Sichere Systeme mit Mikrocontrollern entwickeln

Anbieter zum Thema

SAB Bröckskes GmbH & Co KG

FAULHABER Antriebssysteme

PEAK-System Technik GmbH

Renesas Electronics Europe GmbH

In einer Sicherheitsanalyse ist immer das große Ganze mit allen seinen kritischen und zum Teil hochkomplexen Komponenten zu verstehen. Bei modernen Systemen zählen komplexe ICs und vor allem Mikrocontroller (MCUs) zu den entscheidenden und kompliziertesten Hardware-Komponenten. In fast allen modernen elektronischen Anwendungen ist irgendeine Art von MCU integriert. Für alle unterschiedlichen MCU-Typen gilt, dass sie meist das komplexe Herz einer Anwendung bilden. Bei der Entwicklung einer Sicherheitsanwendung oder eines Sicherheitssystems ist diesen Komponenten besondere Aufmerksamkeit zu widmen. Wie detailliert können Entwickler, Sicherheitsberater oder Programmierer jedoch das Verhalten einer MCU verstehen? Damit ein korrekter MCU-Betrieb sichergestellt werden kann, müssen gängige Sicherheitsmechanismen wie Plausibilitäts-Checks von Ausgangsdaten, Watchdog-Timer, Test-Berechnungen, zyklische Benachrichtigungen, Software-Diversitäts-Checks und vieles mehr integriert sein. Es können jedoch auch einfach nur zwei redundante MCUs zur Ausführung der gleichen Operation zum Einsatz kommen. Anschließend wird überprüft, ob die Ausgangsdaten der beiden Komponenten gleich sind. Eine solche Hardware-Redundanz senkt das Fehlerrisiko erheblich, ohne den genauen MCU-Betrieb verstehen zu müssen. Am Ende sind alle diese Maßnahmen gute Sicherheitsmechanismen. Aus Sicht der Sicherheitsanalyse sind diese Maßnahmen jedoch leider nicht ausreichend.

Mikrocontroller für Sicherheitsanalysen

Um realistische Werte für Ausfallraten und sichere Ausfälle zu erhalten, erfordert die Entwicklung eines hochqualitativen Sicherheitssystems ein tiefergehendes Verständnis. Dies ist nicht nur wichtig, um eine deterministische Sicherheitsanwendung zu entwickeln, sondern ist auch in Bezug auf unterschiedliche Sicherheitsnormen unverzichtbar. Hier kommt der MCU-Anbieter ins Spiel. Im besten Fall kann ein Halbleiterhersteller FIT-Raten (Failure in Time) für die Funktionsblöcke einer MCU bereitstellen. Der Halbleiterhersteller muss daher eine detaillierte Hardware-Sicherheitsanalyse der MCU anfertigen. Dies kostet Zeit und Geld, bietet dem Entwickler der Endanwendung jedoch die optimale Grundlage für eine solide Berechnung der Fehlerhäufigkeit. Alternativ kann der MCU-Anbieter auch Rohdaten, z.B. die Chipfläche von Funktionsblöcken liefern. Mit diesen Daten und der Nutzung allgemein üblicher, aus Normen (z.B. IEC62380 oder SN 29500) abgeleiteter Formeln lassen sich FIT-Werte abschätzen. Neben diesen theoretischen Werten kann ein großer MCU-Anbieter auch Daten aus dem Feld erfassen. Eine detaillierte Analyse von fehlerhaften Komponenten, die als Rückläufer zurückkommen, kann zusätzliche Informationen über dauerhafte Fehler liefern.

Neben der Bereitstellung solcher sicherheitsbezogener Daten kann der MCU-Anbieter auch Lösungen anbieten, die die finale Entwicklung einer sicheren Applikation unterstützen. Dabei kann es sich um Selbsttest-Software wie beispielsweise die Renesas Safety Solution handeln. Dieses Safety Solution Paket existiert für einige Bausteine der Renesas Standard-MCU-Familien RX und Synergy. Auch ein externer Softwareentwickler könnte eine solche Selbsttest-Software für CPU, RAM und ROM erstellen. Entscheidend dabei ist aber, dass der MCU-Hersteller über die Design-Daten verfügt und damit die Fehlerabdeckung der Selbsttest-Software messen kann. Durch das Hinzufügen diskreter Logik-Fehler in die reale MCU-Netzliste und die Überprüfung der Erkennung dieser Logik-Fehler durch Software lässt sich die absolute Fehlerabdeckung der Selbsttest-Software ermitteln. Ohne umfassende Chipdesign-Informationen ist dies nicht möglich. Extern erstellte Core-Selbsttest-Softwareentwicklungen, die mit früheren Versionen der Renesas Selbsttest-Software vergleichbar sind, erreichen nur selten einen ausreichenden Diagnosedeckungsgrad. In der Entwicklung der Renesas Core-Selbsttest-Software waren daher zahlreiche Prüf- und Verbesserungsläufe nötig, um als Ziel eine Fehlerabdeckung von mehr als 90 Prozent zu erreichen. Solche praktisch belegten Ergebnisse helfen nicht nur bei der Entwicklung von Sicherheitsanwendungen, sondern vereinfachen auch die abschließende Zertifizierung.

Die Entwicklung von Sicherheitssystemen wird bei zukünftigen Geräten weiter an Komplexität zunehmen. Eine solche Applikation muss Schritt für Schritt mit separierten Hard- und Softwaremodulen aufgebaut werden, welche funktionale Sicherheit berücksichtigen. Idealerweise sollten diese Komponenten bereits zertifiziert sein. Auch wenn jede Anwendung unterschiedlich ist, bedeutet der Einsatz modularer Sicherheitskomponenten für Hard- und Software einen geringeren Arbeitsaufwand für Entwickler.

Redaktionstipp: Save the Date: Am 26. September 2018 findet wieder der Anwendertreff Maschinensicherheit in Würzburg statt.

* *Thomas Kellermann, Engineer, Industrial Solution Business Unit, Renesas Electronics Europe

(ID:44989485)