工業(yè)領(lǐng)域?qū)﹄娮釉O(shè)備安全性要求甚嚴(yán)，因此產(chǎn)品開發(fā)人員對嵌入式晶片的選擇須格外謹(jǐn)慎;采用已預(yù)先通過標(biāo)準(zhǔn)認(rèn)證的嵌入式方案，不僅可降低系統(tǒng)設(shè)計復(fù)雜度、減少額外元件使用數(shù)量，更能確保最終產(chǎn)品的安全性，提高市場競爭力。

工業(yè)自動化、物流以及智慧電網(wǎng)等很多工業(yè)領(lǐng)域都要求機械設(shè)備和產(chǎn)品具有安全性，通過功能安全認(rèn)證。當(dāng)開發(fā)的機械設(shè)備必須符合全世界安全標(biāo)準(zhǔn)時，靈活性和逐漸增高的安全成本，是非常重要的決定因素。

在這些應(yīng)用中，安全要求產(chǎn)生新的機械開發(fā)過程，增加電子設(shè)備的復(fù)雜度，一般會導(dǎo)致硬體成本的顯著增加，延長產(chǎn)品上市時間。工業(yè)單晶片系統(tǒng)能夠幫助工程師在獲得IEC 61508產(chǎn)品認(rèn)證過程中節(jié)省十八個月的設(shè)計時間。具有現(xiàn)場可編程閘陣列(FPGA)等經(jīng)過認(rèn)證的元件，意味著設(shè)計人員可以充分發(fā)揮FPGA的靈活性優(yōu)勢，不用擔(dān)心這些元件能否用于安全應(yīng)用。

安全設(shè)計擺第一　各類挑戰(zhàn)大又多

如果公司計劃將產(chǎn)品銷售到須要符合當(dāng)?shù)匕踩?guī)章制度的國家，這些國家要求須有功能安全評估人員的認(rèn)證，例如新的機械建造規(guī)范(2006/42/EG)，這是產(chǎn)品出口到歐洲必須滿足的要求，那么這些公司必須在整個設(shè)計過程中采用安全方法，這樣才能參與競爭。工廠操作人員須要對機械設(shè)備進(jìn)行安全操作以提高效能，例如在部分機械設(shè)備還在運作時對設(shè)備進(jìn)行維護(hù)，顯著縮短開機和停機的時間等。

當(dāng)公司決定開發(fā)安全產(chǎn)品時，必須把安全作為核心系統(tǒng)功能。以往，都是透過備用控制器或通訊模組等其他功能，結(jié)合電路來監(jiān)視系統(tǒng)，在系統(tǒng)中增加安全功能。與從一開始就針對安全和成本競爭力進(jìn)行最佳化的設(shè)計安全應(yīng)用相比，這些置入的安全性零組件是事后才加入到系統(tǒng)概念中，明顯地提高成本，不夠靈活也無法更新。

成功設(shè)計安全應(yīng)用的關(guān)鍵是采用經(jīng)過驗證的設(shè)計方法，合格的工具和元件作為產(chǎn)品的一部分，從產(chǎn)品開發(fā)的一開始就考慮安全問題。

典型設(shè)計步驟　安全考量非重點

如果沒有想到安全問題，開發(fā)一個具體應(yīng)用的五個典型設(shè)計步驟包括：架構(gòu)開發(fā)、零組件選擇、應(yīng)用設(shè)計實現(xiàn)、整合和測試、發(fā)布。

第一步是產(chǎn)品架構(gòu)，如圖1所示。對于驅(qū)動器等典型的馬達(dá)控制應(yīng)用，設(shè)計步驟把系統(tǒng)分成系統(tǒng)控制、通訊和即時馬達(dá)控制功能等部分。例如，對于系統(tǒng)的控制部分和即時部分，在架構(gòu)上選擇用軟體實現(xiàn)，對于通訊部分確定使用硬體/軟體方法，以支援即時工業(yè)乙太網(wǎng)路通訊協(xié)定。

圖1 架構(gòu)開發(fā)

