CN106508031B - 一种基于fmeca的fpga安全性需求分析方法 - Google Patents

Abstract

本发明属于可编程逻辑器件测试技术领域，本发明的目的是为了解决FPGA安全性测试需求不足的问题，同时为了提高FPGA测试需求覆盖的充分性和优先级确定的准确性。本发明采用的技术方案为：1)从开发文档、技术文件、芯片手册文档中获取被测FPGA的信息；2)对FPGA工作系统进行定义；3)进行故障模式影响分析；4)进行危害性分析，根据用户需求，也可不进行危害性分析，直接转步骤5)；5)确定FPGA工作系统安全性测试需求项。本发明提供的分析方法提高了FPGA测试需求覆盖的充分性和完整性以及测试类型的充分性和完整性。

Description

一种基于FMECA的FPGA安全性需求分析方法

技术领域

本发明属于可编程逻辑器件测试技术领域，涉及“故障模式影响分析”(Failure mode effect analysis，FMEA)和“危害度分析”(Criticality analysis，CA)的一种应用于FPGA(Field Programmable Gate Array，现场可编程门阵列)安全性测试需求分析的分析方法。

背景技术

随着FPGA在航空、航天、武器等产品中的应用日益广泛，FPGA产品的安全性也越来越受到重视，如何更好的保证FPGA产品的安全性和质量，成为人们关注的问题。因此，在开展FPGA测试的过程中，对于FPGA安全性的验证也成为了测试的一个重点。

开展安全性测试时首先需要进行安全性测试需求分析，分解出FPGA安全性测试需求项。

安全性需求分析的主要依据是FPGA的任务书及需求规格说明等相关的开发文档中提出的FPGA安全性要求。这些开发文档中通常应该定义出FPGA的安全关键等级，详细地描述出对于FPGA系统的安全性设计和测试要求等内容，比如：在什么条件下FPGA的哪些功能一旦发生故障则可能导致人员伤亡、设备损坏、任务失败等灾难或严重后果；FPGA应从哪些方面考虑采取必要的保险措施等等，根据这些要求我们即可以得到FPGA安全性测试需求项。

但是，目前大部分FPGA的开发文档中并没有按照工程化的要求对FPGA系统的安全性要求进行详细地描述，因此仅仅从这些开发文档中提取出的安全性测试需求项还不足以完全的覆盖FPGA的安全性需求，这对于开展FPGA安全性测试工作是很不利的，因此我们还需要对FPGA中未明确说明的安全性需求进行分析。

