📚 课程目录第4章 AUTOSAR OS核心机制

4. AUTOSAR OS 核心机制：OS-Application、Trusted/Non-trusted 功能、保护机制

各位同学，今天我们聊点硬核的。AUTOSAR OS 里最核心、也最容易让人迷糊的一块——OS-Application 与保护机制。说白了，就是怎么让多个功能安全地跑在一个核上，不出乱子。

我刚开始接触 AUTOSAR 时，觉得这玩意儿不就是个 RTOS 嘛，加了个壳。直到我在一个项目里，因为一个非 trusted 任务非法写内存，导致整个系统静默崩溃，客户的车在测试场上直接黑屏……嗯，从那以后，我才真正理解了这套保护机制的价值。

4.1 OS-Application：隔离的基本单元

OS-Application 是什么？你可以把它想象成一个“安全容器”。每个 OS-Application 内部可以包含若干个任务、中断服务程序（ISR）、计数器、调度表等对象。

关键点在于：不同 OS-Application 之间的资源是隔离的。一个 App 里的任务不能随便访问另一个 App 里的全局变量，除非你显式配置了跨 App 访问。

核心概念：OS-Application 是 AUTOSAR OS 中资源分组与保护的基本单位。每个 OS-Application 拥有独立的内存空间视图和时间预算。

我个人习惯把 OS-Application 分为两类：

Trusted OS-Application：运行在特权模式，可以访问所有内存，不受时间保护限制。通常放基础软件（BSW）模块。
Non-trusted OS-Application：运行在用户模式，受内存保护和时间保护限制。通常放应用层软件（SWC）。

特性	Trusted OS-Application	Non-trusted OS-Application
运行模式	特权模式（Supervisor Mode）	用户模式（User Mode）
内存访问	无限制	受 MPU 限制
时间保护	不适用	受监控，超时触发保护动作
典型用途	OS 内核、BSW、通信栈	应用 SWC、标定数据
错误影响范围	可能导致整个系统崩溃	仅影响本 Application

你想想看，如果所有代码都跑在特权模式，一个野指针就能把整个系统干翻。Non-trusted 机制就是给应用层加了个“笼子”，让它犯错也翻不出大浪。

4.2 Trusted / Non-trusted 功能：谁可以信任？

Trusted 和 Non-trusted 的划分，本质上是信任边界的划分。系统启动时，OS 会为每个 OS-Application 分配一个信任等级。

这里有个容易踩的坑：Trusted 并不意味着“安全”。它只是说“这个 Application 被信任可以访问全部资源”。如果 Trusted Application 本身有 bug，后果更严重。我曾经在一个项目中，把整个 BSW 都配成了 Trusted，结果一个通信栈的内存泄漏直接带崩了所有应用任务。后来我学乖了，Trusted 范围能小就小。

实战建议：尽量把 Non-trusted 作为默认选项。只有那些确实需要直接操作硬件寄存器、访问系统全局表的核心模块，才设为 Trusted。比如：OS 本身、EcuM、BswM。

Trusted 和 Non-trusted 之间的交互，通过 Trusted Function 实现。Non-trusted 任务不能直接调用 Trusted 服务，必须通过系统调用（Trap）进入内核态，由 OS 代为执行。

/* 伪代码示例：Non-trusted 任务调用 Trusted Function */
/* 用户代码 */
void AppTask(void) {
    /* 不能直接写硬件寄存器 */
    /* 必须通过 OS 提供的 API */
    StatusType status = CallTrustedFunction(MyTrustedFunc_ID, &param);
    /* 如果 MyTrustedFunc 试图访问非法内存，OS 会拦截 */
}

这个机制保证了：即使 Non-trusted 任务传了一个野指针给 Trusted Function，OS 也能在切换上下文时检查参数合法性，阻止非法访问。

4.3 保护机制：内存保护、时间保护、服务保护

AUTOSAR OS 的保护机制是三层体系：内存保护、时间保护、服务保护。我习惯叫它“三道防线”。

4.3.1 内存保护（Memory Protection）

内存保护依赖硬件 MPU（Memory Protection Unit）。每个 Non-trusted OS-Application 被分配一个或多个内存区域，MPU 会监控所有内存访问指令。

读保护：禁止 Non-trusted 任务读取其他 Application 的数据。
写保护：禁止 Non-trusted 任务篡改其他 Application 的数据或代码。
执行保护：禁止 Non-trusted 任务执行数据段中的代码（防止注入攻击）。

