SE518104C2 - System och metod för programvaruunderhåll - Google Patents

Description

25 30 518104 2 jande underhåll åtgärdas genom att defekta komponenter eller hela den fallerade enheten byts ut.

BESKRIVNING AV UPPFINNINGEN Enligt en utföringsform av föreliggande uppfinning tillhandahålls ett system för underhåll av utrustningar innefattade i ett fordon, där utrustningarna har medel inrättade att övervaka driften av utrustningarna och övervakningsmedlen är förbundna med en registreringsenhet för att registrera detekteringar av driftavvikelser i utrustningarna och där för åtminstone en av utrustningarna övervakningsmedlen är inrättade att övervaka exekvering av i utrustningen innefattad programvaran för att detektera förekomster av feltillstånd och/eller felyttringar.

Det är här på sin plats att klargöra terminologin. I en mjukvaras programkod kan det finnas ett antal konstruktionsfel eller programvarufel, exempelvis beroende på misstag vid konstruktions- eller programmeringsarbetet. Dessa fel har således ej upptäckts och korrigerats vid utförda konstruktionsprov under arbetet med att utveckla mjukvaran, där exempelvis testas funktionen hos ingående delar och att variabler har rimliga värden. Att en programdel börjar leverera orimliga värden eller att en variabel har ett orimligt värde utgör exempel på sk feltillstånd som orsakats av nämnda konstruktionsfel. Ett feltillstånd märks ej nödvändigtvis på det funktionella förloppet men kan tänkas detekteras genom speciella detekteringsfunktioner. En felyttring uppstår först när de orimliga värdena används i programmet på ett sådant sätt att störningar inträffar i programmets funktion eller att funktionen helt havererar.

Vissa konstruktionsfel är således svårupptäckta på grund av att feltillstånd som härstammar ur felen är sällsynt uppträdande, och felyttringar kan vara än mer sällsynt uppträdande och endast förekomma i situationer som mycket sällan infinner sig. Ett antal av dessa svårupptäckta konstruktionsfel finns med stor sannolikhet kvar i programkoden vid inladdning i ett flygplans utrustning, där de ligger latent till dess att en situation uppstår, i vilken något av felen orsakar ett feltillstånd. Det kan sedan eventuellt dröja ytterligare en tid innan detta feltillstånd ger upphov till en felyttring.

Vid felyttringen är programvarans funktion störd eller helt havererad, varför felyttringen normalt är observerbar för användare/operatör/förare. 10 15 20 25 30 518104 Övervakningsmedlen detekterar feltillstånd så fort de uppträder, varpå genom underhåll av programvaran efter överföring av registreringarna beträffande de detekterade feltillstånden det aktuella konstruktionsfelet borttages, varigenom vid senare användning av fordonet förhindras att feltillstånden återuppstår i programmet, där de utgör en risk för att ge upphov till felyttringar och därmed mer eller mindre allvarliga tillbud. Genom detta systematiska underhåll av programvarorna minskas och elimineras på sikt eventuellt helt förekomsten av konstruktionsfel i de i utrustningarna innefattade programvarorna. Det är till och med i många fall möjligt att åtgärda konstruktionsfelen till och med innan skadliga felyttringar hinner uppträda.

Vilka typer av programfel som övervakningsmedlen kommer att upptäcka beror givetvis på hur övervakningsmedlen är utformade. I ett utförande är övervaknings- medlen inrättade att övervaka att i förväg uppställda kriterier som förutsätts gälla för programvarans programmönster och/eller arkitektur är uppfyllda. Exempel på feltillstånd som då är detekterbara av övervakningsmedlen och registreras är att behandlingstiden för en viss operation överskrider en angiven maximalt tillåten tid, att ett angivet maximalt tillåtet antal överföringsfel i följd överstigs, att största tillåtna fördröjning hos annan nod i ett nätverk överstigs eller att ett tillåtet arbetsområde för data eller adresser överträds. I ett annat utförande är övervakningsmedlen inrättade att detektera att samband som gäller för korrekt funktion är uppfyllda.

Lämpligtvis är övervakningsmedlen utformade som en del i de i utrustningarna befintliga programvaroma och är antingen inlemmade direkt i prograrnvarans pro- gramkod eller utformade som en fristående del påhängd programkoden.

