合理的功能安全设计离不开严谨的态度和大量的文档参考，也需要投入一定的时间。无论您从事工厂车间还是公路方面的设计，此中TI的集成电路(IC)设计方法都会为您提供所需的资源，从而简化功能安全设计。随着工业和汽车领域自动化的出现，人们对功能安全的需求有增无减。所有的工业应用都有功能安全要求，尤其是在工厂自动化和控制系统中。

　　在汽车行业，尽管安全气囊和制动系统在多年前就具备了功能安全性，但随着电气化水平的提高和自动驾驶功能的出现，系统需要控制电池管理、传感器融合和车辆操作，进而增加了对功能安全设计的需求。无论是设计工厂机器人系统、家用电器还是未来的汽车，人们对设计工程师提出了更高的要求，即交付的项目应符合应用相关的功能安全标准。在不要求遵循标准的应用中，设计更安全的系统是在同类竞争产品中脱颖而出的关键因素。

　　功能安全是系统整体安全性的一部分，是对某些输入或故障状态做出预测性响应。功能安全标准认为危险总是存在的，因此，所有系统都有一个固有故障率。功能安全标准对如何开发系统作出了规定，从而将故障率降低到可容忍水平。包含功能安全的系统设计必须能降低由操作不当引发故障的风险，还能检测故障并充分降低故障造成的影响。为实现功能安全合规性，工程师必须：

　　功能安全标准是由标准组织以及相关行业企业共同制定的，它通过定义系统中的安全功能和建立安全等级评定规范，为设计人员提供了指导。德州仪器(TI)加入标准组织，有助于确保其产品开发从始至终都符合功能安全要求。常见的安全标准包括国际电工委员会(IEC)的61508标准（针对工业应用）、国际标准化组织(ISO)的26262标准（针对汽车应用）以及IEC60730标准（针对家用电器）。各类安全标准都规定了风险降低等级和安全完整性等级(SIL)。例如，IEC 61508标准将SIL划分为SIL 1至SIL 4四个等级，其中SIL 4的要求最高。SIL 1要求安全可用性为90%至99%，平均要求失效率(PFDavg)为0.1至0.01，风险降低因子(RRF)为10至100。SIL 4要求安全可用性>

　　99.99%，PFDavg为0.0001至0.00001，RRF为10,000至100,000。

　　ISO 26262标准的ASIL等级与SIL类似，即从ASIL A至ASIL D，其中ASIL D的要求最高。功能安全流程在功能安全开发流程中，通常需要先确定各种危险情况和功能安全目标。然后，工程师开始检查系统架构、模块和IC。之后，将IC作为符合功能安全标准系统的主要构建块进行开发。为预测系统可能出现的行为，工程师必须量化和预测模块的运行情况。为此，工程师必须在开发流程中对系统进行结构化安全定性分析，从而找出各种失效模式、失效原因及其影响。功能安全标准规定了工程师需要了解的IC相关信息，便于工程师独立进行失效模式、影响和诊断分析(FMEDA)。由于IC的复杂度不同，系统安全分析可能需要有关设计、芯片和封装的信息。

　　在此过程中，请务必从可靠的供应商处选择合适的器件。无论是用于功能安全设计，还是用于实现差异化竞争的较安全系统中，TI都能让工程师更轻松地找到并使用合适的产品。

　　典型的工业和汽车应用需要复杂度迥异的大量IC，如一个或多个传感器和传动器，处理传感器数据的微(MCU)或处理器，模拟多路复用器，运算或仪表放大器，可能与或未与处理器集成的模数转换器(ADC)和数模转换器，直流/直流转换器，低压降稳压器或电源管理IC (PMIC)，以及LED驱动器、电机驱动器、电磁阀驱动器、场效应晶体管(FET)和绝缘栅双极晶体管栅极驱动器等驱动器元件，电源开关和负载开关。另外，应用还包括各类通信接口，如RS-485、区域网(CAN)、以太网、FPD-Link和外围组件快速互连(PCIe)接口。表1所示是TI为功能安全设计提供的产品类别，这也表明了基于标准的IC复杂度分类依据。这些类别包括TI功能安全型、TI功能安全质量管理型、TI功能安全合规型。

　　这类产品通常都是系统中相当复杂的器件，如MCU、处理器或模拟电机驱动器，可能具有集成的安全功能。TI使用经TechnischerÜberwachungsverein (TÜV)SÜD等机构认证的功能安全开发流程，开发了这类产品。这类认证可确保这一类别的产品是按照功能安全标准（ISO26262和IEC61508）规定的规格开发的。

　　•用于高级驾驶辅助系统、符合汽车电子委员会(AEC)-100标准的Jacinto™TDAx片上系统，集成了定点和浮点TMS320C66x数字信号处理器(DSP)内核、Vision AccelerationPac嵌入式视觉引擎和双核ARM®Cortex®-M4处理器，以及用于低压差分信令环视系统、显示、CAN和千兆位以太网音频视频桥接的多摄像头接口等外设。这些器件满足广泛的功能安全系统要求，包括具有错误校正码(ECC)保护机制的M4、具有ECC保护机制的32位双倍数据速率接口、适用于中央处理单元(CPU)的专用内存管理单元、内存保护单元、温度监测传感器，以及用于系统监控的八通道ADC。

　　•TPS6594-Q1多轨电源管理集成电路（PMIC）支持汽车和工业市场采用的TI Jacinto TDAx片上系统。PMIC精度高、灵活性强，适合要求功能安全的汽车和工业应用，并会提供功能安全文档。TPS6594-Q1为主域和MCU域提供可扩展的电源管理解决方案，并支持ASIL-D/SIL-3级别的功能安全

