service interface UpdateAllowedService

Das Service-Interface dient einer Steuerungsanwendung dazu, dem State Management die Durchführung von Software-Aktualisierungen zu gestatten oder zu verwehren (EXP SWArchitecture §9.2.2.1.1 „Interfaces for a SMControlApplication“). Über das bereitgestellte Feld übermittelt die Anwendung den Freigabestatus an den Controller der Zustandsverwaltung ([SWS_SM_91108]). Steht das Feld auf einem ablehnenden Zustand, weist das State Management eingehende Sitzungsanfragen des Update and Configuration Managements zwingend ab. Obwohl Kampagnen fahrzeugweit synchronisiert werden, stellt dieser Mechanismus sicher, dass lokale Maschinenzustände eine Aktualisierung jederzeit verhindern können.

mehr ›

Rolle und Systemkontext der Service-Schnittstelle

Das Service-Interface UpdateAllowedService ist ein Dienst der AUTOSAR Adaptive Platform innerhalb des Funktionsclusters State Management (SM) ([SWS_SM_91025]). Der Cluster SM stellt diesen Service über einen standardisierten Port für andere Prozesse bereit ([SWS_SM_91024]). In der Systemarchitektur zählt die Schnittstelle zu den Interaktionsschnittstellen für eine Steuerungsanwendung (SMControlApplication), mit deren Hilfe übergeordnete Anwendungslogik mit den Zustandsmaschinen des State Managements interagieren kann (EXP SWArchitecture §9.2.2.1.1 „Interfaces for a SMControlApplication“).

Die Schnittstelle dient primär dazu, dass eine SMControlApplication mit dem Controller des State Managements interagiert (SWS StateManagement §9.2.3 „StateMachine UpdateAllowed service“). Während der Cluster State Management die Service-Instanz als Provider anbietet, fungiert die SMControlApplication als Service-Konsument (Interpretation: Die Anwendung agiert als Client-Proxy im Rahmen des ara::com-Musters). Frage Q-ba7662e744d9f9f0 (offen) Die Kernaufgabe der Schnittstelle besteht darin, dem State Management mitzuteilen, ob eine Update-Sitzung (Update Session) auf der Maschine gewährt oder verweigert werden soll (SWS StateManagement §9.2.3 „StateMachine UpdateAllowed service“).

Methoden, Ereignisse und Felder

Das Service-Interface UpdateAllowedService umfasst keine eigenständigen Methoden oder Ereignisse, sondern bündelt seine Funktionalität vollständig in einem Feld namens UpdateAllowed ([SWS_SM_91108]). Dieses Feld ist vom Datentyp UpdateAllowedType und besitzt sowohl Getter- als auch Setter- und Notifier-Funktionalität (HasGetter = true, HasSetter = true, HasNotifier = true) ([SWS_SM_91108]).

Über den Setter kann die SMControlApplication den aktuellen Freigabestatus aktiv setzen und an das State Management übermitteln ([SWS_SM_91108]). Der Getter ermöglicht das Abfragen des hinterlegten Wertes, während der Notifier Wertänderungen ereignisbasiert an Abonnenten meldet ([SWS_SM_91108]). Der konkrete Inhalt des Feldes bestimmt maßgeblich, ob eine anstehende Update-Sitzung zugelassen wird oder nicht (SWS StateManagement §9.2.3 „StateMachine UpdateAllowed service“).

Lebenszyklus, Sitzungsabläufe und Zustandsabhängigkeiten

Die Aktualisierungsfreigabe greift im Kontext von Software-Update-Kampagnen, bei denen das Update and Configuration Management (UCM) über die Methode RequestUpdateSession eine Aktualisierungssitzung beim State Management anfordert (SWS StateManagement §7.x). Zwar soll die prinzipielle Durchführbarkeit einer Update-Kampagne vorab auf Fahrzeugebene synchronisiert und geprüft werden, doch kann eine Kampagne mehrere Maschinen umfassen und erhebliche Zeit in Anspruch nehmen (SWS StateManagement §7.x).

Da sich lokale Rahmenbedingungen auf einer einzelnen Maschine während dieser Zeitspanne verändern können, ist der explizite Aufruf von RequestUpdateSession zwingend erforderlich (SWS StateManagement §7.x). Die SMControlApplication führt den Freigabestatus über das Feld UpdateAllowed kontinuierlich nach. Gestattet die SMControlApplication den Start der Sitzung (Interpretation: durch Setzen eines entsprechenden Freigabewerts wie kUpdateAllowed), darf der modellierte Prozess des Controllers die Update-Sitzung annehmen (SWS StateManagement §7.x). Frage Q-3dd3bcc37bf14309 (offen)

Sequenzdiagramm: Verweigerung einer Update-Sitzung durch State Management bei gesetztem Wert kUpdateNotAllowed. Quellen: [SWS_SM_00630], SWS StateManagement §7.x

Fehlerbehandlung und Application Errors

Verweigert die SMControlApplication die Durchführung eines Updates, muss der modellierte Prozess, der die Zustandsmaschine vom Typ Controller steuert, die Update-Anfrage des UCM ablehnen (SWS StateManagement §7.x). Wenn das Feld UpdateAllowed auf den Wert kUpdateNotAllowed gesetzt ist, muss der modellierte Prozess der Controller-Zustandsmaschine beim Methodenaufruf RequestUpdateSession zwingend den Fehler kOperationRejected zurückliefern ([SWS_SM_00630]).

Über diesen spezifischen Application Error wird dem UCM signalisiert, dass die lokale Maschine gegenwärtig nicht für den Eintritt in eine Update-Sitzung bereit ist, wodurch fehlerhafte oder sicherheitskritische Aktualisierungszustände vermieden werden ([SWS_SM_00630]).