发明内容

本发明的目的是为了解决FPGA安全性测试需求不足的问题，同时为了提高FPGA测试需求覆盖的充分性和优先级确定的准确性，提供一种应用于FPGA测试需求分析的方法。

为了解决上述技术问题，本发明采用的技术方案是：

一种基于FMECA的FPGA安全性需求分析方法，包括以下步骤，

步骤1、从开发文档、技术文件、芯片手册文档中获取被测FPGA的信息；

步骤2、对FPGA工作系统进行定义；

FPGA工作系统定义包括：功能分析，确定分析系统的约定层次，制定编码体系，定义故障判据，定义故障模式的严酷度分类；

1)功能分析；

对被测FPGA工作系统进行功能分析，明确各功能之间的控制流及数据流关系，绘制出FPGA工作系统的功能框图；

2)确定分析FPGA工作系统的约定层次；

在进行FMECA时，首先要明确被分析系统的约定层次，从初始约定层次开始，逐渐向最低约定层次分析，对于各约定层次的定义如下：

(1)约定层次：是根据分析的需要，按产品的功能关系或程度划分的产品功能层次或结构层次；

(2)初始约定层次：要进行FMECA的完整的产品所在的层次；

(3)其他约定层次：相继的约定层次；

(4)最低约定层次：约定层次中最底层的产品所在的层次；

3)制定编码体系；

根据FPGA工作系统的功能及结构分解或所划分的约定层次，制定FPGA工作系统的编码体系；

4)定义故障判据；

(1)FPGA工作系统在规定的条件下和规定的时间内，不能完成其规定的功能；

(2)FPGA工作系统在规定的条件下和规定的时间内，某些性能指标不能保持在规定的范围内；

(3)FPGA工作系统在规定的条件下和规定的时间内，引起对能源、物资等的消耗或对人员、环境等的影响超出了允许范围；

(4)开发文档、技术文件或芯片手册等文件中规定的故障判据；

5)定义故障模式的严酷度分类；

在进行危害度分析时用于对各种故障模式所产生的危害程度进行分类；

步骤3、进行故障模式影响分析；

故障模式影响分析应包括以下几部分：

1)确定FPGA工作系统所有可能的故障模式；

根据FPGA工作系统的功能框图，确定FPGA工作系统所有可能的故障模式；

2)确定每个故障模式可能的原因及其故障发生概率等级；

3)确定每个故障模式可能的影响；

按每个故障模式分别对自身、高一约定层次和影响进行分析，并确定其严酷度等级；

4)填写FMEA表；

步骤4、进行危害性分析；

根据用户需求，也可以不进行危害性分析，直接跳至步骤5；

确定每个故障模式的故障模式发生概率等级、影响的严酷度等级和故障被检测难度等级，由故障模式发生概率等级、影响的严酷度等级和故障被检测难度等级的乘积计算得出风险优先数，从而确定每个FPGA故障模式的危害性等级的排序；确定风险优先数门限值，选择风险优先数值大于门限值的故障模式作为安全性测试需求项；填写FMECA表；

步骤5、确定FPGA工作系统安全性测试需求项；

可按照每个故障模式的严酷度等级或风险优先数进行排序，按每个故障模式的排序结果识别薄弱环节和关键项目，并列出严酷度为I、II类的或者是风险优先数大于给定门限的故障模式项目清单，这些即为安全性测试需求项。

与现有技术相比，本发明的有益效果是：

本发明提出了基于FMECA分析结果确定FPGA测试需求项优先级的方法，该方法能够准确的确定FPGA测试需求项的优先级顺序，从而将FPGA测试需求项优先级确定的问题从定性分析的方式转化为定量计算的方式，使得FPGA测试需求项优先级的确定更为准确；使用FMECA的方法提取FPGA的安全性测试需求项，提高了FPGA测试需求覆盖的充分性和完整性以及测试类型的充分性和完整性。

附图说明

图1本发明的安全性测试方法流程图；

图2本发明的FPGA系统约定层次图；

图3本发明的编码体系图。

具体实施方式

如图1所示，一种基于FMECA的FPGA安全性需求分析方法，包括以下步骤，

步骤1 准备工作；

获取被测FPGA的有关信息，如：从开发文档、技术文件、芯片手册等文档中获取被测FPGA的功能要求、技术指标、运行环境等信息。

步骤2 对FPGA工作系统进行定义；

FPGA工作系统定义包括：功能分析；确定分析系统的约定层次；制定编码体系；定义故障判据；定义故障模式的严酷度分类。

1)功能分析

对被测FPGA工作系统进行功能分析，明确各功能之间的控制流及数据流关系，绘制出FPGA工作系统的功能框图。

2)确定分析FPGA工作系统的约定层次

在进行FMECA时，首先要明确被分析系统的约定层次，从初始约定层次开始，逐渐向最低约定层次分析，对于各约定层次的定义如下：

(1)约定层次：是根据分析的需要，按产品的功能关系或程度划分的产品功能层次或结构层次。这些层次一般从比较复杂的系统到比较简单的零件进行划分。FPGA工作系统除了初始约定层次和最低约定层次外，还有其他约定层次，根据用户需要，其他约定层次只划分为一个约定层次或多个相继的约定层次。

(2)初始约定层次：要进行FMECA的完整的产品所在的层次，它是约定的产品第一分析层次。

(3)其他约定层次：相继的约定层次(第二、第三、第四等)，这些层次表明了直至较简单的组成部分的有顺序的排列。

(4)最低约定层次：约定层次中最底层的产品所在的层次。它决定了FMECA工作深入、细致的程度。

根据用户需求，FPGA工作系统的最低约定层次一般按以下原则确定：

(1)为保证每个分析对象有完整的输入，在分析对象清单中规定其最低约定层次。

(2)能导致严酷度为灾难的(I类)或致命的(II类)故障的产品所在的层次。

(3)规定或预期需要维护的最低产品层次，这些产品可能导致严酷度为中等的(III类)或轻度的(IV类)故障。

划分约定层次时还要注意下列注意事项：

(1)应明确在“初始约定层次”、“其他约定层次”和“最低约定层次”之间的关系。

(2)约定层次划分得越多越细，其FMECA的工作量就越大，在实际操作时，可根据用户的要求来确定约定层次。

(3)对于采用成熟设计、继承性较好且经过了可靠性和安全性良好验证的FPGA工作系统，其约定层次可划分得少而粗；反之，其约定层次可划分得多而细。

(4)每个约定层次的模块应有明确定义(包括功能、故障判据等)，当约定层次的级数较多(一般大于3级)时，应从下至上按约定层次的级别不断分析，直至“初始约定层次”相邻的下一个层次为止，进而构成完整的FMECA。

