1. 先拆需求为什么一个MCU扛不住电源控制安全合规两件事1.1 控制环路天然要求独占CPU工业电源这块过去提到安全大家默认说的是电气安全——绝缘、爬电距离、过压保护这些。但这几年风向明显变了越来越多客户开始把IEC 62443写进招标需求甲方关心的不再只是你的电源能不能在恶劣电网环境下扛住还包括它接入工厂网络之后会不会变成黑客的一个突破口。老实说我第一次看到甲方要求电源设备做网络安全认证时也愣了一下一个开关电源跟网络安全有什么关系后来想通了工业现场里最容易被低估的设备往往就是电源——它既连着电网又连着一堆控制器的供电一旦被攻破整个工位都能被物理断电。数字电源也好伺服驱动器也好搬到数字域之后最核心的约束是PWM中断必须准时。我做过一个12kW的交错并联PFC开关频率80kHz中间还要叠加LLC软开关逻辑控制环路加保护逻辑的总开销大约占掉了Cortex-M4在170MHz下的70%算力。这还算好的如果在这个核上再叠一层TCP/IP协议栈或者跑一次TLS握手随便一次加密操作就是几百微秒对控制环路来说就是致命的抖动。有人说那我换更高主频的单核行不行行但只是把问题往后推。IEC 62443要求的不只是能算更重要的是隔离。安全启动、证书校验、入侵检测、审计日志这些需求的优先级和功率环路完全不同把它们硬塞进一个核里出兼容性问题时排查起来非常痛苦。更现实的是认证评审专家会更认可架构级的隔离方案而不是靠RTOS任务优先级来证明安全问题不会影响控制。双MCU的本质就是用物理边界代替软件约定。1.2 IEC 62443在组件层面到底考核什么IEC 62443不是单一标准是一个家族。对做电源设备固件的我们来说最常被引用的是两部分62443-4-1讲产品安全开发生命周期62443-4-2讲组件本身的技术安全要求。4-2把要求拆成了7个基础需求Foundational Requirements身份认证与访问控制FR1、使用控制FR2、系统完整性FR3、数据保密性FR4、受限数据流FR5、事件及时响应FR6和资源可用性FR7。每个FR下面又有成体系的组件需求CR和增强需求RE。举个具体的例子CR 3.4要求软件与信息完整性——说白了就是固件不能随便被改改了就要起不来CR 5.1要求网络分段——设备不能把所有功能都暴露在同一个网络平面上CR 6.1要求审计日志——出了问题要有据可查。这些要求放到单核MCU上严格来说不是做不了而是非常痛苦。TrustZone在Cortex-M33上是硬件隔离但如果你用的是不带TrustZone的Cortex-M4很多隔离措施只能靠软件硬凑效率低且容易被绕过。更现实的问题是攻击面。如果控制核心本身就暴露在网络面前那就很被动了——工业现场常见的情况是Modbus TCP协议栈和控制代码跑在同一个核上解析报文时一个数组越界就能把控制参数改写掉。双MCU本质上是把这个问题从架构上消灭控制核心不直接面对网络网络核心不直接碰功率电路。这个设计决策在后面的合规拆解里会变成非常有利的证据。2. STM32G4坐镇功率核心CORDIC、FMAC和HRTIM怎么配合出活2.1 为什么选G4而不是G0/G7或者其它M4G系列里的G4是ST专门给数字电源和电机控制点过技能的。我说的不是主频——Cortex-M4F跑170MHz跟同门比不算夸张——关键在于外设组合。G4上的高分辨率定时器HRTIM能输出最快184ps分辨率的PWM这意味着它能覆盖LLC、移相全桥这类对死区和相移极其敏感的拓扑而不是只能做简单的Buck/Boost。做高压大功率电源死区时间差几十纳秒轻载效率就是天壤之别。对数字控制来说ADC同样是重头。G4的ADC最快能到4Msps关键是有硬件过采样还集成了模拟比较器和运放。
