module ara::exec — Execution Management

De module Execution Management beheert als centrale platformdaemon de deterministische levenscyclus van POSIX-processen op het AUTOSAR Adaptive Platform (AUTOSAR AP SWS ExecutionManagement p. 18). Deze ontvangt uitvoeringstoestanden via de ExecutionClient ([SWS_EM_02003]) en implementeert door State Management opgedragen functiegroeptransities asynchroon door het starten en beëindigen van processen ([SWS_EM_02278]). Essentiële randvoorwaarden zijn het verbod op startafhankelijkheden over functiegroepen heen en de strikte foutescalatie bij termijnoverschrijdingen (SWS ExecutionManagement p. 65).

meer ›

Het functionele cluster Execution Management (EM) vormt de centrale platformdaemon van het AUTOSAR Adaptive Platform voor deterministisch procesbeheer en levenscyclusbesturing in de POSIX-gebruikersruimte (AUTOSAR AP SWS ExecutionManagement p. 18). Het maakt een strikt onderscheid tussen beleidsbeslissing (Policy) en technische afdwinging (Mechanism): terwijl State Management de doeltoestanden voorschrijft, controleert EM het aanmaken van processen, volgorden en signaalafhandeling (AUTOSAR AP EXP SWArchitecture p. 56). Via de [SWS_EM_02562] ExecutionClient melden applicaties en platformservices hun toestand [SWS_EM_02000] kRunning via [SWS_EM_02003] ReportExecutionState(), terwijl State Management via de [SWS_EM_02276] StateClient toestandsovergangen aanvraagt (AUTOSAR AP EXP SWArchitecture p. 48).

Contextdiagram: inbedding van Execution Management als centrale daemon tussen State Management, POSIX-besturingssysteem en clientprocessen. Bronnen: AUTOSAR AP EXP SWArchitecture p. 56, AUTOSAR AP SWS ExecutionManagement p. 18, [SWS_EM_02003], [SWS_EM_02278].

Na het starten door het besturingssysteem initieert EM het State Management en synchroniseert dit via [SWS_EM_02279] GetInitialMachineStateTransitionResult() met de machinetoestand Startup (AUTOSAR AP SWS ExecutionManagement p. 52). Opeenvolgende transities van [SWS_EM_02586] FunctionGroup-toestanden worden met [SWS_EM_02278] SetState() asynchroon in gang gezet: EM beëindigt niet meer benodigde processen ordelijk via SIGTERM, start vervolgprocessen met inachtneming van lokale startafhankelijkheden en lost de resulterende Future in zodra alle processen operationeel zijn (AUTOSAR AP SWS ExecutionManagement p. 53, SWS ExecutionManagement p. 71).

Sequentiediagram: succesvolle toestandsovergang van een Function Group met ordelijke procesbeëindiging en procesherstart. Bronnen: AUTOSAR AP SWS ExecutionManagement p. 53, AUTOSAR AP SWS StateManagement p. 26, [SWS_EM_02278], [SWS_EM_02003].

Ter borging van realtime-eisen ondersteunt EM deterministische proces-pre-mapping ter voorkoming van page faults (SWS ExecutionManagement p. 82), evenals deterministische worker-pools en synchronisatiemechanismen (SWS ExecutionManagement p. 86, SWS ExecutionManagement p. 92). Schendt een proces zijn starttijdvenster, dan treedt de foutafhandeling in werking: EM beëindigt het proces, brengt de Function Group in een Undefined State, roept de geregistreerde callback aan ([SWS_EM_02276]) en stelt foutdetails via [SWS_EM_02542] GetExecutionError() en het modulefoutdomein [SWS_EM_02281] ExecErrc beschikbaar (AUTOSAR AP SWS ExecutionManagement p. 54).

meer ›

Systeemgrenzen en functionele rol van Execution Management

De module exec (Execution Management, EM) vormt de centrale platformservice van het AUTOSAR Adaptive Platform voor deterministisch proces- en levenscyclusbeheer in de op POSIX gebaseerde user space (AUTOSAR AP SWS ExecutionManagement p. 18). Bepalend voor de architectuur is de strikte scheiding tussen besturingsbeslissing (Policy) en technische afdwinging (Mechanism): terwijl het functionele cluster State Management overkoepelende bedrijfsmodi en transitiebeslissingen neemt, fungeert Execution Management als uitvoerende instantie voor procesallocatie, startvolgorden, monitoring en beëindiging (AUTOSAR AP EXP SWArchitecture p. 56).

