Ein Ansatz für ein modernes funktionales Sicherheitskonzept

Anbieter zum Thema

VEGA Grieshaber KG

Glatt Ingenieurtechnik GmbH

eschbach

Green Hills Software Ltd

Trends bei Geräten, Einrichtungen und Systemen

Software wird immer mehr zum Unterscheidungsmerkmal eines Produkts. Sie ist oft weniger teuer als Hardware, erlaubt es, mehr Funktionen in einer flexibleren und skalierbaren Weise hinzuzufügen und ist oft die erste sichtbare Benutzerschnittstelle. Im Automotive-Bereich zeigt sich noch ein weiterer Trend: Konsolidierung. In einer Super-ECU werden eine Reihe kleiner ECUs (elek-tronische Steuergeräte) zusammengefasst. Der (sicherheitskritische) Instrumenten-Cluster wird mit dem (nicht-sicherheitsbezogenen) Infotainment-System kombiniert. Beide Trends erfordern leistungsfähige, moderne Multicore-SoCs (System-on-Chip).

In der Vergangenheit konnte nur das komplette System bzw. Gerät zertifiziert werden. Mit den aktuellen Sicherheitsnormen [1], [2] und [3] ist es möglich, eine Komponente wie eine CPU (Hardware) oder ein Echtzeit-Betriebssystem (RTOS, Software) zu zertifizieren. Die ISO 26262 nennt dies ein Safety Element out of Context (SEooC). Der Entwickler der Sicherheitseinrichtung kann sich auf den Bewertungsbericht der gekauften Komponente beziehen und nachweisen, dass das Sicherheitshandbuch des SEooC erfüllt ist.

Die IEC 61508 schreibt Störungsfreiheit in Bezug auf die „Unabhängigkeit der Ausführung“ zwischen Software-Elementen vor, die auf einem einzigen Computersystem gehostet sind. Der Begriff „Unabhängigkeit der Ausführung“ bedeutet, dass Elemente das Ausführungsverhalten anderer Elemente nicht nachteilig beeinflussen, so dass ein potenziell gefährliches Versagen auftreten würde. Die Unabhängigkeit der Ausführung soll sowohl auf räumlicher als auch zeitlicher Ebene erreicht und nachgewiesen werden. All dies kann durch einen zertifizierten Separationskernel erreicht werden, wie etwa das INTEGRITY RTOS von Green Hills Software.

Die Vorteile dieser Trennung sind vielfältig: nicht-kritische und kritische Software-Partitionen können nebeneinander auf dem gleichen System laufen. Damit erübrigt sich die erneute Zertifizierung des Systems/Geräts, wenn nicht-kritische Partitionen aktualisiert werden. Zusätzlich können standardmäßige (nicht zertifizierte) Kommunikations-Stacks (TCP/IP, CAN) aus nicht-kritischen Partitionen betrieben und Daten über einen „grauen Kanal“ an eine Sicherheitsanwendung in einer kritischen Partition übergeben werden. Letztere führt alle erforderlichen Sicherheitsüberprüfungen des verwendeten Sicherheitsprotokolls durch (End-to-End-Schutz vom Sensor bis zum Computer). Damit muss weniger Software zertifiziert werden, was die Entwicklungskosten erheblich verringert, ohne das erforderliche Sicherheitsniveau zu beeinträchtigen.

(ID:44535354)