Sharing embedded system resources among functions of different safety criticality usually leads to mixed safety and time critical embedded systems. Such mixed critical systems must combine conflicting safety and efficiency requirements and related design processes. The talk starts with an overview on mixed critical system design challenges and explains how different criticalities can be properly separated in function and timing. In multicore architectures, separation is more difficult than in networks due to low level resource sharing. The talk will show the effects and provide solutions addressing multicore and manycore systems. Multicore architectures provide particular advantages for higher levels of criticality where several cores are used for redundancy, from pipelining to task level. Again, research results will be presented that are currently applied in major projects.

In der Consumer Industrie sind bereits heute Multicore Prozessoren "State-Of-The-Art", in den mobilen Geräten ziehen die Multicore Prozessoren gerade ein. Die leistungshungrigen Server-Farmen der Internetfirmen setzten schon lange auf Multicore und zur Verstärkung auf Multi Prozessor Systeme. Die Embedded World, speziell im Bereich sicherheitskritischer Systeme, ist den Schritt auf Multicore Prozessoren noch nicht gegangen da derzeit noch kein Weg zur Zertifizierung unter Nutzung ihrer Möglichkeiten bekannt ist. Hier sind aktuell noch die Single Core Varianten im Einsatz. Eine Leistungssteigerung der Systeme wird durch Verwendung mehrere Prozessoren erreicht. Diese Systeme sind bzgl. Komplexität, und Determinismus heute eingeführt und verstanden. Es muss jedoch davon ausgegangen werden, dass in absehbarer Zukunft keine Single Core Prozessoren mehr erhältlich sein werden. Daher muss ein Weg zur Zertifizierbarkeit für Multicore Prozessoren gefunden werden. Der Vortrag stellt Gemeinsamkeiten und Unterschiede sowie Ideen zur Vorgehensweise in der Zertifizierung von Multi Prozessor Systemen und Multicore Prozessoren dar.

Bei kommerziellen Prozessoren zeichnet sich ein Trend von Single-Core über Multicore hin zu Many-Core Prozessoren ab. Für die Datenverarbeitung in der Raumfahrt ist dies einerseits eine Chance aber auch eine Herausforderung. Die Chance besteht darin, die Rechenleistung an Bord von Satelliten gleich um Faktoren zu erhöhen. Die Herausforderung besteht darin, die geforderte Zuverlässigkeit und Verfügbarkeit in einer extrem schwierigen Umgebung bereitzustellen. Zukünftige Raumfahrtmissionen werden über einen hohen Grad an Autonomie verfügen, d.h. Entscheidungen, die bisher durch Operateure am Boden getroffen werden, werden zukünftig an Bord des Raumfahrzeugs getroffen. Zu diesen Missionen zählen u.a. On-orbit Servicing Missionen und Explorationsmissionen. Beide Arten von Missionen nutzen z.B. bildgebende Sensoren um ihre Umwelt zu erkennen und daraus Handlungssequenzen abzuleiten. Die von z.Z. verfügbaren On-Board Rechnern bereitgestellte Rechenleistung reicht für diese Aufgaben nicht aus. Multi-/Many-Core Prozessoren bieten hier einen Ausweg, da sie die benötigte Rechenleistung bei moderater Erhöhung der Leistungsaufnahme bereitstellen. Ausserdem bieten Multi-/Many-Core CPUs die Möglichkeit einige CPU-Kerne als redundante Einheiten bereitzustellen, die die Aufgaben eines defekten CPU-Kerns ohne grossen Zeitverzug übernehmen können. Auf diese Weise können die hohen Anforderungen bzgl. Zuverlässigkeit in der Raumfahrt erfüllt werden.

The presentation – Safe Integration of Multicores in Real-time Systems – will first introduce the need of the industry for multi-cores architectures. Then, the integration of such multi-cores in modern automotive systems (in the context of the biggest standardization initiative in automotive industry - AUTOSAR) will be discussed. Finally, a short overview of the automotive trends containing Multicores will be mentioned.

