Figure 7: 4: Certificate status and possible state transitions.

1. Diagrammtyp & Architektur-Kontext

UML-Zustandsdiagramm (State Machine Diagram) zur Modellierung des Lebenszyklus und Validierungsprozesses von Zertifikaten im AUTOSAR Classic Platform Basissoftware-Modul Key Manager (KeyM, Crypto Service Manager / Security Stack). Das Diagramm spezifiziert die diskreten Zertifikatszustände, die Auslöser für Zustandsübergänge sowie die zugeordneten Fehlercodes bei fehlschlagendem Parsing oder Verifizieren.

2. Komponenten, Entitäten & Schnittstellen

Das Diagramm definiert vier Hauptzustände des Zertifikatsmanagements und sieben spezifische Fehlerelemente:

• Zertifikatszustände (States):
  • KEYM_CERTIFICATE_NOT_AVAILABLE: Initialer Ruhezustand; kein Zertifikat geladen oder hinterlegt.
  • KEYM_CERTIFICATE_NOT_PARSED: Vorübergehender Zustand (<<transient>>); Rohzertifikatdaten liegen vor, sind jedoch noch nicht syntaktisch verarbeitet.
  • KEYM_CERTIFICATE_PARSED_NOT_VALIDATED: Zertifikat erfolgreich geparst; kryptografische und semantische Prüfung steht noch an (<<verify certificate>>).
  • KEYM_CERTIFICATE_VALID: Gültiger Endzustand nach erfolgreicher Validierung.
• Schnittstellen & API-Trigger:
  • KeyM_Init(): Initialisierung des KeyM-Moduls.
  • KeyM_SetCertificate(len=0) / KeyM_SetCertificate(len>0): Setzen bzw. Löschen/Zurücksetzen von Zertifikatsdaten.
  • KeyM_ServiceCertificate(): Service-Aufruf zur Zertifikatsbearbeitung.
  • Ladeoperation beim Hochlauf („Load certificate at startup“).
• Zugeordnete Fehlerzustände / Fehlercodes (Errors):
  • Fehler bei Parsing (KEYM_CERTIFICATE_NOT_PARSED):
    • KEYM_E_CERTIFICATE_INVALID_FORMAT
    • KEYM_E_CERTIFICATE_INVALID_TYPE
  • Fehler bei Verifikation (KEYM_CERTIFICATE_PARSED_NOT_VALIDATED):
    • KEYM_E_CERTIFICATE_INVALID_CHAIN_OF_TRUST
    • KEYM_E_CERTIFICATE_SIGNATURE_FAIL
    • KEYM_E_CERTIFICATE_REVOKED
    • KEYM_E_CERTIFICATE_VALIDITY_PERIOD_FAIL
    • KEYM_E_CERTIFICATE_INVALID_CONTENT

3. Dynamisches Verhalten & Sequenzablauf

• Initialisierung: Über den Start-Pseudozustand führt der Aufruf von KeyM_Init() oder KeyM_SetCertificate(len=0) deterministisch in den Zustand KEYM_CERTIFICATE_NOT_AVAILABLE.
• Bereitstellung: Durch das Laden eines Zertifikats beim Hochlauf („Load certificate at startup“), den Aufruf von KeyM_SetCertificate(len>0) oder KeyM_ServiceCertificate() wechselt das System in den transienten Zwischenzustand KEYM_CERTIFICATE_NOT_PARSED.
• Parsing & Fehlerbehandlung:
  • Scheitert das Parsing der Rohdaten an Format oder Typ, werden die Fehler KEYM_E_CERTIFICATE_INVALID_FORMAT bzw. KEYM_E_CERTIFICATE_INVALID_TYPE signalisiert.
  • Ist das Parsing erfolgreich, geht das Zertifikat in den Zustand KEYM_CERTIFICATE_PARSED_NOT_VALIDATED über.
• Verifikation & Validierung:
  • Im Zustand KEYM_CERTIFICATE_PARSED_NOT_VALIDATED erfolgt die Prüfung (<<verify certificate>>).
  • Schlägt eine Validierungsbedingung fehl, wird einer der spezifischen Fehler ausgegeben: KEYM_E_CERTIFICATE_INVALID_CHAIN_OF_TRUST, KEYM_E_CERTIFICATE_SIGNATURE_FAIL, KEYM_E_CERTIFICATE_REVOKED, KEYM_E_CERTIFICATE_VALIDITY_PERIOD_FAIL oder KEYM_E_CERTIFICATE_INVALID_CONTENT.
  • Bei erfolgreicher Validierung („Successfully validated“) wechselt der Zustand final nach KEYM_CERTIFICATE_VALID.

4. Normative Relevanz & Entwickler-Hinweise

• BSW-Implementierungsvorgabe: Der Key Manager muss diesen Zustandsautomaten pro konfiguriertem Zertifikatselement instanziieren und verwalten.
• Fehlerklassifikation & Diagnose: Das Diagramm trennt strikt zwischen syntaktischen Strukturfehlern (Parsing-Fehler bezüglich Format und Typ) und kryptografisch-semantischen Integritäts- und Gültigkeitsfehlern (Signatur, Vertrauenskette, Sperrstatus, Gültigkeitsdauer, Inhalt). Diese Zuordnung ist bindend für Fehlerrückmeldungen via DEM/DET bzw. API-Rückgabewerte.
• Transiente Zustände: KEYM_CERTIFICATE_NOT_PARSED ist als transient gekennzeichnet; Implementierungen müssen sicherstellen, dass dieser Zustand ohne externe Blockierung synchron oder unmittelbar asynchron in einen stabilen Zustand bzw. Fehlerzustand überführt wird.
• Sicherheitsrelevanz: Erst bei Erreichen von KEYM_CERTIFICATE_VALID dürfen die öffentlichen Schlüssel und Zertifikatsattribute für kryptografische Operationen (z. B. TLS, SecOC, Signature Verification) durch übergeordnete Module freigegeben werden.