Anforderungen an robuste E/E-Systeme

Transkript

1 Anforderungen an robuste E/E-Systeme Dr. Thomas Scharnhorst, Geschäftsführer Carmeq GmbH Dr. Gabriel Schwab, Horst-Dieter Valentini, Volkswagen AG, E/E Architekturen und Konzepte Folie 1 Dr. Thomas Scharnhorst

2 Gliederung Definition Robustheit aus Kundensicht Systemrobustheit Erhöhung der Robustheit Beispiel Schlussfolgerungen Folie 2 Dr. Thomas Scharnhorst

3 Anforderungen an robuste E/E Systeme Folie 3 Dr. Thomas Scharnhorst

4 Was ist Robustheit? Folie 4 Dr. Thomas Scharnhorst

5 Fehlerfreie (korrekte) und robuste Systeme sind zuverlässig. Zuverlässigkeit = Korrektheit + Robustheit *) Korrektheit ist das Maß für die Fehlerfreiheit der Umsetzung der Produktspezifikation. Robustheit ist das Maß für die korrekte Funktion eines Systems über die Produktspezifikation hinaus. *) u.a. nach Eiffel Software Folie 5 Dr. Thomas Scharnhorst

6 Ein Maß für die Robustheit ist der Sicherheitsabstand zwischen den spezifizierten Funktionsgrenzen und den tatsächlichen Fähigkeiten. Temp. max min min Spezifikation max Fähigkeiten Spannung Folie 6 Dr. Thomas Scharnhorst

7 Robuste Systeme kehren auch außerhalb der Spezifikation in einem akzeptierten Bereich in einen sicheren, spezifizierten Zustand zurück. Zustand 2 Fail Safe Punkt Ungültiger Betriebspunkt Area of acceptable distance of normal operation Area of 2. normal operation 1. Zustand 1 Folie 7 Dr. Thomas Scharnhorst

8 Robustheit bezieht sich sowohl auf Umgebungsbedingungen, Fehler im System als auch auf Änderungen der Spezifikationen. Konstruktionsfehler / Auslegungsfehler Fertigungsprozess / Einbau Umwelteinflüsse Änderung der Spezifikationen Robuste Systeme Anwenderverhalten Softwarefehler Toleranzen Fehlverhalten von Komponenten Folie 8 Dr. Thomas Scharnhorst

9 Robustheitsanforderungen existieren bereits heute. Beispiel: Auszug aus der VW Prüfbedingungen für elektrische und elektronische Baugruppen U Unterspannung Sicherheitsrelevante Funktionen, die erhalten bleiben müssen, werden im LH spezifiziert Voller Funktionsbereich Sicherstellen aller für den Fahrbetrieb nötigen Funktionen Überspannung Langzeitüberspannung Folie 9 Dr. Thomas Scharnhorst

11 Kunden erwarten eine einfache Bedienung, hohe Verfügbarkeit und Langlebigkeit. Selbsterklärende Benutzung - Produkt ist intuitiv nutzbar - Produkt lässt sich nicht über die Lastgrenzen betreiben - Produkt teilt dem Benutzer die Grenzen mit statt kaputt zu gehen - Produkt ist durch falsche Nutzung nicht zu zerstören Hohe Zuverlässigkeit - Produkt lässt sich kontinuierlich nutzen - Produkt lässt sich in allen Betriebssituationen sicher nutzen - Überlast führt nicht zu einer (merklichen) Herabsetzung der Lebensdauer - Produkt wird nicht durch die Zeit unbrauchbar - Produkt funktioniert auch bei Ausfall einer Komponente (mit reduzierter Funktionalität) Fehlertoleranz - Ein lokales Problem führt nicht zum Systemausfall Folie 11 Dr. Thomas Scharnhorst

13 Eine lokale Robustheit der Steuergeräte führt nicht automatisch zu einer globalen Robustheit des vernetzten Systems. Feldausfälle Airbag-Steuergerät* 100% 80% 60% 40% 20% 0% Quelle: Bosch * Normiert auf 1999 = 100 % Einzelne Steuergeräte sind robust ausgelegt Verteilte Funktionen erhöhen die Komplexität Komplexe Vernetzung lässt sich durch Robustheitsanforderungen absichern Folie 13 Dr. Thomas Scharnhorst

14 Gliederung Definition Robustheit aus Kundensicht Systemrobustheit Erhöhung der Robustheit Robustes Design Robuste Prozesse Beispiel Schlussfolgerungen Folie 14 Dr. Thomas Scharnhorst

15 In der frühen Designphase erfolgt bereits die Weichenstellung für die Robustheit des E/E Systems. Architektur Standards / Wiederverwendung Fehlertoleranz / Reduzierung der Komplexität Robustes Design Schnittstellen Energiemanagement Diagnose Folie 15 Dr. Thomas Scharnhorst

