Warum Signale? Was ist ETCS? Warum openetcs? Das Eco-System Zusammenfassung

Transkript

1 Überblick: :: Open Source-Prinzipien für das Europäische Zugsicherungssystem MoU Gruppe Klaus-Rüdiger Hase Warum Signale? Was ist ETCS? Warum? Das Eco-System Zusammenfassung Gate Garching, Page 2 Deshalb! Wir benötigen Signale & Automatische Zugsicherung 9. Juni 1865, Staplehurst, Kent, England Nashville, Tennessee, USA & Magdeburg, Germany, 10 Tote , Eisenach, , Brüssel D 354 Berlin-Paris Belgien, 20 Tote Page 3 Page 4 Automatische Zugsicherung (PZB seit 1934) Historisch bedingte Vielfalt Wenn ich nicht anhalte, bewirkt die PZB eine Zwangsbremsung. Heute: Vielfalt Zukunft: Einheitlichkeit 1

2 ETCS Level 1 ETCS Level 2 Ich muss das Signal beachten! European Vital Computer Fahrbefehl kommt über Zug-Funk! Computer für SAFETY? die haben doch Bugs! Wie viele Bugs? Erstes jemals dokumentiertes Computer Bug 9. Sept. 1947, 15:45 (Harvard Mark II) Page 9 Typische Qualitäts-SW: 1-10 bugs je lines of code (TLOC) Sehr ausgereifte, weit verbreitete SW: 0,5 bugs per TLOC Höchste qualität: < 1 Fehler auf 10 TLOC Kosten mehr als US$ je LOC (1977) US Space Shuttle mit 3 Mio. LOC zu 3 Mrd. US$ Kostenniveau untypisch für Bahnsektor (< 100 /LOC) Typische ETCS Kern-größe: TLOC Das bedeutet: unentdeckte Fehler je Aufdeckungszeit? Page 10 Vertraute Effekte von -Bugs Ärgerlich, störend, gefährlich bis zum Disaster Vertraute Effekte von -Bugs Ärgerlich, störend, gefährlich bis zum Disaster June 4, 1996: The European Courtesy Ariane5 of Microsoft. rocket explodes 40 s into its maiden flight due to a software bug. August 14, 2003: A programming error has been identified as the cause of the Northeast power blackout. August 14, 2003: A programming error has been identified as the cause of the Northeast power June 4, 1996: blackout. The European Courtesy Ariane5 of Microsoft. rocket explodes 40 s into its maiden flight due to a 16. Oktober software 2007: Entgleisung bug. an der Lötschberg-Basislinie bei Frutigen wegen eines fehlers im ETCS Radio Block Center (RBC) *) *) aus Unfallbericht, Quelle: Page 11 Page 12 2

3 ETCS Produktion heute: ETCS SRS Lyrik Wiegehtesbesser? Specification 1 Specification 2 Specification 3 Specification 4 Komplexität { 1. Wesentliches Mehrdeutigkeiten 2. Formale Methoden besser: Review-Team 3. Open Open Source Proofs Equipment 1 Equipment 2 Equipment 3 Equipment 4 Page 13 Page 14 Get it right! ERA s Responsibility SRS Lyrik Formal System Requirement Spec. Formal Language Functional Specification Tools Synthetic & real life test cases & response pattern SW Code Generator Project Parameters Simulator STI API HW 15 Equipment Manufacturer Scope of API in der Automobilindustrie Open Source Engineering Tools Open Source Architecture Page 17 Referenz: Page 18 3

