Jak kontrolować złożoność samochodów

Zintegrowane kokpety kierowcy stają się coraz ważniejsze dla przyszłych pokoleń nabywców samochodów, którzy chcą widzieć informacje swobodnie dzielone między różnymi systemami wewnątrz pojazdu i zwracają uwagę kierowcy w razie potrzeby.

W niektórych przypadkach tradycyjne oddzielne klatki urządzeń i ekrany informacyjne są już połączone w jeden duży wyświetlacz. W innych, obejmujących wiele ekranów displayowych, istnieje potrzeba udostępnienia informacji generowanych z wielu źródeł w pojeździe, takich jak obrazy nawigacyjne, dane z kamery, kanały audio i zaawansowane systemy czujników wspomagania kierowcy (ADAS).

Wymagania dotyczące udostępniania danych wymagały nowych koncepcji projektowych dla wbudowanych platform oprogramowania, a także nowych podejść do testowania i zatwierdzania bezpieczeństwa.

Wyświetlacze cyfrowe

Ciągła poprawa technologii wyświetlania cyfrowych, dzięki ekranom o wyższej rozdzielczości, dostępnych po niższych kosztach, oznacza, że ​​stają się dostępne dla rynku masowego w zastosowaniach.

Obecne klastry przyrządów są tak zwane hybrydowe, łącząc mechaniczne tarcze z małymi cyfrowymi wbudowanymi panelami. Są one stopniowo zastępowane panelami w pełni cyfrowymi, ponieważ te urządzenia stają się opłacalne finansowo, z odpowiednią jakością i wydajnością.

Pełny panel cyfrowy oferuje kilka zalet w stosunku do mechanicznego poprzednika, w tym dynamiczną rekonfigurację, aby obsługiwać różne tryby jazdy lub preferencje informacyjne oraz wiele możliwości przyszłej personalizacji pojazdu.

Aktualizacje oprogramowania przez cały okres użytkowania pojazdu oznaczają, że aplikacja wyświetlająca może zostać uaktualniona, aby oferować nowe funkcje i funkcjonalność, potencjalnie otwierając dodatkowe źródła przychodów dla producentów pojazdów. Typowy stos architektury dla klastra cyfrowego przedstawiono na rysunku 1 powyżej.

Jedna konsolidacja danych na wyświetlaczu

Duży ekran, na przykład na rysunku 1, może być wizualnie atrakcyjny, ale stanowi duże wyzwanie dla wbudowanego oprogramowania.
W miarę zwiększania rozdzielczości ekranu potrzebna jest bardziej wydajna karta procesora graficznego (GPU), która zapewnia niezakłócone odświeżenie ekranu, a także zoptymalizowane oprogramowanie sterownika.

Ogólnie uznaje się, że osiągi 60 klatek na sekundę są minimalne, aby umożliwić wygodne oglądanie.
Wyświetlanie szerokiego wyboru złożonych obiektów graficznych lub plików wideo z różnych źródeł jest również wyzwaniem - jak pomyślnie zorganizować informacje na jednym wyświetlaczu i umożliwić odpowiednie partycjonowanie krytycznych i tak zwanych danych o normalnym świecie.

Dzięki coraz większym naciskiem na bezpieczeństwo systemy oparte na ekranach dotykowych stają się mniej atrakcyjne, gdy do kierowcy jest dużo danych wizualnych. Sterowanie systemem za pomocą przycisków kierownicy, gestów i poleceń głosowych są preferowane, ponieważ zmniejszają rozpraszanie kierowców.

Organizacja kompletnego stosu aplikacji, od sprzętu do pakietu pomocy technicznej, systemów operacyjnych i aplikacji interfejsu użytkownika (HMI) zazwyczaj obejmuje składki od różnych dostawców technologii.

Architektury o krytycznym znaczeniu dla bezpieczeństwa

Jeśli chodzi o wbudowaną architekturę, elementy krytyczne dla bezpieczeństwa w każdym projekcie muszą działać na izolowanych, niezależnych od bezpieczeństwa systemach operacyjnych, z wyraźnym oderwaniem od funkcji "normalnego świata", które mogłyby zagrozić im przez zakłócenia.

Producenci pojazdów zazwyczaj żądają, aby "artefakty bezpieczeństwa" były dostarczane przez wbudowanych dostawców oprogramowania, wraz z dostawami oprogramowania. Te artefakty mogą obejmować dowód testowania, wyczerpującą dokumentację dotyczącą wszystkich trybów pracy, w tym trybów awaryjnych i możliwości śledzenia z powrotem do wymagań oprogramowania.

Im większa jest ocena bezpieczeństwa ASIL, tym bardziej rygorystyczny proces walidacji i certyfikacji oraz wynikający z tego koszt wbudowanych elementów oprogramowania. Aby sprostać najbardziej rygorystycznym wymaganiom bezpieczeństwa ASIL D, wymagany jest projekt odporny na uszkodzenia, wyposażony w wbudowane oprogramowanie i nadmiarowość sprzętu.Na poziomie systemu może to oznaczać zduplikowane ścieżki połączeń dla sygnałów, duplikatów sprzętu i trybów awaryjnych. Na poziomie oprogramowania wbudowanego architektura bezpieczeństwa będzie obejmować oddzielne systemy operacyjne, monitorowanie procesów i strażników, które są uruchamiane w przypadku wykrycia nieprawidłowości lub awarii.

Skonsolidowane ECU

Nowoczesny samochód luksusowy prawdopodobnie zawiera od 60 do 100 elektronicznych jednostek sterujących (ECU); różne systemy operacyjne, począwszy od prostych harmonogramów; oraz systemów operacyjnych w czasie rzeczywistym (RTOS) poprzez złożone wielofunkcyjne systemy operacyjne Linux TM lub podobne platformy wbudowane obsługujące bramki komunikacyjne, kontrolery domen, systemy informacyjne i infotainment.

