Autor: Kristian Trenkel, iSyst Intelligente Systeme GmbH<\/p>\n
Dieser Beitrag behandelt die Anforderungen an Testsysteme aus Sicht der Funktionalen Sicherheit am Beispiel von HIL-Testsystemen. Dabei wird der Standard ISO 26262 betrachtet. Aus den Betrachtungen ergeben sich Anforderungen an die Genauigkeit und Verl\u00e4sslichkeit der Testsysteme. Hierf\u00fcr werden beispielhaft analoge Ein- und Ausg\u00e4nge der Testsysteme betrachtet. Einerseits werden die Untersuchungsergebnisse \u00fcber die Kalibrierbarkeit verschiedener Testsysteme sowie die M\u00f6glichkeiten der automatisierten Kalibrierung und des automatisierten Abgleiches sowie der automatisierte Selbsttest dargestellt. Auf der anderen Seite soll dieser Beitrag zur Diskussion \u00fcber weitergehende Anforderungen an Testsysteme f\u00fcr den Test sicherheitskritischer Systeme anregen.<\/strong><\/p>\n Im Bereich der Automobilindustrie werden immer mehr sicherheitskritische Funktionen, wie zum Beispiel Notbremsassistent, Spurhalteassistent und autonomes Fahren, entwickelt und in Fahrzeuge integriert. Zur Entwicklung und zum Test dieser Systeme sind die Vorgaben der ISO 26262\u00a0[1] zu beachten. Dabei stellt diese Norm nicht nur Anforderungen an den Entwicklungsprozess und dessen Tools, sondern auch an den Test einschlie\u00dflich Testsysteme und Test-Tools.<\/p>\n Es gibt f\u00fcr die Test-Tools, wie allgemein f\u00fcr die Softwaretools, detaillierte Anforderungen, welche im Rahmen einer Toolqualifizierung zu bewerten sind. Bei den Testsystemen (im Sinne von Hardware-Systemen), wie zum Beispiel einem HIL-System, sind nur sehr wenige Angaben (Punkt 8.4.1.5 des Teil 4) in der Norm zu finden. Daher herrschen in der Praxis verschiedene Ansichten \u00fcber die notwendigen Ma\u00dfnahmen zur Absicherung von Testsystemen vor. Dies beginnt bei einfachen Inbetriebnahmetests und geht bis zu definierten Wartungsprozeduren und Wartungsintervallen. Die Genauigkeit der (meist analogen) Schnittstellen der Testsysteme spielt dabei nur eine untergeordnete Rolle.<\/p>\n In der Praxis zeigt sich aber, dass nicht nur die prinzipielle Funktion des Testsystems sichergestellt werden muss. Es muss auch die Genauigkeit des Systems, wie es f\u00fcr andere Messsysteme \u00fcblich ist, sichergestellt werden. Werden z. B. analoge Ein- und Ausg\u00e4nge f\u00fcr die Simulation von Sensorwerten oder die Messung von Str\u00f6men verwendet, sind genaue Vorgaben absolut notwendig, da es f\u00fcr sicherheitskritische Funktionen meist exakte Anforderungen an Fehlererkennungsschwellen und Fehlererkennungszeiten gibt. Daher sind die Kalibrierung und der anschlie\u00dfende Abgleich der Schnittstellen eines Testsystems sinnvoll und notwendig. Dieses Vorgehen ist aber bisher nicht \u00fcblich.<\/p>\n Hardware-in-the-Loop (HIL)-Testsysteme kommen in verschiedenen Bereichen der Entwicklung als Testumgebung zum Einsatz. Dabei werden das in Entwicklung befindlich eingebettete System in einer simulierten Umgebung betrieben und Tests ausgef\u00fchrt.<\/p>\n Ein typischer Aufbau eines HIL-Testsystems, wie er h\u00e4ufig im Automobilbereich zum Einsatz kommt, ist in Abbildung 1 (s.