设计安全工业芯片系统的验证方法

FPGA

设计安全工业芯片系统的验证方法

从工厂、机械和过程自动化到发电、供应和运输等各领域的工业自动化应用中，都越
来越需要更多的安全设备。本白皮书研究一个工业芯片系统(SoC) 案例—— 芯片驱
动，向工程师解释在实现符合IEC 61508 的产品认证过程中，怎样节省18 个月的设计
时间。具有Altera® FPGA 等经过认证的器件意味着，设计人员可以充分发挥FPGA 的灵
活性优势，不用担心这些FPGA 能否用于安全应用。
Altera 的3 级安全完整性(SIL3) 功能安全数据包包括TÜV Rheinland 对Altera 工
具、IP 和器件数据的认证，缩短并简化了符合IEC 61508 安全应用的开发，同时高效
的满足了低成本和高集成度嵌入式系统的需求。经过预认证的设计流程和工具，以及
经过预认证的嵌入式系统和诊断知识产权(IP) 降低了安全非常重要的工业应用的认证
风险，例如，伺服和逆变驱动器、安全I/O 和PLC 以及自动控制器等。

引言

工业自动化、物流以及智能电网等很多工业领域都要求机械设备和产品具有安全性，
经过了功能安全认证。当开发必须符合全世界安全标准的机械设备时，灵活性和逐渐
增高的安全成本是非常重要的决定因素。如果公司计划将产品销售到需要符合当地安
全规章制度的国家，例如，新的机械建造规范(2006/42/EG)，这是产品出口到欧洲必
须满足的要求，那么，这些公司必须在整个设计过程中采用安全方法，这样才能参与
竞争。在应用中实现安全标准的另一原因是工厂操作人员需要对机械设备进行安全操
作，以提高效能，例如，在部分机械设备还在工作时对设备进行维护，显著缩短开机
和停机时间等。

在这些应用中，安全要求产生了新的机械开发过程，增加了电子设备的复杂度。复杂
度的提高一般会导致硬件成本的显著增加。对于新应用，设计和开发过程越复杂，产
品面市时间就越长。

当公司决定开发安全产品时，必须把安全作为核心系统功能。历史上，通过冗余控制
器或者通信模块等其他功能，结合电路来监视系统，在系统中增加安全功能。与从开
始就针对安全和成本竞争力进行优化的设计安全应用相比，这些置入的安全组件是事
后加入到系统概念中，明显提高了成本，不够灵活，无法更新。

开发安全应用的设计挑战包括：
■ 采用“ 安全” 设计方法以及安全概念。
■ 需要更多的工程投入( 时间和威廉希尔官方网站 )，结果产品推迟面市，提高了总体拥有成本。
■ 工程管理，采集所有系统组件的数据，根据安全规范要求对工程进行记录。

本白皮书将介绍怎样成功实现一个工程，满足安全解决方案的目标要求，同时满足成
本和产品及时面市目标。成功的关键是采用经过验证的设计方法，合格的工具和器件
作为产品的一部分，从产品开发的一开始就考虑安全问题

设计一个安全驱动器

如果没有想到安全问题，开发一个具体应用的典型设计步骤如图1 所示。

确定如何划分并选择了组件后，设计团队可以针对各自的应用展开开发工作。然后，
他们将组件集成为一个完整的系统，测试系统功能，发布产品。

增加安全性
如果按照产品要求，开发功能安全设计，则需要增强其他的工程阶段，如图4 黄色部
分所示。设计安全应用的目的是获得功能安全认证，例如IEC 61508 等，这样，工程
越来越复杂，需要符合标准、而且非常清晰的工程结构。IEC 61508 规范涵盖了从开发
具体应用到产品退出市场的整个安全生命周期。本白皮书重点关注安全生命周期的第
一阶段，即，从工程启动到获得认证。按照安全标准的步骤和过程，则需要简化与评
估人员的通信，以确保能够清楚的理解安全目标、概念、过程和解决方案，满足安全
要求。

