AUTOSAR 标准错误描述（Description of the AUTOSAR standard errors）

1 目的（Purpose）

本文档的目的：

• 给出 BSW 异常行为的概述（不限于单个模块）；
• 澄清错误处理机制，以保证任何 BSW 实现具有相同的行为，并允许更安全地交换模块；
• 列出为应用软件提供的 BSW 机制，并可能指出需要补充的不足；
• 从安全分析的角度，给出不同机制对失效模式的检测和恢复覆盖情况。

本文档面向 BSW 模块开发者和应用/SW-C 开发者。

本文档描述了 AUTOSAR 基础软件处理的所有现有错误，以及架构根据 FDIR（故障、检测、隔离与恢复）过程对这些错误的反应方式。

本文档还描述了每种现有错误处理机制对已识别失效模式的覆盖。假设失效模式是与硬件相关的随机失效。用于检测这些硬件失效的软件机制也可能检测出 SW（设计）故障。这些机制被映射到失效模式列表，并评估其在检测和恢复程度方面的效果。

限制：目前，本文档的范围仅限于 CAN 通信栈和内存栈。

本文档仅为描述性，不包含需求。基础软件模块的功能和需求在相应的规范文档中规定。

本文档仅描述 AUTOSAR 架构中包含的标准错误。可以因特定实现和/或特定硬件特性添加特定错误。

2 与其他文档的关系（Relation to other documents）

本文档与 AUTOSAR 发布的许多其他文档相关。本文档的目的不是替代其他文档，而是提供 BSW 中错误处理的完整视图。因此本文档与其他文档之间存在相当数量的重叠。注意：本文档仅为描述性，不包含需求。

3 文档导读（Guide to the document）

以下章节的内容摘要：

• 第 4 章：通用机制：描述通用的错误处理机制。
• 第 5 章：通信相关错误：
  • 5.1 概述：通信栈中现有错误处理机制概述，以及每种机制到已识别失效模式的映射；
  • 5.X：精确描述通信栈中每种错误的 AUTOSAR 架构行为。
• 第 6 章：内存相关错误：
  • 6.1 概述：内存栈中现有错误处理机制概述，以及每种机制到已识别失效模式的映射；
  • 6.X：精确描述内存栈中每种错误的 AUTOSAR 架构行为。

对于每个错误：

• 一张图呈现该错误的信息流概要，并指出错误在哪里被检测、缓解或恢复；
• 每个模块的表格详细列出错误处理的具体项：

4 通用机制（Generic Mechanisms）

4.1 上报给 DEM（诊断事件管理器）（Report to the Diagnostic Event Manager (DEM)）

4.1.1 概要（Summary）

DEM（Diagnostic Event Manager）是 AUTOSAR 中集中管理生产错误和扩展生产错误的 BSW 模块。所有 BSW 模块和 SW-C 都应通过 DEM 上报此类错误。

4.1.2 模块的角色（Roles of the modules）

在错误处理过程中，各模块的角色：

• 检测模块：检测到错误并调用 DEM 接口；
• DEM：接收错误事件，根据配置的去抖（debounce）算法确定事件状态（passed/failed/prepassed），并存储事件信息；
• FIM（Function Inhibition Manager）：根据 DEM 的事件状态，决定是否禁用某些功能；
• DCM（Diagnostic Communication Manager）：响应外部诊断请求（如 UDS）读取 DEM 中的错误状态。

5 通信相关错误（Communication related errors）

5.1 概述（Overview）

5.1.1 错误处理机制（Error handling mechanisms）

CAN 通信栈的错误处理机制包括：

• 硬件错误检测（如 CAN 控制器 Bus Off）；
• 协议错误检测（如 DLC 不匹配、传输协议错误）；
• 时间监控（如 Deadline Monitoring）；
• 数据一致性检查（如 PDU counter、CRC）；
• 通信状态管理（如 NM 状态机）。

5.1.2 CAN 栈的错误列表（Error list for CAN stack）

本章详细描述的 CAN 通信错误包括：

• CAN Bus Off
• CAN 控制器硬件超时
• CAN 发送缓冲区满
• CAN 接收 DLC 错误
• COM RX/TX Deadline Monitoring
• CAN TP 发送/接收错误
• CAN NM TX Deadline Monitoring
• PDU 复制/计数器错误
• 客户端/服务器超时

