CN111400073B - 基于汽车开放架构系统到统一软硬件表示的形式化系统模型转换和可靠性分析方法 - Google Patents

Abstract

本发明公开了一种基于汽车开放架构系统到统一软硬件表示的形式化系统模型转换和可靠性分析方法。本发明的主要思想是将汽车开放架构的分层结构映射成形式化的系统模型，分别包括具有软件应用冗余的抽象模块、硬件抽象模块、软件与硬件交互的中间模块，同时包含软件的随机或中断行为、软件内部依赖关系、软件运行于硬件上的约束。该系统模型可以用于形式化分析软硬件协同系统的实时性，并保证汽车开放系统架构中实际系统安全攸关功能的可靠性。

Description

基于汽车开放架构系统到统一软硬件表示的形式化系统模型 转换和可靠性分析方法

技术领域

本发明涉及一种将基于汽车开放架构的系统转换到统一软硬件表示的形式化系统模型的方法，以及利用该形式化系统模型对自动驾驶系统进行可靠性分析的方法，通过对系统模型的分析与验证保证实际系统的可靠性，属于计算机嵌入式系统分析领域。

背景技术

自动驾驶技术蓬勃发展，自动驾驶系统的可靠性是制约着该技术广泛应用的关键因素之一。近期出现的开放式汽车软件架构，通过对依赖于硬件的软件、不依赖于硬件的软件的封装，便于不同软件的集成，增加了功能的重用性，提高了软件质量，提升了系统配置的灵活性。越来越多的厂商与公司使用这种架构，使得它逐渐成为汽车电子/电气设计的发展方向。

目前，该开放架构的工具链尚缺乏形式化分析与验证环节。然而，确保自动驾驶核心系统功能的正确性、可靠性，将有助于推广自动驾驶技术的应用。因此，本发明将基于汽车开放架构的系统转换为统一软硬件表示的形式化系统模型，通过对系统模型的分析与验证，保证实际系统功能的可靠性。

发明内容

本发明的目的在于提出一种汽车软件架构的形式化系统模型，用于安全攸关系统的验证与确认。该方案不仅考虑了对硬件瞬时故障的容错，还将基于汽车开放架构的系统转换为封装了时序行为和时间约束的形式化系统模型，通过对系统模型的功能验证与性能分析，保证实际系统的可靠性。

本发明中提出的系统模型是对汽车开放架构的抽象，架构上包含应用模块、硬件模块、依赖于硬件的软件模块；功能上不仅能够表示事件触发的中断行为，也能表示随机行为，并具有一定的主动容错能力。

为了实现本发明的目的，本发明采用的技术方案如下：

一种基于汽车开放架构系统到统一软硬件表示的形式化系统模型转换方法，包括以下步骤：

1)建立软件应用中任务的主动冗余，按照软件应用中任务的依赖关系将冗余展开；

2)根据展开后的软件应用中任务的依赖关系、软件应用到硬件的部署以及汽车开放架构的特征，构建包含软硬件交互的时序行为和时间约束的形式化系统模型。

进一步地，其中的步骤1)中，采用软件应用中任务的主动冗余保证硬件出现瞬时故障的可靠性(容错性)。其中，冗余是指任务的副本，主动冗余是指部署任务的多个副本同时运行，使用少数服从多数的表决器给出输出结果。这样个别副本的故障不影响任务的最终输出结果，可以避免故障的检测与恢复过程。运行冗余需要保持与其余任务的依赖关系及不同副本之间的同步关系。根据软件应用中原有任务间依赖关系(若任务b依赖于任务a执行后的结果，简称b依赖a，称a是b的前驱，b是a的后继)，将冗余展开，具有冗余的任务依赖关系展开过程描述如下：

1-1)遍历任务之间的依赖关系，确定依赖关系的深度；

1-2)从最深的非空依赖层开始，根据每个任务的副本的个数，加入副本、副本结果表决器，并构造任务、副本、副本与表决器之间的关联关系，直到遍历完所有层；其中，依赖层是指依赖于上一层其他任务输出的任务组成的集合；“副本结果”是指任务副本执行后输出的结果，表决器收集任务副本的输出并给出最终的输出结果，表决器的作用是按照少数服从多数的方式给出任务的输出结果；

