[参考译文] AM2612：用于 SIL2 安全输出的 AM2612/AM2632 锁步架构

您的理解是正确的

正确的是、在锁步模式下、第二个 R5F 内核以 两个时钟周期延迟运行、仅用于比较目的 、不会独立控制外设 1.内核之间的任何不匹配都会路由到错误信号模块 (ESM)、该模块可以触发中断或将外部引脚置为有效以进行监控。 这意味着锁步 通过冗余计算提供故障检测、而不是冗余驱动。

主要问题：单点输出控制

两个 OSSD 对都连接到单个 MCU 后、您将失去当前双 STM32 架构的物理独立性。 锁步可以检测 CPU 级故障（计算错误，通过 ECC 损坏存储器）、但是：

• 两对 OSSD 共享同一个外设子系统、电源和时钟域
• 输出外设、焊盘驱动器或电源轨中的故障会同时影响所有输出
• 您当前的架构本身就能提供单个 MCU 无法复制的硬件多样性

这对于 SIL2 是否可以接受、取决于您的特定安全标准 (IEC 61508、ISO 13849、IEC 62061) 和认证机构对 OSSD 通道独立要求的解释。

软件开发和认证工作

单锁步 MCU  无需 MCU 间通信、同步协议和交叉检查逻辑、因此可以简化软件开发。 但是、由于以下原因、认证工作量可能不会显著减少：

• 您必须证明已充分涵盖单 MCU 失效模式（共因失效）
• AM26x 作为 独立安全元素 (SEooC) 2 提供、这意味着系统级认证责任由您承担
• 您将需要 TI 的 FMEDA 和安全手册（根据保密协议通过您当地的 TI 销售团队提供）来验证架构的诊断覆盖率 2.
• 需要在安全软件和非安全软件之间进行适当隔离、这可能需要基于 SafeRTOS 或 MPU 的分区 3.

建议

在提交到该架构之前、您应该：

1. 请咨询认证机构 、了解锁步故障检测（无冗余驱动路径）是否满足 OSSD 应用的 SIL2 要求
2.  根据保密协议、通过您当地的 TI 销售代表申请 TI 的功能安全配套资料（FMEDA，安全手册）、以评估诊断覆盖率
3. 考虑外部监控 （例如，ESM 引脚驱动外部安全继电器或输出反馈监控）是否可以补偿独立于双 MCU 的损失

具有锁步功能的 AM2632 强烈支持 SIL2 计算完整性、但将两个 OSSD 对整合到单个器件上需要额外的理由来实现双 STM32 架构固有的共因失效覆盖。

后续： 您是否考虑过 AM2632 的四核 型号（独立使用两个 R5F 子系统，而不是在锁步模式中使用）是否可以提供中接地层、从而在保持一定的输出独立性的同时仍整合到单个 MCU？

1. AM263x 技术参考手册
2. AM26x 功能安全 SIL3 讨论 (E2E)
3. AM2612 安全/非安全区域隔离 (E2E)