きのうあんぜんがたえきたいへんかんき

従来の液位変換器がそのハードウェア設計上、現代工業生産における安全要求を達成しにくい問題に対して、安全完全性レベルがSIL 2に達する機能安全型液位変換器の設計方法を紹介した。ハードウェア障害マージンが定値0の場合、診断モジュールを増やす方法を採用し、電源モジュールに対して2チャネルサンプリングコントラスト診断を行い、時計モジュールに対して番犬診断を行うなどにより、システム診断カバー率を増加させ、安全故障点数を効果的に増加させる。故障モード、影響及びその診断分析（FMEDA）を経て、結果により、安全故障点数は98.3%に達し、目標安全完全性等級の要求を満たすことが明らかになった。

2、安全液位変換器の構造と安全機能：
安全機能の要件は、危険なイベントを避けるために何をしなければならないかという危険の分析に由来しています。一方、セキュリティ完全性レベルの要件は、残存リスクを受け入れるためにセキュリティ機能がどの程度実行されなければならないかというリスクの評価に由来しています。セキュリティ関連製品の構成から、製品のハードウェアとソフトウェアの設計に一連の措置をとり、セキュリティ機能を追加する必要があることがわかります。ハードウェアのセキュリティ整合性レベルは、ハードウェア障害のマージンとセキュリティ障害スコアに制限されます。ハードウェア障害マージンとは、このパラメータの故障を超えるとシステムの安全機能が失われ、工業的にはデバイスのハードウェア需要に基づいてハードウェア障害マージンが決定されることが多い。一方、セキュリティ失効スコアSFFは、式（1）のように、Σλ_S安全失効の総確率を指し、Σλ_D危険失効の総確率を指し、Σλ_DD診断テストのこと
〔7〕検出された危険失効確率は、安全失効点数が診断可能な危険失効確率と関係があることを見ることができ、つまり診断回路を増やすことで安全失効点数を高めることができる。ハードウェア上では、液面トランスミッターを安全かつ確実に動作させるために、モジュールごとに診断する必要があります

SFF =	∑λS	+∑λDD	(1)
	∑λS	+ ∑λD

液位トランスミッタの安全機能は、液位値を正確に測定し、測定したデータを後続の処理モジュールに転送することである。その基本機能モジュールは主に信号入力、A/D変換、マイクロプロセッサデータ処理、D/A変換出力、電源モジュール及びクロックモジュールを含む。クロックシステムの制御の下で、まずセンサが測定したデータが信号入力モジュールを通じてA/D変換モジュールに伝達され、A/D変換を経てシングルチップに伝達され、シングルチップはデータをフィルタリングして現在のセンサが測定した液位値と対応する符号値を計算してD/A変換モジュールに書き込み、***後D/Aチップは得られた符号値に基づいて対応する大きさの標準電流信号を出力し、電源モジュールはこの過程で他のモジュールに安定電圧を提供する。

3、安全液位変換器の設計：
液位トランスミッタはハードウェア上で目標安全完全性レベルを達成するために、通常2つの方面から着手する：冗長構造を通じてハードウェア故障マージンを高め、1つの通路故障によるシステムの危険状態を回避する、設計診断回路を通じて安全失効点数を増加し、危険が発生する前に直ちに発見し、措置をとることができ、危険失効を、安全失効に転化する。ハードウェア障害マージンが一定の場合、通常は機能モジュールごとに診断構造を設計します。安全液面トランスミッタのモジュール設計を図1に示す。


