顯示系統(tǒng)中圖形處理器的適航符合性方法

闞 進(jìn)

（中國航空無線電電子研究所，上海 200241）

顯示系統(tǒng)中圖形處理器的適航符合性方法

闞 進(jìn)

（中國航空無線電電子研究所，上海 200241）

研究了顯示系統(tǒng)中圖形處理器（GPU）承擔(dān)的功能特性，分析了適航審定面臨的問題，提出了恰當(dāng)?shù)脑O(shè)計(jì)保證措施，以確保系統(tǒng)不會(huì)產(chǎn)生危害性誤導(dǎo)性信息，滿足適航性要求。

商用貨架產(chǎn)品；圖形處理芯片；顯示系統(tǒng)；設(shè)計(jì)保證；適航審定

商用貨架產(chǎn)品（COTS）圖形處理器（GPU）當(dāng)前已在C919等機(jī)型的顯示系統(tǒng)中獲得采用，然而它不具備令人信服的航空或安全關(guān)鍵領(lǐng)域的歷史服役數(shù)據(jù)，這為適航審定帶來了挑戰(zhàn)。

GPU最初是為非航空領(lǐng)域的圖形密集型應(yīng)用設(shè)計(jì)，如視頻游戲和計(jì)算機(jī)制圖。新一代的GPU設(shè)備能夠提供的功能和兼容性顯著增加，機(jī)載顯示系統(tǒng)充分利用這一成果，將以前在主系統(tǒng)處理器上運(yùn)行軟件實(shí)現(xiàn)的功能轉(zhuǎn)換為由這類高速硬件設(shè)備實(shí)現(xiàn)。這主要是由于GPU特殊的硬件架構(gòu)突出了對CPU的優(yōu)勢：擁有高帶寬的獨(dú)立顯存；浮點(diǎn)運(yùn)算性能高；幾何處理能力強(qiáng)；適合處理并行計(jì)算任務(wù)；適合進(jìn)行重復(fù)計(jì)算；適合圖像或視頻處理任務(wù)；能夠大幅度降低系統(tǒng)成本。

當(dāng)COTS GPU承擔(dān)重要任務(wù)其失效影響會(huì)到顯示系統(tǒng)安全性時(shí)，申請人必須向?qū)彾ǚ阶C明其安全性并保持適航性。本文提出恰當(dāng)?shù)谋ＷC措施以解決該問題。

1 顯示系統(tǒng)中GPU的功能特性

顯示系統(tǒng)以機(jī)載總線或網(wǎng)絡(luò)為橋梁與機(jī)載其他系統(tǒng)交聯(lián)[1]，接受各個(gè)航空電子系統(tǒng)的數(shù)據(jù)、參數(shù)以及狀態(tài)信息，完成視頻、圖像等處理，以數(shù)據(jù)、字符、圖形、圖像等方式通過機(jī)載電子顯示器呈現(xiàn)給駕駛員，提供飛行指引、態(tài)勢感知、系統(tǒng)保障與維護(hù)等功能，同時(shí)駕駛員能通過控制儀表版對各子系統(tǒng)完成控制輸入。隨著技術(shù)的革新，顯示系統(tǒng)傳統(tǒng)的圖形信號(hào)處理機(jī)加終端顯示器的架構(gòu)，轉(zhuǎn)變?yōu)橐约蓛烧吖δ艿闹悄茱@示器為主的物理構(gòu)成。圖1展示了顯示系統(tǒng)數(shù)據(jù)處理的簡圖。

