AUTOSAR_SWS_WatchdogManager 中文翻译

文档编号：080　|　状态：Final（正式发布）　|　发布于：AUTOSAR CP Release 4.4.0（2018-10-31）
所属标准：AUTOSAR Classic Platform 标准　|　文档责任方：AUTOSAR　|　保密等级：AUTOSAR CONFIDENTIAL

本翻译覆盖原文档 1-125 页正文，约 1.83 MB / 125 页。
原文为软件规范（SWS, Software Specification），定义看门狗管理器（Watchdog Manager, WdgM）模块的功能、API 与配置——含 Alive Supervision、Deadline Supervision、Logical Supervision 三类监督机制，以及 Mode Switching、Partition Restart、Defensive Behavior 等高级特性。
本翻译为"忠实精翻+结构化索引"型——保留全部章节、监督机制、错误码、配置参数；详细 C 签名以"函数定义表"形式覆盖；序列图与复杂状态机以描述形式呈现。

1 引言与功能概述（Introduction and functional overview）

1.1 WdgM 与 Wdg/WdgIf 的关系

看门狗管理器（Watchdog Manager, WdgM）是 AUTOSAR 中的服务层（Services Layer）模块，介于应用层（Application Layer）与基础软件层（BSW Layer）之间：

• WdgM 调用 WdgIf（Watchdog Interface）以操作底层 WDG 驱动；
• WdgM 被应用 SWC 调用以提供监督服务（Alive、Deadline、Logical）；
• WdgM 维护每个被监督实体（Supervised Entity, SE）的监督状态。

层级关系：

应用 SWC ←→ RTE ←→ WdgM ←→ WdgIf ←→ Wdg Driver ←→ Hardware WDG

1.2 WdgM 的功能

WdgM 提供以下核心功能：

1. Alive Supervision（活性监督）：监督被监督实体在配置的最小/最大周期内是否被调用；
2. Deadline Supervision（截止期监督）：监督被监督实体在配置的最小/最大截止期内是否完成；
3. Logical Supervision（逻辑监督）：监督被监督实体的逻辑执行顺序（基于 Checkpoint）；
4. Mode Switching（模式切换）：在 Fast/Slow/Off 之间切换 WDG 模式；
5. Triggering（触发）：在所有监督通过时触发硬件看门狗；
6. Defensive Behavior（防御行为）：监督失败时采取预定义动作；
7. Partition Restart Support（分区重启支持）：在 OS-Application 失败时支持分区重启。

2 缩略语与缩写（Acronyms and abbreviations）

3 相关文档（Related documentation）

• AUTOSAR_SRS_WatchdogDriver — 看门狗驱动需求
• AUTOSAR_SRS_BSWGeneral — 基础软件通用需求
• AUTOSAR_SWS_WatchdogDriver — 看门狗驱动规范
• AUTOSAR_SWS_WatchdogInterface — 看门狗接口规范
• AUTOSAR_SWS_Det — 默认错误追踪器
• AUTOSAR_SWS_Dem — 诊断事件管理器
• AUTOSAR_SWS_EcuM — ECU 状态管理器

4 约束与假设（Constraints and assumptions）

• WdgM 假设 OS 支持 Tick 钩子（用于时间基准）；
• WdgM 假设 WdgIf 至少提供一个 WDG 设备；
• WdgM 假设 Dem 模块可用（用于报告监督失败）；
• WdgM 在多核 ECU 上每个核可有一份实例。

5 与其他模块的依赖（Dependencies to other modules）

5.1 文件结构（File structure）

WdgM.c                    # 主源文件
WdgM_Lcfg.c               # Link-time 配置
WdgM_PBcfg.c              # PostBuild 配置

5.2 配置管理（Configuration management）

WdgM 通过 ECUC 参数配置：监督机制、SE 集合、检查点、模式、错误处理等。

6 需求可追溯性（Requirements traceability）

WdgM 满足的 RS_BRF_NNNNN 需求（来自 AUTOSAR_RS_Features）：

WdgM 自身的 SWS_WdgM_NNNNN 需求 ID 约 100+ 条（详细列表见原文第 6 章追溯表）。

7 功能规范（Functional specification）

7.1 监督机制概述（Supervision Mechanisms Overview）

WdgM 提供三类监督机制：

7.1.1 Alive Supervision（活性监督）

Alive Supervision 监督被监督实体（SE）在配置的最小/最大周期内是否被调用：

• 每个 SE 配置 WdgMExpectedAliveIndications（最小/最大指示数）；
• 每个 SE 配置 WdgMMinMargin（最小裕度）、WdgMMaxMargin（最大裕度）；
• SE 在每个周期内应被调用次数应在 [Min, Max] 范围内；
• 超出范围时监督失败。

SE 通过 WdgM_Trigger() 或 WdgM_CheckpointReached()（取决于 SE 类型）报告活性。

7.1.2 Deadline Supervision（截止期监督）

Deadline Supervision 监督被监督实体从开始到结束的时间是否在配置截止期内：

• SE 在开始时调用 WdgM_StartDeadline()；
• SE 在结束时调用 WdgM_CheckpointReached()；
• 持续时间应在 [Min, Max] 范围内；
• 超出范围时监督失败。

7.1.3 Logical Supervision（逻辑监督）

Logical Supervision 监督被监督实体的逻辑执行顺序：

• 每个 SE 配置 WdgMCheckpoint（检查点编号）；
• SE 应按递增顺序被激活；
• 跳过检查点或顺序错误时监督失败。

7.2 本地与全局监督状态（Local and Global Supervision Status）

WdgM 维护两层监督状态：

• 本地监督状态（Local Supervision Status, LSS）：每个 SE 的监督状态（OK / FAILED / EXPIRED / DEACTIVATED）；
• 全局监督状态（Global Supervision Status, GSS）：所有 SE 的聚合状态（OK / FAILED）。

