30 KiB
安全用例示例（Safety Use Case Example）
| 字段 | 内容 |
|---|---|
| 文档标题 | 安全用例示例（Safety Use Case Example） |
| 文档所有者 | AUTOSAR |
| 文档责任方 | AUTOSAR |
| 文档标识号 | 641 |
| 文档状态 | Final（正式发布） |
| 所属 AUTOSAR 标准 | Classic Platform（经典平台） |
| 所属标准版本 | 4.4.0 |
文档变更历史（Document Change History）
| 日期 | 版本 | 变更人 | 变更描述 |
|---|---|---|---|
| 2018-10-31 | 4.4.0 | AUTOSAR Release Management | 编辑性变更 |
| 2017-12-08 | 4.3.1 | AUTOSAR Release Management | 编辑性变更 |
| 2016-11-30 | 4.3.0 | AUTOSAR Release Management | 编辑性变更 |
| 2015-07-31 | 4.2.2 | AUTOSAR Release Management | 初始发布 |
目录（Table of Contents）
- 引言
- 项目描述（Item Description）
- 车辆级安全概念（Safety Concept on Vehicle Level）
- FLM-ECU 级技术安全概念（Technical Safety Concept on FLM-ECU Level）
- 软件架构与软件安全需求（SW Architecture and SW Safety Requirements）
- 结论（Conclusion）
- 缩写/词汇表（Abbreviation/Glossary）
- 参考文献（References）
1 引言
本文档从功能安全的角度展示了使用 AUTOSAR 的示例系统的主要分析步骤。本文档中使用的示例基于 AUTOSAR 引导示例 Front Light Management（前照灯管理）。在需要时，会添加额外的约束以进行进一步分析或概念讨论。
本报告的目标是：
- 在 AUTOSAR 环境中构建用于功能安全分析的相关用例
- 提供示例以讨论和验证 AUTOSAR 中与安全相关的概念
- 识别当前 AUTOSAR 规范和方法论中功能安全方面的改进潜力
- 提出 AUTOSAR 中安全架构所需的改进或附加概念
- 为"方法论与模板的安全相关扩展（Safety Related Extension for Methodology and Templates）"概念提供输入
- 在 AUTOSAR 方法论之上提供安全分析指南
该示例在 ISO 26262 要求的上下文中准备，但侧重于 AUTOSAR 相关部分。虽然它可以视为 AUTOSAR 方法论之上安全分析的基本指南，但它仅粗略地涉及主要主题。进一步的细节（例如软件安全需求的详细列表或安全分析措施的示例）可以在下一开发步骤中添加。
本示例涵盖以下方面：
- 功能安全概念
- 系统级技术安全概念
- ECU 级技术安全概念
- AUTOSAR 基础软件级的安全方面
注意：实现约束不一定与现有实现匹配。
2 项目描述（Item Description）
本示例中选择的项目主要等同于 AUTOSAR 引导示例 Front Light Management（前照灯管理）。每当需要额外的定义时，会添加支持安全相关主题澄清的信息。
当前示例的范围聚焦于前照灯的一个非常有限的功能部分，即**近光灯（low beam）**功能。所有其他灯光功能（例如停车灯、雾灯等）被排除在外。作为例外，**日间行车灯（daytime running lights）**被命名为可能的回退解决方案，因此集成在以下图中。然而，日间行车灯的控制细节不是本示例的一部分。
所有贡献于前照灯管理的车辆级部件在本示例中视为**"系统（the system）"**（见图 1）。这包括：
- 前照灯管理 ECU
- 相关传感器
- 执行器
- 显示
- 供电部分
2.1 功能行为
近光灯功能的一般特征是在黑暗中照亮道路。此外，近光灯通知其他道路使用者有车辆接近。激活/停用条件总结于下表。
