878 lines
30 KiB
Markdown
878 lines
30 KiB
Markdown
# 安全用例示例（Safety Use Case Example）
|
||
|
||
| 字段 | 内容 |
|
||
|---|---|
|
||
| **文档标题** | 安全用例示例（Safety Use Case Example） |
|
||
| **文档所有者** | AUTOSAR |
|
||
| **文档责任方** | AUTOSAR |
|
||
| **文档标识号** | 641 |
|
||
| **文档状态** | Final（正式发布） |
|
||
| **所属 AUTOSAR 标准** | Classic Platform（经典平台） |
|
||
| **所属标准版本** | 4.4.0 |
|
||
|
||
---
|
||
|
||
## 文档变更历史（Document Change History）
|
||
|
||
| 日期 | 版本 | 变更人 | 变更描述 |
|
||
|---|---|---|---|
|
||
| 2018-10-31 | 4.4.0 | AUTOSAR Release Management | 编辑性变更 |
|
||
| 2017-12-08 | 4.3.1 | AUTOSAR Release Management | 编辑性变更 |
|
||
| 2016-11-30 | 4.3.0 | AUTOSAR Release Management | 编辑性变更 |
|
||
| 2015-07-31 | 4.2.2 | AUTOSAR Release Management | 初始发布 |
|
||
|
||
---
|
||
|
||
## 目录（Table of Contents）
|
||
|
||
1. [引言](#1-引言)
|
||
2. [项目描述（Item Description）](#2-项目描述)
|
||
3. [车辆级安全概念（Safety Concept on Vehicle Level）](#3-车辆级安全概念)
|
||
4. [FLM-ECU 级技术安全概念（Technical Safety Concept on FLM-ECU Level）](#4-flm-ecu-级技术安全概念)
|
||
5. [软件架构与软件安全需求（SW Architecture and SW Safety Requirements）](#5-软件架构与软件安全需求)
|
||
6. [结论（Conclusion）](#6-结论)
|
||
7. [缩写/词汇表（Abbreviation/Glossary）](#7-缩写词汇表)
|
||
8. [参考文献（References）](#8-参考文献)
|
||
|
||
---
|
||
|
||
## 1 引言
|
||
|
||
本文档从功能安全的角度展示了使用 AUTOSAR 的示例系统的主要分析步骤。本文档中使用的示例基于 AUTOSAR 引导示例 **Front Light Management（前照灯管理）**。在需要时，会添加额外的约束以进行进一步分析或概念讨论。
|
||
|
||
本报告的目标是：
|
||
|
||
1. 在 AUTOSAR 环境中构建用于功能安全分析的相关用例
|
||
2. 提供示例以讨论和验证 AUTOSAR 中与安全相关的概念
|
||
3. 识别当前 AUTOSAR 规范和方法论中功能安全方面的改进潜力
|
||
4. 提出 AUTOSAR 中安全架构所需的改进或附加概念
|
||
5. 为"方法论与模板的安全相关扩展（Safety Related Extension for Methodology and Templates）"概念提供输入
|
||
6. 在 AUTOSAR 方法论之上提供安全分析指南
|
||
|
||
该示例在 ISO 26262 要求的上下文中准备，但侧重于 AUTOSAR 相关部分。虽然它可以视为 AUTOSAR 方法论之上安全分析的基本指南，但它仅粗略地涉及主要主题。进一步的细节（例如软件安全需求的详细列表或安全分析措施的示例）可以在下一开发步骤中添加。
|
||
|
||
本示例涵盖以下方面：
|
||
|
||
- 功能安全概念
|
||
- 系统级技术安全概念
|
||
- ECU 级技术安全概念
|
||
- AUTOSAR 基础软件级的安全方面
|
||
|
||
> **注意**：实现约束不一定与现有实现匹配。
|
||
|
||
---
|
||
|
||
## 2 项目描述（Item Description）
|
||
|
||
本示例中选择的项目主要等同于 AUTOSAR 引导示例 **Front Light Management（前照灯管理）**。每当需要额外的定义时，会添加支持安全相关主题澄清的信息。
|
||
|
||
当前示例的范围聚焦于前照灯的一个非常有限的功能部分，即**近光灯（low beam）**功能。所有其他灯光功能（例如停车灯、雾灯等）被排除在外。作为例外，**日间行车灯（daytime running lights）**被命名为可能的回退解决方案，因此集成在以下图中。然而，日间行车灯的控制细节不是本示例的一部分。
|
||
|
||
所有贡献于前照灯管理的车辆级部件在本示例中视为**"系统（the system）"**（见图 1）。这包括：
|
||
|
||
- 前照灯管理 ECU
|
||
- 相关传感器
|
||
- 执行器
|
||
- 显示
|
||
- 供电部分
|
||
|
||
### 2.1 功能行为
|
||
|
||
近光灯功能的一般特征是在黑暗中照亮道路。此外，近光灯通知其他道路使用者有车辆接近。激活/停用条件总结于下表。
|
||
|
||
| 功能 | 操作元素 | 开启条件 | 关闭条件 |
|
||
|---|---|---|---|
|
||
