Autoren: Gereon Wei\u00df und Philipp Schlei\u00df, Fraunhofer ESK Die zunehmende Automatisierung von Systemen erfordert neue Ans\u00e4tze zur Steigerung deren Verl\u00e4sslichkeit und Flexibilit\u00e4t. In zuk\u00fcnftig hochautomatisierten Fahrzeugen kann der Fahrer die Kontrolle \u00fcber das Fahrzeug vollst\u00e4ndig abgeben und muss erst nach 10 Sekunden wieder \u00fcbernehmen k\u00f6nnen. Hierf\u00fcr m\u00fcssen die hochautomatisierten Fahrfunktionen auch im Fehlerfall weiter funktionieren, d.h. fail-operational sein. Der Beitrag stellt ein neues Konzept und L\u00f6sung f\u00fcr zuk\u00fcnftige adaptive Fahrzeugsoftware-Architekturen vor. Dies erm\u00f6glicht kosteneffizient, die Ausfallsicherheit in eingebetteten, sicherheitskritischen Systemen zu realisieren. Es werden die grunds\u00e4tzlichen Herausforderungen, neuen Mechanismen und die Integration in die heutige Entwicklung (u.a. mit AUTOSAR) dargestellt. Das Konzept wurde unter anderem in einem E-Fahrzeug implementiert und evaluiert.<\/strong><\/p>\n Die fortschreitende Automatisierung hin zum Autonomen Fahren erfolgt in aufeinander aufbauenden Stufen mit zunehmendem Automatisierungsgrad. Der n\u00e4chste Schritt von einem teilautomatisierten zu einem hochautomatisierten System (VDA Stufe 3\u00a0[1]) erfordert jedoch eine erh\u00f6hte Form der Flexibilit\u00e4t (wie sie auch f\u00fcr neue Mobilit\u00e4tskonzepte notwendig wird [2]) und Ausfallsicherheit. In diesem Schritt muss der Fahrer das Fahrzeug und das Verkehrsgeschehen nicht st\u00e4ndig selber \u00fcberwachen, sondern \u00fcbernimmt wieder die Kontrolle in einem definierten Zeitraum. Wenn eine Situation auftritt, die das automatisierte System nicht selbst\u00e4ndig handhaben kann, sollte der Fahrer innerhalb 10 Sekunden wieder die Fahrzeugkontrolle \u00fcbernehmen. In dem Fall muss jedoch auch garantiert werden, dass das Fahrzeugsystem f\u00fcr einen solchen Zeitraum selbst\u00e4ndig funktional bleibt. F\u00e4llt beispielsweise ein Steuerger\u00e4t aus, muss das System dies eigenst\u00e4ndig kompensieren k\u00f6nnen. Ist beispielsweise die Lenkfunktion durch den Ausfall betroffen, so muss diese schnellstm\u00f6glich auf andere Weise wiederhergestellt werden, ohne dass das Fahrzeug in einen unsicheren Zustand ger\u00e4t. Hierf\u00fcr ist aber ein f\u00fcr den Automotive-Bereich neue Art der Sicherheit notwendig, denn bisher konnten fehlerhafte Systeme h\u00e4ufig dank mechanischer Backup-L\u00f6sungen einfach abgeschaltet werden. Nun ist ein Wechsel von diesem sogenannten\u00a0fail-silent<\/em>\u00a0zu einem\u00a0fail-operational<\/em>\u00a0Verhalten notwendig. Letzteres besagt, dass auch im Fehlerfall die sicherheitskritische Funktionalit\u00e4t aufrecht erhalten wird. Dieses Sicherheitskonzept wird bereits im Avionikbereich mit mehrfacher Redundanz realisiert [3]. Dies kann jedoch unter anderem aufgrund der hohen Kosten nicht einfach f\u00fcr den Automobilbereich \u00fcbernommen werden. Aktuelle Ans\u00e4tze verwenden typischerweise f\u00fcr jede Funktionalit\u00e4t dedizierte Hardware in mehrfach-redundanter Ausf\u00fchrung. Dieser L\u00f6sungsansatz mag f\u00fcr eine kleine Anzahl an Fahrfunktionen noch sinnvoll nutzbar sein. Jedoch erscheint er hinsichtlich der vielen ausfallsicheren Fahrfunktionen in zuk\u00fcnftigen Fahrzeugen als zu aufw\u00e4ndig und kostspielig.