“調(diào)度”是指按一定的順序安排任務(wù)。根據(jù)Mindtools的隨意定義，它考慮了日常生活中的日程安排，日程安排是計劃您的活動的藝術(shù)，以便您可以在可用的時間內(nèi)實(shí)現(xiàn)您的目標(biāo)和優(yōu)先事項(xiàng)。換句話說，調(diào)度通過優(yōu)先處理那些最緊急的任務(wù)來確保有足夠的時間來處理 最重要的任務(wù)。翻譯到硬實(shí)時系統(tǒng)的世界：調(diào)度的關(guān)鍵功能是保證安全關(guān)鍵任務(wù)的執(zhí)行。重要的不僅是任務(wù)的實(shí)際執(zhí)行，而且要準(zhǔn)確及時地執(zhí)行。

我們已經(jīng)在之前的文章“面向未來的實(shí)時汽車安全系統(tǒng)”中討論了硬實(shí)時系統(tǒng)及其必須滿足的要求。為了介紹這個概念，Kopetz 教授在他的經(jīng)典著作Real-Time Systems中對調(diào)度問題進(jìn)行了如下描述：滿足他們指定的期限。每項(xiàng)任務(wù)都需要計算和數(shù)據(jù)資源才能繼續(xù)進(jìn)行。調(diào)度問題與分配這些資源以滿足所有時間要求有關(guān)?！?/p>

讓我們將其置于我們行業(yè)的背景下，汽車電子電氣系統(tǒng)正在朝著整合傳統(tǒng)分離領(lǐng)域的方向發(fā)展。隨著汽車功能在通用硬件上的聚合，系統(tǒng)準(zhǔn)確時間行為的重要性正在上升。對于自動駕駛 (AD) 系統(tǒng)來說尤其如此，它結(jié)合了復(fù)雜的功能和嚴(yán)格的安全要求。它們的軟件功能必須與其他軟件驅(qū)動的汽車功能共存并共享資源，同時不犧牲其實(shí)時安全要求，從而提高汽車操作系統(tǒng)的標(biāo)準(zhǔn)。此外，AD 不僅對單個功能提出了嚴(yán)格的實(shí)時要求，而且還對傳感器、控制軟件和執(zhí)行器網(wǎng)絡(luò)之間的優(yōu)先級依賴關(guān)系提出了額外的要求。TTTech 實(shí)驗(yàn)室科學(xué)家 Silviu S.混合臨界系統(tǒng)，在安全臨界合規(guī)性、時間和空間隔離方面需要更高的標(biāo)準(zhǔn)，導(dǎo)致在運(yùn)行時需要新的調(diào)度功能，在設(shè)計時需要新的配置工具。

隨著自動、互聯(lián)、電動和共享 (ACES) 移動性的出現(xiàn)，這些挑戰(zhàn)隨著汽車中越來越多的數(shù)字功能而增加。為了充分響應(yīng)，現(xiàn)代汽車不僅需要額外的計算性能來運(yùn)行日益復(fù)雜的軟件，還需要能夠真正保證個人和集體安全水平以及所有汽車功能優(yōu)先級的機(jī)制。這就是為什么安全的實(shí)時調(diào)度是汽車未來的核心。

什么是實(shí)時調(diào)度？

分布式實(shí)時計算機(jī)系統(tǒng)在其節(jié)點(diǎn)上同時執(zhí)行多個系統(tǒng)功能。為了確保整個分布式系統(tǒng)中功能的一致執(zhí)行，所有傳入事件必須由它們各自的節(jié)點(diǎn)按照它們發(fā)生的時間順序進(jìn)行處理。

因此，分布式系統(tǒng)的所有互連組件必須相互之間適當(dāng)?shù)赝?，以確保整個系統(tǒng)的可靠行為。對于實(shí)時分布式系統(tǒng)，還需要通過與國際原子時間 (TAI) 對齊，使所有節(jié)點(diǎn)的本地時鐘與遵循物理世界指標(biāo)的參考時鐘正確同步。

實(shí)時分布式系統(tǒng)的節(jié)點(diǎn)必須在相同的全局時間下運(yùn)行

為了定義“正確的”同步，我們可以想象每個節(jié)點(diǎn)都以其本地時鐘滴答，我們將這些滴答稱為微滴答。在可接受的容差范圍內(nèi)與全局時間刻度對齊的微刻度子集將被稱為全局時間的宏刻度（或簡稱為 tic）。因此，當(dāng)這些宏觀反映從正在考慮的節(jié)點(diǎn)集合的同步本地物理時鐘中正確選擇的微觀時，將全局時間概念引入系統(tǒng)。

