Urbane Mobilität der Zukunft So beschleunigen Sie die eVTOL-Entwicklung mit Mehrkernprozessoren

Agile, kleine Flugzeuge, die senkrecht starten und landen können, besitzen das Potenzial, die urbane Mobilität zu revolutionieren. Allerdings sind dafür nicht unerhebliche Sicherheitsmaßnahmen zu berücksichtigen.

Unsere Städte werden immer voller und die bestehenden Verkehrsnetze nehmen immer mehr an Kapazität zu. Jeder von uns hat schon erlebt, wie Fahrzeuge in Notfalleinsätzen große Schwierigkeiten haben, durch verstopfte Straßen zu gelangen, oder wie Termine aufgrund von Verkehrsstaus verpasst werden. Aus diesem Grund suchen Verantwortliche für urbane Mobilität nach intelligenteren Möglichkeiten, Menschen und Güter zu bewegen, insbesondere in Situationen, in denen jede Sekunde zählt.

Neben der besseren Nutzung bestehender Infrastrukturen wird auch die Möglichkeit untersucht, den Luftraum zu nutzen. Elektrisch betriebene unbemannte Luftfahrzeuge (Unmanned Aerial Vehicles, UAVs) werden bereits häufig für Luftaufnahmen und -videos, die Inspektion von Infrastrukturen und die Überwachung eingesetzt. Mit fortschreitender Technologie werden diese Luftfahrzeuge in der Lage sein, größere Nutzlasten zu transportieren — zunächst Fracht und später sogar Menschen.

Diese Möglichkeit verspricht nicht weniger als eine echte Transformation. Es könnte zur gängigen Praxis werden, dass Rettungsdienste Notfallmedikamente oder sogar Sanitäter per Lufttransport direkt zu einem Einsatzort bringen, ohne teure Hubschrauber zu benötigen – die zudem in städtischen Gebieten schwer einen Landeplatz finden. Andernorts könnten die Kosten und die Umweltbelastung durch nationale und regionale Reisen für uns alle reduziert werden.

eVTOL: Den Himmel über unseren urbanen Gebieten erschließen

Um den Luftraum über dicht besiedelten Gebieten für den Transport von Gütern und Menschen zu nutzen, sind Fluggefährte erforderlich, die vertikal starten und landen können und dabei elektrische Antriebe nutzen. Diese Art von Flugzeug wird als elektrisch vertikal startendes und landendes Flugzeug (electric Vertical Take-Off and Landing, eVTOL) bezeichnet. Analysten von Research Dive prognostizieren, dass der globale eVTOL-Flugzeugmarkt zwischen 2025 und 2033 jährlich um fast 30 Prozent wachsen wird, bis zu einem Gesamtwert von 4,2 Milliarden US-Dollar.

Dieser Markt stellt eine enorme Chance dar, ist jedoch nicht einfach zu erschließen. Diejenigen, die zivile eVTOL-Flugzeuge für diesen Zweck entwickeln, müssen im Wesentlichen ein Luftfahrzeug schaffen, das nach vergleichbaren Sicherheits- und Sicherheitsstandards wie kommerzielle Flugzeuge zertifiziert werden kann, jedoch zu einem Bruchteil der Kosten. Dies schließt den Avionik-Sicherheitsstandard DO-178C ein. Und wo die Möglichkeit einer katastrophalen Auswirkung besteht, die Menschenleben gefährdet, muss das höchste Level von DAL A (Development Assurance Level, Entwicklungssicherheitsstufe) erreicht werden – das gleiche wie bei großen Verkehrsflugzeugen.

eVTOL-Flugzeuge erfordern andere Steuerungssysteme als herkömmliche Flugzeuge

Insgesamt sind eVTOLs einfacher konzipiert als große Verkehrsflugzeuge. Dies kann dazu beitragen, die Kosten zu senken, da die Bordsysteme ebenfalls weniger komplex sein können. Ingenieure können jedoch nicht einfach herkömmliche Flugzeugsteuerungssysteme für eVTOL-Flugzeuge wiederverwenden, aus verschiedenen Gründen.

Erstens können viele eVTOL-Fluggefährte zwar im Wesentlichen mit Hubschraubern verglichen werden, aber sie haben in der Regel viel mehr Rotoren als ein traditioneller Hubschrauber. Dies führt zu einer größeren Komplexität des Steuersystems. Zweitens haben eVTOL-Flugzeuge im Gegensatz zu herkömmlichen Flugzeugen typischerweise keine Hydrauliksysteme und sind stattdessen vollständig elektronisch. Drittens reagieren die für den Antrieb verwendeten Elektromotoren sehr unterschiedlich zu Turbinenmotoren oder Turboprops, insbesondere in ihrer Eigenschaft, nahezu sofort Leistung zu erzeugen. Viertens ist die Energiespeicherung und -abgabe von Batterien deutlich anders als die Verwendung von herkömmlichem Flugzeugtreibstoff. Ein weiterer Gesichtspunkt ist, dass eVTOLs ohne Flügel nicht gleiten können, wie es ein Flugzeug mit festen Flügeln kann. Folglich benötigt das eVTOL eine alternative Möglichkeit, im Notfall sicher landen zu können.

