STM32MP25-Architektur und DO-160-Planung für ein Telemetrie-Gateway für Luftfracht
Das Projekt in Kürze: Ein europäischer Betreiber im pharmazeutischen Luftfrachttransport wandte sich an Promwad, um die nächste Generation eines Telemetrie-Gateways für einen aktiv temperaturgeregelten Transportbehälter zu entwickeln. Das System musste industrielle Sensoren im Inneren der Einheit über eine Mobilfunkverbindung mit einer Cloud-Plattform verbinden und die Anforderungen der RTCA DO-160 für Bordausrüstung erfüllen. Promwad führte ein umfassendes Architektur- und Machbarkeitsprojekt durch, das Hardware, Firmware, Software, Mechanik und Zertifizierungsplanung umfasste. Der Kunde erhielt ein vollständiges, umsetzungsbereites Engineering-Paket auf Basis eines heterogenen System-on-Module mit STM32MP25, einer Mobilfunk-IoT-Anbindung sowie eines kalkulierten Test- und Zertifizierungsplans.
Kunde & Herausforderung
Der Kunde ist ein europäischer Betreiber im pharmazeutischen Luftfrachttransport. Das Unternehmen entwickelt aktiv temperaturgeregelte Transportbehälter für den Versand von Biologika, Impfstoffen und anderen hochwertigen pharmazeutischen Gütern im Frachtraum von Verkehrsflugzeugen. In diesem Markt kann eine einzige verdorbene Sendung einen Verlust in sechs- oder siebenstelliger Höhe sowie einen Verstoß gegen regulatorische Anforderungen bedeuten.
Für die nächste Generation seines Transportbehälters benötigte der Kunde ein neu entwickeltes Onboard-Telemetrie-Gateway. Es befindet sich während der gesamten Transportdauer im Gerät, einschließlich der Flugphase. Es erfasst Daten von allen integrierten Subsystemen (Sensoren, Batterie- und Energiemanagement, autonome Temperaturregler) und überträgt sie über eine Mobilfunkverbindung an die Cloud, sobald eine Verbindung verfügbar ist. Während des Fluges muss es jegliche drahtlose Übertragung abschalten – eine nicht verhandelbare Anforderung für jedes Gerät im Frachtraum eines Verkehrsflugzeugs.
Die Schwierigkeit bei dieser Designklasse liegt in der Vielzahl an Anforderungen, die das Gateway gleichzeitig erfüllen muss:
- Bei −20 °C bis +70 °C betrieben werden und die Umwelttests nach RTCA DO-160 bestehen.
- Das deterministische Abfragen der Industriesensoren unabhängig von der Linux-Auslastung gewährleisten.
- Bei einem Umschalten der Stromquelle von bis zu 250 ms keinen Verlust von Telemetriedaten zulassen.
- Sich automatisch und zuverlässig wieder mit Mobilfunknetzen verbinden.
- Luftfahrzeugvibrationen standhalten und die EMV-Anforderungen innerhalb eines engen mechanischen Bauraums erfüllen.
Der Kunde hatte eine klare Produktvision, verfügte jedoch über kein internes Team mit der erforderlichen Kombination aus Embedded-Expertise, Erfahrung mit Luftfahrt-Compliance und Know-how im Bereich Cellular IoT, um das Produkt zu einem belastbaren Design zu führen. Daher wandte er sich an Promwad, um die Architektur zu definieren, sie vor dem Bau eines Prototyps anhand aller Anforderungen zu validieren und ein vollständiges, umsetzungsbereites Engineering-Paket zu liefern.
Lösung
Das Team von Promwad übernahm Hardware, Firmware, Linux-Software, mechanisches Design und Zertifizierungsplanung in einem koordinierten Arbeitsablauf. Kein Fachbereich betrachtete eine Anforderung isoliert.
Promwad hat Produkte nach verschiedenen Standards für regulierte Branchen entwickelt und zur Marktreife gebracht, darunter IEC 62304 für Software in Medizinprodukten und IEC 61508 für die funktionale Sicherheit in der Industrie. Für DO-160 gilt dieselbe Vorgehensweise: Die Zertifizierung von Anfang an in das Design einplanen, statt sie erst am Ende zu testen.
