知識分享

在知識分享欄目中，我們會定期與讀者分享來自MES模賽思的基于模型的軟件開發(fā)相關(guān)Know-How干貨，關(guān)注公眾號，隨時掌握基于模型的軟件設(shè)計的技術(shù)知識。

使用MXAM進行AUTOSAR模型的靜態(tài)分析：Embedded Coder與TargetLink模型

文章內(nèi)容來源：MES模賽思官方網(wǎng)站

AUTOSAR（AUTomotive Open System ARchitecture）是由電子、半導體和軟件行業(yè)的汽車制造商、供應商和其他公司組成的全球開發(fā)合作伙伴關(guān)系。AUTOSAR標準旨在實現(xiàn)軟件標準化、可重用性和互操作性。AUTOSAR標準提供了支持當前和下一代汽車ECU（Electronic Control Unit）的開發(fā)平臺：AUTOSAR Classic Platform支持傳統(tǒng)的內(nèi)部應用，如動力總成、底盤、車身和內(nèi)飾電子設(shè)備；AUTOSAR Adaptive Platform支持新的基于服務(wù)的應用，例如自動駕駛、車聯(lián)網(wǎng)、OTA（over-the-air）等。AUTOSAR Adaptive Platform支持Classic AUTOSAR、Adaptive AUTOSAR和non-AUTOSAR ECU在單車內(nèi)的交互操作。

在過去的二十年中，AUTOSAR已成為汽車行業(yè)開發(fā)SWC（Software Component）最重要的標準之一，因為它支持在各種ECU上分布式開發(fā)和部署SWC。同時，基于模型的開發(fā)方法（Model Based Development）已成為許多行業(yè)和組織的標準開發(fā)方法，當然也包括汽車行業(yè)。在這一點上，我們不得不提到汽車行業(yè)主流建模框架（如Simulink），以及代碼生成框架（如TargetLink和Embedded Coder等），在Classic和Adaptive平臺上都集成了對AUTOSAR的支持。與此同時，當我們考慮基于模型的軟件開發(fā)或者通用的軟件開發(fā)時，必須考慮全面的模型靜態(tài)分析方法，以確保相關(guān)軟件在模型和代碼層面的質(zhì)量。

此外，軟件安全本身也是我們對汽車產(chǎn)品的一項基本要求。汽車軟件的開發(fā)同樣必須符合安全標準的相關(guān)要求，例如安全相關(guān)的汽車軟件開發(fā)必須符合ISO 26262標準。確?；谀Ｐ偷能浖|(zhì)量需要專業(yè)的質(zhì)量保證工具。例如業(yè)內(nèi)廣泛應用的工具MES Model Examiner (MXAM)，可為質(zhì)量保證提供綜合全面的靜態(tài)分析方案。在視頻“使用MXAM進行符合AUTOSAR標準的建?！闭故玖薓XAM與AUTOSAR如何協(xié)同工作以實現(xiàn)合規(guī)性。接下來，本文將提供更深入的分析。

MES模賽思的MES Model Examiner (MXAM)如何支持我們進行模型的靜態(tài)分析？

首先我們來簡要概述一下MXAM的工作流。MXAM的工作流主要包括：新建或打開一個現(xiàn)有項目，選擇模型和設(shè)置規(guī)范文檔，運行分析，查看結(jié)果，在指導下自動或手動修復違反建模規(guī)范的情況，通過注釋功能批注規(guī)范違反原因，最后保存并導出合規(guī)性報告。其具體過程詳見圖1。

圖1：MXAM執(zhí)行靜態(tài)分析的工作流

MXAM支持多種模型類型的檢查：Simulink模型、 dSPACE TargetLink模型或ASCET模型。新建或打開MXAM模型檢查項目時，可在GUI（Graphical User Interface）下自動獲取當前Simulink中處于活動狀態(tài)的模型，如圖2所示。在持續(xù)集成環(huán)境中，我們還可以通過編輯Windows或MATLAB腳本指定待測的模型工件。

圖2：MXAM待分析工件選擇

加載模型工件后，必須考慮在靜態(tài)模型分析方法中要驗證哪些規(guī)范。在MXAM項目中，規(guī)范以規(guī)范文檔的形式設(shè)置和管理。規(guī)范文檔源于行業(yè)和企業(yè)標準的建模規(guī)范。 來自MES模賽思的工具為各規(guī)范專門開發(fā)了相應的規(guī)范檢查例程。在一個功能安全相關(guān)的開發(fā)項目中，我們可以選擇與功能安全相關(guān)的MES功能安全規(guī)范。如果我們需要驗證模型與MISRA規(guī)范的一致性，可以設(shè)置MISRA SLSF規(guī)范文檔，或者如果我們使用TargetLink作為代碼生成器，那么就需要選用dSPACE TargetLink建模規(guī)范中的相關(guān)規(guī)范。除了MXAM提供的行業(yè)和企業(yè)標準建模規(guī)范集，我們應根據(jù)項目的實際要求合理選擇、設(shè)置或自定制企業(yè)或部門專用的規(guī)范文檔，如圖3所示。