下一步是選擇零組件(圖2)。做出決定后，具體實施時，控制軟體可能運行在標(biāo)準(zhǔn)應(yīng)用處理器上，然后在數(shù)位訊號處理器(DSP)上實現(xiàn)即時馬達(dá)控制部分，而采用FPGA架構(gòu)的方法實現(xiàn)系統(tǒng)中的通訊部分。采用FPGA，系統(tǒng)能夠在可以互換的相同元件中靈活地實現(xiàn)各種工業(yè)乙太網(wǎng)路標(biāo)準(zhǔn)，例如乙太網(wǎng)路/IP、EtherCat、PROFINET或SERCOS III等。利用靈活的通訊部分架構(gòu)，可以訂制標(biāo)準(zhǔn)硬體平臺，很容易滿足最終使用者的特殊通訊協(xié)定需求。

圖2 零組件選擇

確定如何劃分并選擇元件后，設(shè)計團(tuán)隊可以針對各自的應(yīng)用展開開發(fā)工作。然后，將元件整合為一個完整的系統(tǒng)，測試系統(tǒng)功能，發(fā)布產(chǎn)品。

增加安全性　取得安全認(rèn)證

如果按照產(chǎn)品要求，開發(fā)功能安全設(shè)計，則須增強其他的專案階段，如圖3左起第1、3、4、6、8、10、11方塊部分所示。

圖3 根據(jù)安全步驟而增加的設(shè)計步驟

設(shè)計安全應(yīng)用的目的是獲得功能安全認(rèn)證，例如IEC 61508等，因此導(dǎo)致專案越來越復(fù)雜。IEC 61508規(guī)范涵蓋從開發(fā)具體應(yīng)用到產(chǎn)品退出市場的整個安全生命周期。按照安全標(biāo)準(zhǔn)的步驟和過程，則須要簡化與評估人員的通訊，以確保能夠清楚地理解安全目標(biāo)、概念、過程和解決方案，滿足安全要求。以下是根據(jù)安全步驟而增加的設(shè)計步驟：

.專案啟動和風(fēng)險分析

在專案啟動和風(fēng)險分析階段，根據(jù)應(yīng)用的一般要求來確定安全范圍。對于實施階段，確定并整理和記錄應(yīng)用所需及能夠?qū)崿F(xiàn)的安全完整性等級(SIL)，作為風(fēng)險分析和評估的基礎(chǔ)。風(fēng)險分析是以后測量的基礎(chǔ)，它表明對產(chǎn)品界限的理解，與產(chǎn)品范圍定義密切相關(guān)。它是所需SIL的基礎(chǔ)，詳細(xì)定義安全功能，以及產(chǎn)品文件建檔框架，這必須在元件層級和系統(tǒng)層級來完成。

.架構(gòu)開發(fā)

然后，設(shè)計人員開發(fā)架構(gòu)來滿足功能和安全要求。他們對安全要求進(jìn)行改善，記錄在操作和維護(hù)階段實現(xiàn)的某些功能，確定驗證能否滿足安全要求而須要采取的策略。

.安全要求規(guī)范

對于安全驅(qū)動，專案范圍可能包括幾個方面，例如確定驅(qū)動參數(shù)是否在允許的范圍內(nèi)，或者安全輸入輸出(I/O)訊號是否為關(guān)鍵事件等。驅(qū)動最基本的安全特性是安全關(guān)閉(STO)，以安全方式斷開馬達(dá)電源。此一過程還可能包括與出現(xiàn)安全事件的整個自動化系統(tǒng)進(jìn)行通訊，必須在一定的時間周期內(nèi)進(jìn)行評估，例如按照一系列步驟順序關(guān)閉整個應(yīng)用。

.驗證和認(rèn)證規(guī)畫

驗證規(guī)畫的開發(fā)包括受控制的失敗介入方法，以測試系統(tǒng)，進(jìn)行其他的監(jiān)控，觀察系統(tǒng)，對比當(dāng)前參數(shù)和預(yù)先確定的參數(shù)，以及允許值。

.元件選擇及元件、IP和工具條件

典型的專案都有元件選擇步驟，但是設(shè)計人員應(yīng)確保元件和IP功能適合安全應(yīng)用。重要的是考慮殘留錯誤概率，這是計算產(chǎn)品全部失敗概率(FIT)以及最終SIL的基礎(chǔ)?？梢酝高^收集廣泛應(yīng)用的產(chǎn)品的元件和設(shè)計工具資料來實現(xiàn)，就不會出現(xiàn)系統(tǒng)錯誤，能夠可靠使用(例如對于IP)，還可以透過使用處理器或FPGA等半導(dǎo)體產(chǎn)品錯誤概率報告，以及可靠性資訊來實現(xiàn)。

