多核、超線程和高速 DMA 等現(xiàn)代處理器功能旨在優(yōu)化平均案例執(zhí)行時(shí)間。但是，這些優(yōu)化通常以犧牲最壞情況的執(zhí)行時(shí)間為代價(jià)，并使系統(tǒng)更難綁定。這種情況給安全關(guān)鍵型軟件的開發(fā)人員帶來了重大挑戰(zhàn)，他們必須針對(duì)最壞情況進(jìn)行設(shè)計(jì)。因此，以下討論探討了為什么在軟件開發(fā)過程中關(guān)注最壞情況的行為，以及安全關(guān)鍵軟件開發(fā)人員面臨的一些與處理器相關(guān)的關(guān)鍵挑戰(zhàn)以及解決這些問題的方法。

為什么要關(guān)注最壞的情況行為？

在安全關(guān)鍵型軟件環(huán)境中，必須確保三個(gè)關(guān)鍵事項(xiàng)：

首先，每個(gè)周期線程（或任務(wù)）必須始終以其定義的速率（例如，100 Hz）執(zhí)行。這很重要，因?yàn)槊總€(gè)線程必須以給定的速率執(zhí)行，否則系統(tǒng)可能會(huì)變得不穩(wěn)定，因此不安全。

其次，必須為每個(gè)周期線程分配一個(gè)不能超過的固定時(shí)間預(yù)算（例如，100 Hz 時(shí)為 200 微秒）。這很重要，因?yàn)樗试S底層 RTOS 強(qiáng)制執(zhí)行時(shí)間分區(qū)。

第三，每個(gè)周期線程的固定時(shí)間預(yù)算必須足以覆蓋線程的最壞情況行為。這很重要，因?yàn)樵S多安全關(guān)鍵線程必須在每個(gè)周期內(nèi)執(zhí)行以完成。否則，系統(tǒng)可能會(huì)變得不穩(wěn)定，從而導(dǎo)致不安全。

請(qǐng)注意，這組要求與非關(guān)鍵軟件系統(tǒng)形成鮮明對(duì)比，在非關(guān)鍵軟件系統(tǒng)中，人們希望整體性能處于最高水平，但可以容忍性能低于平均水平的偶爾“故障”。

多核和緩存/內(nèi)存爭(zhēng)用

自 1985 年以來，CPU 吞吐量大約每 18 個(gè)月翻一番，這與摩爾定律一致。然而，由于三個(gè)關(guān)鍵因素，這一趨勢(shì)在2005年左右開始放緩。主要原因是內(nèi)存速度跟不上CPU性能，在同一時(shí)間段內(nèi)每年僅增加約10%。較大的緩存有助于緩解此問題，但內(nèi)存子系統(tǒng)仍然是重要的性能瓶頸。

從理論上講，更高的并行性應(yīng)該通過使CPU能夠同時(shí)處理多個(gè)指令來提高峰值性能。然而，流水線、分支預(yù)測(cè)和推測(cè)執(zhí)行等技術(shù)已經(jīng)開始“碰壁”，這使得利用這種并行性變得越來越困難。

散熱因素也減緩了 CPU 吞吐量的推進(jìn)速度。隨著工作頻率的增加，功耗和發(fā)熱也會(huì)成比例地增加。在許多環(huán)境中，散發(fā)這種熱量提出了艱巨的挑戰(zhàn)，特別是對(duì)于被動(dòng)冷卻的嵌入式系統(tǒng)。

最近，多核處理器已經(jīng)發(fā)展到可以應(yīng)對(duì)其中的許多挑戰(zhàn)。例如，為了提高內(nèi)存吞吐量，每個(gè) CPU 內(nèi)核都配備了自己的 L1 緩存。更緊密的物理封裝還通過縮短內(nèi)核之間的信號(hào)運(yùn)行來提高性能，從而使數(shù)據(jù)傳輸成比例地更快、更可靠。同時(shí)，多內(nèi)核使處理器能夠在每個(gè)時(shí)鐘周期執(zhí)行更多指令。這使得每個(gè)內(nèi)核都能以較低的頻率運(yùn)行，從而消耗更少的功率并產(chǎn)生更少的熱量。

