استفاده از راه‌حل‌های COTS برای برنامه‌های کاربردی اویونیک ایمنی- بحرانی

امروزه در بسیاری از موارد، هواپیماهای تجاری و نظامی از طریق کامپیوترها عملیات پرواز را انجام می‌دهند. این کامپیوترها شرایط ایمنی و الزامات عملکردی قوی را برای اطمینان از پرواز صحیح و رسیدن به مقصد برآورده می‌کنند. به این ترتیب تامین‌کنندگان سیستم و زیرسیستم‌های اویونیکی باید هر دو استاندارد سخت‌افزاری (DO-254) و نرم‌افزاری (DO-178C) را در نظر داشته باشند. استاندارد RTCA DO-254 به منظور تضمین طراحی سخت‌افزار الکترونیک هواپیما به کار گرفته می‌شود که رسما توسط صنعت هوانوردی فدرال در دهه قبل به رسمیت شناخته شد. این استاندارد ابزاری برای اثبات سازگاری طراحی سخت‌افزارهای پیچیده الکترونیک در سیستم‌های هوایی است. همچنین استاندارد نرم‌افزاری DO-178C در سیستم‌های هوانوردی و صدور گواهینامه تجهیزات به یک سند اصلی توسط مقامات صدور گواهینامه همچون FAA، EASA و Transport Canada تبدیل شد که به منظور تایید همه سیستم‌های هوایی مبتنی بر نرم‌افزار تجاری به کار گرفته می‌شود.

در گذشته به ویژه در سیستم‌های اویونیک نظامی، برای هر برنامه کاربردی بوردهای سفارشی به طور ویژه و انحصاری ساخته و از واگذاری آن به تامین‌کنندگان تجاری صرف نظر می‌شد. دلیل این امر عدم ارتباط بین هواپیماهای نظامی و تجاری و همچنین عدم امکان پرواز هواپیماهای نظامی در حریم هوایی هواپیماهای غیر نظامی بود. اما امروزه تقاضای گواهینامه‌های ایمنی برای هواپیماهای نظامی، اجازه «دسترسی نامحدود» به حریم هوایی غیرنظامی را می‌دهد. البته همچنان که حریم هوایی در بخش غیر نظامی در حال تکامل و مدرن‌سازی است، باید ابزارهای ارتباطی، ناوبری، نظارت و مدیریت ترافیک هوایی لازم برای هواپیمای نظامی، مطابق با نیازمندی‌های کنترل حریم هوایی جدید تایید شوند.

محصولات تجاری مرسوم در بازار (COTS) می‌توانند از طریق یکپارچه‌سازی با کامپیوترها و بوردهای ورودی- خروجی مطابق با استاندارد DO-254 و همچنین سیستم‌عامل‌های مطابق با استاندارد نرم‌افزاری DO-178، در سیستم‌های ایمنی- بحرانی به کار گرفته شوند.

افزایش پیچیدگی

در گذشته به دلیل اینکه بوردها سفارشی بودند، تامین‌کنندگان سیستم‌های نظامی مدارک ایمنی را خودشان کنترل و توسعه می‌دادند. اما امروزه چشم‌انداز فناوری در حوزه نظامی به سرعت در حال تکامل است. فواید و مزایای سخت‌افزار‌ها و نرم‌افزارهای تجاری مرسوم در بازار (COTS) به طور فزاینده‌ای طراحان سیستم‌های نظامی را قانع کرده‌ است. چرخه‌های فناوری با ارتقاهای مکرر در پردازنده‌های مجتمع، FPGAها و تراشه‌های سفارشی کوتاه شده است. هرچند نتیجه این تحولات پیچیدگی بیشتر در سیستم‌ها است، اما زمان توسعه محصولات به شدت کاهش یافته است و از این‌رو هزینه‌ها و زمان لازم برای دریافت گواهینامه‌های ایمنی کاهش می‌یابد.

