Influence of transient faults and real-time performance on X-by-wire systems safety
Influence des fautes transitoires et des performances temps réel sur la sûreté des systèmes X-by-Wire
Résumé
Introduction of X-by-Wire embedded systems in automotive is a source of new and specific problems for the respect of dependability requirements. They are implemented without the mechanical redundancy necessary to provide a minimal service in case of dysfunction of the electronic components. These systems are particularly sensible to ECM perturbations, and each transient fault can eventually be the cause of a catastrophic failure. ln this context, the work presented in this document is of methodological order. ln particular, we propose a method for the verification of real-time constraints in nominal mode (non perturbed mode), and a method for quantitative prevision of faults that measures the influence of transient faults due to environ ment and real-time performance on the safety (in term of probability of failure per perturbed zone) of this system. These works have been applied to Steer-by-Wire systems, but evaluation methods proposed in the document are generic. The respect of safety requirement (e.g.: 1.10-9 failure per functioning hour) is th en completed by the evaluation of the behavioral reliability. As this technique gives quantitative results, we can realize a few sensitivity analysis, like, for example, the measurement of the influence of the duration of the communication cycle for TDMA communications, the influence of the diversification in the redundancy of the subsystems, or the influence fault tolerance mechanisms proposed by TTP/C and FlexRay.
L'introduction des systèmes embarqués dans l'automobile à commandes électriques (X-by-Wire) pose des problèmes nouveaux et spécifiques pour la tenue des exigences de sûreté de fonctionnement. En effet, ils sont dépourvus de la redondance mécanique (barre de direction, circuit hydraulique...) capable d'offrir un service minimum en cas de dysfonctionnement important de l'électronique. Ces systèmes largement distribués sont particulièrement sensibles aux perturbations d'ordre électromagnétique, et chaque faute transitoire peut éventuellement être la cause d'une défaillance catastrophique. Dans ce contexte, le travail présenté ici est d'ordre méthodologique. En particulier, nous proposons une méthode de vérification des contraintes temps réel en mode nominal (mode non perturbé), et une méthode de prévision quantitative de fautes (mode perturbé) dont l'objectif est de mesurer l'influence des fautes transitoires liées à l'environnement et des performances temps réel du système sur la sûreté (probabilité d'occurrences de défaillances catastrophiques par zone perturbée) de ce même système. Nos travaux ont été appliqués sur les systèmes de direction Steer-by-Wire, mais les méthodes d'évaluation proposées sont génériques. Pour l'instant, seule des préconisations internes aux entreprises sont ciblées. Ainsi, une exigence dont la garantie devrait être prouvée est, par exemple: la probabilité de défaillance catastrophique doit être inférieure à 1.10-9 par heure de fonctionnement. Grâce à la méthode que nous avons développée, cette garantie sera alors complétée par l'évaluation de la fiabilité comportementale du système. Fournissant des résultats quantitatifs, cette technique permet de réaliser plusieurs études de sensitivité, comme, par exemple, l'influence de la durée du cycle de communication sur un protocole de communication de type TDMA (Time Division Multiple Access), l'influence de la diversification dans la redondance des sous-systèmes, ou encore l'influence d'un mécanisme de tolérance aux fautes proposé par TTP/C et FlexRay.