図 1: 特定のプロジェクトに合わせた安全機構を効率的に調整できるモジュール式のコンセプトイベントアップセット (SEU:Single Event Upset) の発生確率を考慮しなければなりませんロックステップモードで動作するマイクロコントローラーと誤り検出訂正コードを持つメモリー (ECC

Size: px

Start display at page:

Download "図 1: 特定のプロジェクトに合わせた安全機構を効率的に調整できるモジュール式のコンセプトイベントアップセット (SEU:Single Event Upset) の発生確率を考慮しなければなりませんロックステップモードで動作するマイクロコントローラーと誤り検出訂正コードを持つメモリー (ECC"

ゆきあさま
5 years ago
Views:

来たるべき未来を語る AUTOSAR ベーシックソフトウェアを用いたフォールトトレラントなシステムアーキテクチャーの実装高度な自動運転では従来の安全コンセプトに加えて新たな要件が求められます安全状態に到達するためには単に機能を無効化するだけでは足りなくなってきています将来安全状態の実現には可能な機能を有効に残す必要があります本稿では現時点で使用できるメカニズムを紹介するとともに

1 来たるべき未来を語る AUTOSAR ベーシックソフトウェアを用いたフォールトトレラントなシステムアーキテクチャーの実装高度な自動運転では従来の安全コンセプトに加えて新たな要件が求められます安全状態に到達するためには単に機能を無効化するだけでは足りなくなってきています将来安全状態の実現には可能な機能を有効に残す必要があります本稿では現時点で使用できるメカニズムを紹介するとともにそれらをモジュール的に組み合わせ有効な安全コンセプトを実現する方法について説明しますまた今後のフォールトトレラントシステムが抱える課題とともに AUTOSARによりどのように克服していくかも併せて紹介します今日の車両に搭載されている安全関連システムの場合フォールト発生時の対応として最も多いのはトラブルが生じた機能の停止またはリセットですこれをフェイルサイレントと呼びますこうしたタイプのソリューションは実装が簡単で安全状態の実現維持にも有効ですただし自動車のE/Eシステムではマイクロコントローラーが故障するなどのフォールトが発生してもその他の動作は正常に継続するという機能を持つことが増えていますこのような動作をフェイルオペレーショナルまたは本稿で以後用いるようにフォールトトレラントと呼びます今後量産車ではフォールトトレラントシステムの需要が大きく増えると予想されますたとえば現行の一部の大型 SUVではドライバーの安全なステアリング操作を保証するためステアリングアシストシステムを常に有効にしておく必要があります現在フェイルサイレントシステムの開発はISO 26262で非常によくカバーされていますがフォールトトレラントシステムの設計に伴う問題の解決はISO 26262ではまだ難しく特にそれに関わる安全状態の詳細な定義には今なお多くの苦労が伴います 2017 年か 2018 年に予定されているISO 26262の第 2 版でも明確な指針はおそらく得られないでしょう以下の章では標準規格で規定されている要件とは別に AUTOSAR 技術を用いて既存の安全コンセプトを拡張しそれによってフォールトトレラントシステムを実現する方法を紹介しますフェイルサイレントシステムのためのモジュール式の安全コンセプト安全技術者はモジュール式のコンセプトを用いることで特定のプロジェクトに合わせたさまざまな安全機構を効率的に作成できます ( 図 1) ここではマイクロコントローラーの整合性確保の手段機能モニタリングの手段包括的な手段を大別しますマイクロコントローラーの整合性を確保するための手段は使用するソフトウェアが取得している自動車用安全度水準 (ASIL:Automotive Safety Integrity Level) の最高レベルに合わせて選びますこれらは実行される機能とは関係なくある特定の ASIL で求められるダイアグカバレッジ (DC:Diagnostic Coverage) によって決まりますマイクロコントローラーのメーカーが独自の安全解析に基づいて何らかの要件を設定していることもよくあります ASIL D の DC にソフトウェアによる組込自己テスト (BIT:Built In self Test) の定期的な実行を求めるケースなどがその一例です ASIL B からは一般にいわゆるシングル 01