یکی از مزایای قابل توجه بوردهای کامپیوتری COTS و دیگر زیرسیستم‌ها این است که مفهوم COTS مسئولیت‌های زیادی را از روی دوش تجمیع‌کنندگان سیستم‌ها، OEMها و پیمانکاران اصلی برداشته و به سازندگان سخت‌افزار محول می‌کند. از جمله این مسئولیت‌ها می‌توان به برنامه‌ریزی برای جایگزینی فناوری و پیشگیری از عقب‌ماندگی قابلیت‌ها اشاره کرد. این ویژگی به طور قابل توجهی در مقرون به صرفه بودن بیشتر پلتفرم‌های COTS کمک می‌کند. در واقع هزینه‌های سنگین و ریسک زیاد مربوط به توسعه اولیه فناوری‌ها به سازندگان سخت‌افزار محول می‌شود که قرار است محصول خود را به جای استفاده در یک مورد خاص، برای برنامه‌ها و طرح‌های مختلف عرضه کنند.

با افزایش درخواست‌ها برای صدور گواهینامه‌های ایمنی، افزایش تدریجی مسئولیت سازندگان سخت‌افزارهای COTS نیز اجتناب‌ناپذیر است. در واقع این فرصتی برای ایجاد یک بازی برد- برد است. کاهش قابل ملاحظه زمان، تلاش و ریسک برای تجمیع‌کنندگان سیستم‌ها و افزایش فروش برای سازندگان تجهیزات از مزیت‌های راه‌حل‌های COTS است.

تضمین اعتبارسنجی با ارزیابی دقیق

برای بوردهای COTS که در هواپیماهای تجاری و نظامی مورد استفاده قرار می‌گیرند، باید همان فرآیند نظارت دقیق را مانند بوردهای سفارشی انجام دهند تا اطمینان حاصل شود که وظایف خود را بی وقفه، قابل اعتماد و بدون هیچ حالت غیرمنتظره‌ای انجام داده‌اند. یک حالت عملی غیر منتظره یا اجرای اشتباه یک دستور تنها دو نمونه از حالت‌های خاصی است که می‌تواند موجب یک حادثه بزرگ برای سیستم کنترل یا اختلال جزئی در سیستم سرگرمی مسافران شود.

در دنیای اویونیک، استانداردهای DO-254 و DO-178C پنج سطح اطمینان طراحی (DAL) تعریف می‌کنند که با بررسی اثرات شکست و خرابی روی هواپیما، خدمه و مسافران طبقه‌بندی می‌شوند. سطوح اطمینان طراحی و توضیحات کامل استانداردهای DO-254 و DO-178C در شماره‌های23 و 24 مجله اویونیک شرح داده شده است. به طور خلاصه دسته‌بندی خرابی‌ها به صورت زیر است:

• فاجعه‌آمیز: خرابی می‌تواند موجب تلفات انسانی زیاد و حتی از بین رفتن کامل هواپیما شود. (DAL-A)
• خطرناک: خرابی تاثیر منفی زیادی بر ایمنی و عملکرد هواپیما دارد. این خرابی می‌تواند قابلیت و عملکرد خدمه پروازی را به سبب ایجاد اضطراب یا افزایش بار کاری، کاهش دهد و نتیجه آن ایجاد تلفات در مسافران شود. (DAL-B)
• شکست عمده: خرابی به طور قابل توجهی سطوح ایمنی هواپیما را کاهش داده و بار کاری خدمه را افزایش می‌دهد. علاوه بر این خرابی ممکن است موجب اضطراب و ناراحتی مسافران یا حتی آسیب‌های جزئی در آن‌ها شود. (DAL-C)
• شکست خرد: خرابی به مقدار کمی سطوح ایمنی هواپیما را کاهش داده و بار کاری خدمه را افزایش می‌دهد. این خرابی ممکن است باعث ایجاد ناراحتی در مسافران شده و حتی مسیر پروازی را تغییر دهد. (DAL-D)
• بی‌تاثیر: خرابی هیچ تاثیری در ایمنی عملکرد هواپیما نداشته و بار کاری خدمه را تغییر نمی‌دهد. (DAL-E)

همانطور که می‌توان تصور کرد، DAL A به طور قابل توجهی دقیق‌تر از DAL E است و دستیابی به آن از نظر زمان و هزینه دشوارتر است. بنابراین هر نرم‌افزاری که جنبه‌های ایمنی محوری در دستورالعمل‌ها، کنترل‌ها و نظارت بر سیستم‌ دارد، نیاز به صدور گواهینامه A DAL خواهد داشت.

