AUTOSAR_EXP_FunctionalSafetyMeasures 中文翻译

文档编号：664　|　状态：Final　|　发布于：AUTOSAR CP Release 4.4.0
所属标准：AUTOSAR Classic Platform　|　文档责任方：AUTOSAR

本翻译覆盖原文档 1-96 页正文。原文为 EXP（说明性文档），介绍 AUTOSAR 中功能安全（Functional Safety）相关机制。涵盖 Safety 机制、Memory Partitioning / Program Flow Monitoring / Core Test / RAM Test / Watchdog / E2E / SafeBsw 等。R4.2.2 新增"硬件诊断"章节（Core Test / RAM Test）。

1 引言与范围

本文档（AUTOSAR_EXP_FunctionalSafetyMeasures）介绍 AUTOSAR Classic Platform 中实现功能安全（Functional Safety）的机制。覆盖 ISO 26262-5:2018 要求的故障检测、故障避免、故障容忍等机制。涵盖软件级（Memory/Program Flow/E2E/Watchdog）与硬件级（Core Test / RAM Test）机制。

2 缩略语

FSM / Functional Safety / ISO 26262 / ASIL / QM / SafeBsw / SafeBswPartition / Memory Protection / Program Flow Monitoring / Core Test / RAM Test / Wdg / E2E / SecOC / Watchdog / Memory Partitioning / OS-Application / BSW Module / DEM / FiM / CDD / WdgM / WdgIf / Wdg Driver

3 相关文档

[1] AUTOSAR SWS BSW General
[2] AUTOSAR SWS Safety Extensions
[3] AUTOSAR SWS Watchdog Driver
[4] AUTOSAR SWS Watchdog Interface
[5] AUTOSAR SWS Watchdog Manager
[6] AUTOSAR SWS Core Test
[7] AUTOSAR SWS RAM Test
[8] AUTOSAR SWS E2E Library
[9] AUTOSAR SRS SafetyExtensions
[10] ISO 26262-5:2018 (Road vehicles — Functional safety — Part 5: Product development at the software level)

4 概述：功能安全在 AUTOSAR 中

AUTOSAR 提供以下功能安全机制：

• 软件级机制：Memory Partitioning、Program Flow Monitoring、Communication Protection (E2E)、Watchdog Manager、Safety BSW；
• 硬件级机制：Core Test (CPU 内核自检)、RAM Test (RAM 测试)、Watchdog；
• 诊断机制：DEM (Diagnostic Event Manager) 上报故障事件、FiM (Function Inhibition Manager) 抑制功能；
• 配置机制：通过配置区分 Safety 相关 BSW 与非 Safety 相关 BSW；
• 分区机制：通过 OS-Application 隔离 Safety 相关代码与非 Safety 相关代码。

ISO 26262 ASIL 等级（汽车安全完整性等级）：

• ASIL A：最低；
• ASIL B：中等；
• ASIL C：较高；
• ASIL D：最高（最高安全要求）；
• QM：Quality Management，无安全要求。

5 Memory 保护机制

Memory Partitioning 是 AUTOSAR 的核心安全机制：

• 每个 OS-Application 有独立的 Memory Region；
• Memory Region 不能重叠（除非显式配置）；
• 访问其他分区的 Memory 触发 Protection Hook；
• Safety 相关 OS-Application 与非 Safety 相关隔离。

Memory 保护涵盖：

• 代码：只读执行；
• 常量：只读；
• 变量：读写受限；
• 栈：每个 OS-Application 独立栈；
• 共享内存：显式定义共享区域。

6 程序流监控（Program Flow Monitoring）

程序流监控（Program Flow Monitoring）通过 Watchdog Manager（WdgM）实现：

• Alived Supervision：监控周期性任务的到达时间；
• Deadline Supervision：监控任务最大执行时间；
• Logical Supervision：监控任务执行顺序（Graph）；
• Local Status：WdgM 实例独立状态；
• Global Status：综合所有 Supervised Entity 状态；
• Recovery：失败时执行恢复操作（重启、Shutdown 等）。

WdgM 故障处理：

• WdgM 检测到违反 → 设置 Local Status = EXPIRED / FAILED；
• Global Status 综合计算；
• Global Status = FAILED → 触发错误反应（ErrorReaction）；
• 错误反应：报告 DEM、关闭分区、重启 ECU 等。

7 硬件诊断（Core Test / RAM Test）

R4.2.2 新增"硬件诊断"章节，涵盖 Core Test 和 RAM Test。

7.1 Core Test

Core Test 用于检测 CPU 内核故障：

• Register Test：测试 CPU 寄存器（写入/读取/比较）；
• Flag / Condition Code Test：测试状态标志；
• Interrupt Test：测试中断处理；
• Program Counter Test：测试程序计数器；
• ALU / FPU Test：测试算术逻辑单元 / 浮点单元；
• Stack Pointer Test：测试栈指针。

Core Test 由 AUTOSAR SWS CoreTestDriver 模块提供。

7.2 RAM Test

RAM Test 用于检测 RAM 故障：

• March Test：March C / March C- / March X / March Y 等算法；
• Galpat Test：检测相邻位故障；
• Walk Test：Walking 1 / Walking 0；
• Checkerboard Test：棋盘格模式；
• NIST Test：NIST 电池测试。