操作系统规范（Specification of Operating System）

1 介绍与功能概述

本规范规定了 AUTOSAR 操作系统（Operating System, OS）的功能、API 与配置。OS 提供了 AUTOSAR 基础软件（BSW）运行所需的基础服务，包括任务调度、中断处理、内存保护、时间保护、调度表、OS-Application 隔离、IOC 通信、多核支持、钩子（Hook）函数、外设访问接口等。

AUTOSAR OS 基于 OSEK/VDX OS 标准（ISO 17356），并在其基础上进行了扩展：增加了多核支持、内存保护、时间保护、调度表、IOC 等。OS 假定可自由访问硬件资源（中断控制寄存器、处理器状态字、栈指针等），并由 OS 自身管理这些资源。

OS 设计目标：

• 与 ISO 17356 兼容的 API 子集（向后兼容）
• 支持 OSEK OS 标准（OSEK/VDX OS、COM、NM 等）
• 支持 AUTOSAR BSW 模块（EcuM、Com、RTE 等）
• 提供调度表（Schedule Tables）以支持基于时间的同步
• 提供 IOC（Inter-OS-Application Communicator）以支持核内/核间 OS-Application 通信
• 提供多核调度、启动与关机机制
• 提供内存与时间保护以支持 ECU 集成
• 提供可扩展性类（scalability classes）以支持不同 ECU 等级

2 缩略语与缩写

本章仅列出对理解本文档有帮助的缩略语与缩写，更全面信息见 AUTOSAR 词汇表。

2.1 术语词汇表

本章定义本文档中使用的关键术语。

3 相关文档

3.1 输入文档

• [1] General Requirements on Basic Software Modules — AUTOSAR_SRS_BSWGeneral.pdf
• [2] Requirements on Operating System — AUTOSAR_SRS_OS.pdf
• [3] Specification of RTE Software — AUTOSAR_SWS_RTE.pdf
• [4] Specification of ECU State Manager — AUTOSAR_SWS_ECUStateManager.pdf
• [5] Specification of ECU Configuration — AUTOSAR_TPS_ECUConfiguration.pdf
• [6] Basic Software Module Description Template — AUTOSAR_TPS_BSWModuleDescriptionTemplate.pdf
• [7] General Specification of Basic Software Modules — AUTOSAR_SWS_BSWGeneral.pdf
• [8] Specification of Communication — AUTOSAR_SWS_COM.pdf
• [9] Specification of Network Management Interface — AUTOSAR_SWS_NetworkManagementInterface.pdf
• [10] Specification of Diagnostic Communication Manager — AUTOSAR_SWS_DiagnosticCommunicationManager.pdf
• [11] Requirements on Free Running Timer — AUTOSAR_SRS_Frt.pdf
• [12] Specification of MCU Driver — AUTOSAR_SWS_MCUDriver.pdf
• [13] Specification of GPT Driver — AUTOSAR_SWS_GPTDriver.pdf
• [14] Specification of AUTOSAR Run-Time Interface (ARTI) — AUTOSAR_SWS_ARTI.pdf
• [15] OSEK/VDX Operating System Specification 2.2.3
• [16] OSEK/VDX Communication Specification 3.0.3
• [17] OSEK/VDX Network Management Specification 2.5.3
• [18] OSEK/VDX Binding Specification 1.0
• [19] AUTOSAR Layered Software Architecture — AUTOSAR_EXP_LayeredSoftwareArchitecture.pdf
• [20] AUTOSAR Specification of Timing — AUTOSAR_TPS_Timing.pdf
• [21] AUTOSAR Specification of Multi-Core OS Architecture — 已合并入本规范
• [22] AUTOSAR Specification of RTE Multicore — AUTOSAR_SWS_RTE_MultiCore.pdf
• [23] AUTOSAR Specification of CRC — AUTOSAR_SWS_CRC.pdf
• [24] AUTOSAR Specification of Default Error Tracer — AUTOSAR_SWS_DefaultErrorTracer.pdf

3.2 相关标准与规范

3.2.1 ISO 17356

OSEK/VDX OS、COM、NM、Binding 规范的 ISO 化版本。

3.3 公司报告、学术著作等

不适用。

3.4 相关规范

AUTOSAR 提供了针对基本软件模块的通用规范 [7]（SWS BSW General），该规范同样适用于 OS。SWS BSW General 应被视为 OS 的附加且必需的规范。

4 约束与假设

4.1 现有标准

OS 规范建立在以下 OSEK/VDX 标准之上：

• OSEK/VDX OS 2.2.3 [15]：操作系统规范
• OSEK/VDX COM 3.0.3 [16]：通信规范
• OSEK/VDX NM 2.5.3 [17]：网络管理规范
• OSEK/VDX Binding 1.0 [18]：绑定规范

本规范在保持与 OSEK/VDX OS 兼容性的同时，扩展了多核支持、内存保护、时间保护、调度表、IOC、可信函数、外设访问、ARTI 跟踪钩子等特性。

4.2 术语

本规范使用 OSEK/VDX OS 规范中的术语。除此之外，AUTOSAR 还引入了以下 OS 相关术语（详见 §2.1 词汇表）：

• OS-Application：OS 视为单一单元的应用实体集合。
• Scalability Class：可扩展性类（SC1-SC4），定义 OS 支持的功能子集。
• Trusted Application：可信应用（拥有特权的 OS-Application）。
• Non-trusted Application：非可信应用（无特权的 OS-Application）。
• Schedule Table：调度表。
• IOC：OS-Application 间通信器。
• Spinlock：自旋锁（多核同步原语）。

4.3 与 RTE 的交互

RTE（运行时环境）使用 OS 提供的服务（如任务激活、事件设置、调度表控制、ISR 管理）来实现 AUTOSAR 软件组件的通信与调度。OS 假定 RTE 符合 [3] AUTOSAR RTE 规范。

RTE 假定 OS 提供的功能包括：

• 任务调度（基础调度策略与 OSEK 兼容）
• 中断处理（Cat1 ISR、Cat2 ISR）
• 事件机制（仅扩展任务支持）
• 资源管理（基于优先级天花板）
• 报警与计数器
• 调度表（基于时间的同步）

4.4 操作系统抽象层（OSAL）

未使用 AUTOSAR OS 的系统可通过操作系统抽象层（OSAL）为 AUTOSAR 软件组件提供执行平台。OSAL 与 AUTOSAR OS 的接口完全相同。

4.5 多核硬件假设

目前多核微处理器有多种现有和建议的硬件架构。本节尝试捕获多核所需的共同架构特征集。

硬件假设应保持为假设，不应成为 AUTOSAR 官方需求。

4.5.1 CPU 核特性

1. 同一片硅上多于一个核。
2. 硬件提供一种供软件识别核的方法。
3. 硬件支持针对固定字长的原子读和原子写操作。
4. 硬件支持某种原子 Test-And-Set 功能或类似功能，可用于构建核间共享的临界区。可能存在其他原子操作。
5. 核可能具有相同的指令集；至少在所有核上都可使用通用的基本指令集。可存在核特定的扩展，但本规范不予考虑。
6. 核具有相同的数据表示。例如，相同的整型大小、相同的字节和位顺序等。
7. 若存在每核缓存，AUTOSAR 要求硬件或软件支持 RAM 缓存一致性。软件手段意味着缓存控制器可通过软件编程以使缓存行失效或将某些内存区域排除在缓存之外。
8. 在异常情况下（如非法内存引用或除零），异常发生在引入异常的核上。
9. 出于通知目的，可在任何核上触发中断/陷阱。

