Reliability of low-level operating-system (OS) code is an indispensable requirement. This includes functional properties from the safety-liveness spectrum, but also quantitative properties stating, e.g., that the average waiting time on locks is sufficiently small or that the energy requirement of a certain system call is below a given threshold with a high probability. This paper reports on our experiences made in a running project where the goal is to apply probabilistic model checking techniques and to align the results of the model checker with measurements to predict quantitative properties of low-level OS code.

Organizations are changing and growing constantly, which leads to higher complexity in development processes. For the development of complex products in a systematic way, requirements provide support. At Scania, it is of interest to investigate how engineers in the company work with requirements since a new safety standard is set to be implemented, which entails a change in the work with requirements. Thus, the purpose of this study is to investigate the ambition for working with requirements at Scania and to identify factors that can impede a change improvement in requirement engineering. This study aids in providing support for applying new practices when implementing a new safety standard. Literature within the fields of organizational change, change management and requirement engineering are considered. A qualitative case study at an automotive OEM has been conducted, where data was collected through 21 semi-structured interviews and internal documents. The findings show that the ambition level from the company perspective is not clear at Scania, thus engineers and units at the company set their own individual ambition for working with requirements and work in different ways across the organization. Also, several impeding factors such as standardization and different processes have been identified that could impede a change initiative for an improvement in the requirement engineering process. The findings contribute to the understanding of engineers purposes and motivation for requirement engineering. Furthermore, a change initiative in requirement engineering is investigated, where the impeding factors for the change are identified. Also, safety critical system development using requirement engineering is explored. It is suggested that future studies could compare other units and companies requirement engineering, and also leverage qualitative methods. Originality – To the best knowledge of the authors this is the first study to examine change initiative using Schein’s change model in a requirement engineering setting. / Organisationer förändras och växer ständigt, vilket leder till högre komplexitet i utvecklingsprocesser. För utveckling av komplexa produkter på ett systematiskt sätt ger krav stöd. Hos Scania är det av intresse att undersöka hur ingenjörer arbetar med krav i företaget eftersom en ny säkerhetsstandard är på väg att implementeras, vilket innebär en förändring av kravarbetet. Syftet med denna studie är därför att undersöka hur ambitionen att arbeta med krav är hos Scania och att identifiera faktorer som kan hindra en förbättring av arbetet med krav. Denna studie bidrar med att ge stöd vid tillämpning av nya metoder under implementeringen av en ny säkerhetsstandard. Litteratur inom områdena organisationsförändring, förändringshantering och kravhantering beaktas. En kvalitativ fallstudie hos en fordonstillverkare har genomförts där data samlades in genom 21 semistrukturerade intervjuer och från interna dokument. Resultaten visar att ambitionsnivån från ett företagsperspektiv inte är tydligt på Scania, vilket gör att ingenjörerna eller avdelningar sätter en individuell ambition för att arbeta med krav och arbetar på olika sätt inom organisationen. Dessutom har flera faktorer så som standardisering och olika arbetssätt identifierats, vilka kan förhindra ett förändringsinitiativ för en förbättring av kravhanteringsprocessen. Resultaten bidrar till att förstå ingenjörers syften och motivationen för kravhantering. Vidare undersöks förändringsinitiativ inom kravhantering samt faktorer som kan förhindra förändringen. Dessutom undersöks hur säkerhetskritiska system utvecklas med användning av krav. Det föreslås att framtida studier kan jämföra andra enheters och företags kravhantering, och även utnyttja kvalitativa metoder. Originalitet – Enligt författarnas uppfattning är detta den första studien som undersöker förändringsinitiativ med Scheins förändringsmodell i samband med kravhantering.

