我列出了關(guān)鍵系統(tǒng)工程師在其設(shè)計(jì)職業(yè)生涯中可能遇到的 84 項(xiàng)單獨(dú)的安全標(biāo)準(zhǔn)。我已將這個(gè)有些令人生畏的清單縮減為本文將討論的五個(gè)基本標(biāo)準(zhǔn)。這些是：

• 　　IEC 61508
• 　　ISO 26262
• 　　IEC 60730 和 IEC 60335
• 　　在 ISO 13849 中

　　這些較新的標(biāo)準(zhǔn)認(rèn)識(shí)到需要保護(hù)安全關(guān)鍵系統(tǒng)中的隨機(jī)和系統(tǒng)故障。隨機(jī)故障通常是組件故障，與可靠性和 FIT 數(shù)有關(guān)。系統(tǒng)故障通常是軟件和硬件設(shè)計(jì)方法故障。簡(jiǎn)單地說(shuō)，這些故障是由不完善的設(shè)計(jì)引起的。

　　用于減輕這兩種類型故障的主要方法是自我測(cè)試。一些有助于針對(duì)這些標(biāo)準(zhǔn)進(jìn)行設(shè)計(jì)的處理器特性包括 CPU 自檢模塊、復(fù)制的、安全增強(qiáng)的看門(mén)狗定時(shí)器、外設(shè)/DMA/中斷存儲(chǔ)器上的存儲(chǔ)器 ECC 奇偶校驗(yàn)、所有通信通道上的奇偶校驗(yàn)或 CRC 檢查、內(nèi)置存儲(chǔ)器- 內(nèi)置自測(cè) （BIST）、時(shí)鐘和電源電壓監(jiān)控、片上時(shí)鐘或雙時(shí)鐘、結(jié)溫傳感器和帶共享通道的雙 A/D。

　　使用硬件（處理器）而不是代碼來(lái)處理安全性可以加速開(kāi)發(fā)、加速錯(cuò)誤檢測(cè)、提高安全性并簡(jiǎn)化認(rèn)證工作。有一些自動(dòng)化代碼審查設(shè)計(jì)工具專注于安全，可能對(duì)工程師有幫助，盡管有些人將它們比作拼寫(xiě)檢查器。在這個(gè)領(lǐng)域還有一些自動(dòng)代碼生成器需要考慮，也許還有一個(gè)采用基于模型的開(kāi)發(fā)的 IDE。當(dāng)然，如果您有操作系統(tǒng)，則需要具有安全意識(shí)，并且高質(zhì)量的 C++ 編譯器對(duì)于更高的抽象級(jí)別和對(duì)面向?qū)ο?a target="_blank">編程的支持將是必不可少的。

　　標(biāo)準(zhǔn)

　　IEC 61508 - 電氣/電子/可編程電子安全相關(guān)系統(tǒng)的功能安全

　　IEC 61508 涵蓋硬件和軟件。它可以分為三個(gè)領(lǐng)域：業(yè)務(wù)流程、硬件開(kāi)發(fā)和軟件開(kāi)發(fā)。該標(biāo)準(zhǔn)提供了管理和減少系統(tǒng)故障和隨機(jī)故障的措施。

圖 1：IEC 61508 安全生命周期。

　　ISO 26262 - 道路車(chē)輛功能安全

　　ISO 26262 是 IEC 61508 對(duì)汽車(chē)電氣/電子系統(tǒng)的改編。它提供了汽車(chē)安全生命周期（管理、開(kāi)發(fā)、生產(chǎn)、運(yùn)營(yíng)、服務(wù)、退役），并支持在這些生命周期階段定制必要的活動(dòng)（圖 1）。它還提供了一種特定于汽車(chē)的、基于風(fēng)險(xiǎn)的方法來(lái)確定風(fēng)險(xiǎn)等級(jí)（汽車(chē)安全完整性等級(jí)或 ASIL）。

　　IEC 60730 和 IEC 60335 - 安全標(biāo)準(zhǔn)

