功能抑制管理器规范（Specification of Function Inhibition Manager）

1 介绍与功能概述（Introduction and functional overview）

功能抑制管理器（Function Inhibition Manager，FiM）负责为软件组件及其内部功能提供控制机制。在此上下文中，一个功能可由一个、若干或部分可运行实体的内容构建，这些可运行实体具有相同的权限 / 抑制条件集。通过 FiM，可以抑制（停用应用功能）这些功能，这些功能可以配置，甚至在运行时（post-built 配置）进行修改。

功能和可运行实体是不同且独立的分类类型。可运行实体主要由其调度需求定义。相比之下，功能由其抑制条件分类。FiM 服务重点关注 SW-C 中的功能，但不仅限于它们。BSW 的功能也可以使用 FiM 服务。

这些功能被分配到某个标识符（FID - function identifier）以及该特定标识符的抑制条件。功能在执行前会轮询其各自 FID 的权限状态。如果某个特定标识符的抑制条件成立，则相应的功能不再被执行。

FiM 与 Dem 密切相关，因为诊断事件及其状态信息被支持为抑制条件。因此，需要在发生故障时停止的功能（例如某个传感器的故障）可以用特定的标识符表示。如果检测到故障并且事件被报告给 Dem，则 FiM 抑制 FID，从而抑制相应的功能。

为了处理功能与关联事件之间的关系，功能的标识符（FID）和抑制条件（事件）被引入到 SW-C 模板（BSW 等价）中。在配置过程中，构建数据结构（即抑制矩阵）以处理标识符对某些事件的敏感性。

软件组件可以作为一种事件集合集成到新环境中，无需大量工作即可配置。此外，当出现诸如"如果检测到特定事件，哪些功能被抑制"之类的问题时，系统分析会得到支持。FiM 的数据基础用作事件与待抑制 SW-C 之间已配置关系的文档。

在 AUTOSAR 中，RTE 根据 SW-C 的接口和调度需求处理 SW-C。相比之下，FiM 处理抑制条件，并通过相应的标识符（FID）为可运行体内的功能控制提供支持机制。因此，FiM 概念和 RTE 概念彼此不干扰。

FiM 规范文档的基本目标是：

• API 的标准化
• 引入可能的实现方法
• 为 OEM 和供应商提供共同方法的可能

2 缩略语与缩写（Acronyms and abbreviations）

表 2.1：缩略语与缩写

3 相关文档（Related documentation）

3.1 输入文档

• [1] 基础软件模块通用规范（AUTOSAR_SWS_BSWGeneral）
• [2] 术语表（AUTOSAR_TR_Glossary）
• [3] 诊断事件管理器规范（AUTOSAR_SWS_DiagnosticEventManager）
• [4] 功能抑制管理器需求（AUTOSAR_SRS_FunctionInhibitionManager）
• [5] 虚拟功能总线（AUTOSAR_EXP_VFB）
• [6] 软件组件模板（AUTOSAR_TPS_SoftwareComponentTemplate）

3.2 相关标准与规范

• [13] IEC 7498-1 基本模型，IEC 规范，1994
• [14] D1.5-通用架构；ITEA/EAST-EEA，1.0 版；第 3 章，72 页起。
• [15] D2.1-嵌入式基础软件结构需求；ITEA/EAST-EEA，1.0 或更高版本。
• [16] D2.2-现有解决方案描述；ITEA/EAST-EEA，1.0 或更高版本。

3.3 相关规范

AUTOSAR 提供了关于基础软件模块的通用规范 [1, SWS BSW General]，对功能抑制管理器同样有效。

因此，SWS BSW General 规范应被视为功能抑制管理器的附加且必需的规范。

4 约束与假设（Constraints and assumptions）

由于软件组件与基础软件之间的通信仅限于一个 ECU，FiM 只能控制位于同一 ECU上的 FID。请注意，RTE 当前不支持位于不同 ECU 上的基础软件与软件组件之间的通信。

4.1 限制（Limitations）

必须为整个系统考虑时序约束。注意，进程和响应时间强烈依赖于 FiM 模块的实现。因此，如果对 FiM 响应速度的需求超过任务的周期（时间片），则这些需求必须由 FiM 实现（特别是受影响的应用）专门考虑。FiM 必须实现一些特殊措施，这些措施在本 AUTOSAR 文档中未明确指定，因为这里的实现是有意未规定的。

