針對傳統液位變送器在其硬件設計上難以達到現代工業生產中安全要求的問題，介紹了一種安全完整性等級達到 SIL2 的的設計方法。在硬件故障裕度為定值 0 的情況下，采用增加診斷模塊的方法，通過對電源模塊進行雙通道采樣對比診斷，對時鐘模塊進行看門狗診斷等，使得系統診斷覆蓋率增加，從而有效增大安全失效分數。經過失效模式、影響及其診斷分析( FMEDA) ，結果表明，安全失效分數達 98． 3% ，滿足目標安全完整性等級的要求。
隨著危險事故的頻繁發生，人們開始重視工業生產過程中的安全問題。如何才能減少危險的發生頻率，以及讓系統在危險發生之前及時做出反應，進入一種安全狀態，這些因素已經成為了衡量現代工業技術的一項重要指標。安全相關系統監視工業生產過程中的狀態，在危險出現時及時采取措施，避免潛在危險造成的傷害或減輕其帶來的損失［1］。功能安全型變送器作為安全相關系統中的一個重要組成部分，通過對其進行一系列的診斷，達到實時監控系統的目的，提高診斷覆蓋率，從而達到目標安全完整性等級，保證了工業生產過程安全可靠的進行。
液位變送器測量系統當前液位值，對傳感器測得信號進行處理，得到標準電流輸出，傳送給下一個模塊，在整個系統中是關鍵的一環。因此，設計功能安全型液位變送器是工業領域迫切需要的。文中在硬件方面，針對系統可能存在失效的部分增加診斷模塊，提高系統可被診斷的失效率，保證變送器在發生失效時，可以通過自診斷電路或程序發現問題，使變送器進入安全狀態［2 － 3］;***后經過一系列可靠性分析，驗證該設計滿足工業生產對安全方面的要求。
特點
采用*電路處理技術，性能穩定、高靈敏度；多種量程，***大可測200m(水柱壓力)；采用316L不銹鋼隔離膜片，適用于多種測量介質；配置靈活，根據需要可選擇不同配置；一體式、分體式可選；反極性和過電壓保護；抗沖擊、防雷擊設計；激光調阻溫度補償，零點、量程可現場調節；范圍寬抗腐蝕，適于多種介質；過載及抗*力強，性能穩定。
靜壓式（投入式）液位變送器采用高性能的擴散硅壓阻式壓力傳感器作為測量元件，經過高可靠性的放大處理電路及精密溫度補償，將被測介質的表壓或絕壓轉換為標準的電壓或電流信號。本產品體積小巧，使用安裝方便，直接投入水中即可測量出變送器末端到液面的液位高度。
應用
工業現場液位測量與控制、城市供水及污水處理、石油、化工、電廠、水文監測、水庫、大壩、水電建設等領域的液位的測量與控制。
1、安全相關產品：
隨著 2006 年 GB /T 20438 電氣/電子/可編程電子安全相關系統的功能安全的頒布，功能安全的概念正式進入我國。目前，在石油、化工、冶金、核電等領域，安全相關產品的需求也越來越大。所謂的安全相關產品，是指可構成安全相關系統的、滿足功能安全設計實現要求的、具有安全相關參數的產品［4］。通俗來講，要稱一個產品為安全相關產品，其必須具有一定的安全功能，保證系統在發生危險前進入安全狀態。一個安全相關產品必有其對應的安全完整性等級，為了達到目標安全完整性等級，硬件設計和軟件編程中都必須滿足標準中規定的要求。硬件上存在隨機硬件失效和系統失效這兩個因素影響安全完整性等級，而軟件上只存在系統失效。針對不同的失效，必須在設計開發過程中采取一定的措施和手段，實現其安全功能，從而降低失效發生的概率。
2、安全液位變送器的結構和安全功能：
安全功能的要求來源于對危險的分析，即必須做什么以避開危險事件;而安全完整性等級的要求來源于對風險的評估，即安全功能必須執行到什么程度以使殘余風險能夠被接受 。由安全相關產品的構成可以看出，需要在產品的硬件和軟件的設計上采取一系列措施，增加安全功能。硬件安全完整性等級受限于硬件故障裕度以及安全失效分數 。硬件故障裕度是指超過該參數的失效則會造成系統安全功能喪失，工業上往往根據設備的硬件需求已經確定其硬件故障裕度;而安全失效分數 SFF 如式(1) ，其中∑λS 指安全失效總概率，∑λD 指危險失效總概率，∑λDD 指診斷測試
［7］，檢測到的危險失效概率 可以看出安全失效分數與可診斷的危險失效概率有關，也就是說可以通過增加診斷回路來提高安全失效分數。硬件上為了確保液位變送器安全可靠地運行，需要對其每個模塊進行診斷
| SFF = | ∑λS | + ∑λDD | (1) |
| ∑λS | + ∑λD | ||
液位變送器的安全功能就是準確測量液位值，并將測得的數據傳輸給后續處理模塊。其基本功能模塊主要包括信號輸入、A/D 轉換、微處理器數據處理、D/A 轉換輸出、電源模塊以及時鐘模塊 。在時鐘系統的控制下，首先是傳感器測得的數據通過信號輸入模塊傳遞給 A/D 轉換模塊，經過 A/D 轉換后傳輸給單片機，單片機對數據進行濾波計算出當前傳感器測得的液位值以及對應的碼值寫入 D/A 轉換模塊，***后 D/A 芯片根據得到的碼值輸出對應大小的標準電流信號，電源模塊在這個過程中對其他的模塊提供穩定電壓。
