CN107015848A

CN107015848A - 用于监视和操控事件导向的操作系统中的准并行的实施线程的方法和设备

Info

Publication number: CN107015848A
Application number: CN201710041751.1A
Authority: CN
Inventors: G.皮尔; A.里斯; F.克雷默; S.克林格
Original assignee: Robert Bosch GmbH
Current assignee: Robert Bosch GmbH
Priority date: 2016-01-21
Filing date: 2017-01-20
Publication date: 2017-08-04
Anticipated expiration: 2037-01-20
Also published as: JP2017130206A; US20170212785A1; DE102016200777A1; CN107015848B

Abstract

用于监视和操控在事件导向的操作系统中的准并行的实施线程的方法和设备。用于监视在事件导向的操作系统中的准并行的实施线程（20、21、22）的方法，其特征在于如下特征：‑ 由所述操作系统授权的管理进程（23）借助于所述操作系统的内核（24）来观察通过所述实施线程（20、21、22）所触发的运行事件，以及 ‑ 所述管理进程（23）依据所述运行事件持续地监视所述实施线程（20、21、22）的由配置（25）来预先给定的运行时间特性。

Description

用于监视和操控事件导向的操作系统中的准并行的实施线程的方法和设备

技术领域

本发明涉及一种用于监视和操控事件导向的操作系统中的准并行的实施线程（Ausführungsstrang）的方法。此外，本发明还涉及一种相对应的设备、一种相对应的计算机程序以及一种相对应的存储介质。

背景技术

在国际标准ISO/IEC/IEEE 9945中被标准化的可移植操作系统界面（portableoperating system interface，POSIX）包括用于开放式系统的一系列特定的应用环境框架（application environment profile，AEP）。属于所述应用环境框架的尤其是用于可移植的有实时能力以及嵌入式（embedded）的应用的按照IEEE 1003.13-2003所限定的环境框架。

DE 10 2014 103139 A1涉及一种用于将被研发用于具有单个计算内核的控制设备的旧控制软件移植到具有至少两个计算内核的车辆控制设备上的方法。在所述旧控制软件中包含有分别具有一个或多个运行部分的任务以及针对所述任务的实施优先次序或者抢先优先次序。确定针对对共同的永久性存储变量的写入和读取访问的优先限制，并且根据预先确定的分类规则来标识弱的优先限制。产生用于在两个或者更多计算内核上实施所述旧控制软件的实施计划、也就是说在使具有弱的优先限制的运行部分并行化的情况下用于在两个或者多个计算内核上实施所述旧控制软件的实施计划。针对每个弱的优先限制，所属的永久性存储变量被存储在分开地管理的数据库中，所述数据库允许无等待时间地进行写入和读取的访问。

发明内容

本发明提供按照独立权利要求所述的一种用于监视和操控事件导向的操作系统中的准并行的实施线程的方法、一种相对应的设备、一种相对应的计算机程序以及一种相对应的存储介质。

在此，所提出的方案以如下认识为基础：在受到功能安全性要求和信息安全性要求的软件系统中，不同的软件组件的相互间的无干扰性（freedom from interference，FFI）是特别重要的。

要在两方面确保所述无干扰：一方面应该示出空间上的FFI。这在符合POSIX的操作系统中主要通过进程或资源分区来实现。在此，该操作系统阻止了一个线程的或者一个分区的存储区被另一进程或另一分区访问。在一个进程或者一个分区之内，在信息技术的意义上（即对运行安全性的可能的干扰的应统一地评估的概率和应统一地期望的影响）假定相同的关键程度。

另一方面，应该能够实现时间上的FFI。这意味着：在关键情况下，必须给不同的进程或分区的每个线程保证一个开始时间点、一个最晚的结束时间点以及一个净运行时间预算。在此，被证明为重要的是：不仅对这些特性的监视而且对这些特性的操控或控制都通过可靠的软件实体来确保。不能在传统的具有现有的调度算法的符合POSIX的操作系统中示出所述精细的（geingranular）、时间上的FFI。

与此相对，按照本发明的解决方案的优点在于如下可能性：尤其是在符合POSIX的操作系统中保证线程层面上FFI。所述相互间的无干扰性本身适用于被分配给不同的进程或者分区的线程。借此，具有关于信息安全性和功能安全性的不同的关键程度的进程可以在相同的运行时间环境中确定性地运行。此外，也可以实现所述线程与不同关键程度的进程的功能上的相互协调，以及与针对每个单个的线程的所保证的实施时间、开始时间点和截止期限的相互协调。