工程启动和风险分析
在工程启动和风险分析阶段，根据应用的一般要求来确定工程中的安全范围。对于实
施阶段，确定并梳理和记录应用所需要和能够实现的SIL，作为风险分析和评估的基
础。在开发安全应用过程后期，必须进行安全评估，而风险分析则是评估的基础。它
表明了对产品边界的理解，与产品范围定义密切相关。它是所需SIL 的基础，详细定
义了安全功能，以及产品文档框架。这需要在组件级以及系统级完成。

体系结构开发
按照这一步骤，开发应用体系结构以满足功能要求以及安全要求。对安全要求进行提
炼，记录在操作和维护阶段实现的某些功能，确定验证能否满足安全要求而需要采取
的策略。

安全要求规范
对于安全驱动，其范围必须包括几个方面，例如，确定驱动参数是否在允许的范围内，
或者，安全I/O 信号是否是关键事件等。驱动最基本的安全特性是“ 安全关闭
”(STO)，以安全方式断开电机电源。这一过程还包括与整个安全事件自动化系统的通
信，必须在一定的时间窗口内进行评估，例如，在预先确定的时间周期内，按照一系
列步骤顺序关断整个应用。

验证和认证规划
验证规划的开发包括受控失败插入方法，以测试系统，进行其他的监控，观察系统，
对比当前参数和预先确定的参数，以及允许值。

组件选择，组件， IP 和工具资格
典型的工程都有组件选择步骤，但是还有其他的需求以确保分配和选择的组件和IP 功
能适合安全应用。对于选择，重要的是考虑残留错误概率，这是计算产品以及最终SIL
全部失败概率(FIT) 的基础。部分的，可以通过收集所需的器件和设计工具数据以及
信息来实现这一点，这样，很多用户都可以使用产品，不会出现系统错误，能够可靠
使用( 例如，对于IP)。还可以通过使用处理器或者FPGA 等半导体产品错误概率报告
以及可靠性信息来实现它。但是，一般很难接触到组件和半导体产品可靠性报告，这
些报告提供了必要的信息，特别是与应用相关的设计工具和IP。

应用设计实现
通信协议、FPGA 中使用的存储器接口IP、或者嵌入在FPGA 中的Altera Nios® II 嵌入
式处理器IP 等复杂系统功能，通常用于运行驱动应用中工业以太网协议的软件堆栈，
这些都需要进行安全应用分析、测试和认证。

功能/ 诊断功能
除了实现应用程序，还必须在设计中加入其他功能。需要采用时钟和电源等基本参数
监视功能以及数据监视等复杂功能，观察脉冲宽度调制(PWM) 的输出，从而保证系统
正常工作。需要实现能够自动发现错误的功能，使系统进入安全状态。基本功能包括
保证存储器内容不会由于外部影响设计而发生改变，监视系统时钟以保证在设定的系
统参数范围内驱动设计( 或者由于外部组件的失效导致出现错误)，电源正常工作。

集成和测试
开发了每一组件后，将其集成到安全驱动方案中，进行测试，实现预期的系统功能，
提供设定好的安全功能。通过安全验证，保证所需的安全特性能够在工作期间发挥作
用，例如，确保外部因素对设计的安全功能没有不利影响，偶然的禁用不会影响系统
等。

安全验证、认证和发布
在整个过程中，要求与评估人员密切合作，以保证在开发过程中所进行的评估是合理
的，提供合适的安全功能。最后，评估人员对产品的安全功能进行认证，可以向市场
推出该产品。

增加预认证安全功能

Altera 等半导体供应商提供某些步骤帮助实现这一过程，减少了在安全应用开发上的
投入。例如，立即使用经过功能安全预认证的半导体数据、IP、开发流程和设计工具
等，大幅度缩短整个产品开发过程，如图5 所示。

