Einleitung Definitionen FlexRay TTA Vergleich Fazit Literatur. Verteilte Echtzeit

Transkript

1 Hauptseminar: Automotive Software Engineering Betreuer: Christian Kühnel Technische Universität München Fakultät für Informatik 20. Januar 2004

2 Gliederung Einleitende Bemerkungen Definitionen FlexRay Einige Eigenschaften/Anforderungen/Ziele Uhrensynchronisation Time Triggered Architecture Allgemeines Dienste Vergleich Fehler Hypothese Flexibilität Fazit Literatur

3 CAN - Bus seit 10 Jahren im Auto für Vernetzung von Steuergeräten MOST Bus für Anforderungen aus Telematikbereich Steigende Anzahl von Funktionen im Auto steigende Anzahl von Steuergeräten Beherrschbarkeit der Komplexität: System Fahrzeug muss partitioniert werden Verschiedene Kommunikationssysteme müssen verbunden werden.

4

5 Begriffe & Definitionen I Time-Triggered - Zeitgesteuert Beispiel: Time-Triggered Architecture Tätigkeiten rund um den Bus und den angeschlossenen Komponenten hängen vom Ablauf einer internen Uhr ab Bevorzugter Ansatz in sicherheitskritischen Systemen Statisch vorher festgelegte Vergabe von Bandbreite Keine Absender und Empfänger Information notwendig Verfügbare Bandbreite ist höher Fehlerquelle: Falscher Identifier nicht vorhanden Vorteilhafte Aspekte: Effizienz, Determinismus und Partitionierung Nachteil: Flexibilität

6 Begriffe & Definitionen II Event-Triggered -Ereignisgesteuert Reagiert auf Ereignisse außerhalb der Kontrolle des Systems Beispiele: CAN Bus, Byteflight, LonWorks Teil der Nachricht ist ein Identifier Nachteile: schlechtere Zeit-Berechenbarkeit, Latenz steigt mit Busbelastung Partitionierung Trennung von Anwendungen in verteilten Systemen Strategie gegen Fehlerverbreitung Vereinfacht Erstellung von fehlertoleranten Anwendungen Ermöglicht Aufteilung einer Anwendungen in kleinere Teile (kostengünstiger) Fördert Composability - Zusammensetzbarkeit Zusammensetzbarkeit und Partitionierung beeinflussen Berechenbarkeit von Ressourcen!

7 Einige Eigenschaften/Anforderungen/Ziele Einige Eigenschaften/Anforderungen/Ziele I FlexRay Konsortium 1999 von BMW, DaimlerChrysler, Motorola und Philips gegründet Weitere Mitglieder bis heute: Bosch, General Motors, Mazda, Elmos, Siemens VDO FlexRay: Modernes Kommunikationssystem für zuverlässige und echtzeitfähige Datenübertragung zwischen elektrischen und mechatronischen Elementen im Auto Datenrate: 10 MBit/s Unterstützung von Echtzeitsystemen Fehlertoleranz bei Synchronisation der globalen Uhr Fehlertoleranz im Kommunikationskanal

8 Einige Eigenschaften/Anforderungen/Ziele Einige Eigenschaften/Anforderungen/Ziele II Überwachungsmaßnahmen für einen geregelten Zugriff auf das Übertragungsmedium Unterstützung verschiedener Vernetzungs-Topologien Flexibilität und Skalierbarkeit bei der Konfiguration Unterstützung von verschiedenen Marken, Baureihen und Plattformen Erweiterbarkeit auch bezüglich zukünftiger Komponenten Vereinheitlichung der Bussysteme Unterstützung von Produktions- und Serviceabläufen (Teilnetzbetrieb) Kostenoptimierung

9 Uhrensynchronisation Uhrensynchronisation bei FlexRay Zwei Verfahren der Korrektur der lokalen Zeit auf dem Steuergerät: Offset - Korrektur und Steigungskorrektur Steigungskorrektur: Ermittelt unterschiedlichen Takte auf Steuergeräten und stellt Mittelwert der Taktgeschwindigkeiten ein Offsetkorrektur: Sorgt dafür, dass lokalen Uhren die gleiche Phase besitzen und Zyklus immer gleich beginnen Durch Steigungskorrektur ist Bandbreiteneffizienz höher

10 Uhrensynchronisation Uhrensynchronisation bei FlexRay - detailliert I Wie wird gemessen? Kommunikationszyklus wird in statisches und dynamisches Segment unterteilt Statisches Segment ist Basis für Zeitmessung: Knoten beginnt mit Senden (Messen) genau dann, wenn nach lokaler Uhr Sendezeitpunkt erreicht ist Empfangende Knoten vergleichen Ist-Zeit (lokale Uhr) mit Soll-Zeit (aus Schedule); geringer Fehler durch Laufzeit