| **近光灯（Low Beam）** | 灯光开关（LS） | CL15 ON **且** 灯光开关 ON | 灯光开关 OFF **或** CL15 OFF |
|
||
|
||
近光灯可在点火钥匙激活 CL15（点火开关）期间由灯光开关打开。近光灯的任何故障都应向驾驶员指示。
|
||
|
||
作为附加功能，日间行车灯作为前照灯管理系统的一部分可用。此外，应应用近光灯功能的所有相关规范法规。
|
||
|
||
基于该标称功能，导出以下功能和相关的功能需求：
|
||
|
||
1. **检测近光灯请求**
|
||
a. 前照灯管理器应评估点火钥匙位置
|
||
b. 前照灯管理器应读取 LS 开关位置
|
||
|
||
2. **评估近光灯请求**
|
||
a. 前照灯管理器应评估 LS 开关状态
|
||
b. 仅当 LS 开关状态从 OFF 变为 ON 时，前照灯管理器才创建开关事件（ON）
|
||
c. 如果 LS 开关状态从 ON 变为 OFF，前照灯管理器创建开关事件（OFF）
|
||
|
||
3. **控制近光灯**
|
||
a. 如果点火钥匙位置为 ON 且检测到灯光开关事件，前照灯管理器应激活近光灯
|
||
b. 如果点火钥匙位置为 OFF 或检测到开关事件（OFF），前照灯管理器应停用近光灯
|
||
|
||
4. **监控近光灯功能**
|
||
a. 前照灯管理器应监督近光灯
|
||
b. 前照灯管理器应指示近光灯的故障，例如电流故障或灯泡故障
|
||
|
||
5. **激活日间行车灯**
|
||
a. 在近光灯故障的情况下，前照灯管理器应激活日间行车灯
|
||
|
||
### 2.2 初步架构（Preliminary Architecture）
|
||
|
||
下图显示了假设的系统架构，包括以下系统元素：
|
||
|
||
- 前照灯管理 ECU（Front Light Management ECU）
|
||
- 灯光开关（LS）
|
||
- 点火钥匙（经由车身控制器）
|
||
- 电源
|
||
- 前照灯（左和右）
|
||
- 日间行车灯（左和右）
|
||
- HMI（人机界面）
|
||
|
||
| 系统元素 | 与 FLM ECU 的接口 |
|
||
|---|---|
|
||
| 灯光开关位置（LS） | DIO |
|
||
| 点火钥匙位置（CL15）（经由车身控制器） | CAN 接口 |
|
||
| HMI | CAN 接口 |
|
||
| 前照灯控制（左） | PWM |
|
||
| 前照灯控制（右） | PWM |
|
||
| 日间行车灯（左&右） | PWM |
|
||
| 电源 | 模拟 |
|
||
|
||
### 2.3 示例安全分析的假设和限制
|
||
|
||
作为示例的起点，假设系统的以下配置：
|
||
|
||
1. 前照灯管理软件在一个 ECU 上的实现
|
||
2. 通过提供数字 I/O 输出的开关激活灯光
|
||
- **注意**：常见类型的此类灯光开关提供模拟或最多 4 个数字输出，并带逻辑表以验证状态。本示例的目的是展示数据流通过软件架构。传感器的硬件诊断不在重点。
|
||
3. 紧急灯光功能（例如 µC 操作故障情况下）由硬件提供，不打算使用 AUTOSAR 软件部分
|
||
4. 所有内存（易失性和非易失性）受到针对可逆瞬态故障的保护。假设 ECC 等机制可用
|
||
5. 内存分区的硬件手段可用（例如 MPU）
|
||
6. 前照灯管理软件与不符合 ISO 26262 ASIL 等级的 BSW 模块集成
|
||
7. 执行微控制器的故障模式分析，并定义和实现安全措施。该分析基于供应商提供的数据，例如安全手册和 ISO 26262 的要求
|
||
|
||
此外，定义了后续约束以将示例的重点放在特定的 AUTOSAR 软件安全问题：
|
||
|
||
1. 假设 ECU 按要求工作：
|
||
a. ECU 正确唤醒、运行和进入睡眠（本示例不关注模式管理或状态管理）
|
||
b. 必要的通信网络可用、启动且正确运行（本示例不关注 COM 管理）
|
||
c. 必要的 BSW 模块按要求触发
|
||
2. 不考虑板载布线系统、电池或电源的故障
|
||
3. 不考虑近光灯的电源故障
|
||
4. 假设灯泡的启动测试已就位。其设计和实现不是本示例的一部分
|
||
5. 灯光开关信号（LS）已经被过滤/去抖
|
||
|
||
---
|
||
|
||
## 3 车辆级安全概念（Safety Concept on Vehicle Level）
|
||
|
||
本章概述了车辆级的安全分析及其结果，通常由 OEM 创建并部分提供给供应商。
|
||
|
||
> **注意**：这种安全分析结构不能 1:1 映射到 ISO 26262 [1] 的结构，因为该标准未明确包括开发的不同可能范围。
|
||
|
||
### 3.1 危险分析与风险评估结果
|
||
|
||
对于本示例，假设以下危险和属性被识别为危险和风险评估的输出：
|
||
|
||
**危险 H1**：**近光灯的完全丢失**（**ASIL B**）
|
||
|
||
该危险可能导致驾驶员失去对车辆的控制、离开道路并与环境物体碰撞。
|
||
|
||
**H1 的例外和边界条件**：
|
||
|
||
- 仅在恶劣能见度条件（夜间、雾等）下，近光灯的丢失被视为风险
|
||
- 在弯曲的、未照明的乡村道路上，近光灯的丢失被评估为最关键的情况
|
||
- 仅一个近光灯的丢失不被视为直接导致危险情况。然而，这是一个潜在故障，将包含在概念咨询中
|
||
|
||
**ASIL**：ASIL B 等级基于危险和风险评估中确定的严重程度、暴露率和可控性。
|
||
|
||
**安全目标 SG01**：**防止近光灯的完全丢失**
|
||
|
||
**安全状态**：近光灯激活
|
