service interface UpdateRequest

Die Servicemethode PrepareRollback der Serviceschnittstelle UpdateRequest wird durch das Update and Configuration Management aufgerufen, um die Rückabwicklung von Änderungen für die im Parameter functionGroupList übergebenen Funktionsgruppen eines Software-Clusters vorzubereiten [SWS_SM_91105]. Der Aufruf erfolgt ohne Fire-and-Forget-Semantik, sodass das State Management das Ergebnis der Vorbereitung an den Aufrufer zurückmeldet [SWS_SM_91105].

Für den Aufruf und die Fehlerbehandlung gelten feste Bedingungen:

• Sitzungskontext: Der Aufruf ist nur innerhalb einer aktiven Update-Sitzung zulässig. Erfolgt er außerhalb einer aktiven Sitzung, weist das State Management die Operation mit dem Fehler kOperationRejected ab [SWS_SM_00213].
• Anwendungsfehler: Neben kOperationRejected bei ungültigem internen Zustand kann die Methode kOperationFailed zurückgeben, wenn die Vorbereitung fehlschlägt [SWS_SM_91105].

Im Zustandsmodell hat der Methodenaufruf direkte Auswirkungen auf die beteiligten Zustandsmaschinen:

• Zustandsmaschinen, die eine der übergebenen Funktionsgruppen verwalten, werden vom steuernden Prozess als ImpactedByUpdate markiert [SWS_SM_00654].
• Wird eine Zustandsmaschine vom Typ Agent markiert, geht dieser Status transitiv auch auf den übergeordneten Controller über [SWS_SM_00655].
• Für als ImpactedByUpdate gekennzeichnete Zustandsmaschinen werden gemeldete Ausführungsfehler (ExecutionErrorEvent::executionError) nicht über eine Wiederherstellung behandelt, sondern ignoriert und lediglich protokolliert [SWS_SM_00664].

Verwendung

Die Service-Methode PrepareUpdate wird von Update and Configuration Management (UCM) aufgerufen, um das State Management zur Vorbereitung der Aktualisierung einer Menge von Funktionsgruppen aufzufordern [SWS_SM_00206], [SWS_SM_91103]. Sie wird über das Service-Interface UpdateRequest bereitgestellt und nimmt als Eingabeparameter die Liste functionGroupList vom Typ FunctionGroupListType entgegen, welche die zu aktualisierenden Funktionsgruppen innerhalb des Software-Clusters spezifiziert [SWS_SM_91103]. Da Fire & Forget deaktiviert ist, besitzt der Aufruf eine synchrone Antwortsemantik mit Rückmeldung an den Aufrufer [SWS_SM_91103].

Reihenfolgebedingungen und Nebenläufigkeit

Ein Aufruf ist nur innerhalb einer zuvor durch RequestUpdateSession erfolgreich initiierten Update-Sitzung zulässig [SWS_SM_91103]. Während des Aufrufs kennzeichnet der steuernde Prozess alle Zustandsmaschinen, die eine der übergebenen Funktionsgruppen verwalten, als ImpactedByUpdate [SWS_SM_00654]. Betrifft dies eine Zustandsmaschine vom Typ Agent, wird automatisch auch die übergeordnete Controller-Zustandsmaschine als ImpactedByUpdate markiert [SWS_SM_00655]. Solange dieser Zustand vorliegt, werden externe Zustandsübergänge blockiert: Jeder Aufruf von RequestTransition wird mit kUpdateInProgress beantwortet [SWS_SM_00649]. Zudem werden Recovery-Anforderungen bei Ausführungsfehlern (ExecutionErrorEvent::executionError) ignoriert und lediglich protokolliert [SWS_SM_00664].

Fehlerbehandlung

Für die Methode sind zwei spezifische Anwendungsfehler definiert [SWS_SM_91103]:

• kOperationRejected: Wird zurückgegeben, wenn der Aufruf außerhalb einer aktiven Update-Sitzung erfolgt [SWS_SM_00213] oder der interne Zustand des State Managements die Operation abweist [SWS_SM_91103].
• kOperationFailed: Zeigt an, dass die angeforderte Vorbereitung der Funktionsgruppen fehlgeschlagen ist [SWS_SM_91103].

Interpretation: Die Methode dürfte erst nach Einleitung oder Abschluss der internen Zustandswechsel der Funktionsgruppen zurückkehren, da kein separater asynchroner Bestätigungsmechanismus im Interface definiert ist. Frage Q-9994d886fd5504d8 (offen)

Die Servicemethode RequestUpdateSession der Schnittstelle UpdateRequest wird ohne Parameter aufgerufen (Fire & Forget: false) und dient Update and Configuration Management als Einstiegspunkt zur Initiierung einer Softwareaktualisierung [SWS_SM_91102]. Durch den Aufruf wird der Übergang in eine aktive Update-Sitzung eingeleitet, die bis zur Beendigung der Aktualisierung andauert [SWS_SM_00210] [SWS_SM_00213].