図 1: 特定のプロジェクトに合わせた安全機構を効率的に調整できるモジュール式のコンセプトイベントアップセット (SEU:Single Event Upset) の発生確率を考慮しなければなりませんロックステップモードで動作するマイクロコントローラーと誤り検出訂正コードを持つメモリー (ECC RAM ECC ROM) は SEUに対する防御策として有効です

AUTOSARのウォッチドッグなどで実施できます機能のモニタリングとマイクロコントローラーの整合性は各プロジェクトに応じて定義実装されますただし機能やASILを問わずほとんどすべての安全関連 ECUにも用いられるメカニズムも存在します ASILソフトウェアを使用する ECUはそのほとんどがQMソフトウェアも実行します ISO 26262との共存を可能にするには

2 図 1: 特定のプロジェクトに合わせた安全機構を効率的に調整できるモジュール式のコンセプトイベントアップセット (SEU:Single Event Upset) の発生確率を考慮しなければなりませんロックステップモードで動作するマイクロコントローラーと誤り検出訂正コードを持つメモリー (ECC RAM ECC ROM) は SEUに対する防御策として有効ですこれらの安全機構はいずれもハードウェアによって実現されるためソフトウェア開発上はほぼ透過的で非常に効果的なソリューションであるといえますアプリケーションには通常機能をモニターするメカニズムが別途実装されますこれにはセンサーやアクチュエーターをモニターするタスクのほかリミッターやプログラムフローのモニタリング ( ロジックモニタリング ) が含まれますプログラムフローのモニタリングは AUTOSARのウォッチドッグなどで実施できます機能のモニタリングとマイクロコントローラーの整合性は各プロジェクトに応じて定義実装されますただし機能やASILを問わずほとんどすべての安全関連 ECUにも用いられるメカニズムも存在します ASILソフトウェアを使用する ECUはそのほとんどがQMソフトウェアも実行します ISO 26262との共存を可能にするにはメモリーの分離と時間制約のモニタリングが必要です [1] メモリーのパーティショニングは必要な ASILを持つメモリー保護ユニット (MPU:Memory Protection Unit) を制御するスケーラビリティークラス 3 (SC3:Scalability Class 3) のAUTOSARオペレーティングシステムによって実現されます時間の要件は通常ウォッチドッグがデッドラインのモニタリングによって処理します複数のECU 間で安全関連データが交換されると通信保護図 2: AUTOSAR タイミング保護を使用してタスクや割り込みに許可されている時間枠の違反を早期に検出 02

機能が即座に動作します AUTOSARにはこれを目的とした効果的な安全機構がエンドツーエンド (E2E:End-to-End) 保護という形で用意されています ASIL Dまでの認証を持つベクターの製品を使用すればこれらの包括的な手段に対応できますフォールトトレラントシステムへの移行コスト上の理由から今日のハードウェアは冗長性がゼロに近い設計になっていますそのため