||
|
||
**故障容错时间（FTTI）**：500 ms（夜间行驶期间激活灯光时应考虑近光灯的丢失）
|
||
|
||
> **注意**：可以假设额外的危险。然而，为了限制我们的示例，假设它是唯一相关的危险。在这一点上纳入额外的风险对 AUTOSAR 特性讨论似乎没有帮助。
|
||
|
||
### 3.2 相关故障模式
|
||
|
||
安全目标 SG01 可能通过以下一种或多种故障（MF）被违反：
|
||
|
||
- **MF01**：灯光开启/关闭条件检测的故障
|
||
- **MF02**：用于打开灯光的光请求函数的评估和实现故障
|
||
- **MF03**：激活灯光的故障
|
||
|
||
### 3.3 功能安全概念
|
||
|
||
功能描述、安全目标以及顶层安全需求的结果是一个功能安全架构，该架构将映射到特定的车辆架构。
|
||
|
||
#### 3.3.1 FunSafReq01-01：
|
||
|
||
**FLM 应正确检测近光灯的任何有效开启条件**。（**ASIL B**）
|
||
- 关联到 MF01：在"有效近光灯开启"请求后没有近光灯
|
||
|
||
#### 3.3.2 FunSafReq01-02：
|
||
|
||
**FLM 应验证接收到的任何近光灯请求的有效性，并相应地激活或停用近光灯**。（**ASIL B**）
|
||
- 关联到 MF02：在没有接收到"有效近光灯关闭"请求时关闭灯光
|
||
|
||
#### 3.3.3 FunSafReq01-03：
|
||
|
||
**FLM 应检测激活的近光灯的故障并将故障信号通知驾驶员**。（**ASIL B**）
|
||
- 关联到 MF03：激活灯光的故障
|
||
|
||
> **注意**：
|
||
> - 有效的近光灯开启请求 => "CL15 为 ON 且灯光开关从 OFF 变为 ON"
|
||
> - 有效的近光灯关闭请求 => "灯光开关从 ON 变为 OFF"
|
||
|
||
### 3.4 车辆级安全需求
|
||
|
||
作为车辆级安全分析的一部分，根据可用的系统架构定义了警告和降级概念。车辆级技术安全需求从功能安全需求和初步架构的假设（见 2.2）导出，并标记为 SysSafReq ID。
|
||
|
||
> **注意**：生成技术安全需求的过程不是本文档的一部分，因此不在下面描述。这些车辆级需求用于演示若干需求级别。它们既未完全分析，也未从实际实现映射。
|
||
|
||
#### 3.4.1 警告和降级概念
|
||
|
||
对于近光灯，应实现以下 2 步降级概念：
|
||
|
||
**正常模式（Normal Mode）**：
|
||
|
||
- 见项目描述中的标称功能（见 2）
|
||
|
||
**降级模式步骤 1 — 丢失一个近光灯**：
|
||
|
||
- 第二个近光灯仍执行其功能
|
||
- 当请求近光灯但未成功激活（检测到故障）时，应向驾驶员提供警告，指示近光灯的部分丢失
|
||
|
||
**降级模式步骤 2 — 丢失两个近光灯**：
|
||
|
||
- 当请求近光灯但未成功激活（检测到故障）时，应激活日间行车灯
|
||
- 当请求近光灯时，应向驾驶员提供警告，指示近光灯的丢失和日间行车灯的激活
|
||
|
||
> **注意**：这种使用日间行车灯作为回退的做法仅用作示例以演示降级功能。此解决方案在认证方面可能不合适。
|
||
|
||
> **注意**：在此模式下可以激活其他驾驶员辅助功能以协助驾驶员，但这不是本示例的一部分。
|
||
|
||
#### 3.4.2 技术安全需求（车辆级）
|
||
|
||
以下技术安全需求基于 3.3 中的确定在本示例分析中导出：
|
||
|
||
##### 3.4.2.1 SysSafReq01
|
||
|
||
**CAN 连接的车身控制器应通过 CAN 总线消息 CL15_01（CAN 消息：CL15_01，CAN 信号：CL15ON（Boolean，'1' 表示 clamp 15 设置为 on，'0' 表示 clamp 15 设置为 off））发出点火钥匙 clamp 15 状态信号。**（**ASIL B**）
|
||
|
||
> **注意**：CAN 消息细节在 CAN DB 中定义（频率、抑制时间、信号类型），作为标称功能的一部分。
|
||
|
||
##### 3.4.2.2 SysSafReq02
|
||
|
||
**灯光开关应通过数字 HW 线路 HW_LB_OFF（0=0V 表示请求灯光开启，1=5V 表示请求灯光关闭）发出开关状态信号。**（**ASIL B**）
|
||
|
||
##### 3.4.2.3 SysSafReq03
|
||
|
||
**灯光开关内的故障应导致数字 HW 线路 HW_LB_OFF 设置为 0。**（**ASIL B**）
|
||
|
||
##### 3.4.2.4 SysSafReq04
|
||
|
||
**FLM ECU 应确保在为灯泡供电的条件满足时（如标称功能定义），保持为灯泡供电的限制（如电压和 PWM）。**（**ASIL B**）
|
||
|
||
##### 3.4.2.5 SysSafReq05
|
||
|
||
**当 CL15ON==1 时，FLM ECU 应仅在 HW_LB_OFF==1 条件连续 20ms 满足时才关闭灯光。**（**ASIL B**）
|
||
|
||
> **注意**：等待信号值稳定条件几毫秒的时序条件包括去抖。20ms 的特定值是凭经验取的。也可以使用其他值。
|
||
|
||
##### 3.4.2.6 SysSafReq06
|
||
|
||
**FLM ECU 应检测电路故障（灯泡、保险丝、布线开路/短路）并通过 CAN 信号化（CAN 消息：LightStatus_01，CAN 信号：LBFailure（2 位，01 表示左侧近光灯故障，10 表示右侧近光灯故障，11 表示两个近光灯都故障））。**（**ASIL B**）
|
