嵌入式应用系统的可靠性设计初探

3  建立系统可靠性设计模型

3.1  软件介入下的激励响应系统

传统的电子系统是实时的激励响应系统，嵌入式应用系统则是一个软件广泛介入下的激励响应系统。由于软件的介入，在激励响应进程中增加了软件运行时间，造成了嵌入式应用系统的两个新问题，即实时性与软件可靠性问题。

由于软件介入，一方面出现软件可靠性问题，另一方面为系统增加了可靠性的控制技术，即利用软件技术来提高系统的可靠性。

3.2  嵌入式应用系统的可靠性模型

与传统的电子的激励响应系统相比，嵌入式应用系统在软件介入下，增加了一个在激励响应中的时空过程。激励端、过程空间、响应端，构成了嵌入式应用系统的可靠性模型。如图1所示。


图1  嵌入式应用系统的可靠性模型

在嵌入式应用系统的可靠性模型中，系统可靠性取决于从激励端到响应端的唯一性管道原则。即保证在激励端有唯一的正常激励输入，在运行空间有正常激励下唯一的运行路径，在响应端有唯一的正常响应输出。所有破坏唯一性管道原则的因素，都会造成系统的不可靠运行。系统可靠性设计就是要保证在一切不可靠因素侵害下，都能保证唯一性管道的通畅性与稳定性。

3.3  应用系统的可靠性设计原则

在实际应用环境中，应用系统会被众多的不可靠因素侵害。在众多的不可靠因素侵害下，应该遵循哪些原则来保证系统的可靠性？图2所示为可靠性设计的一些基本原则。


图2  嵌入式应用系统的可靠性设计原则

按照唯一性管道原则，保证正常激励输入下有唯一的正常响应输出，在全部路径上都应有相应的可靠性保障措施。

在激励端，除了正常激励外，还会有许多非正常激励。在保证唯一的正常激励输入时，必须对非正常激励采取屏蔽措施，或容错技术。

在软件的运行空间上，要在保证软件的唯一运行路径的同时，尽量减少软件漏洞，防止程序飞跑。当程序飞跑吋，能迅速发现并使之进入安全管道。在与程序运行相关的物理空间上，不断进行自检与修补。

在响应端，能及时判断异常状态下的非正常响应，并即时剔除。对于无法避免的非正常响应输出，应采取安全性包容措施，以免造成不可挽回的损失。

在所有数据流的路径上，都会有许多通道干扰，应实施管道化的屏蔽措施。按照电磁兼容性原则，不仅要屏蔽入侵的电磁干扰，也要防止本机电磁辐射外泄。在某些状况下，防电磁辐射外泄是出于信息安全的考虑。

建立可靠性模型，有利于制定可靠性设计的技术标准。在可靠性模型基础上，总结、归纳出系统可靠性设计的原则、方法、措施，形成企业的可靠性设计标准。使企业的可靠性设计科学化与规范化。

4  嵌入式应用系统的可靠性设计

可靠性设计是应用系统设计的常规内容，应贯彻到项目开发的始终，并突出在项目的前期管理中。嵌入式应用系统的可靠性设计包括本质可靠性设计与可靠性控制设计。

本质可靠性设计是保证系统可靠性品质的先天性设计；可靠性控制设计是软件介入下提升系统可靠性的后天性设计。

在进行可靠性设计时，必须对系统的可靠性等级、可靠性因子有充分了解，防止陷入盲目性。

4.1  应用系统的本质可靠性设计

本质可靠性设计是系统可靠性品质的先天性设计内容，是系统可靠性设计的基础。本质可靠性设计主要体现在项目的前期论证与总体设计中。例如，应用系统的体系结构、操作系统选择，厂家平台、应用平台、产品平台的技术支持，以及可靠性设计规范等。

拒绝“从零开始”，是本质可靠性设计的基本信条，“成熟度”与“继承性”是评定应用系统本质可靠性设计的两个重要指标。

“成熟度”是指在项目开发中，所使用的技术是否都经过实践考验，证明其安全可靠。“继承性”是指本项目是否有原型系统或参照系统，通常用原型系统或参照系统在本项目所占比例来确定“继承性”的高低。

“继承性”越高，系统的本质可靠性越好。

在项目总体设计中，不妨将“成熟度”与“继承性”进一步量化，规定为总体设计中可靠性设计的一项重要指标。

4.2  应用系统的可靠性控制设计

可靠性控制设计是一种软件介入的可靠性设计技术。例如，选择最少出错的运行路径；最小的操作时空占空比，可使出错概率最小；信息流的管道控制，防止边界泄漏与入侵；数据的边界管理，边界的设定与出错判定；重要数据的保护，校验、纠错、备份与重建等。

还可以举出许多在实际使用中行之有效的可靠性设计技术，如，噪声失敏控制、时空边界管理、系统容错、冗余设计、系统自检与自修复、出错后的安全性包容等。