盡管取得了這些進(jìn)步，但多核處理器仍然給安全關(guān)鍵型軟件的開發(fā)人員帶來了挑戰(zhàn)：主要是對(duì)二級(jí)緩存和內(nèi)存子系統(tǒng)等共享資源的爭(zhēng)用增加。圖 1 顯示了一個(gè)簡(jiǎn)單的雙核處理器，每個(gè)內(nèi)核都有自己的 CPU 和 L1 緩存，兩個(gè)內(nèi)核共享一個(gè) L2 緩存和一個(gè) RAM 子系統(tǒng)。

圖1：一個(gè)簡(jiǎn)單的雙核處理器，每個(gè)內(nèi)核都有自己的CPU和L1緩存，兩個(gè)內(nèi)核共享一個(gè)L2緩存和一個(gè)RAM子系統(tǒng)

左側(cè)列出的值表示每個(gè) CPU 在訪問給定資源時(shí)產(chǎn)生的“成本”。例如，假設(shè) CPU 訪問其本地 L1 緩存需要一個(gè)周期。如果訪問未命中，并且 CPU 必須轉(zhuǎn)到 L2 緩存，則需要 10 個(gè)周期。如果二級(jí)緩存未命中并且CPU必須轉(zhuǎn)到RAM，則成本為100個(gè)周期。如果緩存“臟”并且需要“回寫”，則性能會(huì)更差。請(qǐng)注意，這些數(shù)字并不準(zhǔn)確，并且會(huì)因處理器而異，但相對(duì)數(shù)量級(jí)是典型的。重要的一點(diǎn)是，CPU 訪問數(shù)據(jù)的距離越遠(yuǎn)，數(shù)據(jù)傳輸所需的時(shí)間就越多。

當(dāng) CPU 上的多線程進(jìn)程同時(shí)爭(zhēng)用該內(nèi)核的 L1 緩存時(shí)，以及當(dāng)多個(gè)內(nèi)核同時(shí)競(jìng)爭(zhēng)共享的 L2 緩存和內(nèi)存子系統(tǒng)時(shí)，就會(huì)發(fā)生爭(zhēng)用。即使使用單核處理器，CPU 也很容易使內(nèi)存子系統(tǒng)不堪重負(fù)。在多核系統(tǒng)中，多個(gè)內(nèi)核必須爭(zhēng)用共享內(nèi)存資源，內(nèi)存訪問瓶頸要嚴(yán)重得多。

松弛調(diào)度和緩存分區(qū)

開發(fā)人員可以減少內(nèi)存爭(zhēng)用并利用多核的強(qiáng)大功能，同時(shí)仍滿足最壞情況的執(zhí)行要求的一種方法是利用針對(duì)安全關(guān)鍵型應(yīng)用程序優(yōu)化的實(shí)時(shí)操作系統(tǒng)。例如，DDC-I 的 Deos 提供緩存分區(qū)和松弛調(diào)度功能，可緩解內(nèi)存訪問瓶頸，增強(qiáng)確定性，并提高跨一個(gè)或多個(gè)內(nèi)核的安全關(guān)鍵應(yīng)用程序的 CPU 利用率。

緩存分區(qū)使設(shè)計(jì)人員能夠?qū)⒁徊糠志彺鎸Ｓ糜诿總€(gè)內(nèi)核，從而減少內(nèi)存爭(zhēng)用和最壞情況下的執(zhí)行時(shí)間。通過這種物理分區(qū)，每個(gè)核心可用的緩存總量將減少。但是，由于多個(gè)內(nèi)核不再共享同一資源，因此總體爭(zhēng)用減少了。

同時(shí)，Slack 調(diào)度利用了平均線程執(zhí)行時(shí)間通常比最壞情況執(zhí)行時(shí)間短得多的事實(shí)。對(duì)于那些實(shí)際執(zhí)行時(shí)間小于最壞情況預(yù)算時(shí)間的線程，RTOS回收未使用的時(shí)間并將其重新分配給其他線程，從而提高整體系統(tǒng)性能。

