制造商希望使用新的复杂技术来减少相关成本（例如，使用安全扭矩关闭而不是再添加一个接触器）

  在展开详细讨论之前，我们先看一些基本定义，以帮助各类读者更好地理解本文。

  安全就是指能避免发生不可接受的风险。例如，工厂车间内未加防护的旋转机器就是不安全的。

  安全功能是指为实现或确保安全一定得执行的操作。安全功能的目的是降低系统风险。例如，如果上述旋转机器的前面安装了光幕，当手穿过光幕时，安全功能将会检测到光束中断，从而在手接触到旋转机器之前使其停止运转。

  安全功能通常包括三个子系统。图1的安全系统用于检测危险液体的液位，并在充满时切断液流。

  指系统在需要时执行预期安全功能的可靠性。它能有效地衡量功能安全工程师对光束中断时光幕和电机的停机安全功能会运行的信任度。

  如果硬件指标（随机错误）、系统能力(SC)和共因失效(CCF)不会导致安全系统故障、人员受伤或死亡、环境受损或生产损失，则认为该系统功能安全。

  除了上述基本安全定义，还需了解设计功能安全系统时一定要遵循的一些功能安全标准，及其相关优势。

  制造商进行功能安全开发时，遵循IEC 61508或ISO 26262等标准，具有以下好处：

  安全标准有很多（见图2），其中大部分源自工业IEC 61508标准。有必要注意一下的是，所有标准的90%到95%要求都与IEC 61508的要求类似。

  本文重点介绍针对工业应用的IEC 61508标准，特别是怎么样去使用SIL 2器件以相同冗余设计SIL 3解决方案。

  无论系统多么可靠，系统最终都会失效！两种常见的故障类型是系统性故障和随机故障。参见图3。

  冗余其实就是备用或冗余路径，当安全系统中出现故障时，它能执行预期的安全功能。有必要注意一下的是，系统具有某些特定的程度的冗余，并不代表同时具有高可用性。只有冗余路径能自动开启或激活时，它才具有高可用性。IEC 61508中常用的另一个术语是硬件容错(HFT)。HFT为N意味着至少出现N + 1个故障才可能会引起安全功能丧失。需注意一点，不应考虑别的可能控制故障影响的措施，例如诊断。HFT是一种有效的手段，可确保硬件能够抵御故障，同时允许用户权衡HFT和SFF。参见表1。

  SIL描述了安全功能的完整性及其提供的降风险能力的相对水平。IEC 61508规定了四级SIL，SIL 1的安全完整性等级最低，SIL 4的安全完整性等级最高。表2比较了工业IEC 61508安全等级(SIL)、汽车(ISO 26262)安全等级(ASIL)和航空电子安全等级。请注意，这些只是近似比较。

  随着SIL等级的提高（从SIL 1到SIL 4），允许的故障率(FIT)依次降低。1 FIT相当于每运行十亿(1e9)小时发生一次故障。1e9小时约为10万年！有一点要注意，没有一点设备能够持续运行10亿小时，但如果100,000台设备正常运行一年，在此期间有极大几率会出现一次随机硬件故障。安全失效比率(SFF)是检测到的安全加危险故障总数与安全功能中的故障总数之比。

  表3显示了硬件容错为零(HFT = 0)时安全失效比率(SFF)和SIL之间的对应关系。

  对于许多采用功能安全的设计人员而言，尤其是使用IC进行设计时，问题就在于获得认证可能很困难且成本高昂，而且还有着很现实的不合规风险。设计人员一定创建系统级FMEDA，并且必须将ASIC视为黑匣子，因为他们不知道：

  因此，为实现总体SIL目标，设计人员在FIT计算中必然会过于保守，在安全系统的别的部分中也会过度确保安全。这通常意味着需要用外部诊断，例如外部ADC。这样做的问题是：

  除了这样一些问题，新版IEC 61508标准（第3版）的推出进一步加大了困难。

  IEC 61508第3版目前计划的变更包括：明确警告慎用片内诊断来检测同一芯片上的故障，除非IC是按照IEC 61508开发的。它还计划包括类似于汽车ISO 26262潜在故障指标的要求。除了针对诊断功能的SFF之外，诊断电路也会有SC要求。

  ADFS5758是一款单通道、16位电流输出DAC，集成动态功率控制(DPC)，具有内部基准电压源和众多片内诊断功能。图4显示了其功能框图。

  ►主要片内诊断功能由ADC提供；如前所述，IEC 61508第3版计划澄清，一般不允许使用片内诊断来检测片内故障，除非IC是按照IEC 61508开发的

  为使系统满足SIL要求，硬件指标（也称为架构约束）和SC都一定要满足SIL目标。

  从硬件指标的角度看，并行放置两个SIL 2元件（相同或不同）可以让客户实现更高的SIL 3等级。参见图7。

  使用具有同样SC的相同元件并不能改善整体系统能力，因为它们有可能会出现相同的类似CCF的温度峰值或压降，并且同一故障有几率会使两个元件同时失效。参见图8。

  但在安全系统中使用不相同元件时，相应的设计导入和测试工作量会明显地增加，因此这种方法可能成本较高。

  理想方法是使用两个相同元件来同时满足功能安全要求的整体能力和随机/硬件指标。

  如果系统中能够使用某个元件，并且该系统是按照比元件的SIL高一个等级的系统能力开发的，则可以在安全系统中使用两个相同元件来提供冗余，并提升整体系统能力。示例参见图10。

  ADFS5758是按照比硬件指标高一级的系统能力开发的，因此，即使它在硬件指标或随机故障方面只通过了SIL 2认证，也可使用它来设计SIL3模拟输出模块。

  除了上述优势之外，ADFS5758还允许使用SIL 2器件以相同冗余设计SIL 3解决方案。

  Analog Devices, Inc. (NASDAQ: ADI)是全球领先的半导体公司，致力于在现实世界与数字世界之间架起桥梁，以实现智能边缘领域的突破性创新。ADI提供结合模拟、数字和软件技术的解决方案，推动数字化工厂、汽车和数字医疗等领域的持续发展，应对气候平均状态随时间的变化挑战，并建立人与世界万物的可靠互联。ADI公司2023财年收入超过120亿美元，全球员工约2.6万人。携手全球12.5万家客户，ADI助力创新者不断超越一切可能。

  Brian Condell是ADI公司位于爱尔兰利默里克的工业连接和控制部门的IO-Link®产品应用工程师。Brian 1997年开始在ADI工作。他于2003年毕业于利默里克大学，获得电气工程荣誉学位。他拥有超过25年的半导体行业从业经验，先后担任过多种职位，包括FAB维修技术人员、IC布局工程师、模拟设计工程师、功能安全工程师，以及最近的应用工程师。他是经过TUV Rheinland认证的IEC 61508硬件/软件设计功能安全工程师。