除了跨節(jié)點(diǎn)同步執(zhí)行任務(wù)之外，節(jié)點(diǎn)之間的協(xié)調(diào)通信對于整個系統(tǒng)的成功運(yùn)行也是必不可少的。每個任務(wù)都由多個單獨(dú)的操作或步驟組成。在每個任務(wù)執(zhí)行過程中，一個順序程序讀取輸入數(shù)據(jù)和節(jié)點(diǎn)內(nèi)部狀態(tài)，確定并傳遞輸出結(jié)果，更新節(jié)點(diǎn)內(nèi)部狀態(tài)。

所有這些都可以用時間來衡量：任務(wù)的實(shí)際持續(xù)時間是任務(wù)開始和結(jié)束之間的時間間隔。在所有可能的輸入數(shù)據(jù)和執(zhí)行場景下，任務(wù)執(zhí)行的最大可能持續(xù)時間稱為最壞情況執(zhí)行時間（WCET）。在現(xiàn)實(shí)生活場景中，WCET 設(shè)置得越接近運(yùn)行時，調(diào)度的使用效率就越高。抖動是 WCET 與任務(wù)的最小持續(xù)時間（任務(wù)執(zhí)行的最小時間間隔）之間的差異。

在硬實(shí)時系統(tǒng)中，所有關(guān)鍵任務(wù)都必須按時完成

在硬實(shí)時計算機(jī)系統(tǒng)中，安全關(guān)鍵任務(wù)必須在嚴(yán)格的時序約束下執(zhí)行。這些任務(wù)必須滿足所有期限，并在非常緊迫的時間間隔內(nèi)執(zhí)行，以實(shí)現(xiàn)“全局”實(shí)時端到端保證。調(diào)度是將計算機(jī)系統(tǒng)的資源分配給任務(wù)以確保其準(zhǔn)確及時執(zhí)行的方法。在此基礎(chǔ)上，實(shí)時調(diào)度是一種方法，通過這種方法在系統(tǒng)的節(jié)點(diǎn)上分配任務(wù)，使得任何節(jié)點(diǎn)上的任何任務(wù)的最大允許抖動值都不會超過，從而確?？深A(yù)測的、因此整個系統(tǒng)的安全行為。

實(shí)現(xiàn)自動駕駛汽車的硬實(shí)時調(diào)度

實(shí)時調(diào)度可以通過不同的方式來實(shí)現(xiàn)。讓我們考慮如下所示的可用選項(xiàng)：

實(shí)時調(diào)度分類

從上面開始，動態(tài)和靜態(tài)硬實(shí)時調(diào)度的主要區(qū)別在于動態(tài)調(diào)度是在運(yùn)行時在線執(zhí)行的，而靜態(tài)調(diào)度是在運(yùn)行時之前離線執(zhí)行的。動態(tài)調(diào)度器很靈活，可以“隨時隨地”做出調(diào)度決策。這意味著它們適應(yīng)不斷發(fā)展的任務(wù)流，從而從當(dāng)前的就緒任務(wù)集中選擇要調(diào)度的任務(wù)。在運(yùn)行時查找此類計劃的開銷可能很大。動態(tài)調(diào)度器在運(yùn)行時分配任務(wù)開始時間，而靜態(tài)調(diào)度器在設(shè)計時就已經(jīng)找到了這些時間。靜態(tài)調(diào)度程序生成調(diào)度表，其中包含有關(guān)離線任務(wù)的完整信息集，然后在運(yùn)行時調(diào)度這些任務(wù)。

繼續(xù)我們的分類圖，我們可以看到靜態(tài)和動態(tài)調(diào)度的兩種不同方法——搶占式和非搶占式調(diào)度。在搶占式調(diào)度中，一些任務(wù)可以被其他更緊急的任務(wù)中斷（搶占）。在非搶占式調(diào)度中，任務(wù)可以決定何時將資源（通常在完成時）釋放給其他任務(wù)。如果要執(zhí)行許多短任務(wù)，那么以非搶占方式調(diào)度任務(wù)是有意義的。

尋找可行的時間表是一個復(fù)雜的過程，會導(dǎo)致整個分布式系統(tǒng)的效率更高。某些任務(wù)特征可能有助于此搜索。一個對可調(diào)度性特別有用的量是任務(wù)請求時間，即請求執(zhí)行任務(wù)的時間。根據(jù)任務(wù)請求時間，我們可以區(qū)分兩種類型的任務(wù)：周期性的和零星的。在第一次請求周期性任務(wù)后，通過將已知周期的倍數(shù)添加到初始請求時間，可以知道所有未來的請求時間。對于零星任務(wù)，請求時間在其激活之前是未知的。在這種情況下，可調(diào)度性標(biāo)準(zhǔn)是零星任務(wù)的任意兩個請求時間之間是否存在最小間隔。此外，

