AUTOSAR进阶图解==＞AUTOSAR_SRS

本BLOG上原创文章未经本人许可，不得用于商业用途。转载请注明出处，否则保留追究法律责任的权利。

本文链接：https://blog.youkuaiyun.com/zhangkaidewd/article/details/149143237

AUTOSAR OS 需求规范分析

基于AUTOSAR_SRS_OS文档的架构与组件分析

1. 概述

1.1 AUTOSAR OS 简介

AUTOSAR（AUTomotive Open System ARchitecture）是汽车电子领域的开放式系统架构标准。AUTOSAR OS是该标准中的实时操作系统组件，为汽车电子控制单元(ECU)提供基础运行环境。本文档分析AUTOSAR OS的需求规范，重点关注其架构设计、核心功能和实现机制。

AUTOSAR OS建立在OSEK OS标准基础上，并扩展了更多功能以满足现代汽车电子系统的需求。它提供了基本的任务调度、事件处理、资源管理和中断处理功能，同时增加了对多核处理器、内存保护和时间保护等高级特性的支持。

1.2 文档目的

本文档旨在通过图表和说明，帮助读者理解AUTOSAR OS的核心需求和架构设计。通过分析AUTOSAR_SRS_OS规范文档，我们提炼出关键概念并以直观的方式呈现，使开发人员和系统设计者能够更好地理解AUTOSAR OS的功能和特性。

2. AUTOSAR OS 架构

2.1 整体架构

下图展示了AUTOSAR OS在整体软件架构中的位置及其主要组成部分：

在这里插入图片描述

架构层次结构解析

AUTOSAR OS架构由多个层次组成，每个层次具有特定的职责：

应用层 (Application Layer)：
- 功能：包含实现特定功能的应用软件组件(SWCs)
- 组成：多个应用软件组件通过RTE进行通信
- 特点：与底层硬件和操作系统细节隔离
RTE (Runtime Environment)：
- 功能：提供应用软件组件间的通信抽象
- 特点：实现软件组件之间的松耦合，使组件可独立开发和重用
- 接口：向上提供API给应用软件组件，向下调用基础软件服务
基础软件层 (Basic Software Layer)：
- 服务层：提供通信服务、诊断服务和ECU状态管理等功能
- 操作系统层：核心的OS功能，包括任务管理、资源管理等
- 微控制器抽象层：提供硬件抽象，隔离上层软件与硬件细节
操作系统层 (OS Layer)：
- 任务管理：负责任务的创建、调度和状态管理
- 事件管理：处理任务间的同步和通知
- 资源管理：提供资源访问控制和优先级上限协议
- 报警与计数器：提供基于时间的任务激活机制
- 调度表：支持静态配置的时间表调度
- 中断管理：处理硬件中断和中断服务程序
- 内存保护：提供内存访问控制和保护机制
- OS应用隔离：支持应用程序间的隔离和故障保护
- 错误与保护：提供错误检测和处理机制

根据AUTOSAR_SRS_OS文档，OS是整个基础软件的核心，为上层应用提供运行环境和调度服务。它负责任务的创建、调度和同步，确保应用软件组件能够按照预定的优先级和时序正确执行。

/* AUTOSAR OS初始化示例代码 */
#include "Os.h"
#include "EcuM.h"

void InitializeSystem(void)
{
    /* 初始化操作系统 */
    StatusType osStatus = StartOS(OSDEFAULTAPPMODE);
    
    if (osStatus != E_OK) {
        /* 处理OS启动错误 */
        ShutdownOS(E_OS_INIT_FAILED);
    }
    
    /* OS启动后，通过EcuM继续系统初始化 */
    EcuM_StartupTwo();
    