Tendencja do konsolidacji funkcji jest obecnie w toku w przemyśle motoryzacyjnym, a dzięki połączeniu niektórych funkcji można zoptymalizować masę przewodów i złożoność połączeń. Możliwe jest wyeliminowanie części sprzętu ECU, oszczędność całkowitego kosztu i liczby komponentów. Złożoność aplikacji powoduje wyzwanie dla testowania i certyfikacji - im więcej linii kodu testuje, tym większe ryzyko przegapienia przypadków użycia lub narażenia na nieoczekiwane zachowanie.

Zastosowanie rozkładu do wbudowanego oprogramowania umożliwia niezależne od bezpieczeństwa izolowanie elementów niezależnych od bezpieczeństwa w autonomicznym systemie operacyjnym, podczas gdy bardziej skomplikowane, normalne komponenty mogą działać na złożonym systemie operacyjnym, takim jak Linux TM, który może być hostingiem bogatą obsługę grafiki i złożone aplikacje.

Zapewnienie certyfikacji bezpieczeństwa dla systemu operacyjnego oznacza sprawdzenie wszystkich możliwych odpowiedzi dla dowolnego zestawu wejść. W przypadku zaawansowanych systemów operacyjnych, takich jak Linux, liczba możliwych stanów i odpowiedzi staje się bardzo duża, a spełnianie wymagających standardów testowania i certyfikacji jest czasochłonne i kosztowne.

Zmniejszenie rozmiaru i zakresu systemu operacyjnego proces certyfikacji bezpieczeństwa staje się łatwiejszy w zarządzaniu, a architektury w domenie mieszanej umożliwiają operacje małego footprintu i systemów certyfikowanych przez bezpieczeństwo w połączeniu z bardziej złożonymi domenami opartymi na Linuksie lub innym wielofunkcyjnym działaniu systemów.

Aplikacje, takie jak wyświetlacze kluczy urządzeń, muszą być zintegrowane z systemami komunikacji samochodowej, przesyłać dane za pośrednictwem sieci CAN, FDF, FlexRay i Ethernet.

Wraz z pakietem oprogramowania komunikacyjnego do systemów automatyki otwartej (Autosar) działającym jako osobna, bezpieczna domena umożliwia gromadzenie i przekazywanie informacji o osiągach pojazdu do zespołu wskaźników.

Połączenie różnych wbudowanych domen z bezpiecznymi kanałami komunikacyjnymi między nimi zapewnia skalowalną platformę bezpieczeństwa mieszanego, która może spełnić wysokie wymagania dotyczące bogatej grafiki użytkowników, a także wymagania dotyczące bezpieczeństwa w przemyśle motoryzacyjnym.

Techniki wymiany informacji

Istnieje kilka mechanizmów wymiany informacji pomiędzy oddzielnymi ECU fizycznymi lub w pojedynczym ECU obsługującym wiele aplikacji konwergujących na pojedynczym wyświetlaczu.

Architektury magistrali dużej przepustowości w następnej generacji układów pojazdów umożliwiają szybkie przenoszenie materiałów wideo i innych dużych obiektów danych graficznych pomiędzy węzłami w autobusie.

Mechanizmy te obejmują pamięć współdzieloną, dostępną z obu aplikacji, mechanizm komunikacji międzyprocesowej (IPC) lub protokół zabezpieczeń, taki jak DDS (usługa dystrybucyjna) lub RPMsg (ograniczona wiadomość o uprawnieniach).

Podejście do pamięci współdzielonej zapewnia wysoką przepustowość danych i często jest preferowane w aplikacjach graficznych.

Przyciągające uwagę ekrany kompleksowe w pojazdach stają się punktem wyjścia dla producentów, a nowe techniki są potrzebne do łączenia grafiki 2D / 3D z krytycznymi informacjami.

Zastosowanie nowego myślenia do wbudowanych ram oprogramowania pozwala na współistnienie współdziałających aplikacji o krytycznym znaczeniu dla bezpieczeństwa.

Wbudowane architektury o różnorodnej krytyczności z odpowiednimi rozwiązaniami HMI stały się bardzo popularne wśród projektantów branży motoryzacyjnej i są skalowalne, aby zaspokoić potrzeby następnej generacji i coraz bardziej autonomiczne samochody.Mentor współpracuje z dostawcą usług HMI Socionext w celu stworzenia skonsolidowanych informacji o bezpieczeństwie.

Bezpieczny, funkcjonalny moduł bezpieczeństwa firmy Socionext z certyfikatem ISO26262 Firma Candera Safety może stosować do wyświetlania treści o krytycznym znaczeniu dla bezpieczeństwa pojazdu (ASIL) A lub B i zapewnia bezpieczne renderowanie drugiej ścieżki.

Wszystkie dołączone komponenty są opracowywane zgodnie z tym standardem, a firma Candera umożliwia renderowanie treściach graficznych o krytycznym znaczeniu dla bezpieczeństwa na warstwie wizualizacji poświęconej bezpieczeństwu funkcjonalności.

Architektura wyświetlania umożliwia wykonywanie aplikacji o znaczeniu krytycznym w przestrzeni adresowej wirtualnej (VAS) przeznaczonej do renderowania ISO ISO26262 ASIL B.

Tabela 1: Mechanizmy połączeń dla dużych jednostek ECU danych

O autorze

Andrew Patterson jest dyrektorem ds. Rozwoju firmy w firmie Mentor w dziedzinie oprogramowania do wbudowania, specjalizującym się w rozwiązaniach motoryzacyjnych (Mentor Automotive)