稿源：美通社

作者：Brian Condell，产品应用工程师

摘要

需要安全完整性等级(SIL) 3解决方案的制造商，在使用SIL 2器件时面临着多项挑战。随着工业功能安全标准IEC 61508第3版的发布，制造商必须采用新的方法。本文概述了一种能够克服挑战以成功实现SIL 3并加速产品上市的解决方案。

简介

过去几年，受以下多项因素的驱动，工业功能安全系统开始加速普及：

►制造商希望使用新的复杂技术来降低成本（例如，使用安全扭矩关闭而不是再添加一个接触器）

►实践证明，使用机器人（特别是协作机器人）可以提高许多工厂车间的生产率

►认识到使用安全认证设备可以提高整体可靠性

►确认使用诊断可以提高许多工厂和设备的产量

►引入新的安全要求

另一个驱动因素是对能源、石油和天然气行业提出了严格的要求和监管义务。

在展开详细讨论之前，我们先看一些基本定义，以帮助各类读者更好地理解本文。

什么是安全？

安全就是指能避免发生不可接受的风险。例如，工厂车间内未加防护的旋转机器就是不安全的。

什么是安全功能？

安全功能是指为实现或确保安全必须执行的操作。安全功能的目的是降低系统风险。例如，如果上述旋转机器的前面安装了光幕，当手穿过光幕时，安全功能将会检测到光束中断，从而在手接触到旋转机器之前使其停止运转。

安全功能通常包括三个子系统。图1的安全系统用于检测危险液体的液位，并在充满时切断液流。

►输入子系统（传感器，如液位传感器）用于检测值或状态

►逻辑子系统（可编程逻辑控制器(PLC)）用于判断该状态是否危险

►输出子系统（执行器）可采取行动来确保安全

图1.典型安全功能

什么是功能安全？

指系统在需要时执行预期安全功能的可靠性。它能有效地衡量功能安全工程师对光束中断时光幕和电机的停机安全功能会运行的信任度。

如果硬件指标（随机错误）、系统能力(SC)和共因失效(CCF)不会导致安全系统故障、人员伤亡、环境受损或生产损失，则认为该系统功能安全。

除了上述基本安全定义，还需了解设计功能安全系统时必须遵循的一些功能安全标准，及其相关优势。

制造商进行功能安全开发时，遵循IEC 61508或ISO 26262等标准，具有以下好处：

►前期需求更清晰

►测试期间较少出错

►软件编写保持一致

►集成过程中发现的缺陷更少

►测试更全面

►现场缺陷更少

►与竞争对手相比，差异化程度更高

安全标准有很多（见图2），其中大部分源自工业IEC 61508标准。值得注意的是，所有标准的90%到95%要求都与IEC 61508的要求类似。

图2.安全标准

本文重点介绍针对工业应用的IEC 61508标准，特别是如何使用SIL 2器件以相同冗余设计SIL 3解决方案。

冗余、高可用性和硬件容错

无论系统多么可靠，系统最终都会失效！两种常见的故障类型是系统性故障和随机故障。参见图3。

图3.系统性故障和随机故障

冗余实际上是备用或冗余路径，当安全系统中发生故障时，它能执行预期的安全功能。值得注意的是，系统具有一定程度的冗余，并不意味着同时具有高可用性。只有冗余路径能够自动开启或激活时，它才具有高可用性。IEC 61508中常用的另一个术语是硬件容错(HFT)。HFT为N意味着至少出现N + 1个故障才可能导致安全功能丧失。需注意一点，不应考虑其他可能控制故障影响的措施，例如诊断。HFT是一种有效的手段，可确保硬件能够抵御故障，同时允许用户权衡HFT和SFF。参见表1。

表1.硬件容错

安全完整性等级

SIL描述了安全功能的完整性及其提供的降风险能力的相对水平。IEC 61508规定了四级SIL，SIL 1的安全完整性等级最低，SIL 4的安全完整性等级最高。表2比较了工业IEC 61508安全等级(SIL)、汽车(ISO 26262)安全等级(ASIL)和航空电子安全等级。请注意，这些只是近似比较。

表2.各种SIL等级

随着SIL等级的提高（从SIL 1到SIL 4），允许的故障率(FIT)依次降低。1 FIT相当于每运行十亿(1e9)小时发生一次故障。1e9小时约为10万年！有一点要注意，没有任何设备能够持续运行10亿小时，但如果100,000台设备运行一年，在此期间可能会出现一次随机硬件故障。安全失效比率(SFF)是检测到的安全加危险故障总数与安全功能中的故障总数之比。

表3显示了硬件容错为零(HFT = 0)时安全失效比率(SFF)和SIL之间的对应关系。

表3.SIL和SFF

问题/现有解决方案

对于许多采用功能安全的设计人员而言，尤其是使用IC进行设计时，问题在于获得认证可能很困难且成本高昂，而且还存在非常现实的不合规风险。设计人员必须创建系统级FMEDA，并且必须将ASIC视为黑匣子，因为他们不知道：

