服务接口 UpdateRequest

服务接口 UpdateRequest 的服务方法 PrepareRollback 由 Update and Configuration Management 调用，以为参数 functionGroupList 中传入的软件集群功能组准备变更的回滚 [SWS_SM_91105]。该调用不具有发后即忘语义，因此 State Management 会将准备结果返回给调用方 [SWS_SM_91105]。

对于调用和错误处理适用固定的条件：

• 会话上下文：该调用仅在活动的更新会话内允许。如果调用发生在活动会话之外，State Management 将以错误 kOperationRejected 拒绝该操作 [SWS_SM_00213]。
• 应用程序错误：除了在内部状态无效时返回 kOperationRejected 之外，当准备失败时，该方法还可以返回 kOperationFailed [SWS_SM_91105]。

在状态模型中，该方法调用对参与的状态机具有直接影响：

• 管理所传入功能组之一的状态机将被控制进程标记为 ImpactedByUpdate [SWS_SM_00654]。
• 如果标记了类型为 Agent 的状态机，则该状态也会传递转移到上级的 Controller [SWS_SM_00655]。
• 对于标识为 ImpactedByUpdate 的状态机，报告的执行错误（ExecutionErrorEvent::executionError）不会通过恢复进行处理，而是被忽略且仅作记录 [SWS_SM_00664]。

使用

服务方法 PrepareUpdate 由 Update and Configuration Management (UCM) 调用，以请求 State Management 准备更新一组功能组 [SWS_SM_00206]，[SWS_SM_91103]。它通过服务接口 UpdateRequest 提供，并接收类型为 FunctionGroupListType 的列表 functionGroupList 作为输入参数，该列表指定了软件集群内要更新的功能组 [SWS_SM_91103]。由于停用了 Fire & Forget，该调用具有带给调用方反馈的同步响应语义 [SWS_SM_91103]。

顺序条件和并发性

仅在先前通过 RequestUpdateSession 成功初始化的更新会话内才允许调用 [SWS_SM_91103]。在调用期间，控制进程将管理传入功能组之一的所有状态机标记为 ImpactedByUpdate [SWS_SM_00654]。若这涉及 Agent 类型的状态机，则上级 Controller 状态机也会自动标记为 ImpactedByUpdate [SWS_SM_00655]。只要存在此状态，就会阻止外部状态转换：对 RequestTransition 的每次调用都会以 kUpdateInProgress 响应 [SWS_SM_00649]。此外，执行错误时的恢复请求（ExecutionErrorEvent::executionError）将被忽略并仅作记录 [SWS_SM_00664]。

错误处理

为该方法定义了两个特定的应用程序错误 [SWS_SM_91103]：

• kOperationRejected：在活动更新会话之外调用 [SWS_SM_00213] 或 State Management 的内部状态拒绝该操作时返回 [SWS_SM_91103]。
• kOperationFailed：指示请求的功能组准备失败 [SWS_SM_91103]。

Interpretation：该方法预计仅在启动或完成功能组的内部状态转换后才返回，因为接口中未定义单独的异步确认机制。 问题 Q-9994d886fd5504d8 (未决)

接口 UpdateRequest 的服务方法 RequestUpdateSession 在无参数情况下被调用（Fire & Forget: false），作为 Update and Configuration Management 启动软件更新的入口点 [SWS_SM_91102]。通过该调用将启动向活动更新会话的转换，该会话一直持续到更新结束 [SWS_SM_00210] [SWS_SM_00213]。

每台机器最多允许一个端口以接口 UpdateRequest 定型 [SWS_SM_CONSTR_00020]，且该端口只能由控制 Controller 类型 StateMachine 的进程提供 [SWS_SM_00629]。为了确保平台的一致性，在任何时刻只允许存在一个处于活动状态的更新会话 [SWS_SM_00210]。此外，State Management 会持久化会话状态，以便在机器重启后可以读取该状态 [SWS_SM_00204]。

成功接受会话是一个严格的顺序先决条件：后续方法如 PrepareUpdate [SWS_SM_91103]、ResetMachine [SWS_SM_91100] 或 StopUpdateSession [SWS_SM_91101] 均要求在此之前已成功调用 RequestUpdateSession [SWS_SM_00213]。

发生错误时，定义了两个应用特定的错误 [SWS_SM_91102]：如果在会话已经在运行期间调用该方法，它将返回 kNotAllowedMultipleUpdateSessions [SWS_SM_00209]。如果检查（例如通过接口 UpdateAllowed）发现机器当前不允许更新，则该请求将被拒绝并返回错误 kOperationRejected [SWS_SM_00630]。

服务接口 UpdateRequest 中的服务方法 ResetMachine 由 Update and Configuration Management (UCM) 调用，以便在进行中的更新会话期间请求机器重启 [SWS_SM_91100]。该方法没有传入参数，并以 Fire-and-Forget 语义声明 [SWS_SM_91100]。

在执行重启之前，必须持久化保存所有机器内部信息 [SWS_SM_91100]。为此，State Management 会保护活动更新会话的数据，以便 UCM 在机器重新启动后能够一致地继续更新过程 [SWS_SM_00204]。在调用该方法时，控制进程会将类型为 Controller 的 StateMachine 转换至状态 Restart [SWS_SM_00658]。在机器成功重启后，Controller 转换至状态 ContinueUpdate 以恢复更新 SWS StateManagement §7.2 “ResetMachine notification”。

