Bestimmung des SIL eines Mikrocontrollers

[marc989 (Gast)]

Hi,
ich muss den Sicherheits Integritätslevel für ein Mikrocontroller 
bestimmen. Dazu benötige ich in der Regel die 
Ausfallwahrscheinlichkeit/Zeit. Wie kann ich diese Bestimmen? Gibt es 
Methoden zur Berechnung?
Welche Normen sind hier sinvoll? MIL-HDBK 217 oder SN29500, IEC62380?

Wer kann mir einen Tipp geben?? Vielleicht arbeitet jemand in einem 
Zertifizierungslabor?

Gruß Marc

[Frank (Gast)]

sollten nicht die Hersteller für die MTBF-Werte der richtige 
Ansprechpartner sein? Aber eigentlich halte ich solche Werte für einen 
Controller allein für nicht grad aussagekräftig. Da müsste dann doch 
eher das System betrachtet werden in Dem der Controller seinen Dienst 
tut.

bye

Frank

[marc989 (Gast)]

Hi,
das ist soweit alles richtig. Nur erstens schreibe ich grade bei der 
Firma die diese Controller herstellt meine Diplomarbeit und soll dafür 
eine Abschätzung machen.... Also ich muss irgendwie schauen, wie ich 
sinnvoll Daten ermittle und verwerten kann und zweitens ist eine 
Sicherheitskette nur so stark wie ihr schwächstes Glied. Und das wollen 
wir nicht sein :-) Daher soll nur das Subsystem, also der Controller 
untersucht werden.

Gruß Marc

P.S. vielleicht hast du ja noch eine Idee

[rene (Gast)]

Die MTBF ist nicht sinnvoll. Zu beeinflussenden Parametern gehoeren auch 
noch die Speisung, das Layout, die Beschaltung. Die Software lassen wir 
mal weg. Die Ausfallwahrscheinlichkeit haengt auch stark von der 
Einsatzhoehe ab. Auf 10km ueber Meer ist die Strahlung schon 
betraechtlich. Das koennen die Herstellen nicht gemessen haben - ueber 
den Temperaturbereich auch noch. Das muesste man als Anwender schon 
selbst machen, denk ich. Es sind dieselben, die dann staunen, das ein 
normaler AVR 5 Euro kostet, die Flug-CPU mit gleicher Leistung aber 
gegen 500 Euro geht. Fuer einen Hersteller ist die Anzahl Stueck fuer 
die Flugindustrie zu klein, um relevant zu sein, denk ich.

rene

[Peter D. (peda)]

Die Ausfallsicherheit hängt vorrangig von Dingen ab, die sämtlich nicht 
in den Datenblättern stehen.

Vorrangig sind da unbeabsichtigte Änderungen des Flash, des EEPROM oder 
irgendwelcher Register.

Z.B. was passiert, wenn

- Eingänge floaten

- Eingänge Spannung kriegen vor VCC

- Eingänge negative Spannungen kriegen (innerhalb der Grenzwerte).

usw.


Z.B. wurde beim ATTiny22 behauptet, daß er bei negativen Spannungen 
seinen Flash löscht.
Ich habe allerdings nie negative Spannungen angelegt und trotzdem war 
jedes 2.mal bein Rausnehmen aus dem Programmiergerät und Reinstecken in 
die Schaltung der Flash gelöscht.


Generell steigt die Ausfallsicherheit drastisch, wenn ein externer oder 
interner Unterspannungsreset benutzt wird.

Sinnvole Ausagen sind eigentlich nur dann möglich, wenn man alles 
mögliche und unmögliche ausprobiert oder intimste Einblicke in die 
Layoutmasken, in die Produktion und in die Prüfung hat.


Peter