摘要 嵌入式應(yīng)用系統(tǒng)是一個(gè)有計(jì)算機(jī)內(nèi)核的智能化電子系統(tǒng)。集成電路的超長(zhǎng)壽命、計(jì)算機(jī)的軟件介入與智能化的控制能力，決定了嵌入式應(yīng)用系統(tǒng)全新的可靠性設(shè)計(jì)觀念。這些新觀念是：基于出錯(cuò)概率的多值可靠性、確定應(yīng)用系統(tǒng)的可靠性等級(jí)、建立應(yīng)用系統(tǒng)的可靠性模型、應(yīng)用系統(tǒng)的本質(zhì)可靠性設(shè)計(jì)與可靠性控制設(shè)計(jì)。

　　嵌入式應(yīng)用系統(tǒng)是一個(gè)有計(jì)算機(jī)內(nèi)核，軟、硬件整合的智能化電子系統(tǒng)。與傳統(tǒng)的激勵(lì)響應(yīng)型電子系統(tǒng)的本質(zhì)差異，是它的智力嵌入，從而形成嵌入式應(yīng)用系統(tǒng)全新的可靠性設(shè)計(jì)觀念、方法與技術(shù)。這些全新的可靠性設(shè)計(jì)觀念是：從二值可靠性到多值可靠性、建立系統(tǒng)的可靠性設(shè)計(jì)模型、確定系統(tǒng)的可靠性設(shè)計(jì)等級(jí)、應(yīng)用系統(tǒng)的本質(zhì)可靠性設(shè)計(jì)與可靠性控制設(shè)計(jì)。支持可靠性設(shè)計(jì)觀念的基礎(chǔ)是LSIC支持下硬件結(jié)構(gòu)的超常可靠性、會(huì)出錯(cuò)的軟件體系、智力內(nèi)核的可靠性控制。

　　1  創(chuàng)建可靠性設(shè)計(jì)新觀念

　　1.1  嵌入式應(yīng)用系統(tǒng)可靠性設(shè)計(jì)背景

　　嵌入式應(yīng)用系統(tǒng)可靠性設(shè)計(jì)背景是集成電路的超長(zhǎng)壽命、計(jì)算機(jī)軟件介入與計(jì)算機(jī)內(nèi)核的可靠性控制能力。

　　① 集成電路的超長(zhǎng)壽命。經(jīng)歷半個(gè)世紀(jì)的發(fā)展，集成電路從電路集成、功能集成、技術(shù)集成到知識(shí)集成。依靠電子學(xué)的可靠性設(shè)計(jì)，大規(guī)模集成電路的可靠性迅速增長(zhǎng)。與電子產(chǎn)品的更新周期相比，集成電路具有超長(zhǎng)壽命與超?？煽啃?，器件失效周期遠(yuǎn)大于產(chǎn)品的更新周期。

　?、?計(jì)算機(jī)軟件介入。與傳統(tǒng)電子系統(tǒng)相比，嵌入式應(yīng)用系統(tǒng)有軟件介入，系統(tǒng)在軟件介入下運(yùn)行。因而系統(tǒng)的可靠性基礎(chǔ)是軟件的可靠性。軟件的可靠性決定了嵌入式應(yīng)用系統(tǒng)的可靠性特征。

　?、?計(jì)算機(jī)內(nèi)核的智能化管理能力。嵌入式應(yīng)用系統(tǒng)的計(jì)算機(jī)內(nèi)核，決定了嵌入式應(yīng)用系統(tǒng)是一個(gè)智能化系統(tǒng)。這個(gè)智能化的計(jì)算機(jī)內(nèi)核可以實(shí)現(xiàn)可靠性的主動(dòng)控制，如噪聲失敏、動(dòng)態(tài)冗余、出錯(cuò)控制、容錯(cuò)管理和系統(tǒng)測(cè)試等。

