Watchdog Manager (WdgM)

Использование

Функция WdgM_Init синхронно инициализирует Watchdog Manager и является нереэнтрантной [SWS_WdgM_00151]. Единственным входным параметром выступает ConfigPtr, указывающий на данные конфигурации этапа post-build (WdgM_ConfigType) [SWS_WdgM_00151]. Формально функция не имеет возвращаемого значения (void) [SWS_WdgM_00151].

Обработка ошибок и граничные условия

Перед инициализацией Watchdog Manager должен находиться в состоянии WDGM_GLOBAL_STATUS_DEACTIVATED: если параметр конфигурации разработки WdgMDevErrorDetect деактивирован и модуль не находится в этом состоянии, WdgM_Init завершается без выполнения действий [SWS_WdgM_00390].

Если переключатель конфигурации WdgMOffModeEnabled не активирован и начальный режим, заданный через ConfigPtr, отключил бы сторожевой таймер (WDGIF_OFF_MODE), функция прерывает работу без выполнения дальнейших действий и сообщает об ошибке времени выполнения WDGM_E_DISABLE_NOT_ALLOWED в Default Error Tracer (DET) [SWS_WdgM_00030]. Требуемый спецификацией возврат с E_NOT_OK при этом следует интерпретировать как внутреннее прерывание по ошибке, поскольку сигнатура предписывает void [SWS_WdgM_00151]. Вопрос Q-83a164f8f4669d4d (открытый)

Взаимодействие и последовательность

• Диагностика ошибок перед инициализацией: функция WdgM_GetFirstExpiredSEID() должна быть доступна еще до вызова WdgM_Init, чтобы считать ID ранее завершившейся по таймауту контролируемой сущности (SEID) [SWS_WdgM_00348].
• Очистка RAM: во время инициализации WdgM_Init удаляет сохраненное в неинициализированной RAM дважды инвертированное значение SEID первой завершившейся по таймауту сущности [SWS_WdgM_00370].
• Сообщение о статусе в DEM: в рамках первого вызова WdgM_MainFunction после WdgM_Init модуль при установленном параметре WdgMDemStoppedSupervisionReport сообщает статус PASSED для WDGM_E_SUPERVISION в DEM [SWS_WdgM_00408].

Использование

Синхронная функция WdgM_DeInit служит для деинициализации Watchdog Manager [SWS_WdgM_00261]. Интерфейс имеет идентификатор сервиса (Service-ID) 0x01, предоставляется через заголовочный файл WdgM.h и не принимает входных параметров, а также не возвращает вызывающей стороне возвращаемого значения [SWS_WdgM_00261]. В качестве контекста вызова, предположительно, предусмотрена упорядоченная последовательность выключения (Shutdown Sequence) электронного блока управления (ЭБУ), в которой активные контроли перед отключением контролируемо завершаются. Вопрос Q-50d7e49c71d2dfd3 (открытый)

Функциональный объем и взаимодействие

В рамках деинициализации модуль WdgM полностью останавливает функции контроля (Supervision Functions) во всех сконфигурированных алгоритмах контроля (Supervision Algorithms) и одновременно завершает обслуживание сторожевого таймера (Watchdog Handling) [SWS_WdgM_00407].

Обработка ошибок и граничные условия

Если в момент вызова Watchdog Manager уже находится в глобальном состоянии WDGM_GLOBAL_STATUS_DEACTIVATED, поведение зависит от параметра конфигурации WdgMDevErrorDetect: если это обнаружение ошибок разработки отключено, WdgM_DeInit возвращает управление немедленно и без какого-либо эффекта [SWS_WdgM_00388].

Относительно параллелизма установлено, что функция является нереентерабельной [SWS_WdgM_00261]. Поэтому вызов ни в коем случае не должен происходить с прерыванием или параллельно из нескольких контекстов.

Использование и семантика

Функция WdgM_SetMode служит для синхронного переключения Watchdog Manager в один из сконфигурированных рабочих режимов ([SWS_WdgM_00154]). В качестве входного параметра она ожидает Mode типа WdgM_ModeType. Возвращаемое значение Std_ReturnType сигнализирует с помощью E_OK об успешном выполнении смены режима, а с помощью E_NOT_OK — о сбое ([SWS_WdgM_00154]).