3、安全液位變送器的設計：
液位變送器在硬件上要達到目標安全完整性等級，通常從兩方面著手:通過冗余結構來提高硬件故障裕度，避免由于其中一條通道故障而導致系統進入危險狀態;通過設計診斷電路增加安全失效分數，在危險發生之前能及時發現并采取措施，把危險失效轉化為 ，安全失效 。在硬件故障裕度為定值的情況下 通常針對每個功能模塊設計診斷結構。安全液位變送器的模塊設計如圖 1 所示。
圖 1 安全液位變送器模塊設計圖
3. 1、基本功能模塊設計：
液位變送器的基本功能主要包括信號輸入，A /D轉換，微處理器數據處理，D /A 轉換輸出，以及電源模塊和系統時鐘模塊。本文以 STM32F103xx 增強型系列芯片作為主芯片為例，具體講述安全型液位變送器在硬件上的設計。系統上電后，時鐘模塊啟動，在系統時鐘提供的時鐘下，由傳感器測得的信號發送給單片機內嵌模數轉換器，對輸入信號進行模數轉換，微處理器對轉換后的信號進行運算處理，把得到的碼值傳送到外部 D /A 模塊，***后得到標準電流信號輸出。
(1) 電源模塊。二線制功能安全型變送器不僅要為微處理器、數模轉換器 D /A、通信電路供電，同時出于安全保護考慮，輸入輸出電路需要相互隔離，因此，僅使用單片機內部電源遠達不到要求。本設計使用 Linear 公司生產的 LT1934 芯片，其輸入電壓范圍***大可達 34 V，***小也可為 3. 2 V，能對各種電源進行調節。在輸入 24 V 直流電時，與輸入隔離的一組輸出 5 V，4 mA 電流，不隔離的一組輸出 5 V，9 mA 電流，滿足其他各模塊的供電需求;
(2) 時鐘系統。微處理器的各個模塊都需要在時鐘的驅動下工作。STM32 存在五個時鐘源，通常選擇鎖相環倍頻輸出( PLL) 、8 MHz 的 ＲC 振蕩器( HSI) 或高速外部時鐘( HSE) 三者之一作為系統時鐘，再通過AHB 分頻器分頻后提供給各個模塊使用。大部分提供給外設的時鐘輸出都是帶有使能控制的，使用模塊之前，必須發送信號開啟其對應的時鐘。這種設計的好處在于，當不使用某個外設時，關閉其對應的時鐘，降低了系統的功耗。值得注意的是，看門狗電路使用內部低速時鐘( LSI) ，但窗口看門狗使用系統時鐘是通
過 AHB1 分頻得到。設置 A /D 模塊以及片外 D /A 模
塊在相同頻率下工作;
(3) MCU 數據處理模塊。STM32F103xx 增強型系列芯片使用專門為要求高性能、低成本、低功耗的嵌入式應用而設計的高性能 AＲM Cortex － M3 的 ＲISC 內
| ［10］ | 。同時，芯片內置高速存儲器，包括高達 128 kB |
| 核 |
［11］，的閃存和 20 kB 的 SＲAM 硬件上充分滿足液位變送器的設計需求。此外，它具有豐富的功能模塊，包括2 個 12 位 ADC、電源電壓監控、電壓調壓器、DMA 控制器、獨立的看門狗以及窗口看門狗、7 個定時器、9 個通信接口( I2C，USAＲT，SPI，CAN，USB) 等，優勢不言而喻;
(4) A /D 模塊。STM32F103 增強型產品內嵌兩個12 位的 ADC，每個 ADC 有多達 16 個外部通道，轉換電壓范圍在 0 ～ 3. 6 V 之間，從傳感器輸出的信號通常要經過電平移動或者放大傳感器信號再送到 ADC 中。使用 ADC 模塊前，必須開啟 PA 口的時鐘，并把 PA0設置成模擬輸入。兩個 ADC 使用同一個時鐘頻率，***后采樣轉換得到的數據存放在 ADC1_DＲ 寄存器中;
(5) D /A 模塊。由于 STM32F103xx 增強型系列芯片不含內嵌 D /A，因此必須選擇一款 D /A 芯片作為外設得到標準輸出。本文選用 TI 公司的 DAC7750 芯片。該系列芯片是 12 位的數模轉換器，與單片機可以通過 SPI 接口進行數據通信，輸出電流范圍有 3 組可供選擇，4 ～ 20 mA，0 ～ 20 mA，0 ～ 24 mA ，符合產品的需求。與此同時，DAC7750 還具有部分自檢功能，包括循環冗余校驗，開路警報以及看門狗電路電流輸出。
3. 2、診斷模塊設計：
本文主要針對 A /D，D /A 模塊以及時鐘模塊進行硬件設計上的診斷。