The Civil Air Navigation Services Organisation, the International Federation of Air Traffic Control Associations, the International Air Transport Association and the Civil Air Navigation Services Organisation agree that professionals in the Air Navigation Services Provider Sector require successful organisational leadership to facilitate and manage transformation within the highly regulated Air Navigation Services Provider Sector. Detailed organisational leadership requirements and associated leadership training and development needs are, however, not specified by the Civil Air Navigation Services Organisation. An opportunity therefore existed to investigate leadership traits and behaviours within a specific context. This research project is contextualised within a safety-conscious, highly regulated and technology-driven industry (the South African Aviation Industry), a safety-critical sector (Air Navigation Services) and specifically the Air Traffic and Navigation Services Company. It was found that little academic research has been done to address the role of followers in the leadership process and to determine what followers expect and require from their leaders. The research problem statement, in response to this research necessity, is: “How can follower experiences and expectations of leadership behaviours in a safety-critical commercial environment be collected, analysed, understood, structured and utilised to aid leadership development?” An ethnographic research case study approach allowed the researcher to investigate the multifarious phenomena that constitute the current views (experiences and expectations) held by followers with regard to leadership behaviour qualities. A mixed methods approach was followed. Data collection was facilitated by means of individual interviews, focus group interviews, field notes and a structured questionnaire. Qualitative data were inductively analysed to identify the recurring patterns and common themes and quantitative data were deductively analysed to assess the nature of existing conditions and relevance. Data and method triangulation was implemented to determine whether multiple sources of data agreed, and to obtain better, cross-checked insights. Findings from this research study provided academic, industry, process and methodology insights into views held by followers regarding leadership and followership constructs. Definitions and perspectives held and reported by followers regarding leaders and leadership, characteristics of preferred and undesired leadership styles, relational and emotional bonds between followers and their leaders acknowledged the presence, value and influence of follower mental models. In this case followers contextualised leadership roles and responsibilities and suggested a transformational leadership style as a desired state. Findings also emphasised a need to appreciate the importance of the social exchange and social contingency theories of leadership in order to create a better understanding of leadership by emphasising the importance of context when studying leaders and leadership from a follower perspective. Obtained follower insights resulted in a structured leadership training and development needs analysis process framed within the specific context. Future research efforts in this regard may be aimed at determining the necessity to educate followers to critically appreciate and evaluate leadership performance and creating a better understanding of how followers’ mental models internally represent complex, dynamic systems and how these representations change over time. / Business Management / DBL

Synchronous languages such as Signal, Lustre and Esterel are dedicated to designing safety-critical systems. Their compilers are large and complicated programs that may be incorrect in some contexts, which might produce silently bad compiled code when compiling source programs. The bad compiled code can invalidate the safety properties that are guaranteed on the source programs by applying formal methods. Adopting the translation validation approach, this thesis aims at formally proving the correctness of the highly optimizing and industrial Signal compiler. The correctness proof represents both source program and compiled code in a common semantic framework, then formalizes a relation between the source program and its compiled code to express that the semantics of the source program are preserved in the compiled code.

Les langages synchrones tels que Signal, Lustre et Esterel sont dédiés à la conception de systèmes critiques. Leurs compilateurs, qui sont de très gros programmes complexes, peuvent a priori se révéler incorrects dans certains situations, ce qui donnerait lieu alors à des résultats de compilation erronés non détectés. Ces codes fautifs peuvent invalider des propriétés de sûreté qui ont été prouvées en appliquant des méthodes formelles sur les programmes sources. En adoptant une approche de validation de la traduction, cette thèse vise à prouver formellement la correction d'un compilateur optimisé et industriel de Signal. La preuve de correction représente dans un cadre sémantique commun le programme source et le code compilé, et formalise une relation entre eux pour exprimer la préservation des sémantiques du programme source dans le code compilé. / Synchronous languages such as Signal, Lustre and Esterel are dedicated to designing safety-critical systems. Their compilers are large and complicated programs that may be incorrect in some contexts, which might produce silently bad compiled code when compiling source programs. The bad compiled code can invalidate the safety properties that are guaranteed on the source programs by applying formal methods. Adopting the translation validation approach, this thesis aims at formally proving the correctness of the highly optimizing and industrial Signal compiler. The correctness proof represents both source program and compiled code in a common semantic framework, then formalizes a relation between the source program and its compiled code to express that the semantics of the source program are preserved in the compiled code.