<\/p>\n Um eine effizientere L\u00f6sung f\u00fcr fail-operational Verhalten zu erhalten, k\u00f6nnen aktuelle M\u00f6glichkeiten zur Integration mehrerer unabh\u00e4ngiger Funktionen auf einem Steuerger\u00e4t genutzt werden. Bei einem solchen Konzept sind die hochintegrierten Funktionen nicht mehr an ein dezidiertes Steuerger\u00e4t gebunden, sondern sie teilen sich Rechenressourcen mit anderen Funktionen auf einer hoch performanten Plattform.<\/p>\n In einem solchen System k\u00f6nnen m\u00f6gliche Ausf\u00e4lle einzelner Steuerger\u00e4te global ber\u00fccksichtigt und kompensiert werden. Hierf\u00fcr muss das System adaptive auf solche Fehlerereignisse reagieren k\u00f6nnen. So k\u00f6nnen beispielsweise verschiedene Fehler mit dem gleichen Backup-Steuerger\u00e4t im Fehlerfall gehandhabt werden. Nach den bisherigen Ans\u00e4tzen mit einzelner Hardware-Redundanz m\u00fcsste jeder Steuerger\u00e4teausfall durch mindestens ein spezielles anderes Steuerger\u00e4t abgesichert werden. Da nicht alle Funktionen sicherheitskritisch sind, das hei\u00dft, sie sind zur Einhaltung des Sicherheitsziels nicht notwendig, kann die Menge an Hardware-Redundanz weiter reduziert werden. In den betrachteten Fehlerf\u00e4llen werden dann nur alle notwendigen Funktionen weiter ausgef\u00fchrt, indem unkritische Funktionen verworfen werden oder ressourcen\u00e4rmere Varianten ausgef\u00fchrt werden. Dieses Konzept wird auch als\u00a0Graceful Degradation<\/em>\u00a0bezeichnet. Durch dieses k\u00f6nnen trotz reduzierten Systemkapazit\u00e4ten nach dem Ausfall von Komponenten noch sichere Konfigurationen erreicht werden.<\/p>\n Zuk\u00fcnftige E\/E-Architekturen automatisierter Fahrzeuge werden zahlreiche hochverf\u00fcgbare Fahrfunktionen aufweisen und eine Vielzahl von potenziellen Fehlerf\u00e4llen ber\u00fccksichtigen m\u00fcssen. Eine manuelle Konfiguration jedes Steuerger\u00e4ts f\u00fcr jedes Ausfallszenario ist dabei nicht durchf\u00fchrbar. Unter anderem m\u00fcssen dabei n\u00e4mlich diverse Randbedingungen eingehalten werden. Zum Beispiel muss sichergestellt werden, dass jede ausfallsichere Funktion innerhalb eines funktionsspezifischen Zeitraums wieder aktiviert wird. Dies liegt typischerweise im Bereich weniger Millisekunden. Analog muss auch gew\u00e4hrleistet sein, dass Funktionen deterministisch aktiviert werden und es nicht zu Doppelaktivierungen einzelner Funktionen nach einer Rekonfiguration kommt. Damit ein System mit solcher Komplexit\u00e4t fehlerfrei entwickelt werden kann, sind Verfahren zur automatisierten Generierung ausfallsicherer Systeme entscheidend. Mit diesen kann einerseits das komplexe Problem der Verteilung und Allokation von Softwarekomponenten auf Steuerger\u00e4te und CPU-Cores f\u00fcr alle Fehlersituationen gel\u00f6st werden. Dar\u00fcber hinaus k\u00f6nnen g\u00fcltige Konfiguration f\u00fcr alle an der Rekonfiguration beteiligten Module wie f\u00fcr Scheduling oder Kommunikationsbeziehungen automatisiert erzeugt werden.