Pro Maschine darf höchstens ein Port mit der Schnittstelle UpdateRequest typisiert sein [SWS_SM_CONSTR_00020], der ausschließlich durch einen Prozess bereitgestellt werden darf, welcher eine StateMachine vom Typ Controller steuert [SWS_SM_00629]. Um die Konsistenz der Plattform zu sichern, darf zu jedem Zeitpunkt nur eine einzige Update-Sitzung aktiv sein [SWS_SM_00210]. Zudem persistiert State Management den Sitzungsstatus, damit dieser nach einem Neustart der Maschine ausgelesen werden kann [SWS_SM_00204].

Die erfolgreiche Annahme der Sitzung ist eine strikte Reihenfolgebedingung: Folgemethoden wie PrepareUpdate [SWS_SM_91103], ResetMachine [SWS_SM_91100] oder StopUpdateSession [SWS_SM_91101] setzen voraus, dass RequestUpdateSession zuvor erfolgreich aufgerufen wurde [SWS_SM_00213].

Im Fehlerfall sind zwei anwendungsspezifische Fehler definiert [SWS_SM_91102]: Wird die Methode während einer bereits laufenden Sitzung aufgerufen, liefert sie kNotAllowedMultipleUpdateSessions zurück [SWS_SM_00209]. Ergibt die Überprüfung (etwa über die Schnittstelle UpdateAllowed), dass die Maschine aktuell kein Update erlaubt, wird die Anforderung mit dem Fehler kOperationRejected abgewiesen [SWS_SM_00630].

Die Service-Methode ResetMachine im Service-Interface UpdateRequest wird von Update and Configuration Management (UCM) aufgerufen, um während einer laufenden Update-Sitzung einen Neustart der Maschine anzufordern [SWS_SM_91100]. Die Methode besitzt keine Übergabeparameter und ist mit Fire-and-Forget-Semantik deklariert [SWS_SM_91100].

Vor der Durchführung des Neustarts müssen sämtliche maschineninternen Informationen persistent gespeichert werden [SWS_SM_91100]. State Management sichert dazu die Daten der aktiven Update-Sitzung ab, damit UCM den Aktualisierungsvorgang nach dem Wiederanlauf der Maschine konsistent fortführen kann [SWS_SM_00204]. Bei Aufruf der Methode überführt der steuernde Prozess die StateMachine vom Typ Controller in den Zustand Restart [SWS_SM_00658]. Nach erfolgtem Maschinenneustart geht der Controller zur Wiederaufnahme der Aktualisierung in den Zustand ContinueUpdate über SWS StateManagement §7.2 „ResetMachine notification“.

Zur Synchronisation und Nachverfolgung der Ausführung stellt State Management das Feld ResetMachineNotifier bereit [SWS_SM_00211] [SWS_SM_91106], dessen Initialwert kIdle lautet [SWS_SM_00212]. Da ResetMachine als Fire-and-Forget-Aufruf ausgelegt ist, dürfte UCM das Resultat des Neustarts primär asynchron über diesen Notifier überwachen (Interpretation). Frage Q-732913d75d024929 (offen)

Wurde vorab nicht erfolgreich eine Update-Sitzung per RequestUpdateSession etabliert, wird der Aufruf abgewiesen und liefert den Fehler kOperationRejected zurück [SWS_SM_91100]. Bei einem Aufruf außerhalb einer Update-Sitzung setzt der Prozess den Wert des Feldes ResetMachineNotifier zudem auf kRejected [SWS_SM_00661].

Das Service-Feld ResetMachineNotifier vom Typ UpdateStatusType [SWS_SM_91027] gehört zum Service-Interface UpdateRequest und dient dazu, dem Update and Configuration Management (UCM) die Statusverfolgung der Methode ResetMachine während und nach deren Durchführung zu ermöglichen [SWS_SM_00211] [SWS_SM_91106]. Das Feld stellt einen Getter sowie einen Notifier bereit, besitzt jedoch keinen Setter [SWS_SM_91106]. UCM dürfte den Notifier typischerweise abonnieren, um Zustandsänderungen nach dem Neustart der Machine asynchron ohne Polling zu empfangen. Frage Q-122f44b23cd76238 (offen)

Der Lebenszyklus des Felds umfasst folgende Zustände und Statusübergänge:

• Initialwert: Der Standardwert des Felds ist kIdle [SWS_SM_00212].
• Abweisung außerhalb einer Sitzung: Erfolgt ein Aufruf von ResetMachine außerhalb einer aktiven Update-Sitzung, setzt der modellierte Controller-Prozess den Feldwert auf kRejected [SWS_SM_00661].
• Neustart und Fortsetzung: Innerhalb einer Update-Sitzung führt ResetMachine zu einer Transition in den Zustand Restart [SWS_SM_00658]. Nach dem Hochfahren der Machine synchronisieren sich State Management und UCM erneut. Bei erfolgreichem Abschluss der Transition nach ContinueUpdate wird das Feld auf kSuccessful gesetzt [SWS_SM_00662].
• Fehlerfall: Schlägt die Ausführung der Transition nach ContinueUpdate fehl, wechselt der Wert des Felds auf kFailed [SWS_SM_00663].