4.5.2 内存特性

• 共享 RAM 对所有核可用；至少所有核可共享内存的很大一部分。
• Flash 应在所有核间共享（至少）。但若 Flash/RAM 可分区，使得核到 Flash 有独立路径，则性能可改善。
• 假定单一地址空间，至少在内存地址空间的共享部分。
• AUTOSAR 多核架构应能在支持与不支持内存保护的系统中运行。若存在内存保护，则所有核均由硬件内存保护覆盖。

4.5.3 多核限制

• 在 AUTOSAR R4.0 中，OS 启动后不支持激活 AUTOSAR 控制下的其他核。
• 调度算法不将 TASK 动态分配给核。
• AUTOSAR OS 的 RESOURCE 算法不跨核支持。RESOURCE 可在绑定到同一核的 TASK 之间本地使用，但不能在绑定到不同核的 TASK/ISR 之间使用。

4.6 限制

4.6.1 硬件

核心 AUTOSAR 操作系统假定可自由访问由 OS 自身管理的硬件资源。这包括但不限于以下硬件：

• 中断控制寄存器
• 处理器状态字
• 栈指针

核心操作系统的特定（扩展）功能扩展了硬件资源需求。下列列表概述了具有硬件需求的功能：

• 内存保护：需要硬件内存保护单元（MPU）。所有具有写副作用的内存访问（例如读时副作用为写的访问）应被视为写。
• 时间保护：需要用于监控执行时间和到达率的定时器硬件。
• MCU 上的"特权"和"非特权"模式：保护 OS 免受对 OS 控制寄存器的写操作引起的内部损坏。此模式必须不允许 OS-Applications 规避保护（例如写控制内存保护的寄存器、写到处理器状态字等）。特权模式必须由受保护的 OS 完全控制，OS 在内部使用该模式并实现从不可信 OS-Application 到可信 OS-Application 的控制转移。微处理器必须支持将处理器移入特权模式的受控方法。
• 本地/全局时间同步：需要全局时间源。

通常，处理器中的硬件故障不会被操作系统检测到。在硬件故障的情况下，无法保证 OS 的正确运行。

由特定 OS 实现管理的资源必须在 OS 的相应配置文件中定义。

4.6.2 编程语言

操作系统的 API 定义为 C 函数调用或宏。若使用其他语言，必须适配 C 接口。

4.6.3 其他

操作系统不提供动态内存管理服务。

4.7 在汽车领域的适用性

操作系统在尺寸和可扩展性方面具有与 [15]（OSEK OS）相同的设计约束。因此其当前直接适用领域为车身、底盘和动力总成 ECU。但也没有理由不能将 OS 用于实现信息娱乐应用 ECU。

5 与其他模块的依赖

没有对其他模块的强制依赖，但：

• 假定操作系统可直接使用定时器单元驱动计数器。
• 若用户需要直接从全局时间驱动调度，则需要全局时间中断。
• 若用户需要将调度表的处理同步到全局时间，则操作系统需要通过 SyncScheduleTable() 服务被告知全局时间。
• 本文档中描述的 IOC 提供 OS-Application 之间的通信。IOC 生成基于 RTE 生成器生成的配置信息。RTE 使用由 IOC 生成的函数来传输数据。

5.1 文件结构

5.1.1 代码文件结构

操作系统模块的代码文件结构未固定，除通用 SRS 中的需求外。

5.1.2 头文件结构

IOC 生成器生成额外的头文件 Ioc.h。Ioc.h 的用户应包含 Ioc.h 文件。若 IOC 的实现需要额外的头文件，则实现可自由包含。头文件是自包含的，这意味着它们将包含它们所需的所有其他头文件。

5.1.3 ARTI 文件结构（草案）

为支持基于 ARTI 的调试和跟踪，所有包含 ARTI 钩子宏的源文件应包含一个 arti.h 文件。此文件（连同相应的 arti.c 文件）由 ARTI 钩子实现者（即跟踪工具）提供。在构建最终可执行文件时，链接器也会将编译后的 arti.c 文件拉入。

ARTI 钩子宏的使用是可配置的。若 OS 配置为不使用 ARTI，则可以省略 arti.h 的包含，ARTI 钩子宏可以扩展为空宏（"无操作"）。

6 需求追溯

本章包含对其他 AUTOSAR 文档需求的引用。下表列出了 SWS 文档中满足输入需求的具体规范条目引用。仅功能需求被引用。

6.1 SRS_BSW_* 通用 BSW 需求追溯

以下 60+ SRS_BSW_* 需求由 SWS_Os_00767（版本检查）或 SWS_Os_00815（编译器特定方法封装）集中满足（按 SRS_BSW_00351）：

6.2 SRS_Frt_* 自由运行定时器需求追溯

6.3 SRS_Os_* 操作系统需求追溯

下表列出了 AUTOSAR SRS_OS 文档中定义的需求及其在 SWS_OS 中的满足关系（节选）。

完整的 SRS_Os_* 需求追踪表（在原 PDF 第 26-35 页）由 SWS_Os_00499（不适用）汇总标识，本节为节选。

7 功能规范

AUTOSAR 操作系统（OS）规范是 AUTOSAR BSW 的核心之一。OS 提供了任务调度、ISR 管理、内存保护、时间保护、调度表、IOC 通信、多核支持、错误处理、钩子函数等基础服务。

OS 基于 OSEK/VDX OS 标准（ISO 17356），并在其基础上扩展了多核、保护、调度表、IOC、ARTI 跟踪钩子等特性。

7.1 核心 OS

7.1.1 背景与原理

OS 的核心功能包括：任务调度、ISR 处理、资源管理、事件机制、报警、计数器。这些功能源自 OSEK/VDX OS 标准，并在 AUTOSAR 中扩展了可扩展性类（SC1-SC4）。

可扩展性类（SC）定义 OS 支持的功能子集。SC 数值越低，支持的功能越少（适合小型 ECU）；SC 数值越高，支持的功能越多（适合高端 ECU）。

7.1.2 需求

核心 OS 需求摘要：

[SWS_Os_00001] ⌈ OS 应提供与 OSEK OS API 向后兼容的 API。 ⌋（SRS_Os_00097）

[SWS_Os_00049, SWS_Os_00050, SWS_Os_00100, SWS_Os_00101] ⌈ 任务应为基本或扩展类型；任务状态应为 RUNNING、READY、WAITING、SUSPENDED。 ⌋（SRS_Os_00010, SRS_Os_00011, SRS_Os_00006）

