实施功能安全的 RTD 系统：RTD 设计-功能安全的安全机制

在由两部分组成的系列文章的第一篇文章中，我们将讨论功能安全系统的电阻温度检测器 （RTD） 电路设计，并介绍 Route 2S 组件认证过程的注意事项，第二篇文章将对此进行更详细的介绍。认证系统是一个漫长的过程，因为必须检查系统中的所有组件是否存在潜在的故障机制，并且有各种方法来诊断故障。使用已通过认证的部件可简化此工作量以及认证过程。

介绍

温度是过程控制系统中的关键测量。它可以是直接测量，测量化学反应的温度。它也可以是补偿测量 – 例如，压力传感器的温度补偿。对于任何系统设计，这种测量准确、可靠和稳健至关重要。对于某些最终设计，检测系统故障至关重要，如果系统发生故障，则将其转换为安全状态。在这些环境中使用功能安全的设计。认证级别表示设计中包含的诊断覆盖率级别。

什么是功能安全

在功能安全设计中，任何故障都需要由系统检测。想想一个炼油厂，里面有一个储罐正在加满。如果液位传感器发生故障，重要的是检测到此故障，以便可以主动关闭油箱的阀门。这将防止储罐溢出并避免潜在的危险爆炸。或者，可以使用冗余。这是可以在设计中使用两个液位传感器的地方，以便当第一个液位传感器发生故障时，系统可以继续使用第二个液位传感器运行。当设计获得认证时，它被赋予SIL评级。此额定值表示设计提供的诊断覆盖率。SIL 等级越高，解决方案越稳健。SIL 2 等级表示可以诊断系统中超过 90% 的故障。为了认证设计，系统设计人员必须向认证机构提供有关潜在故障的证据，无论这些故障是安全故障还是危险故障，以及如何诊断故障。需要FIT等数据以及系统中不同组件的故障模式效应和诊断分析（FMEDAs）。

设计温度系统

在本文中，我们将重点介绍 RTD。但是，有许多不同类型的温度传感器 – RTD，热敏电阻和热电偶。设计中使用的传感器取决于所需的精度和被测的温度范围。每种传感器类型都有自己的要求：

热电偶偏置

激励 RTD 的激励电流

热电偶和热敏电阻的绝对基准

因此，除了ADC之外，还需要其他构建模块来激励传感器并在前端调节传感器。为了功能安全，所有这些模块都必须可靠且坚固。此外，不同块的任何故障都必须是可检测的。传统上，系统设计人员使用重复，因此将使用两个信号链，每个信号链检查另一个信号链以确保：

传感器已连接

没有开口或短裤

引用位于正确的级别

美联杯仍在运作

认证过程需要文档来证明设计是稳健的。这是一个耗时的过程，有时很难从IC制造商那里获得一些信息。

然而，AD7124-4/AD7124-8集成模拟前端现在包括RTD设计所需的所有构建模块。此外，嵌入式诊断消除了出于诊断目的而重复信号链的需要。除了芯片增强功能外，ADI公司还提供文档，其中包括认证机构（FIT引脚FMEDA，芯片FMEDA）所需的所有信息。这简化了功能安全的认证过程。

IEC 61508 是功能安全设计的规范。该规范记录了开发SIL认证部件所需的设计流程。需要为每个步骤生成文档，从概念、定义、设计、布局、制造、装配和测试。这被称为路线1S。另一种选择是使用 Route 2S 流。这是一个经过验证的使用途径，因此，当大量产品被设计到最终客户的系统中并在现场使用1000多个小时时，产品仍然可以通过向认证机构提供以下证据来认证：

现场使用的卷

分析来自现场的任何退货，并详细说明退货不是由于组件本身的故障造成的

安全数据表，详细说明诊断及其提供的覆盖范围

引脚和芯片

3 线 RTD 设计

RTD可用于测量–200°C至+850°C范围内的温度，并且在此温度范围内具有近线性响应。用于RTD的典型元素是镍，铜和铂，其中100 Ω和1000 Ω铂RTD是最常见的。RTD由两根、三根或四根电线组成，其中3线和4线是最常用的。这些是无源传感器，需要激励电流来产生输出电压。这种RTD的输出电压电平从10毫伏到100毫伏不等，具体取决于所选的RTD。