Execution Management realiseert native C++-runtime-interfaces voor twee complementaire rollen: via de klasse [SWS_EM_02562] ara::exec::ExecutionClient melden applicatieprocessen evenals platforminterne daemons (zoals Diagnostic Management, Platform Health Management of Communication Management) hun uitvoeringstoestand aan de daemon (AUTOSAR AP EXP SWArchitecture p. 48, AUTOSAR AP SWS CommunicationManagement p. 34). Via de interface [SWS_EM_02276] ara::exec::StateClient communiceert State Management met de daemon om functiegroep- en machinetransities aan te vragen en statusmeldingen op te vragen (AUTOSAR AP SWS ExecutionManagement p. 17).

Contextdiagram: inbedding van Execution Management als centrale daemon tussen State Management, POSIX-besturingssysteem en clientprocessen. Bronnen: AUTOSAR AP EXP SWArchitecture p. 56, AUTOSAR AP SWS ExecutionManagement p. 18, [SWS_EM_02003], [SWS_EM_02278].

Toestandsarchitectuur en meertraps levenscyclusmodel

Het toestandsbeheer in Execution Management opereert op drie met elkaar gecorreleerde hiërarchieniveaus: de overkoepelende functiegroeptoestanden (Function Group States), de externe besturingssysteem-levenscyclustoestanden vanuit het perspectief van de daemon (Process States) evenals de procesinterne toestanden (Execution States) (AUTOSAR EXP PlatformDesign p. 29, AUTOSAR AP SWS ExecutionManagement p. 62). Op daemonniveau doorloopt een geconfigureerd proces doorgaans de keten Idle, Starting, Running, Terminating en Terminated (AUTOSAR AP SWS StateManagement p. 32).

Voor het procesinterne perspectief definieert de module de enumeratie [SWS_EM_02000] ara::exec::ExecutionState. Normatief aan Execution Management te melden is daarbij de toestand kRunning via de elementfunctie [SWS_EM_02003] ReportExecutionState(). Voorafgaande fasen zoals Initializing zijn voor Execution Management impliciete toestanden, die direct beginnen bij de eerste scheduling van het POSIX-proces voorafgaand aan de uitvoering van applicatiecode ([SWS_EM_02000], AUTOSAR EXP AdaptivePlatformInterfacesGuidelines p. 11). Applicatieve bedrijfs- en energiemodi (PowerModes) vormen geen besturingssysteemtoestanden, maar zijn logisch gekoppeld aan de actieve levenscyclusfase Running (AUTOSAR AP SWS StateManagement p. 32).

Toestandsdiagram: correlatie van de functiegroeptoestanden met de levenscyclusfasen in Execution Management en de interne procestoestanden. Bronnen: AUTOSAR EXP PlatformDesign p. 29, AUTOSAR AP SWS ExecutionManagement p. 32, [SWS_EM_02000].

Deterministische platformopstart en initialisatie

Het opstarten van het AUTOSAR Adaptive Platform vindt plaats in een strikt gecoördineerde sequentie vanuit de besturingssysteemkernel (AUTOSAR EXP SWArchitecture p. 148). Het besturingssysteem start Execution Management via het programma-instappunt main() (AUTOSAR AP SWS ExecutionManagement p. 52). Onmiddellijk na de zelfinitialisatie creëert Execution Management het proces van State Management (AUTOSAR AP SWS StateManagement p. 25).

