Eingebettete Systeme Qualität und Produktivität

Präsentation zum Thema: "Eingebettete Systeme Qualität und Produktivität"—  Präsentation transkript:

1 Eingebettete Systeme Qualität und Produktivität
Prof. Dr. Holger Schlingloff Institut für Informatik der Humboldt Universität und Fraunhofer Institut für Rechnerarchitektur und Softwaretechnik

2 War wir bislang hatten Einführungsbeispiel (Mars Polar Lander)
Automotive Software Engineering Anforderungsdefinition und -artefakte Modellierung physikalische Modellierung Anwendungs- und Verhaltensmodellierung Berechnungsmodelle, zeitabhängige & hybride Automaten Datenflussmodelle (Katze und Maus) Regelungstechnik PID-Regelung HW für Regelungsaufgaben speicherprogrammierbare Steuerungen Fehler und Fehlertoleranz Qualitätsnormen und Reifegradmodelle

3 Kenngrößen Zuverlässigkeit (reliability) Ausfallwahrscheinlichkeit
R(t)=e-t Ausfallwahrscheinlichkeit F(t) = 1 - R(t) Ausfallrate (innerhalb eines Intervalls ) (t)= F(t+)-F(t) / *R(t) Hazard-Rate z(t) = F´(t) / R(t) mittlere Betriebsdauer MTBF = 1 /  (falls  konstant) Verfügbarkeit (availability) A(t) = (MTBF/(MTBF+MTTR)) Versagenswahrscheinlichkeit p(n)=1-(1-p)n bei Festplatten MTBF-Werte von 1,2*106 Stunden = 137 Jahren. Wahrscheinlichkeit, dass es während 5 Jahren zum Ausfall jährlich kommt = 0,37%

4 Was soll man duplizieren?
C A A Parallel A B Seriell Ventilausfall auf: Wasser fliesst ab Ventilausfall zu: Ablauf blockiert sicher gegen einzelnen Ausfall

5

6

7 Triple Modular Redundancy (TMR)
Beispiel: p(n)=1,2*10-4  pTMR= ? Unabhängiges Voting Externe Komponente oder logisch getrennt Software-Voting: getrennte Speicher, geschütztes Betriebssystem 2-aus-3 Mehrheitsentscheid single fault fail operational, double fault fail silent (erster Ausfall kann toleriert, zweiter erkannt werden) bei 4-fach Replikation können byzantinische Fehler behoben werden

8

9 RAM-Analyse

10 Ausfallrate mit Fehlertoleranz
gefordert durch Normen:

11 Verallgemeinerung

12

13 Dynamische Redundanz Vorteile Nachteile geringerer Ressourcenverbrauch
Möglichkeit der Nutzung der Reserven Nachteile Verzögerung beim Umschalten Standby-Komponenten

14 Aufgaben der FT-Komponenten
Fehlerdiagnose (Selbstdiagnose / Fremddiagnose) Ist ein Fehler aufgetreten?  Fehlermodell! Welche Komponente ist fehlerhaft? Protokollierung Rekonfiguration Erbringung der Funktion mit den intakten Komponenten Umschalten bzw. Ausgliedern / Neustarten Recovery Reparatur bzw. Wiedereingliedern Rückwärts (Rollback, Recovery Points) Vorwärts (Wiederaufsatzpunkte)

15 Stand der Praxis Sensorik, Aktuatorik Verkabelung, Bussysteme
z.B. Lenkwinkelgeber (Bosch), Bremsmotoren Verkabelung, Bussysteme z.B. TTP/C, FlexRay Controller, Hardware redundante integrierte modulare Controller (IMCs) Zukunftsmusik: fehlertolerante Prozessoren, SoC Software diversitäre Entwicklungen bislang nur für wenige Systeme bekannt (Fly-by-wire)

16 fehlertolerante Mehrprozessorarchitekturen
Lock-step versus loosely-synchronized Lock-step effizienter, loosely-synchronized sicherer Sicherung der Datenintegrität mittels CRC-Speicher Prototypen verfügbar, Serie nicht in Sicht Quelle: Baleani, Ferrari, Mangeruca, SangiovanniVincentell, Peri, Pezzini

17 Forschungsfragen Fehlertoleranz und Selbstorganisation
kann ein Netz redundanter Knoten so angelegt werden, dass fehlerhafte Komponenten selbsttätig ausgegliedert werden? z.B. Sensornetze Fehlertolerante System-on-Chip (SoC), Network-on-Chip (NoC) (wie) können multiple Recheneinheiten auf einem Chip für Fehlertoleranz genutzt werden? Welche Common-Cause-Fehler sind möglich? z.B. Multi-Core-Architekturen

18 Fehlertolerante System-on-chip
Dual-Core: eine CPU rechnet, die andere überwacht (selbstprüfendes Paar) Synchronisation? Problem Abfangen von „äußeren“ Fehlern Common-cause-Fehler (z.B. thermisch) Common-Cause: Eine Ursache bewirkt verschiedene Ausfälle Common-Mode: Ein Ausfall durch verschiedene Ursachen bewirkt Trend Network-on-Chip Selbstprüfung (BIST), sanfte Degradierung

19 Sensor Fusion Zusammenführung von bruchstückhaften und unzuverlässigen Sensordaten in ein homogenes Gesamtbild, Ziel: die fusionierte Information ist besser als die Einzelinformation Information aging: Extrapolation von (erwarteten) Sensordaten auf Grund unterschiedlicher Sampling-Zeiten und Ausfallmöglichkeit Information priorization: Berücksichtigung der Zuverlässigkeit von Daten (z.B. inertiale Navigation) Indirect fusion: Berücksichtigung von a-priori-Information, z.B. Umgebungszustand; Informationsfusion