class apext::phm::WatchdogInterface

Die Klasse apext::phm::WatchdogInterface bildet als Plattformerweiterung die Schnittstelle zwischen dem Platform Health Management und dem physischen Hardware-Watchdog. Das PHM benachrichtigt die Schnittstelle im Normalbetrieb zyklisch über AliveNotification(), wobei das Interface bei Ausbleiben der Meldung eigenständig eine Watchdog-Reaktion auslösen muss [SWS_PHM_01255]. Bei kritischen Systemfehlern kann das PHM über FireWatchdogReaction() zudem unmittelbar eine Fehlerreaktion der Watchdog-Hardware erzwingen [SWS_PHM_01256]. Als zentrale Randbedingung sind beide Methoden threadsicher, jedoch nicht ausnahmesicher spezifiziert.

mehr ›

Kontext

Die C++-Klasse apext::phm::WatchdogInterface stellt im Platform Health Management (PHM) von AUTOSAR Adaptive die Schnittstelle zur physischen Watchdog-Hardware dar. Als Plattformerweiterung (PlatformExtension) bildet sie keine modellierte AUTOSAR-Portschnittstelle ab, sondern dient als herstellerspezifische Brücke zwischen dem PHM-Dienst und der zugrundeliegenden Hardware. Das PHM überwacht die Ausführung von Prozessen und Plattformkomponenten. Um auch einen Ausfall oder eine Blockade des PHM selbst zuverlässig abzusichern, bindet das WatchdogInterface die externe oder interne Hardware-Überwachung an. Über die Methode AliveNotification() meldet das PHM zyklisch seine Funktionsfähigkeit an die Schnittstelle [SWS_PHM_01255]. Tritt ein kritischer Systemfehler auf, kann das PHM über die Funktion FireWatchdogReaction() gezielt die hardwareseitige Fehlerreaktion anfordern [SWS_PHM_01256].

Kontextdiagramm: Einbindung des WatchdogInterface zwischen PHM und Hardware-Watchdog. Quellen: [SWS_PHM_01255], [SWS_PHM_01256]

Lebenszyklus

Da apext::phm::WatchdogInterface als Plattformerweiterung fungiert, dürfte die Instanziierung der Schnittstellenimplementierung und die Anbindung an den Hardwaretreiber plattformspezifisch während der Initialisierung des PHM-Dienstes erfolgen. Frage Q-c2235d5c87e0a675 (offen) Die Lebensdauer der Instanz ist typischerweise an die Laufzeit des PHM gebunden, sodass kein dynamischer Lebenszyklus mit mehrfacher Erzeugung oder Zerstörung während des Plattformbetriebs vorgesehen ist. Bezüglich der Nebenläufigkeit sind beide Schnittstellenfunktionen AliveNotification() und FireWatchdogReaction() explizit als threadsicher (thread-safe) deklariert [SWS_PHM_01255], [SWS_PHM_01256]. Dies gestattet es dem PHM, Lebenszeichen und Fehlermeldungen aus verschiedenen internen Worker-Threads parallel und ohne aufruferseitige Synchronisation an die Watchdog-Schnittstelle zu übergeben.

Nutzungspfad

Die typische Interaktion zwischen dem PHM und der Schnittstelle gliedert sich in den regulären Überwachungszyklus und die Fehlereskalation:

• Zyklische Lebenszeichenmeldung: Das PHM ruft AliveNotification() wiederkehrend innerhalb einer konfigurierten Zykluszeit auf [SWS_PHM_01255]. Diese Zykluszeit muss nicht mit der realen Trigger-Periode der Hardware übereinstimmen; vermutlich puffert oder skaliert die Implementierung die Intervalle für die Ansteuerung des physischen Watchdogs intern [SWS_PHM_01255]. Frage Q-a6c08f102f09c8c1 (offen)
• Hardware-Triggerung: Das WatchdogInterface sorgt bei regelmäßigen Meldungen für das fristgerechte Bedienen der Hardware-Watchdog-Einheit.
• Gezielte Fehlerindikation: Erkennt das PHM einen unrecoverable Zustand in den überwachten Entitäten, ruft es unmittelbar FireWatchdogReaction() auf [SWS_PHM_01256].

Sequenzdiagramm: Regelmäßige Lebenszeichenübermittlung und Auslösen der Watchdog-Reaktion. Quellen: [SWS_PHM_01255], [SWS_PHM_01256]

Fehlerszenarien

Die Schnittstelle unterstützt zwei komplementäre Mechanismen zur Behandlung von Systemversagen:

Einerseits führt ein passives Ausbleiben der Meldungen zur Systemreaktion: Meldet sich das PHM nicht innerhalb der konfigurierten Zeitspanne über AliveNotification(), ist das WatchdogInterface verpflichtet, eigenständig die Watchdog-Reaktion einzuleiten [SWS_PHM_01255]. Dadurch werden Abstürze oder Deadlocks des PHM-Dienstes selbst zuverlässig durch die Hardware abgefangen.

Andererseits existiert der aktive Fehlerpfad: Über den expliziten Aufruf von FireWatchdogReaction() wird eine definierte Fehlerreaktion des Watchdogs ausgelöst [SWS_PHM_01256]. In beiden Fällen dürfte die finale Auswirkung auf Systemebene typischerweise in einem Hardware-Reset oder der Überführung in einen sicheren Zustand bestehen. Frage Q-817baa072cc94a19 (offen)

Hinsichtlich des Fehlerverhaltens im Code sind beide Elementfunktionen als nicht ausnahmesicher (not exception safe) spezifiziert [SWS_PHM_01255], [SWS_PHM_01256]. Die aufrufende Komponente kann sich somit auf keine Ausnahmebehandlungsgarantien stützen, und die Implementierung der Schnittstelle darf keine unbehandelten C++-Exceptions emittieren.