||
|
||
##### 3.4.2.7 SysSafReq07
|
||
|
||
**如果连续 200ms 检测到两个近光灯灯泡故障，FLM ECU 应激活两个日间行车灯（DRL）。**（**ASIL B**）
|
||
|
||
> **注意**：FTT 预算按以下方式分配：200ms 故障检测时间 + 200ms 卤素灯泡达到全强度的保守时间间隔（故障反应）+ 100ms 缓冲 = 500ms。
|
||
|
||
##### 3.4.2.8 SysSafReq08
|
||
|
||
**FLM ECU 应使用独立电路为左和右灯泡供电，使得没有单一故障能导致近光灯的完全丢失。**（**ASIL B**）
|
||
|
||
##### 3.4.2.9 SysSafReq09
|
||
|
||
**HMI 应根据通过 CAN 接收的信号 LBFailure（CAN 消息：LightStatus_01，CAN 信号：LBFailure）显示灯泡故障信息。**（**ASIL A**）
|
||
|
||
> **注意**：对于此措施，FTT 不相关，因为它是针对潜在故障的措施。这里可以计算相关时间（诊断间隔）。针对双灯泡故障的措施（FTT 相关）是激活日间行车灯。作为针对潜在故障的措施，ASIL 根据 ISO 26262-4:2011(E) 6.4.4.4 降低。
|
||
|
||
##### 3.4.2.10 SysSafReq10
|
||
|
||
**必须确保发送方和接收方之间通过 CAN 的数据传输。CAN 消息：CL15_01，CAN 信号：CL15ON Boolean。**（**ASIL B**）
|
||
|
||
> **注意**：对于此措施，应考虑数据交换的所有相关故障模式（见 ISO 26262 第 6 部分）。
|
||
|
||
##### 3.4.2.11 SysSafReq11
|
||
|
||
**必须确保发送方和接收方之间通过 CAN 的数据传输。CAN 消息：LightStatus_01，CAN 信号：LBFailure。**（**ASIL A**）
|
||
|
||
> **注释**：对于此措施，应考虑数据交换的所有相关故障模式（见 ISO 26262-6）。
|
||
|
||
##### 3.4.2.12 SysSafReq12
|
||
|
||
**如果连续 200ms 检测到关于消息 CL15_01 的通信故障，FLM ECU 应激活近光灯。**
|
||
|
||
> **注意**：FTT 预算分配与 SysSafReq07 相同。
|
||
|
||
##### 3.4.2.13 SysSafReq13
|
||
|
||
**FLM ECU 应**：
|
||
|
||
- 如果连续 200ms 检测到关于消息 LightStatus_01 的通信故障，激活两个日间行车灯（DRL），并且
|
||
- 向驾驶员提供文本消息，如"灯光系统缺陷"
|
||
|
||
#### 3.4.3（功能）系统安全需求的分配
|
||
|
||
下一步，所有系统安全需求需要分配到架构系统元素（见图 5）。
|
||
|
||
#### 3.4.4 技术系统安全需求（车辆级）总结
|
||
|
||
系统安全需求到功能安全需求（车辆级）的整体映射以及到系统元素的分配总结于表 3。
|
||
|
||
> **摘要标记**：本节包含一个大型需求映射表（约 13 项需求 × 5 列），涵盖 SysSafReq01-13 与功能安全需求、系统元素和 ASIL 等级的映射。下表列出前 6 项代表性映射；完整表见原文 PDF 第 17-18 页。
|
||
|
||
| ID | 系统安全需求（摘要） | 支持功能安全需求 ID | ASIL | 项目 |
|
||
|---|---|---|---|---|
|
||
| `SysSafReq01` | BCU 通过 CAN CL15_01 信号化 CL15 状态 | `FunSafReq01-01` | ASIL B | BC-ECU |
|
||
| `SysSafReq02` | 灯光开关通过 HW_LB_OFF 信号化状态 | `FunSafReq01-01` | ASIL B | LS |
|
||
| `SysSafReq03` | 灯光开关故障时 HW_LB_OFF=0 | `FunSafReq01-01` | ASIL B | LS |
|
||
| `SysSafReq04` | FLM ECU 保持灯泡供电限制 | `FunSafReq01-02` | ASIL B | FLM-ECU |
|
||
| `SysSafReq05` | CL15ON==1 时 20ms 后才关闭灯光 | `FunSafReq01-02` | ASIL B | FLM-ECU |
|
||
| `SysSafReq06` | 检测电路故障并通过 CAN 信号化 | `FunSafReq01-03` | ASIL B | FLM-ECU |
|
||
|
||
---
|
||
|
||
## 4 FLM-ECU 级技术安全概念
|
||
|
||
### 4.1 ECU 级的假设和限制
|
||
|
||
- 与车辆级假设一致
|
||
- ECU 使用单核微控制器
|
||
- 假设硬件平台提供 MPU 支持
|
||
- 假设支持 OS 时序保护
|
||
- WdgM 配置为监督所有安全相关 SE
|
||
|
||
### 4.2 要满足的安全目标
|
||
|
||
车辆级的安全目标 **SG01: Prevent total loss of low beam** 必须在 FLM ECU 级别被满足。
|
||
|
||
### 4.3 相关系统安全需求
|
||
|
||
