<ul><li>Prozessortechnik im Fokus: Fahrzeugarchitekturen weiterentwickeln</li><li>Flash-Speicher im Fokus von Safety und Security: Sicherheitsrisiken erkennen und beseitigen</li><li>Test von Batterie-Sicherheitseinrichtungen: Hohe Anforderungen an das Equipment</li><li>Interview: »Wir müssen uns dem Thema Nachhaltigkeit ernsthaft stellen«</li></ul>

European Chips Act – das richtige Signal?

Volkswagen will nach Ostern die meisten Nachtschichten im Wolfsburger Stammwerk streichen. Grund ist der Halbleitermangel, der insbesondere in der Automobilindustrie zu erheblichen Versorgungsengpässen und damit verbunden zu Produktionspausen führt(e).

Volkswagen will nach Ostern die meisten Nachtschichten im Wolfsburger Stammwerk streichen. Grund ist der Halbleitermangel.

Ohne Halbleiter also keine Neuwagen. Auch keine Mobiltelefone, Smart Watches, Waschmaschinen, Fernseher, Playstations, medizinische Geräte und vieles mehr. Derartige Schocks für die Wirtschaft will die EU-Kommission zukünftig vermeiden. Mit dem European Chips Act plant sie nun, die Entwicklung und Produktion von Halbleitern in Europa erheblich auszubauen und somit Abhängigkeiten von Asien und Nordamerika zu minimieren. Konkret soll der europäische Weltmarktanteil an Halbleitern bis 2030 von weniger als zehn auf 20 Prozent steigen.

Dafür wollen EU-Kommission und Mitgliedstaaten in den nächsten acht Jahren elf Milliarden Euro bereitstellen. Zusätzlich zu den rund 30 Milliarden Euro, die für den Ausbau der Chipfertigung geplant sind. Die Hilfen haben allerdings ihren Preis. So sollen in Zukunft die Zulieferketten überwacht werden. Sollte es zu einer erneuten Chipknappheit kommen, kann die EU-Kommission Exportbeschränkungen verhängen. Dann müssten sich europäische Hersteller, die Halbleiterausfuhr in andere Kontinente genehmigen lassen.

Mit diesen Ausfuhrkontrollen und den Subventionsregeln ist der European Chips Act nicht unumstritten. Zum einen möchte niemand einen Wettkampf um Subventionen innerhalb der europäischen Staaten. Zum anderen erhält die EU – zumindest mit dem jetzigen Regulierungsentwurf – erhebliche Eingriffsmöglichkeiten und darf zukünftig Halbleiterkrisen ausrufen. Das heißt, das Marktgeschehen wird unter Umständen von Personen beurteilt, die über kein tiefgehendes Wissen der jeweiligen Branche verfügen.

Zudem ist es wichtig, den Bedarf der breiten Masse in der Industrie zu berücksichtigen, insbesondere in Hinsicht auf die Strukturbreite der Chips. „Mit dem European Chips Act legt die Europäische Kommission ein zukunftsweisendes, umfassendes Paket für die Halbleiterbranche vor. Es ist richtig, jetzt das gesamte Halbleiter-Ökosystem in Europa nachhaltig zu fördern“, freut sich zwar zum Beispiel Wolfgang Weber, Vorsitzender der ZVEI-Geschäftsführung, gibt aber zu bedenken: „Allerdings ist der Fokus auf Strukturgrößen unter zehn Nanometer zu eng gewählt und geht am Bedarf der europäischen Abnehmerindustrie vorbei. Europa muss seine Kompetenz in allen Strukturgrößen stärken, so sind auch Leistungselektronik und Sensorik entscheidend für das Gelingen der grünen und digitalen Transformation.“

Trotz der berechtigten kritischen Stimmen wird der Chips Act vermehrt als positiv empfunden. Denn Europa muss nicht nur Fertigungen hochziehen, sondern auch Kompetenzen (wieder) aufbauen und junge Menschen für die Mikroelektronik begeistern. Und da dürfte der European Chips Act ein wichtiges Signal sein.

Stefanie Eckardt, Chefredakteurin <a href="mailto:stefanie.eckardt@hanser.de">stefanie.eckardt@hanser.de</a>

16:9

Editorial - Hauptartikel

Die Konsolidierung von Steuergeräten und die Entwicklung von Fahrzeug- hin zu Domain- und Zonal-Architekturen schreiten voran. Das macht die Integration von mehr Rechenleistung, Speicher und Netzwerkbandbreite nötig, um Software-definierte Fahrzeuge zu unterstützen.

Die Konsolidierung von Steuergeräten und die Entwicklung von Fahrzeug- hin  zu Domain- und Zonal-Architekturen schreiten voran. Das macht die Integration von mehr Rechenleistung, Speicher und Netzwerkbandbreite nötig, um Software-definierte Fahrzeuge zu unterstützen. Hierfür hat NXP die S32G-Netzwerkprozessor-Serie entwickelt.

Automobilhersteller (OEMs) stehen bei komplexen Fahrzeugarchitekturen vor großen Herausforderungen. Moderne High-End-Fahrzeuge verfügen teilweise über mehr als 100 Prozessoren, die alle ihre eigenen Netzwerk- und Vernetzungsanforderungen mit Kombinationen aus CAN, LIN, Flexray, Ethernet und Gigabit-Ethernet haben. All diese Vernetzungen erfordern kilometerlange Kabel im Inneren des Fahrzeugs. Die Folge: Ein enorm komplexer Kabelbaum, der kostspielig ist und schnell so viel wiegen kann, wie zwei Passagiere. OEMs müssen entsprechend die Topologie der Fahrzeugarchitekturen vereinfachen, um Kosten zu reduzieren. Gleichzeitig streben sie immer schnellere Innovationszyklen an, damit Fahrzeuge sich weg von einem Hardware-zentrierten und hin zu einem Software-definierten Ansatz entwickeln. Statt sich auf aufeinander aufbauende elektronische Steuergeräte mit festen Funktionen zu stützen, können OEMs mit dem Software-definierten Ansatz flexibel intelligente und aufrüstbare Fahrzeuge für die Zukunft entwickeln.

Der Weg zu domänen- und zonenbasierten Architekturen

 Um diese Herausforderungen zu meistern und ihre Ziele zu erreichen, gehen Automobilhersteller weltweit zu neuen Architekturen über, die Steuergerätefunktionen in leistungsfähigeren Multicore-Prozessoren konsolidieren, die Software-Isolierung und Aufrüstbarkeit unterstützen. Diese Konsolidierung erfolgt sowohl logisch als auch physikalisch, und in einigen Fällen mit einer Kombination aus beiden Ansätzen in derselben elektrischen und elektronischen (E/E) Fahrzeugarchitektur. Bei der logischen Konsolidierung werden die Funktionen in Domänen organisiert, während bei der physischen Konsolidierung die Funktionen auf Grundlage ihrer Position im Fahrzeug in Zonen eingeteilt werden.

Eine logische Konsolidierung findet in den Funktionsbereichen Fahrzeugdynamik, Fahrzeugvernetzung sowie Karosserie und Komfort statt. Der Bereich Fahrzeugdynamik organisiert alle Funktionen rund um die Fortbewegung eines Autos und umfasst den Antriebsstrang, die Bremsen, die Lenkung, die Aufhängung und das Fahrwerksmanagement. Mit dem raschen Übergang zu Elektrofahrzeugen (EVs) übernimmt diese Domäne das komplexe Batterie- und Energiemanagement und steuert die Wechselrichter der Elektromotoren. Durch die Konsolidierung dieser Funktionen entstehen neue Antriebs-Domänencontroller. Der Bereich Fahrzeugvernetzung verwaltet den Datenfluss im Fahrzeug sicher als zentrales Gateway mit Konnektivität zur Cloud und bietet eine zentralisiertere Rechenleistung für die verschiedenen Fahrzeugdienste. Die Konsolidierung dieser Funktionseinheit führt zu leistungsfähigeren Service-orientierten Gateways. Der dritte Bereich ist Karosserie und Komfort, damit ist die weitgefasste Schnittstelle zwischen Fahrzeug und Passagieren gemeint: Dazu gehören Aufprallerkennung, Airbags, Motorsteuerung, Pumpen und Schalter, Heizung, Lüftung, Klimatechnik (Heating, Ventilation and Air Conditioning, HVAC) sowie Innen- und Außenbeleuchtung. Die Konsolidierung dieser Funktionen führt zu Body-Domain-Controllern.

