基于安全分區(qū)操作系統(tǒng)的容錯(cuò)計(jì)算機(jī)軟件架構(gòu)

馬小博，王 芳2,程俊強(qiáng)

(1.西安航空計(jì)算技術(shù)研究所，西安 710068; 2.空裝駐西安地區(qū)軍事代表局第六代表室，西安 710068)

0 引言

飛行器的安全關(guān)鍵系統(tǒng)采用了高可靠容錯(cuò)計(jì)算機(jī)平臺(tái)，計(jì)算機(jī)執(zhí)行包括飛行控制、發(fā)動(dòng)機(jī)控制、公共設(shè)備管理等多種平臺(tái)的子系統(tǒng)功能，這種綜合多種功能的容錯(cuò)計(jì)算機(jī)相比較以前單獨(dú)支持一個(gè)子系統(tǒng)的專(zhuān)用計(jì)算機(jī)在操作系統(tǒng)、容錯(cuò)余度管理等方面發(fā)生了較大的變化，以飛行控制計(jì)算機(jī)為例，支持單個(gè)子系統(tǒng)功能的飛行控制容錯(cuò)計(jì)算機(jī)只需要包含飛控系統(tǒng)的多余度管理與解算，而綜合多功能任務(wù)的飛控高可靠容錯(cuò)計(jì)算機(jī)既要具有飛控系統(tǒng)的多余度安全，同時(shí)又需要滿(mǎn)足發(fā)動(dòng)機(jī)控制、機(jī)電管理等不同系統(tǒng)、不同余度配置的安全要求。另一方面高可靠容錯(cuò)計(jì)算機(jī)從系統(tǒng)結(jié)構(gòu)、容錯(cuò)技術(shù)等方面要適應(yīng)不斷變化的微電子技術(shù)和計(jì)算機(jī)技術(shù)的發(fā)展，保持飛行器平臺(tái)具有相對(duì)的穩(wěn)定性，更要具有靈活的系統(tǒng)配置能力[1]。

隨著功能綜合化程度的提高，容錯(cuò)計(jì)算機(jī)中的軟件越來(lái)越復(fù)雜，地位也越來(lái)越重要，對(duì)操作系統(tǒng)的要求越來(lái)越高。但是傳統(tǒng)的實(shí)時(shí)操作系統(tǒng)由于并不是針對(duì)這些日益復(fù)雜的要求而開(kāi)發(fā)的，因此在實(shí)時(shí)性、可靠性、安全性等方面或多或少的存在一些缺陷，已經(jīng)不能滿(mǎn)足飛管平臺(tái)綜合化的新要求，因此必須研究滿(mǎn)足高安全性的實(shí)時(shí)操作系統(tǒng)，保證應(yīng)用軟件的可重用性與可移植性[2]。保證多應(yīng)用軟件和操作系統(tǒng)與硬件的無(wú)關(guān)性，保證通信和容錯(cuò)的透明性，從而降低系統(tǒng)全壽命周期費(fèi)用、縮短研制開(kāi)發(fā)周期[3]。

本文就是針對(duì)新技術(shù)下出現(xiàn)的綜合化容錯(cuò)計(jì)算平臺(tái)，研究支持該平臺(tái)的軟件體系結(jié)構(gòu)、分區(qū)結(jié)構(gòu)、余度管理、系統(tǒng)調(diào)度、健康監(jiān)控等關(guān)鍵技術(shù)。

1 高安全分區(qū)操作系統(tǒng)

綠山公司的”INTEGRITY RTOS”從時(shí)域(CPU時(shí)間)和空間域(存儲(chǔ)空間)確保了資源可用性。在空間域中，系統(tǒng)按照需求分配給每個(gè)分區(qū)(在INTEGRITY中稱(chēng)為Kernel Space或Address Space)固定的存儲(chǔ)區(qū)域，各個(gè)分區(qū)的存儲(chǔ)區(qū)域使用彼此獨(dú)立，沒(méi)有影響[4]。在時(shí)域，系統(tǒng)按照需求在一個(gè)主幀周期(Major Frame Period，亦即ARINC653標(biāo)準(zhǔn)中的主時(shí)間幀，Major Time Frame)中分配給每個(gè)分區(qū)一定的CPU時(shí)間，各個(gè)分區(qū)中在自己的CPU時(shí)間內(nèi)執(zhí)行，各分區(qū)的任務(wù)不能用生成子任務(wù)的方式占用其他分區(qū)的CPU時(shí)間。采用分區(qū)技術(shù)，INTEGIRTY保證了各個(gè)分區(qū)(任務(wù))間不受干擾，防止錯(cuò)誤蔓延。而系統(tǒng)內(nèi)核空間擁有自己的內(nèi)核棧，保證應(yīng)用分區(qū)不會(huì)影響系統(tǒng)的安全。同時(shí)INTEGRITY系統(tǒng)還支持符合ARINC653標(biāo)準(zhǔn)的分區(qū)調(diào)度。