| 功能 | 操作元素 | 开启条件 | 关闭条件 |
|---|---|---|---|
| 近光灯（Low Beam） | 灯光开关（LS） | CL15 ON 且 灯光开关 ON | 灯光开关 OFF 或 CL15 OFF |
近光灯可在点火钥匙激活 CL15（点火开关）期间由灯光开关打开。近光灯的任何故障都应向驾驶员指示。
作为附加功能，日间行车灯作为前照灯管理系统的一部分可用。此外，应应用近光灯功能的所有相关规范法规。
基于该标称功能，导出以下功能和相关的功能需求：
-
检测近光灯请求 a. 前照灯管理器应评估点火钥匙位置 b. 前照灯管理器应读取 LS 开关位置
-
评估近光灯请求 a. 前照灯管理器应评估 LS 开关状态 b. 仅当 LS 开关状态从 OFF 变为 ON 时，前照灯管理器才创建开关事件（ON） c. 如果 LS 开关状态从 ON 变为 OFF，前照灯管理器创建开关事件（OFF）
-
控制近光灯 a. 如果点火钥匙位置为 ON 且检测到灯光开关事件，前照灯管理器应激活近光灯 b. 如果点火钥匙位置为 OFF 或检测到开关事件（OFF），前照灯管理器应停用近光灯
-
监控近光灯功能 a. 前照灯管理器应监督近光灯 b. 前照灯管理器应指示近光灯的故障，例如电流故障或灯泡故障
-
激活日间行车灯 a. 在近光灯故障的情况下，前照灯管理器应激活日间行车灯
2.2 初步架构（Preliminary Architecture）
下图显示了假设的系统架构，包括以下系统元素：
- 前照灯管理 ECU（Front Light Management ECU）
- 灯光开关（LS）
- 点火钥匙（经由车身控制器）
- 电源
- 前照灯（左和右）
- 日间行车灯（左和右）
- HMI（人机界面）
| 系统元素 | 与 FLM ECU 的接口 |
|---|---|
| 灯光开关位置（LS） | DIO |
| 点火钥匙位置（CL15）（经由车身控制器） | CAN 接口 |
| HMI | CAN 接口 |
| 前照灯控制（左） | PWM |
| 前照灯控制（右） | PWM |
| 日间行车灯（左&右） | PWM |
| 电源 | 模拟 |
2.3 示例安全分析的假设和限制
作为示例的起点，假设系统的以下配置：
- 前照灯管理软件在一个 ECU 上的实现
- 通过提供数字 I/O 输出的开关激活灯光
- 注意：常见类型的此类灯光开关提供模拟或最多 4 个数字输出，并带逻辑表以验证状态。本示例的目的是展示数据流通过软件架构。传感器的硬件诊断不在重点。
- 紧急灯光功能（例如 µC 操作故障情况下）由硬件提供，不打算使用 AUTOSAR 软件部分
- 所有内存（易失性和非易失性）受到针对可逆瞬态故障的保护。假设 ECC 等机制可用
- 内存分区的硬件手段可用（例如 MPU）
- 前照灯管理软件与不符合 ISO 26262 ASIL 等级的 BSW 模块集成
- 执行微控制器的故障模式分析，并定义和实现安全措施。该分析基于供应商提供的数据，例如安全手册和 ISO 26262 的要求
此外，定义了后续约束以将示例的重点放在特定的 AUTOSAR 软件安全问题：
- 假设 ECU 按要求工作： a. ECU 正确唤醒、运行和进入睡眠（本示例不关注模式管理或状态管理） b. 必要的通信网络可用、启动且正确运行（本示例不关注 COM 管理） c. 必要的 BSW 模块按要求触发
- 不考虑板载布线系统、电池或电源的故障
- 不考虑近光灯的电源故障
- 假设灯泡的启动测试已就位。其设计和实现不是本示例的一部分
- 灯光开关信号（LS）已经被过滤/去抖
3 车辆级安全概念（Safety Concept on Vehicle Level）
本章概述了车辆级的安全分析及其结果，通常由 OEM 创建并部分提供给供应商。
注意：这种安全分析结构不能 1:1 映射到 ISO 26262 [1] 的结构，因为该标准未明确包括开发的不同可能范围。
3.1 危险分析与风险评估结果
对于本示例，假设以下危险和属性被识别为危险和风险评估的输出：
危险 H1：近光灯的完全丢失（ASIL B）
该危险可能导致驾驶员失去对车辆的控制、离开道路并与环境物体碰撞。
