试题四（25 分）阅读以下关于工业控制系统软件方面的叙述，在答题纸上回答问题 1 至问题 4。 某公司新近签订了一份控制系统软件的研制合同。合同技术要求如下：（1）本控制系统的软件运行平台拟采用嵌入式实时操作系统，控制系统的工作周期为 10ms，要求控制软件能够精确地按事先预定的时间顺序完成数据的采集、处理和输出；（2）为了提高整个系统的可靠性，控制系统采用容错处理，即用两个相对独立的计算机承担相同的工作，通过交叉对比，实现控制的双余度管理；当任何一台计算机出现故障时，系统可以进行单余度控制。系统结构如图

【问题1】

答： 嵌入式系统具备以下7个特点：

(1) 系统专用性强。嵌入式系统是针对具体应用的专门系统。它的个性化很强，软件和硬件结合紧密。一般要针对硬件进行软件的开发和移植，根据硬件的变化和增减对软件进行修改。

(2) 系统实时性强。许多嵌入式系统对外部事件要求在限定的时间内及时作出响应，具有实时性。根据实时性的强弱，通常将嵌入式系统分为实时嵌入式系统和非实时嵌入式系统，其中大部分为实施嵌入式系统。

(3) 软硬件依赖性强。嵌入式系统的专用性决定了其软硬件的互相依赖性很强，两者必须协同设计，以达到共同实现预定功能的目的，并满足性能、成本和可靠性等方面的严格要求。

(4) 处理器专用。嵌入式系统的处理器一般是为某一特定目的和应用而专门设计的。通常具备功耗低、体积小和集成度高等特点，能够将许多在通用计算机上需要由板卡完成的任务和功能集成到芯片内部，从而有利于嵌入式系统的小型化和移动能力的增强。

(5) 多种技术紧密结合。嵌入式系统通常是计算机技术、半导体技术、电力电子技术、机械技术与各行业的具体应用相结合的产物。通用计算机技术也离不开这些技术，但它们相互结合的紧密程度不及嵌入式系统。

(6) 系统透明性。嵌入式系统在形态上与通用计算机系统差距甚大。它的输入设备往往不是常见的鼠标和键盘之类的设备，甚至不用输出装置，用户可能根本感觉不到它所使用的设备中有嵌入式系统的存在，即使知道，也不必关心嵌入式系统的相关情况。

(7) 系统资源受限。嵌入式系统为了达到结构紧凑、高可靠性和低成本的目的，其存储容量、I/O设备的数量和处理能力都比较有限。


【问题2】

答：（1）√ （2）× （3）√ （4）√ （5）√ （6）√ （7）× （8）√


【问题3】

答：(1) 宇航软件通常根据软件所在设备的失效而对系统安全性(Safety)影响的严重程度分为多种安全级别(如：A?E五级)，而不同安全级别的软件开发过程有其不同的要求。

