Sviluppo di software per sistemi ferroviari safety critical

Dal 1997 Intecs sviluppa software fail safe per sistemi di segnalamento ferroviari conforme agli standard di settore (CENELEC EN 50126, 50129, 50129) e, in particolare, implementando il ciclo di vita a V previsto in essi.

Di seguito alcuni esempi:

• progettazione, sviluppo e test del core software utilizzato su piattaforme hardware basate su processore Motorola MC68XXX, Power PC, FPGA Altera/Xilinx. Il software sviluppato è utilizzato sia su apparati di bordo che di terra;

• progettazione, sviluppo e test dello stack EURORADIO. Lo stack di comunicazione EURORADIO è utilizzato dal sistema ERTMS/ETCS (European Rail Traffic Management System/European Train Control System) che permette gestione, controllo e protezione del traffico ferroviario e relativo segnalamento a bordo allo scopo di garantire l'interoperabilità dei treni soprattutto sulle reti ferroviarie europee ad alta velocità/capacità;

• progettazione, sviluppo e test del software della logica di controllo degli apparati residenti a bordo treno (es. EVC, STM, RIM, BTM, MMI/DMI, ...) per sistemi di segnalamento nazionali (SCMT, SSC) ed europei (ERTMS/ETCS);

• progettazione, sviluppo e test di adeguati strumenti software di supporto per esempio alla generazione di telegrammi (opportune sequenze di bit scambiate fra boe a terra e bordo treno) per sistemi di segnalamento nazionali (SCMT, SSC) ed europei (ERTMS/ETCS).

Inoltre Intecs progetta e sviluppa simulatori software per consentire di effettuare attività di test e integrazione di sistema potendo simulare, oltre alla condizioni di normale funzionamento, anche anomalie difficilmente riproducibili in ambiente reale.

I linguaggi maggiormente utilizzati sono: ANSI C, C++, C#, Assembler, ADA.

Verifica del software e test d'integrazione hardware/software

Intecs esegue attività di verifica e test del software e anche test d'integrazione hardware/software a livello di sistema/sottosistema in conformità a quanto richiesto dagli standard europei CENELEC 50128 e 50129.

L'obiettivo di queste attività è verificare che, per ogni fase del ciclo di vita, il software è stato sviluppato correttamente e consistentemente rispetto agli input della fase stessa e che hardware e software interagiscono correttamente nella realizzazione delle funzionalità. Le metodologie/tecniche utilizzate/verificate sono quelle necessarie/selezionate per garantire il SIL (Safety Integrity Level) assegnato al sistema/sottosistema.

Per il raggiungimento dell'obiettivo Intecs è in grado di produrre il Piano di Verifica del Software e il piano di Test del Software. Dopo ogni verifica è compilato un Rapporto di Verifica in cui è registrato l'esito dell'esecuzione di ogni singolo test.

La tipologia di test che Intecs è in grado di eseguire sono:

• test di Modulo/Unità, usati per verificare i requisiti di dettaglio del software. Questi test sono eseguiti sia su host (personal computer) che su target (schede embedded);

• test di Integrazione, usati per verificare i requisiti dell'architettura del software. Questi test sono preparati su host (personal computer) ed eseguiti su target (schede embedded). Gli approcci utilizzati sono Black-Box e Equivalence-Class (CENELEC 50128);

• test di Integrazione hardware/software, usati per verificare i requisiti architetturali di sistema ed i requisiti del software al fine di dimostrare che esegue correttamente sull'hardware di sistema utilizzando le opportune interfacce fisiche: Gli approcci utilizzati sono Black-Box, Equivalence-Class e  ispezione manuale (CENELEC 50128)

Per le tipologie di test indicate, Intecs utilizza:

1.  Cantata (IPL) i test dei moduli

2.  tool proprietari per i test di Integrazione.

Per tutte le attività di test Intecs è in grado di predisporre autonomamente i Piani di Test (comprensivi delle matrici di tracciabilità verso i documenti/requisiti di riferimento) secondo quanto previsto dallo standard CENELEC 50128, di eseguire i test stessi e di compilare i rapporti di esecuzione.

  Validazione indipendente di hw/sw e di sistema

Lo scopo di queste attività è verificare che tutti i requisiti funzionali e di safety sono stati correttamente recepiti a livello hardware, software e di sistema. La validazione è portata avanti in termini di analisi e test degli apparati che concorrono a formare il sistema/sottosistema di segnalamento oggetto di validazione.

Intecs è in grado di predisporre il Piano di Validazione e il Piano dei Test di Validazione. Per l'esecuzione dei test è spesso necessario utilizzare dei simulatori forniti dal cliente o realizzati ad hoc da Intecs. Al termine dell'attività è compilato un Rapporto di Validazione e tutti i test sono tracciati sui requisiti funzionali e di safety presi in esame.

Da sottolineare che la struttura Intecs è in grado di garantire la corretta indipendenza dei due ruoli fondamentali previsti per tali attività - Verificatore e Validatore - conformemente a quanto lo standard CENELEC richiede per ogni grado di SIL (Safety Integrity Level).