H1 的例外和边界条件：
- 仅在恶劣能见度条件（夜间、雾等）下，近光灯的丢失被视为风险
- 在弯曲的、未照明的乡村道路上，近光灯的丢失被评估为最关键的情况
- 仅一个近光灯的丢失不被视为直接导致危险情况。然而，这是一个潜在故障，将包含在概念咨询中
ASIL：ASIL B 等级基于危险和风险评估中确定的严重程度、暴露率和可控性。
安全目标 SG01：防止近光灯的完全丢失
安全状态：近光灯激活
故障容错时间（FTTI）：500 ms（夜间行驶期间激活灯光时应考虑近光灯的丢失）
注意：可以假设额外的危险。然而，为了限制我们的示例，假设它是唯一相关的危险。在这一点上纳入额外的风险对 AUTOSAR 特性讨论似乎没有帮助。
3.2 相关故障模式
安全目标 SG01 可能通过以下一种或多种故障（MF）被违反：
- MF01：灯光开启/关闭条件检测的故障
- MF02：用于打开灯光的光请求函数的评估和实现故障
- MF03：激活灯光的故障
3.3 功能安全概念
功能描述、安全目标以及顶层安全需求的结果是一个功能安全架构，该架构将映射到特定的车辆架构。
3.3.1 FunSafReq01-01：
FLM 应正确检测近光灯的任何有效开启条件。（ASIL B）
- 关联到 MF01：在"有效近光灯开启"请求后没有近光灯
3.3.2 FunSafReq01-02：
FLM 应验证接收到的任何近光灯请求的有效性，并相应地激活或停用近光灯。（ASIL B）
- 关联到 MF02：在没有接收到"有效近光灯关闭"请求时关闭灯光
3.3.3 FunSafReq01-03：
FLM 应检测激活的近光灯的故障并将故障信号通知驾驶员。（ASIL B）
- 关联到 MF03：激活灯光的故障
注意：
- 有效的近光灯开启请求 => "CL15 为 ON 且灯光开关从 OFF 变为 ON"
- 有效的近光灯关闭请求 => "灯光开关从 ON 变为 OFF"
3.4 车辆级安全需求
作为车辆级安全分析的一部分，根据可用的系统架构定义了警告和降级概念。车辆级技术安全需求从功能安全需求和初步架构的假设（见 2.2）导出，并标记为 SysSafReq ID。
注意：生成技术安全需求的过程不是本文档的一部分，因此不在下面描述。这些车辆级需求用于演示若干需求级别。它们既未完全分析，也未从实际实现映射。
3.4.1 警告和降级概念
对于近光灯，应实现以下 2 步降级概念：
正常模式（Normal Mode）：
- 见项目描述中的标称功能（见 2）
降级模式步骤 1 — 丢失一个近光灯：
- 第二个近光灯仍执行其功能
- 当请求近光灯但未成功激活（检测到故障）时，应向驾驶员提供警告，指示近光灯的部分丢失
降级模式步骤 2 — 丢失两个近光灯：
- 当请求近光灯但未成功激活（检测到故障）时，应激活日间行车灯
- 当请求近光灯时，应向驾驶员提供警告，指示近光灯的丢失和日间行车灯的激活
注意：这种使用日间行车灯作为回退的做法仅用作示例以演示降级功能。此解决方案在认证方面可能不合适。
注意：在此模式下可以激活其他驾驶员辅助功能以协助驾驶员，但这不是本示例的一部分。
3.4.2 技术安全需求（车辆级）
以下技术安全需求基于 3.3 中的确定在本示例分析中导出：
3.4.2.1 SysSafReq01
CAN 连接的车身控制器应通过 CAN 总线消息 CL15_01（CAN 消息：CL15_01，CAN 信号：CL15ON（Boolean，'1' 表示 clamp 15 设置为 on，'0' 表示 clamp 15 设置为 off））发出点火钥匙 clamp 15 状态信号。（ASIL B）
注意：CAN 消息细节在 CAN DB 中定义（频率、抑制时间、信号类型），作为标称功能的一部分。
3.4.2.2 SysSafReq02
灯光开关应通过数字 HW 线路 HW_LB_OFF（0=0V 表示请求灯光开启，1=5V 表示请求灯光关闭）发出开关状态信号。（ASIL B）
3.4.2.3 SysSafReq03
灯光开关内的故障应导致数字 HW 线路 HW_LB_OFF 设置为 0。（ASIL B）
3.4.2.4 SysSafReq04
FLM ECU 应确保在为灯泡供电的条件满足时（如标称功能定义），保持为灯泡供电的限制（如电压和 PWM）。（ASIL B）