[SWS_Os_00067] ⌈ 资源应通过优先级天花板协议管理。 ⌋（SRS_Os_00005）

[SWS_Os_00119, SWS_Os_00120] ⌈ 计数器应可静态配置。 ⌋（SRS_Os_00004）

[SWS_Os_00121] ⌈ 报警应可静态配置。 ⌋（SRS_Os_00003）

7.2 软件自由运行定时器（SWFRT）

SWFRT 是一个完全由软件实现的自由运行定时器，提供单调递增的计数值。它独立于硬件定时器，可在所有 OS-Application 中使用。

主要 API：

• GetCounterValue()：原子读取定时器当前值。
• GetElapsedValue()：计算自上次读值以来经过的刻度。
• TickToTimeConversion()：将刻度转换为时间值（用户相关）。

[SWS_Os_00370] ⌈ 应可指定使用哪个硬件定时器（若有）。 ⌋（SRS_Frt_00022）

[SWS_Os_00374] ⌈ 若未使用 GPT 定时器，则 SWFRT 的配置与初始化由 OS 执行。 ⌋（SRS_Frt_00020）

[SWS_Os_00377] ⌈ 应提供原子读取定时器值的功能。 ⌋（SRS_Frt_00033）

[SWS_Os_00382] ⌈ 模块应提供计算自先前存储值以来经过的刻度数的功能。 ⌋（SRS_Frt_00034）

[SWS_Os_00383, SWS_Os_00392] ⌈ 应为不同用户提供访问时间信息的方法。 ⌋（SRS_Frt_00025）

[SWS_Os_00384] ⌈ 读出值应从零开始，并单调递增。 ⌋（SRS_Frt_00030, SRS_Frt_00031）

[SWS_Os_00393] ⌈ SWFRT 应提供用户相关的 API（函数/宏）将刻度转换为时间。 ⌋（SRS_Frt_00047）

7.3 调度表

7.3.1 背景与原理

调度表（Schedule Table）是一个基于时间的事件表，定义了到期时执行的动作（如激活任务、设置事件、启动/停止其他调度表）。

调度表支持：

• 绝对到期点（基于同步后的全局时间）
• 相对到期点（基于调度表启动时间）
• 周期与非周期调度表
• 多种到期动作：激活任务、设置事件、调用回调、启动/停止其他调度表

调度表由计数器（Counter）驱动，计数器决定调度表的最小时间分辨率。

7.3.2 需求

[SWS_Os_00017, SWS_Os_00021] ⌈ 调度表应由计数器驱动。 ⌋（SRS_Os_00013）

[SWS_Os_00134, SWS_Os_00138] ⌈ 调度表应支持绝对和相对到期点。 ⌋（SRS_Os_00014）

[SWS_Os_00145, SWS_Os_00152, SWS_Os_00153] ⌈ 调度表应支持同步、启动、停止。 ⌋（SRS_Os_00015）

[SWS_Os_00002, SWS_Os_00007] ⌈ 操作系统应提供基于时间表的调度表，作为可选服务。 ⌋（SRS_Os_00098）

7.4 调度表同步

7.4.1 背景与原理

调度表同步允许将本地调度表与外部时间源（如全局时间）同步。同步通过 SyncScheduleTable() 服务实现，该服务将本地计数器调整为指定值。

同步策略：

• 绝对同步：将本地计数器设置为绝对全局时间值。
• 相对同步：基于当前时间与目标时间的差值进行偏移。
• 隐式同步：基于外部时间事件自动调整。

7.4.2 需求

[SWS_Os_00155, SWS_Os_00156, SWS_Os_00157] ⌈ SyncScheduleTable() 服务应支持以绝对或相对时间值同步调度表。 ⌋

[SWS_Os_00158, SWS_Os_00159] ⌈ 同步后的偏差应在可配置的精度范围内。 ⌋

[SWS_Os_00160, SWS_Os_00161] ⌈ 当同步后偏差超出范围时，应通过错误钩子通知。 ⌋

7.5 栈监控设施

7.5.1 背景与原理

栈监控用于检测任务/ISR 的栈使用情况，以便在栈溢出前发出警告。栈监控有两种方式：

• 静态栈监控：通过填充特定模式（通常为 0xCC）并在上下文切换时检查模式是否完整。
• 动态栈监控：通过比较已用栈大小与配置的最大栈大小。

7.5.2 需求

[SWS_Os_00230, SWS_Os_00231, SWS_Os_00232] ⌈ OS 应支持栈填充模式以进行栈监控。 ⌋

[SWS_Os_00233, SWS_Os_00234] ⌈ 栈使用应在上下文切换或钩子中检查。 ⌋

[SWS_Os_00414, SWS_Os_00415] ⌈ OS 应提供栈使用查询 API。 ⌋

7.6 OS-Application

7.6.1 背景与原理

OS-Application 是 OS 视为单一单元的应用实体集合。每个 OS-Application 包含任务、ISR、调度表、计数器、报警、资源、IOC 等对象。

OS-Application 状态机：

• APPLICATION_ACCESSIBLE：可被访问（默认）。
• APPLICATION_RESTARTING：正在重启；拒绝外部访问。
• APPLICATION_TERMINATED：已终止；不可访问。

OS-Application 类型：

• Trusted：可信应用，享有特权，可访问所有 OS 对象。
• Non-trusted：非可信应用，受保护机制约束。

7.6.2 需求

[SWS_Os_00402, SWS_Os_00403, SWS_Os_00404] ⌈ OS 应支持 OS-Application 机制，包括启动、关闭、访问控制。 ⌋（SRS_Os_00030）

[SWS_Os_00406] ⌈ OS 应在 OS-Application 重启期间拒绝来自其他 OS-Application 的访问。 ⌋

[SWS_Os_00408] ⌈ OS 应支持可信与非可信 OS-Application。 ⌋

[SWS_Os_00504] ⌈ OS 模块应拒绝对不处于 APPLICATION_ACCESSIBLE 状态的 OS-Application 的访问。 ⌋

[SWS_Os_00509] ⌈ 若对其他 OS-Application 拥有的 OS 对象进行服务调用且该应用不处于 APPLICATION_ACCESSIBLE 状态，则 OS 模块应返回 E_OS_ACCESS。 ⌋

7.7 保护设施

保护仅适用于 OS 管理的对象。这意味着：

• 运行时无法对 Category 1 ISR 提供保护（OS 不知道任何 Category 1 ISR 被调用）。因此若需要任何保护，应避免 Category 1 ISR。若同时使用 Category 1 中断和 OS-Application，则所有 Category 1 ISR 必须属于可信 OS-Application。
• 无法对从同一任务/Category 2 ISR 主体调用的函数之间提供保护。

7.7.1 内存保护

背景与原理

内存保护仅在提供硬件内存保护支持的处理器上可行。内存保护方案基于可执行程序的数据、代码和栈段。

• 栈：OS-Application 包含若干任务和 ISR。这些对象的栈按定义仅属于所有者对象，因此不需要在不同对象之间共享栈数据。任务/ISR 栈的内存保护主要有两个目的：(1) 提供比栈监控更即时的栈溢出与下溢检测；(2) 满足某些安全约束。
• 数据：OS-Application 可拥有私有数据段；任务/ISR 可拥有私有数据段。OS-Application 的私有数据段由属于该 OS-Application 的所有任务/ISR 共享。
• 代码：代码段可对单个 OS-Application 私有，也可在所有 OS-Application 间共享（用于共享库）。

