我列出了關鍵系統工程師在其設計職業生涯中可能遇到的 84 項單獨的安全標準。我已將這個有些令人生畏的清單縮減為本文將討論的五個基本標準。這些是：

• 　　IEC 61508
• 　　ISO 26262
• 　　IEC 60730 和 IEC 60335
• 　　在 ISO 13849 中

　　這些較新的標準認識到需要保護安全關鍵系統中的隨機和系統故障。隨機故障通常是組件故障，與可靠性和 FIT 數有關。系統故障通常是軟件和硬件設計方法故障。簡單地說，這些故障是由不完善的設計引起的。

　　用于減輕這兩種類型故障的主要方法是自我測試。一些有助于針對這些標準進行設計的處理器特性包括 CPU 自檢模塊、復制的、安全增強的看門狗定時器、外設/DMA/中斷存儲器上的存儲器 ECC 奇偶校驗、所有通信通道上的奇偶校驗或 CRC 檢查、內置存儲器- 內置自測 （BIST）、時鐘和電源電壓監控、片上時鐘或雙時鐘、結溫傳感器和帶共享通道的雙 A/D。

　　使用硬件（處理器）而不是代碼來處理安全性可以加速開發、加速錯誤檢測、提高安全性并簡化認證工作。有一些自動化代碼審查設計工具專注于安全，可能對工程師有幫助，盡管有些人將它們比作拼寫檢查器。在這個領域還有一些自動代碼生成器需要考慮，也許還有一個采用基于模型的開發的 IDE。當然，如果您有操作系統，則需要具有安全意識，并且高質量的 C++ 編譯器對于更高的抽象級別和對面向對象編程的支持將是必不可少的。

　　標準

　　IEC 61508 - 電氣/電子/可編程電子安全相關系統的功能安全

　　IEC 61508 涵蓋硬件和軟件。它可以分為三個領域：業務流程、硬件開發和軟件開發。該標準提供了管理和減少系統故障和隨機故障的措施。

圖 1：IEC 61508 安全生命周期。

　　ISO 26262 - 道路車輛功能安全

　　ISO 26262 是 IEC 61508 對汽車電氣/電子系統的改編。它提供了汽車安全生命周期（管理、開發、生產、運營、服務、退役），并支持在這些生命周期階段定制必要的活動（圖 1）。它還提供了一種特定于汽車的、基于風險的方法來確定風險等級（汽車安全完整性等級或 ASIL）。

　　IEC 60730 和 IEC 60335 - 安全標準

　　IEC/UL 60730 安全標準是針對交流電器的電氣、電子、機械、EMC 和其他功能的既定測試規范。該規范的附錄 H 闡明了與電器中使用的 MCU 硬件和軟件的安全操作最相關的安全方面。IEC 60335-1 的附錄 Q 中進一步定義了軟件要求。這些安全標準需要證明符合標準并顯示系統穩健性的認證。為了簡化合規性，OEM 要求組件可以被認證為兼容或兼容 IEC 60730。專門針對 MCU，60730 附件 H - 電子控制要求詳細說明了測試和診斷方法。

　　60730 允許制造商采用三種方法之一來解決基于 MCU 的系統的安全問題。

　　具有兩個 MCU 的雙通道架構，每個 MCU 都以鎖步執行相關任務，一個檢查另一個。

　　單通道架構伴隨著制造點的功能測試（當今最常用的選項）。這種方法的缺點是一旦設備出廠就無法解決問題。

　　具有定期自檢架構的單通道通過具有定期檢查電子控制關鍵功能的固件來解決運行中的問題

　　支持單通道自檢選項的微控制器可能以最低的成本提供最高級別的消費者保護。一個好主意是在 MCU 上安裝兩個準確的振蕩器——一個用于操作設備，另一個用于為執行定期測試提供獨立的時基。

