Von der Idee zur Serie effiziente Funktions- und Softwareentwicklung für elektronische Steuergeräte

Transkript

1 Von der Idee zur Serie effiziente Funktions- und Softwareentwicklung für elektronische Steuergeräte Braunschweiger Verkehrskolloquium 02. Oktober 2003 Rainer Otterbach dspace GmbH Technologiepark Paderborn

2 dspace heute Unabhängiger Anbieter von Entwicklungssystemen 1988 gegründet Hauptsitz in Paderborn; Töchter in Detroit, in Paris und in Cambridge Über 400 feste Mitarbeiter weltweit 30 Mitarbeiter in den USA Zwei Niederlassungen im süddeutschen Raum nahe Stuttgart und nahe München 25% durchschnittliches Umsatzwachstum pro Jahr Ständig steigende Mitarbeiterzahlen Paderborn Holzgerlingen/ Stuttgart Holzgerlingen/ Stuttgart Pfaffenhofen/ München Pfaffenhofen / München

3 Weltweiter Markt dspace Ltd. Cambridge, Großbritannien dspace Sarl Paris, Frankreich Niederlande: Schweden: Polen: Tschechische und Slowakische Republik Israel: dspace Inc. Detroit, USA dspace GmbH Paderborn, Deutschland Indien: Japan: Korea: China: Taiwan: Australien: Vertriebstöchter in den USA, Frankreich und Großbritannien In 12 weiteren Ländern vertreten 50% des Umsatzes aus Export Weltweit bereits über verkaufte Systeme

4 SW im Automobil: Herausforderung Qualitätssicherung dpa Meldung vom zur 33. Jahrestagung der GI Für 55% der Ausfälle im Automobil ist die Elektronik verantwortlich Anstieg der Elektronikfehler um 23% in 3 Jahren (andere: 3%) Hauptursache: mangelndes Zusammenspiel zwischen Systemen verschiedener Zulieferer Hauptforderung: Mehr "Gründlichkeit" und einheitliche Standards

5 SW im Automobil: Herausforderung Qualitätssicherung

6 SW im Automobil: Vernetzte Steuergeräte Bordnetzstruktur des neuen BMW 5er Quelle: Sonderausgabe ATZ/MTZ, August 2003

7 SW im Automobil: Vernetzte Steuergeräte Steuergeräte-Netzwerk im Phaeton: bis zu 62 SG, davon bis zu 37 über CAN vernetzt, 2500 Signale Quelle: Sonderausgabe ATZ/MTZ, Juli 2002

8 Vernetzte Steuergeräte - Verteilte Funktionen An der Zentralverriegelung beteiligte Komponenten im Phaeton Quelle: Sonderausgabe ATZ/MTZ, Juli 2002

9 SW im Automobil: Fakten Auf Software entfallen 4% der Herstellkosten, Anstieg bis 2010 auf 13% 1) Bis zu 80 Steuergeräte in Oberklasse-Wagen, SW-Umfänge ca. 10 Mio. LoC 2), Speicherkapazität der SG ca. 50MB 3) Vernetzung: mehrere CAN-Busse, FlexRay, LIN-Subbusse, MOST Sicherheitrelevante Anwendungen: x-by-wire Verteilte Prozesse mit Zulieferern = verteilte Verantwortung 1) Mercer Management Consulting, Automobiltechnologie 2010, August ) DaimlerChrysler Hightech Report 01, 2002, ) A. Heinrich et al. "Versionsmanagement für Transparenz und Prozesssicherheit in der Steuergeräte-Entwicklung", Elektronik im Kraftfahrzeug, VDI Berichte 1789, 2003

10 Anforderungen an den SW-Entwicklungsprozess Komplexität des einzelnen Steuergeräts und des Steuergeräte- Netzwerks beherrschen Mit verteilten Funktionen in verteilten Systemen umgehen Datenaustausch zwischen den Entwicklungsphasen optimieren Rollenverteilung und Schnittstellen zwischen Projektpartnern anpassen und definieren Sicherheitsrelevante Systeme: Prozess-Knowhow aus anderen Branchen (Luft- und Raumfahrt) übernehmen Testen als Kerndisziplin verankern (Test Engineering)

11 Methoden und Werkzeuge Grafische Modellierung und Offline-Simulation Steuergeräte-Applikation Rapid Control Prototyping Hardware-in-the-Loop- Simulation Warum modellbasiert entwickeln? Ohne Modelle und Codegenerierung resultieren: 15-40% der Softwarefehler aus unzureichender Spezifikation 40-60% der Softwarefehler aus Programmierfehlern Automatische Seriencode-Generierung Davon die Hälfte aus sukzessiven Änderungen Modelle bilden die Grundlage für automatische Codegenerierung und Test Engineering.