2 容錯(cuò)計(jì)算平臺(tái)系統(tǒng)架構(gòu)

高可靠容錯(cuò)計(jì)算機(jī)系統(tǒng)作為飛行器的安全關(guān)鍵部件需要利用系統(tǒng)中的多個(gè)冗余節(jié)點(diǎn)來(lái)保障其可靠性。按照最高安全等級(jí)的故障容限，余度計(jì)算機(jī)應(yīng)能夠達(dá)到“兩次故障工作、三次故障安全”的故障容限，這種故障容限需要由4余度容錯(cuò)系統(tǒng)或者高檢測(cè)率的3余度容錯(cuò)系統(tǒng)實(shí)現(xiàn)[5]。對(duì)于3余度系統(tǒng)，要實(shí)現(xiàn)“兩次故障工作、三次故障安全”的故障容限，每個(gè)冗余節(jié)點(diǎn)內(nèi)部必須能100%的檢測(cè)出工作節(jié)點(diǎn)自身的故障[6]。

2.1 工作方式

高可靠容錯(cuò)計(jì)算機(jī)系統(tǒng)包括三個(gè)節(jié)點(diǎn)計(jì)算機(jī)，節(jié)點(diǎn)計(jì)算機(jī)內(nèi)部的功能模塊通過(guò)容錯(cuò)串行總線互連，并且需要保持高覆蓋率的故障檢測(cè)，因此節(jié)點(diǎn)計(jì)算機(jī)內(nèi)部必須包含完備的監(jiān)控組件，由監(jiān)控組件對(duì)計(jì)算機(jī)工作過(guò)程中產(chǎn)生的數(shù)據(jù)信息進(jìn)行比較監(jiān)控。節(jié)點(diǎn)計(jì)算機(jī)之間采用同步工作方式，系統(tǒng)任務(wù)分配在各個(gè)節(jié)點(diǎn)計(jì)算機(jī)上執(zhí)行，節(jié)點(diǎn)內(nèi)的核心處理模塊通過(guò)錯(cuò)串行總線實(shí)現(xiàn)CCDL(交叉數(shù)據(jù)鏈路)的功能，實(shí)現(xiàn)節(jié)點(diǎn)內(nèi)部的信息交換。同時(shí)三節(jié)點(diǎn)計(jì)算機(jī)通過(guò)容錯(cuò)高速串行網(wǎng)絡(luò)管理系統(tǒng)各節(jié)點(diǎn)之間的信息交換，節(jié)點(diǎn)內(nèi)將監(jiān)控有效的數(shù)據(jù)發(fā)送到各個(gè)節(jié)點(diǎn)，同時(shí)收取其他節(jié)點(diǎn)監(jiān)控有效的數(shù)據(jù)，按照一定的邏輯順序，各節(jié)點(diǎn)共同選取某一節(jié)點(diǎn)的有效數(shù)據(jù)和信息，并將有效數(shù)據(jù)和信息交由運(yùn)行在容錯(cuò)計(jì)算機(jī)上的不同應(yīng)用進(jìn)行計(jì)算，對(duì)計(jì)算結(jié)果進(jìn)行相同的監(jiān)控與表決后輸出有效的計(jì)算結(jié)果，節(jié)點(diǎn)機(jī)內(nèi)的一次故障，不會(huì)導(dǎo)致該節(jié)點(diǎn)機(jī)的失效。