需求

数据段与栈

[SWS_Os_00198] ⌈ 操作系统模块应阻止来自非可信 OS-Application 对自身数据段与自身栈的写访问。 ⌋

[SWS_Os_00795] ⌈ OS 应提供限制可信 OS-Application 写访问的可能性，方式与对非可信 OS-Application 所做的一致。可通过 OsTrustedApplicationWithProtection 配置。 ⌋（SRS_Os_11005）

OS-Application 私有数据

[SWS_Os_00026] ⌈ 操作系统模块可阻止其他非可信 OS-Application 试图读取某 OS-Application 的数据段。 ⌋（SRS_Os_11000）

[SWS_Os_00086] ⌈ 操作系统模块应允许某 OS-Application 读写访问自身私有数据段。 ⌋（SRS_Os_11006）

[SWS_Os_00207] ⌈ 操作系统模块应阻止来自其他非可信 OS-Application 对该 OS-Application 私有数据段的写访问。 ⌋（SRS_Os_11005）

任务/ISR 私有栈

[SWS_Os_00196] ⌈ 操作系统模块应允许任务/Category 2 ISR 读写访问自身的私有栈。 ⌋（SRS_Os_11006）

[SWS_Os_00208] ⌈ 操作系统模块可阻止同 OS-Application 内其他任务/ISR 对非可信应用任务/Category 2 ISR 私有栈的写访问。 ⌋（SRS_Os_11005）

[SWS_Os_00355] ⌈ 操作系统模块应阻止来自其他非可信 OS-Application 对该 OS-Application 任务/Category 2 ISR 全部私有栈的写访问。 ⌋

任务/ISR 私有数据

[SWS_Os_00087] ⌈ 操作系统模块应允许任务/Category 2 ISR 读写访问自身私有数据段。 ⌋（SRS_Os_11006）

[SWS_Os_00195] ⌈ 操作系统模块可阻止同 OS-Application 内其他任务/ISR 对非可信应用任务/Category 2 ISR 私有数据段的写访问。 ⌋（SRS_Os_11005）

[SWS_Os_00356] ⌈ 操作系统模块应阻止来自其他非可信 OS-Application 对该 OS-Application 任务/Category 2 ISR 全部私有数据段的写访问。 ⌋

代码段

[SWS_Os_00027] ⌈ 操作系统模块可为 OS-Application 提供保护自身代码段不被非可信 OS-Application 执行的能力。 ⌋

[SWS_Os_00081] ⌈ 操作系统模块应提供在所有 OS-Application 都可执行的段中提供共享库代码的能力。 ⌋（SRS_Os_11007）

外设

[SWS_Os_00209] ⌈ 若 OsTrustedApplicationWithProtection == FALSE，则 OS 模块应允许可信 OS-Application 读写访问外设。 ⌋

[SWS_Os_00083] ⌈ 操作系统模块应仅允许非可信 OS-Application 写入其分配的外设（包括具有写副作用的读）。 ⌋

内存访问违规

[SWS_Os_00044] ⌈ 若检测到内存访问违规，操作系统模块应以状态码 E_OS_PROTECTION_MEMORY 调用保护钩子。 ⌋（SRS_Os_11013）

7.7.2 时间保护

背景与原理

实时系统中的时序故障发生在任务或中断在运行时错过其截止时间时。

AUTOSAR OS 不提供用于时间保护的截止时间监控。截止时间监控不足以正确识别引起时序故障的任务/ISR。当违反截止时间时，这可能是由不相关的、干扰/阻塞过长时间的任务/ISR 引起的时序故障。此情况下的故障在于不相关的任务/ISR，并且这将在系统中传播，直到任务/ISR 错过其截止时间。因此，错过截止时间的任务/ISR 不一定是运行时失败的任务/ISR，而只是检测到时序故障的最早点。

若基于截止时间监控识别的错过截止时间采取行动，则可能使用错误的错误证据来终止正确的 OS-Application，以允许不正确的 OS-Application 继续运行。

为解决此问题，AUTOSAR OS 提供了执行时间监控、到达率/间隔时间监控、锁时间监控三种时间保护机制。

需求

执行时间监控

[SWS_Os_00290, SWS_Os_00291, SWS_Os_00292, SWS_Os_00293] ⌈ OS 应提供任务/ISR 的执行时间监控。 ⌋（SRS_Os_00021）

[SWS_Os_00294] ⌈ 若任务/ISR 的执行时间超出配置预算，OS 应调用 ProtectionHook 并返回 E_OS_PROTECTION_TIME。 ⌋

到达率/间隔时间监控

[SWS_Os_00296, SWS_Os_00297, SWS_Os_00298] ⌈ OS 应提供任务/ISR 的到达率/间隔时间监控。 ⌋（SRS_Os_00023）

[SWS_Os_00295] ⌈ 若任务/ISR 的到达间隔短于配置时间框架，OS 应调用 ProtectionHook 并返回 E_OS_PROTECTION_ARRIVAL。 ⌋

锁时间监控

[SWS_Os_00299, SWS_Os_00300] ⌈ OS 应提供资源/中断锁的获取时间监控。 ⌋（SRS_Os_00022）

[SWS_Os_00301] ⌈ 若资源/中断锁的持有时间超出配置预算，OS 应调用 ProtectionHook 并返回 E_OS_PROTECTION_LOCKED。 ⌋

7.7.3 服务保护

[SWS_Os_00310, SWS_Os_00311] ⌈ OS 应限制非可信 OS-Application 对其他 OS-Application 对象的访问。 ⌋

[SWS_Os_00312, SWS_Os_00313] ⌈ 非可信 OS-Application 仅可访问属于自己的对象。 ⌋

[SWS_Os_00509] ⌈ 若对其他 OS-Application 拥有的对象进行服务调用且该应用不处于 APPLICATION_ACCESSIBLE 状态，OS 应返回 E_OS_ACCESS。 ⌋

7.7.4 保护 OS 使用的硬件

[SWS_Os_00420, SWS_Os_00421] ⌈ OS 应将关键硬件资源（如中断控制寄存器、栈指针）保护在非可信 OS-Application 之外。 ⌋

7.7.5 提供"可信函数"

可信函数（Trusted Function）是一种允许非可信 OS-Application 调用特权操作的机制。当非可信应用需要执行受保护操作（如访问外设）时，可通过 CallTrustedFunction() 服务调用在可信 OS-Application 中注册的可信函数。

[SWS_Os_00496, SWS_Os_00497, SWS_Os_00498] ⌈ OS 应支持可信函数的注册与调用机制。 ⌋（SRS_Os_00070）

[SWS_Os_00499] ⌈ 可信函数应运行在特权模式下，允许访问受保护资源。 ⌋

7.8 保护错误处理

7.8.1 背景与原理

当 OS 检测到保护错误（内存访问、时间或锁违规）时，调用 ProtectionHook() 回调。用户可在钩子中实现错误恢复逻辑（如重启违规 OS-Application、关闭 OS 等）。

错误码：

• E_OS_PROTECTION_MEMORY：内存访问违规
• E_OS_PROTECTION_TIME：执行时间超出
• E_OS_PROTECTION_ARRIVAL：到达间隔过短
• E_OS_PROTECTION_LOCKED：资源/中断锁持有时间超出