车辆级系统安全需求中分配到 FLM ECU 的所有需求都必须在 ECU 级别被满足。
|
||
|
||
### 4.4 ECU 级概念概述
|
||
|
||
FLM ECU 级别的安全概念包括以下层次：
|
||
|
||
1. **应用软件层**：
|
||
- 前照灯应用 SWC
|
||
- 执行器 SWC
|
||
- 安全检查 SWC
|
||
|
||
2. **RTE 层**：
|
||
- 跨 SW-C 通信
|
||
- E2E 保护
|
||
|
||
3. **基础软件层**：
|
||
- COM（带 E2E）
|
||
- OS（带 MPU 保护）
|
||
- WdgM（监督安全相关 SE）
|
||
- DEM（错误诊断）
|
||
|
||
4. **硬件层**：
|
||
- MPU
|
||
- 看门狗硬件
|
||
- 时钟监控
|
||
|
||
### 4.5 ECU 级需求
|
||
|
||
ECU 级需求基于系统级安全需求派生：
|
||
|
||
| ID | ECU 级需求 | 关联车辆级需求 |
|
||
|---|---|---|
|
||
| `EcuSafReq01` | FLM ECU 应正确读取 HW_LB_OFF 输入 | SysSafReq02 |
|
||
| `EcuSafReq02` | FLM ECU 应正确配置 HW_LB_OFF 端口和引脚 | SysSafReq02 |
|
||
| `EcuSafReq03` | FLM ECU 应正确转换 CL15ON 到 CL15_01 消息 | SysSafReq01 |
|
||
| `EcuSafReq04` | FLM ECU 应通过 AUTOSAR BSW/RTE 正确路由 CL15_01 消息 | SysSafReq01 |
|
||
| `EcuSafReq05` | FLM ECU 应检测 CL15ON 的通信故障 | SysSafReq10 |
|
||
| `EcuSafReq06` | 正确读取灯泡健康测量值 | SysSafReq06 |
|
||
| `EcuSafReq07` | 正确供电灯泡 | SysSafReq04 |
|
||
| `EcuSafReq08` | 检测灯泡故障 | SysSafReq06 |
|
||
| `EcuSafReq09` | 通过 CAN 报告灯泡故障 | SysSafReq06 |
|
||
| `EcuSafReq10` | 监督所有安全相关 SW-C | 新增 |
|
||
|
||
### 4.6 ECU 功能
|
||
|
||
FLM ECU 的主要功能：
|
||
|
||
#### 4.6.1 读取灯光开关状态
|
||
|
||
通过 DIO 接口读取灯光开关状态（HW_LB_OFF）。
|
||
|
||
#### 4.6.2 读取点火钥匙状态（经由车身控制器）
|
||
|
||
通过 CAN 接口接收来自车身控制器的 CL15_01 消息。
|
||
|
||
#### 4.6.3 激活灯光（物理）
|
||
|
||
通过 PWM 输出控制左和右近光灯。
|
||
|
||
#### 4.6.4 监控灯光
|
||
|
||
通过 ADC 通道读取灯泡的电流消耗以检测灯泡故障。
|
||
|
||
#### 4.6.5 提供驾驶员反馈
|
||
|
||
通过 CAN 发送 LightStatus_01 消息以通知 HMI 灯泡故障状态。
|
||
|
||
#### 4.6.6 控制灯光（逻辑）
|
||
|
||
应用 SWC 根据 CL15ON 和 HW_LB_OFF 计算灯光请求状态。
|
||
|
||
---
|
||
|
||
## 5 软件架构与软件安全需求
|
||
|
||
### 5.1 软件架构
|
||
|
||
本节展示软件架构的不同视图。
|
||
|
||
#### 5.1.1 软件组件
|
||
|
||
主要的软件组件（SWC）：
|
||
|
||
- **FLM 应用 SWC**：包含前照灯管理的应用逻辑
|
||
- **Actuator SWC**：负责控制灯泡的执行器
|
||
- **Sensor SWC**：处理传感器输入
|
||
- **Safety SWC**：实现安全检查
|
||
|
||
#### 5.1.2 RTE 运行时环境
|
||
|
||
RTE 提供 SW-C 之间的通信：
|
||
|
||
- 显式接口（Sender-Receiver、Client-Server）
|
||
- 数据转换（包括 E2E 保护）
|
||
- 模式管理
|
||
|
||
#### 5.1.3 AUTOSAR BSW 视图
|
||
|
||
BSW 视图显示所有基础软件模块及其相互关系：
|
||
|
||
- **MCAL**：DIO、ADC、PWM、SPI
|
||
- **ECUAL**：PORT、MCU
|
||
- **服务层**：OS、COM、RTE、WdgM、DEM、EcuM
|
||
- **CDD**：复杂驱动
|
||
|
||
#### 5.1.4 BSW 功能概述
|
||
|
||
主要的 BSW 功能：
|
||
|
||
1. **输入处理**：通过 DIO 读取灯光开关
|
||
2. **通信处理**：通过 CAN 接收 CL15 状态和发送灯泡状态
|
||
3. **输出处理**：通过 PWM 控制灯泡
|
||
4. **安全监控**：WdgM 监督安全相关 SE
|
||
5. **故障诊断**：DEM 记录所有故障事件
|
||
|
||
### 5.2 故障模式
|
||
|
||
#### 5.2.1 硬件故障模式
|
||
|
||
- DIO 输入卡在 0 或 1
|
||
- ADC 读数偏差
|
||
- PWM 输出故障
|
||
- CAN 收发器故障
|
||
- MPU 故障
|
||
|
||