在这种情况下，本发明的实施方式的核心组件是管理进程，所述管理进程的任务包括监视和操控线程。所述管理进程是如下进程，所述进程已经根据对其功能安全性和信息安全性的最高要求来开发并且因此被归入为值得信任的。在这种情况下，以所有要监视的线程不值得信任为基本假设来设计该管理进程。所述管理进程从操作系统的内核（kernel）得到关于所述线程的时间特性的所有必需的信息。该内核对应于与所述管理进程本身相同的对功能安全性和信息安全性的要求。所述管理进程持续地将所述线程的实际上的时间特性与值得信任的配置进行比较，所述线程的实际上的时间特性通过值得信任的内核机制被报告给所述管理进程。如果管理进程示出于所希望的时间特性的偏差，那么所述管理进程将相对应的指令给予所述内核，以便使故障特性失效或引入备用反应。

通过在从属权利要求中论述的措施，在独立权利要求中说明的基本构思的有利的扩展方案和改进方案是可能的。尤其是，所述要监视的线程的时间特性可以两种方式来控制。两个随后描述的可能性也能够彼此组合。因此可以规定：所述线程使它们的时间特性彼此协调。这里，所述管理进程仅仅监视正确的时间运行。该工作原理具有如下优点：应用进程不必被配以工具（instrumentieren）或者必须配备有附加的同步机制。本发明的对应于所描述的方案的设计方案下面被称作“被动实施方式”。

按照另一方面，可以规定：所述管理进程承担时间控制，其方式是所述线程通过常见的同步机制、例如同步的消息交换（消息传递（message passing））或者信号与所述管理进程来同步。所述管理进程一方面控制所述同步而另一方面监视了正确的运行。这开启了线程与不同关键程度的进程的去耦合以及得到的FFI的可能性，但是要求将有针对性的同步机制引入到应用进程中。相对应的变型方案在下面被称作“主动实施方式”。

附图说明

本发明的实施例在附图中被示出并且在随后的描述中进一步被解释。

图1示出了用于监视实施线程的方法的流程图。

图2示出了按照本发明的方法的主动实施方式的方框图。

图3示出了被动实施方式的方框图。

具体实施方式

图1图解说明了按照本发明的一般实施方式的方法（10）的基本流程，所述实施方式用于监视在多任务操作系统中的准并行的实施线程。在此，在操作系统的监管下在算法上运行的信息处理的每个至少表面上并发的过程被理解为准并行的实施线程。因此，不仅仅包括在狭义上的进程，在由调度器周期性地分派给所述进程的时间片之内给所述进程仅仅分配一个处理器或处理器内核。更确切地说，该术语也包括所谓的轻量级的进程（20、21、22）或者活动载体（线程），所述活动载体在典型的进程模型的扩展中与其它活动载体分享进程（20、21、22）的资源和上下文（Kontext）并且仅仅拥有特有的堆栈存储器（stack）。

在此，根据图2和3的组合，该方法（10）的工作方式如下地显示出：当前符合POSIX的操作系统的内核（24）提供编程界面（应用编程界面（application programminginterface），API），所述编程界面作为管理界面仅仅对于管理进程（23）来说是能够到达的，访问对于所述管理进程来说明确地被保护。可通过不同的机制来保障访问权。尤其是考虑强制访问控制（mandatory access control，MAC）、自主访问控制（discretionary accesscontrol，DAC）或者基于角色访问控制（role-based access control，RBAC）。而未配备有这样的优先权的进程限于被设置用于应用的系统调用（27）。当然，该方法（10）以相对应的方式可被应用到只是部分符合POSIX的操作系统上，而不脱离本发明的范围。

所述管理界面（26）优选地至少提供以下方法：

•询问一个进程（20、21、22）的状态，比如要考虑可能的状态“在实施中”、“阻止”或者“不存在”，

•询问一个进程（20、21、22）从能够配置的状态变换起的毛运行时间、即对于其实施所需的时间间隔的总长度，

•询问一个进程（20、21、22）从能够配置的状态变换起的净运行时间、即扣除由于其它进程（20、21、22）引起的可能的中断的持续时间的所提到的净运行时间，

•询问实体化的进程（20、21、22）的列表，

•询问一个进程（20、21、22）的实体化的线程的列表，

•询问实体化的线程的优先级，

•提醒运行事件（事件提醒（event notification），所述运行事件标记了确定的线程的状态变换，

•提醒一个进程（20、21、22）的实体化或者结束，

•提醒一个确定的进程（20、21、22）的线程的实体化或者结束，

•提醒线程的优先级的改变，

•基于由内核（24）所管理的操作系统时间的粒度（系统时钟（system tick）），在达到线程从确定的状态变换起的确定的毛运行时间时进行提醒，

•基于由内核（24）所管理的操作系统时间的粒度，在达到线程从确定的状态变换起的确定的净运行时间时进行提醒，

•基于由内核（24）所管理的操作系统时间的粒度，在达到确定的资源的最大锁定时间时进行提醒，其中所述锁定例如可借助于信号、尤其是互斥（mutual exclusion、mutex）来实现，