圖3：編輯設(shè)置自定義規(guī)范文檔

此外，關(guān)于如何選擇或自定義規(guī)范，MXAM提供了高效的規(guī)范文檔創(chuàng)建助手，幫助我們根據(jù)模型工作環(huán)境和項目需求快速創(chuàng)建專屬的規(guī)范文檔，為企業(yè)和部門層面的管理和引用提供支持，如圖4所示。

圖4：自定義規(guī)范文檔創(chuàng)建助手

運行分析前，如有必要，我們還可作進一步的模型設(shè)置，如設(shè)置當前項目檢查規(guī)范，如圖5所示。

圖5：設(shè)置當前項目檢查規(guī)范

再如當模型的某些模型組件或模型要素與所分析的軟件無關(guān)時，我們可以通過添加并設(shè)置忽略列表，選擇性地將某些模型要素忽略在某規(guī)范集的分析之外，如圖6所示。

圖6：設(shè)置忽略列表

此外，通過恰當?shù)膮?shù)設(shè)置，如圖7所示，我們可以更靈活地運用MXAM提供的自動化規(guī)范檢查例程，滿足特定項目對定制參數(shù)的模型檢查需求。

圖7：MXAM的可定制參數(shù)設(shè)置

完成規(guī)范集和相應參數(shù)配置后，通過MXAM工具界面中的分析按鈕、Simulink窗口的菜單欄或模型上下文中的MXAM命令，可進行靜態(tài)分析。在未啟動MXAM工具的情況下，我們還可以通過運行MATLAB腳本或Windows批處理腳本，進行批處理模式下的模型或工件的靜態(tài)分析。如圖8所示，MXAM通過GUI和腳本命令行，高度智能化地集成在MATLAB中，從而實現(xiàn)MXAM與MATLAB間的快捷互操作。

圖8：MXAM在MATLAB中的智能集成

分析結(jié)束后，即得到分析報告。分析報告為我們提供了總體分析的概覽以及各部分內(nèi)容的詳細描述，包括MXAM項目中所分析模型對相應設(shè)置的規(guī)范集的所有一致性結(jié)果及其完整信息。對于報告中的違規(guī)項，我們可以使用MXAM的自動修復功能自動更正模型，確保我們所建立的模型符合規(guī)范集和自定義參數(shù)設(shè)定的要求，如圖9所示。

圖9：互動式報告與自動修復

此外，MXAM提供的注釋功能可與標準評審流程無縫集成，支持項目中模型的評審和偏差接受機制，如圖10所示。

圖10：MXAM注釋與評審機制

然后，我們保存并導出報告或重新運行分析，直至最后得到完善的模型，并能根據(jù)不同需求導出對應格式的報告，如圖11所示。

圖11：靈活的報告輸出

按照上述的工作流程，MXAM可為AUTOSAR模型審查和優(yōu)化提供高效支持，尤其對于大型和復雜的Simulink/TargetLink AUTOSAR模型系統(tǒng)。當我們使用Embedded Coder或TargetLink作為代碼生成器時，MXAM是如何支持我們進行AUTOSAR軟件模型開發(fā)過程的呢？

首先，SWC和Runnable是使用子系統(tǒng)建立AUTOSAR模型的基礎(chǔ)，SWC/Runnable在Simulink中建模為子系統(tǒng)。例如，如果我們使用TargetLink建立AUTOSAR 模型，圖12的示例給出了TargetLink模型中的部分內(nèi)容，一個AUTOSAR SWC包括若干子系統(tǒng)和一些接口設(shè)置，在子系統(tǒng)中定義Runnable算法并添加TargetLink Function模塊，將子系統(tǒng)設(shè)置為AUTOSAR Runnable，這就是TargetLink創(chuàng)建AUTOSAR Runnable的方式。另一方面，對于Embedded Coder，我們通常使用原子子系統(tǒng)或Function調(diào)用子系統(tǒng)來進行周期性或非周期性的AUTOSAR Runnable建模。 這里我們主要關(guān)注由子系統(tǒng)對AUTOSAR Runnable進行建模的用例。

