Model Based Development (모델기반 개발) in Safety Critical Domain -

Model Based Development – Related Domain

 

요즈음 최신(State-of-the-art)의 safety critical한 항공기의 항공전자장비(avionics)나 자동차의 전장품(Electric/Electronic – Electronic Control Units i.e. ECU)는 high complex, functionally integrated, network-centric 시스템의 형태로 발전하고 하고있으며, 또한 systems of systems형태로 진화하고 있다.

1. Complex and mission-critical 임베디드 시스템의 설계 및 개발에 있어서 또한 여러가지 법규(안전, 환경 등 다양한 법률적인 규약)를 만족하며 Time-to-Market 및 cost-effect, high quality를 동시에 만족하기 위해서는 개발 생산성이 또한 중요하다.

• Complex Algorithm 및 Logic의 모듈화 및 Early Verification 필요

1. 그리고 개발 내용에서는 시스템의 안전과 관련된 설계가 모든 부분을 포괄(Coverage 개념)하고 있다는 확신이 있어야 한다.
2. 특히 이러한 부분을 명확하게 확인 가능한 부분이 Architecture 개념이며 동시에 이러한 Architecture가 확인가능하고 추적가능해야 하며, 모든 안전 요구사항을 Cover할 수 있어야 한다.
3. 그리고 DO178C(Avionics), ISO-26262(Automotive ECU)등에서는 개발과 및 검증과 관련한 많은 문서(Documents – 개발 및 검증에 관한 증거)들을 요구한다.
4. 이러한 Safety 기능 및 Performance들이 추적되고 확인 가능해야 한다.

 

[MBD 적용 분야]

1. 항공우주 분야 -ARP4754, Aerospace Recommended Practice (ARP)

   상업용 항공기 및 시스템의 개발에 대한 가이드 라인 – SAE, EUROCAE 등

주로 1) Protection of missing requirements와 2) high function coverage 등을 위해 Dedicated supplement 방법으로 권장 – System Level

1. 항공시스템의 소프트웨어 개발 시 사용되는 소프트웨어 개발 방법 및 툴 적용 등에 대한 상업용(Commercial) 소프트웨어 인증(Certification)을 관장하는 표준으로 RTCA DO-178C / EUROCAE ED-12C를 적용한다. 이 표준은 à governs the certification of software for airborne systems in commercial aircraft.

   소프트웨어 레벨을 5가지 등급으로 분류

• Catastrophic - Failure may cause multiple fatalities, usually with loss of the airplane.
• Hazardous - Failure has a large negative impact on safety or performance, or reduces the ability of the crew to operate the aircraft due to physical distress or a higher workload, or causes serious or fatal injuries among the passengers.
• Major - Failure significantly reduces the safety margin or significantly increases crew workload. May result in passenger discomfort (or even minor injuries).
• Minor - Failure slightly reduces the safety margin or slightly increases crew workload. Examples might include causing passenger inconvenience or a routine flight plan change.
• No Effect - Failure has no impact on safety, aircraft operation, or crew workload.

 

 

1. 자동차 소프트웨어 분야 – ISO26262

자동차 E/E(Electric/Electronic)의 System(기능 안전에서는 Item으로 정의)하는 부분은 ASIL(Automotive Safety Integrity Level)의 C나 D의 경우 Software 개발의 안전요구사항을 만족을 하기 위해서는 MBD를 사용하는 것이 효과적이다. 물론 MBD를 사용하지 않는다고 해서 불가능하지는 않으나, 개발자들의 Documentation 공수가 기존 공수의 2~3배 이사의 노력이 필요하다

아래 그림은 ISO 26262의 Software Safety Life Cycle의 V모델을 MBD기반의 V모델과 산출물을 Mapping 한 이미지다.