1-3)当所有的任务都被遍历过后，展开过程终止。

步骤1-1)的具体细节如下：

1-1-1)将不存在任何前驱的任务t加入初始层Q₀层；

1-1-2)根据当前层任务t以及依赖于t的任务集合succ(t)构建下一层依赖于当前层任务的集合，并去掉前面各层已经包括的任务，保证层间任务集合交集为空；

1-1-3)基于新建立的依赖层，重复1-1-2)直到新建立的依赖层为空。

步骤1-2)的具体细节如下：

1-2-1)从非空依赖层Q_i开始；

1-2-2)取出该层所有副本个数大于1的任务；

1-2-3)加入任务的副本、副本输出结果的表决器；

1-2-4)加入表决器与任务t的所有后继的依赖关系；

1-2-5)加入副本与表决器的依赖关系；

1-2-6)加入任务t的所有前驱与副本的依赖关系；

1-2-7)如果已遍历完Q₀，则结束，否则通过i＝i-1的赋值关系，遍历它的前驱层，回到1-2-1)。

进一步地，其中的步骤2)中，为了区分系统中任务的执行与任务之间的通信，在形式化系统模型的构造中，分别构造任务和消息模块。计算、通信过程中与硬件的交互通过相应的调度模块实现。因此，形式化系统模型包括应用模块、依赖于硬件的软件模块、硬件模块。其中，应用模块位于应用层，包含多个任务模块；依赖于硬件的软件模块位于基础软件层，包含通信模块、调度模块；硬件模块位于硬件层，包含处理器、通信通道等。

2-1)任务模块：汽车开放架构中的运行实体、运行实体的连接都被封装在任务模块中。开放架构中的任务有三种状态：就绪、运行、暂停。任务模块中的状态不仅包括这三种情况，还包括与硬件资源交互过程中的状态，同时还有周期、最好/最坏执行时间等时间约束关系。具体行为为：任务就绪时，在周期约束范围内，随机触发任务的执行；在执行任务的硬件资源可用后，读取所需数据并运行该任务；若任务运行过程中被中断，则进入暂停状态，在硬件资源可用后恢复运行状态；运行结束后，写入数据，回到就绪状态。

2-2)通信模块：任务模块的依赖关系是通过数据传输实现的，而数据传输包括数据的读、写操作，表示数据依赖的通信模块分别包括从/向缓冲区中读取/写入数据的操作过程。通信模块接受任务的读/写请求，再检查缓冲区的可访问性，在缓冲区可用后进行读/写操作，最后释放缓冲区资源。

2-3)调度模块：包括任务的调度与消息的调度两种。任务调度模块用于调度部署于不同电子控制单元的任务。而消息调度模块接受传送数据的消息的请求，并检查相应硬件资源的可用性。

2-3-1)任务调度模块：属于全局调度，触发不同处理器上任务的执行。调度过程不花费时间。任务调度模块的具体行为为：接收任务的执行请求；查询相应硬件资源的可用性，若符合调度策略的可执行条件则运行，否则放入等待队列；回到初始状态等待下一个请求。目前，任务调度模块支持以下三种策略：