Die physische Konsolidierung in Zonen wird in der Regel als zonale Steuereinheiten an den vier Ecken des Fahrzeugs umgesetzt, die bereichsübergreifende Funktionen bereitstellen. Jede Ecke wird über ein redundantes Ethernet-Backbone mit einem zentralen Fahrzeugcomputer verbunden, der Fahrzeugdienste und die Fahrzeugsteuerung gebündelt verwaltet. Die zonalen Steuereinheiten können eine Kombination aus Echtzeit- und Anwendungsverarbeitung nötig machen, um erforderliche bereichsübergreifende Funktionen wie Beleuchtung, Sensorhandling (Reifen, Radar, Bildgebung, usw.), Aufhängung, Wechselrichtersteuerung, Bremsen oder Lenkung innerhalb einer Zone des Fahrzeugs bereitzustellen. Zonale Steuereinheiten benötigen in der Regel mehr Multicore-Echtzeitverarbeitung, während der Fahrzeugcomputer, der die einzelnen Zonen verwaltet, mehr Multicore-Anwendungsverarbeitung voraussetzt. Allerdings kann je nach OEM-Ansatz auch eine Kombination aus Echtzeit- und Anwendungskernen zum Einsatz kommen.

Um die Vorteile der neuen Fahrzeugarchitekturen nutzen zu können, müssen Automobilhersteller auf Modularität und Flexibilität achten. Ein modularer Aufbau schafft Gemeinsamkeiten zwischen Systemelementen, indem dieselbe Hardware für verschiedene Aufgaben verwendet und der Betrieb durch die Software definiert wird. Mithilfe einer flexiblen Systemgestaltung können die Fahrzeugsysteme im Laufe der Zeit durch Software-Aktualisierungen über Funkschnittstellen (Over-the-Air-Updates, OTA) aktualisiert werden, um SoftwareFehler zu beheben, Fahrzeugfunktionen zu verbessern oder neue Funktionen hinzuzufügen. Dank konsolidierter, Software-definierter Steuergeräte, die im Laufe der Zeit aktualisierbar sind, können Automobilhersteller ihre Fahrzeuge effektiver unterstützen.

Unabhängig vom architektonischen Ansatz – Domäne, Zonal oder eine Mischung aus beidem – ist die wichtigste Erkenntnis, dass zukünftige Fahrzeug-E/E-Architekturen grundsätzlich neue Fahrzeugprozessoren erforderlich machen. Fahrzeugprozessoren müssen Multicore-Echtzeit- und -Anwendungsverarbeitung unterstützen, um mehrere physische Steuergeräte in Software-integrierte virtuelle Steuergeräte umzuwandeln. Virtuelle Steuergeräte können im Zuge der Umstellung von Hardware-zentrierten hin zu Software-definierten Fahrzeugen leichter aufgerüstet werden. NXP erkannte vor fünf Jahren, dass die Entwicklung der Software- und Netzwerkanforderungen die traditionellen Mikrocontroller (MCUs) überholen wird, und reagierte darauf mit der Entwicklung der S32-Fahrzeugnetzwerkplattform (Bild 1), um diese Herausforderung zu meistern.

Konsolidierung mithilfe der S32G-Fahrzeugprozessoren

Als Teil der S32-Plattform von NXP bietet die S32G-Prozessorfamilie eine konsistente und skalierbare Architektur (Bild 2), die eine Konsolidierung der Verarbeitung in Fahrzeugen möglich macht. Die S32G-Prozessoren unterstützen unter anderem Service-orientierte Gateways, Domain-Controller, Sicherheitsprozessoren und Fahrzeugcomputer durch Pin-kompatible Chips, die von einem Multicore-Mikrocontroller bis zu einer Kombination aus Multicore-Mikrocontrollern und Mikroprozessoren (MPU) reichen. Auf den Prozessoren können mehrere parallele Anwendungen durch Hardware-Isolierung laufen. Das heißt, dass jeder Prozessorkern auf dem Chip nur auf seinen eigenen Hardware-geschützten Speicher und seine Peripherie zugreifen kann, aber auch über einen effizienten Mechanismus zur gemeinsamen Nutzung von Daten mit anderen Prozessorkernen verfügt.

Die S32G-Prozessoren kombinieren sichere Echtzeit- und Anwendungsverarbeitung mit eingebetteter Hardware-Sicherheit, Netzwerkbeschleunigung und heterogenen Fahrzeugnetzwerkschnittstellen. Zur S32G-Familie gehören leistungsstarke Multi-Core Arm MCU- und MPU-Prozessoren mit anwendungsspezifischen Hardware-Beschleunigern, die die Prozessoren entlasten. Dadurch können wertvolle Dienste mit deterministischer Netzwerkleistung bereitgestellt werden, die vom Automobilhersteller für die komplexe Echtzeitumgebung des modernen Fahrzeugs benötigt werden. Die Prozessoren verfügen über eine eingebettete, hochleistungsfähige Hardware-Sicherheitsarchitektur zusammen mit Public-Key-Infrastructure-Unterstützung ((PKI) für vertrauenswürdige Schlüsselverwaltung. Die Public Key Infrastructure basiert auf einer Hardware Security Engine (HSE). Die mit einer Firewall ausgestattete HSE ist die Root of Trust, die einen sicheren Systemstart unterstützt, Systemsicherheitsdienste bereitstellt und vor Seitenkanalangriffen schützt.

Die Prozessoren (Bild 3) sind für ASIL D vorgesehen und verfügen über Lock-Step Arm Cortex-M7-Mikrocontrollerkerne und die Möglichkeit, Cluster von Arm Cortex-A53-Anwendungskernen im Lockstep-Modus arbeiten zu lassen. Dadurch unterstützt die Fahrzeugsicherheit neue Leistungsniveaus mit High-Level-Betriebssystemen und größerer Speicherunterstützung.

Die Relevanz einer skalierbaren Verarbeitungsleistung hat sich bei der beliebten S32G2-Serie gezeigt, die aus vier kompatiblen Bausteinen besteht. Die Produktion der S32G2-Serie startete im zweiten Quartal 2021, nachdem Automobilhersteller sie in verschiedenen Schlüsselbereichen des Fahrzeugs mit unterschiedlichen Verarbeitungsanforderungen einsetzten. Für konsolidierte Echtzeitanwendungen ist der S32G234M mit drei Dual-Core-Lockstep-Cortex-M7-Kernen verfügbar. Für Anwendungen, die neben der Echtzeitverarbeitung auch eine Anwendungsverarbeitung erfordern, bieten der S32G233A, der S32G254A und der S32G274A mit bis zu vier Cortex-A53-Kernen ein höheres Leistungsniveau für die Konsolidierung von Fahrzeuganwendungen und -diensten.

Den Weg für Software-definierte Fahrzeuge ebnen

Die Umstellung auf Software-definierte Fahrzeuge erfordert schnellere und leistungsfähigere Prozessoren. NXP hat für diesen Zweck die S32G-Familie mit der Einführung der S32G3-Serie um vier erste Bausteine erweitert, die mehr Leistung, Speicher und Netzwerkkapazitäten bieten. Diese Bausteine sind Software- und Pin-kompatibel mit der S32G2-Serie und bieten 1,33-mal mehr Echtzeitverarbeitung, 2,6-mal mehr Anwendungsverarbeitung, 2,5-mal mehr Ethernet-Bandbreite auf zwei Ports, 2-mal mehr Isolationsdomänen, 2-mal mehr L2-Cache und 2,5-mal mehr On-Chip-Speicher als der derzeit leistungsstärkste S32G2-Baustein. Die S32G-Familie verfügt jetzt über eine breite Palette von acht kompatiblen Prozessoren, die eine große Bandbreite an Verarbeitungsaufgaben abdecken. Durch die Kompatibilität mit dem Footprint können Autobauer eine Konsolidierungsplattform entwerfen, die mit der erforderlichen Modularität und Flexibilität für die neuen Fahrzeug-E/E-Architekturen skaliert werden kann. Die S32G3-Serie hilft Entwicklern, eine weiterführende Steuergerätekonsolidierung zu realisieren und virtuelle Steuergeräte für Software-definierte Fahrzeuge zu unterstützen.

Zukünftige Fahrzeugarchitekturen in Angriff nehmen

Das S32G-Prozessorportfolio unterstützt den Übergang von konventionellen Fahrzeugarchitekturen zu Domänen- und Zonenarchitekturen. So lassen sich Software-definierte Fahrzeuge realisieren. Durch das skalierbare Portfolio mit Software-, Gehäuse- und Pinout-Kompatibilität bietet die S32G-Familie viele Möglichkeiten zur Wiederverwendung. Außerdem ist mit den Fahrzeugprozessoren eine flexible Entwicklung der Software möglich und eine freiere Platzierung der Anwendungen an verschiedenen Stellen des Fahrzeugs.

Das unterstützende S32G-Evaluierungsboard, das Referenzdesign und die GoldBox ermöglichen Plattformlösungen in Kombination mit einer breiten Palette von Aktivierungs-Software und GoldVIP, der Fahrzeugintegrationsplattform, für eine schnelle Entwicklung vernetzter Gateways. Diese Plattformlösungen beschleunigen die Evaluierung, die Entwicklung, den Proof-of-Concept und die Markteinführung beim Kunden. Darüber hinaus verfügt NXP über ein breit gefächertes und wachsendes Ökosystem von Partnern, die Betriebssysteme, Virtualisierung, Ausführungsumgebungen, Anwendungssoftware, Boards, Software-Tools, Engineering Services, Deep-Dive-Schulungen und Cloud-Services anbieten. (eck)

Brian Carlson ist Global Marketing Director Vehicle Control und Networking Solutions bei NXP Semiconductors.

