classe ara::diag::SecurityAccess

usar

O método puramente virtual CompareKey da classe ara::diag::SecurityAccess [SWS_DM_00765] é implementado do lado da aplicação para validar a chave transmitida pelo cliente no serviço UDS 0x27 (SecurityAccess) SWS Diagnostics §7.3.2.8.9 «Service 0x27 – SecurityAccess». Juntamente com GetSeed, ele forma a base para o mecanismo de seed-key estático de acordo com a ISO 14229-1 [SWS_DM_00863].

Os parâmetros da função abrangem:

• key: Um ara::core::Span<const std::uint8_t> para os dados da chave a serem verificados. O buffer permanece válido até que a respetiva promise seja satisfeita ou o processamento seja cancelado através do cancellationHandler [SWS_DM_00765].
• metaInfo: Metainformações da solicitação de diagnóstico recebida [SWS_DM_00765].
• cancellationHandler: Permite consultar um cancelamento através de cancellationHandler.IsCanceled, bem como registrar uma função de notificação via cancellationHandler.SetNotifier em caso de cancelamento da conversa [SWS_DM_00765].

O resultado do teste é disponibilizado de forma assíncrona através de ara::core::Future<KeyCompareResultType> [SWS_DM_00765].

Tratamento de erros e interação

Se a comparação de chaves falhar ou se ocorrer um erro durante o processamento, um Negative Response Code (NRC) apropriado em conformidade com a ISO 14229-1 deve ser transmitido através do Future por meio de DiagUdsNrcErrc [SWS_DM_00765]. Se a subfunção solicitada não estiver configurada para CompareKey, a solicitação será respondida com NRC 0x12 (kSubFunctionNotSupported) [SWS_DM_00363]. O Diagnostic Server conta as tentativas com falha [SWS_DM_00270] e as compara com valores de limiar [SWS_DM_00271].

Se o acesso de segurança for desbloqueado com sucesso, o servidor atualiza internamente o nível de segurança [SWS_DM_00846], redefine o contador de tentativas falhadas [SWS_DM_00270] e reporta o evento de segurança SEV_UDS_SECURITY_ACCESS_SUCCESSFUL ao IdsM [SWS_DM_02019].

Simultaneidade e restrições

A interface está declarada como noexcept e é segura para exceções (exception safe) [SWS_DM_00765]. A segurança de thread é condicional (conditional): se a implementação precisa ser segura para threads é determinado através do ConcurrencyType passado no construtor de SecurityAccess [SWS_DM_00765].

usar

O método puramente virtual ara::diag::SecurityAccess::GetSeed é chamado pela instância do servidor de diagnóstico assim que uma solicitação UDS para o serviço 0x27 SecurityAccess é recebida e o valor da subfunção transmitido coincide com a requestSeedId configurada [SWS_DM_00863]. Isto faz parte da implementação em conformidade com as normas do serviço 0x27 de acordo com a ISO 14229-1 [SWS_DM_00236].

A chamada passa os dados úteis fornecidos pelo cliente de diagnóstico através do parâmetro securityAccessDataRecord (como ara::core::Span), as informações de contexto em metaInfo bem como um objeto do tipo CancellationHandler [SWS_DM_00764]. Se o cliente não tiver enviado dados, o span de dados é passado vazio [SWS_DM_00863]. Os dados passados permanecem válidos até que a respetiva promise seja satisfeita ou o processamento seja cancelado [SWS_DM_00764].

Semântica assíncrona e concorrência

A função retorna de forma assíncrona um ara::core::Future<ara::core::Vector<std::uint8_t>> contendo o seed gerado [SWS_DM_00764]. Através do cancellationHandler, a aplicação pode verificar mediante IsCanceled se a conversação foi cancelada, ou registar uma notificação via SetNotifier [SWS_DM_00764]. Também um mecanismo de seed estático de acordo com a ISO 14229-1 deve ser implementado do lado da aplicação em GetSeed SWS Diagnostics §7.3.2.8.9 «Service 0x27 – SecurityAccess».

