Echtzeit-Systemdesign mit Hilfe der AUTOSAR-Methodik
Echtzeitfähigkeit ist alles
Fortsetzung des Artikels von Teil 4
Es bleiben Fragen offen
Jobangebote+ passend zum Thema
Eine weitere Fragestellung ist, an welcher Stelle des Metamodells diese Informationen abgelegt werden. Auf den ersten Blick würde man dazu neigen, die Timing-Chains im Software Component Template (SWCT) zu platzieren. Dies erweist sich jedoch bei näherem Hinsehen als unmöglich. Eine Timing-Chain ist eine Anforderung für die abstrakte Funktion (Bild 4), denn beim Design der Funktion ist die technische Umsetzung noch nicht definiert. Die Funktionen können von einer oder mehreren Software-Komponenten bereitgestellt werden, die jeweils in ihre eigene SWCT eingebettet sein können.
Als weitere Möglichkeit käme die Einfügung in das System-Template in Betracht, doch sind die Timing-Anforderungen ein Merkmal der Software-Komponententypen, und die Hardware-Vorgaben können variieren, wenn ein und dieselbe Funktionalität in verschiedenen Automodellen eingesetzt wird.
Es wird also notwendig sein, das Template-Konzept von AUTOSAR detaillierter zu untersuchen. Mögliche Änderungen sind die Einführung eines neuen Tempates, in dem die Informationen mit Bezug zu den abstrakten Ereignissen in verschiedenen SWCTs enthalten sein können. Dies wäre eine Ergänzung zum Metamodell. Eine weitere Alternative wäre die Einführung eines Clusterings von SWCTs (Bild 5). Ein solcher Cluster könnte verschiedene Software-Komponenten enthalten, so dass ein bestimmter Funktionssatz mit den dazugehörigen Timing-Chains entsteht. Dieses Konzept müsste allerdings die vorhandene SWCT-Struktur verändern.
- Ermittlung eines geeigneten Systemdesigns
Timing-Chains sind eine Voraussetzung für die Realisierung des Systemgenerator-Konzepts. So verlockend und wünschenswert die Vorstellung eines Systemgenerators auch sein mag, die Implementierung eines solchen Generators stellt doch eine enorme Herausforderung dar. Heutige Automotive-Systeme bestehen schon jetzt aus bis zu 70 ECUs und Hunderten Funktionen, die zudem noch voneinander abhängig sind. Das Herausfinden eines geeigneten Systemdesigns in Bezug auf die Timing-Anforderungen, die Logik sowie die CPU und die Bus-Auslastung stellt ist eine recht komplexe Aufgabe, denn wegen der großen Anzahl von Funktionen und Steuergeräten ist auch die Anzahl potenzieller Lösungen sehr groß.
Infolge der gegenseitigen Abhängigkeit zwischen den Funktionen gestaltet sich bereits das Validieren einer gefundenen Lösung überaus komplex. Verlagert man beispielsweise eine Funktion von einer ECU auf eine andere, kann dies Änderungen am Bus-Schedule nach sich ziehen, die wiederum Auswirkungen auf das Scheduling anderer ECUs haben. Deshalb reicht es unter Umständen nicht aus, nur das Scheduling der direkt in die verlagerte Funktion involvierten ECUs zu validieren. Die große Anzahl potenzieller Lösungen zusammen mit der ziemlich komplexen Validierung der in Frage kommenden Lösungen hat zur Folge, dass das Ermitteln eines machbaren Systemdesigns ein höchst komplexes Vorhaben ist. Diese Komplexität ist eine der großen Herausforderungen, die es bei der Implementierung eines Systemgenerators zu bewältigen gilt. Werden keine Maßnahmen zur Entschärfung dieser Komplexität getroffen, besteht potenziell die Gefahr, dass es mit heutigen Computersystemen nicht möglich ist, in einem angemessenen Zeitrahmen zu einer Lösung zu gelangen.
- Abstraktionen und Annahmen
Ein vielfach beschrittener Weg zur Beherrschung übermäßiger Komplexität ist der Übergang auf eine höhere Abstraktionsebene. Da hierdurch weniger Informationen berücksichtigt werden müssen, gestalten sich die Berechnungen und Validierungen weniger komplex und zeitraubend. Wenn man jedoch Details abstrahiert, muss man gewisse Annahmen treffen. Da aber die meisten Funktionen im Automotive-Bereich überaus sicherheitsrelevant sind, müssen diese Annahmen sehr pessimistisch gewählt werden. Ein anschauliches Beispiel für eine derart pessimistische Festlegung ist es, einer Task eine Worst-Case-Verarbeitungszeit zuzuweisen und davon auszugehen, dass die Task die CPU stets für diese Zeitspanne belegt, obwohl die Verarbeitungszeit in Wirklichkeit eventuell sehr unterschiedlich ausfallen wird. Das Validieren eines Schedulings auf einer ECU gestaltet sich hierdurch einfacher, da für die fragliche Task stets nur eine unveränderliche Verarbeitungszeit berücksichtigt werden muss.
- Echtzeitfähigkeit ist alles
- Literatur:
- Tasks und Runnables
- Bewältigung der Herausforderungen
- Es bleiben Fragen offen
- Timing-Chains
- Der AUTOSAR-RTE-Generator