12 Regler-Entwurf mit MATLAB/Simulink/Stateflow Modellbasierte Analyse, Spezifikation, System Design Regelungs- und Steuerungssysteme graphisch beschreiben Entwurf basiert auf Theorie und Algorithmen an Stelle von ad-hoc Heuristik Große Blockbibliotheken mit ständiger Erweiterung

13 Das Modell ist der "Master" Wiederverwendung von Modellen Änderungen im Blockdiagramm Spezifikation immer up-to-date Rapid Rapid Prototyping Code Code Generator Seriencode- Generator "Just-in-time code generation" schnell schnell effizient bequem sicher grenzenlos Zielprozessor Prototyping Hardware C167 CPU32 SH2 M32R Tri Core HC12

14 Rapid Control Prototyping: Fullpass RapidPro I/O Unit Actuators and Sensors RapidPro Power Unit RCP System RapidPro Control Unit LVDS Link

15 Anwendungsbeispiel: Brake-by-wire

16 Rapid Control Prototyping: Bypass RCP-System Dual-Port Memory, Nexus, NBD/AUD, SPI, CAN, Ethernet, USB, Flexray Production ECU BMW: 50 µs turn-around for 40 Bytes in EVT-Application (Dual-Port-Memory-based) optional extra I/O

17 Anwendungsbeispiel: Elektrische Kraftstoffpumpe MicroAutoBox expanded engine ECU with extra fuel control functions (bypass) temporarily acted as fuel pump ECU in parallel before ECU was available Engine control unit with MPC555 Dual-Port Mem 6 weeks from kickoff to test runs in Italy Electric fuel pump

18 Das Modell ist der "Master" Rapid Rapid Prototyping Code Code Generator Seriencode- Generator "Just-in-time code generation" schnell schnell effizient bequem sicher grenzenlos Zielprozessor Prototyping Hardware C167 CPU32 SH2 M32R Tri Core HC12

19 Aspekte der automatischen Codegenerierung Qualität und Zuverlässigkeit Anwendung in sicherheitsrelevanten Systemen TargetLink-generierter Code ist in Serie Antriebsstrang Sicherheitsrelevante Anwendungen Innenraum/Komfort

20 AutoCode: Qualität und Zuverlässigkeit Umfangreiche QS-Maßnahmen beim Tool-Hersteller Entwicklung des Code-Generators gemäß ISO/IEC15504 (SPiCE) mit regelmäßiger, unabhängiger Auditierung (Forderung der HIS) Zusätzliches Inhouse-SW-Qualitätsmanagement Mehrstufige Testprozesse auf der Basis umfangreicher Test-Suiten Test Engine Code-Muster, 8 Millionen Testfälle, kompiliert und ausgeführt auf Target Processor, 1 Woche 24 Stunden automatischer Regressionstest pro Target findet auch Compilerfehler Modell Testsuite automatischer Regressionstest mit über 1500 Modellen und ca Testfällen, läuft min. 10 Tage Test-Suiten wachsen mit jedem gefundenen Fehler Beta-Tests mit ausgewählten Kunden QS-Maßnahmen beim Anwender Test Engineering

21 AutoCode: Einsatz für sicherheitskritische Systeme IEC61508 als Sicherheitsnorm im automotiven Umfeld etabliert Muss branchen- oder projektspezifisch konkretisiert werden (für SW- Entwicklung z.b. durch RTCA DO-178B 1 ) Code-Generator entsprechend der Norm qualifizieren? Muss versions- und projektspezifisch erfolgen (Zusammenspiel Code- Generator, Compiler und Zielprozessor!), Ergebnis nur für die geprüfte Konfiguration gültig Muss nach derselben Sicherheitseinstufung erfolgen wie das Anwendungsprojekt Setzt Qualifizierbarkeit voraus (Entwicklungsdokumentation!) Hohe Mehrkosten für Code-Generator selbst (Faktor 5-10) und projektspezifische Qualifizierung (50-100T ) Hoher Zeitaufwand führt zu Wartungszyklen des Code-Generators von ca. 2 Jahren 1) Bauer, C.; Plawecki, D.: IEC61508 Part3 vs. RTCA/DO-178B A comparative study. Konferenz Anwendung des internationalen Standards IEC61508 in der Praxis, Januar 2003.

22 AutoCode: Einsatz für sicherheitskritische Systeme Einsparpotential durch qualifizierten Code-Generator? nur beim Unit-Test generelle Auslassung in der Regel aber nicht möglich Alternative: Vollständige, weitgehend automatisierte Verifikation der Anwendungssoftware gemäß Norm Einbindung des Code-Generators in projektspezifische Werkzeugkette, die die Einhaltung der Qualitätskriterien garantiert

23 Modellbasiertes Testen Test Engineering AutomationDesk C-Code /* pictrl */ #def i ne "dst ypes. h #def i ne G1 ( I nt 32) 0x void pictrl(uint16 r { I nt 16 e, S2, G_1, x1, UI nt 8 i ; e = (Int 16)(ref >> G_1 = ( I nt 16) ( ( ( a> x1 = ( e >> 4) +x1; G_2 = ( I nt 16) ( ( ( a> *u = G2 + G1; } Model-in-the-Loop Software-in-the-Loop Funktionsmodell Streckenmodell Streckenmodell Serien- Code Steuergerät Echtzeit- Streckenmodell Hardware-in-the-Loop

24 Steuergerätetest mit HIL-Simulation SG- Funktionstest Test eines Einzelsteuergeräts Software Integrationstest Abnahme- und Freigabetests Test des Steuergeräteverbunds Test verteilter Funktionen Test vernetzter Systeme Funktionsentwickler Regelstrategie Diagnoseverfahren Entwicklungs-Steuergeräte (X-by-Wire) Gesamter Betriebsbereich Kritische Fahrzustände Diagnosefunktionen Messungen aus Fahrversuch Restbussimulation Zusammenspiel Busverhalten Netzwerkmanagement Stromaufnahme Integrationstest

25 Beispiel: Test der Karrosserieelektronik des OPEL Vectra 15 vernetzte SGs von unterschiedlichen Zulieferern Umfangreiche I/O, mehr als 1200 CAN-Signale Tests verteilter Funktionen und der SG-Interaktion Echtzeit-Modifikation von CAN Botschaften durch Gateway

26 Besonderheiten beim Test vernetzter Systeme Test des Verhaltens bei Fehlern in der CAN-Kommunikation Zwei CAN Controller für den LS CAN Bus wahlweise Verbindung jedes Steuergerätes mit einem der beiden Controller sofortiges Weitersenden aller Botschaften an den 2. Controller Simulator-Software arbeitet als Fehlergateway zwischen den Controllern: Erzeugung von Fehlerfällen bis auf Botschaftsoder Einzelsignalebene Software-Manipulationsblöcke Software Hardware S1 Rx Tx Rx Tx CAN- Controller 1 S1 SG 1 SG 2 Signalmanipulation Signalmanipulation... CAN- Controller 2 SG n S1

27 Modellbasiertes Testen AutomationDesk C-Code /* pictrl */ #def i ne "dst ypes. h #def i ne G1 ( I nt 32) 0x void pictrl(uint16 r { I nt 16 e, S2, G_1, x1, UI nt 8 i ; e = (Int 16)(ref >> G_1 = ( I nt 16) ( ( ( a> x1 = ( e >> 4) +x1; G_2 = ( I nt 16) ( ( ( a> *u = G2 + G1; } Model-in-the-Loop Software-in-the-Loop Funktionsmodell Streckenmodell Streckenmodell Serien- Code Steuergerät Echtzeit- Streckenmodell Hardware-in-the-Loop

28 Graphische Testbeschreibung Strukturierte, intuitive Darstellung Kurze Einarbeitungszeiten Angelehnt an UML-Aktivitätsdiagramme

29 Testprojektmanagement alles unter einem Dach Hunderte bis bis Tausende von von Tests! Tests! Verwaltung, Strukturierung und Navigation in Testprojekten Testsequenzen Testparameter und Testdaten Testergebnisse Testreports

30 Was ist der Nutzen? Einige Beispiele... Motorsteuergerät: 800 Testfälle in 10 Stunden über Nacht (ATZ 10/1998) Innenraum: 1000 Testfälle für Wischer, Schließen, Außenlicht (Diss. Uni KA 2001) Diagnosefunktionen: Reduktion der Testzeiten durch Automatisierung um den Faktor 10 (AutoReg 2002) Japanischer OEM: 90% der Fehler aus dem Fahrversuch können in HIL reproduziert werden, die letzten 10% sind hauptsächlich Bedatungsprobleme ACC: OK-Rate bei der ersten Fahrzeug-Erprobung: 83% mit HIL, 40% ohne HIL, Zeitverkürzung auf 29% Vermeidung von Rückrufaktionen und Imageschäden rechtfertigt Investition und initiale Personalkosten für Testautomatisierung Return on Invest typischerweise spätestens nach 3-6 Monaten

31 Delphi: TargetLink for Delphi Control Applications Reuse library for efficient use of TargetLink code generation Delphi specific User Guide for TargetLink has been developed Models: components and interfaces Components = algorithm or part of algorithm Components are connected directly or via interfaces, interfaces perform multiplexing/de-multiplexing of data

32 MAN: Diesel Exhaust Cleaning with TargetLink 80% of the code done by TargetLink Code comes close to handcoded quality Compliance with the ASAM-MCD 2MC standard makes calibration easy Quelle: dspace Newsletter 2/2002

33 MAN: Entwicklungsprozess Quelle: dspace Anwenderkonferenz 2002

34 MAN: Software-Architektur-Design Quelle: dspace Anwenderkonferenz 2002

35 Volvo Cars: Development of Gearshift Strategies Quelle: dspace Newsletter 1/2002

36 Volvo Cars: Model-Based Development Tool Chain Final integration either by OEM or by supplier

37 Volvo Cars: Reported Benefits Better control of functionality modeling gives better overview and structure Fewer communication problems, less ambiguity of function specification (= model) through all development steps Shorter process from function idea to implemented software Fewer logical errors in implemented functionality Fast and simple testing of new gearshift strategies Fewer test vehicles Better conditions for calibration Shift strategies are now developed in-house Flexibility: Function changes are performed quickly and easiliy