\u00a0PDF<\/a>) zu sehen. Die zentrale Komponente ist der Echtzeitrechner, welcher das Simulationsmodell f\u00fcr die Umgebung des eingebetteten Systems in Echtzeit berechnet. Die eingesetzten Modelle werden dabei meist in Matlab\/Simulink erstellt und mittels der integrierten Codegenerierung in ausf\u00fchrbare Programme \u00fcbersetzt, welche auf dem Echtzeitrechner ausgef\u00fchrt werden.<\/p>\n F\u00fcr die Anbindung des Echtzeitrechners mit seinen IO-Schnittstellen (z. B. analoge Ausg\u00e4nge, analoge Eing\u00e4nge, digitale Ein- und Ausg\u00e4nge und CAN-Schnittstellen) sind Komponenten zur Signalanpassung (z. B. Signalpegel oder Signalleistung) notwendig, welche unter dem Punkt Signalanpassung zusammengefasst sind. Dieser Teil ist f\u00fcr die hier dargestellte Problematik der Kalibrierung von gro\u00dfem Interesse, da diese Komponenten Einfluss auf die analogen Signalpfade haben.<\/p>\n Auf die Signalanpassung folgt die Anbindung des eingebetteten Systems, welches meist auch als Steuerger\u00e4t bezeichnet wird. Hierbei werden meist die f\u00fcr die normale Funktion vorgesehenen Schnittstellen verwendet. An das Steuerger\u00e4t sind weiterhin die Lasten angeschlossen. Zwischen dem eingebetteten System und den Lasten sind Baugruppen zur Fehlerinjektion eingef\u00fcgt. Mit diesen Baugruppen ist das Schalten von verschiedenen Kurzschl\u00fcssen (z. B. Kurzschluss gegen Masse oder Kurzschluss gegen die Versorgungsspannung) sowie dem Abriss der Last m\u00f6glich. Damit k\u00f6nnen Fehlerreaktionen getestet werden, welche sich in Feldversuchen oder bei Probefahrten im Automobilbereich nur schwer realisieren lassen.<\/p>\n Als letzte Komponente ist der Steuer-PC zu nennen. Dieser \u00fcbernimmt die Steuerung des Echtzeitsystems w\u00e4hrend der Testausf\u00fchrung. Die Testf\u00e4lle sind in Form von Skripten oder Modellen auf dem Steuer-PC ausf\u00fchrbar hinterlegt. Weiterhin sind meist Schnittstellen zu den Bussystemen (z. B. CAN, FlexRay oder Ethernet) am Steuer-PC vorhanden, um Zugriff auf das eingebettete System w\u00e4hrend der Tests zu haben.<\/p>\n In Abb. 2 (s.\u00a0PDF<\/a>) ist ein typisches HIL-Testsystem in 19″ Bauweise zu sehen.<\/p>\n Innerhalb der verschiedenen Teststufen, wie sie zum Beispiel im V-Modell beschrieben sind, wird der HIL-Test als Softwaretest oder Systemtest eingestuft. Dies bedeutet, dass das Verhalten der Software mit Bezug auf die Anforderungen getestet wird. Dies umfasst bei sicherheitskritischen Systemen auch alle Sicherheitsfunktionen, welche in Software umgesetzt sind. In der Praxis sind dabei auch die hardwarebasierten Sicherheitsfunktionen mit einbezogen, da die reale Hardware f\u00fcr den Test zum Einsatz kommt.<\/p>\n Daraus ergibt sich, dass das Testsystem f\u00fcr den Test sicherheitsrelevanter Systeme tauglich sein muss. Die einschl\u00e4gigen Normen, wie die ISO26262, geben dabei leider nur wenige Aussagen, was dies bedeutet und wie dies nachgewiesen werden kann.<\/p>\n In der ISO 26262 ist unter Punkt 8.4.1.5 des Teil 4 zu lesen:<\/p>\n „The test equipment shall be subject to the control of a monitoring quality system.“<\/em>\u00a0[2]<\/em><\/p>\n In der Praxis gehen die Umsetzungen zu diesem Punkt weit auseinander. Einerseits werden Systeme nach einmaliger Pr\u00fcfung bei der Inbetriebnahme als dauerhaft tauglich erachtet. Auf der anderen Seite werden zyklische Wartung oder sogar Pr\u00fcfungen vor jeder Testdurchf\u00fchrung vorgeschrieben.