Cómo controlar la complejidad automotriz
Las 'cabinas de conducción' integradas se están volviendo más importantes para la próxima generación de compradores de automóviles, que desean ver información compartida libremente entre diferentes sistemas dentro del vehículo, y llamar la atención del conductor cuando sea necesario.
En algunos casos, las pantallas tradicionales de grupos de instrumentos independientes y de infoentretenimiento ya se combinan en una sola pantalla grande. En otros, que implican pantallas de visualización múltiples, ya existe la necesidad de compartir información generada desde múltiples fuentes dentro del vehículo, como imágenes de navegación, datos de cámaras, alimentaciones de audio y sensores avanzados de sistemas de asistencia al conductor (ADAS).
Estos requisitos de intercambio de datos han requerido nuevos enfoques de diseño para las plataformas de software incorporadas empleadas, y nuevos enfoques para las pruebas y la aprobación de seguridad.
Pantallas digitales
La mejora continua en la tecnología de pantalla digital, con pantallas de mayor resolución disponibles a un menor costo, significa que están llegando a estar disponibles para el mercado masivo en aplicaciones.
La generación actual de grupos de instrumentos es el llamado híbrido, que combina diales mecánicos con pequeños paneles digitales incorporados. Estos se están reemplazando gradualmente con paneles totalmente digitales, ya que estas unidades se vuelven financieramente viables, con calidad y rendimiento adecuados.
El panel totalmente digital ofrece varias ventajas sobre su predecesor mecánico, incluida la reconfiguración dinámica para admitir diferentes modos de conducción o preferencias de información, y un amplio margen para la futura personalización del vehículo.
Las actualizaciones de software a lo largo de la vida del vehículo significan que la aplicación de pantalla podría actualizarse para ofrecer nuevas funciones y funciones, lo que podría abrir nuevas fuentes de ingresos para los fabricantes de vehículos. En la Figura 1, arriba, se muestra una pila de arquitectura típica para un clúster digital.
Consolidación de datos de pantalla única
Una visualización de pantalla grande, como el ejemplo de la Figura 1, puede ser visualmente atractiva, pero presenta grandes desafíos para el diseñador de software integrado.
A medida que aumenta la resolución de la pantalla, se necesita una unidad de procesamiento de gráficos (GPU) más potente para mantener la actualización de la pantalla sin parpadeo, con el software de controlador optimizado asociado.
Por lo general, se reconoce que el rendimiento de 60 fotogramas por segundo es el mínimo requerido para permitir una visualización cómoda.
Mostrar una amplia selección de objetos gráficos complejos o alimentaciones de video de diferentes fuentes también es un desafío: cómo organizar con éxito la información en una única pantalla y permitir la partición adecuada de los datos críticos de seguridad y los llamados datos del mundo normal.
Con un énfasis cada vez mayor en la seguridad, los sistemas basados en pantalla táctil se vuelven menos atractivos cuando hay una gran cantidad de datos visuales para comunicarse con el conductor. Se prefieren los controles del sistema mediante botones de volante, gestos y comandos de voz, ya que reducen la distracción para los conductores.
La organización de la pila de aplicaciones completa, desde los paquetes de soporte de hardware a la placa, los sistemas operativos y las aplicaciones de interfaz de usuario (HMI) generalmente implica contribuciones de diferentes proveedores de tecnología.
Arquitecturas críticas de seguridad
Cuando se trata de la arquitectura integrada, los elementos críticos para la seguridad de cualquier diseño deben ejecutarse en sistemas operativos certificados de seguridad aislados, con una separación clara de las funciones del "mundo normal" que podrían comprometerlas a través de la interferencia.
Los fabricantes de vehículos normalmente solicitan que los proveedores de software incrustado suministren "artefactos de seguridad", junto con los productos entregables del software. Estos artefactos pueden incluir pruebas de prueba, documentación exhaustiva sobre todos los modos de operación, incluidos los modos de falla, y la rastreabilidad a los requisitos del software.
Cuanto mayor sea la clasificación de seguridad de ASIL, más riguroso será el proceso de validación y certificación y el costo resultante de los componentes de software integrados. Para cumplir adecuadamente los requisitos de seguridad ASIL D más estrictos, se necesita un diseño tolerante a fallas con software incorporado y redundancia de hardware.A nivel de sistema, esto puede significar caminos de conexión duplicados para señales, hardware duplicado y modos de operación a prueba de fallas. En el nivel de software integrado, la arquitectura de seguridad involucrará sistemas operativos separados, monitoreo de procesos, alertas y alertas que se activarán en caso de anomalías o fallas detectadas.
ECU consolidadas
Es probable que un automóvil de lujo moderno contenga entre 60 y 100 unidades de control electrónico (ECU); una variedad de sistemas operativos que van desde simples programadores; y sistemas operativos en tiempo real (RTOS) a través de sistemas operativos basados en Linux TM multifuncionales complejos o plataformas embebidas similares que soportan pasarelas de comunicación, controladores de dominio, infoentretenimiento y sistemas de información de controladores.
