3.10 Systemau mewnadeiladedig ac amser-real

Trosolwg a chymhelliant

Mae system fewnadeiladedig yn feddalwedd sy’n rhedeg ar ddyfais yn hytrach nag ar gyfrifiadur pwrpas cyffredinol. Mae’n byw y tu mewn i gar, galfanydd calon, thermostat, robot ffatri, neu uned lywio. Mae’r feddalwedd wedi’i neilltuo i’r ddyfais honno, ac mae gan y ddyfais fel arfer gyfyngiadau tynn ar gof, pŵer prosesu, ac ynni. Ni allwch bob amser ychwanegu mwy o adnoddau drwy glicio botwm mewn consol cwmwl. Yr hyn a ryddheir yn aml yw’r hyn sy’n rhedeg am flynyddoedd.

Mae system amser-real yn un lle mae cywirdeb yn dibynnu ar amseru, nid dim ond ar gynhyrchu’r ateb cywir. Mae rheolydd bag aer sy’n cyfrifo gorchymyn defnyddio perffaith eiliad yn rhy hwyr wedi methu’n llwyr. Mae gwaith amser-real yn ychwanegu cwestiwn caled at bob tasg: a fydd hon yn gorffen erbyn ei therfyn amser, bob tro, dan yr achos gwaethaf? Mae hon yn ddisgyblaeth wahanol i’r meddwl trwybwn-yn-gyntaf sy’n gyffredin mewn meddalwedd gwe a chwmwl.

I sefydliad mawr, mae hyn yn bwysicach nag y mae’n ymddangos ar yr olwg gyntaf. Mae mentrau’n adeiladu ceir cysylltiedig, dyfeisiau meddygol, rheolyddion diwydiannol, a biliynau o ddyfeisiau Rhyngrwyd Pethau (IoT). Mae llywodraethau’n rhedeg platfformau amddiffyn, afioneg, rheolyddion grid pŵer, a rheoleiddwyr meddygol. Yn y meysydd hyn gall nam meddalwedd anafu pobl, atal llinell gynhyrchu, neu beryglu diogelwch cenedlaethol. Mae’r rheolau’n llymach yma, mae’r profi’n anos, ac mae’r safonau’n gyfreithiol rwymol. Mae’r bennod hon yn eich helpu i adeiladu meddalwedd sy’n gywir, yn brydlon, yn ddiogel, ac yn sicr o dan gyfyngiadau gwirioneddol. Mae’n cysylltu ag adeiladu meddalwedd (pennod 2.9), systemau dosbarthedig (pennod 3.3), graddadwyedd a pherfformiad (pennod 3.5), diogelwch seilwaith a chwmwl (pennod 4.3), a chynnal a chadw meddalwedd (pennod 3.7).

Egwyddorion allweddol

Mae amseru’n ofyniad cywirdeb, nid yn fanteisiol-i’w-gael o ran perfformiad. Gall ateb hwyr fod yn ateb anghywir.
Dyluniwch ar gyfer yr achos gwaethaf, nid yr achos cyfartalog. Mae gwarantau amser-real yn seiliedig ar ymddygiad achos gwaethaf, nid cyflymder nodweddiadol.
Mae penderfyniaeth yn curo cyflymder crai. Mae system ragweladwy sy’n cyrraedd ei therfyn amser bob tro yn curo un gyflymach sy’n methu weithiau.
Mae adnoddau’n gyfyngedig ac yn sefydlog. Cyllidebwch gof, cylchoedd CPU, ac ynni mor fwriadol ag y byddech yn cyllidebu arian.
Mae diogelwch a sicrwydd yn cael eu peiriannu i mewn, nid eu hychwanegu’n ddiweddarach. Mewn meysydd rheoleiddiedig rhaid i chi ddangos eich gwaith, nid dim ond honni ansawdd.
Mae’r caledwedd yn rhan o’r system. Ni allwch resymu am y feddalwedd heb resymu am y sglodyn, y synwyryddion, a’r ffiseg.
Mae diweddariadau maes yn allu cylchred bywyd, nid yn ôl-feddwl. Mae angen ffordd ddiogel ar ddyfeisiau yn y byd i dderbyn trwsiadau.

Argymhellion

Dosbarthwch bob gofyniad amseru fel caled, cadarn, neu feddal

Nid yw pob terfyn amser yn gyfartal. Ni ddylid byth golli terfyn amser caled-amser-real, oherwydd mae colli un yn achosi methiant system neu niwed: meddyliwch am reolaeth injan neu wynebau hedfan. Mae terfyn amser cadarn yn goddef colledion prin, ond mae canlyniad hwyr yn ddiwerth ac yn cael ei daflu. Mae terfyn amser meddal-amser-real yn dirywio gwerth yn raddol: mae ffrâm fideo sy’n cyrraedd ychydig yn hwyr yn gostwng ansawdd ond nid yw’n achosi trychineb. Labelwch bob tasg sy’n sensitif i amseru â’i dosbarth, oherwydd bod yr ymdrech, trylwyredd y profi, a’r gost yn amrywio’n enfawr. Mae dau briodwedd yn disgrifio ymddygiad amseru. Oedi yw’r saib rhwng digwyddiad a’r ymateb. Siter yw’r amrywiad yn yr oedi hwnnw o un digwyddiad i’r nesaf. Mae systemau caled-amser-real yn poeni yr un faint am ffinio siter ag am ostwng oedi, oherwydd rhagweladwyedd yw’r hyn sy’n eich galluogi i brofi bod terfyn amser bob amser yn cael ei gyrraedd.