圖12：SWC/Runnables建模

AUTOSAR字典給出了模型與AUTOSAR設(shè)置之間的關(guān)聯(lián)。 對于TargetLink，AUTOSAR設(shè)置包含在標準的TargetLink數(shù)據(jù)字典中，Simulink支持專用的AUTOSAR字典，通過AUTOSAR字典，我們可以設(shè)置和分解SWC或Runnable項，以及接口設(shè)置、應用或?qū)崿F(xiàn)數(shù)據(jù)類型的設(shè)置。

兩種代碼生成器都支持往返機制，即如果在模型中導入AUTOSAR描述文件（ARXML），例如SWC描述，則可以生成框架模型或更新當前模型。相反，一個SWC Runnable的模型更改后，可以更新對應SWC的描述。

在使用Embedded Coder開發(fā)模型時，對自動生成的模型部分執(zhí)行靜態(tài)測試可能會導致大量時間和資源的浪費。MXAM v10.0已擴展了分析參數(shù)（見圖13）。如果該參數(shù)設(shè)置為"True"，MXAM將僅分析可運行子系統(tǒng)內(nèi)的模型元素。

圖13：全局分析參數(shù)“Global.AnalyzeAutosarRunnablesSubsystemsOnly”

在開發(fā)AUTOSAR模型的過程中，工程師通常使用ARXML文件啟動模型生成和框架構(gòu)建。因此，系統(tǒng)會自動生成多個層級的結(jié)構(gòu)和附加文件。然而，自動生成的模型部分并不一定需要進行靜態(tài)測試，因為它們必須遵循預定義的AUTOSAR結(jié)構(gòu)。對這些固定部分執(zhí)行靜態(tài)測試將消耗不必要的時間和精力。 新的全局參數(shù)使工程師能夠僅分析AUTOSAR Runnables內(nèi)的模型和函數(shù)，從而使開發(fā)者能夠?qū)⒛Ｐ头治鲋攸c放在特定應用和可修改的部分上，顯著提高效率并節(jié)省寶貴時間。

以上的設(shè)置方法屬于靜態(tài)的設(shè)置，我們也可以采取動態(tài)的方法來搜索相關(guān)工件對象并運行分析。為此，我們需要確定一些常見的標識符表征的鏈接。這也相當容易，因為我們只需搜索Runnable的Function模塊，如使用Simulink API，然后可以自動找到與我們的分析相關(guān)的子系統(tǒng)，只需分析模型中實際對應于Runnable子系統(tǒng)的那些要素即可。

上面的示例內(nèi)容是關(guān)于MXAM如何支持TargetLink的AUTOSAR建模。接下來，讓我們具體看看MXAM如何支持使用Embedded Coder開發(fā)SWC模型。

在Embedded Coder中，系統(tǒng)目標文件被設(shè)置為autosar.tlc或autosar_adaptive.tlc，為AUTOSAR用例啟用代碼生成，作為Embedded Coder提供的標準ERT系統(tǒng)目標文件的擴展設(shè)置，如圖14所示。這里可以看到兩個在生成SWC ARXML描述文件方面影響AUTOSAR代碼生成的選項：啟用AUTOSAR編譯器抽象宏，使生成的代碼以獨立于平臺的方式抽象16位平臺的編譯器指令；最后一個選項為確定軟件是否通過將矩陣實現(xiàn)為一維數(shù)組來支持根級的矩陣輸入輸出。

圖14：Embedded Coder AUTOSAR代碼生成設(shè)置

通常在項目中，我們希望這些代碼生成選項的設(shè)置保持一致。當然，這些統(tǒng)一性設(shè)置也適用于AUTOSAR代碼生成選項。MXAM怎樣支持我們呢？MXAM通過提供檢查項mes_cgec_9004來檢查代碼生成選項中相關(guān)設(shè)置的一致性。其檢查的原理是通過附帶的一個專用的自動檢查項來查看Excel列表中的所有代碼生成選項的預設(shè)值，特別是對于AUTOSAR相關(guān)設(shè)置項，并將模型的值與此Excel工作表中的給定值進行比較。如果發(fā)現(xiàn)不一致，MXAM會報告失敗結(jié)果，并可應用自動修復功能。相關(guān)選項的預設(shè)屬性值可以根據(jù)具體項目需求進行設(shè)置。

圖15：AUTOSAR Blockset中的模塊

我們需要了解的重要信息是：MXAM支持AUTOSAR模塊用于應用軟件模型到代碼生成的過程，特別是對于AUTOSAR庫例程中的查表庫。進一步查看Simulink自帶的AUTOSAR模塊庫，如圖15所示，這些用于AUTOSAR額外封裝的查表例程模塊主要包括曲線查表，曲線預查表，映射查表和映射預查表等。代碼生成時，AUTOSAR例程將替換這些庫模塊。