För att vid underhåll underlätta, eller möjliggöra, lokalisering och identifiering av konstruktionsfelen, omfattar varje registrering företrädesvis fellokaliseringsinfor- mation och variabelvärden för relevanta parametrar, aktuella vid tillhörande feltill- stånd eller felyttring. 10 15 20 25 30 518104 4 I ett utförande innefattar registreringsmedlen en minnesenhet inrättad att spara regist- reringarna.

Fordonet är i ett utförande ett flygdon och innefattar åtminstone ett realtidssystem.

Uppfinningen innefattar även en metod att genomföra underhåll hos ett fordon, vilken metod innefattar att driften hos en eller flera i fordonet ingående utrustningar övervakas och att detekteringar av driftsavvikelser i utrustningarna registreras, där för åtminstone en av utrustningarna övervakas exekveringen av en i utrustningen innefattad programvara för att detektera förekomster av feltillstånd och/eller felyttringar.

KORT FIGURBESKRIVNING Figuren visar schematiskt ett exempel på uppbyggnaden av ett system i en anlägg- ning för att upptäcka programvarufel.

UTFÖRANDEFORMER I figuren anger hänvisningssiffra l en anläggning innefattande mjukvaror 7 bildande ett eller flera realtidssystem. Anläggningen 1 är exempelvis ett stålverk, ett käm- kraftsverk, en pappersmaskin eller ett fordon. I fallet att anläggningen är ett fordon är fordonet exempelvis ett markbundet fordon såsom en personbil, buss eller lastbil, ett vattenburet fordon såsom ett fartyg eller en u-båt eller ett luftburet flygdon såsom en helikopter eller ett flygplan. Uppfinningen kommer nedan att beskrivas i anslutning till ett flygplan, vilket kan vara ett militärt eller civilt, passagerar- eller transportflyg- plan. Planet har ett antal utrustningar 2a,2b,2c. I begreppet utrustning innefattas system av eller en kombination av utrustningar samarbetande via ett kommunika- tionsnät. Utrustningarnas 2a,2b,2c funktion övervakas; funktionsproblem i en av planets utrustningar 2a,2b,2c beror exempelvis på att någon eller några av dess ingå- ende mekaniska och/eller elektriska komponenter gått sönder, på grund av slitage eller därför att de överbelastats. Funktionsproblernen i form av haveri eller driftstör- 10 15 20 25 30 518104 5 ningar av något slag signaleras till planets pilot via instrumentpanelen i planets cock- pit, exempelvis i form av varningslampor eller textmeddelanden. inträffar haveriet eller driftstörningarna vid en säkerhetskontroll före start får starten uppskjutas, haveriet eller störningarna undersökas och felaktiga komponenter bytas ut. Därefter utförs ny säkerhetskontroll, varpå planet kan lyfta om inga varningar utfärdas.

Komponentproblem som däremot uppstår under flygning åtgärdas vid underhåll efter flygningen. I det fall att redundanta utrustningar finns, kopplas per automatik en av dessa redundanta utrustningar in samtidigt som piloten via instrumentpanelen informeras om att ett haveri inträffat. Finns ej redundanta utrustningar får piloten klara flygningen med en förenklad funktion utan stöd av aktuell utrustning.

Planets utrustningar 2a,2b,2c har en anslutning till en registreringsenhet 3 med ett massminne 4. Registreringsenheten 3 har till uppgift att samla in data från de utrust- ningar 2a,2b,2c som är behäftade med störningar eller som har havererat och spara undan datat i massminnet 4. Efter landning tas antingen massminnet 4 fysiskt ur planet eller också laddas datat över till en mobil enhet. Minnets innehåll gås genom för att lokalisera och identifiera felet/felen som orsakat haveriet eller störningarna.

Vid efterföljande underhåll byts de trasiga komponenterna eller hela den fallerade utrustningen ut, varpå utrustningarna testas. I ett alternativt utförande har registre- ringsenheten 3 kommunikationsutrustning för att under flygningen kommunicera registreringarna till en markbaserad station istället för att spara dem i massminnet.

