功能安全计算中任务调度模型的分类综述：从固定周期到共享运行

## **功能安全计算中任务调度模型的分类综述：从固定周期到共享运行**

在具备高完整性要求的功能安全计算系统（如航空电子、轨道交通、工业自动化等）中，任务调度机制的形式化建模与验证是确保系统行为可预测、错误可控的核心基础。随着系统复杂度的提升，任务模型亦从单周期、独占式调度逐步演进至多任务共享、资源协同使用的动态形式。本文通过类比交通系统调度形态，系统性地提出并分析三种具有代表性的时间调度模型：**FixedPeriod\_Model**、**DispatchPeriod\_Model** 与 **MovementAuthority\_Model**，旨在为功能安全调度策略的设计与验证提供结构化视角。

---

### **1. FixedPeriod\_Model：固定周期独占型调度模型**

该模型抽象了最简单的单线程固定周期任务调度行为，任务具有严格的周期性，调度资源被单一任务完全独占，系统在每个调度周期内仅执行一个控制事务，且不可抢占。

#### ✴ 类比：**单车道被单车独占**

该模型可类比为一条封闭高速公路，仅允许一辆车以恒定间隔运行，无需考虑调度冲突或资源竞争，因此具有**最高的确定性与可验证性**，但调度利用率较低，难以支撑并发任务。

#### ✴ 应用场景：

* 飞控控制回路（Primary Loop）
* 生命支持系统周期任务

#### ✴ AADL建模示意：

```aadl
thread SingleLoopThread
  properties
    Dispatch_Protocol => Periodic;
    Period => 20 ms;
    Compute_Execution_Time => 5 ms .. 10 ms;
end SingleLoopThread;
```

---

### **2. DispatchPeriod\_Model：多线程固定周期分配调度模型**

该模型扩展了 `FixedPeriod_Model` 的时间资源配置模式，允许多个固定周期线程按照离散时间窗口调度。每条“车道”按周期绑定不同线程，但**每个周期仍只调度一个线程实例**，任务之间互不干扰。

#### ✴ 类比：**多车道被多车独占**

可视为 M 条车道被 N 辆车（M > N）周期性绑定调度，每辆车有自己专属调度轨道，调度表为静态配置，具有良好的调度预测性和资源分割能力，但调度弹性有限。

#### ✴ 应用场景：

* ARINC 653 Partition-Based Systems
* Safety Island 固件定时调度

#### ✴ AGREE 调度覆盖验证：

```aadl
guarantee schedule_full:
  (taskA_end == taskB_start) and (taskB_end == taskC_start);
```

---

### **3. MovementAuthority\_Model：共享资源动态调度模型**

该模型支持多个线程在不完全静态绑定调度表的情况下运行，并引入**调度窗口共享机制**。线程按照不同周期请求调度权限（Movement Authority），系统根据资源空闲情况授予调度权，形成任务与时间窗口的多对多映射。

#### ✴ 类比：**多车多道动态共享**

相当于城市高速系统中多个车辆根据交通管制与信号控制动态分配路权，道与车均为动态实体，调度系统需要持续评估是否存在资源冲突、优先级反转或时间死锁风险。

#### ✴ 应用场景：

* ROS2 Executor + Real-time DDS
* 多核心 GPOS/RTOS 混合部署
* TTEthernet、TSN 网络调度协同模型

#### ✴ 挑战与形式化需求：

* 动态调度验证需引入状态空间探索（如 Model Checking）
* 调度授权策略需结合任务优先级、Deadline 和互斥访问属性

---

## 比较表：三类模型在功能安全调度中的适应性

| 特性/模型    | FixedPeriod\_Model | DispatchPeriod\_Model | MovementAuthority\_Model |
| -------- | ------------------ | --------------------- | ------------------------ |
| 调度类型     | 静态、独占              | 静态、多任务分配              | 动态、共享                    |
| 时间确定性    | 极高                 | 高                     | 中                        |
| 资源利用率    | 低                  | 中                     | 高                        |
| 调度表可验证性  | 易验证                | 易验证                   | 难验证                      |
| 功能安全等级支持 | SIL-4 / ASIL-D     | SIL-3\~4              | 需额外隔离机制                  |
| 对应交通类比   | 单车道单车              | 多车道分配车                | 多车道多车动态共享                |

---

## 总结与研究展望

从 `FixedPeriod_Model` 到 `MovementAuthority_Model` 的演进体现了功能安全调度从单任务强确定性到多任务动态共享的过渡趋势。尽管更高效的资源使用模型带来了调度灵活性，但其对形式验证、故障隔离及调度异常恢复机制（如 Watchdog）也提出了更高的要求。未来的安全调度模型将朝向**静态可控 + 动态适应 + 异常可恢复**的混合调度架构发展，需进一步融合 AADL 建模、AGREE 合约验证、EMV2 故障传播建模等形式化手段，以满足工业级高完整性应用对安全性与效率的双重要求。

---

如你需要这段内容输出为 `.docx`、`.tex` 或图文整合的幻灯片格式，或者需要将每个模型转化为可运行的 AADL 示例（含调度表与验证脚本），我可以继续帮你生成。是否需要继续？

同济大学计算机开放实验室/ComoFramework

内容风险标识

评论 (1)

同济大学计算机开放实验室/ComoFramework .gitee-modal { width: 500px !important; }

内容风险标识