Startseite > Automotive > Latente Fehler in CAN- und FlexRay-Bussystemen untersuchen

Bussysteme

Latente Fehler in CAN- und FlexRay-Bussystemen untersuchen

5. Juli 2013, 11:23 Uhr | Dr. Lukusa Didier Kabulepa

▶ Diesen Artikel anhören

Fortsetzung des Artikels von Teil 1

ISO 26262: notwendig – aber auch ausreichend?

Um den Stand von Wissenschaft und Technik einzuhalten, wird die Erfüllung der ISO 26262 als notwendige, jedoch nicht hinreichende Bedingung betrachtet. In der Praxis weisen elektronische Funktionen besondere Aspekte auf, die in der Norm allerdings nicht erschöpfend zur Sprache kommen. Einer dieser Aspekte ist die Datenkommunikation zwischen elektronischen Steuergeräten als Teil von funktionalen Wirkketten in Straßenfahrzeugen.
Viele eingebettete Automotive-Funktionen werden heutzutage in verteilter Form implementiert, so dass unterschiedliche Steuergeräte Funktionsvariablen über Bussysteme, beispielsweise CAN und FlexRay, austauschen. Die Fahrzeuggeschwindigkeit wird typischerweise in einem ABS berechnet und über ein Bussystem an das Motorsteuergerät sowie zur Anzeige an das Kombiinstrument übertragen. Ein weiteres Beispiel von verteilten Automotive-Funktionen ergibt sich aus dem AUTOSAR-Virtual-Functional-Bus-Prinzip (VFB).
Nach den Vorgaben der ISO 26262 wird jedem möglichen Gefährdungsszenario ein Sicherheitsziel zugeordnet. Für jedes Sicherheitsziel wird ein zu erreichender Automotive-Safety-Integrity-Level-Wert (ASIL) abgeleitet, der für die passende funktionale Wirkkette zum Einsatz kommt. Die Sicherheitsstufe des gesamten Sicherheitsziels setzt sich aus den ASILs der Komponenten einer betroffenen Funktion zusammen. Für Hardware-Fehler erfolgt die ASIL-Einschätzung auf Basis von Single-Point-Fault- (SPF) und Latent-Fault- (LF) Metriken. Nach ISO 26262 bleibt ein latenter Fehler in einem System unerkannt und erst nach Auftreten von mindestens einem weiteren unabhängigen Fehler kann es zu einer Gefährdung kommen. Die Norm liefert keine Aussage darüber, ob eine Teilfunktion mit Datenkommunikation anders als einfache Komponenten behandelt werden soll. Weil CAN- und FlexRay-Bussysteme nicht explizit auf die Erkennung latenter Fehler ausgelegt sind, lässt sich folglich ein schlechter Wert der LF-Metrik für die entsprechende Strecke einer funktionalen Wirkkette erwarten. Die Berechnung der LF-Metrik einer Komponente, die einen Datenaustausch über ein Bussystem wie CAN oder FlexRay umfasst, fällt außerhalb des Rahmens dieses Artikels. Der Fokus wird auf eine qualitative Analyse möglicher latenter Fehler in CAN- und FlexRay-Bussystemen gelegt. Dabei finden lediglich zweifache latente Fehler Berücksichtigung.