図1安全液位変換器モジュール設計図
3.1、基本機能モジュールの設計：
液位変換器の基本機能は主に信号入力、A/D変換、マイクロプロセッサデータ処理、D/A変換出力、電源モジュールとシステムクロックモジュールを含む。本文はSTM 32 F 103 xx強化型シリーズチップを主チップとして、具体的に安全型液位変換器のハードウェア上の設計について述べた。システムの電源投入後、クロックモジュールが起動し、システムクロックから供給されたクロックの下で、センサによって測定された信号はモノリシック機内埋め込みアナログデジタル変換器に送信され、入力信号に対してアナログデジタル変換を行い、マイクロプロセッサは変換後の信号に対して演算処理を行い、得られたコード値を外部D/Aモジュールに送信し、***後に標準電流信号出力を得る。
（1）電源モジュール。二線式機能付き安全型トランスミッタは、マイクロプロセッサ、デジタルアナログ変換器D/A、通信回路に電力を供給するだけでなく、安全保護の観点から入出力回路は相互に隔離する必要があるため、シングルチップ機の内部電源だけでは要求に届かない。本設計はLinear社製LT 1934チップを使用し、その入力電圧範囲***は34 Vに達することができ、***は小さくても3.2 Vで、各種電源の調整が可能です。24 V直流電力を入力する時、入力から隔離された1組の出力5 V、4 mA電流、隔離されていない1組の出力5 V、9 mA電流は、他の各モジュールの電力供給需要を満たす、
（2）クロックシステム。マイクロプロセッサの各モジュールは、クロックの駆動下で動作する必要があります。STM 32には5つのクロックソースが存在し、通常、位相同期ループ逓倍出力（PLL）、8 MHzのRC発振器（HSI）または高速外部クロック（HSE）の3つをシステムクロックとして選択し、AHB分周器で分周して各モジュールに提供して使用する。周辺機器に供給されるクロック出力の大部分はイネーブル制御付きであり、モジュールを使用する前に、信号を送信して対応するクロックをオンにしなければならない。この設計の利点は、周辺機器を使用しない場合に対応するクロックをオフにし、システムの消費電力を削減することです。注目すべきは、ウォッチドッグ回路は内部低速クロック（LSI）を使用しているが、ウィンドウウォッチドッグはシステムクロックを使用しているのが通
過AHB 1は分周して得られる。A/Dモジュール及びシート外D/Aダイの設置

ブロックは同じ周波数で動作し、

（3）MCUデータ処理モジュール。STM 32 F 103 xx拡張シリーズチップは、高性能、低コスト、低消費電力を必要とする組み込みアプリケーション向けに設計された高性能ARM Cortex-M 3を使用したRISC内

［10］	また、チップには128 kBまでの高速メモリが内蔵されている
かく

［11］のフラッシュメモリと20 kBのSRAMハードウェアでは、液位変換器の設計ニーズを十分に満たす。また、2つの12ビットADC、電源電圧監視、電圧レギュレータ、DMAコントローラ、独立した番犬、ウィンドウ番犬、7つのタイマー、9つの通信インタフェース（I 2 C、USART、SPI、CAN、USB）などの豊富な機能モジュールを備えており、利点は言うまでもない。

（4）A／Dモジュール。STM 32 F 103のエンハンス型製品には2つの12ビットADCが内蔵、各ADCには最大16の外部チャネルがあり、変換電圧範囲は0 ~ 3である.6 Vの間で、センサから出力される信号は、通常、レベルシフトまたは増幅センサ信号を経てADCに送られる。ADCモジュールを使用する前に、PAポートのクロックをオンにし、PA 0をアナログ入力に設定する必要があります。2つのADCは同じクロック周波数を使用し、***後サンプリング変換されたデータはADC 1＿DRレジスタに格納される。
（5）D/Aモジュール。STM 32 F 103 xxエンハンスメント型シリーズチップには埋め込みD/Aが含まれていないため、周辺機器として標準出力されるD/Aチップを選択する必要があります。本文はTI社のDAC 7750チップを選択した。このシリーズのチップは12ビットのデジタルモード変換器であり、シングルチップ機とSPIインタフェースを通じてデータ通信を行うことができ、出力電流範囲は3組から選択でき、4〜20 mA、0〜20 mA、0〜24 mAであり、製品の需要に合っている。それと同時に、DAC 7750は循環冗長検査、オープンアラーム、番犬回路の電流出力を含む部分自己検査機能も有する。

