Design of an embedded system architecture for a safety-critical system

Abstract

Os sistemas de segurança crítica consistem em dispositivos que devem funcionar sem falhas, caso contrário, poderão resultar em mortes, danos materiais significativos ou danos ao meio ambiente. Veículos Aéreos Não Tripulados (VANTs) são exemplos de tais sistemas e seu subsistema mais crítico é o sistema de controle de voo. Tendo em vista a sua implementação, existe uma demanda por uma arquitetura embarcada capaz de executar algoritmos de controle de alto custo computacional. Assim, esta dissertação propõem uma arquitetura que utiliza uma plataforma de desenvolvimento composta por uma GPU de propósito geral ao mesmo tempo buscando garantir a dependabilidade e o atendimento a requisitos de tempo real necessários para a sua operação. Inicialmente, os requisitos da arquitetura foram coletados a partir de um estudo sobre normas de segurança de hardware e software para aviação comercial, conjuntamente com a realização de entrevistas com pesquisadores envolvidos no projeto de um VANT. A partir dos requisitos obtidos, uma arquitetura de hardware de dois níveis foi definida composta por um hardware de alto desempenho e um hardware de baixo desempenho, cuja especificação foi guiada segundo os requisitos de comunicação com a instrumentação. O hardware de baixo desempenho utiliza o sistema operacional FreeRTOS e o hardware de alto desempenho, o Ubuntu 18.04. Além disso, tendo em vista o objetivo de agilizar o desenvolvimento, utilizou-se o framework de aplicações robóticas ROS 2 na plataforma de alto desempenho. Com o objetivo de aumentar a confiabilidade da arquitetura, três estratégias foram adotadas: i) implementação de uma lei de controle simples no hardware de baixo desempenho caso haja falha do hardware de alto desempenho; ii) implementação da estratégia de tolerância a falhas denominada "hotstandby" na camada de baixo nível, eliminando um ponto singular de falha; e iii) a utilização de bits redundantes para aumentar a confiabilidade de comunicação entre o hardware de baixo desempenho e o hardware de alto desempenho. Por fim, realizamos uma simulação usando injeção de falhas em um ambiente de simulação via Hardware-in-the-loop para analizar: i) funcionamento correto do sistema de controle de voo sem falhas de hardware; ii) comportamento do sistema de controle de voo perante a falhas do hardware de alto desempenho; e iii) comportamento do sistema de controle de voo perante a falhas do hardware de baixo desempenho.