16 Netzwerkarchitektur und -management tragen wesentlich zur Robustheit der Kommunikation bei. Architektur Schnittstellen Standards / Wiederverwendung Fehlertoleranz / Reduzierung der Komplexität Robustes Design Energiemanagement Diagnose Zentrales Gateway - Selektives Wecken / synchrones Schlafen von Bussen - Optionaler Busguardian überwacht/protokolliert die Buskommunikation Busauslastung - zentrale Einheiten, Subbusse - Kontrolle der Busauslastung, intelligente ID Vergabe Standards / Reduzierung Komplexität - Einsatz busunabhängiges AUTOSAR Netzwerkmanagement - Einsatz ISO Transportprotokoll Diagnose Physikalische Trennung des Diagnose-Zugangs Folie 16 Dr. Thomas Scharnhorst

17 Ein fehlertolerantes Auswerten von Botschaften und eine Reduzierung von Weckereignissen erhöhen die Robustheit. Architektur Schnittstellen Standards / Wiederverwendung Fehlertoleranz / Reduzierung der Komplexität Robustes Design Energiemanagement Diagnose Fehlertoleranz Fehlertolerantes Auswerten von Botschaften Weckereignisse - Reduzierung oder lokale Begrenzung von Weckereignisse - ggf. Einsatz externer Wake-Up Leitungen Folie 17 Dr. Thomas Scharnhorst

18 AUTOSAR: Die Entwicklungspartnerschaft verfolgt das Ziel, einen Standard für zukünftige E/E Architekturen zu etablieren. Architektur Schnittstellen Standards / Wiederverwendung Fehlertoleranz / Reduzierung der Komplexität Robustes Design Energiemanagement Diagnose OEM 2 Platform 2.1 Platform 2.2 Platform 2.n Platform 1.1 Platform 1.2 Platform 1.n Austauschbarkeit zwischen den Herstellern OEM 1 Zulieferer A Fahrwerk Sicherheit Aufbau/Komfort Multimedia Zulieferer B Fahrwerk Sicherheit Telematik Multimedia Zulieferer C Aufbau/Komfort Antriebsstrang Telematik Multimedia Austauschbarkeit zwischen Fahrzeugplattformen Platform m.1 Platform m.2 Platform m.n OEM m Austauschbarkeit zwischen Lösungen verschiedener Zulieferer Platform m.1 Platform m.2 Platform m.n Folie 18 Dr. Thomas Scharnhorst

19 Ein modularer Aufbau, vollständige Spezifikationen und einheitliche Schnittstellen erlauben eine Wiederverwendung bewährter Module. Architektur Schnittstellen Standards / Wiederverwendung Fehlertoleranz / Reduzierung der Komplexität Robustes Design Energiemanagement Diagnose Application Software Component Actuator Software Component Sensor Software Component AUTOSAR Interface AUTOSAR Interface AUTOSAR Interface Standardized Interface Operating System Standardized Inteface AUTOSAR Software... AUTOSAR Runtime Environment (RTE) Standardized Standardized AUTOSAR Interface Interface Services Communication Standardized Standardized Interface Interface Basic Software ECU-Hardware AUTOSAR Interface ECU Abstraction Standardized Interface Standardized Interface Microcontroller Abstraction Application Software Component AUTOSAR Interface AUTOSAR Interface Complex Device Drivers Folie 19 Dr. Thomas Scharnhorst

20 Mit der Wiederverwendung bewährter Softwarekomponenten nehmen Korrektheit und Robustheit zu. Architektur Schnittstellen Standards / Wiederverwendung Fehlertoleranz / Reduzierung der Komplexität Robustes Design Energiemanagement Diagnose bisher Software Hardware AUTOSAR Funktions-Software standardisiert AUTOSAR HW-spezifisch Hardware Hardware und Software werden weitgehend voneinander unabhängig Entwicklungsprozesse werden vereinfacht. Dadurch sinken Entwicklungszeit und kosten. Die Wiederverwendung von Software steigt, sowohl beim OEM, als auch beim Zulieferer. Folie 20 Dr. Thomas Scharnhorst

21 Für den OEM als Integrator stehen die Schnittstellen im Fokus der Robustheitsanalyse und -optimierung. Architektur Schnittstellen Standards / Wiederverwendung Fehlertoleranz / Reduzierung der Komplexität Robustes Design Energiemanagement Diagnose Bediener Fahrzeug Systeme Kommunikation Software Hardware Sensoren Folie 21 Dr. Thomas Scharnhorst

22 Ein Energiemanagement hilft, Pannen deutlich zu reduzieren. Architektur Schnittstellen Standards / Wiederverwendung Fehlertoleranz / Reduzierung der Komplexität Robustes Design Energiemanagement Diagnose 35,1 % Batterie defekt oder entladen; Folie 22 Dr. Thomas Scharnhorst

