使用FPGA量身定制的安全性

當(dāng)系統(tǒng)正常運(yùn)行時(shí)間具有最高優(yōu)先級(jí)時(shí)，FPGA 被證明是極其可靠和通用的嵌入式組件。

安全關(guān)鍵系統(tǒng)不能失敗，因?yàn)槿绻。蠊赡苁侵旅?。許多悲慘的事故說明了這一點(diǎn)，例如 2008 年在加利福尼亞州查茨沃斯發(fā)生的災(zāi)難性火車相撞事故，當(dāng)時(shí)兩輛迎面而來的火車在單軌鐵路段上迎頭相撞。最近的事件之一是亞利桑那州一輛自動(dòng)駕駛優(yōu)步汽車造成的致命事故。在這種情況下，技術(shù)故障意味著車輛在與行人相撞之前沒有停下來。

Therac-25 放射裝置于 1980 年代在美國和加拿大的幾家診所使用，是安全關(guān)鍵醫(yī)療系統(tǒng)出現(xiàn)故障時(shí)可能發(fā)生的情況的一個(gè)例子。該設(shè)備有一個(gè)軟件引起的故障，導(dǎo)致幾名患者受到極端甚至有時(shí)是致命的過量照射。即使是“日常”安全系統(tǒng)，例如工業(yè)電力和加工廠中的交通信號(hào)燈或控制系統(tǒng)，如果控制電子設(shè)備出現(xiàn)缺陷，也會(huì)造成巨大的損害。

對(duì)電子元件的高要求

為了保護(hù)人類生命并避免環(huán)境災(zāi)難，必須不惜一切代價(jià)避免安全關(guān)鍵系統(tǒng)故障。因此，對(duì)所有使用的組件的要求特別高。根據(jù)應(yīng)用的不同，此類系統(tǒng)還必須在惡劣的環(huán)境中工作，在某些情況下設(shè)計(jì)為冗余，并始終在定義的（確定的）時(shí)間段內(nèi)做出響應(yīng)，以確保對(duì)危險(xiǎn)事件做出可靠的反應(yīng)。為此，必須監(jiān)控安全關(guān)鍵系統(tǒng)的功能，以便它始終對(duì)偏差測量、不一致的數(shù)據(jù)或其他負(fù)面影響做出適當(dāng)?shù)姆磻?yīng)。如果最壞的情況發(fā)生，安全關(guān)鍵組件還必須確保系統(tǒng)始終在安全方面發(fā)生故障。

然而，作為一項(xiàng)規(guī)則，市場上的大多數(shù)分立元件不支持所需的監(jiān)控功能，但它們通常至關(guān)重要——例如，為了符合電子系統(tǒng)的某些安全標(biāo)準(zhǔn)。即使提供支持，長期項(xiàng)目也面臨著長期可用性的挑戰(zhàn)，以避免高額的改造后續(xù)成本。例如，這適用于鐵路部門的安全解決方案，其中組件經(jīng)常使用數(shù)十年。

該硬件問題的一種解決方案是在軟件中映射安全關(guān)鍵功能。這種方法解決了過時(shí)問題，因?yàn)檐浖梢韵鄬?duì)容易地遷移到新硬件。然而，它并不是萬能的靈丹妙藥。一方面，確定大量源代碼的安全性非常復(fù)雜。確保確定性行為也不是一件容易的事，因?yàn)檫@需要對(duì)整體硬件/軟件解決方案的實(shí)時(shí)能力進(jìn)行全面測試。由于所有這些原因，安全關(guān)鍵系統(tǒng)的開發(fā)人員越來越多地轉(zhuǎn)向現(xiàn)場可編程門陣列 （FPGA）。

FPGA 和功能安全

由于其功能設(shè)計(jì)，F(xiàn)PGA 非常適合安全關(guān)鍵要求。它們提供所有必要的功能，在安全關(guān)鍵型工業(yè)系統(tǒng)中作為電子元件發(fā)揮著特別重要的作用。例如，利用 FPGA，即使符合相關(guān)的安全標(biāo)準(zhǔn)，也可以根據(jù)具體的行業(yè)特定要求定制安全功能。一個(gè)決定性的優(yōu)勢在于 FPGA 的靈活結(jié)構(gòu)；由多個(gè)功能單元或 IP 構(gòu)建塊組成，可以組合以滿足給定的要求，無需每次都從頭開始開發(fā)解決方案。例如，此類 IP 構(gòu)建塊用于 MEN Mikro Elektronik K 卡（K1、K2 和 K7），以通過更多 K 卡有效擴(kuò)展 menTCS 系列。

如果 FPGA 是較大單元（處理器板或帶有計(jì)算機(jī)或擴(kuò)展模塊的載板）的一部分，則在 FPGA 內(nèi)進(jìn)行功能修改以滿足特定應(yīng)用需求或所需安全級(jí)別相對(duì)容易，而無需重新設(shè)計(jì)整個(gè)電路板。這種靈活性意味著單一的硬件解決方案可以適應(yīng)廣泛的應(yīng)用。

