DESIGN UND ANALYSE FUNKTIONAL SICHERER HARDWARE IN EINEM EBS

Transkript

1 TITELTHEMA FUNKTIONALE SICHERHEIT DESIGN UND ANALYSE FUNKTIONAL SICHERER HARDWARE IN EINEM EBS Die Erfüllung der funktionalen Sicherheit für Straßenfahrzeuge gemäß ISO geht mit umfassenden Anforderungen und Aufwand an die Entwicklung in Form von vorgeschriebenen Hardware-Sicherheitsevaluationen sowie spezifischen Nachweisdokumenten einher. Continental, das FZI Forschungszentrum Informatik in Karlsruhe und Vector beschreiben eine effiziente Methodik, die einen iterativen Design- und Analyseprozess unterstützt und in das modellbasierte Systems-Engineering-Werkzeug PREEvision integriert wurde. Neben der prinzipiellen Vorstellung der Methodik und der Werkzeugunterstützung auf Basis der ISO wird eine konkrete Anwendung im Rahmen der Sicherheitsbetrachtungen eines neuentwickelten elektronischen Bremssystems (EBS) erläutert. 24

2 AUTOREN DIPL.-ING. NICO ADLER arbeitet als wissenschaftlicher Mitarbeiter im Forschungsbereich Embedded Systems and Sensors Engineering am FZI Forschungszentrum Informatik in Karlsruhe. DR. EDUARD METZKER ist Senior Produkt-Management- Ingenieur für Systems-Engineering- Werkzeuge bei der Vector Informatik GmbH in Stuttgart. DR. ALEXANDER RUDOLPH arbeitet als Safety Manager im Geschäftsbereich Vehicle Dynamics bei der Continental AG in Frankfurt am Main. 06I Jahrgang HERLEITUNG Mit der Veröffentlichung der ISO Road vehicles Functional safety werden erstmalig eindeutige Sicherheitsvorgaben an die Automobilindustrie, deren Entwicklungsprozesse und das Produkt selbst gestellt. Die ISO stellt erhebliche Anforderungen an die Verantwortlichkeiten, Prozesse, Dokumentationen und Techniken bei der Entwicklung sicherheitsrelevanter Systeme. Hersteller müssen nicht nur einen Teil des Systems in der jeweiligen Entwicklungsphase betrachten, sondern das ganze System innerhalb des gesamten Lebenszyklus. Das System muss den geforderten Automotive Safety Integrity Level (ASIL) der Sicherheitsfunktion erreichen. Alle Komponenten (Hardware und Software), die zur Ausführung einer Sicherheitsfunktion beitragen, werden hierfür betrachtet. Um den Aufwand zu minimieren, sind entsprechende Entwicklungswerkzeuge hilfreich. FUNKTIONALE SICHERHEIT IM KONTEXT VON HARDWARE Die innerhalb der ISO [1] geforderten Aktivitäten und Arbeitsprodukte sind umfangreich und trotz des sehr gut strukturierten und aufbereiteten Standards oftmals schwer in bestehende Prozesse und Toolketten einzubringen [2]. Für die Produktentwicklung auf Hardware-Ebene nach Teil 5 beschreibt der Standard zwei unterschiedliche Designphasen: Das Hardware-Architekturdesign, bestehend aus Hardware-Komponenten, beschreibt eine abstrahierte und funktionale Sicht auf ein vorläufiges Hardware-Design. Das detaillierte Hardware-Design hingegen ist aus Hardware- Bauteilen zusammengesetzt und repräsentiert eine Detaillierung der Hardware- Komponenten auf Ebene von elektronischen Schaltplänen. Im Folgenden sprechen wir vereinfacht von Hardware- Designs und -Elementen. Geforderte Sicherheitsbetrachtungen in Bezug auf die Untersuchung von zufälligen Fehlern der Hardware basieren auf statistischen Fehlerinformationen und sind in Teil 5 Abschnitt 8 für die Evaluation of the hardware architectural metrics beschrieben. Diese Evaluation setzt sich wiederum aus der Single-point fault metric sowie der Latent-fault metric zusammen und ermöglicht eine Aussage über die Robustheit des Hardware-Designs. Komplementär wird in Abschnitt 9 auf die Evaluation of safety goal violations due to random hardware failures eingegangen, welche probabilistische Sicherheitsanalysen repräsentieren. Zwei unterschiedliche Evaluationen können hier angewandt werden: Evaluation of Probabilistic Metric for random Hardware Failures (PMHF), welche eine globale Untersuchung des Designs erfordert, sowie die Evaluation of each cause of safety goal violation, welche häufig als FRC-Methode bezeichnet wird und eine individuelle Einstufung der einzelnen Hardware-Elemente darstellt. VORGEHENSWEISE FÜR HARDWARE-SICHERHEITS- EVALUATIONEN Um die geforderten Hardware-Sicherheitsevaluationen nach ISO in iterativen und kollaborativen Entwicklungen zu unterstützen, sind modellbasierte Entwicklungsumgebungen prädestiniert. Hierzu werden auf spezifischen Bibliotheken basierende Hardware-Designs mit hinterlegten Fehlerinformationen modelliert. Mit den Modellinformationen können anschließend die geforderten Sicherheitsevaluationen datenbankgestützt und mit deutlich geringerem Aufwand ausgeführt werden [3]. Eine sich aktualisierende Darstellung der berechneten Evaluationsergebnisse unterstützt die iterative Vorgehensweise zu unterschiedlichen Entwicklungsphasen. Dies vereinfacht zielgerichtete Designänderungen. Hierbei unterstützen zugeschnittene und durchdachte Bedienkonzepte den Ingenieur. Zudem reduzieren automatisch generierbare Reportdokumente den Dokumentationsaufwand. FEHLERBIBLIOTHEK Statistische Informationen zu Fehlern von Hardware-Elementen wie Ausfallraten, Ausfallarten und Fehlerverteilung auf die Ausfallarten werden in einer Fehlerbibliothek verwaltet. Die Fehlerbibliothek speist sich typischerweise aus Standardwerken wie die Siemens Norm SN und kann problemlos um Erfahrungswerte aus firmeneigenen Datenbanken erweitert werden. Einmal eingepflegte Fehlerinformationen können übergreifend in unterschiedlichen Hardware-Designs verschiedener Teams wiederverwendet werden. 25