2.2 硬件組成

節(jié)點(diǎn)計(jì)算機(jī)的配置形式如圖1所示，每個(gè)節(jié)點(diǎn)機(jī)由5個(gè)功能模塊組成，分別為數(shù)據(jù)處理模塊1(CPM1)、數(shù)據(jù)處理模塊2(CPM2)、專(zhuān)用接口模塊(IOM)、電源模塊(PSM)、總線通訊模塊(NSM)。其中CPM1負(fù)責(zé)作為主模塊負(fù)責(zé)所有系統(tǒng)的應(yīng)用程序運(yùn)行，實(shí)現(xiàn)容錯(cuò)計(jì)算機(jī)的應(yīng)用功能；CPM2實(shí)現(xiàn)對(duì)數(shù)據(jù)處理模塊1的監(jiān)控，及時(shí)發(fā)現(xiàn)數(shù)據(jù)處理模塊的軟硬件錯(cuò)誤，從而達(dá)到故障告警的作用，并能將故障信息告知其他兩個(gè)節(jié)點(diǎn)；IOM作為專(zhuān)用接口模塊實(shí)現(xiàn)與外部專(zhuān)用設(shè)備的信息交互，輸入輸出信號(hào)轉(zhuǎn)換等；NSM實(shí)現(xiàn)與外部交聯(lián)設(shè)備的網(wǎng)絡(luò)信息交互，同時(shí)實(shí)現(xiàn)與其他節(jié)點(diǎn)計(jì)算機(jī)的數(shù)據(jù)信息交互實(shí)現(xiàn)了一種串行容錯(cuò)總線的功能。

圖1 高可靠容錯(cuò)計(jì)算機(jī)系統(tǒng)架構(gòu)

2.3 關(guān)鍵技術(shù)

3節(jié)點(diǎn)容錯(cuò)計(jì)算機(jī)除了在硬件上需要完整的硬件監(jiān)控組件。工作方式會(huì)發(fā)生變化，容錯(cuò)的工作方式，特別是軟件結(jié)構(gòu)的重大變化：包括余度管理中節(jié)點(diǎn)機(jī)同步、節(jié)點(diǎn)機(jī)表決監(jiān)控、輸入輸出數(shù)據(jù)處理等，存在著較大的變化。同時(shí)為適應(yīng)實(shí)現(xiàn)更多的應(yīng)用功能的需求，同時(shí)滿(mǎn)足高可靠的容錯(cuò)需要，其分區(qū)方式分區(qū)調(diào)度等也是開(kāi)發(fā)的難點(diǎn)。通過(guò)分區(qū)操作系統(tǒng)實(shí)現(xiàn)多應(yīng)用的隔離和資源共享，通過(guò)分層級(jí)的軟件結(jié)構(gòu)劃分清晰的軟件界面，實(shí)現(xiàn)更加完整的功能驗(yàn)證。通過(guò)分析軟硬件變化特征，提出適應(yīng)新架構(gòu)的余度管理策略，滿(mǎn)足實(shí)時(shí)性等要求。

3 INTEGRITY分區(qū)操作系統(tǒng)

INTEGRITY實(shí)時(shí)操作系統(tǒng)(INTEGRITY RTOS)是由美國(guó)綠山軟件公司(Green Hills Software, INC.，GHS)所開(kāi)發(fā)的嵌入式實(shí)時(shí)操作系統(tǒng)。目前已在航空航天等領(lǐng)域有廣泛應(yīng)用。INTEGRITY RTOS從時(shí)域(CPU時(shí)間)和空間域(存儲(chǔ)空間)確保了資源可用性。在空間域中，系統(tǒng)按照需求分配給每個(gè)分區(qū)(在INTEGRITY中稱(chēng)為Kernel Space或Address Space)固定的存儲(chǔ)區(qū)域，各個(gè)分區(qū)的存儲(chǔ)區(qū)域使用彼此獨(dú)立，沒(méi)有影響。在時(shí)域，系統(tǒng)按照需求在一個(gè)主幀周期(Major Frame Period，亦即ARINC653標(biāo)準(zhǔn)中的主時(shí)間幀，Major Time Frame)中分配給每個(gè)分區(qū)一定的CPU時(shí)間，各個(gè)分區(qū)中在自己的CPU時(shí)間內(nèi)執(zhí)行，各分區(qū)的任務(wù)不能用生成子任務(wù)的方式占用其他分區(qū)的CPU時(shí)間。采用分區(qū)技術(shù)，INTEGIRTY保證了各個(gè)分區(qū)(任務(wù))間不受干擾，防止錯(cuò)誤蔓延。而系統(tǒng)內(nèi)核空間擁有自己的內(nèi)核棧，保證應(yīng)用分區(qū)不會(huì)影響系統(tǒng)的安全。同時(shí)INTEGRITY系統(tǒng)還支持符合ARINC653標(biāo)準(zhǔn)的分區(qū)調(diào)度。

