האם יצרניות רכב מסוגלות לייצר רכבים ללא תקלות בכלל ?

[PinkDolphin]

לפני 8 שעות, VromVrom כתב:

לא יודע מאיפה הידע שלך, אבל אתה קצת לא מחובר למציאות.
לצערי/שמחתי עובד בחברת שבבים גדולה ויצא לי לעבור בין validation ו- design וזה ממש לא פשוט כמו שאתה מתאר את זה, יש כל כך הרבה פרטים רק בין החלקים הפנימיים של אותו מרכיב ושלא לדבר על החיבריות בינהם ברמות השונות.
אז לא לפעמים ריסט לא פותר את זה, וגם לא עדכון תוכנה.
 

אני גם הייתי ארכיטקט של SoC בעברי.
אחת הבעיות המשמעותיות כיון היא מוצרים שאורך חיי הדגם שלהם (הדגם, לא המוצר הספציפי) הוא לכל היותר שנה-שנתיים. נכון, חברות רכב לא מחליפות רכיבים כל שנתיים, אבל כשהרכיבים מורכבים, אין זמן אף פעם לדבג אותם עד הסוף. נכון באותה מידה גם למערכות תוכנה גדולות, כולל מערכות הפעלה.
זמן החלפה סביר היה צריך להיות 10 שנים לגירסה של חומרה או תוכנה, לא שנתיים-שלוש.
אני נתקל בהרבה יותר באגים בחומרה ותוכנה היום מאשר במוצרים לפני 25 שנה, בכל סוגי המוצרים כמעט ללא יוצא מהכלל.
היוצא מהכלל היחיד הוא מכשירים רפואיים קריטים לחיים, שם ה-FDA ומקביליו לא מאפשרים את זה, וטוב שכך. הייתי שמח לו היו משתמשים באותו קריטריון למכוניות, שמסוכנות לא פחות במקרה של תקלה.

[stx]

בתאריך 16.4.2023 בשעה 11:07, VromVrom כתב:

לא יודע מאיפה הידע שלך, אבל אתה קצת לא מחובר למציאות.
לצערי/שמחתי עובד בחברת שבבים גדולה ויצא לי לעבור בין validation ו- design וזה ממש לא פשוט כמו שאתה מתאר את זה, יש כל כך הרבה פרטים רק בין החלקים הפנימיים של אותו מרכיב ושלא לדבר על החיבריות בינהם ברמות השונות.
אז לא לפעמים ריסט לא פותר את זה, וגם לא עדכון תוכנה.

 

אתה מדבר על שלב הפיתוח של שבבים וספציפית על באגים פונקציונליים בשלב הפיתוח.

באגים קריטיים שמצליחים לשרוד עד השלב הסופי של השבב הם נדירים שבנדירים.

מה שכן, לכל שבב יש כמה עשרות או מאות באגים קטנים שלא הצדיקו תיקון ואז מפרסמים errata - שזה תיאור של התרחיש (הנדיר בדר"כ) בו קורה הבאג ושל ההשפעה (הקטנה בדר"כ) של הבאג.

מי שמשתמש במוצר יכול לבחור אם לדאוג שהתרחיש הזה לא יקרה או לחילופין לדאוג לגבי איך להתמודד איתו אם הוא קורה.

 

חברות הרכב לא מפתחות שבבים - הן קונות מוצר מדף - בדוק, מוכח ובדר"כ גם מוצר שעבר הקשחה והוא ייעודי לתעשיית הרכב.

חברות הרכב כותבות את הקוד שרץ על הכרטיס ובקוד הזה יש חלקים שמותאמים לכל דגם ושם יש פוטנציאל לא מבוטל לבאגים.

אם בקוד הזה יש באג שקורה בגלל איזה תרחיש אזוטרי שקורה אחת למיליון - אחרי שתעשה ריסט, בדר"כ כיבוי והתנעה יספיקו, תחזור למצב ההתחלתי ואין בעיה. אם הבאג הוא יותר מהותי, כשהוא יתגלה היצרן יוציא ריקול עם עדכון תוכנה שפותר אותו.

