合理的功能安全設計離不開嚴謹的態度和大量的文檔參考，也需要投入一定的時間。無論您從事工廠車間還是公路方面的設計，此白皮書中 TI 的集成電路 （IC） 設計方法都會為您提供所需的資源，從而簡化功能安全設計。隨著工業和汽車領域自動化的出現，人們對功能安全的需求有增無減。所有的工業應用都有功能安全要求，尤其是在工廠自動化和控制系統中。

在汽車行業，盡管安全氣囊和制動系統在多年前就具備了功能安全性，但隨著電氣化水平的提高和自動駕駛功能的出現，系統需要控制電池管理、傳感器融合和車輛操作，進而增加了對功能安全設計的需求。無論是設計工廠機器人系統、家用電器還是未來的汽車，人們對設計工程師提出了更高的要求，即交付的項目應符合應用相關的功能安全標準。在不要求遵循標準的應用中，設計更安全的系統是在同類競爭產品中脫穎而出的關鍵因素。

功能安全標準

功能安全是系統整體安全性的一部分，是對某些輸入或故障狀態做出預測性響應。功能安全標準認為危險總是存在的，因此，所有系統都有一個固有故障率。功能安全標準對如何開發系統作出了規定，從而將故障率降低到可容忍水平。包含功能安全的系統設計必須能降低由操作不當引發故障的風險，還能檢測故障并充分降低故障造成的影響。為實現功能安全合規性，工程師必須：

? 預測并定義危險狀況。

? 確定能應對危險狀況的安全功能。

? 評估安全功能的風險降低等級。

? 確保安全功能符合設計初衷。

功能安全標準是由標準組織以及相關行業企業共同制定的，它通過定義系統中的安全功能和建立安全等級評定規范，為設計人員提供了指導。德州儀器（TI） 加入標準組織，有助于確保其產品開發從始至終都符合功能安全要求。常見的安全標準包括國際電工委員會 （IEC） 的61508 標準（針對工業應用）、國際標準化組織（ISO） 的 26262 標準（針對汽車應用）以及 IEC60730 標準（針對家用電器）。各類安全標準都規定了風險降低等級和安全完整性等級 （SIL）。例如，IEC 61508 標準將 SIL 劃分為SIL 1 至 SIL 4 四個等級，其中 SIL 4 的要求最高。SIL 1 要求安全可用性為 90% 至 99%，平均要求失效率 （PFDavg） 為 0.1 至 0.01，風險降低因子 （RRF） 為 10 至 100。SIL 4 要求安全可用性》99.99%，PFDavg 為 0.0001 至 0.00001，RRF為 10，000 至 100，000。

ISO 26262 標準的 ASIL 等級與 SIL 類似，即從ASIL A 至 ASIL D，其中 ASIL D 的要求最高。功能安全流程在功能安全開發流程中，通常需要先確定各種危險情況和功能安全目標。然后，工程師開始檢查系統架構、模塊和 IC。之后，將 IC 作為符合功能安全標準系統的主要構建塊進行開發。為預測系統可能出現的行為，工程師必須量化和預測模塊的運行情況。為此，工程師必須在開發流程中對系統進行結構化安全定性分析，從而找出各種失效模式、失效原因及其影響。功能安全標準規定了工程師需要了解的 IC 相關信息，便于工程師獨立進行失效模式、影響和診斷分析 （FMEDA）。由于 IC 的復雜度不同，系統安全分析可能需要有關設計、芯片和封裝的信息。

在此過程中，請務必從可靠的供應商處選擇合適的器件。無論是用于功能安全設計，還是用于實現差異化競爭的較安全系統中，TI 都能讓工程師更輕松地找到并使用合適的產品。

借助功能安全類別簡化器件的選擇

典型的工業和汽車應用需要復雜度迥異的大量 IC，如一個或多個傳感器和傳動器，處理傳感器數據的微控制器 （MCU） 或處理器，模擬多路復用器，運算或儀表放大器，可能與或未與處理器集成的模數轉換器 （ADC） 和數模轉換器，直流/直流轉換器，低壓降穩壓器或電源管理 IC （PMIC），以及 LED 驅動器、電機驅動器、電磁閥驅動器、場效應晶體管（FET） 和絕緣柵雙極晶體管柵極驅動器等驅動器元件，電源開關和負載開關。另外，應用還包括各類通信接口，如 RS-485、控制器區域網 （CAN）、以太網、FPD-Link 和外圍組件快速互連 （PCIe） 接口。表 1 所示是 TI 為功能安全設計提供的產品類別，這也表明了基于標準的 IC 復雜度分類依據。這些類別包括 TI 功能安全型、TI 功能安全質量管理型、TI 功能安全合規型。

