AUTOSAR对功能安全的支持

为支持功能安全，AUTOSAR标准结合ISO 26262功能安全标准，在基础软件层从安全执行、安全通信以及安全内建测试三个方面做出了规范，并规范了使用方法[1]。 安全执行 安全执行包括三个方面，任务的运行时监控，SWC的安全相关的流程控制以及内存保护和安全的上下文切换。

1. 运行时监控：运行时监控确保任务的执行有足够的计算时间，包括生命监测功能和截止时间监测两种机制。提供支持的主要模块为看门狗管理器模块（WdgM），看门狗接口层（WdgIf）以及看门狗驱动层（WdgDriver）等[2]。
2. 程序流监控：安全相关的SWC的正确执行可以通过看门狗管理器模块（WdgM），看门狗接口层（WdgIf）以及看门狗驱动层（WdgDriver）等来提供，同时涉及到软件组件中的检查点的使用。
3. 内存保护和安全的上下文切换[3]：SmartSAR OS的选项安全上下文，按照ASIL D来开发，通过合适的微处理器（比如MPU）确保ECU安全相关的应用的内存保护。安全上下文这个选项对于SmartSAR OS的SC3/SC4可用，并被用来在任务切换和中断期间隔离不同的应用组件。安全上下文可以阻止一个不可信的软件组件对内存的写操作，确保这个写操作不会破坏另外一个软件组件的数据。 安全通信 安全通信包括两个方面，ECU内部通信和ECU之间的通信。对于在安全相关的应用之间的数据交换，必须检查它们传输的正确性。通过校验和可以保护数据内容，而数据顺序的正确性则可以通过一个消息计数器来保护。如果其中的任意一个检查失败，就要通知应用以便应用做出响应。 安全内建测试 安全的内建测试主要是指周期性的硬件检查。对于ECU各种各样的硬件组件在操作期间的无错功能可以执行周期性的测试，使用通用的测试函数。比如内核的内建测试，RAM的内建测试，FLASH的内建测试。 功能安全和AUTOSAR的关系 基于AUTOSAR的安全相关的嵌入式系统的实现需要符合公路车辆相关的功能安全的标准[4]。功能安全的基础是避免错误（比如，系统软件错误）或者其他的监测和错误处理（比如随机性的硬件错误），以此转移影响并阻止安全目标的偏移[5]。AUTOSAR提供合适的机制，并支持系统设计方法，但是他们的功能安全是依赖于用户的。 在AUTOSAR的开发期间，使用AUTOSAR提供的功能安全支持应和ISO DIS 26262-10中上下文外的安全元素（a Safety Element out of Context，以下简称SEooC）方法结合使用，如图1所示。在SEooC中，目标元素（比如一个软件单元）的安全目标或者安全需求用假设来代替。这些假设（比如，这个软件单元中要检查和处理的失败模式）是实现通用软件元素的基础。当使用这样的通用元素开发特定的安全相关的系统时，要确保假定的需求和特定系统的需求之间的一致性（比如，通过这个软件的集成器）。 图 1 SEooC开发周期 图 1中，“m-n”表示对ISO 26262内容的索引，如“3-7”表示引用的是ISO 26262的第3部分中的第7章节。 另外，根据ISO 26262定义的ASIL等级的集成规则[6]，BSW和RTE有以下两个选择：

以应用软件中的最高的ASIL等级来实现AUTOSAR BSW和AUTOSAR RTE。 通过合适的机制来论证基础软件之间可以自由地引用。