功能安全是諸多行業整體安全策略的一部分，其目的是將對人或作業設備造成傷害的概率降至可接受的范圍以內。近年來，人們對系統功能安全的要求顯著增長。從核電站到醫療設備，無故障系統已成為部分應用的理想選擇，也是其他應用的必備條件。例如，在傳感領域，獲取的數據如果不正確或遭到損壞，結果可能具有破壞性，甚至可能致命，具體取決于系統和所涉及的風險級別。

傳統上，系統開發人員有責任將診斷和故障預防機制集成到其產品當中，確保來自傳感IC的數據的完整性。但其代價是會增加PCB面積、物料成本和處理開銷，最終會導致費用增加。從那時起，通過與系統設計工程師的廣泛合作，人們開發出了一種解決方案來解決這個問題。為此，人們已經開始在IC級設計中考慮功能安全特性。

本文旨在從確保數據采集系統整體完整性的角度，探討通過ADC實現功能安全的潛力。C級設計中考慮功能安全特性。

在圖1中，我們看到的例子是一個多年以前的功能安全系統，我們將它與更現代的解決方案進行比較。其核心是數據采集ADC，它負責轉換模擬輸入并將數據傳輸到微控制器。然而，要實現這一解決方案，需要采用許多外部元件，重復執行SPI事務，甚至需要一個冗余ADC，結果極大地增加了物料成本、PCB面積、處理開銷和成本。同時還會給系統設計人員帶來額外的負擔，比如，增加開發時間，降低可靠性等。

有一種單IC解決方案，只需極少的外部元件即可運行功能安全特性。

圖1.從多組件功能安全系統到單芯片ADI解決方案的集成。

具有功能安全要求的示例系統

在包含ADC的數據采集系統中，可能發生多種故障，根據具體的應用，這些故障可能會增加人或機器的健康風險。系統設計師必須區分可接受的風險和不可接受的風險。

例如，在氣室壓力測量和調節系統中，如果罐內壓力不能大幅偏離外部壓力，則可將使用容差為5％的傳感器的做法視為可接受的風險。然而，如果微控制器接收到錯誤的ADC數據，結果可能導致致命的事故，腔室中的壓力可能導致內爆或外爆，這兩種情況都有可能導致附近的人受傷或死亡。這種風險水平是不可接受的。因此，必須實施一些功能安全措施，確保控制器接收的信息的完整性。

可能導致這類錯誤的一些故障源為

電源：電源電壓低，低壓差(LDO)調節器的輸出電壓低。

模擬前端(AFE)：傳感器受損，或放大器驅動到ADC的電壓不正確。

數字邏輯：數字域中發生可能影響轉換結果的誤碼。例如，工廠增益或偏移調整系數。

SPI 傳輸：由于傳輸線環境嘈雜，轉換數據的傳輸和命令的接收中存在誤碼。

環境：超出IC的額定環境溫度。

AD7768-1是ADI公司功能安全產品組合中的Σ-Δ ADC之一，具有廣泛的診斷特性，能賦予用戶誤碼檢測和診斷以及其他能力。圖2突出顯示了典型壓力檢測系統中的部分可能故障源。

圖2.識別壓力傳感器系統中的潛在故障源。

用ADC診斷系統錯誤

借助ADI公司的ADC功能安全產品組合，用戶可以用ADC幫助診斷和/或減少系統錯誤。這種系統誤差測量能力對于保持精確測量極為重要，并且在具有功能安全要求的系統中，這種準確性甚至更加重要。

從參考輸入獲取的正負滿量程電壓用于測量系統的增益誤差。通過零電平內部短路測量失調誤差。然后，用戶可以使用ADC的增益和失調調整寄存器來調整系統的失調和增益誤差性能。

溫度傳感器識別 IC 局部溫度的變化，包括超范圍溫度。在對失調和增益誤差溫度漂移敏感的系統中，這可能是一項具有吸引力的功能。如果溫度變化較大，用戶可能會決定在該新溫度下調整增益和失調誤差。圖3說明了如何在 AD7768-1 內部將模擬診斷多路復用器連接到 ADC。

圖3.模擬診斷多路復用器轉換開關。

診斷錯誤標志：寄存器映射診斷狀態指示器

可以使能多個診斷特性，并且通常可以通過寄存器映射將其狀態告知用戶。發生故障時，會在寄存器中設置錯誤標志。用戶可以在收到故障警報后進一步調查。

接下來，我們探討可能發生并且可以通過ADI功能安全ADC產品組合進行診斷的一些真實故障。我們首先假設，我們的壓力傳感器系統裝在一個工廠里，其工作溫度波動不定，由于基本維護工作而多次停電，并且周圍工業環境產生的電磁干擾(EMI)有可能被傳導至系統PCB上。

ADC電源錯誤

我們假設，由于工作環境溫度高，并且系統功率循環會引起電流沖擊，所以，負責 ADC 的 LDO 電源輸出的 LDO 電容已經磨損和損壞。使這些輸出維持在已知電壓，需要采用一個外部電容，這對于整個系統正常工作至關重要。如果電容器因該故障損壞，用戶可能會發現，轉換后的 ADC 數據或其他功能的性能會出乎意料。通過使能 LDO 監視器，一旦電壓電平降至某個跳變點以下，系統會設置錯誤標志以提醒用戶 LDO 輸出的問題。

模擬前端錯誤

我們假設，在該系統中，ADC的輸入不得超過ADC的滿量程范圍。如果用戶意外地將不正確的值編程到增益寄存器，導致ADC看到的電壓大于滿量程范圍，結果就會極大地影響系統的增益誤差性能，我們應該將此視為一種嚴重的風險。但是，濾波器飽和錯誤檢查器監視ADC輸出，會提醒用戶注意超出范圍的模擬輸入。

數字邏輯隨機誤碼

在數字邏輯和存儲器模塊中偶爾會發生隨機誤碼。在我們的示例壓力系統中，我們假定，在上電期間加載默認出廠失調設置時發生了一個誤碼。這是一種無法容忍的故障，因為它會擾亂系統的默認失調誤差，影響轉換結果。在ADI功能安全ADC系列產品中，有一些功能可以定期在各種存儲器模塊上運行循環冗余校驗(CRC)，并在發生誤碼時向用戶指示故障。通過重置系統可以解決所有這些故障。

SPI 傳輸錯誤

每個沿介質傳輸數據的系統都會產生一些誤碼。

可以估算每個系統出現這種情況的速率，我們將其稱為誤碼率(BER)。

在我們的示例壓力系統中，可以假設BER小于10-7，通過數字隔離傳輸到同一PCB上的微控制器，傳輸距離為10厘米。 我們假設，部分電磁干擾被傳導到SPI線路上，結果導致從AD7768-1到微控制器的轉換ADC數據傳輸中出現誤碼。如果掩蓋了氣室中任何正在積聚的壓力，ADC數據中的誤碼可能造成極大的破壞性。通過在發送數據的末尾附加CRC，用戶可以識別傳輸期間是否發生了誤碼，并且可以重新檢查ADC轉換結果。

外部主時鐘錯誤

如果用戶需要在壓力傳感器應用中拒絕主電源的頻率(50 Hz / 60 Hz)，那么精確的低抖動外部主時鐘源對于將數字濾波器陷波與正確的頻率對齊至關重要。如果源斷開、破損或損壞，結果會成為一個大問題，因為主電源的某些頻率成分可能在轉換后的ADC數據中可見。

如果外部時鐘源未成功連接或已被移除，則外部時鐘認定器可向用戶指示錯誤。然后，用戶可以使用內部RC振蕩器執行緊急轉換，同時在外部主時鐘源上執行基本維護。

POR標志

系統上電或成功復位后，ADC中的POR標志將置1。

但如果發生意外復位，用戶可能會在ADC數據中看到意外結果。他們可以通過檢查POR標志來識別這種意外復位。 圖4顯示了AD7768-1中有多少這些內部診斷特性與它們要監控的功能相關聯。

圖4.AD7768-1的內部診斷監視器。

基于AD7768-1的終極功能安全解決方案

使用AD7768-1提供的功能安全特性，可以實現以下數據采集系統。用戶可以啟動器件并使能以下功能安全特性：

SPI完整性監視器

LDO調節器輸出電平監控

濾波器飽和度監視器

外部時鐘認定器

內部邏輯和存儲器CRC監視器

可以使用內部模擬診斷多路復用器驗證系統校準。LDO調節器輸出也可以通過這種方式進行驗證。

接下來，用戶可以使能這些功能，將8位狀態字節附加到24位數據流和8位SPI CRC字的末尾。基于8位命令字、24位數據流和8位狀態字計算8位CRC。如果用戶關注處理開銷量，可以使能連續回讀模式，這樣就無需提供8位命令。相反，用戶可以在為器件提供串行時鐘時輸出數據寄存器的內容，如圖6所示。

圖5.在連續回讀模式下，使用AD7768-1的附加狀態字節和CRC字節讀回數據寄存器。

這樣即可實現一種數據采集系統，其增益和失調誤差已經過驗證，每次回讀ADC數據時都會向用戶提供診斷信息。

連續監視 LDO 調節器輸出、模擬前端輸入、內部數字邏輯和存儲器。用戶可以確定 SPI 通信的完整性，確保 IC 溫度已知。

許多行業對功能安全的要求不斷提高，對于對這些要求起到支撐作用的技術的要求也要相應提高。ADI 公司將在我們的產品組合范圍內繼續開發這種技術，幫助系統設計師實現功能安全理想。

AD7768-1 可以大幅減輕客戶的負擔，并且該解決方案更緊湊、更簡單，還能降低處理開銷，滿足所需解決方案對物料成本的要求。這種單一組件模式還可以減輕系統設計師的負擔，幫助他們取得設計安全完整性等級(SIL)認證。