Memastikan Waktu Andalan dalam Sistem Tertanam Multikore Aman-Kritis
Kendaraan dan pesawat modern tidak lagi bergantung sepenuhnya pada komponen mekanis. Keselamatan dan kinerja mereka bergantung pada perangkat lunak tertanam yang berjalan pada prosesor multikore heterogen kompleks, mengelola semuanya dari kontrol penerbangan hingga servo pengarah dengan batas waktu mikrodetik.
Dalam lingkungan multikore, waktu eksekusi sebuah tugas dipengaruhi tidak hanya oleh kode sendiri tetapi juga oleh tugas lain yang berbagi sumber daya hardware yang sama. Interferensi ini dapat mendorong sistem melebihi batas keselamatan.
Mengembangkan perangkat lunak tertanam aman-kritis memerlukan upaya multi-juta euro, multi-tahun. Dari tahap desain paling awal, keselamatan harus tertanam dalam arsitektur dan perilaku waktu setiap tugas harus dipahami secara ketat untuk menjamin batas waktu terpenuhi.
Menyelesaikan Tekekawitan Analisis Waktu Multikore
Sementara prosesor multikore menjanjikan kinerja yang lebih tinggi, mereka juga memperkenalkan persaingan untuk sumber daya bersama seperti bus, memori, cache, dan akselerator. Sebuah tugas yang berjalan pada satu inti dapat memperlambat tugas pada inti lainnya, menciptakan variasi waktu yang tidak dapat diramalkan.
Pertanyaan kunci muncul: Bagaimana kita mengukur dampak interferensi tersebut? Bagaimana kita menganalisis, menguji, dan mendokumentasikan bahwa perangkat lunak aman-kritis akan selesai selalu dalam batas waktu pada platform multikore?
Para pemimpin industri—Barcelona Supercomputing Center (BSC), Rapita Systems Ltd (RPT), Raytheon Technologies (RTRC), dan Marelli Europe (MAR)—telah menghabiskan tahun-tahun untuk mengatasi tantangan ini. BSC dan Rapita kini menyediakan serangkaian solusi yang segera akan diadopsi di seluruh sektor penerbangan dan otomotif. Keberadaan bergantung pada alat khusus, otomatisasi, dan metodologi yang berorientasi keselamatan, berdrivend persyaratan.
Karya ini mendasari proyek MASTECS, inisiatif R&D multidisipil yang didanai oleh Komisi Eropa yang diluncurkan pada Desember 2019. MASTECS akan mematangkan teknologi dan menyediakan pendekatan yang terbukti untuk mengesahkan sistem penerbangan dan otomotif, dengan studi kasus dari RTRC dan MAR yang mengilustrasikan dampak dunia nyata.
Alat Terkini
Alat komersial unggul untuk analisis inti tunggal tetapi kesulitan dengan kompleksitas sertifikasi multikore. Keterbatasan meliputi:
Alat analisis waktu statis [1] mengenai dinding kompleksitas, tidak mampu memodelkan hardware yang canggih atau perangkat lunak yang sangat kompleks.
Solusi berbasis pengukuran—meskipun umum dalam pengujian inti tunggal (misalnya, serangkaian alat RVS Rapita)—kurang memiliki metodologi ahli hardware untuk menghasilkan batas waktu yang tepercaya untuk beban kerja multikore dengan traceabilitas yang memadai.
Sampai saat ini, tidak ada alat komersial di luar upaya pengembangan MASTECS yang menawarkan analisis waktu multikore komprehensif yang selaras dengan standar keselamatan dan persyaratan sertifikasi yang muncul.
Analisis dan Kontrol Interferensi dalam Aksi
Pondasi pendekatan kami adalah metodologi pengujian terstruktur yang menggabungkan keahlian hardware dan perangkat lunak untuk menghasilkan bukti perilaku waktu multikore. Teknologi micro-benchmark multikore BSC (MμBT), dikomersilkan oleh Rapita sebagai RapiDaemons, memungkinkan perancang menciptakan skenario interferensi yang menekankan sumber daya bersama tertentu.
Micro-benchmarks—potongan kode kecil, rendah level—beroperasi di antarmuka hardware-perangkat lunak untuk menekan tekanan yang dapat diukur pada sumber daya target. Mereka mengungkapkan efek saluran interferensi dan dapat disesuaikan untuk menginduksi, mengukur, atau memvalidasi persaingan. Atribut kunci meliputi:
Tekanan yang ditargetkan dan dapat diukur pada sumber daya bersama.
Perilaku yang dapat diverifikasi melalui event monitor.
