多核處理器越來越多地被采用在關(guān)鍵系統(tǒng)領(lǐng)域，特別是在關(guān)鍵任務的軍事環(huán)境中。它們?yōu)閱魏颂幚砥鞯拈L期可用性問題以及促進軍事系統(tǒng)創(chuàng)新所需的處理能力增加的問題提供了解決方案。由于多核處理器既不提供確定性環(huán)境，也不提供可預測的軟件執(zhí)行時間，因此需要一種新的驗證方法（一種解決多核時序分析挑戰(zhàn)的方法）來安全使用。

處理器的SWaP（尺寸，重量和功率）問題的持續(xù)進展導致多核供電的手機比阿波羅11號月球著陸器包含更多的功率。使用多核處理器帶來的好處導致該技術(shù)在主流技術(shù)行業(yè)中得到廣泛采用，單核處理器現(xiàn)在只占市場的一小部分。由于這種轉(zhuǎn)變，芯片制造商正在遠離生產(chǎn)這些傳統(tǒng)處理器，它們的長期可用性受到嚴重質(zhì)疑。

隨著單核處理器的供應不斷減少，現(xiàn)代嵌入式系統(tǒng)越來越受歡迎，采用多核處理器是不可避免的。然而，在關(guān)鍵任務軍事領(lǐng)域安全使用這些處理器具有挑戰(zhàn)性，因為它們既不提供確定性環(huán)境，也不提供可預測的軟件執(zhí)行時間。

軍用航空電子認證的黃金標準

DO-178C 是 FAA ［聯(lián)邦航空管理局］ 和 EASA ［歐盟航空安全局］ 等著名認證機構(gòu)批準所有商業(yè)軟件航空航天系統(tǒng)的主要文件。多年來，它也已成為在軍用航空電子系統(tǒng)中使用軟件的事實黃金標準。

美國聯(lián)邦航空局用題為“多核處理器”的立場文件CAST-32A補充了DO-178C指南，以解決航空中越來越多地使用多核處理器的問題。

美國陸軍指定的主要適航機構(gòu)AMRDEC航空工程局（AED）發(fā)布了一份名為“多核處理器（MCP）適航要求”的指導文件草案，其中DO-178C和CAST-32A目標被確定為可用于滿足MCP ［多核處理器］適航要求的指南。

時序分析是 CAST-32A 指南中確定的核心目標之一，并具體由稱為 MCP_Software_1 的目標解決，該目標需要證據(jù)證明所有托管軟件組件正常運行，并且在多核環(huán)境中運行時有足夠的時間完成其執(zhí)行。這是一個非常具有挑戰(zhàn)性的目標，并且已被證明是旨在認證多核項目的軍事和航空航天公司的嚴重障礙。

分析多核時序行為

由于多種原因，旨在驗證單核系統(tǒng)時序行為的驗證解決方案不適用于多核時序分析，主要是因為這些解決方案無法考慮資源爭用引起的干擾的影響。為了驗證多核系統(tǒng)的時序行為，需要專門解決多核時序分析挑戰(zhàn)的新方法。

考慮資源爭用和干擾

多核系統(tǒng)任務中任務的計時行為不僅受其上運行的軟件及其輸入的影響，還受與其他內(nèi)核上運行的任務共享的資源（如總線、緩存和 GPU）爭用的影響。為了設(shè)計實驗來分析多核系統(tǒng)的時序行為，必須識別并考慮干擾源。

圖 1 顯示了多核架構(gòu)的簡化示例，其中總線在多個內(nèi)核之間共享。由核心 N 訪問此總線而導致的流量可能會影響在核心 0 上運行的應用程序的計時行為，該應用程序需要訪問此總線。

圖1|多核系統(tǒng)中的干擾信道示例。

必須測試假設(shè)

為了分析多核系統(tǒng)的時序行為，必然需要對所研究系統(tǒng)的行為進行一些假設(shè)，包括存在的干擾信道的影響。由于多核系統(tǒng)的復雜性，對系統(tǒng)做出的看似合乎邏輯的假設(shè)以后可能會被證明是不正確的，可能需要一個迭代過程來做出假設(shè)，測試它們，并使用分析結(jié)果來完善下一輪測試的假設(shè)。