考慮到可用的選項(xiàng)，什么是 AD 系統(tǒng)實(shí)時調(diào)度的正確方法？我們已經(jīng)指出，AD 嚴(yán)重依賴于硬實(shí)時行為。查看 AD 系統(tǒng)的“內(nèi)部”，我們會看到許多并發(fā)任務(wù)共享公共資源和交換數(shù)據(jù)。在現(xiàn)實(shí)世界的場景中，這涉及到許多依賴關(guān)系的考慮，例如優(yōu)先級較高的任務(wù)優(yōu)先于低優(yōu)先級的任務(wù)以及任務(wù)之間的互斥約束以找到合適的調(diào)度。面對這些挑戰(zhàn)，動態(tài)調(diào)度技術(shù)很難保證這些任務(wù)可用的緊迫期限，特別是考慮到管理 E/E 架構(gòu)節(jié)點(diǎn)之間的通信的需要。換句話說，動態(tài)模型的表達(dá)能力不足以有效地捕捉所有這些現(xiàn)實(shí)生活中的需求，因此一旦系統(tǒng)超出動態(tài)模型中的（極其過度簡化的）假設(shè)，就幾乎不可能確保保證。因此，為了實(shí)現(xiàn)所需的可預(yù)測性水平，實(shí)際上確保自動駕駛功能的安全性，我們需要一個靜態(tài)的運(yùn)行前調(diào)度來代替。

靜態(tài)調(diào)度是在設(shè)計時根據(jù)事件和執(zhí)行活動的總體確定的調(diào)度，適用于不同復(fù)雜程度的系統(tǒng)，包括分布式實(shí)時系統(tǒng)。它處理分布式系統(tǒng)中預(yù)先計劃的資源使用和對通信介質(zhì)的預(yù)先計劃訪問。盡管計算機(jī)系統(tǒng)無法控制外部中斷，但這些傳入事件將被服務(wù)的時間點(diǎn)可以先驗(yàn)地定義，基于對每一類事件的假設(shè)。我們可以將靜態(tài)調(diào)度視為對可行調(diào)度的搜索。此搜索的目標(biāo)是找到一個完整的時間表，該時間表考慮了任務(wù)之間的所有優(yōu)先關(guān)系和互斥約束，并確保所有任務(wù)在截止日期之前完成。為了改進(jìn)和優(yōu)化結(jié)果，可以將啟發(fā)式函數(shù)應(yīng)用于搜索。獲獎?wù)撐腗apping and Scheduling Automotive Applications on ADAS (Advanced driver-assistance systems) Platforms using Metaheuristics提出了這種搜索優(yōu)化策略。

盡管靜態(tài)調(diào)度是一種實(shí)現(xiàn)高級系統(tǒng)可預(yù)測性的方法，但它只能處理在設(shè)計時已經(jīng)知道任務(wù)之間的依賴關(guān)系的情況。為了能夠解決可變的現(xiàn)實(shí)用例，引入了某些方法來增加靜態(tài)調(diào)度的靈活性。

這種效率措施之一是模式切換。ADAS 應(yīng)用程序以不同的操作模式運(yùn)行，例如停車模式或高速公路模式。這兩種模式不需要相同的服務(wù)和功能。如果將任務(wù)分開調(diào)度，則根據(jù)活動模式，可以實(shí)現(xiàn)更好的資源利用率。然后將資源分配到需要的時間和地點(diǎn)。系統(tǒng)設(shè)計人員必須識別所有操作和緊急模式，并離線計算每種模式的靜態(tài)調(diào)度，然后當(dāng)在運(yùn)行時請求模式切換時，必須相應(yīng)地激活模式切換調(diào)度。

這些是靜態(tài)實(shí)時調(diào)度帶來的要素，以確保安全的 AD 系統(tǒng)行為以及在廣泛的可能場景及其個性化要求下對計算資源的最佳使用。他們必須確保系統(tǒng)的正確性和響應(yīng)性。

使用MotionWise在實(shí)踐中進(jìn)行安全的實(shí)時調(diào)度

已經(jīng)提到的 ACES 發(fā)展正在推動汽車行業(yè)向軟件定義和集中式 E/E 架構(gòu)發(fā)展。隨著這一趨勢，預(yù)計車輛操作系統(tǒng)將朝著在少數(shù)中央計算中心支持所有車輛功能的方向發(fā)展，同時確保整個系統(tǒng)的可用性和安全性。對測試和驗(yàn)證工作的需求正在增加，并且需要模擬真實(shí)場景以獲得準(zhǔn)確和值得信賴的系統(tǒng)行為。這種領(lǐng)域的整合，以及集成到系統(tǒng)中的混合關(guān)鍵性的不同應(yīng)用程序，需要一個系統(tǒng)設(shè)計來支持關(guān)鍵軟件功能的保證優(yōu)先級以及它們不受可能干擾的影響。