    /* 此函数正常情况下不会返回，因为OS已接管控制权 */
}

2.2 组件交互

以下图表展示了AUTOSAR OS内部组件之间的交互关系：

在这里插入图片描述

组件交互详解

AUTOSAR OS由多个核心组件组成，这些组件协同工作以提供完整的操作系统功能：

任务管理器 (Task Manager)：
- 职责：管理任务的生命周期，包括创建、调度和终止
- 功能：实现基于优先级的抢占式调度，处理任务状态转换
- 接口：提供ActivateTask、TerminateTask等API
- 依赖关系：与事件处理组件紧密协作，响应事件触发任务
事件处理 (Event Handling)：
- 职责：管理任务间的同步和通知机制
- 功能：提供事件设置、清除和等待功能
- 接口：提供SetEvent、WaitEvent、ClearEvent等API
- 特点：支持任务等待多个事件，实现复杂的同步策略
资源管理器 (Resource Manager)：
- 职责：防止任务间资源访问冲突
- 机制：实现优先级上限协议(PCP)，防止优先级反转问题
- 接口：提供GetResource、ReleaseResource等API
- 特点：支持嵌套资源获取，具有资源访问控制机制
计数器与报警 (Counter & Alarm)：
- 职责：提供基于时间或事件的任务激活和通知机制
- 功能：支持周期性和一次性任务激活
- 接口：提供SetRelAlarm、CancelAlarm等API
- 特点：可与硬件计时器关联，实现精确的时间控制
调度表管理 (Schedule Table)：
- 职责：提供基于静态配置的时间表调度机制
- 功能：按照预定义的时间序列激活任务和设置事件
- 接口：提供StartScheduleTable、StopScheduleTable等API
- 特点：支持与全局时间同步，可进行表间切换
OS应用管理 (OS-Application)：
- 职责：提供OS应用间的隔离和保护机制
- 功能：将OS对象（任务、ISR等）分组，限制跨组访问
- 接口：提供CheckObjectAccess、TerminateApplication等API
- 特点：支持应用重启和隔离，增强系统可靠性
中断管理 (Interrupt Handler)：
- 职责：处理硬件中断和中断服务程序
- 功能：管理中断优先级和嵌套
- 接口：提供EnableAllInterrupts、SuspendAllInterrupts等API
- 特点：支持中断禁用嵌套计数，确保中断处理的可靠性
内存保护 (Memory Protection)：
- 职责：提供内存访问控制和保护
- 功能：限制任务对非授权内存区域的访问
- 机制：基于硬件MPU实现内存隔离
- 特点：支持OS应用级别的内存保护和隔离
错误处理 (Error Handling)：
- 职责：检测和处理系统运行时错误
- 功能：提供错误报告和处理机制
- 接口：提供ErrorHook、ProtectionHook等回调接口
- 特点：支持应用级别和系统级别的错误处理策略

根据AUTOSAR_SRS_OS文档中的要求，这些组件共同工作，提供了一个完整的实时操作系统环境，满足汽车电子系统的功能安全和实时性要求。

/* AUTOSAR OS组件交互示例代码 */
#include "Os.h"

/* 定义同步事件 */
#define EVENT_DATA_READY (EventMaskType)0x01

/* 任务入口函数 */
TASK(ProcessingTask)
{
    StatusType status;
    
    /* 等待数据准备事件 */
    status = WaitEvent(EVENT_DATA_READY);
    if (status != E_OK) {
        /* 处理错误 */
    }
    
    /* 清除已处理的事件 */
    status = ClearEvent(EVENT_DATA_READY);
    
    /* 获取共享资源 */
    status = GetResource(RESOURCE_DATA);
    if (status != E_OK) {
        /* 处理错误 */
    }
    
    /* 处理数据（临界区） */
    ProcessSharedData();
    
    /* 释放共享资源 */
    status = ReleaseResource(RESOURCE_DATA);
    
    /* 正常终止任务 */
    TerminateTask();
}

/* 中断服务例程 */
ISR(DataReadyISR)
{
    /* 数据准备就绪，激活处理任务 */
    SetEvent(TASK_ID_ProcessingTask, EVENT_DATA_READY);
}

3. 核心功能需求

3.1 基本操作系统功能

根据AUTOSAR_SRS_OS文档，操作系统必须提供以下基本功能：

向后兼容性：
- 规范要求：OS必须提供与OSEK OS向后兼容的API
- 目的：确保现有基于OSEK的应用可以在AUTOSAR OS上运行
- 来源：SRS_Os_00097
故障隔离：
- 规范要求：OS必须提供支持故障隔离和错误恢复能力的分区（OS应用）
- 目的：防止一个应用的故障影响其他应用
- 来源：SRS_Os_11001
中断管理：
- 规范要求：OS必须提供中断掩码函数和中断向量表生成工具
- 目的：支持系统初始化前后的中断管理
- 来源：SRS_Os_11018, SRS_Os_11019

这些基本需求构成了AUTOSAR OS的核心功能，为上层应用提供可靠的执行环境。

/* OSEK兼容API示例 */
#include "Os.h"

TASK(Task1)
{
    /* 激活另一个任务 */
    ActivateTask(Task2);
    
    /* 等待事件 */
    WaitEvent(EVENT_1);
    
    /* 获取资源 */
    GetResource(RES_1);
    
    /* 临界区操作 */
    
    /* 释放资源 */
    ReleaseResource(RES_1);
    
