摘要：為了支持功能安全，AUTOSAR標(biāo)準(zhǔn)結(jié)合IS026262功能安全標(biāo)準(zhǔn)，在基礎(chǔ)軟件層從安全通訊等方面做了規(guī)范。本文首先介紹了安全通訊機(jī)制之一的E2E保護(hù)來源，接著從E2E保護(hù)機(jī)制和E2E庫功能兩方面進(jìn)行重點(diǎn)闡述。最后實(shí)踐說明E2E庫在應(yīng)用層軟件的使用方法。

關(guān)鍵詞：AUTOSAR;E2E保護(hù)

中國分類號(hào)：U461.99 文獻(xiàn)標(biāo)識(shí)碼：A

0引言

AUTOSAR（Automotive Open System Architecture）標(biāo)準(zhǔn)是汽車電子系統(tǒng)開發(fā)的新理念?；贏UTOSAR標(biāo)準(zhǔn)的汽車電7子統(tǒng)開發(fā)實(shí)現(xiàn)了應(yīng)用軟件設(shè)計(jì)與底層硬件的分離，是汽車電子嵌入式系統(tǒng)發(fā)展的趨勢。ISO26262是汽車功能安全的新標(biāo)準(zhǔn)，包括了安全周期、汽車安全集成等級(jí)（ASIL）以及安全需求規(guī)范等核心概念。為了支持功能安全，AUTOSAR標(biāo)準(zhǔn)結(jié)合IS026262功能安全標(biāo)準(zhǔn)，在基礎(chǔ)軟件層從安全執(zhí)行、安全通訊以及安全內(nèi)建測試三方面做了規(guī)范。其中，安全通信包括兩個(gè)方面，ECU內(nèi)部通訊和ECU之間的通信。AUTOSAR對(duì)于安全通信提供了三種機(jī)制，數(shù)據(jù)J憤序控制、PDU復(fù)制和K/N的投票機(jī)制以及端到端（End tO End，簡稱E2E）的保護(hù)機(jī)制。本文針對(duì)ECU內(nèi)部數(shù)據(jù)元素層面的E2E保護(hù)，重點(diǎn)闡述其保護(hù)機(jī)制、使用限制、E2E結(jié)構(gòu)1（E2E profilel）以及基于E2E保護(hù)包的E2E庫實(shí)現(xiàn)方式。

1E2E保護(hù)

“E2E保護(hù)”是指對(duì)安全相關(guān)的數(shù)據(jù)在交互過程中進(jìn)行保護(hù)以防止通訊故障造成的影響。

E2E的保護(hù)機(jī)制借助于端到端保護(hù)庫（E2E庫）來實(shí)現(xiàn)。比如，隨機(jī)性的硬件故障，由于EMC造成的CAN收發(fā)器故障，或者諸如RTE、IOC、COM以及網(wǎng)絡(luò)堆棧等VFB軟件通訊故障。

1.1E2E庫功能

E2E庫是基于其內(nèi)部功能行為開發(fā)的，具體體現(xiàn)在通訊保護(hù)機(jī)制以及E2E結(jié)構(gòu)上。

1.1.1通訊保護(hù)

通訊保護(hù)機(jī)制的重要意義之一是它對(duì)于不同目的標(biāo)準(zhǔn)化和靈活性，這可以通過配置E2E結(jié)構(gòu)中函數(shù)調(diào)用參數(shù)來解決。有些E2E結(jié)構(gòu)有標(biāo)準(zhǔn)的變量。每個(gè)E2E變量是E2E結(jié)構(gòu)提供的一組配置選項(xiàng)。比如，在E2E結(jié)構(gòu)1中，CRC和Counter的位置是可以配置的。E2E變量1A指定了CRC的起始位是bito，Counter的起始位是bit8。除了E2E結(jié)構(gòu)外，E2E庫還提供基本的功能（比如多字節(jié)CRC）來建立的安全協(xié)議。

發(fā)送：對(duì)于傳輸?shù)臄?shù)據(jù)，有CRC或Counter這樣的額外控制域。

接收：從接收的數(shù)據(jù)中評(píng)估和計(jì)算控制域，比如計(jì)算接收數(shù)據(jù)的CRC，與收到的值做比較。

每種E2E結(jié)構(gòu)有特定的控制區(qū)域設(shè)置，包括特定的功能行為和用于監(jiān)測通訊故障的特定屬性。

1.1.2E2E結(jié)構(gòu)

E2E結(jié)構(gòu)提供了一系列數(shù)據(jù)保護(hù)的機(jī)制，用于對(duì)故障模型中考慮進(jìn)去的故障的保護(hù)。每一種E2E結(jié)構(gòu)通過不同的算法，提供了一種可選的方式來保護(hù)通訊。然而每種E2E結(jié)構(gòu)幾乎都有確定的API。每種E2E結(jié)構(gòu)必須使用如下保護(hù)機(jī)制集合。

（1）CRC，由CRC庫提供。

（2）序列計(jì)數(shù)器（Sequence Counter）每次根據(jù)傳輸需求增加，由接收方檢查增加數(shù)值的正確性。

（3）存活計(jì)數(shù)器（alive Counter）每個(gè)根據(jù)傳輸需求增加，接收方僅檢查數(shù)值是否改變，但不檢查是否改變正確。

（4）通過同一端口的數(shù)據(jù)元素有指定ID。每一組I-PDU有一個(gè)指定ID。

（5）超時(shí)監(jiān)測：接收通信通訊超時(shí);發(fā)送確認(rèn)超時(shí)。

（6）本文使用比較常用的E2E結(jié)構(gòu)1及其變量1A來進(jìn)行數(shù)據(jù)保護(hù)開發(fā)。

2應(yīng)用層E2E庫使用

為了合理使用E2E庫，該庫的獲取方案有多種。這些方案的選擇取決于RTE、COM軟件及底層其余軟件單元的集成方式。所以使用者有責(zé)任選擇合適的使用方式來實(shí)現(xiàn)安全相關(guān)系統(tǒng)的需求。