　　1.2  嵌入式應(yīng)用系統(tǒng)可靠性設(shè)計(jì)的新觀念

　　嵌入式應(yīng)用系統(tǒng)可靠性設(shè)計(jì)的新觀念是多值可靠性、可靠性等級(jí)、可靠性模型與可靠性控制。

　?。?） 多值可靠性

　　傳統(tǒng)電子系統(tǒng)是二值可靠性系統(tǒng)，是一個(gè)非好即壞的電子系統(tǒng)。嵌入式應(yīng)用系統(tǒng)則經(jīng)常表現(xiàn)為不好不壞，是一個(gè)多值可靠性的電子系統(tǒng)，這是由軟件不斷出錯(cuò)引發(fā)出系統(tǒng)的不可靠性。當(dāng)軟件運(yùn)行出錯(cuò)時(shí)系統(tǒng)無(wú)法正常工作，軟件運(yùn)行恢復(fù)正常時(shí)系統(tǒng)恢復(fù)正常運(yùn)行，這是介于“好”、“壞”之間的多值可靠性。這種多值可靠性可以用出錯(cuò)概率的統(tǒng)計(jì)方法來(lái)界定系統(tǒng)的可靠性品質(zhì)。

　　硬件系統(tǒng)的超長(zhǎng)壽命、超?？煽啃缘钠骷ＷC，使軟件“出錯(cuò)”成為系統(tǒng)可靠性的主要因素。

　?。?） 可靠性等級(jí)

　　在嵌入式應(yīng)用系統(tǒng)中客觀存在一個(gè)可靠性等級(jí)要求。相似的功能要求、相似的軟硬件，在不同的運(yùn)行環(huán)境下，會(huì)有不同的可靠性設(shè)計(jì)要求。例如，運(yùn)載火箭中星箭分離的爆炸螺栓控制系統(tǒng)，由于是空間應(yīng)用環(huán)境、無(wú)人監(jiān)管、強(qiáng)烈的機(jī)械振動(dòng)條件、出錯(cuò)后果嚴(yán)重，可靠性等級(jí)要求極高；對(duì)比實(shí)驗(yàn)室應(yīng)用環(huán)境中的萬(wàn)用表，可靠性等級(jí)要求很低。

　　建立應(yīng)用系統(tǒng)設(shè)計(jì)的可靠性等級(jí)概念，有助于在系統(tǒng)設(shè)計(jì)的論證階段，對(duì)系統(tǒng)可靠性設(shè)計(jì)的技術(shù)投入做到心中有底，在確保系統(tǒng)可靠的前提下有的技術(shù)投入。

　　（3） 可靠性模型

　　傳統(tǒng)電子系統(tǒng)是一個(gè)激勵(lì)響應(yīng)型電子系統(tǒng)，嵌入式應(yīng)用系統(tǒng)則是一個(gè)軟件基礎(chǔ)上的激勵(lì)處理響應(yīng)型智能化電子系統(tǒng)。從而建立起嵌入式系統(tǒng)激勵(lì)輸入、信息處理、響應(yīng)輸出三元素的可靠性模型，在可靠性模型基礎(chǔ)上可以建立系統(tǒng)可靠性設(shè)計(jì)的一些原則與方法。

　?。?） 可靠性控制

　　嵌入式應(yīng)用系統(tǒng)是一個(gè)有計(jì)算機(jī)內(nèi)核的智能化電子系統(tǒng)。計(jì)算機(jī)內(nèi)核的存在決定了系統(tǒng)具有可靠性控制能力。因此，嵌入式應(yīng)用系統(tǒng)中，基于系統(tǒng)智能化特征的可靠性控制設(shè)計(jì)、功耗管理的功耗系統(tǒng)設(shè)計(jì)應(yīng)與功能性設(shè)計(jì)并列為嵌入式應(yīng)用系統(tǒng)的三大常規(guī)設(shè)計(jì)內(nèi)容。

　　2  *定系統(tǒng)的可靠性等級(jí)

　　2.1  *定可靠性等級(jí)的重要性

　　在測(cè)試技術(shù)領(lǐng)域的數(shù)據(jù)采集系統(tǒng)中，首先有一個(gè)數(shù)據(jù)采集要求。如果沒(méi)有數(shù)據(jù)采集指標(biāo)，數(shù)據(jù)采集系統(tǒng)的研發(fā)工作便無(wú)法啟動(dòng)。任何一個(gè)嵌入式應(yīng)用系統(tǒng)都工作在一個(gè)特定環(huán)境中，如果不了解特定環(huán)境對(duì)系統(tǒng)運(yùn)行影響的可能后果，應(yīng)用系統(tǒng)的研發(fā)工作便陷入盲目性。