GPU是人機(jī)交互的核心部件之一，接受來自CPU的顯示指令進(jìn)行渲染和加速處理。GPU重要功能之一是生成顯示符號(hào)，符號(hào)（包括直線、圓、曲線、刻度、磅值、字母、數(shù)字、表格、地圖）是由微小的直線或向量所構(gòu)成的[2]。如果CPU想畫一個(gè)二維圖形，只需要發(fā)一條指令給GPU，例如“以坐標(biāo)位置（x1，y1）為起點(diǎn)處畫一條長度為r，相對X軸的角為θ的向量”，GPU就可以迅速計(jì)算出該圖形的矢量終點(diǎn)坐標(biāo)（x2，y2），并在顯示器上指定位置畫出相應(yīng)的圖形，畫完后通知CPU，然后等待CPU發(fā)出下一條圖形指令。GPU符號(hào)產(chǎn)生及顯示過程見圖2[2]。

GPU在向量計(jì)算方面能夠獲得比CPU高出10倍的計(jì)算效率[3]，而且其可編程性和強(qiáng)大的處理能力，使其可用于快速地實(shí)現(xiàn)各種數(shù)字信號(hào)處理算法，成為目前圖像處理系統(tǒng)的最佳選擇。

2 GPU面臨適航審定時(shí)必須考慮的因素

為航空項(xiàng)目選擇合適的GPU時(shí)，要考慮的重要因素不僅僅是GPU滿足或超出所需性能以及運(yùn)行環(huán)境的要求，還包括元器件缺件管理解決方案，GPU供應(yīng)商的設(shè)計(jì)支持以及支撐軟件的可用性，特別地，需要滿足適航當(dāng)局嚴(yán)苛的審定要求。

因?yàn)榇嬖跐撛诘脑O(shè)計(jì)錯(cuò)誤，在機(jī)載顯示系統(tǒng)中使用GPU可能會(huì)影響安全性運(yùn)行，同時(shí)還存在以下適航方面的問題：

典型GPU使用多個(gè)異步運(yùn)行的嵌入式微處理器，單個(gè)GPU可能包含百萬數(shù)量級的晶體管，因此GPU不能被認(rèn)為是簡單設(shè)備；

COTS GPU不會(huì)遵照RTCA DO-254《機(jī)載電子硬件的設(shè)計(jì)保證指導(dǎo)》或國際認(rèn)證機(jī)構(gòu)認(rèn)可的其他設(shè)計(jì)保證標(biāo)準(zhǔn)的指導(dǎo)進(jìn)行研制；

依靠驗(yàn)證活動(dòng)或者逆向工程使這些芯片符合RTCA DO-254不具備可操作性；

這類芯片生命周期很短，使用服役歷史來證明GPU沒有設(shè)計(jì)錯(cuò)誤是很困難的。

3 顯示系統(tǒng)中GPU的適航符合性方法

COTSGPU原本為非航空、非安全—關(guān)鍵市場研發(fā)，適航取證申請人想要獲取足夠必要的文檔數(shù)據(jù)證明GPU的研制符合RTCA DO-254第5章要求的電子硬件研制流程是不現(xiàn)實(shí)的。本文通過研究國內(nèi)外的最佳實(shí)踐，推薦一些可行的適航符合性方法。

3.1 RTCA DO-254對COTS的通用指導(dǎo)

RTCA DO-254第11.2和11.3章包含了一些信息，指導(dǎo)在航電系統(tǒng)中如何選擇特殊的COTS，以及從產(chǎn)品服役歷史中如何盡可能地獲取審定置信度。RTCA DO-254對特殊COTS的要求總結(jié)如下：

明確電子元器件管理準(zhǔn)則：當(dāng)選用一款GPU時(shí)，應(yīng)考慮供應(yīng)商追蹤記錄、質(zhì)量控制、器件可靠性，以及分析芯片功能的適宜性；

策劃如何解決以下問題：缺少GPU研制保證數(shù)據(jù)、批次間不同的芯片性能參數(shù)差異、以及取證后持續(xù)適航階段的重新設(shè)計(jì)或者供應(yīng)商停止生產(chǎn)；

