今天，汽車制造商們需要不斷的實現(xiàn)具有革新意義的新功能。同時，為了節(jié)省成本、減輕重量和能耗，控制器的數(shù)量不宜增加過多。因此，大量符合Autosar的高集成多功能控制器應(yīng)運而生。欲設(shè)計出、可靠的高集成多功能控制器需要有優(yōu)化的架構(gòu)理念，包括功能、軟件和控制器架構(gòu)。系統(tǒng)架構(gòu)師需要選擇合適的理念進行設(shè)計，并且如果有必要，須對系統(tǒng)架構(gòu)進行優(yōu)化和修改(在開發(fā)過程中盡早進行)。

　　本文將介紹的控制器設(shè)計的獨特之處是要在單一的控制器上實現(xiàn)不同嚴(yán)重度等級(criticality)的應(yīng)用，對要實現(xiàn)多種不同嚴(yán)重度等級的安全相關(guān)功能的底盤控制器尤為如此。圖1展示了有著不同安全需求的軟件的集成。這種混合嚴(yán)重度等級(mixed-criticality)系統(tǒng)必須滿足兩個基本的時間性能需求：

　　●在任何情況下，都必須保證有充足的運算空間以實現(xiàn)相關(guān)功能，避免CPU過載，并且功能的實現(xiàn)要滿足各自的時間性能需求

　　●安全相關(guān)功能的實現(xiàn)不能被低ASIL等級功能干擾

　　矛盾的優(yōu)先級設(shè)計方法

　　軟件集成過程中，調(diào)度優(yōu)先級是一個很重要的因素。成熟的優(yōu)先級設(shè)置理念有Rate Monotonic Scheduling(RMS)、Criticality Aware Priority Assignment (CAPA)等方法。其中，RMS方法的設(shè)計理念是：周期越短，優(yōu)先級越高;CAPA方法的設(shè)計理念是：安全等級越高，優(yōu)先級越高。然而，單獨利用任何一種方法，都不能達到滿意的調(diào)度效果。使用RMS方法設(shè)置優(yōu)先級，則所有任務(wù)的運行都能滿足其截止期限(deadline)的要求，但是不能保證“freedom from interference”;使用CAPA方法可以保證低安全等級的任務(wù)不影響高安全等級的任務(wù)，但CPU資源利用效率低，資源浪費嚴(yán)重。

　　Autosar時序保護機制提升設(shè)計空間

　　時序保護機制是Autosar的一項系統(tǒng)服務(wù)，它對運行中的控制器上的一個(或幾個)任務(wù)的執(zhí)行時間進行監(jiān)控。如果有任務(wù)的實際運行時間超過了預(yù)設(shè)的執(zhí)行時間，系統(tǒng)將會判定為錯誤并且對該錯誤進行相應(yīng)的處置。雖然這種方式不能消除嚴(yán)重等級反轉(zhuǎn)(criticality inversions)的問題，但使問題出現(xiàn)的可能性得到了有效的控制。該時序保護機制可以使系統(tǒng)滿足ISO26262的相關(guān)安全要求，特別是“absence of error propagation”這一點。一般說來，時序保護機制需要根據(jù)應(yīng)用的ASIL等級來設(shè)計。為了合理的對時序保護機制進行配置(尤其是執(zhí)行時間的設(shè)置)，對差情況下的任務(wù)調(diào)度(WCRT&WCET)進行分析和預(yù)測是必須的。如圖2所示，在綜合利用時序保護機制和周期轉(zhuǎn)化(所謂周期轉(zhuǎn)化即指將周期長的任務(wù)分割為執(zhí)行時間較短的多個子任務(wù)，且此多個子任務(wù)仍能夠在原任務(wù)周期內(nèi)完成)兩種設(shè)計理念的條件下，所有安全和實時性相關(guān)的需求均得到了滿足。即，不存在低安全等級對高安全等級任務(wù)的干擾，且所有任務(wù)均在其周期時間內(nèi)執(zhí)行完成。

　　新設(shè)計模式的應(yīng)用

　　我們將上述提及的設(shè)計理念整合進實際的設(shè)計流程中, 如圖3所示。首先，根據(jù)RMS方法設(shè)計出一版初始的調(diào)度參數(shù)。然后，查看是否有嚴(yán)重度等級逆轉(zhuǎn)現(xiàn)象。如前述所介紹，如果軟件架構(gòu)中應(yīng)用了時序保護機制，則該問題可以得到有效的控制。如果軟件架構(gòu)中未使用時序保護機制，則須使用CAPA方法對有安全需求的軟件進行優(yōu)先級重設(shè)。后的“安全檢查”用來確保在優(yōu)先級和時序保護機制設(shè)計中不存在錯誤。下一步檢查是否所有的可調(diào)度項均滿足了時間需求。如果滿足，則時序保護機制的相關(guān)參數(shù)便可確定下來。如果不滿足，則須采取相應(yīng)的措施解決問題，比如采取周期轉(zhuǎn)化的方法對軟件架構(gòu)進行調(diào)整。另，為了盡早的在設(shè)計流程中對軟件架構(gòu)及調(diào)度進行優(yōu)化，除了相關(guān)配置信息，如任務(wù)名稱、周期、ASIL等，還需要獲知task和runnable的執(zhí)行時間。

　　結(jié)論

　　奧迪和Symtavision在一個聯(lián)合項目中成功地對上述設(shè)計模式進行了應(yīng)用，并且相關(guān)架構(gòu)設(shè)計變體在高集成控制器實際應(yīng)用中得到了確認。這充分表明了該設(shè)計模式的價值。總而言之，時序和安全是系統(tǒng)架構(gòu)設(shè)計中需要盡早考慮的兩個重要角度。

　　文章來源：《Design patterns for highly integrated ECUs with various ASIL levels》——《ATZ elektronik》雜志。