多核處理器在綜合模塊化航空電子系統(tǒng)中的應(yīng)用

趙光

【摘 要】隨著綜合模塊化航空電子系統(tǒng)（IMA）的廣泛應(yīng)用，對(duì)IMA的開發(fā)和概念解讀也隨之變得重要。目前，在實(shí)現(xiàn)了第一代IMA平臺(tái)的基礎(chǔ)上，下一代IMA平臺(tái)的架構(gòu)已提上日程。本文分析了利用虛擬化技術(shù)將多核處理器應(yīng)用于航空電子系統(tǒng)的設(shè)計(jì)，利用虛擬機(jī)系統(tǒng)來實(shí)現(xiàn)硬件資源的共享管理和軟件子系統(tǒng)的劃分，并符合 ARINC653規(guī)范的要求——模塊化、可靠性、隔離性與開放性。構(gòu)建由多核心硬件平臺(tái)、虛擬機(jī)監(jiān)視器（VMM，Virtual Machine Monitor）和分區(qū)操作系統(tǒng)、航電應(yīng)用軟件所組成的軟件架構(gòu)，可以滿足綜合模塊化航電系統(tǒng)（IMA，Integrated Modular Avionics）的功能要求與接口要求。其中，為實(shí)現(xiàn)符合 ARINC653要求的VMM，傳統(tǒng)分區(qū)操作系統(tǒng)需要進(jìn)行多項(xiàng)關(guān)鍵性調(diào)整，包括處理器特權(quán)級(jí)和特權(quán)指令、中斷、內(nèi)存地址空間 分配、設(shè)備驅(qū)動(dòng)等方面，從而可以構(gòu)造基于VMM的綜合化航空電子系統(tǒng)。

【關(guān)鍵詞】綜合模塊化航空電子系統(tǒng)；虛擬化；多核處理器

航空電子系統(tǒng)是飛機(jī)的重要組成部分，其系統(tǒng)結(jié)構(gòu)不斷演變，經(jīng)歷了分立式、聯(lián)合式、綜合化到高度綜合化的發(fā)展過程。綜合模塊化航空電子系統(tǒng)（IMA）則是目前需求發(fā)展的最新成果，IMA具有模塊化、系統(tǒng)容錯(cuò)、魯棒分離和動(dòng)態(tài)重構(gòu)、支持多傳感器綜合和信息融合等突出的技術(shù)特征；提高了系統(tǒng)的可靠性、集成性、維修性、任務(wù)能力等；從而大幅度提高了飛機(jī)的整體性能，減少了機(jī)載設(shè)備的重量、體積，降低了成本。

國外根據(jù)新一代航電的技術(shù)特點(diǎn)，提出了高安全、高可靠的實(shí)時(shí)操作系統(tǒng)的概念，并給出相應(yīng)的標(biāo)準(zhǔn)，如美國航電委員會(huì)編制的ARINC653以及北約組織的聯(lián)合標(biāo)準(zhǔn)航空電子系統(tǒng)結(jié)構(gòu)委員會(huì)ASAAC制定的軟件標(biāo)準(zhǔn)DO-178B等。為解決實(shí)時(shí)系統(tǒng)中共享計(jì)算資源的各任務(wù)模塊之間保護(hù)的問題，前者對(duì)航電系統(tǒng)提出了新要求，引入了分區(qū)（partition）的概念；后者則主要對(duì)系統(tǒng)的安全等級(jí)評(píng)價(jià)建立了一系列評(píng)估和測(cè)試的標(biāo)準(zhǔn)，航電系統(tǒng)軟件必須通過上述規(guī)范的測(cè)試，才能被進(jìn)一步實(shí)用化。目前國外已開發(fā)出符合上述標(biāo)準(zhǔn)的成熟系統(tǒng)，并應(yīng)用在新一代飛機(jī)的航電系統(tǒng)中。但是，當(dāng)前的綜合模塊化航空電子系統(tǒng)的運(yùn)行平臺(tái)均構(gòu)建在單核處理器之上。

多核處理器在日常生活中已經(jīng)得到了廣泛的使用，但在航空航天、火車、汽車等安全關(guān)鍵領(lǐng)域中單核處理器仍占據(jù)主流位置。阻止多核處理器在安全關(guān)鍵領(lǐng)域里運(yùn)用的主要障礙是系統(tǒng)容錯(cuò)性無法得到保障。將多核處理器引入到機(jī)載實(shí)時(shí)系統(tǒng)的設(shè)計(jì)中來，可以進(jìn)一步提高航電系統(tǒng)的集成度，壓縮航電系統(tǒng)的體積和重量。

1 現(xiàn)有航空電子系統(tǒng)軟件接口標(biāo)準(zhǔn)

