對于實時系統(tǒng)，尤其是對安全至關(guān)重要的系統(tǒng)，多核處理器由于對處理器內(nèi)核之間共享資源的爭用，對嚴格的確定性提出了重大挑戰(zhàn)。

嵌入式系統(tǒng)在更高的吞吐量和更好的尺寸、重量和功率 （SWaP） 方面受益于多核處理器的使用。具有異構(gòu)處理器內(nèi)核的處理器增加了將應用程序與每種內(nèi)核類型的功能相匹配的能力，進一步提高了吞吐量和 SWaP。多核處理器的優(yōu)勢在于軟件架構(gòu)的復雜性增加，以最大限度地利用處理器內(nèi)核。對于實時系統(tǒng)，尤其是對安全至關(guān)重要的系統(tǒng)，多核處理器由于對處理器內(nèi)核之間共享資源的爭用，對嚴格的確定性提出了重大挑戰(zhàn)。這一挑戰(zhàn)隨著異構(gòu)內(nèi)核的增加而增加，因為最壞情況下的執(zhí)行時間可能會因應用程序執(zhí)行的內(nèi)核而異。

要更詳細地探索這種權(quán)衡，請考慮 NXP? i.MX 8QuadMax 應用處理器中的異構(gòu)內(nèi)核（圖 1）。i.MX 8QuadMax 具有四個 Arm? Cortex?-A53 內(nèi)核和兩個 Cortex-A72 內(nèi)核，可通過將每個應用任務的性能要求與不同內(nèi)核的性能容量相匹配來實現(xiàn)功耗優(yōu)化。與 A53 核心相比，A72 核心提供大約兩倍的性能，但功耗更高。

圖 1：NXP i.MX 8 架構(gòu)

為了實現(xiàn)多核解決方案的吞吐量和 SWaP 優(yōu)勢，軟件架構(gòu)需要支持可用處理器內(nèi)核的高利用率。必須支持所有多核功能，從啟用內(nèi)核的并發(fā)操作（相對于可用內(nèi)核被強制進入空閑狀態(tài)或在啟動時保持重置）到提供確定性負載平衡機制。軟件多處理架構(gòu)越靈活，系統(tǒng)架構(gòu)師實現(xiàn)高利用率所需的工具就越多。

軟件多處理架構(gòu)

與多處理器系統(tǒng)一樣，多核處理器上的軟件架構(gòu)可以根據(jù)內(nèi)核之間共享和協(xié)調(diào)的數(shù)量進行分類。基于多核的系統(tǒng)最簡單的軟件架構(gòu)是非對稱多處理 （AMP），其中每個內(nèi)核獨立運行，每個內(nèi)核都有自己的操作系統(tǒng)或管理程序/客戶操作系統(tǒng)對。每個核心運行不同的應用程序，核心之間在調(diào)度方面很少或沒有有意義的協(xié)調(diào)。由于缺乏負載平衡、難以緩解共享資源爭用以及無法跨核心執(zhí)行協(xié)調(diào)活動（例如綜合內(nèi)置測試所需的），這種解耦可能導致利用率不足。

AMP 的現(xiàn)代替代方案是對稱多處理 （SMP），其中單個操作系統(tǒng)控制所有資源，包括哪些應用程序線程在哪些內(nèi)核上運行。這種架構(gòu)易于編程，因為所有內(nèi)核都“對稱”地訪問資源，從而使操作系統(tǒng)可以將任何線程分配給任何內(nèi)核。對于具有異構(gòu)內(nèi)核的處理器，例如 i.MX 8QuadMax，不知道應用程序?qū)⒃谀姆N類型的內(nèi)核上運行可能會導致執(zhí)行時間范圍廣泛，從而顯著影響確定性性能。

綁定多處理 （BMP） 直接解決了這個問題，它是一種增強型和受限形式的 SMP，它將應用程序的任務/線程靜態(tài)綁定到特定內(nèi)核。這種靜態(tài)綁定允許系統(tǒng)架構(gòu)師嚴格控制多個內(nèi)核的并發(fā)操作。