3 TITELTHEMA FUNKTIONALE SICHERHEIT Modellierung des Hardwaredesigns auf unterschiedlichen Abstraktionsebenen DURCHGÄNGIGE MODELLIERUNG 26 Zunächst werden Sicherheitsziele mit assoziiertem Automotive safety integrity level (ASIL) aus einer vorhergehenden Gefahren- und Risikoanalyse (HARA) des Gesamtsystems abgeleitet und in der Anforderungsebene hinterlegt. Eine Verfeinerung erfolgt mittels funktionalen und technischen Sicherheitsanforderungen, welche iterativ nachgepflegt werden können. Weiterhin erforderlich ist die Definition von Sicherheitsmechanismen mit den spezifischen Werten für den Diagnose- Abdeckungsgrad in Bezug auf Restfehler und latente Fehler. Für die Modellierung des Hardware-Designs kann das funktionale und das technische Sicherheitskonzept in Form des Hardware-Architekturdesigns (a) sowie des detaillierten Hardware-Designs (b) umgesetzt werden. Die in der Bibliothek hinterlegten Hardware-Elemente einschließlich der s tatistischen Fehlerinformationen können direkt in das entsprechende Diagramm übernommen werden (c). NACHVOLLZIEHBARKEIT UND DESIGNOPTIMIERUNG Da die Fehlerinformationen der Hardware-Elemente aus der Fehlerbibliothek übernommen werden sind konsistente und nachvollziehbare Ergebnisse sichergestellt (a). Der Ingenieur wird von der Pflege der Daten entlastet und kann sich auf die Analyse und Optimierung des Designs im Sinne der funktionalen Sicherheit konzentrieren. Somit können die Auswirkungen von neu eingeführten Sicherheitsmechanismen oder weiteren Hardware-Elementen auf die Evaluationen analysiert werden. HARDWARE-SICHERHEITS- EVALUATIONEN Für die modellbasierte Durchführung der Sicherheitsevaluationen stehen mehrere Editoren zur Verfügung. Mit diesen lassen sich die Evaluationsergebnisse strukturiert und aufbereitet darstellen während sie unterschiedliche Sichten auf die Evaluationen bieten.

