AUTOSAR_SWS_E2ELibrary规范

E2E保护的概念假定安全相关的数据交换应该受到保护，以防止通信链路内部故障的影响（参见图1-1）。这些故障的例子包括随机硬件故障（例如CAN转换器的寄存器损坏）、干扰（例如由于电磁兼容性）以及实现VFB通信的软件中的系统性故障（例如RTE、IOC、COM和网络协议栈）。

通过使用E2E通信保护机制，可以在运行时检测和处理通信链路中的故障。E2E库提供了适用于具有高达ASIL D要求的安全相关通信的E2E保护机制。

保护机制的算法是在E2E库中实现的。调用E2E库的程序负责正确使用该库，特别是提供正确的参数给E2E库例程。

E2E保护允许以下操作：
1.它通过附加控制数据来保护要通过RTE发送的安全相关数据元素（发送），
2.它使用这些控制数据验证从RTE接收到的安全相关数据元素（接收），
3.它指示接收到的安全相关数据元素有故障，需要由接收方软件组件进行处理。
在实际的通信中，安全相关的数据往往需要经过一系列的处理和传输才能到达其目的地。在这个过程中，可能会发生各种故障，如数据丢失、篡改、延迟等，从而影响系统的安全性和可靠性。E2E保护机制通过添加控制数据（如序列号、时间戳、校验和等）来保护安全相关的数据，在传输过程中验证其完整性和顺序，并检测和处理通信链路中的错误，从而提高安全性和可靠性。
具体来说，E2E保护机制通过以下三个步骤实现对安全相关数据的保护和验证：
在发送端，E2E保护机制会将安全相关数据元素与控制数据一起打包成一个数据包，然后通过RTE发送出去。
在接收端，E2E保护机制会对接收到的数据包进行解包，并验证其中的安全相关数据元素是否完整、顺序正确等，如果验证失败，则表示该数据包有故障。
当接收方发现数据包有故障时，E2E保护机制会通过错误码或异常等方式将错误信息传递给接收方软件组件，由其来处理故障。
因此，通过使用E2E保护机制，系统可以实现对安全相关数据的可靠传输和保护，从而提高系统的安全性和可靠性。

为了提供适当的解决方案，以解决灵活性和标准化的问题，AUTOSAR规定了一组灵活的E2E配置文件，用于实现适当的E2E保护机制的组合。每个指定的E2E配置文件都具有固定的行为，但它具有一些配置选项，可通过功能参数（例如CRC在与要保护的数据相关的位置）进行配置。

这句话指出了调用E2E库的三种方式：E2E Transformer，E2E Protection Wrapper，COM E2E Callout
E2E Transformer：这是一种新的、标准化的调用E2E库的方式，它在R4.2.1版本中引入。E2E Transformer提供了一个统一的接口，使得调用E2E库变得更加规范和统一。
E2E Protection Wrapper：这是另一种调用E2E库的方式，可能是一个封装了E2E保护机制的模块或组件，通过调用E2E库来实现相应的功能。
COM E2E Callout：这是第三种调用E2E库的方式，可能是基于COM技术的一种调用接口或机制，用于触发E2E库的相关功能。
这些不同的调用方式为开发人员提供了灵活性和选择的空间，可以根据实际需求和系统架构选择合适的方式来调用E2E库，以实现数据的端到端保护机制。

无论E2E在何处执行，E2E保护都是针对数据元素的。E2E保护是针对数据元素序列化表示进行的，其比特布局与传输总线上的布局相同。这意味着：
1.如果使用E2E Transformer，序列化是由E2E Transformer上面的一个Transformer（基于COM或Some/IP的transformer）执行的。
2.如果使用E2E Protection Wrapper，需要将数据元素序列化为对应信号组的序列化形式（Wrapper创建了代表信号组的I-PDU的一部分，同时也表示了数据元素）。
3.如果使用COM调用，序列化是由通信栈（RTE、COM）执行的，因此调用直接操作I-PDU中的序列化信号组。

一个数据元素（以及对应的信号组）要么完全受到E2E保护，要么没有受到保护。无法对其部分进行保护。

一个I-PDU可能携带多个数据元素（以及对应的信号组）。可以独立地对其中的一部分数据元素进行E2E保护。

仅仅使用E2E库是不足以满足ASIL D级别要求，以实现安全的E2E通信。用户本身负责证明所选择的配置文件能够提供足够的错误检测能力，以适应考虑到的网络条件（例如通过评估硬件故障率、比特错误率、网络中节点数量、消息的重复率以及网关的使用情况）。