3.4.2.5 SysSafReq05
当 CL15ON==1 时，FLM ECU 应仅在 HW_LB_OFF==1 条件连续 20ms 满足时才关闭灯光。（ASIL B）
注意：等待信号值稳定条件几毫秒的时序条件包括去抖。20ms 的特定值是凭经验取的。也可以使用其他值。
3.4.2.6 SysSafReq06
FLM ECU 应检测电路故障（灯泡、保险丝、布线开路/短路）并通过 CAN 信号化（CAN 消息：LightStatus_01，CAN 信号：LBFailure（2 位，01 表示左侧近光灯故障，10 表示右侧近光灯故障，11 表示两个近光灯都故障））。（ASIL B）
3.4.2.7 SysSafReq07
如果连续 200ms 检测到两个近光灯灯泡故障，FLM ECU 应激活两个日间行车灯（DRL）。（ASIL B）
注意：FTT 预算按以下方式分配：200ms 故障检测时间 + 200ms 卤素灯泡达到全强度的保守时间间隔（故障反应）+ 100ms 缓冲 = 500ms。
3.4.2.8 SysSafReq08
FLM ECU 应使用独立电路为左和右灯泡供电，使得没有单一故障能导致近光灯的完全丢失。（ASIL B）
3.4.2.9 SysSafReq09
HMI 应根据通过 CAN 接收的信号 LBFailure（CAN 消息：LightStatus_01，CAN 信号：LBFailure）显示灯泡故障信息。（ASIL A）
注意：对于此措施，FTT 不相关，因为它是针对潜在故障的措施。这里可以计算相关时间（诊断间隔）。针对双灯泡故障的措施（FTT 相关）是激活日间行车灯。作为针对潜在故障的措施，ASIL 根据 ISO 26262-4:2011(E) 6.4.4.4 降低。
3.4.2.10 SysSafReq10
必须确保发送方和接收方之间通过 CAN 的数据传输。CAN 消息：CL15_01，CAN 信号：CL15ON Boolean。（ASIL B）
注意：对于此措施，应考虑数据交换的所有相关故障模式（见 ISO 26262 第 6 部分）。
3.4.2.11 SysSafReq11
必须确保发送方和接收方之间通过 CAN 的数据传输。CAN 消息：LightStatus_01，CAN 信号：LBFailure。（ASIL A）
注释：对于此措施，应考虑数据交换的所有相关故障模式（见 ISO 26262-6）。
3.4.2.12 SysSafReq12
如果连续 200ms 检测到关于消息 CL15_01 的通信故障，FLM ECU 应激活近光灯。
注意：FTT 预算分配与 SysSafReq07 相同。
3.4.2.13 SysSafReq13
FLM ECU 应：
- 如果连续 200ms 检测到关于消息 LightStatus_01 的通信故障，激活两个日间行车灯（DRL），并且
- 向驾驶员提供文本消息，如"灯光系统缺陷"
3.4.3（功能）系统安全需求的分配
下一步，所有系统安全需求需要分配到架构系统元素（见图 5）。
3.4.4 技术系统安全需求（车辆级）总结
系统安全需求到功能安全需求（车辆级）的整体映射以及到系统元素的分配总结于表 3。
摘要标记：本节包含一个大型需求映射表（约 13 项需求 × 5 列），涵盖 SysSafReq01-13 与功能安全需求、系统元素和 ASIL 等级的映射。下表列出前 6 项代表性映射；完整表见原文 PDF 第 17-18 页。
| ID | 系统安全需求（摘要） | 支持功能安全需求 ID | ASIL | 项目 |
|---|---|---|---|---|
SysSafReq01 |
BCU 通过 CAN CL15_01 信号化 CL15 状态 | FunSafReq01-01 |
ASIL B | BC-ECU |
SysSafReq02 |
灯光开关通过 HW_LB_OFF 信号化状态 | FunSafReq01-01 |
ASIL B | LS |
SysSafReq03 |
灯光开关故障时 HW_LB_OFF=0 | FunSafReq01-01 |
ASIL B | LS |
SysSafReq04 |
FLM ECU 保持灯泡供电限制 | FunSafReq01-02 |
ASIL B | FLM-ECU |
