4.4 关键功能集群

4.4 关键功能集群

本节摘要：功能集群是 Adaptive 平台提供的非功能保障实体，有独立生命周期和标准 API。诊断管理、更新与配置、持久化、身份与访问等，不实现具体业务算法，却决定请求能否被路由、升级能否回滚、数据断电后是否还在、调用者有没有权限。读完应能把它们从“应用功能包”纠正为基础设施层。

核心问题

阅读完本节，你应当能够：

1. 用非功能、独立生命周期、标准 API 三关键词定义集群。
2. 对照 Classic 的 DCM/DEM、NvM，指出对应关系与断裂点。
3. 说明升级集群为何必须支持校验、签名、回滚。
4. 解释身份集群与通信管理的咬合。

一、不是功能打包

工程师容易把功能集群听成“相关功能打成包”。联盟侧的定义更硬：平台提供的、接口明确、生命周期独立、部署粒度可配置、通过标准 API 向应用提供非功能保障的逻辑实体。注意三个词。非功能：诊断集群不写你的电机故障算法，但保证请求被路由、并发不乱、结果可归档。独立生命周期：升级集群可以在应用停止时仍工作。标准 API：应用不靠某家私有脚本完成这些保障。

它们是服务架构落到高安全、高实时、高演化约束下的基础设施。没有它们，服务契约只是 IDL 文件。有了它们，契约才有人执法。

二、几条主干集群

诊断管理对应 Classic 诊断栈的升维：面向服务的诊断路由、并发、统一归档。应用仍通过标准接口报告事件，而不是每个服务自己打日志文件。没有统一归档，售后面对的是十个容器里十种日志格式。

更新与配置管理负责包的校验、签名、安装、回滚、静默升级策略。它不编写 Flash 驱动，但保证差分包不会装到一半变成砖。A/B 或等价原子更新是默认思维。失败必须可回到上一份可启动集合。这与 SDV 的周更节奏绑定，见第 7.2 节。

持久化保证不同实例间一致的读写语义和持久等级：有的数据必须跨掉电，有的可以易失。应用不该直接打开发行版文件系统路径写关键数据，否则备份、加密、权限会散掉。对照 Classic 的 NvM 块，这里对象更像带语义的键值或文件抽象，但“断电后可解释”的要求没变。

身份与访问在每次方法调用前问三句话：你是谁，你能做什么，你此刻为何而来。证书链、策略评估、最小权限。它不替代公钥基础设施的全套运维，但把裁决插入调用路径。没有它，服务发现会变成开放市场。

⚠️ 常见坑：把升级逻辑写进某个应用“顺便做了”。应用死了升级也死，砖车概率上升。
💡 关键直觉：集群卖的是非功能。业务可以换，执法不能换。

三、独立生命周期为什么重要

行车时可以停一个渲染应用，不能停更新集群的回滚能力，也不能停身份裁决。部署粒度允许某些集群只在中央计算单元上出现，区域控制器继续用 Classic 诊断。这要求整车架构师明确“集群驻扎在哪”，而不是默认每个节点满配。满配会吃内存，缺配会在网关上留下未执法的调用。

与执行管理的关系：执行管理管应用生死，集群往往是平台级进程。启动顺序应是：内核与安全启动 → 身份与持久化 → 通信 → 执行管理拉应用。顺序反了，应用会在无权限和无存储的世界里启动，然后被误判为应用缺陷。

四、安全与隐私交叉

集群同时碰到功能安全、信息安全、数据隐私和韧性。诊断数据可能含位置轨迹，归档策略要有保留期。升级通道是攻击面，签名与回滚是最低免疫。身份策略要用声明式，便于审计，而不是硬编码在应用里。这些交叉使集群成为第 6 章和第 7 章都会回来引用的对象。

不要发明规范条款号去“证明”某个集群必须如何实现。工程上以官方平台规范的接口清单和供应商用户手册为准。本教程只把职责钉在坐标系上：它们是 Adaptive 图上的市政层，对应 Classic 图上的服务层，只是执法时刻和对象模型变了。

平台启动
  ├─ 身份与加密就绪
  ├─ 持久化挂载
  ├─ 通信与发现
  ├─ 诊断归档
  └─ 执行管理拉起应用
应用运行中
  └─ 每次调用先过身份，失败进诊断，数据落持久化，更新走独立通道
​

五、驻扎位置和启动顺序细则

不是每个节点都满配所有集群。区域控制器可以继续用 Classic 诊断；中央计算单元才驻扎更新与身份。满配吃内存，缺配会在网关上留下未执法的调用。架构师必须画出“集群驻扎图”，并在系统描述里体现。应用不要假设“任意节点都能升级任意包”。