.應(yīng)用設(shè)計實現(xiàn)

通訊協(xié)定、FPGA的記憶體介面IP、或者嵌入在FPGA中的嵌入式處理器IP等復(fù)雜系統(tǒng)功能，通常用于運行驅(qū)動應(yīng)用中工業(yè)乙太網(wǎng)路通訊協(xié)定的軟體堆疊，這些都須要進(jìn)行安全應(yīng)用分析、測試和認(rèn)證。

.安全/診斷功能

除了實現(xiàn)應(yīng)用程式外，還必須在設(shè)計中加入某些功能。這些設(shè)計須要采用時鐘和電源等基本參數(shù)監(jiān)視功能，以及資料監(jiān)視等復(fù)雜功能，觀察脈沖寬度調(diào)變(PWM)的輸出，進(jìn)而保證系統(tǒng)正常運作。此外，還需要能夠自動發(fā)現(xiàn)錯誤的功能，讓系統(tǒng)進(jìn)入安全狀態(tài)。基本功能包括保證記憶體內(nèi)容不會由于外部影響設(shè)計而發(fā)生改變、監(jiān)視系統(tǒng)時鐘以保證在設(shè)定的系統(tǒng)參數(shù)范圍內(nèi)驅(qū)動設(shè)計(或是因為外部元件失效導(dǎo)致錯誤出現(xiàn))，以及電源正常運作。

.整合和測試

將每一個元件整合到安全驅(qū)動方案中，進(jìn)行測試，實現(xiàn)預(yù)期的系統(tǒng)功能，提供設(shè)定好的安全功能。透過安全驗證，保證所需的安全特性能夠在運作期間發(fā)揮作用，例如，確保外部因素對設(shè)計的安全功能沒有不利影響，偶然的禁用不會影響系統(tǒng)。

.安全驗證、認(rèn)證和發(fā)布

在整個過程中，要求與評估人員密切合作，以保證在開發(fā)過程中所進(jìn)行的評估是合理的，提供合適的安全功能。最后，評估人員對產(chǎn)品的安全功能進(jìn)行認(rèn)證，可以向市場推出該產(chǎn)品。

增加預(yù)認(rèn)證安全功能

Altera等半導(dǎo)體供應(yīng)商提供某些步驟說明實現(xiàn)這一個過程，減少在安全應(yīng)用開發(fā)上的投入。例如，立即使用經(jīng)過功能安全預(yù)認(rèn)證的半導(dǎo)體資料、IP、開發(fā)流程和設(shè)計工具等，大幅度縮短整個產(chǎn)品開發(fā)過程(圖4)。

圖4 具有預(yù)認(rèn)證安全步驟的設(shè)計步驟

Altera投入近兩年的時間來實現(xiàn)產(chǎn)品認(rèn)證，其SIL 3功能安全資料套件包括評估機構(gòu)TV Rheinland對Altera工具、IP和元件資料的認(rèn)證，縮短并簡化符合IEC 61508安全應(yīng)用的開發(fā)。經(jīng)過預(yù)先認(rèn)證的設(shè)計流程和工具，以及經(jīng)過預(yù)先認(rèn)證的嵌入式系統(tǒng)和診斷矽智財(IP)，降低了對安全非常重視之工業(yè)應(yīng)用的認(rèn)證風(fēng)險，例如伺服和變頻驅(qū)動器、安全I(xiàn)/O和可編程邏輯控制器(PLC)以及自動控制器等。

對IP和設(shè)計工具以及元件可靠性資料的測試和應(yīng)用資料進(jìn)行總結(jié)和整理，簡化了功能安全驗證。采用TV Rheinland認(rèn)可的設(shè)計方法(V-Flow)，可滿足FPGA設(shè)計的特殊需求。功能安全套件包括所必須的診斷功能，將其設(shè)計為FPGA IP。功能安全套件用戶受益于Altera在TV上的前期投入，在專案投入上能夠節(jié)省同樣的時間。

