Il panorama automobilistico continua a evolversi, con l’innovazione costante che guida il futuro della mobilità. Due attori chiave in questo settore, Sonatus e LHP Engineering Solutions, sono lieti di annunciare che, grazie alla loro partnership strategica, il modulo di sicurezza per Sonatus Automator AI, ovvero l’ Automator Safety Interlock (ASI), è stato certificato da UL Solutions secondo la norma ISO 26262, raggiungendo il livello ASIL-D (integrità di sicurezza automobilistica, Livello D). Questa certificazione rappresenta il massimo livello di garanzia di sicurezza nell’ingegneria automobilistica, a conferma del nostro impegno nel fornire soluzioni software all’avanguardia e conformi alle norme di sicurezza. La norma ISO 26262, che disciplina i requisiti di sicurezza funzionale per i sistemi elettrici ed elettronici di un veicolo, è lo standard globale per la sicurezza automobilistica. Il raggiungimento della conformità ASIL-D (il livello più alto di integrità di sicurezza) della norma ISO 26262 offre ai produttori di apparecchiature originali (OEM) e ai loro fornitori la certezza che i nostri prodotti soddisfino gli standard di sicurezza del settore richiesti nelle odierne architetture dei veicoli interconnessi e garantisce che la piattaforma Automator AI sia pienamente abilitata per casi d’uso critici dal punto di vista della sicurezza.
La genesi di una partnership di grande impatto: un inizio concettuale
La collaborazione tra Sonatus e LHP è iniziata all’inizio del 2023 in risposta a una sfida sempre più pressante: la crescente complessità dei veicoli definiti dal software (SDV) e le loro potenziali implicazioni in termini di sicurezza. Dopo aver sviluppato Sonatus Automator AI, la sua potente piattaforma di orchestrazione del software di bordo, Sonatus ha riconosciuto la necessità di garantire la conformità alla sicurezza funzionale per consentire alla propria tecnologia di essere utilizzata in una gamma più ampia di situazioni all’interno di sistemi altamente interconnessi, come quelli che comportano criticità di sicurezza. In quanto framework di orchestrazione progettato per migliorare la qualità del veicolo e la guida, Sonatus Automator AI consente agli OEM di creare e implementare complesse ricette di flussi di lavoro innescati da eventi, simili alla domotica, in cui le azioni vengono attivate in base a determinate condizioni o eventi. Queste ricette consentono di introdurre nuove funzionalità, eseguire test ed effettuare routine diagnostiche in tempo reale sui veicoli. Il framework supporta una gamma flessibile di trigger — tra cui segnali CAN ed Ethernet, eventi ECU e geolocalizzazione — facilitando la creazione di sofisticati flussi di lavoro multistadio che possono essere utilizzati per intervenire su veicoli o condizioni specifici.
L’apertura della piattaforma “ AI ” di Automator a un numero maggiore di partecipanti alla rete del veicolo amplia notevolmente le possibilità di automazione, ma richiede una gestione adeguata dei casi d’uso potenzialmente critici per la sicurezza. Ad esempio, l’ottimizzazione dei parametri del sistema di dinamica del veicolo, come il torque vectoring, o la modifica della configurazione della modalità di guida mentre il veicolo è in movimento potrebbero comportare rischi per il conducente. La collaborazione con LHP si è rivelata preziosa per identificare tali criticità di sicurezza e implementare meccanismi di sicurezza funzionale all’interno di ASI, tenendo conto delle opzioni di configurazione dei casi d’uso specifici per ciascun cliente. La competenza settoriale di LHP è stata fondamentale per stabilire i presupposti corretti necessari a garantire una integrazione fluida del sistema con gli OEM.
Durante la fase di definizione del concetto di sicurezza funzionale, Sonatus ha contattato LHP Engineering per avviare il processo di allineamento delle capacità della piattaforma agli standard di sicurezza automobilistici. LHP ha fornito un pacchetto completo di valutazione della sicurezza funzionale che includeva una formazione sulla sicurezza critica per i manager e gli ingegneri di Sonatus e ha condotto un’analisi delle lacune nei processi organizzativi di Sonatus per garantire la conformità alla norma ISO 26262.