Em relação à concorrência, o método é condicionalmente seguro para threads: se a implementação deve ser segura para threads é determinado através do ConcurrencyType passado ao construtor de SecurityAccess SWS Diagnostics §8.24.2.1.3.2 «GetSeed».

Tratamento de erros

Se nenhum seed válido puder ser determinado, o future deve ser concluído com um Negative Response Code (NRC) apropriado de acordo com a ISO 14229-1 através de DiagUdsNrcErrc [SWS_DM_00764]. A interface é declarada como noexcept e segura contra exceções [SWS_DM_00764].

usar

O método ara::diag::SecurityAccess::Offer ([SWS_DM_00766]) do cabeçalho ara/diag/security_access.h permite ao Diagnostic Manager (DM) encaminhar mensagens de requisição (Request Messages) recebidas para o manipulador registrado para o acesso de segurança. A chamada ocorre de forma síncrona sem parâmetros de entrada e retorna um ara::core::Result<void>.

Tratamento de erros

Em caso de falha, o objeto de retorno fornece um código de erro. Se o serviço já estiver registrado na instância, DiagOfferErrc::kAlreadyOffered é retornado ([SWS_DM_00766]). A função está declarada como noexcept e garante segurança contra exceções (exception safe).

Simultaneidade e restrições

A interface está especificada como não thread-safe (not thread-safe) ([SWS_DM_00766]). Chamadas concorrentes na mesma instância devem ser sincronizadas pela aplicação. Interpretação: chamadas múltiplas e não coordenadas presumivelmente seriam sempre rejeitadas com kAlreadyOffered sem a revogação prévia da oferta. Pergunta Q-848ccd3c78403eea (aberta)

Interação

A oferta de funcionalidade por meio de Offer segue o padrão de ativação uniforme do diagnóstico AUTOSAR Adaptive, como também definido para ServiceValidation ([SWS_DM_00776]) ou DoIPGroupIdentification ([SWS_DM_00725]). Apesar da homonímia com interfaces de comunicação, trata-se de uma implementação específica de diagnóstico que não deve ser misturada com ara::com (SWS Diagnostics §7.3.4.1.2 «Monitors»).

usar

O construtor explícito inicializa uma instância de ara::diag::SecurityAccess de forma síncrona e segura contra exceções ([SWS_DM_00762]). Recebe como parâmetros uma referência para um ara::core::InstanceSpecifier bem como um ConcurrencyType. O parâmetro specifier tem de referenciar um PortPrototype modelado que esteja tipificado por um DiagnosticSecurityLevelInterface. Através de concurrencyType define-se se os métodos de callback da interface são processados de forma concorrente (kConcurrent) ou não concorrente (kNotConcurrent).

Tratamento de erros

A função está declarada com noexcept ([SWS_DM_00762]). Em caso de configurações incorretas da modelação, podem ocorrer as seguintes violações:

• InstanceSpecifierMappingIntegrityViolation: O InstanceSpecifier não pode ser resolvido no contexto de execução ou não faz referência a um PortPrototype.
• PortInterfaceMappingViolation: o PortPrototype referenciado não está tipificado como DiagnosticSecurityLevelInterface.
• ProcessMappingViolation: Não existe nenhum processo modelado correspondente em tempo de execução para o identificador de instância.
• InstanceSpecifierAlreadyInUseViolation: o InstanceSpecifier já está a ser utilizado dentro do processo.

Interpretação: a ocorrência de uma violação deste tipo deverá levar internamente no framework a uma interrupção em tempo de execução ou a um tratamento de segurança, uma vez que o construtor não reporta códigos de erro através de um valor de retorno. Pergunta Q-de6e36dc7947326e (aberta)

Simultaneidade e restrições

O próprio construtor está especificado como seguro para threads ([SWS_DM_00762]). Os construtores de cópia e de movimentação, bem como os respetivos operadores de atribuição, estão explicitamente eliminados ([SWS_DM_01617], [SWS_DM_01618], [SWS_DM_01615], [SWS_DM_01616]); uma instância não pode, portanto, ser copiada nem movida. O concurrencyType passado no construtor determina se os métodos virtuais GetSeed ([SWS_DM_00764]) e CompareKey ([SWS_DM_00765]) têm de ser disponibilizados de forma segura para threads. Já o destrutor não é seguro para threads ([SWS_DM_00763]).

