利用PRO-SIL高效实现汽车及工业系统的功能安全设计

SafeTcore测试软件库

SafeTcore套件为同时达成如下两个目标提供了相应的工具：其一，通过SIL一级至三级(或ASIL B级至D级)认证；其二，满足苛刻的上市时间要求。通过认证的最大挑战是在芯片级实现所要求的测试，并编写相应的文档备份安全测试例程。SafeTcore套件借助一个面向TriCore系列产品的高度可配置的驱动程序库，加上全套安全手册、安全测试例程以及需求/跟踪数据库，能够让设计人员达成上述目标。运行在PCP上的功能强大的SafeTcore自检程序，可以在系统启动时执行，也可以在系统运行期间定期执行(图5)，从而确保用户软件和TriCore CPU自身的正常运行。


图5：SafeTcore启动和关闭测试。

内核测试功能与全面的外设测试以及安全监测芯片自动支持功能相辅相成。SafeTcore测试软件库中的系列软件测试程序，还具备操作系统监测功能，可执行复杂任务和进程监控任务，以超过99%的诊断覆盖率，确保程序代码安全执行。SafeTcore套件还包括一本可让设计人员将不同的软件库元素与用户软件相结合的安全手册，以及安全完整性认证证书。

安全监测芯片

CIC61508可被集成于不同的功能安全相关应用。该芯片负责监控主单片机(例如TriCore芯片)，提供相关功能，检测可导致单片机运算错误的时钟、电源和温度等常见故障模式。由于采用占板空间较小的TSSOP-38封装，CIC61508成为一种支持安全应用的既经济又节省板卡空间的安全监测芯片。

在采用TriCore单片机的安全相关系统中，TriCore CPU负责运行SafeTcore测试软件，对内核和外设进行测试，而PCP负责监控TriCore主核的运行。外置CIC61508安全监测芯片同时监控TriCore CPU和PCP，以查明常见故障原因。由于PCP已经实现了不同的自检功能，因此TriCore/CIC61508组合仅仅需要CIC61508所提供的功能的一部分。

CIC61508所提供的测试功能，存放在内部ROM中，包括一个内部操作代码测试排程器/定序器，它可生成带有特定数据的测试请求序列，根据用户定义的表格检查应答。CIC61508还具备同时检测最多4个电源域的欠压和过压故障的能力，同时监控最多8个并行数据比较和验证函数的能力。它还配备了一个操作系统任务监视器，可检查所有安全关键任务的预定调度序列和执行预算。

应用实例

PRO-SIL SafeTCore是一个完善的解决方案，包括经过优化的TriCore和XC2300单片机、安全测试软件库、服务和相关文档，并为目标系统通过功能安全认证铺平了道路。该安全概念基于TriCore非对称双核架构，配备一个外置安全监测芯片。硬件功能与诊断软件库结合在一起，这样系统集成设计人员就可轻松地进行各种常规的系统测试。该产品系列支持符合IEC 61508标准的安全完整性高达SIL3的相关安全系统设计。PRO-SIL安全解决方案已得到业界的肯定，Hitex公司所提供的SafeTkit被授予“2011年嵌入式大奖”；此方案同时也得到很多全球重要工业用户的良好评价，如Parker Hannifin公司就采用极具创新的PRO-SIL SafeTCore套件设计出自己的最新安全产品。


图6: IQAN-MC3：Parker Hannifin利用PRO-SIL快速可靠地开发出创新型可编程液压控制器IQAN-MC3。

可靠的移动设备安全控制器设计

Parker Hannifin公司采用英飞凌的PRO-SIL开发了一种创新型可编程液压控制器。设备制造商(OEM)和系统集成商可利用该控制器开发非公路移动设备。这个设计基于TC1197，以下这些数据可以很好地说明开发人员设计IQAN-MC3时所面临的挑战：687条设计要求、674行FMEDA故障分析程序、2800个软件和超过500个硬件测试。依托PRO-SIL概念，开发人员得以快速可靠地完成了这一复杂的设计。

全新推出的IQAN-MC3可在一个模块中同时控制移动设备的安全和操作功能，这样不仅可以大大减少系统的设计时间和成本，而且可以提升设备的性能、安全性和生产率。新型控制器的推出，迎合了非公路移动设备制造商对于用于安全系统的生产和开发、具备改进性能并且符合全球公认的功能安全标准(例如EN ISO 13849-1(机械指令))的组件和软件不断增长的需求。为此，Parker Hannifin利用PRO-SIL产品设计出符合IEC 61508标准的IQAN-MC3，使有效达到符合SIL 2标准的各类安全功能的操作和性能级别成为可能。该控制器还是符合EN ISO 13849-1标准的PLD子系统的组件之一。

SafeTkit——蓄势待发

英飞凌携手Hitex推出了一个综合性服务套件。SafeTkit是一个板级解决方案，包括TriCore单片机、CIC61508 和所有相关软件和文档。这个完善的安全解决方案最大限度简化了符合IEC 61508标准的应用设计，同时可节省设计资源，缩短客户的产品开发周期。


图7: SafeTkit：32位SafeTkit是满足ASIL D级/SIL三级安全设计要求的平台的核心，它易于配置和使用。它基于一个配备安全监测芯片CIC61508和SafeTcore测试软件库的TriCore评估板。

SafeTkit基于一个配备安全监测芯片CIC61508的TriCore评估板。除SafeTcore测试软件库外，SafeTkit还包含一个完整的工具链，其中有免费提供的通用TriCore编译器、安全示范应用和测试平台。该安全套件还提供一整套文档，包含安全手册和快速入门指南等。它提供所有主要的安全特性，这些特性可以进行配置，以评估它们对于系统行为的影响，了解底层的概念。目前，英飞凌已针对TC1767、TC1782、TC1797和TC1387处理器推出用于安全认证的SafeTcore测试软件库和文档。公司还将在不久以后推出面向其他TriCore和XC2300型号的测试软件库和文档。此外，Hitex可针对SafeTkit提供全面的设计支持，以及相关的培训和咨询服务。