Anbieter zum Thema

NXP Semiconductors

MicroConsult Academy GmbH

MES Electronic Connect GmbH & Co. KG

ISH Ingenieursozietät GmbH

ECC-Logik korrigiert Single-Bit- und erkennt Dual-Bit-Errors

Die in der MC564xL-Familie realisierte ECC-Logik kann alle Single-Bit-Errors korrigieren sowie alle Dual-Bit-Errors erkennen - und zum Teil auch andere Fehler, die mehr als zwei Bits betreffen. Die ECC-Prüfung beeinträchtigt den Leistungsdurchsatz des Bausteins in keinster Weise.

Insbesondere für SRAMs werden die Adressdaten in die ECC-Berechnung und -Auswertung mit einbezogen. So können potenzielle Adressierungsfehler in RAM-Arrays erkannt werden. Fehler in zwei oder mehr Bits werden an die Fault Collection and Control Unit übergeben.

MCU-Konzept mit einer einzigen 3,3-V-Versorgung

Funktionen zur Spannungsüberwachung sind ein wichtiger Aspekt bei der Entwicklung und Realisierung sicherheitskritischer Systeme. Um die Entwicklung der Spannungsversorgung für die ECU so weit wie möglich zu vereinfachen und zusätzliche, durch ein Power-Sequenzing bedingte Fehlerursachen zu vermeiden, basiert die MPC564xL-Familie auf einem Konzept mit nur einer einzigen 3,3-V-Versorgung.

PMU koordiniert die Betriebsspannungen für alle Module

Eine Power Management Unit (PMU) koordiniert die Betriebsspannungen für alle Module auf dem Baustein und kann selbständig Über- und Unterspannungen erkennen. Die Fehlersignale dieser Überwachungsschaltungen werden an die Fault Collection Unit bzw. die Reset Generation Unit übergeben.

Über- und Unterspannungserkennung mit Selbsttest

Die Elektronik zur Spannungsüberwachung im MPC564xL lässt sich testen. Die Über-/Unterspannungserkennung für die intern generierte Spannung des Rechenkerns ist mit einem hardwaregestützten Selbsttest ausgestattet. Der Test muss während des Bootvorgangs per Software initiiert werden. Die Spannungsüberwachung im Betrieb geschieht im Hintergrund ohne weitere Softwareinteraktion.

ISO26262 schreibt die Überwachung der Taktsignale vor

Für Systeme, die nach ISO26262 zertifiziert werden sollen, ist eine Überwachung der Taktsignale vorgeschrieben. Die MPC564xL-Familie verfügt über eine eigene Clock Monitoring Unit (CMU), mit deren Hilfe die Integrität der Taktquelle überwacht wird.

Für die Schlüsselelemente des Mikrocontrollers wie die Replikationsumgebung, Peripheriefunktionen für Motorsteuerungen und Kommunikationsblöcke wie das FlexRay-Modul kommen eigene Taktüberwachungsschaltungen zum Einsatz.

Taktfehler werden der Fault Collection Unit signalisiert. Um die unabhängige Funktion der Fault Collection Unit im Falle fehlerhafter anderer Taktquellen sicherzustellen, kann das Modul mit einem separaten internen16 MHz RC-Taktgenerator betrieben werden.

Integrierter Selbsttest auf Hardware-Basis

Die MPC 564xL-Bausteinarchitektur verfügt über diverse BIST-Funktionen (Built-in Self Test) und setzt dafür auf Hardwarelösungen anstatt von Selbsttests in Software. So wird beispielsweise bei jeder Bootsequenz ein automatischer Baustein-BIST ausgeführt. Der Test wird abgeschlossen, während sich der Mikrocontroller noch in der RESET-Phase befindet. Daher werden weder der Bootvorgang der Applikation noch die Startup-Software in irgendeiner Weise beeinträchtigt. Die Applikationssoftware startet nur dann, wenn dieser erste Selbsttest ohne Fehler durchlaufen wird.

Fehlererfassung und Fehlermanagement

Die Fault Collection Unit ist ein zentrales Element der auf funktionale Sicherheit abgestimmten Architektur des MPC564xL. Dieses Hardware-Modul soll in sicherheitskritischen Applikationen das Fehler-Reporting und Fehlermanagement auf Controllerebene deutlich vereinfachen. Es verfügt über einen redundanten Hardwarekanal, der einen kontrollierten Übergang des Bausteins in einen sicheren Zustand gewährleistet, wenn ein kritischer Fehler auftritt. Diese Operation kommt ohne Intervention der CPU aus.

Die Fault Collection Unit kann interne Fehlersignale des Controllers verarbeiten, und der Anwender kann die Entscheidung treffen, wie unterschiedliche Fehlersignale behandelt werden sollen.

Selbsttestverfahren überprüft beim Start die FCU-Logik

Die Logik der Fault Collection Unit wird beim Start, unmittelbar nachdem die Einheit in einer Basiskonfiguration aktiv wird, mit Hilfe eines Selbsttestverfahrens überprüft. Für die externe Signalisierung von Fehlern stellt die FCU zwei bidirektionale Signale zur Verfügung. Um die Unabhängigkeit der FCU bei einer Fehlfunktion anderer Controllermodule oder des eigentlichen Rechenkerns zu gewährleisten, wird das Modul mit einem separaten internen RC-Takt von 16 MHz betrieben. Auf diese Weise wird eine deterministische Berechnung der Ausgangssignale und Timeouts gewährleistet

Der Kostendruck steigt ständig

Insbesondere bei automobilen Chassis- und Sicherheitskonzepten kommen immer mehr und immer komplexere sicherheitsrelevante Applikationsfunktionen zur Anwendung, der Kostendruck in der Entwicklung wächst, und die Marktfenster werden immer kürzer. Mikrocontrollerfunktionen, die dem Entwickler helfen, sich auf die eigentliche Applikation zu konzentrieren und Probleme wie die Entwicklung und Zertifizierung von Sicherheitskonzepten zu entschärfen, bieten für die Architekten von elektronischen Steuergeräten einen deutlichen Mehrwert.

Freescale hat seine MPC564xL-Familie mit einem Funktionsumfang ausgestattet, der diesen Marktanforderungen Rechnung trägt. Mit dem revolutionären Dual-Core-Konzept verfügt der Entwickler über ein Maximum an Flexibilität, was die Wahl der Sicherheitsarchitektur für sein System angeht. Darüber hinaus erlaubt die Controller-Familie eine optimale Balance zwischen Rechenleistung und Sicherheitsanforderungen.

* * Marc Osajda ist Global Automotive Marketing Manager bei Freescale Semiconductor in München.

(ID:26284190)