Figure 11.21: Scenario: Critical Supervision Failure in State Management

1. Diagrammtyp & Architektur-Kontext

• Klassifikation: UML-Sequenzdiagramm (Interaktionsdiagramm).
• Architektur-Kontext: AUTOSAR Adaptive Platform (AP), Functional Cluster Interaction zwischen State Management (SM) und Platform Health Management (PHM) sowie der Watchdog-Entität.
• Technischer Zweck: Spezifikation des sicherheitskritischen Eskalationspfades bei Ausfall der zentralen Systemsteuerung. Im regulären Fehlerfall meldet PHM Supervisionsfehler an State Management, damit SM Wiederherstellungsaktionen (z. B. Prozessneustarts, Funktionsgruppenwechsel) initiiert. Wenn jedoch State Management selbst eine Überwachungsverletzung erleidet (Critical Supervision Failure), entfällt die Instanz für koordinierte Software-Recoveries. Das Diagramm modelliert das deterministische Durchgreifen von PHM auf den Watchdog, um die Plattform ohne Interaktion mit SM in einen sicheren Zustand (Fail-Safe / Reset) zu überführen.

2. Komponenten, Entitäten & Schnittstellen

• «aapFunctionalCluster» :State Management:
  • Zentraler Functional Cluster zur Koordination von Plattform-Zuständen, Function Groups und Anwendungs-Lebenszyklen.
  • Tritt hier als überwachte Entität (Supervised Entity) auf.
• «aapFunctionalCluster» :Platform Health Management:
  • Überwachungsinstanz der Adaptive Platform zur Erfassung von Alive-, Deadline- und Logical Supervisions.
• :Watchdog:
  • Hardwarenahe oder plattformintegrierte Watchdog-Entität (Watchdog Driver / Hardware Watchdog / Watchdog Interface) zur Durchsetzung von Hardware-Resets bzw. hardwaregestützten Fail-Safe-Reaktionen.
• Schnittstellen & Operationen:
  • ReportCheckpoint(wrongCheckpointId): Checkpoint-Reporting-API (ara::phm), über die eine Supervised Entity ihren aktuellen Kontrollflusspunkt an PHM übermittelt.
  • handleSupervisionFailure(): PHM-interne Auswerte- und Zustandstransitionslogik zur Feststellung des Supervisionsstatus.
  • FireWatchdogReaction(): Schnittstelle/Kommando zur direkten Ansteuerung des Watchdogs (z. B. Deaktivierung des Triggers, Forcieren eines System-Resets).

3. Dynamisches Verhalten & Sequenzablauf

1. Trigger (Checkpoint-Fehlermeldung):
   • :State Management meldet via ReportCheckpoint(wrongCheckpointId) einen Checkpoint an :Platform Health Management.
   • Der gemeldete Bezeichner verletzt die in der Logical Supervision definierte Kontrollfluss-Topologie (Graph Transition Violation / unerwarteter Checkpoint-Pfad).
2. Lokale Fehlerbehandlung im PHM:
   • :Platform Health Management führt synchron die interne Routine handleSupervisionFailure() aus.
   • Die Auswertung ergibt, dass die korrumpierte Entität State Management selbst ist; eine Signalisierung an SM zur Einleitung von Recovery-Strategien ist unzulässig bzw. unmöglich (Gefahr von Deadlocks oder Fehlentscheidungen).
3. Eskalation an den Watchdog:
   • PHM ruft unverzüglich FireWatchdogReaction() auf :Watchdog auf.
   • Der Watchdog leitet unmittelbar die konfigurierte Sicherheitsreaktion (z. B. Hardware-Reset der MCU/des SoC oder Ansteuerung von Safety-Abschaltpfaden) ein.

4. Normative Relevanz & Entwickler-Hinweise

• ARXML-Modellierung & Health-Channel-Konfiguration:
  • Für State Management müssen in der Plattformkonfiguration (Execution Manifest / Platform Health Management Definition) dedizierte SupervisedEntity- und LogicalSupervision-Modelle hinterlegt werden.
  • Für SM-Überwachungen darf als Recovery-Aktion keine SupervisionRecoveryNotification auf sich selbst konfiguriert werden; stattdessen ist zwingend eine direkte WatchdogAction zuzuordnen.
• API-Vertrag & Robustheit in State Management:
  • Entwickler von State Management müssen sicherstellen, dass Checkpoints (ara::phm::Checkpoint) streng deterministisch und zustandskonform abgesetzt werden. Jeder Programmier- oder Logikfehler im Kontrollfluss führt ohne Zwischenabfangung direkt zum Plattform-Reset.
• Safety & Freedom from Interference (ISO 26262):
  • PHM muss unabhängig von State Management lauffähig sein und über separate Safety-Rechte verfügen, um den Watchdog direkt zu triggern (Verhinderung kaskadierender Ausfälle der System-Governance).