收集產(chǎn)品服役經(jīng)驗(yàn)：在相似的使用領(lǐng)域或者安全關(guān)鍵的非航空運(yùn)行環(huán)境中的使用經(jīng)驗(yàn)也可以用來獲取。收集正式的文檔（例如規(guī)范、資料表、使用手冊、勘誤表等），有效的問題報(bào)告和解決機(jī)制，決定芯片實(shí)際失效概率的方法等等都是獲取適航置信度的措施。

3.2 GPU的特定符合性方法

針對顯示系統(tǒng)中GPU的特性，還應(yīng)從初始適航[4]和持續(xù)適航兩個(gè)階段采取特定的符合性方法。

3.2.1 減緩GPU產(chǎn)生的危害性誤導(dǎo)信息

開發(fā)機(jī)載顯示系統(tǒng)面臨的主要問題之一是如何避免向機(jī)組人員展示有害的誤導(dǎo)性信息（HMI），本質(zhì)上是對數(shù)據(jù)完整性的要求。顯示錯(cuò)誤的數(shù)據(jù)和圖像凍結(jié)會(huì)造成HMI，HMI可能會(huì)觸發(fā)錯(cuò)誤或缺失駕駛艙警報(bào)。如果該錯(cuò)誤信息未被標(biāo)記為無效數(shù)據(jù)，則會(huì)導(dǎo)致飛行機(jī)組根據(jù)該錯(cuò)誤數(shù)據(jù)進(jìn)行不當(dāng)和潛在的危險(xiǎn)行為，或在應(yīng)采取行動(dòng)時(shí)沒有采取恰當(dāng)措施，從而對飛機(jī)造成危害。

GPU存在對HMI造成影響的可能性，原因如下：一是GPU內(nèi)部的硬件故障；二是GPU內(nèi)部的設(shè)計(jì)錯(cuò)誤；三是對外部事件的失敗或不適當(dāng)?shù)姆磻?yīng)，如電磁干擾、閃電、高運(yùn)行溫度，或超出標(biāo)稱值的輸入電壓。這些GPU失效將導(dǎo)致其實(shí)際生成的圖符與CPU指令預(yù)期模式之間的差異。

基于上述分析，需要采用架構(gòu)減緩的手段證明顯示系統(tǒng)中使用的GPU顯示HMI的概率與危害度等級（災(zāi)難的、危害的、嚴(yán)重的）相對應(yīng)。架構(gòu)減緩的宗旨是GPU產(chǎn)生的HMI應(yīng)當(dāng)被探測到，并且不會(huì)被允許顯示到顯示器上，或者標(biāo)示為無效數(shù)據(jù)而引起機(jī)組的注意。

架構(gòu)減緩措施有多種形式，都應(yīng)當(dāng)獨(dú)立于GPU，可以依靠駐留在信息處理與控制模塊中的監(jiān)控軟件實(shí)現(xiàn)，也可以在GPU后端增加可編程邏輯器件實(shí)現(xiàn)。如圖3所示，完整性監(jiān)控軟件通過開放式圖形程序接口（OpenGL）驅(qū)動(dòng)、實(shí)時(shí)操作系統(tǒng)和CPU向GPU發(fā)出指令，繪制“測試用圖像”存儲(chǔ)于幀緩存0中，接著通過端對端的高速互連總線例如PCIe提取“測試用圖象”進(jìn)行比較處理，可以選擇一塊顯示像素與命令像素進(jìn)行比較，也可以從“測試用圖象”解算循環(huán)冗余碼校驗(yàn)（CRC）與已知的CRC值進(jìn)行比較。

當(dāng)像素比較或CRC監(jiān)控失敗時(shí)，應(yīng)通過恰當(dāng)?shù)姆绞教崾撅w行員，例如重置GPU、向另一個(gè)智能顯示器發(fā)送并顯示該信息、或者觸發(fā)聲音警報(bào)。這樣能有效地發(fā)現(xiàn)和處理GPU失效。