INTEGRITY還具有內(nèi)核確定性，在系統(tǒng)調(diào)用時(shí)并不關(guān)中斷，從而確保了系統(tǒng)調(diào)用的確定性。INTEGRITY的架構(gòu)支持多個(gè)帶保護(hù)的虛擬地址空間(Protected Virtual Address Spaces)。每個(gè)虛擬地址空間可以包含多個(gè)應(yīng)用任務(wù)。INTEGRITY內(nèi)核以及內(nèi)核級(jí)任務(wù)則保護(hù)在內(nèi)核分區(qū)中。

圖2 INTEGRITY RTOS架構(gòu)模型

4 高可靠容錯(cuò)計(jì)算機(jī)軟件架構(gòu)

高可靠容錯(cuò)計(jì)算機(jī)軟件從功能的角度來(lái)說(shuō)分為兩層：應(yīng)用軟件層、操作系統(tǒng)層[7]。應(yīng)用軟件層的功能包括飛行控制、推力控制、公共設(shè)備管理等子系統(tǒng)功能，以及余度管理、資源管理、BIT等平臺(tái)管理功能。操作系統(tǒng)層負(fù)責(zé)系統(tǒng)的分區(qū)調(diào)度安全和資源訪問(wèn)安全，多個(gè)硬件平臺(tái)之間的同步操作，健康監(jiān)控以及模塊支持接口驅(qū)動(dòng)。

應(yīng)用執(zhí)行接口定義了應(yīng)用軟件層與核心軟件層之間的接口。該接口的定義使得核心軟件層的更新不會(huì)影響應(yīng)用軟件層。駐留在硬件平臺(tái)上的軟件包括：

1)應(yīng)用分區(qū)：多個(gè)專(zhuān)用的應(yīng)用軟件分區(qū)，按照相關(guān)的關(guān)鍵級(jí)別進(jìn)行開(kāi)發(fā)和驗(yàn)證。應(yīng)用分區(qū)在魯棒的空間和時(shí)間分區(qū)條件下，只能通過(guò)系統(tǒng)調(diào)用與系統(tǒng)交互。

2)操作系統(tǒng)核心：提供規(guī)范定義的API和行為，提供應(yīng)用軟件執(zhí)行的標(biāo)準(zhǔn)和通用的環(huán)境，包括調(diào)度、通信、同步與異步操作、存儲(chǔ)器管理、異常/中斷處理接口等服務(wù)，包含相關(guān)的硬件接口和自測(cè)試。

3)系統(tǒng)分區(qū)：提供APEX之外的接口需求，在魯棒的空間和時(shí)間分區(qū)條件下，執(zhí)行硬件設(shè)備通訊管理和容錯(cuò)管理。

4)系統(tǒng)專(zhuān)用功能：主要包括專(zhuān)用硬件接口、下載、調(diào)試、自測(cè)試。

圖3 軟件結(jié)構(gòu)

4.1 軟件分區(qū)結(jié)構(gòu)