FiM 不支持 FID 之间的相互依赖。这意味着一个 FID 不会影响另一个 FID。

4.2 在汽车领域的适用性（Applicability to car domains）

FiM 旨在满足 ECU 在系统检测到故障（例如开路或短路）时集中处理系统反应的设计需求。因此，FiM 的直接适用领域目前是车身、底盘和动力总成 ECU。然而，FiM 也完全可以用于其他汽车领域（如信息娱乐）的 ECU 实现。

一个主要约束是 FiM 单独无法处理以下类型的 SW 组件：

1. 时间关键型——对于本地重构（例如在无效信号情况下的快速备份反应），可能太慢。
2. 物理交互型——可能不够灵活。
3. 安全关键型——可能没有足够的软件完整性。

5 与其他模块的依赖（Dependencies on other modules）

• 诊断事件管理器（Dem）负责处理由监测功能报告的检测到的故障（表示为事件）。Dem 在监测状态发生变化时通知并更新功能抑制管理器（FiM），以便根据分配的依赖关系停止或释放功能。
• 具有 FID 接口的软件组件（SW-C）查询 FiM 以获取执行由 FID 标识的功能的权限。FID 必须由 SW 组件提供。
• ECU 状态管理器负责 BSW 组件的基本初始化和反初始化。
• 应被 FiM 抑制的 BSW 模块应使用 FiM 接口请求权限。因此，受影响的 BSW 模块必须在配置时提供相应的配置数据（EventID - FID - 抑制掩码关系），方法是使用与 SW-C 模板类似的模板。BSW 模块的接口处理对应于 SW 组件的接口处理。
• RTE为 BSW 实现调度机制，例如为 ECU 中使用的每个 BSW 模块分配优先级和内存保护。

5.1 需求

本规范的需求有三个来源：

• FiM 服务功能的需求在 [4] 中规定。为了对服务的 VFB 视图建模，VFB 规范 [5] 的 AUTOSAR 服务章节应被视为附加需求。
• 关于 SW-C 属性的形式描述，需求见 [6]。

5.1.1 用例（Use Cases）

在每个 ECU 上，通常使用 FiM 服务的一个实例和多个使用此服务的原子软件组件实例。这些原子软件组件在本文档中进一步称为"客户端"。

此外，基础软件中还有一些部分，要么控制 FiM 管理器（例如用于初始化和关闭的 ECU 状态管理器），要么自己查询 FiM 以获取执行权限。

6 需求追溯（Requirements traceability）

下表引用了 [3] 中指定的特性，并链接到这些特性的实现。

7 功能规范（Functional specification）

7.1 背景与原理（Background & Rationale）

功能抑制管理器允许查询软件组件及其内部功能的权限/抑制状态。在 FiM 上下文中，FID（功能标识符）标识一个应用功能以及该特定标识符的抑制条件。功能在执行前会轮询其 FID 的权限状态。如果某个特定标识符的抑制条件适用，则相应的功能不再被允许执行。通过 FiM，可以配置这些功能的抑制甚至通过标定进行修改。Dem 事件及其状态信息被支持为抑制条件。

为了处理功能与关联影响事件之间的关系，功能的标识符（FID）和抑制条件（事件）被包含在 SW 组件模板（BSW 等价）中。在 FiM 配置期间，构建数据结构（即抑制矩阵）以处理标识符对某些事件的敏感性。

7.2 需求

7.2.1 FiM 核心变量

7.2.1.1 "诊断事件"的定义

"诊断事件"是由 Dem 提供给特定诊断监测功能的标识符，用于报告错误。

详见 AUTOSAR_SWS_DiagnosticEventManager 文档 [3]。

7.2.1.2 "监测状态"的定义

"监测状态"是由 Dem 根据监测功能报告的值计算的状态。可能的值由 Dem_MonitorStatusType 定义。

详见 AUTOSAR_SWS_DiagnosticEventManager 文档 [3]。

7.2.1.3 "被监测组件"的定义

"被监测组件"是由 Dem 提供给特定被监测组件（硬件组件或信号）的标识符。"被监测组件"的 FAILED 状态表示所有分配的监测功能的结果以及从其他 DemComponents 继承的故障信息。