2.1E2E庫的實(shí)現(xiàn)方式

E2E庫可以由以下不同方式來實(shí)現(xiàn)。

（1）E2E保護(hù)包——無標(biāo)準(zhǔn)的集成軟件來保護(hù)數(shù)據(jù)，用于RTE之上，即應(yīng)用層。

（2）COM callouts——無標(biāo)準(zhǔn)的集成代碼來保護(hù)I-PDUs

（3）以上混合使用。

（4）RTE層的Out-of-box保護(hù)。

2.2基于E2E保護(hù)包的E2E庫使用

本文運(yùn)用E2E保護(hù)包來實(shí)現(xiàn)E2E庫的調(diào)用。E2E保護(hù)包的功能由Rte Write和Rte read實(shí)現(xiàn)，并提供給應(yīng)用層。應(yīng)用層軟件需要包含了E2EPW_xxx.h（XXX為運(yùn)行體名）。E2EPW XXX，h和E2EPW XXX，c即E2Ewapper代碼，屬于RTE接口代碼的一部分，通過RTE配置后，存在于RTE代碼生成過程。RTE_xxx.h包含了運(yùn)行體RTE實(shí)現(xiàn)相關(guān)的聲明和宏定義，同樣在RTE代碼生成過程中產(chǎn)生。如果RTE配置中建立某一運(yùn)行體的實(shí)例，則RTE代碼包含相應(yīng)的RTE_xxx.h和RTE_xxx_Type.h。其余E2E_P01.h和E2E.h由底層軟件供應(yīng)商提供。本文研究對(duì)象為TGI軟件組件。首先，定義E2E配置結(jié)構(gòu)體（Config）。該配置結(jié)構(gòu)體需要應(yīng)用層和底層共同確認(rèn)，根據(jù)變量1A的規(guī)則。原則上該配置應(yīng)該由底層軟件完成。但在SystemDesk也有實(shí)踐，完成之后生成描述文件如圖1所示。

其次，在SystemDesk中建立軟件組件TGI，除內(nèi)部行為外，重點(diǎn)通過添加Comspec對(duì)需要E2E保護(hù)的數(shù)據(jù)進(jìn)行端口屬性配置：依次關(guān)聯(lián)相應(yīng)的接口，并設(shè)UseEndtoEndProtection屬性為on，在IniValueRef中設(shè)置初始值。軟件組件設(shè)計(jì)完后，從SystemDesk中導(dǎo)出描述文件，并導(dǎo)入TargetLink。比如，對(duì)于供型端口的設(shè)置及Comspec在DD中體現(xiàn)如圖2。對(duì)于需型端口也做同樣設(shè)置。

接著，在Target Link中生成框架模型TGI.six，添加TLAR Utilities中“E2E庫”，進(jìn)行端口配置和調(diào)試。如果調(diào)試成功，E2E Comspec模塊將封裝成如圖3，不僅對(duì)需要進(jìn)行保護(hù)的端口承載信號(hào)打包，同時(shí)生成status信號(hào)。

最后，生成TGI six的AUTOSAR代碼。以接收端為例，在TGI.c中如預(yù)期生成了E2E保護(hù)包的調(diào)用函數(shù)E2EPWRead_C2L_E2e_L2_In（TGl E2e L2_In_t*E2ESignaI）。而在E2EPW TGI.c中如期生成RTE數(shù)據(jù)更新狀態(tài)返回值Rte Read C2L L2E2e L2In（E2ESignaI）。

以接收端為例，其保護(hù)機(jī)制和調(diào)用關(guān)系如圖4所示。

（1）應(yīng)用層激活E2EPW_Read_

_（dataEI）（即E2EPW_Read_C2L_E2e_L2_In（TGI_E2e_L2_In_t*E2ESignal））。

（2）E2E PW激活RTE讀 取接 口Rfe-Read__（amp;DataEI）（即Rte_Read_C2L_L2_E2e_L2_In（E2ESignal）），獲取最新的數(shù)據(jù)元素。

（3）如果獲取最新元素成功，Rte Read返回沒有錯(cuò)誤。

（4）調(diào)用E2E庫中E2E_P01Check（ Config，amp;State，Data）。

（5）E2E庫計(jì)算CRC，完成檢查：E2E庫激活CRC庫若干次來計(jì)算數(shù)據(jù)和數(shù)據(jù)ID的CRC，并檢查CRC、計(jì)數(shù)器、最新數(shù)據(jù)元素，最后根據(jù)檢查結(jié)果，更新State。

（6）更新狀態(tài)值State-gt;Status。

（7）評(píng)估接收到的數(shù)據(jù)元素是否可信，或者觸發(fā)錯(cuò)誤后處理。

3結(jié)論

目前，E2E保護(hù)仍處于研發(fā)階段。作為AUTOSAR提供的IS026262標(biāo)準(zhǔn)中安全通訊保護(hù)的實(shí)現(xiàn)方式，其研發(fā)成果不僅可以用于ECU內(nèi)部數(shù)據(jù)元素的保護(hù)，還能用于整車CAN通訊的保護(hù)。