Wird die Update-Sitzung über StopUpdateSession beendet, wechselt die State Machine in den Zustand AfterUpdate [SWS_SM_00646], und State Management setzt das Feld ResetMachineNotifier wieder auf den Standardwert kIdle zurück [SWS_SM_00660].

Die Service-Methode StopUpdateSession des Service-Interfaces UpdateRequest ([SWS_SM_91101]) wird vom Update and Configuration Management aufgerufen, sobald die Aktualisierung abgeschlossen ist und sich die Machine in einem stabilen Zustand befindet. Der Aufruf erfolgt ohne Parameter und besitzt synchrone bzw. asynchrone Anfrage-Antwort-Semantik (Fire & Forget ist false).

Aufrufbedingungen und Fehlerbehandlung

Die Ausführung setzt eine zuvor erfolgreich gestartete Update-Sitzung voraus. Erfolgt der Aufruf von StopUpdateSession außerhalb einer aktiven Update-Sitzung, wird die Anfrage abgewiesen und liefert den Fehler kOperationRejected zurück ([SWS_SM_00213], [SWS_SM_91101]).

Systemverhalten und Zustandsübergänge

Der Aufruf beendet die laufende Update-Sitzung (AUTOSAR_AP_SWS_StateManagement S. 90). Im State Management löst dies mehrere koordinierte Aktionen aus:

• Der modellierte Prozess, welcher die StateMachine vom Typ Controller steuert, überführt diese in den Zustand AfterUpdate ([SWS_SM_00646]).
• Das Feld ResetMachineNotifier wird wieder auf seinen Default-Wert zurückgesetzt ([SWS_SM_00660]).
• Für StateMachine-Instanzen vom Typ Controller wird die Blockierung von RequestTransition aufgehoben; nachfolgende Aufrufe antworten nicht mehr mit kUpdateInProgress ([SWS_SM_00647]).
• Die Markierung ImpactedByUpdate wird von betroffenen StateMachine-Instanzen entfernt ([SWS_SM_00656]), wodurch reguläre Zustandswechsel und Recovery Actions wieder freigegeben werden.

Verwendung und Aufrufkontext

Die Servicemethode VerifyUpdate wird von Update and Configuration Management (UCM) über das Service-Interface UpdateRequest aufgerufen, um State Management mit der Verifikation aktualisierter Funktionsgruppen zu beauftragen [SWS_SM_00207]. Als Parameter wird functionGroupList (Typ FunctionGroupListType) übergeben, welcher die Liste der im jeweiligen SoftwareCluster zu prüfenden Funktionsgruppen enthält [SWS_SM_91104]. Da die Methode nicht als Fire-and-Forget definiert ist (Fire & Forget: false), erwartet der Aufrufer eine synchrone bzw. nach Abschluss vorliegende Rückmeldung [SWS_SM_91104].

Reihenfolge und Fehlerbehandlung

Der Aufruf unterliegt strengen Zustandsbedingungen: Er ist nur innerhalb einer aktiven Update-Sitzung zulässig und setzt voraus, dass State Management die Aktualisierung gestattet hat und die Phase PrepareUpdate zuvor erfolgreich abgeschlossen wurde [SWS_SM_91104].

• kOperationRejected: Wird zurückgegeben, wenn der Aufruf außerhalb einer aktiven Update-Sitzung erfolgt [SWS_SM_00213] oder wenn der interne Zustand von State Management bzw. den beteiligten Zustandsmaschinen die Verifikation ablehnt (beispielsweise wenn PrepareUpdate nicht erfolgreich war) [SWS_SM_91104].
• kOperationFailed: Zeigt an, dass die angeforderte Verifikationsoperation fehlgeschlagen ist [SWS_SM_91104].

Zusammenspiel und Nebenläufigkeit

Während der Bearbeitung markiert der steuernde Modellierte Prozess einer StateMachine vom Typ Controller jede Zustandsmaschine als ImpactedByUpdate, deren verwaltete Funktionsgruppen in functionGroupList aufgeführt sind [SWS_SM_00654]. Betrifft dies eine StateMachine vom Typ Agent, wird auch der zugehörige Controller indirekt als ImpactedByUpdate markiert [SWS_SM_00655]. Solange dieser Zustand aktiv ist, werden gemeldete Ausführungsfehler (ExecutionErrorEvent::executionError) von Platform Health Management oder Execution Management ignoriert und lediglich protokolliert [SWS_SM_00664]. Vermutlich werden die betroffenen Zustandsmaschinen während dieses Schritts in den Zustand VerifyUpdate versetzt, der zu den fünf Pflichtzuständen jeder StateMachine zählt AUTOSAR_AP_SWS_StateManagement §7.7.1 „StateMachine introduction“. Frage Q-cd5deaf13acfc2f5 (offen)