(2) 移动智能终端中的软件主要用于辅助人们工作与生活，一般不会对生命产生直接影响，它没用安全级别之分。

(3) 为了提高实时性，宇航软件设计上要充分考虑与硬件的紧密协同，尽可能地有效发挥硬件特点，在设计上要仔细考虑将实时性能需求分解到每个软件部件中。

(4) 移动智能终端软件属于弱实时系统，对时间特性不敏感，达到人们可容忍即可(1分)。设计上尽量避免软件与硬件紧耦合。

(5) 宇航软件大多数属于非人机交互系统，关注重点是安全性和可靠性设计。

(6) 移动智能终端软件设计上重点关注的是人机界面友好性、简洁性，注重用户体现。

(7) 宇航软件编码要遵守语言标准，尤其是应按照高级语言的安全子集标准开展编码，对代码函数的语句条数、扇入扇出、圈复杂度等影响代码质量因素都有严格规定。

(8) 移动智能终端软件编码虽然也要遵循一定的编码标准，但在安全编码、扇入扇出、圈复杂度等方面没有严格要求。

一、试题分析在可靠性要求极高的控制系统中（如航空、航天和核电厂等领域），控制设备的可靠性问题始终是嵌入式领域待解决的问题。一旦发生控制错误，将会引起机毁人亡的惨剧，设置带来区域性的灾难，因此，余度技术是计算机技术中最为关键的技术。在传统的余度控制计算机系统中，为了保证系统的实时性和控制的完整性，一般不采用嵌入式操作系统，而是用软件直接控制硬件的方式实施，但随着计算机技术发展，软件开发手段的不断完善，目前广泛应用了嵌入式实时操作系统作为余度软件的基本支持平台。但是，为了确保实时性要求，达到余度管理同步操作的精确性，必然对操作系统加以限制。本题重点是考核考生如何应用余度技术完成高可靠性控制系统的策划与设计的能力。1. 总结问题的要点本题主要是围绕具有高可靠性控制系统这一应用背景来考虑的，考察相关领域考生对具有余度需求的项目进行组织、策划和设计的方法。作为系统分析师，在启动项目之前，应学会充分论证用户需求对实施过程的组织能力。本题的主要要点应该包括以下几方面内容：n 项目的组织要合理，解决由于人员素质的差异而带来的软件缺陷。n 采用的编程语言要有一定冗余能力，以预防语言的二义性带来的软件缺陷。n 设计方法要合理，针对两余度硬件平台的特点，重点考虑两余度的设计策略，n 实现余度间交叉对比和失步后的处理方法。因此，本题的选用具有一定的普遍性。【问题1】本问题主要是要求考生通过对题目的理解，根据题目给出的技术参数和硬件结构，设计出配套的人员组织和典型余度实现的具体方法，包括软件项目组织、语言的选择和具体的表决方法。考生应抓住命题中内容要点，通过项目分解，给出余度设计的几种方法。本题主要考察考生分析问题的能力。开发人员的相互独立性、不同种高级语言的使用以及表决算法的设计是高可靠性控制系统必须考虑的三大因素。【问题2】本问题是在通用操作系统的基础上，为了达到本题所要求的“能够精确地按事先预定的时间顺序完成数据的采集、处理和输出”这一技术特点，在问题一总体思路的基础上，给出在操作系统之上实现精确的交叉对比与系统同步的方法。要求考生对操作系统的任务调度方法有一定的了解，这样才能准确回答此问题。本题主要考验考生在嵌入式实时操作系统之上开发任务确定性调度的设计方法，需要根据题中表内所示的10ms内的任务分派情况，设计出系统软件定时器的节拍数和对操作系统中任务管理的限制等问题，重点衡量对嵌入式系统知识面的掌握程度。【问题3】本题包含两个问题，其一是根据本题给出的两余度数据处理流程的关系，以填空方式，给出流程中默认的处理功能及数据流关系。本题主要考验考试对余度管理的具体处理步骤的熟悉程度；其二是说明在系统发生失步的情况下，如何继承性地处理余度数据。2. 根据问题要点，仔细阅读正文，找出相应的段落本题第二段描述了问题的所在，从图8-2中可以看出，本题的余度方案是两余度系统，输入是一个数据源进入计算机系统，在系统内一分为二，分别输入到不同的计算机中；而输出仅有一路，这说明，两个计算机分别处理完后，通过交叉对比，选择最为接近的数据作为输出数据。理解了这一点，对余度系统的设计具有一定的帮助。本题的第一段值得关注，尤其是文中提到的“要求控制软件能够精确地按事先预定的时间顺序完成数据采集、处理和输出”，是本题关键所在，也是回答【问题2】的基础。本题的第三段主要通过“10ms工作周期内的时间分配表”间接地描述余度管理的重要功能流程，考生可根据本题上述描述的内容，确定性描绘出本题的控制流程。而失步问题值得关注，本题中没有明确提出，但是，作为余度系统，失步是重要的处理环节，考生必须知道。3. 分析试题的内容，构思答案要点通过前两步的分析与归纳，余度问题将是本题首要关注内容之一，也是提高系统可靠性极为重要的考虑内容。通过组织管理、在消化了余度管理核心思想的基础上，主要对任务调度管理、同步设计等关键技术进行解决，就可以设计出较为完善的余度系统。因此，【问题1】和【问题2】是通过对本题的理解而形成答案；【问题3】是基于考生对余度系统理解，完成本命题的流程设计。二、参考答案【问题1】（1）成立两个独立的软件开发小组。两个小组合作编写统一的系统需求稳当和软件功能说明书。两个小组分别进行软件开发，最好使用不同的编程设计语言（如C语言、C++语言和ADA语言）。（2）余度表决算法一般采用主从式。以下假设设计计算机1为主机，计算机2为从机。对输入数据进行交叉对比，如果一致，则用计算机1的数据为数据处理；如果不一致，有历史数据时，计算机1用历史数据为数据处理；无历史数据时，若计算机1和计算机2 的数据中有一个在门限值之内，则使用该数据作为数据处理，若无门限值之内的数据，则计算机1使用默认数据进行处理。交叉对比不一致，应建立故障记录，若故障记录超过门限值，系统变为单余度工作方式。对输出数据进行交叉对比，如果一致，用计算机1的数据为输出数据；如果不一致，且计算机1和计算机2均无历史数据，则计算机1用默认数据作为输出数据。交叉对比不一致，应建立故障记录，若故障记录超过门限值，系统变为单余度工作方式。【问题2】设计时，将本项目的所有任务设定为统一的优先级，避免优先级抢占；根据10ms工作周期内的时间节点划分，设定操作系统的时钟节拍为0.5ms，设计出一个软件定时器；根据软件定时器的计时情况，在事先安排好的时间节点上，分别启动相应的任务工作；如果在规定的时间上任务工作未完成，则按超时处理。原则上使用上一周期的数据。【问题3】（1）数据采集 （2）交叉对比 （3）同步 （4）同步 （5）交叉对比 （6）输出【问题4】计算机1和计算机2进行同步操作时，相互间未能同步上，则称为失步。在一个工作周期开始时，两个计算机在时间上必须同步，一旦发生失步，为了确保系统的稳定，本周期内的工作将采用上一周期的数据进行；如果输出失步，则输出交叉对比功能无效，使用上一周期的输出数据作为本周期的输出。