Questa fase ha incluso anche passaggi fondamentali quali la definizione delle voci e la valutazione dei pericoli e dei rischi (HARA). La sfida principale è stata quella di gestire uno sviluppo fuori contesto in un ecosistema in continua evoluzione, in cui le funzionalità dei veicoli definite dal software sono altamente dinamiche, mentre gli standard di sicurezza rimangono statici e rigidi. Questi sforzi hanno infine portato alla creazione dell’ASI ( Sonatus ) come linea di contenimento per la vasta gamma di richieste di azione.
Sviluppato come elemento di sicurezza fuori contesto (SEooC), il software ASI funge da meccanismo critico di sicurezza operativa all’interno del sistema. ASI monitora e convalida in modo indipendente tutte le richieste di azione man mano che vengono sviluppate e implementate nuove funzionalità. Verifica che ogni richiesta sia conforme alle condizioni di sicurezza predefinite e garantisce che siano consentite solo operazioni autorizzate e sicure. Qualora venisse rilevata un’azione non sicura, ASI interviene per guidare il sistema verso uno stato di sicurezza predeterminato, assicurando che la sicurezza del veicolo non venga mai compromessa. Vedi Figura 1.
Figura 1. ASI consente la configurazione sicura di una vasta gamma di controlli (qui ne viene visualizzata solo una piccola parte) per migliorare le soluzioni automobilistiche, quali la personalizzazione dei veicoli o i componenti definiti dal software.
Vantaggi dell’ASI ( Sonatus )
Il software ASI si integra efficacemente in un sistema basato su POSIX pur rimanendo indipendente dall'hardware. POSIX definisce le interfacce di programmazione delle applicazioni a livello di sistema e di utente a livello di sistema e di utente (API), insieme alle shell e le interfacce delle utility, per garantire la compatibilità (portabilità) del software con vari sistemi operativi. Inoltre, la struttura dell’ASI è supportata da un manuale di sicurezza complementare, che garantisce la piena conformità agli standard di sicurezza automobilistici.
L'architettura ASI ruota attorno a diverse funzioni software fondamentali che, nel loro insieme, garantiscono un funzionamento affidabile e il rispetto degli standard di sicurezza. Si veda la Figura 2.
- Pianificazione e gestione delle attività: ASI integra un sistema di pianificazione delle attività che garantisce l'esecuzione delle stesse nel rispetto di rigidi vincoli temporali di sicurezza. Questa funzione assegna priorità alle attività in base alla loro criticità e a livelli di priorità predefiniti e gestisce le sequenze dei processi per mantenere l'integrità operativa. Coordinando il comportamento e la tempistica delle attività, lo scheduler supporta l'esecuzione ordinata dei processi, essenziale per soddisfare i requisiti di sicurezza e garantire risposte prevedibili del sistema.
- Convalida all'avvio: Per garantire l'integrità del sistema sin dall'inizio, ASI include una routine di test all'avvio che verifica i parametri e i componenti essenziali prima che il sistema passi alla piena operatività.
- Gestione degli stati: ASI integra una macchina a stati per gestire i propri stati operativi, consentendole di rispondere in modo adeguato alle varie condizioni e agli input esterni.
- Gestione della comunicazione di interfaccia: Una comunicazione efficace è fondamentale per l'integrazione dell'ASI con gli altri sistemi del veicolo. Il gestore della comunicazione dell'interfaccia gestisce gli scambi di dati, supporta formati di messaggio TLV (Tag-Length-Value) adattabili e impiega meccanismi di sicurezza per l'integrità e la convalida dei dati. Questi includono controlli di ridondanza ciclica (CRC), contatori a scorrimento e protocolli di convalida dei dati. Tali misure garantiscono che gli errori di comunicazione vengano rilevati e mitigati per mantenere la sicurezza del sistema.
- Procedure di richiesta e approvazione delle azioni: ASI garantisce che vengano elaborate solo le richieste di intervento e di taratura autorizzate. Valutando le richieste di intervento e di taratura in arrivo in base a criteri predefiniti, ASI garantisce la protezione contro le richieste non autorizzate.
