Hur man konstruerar och certifierar funktionellt säkra system baserade på resistanstermometrar

En resistanstermometer (RTD), som består av en givare och dess signalbehandlingskrets med analog front-end (AFE) används i stor utsträckning och är exakt och tillförlitlig. I verksamhetskritiska tillämpningar och tillämpningar med hög tillförlitlighet är det dock ofta nödvändigt att konstruera och säkerställa ett funktionellt säkert system genom certifieringsprocesser för komponenter med Route 1S eller Route 2S.

Att certifiera ett system för funktionell säkerhet är en komplicerad process eftersom alla komponenter i systemet måste granskas för potentiella feltillstånd och felmekanismer. Det finns olika metoder för att diagnostisera fel och genom att använda komponenter som redan är certifierade underlättas arbetsbördan och certifieringsprocessen.

Observera att "tillförlitlighet" är relaterat till, men är inte detsamma som, funktionellt säker. I sin enklaste form avser tillförlitlig en konstruktion och implementering som fungerar enligt specifikationerna utan problem eller fel medan "funktionellt säker" innebär att eventuella fel måste upptäckas av konstruktionen. För kritiska tillämpningar krävs både tillförlitlighet och funktionell säkerhet.

Artikeln beskriver grunderna för resistanstermometrar och deras signalbehandlingskretsar i samband med certifiering för funktionell säkerhet. Därefter diskuteras de olika certifieringsnivåerna för tillförlitlighet och fel och vad som krävs för att uppfylla dessa via de båda vägarna. Två stycken resistanstermometrar med flera kanaler av analoga front-end-kretsar, paret AD7124 från Analog Devices, tillsammans med ett tillhörande utvärderingskort, kommer att användas för att illustrera de viktigaste punkterna.

Den funktionella säkerhetens roll

Den funktionella säkerhetens roll består av friskrivning för oacceptabel risk för personskada eller skada på människors hälsa genom korrekt implementering av en eller flera automatiska skydds-/säkerhetsfunktioner. Den garanterar att produkten, enheten eller systemet fortsätter att fungera på ett säkert sätt om det uppstår ett fel. Det behövs i en stor mängd tillämpningar; industriella, kommersiella och även i vissa konsumenttillämpningar, som t.ex:

• Autonoma fordon
• Maskinsäkerhet och robotteknik
• Industriella styrsystem (ICS)
• Smarta konsumentprodukter i hemmet
• Smarta fabriker och leveranskedjor
• System med säkerhetsinstrument och styrsystem i riskfyllda områden

I en funktionellt säker konstruktion skulle t.ex. funktionen hos en huvudströmbrytare fortfarande stödja avstängning av ström även om andra komponenter i systemet fallerar (figur 1).

Figur 1: I ett funktionellt säkert system får det inte finnas några tvivel eller oklarheter kring om brytaren kommer att utföra det som den sägs vara konstruerad för att utföra. (Bildkälla: Pilla via City Electric Supply Co.)

Grunderna för resistanstermometrar

Varför titta på temperatur och funktionell säkerhet? Ett bra skäl är att temperatur är den fysikaliska parameter som man ofta mäter. Den är ofta relaterad till säkerhet eller kritiska tillämpningar och den stöds av ett stort urval av givare. Bland dessa finns resistanstermometrar som teoretiskt sett är enkla: de utnyttjar den kända och repeterbara temperaturkoefficienten för resistans (TCR) hos metaller som nickel, koppar och platina. Resistanstermometrar med platina och med 100 och 1000 Ω resistans vid 0 °C är de mest använda och kan användas inom temperaturområdet -200 till +850 °C.

Resistanstermometrarna inom detta temperaturområde har ett mycket linjärt förhållande mellan resistans och temperatur. För situationer med mycket hög noggrannhet finns det korrigerings- och kompensationstabeller samt faktorer som kan tillämpas. Resistanstermometrarna med platina och en nominell resistans på 100 Ω (betecknas PT100) har en typisk resistans på 18 Ω vid -200 °C och 390,4 Ω vid +850 °C.

För att använda en resistanstermometer krävs att den exciteras av en känd ström som vanligtvis är ca 1 mA för att minimera självuppvärmning. Andra strömvärden kan också användas, beroende på resistanstermometerns nominella resistans.