详见 AUTOSAR_SWS_DiagnosticEventManager 文档 [3]。

7.2.1.4 "汇总事件"的定义

在配置过程中，这些单一事件可以组合成汇总事件（ECUC_FiM_00037）。汇总事件简化了处理与该特定汇总事件关联或由其表示的多个事件。为了简单起见，该特定汇总事件可以在 SW-C 模板中用作抑制条件。

因此，该特定汇总事件仅代表多个诊断事件（参考 10.2.3）。汇总事件的用例例如组合所有指示传感器故障的错误条件：

传感器 X 有多个诊断，例如对地短路、对电池短路和开路：X_SCG、X_SCB 和 X_OC。功能 FID_0、FID_1、...、FID_N 在此故障情况下应被抑制。直接配置需要 3 * N 个容器 FiMInhibitionConfiguration，其中 FIM_INH_EVENT_ID = X_SCG/SCB/OC，FIM_INH_FUNCTION_ID = FID_0/.../N。

使用汇总事件（FiMSummaryEvent），一组事件可以通过选择 FiMInhSumRef 重用于多个抑制配置。这可以简化配置。

7.2.1.5 "功能标识符"的定义

FiM 实现功能权限的计算。计算的对象是 SW 组件或逻辑单元，它们接收信息"权限授予"/"权限拒绝"。

为了寻址这些组件，它们必须在 FIM 中配置，并分配一个功能标识符以通过接口寻址它们。

图 7.1：确定 FID 权限状态的逻辑信息流（权限状态存储在 RAM 中的实现）

每个 FID 的权限状态根据分配给特定 FID 的 EventId 计算。然后，每个 FID（例如 FID_K）的计算权限状态被"与"运算以确定最终权限状态。这意味着 FiM 将 FID 的权限状态存储在 RAM 中的实现。

或者，FiM 可以轮询监测状态以重新计算权限状态。轮询由请求其权限状态的功能（SW-C 或 BSW）或周期任务触发。在这种情况下，任何事件更改时 FiM 中不会增加处理负担。

7.2.1.6 "功能标识符权限状态"的定义

权限状态基于 Dem 报告的事件。因此，权限状态不直接考虑物理条件（例如温度、发动机转速等），而是考虑那些报告给 Dem 的条件（例如传感器故障）。

除了权限状态作为前置条件外，活动状态（功能是否处于活动状态）还包括表示功能是否确实被执行（即处于活动状态）的物理使能条件。

如上所述，一种可能的实现是在状态变量中提供权限状态。替代方法是在查询时根据底层依赖关系计算权限。

提示：如果权限状态存储在状态变量中，则它们是每个 FID 的唯一值。SW 组件通过 FiM_GetFunctionPermission 访问状态。

7.2.2 FiM 核心功能

7.2.2.1 FiM 数据结构

可配置的 EventId 数量和抑制掩码分配给一个 FID。每个 FID 的 EventId 数量和抑制掩码必须匹配，以便为每个配置的事件存在相应的抑制掩码。

抑制掩码包含 FID 的抑制条件，前提是关联的 EventId 具有特定状态（Dem_EventStatusExtendedType）。这些掩码定义 FID 对事件的敏感状态。然而，掩码不仅根据 Dem_EventStatusExtendedType 寻址某些位，它实际上从 Dem_EventStatusExtendedType 中选择一种算法来计算布尔抑制条件。

FiM 数据结构的实现无法规定。抑制矩阵的一种可能实现是每个抑制源的标定值块。

图 7.2：抑制掩码

根据实现，可能无法：

• 添加新事件。
• 扩展每个事件被抑制的 FID 数量。
• 扩展关于事件数量、FID 数量和链接数量的指定配置参数。

7.2.2.2 Dem 与功能抑制管理器（FiM）之间的交互

在报告事件的监测状态发生变化时，Dem 通过 API 函数 FiM_DemTriggerOnMonitorStatus 通知 FiM 监测状态变化（如果启用了 DemTriggerFiMReports）。