את החלקים הקריטיים "עוטפים" בצורה כזאת שתגן עליך גם אם הם ייכשלו - היצרן דואג שהתוכנה תזהה מצב כזה, תדליק לך נורה ותאפשר לך לעצור בצד תוך פרק זמן סביר. כמו ש-windows עדיין מציג לך מסך כחול עם סמיילי כשהוא קורס.

 

לגבי החומרה עצמה - אלקטרוניקה זה דבר אמין מאוד.

אם ניקח חסם עליון, רכב שנוסע 500,000 ק"מ במהירות ממוצעת של 25 קמ"ש שקול ל-20,000 שעות עבודה, שזה בערך שנתיים וחצי נטו.

יש אינספור טלפונים סלולריים, ראוטרים, מחשבים ביתיים, חוות שרתים וטלווזיות בפיצוציות שעובדים שנים רצוף בלי בעיה וגם כשהם כושלים, זה לא הסיליקון אלא רכיב כלשהו על הלוח.

מה שאמרתי הוא שאין בעיה עקרונית לתכנן מחשב רכב שיעבוד לאורך כל חיי הרכב עם אפס תקלות.

זה די המצב גם היום - החלפה של מחשב הרכב (פיזית, לא עדכון תוכנה) זה לא דבר שכיח. 

 

במקומות שבהם רוצים אמינות של מאה אחוז, כמו בבקרת טיסה של F16 שלא ממש ניתן להטיס אותו בלי המחשב, פשוט הכפילו את כל המערכת פי 4 ואם אחת מהן כושלת יש עוד 3 שמגבות אותה.

 

[zaf]

נתת את התשובה בעקיפין - F16.

 

אלקטרוניקה צבאית/תעופתית יקרה בסדרי גודל לעומת האלקטרוניקה בשימוש ברכב.

ציוד צבאי/תעופתי מתוכנן לשרידות ותפעול ללא תקלות לתקופות שעולות על 10 שנים. מטוסים בני 30 עדייין טסים עם מיכשור מקורי (לא כולם עוברים השבחה מלאה)

 

אילו יצרני הרכב היו מיישמים מודולים בתקן mil או דומה מחירי הרכב היו עולים מאד. 

זה לא כלכלי ליצרן, אחרת פיתוח רכב חדש יתארך, המוצר הסופי ישרוד ״יותר מידי״ והיצרן יפסיד.

 

כשלי האלקטרוניקה ברכבים המודרניים נובעים ברובם מחום גבוה לאורך זמן או מקורוזיה הנגרמת מפריצת האיטום סביב המודול האלקטרוני. 

את הבאגים בתוכנה פשוט יותר יותר לתקן ועם התפתחות ה ota, בעלי הרכב כמעט ולא יחושו בזה. 

ראה למשל עדכונים אוטומטיים לטלפונים. כל מה שהיצרן צריך זה לנטר את המודול לזהות דפוס שימוש שבו הרכב במנוחה/כבוי למשל בשעות הלילה המאוחרות ולבצע עדכון מרחוק. זה קיים ועובד אצל יצרנים מסויימים.

 

[PinkDolphin]

לפני 3 שעות, stx כתב:

 

אתה מדבר על שלב הפיתוח של שבבים וספציפית על באגים פונקציונליים בשלב הפיתוח.

באגים קריטיים שמצליחים לשרוד עד השלב הסופי של השבב הם נדירים שבנדירים.

 

מה שכן, לכל שבב יש כמה עשרות או מאות באגים קטנים שלא הצדיקו תיקון ואז מפרסמים errata - שזה תיאור של התרחיש (הנדיר בדר"כ) בו קורה הבאג ושל ההשפעה (הקטנה בדר"כ) של הבאג.

מי שמשתמש במוצר יכול לבחור אם לדאוג שהתרחיש הזה לא יקרה או לחילופין לדאוג לגבי איך להתמודד איתו אם הוא קורה.