为了同步和跟踪执行，State Management 提供了字段 ResetMachineNotifier [SWS_SM_00211] [SWS_SM_91106]，其初始值为 kIdle [SWS_SM_00212]。由于 ResetMachine 设计为 Fire-and-Forget 调用，UCM 预计主要通过此通知器异步监视重启结果（Interpretation）。 问题 Q-732913d75d024929 (未决)

如果事先未通过 RequestUpdateSession 成功建立更新会话，则该调用将被拒绝并返回错误 kOperationRejected [SWS_SM_91100]。在更新会话之外调用时，该进程还会将字段 ResetMachineNotifier 的值设置为 kRejected [SWS_SM_00661]。

类型为 UpdateStatusType [SWS_SM_91027] 的服务字段 ResetMachineNotifier 属于服务接口 UpdateRequest，用于使 Update and Configuration Management (UCM) 能够在方法 ResetMachine 执行期间及执行后对其进行状态跟踪 [SWS_SM_00211] [SWS_SM_91106]。该字段提供了一个 Getter 以及一个 Notifier，但不包含 Setter [SWS_SM_91106]。UCM 通常会订阅该 Notifier，以便在机器重启后无需轮询即可异步接收状态变更。 问题 Q-122f44b23cd76238 (未决)

该字段的生命周期包含以下状态和状态转换：

• 初始值：该字段的默认值为 kIdle [SWS_SM_00212]。
• 会话外拒绝：如果在活动更新会话之外调用 ResetMachine，则建模的控制器进程会将字段值设置为 kRejected [SWS_SM_00661]。
• 重启与继续：在更新会话内，ResetMachine 会触发向状态 Restart 的转换 [SWS_SM_00658]。机器启动后，State Management 与 UCM 重新进行同步。当向 ContinueUpdate 的转换成功完成时，该字段将被设置为 kSuccessful [SWS_SM_00662]。
• 错误情况：如果向 ContinueUpdate 的转换执行失败，则该字段的值切换为 kFailed [SWS_SM_00663]。

若通过 StopUpdateSession 终止更新会话，状态机将切换到状态 AfterUpdate [SWS_SM_00646]，并且 State Management 会将字段 ResetMachineNotifier 重新重置为默认值 kIdle [SWS_SM_00660]。

一旦更新完成且 Machine 处于稳定状态，Update and Configuration Management 便会调用服务接口 UpdateRequest（[SWS_SM_91101]）的服务方法 StopUpdateSession。该调用不带参数，并具有同步或异步请求-响应语义（Fire & Forget 为 false）。

调用条件与错误处理

执行的前提是先前已成功启动更新会话。如果在活动更新会话之外调用 StopUpdateSession，请求将被拒绝并返回错误 kOperationRejected（[SWS_SM_00213]，[SWS_SM_91101]）。

系统行为与状态转换

该调用结束当前进行中的更新会话（AUTOSAR_AP_SWS_StateManagement 第90页）。在 State Management 中，这会触发多个协调操作：

• 控制类型为 Controller 的 StateMachine 的建模进程会将其转换至状态 AfterUpdate（[SWS_SM_00646]）。
• 字段 ResetMachineNotifier 被重置回其默认值（[SWS_SM_00660]）。
• 针对类型为 Controller 的 StateMachine 实例解除对 RequestTransition 的阻止；后续调用不再以 kUpdateInProgress 响应（[SWS_SM_00647]）。
• 标记 ImpactedByUpdate 会从受影响的 StateMachine 实例中移除（[SWS_SM_00656]），从而重新解除对常规状态转换和 Recovery Action 的阻止。

用法与调用上下文

服务方法 VerifyUpdate 由 Update and Configuration Management (UCM) 通过服务接口 UpdateRequest 调用，以委托 State Management 验证已更新的功能组 [SWS_SM_00207]。传入的参数为 functionGroupList（类型 FunctionGroupListType），其中包含在相应 SoftwareCluster 中待检查的功能组列表 [SWS_SM_91104]。由于该方法未定义为发后即忘（Fire & Forget: false），调用方期望获得同步或在完成后提供的反馈 [SWS_SM_91104]。

时序与错误处理

该调用受严格的状态条件约束：仅在活动的更新会话内允许，并要求 State Management 已允许更新且阶段 PrepareUpdate 先前已成功完成 [SWS_SM_91104]。

• kOperationRejected：在调用发生在活动更新会话之外 [SWS_SM_00213]，或 State Management 的内部状态或参与的状态机拒绝验证（例如 PrepareUpdate 未成功）时返回 [SWS_SM_91104]。
• kOperationFailed：指示请求的验证操作失败 [SWS_SM_91104]。

协同交互与并发性

在处理期间，类型为 Controller 的 StateMachine 的控制建模进程会将所管理功能组在 functionGroupList 中列出的每个状态机标记为 ImpactedByUpdate [SWS_SM_00654]。如果这涉及类型为 Agent 的 StateMachine，则关联的 Controller 也会被间接标记为 ImpactedByUpdate [SWS_SM_00655]。只要该状态处于活动状态，由 Platform Health Management 或 Execution Management 报告的执行错误（ExecutionErrorEvent::executionError）就会被忽略且仅作记录 [SWS_SM_00664]。据推测，受影响的状态机在此步骤中会被置于状态 VerifyUpdate，该状态属于每个 StateMachine 的五个必选状态之一 AUTOSAR_AP_SWS_StateManagement §7.7.1 “StateMachine introduction”。 问题 Q-cd5deaf13acfc2f5 (未决)