classe apext::phm::WatchdogInterface

En tant qu'extension de plateforme, la classe apext::phm::WatchdogInterface constitue l'interface entre le Platform Health Management et le watchdog matériel physique. En fonctionnement normal, le PHM notifie l'interface de manière cyclique via AliveNotification(), l'interface devant déclencher de manière autonome une réaction de watchdog en cas d'absence de message [SWS_PHM_01255]. En cas d'erreurs système critiques, le PHM peut en outre forcer immédiatement une réaction d'erreur du matériel de watchdog via FireWatchdogReaction() [SWS_PHM_01256]. En tant que contrainte centrale, les deux méthodes sont spécifiées sûres pour les threads (thread-safe), mais non sécurisées contre les exceptions.

plus ›

Contexte

Dans le Platform Health Management (PHM) d'AUTOSAR Adaptive, la classe C++ apext::phm::WatchdogInterface représente l'interface vers le matériel de watchdog physique. En tant qu'extension de plateforme (PlatformExtension), elle ne correspond pas à une interface de port AUTOSAR modélisée, mais sert de pont spécifique au constructeur entre le service PHM et le matériel sous-jacent. Le PHM surveille l'exécution des processus et des composants de plateforme. Afin de sécuriser également de manière fiable une défaillance ou un blocage du PHM lui-même, WatchdogInterface raccorde la surveillance matérielle externe ou interne. Via la méthode AliveNotification(), le PHM signale cycliquement son bon fonctionnement à l'interface [SWS_PHM_01255]. Si une erreur système critique survient, le PHM peut demander de manière ciblée la réaction d'erreur côté matériel via la fonction FireWatchdogReaction() [SWS_PHM_01256].

Diagramme de contexte : Intégration de WatchdogInterface entre le PHM et le watchdog matériel. Sources : [SWS_PHM_01255], [SWS_PHM_01256]

Cycle de vie

Comme apext::phm::WatchdogInterface fonctionne comme une extension de plateforme, l'instanciation de l'implémentation d'interface et le raccordement au pilote matériel s'effectuent probablement de façon spécifique à la plateforme pendant l'initialisation du service PHM. Question Q-c2235d5c87e0a675 (ouverte) La durée de vie de l'instance est généralement liée au temps d'exécution du PHM, de sorte qu'aucun cycle de vie dynamique avec création ou destruction multiples pendant le fonctionnement de la plateforme n'est prévu. Concernant la concurrence, les deux fonctions membres de l'interface AliveNotification() et FireWatchdogReaction() sont explicitement déclarées comme sûres pour les threads (thread-safe) [SWS_PHM_01255], [SWS_PHM_01256]. Cela permet au PHM de transmettre des signaux de vie et des messages d'erreur à l'interface de watchdog en parallèle à partir de différents threads de travail internes, sans synchronisation côté appelant.

Parcours d'utilisation

L'interaction typique entre le PHM et l'interface se divise en un cycle de surveillance régulier et une escalade d'erreur :

• Signalement cyclique de vie : le PHM appelle AliveNotification() de manière récurrente dans les limites d'un temps de cycle configuré [SWS_PHM_01255]. Ce temps de cycle ne doit pas nécessairement correspondre à la période de déclenchement réelle du matériel ; l'implémentation met probablement en mémoire tampon ou met à l'échelle en interne les intervalles pour le pilotage du watchdog physique [SWS_PHM_01255]. Question Q-a6c08f102f09c8c1 (ouverte)
• Déclenchement matériel : en présence de notifications régulières, WatchdogInterface assure le service dans les délais de l'unité de watchdog matériel.
• Indication d'erreur ciblée : si le PHM détecte un état non récupérable (unrecoverable) dans les entités surveillées, il appelle immédiatement FireWatchdogReaction() [SWS_PHM_01256].

Diagramme de séquence : Transmission régulière du signal de vie et déclenchement de la réaction de watchdog. Sources : [SWS_PHM_01255], [SWS_PHM_01256]

Scénarios d'erreur

L'interface prend en charge deux mécanismes complémentaires pour le traitement des défaillances système :

D'une part, une absence passive de messages entraîne une réaction du système : si le PHM ne se signale pas dans le délai configuré via AliveNotification(), WatchdogInterface a l'obligation d'engager de manière autonome la réaction de watchdog [SWS_PHM_01255]. De cette façon, les plantages ou interblocages du service PHM lui-même sont interceptés de manière fiable par le matériel.

D'autre part, il existe le chemin d'erreur actif : l'appel explicite de FireWatchdogReaction() déclenche une réaction d'erreur définie du watchdog [SWS_PHM_01256]. Dans les deux cas, l'impact final au niveau du système devrait généralement consister en une réinitialisation matérielle (hardware reset) ou en une transition vers un état sûr. Question Q-817baa072cc94a19 (ouverte)

En ce qui concerne le comportement face aux erreurs dans le code, les deux fonctions membres sont spécifiées comme non sécurisées contre les exceptions (not exception safe) [SWS_PHM_01255], [SWS_PHM_01256]. Le composant appelant ne peut donc s'appuyer sur aucune garantie de traitement d'exception, et l'implémentation de l'interface ne doit émettre aucune exception C++ non gérée.