The Civil Air Navigation Services Organisation, the International Federation of Air Traffic Control Associations, the International Air Transport Association and the Civil Air Navigation Services Organisation agree that professionals in the Air Navigation Services Provider Sector require successful organisational leadership to facilitate and manage transformation within the highly regulated Air Navigation Services Provider Sector. Detailed organisational leadership requirements and associated leadership training and development needs are, however, not specified by the Civil Air Navigation Services Organisation. An opportunity therefore existed to investigate leadership traits and behaviours within a specific context. This research project is contextualised within a safety-conscious, highly regulated and technology-driven industry (the South African Aviation Industry), a safety-critical sector (Air Navigation Services) and specifically the Air Traffic and Navigation Services Company. It was found that little academic research has been done to address the role of followers in the leadership process and to determine what followers expect and require from their leaders. The research problem statement, in response to this research necessity, is: “How can follower experiences and expectations of leadership behaviours in a safety-critical commercial environment be collected, analysed, understood, structured and utilised to aid leadership development?” An ethnographic research case study approach allowed the researcher to investigate the multifarious phenomena that constitute the current views (experiences and expectations) held by followers with regard to leadership behaviour qualities. A mixed methods approach was followed. Data collection was facilitated by means of individual interviews, focus group interviews, field notes and a structured questionnaire. Qualitative data were inductively analysed to identify the recurring patterns and common themes and quantitative data were deductively analysed to assess the nature of existing conditions and relevance. Data and method triangulation was implemented to determine whether multiple sources of data agreed, and to obtain better, cross-checked insights. Findings from this research study provided academic, industry, process and methodology insights into views held by followers regarding leadership and followership constructs. Definitions and perspectives held and reported by followers regarding leaders and leadership, characteristics of preferred and undesired leadership styles, relational and emotional bonds between followers and their leaders acknowledged the presence, value and influence of follower mental models. In this case followers contextualised leadership roles and responsibilities and suggested a transformational leadership style as a desired state. Findings also emphasised a need to appreciate the importance of the social exchange and social contingency theories of leadership in order to create a better understanding of leadership by emphasising the importance of context when studying leaders and leadership from a follower perspective. Obtained follower insights resulted in a structured leadership training and development needs analysis process framed within the specific context. Future research efforts in this regard may be aimed at determining the necessity to educate followers to critically appreciate and evaluate leadership performance and creating a better understanding of how followers’ mental models internally represent complex, dynamic systems and how these representations change over time. / Business Management / DBL

