Figure 7.13: Freshness Value Management Pluggable Library

1. Diagrammtyp & Architektur-Kontext

• Klassifikation: Architekturelles Schichten- und Blockdiagramm (Komponenten- und Datenflusstopologie) des AUTOSAR Adaptive Platform (AP) Communication Management (ara::com).
• Technischer Zweck: Spezifikation der Einbettung von Secure Onboard Communication (SecOC) und der Entkopplung der anwendungsspezifischen Freshness-Verwaltung über eine austauschbare Bibliothek (Pluggable Library) innerhalb des SOME/IP-Netzwerkbindungspfads.
• Funktionale Einordnung: Während die maschinenlokale Inter-Process Communication (IPC) transportseitig unverschlüsselt/ohne SecOC direkt in das Dispatching mündet, schützt SecOC die off-board- bzw. inter-ECU-Kommunikation über Ethernet/SOME/IP vor Replay- und Spoofing-Angriffen gemäß SWS Communication Management (Kapitel 7.7 Secure Communication).

2. Komponenten, Entitäten & Schnittstellen

• Communication Management (ara::com Runtime / Daemon):
  • Dispatching and Discovery: Zentrale Dienstevermittlung für Skeleton- und Proxy-Instanzen inkl. SOME/IP Service Discovery (SOME/IP-SD) sowie Deserialisierung/Dispatching von Methoden, Events und Fields an die Applikations-Endpunkte.
  • SecOC (Secure Onboard Communication): Protokollmodul zur kryptografischen Authentifizierung und Integritätsprüfung (MAC-Generierung/-Verifikation) von Protokolldateneinheiten (PDUs) bzw. SOME/IP-Nachrichten.
  • SOME/IP Transport: Netzwerk-Binding für das SOME/IP-Protokoll (Serialisierung/Framing über L4-Sockets).
  • TCP/IP: Betriebssystem-/POSIX-Netzwerkstack (IP/UDP/TCP-Sockets).
  • Ethernet Driver: Physische Netzwerktreiberschicht (L2 / OS-Netzwerk-Interface).
  • IPC / IPC Transport: Parallele, maschineninterne Transportstrecke (POSIX Shared Memory, Domain Sockets, Unix FIFO) unter Umgehung des kryptografischen SecOC-Overheads.
• Pluggable Library (Library / FVM):
  • FVM (Freshness Value Management): Kapselung des OEMs- bzw. plattformspezifischen Frische-Algorithmus (z. B. Trip-Counter, synchronisierte globale Zeitstempel, Pseudo-Zufallssequenzen).
  • Schnittstellenbeziehung (SecOC ↔ FVM): Lose gekoppelte C/C++-Schnittstelle. SecOC konsumiert die FVM-Dienste über definierte Funktionsaufrufe (GetTxFreshness, GetRxFreshness bzw. Verifikationsfunktionen), um Truncated Freshness Values zu generieren und vollständige Freshness-Werte zur CMAC-Validierung zu rekonstruieren.

3. Dynamisches Verhalten & Sequenzablauf

• Ingress-Pfad (Empfang/RX – dargestellt durch vertikale Pfeile):
  1. Frame-Empfang: Datenframes treffen über den Ethernet Driver ein, werden über TCP/IP (UDP/TCP) an den SOME/IP Transport übergeben.
  2. SecOC-Interzeption: Bevor eine SOME/IP-Nachricht an das Dispatching and Discovery weitergereicht wird, extrahiert SecOC Payload, gesendeten Frischewert-Anteil (Truncated Freshness Value) und den Authenticator (MAC).
  3. FVM-Synchronisation (synchroner Aufruf zur Library): SecOC fragt die FVM Library an, um anhand des lokalen Status und des empfangenen Truncated Values den vollständigen Freshness Value für den MAC-Check zu rekonstruieren.
  4. Kryptografische Prüfung: SecOC validiert den MAC (typischerweise über die ara::crypto-Architektur).
  5. Dispatching: Bei erfolgreicher Validierung gelangt die Payload in Dispatching and Discovery.
  6. Abbruchbedingung: Ungültiger MAC oder Frischewert-Inkonsistenz führt zum Verwerfen der PDU und triggerbaren Security-Meldungen (z. B. an den Intrusion Detection System Manager / IdsM).
• Egress-Pfad (Senden/TX):
  1. Applikationsdaten passieren Dispatching and Discovery.
  2. SecOC ruft die FVM Library auf (GetTxFreshness), bezieht den aktuellen Zähler/Timestamp, generiert den MAC über Payload + Freshness und injiziert MAC + Truncated Freshness in den Stream.
  3. Weitergabe an SOME/IP Transport → TCP/IP → Ethernet Driver.

4. Normative Relevanz & Entwickler-Hinweise

• Architektur-Entkopplung: Die FVM ist in der Adaptive Platform explizit nicht monolithisch im Stack verankert, sondern als austauschbare dynamische Shared Library (.so) konzipiert. Dies erlaubt OEM-spezifische Anti-Replay-Mechanismen ohne Re-Kompilierung des ara::com-Stacks.
• Entwickler-Anforderungen an die FVM-Bibliothek:
  • Reentrancy & Thread-Safety: Da mehrere Worker-Threads des Communication Management parallel SOME/IP-Nachrichten verarbeiten, müssen die Export-APIs der FVM vollständig reentrant oder intern mutex-geschützt sein.
  • Latenz & Determinismus: Synchrone Aufrufe in die FVM blockieren den RX-Verarbeitungskontext. Komplexe oder blockierende I/O-Operationen innerhalb der FVM-Funktionen sind unzulässig.
• ARXML-Modellierung:
  • Im Manifest (ExecutionManifest / ServiceInstanceManifest) muss definiert werden, welche Service-Interfaces und Event-Deployments über SecOC geführt werden (SecOcCryptoServiceMapping).
  • Konfiguration der Bibliothekspfade und Symbolexporte im Deployment-Modell zur Laufzeitauflösung (dlopen / dynamic linking).
• Differenzierung IPC vs. SOME/IP: Maschinengrenzen-überschreitende Kommunikation zwingt zur Auslegung von Freshness-Synchronisationsmechanismen im Netzwerk; lokale IPC-Bindings dürfen zur Minimierung von Latenz und CPU-Last nicht über SecOC geroutet werden.