#### 5.2.2 软件故障模式
|
||
|
||
- SW-C 死循环
|
||
- SW-C 死锁
|
||
- 通信数据损坏
|
||
- 检查点未到达
|
||
- 错误的灯光控制逻辑
|
||
|
||
### 5.3 软件方面和潜在故障模式分析
|
||
|
||
本节详细分析每个 ECU 中的软件方面和潜在故障模式。
|
||
|
||
#### 5.3.1 ECU02 的分析：CAN CL15 到逻辑 CL15_01 消息的正确转换
|
||
|
||
**关联需求**：`EcuSafReq03`
|
||
|
||
**故障分析**：
|
||
- COM 模块可能错误地解析 CAN 消息
|
||
- 信号提取可能出错
|
||
- 信号值可能被错误地映射
|
||
|
||
**缓解措施**：
|
||
- E2E 保护
|
||
- COM 信号验证
|
||
- 范围检查
|
||
|
||
#### 5.3.2 ECU03 的分析：CL15_01 消息通过 AUTOSAR BSW/RTE 的正确路由
|
||
|
||
**关联需求**：`EcuSafReq04`
|
||
|
||
**故障分析**：
|
||
- RTE 路由错误
|
||
- 数据缓冲损坏
|
||
- 类型不匹配
|
||
|
||
**缓解措施**：
|
||
- RTE 类型检查
|
||
- E2E 保护
|
||
- 数据一致性检查
|
||
|
||
#### 5.3.3 ECU27 的分析：CL15_01.CL15ON 在发送方和接收方之间的传输
|
||
|
||
**关联需求**：SysSafReq10（**ASIL B**）
|
||
|
||
**故障分析**：
|
||
- CAN 帧丢失
|
||
- CAN 帧损坏
|
||
- CAN 帧乱序
|
||
- CAN 帧重复
|
||
|
||
**缓解措施**：
|
||
- E2E Profile 4（CRC + Counter）
|
||
- 周期性发送
|
||
- 超时检测
|
||
|
||
#### 5.3.4 ECU04 的分析：检测影响 CL15ON 的潜在通信故障
|
||
|
||
**关联需求**：`EcuSafReq05`
|
||
|
||
**故障分析**：
|
||
- E2E 验证失败
|
||
- 计数器不连续
|
||
- 超时
|
||
|
||
**缓解措施**：
|
||
- 200ms 连续故障检测
|
||
- 激活近光灯作为故障反应
|
||
|
||
#### 5.3.5 ECU06 的分析：HW_LB_OFF 输入的正确读取
|
||
|
||
**关联需求**：`EcuSafReq01`
|
||
|
||
**故障分析**：
|
||
- DIO 读取错误
|
||
- 端口配置错误
|
||
- 信号去抖不充分
|
||
|
||
**缓解措施**：
|
||
- PORT 模块正确配置
|
||
- 多次读取验证
|
||
- 时间窗口去抖
|
||
|
||
#### 5.3.6 ECU07 的分析：HW_LB_OFF 输入端口和引脚的正确配置
|
||
|
||
**关联需求**：`EcuSafReq02`
|
||
|
||
**故障分析**：
|
||
- 端口方向错误
|
||
- 引脚复用错误
|
||
- 上下拉电阻配置错误
|
||
|
||
**缓解措施**：
|
||
- 编译时配置验证
|
||
- 启动时端口验证
|
||
|
||
#### 5.3.7 ECU08 的分析：HW_LB_OFF 输入到逻辑 LB_OFF 信号的正确转换
|
||
|
||
**故障分析**：
|
||
- 信号电平转换错误
|
||
- 信号反转
|
||
|
||
**缓解措施**：
|
||
- 信号映射验证
|
||
|
||
#### 5.3.8 ECU09 的分析：LB_OFF 通过 AUTOSAR BSW/RTE 的正确路由
|
||
|
||
**故障分析**：
|
||
- RTE 路由错误
|
||
- 数据一致性
|
||
|
||
**缓解措施**：
|
||
- E2E 保护
|
||
|
||
#### 5.3.9 ECU10 的分析：检测影响 LB_OFF 的潜在故障
|
||
|
||
**故障分析**：
|
||
- 信号卡在固定值
|
||
- 信号抖动
|
||
|
||
**缓解措施**：
|
||
- 200ms 连续故障检测
|
||
- 激活近光灯
|
||
|
||
#### 5.3.10 ECU12 的分析：应用 SWC 确定 LB_OFF 和 CL15ON 状态
|
||
|
||
**故障分析**：
|
||
- SWC 内部状态错误
|
||
- 状态机错误
|
||
|
||
**缓解措施**：
|
||
- WdgM Alive 监督
|
||
- 状态机验证
|
||
|
||
#### 5.3.11 ECU13 的分析：应用 SWC 评估灯光请求条件
|
||
|
||
**故障分析**：
|
||
- 条件判断错误
|
||
- 时序条件错误
|
||
|
||
**缓解措施**：
|
||
- 详细的代码审查
|
||
- 单元测试
|
||
|
||
#### 5.3.12 ECU14 的分析：应用 SWC 设置或重置灯光开启命令
|
||
|
||
**关联需求**：SysSafReq12, SysSafReq07
|
||
|
||
**故障分析**：
|
||
- 状态转换错误
|
||
- 输出命令错误
|
||
|
||
**缓解措施**：
|
||
- 故障安全状态（激活近光灯）
|
||
- WdgM 监督
|
||
|
||
#### 5.3.13 ECU15 的分析：双 LB 灯泡故障时激活日间行车灯
|
||
|
||
**关联需求**：SysSafReq07
|
||
|
||
**故障分析**：
|
