オートモーティブ機能安全マニュアル Cyclone V FPGAおよびCyclone V SoC用

Transcription

1 オートモーティブ機能安全マニュアル Cyclone V FPGA および Cyclone V SoC 用 更新情報 MNL Innovation Drive San Jose, CA

2 目次 -2 オートモーティブ機能安全マニュアル Cyclone V FPGA および Cyclone V SoC 用 目次 オートモーティブの機能安全について システム障害の管理 アルテラの開発フロー ユーザー開発フロー FPGA 要件の仕様化 FPGA アーキテクチャの生成 ロジック モジュール デザインに向けた設計記述の作成 ロジック モジュール デザインに向けたテスト記述の作成 ロジック モジュール デザインのコーディング ロジック モジュール デザイン設計のテスト ロジック モジュール デザインへの障害の注入 FMEDA の実行 ロジック モジュール統合に向けた設計記述の作成 ロジック モジュール統合に向けたテスト記述の作成 ロジック モジュール統合のコーディング ロジック モジュール統合のテスト 合成の実行 配置配線の実行 スタティック タイミング解析の実行 ゲート レベル シミュレーションの実行 ビットストリームの生成 デザインの検証 オートモーティブの機能安全向けのアルテラ ツール アルテラ IP コア Nios II プロセッサ 偶発ハードウェア障害の管理に向けた Cyclone V アーキテクチャ Cyclone V の概要 Cyclone V がターゲットとするアプリケーション Cyclone V ハードウェアのアーキテクチャ Cyclone V の診断メカニズムおよび使用にあたっての前提条件 電源 クロック リセット 入力 / 出力

3 オートモーティブ機能安全マニュアル Cyclone V FPGA および Cyclone V SoC 用目次 -3 Cyclone V FPGA のコンフィギュレーション FPGA ユーザ メモリ 偶発ハードウェア障害の管理に向けた Cyclone V SoC アーキテクチャ Cyclone V の概要 Cyclone V SoC がターゲットとするアプリケーション Cyclone V SoC ハードウェアのアーキテクチャ Cyclone V SoC の診断メカニズムおよび使用にあたっての前提条件 電源 クロック リセット 入力 / 出力 Cyclone V SoC における FPGA のコンフィギュレーション FPGA ユーザ メモリ HPS インタコネクト HPS-FPGA 間のインタコネクト HPS Cortex-A9 MPU のサブシステム HPS のデバッグとトレース HPS SDRAM コントローラ HPS オンチップ RAM HPS オンチップ ブート ROM HPS NAND フラッシュ コントローラ HPS SD/MMC コントローラ HPS Quad SPI フラッシュ コントローラ HPS FPGA マネージャ HPS システム マネージャ HPS スキャン マネージャ HPS DMAC HPS イーサネット メディア アクセス コントローラ HPS USB 2.0 OTG コントローラ HPS SPI コントローラ HPS I2C コントローラ UART コントローラ HPS タイマ HPS ウォッチドッグ タイマ HPS CAN コントローラ ISO26262 に特化した FPGA デザイン用のテクニックと方法 デザイン入力 Structured Description( 構造化記述 ) Design description in HDL(HDL によるデザインの記述 ) 回路図入力

4 目次 -4 オートモーティブ機能安全マニュアル Cyclone V FPGA および Cyclone V SoC 用 ブール式を使用したデザインの記述 モジュール化 Proven in Use( 使用実績のある ) デザイン環境の適用 HDL シミュレーション モジュール レベルでの機能テスト トップレベル モジュールでの機能テスト Restricted use of asynchronous constructs( 非同期構文の使用制限 ) プライマリ入力の同期およびメタスタビリティの管理 機能的および構造的カバレッジ ドリブン検証 コーディング ガイドラインの順守 コード チェッカの適用 検査コードまたはウォークスルー 検証済みのソフト コアの適用 ソフト IP コアの検証 シミュレーション結果のドキュメンテーション 合成 内部整合性のチェック ゲート ネットリスト シミュレーション 伝播遅延のスタティック タイミング解析 (STA) シミュレーションによるリファレンス モデルに対するゲート ネットリストの検証 リファレンス モデルとゲート ネットリストの比較 ( フォーマル等価性検証 )5-16 IC ベンダの要件と制約の確認 合成の制約 結果 ツールのドキュメンテーション Proven in Use( 使用実績のある ) 合成の適用 Proven in Use( 使用実績のある ) ライブラリ /CPLD テクノロジの適用 スクリプト ベースの手順 適切なタイミング マージン テストの挿入とテスト パターンの生成 テスト容易化設計 (DFT) 配置 配線 レイアウトの生成 使用実績のある適用されたハード コアの正当性 検証済みのハード コアの適用 レイアウト後のゲート ネットリスト シミュレーション パワー ネットワークの解析 リファレンス モデルとレイアウト後のゲート ネットリストの比較 デザイン ルール チェック Layout Versus Schematic(LVS) チェック チップ生産段階の安全性に関連する特殊な特性 Proven in Use( 使用実績のある ) プロセス テクノロジの適用 Proven in Use( 使用実績のある ) デバイス シリーズ 使用実績のある製造工程の適用 製造工程における品質管理

5 オートモーティブ機能安全マニュアル Cyclone V FPGA および Cyclone V SoC 用目次 -5 システム内の FPGA プロトタイプの最終的な確認および検証 最終的な検査と検証 アルテラ ツールおよびソフトウェアの既知の問題 Development Interface Agreement( 開発協働契約書 ) 安全管理者 安全性ライフサイクル アルテラが行う活動およびお客様の責任 アルテラが提供する情報 活動の責任当事者 目標値についての情報交換 サポートのプロセスとツール Nios II プロセッサを使用したソフトウェア開発 Qsys を使用した Nios II システムの作成 Nios II システム用のボート サポート パッケージの作成 アプリケーション フレームワークの作成 アプリケーション ソフトウェアの開発 ソフトウェアとハードウェアの統合 ISO26262 規格に含まれるツールとライブラリ ISO26262 規格に含まれないサードパーティー製ツールとライブラリ サポートされる (V)HDL のバージョン 改訂履歴

6 オートモーティブの機能安全について 1 MNL-1079 更新情報 本資料は 機能安全を重視するシステムの実装についての情報を提供し アイテム レベルでの ISO26262: コンプライアンスを満たすことを可能とします TÜV Rheinland 社は前世代の Altera FPGA とツールが SIL3 レベルまで IEC61508:2010 規格を満たすこと承認しています この高い技術と作業は 継続して ISO26262: 規格も満たしています アルテラは ISO26262 USTAG の積極的なメンバーであり 半導体メーカーに関する標準の明確化を目的とする ISO26262 半導体メーカーのサブグループに参画しています 注意 : アルテラのコンポーネント ソフトウェア およびツールのユーザーはすべての規制および安全性の要件を満たしている必要があります この資料に記載されているすべての情報は参照を目的としており 安全機能を重視するシステムにおいてアルテラ コンポーネントの使用に起因するいかなる損害 クレーム スイートまたは費用に対し アルテラは一切責任を負いかねます Intel Corporation. All rights reserved. Intel, the Intel logo, Altera, Arria, Cyclone, Enpirion, MAX, Nios, Quartus and Stratix words and logos are trademarks of Intel Corporation or its subsidiaries in the U.S. and/or other countries. Intel warrants performance of its FPGA and semiconductor products to current specifications in accordance with Intel's standard warranty, but reserves the right to make changes to any products and services at any time without notice. Intel assumes no responsibility or liability arising out of the application or use of any information, product, or service described herein except as expressly agreed to in writing by Intel. Intel customers are advised to obtain the latest version of device specifications before relying on any published information and before placing orders for products or services. *Other names and brands may be claimed as the property of others. ISO 9001:2008 登録済 Innovation Drive, San Jose, CA 95134

7 システム障害の管理 2 MNL-1079 更新情報 アイテムあるいはエレメント内での障害のリスクを最小限に抑えるには 系統的な故障の可能性を低減させます 堅牢な開発フローを使用することで この目標が達成可能となります 2-1 ページのアルテラの開発フローこのフローは TÜV Rheinland 社により 2010 年から最新の 2015 年 (No.: 968/EL /12) の認定に至るまで SIL3 までの IEC61508:2010 規格への順守に必要なアプリケーションでの使用に適していることが承認されています 2-3 ページのユーザー開発フロー TÜV Rheinland 社は モデル フローが IEC61508:2010 規格を満たすことを承認しています また TÜV Rheinland 社はこのフローが機能安全を重視するシステムのデザインに適していると判断しています アルテラは ISO26262: 規格を満たすようこのフローを修正しています アルテラの開発フロー アルテラは開発フローで使用するツール デバイス IP コアを提供しています このフローは TÜV Rheinland 社により 2010 年から最新の 2015 年 (No.: 968/EL /12) の認定に至るまで SIL3 までの IEC61508:2010 規格への順守に必要なアプリケーションでの使用に適していることが承認されています アルテラは EN ISO9001:2008(certificate: NAIS ) の認証を取得しています Intel Corporation. All rights reserved. Intel, the Intel logo, Altera, Arria, Cyclone, Enpirion, MAX, Nios, Quartus and Stratix words and logos are trademarks of Intel Corporation or its subsidiaries in the U.S. and/or other countries. Intel warrants performance of its FPGA and semiconductor products to current specifications in accordance with Intel's standard warranty, but reserves the right to make changes to any products and services at any time without notice. Intel assumes no responsibility or liability arising out of the application or use of any information, product, or service described herein except as expressly agreed to in writing by Intel. Intel customers are advised to obtain the latest version of device specifications before relying on any published information and before placing orders for products or services. *Other names and brands may be claimed as the property of others. ISO 9001:2008 登録済 Innovation Drive, San Jose, CA 95134

8 2-2 アルテラの開発フロー 図 2-1: アルテラの開発フロー 次の図はいくつかの段階を経るアルテラの開発フローを表しています MNL-1079 Discovery Review? no yes Concept Rollout Review? no Review? no yes yes Plan Production Review? no Review? no yes yes Design End of Life Review? no Review? yes no アルテラは 各段階の終了時に全段階を再度評価し 次の段階に進むかどうかを判断します Discovery 段階 Discovery 段階では アルテラは市場機会とアルテラ デバイスの潜在的な適合性を評価します Concept 段階 Concept 段階では アルテラは特定の市場に対処するためのソリューションを定義し 次の段階に向けたプランを作成します システム障害の管理

