電機控制和驅動系統的推薦方法

設計功能安全系統的系統工程師的最終目標是在設計流程的一開始就著手處理功能安全合規性。

設計和提供符合設計預算的功能安全系統需要對安全合規性和預期功能進行協同分析。獨立或依次處理工程可能會帶來挑戰，甚至無法滿足系統設計目標?？紤]到之前的由團隊管理安全功能設計流程的示例，盡早開展協作或許可以避免選擇新 MCU 和重新配置 PCB。

實際上，另一個示例可能說明了建議的方法。人類同時利用左腦（邏輯）和右腦（創造性）來全面解決問題，如圖2 所示。

圖 2.整個大腦在系統設計和功能安全合規性方面擁有統一的專業知識。

將大腦想象成一個組織，其中每一半代表不同的團隊或內部設計資源，能夠在設計流程中提出特定學科的觀點。他們可以在設計工作流程中作為一個單元協同工作，從專業角度處理設計，同時保持清晰持續的溝通。

同樣，有效的設計工程需要系統設計人員和功能安全專家團隊協同工作來實現功能安全系統。為了幫助縮短產品面市時間，系統工程師需要合適的設計資源。例如，TI 提出了子系統級和系統級功能安全概念，并由第三方獨立評估。

TI 如何幫助您設計功能安全系統

TI 的產品系列種類繁多，涵蓋電機驅動器和柵極驅動器到基于專有 CPU 架構的 MCU，包括基于 C2000? 和基于Arm? Cortex? 的 MCU，例如 AM2434BSDFHIALVR。這些產品具有高級診斷功能和片上感應外設，能夠快速檢測故障并對其做出反應，同時更大限度地減少系統停機時間（在工業環境中，可提高工廠生產力）。

為了幫助您找到更有效的器件來進行功能安全設計，TI 定義了三個適合在功能安全應用中使用的產品類別：TI 功能安全型、TI 功能安全質量管理型和 TI 功能安全合規型。（我們的電機驅動器、柵極驅動器和 MCU 通常是 TI 功能安全合規型產品。）

TI 設計和構建這些產品來滿足 IEC 61508 和 ISO 26262 的系統功能合規性建議，使您能夠構建安全可靠的電機控制和驅動系統。我們為每個器件提供失效模式、影響和診斷分析 (FMEDA)、功能安全手冊以及（若適用）安全診斷庫，系統和子系統功能安全概念報告可在 TI.com 上找到或通過申請獲得。TI MCU 的功能安全手冊包括 SEooC 的背景介紹，并概述了示例應用可能的故障組。

我們的設計資源示例包括適用于工業驅動器且經過 TüVSüD 評估的 STO 模塊，如適用于工業驅動器且經過 TUEV評估的安全轉矩關閉 (STO)參考設計 (IEC 61800-5-2) 中所述。請訪問 www.ti.com.cn/zh-cn/technologies/functional-safety.html，詳細了解我們的功能安全產品并查看設計資源。

TI 在符合 ISO 26262 SEooC 和 IEC 61508 標準的部件，以及使用 TI 產品的功能安全型系統的類型方面擁有豐富的經驗。當然，實現這些優勢需要平衡開發預期功能和安全功能的復雜需求