►晶体管数量

►内部故障机制

►布局块大小

►IC的可靠性

因此，为了实现总体SIL目标，设计人员在FIT计算中必然会过于保守，在安全系统的其他部分中也会过度确保安全。这通常意味着需要使用外部诊断，例如外部ADC。这样做的问题是：

►更加昂贵(BOM)

►尺寸更大

►更加复杂

►系统软件存在额外开销

►开发时间更长

除了这些问题，新版IEC 61508标准（第3版）的推出进一步加大了困难。

IEC 61508第3版

IEC 61508第3版目前计划的变更包括：明确警告慎用片内诊断来检测同一芯片上的故障，除非IC是按照IEC 61508开发的。它还计划包括类似于汽车ISO 26262潜在故障指标的要求。除了针对诊断功能的SFF之外，诊断电路也会有SC要求。

ADFS5758：率先通过认证的数据转换器

ADFS5758 是一款单通道、16位电流输出DAC，集成动态功率控制(DPC)，具有内部基准电压源和众多片内诊断功能。 图4显示了其功能框图。

ADFS5758的诊断/安全措施

►主要片内诊断功能由ADC提供；如前所述，IEC 61508第3版计划澄清，一般不允许使用片内诊断来检测片内故障，除非IC是按照IEC 61508开发的

►检查有无有效的读/写地址

►ECC校正

►看门狗定时器

►锁定配置寄存器的能力

►内部偏置电压监视器

►温度监控器

旨在满足以下要求：

►工业工厂自动化

►过程控制应用

►高密度小尺寸PLC模拟I/O卡

安全功能：

接收数字输入码，产生精度在±2.5%满量程范围(FSR)内的输出电流。

根据IEC 61508开发：

►硬件指标达到SIL 2

►系统要求达到SIL 3

图5是ADFS5758的TUV Rheinland功能安全证书副本。

图4.ADFS5758框图

图5.ADFS5758功能安全证书

图6显示使用ADFS5758的典型安全应用。

图6.使用ADFS5758的典型应用

为使系统满足SIL要求，硬件指标（也称为架构约束）和SC都必须满足SIL目标。

架构约束

从硬件指标的角度看，并行放置两个SIL 2元件（相同或不同）可以让客户实现更高的SIL 3等级。参见图7。

图7.使用两个SIL 2元件实现硬件指标达到SIL 3的解决方案

系统能力

冗余可以通过多样化（不同）元件或相同元件来实现。

相同元件

使用具有同样SC的相同元件并不能改善整体系统能力，因为它们容易出现相同的类似CCF的温度峰值或压降，并且同一故障可能会导致两个元件同时失效。参见图8。

图8.使用相同元件不会提高系统能力

不同元件

在冗余配置中使用不同的元件可以提高整体系统能力。参见图9。

图9.使用不同元件可以提高系统能力

由于两个元件不相同，所以同一故障不太可能使两个元件同时失效。

但在安全系统中使用不同元件时，相应的设计导入和测试工作量会显著增加，因此这种方法可能成本较高。

理想方法是使用两个相同元件来同时满足功能安全要求的整体能力和随机/硬件指标。

开发的系统能力比SIL高一级的重要性：相同冗余

如果系统中可以采用某个元件，并且该系统是按照比元件的SIL高一个等级的系统能力开发的，则可以在安全系统中使用两个相同元件来提供冗余，并提高整体系统能力。示例参见图10。

图10.使用相同冗余实现SIL 3的示例

ADFS5758是按照比硬件指标高一级的系统能力开发的，因此，即使它在硬件指标或随机故障方面只通过了SIL 2认证，也可使用它来设计SIL3模拟输出模块。

结语

在安全系统中使用经过认证的ADFS5758可带来许多优势：

►风险更小：满足TÜV要求

►可以使用片内诊断（ADC和分布式诊断）

►解决方案尺寸更小/给定空间中通道更多（由于使用集成ADC）

►仅需少量外部元件（可靠性更高）

►针对性的诊断（检测时间更短，覆盖率更高）

►为系统级工程师提供关键数据(FMEDA)

