保障安全关键多核嵌入式系统可靠时序

现代汽车和飞机不再仅依赖机械部件。其安全性能取决于运行在复杂异构多核处理器上的嵌入式软件，以微秒级截止时间管理从飞行控制到转向助力的一切。

多核环境中，任务执行时间不仅受自身代码影响，还受共享同一硬件资源的其他任务影响。这种干扰可能将系统推离安全边界。

开发安全关键嵌入式软件需数百万欧元、多年工作。从最早设计阶段，安全必须内嵌架构，每个任务时序行为必须严格理解以保证截止时间满足。

解决多核时序分析难题

多核处理器承诺更高性能，但也引入共享资源争用：总线、内存、缓存、加速器。一核运行任务可减慢其他核任务，造成不可预测时序变化。

关键问题：如何量化此类干扰影响？如何分析、测试、文档化证明安全关键软件在多核平台上始终在截止时间内完成？

行业领导者——巴塞罗那超算中心（BSC）、Rapita Systems（RPT）、雷神技术（RTRC）、马瑞利欧洲（MAR）——多年攻克这些挑战。BSC和Rapita现交付解决方案集，即将跨航空航天和汽车领域采用。成功取决于专用工具、自动化、安全导向、需求驱动方法论。

此工作支撑MASTECS项目，欧盟委员会资助多学科研发计划，2019年12月启动。MASTECS将成熟技术并提供经验证方法认证航空电子和汽车系统，RTRC和MAR案例研究展示现实影响。

最先进工具

商业工具单核分析优秀但难应对多核认证复杂性。局限包括：

• 静态时序分析工具[1]撞复杂性墙，无法建模复杂硬件或极复杂软件。
• 基于测量方案——虽单核测试普遍（如Rapita RVS工具集）——缺硬件专家方法论为多核工作负载产出具充分可追溯性的可信时序界限。

至今，MASTECS开发工作外无商业工具提供符合安全标准和新兴认证要求的全面多核时序分析。

干扰分析与控制实战

核心方法是结构化测试方法论，融合硬软件专业知识生成多核时序行为证据。BSC多核微基准技术（MμBT），由Rapita商业化为RapiDaemons，使设计师创建干扰场景对特定共享资源施压。

微基准——微小底层代码片段——在硬软件接口施加可量化压力于目标资源。揭示干扰通道效应，可定制诱导、测量、验证争用。关键属性含：

1. 针对共享资源的针对性、可量化压力。
2. 事件监视器可验证行为。
3. 与特定时序需求对齐，如测试缓解有效性。

点击查看大图

图1：微基准在干扰分析中应用。（来源：作者）

多样微基准库匹配期望干扰级、最大化资源影响、或作为敏感"受害者"测试。

分析干扰时，将MμBT与任务争用模型（TCM）配对，提供争用延迟早期估算。Rapita RapiTest和RapiTime自动化测试创建和嵌入式目标执行。

设计方法论

遵循集成至V模型软件生命周期七步流程（见图2），工程师深入洞察干扰效应：

1. 硬件配置与干扰通道识别。 硬件专家识别关键设置、干扰路径、缓解选项，选择事件监视器验证。
2. 定义时序需求。 捕获用户特定需求、风险、安全约束，评估硬件隔离策略。
3. 测试用例设计。 编写验证假设的测试描述，指定干扰分析所需微基准（隔离和受压条件）。
4. 实现测试程序。 组装测试框架、微基准、测量探针。当前手动，MASTECS内将自动化。
5. 收集证据。 目标平台执行测试，收集直接关联验证需求的数据。
6. 分析结果。 技术专家按需求评审结果。例图3显示RapiTime执行时间分解。
7. 验证与文档化。 最终评审、报告生成、认证提交用资格认定工件。

点击查看大图

图2：V模型软件开发过程中MTA步骤。（来源：作者）

硬件专业知识与时序分析流程

硬件洞察从一开始就至关重要。早期参与包括：

1. 识别塑造功能和时序行为的多核配置，确定减少争用隔离机制。
2. 通过浏览复杂处理器手册、咨询供应商获取缺失细节发现干扰通道。
3. 选择捕获干扰通道任务活动的事件监视器，用专用微基准验证[2]。
4. 与时序分析师协作推导需求、设计测试加载特定干扰通道。

后期阶段，硬件专家评估测试结果、细化假设、按需提议额外测试。

点击查看大图

图3：分析结果（RapiTime）。（来源：作者）

更大图景

七步设计流程是更广泛多核验证方法论一部分（见图2）。提供全追溯性——从证据和结果回溯至需求和设计——支持CAST-32A和ISO 26262。CAST-32A由认证当局软件团队（CAST）2016发布，概述安全多核航空电子目标含干扰界定。EASA和FAA正制定统一AMC/AC（AMC 20-193）改编预计今年晚些时候发布。

专业知识无法自动化

干扰动态复杂；自动化工具只能补充、不能替代资深工程师。多核专家带来硬件配置和干扰通道深度知识，软件分析师将需求转化为严格测试。人类洞察对验证假设、解读结果、迭代设计至关重要。

参考文献

1. Reinhard Wilhelm. Mixed Feelings about Mixed Criticality. Workshop on Worst-Case Execution Time Analysis, 2018.
2. Enrico Mezzetti等. High-Integrity Performance Monitoring Units in Automotive Chips for Reliable Timing V&V. IEEE Micro 38(1): 56-65 (2018).
3. EASA and FAA to issue further guidance on multicore certification this year.