בלי להתייחס ספציפית לתעשיית הרכב, לא עד כדי כך נדירים. מנסיון בתור מי שעבד בחברות VLSI ידועות למדי. כולל באגים שאין שום דרך לעקוף, ולכתוב אותם ב-Errata לא יעזור.
הבאגים נהיו יותר ויותר נפוצים עם השנים, כיון שהרכיבים מכילים יותר ויותר שערים לוגיים, ונועדו לשימוש לתקופה קצרה יחסית, אז לא משתלם לבדוק אותם שנים לפני היציאה לשוק. הבעיה דומה מאד למה שקורה בתוכנה, אם לא כ״כ חמורה

 

חברות הרכב לא מפתחות שבבים - הן קונות מוצר מדף - בדוק, מוכח ובדר"כ גם מוצר שעבר הקשחה והוא ייעודי לתעשיית הרכב.

חברות הרכב כותבות את הקוד שרץ על הכרטיס ובקוד הזה יש חלקים שמותאמים לכל דגם ושם יש פוטנציאל לא מבוטל לבאגים.

אם בקוד הזה יש באג שקורה בגלל איזה תרחיש אזוטרי שקורה אחת למיליון - אחרי שתעשה ריסט, בדר"כ כיבוי והתנעה יספיקו°, תחזור למצב ההתחלתי ואין בעיה. אם הבאג הוא יותר מהותי, כשהוא יתגלה היצרן יוציא ריקול עם עדכון תוכנה שפותר אותו.

את החלקים הקריטיים "עוטפים" בצורה כזאת שתגן עליך גם אם הם ייכשלו - היצרן דואג שהתוכנה תזהה מצב כזה, תדליק לך נורה ותאפשר לך לעצור בצד תוך פרק זמן סביר. כמו ש-windows עדיין מציג לך מסך כחול עם סמיילי כשהוא קורס.

יש מספיק רכבים ממספיק יצרנים שהרגו אנשים כתוצאה ישירה של תקלות כאלה, כך שבפועל המצב ממש לא מזהיר. הדוגמה המפורסמת שעושה כרגע הכי הרבה רעש זו תוכנת ה-ADAS של טסלה הקרויה Autopilot/FSD, אבל יש הרבה מקרים נוספים, למשל
https://www.e°°dn.com/toyotas-killer-firmware-bad-design-and-its-consequences/
https://www.foxandfarleylaw.com/how-your-cars-software-can-cause-serious-injury-or-death/

לגבי החומרה עצמה - אלקטרוניקה זה דבר אמין מאוד.

אם ניקח חסם עליון, רכב שנוסע 500,000 ק"מ במהירות ממוצעת של 25 קמ"ש שקול ל-20,000 שעות עבודה, שזה בערך שנתיים וחצי נטו.

יש אינספור טלפונים סלולריים, ראוטרים, מחשבים ביתיים, חוות שרתים וטלווזיות בפיצוציות שעובדים שנים רצוף בלי בעיה וגם כשהם כושלים, זה לא הסיליקון אלא רכיב כלשהו על הלוח.

אתה שוכח את ההשפעה של תנאי ה- NVH. טסלה למשל היתה ידועה בזה שהיא לא משתמשת ברכיבים עם Qual לתנאי רכב, ויהיה מעניין לראות מה שרידות הרכבים שלה בהקשר זה עוד 10 שנים.
ובהחלט יש מקרים שרכיבי סיליקון מוכללים מתקלקלים. סתם דוגמה טריה: יש לי רסיבר A/V של Harman/Kardon בן 9. הוא הפסיק לעבוד לפני כחודשיים, למרות שסה״כ השעות שהוא היה דלוק בכל חייו היה פחות מ-400 בכל התקופה. דיאגנוזה שלי ושל חבר באמצעות הסכימות החשמליות העלתה שהבעיה כנראה ברכיב דיגיטלי ממוחשב על הלוח שמספק את הכוח לשאר חלקי המכשיר. התיקון במעבדת היבואן אישש את זה -- הם רק החליפו את הרכיב המוכלל (כבר שנים שלא ניתן להשיג את כל הלוח בחלק חילוף), והרסיבר חזר לעבודה מלאה.
כלל האצבע המפורסם באלקטרוניקה כידוע הוא שכל עליה של הטמפ׳ הממוצעת ב-10°C מקטינה את אורך החיים הצפוי של הרכיב בחצי. בתנאי טמפ׳ חיצוניים גבוהים אפשר בקלות להגיע למצבים כאלה, אם לא נעשו בדיקות גם בסימולציה וגם במציאות לגבי חיי הרכיב.

