Dient Anwendungen zur Bereitstellung und Ausführung von Wiederherstellungsmaßnahmen bei PHM-Überwachungsfehlern.
KI-GENERIERTungeprüftModell: gemini-3.8-flash-medium · Aufwand: medium · Temperatur: nicht steuerbar · Prompt: 1c1f80bf2db1HerkunftOffene Fragen (2)
KI-generiertgemini-3.8-flash-medium · 2026-10-13
Dient Anwendungen zur Bereitstellung und Ausführung von Wiederherstellungsmaßnahmen bei PHM-Überwachungsfehlern.
Die abstrakte Klasse ara::phm::RecoveryAction ermöglicht es Anwendungen, anwendungsspezifische Wiederherstellungsmaßnahmen für das Platform Health Management bereitzustellen [SWS_PHM_01141]. Nach der Instanziierung schaltet der Aufruf von Offer() die Empfangsbereitschaft für den Phm-Daemon frei, sodass bei erkannten Überwachungsfehlern die überschriebene Methode RecoveryHandler aufgerufen wird [SWS_PHM_01143]. Kann der Fehler anwendungsseitig nicht behoben werden, eskaliert das System durch Auslösen des Watchdogs. Kopier- und Verschiebeoperationen sind aus Sicherheitsgründen vollständig unterbunden, und Verwaltungsaufrufe wie Offer() sind nicht threadsicher.
Kontext
Die Klasse ara::phm::RecoveryAction ist eine abstrakte Basisklasse im Modul Platform Health Management (PHM) der AUTOSAR Adaptive Platform. Sie dient als standardisierte Schnittstelle für funktionale Anwendungen, um spezifische Wiederherstellungs- und Fehlerbehandlungsmaßnahmen bereitzustellen, die bei erkannten Überwachungsfehlern durch das PHM angestoßen werden.
Zu den wesentlichen Interaktionspartnern gehören:
Die ableitende Anwendungskomponente: Interpretation: Diese dürfte typischerweise im State Management angesiedelt sein, da dieses für koordinierte Systemreaktionen zuständig ist und im Fehlerkontext direkt benannt wird. Frage Q-714ff81a33aa3e92 (offen) Die Anwendung implementiert die anwendungsspezifische Fehlerbehebung durch Überschreiben der Methode RecoveryHandler[SWS_PHM_01142].
Der Phm-Daemon: Verwaltet die Registrierung von Wiederherstellungsaktionen über Offer[SWS_PHM_01143] und steuert bei festgestellten Fehlern den Aufruf des registrierten Handlers [SWS_PHM_01142].
Der Watchdog: Kann die anwendungsseitige Wiederherstellung nicht erfolgreich durchgeführt werden, übernimmt das PHM die weitere Fehlerbehandlung und löst zur Absicherung den Watchdog aus [SWS_PHM_01142].
Die logische Verknüpfung mit dem AUTOSAR-Modell erfolgt bei der Instanziierung über einen ara::core::InstanceSpecifier, der auf einen PPortPrototype eines PhmRecoveryAction-Interfaces verweisen muss [SWS_PHM_01141].
Lebenszyklus
Eine Instanz wird über den expliziten Konstruktor unter Übergabe des passenden Instance-Specifiers erzeugt [SWS_PHM_01141]. Dieser Konstruktor ist threadsicher (thread-safe) und ausnahmesicher (noexcept).
Da eine RecoveryAction fest an einen spezifischen Port gebunden ist, sind Kopier- und Verschiebeoperationen vollständig unterbunden: Sowohl der Kopierkonstruktor [SWS_PHM_01150] als auch der Kopierzuweisungsoperator [SWS_PHM_01152] sind gelöscht (= delete). Ebenso sind der Verschiebekonstruktor [SWS_PHM_01149] und der Verschiebezuweisungsoperator [SWS_PHM_01151] gelöscht. Die Spezifikation begründet dies damit, dass ein Verschieben nach dem Anbieten der Instanz dazu führen könnte, dass der RecoveryHandler vor der vollständigen Konstruktion der abgeleiteten Klasse aufgerufen wird, was undefiniertes Verhalten oder unbehandelte Ausnahmen nach sich ziehen und die Systemsicherheit gefährden würde [SWS_PHM_01149], [SWS_PHM_01151].