　　一個(gè)合格的嵌入式應(yīng)用系統(tǒng)，應(yīng)該在實(shí)際應(yīng)用環(huán)境中可靠地工作。研發(fā)環(huán)境與實(shí)際運(yùn)行環(huán)境的巨大差異，是可靠性設(shè)計(jì)的出發(fā)點(diǎn)；可靠性等級(jí)*定應(yīng)該是應(yīng)用系統(tǒng)研發(fā)前期，甚至項(xiàng)目立項(xiàng)時(shí)必不可少的一項(xiàng)任務(wù)。如果前期缺乏應(yīng)有的重視，導(dǎo)致可靠性設(shè)計(jì)投入欠缺，會(huì)使后續(xù)嵌入式應(yīng)用系統(tǒng)的研發(fā)工作陷入無(wú)止境的軟、硬件修補(bǔ)工作之中。許多事例證明，在項(xiàng)目收尾工作中陷入可靠性問(wèn)題者居大多數(shù)。

　　2.2  可靠性等級(jí)*定方法

　　研發(fā)環(huán)境與實(shí)際運(yùn)行環(huán)境的巨大差異也是可靠性等級(jí)*定的出發(fā)點(diǎn)，實(shí)際運(yùn)行環(huán)境的因子化是可靠性等級(jí)*定的基本方法。與準(zhǔn)確的概念相比，可靠性等級(jí)是一個(gè)模糊量。

　　確定系統(tǒng)可靠性等級(jí)的方法是：確定可靠性*定因子、可靠性因子的順序量化、統(tǒng)計(jì)出系統(tǒng)的可靠性等級(jí)。

　　充分考慮到實(shí)際運(yùn)行環(huán)境下，所有影響系統(tǒng)可靠性的因素，將這些因素確定為可靠性*定因子。為了保證不同的應(yīng)用系統(tǒng)之間有可比性，應(yīng)建立相對(duì)統(tǒng)一的標(biāo)準(zhǔn)，并將它作為本單位的可靠性等級(jí)*定標(biāo)準(zhǔn)。

　　（1） 可靠性*定因子

　　常用的可靠性*定因子有環(huán)境因子、人機(jī)耦合因子、系統(tǒng)集成因子、知識(shí)平臺(tái)因子和安全性因子。

　　“環(huán)境因子”是指系統(tǒng)運(yùn)行環(huán)境對(duì)可靠性的影響因素，如電氣環(huán)境、機(jī)械環(huán)境、氣氛環(huán)境。電氣環(huán)境中的電磁兼容性、機(jī)械環(huán)境中的抗震性、氣氛環(huán)境中的抗鹽霧、抗粉塵、防潮等。

　　“人機(jī)耦合因子”是指系統(tǒng)運(yùn)行時(shí)有無(wú)操作者介入，或操作者的可介入深度。操作者的可介入度大，有利于發(fā)現(xiàn)系統(tǒng)早期的出錯(cuò)征兆，并實(shí)施可靠性介入。

　　“系統(tǒng)集成因子”是指應(yīng)用系統(tǒng)的芯片集成度?？紤]到當(dāng)前集成電路的超長(zhǎng)可靠性，系統(tǒng)集成度越大，可靠性越高。

　　“基礎(chǔ)平臺(tái)因子”是指應(yīng)用系統(tǒng)研發(fā)時(shí)，基礎(chǔ)平臺(tái)占據(jù)的比例?；A(chǔ)平臺(tái)包括半導(dǎo)體廠家提供的廠家平臺(tái)、企業(yè)內(nèi)部的產(chǎn)品平臺(tái)、應(yīng)用平臺(tái)，這些平臺(tái)都經(jīng)歷過(guò)實(shí)踐考驗(yàn)。顯然，基礎(chǔ)平臺(tái)占據(jù)的比例越大，可靠性越高。

