English

Advanced embedded systems increasingly contain self-optimizing behavior to improve or maintain properties like quality of service, dependability, or performance in spite of failures or environmental changes. As embedded systems are often employed in a safety-critical context, the effects of self-optimization on the safety must be analyzed carefully. Self-optimization is usually implemented by software and results in the exchange of system components at runtime which means a change of the architecture.

This thesis presents a hazard analysis approach for such systems which is geared especially towards the properties of self-optimizing systems, e.g. architectural reconfiguration for behavioral adaptation.

The hazard analysis is based on a specification of the errors and failures of individual components as well as their propagation in the system's component structure. This specification enables qualitative and quantitative hazard analyses. For the special case of self-optimizing systems, the different configurations of the system's component structure are taken into account.

The hazard analysis approach contains a modeling language for the structure and structural reconfigurations. The specification of structure is based on UML component diagrams and composite structures. The accompanying language for structural reconfigurations combines graph transformations with the concrete syntax of component diagrams for a tight integration with the modeling language for component structures.

Examples from the RailCab-Project are used to illustrate the presented concepts. The hazard analysis has been implemented prototypically in the Fujaba4Eclipse case tool.

Deutsch

Selbstoptimierende, mechatronische Systeme können ihr Verhalten in Reaktion auf Änderung der Umgebung oder der Ziele anpassen und somit diese Ziele besser als herkömmliche mechatronische Systeme erfüllen. Da selbstoptimierende Systeme oftmals in sicherheitskritischen Systemen eingesetzt werden, muss bei der Entwicklung ein besonderer Schwerpunkt auf die Sicherheit gelegt werden.

In dieser Arbeit wird eine Gefahrenanalyse für selbstoptimierende Systeme vorgestellt, die speziell auf die Eigenschaften dieser Systeme, im Besonderen die Verhaltensanpassung durch Strukturrekonfiguration, zugeschnitten ist.

Die Gefahrenanalyse basiert auf einer Spezifikation der verschiedenen Fehler in einzelnen Komponenten des Systems sowie deren Propagierung durch die Komponentenstruktur. Dies ermöglicht dann in Kombination mit einer Gefahrenspezifikation qualitative und quantitative Analysen des Auftretens der Gefahr.

Diese Analysen betrachten nicht nur die verschiedenen Fehler im System, sondern explizit auch die sich aus der Selbstoptimierung ergebenden verschiedenen Strukturkonfigurationen. So können beispielsweise die beste und schlechteste Strukturkonfiguration in Bezug auf die Wahrscheinlichkeit der Gefahren aber auch alle Konfigurationen berechnet werden, welche geforderte Wahrscheinlichkeiten einhalten.

Grundlage dieser Gefahrenanalyse für selbstoptimierende Systeme ist eine geeignete Spezifikation der Struktur und deren Rekonfiguration. Die hierfür entwickelte Spezifikationssprache nutzt Graphtransformationen, um visuell die Transformation einer Strukturkonfiguration in eine andere Konfiguration zu modellieren. Die Sprache ist stark typisiert und formal so definiert, dass bei der Ausführung der Transformationen nur typkonforme Strukturkonfigurationen entstehen, die dann von der Gefahrenanalyse ausgewertet werden.

Die in der Arbeit beschriebenen Konzepte werden anhand eines realen selbstoptimierenden Systems, den RailCabs der Neuen Bahntechnik Paderborn, erläutert. Die Konzepte wurden prototypisch in einem Entwurfswerkzeug für die Software selbstoptimierender Systeme umgesetzt.