    /* 终止任务 */
    TerminateTask();
}

3.2 静态定义调度

AUTOSAR OS支持基于静态定义的调度表机制，提供了对时间触发系统的支持：

在这里插入图片描述

调度表状态与转换

调度表是AUTOSAR OS中重要的扩展功能，它允许基于时间表的静态任务调度：

调度表状态：
- STOPPED（停止）：调度表未激活，不处理任何过期点
- RUNNING（运行中）：调度表激活且正在处理过期点
- NEXT（下一个）：当前调度表运行中，但已指定下一个要运行的表
- WAITING（等待）：调度表已启动但等待与全局时间同步
- SYNCHRONOUS（同步）：调度表与全局时间源同步运行中
- ASYNC_CORRECTION（异步修正）：调度表正在进行异步修正以对齐全局时间
状态转换触发：
- StartScheduleTableAbs/Rel：以绝对或相对时间启动调度表
- StartScheduleTableSynchron：以同步模式启动调度表
- StopScheduleTable：停止当前运行的调度表
- NextScheduleTable：设置下一个要运行的调度表
- SyncScheduleTable：与全局时间源同步调度表
同步机制：
- 硬同步（即时同步）：立即调整调度表与全局时间对齐
- 平滑同步（渐进同步）：通过调整过期点处理时间逐渐同步

根据AUTOSAR_SRS_OS文档，调度表功能（SRS_Os_00098, SRS_Os_00099, SRS_Os_11002）允许用户构建类似OSEKtime的调度器表，但不引入其限制，为分布式系统提供同步任务激活机制。

/* 调度表配置和使用示例 */
#include "Os.h"

/* 调度表配置 */
const ScheduleTableConfigType ScheduleTable1Config = {
    .tableId = SCHEDULE_TABLE_1,
    .counterRef = COUNTER_SYS_TIMER,
    .duration = 100, /* 周期为100个计数单位 */
    .repeating = TRUE,
    .autostart = FALSE,
    .syncStrategy = EXPLICIT_SYNC
};

/* 调度表使用示例 */
void ControlScheduling(void)
{
    StatusType status;
    TickType ticksToStart = 10;
    
    /* 以相对时间启动调度表 */
    status = StartScheduleTableRel(SCHEDULE_TABLE_1, ticksToStart);
    if (status != E_OK) {
        /* 处理错误 */
    }
    
    /* 等待一段时间后切换到下一个调度表 */
    /* ... */
    
    status = NextScheduleTable(SCHEDULE_TABLE_1, SCHEDULE_TABLE_2);
    if (status != E_OK) {
        /* 处理错误 */
    }
    
    /* 在需要时停止调度表 */
    /* ... */
    
    status = StopScheduleTable(SCHEDULE_TABLE_1);
}

3.3 监控设施

AUTOSAR OS提供多种监控设施，用于检测和防止系统异常：

堆栈监控：
- 规范要求：OS能够监控堆栈使用情况并检查堆栈溢出
- 目的：检测任务或ISR的堆栈溢出问题
- 来源：SRS_Os_11003
执行时间监控：
- 功能：监控任务、ISR和资源持有的执行时间
- 目的：检测超时情况，确保实时性要求
- 实现：通过配置最大执行时间，检测超出阈值的情况
资源锁定时间监控：
- 功能：监控资源被单个任务持有的时间
- 目的：防止资源长时间被锁定导致系统阻塞
- 实现：配置资源最大锁定时间，超时时触发保护错误

监控设施是AUTOSAR OS保障系统可靠性的重要组成部分，它们能够在运行时检测各种异常情况，并通过保护钩子触发相应的错误处理机制。

/* 监控设施配置示例 */
/* 配置文件: Os_Cfg.h */

/* 堆栈监控配置 */
#define OS_STACK_MONITORING              (TRUE)
#define TASK1_STACK_SIZE                 (512)
#define TASK1_STACK_MONITORING           (TRUE)

/* 执行时间监控配置 */
#define OS_EXECUTION_TIME_MONITORING     (TRUE)
#define TASK1_EXECUTION_BUDGET           (1000) /* 微秒 */
#define ISR1_EXECUTION_BUDGET            (200)  /* 微秒 */

