Beitrag zur Integration und Analyse sicherheitstechnischer Maßnahmen bei der Entwicklung eines kompletten Rechners auf FPGA-Basis

Die enorm große Marktnachfrage nach Managern für funktionale Sicherheit reflektiert, in welchem Maße die funktionale Sicherheit in den letzten Jahren an Bedeutung gewonnen hat. Wird zwei Dekaden zurückgeschaut, dann ist zu sehen, dass diese Wissenschaft für die Luftfahrt- und Prozessindustrie reserviert war. Heute findet sie den Einsatz in fast allen Industriebranchen. Ihren systematischen und rigorosen Charakter hat die funktionale Sicherheit trotz der signifikanten Modifikationen und Anpassungen nicht verloren. Das universelle Einsatzpotenzial manifestiert sich im generischen Aufbau des weltweit etablierten Sicherheitsstandards IEC 61508, aus dem Derivate für den Automotive-Bereich, die Medizin, Bahnanwendungen etc. entstanden. Beim Blick auf die Entwicklung von FPGAs kann eine ähnliche Laufbahn erkannt werden: eng spezifische Einsatzbereiche am Anfang, Verwendung meistens für den Test von Prototypen, während sie heute zu einem festen Bestandteil des Alltags geworden sind. Obwohl die FPGAs als Designplattform sehr effektive und zeitlich betrachtet sehr pragmatische Entwicklungsmöglichkeiten anbieten, sind diese Aspekte nicht trivial in sicherheitsgerichtete Anwendungen zu überführen. Die vorliegende Studie befasst sich mit dieser Relation und untersucht anhand einer detaillierten Analyse der neuartigen Designflüsse von führenden FPGA-Herstellern, ob die aktuellen FPGA-Strukturen für den Einsatz in Bereich der funktionalen Sicherheit geeignet sind. Der Fokus liegt auch auf der Implementierung und Evaluierung des Konzeptes der On-Chip-Redundanz mit der Zielsetzung der Umsetzung eines SIL2 konformen Systems. Der Startpunkt dieser Dissertation ist die Entwicklung eines kompletten Rechners auf dem FPGA basierend auf einem Softcore 32-Bit Mikrocontroller. Nach der erfolgreichen Implementierung werden diverse interne und externe Sicherheitsmaßnahmen integriert, die dazu führen, dass die Auswirkungen von Fehlern infolge gemeinsamer Ursache auf ein akzeptables Niveau reduziert werden und dass der Diagnosedeckungsgrad gefährlicher Ausfälle steigt. Für die Bewertung der Sicherheit wird die Ausfallrate einzelner Systemkomponenten über zwei verschiedene Methoden, die Gatter-Äquivalenz und den Zuverlässigkeitskalkulator von Xilinx, berechnet und durch die Bildung des Mittelwertes validiert. Im Kontext der Sicherheitsevaluierung wird auch eine intensive thermodynamische Analyse in Form einer komplexen und aussagekräftigen Simulation durchgeführt, deren Ergebnisse sehr stark mit denen der praktischen Untersuchungen korrelieren.