Figure 10.13: Use case Recover from Critical Supervision Failure

1. Diagrammtyp & Architektur-Kontext

• Klassifikation: UML-Use-Case-Diagramm (Anwendungsfalldiagramm) unter Verwendung des AUTOSAR Adaptive Platform (AP) UML-Profils («aapUseCase», «aapParticipates»).
• Architektur-Kontext: Funktional verortet im Cluster Platform Health Management (PHM) innerhalb der AUTOSAR Adaptive Platform. Das Diagramm spezifiziert die Eskalations- und Recovery-Strategie auf Plattformebene, wenn eine Funktions- oder Prozessüberwachung irreversibel scheitert und das System in einen sicheren Zustand zurückgeführt werden muss.

2. Komponenten, Entitäten & Schnittstellen

• Systemgrenzen (Boundaries):
  • Adaptive Platform: Äußere Architekturgrenze der POSIX-basierten AUTOSAR-Laufzeitumgebung.
  • Platform Health Management: Funktionale Clustergrenze von PHM, zuständig für Alive-, Deadline-, Logical-Supervision sowie Health Channels.
• Anwendungsfälle («aapUseCase»):
  • Recover from Critical Supervision Failure: Übergeordneter Anwendungsfall. Kapselt die Behandlung eines als nicht lokal behebbar eingestuften Überwachungsfehlers.
  • Watchdog Reset: Untergeordneter, gekapselter Anwendungsfall zur Auslösung eines Hardware-/Plattform-Resets.
• Akteure (Actors):
  • Watchdog (Paket Actors): Repräsentiert die Watchdog-Entität (externer Hardware-Watchdog, SoC-interner Watchdog oder Safety-Companion-Controller/Classic AUTOSAR Core).
• Beziehungen:
  • «include» (Gerichtete Abhängigkeit von Recover from Critical Supervision Failure auf Watchdog Reset): Erzwingt, dass die Ausführung des Recovery-Anwendungsfalls zwingend und ausnahmslos den Watchdog-Reset umfasst.
  • «aapParticipates» (Assoziation zwischen Watchdog und Watchdog Reset): Bindet den Akteur aktiv in die Durchführung des Resets ein.

3. Dynamisches Verhalten & Sequenzablauf

1. Triggering / Fehlerklassifikation: PHM detektiert über seine Überwachungsmechanismen (Alive Supervision, Deadline Supervision, Logical Supervision via Checkpoint-Graph oder Health Channel Action) einen Fehlerzustand, dessen konfigurierte Recovery-Aktion als systemsicherheitskritisch definiert ist.
2. Eskalation: Lokale Mechanismen (z. B. Prozess-Neustart via Execution Management ara::exec) werden übersprungen oder sind bereits fehlgeschlagen. Der Use Case Recover from Critical Supervision Failure wird aktiv.
3. Execution des Watchdog-Resets:
   • Inklusionsaufruf: PHM führt den Use Case Watchdog Reset aus.
   • Interaktionspfad mit dem Watchdog:
     • Passiver Pfad (Watchdog Starvation / De-servicing): PHM stellt das zyklische Triggern (Ticking/Petting) des Watchdog-Treibers (z. B. via POSIX-Device /dev/watchdog oder SPI-Kommunikation zum System Basis Chip) ein. Nach Ablauf des Watchdog-Timeout-Fensters löst die Hardware den Reset aus.
     • Aktiver Pfad (Direct Reset Trigger): Sofern hardwareseitig und treiberisch unterstützt, sendet PHM ein sofortiges Reset-Kommando an die Watchdog-Peripherie.
4. Endzustand: Die Hardware/Machine wird hart zurückgesetzt (MCU/SoC Reset), wodurch ein definierter Hardware-Init / Power-On-Zustand erzwungen wird (Fail-Silent / Safe State gemäß ISO 26262).

4. Normative Relevanz & Entwickler-Hinweise

• Konfigurationsaspekte (ARXML):
  • Überwachungsfehler müssen in der PHM-Konfiguration explizit auf eine RecoveryAction mit Watchdog-Reset-Eskalation gemappt werden (SupervisionEntity, HealthChannelAction).
  • Die Watchdog-Timeout-Periode muss strikt auf das Fault Tolerant Time Interval (FTTI) bzw. die Process Safety Time (PST) der Sicherheitsziele (ASIL) abgestimmt sein; dabei müssen Scheduling-Jitter und Worst-Case Execution Time (WCET) der PHM-Tasks berücksichtigt werden.
• API- & Stack-Ebene:
  • Applikationen interagieren ausschließlich über ara::phm (ReportCheckpoint(), Statusmeldungen); sie besitzen keine direkte Schnittstelle zum Watchdog.
  • BSP-/Plattform-Entwickler müssen sicherstellen, dass die Watchdog-Anbindung unabhängig von blockierenden POSIX-Threads oder Memory-Corruption im User-Space zuverlässig operiert (idealerweise über einen dedizierten Safety OS-Thread, Watchdog-Daemon oder hardwarenahen Companion Core).
• Entwurfsgrenzen: Der Watchdog-Reset ist die finale Eskalationsstufe (Ultima Ratio). Architektonisch ist sicherzustellen, dass transiente Fehler primär über degradierte Funktionsmodi oder lokale Neustarts abgefangen werden, um unkontrollierte Verfügbarkeitsverluste der gesamten Machine zu vermeiden.