O desenvolvimento de sistemas de engenharia tem se deparado com inúmeros desafios, dentre eles, a crescente complexidade dos problemas endereçados, a utilização de diferentes ferramentas de desenvolvimento (uma para cada área de conhecimento), a enorme quantidade de notações e padrões de desenvolvimento e a necessidade de projeto colaborativo envolvendo diversas empresas. A falta de padronização para os grandes integradores de sistemas, em todas as áreas citadas e o desenvolvimento sem um alinhamento, de ferramentas por parte dos fabricantes, têm resultado em aumento significativo no esforço de desenvolvimento e aparecimento de erros, caracterizando um problema para os integradores de sistemas. Uma tradicional situação na indústria pode ser exemplificada: pela definição das funções e da arquitetura de um sistema pela equipe de engenharia de sistemas; pelas leis de controle associadas desenvolvidas pela engenharia de controle (usando notações semi-formais ou informais); e pelo software especificado e codificado pela equipe de software. Desta situação, percebe-se a necessidade de um framework de engenharia que enderece os problemas descritos. Este trabalho de pesquisa apresenta uma pesquisa bibliográfica sobre as atividades e padronizações necessárias para o desenvolvimento de sistemas baseados em modelos; Um Framework Colaborativo Híbrido para Engenharia de Sistemas Embarcados Baseada em Modelos; e um Estudo de Caso, desenvolvido para propiciar a verificação e análise de viabilidade do framework proposto. A principal contribuição desta pesquisa foi a elaboração de um framework, útil para as comunidades cientifica e industrial, principalmente para os integradores de sistemas, que necessitem desenvolver soluções passíveis de particionamento entre diversas empresas, visando o aumento da eficiência, da qualidade de produto e processos associados, a redução do desperdício dos recursos envolvidos, enquanto protegem a propriedade intelectual.

Esta tese apresenta o estudo da confiabilidade do sistema de controle de voo embarcado de um Veículo Aéreo Não Tripulado (VANT) de pequeno porte e de baixo custo usado em aplicações civis fabricado pela empresa canadense Micropilot (MP-Trainerg). Este estudo abrange as fases de voo "decolagem/subida" e "aproximação/pouso" em controle manual. Inicialmente são apresentados os fundamentos de teoria de confiabilidade. É então feita a predição da taxa de falha de cada subsistema que compõe o sistema de controle de voo usando a norma americana MIL-HDBK-217F e o software Relex Reliability Studio 2008. Usando árvores de falhas é demonstrado que a arquitetura original implementada pelo fabricante do VANT é pouco confiável (MTTF, Mean Time To Failure, de 11379 horas). São então apresentadas e analisadas 3 propostas de mudança na arquitetura do sistema de controle do VANT: 1) inclusão de redundância do sistema de rádio-controle, 2) inclusão de redundância dos servo-atuadores, e 3) inclusão de redundância do sistema de rádio-controle e dos servo-atuadores. É mostrado que: 1) as 2 primeiras propostas não produzem um aumento significativo na confiabilidade do sistema de controle de voo (MTTF de 16113 e 19788 horas respectivamente), e 2) a terceira proposta praticamente triplica o MTTF do sistema (de 11379 para 33111 horas). A viabilidade de implementação das redundâncias propostas é demonstrada através de testes em bancada. O estudo da confiabilidade deste VANT mostra que pequenas alterações na arquitetura do sistema de controle de voo resultam em um aumento significativo na confiabilidade deste sistema.

Será apresentada nesta tese uma discussão sobre os aspectos de implementação de um sistema tolerante a falhas, apresentando uma arquitetura de um votador voltado ao acionamento de sistemas mecânicos/mecatrônicos que se utiliza da velocidade computacional para o controle confiável de atuadores e variáveis, considerados lentos frente à velocidade de processamento. A arquitetura proposta empregará a técnica de abstenção para certos modos de falhas, ocasionando o aumento na confiabilidade geral do sistema.

Esta pesquisa aborda a concepção e implementação do Método de Esqueletotipação, visando aumentar a qualidade das transformações de modelos em códigos-fonte no desenvolvimento de software embarcado baseado em modelos. A partir da experimentação em um estudo de caso de sistemas embarcados, envolvendo três experimentos, foi possível constatar tanto aumentos na qualidade dos códigos-fonte gerados, quanto melhorias nas abordagens transformacionais de modelos por meio de cinco diferentes contribuições. A primeira contribuição foi a implementação do Método de Esqueletotipação, para o desenvolvimento de software embarcado baseado em modelos. A segunda envolveu o Padrão de Projeto (Design Pattern) Esqueletotipador, para preparação da transformação de modelos em códigos-fonte. A terceira foi o desenvolvimento da Técnica de Esqueletosincronização, para geração híbrida, de forma manual e automática, de códigos-fonte. A quarta contribuição integrou as três anteriores, na Abordagem de Esqueletotransformação, para propiciar a tradução de modelos em códigos-fonte, baseando-se na filosofia da Arquitetura Dirigida a Modelos (Model-Driven Architecture - MDA). A quinta e última propiciou a verificação da Aplicação do Método de Esqueletotipação no estudo de caso de sistemas embarcados.

