設計安全工業芯片系統的驗證方法

　　設計安全應用的目的是獲得功能安全認證，例如IEC 61508等，因此，這導致工程越來越復雜。IEC 61508規范涵蓋了從開發具體應用到產品退出市場的整個安全生命周期。按照安全標準的步驟和過程，則需要簡化與評估人員的通信，以確保能夠清楚的理解安全目標、概念、過程和解決方案，滿足安全要求。

　　工程啟動和風險分析

　　在工程啟動和風險分析階段，根據應用的一般要求來確定安全范圍。對于實施階段，確定并梳理和記錄應用所需要和能夠實現的安全完整性等級(SIL)，作為風險分析和評估的基礎。風險分析是以后測量的基礎，它表明了對產品邊界的理解，與產品范圍定義密切相關。它是所需SIL的基礎，詳細定義了安全功能，以及產品文檔框架。這需要在組件級以及系統級完成。

　　體系結構開發

　　然后，設計人員開發體系結構來滿足功能和安全要求。他們對安全要求進行提煉，記錄在操作和維護階段實現的某些功能，確定驗證能否滿足安全要求而需要采取的策略。

　　安全要求規范

　　對于安全驅動，工程范圍可能包括幾個方面，例如，確定驅動參數是否在允許的范圍內，或者，安全I/O信號是否是關鍵事件等。驅動最基本的安全特性是“安全關閉”(STO)，以安全方式斷開電機電源。這一過程還可能包括與出現安全事件的整個自動化系統進行通信，必須在一定的時間周期內進行評估，例如，按照一系列步驟順序關斷整個應用。

　　驗證和認證規劃

　　驗證規劃的開發包括受控失敗插入方法，以測試系統，進行其他的監控，觀察系統，對比當前參數和預先確定的參數，以及允許值。

　　組件選擇，組件，IP和工具資格

　　典型的工程都有組件選擇步驟，但是設計人員應確保組件和IP功能適合安全應用。重要的是考慮殘留錯誤概率，這是計算產品全部失敗概率(FIT)以及最終SIL的基礎?？梢酝ㄟ^收集廣泛應用的產品的器件和設計工具數據來實現這一點，這樣，不會出現系統錯誤，能夠可靠使用(例如，對于IP)，還可以通過使用處理器或者FPGA等半導體產品錯誤概率報告以及可靠性信息來實現它。

　　應用設計實現

　　通信協議、FPGA的存儲器接口IP、或者嵌入在FPGA中的Altera Nios® II嵌入式處理器IP等復雜系統功能，通常用于運行驅動應用中工業以太網協議的軟件堆棧，這些都需要進行安全應用分析、測試和認證。

　　功能/診斷功能

　　除了實現應用程序，還必須在設計中加入某些功能。這些設計需要采用時鐘和電源等基本參數監視功能以及數據監視等復雜功能，觀察脈沖寬度調制(PWM)的輸出，從而保證系統正常工作。他們還需要能夠自動發現錯誤的功能，使系統進入安全狀態?；竟δ馨ūＷC存儲器內容不會由于外部影響設計而發生改變，監視系統時鐘以保證在設定的系統參數范圍內驅動設計(或者由于外部組件的失效導致出現錯誤)，電源正常工作。

　　集成和測試

　　將每一組件集成到安全驅動方案中，進行測試，實現預期的系統功能，提供設定好的安全功能。通過安全驗證，保證所需的安全特性能夠在工作期間發揮作用，例如，確保外部因素對設計的安全功能沒有不利影響，偶然的禁用不會影響系統。

　　安全驗證、認證和發布

　　在整個過程中，要求與評估人員密切合作，以保證在開發過程中所進行的評估是合理的，提供合適的安全功能。最后，評估人員對產品的安全功能進行認證，可以向市場推出該產品。

　　增加預認證安全功能

　　Altera等半導體供應商提供某些步驟幫助實現這一過程，減少了在安全應用開發上的投入。例如，立即使用經過功能安全預認證的半導體數據、IP、開發流程和設計工具等，大幅度縮短整個產品開發過程，如圖4所示。　　

 

　　Altera投入了近兩年的時間來實現產品認證。Altera的SIL 3 (SIL3)功能安全數據包包括評估機構TÜ Rheinland對Altera工具、IP和器件數據的認證，縮短并簡化了符合IEC 61508安全應用的開發。經過預認證的設計流程和工具，以及經過預認證的嵌入式系統和診斷知識產權(IP)降低了安全非常重要的工業應用的認證風險，例如，伺服和逆變驅動器、安全I/O和PLC以及自動控制器等。

　　對IP和設計工具以及器件可靠性數據的測試和應用數據進行了總結和梳理，簡化了功能安全驗證。公司采用TÜV Rheinland認可的設計方法(V-Flow)，以滿足FPGA設計的特殊需求。功能安全包包括所必須的診斷功能，將其設計為FPGA IP。功能安全包用戶受益于Altera在TÜV上的前期投入，在工程投入上能夠節省同樣的時間。