SysSafReq05 |
CL15ON==1 时 20ms 后才关闭灯光 | FunSafReq01-02 |
ASIL B | FLM-ECU |
SysSafReq06 |
检测电路故障并通过 CAN 信号化 | FunSafReq01-03 |
ASIL B | FLM-ECU |
4 FLM-ECU 级技术安全概念
4.1 ECU 级的假设和限制
- 与车辆级假设一致
- ECU 使用单核微控制器
- 假设硬件平台提供 MPU 支持
- 假设支持 OS 时序保护
- WdgM 配置为监督所有安全相关 SE
4.2 要满足的安全目标
车辆级的安全目标 SG01: Prevent total loss of low beam 必须在 FLM ECU 级别被满足。
4.3 相关系统安全需求
车辆级系统安全需求中分配到 FLM ECU 的所有需求都必须在 ECU 级别被满足。
4.4 ECU 级概念概述
FLM ECU 级别的安全概念包括以下层次：
-
应用软件层：
- 前照灯应用 SWC
- 执行器 SWC
- 安全检查 SWC
-
RTE 层：
- 跨 SW-C 通信
- E2E 保护
-
基础软件层：
- COM（带 E2E）
- OS（带 MPU 保护）
- WdgM（监督安全相关 SE）
- DEM（错误诊断）
-
硬件层：
- MPU
- 看门狗硬件
- 时钟监控
4.5 ECU 级需求
ECU 级需求基于系统级安全需求派生：
| ID | ECU 级需求 | 关联车辆级需求 |
|---|---|---|
EcuSafReq01 |
FLM ECU 应正确读取 HW_LB_OFF 输入 | SysSafReq02 |
EcuSafReq02 |
FLM ECU 应正确配置 HW_LB_OFF 端口和引脚 | SysSafReq02 |
EcuSafReq03 |
FLM ECU 应正确转换 CL15ON 到 CL15_01 消息 | SysSafReq01 |
EcuSafReq04 |
FLM ECU 应通过 AUTOSAR BSW/RTE 正确路由 CL15_01 消息 | SysSafReq01 |
EcuSafReq05 |
FLM ECU 应检测 CL15ON 的通信故障 | SysSafReq10 |
EcuSafReq06 |
正确读取灯泡健康测量值 | SysSafReq06 |
EcuSafReq07 |
正确供电灯泡 | SysSafReq04 |
EcuSafReq08 |
检测灯泡故障 | SysSafReq06 |
EcuSafReq09 |
通过 CAN 报告灯泡故障 | SysSafReq06 |
EcuSafReq10 |
监督所有安全相关 SW-C | 新增 |
4.6 ECU 功能
FLM ECU 的主要功能：
4.6.1 读取灯光开关状态
通过 DIO 接口读取灯光开关状态（HW_LB_OFF）。
4.6.2 读取点火钥匙状态（经由车身控制器）
通过 CAN 接口接收来自车身控制器的 CL15_01 消息。
4.6.3 激活灯光（物理）
通过 PWM 输出控制左和右近光灯。
4.6.4 监控灯光
通过 ADC 通道读取灯泡的电流消耗以检测灯泡故障。
4.6.5 提供驾驶员反馈
通过 CAN 发送 LightStatus_01 消息以通知 HMI 灯泡故障状态。
4.6.6 控制灯光（逻辑）
应用 SWC 根据 CL15ON 和 HW_LB_OFF 计算灯光请求状态。
5 软件架构与软件安全需求
5.1 软件架构
本节展示软件架构的不同视图。
5.1.1 软件组件
主要的软件组件（SWC）：
- FLM 应用 SWC：包含前照灯管理的应用逻辑
- Actuator SWC：负责控制灯泡的执行器
- Sensor SWC：处理传感器输入
- Safety SWC：实现安全检查
5.1.2 RTE 运行时环境
RTE 提供 SW-C 之间的通信：
- 显式接口（Sender-Receiver、Client-Server）
- 数据转换（包括 E2E 保护）
- 模式管理
5.1.3 AUTOSAR BSW 视图
BSW 视图显示所有基础软件模块及其相互关系：
- MCAL：DIO、ADC、PWM、SPI
- ECUAL：PORT、MCU