這最好用一個實際示例來解釋：正在研究的是運行在 Xilinx Zynq Ultrascale+ ZCU102 目標板上的內(nèi)存密集型應用對不同干擾水平的敏感性。運行應用程序的應用程序處理單元有四個內(nèi)核。合理的假設(shè)是，由于對系統(tǒng)的先驗了解，二級緩存是此應用的主要干擾通道。為了驗證這一假設(shè)，在應用程序運行時執(zhí)行了一項測試，同時從 0 到 3 個競爭者內(nèi)核上運行的任務對 L2 緩存進行持續(xù)訪問。

圖2|CPU 周期和二級緩存未命中。

如果假設(shè)有效，則應用程序執(zhí)行的二級緩存未命中數(shù)和 CPU 周期數(shù)將隨著每個額外的競爭者內(nèi)核而增加。該圖顯示，這一假設(shè)一直持續(xù)到引入第三個競爭者核心。這增加了 CPU 周期數(shù)，但二級緩存未命中數(shù)與只有兩個競爭者內(nèi)核處于活動狀態(tài)時大致相同。

多核系統(tǒng)中干擾效應的復雜性意味著設(shè)計人員應該期望需要迭代周期來形成假設(shè)，測試它們，并使用分析結(jié)果形成新的假設(shè)。雖然沒有辦法自動化這個過程，但工程師可以在如何形成關(guān)于多核處理器的合理假設(shè)以及如何通過處理多個項目和積累經(jīng)驗來在調(diào)查工作中重新評估這些假設(shè)方面發(fā)展專業(yè)知識。有效的重新評估和測試將導致全面了解多核處理器的行為方式以及哪些因素會影響其計時行為。

在真實硬件上進行測試

多核CPU很復雜，其內(nèi)部通常是隱藏的，因此純分析模型在理解其時序行為方面的用途有限。雖然純分析（靜態(tài)分析）模型可以為單核系統(tǒng)提供可用的時序估計，但對于多核系統(tǒng)則不是這種情況。即使使用這些方法，它們也會根據(jù)多核配置的病理最壞情況行為產(chǎn)生高度悲觀的結(jié)果，并且這些結(jié)果將沒有實際用途。

要從多核系統(tǒng)生成可用的時序指標，必須測量系統(tǒng)本身的時序行為。Rapita Systems的工程師使用巴塞羅那超級計算中心開發(fā)的一系列微基準來強調(diào)特定的共享資源，并在發(fā)生這種爭用時觀察應用程序的計時行為。通過使用該技術(shù)對特定共享資源應用可配置的爭用程度，可以制定實驗，以幫助根據(jù)可行的計時環(huán)境分析計時指標。這些實驗可以產(chǎn)生滿足CAST-32A定時目標所需的關(guān)鍵證據(jù)，例如最壞情況執(zhí)行時間（WCET）。

多核時序分析不能完全自動化

多核處理器的復雜性意味著構(gòu)建全自動時序分析解決方案是不現(xiàn)實的。雖然工具支持可以自動化大多數(shù)數(shù)據(jù)收集和分析過程，但需要工程智慧和專業(yè)知識來了解系統(tǒng)和指導工具使用以產(chǎn)生必要的證據(jù)。工程師在了解多核系統(tǒng)、研究干擾信道和使用支持工具方面的經(jīng)驗越多，分析過程的效率就越高。

未來的關(guān)鍵任務

軍事領(lǐng)域使用的關(guān)鍵任務嵌入式系統(tǒng)越來越多地使用多核處理器。這些系統(tǒng)的認證考慮因素不是事后才考慮的，而是在開發(fā)過程的早期考慮的。值得慶幸的是，DO-178C 提供了一組強大的目標，以確保安全可靠地使用這些處理器。多核系統(tǒng)的時序分析具有挑戰(zhàn)性，但久經(jīng)考驗的解決方案可以在商業(yè)環(huán)境中執(zhí)行。

審核編輯：郭婷