All dies führt zu sehr unterschiedlichen Anforderungen an die Bordsysteme – und das noch bevor die Notwendigkeit hinzukommt, dass Software-Designer sicherstellen müssen, jede Komponente gegen Cyberangriffe abzusichern. Die Kosten und die Komplexität des Baus bzw. der Erstellung von eVTOL-Systemen und der Erreichung der Zertifizierung können daher erheblich sein.

Die gute Nachricht ist, dass es Techniken gibt, diese Kosten niedrig zu halten und dennoch die funktionale Sicherheit (Safety) als auch die Cyber-Sicherheit (Security) des Flugzeugs zu gewährleisten. Wir werden im Folgenden einige Möglichkeiten untersuchen, wie Ingenieure das erreichen können, aber lassen Sie uns zuerst die wichtigsten sicherheitskritischen elektrischen Untersysteme und die zugrunde liegenden Systeme, auf die sie sich stützen, skizzieren.

Architektonischer Überblick, elektronische Untersysteme und Sicherheitsmaßnahmen

Damit ein eVTOL sicher betrieben werden kann, benötigt es eine Vielzahl von (Software-)Systemen, die nahtlos miteinander integriert sind. Diese umfassen typischerweise unter anderem:

• Batteriemanagementsystem (BMS)

• Flugsteuerungssystem (Flight Control System, FCS)

• Motorsteuerungseinheit

• Situationsbewusstseinssysteme

• Navigationssysteme

• Kommunikationssysteme

• Mensch-Maschine-Schnittstellen (Human-Machine Interfaces, HMIs)

• Überwachungssysteme

• Wiederherstellungssysteme

Jedes Untersystem hat seine eigenen Module, die voneinander isoliert werden müssen, damit kein Element die einwandfreie Funktionsweise eines anderen beeinträchtigen kann. Dies ist aus mehreren Gründen wichtig:

Erstens gibt die Partitionierung, wenn sie mit einem Echtzeit-Betriebssystem (RTOS) verwendet wird, Flugzeugdesignern die Garantie, dass Aufgaben innerhalb eines definierten Zeitrahmens ausgeführt werden – der Worst-Case-Ausführungszeit (Worst-Case Execution Time, WCET). Dies liegt daran, dass sie wissen, dass die notwendigen CPU- und Speicherressourcen dafür reserviert sind. Dies ist für sicherheitskritische Systeme, wie das Flugsteuerungssystem, unerlässlich: Sie müssen absolut sicher sein, dass zum Beispiel ein Steuerungsmanöver mehr oder weniger sofort durchgeführt wird.

Zweitens bietet die Partitionierung auch Wiederherstellungsmechanismen. Wenn ein System ausfällt oder abstürzt, wird dies nicht dazu führen, dass auch andere Systeme abstürzen oder falsche Aktionen ausgeführt werden. Ein Batteriemanagementsystem und seine zugehörigen Gesundheitsüberwachungsfunktionen sollten beispielsweise in einer eigenen Systempartition bereitgestellt werden, wie im Beispiel-eVTOL-Architekturdiagramm in der Abbildung gezeigt.

Jede Partition hat ihre eigene Datenakquisitionsanwendung (Data Acquisition Application, DAQ), die im Beispiel Sensorendaten in den Batteriepaketen sammelt, welche über IO-Treiber verbunden sind. Diese Daten werden an die zentrale Überwachungs- und Managementplattform des eVTOL weitergegeben. Wenn die Plattform ein Problem mit einem der Batteriepakete identifiziert, kann sie die erforderliche Intervention einleiten, z.B. das Abschalten dieses Batteriepakets, ohne die anderen Batteriepakete oder das gesamte Fluggefährt zu beeinträchtigen. Ein solches Wiederherstellungsereignis könnte beispielsweise das Überhitzen eines der Batteriepakete sein.

Diese Partitionierung ist der Punkt, an dem sicherheitszertifizierte Ausführungsumgebungen, wie ARINC 653-konforme Partitionen, ins Spiel kommen. Die ARINC 653-Spezifikation beschreibt (Betriebs-)Systeme, die Ressourcen in Avioniksystemen verwalten. Sysgo’s PikeOS beispielsweise wird mit einem eigenen ARINC 653-konformen Gastbetriebssystem geliefert, das in einer solchen Partition gekapselt ist, die die verschiedenen Systeme isoliert, die auf den zugrunde liegenden Prozessoren und Speicher laufen.

