Day35-11｜16.3.3 实时系统设计方法：从截止时间到端到端可预测性

对应教材：第16章 嵌入式系统架构设计理论与实践——16.3.3 实时系统设计方法

学习目标：理解实时系统和实时性的本质；掌握硬实时、软实时、任务建模、调度、响应时间、同步通信、资源管理和故障处理方法；能够进行端到端实时性分析和验证；能够在案例题和论文中说明实时设计的依据。

一、实时系统的核心不是“速度快”

实时系统是能够在规定时间内对外部事件作出正确响应的计算系统。实时性的重点不是平均处理速度，而是结果是否在截止时间前产生。一个平均响应很快但偶尔超时的系统，可能仍然不满足硬实时要求；一个吞吐量不高但响应稳定的系统，反而更适合安全控制。

实时系统同时关注逻辑正确性和时间正确性：结果内容正确只是第一步，产生结果的时间也必须符合约束。实时设计要回答事件何时到来、多久必须响应、允许多大抖动、超时后有什么后果以及系统如何在负载和故障条件下维持目标。

典型实时链路如下：

外部事件 → 传感器 → 中断/驱动 → 队列 → 控制任务 → 算法 → 执行器 产生时间 完成时间 总响应时间 = 各环节延迟 + 等待 + 抢占 + 通信

二、硬实时与软实时

硬实时系统错过截止时间可能造成严重后果，例如制动保护、飞控、工业安全停机；软实时系统偶尔超时会降低体验或服务质量，例如视频播放、普通监控和非关键数据上传。还有一种准实时或固实时场景，要求大多数情况下按时完成，但允许通过降级或补偿处理少量超时。

分类不能只看行业名称，还要看具体任务。工业系统中的安全停机可能是硬实时，历史数据上传可能是软实时；汽车中的电机控制要求强实时，娱乐界面则不一定。不同实时等级的任务应进行资源和故障隔离。

三、实时需求建模

实时需求要写成可测场景，包括事件源、触发条件、环境、响应对象、截止时间、周期、抖动和超时后果。例如：“在正常温度和最高配置负载下，过温中断到功率关闭信号的最大延迟不超过 10 毫秒，超时必须记录故障并进入安全状态。”

任务模型通常包括周期任务、偶发任务、非周期任务和后台任务。周期任务有固定周期和截止时间；偶发任务需要关注最小到达间隔；非周期任务到达不可预测；后台任务使用剩余资源。每个任务应记录最坏执行时间、优先级、资源、阻塞时间和依赖。

可以建立任务表：

四、任务划分和优先级

任务划分不能只按功能模块，也要按实时等级和资源边界。关键控制任务应独立于网络、显示、日志和升级任务，避免被不可预测操作阻塞。高优先级任务负责最紧急、最短和最可预测的工作，复杂计算可使用专用核或分段处理。

固定优先级调度中，优先级高的任务可能抢占低优先级任务；设计时要防止高优先级任务长期占用 CPU，保证低优先级维护任务最终获得执行。优先级设置应依据截止时间、故障后果和依赖关系，而不是“谁重要谁最高”的口号。

五、响应时间分析

任务响应时间包括释放到完成之间的全部等待：高优先级任务抢占、锁等待、中断、调度、消息传输、DMA、总线仲裁和外设响应。可用最坏情况分析估算，也要使用硬件时间戳和压力测试验证。

如果任务自身执行时间为 2 毫秒，但可能等待 1 毫秒的锁、被高优先级任务抢占 3 毫秒、消息传输耗时 1 毫秒，端到端响应就可能达到 7 毫秒，不能只依据函数执行时间宣称满足 5 毫秒截止时间。

实时分析要覆盖最坏负载，而不是平均负载。应考虑所有任务同时到达、网络拥塞、缓存未命中、存储繁忙、温度变化和异常重试。对无法精确建模的第三方中间件，应通过测量、限流和隔离控制上界。

六、同步和通信设计

实时任务优先使用确定性通信方式。固定长度消息、环形缓冲、无锁单生产者单消费者队列和预分配内存通常比动态结构更可预测。共享数据要定义所有权和同步协议，避免长时间互斥。

信号量和互斥锁使用不当会造成优先级反转和死锁。锁内不应执行文件、网络和复杂计算；多个锁要统一顺序；等待要有超时；关键任务应避免依赖低优先级服务。跨核或跨设备通信需要考虑传输、排队、序列化、校验和超时。