图1所示为3线RTD系统。AD7124-4/AD7124-8是一款集成式RTD测量解决方案，包括系统所需的所有构建模块。为了全面优化该系统，需要两个完全匹配的电流源。这两个电流源用于消除RL1产生的引线电阻误差。一个激励电流流过两个精密基准电阻R裁判和 RTD。第二个电流流过引线电阻RL2，并产生一个电压，抵消RL1两端的压降。精密基准电阻两端产生的电压用作ADC的基准电压REFIN1（±）。由于一个激励电流用于产生基准电压和RTD两端的电压，因此电流源精度、失配和失配漂移对整个ADC传递函数的影响极小。AD7124-4/AD7124-8提供激励电流值选择，允许用户调谐系统，以便使用大部分ADC输入范围，从而提高性能。

点击查看全尺寸图像

图1. 3线RTD温度系统。

RTD的低电平输出电压需要放大，以便使用ADC的大部分输入范围。AD7124-4/AD7124-8的PGA可在1至128增益范围内进行编程，使客户能够在激励电流值与增益和性能之间进行权衡。传感器和ADC之间需要滤波，以实现抗混叠和EMC目的。基准电压缓冲器允许滤波器的R和C分量具有无限的值。也就是说，这些组件不会影响测量的准确性。

还需要在系统中进行校准，以消除增益和失调误差。图1显示了该3线B类RTD在内部零电平和满量程校准后测得的温度误差，总误差远小于±1°C。

模数转换器要求

对于温度系统，测量主要是低速（通常高达每秒100个样品）。因此，需要一个低带宽ADC。但是，ADC必须具有高分辨率。Σ-Δ型ADC适合这些应用，因为可以使用Σ-Δ架构开发低带宽、高分辨率ADC。

使用Σ-Δ转换器时，模拟输入被连续采样，采样频率远高于目标频带。它们还使用噪声整形，将噪声从目标频带推入转换过程未使用的区域，从而进一步降低目标频带中的噪声。数字滤波器可衰减目标频带外的任何信号。

数字滤波器确实具有采样频率和采样频率倍数的图像。因此，需要一些外部抗混叠滤波器。然而，由于过采样，一个简单的一阶RC滤波器足以满足大多数应用的需求。

Σ-Δ架构允许开发p-p分辨率高达21.7位（21.7位稳定或无闪烁位）的24位ADC。西格玛-三角形架构的其他优点包括：

模拟输入的宽共模范围

基准输入的宽共模范围

能够支持比例配置

滤波（50 Hz/60 Hz 抑制）

除了如前所述抑制噪声外，数字滤波器还可用于提供50 Hz/60 Hz抑制。当系统从主电源运行时，干扰发生在 50 Hz 或 60 Hz 处。在欧洲有50 Hz的电源生成频率及其倍数，在美国有60 Hz及其倍数。低带宽ADC主要使用sinc滤波器，可对其进行编程，以将陷波设置为50 Hz和/或60 Hz以及50 Hz和60 Hz的倍数，从而在50 Hz/60 Hz及其倍数下提供抑制。使用具有低建立时间的滤波方法提供50 Hz/60 Hz抑制的要求越来越高。在多通道系统中，ADC通过所有使能通道进行排序，并在每个通道上产生转换。选择通道时，需要滤波器建立时间才能生成有效的转换。如果建立时间缩短，则在给定时间段内转换的通道数会增加。AD7124-4/AD7124-8内置后置滤波器或FIR滤波器，与sinc3或sinc4滤波器相比，它们可在较短的建立时间内同时提供50 Hz/60 Hz抑制。图3显示了一个数字滤波器选项：该后置滤波器的建立时间为41.53 ms，并提供62 dB的50 Hz/60 Hz同步抑制。