9 MNL-1079 ユーザー開発フロー 2-3 Plan 段階 Plan 段階ではアルテラは 様々な機能的グループのインプットをもとにプロジェクト プランを開発します アルテラは 実行可能性の調査を行い 高水準の仕様を作成します Design 段階 Design 段階ではアルテラは 高水準の仕様をより詳細な仕様に改良します これは製品を実装するために使用されます アルテラはテスト プランを作成し デザインが詳細な仕様を満たすことを検証します Rollout 段階 Rollout 段階では アルテラはその製品がデバイスである場合 製品を特定し それを検証します アルテラは異常を把握し それらを記録し 潜在的にそのような問題点を修正します Production 段階 Production 段階では アルテラは製造準備が整ったデバイス ツール および IP コアを作成します お客様は 製造に向けてアルテラの成果物を使用することができます End-of-Life 段階 End-of-Life 段階では アルテラは製品寿命の終了時に 製品を市場から撤収させることをカスタマーに通知します お客様は 定義された期間中に新しいアルテラ製品に変更することができます ユーザー開発フロー アルテラ プロダクトは ハードウェアのプログラムが可能です ユーザーは独自の回路を設計し FPGA にプログラムすることが可能です これには 通常はシリコン プロバイダによって行われる多くの設計ステップをユーザーが実行しなければいけません IP コアおよび回路の作成には V モデル フローを使用することができます TÜV Rheinland 社は モデル フローが IEC61508:2010 規格を満たすことを承認しています また TÜV Rheinland 社はこのフローが機能安全を重視するシステムのデザインに適していると判断しています アルテラは ISO26262: 規格を満たすようこのフローを修正しています システム障害の管理

10 2-4 ユーザー開発フロー MNL-1079 図 2-2: ユーザーによる V モデル開発フロー Specify FPGA Requirements Generate FPGA Architecture Plan Tests Validate Design Create Design Description Logical Module Design Create Test Plan Code Test Perform FMEDA Inject Faults Perform Gate- Level Simulation Generate Bitstream Logical Module Integration Create Design Description Create Test Plan Test Perform Static Timing Analysis Code Perform Synthesis Perform Place and Route 各 V モデル ステップの記述には以下の情報が含まれます V モデル ステップの記述 入力 V モデル ステップへの入力のリスト これには プロジェクトのドキュメントやデザイン ファイルなどが含まれます 出力 V モデル ステップの出力のリスト 入力を処理する際の最終的な結果 これには 出力ネットリスト 検証パス 成功しなかったステータスなどが含まれます 検証 V モデル ステップが正しく行われていることを検証します アルテラでは例を提供していますが 独自の方法を用いることも可能です 検証または V モデルステップ中にツールを使用する場合は 検証を補助するためにツールの出力を評価しなければなりません ツールが生成したエラー 警告 およびレポート ファイルを評価する必要があります 推奨ツール 特定の V モデル ステップを実装するにあたって このソフトウェア ツールのリストを使用することができます 1 つのツールのみが利用可能なケースもありますが ほとんどのは場合多くのオプションが利用可能です 特定のテクニックと方法 このリストは 各ステップに適用される標準で明示的な参照を示しています 本資料中のトピックには これらのテクニックと方法を満たすことができる手法を解説するアルテラ固有の情報が含まれます システム障害の管理

11 MNL-1079 FPGA 要件の仕様化 2-5 注意 : FPGA 要件の仕様化 開発段階で要件のトレーサビリティに向けての何らかの手段を用いることを推奨しています アルテラはこの過程を全体の安全性要件の一部であると考えており 各 V モデル ステップはこれについて明示的に言及していません このステップでは FPGA サブシステムの全体的な機能性を明確に記述します この記述には高レベルの仕様項目とデバイス全体の機能性の詳細が含まれます 高レベルのシステム要件を分析し FPGA が実行する機能を引き出します FPGA 要件の仕様には以下が含まれます : 高レベルの機能要件 サブシステムの性能 必要な外部インタフェース この段階で仕様化が可能なアイテム : FPGA デバイス ファミリ パフォーマンス 例 : デバイスの動作クロックの周波数 パフォーマンスとシンセシスの設定 例 : フィジカル シンセシスの使用 IP コアの使用およびソフトウェアの仕様 デザイン言語とバージョン 外部 I/O の制約 ( 速度 電圧 分離 ) この V モデルのステップに適用できるアルテラのプロセスまたはツールはありません 入力 : アイテム要件の仕様 安全コンセプト 出力 : 詳細な FPGA 要件の仕様 検証報告書 検証 : 入力ドキュメントに対する詳細な FPGA 要件の仕様の手続き型クロスチェック 例 : 番号付きアイテムの使用 相互評価の詳細な FPGA 要件の仕様 推奨ツール : 要件管理ツール ( 例 :IBM DOORS または TechnoSolutions TopTeam など ) 特定のテクニックと方法 : なし システム障害の管理

12 2-6 FPGA アーキテクチャの生成 要件の仕様と管理に関するより具体的な情報については ISO :2011 clause 6 および ISO :2011 clause 6 を参照してください FPGA アーキテクチャの生成 1. 適切な FPGA アーキテクチャを生成します 2. 一般的に FPGA デザイン内の主要なブロックについて記述し その中でも主要なブロックとその他のブロック FPGA デザイン内および外部インタフェースとの相互接続と相互作用について記述します 3. 通常 主要なブロックおよびそれらの相互接続を示すブロック図を生成します 4. FPGA システムすべての要件を考慮し 必要な機能をサブモジュールへパーティション化します 5. このようなサブモジュールは別々に定義し境界を設定することで 個別に開発およびテストすることが可能となります 6. サードパーティ製の IP コアまたは標準インタフェースを指定することができます 7. 安全性を考慮した設計が正常に動作することを確認するために必要となるアーキテクチャの機能を指定する必要があります この段階では 以下の項目を指定することもできます : デザイン入力の方法 FPGA ファミリ内の特定のデバイス 完全なツールのリスト テキスト エディタ サポートされるサードパーティー製シミュレータ ツール 合成エンジン スクリプトを必要とするツールの部分の仕様 アーカイブされたファイルや結果の要件 Qsys IP コア 総合的な診断テクニック サブモジュール レベルでの診断テクニック Nios II エンベデッド ソフト プロセッサ 標準の内部インタフェース ( 例 :Avalon メモリ マップド (Avalon-MM) インタフェースまたは Avalon ストリーミング (Avalon-ST) インタフェース ) 入力 : アイテムの安全要件の仕様 (Item SRS) FPGA 要件の仕様 FPGA の安全要件の仕様 (FPGA SRS) エラッタと既知の問題 出力 : FPGA 機能アーキテクチャ図とその記述 FPGA 診断アーキテクチャの詳細 詳細なモジュール要件の仕様および診断あるいはストラテジーのコンセプト 検証報告書 MNL-1079 システム障害の管理

13 MNL-1079 ロジック モジュール デザインに向けた設計記述の作成 2-7 検証 : 入力ドキュメント アイテムに対する出力ドキュメント アイテムの手続き型クロスチェック 例 : 番号付きアイテムの使用 アーキテクチャのピアレビュー 推奨ツール : 標準的な作図パッケージ ( 例 :Microsoft Visio) 標準的な文書作成パッケージ ( 例 :Microsoft Word) 要件管理ツール ( 例 :IBM DOORS または TechnoSolutions TopTeam など ) 特定のテクニックと方法 ; なし ハードウェア アーキテクチャの設計に関する詳細な要件については ISO :2011 clause を参照してください 詳細については Quartus II Software Handbook v14.1 の以下のトピックを参照してください Volume 1: 設計と合成 第 2 章 :Quartus II ソフトウェアによるデザイン プランニング ロジック モジュール デザインに向けた設計記述の作成 このステップでは FPGA アーキテクチャのステップが指定する各モジュールの設計段階の説明を記述します 記述には モジュール要件を達成する方法について記載します この文書は ステート マシンの機能 演算機能 詳細なモジュール I/O の定義を指定するレベルとすることができます FPGA アーキテクチャの検証および最終的なモジュール実装を確認する手法が実行可能となるよう モジュールのビヘイビアをモデル化することが望ましい場合もあります このモデルは SystemC や MathWorks 社の MATLAB M などの高レベルのモデリング言語で実装可能です ドキュメントには 優秀なエンジニアが診断を含む各モジュールを FPGA デバイス内に問題なく実装できるように 十分な詳細を含める必要があります 各モジュールに関連する機能 パフォーマンス 安全性を明確に定義します さらに インタコネクトとチップ全体におよぶリも明確に定義します 以下は このステップへ FPGA デザインに関連する具体的な考慮事項です RAM 使用量と構成 クロッキング リ (PLL は ルーティング ) と構成 モジュールの I/O 接続 バスの種類 この V モデルのステップに適用できるアルテラのプロセスまたはツールはありません 入力 FPGA アーキテクチャのドキュメント 詳細なモジュール要件の仕様 出力 システム障害の管理

14 2-8 ロジック モジュール デザインに向けたテスト記述の作成 詳細なデザインの設計記述 モジュール レベルのビヘイビア モデル 検証報告書 検証 出力デザイン ドキュメントを持つ入力仕様の手続き型クロスチェック 例 : 番号付きアイテムの使用 ドキュメントのピアレビュー 推奨ツール 標準的な文書作成パッケージ (Microsoft Word) 要件管理ツール ( 例 :IBM DOORS または TechnoSolutions TopTeam など ) ビヘイビアのモデル化用の System-C ビヘイビアのモデル化用の MathWorks 社の MATLAB 特定のテクニックと方法 なし ハードウェアの設計に関する詳細な要件については ISO :2011 clause を参照してください ロジック モジュール デザインに向けたテスト記述の作成 この V モデルのステップでは モジュール レベルの機能を説明し テスト仕様やテストの記述を生成します 実行する場合 デザインの要件を満たすにあたってテストの記述が十分なテスト カバレッジを提供する必要があります システム全体の安全要件とターゲットの ASIL が要件を導きます 各仕様のポイントまたは機能要件を分析します 正しい機能と起こり得る障害の両方の条件でテストするために特別なテストを記述します また モジュール内で診断機能の能力をチェックするテストも開発します この V モデルのステップに適用できるアルテラのプロセスまたはツールはありません 入力 アイテム要件の仕様 ( すべての安全要件向け ) FPGA 要件の仕様 (FPGA レベルの要件向け ) ロジック モジュール デザイン 機能の記述 出力 ロジック モジュール デザイン テストの記述 検証報告書 検証 テストの記述でデザイン ドキュメントから番号付きのテストまでのテスト可能なアイテムのクロスチェック テスト ストラテジーと範囲のピアレビュー 推奨ツール 標準的な文書作成パッケージ (Microsoft Word) 要件管理ツール ( 例 :IBM DOORS または TechnoSolutions TopTeam など ) MNL-1079 システム障害の管理