钩子返回值：

• PRO_IGNORE：忽略错误
• PRO_SHUTDOWN：关闭违规 OS-Application
• PRO_TERMINATE：终止 OS
• PRO_TERMINATETASKISR：终止违规任务/ISR
• PRO_RESTART：重启违规 OS-Application

7.8.2 需求

[SWS_Os_00450, SWS_Os_00451, SWS_Os_00452, SWS_Os_00453] ⌈ OS 应在保护错误时调用 ProtectionHook()。 ⌋（SRS_Os_00080）

[SWS_Os_00454, SWS_Os_00455] ⌈ 钩子应返回上述值之一以决定错误恢复策略。 ⌋

7.9 多核操作系统

AUTOSAR R4.0 引入多核 OS 支持。本节描述多核 OS 的概念、行为与限制。

7.9.1 背景与原理

7.9.2 调度

7.9.3 可定位实体（LE）

LE 是驻留在特定核上的 OS 对象（任务、ISR、调度表等）。每个 LE 只能由其所在核访问，跨核访问需通过 IOC。

7.9.4 多核启动概念

多核 OS 的启动顺序：

1. 主核（Master Core）启动并初始化 OS 内核（核心部分）。
2. 主核激活从核（Satellite Cores）并启动它们的 OS。
3. 从核开始调度本地任务。
4. 所有核进入正常运行状态。

主核通过 StartCore() 激活从核，从核通过 StartOS() 完成本地 OS 启动。

7.9.5 AUTOSAR OS 控制的核

所有受 AUTOSAR OS 控制的核均运行 OS 提供的服务，并通过 IOC 进行核间通信。

7.9.6 不由 AUTOSAR OS 控制的核

可存在不由 AUTOSAR OS 控制的基本核（如 BMHD、CCP 等）。这些核通过专用驱动与 AUTOSAR OS 交互。

7.9.7 多核关闭概念

多核 OS 的关闭顺序：

1. 主核请求关闭所有从核。
2. 从核执行本地关机流程（停止任务、关闭调度表、清理资源）。
3. 从核完成关机后通知主核。
4. 主核在所有从核关闭后执行自身关机流程。

7.9.8 OS 服务功能（概述）

多核 OS 中，所有标准 OS 服务（任务、ISR、资源、计数器、报警、调度表、IOC、自旋锁、钩子）均按核本地方式工作。跨核通信仅通过 IOC 与自旋锁实现。

7.9.9 GetTaskID

GetTaskID() 返回当前任务的 ID（核本地）。

7.9.10 中断禁用

中断禁用 API（DisableAllInterrupts、EnableAllInterrupts、SuspendAllInterrupts、ResumeAllInterrupts、SuspendOSInterrupts、ResumeOSInterrupts）仅影响当前核的中断。跨核中断同步需使用自旋锁。

7.9.11 TASK 激活

ActivateTask() 仅激活当前核上的任务（任务已绑定到特定核）。跨核任务激活不可直接进行，需通过 IOC 消息通知目标核。

7.9.12 TASK 链接

任务链接（Task Chaining）行为与单核相同：完成任务后立即调度同优先级就绪任务。

7.9.13 EVENT 设置

SetEvent() 仅设置当前核上任务的扩展任务事件。

7.9.14 激活附加核

主核通过 StartNonAutosarCore()（扩展 API）激活附加核。OS-Application 可通过此 API 启动专用计算核。

7.9.15 OS 启动

StartOS() 启动 OS 核心调度。可由主核或从核调用；从核可在不调用 StartOS() 的情况下进入主函数。

7.9.16 TASK 终止

任务可通过 TerminateTask() 终止自身。OS 将任务状态切换为 SUSPENDED，并触发重新调度。

7.9.17 OS-Application 终止

TerminateApplication() 终止指定的 OS-Application。OS-Application 状态切换为 APPLICATION_TERMINATED。

7.9.18 OS 关闭

ShutdownOS() 关闭 OS。立即停止所有核上的调度，调用关闭钩子，执行最终关闭。

7.9.19 等待事件

WaitEvent() 等待当前核上任务的扩展任务事件。

7.9.20 调用可信函数

CallTrustedFunction() 仅在本地核上调用可信函数（必须属于同一核上的可信 OS-Application）。

7.9.21 调用重调度

Schedule() 触发本地核的任务重调度。

7.9.22 RESOURCE 占用

资源（Resource）仅在绑定到同一核的任务间本地使用，跨核资源需使用自旋锁。

7.9.23 CoreID

GetCoreID() 返回当前核的 ID。

7.9.24 COUNTER（背景与原理）

7.9.25 COUNTER 的多核限制

7.9.26 COUNTER 同步

7.9.27 ALARM

报警基于计数器，绑定到特定核。跨核报警不可直接使用，需通过 IOC 通知目标核。

7.9.28 调度表

7.9.29 自旋锁机制

自旋锁（Spinlock）提供多核间的硬件同步原语，API：GetSpinlock()、ReleaseSpinlock()、TryToGetSpinlock()。

[SWS_Os_00680, SWS_Os_00681, SWS_Os_00682, SWS_Os_00683] ⌈ OS 应支持自旋锁的获取、释放与尝试获取。 ⌋（SRS_Os_00050）

7.9.30 离线检查

7.9.31 自动启动对象

OS-Application 可配置自动启动的任务、ISR、报警、调度表，在 StartOS() 后自动激活。

7.10 OS-Application 间通信器（IOC）

7.10.1 背景与原理

IOC（Inter-OS-Application Communicator）提供 OS-Application 之间的通信机制，支持核内与跨核通信。IOC 通过共享内存实现，对调用方透明。

7.10.2 IOC - 通用目的

7.10.3 IOC 功能

IOC 提供两种通信原语：

• Sender-Receiver：单向数据发送。
• Client-Server：双向调用-返回。

API：IocSend_<cn>()、IocReceive_<cn>()、IocWrite_<cn>()、IocRead_<cn>()、IocCall_<cn>()。

7.10.4 IOC 接口

7.10.5 IOC 内部结构

7.10.6 IOC 配置与生成

7.10.7 IOC 集成示例

7.10.8 未来扩展

7.11 系统可扩展性

7.11.1 背景与原理

系统可扩展性类（SC1-SC4）允许 OS 配置为支持不同范围的功能。SC 越低，开销越小；SC 越高，安全性/可调试性越好。

7.11.2 需求

[SWS_Os_00900, SWS_Os_00901, SWS_Os_00902, SWS_Os_00903, SWS_Os_00904] ⌈ OS 应支持 SC1-SC4 的可扩展性类配置。 ⌋

7.12 Hook 函数

7.12.1 背景与原理

Hook 函数是 OS 在特定系统事件时调用的回调，用于用户扩展 OS 行为或实现 OS-Application 级别的初始化/清理。

主要 Hook 函数：

• StartupHook()：OS 启动后立即调用。
• ShutdownHook()：OS 关闭前调用。
• ErrorHook()：每次 OS 服务返回错误时调用。
• ProtectionHook()：保护错误时调用。
• PreTaskHook() / PostTaskHook()：任务切换前后调用。

7.12.2 需求

[SWS_Os_00370, SWS_Os_00371, SWS_Os_00372] ⌈ OS 应支持启动、关闭、错误、保护等 Hook 函数。 ⌋（SRS_Os_00090）