Bild 1: Der S32G Fahrzeugnetzwerk-Prozessor lässt sich in diversen Automotive-Anwendungen einsetzen.

Bild 2: Die Skalierbarkeit der Prozessorfamilie ermöglicht eine Konsolidierung der Verarbeitung in Fahrzeugen. 

Bild 3: Die Prozessoren verfügen über Lock-Step-Arm-Cortex-M7-Mikrocontroller-Kerne und die Möglichkeit, Cluster von Arm-Cortex-A53-Anwendungskernen im Lockstep-Modus arbeiten zu lassen.

 Brian Carlson ist Global Marketing Director Vehicle Control und  Networking Solutions bei NXP  Semiconductors.

Automobilhersteller nutzen die logische oder physikalische Konsolidierung – oder eine Kombination aus beidem – auf dem Weg zum Software-definierten Fahrzeug.

Safety / Security

Elektronik

Kfz-Elektronik

Elektromobilität

Mobilität

Elektronische Bauelemente

Connectivity (Bussysteme, Telekommunikation, 4G / 5G, WLAN)

Test, Zuverlässigkeit und Sicherheit für Automobil-ICs realisieren

Um die Herausforderungen zu bewältigen, die durch Entwicklung und Einsatz von Elektronik im Fahrzeug entstehen, müssen nicht nur Lösungen auf dem Chip für Test und Zuverlässigkeit gefunden werden, sondern auch für die Implementierung von Sicherheits-IP-Blöcken und die Auswertung von Chip-Daten.

Der alte Ausspruch „May you live in interesting Times“ bedeutet zugleich Segen und Fluch – und die Hersteller von Halbleitern im Automotive-Bereich leben wahrlich in interessanten Zeiten. In diesem Fall jedoch stellt die Komplexität, also der Fluch, gleichermaßen ein Segen, nämlich einen Wettbewerbsvorteil dar, so lange man Herausforderungen wie Test, Zuverlässigkeit und Datensicherheit meistern kann. Tessent als Teil der Siemens Digital Industries Software bietet eine Lösung, um die neuen Anforderungen an ICs im Automobil-Bereich zu bewältigen: Tessent Safety Island.

 Herausforderungen an ICs  im Automobilsektor

System-on-Chips (SoCs) für den Automotive-Bereich sind größer und komplexer als jemals zuvor und müssen konform zu Industrie-Standards wie der ISO 26262 sein, was Auswirkungen auf die Hardware- und Software-Entwicklung hat. Um die funktionale Sicherheit im SoC und im System sicherzustellen, ist es wichtig, das richtige Maß an Übereinstimmung mit dem Standard zu verwirklichen. Diese Stufen werden als Automotive Safety Integrity Level (ASIL) bezeichnet und reichen von A bis D. Wenn ein System für ASIL-Stufe D entwickelt wird, ist es möglich, dass unterschiedliche Blöcke auf dem IC auch unterschiedliche ASIL-Einstufungen besitzen. Daher ist es erforderlich, ein modulares Konzept für die Integration von Blöcken mit verschiedenen ASIL-Einstufungen zu verwirklichen.

In einem SoC mit IP-Blöcken unterschiedlicher Zuverlässigkeits-Stufen muss es eine Möglichkeit geben, die Bereiche für systeminterne Tests zu isolieren. Bild 1 zeigt eine mögliche Verteilung von IP-Blöcken für die funktionale Sicherheit auf einem Automobil-SoC.

Gemeinsame Ressourcen, beispielsweise Speicher, müssen soweit wie möglich unabhängig sein zwischen den Bereichen, so dass Fehler in einem Bereich keine Auswirkungen auf andere haben und somit nicht die ASIL-Gesamteinstufung reduzieren. Es bedarf einiger Anstrengungen, um Komponenten für Testzwecke und der funktionalen Sicherheit voneinander unabhängig zu machen. Aber wer trägt die Verantwortung? Welche Mechanismen werden die Fehler-Überwachung übernehmen, den Test organisieren und Probleme an das übergeordnete System weiterleiten? Das ist die Aufgabe vom Tessent Safety Island (Bild 2). Es stellt einen Mechanismus dar, durch das der Chip auf IP-Blöcke verschiedener ASIL-Einstufungen im SoC zugreifen, sie steuern und überwachen kann und Fehler an das externe System meldet. Beispielsweise einen Alarm auslösen, der dem Fahrer signalisiert, die Kontrolle zu übernehmen, sobald eine ADAS-Komponente versagt. Das Safety Island lässt sich konfigurieren und für zukünftige Anforderungen und Einsatzbereiche erweitern.

Die Zusammenführung sämtlicher systeminterner Teststrukturen für die funktionale Sicherheit ist denkbar einfach bei Verwendung des Tessent MissionMode Controllers, der einen zentralen Zugriffspunkt für die Kontrolle darstellt. Der Controller ist dabei lediglich der Mechanismus, der die Konfiguration und Ablaufsteuerung der unterschiedlichen Tests ermöglicht und deren Ergebnisse abruft. Durch die Kombination mit einer CPU für Sicherheitsaufgaben kann er zu einem eigenen Safety Island werden, verbunden durch eine AMBA APB-Schnittstelle als Teil des IPs.

Der durch spezifische Sicherheitsmechanismen gesteuerte Test im Automobil-Bereich, zum Beispiel BIST, ist nur ein Teil der Anforderungen an ICs aus dem Automobil-Sektor. Sobald ein Safety Island implementiert wurde, kann dessen Nutzung erweitert werden. Durch die IJTAG-Schnittstelle und zusätzliche Bus-Verbindungen ist es möglich, auch eine Reihe anderer IP-Blöcke anzubinden, die für die Verbesserung der funktionalen Sicherheit des ICs verwendet werden können. Bild 3 veranschaulicht die erweiterten Anschlussmöglichkeiten des Safety Island.

Die Überwachung und Ansteuerung von BIST-Strukturen zum Test auf strukturelle Defekte kann einfacherweise über die IJTAG-Infrastruktur erfolgen, die zusammen mit den BIST-IP-Blöcken auf dem Chip implementiert wird. Die Aufgaben der funktionalen Sicherheit lassen sich durch den Einsatz von Embedded Analytics IP erweitern, das die Überwachung und Datenerhebung innerhalb der SoC-Strukturen ermöglicht. Die Embedded Analytics IP kann einen weiten Bereich der Aktivitäten auf dem Chip adressieren, darunter sogar Anforderungen durch die ISO 21434. IP-Blöcke für die funktionale Sicherheit können mit dem Safety Island verbunden, darüber angesteuert und überwacht werden. Die Überwachung von Parametern deckt Probleme auf, die durch Variation von Spannung, Temperatur und Prozessfaktoren entstehen und Einfluss auf Performance und/oder Zuverlässigkeit des Chips haben können. Die Daten, die über das Tessent Safety Island gesammelt werden, müssen offline analysiert werden. Deshalb ist es wichtig, über eine Auswahl an externen Anschlussmöglichkeiten zu verfügen. Das Safety Island ermöglicht eine Vorverarbeitung der Daten, um die effektive Nutzung von Bandbreite und Speicherbedarf sicherzustellen.

Siemens EDA bietet die Komponenten, um eine komplette und zukunftssichere Lösung für ein Safety Island zu erstellen, das on-chip IP-Blöcke für Test und funktionale Sicherheit ansteuert und Datenströme überwacht. (eck)

Lee Harrison ist Manager für Automotive IC Test Solutions innerhalb der Tessent Gruppe von Siemens Digital Industries Software.

Lee Harrison ist Manager für Automotive IC Test Solutions innerhalb der Tessent Gruppe von Siemens Digital Industries Software.

Bild 1: Typische Verteilung der funktionalen Sicherheit innerhalb eines Automobil-SoCs.  

Bild 2: Grundlegende Architektur vom Safety Island 

Bild 3: Erweiterte Anschlussmöglichkeiten vom Safety Island

Siemens

Flash-Speicher im Fokus von Safety und Security

Sicherheitsrisiken erkennen  und beseitigen

Ob Infotainment-oder Fahrerassistenzsysteme – Flash-Speicher kommen in vielfältigen Automotive-Applikationen zum Einsatz und müssen immer mehr Funktionen steuern.

Ob Infotainment-oder Fahrerassistenzsysteme – Flash-Speicher kommen in vielfältigen Automotive-Applikationen zum Einsatz und müssen immer mehr Funktionen steuern. Wichtig ist: Die Komponenten müssen hohen Safety- und Security-Anforderungen Genüge tun.

