Autoren: Dr. Peter Munk, Dr. Arne Nordmann, Dr. Eike Thaden, Rakshith Amarnath, Markus Schweizer, Dr. Simon Burton, Robert Bosch GmbH Bei immer k\u00fcrzeren Entwicklungszyklen steigt die Komplexit\u00e4t von elektrisch\/elektronischen (E\/E) Systemen im Automobil stetig an. Funktionale Sicherheitsnormen, z.B. die ISO 26262, schreiben arbeitsintensive Schritte wie die Fehlerbaumanalyse (FTA) und die Failure Mode and Effects Analysis (FMEA) vor. Diese Schritte werden oft manuell und ohne systematische Wiederverwendung von Artefakten durchgef\u00fchrt. Wir stellen\u00a0<\/strong>eine semi-automatischen Sicherheitsanalyse- und Optimierungsmethodik vor. Dabei wird, basierend auf bekannten Ans\u00e4tzen wie Component Fault Trees [1], ein funktionales oder technisches Systemmodell um Fehlerpropagationsinformationen erweitert. Daraus werden automatisch die FTA und die FMEA f\u00fcr das Gesamtsystem abgeleitet. Aufgrund dieser Analysen kann das Modell zudem mittels wiederverwendbarer Architekturmuster optimiert werden [2]. Als Teil einer modell-basierten Entwicklung erh\u00f6ht die vorgestellte Methodik somit den Automatisierungsgrad und senkt die Entwicklungsdauer<\/strong>.<\/p>\n Die Komplexit\u00e4t und die Leistungsanforderungen aktueller sicherheits- und echtzeitkritischer E\/E-Systeme im Automobil steigen stetig an. Dieser Trend resultiert aus immer fortschrittlicheren Fahrerassistenzfunktionen, welche mehr und mehr Funktionen und Rechenleistung ben\u00f6tigen. Diese Entwicklung wird durch die Vision vom hochautomatisierten und autonomen Fahren angetrieben. Solche Systeme m\u00fcssen immer l\u00e4ngere Zeitr\u00e4ume fehlerfrei ohne Fahrereingriff funktionieren, weshalb auch die Sicherheits- und Verf\u00fcgbarkeitsanforderungen steigen. Um im kostengetriebenen Automobilbereich konkurrenzf\u00e4hig zu sein, muss die Entwicklung solcher Systeme in immer k\u00fcrzeren Zyklen stattfinden.<\/p>\n Relevante funktionale Sicherheitsnormen, wie die ISO 26262 f\u00fcr den Automobilbereich, schreiben verschiedene arbeitsintensive und zeitaufwendige Schritte vor. Dazu geh\u00f6ren unter anderem die Spezifikation eines funktionalen Sicherheitskonzepts, die Erstellung von technischen Sicherheitsanforderungen f\u00fcr jedes Sicherheitsziel sowie die Verifikation und Validierung des Systems durch Tests, FTA und FMEA. Diese Schritte werden oftmals manuell und mit wenig bzw. keiner systematischen Wiederverwendung von bereits bestehenden Artefakten durchgef\u00fchrt.<\/p>\n Um mit der steigenden Komplexit\u00e4t und den immer k\u00fcrzeren Entwicklungszyklen Schritt zu halten, muss der Automatisierungsgrad in der Spezifikation der technischen Sicherheitsanforderungen sowie der Verifikation und Validierung der Systeme erh\u00f6ht werden. Wir stellen daf\u00fcr unseren Ansatz zur semi-automatischen Safety-Analyse und -Optimierung vor.