08/9/2023 |
Veröffentlicht am
Vernetzte, softwaregesteuerte Autos klingen vielleicht noch nach Science-Fiction, aber sie sind im Begriff, unsere Vorstellung von Mobilität grundlegend zu verändern. Da etablierte Automobilhersteller neue Technologien nutzen, ist es nur eine Frage der Zeit, bis fahrerlose Autos zum alltäglichen Bild gehören.1. Der Weg in die Zukunft ist jedoch mit Herausforderungen gepflastert, die von der zunehmenden Komplexität der Fahrzeugsoftware und der fortschreitenden Entkopplung von Hardware- und Softwarekomponenten bis hin zur Notwendigkeit eines stärkeren Fokus auf methodisches, sicherheitsorientiertes Design und Produktion reichen, um die sichere Einführung zukunftsweisender Technologien zu gewährleisten. KPIT etabliert und ermöglicht die sichere Einführung von Software der nächsten Generation für autonome Fahrzeuge.
Experten haben fünf Ebenen definiert.3 Die Entwicklung des autonomen Fahrens wird anhand der fünf Stufen der Fahrzeugautomatisierung beschrieben. Jede dieser Stufen beschreibt, inwieweit ein Fahrzeug Aufgaben und Verantwortlichkeiten vom Fahrer übernimmt und wie Mensch und Maschine interagieren. Die fünf Stufen der Fahrzeugautomatisierung umfassen:
Diese Leistungsniveaus können erreicht werden, sofern bestimmte Anforderungen für die Entwicklung zukunftsfähiger Fahrzeuge erfüllt sind. Die aktuelle Architektur vernetzter Fahrzeuge basiert auf der Basissoftware AUTOSAR, die zwar effizient auf kleinen Mikrocontrollern läuft und sich gut für zeitkritische, sichere Anwendungen eignet, aber den Zweck nicht vollständig erfüllt. Die meisten dieser Funktionen priorisieren den Komfort gegenüber der Sicherheit und vernachlässigen daher ein effektives und methodisches, anforderungsbasiertes Design sowie geeignete Validierungs- und Verifizierungstests. Während für solche Fahrzeuge hohe Rechenleistung erforderlich ist, benötigt die Softwareinfrastruktur zusätzlich etwa 25 GB pro Stunde.4 und verwendet fast 40 Mikroprozessoren und Dutzende von Sensoren zur Datenerfassung.
KPIT sieht eine serviceorientierte Architektur als robuste Grundlage für vernetzte Fahrzeuge. Ausgestattet mit getrennten Steuergeräten im Sicherheits-IO-Controller und im Hochleistungs-Controller sowie einer dedizierten Infrastruktur zur Ermöglichung hoher Rechenleistung, nutzt das KPIT-Framework ein weit verbreitetes POSIX-ähnliches Betriebssystem (z. B. Linux), Adaptive AUTOSAR und einen IO-Controller, der Sensor- und Aktor-Dienste bereitstellt, zusammen mit einem tief eingebetteten Echtzeit-Betriebssystem (z. B. Classic AUTOSAR).
Während der Performance Controller den menschlichen Fahrer unterstützt und sich auf weniger zeitkritische Funktionen konzentriert, ist der IO-Controller für zeitkritische Funktionen, Filterverarbeitung und Berechnungen zuständig. Die Software variiert je nach verfügbaren Funktionen und angeschlossenen Sensoren/Aktoren. Die Vorteile des Performance Controllers – bedarfsgesteuerte Anforderung von E/A/Daten (SOME/IP) – werden drahtlos aktualisiert und können neue Funktionen, Fehlerbehebungen und gegenseitige Ersatzfunktionen (Fehlerbetrieb) umfassen. Alle genannten Elemente sind essenziell für die Systemintegrität und -verfügbarkeit eines umfangreichen Softwaresystems wie des autonomen Fahrens.
Eines der Kernprinzipien, das bei der Entwicklung vernetzter Fahrzeuge und der Gestaltung ihrer elektronischen Steuerungssysteme frühzeitig Anwendung fand, war der ausfallsichere Betrieb. Heute reicht Ausfallsicherheit allein nicht mehr aus; die Fähigkeit zum ausfallsicheren Betrieb gilt als absolute Mindestanforderung.
Abb. 1: Der Übergang von ausfallsicher zu ausfallsicher umfasst kritische Schritte, die sich auf Fehlererkennung, Redundanz und schrittweises sicheres Anhalten konzentrieren.
Der in Abbildung 1 schematisch dargestellte Übergang vom ausfallsicheren zum ausfallbetriebsfähigen Zustand umfasst Folgendes:
Deaktivierung / Reduzierung der sicheren Zustandsbereiche der Funktion
Standardansatz in vielen sicherheitsrelevanten Systemen umfasst
Einige der folgenden Funktionen bieten einen eingeschränkten Modus, der unter Umständen zeitlich begrenzt ist.
In hochautomatisierten Fahrzeugen werden sicherheitskritischen Systemen wie diesen oft dedizierte Systeme zugeordnet, die sie bei der Ausführung dieser Funktionen unterstützen, sobald ein Fehler erkannt wird. Dies gewährleistet nicht nur Redundanz, sondern ermöglicht es dem Fahrzeug auch, so lange weiterzufahren, bis es selbstständig und sicher zum Stehen kommt.