诊断

对于功能安全的设计，构成RTD系统的所有功能都需要诊断。由于AD7124-4/AD7124-8具有多个嵌入式诊断功能，因此简化了设计复杂性和设计时间。它还消除了复制信号链以进行诊断覆盖的需要。

单击查看完整大小的图像

图 2。频率响应，后置滤波器，25 SPS：（a） 直流至 600 赫兹和 （b） 40 赫兹至 70 赫兹。

典型的诊断要求是：

电源/基准电压/模拟输入监控

开路检测

转换/校准检查

信号链功能检查

读/写监控

注册内容监控

让我们更详细地看一下嵌入式诊断。

SPI 诊断

CRC可在AD7124-4/AD7124-8上使用。启用后，所有读取和写入操作都包含 CRC 计算。

校验和（8 位宽）是使用多项式生成的

因此，每次写入AD7124-4/AD7124-8时，处理器都会生成一个CRC值，该值附加到发送到ADC的信息中。ADC根据收到的信息生成自己的CRC值，并将其与从处理器接收的CRC值进行比较。如果两个值都一致，则确保信息完好无损，并将写入相关的片内寄存器。如果 CRC 值不匹配，则表示传输中发生了位损坏。在这种情况下，AD7124-4/AD7124-8会设置一个错误标志，指示发生了数据损坏。他们还通过不将损坏的信息写入登记册来自我保护。同样，当从AD7124-4/AD7124-8读取信息时，它们将生成CRC值以伴随信息。处理器将处理此 CRC 值，以确定传输是否有效或已损坏。

AD7124-4/AD7124-8数据手册列出了客户（用户寄存器）可以访问的寄存器。AD7124-4/AD7124-8检查被访问寄存器的地址。如果用户尝试读取或写入数据手册中未记录的寄存器，则会设置一个错误标志，指示处理器正在尝试访问非用户寄存器。同样，伴随这种登记册访问的任何信息都不适用于登记册。

AD7124-4/AD7124-8还具有一个SCLK计数器。所有读取和写入操作都是 8 的倍数。当 CS 用于帧读取和写入操作时，SCLK 计数器会在 CS 较低时计算每个读/写操作中使用的 SCLK 脉冲数。当 CS 被高时，通信中使用的 SCLK 数应为 8 的倍数。如果 SCLK 上发生毛刺，则会导致 SCLK 脉冲过多。如果发生这种情况，AD7124-4/AD7124-8会再次设置错误标志，并放弃输入的任何信息。

状态寄存器指示正在转换的信道。读取数据寄存器时，状态位可以附加到转换结果中。这为处理器/ADC通信增加了另一层鲁棒性。

因此，提到的所有诊断程序都可确保ADC和处理器之间的通信可靠。它们确保AD7124-4/AD7124-8仅接受有效信息。当 CS 用于帧读取和写入操作时，每次 CS 升高时，串行接口都会重置。这可确保所有通信都从已定义或已知状态开始。

内存检查

每次片内寄存器被改变（例如改变增益）时，都会在寄存器上执行CRC，并将产生的CRC值临时存储在内部。AD7124-4/AD7124-8定期在内部对寄存器执行额外的CRC检查。将生成的 CRC 值与存储的值进行比较。如果值由于位翻转而不同，则设置一个标志。这向处理器指示寄存器设置已损坏。然后，处理器可以复位ADC并重新加载寄存器。

片内ROM保存默认寄存器值。上电或复位后，ROM内容将应用于用户寄存器。在最终的生产测试中，计算ROM内容的CRC，并将得到的CRC值存储在ROM中。上电或复位时，再次对ROM内容执行CRC，并将得到的CRC值与保存的值进行比较。如果值不同，则表示默认寄存器设置将不符合预期。需要电源循环或复位。

信号链检查

包括许多信号链检查。电源轨（视音频断续器、视听党卫军和断续器） 可以应用于ADC输入，从而允许监视电源轨。AD7124-4/AD7124-8内置一个模拟和一个数字低压差（LDO）稳压器。这些也可以应用于ADC并进行监控。AD7124-4/AD7124-8内置x-多路复用功能。此外，视音频党卫军可以在内部用作 AIN–。这允许检查模拟输入引脚上的绝对电压。因此，客户可以探测输出激励电流的引脚，并探测 AIN+ 和 AIN– 引脚。这将检查连接性，并确保各个引脚上的电压处于正确的水平。

为了检查基准电压，参考电压检测功能将指示参考电压过低。客户还可以选择内部基准作为模拟输入，以便用于监控外部基准电阻两端产生的电压。这假设基准电压电阻两端的电压略高于2.5 V（内部基准电压源的幅度）。

AD7124-4/AD7124-8还内置一个20 mV电源。这对于检查增益级很有用。例如，以20 mV作为模拟输入，增益可以从1变为2，4，…128. 每次增益增加时，转换结果将按2倍缩放，这证实了增益级正常工作。

X多路复用在检查卡住的位时也很有用。它允许交换 AIN+ 和 AIN 引脚。然后转换结果将反转。因此，将20 mV与x多路复用一起使用，用户可以检查卡住的位。

为 AIN+ 和 AIN– 选择相同的模拟输入引脚并偏置此内部短路，可以检查 ADC 噪声，确保其工作在规格范围内。嵌入式基准电压源（+2.5 V）可在内部选择作为ADC的输入，因此再次应用+V裁判和 –V裁判有助于确认信号链是否正常工作。

可编程的烧坏电流对于检查传感器连接非常有用。PT100 在 –200°C 时的典型电阻为 18 Ω，在 +850°C 时的电阻为 390.4 Ω。 启用烧坏电流后，可以执行转换。如果RTD短路，将获得接近0的转换结果。AIN+ 和 AIN 之间的开线将导致接近0xFFFFFF转换。正确连接 RTD 后，永远不应获得接近 0 或全部 1 的代码。

最后，AD7124-4/AD7124-8具有过压和欠压检测功能。通过比较器连续监控正在转换的 AIN+ 和 AIN– 引脚上的绝对电压。当 AIN+ 或 AIN – 上的电压超出电源轨（AV断续器和视音频党卫军).

这种高集成度减少了执行测量和提供诊断覆盖范围所需的物料清单（BOM）。设计时间和设计复杂性得以降低。

转换/校准

AD7124-4/AD7124-8的转换也受到监控。如果 （AIN+ – AIN–）/增益大于 +满量程或小于 –满量程，则设置一个标志。从ADC转换到所有1s（模拟输入太高）或所有0s（模拟输入太低），以便客户知道发生了故障。

对来自调制器的位流进行监控，以确保调制器不会饱和。如果发生饱和（调制器的20个连续1s或20个0s输出），则设置一个标志。

AD7124-4/AD7124-8内置失调和再次校准以及系统失调和增益校准功能。如果校准失败，则会将其标记给用户。请注意，如果校准失败，失调和增益寄存器不会更新。

电源

除了前面讨论的电源检查外，AD7124-4/AD7124-8还包括连续监控内部LDO稳压器的比较器。因此，如果这些LDO稳压器的电压低于跳变点，则会立即报告误差。

这些 LDO 稳压器需要一个外部电容器。也可以检查该电容器是否存在。

主频计数器

滤波器配置文件和输出数据速率与 MCLK 直接相关。当主时钟为614.4 kHz时，数据手册中列出的输出数据速率是正确的。如果主时钟改变频率，输出数据速率和滤波器陷波也会改变。例如，如果使用滤波器陷波来抑制50 Hz或60 Hz，则变化的时钟会降低获得的衰减。因此，了解时钟频率对于确保获得最佳抑制效果很有价值。AD7124-4/AD7124-8内置一个MCLK计数器寄存器。该寄存器每131个MCLK周期递增1个。要测量 MCLK 频率，处理器中需要一个计时器。寄存器可以在时间 0 读取，然后在计时器超时后读取。有了这些信息，就可以确定主时钟的频率。

