Hur man styr bilkomplexiteten

Integrerade förar-cockpits blir viktigare för nästa generation av bilköpare, som vill se information som delas fritt mellan olika system inuti fordonet och vid behov uppmärksammas av föraren.

I vissa fall kombineras traditionella separata instrumentgrupper och infotainment-skärmar till en stor skärm. I andra, som involverar flera skärmar, finns det redan ett behov av att dela information som genereras från flera källor i fordonet, såsom navigationsbilder, kameradata, ljudmatningar och avancerade förarassistanssystem (ADAS) -sensorer.

Dessa datadelningskrav har krävt nya designmetoder för de inbäddade programvaruplattformarna och nya metoder för testning och säkerhetsgodkännande.

Digitala skärmar

Den ständiga förbättringen av digital displayteknik, med skärmar med högre upplösning tillgängliga till lägre kostnad, gör att de blir tillgängliga för massmarknaden för applikationer.

Den nuvarande generationen instrumentkluster är så kallad hybrid, som kombinerar mekaniska urtavlor med små digitala inbyggda paneler. Dessa ersätts gradvis med helt digitala paneler, eftersom dessa enheter blir ekonomiskt lönsamma med lämplig kvalitet och prestanda.

Den helt digitala panelen erbjuder flera fördelar jämfört med sin mekaniska föregångare, inklusive dynamisk omkonfigurering för att stödja olika körlägen eller informationspreferenser, och gott om utrymme för framtida fordonsanpassning.

Mjukvaruuppdateringar under fordonets livslängd innebär att skärmapplikationen kan uppgraderas för att erbjuda nya funktioner och funktioner, vilket möjligen öppnar ytterligare intäktsströmmar för fordonstillverkare. En typisk arkitekturstack för ett digitalt kluster visas i figur 1 ovan.

Enkel konsolidering av datadata

En stor skärm, som exemplet i figur 1, kan vara visuellt attraktiv men ger stora utmaningar för den inbäddade programvarudesignern.
När skärmupplösningen ökar krävs en kraftfullare grafikbehandlingsenhet (GPU) för att hålla skärmuppdateringen flimmerfri med tillhörande optimerad drivrutinsprogramvara.

En prestanda på 60 bilder per sekund är allmänt erkänt som det minsta som krävs för att möjliggöra bekväm visning.
Att visa ett brett urval av komplexa grafiska objekt eller videoflöden från olika källor är också en utmaning - hur man framgångsrikt ordnar informationen i en enda bildskärm och möjliggör lämplig partitionering av säkerhetskritiska och så kallade normala data.

Med en allt större tonvikt på säkerhet blir pekskärmsbaserade system mindre attraktiva när det finns en stor mängd visuell data att kommunicera till föraren. Systemkontroller genom rattknappar, gest- och röstkommandon föredras eftersom de minskar distraktion för förare.

Att organisera hela applikationsstacken, från hårdvara till kortstödpaket, operativsystem och HMI-applikationer, involverar vanligtvis bidrag från olika teknikleverantörer.

Säkerhetskritiska arkitekturer

När det gäller den inbäddade arkitekturen måste de säkerhetskritiska elementen i varje design köras på isolerade säkerhetscertifierade operativsystem, med tydlig åtskillnad från ”normalvärldens” funktioner som kan äventyra dem genom störningar.

Fordonstillverkare kommer vanligtvis att begära att ”säkerhetsartiklar” levereras av inbäddade programvaruleverantörer, tillsammans med leveranser av programvara. Dessa artefakter kan innehålla bevis på testning, uttömmande dokumentation om alla driftsätt, inklusive felfunktioner och spårbarhet tillbaka till programvarukraven.

Ju högre ASIL-säkerhetsklassificering, desto strängare validerings- och certifieringsprocess och de resulterande kostnaderna för de inbäddade programvarukomponenterna. För att på ett tillfredsställande sätt möta de strängaste ASIL D-säkerhetskraven krävs en feletolerant design med inbyggd programvara och maskinvaruredundans.

På systemnivå kan detta betyda dubbla anslutningsvägar för signaler, duplicerad maskinvara och felsäkra driftsätt. På den inbäddade programnivån kommer säkerhetsarkitekturen att involvera separata operativsystem, övervakning av processövervakning och varningar som utlöses i händelse av upptäckta avvikelser eller fel.

Konsoliderade ecu

En modern lyxbil kommer sannolikt att innehålla 60 till 100 elektroniska styrenheter (ECU); en mängd olika operativsystem som sträcker sig från enkla schemaläggare; och realtidsoperativsystem (RTOS) till komplexa multifunktionella Linux TM-baserade operativsystem eller liknande inbäddade plattformar som stöder kommunikationsgateways, domänkontrollanter, infotainment och förarinformationssystem.