制定和實(shí)施合適的航空電子系統(tǒng)軟件接口標(biāo)準(zhǔn)，可提高航空電子應(yīng)用軟件的可移植性，有效縮短開發(fā)周期，并降低成本。航空電子應(yīng)用軟件與機(jī)載實(shí)時(shí)操作系統(tǒng)接口的標(biāo)準(zhǔn)化、規(guī)范化，使得基礎(chǔ)軟件（操作系統(tǒng)）與應(yīng)用軟件相對(duì)隔離，有利于實(shí)現(xiàn)軟件的模塊化設(shè)計(jì)，提高系統(tǒng)的可靠性。我國有關(guān)部門和單位參照美國航電委員會(huì)編制的ARINC653制定了《航空電子應(yīng)用軟件接口要求》，該標(biāo)準(zhǔn)主要描述了綜合模塊化航空電子系統(tǒng)（IMA，Integrated Modular Avionics）中應(yīng)用軟件和操作系統(tǒng)之間的接口要求，主要包括功能要求和接口服務(wù)定義。下面對(duì)該標(biāo)準(zhǔn)進(jìn)行簡(jiǎn)要介紹。

1.1 標(biāo)準(zhǔn)在功能上的要求

標(biāo)準(zhǔn)首先對(duì)航電系統(tǒng)軟硬件結(jié)構(gòu)進(jìn)行描述，提出分區(qū)管理的概念，各個(gè)分區(qū)間利用存儲(chǔ)管理實(shí)現(xiàn)空間上的隔離，利用時(shí)間窗口輪轉(zhuǎn)實(shí)現(xiàn)時(shí)間上的隔離，空間隔離用來保證一個(gè)分區(qū)中應(yīng)用程序的執(zhí)行不會(huì)干擾到另一個(gè)分區(qū)中其它應(yīng)用程序的內(nèi)存或數(shù)據(jù)；時(shí)間隔離用來保證一個(gè)分區(qū)中的應(yīng)用程序的行為不會(huì)影響到另一個(gè)分區(qū)中應(yīng)用程序的時(shí)間特性。除分區(qū)隔離機(jī)制外，標(biāo)準(zhǔn)還對(duì)航電系統(tǒng)的進(jìn)程、通信和健康監(jiān)控（health monitor）機(jī)制進(jìn)行了規(guī)范。

1.2 標(biāo)準(zhǔn)定義的接口服務(wù)類型

標(biāo)準(zhǔn)中定義了如下幾類接口服務(wù)：分區(qū)管理，進(jìn)程管理，時(shí)間管理，存儲(chǔ)器管理，分區(qū)內(nèi)通信，分區(qū)間通信和健康監(jiān)控等。

綜合模塊化航空電子系統(tǒng)的可靠性、集成性等特點(diǎn)主要體現(xiàn)在接口服務(wù)的定義方面。ARINC-653規(guī)范定義的軟件接口為軟件模塊化打下了基礎(chǔ)，而模塊化的設(shè)計(jì)概念又保證了整個(gè)系統(tǒng)的容錯(cuò)性。舉例來說，某一特定分區(qū)的故障無法導(dǎo)致駐留在同一運(yùn)行平臺(tái)的其它分區(qū)產(chǎn)生任何故障。系統(tǒng)容錯(cuò)性是通過運(yùn)行平臺(tái)（硬件和操作系統(tǒng)）來保障的，這不僅是綜合模塊化航空電子系統(tǒng)的基礎(chǔ)，還減輕了系統(tǒng)開發(fā)過程中校驗(yàn)、驗(yàn)證和認(rèn)證的難度。

2 高性能的多核處理器

多核處理器是在一個(gè)處理器芯片上集成2至8個(gè)計(jì)算內(nèi)核，每個(gè)內(nèi)核一般都包括共享或獨(dú)有一級(jí)或二級(jí)專用指令和數(shù)據(jù)緩存，以及連接主內(nèi)存的通用總線。由于這種處理器結(jié)構(gòu)可以實(shí)現(xiàn)多核間的資源共享，所以它具有很高的集成度和卓越的性能。使用多核處理器后，可提升運(yùn)算能力，并可有效減輕飛機(jī)重量。同時(shí)，這種更加靈活、輕便的多核處理器結(jié)構(gòu)也為更為負(fù)責(zé)的飛行控制系統(tǒng)的嵌入提供了便利。隨著多核處理器的廣泛應(yīng)用，單核處理模塊的使用量逐漸減少，所以單核處理器在IMA結(jié)構(gòu)中的使用成本日益增加。因此，多核處理器將逐步替代單核處理器，并且在未來IMA系統(tǒng)中的應(yīng)用也是不可避免的。