Das Internet of Things (IoT) bringt neue Möglichkeiten, als deren Folge sich die Art und Weise, wie Menschen leben, arbeiten oder spielen grundlegend verändert. Die zunehmende Vernetzung des Alltagslebens sorgt allerdings ebenfalls dafür, dass die Risiken durch Hacker und andere Sicherheitsverletzungen mit jedem neu hinzukommenden IoT-Gerät zunehmen. Bei den Geräten, denen Nutzer:innen am meisten vertrauen – nämlich Smartphones und Laptops – ist den meisten sehr wohl bewusst, weshalb die Sicherheit einen so hohen Stellenwert hat. Dabei übersieht man allerdings häufig die vernetzte Intelligenz, die sich inzwischen in den Fahrzeugen befindet (Bild 1). Tatsächlich ist es so, dass diese Systeme für Sicherheitsverletzungen geradezu prädestiniert sind. Ein Beispiel: Das Model 3 von Tesla gilt als eines der intelligentesten Autos auf dem Markt. Im März 2019 hatten Hacker das Infotainment-System dieses Fahrzeugmodells im Visier und konnten es mithilfe eines JIT-Bugs im Renderer unter ihre Kontrolle bringen. Das geschah zugegebenermaßen im Rahmen eines Hacking-Events, sodass für die Fahrzeugbesitzer keine Gefahr bestand. Dennoch zeigte dieser Hack klar und deutlich, dass die Sicherheit von Automobilelektronik-Systemen eine klaffende Lücke aufweist. Wenn Fahrzeuge immer intelligenter und zunehmend mit der wachsenden IoT-Infrastruktur der Welt vernetzt werden, muss diese Schwachstelle unbedingt berücksichtigt und beseitigt werden.

E/E-Systeme werden zusehends intelligenter. Dazu kommen im gesamten Fahrzeug immer mehr hochentwickelte elektronische Funktionen hinzu, zu denen Fahrassistenzsysteme, der Antriebsstrang, das Infotainment (Bild 2) sowie V2V- und V2X-Applikationen gehören. All das sorgt für einen zunehmenden Bedarf an Security und Safety. Insbesondere auch in Hinblick auf den Flash-Speicher, der zu einer entscheidenden Komponente dieser Systeme geworden ist. Flash-Speicher sind seit Jahrzehnten gebräuchlich und kommen mittlerweile auch im Automobilbereich zum Einsatz. Das Problem an aktuellen Embedded-Flash-Lösungen sind ihre erheblichen Sicherheitsrisiken, weil sie auf althergebrachten Technologien und Architekturen beruhen, denen es schlicht an der erforderlichen Zertifizierung fehlt, um Security und Safety garantieren zu können.

In E/E-Systemen sind Safety und Security jedoch unabdingbare Voraussetzungen, um ein tolerierbares Risiko im Sinne der Norm ISO 26262 garantieren zu können. Zwar widmen sich die Automobilhersteller und ihre Zulieferer diesen Risiken. Doch angesichts steigender Komplexität der Fahrzeugelektronik liegt die funktionale Sicherheit (Safety) ebenfalls in der Verantwortung der IC-Hersteller. Hierdurch wiederum sind auch die Flash-Speicher betroffen, in denen kritische Programme und Daten abgelegt werden. Hier können latente Fehler auftreten, wie eine Funktionsstörung der ECC-Engine. Das Fehlerprotokoll im Winbond-Serial-NAND (Bild 3) trägt dazu bei, potenziell schwache Zellen oder Blöcke zu erkennen.

Unter dem Begriff Security versteht man im Kontext eines Fahrzeugs das Verbergen und Verschlüsseln aller denkbaren Informationen, um Datenlecks durch ausgefeilte Mechanismen wie etwa Seitenkanäle von vorherein auszuschließen. Die im Flash-Speicher abgelegten Daten müssen chiffriert werden, und auch für den Kommunikationskanal ist eine wirkungsvolle Verschlüsselung erforderlich. Bei der Safety im Automobilbereich geht es um 100-prozentige Beobachtbarkeit, Fehlerdetektierung und maximale Offenlegung von Informationen. Die Daten sind zu validieren, und Tests sollten ein hohes Qualitätsniveau von ca. null DPPM gewährleisten. Hinzu kommt eine Defektanalyse, die eine Qualitätsverbesserung und das Finden der Fehlerursachen ermöglichen sollte.

Es ist zwingend notwendig, dass Automobilhersteller und -Zulieferer unangenehme Fragen stellen – und zwar jetzt, und nicht erst dann, wenn es tatsächlich zu einer Sicherheitsverletzung gekommen ist. Autobauer können wählen, welche Art von Flash-Technologie sie einsetzen wollen, und diese Entscheidung hat großen Einfluss darauf, ob ein Fahrzeug geschützt oder für Cyber-Angriffe und Manipulationen anfällig ist. Bevor also entschieden wird, auf welches Flash-Produkt gesetzt wird, sollte man sich kritisch mit folgenden Punkten auseinandersetzen:

<ul><li>Ist die Flash-Technologie gemäß CC EAL5+ zertifiziert, und wenn ja, auf welchem Level?</li></ul>

Eine geschützte Lösung ist ohne Zertifizierung nicht wirklich sicher und verlässlich. Die Zertifizierung gemäß CC EAL5+ bedeutet, dass der betreffende Flash-Speicher die höchsten Security-Anforderungen jeglicher Automobil-Anwendungen einschließlich V2V und V2X erfüllt. Mit diesem Security-Niveau kann die Architektur selbst die geringsten unbefugten Änderungen an den Daten erkennen und sie umgehend dem Host melden. Die gespeicherten Daten sind vor jeglichen nicht autorisierten Modifikationen geschützt, ganz gleich, ob diese mit Absicht herbeigeführt werden oder durch einen Fehler entstehen. Jede solche Modifikation wird sofort dem Host gemeldet, und dieser Melde-Mechanismus kann außerdem nicht blockiert werden. Darüber hinaus sollte das Flash-Array durch eine zusätzliche CRC-Ebene geschützt werden. Die Flash-Logik enthält ferner anspruchsvolle Funktionen zum Detektieren eines jeden falschen Betriebszustands. Das SPI-Interface schließlich verfügt über eine weitere Verschlüsselungs- und Fehlererkennungs-Ebene, die es schützt und vor Fehlern bewahrt.

<ul><li>Ist das Werk, in der die Flash-Lösung produziert wird, gemäß ISO 26262 zertifiziert?</li></ul>

Die 2011 eingeführte ISO 26262 ist ein Zertifizierungs-Indikator, mit dem sich verifizieren lässt, ob ein Zulieferer die Automotive-Safety-Integrity-Level-Vorgaben (ASIL) erfüllt. Die Safety-Zertifizierung gemäß ISO 26262 umfasst das Management der funktionalen Sicherheit, die Konzeptphase, Designs und Verifikationen auf der System-, Hardware- und Software-Ebene, die Bereiche Fertigung, Betrieb und Wartung sowie Dekommissionierungs-Dienste, womit der gesamte Produktlebenszyklus abgedeckt wird. Die Stufe ASIL-D der Norm ISO 26262 verkörpert den höchsten Grad an Risikomanagement. Für ASIL-D entwickelte Komponenten oder Systeme entsprechen somit den strengsten Safety-Anforderungen. Flash-Bausteine, in denen der Code für kritische Funktionen eines Fahrzeugs hinterlegt ist, sollten höchsten Safety-Anforderungen entsprechen und zur Senkung der Sicherheitsrisiken beitragen, indem sie für eine hochgradig zuverlässige Code-Speicherung sorgen.

<ul><li>Ist die Security-Implementierung Upgrade-fähig und programmierbar? Wie sieht die Root-of-Trust-Implementierung (RoT) aus? Zeichnet sich die Lösung durch Plattform-Resilienz aus?</li></ul>

Geschützte Lösungen müssen unbedingt ein gewisses Maß an Plattform-Resilienz aufweisen, damit sie im Laufe der Zeit weiterentwickelt und angepasst werden können, um das System so vor Sicherheitsverletzungen zu schützen. Kommen traditionelle ROM- oder Embedded-Flash-Konzepte mit Mikrocontrollern oder SoCs zum Einsatz, wird der RoT-Code der Software-Implementierung im ROM gespeichert. Solche Systeme sind nicht Upgrade-fähig und besitzen nicht die nötige Resilienz für künftige Attacken. Moderne Konzepte basieren dagegen auf Mikrocontrollern/SoCs und programmierbarem, geschütztem Flash-Speicher. Weil die Implementierung dieser Lösungen auf Software und abgesicherter Hardware beruht, sind sie programmierbar und Upgrade-fähig. Diese Art eines programmierbaren, Hardware-basierten RoT lässt sich fortlaufend aktualisieren, um mit einem breiter werden Spektrum an Bedrohungen fertig zu werden und für Plattform-Resilienz zu sorgen.

Sicheres Flash-Speicher-Konzept notwendig

Nicht nur die soeben beschriebenen Gründe machen es notwendig, auf ein modernes Flash-Speicher-Konzept zu setzen. Im Unterschied zu älteren Flash-Technologien auf dem Markt bedarf es einer neuen Technologie, die über einen kryptografisch abgesicherten, standardmäßigen SPI-Bus den Transfer von Code und Daten zwischen einem geschützten Bereich und einem SoC oder Mikrocontroller erlaubt. Es ist wahrscheinlich, dass diese besser geschützten Flash-Lösungen zwingend erforderlich sein werden, um die Sicherheitsrichtlinien und -standards zu erfüllen. Das gilt insbesondere angesichts der ständig an Häufigkeit und Raffiniertheit zunehmenden Cyber-Attacken. Zu erwarten ist ferner, dass die Vorschriften strenger werden, wodurch die Wichtigkeit von Security und funktionaler Sicherheit in Automobilapplikationen weiter zunehmen wird.