Zodra State Management is geïnitialiseerd, meldt het zijn operationele gereedheid met [SWS_EM_02003] ReportExecutionState(ExecutionState::kRunning) via ExecutionClient aan Execution Management (AUTOSAR AP SWS ExecutionManagement p. 52). Vervolgens synchroniseert State Management zich via [SWS_EM_02279] GetInitialMachineStateTransitionResult() met de voltooiing van de initiële machinetransitie naar de toestand Startup; deze methode levert een ara::core::Future<void> op ([SWS_EM_02279], AUTOSAR EXP SWArchitecture p. 151). Pas na succesvolle inlossing van deze future verzoekt State Management om de overgang naar opvolgende functiegroeptoestanden (AUTOSAR AP SWS StateManagement p. 24).

Sequentiediagram: platformopstart vanaf de initialisatie door het besturingssysteem via de start van State Management tot de vrijgave van de vervolgtoestand. Bronnen: AUTOSAR AP SWS ExecutionManagement p. 52, AUTOSAR AP SWS StateManagement p. 25, [SWS_EM_02279], [SWS_EM_02003].

Besturing van functiegroepen en asynchrone toestandstransities

Toestandswisselingen worden applicatief gemodelleerd via representanten van de klassen [SWS_EM_02586] ara::exec::FunctionGroup en [SWS_EM_02324] ara::exec::FunctionGroupState. Om deterministisch bronbeheer te waarborgen is FunctionGroup niet kopieerbaar ([SWS_EM_02322], [SWS_EM_02327]), maar uitsluitend verplaatsbaar ([SWS_EM_02328], [SWS_EM_02329]) en via instantievergelijkingen evalueerbaar ([SWS_EM_02267], [SWS_EM_02268]). FunctionGroupState verbindt een functiegroep met een doeltoestand ([SWS_EM_02324]) en ondersteunt zowel kopieer- als verplaatssemantiek ([SWS_EM_02325], [SWS_EM_02330], [SWS_EM_02331], [SWS_EM_02332], [SWS_EM_02273], [SWS_EM_02274]).

State Management initieert een transitie door het aanroepen van [SWS_EM_02278] StateClient::SetState(), wat synchroon een ara::core::Future<void> retourneert (AUTOSAR AP SWS StateManagement p. 31). Execution Management voert vervolgens de transitieketen uit: lopende processen die in de doeltoestand niet meer geconfigureerd zijn, ontvangen een SIGTERM-signaal (AUTOSAR AP SWS ExecutionManagement p. 53). Na beëindiging hiervan start EM de voor de doeltoestand voorziene processen en wacht op hun statusmelding via [SWS_EM_02003] ReportExecutionState() (AUTOSAR AP SWS StateManagement p. 26, AUTOSAR SWS ExecutionManagement p. 49). Pas wanneer alle betrokken processen succesvol zijn gestart, wordt de future van SetState() positief ingelost (AUTOSAR AP SWS ExecutionManagement p. 53).

Startafhankelijkheden (Execution Dependencies) mogen nooit over de grenzen van een afzonderlijke functiegroep of zelfs over verschillende toestanden heen worden gedefinieerd (SWS ExecutionManagement p. 65). Bij toestandswisselingen voert Execution Management de resolutie van de startafhankelijkheden strikt uit voor de processen van de opgevraagde doeltoestand (RequestedState) (SWS ExecutionManagement p. 71). Wijken de startconfiguraties van een proces tussen uitgangs- en doeltoestand van elkaar af, dan dwingt Execution Management een herstart ervan af (SWS ExecutionManagement p. 65).

Sequentiediagram: succesvolle toestandsovergang van een Function Group met ordelijke procesbeëindiging en procesherstart. Bronnen: AUTOSAR AP SWS ExecutionManagement p. 53, AUTOSAR AP SWS StateManagement p. 26, [SWS_EM_02278], [SWS_EM_02003].