Penyejajaran dengan persyaratan waktu tertentu, seperti menguji efektivitas mitigasi.
klik untuk gambar lebih besar Gambar 1: Penggunaan micro-benchmark dalam analisis interferensi. (Sumber: Penulis)
Ada perpustakaan micro-benchmark yang beragam untuk mencocokkan tingkat interferensi yang diinginkan, memaksimalkan dampak sumber daya, atau bertindak sebagai tes “korban” yang sensitif.
Saat menganalisis interferensi, kami memasangkan MμBT dengan Model Persaingan Tugas (TCM) yang menyediakan perkiraan dini keterlambatan persaingan. RapiTest dan RapiTime dari Rapita mengotomatiskan pembuatan dan eksekusi tes pada target tertanam.
Metodologi Desain
Mengikuti proses tujuh langkah yang terintegrasi ke dalam siklus hidup perangkat lunak V-model (lihat Gambar 2), para insinyur mendapatkan wawasan mendalam tentang efek interferensi:
Konfigurasi hardware & identifikasi saluran interferensi. Ahli hardware menentukan pengaturan kritis, jalur interferensi, dan opsi mitigasi, sambil memilih event monitor untuk verifikasi.
Tetapkan persyaratan waktu. Tangkap kebutuhan spesifik pengguna, risiko, dan batasan keselamatan, dan evaluasi strategi isolasi hardware.
Desain kasus uji. Buat deskripsi tes yang memvalidasi hipotesis, menentukan micro-benchmark yang diperlukan untuk analisis interferensi dalam kondisi terisolasi dan terstres.
Implementasi prosedur pengujian. Rangkai kerangka pengujian, micro-benchmark, dan probe pengukuran. Saat ini manual, ini akan diotomatiskan dalam MASTECS.
Kumpulkan bukti. Jalankan tes pada platform target, mengumpulkan data yang langsung terhubung ke persyaratan verifikasi.
Analisis hasil. Ahli teknis meninjau hasil terhadap persyaratan. Misalnya, Gambar 3 menunjukkan rincian waktu eksekusi RapiTime.
Validasi & dokumentasi. Tinjauan akhir, pembuatan laporan, dan artefak kualifikasi siap untuk pengajuan sertifikasi.
klik untuk gambar lebih besar Gambar 2: Langkah MTA dalam proses pengembangan perangkat lunak V-model. (Sumber: Penulis)
Keahlian Hardware dan Proses Analisis Waktu
Wawasan hardware sangat penting sejak awal. Partisipasi awal meliputi:
Mengidentifikasi konfigurasi multikore yang membentuk perilaku fungsional dan waktu, dan menentukan mekanisme isolasi yang mengurangi persaingan.
Mendeteksi saluran interferensi dengan menavigasi manual prosesor yang kompleks dan berkonsultasi dengan vendor untuk detail yang hilang.
Memilih event monitor yang menangkap aktivitas tugas pada saluran interferensi, dan memvalidasinya dengan micro-benchmark khusus [2].
Bekerjasama dengan analis waktu untuk mendapatkan persyaratan dan merancang tes yang memuat saluran interferensi tertentu.
Di tahap yang lebih lanjut, ahli hardware menilai hasil tes, memperbaiki hipotesis, dan mengusulkan tes tambahan jika diperlukan.
klik untuk gambar lebih besar Gambar 3: Menganalisis hasil (RapiTime). (Sumber: Penulis)
Gambaran Besar
Proses desain tujuh langkah adalah bagian dari metodologi verifikasi multikore yang lebih luas (lihat Gambar 2). Ini memberikan traceabilitas penuh—dari bukti dan hasil kembali ke persyaratan dan desain—mendukung baik CAST-32A maupun ISO 26262. CAST-32A, yang dirilis oleh Certification Authorities Software Team (CAST) pada 2016, menguraikan tujuan untuk avionik multikore yang aman, termasuk batasan interferensi. EASA dan FAA sedang bekerja pada adaptasi AMC/AC (AMC 20-193) yang terpadu yang diharapkan rilis tahun ini.
Keahlian Tidak Dapat Diotomatisasi
Dinamika interferensi kompleks; alat otomatis hanya dapat melengkapi, bukan menggantikan, insinyur yang berpengalaman. Ahli multikore membawa pengetahuan mendalam tentang konfigurasi hardware dan saluran interferensi, sementara analis perangkat lunak menterjemahkan persyaratan menjadi tes yang ketat. Wawasan manusia esensial untuk memvalidasi asumsi, menafsirkan hasil, dan mengulang desain.
Referensi
Reinhard Wilhelm. Mixed Feelings about Mixed Criticality. Workshop on Worst‑Case Execution Time Analysis, 2018.
Enrico Mezzetti, Leonidas Kosmidis, Jaume Abella, Francisco J. Cazorla. High‑Integrity Performance Monitoring Units in Automotive Chips for Reliable Timing V&V. IEEE Micro 38(1): 56‑65 (2018).