Dewiswch eich sylfaen weithredu yn fwriadol: RTOS neu fetel noeth

Mae gennych ddwy brif sylfaen. Mae gweadwedd metel-noeth yn rhedeg yn uniongyrchol ar y caledwedd heb system weithredu, gan ddefnyddio dolen syml a thrinyddion tarfiad. Dyma’r dewis lleiaf a mwyaf rhagweladwy, ac mae’n gweddu i ddyfeisiau bach gydag un swydd glir. Mae system weithredu amser-real (RTOS) yn system weithredu fach sy’n amserlennu tasgau yn ôl blaenoriaeth ac yn gwarantu ffiniau amseru. Mae’n rhoi i chi sawl tasg, amserlennydd, a gwasanaethau fel amserwyr a chiwiau negeseuon, tra’n cadw amseru’n rhagweladwy. Dewiswch RTOS pan fo gennych sawl tasg gydredol gyda therfynau amser gwahanol. Dewiswch fetel noeth pan fo’r ddyfais wedi’i chyfyngu’n fawr neu pan fo’n rhaid i’r amseru fod yn brofadwy syml. Ar gyfer gwaith caled-amser-real, ffafriwch amserlennydd sy’n seiliedig ar flaenoriaeth ac sy’n gallu rhagflaenu, a’i ddadansoddi â dull fel amserlennu cyfradd-fonotonig, sy’n neilltuo blaenoriaethau yn ôl amledd tasg ac yn eich galluogi i brofi bod y set dasgau’n amserladwy.

Cyllidebwch gof, CPU, a phŵer fel adnoddau dosbarth cyntaf

Triniwch bob adnodd prin fel cyllideb gyda nenfwd caled. Ar gyfer cof, ffafriwch ddyraniad statig dros ddyraniad dynamig ar y pentwr, oherwydd gall cof dynamig ddarnio a methu’n annisgwyl ar yr eiliad waethaf. Mae llawer o safonau diogelwch yn cyfyngu ar neu’n gwahardd defnydd pentwr ar ôl cychwyn am yr union reswm hwn. Ar gyfer CPU, mesurwch amser gweithredu achos gwaethaf (WCET), yr amser hiraf y gall tasg ei gymryd, ac amserlennwch yn erbyn y rhif hwnnw, nid y cyfartaledd. Ar gyfer pŵer, cofiwch fod llawer o ddyfeisiau’n rhedeg ar fatri neu’n cynaeafu ynni, felly dyluniwch gylchoedd dyletswydd, cyflyrau cysgu, a digwyddiadau deffro i daro cyllideb ynni sy’n gorfod para misoedd neu flynyddoedd. Ysgrifennwch y cyllidebau hyn i lawr ac adolygwch nhw fel unrhyw ofyniad arall.

Triniwch darfiadau a chydredoldeb â disgyblaeth lem

Mae tarfiad yn signal caledwedd sy’n atal y gwaith cyfredol i redeg trinydd ar unwaith. Tarfiadau yw sut mae dyfeisiau’n ymateb ar unwaith i’r byd, ac maent yn ffynhonnell fawr o namau cynnil. Cadwch drinyddion mor fyr â phosibl: cydnabyddwch y digwyddiad, cadwch ddata lleiaf posibl, a gohiriwch y gwaith gwirioneddol i dasg normal. Am y gall tarfiad danio rhwng unrhyw ddwy gyfarwyddyd, rhaid i chi amddiffyn data a rennir rhag amodau ras yn ofalus. Defnyddiwch dechnegau di-gloi, adrannau critigol byr, neu bridiannau y ceir dealltwriaeth dda ohonynt, a gwarchodwch rhag gwrthdroad blaenoriaeth, lle mae tasg blaenoriaeth-isel sy’n dal clo’n blocio un flaenoriaeth-uchel. Mae’r cydredoldeb hwn yn rhannu rhesymeg pennod 3.3, ond gydag amseru tynnach a dim lle i ailgynnig.

Ysgrifennwch yrwyr dyfais sy’n ynysu manylion caledwedd

Mae gyrrwr dyfais yn haen meddalwedd sy’n siarad â darn penodol o galedwedd: synhwyrydd, radio, rheolydd modur. Cadwch god sy’n benodol i galedwedd y tu ôl i ryngwyneb glân, fel bod gweddill eich meddalwedd yn dibynnu ar haniaeth sefydlog yn hytrach nag ar gyfeiriadau cofrestr. Mae hyn yn gwneud y cod yn brofadwy oddi ar y targed, yn haws ei borthi pan fo sglodyn yn mynd allan o stoc, ac yn symlach i resymu yn ei gylch. Dogfennwch bob rhagdybiaeth am amseru, trefn beitiau, a chwiwiau caledwedd, oherwydd dyma’r manylion sy’n achosi methiannau maes. Dyma ddisgyblaeth adeiladu pennod 2.9 wedi’i chymhwyso lle gall bit anghywir stopio modur.

