module ara::ucm — Update and Configuration Management

Het Functional Cluster Update and Configuration Management bestuurt de transactionele installatie, verificatie en activering van softwarepakketten op een Adaptive-machine (AUTOSAR_AP_EXP_SWArchitecture p. 138). De service-interface PackageManagement realiseert hiertoe een driefasige pijplijn bestaande uit gegevensoverdracht, pakketverwerking en aansluitende omschakeling via Activate ([SWS_UCM_00352]). Bij optredende fouten of ontbrekende afhankelijkheden waarborgen gestandaardiseerde mechanismen zoals Rollback en RevertProcessedSwPackages het veilige herstel van de vorige systeemtoestand ([SWS_UCM_00350], [SWS_UCM_00353]).

meer ›

Update and Configuration Management (UCM) is een op daemons gebaseerde Functional Cluster van het AUTOSAR Adaptive Platform, die de servicegerichte interface PackageManagement via ara::com beschikbaar stelt ([SWS_UCM_00361], AUTOSAR_AP_EXP_SWArchitecture p. 138). UCM fungeert als lokaal uitvoeringsorgaan voor OTA-clients, diagnosetoepassingen of het voertuigbrede Vehicle Update and Configuration Management (V-UCM) en wordt bij multi-ECU-configuraties via een voertuigbreed unieke instantie-identificatie met behulp van GetId geadresseerd ([SWS_UCM_00343], TPS_ManifestSpecification p. 631).

Het updateproces voltrekt zich in drie fasen: gegevensoverdracht, verwerking en activering (AUTOSAR_AP_SWS_UpdateAndConfigurationManagement p. 136). Softwarepakketten kunnen op elk moment bloksgewijs via TransferStart, TransferData en TransferExit worden gestreamd of via RegisterSoftwarePackage als bestaand URI-pad worden geregistreerd ([SWS_UCM_00344], [SWS_UCM_00345], [SWS_UCM_00346]). Niet meer benodigde overdrachten kunnen met DeleteTransfer worden verwijderd ([SWS_UCM_00348]).

Sequentiediagram: Overdracht van een softwarepakket via bloksgewijze streaming of directe URI-registratie. Bronnen: [SWS_UCM_00344], [SWS_UCM_00345], [SWS_UCM_00346], [SWS_UCM_00347], AUTOSAR_AP_SWS_UpdateAndConfigurationManagement p. 136, AUTOSAR_AP_SWS_UpdateAndConfigurationManagement p. 137.

De verwerking wordt geactiveerd met ProcessSwPackage, waarbij UCM pakketmanifesten en handtekeningen controleert, de doelclusters uitpakt en de voortgang weergeeft in het statusveld CurrentStatus en via GetProgress ([SWS_UCM_00349], [SWS_UCM_00360], [SWS_UCM_00361]). Na een succesvolle voorbereiding schakelt Activate in afstemming met State Management en Execution Management over naar de nieuwe clusters, waarna Finish tijdelijke brongegevens opschoont ([SWS_UCM_00352], [SWS_UCM_00354], AUTOSAR_AP_EXP_PlatformDesign p. 77).

Sequentiediagram: activering, platformstatusovergang en het opschonen van de softwarepakketten. Bronnen: [SWS_UCM_00352], [SWS_UCM_00354], AUTOSAR_AP_EXP_PlatformDesign p. 77.

Foutieve verwerkingen leiden tot de status kProcessingFailed, terwijl onvolledige campagnes vóór de activering met RevertProcessedSwPackages en na een mislukte omschakeling met Rollback transactioneel worden teruggezet naar de uitgangsstatus ([SWS_UCM_00350], [SWS_UCM_00353], AUTOSAR_AP_SWS_UpdateAndConfigurationManagement p. 38). Voor statusinspectie en auditing dienen GetSwClusterInfo, GetSwClusterChangeInfo en GetHistory ([SWS_UCM_00355], [SWS_UCM_00356], [SWS_UCM_00357]).

meer ›

Rol en functionele systeemgrenzen binnen het platformverband

Het functionele cluster Update and Configuration Management (UCM) vormt de centrale platformcomponent van het AUTOSAR Adaptive Platform voor het veilig, transactioneel bijwerken, installeren en de-installeren van applicatie- en platformsoftware op machineniveau (AUTOSAR_AP_EXP_SWArchitecture p. 138). Technisch is het UCM gerealiseerd als een systeembrede achtergronddienst (daemon-based) en stelt het zijn kernfunctionaliteit beschikbaar via de primaire ara::com-service-interface PackageManagement ([SWS_UCM_00361], AUTOSAR_AP_SWS_UpdateAndConfigurationManagement p. 90). Tot de consumerende entiteiten behoren voertuiginterne Over-the-Air-clients (OTA-clients), diagnosetesters via Diagnostic Management en overkoepelende coördinatoren zoals het Vehicle Update and Configuration Management (V-UCM) (AUTOSAR_AP_SWS_UpdateAndConfigurationManagement p. 17).

