namespace ara::phm

L'espace de noms ara::phm met à disposition des mécanismes pour la surveillance au moment de l'exécution d'entités logicielles en ce qui concerne les signes de vie, les délais et le flux de contrôle sur l'Adaptive Platform [SWS_PHM_01138]. Les anomalies détectées passent par une qualification d'erreur à plusieurs niveaux, allant du filtrage antirebond jusqu'à l'arrêt du système [SWS_PHM_01137]. En cas d'erreurs non résolubles par le State Management, le module prend en charge la réaction aux erreurs et pilote le chien de garde du système (Watchdog) [SWS_PHM_01240].

plus ›

Contexte

L'espace de noms ara::phm représente l'interface C++ du Platform Health Management (PHM) au sein de l'AUTOSAR Adaptive Platform. Sa tâche centrale est la surveillance fonctionnelle d'unités logicielles pour garantir l'intégrité du système. Les entités principales sont SupervisedEntity, qui représentent les processus fonctionnels surveillés, ainsi que la classe abstraite RecoveryAction, par l'intermédiaire de laquelle des mesures de récupération applicatives peuvent être définies. La surveillance est subdivisée via l'énumération TypeOfSupervision [SWS_PHM_01138] en trois mécanismes fondamentaux : la vérification cyclique des signes de vie (kAliveSupervision), le respect des limites temporelles entre points de contrôle (kDeadlineSupervision) ainsi que la vérification de l'ordre d'exécution correct (kLogicalSupervision).

Dans l'ensemble du système, ara::phm n'interagit pas seulement avec les processus applicatifs, mais communique également étroitement avec le démon PHM et le State Management (SM). Si le State Management ne peut pas effectuer une récupération nécessaire, le Platform Health Management fait escalader la résolution d'erreur directement vers le chien de garde matériel ou système [SWS_PHM_01240].

Diagramme de contexte : interaction entre SupervisedEntity, le démon PHM, State Management, RecoveryAction et Watchdog. Sources : [SWS_PHM_01138], [SWS_PHM_01240]

Cycle de vie

Le modèle de cycle de vie et d'état du Platform Health Management est structuré en deux niveaux et fait la distinction entre états de surveillance élémentaires et globaux. Une fonction de surveillance individuelle adopte des états selon ElementarySupervisionStatus [SWS_PHM_01358] : à l'état inactif, elle reste dans kDeactivated, et après l'activation sans erreur, dans kOK. Si une anomalie survient, elle passe d'abord à kFailed tant que l'erreur se situe encore dans les limites des tolérances configurées ou des temps d'antirebond (debouncing). Ce n'est qu'après l'expiration de l'antirebond que l'erreur est considérée comme qualifiée et que l'état passe à kExpired [SWS_PHM_01358].

L'évaluation globale de plusieurs surveillances élémentaires est agrégée dans GlobalSupervisionStatus [SWS_PHM_01137]. Si toutes les surveillances associées sont inactives, l'état global se trouve dans kDeactivated. Dès qu'au moins une surveillance signale kOK et qu'aucune n'est en erreur, l'état global est kOK. Si au moins une surveillance se trouve dans kFailed et aucune dans kExpired, cela se reflète dans l'état global kFailed. Si une surveillance atteint l'état d'erreur qualifié kExpired, l'état global demeure dans kExpired tant que le temps de tolérance défini n'est pas écoulé. Après expiration de ce délai de tolérance, le système passe à l'état final kStopped [SWS_PHM_01137].

Diagramme d'états : transitions d'états de la surveillance globale en fonction de la détection d'erreurs et des temps de tolérance. Sources : [SWS_PHM_01137], [SWS_PHM_01358]

Parcours d'utilisation

Dans un ordre d'intégration typique, une application intègre les classes de l'espace de noms via #include "ara/phm/supervised_entity.h" ou l'en-tête de redirection #include "ara/phm/phm_fwd.h" [SWS_PHM_01358]. L'application instancie et gère un objet de SupervisedEntity qui modélise l'exécution fonctionnelle à sécuriser. Interprétation : via cet objet, l'application signale en fonctionnement normal ses signes de vie ou événements de flux de contrôle au Platform Health Management. Question (ouverte)

Le démon PHM compare en continu les événements signalés avec les critères paramétrés pour kAliveSupervision, kDeadlineSupervision ou kLogicalSupervision [SWS_PHM_01138]. Tant que tous les signaux arrivent dans les délais et conformément aux règles, l'évaluation reste dans l'état kOK [SWS_PHM_01358]. Si des valeurs limites sont enfreintes, la surveillance passe par la qualification d'erreur et déclenche la récupération configurée lorsque kExpired ou kStopped [SWS_PHM_01137] est atteint. L'interface RecoveryAction est alors mise en œuvre, vraisemblablement pour exécuter de façon structurée des contre-mesures propres à l'application avant qu'une escalade vers le State Management n'intervienne. Question (ouverte)

Scénarios d'erreur

Les états d'erreur spécifiques au sein du module sont standardisés au moyen du domaine d'erreur PhmErrorDomain ainsi que de l'énumération PhmErrc [SWS_PHM_01240]. L'énumération définit les codes d'erreur suivants :

• PhmErrc::kOfferFailed (= 2) : Le service n'a pas pu être proposé en raison de l'échec de la communication avec le démon PHM [SWS_PHM_01240].
• PhmErrc::kSMCanNotHandleRecovery (= 3) : Le State Management ne peut pas prendre en charge la récupération demandée ; le Platform Health Management prend alors le relais de la récupération et déclenche le chien de garde [SWS_PHM_01240].
• PhmErrc::kServiceNotReady (= 4) : Une requête ne peut pas être exécutée, car une demande d'activation ou de désactivation (Enable/Disable) est déjà active [SWS_PHM_01240].

Pour générer des objets d'erreur appropriés, l'espace de noms met à disposition la fonction d'aide MakeErrorCode, qui construit un ara::core::ErrorCode à partir d'un PhmErrc et de données supplémentaires spécifiques au constructeur [SWS_PHM_01244]. La référence vers le domaine d'erreur global peut être obtenue via GetPhmDomain [SWS_PHM_01251]. Les deux fonctions sont déclarées comme constexpr et noexcept et garantissent la sécurité vis-à-vis des exceptions ainsi que des threads [SWS_PHM_01244], [SWS_PHM_01251]. En cas d'erreur synchrone ou d'exceptions dans le module, le type d'exception PhmException est en outre appliqué.