сервисный интерфейс UpdateRequest

Сервисный метод PrepareRollback сервисного интерфейса UpdateRequest вызывается модулем Update and Configuration Management для подготовки отката изменений для функциональных групп программного кластера, переданных в параметре functionGroupList [SWS_SM_91105]. Вызов выполняется без семантики Fire-and-Forget, поэтому State Management возвращает вызывающей стороне результат подготовки [SWS_SM_91105].

Для вызова и обработки ошибок действуют строгие условия:

• Контекст сеанса: вызов допустим только в рамках активного сеанса обновления. Если он выполняется вне активного сеанса, State Management отклоняет операцию с ошибкой kOperationRejected [SWS_SM_00213].
• Прикладные ошибки: помимо kOperationRejected при недопустимом внутреннем состоянии метод может возвращать kOperationFailed, если подготовка завершилась сбоем [SWS_SM_91105].

В модели состояний вызов метода оказывает прямое влияние на участвующие автоматы состояний:

• Автоматы состояний, управляющие одной из переданных функциональных групп, помечаются управляющим процессом как ImpactedByUpdate [SWS_SM_00654].
• Если маркируется автомат состояний типа Agent, этот статус транзитивно переходит и на вышестоящий Controller [SWS_SM_00655].
• Для автоматов состояний, помеченных как ImpactedByUpdate, регистрируемые ошибки выполнения (ExecutionErrorEvent::executionError) не обрабатываются путем восстановления, а игнорируются и лишь протоколируются [SWS_SM_00664].

Использование

Сервисный метод PrepareUpdate вызывается компонентом Update and Configuration Management (UCM), чтобы запросить у State Management подготовку обновления набора функциональных групп [SWS_SM_00206], [SWS_SM_91103]. Он предоставляется через сервисный интерфейс UpdateRequest и принимает в качестве входного параметра список functionGroupList типа FunctionGroupListType, который определяет обновляемые функциональные группы в пределах программного кластера [SWS_SM_91103]. Поскольку Fire & Forget отключен, вызов имеет синхронную семантику ответа с обратной связью вызывающей стороне [SWS_SM_91103].

Условия очередности и параллелизм

Вызов допустим только в рамках сеанса обновления, предварительно успешно инициированного через RequestUpdateSession [SWS_SM_91103]. Во время вызова управляющий процесс помечает все конечные автоматы, управляющие одной из переданных функциональных групп, как ImpactedByUpdate [SWS_SM_00654]. Если это затрагивает конечный автомат типа Agent, вышестоящий конечный автомат Controller также автоматически помечается как ImpactedByUpdate [SWS_SM_00655]. Пока сохраняется это состояние, внешние переходы состояний блокируются: каждый вызов RequestTransition отвечает с kUpdateInProgress [SWS_SM_00649]. Кроме того, запросы Recovery при ошибках выполнения (ExecutionErrorEvent::executionError) игнорируются и только протоколируются [SWS_SM_00664].

Обработка ошибок

Для метода определены две специфические прикладные ошибки [SWS_SM_91103]:

• kOperationRejected: возвращается, если вызов происходит вне активного сеанса обновления [SWS_SM_00213] или внутреннее состояние State Management отклоняет операцию [SWS_SM_91103].
• kOperationFailed: указывает на то, что запрошенная подготовка функциональных групп завершилась сбоем [SWS_SM_91103].

Интерпретация: метод, вероятно, возвращает управление только после запуска или завершения внутренних смен состояний функциональных групп, поскольку отдельный асинхронный механизм подтверждения в интерфейсе не определен. Вопрос Q-9994d886fd5504d8 (открытый)

Сервисный метод RequestUpdateSession интерфейса UpdateRequest вызывается без параметров (Fire & Forget: false) и служит для Update and Configuration Management точкой входа для инициации обновления программного обеспечения [SWS_SM_91102]. Вызов инициирует переход в активный сеанс обновления, который продолжается до завершения обновления [SWS_SM_00210] [SWS_SM_00213].