||
- 故障检测延迟
|
||
- 误激活
|
||
|
||
**缓解措施**：
|
||
- 200ms 连续检测
|
||
- 信号去抖
|
||
|
||
#### 5.3.14 ECU16 的分析：根据灯光请求和规范的正确供电
|
||
|
||
**关联需求**：`EcuSafReq07`
|
||
|
||
**故障分析**：
|
||
- PWM 错误
|
||
- 电流限制违反
|
||
|
||
**缓解措施**：
|
||
- PWM 硬件保护
|
||
- 反馈监控
|
||
|
||
#### 5.3.15 ECU29 的分析：逻辑 PWM-L 信号到 SPI 总线消息的正确转换
|
||
|
||
**故障分析**：
|
||
- 信号转换错误
|
||
- 时序问题
|
||
|
||
**缓解措施**：
|
||
- SPI 通信验证
|
||
- CRC 保护
|
||
|
||
#### 5.3.16 ECU17 的分析：set_pwm 请求到 µC SPI 输出的正确路由
|
||
|
||
**故障分析**：
|
||
- 路由错误
|
||
- 缓冲区损坏
|
||
|
||
**缓解措施**：
|
||
- SPI 通信保护
|
||
- E2E 保护
|
||
|
||
#### 5.3.17 ECU20 的分析：灯泡供电时应用 SWC 评估灯泡状态
|
||
|
||
**关联需求**：`EcuSafReq08`
|
||
|
||
**故障分析**：
|
||
- 状态评估错误
|
||
- 故障检测延迟
|
||
|
||
**缓解措施**：
|
||
- 周期性检查
|
||
- 多重评估
|
||
|
||
#### 5.3.18 ECU30 的分析：执行器 SWC 读取并提供灯泡状态
|
||
|
||
**关联需求**：`EcuSafReq06`
|
||
|
||
**故障分析**：
|
||
- ADC 读数错误
|
||
- 数据传输错误
|
||
|
||
**缓解措施**：
|
||
- ADC 校准
|
||
- E2E 保护
|
||
|
||
#### 5.3.19 ECU21 的分析：通过 CAN 总线报告检测到的故障
|
||
|
||
**关联需求**：`EcuSafReq09`
|
||
|
||
**故障分析**：
|
||
- CAN 通信失败
|
||
- 数据损坏
|
||
|
||
**缓解措施**：
|
||
- E2E Profile 4
|
||
- DEM 错误记录
|
||
|
||
#### 5.3.20 ECU23 的分析：执行器 SWC 启动灯泡健康测量路径每个元素的诊断
|
||
|
||
**故障分析**：
|
||
- 诊断未执行
|
||
- 诊断结果错误
|
||
|
||
**缓解措施**：
|
||
- 周期性自检
|
||
- 多通道验证
|
||
|
||
#### 5.3.21 ECU24 的分析：灯泡健康测量值 read_current_L、read_current_R 通过 AUTOSAR BSW/RTE 的正确路由
|
||
|
||
**故障分析**：
|
||
- 数据路由错误
|
||
- 类型不匹配
|
||
|
||
**缓解措施**：
|
||
- E2E 保护
|
||
- 数据类型检查
|
||
|
||
#### 5.3.22 ECU25 的分析：ADC-HW 将测量的电流转换为 read_current_L、read_current_R
|
||
|
||
**关联需求**：`EcuSafReq06`
|
||
|
||
**故障分析**：
|
||
- ADC 转换错误
|
||
- 校准漂移
|
||
|
||
**缓解措施**：
|
||
- 周期性 ADC 校准
|
||
- 范围检查
|
||
|
||
#### 5.3.23 ECU26 的分析：SW-C 之间的正确数据交换（时序和内容）
|
||
|
||
**故障分析**：
|
||
- 数据交换时序错误
|
||
- 数据内容损坏
|
||
|
||
**缓解措施**：
|
||
- E2E 保护
|
||
- 超时监控
|
||
|
||
> **摘要标记**：5.3 节共包含 23 个详细的 ECU 分析（ECU02-ECU30），每个分析都包含故障分析、缓解措施和需求关联。本节翻译了所有分析的核心内容，详细的图表和扩展描述见原文 PDF 第 31-56 页。
|
||
|
||
---
|
||
|
||
## 6 结论
|
||
|
||
### 6.1 未来 AUTOSAR 版本中潜在的安全改进
|
||
|
||
本节总结通过本示例分析识别的潜在安全改进。
|
||
|
||
**改进建议**：
|
||
|
||
1. **AUTOSAR 模板的安全扩展**：
|
||
- 在 ARXML 中更好地表达安全需求
|
||
- 安全机制的形式化定义
|
||
- 安全分析结果与 AUTOSAR 模型的集成
|
||
|
||
2. **安全分析工具支持**：
|
||
- 自动生成安全需求
|
||
- 验证 AUTOSAR 模型是否满足安全需求
|
||
- 安全影响的仿真
|
||
|
||
3. **安全模式管理**：
|
||
- 安全状态的标准化定义
|
||
- 安全状态之间的转换规则
|
||
- 安全模式与正常模式的交互
|
||
|
||
4. **端到端保护的改进**：
|
||
- 更多 E2E 配置文件
|
||
- 更好地集成到 RTE
|
||
- 性能优化
|
||
|
||
5. **WdgM 的改进**：
|
||
- 更好的配置工具
|
||
- 与 ISO 26262 的清晰映射
|
||
- 改进的诊断
|
||
|
||
6. **测试规范**：
|
||
- 安全机制的测试用例
|
||
- 故障注入测试
|
||
- 性能测试
|
||
|