15 MNL-1079 ロジック モジュール デザインのコーディング 2-9 特定のテクニックと方法 なし ハードウェアの設計に関する詳細な要件については ISO :2011 clause を参照してください ロジック モジュール デザインのコーディング このステップでは 詳細なモジュールの機能の記述を合成可能なデザインの記述に変換します これは通常 回路機能の (V)HDL 記述の形式をとり デザイン入力に対しては標準的なテキスト エディタを使用します 注意 : この資料内の (V)HDL という用語は Verilog HDL または VHDL のいずれかを意味します デザイン入力には様々な方法を選択することができます デザインの実装に適した方法を決定するには 数多くある特定のテクニックと方法 (5-1 ページの ISO26262 に特化した FPGA デザイン用のテクニックと方法 ) の中から 各デザイン入力の方法の適正を評価します の ISO26262 には アルテラ ツールを使用したこのようなテクニックと方法の実装方法が詳細に記載されています この V モデル ステップは アルテラのツールやプロセスを必要としません ただし Quartus II ソフトウェアを使用しているのであれば 正しい言語構文および精緻化エラーをチェックするには 解析およびエラボレーション機能を使用することができます 解析およびエラボレーションは デザインに正しい コードの構文と接続が使用されているかどうかをチェックする Analysis and Synthesis プロセスの一部を構成します 入力 : ロジック モジュール デザイン 機能の記述 出力 : 合成可能なデザイン ファイル ( 通常は (V)HDL) 検証 lint ツールの使用 ( 可能な場合 ) 検査コードまたはウォークスルー シミュレーション 推奨ツール 標準的なテキスト エディタ Qartus II 開発ソフトウェアの Analysis and Elaboration 機能 特定のテクニックと方法 Structured Description( 構造化記述 ) を参照してください Design description in HDL(HDL によるデザインの記述 ) を参照してください Restricted use of asynchronous constructs( 非同期構文の使用制限 ) を参照してください 検査コードまたはウォークスルーを参照してください 詳細については Quartus II Software Handbook v14.1 の以下のトピックを参照してください Volume 1: 設計と合成 第 1 章 :Quartus II プロジェクトの管理 システム障害の管理

16 2-10 ロジック モジュール デザイン設計のテスト 解析およびエラボレーションの詳細については Quartus II Software Handbook v14.1 の以下のトピックを参照してください Volume 1: 設計と合成 第 16 章 :Quartus II ソフトウェアの統合合成 関連情報 5-1 ページの ISO26262 に特化した FPGA デザイン用のテクニックと方法 ロジック モジュール デザイン設計のテスト このステップでは デザインを生成し テスト コードあるいはテストベンチを実行します 以前に生成されたテストの記述から個々のアイテムを実行可能なテストへと変換します このステップで開発するテストはそれぞれ テスト記述アイテムに直接リファレンスされます テストのパス / フェイル ステータスは 開発者およびプロジェクト マネージャーが簡単にアクセスできるようにします このステップには多くのテクニックが使用できますが 開発中の安全性に関するデザインに基も適したテクニックを選択します このステップには 以下のような方法が用いられることが一般的です 標準的なテキスト エディタを使用して (V)HDL テストベンチをコーディングします 適切なロジック シミュレータ内でこのテストベンチを実行します テストの成功 / 不成功をキャプチャします 不成功だった内容を分析し デザインの コードを修正します このステップでテストを実行するには スクリプトを使用します 高い信頼性と再現性を持つテストを実行する目的で アルテラは EDA コミュニティによって広くサポートされ 使用されている Tcl スクリプト言語をサポートしています サードパーティのシミュレータを慎重に選択します ISO26262: では ツールの信頼性レベル (ISO :2011 clause 11) の確立についての要件が定義されています このステップでは通常 標準的な (V)HDL によってデザインが記述されるため 選択した言語をサポートするサードパーティーのシミュレータだけが必要となります デザインに Altera IP コアのインスタンスが含まれる場合 適切な Altera のシミュレーション ライブラリを使用するようにします このようなライブラリは Quartus II ソフトウェアで提供されています シミュレーションでのコンフィギュレーションが ( この資料で指定する特定の Quartus II ソフトウェアのバージョンから ) 正しいアルテラ ライブラリをターゲットとしていることを確認する必要があります 検証には System Verilog HDL 言語を使用する方法を実装に選択することができます 選択するツールと方法が 安全性に関するデザインと検証に対して適切であることを確認する必要があります このステップでは デザインを合成し 同じシミュレーション テストベンチを使用してげーどレベルのコードを実行することが可能です 生成したコードがターゲット デバイスに合成されたかを早い段階で知ることができるため アルテラではこのステップを推奨しています 入力 デザイン ファイル Logical Module Design Test Description ドキュメント 出力 MNL-1079 システム障害の管理

17 MNL-1079 ロジック モジュール デザインへの障害の注入 2-11 テストのパス / フェイル ステータス ( デバッグで使用する ) テストのパス / フェイル診断 検証 ツールの使用 テスト結果のピアレビュー 有効なシミュレータ出力を手動でチェックします レポート ファイルの存在 およびタイム スタンプあるいはデート スタンプのチェック シミュレーション ライブラリ ファイルのタイム スタンプあるいはデート スタンプのチェック 推奨ツール サードパーティー製シミュレーション ツール これらの解説は本資料には含まれません Mentor ModelSim simulator Cadence NCSIM Synopsys VCS アルテラのシミュレーション ライブラリ ( オプション ) 特定のテクニックと方法 HDL シミュレーションを参照してください モジュール レベルでの機能テストを参照してください 機能的および構造的カバレッジ ドリブン検証を参照してください シミュレーション結果のドキュメンテーションを参照してください Proven in Use( 使用実績のある ) ライブラリ /CPLD テクノロジの適用を参照してください 詳細については Quartus II Software Handbook v14.1 の以下のトピックを参照してください Volume 3: 検証 第 1 章 : アルテラ デザインのシミュレーション Tcl スクリプトの詳細については Quartus II Software Handbook v14.1 の以下のトピックを参照してください Volume 2: デザインの実装と最適化 第 3 章 :Tcl スクリプト ロジック モジュール デザインへの障害の注入 このステップはオプションであり モジュール デザインに障害検出機能が内蔵されている場合のみ適用されます このステップでは 検出された障害の数を決定するために デザインのネットリストに障害を注入して実装された手法が診断する範囲を分析します モジュール デザインよりも高いレベルで診断測定を実施することができます モジュール デザインの統合において障害注入テストを実行して より高いレベルの測定で診断する範囲を決定し モジュール間の依存関係を分析する必要があります 入力 デザインのネットリスト 出力 テスト診断カバレッジ システム障害の管理

18 2-12 FMEDA の実行 検証 ツールの使用 テスト結果のピアレビュー 推奨ツール サードパーティ製の故障注入ツール サードパーティ製のシュミレーション ツール アルテラのシミュレーション ライブラリ ( オプション ) 特定のテクニックと方法 HDL シミュレーションを参照してください シミュレーション結果のドキュメンテーションを参照してください Proven in Use( 使用実績のある ) ライブラリ /CPLD テクノロジの適用を参照してください ロジック モジュール統合のテストを参照してください 詳細は以下を参照してください ISO :2011, Section ISO :2011, Section FMEDA の実行 このステップでは 診断能力を決定し デザインで達成されたメトリクスを評価します 実装された診断手法の Failure モード Failure モードの分布 Failure 率 および診断の範囲についての情報を Failure モード 効果 診断解析 (FMEDA) への入力として考慮する必要があります 最も正確な情報で製品開発サイクル間に FMEDA を微調整します 入力 Failure モード Failure モードの分布 回路の故障率 診断手法の診断カバレッジ 出力 FMEDA 検証 結果のピアレビュー 推奨ツール アルテラ FMEDA スプレッドシート 特定のテクニックと方法 MNL-1079 システム障害の管理

19 MNL-1079 ロジック モジュール統合に向けた設計記述の作成 2-13 適用されません ロジック モジュール統合に向けた設計記述の作成 このステップでは 抽象化レベルがモジュール統合レベルである点を除き ロジック モジュール デザインに向けた設計記述の作成と同じテクニックを使用します 各モジュール間の統合を記述するための基礎として FPGA アーキテクチャのドキュメントを使用することができます 関連情報 2-7 ページのロジック モジュール デザインに向けた設計記述の作成 ロジック モジュール統合に向けたテスト記述の作成 このステップでは テストがより高いレベルのブロックおよびサブシステムに特化されているという点を除き ロジック モジュール デザインに向けたテスト記述の作成と同じテクニックを使用します このテスト記述はフルチップのテスト時にターゲットとすることができます 関連情報 2-7 ページのロジック モジュール デザインに向けた設計記述の作成 ロジック モジュール統合のコーディング このステップでは 前の段階で開発した個々のモジュールを統合します この時点で これらのモジュールを組み合わせることで より高いレベルの機能と最終的なトップレベルの FPGA の設計を作成します Quartus II ソフトウェアはモジュールの統合を簡易化するコード生成ツール (Qsys) を搭載しており 特にアルテラ IP コアと Nios II プロセッサを使用する場合はモジュール統合を非常に簡単に実行することができます 入力 モジュール デザイン ファイル ロジック モジュール デザイン 機能の記述 FPGA アーキテクチャ 出力 チップ レベルまたはサブシステム レベルのデザイン ファイル 検証 自動化されたステップのレポート ファイルの出力を分析する ( これは Nios II ソフトウェア ビルド ツールにも適用されます ) VHDL ファイルのタイム スタンプとデート スタンプを確認する ( これは Nios II ソフトウェア ビルド ツールにも適用されます ) Qsys が生成した階層を検査する (Qsy s を使用した場合 ) 推奨ツール 標準的なテキスト エディタ Quartus II Qsys 特定のテクニックと方法 システム障害の管理

20 2-14 ロジック モジュール統合のテスト モジュール化を参照してください 検証済みのソフト コアの適用を参照してください ソフト IP コアの検証を参照してください MNL-1079 ロジック モジュール統合のテスト このステップでは モジュール レベルの V モデルのステップと同じテクニックを使用しています ただし 検証の焦点は より高いレベルのブロックおよびフルチップのテストにあります 入力 : デザイン ファイル Logical Module Design Test Description ドキュメント 出力 : テストのパス / フェイル ステータス ( デバッグで使用する ) テストのパス / フェイル診断 検証 : ツールの使用 テスト結果のピアレビュー 有効なシミュレータ出力を手動でチェックします レポート ファイルの存在 およびタイム スタンプあるいはデート スタンプのチェック シミュレーション ライブラリ ファイルのタイム スタンプあるいはデート スタンプのチェック 推奨ツール : サードパーティー製シミュレーション ツール これらの解説は本資料には含まれません Mentor: ModelSim Cadence: NCSIM Synopsys: VCS アルテラのシミュレーション ライブラリ ( オプション ) 特定のテクニックと方法 : HDL シミュレーションを参照してください モジュール レベルでの機能テストを参照してください 機能的および構造的カバレッジ ドリブン検証を参照してください シミュレーション結果のドキュメンテーションを参照してください Proven in Use( 使用実績のある ) ライブラリ /CPLD テクノロジの適用を参照してください 詳細については Quartus II Software Handbook v14.1 の以下のトピックを参照してください Volume 3: 検証 関連情報 2-10 ページのロジック モジュール デザイン設計のテスト システム障害の管理

