在北美和歐洲，UL 或 CE 標(biāo)志是大多數(shù)家庭熟悉的景象。鮮為人知的是這些標(biāo)志所代表的含義，以及制造商必須遵循的嚴(yán)格流程才能獲得這些標(biāo)志的資格。這些嚴(yán)格流程背后的一個關(guān)鍵動機(jī)是安全性，它適用于設(shè)備和機(jī)械，從手持電動工具、電梯、鐵路系統(tǒng)和工廠車間的機(jī)器人到核能、石油和天然氣設(shè)施。安全在后一組中至關(guān)重要，但人們?nèi)粘Ｊ褂玫脑O(shè)備也受到了類似的關(guān)注和關(guān)注。

業(yè)界所謂的“功能安全”背后的目標(biāo)是限制對操作或使用設(shè)備和機(jī)械的人員造成身體傷害或健康影響的風(fēng)險。設(shè)備不僅必須正確運行以響應(yīng)輸入，而且還必須安全地管理任何操作員錯誤、硬件故障或環(huán)境變化。雖然功能安全涵蓋端到端系統(tǒng)，但控制子系統(tǒng)側(cè)重于傳感器、可編程邏輯控制功能和驅(qū)動子系統(tǒng)。以下內(nèi)容涵蓋了對控制子系統(tǒng)架構(gòu)的功能安全影響，以及 QorIQ 多核處理解決方案如何通過提高機(jī)器生產(chǎn)力來更有效地滿足安全要求。

讓機(jī)器安全

涵蓋功能安全的標(biāo)準(zhǔn)由每個國家的管理機(jī)構(gòu)指定。對于歐盟國家，基準(zhǔn)是 IEC 61508。在北美，執(zhí)行 ISO 13849 規(guī)范。獲得認(rèn)證的過程涉及確定所需的安全功能、潛在危險和所需的任何降低風(fēng)險的許多步驟。這有助于確定 ICE 61508 所需的安全完整性等級 （SIL） 或 ISO 13849 的性能等級 （PL）。該過程中的其他關(guān)鍵因素包括硬件容錯 （HFT） 或故障設(shè)備的數(shù)量可以容忍，以及安全故障分?jǐn)?shù) （SFF），它是系統(tǒng)在安全狀態(tài)下發(fā)生故障的概率。這些方面的責(zé)任在于具有適當(dāng)技能的工程師，他們喜歡標(biāo)準(zhǔn)，

HFT 和 SFF 很重要，因為它們是子系統(tǒng)冗余和診斷能力的量度。HFT 取決于系統(tǒng)中使用的冗余量和投票策略。SFF 是衡量內(nèi)置診斷的故障安全設(shè)計和質(zhì)量的指標(biāo)。

圖 1 顯示了具有兩種投票架構(gòu)和診斷功能之一的雙冗余系統(tǒng)（2 個中的 1 個帶有診斷功能，或 1oo2D）。1oo2D 意味著兩個通道將處理相同的輸入并請求某個動作。投票者將比較來自兩個通道的請求，但僅使用來自具有良好診斷的通道的數(shù)據(jù)。此實現(xiàn)還提供了對 1oo1D 的冗余回退。

圖 1：確保系統(tǒng)安全需要額外/重復(fù)的硬件資源。這里展示的是雙冗余系統(tǒng)的 1oo2D 架構(gòu)。1oo2D 架構(gòu)允許投票者從兩個診斷通道中的任何一個中比較和選擇最佳輸入數(shù)據(jù)。

診斷將報告軟件或隨機(jī)故障、不正確的操作員輸入或由環(huán)境影響引起的常見故障（由 EMC、振動、溫度或壓力變化引起的內(nèi)存或數(shù)據(jù)總線損壞）。在 QorIQ 多核處理器的情況下，可以在使用本地高速緩存/內(nèi)存的內(nèi)核上實現(xiàn)通道。此處將使用的基本硬件功能是糾錯碼 （ECC） 和內(nèi)存奇偶校驗。確保系統(tǒng)安全需要額外的處理性能來提供實時計算和診斷。復(fù)制硬件資源提供了必要的冗余，以增加系統(tǒng)在發(fā)生故障時達(dá)到安全狀態(tài)的可能性。

冗余和實時診斷

這就是設(shè)備或機(jī)器制造商面臨的挑戰(zhàn)：添加冗余對硬件成本有直接影響，因為它傳統(tǒng)上涉及復(fù)制控制器模塊或處理器組件。這導(dǎo)致兩個問題：