<\/p>\n Ein modellbasierter Systems-Engineering-Ansatz ist notwendig, um die Komplexit\u00e4t von zuk\u00fcnftigen E\/E-Systemen zu beherrschen. Er stellt gleichzeitig die Grundlage f\u00fcr die semi-automatische Safety-Analyse und -Optimierung dar. Wir nehmen an, dass die funktionalen Anforderungen mit existierenden Requirements-Engineering-Methoden erhoben werden und vorliegen. Wie in Abbildung 1 (siehe\u00a0PDF<\/a>) dargestellt, wird aus den Anforderungen zun\u00e4chst in eine funktionale Architektur entworfen. Diese ist unabh\u00e4ngig von einer technischen Realisierung und besteht aus funktionalen Bl\u00f6cken mit Ein- und Ausg\u00e4ngen sowie den Verbindungen dazwischen, wie in Abbildung 2 (siehe\u00a0PDF<\/a>) exemplarisch dargestellt. Als Modellierungssprache kann SysML verwendet werden, es stehen aber auch Alternativen wie die AADL zur Verf\u00fcgung.<\/p>\n Weiterhin nehmen wir an, dass die Sicherheitsziele mit existierenden Hazard Analysis & Risk Assessment (HARA) Methoden erhoben werden und vorliegen. Die Sicherheitsziele werden nun mit den Komponenten der funktionalen Architektur verkn\u00fcpft. Entsprechend der Arbeiten zu Component Fault Trees [1] und Hierarchically Performed Hazard Origin and Propagation Studies (HiP-HOPS) [2] wird die Fehlerfortpflanzung pro Komponente mittles logischer UND- und ODER-Gatter zwischen den Ein- und Ausg\u00e4ngen modelliert. An jedem Ein- und Ausgang k\u00f6nnen dabei verschiedene Fehlermodi auftreten. Au\u00dferdem besteht die M\u00f6glichkeit, Fehlerursachen und deren Auftretenswahrscheinlichkeit zu modellieren. Abbildung 3 (siehe\u00a0PDF<\/a>) zeigt exemplarisch die Fehlerfortpflanzung der „controller“ Komponente aus Abbildung\u00a02 (siehe\u00a0PDF<\/a>). Der Eingang „in B“ hat einen Fehermodus namens „wrong“, welcher mit der Fehlerursache „basic“ zum Zwischenergebnis „intermediary“ logisch UND-verkn\u00fcpft (&&) ist. Der Eingang „in A“ hat zwei verschiedene Fehlermodi („wrong value“ und „too late“), welche zusammen mit dem Zwischenergebnis „intermediary“ logisch ODER-verkn\u00fcpft (||) ist. Das Ergebnis der ODER-Verkn\u00fcpfung namens „error“ stellt gleichzeitig den einzigen Fehlermodi des Ausgangs „out“ dar.<\/p>\n Im Design- and Allocation-Schritt wird aus dem funktionalen Architekturmodell ein technisches Architekturmodell abgeleitet, welches Hardwarebausteine und Softwarekomponenten sowie deren Allokation beinhaltet. Das technische Architekturmodell kann ebenfalls in der SysML modelliert werden. Analog zum funktionalen Architekturmodell wird nun die Fehlerpropagation innerhalb jedes Hardwarebausteines und jeder Softwarekomponente modelliert.<\/p>\n Aus den angereicherten funktionalen oder technischen Architekturmodellen kann nun automatisch der Fehlerbaum f\u00fcr das Gesamtsystem erstellt und analysiert werden. Gleichzeitig kann die FMEA des Systems unterst\u00fctzt werden, indem zentrale Artefakte, wie der Strukturbaum, das Funktionsnetz und das Fehlernetz, automatisch aus dem Architekturmodells erzeugt werden. Dies ist noch vor einer konkreten Umsetzung des Systems als Prototyp oder Produkt m\u00f6glich, wodurch zu einem fr\u00fchen Zeitpunkt im Entwicklungszyklus bereits Erkenntnisse zur funktionalen Sicherheit gewonnen werden k\u00f6nnen. \u00c4ndert sich das Architekturmodell im weiteren Verlauf der Entwicklung, k\u00f6nnen die modellbasierten Sicherheitsanalysen mit geringem manuellen Aufwand erneut durchgef\u00fchrt werden. Die automatisch erzeugte FTA- und FMEA-Dokumente stellen au\u00dferdem wichtige Merkmale in der Argumentation ausreichender funktionaler Sicherheit f\u00fcr das Gesamtsystem dar.