فرایند صدور گواهینامه

طراحی سخت‌افزاری و صحت‌سنجی بوردهای کامپیوتری باید مستقل از یکدیگر انجام شوند. طراح سخت‌افزار باید از برآورده شدن نیازمندی‌های تعریف‌شده برای سخت‌افزار اطمینان حاصل کند. در ضمن به موازات کار او، یک مهندس صحت‌سنجی مستقل باید طرحی را برای تست سخت‌افزار به منظور تایید برآورده‌شدن نیازمندی‌ها، آماده کند.

فرآیند برنامه‌ریزی برای صحت‌سنجی اولین گام است که در آن متخصص طراحی (شرکتی که سخت‌افزار را توسعه می‌دهد و COTS را در طراحی آن اعمال می‌کند) رویکرد خود را نسبت به صدور گواهینامه اعلام می‌کند. در مرحله طرح معیارهای بررسی سخت‌افزاری رای صدور گواهینامه به مقامات و مراجع قانونی ارائه می‌شود. در این طرح توسعه‌دهنده رویکرد خود و نحوه اجرای DO-254 در محصول نهایی را ارائه می‌کند.

مراحل توسعه سخت‌افزار

هنگام طراحی یک بورد، تیم توسعه باید مراحلی را طی کند تا از اینکه محصول تمام الزامات عملکرد ایمنی اختصاص یافته به سیستم را برآورده می‌کند، اطمینان حاصل شود. این مراحل عبارتند از:

• ثبت نیازمندی‌ها (شامل الزامات استخراج شده)
• اعتبارسنجی نیازمندی‌ها
• طراحی مفهومی
• طراحی با جزئیات
• پیاده‌سازی
• صحت‌سنجی
• انتقال به محصول (تولید)

در مرحله ثبت نیازمندی‌ها، نیازمندی‌های محصول شناسایی و از لحاظ سطح ایمنی برچسب‌گذاری می‌شوند. سپس نیازمندی‌های استخراج شده به سطح سیستم برگشت داده می‌شوند تا از سازگاری با عملکرد سطوح بالاتر اطمینان حاصل شود. فرآیند اعتبارسنجی نیازمندی‌ها اطمینان می‌دهد که نیازمندی‌های سخت‌افزاری با توجه به نیازمندی‌های ایمنی سیستم اختصاص یافته به آن‌ها درست و کامل هستند.

طراحی مفهومی، برنامه کار یا طرح تجسمی است که اجازه می‌دهد طراحی پیش‌بینی شده در برابر نیازمندی‌ها برای تکامل و سازگاری مورد ارزیابی قرار گیرد. مرحله طراحی با جزئیات در واقع یک ارائه الکترونیکی از محصول، کدهای VHDL، شماتیک‌ها، فایل‌های مدارات چاپی و غیره است. مرحله پیاده‌سازی به معنی تبدیل این فایل‌ها به محصول فیزیکی است. سپس فرآیند صحت‌سنجی این اطمینان را می‌دهد که پیاده‌سازی سخت‌افزاری، همه نیازمندی‌های سخت‌افزار از جمله نیازمندی‌های اختصاصی و الزامات ایمنی را برآورده می‌کند. از این‌رو برای اطمینان از برآورده‌شدن تمام نیازمندی‌ها، مرحله تست باید روی محصولی که از لحاظ فیزیکی و نرم‌افزاری کاملا مشابه نمونه تولیدی است انجام شود. مرحله آخر انتقال برای تولید است که وظیفه آن کسب اطمینان از اینکه محصول تولید شده دقیقا همان چیزی است که اسناد طراحی توصیف می‌کنند.

در حین اجرای تمام فرایند‌ها، باید ارتباط و مشاوره با مراجع قانونی صدور گواهینامه حفظ شود تا از روند صحیح توسعه محصول مطابق با مقررات وضع شده، اطمینان حاصل شود.

چالشی که برای فروشندگان سخت‌افزاری COTS وجود دارد این است که فرآیند خود را به سطح دقیق مورد نیاز برای این مراحل برسانند. با این حال صنعت هوایی نشان داده که تا حدودی با این چالش سازگار است و شرایط می‌تواند با معرفی زیرمجوعه‌های ساده از محصول و فرآیندهای توسعه آن، برای تولیدکنندگان محصولات COTS مساعد شود.