　　IEC/UL 60730 安全標(biāo)準(zhǔn)是針對(duì)交流電器的電氣、電子、機(jī)械、EMC 和其他功能的既定測(cè)試規(guī)范。該規(guī)范的附錄 H 闡明了與電器中使用的 MCU 硬件和軟件的安全操作最相關(guān)的安全方面。IEC 60335-1 的附錄 Q 中進(jìn)一步定義了軟件要求。這些安全標(biāo)準(zhǔn)需要證明符合標(biāo)準(zhǔn)并顯示系統(tǒng)穩(wěn)健性的認(rèn)證。為了簡(jiǎn)化合規(guī)性，OEM 要求組件可以被認(rèn)證為兼容或兼容 IEC 60730。專門(mén)針對(duì) MCU，60730 附件 H - 電子控制要求詳細(xì)說(shuō)明了測(cè)試和診斷方法。

　　60730 允許制造商采用三種方法之一來(lái)解決基于 MCU 的系統(tǒng)的安全問(wèn)題。

　　具有兩個(gè) MCU 的雙通道架構(gòu)，每個(gè) MCU 都以鎖步執(zhí)行相關(guān)任務(wù)，一個(gè)檢查另一個(gè)。

　　單通道架構(gòu)伴隨著制造點(diǎn)的功能測(cè)試（當(dāng)今最常用的選項(xiàng)）。這種方法的缺點(diǎn)是一旦設(shè)備出廠就無(wú)法解決問(wèn)題。

　　具有定期自檢架構(gòu)的單通道通過(guò)具有定期檢查電子控制關(guān)鍵功能的固件來(lái)解決運(yùn)行中的問(wèn)題

　　支持單通道自檢選項(xiàng)的微控制器可能以最低的成本提供最高級(jí)別的消費(fèi)者保護(hù)。一個(gè)好主意是在 MCU 上安裝兩個(gè)準(zhǔn)確的振蕩器——一個(gè)用于操作設(shè)備，另一個(gè)用于為執(zhí)行定期測(cè)試提供獨(dú)立的時(shí)基。

　　NXP、Fujitsu、Renesas、Microchip和Texas Instruments都提供用于 IEC/UL 60730/60335 實(shí)施的軟件庫(kù)。

　　60335 包括通過(guò)熔斷器進(jìn)行的防火 - 并與 60730 標(biāo)準(zhǔn)結(jié)合使用（Shurter有一份關(guān)于該主題的有用白皮書(shū)）。

　　EN ISO 13849 - 機(jī)械安全 - 控制系統(tǒng)的安全相關(guān)部件

　　EN ISO 13849 被稱為機(jī)械指令。該標(biāo)準(zhǔn)取代了 EN 954-1，這是機(jī)械制造商熟悉的標(biāo)準(zhǔn)，并且大多數(shù)人已經(jīng)符合該標(biāo)準(zhǔn)。954-1 是一個(gè)簡(jiǎn)單的標(biāo)準(zhǔn)，具有易于遵循的風(fēng)險(xiǎn)圖，可以為其機(jī)器建立安全類別。安全類別是在定性的基礎(chǔ)上制定的，因此過(guò)程也很快。新的 EN ISO 13849-1 遵循類似的過(guò)程，但用戶必須執(zhí)行一系列計(jì)算，包括診斷覆蓋率、平均危險(xiǎn)故障時(shí)間以及架構(gòu)和常見(jiàn)故障，以驗(yàn)證是否已達(dá)到性能水平。

　　與 EN 954-1 不同，13849-1 涉及越來(lái)越多地用于機(jī)械的可編程電子安全設(shè)備，并且針對(duì)給定安全功能的計(jì)算風(fēng)險(xiǎn)評(píng)估將產(chǎn)生性能等級(jí) （PL）。2009 年 12 月，從 EN 954-1 過(guò)渡到 EN ISO 13849-1 的最后期限延長(zhǎng)至 2011 年 12 月 31 日（在歐洲經(jīng)濟(jì)區(qū)），并且正在被許多美國(guó)制造商采用。

　　安全應(yīng)用感興趣的微控制器

　　NXP LPC17xx 系列，例如LPC1769和LPC1788使用 Cortex M3，具有 512 KB 閃存、64 或 96 KB RAM、CAN、以太網(wǎng)、I2C、IrDA、Microwire、USB OTG、D /A 轉(zhuǎn)換器和一個(gè) 8 通道 12 位 A/D 轉(zhuǎn)換器。工作范圍為 -40° ~ 85°C。