Mabwysiadwch y safon diogelwch swyddogaethol sy’n llywodraethu eich maes

Os gall eich dyfais niweidio pobl neu eiddo, mae’n debygol y bydd safon diogelwch swyddogaethol yn berthnasol, ac mae’n aml yn gyfraith. IEC 61508 yw’r safon gyffredinol ar gyfer diogelwch systemau electronig a rhiant sawl un arall. Mae ISO 26262 yn llywodraethu diogelwch cerbydau ffordd. Mae DO-178C yn llywodraethu meddalwedd hedfan mewn hedfanaeth sifil. Mae IEC 62304 yn llywodraethu meddalwedd dyfeisiau meddygol. Ar gyfer codio, mae MISRA C yn set eang ei defnydd o reolau sy’n cyfyngu ar nodweddion iaith C peryglus i wneud cod yn fwy diogel ac yn haws ei ddadansoddi. Mae’r safonau hyn yn mynnu olrheinadwyedd o ofyniad i god i brawf, prosesau diffiniedig, a thystiolaeth y gallwch ei rhoi i archwiliwr neu reoleiddiwr. Mabwysiadwch yr un cywir yn gynnar, oherwydd mae ôl-osod y trywydd papur yn ddiweddarach yn boenus ac weithiau’n amhosibl.

Profwch gyda efelychiad a chaledwedd yn y ddolen

Ni allwch brofi meddalwedd fewnadeiladedig yn y ffordd rydych yn profi ap gwe. Adeiladwch strategaeth haenog. Rhedwch brofion uned ar gyfrifiadur normal yn erbyn y rhyngwyneb haniaethu caledwedd. Defnyddiwch efelychiad i fodelu’r ddyfais a’i hamgylchedd pan fo caledwedd go iawn yn brin neu’n beryglus i’w ymarfer. Yna defnyddiwch brofi caledwedd-yn-y-ddolen (HIL), lle mae’r rheolydd go iawn yn rhedeg yn erbyn fersiwn efelychiedig o’r system ffisegol y mae’n ei rheoli, fel y gallwch brofi amodau nam yn ddiogel fel synhwyrydd sownd neu lwyth sydyn. Awtomeiddiwch y profion hyn yn eich piblinell fel bod pob newid yn cael ei wirio o dan amodau realistig cyn iddo gyrraedd dyfais.

Dyluniwch ddiweddariadau dros-yr-awyr a diogelwch dyfais o’r diwrnod cyntaf

Bydd angen trwsiadau ar ddyfeisiau yn y maes, felly cynlluniwch ar gyfer diweddariadau dros-yr-awyr (OTA): ffordd o draddodi gweadwedd newydd yn ddiogel dros rwydwaith. Mae dyluniad OTA diogel yn llofnodi pob diweddariad yn gryptograffig, yn gwirio’r llofnod cyn gosod, yn diweddaru’n atomig, ac yn gallu dychwelyd i ddelwedd hysbys-dda os yw’r un newydd yn methu cychwyn. Parwch hyn â’r egwyddorion diogelwch o bennod 4.3, wedi’u haddasu ar gyfer caledwedd cyfyngedig. Defnyddiwch wraidd ymddiriedaeth caledwedd a chychwyn diogel fel mai dim ond gweadwedd wedi’i lofnodi sy’n rhedeg. Amgryptiwch ddata mewn trosglwyddiad ac wrth orffwys. Newidiwch gredentialau diofyn a chodi allan rhyngwynebau nas defnyddir. Mae fflyd IoT yn system ddosbarthedig ag arwyneb ymosod enfawr, a gall un cyfrinair diofyn gwan beryglu miliynau o ddyfeisiau ar unwaith.

Cyfaddawdau: manteision ac anfanteision

Dewis	Manteision	Anfanteision / cost
RTOS	Aml-dasgio, amserlennu blaenoriaeth, gwasanaethau amseru	Baich ychwanegol, ôl troed mwy, tro dysgu
Metel noeth	Lleiaf, mwyaf rhagweladwy, rheolaeth lawn	Anodd graddio i lawer o dasgau, mwy o waith â llaw
Dyraniad statig	Rhagweladwy, dim darnio, cyfeillgar i ddiogelwch	Llai hyblyg, rhaid meintioli popeth ymlaen llaw
Ardystiad diogelwch ffurfiol	Mynediad marchnad cyfreithiol, tystiolaeth drylwyr, ymddiriedaeth uwch	Cost amser ac arian fawr, ailadrodd arafach
Diweddariadau OTA	Trwsio a gwella dyfeisiau maes, ymestyn oes	Seilwaith diweddaru, baich diogelwch, risg dychwelyd

Y prif gyfaddawd yw rhwng rhagweladwyedd a hyblygrwydd. Mae popeth sy’n gwneud system bwrpas-cyffredinol yn gyfleus (cof dynamig, casglu sbwriel yn y cefndir, amserlennu ymdrech-orau, adnoddau elastig) yn gweithio yn erbyn y warant y bydd tasg bob amser yn gorffen mewn pryd o fewn ôl troed sefydlog. Mae peirianneg fewnadeiladedig ac amser-real yn ildio hyblygrwydd yn fwriadol i brynu penderfyniaeth a diogelwch. Y sgil yw gwario’r cyfaddawd hwnnw dim ond lle mae’r terfyn amser neu’r risg wir yn ei fynnu, a chadw’r rhannau hyblyg, cyflymach eu symud (fel cefn-ben cwmwl dyfais) ar ochr arall ffin lân.

