• 状态 Resolved
  • 已锁定 已锁定
  • 回复 1 回复
  • 订户 9 订户
  • 视图 1096 视图
  • 用户 0 会员在此处
选项
选项
相关

This thread has been locked.

If you have a related question, please click the "Ask a related question" button in the top right corner. The newly created question will be automatically linked to this question.

请问如何说明RM48满足IEC 61508-2附录的诊断要求？

YUAN MAO
Prodigy 60 points

虽然拿到了TI的FMEDA分析的那个表格和TUV认证的证书，但是上次（拿到资料前）咨询TUV的专家说即使是使用经过认证的CPU，也要按照IEC 61508-2附录A1.1一条条对照CPU达到了相应的诊断才能说明自己设计的系统达到相应的SIL等级，专家一个月才来一次，暂时没有机会更深入地咨询，现在向TI的专家们咨询下

问题1：

看了RM48的safety manual和user manual，关于CPU的STC光提到了自诊断可以达到90%覆盖率，但是没有说明诊断了什么地方

按照61508-2附录A1.1的要求有“寄存器、地址计算、指令译码和执行、PC和SP等”的诊断覆盖率要求，手册里并没有说用何种方法检测了何种器件，只提到提供STC的检测手段和如何使用

是否有什么文档有对检测方法的说明？这样产品到时候过认证可以说明我是如何满足61508要求的

问题2：

另外按照我的理解，CCM模块作为1oo1D的结构，应该是可以诊断到”寄存器、指令“等的错误的，那么STC模块是检测什么呢？是否理解为CCM的补充？

问题3：

最后还有关于ECC校验RAM的疑问，61508-7方法里写明要求海明距离至少为4的检错纠错码，但是1位纠错或者2位检错的ECC校验海明距离为3，如何达到61508的要求的呢？

  • 0
    TI__Mastermind 26435 points

    楼主，

      首先，提的问题确实比较专业，对IEC61508有一定的研究啊。

    确实在安全系统构建的过程中，单单是MCU过了相关的认证，不能保证你的系统符合相关的安全系统的要求。毕竟安全架构等级是适用于系统级的，而不是芯片级的。

    对于问题1,， 首先STC指的是MCU 自身逻辑的测试，它包含的是内部的一些逻辑IP有关的部分，包含寄存器，地址运算，指令的提取，译码和执行等等。这些是MCU能正常执行逻辑功能的前提。手册里面没有提到具体的方法，基本的原理是在芯片内部有一个固化的ROM，里面存了一些逻辑运算和相关的正确结果。通过使能STC时，调用ROM里面的这些逻辑运算，得到结果后在和已有的正确结果做匹配。看逻辑功能是否正常。

        在我们的详细性分析报告里面应该可以找得到相关的被诊断的模块或逻辑部分。

    问题2： 你可以简单理解为ＳＴＣ是其他所有安全监测功能的前提。在我们的功能性安全的概念中，有一个safety island 和check the checker的概念。意思就是说你要在保证自己是正确的前提下，才能作为一个检测模块去检测其他的部分是否工作正常。CCM是芯片内部的一个比较匹配模块，它判断的是同一条指令经过两个内核的执行，得到的结果是否一致。CCM能够检测出问题的前提是它能通过ＳＴＣ的测试。

    问题3. 关于海明距离的这个问题，我以前也关注过，当时得到的消息是我们的ECC检验是符合61508的要求。具体的信息，我可以在查查看。

    谢谢