<\/p>\n Um den skizzierten systemweiten Ansatz zur erh\u00f6hten Ausfallsicherheit durch Adaptivit\u00e4t zu erm\u00f6glichen [4], bedarf es allgemeinen Anforderungen an die Hardware-Architektur (s. Abb. 1, PDF) und einer speziellen Softwarekomponente. Teile der Hardware-Architektur, die f\u00fcr Funktionen mit fail-operational Verhalten genutzt werden soll, muss gegen bestimmte Fehler robust sein. So sind neben abgesetzten sowie redundanten Sensoren und Aktuatoren auch zwei Kommunikationswege zu diesen notwendig. Nur so kann sichergestellt werden, dass ein Linkbruch nicht zum vollst\u00e4ndigen Ausfall der Funktionalit\u00e4t f\u00fchrt, da beispielsweise ein Aktuator nicht mehr erreichbar ist. Dar\u00fcber hinaus ist eine Synchronisierung der beteiligten Steuerger\u00e4te unabdingbar, damit die Adaption konsistent und zu gleichen Zeitpunkten erfolgen kann. Jedes beteiligte Steuerger\u00e4t muss zudem in der Lage sein, eigene Fehler zuverl\u00e4ssig zu erkennen, um sich entweder selbst zu deaktivieren oder alternativ die Auswirkungen des Fehlers auf die jeweiligen Funktionen abzuleiten. Da eine einzelne Stromquelle einen\u00a0Single-Point-of-Failure<\/em>\u00a0darstellt, ist es wichtig, diese gesondert abzusichern oder redundant auszulegen. Die spezielle Softwarekomponente baut auf dieser Hardware-Architektur auf [5]. Sie nimmt in verl\u00e4sslicher Weise und verteilt die Rekonfiguration der einzelnen Steuerger\u00e4te vor, indem die jeweils ben\u00f6tigten Funktionen adaptiv auf den vorhandenen Steuerger\u00e4ten aktiviert werden.<\/p>\n Um nach einem Ausfall alle kritischen Funktionalit\u00e4ten eines Fahrzeugs betriebsf\u00e4hig zu halten, ist eine deterministische Adaption aller beteiligten Steuerger\u00e4te notwendig. Hierzu wurde ein neues Basissoftwaremodul namens\u00a0Safe Adaptation Platform Core<\/em>\u00a0(SAPC) [6] entwickelt, das die Verf\u00fcgbarkeit aller Softwarekomponenten (SWC) zur Laufzeit verwaltet. Um Informationen \u00fcber den Systemzustand dezentral zu erfassen, versendet jede SAPC-Instanz synchrone Status-Nachrichten (sogenannte\u00a0Health-Vectors<\/em>) mit dem Zustand aller verwalten SWC-Instanzen. Auf dieser Grundlage kann jede SAPC-Instanz unabh\u00e4ngig analysieren, ob sie eine Rekonfiguration durchf\u00fchren muss. Da die Adaptionen durch eine zentrale Planung im Entwurf definiert werden, sind die Entscheidungen der verteilten Instanzen f\u00fcr sicherheitskritische Funktionen im Verbund konsistent. Dieses Verfahren zum Austausch des Systemzustands ist in Bild 1 (siehe PDF) abgebildet.<\/p>\n Um automatisiert zu einer fehlertoleranten Systemkonfiguration zu gelangen, wurde aufbauend auf dem AUTOSAR-Austauschformats [7] ein neues Modellierungskonzept entworfen, um auch die Anforderungen bzgl. der Verf\u00fcgbarkeit einzelner SWC-Instanzen in unterschiedlichen Fehlermodi exakt zu spezifizieren. Basierend auf diesen Informationen analysiert nun das entwickelte Tooling den Daten- und Kontrollfluss zwischen den einzelnen Runnables im Systemmodell und bestimmt einen Schedule f\u00fcr jede ECU und jeden Fehlermodus. Analog dazu werden auch die \u00dcbertragungszeitpunkte und die Zusammensetzung von PDUs unter Ber\u00fccksichtigung der busspezifischen Eigenschaften bestimmt. Der gesamte automatisierte Prozess ist schematisch in Abb. 3\u00a0(siehe PDF) dargestellt.