Das Design des Echtzeit-Betriebssystem-Schedules für sicherheitskritische Systeme stellt Entwickler vor zwei essentielle Anforderungen: Einerseits Effizienz des entworfenen Schedules und andererseits Zertifizierbarkeit und Absicherung. Die Vereinbarkeit beider Anforderungen wird mit zunehmender Komplexität der Systeme immer schwieriger und bedarf daher eines systematischen Ansatzes. Die Entscheidung für ein Multicore-System vergrößert den Entwurfsraum zusätzlich, da nun die Partitionierung der Software ebenfalls beachtet werden muss. In unserem Beitrag präsentieren wir eine Methodik, mittels der man in heutigen Automotive-Systemen mit AUTOSAR- oder OSEK-Betriebssystemen das Scheduling so aufbauen kann, dass Zertifizierung erleichtert wird, ohne die Effizienz des Systems aus den Augen zu verlieren. Begonnen wird mit bekannten und geprüften Mechanismen (wie RMS - Rate Monotonic Scheduling), die auf Effizienz abzielen. Anschließend werden Mechanismen gezeigt, wie man das System zertifizierbar(er) verändert. Hierbei wird Rücksicht genommen auf spezifische Mechanismen zur Absicherung einzelner HW-OS- Plattformen bzw. das Fehlen solcher (z.B. AUTOSAR Timing Protection). Im Anschluss werden notwendige Erweiterungen der Methodik für Multicore-Systeme diskutiert.

Während Multicore Technologien für non-Safety-Applikationen heute schon beinahe Stand der Technik sind, befindet sich die Industrie bezüglich funktionaler Sicherheit auf Multicore-Prozessoren an einer Grenze zu völligem Neuland. Die 2008er Version der IEC 61508 hat hierzu neue Wege geöffnet, welche einige Anbieter bereits eingeschlagen haben. Was sind die Beweggründe und Vorteile, funktionale Sicherheit auf Multicore-Prozessoren statt wie herkömmlich auf getrennten Prozessoren zu implementieren? Mit welchen Aufwänden und Hürden ist zu rechnen? Welche Fehler können dabei gemacht werden? Der Vortrag zeigt anhand einiger Beispiele, welche technischen Ansätze einige Anbieter bereits gewählt haben und wie der aktuelle Stand dabei ist: • Siemens Fail Safe PLCs • KUKA‘s neue Robotersteuerung KRC4 • Beckhoff TwinCAT3 • Wind River‘s VxWorks, Hypervisor und andere Produkte • KW-Software‘s SAFEPROG/SafeOS Dabei werden auch die mit den neuen Technologien einhergehenden Schlagwörter wie Hypervisor, Time & Space Partitioning, redundante Kanäle, grauer Kanal etc. genauer beleuchtet.

The main goal of the project is the development of a consistent, open, expandable tool platform for automotive engineering. It shall be based on the model driven approach as basic engineering methodology. The specific features of the tool platform are support for multicore systems combined with product line engineering and AUTOSAR® compatibility. The developed tool platform will be distributed under an Eclipse public license.
The tool platform shall be capable to support all aspects of the development cycle. This addresses predominantly the automotive domain but is also applicable to e.g. telecommunication by extensions which deal with such systems in their native environment and integrated in a car. It shall be possible to simulate parallelized systems and give support for the debugging of multicore systems. Configuration tools for product lines and multicore variants shall be included in the tool chain as well. In order to support the critical nature of most of the automotive control units requirements management especially for safety critical aspects shall be possible. The tool chain will include data description tools and editors as well as support for visualization tools, graphical editors and HW-SW co-design. But not only design aspects will be supported but also verification and validation of the systems will be taken into account and support tools for optimal multicore real-time scheduling and formal validation of timing requirements will be provided. In the course of this project not all of the above aspects will be addressed in the same depth. Some will be defined and some will be implemented on a prototype basis. But the basis platform and the overall architecture will be finalized as much as possible.