ФУНКЦІОНАЛЬНА БЕЗПЕКА СИСТЕМ ЗБОРУ ТА ОБРОБКИ ДАНИХ

Функціональна безпека систем збору та обробки даних

В останній час вимоги до функціональної безпеки систем збору та обробки даних постійно посилюються. Це стосується не тільки систем, призначених для застосування на атомних станціях, але й систем, що застосовуються в медичній, автомобільній, авіаційній промисловості. До систем на основі Інтернету речей, таких як «розумне» місто, «розумна» вулиця, «розумні» апартаменти, також застосовуються високі вимоги до забезпечення функціональної безпеки. Основний тягар відповідальності за забезпечення необхідного рівня функціональної безпеки систем лежить на розробниках мікросхем та інших електронних компонентів.

На рис. 1 показані традиційна система збору та обробки даних, яка включає досить багато зовнішніх компонентів, що обрамляють АЦП попереднього покоління, і нова система, в якій практично всі компоненти включені до складу мікросхеми перетворювача.

Потенційні причини відмов

Слід відзначити, що сучасні системи збору та обробки даних у випадку збою або відмови можуть стати причиною виходу з ладу складного обладнання і навіть призвести до людських жертв. Так, у системах, які підтримують на заданому рівні (з погрішністю, наприклад, 5%) тиск у газовому резервуарі, завжди є ймовірність того, що на виході АЦП можуть з’явитися помилкові дані, і контролер не зможе відрегулювати відхилення внутрішнього тиску від зовнішнього, що може призвести до вибуху резервуара і, як наслідок, до людських жертв.

Наведемо перелік основних причин, які можуть призвести до таких наслідків:

• на виході джерела живлення напруга нижче заданої
• пошкоджений датчик тиску або підсилювач на вході АЦП
• збої або відмови в цифровому вузлі АЦП призводять до спотворення вихідного коду даних
• спотворення коду в лінії зв’язку між АЦП і контролером
• вихід температури навколишнього середовища за межі діапазону робочих температур ІМС АЦП.

На рис. 2 наведена схема вимірювання тиску, в якій використано сигма-дельта АЦП типу AD7768-1. На цьому рисунку виділені окремі фрагменти схеми, в яких можуть виникнути перелічені вище відмови і збої. Відзначимо, що ІМС AD7768-1 має набір вбудованих засобів діагностики, що дозволяють у реальному часі отримувати інформацію про відмови в тому чи іншому вузлі АЦП.

Вбудовані засоби діагностики AD7768-1

Можливість підключення вхідного контакту АЦП до земляної шини забезпечує перевірку напруги зміщення нуля. У випадку відхилення цих параметрів від номінальних користувач за допомогою вбудованих в АЦП регістрів може їх відкоригувати. Вбудований датчик температури не тільки стежить за її зміною, але й інформує користувача про перевищення її граничних параметрів. Крім того, якщо температура навколишнього середовища змінилася в межах робочого діапазону температур, є можливість внести корекцію в напругу зміщення нуля і коефіцієнт підсилення. Схема вузла діагностики АЦП AD7768-1, в якій мультиплексор підключає до входу перетворювача різні ланцюги діагностики, наведена на рис. 3. У складі АЦП є регістри, які містять прапор помилки в цифрових вузлах перетворювача.

Додаткові функції діагностики

Окремі збої можуть викликати кидок струму в конденсаторі на виході LDO-стабілізатора, що може призвести до виходу його з ладу. Бажано, щоб цей конденсатор був зовнішнім компонентом відносно АЦП. У цьому випадку полегшується моніторинг вихідної напруги LDO-стабілізатора. Якщо напруга на його виході вийде за нижню межу, прапор помилки в спеціальному регістрі інформує користувача про збій або відмову в роботі АЦП в цілому. В АЦП, крім того, передбачений захист від некоректного програмування коефіцієнта підсилення вхідного підсилювача. Цю роль виконує вузол Filter saturated error checker monitor (вузол контролю режиму насичення, показаний на рис. 4). В АЦП можуть зустрічатися недопустимі помилки в двійкових розрядах, наприклад, при ввімкненні живлення. Для їх усунення в цифровому вузлі передбачений періодичний контроль помилок за допомогою надлишкових кодів. Про появу помилок користувача попереджає прапор помилки в спеціальному регістрі. Перезапуск системи, як правило, дозволяє виключити таку помилку.

Контроль лінії зв’язку та синхросигналів

Усі подібні системи характеризуються частотою появи помилкових бітів. У системах регулювання тиску газу частота появи помилкових бітів на виході АЦП менше 10⁻⁷ Гц є допустимою, якщо мікроконтролер розташований у безпосередній близькості від АЦП на відстані не більше 10 см.

Припустимо, що в результаті зовнішніх перешкод у лінії зв’язку між АЦП і мікроконтролером виникла помилка в двійковому розряді. Вона може призвести до непередбачуваних наслідків. Для запобігання такій ситуації користувач має можливість передбачити контроль даних на виході перетворювача за допомогою циклічного надлишкового коду, виявляючи при цьому помилки в двійкових розрядах.

Якщо користувач при регулюванні тиску в газовому резервуарі вважає за необхідне забезпечити захист задаючого генератора від збоїв по ланцюгу живлення через різницю в частотах мережевої напруги (50/60 Гц), то для вирівнювання частоти синхроімпульсів він може використовувати цифрову фільтрацію. Збої і відмови в ланцюзі синхросигналів можуть бути викликані крім того некоректним підключенням зовнішнього генератора до внутрішньосхемного RC-осцилятора.

Після усунення зазначених несправностей слід виконати аварійну перевірку системи управління в цілому. Ми розглянули тільки деякі з вбудованих функцій діагностики перетворювача. Більш детально всі функції діагностики АЦП AD7768-1 при його системному застосуванні викладені в технічній документації.

Висновки

Згідно з сучасними вимогами системи управління складними об’єктами підвищеної небезпеки повинні мати високу функціональну безпеку. Функціональна безпека є системною властивістю, проте забезпечення її починається на рівні мікроелектронної елементної бази. Самодіагностика і самоконтроль закладаються у вигляді додаткових вузлів безпосередньо в кристали АЦП і мікроконтролерів.