如何避免系統(tǒng)失效 - 符合安全設(shè)計規(guī)范的系統(tǒng)開發(fā)大全

　　避免系統(tǒng)失效

　　除了上文提到的情況，另一項當(dāng)務(wù)之急是盡可能避免系統(tǒng)失效，這取決于要求的SIL，而SIL會因為措施的數(shù)量和使用程度發(fā)生變化。產(chǎn)品生命周期中的每個階段針對系統(tǒng)失效都有不同的要求。規(guī)范概述了以下設(shè)計流程：實現(xiàn)、驗證和確認(rèn)。針對結(jié)構(gòu)完善的設(shè)計來說，推薦采用V模式（V-Model）。針對于軟件設(shè)計和FPGA編程，該標(biāo)準(zhǔn)具體說明了其設(shè)計階段和驗證階段。

　　圖2：IEC61608-2:2010規(guī)范中針對FPGA設(shè)計的V模式

　　綜上所述，功能安全管理技術(shù)方面的措施對于避免系統(tǒng)失效來說是至關(guān)重要的。安全管理包括在研發(fā)開始之前為所有的設(shè)計和驗證步驟制定詳細(xì)的計劃。由此可見，安全管理人員必須要有一個定義明確的項目計劃。

　　文檔管理

　　作為安全項目的一部分，必須完善制定文檔管理方面的規(guī)范。文檔管理描述了如何處理、儲存、發(fā)布和修改文檔，以及文檔的訪問權(quán)限和每個團(tuán)隊成員的受限情況。版本控制應(yīng)當(dāng)作為自動化流程由工具實現(xiàn)。

　　需求管理

　　管理所有的需求是安全項目中非常必要的一部分。每項安全需求在整個安全項目中都應(yīng)當(dāng)是可追蹤的。安全項目的最終目標(biāo)是確保所有的需求都能夠被正確地實現(xiàn)。相關(guān)測試可用來確認(rèn)特定的需求能否降低風(fēng)險。就此而論，必須根據(jù)精確的數(shù)據(jù)、完整性和一致性來組織整理要求。從架構(gòu)到實現(xiàn)的模塊，模塊測試到整合，再到系統(tǒng)測試的整個過程中，安全項目必須要能顯示需求產(chǎn)生于哪個部分。

　　組織和責(zé)任

　　分工明確并且結(jié)構(gòu)完善的團(tuán)隊對于確保高效無縫地完成所有任務(wù)來說是至關(guān)重要的。團(tuán)隊結(jié)構(gòu)和小組領(lǐng)導(dǎo)應(yīng)當(dāng)按照層次順序設(shè)定。所有的聯(lián)系信息都應(yīng)當(dāng)是可用的，特別是對于分散的團(tuán)隊來說，必須為團(tuán)隊成員制定通訊和協(xié)作的方式。這對于審核人員、開發(fā)人員和測試人員能否各司其職具有重要意義。

　　措施的定義

　　根據(jù)要求的SIL，該標(biāo)準(zhǔn)提供了一系列適用于每個生命周期的表格，包含推薦或強(qiáng)烈推薦的措施，可作為默認(rèn)的失效避免工具使用。在研發(fā)開始之前，應(yīng)當(dāng)選擇所有涉及到設(shè)計和驗證方法的技術(shù)。IEC 61508規(guī)范的第2和第3部分列出了所有技術(shù)。第2部分涵蓋了所有硬件領(lǐng)域以及所有ASIC或FPGA領(lǐng)域。第3部分涵蓋了所有軟件領(lǐng)域。FPGA編程被囊括進(jìn)IEC61508標(biāo)準(zhǔn)的第2部分中，這有點讓人費解，不過這不是技術(shù)問題，更多的是標(biāo)準(zhǔn)化組織的原因。不過這個不要緊，因為開發(fā)FPGA軟件的方法與開發(fā)微控制器軟件的方法相似。不同點在于技術(shù)。舉個例子，仿真技術(shù)在FPGA設(shè)計過程中更加常用，而微控制器則更需要帶有調(diào)試工具的硬件。

　　表3：F.2 IEC61508-2表2摘要

　　表3展示了降低FPGA設(shè)計中系統(tǒng)失效的技術(shù)列表的摘要。對于一般硬件和軟件設(shè)計，也有適用的類似表格。使用這些表格的原則是始終如一的。標(biāo)注為“HR”的措施必須得以施行。如果不這么做，那么相關(guān)決策是不合理的。標(biāo)注為“R”的措施應(yīng)當(dāng)在條件允許的情況下使用。