功能安全合規型產品

這類產品通常都是系統中相當復雜的器件，如MCU、處理器或模擬電機驅動器，可能具有集成的安全功能。TI 使用經 Technischer überwachungsverein （TüV）SüD 等機構認證的功能安全開發流程，開發了這類產品。這類認證可確保這一類別的產品是按照功能安全標準（ISO26262 和 IEC61508）規定的規格開發的。

以下列復雜的功能安全合規型器件為例：

? 用于高級駕駛輔助系統、符合汽車電子委員會 （AEC）-100 標準的 Jacinto? TDAx 片上系統，集成了定點和浮點 TMS320C66x 數字信號處理器 （DSP） 內核、Vision AccelerationPac嵌入式視覺引擎和雙核 ARM? Cortex?-M4 處理器，以及用于低壓差分信令環視系統、顯示、CAN 和千兆位以太網音頻視頻橋接的多攝像頭接口等外設。這些器件滿足廣泛的功能安全系統要求，包括具有錯誤校正碼 （ECC） 保護機制的 M4、具有 ECC 保護機制的 32 位雙倍數據速率接口、適用于中央處理單元 （CPU）的專用內存管理單元、內存保護單元、溫度監測傳感器，以及用于系統監控的八通道 ADC。

? TPS6594-Q1多軌電源管理集成電路（PMIC）支持汽車和工業市場采用的TI Jacinto TDAx片上系統。PMIC精度高、靈活性強，適合要求功能安全的汽車和工業應用，并會提供功能安全文檔。TPS6594-Q1為主域和MCU域提供可擴展的電源管理解決方案，并支持ASIL-D/SIL-3級別的功能安全

Hercules? MCU 集成了足夠多的安全和診斷功能，可讓工程師達到 SIL 3 的目標等級。也就是說，此 MCU 可實現約 99% 的故障覆蓋率。例如，在 MCU 上集成兩個采用鎖步模式的 Cortex-R CPU，可在每個周期對輸出進行比較，如出現錯誤，則會產生非屏蔽中斷。在工業應用中，CPU 可在啟動時或時間片內進行自檢。

? DRV3245E-Q1 是一款適用于三相電機驅動應用的 FET 柵極驅動器 IC。它的三個半橋驅動器可分別驅動高側和低側 N 溝道金屬-氧化物-半導體 FET。根據 ISO 26262 的適用要求，該柵極驅動器為每個內部時鐘集成了診斷和保護功能，還提供了常用系統診斷檢查支持，二者皆可通過串行外設接口實現實例化和故障報告。借助靈活的功能，DRV3245E-Q1 可無縫集成到各種安全架構中。

? TPS65381A-Q1多軌PMIC采用雙核同步或松散耦合的體系結構，為汽車和工業市場上的TIHercules TMS570和C2000? MCU系列產品提供支持。配備內部FET的異步降壓開關式電源轉換器可將輸入電源（電池）電壓轉換為6-V前置調節器輸出電壓。然后由6-V的前置調節器為其他調節器供電。它的監控和保護模塊，包括電壓檢測、模擬內建自測、時鐘丟失檢測、接點溫度檢測、電源電流限制和MCU誤差信號監測等，都能提高診斷覆蓋率并降低未檢測到的故障率。

? TI 可提供屬于這一類別的多種器件，如 C2000實時控制器和具有板載 DSP、MCU 和雷達加速器的 AWR1843、76GHz 至 81GHz 汽車雷達傳感器。所有這些產品都附有專用的功能安全相關文檔，以支持系統開發流程：

功能安全質量管理型產品第二類產品包含內置診斷功能的復雜產品，且專用于有功能安全要求的系統。但是，這一產品類別在開發時沒有按照適用于功能安全合規型產品類別的認證功能安全開發流程，而是使用 TI 的標準質量管理開發流程。此類別的產品包括但不限于：