Resistanstermometerns spänningsfall mäts samtidigt via en analog front-end (AFE) som består av en programmerbar förstärkare (PGA) och i nästan samtliga fall, en analog-till digital-omvandlare (ADC) i kombination med en microcontroller (MCU) (figur 2).

Figur 2: För att mäta temperaturen med en resistanstermometer måste man leda en känd ström genom resistanstermometern och mäta spänningsfallet över den för att sedan tillämpa Ohms lag. (Bildkälla: Digi-Key)

Kretstopologin i detta grundläggande system är identisk med användningen av en avkänningsresistor för att bestämma strömmen genom en last, men här är de kända och okända variablerna växlade. För strömavkänning är resistansen känd medan strömmen är okänd, så uträkningen blir I = V/R. För en resistanstermometer är strömmen känd men inte resistansen så uträkningen blir R = V/I.

Den programmerbara förstärkaren behövs för att bibehålla signalintegriteten och maximera dynamikområdet eftersom spänningsnivåerna över resistanstermometern kan variera från tiotals till hundratals mV beroende på resistanstermometerns model och temperaturen.

Den fysiska anslutningen mellan excitationskällan, resistanstermometern och den programmerbara förstärkaren kan vara ett gränssnitt med två-, tre- eller fyra ledare. Två anslutningsledningar är i princip tillräckligt, men det finns problem med IR-fall i anslutningsledningarna, tillsammans med andra artefakter. Användning av topologier med tre och fyra ledare i en mer avancerad Kelvin-anslutning ger mer exakt och konsekvent prestanda, även om det ökar kostnaderna för kabeldragning (figur 3).

Bild 3: Resistanstermometrar kan drivas och kännas av med bara två ledningar (vänster), men användningen av tre ledningar (mitten) och till och med fyra ledningar (höger, Kelvin-anslutning) gör det möjligt att eliminera olika felkällor som beror på ledningarna. (Bildkälla: Analog Devices)

Börja med terminologi och standarder

Som med många andra specialområden har funktionell säkerhet många unika termer, datauppsättningar och akronymer som används flitigt i relaterade diskussioner. Några av dessa är:

• Fel i tid (FIT): det antal fel som kan förväntas under en miljard (10⁹) timmars drift av enheten.
• Feltillstånd och feleffektsanalys (FMEA): processen att granska så många komponenter, sammansättningar och delsystem som möjligt för att identifiera potentiella feltillstånd i ett system samt deras orsaker och effekter.
• Feltillståndseffekter och diagnostiska analyser (FMEDA): En systematisk analysteknik för att få fram felfrekvenser, feltillstånd och diagnosförmåga på delsystem-/produktnivå.

FIT-data behövs tillsammans med FMEDA-analyser av de olika komponenterna i systemet för en fullständig analys. FMEA ger endast kvalitativ information medan FMEDA ger både kvalitativ och kvantitativ information vilket gör att användare kan mäta en kritisk nivå för feltillstånd och ordna dem efter betydelse. FMEDA lägger till information om risker, feltillstånd, effekter och diagnostisk analys samt tillförlitlighet.

• Säkerhetsnivå för integritet (SIL): Det finns fyra olika nivåer av integritet som är kopplade till SIL; SIL 1, SIL 2, SIL 3 och SIL 4. Ju högre nivå av SIL desto högre säkerhetsnivå och desto lägre sannolikhet att ett system inte fungerar som det ska.

En klassificering enligt SIL 2 innebär att över 90 % av felen i systemet kan diagnostiseras. För att certifiera en konstruktion måste systemkonstruktören tillhandahålla bevis för de potentiella felen till certifieringsorganet, om dessa är säkra fel eller farliga fel, samt hur felen kan diagnostiseras.

• IEC 61508, med den formella titeln "Functional Safety of Electrical/Electronic/Programmable Electronic Safety-related Systems" (och informellt kallad bara "Electronic Functional Safety"), är kravspecifikationen för funktionellt säkra konstruktioner. Den dokumenterar det konstruktionsflöde som krävs för att utveckla en SIL-certifierad komponent. Dokumentation måste genereras för varje steg, från koncept och definition till konstruktion, layout, tillverkning, montering och test.