The impressive technological evolution observed in the last years has as its main engine the computer. Among many possible applications for this notable machine, the Embedded Computer Systems (ECS) are of great relevance. The number of critical ECS, i.e., whose failure results in catastrophic consequences in terms of human or material lost, also grows dramatically, and opens a new horizon of hazards. Hence, studies in the field of critical ECS become more important. Among the strategies for the development of such systems, this work will deal with fault tolerance. More specifically, software techniques for detection of faults that arise due to external factors of software design errors will be studied. Such techniques are named assertions. It will be proposed an activities workflow that considers the process of software development for a critical ECS based on system models. This approach, called model-based design, is a tendency in the embedded software world, because it brings many benefits, such as reduction of development time, ease of understading and maintaining the design and high degree of reuse. A hypothetical system will be developed according to this approach and different assertions types will be tested and compared. The quality of the assertion set will be measured through a set of metrics, and fault injection at the model level will be applied for this evaluation.

Esta tese apresenta uma análise do computador de bordo para o satélite universitário ITASAT, propondo redundância interna de hardware nos itens críticos e comparando índices de confiabilidade entre a utilização de componentes de aplicação espacial e componentes COTS - Commercial off-the-shelf. O ITASAT consiste num projeto de desenvolvimento de um satélite tecnológico de pequeno porte pela parceria entre o Instituto Tecnológico de Aeronáutica - ITA, o Instituto Nacional de Pesquisas Espaciais - INPE e a Agência Espacial Brasileira - AEB. Após uma breve explanação sobre os subsistemas que compõem um satélite genérico, as principais características funcionais e requisitos preliminares para o projeto do hardware do computador de bordo do satélite universitário ITASAT são apresentadas. Em seguida, definido o sistema computacional do segmento espacial do ITASAT como ACDH - Attitude, Control and Data Handling, é organizado o computador de bordo em módulos. O módulo denominado de CPU é analisado com componentes de aplicação espacial e sua confiabilidade de hardware calculada para uma vida útil de dois anos de missão, seguindo a norma militar MIL-HDBK-217F com suporte da ferramenta computacional Relex Reliability Studio 2008. Não atingindo o nível especificado de confiabilidade, aplicou-se redundância cold standby ao módulo da CPU, o que o tornou um módulo tolerante a falhas. Esta técnica de redundância exigiu duas unidades adicionais, de gerenciamento de redundância e de chaveamento. Baseando-se nesta configuração redundante, é abordado um conjunto de mecanismos de verificação e projetos, conjuntamente denominados de FDIR - Failure Detection, Isolation and Recovery, que têm como objetivo proteger a integridade do módulo da CPU, evitando a perda de suas partes ou totalidade, na presença de uma falha simples, de forma a assegurar o desempenho da missão durante sua vida útil. Novamente, foi calculada a confiabilidade do módulo da CPU com redundância cold standby e os resultados obtidos mostraram um acréscimo do nível de confiabilidade suficiente para atender a esse requisito. Por fim, foram substituídos os componentes de aplicação espacial por componentes COTS e recalculada a confiabilidade para o módulo da CPU. Os resultados obtidos com as configurações estudadas para o módulo da CPU mostraram que a aplicação de tolerância a falhas eleva o índice de confiabilidade e a combinação da utilização de componentes de aplicação espacial e componentes COTS garante, em algumas configurações, a superação do índice de confiabilidade de hardware especificado.

A crescente participação do software embarcado nas causas dos últimos acidentes espaciais evidencia a importância dos processos e técnicas de verificação e validação no desenvolvimento do software embarcado espacial. Neste contexto, este trabalho investiga a contribuição de duas técnicas de verificação para aplicações espaciais. A primeira técnica é o model checking baseado no uso da ferramenta UPPAAL. O UPPAAL adota a modelagem do sistema em autômatos temporizados e permite a verificação de propriedades especificadas em um subconjunto da linguagem CTL (Computational Tree Logic). A segunda técnica consiste especificação e aplicação de testes a partir de modelos de estados, considerando mais especificamente a metodologia CoFI (Conformance and Fault Injection). São utilizados como estudo de caso dois produtos de software espacial. Um dos produtos foi desenvolvido com o uso do model checking, enquanto o outro foi desenvolvido de acordo com as práticas atualmente aplicadas pelo grupo de computador de bordo do Departamento de Eletrônica Aeroespacial do INPE (Instituto Nacional de Pesquisas Espaciais). Ambos os produtos de software foram testados utilizando a metodologia CoFI. Cada produto consiste de uma implementação de dois serviços especificados na norma europeia PUS (Packet Utilization Standard). Estes serviços representam funcionalidades oferecidas por um computador de gerenciamento de bordo de satélites. As principais conclusões obtidas são que a metodologia CoFI contribui para o aprimoramento dos processos de verificação atualmente em uso no INPE, e que, o model checking associado à geração manual do código não implica na ausência de erros, porém ajuda a reduzir o número, mas não a criticidade de erros quando comparado com as práticas atualmente em uso.