　　恩智浦將為這些和其他 Cortex M3 處理器提供 IEC60335 B 類認(rèn)證庫(kù)。使用此庫(kù)不會(huì)授予您的項(xiàng)目作為認(rèn)證應(yīng)用程序的狀態(tài)。仍然需要對(duì)完整的應(yīng)用軟件進(jìn)行認(rèn)證，但這無(wú)疑是一個(gè)很好的起點(diǎn)。

　　飛思卡爾 Kinetis K20 MCU，例如PK20N512VLQ100， 具有高速 USB 2.0 OTG 和設(shè)備充電檢測(cè)能力，并提供基本的安全項(xiàng)目。它們?yōu)榻徊骈_(kāi)關(guān)上的所有主設(shè)備提供內(nèi)存保護(hù)，以及驗(yàn)證內(nèi)存內(nèi)容和通信數(shù)據(jù)的硬件 CRC 引擎。獨(dú)立時(shí)鐘 COP 可防止故障安全應(yīng)用（例如家用電器的 IEC 60730 安全標(biāo)準(zhǔn)）的時(shí)鐘偏差或代碼失控。MCU 還具有外部看門(mén)狗監(jiān)視器以及安全存儲(chǔ)和篡改檢測(cè)。

　　Renesas V850 微控制器，例如V850ES/JG3， 支持啟動(dòng)交換機(jī)制，以確保即使在電源故障期間也能進(jìn)行故障安全固件更新。芯片看門(mén)狗定時(shí)器使用內(nèi)部專用振蕩器。此外，它是一個(gè)窗口式看門(mén)狗定時(shí)器，可以捕捉異常頻繁的看門(mén)狗復(fù)位。這些 IC 使用 2.85 至 3.6 V，運(yùn)行頻率高達(dá) 50 MHz，并具有 256 KB 的閃存和 64 KB 的 RAM。

　　該 MCU 的某些版本配備了帶比較器的冗余內(nèi)核、邏輯和存儲(chǔ)器的自診斷功能以及其他實(shí)現(xiàn)功能安全的有效功能。基于 Cortex M3 的 Fujitsu FM3 系列 MCU，例如MB9B500，提供功能安全特性。富士通提供廣泛的安全相關(guān)軟件例程庫(kù)，符合 IEC 安全標(biāo)準(zhǔn)。

　　富士通自檢庫(kù) （STL） 涵蓋 IEC 60730 和 IEC 60335 要求。B 類庫(kù)例程包括應(yīng)在系統(tǒng)啟動(dòng)時(shí)實(shí)施的操作前自檢 （POST） 測(cè)試，涵蓋 CPU、RAM/ROM 和 I/O 外圍設(shè)備等項(xiàng)目。他們還有 BIST 的代碼，應(yīng)該在產(chǎn)品運(yùn)行時(shí)定期運(yùn)行。

　　這些處理器基于 Cortex M3，具有 256 或 512 KB 的 60-MHz 閃存和 32 或 64 KB 的 RAM。它們還具有 CAN 和 USB 2.0 接口、一個(gè) 8 通道 DMA、一個(gè)正交計(jì)數(shù)器和多達(dá) 16 個(gè) 12 位 A/D 轉(zhuǎn)換通道。這些 IC 包括一個(gè)時(shí)鐘超級(jí)監(jiān)視器 （CSV）。CR 振蕩器產(chǎn)生的時(shí)鐘用于監(jiān)控外部時(shí)鐘的異常。如果檢測(cè)到外部時(shí)鐘故障，則置位復(fù)位，但如果檢測(cè)到頻率異常，則置位中斷或復(fù)位。它們還具有低壓檢測(cè)器 （LVD），可對(duì) VCC 上的電壓進(jìn)行兩級(jí)監(jiān)控，并通過(guò)中斷和自動(dòng)復(fù)位操作報(bào)告錯(cuò)誤。

　　概括

　　本文總結(jié)了五項(xiàng)基本安全標(biāo)準(zhǔn)和微控制器樣本，這些微控制器配備了對(duì)設(shè)計(jì)安全關(guān)鍵應(yīng)用的工程師來(lái)說(shuō)很重要的特性。