Trenden att konsolidera funktioner är väl på väg inom fordonsindustrin, och genom att kombinera vissa funktioner kan ledningsvikt och anslutningskomplexitet optimeras. Det kan vara möjligt att eliminera viss ECU-maskinvara, vilket sparar den totala kostnaden och komponentantalet. Programvarans applikationskomplexitet ger en utmaning för testning och certifiering - ju fler rader kod att testa, desto större är risken att du saknar ett användningsfall eller utsätter oväntat beteende.

Tillämpning av sönderdelning på inbäddad programvara gör att säkerhetskritiska komponenter kan köras isolerat, på ett fristående säkerhetscertifierat operativsystem, medan mer komplexa, normala komponenter kan köras på ett komplext operativsystem som Linux TM, som kan vara värd rikt grafikstöd och komplexa applikationer.

Att tillhandahålla säkerhetscertifiering för ett operativsystem innebär att kontrollera alla möjliga svar för en viss uppsättning ingångar. För avancerade operativsystem, som Linux, blir antalet möjliga tillstånd och svar väldigt stort, och det är tidskrävande och kostsamt att uppfylla krävande test- och certifieringsstandarder.

Genom att minska operativsystemets storlek och omfattning blir säkerhetscertifieringsprocessen mer hanterbar och arkitekturer med blandad domän gör att säkerhetscertifierbara operativsystem kan fungera tillsammans med mer komplexa domäner baserade på Linux eller andra multifunktionella operativsystem system.

Applikationer som instrumentklustskärmar måste integreras med fordonskommunikationssystem, överföra data via CAN-, CAN-FD-, FlexRay- och Ethernet-kommunikationsnätverk.

Innehållet av en programvarukommunikationsstack för automatisk systemarkitektur (Autosar) som körs som en separat, säker domän gör att information om fordonets prestanda kan samlas in och skickas till instrumentklustret.

Kombinationen av olika inbäddade domäner, med säkra kommunikationskanaler mellan dem, ger en skalbar blandad säkerhetsplattform som kan möta konsumenternas högpresterande grafiska förväntningar samt säkerhetskritiska krav inom bilindustrin.

Tekniker för informationsdelning

Det finns flera mekanismer för att dela information antingen mellan separata fysiska styrenheter eller inom en enda styrenhet som är värd för flera applikationer som konvergerar till en enda skärm.

Bussarkitekturer med hög bandbredd i nästa generation fordonskonstruktioner gör att video och andra stora grafiska dataobjekt snabbt kan flyttas mellan noder på fordonsbussen.

Dessa mekanismer inkluderar delat minne, tillgängligt från båda applikationerna, en interccess-kommunikationsmekanism (IPC) eller ett säkert meddelandeprotokoll såsom DDS (datadistributionstjänst) eller RPMsg (meddelande om begränsad behörighet).

Ett delat minne-tillvägagångssätt erbjuder hög datahastighet, och är ofta gynnad för grafikbaserade applikationer.

Iögonfallande komplexa skärmar i fordon blir en differentierande försäljningsargument för tillverkare, och nya tekniker behövs för att kombinera 2D / 3D-grafik med säkerhetskritisk information.

Genom att tillämpa nytt tänkande på inbäddade programvaroramar kan säkerhetskritiska och normala världsapplikationer samexistera.

Inbäddade arkitekturer med blandad kritik och kapabla HMI-lösningar har blivit mycket populära bland fordonsdesigners och är skalbara för att möta behoven hos nästa generations - och alltmer autonoma kör - fordon.

Mentor har samarbetat med HMI-leverantören Socionext för att skapa säkerhetscertifierade konsoliderade informationsdisplayer.

Socionexts ISO26262-certifierbara funktionella säkerhetsmodul Candera Safety kan användas för att visa säkerhetskritiskt innehåll enligt Automotive Safety Integrity Level (ASIL) A eller B och ger säker återgivning av andra vägen.

Alla inkluderade komponenter är utvecklade enligt denna standard och Candera möjliggör återgivning av säkerhetskritiskt grafiskt innehåll till ett visualiseringsskikt som är dedikerat till funktionell säkerhet.

Skärmarkitekturen tillåter att säkerhetskritisk applikation körs inom Virtual Address Space (VAS) tillägnad ISO26262 ASIL B-rendering.

Tabell 1: Anslutningsmekanismer för höga datahastighets-ECU: er

Om författaren

Andrew Patterson är affärsutvecklingschef för Mentors inbyggda mjukvarudivision, specialiserad på fordonslösningar (Mentor Automotive)