Cwestiynau i’w trafod gyda’ch tîm

A ydych yn mesur siter, neu ddim ond oedi cyfartalog, ar eich llwybrau amseru-critigol? Mae cywirdeb caled-amser-real yn gorffwys ar ffinio’r amrywiad mewn amser ymateb (siter), nid dim ond gostwng yr oedi nodweddiadol, oherwydd rhagweladwyedd yw’r hyn sy’n eich galluogi i brofi bod terfyn amser bob amser yn cael ei gyrraedd. Gall dolen reoli â chyfartaledd isel ond pigau mawr achlysurol golli ei therfyn amser o hyd ac achosi niwed, a bydd y cyfartaledd yn ei guddio. Dewch â mesuriadau o’r ymlediad, gan gynnwys yr achos gwaethaf, ar gyfer pob tasg amseru-critigol, a labelwch bob un fel caled, cadarn, neu feddal fel bod trylwyredd y profi’n cyd-fynd â chanlyniad colled. Mae popeth cyfleus mewn systemau pwrpas-cyffredinol (cof dynamig, casglu sbwriel, amserlennu ymdrech-orau) yn ymosod ar ragweladwyedd, felly mae’n aros oddi ar y llwybr caled. Os mai dim ond cyfartaleddau a adroddwch, ni allwch honni’n onest bod terfyn amser caled yn cael ei gyrraedd.
A yw eich dewis RTOS-neu-fetel-noeth yn dal i fod yr un cywir, ac a allwch brofi bod y set dasgau’n amserladwy? Mae’r sylfaen weithredu’n benderfyniad i’w ailedrych wrth i’r ddyfais dyfu: metel noeth yw’r lleiaf a’r mwyaf rhagweladwy ar gyfer un swydd glir, tra bo RTOS yn ennill ei faich unwaith y bydd gennych sawl tasg gydredol gyda therfynau amser gwahanol. Ar gyfer gwaith caled-amser-real mae’r bennod yn cyfeirio at amserlennydd sy’n seiliedig ar flaenoriaeth ac sy’n gallu rhagflaenu, wedi’i ddadansoddi â dull fel amserlennu cyfradd-fonotonig, sy’n eich galluogi i brofi bod y tasgau’n ffitio yn hytrach na gobeithio eu bod. Dewch â’r set dasgau gyfredol, eu hamlder, a’u hamseroedd gweithredu achos gwaethaf, a gwiriwch a yw’r amserladwyedd yn dal i sefyll mewn gwirionedd neu a yw tasgau wedi cronni’n dawel y tu hwnt i’r hyn y gall y sylfaen ei warantu. Gwarchodwch rhag gwrthdroad blaenoriaeth, lle mae tasg blaenoriaeth-isel sy’n dal clo’n stopio un flaenoriaeth-uchel. Dewis y sylfaen drwy arferiad yn hytrach na thrwy’r set dasgau yw sut mae gwarantau amseru’n erydu’n dawel.
Ble’n union mae’r ffin rhwng y ddyfais benderfyniedig a’r cefn-ben cwmwl hyblyg, ac a yw’n ddigon glân i symud yn gyflym ar un ochr heb beryglu’r llall? Mae prif gyfaddawd y bennod yn ildio hyblygrwydd i brynu penderfyniaeth a diogelwch, a’r sgil yw gwario’r cyfaddawd hwnnw dim ond lle mae’r terfyn amser neu’r risg wir yn ei fynnu. Mae ffin lân yn caniatáu i’r gweadwedd diogelwch-critigol aros yn geidwadol ac wedi’i ardystio tra bo’r cefn-ben cwmwl yn ailadrodd yn gyflym, fel bod y ddau’n esblygu ar eu cyflymder diogel eu hunain. Dewch â’ch pensaernïaeth a lleolwch y wnïad hwnnw: beth sy’n rhaid ei brofi’n benderfyniedig a’i ddiweddaru drwy lwybr wedi’i lofnodi a’i wirio, yn erbyn beth sy’n gallu newid wythnosol ar y gweinydd. Mae aneglurhau’r llinell yn llusgo arferion arddull-cwmwl (dyraniad dynamig, amseru ymdrech-orau) i mewn i’r llwybr rheoli, neu’n arafu’r cefn-ben yn ddiangen i gyflymder y gweadwedd. Cael y ffin yn gywir yw’r hyn sy’n cadw’r dystiolaeth ddiogelwch a chyflymder traddodi’n gyflawn ill dau.
Pa safon diogelwch swyddogaethol sy’n llywodraethu pob cynnyrch, a pha mor bell yw’r dystiolaeth gyfredol o’r hyn y byddai archwiliwr yn ei dderbyn? Mae’r safon (IEC 61508, ISO 26262 ar gyfer cerbydau ffordd, DO-178C ar gyfer meddalwedd hedfan, IEC 62304 ar gyfer dyfeisiau meddygol) yn aml yn gyfraith, ac mae’n mynnu olrheinadwyedd o ofyniad i god i brawf na allwch ei ffugio ar y diwedd. I dîm mawr, y risg yw bod grwpiau’n mabwysiadu’r trywydd papur yn anghyson, fel bod un llinell cynnyrch yn barod ar gyfer archwiliad tra bo un arall yn darganfod hanner ffordd drwy ardystio nad oedd ei ofynion erioed wedi’u holrhain. Y dynfa gystadleuol yw cyflymder: mae olrheinadwyedd llawn a gorfodi MISRA C yn arafu ailadrodd dydd-i-ddydd, ac mae tîm dan bwysau terfyn amser yn cael ei demtio i ohirio’r dystiolaeth tan “yn ddiweddarach”. Dewch â’r matrics olrheinadwyedd cyfredol, y canfyddiadau dadansoddi statig sy’n dal ar agor, a dadansoddiad bwlch gonest yn erbyn y lefel sicrwydd targed. Mewn cyd-destunau menter a llywodraeth, ychwanegwch amser arwain ardystio a disgwyliadau’r archwiliwr, oherwydd mae ôl-osod tystiolaeth ar ôl dylunio’n araf, yn gostus, ac weithiau’n amhosibl, a gall ardystiad wedi’i lithro rwystro mynediad marchnad yn llwyr.
Pe canfyddid nam difrifol mewn dyfais maes yfory, pa mor gyflym y gallech ei drwsio’n ddiogel ar draws y fflyd gyfan, ac a ydych wedi ymarfer y dychweliad? Mae dyfais na allwch ei thrwsio’n dod yn atebolrwydd diogelwch a sicrwydd parhaol, ac mae galw-yn-ôl ffisegol yn costio urddau maint yn fwy na diweddariad dros-yr-awyr wedi’i lofnodi. Y tyndra yw bod mecanwaith diweddaru esgeulus ei hun yn arwyneb ymosod ac yn risg “brico”: gall llwybr OTA sy’n gosod delweddau heb eu llofnodi, neu na all ddychwelyd o gychwyn gwael, droi un rhyddhad gwael yn filiynau o unedau marw. Dewch â’ch dyluniad diweddaru (llofnodi cryptograffig, gwirio llofnod cyn gosod, gosod atomig, dychweliad awtomatig i ddelwedd hysbys-dda), statws cychwyn diogel a gwraidd ymddiriedaeth caledwedd, a’r tro diwethaf i unrhyw un ymarfer dychweliad ar galedwedd go iawn. Ar gyfer fflyd fenter neu gyhoeddus, ychwanegwch pwy sy’n atebol am yr allweddi llofnodi a sut y byddech yn dirymu un sydd wedi’i beryglu, oherwydd gall allwedd wedi’i gollwng neu gredential diofyn a rennir beryglu’r fflyd gyfan ar unwaith.
A yw eich cyllidebau cof, CPU, a phŵer wedi’u hysgrifennu i lawr gyda nenfydau caled, ac a yw eich strategaeth brofi’n ymarfer efelychiad a chaledwedd go iawn ill dau? Mae gwarantau amser-real yn gorffwys ar amser gweithredu achos gwaethaf ac ôl troed adnoddau sefydlog, nid ymddygiad cyfartalog, felly dyraniad pentwr heb ei gyllidebu neu lwyth achos gwaethaf heb ei brofi yw ble mae penderfyniaeth yn erydu’n dawel. I dîm mawr, y perygl yw drifft: mae tasgau’n cronni, mae cof yn cropian i fyny, ac nid oes neb yn berchen ar y gyllideb nes bod dyfais yn methu yn y maes ar ôl wythnosau o amser gweithredu. Y cyfaddawd yw sylw yn erbyn cost, oherwydd bod rig caledwedd-yn-y-ddolen sy’n chwistrellu namau fel synhwyrydd sownd yn ddrud i’w adeiladu, tra bo efelychiad pur yn cuddio namau amseru nad ydynt ond yn ymddangos ar y sglodyn go iawn. Dewch â’r cyllidebau dogfennedig, yr amseroedd gweithredu achos gwaethaf a fesurwyd yn eu herbyn, a thystiolaeth bod eich piblinell yn rhedeg profion uned ar yr haen haniaethu, efelychiad, a chaledwedd-yn-y-ddolen cyn rhyddhad. Mewn lleoliadau rheoleiddiedig a llywodraethol, cysylltwch hyn â’r sylw prawf strwythurol y mae’r safon yn ei fynnu, gan y bydd archwiliwr am dystiolaeth bod amodau nam wedi’u hymarfer, nid sicrwydd bod yr achos cyfartalog yn edrych yn iawn.