Interação

Após a instanciação, a aplicação tem de chamar Offer ([SWS_DM_00766]) para que o Diagnostic Server (DM) encaminhe pedidos UDS recebidos para o serviço 0x27 (SWS Diagnostics §7.3.2.8.9 «Service 0x27 – SecurityAccess», [SWS_DM_00236]). Se a subfunção for correspondente, o servidor encaminha os pedidos para GetSeed ([SWS_DM_00863]). O encaminhamento pode ser desativado novamente com StopOffer ([SWS_DM_00767]).

usar

A função-membro StopOffer da classe ara::diag::SecurityAccess (cabeçalho ara/diag/security_access.h) serve para desativar o encaminhamento de mensagens de solicitação recebidas do Diagnostic Management (DM) para a instância [SWS_DM_00767]. A chamada ocorre de forma síncrona, não aceita parâmetros e não possui valor de retorno (void) [SWS_DM_00767].

Tratamento de erros

A função é declarada com noexcept e classificada como segura contra exceções (exception safe) [SWS_DM_00767]. Não são relatados códigos de erro nem exceções C++; um comportamento incorreto ou estado de exceção durante o cancelamento de registro não está previsto na especificação da interface [SWS_DM_00767].

Simultaneidade e restrições

Segundo a especificação, StopOffer não é seguro para threads (not thread-safe) [SWS_DM_00767]. Se múltiplas threads de uma Adaptive Application acessarem concorrentemente a mesma instância de ara::diag::SecurityAccess, a chamada deverá ser sincronizada externamente.

Interação

O método faz parte de um padrão funcional intermodular na área de DM. Métodos StopOffer semelhantes existem para inúmeros outros serviços de diagnóstico, tais como:

• ara::diag::Authentication [SWS_DM_01131],
• ara::diag::CommunicationControl [SWS_DM_00810],
• ara::diag::DownloadService [SWS_DM_00793],
• ara::diag::EcuResetRequest [SWS_DM_01017] bem como
• ara::diag::GenericRoutine [SWS_DM_00558] e ara::diag::Monitor [SWS_DM_01089].

Embora a nomenclatura seja inspirada na disponibilização de serviços em ara::com, trata-se de uma implementação de diagnóstico independente para controlar o fluxo de mensagens dentro de ara::diag AUTOSAR_AP_SWS_Diagnostics §7.3.4.1.2 «Monitors».

O destruidor virtual ~SecurityAccess [SWS_DM_00763] encerra o ciclo de vida de uma instância da classe de serviço ara::diag::SecurityAccess no módulo Diagnostics AUTOSAR_AP_SWS_Diagnostics §8.24.2.1.1.3 «Destructor». A interface é disponibilizada através do cabeçalho #include "ara/diag/security_access.h" [SWS_DM_00763]. A execução ocorre de forma síncrona, não recebendo a função parâmetros de passagem nem fornecendo valor de retorno [SWS_DM_00763].

No que diz respeito ao tratamento de erros, a operação é classificada como exception safe e declarada com noexcept [SWS_DM_00763]. Consequentemente, não lança quaisquer exceções. Códigos de erro específicos, bem como mensagens de erro para gestores de erros de desenvolvimento ou de diagnóstico (DET ou DEM), não estão previstos na especificação para a destruição do objeto [SWS_DM_00763].

Relativamente à concorrência, a função é expressamente classificada como not thread-safe [SWS_DM_00763]. A destruição do objeto nunca deve ocorrer em simultâneo com chamadas de outros métodos na mesma instância. Aplica-se como interpretação: Deverá ser necessário concluir de forma ordenada todas as atividades de diagnóstico e de acesso de segurança em curso desta instância antes da destruição, uma vez que acessos simultâneos levam a comportamento indefinido. Pergunta Q-12c13e3eebd9e574 (aberta)

Na interação com a plataforma, a função serve para a implementação dos upstream requirements RS_AP_00134 e RS_Diag_04005 AUTOSAR_AP_SWS_Diagnostics §8.24.2.1.1.3 «Destructor».