4 Auszugsweise Darstellung der Fehlerdatentabelle mit den Ergebnissen der Hardware Architectural Metrics sowie der FRC-Methode Die Fehlerdatentabelle nach ISO enthält die zu untersuchenden Sicherheitsziele, die sicherheitsbezogenen Einstufungen sowie die in der Bibliothek annotierten Fehlerinformationen. Informationen zu einer potenziellen direkten Verletzung des Sicherheitsziels als auch einer potenziellen Verletzung in Kombination mit anderen unabhängigen Fehlern sind dargestellt. Die Klassifizierung der Ausfallarten im Kontext des Sicherheitsziels kann über ein Auswahlmenü direkt im Editor oder automatisiert über eine qualitative Fehlerbaumanalyse (FTA) erfolgen. Die Evaluation of the hardware architectural metrics wird für ein oder mehrere Sicherheitsziele ausgeführt. Für die Evaluation of each cause of safety goal violation auf Ebene des Hardware- Elements wird eine Einstufung in Ausfallraten-Klassen, sowie ein spezifischer Diagnose-Abdeckungsgrad mit einbezogen. Zielwerte werden aus dem ASIL der Sicherheitsziele abgeleitet und deren Erfüllung grafisch hervorgehoben (b). Die Evaluation einer PMHF wird durch eine qualitative und quantitative Fehlerbaumanalyse unterstützt. Hierfür wird die Berechnung einer Wahrscheinlichkeit als Worst-Case- Abschätzung für den Eintritt des Hauptereignisses im Fehlerbaum als Verletzung des zu bewertenden Sicherheitsziels bereitgestellt. Die Gewinnung von mittleren Wahrscheinlichkeiten (Fussnote: Numerisch entspricht dies der Conditional failure intensity, also der Fehlerwahrscheinlichkeit zum Zeit- Auszug des Systemelements Spannungsversorgung aus dem elektronischen Bremssystem 06I Jahrgang 27

5 TITELTHEMA FUNK TIONAL E SICHERHEIT Fehlerbaum und abgeleitete Sicherheitsanforderungen sowie Entwurfseinschränkungen punkt T unter der Bedingung der Fehlerfreiheit zum Zeitpunkt T0. Als Worst-case kann die Systemlebenszeit als T-T0 = Lifetime angesetzt werden.) aus den Ausfallraten wird über eine anpassbare Latenzzeit T vorgenommen. Zusätzlich ermöglicht die qualitative Analyse des Fehlerbaums mittels Minimalschnitten die Definition von Entwurfseinschränkungen. REPORTS Für den Sicherheitsnachweis können Review-Reports während der Designphase und Dokumente zum Erbringen der Argumentation im Sinne des Safety case nach Finalisierung des HardwareDesigns erstellt werden. Diese sind für 28 eine mögliche Zertifizierung der Hardware einsetzbar. Die Nachweisdokumente sind zu jeder Zeit der Entwicklung automatisiert erstellbar und liefern ein Abbild des aktuellen Status der Hardware-Sicherheit des Systems. EBS ALS BEISPIEL-SZENARIO In diesem Beispiel geht es um die Sicherheitsbewertung für ein sich in der Entwicklung befindliches elektronisches Bremssystem aus dem Bereich Brake-byWire (BBW). Aus Darstellungsgründen ist die Betrachtung auf die redundant ausgelegte Spannungsversorgung des EBS beschränkt,. Hierbei standen unter anderem die Schnittstellen zwischen Anforderungen, Architektur, Design und deren Ableitung mit deduktiven Sicherheitsanalysen im Fokus. Aus der HARA konnte das Sicherheitsziel SAF_REQ_1 Die mittlere Wahrscheinlichkeit des Verlusts der BBW-Hilfsenergie soll kleiner sein als 3e-09/h abgeleitet werden. Das funktionale Konzept sieht hierbei vor, dass die Spannungsversorgung für das benachbarte Systemelement BBWAktuator primär über die externe Klemme KL30_2 versorgt wird. Im Bedarfsfall kann über den Umschalter ALT auf die sekundäre Spannungsversorgung VP1 umgeschaltet werden. Diese wird verfügbarkeitserhöhend als kalte Redundanz eingesetzt und als Notlauf zugeschaltet.