||
---
|
||
|
||
## 7 缩写/词汇表（Abbreviation/Glossary）
|
||
|
||
| 缩写 | 描述 |
|
||
|---|---|
|
||
| ASIL | Automotive Safety Integrity Level（汽车安全完整性等级） |
|
||
| BCU | Body Control Unit（车身控制单元） |
|
||
| BSW | Basic Software（基础软件） |
|
||
| CAN | Controller Area Network（控制器局域网） |
|
||
| CDD | Complex Device Driver（复杂设备驱动） |
|
||
| CL15 | Clamp 15（点火开关信号） |
|
||
| CRC | Cyclic Redundancy Check（循环冗余校验） |
|
||
| DEM | Diagnostic Event Manager（诊断事件管理器） |
|
||
| DIO | Digital Input/Output（数字输入/输出） |
|
||
| E2E | End-to-End（端到端） |
|
||
| ECU | Electronic Control Unit（电子控制单元） |
|
||
| EcuM | ECU State Manager（ECU 状态管理器） |
|
||
| FMEA | Failure Mode and Effects Analysis（失效模式与影响分析） |
|
||
| FTTI | Fault Tolerant Time Interval（故障容错时间间隔） |
|
||
| FLM | Front Light Management（前照灯管理） |
|
||
| HMI | Human-Machine Interface（人机界面） |
|
||
| LB | Low Beam（近光灯） |
|
||
| LS | Light Switch（灯光开关） |
|
||
| MPU | Memory Protection Unit（内存保护单元） |
|
||
| OEM | Original Equipment Manufacturer（原始设备制造商） |
|
||
| OS | Operating System（操作系统） |
|
||
| PWM | Pulse Width Modulation（脉宽调制） |
|
||
| RTE | Runtime Environment（运行时环境） |
|
||
| SG | Safety Goal（安全目标） |
|
||
| SPI | Serial Peripheral Interface（串行外设接口） |
|
||
| SWC | Software Component（软件组件） |
|
||
| WdgM | Watchdog Manager（看门狗管理器） |
|
||
|
||
---
|
||
|
||
## 8 参考文献（References）
|
||
|
||
[1] ISO 26262:2011(E) — Road vehicles — Functional safety
|
||
[2] AUTOSAR_EXP_LayeredSoftwareArchitecture — AUTOSAR 分层软件架构
|
||
[3] AUTOSAR_SWS_WatchdogManager — 看门狗管理器规范
|
||
[4] AUTOSAR_SWS_E2ELibrary — 端到端保护库
|
||
[5] AUTOSAR_SWS_COM — 通信规范
|
||
[6] AUTOSAR_SWS_RTE — 运行时环境
|
||
[7] AUTOSAR_SWS_OS — 操作系统
|
||
[8] AUTOSAR_SWS_DEM — 诊断事件管理器
|
||
[9] AUTOSAR_TPS_SafetyExtensions — 安全扩展
|
||
|
||
---
|
||
|
||
## 翻译说明
|
||
|
||
本文档为 AUTOSAR EXP SafetyUseCase（文档 ID 641，61 页，4.4.0 版）的中文翻译。翻译策略：
|
||
|
||
1. **完整翻译**：封面、文档标识、变更历史、目录、所有主要章节（第 1-7 章）
|
||
2. **核心分析方法涵盖**：
|
||
- **项目描述**：前照灯管理（FLM）功能、初步架构、假设和限制
|
||
- **危险分析与风险评估**：H1 危险、SG01 安全目标、ASIL B 等级、FTTI 500ms
|
||
- **功能安全概念**：FunSafReq01-01/02/03
|
||
- **系统安全需求**：SysSafReq01-13
|
||
- **降级概念**：2 步降级（日间行车灯作为回退）
|
||
- **ECU 级安全概念**：EcuSafReq01-10
|
||
- **23 个 ECU 软件分析**：涵盖所有 ECU 的故障分析和缓解措施
|
||
3. **关键概念涵盖**：
|
||
- ASIL 等级（A、B、C、D）
|
||
- FTTI（故障容错时间）
|
||
- 安全状态、降级模式
|
||
- E2E 保护、WdgM 监督
|
||
4. **摘要处理**：
|
||
- 系统安全需求映射表（表 3）：列出前 6 项代表性映射，完整表见原文 PDF
|
||
- 23 个 ECU 分析：保留核心内容，详细图表见原文 PDF
|
||
5. **保留内容**：所有需求 ID（`FunSafReq`、`SysSafReq`、`EcuSafReq`、`ECU02-30`）、ASIL 等级引用、ISO 26262 引用
|
||
|
||
本文档为安全工程师提供了一个完整的安全分析案例研究，展示了如何将 ISO 26262 的方法论应用于 AUTOSAR 系统。
|