Der Lebenszyklus umfasst zwei distinkte Zustände:
Nicht angeboten: Unmittelbar nach der Konstruktion sowie nach dem Aufruf von StopOffer[SWS_PHM_01144] ist die Instanz inaktiv. Aufrufe von RecoveryHandler sind unterbunden.
Angeboten: Durch Aufruf von Offer()[SWS_PHM_01143] wird die Aktion beim Phm-Daemon aktiviert und für Handler-Aufrufe freigegeben.
Das Objekt wird über den virtuellen Destruktor freigegeben [SWS_PHM_01145]. Bezüglich der Nebenläufigkeit sind der Konstruktor und der RecoveryHandler threadsicher spezifiziert, wohingegen Offer(), StopOffer() und der Destruktor nicht threadsicher (not thread-safe) sind [SWS_PHM_01141], [SWS_PHM_01142], [SWS_PHM_01143], [SWS_PHM_01144], [SWS_PHM_01145]. Interpretation: Vor der Zerstörung einer Instanz dürfte in der Praxis stets StopOffer() aufgerufen werden müssen, um asynchrone Handler-Aufrufe während des Objekt-Abbaus sicher auszuschließen. Frage Q-a1f47898bed925fd (offen)
Die typische Nutzung gliedert sich in eine feste Aufrufabfolge:
Definition einer abgeleiteten Klasse, die die rein virtuelle Elementfunktion RecoveryHandler implementiert [SWS_PHM_01142].
Instanziierung des abgeleiteten Objekts unter Angabe des Instance-Specifiers [SWS_PHM_01141].
Aufruf von Offer(), um die Wiederherstellungsaktion beim Phm-Daemon bereitzustellen [SWS_PHM_01143].
Reaktion auf Fehler: Erkennt das PHM einen Fehler, ruft es RecoveryHandler(executionError, supervision) auf [SWS_PHM_01142]. Die Methode liefert ein ara::core::Future<void>, über welches das Ergebnis der Fehlerbehebung gemeldet wird.
Aufruf von StopOffer(), sobald die Instanz keine Wiederherstellungsaktionen mehr bedienen soll [SWS_PHM_01144].
Im Rahmen der Modellkonfiguration und des Betriebs sind spezifische Fehlerbedingungen zu berücksichtigen:
Modell- und Validierungsverletzungen bei der Konstruktion [SWS_PHM_01141]:
AraNotInitializedViolation: Die ARA-Laufzeitumgebung wurde vor der Instanziierung nicht initialisiert.
InstanceSpecifierMappingIntegrityViolation: Der Instance-Specifier kann im Modell nicht aufgelöst werden oder referenziert kein PortPrototype.
PortInterfaceMappingViolation: Der über RecoveryNotificationToPPortPrototypeMapping referenzierte Port-Prototyp ist nicht durch ein PhmSupervisionRecoveryNotificationInterface typisiert.
ProcessMappingViolation: Zur Laufzeit existiert kein passend modellierter Prozess für den Instance-Ref.
InstanceSpecifierAlreadyInUseViolation: Der Instance-Specifier wird innerhalb des aktuellen Prozesses bereits verwendet.
Kommunikationsfehler beim Anbieten [SWS_PHM_01143]:
Schlägt die Kommunikation mit dem Phm-Daemon fehl, liefert Offer() ein Ergebnis mit dem Fehlercode PhmErrc::kOfferFailed.
Unbehebbare Fehler in der Wiederherstellung [SWS_PHM_01142]:
Kann das State Management den gemeldeten Fehler nicht auflösen, gibt das von RecoveryHandler zurückgegebene Future den Fehler PhmErrc::kSMCanNotHandleRecovery zurück. Daraufhin greift das Platform Health Management ein und löst den Watchdog aus.
Dieser Klassen-Leitfaden wurde durch einen KI-Kurations-Assistenten auf Basis der Spezifikation AUTOSAR R25-11 generiert.