/* 保护钩子示例 */
ProtectionReturnType ProtectionHook(StatusType fatalError)
{
    switch (fatalError) {
        case E_OS_STACKFAULT:
            /* 处理堆栈溢出错误 */
            LogError("Stack overflow detected");
            return PRO_TERMINATETASKISR;
            
        case E_OS_TIMING_PROTECTION:
            /* 处理时间保护错误 */
            LogError("Timing protection violation");
            return PRO_TERMINATETASKISR;
            
        default:
            /* 处理其他致命错误 */
            return PRO_SHUTDOWN;
    }
}

3.4 保护设施

AUTOSAR OS提供多种保护机制，确保系统的可靠性和安全性：

内存保护：
- 规范要求：OS防止一个OS应用修改其他OS应用的内存
- 目的：隔离不同OS应用的内存空间，防止相互干扰
- 来源：SRS_Os_11005
- 实现：基于硬件MPU的内存区域限制和访问控制
OS应用间通信：
- 规范要求：OS允许OS应用间通过共享内存交换数据
- 目的：提供受控的应用间通信机制
- 来源：SRS_Os_11006
- 实现：通过显式配置的共享内存区域
共享代码执行：
- 规范要求：OS允许OS应用执行共享代码
- 目的：避免重复代码，减小内存占用
- 来源：SRS_Os_11007
- 实现：通过特殊权限的共享代码区域
读访问保护（可选）：
- 规范要求：OS可选地提供读访问保护
- 目的：增强数据隐私和安全性
- 来源：SRS_Os_11000
- 实现：配置内存区域的读取权限

这些保护机制共同构成了AUTOSAR OS的安全框架，防止应用之间的意外干扰，增强系统的可靠性和安全性。

/* 内存保护配置示例 */
/* 配置文件: Os_MemMap.h */

/* 定义OS应用的内存区域 */
#define APP1_CODE_START      0x00010000
#define APP1_CODE_SIZE       0x00005000
#define APP1_DATA_START      0x20000000
#define APP1_DATA_SIZE       0x00001000
#define APP1_STACK_START     0x20010000
#define APP1_STACK_SIZE      0x00001000

#define APP2_CODE_START      0x00020000
#define APP2_CODE_SIZE       0x00005000
#define APP2_DATA_START      0x20002000
#define APP2_DATA_SIZE       0x00001000
#define APP2_STACK_START     0x20011000
#define APP2_STACK_SIZE      0x00001000

/* 共享内存区域 */
#define SHARED_DATA_START    0x20003000
#define SHARED_DATA_SIZE     0x00000100

/* 共享代码区域 */
#define SHARED_CODE_START    0x00030000
#define SHARED_CODE_SIZE     0x00002000

/* 访问违规处理示例 */
void HandleMemoryAccessViolation(void)
{
    ApplicationType currentApp = GetApplicationID();
    
    /* 记录违规情况 */
    LogError("Memory access violation in application %d", currentApp);
    
    /* 终止违规应用 */
    TerminateApplication(currentApp, RESTART);
}

4. 实现机制

4.1 任务调度

AUTOSAR OS实现了一套完整的任务调度机制，下图展示了任务调度的流程：

在这里插入图片描述

任务调度流程解析

AUTOSAR OS中的任务调度过程包括以下关键步骤和组件：

系统启动流程：
- 应用软件调用StartOS()启动操作系统
- OS API初始化OS内核及其各个组件
- 启动空闲任务作为系统的默认任务
任务激活与调度：
- 通过ActivateTask()将任务状态设置为READY
- 调度器检查任务优先级并触发调度请求
- 内核执行上下文切换，保存当前上下文并加载新任务上下文
资源管理：
- 任务通过GetResource()获取资源
- 资源管理器应用优先级上限协议，暂时提升任务优先级
- 任务完成临界区操作后通过ReleaseResource()释放资源
- 资源释放后，任务恢复原优先级并可能触发重新调度
事件处理：
- 任务通过SetEvent()设置其他任务的事件
- 等待事件的任务通过WaitEvent()进入WAITING状态
- 当事件被设置后，等待任务变为READY状态
- 调度器根据任务优先级决定是否立即执行该任务
中断处理：
- 硬件中断触发后，内核调用对应的中断服务程序
- ISR可以通过OS API激活任务或设置事件
- 中断处理完成后，内核检查是否需要重新调度
计数器和报警：
- 计数器递增（由硬件定时器或软件驱动）
- 计数器检查关联的报警是否到期
- 报警到期时触发配置的动作（如激活任务）

根据AUTOSAR_SRS_OS文档，AUTOSAR OS实现了基于优先级的抢占式调度策略，确保高优先级任务能够及时响应，满足实时系统的要求。

/* 任务调度示例代码 */
#include "Os.h"

/* 定义资源 */
RESOURCE(SHARED_RESOURCE);

/* 定义任务 */
TASK(HighPriorityTask)
{
    StatusType status;
    
