clase ara::diag::SecurityAccess

usar

El método puramente virtual CompareKey de la clase ara::diag::SecurityAccess [SWS_DM_00765] se implementa en la aplicación para validar la clave transmitida por el cliente en el servicio UDS 0x27 (SecurityAccess) SWS Diagnostics §7.3.2.8.9 «Service 0x27 – SecurityAccess». Junto con GetSeed, conforma la base para el mecanismo estático de semilla-clave según ISO 14229-1 [SWS_DM_00863].

Los parámetros de la función comprenden:

• key: Un ara::core::Span<const std::uint8_t> a los datos de clave que se van a comprobar. El búfer sigue siendo válido hasta que se cumpla la promesa asociada o se cancele el procesamiento a través del cancellationHandler [SWS_DM_00765].
• metaInfo: Metainformación de la petición de diagnóstico entrante [SWS_DM_00765].
• cancellationHandler: Permite consultar una cancelación mediante cancellationHandler.IsCanceled, así como registrar una función de notificación vía cancellationHandler.SetNotifier en caso de cancelación de la conversación [SWS_DM_00765].

El resultado de la comprobación se proporciona de forma asíncrona a través de ara::core::Future<KeyCompareResultType> [SWS_DM_00765].

Tratamiento de errores e interacción

Si la comparación de claves falla o se produce un error durante el procesamiento, debe pasarse a través del future un Negative Response Code (NRC) adecuado según ISO 14229-1 mediante DiagUdsNrcErrc [SWS_DM_00765]. Si la subfunción solicitada no está configurada para CompareKey, la petición se responde con NRC 0x12 (kSubFunctionNotSupported) [SWS_DM_00363]. El Diagnostic Server cuenta los intentos fallidos [SWS_DM_00270] y los compara con valores de umbral [SWS_DM_00271].

Si el acceso de seguridad se habilita con éxito, el servidor actualiza internamente el nivel de seguridad [SWS_DM_00846], restablece el contador de intentos fallidos [SWS_DM_00270] y notifica el evento de seguridad SEV_UDS_SECURITY_ACCESS_SUCCESSFUL al IdsM [SWS_DM_02019].

Concurrencia y restricciones

La interfaz está declarada como noexcept y es segura ante excepciones (exception safe) [SWS_DM_00765]. La seguridad frente a hilos es condicional (conditional): Si la implementación debe ser segura frente a hilos se determina mediante el ConcurrencyType pasado en el constructor de SecurityAccess [SWS_DM_00765].

usar

La instancia del servidor de diagnóstico llama al método puramente virtual ara::diag::SecurityAccess::GetSeed tan pronto como se recibe una petición UDS para el servicio 0x27 SecurityAccess y el valor de subfunción transmitido coincide con la requestSeedId configurada [SWS_DM_00863]. Esto forma parte de la implementación conforme a la norma del servicio 0x27 según ISO 14229-1 [SWS_DM_00236].

La llamada pasa los datos útiles proporcionados por el cliente de diagnóstico a través del parámetro securityAccessDataRecord (como ara::core::Span), la información de contexto en metaInfo, así como un objeto del tipo CancellationHandler [SWS_DM_00764]. Si el cliente no ha enviado datos, el span de datos se pasa vacío [SWS_DM_00863]. Los datos pasados siguen siendo válidos hasta que se cumpla la promesa asociada o se cancele el procesamiento [SWS_DM_00764].

Semántica asíncrona y concurrencia

La función devuelve de forma asíncrona un ara::core::Future<ara::core::Vector<std::uint8_t>> que contiene la semilla generada [SWS_DM_00764]. A través del cancellationHandler, la aplicación puede comprobar mediante IsCanceled si la conversación se ha cancelado, o registrar una notificación vía SetNotifier [SWS_DM_00764]. En la aplicación también debe implementarse en GetSeed un mecanismo de semilla estática según ISO 14229-1 SWS Diagnostics §7.3.2.8.9 «Service 0x27 – SecurityAccess».

En cuanto a la concurrencia, el método es condicionalmente seguro frente a hilos: Si la implementación debe ser segura frente a hilos se determina mediante el ConcurrencyType que se pasa al constructor de SecurityAccess SWS Diagnostics §8.24.2.1.3.2 «GetSeed».