21 MNL-1079 合成の実行 2-15 合成の実行 このステップでは FPGA 合成ツールを使用します 合成ツールは指定した入力デザイン ファイルを受け取り ロジック ファンクションを Quartus II ソフトウェアがターゲットとするアルテラ FPGA のロジック セルのストラクチャ内に実装できるフォーマットに変換します Quartus II ソフトウェアには Quartus II 統合合成機能ツールが含まれています これは他の開発フローの部分と統合する高性能な合成ツールです 安全性に関連するフローには他の合成ツールを使用することも可能です Quartus II ソフトウェアは VHDL および Verilog HDL 言語の特定のバージョンをサポートしています 使用するデザイン が これらの規格に適合していることを確認する必要があります 使用する言語のバージョンは FPGA 要件の仕様書あるいはコーディング ガイドラインのドキュメント内で指定しておくことが理想的です Quartus II ソフトウェアは構文の正確性という点からデザイン を確認した後 そしてデザイン階層を詳細に調査した後で FPGA コンパイル フローのロジック合成を実行します 合成エンジンの動作に関しては多くのオプションが存在します Quartus II 合成エンジンは合成の制約によって制御されます 入力 デザイン ファイル 例 :(V)HDL モジュールおよび統合ファイル プロジェクトの制約 例 : ターゲットとするファミリあるいはデバイス タイミング制約 ( 推奨 タイミング ドリブンの最適化が可能となります ) 出力 合成後のデータベース ( 内部ツール ファイル ) 検証 生成されたレポート ファイルを見直す ( 例 : 警告や重度の警告 ) 内部プロジェクト データベース タイムとデート スタンプを確認する 入力ファイル リストを確認する 推奨ツール Quartus II 統合合成ツール サードパーティー製合成ツール これらの解説は本資料には含まれません Synopsys Synplify Mentor Graphics Precision Synthesis Mentor Graphics LeonardoSpectrum 特定のテクニックと方法 : 内部整合性のチェックを参照してください 合成の制約 結果 ツールのドキュメンテーションを参照してください Proven in Use( 使用実績のある ) 合成の適用を参照してください Proven in Use( 使用実績のある ) ライブラリ /CPLD テクノロジの適用を参照してください スクリプト ベースの手順を参照してください Quartus II ソフトウェアが統合した合成を呼び出す方法およびそれらが持つ制約と効果については Quartus II Software Handbook v14.1 の以下のトピックを参照してください システム障害の管理

22 2-16 配置配線の実行 Volume 1: 設計と合成 MNL-1079 関連情報 9-1 ページのサポートされる (V)HDL のバージョン 配置配線の実行 このステップでは 論理合成の結果から各ロジック セルの特定の配置が含まれるネットリストを作成します さらに ロジック セルとその他のデバイス リとの間の正確な配線を導き出します 配置配線プロセスを実行するために システムのタイミング制約を使用するよう配置配線ツールを設定することが可能です アルテラは Quartus II ソフトウェアの多くのバージョンを通じて 複雑な内部アルゴリズムを開発してきました 技術の詳細については 本資料には含まれません 配置配線プロセスでは 合成ネットリスト アイテムを配置配線するだけではなく 合成データベースを大幅に変更することが可能です プロジェクト全体のレベルといった設計サイクルの初期段階で Quaruts II Fitter の設定と制約を決定します 入力 : 合成後のデータベース プロジェクトの制約 例 : ターゲットとするファミリあるいはデバイス タイミング制約 ( オプション タイミング ドリブンの配置配線用 ) 出力 : 配置配線後のネットリスト ( 内部ツール ファイル ) 検証 : ツールが生成したレポート ファイルの解析 ( 警告 重大な警告などをチェック ) 内部プロジェクト データベース タイムとデート スタンプを確認する 有効なゲート レベルでのシミュレーション結果を確認する 推奨ツール : Quartus II Fitter 特定のテクニックと方法 : 使用実績のある適用されたハード コアの正当性を参照してください 検証済みのハード コアの適用を参照してください 詳細については Quartus II Software Handbook v14.1 の以下のトピックを参照してください Volume 2: デザインの実装と最適化 第 12 章 : タイミング クロージャと最適化 第 14 章 : エリアの最適化 スタティック タイミング解析の実行 このステップでは タイミング解析を実行します タイミング解析を実行することで デザインのタイミングに関するパフォーマンスの正確な情報が得られ 回路が問題なく動作するかどうかを把握することができます システム障害の管理

23 MNL-1079 ゲート レベル シミュレーションの実行 2-17 FPGA の全体的なシステム パフォーマンスを FPGA 要件のドキュメントで指定することができます FPGA アーキテクチャのドキュメントでは デザイン内のサブシステムのタイミングを指定することができます アルテラは Quartus II ソフトウェアに TimeQuest タイミング解析ツールを搭載しています ユーザー提供のタイミング制約のセットに対してタイミング パフォーマンスを検証するには この包括的なツールを使用してください タイミング制約は 全体的な FPGA デザインの重要な部分であるため 慎重に設計し 管理する必要があります FPGA デザイン サイクルの初期段階でタイミング制約を開発します Quartus II ソフトウェアは合成とフィッティングの際にタイミング制約を使用します 例えば 合成と配置配線のステップでタイミング制約を使用すれば 速度や面積の最適化でより良い結果が得られます 入力 : タイミング制約 FPGA アーキテクチャ FPGA 要件の仕様 デバイスのタイミング モデル 配置配線後のネットリスト 出力 : タイミング レポート ファイル 検証 : タイミング障害のツール出力ファイルを見直す ツールからの有効な結果を確認する ツールが正しい制約 (.sdc) ファイルを読み出していることを確認する クロック サマリ レポートを確認する マクロが生成するすべてのサマリのレポートを確認する レポート ファイルの存在とタイム スタンプおよびデート スタンプを確認する レポート ファイル内で制約されていないパスを確認する 推奨ツール : Quartus II TimeQuest Timing Analyzer 特定のテクニックと方法 : 合成の制約 結果 ツールのドキュメンテーションを参照してください 伝播遅延のスタティック タイミング解析 (STA) を参照してください 適切なタイミング マージンを参照してください 使用期間が 3 年以下のプロセス テクノロジのデバイス ファミリを使用する場合のタイミング制約を変更するにあたっての特定の要件についての詳細な情報は 適切なタイミング マージンを参照してください ゲート レベル シミュレーションの実行 このステップでは 前段階のプロセスを検証します 配置配線ステップの出力であるネットリストでデザインをシミュレーションします ツールは論理合成を実行することでこのネットリストを生成するだけなので 合成ツールの動作も検証します システム障害の管理

24 2-18 ゲート レベル シミュレーションの実行 ロジック モジュール デザイン設計のテストとロジック モジュール統合のテストで生成するシミュレーション テストベンチを再利用することが一般的ですが この段階で開発に追加のテストを提供することを決定することができます この要件は FPGA 要件の仕様または FPGA アーキテクチャのドキュメント内で記述します ロジック シミュレータに関連するすべてのタイミング情報を提供するという点を除いては タイミングが正確なゲート レベルのシミュレーションは 通常のゲート レベルのシミュレーションと同じです このプロセスでは デザインないのタイミング違反が表示されることがあります 機能ゲート レベル シミュレーションに加えて このステップを実行することができます または 機能ゲート レベル シミュレーションはこのステップを置き換えることができます 使用期間が 3 年以下のプロセス テクノロジのデバイス ファミリを使用する場合のタイミング制約を変更するにあたっての特定の要件についての詳細な情報は 適切なタイミング マージンを参照してください 入力 配置配線後のネットリスト ロジック モジュール テストの記述とテストベンチ ロジック モジュール統合テストの記述とテストベンチ 出力 テストのパス / フェイル ステータス ( デバッグで使用する ) テストのパス / フェイル診断 検証 テスト結果のピアレビュー 有効なシミュレータの出力を手動で確認する 手動で波形を確認する ポート ファイルのパス / フェイル ステータスを手動で確認する レポート ファイルの存在とタイム スタンプおよびデート スタンプを確認する 推奨ツール サードパーティー製シミュレーション ツール これらの解説は本資料には含まれません Mentor ModelSim Cadence NCSIM Synopsys VCS アルテラのシミュレーション ライブラリ 特定のテクニックと方法 Proven in Use( 使用実績のある ) ライブラリ /CPLD テクノロジの適用 シミュレーションによるリファレンス モデルに対するゲート ネットリストの検証 リファレンス モデルとゲート ネットリストの比較 ( フォーマル等価性検証 ) 関連情報 2-10 ページのロジック モジュール デザイン設計のテスト 2-14 ページのロジック モジュール統合のテスト MNL-1079 システム障害の管理

25 MNL-1079 ビットストリームの生成 2-19 ビットストリームの生成 このステップでは ( ビットストリーム生成としても知られている ) プログラミング ファイルを生成します この手順は コンパイル済みのデザインでデバイスをプログラミングする前に実行します Quartus II ソフトウェアのアセンブラは 最終的なネットリストを取り込み 目的の機能に対し FPGA ロジック セルを設定するプログラミング シーケンスを生成します 多くの場合 Quartus II ソフトウェアはこの手順を自動的に実行します ビットストリームとストレージの生成にアセンブラを使用するには いくつかのオプションがあります 入力 配置配線後のネットリスト FPGA 要件の仕様 ( ビットストリーム ストレージ アプローチを含みます ) 出力 デバイス プログラミング ファイル (.sof.pof.hex など ) 検証 ツールが生成したレポート ファイルを見直す ハードウェアのチェック プログラミング ファイルのタイム スタンプとデート スタンプを確認する 推奨ツール Quartus II アセンブラ 特定のテクニックと方法 なし アセンブラの詳細については Quartus II Software Handbook v14.1 の以下のトピックを参照してください Volume 3: 検証 第 18 章 :Quartus II プログラマ デザインの検証 このステップでは ハードウェア内の最終的なデザインを検証します プログラミング ファイルの生成段階で生成されたビットストリームを取り込み このファイルをハードウェアのデバイスに適用するために適切な手法を使用します このステップの後 テスト記述のドキュメントが指定さする方法でデバイスの機能性を検証する必要があります この検証が成功しない場合には アルテラではデバッグに役立つ様々なイン システム デバッグ ツールを提供しています SignalTap II ロジック アナライザ Nios II Debugger Quartus II PowerPlay パワー アナライザ Quartus II In-System Memory Editor これらのテクニックとツールはデバッグにのみ使用し 最終的なシステムには適用しないでください 入力 システム障害の管理