RTCA DO-254的附錄B，雖然不是針對COTS芯片的，但其提供的功能故障路徑分析法、架構(gòu)減緩法和高級驗(yàn)證法都可以在設(shè)計(jì)采用GPU作為重要元器件的顯示系統(tǒng)時(shí)使用。

3.2.2 保證顯示系統(tǒng)的可用性

依據(jù)ARP 4754A《民用飛機(jī)和系統(tǒng)開發(fā)指南》的要求，應(yīng)采用故障樹分析（FTA）等分析和計(jì)算的方法證明使用GPU的顯示系統(tǒng)提供所需的顯示功能的可用性/失效概率與危害性評估的等級（災(zāi)難的、危害的、嚴(yán)重的）匹配。一般采用多個(gè)顯示器冗余的方案降低系統(tǒng)的失效率，提高可用性。

如果顯示系統(tǒng)故障樹為GPU采用特定的失效率，系統(tǒng)開發(fā)人員應(yīng)該為此失效率的采信提供確鑿的數(shù)據(jù)或其他適當(dāng)理由，及時(shí)與適航當(dāng)局溝通，確定一個(gè)可接受的預(yù)計(jì)計(jì)算失效率或確定一個(gè)適當(dāng)?shù)慕?jīng)驗(yàn)值。

系統(tǒng)開發(fā)人員應(yīng)防止由于單個(gè)共同故障誘因或級聯(lián)失效導(dǎo)致顯示系統(tǒng)不能滿足可用性要求。這不僅包括GPU中故障和設(shè)計(jì)錯(cuò)誤，也包括支持GPU運(yùn)行的外圍硬件。喪失冷卻空氣、極端振動(dòng)或機(jī)械“沖擊”等事件，不應(yīng)造成多個(gè)顯示器的喪失，除非該事件的概率與其危害度等級相匹配。

安裝在飛機(jī)上的備份飛行儀器不應(yīng)使用與主顯示系統(tǒng)相同的GPU，以防止由于共同的失效模式造成同時(shí)喪失主顯示器和備份儀表飛行器。

3.2.3 確保OpenGL驅(qū)動(dòng)軟件的合規(guī)性

如圖3所示，GPU工作需要在主系統(tǒng)處理器中執(zhí)行多個(gè)復(fù)雜的軟件驅(qū)動(dòng)程序。某些軟件包可以從實(shí)現(xiàn)OpenGL圖形應(yīng)用程序的第三方供應(yīng)商處獲得，然而這些驅(qū)動(dòng)程序的核心部分均不開放，形成黑盒。這是適航審定不可接受的狀態(tài)。系統(tǒng)開發(fā)商有責(zé)任證明軟件驅(qū)動(dòng)符合RTCA DO-178B《機(jī)載系統(tǒng)和設(shè)備審定中的軟件考慮》的規(guī)定（或其它可接受的符合性方法）。在評估圖形發(fā)生器和驅(qū)動(dòng)程序的選型以及開發(fā)設(shè)計(jì)時(shí)應(yīng)該注意解決軟件設(shè)計(jì)保證事宜。

3.2.4 分析未使用到的GPU功能

最新一代的COTS GPU應(yīng)用范圍廣泛，極有可能包含機(jī)載顯示系統(tǒng)中不需要使用的功能。適航審定文件中應(yīng)描述關(guān)于GPU功能使用情況的明確信息，包括哪些在顯示系統(tǒng)設(shè)計(jì)中使用了，哪些未被使用到。系統(tǒng)開發(fā)商應(yīng)采取措施（例如分析或健壯性測試等方法）確保GPU未使用的功能將不會(huì)對顯示數(shù)據(jù)的完整性和可用性產(chǎn)生不利影響；或者用有效的資料證明當(dāng)未使用的功能被無意中使用或被激活時(shí)造成的故障率與該故障的危害性等級相稱。