<\/p>\n Ein weiterer Aspekt, welcher zu beachten ist, ist die Genauigkeit mit den die sicherheitsrelevanten Funktionen zu testen sind. Beispielsweise werden h\u00e4ufig Schwellwerte von analogen Signalen (z. B. von Sensoren) verwendet, um einen Fehler zu erkennen und eine Fehlerreaktion auszul\u00f6sen. Heute am Markt verf\u00fcgbare HIL-Systeme besitzen meist keine offizielle M\u00f6glichkeit zur Kalibrierung bzw. zum Abgleich der analogen Kan\u00e4le.<\/p>\n Aus den im vorangegangenen Kapitel\u00a0Stand der Technik<\/em>\u00a0dargestellten Punkten ergeben sich Problemstellungen f\u00fcr die Konstruktion und den Einsatz von HIL-Testsystemen f\u00fcr den Test sicherheitsrelevanter Systeme und Funktionen.<\/p>\n Im Rahmen dieser Arbeit soll der Fokus auf der Genauigkeit und damit der Verl\u00e4sslichkeit der analogen Ein- und Ausg\u00e4nge eines solchen Systems liegen. Dies ist vor allem in Bezug auf den Test von Fehlererkennungen von Sicherheitsfunktionen relevant.<\/p>\n Ein typischer Signalpfand eines analogen Eingangs des Testsystems, wie er in Abb. 3 (s.\u00a0PDF<\/a>) dargestellt ist, soll als Beispiel f\u00fcr die Problemstellung dienen. Analoge Eing\u00e4nge dienen meist der Messung von Ansteuersignalen des zu testenden eingebetteten Systems.<\/p>\n Das analoge Signal wird dabei zuerst \u00fcber die Signalanpassung gef\u00fchrt, welche mittels Operationsverst\u00e4rkern die Signalpegel zwischen eingebetteten System und Echtzeitsystem anpasst. Weiterhin k\u00f6nnen Filter in den Signalpfad eingef\u00fcgt werden, um St\u00f6rungen aus dem System zu minimieren. Im Anschluss wird das Signal auf den analogen Eingang des Echtzeitsystems gelegt, welches aus einem Eingangsfilter und einem Analog-Digital-Wandler (ADC) besteht. Dabei sind alle Teile der Signalkette mit Fehlern behaftet. Zum Beispiel besitzen die Operationsverst\u00e4rker Offset- und Anstiegsfehler. Dies gilt ebenfalls f\u00fcr den ADC.<\/p>\n Je nach verwendetem Echtzeitsystem stehen mehr oder weniger Angaben zur Genauigkeit der Analogkan\u00e4le zur Verf\u00fcgung. Eine Kalibrierung bzw. ein Abgleich ist ab Werk nur f\u00fcr wenige IO-Karten verf\u00fcgbar bzw. vorgesehen.<\/p>\n Dies stellt f\u00fcr den Test sicherheitsrelevanter Systeme ein gro\u00dfes Problem dar.<\/p>\n Basierend auf dem in Kapitel\u00a0Problemstellung<\/em>\u00a0dargestellten Signalpfad wurden im Rahmen der Arbeit [3] Untersuchungen zur Kalibrierbarkeit und Abgleichbarkeit von HIL-Testsystemen auf Basis verschiedener Echtzeitsysteme durchgef\u00fchrt.<\/p>\n Es kamen dabei ein Echtzeitsystem der Firma dSPACE mit der analogen Eingangskarte DS2004 [4] sowie ein Echtzeitsystem auf Basis des \u00b5TCA Standards der Firma N.A.T. mit der analogen Eingangskarte TPMC554 [5] der Firma TEWS zum Einsatz.<\/p>\n Im ersten Schritt wurden anhand der Datenbl\u00e4tter die verf\u00fcgbaren Angaben zur Genauigkeit ermittelt. Dabei zeigte sich, dass die Angaben f\u00fcr die DS2004 umfangreich sind. Es werden neben Angaben zum Anstiegs- und Offset-Fehler auch Angaben \u00fcber die Temperaturdrift und Alterung getroffen. Nachteilig ist, dass die Karte keinerlei M\u00f6glichkeit zur hardwarebasierten Kalibrierung bietet und diese ab Werk auch nicht kalibriert ist.