当任一 SE 的 LSS 变为 FAILED 时，GSS 立即变为 FAILED。

7.3 模式管理（Mode Management）

7.3.1 WdgM 模式（WdgM Modes）

WdgM 与 WDG 模式对齐：

• WdgMMode_Fast：监督严格（短周期），高安全性；
• WdgMMode_Slow：监督宽松（长周期），低功耗；
• WdgMMode_Off：监督禁用（仅当 WDG 硬件支持 Off 模式时）。

7.3.2 模式切换（Mode Switching）

模式切换通过 WdgM_SetMode() API 进行：

1. 调用者请求模式变更；
2. WdgM 验证新模式与当前模式的兼容性；
3. WdgM 通过 WdgIf 切换 WDG 模式；
4. WdgM 更新内部模式状态。

7.3.3 触发条件（Trigger Condition）

WdgM 周期性地（基于 OS Tick）检查所有 SE 的状态：

1. 聚合所有 SE 的 LSS 到 GSS；
2. 若 GSS == OK，通过 WdgIf 触发 WDG；
3. 若 GSS == FAILED，不触发 WDG 并采取防御行为。

7.4 分区重启（Partition Restart）

WdgM 支持 OS-Application（分区）重启：

• 当检测到分区内的 SE 持续监督失败时，WdgM 可请求 OS 重启该分区；
• 重启前 WdgM 记录失败 SE 的标识（WdgM_GetFirstExpiredSEID() API 返回首个失败的 SE ID）；
• 重启后 WdgM 重新初始化该分区的所有 SE。

7.5 防御行为（Defensive Behavior）

当监督失败时，WdgM 采取预定义的防御行为：

1. 立即动作：通过 Dem 上报故障；记录失败 SE；不触发 WDG；
2. 恢复尝试：在配置的恢复周期内等待；
3. 分区重启：尝试重启失败的分区；
4. ECU 重置：若分区重启失败，触发 ECU 复位。

7.6 错误分类（Error Classification）

7.6.1 开发错误（Development Errors）

7.6.2 运行时错误（Runtime Errors）

无（监督失败通过 Dem 报告为生产错误）。

7.6.3 瞬态故障（Transient Faults）

无。

7.6.4 生产错误（Production Errors）

无（WdgM 不直接产生生产错误；监督失败由 Dem 报告）。

7.6.5 扩展生产错误（Extended Production Errors）

无。

8 API 规范（API specification）

8.1 导入类型（Imported types）

• Std_ReturnType（来自 Std_Types.h）
• Std_VersionInfoType（来自 Std_Types.h）
• WdgIf_ModeType（来自 WdgIf）

8.2 类型定义（Type definitions）

8.3 服务接口 API（Service Interface APIs）

8.4 回调通知（Call-back Notifications）

WdgM 提供以下回调：

• WdgM_Trigger()（内部 API，WdgM 内部主函数调用以触发 WDG）；
• 监督失败时通过 Dem 报告（Dem_SetEventStatus）。

8.5 调度函数（Scheduled Functions）

WdgM 提供主函数 WdgM_MainFunction()，应被 RTE 周期性调用（周期可配置，如 1ms、5ms、10ms）。该函数：

1. 检查所有 SE 的截止期；
2. 聚合 GSS；
3. 若 GSS==OK，调用 WdgIf_SetTriggerCondition() 触发 WDG。

9 序列图（Sequence diagrams）

9.1 WdgM 初始化

序列图描述 WdgM_Init 流程：

1. EcuM 调用 WdgM_Init()；
2. WdgM 验证配置指针；
3. WdgM 初始化所有 SE 的状态为 DEACTIVATED；
4. WdgM 设置初始模式（Fast）；
5. WdgM 通过 WdgIf 切换 WDG 模式。

9.2 监督检查点

应用 SWC 在关键执行点调用 WdgM_CheckpointReached()：

1. SWC 调用 WdgM_CheckpointReached(SEID, CPID)；
2. WdgM 验证 SEID 有效；
3. WdgM 更新 SE 的检查点历史；
4. WdgM 评估监督结果；
5. WdgM 返回成功/失败。

9.3 监督失败处理

1. WdgM 主函数检测到 SE 监督失败；
2. WdgM 通过 Dem 上报故障；
3. WdgM 不触发 WDG；
4. WdgM 等待恢复周期；
5. 若恢复失败，请求 OS 重启分区或触发 ECU 复位。

配置规范（Configuration specification）

10.1 如何阅读本章（How to read this chapter）

WdgM 配置由大量 ECUC 容器与参数定义。核心容器：WdgM、WdgMConfigSet、WdgMMode、WdgMSupervisedEntity、WdgMAliveSupervision、WdgMDeadlineSupervision、WdgMLogicalSupervision、WdgMTrigger、WdgMPartition 等。

10.2 容器与配置参数（Containers and configuration parameters）

WdgM（根容器）

WdgMSupervisedEntity

WdgMAliveSupervision

WdgMDeadlineSupervision

WdgMLogicalSupervision

WdgMMode

WdgMTrigger

WdgMPartition

共 20+ 容器与 100+ 配置参数；完整列表见原文第 10 章。

11 未应用需求（Not applicable requirements）

本节列出来自 AUTOSAR_SRS_WatchdogDriver 但在 WdgM SWS 中不直接对应的需求（标 N/A）。WdgM 作为 WDG 上层抽象，本身不直接对应底层 WDG 驱动的所有需求。