5.1 开发流程

5.1 开发流程

本节摘要：AUTOSAR 方法论是一套以模型为中枢、接口为契约、配置为驱动、生成为落地的工程范式。它把系统“要什么”、ECU“放哪里”、组件“怎么实现”切开，并用可验证的转换连回去。读完应能画出从系统描述到可烧录软件的漏斗，并说明静默妥协为何被禁止。

上手前先明确

阅读完本节，你应当能够：

1. 对照传统烟囱开发和契约化流程的差异。
2. 在变更发生时判断该改系统层还是 ECU 层。
3. 解释 ECU 提取与双向追溯。
4. 把生成和测试接进同一条证据链。

一、从手工錾刻到契约编译

联盟成立前后，控制器供应商基于私有板级包定制，主机厂用手写链接脚本捏模块，一次信号长度调整可能牵动多家内存映射。开发像匠人在铜板上錾刻：精妙，不可复制。方法论要解构的就是这种精妙。它第一次把分离关注点写成刚性边界。

系统层关注 What：功能如何分布，信号或服务如何交互，时序如何约束，安全如何分区。ECU 层关注 Where：哪些功能落在哪颗芯片，资源如何分配，通信如何路由，诊断如何接入。组件层关注 How：算法如何封装，端口行为如何定义，运行时如何抽象。三层不是单向瀑布。系统改了通信矩阵，ECU 提取必须更新；ECU 发现资源不够，应反馈系统重新分配，而不是在 ECU 里偷偷改语义。

关键句：转换不可随意逆推，但必须可验证。从系统设计导出某 ECU 的提取，提取要能通过端口无悬空、拓扑合法一类检查。若 ECU 的基础软件配置违反系统通信矩阵，生成器应报错，而不是静默生成“差不多能跑”的代码。差不多能跑是烟囱时代的美德，是标准时代的事故。

图：从系统到 ECU 的漏斗

二、一次变更走哪一层

车速分辨率要提高。若只改某个应用里的移位运算，其他消费者仍按旧比例解释，仪表会骗人。正确路径：系统层改数据类型和换算，传播到所有相关端口，ECU 重新生成通信配置和 RTE。看起来慢，语义不会裂。

某 ECU RAM 不够。错误路径：删掉几个“看起来不重要”的诊断事件。正确路径：反馈系统，减少部署在这颗 ECU 上的组件，或裁剪服务模块，并更新提取。诊断覆盖率是安全证据，不是内存调节阀。

刷写要加签名。这是信息安全需求，应进入系统安全概念和诊断/加密配置，而不是在引导程序里塞一段私有校验然后忘了写进描述。证据链从需求到配置到测试，才能在审核时讲出来。

三、并行与责任切分

方法论让芯片厂、基础软件供应商、算法团队、主机厂可以并行：接口先冻结，实现后填。并行的前提是提取和生成可重复。同一份描述在两家工具上若得到不同句柄分配，生态就裂了。所以 5.3 会强调输入输出契约。流程上则要求：冻结点写进项目计划，冻结后改接口走变更控制，而不是口头“加一个字节”。

V 模型左支是分解，右支是验证。方法论并不废除测试，它要求测试向量能指向描述中的端口和时序，而不是指向某次手改的二进制。虚拟 ECU 仿真吃的是同一份提取。仿真过了实车不过，优先查硬件和未建模中断，而不是立刻宣布标准栈不可信。

⚠️ 常见坑：把方法论理解成“必须先画完全车再写一行算法”。契约先行允许算法在桩上并行，只是桩要来自描述。
💡 关键直觉：生成器报错是朋友。它拦住的是语义裂缝，不是进度。

四、和 Adaptive 流程的衔接

Adaptive 多了清单、服务接口、应用包。漏斗仍然在：整车服务架构属于系统层，某个中央计算单元上跑哪些应用属于 ECU 或机器层，应用内部属于组件层。不要为 Adaptive 另起一套完全不互通的流程文档，否则混合网关两侧的数据类型会再次失联。Foundation 的接口描述应成为两套流程的交卷格式。

成熟期（约 2010 年代）行业把方法论从设计原则推到工程流水线，价值从理论正确转向量产可靠。今天失败更多发生在执行：描述版本混乱、工具解释偏差、安全项靠人工看。第 7.3 节会把这些挑战摊开。本节先把理想漏斗画对，才知道现场歪在哪一段。

五、冻结点、提取检查和虚拟验证

接口冻结点应写进项目计划：某里程碑之后改端口走正式变更，包含时序和安全重评。口头加一个字节，是集成阶段占比高企的种子。Elektrobit 调研里集成可占到约百分之四十一，其中大部分是接口而不是算法。冻结不是为了官僚，是为了让并行的算法团队和栈团队有同一张桌子。