　　“安全性因子”是指系統(tǒng)出錯(cuò)時(shí)產(chǎn)生威脅安全的因素。通用計(jì)算機(jī)死機(jī)后不會(huì)出現(xiàn)重大安全問(wèn)題；自動(dòng)生產(chǎn)線上機(jī)器人出現(xiàn)失控后會(huì)產(chǎn)生破壞因素；宇宙火箭星箭分離控制機(jī)構(gòu)出現(xiàn)故障后會(huì)造成極其嚴(yán)重的后果。

　　我們還可以列出一些可靠性因子。

　?。?） 可靠性因子的順序量化

　　將所有可靠性因子，按照對(duì)系統(tǒng)可靠性設(shè)計(jì)要求的程度高低，統(tǒng)一量化成“上、中上、中、中下、下”5級(jí)，或“上、中、下”3級(jí)的標(biāo)準(zhǔn)級(jí)別。把這些量化標(biāo)準(zhǔn)的內(nèi)容具體化，形成量化等級(jí)表，作為企業(yè)的標(biāo)準(zhǔn)，以界定不同應(yīng)用系統(tǒng)可靠性設(shè)計(jì)要求的相對(duì)難易程度。

　?。?） 用量化積分確定可靠性等級(jí)

　　制定好可靠性因子的順序量化標(biāo)準(zhǔn)后，確定一個(gè)具體應(yīng)用系統(tǒng)的可靠性等級(jí)時(shí)，只需將應(yīng)用系統(tǒng)具體運(yùn)行環(huán)境、運(yùn)行條件，在可靠性因子的量化等級(jí)表中對(duì)號(hào)入座，將量化值相加后得出系統(tǒng)的可靠性等級(jí)。例如，5個(gè)可靠性因子，按5個(gè)等級(jí)劃分時(shí)，可靠性等級(jí)（要求）者為25級(jí)，者為5級(jí)。

　　3  建立系統(tǒng)可靠性設(shè)計(jì)模型

　　3.1  軟件介入下的激勵(lì)響應(yīng)系統(tǒng)

　　傳統(tǒng)的電子系統(tǒng)是實(shí)時(shí)的激勵(lì)響應(yīng)系統(tǒng)，嵌入式應(yīng)用系統(tǒng)則是一個(gè)軟件廣泛介入下的激勵(lì)響應(yīng)系統(tǒng)。由于軟件的介入，在激勵(lì)響應(yīng)進(jìn)程中增加了軟件運(yùn)行時(shí)間，造成了嵌入式應(yīng)用系統(tǒng)的兩個(gè)新問(wèn)題，即實(shí)時(shí)性與軟件可靠性問(wèn)題。

　　由于軟件介入，一方面出現(xiàn)軟件可靠性問(wèn)題，另一方面為系統(tǒng)增加了可靠性的控制技術(shù)，即利用軟件技術(shù)來(lái)提高系統(tǒng)的可靠性。

　　3.2  嵌入式應(yīng)用系統(tǒng)的可靠性模型

　　與傳統(tǒng)的電子的激勵(lì)響應(yīng)系統(tǒng)相比，嵌入式應(yīng)用系統(tǒng)在軟件介入下，增加了一個(gè)在激勵(lì)響應(yīng)中的時(shí)空過(guò)程。激勵(lì)端、過(guò)程空間、響應(yīng)端，構(gòu)成了嵌入式應(yīng)用系統(tǒng)的可靠性模型。如圖1所示。

　　圖1  嵌入式應(yīng)用系統(tǒng)的可靠性模型

　　在嵌入式應(yīng)用系統(tǒng)的可靠性模型中，系統(tǒng)可靠性取決于從激勵(lì)端到響應(yīng)端的性管道原則。即保證在激勵(lì)端有的正常激勵(lì)輸入，在運(yùn)行空間有正常激勵(lì)下的運(yùn)行路徑，在響應(yīng)端有的正常響應(yīng)輸出。所有破壞性管道原則的因素，都會(huì)造成系統(tǒng)的不可靠運(yùn)行。系統(tǒng)可靠性設(shè)計(jì)就是要保證在一切不可靠因素侵害下，都能保證性管道的通暢性與穩(wěn)定性。