<\/p>\n Sofern die FTA-Ergebnisse nicht den erforderlichen Zuverl\u00e4ssigkeitswerten entsprechen, besteht die M\u00f6glichkeit, die funktionale oder technische Architektur automatisch zu verbessern. Voraussetzung daf\u00fcr ist ein Katalog mit Sicherheitsmechanischen, welche als Modelltransformationen abgelegt sind. Beispielhaft f\u00fcr einen Sicherheitsmechanismus sei die Replikation einer kritischen Komponente mit anschlie\u00dfendem Vergleich beider Ergebnisse genannt (Dual Modular Redundancy). Ein (heuristischer) Optimierungsalgorithmus, z.B. ein evolution\u00e4rer Algorithmus, wendet iterativ geeignete Sicherheitsmechanismen auf kritische Komponenten an und f\u00fchrt nach jedem Schritt erneut die FTA durch. So kann die Pareto-Front zwischen der Zuverl\u00e4ssig des Gesamtsystems und den Kosten, die durch die Laufzeit, den Speicherbedarf, die Chip- oder Platinenfl\u00e4che und die finanziellen Kosten der zus\u00e4tzlichen Komponenten der Sicherheitsmechanischen entstehen, ermittelt werden. Der Ansatz erleichtert zudem den Austausch von bew\u00e4hrten Sicherheitsmechanischen zwischen Gesch\u00e4ftseinheiten in Form von Modelltransformationen.<\/p>\n Der vorgestellte Ansatz zur semi-automatischen Safety-Analyse und -Optimierung ist Teil eines modellbasierten Systems-Engineering-Prozesses und erleichtert die Entwicklung von sicherheitskritischen Produkten. Wir haben den Ansatz in einem prototypischen Werkzeug umgesetzt und evaluieren ihn zurzeit in Zusammenarbeit mit mehreren Gesch\u00e4ftsbereichen der Robert Bosch GmbH.<\/p>\n [1]\u00a0\u00a0 B. Kaiser, P. Liggesmeyer und O. M\u00e4ckel, „A New Component Concept for Fault Trees“, in\u00a0Proceedings of the 8th Australian Workshop on Safety Critical Systems and Software<\/em>, 2003.<\/p>\n [2]\u00a0\u00a0 Y. Papadopoulos, M. Walker, D. Parker, E. R\u00fcde, R. Hamann, A. Uhlig, U. Gr\u00e4tz und R. Lien, „Engineering failure analysis and design optimisation with HiP-HOPS“,\u00a0Engineering Failure Analysis,\u00a0<\/em>Bd. 18, Nr. 2, pp. 590-608, 2011.<\/p>\n Beitrag als PDF downloaden<\/strong><\/a><\/p>\n Wollen Sie sich auf den aktuellen Stand der Technik bringen?<\/strong><\/p>\n Dann informieren Sie sich\u00a0hier<\/strong>\u00a0<\/a>zu Schulungen\/ Seminaren\/ Trainings\/ Workshops und individuellen Coachings von MircoConsult zum Thema\u00a0Qualit\u00e4t, Safety & Security<\/strong>.<\/p>\n Training & Coaching zu den weiteren Themen unseren Portfolios finden Sie hier<\/a>.<\/strong><\/p>\n Wertvolles Fachwissen zum Thema Qualit\u00e4t, Safety & Security steht\u00a0hier\u00a0<\/a>f\u00fcr Sie zum kostenfreien Download bereit.<\/p>\n
\n<\/strong><\/p>\nBeitrag – Embedded Software Engineering Kongress 2017<\/h3>\n
Einleitung<\/h2>\n
Die semi-automatische Safety-Analyse<\/h2>\n
Die semi-automatische Safety-Optimierung<\/h2>\n
Zusammenfassung und Ausblick<\/h2>\n
Literatur- und Quellenverzeichnis<\/h2>\n
\nUnsere Trainings & Coachings<\/h2>\n
\nQualit\u00e4t, Safety & Security – Fachwissen<\/h2>\n