進(jìn)入 MotionWise，這是一個軟件安全平臺，它結(jié)合運(yùn)行時服務(wù)和設(shè)計時工具來解決這些問題，為軟件行為提供端到端的保證。通過為每個應(yīng)用程序定義和強(qiáng)制執(zhí)行預(yù)定義的執(zhí)行邊界并實(shí)現(xiàn)運(yùn)行前靜態(tài)調(diào)度，MotionWise 編排了較低級別操作系統(tǒng)提供的機(jī)制，以確保整個系統(tǒng)的實(shí)時行為。憑借其工具，MotionWise 能夠以協(xié)調(diào)和無縫的方式沿著開發(fā)生命周期系統(tǒng)開發(fā)汽車軟件，包括設(shè)計、集成、測試和驗(yàn)證。

讓我們深入了解一下這里的工作技術(shù)：MotionWise 提供了一個執(zhí)行管理器，可以確定性地協(xié)調(diào)跨系統(tǒng)中所有主機(jī)的多個應(yīng)用程序的調(diào)度。主機(jī)之間的所有通信均通過確定性網(wǎng)絡(luò)實(shí)現(xiàn)，并由 MotionWise Communication Manager Stack 進(jìn)行協(xié)調(diào)。全局調(diào)度概念確保主機(jī)的所有任務(wù)調(diào)度與連接這些主機(jī)的骨干通信網(wǎng)絡(luò)的網(wǎng)絡(luò)調(diào)度一致。由于全局調(diào)度要求所有主機(jī)上的時間概念相同，因此必須得到專用 MotionWise 功能的支持才能實(shí)現(xiàn)可靠的時間同步。此外，所有這些都是通過 MotionWise 規(guī)劃工具和執(zhí)行車載軟件堆棧從用戶的角度抽象出來的。

現(xiàn)代分布式系統(tǒng)的復(fù)雜性，再加上極其復(fù)雜和不可預(yù)測的現(xiàn)實(shí)駕駛條件，為尋找能夠滿足高度自動化、軟件定義車輛的安全要求的適當(dāng)時間表創(chuàng)造了一個具有挑戰(zhàn)性的起點(diǎn)。因此，創(chuàng)建有效的時間表需要全局視圖：系統(tǒng)范圍的計劃和全局時間考慮。這通常意味著在多主機(jī)，有時甚至是多 ECU 環(huán)境中進(jìn)行架構(gòu)工作。全局調(diào)度程序?yàn)檎麄€異構(gòu)、多 ECU、多 SoC、多核系統(tǒng)創(chuàng)建調(diào)度。這是通過 MotionWise Creator 實(shí)現(xiàn)的，它根據(jù)用戶定義的約束生成有效的時間表。該工具還可以在無法制定可行的時間表時提供信息。

MotionWise 全局調(diào)度程序功能

如前所述，現(xiàn)實(shí)生活中的情況通常會引入高度復(fù)雜的任務(wù)流程，此時需要妥善管理大量相互依賴、相互排斥的任務(wù)。為了確保所有這些任務(wù)根據(jù)它們的相互依賴關(guān)系和延遲要求得到良好的組織和調(diào)度，MotionWise 將這些任務(wù)分組到所謂的計算鏈 (CC) 中。此外，它們可以安排在任何主機(jī)上并具有不同的時間段。在運(yùn)行時，CC 的確定性執(zhí)行理想地由其任務(wù)和消息傳輸?shù)?WCET 來確保。如果 WCET 無法準(zhǔn)確估計，則無法保證特定任務(wù)不會超出其預(yù)定時間。在實(shí)踐中，運(yùn)行時預(yù)算是迭代估計的，以盡量減少超支的可能性。在仍然發(fā)生溢出的極少數(shù)情況下，MotionWise 會檢測到，報告，并觸發(fā)適當(dāng)?shù)腻e誤反應(yīng)。傳入的任務(wù)可以分為事件驅(qū)動、數(shù)據(jù)驅(qū)動或時間驅(qū)動。例如，規(guī)劃和控制是時間驅(qū)動的，而多個異步傳感器輸入是事件驅(qū)動的。數(shù)據(jù)驅(qū)動任務(wù)的一個例子是感知層，它由一系列進(jìn)程組成，它們之間存在數(shù)據(jù)依賴關(guān)系。