在收到监测状态变化的通知后，FiM 使用 API Dem_GetMonitorStatus 重新计算功能抑制。

注释：从功能的角度来看，抑制/释放条件的同步更新可以在 FiM_MainFunction API 之内或之外进行。

如第 4.1 节所述，FiM 的实现高度依赖于从应用派生的需求（例如时序需求）。如果应用需要快速响应时间，FiM 必须足够快地提供 FID 信息以允许触发跛行回家功能。

API FiM_DemTriggerOnMonitorStatus 仅在每个 FID 存储状态变量时相关。在不存储状态且每次查询时计算权限状态的替代实现中，API FiM_DemTriggerOnMonitorStatus 无效。

作为实现的示例，图 3 显示了单个 EventId-FID 链接的计算。左侧，监测状态由 Dem 报告为 Dem_EventStatusExtendedType。该状态与为与 FID 关联的 EventId 配置的掩码进行比较。

为每个 FID 分配一个抑制计数器。抑制计数器包含当前抑制 EventId 的数量。

如果计算周期性执行（通过 Dem_GetMonitorStatus 读取监测状态），则当状态和掩码匹配时抑制计数器应递增；否则抑制计数器不更新。这适用于 FiM_GetFunctionPermission（如果权限状态必须在查询时计算）和 FiM_MainFunction API。

在监测状态变化触发时，应使用存储的当前抑制 EventId（抑制计数器）来计算权限状态。如果 FiM_DemTriggerOnMonitorStatus 报告监测状态变化，则应执行以下操作：

• a. 如果 EventId 的状态变化导致释放状态（掩码与监测状态不匹配），则抑制计数器必须递减。
• b. 如果 EventId 的状态变化导致抑制状态（掩码与监测状态匹配），则抑制计数器必须递增。

如果抑制计数器 > 0，则 FID 权限状态应设置为 FALSE，否则 FID 权限状态应设置为 TRUE。

图 7.3：基于监测状态信息的权限状态计算

可选地，可以使用已测试状态进行抑制。根据抑制条件，如果事件具有状态"Tested"或"NotTested"，则抑制可以处于活动状态。如果未选择已测试值，则已测试状态不相关。

可用的状态标志组合被分配给具有"Tested"、"Not_Tested"或"Last_Failed"等口头表示的预定义值。

在 DemComponent 的 FAILED 状态发生变化时，应重新计算功能状态。每当组件状态为 FAILED（ComponentFailedStatus = TRUE）时，FID 被抑制。

7.2.2.3 SW 组件与功能抑制管理器（FiM）之间的交互

注意，通过标定的修改应是可能的。使用 SW 组件模板内容的 FiM 配置机制应考虑这些要求。

首先，需要引入并分配 FID。此外，对于每个 FID，应由 SW 组件提供导致 FID 抑制的事件列表及关联掩码。第 10 章介绍 SW 组件模板如何考虑这些配置要求。

在配置过程中，构建数据结构。根据实现，这可以是事件到所有受影响 FID 的映射，或者反之，FID 到影响它的所有事件的映射。

控制意味着在实现的功能中，通过 AUTOSAR 服务查询 FID 的权限。

7.2.2.4 FiM 使用的应用示例

图 7.4：FiM 使用

• FiM 的配置实际建立了 EventId 与分配的 FunctionId 之间的关系
• 所需的信息是：
  • 对于每个 FunctionId：FunctionId 的状态如何依赖于一个/多个 EventId 的状态？
    • 掩码确定 EventId 状态与 FunctionId 抑制状态之间的关系。
    • 如果 FunctionId 依赖于多个 EventId，则行结果'或'运算得出该 FunctionId 的总体结果。

7.2.2.5 初始化

7.2.3 OBD 功能

7.2.3.1 IUMPR 支持

为了跟踪日常使用中诊断功能的行为，特别是发现故障的能力，法规要求根据标准化驾驶曲线跟踪此性能。这称为"在使用监测性能比"（IUMPR，In-Use Monitor Performance Ratio），定义为可发现故障的次数（=分子）除以标准化驾驶曲线已完成的次数（=分母），如各 OBD 法规中所定义。相关数据记录基于 FID 和 EventID 在 Dem 中分配。

因此，根据引用的 FID 的 FiM 配置，可以评估是否需要停止 Ratio Id 特定的数据记录。特别是，在使用 $07 服务中可见期间，IUMPR 跟踪应停止。