מה שאמרתי הוא שאין בעיה עקרונית לתכנן מחשב רכב שיעבוד לאורך כל חיי הרכב עם אפס תקלות.

זה די המצב גם היום - החלפה של מחשב הרכב (פיזית, לא עדכון תוכנה) זה לא דבר שכיח. 

צודק לחלוטין שאפשר היה לתכנן את מחשבי הרכב (יש הרי עשרות היום בכל רכב) כדי לקבל אמינות מופלגת ( אולי 4 או 5 סיגמות).
אבל החלפה כזו היום היא בכלל לא נדירה -- מכיר הרבה אנשים שהיו צריכים לעשות אותה.

במקומות שבהם רוצים אמינות של מאה אחוז, כמו בבקרת טיסה של F16 שלא ממש ניתן להטיס אותו בלי המחשב, פשוט הכפילו את כל המערכת פי 4 ואם אחת מהן כושלת יש עוד 3 שמגבות אותה.

כמעט. זה קרוב ל-100% רק מרווחי התחזוקי במטוסי קרב מאד קצרים, והכל נבדק לעיתים קרובות מאד.

 

 

[Boltik]

לפני 8 שעות, stx כתב:

מה שאמרתי הוא שאין בעיה עקרונית לתכנן מחשב רכב שיעבוד לאורך כל חיי הרכב עם אפס תקלות.

אבל מחשב רכב זה לא רק "סיליקון", זה גם לא מעט דברים שנופלים בכלל בתחום הנדסת מכונות (קירור, עמידות מכנית, חיבורים, עמידות בתנאי סביבה).
 

[TheArcane]

אני עובד כ-10 שנים בתחום של תכן אנלוג ו-RFIC, ורציתי להגיד שגם לתכנן צ'יפ סיליקון שעומד ב-Automotive Grade זה לא טריוויאלי בכלל. סיליקון מידרדר עם הזמן, במיוחד בתנאי חום, ואף צ'יפ לא יחיה לנצח. אורך החיים יהיה קצר יותר ככל שמדובר ברכיב בעל ביצועים גבוהים יותר (תדר שעון מהיר, זרם גבוה וכו'), אז אולי למחשב מנוע זה פחות נורא, אבל המעבדים המהירים ששמים במערכות מולטימדיה מודרניות, רכיבי תקשורת, מכ"מים וכו', שם יותר קשה וצריך המון overdesign כדי להחזיק אותם בתוך המעטפת של Automotive Grade. כדי לסבר את האוזן, מדובר בתכנון לפעולה במשך מעל 10 שנים בטמפרטורה של עד 125 מעלות, לפחות במקומות שאני עבדתי בהם. זאת רמת האמינות הגבוהה ביותר שאני אי פעם נדרשתי אליה. לכן, תרצו להאמין לי או לא, מהפרספקטיבה שלי בתור איש מקצוע אין פה קונספירציה, אלא מלחמה בחוקי הפיזיקה שסופה הבלתי נמנע הוא בפשרה...

[Rשף]

ועוד נקודת תורפה היא זכרונות פלאש, הם מתדרדרים עם הזמן. חלק מהתאים לא יכולים לאכסן יותר מידע וגרוע יותר חלק יכולים לאבד את המידע שבהם, אפשר לפתור או לעקוף בצורה חלקית מאד את שתי הבעיות אבל בבסיס הבעייה עומדת הפיזיקה שאנחנו משתמשים בה. מעשית זה אומר שיהיה לך פחות מקום איכסון ,הביצועים ייפגעו וייתכנו תקלות לא צפויות עם הזמן