класс apext::phm::WatchdogInterface

Класс apext::phm::WatchdogInterface в качестве расширения платформы образует интерфейс между Platform Health Management и физическим аппаратным сторожевым таймером. В штатном режиме PHM циклически уведомляет интерфейс через AliveNotification(), причем интерфейс должен самостоятельно инициировать реакцию сторожевого таймера при отсутствии сообщений [SWS_PHM_01255]. При критических системных ошибках PHM может через FireWatchdogReaction() также напрямую принудительно вызвать реакцию на ошибку со стороны аппаратного сторожевого таймера [SWS_PHM_01256]. В качестве ключевого граничного условия оба метода специфицированы как потокобезопасные, но небезопасные относительно исключений.

больше ›

Контекст

C++-класс apext::phm::WatchdogInterface представляет собой интерфейс к физическому аппаратному сторожевому таймеру в Platform Health Management (PHM) стандарта AUTOSAR Adaptive. Являясь расширением платформы (PlatformExtension), он не отображает смоделированный интерфейс портов AUTOSAR, а служит зависящим от поставщика мостом между службой PHM и базовым аппаратным обеспечением. PHM контролирует выполнение процессов и компонентов платформы. Чтобы надежно подстраховать также сбой или блокировку самого PHM, WatchdogInterface подключает внешний или внутренний аппаратный мониторинг. С помощью метода AliveNotification() служба PHM циклически сообщает интерфейсу о своей работоспособности [SWS_PHM_01255]. При возникновении критической системной ошибки PHM может целенаправленно запросить аппаратную реакцию на ошибку через функцию FireWatchdogReaction() [SWS_PHM_01256].

Контекстная диаграмма: интеграция WatchdogInterface между PHM и аппаратным сторожевым таймером. Источники: [SWS_PHM_01255], [SWS_PHM_01256]

Жизненный цикл

Поскольку apext::phm::WatchdogInterface функционирует как расширение платформы, инстанцирование реализации интерфейса и подключение к драйверу оборудования, вероятно, происходят аппаратно-зависимым образом во время инициализации службы PHM. Вопрос Q-c2235d5c87e0a675 (открытый) Время жизни экземпляра обычно привязано ко времени работы PHM, поэтому динамический жизненный цикл с многократным созданием или уничтожением во время работы платформы не предусмотрен. В отношении параллелизма обе интерфейсные функции AliveNotification() и FireWatchdogReaction() явно объявлены как потокобезопасные (thread-safe) [SWS_PHM_01255], [SWS_PHM_01256]. Это позволяет PHM передавать сигналы жизнедеятельности и сообщения об ошибках из различных внутренних рабочих потоков параллельно и без синхронизации на стороне вызывающего объекта в интерфейс сторожевого таймера.

Путь использования

Типичное взаимодействие между PHM и интерфейсом подразделяется на регулярный цикл мониторинга и эскалацию ошибок:

• Циклическая отправка сигналов жизнедеятельности: PHM периодически вызывает AliveNotification() в пределах сконфигурированного времени цикла [SWS_PHM_01255]. Это время цикла не обязательно должно совпадать с реальным периодом срабатывания (триггера) оборудования; вероятно, реализация внутренне буферизует или масштабирует интервалы для управления физическим сторожевым таймером [SWS_PHM_01255]. Вопрос Q-a6c08f102f09c8c1 (открытый)
• Аппаратный триггер: при регулярных сообщениях WatchdogInterface обеспечивает своевременное обслуживание блока аппаратного сторожевого таймера.
• Целенаправленная индикация ошибки: если PHM обнаруживает неустранимое состояние (unrecoverable) в контролируемых сущностях, он немедленно вызывает FireWatchdogReaction() [SWS_PHM_01256].

Диаграмма последовательности: регулярная передача сигналов жизнедеятельности и запуск реакции сторожевого таймера. Источники: [SWS_PHM_01255], [SWS_PHM_01256]

Сценарии ошибок

Интерфейс поддерживает два взаимодополняющих механизма обработки системных сбоев:

С одной стороны, пассивное отсутствие сообщений приводит к реакции системы: если PHM не отправляет подтверждение через AliveNotification() в течение сконфигурированного периода времени, WatchdogInterface обязан самостоятельно инициировать реакцию сторожевого таймера [SWS_PHM_01255]. Благодаря этому сбои или взаимные блокировки (deadlocks) самой службы PHM надежно перехватываются оборудованием.

С другой стороны, существует активный путь обработки ошибок: посредством явного вызова FireWatchdogReaction() запускается определенная реакция сторожевого таймера на ошибку [SWS_PHM_01256]. В обоих случаях итоговое воздействие на системном уровне, вероятно, обычно заключается в аппаратном сбросе (reset) или переводе в безопасное состояние. Вопрос Q-817baa072cc94a19 (открытый)

Что касается поведения при ошибках в коде, обе функции-члена специфицированы как небезопасные относительно исключений (not exception safe) [SWS_PHM_01255], [SWS_PHM_01256]. Таким образом, вызывающий компонент не может опираться на гарантии обработки исключений, а реализация интерфейса не должна генерировать необработанные C++-исключения.