Elektronik spielt heute in nahezu jedem Bereich des Fahrzeugs eine tragende Rolle – von der Karosserie über den Antriebsstrang bis hin zum Infotainment-System. Zukünftige Fahrzeuge werden noch mehr elektronische Bauteile beinhalten, denn Fahrer und Insassen fragen vermehrt nach Safety-, Security-, Infotainment- und Komfort-Funktionen nach. Zudem werden Gesetzesvorgaben hinsichtlich des Kraftstoffverbrauchs strenger. Folglich wird es immer wichtiger, dass die zentrale Technologie, zu der Flash-Speicher gehören, hohe Security- und Safety-Standards erfüllt. Weil Hacker immer kreativer werden und nur eine Schwachstelle ausreichend ist, müssen Halbleiterhersteller Konzepte entwickeln, um diese Attacken schnell und effektiv abzuwehren. Wenn es um die Sicherheit des Fahrzeugs geht, sollten Security und Safety keine zusätzlichen Kostenfaktoren sein. (eck)

Adrian Cosoroaba ist Technischer Marketing Manager für sichere Speicher bei Winbond.

Bild 1: Moderne Fahrzeuge sind immer vernetzter und bieten dadurch mehr Einfallstore für Manipulationen und Cyber-Angriffe.

Bild 2: In Infotainment-Systemen kommen vermehrt Flash-Speicher zum Einsatz. Diese Bausteine können sicherheitsanfällig sein. 

Bild 3: Fehlerprotokoll im Serial-Nand-Flash von Winbond. Damit lassen sich fehleranfällige Zellen oder Blöcke erkennen. 

 Adrian Cosoroaba ist Technischer Marketing Manager für sichere Speicher bei Winbond.

Winbond

UNECE WP.29 minimiert Bedrohungen für Cybersecurity

Heutige Fahrzeuge integrieren Fahrerassistenzfunktionen entweder als serienmäßigen Bestandteil oder als optionale Aufrüstung. Das bringt nicht nur Vorteile, sondern erhöht mit zunehmender Komplexität der vernetzten, automatisierten und später autonomen Fahrzeuge die Gefahr potenzieller Cyberangriffe massiv.

Automobilhersteller setzen moderne Hardware ein mit Funktionen zur Fahrerassistenz, wie automatisches Lenken, Bremsen, adaptive Geschwindigkeitsregelung, automatisches Einparken, Kollisionsvermeidung, Unterstützung beim Spurwechsel und vieles mehr. Einige dieser Fahrassistenzsysteme sind serienmäßig im Fahrzeug integriert. Andere wiederum werden als externe Geräte angeboten, die man direkt an den On-Board-Diagnose-II-Anschluss (OBD-II) des Fahrzeugs anschließen kann, um auf den Fahrzeugcomputer zuzugreifen und automatisiertes Fahren nach Level 2 zu erleben.

ADAS stützt sich auf mehrere Echtzeit-Datenquellen, die von der äußeren Umgebung des Fahrzeugs gesammelt werden, um die Funktionen sicher und zuverlässig auszuführen. Dazu zählen u. a. visuelle Daten von Kameras, Bildgebung von Lidar, Radar zur Abstandsmessung, Telemetriedaten wie Geschwindigkeit, Standort und Ortung sowie Fahrzeug-zu-Fahrzeug-Kommunikation. Zusammenarbeit und Kommunikation müssen auch zwischen Telematik, Gateways, Infotainment-Systemen und anderen Steuergeräten zur Unterstützung von ADAS stattfinden und über ein CAN-Bus erfolgen. Zum Einsatz kommen dabei verschiedene Technologien wie Bluetooth, Hochgeschwindigkeits-Breitband- oder Mobilfunknetze wie LTE und 5G, über die man die Autotüren ver-/entriegeln, den Motor starten und den Status des Fahrzeugs oder den Ort, an dem man es geparkt hat, abrufen kann – all das problemlos über eine Telefon-App mit PIN. Eine geheime vierstellige PIN ist zwar angenehm und bequem, reicht aber nicht aus, um die Cybersicherheit des Fahrzeugs zu gewährleisten.

Nach langer Vorbereitung hat die Wirtschaftskommission der Vereinten Nationen für Europa (UNECE) am 23. Juni 2020 regulatorische Anforderungen veröffentlicht, die die Automobilhersteller in ihre Unternehmen und Fahrzeuge einbauen müssen. Das betrifft nicht nur die Automobilhersteller, sondern auch die Soft- und Hardware-Komponenten von Tier 1 und Tier 2 sowie mobile Dienste. Die neue Regelung UNECE WP.29 Cybersecurity and Cybersecurity Management Systems (CSMS) gilt für 54 Länder. Danach sind Fahrzeughersteller verpflichtet, einen risikobasierten Managementrahmen für das Aufspüren, die Analyse und den Schutz vor relevanten Bedrohungen, Schwachstellen und Cyberangriffen in ihre Unternehmensstruktur einzubauen. Dies lässt sich zweifellos in ein bestehendes Qualitätsmanagementsystem (QMS) und Prozesse integrieren, wie es die ISO 26262–2 zur Gewährleistung von Qualität und Sicherheit verlangt.

Zusätzlich gibt es ECE-WP.29-Anforderungen für den Fahrzeugtyp (Kategorie M und N, einschließlich der Kategorien L6 und L7 bei Ausstattung mit Funktionen für automatisiertes Fahren ab Stufe 3), zu denen das Prüfen der Implementierung der Cybersicherheitskontrollen und das erfolgreiche Absolvieren der Prüfung gehören. Erfüllt der Hersteller die organisatorischen und fahrzeugbezogenen ECE-WP.29-Schlüsselanforderungen korrekt, erhält er von einer Genehmigungsbehörde eine Konformitätsbescheinigung. Neufahrzeuge ohne diese Bescheinigung dürfen in der EU ab Juni 2022 nicht mehr verkauft werden.

Eine kleine Beispielliste mit Bedrohungen und entsprechenden Abhilfemaßnahmen aus ECE/TRANS/WP.29/ 2020/79 Anhang 5 Tabelle B1 (Tabelle 1) aufgeführt. Diese konzentriert sich auf Gefährdungen und Entschärfungsmaßnahmen im Zusammenhang mit den Kommunikationskanälen des Fahrzeugs. Wichtig dabei ist, dass die ‚Shall / MUSS‘-Aussagen verpflichtende Anforderungen darstellen, während die ‚Should / SOLLTE‘-Aussagen für das Bemühen um die Abschwächung der Bedrohung stehen.

WP.29 Abschnitt 7.3.3 betont, dass der Fahrzeughersteller eine umfassende „Risikobewertung“ durchführen muss. Es wird allerdings keine Aussage dazu getroffen, wie diese durchzuführen ist. Jedoch wird in Abschnitt 5.3.1(a) auf verschiedene Normen zur Risikobewertung verwiesen; eine davon ist die Automobil-Cybersicherheitsnorm ISO/SAE 21434 – Road Vehicles – Cybersecurity Engineering.

ISO/SAE 21434 Straßenfahrzeuge-Cybersecurity Engineering

 Eine gemeinsame Arbeitsgruppe der ISO- und SAE-Organisationen hat im Mai 2020 einen Entwurf der ISO/SAE 21434 für Fahrzeughersteller und Zulieferer veröffentlicht, der im August 2021 freigegeben wurde. Die Norm soll sicherstellen, dass:

<ul><li>Cybersecurity-Risiken erfolgreich gehandhabt werden.</li><li>Cybersecurity-Richtlinien und -Prozesse definiert werden.</li><li>Eine Cybersecurity-Kultur gefördert wird.</li></ul>

Die Norm ist in verschiedene Kapitel untergliedert. Eine davon betrifft die „Risikobewertungsmethoden“, bei denen Bedrohungs- und Schadensszenarien berücksichtigt werden müssen. Dazu zählt beispielsweise ein Angriffsweg, bei dem CAN-Botschaften an das Steuergerät des Antriebsstrangs gefälscht werden, was zum Verlust der Kontrolle und zu möglichen Schäden führen kann. Da Angriffe über verschiedene Medien wie Bluetooth, LTE, USB oder physischen Zugang (ISO/SAE 21434) erfolgen können, wurden die Bedrohungen nach der Durchführbarkeit der Angriffe kategorisiert in:

<ul><li>hoch</li><li>mittel</li><li>niedrig</li><li>sehr niedrig</li></ul>

Ein „Defense-in-Depth“-Ansatz, bei dem mehrere Schichten von Cybersicherheitsmaßnahmen zum Einsatz kommen für den Fall, dass der Angriff eine Schicht durchdringen kann, muss dokumentiert und durchgeführt werden. Für die Auswirkungen auf die Sicherheit gilt die ISO 26262 für Straßenfahrzeuge – Funktionale Sicherheit.

