classe apext::phm::WatchdogInterface

A classe apext::phm::WatchdogInterface atua como uma extensão de plataforma que forma a interface entre o Platform Health Management e o hardware físico de watchdog. Em operação normal, o PHM notifica a interface ciclicamente por meio de AliveNotification(), devendo a interface disparar de forma autônoma uma reação de watchdog caso a notificação não ocorra [SWS_PHM_01255]. Em caso de erros críticos do sistema, o PHM também pode forçar diretamente uma reação de erro do hardware de watchdog via FireWatchdogReaction() [SWS_PHM_01256]. Como restrição central, ambos os métodos são especificados como thread-safe, porém não seguros contra exceções.

mais ›

Contexto

A classe C++ apext::phm::WatchdogInterface representa, no Platform Health Management (PHM) do AUTOSAR Adaptive, a interface com o hardware físico de watchdog. Como extensão de plataforma (PlatformExtension), ela não mapeia uma interface de porta modelada do AUTOSAR, mas serve como uma ponte específica do fabricante entre o serviço do PHM e o hardware subjacente. O PHM monitora a execução de processos e componentes de plataforma. Para resguardar com segurança também uma falha ou um bloqueio do próprio PHM, o WatchdogInterface conecta o monitoramento de hardware externo ou interno. Por meio do método AliveNotification(), o PHM relata ciclicamente sua operacionalidade à interface [SWS_PHM_01255]. Caso ocorra um erro crítico do sistema, o PHM pode solicitar pontualmente a reação de erro no nível de hardware por meio da função FireWatchdogReaction() [SWS_PHM_01256].

Diagrama de contexto: integração do WatchdogInterface entre o PHM e o watchdog por hardware. Fontes: [SWS_PHM_01255], [SWS_PHM_01256]

Ciclo de vida

Como apext::phm::WatchdogInterface atua como uma extensão de plataforma, a instanciação da implementação da interface e a conexão ao driver de hardware devem ocorrer de modo específico da plataforma durante a inicialização do serviço do PHM. Pergunta Q-c2235d5c87e0a675 (aberta) O tempo de vida da instância é tipicamente vinculado ao tempo de execução do PHM, de forma que não há previsão de um ciclo de vida dinâmico com múltiplas instanciações ou destruições durante a operação da plataforma. Quanto à concorrência, ambas as funções de membro AliveNotification() e FireWatchdogReaction() são declaradas explicitamente como thread-safe (thread-safe) [SWS_PHM_01255], [SWS_PHM_01256]. Isso permite ao PHM repassar sinais de vida e mensagens de erro a partir de diferentes threads internas de trabalho para a interface do watchdog de forma concorrente e sem sincronização do lado chamador.

Caminho de utilização

A interação típica entre o PHM e a interface divide-se no ciclo de monitoramento regular e na escalada de erros:

• Notificação cíclica de sinal de vida: o PHM chama AliveNotification() periodicamente dentro de um tempo de ciclo configurado [SWS_PHM_01255]. Esse tempo de ciclo não precisa coincidir com o período real de acionamento do hardware; presumivelmente, a implementação armazena em buffer ou dimensiona internamente os intervalos para o acionamento do watchdog físico [SWS_PHM_01255]. Pergunta Q-a6c08f102f09c8c1 (aberta)
• Acionamento do hardware: em caso de mensagens regulares, o WatchdogInterface garante o atendimento tempestivo da unidade de watchdog por hardware.
• Indicação direcionada de erro: se o PHM detectar um estado unrecoverable nas entidades monitoradas, ele chama imediatamente FireWatchdogReaction() [SWS_PHM_01256].

Diagrama de sequência: transmissão periódica de sinal de vida e disparo da reação de watchdog. Fontes: [SWS_PHM_01255], [SWS_PHM_01256]

Cenários de erro

A interface oferece suporte a dois mecanismos complementares para o tratamento de falhas do sistema:

Por um lado, a ausência passiva de notificações resulta em uma reação do sistema: se o PHM não se manifestar dentro do período configurado por meio de AliveNotification(), o WatchdogInterface é obrigado a iniciar de forma autônoma a reação de watchdog [SWS_PHM_01255]. Dessa forma, travamentos ou deadlocks do próprio serviço PHM são interceptados com segurança pelo hardware.

Por outro lado, existe o fluxo de erro ativo: por meio da chamada explícita de FireWatchdogReaction(), dispara-se uma reação de erro definida do watchdog [SWS_PHM_01256]. Em ambos os casos, o impacto final no nível de sistema consiste tipicamente em uma reinicialização de hardware (reset) ou na transição para um estado seguro. Pergunta Q-817baa072cc94a19 (aberta)

Em relação ao comportamento de erro no código, ambas as funções de membro são especificadas como não seguras contra exceções (not exception safe) [SWS_PHM_01255], [SWS_PHM_01256]. O componente chamador não pode, portanto, contar com garantias de tratamento de exceções, e a implementação da interface não deve emitir exceções C++ não tratadas.