安全驱动的例子

具有安全I/O 的这一驱动实例采用了Altera 认证过的FPGA 设计工具Quartus® II 软件
9.0 SP2，以及所建议的设计方法实现这一应用实例。此外，如图6 所示，这一应用使
用了两片FPGA，而没有采用外部处理器和DSP。该应用被划分成几个Nios II 软核处
理器内核。第一个Nios II 软核处理器提供通信堆栈支持，第二个处理系统控制，第
三个Nios II 处理器集成在电机控制模块中。对电机控制算法进行了划分，其软件部
分运行在Nios II 处理器上，针对这一应用而专门开发的硬件模块加速电机控制环的
实现。外部安全控制器提供SIL3 应用所需要的冗余功能。

芯片驱动的安全性

对于FPGA 中关键而又常用诊断任务的底层监视功能，这一实例使用了Altera 提供的
安全认证诊断IP 模块。这些诊断IP 设计满足IEC 61508 规范要求，完成以下常用诊
断功能：
■ 循环冗余校验(CRC) 计算—— 这一计算功能用于很多系统中，特别适用于现场总线
应用。
■ 提取时钟检查—— 这一内核检查是否有系统时钟以及时钟频率。
■ SEU 检查控制器—— 这一模块采用了器件中的内置软错误检查硬件，监视软错误导
致的变化。

由于这些硬核IP 是在FPGA 逻辑区中实现的，因此，系统处理器不再承担这些任务。

设计按照Altera 的建议来实现。在认证方法方面，Altera 采用了IEC 规范，分析了
FPGA 设计方法和相关要求。从这一分析中，Altera 形成了工具流文档。这一工具流的
中心主题是对Altera 开发的FPGA V-Flow 的描述，如图7 所示。

V-Flow 及其相关文档将Altera FPGA 安全应用设计的所有步骤映射到IEC 规范上，满
足其要求。此外，它解释了哪些设计步骤采用哪些Altera 工具。讨论了IEC 规范中的
某些章节，并进行了解释，以指导Altera 用户依照合适的开发步骤来开发安全应用。
Altera 提供业界第一款经过TÜV 认证的功能安全数据包，涵盖了特定工具流( 例如，
Quartus II 软件9.0 SP2) 经过认证的器件开发工具、IP 以及硅片数据。包括了评估
人员所需要的认证文档和数据，以完全符合IEC 61508 规范的格式提供，因此，评估
人员很容易处理它们。以正确的格式提供这些文档节省了安全工程大量的文档工作。
在功能安全数据包的可靠性报告中，Altera 对Altera FPGA 的可靠性统计信息进行了
大量的分析。计算失效时间(FIT) 所需的全部信息都含在文档中，还包括指南，解释
怎样完成这一计算，这样，很容易提交给评估人员进行认证。

结论

通过重新使用符合预认证两芯片方法的驱动系统概念，按照经过认证的设计方法、设
计流程、工具和IP，通常能够加速实现典型的应用开发过程。由于能够立即使用组件
的可靠性数据，提供的格式很容易集成到安全认证的所有文档中，因此，加速实现了
认证过程。在安全设计和系统设计中，设计人员可以充分利用灵活的FPGA 设计集成功
能。由于安全已经成为具体应用的关键需求之一，因此，它含在整个概念中，通过满
足成本和产品及时面市目标来实现它。

详细信息

■ 适用于功能安全设计的TÜV 认证FPGA：
www.altera.com/end-markets/industrial/functional-safety/ind-functionalsafety.
html

更多解决棘手的工业和汽车应用设计难题方案：//www.obk20.com/company/altera/?utm_source=forum&utm_medium=textlink3&utm_campaign=Altera

灵活的工业以太网解决方案-中文版：//www.obk20.com/company/altera/gongye/329200.html?utm_source=forum&utm_medium=textlink3&utm_campaign=Altera

采用FPGA克服智能电网设备设计难题-中文版：//www.obk20.com/company/altera/gongye/329190.html?utm_source=forum&utm_medium=textlink3&utm_campaign=Altera