Sicherer steuern

Die Zahl elektronischer Fahrzeugkomponenten nimmt rapide zu. Damit die Bordelektronik trotz der überbordenden Fülle an Software und zunehmender Komplexität auch künftig funktioniert, muss sie runderneuert und noch sicherer werden. Wie das geht, zeigen Fraunhofer-Experten auf der Internationalen Automobilausstellung IAA in Frankfurt am Main (13. – 23. September, zusätzliche Pressetage 11.- 12. September, Halle 1.1. Stand A19).

Abstandshalter, Bremsassistent, Einparkhilfe: Moderne Autos haben zweifellos einige Finessen zu bieten. Beim Anblick eines Neuwagens vermutet man Hightech aus einem Guss. Doch der Schein trügt. Unter der Motorhaube herrscht ein buntes Durcheinander. Rund 100 Mikroprozessoren steuern Assistenzfunktionen wie ABS, ESP oder den Scheinwerfer, der um die Ecke leuchtet. Fast ebenso viele Steuergeräte senden ihre Befehle an Einspritzsysteme, die Airbags und andere Funktionsmodule. Komponenten verschiedener Hersteller tummeln sich in der Karosserie. Für die Fahrzeugentwickler ist es eine Herkulesaufgabe, all die unterschiedlichen Systeme zu einem funktionstüchtigen Ganzen zusammenzufügen, denn jedes Steuergerät hat eine individuelle Software an Bord. Für die kommenden vier Jahre erwarten Experten eine weitere Zunahme des Software-Volumens in Neufahrzeugen um bis zu 300 Prozent. Schon länger möchten Autohersteller und Zulieferer Ordnung in diese Vielfalt bringen.

Das Fraunhofer-Institut für Software und Systemtechnik ISST in Berlin engagiert sich im Auftrag der BMW Group in der internationalen Entwicklungspartnerschaft AUTOSAR (Automotive Open System Architecture). Der Partnerschaft gehören alle namhaften Automobilhersteller und Zulieferer an. Das Ziel von AUTOSAR ist es, den Software-Ballast im Auto zu entschlacken und handhabbarer zu gestalten. Die Idee: Fahrzeugfunktionen sollen zuerst plattformunabhängig beschrieben und miteinander gekoppelt werden. Erst in einem weiteren Schritt werden diese Funktionen dann auf die vorhandenen Steuergeräte des Fahrzeugs verteilt. Im Anschluss muss die ebenfalls standardisierte Infrastruktursoftware noch „feinjustiert“ werden. Die eigentliche Informationsverarbeitung aber findet auf dem übergeordneten AUTOSAR-„Virtual Functional Bus“ statt. Diese Herangehensweise bedeutet eine enorme Vereinfachung und zeigt einen Weg auf, das wachsende Software-Durcheinander zu strukturieren.

„AUTOSAR bietet den Integratoren von Software im Automobilbereich endlich das, was Entwicklern in anderen Bereichen seit Jahrzehnten in Form von standardisierten Entwicklungsbibliotheken zur Verfügung steht“, sagt Markus Hardt, Abteilungsleiter für Verlässliche technische Systeme am ISST. Doch bevor AUTOSAR im Auto der Zukunft auf Reisen geht, muss getestet werden, ob es tatsächlich stabil funktioniert. Zusammen mit seinen Kollegen entwickelt Markus Hardt dafür die „aXBench“, eine Testplattform, die die Arbeitsweise der AUTOSAR-Architektur simuliert und Vorschläge für eine optimierte Funktionsverteilung liefert. Die Funktion von Steuergeräten, der flinke Datentransport zwischen Middleware und Empfänger und sogar wirklichkeitsgetreue Details wie die Reaktionszeiten von Hardware und Software lassen sich mit der „aXBench“ nachahmen und bewerten. Das ISST wird die ersten Bausteine dieser Toolkette in Frankfurt vorstellen und zeigen, wie man AUTOSAR-Architekturen auf ihre Funktionstüchtigkeit überprüft.

Dieses Vorgehen wird dazu beitragen, das Software-Dickicht im Auto zu lichten. Doch entscheidend für die Funktionstüchtigkeit der gesamten Informations-Infrastruktur ist letztlich, dass alle Software-Bausteine sicher funktionieren. Der Neustart einer abgestürzten Fahrzeug-Software bei 180 km/h Reisegeschwindigkeit ist schlichtweg unmöglich. Und eine elektronisch geregelte Bremse muss unter allen Umständen aktivierbar sein. Bevor eine Steuerungs-Software im Auto verbaut wird, muss sie also auf Zuverlässigkeit getestet werden. Entsprechende Prüfmethoden zeigen Forscher vom Fraunhofer-Institut für Experimentelles Software Engineering IESE aus Kaiserslautern mit einem Modellfahrzeug im Maßstab 1:5. Das Auto ist zwar deutlich kleiner als das Original, verfügt aber über einen adäquaten Verbrennungsmotor und authentische Steuerungssoftware – damit lassen sich sogar Räder wie beim echten Schlingerschutz ESP einzeln abbremsen.

„Mit unseren Prüfmethoden kontrollieren wir, ob ein System tatsächlich sicher ist“, sagt Ralf Kalmar, Geschäftsbereichsleiter am IESE. „Wir versuchen die Frage zu beantworten, wie man Software so entwickeln kann, dass keine Fehler auftreten – trotz der wachsenden Zahl an Steuergeräten und der Zunahme der Datenmenge.“ Die Wissenschaftler untersuchen dafür nicht nur die eigentliche Software, sondern führen eine detaillierte Risikoanalyse durch. Wann tritt eine Gefährdungssituation auf? Was wäre die Konsequenz? Die Forscher beantworten damit die zentrale Frage, wie gut eine Software sein muss, um Gefahren abzuwenden. Das ist beispielsweise durch eine konstruktive Veränderung möglich, mit der ein Sensorausfall kompensiert wird. Darüber hinaus benutzen die Forscher Methoden der Wahrscheinlichkeitsrechnung. Mit probabilistischen Modellen bestimmen sie, wie wahrscheinlich es ist, dass das Ereignis eintritt – das kann ein primitiver Softwarefehler sein oder etwas sehr Gefährliches wie ein aus dem Ruder laufendes ESP-System, das ein Rad blockiert. Entsprechend wird dann die Software ausgelegt – manchmal sogar mit redundanten Sicherheitsstrukturen.

Die Wissenschaftler am IESE und ihre Kollegen am Fraunhofer-Institut Techno- und Wirtschaftsmathematik ITWM bündeln ihre Kompetenzen im „Innovationscluster Nutzfahrzeugtechnologie“. Moderne Lastkraftwagen oder große Landmaschinen wie etwa Mähdrescher sind häufig noch komplexer als Pkw. Die Sicherheitsprüfung der Steuerungs-Software hat dort ebenfalls einen hohen Stellenwert.