Attività RAMS (Reliability, Availability, Maintainability, Safety)

Intecs svolge queste attività in conformità agli standard CENELEC 50126 e 50129.

Di seguito una sintetica lista di attività specifiche:

• pianificazione del ciclo di vita relativo alla safety di sistema e del software (stesura dei piani della Sicurezza, dei piani RAM, del Safety Case, mantenimento degli Hazard Logs, etc.);

• definizione, quantificazione e assegnazione ai sottosistemi dei requisiti RAMS;

• identificazione degli hazard e valutazione del rischio;

• analisi/metodi qualitativi o quantitavi sui parametri RAMS:

• partecipazione alle review tecniche durante l'intero ciclo di vita di sviluppo del prodotto per garantire la conformità agli standard di qualità e di safety  applicabili al progetto;

• valutazione del processo RAMS del cliente (as-is) al fine di aumentarne efficacia e efficienza (to-be)

Intecs  svolge questa attività in conformità con la norma CENELEC 50126 relativa al ciclo di vita ed al RAMS (Reliability, Availability, manutenibilità e sicurezza).

Intecs è in grado di effettuare le seguenti operazioni:

Analisi per la sicurezza a livello di sistema:

• Analisi preliminare dei rischi utilizzando tecniche HAZOP (HAZard e studio di operabilità)

• Analisi dei rischi per FMECA ((Failure Mode Effect and Criticality Analysis) e le tecniche FTA (Fault Tree Analysis)

Definizione dei requisiti RAM con calcolo dei parametri (cioè MTBF, etc.):

• Verifica e validazione a livello di sistema

• Produzione di documentazione conforme agli standard CENELEC

• Verifica della documentazione

• Produzione dei Report di Validazione e "Safety Case".

   

Valutazione formale della safety  

Lo scopo della valutazione formale indipendente (assessment) è di dimostrare che il sistema è conforme agli standard di safety dei sistemi di segnalamento ferroviario. Sia gli aspetti legati alla realizzazione del sistema che quelli legati alla preparazione dei dati necessari alla sua installazione e messa in servizio sono attentamente valutati secondo quanto indicato dagli standard e dalle normative vigenti. Sono anche valutati tutti gli aspetti legati all'organizzazione, al controllo di qualità e alla gestione della safety. Un'attenzione particolare è rivolta alle attività di verifica e validazione che prevedono generalmente delle sessioni di test presso la sede del fornitore del sistema (Test Witnessing) da effettuarsi in presenza del valutatore (assessor).

In questo contesto Intecs fornisce supporto altamente specializzato ai maggiori Enti Certificatori (Notified Bodies, Verificatori Indipendenti della Sicurezza, Independent Safety Assessor) nazionali ed internazionali per effettuare la valutazione formale della safety.

Grazie a questa stretta collaborazione con gli Enti Certificatori, Intecs è in grado di accompagnare, per tutto il ciclo di vita, le aziende che hanno necessità di sottoporre un loro prodotto alla certificazione formale e di interagire direttamente con gli Enti Certificatori.

La valutazione funzionale dei sistemi ferroviari

Sono dei sistemi utilizzati per il supporto al segnalamento ferroviario, creati come "applicazioni generiche" diventano poi "applicazioni specifiche" quando vengono configurati per un contesto specifico. Questi due tipi di applicazioni derivano dalle specifiche dei requisiti di sistema che descrivono l'applicazione del progetto in questione, sotto forma di requisiti.

Intecs ha acquisito una profonda conoscenza nel segnalamento ferroviario territoriale attraverso corsi specializzati di formazione sul posto di lavoro. Inoltre, ha una vasta dimestichezza con i nuovi sistemi di segnalazione, italiani (SCMT, SSC) ed europei per la rete ad alta velocità (ERTMS / ETCS).

Con queste qualifiche, Intecs ha svolto e continua a svolgere attività per la valutazione funzionale delle applicazioni specifiche per i vari tipi di segnalazione.

L'attività di valutazione è effettuata attraverso l'analisi della documentazione di progetto fornita dal cliente rispetto ai requisiti definiti nel "System Requirements Specification" rilasciato sia da parte delle autorità ferroviarie (ad esempio RFI SpA, Trenitalia SpA) sia dalle organizzazioni internazionali di standardizzazioni (ad esempio UNISIG, UIC, ecc). L'attività è svolta per mezzo di liste di controllo e banche dati per la definizione dei requisiti per la documentazione di progetto. Durante l'attività vengono evidenziate le non conformità e le relative osservazioni, che vengono poi registrate nel rapporto di valutazione funzionale. Inoltre, INTECS ha svolto attività per l'elaborazione di specifiche di sistema (SRF, Vol 1, Vol 2, Vol 3, Vol 4) rispetto al SCMT, SSC e ERTMS, sistemi di bordo e di terra, con la gestione di specifiche aggiuntive o richieste di modifica fornite dalle autorità ferroviarie sollevate durante la fase operativa.