Absicherung von Testsystemen nach ISO 26262

Für funktional sichere Anwendungen im Automotive-Bereich gelten die Vorgaben nach dem ISO-Standard 26262. Auch Testsysteme, beispielsweise Hardware-in-the-Loop-Testsysteme (HIL), müssen diesen Anforderungen standhalten. Automatisierte Kalibrierung und automatisierte Selbsttests können hier die Entwicklung beschleunigen.

Anbieter zum Thema

Axivion GmbH

iSyst Intelligente Systeme GmbH

Im Bereich der Automobilindustrie werden immer mehr sicherheitskritische Funktionen wie zum Beispiel Notbremsassistent, Spurhalteassistent und autonomes Fahren entwickelt und in Fahrzeuge integriert. Zur Entwicklung und zum Test dieser Systeme sind die Vorgaben der ISO 26262 (siehe auch [1]) zu beachten. Dabei stellt diese Norm nicht nur Anforderungen an den Entwicklungsprozess und dessen Tools, sondern auch an den Test einschließlich Testsysteme und Test-Tools.
Es gibt für die Test-Tools, wie allgemein für die Softwaretools, detaillierte Anforderungen, welche im Rahmen einer Toolqualifizierung zu bewerten sind. Bei den Testsystemen (im Sinne von Hardware-Systemen), wie zum Beispiel einem HIL-System, sind nur sehr wenige Angaben in der Norm zu finden (genauer unter (Punkt 8.4.1.5 des Teil 4 der ISO 26262). Daher herrschen in der Praxis verschiedene Ansichten über die notwendigen Maßnahmen zur Absicherung von Testsystemen vor. Dies beginnt bei einfachen Inbetriebnahmetests und geht bis zu definierten Wartungsprozeduren und Wartungsintervallen. Die Genauigkeit der (meist analogen) Schnittstellen der Testsysteme spielen dabei nur eine untergeordnete Rolle.

In der Praxis zeigt sich aber, dass nicht nur die prinzipielle Funktion des Testsystems sichergestellt werden muss. Es muss auch die Genauigkeit des Systems, wie es für andere Messsysteme üblich ist, sichergestellt werden. Werden z. B. analoge Ein- und Ausgänge für die Simulation von Sensorwerten oder die Messung von Strömen verwendet, sind genaue Vorgaben absolut notwendig, da es für sicherheitskritische Funktionen meist exakte Anforderungen an Fehlererkennungsschwellen und Fehlererkennungszeiten gibt. Daher sind die Kalibrierung und der anschließende Abgleich der Schnittstellen eines

Bildergalerie

Bildergalerie mit 7 Bildern

Stand der Technik bei HIL-Testsystemen (Hardware-in-the-Loop)

Hardware-in-the-Loop (HIL)-Testsysteme kommen in verschiedenen Bereichen der Entwicklung als Testumgebung zum Einsatz. Dabei wird das in Entwicklung befindlich eingebettete System in einer simulierten Umgebung betrieben und Tests ausgeführt.

Ein typischer Aufbau eines HIL-Testsystems, wie er häufig im Automobilbereich zum Einsatz kommt, ist in Bild 1 zu sehen. Die zentrale Komponente ist der Echtzeitrechner, welcher das Simulationsmodell für die Umgebung des eingebetteten Systems in Echtzeit berechnet. Die eingesetzten Modelle werden dabei meist in Matlab/Simulink erstellt und mittels der integrierten Codegenerierung in ausführbare Programme übersetzt, welche auf dem Echtzeitrechner ausgeführt werden.

Für die Anbindung des Echtzeitrechners mit seinen IO-Schnittstellen (z. B. analoge Ausgänge, analoge Eingänge, digitale Ein- und Ausgänge und CAN-Schnittstellen) sind Komponenten zur Signalanpassung (z. B. Signalpegel oder Signalleistung) notwendig, welche unter dem Punkt Signalanpassung zusammengefasst sind. Dieser Teil ist für die hier dargestellte Problematik der Kalibrierung von großem Interesse, da diese Komponenten Einfluss auf die analogen Signalpfade haben.

Auf die Signalanpassung folgt die Anbindung des eingebetteten Systems, welches meist auch als Steuergerät bezeichnet wird. Hierbei werden meist die für die normale Funktion vorgesehenen Schnittstellen verwendet. An das Steuergerät sind weiterhin die Lasten angeschlossen. Zwischen dem eingebetteten System und den Lasten sind Baugruppen zur Fehlerinjektion eingefügt. Mit diesen Baugruppen ist das Schalten von verschiedenen Kurzschlüssen (z. B. Kurzschluss gegen Masse oder Kurzschluss gegen die Versorgungsspannung) sowie dem Abriss der Last möglich. Damit können Fehlerreaktionen getestet werden, welche sich in Feldversuchen oder bei Probefahrten im Automobilbereich nur schwer realisieren lassen.