先进先出策略(FIFO)，按请求的顺序排序。新请求任务将附加到队列末尾，并且不允许抢占。

固定优先级策略(FP)，按优先级的降序排序，新请求任务根据其优先级插入队列。

最早截止时间优先策略(EDF)，任务按照它的截止时间与触发时间的差值升序排序。新的任务请求根据该差值将新任务插入到合适位置。

2-3-2)消息调度模块：与任务调度模块类似，消息调度模块接收请求并检查相应硬件资源的可用性，决定是否执行该通信请求。

4)硬件模块：根据硬件资源数目定义相关常量。可以通过查询相应的队列获取硬件的状态。

本发明还提供一种基于上述形式化系统模型的自动驾驶系统可靠性分析方法，包括以下步骤：

1)实例化所述形式化系统模型中的参数；

2)提取自动驾驶系统中需要验证与分析的性质；

3)利用所述形式化系统模型，使用模型检测方法(可采用现有技术)对自动驾驶系统的可靠性进行分析。

进一步地，步骤3)包括：

3-1)使用模型检测方法对自动驾驶系统的安全性进行分析，包括是否存在死锁、是否满足实时系统的时间约束等；

3-2)使用模型检测方法对自动驾驶系统的性能进行分析，如最坏情况响应时间、端到端的延迟等。

本发明的有益效果如下：

本发明提出的系统模型是对汽车开放架构的抽象，功能上不仅能够表示事件触发的中断行为，也能表示随机行为，并具有一定的主动容错能力。本发明不仅考虑了对硬件瞬时故障的容错，还将基于汽车开放架构的系统转换为封装了时序行为和时间约束的形式化系统模型，能够通过对系统模型的功能验证与性能分析，保证实际系统的可靠性。

附图说明

图1是具有冗余的任务依赖关系展开流程图；

图2是本发明的形式化系统模型架构图；

图3是实施例中自动驾驶系统的任务依赖关系图及冗余展开后的部署图，其中(a)图为任务依赖关系图，(b)图为冗余展开后的部署图。

具体实施方式

为使本发明的上述目的、特征和优点能够更加明显易懂，下面通过具体实施例和附图，对本发明做进一步详细说明。

图1是具有冗余的任务依赖关系展开流程图，如该图所示，包括以下步骤：

1-1)遍历任务之间的依赖关系，确定依赖关系的深度；

1-2)从最深的非空依赖层开始，根据每个任务的副本的个数，加入副本、副本结果表决器，并构造任务、副本、副本与表决器之间的关联关系，直到遍历完所有层；

1-3)当所有的任务都被遍历过后，展开过程终止。

步骤1-1)的具体细节如下：

1-1-1)将不存在任何前驱的任务t加入初始层Q₀层；

1-1-2)根据当前层Q_i中的任意任务t以及依赖于t的任务集合succ(t)，构建下一层Q_i+1中依赖于当前层任务的任务集合，并从Q_i+1中去掉前面各层已经包括的任务，保证层间任务集合交集为空；

Q_i+1的计算公式为：

其中，{succ(t)}表示依赖于任务t的任务组成的集合，Q_j表示第j层任务的集合，

表示从初始层到第i层所有任务的集合，符号“\”表示集合间的减法运算。

1-1-3)基于新建立的依赖层，重复1-1-2)直到新建立的依赖层为空。

步骤1-2)的具体细节如下：

1-2-1)从非空依赖层Q_i开始；

1-2-2)取出该层所有副本个数大于1的任务；

1-2-3)加入任务的副本、副本输出结果的表决器；

1-2-4)加入表决器与任务t的所有后继的依赖关系；

1-2-5)加入副本与表决器的依赖关系；

1-2-6)加入任务t的所有前驱与副本的依赖关系；

1-2-7)如果已遍历完Q₀，则结束，否则通过i＝i-1的赋值关系，遍历它的前驱层，回到1-2-1)。

本实施例以一种自动驾驶控制系统为例，给出相应的系统模型构建过程。该系统由四个任务组成，分别为信息的预处理、车辆的横向控制、纵向控制、路径提取；任务之间的依赖关系如图3中(a)图所示。下面介绍构造系统模型的主要实现步骤：

1)实例化四个任务模块，包括它们的最好、最坏情况执行时间、周期、随机特征与硬件配置信息。

2)计算所需任务的冗余数量。

3)实例化冗余展开后四个任务之间的依赖关系。

4)实例化调度模块与硬件资源。

5)制定任务之间的优先级与调度策略。

6)使用现有的模型检测工具分析它的可靠性。

步骤1)：路径提取任务的周期与其它三个任务不同，执行时间远大于其它三个任务，因此将路径提取任务分配到一个处理器，其余三个任务部署到另一个处理器上。

步骤2)：因为路径提取任务执行时间长，遇到硬件暂时性故障的概率高，因此为其配置副本提高系统的容错性，总共有三个副本。

步骤3)：由于路径提取任务一共有三个副本，再加上表决器及其他三个任务，实例化后共有7个任务，其中路径提取任务的副本与表决器在同一个处理器上，如图3中(b)图所示。