Denna process kallas Route 1S och är komplicerad. Det finns dock ett alternativt flöde till Route 1S som kallas Route 2S. Detta är ett "beprövad i användning"-flöde och kan tillämpas när stora volymer av produkten har utformats till slutprodukter och system och som används på fältet med tusentals timmars sammanlagd drift.

Under Route 2S-flödet kan en produkt fortfarande certifieras genom att tillhandahålla bevis till certifieringsorganet på:

• De volymer som används på fältet
• Analys av eventuella reklamationer från fältet och uppgifter om att reklamationerna inte berodde på fel i själva komponenten
• Säkerhetsdatablad med detaljerad information om diagnostik och den omfattning den har
• FMEDA-stift och kretsmatriser

Sammanfogning av gränssnitt för resistanstermometer med flödet för Route 2S med SIL

Att certifiera ett system är en lång process eftersom alla komponenter i systemet måste granskas för potentiella felmekanismer och det finns olika metoder för att diagnostisera fel. Att använda delar som redan är certifierade minskar arbetsinsatsen och förkortar certifieringsprocessen.

En högintegrerad, mogen gränssnittskomponent för resistanstermometrar är nyckeln till att underlätta en certifiering enligt Route 2S då den definierar ett komplett lösningspaket och därmed kan karakteriseras fullständigt med data som är förknippade med fältanvändning och fel. Detta till skillnad från användning av flera mindre byggstenar med integrerade kretsar där deras olika gränssnitt och interaktioner måste analyseras för den specifika konfigurationen av sammansättning som används.

Ett exempel på detta är AD7124-4 med fyra kanaler (figur 4) och den likartade AD7124-8 med åtta kanaler (hädanefter kallad "AD7124" när man diskuterar de många egenskaper som de har gemensamt). Komponenterna passar bra för flödet med Route 2S tack vare deras inbyggda självtest- och diagnosfunktioner samt "meritlista" i fält.

Figur 4: AD7124-4 med fyra kanaler är en funktionellt komplett signalkedja från resistanstermometer till processor. (Bildkälla: Analog Devices)

Dessa integrerade kretsar är kompletta lösningar för mätning med resistanstermometrar med flera kanaler och innehåller alla de byggstenar som behövs från en givare till en digitaliserad utgång och för kommunikation med en tillhörande microcontroller. De inkluderar en multiplexer med flera kanaler, programmerbar förstärkare, 24-bitars sigma-delta analog-till-digital-omvandlare, strömkällor för resistanstermometrarna, spänningsreferenser för intern drift, systemklocka, analog och digital filtrering samt seriella gränssnitt med tre eller fyra ledare för sammankopplingar kompatibla med SPI, QSPI, MICROWIRE och DSP.

Förekomsten av dessa funktioner utgör dock inte i sig en grund för kvalificering av Route 2S med SIL. För en funktionellt säker konstruktion krävs en uppsättning inbyggd diagnostik för de många funktioner som ingår i system med resistanstermometrar. De många inbyggda uppsättningarna av diagnostik i AD7124 minimerar både konstruktionens komplexitet och konstruktionstiden samt eliminerar behovet av att duplicera signalkedjan för att omfatta diagnostiken.

Diagnostiken omfattar, men är inte begränsad till, övervakning av strömförsörjning, referensspänning och analog ingång, upptäckt av en öppen ledare till resistanstermometrarna, kontroll av omvandlings- och kalibreringsprestanda, kontroll av signalkedjans funktionalitet, övervakning av läs-/skrivfunktioner samt övervakning av registerinnehåll.

Hur översätts dessa "high level"-påståenden till den nödvändiga diagnostiken i kretsarna? Det finns många nyanser i svaret, bland annat:

SPI-diagnostik: För varje skrivning till AD7124 genererar processorn ett CRC-värde (Cyclic Redundancy Check) som läggs till den information som skickas till analog-till-digitalomvandlaren. Analog-till-digitalomvandlaren genererar sedan sitt eget CRC-värde från den mottagna informationen och jämför det med det CRC-värde som mottagits från processorn. Om båda värdena stämmer överens är informationen intakt och kommer att skrivas till det relevanta registret i kretsen.

Om värdena inte överensstämmer innebär detta att en viss förvanskning har uppstått i överföringen och den integrerade kretsen sätter en felflagga som indikerar att dataförvanskning har inträffat. AD7124 skyddar även sig själv genom att inte skriva den förvanskade informationen till ett register.