　　3.3  應(yīng)用系統(tǒng)的可靠性設(shè)計(jì)原則

　　在實(shí)際應(yīng)用環(huán)境中，應(yīng)用系統(tǒng)會(huì)被眾多的不可靠因素侵害。在眾多的不可靠因素侵害下，應(yīng)該遵循哪些原則來(lái)保證系統(tǒng)的可靠性？圖2所示為可靠性設(shè)計(jì)的一些基本原則。

　　圖2  嵌入式應(yīng)用系統(tǒng)的可靠性設(shè)計(jì)原則

　　按照性管道原則，保證正常激勵(lì)輸入下有的正常響應(yīng)輸出，在全部路徑上都應(yīng)有相應(yīng)的可靠性保障措施。

　　在激勵(lì)端，除了正常激勵(lì)外，還會(huì)有許多非正常激勵(lì)。在保證的正常激勵(lì)輸入時(shí)，必須對(duì)非正常激勵(lì)采取屏蔽措施，或容錯(cuò)技術(shù)。

　　在軟件的運(yùn)行空間上，要在保證軟件的運(yùn)行路徑的同時(shí)，盡量減少軟件漏洞，防止程序飛跑。當(dāng)程序飛跑吋，能迅速發(fā)現(xiàn)并使之進(jìn)入安全管道。在與程序運(yùn)行相關(guān)的物理空間上，不斷進(jìn)行自檢與修補(bǔ)。

　　在響應(yīng)端，能及時(shí)判斷異常狀態(tài)下的非正常響應(yīng)，并即時(shí)剔除。對(duì)于無(wú)法避免的非正常響應(yīng)輸出，應(yīng)采取安全性包容措施，以免造成不可挽回的損失。

　　在所有數(shù)據(jù)流的路徑上，都會(huì)有許多通道干擾，應(yīng)實(shí)施管道化的屏蔽措施。按照電磁兼容性原則，不僅要屏蔽入侵的電磁干擾，也要防止本機(jī)電磁輻射外泄。在某些狀況下，防電磁輻射外泄是出于信息安全的考慮。

　　建立可靠性模型，有利于制定可靠性設(shè)計(jì)的技術(shù)標(biāo)準(zhǔn)。在可靠性模型基礎(chǔ)上，總結(jié)、歸納出系統(tǒng)可靠性設(shè)計(jì)的原則、方法、措施，形成企業(yè)的可靠性設(shè)計(jì)標(biāo)準(zhǔn)。使企業(yè)的可靠性設(shè)計(jì)科學(xué)化與規(guī)范化。

　　4  嵌入式應(yīng)用系統(tǒng)的可靠性設(shè)計(jì)

　　可靠性設(shè)計(jì)是應(yīng)用系統(tǒng)設(shè)計(jì)的常規(guī)內(nèi)容，應(yīng)貫徹到項(xiàng)目開發(fā)的始終，并突出在項(xiàng)目的前期管理中。嵌入式應(yīng)用系統(tǒng)的可靠性設(shè)計(jì)包括本質(zhì)可靠性設(shè)計(jì)與可靠性控制設(shè)計(jì)。

　　本質(zhì)可靠性設(shè)計(jì)是保證系統(tǒng)可靠性品質(zhì)的先天性設(shè)計(jì)；可靠性控制設(shè)計(jì)是軟件介入下提升系統(tǒng)可靠性的后天性設(shè)計(jì)。

　　在進(jìn)行可靠性設(shè)計(jì)時(shí)，必須對(duì)系統(tǒng)的可靠性等級(jí)、可靠性因子有充分了解，防止陷入盲目性。

　　4.1  應(yīng)用系統(tǒng)的本質(zhì)可靠性設(shè)計(jì)

　　本質(zhì)可靠性設(shè)計(jì)是系統(tǒng)可靠性品質(zhì)的先天性設(shè)計(jì)內(nèi)容，是系統(tǒng)可靠性設(shè)計(jì)的基礎(chǔ)。本質(zhì)可靠性設(shè)計(jì)主要體現(xiàn)在項(xiàng)目的前期論證與總體設(shè)計(jì)中。例如，應(yīng)用系統(tǒng)的體系結(jié)構(gòu)、操作系統(tǒng)選擇，廠家平臺(tái)、應(yīng)用平臺(tái)、產(chǎn)品平臺(tái)的技術(shù)支持，以及可靠性設(shè)計(jì)規(guī)范等。

