Sicherheitstechnik Funktionale Sicherheit ist keine Hexerei

Die Hercules-MCUs von Texas Instruments erleichtern die Implementierung von funktional sicheren Maschinensteuerungen. Das SafeTI-HSK Evaluierungskit von Hitex zeigt, wie einfach das gehen kann.

Anbieter zum Thema

Parasoft® Deutschland GmbH

RTI Real-Time Innovations

Hitex GmbH

Die Maschinenrichtline IEC 61508 ist nun seit über einem Jahr eine für Europa bindende Direktive, die ein einheitliches Schutzniveau zur Unfallverhütung beim Betrieb von Maschinen sicherstellen soll. Die Umsetzung der Richtlinie durch die Anwendung entsprechender Normen wird oft noch als „schwarze Magie“ empfunden – zu Unrecht. Die Hercules MCUs von Texas Instruments erleichtern mit den zugehörigen Safety Companion Chips die Implementierung von funktional sicheren Maschinensteuerungen. Das SafeTI-HSK Evaluierungskit von Hitex zeigt, wie einfach es gehen kann.

Funktionale Sicherheit – die relevanten Standards

Funktionale Sicherheit ist der Teil der Gesamtsicherheit, der von der korrekten Funktion des sicherheitsbezogenen Systems abhängt [1]. Sie ist nicht nur in der Automobilwelt oder der Kraftwerktechnik essentiell, sondern auch in zahlreichen anderen Bereichen der Technik – z. B. beim Betrieb von Maschinen. Eine Risikominderung kann hier in einem einfachen Fall z.B. mit einem Schutzzaun geschehen; mit steigender Komplexität von Maschinen – besonders im Bereich der elektronischen Steuerung – muss die funktionale Sicherheit aber schon bei Beginn einer Entwicklung integraler Bestandteil sein.

Für Maschinensteuerungen ist neben der Grundnorm IEC 61508 und der von ihr abgeleiteten DIN EN 62061 auch die ISO 13849-1 von Bedeutung. Bei der DIN EN 62061 und der ISO 13849-1 handelt es sich um unter der Maschinenrichtlinie harmonisierte Normen [2]. Für beide besteht eine sogenannte Vermutungswirkung – bei korrekter Anwendung der Standards wird von einer Erfüllung der Anforderungen der Maschinenrichtlinie ausgegangen. Neben den genannten Normen ist noch eine Vielzahl von applikationsspezifischen Normen (oft auch als C-Normen bekannt) von Relevanz.

Safe-Island-Konzept balanciert Hard- und Software aus

Die Mikrocontroller-Familie Hercules hat ihre Wurzeln in der Automobiltechnik und ist dort als TMS570 schon seit vielen Jahren in sicherheitskritischen Applikationen wie ABS, elektrischer Lenkungsunterstützung oder Airbag im breiten Einsatz. Der neue Zweig RM4x der Hercules-Familie unterstützt nun auch Applikationen im industriellen und medizintechnischen Bereich.

Der Leitgedanke der Hercules-Architektur ist es, so viele sicherheitskritische Funktionen wie möglich in Hardware zu realisieren und somit den Aufwand auf der Softwareseite zu minimieren. Die Mikrocontroller der Hercules-Familie setzen die sog. Safe-Island-Philosophie um. Darunter wird das aufeinander abgestimmte Zusammenspiel von Hardware- und Softwarediagnosemaßnahmen verstanden, welches die funktionale Sicherheit unter Berücksichtigung von Kostengesichtspunkten gewährleistet.

Das Safe-Island-Konzept definiert für die Hercules-Mikrocontroller eine Vielzahl von Kernelementen, zu denen u. a. die CPUs, der SRAM-Speicher und Verbindungsstrukturen gehören, die für eine korrekte Ausführung von Software unabdingbar sind. Wegen ihrer Bedeutung sind den Kernelementen Hardware-Safety-Mechanismen zugeordnet, die die korrekte Funktionsweise in regelmäßigen Abständen überprüfen. Ist eine ordnungsgemäße Ausführung gewährleitet, können entsprechende Softwarediagnosemaßnahmen verwendet werden, um andere Elemente, z. B. periphere Einheiten, zu testen.

Die Hercules-Familie basiert auf zwei mit bis zu 220 MHz getakteten Floating Point Cortex-R4F CPUs, die in Dual-Core-Lockstep-Betrieb arbeiten. In diesem Betrieb kann eine zweite CPU die korrekte Funktion der ersten CPU permanent überwachen und bietet so einen effizienten Schutz vor zufälligen Fehlern. Durch einen in Hardware realisierten Selbsttest kann die Funktion der CPUs bis auf Gatterebene mit einem sehr hohen Diagnosegrad überprüft werden. Die CPU bietet aber auch eine integrierte Memory Protection Unit (MPU), mit deren Hilfe Zugriffsrechte sicherheitskritischer Software von unkritischen Teilen leichter trennbar sind.

Die ECC-Einheit (Error Correction Codes) kann Fehler in den Speichermodulen erkennen und im Fall eines Einfachfehlers auch direkt korrigieren. Da diese Einheit in die CPU integriert wurde, ist dies auch ohne Performanceeinbußen möglich und beinhaltet außerdem eine Überwachung der systeminternen Busse. Die RAM-Module können mit einem ebenfalls in Hardware hinterlegten Speichertest überprüft werden. Darüber hinaus ist eine Vielzahl von weiteren Sicherheitsmechanismen, wie z. B. Überwachung der Versorgungsspannung und Taktrate sowie Paritätsüberwachung oder CRC der seriellen Schnittstellen, vorhanden.

Weiterhin sind wichtige Peripheriemodule, wie der 12-bit A/D-Wandler oder die programmierbaren Timer-Module, doppelt vorhanden, um Redundanzen zu schaffen bzw. gegenseitige Überwachung und Diagnose zu ermöglichen. Der Einsatz der Hercules-Hardware-Sicherheitsfunktionen kann im Vergleich zu konventionellen Lösungen (zwei separate Mikrocontroller) bis zu 30% Software eliminieren und die gewonnene Rechenleistung der Applikation zur Verfügung stellen.

(ID:39444590)