Startseite > Automotive > Assistenzsysteme > Entwicklung von Steuergeräte-Basis-Software nach ISO/DIS 26262

Sichere Software

Entwicklung von Steuergeräte-Basis-Software nach ISO/DIS 26262

13. Dezember 2010, 11:21 Uhr | Von Dr. Thomas Wenzel, Martin Fassl und Joachim Kalmbach

▶ Diesen Artikel anhören

Fortsetzung des Artikels von Teil 2

Anforderungen der AUTOSAR-Basis-Software für sicherheitsrelevante Steuergeräte

Lässt man die funktionalen Anforderungen außer Acht, bleibt im Wesentlichen eine Kernanforderung: Die Basis-Software darf die sicherheitsrelevante Software nicht beeinflussen bzw. stören. Dies bedeutet zum einen, dass die Basis-Software den Speicher der sicherheitsrelevanten Software nicht verletzen darf, und zum anderen, dass die Basis-Software nicht mehr Laufzeit benötigen darf, als ihr zugedacht wurde. Zusammengefasst nennt man diese Bedingungen auch Rückwirkungsfreiheit oder „Freedom from Interference“.

Der zunächst naheliegende Ansatz ist, die komplette Basis-Software nach dem Standard für sicherheitsrelevante Software zu entwickeln, der unter ISO 26262 zusammengefasst ist. Wie aber bereits erwähnt, ist die AUTOSAR-Basis-Software komplex, hat einen großen Funktionsumfang, und ihre Spezifikationen unterliegen kurzen Änderungszyklen. Das macht die Entwicklung nach ISO 26262 sehr aufwendig.

Ein anderer Ansatz ist, die Basis-Software von der sicherheitsrelevanten Software mit Hilfe einer Absicherungsschicht sicher und rückwirkungsfrei zu trennen (Software Partitioning). Die dazu nötigen Funktionen sind bereits in AUTSOAR enthalten: Memory Protection und Program Flow Monitoring. Somit kann eine ASIL-Dekomposition der Basis-Software nach QM sowie der Absicherungsschicht nach dem gewünschten ASIL gemäß ISO 26262 durchgeführt werden. Somit ist es ausreichend, lediglich die Module für den Speicherschutz (Memory Protection) und das Laufzeitverhalten (Program Flow Monitoring mit Watchdog) nach ISO 26262 zu entwickeln.