4 AUTOSAR Core Partners and Members Status: 30th September Development Member 9 Core Partner Scope of Open Engineering Tools 56 Premium Member 86 Associate Member 16 Attendees General OEM Generic Tier 1 Up-to-date status see: Standard - AUTOSAR Confidential - Tools and Services Semiconductors Courtesy of 19 10th Feb Overview on AUTOSAR Members Page 20 FLOSS Tools Suite for TOPCASED Toolkit in Open-Source for Critical Application & System Development Reference: Page 21 Reference: Page 22 Zeitplan für Implementation DBs ICE-T T /3 ETCS DB ICE-T T /3 Ausrüstungen stungen mit ETCS Entwicklungs- und Produkteinführungsplanung SW-Offenlegung Industrie Nachrüstung Today 1Q Q2013 4Q MoU Open Formal Spec. & Open Engineering Tools 2.3.0d Formal Method Spec. Non-vital reference OBU OSS hand made not formal Formal Method Spec. vital OBU Projekt einschließlich FLOSS Werkzeuge 3.x.y 3.x.y Page 23 Von Closed Source zur Open Source? OEM liefert ETCS OBUs mit er Zulassung durch EBA.org Trusted Repository Gewährleistung und Update-Service wie üblich OEM stellt SW unter (Zulassung bleibt erhalten) Bug Reports fordert Offenlegung der SW Vertrag verlangt Offenlegung des Application Programming Interface (API) OEM überträgt Distribution an neutrale.org Organisation OEM nutzt für weiter Produkte und Dienste: Service Level Agreements User hat Zugriff zum Quellcode auch nach SLA OEM EULA Prop.ETCS API HW Basic SW Page 24 NSA NoBo 4

5 ETCS Onboard Unit Aufbau eines Eco Systems Qualified Trusted Developers EN Procedures Certified.org Trusted Repository Bug Reports Approved System Integrators OBU Distributors EN Procedures Distributor Distributor EULA Distributor Distributor. EULA Integrator EULA. API HW NSA NoBo EN Procedures Development Community Support Bug Reports Users (Railway Operators) 26 Seite 25 Zusammenfassung: Top Level Vision: Offene Standards kein Vendor Lock-in RAMSS-Parameter volle Transparenz Technischer Level: Open formal ETCS Spec. & Modell eindeutig Open source software & tools nachhaltig Open reference system interoperabel das Rad nicht neu erfinden: TOPCASED, AUTOSAR-Prinzipien, usw. nutzen! Vielen Dank für Ihre Aufmerksamkeit. Page 27 Seite 28 Learning from bug fixing history of complex SW Back up Re- # data total # total # bugs per data sets % data sets lease sets of LOC of bugs TLOC with bugs with bugs ~ x 2 ~ x 3 LOC: f: 7 bug bug fixing release again new functions ~ 1/10 new bugs ~ 1/15 bug survival OSTRAND, Thomas J. ; u.a.: Where the Bugs Are, In: ROTHERMEL, Gregg (Hrsg.): Proceedings of the ACM SIGSOFT International Symposium on Testing and Analysis, Bd. 29, 2004, S Page 29 Page 30 5

6 EU unterstützt FLOSS High Assurance and Free/Libre Open Source (FLOSS)... David A. Wheeler (Institute for Defense Analysis, VA, USA) *) 36% R&D cost savings EU Parl. Report A5-0264/2001: Calls source code not made public in the least reliable category; UNU-MERIT Studie 2007: Study of the economic impact European Union Public License Kompatible mit populären OSS: GNU GPL v.2, OSL, CPL, EPL, Cecill Harmonisiert mit EU-Rechtssystem: 22 EU Sprachen & Urheber- & Haftungsrecht OSOR Beschaffungsleitfaden Page 31 Safety and Open Source : How does this match? Safety software requires a safety case that means: proof of correctness! Ideally this proof can be done in a formal mathematical way. Normal mathematicians publish their proofs, and then depend on worldwide peer review to find the errors and weaknesses in their proofs. For good reason; it turns out that many formally published math articles - which went through expert peer review before publication - have had flaws discovered later, and had to be corrected later or withdrawn. Only through lengthy, public worldwide review have these problems surfaced. If those who dedicate their lives to mathematics often make mistakes, it s only reasonable to suspect that software developers who hide their code and proofs from others are far more likely to get it wrong. At least for safety-critical work making FLOSS (or at least world-readable) code and proofs would make sense. Why should we accept safety software that cannot undergo worldwide review? *) from: Page 32 6