【ADI 工程师博客】安全事项:3项关键要求

selina的头像

作者:Tom.meany,ADI功能安全工程师

功能安全标准,例如IEC 61508,分为7个部分,长达700多页。但是,这些要求可以归结到3项关键要求之下。

要求1:具有良好的可靠性
要求2:容错(即使有良好的可靠性,故障仍会发生)
要求3:防止设计错误(并非所有系统故障都是由硬件故障引起的)
要求1:大多数人认同,良好的可靠性虽然不能保证安全,但至少是坚实的第一步。可靠性用FIT(每运行十亿小时的故障率)来衡量。可靠性预测可以基于现场经验,或使用诸如IEC 62380、SN29500、FIDES指南等系统进行预测。容许的危险故障率将取决于SIL,SIL 1为10000 FIT,SIL 2为1000,SIL 3为100,SIL 4为10。

ADI公司在 www.analog.com/ReliabilityData 上公布了所有已发布产品的裸片FIT。该数据是利用一个工具提供的,它允许输入平均工作温度,然后就会给出60%和90%置信度的可靠性预测。下面列出的数值是基于加速寿命测试。

大多数设备供应商对可靠性感兴趣,但功能安全要求可靠性具有针对容许危险故障概率的特定限值,这取决于所需的安全等级。它还提供了增强可靠性的手段,即利用降额等技术和MooN等架构,这些内容是未来博客的主题。

要求2:如果您认同,无论可靠性有多好,系统仍会出现故障,那么应对此类故障的方法应包括诊断和冗余。诊断检测系统是否发生故障,并将系统置于安全状态。冗余意味着不止一个系统能执行安全操作,即使某个系统发生故障,仍会有另一台冗余设备维护安全。在IEC 61508中,诊断覆盖率的品质因数为SFF(安全失效比率)。SFF提供信用安全故障率和检测到的危险故障率。对于SIL 1,要求最低60%的SFF,SIL 2为90%,SIL 3为99%。允许用冗余(HFT)来换取SFF,SIL 2安全功能可以用两个各有60% SFF的通道来实现。IC级器件,例如AD7124具有大量诊断功能,可用于检测内部和系统级别的故障。片内诊断包括基准电压输入,如0V、+/-满量程和+/-20mV,以及用于检测内部位翻转的状态机。系统级诊断包括传感器开路测试电流源。

要求3:在IEC 61508中,功能安全是指为防止引入设计错误而采取措施,以满足该项目的系统安全完整性要求。这些措施是必要的,因为无论可靠性有多好,并且尽管内置硬件具有容错功能,您仍必须认识到,系统可能无法不出任何故障地执行与安全相关的任务。故障的原因可能包括未达到或遗忘了某些要求、不正确的验证等。软件编码错误被认为是系统性错误,因为它们并不是由故障引起的,因为通常系统是按照设计运行。更难让人接受的是,EMI(电磁抗扰度)故障也被认为是系统故障,原因相同,系统并非因此而发生故障,而是没有足够的鲁棒性。为防止引入系统性错误,IEC 61508倡导的措施包括编码标准、设计评审、验证计划、安全计划、检查清单、需求管理等等。

每日视频—— https://www.youtube.com/watch?v=QxG41aFl5Ns(采纳此视频的理由是它粗略涉及到如何确定客户需求)

点击这里,获取更多工业自动化技术信息