淺析MBSE助力提升自動(dòng)駕駛汽車的功能安全與信息安全

隨著配備高級(jí)駕駛輔助系統(tǒng)（ADAS）的汽車不斷更新升級(jí)，以及業(yè)界致力于生產(chǎn)能夠在道路上相互通信的全自動(dòng)駕駛汽車（AV），這就使得汽車系統(tǒng)將變得更加龐大而且復(fù)雜。與此同時(shí)，它要求汽車系統(tǒng)設(shè)計(jì)具有更高的安全性與保密性。然而，安全性與保密性這兩個(gè)需求有時(shí)候會(huì)產(chǎn)生沖突。為了提高車輛的安全性，需要額外的組件來(lái)監(jiān)控車輛的運(yùn)行，但由于這些組件可能會(huì)提供新的攻擊點(diǎn)，這使得黑客有機(jī)會(huì)訪問(wèn)控制系統(tǒng)與軟件，因此這可能會(huì)降低車輛的信息安全。

為了支持此類大型復(fù)雜系統(tǒng)的開(kāi)發(fā)并且為汽車系統(tǒng)設(shè)計(jì)提供魯棒性的開(kāi)發(fā)框架，日本日立工業(yè)與控制解決方案有限公司（Hitachi Industry & Control Solutions）在2019年成立了一個(gè)名為MBSE設(shè)計(jì)實(shí)驗(yàn)室（MBSE Design Lab）的專職部門。2022年10月，該部門經(jīng)過(guò)規(guī)模擴(kuò)張并更名為MBSE設(shè)計(jì)中心（MBSE Design Center）。

這個(gè)基于模型的系統(tǒng)工程（MBSE）設(shè)計(jì)中心將Ansys SCADE嵌入式軟件和Ansys medini analyze功能安全與信息安全仿真軟件作為其汽車設(shè)計(jì)方法中安全與保密的關(guān)鍵要素。

在支持汽車原始制造商(OEM)與一級(jí)供應(yīng)商(Tier 1)設(shè)計(jì)和開(kāi)發(fā)自動(dòng)駕駛、汽車信息娛樂(lè)以及汽車控制系統(tǒng)的過(guò)程中，日立工業(yè)與控制解決方案公司通過(guò)MBSE設(shè)計(jì)中心實(shí)施功能安全與信息安全管理策略。從功能角度來(lái)看，Ansys SCADE Architect適用于通過(guò)逐步迭代內(nèi)部細(xì)節(jié)來(lái)進(jìn)行架構(gòu)設(shè)計(jì)；Ansys medini analyze能夠在一個(gè)通用模型上開(kāi)展兩種分析——功能安全分析與信息安全分析。

日立工業(yè)與控制解決方案公司MBSE設(shè)計(jì)中心總經(jīng)理Takeo Hashimoto表示：“我們相信Ansys仿真工具與MBSE的集成使我們能夠了解整個(gè)設(shè)計(jì)流程，從而可以降低開(kāi)發(fā)成本，提高工程效率，推動(dòng)創(chuàng)新和設(shè)計(jì)出極具競(jìng)爭(zhēng)力的產(chǎn)品?！?/p>

日立工業(yè)與控制解決方案公司采用Ansys解決方案管理汽車功能安全與信息安全的流程圖

創(chuàng)建MBSE解決方案

在過(guò)去的10年里，日立工業(yè)與控制解決方案公司的開(kāi)發(fā)方式經(jīng)歷了從傳統(tǒng)設(shè)計(jì)到系統(tǒng)工程，最后到MBSE的轉(zhuǎn)變。在此之前，汽車行業(yè)的開(kāi)發(fā)工作變得越來(lái)越龐大而復(fù)雜，從而導(dǎo)致客戶的汽車開(kāi)發(fā)現(xiàn)場(chǎng)問(wèn)題頻發(fā)。