<\/p>\n F\u00fcr die TPMC554 ist nur ein maximaler Gesamtfehler der Messung angegeben. Daf\u00fcr ist die Karte ab Werk kalibriert und kann auch durch den Hersteller kalibriert werden. Weiterhin besteht die M\u00f6glichkeit, Kalibrierfaktoren f\u00fcr Anstieg- und Offset-Fehler an die Hardware der Karte zur Laufzeit zu \u00fcbergeben.<\/p>\n Im Rahmen der Arbeit wurde der tats\u00e4chliche Fehler der beiden Karten und deren zeitliche Stabilit\u00e4t mittels einer Spannungsquelle und eines kalibrierten Multimeters (Fluke 8845A) ermittelt. Dabei zeigte sich, dass die vermessenen Karten weit innerhalb der angegebenen Fehlerschranken lagen, und innerhalb des Untersuchungszeitraumes von einem halben Jahr konnte auch keine signifikante Abweichung durch Alterung ermittelt werden.<\/p>\n Parallel dazu wurde die Signalanpassung in Form der analogen Signalkonditionierungskarte [6] der Firma iSyst untersucht. Der Signalpfad dieser Karte besteht aus einem Eingangs-Operationsverst\u00e4rker, einem Filterbaustein und einem Ausgangs-Operationsverst\u00e4rker. Es wurden dazu Messreihen mit definierten Eingangsspannungen, welche mit dem Multimeter Fluke 8845A gemessen wurden, durchgef\u00fchrt und jeweils die Ausgangsspannung bestimmt. Es zeigte sich, dass der Gesamtfehler bei +\/- 1 % lag. Zum Beispiel ergab eine Eingangsspannung von 9,9858 V eine Ausgangsspannung von 10,064 V, was einen Fehler von -0,785 % ergibt.<\/p>\n Durch n\u00e4here Untersuchungen konnte gezeigt werden, dass ein Hauptteil des Fehlers durch einen Offset-Fehler der Operationsverst\u00e4rker (OP) verursacht wurde, welcher durch einen variablen Widerstand in der Beschaltung des Operationsverst\u00e4rkers weitgehend eliminiert werden konnte. In der sp\u00e4teren Entwicklung wurde der OP durch einen Typ mit deutlich geringerem Offset ersetzt.<\/p>\n Weiterhin wurde die Stabilit\u00e4t des Gesamtfehlers in Bezug auf die Temperatur und die Zeit bestimmt. Entsprechend der Angaben des Datenblattes des Operationsverst\u00e4rkers ergab sich ein Temperatureinfluss von < 1 % im Bereich von 0\u00a0\u00b0C \u2013 40 \u00b0C. Auch die Alterungseffekte konnten in Bezug auf die Messdauer von 6 Monaten vernachl\u00e4ssigt werden.<\/p>\n Als letztes wurde das Systemverhalten eines HIL-Systems von iSyst [7] mit einem dSPACE-System als Echtzeitsystem untersucht. Es wurde daf\u00fcr eine Eingangsspannung direkt am Pin des Steuerger\u00e4testeckers angelegt und die Messung des Echtzeitsystems ausgewertet. Damit konnten Einfl\u00fcsse der Verdrahtung des Systems bestimmt werden. Wie sich zeigte, hat die Verdrahtung des Systems einen relevanten Einfluss auf die Messungen. Bei genauerer Untersuchung konnten die Einfl\u00fcsse aber auf St\u00f6rungen durch benachbarte Signale zur\u00fcckgef\u00fchrt werden, welche im Folgenden beseitigt werden konnten.<\/p>\n Zusammenfassend kann festgestellt werden, dass eine Kalibrierung und ein Abgleich der einzelnen Komponenten schon eine sehr gro\u00dfe Verbesserung erbringen. Um aber eine Verl\u00e4sslichkeit aus Sicht der Schnittstelle des eingebetteten Systems zu gew\u00e4hrleisten, wurde eine Kalibrierung und ein Abgleich beginnend am Steuerger\u00e4testecker f\u00fcr notwendig befunden. Dies ist manuell durchf\u00fchrbar, aber mit einem hohen Zeitaufwand verbunden. Aus diesem Grund wurde eine weitgehende Automatisierung des Prozesses angestrebt.