26 2-20 オートモーティブの機能安全向けのアルテラ ツール デバイス プログラミング ファイル ( 例 :.sof.pof.hex) MNL-1079 出力 ハードウェア テストの結果 ( ドキュメント ) 検証 SignalTap II ロジック アナライザ : デバッグ IP コアがフィッタ レポート ファイルに含まれているかを確認する 有効な結果を SignalTap II ロジック アナライザで確認する Nios II デバッガ : 有効な結果をデバッグ ツールで確認する SignalTap II ロジック アナライザを使用してデバッガあるいはメモリ エディタの一貫性を確認する ハードウェアの検証を使用してデバッグ ツールが正しい出力を生成していることを確認する Quartus II PowerPlay アナライザ : 有効な結果を手動で確認する データベースの一貫性を確認する ( タイム スタンプとデート スタンプ ) レポート ファイル タイム デート スタンプ およびモジュールが含まれていることを確認する ハードウェアの消費電力をモニタする テスト結果のピアレビュー デバッグ IP コアがフィッタ レポート ファイルに含まれているかを確認する 有効な結果をデバッグ ツールで確認する SignalTap II ロジック アナライザを使用してデバッガあるいはメモリ エディタの一貫性を確認する ハードウェアの検証を使用してデバッグ ツールが正しい出力を生成していることを確認する 推奨ツール SignalTap II ロジック アナライザ Nios II Debugger Quartus II PowerPlay パワー アナライザ Quartus II In-System Memory Editor 特定のテクニックと方法 最終的な検査と検証 オートモーティブの機能安全向けのアルテラ ツール Qsys アルテラでは V モデル ステップで使用可能なさまざまなツールを提供しています Qsys コード生成ツールには ISO26262: に固有の要件があります 詳細については ISO :2011 の項 10 を参照してください システム障害の管理

27 MNL-1079 オートモーティブの機能安全向けのアルテラ ツール 2-21 Qsys は 生成されたモジュールとアルテラの標準 IP コア間における接続をグラフィカルに表示します これらのブロック間の接続には 以下のアルテラ バス プロトコルが使用されます Avalon-MM インタフェース Avalon-ST インタフェース サブモジュールと IP コアの間で接続が特定されると コード生成段階が実行されます この段階では 接続のグラフィカルな表現を取り入れ モジュール インスタンスおよびアービトレーション ロジックやブリッジなどを含む接続の (V)HDL 記述ファイルが生成されます この (V)HDL ファイルは手動でコード化した (V)HDL ファイルと同じ方法でデザイン内に含めることができます Qsys の詳細については Quartus II Software Handbook v14.1 の以下のトピックを参照してください Volume 1: 設計と合成 SignalTap II ロジック アナライザ Altera SignalTap II ロジック アナライザは FPGA 内のリアルタイム信号の遷移をキャプチャし 表示します つまり デバイス内で関心のあるノードを指定すると Quartus II コンパイラがそのノードを SignalTap II ブロックに接続し デバイス内でインスタンス化します 動作中は SignalTap ブロックが一定のトリガ条件をもとにオンチップ メモリへの信号の遷移をキャプチャします SignalTap II ロジック アナライザはその後 JTAG 経由でメモリの内容をホスト コンピュータへ転送し グラフィカルな形式でそれらを表示します 安全アプリケーションが online つまりデザインが機能安全に関与している場合は SignalTap II ロジック アナライザは使用しないでください SignalTap II ロジック アナライザの詳細については Quartus II Software Handbook v14.1 の以下のトピックを参照してください Volume 3: 検証 第 13 章 :SignalTap II ロジック アナライザを使用したデザインのデバッグ Nios II デバッガ Nios II ソフトウェア デバッガは ホストコンピュータが JTAG インタフェースを使用して FPGA 内の Nios II プロセッサに接続することを可能とします ブレーク ポインティング STD アウト レポートなどの標準的なソフトウェアのデバッグ方法には Nios II ソフトウェア デバッガを使用してください 安全関連アプリケーションが online つまりデザインが機能安全に関与している場合は Nios II デバッガは使用しないでください Nios II デバッガの詳細については Nios II Classic Software Developer's Handbook を参照してください Quartus II In-System Memory Editor Quartus II In-System Memory Editor は ホスト コンピュータからのオンチップ メモリの内容の変更とリードバックを可能とします このホスト コンピュータは JTAG 接続を使用してデバイスに接続します このツールは デザインの実行動作中にメモリの内容を分析する場合に役立 システム障害の管理

28 2-22 アルテラ IP コア ちます このインシステム機能を有効にするよう設計時に設定した場合にのみ オンチップ メモリにアクセスすることができます 安全関連アプリケーションが online つまりデザインが機能安全に関与している場合は In- System Memory Editor は使用しないでください In-System Memory Editor の詳細については Quartus II Software Handbook v14.1 の以下のトピックを参照してください Volume 3: 検証 第 16 章 : メモリおよび定数のインシステム修正 Quartus II PowerPlay パワー アナライザ Quartus II の PowerPlay パワー アナライザは デザイン コンセプトの初期からデザインの実装段階までの消費電力の見積もりを可能とします 見積もり結果を得るには 環境条件とデザインで使用する予定のデバイス リ数 ( クロック DSP ブロックなど ) についての情報を入力します デザインが部分的に完了している場合は Quartus II ソフトウェアは デバイスの電力消費量のより正確な見積もりを提供する PowerPlay early power estimator( 初期消費電力量の見積もり ) ファイルを生成することができます PowerPlay パワー アナライザの詳細については Quartus II Software Handbook v14.1 の以下のトピックを参照してください Volume 3: 検証 第 8 章 :PowerPlay 電力解析 アルテラ IP コア デザインに様々な機能を実装するには アルテラ IP コアの使用が適切である場合があります アルテラは以下の 2 種類の IP コアを提供しています メガファンクション MegaCore ファンクション アルテラ メガファンクションは 通常は PLL といった下位レベルのハード IP 機能です このような機能の多くは ユーザによる設定が可能です アルテラでは一般的にこのような IP コアの設定に GUI を提供しており これらはテキスト ベースのコンフィギュレーション ファイルを生成します アルテラ MegaCore ファンクションは 通常は FPGA の汎用リ内に実装する上位レベルの機能です これには DDR SDRAM コントローラや Ethernet MAC などが挙げられます IP コアの詳細については Quartus II Software Handbook v14.1 の以下のトピックを参照してください Volume 1: 設計と合成 第 2 章 :Quartus II ソフトウェアによるデザイン プランニング MNL-1079 システム障害の管理

29 MNL-1079 Nios II プロセッサ 2-23 Nios II プロセッサ アルテラは Quartus II 開発ソフトウェア以外にも Nios II ソフト プロセッサを提供しています Nios II プロセッサは 32 ビット RISC( 縮小命令セット コンピュータ ) プロセッサです Nios II プロセッサは 一般的な FPGA リで構成されており ユーザが選択できる多数のコンフィギュレーション オプションを備えています アルテラは Quartus II の各リリースで Nios II プロセッサのリグレッション テストを実行しています このテストデータ および多くの使用経験は 安全関連のデザインにおいて Nios II プロセッサ コアが適しているという証拠となります Nios II プロセッサを使用する場合 Nios II プロセッサ ベースのデザインに十分な診断カバレッジが提供されていることを確認します この診断カバレッジは通常 Nios II プロセッサで動作するソフトウェアに実装します プロセッサのファームウェアおよびハードウェアが正常に動作しているかを確認するには これらのルーチンを使用することができます このようなルーチンの一例としては 巡回冗長検査 (CRC) の計算または Nios II プログラム コードでの署名があります 適切なシステム アーキテクチャを使用しているのであれば Nios II プロセッサは独自のプログラム コードでこの操作を実行することができます これ以外の診断手法については ISO26262: を参照してください Nios II プロセッサは ユーザーが設計したソフトウェアを実行します 安全関連のソフトウェアを実行することは ISO :2011 も適用可能であることを意味しています 本資料には ハードウェアの組み込みと Nios II プロセッサの合成についてのガイドラインが含まれていますが 安全性に関連するソフトウェアの設計は ISO26262: の範囲内で実行するようにします 関連情報 2-6 ページの FPGA アーキテクチャの生成 8-1 ページの Nios II プロセッサを使用したソフトウェア開発 システム障害の管理

30 偶発ハードウェア障害の管理に向けた Cyclone V アーキテクチャ 3 MNL-1079 更新情報 Cyclone V の概要 Cyclone V は Cyclone プロダクトの第 5 世代であり 28nm LP プロセスで製造されています デバイス ファミリは主に FPGA ファブリック内で使用できるロジック エレメント (LE) の個数で区別されます Cyclone V がターゲットとするアプリケーション Altera Cyclone V デバイスは産業およびオートモーティブ分野において機能安全を重視するアプリケーションでの使用を含む多様なアプリケーション要件を満たします これには以下が含まれます 先進運転支援システム ハイブリッド車や電気自動車向けモータ制御および DC-DC コンバータ インフォテインメント システム アルテラは Cyclone V の開発にあたって SEooC(Safety Element out of Context) 方法論を採用しています FPGA は 標準的なコンポーネント ( 例 : マイクロ コントローラ ) の使用と比較してユーザに一定の責任をシフトするユーザ定義のロジック IP とアプリケーションの統合に高度な柔軟性を提供します コンポーネント レベルのみでは ISO26262: の機能安全の達成は不可能です むしろ アイテムの全体的な安全コンセプトとして機能します アルテラの Cyclone V 製品は アイテムに対しターゲットとする ASIL レベルの達成の簡易化を可能にします Cyclone V ハードウェアのアーキテクチャ Cyclone V デバイスのアーキテクチャは 必要に応じてアプリケーション実行中に使用可能なクロック 電源 メモリなどを継続して動作させる診断手法を含みます アプリケーションは アプリケーションを実行する安全性が重要な部分にこれらの機構を使用する前に 正しく動作することを確認しておく必要があります Intel Corporation. All rights reserved. Intel, the Intel logo, Altera, Arria, Cyclone, Enpirion, MAX, Nios, Quartus and Stratix words and logos are trademarks of Intel Corporation or its subsidiaries in the U.S. and/or other countries. Intel warrants performance of its FPGA and semiconductor products to current specifications in accordance with Intel's standard warranty, but reserves the right to make changes to any products and services at any time without notice. Intel assumes no responsibility or liability arising out of the application or use of any information, product, or service described herein except as expressly agreed to in writing by Intel. Intel customers are advised to obtain the latest version of device specifications before relying on any published information and before placing orders for products or services. *Other names and brands may be claimed as the property of others. ISO 9001:2008 登録済 Innovation Drive, San Jose, CA 95134

31 3-2 Cyclone V の診断メカニズムおよび使用にあたっての前提条件 MNL-1079 図 3-1: Cyclone V の上位レベルのブロック図 次の図は Cyclone V アーキテクチャの上位レベルのブロック図を示します Altera FPGA Device Control Block User I/O HSSI Transceivers FPGA Fabric (LUTs, RAMs, Multipliers & Routing) PLLs Hard PCIe Hard Memory Controllers FPGA は柔軟性に富むため 独自のハードウェア アクセラレータを実装できるオプションがあります また システムあるいはチップ内の障害を検出する目的で カスタムの診断機能を作成することも可能です Cyclone V デバイス上の一部のモジュールは あらかじめハードウェア診断が組み込まれていますが 他のモジュールは 偶発ハードウェア障害を検出するにあたって システム レベルの概念に依存しています Cyclone V の診断メカニズムおよび使用にあたっての前提条件 この項では 潜在的な障害を検出する目的でアプリケーション内の IP コアまたは機能に実装された診断メカニズムおよびアプリケーション内の IP コアまたは機能の使用にあたっての前提条件について説明します この項では 該当する場合は ISO26262: をはじめとするドキュメントを参照します 特定の IP コアまたは機能の前提条件の表は 以下の推奨レベルがあります M は必須を表します ++ は強く推奨を表します + は推奨を表します O はオプションを表します 各表には ISO26262: による潜在的な診断メカニズムを示しています 偶発ハードウェア障害の管理に向けた Cyclone V アーキテクチャ