確保確定性行為

除了實現(xiàn)多核處理器的吞吐量和 SWaP 目標外，安全關(guān)鍵系統(tǒng)還需要為每個應用程序保持可預測的最壞情況執(zhí)行時間 （WCET）。使用 BMP 限制與應用程序配對的內(nèi)核類型是確保異構(gòu)系統(tǒng)中確定性行為的重要組成部分。確保確定性的其他技術(shù)是時間和空間分區(qū)以及管理共享資源的爭用。

在單核處理器中，多個安全關(guān)鍵應用程序可以通過在托管應用程序之間穩(wěn)健地劃分內(nèi)存空間來在同一處理器上執(zhí)行。內(nèi)存空間分區(qū)將內(nèi)存的非重疊部分專用于在給定時間運行的每個應用程序，由處理器的內(nèi)存管理單元 （MMU） 強制執(zhí)行。確定性可以通過使用時間劃分來進一步增強，時間劃分將一個固定的時間間隔（稱為主幀）劃分為一系列固定的子間隔，稱為劃分時間窗口。每個應用程序都分配有一個或多個分區(qū)時間窗口，窗口的長度和數(shù)量由應用程序的 WCET 和所需的重復率決定。

多核干擾挑戰(zhàn)確定性

在多核環(huán)境中，可以有多個應用程序在不同的內(nèi)核上同時運行。這些并發(fā)應用程序每個都需要訪問處理器的資源。每個處理核心都有一些專用資源，但大多數(shù)資源在處理器核心之間共享，包括內(nèi)存控制器、I/O、共享緩存以及連接它們的內(nèi)部結(jié)構(gòu)。當多個處理器內(nèi)核嘗試同時訪問同一資源時，會導致這些共享資源的爭用。在航空電子設備等安全關(guān)鍵型應用程序中，主要問題是這種共享資源爭用如何導致運行在一個內(nèi)核上的應用程序干擾運行在另一個內(nèi)核上的應用程序，從而對確定性、服務質(zhì)量以及最終的安全性產(chǎn)生負面影響。

如果不加以緩解，共享資源爭用的影響可能會很大。僅檢查其中一種共享資源 DDR 內(nèi)存，人們可能會猜測，當另一個內(nèi)核嘗試訪問同一內(nèi)存并且兩個內(nèi)核都運行內(nèi)存受限的應用程序時，WCET 可能會翻倍。實際上，由于共享資源仲裁和調(diào)度算法中的非線性行為，WCET 可以增加 8 倍而不是 2 倍。嘗試訪問 DDR 內(nèi)存或爭奪其他資源（例如片上互連）的其他內(nèi)核可能會導致 WCET 增長得更加顯著（圖 2）。

圖 2：多核干擾的增加速度快于核心數(shù)量。

多核干擾緩解

減輕多核干擾的一種方法是手動調(diào)度應用程序以最小化資源爭用。這種方法不會消除所有干擾，并且任何時候修改任何單個應用程序或添加新應用程序都需要重新測試和驗證所有應用程序。另一種方法是安排一次只運行一個多任務應用程序。任務之間仍然會發(fā)生干擾，但不會對其他應用程序產(chǎn)生干擾。這種方法在具有異構(gòu)內(nèi)核的處理器上尤其無效，因為不同內(nèi)核類型的執(zhí)行時間不同。

更通用的方法是讓操作系統(tǒng)管理共享資源爭用。與操作系統(tǒng)使用硬件 MMU 通過將不同的內(nèi)存區(qū)域分配給不同的應用程序來實現(xiàn)空間分區(qū)的方式相同，操作系統(tǒng)可以按內(nèi)核為共享資源分配帶寬。解決操作系統(tǒng)中的多核干擾為系統(tǒng)集成商提供了有效、靈活和敏捷的解決方案。它還簡化了新應用程序的添加，而無需對系統(tǒng)架構(gòu)進行重大更改，并減少了重新驗證活動。