3 機能が即座に動作します AUTOSARにはこれを目的とした効果的な安全機構がエンドツーエンド (E2E:End-to-End) 保護という形で用意されています ASIL Dまでの認証を持つベクターの製品を使用すればこれらの包括的な手段に対応できますフォールトトレラントシステムへの移行コスト上の理由から今日のハードウェアは冗長性がゼロに近い設計になっていますそのためハードウェアフォールトは一般に深刻な機能低下最悪の場合は完全な故障に直結します一方で IEC 62380やSN29500の定義に見るようにハードウェアの故障を数量化する成熟した方法が存在しそれによる目標故障率の予測も可能となっています [2] ソフトウェアフォールトは決定論的にのみ発生するため多くの場合数量化は容易ではありません [3] タイミング保護はソフトウェアフォールトに対するフォールトトレランス改善に適した安全機構ですタイミング保護によって本来の機能の実行を妨げるソフトウェアコンポーネントの無限ループなどのフォールトを防止できますタイミング保護ではタスクと割り込みルーチンの実行時間そして割り込みとリソースによるブロック時間に相当する時間を開発者が割り当てますタスクと割り込みルーチンの間の時間間隔もモニターされます ( 図 2) フォールトが発生すると AUTOSARオペレーティングシステムはフォールトの原因となったタスクや割り込みルーチンを終了させそれを以後の実行から除外しますただしタイミング保護は将来必要になるであろうフォールトトレラントシステムの最初の一歩に過ぎませんフォールトトレラントなシステムアーキテクチャーフォールトトレラントなシステムアーキテクチャーは航空宇宙産業で長く使われてきました安全を最重視する飛行制御システムでは 3 個から4 個のECUが冗長構成され複合システムを形成していますハードウェアにおけるこのような冗長性は当然ながら極めて高コストですそのため自動車業界ではフォールトトレラントシステムを使用した新たなアプローチを模索しなければなりませんリスクアセスメントの際故障による危害のシビアリティーが下がるのも自動車業界にとってのメリットです実行可能なシステムアーキテクチャー ( 図 3) は常に少なくとも 2つのチャンネルで構成されていますこの例では 1つのチャンネルにはセンサー論理ユニットそしてアクチュエーターが含まれています [4] 一方のチャンネルのマイクロコントローラーで障害が発生すれば関連するソフトウェアとその機能にも同じく障害が発生するのは明らかですマイクロコントローラーは複雑であるため ECU 内でのその障害率が最も高いことは珍しくありませんしたがってほんの短時間であっても機能の正常な実行は保証できませんこの2チャンネルのシステムをフォールトトレラント化するには各チャンネルがそれぞれのエラーをすべて検出し自動的にパッシブに切り替わらなければなりません [5] この要件を求めないとすると機能を安全に動作させるには両方のチャンネルの使用が必要になりますただしそのようにした場合故障率は狙い通りの半分ではなく倍になりますもちろんこのシステムアーキテクチャーには冗長の通信相手への冗長の通信パスが必要であるのに加え図 3: 冗長設計によるフォールトトレラントなシステムアーキテクチャーの例 03

てこれら 2 つのチャンネルに電力を供給する冗長電源が必要です IEC 61508 標準規格ではこのようなシステムを診断機能付き 1oo2 アーキテクチャー (1oo2D:1-out-of-2 with Diagnostics) と呼んでいます AUTOSAR を用いたフォールトトレラントシステムのためのソフトウェアアーキテクチャー原則として

4 てこれら 2 つのチャンネルに電力を供給する冗長電源が必要です IEC 標準規格ではこのようなシステムを診断機能付き 1oo2 アーキテクチャー (1oo2D:1-out-of-2 with Diagnostics) と呼んでいます AUTOSAR を用いたフォールトトレラントシステムのためのソフトウェアアーキテクチャー原則としてハードウェアを冗長化すればアプリケーションも複雑化しますこれによってたとえば冗長のコントローラーが同時にアクティブになった場合にコントローラーの安定性をどのように保ちアクチュエーターをどのように制御するかといった制御工学分野の課題が新たに生じますまたネットワークのデータの整合性を再評価することも必要になります ( ビザンチン将軍問題 [6]) システムアーキテクチャーの観点から言えばこのような複雑さはたとえばホットスタンバイモードを用いれば軽減できますホットスタンバイモードでは特定の時点でアクチュエーターを制御するのは 2 つのチャンネルのうちの一方のみですこのチャンネルでエラーが発生すると他方のチャンネルが直ちに制御を引き継ぎます以下に示す理由から AUTOSAR ベーシックソフトウェア ( 図 4) はこのようなアプリケーション開発の省力化に有効です > > 再利用 : 開発者はモジュール式の安全コンセプトの構成に使用される上記のAUTOSARコンポーネントをエラー検出にも再利用できます > > 既存メカニズムの使用 : 冗長チャンネルのソフトウェアの実装には多様性と均質性の 2つの指針があります多様性を指針とする場合は 2つのチャンネルで異なるソフトウェアを使用します使用するチャンネルやコントローラーのタイプが同じである場合は同じソフトウェアをパラメーターのみ変更して使用することが可能ですこれは通常は ECUバリアントの開発に使用される AUTOSARのPost-Build Selectableのメカニズムで実現できます同じタイプのチャンネルを使用する場合は同じ原因で発生するエラーの検査が必要です [7] フォールト時に他方のチャンネルに迅速に切り替えるためにはセンサーとアクチュエーターの値そしてチャンネルのステータスの情報をチャンネル間で交換しなければなりません ( 図 3) AUTOSAR のメカニズムを利用すればベーシックソフトウェアのコンフィギュレーションを 1 つだけ実装すれば済みます開発者はアプリケーション固有のホットスタンバイモードのソフトウェアコンポーネント (SWC:Software Component) の形でチャンネルの切替を実装することもあるいは AUTOSAR マネージャーコンポーネントである Basic Software Mode Manager (BSWM) や ECU State Manager(ECUM) の柔軟な設定オプションを利用することもできます現在のところチャンネル間のエラーステータスの交換にはアプリケーション固有のソフトウェアが実装されていますしかし将来的にはこの用途に特化した標準のベーシックソフトウェアコンポーネントを指定するようになると考えられます図 4: AUTOSARに基づいたフォールトトレラントシステムの MICROSARソフトウェアアーキテクチャー 04