Weil Bedrohungspfade auch mit Schäden zusammenfallen, wurden folgende Schadensauswirkungsgrade definiert:

<ul><li>Severe / Gravierend</li><li>Major / Schwerwiegend</li><li>Moderate / Mäßig</li><li>Negligible / Vernachlässigbar</li></ul>

Basierend auf den Angriffs- und Schadensszenarien lässt sich eine Sicherheitsstufe für die Cybersicherheit (Cybersecurity Assurance Level, CAL) definieren. Die Stufe CAL 4 verlangt das höchste Maß an Sorgfalt bei Entwurf, Tests und Überprüfen der Cybersicherheit, während für CAL 1 ein niedriges Maß an Strenge ausreicht.

Eine einer Software- oder Hardware-Komponente zugewiesene CAL-Stufe (Tabelle 2) kann sich auf die für ihre Entwicklung und Prüfung eingesetzten Methoden auswirken. So gibt es beispielsweise empfohlene Verifikationsmethoden für die Integration, wie anforderungsbasierte Tests, Schnittstellentests, Evaluierung der Ressourcennutzung, Kontroll- und Datenfluss und statische Codeanalyse für Software. Auf der Ebene der Code-Einheiten wird möglicherweise eine Strukturabdeckung auf Anweisungs- oder Verzweigungsebene angeraten. Tabelle 3 listet Methoden zur Ableitung von Testfällen; die Häkchen bedeuten Empfehlungen.

Entwickler von Embedded Systemen wissen, dass die ISO/SAE 21434 den gesamten Lebenszyklus der Softwareentwicklung (Software Development Life Cycle, SDLC) umfasst – von den Anforderungen über den Entwurf, die Implementierung und Integration bis hin zu Verifizierung und Validierung (V&V, Bild 1).

Daher sollte man sicherstellen, dass ein solides Application-Lifecycle-Management- oder Requirements-Management-Tool (ALM bzw. RM) zum Einsatz kommt. Zusätzlich zu den Anforderungen der jeweiligen Interessensgruppen und allen anderen Sicherheitsvorschriften müssen auch die Anforderungen der ECE WP.29 an die Cybersicherheit erfüllt werden. Hilfreich ist hier der Einsatz einer Rückverfolgbarkeitsmatrix, um sicherzustellen, dass man keine Cybersicherheitsanforderungen übersieht.

Normenkonformität und Testkonfigurationen

Die ISO/SAE 21434 empfiehlt für V&V-Testmethoden wie die statische Code-Analyse, Kontroll- und Datenflussüberprüfung, Grenzwertanalyse, strukturelle Codeabdeckung und mehr. Ein idealer Ausgangspunkt für die Umsetzung der Cybersicherheitsanforderungen ist der Einsatz von Programmierstandards wie SEI CERT, CWE, OWASP und MISRA C:2012. Diese und andere Standards können Sicherheitsschwachstellen bereits beim Schreiben des Codes und/oder als Teil der kontinuierlichen Integrationspipeline (CI) aufdecken.

Es ist sinnvoll, die von der Norm empfohlene Code-Abdeckung zu nutzen, um zu erfahren, welche Teile der Software noch nicht getestet wurden. Empfehlenswert ist auch die Berücksichtigung des evolutionären Wandels, der sich in der Automobilindustrie vollzieht, und wie er sich auf die Norm ISO/SAE 21434 und auch auf die eingesetzten Entwicklungswerkzeuge auswirken wird. Man sollte sich vergewissern, dass man diese Entwicklung problemlos mitmachen kann, beispielsweise mit einem vom TÜV für den Einsatz in sicherheitskritischen Systemen zertifizierten Tool. So ist man bereits gerüstet, wenn es soweit ist, dass das Tool auch für den Einsatz bei cybersicherheitskritischen Systemen zertifiziert werden muss. (eck)

Ricardo Camacho ist technischer Autor bei Parasoft.

Bild 1: Das V-Modell zeigt den Ansatz für eine formale Verifizierung und Validierung, den die Entwicklung sicherheitskritischer Software verwendet.

Ricardo Camacho ist technischer Autor bei Parasoft.

Tabelle 2: Risikobewertung auf Grundlage von Parametern für Auswirkungen und Angriffsvektoren

Tabelle 3: Methoden zur Ableitung von Testfällen

Tabelle 1: Minderungsmaßnahmen für Bedrohungen im Zusammenhang mit Fahrzeugkommunikationskanälen

Parasoft

Entwicklungs-Tools

Analyse-, Test- und Debug-Werkzeug von PLS

Umfangreiche Analyse-, Test- und Debugging-Funktionen für die neue Aurix-Mikrocontroller-Generation von Infineon stellt PLS Programmierbare Logik & Systeme mit der aktuellen Version ihrer Universal Debug Engine zur Verfügung.

Umfangreiche Analyse-, Test- und Debugging-Funktionen für die neue Aurix-Mikrocontroller-Generation von Infineon stellt PLS mit der aktuellen Version ihrer Universal Debug Engine zur Verfügung.

Die Multi-Core-SoCs der TC4x-Familie adressieren ein weites Spektrum von Automotive-Applikationen wie E-Mobility, ADAS und auch KI-Anwendungen und meistern zudem hochkomplexe Herausforderungen im Bereich Domänen- und Zonenkontrolle. Dabei werden die Bausteine im Hinblick für das automatisierte Fahren hohen Sicherheitsansprüchen gerecht. Sie bestehen aus bis zu sechs leistungsfähigen Rechenkernen der Next-Generation TriCore v1.8 Architektur, einem speziellen Cyber-Security Real-Time Modul (CSRM) und zusätzliche Erweiterungen für High-Performance Anwendungen. Neu hinzugekommen sind das enhanced Generic Timer Modul (eGTM), Komponenten aus der Aurix Accelerator Suite wie die Converter-DSPs (cDSP) an den Analog-Digital-Convertern (ADC), sowie die auf der Synopsys ARC EV Architektur basierende Parallel Processing Unit (PPU).

Intuitive Benutzeroberfläche für einfachen Zugriff

 Über ihre intuitive Benutzeroberfläche sichert die Universal Debug Engine (UDE) Entwicklern einen einfachen Zugriff auf alle TriCore v1.8- und Spezialkerne des jeweiligen TC4x-SoC. Das Tool ermöglicht so die Steuerung aller Cores für das Debugging, den Test und für tiefgreifende Systemanalysen innerhalb einer Debugger-Instanz. Es ist also nicht erforderlich, separate Debugger-Instanzen für die verschiedenen Core-Architekturen wie dem Synopsys ARC für die PPU oder der GTM zu öffnen. Gegenwärtig ermöglicht die UDE das Debuggen von C/C++- sowie Assembler-Code, wobei alle gängigen Compiler, insbesondere die von HighTec, Synopsys und Tasking, unterstützt werden. Der Support des Synopsys MetaWare OpenCL C-Compilers für PPU-Code ist in Vorbereitung.

Je nach Partitionierung der Applikationen, die auf dem TC4x laufen, können die Cores entweder alle gemeinsam, in Gruppen oder auch einzeln durch Run-Mode-Debugging, also durch Breakpoints oder durch Single-Step-Betrieb, kontrolliert werden. Dabei ermöglicht das Werkzeug unter Ausnutzung der Chip-eigenen Debug-Logik ein nahezu synchrones Starten und Stoppen der jeweiligen Cores. Insbesondere in gemeinsam genutztem Code vereinfachen darüber hinaus Multi-Core-Breakpoints das Debuggen komplexer Applikationen.

Flexible Anpassung an Vorgaben der Debug- oder Testaufgabe

Um die bestmögliche Effizienz zu gewährleisten, lässt sich die Benutzeroberfläche der UDE flexibel den Präferenzen der jeweiligen Nutzer und den Erfordernissen der aktuellen Debug- oder Testaufgabe anpassen. Zusätzlich erlauben Perspektiven innerhalb einer Debugger-Sitzung mehrere Ansichten zu definieren und zwischen ihnen umzuschalten. Dies ist hilfreich, wenn der Fokus auf eine bestimmte Debugging-Aufgabe gelegt werden soll, so beispielsweise beim Multicore-Debugging oder bei Performance-Messungen durch Profiling.

Für ein schnelles Time-to-Market kann die UDE bereits für die Pre-Silicon Entwicklung eingesetzt werden. Dafür unterstützt die UDE den Software-Test und die Fehlersuche auf virtuellen Prototypen aus dem Synopsys Virtualizer Development Kit für Aurix TC4x. Damit ist eine Full-System Simulation möglich. Für das Software-Debugging beinhaltet die UDE zudem den Instruction-Set-Simulator TSIM. (eck)

Nach Unterlagen der Firma PLS in Lauta.

Das Analyse-, Test- und Debug-Tool UDE von PLS unterstützt nun auch Infineons neue Aurix-Generation.