На одну машину допускается типизировать не более одного порта с интерфейсом UpdateRequest [SWS_SM_CONSTR_00020], который может предоставляться исключительно процессом, управляющим StateMachine типа Controller [SWS_SM_00629]. Для обеспечения согласованности платформы в любой момент времени может быть активен только один сеанс обновления [SWS_SM_00210]. Кроме того, State Management сохраняет статус сеанса, чтобы его можно было прочитать после перезагрузки машины [SWS_SM_00204].

Успешное принятие сеанса является строгим условием последовательности: последующие методы, такие как PrepareUpdate [SWS_SM_91103], ResetMachine [SWS_SM_91100] или StopUpdateSession [SWS_SM_91101], требуют, чтобы предварительно был успешно вызван RequestUpdateSession [SWS_SM_00213].

В случае сбоя определены две прикладные ошибки [SWS_SM_91102]: если метод вызывается во время уже идущего сеанса, он возвращает kNotAllowedMultipleUpdateSessions [SWS_SM_00209]. Если проверка (например, через интерфейс UpdateAllowed) показывает, что машина в данный момент не разрешает обновление, запрос отклоняется с ошибкой kOperationRejected [SWS_SM_00630].

Сервисный метод ResetMachine в сервисном интерфейсе UpdateRequest вызывается компонентом Update and Configuration Management (UCM) для запроса перезапуска машины во время текущего сеанса обновления [SWS_SM_91100]. Метод не имеет входных параметров и объявлен с семантикой Fire-and-Forget [SWS_SM_91100].

Перед выполнением перезапуска вся внутримашинная информация должна быть сохранена персистентно [SWS_SM_91100]. Для этого State Management сохраняет данные активного сеанса обновления, чтобы UCM мог согласованно продолжить процесс обновления после перезапуска машины [SWS_SM_00204]. При вызове метода управляющий процесс переводит StateMachine типа Controller в состояние Restart [SWS_SM_00658]. После успешного перезапуска машины Controller переходит в состояние ContinueUpdate для возобновления обновления SWS StateManagement §7.2 «ResetMachine notification».

Для синхронизации и отслеживания выполнения State Management предоставляет поле ResetMachineNotifier [SWS_SM_00211] [SWS_SM_91106], начальным значением которого является kIdle [SWS_SM_00212]. Поскольку вызов ResetMachine спроектирован как Fire-and-Forget, UCM, вероятно, контролирует результат перезапуска преимущественно асинхронно через этот нотификатор (интерпретация). Вопрос Q-732913d75d024929 (открытый)

Если сеанс обновления не был предварительно успешно установлен через RequestUpdateSession, вызов отклоняется и возвращает ошибку kOperationRejected [SWS_SM_91100]. При вызове вне сеанса обновления процесс также устанавливает значение поля ResetMachineNotifier в kRejected [SWS_SM_00661].

Сервисное поле ResetMachineNotifier типа UpdateStatusType [SWS_SM_91027] принадлежит сервисному интерфейсу UpdateRequest и служит для того, чтобы позволить Update and Configuration Management (UCM) отслеживать состояние метода ResetMachine во время и после его выполнения [SWS_SM_00211] [SWS_SM_91106]. Поле предоставляет геттер и нотификатор, но не имеет сеттера [SWS_SM_91106]. UCM, как правило, подписывается на нотификатор, чтобы асинхронно без опроса (polling) получать изменения состояния после перезапуска Machine. Вопрос Q-122f44b23cd76238 (открытый)

Жизненный цикл поля включает следующие состояния и переходы между состояниями:

• Начальное значение: значением поля по умолчанию является kIdle [SWS_SM_00212].
• Отклонение вне сеанса: если вызов ResetMachine происходит вне активного сеанса обновления, смоделированный процесс контроллера устанавливает значение поля в kRejected [SWS_SM_00661].
• Перезапуск и продолжение: внутри сеанса обновления ResetMachine приводит к переходу в состояние Restart [SWS_SM_00658]. После запуска Machine State Management и UCM повторно синхронизируются. При успешном завершении перехода в ContinueUpdate поле устанавливается в kSuccessful [SWS_SM_00662].
• Случай ошибки: если выполнение перехода в ContinueUpdate завершается сбоем, значение поля меняется на kFailed [SWS_SM_00663].