　　NXP、Fujitsu、Renesas、Microchip和Texas Instruments都提供用于 IEC/UL 60730/60335 實施的軟件庫。

　　60335 包括通過熔斷器進行的防火 - 并與 60730 標準結合使用（Shurter有一份關于該主題的有用白皮書）。

　　EN ISO 13849 - 機械安全 - 控制系統的安全相關部件

　　EN ISO 13849 被稱為機械指令。該標準取代了 EN 954-1，這是機械制造商熟悉的標準，并且大多數人已經符合該標準。954-1 是一個簡單的標準，具有易于遵循的風險圖，可以為其機器建立安全類別。安全類別是在定性的基礎上制定的，因此過程也很快。新的 EN ISO 13849-1 遵循類似的過程，但用戶必須執行一系列計算，包括診斷覆蓋率、平均危險故障時間以及架構和常見故障，以驗證是否已達到性能水平。

　　與 EN 954-1 不同，13849-1 涉及越來越多地用于機械的可編程電子安全設備，并且針對給定安全功能的計算風險評估將產生性能等級 （PL）。2009 年 12 月，從 EN 954-1 過渡到 EN ISO 13849-1 的最后期限延長至 2011 年 12 月 31 日（在歐洲經濟區），并且正在被許多美國制造商采用。

　　安全應用感興趣的微控制器

　　NXP LPC17xx 系列，例如LPC1769和LPC1788使用 Cortex M3，具有 512 KB 閃存、64 或 96 KB RAM、CAN、以太網、I2C、IrDA、Microwire、USB OTG、D /A 轉換器和一個 8 通道 12 位 A/D 轉換器。工作范圍為 -40° ~ 85°C。

　　恩智浦將為這些和其他 Cortex M3 處理器提供 IEC60335 B 類認證庫。使用此庫不會授予您的項目作為認證應用程序的狀態。仍然需要對完整的應用軟件進行認證，但這無疑是一個很好的起點。

　　飛思卡爾 Kinetis K20 MCU，例如PK20N512VLQ100， 具有高速 USB 2.0 OTG 和設備充電檢測能力，并提供基本的安全項目。它們為交叉開關上的所有主設備提供內存保護，以及驗證內存內容和通信數據的硬件 CRC 引擎。獨立時鐘 COP 可防止故障安全應用（例如家用電器的 IEC 60730 安全標準）的時鐘偏差或代碼失控。MCU 還具有外部看門狗監視器以及安全存儲和篡改檢測。

　　Renesas V850 微控制器，例如V850ES/JG3， 支持啟動交換機制，以確保即使在電源故障期間也能進行故障安全固件更新。芯片看門狗定時器使用內部專用振蕩器。此外，它是一個窗口式看門狗定時器，可以捕捉異常頻繁的看門狗復位。這些 IC 使用 2.85 至 3.6 V，運行頻率高達 50 MHz，并具有 256 KB 的閃存和 64 KB 的 RAM。

　　該 MCU 的某些版本配備了帶比較器的冗余內核、邏輯和存儲器的自診斷功能以及其他實現功能安全的有效功能。基于 Cortex M3 的 Fujitsu FM3 系列 MCU，例如MB9B500，提供功能安全特性。富士通提供廣泛的安全相關軟件例程庫，符合 IEC 安全標準。

　　富士通自檢庫 （STL） 涵蓋 IEC 60730 和 IEC 60335 要求。B 類庫例程包括應在系統啟動時實施的操作前自檢 （POST） 測試，涵蓋 CPU、RAM/ROM 和 I/O 外圍設備等項目。他們還有 BIST 的代碼，應該在產品運行時定期運行。

　　這些處理器基于 Cortex M3，具有 256 或 512 KB 的 60-MHz 閃存和 32 或 64 KB 的 RAM。它們還具有 CAN 和 USB 2.0 接口、一個 8 通道 DMA、一個正交計數器和多達 16 個 12 位 A/D 轉換通道。這些 IC 包括一個時鐘超級監視器 （CSV）。CR 振蕩器產生的時鐘用于監控外部時鐘的異常。如果檢測到外部時鐘故障，則置位復位，但如果檢測到頻率異常，則置位中斷或復位。它們還具有低壓檢測器 （LVD），可對 VCC 上的電壓進行兩級監控，并通過中斷和自動復位操作報告錯誤。

　　概括

　　本文總結了五項基本安全標準和微控制器樣本，這些微控制器配備了對設計安全關鍵應用的工程師來說很重要的特性。