功能安全系统如何设计？你只差一款高性能Σ-Δ ADC

两个步骤建立高性能功能安全系统

第一，危害分析，确定可能致人受伤的方式。对危害进行分析之后，系统设计应确保避免危险情况发生。如果存在无法避免的情况，应增加安全系统来检测该不安全状态并让系统处于安全状态。例如一个开环式阀门控制系统，根据油箱温度，一个连接到油箱的阀门打开一定的百分比以使爆炸风险最低。一个DAC通过一台电机控制阀门开口大小。危害分析揭示出有两种情况可能产生不确定状态：温度测量错误以及DAC未能正确打开/关闭阀门。然后评估各种危害的风险，公式如下：

开环阀门控制系统信号链

第二，设计一个能将风险降至容许水平的功能安全系统。功能安全国际标准IEC-61508定义了四个安全完整性等级(SIL)，这些等级规定了安全功能应将风险降至何种水平。这是基于对未检出故障的降低和最小化程度来制定的，未检出故障是指会使系统功能失常并可能触发不利状况的故障。

不同标准的风险水平概算

若系统能提供99%的诊断覆盖率，则可实现SIL3；若诊断覆盖率为90%，则可实现SIL2；若诊断覆盖率只有60%，则可实现SIL1。换言之，未检出故障的概率随着诊断覆盖率的提高而降低。目前，常见的实现高诊断覆盖率分别是采用已通过相应保护等级认证的器件以及在器件层面使用冗余设计。这两种方法都有不容忽视的弊病，前者的认证标准可能不适用你的系统，而且系统保护等级也可能不匹配。后者在进行错误检测时，并不是直接进行，而是间接将两个（或更多）理应相同的输出进行比较。这种方法极大地增加了物料成本、PCB面积、处理开销和成本。同时还会给系统设计人员带来额外的负担，比如，增加开发时间，降低可靠性等。

从核心器件层面减少故障概率

一个常见的差错来源是外部接口中的数据传输：如果任何一位在传输中被破坏，数据便可能被接收器误解，并且可能产生不利状况。因此数据链上的每一个器件都很重要，若制造商宣称某个器件针对功能安全系统而设计，其应能够提供FIT以及更为重要的故障模式、影响和诊断分析。此数据用于分析特定应用中的IC，计算系统的诊断覆盖率(DC)、安全失效系数(SFF)和危险故障率。 相对而言，其中常用的Σ-Δ ADC的功能安全尤其关键。

对Σ-Δ ADC的一般分析揭示出了此类器件的内部复杂性所引起的多种错误来源，包括：基准电压断开连接/受损；输入/输出缓冲器/PGA受损；ADC内核受损/饱和内部稳压器电源不正确，以及外部电源不正确。此外，只有某些问题会在器件模块中产生故障，但存在其他不像上面所列那么明显的故障原因：内部键合线受损；键合线与邻近引脚短路；漏电流增加；等。例如，若VREF漏电流增加以致在内部基准电压上产生压降，器件能否检测到这一情形？为检查此类故障，ADC应能选择不同的基准电压进行转换，并将V_REF用作转换输入。ADI公司的现代化Σ-Δ ADC，比如 AD7770, AD7768, 或 AD7764, 通过多个诊断检测器来提高容错保护，并检测数字模块和模拟模块中的功能错误。下面以AD7770为例分析其关键特性。

简化功能安全设计，ADI打造精密设计典范

对此，全球领先的高性能模拟技术解决方案提供商ADI公司推出了一系列现代化Σ-Δ ADC，实现了许多内部错误检测器，不仅能够检测数字模块和模拟模块中的功能错误，还简化了功能安全系统的设计，使整体复杂度低于其他解决方案。其中AD7770更是精密Σ-Δ ADC设计的典范，包含以下特性：

· 用于熔丝位、寄存器和接口的CRC校验器

· 过压/欠压检测器

· 基准电压和LDO电压检测器

· 用于PGA增益测试的内部固定电压

· 外部时钟检测器

· 多个基准电压源

AD7770是一款8通道同步采样ADC，片内集成8个完整的Σ-Δ型ADC。能够提供低输入电流，允许直接连接传感器。每个输入通道都有一个增益为1、2、4和8的可编程增益级，可将低幅度传感器输出映射到满量程ADC输入范围，从而使信号链的动态范围最大。AD7770接受1 V至3.6 V的V_REF电压。模拟输入接受单极性（0 V至V_REF）或真双极性(±V_REF/2)模拟输入信号，模拟电源电压分别为3.3 V或±1.65 V (PGAGAIN = 1）。模拟输入可接受真差分、伪差分或单端信号以匹配不同的传感器输出配置。

AD7770 的诊断和监控模块

其每个通道包含一个PGA、一个ADC调制器和一个sinc3低延迟数字滤波器。采用SRC来对AD7770 ODR进行精细分辨率控制。这种控制可用于线频率变化为0.01 Hz时，ODR分辨率需要维持相干性的应用。SRC可通过串行端口接口(SPI)编程。AD7770实现了两种不同接口：数据输出接口和SPI控制接口。ADC数据输出接口专门用于将ADC转换结果从AD7770发送至处理器。SPI写入或读取AD7770配置寄存器，并控制和读取SAR ADC数据。SPI还可配置为输出Σ-Δ转换数据。

除了以上特性，AD7770还内置了一个辅助12位SAR型ADC，它可以使诊断覆盖率达到最大，例如：

· 实现其他架构以得到某些好处，比如提供不同的EMC抗扰度

· 它通过不同的电源引脚供电，故而可以用作基准电压源

· 其速度非常快，用作监视器时，在一个Σ-Δ 通道的单次转换期间，它可以监视8个Σ-Δ通道，但该SAR型ADC的精度和Σ-Δ ADC的精度不同

· 它利用不同的串行接口(SPI)提供转换结果

· 提供所有内部电压节点的测量进行诊断，比如外部电源、V_REF、V_CM、LDO输出电压或内部基准电压。

除此之外，也无需为系统测量功能专门腾出一个Σ-Δ型ADC通道。通过外部多路复用器（可利用3个通用输入/输出引脚(GPIO)加以控制）和信号调理，SAR ADC可在需要功能安全性的应用中用于验证Σ-Δ型ADC测量结果。值得一提的是，AD7770 SAR ADC还内置一个多路复用器，可用来检测内部节点。

结语

新的国际标准和法规加速了工业设备对安全系统的需求。不仅因为安全是未来工厂的基本要素，更是因为功能安全可确保更高的可靠性、更精确的诊断和更大的弹性。ADI 公司一直采用IEC 61508 标准来扩展其已经非常严格的功能安全新产品开发流程，确保了IEC61508 要求的额外安全计划、安全分析、验证和确认得以执行，帮助系统设计师实现功能安全理想。