1. 先拆需求为什么一个MCU扛不住电源控制安全合规两件事1.1 控制环路天然要求独占CPU工业电源这块过去提到安全大家默认说的是电气安全——绝缘、爬电距离、过压保护这些。但这几年风向明显变了越来越多客户开始把IEC 62443写进招标需求甲方关心的不再只是你的电源能不能在恶劣电网环境下扛住还包括它接入工厂网络之后会不会变成黑客的一个突破口。老实说我第一次看到甲方要求电源设备做网络安全认证时也愣了一下一个开关电源跟网络安全有什么关系后来想通了工业现场里最容易被低估的设备往往就是电源——它既连着电网又连着一堆控制器的供电一旦被攻破整个工位都能被物理断电。数字电源也好伺服驱动器也好搬到数字域之后最核心的约束是PWM中断必须准时。我做过一个12kW的交错并联PFC开关频率80kHz中间还要叠加LLC软开关逻辑控制环路加保护逻辑的总开销大约占掉了Cortex-M4在170MHz下的70%算力。这还算好的如果在这个核上再叠一层TCP/IP协议栈或者跑一次TLS握手随便一次加密操作就是几百微秒对控制环路来说就是致命的抖动。有人说那我换更高主频的单核行不行行但只是把问题往后推。IEC 62443要求的不只是能算更重要的是隔离。安全启动、证书校验、入侵检测、审计日志这些需求的优先级和功率环路完全不同把它们硬塞进一个核里出兼容性问题时排查起来非常痛苦。更现实的是认证评审专家会更认可架构级的隔离方案而不是靠RTOS任务优先级来证明安全问题不会影响控制。双MCU的本质就是用物理边界代替软件约定。1.2 IEC 62443在组件层面到底考核什么IEC 62443不是单一标准是一个家族。对做电源设备固件的我们来说最常被引用的是两部分62443-4-1讲产品安全开发生命周期62443-4-2讲组件本身的技术安全要求。4-2把要求拆成了7个基础需求Foundational Requirements身份认证与访问控制FR1、使用控制FR2、系统完整性FR3、数据保密性FR4、受限数据流FR5、事件及时响应FR6和资源可用性FR7。每个FR下面又有成体系的组件需求CR和增强需求RE。举个具体的例子CR 3.4要求软件与信息完整性——说白了就是固件不能随便被改改了就要起不来CR 5.1要求网络分段——设备不能把所有功能都暴露在同一个网络平面上CR 6.1要求审计日志——出了问题要有据可查。这些要求放到单核MCU上严格来说不是做不了而是非常痛苦。TrustZone在Cortex-M33上是硬件隔离但如果你用的是不带TrustZone的Cortex-M4很多隔离措施只能靠软件硬凑效率低且容易被绕过。更现实的问题是攻击面。如果控制核心本身就暴露在网络面前那就很被动了——工业现场常见的情况是Modbus TCP协议栈和控制代码跑在同一个核上解析报文时一个数组越界就能把控制参数改写掉。双MCU本质上是把这个问题从架构上消灭控制核心不直接面对网络网络核心不直接碰功率电路。这个设计决策在后面的合规拆解里会变成非常有利的证据。2. STM32G4坐镇功率核心CORDIC、FMAC和HRTIM怎么配合出活2.1 为什么选G4而不是G0/G7或者其它M4G系列里的G4是ST专门给数字电源和电机控制点过技能的。我说的不是主频——Cortex-M4F跑170MHz跟同门比不算夸张——关键在于外设组合。G4上的高分辨率定时器HRTIM能输出最快184ps分辨率的PWM这意味着它能覆盖LLC、移相全桥这类对死区和相移极其敏感的拓扑而不是只能做简单的Buck/Boost。做高压大功率电源死区时间差几十纳秒轻载效率就是天壤之别。对数字控制来说ADC同样是重头。G4的ADC最快能到4Msps关键是有硬件过采样还集成了模拟比较器和运放。
