Figure 7.3: Supervision Exclusion and change of Function Group State

1. Diagrammtyp & Architektur-Kontext

• Diagrammtyp: Zeitverlaufsdiagramm / Timing-Diagramm mit zwei korrelierten diskreten Zustandsspuren (FunctionGroup state und Process state) über einer gemeinsamen Zeitachse.
• Architektur-Kontext:
  • Plattform: AUTOSAR Adaptive Platform (AP), Release-Reihe R21-11 bis R25-11.
  • Funktionaler Cluster: Platform Health Management (PHM, Spezifikationsdokument AUTOSAR_AP_SWS_PlatformHealthManagement) in direkter Abstimmung mit dem Execution Management (EM, ara::exec) und State Management (SM).
  • Zweck: Visualisierung der normativen Randbedingung für den Ausschluss von Überwachungen (Supervision Exclusion / NoSupervision gemäß [SWS_PHM_00241], [SWS_PHM_00244] und Upstream [RS_PHM_00104]). Das Diagramm definiert, unter welchen Prozess-Lebenszyklusbedingungen ein Wechsel zwischen aktiver Überwachung (Inclusion) und deaktivierter Überwachung (Exclusion) bei einem FunctionGroupState-Wechsel zulässig ist.

2. Komponenten, Entitäten & Schnittstellen

• Dargestellte Spuren & Zustände:
  • FunctionGroup state (Obere Lane): Diskrete Zustände einer vom Execution Management kontrollierten Funktionsgruppe:
    • Stationäre Zustände: off, state-A, state-B, state-C.
    • Übergangszustand (Transition Phase): Schraffierte Intervalle (Function Group state is in transition).
  • Process state (Untere Lane): Diskrete Betriebszustände eines OS-Prozesses (POSIX-Ebene, gesteuert durch ara::exec):
    • Idle: Prozess ist nicht gestartet / inaktiv.
    • Running: Prozess ist instanziiert und führt Code aus.
    • Terminated: Prozess wurde beendet (z. B. via SIGTERM / SIGKILL).
• Beteiligte Metamodell-Entitäten & Relationen (M1/M2):
  • FunctionGroup / FunctionGroupState: Steuerungsdimension des State Managements zur Aktivierung von Anwendungsbündeln.
  • Process / ProcessExecution: Repräsentiert die Binärinstanz im POSIX-Betriebssystem.
  • SupervisedEntity (SE) / SupervisedEntityInstance (SEI): Überwachte Funktionseinheit innerhalb des Prozesses (sendet Checkpoints an PHM).
  • SupervisionMode: Aggregiert Überwachungsparameter (Alive-, Deadline-, Logical-Supervision) für einen bestimmten FunctionGroupState.
  • NoSupervision: Metamodell-Konfigurationselement, das festlegt, dass für eine SEI in einem spezifischen SupervisionMode keine Überwachungsalgorithmen ausgeführt werden.
• Schnittstellen:
  • ara::exec::FunctionGroupList: Schnittstelle für Zustandswechsel.
  • ara::phm::SupervisedEntity::ReportCheckpoint(): Checkpoint-Reporting-API der Applikation.
  • Interne IPC / Synchronisation zwischen EM und PHM-Dämon zur Übermittlung von Prozessstarts, -terminierungen und FG-Zustandswechseln.

3. Dynamisches Verhalten & Sequenzablauf

1. Initialphase (off):
   • Funktionsgruppe befindet sich in off.
   • Prozess verharrt im Zustand Idle. Es existieren keine aktiven Überwachungskontexte im PHM.
2. Startübergang (off → state-A):
   • EM initiiert die Transition.
   • Der Prozess durchläuft den Startvorgang (Idle → Running).
   • Supervision Init ([SWS_PHM_00241], [SWS_PHM_00244]): Bei Prozessstart im Zielzustand state-A liest PHM die Konfiguration des korrespondierenden SupervisionMode ein. Je nach Modellierung wird die Überwachung aktiviert oder via NoSupervision ausgeschlossen.
3. Stationärer Zustand state-A:
   • Prozess verbleibt in Running. Die für state-A konfigurierten Überwachungsregeln werden vom PHM-Dämon ausgewertet.
4. Zustandsübergang ohne Prozessunterbrechung (state-A → state-B):
   • Transition von state-A nach state-B.
   • Der Prozess läuft kontinuierlich durch (Running bleibt unverändert bestehen).
   • Normative Restriktion (Note zu [SWS_PHM_00244]): Ein dynamisches Umschalten zwischen Supervision Inclusion (aktiv) und Supervision Exclusion (deaktiviert) bei fortlaufend aktivem Prozess wird vom PHM im Normalbetrieb nicht unterstützt.
5. Zustandsübergang mit Terminierung & Neustart (state-B → state-C):
   • Transition von state-B nach state-C.
   • Prozess-Lebenszyklus-Spike: Die Prozesskurve zeigt eine signifikante Diskontinuität: Running → Terminated → Idle → Running. Der Prozess wird durch EM gestoppt und im Rahmen der Zielzustandskonfiguration für state-C neu gestartet.
   • Supervision Exclusion Gültigkeit: Da der Prozess in state-C frisch gestartet wird, greifen [SWS_PHM_00241] und [SWS_PHM_00244]. Hier ist ein Wechsel des Überwachungsstatus (z. B. erstmaliger Ausschluss via NoSupervision oder Wiederaufnahme der Überwachung) normativ zulässig und spezifikationskonform.

4. Normative Relevanz & Entwickler-Hinweise

• Systemdesign & Manifest-Konfiguration (ExecutionManifest, PHMContribution):
  • Entwickler und Systemarchitekten dürfen nicht konfigurieren, dass ein Prozess über mehrere FunctionGroupStates hinweg kontinuierlich weiterläuft (StartupConfig in beiden Zuständen identisch aktiv), wenn sich der Überwachungsstatus der enthaltenen SupervisedEntityInstances zwischen diesen Zuständen von überwacht auf unüberwacht (NoSupervision) ändern soll.
  • Soll eine Überwachung in einem Folgemodus (z. B. Diagnosemodus, Flash-Zustand, Standby) ausgesetzt werden, muss die StartupConfig im Execution Manifest zwingend so definiert werden, dass der Prozess beim Zustandswechsel durch das EM terminiert und im Zielzustand mit neuer SupervisionMode-Zuordnung neu instantiiert wird.
• API- & Laufzeit-Konsequenzen für Applikations-Entwickler:
  • Ruft eine Applikation ReportCheckpoint() weiterhin auf, obwohl das Gesamtsystem in einen Zustand gewechselt ist, für den fälschlicherweise eine dynamische Deaktivierung ohne Prozessneustart modelliert wurde, bleibt die ursprüngliche Überwachungslogik aktiv.
  • Umgekehrt führen ausbleibende Checkpoints (unter der Annahme, die Überwachung sei durch den bloßen FG-Wechsel pausiert worden) unweigerlich zu Alive- oder Deadline-Supervision-Fehlern (SupervisionStatus::kExpired), was eine HealthChannelAction (z. B. Prozessneustart oder Maschinen-Reset) auslöst.