7.13 硬件外设访问

7.13.1 背景与原理

OS 提供了一组直接访问硬件外设的 API（绕过 AUTOSAR MCAL），用于需要高性能或低延迟的特殊场景（例如中断处理、GPIO 快速翻转等）。

API：ReadPeripheral8/16/32、WritePeripheral8/16/32、ModifyPeripheral8/16/32。

7.13.2 需求

[SWS_Os_00600, SWS_Os_00601, SWS_Os_00602] ⌈ OS 应提供 8/16/32 位宽度的外设读、写、修改 API。 ⌋（SRS_Os_00110）

7.14 中断源 API

7.14.1 背景与原理

中断源 API 允许 OS-Application 查询中断源信息（向量、优先级、状态等），用于高级中断处理场景。

API：GetInterruptSource()、EnableInterruptSource()、DisableInterruptSource()、ClearInterruptSource()、TriggerInterruptSource()、InstallInterruptHandler()。

7.14.2 需求

[SWS_Os_00620, SWS_Os_00621, SWS_Os_00622] ⌈ OS 应提供完整的中断源管理 API。 ⌋（SRS_Os_00120）

7.15 错误分类

OS 错误分为：

• 开发错误：参数错误、未初始化等，仅在开发阶段检测。
• 运行时错误：违反运行时约束（如无效状态）。
• 瞬态错误：临时性错误（如信号丢失）。

主要错误码：E_OS_ACCESS、E_OS_CALLEVEL、E_OS_ID、E_OS_LIMIT、E_OS_NOFUNC、E_OS_RESOURCE、E_OS_STATE、E_OS_VALUE、E_OS_SERVICEID、E_OS_PARAM_POINTER、E_OS_PARAM_VALUE、E_OS_PROTECTION_MEMORY、E_OS_PROTECTION_TIME、E_OS_PROTECTION_ARRIVAL、E_OS_PROTECTION_LOCKED、E_OS_DISABLEDINT、E_OS_SYS_ASSERTION 等。

7.16 ARTI Hook 宏（草案）

ARTI（AUTOSAR Run-Time Interface）提供 OS 的运行时跟踪与调试接口。ARTI Hook 宏由 OS 在关键事件（任务调度、中断、信号量、调用）处调用，由跟踪工具实现以收集运行时信息。

主要 ARTI 类：

• AR_CP_OS_APPLICATION：OS-Application 事件
• AR_CP_OS_TASKSCHEDULER：任务调度事件
• AR_CP_OS_CAT2DISPATCHER：Cat2 中断分发
• AR_CP_OS_SERVICECALLS：OS 服务调用
• AR_CP_OS_SPINLOCK：自旋锁事件

8 API 规范

8.1 常量

8.1.1 StatusType 错误码

注：值 0-17 是标准错误码；具体值在编译器配置（os_types.h）中定义。

8.2 宏

OS 提供以下宏：

• OS_DECLARE_STATIC_ASSERT(name, condition)：声明编译时静态断言。
• OS_STATIC_ASSERT(name, condition)：定义编译时静态断言。
• OS_PARAM_ASSERT(param, condition, errorcode)：参数检查宏。
• OS_INVOKE_ERRORHOOK(errorcode, ...)：调用错误钩子（内部宏）。

8.3 类型定义

8.4 函数定义

本节列出 OS 提供的所有 API 函数。Service ID 范围为 0x00-0x32（部分为 0x60+）。所有函数均以 C 函数或宏形式提供。

8.4.1 GetApplicationID

[SWS_Os_00500] ⌈

⌋（SRS_Os_00030）

8.4.2 GetCurrentApplicationID

[SWS_Os_00519] ⌈

⌋

8.4.3 GetISRID

[SWS_Os_00520] ⌈

⌋

8.4.4 Counter 函数（节选）

主要计数器函数（Service ID 0x04-0x11）：

• InitCounter（0x04）：初始化计数器（静态）
• CounterType CounterID（0x05）
• IncrementCounter（0x06）：增加软件计数器
• GetCounterValue（0x10）：读取当前计数值
• GetElapsedValue（0x11）：读取经过的刻度
• TerminateApplication（0x12）：终止 OS-Application
• AllowAccess（0x13）：允许访问重启中的 OS-Application
• GetApplicationState（0x14）：获取 OS-Application 状态
• EnableInterruptSource（0x31）：使能中断源
• DisableInterruptSource（0x30）：禁用中断源
• ClearPendingInterrupt（0x32）：清除中断挂起标志
• ActivateTaskAsyn（0x33）：异步激活任务
• SetEventAsyn（0x34）：异步设置事件
• GetSpinlock（0x35）：获取自旋锁
• ReleaseSpinlock（0x36）：释放自旋锁
• TryToGetSpinlock（0x37：尝试获取自旋锁

OS-Application API（SC3/SC4）：

• TerminateApplication（0x12）：终止 OS-Application（RESTART/NO_RESTART）
• AllowAccess（0x13）：将状态从 RESTARTING 改为 ACCESSIBLE
• GetApplicationState（0x14）：返回 OS-Application 状态

中断源 API：

• EnableInterruptSource（0x31）：使能 Cat2 ISR 中断源
• DisableInterruptSource（0x30）：禁用 Cat2 ISR 中断源
• ClearPendingInterrupt（0x32）：清除挂起标志

外设访问 API：

• ReadPeripheral8/16/32（0x2a-0x2c）：8/16/32 位外设读
• WritePeripheral8/16/32（0x2b-0x2d）：8/16/32 位外设写
• ModifyPeripheral8/16/32（0x2e-0x30）：8/16/32 位外设读改写

多核 API：

• GetCoreID（0x10）：获取当前核 ID
• GetNumberOfActivatedCores：获取已激活核数
• GetActiveApplicationMode：获取应用模式
• StartCore：启动从核（仅主核）
• StartNonAutosarCore：启动非 AUTOSAR 核

标准 OSEK OS API（SC1-SC4）：

• ActivateTask(TaskID)：激活任务（优先级或 FIFO）
• TerminateTask()：终止当前任务
• ChainTask(TaskID)：链接到任务（不返回）
• Schedule()：触发重调度
• GetTaskID()、GetTaskState(TaskID, State*)
• SetEvent(TaskID, Mask)、ClearEvent(Mask)、GetEvent(TaskID, Mask*)、WaitEvent(Mask)
• GetResource(ResourceID)、ReleaseResource(ResourceID)
• SetRelAlarm(AlarmID, Increment, Cycle)、SetAbsAlarm(AlarmID, Start, Cycle)、CancelAlarm(AlarmID)、GetAlarmBase(AlarmID, TickRef)、GetAlarm(AlarmID, TickRef)
• StartScheduleTableAbs(SchedTabID, Start)、StartScheduleTableRel(SchedTabID, Offset)、StartScheduleTableSynchron(SchedTabID, Value)、StopScheduleTable(SchedTabID)、NextScheduleTable(From, To)、GetScheduleTableStatus(SchedTabID, Status*)、SyncScheduleTable(SchedTabID, Value)
• DisableAllInterrupts()、EnableAllInterrupts()、SuspendAllInterrupts()、ResumeAllInterrupts()、SuspendOSInterrupts()、ResumeOSInterrupts()
• CallTrustedFunction(Index, FunctionParams)：调用可信函数
• StartOS(AppMode)、ShutdownOS(Error)

