如何用低成本ARM Cortex-M微控制器讓家電變得更安全

自2007年起，家電廠(chǎng)商的所有新設計必須遵守IEC60335安全標準。為確保家電設備安全可靠，特別是設備故障不能威脅用戶(hù)的人身安全，這套新標準涉及十分廣泛的內容，從機械系統到嵌入電子元器件均有明確規定。

電子部分參照另一個(gè)標準，即適用于各種應用領(lǐng)域的IEC60730自動(dòng)電子控制標準。對于嵌入式系統開(kāi)發(fā)人員，附件H對于嵌入式系統開(kāi)發(fā)人員尤為重要，因為該附件是關(guān)于可編程器件。白色家電通常使用多個(gè)微控制器：一個(gè)微控制器負責管理控制臺，另一個(gè)管理閥門(mén)和電機控制。

根據設備故障導致的危險程度，該標準將軟件分為A、B、C三類(lèi)。如果家電安全不依靠軟件，則該家電屬于A(yíng)類(lèi)，如室內溫控器或照明控制器。相反，如果軟件用于防止安全隱患，如電子點(diǎn)火燃氣灶歸為C類(lèi)。本文不探討C類(lèi)。電子控制系統防止不安全操作的家電多數屬于B類(lèi)，如洗衣機，其安全隱患與電控門(mén)鎖或電機熱關(guān)斷有關(guān)。

IEC60730附件H的表格 H.11.12.7 列出了B類(lèi)和C類(lèi)軟件需測試的微控制器元器件、需檢測的故障和接受的安全措施，檢測內容包括監視CPU(寄存器和程序計數器)、中斷(處理和執行)和時(shí)鐘頻率，檢驗易失性存儲器(RAM) 、非易失性存儲器(閃存和 EEPROM)、外部通信以及外設。

這些檢測均在微控制器引導過(guò)程中甚至在系統執行代碼前完成，主要原因是RAM測試具有‘破壞性’，可導致初始化的變量損壞。

在RAM檢測中，標準要求B類(lèi)設備定期做單一位DC故障檢測(如嵌入存儲器固定故障或耦合故障)。因為多數入門(mén)級微控制器的SRAM無(wú)校驗位，所以該檢測必須由軟件來(lái)完成。March算法通過(guò)限定數量的測試來(lái)發(fā)現這些故障，March C測試最適合B類(lèi)(使用10N次測試，N為被測試存儲地址的數量)，但是March X(6N次測試)在某些特定情況也被測試機構接受。測試完成后，RAM存儲器內容被清除(因此，又稱(chēng)為‘破壞性測試’)。

復位后執行March測試不會(huì )產(chǎn)生特別的問(wèn)題。除略微降低開(kāi)機速度外，沒(méi)有什么實(shí)際缺點(diǎn)，因為嵌入式SRAM很小，開(kāi)機速度降低甚至都不會(huì )被注意到。

相反，如果在運行期間重復這個(gè)測試，可能會(huì )產(chǎn)生很大的問(wèn)題。首先，測試必須透明：應用無(wú)需特定的協(xié)議即可處理RAM，好像沒(méi)有測試一樣。實(shí)際而言，這增加了下列條件：

· 測試必須是一個(gè)中斷處理程序(ISR)，且給予最高的處理優(yōu)先級，可禁止應用程序在測試過(guò)程中訪(fǎng)問(wèn)數據。

· 必須配備緩存，以便提前備份被檢驗的RAM內容，最后在應用任務(wù)重新運行前恢復RAM內容。顯然，也必須定檢驗證緩存。

其次，應用任務(wù)暫停時(shí)間不宜過(guò)長(cháng)。該測試通常分為若干個(gè)小測試，以限制占用頂層任務(wù)的時(shí)間。一次測試的地址不得少于3個(gè)連續地址(這是耦合故障測試覆蓋率的硬性要求)，這表示不少于30次連續的March C算法讀寫(xiě)操作。

雖然實(shí)際應用證明該解決方案效果不錯，而且在業(yè)界十分流行，但還是存在不少的缺點(diǎn)。

我們先從軟件工程角度剖析這些問(wèn)題。結構化編程的優(yōu)點(diǎn)略過(guò)，只分析相關(guān)的局限性問(wèn)題：

· 封裝問(wèn)題：C模塊必須將部分內部變量提高至全局變量，不再接受編譯器參照跨模塊訪(fǎng)問(wèn)進(jìn)行的完整校驗。

· 低任務(wù)隔離度和低模塊化：測試對每個(gè)安全關(guān)鍵的軟件模塊強制進(jìn)行訪(fǎng)問(wèn)測試，使增加新功能變得更加復雜。