Startseite > Automotive > Generische Software-Module zur Entwicklung sicherer Steuergeräte-Software

Gefahr und Risiko

Generische Software-Module zur Entwicklung sicherer Steuergeräte-Software

25. August 2011, 13:26 Uhr | Von Sandra Stangl und Martin Fassl

▶ Diesen Artikel anhören

Fortsetzung des Artikels von Teil 2

Anforderungen der ISO 26262 ohne Neuentwicklung erfüllen

In keinem Fall darf die Basis-Software die sicherheitsrelevante Software stören oder in irgendeiner Form beeinflussen. Die Rückwirkungsfreiheit (Freedom from Interference) zwischen beiden Schichten muss für die Sicherheit des Gesamtsystems fortlaufend gewährleistet werden. Die Neuentwicklung der gesamten Basis-Software gemäß den Vorgaben der ISO 26262 für sicherheitsrelevante Software ist unter Berücksichtigung der schmalen Zeitfenster während der Entwicklung und der engen Verknüpfung der vielen Teilkomponenten fast ausgeschlossen. Zum einen ist sie sehr zeitintensiv, zum anderen mit erheblichen Kosten verbunden. Zudem unterliegt die AUTOSAR-Spezifikation kurzen Änderungszyklen und hat einen großen Funktionsumfang.

Eine schnell umzusetzende Möglichkeit ist, die Basis-Software von der sicherheitsrelevanten Software mit Hilfe einer Absicherungsschicht sicher und rückwirkungsfrei zu trennen (Software Partitioning). Die dazu nötigen Funktionen sind bereits in AUTOSAR enthalten: Memory Protection und Program Flow Monitoring.

Durch diese Absicherungsschicht ist es ausreichend, lediglich die Module für den Speicherschutz (Memory Protection) und das Laufzeitverhalten (Program Flow Monitoring mit Watchdog) nach ISO 26262 zu entwickeln.

TTTech Automotive hat mit SafeExecution eine generische Überwachungsschicht entwickelt, welche die genannten Anforderungen hinsichtlich Koexistenz und Rückwirkungsfreiheit erfüllt und durch die effiziente Wiederverwendung von bestehenden Komponenten zur Kostenreduktion beiträgt. Durch die Modulintegration für Speicherschutz und Laufzeitverhalten können mögliche Fehler in QM-entwickelten Teilen der Basis- oder Applikations-Software sicher erkannt und eine geeignete Fehlerreaktion ausgelöst werden (Bild 1). Kleine, standardisierte Elemente ermöglichen die Umsetzung sicherer Teilkomponenten bis zu ASIL D, welche wiederum zu einem sicheren Gesamtsystem beitragen.

Der Anwender muss dafür die Module der SafeExecution entsprechend ihres Safety Manuals integrieren und erhält so ein System, welches den Anforderungen gemäß ISO 26262 entspricht.