►系统软件的开销更少（软件中的诊断更少）

►提供针对假设环境的可靠性分析

►缩短客户的开发时间

►提供相关文件（安全手册和TÜV评估报告）

►适应未来的IEC 61508第3版标准

除了上述优势之外，ADFS5758还允许使用SIL 2器件以相同冗余设计SIL 3解决方案。

如希望进一步探索功能安全和ADFS5758：

►请访问ADFS5758产品网页 以了解更多信息。

►订购ADFS5758评估套件 以熟悉该器件。

►浏览ADI公司的工业功能安全网页。

►阅读ADI公司的安全事项博客。

关于ADI公司

Analog Devices, Inc. (NASDAQ: ADI)是全球领先的半导体公司，致力于在现实世界与数字世界之间架起桥梁，以实现智能边缘领域的突破性创新。ADI提供结合模拟、数字和软件技术的解决方案，推动数字化工厂、汽车和数字医疗等领域的持续发展，应对气候变化挑战，并建立人与世界万物的可靠互联。ADI公司2023财年收入超过120亿美元，全球员工约2.6万人。携手全球12.5万家客户，ADI助力创新者不断超越一切可能。更多信息，请访问www.analog.com/cn

关于作者

Brian Condell是ADI公司位于爱尔兰利默里克的工业连接和控制部门的IO-Link^®产品应用工程师。Brian 1997年开始在ADI工作。他于2003年毕业于利默里克大学，获得电气工程荣誉学位。他拥有超过25年的半导体行业从业经验，先后担任过多种职位，包括FAB维修技术人员、IC布局工程师、模拟设计工程师、功能安全工程师，以及最近的应用工程师。他是经过TUV Rheinland认证的IEC 61508硬件/软件设计功能安全工程师。

结合铜夹片封装和宽禁带半导体的优势

基础半导体器件领域的高产能生产专家Nexperia今天宣布推出新款GaN FET器件，该器件采用新一代高压GaN HEMT技术和专有铜夹片CCPAK表面贴装封装，为工业和可再生能源应用的设计人员提供更多选择。经过二十多年的辛勤耕耘，Nexperia在提供大规模、高质量的铜夹片SMD封装方面积累了丰富的专业知识，如今成功将这一突破性的封装方案CCPAK应用于级联氮化镓场效应管（GaN FET），Nexperia对此感到非常自豪。GAN039-650NTB是一款33 mΩ（典型值）的氮化镓场效应管，采用CCPAK1212i顶部散热封装技术，开创了宽禁带半导体和铜夹片封装相结合的新时代。这项技术为太阳能和家用热泵等可再生能源应用带来诸多优势，进一步加强了Nexperia为可持续应用开发前沿器件技术的承诺。该技术还适用于广泛的工业应用，如伺服驱动器、开关模式电源(SMPS)、服务器和电信应用。

Nexperia的创新型CCPAK封装采用了Nexperia成熟的铜夹片封装技术，无需内部焊线，从而可以减少寄生损耗，优化电气和热性能，并提高了器件的可靠性。为了更大限度地提升设计灵活性，CCPAK GaN FET提供顶部或底部散热配置，进一步改善散热性能。

GAN039-650NTB的级联配置使其能够提供出色的开关和导通性能，此外其稳健可靠的栅极结构可提供较高的噪声容限。这一特性还有益于简化应用设计，无需复杂的栅极驱动器和控制电路，只需使用标准硅MOSFET驱动器即可轻松驱动这些器件。Nexperia的GaN技术提高了开关稳定性，并有助于将裸片尺寸缩小约24%。此外，器件的R_DS(on)在25℃时仅为33 mΩ（典型值），同时其具有较高的门极阈值电压和较低的等效体二极管导通压降。

Nexperia副总裁兼GaN FET业务部总经理Carlos Castro表示：“Nexperia深刻认识到，工业和可再生能源设备的设计人员需要一种高度稳健的开关解决方案，以便在进行功率转换时实现出色的热效率。因此Nexperia决定将其级联GaN FET的优异开关性能与其CCPAK封装的优越热性能结合起来，为客户提供杰出的解决方案。”

Nexperia不断丰富其CCPAK产品组合，目前已推出顶部散热型33 mΩ（典型值）、650 V GAN039-650NTB，很快还将推出底部散热型版本GAN039-650NBB，其R_DS(on)与前者相同。有关数据手册和样品等更多信息，请访问www.nexperia.cn/ccpak。

关于Nexperia

Nexperia总部位于荷兰，是一家在欧洲拥有丰富悠久发展历史的全球性半导体公司，目前在欧洲、亚洲和美国共有15,000多名员工。作为基础半导体器件开发和生产的领跑者，Nexperia的器件被广泛应用于汽车、工业、移动和消费等多个应用领域，几乎为世界上所有商业电子设计的基本功能提供支持。
Nexperia为全球客户提供服务，每年的产品出货量超过1,000亿件。这些产品在效率（如工艺、尺寸、功率及性能）方面成为行业基准，获得广泛认可。Nexperia拥有丰富的IP产品组合和持续扩充的产品范围，并获得了IATF 16949、ISO 9001、ISO 14001和ISO 45001标准认证，充分体现了公司对于创新、高效、可持续发展和满足行业严苛要求的坚定承诺。

• 与上一代产品相比，新型SFH 7018红／绿／红外LED可将总辐射强度提高40%以上。产品推出了两个版本，其中一个版本的绿色发射器的辐射强度更是提高一倍以上。内部研究显示，SFH 7018是市场上性能最佳的产品之一；

• 更高亮度的LED与双腔体设计相结合，可提高心率和血氧饱和度测量的准确度；

• 紧凑的尺寸和最佳的LED间距可提高系统性能，更便于集成到最终产品设计中。

全球领先的光学解决方案供应商艾迈斯欧司朗（瑞士证券交易所股票代码：AMS）今日宣布，发布一款新型多色LED封装产品SFH 7018，辐射强度比上一代产品高出40%以上，可在智能手表、腕带和其他可穿戴设备中提高PPG（光电容积描记）测量的准确度。

SFH 7018应用图片（图片：艾迈斯欧司朗）

SFH 7018采用高反射率的QFN（方形扁平无引脚）封装，显著提高了光输出。此外，改进的双腔体设计将绿色LED与红色LED和红外（IR）LED分开放置：间距和光学隔离确保相对于光电二极管，光源放置达到最佳效果，并减少绿光（用于心率测量）与红光和红外光源（用于血氧饱和度或SpO2测量）之间的干扰。由于较短波长的交叉激发，绿色芯片不会导致红色和红外芯片发生荧光。

表面贴装QFN封装的优化尺寸仅为0.6mm高，便于将该模块集成到任何类型的可穿戴设备中。尽管尺寸紧凑，但SFH 7018提供了双驱动功能，可优化正向电压余度并降低总体功耗。

艾迈斯欧司朗的高级系统架构师Sergey Kudaev博士表示：“凭借新型SFH 7018，可穿戴设备制造商可以显著提高心率和血氧测量所依赖的光学信号的质量，使此类测量在所有运行条件下更加准确和可靠。在生命体征测量方面，SFH 7018有助于提高心率、血氧水平甚至更高级参数（如血压）测定的准确度和绝对性。”

SFH 7018A产品图片（图片：艾迈斯欧司朗）

提高辐射强度，增加信噪比

SFH 7018的辐射强度显著提高：与现有产品SFH 7016相比，产品SFH 7018的红色和红外LED亮度提高了40%以上，SFH 7018A版本中的绿色LED亮度提高了80%，而SFH 7018B版本中的绿色LED亮度则提高了一倍以上。在红色、绿色和红外波长各处，SFH 7018的亮度也远远超过了当今性能最好的竞品。

由于散射和吸收现象（取决于各种因素），组织中的光信号较微弱，在此基础上，检测光信号微小调制是所有生命体征监测设备面临的一大挑战，因此，LED发出的光量会对系统性能产生极大影响。当更多光线经血流改变后到达光电二极管时，信号质量得以提高，从而提高测量准确度和可重复性。SFH 7018通过向体内发射更多光线，实现了卓越的性能。

SFH 7018有两个版本：SFH 7018A针对高电流下的低正向电压进行了优化，无需配备昂贵的升压器即可运行。SFH 7018B针对最大辐射强度进行了优化。

SFH 7018B产品图片（图片：艾迈斯欧司朗）

目前两个版本均已开始量产。欲获取更多信息或申请试用样品，请访问产品网站：SFH 7018A、SFH 7018B。

关于艾迈斯欧司朗

艾迈斯欧司朗集团（瑞士证券交易所股票代码：AMS）是智能传感器和发射器的全球领导者。我们为光赋予智能，将热情注入创新，丰富人们的生活。

我们拥有超过110年的发展历史，以对未来科技的想象力为引，结合深厚的工程专业知识与强大的全球工业产能，长期深耕于传感与光学技术领域，持续推动创新。在汽车、工业、医疗、消费领域，我们致力于为客户提供具有竞争力的解决方案，在健康、安全与便捷方面，致力于提高生活质量，推动绿色环保。

我们在全球范围拥有约2.1万名员工，专注于传感、光源和可视化领域的创新，使旅程更安全、医疗诊断更准确、沟通更便捷。我们持续开发突破性的应用创新技术，目前已授予和已申请专利超过15,000项。

集团总部位于奥地利Premstaetten/格拉茨，联合总部位于德国慕尼黑。2022年，集团总收入超过48亿欧元。ams-OSRAM AG在瑞士证券交易所上市（ISIN:AT0000A18XM4）。

ams是ams-OSRAM AG的注册商标。此外，我们的许多产品和服务是艾迈斯欧司朗集团的注册或归档商标。本文提及的所有其他公司或产品名称可能隶属于其各自所有者。

加入ams OSRAM社群媒体获得第一手资讯：>Twitter>LinkedIn>Facebook>YouTube

如需获得更多资讯，请访问：https://ams-osram.com/zh