3.2、診断モジュールの設計：
本文は主にA/D、D/Aモジュール及びクロックモジュールに対してハードウェア設計上の診断を行う。

（1）番犬時計診断。番犬は実際にはタイマー回路であり、入力端はシングルチップ上のI/Oに接続され、プログラム制御タイミングによってこのピンにハイレベルまたはローレベルを転送する、通称「犬に餌をやる」、もう一方の端にはシングルチップのリセットピンが接続されている。システムが妨害のためにプログラムが飛ばされたり、デッドサイクルに入ったりすると、「犬に餌をやる」動作が予定通りに行われなくなり、番犬は接続されたリセットピンを通じてシングルチップにリセットレベルを送信し、シングルチップをリセットさせる。
STM 32 F 103エンハンスシリーズのチップには2つの番犬タイマーが付いており、1つは独立番犬、1つは窓番犬である。結晶振動のオフセットを診断するため、ここでウィンドウを選択して犬を見て、早すぎるか遅すぎるかの「犬に餌をやる」とシステムがリセットされます。
（2）A/Dモジュール診断。STM 32 F 103 xx拡張型製品には2つの12ビットのアナログデジタル変換器ADCが組み込まれているため、ここではデュアルADCモードを採用し、入力信号を同期サンプリングし、変換されたデータはA／DインタフェースのADC＿JDR 1メモリに格納され、ここでADC 1によって変換されたデータはレジスタの下位16ビットに格納され、

ADC 2で得られたデータは上位16ビットに格納される。ADC 2で得られたデータは1つの参照データとして、ADC 1で得られたデータと比較し、2つのデータ間の誤差が許容範囲内であれば、システムは安全であると考え、レジスタの16ビット低いデータをMCUに転送して処理する、そうでなければ、ADCの故障はシステムに危険な故障を引き起こす可能性があると考えられ、その場合、ソフトウェア上でシステムが安全な状態に入ることを保証しなければならない。

（3）D/Aモジュール診断。D/Aモジュールの診断として、システムにA/Dチップを追加します。設定値を指定し、D/A経由で回転

変換後、変換されたデータをA/Dモジュールの入力とし、A/D変換された出力信号をエコーする。***を比較して得られたデータと設定値は、両者が同じであればD/A変換チャネルとみなされ、［12）、問題がなければ無効と判定する。また、システムの動作中に、DAC 7750内部の高精度抵抗器にアクセスすることにより、電流出力をリアルタイムで監視することができ、正常な出力範囲を超えると、システムは警報を出すことができます。

4、ハードウェア安全完全性等級分析：
IEC 61508の定義によると、液位トランスミッタはクラスBの安全関連サブシステム、すなわち故障モードが完全に定義されていないサブシステムに属し、同時に1001 Dのシステム構造からハードウェア故障マージンが0であることが分かった。表1から分かるように、システムが目標安全完全性レベルSIL 2に到達するには、その安全失効スコアは90%以上に達しなければならない。

表1 B類安全関連サブシステムの構造制約

安全失効スコア		ハードウェア障害マージン
	0	1	2
＜ 60%	許可しない	SIL1	SIL2
60% ～ ＜ 90%	SIL1	SIL2	SIL3
90% ～ 99%	SIL2	SIL3	SIL4
≥99%	SIL3	SIL4	SIL4

本文で採用したFMEDA分析法の根拠となる基準は主に失効率推定、部品故障モード及びその百分率及び部品故障

パターン除外根拠3	［13］	。複雑なデバイスでは、
	ぶぶんそせい

故障モードを詳細に分析すると、通常、故障は安全故障に分けられ、50%危険故障は50%になる。各モジュールが行った診断措置に基づいて、IEC 61508－2から診断方法とその対応する診［5、10］断カバー率を検出することができる。本文は軍用標準GJB/Z 299 C-2006電子機器信頼性推定マニュアルを参考にして、各部品に対して故障モード、故障確率及び故障影響分析を行い、相対的、正確な故障モード及び診断カバーの評価情報の具体的なデータを表2中のFMEDAの分析結果のように得ることができる。

	表2	FMEDA解析結果
λs/h	λD/h		λDD/h	λDU/h
1. 52 × 10－ 7	6. 83 × 10－ 8		6. 47 × 10－ 8	3. 6 × 10－ 9

したがって、システムのセキュリティ障害スコア

			∑λS	+ ∑λDD
		SFF =				=
			∑λS	+ ∑λD
	1. 52 × 10－7		+ 6. 47 × 10－8		= 98. 3%
	1. 52 × 10－7		+ 6. 83 × 10－8
	SFF＞90%を満たすため、上述の液位トランスミッタ設計方案
ハードウェア上の機能的なセキュリティ整合性の要件を満たします。