E2E Library

Data ID: 数据标识符，用于唯一标识消息/数据元素/数据。

Repetition: 信息的重复（见4.3.3.1）。

Loss: 信息的丢失（见4.3.3.2）。

Delay: 信息的延迟（见4.3.3.3）。

Insertion: 信息的插入（见4.3.3.4）。

Masquerade: 伪装（见4.3.3.5）。

Incorrect addressing: 信息的地址错误（见4.3.3.6）。

Incorrect sequence: 信息的顺序错误（见4.3.3.7）。

Corruption: 信息的损坏（见4.3.3.8）。

Asymmetric information: 发送者向多个接收者发送的非对称信息（见4.3.3.9）。

Subset: 发送者发送但只有接收者的一个子集接收到的信息（见4.3.3.10）。

Blocking: 阻塞对通信通道的访问（见4.3.3.11）。

软件故障
像通信协议栈模块和RTE（运行时环境）这样的软件可能包含系统性质的故障。
系统性故障可能出现在系统的任何生命周期阶段，包括规格、设计、制造、运营和维护，并且它们将在相同的条件下（例如，根本原因的触发条件）始终出现。软件故障的后果可能导致通信中断发送数据，接收方的溢出（例如，缓冲区溢出）或发送方的欠流（例如，缓冲区为空）。为了防止（或处理）由此引起的故障，必须考虑适当的技术措施来检测和处理此类故障（例如，程序流程监控或E2E机制）。

随机硬件故障
随机硬件故障通常是硬件部件电气过载、退化、老化或暴露于外部影响（例如，环境应力）的结果。
无法完全避免随机硬件故障，但可以评估其概率并实施适当的技术措施（例如诊断）。

外部影响，环境应力
这包括电磁干扰（EMI）、静电放电（ESD）、湿度、腐蚀、温度或机械应力（例如振动）等影响。
这些外部因素可能对硬件设备产生负面影响，因此在设计和操作中需要考虑这些因素，并采取相应的保护措施以减少这些影响带来的潜在风险。

信息重复

信息丢失

信息延迟

插入信息

冒充

错误的寻址

信息顺序错误

信息损坏

发送方向多个接收方发送的非对称信息

接收方的子集只接收到发送方的信息

阻止访问通信通道

由于这些错误码不会通过总线传输，因此它们之间不需要满足Hamming distance的要求。
Hamming distance通常用于检测和纠正通过通信信道传输的数据中的错误。这些错误码主要用于在开发过程中标识和处理错误，而不是进行数据传输。

这段话的意思是，范围在0x80到0xFE之间的数值被预留给供应商在AUTOSAR配置文件中使用，并为其定义特定的返回值。

这段话说明了在SWS E2E中并没有规定程序流监控的具体使用范围，比如要使用多少个检查点。这取决于实际实施者，但是应该考虑ISO 26262标准中的要求。ISO 26262指出对于ASIL C/D等级的系统，强烈建议进行控制流监控，对于ASIL B等级的系统则建议进行控制流监控。如果某个具体的实现采用了程序流监控，那么应该使用错误码E2E_E_INTERR来指示内部库错误。

这段话指出了一个使用案例（UC_E2E_00313），要求调用E2E函数E2E_PXXProtect()和E2E_PXXCheck的调用者，根据SWS_E2E_00047中定义的错误/状态处理列来处理错误或状态。并且引用了相关的需求标识（SRS_E2E_08528）。

换句话说，E2E库本身不为其定义任何集成错误，也不调用DEM或DET。然而，E2E库的调用者使用E2E函数的返回值，并进行相应的错误处理。

子主题

子主题

子主题

子主题

子主题

E2E_P01Protect函数是用于对要发送的数据进行E2E保护处理的一个函数。它通过计算校验和、处理计数器和数据ID等步骤，确保数据的完整性和可靠性，并更新保护状态信息。

根据规范，E2E_P01ProtectInit函数用于初始化E2E保护状态结构。

具体要求如下：
1.如果State参数为NULL（即指向保护状态结构的指针为空），则函数应该立即返回错误码E2E_E_INPUTERR_NULL。这表示输入参数错误，无法执行初始化操作。
2.如果State参数不为空，则函数应该将保护状态结构进行初始化，将计数器的值设置为0。这意味着在开始使用E2E保护机制之前，需要将计数器重置为初始值。
通过这样的初始化操作，可以确保在使用E2E保护机制时，保护状态结构的正确性和一致性，以及计数器的准确计数。

E2E_P02Protect函数是用于对要发送的数据进行E2E保护处理的一个函数。
它通过计算校验和、处理计数器和数据ID等步骤，确保数据的完整性和可靠性，并更新保护状态信息。

根据规范，E2E_P02ProtectInit函数用于初始化E2E保护状态结构。

具体要求如下：
1.如果State参数为NULL（即指向保护状态结构的指针为空），则函数应该立即返回错误码E2E_E_INPUTERR_NULL。这表示输入参数错误，无法执行初始化操作。
2.如果State参数不为空，则函数应该将保护状态结构进行初始化，将计数器的值设置为0。这意味着在开始使用E2E保护机制之前，需要将计数器重置为初始值。
通过这样的初始化操作，可以确保在使用E2E保护机制时，保护状态结构的正确性和一致性，以及计数器的准确计数。