3.2.5 控制GPU構(gòu)型

COTS GPU目標(biāo)市場多樣，制造商會(huì)設(shè)計(jì)可配置的項(xiàng)目，例如可單獨(dú)加載的微代碼，以適應(yīng)不同的場景。機(jī)載顯示系統(tǒng)開發(fā)商應(yīng)該確保GPU的可配置項(xiàng)目是受控的。在生產(chǎn)制造過程中存在涉及可配置項(xiàng)目的錯(cuò)誤，例如加載錯(cuò)誤的版本等，應(yīng)能通過終端物品驗(yàn)收測試、系統(tǒng)運(yùn)行時(shí)顯示系統(tǒng)的監(jiān)控機(jī)制或其他檢查方式及時(shí)發(fā)現(xiàn)并予以糾正。

3.2.6 持續(xù)適航階段GPU的管理

在顯示系統(tǒng)通過初始適航審定后，系統(tǒng)開發(fā)商仍有責(zé)任確保產(chǎn)品的持續(xù)適航性，應(yīng)確保能發(fā)現(xiàn)任何可能影響顯示系統(tǒng)適航性的、由芯片制造商對GPU做出的更改，這些更改包括但不限于：

● 影響GPU物理布局，時(shí)序、機(jī)械、電氣或熱特性的安裝、形狀、尺寸或制造技術(shù)的變化；

● 功能的更改或添加，包括在顯示系統(tǒng)應(yīng)用程序中不需要使用的功能，例如固件、設(shè)備驅(qū)動(dòng)程序和圖形庫；

● 性能增強(qiáng)，如提高運(yùn)行速度。

系統(tǒng)開發(fā)商應(yīng)該建立并維持一個(gè)持續(xù)監(jiān)控GPU供應(yīng)商數(shù)據(jù)（如設(shè)備規(guī)格表和勘誤表）的流程，這樣軟件和/或硬件設(shè)計(jì)團(tuán)隊(duì)能及時(shí)獲悉新發(fā)現(xiàn)的芯片問題或?qū)⒁褂玫闹噶睿治鲈性O(shè)計(jì)并確定是否需要采取相應(yīng)的行動(dòng)。

4 結(jié)論

面對快速發(fā)展的技術(shù)，日益增長的對航空電子系統(tǒng)靈活性要求和嚴(yán)格的全壽命費(fèi)用限制，可負(fù)擔(dān)性（Affordability）、可用性（Availability）和可支援性（Supportability）已成為航空電子系統(tǒng)研制和在役機(jī)航空電子系統(tǒng)升級與改進(jìn)項(xiàng)目的優(yōu)先考慮因素。在開放式航電系統(tǒng)中采用COTS GPU能顯著提升性能、降低成本，同時(shí)也帶來了與新研產(chǎn)品不一樣的適航認(rèn)證問題。因此，這些設(shè)備需要給予注意。GPU的適航符合性表明是一個(gè)綜合的過程，通過嚴(yán)謹(jǐn)?shù)腉PU設(shè)計(jì)保證活動(dòng)、充實(shí)的符合性證據(jù)能夠確保產(chǎn)品適航性并獲得審定方的認(rèn)可。

[1] 陸虎敏. 飛機(jī)座艙顯示與控制技術(shù)[M]. 北京：航空工業(yè)出版社，2015.

[2] 史彥斌，高憲軍，王遠(yuǎn)達(dá)[譯]. 航空電子系統(tǒng)導(dǎo)論[M]. 北京：國防工業(yè)出版社，2013.

[3] 鐘聯(lián)波. GPU與CPU的比較分析[J]. 技術(shù)與市場，2009，16（9）.

[4] 盧佩妍. 機(jī)載設(shè)備初始適航管理研究[J]. 航空標(biāo)準(zhǔn)化與質(zhì)量，2015（1）.

V243 [文獻(xiàn)標(biāo)識(shí)碼] C [文章編號(hào)] 1003-6660（2017）04-0034-04

10.13237/j.cnki.asq.2017.04.009

2017-07-06

（編輯：雨晴）