32 MNL-1079 電源 3-3 電源 内部電圧モニタ Cyclone V デバイスは いくつかの電源レールに向けて内部電圧モニタを実装します 特定のレールの電圧が仕様以外であれば デバイスは内部リセットを発行します アルテラは モニタされていない電圧レールに向けて異なる電圧モニタがアイテムによって実装されていると想定しています Cyclone V Device Handbook を参照してください Volume 1: デバイスのインタフェースおよび統合 第 10 章 :Cyclone V デバイスの電源管理 電源レール Cyclone V FPGA はコア ロジックおよび I/O に対し FPGA ファブリックの電圧レールをサポートします 供給電圧の影響に関係する FPGA ファブリック内の一般的な障害を効率的に軽減することができます アルテラは アプリケーションが FPGA ファブリックに専用の電源を提供することを想定しています 詳細については Cyclone V Device Family Pin Connection Guidelines の資料番号 PCG を参照してください Cyclone V FPGA の電源の使用前提 表 3-1: 電源の使用前提 識別子安全または診断機能推奨度潜在的な診断メカニズム PWR1 内部電圧モニタ M 外部電圧モニタ PWR2 外部電圧スーパーバイザー ++ 内部電圧モニタ クロック クロック入力 Cyclone V FPGA は クロックに関連する一般的な障害を防ぐことができる複数のクロック入力をサポートしています 複数の入力クロックによって FPGA ファブリック内のクロックを駆動することが可能です また 複数の独立したクロック ネットワークによって FPGA ファブリック内のロジックを駆動することも可能です Cyclone V Device Handbook を参照してください 偶発ハードウェア障害の管理に向けた Cyclone V アーキテクチャ

33 3-4 FPGA のクロッキング MNL-1079 Volume 1: デバイスのインタフェースおよび統合 第 4 章 :Cyclone V デバイスのクロック ネットワークおよび PLL FPGA のクロッキング FPGA ファブリックは 異なる PLL を持つクロックを個別に生成可能な非常に柔軟なクロック ネットワーク トポロジを提供します 異なるクロック ネットワークによって駆動されるロジックを分離することが可能です 詳細は Cyclone V Device Handbook を参照してください Volume 1: デバイスのインタフェースおよび統合 第 4 章 :Cyclone V デバイスのクロック ネットワークおよび PLL PLL 数 PLL は デバイス クロックの理 外部システム クロックの管理 および高速 I/O インタフェースに向けて堅牢なクロック管理および合成機能を提供します Cyclone V デバイス ファミリは フラクショナル PLL あるいは整数 PLL としても機能できるフラクショナル PLL が含まれています Cyclone V デバイスの出力カウンタは 整数またはフラクショナル周波数合成をサポートする各フラクショナル PLL に使用されます クロック スイッチオーバー機能 Cyclone V のクロック スイッチオーバー機能により PLL は 2 つの基準入力クロックを切り換えることができます この機能はクロック冗長性のために あるいは前のクロックが停止した場合に冗長クロックがオンになるシステムであるデュアル クロック ドメイン アプリケーションに使用します クロックがそれ以上トグルしないとき またはユーザーのコントロール信号に応じて デザインは自動的にクロック スイッチオーバーを実行することができます PLL クロックの出力 Cyclone V のほとんどの PLL は PLL ごとに専用クロック出力もドライブすることができます 外部チェック ロジックはこれを使用して PLL に関連するクロックの問題を検知することが可能です FPGA PLL ロック信号 Cyclone V FPGA ファブリック内の PLL は PLL が入力クロックにロックされていることを示すロック信号も提供します 入力クロックに対して正しい周波数で PLL が実行されていることを確認するには この信号を使用します 詳細は Cyclone V Device Handbook を参照してください Volume 1: デバイスのインタフェースおよび統合 第 4 章 :Cyclone V デバイスのクロック ネットワークおよび PLL コンフィギュレーション レジスタの定期的なリード バック コンフィギュレーション レジスタが正確であることを確認するには レジスタの内容をリード バックし その内容と意図した値と比較します その値をレジスタに書き込み このリード バックを定期的に繰り返し実行します 偶発ハードウェア障害の管理に向けた Cyclone V アーキテクチャ

34 MNL-1079 Clock Checker Diagnostic IP コア 3-5 注意 : 一部のレジスタは レジスタをリードする際に自動でクリアするビットを実装することができます アプリケーションのビヘイビアが変更されることがあるので リードが一部のビットのステータスに影響を与えることがないようにします 表 3-2: ISO26262 リファレンス :Configuration Register Test Table D.4 Configuration Register Test Section D Clock Checker Diagnostic IP コア この IP コアを使用すると 安定したリファレンス クロックに対し入力クロックの周波数と存在のオンライン チェッキングを提供することで デザインの診断カバレッジを拡大することができます また FPGA デバイス内の PLL の正しい機能を確認したり 安全性に関連するデザイン内の他のシステム クロックを確認するには この IP コアを使用することができます 高周波数と低周波のしきい値は指定可能です テストするクロックが指定したしきい値を超える場合は IP コアはシステムにエラー信号を生成し 警告します 表 3-3: ISO26262 リファレンス :Comparator Table D.2 Comparator Section D Cyclone V FPGA のクロックの使用前提 表 3-4: Cyclone V FPGA のクロックの使用前提 識別子安全または診断機能推奨度潜在的な診断メカニズム CLK1 FPGA ファブリックに向けた個別の外部クロック入力の使用 + 1. クロック グループを FPGA ファブリックへ配線する Clock Checker Diagnostic IP コア 2. ウォッチドッグ 3. 外部ピンのクロック ドメイン出力 偶発ハードウェア障害の管理に向けた Cyclone V アーキテクチャ

35 3-6 リセット MNL-1079 識別子安全または診断機能推奨度潜在的な診断メカニズム CLK2 CLK5 FPGA ファブリック内でインスタンス化される Clock Checker Diagnostic IP コアを使用したクロック領域の管理 FPGA ファブリック内のウォッチドッグ ウォッチドッグ 2. 外部ピンのクロック ドメイン出力 外部のウォッチドッグ 2. SW テスト コンフィギュレーション レジスタと意図する機能 CLK6 外部のウォッチドッグ 内部のウォッチドッグ 2. SW テスト コンフィギュレーション レジスタと意図する機能 CLK7 FPGA ファブリックの PLL が欠如したクロック検出とセカンダリ クロックへの自動切り替え Clock Checker Diagnostic IP コア 2. クロック出力 3. SW テストのコンフィギュレーション レジスタ CLK8 FPGA fabric PLL clock output O 1. Clock Checker Diagnostic IP コア 2. PLL が欠如した入力クロックの検出 CLK9 FPGA ファブリック PLL 固定信号 O 1. Clock Checker Diagnostic IP コア 2. PLL が欠如した入力クロックの検出 リセット 関連情報 3-5 ページの Clock Checker Diagnostic IP コア Cyclone V FPGA は FPGA の柔軟なリセット処理を提供します 偶発ハードウェア障害の管理に向けた Cyclone V アーキテクチャ

36 MNL-1079 FPGA のリセット 3-7 FPGA のリセット 電源投入時に FPGA のコンフィギュレーションに必要な電圧モニタする内部リセット電圧スーパーバイザーが 内部パワー オン リセット (POR) を生成します リセットの継続時間は ユーザにて選択が可能です nstatus 信号と CONF_DONE 信号がコンフィギュレーションの完了を表します INIT_DONE 信号は適切な初期化を表し この信号を High にプルアップした後デザインが実行されます FPGA ファブリックにプログラミングするロジックに適切なリセットを設定する必要があります 詳細は Cyclone V Device Handbook を参照してください Volume 1: デバイスのインタフェースおよび統合 第 7 章 :Cyclone V デバイスのコンフィギュレーション デザイン セキュリティ およびリモート システム アップグレード コンフィギュレーション レジスタの定期的なリード バック コンフィギュレーション レジスタが正確であることを確認するには レジスタの内容をリード バックし その内容と意図した値と比較します その値をレジスタに書き込み このリード バックを定期的に繰り返し実行します 注意 : 一部のレジスタは レジスタをリードする際に自動でクリアするビットを実装することができます アプリケーションのビヘイビアが変更されることがあるので リードが一部のビットのステータスに影響を与えることがないようにします 表 3-5: ISO26262 リファレンス :Configuration Register Test Table D.4 Configuration Register Test Section D 入力 / 出力 FPGA ファブリックの I/O FPGA ファブリックの I/O ストラクチャは非常に柔軟であり 多くのアプリケーションの要件を満たすよう設定することができます Cyclone V デバイスは各シングルエンド I/O を双方向ピンとして実装しているため 入力バッファを介して出力として設定されたピンのステータスをリード バックすることが可能です 詳細は Cyclone V Device Handbook を参照してください Volume 1: デバイスのインタフェースおよび統合 第 5 章 :Cyclone V デバイスの I/O 機能 偶発ハードウェア障害の管理に向けた Cyclone V アーキテクチャ

37 3-8 コンフィギュレーション レジスタの定期的なリード バック MNL-1079 コンフィギュレーション レジスタの定期的なリード バック コンフィギュレーション レジスタが正確であることを確認するには レジスタの内容をリード バックし その内容と意図した値と比較します その値をレジスタに書き込み このリード バックを定期的に繰り返し実行します 注意 : 一部のレジスタは レジスタをリードする際に自動でクリアするビットを実装することができます アプリケーションのビヘイビアが変更されることがあるので リードが一部のビットのステータスに影響を与えることがないようにします 表 3-6: ISO26262 リファレンス :Configuration Register Test Table D.4 Configuration Register Test Section D Cyclone V FPGA の I/O の使用前提 表 3-7: I/O:Cyclone V FPGA での使用前提 識別子安全または診断機能推奨度潜在的な診断メカニズム IO1 IO3 入力バッファを経由した出力ピン ステータスの FPGA ファブリック I/O リード バック コンフィギュレーション レジスタの定期的なリード バック 専用の独立したチェック ロジック + 1. Cortex-A9 を使用したレジスタ内容のリード バック Cyclone V FPGA のコンフィギュレーション 電源投入時に FPGA はコンフィギュレーション内容をロードし アプリケーション回路を作成します コンフィギュレーション シーケンス中 外部モニタを使用して進捗をモニタするにはステータス信号 (nstatus nconfig CONF_DONE INIT_DONE) を使用することができます 詳細は Cyclone V Device Handbook を参照してください Volume 1: デバイスのインタフェースおよび統合 第 7 章 :Cyclone V デバイスのコンフィギュレーション デザイン セキュリティ およびリモート システム アップグレード CRC バックグラウンド チェック FPGA ファブリックのコンフィギュレーション内容は CRAM(Configuration RAM) に格納されます CRAM に格納されたコンフィギュレーション フレーム別に CRC を計算する連続バックグ 偶発ハードウェア障害の管理に向けた Cyclone V アーキテクチャ