通過設(shè)計(jì)實(shí)現(xiàn)功能安全

此外，F(xiàn)PGA 還可以在開發(fā)安全關(guān)鍵系統(tǒng)期間節(jié)省成本和時(shí)間。使用可用工具，系統(tǒng)板開發(fā)人員可以輕松測試 FPGA 的錯(cuò)誤行為。例如，可以在 FPGA 開發(fā)環(huán)境中模擬更復(fù)雜的錯(cuò)誤，然后修改系統(tǒng)，使其在發(fā)生錯(cuò)誤時(shí)顯示所需的行為。除了模擬錯(cuò)誤行為之外，開發(fā)工具當(dāng)然也可以用來證明 FPGA 設(shè)計(jì)的功能是否正確。為此，電路板供應(yīng)商可以為 OEM 提供在其各個(gè)行業(yè)進(jìn)行認(rèn)證所需的參考材料和文檔，從而使 OEM 更容易實(shí)施和認(rèn)證他們的解決方案。

監(jiān)控功能和擴(kuò)展溫度范圍

FPGA 的另一個(gè)優(yōu)勢是電路板制造商可以根據(jù)給定的要求集成對(duì)安全關(guān)鍵系統(tǒng)至關(guān)重要的控制和監(jiān)視功能。雖然溫度測量或組件監(jiān)控功能是各種安全關(guān)鍵電子系統(tǒng)標(biāo)準(zhǔn)中的默認(rèn)要求，但提供的功能并不總是相同的。例如，用于安全關(guān)鍵系統(tǒng)的 FPGA 系統(tǒng)板通常被批準(zhǔn)在 –40°C 至 85°C 的溫度范圍內(nèi)使用。但制造商 MEN Mikro Elektronik 還提供完整的認(rèn)證解決方案，其中集成了 FPGA，適用于從 –55°C 到 125°C 的極寬溫度范圍。如果可以通過 FPGA 靈活調(diào)整所需的板卡監(jiān)控邏輯，則可以減少板卡開發(fā)人員的工程工作量，

具有附加投票功能的冗余

惡劣環(huán)境中的環(huán)境影響，例如宇宙射線對(duì)飛機(jī)電子設(shè)備的影響，可能導(dǎo)致組合邏輯中稱為單事件瞬變 （SET） 的毛刺以及從 0 到 1 的位翻轉(zhuǎn)，反之亦然，稱為單事件瞬變- 寄存器元件和存儲(chǔ)單元中的事件翻轉(zhuǎn) （SEU），從而危及整個(gè)安全系統(tǒng)的功能。

使用 FPGA，可以創(chuàng)建多個(gè)功能相同的冗余組件，并增加投票功能。如果這些冗余組件中的一個(gè)返回不正確的值——例如，由宇宙射線引起——它會(huì)被其他正常運(yùn)行的組件使用它們的投票功能否決。通過使用適當(dāng)?shù)拈_發(fā)工具簡單方便地復(fù)制組件，可以在由功能相同的 IP 塊組成的單個(gè) FPGA 中相對(duì)容易地實(shí)現(xiàn)這種功能冗余。

當(dāng)然，也可以對(duì)多個(gè) FPGA 進(jìn)行冗余布線。在這種情況下，原始 FPGA 的 IP 邏輯也可以以相對(duì)較少的工作量轉(zhuǎn)移到冗余 FPGA 組件中。這使系統(tǒng)能夠緩解甚至與硬件相關(guān)的 FPGA 故障。

確定性信號(hào)處理

安全關(guān)鍵系統(tǒng)依賴于對(duì)時(shí)間敏感、確定性的信號(hào)處理，因?yàn)閷?shí)時(shí)處理在所有常見的安全關(guān)鍵應(yīng)用中都起著至關(guān)重要的作用。

非確定性信號(hào)處理可能會(huì)產(chǎn)生致命的后果。FPGA 是確定性電路。每個(gè) I/O 進(jìn)程在 FPGA 上都有自己的電路，并采用其精確定義的時(shí)間路徑。由于 FPGA 的并行結(jié)構(gòu)，競爭過程——在最壞的情況下可能會(huì)相互阻礙——可以通過設(shè)計(jì)來避免。因此，即使在高頻下，此類系統(tǒng)的響應(yīng)時(shí)間也是可精確預(yù)測和確定的——例如，在監(jiān)控現(xiàn)場總線、以太網(wǎng)和/或 PCIe 的信號(hào)一致性以檢測可能導(dǎo)致安全關(guān)鍵系統(tǒng)做出錯(cuò)誤決策的傳輸錯(cuò)誤時(shí)。

功能長期可用性

FPGA 還有另一個(gè)優(yōu)勢：因?yàn)樗鼈兊墓δ苁腔谲浖模运鼈円彩浅L期項(xiàng)目的理想選擇。今天生產(chǎn)的大多數(shù)電子元件最遲在 10 年后往往會(huì)過時(shí)。例如，這個(gè)問題會(huì)影響到鐵路部門，該部門的系統(tǒng)通常會(huì)持續(xù)使用數(shù)十年。

由于 FPGA 的功能主要在于軟件，如果舊的 FPGA 不再可用，它可以移植到更新的 FPGA。因此，使用基于 FPGA 安全邏輯的嵌入式計(jì)算板的 OEM 客戶不會(huì)遇到過時(shí)問題；即使以前使用的 FPGA 不再可用，電路板制造商也可以在很長一段時(shí)間內(nèi)提供功能相同的嵌入式邏輯。

因此，建議將 FPGA 用于安全關(guān)鍵的嵌入式計(jì)算機(jī)系統(tǒng)——從標(biāo)準(zhǔn) CPU 和擴(kuò)展模塊到客戶特定系統(tǒng)——以滿足鐵路、航空、醫(yī)療和工業(yè)技術(shù)等眾多領(lǐng)域的高 SIL 安全要求.