Registreringsenheten 3 har även till uppgift att samla in data från utrustningarnas 2a mjukvaror 7 vid detektering av fel i dessa, där mjukvaran arbetar i realtid. Skillnaden mellan de ovan beskrivna hårdvarufelen och mjukvarufel är ju att hårdvarufelen upp- står i komponenter efter en tids användning, på grund av slitage osv, medan mjuk- varufelen är svårupptäckta konstruktions- eller programmeringsfel som ej upptäckts vid utveckling och test av mjukvaran och som finns i mjukvaran vid installation i utrustningen. För dessa svårupptäckta fel är feltillstånd som härstammar ur felen sällsynt uppträdande och felyttringar är sannolikt än mer sällsynt uppträdande och förekommer endast i situationer som mycket sällan infinner sig. Dessa mjukvarufel som finns kvar i programkoden vid inladdning i en utrustning i ett flygplan ligger således där latent till dess att en situation uppstår, i vilken ett av felen ger upphov till ett feltillstånd. Det kan sedan dröja ytterligare en tid innan detta feltillstånd ger 10 l5 20 25 30 518104 6 upphov till en felyttring, vilket såsom tidigare nämnts är ett läge där mjukvarans funktion är störd eller helt havererad.

Såsom tidigare nämnts består registreringsenhetens 3 uppgift i att samla in information om hårdvarufel i utrustningama 2a,2b,2c, men även att samla in data beträffande mjukvarufel. Att samla in data beträffande mjukvarufelen består i att samla in tillstånd och variabelvärden för aktuella parametrar och variabler vid både feltillstånd och felyttringar samt i vilken procedur eller adress i mjukvarans programkod som feltillståndet/felyttringen uppstod. För att möjliggöra registreringen av mjukvarufelen finns mellan registreringsenheten 3 och de utrustningar 2a som innefattar mjukvaran 7 en kanal 5, via vilken en övervakningsdel 6 för mjukvaran 7 kommunicerar data angående de detekterade feltillstånden och felyttringarna. Således har varje mjukvara 7 en del 6 avsedd att övervaka exekveringen av mjukvaran och detektera förekomster av feltillstånd och felyttringar så att vid en sådan detektering registreringsenheten i sitt massminne 4 registrerar vilken procedur eller adress som exekverades när feltillståndet eller felyttringen uppträdde samt vid feltillståndet eller felyttringen aktuella variabeltillstånd och variabelvärden.

Mjukvarans 7 övervakningsdel 6 är utformad för att övervaka att i förväg, exempel- vis vid arbetet med utvecklingen av programvaran, uppställda kriterier är uppfyllda för programvarans programmönster och/eller arkitektur. Exempel på feltillstånd som är detekterbara av övervakningsmedlen och kommuniceras till registreringsenheten 3 via kanalen 5 för registrering är att behandlingstiden för en viss operation överskrider en angiven maximalt tillåten tid, att största tillåtna fördröjning hos annan nod i ett nätverk överstigs, att ett tillåtet arbetsområde för data eller adresser överträds eller att ett angivet maximalt tillåtet antal överföringsfel i följd överstig. Dessutom är över- vakningsmedlen inrättade att detektera att samband som gäller för korrekt funktion är uppfyllda. Ett exempel på ett sådant samband (en sk invariant) avser inmatning av data till en array med ett bestämt antal positioner. Om ett index räknas upp för varje data som matas in i arrayen och ett index som avser antalet tomma positioner i arrayen räknas ned måste summan av dessa båda indexvärden vara konstant och dessutom sammanfalla med antalet positioner i arrayen. Övervakningsmedlen är dessutom inrättade att detektera andra samband och gränser, exempelvis att vid 10 15 20 25 30 518104 7 programoperationer de ingående operanderna har för aktuell operation oacceptabla värden.

Det är för fackmannen uppenbart hur dessa funktioner för att detektera feltillstånd och felyttringar kan vara implementerade i programvarans övervakningsdel 6. Iett exempel är övervakningsdelen 6 insprängd i mjukvarans 7 programkod och i ett annat exempel är övervakningsdelen 6 en fristående del, påhängd mjukvaran 7.