步骤4)：总共两个处理器，采用高优先级抢占的调度方式。

步骤5)：预处理、横向控制、纵向控制任务的优先级相同，高于路径提取任务，但由于部署在不同的处理器中，不存在抢占情况。

步骤6)：在这种方式配置方式下，使用实时系统模型检测工具对系统模型的不同场景(四个任务的周期因车辆的不同时速而不同)进行分析，系统不存在死锁，且满足时间约束，因此是可靠的。同时，在任务出现最坏情况响应时间时，系统不会偏离原指定路径。其中：

“系统不存在死锁”是因为：虽然预处理、横向控制与纵向控制的优先级比路径提取任务的优先级高，但路径提取与其他三个任务被分配到了不同的处理器上，所以不存在任务的抢占，所以不会造成因共享资源被占用而产生的死锁。

“满足时间约束”是因为：路径提取任务的三个副本顺序执行，再加上表决器的时间，在所有的场景下都不会大于路径提取任务的周期。而预处理、横向控制、纵向控制的执行也可以在周期内完成。

“在任务出现最坏情况响应时间时，系统不会偏离原指定路径”是因为：通过系统模型分析出的任务最坏响应时间与车辆的行驶速度，得出车辆的移动距离小于0.5米，所以不会偏离原指定路径。

四个任务的最好、最坏情况执行时间如表1所示。

表1.任务的最好、最坏情况执行时间

任务	路径提取	预处理	横行控制	纵向控制
					最好情况执行时间(ms)	1.862	0.123	0.079	0.130
最坏情况执行时间(ms)	6.922	0.366	0.667	0.593

在路径提取与其余三个任务分别部署于不同处理器的情况下，路径提取任务的最坏情况响应时间为20.766ms。该任务的最小周期为50ms，因此，这种配置不仅能避免死锁，满足任务执行的时间约束，而且保证不会偏离路径。

综上，本发明提出一种将基于汽车开放架构的系统转换为统一软硬件表示的形式化系统模型的方法，该模型封装了软硬件交互的时序行为和时间约束，能够用于安全攸关车载系统的功能验证与性能分析。

基于同一发明构思，本发明的另一个实施例提供一种电子装置(计算机、服务器、智能手机等)，其包括存储器和处理器，所述存储器存储计算机程序，所述计算机程序被配置为由所述处理器执行，所述计算机程序包括用于执行本发明方法中各步骤的指令。

基于同一发明构思，本发明的另一个实施例提供一种计算机可读存储介质(如ROM/RAM、磁盘、光盘)，所述计算机可读存储介质存储计算机程序，所述计算机程序被计算机执行时，实现本发明方法的各个步骤。

上述仅以优选实施例对本发明进行说明，非因此即局限本发明的权利范围，因此，在不脱离本发明思想的情况下，凡运用本发明说明书及附图内容所为的等效变化，均包含于本发明的权利要求范围内。

Claims (9)