In modernen Flugzeugen ist Cyber-Sicherheit ein integraler Bestandteil der funktionalen Sicherheit. Das bedeutet, dass Flugzeuge auch eine cyber-sichere Architektur erfordern. Daher ist es sehr vorteilhaft, ein grundlegendes System zu haben, das Nachweise einer cyber-sicheren Architektur enthält, wie solche, die eine gültige und hohe Common-Criteria-Zertifizierung besitzen.

Optimierung der gesamten Flugzeugzertifizierung durch Verwendung bewährter, zertifizierter Systeme

Da der wichtigste Aspekt von eVTOLs die funktionale Sicherheit ist, benötigen Software-Entwickler ein Basissystem oder eine Grundlage, die Zertifizierungsartefakte enthält, die in neuen Projekten wiederverwendet werden können.

Die Wahl eines RTOS mit Hypervisor, dass ein DO-178C-Zertifizierungskit bereitstellt und die sichere Funktionalität bis zu DAL A nachweist, bedeutet, dass Ingenieure die Ausführungsumgebung oder das Betriebssystem nicht von Grund auf neuzertifizieren müssen. Stattdessen können sie diesen Nachweis der Zertifizierungsbehörde als Teil ihres umfassenderen Flugzeugzertifizierungsprozesses vorlegen – was letztendlich die Zertifizierung beschleunigt und deren Kosten senkt.

Die Mehrkernprozessor-Chance

Der andere bedeutende Vorteil, den Sysgo’s PikeOS den Ingenieuren von eVTOLs bietet, ist die Möglichkeit, das Kosten- und Leistungspotenzial von Mehrkernprozessoren (Multi-Core Processors, MCPs) freizuschalten. Im Bereich von eVTOLs kann dies bedeuten, MCPs zur Steuerung mehrerer der oben genannten Bordsysteme sowie nicht sicherheitskritischer Komponenten zu verwenden. Durch Konsolidierung der Hardware auf diese Weise können Ingenieure ihre Stückliste (Bill of Materials, BOM) und das Gewicht des Fluggefährts reduzieren.

MCPs wurden in der Avionik traditionell vermieden, aufgrund der Komplexität der Bestimmung der zuvor genannten WCETs. Es gibt jedoch neue Leitlinien zur Verwendung von MCPs in diesem Bereich von der EASA (siehe AMC 20-193). Das bedeutet, dass eVTOL-Designer jetzt MCPs im symmetrischen Multi-Processing (SMP)-Modus verwenden können, wobei funktional sicherheitskritische und andere Aufgaben auf alle Kerne verteilt werden, und zwar auf eine Weise, die strengen Sicherheitszertifizierungen (für funktionale und Cyber-Sicherheit) entspricht.

Die Verwendung eines MCPs im SMP-Modus erfordert eine ARINC 653-kompatible Ausführungsumgebung, um sicherzustellen, dass funktional sicherheitskritische Systeme, die den MCP verwenden, nicht beeinträchtigt werden können. Auf diese Weise können Ingenieure ihre WCETs vorhersehbar definieren. Die zweite Hauptanforderung ist ein Hypervisor, der das Ausführen aller Systeme in der ARINC 653-Ausführungsumgebung ermöglicht und so eine einzige, sichere Plattform für Software-Designer bietet, auf der sie aufbauen können.

Sicheres Abheben

Die Design-Ingenieure von Sysgo haben mit zahlreichen Organisationen in der Luftfahrt zusammengearbeitet und können eVTOL-Entwickler während der gesamten Entwicklung ihrer innovativen Luftfahrzeuge unterstützen. Diese leistungsstarke Kombination aus Technologie und Fachwissen kann die Zeit verkürzen, die eVTOL-Hersteller benötigen, um ihre visionären Ideen in die Luft zu bringen.

Um mehr über die Entwicklung und Zertifizierung von eVTOL-Flugzeugsystemen mit Sysgo’s PikeOS RTOS und Hypervisor, einschließlich der verschiedenen Zertifizierungskits zur Unterstützung Ihrer Arbeit, zu erfahren, besuchen Sie www.sysgo.com/pikeos.

Der Autor

Franz Walkembach verfügt über mehr als dreißig Jahre Erfahrung in der Erstellung eingebetteter Systeme, hauptsächlich im Bereich der Automobil-OEMs, des Aftermarkts und der Softwareentwicklung. Vor seiner Tätigkeit bei Sysgo arbeitete er bei Wind River, wo er Produkt-/Lösungsangebote definierte, Kundenbedürfnisse identifizierte und den Umsatz/Gewinn für das Automobilproduktsegment sicherstellte. Bei Sysgo leitet er die Marketing- und Partnermanagementaktivitäten und ist Teil des Managementteams. Walkembach ist Dipl.-Ing. in Mechatronik und in verschiedenen Industriekonsortien aktiv. (mbf)

(ID:50132384)