Day04-02｜2.4.2 嵌入式系统的分类：按任务、规模与约束选择架构

对应教材：上篇·综合知识·第 2 章“计算机系统基础知识”·2.4.2 嵌入式系统的分类

学习定位：嵌入式系统形态差异很大，从一颗只控制按键和电机的微控制器，到运行复杂操作系统的智能终端，再到由多个计算节点组成的工业和汽车平台，都属于嵌入式领域。分类不是为了贴标签，而是为了识别不同的实时性、资源、可靠性、功耗、通信和安全约束，进而选择合适的硬件、操作系统和开发方法。

一、今日目标

完成本节后，应能从应用领域、系统规模、实时要求、复杂度、处理器结构和安全重要性等维度对嵌入式系统分类；理解小型、中型和大型嵌入式系统的差异；区分硬实时、软实时和非实时；能根据产品约束选择裸机、实时操作系统或通用操作系统；在案例中说明分类依据、架构取舍、验证重点和升级策略。

二、为什么需要分类

不同嵌入式产品的关键矛盾并不相同。智能手环受功耗、体积和无线连接约束，工业控制器受确定性和安全约束，车载信息娱乐系统受图形、网络和多媒体约束，航空航天设备受可靠性、认证和长期维护约束。如果不先识别系统类别，直接套用某种处理器或操作系统，容易在性能、成本和安全上失衡。

同一个产品可能同时属于多个类别。例如，智能汽车平台是大型、联网、异构、多实时等级并存的嵌入式系统；其中动力控制单元属于硬实时和安全关键域，娱乐系统则更接近软实时。分类应服务于分区、隔离和验证，不能只给产品一个笼统名称。

三、按系统规模分类

1. 小型嵌入式系统

小型系统通常使用 8 位、16 位或资源有限的 32 位微控制器，程序规模和功能相对有限，可能没有操作系统或只使用轻量实时内核。典型产品有温控器、电子秤、遥控器、简单传感器和小型执行器。

其特点是成本低、功耗低、启动快、结构简单，但内存、存储和调试能力有限。设计应避免不受控的动态分配、过大的日志和复杂依赖；需要通过状态机、中断、定时器和静态资源管理完成任务。若产品要求远程升级和联网，安全启动、密钥存储和通信栈可能迅速增加系统复杂度。

2. 中型嵌入式系统

中型系统通常使用功能较强的 MCU、MPU 或 SoC，具备网络、图形、文件系统、设备驱动和多任务能力，可能运行实时操作系统或裁剪后的 Linux。工业网关、打印机、智能家电、无人机控制和复杂仪器常属于这一范围。

中型系统需要在实时任务和通用应用之间分配资源。可以采用实时内核负责控制和采集，通用系统负责联网、配置和界面；也可以通过多核或虚拟化进行隔离。架构重点从“能否运行”转向任务优先级、内存保护、驱动稳定性、升级回滚和长期运维。

3. 大型或复杂嵌入式系统

大型系统由多个处理器、控制器、传感器、网络节点和软件子系统组成，可能运行多个操作系统和中间件。汽车电子、工业生产线、通信设备、医疗影像和航空航天平台都可能属于复杂嵌入式系统。

这类系统强调分区、接口、模型、配置、版本、故障传播和系统级验证。不同子系统的实时性、安全等级和生命周期可能不同，不能简单共享所有资源。架构师需要建立功能、逻辑、物理、部署和安全视图，定义跨节点通信、时间同步、故障隔离、升级和诊断机制。

四、按实时性分类

实时性是嵌入式分类中最重要的维度之一。实时系统的正确性不仅取决于计算结果，也取决于结果是否在规定时间内产生。

硬实时系统需要证明最坏响应时间上界，包括中断延迟、调度、锁、缓存、总线、I/O 和通信。软实时系统可以通过平均和分位延迟进行优化，但关键路径仍应设置截止期、队列上限和降级策略。非实时不等于不需要性能，只是时间超限通常不会直接导致控制失效。

一个系统可能同时包含多个实时等级。架构应将硬实时任务与非实时任务分区，限制后台日志、网络扫描和升级操作对控制任务的影响。优先级、CPU 亲和性、内存锁定、时间分区和资源配额都是常见手段。

五、按处理器与系统结构分类

单处理器系统结构简单、功耗和成本较低，适合任务数量有限的产品；多处理器系统通过多个处理单元提高吞吐或隔离功能，但需要处理任务分配、同步、通信和故障一致性。对称多处理适合通用并行任务，非对称多处理可以把不同任务固定到不同处理器。

异构处理器把 CPU、DSP、GPU、NPU、安全核和实时核组合起来。实时核负责确定性控制，GPU/NPU 负责图像或人工智能，通用 CPU 负责协议和业务。异构系统性能高、能效好，但软件工具链、内存共享、数据搬运、调试和更新复杂。

按系统是否联网，还可以分为独立嵌入式、网络嵌入式和分布式嵌入式。联网系统需要处理地址、认证、加密、协议升级和远程故障；分布式系统还需要时间同步、节点发现、网络分区、消息顺序和系统级一致性。