Ограничения и обработка ошибок

Функция является нереентерабельной (Non Reentrant) ([SWS_WdgM_00154]). Выполнение привязано к текущему глобальному статусу Watchdog Manager:

• Если модуль находится не в статусе WDGM_GLOBAL_STATUS_OK и не в WDGM_GLOBAL_STATUS_FAILED, функция возвращает управление без выполнения каких-либо действий ([SWS_WdgM_00145]).
• Если параметр конфигурации WdgMDevErrorDetect деактивирован, вызов в статусе WDGM_GLOBAL_STATUS_DEACTIVATED остается без какого-либо эффекта ([SWS_WdgM_00392]).

Взаимодействие и последствия

При наличии действительного глобального статуса (WDGM_GLOBAL_STATUS_OK или WDGM_GLOBAL_STATUS_FAILED) WdgM_SetMode обновляет контролируемые сущности, а также сторожевые таймеры:

• Для каждой Supervised Entity, активированной в целевом режиме, текущее состояние сохраняется ([SWS_WdgM_00182]).
• Для каждой Supervised Entity, деактивированной в целевом режиме, локальное состояние меняется на WDGM_LOCAL_STATUS_DEACTIVATED; результаты Active, Deadline и Logical Supervision устанавливаются в корректное значение, а счетчик ошибочных циклов сбрасывается в 0 ([SWS_WdgM_00315]). Благодаря переходу в режим с деактивацией сущности также устраняются ошибки, которые ранее привели к WDGM_GLOBAL_STATUS_FAILED ([SWS_WdgM_00182]).
• В заключение сконфигурированные параметры режима сторожевого таймера активируются для каждого аппаратного сторожевого таймера через интерфейс WdgIf_SetMode ([SWS_WdgM_00186]).

Использование и семантика

Синхронная функция сообщает в Watchdog Manager о достижении контрольного пункта внутри Supervised Entity [SWS_WdgM_00263]. В качестве входных параметров она принимает идентификатор контролируемой сущности (SEID), а также идентификатор достигнутого контрольного пункта (CheckpointID) и возвращает E_OK при успешном обновлении счетчика активности (Alive-счетчика) или E_NOT_OK при возникновении ошибок [SWS_WdgM_00263].

Обработка ошибок и статус

Если Watchdog Manager находится в статусе WDGM_GLOBAL_STATUS_DEACTIVATED, поведение зависит от конфигурации флага разработки: при активированном WdgMDevErrorDetect функция сообщает об ошибке WDGM_E_UNINIT в Default Error Tracer (DET) и завершается без каких-либо дальнейших действий [SWS_WdgM_00279]. Если WdgMDevErrorDetect деактивирован, возврат происходит без сообщения и без какого-либо действия [SWS_WdgM_00394].

Конкурентность и дедлайны

Вызов специфицирован как реэнтрантный [SWS_WdgM_00263]. Для определения временных меток и разностей времени при контроле дедлайнов функция использует функцию OS GetElapsedValue со сконфигурированным для сущности CounterID [SWS_WdgM_00373]. Масштабирование разностей времени под предельные значения осуществляется через параметр OsSecondsPerTick [SWS_WdgM_00374]. Если при вызове в активном режиме достигнут Deadline End Checkpoint, а временная метка соответствующего Start-Checkpoint равна 0, функция успешно завершается без измерения разности [SWS_WdgM_00354].

Использование и контекст вызова

Синхронная функция WdgM_PerformReset предписывает модулю Watchdog Manager инициировать сброс сторожевым таймером [SWS_WdgM_00264]. Интерфейс объявляется через заголовочный файл WdgM.h и имеет идентификатор сервиса (Service-ID) 0x0f [SWS_WdgM_00264]. Она не принимает ни входных, ни выходных параметров и не возвращает возвращаемого значения [SWS_WdgM_00264].

Параллелизм и ограничения

Поскольку WdgM_PerformReset определена как нереентерабельная (Non Reentrant), параллельный или прерывающий многократный вызов не допускается [SWS_WdgM_00264]. Вызывающие стороны должны гарантировать, что вызовы синхронизированы или выполняются исключительно из подходящего контекста.