計算鏈

由于不同的應(yīng)用程序根據(jù)其要求和優(yōu)先級在不同的主機(jī)上運(yùn)行，ADAS 系統(tǒng)架構(gòu)師決定將哪些策略應(yīng)用于哪個應(yīng)用程序，以滿足所有功能和安全要求。

時間觸發(fā)的調(diào)度策略能夠高度確定地執(zhí)行相關(guān)的時間驅(qū)動任務(wù)。這些任務(wù)在它們各自的固定長度時隙內(nèi)被激活和執(zhí)行，并在預(yù)定的時間點(diǎn)周期性地發(fā)生。調(diào)度表離線生成并靜態(tài)部署。這種方法允許高度不受干擾，但是，任務(wù)可能不需要全部分配的時間預(yù)算來執(zhí)行它們（尤其是那些具有高度變化的運(yùn)行時間的），因此需要更有效地使用這些場景的資源。由于即使是對安全至關(guān)重要的任務(wù)也可能具有可變的運(yùn)行時間，因此在每個主機(jī)上有效地使用資源非常重要。此外，在我們硬實(shí)時系統(tǒng)的整體處理活動中，不僅是周期性的，但也需要考慮零星的任務(wù)。這似乎是靜態(tài)調(diào)度的弱點(diǎn)。

顯然，現(xiàn)代汽車行業(yè)需要靈活的調(diào)度機(jī)制來涵蓋各種可能的用例。作為對現(xiàn)實(shí)世界駕駛條件的響應(yīng)，MotionWise 調(diào)度功能體現(xiàn)了靈活性和安全性之間的完美協(xié)同作用。我們的時間感知解決方案架構(gòu)通過允許完成事件驅(qū)動和數(shù)據(jù)驅(qū)動的任務(wù)，同時仍然提供時間保證，從而能夠執(zhí)行各種應(yīng)用程序。例如，周期性傳感器輸入（相機(jī)圖像幀）本質(zhì)上是異步的，因此必須以事件驅(qū)動的方式處理。MotionWise Scheduling Service 通過將事件驅(qū)動任務(wù)（傳感器輸入）集成到時間感知架構(gòu)中來處理時間驅(qū)動和事件驅(qū)動任務(wù)。與時間驅(qū)動任務(wù)的預(yù)定義時隙不同，

我們的時間感知架構(gòu)中的事件驅(qū)動任務(wù)

MotionWise還允許數(shù)據(jù)驅(qū)動的調(diào)度，其中用戶可以定義一組數(shù)據(jù)驅(qū)動的任務(wù)。數(shù)據(jù)驅(qū)動方法的用例是在感知層中任務(wù)的動態(tài)順序執(zhí)行，其中數(shù)據(jù)驅(qū)動的任務(wù)可以在滿足先決條件（輸入數(shù)據(jù)準(zhǔn)備好）后立即開始。盡管單個任務(wù)的執(zhí)行本質(zhì)上并不取決于先前任務(wù)的完成，但至關(guān)重要的是端到端延遲不超過上限。

通過數(shù)據(jù)驅(qū)動的調(diào)度優(yōu)化資源

MotionWise 同時靈活而準(zhǔn)確，展示了支持這一終極安全目標(biāo)的不同機(jī)制。我們已經(jīng)提到模式切換是一種非常有用的提高靜態(tài)調(diào)度效率的方法。為了有效地分配資源，重要的是為系統(tǒng)的不同操作模式采用單獨(dú)的調(diào)度方法。換句話說，具有單個調(diào)度表會導(dǎo)致資源使用不理想，并且生成調(diào)度需要更長的時間。MotionWise Scheduling Service 支持在運(yùn)行時在多個預(yù)先配置的調(diào)度表之間切換，以實(shí)現(xiàn)互斥的應(yīng)用程序，例如高速公路領(lǐng)航員和停車輔助。

正如本文所述，硬實(shí)時調(diào)度對于 ADAS 和整個 AD 發(fā)展至關(guān)重要。MotionWise 平臺提供了當(dāng)今規(guī)劃、構(gòu)建和運(yùn)行安全的實(shí)時 E/E 架構(gòu)所需的所有功能。隨著 ACES 移動性在我們的世界中逐漸成為現(xiàn)實(shí)，必須在技術(shù)進(jìn)步的同時確保人類生命永遠(yuǎn)不會處于危險之中。在 TTTech Auto，我們了解這一旅程的意義，并每天熱情地工作，為安全提供無條件的解決方案，這是真正繁榮的現(xiàn)代移動性的要求。

審核編輯：郭婷