<\/p>\n Als Ausgangspunkt f\u00fcr die Betrachtung diente der in Kapitel\u00a0Problemstellung<\/em>\u00a0beschriebe Signalpfad. Da das angestrebte Konzept m\u00f6glichst f\u00fcr alle Echtzeitsysteme und IO-Karten in gleicher Weise funktionieren soll, wurde entschieden, den Abgleich in der Software also im Simulationsmodell (Matlab\/Simulink) durchzuf\u00fchren. Daraus ergibt sich die Notwendigkeit, auch den Kalibrier- und Abgleichsablauf in Matlab bzw. Simulink zu realisieren. Es wurde eine Realisierung in Matlab gew\u00e4hlt. Der resultierende Aufbau des Systems ist in Abb. 4 (s.\u00a0PDF<\/a>) zu sehen.<\/p>\n Als Signalquelle wurde eine einstellbare Spannungsquelle ben\u00f6tigt. F\u00fcr eine einfache Integration mit Matlab wurde eine Ansteuerung \u00fcber eine serielle Schnittstelle (RS232) gew\u00e4hlt. Diese kommt auch bei der Ansteuerung des Multimeters Fluke 8845A zum Einsatz. Es wurde eine selbst entwickelte Baugruppe verwendet, welche eine Spannung zwischen -15 V und + 15 V ausgeben kann.<\/p>\n Diese Spannung wird nun mittels des Multimeters Fluke 8845A gemessen und \u00fcber eine serielle Schnittstelle durch Matlab ausgelesen. Damit ist der Wert der Referenzspannung bekannt. Im Folgenden wird der gemessene Wert aus dem Inbetriebnahme-Modell des Echtzeitsystems mittels Matlab gelesen. Damit sind der Eingangs- und der Ausgangswert bekannt. Es kann die Abweichung bestimmt werden.<\/p>\n F\u00fcr den gesamten Kalibrier- und Abgleichprozess wird zuerst der Offset-Fehler bei 0V bestimmt. Nun wird der Anstiegsfehler in einem einstellbaren Wertebereich mit einer w\u00e4hlbaren Anzahl von St\u00fctzpunkten (bis zu 16 St\u00fctzpunkte im Wertebereich von -15 V bis +15 V) bestimmt und die Korrekturfaktoren berechnet. Diese werden in Form eines Protokolls und einer MAT-Datei abgespeichert. Das Protokoll dient der Dokumentation.<\/p>\n Mit Hilfe der MAT-Datei k\u00f6nnen nun die Korrekturfaktoren automatisch in das Simulink-Umgebungsmodell mit Hilfe des daf\u00fcr entwickelten Blocksets importiert werden. Es ist dabei nur die Auswahl der MAT-Datei innerhalb von Simulink notwendig.<\/p>\n In Abb. 5\u00a0(s.\u00a0PDF<\/a>) ist die Oberfl\u00e4che des Matlab-Toolings f\u00fcr die Durchf\u00fchrung der Kalibrierung und die Bestimmung der Abgleichswerte zu sehen.<\/p>\n In Abb. 6\u00a0(s.\u00a0PDF<\/a>) ist das Blockset zusehen, welches f\u00fcr den Abgleich der Analogkan\u00e4le verwendet wird. Dabei erm\u00f6glicht das Blockset die Korrektur des Offset- und des Anstiegsfehlers.<\/p>\n Weiterhin kann der Prozess auch f\u00fcr die Kalibrierung und den Abgleich analoger Ausg\u00e4nge verwendet werden. In diesem Fall dient das Echtzeitsystem als Signalquelle, und die Ausgangsspannung wird mittels des Multimeters Fluke 8845A am Pin des Steuerger\u00e4testeckers gemessen. Die ermittelten Korrekturfaktoren k\u00f6nnen mittels des beschriebenen Simulink-Blocksets in das Simulationsmodell \u00fcbernommen werden.