Automotive Safety PlatformPrototyp einer zonalen Fahrzeugarchitektur

Pattern: Tabellengesteuerte Zustandsmaschine — 6 Zustände × 11 Ereignisse

"Jeder Übergang ist statisch definiert — keine Überraschungen zur Laufzeit"

static const uint8 transition_table[CVC_STATE_COUNT][CVC_EVT_COUNT] = {
    /* CVC_STATE_INIT */
    {
        CVC_STATE_RUN,         /* EVT_SELF_TEST_PASS     -> RUN        */
        CVC_STATE_SAFE_STOP,   /* EVT_SELF_TEST_FAIL     -> SAFE_STOP  */
        CVC_STATE_INVALID,     /* EVT_PEDAL_FAULT_SINGLE -> (invalid)  */
        CVC_STATE_INVALID,     /* EVT_PEDAL_FAULT_DUAL   -> (invalid)  */
        ...
    },
    /* CVC_STATE_RUN */
    {
        CVC_STATE_INVALID,     /* EVT_SELF_TEST_PASS     -> (invalid)  */
        CVC_STATE_INVALID,     /* EVT_SELF_TEST_FAIL     -> (invalid)  */
        CVC_STATE_DEGRADED,    /* EVT_PEDAL_FAULT_SINGLE -> DEGRADED   */
        CVC_STATE_SAFE_STOP,   /* EVT_PEDAL_FAULT_DUAL   -> SAFE_STOP  */
        CVC_STATE_LIMP,        /* EVT_CAN_TIMEOUT_SINGLE -> LIMP       */
        CVC_STATE_SAFE_STOP,   /* EVT_CAN_TIMEOUT_DUAL   -> SAFE_STOP  */
        CVC_STATE_SAFE_STOP,   /* EVT_ESTOP              -> SAFE_STOP  */
        CVC_STATE_SAFE_STOP,   /* EVT_SC_KILL            -> SAFE_STOP  */
        ...
    },
    /* ... DEGRADED, LIMP, SAFE_STOP, SHUTDOWN */
};

Pattern: Kreuzprüfung zweier unabhängiger Sensoren, Entprellung vor der Fehlererkennung

"Beide AS5048A-Sensoren müssen innerhalb des Schwellwerts für N aufeinanderfolgende Zyklen übereinstimmen"

/* Plausibility check (only if both sensors read OK) */
if (new_fault == CVC_PEDAL_NO_FAULT) {
    delta = Pedal_AbsDiff16(raw1_local, raw2_local);

    if (delta >= Pedal_CfgPtr->plausThreshold) {
        Pedal_PlausDebounce++;
        if (Pedal_PlausDebounce >= Pedal_CfgPtr->plausDebounce) {
            new_fault = CVC_PEDAL_PLAUSIBILITY;
        }
    } else {
        Pedal_PlausDebounce = 0u;
    }
}

Pattern: AUTOSAR E2E Profil P01 — CRC + Counter in CAN PDU gepackt

"16 von 32 CAN-Nachrichten sind E2E-geschützt — erkennt Beschädigung, Verlust und Wiederholung"

Std_ReturnType E2E_Protect(const E2E_ConfigType* Config,
                           E2E_StateType* State,
                           uint8* DataPtr, uint16 Length)
{
    uint8 crc;

    if ((Config == NULL_PTR) || (State == NULL_PTR) || (DataPtr == NULL_PTR))
        return E_NOT_OK;

    if (Length < E2E_PAYLOAD_OFFSET)
        return E_NOT_OK;

    /* Increment alive counter (4-bit, wraps 0..15) */
    State->Counter = (State->Counter + 1u) & 0x0Fu;

    /* Write byte 0: [counter:4 | dataId:4] */
    DataPtr[E2E_BYTE_COUNTER_ID] =
        (uint8)((State->Counter << 4u) | (Config->DataId & 0x0Fu));

    /* Compute CRC over payload (bytes 2..N-1) + DataId */
    crc = E2E_ComputePduCrc(DataPtr, Length, Config->DataId);
    DataPtr[E2E_BYTE_CRC] = crc;

    return E_OK;
}

• Item Definition— 7 Funktionen, Systemgrenze, Interface-Liste
• Hazard Analysis & Risk Assessment— 6 Betriebssituationen, 16 Gefährdungsereignisse, ASIL-Bestimmung
• Safety Goals— 8 Schutzziele (3 ASIL D, 2 ASIL C, 1 ASIL B, 2 ASIL A)
• Functional Safety Concept— 23 Sicherheitsmechanismen, 4 sichere Zustände, 25 FSRs

• Safety Plan— Lebenszyklusphasen, Rollen, Aktivitaeten, Tool-Qualifizierung
• Safety Case— Claims, Argument, Evidenz-Struktur

• Failure Mode & Effects Analysis— 50 Fehlermodi, 11 Schweregrad >= 9
• Dependent Failure Analysis— 6 Common-Cause-Failures, 5 kaskadierte Fehler
• Hardware Architectural Metrics— SPFM >= 99%, PMHF 5.2 FIT
• ASIL Decomposition— 2 Dekompositionen mit Unabhängigkeitsargumenten

• Functional Safety Requirements— 25 FSRs (FSR-001 bis FSR-025)
• Technical Safety Requirements— 51 TSRs — 26 ASIL D, 17 C, 4 B, 4 A
• Software Safety Requirements— 81 SSRs über 4 physische ECUs
• Hardware Safety Requirements— 25 HSRs über 4 ECUs
• HW-Software Interface Specification— Per-ECU Peripherie-Konfiguration, Speicher-Maps, MPU, Startup

• Safety Validation Report— Fahrzeug-Level Validierungsplan und Evidenz

• Stakeholder Requirements— 32 Stakeholder-Anforderungen (STK-001 bis STK-032)
• System Requirements Specification— 56 System-Anforderungen — 18 ASIL D, 12 C
• System Architecture— 10 Elementkategorien, System-Zustandsmaschine, FFI
• CAN Message Matrix— 32 Nachrichtentypen, 16 E2E-geschützt, 24% Buslast
• Interface Control Document— 22 Interfaces (CAN, SPI, UART, ADC, PWM, GPIO, I2C, MQTT)

• SW Architecture— Per-ECU Zerlegung, Task-Scheduling, 81 SSR-zu-Modul Zuordnung
• BSW Architecture— 18 Module mit vollständigen C-API-Signaturen, 3 Plattformziele
• vECU Architecture— POSIX-MCAL-Abstraktion, Docker-Container, CI/CD
• SWR-CVC (35 Anf.)
• SWR-FZC (32 Anf.)
• SWR-RZC (30 Anf.)
• SWR-SC (26 Anf.)
• SWR-BCM (12 Anf.)
• SWR-ICU (10 Anf.)
• SWR-TCU (15 Anf.)
• SWR-BSW (27 Anf.)

• Unit Test Plan
• Unit Test Report— 1.648 Unit-Tests über alle ECUs und die BSW
• Integration Strategy
• Integration Test Report
• SW Verification Plan
• Release Notes
• System Integration Report
• System Verification Report
• MIL Report
• SIL Report
• PIL Report
• HIL Report

• Hardware Requirements— 33 HWRs in 7 Kategorien
• Hardware Design— Per-ECU Schaltungsdesigns, Stromversorgung, BOM

• Quality Assurance Plan
• CM Strategy— Git Flow, Baselines, Zugriffsrechte
• Traceability Matrix— 475 verfolgt: SG zu FSR zu TSR zu SSR zu SWR zu Test
• Architecture Decision Log— 13 ADRs mit T1-T4 Tier-Scoring
• Progress Dashboard