klasse apext::phm::WatchdogInterface

De klasse apext::phm::WatchdogInterface vormt als platformextensie de interface tussen het Platform Health Management en de fysieke hardware-watchdog. Het PHM stelt de interface bij normaal bedrijf cyclisch op de hoogte via AliveNotification(), waarbij de interface bij het uitblijven van de melding zelfstandig een watchdog-reactie moet activeren [SWS_PHM_01255]. Bij kritieke systeemfouten kan het PHM via FireWatchdogReaction() bovendien direct een foutreactie van de watchdog-hardware afdwingen [SWS_PHM_01256]. Als centrale randvoorwaarde zijn beide methoden thread-safe, maar niet exception-safe gespecificeerd.

meer ›

Context

De C++-klasse apext::phm::WatchdogInterface vormt in het Platform Health Management (PHM) van AUTOSAR Adaptive de interface naar de fysieke watchdog-hardware. Als platformextensie (PlatformExtension) representeert deze geen gemodelleerde AUTOSAR-poortinterface, maar dient zij als fabrikantspecifieke brug tussen de PHM-service en de onderliggende hardware. Het PHM bewaakt de uitvoering van processen en platformcomponenten. Om ook een uitval of blokkering van het PHM zelf betrouwbaar af te vangen, koppelt de WatchdogInterface de externe of interne hardwarebewaking aan. Via de methode AliveNotification() meldt het PHM cyclisch zijn goede werking aan de interface [SWS_PHM_01255]. Treedt er een kritieke systeemfout op, dan kan het PHM via de functie FireWatchdogReaction() doelgericht de hardwarematige foutreactie aanvragen [SWS_PHM_01256].

Contextdiagram: Integratie van het WatchdogInterface tussen PHM en hardware-watchdog. Bronnen: [SWS_PHM_01255], [SWS_PHM_01256]

Levenscyclus

Aangezien apext::phm::WatchdogInterface als platformextensie fungeert, vindt de instantiëring van de interface-implementatie en de koppeling aan de hardwaredriver vermoedelijk platformspecifiek plaats tijdens de initialisatie van de PHM-service. Vraag Q-c2235d5c87e0a675 (open) De levensduur van de instantie is typisch gebonden aan de runtime van het PHM, zodat er niet voorzien is in een dynamische levenscyclus met meervoudige aanmaak of vernietiging tijdens het platformbedrijf. Wat betreft gelijktijdigheid zijn beide interfacefuncties AliveNotification() en FireWatchdogReaction() expliciet gedeclareerd als thread-safe (thread-safe) [SWS_PHM_01255], [SWS_PHM_01256]. Hierdoor kan het PHM keep-alive-signalen en foutmeldingen vanuit verschillende interne worker-threads parallel en zonder synchronisatie aan aanroeperszijde doorgeven aan de watchdog-interface.

Gebruikspad

De typische interactie tussen het PHM en de interface is onderverdeeld in de reguliere bewakingscyclus en de foutescalatie:

• Cyclische keep-alive-melding: Het PHM roept AliveNotification() herhaaldelijk aan binnen een geconfigureerde cyclustijd [SWS_PHM_01255]. Deze cyclustijd hoeft niet overeen te komen met de werkelijke triggerperiode van de hardware; vermoedelijk buffert of schaalt de implementatie intern de intervallen voor de aansturing van de fysieke watchdog [SWS_PHM_01255]. Vraag Q-a6c08f102f09c8c1 (open)
• Hardware-triggering: De WatchdogInterface zorgt bij regelmatige meldingen voor de tijdige bediening van de hardware-watchdog-eenheid.
• Gerichte foutindicatie: Als het PHM een onherstelbare toestand in de bewaakte entiteiten detecteert, roept het onmiddellijk FireWatchdogReaction() aan [SWS_PHM_01256].

Sequentiediagram: Regelmatige overdracht van keep-alive-signalen en activeren van de watchdog-reactie. Bronnen: [SWS_PHM_01255], [SWS_PHM_01256]

Foutscenario's

De interface ondersteunt twee complementaire mechanismen voor het afhandelen van systeemfouten:

Enerzijds leidt een passief uitblijven van de meldingen tot een systeemreactie: meldt het PHM zich niet binnen de geconfigureerde tijdspanne via AliveNotification(), dan is de WatchdogInterface verplicht om zelfstandig de watchdog-reactie in gang te zetten [SWS_PHM_01255]. Hierdoor worden crashes of deadlocks van de PHM-service zelf betrouwbaar opgevangen door de hardware.

Anderzijds bestaat het actieve fouttraject: via de expliciete aanroep van FireWatchdogReaction() wordt een gedefinieerde foutreactie van de watchdog geactiveerd [SWS_PHM_01256]. In beide gevallen zal het uiteindelijke effect op systeemniveau typisch bestaan uit een hardware-reset of de overgang naar een veilige toestand. Vraag Q-817baa072cc94a19 (open)

Wat betreft het foutgedrag in de code zijn beide lidfuncties gespecificeerd als niet exceptieveilig (not exception safe) [SWS_PHM_01255], [SWS_PHM_01256]. De aanroepende component kan zich dus niet baseren op garanties rond exceptieafhandeling, en de implementatie van de interface mag geen onbehandelde C++-excepties emitteren.