我记得有一次调试，一个 Non-trusted 任务总是莫名其妙地跑飞。查了两天，发现是它通过一个全局指针，写到了隔壁 Application 的堆空间。加上 MPU 配置后，这种问题一抓一个准，直接触发 Protection Hook，定位问题快多了。

注意：MPU 的粒度有限。通常最小保护区域是 32 字节或 64 字节对齐。如果你的全局变量散落在各处，可能一个保护区域会覆盖多个变量，导致误保护。建议把同一 Application 的全局变量集中放在连续的内存段中。

4.3.2 时间保护（Timing Protection）

时间保护是 AUTOSAR OS 区别于普通 RTOS 的一大特色。它监控每个 Non-trusted 任务的执行时间，防止某个任务霸占 CPU。

时间保护包含三个维度：

执行时间预算（Execution Budget）：每个任务在每个周期内的最大允许执行时间。
锁定时间预算（Lock Budget）：任务持有资源（如 Spinlock）的最大时间。
中断延迟预算（Interrupt Latency Budget）：中断被禁用的最大时间。

当某个任务超时，OS 会调用 ProtectionHook，你可以在这里记录错误、尝试恢复，或者直接终止该任务。

/* ProtectionHook 示例 */
ProtectionReturnType ProtectionHook(StatusType FatalError) {
    if (FatalError == E_OS_PROTECTION_TIME) {
        /* 时间保护违规 */
        /* 记录错误到 DET */
        Det_ReportError(OS_MODULE_ID, 0, E_OS_PROTECTION_TIME);
        /* 终止当前任务 */
        return PRO_TERMINATE_TASK_ISR;
    }
    /* 其他保护错误 */
    return PRO_TERMINATE_TASK_ISR;
}

你想想看，如果没有时间保护，一个 while 循环卡死的任务就能让整个系统失去响应。时间保护就是给每个任务上了个“闹钟”，到点就响。

4.3.3 服务保护（Service Protection）

服务保护相对简单，它检查 Non-trusted 任务是否调用了不允许的 OS 服务。比如，一个 Non-trusted 任务试图调用 TerminateApplication 来干掉其他 Application，OS 会直接拒绝并触发保护错误。

服务保护的配置在 OS 的 OsServiceProtection 表中定义。每个 OS-Application 有一个服务访问权限掩码。

4.4 保护机制的整体架构

下面这张图展示了 OS-Application、Trusted/Non-trusted 以及三层保护之间的关系。

4.5 保护机制的触发与恢复

当保护机制被触发时，OS 会调用 ProtectionHook。这个 Hook 函数是用户实现的，你可以在这里决定怎么处理。

常见的处理策略：

PRO_TERMINATE_TASK_ISR：终止违规的任务或 ISR，其他任务继续运行。
PRO_TERMINATE_APPLICATION：终止整个 OS-Application，释放其资源。
PRO_TERMINATE_APPLICATION_RESTART：终止并重启该 OS-Application。
PRO_SHUTDOWN：直接关闭整个 OS（最严重的情况）。

实战建议：开发阶段建议用 PRO_TERMINATE_APPLICATION_RESTART，这样能快速暴露问题。量产阶段建议用 PRO_TERMINATE_TASK_ISR，保证系统其他功能不受影响。我曾经在量产前把所有保护动作都改成了“仅记录+终止任务”，效果不错。

4.6 配置示例（部分）

下面是一个简化的 AUTOSAR XML 配置片段，展示了如何定义一个 Non-trusted OS-Application 及其保护参数。

<OsApplication>
  <ShortName>App_SWC_1</ShortName>
  <OsAppTrusted>false</OsAppTrusted>
  <OsAppProtection>
    <OsAppMemoryProtection>true</OsAppMemoryProtection>
    <OsAppTimingProtection>true</OsAppTimingProtection>
    <OsAppServiceProtection>true</OsAppServiceProtection>
  </OsAppProtection>
  <OsAppExecutionBudget>
    <OsAppBudgetTime>5000</OsAppBudgetTime> <!-- 单位：us -->
  </OsAppExecutionBudget>
  <OsAppLockBudget>
    <OsAppBudgetTime>1000</OsAppBudgetTime>
  </OsAppLockBudget>
</OsApplication>

这个配置定义了一个 Non-trusted Application，启用了全部三层保护，执行时间预算 5ms，锁定时间预算 1ms。