La tendencia a consolidar funciones ya está en marcha en la industria automotriz, y al combinar algunas funciones, se puede optimizar el peso del arnés de cables y la complejidad de la conexión. Es posible que se elimine algo del hardware del ECU, lo que reduce el costo total y el conteo de componentes. La complejidad de la aplicación de software plantea un desafío para las pruebas y la certificación: mientras más líneas de código se prueben, mayor es el riesgo de perder un caso de uso o de exponer un comportamiento inesperado.
La aplicación de la descomposición al software integrado permite que los componentes críticos de seguridad se ejecuten de forma aislada, en un sistema operativo independiente certificado por la seguridad, mientras que los componentes más complejos del mundo normal pueden ejecutarse en un sistema operativo complejo como Linux TM, que puede alojar soporte de gráficos enriquecido y aplicaciones complejas.
Para proporcionar la certificación de seguridad para un sistema operativo significa verificar todas las respuestas posibles para cualquier conjunto de entradas dado. Para los sistemas operativos de gama alta, como Linux, el número de estados y respuestas posibles se vuelve muy grande, y el cumplimiento de estrictos estándares de certificación y prueba requiere mucho tiempo y es costoso.
Al reducir el tamaño y el alcance de un sistema operativo, el proceso de certificación de seguridad se vuelve más manejable, y las arquitecturas de dominio mixto permitirán que los sistemas operativos de huella pequeña, certificados por la seguridad operen junto con dominios más complejos basados en Linux u otro funcionamiento multifuncional sistemas
Las aplicaciones como las pantallas de los grupos de instrumentos deben integrarse con los sistemas de comunicación del vehículo, pasando datos a través de las redes de comunicación CAN, FD-CAN, FlexRay y Ethernet.
La inclusión de una pila de comunicaciones de software de arquitectura abierta del automóvil (Autosar) que funciona como un dominio separado y seguro permite que la información de rendimiento del vehículo se recopile y pase al grupo de instrumentos.
La combinación de diferentes dominios integrados con canales de comunicación seguros entre ellos proporciona una plataforma escalable de seguridad mixta que puede cumplir con las altas expectativas de gráficos de alto rendimiento de los consumidores, así como con los requisitos críticos de seguridad de la industria automotriz.
Técnicas para compartir información
Existen varios mecanismos para compartir información entre ECU físicas separadas o dentro de una sola ECU que aloja múltiples aplicaciones que convergen en una única pantalla.
Las arquitecturas de bus de ancho de banda alto en la próxima generación de diseños de vehículos permiten que el video y otros objetos de datos gráficos de gran tamaño se muevan rápidamente entre los nodos del bus del vehículo.
Estos mecanismos incluyen memoria compartida, accesible desde ambas aplicaciones, un mecanismo de comunicación entre procesos (IPC) o un protocolo de mensaje seguro como DDS (servicio de distribución de datos) o RPMsg (mensaje de permiso restringido).
Un enfoque de memoria compartida ofrece un alto rendimiento de tasa de datos, y a menudo se favorece para las aplicaciones basadas en gráficos.
Las pantallas complejas llamativas en los vehículos se están convirtiendo en un punto de venta diferenciador para los fabricantes, y se necesitan nuevas técnicas para combinar gráficos 2D / 3D con información crítica de seguridad.
La aplicación de un nuevo pensamiento a los marcos de software integrados permite la coexistencia de aplicaciones mundiales críticas y de seguridad.
Las arquitecturas integradas de criticalidad mixta con soluciones HMI capaces se han vuelto muy populares entre los diseñadores automotrices y son escalables para satisfacer las necesidades de la próxima generación, y de los vehículos de conducción cada vez más autónomos.Mentor ha colaborado con el proveedor de HMI Socionext para crear pantallas de información consolidadas certificadas por seguridad.
El módulo de seguridad funcional certificable ISO26262 de Socionext Candera Safety se puede usar para mostrar contenido crítico de seguridad de acuerdo con el Nivel de Integridad de Seguridad Automotriz (ASIL) A o B y proporciona una representación segura de segundo camino.
Todos los componentes incluidos se desarrollan siguiendo este estándar y Candera permite la representación de contenido gráfico crítico de seguridad en una capa de visualización dedicada a la seguridad funcional.
La arquitectura de visualización permite ejecutar la aplicación de seguridad crítica dentro del Espacio de direcciones virtuales (VAS) dedicado a la representación ISO26262 ASIL B.
Tabla 1: Mecanismos de conexión para ECU de alta velocidad de datos
Sobre el Autor
Andrew Patterson es director de desarrollo comercial de la división de software integrado de Mentor, especializada en soluciones automotrices (Mentor Automotive)