六、按应用领域分类

消费类系统通常成本敏感、更新频繁，重点关注功耗、体验和供应链；工业系统强调长期运行、确定性、环境适应和远程维护；交通系统强调安全、实时、冗余和故障降级；医疗系统关注数据完整性、患者安全、追溯和监管；军工和航空航天系统强调认证、冗余、抗环境和长期可维护性。

领域分类决定失效代价和验证深度。同样的“重启恢复”在普通消费设备中可能可接受，在车辆控制或医疗设备中可能意味着不可接受的安全风险。架构师应把产品风险转化为明确的故障状态、冗余策略、测试覆盖和认证要求。

七、按软件结构分类

裸机系统由启动代码、中断处理、主循环和设备驱动组成，开销小、可控性强，适用于任务简单且资源有限的系统。实时操作系统提供任务调度、同步、通信和定时能力，适合多任务和严格时间约束。通用操作系统提供网络、文件、图形和生态，适合复杂应用，但需要额外设计实时隔离和资源控制。

还有混合架构：一个处理器或核运行实时系统，另一个运行 Linux；或者在通用系统中通过实时线程、容器、虚拟机和分区机制隔离关键任务。选择时要根据任务复杂度、开发团队、驱动生态、启动时间、功耗、认证和升级能力判断。

八、分类与架构选型

选型可以按“约束优先”进行。先确认截止期、失效后果、功耗、温度、生命周期和升级要求；再估算计算、内存、存储、通信和外设资源；最后比较处理器、操作系统、中间件和工具链。性能基准只能回答部分问题，不能替代最坏情况、故障、长期运行和安全测试。

九、案例分析：同一设备为什么要使用两个操作系统

某工业机器人既要在 1ms 周期内完成电机控制，又要提供图形界面、网络远程维护和日志分析。团队争论使用一个通用 Linux 还是一个实时操作系统。请给出架构建议。

参考答案：系统同时具有硬实时控制域和通用应用域。单一通用 Linux 的平均性能可能足够，但实时调度、驱动、网络和后台任务会影响最坏延迟；单一 RTOS 虽能满足控制，却会增加图形、网络、文件和远程维护开发成本。可采用异构双系统或多核分区：实时核/RTOS 负责电机控制、保护和关键传感器，通用核/Linux 负责界面、日志、网络和非关键分析。

两个域之间通过明确的共享内存、消息或专用通信接口交互，控制域不依赖通用域才能保持安全运行；通信需有超时、校验、序列号和故障降级。通用域异常时，实时域应进入安全状态或保持有限控制。验证要分别测量控制周期、最坏响应、通信延迟、网络风暴、日志压力、断电和系统重启，不能只验证界面功能。

十、综合知识练习

练习 1

下列说法正确的是（ ）。

A. 所有嵌入式系统都必须使用实时操作系统

B. 硬实时系统只要平均响应快即可

C. 大型嵌入式系统可能包含多个处理器、操作系统和通信节点

D. 消费类设备与安全关键设备的失效处理可以完全相同

答案：C。 嵌入式系统可以裸机或使用不同操作系统；硬实时重视最坏情况；不同失效后果决定不同的冗余和降级策略。

练习 2

为什么同一个复杂嵌入式平台可能需要划分多个实时等级？

答案： 控制、保护、通信、界面、日志和升级的截止期与失效后果不同。把硬实时任务与软实时、非实时任务分区，能够降低后台活动对关键路径的干扰，并为不同任务设置不同的调度、资源和验证策略。

练习 3

选择嵌入式操作系统时，除性能外还应考虑哪些因素？

答案： 应考虑实时性和最坏延迟、内存和功耗、驱动与工具链、启动时间、可靠性、安全、认证、长期供货、团队能力、生态、升级和维护成本。安全关键产品还要考虑分区、故障降级和验证证据。

十一、论文素材

在嵌入式平台规划中，我先按实时等级、失效后果、资源约束、生命周期和联网需求对功能进行分类，再决定处理器、操作系统和软件分区。将硬实时控制与通用界面、日志和远程维护隔离，通过明确接口、时间预算、资源配额和故障降级保证关键域独立运行；对联网域增加认证、加密、更新校验和回滚机制。验证阶段分别进行最坏响应、长期运行、异常输入、网络风暴、断电和节点故障测试，确保分类结果真正转化为可实施、可验证的架构约束。

论文中不要只写“采用 RTOS”或“使用多核”。应先交代系统属于什么类别、最重要的约束是什么，再说明为什么采用对应架构以及如何验证。

十二、今日复盘

1. 为什么嵌入式系统需要从多个维度分类？
2. 小型、中型和大型嵌入式系统分别有什么特点？
3. 硬实时、软实时和非实时如何区分？
4. 单核、多核和异构处理器各适合什么场景？
5. 裸机、RTOS、通用 OS 和混合系统如何选择？
6. 为什么复杂平台要进行实时等级和功能分区？
7. 消费、工业、医疗和交通嵌入式系统的失效处理有何差异？
8. 分类结果如何转化成资源隔离、故障降级和验证计划？

本节核心记忆句是：嵌入式系统分类的目的，是识别约束并指导架构选型。先看实时性、失效后果、资源和生命周期，再选择硬件、操作系统、分区和验证方法，才能避免用同一种架构解决所有产品问题。