ГОСТ Р ИСО 26262-10—2014
Прогнозирование воздействия электрического перенапряжения на устройство не является тривиальной за
дачей. Если нельзя утверждать о каких либо особых воздействиях, то значение х |(......
..........
можно добавить к
кристалла- Увелич1<8общую интенсивность отказов микроконтроллера на кристалле всего устройства.
П р и м е ч а н и е — В некоторых стандартах электрические перенапряжения считают систематическими
отказами и их уменьшают до нулевого значения FIT при расчете метрик случайных отказов.
А.3.5 Пример количественного анализа
Ниже приведен пример количественного анализа с использованием метода, описанного в А.3.3.
П ри ме ча ния
1 Числовые значения, используемые в данном примере (например, интенсивности отказов, количество
безопасных сбоев и охват вида отказов) используются в качестве примеров. Они могут отличаться для разных
архитектур.
2 Следующие примеры декомпозируют некоторую часть микроконтроллера на уровне подчастей. Как уже
обсуждалось в А.3.3. необходимый уровень детализации может зависеть от стадии анализа и от используемых
механизмов безопасности.
3 В следующих примерах используется количественный подход для вычисления заданного целевого значе
ния «метрики одиночных сбоев» для кратковременных сбоев. Как уже обсуждалось в А.3.3.2, кратковременные
сбои могут быть также учтены с использованием качественного обоснования.
В данном примере рассматривается небольшая часть микроконтроллера, точнее только две его части:
a) небольшой процессор, разделенный на пять подчастей: блок регистров. АЛУ. блок загрузки-хранения,
управляющая логика и блок отладки. Каждая подчасть разделена еще на несколько подчастей;
b
)оперативная память (16 Кб) разделена на три подчасти; массив ячеек, дешифратор адреса, а также логика
проверки конца строки и управление резервными строками (избыточностью) оперативной памяти.
П р и м е ч а н и я
1Значения FIT. приведенные вданном примере, не учитывают периферийные устройства или другие харак
теристики. такие как упаковка, технологическое манипулирование или перенапряжение. Они приведены только в
качестве примера возможного способа вычисления интенсивности отказов (FIT). По этой причине, данные значе
ния не сопоставимы со значениями интенсивности отхазов (FIT) для всего микроконтроллера в корпусе, как пока
зано. например, в SN 29500.
2 Целью следующего примера является отказ от требования учитывать каждую самую маленькую подчасть
микроконтроллера при анализе на уровне системы. При анализе на уровне системы может быть достаточной дета
лизация на уровне компонентов или частей. Целью данного примера является предоставлениедоказательств того,
что для автономно работающего микроконтроллера может быть необходим более глубокий анализ (например, на
уровне подчастей) для того, чтобы вычислить с необходимой точностью интенсивности отказов и охват видов от
казов частей и подчастей. которые будут использоваться впоследствии системными инженерами. Другими слова
ми. без точного и подробного анализа автономно работающего микроконтроллера бывает очень трудно получить
хорошие данные для анализа на уровне системы.
Рассматриваются следующие четыре механизма безопасности:
1) механизм безопасности технических средств(SM1), выполняющий логический мониторинг последователь
ности программ процессора. Данный механизм безопасности способен обнаружить конкретный охват определен
ных сбоев в логике управления, которые могут нарушить последовательное выполнение программного обеспече
ния. Однако, этот механизм безопасности необнаруживает сбои (например, неверные арифметические операции),
приводящие к неправильным данным.
П р и м е ч а н и е — В данном примере предполагается, что каждый из обнаруженных постоянных одно
битовых сбоев, влияющих на процессор, подает сигнал системе (например, путем активации выходного сигнала
микроконтроллера). На уровне системы установлено требование о надлежащем использовании этого сигнала (на
пример, перевести в безопасное состояние и информировать водителя). При подозрительных кратковременных
сбоях процессор может попробовать удалить этот сбой путем перезапуска. Если удалить не удалось, то это озна
чает. что сбой является постоянным, и, следовательно, сигнал о нем может быть передан в систему, как описано
выше. Если сбой исчезает (то есть это был действительно кратковременный сбой), то работа центрального про
цессора может быть продолжена:
2) механизм безопасности на основе программного обеспечения от случайных отказов аппаратных средств
(SM2), выполняющийся при включении зажигания для проверки отсутствия скрытых сбоев в логическом монито
ринге последовательности программ процессора (SM1);
3) исправление одиночных ошибок и обнаружение двойных ошибок кодом с обнаружением ошибок (EDC) в
оперативной памяти (SM3).
П р и м е ч а н и е — В данном примере предполагается, что о каждом обнаруженном постоянном одно
битовом сбое — даже если он корректируется механизмом EDC — поступает сигнал в программное обеспечение
53