البته گواهینامه ایمنی تابعی از سخت‌افزار و نرم‌افزار است. مدت‌ها پیش از آنکه یک بورد COTS یا زیرسیستم از طریق فرآیند DO-254 برای صحت‌سنجی ساخته شود، فروشنده سخت‌افزار معمولا با فروشنده نرم‌افزار که مسئول ساخت سیستم‌عامل‌های مطابق با DO-178C (مانند VxWorks653، DEOS یا LynxOS-178) است همکاری خواهد داشت. معمولا فروشندگان سخت‌افزار اطلاعاتی را در رابطه با بسته پشتیبان بورد (BSP) به اشتراک می‌گذارند که به عنوان رابط بین بورد و سیستم‌عامل عمل می‌کند. مجموعه‌ای از اسناد طراحی‌های سخت‌افزاری و نرم‌افزاری کل سیستم، شرایط را برای اخذ گواهینامه تجهیزات پروازی سرنشین‌دار و بدون سرنشین فراهم می‌کند. (شکل 1)

پس از آنکه بسیاری از تامین‌کنندگان COTS مسئولیت سخت‌افزارشان را در طول عمر یک برنامه به عهده گرفتند، در حال حاضر به دنبال ارائه مجموعه‌ای از محصولات سازگار با صدور گواهینامه هستند تا مشتریانشان بتوانند به سرعت سیستم‌هایی که می‌توانند در هواپیمای هدف مورد تایید قرار بگیرند، مونتاژ کنند. از این‌رو بیشتر سخت‌افزار زیرسیستم‌ها در حال حاضر سازگار با گواهینامه هستند. برای مثال اخیرا شرکت آباکو یک سبد محصول دارای تاییدیه ایمنی شامل زیرسیستم‌های آماده ماموریتی و همچنین بوردهای پیشنهادی (کامپیوترهای تک بورد، گرافیک و بوردهای I/O) را ارائه کرده است. سیستم FORCE2 شرکت آباکو یک زیرسیستم کامل از پیش ادغام شده و آماده ماموریت است که نه تنها با گواهینامه DO-254 کاملا سازگار است، بلکه نیازمندی‌های لازم برای استفاده در سیستم‌هایی با DAL-A را نیز فراهم می‌کند.

سیستم FORCE2 ساخت شرکت آباکو- یک کامپیوتر قدرتمند مبتنی بر COTS که از رابط‌های مختلف اویونیک (مانند ARINC-429 و MIL-STD 1553) و سیستم‌عامل‌های محبوبی همچون VxWorks /VxWorks 653 و LynxOS پشتیبانی می‌کند.

شماتیک سخت‌افزاری سیستم  FORCE2

جمع‌بندی

افزایش هزینه‌ها و تاخیر ورود فناوری ناشی از طراحی‌های سفارشی برای تجهیزات کامپیوتری ایمنی محور، محرکی برای OEMهاست تا این زمینه را برای دسترسی بیش از قبل به فروشندگان COTS به کار بگیرند. در آینده نزدیک پلتفرم‌های چند‌هسته‌ای مورد تایید FAA/EASA (با پشتیبانی سیستم‌عامل COTS از چند فروشنده) ارائه خواهد شد. این رویکرد یک بازی برد- برد برای دو طرف معامله خواهد بود و نتیجه آن برای صنعت، دستیابی به سطوح بالاتری از ایمنی با زمان توسعه کمتر است.

سطوح مختلفی را برای بکارگیری محصولات COTS در یک سیستم اویونیک می‌توان در نظر گرفت. در پایین‌ترین سطح می‌توان به استفاده از نرم‌افزار‌های طراحی تجاری یا قطعات کوچک الکترونیکی اشاره کرد. اما بکارگیری از محصولات COTS می‌تواند در سطح یک کامپیوتر پیشرفته همراه با سیستم‌عامل برای بخش مدیریت پرواز هواپیما باشد. در نهایت می‌توان گفت هر چه سطح استفاده از مفهوم COTS در تجهیزات یک هواپیمای نظامی‌ بیشتر باشد، هزینه‌ها و زمان توسعه آن کاهش خواهد یافت.