»Wir müssen uns dem Thema Nachhaltigkeit ernsthaft stellen«

Nachhaltigkeit ist eine wichtige unternehmerische Gesellschaftsverantwortung – davon ist Alexander Gerfer, CTO der Würth Elektronik eiSos, überzeugt. Er erklärt im Gespräch mit der HANSER automotive, wie sich das Unternehmen dafür engagiert und warum es wichtig ist, Flexibilität im Arbeitsalltag zu ermöglichen.

Würth Elektronik eiSos als Hersteller elektronischer und elektromechanischer Bauelemente beschränkt sich nicht auf die Entwicklung und den Verkauf von Komponenten, sondern sieht sich als Technologie-Enabler. Das Unternehmen leistet anwendungsbezogene Forschungs- und Entwicklungsarbeit, bietet Demo-Boards, Referenzdesigns und weitgehenden Design-In Support. Zur Service-Philosophie gehört u. a. ein umfassendes Schulungsangebot, Zugang zu Netzwerken und Marktwissen, sowie kostenlose Bauteilmuster und der Verzicht auf Mindestbestellmengen.

Welche Rolle spielt Elektromobilität für Würth Elektronik eiSos?

Elektromobilität gehört für uns zu den zukunftsweisenden Technologien, weshalb wir dem Thema auch eine besondere Aufmerksamkeit widmen. Dies zeigt sich ganz konkret in Technologiepartnerschaften, indem wir beispielsweise Studenten in Projekten wie Solar Challenge Formula Student oder Hyperloop unterstützen.

Außerdem legen wir sehr viel Wert auf die Weiterentwicklung von Bauelementen, etwa in der Leistungselektronik, um die Effizienz und damit die Nachhaltigkeit von Lösungen steigern zu können.

Sieben Jahre lang waren Sie als Technologiepartner des Rennteams Audi Sport ABT Schaeffler in der Formel E aktiv. Welches Resümee ziehen Sie aus dieser Zeit?

Wir haben gemeinsam mit Audi Sport ABT Schaeffler viele spannende Rennen und emotionale Momente erlebt und blicken auf eine sehr erfolgreiche Partnerschaft zurück, die über die Jahre hinweg immer intensiver geworden war. Einen letzten Höhepunkt stellte in der Saison 2019/20 der WE-AGDT „Auxiliary Gate Drive Transformer“ inklusive Referenzdesign dar. Wir hatten eine sehr kompakte und effiziente Lösung für die Ansteuerung moderner Siliziumkarbid-MOSFETs und IGBTs beigesteuert. Diese Lösung war Teil des innovativen MGU05-Antriebsstrangs des Audi e-tron F07. Mit den Entwicklungen im Bereich der E-Mobilität haben wir starke Impulse gesetzt und verdeutlicht, dass eine Notwendigkeit dafür besteht, dem Klimawandel mit neuen Technologien zu begegnen. Unser Anspruch ist es, die besten Ergebnisse für unsere Komponenten zu erzielen und zu evaluieren, wie wir ihre Leistung weiter verbessern können, um unser Know-how und unsere Innovationen dann schließlich in die Serienproduktion einzubringen. Gleichzeitig sind es die Herausforderungen unserer Partner und Kunden, die uns voranbringen.

Auf welche neuen Mobility-Projekte konzentriert sich Würth Elektronik eiSos in diesem Jahr?

Wir fördern als Technologiepartner des Start-ups Unleash Future Boats im Zusammenhang mit der autonomen Elektro-Passagierfähre für Binnengewässer und Küstenregionen. Wir unterstützen zudem weiter die Hyperloop- und Formula Student-Teams sowie das Team Sonnenwagen Aachen.

Das Jahr 2022 ist auch wieder im Zeichen der Covid-19-Pandemie gestartet. Mit welchen weiteren Herausforderungen werden Sie sich dieses Jahr konfrontiert sehen?

Wie werden uns weiter um eine bestmögliche Design-In-Unterstützung unserer Kunden bemühen: Ob mit immer besseren und praxisrelevanten Designtools- und -daten, die dem Entwickler in unserer Plattform REDEXPERT 24/7 zur Verfügung stehen, oder aber ganz klassisch durch den technischen Vertrieb und unsere Field Application Engineers beim Kunden. Wir helfen unseren Kunden dabei, die „Time-to-Market“ zu verkürzen.

Die Allokationsthematik wird uns alle auch im Jahr 2022 weiter herausfordern. Hier sind wir im engen Dialog mit unseren Kunden, um die Auswirkungen so gering wie möglich zu halten.

In Bezug auf die Teams gilt: Wir haben einen besonderen „Spirit“ bei Würth Elektronik, ein tolles Teamwork, das sich über die Corona-Pandemie noch weiter verstärkt hat. Doch bis Normalität einkehrt, ist es wichtig, die Teams hier bestmöglich zu unterstützen, Solidarität und Toleranz in unserer Belegschaft zu pflegen.

„Die türkische Niederlassung der Würth Elektronik lässt für jede Bestellung von Elektronikbauteilen einen Baum pflanzen“ – war eine Meldung, die mich im letzten Jahr auch persönlich sehr angesprochen hat. Wie wichtig nehmen Sie das Thema Nachhaltigkeit?

Das freut mich, dass diese Aktion gut ankommt. Unsere Niederlassungen in Amerika haben gerade etwas Ähnliches gestartet. Wir suchen uns immer wieder Aktionen, mit denen wir Nachhaltigkeitsthemen sichtbar machen können – denn das meiste geschieht natürlich unbemerkt. Wir sehen in der Nachhaltigkeit eine drängende Aufgabe, der wir uns als Unternehmen und Gesellschaft ernsthaft und engagiert stellen müssen. Bei uns beginnt das mit Themen wie Verpackungen, der Effizienz unserer Bauteile, der Herkunft von Rohstoffen für die Elektronik, dem Energieverbrauch an unseren Standorten oder der Zertifizierung für Umweltmanagement nach ISO 14001 oder Energiemanagement nach ISO 50001.

Ende letzten Jahres hat Ihr Unternehmen bei der deutschlandweiten Studie „Die besten Unternehmen für Frauen“ sehr gut abgeschnitten. Wie wichtig ist Ihnen das Thema?

 Sehr wichtig, gerade weil wir Teil einer traditionell männlich dominierten Branche sind. Die Studie hilft uns dabei, Potenziale für die weitere Entwicklung zu identifizieren, wie zum Beispiel mehr Frauen in Führungspositionen zu bringen. Wir sind stolz auf das gute Ergebnis. Besonders gefreut hat uns die positive Entwicklung im Bereich ‚Flexibilität der Arbeit‘. Die Möglichkeit, mobil und zu flexiblen Zeiten arbeiten zu können, gibt es in unserem Unternehmen schon lange, aber während Corona haben wir alle viel dazugelernt und leben es heute intensiver als zuvor.

Die Fragen stellte Stefanie Eckardt.

<a href="http://www.we-online.com">www.we-online.com</a>

Würth Elektronik eiSos macht die Vereinbarkeit von Beruf und Familie möglich. Das Unternehmen schnitt sehr gut bei der deutschlandweiten Studie „Die besten Unternehmen für Frauen“ ab.

Hauptartikel

ist Chief Technology Officer bei Würth Elektronik eiSos. Sein Fach hat der Dipl.-Ing. (FH) in Elektrotechnik von der Pike auf als Radio- und Fernsehtechniker gelernt. Sein Studium absolvierte Gerfer an der Rheinischen Fachhochschule Köln.

Im Unternehmen ist er ein Mann der ersten Stunde, gründete die Produktentwicklung sowie das Qualitätsmanagement. Der Rheinländer verantwortet heute die Strategie der Würth Elektronik eiSoS und damit die Bereiche Produktmanagement, Qualitätswesen, Supply-Chain-Management sowie Forschung und Entwicklung.

»Die Allokationsthematik wird uns alle  auch im Jahr 2022 weiter herausfordern. Hier sind wir im engen Dialog mit unseren  Kunden, um die Auswirkungen so gering wie möglich zu halten.«

Alexander Gerfer, CTO Würth Elektronik eiSos

Intelligentes Laden für eine zukunftsfähige Elektromobilität

In Großbritannien sollen private Ladestationen künftig nur noch zu bestimmten Zeiten genutzt werden, um eine Überlastung des Stromnetzes zu verhindern. Das könnte auch in Deutschland drohen. Ein Ausweg: intelligentes Laden. eSystems MTG hat dafür mit Porsche eine intelligente AC-Ladeinfrastruktur zur Marktreife gebracht.

Alexander Bourgett und Jochen Paukert

Die neue Bundesregierung will die Elektromobilität kräftig vorantreiben. Laut Koalitionsvertrag soll es in Deutschland bis 2030 15 Millionen vollelektrische Pkw auf den Straßen geben. Das sind fünf Millionen mehr, als im optimistischsten Szenario der vorherigen Koalition. Diese Entwicklung erfordert nicht nur einen massiven Ausbau öffentlicher Ladestationen. Es werden auch völlig neue Konzepte für das Laden zu Hause benötigt.