启动顺序建议写成：安全启动与密钥可用，持久化挂载，通信与发现，诊断归档就绪，执行管理再拉应用。顺序反了，应用会在无权限无存储的世界里启动，然后被误判为应用缺陷。更新集群的生命周期独立：应用全停时，回滚能力还在。把升级写进某个业务应用“顺便做了”，应用死了升级也死，砖车概率上升。这是非功能独立的最硬理由。

问题：为什么更新不能写在业务应用里顺便做？

因为应用死了升级也死，砖车概率上升。更新集群需要独立生命周期：校验、签名、安装、回滚在业务全停时仍可用。顺便做看起来少一个进程，实际上把最危险的通道绑在最不稳定的进程上。SDV 周更会放大这个错误。独立不是浪费，是让回滚成为平台能力而不是某个版本应用的附加功能。附加功能会在你最需要它的版本里缺席。

驻扎图要画到系统描述里：哪些集群在中央计算单元，哪些区域控制器仍用 Classic 诊断，哪些调用必须过身份。应用假设任意节点都能升级任意包，会在区域控制器上打开它扛不住的攻击面，也会在中央单元上错过本该执法的调用。执法缺席时，服务发现等于开放市场。开放市场与最小权限相反。最小权限不是小气，是让每个方法调用都能回答“你是谁、你能做什么、你此刻为何而来”。三问在 Classic 里由较静态的安全访问和报文认证承担，在 Adaptive 里必须插入调用路径。插入点就是身份集群与通信管理的会合处。会合处若只存在于设计幻灯片，运行时仍会放行。放行日志看起来像成功，成功是攻击者最喜欢的颜色。把会合处做成默认拒绝，成功才需要理由。理由写在策略里，策略要能审计，不能硬编码在某个应用的分支里。分支会随应用一起被更新掉，执法不能被更新掉。

启动顺序写成可测试的链条：度量启动和密钥可用，持久化挂载，通信发现，诊断归档，执行管理拉应用。任意一环颠倒都应在实验室被注入出来。注入不出来的顺序只是文档。文档顺序在某次优化启动时间时最容易被打破：有人把应用提前拉起以展示界面。界面先亮，权限后到，中间窗口会放行本该拒绝的调用。窗口是攻击者的朋友，也是偶发缺陷的朋友。朋友关系要靠顺序测试绝交。绝交之后，启动可能慢半秒。半秒换窗口关闭，通常值得。不值得的情况应显式论证，而不是用演示体验否决平台顺序。体验可以靠分阶段可用：先亮不可操作界面，等身份就绪再开服务。分阶段是执行管理与集群协同的产品化。产品化比把升级塞进业务应用更负责任。业务应用顺便升级，是把最危险通道绑在最不稳定进程上。不稳定进程在你最需要回滚的版本里缺席。缺席时砖车诞生。砖车是独立生命周期没被遵守的纪念碑。纪念碑应少。
驻扎图还要回答诊断数据的保留期。轨迹和位置进归档，可能碰到隐私。隐私不是本教程展开的法律课，但是集群职责的交叉点。交叉点要求归档策略可配置、可审计、可删除。可删除与功能安全要的长期追溯会冲突。冲突必须在表上解决：哪些字段长期，哪些字段短期，谁有权读。解决不了就不要把什么都丢进统一归档。统一归档不是垃圾桶。垃圾桶会让诊断管理失去语义，语义一失去，第 3.2 节辛苦建立的升维又会塌成方言。方言在 Adaptive 上更吵，因为进程更多。更多进程更需要统一执法。执法是非功能。非功能被当成可裁剪的附加包时，服务架构会在第一次真实故障里露出没有病历的医院。医院没有病历还能开药，只是下一次无法解释为什么开这味药。无法解释的升级和无法解释的诊断，是 SDV 最贵的两种无法。

图：集群驻扎与启动顺序

把升级从业务应用里挪出来，不是多一个进程的浪费，是让回滚成为平台能力。平台能力在业务全停时仍在。仍在，砖车才少一个诞生理由。

持久化集群不是“车上的数据库”。它提供键值或文件语义、完整性校验和权限边界。应用把对象直接序列化进私有目录，换存储介质时会一起换故障模式。故障模式一旦私有，诊断归档就无法统一解释“为什么这次读出来的是旧地图”。旧地图是规划侧的过期世界。过期世界本该由通信活性策略抓住，也会被持久化校验抓住。两道抓住都缺席时，砖车不一定发生，错路会发生。错路比砖车更难召回，因为车还能开。

一节小结

• 三关键词：非功能、独立生命周期、标准 API。
• 主干：诊断、升级、持久化、身份，外加通信与执行管理。
• 与 Classic 近亲对照：能借鉴职责，不能共用实现假设。
• 升级必须可回滚：签名校验是底线。
• 启动顺序是架构：集群先于应用。
• 交叉责任：安全与隐私在集群上会合。

下一章回到“如何把这些层写进可交换的描述并生成出来”：方法论、ARXML、工具链。