多核處理器包括一系列具有專用存儲(chǔ)器（高速緩存）的處理單元（或稱內(nèi)核），通過互聯(lián)單元，這些內(nèi)核可以與片上存儲(chǔ)器資源（如L2或L3高速緩存）、外部存儲(chǔ)控制器（如動(dòng)態(tài)隨機(jī)存取控制器，DRAM）和輸入輸出控制器互聯(lián)和共享它們的資源。

多核結(jié)構(gòu)設(shè)計(jì)傾向于內(nèi)核之間的直接通信。多核芯片包括多個(gè)內(nèi)核，這些內(nèi)核具有分布式存儲(chǔ)器以及一個(gè)基于片上網(wǎng)絡(luò)（NoC）技術(shù)的復(fù)雜通信網(wǎng)絡(luò)。內(nèi)核之間的通信通過軟件來管理，具有較好的可預(yù)測(cè)性。但是，由于間接訪問緩存的主存儲(chǔ)會(huì)造成失誤，網(wǎng)絡(luò)上的沖突仍有可能發(fā)生，所以多核平臺(tái)在資源共享的管理上很難保證時(shí)間的可預(yù)測(cè)性。

由于單核處理器平臺(tái)上的操作系統(tǒng)本身已經(jīng)可以保證整個(gè)系統(tǒng)容錯(cuò)性，所以虛擬化技術(shù)一直未在關(guān)鍵領(lǐng)域里得到足夠的重視。現(xiàn)有支持ARINC 653的航電系統(tǒng)軟件均是在單核處理器平臺(tái)上開發(fā)的，從開發(fā)成本以及安全性角度方面考慮，將現(xiàn)存ARINC 653系統(tǒng)移植到多核處理器運(yùn)行平臺(tái)上是較優(yōu)的方案，而虛擬化技術(shù)可以為只能在單核處理器平臺(tái)上運(yùn)行的ARINC 653系統(tǒng)在多核平臺(tái)上提供一個(gè)虛擬的單核處理器運(yùn)行環(huán)境，同時(shí)保證每個(gè)ARINC 653的系統(tǒng)調(diào)度以及資源分配是獨(dú)立的，以此滿足系統(tǒng)的硬實(shí)時(shí)需求。

3 虛擬化在航電系統(tǒng)中的應(yīng)用

早在20世紀(jì)60年代，IBM公司就提出了虛擬化（virtualization）的概念。虛擬化的基本思想就是在對(duì)底層硬件資源進(jìn)行管理的同時(shí)，為用戶提供多個(gè)獨(dú)立的分區(qū)映像，每個(gè)映像中都包含了完整的虛擬硬件執(zhí)行環(huán)境，包括處理器、存儲(chǔ)器、外圍設(shè)備等，用戶可以在其所屬分區(qū)內(nèi)運(yùn)行各自的操作系統(tǒng)。多個(gè)分區(qū)共享主機(jī)系統(tǒng)的硬件資源，并由虛擬機(jī)監(jiān)視器（VMM，Virtual Machine Monitor）實(shí)現(xiàn)對(duì)硬件資源的分配和管理[1]?，F(xiàn)有支持 ARINC653標(biāo)準(zhǔn)的航電系統(tǒng)軟件，大都是基于操作系統(tǒng)的應(yīng)用級(jí)分區(qū)[2]。利用虛擬化技術(shù)將多核處理器應(yīng)用于航空電子系統(tǒng)，可以構(gòu)建出具有分區(qū)管理、進(jìn)程管理等功能，符合航空電子應(yīng)用軟件接口（APEX，Application Executive）要求，并具備綜合化、模塊化與開放性特征的航空電子系統(tǒng)軟件。

在不修改現(xiàn)有成熟的航電應(yīng)用的前提下，將其移植到虛擬環(huán)境下運(yùn)行，是虛擬機(jī)系統(tǒng)要解決的一個(gè)重要問題。采用泛虛擬化技術(shù)的虛擬機(jī)平臺(tái)，支持應(yīng)用程序不經(jīng)修改即在虛擬機(jī)平臺(tái)運(yùn)行，可以避免大量現(xiàn)有應(yīng)用的重新開發(fā)工作。

為適應(yīng)泛虛擬化的執(zhí)行環(huán)境，操作系統(tǒng)在被移植時(shí)，需要在以下幾個(gè)方面進(jìn)行調(diào)整：特權(quán)指令的執(zhí)行，內(nèi)存的管理，設(shè)備的訪問。