Если сеанс обновления завершается через StopUpdateSession, State Machine переходит в состояние AfterUpdate [SWS_SM_00646], а State Management сбрасывает поле ResetMachineNotifier обратно в значение по умолчанию kIdle [SWS_SM_00660].

Сервисный метод StopUpdateSession сервисного интерфейса UpdateRequest ([SWS_SM_91101]) вызывается компонентом Update and Configuration Management, как только обновление завершено и машина находится в стабильном состоянии. Вызов выполняется без параметров и имеет синхронную или асинхронную семантику «запрос — ответ» (Fire & Forget — false).

Условия вызова и обработка ошибок

Выполнение требует предварительно успешно запущенного сеанса обновления. Если вызов StopUpdateSession происходит вне активного сеанса обновления, запрос отклоняется и возвращает ошибку kOperationRejected ([SWS_SM_00213], [SWS_SM_91101]).

Поведение системы и переходы состояний

Вызов завершает текущий сеанс обновления (AUTOSAR_AP_SWS_StateManagement с. 90). В State Management это запускает несколько скоординированных действий:

• Смоделированный процесс, управляющий StateMachine типа Controller, переводит ее в состояние AfterUpdate ([SWS_SM_00646]).
• Поле ResetMachineNotifier сбрасывается обратно в свое значение по умолчанию ([SWS_SM_00660]).
• Для экземпляров StateMachine типа Controller снимается блокировка RequestTransition; последующие вызовы больше не отвечают с kUpdateInProgress ([SWS_SM_00647]).
• Метка ImpactedByUpdate удаляется с затронутых экземпляров StateMachine ([SWS_SM_00656]), благодаря чему регулярные смены состояний и Recovery Actions снова разблокируются.

Использование и контекст вызова

Сервисный метод VerifyUpdate вызывается модулем Update and Configuration Management (UCM) через сервисный интерфейс UpdateRequest, чтобы поручить State Management верификацию обновленных функциональных групп [SWS_SM_00207]. В качестве параметра передается functionGroupList (тип FunctionGroupListType), который содержит список проверяемых функциональных групп в соответствующем SoftwareCluster [SWS_SM_91104]. Поскольку метод не определен как Fire-and-Forget (Fire & Forget: false), вызывающая сторона ожидает синхронного или поступающего по завершении ответа [SWS_SM_91104].

Порядок вызова и обработка ошибок

Вызов подчиняется строгим условиям состояния: он допустим только в рамках активного сеанса обновления и требует, чтобы State Management разрешил обновление и фаза PrepareUpdate была предварительно успешно завершена [SWS_SM_91104].

• kOperationRejected: возвращается, если вызов происходит вне активного сеанса обновления [SWS_SM_00213] или если внутреннее состояние State Management либо участвующих автоматов состояний отклоняет верификацию (например, если PrepareUpdate завершился неудачно) [SWS_SM_91104].
• kOperationFailed: указывает на то, что запрошенная операция верификации завершилась сбоем [SWS_SM_91104].

Взаимодействие и параллелизм

Во время обработки управляющий смоделированный процесс для StateMachine типа Controller помечает каждый автомат состояний как ImpactedByUpdate, если управляемые им функциональные группы перечислены в functionGroupList [SWS_SM_00654]. Если это затрагивает StateMachine типа Agent, то соответствующий Controller также косвенно помечается как ImpactedByUpdate [SWS_SM_00655]. Пока это состояние активно, регистрируемые ошибки выполнения (ExecutionErrorEvent::executionError) от Platform Health Management или Execution Management игнорируются и лишь протоколируются [SWS_SM_00664]. По-видимому, затронутые автоматы состояний во время этого шага переводятся в состояние VerifyUpdate, которое относится к пяти обязательным состояниям каждого StateMachine AUTOSAR_AP_SWS_StateManagement §7.7.1 «StateMachine introduction». Вопрос Q-cd5deaf13acfc2f5 (открытый)