Binnen een gelaagde voertuigarchitectuur fungeert het UCM als lokaal uitvoeringsorgaan (UCM Subordinate), terwijl het voertuigcentrale V-UCM softwareondersteunde campagnes over meerdere regeleenheden orkestreert (SWS_VehicleUpdateAndConfigurationManagement p. 16, AUTOSAR_AP_SWS_VehicleUpdateAndConfigurationManagement p. 12). Om de centrale orchestrator in staat te stellen meerdere gedistribueerde UCM-instanties op verschillende machines te adresseren, stelt elke instantie via de methode GetId haar unieke identifier beschikbaar ([SWS_UCM_00343]). Deze identifier moet volgens de manifestspecificaties voertuigbreed machinespecifiek uniek geconfigureerd zijn (TPS_ManifestSpecification p. 631).

Contextdiagram: functionele inbedding van de UCM-daemon in de Adaptive Platform en interactie met clients en platformclusters. Bronnen: AUTOSAR_AP_EXP_SWArchitecture p. 138, AUTOSAR_AP_SWS_UpdateAndConfigurationManagement p. 17, SWS_VehicleUpdateAndConfigurationManagement p. 16.

Beschikbaarstelling en overdracht van softwarepakketten

De levenscyclus van een software-update is standaard onderverdeeld in de drie macrofasen gegevensoverdracht (Data Transmission), pakketverwerking (Processing) en activering (Activation) (AUTOSAR_AP_SWS_UpdateAndConfigurationManagement p. 136). Een essentieel architectuurkenmerk van het UCM is de ontkoppeling van de gegevensoverdracht van de interne verwerkings- en pakketbeheerstatussen: softwarepakketten kunnen op elk gewenst moment tijdens normaal bedrijf naar de machine worden overgedragen (SWS_UpdateAndConfigurationManagement p. 38).

Voor de beschikbaarstelling van softwarepakketten definieert de interface PackageManagement twee complementaire mechanismen:

• Bloksgewijze streaming: De client initieert de overdracht door het aanroepen van TransferStart onder opgave van de totale grootte in bytes en ontvangt een unieke TransferIdType evenals de maximaal toelaatbare blokgrootte ([SWS_UCM_00345]). Vervolgens worden de gegevensfragmenten sequentieel overgedragen met TransferData en een doorlopende blokteller ([SWS_UCM_00346], AUTOSAR_AP_SWS_UpdateAndConfigurationManagement p. 136). De formele afronding wordt gevormd door de methode-aanroep TransferExit ([SWS_UCM_00347]).
• URI-gebaseerde registratie: Als het pakket al buiten UCM beschikbaar is gesteld (bijv. via een achtergrond-downloadmanager of voorafgaande opslag in het lokale bestandssysteem), kan de client het pakket via RegisterSoftwarePackage registreren onder opgave van een gestandaardiseerd URI-pad ([SWS_UCM_00344], AUTOSAR_AP_SWS_UpdateAndConfigurationManagement p. 137).

In beide gevallen wijst UCM een unieke TransferId toe aan het pakket, waarmee alle opvolgende acties worden gerefereerd. Overgedragen, maar nog niet verwerkte pakketten kunnen bij annulering of geheugenopschoning met DeleteTransfer expliciet uit het tijdelijke geheugen worden verwijderd ([SWS_UCM_00348]).

Sequentiediagram: Overdracht van een softwarepakket via bloksgewijze streaming of directe URI-registratie. Bronnen: [SWS_UCM_00344], [SWS_UCM_00345], [SWS_UCM_00346], [SWS_UCM_00347], AUTOSAR_AP_SWS_UpdateAndConfigurationManagement p. 136, AUTOSAR_AP_SWS_UpdateAndConfigurationManagement p. 137.

Verwerking en verificatie in het lokale UCM

Na succesvolle overdracht of registratie start de client via de methode ProcessSwPackage de verwerking van het pakket ([SWS_UCM_00349]). De verwerking omvat het uitpakken van de softwareclusters, het inlezen van de manifesten, integriteits- en authenticiteitscontroles en de statische validatie van clusterafhankelijkheden (EXP_SWArchitecture p. 185). Een individueel softwarepakket kan executables van Adaptive Applications, besturingssysteem- of firmware-updates en configuratie- en kalibratiegegevens inkapselen (SWS_UpdateAndConfigurationManagement p. 27).