3)制定编码体系；

为了对FPGA工作系统的每个故障模式进行统计、分析、跟踪和反馈，应根据FPGA工作系统的功能及结构分解或所划分的约定层次，制定FPGA工作系统的编码体系。其原则是：

(1)符合FPGA工作系统功能和结构特点且便于使用。

(2)能体现FPGA工作系统约定层次的上、下级关系。

(3)对各功能单元或工作单元编码具有唯一、简明、合理、适用和可追溯性，且有可扩充性。

(4)符合开发文档、技术文件中的规定，并与FPGA工作系统功能框图和任务可靠性框图编码相一致。

4)定义故障判据；

故障判据是“判断是否属于故障的依据，也称故障判断准则”。它一般是由承制方和订购方共同根据FPGA工作系统的功能、性能指标、使用环境和工作特点等允许极限进行确定的。

定义故障判据的主要依据包括：

(1)FPGA工作系统在规定的条件下和规定的时间内，不能完成其规定的功能。

(2)FPGA工作系统在规定的条件下和规定的时间内，某些性能指标不能保持在规定的范围内。

(3)FPGA工作系统在规定的条件下和规定的时间内，引起对能源、物资等的消耗或对人员、环境等的影响超出了允许范围。

(4)开发文档、技术文件或芯片手册等文件中规定的故障判据。

5)定义故障模式的严酷度分类；

“严酷度”是故障模式所产生的后果的严重程度。在进行危害度分析(CA)时用于对各种故障模式所产生的危害程度进行分类。严酷度通常划分为4类详见表1。

表1严酷度分类

步骤3、进行故障模式影响分析(FMEA)；

故障模式影响分析应包括以下几部分：

1)确定FPGA工作系统所有可能的故障模式；

根据FPGA工作系统的功能框图，确定FPGA工作系统所有可能的故障模式。在分析故障模式的过程中可按照故障判据、试验信息、使用信息相似系统的使用情况及故障模式、工程经验等方面确定FPGA工作系统所有可能的故障模式。

2)确定每个故障模式可能的原因及其故障发生概率等级；

按FPGA工作系统内部、外部和工程经验等相关情况确定FPGA工作系统故障模式的原因及其发生概率等级。

3)确定每个故障模式可能的影响；

按每个故障模式分别对自身、高一约定层次和影响进行分析，并确定其严酷度等级。

4)填写FMEA表

表2 FMEA表

步骤4、进行危害性分析(CA)；

危害性分析(CA)的目的是按每一故障模式的严重程度及该故障模式发生的概率所产生的综合影响对FPGA系统中的故障分类，以便全面评价FPGA系统中各种可能出现故障的影响。CA是FMEA的补充或扩展，只有在进行FMEA的基础上才能进行CA。根据用户需求，也可以不进行危害性分析，直接跳至步骤5。

危害性分析(CA)常用的方法为风险优先数(Risk Priority Number，RPN)方法。确定每个故障模式的OPR、ESR、DDR，计算风险优先数RPN，从而确定每个FPGA故障模式的危害性等级的排序。

危害性分析(CA)的过程如下：

1)确定风险优先数；

风险优先数(RPN)是由故障模式发生概率等级(Occurrence ProbabilityRanking，OPR)、影响的严酷度等级(Effect Severity Ranking，ESR)和故障被检测难度等级(Detection Difficulty Ranking，DDR)的乘积计算得出。即风险优先数(RPN)按下列公式进行计算：

RPN＝OPR×ESR×DDR

FPGA故障模式的RPN数越高，则其越重要。在对影响RPN的3项因素进行评分之前，应首先根据所分析系统的具体特点对这3项因素制定评分准则。

(1)故障模式发生概率等级(OPR)

用于评定某一特定的故障原因导致的某故障模式实际发生的可能性。表3中给出了发生概率等级的评分准则示例，其中“故障模式实际发生概率Pm参考范围”是对应各评分等级给出的预计在产品的寿命周期内发生的故障数。