七、内存和资源管理

实时系统通常采用静态内存、内存池和固定块分配，以控制分配时间和碎片。任务栈、消息队列、DMA 缓冲和日志缓冲应进行上限预算。资源耗尽时，要定义丢弃低优先级数据、降级、告警和安全状态。

缓存可以提高性能，但会带来命中率和最坏延迟不确定性；DMA 可以减轻 CPU 负载，但需处理缓存一致性；垃圾回收和不可控动态内存通常不适合硬实时路径。架构师要根据实时等级选择技术，而不是盲目追求平均性能。

八、实时通信网络

实时网络设计要考虑带宽、延迟、抖动、优先级、丢包和故障切换。控制流和普通数据流应隔离；关键消息采用优先级、冗余和校验；网络故障时设备应使用最后可信状态、安全默认值或本地自治策略。

不能把 TCP 重传、DNS、证书协商和云端调用放入硬实时闭环。非实时协议可以用于配置和管理，关键控制使用确定性总线、专用链路或本地硬件保护。网络延迟应纳入端到端响应预算。

九、容错与超时处理

实时系统出现故障时，首先要保证安全和时间边界。超时后不能无限重试；应根据任务性质选择重试、降级、切换备用、跳过本次或进入安全状态。重试必须有次数、退避和总截止时间。

容错措施包括看门狗、任务心跳、冗余传感器、双通道执行器、错误检测码、检查点和故障隔离。看门狗应由独立健康监控机制控制，不能因某个任务卡死仍然持续喂狗。故障处理本身也要满足实时约束。

十、实时系统的验证方法

验证包括静态调度分析、最坏执行时间测量、压力测试、峰值并发、故障注入、硬件在环、长时间运行和现场数据分析。使用逻辑分析仪、示波器、硬件计时器和跟踪工具测量从输入到输出的端到端时间。

测试应覆盖中断风暴、队列满、锁竞争、网络拥塞、存储写入、CPU 满载、内存接近上限、时钟漂移和外设异常。调试断点可能改变时序，日志可能影响实时性，因此应采用低侵入采集和专用测试构建。

十一、案例：无人机姿态控制系统

无人机姿态控制需要高频采样、姿态估计、控制计算和电机输出，同时还运行图像、遥控、日志和通信。架构将硬实时控制链路放在实时核：传感器采样任务、姿态估计任务和电机控制任务按固定周期运行；图像和地面站通信放在应用核。

传感器 → 采样任务 → 姿态估计 → 控制计算 → PWM 输出 ↓ ↑ 时间戳/环形缓冲 安全保护 ↓ 应用核：图像、遥控、日志、升级和地面站通信

控制链路采用固定内存和优先级调度，不等待网络和文件；跨核消息有时间戳、序列号和超时；传感器异常触发冗余校验和安全模式；应用核失效时实时核仍能执行降级控制；使用硬件测量验证采样到 PWM 的最坏延迟和抖动。

十二、考试答题模板

题目问“如何进行实时系统设计”，可按实时等级、质量场景、任务建模、优先级、调度、通信、内存、资源隔离、超时容错和验证展开。题目问“如何保证端到端实时性”，要写采样、中断、驱动、队列、任务、算法、总线和执行器全链路分析。

论文中可以写：我将硬实时控制与非实时通信、日志和升级隔离，通过周期任务、固定内存、确定性队列和优先级调度控制响应；对锁、DMA、总线和中间件进行最坏情况分析；网络和外部服务超时后采用本地自治与安全降级；使用硬件时间戳、压力测试和故障注入验证端到端截止时间。

十三、课后练习

练习1

为什么平均响应时间不能证明硬实时系统满足要求？

参考答案：平均值掩盖最坏情况和长尾，硬实时要求每次或规定范围内都在截止时间内完成；必须分析最坏响应、抖动、抢占、锁和 I/O，并通过压力测试验证。

练习2

实时控制任务为什么不能依赖云端响应？

参考答案：网络延迟、丢包、断网和云服务故障不可预测，无法保证截止时间；关键闭环应本地完成，云端只承担非关键分析、配置和运营。

练习3

实时系统中如何处理队列满？

参考答案：按消息优先级和业务后果制定策略，可丢弃过期或低优先级数据、覆盖旧采样、暂停生产、告警、降级或进入安全状态；不能无限阻塞关键任务。

十四、今日复盘

实时系统设计的核心是时间可预测性。架构师需要把实时需求转化为任务、截止时间和资源模型，控制抢占、锁、内存、通信和外设造成的最坏延迟，并通过隔离、超时、降级和端到端测试保证系统在峰值和故障条件下仍然可控。