Ett liknande CRC-förfarande används när information läses från AD7124 till systemprocessorn. Slutligen räknar gränssnittet även klockpulser för att säkerställa att det bara finns åtta sådana pulser för varje dataram vid läsning eller skrivning, vilket garanterar att ett avbrott i klockan inte har inträffat.

Minneskontroll: CRC används även för att validera registerinnehållet vid uppstart eller när register på kretsen ändras (t.ex. vid ändring av förstärkning). CRC-processen utförs även regelbundet för att säkerställa att ingen bit i minnet har "bytt läge" på grund av brus eller andra orsaker. Om det sker en förändring och processorn därefter flaggas för att registerinställningarna har förvanskats, kan den återställa analog-till-digitalomvandlaren och ladda om registren.

Kontroll av signalkedjan: Alla kritiska statiska spänningar kan kontrolleras med analog-till-digitalomvandlaren, inklusive strömmatningar, utgångarna hos en LDO-regulator (lågt spänningsfall) och referensspänningar. Närvaro eller frånvaro av den externa kondensatorn över LDO:n kan också kontrolleras. Dessutom kan en känd spänning läggas på ingången till analog-till-digitalomvandlaren för att kontrollera analog-till-digitalomvandlarens inställningar och förstärkningsfunktionen. Utöver detta kan kända strömmar injiceras över de analoga ingångarna för att kontrollera om resistanstermometern är öppen eller kortsluten.

Konvertering och kalibrering: Resultaten av analog-till-digitalomvandlingen kontrolleras kontinuerligt för att se om allt blir nollor eller full skala, vilket i båda fallen indikerar ett problem. Bitströmmen från modulatorn i kärnan av analog-till-digitalomvandlaren övervakas för att säkerställa att den inte har mättats, och om mättnad uppstår (vilket innebär att det har kommit 20 på varandra följande ettor eller nollor från modulatorn) sätts en felflagga.

Huvudklockans frekvens: Klockfrekvensen styr inte bara omvandlingshastigheten utan fastställer även bandspärrsfrekvenserna för de digitala filtren på 50/60 Hz. Ett internt register i AD7124 gör det möjligt för den medföljande processorn att ta tid på och därmed kontrollera noggrannheten hos huvudklockan.

Ytterligare funktioner: AD7124 innehåller en temperaturgivare som även kan användas för att övervaka kretsmatrisens temperatur. Båda versionerna har en klassificering för elektrostatisk urladdning (ESD) på 4 kV för kraftfull prestanda och båda är placerade i en LFCSP-kapsling om 5 x 5 mm som är lämplig för naturligt säkra konstruktioner.

På grund av den interna komplexiteten i AD7124-4 och AD7124-8 och de sofistikerade och avancerade självtestfunktionerna är det vettigt att ha ett sätt att använda och utvärdera de integrerade kretsarna på.

För att uppnå detta erbjuder Analog Devices ett par sammankopplade kort; utvärderingskortet EVAL-AD7124-4SDZ för AD7124-4 (figur 5) och det tillhörande SDP-kortet (System Demonstration Platform)/Interface Board) EVAL-SDP-CB1Z (figur 6). Det förstnämnda är specifikt för AD7124-4 och fungerar tillsammans med det sisnnämnda som tillhandahåller kommunikation med användarens PC och utvärderingsprogram via en USB-anslutning.

Figur 5: EVAL-AD7124-4SDZ är ett utvärderingskort för AD7124-4. (Bildkälla: Analog Devices)

Bild 6: EVAL-SDP-CB1Z/gränssnittskort är ett komplement till utvärderingskortet EVAL-AD7124-4SDZ och har en USB-anslutning till en värddator. (Bildkälla: Analog Devices)

Bearbetningen av utvärderingen stöds av programvaran AD7124-4 EVAL+ som fullt ut konfigurerar AD7124-4-enhetens registerfunktionalitet och testar den integrerade kretsen. Den tillhandahåller även en analys av tidsdomänen i form av vågformsdiagram, histogram och tillhörande störningsanalys för utvärdering av prestandan hos analog-till-digitalomvandlaren.

