01

瑞薩功能安全I(xiàn)EC61508解決方案介紹（1）

在介紹瑞薩電子功能安全解決方案之前，我們來看一下IEC61508功能安全系統(tǒng)是如何根據(jù)IEC61508標(biāo)準(zhǔn)進(jìn)行概念設(shè)計、詳細(xì)開發(fā)和認(rèn)證的。在研究安全系統(tǒng)開發(fā)時，從開發(fā)開始到認(rèn)證還有很長的路要走。根據(jù)我們的經(jīng)驗，有些客戶從引進(jìn)階段到認(rèn)證階段花了3年時間才完成整個過程。所以，如何將符合功能安全系統(tǒng)的產(chǎn)品加快上市時間，縮短整個上市、研發(fā)過程將是系統(tǒng)開發(fā)人員的關(guān)鍵課題之一。

IEC61508認(rèn)證流程圖

然而，除了這個漫長的過程之外，客戶還面臨著其他更多意想不到的問題。與非安全系統(tǒng)相比，功能安全系統(tǒng)不僅需要認(rèn)證和安全電路組件的成本，而且還顯著增加了產(chǎn)品開發(fā)時間。如開發(fā)時間成本：安全功能標(biāo)準(zhǔn)的理解、對自檢方法驗證的理解、認(rèn)證文檔的編寫等。認(rèn)證成本：跟認(rèn)證機(jī)構(gòu)的協(xié)商、討論；安全軟件/硬件的審查檢驗；開發(fā)過程的審查檢驗。安全電路的物料成本：如冗余雙MCU架構(gòu)。

功能安全系統(tǒng)開發(fā)中存在的問題

瑞薩功能安全解決方案解決了這些問題。接下來我來給大家介紹一下我們?nèi)鹚_的功能安全解決方案。瑞薩提出將硬件，如我們的MCU和我們的MCU的認(rèn)證軟件相結(jié)合。瑞薩提出了雙MCU架構(gòu)。

這對由MCU控制的安全系統(tǒng)有如下的好處：

簡單的安全驗證，因為安全模塊的硬件和客戶的非安全系統(tǒng)可以單獨控制或隔離。優(yōu)化或降低診斷頻率，因為冗余系統(tǒng)的診斷可以在8～24小時內(nèi)完成。

提高了系統(tǒng)性能，如左側(cè)的單個MCU配置將無法達(dá)到SIL3，并且HFT（HFT是硬件故障容錯，指部件或子系統(tǒng)在出現(xiàn)一個或幾個硬件故障的情況下，功能單元繼續(xù)執(zhí)行所要求的安全功能的能力）=0，這不適用于工業(yè)自動化系統(tǒng)。

如果是右邊的雙核單芯片，從硬件角度是可以的，但是如果沒有必要的功能安全軟件支持，認(rèn)證機(jī)構(gòu)也不接受此系統(tǒng)是冗余的，也就是無法通過認(rèn)證標(biāo)準(zhǔn)。

瑞薩的功能安全解決方案基于之前提出的雙MCU架構(gòu)的硬件平臺相結(jié)合，瑞薩提供經(jīng)認(rèn)證的安全軟件、文檔、參考板和經(jīng)認(rèn)證的編譯器，以支持縮短和簡化安全系統(tǒng)開發(fā)。有了瑞薩認(rèn)證的軟件和硬件，系統(tǒng)開發(fā)人員或客戶可以縮短MCU的認(rèn)證過程，并專注于客戶的應(yīng)用領(lǐng)域。根據(jù)我們的經(jīng)驗，一些客戶成功地將其安全系統(tǒng)開發(fā)時間縮短到了過去的三分之一?？蛻糁恍枰袘?yīng)用層的開發(fā)即可，減少整個研發(fā)時間成本。

下圖是瑞薩針對RA，RX MCU，RZ MPU的功能安全解決方案圖。中間的框圖是電機(jī)控制安全系統(tǒng)的系統(tǒng)示例，您可以從這個應(yīng)用案例，看到我們的解決方案涵蓋了各個方面。

1、自檢軟件包：是包括診斷軟件在內(nèi)的基本軟件包，用于實現(xiàn)對片上CPU、ROM和RAM的測試。

2、SIL 3系統(tǒng)軟件包：該軟件包包括功能安全平臺軟件，該軟件使用雙MCU實現(xiàn)、開發(fā)冗具有余功能的安全系統(tǒng)，包括MCU診斷、調(diào)度、分區(qū)功能等。

3&4、FSOE&Profisafe應(yīng)用軟件套件：是與功能安全平臺軟件一起使用的安全網(wǎng)絡(luò)堆棧包，客戶可以根據(jù)其所需的網(wǎng)絡(luò)通訊協(xié)議，來選擇這些軟件包。

5、參考文件是一套文件，為功能安全系統(tǒng)的認(rèn)證文件和設(shè)計提示提供了指南。該參考文件包特別適用于新開發(fā)IEC61508安全系統(tǒng)的用戶。

6、參考板硬件：這是一個具有冗余架構(gòu)的評估板。

7、編譯器認(rèn)證套件：該套件包括瑞薩自己的CC-RX編譯器（只針對RX MCU）或者支持認(rèn)證的編譯器IAR的使用手冊和功能安全證書。