38 MNL-1079 センシティビティ マップ 3-9 ラウンド チェックをイネーブルすることができます CRC は シングルとマルチビット障害を検出し CRC_ERROR ピンを介して検出された問題を表示することができます このバックグラウンド チェックが実装した回路の通常の機能に影響を与えることはありません CRC 回路が検出した障害に間違いがないことを検証するには CRC 計算に障害を注入し CRAM の変化をエミュレートします センシティビティ マップデザインは SRAM セルをすべて使用するわけではありません 使用しているセルに障害が発生する場合にのみ 回路のビヘイビアに影響が現れます Quartus II ソフトウェアは 検出された障害が care ビットあるいは don t care ビットで発生したものであるかの判断に使用できるセンシティビティ マップを生成します 図 3-2: センシティビティ マップ Location Information CRC Engine FPGA CRC Error CRITICAL_ERROR Sensitivity Processor (Soft Logic) Memory Access Logic External Serial/Parallel Flash この深刻なエラー検出ソリューションの手順は 以下のとおりです 1. 内蔵のソフト エラー検出回路がコンフィギュレーション ソフト エラーを検出 特定し CRC_ERROR ピンをアサートします 2. 次に ソフト ロジックがエラー情報を受け取り その情報を使用して コンフィギュレーション ビットのどれが care で どれが don t care であるかを示すマップを含むファイル内のアドレスを算出します 3. 次に ソフト ロジックは アクティブ シリアル コンフィギュレーション ポートなどのユーザー指定メモリ インタフェースを使用して センシティビティ マップ ファイル内の該当ビットにアクセスし FPGA に現在コンフィギュレーションされているデザインにとって そのコンフィギュレーション ソフト エラーが重大かどうかを判定します 4. コンフィギュレーション ソフト エラーが don t care である場合 FPGA は動作エラー無しで機能し続けることができます コンフィギュレーション ソフト エラーが care で 動作に影響を与える可能性がある場合は Cyclone V FPGA または FPGA が CRITICAL_ERROR ピンをアサートするため システム上の適切な動作を実行することができます 詳細は Cyclone V Device Handbook を参照してください Volume 1: デバイスのインタフェースおよび統合 第 8 章 :Cyclone V デバイスでの SEU の緩和 偶発ハードウェア障害の管理に向けた Cyclone V アーキテクチャ

39 3-10 冗長ロジックの実装 冗長ロジックの実装 FPGA ファブリックのコンフィギュレーションにて障害を検出しやすくするには デザインに冗長ロジックを含めた後 冗長ロジックの出力を比較します Cyclone V FPGA の FPGA コンフィギュレーションの使用前提 MNL-1079 表 3-8: FPGA コンフィギュレーションの使用前提 識別子安全または診断機能推奨度潜在的な診断メカニズム FPGA_CONF1 FPGA_CONF3 外部モニタによるコンフィギュレーション ステータス信号のモニタ CRAM コンフィギュレーションの継続的な CRC バックグラウンド チェック + 1. ウォッチドッグ バックグラウンド チェックでの定期的な障害の注入 FPGA_CONF4 センシティビティ マップの決定 O 1. 冗長の実行 FPGA_CONF5 冗長ロジック + 1. テスト パターン FPGA ユーザ メモリ Cyclone V デバイスの FPGA ファブリックは M10K ブロックまたは MLAB 内でユーザ メモリを提供します これらのブロックにはそれぞれ エラー検出コードおよびエラー訂正コード (ECC) に対し特別なユーザ機能が使用できる専用パリティ ビットを実装しています この機能は Quartus II ソフトウェアのソフト IP によってサポートされています 詳細は Cyclone V Device Handbook を参照してください Volume 1: デバイスのインタフェースおよび統合 第 2 章 :Cyclone V デバイスのエンベデッド メモリ ブロック FPGA メモリの使用前提 表 3-9: FPGA メモリ : 使用前提 識別子安全または診断機能推奨度潜在的な診断メカニズム FPGA_UM1 ユーザー メモリ向け ECC フォールト インジェクション テスト 偶発ハードウェア障害の管理に向けた Cyclone V アーキテクチャ

40 偶発ハードウェア障害の管理に向けた Cyclone V SoC アーキテクチャ 4 MNL-1079 更新情報 Cyclone V の概要 Cyclone V は Cyclone プロダクトの第 5 世代であり 28nm LP プロセスで製造されています Cyclone V は HPS とユーザによるプログラムが可能なロジック ファブリックを装備しています デバイス ファミリは主に FPGA ファブリック内で使用できるロジック エレメント (LE) の個数で区別されます デバイス ファミリ間の HPS は同一のものを使用しています Intel Corporation. All rights reserved. Intel, the Intel logo, Altera, Arria, Cyclone, Enpirion, MAX, Nios, Quartus and Stratix words and logos are trademarks of Intel Corporation or its subsidiaries in the U.S. and/or other countries. Intel warrants performance of its FPGA and semiconductor products to current specifications in accordance with Intel's standard warranty, but reserves the right to make changes to any products and services at any time without notice. Intel assumes no responsibility or liability arising out of the application or use of any information, product, or service described herein except as expressly agreed to in writing by Intel. Intel customers are advised to obtain the latest version of device specifications before relying on any published information and before placing orders for products or services. *Other names and brands may be claimed as the property of others. ISO 9001:2008 登録済 Innovation Drive, San Jose, CA 95134

41 4-2 Cyclone V の概要 MNL-1079 図 4-1: Cyclone V SoC のブロック図 Configuration Controller FPGA-to-HPS HPS-to-FPGA Lightweight HPS-to-FPGA FPGA Fabric FPGA-to-HPS SDRAM FPGA Manager HPS Ethernet MAC (2x) USB OTG (2x) NAND Flash Controller SD/MMC/SDIO Controller DMA Controller Level 3 Interconnect 64 KB Boot ROM CPU0 (ARM Cortex-A9 with NEON/FPU, 32 KB Instruction Cache, 32 KB Data Cache, and Memory Management Unit) ACP ARM Cortex-A9 MPCore CPU1 (ARM Cortex-A9 with NEON/FPU, 32 KB Instruction Cache, 32 KB Data Cache, and Memory Management Unit) SCU L2 Cache (512 KB) Multiport DDR SDRAM Controller with Optional ECC ETR (Trace) Debug Access Port 64 KB On-Chip RAM Low Speed Peripherals (Timers, GPIOs, UART, SPI, I2C, CAN, Quad SPI Flash Controller, System Manager, Clock Manager, Reset Manager, and Scan Manager) マイクロ プロセッサ ユニット (MPU) サブシステムは 独自の L1 命令キャッシュとデータ キャッシュで ARM Cortex -A9 プロセッサを 2 個統合します 両方のプロセッサは インストラクションをフェッチする L2 キャッシュと L3 インターコネクトを経由するデータ または直接 DDR SDRAM コントローラに接続します MPU サブシステムは プロセッサが最新のデータを使用していることを確認するため アクセラレータ コヒーレンシ ポート (ACP) を介して システム内の他のマスターからトランザクションをスヌープします データは L3 インタコネクトに接続されたオンチップ RAM に格納することができます L3 インタコネクトを使用すれば 柔軟なマルチマスタ (MPU ダイレクト メモリ アクセス コントローラ (DMAC) または EMAC など ) によるスレーブ モジュールへのアクセス (UART タイマ または I2C など ) が可能となります 別々のスレーブ モジュールにアクセスする場合 転送は同時に実行が可能です FPGA-HPS 間 (F2H) ブリッジ HPS-FPGA 間 (H2F) ブリッジ ライトウェイト HPS-PGA(LH2F) ブリッジ間でデータを交換することができます 偶発ハードウェア障害の管理に向けた Cyclone V SoC アーキテクチャ

42 MNL-1079 Cyclone V SoC がターゲットとするアプリケーション 4-3 Cyclone V SoC がターゲットとするアプリケーション Altera Cyclone V SoC デバイスは産業およびオートモーティブ分野において機能安全を重視するアプリケーションでの使用を含む多様なアプリケーション要件を満たします これには以下が含まれます 先進運転支援システム ハイブリッド車や電気自動車向けモータ制御および DC-DC コンバータ インフォテインメント システム アルテラは Cyclone V SoC の開発にあたって SEooC(Safety Element out of Context) 方法論を採用しています FPGA は 標準的なコンポーネント ( 例 : マイクロ コントローラ ) の使用と比較してユーザに一定の責任をシフトするユーザ定義のロジック IP とアプリケーションの統合に高度な柔軟性を提供します コンポーネント レベルのみでは ISO26262: の機能安全の達成は不可能です むしろ アイテムの全体的な安全コンセプトとして機能します アルテラの Cyclone V SoC 製品は アイテムに対しターゲットとする ASIL レベルの達成の簡易化を可能にします Cyclone V SoC ハードウェアのアーキテクチャ Cyclone V SoC デバイスのアーキテクチャは 必要に応じてアプリケーション実行中に使用可能なクロック 電源 メモリなどを継続して動作させる診断手法を含みます アプリケーションは アプリケーションを実行する安全性が重要な部分にこれらの機構を使用する前に これらの機構が正しく動作することを確認しておく必要があります 図 4-2: Cyclone V SoC の上位レベルのブロック図 この図は Cyclone V SoC アーキテクチャの上位レベルのブロック図を示し HPS と FPGA 間の専用インタフェースを持つ HPS と FPGA を示しています HPS Portion Altera SoC FPGA Device FPGA Portion Flash Controllers SDRAM Controller Subsystem Cortex-A9 MPU Subsystem On-Chip Memories PLLs Interface Peripherals Support Peripherals Debug HPS-FPGA Interfaces Control Block User I/O HSSI Transceivers FPGA Fabric (LUTs, RAMs, Multipliers & Routing) PLLs Hard PCIe Hard Memory Controllers 偶発ハードウェア障害の管理に向けた Cyclone V SoC アーキテクチャ