Procesconfiguratie, geheugenallocatie en pre-mapping

In reële systemen bestaan naast standaardtoepassingen ook processen zonder geïntegreerde toestandsrapportage (Non-reporting Processes). Dergelijke processen gaan na de start automatisch over naar de uitvoeringstoestand Running (SWS ExecutionManagement p. 44). Om afhankelijkheidsketens desalniettemin te borgen, kan een projectspecifiek begeleidend proces (Companion Process) worden voorgeschakeld, dat de functionele inzetbaarheid van het non-reporting-proces evalueert en plaatsvervangend [SWS_EM_02003] kRunning meldt voordat afhankelijke opvolgende processen worden gestart (SWS ExecutionManagement p. 44, SWS ExecutionManagement p. 48).

Wat betreft de resourcebehoefte begrenst de parameter resourceConsumption.memoryUsage het werkgeheugen dat door het proces zelf kan worden gealloceerd, wat op POSIX-systemen typisch via RLIMIT_AS wordt geïmplementeerd (SWS ExecutionManagement p. 82, SWS ExecutionManagement p. 104). Om temporeel determinisme en functionele veiligheid te waarborgen ondersteunt Execution Management pre-mapping (Pre-mapping): als Process.preMapping in het manifest is geactiveerd, mapt EM de code en de datagebieden van het proces vooraf volledig in het fysieke geheugen (SWS ExecutionManagement p. 82). Dit voorkomt vertragingen door vraaggestuurd nalezen (demand-loading) bij de eerste toegang, waarborgt de permanente beschikbaarheid van veiligheidskritische foutafhandelingsroutines en beschermt tegen latere fouten door beschadigde bestandssystemen (SWS ExecutionManagement p. 82).

Deterministische uitvoeringstijd en synchronisatiemodellen

Voor real-time-kritische toepassingen stelt Execution Management mechanismen voor deterministische uitvoering beschikbaar (SWS ExecutionManagement p. 79). Cyclische processen interageren via een wachtpunt-API met de client, die modi zoals service-discovery, initialisatie, uitvoering en beëindiging controleert (SWS ExecutionManagement p. 79). Parallelle gegevensverwerking wordt geabstraheerd via worker pools: om datadeterminisme te waarborgen is gegevensuitwisseling tussen concurrente instanties van WorkerRunnable verboden (SWS ExecutionManagement p. 86).

Voor de synchronisatie van meerdere redundante of gedistribueerde processen wordt de DeterministicSyncMaster gebruikt (SWS ExecutionManagement p. 92). Bij gebeurtenisgestuurde activering bepaalt een configureerbare richtlijn (zoals een M-uit-N-meerderheidsbesluit) wanneer synchronisatieresponses worden verzonden (SWS ExecutionManagement p. 92). Bij periodieke activering vindt eenmalig synchronisatie aan het begin plaats, waarna een globale tijdstempelbuffer de startcyclus vastlegt en opvolgende cycli autonoom via lokale tellers en termijnbewaking worden gestuurd (SWS ExecutionManagement p. 92). De sync-master kan hetzij als zelfstandig proces worden geleverd, hetzij in het kader van een software-lockstep-framework als bibliotheek worden geïntegreerd (SWS ExecutionManagement p. 94, SWS ExecutionManagement p. 95).

Gedrag in het foutgeval

In geval van fouten is de architectuur volgens het algemene fouttolerantieschema onderverdeeld in foutdetectie (Error Detection) en daaropvolgend foutherstel (Error Recovery) (SWS ExecutionManagement p. 86, SWS ExecutionManagement p. 107). Treedt tijdens een functiegroep-toestandswisseling een start-up-timeout op – bijvoorbeeld doordat een startend proces binnen de geparametriseerde termijn geen [SWS_EM_02003] ReportExecutionState(kRunning) verstuurt –, dan breekt Execution Management de reguliere afloop af (AUTOSAR AP SWS ExecutionManagement p. 54).