IOC API（由 IOC 生成器自动生成，<IocId> 为配置标识符）：

• IocSend_<IocId>（0x20）：事件语义发送
• IocWrite_<IocId>（0x21）：数据语义发送
• IocSendGroup_<IocId>（0x22）：事件语义组发送
• IocWriteGroup_<IocId>（0x23）：数据语义组发送
• IocReceive_<IocId>（0x22）：事件语义接收
• IocRead_<IocId>（0x23）：数据语义接收
• IocReceiveGroup_<IocId>（0x24）：事件语义组接收
• IocReadGroup_<IocId>（0x25）：数据语义组接收
• IocEmptyQueue_<IocId>（0x26）：清空队列

IOC 错误码：IOC_E_OK、IOC_E_NOK、IOC_E_LIMIT、IOC_E_LOST_DATA、IOC_E_NO_DATA。

SWFRT API：

• GetCounterValue(CounterID, Value*)：原子读取定时器值
• GetElapsedValue(CounterID, Value, ElapsedValue*)：读取经过的刻度
• TickToTimeConversion(CounterID, ticks, time*)：刻度转时间

8.5 回调通知

8.6 期望接口

本节列出 OS 模块所需的其他模块接口。

8.6.1 强制接口

无对其他模块的强制接口依赖。

8.6.2 可选接口

• Det_ReportError（Det.h）：开发错误报告。
• GetCounterValue、EnableTrigger、DisableTrigger、SetTriggerWindow、SetClearTriggerTime、TimeStamp：来自 GPT 驱动（用于 SWFRT）。
• GetTimeElapsed、GetTimeRemaining、GetCounterState：来自 GPT 驱动。

8.6.3 可配置接口

无。

9 序列图

原 OS 规范包含若干序列图，描绘了 OS 服务调用时各对象间的交互。典型序列包括：

• 任务激活序列：用户调用 ActivateTask(T1) → OS 检查状态 → 状态切换为 READY → 触发重调度 → 在调度点任务切换至 T1。
• 事件设置与等待序列：任务 T1 调用 SetEvent(T2, E1) → T2 状态切换至 READY → 任务 T2 调用 WaitEvent(E1) → 状态切换至 WAITING → 事件被设置后回到 READY。
• 资源获取与释放序列：低优先级任务 L 获取资源 R → 优先级升至天花板 → 中优先级任务 M 不可抢占 → L 释放 R → 优先级恢复 → M 可运行。
• 调度表启动与到期序列：StartScheduleTableRel(ST, offset) → 计数器达到 offset 触发表项 → 到期动作（激活任务/设置事件）。
• IOC 通信序列：发送方调用 IocSend_<IocId>(data) → 数据写入共享缓冲区 → 接收方调用 IocReceive_<IocId>(out) → 读取数据。
• 多核启动序列：主核 StartOS() → 初始化共享内存/IOC → StartCore(core1) → 从核 StartOS() → 同步开始调度。

由于序列图主要以图形表示，详细图像请参阅原 PDF 第 9 章。

10 配置规范

本章定义 OS 的配置参数及其到容器的分组。10.1 节描述基础规范，10.2 节规定容器结构与参数，10.3 节规定发布信息。

10.1 如何阅读本章

详情参阅 SWS_BSWGeneral 中"10.1 Introduction to configuration specification"章节。

10.2 容器与配置参数

OS 的配置由 Os 顶层容器管理，包含 OsAppMode、OsApplication、OsTask、OsIsr、OsCounter、OsAlarm、OsResource、OsScheduleTable、OsSpinlock、OsIoc 等子容器，以及它们的配置参数。

10.2.1 Os（顶层）

SWS Item: ECUC_Os_00001

包含的容器：OsAppMode、OsApplication、OsTask、OsIsr、OsResource、OsCounter、OsAlarm、OsScheduleTable、OsSpinlock、OsIoc、OsAppMode 等。

10.2.2 OsAppMode

SWS Item: ECUC_Os_00080

配置参数：OsAppModeIdentifier（ECUC_Os_00081）：模式标识符，类型 EcucIntegerParamDef，范围 0..255。

10.2.3 OsApplication

SWS Item: ECUC_Os_00706

配置参数：

• OsApplicationIdentifier（ECUC_Os_00010）：应用 ID，uint8。
• OsTrusted（ECUC_Os_00687）：是否可信应用，bool。
• OsApplicationCore（ECUC_Os_00714）：多核应用，引用 OsCore。
• OsApplicationEcucPartitionRef（ECUC_Os_00917）：EcuC 分区引用。
• OsRestartTask（ECUC_Os_00911）：OS-Application 重启时激活的任务。
• OsTrustedApplicationWithProtection（ECUC_Os_00760）：可信应用的写保护设置。
• OsAppModeRef：引用的 AppModes 列表。

10.2.4 OsTask

SWS Item: ECUC_Os_00707

配置参数：

• OsTaskIdentifier（ECUC_Os_00686）：任务 ID，uint16。
• OsTaskPriority（ECUC_Os_00006）：优先级，uint8，0（最低）到 OsTaskMaxPriority（最高）。
• OsTaskStackSize（ECUC_Os_00109）：栈大小，uint32，字节。
• OsTaskStackUsage：栈使用测量点（用于栈监控）。
• OsTaskFunctionPointer（ECUC_Os_00685）：任务入口函数。
• OsTaskSchedule（ECUC_Os_00013）：调度策略，枚举（FULL/NON）。
• OsTaskActivation（ECUC_Os_00008）：最大激活次数。
• OsTaskType（ECUC_Os_00009）：任务类型（BASIC/EXTENDED）。
• OsTaskEventRef（ECUC_Os_00192）：扩展任务的事件引用。
• OsTaskResourceRef：资源引用列表。
• OsTaskTimingProtection：时间保护配置（执行预算、到达间隔、锁时间）。
• OsTaskMemoryProtection：内存保护配置（栈、读写访问）。
• OsTaskAutostart（ECUC_Os_00705）：自动启动条件。
• OsTaskAppModeRef：自动启动关联的 AppModes。
• OsTaskCore：任务绑定核（多核）。

10.2.5 OsIsr

SWS Item: ECUC_Os_00708

配置参数：

• OsIsrIdentifier（ECUC_Os_00688）：ISR ID，uint16。
• OsIsrPriority（ECUC_Os_00029）：ISR 优先级，uint8（高于所有任务优先级）。
• OsIsrVector：ISR 向量号（平台相关）。
• OsIsrFunctionPointer：ISR 入口函数。
• OsIsrResourceRef：ISR 使用的资源列表。
• OsIsrTimingProtection：时间保护配置。
• OsIsrMemoryProtection：内存保护配置。
• OsIsrCore：ISR 绑定核（多核）。
• OsIsrCategory：ISR 类别（Cat2）。