(1) 看門狗時鐘診斷。看門狗實際上是一個定時器電路，輸入端與單片機上的 I /O 相連，由程序控制定時向這個引腳傳送高電平或低電平，就是俗稱的“喂狗”;另一端連接單片機的復位引腳。一旦系統由于干擾出現程序跑飛或進入死循環，導致“喂狗”的動作沒有如期進行，看門狗便會通過連接的復位引腳向單片機 發 送 一 個 復 位 電 平，使 得 單 片 機 復 位。
STM32F103 增強型系列的芯片帶有兩個看門狗定時器，一個是獨立看門狗，一個是窗口看門狗。由于要對晶振的偏移做出診斷，這里選擇窗口看門狗，過早或太晚“喂狗”都會造成系統復位;
(2) A /D 模塊診斷。由于 STM32F103xx 增強型產品內嵌兩個 12 位的模數轉換器 ADC，這里采用雙ADC 模式，對輸入信號進行同步采樣，轉換后的數據存儲在 A /D 接口的 ADC _ JDＲ1 存儲器中，其中由ADC1 轉換得來的數據存儲在寄存器的低 16 位，由
ADC2 得到數據存儲在高 16 位。ADC2 得到的數據作為一個參考數據，與 ADC1 得到的數據進行比較，若兩個數據之間的誤差在可接受范圍內，則認為系統安全，把寄存器的低 16 位數據傳送給 MCU 進行處理;否則的話，認為 ADC 出現故障有可能導致系統發生危險失效，此時軟件上必須保證系統進入一種安全狀態;
(3) D /A 模塊診斷。系統中增加一塊 A /D 芯片作為 D /A 模塊的診斷。給定一個設定值，經過 D /A 轉
換后，把轉換得到的數據作為 A /D 模塊的輸入，并對經 A /D 轉換后的輸出信號進行回采。對比***后得到的數據與設定值，若兩者相同，則認為 D /A 轉換通道; ， ［12］ ，沒問題 若不同 則判定會發生失效 。此外 在系統運行過程中，可通過訪問 DAC7750 內部高精度電阻器來實時監控電流輸出，一旦超出正常輸出范圍，系統發出警報。
4、硬件安全完整性等級分析：
根據 IEC 61508 的定義，液位變送器屬于 B 類安全相關子系統，即失效模式不能*被定義的子系統，同時根據 1001D 的系統結構得出其硬件故障裕度為0。由表 1 可知，系統要達到目標安全完整性等級SIL2，其安全失效分數必須達到 90% 以上。
表 1 B 類安全相關子系統的結構約束
| 安全失效分數 | 硬件故障裕度 | ||
| 0 | 1 | 2 | |
| ＜ 60% | 不允許 | SIL1 | SIL2 |
| 60% ～ ＜ 90% | SIL1 | SIL2 | SIL3 |
| 90% ～ 99% | SIL2 | SIL3 | SIL4 |
| ≥99% | SIL3 | SIL4 | SIL4 |
文中采用的 FMEDA 分析法依據的標準主要由失效率預計、元器件失效模式及其百分比和元器件失效
| 模式排除依據 3 | ［13］ | 。對于復雜器件，不能對 |
| 部分組成 |
失效模式進行詳細分析時，通常將失效分為安全失效， 50% 危險失效 50% 。根據各模塊采取的診斷措施，可從 IEC 61508 － 2 中查出診斷方法及其對應的診［5，10］斷覆蓋率 。本文參考軍用標準 GJB /Z 299C－ 2006 電子設備可靠性預計手冊，對每種元器件進行失效模式、失效概率以及失效影響分析，可以得到相對，準確的失效模式以及診斷覆蓋的評估信息 具體數據如表 2 中 FMEDA 的分析結果。
| 表 2 | FMEDA 分析結果 | |||
| λs /h | λD /h | λDD /h | λDU /h | |
| 1. 52 × 10 － 7 | 6. 83 × 10 － 8 | 6. 47 × 10 － 8 | 3. 6 × 10 － 9 | |
因此，系統安全失效分數
| ∑λS | + ∑λDD | |||||||||
| SFF = | = | |||||||||
| ∑λS | + ∑λD | |||||||||
| 1. 52 × 10 －7 | + 6. 47 × 10 －8 | = 98. 3% | ||||||||
| 1. 52 × 10 －7 | + 6. 83 × 10 －8 | |||||||||
| 滿足 SFF ＞ 90% ，因此，上述液位變送器設計方案 | ||||||||||
| 滿足硬件上功能安全完整性的要求。 | ||||||||||
5、結束語：
本文系統介紹了功能安全型液位變送器在硬件上的設計，在硬件故障裕度為定值 0 的情況下，采取1oo1D 的系統硬件結構，分別對電源模塊，時鐘模塊，微處理器數據處理模塊，輸出模塊設計診斷回路，有效增大安全失效分數。經過可靠性分析，驗證安全失效分數達到 98. 3% ，從而在硬件上滿足其目標安全完整性等級 SIL2 的要求。