3.1 處理器特權(quán)級(jí)分配出于隔離和保護(hù)的目的，現(xiàn)代處理器都會(huì)提供多個(gè)特權(quán)等級(jí)，如 PowerPC提供了2個(gè)特權(quán)等級(jí)，一般操作系統(tǒng)運(yùn)行在最高特權(quán)級(jí)，應(yīng)用程序運(yùn)行在最低特權(quán)級(jí)。在虛擬機(jī)系統(tǒng)中，負(fù)責(zé)管理資源和提供分區(qū)映像的是VMM，需要運(yùn)行在最高特權(quán)級(jí)，分區(qū)操作系統(tǒng)需要進(jìn)行修改以適應(yīng)新的特權(quán)級(jí)。

3.2 內(nèi)存管理

目前航電應(yīng)用中有所使用的PowerPC處理器為e600系列（G4）[3]，基于傳統(tǒng)的PowerPC架 構(gòu)，不支持軟件管理的轉(zhuǎn)換查找緩沖器（TLB， Translation Lookaside Buffer）；因此當(dāng)發(fā)生TLB失效時(shí)，處理器會(huì)自動(dòng)對(duì)頁表進(jìn)行查詢并執(zhí)行替換操作，而地址空間的切換需要刷新整個(gè)TLB。為改善性能，可以將 VMM置于虛擬內(nèi)存空間最頂部的一段范圍內(nèi)，從而避免應(yīng)用程序或分區(qū)操作系統(tǒng)陷入VMM時(shí)導(dǎo)致TLB刷新操作。

3.3 設(shè)備的訪問

I/O 設(shè)備驅(qū)動(dòng)，在航電系統(tǒng)中，分區(qū)調(diào)度一般采用固定時(shí)間片輪轉(zhuǎn)的方式，傳統(tǒng)虛擬機(jī)系統(tǒng)的前后端驅(qū)動(dòng)或?qū)Ｓ抿?qū)動(dòng)分區(qū)的方式，可能出現(xiàn)因驅(qū)動(dòng)程序所在分區(qū)未被調(diào)度而影響其它分區(qū)的設(shè)備訪問的情況，這在硬實(shí)時(shí)應(yīng)用的環(huán)境下是不允許的；此外，航電系統(tǒng)外設(shè)數(shù)量有限，且類型相對(duì)固定，因此可以考慮把設(shè)備驅(qū)動(dòng)作為獨(dú)立的功能模塊在VMM內(nèi)部實(shí)現(xiàn)，由其直接對(duì)設(shè)備進(jìn)行I/O 操作。

綜上所述，在實(shí)現(xiàn)VMM的過程中不僅要借鑒現(xiàn)有虛擬機(jī)系統(tǒng)的設(shè)計(jì)思路，還要充分考慮硬件平臺(tái)的特性和航電應(yīng)用的特殊需求，在此基礎(chǔ)上，才能設(shè)計(jì)出性能優(yōu)異、且符合航電系統(tǒng)要求的VMM，以此實(shí)現(xiàn)ARINC653系統(tǒng)向多核處理器平臺(tái)的移植。

4 結(jié)論

向多核平臺(tái)的遷移對(duì)綜合模塊化航電系統(tǒng)提出了進(jìn)一步綜合化和模塊化的要求，這些要求可以通過應(yīng)用虛擬化技術(shù)來實(shí)現(xiàn)，從而集中解決分區(qū)隔離、實(shí)時(shí)調(diào)度、容錯(cuò)和健康監(jiān)控等關(guān)鍵問題，為新一代綜合模塊化航電系統(tǒng)的設(shè)計(jì)和實(shí)現(xiàn)打下基礎(chǔ)。這些技術(shù)中最為關(guān)鍵也需要首先研究的是面向航電系統(tǒng)的VMM實(shí)現(xiàn)支撐技術(shù)，從而有效地實(shí)現(xiàn)面向航電系統(tǒng)的虛擬化平臺(tái)分區(qū)機(jī)制。根據(jù)本文的分析，這些技術(shù)有很好的實(shí)現(xiàn)基礎(chǔ)和可行性，但多核平臺(tái)會(huì)在不同內(nèi)核上運(yùn)行的并行分區(qū)見產(chǎn)生額外的硬件和軟件沖突通道，這需要通過巧妙的系統(tǒng)軟件設(shè)計(jì)來消除。

【參考文獻(xiàn)】

[1]Chrisnall D.The definitive guide to the Xen hypervisor[M]. Boston：PrenticeHall，2007： 219-221.

[2]Rushby J.Partitioning in avionics architectures： Requirements， mechanisms， and assurance[R]. DOT/FAA/AR-99/ 58 & NASA/CR-1999-209347， 2000.

[3]Julien Delange and Laurent Lec. Pok， an arinc653-compliant operating system released under the bsd license. In 13th Real-Time Linux Workshop， 2011[Z].

[責(zé)任編輯：楊玉潔]