The move assignment operator for the RecoveryAction shall not be used. Rationale: Using the move assignment after a RecoveryAction instance has been offered may result in premature invocation of RecoveryHandler before the derived class is fully constructed. This can lead to undefined behavior or unhandled exceptions, compromising system stability and safety.
KI-GENERIERTungeprüftModell: gemini-3.8-flash-medium · Aufwand: medium · Temperatur: nicht steuerbar · Prompt: e0343e0b39c4Herkunft
KI-generiertgemini-3.8-flash-medium · 2026-10-13
Die parameterlose Methode Offer gehört zur Klasse ara::phm::RecoveryAction und wird über die Header-Datei ara/phm/recovery_action.h eingebunden [SWS_PHM_01143]. Ihr Zweck ist die Bereitstellung des Dienstes gegenüber dem Platform Health Management (PHM), um spätere Aufrufe des RecoveryHandler zu ermöglichen [SWS_PHM_01143]. Der Aufruf erfolgt synchron und nimmt keine Parameter entgegen [SWS_PHM_01143].
Das Ergebnis der Ausführung wird als ara::core::Result<void> zurückgegeben [SWS_PHM_01143]. Im fehlerfreien Zustand ist dieses Result leer. Falls die Kommunikation mit dem PHM-Dämon fehlschlägt, kann der Dienst nicht angeboten werden und die Funktion liefert den Fehlercode PhmErrc::kOfferFailed mit Rollback-Semantik zurück [SWS_PHM_01143].
Hinsichtlich der Ausführungssicherheit ist die Methode als noexcept und ausnahmesicher (exception safe) spezifiziert [SWS_PHM_01143]. Sie ist jedoch ausdrücklich als nicht threadsicher (not thread-safe) definiert [SWS_PHM_01143].
Im Systemverbund besteht eine direkte Kopplung zur Fehlerbehandlung: Der RecoveryHandler der Klasse ara::phm::RecoveryAction dient der Reaktion auf Ausführungsfehler (ara::exec::ExecutionErrorEvent) und Überwachungsfehler (TypeOfSupervision) [SWS_PHM_01142]. Das PHM kann diesen Handler erst aufrufen, nachdem die Aktivierung zuvor explizit über RecoveryAction::Offer freigeschaltet wurde [SWS_PHM_01142].
Dieser Nutzungshinweis wurde automatisiert auf Basis der Spezifikation generiert.
AraNotInitialized- Violation message that is sent in case a constructor or function Violation checks for an initialized ara and identifies that ara is not initialized. InstanceSpeci- InstanceSpecifier either cannot be resolved in the model in the fierMappingIn- context of your executable, or it refers to a model element other tegrityViolation than a PortPrototype. PortInterfaceMap- A PortPrototype that is referenced by a pingViolation RecoveryNotificationToPPortPrototypeMapping needs to be typed by a PhmSupervisionRecoveryNotificationInterface. ProcessMappingVio- Matching InstanceRef exists, but no matching (modelled) Process lation found that matches the (runtime) process. InstanceSpecifier- Violation message that is sent in case a constructor in the ara AlreadyInUseViola- framework was called with an InstanceSpecifier already in use in tion this process.
Parameter (in)
Parameter
Beschreibung
instance
instance specifier to the PPortPrototype of a PhmRecoveryAction Interface
Request a governed re-review of this record. The record is not changed immediately.
The move constructor operator for the RecoveryAction shall not be used. Rationale: Using the move constructor after a RecoveryAction instance has been offered may result in premature invocation of RecoveryHandler before the derived class is fully constructed. This can lead to undefined behavior or unhandled exceptions, compromising system stability and safety
RecoveryHandler to be invoked by PHM. The handler invocation needs to be enabled before by a call of RecoveryAction::Offer.
KI-GENERIERTungeprüftModell: gemini-3.8-flash-medium · Aufwand: medium · Temperatur: nicht steuerbar · Prompt: 4d5e12f6a819Herkunft
KI-generiertgemini-3.8-flash-medium · 2026-10-13
Die reine virtuelle Methode RecoveryHandler in ara::phm::RecoveryAction dient als asynchroner Callback, der vom Platform Health Management (PHM) aufgerufen wird, sobald eine Überwachung fehlschlägt [SWS_PHM_01142]. Beim Aufruf übergibt das PHM das Fehlerereignis executionError mit Detailinformationen zur Wiederherstellung sowie den Typ der fehlgeschlagenen elementaren Überwachung über den Parameter supervision[SWS_PHM_01142].