Lens sector

Startup. Mae cyflymder a goroesiad yn dominyddu, felly dewiswch RTOS ysgafn neu ddolen fetel-noeth syml, gwaherddwch ddyraniad dynamig ar ôl cychwyn, a mesurwch amser achos gwaethaf eich un dolen critigol yn lle mynd ar drywydd cyllideb ardystio nad oes gennych mohoni. Hepgorwch brosesau diogelwch swyddogaethol ffurfiol oni bai bod eich marchnad yn eu gorfodi, ond peidiwch byth â hepgor diweddariadau dros-yr-awyr wedi’u llofnodi gyda dychweliad awtomatig: ni all cwmni ifanc oroesi galw-yn-ôl maes, ac mae trwsiad pell yn wahaniaeth rhwng noson wael a chynnyrch marw. Cadwch weadwedd y ddyfais yn fach ac yn geidwadol fel nad yw eich peirianwyr prin yn cynnal piblinell na allant ei fforddio.

Busnes bach. Heb arbenigwr mewnadeiladedig ar staff, pwyswch ar fodiwlau profedig, dyluniadau cyfeirnod, a dosbarthiadau RTOS gwerthwr yn hytrach na rholio’ch amserlennydd neu’ch bootloader eich hun. Fframiwch y dewis adeiladu-yn-erbyn-prynu o amgylch pwy fydd yn trwsio’r ddyfais am y degawd nesaf: mae pentwr diogelwch a diweddaru wedi’i brynu y gallwch ddibynnu arno’n curo un pwrpasol nad oes neb ar ôl i’w gynnal. Triniwch gyfrineiriau diofyn, rhyngwynebau dadfygio agored, a diweddariadau heb eu llofnodi fel y methiannau mwyaf tebygol o’ch niweidio, oherwydd maent yn rhad i’w hatal ac yn ddinistriol i’w darganfod yn y maes.