Registreringarna i minnet 4 avseende mjukvarufel överförs till en speciell organisa- tion 8 för mjukvaruunderhåll. Överföringen till mjukvaruunderhållsorganisationen 8 kan ske på en mängd olika sätt. I ett exempel tas efter flygningen minnet 4 manuellt loss ur registreringsenheten 3 och minnet 4 transporteras till underhållsorganisa- tionen 8, där mjukvaruregistreringarna avläses. I ett altemativt utförande, i vilket minnet 4 ej är nödvändigt, kommuniceras registreríngarna exempelvis via radio eller ett cellulärt kommunikationsnät till underhållsorganisationen antingen under flyg- ningen eller efter flygningen. I mjukvaruunderhållsorganisationen 8 gås värdena vid feltillstånden och/eller felyttringarna genom för att lokalisera det eller de underliggande programmeringsfelen. Åtminstone den eller de moduler hos mjukvarans källkod 9 som är behäftade med fel korrigeras och omkompileras. Den sålunda skapade maskinkoden 10, representerande en modifierad variant av mjukvaran 7, laddas in i utrustningen 2 eller i en motsvarande simulator, varpå dess funktion testas. Alla plan utrustade med motsvarande mjukvaror 7 förses med den uppdaterade maskinkoden 10. På så sätt erhålls ett systematiskt underhåll, ej endast av flygplanens hårdvara, utan även av deras mjukvara. Skillnaden vid underhållsarbetet är att för hårdvaran finns färdiga utbytesenheter att monteras i planets utrustningar medan för mjukvarufelen befintlig mjukvara måste uppdateras av mjukvaruunderhållsorganisationen 8. Det är ur säkerhetssynpunkt mycket viktigt att i flygplanens utrustningar ingående programvaror systematiskt underhålls för att minska mängden programvarufel för att på sikt erhålla en helt felfri programvara, då det är omöjligt att förutsäga vilka felyttringar och skador ett programvarufel kommer att ställa till med. Dessutom är många av dessa programmeringsfel av den art att samma fel i programkällkoden kan ge upphov till helt olika störningar eller haverier i två olika programversioner maskinkod beroende på att mjukvaroma i varje version kan komma att exekveras enligt ett eget förlopp. 518104 I det häri beskrivna utförandet är övervakningen av mjukvaror integrerad med över- vakningen av hårdvaror. Uppfinningen skall dock ej anses begränsad till detta utfö- rande utan innefatta ren mjukvaruövervakning. Det häri beskrivna utförandet kan användas i de inledningsvis nämnda tillämpningarna utan vidare modifikation. Över- föringen av registreringarna till mjukvaruunderhållsorganisationen 8 sker då givetvis medelst ett för tillämpningen mest väl lämpat medium.

Claims (10)

1. 518 104

2. PATENTKRAV 10 15 20 25 30

3. System för underhåll av utrustningar (2a, 2b, 2c) innefattade i ett fordon (1), varvid utrustningarna har medel inrättade att övervaka driften av utrustningarna och övervakningsmedlen är förbundna med en registreringsenhet (3) för att registrera detekteringar av driftavvikelser i utrustningarna, k ä n n e t e c k n at a v, att för åtminstone en av utrustningarna (2a) är övervakningsmedlen (6) inrättade att övervaka exekvering av i utrustningen innefattad programvaran (7) för att detektera förekomster av feltillstånd och/eller felyttringar.

4. System enligt patentkrav 1, k ä n n e t e c k n at a v, att det innefattar en utanför fordonet placerad programvaruunderhållsorganisation (8) inrättad att behandla registreringarna för att skapa en uppdaterad mjukvara (7) för utrustningen (2a).

5. System enligt patentkrav 1, k ä n n e t e c k n a t a v, att fordonet är ett flygdon.

6. System enligt patentkrav 1, k ä n n e t e c k n at a v, att övervakningsmedlen (6) är inrättade att övervaka att i förväg uppställda kriterier är uppfyllda för programvarans programmönster och/eller arkitektur.

7. System enligt patentkrav 1, k ä n n e t e c k n at a v, att övervakningsmedlen (6) är inrättade att övervaka att samband som gäller för korrekt funktion är uppfyllda.

8. System enligt något av patentkraven 1 till 5, k ä n n e t e c k n at a v, att övervakningsmedlen (6) är integrerade med respektive programvara (7).

9. System enligt patentkrav 1, k ä n n e t e c k n at a v, att varje registrering omfattar fellokaliseringsinformation och variabelvärden aktuella vid tillhörande feltillstånd och/eller felyttring. 10

10. 51 s 104 10 System enligt något av patentkraven 1 till 5, k ä n n e t e c k n at a v, att registreringenheten (3) innefattar en minnesenhet (4) inrättad att spara registreringarna. System enligt patentkrav 1, k ä n n e t e c k n at a v, att fordonet innehåller ett realtidssystem. Metod att genomföra underhåll hos ett fordon, vilken metod innefattar att driften hos en eller flera i fordonet ingående utrustningar (2a, 2b, 2c) övervakas och att detekteringar av driftsavvikelser i utrustningarna registreras, k ä n n e t e c k n a d a v, att för åtminstone en av utrustningarna (2a) övervakas exekveringen av en i utrustningen innefattad programvara (7) för att detektera förekomster av feltillstånd och/eller felyttringar. n øuøucu o