6 Durch die Anwendung der integrierten Konzepte konnte der in (a) dargestellte Fehlerbaum erarbeitet werden. Der Eintritt des Top-Ereignisses liegt vor, wenn Unentdeckter Ausfall von VP2, Ausfall von VP2 bei ausgefallener Redundanz (VP1 oder Umschalter ALT) oder Ausfall der Redundanz (VP1 oder Umschalter ALT) im Notlauf vorliegt. Durch die Minimalschnitt-Auswertung konnten die Budgets für die Eintrittswahrscheinlichkeiten der einzelnen Minimalschnitte vergeben und die in (b) ersichtlichen Sicherheitsanforderungen (funktional und technisch) beziehungsweise Entwurfseinschränkungen abgeleitet werden. Bei Mehrfach-Fehlern (Minimalschnitt-Tiefe größer 1) können so die zulässigen Budgets der Einzelfehler ermittelt und die Degradierungs- und Notlaufeigenschaften (maximale Dauer und Bewarnungskonzept) spezifiziert werden, (c). [2] Adler, N.; Otten, S.; Schwär, M.; Müller-Glaser, K.: Managing Functional Safety Processes for Automotive E/E Architectures in Integrated Model-Based Development Environments. In: SAE Int. J. Passeng. Cars Electron. Electr. Syst. 7(1), S , doi: / (2014) [3] Adler, N.; Otten, S.; Cuenot, P.; Müller-Glaser, K.: Performing Safety Evaluation on Detailed Hardware Level according to ISO In: SAE Int. J. Passeng. Cars Electron. Electr. Syst. 6(1): S , doi: / (2013) FAZIT Sämtliche in der ISO geforderten Hardware-Sicherheitsevaluationen werden vollständig in einer integrierten Lösung unterstützt. Damit sind Mehrarbeit und Fehlerquellen durch inkonsistente Datenquellen sowie Werkzeugwechsel und -brüche ausgeschlossen. Der Bibliotheksansatz entlastet Ingenieure bei Entwurf bzw. Analyse und ermöglicht einen hohen Grad von Wiederverwendung. Auswirkungen von Hardware-Entwurfsänderungen oder Einführung von Sicherheitsmechanismen sind sofort in den Analyseergebnissen sichtbar. Dadurch verkürzen sich die Optimierungszyklen drastisch. Dank der Kollaborationsunterstützung können verteilte Teams den Entwurf und die Analysen gemeinsam vorantreiben sowie Änderungen schneller und sicherer umsetzen. Die modellbasierte Verknüpfung der Hardware-Sicherheitsevaluationen mit anderen Arbeitsprodukten der ISO ist möglich und wünschenswert. Dies ermöglicht automatisierte Prüfungen der Arbeitsergebnisse auf formale Vollständigkeit und Konsistenz sowie automatisierte Reports bis hin zum Sicherheitsnachweis. LITERATURHINWEISE [1] International Organization for Standardization, ISO Standard, Road vehicles Functional safety (2011) DANKE Besonderer Dank gilt den weiteren Autoren dieses Artikels: Prof. Dr.-Ing. Klaus D. Müller- Glaser und Stefan Otten. Klaus D. Müller-Glaser ist Leiter des Instituts für Technik und Informationsverarbeitung (ITIV) in Karlsruhe, und Stefan Otten arbeitet als wissenschaftlicher Mitarbeiter im Forschungs bereich Embedded Systems and Sensors Engineering am FZI Forschungszentrum Informatik in Karlsruhe. DOWNLOAD DES BEITRAGS READ THE ENGLISH E-MAGAZINE order your test issue now: 06I Jahrgang