每通道配置

AD7124-4/AD7124-8允许每通道配置;也就是说，它们支持八种不同的设置，一种设置由基准源、增益设置、输出数据速率和滤波器类型组成。当用户配置通道时，八个设置之一将分配给该通道。请注意，通道可以是模拟输入或诊断，例如测量电源（AV断续器-视听党卫军).因此，客户可以设计一个由模拟输入和诊断组成的序列。每通道配置允许诊断以与模拟输入转换不同的输出数据速率运行。由于诊断不需要与主测量相同的精度，客户可以将诊断与测量交错，并以更高的输出数据速率运行诊断。因此，这些嵌入式功能减少了处理器的工作负载。

点击查看全尺寸图像

图 3.每通道配置。

单击查看完整大小的图像

图 4。将设置分配给通道。

其他功能

AD7124-4/AD7124-8内置一个温度传感器，也可用于监控芯片温度。两款器件的ESD额定值为4 kV，是一款鲁棒的解决方案。两款器件均采用 5 × 5 mm LFCSP 封装，该选件适用于本质安全设计。

根据 IEC 61508 标准，使用这些器件的典型温度应用的 FMEDA 显示安全故障分数 （SFF） 大于 90%。通常需要两个传统的ADC来提供这种级别的覆盖。

内置诊断的其他优势

除了节省 BOM 和成本外，诊断还可以节省设计复杂性、减少资源使用量以及为客户缩短上市时间。让我们借助以下示例来理解这一点：

AD7124-4/AD7124-8具有一个MCLK计数器，用于测量主时钟频率，并捕获所提供的主时钟中的任何不一致之处。主时钟计数器是一个8位寄存器，每131个MCLK周期递增一次。该寄存器由SPI主机读取，以确定内部/外部614.4 kHz时钟的频率。

如果我必须在AD7124-4/AD7124-8外部实施MCLK频率检查，该怎么办？它将需要以下硬件资源：

带有外设的微控制器，如计数器和外部中断控制器

施密特触发电路

另外，请注意，存储和运行包含中断服务例程的代码将需要内存。总体而言，该方案如图 5 所示。

图 5.MCLK频率监视器由微控制器实现。

此外，我们必须确保代码经过检查，并且符合编码指南和限制。因此，总体而言，实施单独的诊断部分将产生大量开销。因此，内置诊断功能带来了额外的好处：

节省空间和物料清单

提高系统可靠性;更少的组件 =更高的可靠性

缩短上市时间

软件开发 — 开发和运行用于诊断的例程

硬件测试

系统测试

节省微控制器内存

运行诊断不需要代码

编码指南要求进行大量的双内存代码检查

即用型安全文档可节省系统评估时间

RTD测量系统的ADC和系统要求非常严格。这些传感器产生的模拟信号很小。这些信号需要由噪声较低的增益级放大，以便放大器的噪声不会淹没来自传感器的信号。放大器之后需要一个高分辨率ADC，以便将来自传感器的低电平信号转换为数字信息。除了ADC和增益级，温度系统还需要其他元件，如激励电流。同样，这些元件必须是低漂移、低噪声的元件，这样系统精度才不会降低。初始误差（如失调）可以在系统外进行校准，但元件的温度漂移必须较低，以避免引入误差。因此，集成激励模块和测量模块可简化客户设计。在设计功能安全时，还需要进行诊断。通过将诊断与激励和测量模块集成在一起，简化了整体系统设计，从而缩短了 BOM、设计时间和上市时间。

如下一篇文章所述，FMEDA等文档包含客户在最终设计中认证组件所需的所有信息。但是，对组件本身进行认证可以进一步简化与认证机构的对话。Route 2S 流程允许产品在发布后获得认证，因此这是一条有用的路线，因为目前已发布许多设备，这些设备适合功能安全的设计。

审核编辑 黄昊宇