Toshiba Neues Sicherheitskonzept für Mikrocontroller

Toshiba Electronics Europe (TEE) bietet einen Mikrocontroller an, der nach Safety Integrity Level 3 (SIL3) und Automotive SIL D (ASILD) zertifiziert werden kann und dabei Systemkosten und Performance-Overheads reduzieren soll.

Anbieter zum Thema

ISH Ingenieursozietät GmbH

congatec GmbH

Apacer Technology B.V.

Toshiba Electronics Europe GmbH

Toshibas SIL3/ASILD-Implementierung biete im Gegensatz zu herkömmlichen Methoden eine kosteneffizientere Lösung, da ein kleinerer Chip und weniger Programmieraufwand erforderlich seien und eine höhere Leistungsfähigkeit als bei Dual-Core-Lock-Step-Methoden erzielt werden könne, teilte das Unternehmen mit.

Mit der Hardware-Architektur lässt sich der Aufwand für Sicherheitsmechanismen und auch die Latenzzeit bei der Erkennung von Ausfällen senken. Detaillierte Diagnose-Informationen und die Möglichkeit, Reaktionen nach der Schwere des Fehlers zu konfigurieren, erlauben neue Konzepte für eine höhere Systemverfügbarkeit.

TEE arbeitete dabei mit Yogitech zusammen, einem Unternehmen, das sich auf funktionale Sicherheit spezialisiert hat. Dabei kamen Yogitechs fRMethodology und deren IP (fRIPs) zum Einsatz. Die vom TÜV SÜD zertifizierte fRMethodology ist ein „White-Box“-Ansatz und dient zur Analyse der funktionalen Sicherheit und sicherheitsorientierten Untersuchung der Toshiba-MCU nach IEC 61508 oder ISO 26262.

Hardware-Supervisor für MCU-Untergruppen

Die MCU wurde in sensitive Bereiche aufgeteilt; Fehlerraten wurden berechnet und zur Erstellung von Sicherheitskriterien (z.B. zur Berechnung der Diagnoseabdeckung) und zur Wahl der Chiparchitektur verwendet. Eine detaillierte Validierung wurde mittels einer Fehlerinjizierung durchgeführt. Die vom TÜV SÜD zertifizierten fRIPs sind kleine Hardware-Supervisor, die sich je nach zu überwachender MCU-Untergruppe (z.B. CPU, Speicher) unterscheiden. Andere Peripheriefunktionen auf dem Chip werden durch Toshibas eigene Hardwarediagnose-Schaltkreise überwacht.

Systemkomponenten für funktionale Sicherheit nutzen meist duplizierte CPU-Cores (homogene Redundanz): die Applikationssoftware läuft auf dem „Mission“-Core, und ein identischer „Monitor“-Core überwacht das System gegen gefährliche Fehler im Mission-Core. Ein herkömmlicher Dual-Core-Lock-Step-SIL3/ASILD-Ansatz fügt weitere Sicherheitsmaßnahmen hinzu, wie z.B. einen Schutzring, getrennte Spannungsversorgung, Synthese- und Timing-Vielfalt, was die Chip- und Programmgröße wesentlich erhöhen und die Systemleistungsfähigkeit beeinträchtigen kann. Hinzu kommt, dass die homogene Redundanz auch anfällig gegen systematische Fehler ist.

(ID:333458)