Figure 7.23: An example deployment of DeterministicSyncMaster in a separate process

1. Diagrammtyp & Architektur-Kontext

• Klassifikation: Bereitstellungs- und Prozessarchitektur-Diagramm (Deployment & Execution Topology View).
• Kontext & Zweck: Spezifiziert im AUTOSAR Adaptive Platform (AP) Standard Execution Management (AUTOSAR_AP_SWS_ExecutionManagement, Releases R20-11 bis R23-11). Dargestellt ist das Entwurfsmuster für redundante deterministische Ausführung (Deterministic Execution) innerhalb einer gemeinsamen Sicherheitsdomäne (ASIL B/C/D Domain). Der funktionale Kern besteht in der Entkopplung der deterministischen Zyklus- und Zeitsynchronisation (DeterministicSyncMaster) in einen eigenständigen Betriebssystem-Prozess, getrennt von den eigentlichen Anwendungs-Prozessen (APP mit DeterministicClient).

2. Komponenten, Entitäten & Schnittstellen

• ASIL B/C/D Domain: Logische und prozessuale Schutzdomäne mit qualifizierten Sicherheitsanforderungen (Freiheit von Rückwirkungen / FFI gemäß ISO 26262). Beinhaltet alle deterministisch synchronisierten Prozesse.
• APP (Application Process): Mindestens zwei dargestellte, isolierte OS-Prozesse, welche die eigentliche Anwendungslogik kapseln.
• DeterministicClient: Bibliotheks-Instanz (ara::exec::DeterministicClient) innerhalb des Adressraums des jeweiligen APP-Prozesses; steuert Aktivierungszeitpunkte, deterministische Einlese- sowie Ausgabestufen.
• DeterministicSync Master (Prozess): Als dedizierter Betriebssystem-Prozess instanzierter Master-Knoten für die deterministische Zyklus- und Zeitstempelkoordination.
  • TimeSync Slave: Funktionale Unterentität des Masters gemäß [TPS_MANI_01409]; bindet den Prozess als Zeitsklave an die Plattform-Zeitsynchronisation an (ara::tsync).
• TimeSync master: Übergeordneter Systemdienst/Daemon zur Verteilung der globalen Referenzzeit (z. B. via gPTP / IEEE 802.1AS oder plattformweites Zeitsynchronisationsprotokoll).
• Time Resource (GPS, Board Time): Hardwarenahe, physische Zeitquelle (z. B. Hardware-Counter, GNSS/GPS-Empfänger, SoC-interne Timer).
• Schnittstellen & Relationen:
  • Sync: Bidirektionale IPC- bzw. ara::com-Service-Schnittstelle zwischen DeterministicSync Master und den DeterministicClient-Instanzen zur Verteilung deterministischer Zyklus-Zeitstempel.
  • Kopplung TimeSync Slave ↔ TimeSync master: Schnittstelle via ara::tsync zur zyklischen Zeitstempel-Abfrage.
  • Kopplung TimeSync master ↔ Time Resource: Hardwaretreiber-/OS-Kernel-Schnittstelle zur Erfassung der Referenzzeitbasis.

3. Dynamisches Verhalten & Sequenzablauf

1. Zeiterfassung & globale Synchronisation:
   • Der TimeSync master greift auf die physische Time Resource zu und aktualisiert die globale Netzwerkzeitbasis.
   • Der DeterministicSync Master bezieht über seine Rolle als TimeSync Slave ([TPS_MANI_01409]) periodisch den globalen Zeitstempel via ara::tsync.
2. Zykluszeitstempel-Berechnung:
   • Basierend auf der synchronisierten Zeit berechnet der DeterministicSync Master diskrete, deterministische Zeitstempel für die anstehenden Ausführungszyklen der redundanten Applikationen.
3. Zyklendistribution (Sync):
   • Die berechneten Zyklus-Zeitstempel werden synchron oder via nachrichtengestützter IPC (ara::com) an die DeterministicClient-Instanzen propagiert.
4. Deterministische Client-Ausführung:
   • Die DeterministicClient-Instanzen synchronisieren ihre lokalen Zustandsmaschinen auf den empfangenen Zeitstempel. Zyklische Ausführungen, Input-Sampling und Output-Flushes laufen phasenstarr und deterministisch identisch ab, auch über separate Rechenkerne oder Netzwerkbrücken hinweg.

4. Normative Relevanz & Entwickler-Hinweise

• Single-Domain-Restriktion: Die Spezifikation (R20-11 bis R23-11) beschränkt redundante deterministische Ausführung über den DeterministicSyncMaster verbindlich auf eine Single Domain. Multi-Domain-Architekturen sind normativ nicht abgedeckt; alle beteiligten Prozesse müssen derselben Zeitdomäne angehören.
• Lokale Zeitressourcen-Optimierung: Befinden sich DeterministicSyncMaster und DeterministicClient auf demselben Host/ECU, darf zur Latenz- und Overhead-Minimierung direkt auf lokale monotone Uhren (ara::core::SteadyClock bzw. std::chrono::steady_clock) zugegriffen werden.
• Security & IAM (Identity and Access Management):
  • Der Zugriff auf Zeitdienste muss über PDP/PEP-Regelwerke (Policy Decision Point / Policy Enforcement Point) geschützt sein.
  • Da der DeterministicSyncMaster ausschließlich ara::com- und ara::tsync-Schnittstellen exponiert, ist der Zugriff über das AUTOSAR IAM mandatorisch abzusichern, um Manipulationen an Ausführungszyklen und Denial-of-Service-Angriffe auf ASIL-Prozesse zu verhindern.
• Prozess-Isolation: Die Auslagerung des Sync-Masters in einen separaten Prozess verhindert, dass ein Ausfall oder Memory-Corruption in einem APP-Prozess die Synchronisation redundanter Partnerprozesse kompromittiert.