In der vorliegenden Arbeit werden eine sichere FPGA-Stellwerksplattform und ein Transformationsverfahren entwickelt, mit dem die Schaltungen bestehender Relaisstellwerke in eine FPGA-Logik überführt werden können. Die FPGA-Stellwerksplattform ersetzt die Innenanlage eines Relaisstellwerks. Ihre Schnittstellen entsprechen den bisherigen Schnittstellen am Kabelabschlussgestell und zur Bedien- und Meldeeinrichtung. Damit ist eine einfache Migration bestehender Stellwerke möglich. Das Sicherheitskonzept basiert auf einer zweikanaligen Struktur mit sicherem Vergleicher und zusätzlichen Selbsttests zur schnellen, datenflussunabhängigen Ausfalloffenbarung. Die erreichbare Gefährdungsrate liegt im Bereich von SIL 4 und entspricht damit dem Sicherheitsziel für Stellwerke der Deutschen Bahn. Die Transformation sieht eine Trennung der Stellwerkslogik in Logik- und Leistungsteil vor. Der Logikteil wird auf dem FPGA realisiert. Die im Leistungsteil verbliebenen Kontakte und Überwacherrelais werden durch sichere Stellteile ersetzt. Die logischen Ansteuerbedingungen der Relais werden in Schaltnetze überführt. Die gesteuerten Relais werden durch Instanzen generischer Zustandsmodelle ersetzt. Für jeden verwendeten Relaistyp wurde ein entsprechendes Modell entwickelt, das bei der Transformation als Baustein eingesetzt werden kann. Die generischen Zustandsmodelle berücksichtigen auch die sicherheitsrelevanten konstruktiven Eigenschaften der Relais. So wird bei der Auftrennung einer Schaltung in Logik- und Leistungsteil sichergestellt, dass die in getrennte Schaltungsteile überführten Öffner und Schließer eines Relais nie gleichzeitig geschlossen sein können (Zwangsführung der Kontakte). Dies ist eine Voraussetzung für die Beibehaltung der sicherheitsrelevanten Funktionsbedingungen der Originalschaltung. Das Transformationsverfahren und die implementierten Mechanismen zur Ausfalloffenbarung sind unabhängig von der Anwenderlogik und vom gewählten Schaltkreistyp. Damit kann der generierte VHDL-Code bei Obsoleszenz eines Schaltkreises auch auf andere FPGA-Typen portiert werden. In einer Ressourcenabschätzung wird gezeigt, dass der gewählte Lösungsansatz geeignet ist, die Schaltungen kleinerer Relaisstellwerke vollständig auf einem FPGA zu realisieren. Die Anwendung des vorgestellten Verfahrens wird am Beispiel der Weichengruppe des Stellwerkstyps GS II DR demonstriert. Das Transformationsverfahren ist aber auch für andere Stellwerksbauformen geeignet. Dabei ist es unerheblich, ob diese nach dem tabellarischen Verschlussplanprinzip oder dem Spurplanprinzip arbeiten.

In der vorliegenden Arbeit werden eine sichere FPGA-Stellwerksplattform und ein Transformationsverfahren entwickelt, mit dem die Schaltungen bestehender Relaisstellwerke in eine FPGA-Logik überführt werden können. Die FPGA-Stellwerksplattform ersetzt die Innenanlage eines Relaisstellwerks. Ihre Schnittstellen entsprechen den bisherigen Schnittstellen am Kabelabschlussgestell und zur Bedien- und Meldeeinrichtung. Damit ist eine einfache Migration bestehender Stellwerke möglich. Das Sicherheitskonzept basiert auf einer zweikanaligen Struktur mit sicherem Vergleicher und zusätzlichen Selbsttests zur schnellen, datenflussunabhängigen Ausfalloffenbarung. Die erreichbare Gefährdungsrate liegt im Bereich von SIL 4 und entspricht damit dem Sicherheitsziel für Stellwerke der Deutschen Bahn. Die Transformation sieht eine Trennung der Stellwerkslogik in Logik- und Leistungsteil vor. Der Logikteil wird auf dem FPGA realisiert. Die im Leistungsteil verbliebenen Kontakte und Überwacherrelais werden durch sichere Stellteile ersetzt. Die logischen Ansteuerbedingungen der Relais werden in Schaltnetze überführt. Die gesteuerten Relais werden durch Instanzen generischer Zustandsmodelle ersetzt. Für jeden verwendeten Relaistyp wurde ein entsprechendes Modell entwickelt, das bei der Transformation als Baustein eingesetzt werden kann. Die generischen Zustandsmodelle berücksichtigen auch die sicherheitsrelevanten konstruktiven Eigenschaften der Relais. So wird bei der Auftrennung einer Schaltung in Logik- und Leistungsteil sichergestellt, dass die in getrennte Schaltungsteile überführten Öffner und Schließer eines Relais nie gleichzeitig geschlossen sein können (Zwangsführung der Kontakte). Dies ist eine Voraussetzung für die Beibehaltung der sicherheitsrelevanten Funktionsbedingungen der Originalschaltung. Das Transformationsverfahren und die implementierten Mechanismen zur Ausfalloffenbarung sind unabhängig von der Anwenderlogik und vom gewählten Schaltkreistyp. Damit kann der generierte VHDL-Code bei Obsoleszenz eines Schaltkreises auch auf andere FPGA-Typen portiert werden. In einer Ressourcenabschätzung wird gezeigt, dass der gewählte Lösungsansatz geeignet ist, die Schaltungen kleinerer Relaisstellwerke vollständig auf einem FPGA zu realisieren. Die Anwendung des vorgestellten Verfahrens wird am Beispiel der Weichengruppe des Stellwerkstyps GS II DR demonstriert. Das Transformationsverfahren ist aber auch für andere Stellwerksbauformen geeignet. Dabei ist es unerheblich, ob diese nach dem tabellarischen Verschlussplanprinzip oder dem Spurplanprinzip arbeiten.

