Figure 9.3: Protection Hook sequence chart The sequence shows the flow of control if a protection error occurs. Depending on the return values of the ProtectionHook, either the faulty Task/ISR is forcibly terminated or the OS-Application is forcibly terminated or the system is shut down. If the action is to terminate the faulty OS-Application an option is to start afterwards the restart task, which can do a cleanup, etc.

1. Diagrammtyp & Architektur-Kontext

UML-2.x-Sequenzdiagramm (sd Interactions) der AUTOSAR Classic Platform (Spezifikation AUTOSAR_SWS_OS). Das Diagramm modelliert das Steuerungs- und Fehlerbehandlungsverhalten des AUTOSAR-Betriebssystems beim Auftreten einer Schutzverletzung (Protection Error) während der Ausführung eines Tasks oder einer Kategorie-2-Interrupt-Service-Routine (ISR) innerhalb einer OS-Application (OS-Appl. <App>). Es visualisiert die Interaktion zwischen Prozessorhardware, Betriebssystemkern und dem Schutz-Hook (ProtectionHook) sowie die daraus resultierenden Eskalations- und Recovery-Pfade.

2. Komponenten, Entitäten & Schnittstellen

• Lebenslinien / Instanzen:
  • OS-Appl. <App> / Task / Category 2 ISR: Fehlerverursachender Ausführungskontext (Task oder ISR2) innerhalb einer partitionierten OS-Application (<App>).
  • Processor: Hardware-Ausführungseinheit bzw. CPU/MPU, welche Hardware-Traps und Schutzverletzungen detektiert.
  • operating system: AUTOSAR OS-Kernel, der Ausnahmen abfängt, den Hook aufruft und Reaktionen durchsetzt.
• Kombinierte Fragmente & Operatoren:
  • break [protection error]: Umschließt das gesamte Schutzfehler-Interaktionsszenario; unterbricht bei Eintreffen eines Schutzfehlers den regulären Kontrollfluss.
  • alt return: Alternatives Fragment mit fünf Zweigen, gesteuert durch den Rückgabewert des ProtectionHook.
• Nachrichten & Operationen:
  • «Exception»: Asynchrone Trap-/Ausnahmemeldung vom Processor an das operating system.
  • ProtectionHook(Fatalerror): Synchroner OS-Callback an den anwendungsspezifischen Schutz-Hook mit Übergabe des Fehlercodes (Fatalerror).
  • Guards der alt-Verzweigung: [PRO_TERMINATETASKISR], [PRO_TERMINATEAPPL], [PRO_TERMINATEAPPL_RESTART], [PRO_IGNORE], [PRO_SHUTDOWN].
  • Steuerbefehle / Signale:
    • «forced termination of Task/ISR»: Kernel-Zwangsbeendigung des fehlerhaften Tasks bzw. der ISR (markiert durch Zerstörungskreuz auf der Lebenslinie).
    • «forced termination of OS-Application»: Kernel-Zwangsbeendigung aller Tasks und ISRs der gesamten OS-Application (markiert durch Zerstörungskreuz).
    • ActivateTask(RESTARTTASK): Systemdienstaufruf des OS zur Aktivierung des für die Partition konfigurierten Restart-Tasks (initiierter Aktivierungsbalken).
    • Ignore Exception: Rückmeldung an den Processor zur Fortführung ohne Zwangsabbruch.
    • ShutdownOS: Kernel-interner Self-Call zum geordneten Herunterfahren des Gesamtsystems.

3. Dynamisches Verhalten & Sequenzablauf

1. Fehlereintritt: Während der regulären Programmausführung eines Tasks oder einer Category-2-ISR tritt ein Schutzfehler auf (z. B. MPU-Speicherzugriffsverletzung, Stacküberlauf, Ausführungszeit- oder Sperrzeitüberschreitung). Der break-Block wird betreten.
2. Exception-Signalisierung: Der Processor erzeugt eine Hardware-Exception («Exception») an das operating system.
3. Hook-Aufruf: Das operating system fängt die Exception ab und ruft synchron ProtectionHook(Fatalerror) auf. Der Hook evaluiert den Fehlerkontext und gibt einen Wert vom Typ ProtectionReturnType zurück.
4. Verzweigung (alt return):
   • Fall PRO_TERMINATETASKISR: Das OS erzwingt die sofortige Terminierung des fehlerhaften Tasks bzw. der fehlerhaften ISR («forced termination of Task/ISR»). Der Ausführungskontext endet (Zerstörungskreuz); die übrige OS-Application bleibt aktiv.
   • Fall PRO_TERMINATEAPPL: Das OS beendet die gesamte betroffene OS-Application zwangsweise («forced termination of OS-Application»). Sämtliche Tasks/ISRs der Partition werden terminiert (Zerstörungskreuz), Ressourcen freigegeben; kein Neustart.
   • Fall PRO_TERMINATEAPPL_RESTART: Das OS terminiert zwangsweise alle Entitäten der fehlerhaften OS-Application («forced termination of OS- Application», Zerstörungskreuz). Anschließend ruft das OS ActivateTask(RESTARTTASK) auf, um den konfigurierten Restart-Task für Reinitialisierung und Bereinigung zu starten.
   • Fall PRO_IGNORE: Das OS verwirft die Exception (Ignore Exception) und reicht die Steuerung an den Processor zurück, ohne Tasks oder Applications zu beenden.
   • Fall PRO_SHUTDOWN: Das OS leitet den globalen Systemstillstand über die interne Operation ShutdownOS ein.

4. Normative Relevanz & Entwickler-Hinweise

• Normative AUTOSAR-Vorgaben: Das Diagramm spezifiziert das normativ geforderte Verhalten gemäß AUTOSAR OS SWS (u. a. [SWS_Os_00063], [SWS_Os_00064], [SWS_Os_00474], [SWS_Os_00475], [SWS_Os_00476], [SWS_Os_00551]).
• Einschränkungen für Rückgabewerte: Nicht jeder Rückgabewert ist bei jeder Fehlerursache zulässig. PRO_IGNORE darf normativ nicht bei Fehlern gewählt werden, die eine unmittelbare Wiederholung der Schutzverletzung verursachen würden (z. B. persistente MPU-Verletzung im selben Kontext oder Budget-Überschreitung).
• Restart-Task-Voraussetzung: PRO_TERMINATEAPPL_RESTART setzt voraus, dass für die betreffende OS-Application im BSW-Konfigurationsmodell (OsApplication) das Attribut OsApplicationRestartTask konfiguriert ist. Fehlt dieser, greift das normierte Fallback-Verhalten (Shutdown bzw. Termination).
• Kontext des Hooks: Der ProtectionHook läuft im privilegierten Modus mit gesperrten Interrupts bzw. auf OS-Interrupt-Level. Er darf keine blockierenden OS-Dienste aufrufen.
• Multi-Core-Semantik: Bei Mehrkernsystemen führt PRO_SHUTDOWN zur core-übergreifenden Abschaltung (ShutdownAllCores), während Task- und OS-Application-Terminierungen primär auf dem ausführenden Kern bzw. partitionslokal wirken.