- 服务层：OS、COM、RTE、WdgM、DEM、EcuM
- CDD：复杂驱动
5.1.4 BSW 功能概述
主要的 BSW 功能：
- 输入处理：通过 DIO 读取灯光开关
- 通信处理：通过 CAN 接收 CL15 状态和发送灯泡状态
- 输出处理：通过 PWM 控制灯泡
- 安全监控：WdgM 监督安全相关 SE
- 故障诊断：DEM 记录所有故障事件
5.2 故障模式
5.2.1 硬件故障模式
- DIO 输入卡在 0 或 1
- ADC 读数偏差
- PWM 输出故障
- CAN 收发器故障
- MPU 故障
5.2.2 软件故障模式
- SW-C 死循环
- SW-C 死锁
- 通信数据损坏
- 检查点未到达
- 错误的灯光控制逻辑
5.3 软件方面和潜在故障模式分析
本节详细分析每个 ECU 中的软件方面和潜在故障模式。
5.3.1 ECU02 的分析：CAN CL15 到逻辑 CL15_01 消息的正确转换
关联需求：EcuSafReq03
故障分析：
- COM 模块可能错误地解析 CAN 消息
- 信号提取可能出错
- 信号值可能被错误地映射
缓解措施：
- E2E 保护
- COM 信号验证
- 范围检查
5.3.2 ECU03 的分析：CL15_01 消息通过 AUTOSAR BSW/RTE 的正确路由
关联需求：EcuSafReq04
故障分析：
- RTE 路由错误
- 数据缓冲损坏
- 类型不匹配
缓解措施：
- RTE 类型检查
- E2E 保护
- 数据一致性检查
5.3.3 ECU27 的分析：CL15_01.CL15ON 在发送方和接收方之间的传输
关联需求：SysSafReq10（ASIL B）
故障分析：
- CAN 帧丢失
- CAN 帧损坏
- CAN 帧乱序
- CAN 帧重复
缓解措施：
- E2E Profile 4（CRC + Counter）
- 周期性发送
- 超时检测
5.3.4 ECU04 的分析：检测影响 CL15ON 的潜在通信故障
关联需求：EcuSafReq05
故障分析：
- E2E 验证失败
- 计数器不连续
- 超时
缓解措施：
- 200ms 连续故障检测
- 激活近光灯作为故障反应
5.3.5 ECU06 的分析：HW_LB_OFF 输入的正确读取
关联需求：EcuSafReq01
故障分析：
- DIO 读取错误
- 端口配置错误
- 信号去抖不充分
缓解措施：
- PORT 模块正确配置
- 多次读取验证
- 时间窗口去抖
5.3.6 ECU07 的分析：HW_LB_OFF 输入端口和引脚的正确配置
关联需求：EcuSafReq02
故障分析：
- 端口方向错误
- 引脚复用错误
- 上下拉电阻配置错误
缓解措施：
- 编译时配置验证
- 启动时端口验证
5.3.7 ECU08 的分析：HW_LB_OFF 输入到逻辑 LB_OFF 信号的正确转换
故障分析：
- 信号电平转换错误
- 信号反转
缓解措施：
- 信号映射验证
5.3.8 ECU09 的分析：LB_OFF 通过 AUTOSAR BSW/RTE 的正确路由
故障分析：
- RTE 路由错误
- 数据一致性
缓解措施：
- E2E 保护
5.3.9 ECU10 的分析：检测影响 LB_OFF 的潜在故障
故障分析：
- 信号卡在固定值
- 信号抖动
缓解措施：
- 200ms 连续故障检测
- 激活近光灯
5.3.10 ECU12 的分析：应用 SWC 确定 LB_OFF 和 CL15ON 状态
故障分析：
- SWC 内部状态错误
- 状态机错误
缓解措施：
- WdgM Alive 监督
- 状态机验证
5.3.11 ECU13 的分析：应用 SWC 评估灯光请求条件
故障分析：
- 条件判断错误
- 时序条件错误
缓解措施：
- 详细的代码审查
- 单元测试
5.3.12 ECU14 的分析：应用 SWC 设置或重置灯光开启命令
关联需求：SysSafReq12, SysSafReq07
故障分析：
- 状态转换错误
- 输出命令错误
缓解措施：
- 故障安全状态（激活近光灯）
- WdgM 监督
5.3.13 ECU15 的分析：双 LB 灯泡故障时激活日间行车灯
关联需求：SysSafReq07
故障分析：