11 Uhrensynchronisation Uhrensynchronisation bei FlexRay - detailliert II Ausgewählte Knoten messen so den Offset Für Steigungskorrektur muss zweimal gemessen werden Wert gibt an, um wieviel die Uhren der zwei Knoten sich je Zyklus voneinander entfernen

12 Uhrensynchronisation Uhrensynchronisation bei FlexRay - detailliert III Offset-Korrektur durch Welch-Lynch-Algorithmus: Ein Knoten bestimmt die Abweichungen zu den anderen Knoten im Netzwerk. Nach Wegwerfen des kleinsten und größten Wertes wird der Mittelwert bestimmt. gute Performanz und einfach zu implementieren Steigungskorrektur für Knotenfrequenzen: Differenz zwischen Steigungen der einzelnen Knotenfrequenzen bestimmen und Mittelwert bilden. Eigene Frequenz um diesen Mittelwert ändern Kombination beider Methoden bei FlexRay nach zwei Zyklen beginnen alle Knoten wieder zur gleichen Zeit

13 Uhrensynchronisation Uhrensynchronisation bei FlexRay - detailliert IV - Offset Korrektur - Steigungskorrektur - Kombination beider Methoden

14 Allgemeines Time Triggered Architecture Name zeitgesteuerter Ansatz Entwicklung der TTA an der Universität Wien unter Federführung von Hermann Kopetz (seit ca. 20 Jahren) Kommerzieller Betrieb über die Firma TTTech Datenrate: 25 MBit/s, (Labor: bis zu 1 GBit/s)

15 Allgemeines Time Triggered Architecture - Topologien 2 Topologien - TTA - Bus und TTA-Star

16 Allgemeines Time Triggered Architecture - Schnittstellen TTA implementiert drei Schnittstellen: Real-Time Service Stellt die Echtzeit-Dienste für den Knoten bereit Zeitkritisch Diagnostic Maintenance Wird zum Setzen von Parametern und für Fehlerdiagnose benutzt Nicht zeitkritisch Configuration Planning Wird benutzt um andere Knoten in das Netzwerk einzufügen Nicht zeitkritisch

17 Dienste TTA - Dienste Dienste erleichtern den Anwendungsentwicklern die Arbeit Uhrensynchronistation (Welch-Lynch-Algorithmus) membership service, d.h. Ausschließen defekter Knoten TTA benutzt Checksummen (ähnlich digitalen Signaturen) master-shadow Selbstkontroll-Mechanismus, der bei Fehler zu fail silence führt interactive consistency, d.h. alle Nachrichten, sind bei allen Empfängern identisch Zwei Bedingungen müssen erfüllt sein. Übereinstimmung: Alle fehlerfreien Empfänger erhalten diegleiche Nachricht (auch wenn Sender fehlerhaft ist) Validität: Wenn Sender fehlerfrei, dann erhalten Empfänger auch die Nachricht, die wirklich gesendet wurde

18 Fehler Hypothese Fehler Hypothese, Fehlerarten und Definitionen I Aspekte der Fehler Hypothese : Fehlerart (fault mode), Gesamtanszahl der Fehler und Ankunftsrate der Fehler Fehlerarten: Fehler durch räumliche Nähe/Annäherung ( spatial proximity ) hybrid fault model - Fehler ist: erkennbar, symmetrisch, zufällig (asymmetrisch/byzantinisch), SOS Fehler: slightly out of specification Aktiv: z.b. Prozessor Passiv: z.b. Bus Größere Redundanz notwendig für zufällige > symmetrische > erkennbare Fehler fail silence = fehlerhafte FCU schaltet sich ab

19 Fehler Hypothese Fehler Hypothese, Fehlerarten und Definitionen II Rekonfigurationsrate: Wie schnell kann sich eine Architektur von vergangenen Fehlern erholen und auf neue reagieren Fehlerankunftsrate: Angenommene Rate, mit der (verschiedene) Fehler auftauchen Wiedereinbuchen in das Netzwerk ( rejoin ): Ausgeschlossene FCU versucht wieder in das Netzwerk aufgenommen zu werden Never give up Strategie: Jeder Knoten greift auf lokale Kontrolle seiner Aktoren zurück und versucht Koordination mit anderen Knoten wiederzuerlangen