Ein sicherer Zustand beinhaltet
Weiterfahren, bis der Fahrer wieder im System ist
Führen Sie einen autonomen “Sicherheitsstopp” durch (Anhalten an einem ungefährlichen Ort).
Abb. 2: Die vier Säulen ausfallsicherer Systeme
Ein ganzheitliches Modell der Wirkungskette autonomer Fahrzeuge umfasst Sensorelemente wie Radar, Kameras und andere Sensoren, deren Daten in die Wahrnehmungsschicht eingespeist werden. Diese verarbeitet die Sensoreingaben zu einer verarbeitbaren Darstellung der Fahrzeugumgebung. Die dargestellte Umgebung dient anschließend Planungskomponenten zur Erstellung einer ausführbaren Trajektorie für das Steuermodul.
Aus sicherheitstechnischer Sicht ist es offensichtlich, dass die einfache Simplex-Implementierung weder für Ausfallsicherheit noch für Betriebssicherheit ausreicht und dass zusätzliche Konstruktionselemente eingeführt werden müssen, um Fehler zu erkennen und zu verhindern, dass Ausfälle das System in einen unsicheren Zustand bringen.
Abb. 3: Vergleich zweier Ansätze zur Einführung interner Diagnosefunktionen in die AD-Fahrzeugarchitektur
Die Idee, interne Diagnosefunktionen in ein System einzuführen, um im Fehlerfall ein sicheres Ausfallverhalten zu gewährleisten, wurde in Abbildung 3 erläutert. Es ist jedoch klar, dass mit einer 1oo1D-Architektur die Ausfallsicherheits- und Betriebskriterien für hochsichere Systeme wie autonomes Fahren nicht erfüllt werden können. Eine Lösung, die in der Automobilindustrie zunehmend an Bedeutung gewinnt, ist die sogenannte 2oo2D-Architektur (Two-out-of-Two with Diagnostics). Hierbei arbeiten zwei 1oo1D-Kanäle parallel, um maximale Verfügbarkeit zu gewährleisten. Fällt einer der Kanäle aus, steht der intakte Kanal weiterhin zur Verfügung, um den kontinuierlichen Betrieb sicherzustellen.
Abb. 4: Analyse eines Fehlers, der zum Ausfall eines sicherheitskritischen Systems führt
Ein wichtiger Aspekt beim 2oo2D-Ansatz ist die Gewährleistung der Kanalunabhängigkeit, um das System vor Ausfällen durch gemeinsame Ursachen zu schützen. Ein solcher Ausfall liegt vor, wenn eine Ursache eine Diskrepanz in beiden Kanälen verursacht und somit deren Ausfall zur Folge hat. Gängige Vorgehensweisen zur Behebung dieses Problems sind der Einsatz unterschiedlicher Sensorsätze für verschiedene Kanäle, die Verwendung unterschiedlicher Implementierungen in kritischen Komponenten (z. B. mathematische Bibliothek, Fusionsalgorithmus usw.), die Diversifizierung der Hardwareplattform und anderer Kopplungsfaktoren.
Vernetzte Fahrzeuge haben seit den 1980er Jahren in Bezug auf Design, Infrastruktur und Technologien große Fortschritte gemacht. Heute streben sie nach Zukunftsfähigkeit, wobei die Sicherheit höchste Priorität hat. KPITs Ansatz für autonomes Fahren integriert die Wiederverwendung vorhandener Integritätsmechanismen aus ausfallsicheren Systemen als Grundlage für den Aufbau ausfallsicherer Systeme. Obwohl Softwaresysteme mit hoher Diagnoseabdeckung bereits verfügbar sind, erfordert die Zukunft der Entwicklung robuster Systeme, um die Autonomie-Funktion zu gewährleisten. KPIT ist sich bewusst, dass etablierte Methoden zur Überwachung von Softwarequalität und -sicherheit entscheidend für die Entwicklung optimaler Sicherheitslösungen sind und arbeitet daran, die Herausforderung zu meistern, alle Anwendungsfälle komplexer Softwarelösungen durch erstklassige Verifizierungs- und Validierungsmethoden sowohl in virtuellen als auch in realen Umgebungen abzudecken.
1. https://www.brookings.edu/research/securing-the-future-of-driverless-cars/
2. https://www.nhtsa.gov/technology-innovation/automated-vehicles-safety
3. Die Stufen 0 bis 5 sind nach ihrem jeweiligen Automatisierungsgrad definiert. Die Stufen 3 bis 5 befinden sich noch in der Testphase.
4. https://qz.com/344466/connected-cars-will-send-25-gigabytes-of-data-to-the-cloud-every-hour/
5. https://www.forbes.com/sites/samabuelsamid/2022/02/08/automated-driving-must-be-fail-operational/?sh=24ef7b2a527f
Fachexperte – Autonomes Fahren
KPIT Technologies GmbH
Empfehlen
1 Likes
Empfehlen
1 Likes