　　Hercules™MCU集成了足够多的安全和诊断功能，可让工程师达到SIL 3的目标等级。也就是说，此MCU可实现约99%的故障覆盖率。例如，在MCU上集成两个采用锁步模式的Cortex-R CPU，可在每个周期对输出进行比较，如出现错误，则会产生非屏蔽中断。在工业应用中，CPU可在启动时或时间片内进行自检。

　　•DRV3245E-Q1是一款适用于三相电机驱动应用的FET栅极驱动器IC。它的三个半桥驱动器可分别驱动高侧和低侧N沟道金属-氧化物-半导体FET。根据ISO 26262的适用要求，该栅极驱动器为每个内部时钟集成了诊断和保护功能，还提供了常用系统诊断检查支持，二者皆可通过串行外设接口实现实例化和故障报告。借助灵活的功能，DRV3245E-Q1可无缝集成到各种安全架构中。

　　•TPS65381A-Q1多轨PMIC采用双核同步或松散耦合的体系结构，为汽车和工业市场上的TIHercules TMS570和C2000™MCU系列产品提供支持。配备内部FET的异步降压开关式电源转换器可将输入电源（电池）电压转换为6-V前置调节器输出电压。然后由6-V的前置调节器为其他调节器供电。它的监控和保护模块，包括电压检测、模拟内建自测、时钟丢失检测、接点温度检测、电源电流限制和MCU误差信号监测等，都能提高诊断覆盖率并降低未检测到的故障率。

　　•TI可提供属于这一类别的多种器件，如C2000实时和具有板载DSP、MCU和雷达加速器的AWR1843、76GHz至81GHz汽车雷达传感器。所有这些产品都附有专用的功能安全相关文档，以支持系统开发流程：

　　功能安全质量管理型产品第二类产品包含内置诊断功能的复杂产品，且专用于有功能安全要求的系统。但是，这一产品类别在开发时没有按照适用于功能安全合规型产品类别的认证功能安全开发流程，而是使用TI的标准质量管理开发流程。此类别的产品包括但不限于：

　　TCAN4550-Q1是业界首创的汽车系统基础芯片（SBC），含集成式CAN FD和收发器。这款高度集成的设备利用现有的SPI端口简化CAN FD总线扩展，这样设计师就可以在升级至更高宽带CAN FD接口协议时维持当前基于微的结构体系。LP87702-Q1是一款双降压和5-V升压转换器，集成符合ASIL的毫米波雷达系统要求的诊断功能，其中包括视窗和一个监控其输出电源的独立参考电压、以及两个外部电源。

　　对于功能安全合规型器件，我们提供了各种文档，可帮助进行功能安全系统设计。这些文档包括功能安全时基故障率计算、FMEDA和功能安全手册。非功能安全合规型器件则不包括无故障分析或产品认证。功能安全型产品第三类产品包含的IC较简单，开发时使用TI的标准质量管理开发流程，与功能安全质量管理型产品类别类似。功能安全型产品通常不具备集成的安全功能，所以通常不会提供内置的监控和诊断功能，这些功能在TI其他功能安全产品类别的器件中较常见。由于这类产品没有集成全面的安全功能，它们不具备其他类别器件常见的内部监控和诊断功能。

　　但它们仍是功能安全系统中的重要构建块，因此，TI会提供功能安全时基故障率和FMD等重要信息，供设计人员在安全分析中使用。此类别的产品包括但不限于：

　　•小巧的线%且精度优于传统热敏电阻而颇受青睐。我们的热敏电阻替代产品TMP235-Q1是一款精密温度传感器集成电路，无需校准即可达到±1.5°C。

　　•TPS3840-Q1电压或复位IC。这款符合AEC-Q100标准的器件可提供1.5V至10V的宽电压范围，电源电流典型值仅为350nA，最大值为700nA。

　　•符合AEC-Q100标准的TPS7A16A-Q160V、5μA静态电流、100mA低压降稳压器，专为需要超低静态电流的连续或断续（备用电源）电池供电应用而设计。此器件非常适合通过多节电池解决方案（如高电池节数电动工具组和汽车应用）生成低电压电源。TPS7A16A-Q1不仅能提供一个良好稳压的电压轨，还能承受瞬态电压并在电压瞬态期间保持稳压状态。

　　由于功能安全开发流程较复杂，除TÜV SÜD认证外，您可能需要了解更多有关公司安全文化和流程的信息。这也是TI为管理系统失效和随机失效而创建开发流程的原因所在（见表2）。我们的所有产品都遵循质量管理开发流程，从而降低系统失效率。图1所示的标准开发流程具有管理系统失效所需的很多要素。此外，这些产品的文档和报告可用于帮助遵循针对最终应用（包括汽车和工业系统）的各种标准（例如ISO 26262-4或IEC 61508-2）。该流程将开发分为以下几个阶段：

　　TI的功能安全开发流程是根据ISO 26262和IEC61508制定的。我们向新产品标准开发流程的每个阶段都添加了几项特定的功能安全活动，从而划分出三个基于标准的IC复杂度类别。

　　如ISO 26262-2:2018附件A所述，TI的开发流程有利于真正实现功能安全。该开发流程可促进在所有产品开发团队之间共享功能安全类信息。TI团队根据适当的标准维护特定组织的功能安全规。