Dem 可以将 FiM 配置用于其 IUMPR 计算，或通过调用专用 FID 的 FiM_GetFunctionPermission。

注意：FiM 不为 OBDII 提供特殊功能，但使用已存在的 OBDII 机制。

7.3 错误分类（Error classification）

7.3.1 开发错误（Development Errors）

表 7.1：开发错误类型

7.3.2 运行时错误（Runtime Errors）

无运行时错误。

7.3.3 瞬态故障（Transient Faults）

无瞬态故障。

7.3.4 生产错误（Production Errors）

无生产错误。

7.4 配置约束（Configuration Constraints）

8 API 规范（API specification）

8.1 导入类型（Imported types）

本章列出了从以下文件包含的所有类型：

表 8.1：FiM_ImportedTypes

8.2 类型定义（Type definitions）

8.2.1 FiM_ConfigType

表 8.2：FiM_ConfigType

8.3 函数定义（Function definitions）

这是为上层模块提供的函数列表。

8.3.1 ECU 状态管理器 <-> FiM 接口

8.3.1.1 FiM_Init

表 8.3：FiM_Init（注：见第 9.1 章）

为了快速恢复权限状态，建议如果 Dem 和 FiM 实现为集群，Dem 提供对监测状态信息的直接访问。在这种情况下，FiM 需要了解 Dem 的数据结构，以便可以直接访问 EventId 状态。

注意：关闭期间没有显式动作。权限状态在 ECU 关闭之前保持有效，因为它们直接依赖于监测状态信息。

8.3.2 SW 组件 <-> FiM 接口

8.3.2.1 FiM_GetFunctionPermission

表 8.4：FiM_GetFunctionPermission（满足：SRS_BSW_00310、SRS_BSW_00312、SRS_Fim_04700、SRS_Fim_04709）

8.3.2.2 FiM_SetFunctionAvailable

表 8.5：FiM_SetFunctionAvailable（满足：SRS_Fim_04723）

8.3.3 Dem <-> FiM 接口

8.3.3.1 FiM_DemTriggerOnMonitorStatus

表 8.6：FiM_DemTriggerOnMonitorStatus（满足：SRS_BSW_00310、SRS_BSW_00312、SRS_Fim_04717）