模塊的屬性設(shè)置會對AUTOSAR代碼產(chǎn)生直接的影響，如果查看這些模塊的相應屬性，如圖16所示，那我們會發(fā)現(xiàn)這些是查表模塊庫中帶封裝和對話框的標準模塊，并且封裝與模塊參數(shù)之間數(shù)據(jù)類型得以同步。MXAM支持正確讀取相應模塊屬性， 可完全支持Simulink的AUTOSAR查表庫例程模塊集的代碼生成過程。

圖16：AUTOSAR模塊集的查表模塊屬性

在Embedded Coder的情況下，Simulink使用右側(cè)描述的數(shù)據(jù)類型，與AUTOSAR平臺類型之間存在固定映射關(guān)系。如表1所示。

表1：Simulink模型數(shù)據(jù)類型和AUTOSAR平臺類型之間的映射

因此在Embedded Coder的代碼生成框架下，MXAM并不需要區(qū)分AUTOSAR和non-AUTOSAR模型，這對于數(shù)據(jù)類型一致性的檢查等實施場景非常重要。比如對于MAB規(guī)范檢查項na_0002，布爾量信號的端口只能用布爾量信號而不是數(shù)值信號來饋送。 現(xiàn)在，這條規(guī)范在MXAM中已經(jīng)集成為標準庫的規(guī)范，MXAM完全支持Embedded Coder中AUTOSAR代碼生成過程中的數(shù)據(jù)類型映射機制，其描述如圖17所示。

圖17：Embedded Coder平臺AUTOSAR/non-AUTOSAR模型代碼生成數(shù)據(jù)類型映射

在TargetLink模型框架下，TargetLink AUTOSAR模塊庫用于AUTOSAR代碼生成。TargetLink AUTOSAR模塊庫（圖18）中我們可以看到通用的接口，輸入/輸出端口和總線、TargetLink數(shù)據(jù)存儲模塊、TargetLink Runnable模塊、SWC接收方端口和發(fā)送方端口模塊等。此外，還有接收方和發(fā)送方comSpeck模塊，用來與RTE（Run-Time Environment）進行仿真交互。 MXAM支持TargetLink AUTOSAR模塊庫中的模塊用于Classic和Adaptive平臺的應用開發(fā)。

圖18：TargetLink AUTOSAR模塊庫

TargetLink的AUTOSAR用例方法與Embedded Coder略有不同，TargetLink允許從同一個模型為AUTOSAR和non-AUTOSAR用例生成代碼。 我們可以理解為TargetLink AUTOSAR庫中所有相關(guān)模塊接口設(shè)置包含兩個層面，如輸入/輸出端口模塊和數(shù)據(jù)存儲模塊的接口設(shè)置中包含標準的輸出端口的接口設(shè)置和AUTOSAR接口設(shè)置，我們還可以看到這些模塊中的數(shù)據(jù)設(shè)置也有所不同。例如圖19中的AUTOSAR模塊設(shè)置，開發(fā)人員已經(jīng)選擇了使用平臺數(shù)據(jù)類型如int16，以及固定的LSB（Least Significant Bit）。

圖19：AUTOSAR模塊設(shè)置

同時，如圖20中non-AUTOSAR設(shè)置標簽下，設(shè)置了不同的數(shù)據(jù)類型和縮放比例。 總而言之，在TargetLink AUTOSAR和non-AUTOSAR情形下可以并行指定數(shù)據(jù)，當然，這些指定的數(shù)據(jù)可能不同。

圖20：標準模塊設(shè)置

靜態(tài)分析工具MXAM如何處理這些AUTOSAR模塊？事實上，MXAM會自動區(qū)分AUTOSAR和non-AUTOSAR用例，并且MXAM分析模塊數(shù)據(jù)設(shè)置或用于靜態(tài)分析的決策基于AUTOSAR代碼生成模式和所分析的模塊的AUTOSAR設(shè)置。如圖21所示，TargetLink主對話框中設(shè)置的代碼生成模式為Classic AUTOSAR。

圖21：TargetLink主對話框中代碼生成模式設(shè)置

如圖22中所示的相應模塊的AUTOSAR模式設(shè)置，這兩處設(shè)置都必須針對AUTOSAR進行，以便MXAM可采用相應的AUTOSAR設(shè)置。在其他情況下，我們希望盡量保持與標準代碼生成的一致性。對于標準用例，MXAM會自動采用輸出端口設(shè)置的模塊數(shù)據(jù)。

