Anbieter zum Thema

NXP Semiconductors

MicroConsult Academy GmbH

MES Electronic Connect GmbH & Co. KG

ISH Ingenieursozietät GmbH

Grundlagen des funktionalen Sicherheitskonzepts

Diese Ausfallszenarien bedeuten für die Entwicklung elektronischer Steuergeräte eine immense Herausforderung, und sind daher auch für komplexe Komponenten wie Mikrocontroller besonders relevant.

Neue Industrienormen definieren Gefährdungspotenzial

Daher definieren neue Industrienormen wie die im Entstehen begriffene ISO26262 vier ASIL-Ebenen (Automotive Safety Integrity Level), die jeweils einem bestimmten Gefährdungspotenzial für eine sicherheitsrelevante Funktion entsprechen.

Erfahrung mit Controllern für sicherheitskritische Applikationen

Freescale kann ein mehr als zehnjähriges Entwicklungs-Knowhow bei Dual-Core Controller-Technologien für sicherheitskritische Applikationen vorweisen. Um das Ziel eines ganzheitlichen Sicherheitskonzepts für die neuesten Dual-Core-Prozessorfamilien in die Tat umzusetzen, hat das Unternehmen externe Experten für funktionale Sicherheit engagiert, um die Implementierung des Konzepts wie auch die Designverfahren zu überwachen und zu prüfen. Auf dieser Basis wurde die MPC564xL-Familie entwickelt. Dabei wurden folgende Schwerpunkte gesetzt:

• Maßnahmen gegen Single Point Faults,

• Maßnahmen gegen latente Fehler,

• Maßnahmen gegen Common Cause Failures.

Maßnahmen gegen Single Point Faults

Single Point Faults können sich als unmittelbar kritisch für die Sicherheitsfunktionen eines Systems erweisen und müssen daher normalerweise sehr schnell erkannt werden. Typische Beispiele für solche Fehler sind durch externe Einflüsse wie Strahlung oder elektromagnetische Störungen verursachte Bit-Flips im Rechenkern oder Speicher. Die Mindestanforderung besteht darin, solche Fehler innerhalb der für das System vorgegebenen sicherheitsrelevanten Zeit zu erkennen, die in Automobilanwendungen üblicherweise zwischen 1 und 30 ms beträgt.

Betrieb wichtiger MCU-Elemente im Lockstep-Modus

Als eine der wichtigsten Maßnahmen gegen Single Point Faults kommt für die MPC564xL-Familie erstmals eine spezielle Replikationsumgebung zum Einsatz, die die nötige Infrastruktur für den Betrieb wichtiger Mikrocontrollerelemente im Lockstep-Modus bereitstellt.

Maßnahmen gegen latente Fehler

Latente Fehler sind nicht sofort sichtbar. Solche Fehler kompromittieren die Sicherheitsfunktionen des Systems nicht sofort. Als Beispiel kann ein Fehler in der ECC-Logik für die Erkennung/Korrektur von Speicherfehlern genannt werden. Die Situation würde nur dann kritisch werden, wenn ein Bit-Flip im Speicher (z.B. in einem Flash-Modul) auftritt und in der Folge nicht mehr erkannt/korrigiert werden kann.

Hardware-Selbsttests erkennen latente Fehler

Die Architektur des MPC564xL-Controllers verfügt über Hardware-Selbsttest-Mechanismen (BIST) für die Erkennung dieser Fehlerkategorie. In diesen Tests werden die Logikelemente des Mikrocontrollers mit einer Abdeckung von 90% oder größer beansprucht. Daher können potenzielle latente Fehler auch dann erkannt werden, wenn die eigentliche Applikation nicht alle Hardware-Blöcke anspricht.

Maßnahmen gegen Common Cause Failures

„Common Cause Failures“ (CCF) können aus der Tatsache resultieren, dass redundante Elemente der MPC564xL-Architektur letztlich auf dem gleichen Chip untergebracht sind. Typische Beispiele sind Probleme mit dem Systemtakt oder der Spannungsversorgung, die auf dem Chip integrierte Blöcke in gleicher Weise beeinflussen und so möglicherweise identische Fehler bedingen können. Daher würden im Lockstep-Modus, wo beide Kanäle der Redundanzumgebung die gleiche Software abarbeiten, solche Fehler unentdeckt bleiben.

Die Replikationsumgebung im Lockstep-Modus

Die MPC564xL-Familie verfügt über Hardwareblöcke für die Erkennung von Taktabweichungen sowie eine in Hardware realisierte Überwachung der wichtigsten Spannungen, z.B. am Rechenkern, am Flashspeicher usw. Die Replikationsumgebung (Sphere of Replication) ist der Logikteil der MPC564xL-Bausteinarchitektur, der für einen Betrieb im Lockstep-Modus konfiguriert werden kann.

Lockstep-Operationen können mithilfe von RCUs verglichen werden

Lockstep-Modus bedeutet, dass dieser Teil des Controllers die gleichen Operationen gleichzeitig und parallel ausführt. Die Ergebnisse der Lockstep-Operationen können mit Hilfe so genannter Redundancy Checking Units (RCUs) miteinander verglichen werden. Diese Elemente werten aus, ob ein Fehler vorgelegen hat. Im Falle eines Fehlers wird ein Fehlersignal an einen separaten Hardwareblock, die so genannte Fault Collection and Control Unit ausgegeben.

Weitere Hardwareblöcke in der Replikationsumgebung

Früher kam das Prinzip der Replikation und des Lockstep-Modus vorwiegend für die Rechenkerne zum Einsatz. Dadurch konnte eine außergewöhnlich rasche Reaktion auf Fehler im Rechenkern sichergestellt werden - typisch innerhalb weniger Taktzyklen. Die MPC564xL-Familie geht noch einen Schritt weiter, indem für die Replikationsumgebung weitere wichtige Hardwareblöcke hinzugefügt wurden.

Im Einzelnen handelt es sich um die folgenden Schlüsselelemente:

• Crossbar mit Memory Protection Units,

• Interrupt Controller,

• DMA-Unit,

• Software Watchdog-Timer.

(ID:26284190)