    /* 任务激活时立即执行 */
    
    /* 获取共享资源 */
    status = GetResource(SHARED_RESOURCE);
    if (status != E_OK) {
        /* 处理错误 */
    }
    
    /* 临界区操作 */
    ModifySharedData();
    
    /* 释放共享资源 */
    status = ReleaseResource(SHARED_RESOURCE);
    
    /* 激活低优先级任务 */
    status = ActivateTask(LowPriorityTask);
    
    /* 任务完成 */
    TerminateTask();
}

TASK(LowPriorityTask)
{
    StatusType status;
    
    /* 等待事件 */
    status = WaitEvent(EVENT_DATA_PROCESSED);
    if (status != E_OK) {
        /* 处理错误 */
    }
    
    /* 事件发生后继续执行 */
    ClearEvent(EVENT_DATA_PROCESSED);
    
    /* 任务完成 */
    TerminateTask();
}

/* 报警回调函数 */
ALARMCALLBACK(CyclicAlarmCallback)
{
    /* 周期性激活高优先级任务 */
    ActivateTask(HighPriorityTask);
}

4.2 OS应用隔离

AUTOSAR OS通过OS应用隔离机制实现故障隔离和系统保护：

在这里插入图片描述

OS应用隔离机制解析

OS应用是AUTOSAR OS中的核心概念，它为系统提供了强大的隔离和保护能力：

OS应用定义：
- OS应用是OS对象（任务、ISR、资源等）的逻辑分组
- 每个OS应用有唯一的ID和信任状态（可信/非可信）
- OS应用的状态包括ACTIVE、RESTARTING和TERMINATED
内存保护机制：
- 每个OS应用有专属的内存区域，包括代码、数据和堆栈
- 内存区域定义了访问权限（读、写、执行）
- 内存保护单元(MPU)在硬件层面实现访问控制
- 违反访问权限时触发保护错误
OS对象所有权与访问控制：
- 任务和ISR属于特定的OS应用
- 资源可属于一个OS应用但允许多个应用访问
- OS内核管理对象访问权限，防止未授权访问
应用间通信：
- 通过显式配置的共享内存实现数据交换
- 共享内存区域对多个OS应用可见和可访问
- 保持数据一致性和安全性
错误检测与隔离：
- 监控设施检测各种运行时错误
- 错误发生时通过保护钩子处理
- 支持应用级别的终止和重启，不影响其他应用

根据AUTOSAR_SRS_OS文档，OS应用隔离机制(SRS_Os_11001, SRS_Os_11005)使多个独立开发的软件组件能够安全地共存于同一个处理器上，提高了系统的可靠性和安全性。

/* OS应用配置和使用示例 */
#include "Os.h"

/* OS应用定义 (配置文件) */
/* APP_ID_SYSTEM    = 0; (受信任) */
/* APP_ID_POWERTRAIN = 1; */
/* APP_ID_CHASSIS   = 2; */
/* APP_ID_BODY      = 3; */

/* 应用间通信 */
volatile uint32 SharedData[10] __attribute__((section(".shared_memory")));

/* 应用特定代码 */
TASK(PowertrainTask)
{
    ApplicationType currentApp;
    
    /* 获取当前应用ID */
    currentApp = GetApplicationID();
    
    /* 检查是否有权限访问资源 */
    if (CheckObjectAccess(currentApp, OBJECT_RESOURCE, RES_ENGINE) == E_OK) {
        /* 获取资源 */
        GetResource(RES_ENGINE);
        
        /* 访问共享数据 (受保护的临界区) */
        SharedData[0] = CalculateEngineData();
        
        /* 释放资源 */
        ReleaseResource(RES_ENGINE);
    }
    
    TerminateTask();
}

/* 保护钩子 */
ProtectionReturnType ProtectionHook(StatusType fatalError)
{
    ApplicationType faultyApp;
    
    /* 获取发生错误的应用 */
    faultyApp = GetApplicationID();
    
    /* 记录错误 */
    LogProtectionError(faultyApp, fatalError);
    
    /* 决定如何处理错误 */
    switch (fatalError) {
        case E_OS_PROTECTION_MEMORY:
            /* 内存访问违规 */
            return PRO_TERMINATEAPPL;
            
        case E_OS_PROTECTION_TIME:
            /* 时间保护违规 */
            return PRO_TERMINATETASKISR;
            
        default:
            /* 其他严重错误 */
            if (faultyApp == APP_ID_SYSTEM) {
                /* 系统应用错误，关闭系统 */
                return PRO_SHUTDOWN;
            } else {
                /* 非系统应用错误，仅终止该应用 */
                return PRO_TERMINATEAPPL_RESTART;
            }
    }
}