- 故障检测延迟
- 误激活
缓解措施：
- 200ms 连续检测
- 信号去抖
5.3.14 ECU16 的分析：根据灯光请求和规范的正确供电
关联需求：EcuSafReq07
故障分析：
- PWM 错误
- 电流限制违反
缓解措施：
- PWM 硬件保护
- 反馈监控
5.3.15 ECU29 的分析：逻辑 PWM-L 信号到 SPI 总线消息的正确转换
故障分析：
- 信号转换错误
- 时序问题
缓解措施：
- SPI 通信验证
- CRC 保护
5.3.16 ECU17 的分析：set_pwm 请求到 µC SPI 输出的正确路由
故障分析：
- 路由错误
- 缓冲区损坏
缓解措施：
- SPI 通信保护
- E2E 保护
5.3.17 ECU20 的分析：灯泡供电时应用 SWC 评估灯泡状态
关联需求：EcuSafReq08
故障分析：
- 状态评估错误
- 故障检测延迟
缓解措施：
- 周期性检查
- 多重评估
5.3.18 ECU30 的分析：执行器 SWC 读取并提供灯泡状态
关联需求：EcuSafReq06
故障分析：
- ADC 读数错误
- 数据传输错误
缓解措施：
- ADC 校准
- E2E 保护
5.3.19 ECU21 的分析：通过 CAN 总线报告检测到的故障
关联需求：EcuSafReq09
故障分析：
- CAN 通信失败
- 数据损坏
缓解措施：
- E2E Profile 4
- DEM 错误记录
5.3.20 ECU23 的分析：执行器 SWC 启动灯泡健康测量路径每个元素的诊断
故障分析：
- 诊断未执行
- 诊断结果错误
缓解措施：
- 周期性自检
- 多通道验证
5.3.21 ECU24 的分析：灯泡健康测量值 read_current_L、read_current_R 通过 AUTOSAR BSW/RTE 的正确路由
故障分析：
- 数据路由错误
- 类型不匹配
缓解措施：
- E2E 保护
- 数据类型检查
5.3.22 ECU25 的分析：ADC-HW 将测量的电流转换为 read_current_L、read_current_R
关联需求：EcuSafReq06
故障分析：
- ADC 转换错误
- 校准漂移
缓解措施：
- 周期性 ADC 校准
- 范围检查
5.3.23 ECU26 的分析：SW-C 之间的正确数据交换（时序和内容）
故障分析：
- 数据交换时序错误
- 数据内容损坏
缓解措施：
- E2E 保护
- 超时监控
摘要标记：5.3 节共包含 23 个详细的 ECU 分析（ECU02-ECU30），每个分析都包含故障分析、缓解措施和需求关联。本节翻译了所有分析的核心内容，详细的图表和扩展描述见原文 PDF 第 31-56 页。
6 结论
6.1 未来 AUTOSAR 版本中潜在的安全改进
本节总结通过本示例分析识别的潜在安全改进。
改进建议：
-
AUTOSAR 模板的安全扩展：
- 在 ARXML 中更好地表达安全需求
- 安全机制的形式化定义
- 安全分析结果与 AUTOSAR 模型的集成
-
安全分析工具支持：
- 自动生成安全需求
- 验证 AUTOSAR 模型是否满足安全需求
- 安全影响的仿真
-
安全模式管理：
- 安全状态的标准化定义
- 安全状态之间的转换规则
- 安全模式与正常模式的交互
-
端到端保护的改进：
- 更多 E2E 配置文件
- 更好地集成到 RTE
- 性能优化
-
WdgM 的改进：
- 更好的配置工具
- 与 ISO 26262 的清晰映射
- 改进的诊断
-
测试规范：
- 安全机制的测试用例
- 故障注入测试
- 性能测试
7 缩写/词汇表（Abbreviation/Glossary）
| 缩写 | 描述 |
|---|---|
| ASIL | Automotive Safety Integrity Level（汽车安全完整性等级） |
| BCU | Body Control Unit（车身控制单元） |
| BSW | Basic Software（基础软件） |
| CAN | Controller Area Network（控制器局域网） |
| CDD | Complex Device Driver（复杂设备驱动） |
| CL15 | Clamp 15（点火开关信号） |
