Figure 10.21: Use case Activate Campaign and derived use cases

1. Diagrammtyp & Architektur-Kontext

• Diagrammtyp: UML-Anwendungsfalldiagramm (Use Case Diagram), spezifiziert mit dem AUTOSAR Adaptive Platform (AP) UML-Profil («aapUseCase», «aapFunctionalCluster», «aapTriggers», «aapParticipates»).
• Architektur-Kontext: AUTOSAR Adaptive Platform, Release R25-11, Dokument AUTOSAR_AP_EXP_SWArchitecture.
• Technischer Zweck: Modellierung des Vehicle Update and Configuration Management (VUCM / Vehicle Package Management). Das Diagramm definiert die funktionale Dekomposition der Use Cases zur Aktivierung von Software-Update-Kampagnen auf Gesamtfahrzeugebene mit direkter Verzweigung in sicherheitsrelevante und nicht-sicherheitsrelevante Pfade sowie deren Interaktion mit internen Functional Clusters (FCs) und externen Systemakteuren.

2. Komponenten, Entitäten & Schnittstellen

Akteure ((from Actors))

• OTA Client: Extern angebundene Applikation (z. B. Cloud-/Backend-Agent) zur Auslösung von Over-the-Air-Update-Kampagnen.
• Diagnostic Application: Werkstatt-Tester / Diagnosetool (z. B. via DoIP / UDS ISO 14229), das Kampagnen stationär initiiert.
• Flashing Adapter: Protokoll- und Bus-Brücke (z. B. UDS-on-CAN/LIN, Classic-ECU-Flashing-Gateway); fungiert sowohl als Trigger als auch als partizipierender Ausführer.
• Vehicle State Manager: Überwacht den globalen Fahrzeugzustand (z. B. Parkbremse, Zündungsstatus, Fahrzustand, HV-Verriegelung) zur Gewährleistung der funktionalen Sicherheit; nun explizit als Akteur mit (from Actors) typisiert.
• Vehicle Driver Interface: HMI-Komponente / Infotainment-Cluster zur Einholung von Fahrerzustimmungen, Anzeige von Restzeiten und Warnhinweisen sowohl für sicherheitsrelevante als auch für nicht-sicherheitsrelevante Kampagnen.

Functional Clusters («aapFunctionalCluster»)

• Update and Configuration Management (daemon-based): Zentraler UCM-Daemon (VUCM/UCM-Master), verantwortlich für die Orchestrierung, Zustandsverwaltung und Ausführung von Software-Paketen.
• Log and Trace: Plattformweites DLT-Logging zur manipulationssicheren Nachverfolgung, Fehleranalyse und Erfüllung von Audit-Trails.
• Cryptography (daemon-based): Krypto-Daemon für Signaturprüfungen, Hash-Validierung (Integrität/Authentizität) und Entschlüsselung von Software-Containern/Manifesten.

Anwendungsfälle («aapUseCase») und Beziehungen

• Activate Campaign (Basis-Use-Case):
  • Trigger: Wird ausgelöst über «aapTriggers» von OTA Client, Diagnostic Application oder Flashing Adapter.
  • Beteiligte Instanzen: Interagiert über «aapParticipates» mit Update and Configuration Management, Log and Trace, Cryptography sowie bidirektional mit dem Flashing Adapter.
• Activate Safety Relevant Campaign (Spezialisierung 1):
  • Generalisierung: Erbt direkt von Activate Campaign.
  • Beteiligte Instanzen: Bindet den Vehicle State Manager sowie das Vehicle Driver Interface über «aapParticipates» ein.
• Activate Non-Safety Relevant Campaign (Spezialisierung 2):
  • Generalisierung: Erbt direkt von Activate Campaign.
  • Beteiligte Instanzen: Bindet das Vehicle Driver Interface über «aapParticipates» ein; keine Interaktion mit dem Vehicle State Manager.

3. Dynamisches Verhalten & Sequenzablauf

1. Kampagnen-Triggerung (Asynchron):
   • Ein primärer Trigger (OTA Client, Diagnostic Application oder Flashing Adapter) sendet einen Aktivierungsbefehl an UCM.
2. Differenzierte Pfadausführung (Safety vs. Non-Safety):
   • Bei Activate Safety Relevant Campaign: UCM verifiziert über den Vehicle State Manager zwingend das Vorliegen eines sicheren Systemzustands (Safe State). Zeitgleich oder vorgelagert wird über das Vehicle Driver Interface die Fahrerzustimmung eingeholt.
   • Bei Activate Non-Safety Relevant Campaign: UCM wickelt die Benutzerinteraktion über das Vehicle Driver Interface ab, ohne den Vehicle State Manager zur Prüfung eines Sicherheitszustands zu konsultieren (erlaubt Aktivierungen unkritischer Anteile z. B. während des Fahrbetriebs).
3. Kryptografische Verifikation:
   • Geerbt aus Activate Campaign prüft Cryptography vor jeder Aktivierung die Authentizität und Integrität der Pakete.
4. Verteilung & Protokollierung:
   • UCM steuert die Aktivierung auf den Zielknoten bzw. bindet den Flashing Adapter ein; alle Statuswechsel werden via Log and Trace auditiert.

4. Normative Relevanz & Entwickler-Hinweise

• Normative Relevanz: Die explizite Verzweigung in Activate Safety Relevant Campaign und Activate Non-Safety Relevant Campaign trennt sicherheitskritische Systemeingriffe (ISO 26262, Safe State via Vehicle State Manager) formal von nicht-sicherheitsrelevanten Updates. Beide Pfade können regulatorische Benutzerinteraktionen nach UNECE R156 umfassen.
• Entwickler-Hinweise:
  • Kampagnen-Manifeste bzw. Vehicle Package Descriptions müssen die Einstufung bezüglich Sicherheitsrelevanz explizit deklarieren, da hiervon die Notwendigkeit der Vehicle State Manager-Validierung abhängt.
  • Das Vehicle Driver Interface ist nun orthogonal zur Sicherheitsrelevanz verknüpft; Fahrerinteraktionen (z. B. Download-/Installationsbestätigungen) sind auch für rein nicht-sicherheitsrelevante Software-Updates vorgesehen.
  • Vehicle State Manager ist nun formal konsistent als externer Akteur ((from Actors)) spezifiziert.