Зависимое от состояния поведение и обработка ошибок

Выполнение зависит от глобальных состояний Watchdog Manager: если параметр конфигурации WdgMDevErrorDetect отключен и модуль находится в глобальном статусе WDGM_GLOBAL_STATUS_DEACTIVATED, функция возвращает управление без какого-либо действия [SWS_WdgM_00401]. Сброс в этом случае полностью отменяется. Поведение при включенном обнаружении ошибок разработки (WdgMDevErrorDetect) в полезной нагрузке не специфицировано; интерпретация: в этом случае в отключенном состоянии, вероятно, регистрируется соответствующая ошибка разработки. Вопрос Q-8a726bba4154540f (открытый)

Применение и циклический процесс

Функция WdgM_MainFunction выполняет периодические задачи Watchdog Manager [SWS_WdgM_00159]. Она имеет сигнатуру void WdgM_MainFunction(void), не принимает параметров, не возвращает значения и предоставляется через заголовочный файл SchM_WdgM.h [SWS_WdgM_00159]. При первом вызове после инициализации модуля она запускает как все функции контроля (для всех алгоритмов контроля, включая эталонные циклы), так и обработку сторожевого таймера [SWS_WdgM_00406].

Контроль дедлайнов и обнаружение таймаутов

В циклических вызовах WdgM_MainFunction выполняет контроль дедлайнов для обнаружения таймаутов для всех сущностей с активным контролем и обновляет их результат [SWS_WdgM_00404]:

• Если обнаружение активировано через WdgMEnableTimeoutDetection, функция проверяет все сконфигурированные в активном режиме контроли дедлайнов, для которых был зарегистрирован начальный контрольный пункт (Start-Checkpoint), однако соответствующий конечный контрольный пункт (End-Checkpoint) еще ожидается [SWS_WdgM_00403].
• Если измеренная разность времени до текущей временной метки превышает максимум WdgMDeadlineMax, функция устанавливает результат контроля Supervised Entity в ошибочный (incorrect) [SWS_WdgM_00403].

Взаимодействие с операционной системой

Для определения временных меток и разностей WdgM_MainFunction вызывает функцию OS GetElapsedValue со сконфигурированным для сущности идентификатором счетчика (параметр WdgMOSCounter) [SWS_WdgM_00373]. Масштабирование значений разности под предельные значения WdgMDeadlineMin и WdgMDeadlineMax осуществляется на основе параметра OsSecondsPerTick [SWS_WdgM_00374].

Тип WdgM_Mode определен как Mode Declaration Group категории EXPLICIT_ORDER и служит для представления состояний контроля модуля [SWS_WdgM_00334].

Использование и диапазон значений

В качестве начального режима задан SUPERVISION_OK [SWS_WdgM_00334]. Для отдельных режимов заданы явные числовые значения [SWS_WdgM_00334]:

• SUPERVISION_OK = 0
• SUPERVISION_FAILED = 1
• SUPERVISION_EXPIRED = 2
• SUPERVISION_STOPPED = 3
• SUPERVISION_DEACTIVATED = 4

Для значения перехода (on transition value) между режимами определено значение 255 [SWS_WdgM_00334].

Взаимодействие

Благодаря отнесению к категории EXPLICIT_ORDER и присвоению фиксированных порядковых значений данная группа, по-видимому, предназначена для упорядоченного отображения статуса внутри Watchdog Manager [SWS_WdgM_00334]. Вопрос Q-47c55c3bc2e2a23d (открытый)

Тип WdgM_LocalStatusType используется для переменных, отображающих текущий локальный статус контроля отдельной контролируемой сущности (Supervised Entity) в Watchdog Manager [SWS_WdgM_00359]. Тип данных является производным от базового типа uint8 и предоставляется через заголовочный файл Rte_WdgM_Type.h [SWS_WdgM_00359].

Диапазон значений включает четыре дискретных состояния согласно [SWS_WdgM_00359]:

• WDGM_LOCAL_STATUS_OK (значение 0): контроль Supervised Entity не содержит ошибок.
• WDGM_LOCAL_STATUS_FAILED (значение 1): контроль завершился сбоем, однако состояние еще может быть восстановлено («healed»), если сущность вернется к нормальному поведению. Это применимо до тех пор, пока не превышен конфигурируемый предел ошибок; в противном случае статус переходит в WDGM_LOCAL_STATUS_EXPIRED.
• WDGM_LOCAL_STATUS_EXPIRED (значение 2): контроль завершился необратимым сбоем; выйти из этого состояния невозможно.
• WDGM_LOCAL_STATUS_DEACTIVATED (значение 4): локальный контроль Supervised Entity временно деактивирован.