| CRC | Cyclic Redundancy Check（循环冗余校验） |
| DEM | Diagnostic Event Manager（诊断事件管理器） |
| DIO | Digital Input/Output（数字输入/输出） |
| E2E | End-to-End（端到端） |
| ECU | Electronic Control Unit（电子控制单元） |
| EcuM | ECU State Manager（ECU 状态管理器） |
| FMEA | Failure Mode and Effects Analysis（失效模式与影响分析） |
| FTTI | Fault Tolerant Time Interval（故障容错时间间隔） |
| FLM | Front Light Management（前照灯管理） |
| HMI | Human-Machine Interface（人机界面） |
| LB | Low Beam（近光灯） |
| LS | Light Switch（灯光开关） |
| MPU | Memory Protection Unit（内存保护单元） |
| OEM | Original Equipment Manufacturer（原始设备制造商） |
| OS | Operating System（操作系统） |
| PWM | Pulse Width Modulation（脉宽调制） |
| RTE | Runtime Environment（运行时环境） |
| SG | Safety Goal（安全目标） |
| SPI | Serial Peripheral Interface（串行外设接口） |
| SWC | Software Component（软件组件） |
| WdgM | Watchdog Manager（看门狗管理器） |
8 参考文献（References）
[1] ISO 26262:2011(E) — Road vehicles — Functional safety [2] AUTOSAR_EXP_LayeredSoftwareArchitecture — AUTOSAR 分层软件架构 [3] AUTOSAR_SWS_WatchdogManager — 看门狗管理器规范 [4] AUTOSAR_SWS_E2ELibrary — 端到端保护库 [5] AUTOSAR_SWS_COM — 通信规范 [6] AUTOSAR_SWS_RTE — 运行时环境 [7] AUTOSAR_SWS_OS — 操作系统 [8] AUTOSAR_SWS_DEM — 诊断事件管理器 [9] AUTOSAR_TPS_SafetyExtensions — 安全扩展
翻译说明
本文档为 AUTOSAR EXP SafetyUseCase（文档 ID 641，61 页，4.4.0 版）的中文翻译。翻译策略：
- 完整翻译：封面、文档标识、变更历史、目录、所有主要章节（第 1-7 章）
- 核心分析方法涵盖：
- 项目描述：前照灯管理（FLM）功能、初步架构、假设和限制
- 危险分析与风险评估：H1 危险、SG01 安全目标、ASIL B 等级、FTTI 500ms
- 功能安全概念：FunSafReq01-01/02/03
- 系统安全需求：SysSafReq01-13
- 降级概念：2 步降级（日间行车灯作为回退）
- ECU 级安全概念：EcuSafReq01-10
- 23 个 ECU 软件分析：涵盖所有 ECU 的故障分析和缓解措施
- 关键概念涵盖：
- ASIL 等级（A、B、C、D）
- FTTI（故障容错时间）
- 安全状态、降级模式
- E2E 保护、WdgM 监督
- 摘要处理：
- 系统安全需求映射表（表 3）：列出前 6 项代表性映射，完整表见原文 PDF
- 23 个 ECU 分析：保留核心内容，详细图表见原文 PDF
- 保留内容：所有需求 ID（
FunSafReq、SysSafReq、EcuSafReq、ECU02-30）、ASIL 等级引用、ISO 26262 引用
本文档为安全工程师提供了一个完整的安全分析案例研究，展示了如何将 ISO 26262 的方法论应用于 AUTOSAR 系统。