　　拒絕“從零開始”，是本質(zhì)可靠性設(shè)計(jì)的基本信條，“成熟度”與“繼承性”是*定應(yīng)用系統(tǒng)本質(zhì)可靠性設(shè)計(jì)的兩個(gè)重要指標(biāo)。

　　“成熟度”是指在項(xiàng)目開發(fā)中，所使用的技術(shù)是否都經(jīng)過(guò)實(shí)踐考驗(yàn)，證明其安全可靠?！袄^承性”是指本項(xiàng)目是否有原型系統(tǒng)或參照系統(tǒng)，通常用原型系統(tǒng)或參照系統(tǒng)在本項(xiàng)目所占比例來(lái)確定“繼承性”的高低。

　　“繼承性”越高，系統(tǒng)的本質(zhì)可靠性越好。

　　在項(xiàng)目總體設(shè)計(jì)中，不妨將“成熟度”與“繼承性”進(jìn)一步量化，規(guī)定為總體設(shè)計(jì)中可靠性設(shè)計(jì)的一項(xiàng)重要指標(biāo)。

　　4.2  應(yīng)用系統(tǒng)的可靠性控制設(shè)計(jì)

　　可靠性控制設(shè)計(jì)是一種軟件介入的可靠性設(shè)計(jì)技術(shù)。例如，選擇少出錯(cuò)的運(yùn)行路徑；的操作時(shí)空占空比，可使出錯(cuò)概率；信息流的管道控制，防止邊界泄漏與入侵；數(shù)據(jù)的邊界管理，邊界的設(shè)定與出錯(cuò)判定；重要數(shù)據(jù)的保護(hù)，校驗(yàn)、糾錯(cuò)、備份與重建等。

　　還可以舉出許多在實(shí)際使用中行之有效的可靠性設(shè)計(jì)技術(shù)，如，噪聲失敏控制、時(shí)空邊界管理、系統(tǒng)容錯(cuò)、冗余設(shè)計(jì)、系統(tǒng)自檢與自修復(fù)、出錯(cuò)后的安全性包容等。

　　結(jié)語(yǔ)

　?、?由于計(jì)算機(jī)軟件及智能化控制的介入，嵌入式應(yīng)用系統(tǒng)與傳統(tǒng)電子系統(tǒng)有本質(zhì)區(qū)別。因此嵌入式應(yīng)用系統(tǒng)的可靠性設(shè)計(jì)應(yīng)有全新的觀念、方法和技術(shù)。

　?、?隨著器件可靠性的保證、系統(tǒng)的SoC化，產(chǎn)品使用周期縮短，嵌入式應(yīng)用系統(tǒng)的可靠性將突出表現(xiàn)在系統(tǒng)的出錯(cuò)概率上。

　?、?應(yīng)建立可靠性等級(jí)概念。不同的嵌入式應(yīng)用系統(tǒng)對(duì)可靠性的要求不同。建立可靠性等級(jí)就會(huì)減少可靠性設(shè)計(jì)的盲目性。呼吁建立可靠性等級(jí)的國(guó)家標(biāo)準(zhǔn)。

　　④ 應(yīng)建立可靠性模型，可靠性模型可給出嵌入式應(yīng)用系統(tǒng)可靠性設(shè)計(jì)的一般規(guī)律和方法。

　?、?嵌入式應(yīng)用系統(tǒng)設(shè)計(jì)，決不是單純的功能性設(shè)計(jì)，應(yīng)把功能性設(shè)計(jì)、可靠性設(shè)計(jì)、功耗設(shè)計(jì)列為常規(guī)設(shè)計(jì)內(nèi)容。

　?、?應(yīng)不斷地把具體項(xiàng)目實(shí)踐中的一些可靠性設(shè)計(jì)方法、技術(shù)進(jìn)行綜合、歸納，不斷完善嵌入式應(yīng)用系統(tǒng)可靠性設(shè)計(jì)原理與方法。(作者：  北京航空航天大學(xué) 何立民 )