This thesis investigates the expressiveness of specification languages for stochastic safety-critical systems, addressing the need for expressiveness in describing system behaviour formally. Through a case study and specification language enhancements, the research explores the impact of different frameworks on a set of specifications. The results highlight the importance of continuous development in the specification languages to meet the complex behaviours of systems with probabilistic properties. The findings emphasise the need for extending the chosen specification languages more formally, to ensure that the languages can capture the complexity of the systems they describe.  The research contributes valuable insights into improving the expressiveness of specification languages for ensuring system safety and operational reliability.

Je jasné, že nejúspěšnější konstrukce zahrnuje postup vícefázového řízení, ve kterém každá fáze může být považována za samostatný modul. Provoz kterékoliv z jednotek musí mít minimální vliv na ostatní, a to tak, že v případě selhání jedné jednotky ostatní mohou být v provozu neovlivněny. Modulární řešení vyžaduje minimální elektrické, magnetické a tepelné ovlivnění mezi fázemi řízení (měniče). Synchronní stroje s pulzním tokem a permanentními magnety se jeví jako atraktivní typ stroje, jejíž přednostmi jsou vysoký kroutící moment, jednoduchá a robustní konstrukce rotoru a skutečnost, že permanentní magnety i cívky jsou umístěny společně na statoru. FS-PMSM jsou poměrně nové typy střídavého stroje stator-permanentní magnet, které představují významné přednosti na rozdíl od konvenčních rotorů - velký kroutící moment, vysoký točivý moment, v podstatě sinusové zpětné EMF křivky, zároveň kompaktní a robustní konstrukce díky umístění magnetů a vinutí kotvy na statoru. Srovnání výsledků mezi FS-PMSM a klasickými motory na povrchu upevněnými PM (SPM) se stejnými parametry ukazuje, že FS-PMSM vykazuje větší vzduchové mezery hustoty toku, vyšší točivý moment na ztráty v mědi, ale také vyšší pulzaci díky reluktančnímu momentu. Pro stroje buzené permanentními magnety se jedná o tradiční rozpor mezi požadavkem na vysoký kroutící moment pod základní rychlostí (oblast konstantního momentu) a provozem nad základní rychlostí (oblast konstantního výkonu), zejména pro aplikace v hybridních vozidlech. Je předložena nová topologie synchronního stroje s permanentními magnety a spínaným tokem odolného proti poruchám, která je schopná provozu během vinutí naprázdno a zkratovaného vinutí i poruchách měniče. Schéma je založeno na dvojitě vinutém motoru napájeném ze dvou oddělených vektorově řízených napěťových zdrojů. Vinutí jsou uspořádána takovým způsobem, aby tvořila dvě nezávislé a oddělené sady. Simulace a experimentální výzkum zpřesní výkon během obou scénářů jak za normálního provozu, tak za poruch včetně zkratových závad a ukáží robustnost pohonu za těchto podmínek. Tato práce byla publikována v deseti konferenčních příspěvcích, dvou časopisech a knižní kapitole, kde byly představeny jak topologie pohonu a aplikovaná řídící schémata, tak analýzy jeho schopnosti odolávat poruchám.