Für die Verwendung und den Lebenszyklus gelten feste Reihenfolge- und Nebenläufigkeitsbedingungen:
Aktivierung: Aufrufe des Handlers müssen vorab explizit über RecoveryAction::Offer freigeschaltet werden [SWS_PHM_01142], [SWS_PHM_01143]. Sie können über StopOffer wieder deaktiviert werden [SWS_PHM_01144].
Objektintegrität: Sowohl der Move-Konstruktor als auch der Move-Zuweisungsoperator von RecoveryAction sind gelöscht (=delete), um zu verhindern, dass nach dem Anbieten der Aktion vorzeitige Handler-Aufrufe auf noch unvollständig konstruierten abgeleiteten Klassen ausgeführt werden [SWS_PHM_01149], [SWS_PHM_01151].
Thread-Sicherheit: Die Methode selbst ist als thread-safe und ausnahmesicher spezifiziert [SWS_PHM_01142], wohingegen Offer und StopOffer nicht thread-safe sind [SWS_PHM_01143], [SWS_PHM_01144].
Die Rückgabe erfolgt asynchron über ein ara::core::Future<void>[SWS_PHM_01142]. War die Wiederherstellung erfolgreich, wird das Future mit void erfüllt. Kann das State Management die Wiederherstellung nicht durchführen, schlägt das Future mit dem Fehlercode PhmErrc::kSMCanNotHandleRecovery fehl; in diesem Fall greift das Platform Health Management ein und löst den Watchdog aus [SWS_PHM_01142].
Dieser Text wurde von einer KI auf Basis der Spezifikation AUTOSAR R25-11 generiert.
KI-GENERIERTungeprüftModell: gemini-3.8-flash-medium · Aufwand: medium · Temperatur: nicht steuerbar · Prompt: 8cdc07a00e3fHerkunftOffene Fragen (1)
KI-generiertgemini-3.8-flash-medium · 2026-10-13
Die Methode StopOffer der Klasse ara::phm::RecoveryAction dient dazu, die Ausführung des zugehörigen RecoveryHandler zu deaktivieren [SWS_PHM_01144]. Sie ist im Header ara/phm/recovery_action.h deklariert [SWS_PHM_01144].
Verwendung und Semantik
Die Funktion besitzt die Signatur void StopOffer() noexcept;, nimmt keine Parameter entgegen und liefert keinen Rückgabewert zurück [SWS_PHM_01144]. Durch den Aufruf signalisiert die Anwendung dem Plattform Health Management (PHM), dass keine weiteren Aufrufe des Handlers mehr erfolgen sollen [SWS_PHM_01144]. Der Aufruf erfolgt synchron; laufende Handler-Instanzen dürften vor oder bei der Deaktivierung abgeschlossen werden (Interpretation). Frage Q-a333b1e2f0634ed1 (offen)
Fehlerbehandlung und Nebenläufigkeit
Exception-Sicherheit: Die Operation ist als noexcept deklariert und gilt als vollständig exception safe; Fehlercodes oder Ausnahmen existieren nicht [SWS_PHM_01144].
Thread-Sicherheit: Die Methode ist explizit als not thread-safe spezifiziert [SWS_PHM_01144]. Ein nebenläufiger Aufruf an derselben RecoveryAction-Instanz erfordert daher eine externe Synchronisation durch den Aufrufer.
Dieser Text wurde durch eine KI erstellt und basiert auf der Spezifikation AUTOSAR Adaptive R25-11.
The move assignment operator for the RecoveryAction shall not be used. Rationale: Using the move assignment after a RecoveryAction instance has been offered may result in premature invocation of RecoveryHandler before the derived class is fully constructed. This can lead to undefined behavior or unhandled exceptions, compromising system stability and safety.
gemini-3.8-flash-medium· 2026-10-13