Вследствие определения в Rte_WdgM_Type.h данный тип, по-видимому, в первую очередь предназначен для межкомпонентного и проходящего через RTE обмена состояниями контроля [SWS_WdgM_00359]. Вопрос Q-a9e584dc4c7cfa3b (открытый)

Тип данных WdgM_GlobalStatusType служит для определения переменных, представляющих глобальный статус контроля модуля Watchdog Manager [SWS_WdgM_00360]. Он является производным от базового типа uint8 и предоставляется через заголовочный файл Rte_WdgM_Type.h [SWS_WdgM_00360].

Диапазон значений включает пять определенных состояний контроля [SWS_WdgM_00360]:

• WDGM_GLOBAL_STATUS_OK (0): контроль не содержит никаких ошибок.
• WDGM_GLOBAL_STATUS_FAILED (1): контроль завершился сбоем, однако все еще находится в пределах допустимого лимита ошибок.
• WDGM_GLOBAL_STATUS_EXPIRED (2): контроль завершился сбоем и допустимый лимит ошибок был превышен, однако драйверу сторожевого таймера еще не была дана команда прекратить запуск триггера.
• WDGM_GLOBAL_STATUS_STOPPED (3): лимит ошибок был превышен и драйверу сторожевого таймера была дана команда прекратить запуск триггера, вследствие чего сброс сторожевого таймера непосредственно неизбежен.
• WDGM_GLOBAL_STATUS_DEACTIVATED (4): модуль WdgM не инициализирован и поэтому не управляет сторожевыми таймерами.

Через эти состояния данный тип отображает полный цикл контроля, начиная от деактивации перед инициализацией, через штатную или отказоустойчивую работу и заканчивая многоуровневой эскалацией с окончательным сбросом сторожевого таймера при сохраняющихся ошибках [SWS_WdgM_00360].

Тип данных WdgM_ModeType служит для однозначного различения различных режимов, спроектированных для Watchdog Manager [SWS_WdgM_00358]. Он предоставляется для программных компонентов и модулей базового ПО через заголовочный файл Rte_WdgM_Type.h [SWS_WdgM_00358].

Согласно спецификации [SWS_WdgM_00358], тип обладает следующими свойствами:

• Базовый тип: WdgM_ModeType является производным от стандартного типа данных uint8 [SWS_WdgM_00358].
• Диапазон значений: диапазон значений охватывает от 0 до <Number of Modes> [SWS_WdgM_00358].
• Зависимость от конфигурации: фактический верхний предел диапазона значений определяется количеством режимов, сконфигурированных для Watchdog Manager [SWS_WdgM_00358].

Поскольку речь идет об определении типа, параметры времени выполнения, коды ошибок или семантики асинхронности отсутствуют. Интерпретация: на основании объявления в Rte_WdgM_Type.h, WdgM_ModeType, вероятно, преимущественно используется для обмена информацией о режимах через интерфейсы RTE между прикладным ПО и Watchdog Manager. Вопрос Q-27975280bc68720e (открытый)

Элемент globalmode согласно спецификации [SWS_WdgM_00150] определен как предоставляемый порт (Provided Port Interface) Watchdog Manager (WdgM) в AUTOSAR Classic Platform в релизе R20-11. В качестве типа интерфейса указан WdgM_GlobalMode. Элемент служит в общей системе формальным интерфейсом порта, через который модуль предоставляет свой статус другим программным компонентам.

Спецификация [SWS_WdgM_00150] не содержит подробностей относительно конкретного применения, параметров, возвращаемых значений или структур данных. В качестве интерпретации интерфейс портов, по-видимому, в первую очередь служит для предоставления вышестоящим сущностям, таким как BswM или прикладные SW-C, текущего глобального статуса контроля Watchdog Manager. Вопрос Q-6a0217eb1d28c1b4 (открытый) Ввиду отсутствия иных сведений в источниках предоставление режима, вероятно, осуществляется синхронно через RTE.

В отношении обработки ошибок, сообщений DET или DEM, а также специфических кодов ошибок [SWS_WdgM_00150] полностью хранит молчание. Точно так же полезная нагрузка не содержит нормативных определений касательно реверсивности (реэнтрантности), приоритетов или контекстов вызова; однако в качестве интерпретации доступ, по-видимому, подчиняется общим правилам конкурентности управления состоянием WdgM. Вопрос Q-28fa9de4b06e3b0d (открытый) Связанные требования для данного элемента отсутствуют.