技术交流 | 漫谈嵌入式实时操作系统

迪捷软件

于 2022-09-14 09:28:13 发布

阅读量1k

点赞数

分类专栏： SkyEye 文章标签：嵌入式操作系统 RTOS

原文链接：https://mp.weixin.qq.com/s/AHBpZQ_LMIu4DhjKhhtyfA

版权

SkyEye 专栏收录该内容

117 篇文章 20 订阅

订阅专栏

01.概述

嵌入式实时操作系统（Real-Time Operating System，RTOS）是指工作在资源（空间、时间）受限场景，能在确定的时间内对外部事件做出响应，并执行功能的一类轻量级操作系统。

从1981年Ready System公司发布首个嵌入式实时内核VRTX32以来，RTOS业已经历了40年的历史。美国NASA自20世纪80年代末以来，就一直在航天器中采用实时操作系统，例如，从1997年火星探路者，到2021年毅力号火星探测器，都采用了VxWorks实时操作系统。1999年，pSOS实时操作系统在我国实践五号卫星中也获得了成功运用。

软件产品作为航天型号的重要组成部分，直接影响航天任务成败，需要利用RTOS作为基础平台在机制上予以保障，完成任务实时调度、资源优化分配、设备有效管理、故障快速捕获与处理，从而降低上层应用软件复杂性，使之能专注于核心功能，提高软件产品质量，缩短研制周期，并提高系统的确定性、可靠性和灵巧性。

02.RTOS特点分析

与通用操作系统（如Windows、Android、iOS）相比，RTOS在“准”、“稳”、“省”这三个维度上有着显著的差异性。

1. 准：

“准”是指RTOS能够在任何场景下，在确定的响应时间内提供服务的能力。其中，确定的响应时间，是指RTOS需要在给定的截止时间前对内部或者外部事件做出正确的响应，一旦超时，将导致严重后果；任何场景是指，上述具有时序可预测性的准时服务，必须能够免受当前系统运行状态、负载状况、资源分配等因素影响，而持续保持一致的服务质量。

准时性是RTOS最基础的技术特征，以满足实时解算、精确同步等时间敏感应用需求，对于保障航天任务尤为关键。因为航天型号任务必须同时满足逻辑正确性和时间约束两个条件，也就是需要在一定时间完成相应的处理，不仅确保结果逻辑正确性，而且要求时序正确可靠。

例如，2020年ESA和NASA联合研发的太阳轨道器，在直面太阳时温度可达450°C。为了能够承受高温，太阳轨道器设计了一个隔热板，但需要严格控制航天器的位置和倾斜，才能将航天器和仪器遮蔽在隔热板的阴影中。从轨道器检测发现航迹偏离，到完成姿态调整的时限为50秒，不然就会被烤焦。为了完成这项时限紧迫的任务，ESA使用了RTEMS实时操作系统，确保飞行器可以在比到达地球强13倍的阳光下正常工作。

与RTOS相比，通用操作系统行为则充满了不确定性。例如，在一项智能手机的性能评测中，对iPhone XS Max (搭载iOS)和三星S10 Plus (搭载Android)，分别在系统冷启动和应用预加载两个场景下，统计启动17个APP应用的总耗时。系统冷启动后，iPhone打开APP所用时间为2分54秒，三星手机用时为2分30秒；应用预加载后，iPhone用时为42秒，而三星用时为46秒。前后两次测试的用时相差3-4倍，足以说明应用场景变化对系统性能带来冲击，通用操作系统行为的不可预见性，也由此可见一斑。

多源性因素将导致操作系统响应时间的不确定性，如：非抢占式内核、中断不可嵌套重入、资源竞争引起优先级反转、连续缓存未命中、网络传输抖动等。对此需要精准分析、精心设计、精细实现和全面测试，才能杜绝RTOS出现各种不可预测的随机性。

值得一提的是，RTOS的“准”强调的是在限定时间内提供准时服务，而刻画限定时间快慢，则需采用实时性指标进行评估。随着星弹箭船航天产品应用场景不同，对系统实时性需求千差万别，难以一概而论，既有微秒级的强实时应用、毫秒级的一般实时应用，也涵盖秒级的弱实时应用。

2. 稳：

稳定性是RTOS最核心的技术特征，是确保航天系统可靠运行的重要基础设施。事实证明，采用稳定可靠的RTOS，将会显著降低系统中并发与竞争类错误、中断使用错误、接口不匹配等问题，分散技术风险，提高软件质量。

空间飞行器长期工作在恶劣的空间环境，承受着宇宙射线、太空极端温度变化等严峻考验，硬件将出现瞬时或永久故障，这对软件产品，尤其是RTOS的稳定鲁棒性与容错能力提出了挑战，需要根据系统工作模式和工况，提前采取预防措施并预制应对策略。对于事先不可预见的外部条件变化，操作系统级的容错价值在于能尽早检测出非正常状况，激活故障保护机制，采取措施有效止损，从而有助于最大限度地保障业务连续和航天器安全。