5.1.3 EH 机制到硬件失效模式的映射（Mappings of EH mechanisms to hardware failure modes）

每种错误处理机制对硬件失效模式的覆盖情况详见原文 5.1.3 节表格。

5.2 通信信道丢失（Loss of communication channel）

5.2.1 CAN Bus Off

错误描述：当 CAN 控制器检测到过多的发送错误（通常为 255 个 TEC）时，控制器进入 Bus Off 状态，停止参与总线通信。

5.2.2 CAN 控制器硬件超时（CAN Controller Hardware Timeout）

错误描述：当 CAN 控制器长时间不响应CPU 的访问时发生硬件超时。

5.3 信号错误（Signal error）

5.3.1 CAN 发送缓冲区满（CAN Transmission buffer full）

错误描述：当所有 CAN 发送硬件缓冲区（Mailbox）都被占用时，新请求无法入队。

5.3.2 CAN 接收 DLC 错误（CAN Reception DLC error）

错误描述：接收到的 PDU 的 DLC 与配置值不匹配。

5.3.3 COM RX 截止期监控（COM RX Deadline Monitoring）

错误描述：未在配置的截止期内接收到预期的信号。

5.3.4 COM TX 截止期监控（COM TX Deadline Monitoring）

错误描述：信号未在配置的截止期内成功发送。

5.3.5 CAN TP 发送错误（CAN Transport Protocol error during transmission）

错误描述：多帧（TP）数据传输过程中发生协议错误。

5.3.6 CAN TP 接收错误（CAN Transport Protocol error during reception）

错误描述：多帧（TP）数据接收过程中发生协议错误。

5.3.7 CAN NM TX 截止期监控（CANNM TX Deadline Monitoring）

错误描述：NM（网络管理）消息未在截止期内成功发送。

5.3.8 PDU 复制错误（PDU replication error）

错误描述：同一 PDU 在传输层被复制（duplicate）。

5.3.9 PDU 计数器错误（PDU counter error）

错误描述：PDU 计数器的值与预期不连续（丢失、乱序）。

5.3.10 客户端/服务器超时（Client / Server timeout）

错误描述：客户端调用服务器操作，在截止期内未收到响应。

6 NVRAM 相关错误（NVRAM related errors）

6.1 概述（Overview）

6.1.1 错误处理机制（Error handling mechanisms）

NVRAM 栈的错误处理机制包括：

• Flash/EEPROM 驱动器级错误检测；
• FEE/EA 一致性检查；
• NVM 校验和验证；
• 冗余数据保护（Block 副本）；
• 静默校验（static block check）。

6.1.2 NVRAM 栈的错误列表（Error list for NVRAM stack）

本章详细描述的 NVRAM 错误包括：

• Flash 写/擦除/读/比较错误
• 外部 Flash 硬件 ID 不匹配
• EEPROM 写/擦除/读/比较错误
• FEE/EA 一致性检查错误
• NVM CRC 检查错误
• NVM 写验证错误
• 静态块检查错误
• 冗余丢失
• NVM API 请求失败

6.1.3 EH 机制到 NVRAM 硬件失效模式的映射（Mappings of EH mechanisms to NVRAM hardware failure modes）

每种错误处理机制对 NVRAM 硬件失效模式的覆盖情况详见原文 6.1.3 节表格。

6.2 驱动级错误（Driver level errors）

6.2.1 Flash 写操作错误（Flash write job error）

错误描述：Flash 写操作因硬件错误（如电压异常、坏块）失败。

6.2.2 Flash 擦除操作错误（Flash erase job error）

错误描述：Flash 擦除操作失败。

6.2.3 Flash 读操作错误（Flash read job error）

错误描述：Flash 读取失败。

6.2.4 Flash 比较操作错误（Flash compare job error）

错误描述：Flash 比较结果不匹配。

6.2.5 外部 Flash 硬件 ID 不匹配（External Flash Hardware ID Mismatch）

错误描述：外部 Flash 的硬件 ID 与配置不一致。

6.2.6 EEPROM 写操作错误（EEPROM write job error）

错误描述：EEPROM 写操作失败。

6.2.7 EEPROM 擦除操作错误（EEPROM erase job error）

错误描述：EEPROM 擦除操作失败。

6.2.8 EEPROM 读操作错误（EEPROM read job error）

错误描述：EEPROM 读取失败。

6.2.9 EEPROM 比较操作错误（EEPROM compare job error）

错误描述：EEPROM 比较结果不匹配。

6.3 EEPROM 抽象/Flash 仿真级错误（EEPROM Abstraction / Flash Emulation level errors）

6.3.1 FEE 一致性检查错误（FEE consistency check error）

错误描述：FEE（Flash EEPROM Emulation）的一致性检查失败，Flash 中的数据可能损坏。

6.3.2 EA 一致性检查错误（EA consistency check error）

错误描述：EA（EEPROM Abstraction）的一致性检查失败。

6.4 NVRAM 管理器级错误（NVRAM manager level errors）

6.4.1 NVM CRC 检查（NVM CRC check）

错误描述：NvM 块读取时 CRC 校验失败。

6.4.2 NVM 写验证错误（NVM write verification error）

错误描述：NvM 写入后验证失败。

6.4.3 静态块检查错误（Static block check error）

错误描述：静态块（写一次，多次读）的检查失败。

6.4.4 冗余丢失（Loss of redundancy）

错误描述：NVRAM 块的冗余副本丢失。

6.4.5 NVM API 请求失败（NVM API request failure）

错误描述：NVM API 调用因内部状态错误而失败。