8.3.3.2 FiM_DemTriggerOnComponentStatus

表 8.7：FiM_DemTriggerOnComponentStatus

8.3.3.3 FiM_DemInit

表 8.8：FiM_DemInit（满足：SRS_BSW_00310、SRS_BSW_00358）

8.3.3.4 FiM_GetVersionInfo

表 8.9：FiM_GetVersionInfo

8.3.4 回调通知（Call-back notifications）

本章列出了由 FiM 模块提供并由下层模块使用的所有函数。

无指定回调通知。

8.3.5 调度函数（Scheduled functions）

本章列出了由 FiM 模块提供并由基础软件模块调度器直接调用的所有函数。

8.3.5.1 FiM_MainFunction

表 8.10：FiM_MainFunction（满足：SRS_BSW_00373）

权限状态的评估可以在事件变化时或周期性执行。

8.3.6 期望接口（Expected Interfaces）

本章列出了模块 FiM 所需的其他模块的所有函数。

8.3.6.1 强制接口（Mandatory Interfaces）

本章定义了实现模块核心功能所需的所有接口。

表 8.11：FiM 强制接口

8.3.6.2 可选接口（Optional Interfaces）

本章定义了实现模块可选功能所需的所有接口。

表 8.12：FiM 可选接口

8.4 服务接口（Service interfaces）

本章指定了通过 VFB 操作 FiM 功能的端口和端口接口。

8.4.1 客户端-服务器接口（Client-Server-Interfaces）

8.4.1.1 FiM_FunctionInhibition

使用 SW-C 模板的概念，接口定义如下：

表 8.13：服务接口 FunctionInhibition

操作

GetFunctionPermission

表 8.14：操作 GetFunctionPermission（满足：SRS_Fim_04700）

8.4.1.2 FiM_ControlFunctionAvailable

使用 SW-C 模板的概念，接口定义如下：

表 8.15：服务接口 ControlFunctionAvailable

操作

SetFunctionAvailable

表 8.16：操作 SetFunctionAvailable（满足：SRS_Fim_04723）

8.4.2 实现数据类型（Implementation Data Types）

8.4.2.1 FiM_FunctionIdType

表 8.17：实现数据类型 FiM_FunctionIdType（满足：SRS_BSW_00304、SRS_BSW_00305、SRS_BSW_00377）

8.4.3 端口（Ports）

表 8.18：端口 Func_{Name}（满足：SRS_Fim_04700）

表 8.19：端口 Control_{Name}（满足：SRS_Fim_04723）

8.4.4 内部行为（Internal Behavior）

FiM 服务的 InternalBehavior 仅由本地 RTE 看到。除了将功能标识符定义为端口定义参数外，InternalBehavior 必须指定操作调用的可运行实体：

Internal Behavior FiM {

// definition of associated operation-invoked RTE-events not shown
// (it is done in the same way as for any SWC type)

// section "runnable entities":

RunnableEntity GetFunctionPermission
symbol "FiMGetFunctionPermission"
canbeInvokedConcurrently = TRUE
}

9 序列图（Sequence diagrams）

9.1 FiM 初始化序列

图 9.1：FiM 初始化序列

9.2 FiM_DemTriggerOnMonitorStatus

下面的序列图说明了 Dem 如何通过调用 FiM_DemTriggerOnMonitorStatus 通知 FiM 某个监测状态的变化。此外，它还通过使用 FiM_GetFunctionPermission 请求权限状态来说明 FID 如何受到影响。

图 9.2：FiM_DemTriggerOnMonitorStatus

10 配置规范（Configuration specification）

本章定义了配置参数及其到容器的聚类。第 10.1 章描述了基础知识。它还指定了一个模板（表），您应将其用于参数规范。我们打算在规范中保留第 10.1 章以保证理解。第 10.2 章指定了模块 FiM 的结构（容器）和参数。第 10.3 章指定了模块 FiM 的已发布信息。

10.1 如何阅读本章（How to read this chapter）

详情请参阅 SWS_BSWGeneral [1] 中的第 10.1 章"配置规范介绍"。

10.2 容器与配置参数（Containers and configuration parameters）

以下章节总结了所有配置参数。参数的详细含义在第 7 章和第 7.3 章中描述。

10.2.1 FiM

10.2.2 FiMGeneral

SWS Item: [ECUC_FiM_00040] · Container Name: FiMGeneral

配置参数：

图 10.3：FiMGeneral 配置概述

10.2.3 FiMConfigSet

SWS Item: [ECUC_FiM_00601] · Container Name: FiMConfigSet

此容器包含 FiM 模块的配置参数和子容器，支持多个配置集。

10.2.4 FiMFID

SWS Item: [ECUC_FiM_00039] · Container Name: FiMFID

此容器包括所有 FID 的符号名称。

配置参数：FiMFunctionId [ECUC_FiM_00085] - FID 的唯一标识符，类型：EcucIntegerParamDef，范围 0..65535。

10.2.5 FiMInhibitionConfiguration

SWS Item: [ECUC_FiM_00038] · Container Name: FiMInhibitionConfiguration

此容器包括关于事件和 FID 之间关系的所有配置参数。

配置参数：

10.2.6 FiMSummaryEvent

SWS Item: [ECUC_FiM_00603] · Container Name: FiMSummaryEvent

汇总 EventId 定义记录由一个汇总事件 ID 和特定的 Dem 事件组成。该记录意味着在汇总事件（上述定义）情况下应禁用的特定 FID，将在任何特定事件下被禁用。可能的解决方案是将事件作为汇总事件分配以及特定事件列表。在配置过程中，汇总事件替代引用的单一事件。但是，未说明此需求如何解决——是通过配置过程还是通过 FiM 内的实现。FiM 配置工具也可以为汇总事件构建合适的数据结构并在 FiM 实现中处理。

配置参数：FiMInputEventRef [ECUC_FiM_00604] - 组合到此汇总事件的 DemEventParameters 的引用。Symbolic name reference to DemEventParameter, Multiplicity: 1..*

10.3 Published Information

详情请参阅 SWS_BSWGeneral [1] 中的第 10.3 章"已发布信息"。

A 不适用的需求（Not applicable requirements）