De aanroep van ProcessSwPackage brengt het service-field CurrentStatus in de toestand kProcessing ([SWS_UCM_00361], AUTOSAR_AP_SWS_UpdateAndConfigurationManagement p. 123). Clients kunnen zich op het field abonneren of de actuele voortgang bewaken via de opvraagmethode GetProgress ([SWS_UCM_00360]). Daarnaast maakt GetSwPackages het opvragen van alle actueel in het UCM bekende softwarepakketten en hun verwerkingsstatus mogelijk ([SWS_UCM_00359]). Lopende tijdintensieve verwerkingsstappen kunnen desgewenst met Suspend worden onderbroken en op een later tijdstip met behulp van Resume worden voortgezet ([SWS_UCM_00397], [SWS_UCM_00398]). Als de verwerking wordt afgebroken, kan het proces gecontroleerd worden gestopt met Cancel ([SWS_UCM_00351]).

Sequentiediagram: pakketverwerking met statusovergang en voortgangsbewaking. Bronnen: [SWS_UCM_00349], [SWS_UCM_00360], [SWS_UCM_00361], AUTOSAR_AP_SWS_UpdateAndConfigurationManagement p. 123.

Activeringsworkflow en platformstatuswissel

Wanneer alle voor een campagne bestemde pakketten succesvol zijn verwerkt, leidt de client met de synchrone aanroep van Activate de activering van de nieuwe softwareclusters in ([SWS_UCM_00352]). Voorwaarde hiervoor is dat het UCM zich in een consistente rusttoestand bevindt en er geen actieve verwerkings- of afbreektaak loopt (EXP_SWArchitecture p. 185). UCM coördineert de activeringsstap nauw met State Management (SM) en Execution Management (EM): lopende processen van de oude versie worden ordentelijk beëindigd, persistentiegegevensstructuren gemigreerd en de nieuwe applicatie-instanties gestart (AUTOSAR_AP_EXP_PlatformDesign p. 77).

Het manifest-metamodel van het Adaptive Platform ondersteunt meerstaps activeringsstappen (SoftwarePackageStep), waardoor de volgorde van de pakketverwerking flexibel kan worden ontkoppeld van de voorbereiding en het feitelijke omschakelmoment (activationSwitch=True) (AUTOSAR_TPS_ManifestSpecification p. 642). Na succesvolle omschakeling en verificatie van de nieuwe softwareversies sluit de client de campagne af met Finish ([SWS_UCM_00354]). Deze aanroep voert een definitieve opschoning uit, verwijdert de bronpakketten uit het tijdelijke geheugen en brengt de softwareclusters over naar de permanente toestand (EXP_SWArchitecture p. 138).

Sequentiediagram: activering, platformstatusovergang en het opschonen van de softwarepakketten. Bronnen: [SWS_UCM_00352], [SWS_UCM_00354], AUTOSAR_AP_EXP_PlatformDesign p. 77.

Clusterlevenscyclus, opvraag-API's en audithistorie

Softwareclusters (SwCluster) hebben een welgedefinieerde levenscyclus: na succesvolle verwerking via ProcessSwPackage gaat een nieuw toegevoegd cluster over naar de status kAdded, terwijl een bijgewerkt cluster de status kUpdating aanneemt (SWS_UpdateAndConfigurationManagement p. 24). Pas bij de afsluitende aanroep van Finish na de activering gaan deze clusters over naar de stabiele productieve toestand kPresent (SWS_UpdateAndConfigurationManagement p. 24). Voor softwarepakketten zelf bestaan ontkoppelde toestandsautomaten: de TransferState (statussen kTransferring, kTransferred) en de ProcessingState (statussen kReady, kProcessing, kProcessed, kProcessingFailed) maken ook zuivere streamingscenario's mogelijk zonder voorafgaande tussenopslag van het gehele pakket (AUTOSAR_AP_SWS_UpdateAndConfigurationManagement p. 38).

Tijdens runtime stelt het UCM uitgebreide informatie-interfaces beschikbaar voor systeeminspectie:

• GetSwClusterInfo levert een lijst op van alle actueel actieve softwareclusters in de status kPresent inclusief versie-identifiers ([SWS_UCM_00357]).
• GetSwClusterChangeInfo meldt alle aanstaande wijzigingen (toe te voegen, bij te werken of te verwijderen clusters) vóór de definitieve activering ([SWS_UCM_00356]).
• GetSwClusterManifestInfo maakt het gericht opvragen van manifestdetails van een specifiek geïnstalleerd softwarecluster mogelijk ([SWS_UCM_00358]).
• GetHistory maakt het uitlezen mogelijk van een chronologische audittrail van alle UCM-acties binnen een gedefinieerd tijdsinterval voor naadloze tracering in het vlootbeheer ([SWS_UCM_00355], AUTOSAR_AP_SWS_UpdateAndConfigurationManagement p. 86).