10.2.6 OsCounter

SWS Item: ECUC_Os_00709

配置参数：

• OsCounterIdentifier（ECUC_Os_00689）：计数器 ID，uint16。
• OsCounterType（ECUC_Os_00064）：计数器类型（HARDWARE/SOFTWARE）。
• OsCounterTicksPerBase：每个时基的刻度数。
• OsCounterMinCycle：最小周期。
• OsCounterMaxAllowedValue：最大允许值。
• OsCounterDriverIndex：硬件计数器对应的 GPT 通道索引。
• OsCounterCore：计数器绑定核。
• OsTimeConstant：用于 SWFRT 的时间常数。

10.2.7 OsAlarm

SWS Item: ECUC_Os_00710

配置参数：

• OsAlarmIdentifier（ECUC_Os_00690）：报警 ID。
• OsAlarmCounterRef（ECUC_Os_00025）：绑定的计数器引用。
• OsAlarmAction（ECUC_Os_00026）：动作类型（ACTIVATE_TASK/SET_EVENT/ALARM_CALLBACK/INCREMENT_COUNTER）。
• OsAlarmTaskRef、OsAlarmEventRef、OsAlarmCallbackName、OsAlarmIncrementCounterRef：动作的具体目标。
• OsAlarmAutostart：自动启动配置。

10.2.8 OsResource

SWS Item: ECUC_Os_00711

配置参数：

• OsResourceIdentifier（ECUC_Os_00691）：资源 ID。
• OsResourceProperty（ECUC_Os_00012）：资源属性（STANDARD/LINKED）。
• OsResourcePriority（ECUC_Os_00030）：资源天花板优先级。
• OsResourceLinkedResourceRef：链接资源引用（用于 LINKED 类型）。

10.2.9 OsScheduleTable

SWS Item: ECUC_Os_00712

配置参数：

• OsScheduleTableIdentifier（ECUC_Os_00692）：调度表 ID。
• OsScheduleTableCounterRef（ECUC_Os_00024）：绑定的计数器引用。
• OsScheduleTableDuration（ECUC_Os_00034）：调度表持续时间（刻度）。
• OsScheduleTableRepeating（ECUC_Os_00035）：是否周期重复。
• OsScheduleTableAutostart（ECUC_Os_00335）：自动启动容器。
• OsScheduleTableExpiryPoint（ECUC_Os_00143）：到期点容器列表。
• OsScheduleTableEventSetting（ECUC_Os_00059）：事件设置动作。
• OsScheduleTableTaskActivation（ECUC_Os_00066）：任务激活动作。
• OsScheduleTblAdjustableExpPoint（ECUC_Os_00077）：可调整到期点。

包含参数：OsScheduleTableAutostartType（ECUC_Os_00056，ABSOLUTE/RELATIVE/SYNCHRON）、OsScheduleTableStartValue（ECUC_Os_00057）、OsScheduleTableAppModeRef（ECUC_Os_00058）、OsScheduleTblExpPointOffset（ECUC_Os_00062）、OsScheduleTableSetEventRef（ECUC_Os_00060）、OsScheduleTableSetEventTaskRef（ECUC_Os_00061）、OsScheduleTableActivateTaskRef（ECUC_Os_00067）等。

10.2.10 OsSpinlock

SWS Item: ECUC_Os_00713

配置参数：

• OsSpinlockIdentifier（ECUC_Os_00715）：自旋锁 ID。
• OsSpinlockSuccessor：后继自旋锁引用（用于按顺序锁定）。
• OsSpinlockLockMethod（ECUC_Os_00900）：加锁方法（OS/CPU）。

10.2.11 OsIoc

SWS Item: ECUC_Os_00729

配置参数：

• OsIocIdentifier（ECUC_Os_00730）：IOC ID。
• OsIocSenderProperty：发送方属性（属性 + 数据元素）。
• OsIocReceiverProperty：接收方属性。
• OsIocBufferLength（ECUC_Os_00755）：事件语义的内部缓冲区大小。
• OsIocDataType：数据类型（"data" 或 "event"）。

10.2.12 OsCore（多核）

SWS Item: ECUC_Os_00715

配置参数：

• OsCoreId（ECUC_Os_00716）：核 ID，uint32。
• OsCoreStartOption：启动选项（AUTOSAR/NONE）。
• OsCoreHardwareDerivation：硬件派生选项。

10.2.13 OsHook（钩子配置）

OS 钩子的启用配置：

• OsHooks（ECUC_Os_00921）：包含 OsErrorHook、OsStartupHook、OsShutdownHook、OsPreTaskHook、OsPostTaskHook、OsProtectionHook 等子容器。
• 各钩子容器包含 OsHook*Identifier 和 OsHook*FunctionPointer 参数。

10.2.14 OsMemoryProtection

内存保护相关配置（SC4）：

• OsMemoryRegion（ECUC_Os_00668）：内存区域定义。
• OsMemoryRegionStartAddress（ECUC_Os_00669）：起始地址。
• OsMemoryRegionSize（ECUC_Os_00670）：区域大小。
• OsMemoryRegionAccessType（ECUC_Os_00671）：访问权限（READ/WRITE/EXECUTE）。
• OsApplicationMemoryAccess：OS-Application 的内存区域访问配置。

10.2.15 OsTimingProtection

时间保护相关配置（SC4）：

• OsTaskTimingProtection、OsIsrTimingProtection：执行时间预算、到达间隔、锁时间监控。
• OsExecutionBudget：执行时间预算。
• OsTimeFrame：到达间隔时间框架。
• OsResourceLockBudget：资源锁时间预算。
• OsInterruptLockBudget：中断锁时间预算。

10.2.16 OsPeripheralArea（外设区域）

用于外设访问 API 的区域定义：

• OsPeripheralArea（ECUC_Os_00762）：外设区域容器。
• OsAreaStartAddress（ECUC_Os_00763）：起始地址。
• OsAreaSize（ECUC_Os_00764）：大小。
• OsAreaId（ECUC_Os_00765）：区域 ID。

10.2.17 OsStackMonitoring

栈监控相关配置：

• OsStackMonitoring（ECUC_Os_00756）：栈监控容器。
• OsStackMonitoringMethod（ECUC_Os_00757）：栈监控方法（STATIC/DYNAMIC）。
• OsStackCheck：栈检查点（用于静态监控）。

10.2.18 OsInterruptSource

中断源 API 配置：

• OsEnableInterruptSource（ECUC_Os_00770）：是否启用中断源 API。
• OsInterruptSource：中断源容器（ECUC_Os_00771），含 OsInterruptSourceNumber、OsInterruptSourceCategory 等参数。

10.2.19 OsStaticOverrunDetection

静态溢出检测（栈填充）配置：

• OsStaticOverrunDetection：启用标志。
• OsStackFillPattern：栈填充模式（默认 0xCC）。

10.3 发布信息

OS 发布的发布信息包括：

• 模块版本：Os.h 中的 OS_VERSION、OS_PATCH_VERSION 宏。
• 供应商 ID：OS_VENDOR_ID。
• 模块 ID：OS_MODULE_ID。

11 不适用的需求

[SWS_Os_00499] ⌈ 这些需求不适用于本规范。 ⌋

具体涉及 SRS_BSW_* 需求中适用于 AUTOSAR OS 但不由 OS 直接满足的若干项（详见原 PDF 第 264-276 页）。