表3 故障模式发生概率等级(OPR)的评分准则

(2)影响的严酷度等级(ESR)；

用于评定所分析的故障模式的最终影响。通常影响的描述对产品用户应是可见的。表4给出了严酷度等级的评分准则示例。

表4 故障影响的严酷度等级(ESR)的评分准则

(3)故障被检测难度等级(DDR)；

用于评定通过预定的检验程序查出引起所分析的故障模式的各种原因的可能性。检测难度等级的评分准则示例见表5。

表5 故障被检测难度等级(DDR)的评分准则

对上述3个因素等级的完整性评分结果相乘后将得到RPN的结果，从而可对各故障模式进行相对的危害性评定。那些发生概率高、严重程度高又难以检出的故障模式，其RPN值也较高，从而危害性较大。反之，那些发生概率低、严重程度低又较容易检出的故障模式，其RPN值也较低，从而危害性较小。依据RPN值的结果，可以确定相应的FPGA安全性测试需求项对应的优先级，根据用户的需求确定RPN值门限。FPGA工作系统的安全等级越高，对应的RPN门限值定义的就越小。定义了RPN门限值之后，选择RPN值大于门限值的故障模式作为安全性测试需求项，这样做的好处是可以根据不同的安全性要求合理地安排FPGA工作系统安全性测试的工作量，在安全性要求与测试成本这对矛盾之间找到一个平衡点。

在使用FMECA技术进行FPGA工作系统安全性测试需求分析工作时还需要注意以下事项：

分析时一般不考虑多因素故障；

不能分析FPGA工作系统正常工作时所具有的危险和问题；

仅用于确定由于部件或FPGA工作系统分系统故障引起的潜在危险，不包括有关部件或FPGA工作系统分系统的危险特性，也不包含人为差错信息。

2)填写FMECA表；

FMECA在安全性分析中应用主要采用填写表格的方式进行，见表6，根据实际情况及分析工作的具体要求，可对表6中的内容进行补充扩展。

表6 FMECA表

表6中的(1)～(8)栏的内容按FMEA表中的内容填写。

第(9)～(12)栏：可根据实际情况参照表3～表5中的值进行填写。

第(13)栏：确定所采用的测试类型。

步骤5、确定FPGA工作系统安全性测试需求项。

可按照每个故障模式的严酷度等级或风险优先数进行排序，按每个故障模式的排序结果识别薄弱环节和关键项目，并列出严酷度为I、II类的或者是风险优先数RPN大于给定门限的故障模式项目清单，这些即可作为安全性测试需求项，其余的则作为功能测试需求项。

实施例

FPGA通信模块由FC系统、DY系统、GD系统等组成，其中FC系统和DY系统之间的通信方式为：总线物理接口采用EIA-RS-485标准，数据链路层采用SDLC(同步数据控制)协议，FC系统为主动方，DY系统为被动方。

DY系统FPGA的功能是按系统的通信协议完成与FC系统的通信。总线通信控制器自动完成一帧数据的接收，存入数据缓存区，并产生中断(INT0)通知CPU从数据缓存区中读取数据。CPU读取完数据后，将准备好的发送数据写到数据缓存区，写完后通知总线通信控制器自动完成一帧数据的发送。CRC(循环冗余码校验)由外围电路完成判断，其结果通过数据线上的相应位进行标识。

DY系统的通信协议约定为：

1)帧格式定义

帧格式定义见表7。

表7 帧格式定义表

2)通讯协议

通讯协议见表8。

表8 通讯协议

3)外围接口地址

外围接口地址及内容见表9。

表9 外围接口地址及内容表

下面我们以DY系统FPGA中的通信模块INTO-ISR为例来详细地说明使用FMECA进行安全性测试需求分析的具体方法。

步骤1、准备工作

获得被分析对象的有关信息，如开发文档、技术文件、芯片手册等。

步骤2、DY系统定义

将DY系统FPGA约定层次划分如下：初始约定层次为DY系统，第一约定层次为计算机软件配置项(CSCI)DYS，最低约定层次为CSU01通信模块INT0_ISR，详见图2。

DY系统FPGA中使用编码体系见图3，图3中T***为测试项标识；A###为测试子项标识，A代表测试类型标识，如T003-A002，为该FPGA第3个测试项的第2个安全测试子项。