Hashimoto表示：“開(kāi)發(fā)現(xiàn)場(chǎng)在驗(yàn)證流程中經(jīng)歷了大量返工，而這些問(wèn)題已經(jīng)無(wú)法通過(guò)傳統(tǒng)的開(kāi)發(fā)方法解決。我們花費(fèi)了大量時(shí)間來(lái)研究，如何處理相關(guān)需求，以及如何有效使用現(xiàn)有資產(chǎn)來(lái)解決上游流程的文檔不足問(wèn)題，因?yàn)槲臋n是驗(yàn)證流程的基礎(chǔ)所在?！?/p>

在經(jīng)過(guò)詳細(xì)研究后，我們得出了結(jié)論：系統(tǒng)工程才是問(wèn)題的解決方案。根據(jù)國(guó)際系統(tǒng)工程協(xié)會(huì)（International Council on Systems Engineering，簡(jiǎn)稱INCOSE）的定義，系統(tǒng)工程是“利用系統(tǒng)原理與概念，以及科學(xué)、技術(shù)與管理方法使工程系統(tǒng)順利實(shí)施、使用和停止運(yùn)行的跨學(xué)科綜合方法。具體而言，它專注于在開(kāi)發(fā)周期的早期階段制定、平衡和整合利益相關(guān)方的目標(biāo)、方向與成功標(biāo)準(zhǔn)，以及定義實(shí)際或預(yù)期的客戶需求、運(yùn)營(yíng)概念與所需功能。”

Hashimoto表示：“但是，當(dāng)時(shí)在日本關(guān)于系統(tǒng)工程的文獻(xiàn)少之甚少。在日本多所創(chuàng)新高校的幫助下，并根據(jù)INCOSE提供的海外文獻(xiàn)資料，我們通過(guò)反復(fù)的試錯(cuò)逐步開(kāi)發(fā)了系統(tǒng)工程。我們可以稱得上是日本系統(tǒng)工程實(shí)踐的開(kāi)拓者?！?/p>

即使實(shí)施了系統(tǒng)工程，當(dāng)開(kāi)展上游流程的需求分析與架構(gòu)設(shè)計(jì)時(shí)，設(shè)計(jì)信息變得極為龐雜，而傳統(tǒng)的基于紙張的系統(tǒng)工程開(kāi)發(fā)方式遭遇了新的挑戰(zhàn)，即很難在開(kāi)發(fā)與管理的同時(shí)保持整體一致性與完整性。

日立工業(yè)與控制解決方案公司很快就轉(zhuǎn)向MBSE，INCOSE把它定義為“從概念設(shè)計(jì)階段開(kāi)始、一直持續(xù)到整個(gè)開(kāi)發(fā)與生命周期后期階段、以用于支持系統(tǒng)需求、設(shè)計(jì)、分析、驗(yàn)證與確認(rèn)活動(dòng)的形式化建模應(yīng)用。”

實(shí)際上，通過(guò)引入MBSE（即利用可以表示系統(tǒng)多層次需求和功能之間關(guān)系的系統(tǒng)模型），不僅有利于包括工程師在內(nèi)的利益相關(guān)方達(dá)成共識(shí)，而且能夠在開(kāi)發(fā)與管理大型復(fù)雜系統(tǒng)的同時(shí)保持整體一致性與完整性。

日立工業(yè)與控制解決方案公司MBSE的三大軸心

把仿真融入MBSE流程

利用MBSE，工程師能夠輕松地在產(chǎn)品開(kāi)發(fā)流程的早期階段頻繁分析與仿真，以便確認(rèn)相關(guān)需求，同時(shí)對(duì)多種設(shè)計(jì)備選方案進(jìn)行審核，以避免花費(fèi)資金來(lái)開(kāi)發(fā)最終無(wú)法滿足需求的原型。