安全驅(qū)動實例示范

具有安全I(xiàn)/O的此一驅(qū)動實例采用Altera認(rèn)證過的FPGA設(shè)計工具Quartus II軟體9.0 SP2，以及所建議的設(shè)計方法實現(xiàn)這一個應(yīng)用實例。此外，如圖5所示，這個應(yīng)用使用兩顆FPGA，而沒有采用外部處理器和DSP。該應(yīng)用被劃分成幾個Nios II軟式處理器核心。第一個Nios II軟式核心處理器提供通訊堆疊支援，第二個處理系統(tǒng)控制，第三個Nios II處理器整合在馬達(dá)控制模組內(nèi)。對馬達(dá)控制演算法進(jìn)行劃分，其軟體部分運行在Nios II處理器上，針對這個應(yīng)用而專門開發(fā)的硬體模組加速馬達(dá)控制回路的實現(xiàn)。外部安全控制器提供SIL3應(yīng)用所需要的備用功能。

圖5 安全驅(qū)動的兩顆FPGA實現(xiàn)

此一解決方案在一顆FPGA中結(jié)合安全控制器和現(xiàn)場匯流排控制器，使用Altera的SOPC Builder系統(tǒng)整合工具，整合Nios II軟式核心處理器、其他通訊IP模組，以及編碼器介面和記憶體介面。

診斷晶片驅(qū)動安全性

對于FPGA中關(guān)鍵而又常用診斷任務(wù)的底層監(jiān)視功能，這個實例使用Altera的安全認(rèn)證診斷IP模組。這些診斷IP設(shè)計滿足IEC 61508規(guī)范要求，完成以下常用診斷功能：

.循環(huán)校驗碼(CRC)運算

應(yīng)用在許多系統(tǒng)內(nèi)，特別適用于現(xiàn)場匯流排應(yīng)用。

.提取時鐘檢查

這個核心檢查是否有系統(tǒng)時鐘及時鐘頻率。

.SEU檢查控制器

此模組采用元件中的內(nèi)置軟式錯誤檢查硬體，監(jiān)視軟式錯誤導(dǎo)致的變化。

由于這些硬式核心IP是在FPGA邏輯區(qū)中實現(xiàn)，因此系統(tǒng)處理器不再承擔(dān)這些任務(wù)。在認(rèn)證方法方面，Altera采用IEC規(guī)范來分析FPGA設(shè)計方法和相關(guān)要求。從這個分析中，形成工具流程文件檔。此工具流程的中心主題是對Altera開發(fā)的FPGA V-Flow的描述(圖6)。

V-Flow及其相關(guān)文件檔將Altera FPGA安全應(yīng)用設(shè)計的所有步驟映射到IEC規(guī)范上，滿足其要求。此外，它解釋哪些設(shè)計步驟采用哪些Altera工具。其涉及到IEC規(guī)范中的某些章節(jié)，以指導(dǎo)使用者依照合適的開發(fā)步驟來開發(fā)安全應(yīng)用。

這包括評估人員所需要的認(rèn)證文件檔和資料，以提供完全符合IEC 61508規(guī)范的格式，因此評估人員很容易處理它們。以正確的格式提供這些文件檔，可節(jié)省安全專案大量的文件檔工作。在所包括的可靠性報告中，Altera對FPGA可靠性統(tǒng)計資訊進(jìn)行大量分析，包括所需的全部資訊來計算FIT率。

透過重新使用符合預(yù)認(rèn)證兩顆晶片方法的驅(qū)動系統(tǒng)概念，按照經(jīng)過認(rèn)證的設(shè)計方法、設(shè)計流程、工具和IP，通常能夠加速實現(xiàn)典型的應(yīng)用開發(fā)過程。由于能夠立即使用元件的可靠性資料，提供的格式很容易整合到安全認(rèn)證的所有文件檔內(nèi)，因此加速實現(xiàn)認(rèn)證過程。在安全設(shè)計和系統(tǒng)設(shè)計中，設(shè)計人員可以充分利用靈活的FPGA設(shè)計整合功能。由于安全已經(jīng)成為具體應(yīng)用的關(guān)鍵需求之一，因此它包含在整個概念中，透過滿足成本和產(chǎn)品及時上市目標(biāo)來實現(xiàn)。