设计安全工业芯片系统的验证方法

　　设计安全应用的目的是获得功能安全认证，例如IEC 61508等，因此，这导致工程越来越复杂。IEC 61508规范涵盖了从开发具体应用到产品退出市场的整个安全生命周期。按照安全标准的步骤和过程，则需要简化与评估人员的通信，以确保能够清楚的理解安全目标、概念、过程和解决方案，满足安全要求。

工程启动和风险分析

　　在工程启动和风险分析阶段，根据应用的一般要求来确定安全范围。对于实施阶段，确定并梳理和记录应用所需要和能够实现的安全完整性等级(SIL)，作为风险分析和评估的基础。风险分析是以后测量的基础，它表明了对产品边界的理解，与产品范围定义密切相关。它是所需SIL的基础，详细定义了安全功能，以及产品文档框架。这需要在组件级以及系统级完成。

体系结构开发

　　然后，设计人员开发体系结构来满足功能和安全要求。他们对安全要求进行提炼，记录在操作和维护阶段实现的某些功能，确定验证能否满足安全要求而需要采取的策略。

安全要求规范

　　对于安全驱动，工程范围可能包括几个方面，例如，确定驱动参数是否在允许的范围内，或者，安全I/O信号是否是关键事件等。驱动最基本的安全特性是“安全关闭”(STO)，以安全方式断开电机电源。这一过程还可能包括与出现安全事件的整个自动化系统进行通信，必须在一定的时间周期内进行评估，例如，按照一系列步骤顺序关断整个应用。

验证和认证规划

　　验证规划的开发包括受控失败插入方法，以测试系统，进行其他的监控，观察系统，对比当前参数和预先确定的参数，以及允许值。

组件选择，组件，IP和工具资格

　　典型的工程都有组件选择步骤，但是设计人员应确保组件和IP功能适合安全应用。重要的是考虑残留错误概率，这是计算产品全部失败概率(FIT)以及最终SIL的基础。可以通过收集广泛应用的产品的器件和设计工具数据来实现这一点，这样，不会出现系统错误，能够可靠使用(例如，对于IP)，还可以通过使用处理器或者FPGA等半导体产品错误概率报告以及可靠性信息来实现它。

应用设计实现

　　通信协议、FPGA的存储器接口IP、或者嵌入在FPGA中的AlteraNios® II嵌入式处理器IP等复杂系统功能，通常用于运行驱动应用中工业以太网协议的软件堆栈，这些都需要进行安全应用分析、测试和认证。

功能/诊断功能

　　除了实现应用程序，还必须在设计中加入某些功能。这些设计需要采用时钟和电源等基本参数监视功能以及数据监视等复杂功能，观察脉冲宽度调制(PWM)的输出，从而保证系统正常工作。他们还需要能够自动发现错误的功能，使系统进入安全状态。基本功能包括保证存储器内容不会由于外部影响设计而发生改变，监视系统时钟以保证在设定的系统参数范围内驱动设计(或者由于外部组件的失效导致出现错误)，电源正常工作。

集成和测试

　　将每一组件集成到安全驱动方案中，进行测试，实现预期的系统功能，提供设定好的安全功能。通过安全验证，保证所需的安全特性能够在工作期间发挥作用，例如，确保外部因素对设计的安全功能没有不利影响，偶然的禁用不会影响系统。

安全验证、认证和发布

　　在整个过程中，要求与评估人员密切合作，以保证在开发过程中所进行的评估是合理的，提供合适的安全功能。最后，评估人员对产品的安全功能进行认证，可以向市场推出该产品。

增加预认证安全功能

Altera等半导体供应商提供某些步骤帮助实现这一过程，减少了在安全应用开发上的投入。例如，立即使用经过功能安全预认证的半导体数据、IP、开发流程和设计工具等，大幅度缩短整个产品开发过程，如图4所示。　　

Altera投入了近两年的时间来实现产品认证。Altera的SIL 3 (SIL3)功能安全数据包包括评估机构TÜ Rheinland对Altera工具、IP和器件数据的认证，缩短并简化了符合IEC 61508安全应用的开发。经过预认证的设计流程和工具，以及经过预认证的嵌入式系统和诊断知识产权(IP)降低了安全非常重要的工业应用的认证风险，例如，伺服和逆变驱动器、安全I/O和PLC以及自动控制器等。

　　对IP和设计工具以及器件可靠性数据的测试和应用数据进行了总结和梳理，简化了功能安全验证。公司采用TÜV Rheinland认可的设计方法(V-Flow)，以满足FPGA设计的特殊需求。功能安全包包括所必须的诊断功能，将其设计为FPGA IP。功能安全包用户受益于Altera在TÜV上的前期投入，在工程投入上能够节省同样的时间。