計(jì)算機(jī)包括不同安全級(jí)別的控制管理軟件，如果內(nèi)部不分區(qū)，其中的所有的軟件都要求是適合于那個(gè)飛行功能的同一個(gè)關(guān)鍵級(jí)別[8]。這樣將其功能上非關(guān)鍵的軟件包含進(jìn)來(lái)，一般來(lái)說(shuō)可能是好的事情，但是影響要求安全級(jí)別高的服務(wù)，如連續(xù)性自測(cè)試BIT，只是通知性的消息給飛行員。處理器內(nèi)的分區(qū)可以允許具體的功能分成關(guān)鍵級(jí)別不同的幾個(gè)軟件組成部分，可以把不同關(guān)鍵級(jí)別的軟件放在同一處理器中。然后每一軟件部分可以適合于它自己的關(guān)鍵級(jí)別的開(kāi)發(fā)和認(rèn)證，從而減少整體成本。如果沒(méi)有分區(qū)，由于擔(dān)心低關(guān)鍵級(jí)別的軟件成份會(huì)影響到高關(guān)鍵級(jí)別的軟件的功能必須把低關(guān)鍵級(jí)別提高到高關(guān)鍵級(jí)別上去。分區(qū)會(huì)消除故障傳播的風(fēng)險(xiǎn)而且允許每一個(gè)軟件成份的關(guān)鍵級(jí)別被更局部地評(píng)估。高可靠容錯(cuò)計(jì)算機(jī)操作系統(tǒng)中，使用分區(qū)機(jī)制對(duì)綜合后的應(yīng)用進(jìn)行保護(hù)。分區(qū)高可靠容錯(cuò)計(jì)算機(jī)系統(tǒng)中的一組功能相關(guān)的應(yīng)用，這些應(yīng)用在配置和執(zhí)行時(shí)作為一個(gè)單一的對(duì)象來(lái)對(duì)待。操作系統(tǒng)對(duì)每一個(gè)分區(qū)進(jìn)行時(shí)間和空間上的保護(hù)，在空間上，保證一個(gè)分區(qū)內(nèi)的應(yīng)用不會(huì)破壞另一個(gè)分區(qū)內(nèi)的應(yīng)用及其私有數(shù)據(jù)；在時(shí)間上，一個(gè)分區(qū)的執(zhí)行不會(huì)影響到其他的分區(qū)。為了實(shí)現(xiàn)高可靠容錯(cuò)計(jì)算機(jī)應(yīng)用軟件組件之間的時(shí)間和空間隔離、應(yīng)用軟件組件和共享輸入輸出處理軟件組件以及健康監(jiān)控軟件組件之間的時(shí)間和空間隔離、以及操作系統(tǒng)與其它軟件組件之間的時(shí)間和空間隔離，高可靠容錯(cuò)計(jì)算機(jī)系統(tǒng)軟件從隔離保護(hù)的角度分為兩層，即獨(dú)立分區(qū)軟件層和核心軟件層。 INTEGRITY RTOS下的容錯(cuò)計(jì)算機(jī)系統(tǒng)軟件分區(qū)靜態(tài)配置見(jiàn)圖4。

圖4 Integrity中分區(qū)建立圖

4.2 余度管理

余度管理是容錯(cuò)計(jì)算機(jī)的重要和關(guān)鍵功能，能夠?qū)崿F(xiàn)容錯(cuò)計(jì)算機(jī)的同時(shí)刻運(yùn)行，實(shí)現(xiàn)容錯(cuò)計(jì)算機(jī)的數(shù)據(jù)信息交互與共享，實(shí)現(xiàn)容錯(cuò)計(jì)算機(jī)的故障實(shí)時(shí)監(jiān)測(cè)，實(shí)現(xiàn)容錯(cuò)計(jì)算機(jī)的故障切換和故障隔離[9]。因此一個(gè)容錯(cuò)計(jì)算機(jī)系統(tǒng)的容錯(cuò)能力高低，其余度管理算法與策略起到了至關(guān)重要的作用。在新的容錯(cuò)架構(gòu)與高安全的Integrity分區(qū)操作系統(tǒng)下，余度管理由獨(dú)立的分區(qū)實(shí)現(xiàn)，由于他們的設(shè)計(jì)對(duì)整個(gè)系統(tǒng)的安全產(chǎn)生影響，其安全級(jí)別必須滿(mǎn)足系統(tǒng)內(nèi)最高安全級(jí)別任務(wù)的要求，余度管理分區(qū)是每個(gè)主幀周期首先調(diào)度的分區(qū)，而健康監(jiān)控分區(qū)是每個(gè)主幀周期最后調(diào)用的分區(qū)。

余度管理分區(qū)的主要任務(wù)包括：同步、輸入信息采集、輸入信息表決與監(jiān)控、輸出信息表決與監(jiān)控、輸出信息控制輸出及應(yīng)用分區(qū)通訊信息構(gòu)建。

4.2.1 同步

同步是為了消除不同節(jié)點(diǎn)之間的主幀周期的異步度，是模塊在同一時(shí)間運(yùn)行相同的幀任務(wù)，并保證節(jié)點(diǎn)之間數(shù)據(jù)交互的時(shí)間一致性[10]。在沒(méi)有分區(qū)情況的傳統(tǒng)同步是軟硬件雙握手的方式進(jìn)行同步，同步功能處在周期任務(wù)的啟示部分，由于增加了分區(qū)功能，同步要實(shí)現(xiàn)整個(gè)所有分區(qū)的大主幀周期調(diào)度，并且同步由屬于余度管理分區(qū)，因此賦予最高優(yōu)先級(jí)任務(wù)，在同步期間需要停止主幀周期的時(shí)間計(jì)數(shù)，并在同步完成后從零時(shí)間開(kāi)始新一幀的時(shí)間周期。即從整個(gè)時(shí)間軸上看，分區(qū)調(diào)度情況如圖5所示。