20 Fehler Hypothese TTA TTA Star: zufällige, aktive Fehler in den Controllern und im Hub spatial proximity faults, die Knoten o. Hub betreffen Ein-Fehler-Toleranz garantiert bei: 4 Controller und beide Hubs fehlerfrei TTA Bus: zufällige passive Fehler in den Guardians und Bussen Ein-Fehler-Toleranz garantiert bei: In jedem Knoten entweder der Controller o. Guardian fehlerhaft 4 Controller und Guardians fehlerfrei Fehlerankunftsrate: Höchstens ein Fehler in jeder zweiten Runde

21 Fehler Hypothese FlexRay Fehlerarten: Fehlertoleranz für asymmetrische und zufällige Fehler bei der Uhrensynchronisation Weniger als ein Drittel der Knoten darf für die Uhrensynchronisation fehlerhaft sein spatial proximity faults, die Knoten und den Hub betreffen können Anzahl der maximalen Fehler: Ein-Fehler-Toleranz garantiert bei: In jedem Knoten entweder der Guardian oder der Controller ist fehlerhaft Höchstens eine Zwischenverbindung fehlerhaft

22 Flexibilität Flexibilität Statischer Ablauf in einem zeitgesteuerten Bus eher unflexibel Maßnahmen zum Umschalten zwischen verschiedenen Abläufen (schedules) eingerichten Notwendig: Gegen unpassende Wechsel schützen Zeitgesteuerte Busse müssen die flexible Bereitstellung von Bandbreite bei ereignisgesteuerten Bussen abbilden

23 Flexibilität Flexibilität beim TTA TTA Abläufe werden berechnet und in MEDL geladen Flexibilität bei Anzahl und Länge der Nachrichten, die jeder Knoten verschicken darf Alle Knoten haben dieselbe MEDL Version nach dem Start Knoten kann Moduswechsel verlangen tritt entweder sofort ein oder kann von nachfolgend sendenden Knoten überschrieben werden Alle Modi basieren auf demselben Ablauf; nur Empfänger und Interpretation der Nachrichten kann sich verändern

24 Flexibilität Flexibilität beim TTA durch das TTP/A Bus Protokoll Anschluss von kostengünstigen einfachen Signalgebern (Sensoren) an TTA - Knoten TTA - Knoten ist Master des Signalgeber - Clusters Informationen zwischen TTA Knoten und Signalgeber wird über TTP/A Protokoll ausgetauscht. Master - Slave - Runde (MS): Konfiguriert bzw. wartet einen oder mehrere Signalgeber Multi - Partner - Runde (MP): Transportiert periodisch Daten ausgewählter Signalgeber MP und MS wechseln sich ab, so dass plug-and-play möglich ist

25 Flexibilität Flexibilität bei FlexRay Jeder Kommunikationszyklus wird in ein statisches (zeitgesteuertes) bzw. dynamisches (ereignisgesteuertes) Segment geteilt Während des ereignisgesteuerten Segments kommunizieren die Knoten über das Byteflight Protokoll Zur Anbindung von kostengünstigen Sensoren wird das LIN Protokoll benutzt Zeitgesteuerte Segment des Kommunikationszyklus wird in Zeitfenster aufgeteilt Jeder Buscontroller wird über die Anzahl der zugewiesenen Zeitfenster informiert Knoten, die mehr mehr Bandbreite benötigen, werden mehr Zeitfenster zugeteilt

26 Fazit TTA ist in Geschwindigkeit FlexRay überlegen FlexRay ist flexibler (Nachteil: masquerading ) Im Bereich der Dienste ist TTA ausgereifter Beide haben Potential sich durchzusetzen TTA: Ergebnis jahrelanger Forschung in Echtzeitsystemen FlexRay: Mächtiges Konsortium aus vielen Firmen Es gibt viel zu tun!

27 Literatur I Heinecke, Harald, Schedl, Anton, Berwanger, Josef, Peller, Martin, Nieten, Volker, Belschner, Ralf, Hedenetz, Bernd, Lohrmann, Peter, and Bracklo, Claas. FlexRay - ein Kommunikationssystem für das Automobil der Zukunft. Elektroniknet.de, Kopetz, Hermann and Bauer,Günther. The Time-Triggered Architecture. In Proceedings of the IEEE Special Issue on Modeling and Design of Embedded Software. IEEE, Oct 2002.

28 Literatur II Matthias Rausch. Optimierte Mechanismen und Algorithmen in FlexRay. Elektroniknet.de, John Rushby. A Comparison of Bus Architectures for Safety Critical Embedded Systems. Langley Reseach Center, NASA-2003-cr pdf.