【導讀】對安全功能電路進行首次失效模式、影響與診斷分析(FMEDA)后，結果只有兩種。第一種結果是系統完整性等級(SIL)要求得到滿足，第二種結果是要求未能滿足。對于后者，要在不進行重大架構變更的情況下解決問題，系統集成商可以提高診斷覆蓋率、調整運行條件和/或采用額外安全措施。ADI公司安全應用筆記中的信息可以幫助系統集成商實施此類設計改進，從而達到每小時危險失效概率(PFH)/按需危險失效概率(PFDAVG)和安全失效比率(SFF)要求。因此，本系列的第3部分深入探討系統集成商如何使用功能安全(FS)型器件的安全應用筆記，來提升IC在系統中的功能安全性能。
示例FMEDA
本系列的第2部分介紹了系統集成商在進行系統失效模式、影響與診斷分析(FMEDA)時，如何使用功能安全(FS)型IC的安全應用筆記中包含的安全信息。首次執行FMEDA后，如果安全功能的功能安全(FS)架構設計已經較為完善，則設計可能已經達到規定的每小時危險失效平均頻率(PFH)/按需危險失效平均概率(PFDAVG)和安全失效比率(SFF)要求。否則，設計將需要進一步改進。
例如，表1展示了一項系統FMEDA，側重于分析ADP7156對一個假定的單通道（無硬件容錯(HFT)/HFT = 0）安全功能的影響。分析中假設：
LDO為邏輯控制器供電。
如果低壓差穩壓器(LDO)的輸出電壓為0V，則安全功能可以實現安全狀態；否則，后果要么是對安全功能沒有影響，要么導致安全功能喪失。
就診斷而言，假設采用帶安全切斷的過壓保護技術（參見IEC 61508-2:2010表A.9）。據此，針對與過壓相關的危險失效，最大可聲稱診斷覆蓋率(DC)可達到60%。在運行方面，假設安全功能在高需求模式下運行。同樣，本文使用的失效率預測依據IEC 62380標準。
表1：針對ADP7156的FMEDA分析示例
圖1：基于IEC 61508:2010的診斷2
回顧SFF計算公式1：
IC每小時危險失效平均頻率(PFH)的計算公式1：
對于當前設計，安全功能的SFF為69%，而PFH貢獻為1.77FIT。如果安全功能需要達到IEC 61508規定的系統完整性等級(SIL) 2，設計的SFF至少需要為90%。同時，SIL 2容許的PFH為100FIT至1000FIT。假設1%的PFH分配給IC，則要求的PFH貢獻將在1FIT到10FIT的范圍內。如果目標是下限，即1FIT，則當前架構將不符合SIL 2的SFF和PFH要求。
接下來將闡述系統集成商可以通過哪些途徑來改進設計的PFH和SFF指標。
提高診斷覆蓋率
公式2表明，PFH與未檢出的危險失效率成正比。同樣，公式1表明SFF與安全失效率和未檢出的危險失效率成正比。因此，降低未檢出的危險失效率并提高已檢出的危險失效率，會改善IC的PFH和SFF指標。詳情如圖1所示。
對于表1所示的FMEDA示例，僅與過壓相關的失效被納入診斷覆蓋范圍。為了提升IC的安全性能，可從提高診斷覆蓋率入手，具體包括以下兩種方法：第一種是增加診斷覆蓋率以檢測欠壓相關的危險失效，第二種是增加診斷覆蓋率以檢測過壓相關的危險失效。例如，診斷覆蓋率(DC)從60%增加到90%。
當前設計采用過壓保護和安全關斷診斷措施，根據IEC 61508-2:2010表A.9，最大可聲稱診斷覆蓋率為60%。使用電壓控制（次級）診斷措施來監測ADP7156的輸出，將使最大可聲稱診斷覆蓋率達到99%。這種診斷措施會同時監測過壓(OV)和欠壓(UV)情況，或任何超出指定范圍的異常情況，因此與OV和UV相關的危險失效都會得到覆蓋。將此方法應用于表2中的FMEDA示例，可實現0.04FIT的PFH和99.3%的SFF，超過SIL 2的要求。1,3
優化可靠性預測
改善IC的PFH的另一種方法是降低估計的失效率。《了解安全事項應用筆記》系列的第1部分介紹了系統集成商如何根據高溫工作壽命(HTOL)、SN 29500和IEC 62380，計算FS型器件的失效率。在ADI安全應用筆記中給出的假設條件下，系統集成商可以使用所提供的信息來確保可靠性預測與工作條件相符，而不必使用最差情況下的值。
例如，在假設工作條件下根據SN 29500 FIT進行的ADP7156可靠性預測如圖2所示。SN 29500可靠性預測受應用相關參數的影響，例如電壓依賴因子和溫度依賴因子。因此，如果假設的IC工作條件（如工作電壓、環境工作溫度、任務剖面和負載條件）比實際應用更嚴苛，設計人員可以調整假設條件，使其與實際情況相匹配。
表2：針對ADP7156的FMEDA分析示例
圖2：ADP7156的SN 29500 FIT，基于其安全應用筆記
采用額外安全措施
ADI的安全應用筆記還給出了分析中使用的假設應用電路，如圖3所示。應用筆記中的“失效模式分布(FMD)”部分提供了系統失效模式。在此基礎上，設計人員可以根據需要決定，應采取哪些額外的安全措施來應對這些失效模式。例如，可以添加齊納二極管和保險絲等保護措施，防止輸出端發生過壓相關的危險失效。有了這種保護，齊納二極管會鉗位過壓，使此類失效不產生影響，從而消除危險失效，改善PFH和SFF指標。
圖3：ADP7156安全應用筆記中假設的應用電路
結論
要達到嚴格的SIL要求，未必需要對系統架構進行全面改造。很多情況下，利用有針對性的診斷和可靠性數據，對現有設計進行策略性優化，就能實現目標。借助ADI公司安全事項應用筆記中提供的見解，系統集成商可以增強診斷覆蓋率，優化運行條件以降低估計失效率，或納入外部保護電路等補充安全措施，從而系統性地提升功能安全性能，尤其是SFF和PFH/PFDAVG。正如ADP7156 LDO穩壓器示例所示，從基本過壓關斷升級為次級電壓監測，能夠使設計從不符合SIL 2標準，一舉躍升為滿足并超越SIL 2標準的要求。總而言之，這些應用筆記為工程師的安全設計提供了關鍵指引，可確保集成電路能夠精準高效地滿足IEC 61508的嚴格要求。
參考文獻
1 Bryan Borres，“了解安全事項應用筆記——第2部分：失效模式分布”，《模擬對話》，第59卷，2025年10月。
2 Bryan Borres，“利用高性能監控電路提高工業功能安全合規性：使用SIL級器件——第二部分”，ADI公司，2025年3月。
3 Bryan Borres和Noel Tenorio，“工業功能安全電源設計——第一部分：IEC 61508標準解讀”，ADI公司，2025年7月。
作者簡介
Bryan Angelo Borres是一名經TüV認證的功能安全工程師，目前負責多個工業功能安全項目。作為高級功能安全工程師，他協助元器件設計師和系統集成商設計符合工業功能安全標準的功能安全電源產品。Bryan是菲律賓參加國際電工委員會(IEC) TC65/SC65A技術委員會的國家委員會成員，同時也是電氣電子工程師協會(IEEE)的高級會員。此外，他擁有電力電子專業研究生文憑，在高效、穩健的電力電子系統設計方面擁有超過八年的豐富行業經驗。