Övergång till funktionellt säker konstruktion

Det är viktigt att inse att AD7124-4 och AD7124-8 inte är SIL-klassificerade vilket innebär att de inte är konstruerade och utvecklade enligt de utvecklingsriktlinjer som definieras i standarden IEC 61508. Men genom att förstå den slutliga användningen och genom lämplig användning av de olika diagnostikmetoderna kan de utvärderas för användning i en SIL-klassad konstruktion.

Vägen till certifiering enligt Route 1S innehåller flera överväganden för att analysera och åtgärda fel som kan vara systematiska eller slumpmässiga. Systemfel beror på brister i konstruktionen eller tillverkningen som t.ex. ett störningsavbrott på grund av bristande filtrering på det externa avbrottsstiftet eller otillräckligt utrymme för en signal. Slumpmässiga fel beror däremot på fysiska orsaker som korrosion, termisk påfrestning eller slitage.

Ett viktigt problem är det så kallade farliga oupptäckta felet som hanteras med flera olika tekniker. För att minimera slumpmässiga fel använder konstruktörerna en eller alla av de tre taktikerna:

• Mer tillförlitliga och mindre påfrestade komponenter.
• Diagnostik som förlitar sig på inbyggda detekteringsmekanismer som implementeras via hård- eller mjukvara.
• Feltolerans via redundanta kretsar. Genom att lägga till en redundant väg kan ett enskilt fel tolereras. Detta kallas ett HFT 1-system (Hardware Fault Tolerance 1) vilket innebär att ett fel inte får leda till att systemet slutar fungera.

Ett verktyg för att förstå omfattningen av SIL-nivåer är en tabell som visar säker felfraktion (SFF) (mängden diagnostisk omfattning) och hårdvarans feltolerans (redundansen) (figur 7).

Figur 7: Tabellen beskriver säker felfraktion (SFF) kontra hårdvarans feltolerans (HFT) och ger en inblick i omfattningen av SIL. (Bildkälla: Analog Devices)

Raderna visar mängden diagnostisk omfattning medan kolumnerna visar hårdvarans feltolerans. En HFT på 0 innebär att om det uppstår ett fel i systemet kommer säkerhetsfunktionen att gå förlorad. En högre nivå av diagnostik minskar den nödvändiga mängden av redundans i systemet eller förbättrar SIL-nivån för lösningen med samma nivå av redundans (flyttas nedåt i tabellen).

Observera att analyser av feltillstånd, effekter och diagnostik (FMEDA) för en typisk temperaturtillämpning med dessa enheter visar en säker felfraktion (SFF) på mer än 90 % enligt IEC 61508. Två stycken traditionella analog-till-digitalomvandlare skulle normalt krävas för att ge denna omfattning via redundans men AD4172 kräver bara en enda analog-till-digitalomvandlare vilket ger betydande besparingar i materialkostnad (BOM) och kretskortsyta.

Dokumentation för konstruktioner klassificerade enligt SIL

Omfattande dokumentation krävs för att uppnå certifiering enligt Route 1S. Bland de nödvändiga källdokumenten finns:

• Säkerhetsdatablad (säkerhetshandboken för en SIL-klassad del)
• FMEDA-stift och FMEDA-kretsmatris, med feltillstånd, effekter och analys för båda
• Checklista för bilaga F (definierad enligt IEC 61508)

Dokumentationen kommer i sin tur från en mängd olika källor (figur 8):

• Diagnostiska data från databladet fångar alla diagnostiska funktioner som finns tillgängliga i delen.
• Konstruktionsdata avser intern data. Som exempelvis, kretsmatrisområdet och påverkan av respektive internt block i delen.
• FIT, med klassificeringar för olika komponenter, finns tillgängliga i databoken.
• Tester där fel injiceras genomförs för block som inte kan analyseras med hjälp av konstruktions- och diagnostikdata. Testerna planeras utifrån kraven för tillämpningen och resultatet av testerna används för att stärka FMEDA- och FMEA-dokumenten.