可以在不復(fù)制硬件的情況下提供功能安全嗎？

更智能、更集成的診斷能否同時幫助管理功能安全和生產(chǎn)力？

為了更詳細(xì)地說明第二個問題，請考慮裝配線上的機(jī)器人。機(jī)器人由光幕保護(hù)。

2a和2b之間有明顯的區(qū)別。第一個說明了操作員有受傷風(fēng)險并且機(jī)器人應(yīng)該斷電或停止的事件。在第二個插圖中，情況并非如此，也許放慢機(jī)器人的速度就足夠了。一個可以區(qū)分的系統(tǒng)將提高生產(chǎn)力，因為它可以保持安全，也可以保持生產(chǎn)線的運轉(zhuǎn)。在這種情況下，可以使用額外的光幕來指定“緩沖區(qū)”和“操作”區(qū)域，或者基于視覺的系統(tǒng)可能是答案。在這兩種情況下，控制器現(xiàn)在都需要考慮額外的傳感器輸入以及必須實時執(zhí)行的額外處理。

考慮 QorIQ 多核處理器

這兩個問題的部分解決方案在于 QorIQ 多核處理器，這是一系列處理平臺，從單核、雙核和四核到多核，均基于集成雙精度浮點的 32 位或 64 位 Power Architecture 內(nèi)核觀點。圖 3（第 16 頁）顯示了可編程控制和安全功能如何在單個 QorIQ 多核處理器上共存。不同的功能可以使用共享或?qū)Ｓ没ミB、內(nèi)存和 I/O 資源在此架構(gòu)上運行。硬件強(qiáng)制允許不同的功能在不受其他內(nèi)核或外部主機(jī)上的其他功能干擾的情況下運行。

圖 3： QorIQ 多核平臺上的硬件實施允許可編程控制功能和安全功能存在于同一處理器上而不會受到干擾。注意：共享內(nèi)存和排隊系統(tǒng)也可通過 PCIe 和 sRIO 供外部實體使用。

安全應(yīng)用中的主要元素是通道。在這里，實現(xiàn)通道的硬件需要提供某種形式的隔離。在 QorIQ 多核處理器中，通道將由在設(shè)備上物理實例化的核心復(fù)合體構(gòu)建。核心復(fù)合體有兩層緩存（第 1 層（I/D 緩存）和第 2 層（L2 緩存）），以不同的模式使用允許本地存儲。這與單個內(nèi)核的內(nèi)存管理單元 （MMU）、硬件管理程序和虛擬化支持以及外圍訪問管理單元 （PAMU） 相結(jié)合，確保賦予軟件任務(wù)的權(quán)限對硬件可見，從而允許強(qiáng)制執(zhí)行隔離。

硬件管理程序和虛擬化支持隔離邏輯容器

PAMU 在處理器中隔離智能外圍設(shè)備，如以太網(wǎng)控制器、加密加速和其他設(shè)備。這有效地允許將 QorIQ 多核處理器視為一組具有自己智能 I/O 和內(nèi)存的獨立 CPU。

與任何 CPU 一樣，內(nèi)核會收到內(nèi)核復(fù)合體中硬件檢測到的異常通知；例如，核心定時器或看門狗定時器中的單個或多個 ECC 錯誤。內(nèi)核還可以了解內(nèi)核復(fù)合體之外的設(shè)備異常，例如內(nèi)部和外部存儲器的 ECC 錯誤或存儲器違規(guī)。對設(shè)備的所有外部存儲器映射訪問也受到 PAMU 的監(jiān)控，這將阻止和標(biāo)記未經(jīng)授權(quán)的訪問嘗試。異常可以路由到設(shè)備中的任意數(shù)量的內(nèi)核，并且可以在外部進(jìn)行標(biāo)記。因此，使用核心復(fù)合體的通道可能會將與其相關(guān)的異常路由到其自身和/或另一個內(nèi)部監(jiān)視器（另一個核心），或外部監(jiān)視器，例如 PCI Express （PCIe） 或串行 RapidIO 塊上的主控。

除了檢測上述標(biāo)準(zhǔn)硬件錯誤的設(shè)備外，QorIQ 信任架構(gòu)還提供了從通電開始建立安全可信節(jié)點的能力，也稱為加密啟動。這使硬件能夠驗證設(shè)備上任何地方的內(nèi)存代碼或靜態(tài)數(shù)據(jù)塊，以便在設(shè)備的正常運行時間期間進(jìn)行更改，從而創(chuàng)建一種硬件方法來補充通常在軟件中運行的診斷例程之一。

內(nèi)部處理器通信支持集成診斷

在安全應(yīng)用中，通道之間的通信很可能通過黑色通道實現(xiàn)，在多核平臺的情況下，黑色通道位于處理器內(nèi)部。為了幫助 QorIQ 多核處理器內(nèi)部的通信，內(nèi)核之間存在三個獨立的通信路徑：

受 MMU/PAMU 保護(hù)的共享內(nèi)存

將各個物理端口鏈接到每個核心復(fù)合體的硬件排隊系統(tǒng)

內(nèi)核間消息寄存器*

這種多核方法與離散解決方案相比具有許多優(yōu)勢，允許多個安全通道和組件或模塊的整合。該集成提高了診斷能力，進(jìn)而支持更好的機(jī)器可用性和生產(chǎn)力。

審核編輯：郭婷