超線程 （HT）

HT 允許通過復(fù)制存儲(chǔ)特定應(yīng)用程序狀態(tài)的處理器部分而不復(fù)制處理器的主處理引擎 （CPU） 來提高計(jì)算的并行化。這樣，HT 處理器在 RTOS 中顯示為兩個(gè)邏輯處理器。超線程技術(shù)還可用于多核設(shè)置，其中每個(gè)內(nèi)核有兩個(gè)邏輯內(nèi)核。

超線程處理器的優(yōu)點(diǎn)是提高了應(yīng)用程序代碼的并行化，并縮短了反應(yīng)和響應(yīng)時(shí)間。例如，與非HT處理器相比，某些HT處理器的性能提高了30%。不幸的是，使用安全關(guān)鍵型軟件很難實(shí)現(xiàn)此性能，因?yàn)?HT 增加了對(duì)緩存和內(nèi)存子系統(tǒng)的爭(zhēng)用，并使系統(tǒng)更難綁定。因此，在許多安全關(guān)鍵應(yīng)用中必須禁用HT。

動(dòng)態(tài)頻率縮放 （DFS）

DFS（也稱為 CPU 節(jié)流）允許實(shí)時(shí)調(diào)整處理器時(shí)鐘的頻率，以節(jié)省功率或減少芯片產(chǎn)生的熱量。雖然DFS主要用于電池供電的移動(dòng)設(shè)備，但也可用于被動(dòng)冷卻的航空電子系統(tǒng)，該系統(tǒng)必須僅使用環(huán)境空氣來滿足嚴(yán)格的熱分布。DFS通常與動(dòng)態(tài)電壓調(diào)節(jié)（DVS）結(jié)合使用，因?yàn)轭l率與工作電壓成正比，功耗隨著電壓的平方而增加。

DFS 和 DVS 可以節(jié)省功耗并減少熱量，但在安全關(guān)鍵環(huán)境中，它們存在問題，因?yàn)樗鼈冞€可以減少處理器在給定時(shí)間內(nèi)可以發(fā)出的指令數(shù)量（包括減慢內(nèi)存總線訪問速度）。因此，性能可能會(huì)以難以綁定的不可預(yù)測(cè)的方式降低。如果功耗不是門控因素，則可以禁用 DFS 和 DVS?；蛘?，想要利用DFS和DVS的設(shè)計(jì)人員可以通過測(cè)量最壞情況的性能來實(shí)現(xiàn)，同時(shí)在較低頻率/電壓下運(yùn)行處理器，然后相應(yīng)地進(jìn)行預(yù)算。

直接內(nèi)存訪問 （DMA）

DMA 允許設(shè)備在不涉及 CPU 的情況下將大量數(shù)據(jù)（包括地圖顯示和地形數(shù)據(jù)庫(kù)）移入和移出系統(tǒng)內(nèi)存，從而提高性能，從而釋放 CPU 以執(zhí)行其他工作。對(duì)于安全關(guān)鍵型軟件，DMA 的主要缺點(diǎn)是它在 CPU 和內(nèi)存管理單元 （MMU） 的控制之外運(yùn)行。因此，DMA 控制器中的缺陷可能會(huì)破壞空間分區(qū)。緩解此問題的一種方法是將RTOS與滿足最高設(shè)計(jì)保證的特殊DMA控制器軟件一起使用。

在像Deos這樣的RTOS的幫助下，安全關(guān)鍵型系統(tǒng)的設(shè)計(jì)人員可以獲得具有多核、高速DMA和DFS的高級(jí)處理器的性能優(yōu)勢(shì)，而不會(huì)影響最壞情況下的執(zhí)行時(shí)間。然而，并非所有高級(jí)處理器功能都非常適合安全關(guān)鍵型應(yīng)用。有些（如超線程）雖然是提高平均性能的理想選擇，但只是缺乏安全關(guān)鍵應(yīng)用程序所需的確定性，必須禁用。

審核編輯：郭婷