例如，阿波罗11号在即将登月前，由于航天员实施了一项新的操作配置，使得制导计算机内存耗尽引发系统过载错误，导致计算机多次重启。虽然该错误未曾在地面测试中发现，但机载操作系统仍有效保障了系统关键任务以及导航数据不受影响，使得登月任务如期完成。

同样的，1997年的火星探路者在着陆第10天起，出现了始料未及的、由于低优先级任务抢占互斥资源，导致高优先级任务调度超时的优先级反转错误，从而引起硬件复位、数据丢失。为了修复错误，最终启用了VxWorks实时操作系统提供的优先级继承协议予以解决。

航天装备是最具挑战性的安全关键系统，而RTOS 的“稳”直接影响了空间飞行器的寿命。对此，需要在软硬件深度协同基础上，综合运用防错、检错、容错、纠错等多种技术手段设计加固型的RTOS，并采取符合安全关键系统编程规范（如MISRA C）的技术手段予以实现，进而，对核心功能模块开展严格的形式化验证，以此构成航天软件产品的可靠基座。

3. 省：

通用操作系统的可使用资源充足，可以广泛适用于不限定场景的各种应用领域。而RTOS则是一类面向特定应用领域、可用资源受限的专用型操作系统。其中，面向特定应用领域是指RTOS需要与应用系统的软硬件条件、任务负载特性适配；可用资源受限是指RTOS需要满足应用系统在功能、性能、成本、体积、功耗等方面的约束。因此，RTOS讲究精准适配、量体裁衣和消除冗余，强调为应用而定制优化。

具体而言，RTOS通过运用各种优化技术来“省”资源，主要体现在：省时间（如：系统启动时间、中断响应时间、任务切换时间等）、省存储（如：代码存储空间、系统运行内存、数据缓存等）、省交互（如：任务同步、任务通信、网络通信等）和省能耗。例如，ThreadX是一个深度嵌入的实时操作系统，其最小内核仅需要2 KB的指令存储区域和1 KB RAM的运行空间，可在120个周期内完成启动，在200M主频下，任务上下文切换仅需0.4微秒。又如，搭载Android或iOS的智能手表续航时间为2-3天，而搭载经过能耗优化的RTOS，轻智能手表的续航能力可达两周以上。

为了最大程度挖掘资源潜力，实现提质增效，RTOS纷纷采取了别具一格的独特技术途径。仅以RTOS内核性能优化技术为例，ThreadX提出了基于抢占阈值优先级调度策略，可以提高任务上下文切换效率；μC/OS设计了优先级位图算法，确保了任务调度时间的确定性；RTEMS和VxWorks分别采用了内核抢占点模型，以及延迟工作队列内核可重入模型，缩短了中断响应时间；而INTEGRITY则对内核系统调用服务进行了深度性能优化。

为了精确匹配硬件特性和应用需求，软件开发者可以采用功能配置和裁剪工具按需定制RTOS，以提供最少硬件资源占用和最佳运行性能。配置过程可分为三个步骤，首先构建一个支持时钟中断的最小内核，随后，选配满足应用需求的功能组件（如调度器、信号量、消息队列等），进而，对功能组件内部选项进行细粒度配置，如调度器组件的配置选项包括任务优先级数量、是否使用时间片轮转等。通过对这些选项配置，最后生成的映像文件中仅包含与应用相关的代码，裁剪了无关冗余代码，实现了“量体裁衣”式精准适配。

弹箭星船器等航天产品硬件平台跨度大、功能需求多样化，如何进行快速的个性化适配和功能重构，对RTOS的自适应能力提出了三方面的要求。其一是系统需要具有最小化依赖、可装配的松耦合架构，以支持功能组件灵活加入、移除或更新；其次，需要克勤克俭优化系统资源使用，最大程度提升资源利用率；再者，需要有锋利的“奥卡姆剃刀”，能精准分析并剔除冗杂功能代码，从而保持系统简洁紧凑，运行稳定流畅。

03.观察与思考

虽然RTOS是一个面向特定应用领域的专用型操作系统，但是研制一个适用于航天安全关键系统应用的操作系统，所牵涉的技术并不仅局限于操作系统本身，至少还需要实时系统理论与方法、容错技术原理与方法、性能优化技术、软件体系结构设计、编译依赖分析等技术，并需要研制一系列支撑工具（包括：运行时库、开发环境、工具链、调试器、模拟器、仿真器、分析器等），同时需要掌握操作系统的测试理论与方法。

由此可见，RTOS的研发和演进是一个平台化的系统工程，其成熟性的表现在于构筑起一套可靠完整、自主可控的软件技术栈。纵观目前领先的RTOS产品，如VxWorks、INTEGRITY，均自主维护了由操作系统、编译器、调试器等一系列基础软件在内的完整技术平台，使得技术发展与服务能力基础坚实，发展游刃有余，而全球第三大实时操作系统ThreadX被微软公司收购后，也进一步完善和丰富了技术平台。