- Monitoraggio di eventi e guasti: Un gestore dei guasti monitora costantemente le attività ASI alla ricerca di anomalie. I guasti rilevati vengono registrati e classificati in diversi tipi di eventi, quindi archiviati in una memoria persistente, garantendo così la conservazione della cronologia degli eventi. Inoltre, viene acquisita e segnalata un'istantanea dei dati correlati al momento in cui si verifica un evento di errore. Le notifiche relative agli eventi di guasto, insieme ai relativi livelli di gravità, vengono messe a disposizione sia di Automator AI e al sistema host del veicolo, facilitando risposte tempestive e il monitoraggio dello stato del sistema.
- Diagnostica di sistema: La diagnostica continua consente di individuare in modo proattivo i guasti generali relativi ai processi e alle comunicazioni.
Figura 2. L'architettura del sistema ASI (l'ambito di sviluppo è indicato in rosso) ruota attorno a diverse funzioni software fondamentali che, nel loro insieme, garantiscono un funzionamento affidabile e il rispetto degli standard di sicurezza.
Facile integrazione
ASI offre una grande flessibilità per l’integrazione con diverse configurazioni di sistemi host dei veicoli e si interfaccia con altri prodotti, quali l’ Sonatus , l’Updater e soluzioni specifiche per integratori/OEM. Il design di ASI ne consente l’integrazione in ambienti AUTOSAR Adaptive Platform, QNX, sistemi operativi Linux generici e sistemi Linux in tempo reale.
Oltre alle sue funzionalità di integrazione software, ASI può essere implementato in ambienti containerizzati, come Docker, facilitando le pratiche di test e sviluppo “shift-left”.
Grazie al suo design flessibile e generico, ASI può essere implementato su una vasta gamma di piattaforme hardware, tra cui sistemi di calcolo ad alte prestazioni e controller di zona. Il design modulare di ASI consente di eseguirlo sullo stesso host del componente che protegge oppure su uno separato, e tale separazione può essere virtuale o fisica. Si veda la Figura 3.
Figura 3. Esempio di configurazione: ASI è progettato per un'integrazione flessibile con diversi sistemi host dei veicoli ed è in grado di interfacciarsi con altri prodotti Sonatus e soluzioni OEM.
Rispetto di rigorosi standard di conformità in materia di sicurezza
La conformità alla norma ISO 26262 richiede il rispetto di requisiti rigorosi in ogni fase del processo di sviluppo. Sonatus ASI ha dovuto soddisfare circa 150 requisiti di sicurezza specifici nelle varie fasi dello sviluppo, tra cui la progettazione dell’architettura, i test e l’analisi. La piena tracciabilità consente di collegare ogni requisito a casi di test e obiettivi di sicurezza specifici. Una sfida particolarmente rilevante è stata la gestione di tutti i prodotti di lavoro specifici per la sicurezza all’interno del “safety case”, che richiede un sistema di gestione della configurazione impeccabile e la massima diligenza da parte di ogni membro del team.
Conclusione: l’innovazione incontra la sicurezza
La collaborazione tra Sonatus e LHP Engineering Solutions mette in luce l’importanza di coniugare l’innovazione all’avanguardia con sistemi di sicurezza affidabili. Grazie a una stretta collaborazione e al coinvolgimento sin dalle prime fasi di organismi di certificazione come UL, abbiamo creato una piattaforma che non solo amplia i confini dell’automazione nel settore automobilistico, ma garantisce anche i massimi livelli di conformità alle norme internazionali in materia di sicurezza.
Mentre i veicoli a guida autonoma (SDV) continuano a rivoluzionare il settore, collaborazioni come questa saranno fondamentali per garantire che la sicurezza rimanga al centro del progresso tecnologico.
Figura 4: Grazie alcollaborando sin dalle prime fasi con organismi di certificazione come UL, Sonatus amplia i confini dell’automazione nel settore automobilistico e garantisce i massimi livelli di conformità alle norme internazionali in materia di sicurezza.
Questo argomento è molto più ampio di quanto venga presentato qui, quindi date un’occhiata al nostro annuncio al riguardo, oltre alle ulteriori Sonatus risorse di Automator AI . Vi invitiamo inoltre a contattarci Sonatus e fissare un incontro informativo sulle esigenze specifiche della vostra azienda.