Denn wenn viele Elektroautos gleichzeitig geladen werden, kommen die Stromnetze in ihrer jetzigen Ausbaustufe an ihre Überlastungsgrenze. Es droht ein Blackout. In Deutschland gibt es zwar (noch) keine Ladeverbote; Ladepunkte mit einer Ladeleistung über 11 kW müssen jedoch vom Netzbetreiber genehmigt werden. Wenn der Netzbetreiber um die Stabilität seines Netzes fürchtet, darf er den Antrag ablehnen. Eine weitere Möglichkeit hat er, um sein Netz zu schützen: Er darf den Ladevorgang steuern, wenn das Netz überlastet ist und der Anschlussbesitzer im Gegenzug vergünstigte Strompreise erhält. So regelt es § 14 a des Energiewirtschaftsgesetzes (EnWG). Das Problem: Mit der derzeit gängigen Rundsteuertechnik ist nur ein „An“ oder „Aus“ möglich. Bei „Aus“ wird der Ladevorgang vollständig unterbrochen. Die Debatte um sogenannte Zwangs-Ladepausen ist bereits entbrannt.

Wenn das Laden von E-Autos verträglich für Stromnetze und Verbraucher werden soll, muss der Ladevorgang flexibler justierbar werden. Hinzu kommt: Viele E-Auto-Besitzer verfügen über eine Photovoltaik-Anlage (PV-Anlage). Sie wollen, dass ihr Elektrofahrzeug bevorzugt mit diesem Strom geladen wird und nur der zusätzlich benötigte Strombedarf aus dem Netz kommt. Beides ist nur möglich mit intelligenten Ladesystemen, deren Grundlage ein dynamischer Ladeplan ist.

Ein solcher dynamischer Ladeplan berücksichtigt die aktuelle Belastung des Netzes, den Verbrauch weiterer Großverbraucher im Haus, das Angebot variabler Stromtarife und die Menge an selbst produziertem Strom aus der PV-Anlage. Aus diesen Informationen berechnen das Heim-Energiemanagementsystem, das Ladesystem und das E-Fahrzeug gemeinsam, wie das Auto geladen werden muss, um das Netz nicht zu überlasten und die Batterie dennoch zum gewünschten Zeitpunkt vollzuladen.

 Basis für vertrauensvolle Kommunikation

Voraussetzung für das Erstellen eines dynamischen Ladeplans ist die Kommunikation zwischen E-Auto und Ladesystem. Dafür gibt es bereits eine Norm: Die ISO 15118 (Bild 1). Sie ermöglicht es, dass sich Stromer und Ladestation gegenseitig erkennen und verschlüsselt miteinander kommunizieren können. Was die wenigsten wissen: Das als „Plug’n Charge“ bekannte Kernfeature der ISO 15118 bietet deutlich mehr, als das Autorisieren und die Abrechnung des Ladevorgangs. Die ISO 15118 legt die Basis für eine vertrauensvolle, verschlüsselte Kommunikation zwischen Fahrzeug und Ladestation und ermöglicht damit auch den Austausch von intelligenten Ladeplänen.

Während an öffentlichen Ladesäulen die Aspekte „Autorisierung“, „Authentifizierung“ und „Abrechnung“ zentral sind, liegt der Mehrwert der Plug’n Charge-Funktion beim privaten Ladevorgang beim Lademanagement – in der Norm als „Load Control“ bezeichnet. Nur wenn man auch diese Funktion umsetzt, macht man den Weg für ein intelligentes Laden frei.

Die eSystems MTG hat die Load-Control-Funktion der ISO 15118 in einer AC-Ladeinfrastruktur realisiert. Das Unternehmen gehört zu dem börsennotierten Elektronikunternehmen Katek Group. Katek zählt zu den größten europäischen Dienstleistern für Electronic Manufacturing Services.

Gemeinsam mit Porsche hat eSystems MTG für den Porsche Taycan und den Audi e-tron auf Basis der ISO 15118 eine Ladeinfrastruktur entwickelt (Bild 2), die das volle Programm des intelligenten Ladens ermöglicht: Nutzung von PV-Eigenstrom, tarifliches Laden und das Erstellen von Ladeplänen, die die Belastung des Haus- und Netzanschlusses berücksichtigen. Dieses mobile Ladekabel („In Cable Circuit Protection Device“, kurz ICCPD) wird als Serienausstattung mit den Fahrzeugen in über 130 Ländern weltweit ausgeliefert. Aktuell entwickelt eSystems MTG eine neue Plattform für eine intelligente AC-Wallbox. Diese ermöglicht zusätzlich die Abrechnung nach deutschem Eichrecht und kann damit auch im halb-öffentlichen Bereich – wie etwa Firmenparkplätzen oder Tiefgaragen – eingesetzt werden.

 Ein intelligentes Ladesystem sammelt und verarbeitet verschiedene Informationen: Solche über den Energieverbrauch im Smart Home, die 24-Stunden-Prognose eines Netzbetreibers zur Einspeisung der erneuerbaren Energien oder Hinweise zu kostengünstigen dynamischen Stromtarifen vom Energieversorger. Die Informationen fließen ein in eine sogenannte Anreiztabelle für ein zeitversetztes Laden. Mithilfe dieser Tabelle kann das Auto den dynamischen Ladeplan berechnen.

Mit einem intelligenten Ladevorgang ist auch der Weg frei für ein netzdienliches Steuern von Verbrauchseinrichtungen nach § 14 a des EnWG, ohne dass der Verbraucher dadurch Nachteile beim Laden hat. Gleichzeitig kann er die Preisvorteile aus den Entschädigungen nutzen. Der Netzbetreiber übermittelt dazu über einen Kommunikationskanal („Controllable Local System“, CLS) Limit-Werte für seine Netzlast über ein Smart Meter Gateway an die Wallbox oder ein Haus-Energiemanagement-System. Mit der Lösung von eSytems lässt sich ein HEMS für das netzdienliche Laden einsparen. Die Leistungsbegrenzungen werden an das Fahrzeug weitergegeben und im Ladeplan berücksichtigt. Durch ein intelligentes Justieren des Ladevorgangs wird das Netz nicht überlastet.

Für die Anbindung von Smart Home-Anwendungen wird ein weiterer Kommunikationsstandard benötigt: Das EEBus-Protokoll. Die PV-Anlage kann einer intelligenten Ladelösung oder einem HEMS mithilfe von EEBus mitteilen, wieviel Sonnenstrom aktuell zur Verfügung steht. Das E-Fahrzeug erstellt auf dieser Grundlage zusammen mit der Ladeinfrastruktur einen Ladeplan, der steuert, ob und wieviel Strom aus dem Netz hinzugefügt werden muss oder nicht.

Elektroautos sollen zukünftig auch als Pufferspeicher dienen, wenn zu viel Strom im Netz ist. Für ein solches Vehicle-to-Grid-Konzept (V2G) hat eSystems MTG die Vorstufe implementiert und steht bereit für die Umsetzung weiterer Features der aktualisierten ISO 15118–20. Die ISO 15118–20 bietet weitere Mehrwerte, wie induktives Laden.

Damit das intelligente Laden durchstarten kann, braucht es nicht nur eine intelligente Ladeinfrastruktur, sondern auch intelligente Autos. Allerdings gibt es bei der Implementierung der ISO 15118 in die Fahrzeuge einen großen Nachholbedarf. eSystems steht mit seinen Systemlösungen bereit, zusammen mit den Automobilherstellern ihre ISO-15118-Umsetzungen zu erproben und ins Feld zu bringen. (eck)

Alexander Bourgett leitet die Software-Entwicklung bei eSystems MTG. Jochen Paukert ist Geschäftsführer bei eSystems MTG.

Dank der ISO 15118 erkennen sich Elektrofahrzeuge und Ladestation gegenseitig und können verschlüsselt miteinander kommunizieren. 

Bild 2: Die neue Ladeinfrastruktur von eSystems MTG ermöglicht es, Photovoltaik-Eigenstrom zu nutzen und beinhaltet tarifliches Laden sowie das Erstellen von Ladeplänen.

 Alexander Bourgett leitet die Software-Entwicklung bei eSystems MTG. 

 Jochen Paukert ist Geschäftsführer bei eSystems MTG. 

eSystems

Energiemanagement / Ladetechnik

Test von Batterie-Sicherheitseinrichtungen

Batteriesysteme für E-Fahrzeuge sind potenziell gefährlich. Führt eine Fehlfunktion zu einem Kurzschluss, kann das ein thermisches Durchgehen zur Folge haben. Sicherheitseinrichtungen, die im Kurzschlussfall den Stromfluss im System unterbrechen, sollen das verhindern. Damit diese im Fahrzeug zuverlässig funktionieren, sind Tests nötig.

Batteriesysteme für E-Fahrzeuge sind potenziell gefährlich. Führt eine Fehlfunktion zu einem Kurzschluss, kann das ein thermisches Durchgehen zur Folge haben.