圖5 同步與分區(qū)調(diào)度

4.2.2 輸入輸出處理

由于綜合化平臺(tái)后的輸入輸出任務(wù)增加，并且優(yōu)先級(jí)有所不同，為了保證每個(gè)任務(wù)分區(qū)的輸出能夠盡快執(zhí)行，將輸入輸出處理按照主幀周期內(nèi)分區(qū)的安排順序，分成優(yōu)先級(jí)由高到低的任務(wù)，在每個(gè)任務(wù)分區(qū)之間安排余度管理分區(qū)的執(zhí)行，其結(jié)構(gòu)如圖6所示。

圖6 余度管理分區(qū)調(diào)度

為了確保每個(gè)任務(wù)執(zhí)行前，相關(guān)的輸入任務(wù)已經(jīng)執(zhí)行完成，必須規(guī)劃前一任務(wù)的輸出執(zhí)行時(shí)間和當(dāng)前任務(wù)的輸入處理時(shí)間，保證每個(gè)任務(wù)之間的余度管理時(shí)間片大于該時(shí)間的和，使下一任務(wù)可以獲得當(dāng)前有效的輸入數(shù)據(jù)。

4.2.3 表決監(jiān)控

高可靠容錯(cuò)計(jì)算機(jī)的工作方式結(jié)合了監(jiān)控對(duì)和通道多數(shù)表決的兩種方式，這種架構(gòu)的表決監(jiān)控可組合為多種方式，本文為簡(jiǎn)化分區(qū)下的表決監(jiān)控算法，在確保能夠有效表決出真實(shí)有效數(shù)據(jù)和監(jiān)控出故障節(jié)點(diǎn)的前提下，將節(jié)點(diǎn)機(jī)之間的輸入/輸出信號(hào)表決監(jiān)控分為兩組進(jìn)行，三節(jié)點(diǎn)計(jì)算機(jī)內(nèi)每一通道的處理機(jī)1為一組，三節(jié)點(diǎn)計(jì)算機(jī)內(nèi)每一通道的處理機(jī)2為另外一組，每一組監(jiān)控包括通道內(nèi)監(jiān)控(處理機(jī)1和處理機(jī)2)和通道間監(jiān)控。

假設(shè)當(dāng)前為處理機(jī)1組，則表決監(jiān)控原則：

1)三節(jié)點(diǎn)計(jì)算機(jī)處理機(jī)1表決監(jiān)控一致、通道內(nèi)監(jiān)控表決一致。表決值取中間值，監(jiān)控值為有效；

2)三節(jié)點(diǎn)計(jì)算機(jī)處理機(jī)1表決監(jiān)控一致、通道內(nèi)監(jiān)控表決不一致。表決值取中間值，監(jiān)控值為有效；本通道處理機(jī)2故障。

3)三節(jié)點(diǎn)計(jì)算機(jī)處理機(jī)1表決監(jiān)控不一致(2：1)、通道內(nèi)監(jiān)控表決一致。表決值取中間值，監(jiān)控值為有效；節(jié)點(diǎn)故障。

4)三節(jié)點(diǎn)計(jì)算機(jī)處理機(jī)1表決監(jiān)控不一致、通道內(nèi)監(jiān)控表決不一致。表決值取中間值，監(jiān)控值為有效；本通道處理機(jī)1故障。

三節(jié)點(diǎn)計(jì)算機(jī)處理機(jī)2為主的另一組表決監(jiān)控原則與處理機(jī)1的表決監(jiān)控原則類(lèi)同。

5 結(jié)束語(yǔ)

本文介紹了一種新型的分布式高可靠容錯(cuò)計(jì)算機(jī)的系統(tǒng)結(jié)構(gòu)及軟件結(jié)構(gòu)，結(jié)合新的計(jì)算機(jī)架構(gòu)帶來(lái)的軟件挑戰(zhàn)，給出了該容錯(cuò)計(jì)算機(jī)平臺(tái)下的分區(qū)工作、同步、周期任務(wù)、信息的輸入輸出以及表決監(jiān)控等軟件解決方案，分析了綜合化趨勢(shì)下的高可靠容錯(cuò)計(jì)算機(jī)對(duì)高安全操作系統(tǒng)的要求， WindRiver、GreenHills及國(guó)內(nèi)專(zhuān)業(yè)院所等商用嵌入式操作系統(tǒng)廠商已開(kāi)發(fā)出了滿(mǎn)足Arinc653的操作系統(tǒng)。