VOSySmcs - Produit logiciel pour les systèmes automobile à criticité mixte

Co-exécution d'un Tableau de Bord Digital et un Système d'Info-divertissement sur Renesas R-Car H3 Salvator-XS - Renesas R-Car Consortium Forum, Tokyo 2018

VOSySmcs est un produit développé par Virtual Open Systems, qui a pour objectif de fournir une architecture logicielle complète pour les prochaines générations de tableaux de bord digitaux, intégrant le système d'info-divertissement (IVI), l'unité de contrôle de l'habitacle et le tableau de bord numérique sur une seul plateforme afin de réduire la complexité et le coup des unités de commande électronique (ECU). L'architecture ouverte de VOSySmcs rompt avec les pratiques habituelles, propriétaires et fermées. Cela permet de réduire les coûts de certification liés aux exigences de le norme ISO 26262 pour les applications critiques dédiées à la sûreté. VOSySmcs est basé sur un composant clé VOSySmonitor, un partitionneur système certifié ISO 26262 (ASIL-C) qui fournit une approche de sécurité globale pour isoler le domaine critique du domaine non-critique en s'appuyant sur ARM TrustZone.

VOSySmcs sur Renesas R-Car H3 Salvator-XS

Cette vidéo montre un exemple d'utilisation de VOSySmcs, où un système d'info-divertissement et un tableau de bord numérique avec plusieurs écrans de contrôle, sont exécutés sur une Renesas R-Car H3 Salvator-XS. VOSySmcs permet l'intégration d'informations non-critiques et critiques sur un même écran, tout en garantissant l'affichage de la sortie vidéo critique. Ceci est réalisé par le composant clé : VOSYSmonitor, qui assure une isolation complète de la partition dédiée à la sûreté. Cette partition est en charge du contrôle de l'affichage de témoins numériques lorsque le message de diagnostic reçu via l'interface CAN signale une erreur. En parallèle, un hyperviseur open-source (i.e., Linux-KVM) s'exécute sur VOSYSmonitor pour fournir un environnement virtualisé pour le domaine non-critique.

• Support du bus CAN : un driver CAN a été ajouté à FreeRTOS pour permettre la réception de messages CAN (diagnostique du véhicule, clignotants, vitesse etc.) depuis un composant externe connecté au bus CAN. FreeRTOS exécute ensuite l'action correspondant au message reçu (affichage des voyants, d'un clignotant, partage de la vitesse avec Linux, etc.).
• Tableau de bord numérique: Un tableau de bord numérique (basée sur Qt avec accélération 3D ) s'exécute dans Linux. La vitesse est d'abord reçue par l'interface CAN dans FreeRTOS, puis celle-ci est transférée à Linux à travers VOSySVirtualNet permettant ainsi l'affichage de la vitesse par l'application Qt.
• Écran partagé sécurisé: Linux et FreeRTOS peuvent être affichés simultanément sur le même écran. En effet, FreeRTOS est capable de déterminer la composition finale de l'affichage sur l'écran puisqu'il contrôle l’initialisation des périphériques liés au graphique (HDMI, VGA, etc.). Linux, quant à lui, stocke ses trames dans une mémoire tampon qui se superposent à l'affichage effectué par FreeRTOS. Une telle solution garantie que les informations liées au système critique (FreeRTOS) sont affichées à l'écran même si une erreur survient dans Linux.
• Voyants numériques: Le support graphique a été ajouté à FreeRTOS afin d'afficher les voyants numériques liés à la sûreté (ceinture de sécurité, température du moteur etc.) sans être impacté par le domaine non-critique. Lorsque un message est reçu sur l'interface CAN, FreeRTOS peut afficher le voyant associé sans risque d'interférence de la part du domaine non-critique.
• Chauffage, ventilation, climatisation (CVC): Une machine virtuelle (Linux-KVM), faisant office de web-serveur, contient une application Web permettant de gérer les paramètre du CVC. En accédant à cette application, l'utilisateur peut contrôler la vitesse des ventilateurs. Pour que cela fonctionne, la machine virtuelle restitue la commande à FreeRTOS par l'intermédiaire de VOSYSmonitor (service SMC).
• Gestion des crashs de Linux: VOSYSmonitor surveille l'exécution du Normal World afin de pouvoir détecter d'éventuelle anomalies et le redémarrer si nécessaire. Ces opérations s'opèrent sans introduire de perturbation sur le système d'exploitation temps-réel, qui est isolé dans le Secure World.