航空電子設備中異構(gòu)核心的示例解決方案

NXP i.MX 8QuadMax 應用處理器包括四個共享 1MB L2 緩存的 Arm Cortex-A53 內(nèi)核和兩個共享另一個 1MB L2 緩存的 Arm Cortex-A72 內(nèi)核。該處理器還包括兩個用于卸載系統(tǒng)功能的 Cortex-M4F 內(nèi)核和兩個能夠運行 OpenCL、Vulkan 和 OpenVX 視覺加速的 GPU。i.MX 8 的一項獨特功能是硬件資源分區(qū)，其中系統(tǒng)控制器將外圍設備和內(nèi)存區(qū)域提交到特定的客戶定義域中。域之間的任何通信都被迫使用通過硬件消息單元運行的消息協(xié)議。i.MX8QuadMax 面向廣泛的應用，包括工業(yè) HMI（人機界面）和控制、電子駕駛艙 （eCockpit）、平視顯示器、樓宇自動化和單板計算機。

綠山的誠信?-178 tuMP? 多核 RTOS 是一個統(tǒng)一的操作系統(tǒng)，可在 i.MX 8 中的所有 64 位處理器內(nèi)核上運行，并支持 AMP、SMP 和 BMP 的同時組合。RTOS 的時變統(tǒng)一多處理 （tuMP） 方法為將安全關(guān)鍵型和安全關(guān)鍵型應用程序移植、擴展和優(yōu)化到多核架構(gòu)提供了最大的靈活性。INTEGRITY-178 tuMP 使用跨所有內(nèi)核運行的時間分區(qū)內(nèi)核，允許應用程序綁定到一個內(nèi)核或稱為關(guān)聯(lián)組的內(nèi)核組。如果需要，可以進一步限制關(guān)聯(lián)組中應用程序的每個任務以在特定核心上運行。對于 i.MX 8QuadMax 處理器，

圖 3：使用 Affinity Groups，一個應用程序綁定到兩個 Cortex-A72 內(nèi)核，而另外兩個應用程序綁定到一組 Cortex-A53 內(nèi)核。

INTEGRITY-178 tuMP 直接解決多核干擾，包括開發(fā)到最嚴格安全級別的帶寬分配和監(jiān)控 （BAM） 功能。BAM 功能監(jiān)控并強制分配來自每個處理器內(nèi)核的共享資源的帶寬。BAM 模擬一種基于硬件的高速方法，以確保對每個核心對共享資源的使用進行連續(xù)分配強制。BAM 在整個應用程序的執(zhí)行時間窗口中平滑地調(diào)節(jié)帶寬，從而允許同一執(zhí)行時間窗口中的其他應用程序獲取它們分配的共享資源部分。使用前面的內(nèi)存訪問干擾示例，將 50% 的內(nèi)存帶寬分配給高關(guān)鍵應用程序會導致幾乎恒定的 WCET，即使干擾內(nèi)核的數(shù)量增加，而當存在多個干擾內(nèi)核時，WCET 也會降低 8 倍（圖 4）。這種能力有效地減輕了多核干擾并大大降低了集成和認證風險，同時還使集成商能夠獲得多核處理器的最大性能優(yōu)勢。

圖 4：使用 BAM 將 50% 的共享資源帶寬分配給關(guān)鍵應用程序后，WCET 幾乎保持不變并大大降低。

NXP i.MX 8QuadMax 為優(yōu)化航空電子設備和其他嵌入式實時系統(tǒng)中的 SWaP 提供了重要機會。Cortex-A72 和 Cortex-A53 內(nèi)核的結(jié)合使系統(tǒng)架構(gòu)師能夠強調(diào)性能或電源效率，從而創(chuàng)建最佳的系統(tǒng)級解決方案。相應的軟件架構(gòu)需要具有靈活性和可控性，以充分利用這些異構(gòu)應用內(nèi)核，同時保持嚴格的確定性。結(jié)合使用 Affinity Groups 或某種其他形式的 BMP 的能力以及多核干擾緩解解決方案（例如 BAM），可以在安全關(guān)鍵型應用中有效使用 i.MX 8QuadMax。

審核編輯：郭婷