<\/p>\n Um den Anforderungen an die Ausfallsicherheit zuk\u00fcnftiger E\/E-Architekturen in einer kosteneffizienten Art gerecht zu werden, sind neue Architektur- und Automatisierungs-Ans\u00e4tze unerl\u00e4sslich. Der vorgestellte Ansatz erlaubt es, mit einer sparsamen Hardwarearchitektur und Software-basierter Adaption die hohen Sicherheitsanforderungen automatisierter Fahrzeugsysteme bzgl. der Verf\u00fcgbarkeit zu erreichen. Damit dies auch in aufkommenden Systemen effizient realisiert werden kann, ist eine Standardisierung der fail-operational Konzepte notwendig. Hierdurch ist es m\u00f6glich, eine kosteng\u00fcnstige und hersteller\u00fcbergreifende Interoperabilit\u00e4t der nicht wettbewerbsdifferenzierenden Mechanismen zu etablieren.<\/p>\n [1]\u00a0 Verband der Automobilindustrie (VDA). (letzter Zugriff: 14.10.2016) Automatisiertes Fahren. [Online]. Beitrag als PDF downloaden<\/strong><\/p>\n Wollen Sie sich auf den aktuellen Stand der Technik bringen?<\/strong><\/p>\n Dann informieren Sie sich\u00a0hier<\/strong>\u00a0<\/a>zu Schulungen\/ Seminaren\/ Trainings\/ Workshops und individuellen Coachings von MircoConsult zum Thema Architektur \/Embedded- und Echtzeit-Softwareentwicklung.<\/p>\n Training & Coaching zu den weiteren Themen unseren Portfolios finden Sie\u00a0hier<\/a>.<\/strong><\/p>\n Wertvolles Fachwissen zum Thema\u00a0Architektur \/Embedded- und Echtzeit-Softwareentwicklung steht\u00a0hier<\/strong>\u00a0<\/a>f\u00fcr Sie zum kostenfreien Download bereit.<\/p>\n
\n<\/strong><\/p>\nBeitrag – Embedded Software Engineering Kongress 2016<\/h3>\n
Automatisierung – von fail-silent zu fail-operational<\/h2>\n
Software-basierte Redundanz durch Adaptivit\u00e4t<\/h2>\n
Verteilte Adaption zur Laufzeit<\/h2>\n
Werkzeug zur automatisierten Systemsynthese<\/h2>\n
Zusammenfassung & Ausblick<\/h2>\n
Literatur- und Quellenverzeichnis<\/h2>\n
\nhttps:\/\/vda.de\/de\/themen\/innovation-und-technik\/automatisiertes-fahren\/automatisiertes-fahren.html
\n<\/a>[2]\u00a0 Projekt: Adaptive City Mobility 2. (letzter Zugriff: 14.10.2016) [Online].
\nhttps:\/\/www.adaptive-city-mobility.de\/
\n<\/a>[3]\u00a0 P. Bieber, E. Noulard, C. Pagetti, T. Planche, and F. Vialard, „Design of Future Reconfigurable IMA Platforms,“\u00a0Special Issue on the 2nd International Workshop on Adaptive and Reconfiurable Embedded Systems (APRES’09)<\/em>, 2009.
\n[4]\u00a0 SafeAdapt. (letzter Zugriff: 14.10.2016) Safe Adaptive Software for Fully Electric Vehicles. [Online]. https:\/\/www.safeadapt.eu
\n[5]\u00a0 A. Ruiz, G. Juez, P. Schleiss, and G. Weiss, „A safe generic adaptation mechanism for smart cars,“\u00a0IEEE 26th International Symposium on Software Reliability Engineering (ISSRE 2015)<\/em>, 2015.
\n[6]\u00a0 SafeAdapt, „D3.1 Concept for Enforcing Safe Adaptation during Runtime,“\u00a0<\/em>Project Deliverable, 2015.
\n[7]\u00a0 AUTOSAR. (letzter Zugriff: 14.10.2016) AUTomotive Open System Architecture. [Online].\u00a0https:\/\/www.autosar.org\u00a0<\/a><\/p>\n
\nArchitektur – MicroConsult Trainings & Coachings<\/h2>\n
\nArchitektur\u00a0– Fachwissen<\/h2>\n