1 はじめに
最新の ECU には、さまざまな ASIL レベルで機能を実行する、信頼できないソフトウェア コンポーネントと信頼できるソフトウェア コンポーネントで構成される、高度にモジュール化された組み込みソフトウェアが含まれています。この場合、2 つの異なるアプローチがあります
-
ソフトウェア全体は、最高の ASIL に従って開発する必要があります。
-
さまざまな ASIL レベルのソフトウェア コンポーネントを保持し、より高い ASIL レベルのコンポーネントが、より低い ASIL レベルの FFI の要素と干渉しないようにします。(一般的な方法) システムでは、ASIL レベルの異なる複数の機能安全要件を同時に実装する必要がある場合が多く、これらの要件をソフトウェア モジュールに割り当てる場合、下図に示すように、モジュールごとに異なる ASIL レベルを満たす必要があります。
2時間モニタリング
タイミングは組み込みシステムの重要な特性です。安全な動作には、システムの動作と反応が正しい時間内に実行されることが必要です。正しいタイミングは、満たさなければならない一連のタイミング制約によって表現できます。ただし、AUTOSAR ソフトウェア コンポーネント自体は正しいタイミングを保証できません。これは何らかの方法で確保される必要がありますが、もう 1 つの独立したコンポーネントは AUTOSAR WdgM です。ウォッチドッグ マネージャー (WDGM) は AUTOSAR スタックのサービス層に配置されており、図に示すように、ウォッチドッグ サービスは AUTOSAR 層に分散されています。基本的には次のものが含まれます。
ウォッチドッグ マネージャー (サービス層) ウォッチドッグ インターフェイス (ECU 抽象化層) ウォッチドッグ ドライバー (MCAL 層)
ウォッチドッグ マネージャーの役割は、ソフトウェアの実行を監視することです。ソフトウェアの実行中にエラーや欠陥が見つかった場合、WDGM が措置を講じます。SWC は、クライアント/サーバー インターフェイスを使用して、WDGM によって提供されるサービスを使用します。SWC がクライアント、WDGM がサーバー
時限保護と監視は、次のプロパティを監視するものとして説明できます。
-
監視タスクは指定された時間にスケジュールされます。
-
実行時間の予算を消費します。
-
オペレーティング システムのリソースを独占しないでください。(例: CPU 負荷が高い、割り込み要求が多い) ソフトウェア コンポーネント間の干渉の原因として、次のタイミングおよび実行関連の障害が考えられます。
-
実行のブロック
-
デッドロック
-
ライブロック
-
実行時間が正しく割り当てられていない
-
ソフトウェア要素間の同期が正しくありません。
-
実行フローが間違っています。ISO 26262 では、エラー検出のためのソフトウェア安全メカニズムがいくつか導入されています。それは、一時的な保護のための安全メカニズムとして、生存と期限の監視を特定します。また、誤った実行フローのメカニズムとしてフロー監視を制御します。AUTOSAR は、これらのメカニズム/サービスを実装するための便利なソリューション、つまりウォッチドッグ マネージャー WdgM を提供します。
WdgM の主な目的は、SWC の実行とタイミング制約を検証するメカニズムを提供することです。その目的は、周期性と周期的な最大タイミング制約を考慮してアプリケーション実行の信頼性を監視することです。
これらすべてのサービスを提供できる汎用的で拡張可能なモジュールを構築するために、AUTOSAR は WdgM の機能を一般化する新しいスキーマを導入します。これは、監視する対象の名前付きソフトウェア エンティティを「規制エンティティ SE」として宣言します。SE の監視は、SE 内に「API/RTE 呼び出し」というポイントを配置して、目的のイベント (スケジュール、完了など) が発生したかどうかを確認します。これらのポイントはチェックポイントと呼ばれます。
WdgM では、図に示すように、上記のサービスをカバーする 3 種類の監視を提供します。各 SE には独自の一意の識別子とローカル状態があります。WdgM 全体には、グローバル ステートと呼ばれる全体的なステートがあり、監視タイプ、SE 構成に応じて、これらのローカル ステートは、後述するグローバル ステートに影響を与えます。
WdgM は、すべての SE とその構成を含む構造の配列を取得し、これらの構成に基づいて必要な監視を実行し、それに応じてローカル状態を更新します。
WdgM がそのグローバル状態を更新して停止することを決定するまで、ローカル状態はリセットを引き起こしません。これにより、監視のタイプに応じて別のステートマシンが確立されます。以下の図には、リアルタイムの監視対象 SE を監視および評価するためのフローチャートが含まれています。