Com base na afirmação de que melhores processos são processos mais eficientes e que estes aumentam a capacidade da empresa de se manter competitiva, este trabalho propõe um processo para analisar a compatibilidade de software e hardware no caso de alterações em sistemas computacionais embarcados, típicos da indústria aeronáutica. Como base para a elaboração do processo, é feita uma pesquisa que começa com a apresentação de definições de processos e compatibilidade, segue com a apresentação de tendências na área, resume o conceito de sistemas aeronáuticos e ferramentas de modelagem e otimização de processos, e finaliza com um resumo das normas aplicáveis a sistemas computacionais embarcados. As necessidades para se aplicar o processo são definidas e traduzidas por requisitos; e a definição do processo é executada com o detalhamento de fluxos de tarefas, perfis operacionais, documentos e treinamentos. Finalmente, o estudo de caso apresenta uma aplicação prática do processo desenvolvido.

Alguns problemas em engenharia de segurança de informações não podem ser resolvidos somente por software: um hardware confiável (trusted hardware) é necessário para garantir mecanismos de inicialização segura. Uma entidade é considerada confiável se sempre opera conforme esperado. Para converter uma plataforma convencional em confiável, é necessário um Root of Trust incorporado a mesma. O TCG (Trusted Computing Group) utiliza o TPM (Trusted Platform Module) para prover o Root of Trust em plataformas de uso geral. Neste trabalho é apresentada uma arquitetura, baseada em TPM, para incorporar o Root of Trust em sistemas embarcados e adicionalmente é proposta outra arquitetura, denominada TBoot (Trusted Boot), que visa fortificar sistemas computacionais convencionais, que provê: inicialização por camadas, garantia de identidade do sistema, gerenciamento remoto de restauração do sistema original, watch dog remoto via software, processo de inicialização e manutenção realizados com segredos compartilhados, operação somente em zonas predefinidas e circuito de segurança física.

Este trabalho propõe e avalia, através de simulação, um sistema de controle multivariável para o pouso automático de um mini-VANT em pista curta valendo-se de tubo de pitot, sensores girométricos, GPS, altímetro-pressão e altímetro-ultrassom embarcados. A manobra visa automatizar o procedimento de pouso realizado por piloto experiente de aeromodelo radiocontrolado, o qual é caracterizado por uma etapa descendente com variação simultânea de azimute para alinhamento da proa com a pista, seguida por descida segundo rampa íngreme e arredondamento final antes do encontro do solo. Tal manobra é motivada quando há disponível apenas uma pequena extensão de pista e cujas dimensões da zona de aproximação livre de obstáculos impeçam o pouso com emprego de rampa longa e suave alinhada com o eixo da pista. A brusca variação de altitude e azimute simultaneamente, no entanto, acaba por provocar o acoplamento dinâmico dos modos de resposta nos planos longitudinal e látero-direcional da aeronave, fator que introduz maior complexidade no projeto de um controlador robusto às perturbações externas e às incertezas de modelagem. A aeronave utilizada no estudo foi o aeromodelo de treinamento de pequeno porte Alpha60 da Hangar-9, originalmente radiocontrolado, disponível comercialmente e amplamente utilizado por aeromodelistas. Suas principais características foram determinadas a partir de ensaios em túnel de vento, os quais juntamente com os dados obtidos de softwares de modelagem CAD e CFD permitiram a definição de um modelo adequado para o projeto e validação do piloto automático para pouso. A técnica de controle, alocação de autoestrutura, mostrou-se uma alternativa efetiva para lidar com o acoplamento das dinâmicas longitudinal e látero-direcional existente durante a etapa em curva descendente. Foram avaliados diversos cenários de pouso, com a aeronave exposta a turbulências do tipo Dryden e vento constante de magnitude média de até 31 km/h, aproximadamente 50% da velocidade da aeronave durante a etapa de aproximação para pouso. Adicionalmente, investigaram-se efeitos na variação dos parâmetros do veículo e ruído nos diversos sensores. Nos casos em que o vento sopra lateralmente à aeronave com magnitude elevada, observou-se que o desvio em relação à pista após a etapa em curva descendente pode ser demasiado elevado visto que o controle lateral se dá somente em azimute, e a posterior descida segundo uma rampa íngreme se torna inviável. Nestas situações, torna-se necessário percorrer um trecho adicional, sem perda de altitude, para correção do desvio lateral e posterior descida. A fim de evitar esta etapa adicional, foi proposta uma estimação da velocidade do vento lateral baseada nas características do voo em cruzeiro. Com esse mecanismo, em caso de vento lateral em um nível aceitável, a descida pode ser conduzida logo após a etapa de curva descendente, dando à manobra características semelhantes àquela executada por piloto experiente de aeromodelo radiocontrolado. Ao final, obteve-se um piloto automático capaz de realizar o pouso em uma pista de extensão média entre 235 e 329 metros, dependendo da intensidade e direção do vento, e com erro lateral médio inferior a 2,5 metros