Architektur und zentrale Entscheidungen
Die Architektur basierte auf fünf Entscheidungen, die jeweils mit einer klaren Begründung getroffen und hinsichtlich ihrer Vor- und Nachteile für den Kunden dokumentiert wurden.
Heterogene Rechenarchitektur mit Trennung der Workloads. Anstelle eines einzelnen Anwendungsprozessors wurde ein SoC mit Cortex-A35 und Cortex-M33 gewählt, da das Abfragen der Sensoren über industrielle Bussysteme zeitkritische Anforderungen stellt, die ein Allzweck-Linux-Scheduler unter Last nicht garantieren kann. Die Abfrageschleife auf dem M33 mit FreeRTOS läuft dadurch unabhängig von allen Vorgängen auf der Linux-Seite. RPMsg über den Inter-Processor Communication Controller (IPCC) stellt einen strukturierten Kanal bereit, über den Telemetriedaten zur Weiterleitung an den A35 übertragen werden.
Dediziertes Mobilfunkmodul statt eines integrierten Modems. Das Digi XBee 3 Cellular-Modul übernimmt den Mobilfunkzugang, MQTT und TLS eigenständig über seine MicroPython-Laufzeitumgebung. Dadurch entsteht zwar ein zusätzlicher UART-Schritt zwischen dem Gateway-Dienst und der Cloud, gleichzeitig wird jedoch eine ganze Risikoklasse vermieden. Klare Garantien für die Abschaltung der Funkübertragung im Flugmodus lassen sich leichter umsetzen, wenn das Funkmodul als separate Komponente über eine kontrollierbare Stromversorgung verfügt und das Modemverhalten von Firmware-Updates auf dem zentralen System-on-Module entkoppelt bleibt.
Compliance als Bestandteil des Engineering-Plans statt als separater Arbeitsbereich. Der Test- und Zertifizierungsplan umfasste externe Laborkategorien, Vorlaufzeiten, Annahmen zur Wahrscheinlichkeit von Wiederholungstests sowie ein Kontingenzmodell. Dadurch war der Weg zu einem zertifizierbaren Produkt bereits zu Beginn der Umsetzung transparent.
Geschäftlicher Mehrwert
Das Projekt verwandelte eine Produktvision in ein umsetzungsbereites Engineering-Paket. Vier Ergebnisse nahm der Kunde mit in die nächste Phase:
- Architektur auf dem Papier validiert. Jede verbindliche Anforderung (Luftfahrtumgebung, Abschaltung der Funkübertragung während des Fluges, Toleranz gegenüber Spannungseinbrüchen, deterministisches Abfragen der Sensoren, Mobilfunkresilienz) wurde einer architektonischen Entscheidung mit dokumentierter Begründung zugeordnet.
- Kostenintensive Entscheidungen frühzeitig festgelegt. Rechenplattform, Mobilfunkstrategie, Stromversorgungsarchitektur und Aufteilung der Softwarebereiche wurden festgelegt, bevor Hardware gefertigt wurde.
- Zertifizierungspfad kalkuliert und zeitlich geplant. Kosten externer Labore, Wahrscheinlichkeit von Wiederholungstests und Möglichkeiten zur Parallelisierung wurden modelliert, sodass die Compliance-Kosten bereits zu Beginn der Umsetzung sichtbar waren und nicht erst sechs Monate später zum Vorschein kamen.
- Risiken sichtbar gemacht statt nur impliziert. Ein strukturiertes Risikoregister deckte Hardware-, Mechanik- und Programmbereiche ab, wobei jedem Punkt eine entsprechende Risikominderungsstrategie zugeordnet wurde.
Geschäftlicher Mehrwert
- Entwicklung von Industriecontrollern: End-to-End-Entwicklung von SPS-, I/O- und DAQ-Controllern mit RTOS/Linux, Multi-Protokoll-Konnektivität und praxistauglichen Designs für den Feldeinsatz.
- Dual-MCU-BMU für den Schienenverkehr: Auf NXP S32K basierende Batteriemanagement-Architektur für die SIL2-Zertifizierung und EN 50155-konforme Bahnsysteme.