•结束进程（20、21、22），

•结束线程，

•抢先、即暂时中断一个或多个线程，

•设定线程优先级或者线程优先级区间，以及

•设定确定的进程（20、21、22）的所有线程的优先级或优先级区间。

所述管理进程（23）拥有如下配置（25），所述配置（25）包含要监视和要操控的线程和进程（20、21、22）的运行时间特性的正确的属性。该配置（25）可以在运行时或者静态地或者动态地是能够改变的。

此外，所述管理进程（23）还拥有特有的足够精确的计时器、例如高精确度的电子控制模块，借助于所述计时器，所述管理进程（23）相对于所述配置（25）检查所述实施线程（20、21、22）的实际上的时间特性。

基于当前有效的配置（25），所述管理进程（23）通过用于提醒运行事件的管理界面（26）来记录，所述运行事件表征所述实施线程（20、21、22）的运行时间特性。此外，所述管理进程（23）随时可以通过管理界面（26）询问所述实施进程（20、21、22）的当前的值和状态。

所述管理进程（23）本身可以使进程（20、21、22）实体化，或者将这委托给另一软件实体、例如其它的进程或者启动脚本（Startup-Skript）。

按照在图3中再现的被动实施方式，所述管理进程（23）连续地监视所有在配置（25）中说明的值和运行。

在按照图2的主动实施方式中，所述管理进程（23）附加地通过在线程与管理进程（23）之间的同步机制来承担对所述线程的时间上的控制，所述同步机制由所述操作系统的内核（24）来提供。

如果所述管理进程（23）确定了实际上的时间特性相对于所述管理进程（23）的配置（25）的偏差，那么所述管理进程（23）例如通过结束进程（20、21、22）、抢先线程或者降低线程优先级来使所述偏差失效，或者通过管理界面（26）引入所述内核（24）的备用反应、比如重新启动进程（20、21、22）。

Claims

1.用于监视在事件导向的操作系统中的准并行的实施线程（20、21、22）的方法，

其特征在于如下特征：

- 由所述操作系统授权的管理进程（23）借助于所述操作系统的内核（24）来观察（11）通过所述实施线程（20、21、22）所触发的运行事件，以及

- 所述管理进程（23）依据所述运行事件持续地监视（12）所述实施线程（20、21、22）的由配置（25）所预先给定的运行时间特性。

2.根据权利要求1所述的方法（10），

其特征在于如下特征：

- 对所述运行事件的观察（11）通过由所述内核（24）提供给所述管理进程（23）的管理界面（26）来进行，

-通过所述管理界面（26）按需求、尤其是根据询问来关于所述实施线程（20、21、22）的运行状态通知所述管理进程（23），以及

- 此外，对所述运行时间特性的监控（12）依据所述运行状态来进行。

3.根据权利要求2所述的方法（10），

其特征在于如下特征：

- 如果所述运行时间特性与所述配置（25）有偏差，那么所述管理进程（23）通过所述管理界面（26）来给予内核（24）一个管理指令，以及

- 所述内核（24）根据所述管理指令使所述有偏差的运行时间特性无效，或者引入备用反应、尤其是重新启动应用线程之一。

4.根据权利要求3所述方法（10），

其特征在于如下特征中的至少一个，

其中所述内核（24）包括抢占调度器：

- 所述失效包括结束所述实施线程（20、21、22）之一，

- 所述失效包括暂时中断所述实施线程（20、21、22）之一，或者

- 所述失效包括将所述实施线程（20、21、22）之一降级到低的优先级层面上，其中所述调度器是优先级调度器。

5.根据权利要求1至4之一所述的方法（10），

其特征在于如下特征：

- 所述实施线程（20、21、22）借助于所述内核（24）按需求引入与所述管理进程（23）的同步（28），以及

- 所述管理进程（23）通过所述同步（28）来在时间上控制所述实施线程（20、21、22）。

6.根据权利要求5所述的方法（10），

其特征在于如下特征中的至少一个：

- 所述同步（28）包括一方面所述实施线程（20、21、22）与另一方面所述管理进程（23）之间的同步的消息交换，或者

- 所述同步（28）借助于同步机制、尤其是信号来进行。

7.根据权利要求1至6之一所述的方法，

其特征在于如下特征之一：

- 所述实施线程（20、21、22）是一个应用进程，或者

- 所述实施线程（20、21、22）是一种线程。

8.计算机程序，所述计算机程序被设立用于实施根据权利要求1至7之一所述的方法（10）。

9.机器可读的存储介质，在所述机器可读的存储介质上存储有根据权利要求8所述的计算机程序。

10.设备，所述设备被设立用于实施根据权利要求1至7之一所述的方法（10）。