在工业自动化和智能化飞速发展的今天，安全相关系统（SRS）的设计对于保障人员安全、设备稳定运行以及生产效率至关重要。使用符合功能安全（FS）的组件进行 SRS 设计具有诸多优势，但目前市场上大多数设计仍依赖于标准 IC，即未按照 FS 标准开发的 IC。这是因为仅有少数 IC 达到 FS 等级，而从系统级角度来看，通过使用标准部件进行功能安全设计，设计人员仍能够实现合规性。本系列的第 3 部分将深入探讨在选择监控电路时，值得关注的 FS 关键特性，以帮助设计人员在众多标准解决方案中做出更明智的选择。
电源监控：遵循标准，保障供电稳定
基本 FS 标准 IEC 61508:2010（特别是第 2 部分）对电源提出了两个关键要求。一方面，与表 A.1 和表 A.9 中的诊断覆盖率（DC）和安全失效比率（SFF）相关。表 A.1 明确了在量化随机硬件失效影响时需假设的故障或失效类型，表 A.9 则针对诊断测试措施和可实现 DC 给出建议。例如，若在量化随机硬件失效影响时假设存在固定电平故障，可达到 60% 的诊断覆盖率（低）；若假设存在 DC 故障模型和 / 或漂移和振荡，则可达到 99% 的诊断覆盖率（高）。另一方面，针对每个安全完整性等级（SIL），标准推荐了用于控制系统失效的技术和措施，如防范电压击穿、变化、过压（OV）、下压（UV）等问题的措施。这些推荐的诊断措施强调使用适当的电源监控器，该监控器必须能够在所需时间内正确检测 OV 和 / 或 UV 状态，并提供信号，以便通过断电程序或切换到备用电源来触发系统的安全关断。
监控精度：精准检测，放宽电源规范
在设计 OV/UV 检测机制时，电源监控器的容差窗口和阈值精度是首要考虑的参数。窗口电源监控器的容差以相对于标称值的百分比设置 UV 和 OV 阈值，但这些阈值本身也有容差规范，即阈值精度。阈值精度直接影响 SRS 设计，例如现场可编程门阵列（FPGA）的电源电压（VCORE）设计为采用 1.07 V 至 1.13 V 电源供电以确保正常工作。当采用 1.1 V 的电源输出电压为 FPGA 的 VCORE 供电时，电源监控器需要在电源电压超出规范之前置位复位信号。高精度的电源监控器可以在更接近规范边界的电压值时触发断路，而精度较差的监控器可能会在更早的电平时断路，这不仅需要更准确的电源，还会造成杂散跳变。因此，提高监控器阈值精度不仅可以放宽所需的电源规范，还能显著减少误触发。
输出机制：多样响应，保障系统安全
检测到 OV 和 UV 状态后，电源监控器的输出响应至关重要。输出响应可能包括提供信号以触发系统的安全关断，如置位状态信号以启动断电程序或切换到备用电源，或者通过驱动晶体管开关的栅极来断开后续的关键安全电路。TUV SUD 建议，在 OV 事件发生后，不宜立即复位微控制器单元（MCU），因为 OV 事件可能会对 MCU 的部件造成不易察觉的损坏。所以，建议采取额外的措施来应对 OV 事件，例如通过关断电源或扩大工作范围等方式来确保系统安全。输出机制主要包括故障状态信号和栅极驱动。故障状态信号用于传达被监控电源或信号的状态，当检测到异常时，会向 MCU 发送信号要求复位；栅极驱动则用于控制晶体管开关以实现保护和隔离功能，帮助系统进入安全状态。此外，输出操作分为锁存操作和非锁存操作，不同的操作方式会影响系统在发生故障时的响应方式。同时，输出拓扑和极性对 FS 也十分重要，例如故障状态信号的开漏拓扑可将后面的电路与电压监控器的输入电源隔离开来，为安全关键功能选择低电平有效复位信号可以确保在控制信号失效时，系统默认进入安全状态。
片内诊断：自我检测，增强合规性
片内诊断是指允许 IC 内部用于检测自身故障的功能，可通过内置自测功能（BIST）等 IC 的内部安全机制来实现。例如，MAX16138 支持在上电或正常工作期间启动的 BIST 功能，通过自动检查其内部比较器或数字电路，减少发生随机硬件失效的可能性，降低设备的危险故障概率。基本 FS 标准（IEC 61508-2）建议采用可测性设计（DFT）技术，BIST 作为 DFT 的一种类型，能够生成测试数据，将数据应用于被测电路（CUT），收集输出响应，并验证输出是否正确。其他行业标准如 IEC 62566、IEC 60987、IEEE 379、IEEE 7 - 4.3.2 和 NUREG/CR - 7006 等也要求采取类似的可测试性措施。片内诊断还可以通过 RAM 测试、闪存 CRC 检查或输出测试的形式进行，在每次系统启动时执行这些测试，可在安全分析中用于确定故障检测时间。因此，具有 BIST 等片内诊断功能的组件不仅能够优化组件级和系统级的实现，还能显著增强 FS 合规性。
看门狗定时器架构：故障安全，提高诊断覆盖率
随着微控制器在电源和 SRS 中的广泛应用，看门狗定时器（WDT）特性成为高性能电压监控器应用中另一个值得关注的安全特性。WDT 符合基本 FS 标准 IEC 61508 对程序序列监测的要求，可作为诊断措施来控制因硬件设计和环境压力或影响引起的系统失效。与微控制器的内置 WDT 特性相比，外部或独立 WDT（通常为电源监控器 IC 的形式）可以消除共因故障，同时确保在 MCU 发生故障时，仍能触发安全功能。不同类型的看门狗定时器（具有独立时基，有或没有时间窗口）在诊断程序序列和时钟失效时可实现的诊断覆盖率有所不同。窗口化看门狗定时器具有更高的故障覆盖率，因此可以达到更高的诊断覆盖率。在进行失效模式、影响和诊断分析（FMEDA）时，这些数据非常有用。