日立工業(yè)與控制解決方案公司的工程團(tuán)隊(duì)花費(fèi)了一些時(shí)間，來(lái)確定把Ansys仿真解決方案集成到產(chǎn)品開(kāi)發(fā)流程的最佳方式。如果不進(jìn)行這種集成，工程師就無(wú)法驗(yàn)證需求，而且也無(wú)法全面評(píng)估性能、成本與風(fēng)險(xiǎn)權(quán)衡因素。

如前所述，在安全性設(shè)計(jì)中，標(biāo)準(zhǔn)做法是設(shè)計(jì)外部組件來(lái)監(jiān)控組件故障。這樣可以確保檢測(cè)出由組件故障引起的異常情況。然而，在安全保障設(shè)計(jì)中，這種外部組件也會(huì)成為攻擊的切入點(diǎn)，從而產(chǎn)生保密風(fēng)險(xiǎn)。解決這些相互沖突對(duì)安全和保密來(lái)說(shuō)是非常關(guān)鍵的。

Hashimoto表示：“Ansys仿真解決方案對(duì)可視化相互沖突的功能安全需求與信息安全需求結(jié)構(gòu)以及確保它們的可追溯性起到非常大的作用，因?yàn)樗鼈兡軌驈牟煌嵌燃泄芾硇枨笈c設(shè)計(jì)模型，同時(shí)提供完整流程的概況?！?/p>

日立工業(yè)與控制解決方案公司的工程師采用medini analyze集成和分析統(tǒng)一架構(gòu)，以便他們?cè)诠δ馨踩c信息安全方面實(shí)現(xiàn)最佳設(shè)計(jì)。此外，他們還在相關(guān)項(xiàng)定義(Item Definition)流程中采用SCADE Architect，其可以在安全與保密范圍內(nèi)逐步實(shí)現(xiàn)架構(gòu)的詳細(xì)設(shè)計(jì)。然后，相關(guān)架構(gòu)可以導(dǎo)入到medini analyze中，從而最終可以消除分析目標(biāo)與分析粒度的不一致性。

Hashimoto表示：“我們認(rèn)為，仿真軟件產(chǎn)品之間的這種協(xié)作正是使用Ansys工具的最大優(yōu)勢(shì)?！?/p>

基于Ansys SCADE Architect的MBSE方法可以從眾多方面構(gòu)建整個(gè)系統(tǒng)，以便專家們可以在不同功能安全與信息安全領(lǐng)域達(dá)成共識(shí)，從而有助于實(shí)現(xiàn)最佳的架構(gòu)解決方案。

Hashimoto表示：“從工程公司的角度來(lái)看，如果開(kāi)發(fā)現(xiàn)場(chǎng)由于開(kāi)發(fā)大型復(fù)雜系統(tǒng)遇到了麻煩，引入MBSE方法可以提高項(xiàng)目效率。因?yàn)樵摲椒ㄊ宫F(xiàn)場(chǎng)能夠處理需要滿足的需求以及明確系統(tǒng)開(kāi)發(fā)目標(biāo)，從而將設(shè)計(jì)與開(kāi)發(fā)活動(dòng)區(qū)分開(kāi)。我們認(rèn)為這就是我們工程公司的投資回報(bào)?！?/p>

利用系統(tǒng)工程與MBSE方法，日立工業(yè)與控制解決方案公司在過(guò)去10年里已經(jīng)參與了13家公司的35個(gè)項(xiàng)目。憑借Ansys仿真解決方案，他們希望能在未來(lái)10年實(shí)現(xiàn)項(xiàng)目參與數(shù)量的大幅提高。

Hashimoto表示：“我們將會(huì)在整個(gè)產(chǎn)品生命周期為整個(gè)工作場(chǎng)所提供更大的價(jià)值。利用Ansys工具以及日立工業(yè)與控制解決方案公司的MBSE工程方法，我們將大力支持汽車行業(yè)的自動(dòng)駕駛開(kāi)發(fā)工作，同時(shí)以更緊密的方式幫助客戶解決生產(chǎn)制造問(wèn)題。”

審核編輯：劉清