De interne escalatie omvat in dit geval vermoedelijk de gedwongen beëindiging van het foutieve proces via SIGKILL; na uitputting van geconfigureerde herstartpogingen gaat de getroffen functiegroep over naar een onbepaalde toestand (Undefined Function Group State) (AUTOSAR AP SWS ExecutionManagement p. 54, [SWS_EM_02542]). Vraag Q-5a8b6ad2e9e22eb4 (open) Bij intrede in een onbepaalde toestand triggert Execution Management de bij de instantiatie van StateClient doorgegeven callback undefinedStateCallback ([SWS_EM_02276], [SWS_EM_02561]). State Management kan vervolgens via [SWS_EM_02542] GetExecutionError() het bijbehorende event ara::exec::ExecutionErrorEvent opvragen, dat de foutieve functiegroep ([SWS_EM_02546]) en de foutcode [SWS_EM_02541] ExecutionError ([SWS_EM_02545]) levert ([SWS_EM_02542]). Bevindt de functiegroep zich weer in een gedefinieerde toestand, dan mislukt GetExecutionError() ([SWS_EM_02542]).

Sequentiediagram: foutafhandeling bij de start-up-timeout van een proces tijdens een toestandstransitie. Bronnen: AUTOSAR AP SWS ExecutionManagement p. 54, [SWS_EM_02278], [SWS_EM_02276], [SWS_EM_02542].

Voor uniforme foutafhandeling beschikt de module over het foutdomein [SWS_EM_02286] ara::exec::ExecErrorDomain (opvraagbaar via [SWS_EM_02290] GetExecErrorDomain(), identificatienaam via [SWS_EM_02287] Name(), tekstmeldingen via [SWS_EM_02288] Message()). Specifieke uitvoeringsfouten worden gerepresenteerd door de enumeratiecode [SWS_EM_02281] ExecErrc (zoals kNoCommunication) en geconstrueerd via [SWS_EM_02291] MakeErrorCode(). Bij geactiveerde exceptieafhandeling kunnen fouten via [SWS_EM_02289] ThrowAsException() als [SWS_EM_02283] ExecException worden geworpen. Bovendien zorgt de destructor [SWS_EM_02002] ~ExecutionClient() ervoor dat eerder overgenomen handlers voor SIGTERM weer naar hun oorspronkelijke waarde worden teruggezet, terwijl bij procescreatie doorgegeven afbreek-callbacks in werking treden bij ontvangst van een beëindigingssignaal ([SWS_EM_02560], [SWS_EM_02562]). Verdergaande herstelacties (recovery actions zoals herstart van het proces of overgang naar noodloop) worden in samenwerking met Platform Health Management georkestreerd (AUTOSAR SWS ExecutionManagement p. 54).

Verdere gedetailleerde bewijzen

Het volgende overzicht koppelt de bepalende specificatie-eisen en bewijsplaatsen aan de behandelde themagebieden:

Onderwerp	Essentiële referenties	Functionele betekenis
Proces-toestandsmelding	[SWS_EM_02000], [SWS_EM_02003], [SWS_EM_02562]	Definieert ExecutionState, creatie van ExecutionClient en melding van kRunning.
Functiegroepbesturing	[SWS_EM_02278], [SWS_EM_02586], [SWS_EM_02324]	Asynchrone toestandstransitie via SetState(), instantiatie van FunctionGroup en FunctionGroupState.
Platformopstart	[SWS_EM_02279], AUTOSAR AP SWS ExecutionManagement S. 52	Synchronisatie van State Management naar de initiële machinetoestand Startup.
Foutafhandeling & callbacks	[SWS_EM_02276], [SWS_EM_02542], [SWS_EM_02281]	Registratie van de undefinedStateCallback, opvragen van ExecutionErrorEvent, foutdomein ExecErrc.
Geheugendeterminisme	SWS ExecutionManagement S. 82	Volledige pre-mapping van processen ter vermijding van latenties door demand-loading.