1.一种基于汽车开放架构系统到统一软硬件表示的形式化系统模型转换方法，其特征在于，包括以下步骤：

建立软件应用中任务的主动冗余，按照软件应用中任务的依赖关系将冗余展开；所述主动冗余是指部署任务的多个副本同时运行，使用少数服从多数的表决器给出输出结果；

根据展开后的软件应用中任务的依赖关系、软件应用到硬件的部署以及汽车开放架构的特征，构建包含软硬件交互的时序行为和时间约束的形式化系统模型；

所述按照软件应用中任务的依赖关系将冗余展开，包括：

1-1)遍历任务之间的依赖关系，确定依赖关系的深度；

1-2)从最深的非空依赖层开始，根据每个任务的副本的个数，加入副本、副本结果表决器，并构造任务、副本、副本与表决器之间的关联关系，直到遍历完所有层；

1-3)当所有的任务都被遍历过后，展开过程终止。

2.根据权利要求1所述的方法，其特征在于，所述步骤1-1)包括：

1-1-1)将不存在任何前驱的任务t加入初始层Q₀层；

1-1-2)根据当前层任务t以及依赖于t的任务集合succ(t)构建下一层依赖于当前层任务的集合，并去掉前面各层已经包括的任务，保证层间任务集合交集为空；

1-1-3)基于新建立的依赖层，重复1-1-2)直到新建立的依赖层为空。

3.根据权利要求2所述的方法，其特征在于，所述步骤1-2)包括：

1-2-1)从非空依赖层Q_i开始；

1-2-2)取出该层所有副本个数大于1的任务；

1-2-3)加入任务的副本、副本输出结果的表决器；

1-2-4)加入表决器与任务t的所有后继的依赖关系；

1-2-5)加入副本与表决器的依赖关系；

1-2-6)加入任务t的所有前驱与副本的依赖关系；

1-2-7)如果已遍历完Q₀，则结束，否则通过i＝i-1的赋值关系，遍历它的前驱层，回到1-2-1)。

4.根据权利要求1所述的方法，其特征在于，所述形式化系统模型包括应用模块、依赖于硬件的软件模块、硬件模块；所述应用模块包含多个任务模块；所述依赖于硬件的软件模块包含通信模块、调度模块；

所述任务模块涵盖汽车开放架构中的运行实体、运行实体的连接以及运行实体到任务的映射；所述任务模块中的状态包括：汽车开放架构中任务的就绪、运行、暂停三种状态，与硬件资源交互过程中的状态，以及时间约束关系；

所述通信模块负责从/向缓冲区中读取/写入数据的操作过程，所述通信模块接受任务的读/写请求，再检查缓冲区的可访问性，在缓冲区可用后进行读/写操作，最后释放缓冲区资源；

所述调度模块包括任务调度模块和消息调度模块；任务调度模块用于调度部署于不同电子控制单元的任务；消息调度模块接受传送数据的消息的请求，并检查相应硬件资源的可用性，决定是否执行通信请求；

所述硬件模块根据硬件资源数目定义相关常量，并通过查询相应的队列获取硬件的状态。

5.根据权利要求4所述的方法，其特征在于，所述任务调度模块支持以下三种策略：

先进先出策略，按请求的顺序排序，新请求任务附加到队列末尾，并且不允许抢占；

固定优先级策略，按优先级的降序排序，新请求任务根据其优先级插入队列；

最早截止时间优先策略，任务按照其截止时间与触发时间的差值升序排序，新的任务请求根据该差值将新任务插入到合适位置。

6.一种基于形式化系统模型的自动驾驶系统可靠性分析方法，其特征在于，包括以下步骤：

对于权利要求1～5中任一权利要求所述方法得到的形式化系统模型，实例化所述形式化系统模型中的参数；

提取自动驾驶系统中需要验证与分析的性质；

利用所述形式化系统模型，使用模型检测方法对自动驾驶系统的可靠性进行分析。

7.根据权利要求6所述的方法，其特征在于，所述使用模型检测方法对自动驾驶系统的可靠性进行分析，包括：

使用模型检测方法对自动驾驶系统的安全性进行分析，包括是否存在死锁、是否满足实时系统的时间约束；

使用模型检测方法对自动驾驶系统的性能进行分析，包括最坏响应时间、端到端的延迟。

8.一种电子装置，其特征在于，包括存储器和处理器，所述存储器存储计算机程序，所述计算机程序被配置为由所述处理器执行，所述计算机程序包括用于执行权利要求1～7中任一权利要求所述方法的指令。

9.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质存储计算机程序，所述计算机程序被计算机执行时，实现权利要求1～7中任一权利要求所述的方法。

Images