Menter. Y broblem yw cysondeb ar draws llawer o linellau cynnyrch a thimau: polisi sylfaen-weithredu a rennir, templedi cyllideb-adnoddau cyffredin, gorfodi MISRA C a dadansoddi statig, ac un platfform diweddaru dros-yr-awyr a chychwyn diogel wedi’i ardystio fel nad yw pob grŵp yn ailddyfeisio’r olwyn. Cyllidebwch y baich diogelwch swyddogaethol a chaledwedd-yn-y-ddolen yn benodol, safonwch y rhyngwyneb haniaethu caledwedd fel nad yw sglodyn yn mynd allan o stoc yn gadael cynnyrch yn sownd, a rheolwch dystiolaeth amseru’r fflyd, arteffactau diogelwch, a safle sicrwydd fel asedau a lywodraethir yn hytrach na llên gwerin bob-tîm. Mae un credential diofyn gwan ar draws y fflyd yn atebolrwydd ar raddfa menter, felly canoli rheoli credentialau ac allweddi.

Llywodraeth. Mae rheolau caffael, tryloywder, ac atebolrwydd cyhoeddus yn siapio pob dewis. Mynnwch fod cyflenwyr yn datblygu meddalwedd hedfan, meddygol, neu amddiffyn i’r safon lywodraethu (DO-178C, IEC 62304, IEC 61508) ar y lefel sicrwydd sy’n cyfateb i’r perygl, a throsglwyddo’r dystiolaeth olrheinadwyedd a sylw strwythurol y bydd archwilwyr yn eu hadolygu. Mynnwch gychwyn diogel, gwraidd ymddiriedaeth caledwedd, a phroses ddiweddaru maes wedi’i rheoli a’i llofnodi, oherwydd mae diweddariad heb ei wirio i system hedfan neu grid yn annerbyniol. Ffafriwch gontractau sy’n rhoi hawliau i ffynhonnell, arteffactau diogelwch, a’r gallu i ail-ardystio gyda ail gyflenwr, fel nad yw gwerthwr sy’n mynd allan o fusnes yn gadael system y mae’r cyhoedd yn dibynnu arni am ddegawdau yn sownd.

Enghreifftiau

Startup. Mae startup caledwedd bach sy’n adeiladu monitor ansawdd aer wedi’i bweru gan fatri’n ysgrifennu ei weadwedd yn erbyn RTOS ysgafn gyda set sefydlog o dasgau a dim dyraniad dynamig ar ôl cychwyn, fel bod y ddyfais a ryddheir yn ddyfais sy’n rhedeg am flynyddoedd ar gell arian bath. Hyd yn oed heb gyllideb ardystio, mae’r tîm yn mesur amser achos gwaethaf ei ddolen ddarllen-synhwyrydd ac yn profi’r uned yn erbyn amodau nam wedi’u chwistrellu ar rig fainc cyn pob rhyddhad. Mae diweddariadau dros-yr-awyr wedi’u llofnodi gyda dychweliad awtomatig yn caniatáu iddynt drwsio nam ar draws pob uned a ryddhawyd, felly nid yw darlleniad gwael yn y maes yn golygu galw-yn-ôl na allai’r cwmni ifanc ei oroesi.

Menter. Mae gwneuthurwr cerbydau cysylltiedig yn adeiladu rheolydd brecio electronig. Mae’r ddolen reoli galed-amser-real yn rhedeg ar RTOS gydag amserlennu cyfradd-fonotonig a chof statig, ac mae pob tasg yn cario amser gweithredu achos gwaethaf wedi’i fesur. Mae’r tîm yn datblygu i ISO 26262 gydag olrheinadwyedd llawn o ofyniad i god i brawf, ac yn gorfodi MISRA C gyda dadansoddi statig ar bob ymrwymiad. Mae rig caledwedd-yn-y-ddolen yn ailchwarae miloedd o senarios ffordd, gan gynnwys namau synhwyrydd wedi’u chwistrellu, cyn i unrhyw weadwedd gael ei ryddhau. Mae diweddariadau OTA wedi’u llofnodi’n caniatáu i’r cwmni drwsio nam ar draws y fflyd gyfan heb alw-yn-ôl costus, gyda dychweliad awtomatig os bydd car yn methu cychwyn y ddelwedd newydd.

Llywodraeth. Mae awdurdod hedfanaeth cenedlaethol yn ardystio cyfrifiadur rheoli hedfan newydd. Mae’r cyflenwr yn datblygu’r feddalwedd hedfan i DO-178C ar y lefel sicrwydd sy’n cyfateb i’r perygl, gan gynhyrchu tystiolaeth o sylw gofynion a sylw prawf strwythurol y mae archwilwyr yn ei adolygu. Profir bod amseru’n benderfyniedig o dan lwyth achos gwaethaf, gydag oedi tarfiad wedi’i ffinio a dim dyraniad dynamig ar ôl cychwyn. Mae cychwyn diogel a gwraidd ymddiriedaeth caledwedd yn sicrhau mai dim ond gweadwedd wedi’i lofnodi a’i ardystio sy’n rhedeg. Mae diweddariadau maes yn dilyn proses wedi’i rheoli a’i llofnodi, oherwydd mae diweddariad heb ei wirio i system hedfan yn annerbyniol.

