On-Demand Triple Modular Redundancy for Autonomous Vehicles

Ein aktueller Forschungsschwerpunkt für Automobile ist der Wandel von manuell
gesteuerten Fahrzeugen zu autonomen Fahrzeugen, die keinen menschlichen
Fahrer mehr benötigen. Stattdessen übernehmen Computer die Fahraufgabe,
auch in öffentlichen Bereichen mit anderen Verkehrsteilnehmern.
Dies bringt hohe Safety-Anforderungen mit sich. Zusätzlich verwenden autonome
Fahrzeuge moderne machine-learning basierte Algorithmen, die spezialisierte
System on a Chips (SoC) mit entsprechenden Hardwarebeschleunigern
in Steuergeräten benötigen.

Derartige SoCs existieren bereits für automobile Anwendungen, jedoch verfügen
... mehr
sie nicht über das geforderte Safety Level hinsichtlich zufällig auftretender
Hardwarefehler. Einen Ausweg bietet der Standard ISO 26262 durch sein
Dekompositionsprinzip, welches erlaubt, zwei solche niedrig klassifizierten
Elemente miteinander zu verbinden, sodass sie zusammen das höchste Safety
Level erreichen.

Die vorliegende Dissertation stellt ein neues Konzept vor, welches das Dekompositionsprinzip
verwendet und zwei unabhängige Softwareapplikationen
auf zwei unabhängigen Steuergeräten betreibt. Nach dem Vorbild der
Luftfahrt wird ein Voting Mechanismus vorgestellt, der die Rechenergebnisse
beider Applikationen kontinuierlich vergleicht. Im Falle eines Fehlers, wird die
Applikation auf einem dritten Steuergerät on-demand aktiviert und ausgeführt.
Dies erlaubt die Identifikation des fehlerhaften Steuergeräts sowie die
Rekonfiguration des Systems um uneingeschränkt funktionsfähig zu bleiben.

Im Gegensatz zu aktuellen Konzepten minimiert dieser Vorschlag die Anzahl
der redundanten Komponenten, da es keinen voll ausgebildeten dritten Kanal
zur Fehlererkennung benötigt. Das System wurde auf einem Prüfstand sowie
in einem schweren Nutzfahrzeug getestet und zeigt vielversprechende Ergebnisse
hinsichtlich der Fehlererkennungs- und Rekonfigurationszeit.

One recent focus topic in automotive development is the move from manually
driven vehicles to autonomous vehicles (AV) which no longer require human
intervention. Instead, computers take over the driving task by maneuvering
the AV in public areas what brings exceptional high safety
requirements to the system. Additionally, AVs require the usage of machine
learning algorithms which need specialized Systems on a Chips (SoCs) as processing
units inside automotive Electronic Control Units (ECU).

While those SoCs are already existing, they are limited in their safety level
... mehr
regarding randomly occurring hardware faults. That makes them not suitable
for safety critical applications in standalone operation. However, the functional
safety standard ISO 26262 allows to decompose a desired safety level
by combining two lower rated SoCs to jointly achieve a higher safety level.

This dissertation proposes a novel concept which utilizes the decomposition
principle by operating AV software applications redundantly on two connected
ECUs. Taking avionic architectures as example, the required fault detection
is realized by comparing the output of both applications using distributed
voters. In case of a detected fault the system on-demand executes the
faulty software application on a third generic back-up ECU again. This allows
the identification of the faulty ECU and the reconfiguration of the system to
stay operational.

Contrary to existing solutions the proposed approach minimizes the number
of required redundant components since it does not need a fully populated
third channel as in the traditional triple modular redundancy pattern. The system
was tested on a test bench and in a class 8 long haul truck. It showed
promising worst case fault handling durations of 3.2s, thereby contributing to
the research for safe architectures for AVs.