Manejo de errores

Si no se puede determinar una semilla válida, el future debe completarse con un Negative Response Code (NRC) adecuado según ISO 14229-1 a través de DiagUdsNrcErrc [SWS_DM_00764]. La interfaz está declarada como noexcept y es segura ante excepciones [SWS_DM_00764].

usar

El método ara::diag::SecurityAccess::Offer ([SWS_DM_00766]) del encabezado ara/diag/security_access.h permite al Diagnostic Manager (DM) reenviar mensajes de solicitud entrantes (Request Messages) al manejador registrado para el acceso de seguridad. La llamada se realiza de forma síncrona sin parámetros de entrada y devuelve un ara::core::Result<void>.

Manejo de errores

En caso de error, el objeto devuelto proporciona un código de error. Si el servicio ya está registrado en la instancia, se devuelve DiagOfferErrc::kAlreadyOffered ([SWS_DM_00766]). La función está declarada como noexcept y garantiza seguridad frente a excepciones (exception safe).

Concurrencia y restricciones

La interfaz está especificada como no segura frente a hilos (not thread-safe) ([SWS_DM_00766]). La aplicación debe sincronizar las llamadas concurrentes en la misma instancia. Interpretación: previsiblemente, las llamadas múltiples no coordinadas se rechazarán siempre con kAlreadyOffered sin haber retirado previamente la oferta. Pregunta Q-848ccd3c78403eea (abierta)

Interacción

Ofrecer funcionalidad mediante Offer sigue el patrón de activación uniforme del diagnóstico de AUTOSAR Adaptive, tal como se define también para ServiceValidation ([SWS_DM_00776]) o DoIPGroupIdentification ([SWS_DM_00725]). A pesar de la coincidencia de nombres con interfaces de comunicación, se trata de una implementación específica de diagnóstico que no debe mezclarse con ara::com (SWS Diagnostics §7.3.4.1.2 «Monitors»).

usar

El constructor explícito inicializa una instancia de ara::diag::SecurityAccess de forma síncrona y segura frente a excepciones ([SWS_DM_00762]). Acepta como parámetros una referencia a un ara::core::InstanceSpecifier así como un ConcurrencyType. El parámetro specifier debe referenciar un PortPrototype modelado que esté tipificado mediante un DiagnosticSecurityLevelInterface. A través de concurrencyType se determina si los métodos de retrollamada de la interfaz se procesan de forma concurrente (kConcurrent) o no concurrente (kNotConcurrent).

Manejo de errores

La función está declarada con noexcept ([SWS_DM_00762]). En caso de configuraciones erróneas del modelado pueden producirse las siguientes violations:

• InstanceSpecifierMappingIntegrityViolation: El InstanceSpecifier no se puede resolver en el contexto de ejecución o no hace referencia a un PortPrototype.
• PortInterfaceMappingViolation: el PortPrototype referenciado no está tipado como DiagnosticSecurityLevelInterface.
• ProcessMappingViolation: No existe un proceso modelado coincidente en tiempo de ejecución para el identificador de instancia.
• InstanceSpecifierAlreadyInUseViolation: el InstanceSpecifier ya se está utilizando dentro del proceso.

Interpretación: Es probable que la aparición de una infracción de este tipo provoque internamente en el framework una interrupción en tiempo de ejecución o un tratamiento de seguridad, dado que el constructor no notifica códigos de error a través de un valor de retorno. Pregunta Q-de6e36dc7947326e (abierta)

Concurrencia y restricciones

El constructor mismo está especificado como seguro para hilos ([SWS_DM_00762]). Los constructores de copia y de movimiento, así como los operadores de asignación correspondientes, están explícitamente eliminados ([SWS_DM_01617], [SWS_DM_01618], [SWS_DM_01615], [SWS_DM_01616]); por tanto, una instancia no puede ni copiarse ni moverse. El concurrencyType pasado en el constructor condiciona si los métodos virtuales GetSeed ([SWS_DM_00764]) y CompareKey ([SWS_DM_00765]) deben proporcionarse de forma segura para hilos. El destructor, por el contrario, no es seguro para hilos ([SWS_DM_00763]).