Als letzte Komponente ist der Steuer-PC zu nennen. Dieser übernimmt die Steuerung des Echtzeitsystems während der Testausführung. Die Testfälle sind in Form von Skripten oder Modellen auf dem Steuer-PC ausführbar hinterlegt. Weiterhin sind meist Schnittstellen zu den Bussystemen (z. B. CAN, FlexRay oder Ethernet) am Steuer-PC vorhanden, um Zugriff auf das eingebettete System während der Tests zu haben.

HIL-Test als Software- oder systemtest

Innerhalb der verschiedenen Teststufen, wie sie zum Beispiel im V-Modell beschrieben sind, wird der HIL-Test als Softwaretest oder Systemtest eingestuft. Dies bedeutet, dass das Verhalten der Software mit Bezug auf die Anforderungen getestet wird. Dies umfasst bei sicherheitskritischen Systemen auch alle Sicherheitsfunktionen, welche in Software umgesetzt sind. In der Praxis sind dabei auch die hardwarebasierten Sicherheitsfunktionen mit einbezogen, da die reale Hardware für den Test zum Einsatz kommt.

Daraus ergibt sich, dass das Testsystem für den Test sicherheitsrelevanter Systeme tauglich sein muss. Die einschlägigen Normen, wie die ISO26262, geben dabei leider nur wenige Aussagen, was dies bedeutet und wie dies nachgewiesen werden kann.

In der ISO 26262 ist unter Punkt 8.4.1.5 des Teil 4 zu lesen: „The test equipment shall be subject to the control of a monitoring quality system.“ (siehe Punkt [2] im Quellenverzeichnis). In der Praxis gehen die Umsetzungen zu diesem Punkt weit auseinander. Einerseits werden Systeme nach einmaliger Prüfung bei der Inbetriebnahme als dauerhaft tauglich erachtet. Auf der anderen Seite werden zyklische Wartung oder sogar Prüfungen vor jeder Testdurchführung vorgeschrieben.

Ein weiterer Aspekt, welcher zu beachten ist, ist die Genauigkeit mit den die sicherheitsrelevanten Funktionen zu testen sind. Beispielsweise werden häufig Schwellwerte von analogen Signalen (z. B. von Sensoren) verwendet, um einen Fehler zu erkennen und eine Fehlerreaktion auszulösen. Heute am Markt verfügbare HIL-Systeme besitzen meist keine offizielle Möglichkeit zur Kalibrierung bzw. zum Abgleich der analogen Kanäle.

Problemstellung für den Test sicherheitsrelevanter Systeme und Funktionen

Aus den zuvor dargestellten Punkten ergeben sich Problemstellungen für die Konstruktion und den Einsatz von HIL-Testsystemen für den Test sicherheitsrelevanter Systeme und Funktionen.

Im Rahmen dieser Arbeit soll der Fokus auf der Genauigkeit und damit der Verlässlichkeit der analogen Ein- und Ausgänge eines solchen Systems liegen. Dies ist vor allem in Bezug auf den Test von Fehlererkennungen von Sicherheitsfunktionen relevant.

Ein typischer Signalpfand eines analogen Eingangs des Testsystems, wie er in Bild 2 dargestellt ist, soll als Beispiel für die Problemstellung dienen. Analoge Eingänge dienen meist der Messung von Ansteuersignalen des zu testenden eingebetteten Systems.

Das analoge Signal wird dabei zuerst über die Signalanpassung geführt, welche mittels Operationsverstärkern die Signalpegel zwischen eingebetteten System und Echtzeitsystem anpasst. Weiterhin können Filter in den Signalpfad eingefügt werden, um Störungen aus dem System zu minimieren. Im Anschluss wird das Signal auf den analogen Eingang des Echtzeitsystems gelegt, welches aus einem Eingangsfilter und einem Analog-Digital-Wandler (ADC) besteht. Dabei sind alle Teile der Signalkette mit Fehlern behaftet. Zum Beispiel besitzen die Operationsverstärker Offset- und Anstiegsfehler. Dies gilt ebenfalls für den ADC.

Je nach verwendetem Echtzeitsystem stehen mehr oder weniger Angaben zur Genauigkeit der Analogkanäle zur Verfügung. Eine Kalibrierung bzw. ein Abgleich sind ab Werk nur für wenige IO-Karten verfügbar bzw. vorgesehen. Dies stellt für den Test sicherheitsrelevanter Systeme ein großes Problem dar.

Untersuchung zur Kalibrierung und zum Abgleich von HIL-Systemen

Basierend auf dem in Kapitel Problemstellung dargestellten Signalpfad, wurden im Rahmen der Arbeit [3] Untersuchungen zur Kalibrierbarkeit und Abgleichbarkeit von HIL-Testsystemen auf Basis verschiedener Echtzeitsysteme durchgeführt. Es kamen dabei ein Echtzeitsystem der Firma dSPACE mit der analogen Eingangskarte DS2004 [4] sowie ein Echtzeitsystem auf Basis des µTCA Standards der Firma N.A.T. mit der analogen Eingangskarte TPMC554 [5] der Firma TEWS zum Einsatz.

Im ersten Schritt wurden an Hand der Datenblätter die verfügbaren Angaben zur Genauigkeit ermittelt. Dabei zeigte sich, dass die Angaben für die DS2004 umfangreich sind. Es werden neben Angaben zum Anstiegs- und Offset-Fehler auch Angaben über die Temperaturdrift und Alterung getroffen. Nachteilig ist, dass die Karte keinerlei Möglichkeit zur hardwarebasierten Kalibrierung bietet und diese ab Werk auch nicht kalibriert ist.

Für die TPMC554 ist nur ein maximaler Gesamtfehler der Messung angegeben. Dafür ist die Karte ab Werk kalibriert und kann auch durch den Hersteller kalibriert werden. Weiterhin besteht die Möglichkeit Kalibrierfaktoren für Anstieg- und Offset-Fehler an die Hardware der Karte zur Laufzeit zu übergeben.

Im Rahmen der Arbeit wurde der tatsächliche Fehler der beiden Karten und deren zeitliche Stabilität mittels einer Spannungsquelle und eines kalibrierten Multimeters (Fluke 8845A) ermittelt. Dabei zeigte sich, dass die vermessenen Karten weit innerhalb der angegebenen Fehlerschranken lagen und innerhalb des Untersuchungszeitraumes, von einem halben Jahr, konnte auch keine signifikante Abweichung durch Alterung ermittelt werden.

Parallel dazu wurde die Signalanpassung in Form der analogen Signalkonditionierungskarte der Firma iSyst [6] untersucht. Der Signalpfad dieser Karte besteht aus einem Eingangs-Operationsverstärker, einem Filterbaustein und einem Ausgangs-Operationsverstärker. Es wurden dazu Messreihen mit definierten Eingangsspannungen, welche mit dem Multimeter Fluke 8845A gemessen wurden, durchgeführt und jeweils die Ausgangsspannung bestimmt. Es zeigte sich, dass der Gesamtfehler bei +/- 1 % lag. Zum Beispiel ergab eine Eingangsspannung von 9,9858 V eine Ausgangsspannung von 10,064 V, was einen Fehler von -0,785 % ergibt.

Bildergalerie

Bildergalerie mit 7 Bildern

Durch nähere Untersuchungen konnte gezeigt werden, dass ein Hauptteil des Fehlers durch einen Offset-Fehler der Operationsverstärker (OP) verursacht wurde, welcher durch einen variablen Widerstand in der Beschaltung des Operationsverstärkers weitgehend eliminiert werden konnte. In der späteren Entwicklung wurde der OP durch einen Typ mit deutlich geringerem Offset ersetzt.

Weiterhin wurde die Stabilität des Gesamtfehlers in Bezug auf die Temperatur und die Zeit bestimmt. Entsprechend der Angaben des Datenblattes des Operationsverstärkers ergab sich ein Temperatureinfluss von < 1 % im Bereich von 0 °C – 40 °C. Auch die Alterungseffekte konnten, in Bezug auf die Messdauer von 6 Monaten, vernachlässigt werden.

Als letztes wurde das Systemverhalten eines HIL-Systems von iSyst [7] mit einem dSPACE-System als Echtzeitsystem untersucht. Es wurde dafür eine Eingangsspannung direkt am Pin des Steuergerätesteckers angelegt und die Messung des Echtzeitsystems ausgewertet. Damit konnten Einflüsse der Verdrahtung des Systems bestimmt werden. Wie sich zeigte, hat die Verdrahtung des Systems einen relevanten Einfluss auf die Messungen. Bei genauerer Untersuchung konnten die Einflüsse aber auf Störungen durch benachbarte Signale zurückgeführt werden, welche im Folgenden beseitigt werden konnten.

Zusammenfassend kann festgestellt werden, dass eine Kalibrierung und ein Abgleich der einzelnen Komponenten schon eine sehr große Verbesserung erbringen. Um aber eine Verlässlichkeit aus Sicht der Schnittstelle des eingebetteten Systems zu gewährleisten, wurde eine Kalibrierung und ein Abgleich beginnend am Steuergerätestecker für notwendig befunden. Dies ist manuell durchführbar, aber mit einem hohen Zeitaufwand verbunden. Aus diesem Grund wurde eine weitgehende Automatisierung des Prozesses angestrebt.

(ID:45622250)