Achos busnes: cymhellion, ROI, a TCO

Mae’r achos busnes yn cael ei ddominyddu gan gost methiant a chost mynediad i farchnad. Mewn meysydd rheoleiddiedig, ni allwch werthu’r cynnyrch o gwbl heb yr ardystiad diogelwch, felly cost y broses yw pris mynediad yn syml. Y tu hwnt i hynny, mae namau mewn caledwedd maes yn hynod ddrud: mae galw-yn-ôl ffisegol yn costio llawer mwy na thrwsiad brys cwmwl, ac mae digwyddiad diogelwch yn cario atebolrwydd, cosb reoleiddiol, a niwed enw da a all ddod â llinell gynnyrch i ben. Mae adeiladu diogelwch, penderfyniaeth, a’r gallu i ddiweddaru i mewn o’r dechrau’n rhad o’i gymharu â darganfod eu habsenoldeb yn y maes.

Fframiwch yr enillion ar fuddsoddiad o amgylch galw-yn-ôl osgoedig, ardystio cyflymach, ac oes ddyfais hwy. Mae gallu OTA cadarn yn trosi llawer o alwadau-yn-ôl posibl yn drwsiadau pell cost-isel, a gall pob galw-yn-ôl a osgoir dalu am y rhaglen ddiweddaru gyfan. Mae dadansoddi WCET trylwyr a chyllidebu adnoddau’n eich galluogi i ryddhau ar galedwedd rhatach yn hyderus, gan ostwng y gost fesul uned ar draws fflyd fawr. Ar gyfer cyfanswm cost perchnogaeth, cofiwch fod y dyfeisiau hyn yn byw am flynyddoedd neu ddegawdau: mae’r baich cynnal a chadw, clytio diogelwch, a chymorth (pennod 3.7) yn gorbwyso’r adeiladu cychwynnol. Dylunio ar gyfer y gallu i ddiweddaru, haniaeth caledwedd glir, a chyllidebau dogfennedig yw’r hyn sy’n cadw’r gynffon hir honno’n fforddiadwy.

Gwrthbatrymau a pheryglon

Optimeiddio ar gyfer yr achos cyfartalog. Mae cyrraedd y terfyn amser “fel arfer” yn fethiant o ofyniad caled-amser-real.
Dyraniad dynamig yn y llwybr rheoli. Mae darnio pentwr yn achosi methiant nad yw’n ymddangos ond ar ôl wythnosau o amser gweithredu.
Trinyddion tarfiad tew. Mae rhoi prosesu trwm y tu mewn i darfiad yn chwythu eich cyllideb amseru ac yn creu amodau ras.
Anwybyddu’r safon tan yr archwiliad. Mae ôl-osod olrheinadwyedd a thystiolaeth yn hwyr yn araf, yn gostus, ac weithiau’n amhosibl.
Rhyddhau heb lwybr diweddaru. Mae dyfais na allwch ei thrwsio’n dod yn atebolrwydd diogelwch a sicrwydd parhaol.
Cyfrineiriau diofyn a rhyngwynebau agored. Mae un credential gwan yn troi fflyd IoT yn fotrwyd.
Profi dim ond ar efelychydd neu ddim ond ar galedwedd. Mae’r naill yn cuddio namau y byddai’r llall yn eu dal; mae angen y ddau arnoch.
Trin y caledwedd fel problem rhywun arall. Amseru, trefn beitiau, a chwiwiau synhwyrydd yw pryderon meddalwedd yma.