Interacción

Tras la instanciación, la aplicación debe llamar a Offer ([SWS_DM_00766]) para que el Diagnostic Server (DM) reenvíe las solicitudes UDS entrantes para el servicio 0x27 (SWS Diagnostics §7.3.2.8.9 «Service 0x27 – SecurityAccess», [SWS_DM_00236]). Si la subfunción coincide, el servidor reenvía las solicitudes a GetSeed ([SWS_DM_00863]). El reenvío se puede volver a desactivar con StopOffer ([SWS_DM_00767]).

usar

La función miembro StopOffer de la clase ara::diag::SecurityAccess (encabezado ara/diag/security_access.h) sirve para desactivar el reenvío de mensajes de solicitud entrantes desde Diagnostic Management (DM) a la instancia [SWS_DM_00767]. La llamada se realiza de forma síncrona, no acepta parámetros y no devuelve ningún valor de retorno (void) [SWS_DM_00767].

Manejo de errores

La función está declarada con noexcept y clasificada como segura frente a excepciones (exception safe) [SWS_DM_00767]. No se notifican ni códigos de error ni excepciones de C++; la especificación de la interfaz no contempla un comportamiento erróneo ni un estado de excepción durante la anulación del registro [SWS_DM_00767].

Concurrencia y restricciones

Según la especificación, StopOffer no es seguro para subprocesos (not thread-safe) [SWS_DM_00767]. Si varios subprocesos de una Adaptive Application acceden de forma concurrente a la misma instancia de ara::diag::SecurityAccess, la llamada debe sincronizarse externamente.

Interacción

El método forma parte de un patrón funcional transversal a módulos en el área de DM. Existen métodos StopOffer similares para numerosos servicios de diagnóstico adicionales, tales como:

• ara::diag::Authentication [SWS_DM_01131],
• ara::diag::CommunicationControl [SWS_DM_00810],
• ara::diag::DownloadService [SWS_DM_00793],
• ara::diag::EcuResetRequest [SWS_DM_01017] así como
• ara::diag::GenericRoutine [SWS_DM_00558] y ara::diag::Monitor [SWS_DM_01089].

Aunque la nomenclatura se basa en la provisión de servicios en ara::com, se trata de una implementación de diagnóstico independiente para controlar el flujo de mensajes dentro de ara::diag AUTOSAR_AP_SWS_Diagnostics §7.3.4.1.2 «Monitors».

El destructor virtual ~SecurityAccess [SWS_DM_00763] finaliza el ciclo de vida de una instancia de la clase de servicio ara::diag::SecurityAccess en el módulo Diagnostics AUTOSAR_AP_SWS_Diagnostics §8.24.2.1.1.3 «Destructor». La interfaz se proporciona a través de la cabecera #include "ara/diag/security_access.h" [SWS_DM_00763]. La ejecución se realiza de forma síncrona, en la que la función no acepta parámetros de entrada ni proporciona un valor de retorno [SWS_DM_00763].

Con respecto al tratamiento de errores, la operación está clasificada como exception safe y declarada con noexcept [SWS_DM_00763]. Por consiguiente, no lanza excepciones. En la especificación no están previstos códigos de error específicos ni mensajes de error dirigidos a gestores de errores de desarrollo o de diagnóstico (DET o DEM) para la destrucción del objeto [SWS_DM_00763].

En cuanto a la concurrencia, la función está categorizada expresamente como not thread-safe [SWS_DM_00763]. La destrucción del objeto nunca debe realizarse al mismo tiempo que las llamadas a otros métodos en la misma instancia. Como interpretación: Es de esperar que sea necesario concluir de manera ordenada todas las actividades en curso de diagnóstico y de acceso de seguridad de esta instancia antes de la destrucción, ya que los accesos simultáneos conllevan un comportamiento indefinido. Pregunta Q-12c13e3eebd9e574 (abierta)

En interacción con la plataforma, la función sirve para materializar los requisitos upstream RS_AP_00134 y RS_Diag_04005 AUTOSAR_AP_SWS_Diagnostics §8.24.2.1.1.3 «Destructor».