<\/p>\n F\u00fcr die Evaluierung des Kalibrier- und Abgleichprozesses wurde ein HIL-System mit dSAPCE-Echtzeitsystem und einer DS2004 IO-Karte verwendet. Als erstes wurde die Abweichung der analogen Kan\u00e4le in Form des Kalibrierprozesses bestimmt. Das Ergebnis ist beispielhaft f\u00fcr einen Kanal in Abb. 7\u00a0(s.\u00a0PDF<\/a>) zu sehen. Im Anschluss wurden die errechneten Korrekturfaktoren in das Simulink-Modell \u00fcbernommen und die Abweichung neu bestimmt.\u00a0 Das Ergebnis ist beispielhaft f\u00fcr den selben Kanal in Abb. 8 (s.\u00a0PDF<\/a>) zu sehen.<\/p>\n Wie den Werten aus den Abbildungen zu entnehmen ist, konnte eine Verringerung der Abweichung und damit des Messfehlers von ca. +\/- 0,8 % auf ca. +\/- 0,15 % erreicht werden. Weitere Messungen nach einigen Betriebsstunden des Systems haben gezeigt, dass die erreichte Genauigkeit erhalten bleibt. Es sind dabei weiterf\u00fchrende Untersuchungen bez\u00fcglich der zeitlichen Stabilit\u00e4t und der Umwelteinfl\u00fcsse (vor allem der Temperatur) durchzuf\u00fchren.<\/p>\n Auf Basis der gewonnenen Erkenntnisse erfolgt eine Weiterentwicklung zu vollautomatisierten Abgleich und vollautomatisierten Selbsttest. Dabei kann die Messung nicht wie bei teil-automatisierten Kalibrierung am Steuerger\u00e4testecker erfolgen. F\u00fcr die vollst\u00e4ndige Automatisierung ist es n\u00f6tig, die Signale innerhalb des HIL-Systems zu messen. Dies erfolgt \u00fcber eine eigens integrierte, hochgenaue Messkarte, welche \u00fcber die vorhandene Fehlerinjektionseinheit mit allen Messkan\u00e4len des HIL-Systems verbunden wird.<\/p>\n Damit ist es m\u00f6glich, vor jedem qualit\u00e4tsrelevanten Test das System automatisiert zu pr\u00fcfen und damit die Zuverl\u00e4ssigkeit des Testsystems sicher zu stellen.<\/p>\n Im Rahmen dieser Arbeit konnte die M\u00f6glichkeit der Kalibrierung und des Abgleiches von HIL-Testsystemen weitreichend untersucht werden. Es konnte gezeigt werden, dass eine Kalibrierung und ein Abgleich m\u00f6glich und sinnvoll sind. Vor allem in Bezug auf den Test sicherheitskritischer Systeme und deren Schwellwerte f\u00fcr Fehlerreaktionen ist eine verl\u00e4ssliche analoge Messung f\u00fcr ein Testsystem unabdingbar.<\/p>\n Mit Hilfe des erarbeiteten Prozesses und der zugeh\u00f6rigen Komponenten und Tools k\u00f6nnen die Kalibrierung und der Abgleich weitgehend automatisiert durchgef\u00fchrt werden. Durch die Realisierung des Abgleichs im Simulink-Modell ist eine Unabh\u00e4ngigkeit von spezifischen Echtzeitsystemen gew\u00e4hrleistet.<\/p>\n Durch die automatisierte Erstellung eines Kalibrierprotokolls ist eine prozesskonforme Dokumentation der Eigenschaften des Testsystems einfacher m\u00f6glich.<\/p>\n Die Weiterentwicklung zum vollautomatisierten Selbsttest erm\u00f6glicht eine zus\u00e4tzliche Steigerung der Verl\u00e4sslichkeit der Testsysteme. Weiterhin ist damit ein umfangreicher Nachweis der Genauigkeit des Testsystems bei jedem qualit\u00e4tsrelevanten Test inklusive automatisierter Protokollierung m\u00f6glich.<\/p>\nStand der Technik<\/h2>\n
Problemstellung<\/h2>\n
Untersuchung zur Kalibrierung und zum Abgleich von HIL-Systemen<\/h2>\n
Erarbeitung eines Konzeptes zur teil-automatisierten Kalibrierung eines HIL-Testsystems<\/h2>\n
Evaluierung des prototypischen Systems<\/h2>\n
Weiterentwicklung zu automatisierten Selbsttest<\/h2>\n
Zusammenfassung<\/h2>\n
Quellenverzeichnis<\/h2>\n