Model aeddfedrwydd

Lefel 1: Cychwyn. Mae amseru’n cael ei obeithio, nid ei ddadansoddi. Mae cof yn cael ei ddyrannu’n ddynamig yn ôl y mynnir. Ni ddilynir unrhyw safon diogelwch swyddogaethol. Mae profi’n â llaw ac ar-ddyfais yn unig. Ni ellir diweddaru dyfeisiau unwaith y’u rhyddheir, felly mae nam maes yn golygu galw-yn-ôl neu atebolrwydd parhaol.
Lefel 2: Datblygu. Mae gan rai tasgau amseru wedi’i fesur ac mae RTOS sylfaenol neu ddolen strwythuredig ar waith, ond mae’r arfer yn amrywio o dîm i dîm. Mae canllawiau codio’n bodoli ond heb eu gorfodi. Mae profi’n cynnwys peth efelychiad. Mae llwybr diweddaru â llaw, mentrus yn bodoli ar rai cynhyrchion ac nid ar eraill. Mae arferion da yn bresennol ond yn anghyson, ac nid oes dim yn gwarantu bod y llinell gynnyrch nesaf yn eu hetifeddu.
Lefel 3: Safoni. Mae gofynion amseru’n cael eu dosbarthu fel caled, cadarn, neu feddal, a’u dadansoddi ag amser gweithredu achos gwaethaf a dull amserladwyedd, wedi’u dogfennu a’u gorfodi ar draws y sefydliad. Mae cyllidebau adnoddau ar gyfer cof, CPU, a phŵer wedi’u hysgrifennu i lawr gyda nenfydau caled. Dilynir y safon diogelwch swyddogaethol lywodraethol gydag olrheinadwyedd o ofyniad i god i brawf, a gorfodir MISRA C neu gyfwerth drwy ddadansoddi statig ar bob ymrwymiad. Mae profi caledwedd-yn-y-ddolen yn rhedeg yn y biblinell. Diweddariadau dros-yr-awyr wedi’u llofnodi, yn atomig, gyda dychweliad a chychwyn diogel yw’r llinell sylfaen ofynnol ym mhobman.
Lefel 4: Rheoli. Mae’r sefydliad yn mesur ac yn rheoli ei ystâd fewnadeiladedig yn erbyn llinellau sylfaen. Mae’n tracio ymylon amser gweithredu achos gwaethaf, dosraniadau siter, cyfraddau colli terfyn amser, lle sbâr cof a phŵer, canfyddiadau dadansoddi statig sy’n dal ar agor, sylw tystiolaeth ardystio, a chyfraddau llwyddiant a dychweliad diweddaru dros-yr-awyr, ac mae’n eu cymharu â thargedau cytunedig. Mae drifft yn erbyn cyllideb adnodd neu amseru’n sbarduno gweithredu cyn i ddyfais fethu yn y maes, ac mae penderfyniadau rhyddhau ewch-neu-na’n gorffwys ar y data hwn yn hytrach na barn ar y pryd. Gall rheolwyr weld pa linellau cynnyrch sy’n barod ar gyfer archwiliad a pha rai sy’n tueddu tuag at derfyn amser wedi’i golli neu gyllideb wedi’i chwythu.
Lefel 5: Cydgysylltu. Mae penderfyniaeth, tystiolaeth ddiogelwch, a sicrwydd yn cael eu gwirio a’u hawtomeiddio’n barhaus. Mae chwistrelliad namau a chaledwedd-yn-y-ddolen yn rhedeg ar bob newid, ac mae arteffactau ardystio’n cael eu cynhyrchu fel sgil-gynnyrch y broses. Mae’r fflyd yn cael ei monitro, ei chlytio, a’i diweddaru’n ddiogel ar raddfa fawr drwy gydol oes wasanaeth hir. Mae’r sefydliad yn addasu ei sylfeini gweithredu, cyllidebau adnoddau, a mabwysiadu safonau wrth i sglodion fynd allan o stoc, bygythiadau esblygu, a rheoliadau newid, gan ailgydbwyso’r portffolio cyfan o ddyfeisiau ar sail tystiolaeth yn hytrach nag ymateb i bob argyfwng ar wahân.

Syniadau ar gyfer trafodaeth

Pa rai o dasgau eich dyfais sy’n wirioneddol galed-amser-real, ac a allwch brofi bod pob un bob amser yn cyrraedd ei therfyn amser?
A ydych yn gwybod amser gweithredu achos gwaethaf eich dolen reoli critigol, neu dim ond ei chyfartaledd?
Pa safon diogelwch swyddogaethol sy’n llywodraethu eich cynnyrch, a pha mor bell yw eich tystiolaeth gyfredol o’r hyn y mae’n ei fynnu?
Pe canfyddid nam difrifol mewn dyfais maes yfory, sut y byddech yn ei drwsio, a pha mor gyflym?
Ble mae dyraniad cof dynamig yn dal i fodoli yn eich llwybr rheoli, a beth sy’n digwydd os yw’n methu ar awr 1000?
Sut y byddai eich fflyd IoT yn gwrthsefyll ymosodwr a ganfu un credential diofyn a rennir?

Prif gasgliadau

Mae meddalwedd fewnadeiladedig yn rhedeg ar galedwedd cyfyngedig, ac mae cywirdeb amser-real yn dibynnu ar amseru, nid dim ond ar yr ateb cywir.
Dosbarthwch bob terfyn amser fel caled, cadarn, neu feddal, a dyluniwch ar gyfer amseru achos gwaethaf, siter wedi’i ffinio, a phenderfyniaeth dros gyflymder crai.
Dewiswch RTOS neu fetel noeth yn fwriadol, a chyllidebwch gof, CPU, a phŵer fel adnoddau sefydlog, dosbarth cyntaf.
Cadwch drinyddion tarfiad yn fach, gwarchodwch ddata a rennir, ac ynyswch galedwedd y tu ôl i ryngwynebau gyrrwr glân, profadwy.
Mabwysiadwch y safon diogelwch swyddogaethol y mae eich maes yn ei mynnu’n gynnar (IEC 61508, ISO 26262, DO-178C, IEC 62304, MISRA C), gydag olrheinadwyedd llawn.
Profwch gydag efelychiad a chaledwedd yn y ddolen, ac adeiladwch ddiweddariadau OTA diogel, wedi’u llofnodi, sy’n gallu dychwelyd, a diogelwch dyfais o’r diwrnod cyntaf.

Cyfeiriadau a darllen pellach

IEC 61508, Functional Safety of Electrical/Electronic/Programmable Electronic Safety-related Systems
ISO 26262, Road Vehicles: Functional Safety
RTCA DO-178C, Software Considerations in Airborne Systems and Equipment Certification
IEC 62304, Medical Device Software: Software Life Cycle Processes
MISRA, MISRA C: Guidelines for the Use of the C Language in Critical Systems
Michael Barr ac Anthony Massa, Programming Embedded Systems
Elecia White, Making Embedded Systems
Jane W. S. Liu, Real-Time Systems
Giorgio Buttazzo, Hard Real-Time Computing Systems: Predictable Scheduling Algorithms and Applications
Colin Walls, Embedded Software: The Works
Philip Koopman, Better Embedded System Software
Canllawiau diogelwch Rhyngrwyd Pethau (IoT) OWASP