Toestandsdiagram: ontkoppelde toestandsautomaten voor gegevensoverdracht en verwerking van een softwarepakket. Bronnen: AUTOSAR_AP_SWS_UpdateAndConfigurationManagement p. 38, AUTOSAR_SWS_UpdateAndConfigManagement p. 20.

Toestandsdiagram: levenscyclus van een softwarecluster van de voorbereiding tot de definitieve activering. Bronnen: SWS_UpdateAndConfigurationManagement p. 24, AUTOSAR_AP_SWS_UpdateAndConfigurationManagement p. 87.

Gedrag bij fouten en transactiebeveiliging

Om de functionele veiligheid en systeemstabiliteit van de regeleenheid onder alle bedrijfsomstandigheden te waarborgen, dwingt UCM strikte consistentiecontroles af en biedt het terugvalmechanismen voor elke fase van het updateproces. Als de validatie of installatie tijdens de pakketverwerking mislukt, gaat het betreffende pakket over naar de status kProcessingFailed (AUTOSAR_AP_SWS_UpdateAndConfigurationManagement p. 38). Als reeds verwerkte pakketten vóór de activering moeten worden verworpen, zet RevertProcessedSwPackages alle tijdelijke bestands- en configuratiewijzigingen gezamenlijk terug ([SWS_UCM_00350]).

Wordt tijdens de activeringsstap een fout vastgesteld – bijvoorbeeld door onoplosbare afhankelijkheden (kDependencyMissing), mislukte geheugenallocaties (kPersistencyAllocationFailed) of fouten in de updatesessie met State Management ([SWS_UCM_00352]) –, dan breekt UCM de activering af. In een dergelijk foutgeval herstelt de methode Rollback het gehele platform naar de exacte toestand van vóór het begin van de pakketverwerking ([SWS_UCM_00353]). Interpretatie: Hierbij maakt UCM vermoedelijk gebruik van redundante geheugenstructuren zoals A/B-partities of bestandssysteemsnapshots om de ongewijzigde oude versies zonder gegevensverlies weer in bedrijf te nemen (AUTOSAR_AP_EXP_SWArchitecture p. 138). Vraag Q-8d85be7343a9aace (open)

Op interfaceniveau worden ontoelaatbare aanroepen (bijv. activeringspogingen bij ontbrekende pakketten of parallelle aanroepen tijdens actieve operaties) deterministisch afgewezen via de foutcode kOperationNotPermitted ([SWS_UCM_00347], [SWS_UCM_00352]). Interpretatie: UCM blokkeert tijdens lopende activerings- of rollbackprocessen vermoedelijk strikt alle gelijktijdige wijzigingsaanroepen om race conditions bij de partitieomschakeling te voorkomen (EXP_SWArchitecture p. 185). Ongeldige of onbekende sessie-identifiers beantwoordt UCM met de applicatiefout kTransferIdInvalid ([SWS_UCM_00348], [SWS_UCM_00351]). Vraag Q-60859031e6230a65 (open)

Verdere gedetailleerde bewijzen

De architectuur van het UCM en de servicegeoriënteerde inbedding ervan zijn bindend vastgelegd in de volgende kernspecificaties:

• PackageManagement Service-interface en overdrachtsprotocol: [SWS_UCM_00345], [SWS_UCM_00346], [SWS_UCM_00347], AUTOSAR_AP_SWS_UpdateAndConfigurationManagement p. 85.
• Verwerking, statusovergangen en foutafhandeling: [SWS_UCM_00349], [SWS_UCM_00350], [SWS_UCM_00352], [SWS_UCM_00353], AUTOSAR_AP_SWS_UpdateAndConfigurationManagement p. 38.
• Statusinspectie, datamodel van softwareclusters en historie: [SWS_UCM_00355], [SWS_UCM_00356], [SWS_UCM_00357], AUTOSAR_AP_SWS_UpdateAndConfigurationManagement p. 86, AUTOSAR_AP_SWS_UpdateAndConfigurationManagement p. 87.
• Multi-ECU-coördinatie en interactie met het Vehicle UCM: [SWS_UCM_00343], SWS_VehicleUpdateAndConfigurationManagement p. 16, TPS_ManifestSpecification p. 631.