23 Das Energiemanagement koordiniert den Energiefluss, sichert die Wiederstartfähigkeit und erhöht damit die Robustheit der E/E. Architektur Standards / Wiederverwendung Fehlertoleranz / Reduzierung der Komplexität Robustes Design Schnittstellen Energiemanagement Diagnose Funktionen des Energiemanagements - Batteriezustandserkennung - Dynamisches Energiemanagement - Ruheenergiemanagement - Transportmodus Fahrerwunsch Elektrische Energieerzeugung (Generator) Energieangebot Elektrisches Energiemanagement Elektrische Energieverteilung Elektrische Energiespeicherung (Batterie) Elektrische Verbraucher Energiebedarf Folie 23 Dr. Thomas Scharnhorst

24 Trotz gestiegener E/E-Komplexität ist bereits die Trendwende beim Ruhestrom geschafft. Architektur Schnittstellen Standards / Wiederverwendung Fehlertoleranz / Reduzierung der Komplexität Robustes Design Energiemanagement Diagnose Steuergeräte-Anzahl Golf I Golf II Golf III Golf IV Golf V Ruhestrom Golf I Golf II Golf III Golf IV Golf V Folie 24 Dr. Thomas Scharnhorst

25 Robustes Design wird durch robuste Prozesse unterstützt. Systems Engineering Requirements Engineering Wissensmanagement / Dokumentenmanagement Robuste Prozesse Abnahmeprozesse Einkaufs/ Beauftragungsprozesse Testprozesse Folie 25 Dr. Thomas Scharnhorst

26 Das Systems Engineering ermöglicht es, Robustheit ganzheitlich zu verstehen und umzusetzen. Systems Engineering Abnahmeprozesse Requirements Engineering Wissensmanagement / Dokumentenmanagement Robuste Prozesse Einkaufs/ Beauftragungsprozesse Testprozesse Anforderungen Kunden Markt Gesetzgeber Produkt Lifecycle Entwicklung Produktion Wartung Entsorgung Interdisziplinärer Ansatz Marketing FE Einkauf Spezifikation Anforderungen Anforderungen Endabnahme Endabnahme Erfahrungswerte Spezifikation Systemarchitektur Systemarchitektur Systemtest Systemtest Ergebnisse Integrationsplanung Integrationsplanung Integrationstest Integrationstest ECU Entwicklung Test ECU Entwicklung Test Methoden zur Wirtschaftlichkeit Problemlösung Ganzheitliche Betrachtung Folie 26 Dr. Thomas Scharnhorst

27 Die Ziele des Systems Engineering können nur durch ein methodisches Vorgehen (Requirements Engineering) erreicht werden. Systems Engineering Abnahmeprozesse Requirements Engineering Wissensmanagement / Dokumentenmanagement Robuste Prozesse Einkaufs/ Beauftragungsprozesse Testprozesse Funktionstest Verhaltensmodelle Statische UML-Modelle Ausführungsmodelle Modelle Funktionsmodellierung Systembeschreibung B 8 Funktionslastenheft (implementierungsunabhängig, fahrzeugübergreifend) Bauteillastenheft Funktionsbeschreibung Systembeschreibung PQ25 Bauteillastenheft Funktionsabnahme FIT HIL Test Folie 27 Dr. Thomas Scharnhorst

29 Eine unvollständige Systembeschreibung verteilter Systeme kann Deadlocks verursachen. wartet auf FH-Position Beispiel Verdeck SG Tür-SG (Fensterheber) wartet auf Verdeck-Position Folie 29 Dr. Thomas Scharnhorst

30 Häufig auftretende Weckereignisse können die Wiederstartfähigkeit gefährden. Türkontaktschalter Signal Tür geöffnet Tür- Steuergerät keine Berücksichtigung von Systemzuständen weckt CAN Beispiel Folie 30 Dr. Thomas Scharnhorst

31 Fehlende Statusinformationen während der Initialisierungsphase können zu Fehlerspeichereinträgen führen. Beispiel Motor- Steuergerät - Diesel - Initialisierung Gateway Initialisierungswerte = ich bin Ottomotor Standheizung Ich bin im falschen Fahrzeug Folie 31 Dr. Thomas Scharnhorst

33 Schlussfolgerungen 1 Robustheit ist die Fähigkeit eines Systems bei Fehlern mit für den Kunden/Bediener kaum sichtbaren Auswirkungen zu reagieren Überprüfung und Aussage der Zuverlässigkeit über die ursprünglichen Spezifikationsgrenzen hinweg garantieren die Robustheit eines Systems. Eine lokale Robustheit von Steuergeräten führt nicht automatisch zu einer globalen Robustheit vernetzter Systeme. Bei verteilten Funktionen sind grundsätzlich Systembetrachtungen durchzuführen. Robustheit wird in erster Linie während des Entwurfs / Designs erzielt. Logische Architekturverknüpfungen erlauben bereits im frühen Entwicklungsstadium die Robustheit zu erhöhen. Folie 33 Dr. Thomas Scharnhorst