43 4-4 Cyclone V SoC ハードウェアのアーキテクチャ MNL-1079 HPS 部と FPGA 部は それぞれ独自の専用コア電源 クロック I/O ストラクチャを持ち 物理的に 2 つに分かれているため 実質的には互いに独立しています HPS は 対称型マルチ プロセッシング (SMP) と非対称型マルチプロセッシング (AMP) コンフィギュレーションで動作可能な 2 個の Cortex-A9 プロセッサを含んでいます Cortex-A9 プロセッサは多くの場合 アプリケーションのメイン コントローラとして使用されます FPGA は その柔軟性により 独自のハードウェア アクセラレータを実装することができるオプションを提供します また システム内またはチップ上の障害を検出するためのカスタム診断機能を作成することも可能です 図 4-3: Cyclone V SoC の詳細なブロック図 次の図は Cyclone V SoC のより詳細なブロック図を示します FPGA Portion FPGA to HPS HPS to FPGA Lightweight HPS to FPGA Control Block Masters Slaves Slaves 32-, 64-, 128-Bit AXI 32-, 64-, 128-Bit AXI 32-Bit AXI 1-6 Masters FPGA Manager FPGA-to-HPS Bridge HPS-to-FPGA Bridge Lightweight HPS-to-FPGA Bridge L4, 32-Bit Bus 32-Bit 64-Bit AXI 64-Bit AXI 32-Bit AXI DAP ETR 32-Bit 32-Bit L3 Interconnect (NIC-301) 64-Bit MPU Subsystem ACP ID Mapper ARM Cortex-A9 MPCore CPU0 CPU1 ACP SCU SD/MMC EMAC (2) USB OTG (2) NAND Flash 32-Bit 32-Bit 32-Bit 32-Bit L3 Master Peripheral Switch 32-Bit 32-Bit L3 Main Switch 64-Bit 32-Bit 32-Bit 64-Bit 32-Bit 64-Bit STM Boot ROM On-Chip RAM DMA L2 Cache SDRAM Controller Subsystem 32-Bit 32-Bit 32-Bit L3 Slave Peripheral Switch 32-Bit Quad SPI Flash L4, 32-Bit Bus CAN (2) Timer (4) I 2C (4) Watchdog Timer (2) UART (2) GPIO (3) SPI (4) Clock Manager Reset Manager Scan Manager System Manager 偶発ハードウェア障害の管理に向けた Cyclone V SoC アーキテクチャ

44 MNL-1079 Cyclone V SoC の診断メカニズムおよび使用にあたっての前提条件 4-5 Cyclone V SoC デバイス上の一部のモジュールは あらかじめハードウェア診断が組み込まれていますが 他のモジュールは 偶発ハードウェア障害を検出するにあたって システム レベルの概念に依存しています Cyclone V SoC の診断メカニズムおよび使用にあたっての前提条件 電源 この項では 潜在的な障害を検出する目的でアプリケーション内の IP コアまたは機能に実装された診断メカニズムおよびアプリケーション内の IP コアまたは機能の使用にあたっての前提条件について説明します この項では 該当する場合は ISO26262: をはじめとするドキュメントを参照します 特定の IP コアまたは機能の前提条件の表は 以下の推奨レベルがあります M は必須を表します ++ は強く推奨を表します + は推奨を表します O はオプションを表します 各表には ISO26262: による潜在的な診断メカニズムを示しています 電源レール Cyclone V SoC はコア ロジックおよび I/O に対し HPS と FPGA ファブリックの異なる電圧レールをサポートします 供給電圧の影響に関係する HPS と FPGA ファブリック内の一般的な障害を効率的に軽減することができます アルテラは アプリケーションが HPS および FPGA ファブリックに専用の電源を提供することを想定しています 詳細については Cyclone V Device Family Pin Connection Guidelines の資料番号 PCG を参照してください 内部電圧モニタ Cyclone V デバイスは いくつかの電源レールに向けて内部電圧モニタを実装します 特定のレールの電圧が仕様以外であれば デバイスは内部リセットを発行します アルテラは モニタされていない電圧レールに向けて異なる電圧モニタがアイテムによって実装されていると想定しています Cyclone V Device Handbook を参照してください Volume 1: デバイスのインタフェースおよび統合 第 10 章 :Cyclone V デバイスの電源管理 偶発ハードウェア障害の管理に向けた Cyclone V SoC アーキテクチャ

45 4-6 Cyclone V SoC の電源の使用前提 Cyclone V SoC の電源の使用前提 MNL-1079 表 4-1: 電源の使用前提 識別子安全または診断機能推奨度潜在的な診断メカニズム PWR1 内部電圧モニタ M 外部電圧モニタ PWR2 PWR3 外部電圧スーパーバイザー HPS と FPGA ファブリックへの別々の電源 ++ 内部電圧モニタ ++ 外部電圧モニタ クロック クロック入力 Cyclone V SoC は複数のクロック入力をサポートしているため HPS と FPGA ファブリックを別々にクロックすることが可能です クロック入力を複数にすることで クロックに関連する一般的な障害を防ぐことができます HPS は HPS 内で異なるクロック領域を駆動するために 2 つのクロック入力を提供します また FPGA ファブリック内のクロックは複数の入力クロックで駆動が可能であり FPGA ファブリック内のロジックは複数の独立したクロック ネットワークで駆動することができます Cyclone V Device Handbook を参照してください Volume 3: ハード プロセッサ システムのテクニカル リファレンス マニュアル 第 2 章 : クロック マネージャ Cyclone V Device Handbook を参照してください Volume 1: デバイスのインタフェースおよび統合 第 4 章 :Cyclone V デバイスのクロック ネットワークおよび PLL FPGA のクロッキング 別々の PLL が HPS 内の異なるクロック領域を駆動します 異なる入力クロックは FPGA ファブリックからルーティングされたクロックを含む このような PLL を駆動することができます PLL の出力は 異なるクロック領域と FPGA ファブリックに接続します Cyclone V Device Handbook を参照してください Volume 3: ハード プロセッサ システムのテクニカル リファレンス マニュアル 第 2 章 : クロック マネージャ 偶発ハードウェア障害の管理に向けた Cyclone V SoC アーキテクチャ

46 MNL-1079 Clock Checker Diagnostic IP コア 4-7 Clock Checker Diagnostic IP コア FPGA ファブリック内で Clock Checker Diagnostic IP コアをインスタンス化し 独立リファレンス クロックを Diagnostic IP コアにフィードすることで PLL 出力クロックの正確さを判断することができます 関連情報 3-5 ページの Clock Checker Diagnostic IP コア HPS 内のウォッチドッグ HPS では クロックの基本的な管理に使用できる数個のウォッチドッグを利用可能です Cortex-A9 MPU は各 Cortex-A9 プロセッサに対し 1 個のウォッチドッグを提供しています HPS は 2 個のシステム ウォッチドッグを提供しています 詳細は Cortex-A9 MPCore Technical Reference Manual ARM DDI 0407 と Cyclone V Device Handbook を参照してください Volume 3: ハード プロセッサ システムのテクニカル リファレンス マニュアル 第 24 章 : ウォッチドッグ タイマ FPGA ファブリック内のウォッチドッグ HPS クロックから独立したクロックがドライブする FPGA ファブリックに向けてウォッチドッグを作成することができます アルテラでは ウォッチドッグの実装に関する推奨事項は特にはありません Table D.10 は ウォッチドッグの実装に関するいくつかの推奨事項を提示しています HPS から十分に独立していることを示すことができるのであれば FPGA ファブリック内にウォッチドッグを実装します 表 4-2: ISO26262 リファレンス :Watchdog with separate time base without time-window Table D.10 Watchdog with separate time base without timewindow Section D 表 4-3: ISO26262 リファレンス :Watchdog with separate time base and time-window Table D.10 Watchdog with separate time base and time-window Section D 偶発ハードウェア障害の管理に向けた Cyclone V SoC アーキテクチャ

47 4-8 外部のウォッチドッグ MNL-1079 表 4-4: ISO26262 リファレンス :Temporal and Logical Monitoring of Program Sequence Table D.10 Combination of temporal and logical monitoring of program sequences Section D 外部のウォッチドッグ 外部ウォッチドッグを実装すると 独立したクロッキング 電源およびリセットが一般的な障害の影響を受けにくくなるという利点をもたらします アルテラでは ウォッチドッグの実装に関する推奨事項は特にはありません Table D.10 は ウォッチドッグの実装に関するいくつかの推奨事項を提示しています HPS から十分に独立していて FPGA ファブリック内にウォッチドッグが実装できない場合 外部ウォッチドッグを実装します 表 4-5: ISO26262 リファレンス :Watchdog with separate time base without time-window Table D.10 Watchdog with separate time base without timewindow Section D 表 4-6: ISO26262 リファレンス :Watchdog with separate time base and time-window Table D.10 Watchdog with separate time base and time-window Section D 表 4-7: ISO26262 リファレンス :Temporal and Logical Monitoring of Program Sequence Table D.10 Combination of temporal and logical monitoring of program sequences Section D 偶発ハードウェア障害の管理に向けた Cyclone V SoC アーキテクチャ

48 MNL-1079 FPGA のクロッキング 4-9 FPGA のクロッキング FPGA ファブリックは 異なる PLL を持つクロックを個別に生成可能な非常に柔軟なクロック ネットワーク トポロジを提供します 異なるクロック ネットワークによって駆動されるロジックを分離することが可能です 詳細は Cyclone V Device Handbook を参照してください Volume 1: デバイスのインタフェースおよび統合 第 4 章 :Cyclone V デバイスのクロック ネットワークおよび PLL Cyclone V Device Handbook を参照してください Volume 3: ハード プロセッサ システムのテクニカル リファレンス マニュアル 第 2 章 : クロック マネージャ PLL 数 PLL は デバイス クロックの理 外部システム クロックの管理 および高速 I/O インタフェースに向けて堅牢なクロック管理および合成機能を提供します Cyclone V デバイス ファミリは フラクショナル PLL あるいは整数 PLL としても機能できるフラクショナル PLL が含まれています Cyclone V デバイスの出力カウンタは 整数またはフラクショナル周波数合成をサポートする各フラクショナル PLL に使用されます クロック スイッチオーバー機能 Cyclone V のクロック スイッチオーバー機能により PLL は 2 つの基準入力クロックを切り換えることができます この機能はクロック冗長性のために あるいは前のクロックが停止した場合に冗長クロックがオンになるシステムであるデュアル クロック ドメイン アプリケーションに使用します クロックがそれ以上トグルしないとき またはユーザーのコントロール信号に応じて デザインは自動的にクロック スイッチオーバーを実行することができます PLL クロックの出力 Cyclone V のほとんどの PLL は PLL ごとに専用クロック出力もドライブすることができます 外部チェック ロジックはこれを使用して PLL に関連するクロックの問題を検知することが可能です FPGA PLL ロック信号 Cyclone V FPGA ファブリック内の PLL は PLL が入力クロックにロックされていることを示すロック信号も提供します 入力クロックに対して正しい周波数で PLL が実行されていることを確認するには この信号を使用します 詳細は Cyclone V Device Handbook を参照してください Volume 1: デバイスのインタフェースおよび統合 第 4 章 :Cyclone V デバイスのクロック ネットワークおよび PLL コンフィギュレーション レジスタの定期的なリード バック コンフィギュレーション レジスタが正確であることを確認するには レジスタの内容をリード バックし その内容と意図した値と比較します その値をレジスタに書き込み このリード バックを定期的に繰り返し実行します 偶発ハードウェア障害の管理に向けた Cyclone V SoC アーキテクチャ