為什麼智慧型手機會在通話過程中突然當機？這可能是元件老化或過熱導致；或是最近因為手機掉落而損壞處理器中的關鍵元件，因此使得整個系統無預警被重啟。手機突然當機，最壞的結果也就是幾分鐘的等待而已。但如果是車輛智慧主動車距控制巡航系統發生這種情況呢？那後果可能會更加嚴重。

負責預測TI元件可能發生的所有情況，TI的功能性安全總監Bharat Rajaram 表示：「所有電子元件都會在某個時間點出現故障，這是不變的事實。現在，我們發現執行關鍵功能的電氣元件愈來愈普遍，從化工廠的液面監測到自動車輛導航和飛機升力控制比比皆是。由於我們無法阻止時間流逝，我們該如何幫助工程師在使用TI元件設計系統的同時，能夠確保這些無預警故障事件不會造成性命威脅呢？」

為一切可能發生的情況做好萬全準備

由於無法防止無預警故障的發生，因此功能性安全需要系統內建監控和緩解安全機制，才能解決這些問題。功能性安全機制可能涉及持續監控汽車中的剎車訊號，藉以檢查系統並未偏離預期範圍。如果確實出現偏差，安全機制可以標記系統可能出現問題而需要檢查。

住家和工作場所也會出現功能性安全問題。如果您曾經發現手機放在陽光下而關機，表示手機有可能防止電池起火的安全機制。或者，如果您曾經在沒有實體安全屏障的機械臂附近工作，可能有看不見的雷達感測器正在運作，協助防止機械臂接觸您的身體。

圖1 : 功能性安全的一日生活（source：TI）

為了預測這些潛在的危險，系統的電氣設計工程師必須在電路層級瞭解這些危險故障的所有可能原因、發生的可能性，以及如何透過實施支援功能性安全的積體電路（IC）將風險降低到可接受的程度。

對於功能性安全產品中更簡單的IC，例如低壓差（LDO）穩壓器和熱敏電阻，TI將這些產品整合到功能性安全系統並分析設計的資訊。對於功能性安全品質管理產品和功能性安全規格產品中更複雜的元件，這些元件將一系列安全機制整合到IC本身，在故障模式影響和診斷分析（FMEDA）中指定這些元件的診斷範圍，例如TI的多通道電源管理IC監控電壓軌的偏差。您可能會在任何類型的電子系統中找到這些元件，從控制工作場所中的人機協作系統到管理電動汽車的電池。

圖2 : 對於功能性安全品質管理產品和功能性安全規格產品中更複雜的元件，將一系列安全機制整合到IC本身，技術檢驗機構的認證很重要。（source：TUV Rheinland）

防止系統故障

不過，為了確保產品滿足功能性安全要求，為無預警事件做好準備只解決了一半的風險。另一半的風險是開發過程本身的系統故障。

在開發過程中，我們所有的產品都經過嚴格的全公司品質管理開發工作流程。此外，最複雜的功能性安全規格裝置依據國際電子電機委員會（IEC 61508）制定的功能性安全標準以及國際標準化組織的汽車特定功能性安全標準（ISO 26262）採用特定系統能力合規性建議。此外，功能性安全開發過程已獲得技術檢驗機構Technischer Uberwachungsverein（TUV）SUD的獨立認證。

所有這一切的意義在於，如果您在下班回家的路上開啟使用其中一個Jacinto處理器的自動巡航控制系統，大可放心，因為處理器上的感測器、軟體、致動器系統，以及其中的所有安全功能，均經過獨立評估和驗證。

預測未來風險

這些標準已經改變業界對於以功能性安全的方式設計現有系統的看法，例如尾燈和車載資訊娛樂系統。不過，這並不表示工作已經完成。

Bharat Rajaram目前正與IEC合作修訂通用功能性安全標準，他表示：「一般人現在都意識到功能性安全的重要性。不過隨著繼續將電子和可程式編輯系統的部署擴展到各種關鍵應用，我們需要協助持續更新這些標準，因為最先進的技術持續變化。」