Figure 15: Expected Interfaces

1. Diagrammtyp & Architektur-Kontext

• Klassifikation: UML-Komponentendiagramm / Schnittstellen-Abhängigkeitsdiagramm (Usage Dependency Diagram).
• Technischer Zweck & Einordnung: Dargestellt ist das Modul WdgM (Watchdog Manager) aus dem AUTOSAR System Services Layer (Classic Platform R4.0.3) mit seinen ausgehenden, geforderten Schnittstellen (Expected Interfaces) zu benachbarten BSW-Modulen, dem Betriebssystem (Os) und dem Mikrokontroller-Treiberstack (Mcu).
• Funktionaler Kontext: Das Diagramm spezifiziert die statischen Kopplungsanforderungen des WdgM zur Erfüllung von Alive-Supervision, Deadline-Supervision, Logical-Supervision sowie der Fehlerbehandlung und Fehlereskalation (Partition-Reset, MCU-Reset, Watchdog-Triggerung).

2. Komponenten, Entitäten & Schnittstellen

Zentrale Entität

• «module» WdgM: Basic Software Module (BSW) des Watchdog Managers, zuständig für die programmatische Überwachung von Software-Entitäten (Supervised Entities / Checkpoints).

Abhängigkeitsbeziehungen & Stereotypen

Die gerichteten gestrichelten Abhängigkeitspfeile kennzeichnen funktionale Aufrufschnittstellen, parametriert über Stereotypen bezüglich ihrer Verbindlichkeit:

1. Mandatorische Schnittstellen («mandatory»):
   • WdgIf: Watchdog Interface. Verbindliche Abstraktionsschicht zur Ansteuerung lokaler Hardware-Watchdogs (z. B. Servicing via WdgIf_SetTriggerCondition, Modusumschaltung via WdgIf_SetMode).
   • Os: AUTOSAR OS-Dienste (u. a. Basisfunktionen für Task-Handling, Schutzzonen, Interrupt-Sperren wie SuspendAllInterrupts/ResumeAllInterrupts).
   • GetElapsedValue: OS-Counter-API (GetElapsedValue gemäß AUTOSAR OS). Zwingend erforderlich für die quantitative Laufzeitmessung bei der Deadline Supervision zwischen zwei Checkpoints.
2. Optionale Schnittstellen («optional»):
   • Dem_ReportErrorStatus: Schnittstelle zum Diagnostic Event Manager (DEM) für das Melden qualifizierter Produktionsfehler (z. B. WDGM_E_SUPERVISION, WDGM_E_SET_MODE).
   • Det_ReportError: Schnittstelle zum Default Error Tracer (DET) zur Erfassung von Entwicklungs- und Konfigurationsfehlern (WdgMDevErrorDetect == TRUE).
   • Mcu_PerformReset: Direkter Software-Reset über den MCU-Treiber bei fatalem Watchdog-Ablauf, falls die Fehlerreaktion auf sofortigen Systemneustart konfiguriert ist (WdgMImmediateReset == TRUE).
   • Os_TerminateApplication: Gezieltes Beenden einer fehlerhaften OS-Application (Partition) durch das OS, wenn eine lokale Überwachung fehlschlägt und Partition-Isolierung aktiv ist.
   • BswM_WdgM_RequestPartitionReset: Anforderung an den BSW Mode Manager (BswM) zur kontrollierten Re-Initialisierung oder zum Restart einer isolierten Partition bei lokalem Überwachungsfehler.

3. Dynamisches Verhalten & Sequenzablauf

Das Modul bedient die Schnittstellen über zwei Ausführungspfade (zyklisch vs. ereignisgesteuert):

[SW-C / BSW Checkpoint]
         | WdgM_CheckpointReached()
         v
     +-------+  Deadline Supervision (Os)  --> GetElapsedValue()
     | WdgM  |  Dev Error Detection        --> Det_ReportError()
     +-------+
         | WdgM_MainFunction() [zyklisch]
         +--------------------------------------------------------+
         | (Status: OK)                                           | (Status: FAILED / EXPIRED)
         v                                                        v
   WdgIf_SetTriggerCondition()                        Eskalationspfade:
                                                      +-- Dem_ReportErrorStatus()
                                                      +-- BswM_WdgM_RequestPartitionReset()
                                                      +-- Os_TerminateApplication()
                                                      +-- Mcu_PerformReset()

1. Ereignisgesteuerter Pfad (WdgM_CheckpointReached):
   • Bei Erreichen eines Checkpoints wird zur Deadline-Überwachung synchron GetElapsedValue aufgerufen, um das Delta seit dem Start-Checkpoint zu ermitteln.
   • Verletzungen von Transitionsregeln (Logical Supervision) oder Deadlines triggern bei aktivem Debugging synchron Det_ReportError.
2. Zyklischer Pfad (WdgM_MainFunction):
   • Aggregiert lokale Status aller Supervised Entities zum globalen Watchdog-Status.
   • Gutfall: Bei globalem Status WDGM_GLOBAL_STATUS_OK wird zyklisch WdgIf_SetTriggerCondition bedient, um das Hardware-Timeout zu verlängern.
   • Fehlerfall: Fällt der Status auf WDGM_GLOBAL_STATUS_FAILED oder EXPIRED, unterbleibt das Triggern von WdgIf. Parallel erfolgt die Eskalation über Dem_ReportErrorStatus sowie je nach Konfiguration über:
     • Partitions-Recovery: BswM_WdgM_RequestPartitionReset oder Os_TerminateApplication.
     • System-Hard-Reset: Mcu_PerformReset.

4. Normative Relevanz & Entwickler-Hinweise

• Header-Inklusion & Modulkoppelung:
  • WdgM.c muss bedingt durch Präprozessorschalter (#if ... == STD_ON) die Header WdgIf.h, Os.h, Dem.h, Det.h, Mcu.h und BswM_WdgM.h einbinden.
  • Das Vorhandensein von GetElapsedValue erfordert zwingend einen im OS konfigurierten Counter (OsCounter), der dem WdgM in WdgM_ConfigType zugewiesen ist.
• Konfigurationsabhängigkeiten (ECU Configuration):
  • Ist WdgMDevErrorDetect == STD_ON, wird Det_ReportError link-zeitlich referenziert.
  • Dem_ReportErrorStatus wird nur benötigt, wenn DEM-Events für Supervision-Fehler konfiguriert sind.
  • WdgMImmediateReset entscheidet, ob Mcu_PerformReset aufgerufen wird oder ob das System den physischen Watchdog via WdgIf absichtlich ablaufen lässt (Hardware Degradation).
• Multi-Core / Safety-Architektur:
  • Werden Partitions-Resets über BswM_WdgM_RequestPartitionReset bzw. Os_TerminateApplication verwendet, muss der Watchdog Manager partitionsübergreifende Aufrufe (IOC / Cross-Core-Service) berücksichtigen.