- Leitfaden zur funktionalen Sicherheit nach IEC 61508: Wie die Einhaltung der IEC 61508 in das Produktdesign integriert wird – von der Konzeption bis zur Zertifizierung.
FAQ
Wie gewährleistet Promwad deterministische Echtzeitanforderungen neben einem vollständigen Linux-Stack?
Wir setzen auf hybride Architekturen, die RTOS und Embedded Linux auf heterogenen SoCs kombinieren, wobei deterministische Aufgaben auf dedizierten Kernen isoliert werden. Für die Kommunikation zwischen den Kernen verwenden wir OpenAMP und bei Bedarf strengere Isolierungslösungen wie Jailhouse. Das Abfragen von Industriesensoren, die Bewegungssteuerung und zeitkritische I/O-Aufgaben verbleiben auf der RTOS-Seite, während Netzwerkfunktionen, Anwendungslogik und Updates unter Linux ausgeführt werden. Dasselbe hybride Architekturmodell kommt bereits in unseren Smart-Grid- und Industriecontroller-Projekten in der Produktion zum Einsatz.
Welche Industrieprotokolle und Feldbusse können Sie in ein Embedded-Gateway integrieren?
Unser Leistungsspektrum umfasst EtherCAT, EtherNet/IP, PROFINET, PROFIBUS, CC-Link, CANopen, IO-Link, Modbus RTU/ASCII/TCP, OPC UA und MQTT. Für Energie- und Netzanwendungen arbeiten wir außerdem mit IEC 61850, der IEC 60870-5-Reihe, DLMS/COSEM, DNP3 und SPS-Kommunikationsstandards. Hersteller-Stacks wie Hilscher netX gehören zu unserem täglichen Toolkit, und wir sind Mitglieder der EtherCAT Technology Group, der PI Community, der OPC Foundation und der CLPA.
Kann Promwad den gesamten Embedded-Software-Stack in einem einzigen Projekt liefern?
Ja. Unser Bereich für Embedded Software umfasst MCU-Firmware auf RTOS- und Bare-Metal-Basis (FreeRTOS, Zephyr, ThreadX, RTEMS und weitere), Embedded Linux auf Yocto-Basis und Android-Kernel-Engineering, plattformübergreifende Benutzeranwendungen mit Qt sowie Edge-AI-Workloads. Dasselbe Team bearbeitet Projekte, bei denen deterministische Firmware auf einem Mikrocontroller mit einem Linux-Anwendungs-Stack auf einem System-on-Module koexistieren muss und dabei einen einheitlichen Datenpfad und Update-Mechanismus nutzt.
Wie gehen Sie mit Embedded-Systemen um, die über lange Zeiträume im Feld eingesetzt werden?
Wir entwickeln Embedded-Plattformen von Anfang an für einen langfristigen Betrieb. Dazu gehören Plattformkomponenten mit langfristiger Verfügbarkeit von ST, NXP, TI, Renesas, Microchip und ähnlichen Herstellern, robuste Gehäuse mit modularen I/O-Schnittstellen, zertifizierte Industrieschnittstellen und integrierte Diagnosefunktionen, damit die Geräte auch noch Jahre nach der Inbetriebnahme wartbar bleiben. Update-Mechanismen, die Versionsverwaltung von Firmware und Konfiguration sowie eine klare Trennung zwischen Anwendungslogik und Plattformcode gehören zum grundlegenden Konzept.
Wie strukturieren Sie Projekte, die Hardware, Firmware, Software und Zertifizierung umfassen?
End-to-End-Entwicklung aus einer Hand. Wir übernehmen die Verantwortung für Hardwaredesign, Firmware, RTOS-Integration, Linux-Engineering, mechanische Entwicklung und Compliance-Vorbereitung als einen einzigen koordinierten Arbeitsablauf. Architektonische Entscheidungen werden vor ihrer Festlegung fachübergreifend geprüft. Dadurch werden die Übergabebrüche vermieden, die entstehen, wenn spezialisierte Anbieter isoliert voneinander arbeiten. Dasselbe Modell setzt Promwad bereits für Kunden in den Bereichen Medizintechnik (IEC 62304), industrielle funktionale Sicherheit (IEC 61508) und jetzt auch Luftfahrt ein.