TCAN4550-Q1是業界首創的汽車系統基礎芯片（SBC），含集成式CAN FD控制器和收發器。這款高度集成的設備利用現有的SPI端口簡化CAN FD總線擴展，這樣設計師就可以在升級至更高寬帶CAN FD接口協議時維持當前基于微控制器的結構體系。LP87702-Q1是一款雙降壓和5-V升壓轉換器，集成符合ASIL的毫米波雷達系統要求的診斷功能，其中包括視窗監控器和一個監控其輸出電源的獨立參考電壓、以及兩個外部電源。

對于功能安全合規型器件，我們提供了各種文檔，可幫助進行功能安全系統設計。這些文檔包括功能安全時基故障率計算、FMEDA 和功能安全手冊。非功能安全合規型器件則不包括無故障分析或產品認證。功能安全型產品第三類產品包含的 IC 較簡單，開發時使用 TI 的標準質量管理開發流程，與功能安全質量管理型產品類別類似。功能安全型產品通常不具備集成的安全功能，所以通常不會提供內置的監控和診斷功能，這些功能在TI 其他功能安全產品類別的器件中較常見。由于這類產品沒有集成全面的安全功能，它們不具備其他類別器件常見的內部監控和診斷功能。

但它們仍是功能安全系統中的重要構建塊，因此，TI 會提供功能安全時基故障率和 FMD 等重要信息，供設計人員在安全分析中使用。此類別的產品包括但不限于：

? 小巧的線性熱敏電阻TMP61-Q1因長期傳感器漂移小于1%且精度優于傳統熱敏電阻而頗受青睞。我們的熱敏電阻替代產品TMP235-Q1是一款精密溫度傳感器集成電路，無需校準即可達到±1.5°C。

? TPS3840-Q1 電壓監控器或復位 IC。這款符合 AEC-Q100 標準的器件可提供 1.5V 至10V 的寬電壓范圍，電源電流典型值僅為350nA，最大值為 700nA。

? 符合 AEC-Q100 標準的 TPS7A16A-Q160V、5μA 靜態電流、100mA 低壓降穩壓器，專為需要超低靜態電流的連續或斷續（備用電源）電池供電應用而設計。此器件非常適合通過多節電池解決方案（如高電池節數電動工具組和汽車應用）生成低電壓電源。TPS7A16A-Q1 不僅能提供一個良好穩壓的電壓軌，還能承受瞬態電壓并在電壓瞬態期間保持穩壓狀態。

TI 開發流程

由于功能安全開發流程較復雜，除 TüV SüD 認證外，您可能需要了解更多有關公司安全文化和流程的信息。這也是 TI 為管理系統失效和隨機失效而創建開發流程的原因所在（見表 2）。我們的所有產品都遵循質量管理開發流程，從而降低系統失效率。圖 1 所示的標準開發流程具有管理系統失效所需的很多要素。此外，這些產品的文檔和報告可用于幫助遵循針對最終應用（包括汽車和工業系統）的各種標準（例如 ISO 26262-4 或IEC 61508-2）。該流程將開發分為以下幾個階段：

? 評估。

? 計劃。

? 創建。

? 驗證。

TI 的功能安全開發流程是根據 ISO 26262 和 IEC61508 制定的。我們向新產品標準開發流程的每個階段都添加了幾項特定的功能安全活動，從而劃分出三個基于標準的 IC 復雜度類別。

如 ISO 26262-2:2018 附件 A 所述，TI 的開發流程有利于真正實現功能安全。該開發流程可促進在所有產品開發團隊之間共享功能安全類信息。TI 團隊根據適當的標準維護特定組織的功能安全規則，而且其各個流程可確保解決發現的安全異常情況。TI 根據通用標準維護可滿足功能安全要求的質量管理系統，從而為客戶提供支持。

不斷提供功能安全產品系列

功能安全設計側重在概念階段就對各類危險、失效和緩解措施作出詳盡的計劃。這涉及根據標準分析各類系統失效以及所實施診斷方案的有效性。在此期間，需要反復研究用于構建系統的各個器件相關的數據。

（來源：TI工業系統工廠自動化與控制總經理Miro Adzan； TI汽車系統車身電子與照明總經理Arun）
編輯：hfy