ABSICHERUNG MODELLBASIERTER SICHERHEITSKRITISCHER AVIONIK SOFTWARE Dr. Elke Salecker

Transkript

1 ABSICHERUNG MODELLBASIERTER SICHERHEITSKRITISCHER AVIONIK SOFTWARE Dr. Elke Salecker

2 MOTIVATION Fahrzeug-Software wird modellbasiert mit Simulink/TargetLink entwickelt & DO331/DO-178C ermöglicht modellbasierte Entwicklung von Avionik-Software Avionik-Software kann modellbasiert mit Simulink/TargetLink entwickelt werden 2

3 ÜBERSICHT Entwicklung sicherheitskritischer Software Modellbasierte Software-Entwicklung Im Automotive-Sektor Nach DO-178C/DO-331 Absicherung von Modellen DO-178C/DO-331 Software Model Standards Modellierungsrichtlinien Modellkomplexität Modellbasierte Entwicklung sicherheitskritischer Software 3

4 ISO ERFINDET DAS RAD NICHT NEU System HW SW 4

5 SOFTWARE-ENTWICKLUNG NACH DO-178C ISO

6 ENTWICKLUNGSPROZESS FÜR FAHRZEUGSOFTWARE Requirements specification Requirements System and function design Behavioral model Functional model (RCP) Code System integration Software integration Implementation model (Target) Code Automatic code generation Implementation 6

7 MBE NACH DO-178C/DO-331 Development Requirements specification Functional model Target processor independent Implementation model Generated C Code Target processor specific Object code 1 High Level Requirements 2 Design Model 3 Source Code 7

8 INTEGRIERTE QUALITÄTSSICHERUNG Semantic code analysis Static analysis Model metrics measurement Guideline checking (Modeling standard) Code metrics measurement Guideline checking (Coding standard) Development Requirements specification Functional model Target processor independent Implementation model Target processor specific Generated C Code Object code Testing Fulfillment of requirements Model-in-the-loop testing MiL/SiL/PiL Back-to-back testing for behavioral equivalence Software/Processor-in-the-loop testing 8

9 MB SOFTWARE MODEL STANDARDS Limiting the use 1 Style guidelines 2 Complexity restrictions 9

10 STYLE GUIDELINES: NAMING CONVENTIONS Was muss benannt werden? Ausblenden von Namen bei Standardblöcken Benennen von Subsystemen und Stateflow Charts 10

11 STYLE GUIDELINES: NAMING CONVENTIONS Wie muss benannt werden? Signalnamen propagieren Signalnamen propagieren 11

12 MODELING LANGUAGES: LIMITING THE USE Was darf verwendet werden? 1001, 1000, 999,? Nur Condition Actions verwenden 12

13 MODELING LANGUAGES: LIMITING THE USE Was darf verwendet werden? 5.4 km = m? Keine magischen Konstanten 13

14 COMPLEXITY RESTRICTIONS: HMV* Lokale Komplexität* Bewertung des Inhalts eines Subsystems Adaptierung der Halstead-Metrik für Quellcode Lokale Komplexität/HMV: Halstead Model Volume Inhalt nicht berücksichtigt 14

15 MXAM DRIVE: SOFTWARE MODEL STANDARDS Guideline and Check Manager MXAM DRIVE Reports: HTML, PDF, Excel Project configuration Guideline and Check Pool Erstellung von Richtliniendokumenten / Konfiguration von Projekten Prüfung von Modellen Reporting 15

16 EFFIZIENTE RICHTLINIENPRÜFUNG Richtlinienverletzungen Informationen zu Richtlinienverletzungen: Link ins Modell Annotationen Strukturierter Ergebnisbericht Korrekturmöglichkeit Ergebnisübersicht 16

17 EFFIZIENTE KOMPLEXITÄTSMESSUNGEN ARTIFACTS MODEL METRICS ANALYSIS EVALUATION OF COMPLEXITY AND DISTRIBUTION MODEL STRUCTURE & ARCHITECTURE 17

18 MEHR ALS SOFTWARE MODEL STANDARDS? Effiziente Absicherung MiL/Sil/PiL/HiL Tests Analysen des generierten Codes Manuelle Reviews Etablierte Werkzeugketten

19 ZUSAMMENFASSUNG RTCA DO-331 "Model-Based Development and Verification Supplement to DO-178C and DO-278 eröffnet Nutzung der modellbasierten Entwicklung Automotive-Sektor setzt Matlab/Simulink/Stateflow erfolgreich für sicherheitskritische Software ein Nutzung des Automotive-Software-Entwicklungsprozesses auch im Avionik-Sektor möglich 19

20 KONTAKT MODEL ENGINEERING SOLUTIONS GMBH Mauerstrasse Berlin T: F: