Die Automobilbranche entwickelt sich ständig weiter, wobei kontinuierliche Innovationen die Zukunft der Mobilität vorantreiben. Zwei wichtige Akteure in diesem Bereich, Sonatus und LHP Engineering Solutions, freuen sich, bekannt zu geben, dass im Rahmen ihrer strategischen Partnerschaft das Sicherheitsmodul für Sonatus Automator AI, das „Automator Safety Interlock“ (ASI), von UL Solutions nach ISO 26262 zertifiziert wurde und damit die ASIL-D-Fähigkeit (Sicherheitsintegritätsstufe D für Kraftfahrzeuge) erreicht. Diese Zertifizierung stellt den Höhepunkt der Sicherheitsgewährleistung im Automobilbau dar und bestätigt unser Engagement für die Bereitstellung modernster, sicherheitskonformer Softwarelösungen. Die Norm ISO 26262, die die funktionalen Sicherheitsanforderungen an die elektrischen und elektronischen Systeme eines Fahrzeugs regelt, ist der weltweite Standard für Sicherheit im Automobilbereich. Die Erreichung der ASIL-D-Konformität (höchste Sicherheitsintegritätsstufe) gemäß ISO 26262 gibt Erstausrüstern (OEMs) und ihren Zulieferern die Gewissheit, dass unsere Produkte die in den heutigen vernetzten Fahrzeugarchitekturen geforderten Sicherheitsstandards der Branche erfüllen und gewährleistet, dass die Automator- AI -Plattform vollständig für sicherheitskritische Anwendungsfälle geeignet ist.
Die Entstehung einer starken Partnerschaft: der konzeptionelle Anfang
Die Partnerschaft zwischen Sonatus und LHP begann Anfang 2023 als Reaktion auf eine wachsende Herausforderung: die zunehmende Komplexität softwaredefinierter Fahrzeuge (SDVs) und deren potenzielle Auswirkungen auf die Sicherheit. Nach der Entwicklung von Sonatus Automator AI, seiner leistungsstarken Plattform zur Orchestrierung von Fahrzeugsoftware, erkannte Sonatus die Notwendigkeit der Einhaltung funktionaler Sicherheitsstandards, damit seine Technologie in einem breiteren Spektrum von Situationen in hochvernetzten Systemen eingesetzt werden kann, beispielsweise in sicherheitskritischen Anwendungen. Als Orchestrierungs-Framework zur Verbesserung der Fahrzeugqualität und des Fahrverhaltens ermöglicht „ Sonatus Automator“ AI den OEMs die Erstellung und Bereitstellung komplexer, ereignisgesteuerter Workflow-Rezepte – ähnlich wie in der Hausautomation, bei der Aktionen basierend auf bestimmten Bedingungen oder Ereignissen ausgelöst werden. Diese Rezepte ermöglichen die Einführung neuer Funktionen, die Durchführung von Tests und die Ausführung von Echtzeit-Diagnoseroutinen an Fahrzeugen. Das Framework unterstützt eine flexible Bandbreite an Auslösern – darunter CAN- und Ethernet-Signale, ECU-Ereignisse und Geolokalisierung – und erleichtert so die Erstellung anspruchsvoller mehrstufiger Workflows, die gezielt für bestimmte Fahrzeuge oder Bedingungen eingesetzt werden können.
Die Öffnung der Automator- AI -Plattform für weitere Teilnehmer im Fahrzeugnetzwerk erweitert die Möglichkeiten der Automatisierung erheblich, erfordert jedoch den angemessenen Umgang mit potenziell sicherheitskritischen Anwendungsfällen. So könnte beispielsweise die Optimierung von Parametern des Fahrdynamiksystems wie der Drehmomentverteilung oder die Änderung der Fahrmodus-Konfiguration während der Fahrt Risiken für den Fahrer mit sich bringen. Die Zusammenarbeit mit LHP erwies sich als unschätzbar wertvoll bei der Identifizierung solcher Sicherheitsbedenken und der Implementierung funktionaler Sicherheitsmechanismen unter Berücksichtigung kundenspezifischer Konfigurationsoptionen für Anwendungsfälle innerhalb von ASI. Das Branchenexpertise von LHP war entscheidend für die Festlegung der richtigen Annahmen, die für eine reibungslose Integration des Systems bei den OEMs erforderlich waren.
Während der Konzeptionsphase für die funktionale Sicherheit wandte sich die „ Sonatus “ an LHP Engineering, um mit der Anpassung der Plattformfunktionen an die Sicherheitsstandards der Automobilindustrie zu beginnen. LHP lieferte ein umfassendes Paket zur Bewertung der funktionalen Sicherheit, das unter anderem wichtige Sicherheitsschulungen für die Führungskräfte und Ingenieure der „ Sonatus “ umfasste, und führte eine Lückenanalyse der organisatorischen Prozesse der „ Sonatus “ durch, um die Konformität mit der Norm ISO 26262 sicherzustellen.
Diese Phase umfasste auch wesentliche Schritte wie die Definition der Komponenten sowie die Gefahren- und Risikobewertung (HARA). Die größte Herausforderung bestand darin, die kontextunabhängige Entwicklung in einem sich ständig weiterentwickelnden Ökosystem zu steuern, in dem softwaredefinierte Fahrzeugfunktionen äußerst dynamisch sind, Sicherheitsstandards jedoch statisch und starr bleiben. Diese Bemühungen führten schließlich zur Schaffung des „ Sonatus “ (ASI) als Leitfaden für die Vielzahl von Aktionsanforderungen.
Die ASI-Software wurde als kontextunabhängiges Sicherheitselement (SEooC) entwickelt und fungiert als entscheidender Mechanismus für die Betriebssicherheit innerhalb des Systems. ASI überwacht und validiert eigenständig alle Aktionsanforderungen, während neue Funktionen entwickelt und bereitgestellt werden. Es überprüft, ob jede Anforderung den vordefinierten Sicherheitsbedingungen entspricht, und stellt sicher, dass nur autorisierte und sichere Vorgänge zugelassen werden. Sollte eine unsichere Aktion erkannt werden, greift ASI ein, um das System in einen vorab festgelegten sicheren Zustand zu führen, wodurch gewährleistet wird, dass die Fahrzeugsicherheit zu keinem Zeitpunkt beeinträchtigt wird. Siehe Abbildung 1.
Abbildung 1. ASI ermöglicht die sichere Konfiguration einer Vielzahl von Steuerungen (hier ist nur ein kleiner Ausschnitt dargestellt), um Lösungen für die Automobilindustrie zu optimieren, wie beispielsweise die Fahrzeugpersonalisierung oder softwaredefinierte Komponenten.
Vorteile von „ Sonatus “ (ASI)
Die ASI-Software lässt sich nahtlos in ein POSIX-basiertes System integrieren und ist dabei hardwareunabhängig. POSIX definiert Schnittstellen auf System- und Benutzerebene Anwendungsprogrammierschnittstellen (APIs) sowie Befehlszeilen-Shells Shells sowie Schnittstellen für Dienstprogramme, um die Softwarekompatibilität (Portabilität) mit verschiedenen Betriebssystemen zu gewährleisten. Darüber hinaus wird die Struktur von ASI durch ein ergänzendes Sicherheitshandbuch unterstützt, das die umfassende Einhaltung der Sicherheitsstandards im Automobilbereich gewährleistet.
Im Mittelpunkt der ASI-Architektur stehen mehrere wichtige Softwarefunktionen, die gemeinsam einen zuverlässigen Betrieb und die Einhaltung von Sicherheitsstandards gewährleisten. Siehe Abbildung 2.
- Aufgabenplanung und -verwaltung: ASI verfügt über ein Aufgabenplanungssystem, das sicherstellt, dass Aufgaben unter Einhaltung strenger sicherheitsrelevanter Zeitvorgaben ausgeführt werden. Diese Funktion priorisiert Aufgaben anhand ihrer Kritikalität und vordefinierter Prioritätsstufen und verwaltet Prozessabläufe, um die Betriebsintegrität zu gewährleisten. Durch die Koordination des Aufgabenverhaltens und des Zeitablaufs unterstützt der Scheduler die geordnete Ausführung von Prozessen, was für die Erfüllung von Sicherheitsanforderungen und die Gewährleistung vorhersehbarer Systemreaktionen unerlässlich ist.
- Validierung bei der Inbetriebnahme: Um die Systemintegrität von Beginn an zu gewährleisten, verfügt ASI über eine Testroutine beim Systemstart, die wichtige Parameter und Komponenten überprüft, bevor das System in den Vollbetrieb übergeht.
- Zustandsverwaltung: ASI verfügt über eine Zustandsmaschine zur Verwaltung seiner Betriebszustände, wodurch es angemessen auf verschiedene Bedingungen und externe Eingaben reagieren kann.
- Verwaltung der Schnittstellenkommunikation: Eine effektive Kommunikation ist für die Integration von ASI in andere Fahrzeugsysteme von entscheidender Bedeutung. Der Schnittstellenkommunikationsmanager verwaltet den Datenaustausch, unterstützt anpassbare TLV-Nachrichtenformate (Tag-Length-Value) und setzt Sicherheitsmechanismen zur Gewährleistung der Datenintegrität und -validierung ein. Dazu gehören zyklische Redundanzprüfungen (CRCs), rollierende Zähler und Datenvalidierungsprotokolle. Diese Maßnahmen stellen sicher, dass Kommunikationsfehler erkannt und behoben werden, um die Systemsicherheit zu gewährleisten.
- Abläufe für Maßnahmenanforderungen und Genehmigungen: ASI stellt sicher, dass nur autorisierte Maßnahmen- und Kalibrierungsanfragen bearbeitet werden. Durch die Bewertung eingehender Maßnahmen- und Kalibrierungsanfragen anhand vordefinierter Kriterien schützt ASI vor unbefugten Anfragen.
- Ereignis- und Fehlerüberwachung: Ein Fehlermanager überwacht die ASI-Aufgaben kontinuierlich auf Anomalien. Erkannte Fehler werden protokolliert, in verschiedene Ereignistypen kategorisiert und in einem persistenten Speicher abgelegt, wodurch sichergestellt wird, dass der Ereignisverlauf erhalten bleibt. Darüber hinaus wird zum Zeitpunkt eines Fehlerereignisses ein Snapshot der zugehörigen Daten erfasst und gemeldet. Benachrichtigungen über Fehlerereignisse sowie deren Schweregrade werden sowohl Automator AI als auch dem Fahrzeug-Hostsystem zur Verfügung gestellt, was zeitnahe Reaktionen und die Systemüberwachung erleichtert.
- Systemdiagnose: Die kontinuierliche Diagnose ermöglicht die proaktive Erkennung allgemeiner Prozess- und Kommunikationsfehler.
Abbildung 2. Die Systemarchitektur des ASI (Entwicklungsumfang in Rot) basiert auf mehreren kritischen Softwarefunktionen, die gemeinsam einen zuverlässigen Betrieb und die Einhaltung von Sicherheitsstandards gewährleisten.
Einfache Integration
ASI lässt sich flexibel in verschiedene Konfigurationen von Fahrzeug-Hostsystemen integrieren und mit anderen Produkten verbinden, wie beispielsweise dem „ Sonatus “, dem „Updater“ sowie Integrator- und OEM-spezifischen Lösungen. Das ASI-Design ermöglicht die Einbindung in AUTOSAR Adaptive Platform-Umgebungen, QNX, allgemeine Linux-Betriebssysteme und Echtzeit-Linux-Systeme.
Neben seinen Funktionen zur Softwareintegration lässt sich ASI in containerisierten Umgebungen wie Docker einsetzen, was „Shift-Left“-Test- und Entwicklungspraktiken erleichtert.
Aufgrund seines flexiblen und generischen Aufbaus lässt sich ASI auf einer Vielzahl von Hardwareplattformen einsetzen, darunter Hochleistungsrechner und Zonen-Controller. Der modulare Aufbau von ASI ermöglicht es, das System auf demselben Host wie die von ihm geschützte Komponente oder auf einem separaten Host auszuführen, wobei diese Trennung sowohl virtuell als auch physisch erfolgen kann. Siehe Abbildung 3.
Abbildung 3. Konfigurationsbeispiel: ASI ist für die flexible Integration in verschiedene Fahrzeug-Hostsysteme ausgelegt und lässt sich mit anderen Produkten von „ Sonatus “ sowie mit OEM-Lösungen verbinden.
Einhaltung strenger Sicherheitsstandards
Die Einhaltung der Norm ISO 26262 erfordert die Beachtung strenger Anforderungen in jeder Phase des Entwicklungsprozesses. Sonatus ASI musste in verschiedenen Entwicklungsphasen, darunter Architekturentwurf, Test und Analyse, rund 150 spezifische Sicherheitsanforderungen erfüllen. Dank vollständiger Rückverfolgbarkeit lässt sich jede Anforderung bestimmten Testfällen und Sicherheitszielen zuordnen. Eine besonders bemerkenswerte Herausforderung war die Verwaltung aller sicherheitsspezifischen Arbeitsergebnisse innerhalb des Sicherheitsnachweises, was ein einwandfreies Konfigurationsmanagementsystem und die Sorgfaltspflicht jedes einzelnen Teammitglieds erfordert.
Fazit: Innovation trifft auf Sicherheit
Die Zusammenarbeit zwischen Sonatus und LHP Engineering Solutions verdeutlicht, wie wichtig es ist, bahnbrechende Innovationen mit robusten Sicherheitssystemen zu kombinieren. Durch enge Zusammenarbeit und frühzeitige Einbindung von Zertifizierungsstellen wie UL haben wir eine Plattform geschaffen, die nicht nur die Grenzen der Automobilautomatisierung erweitert, sondern auch ein Höchstmaß an Sicherheit gemäß internationaler Standards gewährleistet.
Da SDVs die Branche weiterhin grundlegend verändern, werden Partnerschaften wie diese entscheidend dazu beitragen, dass die Sicherheit auch weiterhin im Mittelpunkt des technologischen Fortschritts steht.
Abbildung 4: Durch dieSonatus arbeitet frühzeitig mit Zertifizierungsstellen wie UL zusammen und erweitert so die Grenzen der Automobilautomatisierung und gewährleistet ein Höchstmaß an Sicherheit gemäß internationalen Standards.
Zu diesem Thema gibt es noch viel mehr zu sagen, als hier dargestellt wird. Schauen Sie sich daher unsere Mitteilung dazusowie weitere Sonatus Automator- AI -Ressourcen. Wir empfehlen euch außerdem, Kontakt Sonatus und ein Beratungsgespräch über die individuellen Anforderungen Ihres Unternehmens zu vereinbaren.