圖22：模塊的AUTOSAR模式設(shè)置

圖23：Product模塊關(guān)于MAB na_0002規(guī)范的一致性

這里我們介紹一個簡單的例子。對于MXAM規(guī)范庫中的na_0002規(guī)范，規(guī)范要求邏輯信號不得連接到對數(shù)值信號操作的模塊。例如圖23中的Product模塊，按照規(guī)范要求，該模塊的第一端口應滿足端口信號須為數(shù)值信號。然而，由于在源信號的設(shè)置中，總線輸入模塊的設(shè)置成了布爾信號（如圖23-26所示），因此違反了該規(guī)范。在MXAM中進行靜態(tài)分析，獲得的結(jié)果會有所不同，具體取決于我們在模型中設(shè)置的代碼生成模式類型。

圖24：Product模塊輸入源信號的輸出端口類型設(shè)置

圖25：輸入源信號的AUTOSAR端口設(shè)置

圖26：TargetLink主對話窗代碼生成模式設(shè)置為Standard

讓我們再深入檢查相關(guān)設(shè)置：在這里有uint16定義。

如果設(shè)置為標準模式，同時將相應信號提供端口設(shè)置為布爾類型時，就會出現(xiàn)違反na_0002規(guī)范要求的情況，如圖27所示。 通過使用靜態(tài)分析工具MXAM運行檢查，報告中得到違規(guī)項結(jié)果如圖：端口應由數(shù)值信號輸入，但實際被設(shè)置為布爾值。

然而，在TargetLink主對話窗口設(shè)置為AUTOSAR模式的情況下，如圖28所示，這是沒問題的，結(jié)果如圖29所示。

圖27：TargetLink主對話窗代碼生成模式設(shè)置Standard時MXAM規(guī)范na_0002的檢查結(jié)果

圖28：TargetLink主對話窗代碼生成模式設(shè)置為AUTOSAR

圖29：TargetLink主對話窗口設(shè)置為AUTOSAR模式時MXAM規(guī)范na_0002的檢查結(jié)果

如果還記得有關(guān)Embedded Coder代碼生成選項的設(shè)置內(nèi)容，那么對于TargetLink的設(shè)置也是類似的。如圖30中所示，Classic AUTOSAR平臺的TargetLink代碼生成選項的相關(guān)設(shè)置會影響RTE API調(diào)用方式。所以在TargetLink代碼生成之前對相關(guān)Runnable進行接口設(shè)置的檢查顯得尤其重要。

圖30：Classic AUTOSAR代碼生成模式下的嚴格接口檢查設(shè)置

此外，實際項目中可能具有對代碼生成設(shè)置項的特定設(shè)置要求，自動檢查例程可通過MXAM庫中的規(guī)范mes_cgtl_9002檢查所需的預設(shè)值，相關(guān)設(shè)置項的自定義設(shè)置可參看規(guī)范中描述的Excel參數(shù)表附件，如圖31所示。當然，對于Simulink/Embedded Coder，我們會看到類似的參數(shù)表。

圖31：TargetLink參數(shù)設(shè)置檢查表

對于AUTOSAR模型的靜態(tài)分析的問題，我們在此做個小結(jié)。首先，模型靜態(tài)分析工具如MXAM的應用可高效地支持Adaptive和Classic AUTOSAR模型的快速分析。其次，無論是TargetLink AUOTSAR模型還是Embedded Coder AUTOSAR模型，MXAM都能支持從AUTOSAR模型到代碼的靜態(tài)分析過程。特別對于TargetLink存在不同的設(shè)置，區(qū)分AUTOSAR和non-AUTOSAR的情況，不同模塊的適用數(shù)據(jù)直接基于AUTOSAR設(shè)置。如果我們已經(jīng)為AUTOSAR代碼生成設(shè)置了模型 ，則MXAM采用AUTOSAR設(shè)置，如果沒有進行相應的代碼生成設(shè)置，模型默認采用標準設(shè)置。最后，我們可以通過設(shè)置MXAM自帶的工具配置參數(shù)表，進行項目代碼生成選項設(shè)置的自動化檢查與設(shè)置修正。

總而言之，在模型開發(fā)早期引入工具MXAM，可以幫助我們在模型開發(fā)過程中及早發(fā)現(xiàn)模型的錯誤并加以修正。對于需要特殊配置的AUTOSAR模型，及早發(fā)現(xiàn)模型中的配置錯誤并自動修正，可以極大地提高模型開發(fā)的效率，保障模型到生成的代碼質(zhì)量，以及符合ISO 26262功能安全標準的一致性要求。