1. 课程导入与ETAS工具链概览
在汽车电子控制单元（ECU）的开发中，AUTOSAR 已经成为事实上的软件架构标准，而功能安全（Functional Safety）与信息安全（Security）的融合要求，又让“安全监控”从可选项变成了必选项。ETAS 作为博世集团旗下的汽车软件与工具供应商，其 RTA（Real-Time Applications）产品家族正是围绕这一需求构建的：它既提供符合 AUTOSAR 标准的运行时环境与基础软件，也提供面向 ISO 26262 的功能安全机制与安全监控组件。本课程的目标，是让读者理解这套工具链的定位与协作方式，并最终能够在一个可运行的示例工程中，把安全监控从概念落到配置与验证。
为什么需要“功能安全 + 安全监控”的组合视角
ISO 26262 对安全相关电子电气系统提出了从危害分析到安全机制验证的完整要求。落到软件层面，核心问题可以归结为三点：第一，软件是否按照预期执行（执行监控）；第二，软件是否在正确的时间窗口内完成（时序监控）；第三，当出现故障时，系统能否进入安全状态（故障响应）。AUTOSAR 通过 WdgM（看门狗管理器）、E2E（端到端保护）、Os 的时序保护、以及 MemMap/内存分区等机制来支撑这些要求。但标准只定义了“接口与行为”，真正把机制配置正确、把监控参数标定合理、把故障注入测试跑通，需要工具链的支撑。ETAS RTA 家族的价值，就在于它把这些机制做成了可配置、可生成、可验证的工程化组件。
RTA 产品家族的定位与协作关系
RTA 家族并不是一个单一工具，而是按“运行时—基础软件—安全扩展—配置生成”分层协作的产品组合。理解它们的分工，是后续所有实验的前提。
- RTA-CAR：面向 AUTOSAR Classic Platform 的配置与代码生成工具。它负责导入 ARXML、配置 BSW 模块、生成 RTE 与 ECU 配置代码，是整个工具链的“配置中枢”。
- RTA-OS：符合 AUTOSAR OS 规范的操作系统，提供任务调度、中断管理、资源管理、以及时序保护（Timing Protection）和内存保护等安全相关能力。它是安全监控机制运行的“地基”。
- RTA-BSW：AUTOSAR 基础软件栈，包含通信（Com、PduR、CanIf）、诊断（Dcm、Dem）、存储（NvM）以及看门狗管理器 WdgM 等模块。安全监控中的“执行监控”和“时序监控”主要在这里配置。
- RTA-FS：功能安全扩展组件，提供面向 ISO 26262 的安全机制库与安全监控框架，例如对关键信号的端到端保护、对安全相关任务的监控逻辑封装，以及安全手册与安全分析支持。
四者的协作关系可以概括为：RTA-CAR 负责“配置与集成”，RTA-OS 提供“运行时与保护”，RTA-BSW 提供“标准服务与监控模块”，RTA-FS 提供“安全机制与合规支撑”。一个典型的安全监控工程，会先在 RTA-CAR 中导入系统描述，配置 WdgM 的监控实体与检查点，再由 RTA-OS 提供任务与时间基准，最后由 RTA-FS 补充安全机制并生成安全相关文档。
从“知道”到“做到”：本课程的学习路径
本课程不会停留在概念介绍。整体路径分为四个阶段：第一阶段建立功能安全与安全监控的概念框架，理解 ISO 26262 对软件的要求以及 AUTOSAR 提供的机制；第二阶段进入工具链实操，使用 RTA-CAR 导入示例 ARXML、配置 WdgM 与 OS 时序保护、生成代码；第三阶段进行验证，通过故障注入与监控日志判断安全机制是否按预期触发；第四阶段完成一个综合实战项目，把监控、诊断与安全状态迁移串起来。
为了让读者对“配置对象”有具体感知，这里给出一个后续会反复使用的示例场景（参数为教学假设，非实测数据）：某 ECU 中有一个安全相关任务 Task_10ms_Safety，周期 10 ms，由 WdgM 监控。我们为其定义一个监控实体 SE_Safety，并设置两个检查点：CP_Start 在任务入口调用，CP_End 在任务出口调用。WdgM 的期望时间窗口设为 8～12 ms，即任务必须在 8 ms 之后、12 ms 之前完成一次“开始—结束”的完整循环。若连续 3 个周期未满足，则触发故障，进入安全状态。
/* 示例：WdgM 监控实体与检查点的配置意图（伪代码，非可直接编译代码） */
WdgM_Entity SE_Safety {
Checkpoint CP_Start; /* 任务入口 */
Checkpoint CP_End; /* 任务出口 */
ExpectedTimeWindow = [8ms, 12ms];
FailedCycleTolerance = 3;
ActionOnFailure = SAFE_STATE;
}
这个例子说明了一个关键点：安全监控不是“打开一个开关”，而是要把任务、检查点、时间窗口、容错次数和故障响应这些参数配置成一组自洽的约束。后续章节会逐步展开如何在 RTA-CAR 中完成这些配置，以及如何通过 RTA-OS 的时间基准和 RTA-BSW 的 Dem 模块记录故障。
实战项目目标
课程结束时，读者应当能够独立完成以下任务：在一个基于 RTA 的示例工程中，为一个安全相关任务配置 WdgM 监控实体与检查点；设置合理的时序窗口与容错策略；通过 RTA-OS 的时序保护补充任务级监控；使用 Dem 记录监控故障并触发安全状态；最后通过故障注入验证监控路径的有效性。这个项目不追求覆盖所有安全机制，而是确保读者走通“配置—生成—运行—观察—判断”的完整闭环。