步骤3、进行故障模式分析

进行故障模式影响分析，得到FMEA表，见表10。

表10 FMEA表

步骤4、进行危害性分析

进行危害性分析，得到FMECA表，见表11。

表11 FMCEA表

步骤5、确定DY系统FPGA安全性测试需求项

通过对FPGA进行FMECA，并依据风险优先数RPN进行排序，根据用户需求设定RPN值的门限为90，对RPN值大于90的故障模式进行安全性测试，对于RPN值在90以下的故障模式只开展功能测试，通过正常和异常的功能测试用例来覆盖。最终可以得到的安全性需求项见表12。

表12 安全性需求项列表

序号	安全性需求项标识	安全性需求项
			1	T001-A001	通信接口非接收状态
2	T001-A002	中断允许处于禁止状态
			3	T001-A003	数据发送始终不成功
4	T001-A004	发送结束后通信始终无法设置为接收状态

Claims (2)

1.一种基于FMECA的FPGA安全性需求分析方法，其特征在于：包括以下步骤，

步骤1、从开发文档、技术文件、芯片手册文档中获取被测FPGA的信息；

步骤2、对FPGA工作系统进行定义；

FPGA工作系统定义包括：功能分析；确定分析系统的约定层次；制定编码体系；定义故障判据；定义故障模式的严酷度分类；

1)功能分析；

对被测FPGA工作系统进行功能分析，明确各功能之间的控制流及数据流关系，绘制出FPGA工作系统的功能框图；

2)确定分析FPGA工作系统的约定层次；

在进行FMECA时，首先要明确被分析系统的约定层次，从初始约定层次开始，逐渐向最低约定层次分析，对于各约定层次的定义如下：

(1)约定层次：是根据分析的需要，按产品的功能关系或程度划分的产品功能层次或结构层次；

(2)初始约定层次：要进行FMECA的完整的产品所在的层次；

(3)其他约定层次：相继的约定层次；

(4)最低约定层次：约定层次中最底层的产品所在的层次；

3)制定编码体系；

根据FPGA工作系统的功能及结构分解或所划分的约定层次，制定FPGA工作系统的编码体系；

4)定义故障判据；

(1)FPGA工作系统在规定的条件下和规定的时间内，不能完成其规定的功能；

(2)FPGA工作系统在规定的条件下和规定的时间内，某些性能指标不能保持在规定的范围内；

(3)FPGA工作系统在规定的条件下和规定的时间内，引起对能源、物资的消耗或对人员、环境的影响超出了允许范围；

(4)开发文档、技术文件或芯片手册文件中规定的故障判据；

5)定义故障模式的严酷度分类；

在进行危害度分析时用于对各种故障模式所产生的危害程度进行分类；

步骤3、进行故障模式影响分析；

故障模式影响分析应包括以下几部分：

1)确定FPGA工作系统所有可能的故障模式；

根据FPGA工作系统的功能框图，确定FPGA工作系统所有可能的故障模式；

2)确定每个故障模式可能的原因及其故障发生概率等级；

3)确定每个故障模式可能的影响；

按每个故障模式分别对自身、高一约定层次和影响进行分析，并确定其严酷度等级；

4)填写FMECA表；

步骤4、进行危害性分析；

根据用户需求，如果不进行危害性分析，直接跳至步骤5；

如果进行危害性分析，确定每个故障模式的故障模式发生概率等级、影响的严酷度等级和故障被检测难度等级，由故障模式发生概率等级、影响的严酷度等级和故障被检测难度等级的乘积计算得出风险优先数，从而确定每个FPGA故障模式的危害性等级的排序；确定风险优先数门限值，选择风险优先数值大于门限值的故障模式作为安全性测试需求项；填写FMECA表；

步骤5、确定FPGA工作系统安全性测试需求项；

可按照每个故障模式的严酷度等级或风险优先数进行排序，按每个故障模式的排序结果识别薄弱环节和关键项目，并列出严酷度为I、II类的或者是风险优先数大于给定门限的故障模式项目清单，这些即为安全性测试需求项。

2.根据权利要求1所述的基于FMECA的FPGA安全性需求分析方法，其特征在于：所述的FPGA工作系统的最低约定层次按以下原则确定：

(1)为保证每个分析对象有完整的输入，在分析对象清单中规定其最低约定层次；

(2)能导致严酷度为灾难的I类或致命的II类故障的产品所在的层次；

(3)规定或预期需要维护的最低产品层次，这些产品可能导致严酷度为中等的III类或轻度的IV类故障。