ECU 提取必须可检查：悬空端口、违反系统矩阵、安全等级冲突，生成器应失败。失败是朋友。虚拟 ECU 吃同一份提取，在实验室跑周期和故障注入。仿真绿只证明描述自洽，不证明模拟前端噪声。仿真红优先查提取是否过期。实车红优先查是否烧了同一生成物。顺序反了，对照实验会被破坏，接下来只能靠换版本碰运气。那不是方法论，是赌博。

问题：算法能不能在描述冻结前先写？

可以在桩上并行，桩要来自描述，哪怕是第一版不完整描述。完全不描述就写算法，端口会在代码里长出来，再反向补描述，描述会变成代码的影子。影子描述无法当单一真相源。契约先行允许不完美的第一版接口，不允许没有接口的第一版代码。不完美可以变更；没有只能考古。考古就是集成占百分之四十一的那种现场。

变更走源头是方法论里最不受欢迎也最省钱的规则。车速比例改了，应改系统层数据类型并传播，而不是改某个应用的移位。RAM 不够，应反馈部署或裁剪，而不是删诊断事件当调节阀。刷写加签名，应进入安全概念和诊断加密配置，而不是只在引导程序里塞一段私有校验。三条反例有同一结构：在错误的层做局部正确的事。局部正确会通过当天的测试，毁掉明年的追溯。追溯毁掉之后，召回分析只能说“软件问题”，说不出是哪一份契约被私下改写。说不出契约，就无法防止下一辆车重复。重复的召回比一次生成器报错昂贵得多。生成器报错让人难堪几分钟；召回让人难堪几年。难堪的单位不同，选择却发生在同一天下午：要不要关掉校验先跑通。下午的选择决定年份的叙事。叙事若总是“先跑通”，坐标系会在叙事里提前退役。

冻结点要有日期和范围：哪些端口、哪些数据类型、哪些时序。范围之外允许并行试验，范围之内改动走变更。变更必须带安全重评开关。开关不是官僚，是防止“加一个字节”把无效编码挤掉。挤掉无效编码，功能安全的检测分子会消失，消失不会在当天测试亮灯，会在分析覆盖率时亮灯。亮灯太晚，字节已经进了三家供应商。三家一起改，周期就是那百分之四十一。百分之四十一里有很大一块是未冻结的善意。善意需要门禁。门禁设在提取检查：悬空端口、违反矩阵、等级冲突，生成失败。失败让人难堪。难堪几分钟，换几年不召回，是划算的难堪。划算要被项目经理承认。不承认时，工程师会关掉校验。关掉校验是本节的最大敌对动作。敌对动作常被形容为救进度。救进度的同时把漏斗壁凿开。凿开之后，虚拟验证吃的提取和实车烧的生成物会分家。分家是巫术的开始。巫术的仪式是换版本。换版本的高潮是谁也不知道车上跑的是哪一份契约。哪一份都不知道，方法论就只剩培训证书。证书很新，车上很旧。
并行的正确打开方式是桩来自描述。第一版描述可以不完美，但不能没有。没有描述的算法会在代码里长出端口，再反向生成影子描述。影子描述会通过第一次交付，因为它和代码一致。一致是假守恒：真相源在代码，描述是复印件。复印件无法约束第二家工具。第二家工具会按复印件生成另一份不完全相同的桩。不完全相同在联调时变成胶水。胶水是烟囱时代的魂。魂一旦回来，分层地图只对参观者有效。参观者会以为项目很 AUTOSAR。项目内部知道真正的接口在某个分支的结构体里。结构体不进基线。基线进不了结构体，构建就红不了。红不了的构建保护不了契约。保护不了的契约，会在芯片停产那年要求重写神经系统。神经系统重写的成本，足够把当年省下的冻结时间买回来一百次。一百次买不回已经卖出的车。所以冻结是对已卖出的车负责，不只是对当前冲刺负责。

生成器报错应被记进里程碑，而不是记进某人的羞耻清单。羞耻会逼人关掉校验。关掉校验是静默妥协的开始。开始之后，漏斗壁上会出现私门。私门能让某一款车提前下线，也会让下一款车无法再生。再生失败的团队会积累黄金固件。黄金固件不是资产。资产能换工具演奏。演奏不了的东西，只是结果。结果无法说明自己为什么正确。

本节速览

• 三层关注点：What、Where、How，用可验证转换连接。
• 禁止静默妥协：配置违反系统矩阵应失败。
• 变更走源头：语义回系统，资源回部署。
• 并行靠冻结接口：不是靠口头加字节。
• 测试指向描述：证据链才闭合。
• Adaptive 共用漏斗：多清单与包，不少系统层。

下一节把漏斗里流动的液体看清：ARXML 作为元模型实例，为什么解析失败常常是架构问题。