ツールのサポート画像提供元 : 今後進むであろう複雑化に対処するには開発の初期の段階から効果的かつ包括的なツールのサポートが必要になりますこれによってリソースをアプリケーション開発に集中させることが可能になるうえシステムモデルでの冗長シグナルの整合性を手動でチェックするといった冗漫で間違いやすい作業からエンジニアが解放されます展望今日ではオンボードの AUTOSAR 機能により

5 ツールのサポート画像提供元 : 今後進むであろう複雑化に対処するには開発の初期の段階から効果的かつ包括的なツールのサポートが必要になりますこれによってリソースをアプリケーション開発に集中させることが可能になるうえシステムモデルでの冗長シグナルの整合性を手動でチェックするといった冗漫で間違いやすい作業からエンジニアが解放されます展望今日ではオンボードの AUTOSAR 機能により安全関連プロジェクトの効率的な実装がすでに可能になっていますさらに高いフォールトトレランスが E/Eシステムで求められる場合はマイクロコントローラーの故障にも対応できる新しいシステムアーキテクチャーが必要になりますこれによってアプリケーションとベーシックソフトウェアに新たな課題が生じますがこのようなタイプのシステムの複雑さは AUTOSARの手法を使用することで対処できます柔軟な構成が可能なAUTOSARベーシックソフトウェアはそこに踏み出すための最適な起点です関連するツールチェーンが必要な冗長性の管理を省力化してくれます将来はベーシックソフトウェアとそのツールによって一層の支援が与えられることでしょうしかしそのための第一歩はフォールトトレラントシステムにはシステムアーキテクチャーによるアプローチが必要なのだという認識です見出し画像 : Fotolia# Originator:Jakub Krechowicz (Vector Informatik GmbH にて修正編集 ) 図 1~4: Vector Informatik GmbH リンク : ベクターの AUTOSAR ソリューション : ベクタージャパン : 参考文献 : [1]Definition of the fault tolerant time interval (FTTI) in ISO , 1.45 [2]ISO :9 Evaluation of safety goal violations due to random hardware failures [3]ISO :4.3 Relationship between faults, errors and failures [4]Definition of a system in ISO , [5]ISO Single-point fault metric (SPFM) for ASIL D [6]The Byzantine Generals Problem, L. Lamport et al, ACM Transactions on Programming Languages and Systems, 1982 [7]Definition of a Common Cause Failure in ISO , 1.14 執筆者 : Jonas Wolf (Dip. Ing.) University of Stuttgart で航空宇宙工学の学位を取得後 2012 年にベクターに入社現在はシニアプロダクトマネージメントエンジニアとして機能安全およびサイバーセキュリティーを担当本稿は 2015 年 11 月にドイツで発行された自動車技術専門誌 Elektronik automotive に掲載された記事内容を和訳したものです本件に関するお問い合わせ先ベクタージャパン株式会社営業部 ( 東京 ) TEL: FAX: ( 名古屋 )TEL: FAX: sales@jp.vector.com 05

組込関連サービス

組込関連サービスプロダクトインフォメーション目次ベクターの技術コンサルティング製品エンジニアリングサービス... 3 特長... 4 応用分野... 4 AUTOSAR のトレーニング... 4 MICROSAR 入門 (Getting Started) パッケージによるインストールとサポート... 5 MICROSAR V2G 入門 (V2G Getting Started) パッケージによるインストールとサポート...