Figur 8: De olika dokumentationskällorna sammanställs och granskas för att skapa det kompletta informationspaket som behövs för certifiering enligt SIL. (Bildkälla: Analog Devices)

En titt på specifika detaljer:

• I säkerhetshandboken eller säkerhetsdatabladet används all sammanställd information för att tillhandahålla de nödvändiga kraven för att möjliggöra integration av AD7124-4 eller AD7124-8. Den sammanställer all diagnostik och alla analyser som kommer in från olika dokument och datauppsättningar.
• FMEDA för AD7124-4 och AD7124-8 analyserar huvudblocken i den schematiska tillämpningen, identifierar feltillstånd och effekter samt kontrollerar diagnos och analys för en särskild säkerhetsfunktion. Analysen av klockmodulen visar t.ex. feltillstånden, effekten för respektive utgång, mängden diagnostisk omfattning och en analys av påverkan (figur 9).

Figur 9: Tabellen definierar feltillstånd, effekt, diagnostik och analys för huvudklockans block. (Bildkälla: Analog Devices)

Denna FMEDA-tabell för kretsmatrisen resulterar i en kvantitativ presentation av felfrekvenser för säkra fel, farliga upptäckta fel och farliga oupptäckta fel. Alla dessa används för att beräkna säker felfraktion (SFF).

FDEMA-stiftet ser på fel ur ett annat perspektiv. Den analyserar olika typer av fel på stiften i AD7124-4 och AD7124-8 och konsekvenserna för resistanstermometertillämpningen. Detta utförs för respektive stift och resultatet beskrivs för de fall där stiftet är öppet, kortslutet till matning/jord eller kortslutet till intilliggande stift.

Checklistan i bilaga F är en checklista för konstruktionsåtgärder för att undvika systematiska fel. Den omfattar följande:

• Produktöversikt
• Information om tillämpning
• Säkerhetskoncept
• Livscykelprognoser
• FIT
• FMEDA-beräkningar - SFF och DC
• Säkerhetsmekanismer för hårdvara
• Beskrivning av diagnostik
• EMC-robusthet
• Drift i redundanta konfigurationer
• Bilagor och dokumentförteckning

Sammanfattningsvis är certifieringen av den funktionella säkerheten för en ny komponent via Route 1S lång, komplicerad, tidskrävande, intensiv och omfattande. Lyckligtvis är Route 2S, som nämnts ovan, ett alternativt tillvägagångssätt som är genomförbart för vissa komponenter.

Route 2S: En alternativ väg

Den väg som kallas Route 2S är tillämplig för en producerad del med fälterfarenhet och data och betecknas som "beprövad i användning". Den baseras på en analys av kundreklamationer och antalet levererade enheter. Den kan inte användas med nya delar som har liten eller ingen "meritlista” i faktisk användning.

Route 2S möjliggör certifiering med SIL som om delen hade analyserats fullständigt enligt standarden IEC 61508. Den är tillgänglig för modul- och systemkonstruktörer om de tidigare har använt den aktuella integrerade kretsen med framgång och känner till felfrekvensen på fältet. De inbyggda funktionerna för test och verifiering, tillsammans med data för effektivitet, gör AD7214-4 och AD7214-8 till bra kandidater för Route 2S.

Att åberopa Route 2S kräver detaljerade och statistiskt signifikanta uppgifter om reklamationer och fel på fältet. Kravet ovan är mycket svårare att uppfylla för leverantörer av integrerade kretsar än för leverantörer av kretskort eller moduler. Anledningen är att de förstnämnda i allmänhet inte har tillräcklig kunskap om den slutliga tillämpningen eller hur stor andel av de underkända enheterna från fältet som returneras till dem för analys.

Sammanfattning

Vägen till en certifiering av nya funktionellt säkra produkter enligt Route 1S är grundlig, omfattande och detaljerad. Den är också tekniskt utmanande och definitivt tidskrävande. I processen med Route 2S kan godkända produkter däremot certifieras baserat på erfarenheter från fältet, fel och analysdata. Detta är en användbar väg som stöds av de integrerade gränssnittskretsarna i resistanstermometrarna AD7214-4 och AD7214-8 eftersom de har den historik som krävs. Lika viktigt är det att dessa integrerad kretsar har många funktioner för diagnostik och självtest samt egenskaper som gör dem till lämpliga kandidater för en sådan certifiering.

Relaterat innehåll

1. Hur man konstruerar och certifierar funktionssäkra system med resistanstermometrar (RTD)
2. Enkel realisering av ett helt integrerat mätsystem med resistanstermometrar med fyra trådar för mättillämpningar med hög precision
3. Gränssnitt och linearisering för resistanstermometer