【问题1】
TLS结构框架的主要特点：
（1）应用软件仅与操作系统服务相关，不直接操作硬件。
（2）操作系统通过模块支持原软件访问硬件，可与具体硬件无关。
（3）模块支持层将硬件抽象成标准操作。
（4）通过三层栈的划分可实现硬件的快速更改与升级，应用软件的升级不会引起硬件的变更。
TLS结构框架的各层内涵是：
（1）应用层主要完成宇航设备的具体工作，由多个功能任务组成，各功能任务间的隔离由操作系统层实现。
（2）操作系统层实现应用软件与硬件的隔离，为应用软件提供更加丰富的计算机资源服务。操作系统为应用软件提供标准的API接口（如POSIX），确保了应用软件的可升级性。
（3）模块支持层为操作系统管理硬件资源提供统一管理方法，用一种抽象的标准接口实现软件与硬件的无关性，达到硬件的升级要求，便于硬件的外场快速更换。
【问题2】
两种操作系统的差异见下表。

选择类似于Linux的嵌入式操作系统。理由如下：
（1）Linux操作系统是一种安全性较强的操作系统。内核工作在系统态，应用软件工作在用户态，可以有效防止应用软件对操作系统的破坏。
（2）Linux操作系统调度的最小单位是线程，线程归属于进程，进程具有自己独立的资源。进程通过存储器管理部件（MMU）实现多功能应用间隔离。
（3）嵌入式Linux操作系统支持硬件抽象，可有效实现TLS结构，并将硬件抽象与操作系统分离，可方便实现硬件的外场快速更换。
【问题3】
（1）嵌入式系统中故障主要分为：
① 硬件故障：如CPU、存储器和定时器等；
② 应用软件故障：如数值越界、异常和超时等；
③ 操作系统故障：如越权访问、死锁和资源枯竭等。
（2）滤波算法：
① 门限算法
② 递减算法
③ 递增算法
④ 周期滤波算法
（3）容错算法：
① N+1备份
② 冷备
③ 温备
④ 热备
【解析】

本题考查嵌入式系统设计的概念，主要包括嵌入式软件体系结构的框架设计，提高宇航设备可靠性的设计方法和掌握根据用户需求开展软件需求分析的手段。
此类题目要求考生认真阅读题目对用户需求的描述，在分析、论证和概念设计的基础上，根据实例要求完善问题的解析。本题重点考查考生归纳问题、分析问题和解决问题的能力。
本题首先给出用户针对宇航设备的4项功能要求：
（1）设备由多个处理机模块组成，需要时外场可快速更换（即LRM结构）；
（2）应用软件应与硬件无关，便于软硬件的升级；
（3）由于宇航嵌入式设备中要支持不同功能，系统应支持完成不同功能任务间的数据隔离；
（4）宇航设备可靠性要求高，系统要有故障处理能力。
从4项要求分析看，第一项要求是考查考生的基础硬件知识，宇航设备应该由多个硬件模块组成，各个模块承担着不同功能，外场可快速更换是指在实验现场（如机场、发射基地）能够用备份模块替换掉故障硬件模块，从而节省维修时间。此项要求是本题设计软件体系总体架构的基础，也是采用三层栈（TLS）的首要点。第二项要求是考查考生从软／硬件升级方面理解三层栈（TLS）架构的优势，因为硬件要方便升级的基础是不会引起软件的更改（或极少更改），要想达到应用软件与硬件的无关性，必须采用操作系统实现硬件隔离。第三项要求是考查考生根据用户软件的技术要求，如何考虑操作系统的分析方法。要支持任务间的数据隔离，具有进程管理的操作系统最为合适，这里考查了考生必须深入了解什么是操作系统的进程概念。第四项要求是考查考生掌握设计高可靠性设备通常采用的技术。
如果考生理解了上述4个用户要求，就能容易地回答本题的三个问题。
【问题1】
本题给出的TLS结构框架主要通过硬件抽象，形成模块支持层软件，将操作系统对硬件资源的管理抽象成对一种逻辑上相关的抽象资源的管理，这样就将操作系统软件与硬件进行了分离。而应用软件访问硬件资源靠操作系统提供的服务进行，这样，应用软件仅仅和具体功能实现有关，而不需关心硬件配置。因此，TLS结构框架的主要特点可概述为以下4点：
（1）应用软件仅与操作系统服务相关，不直接操作硬件。
（2）操作系统通过模块支持原软件访问硬件，可与具体硬件无关。
（3）模块支持层将硬件抽象成标准操作。
（4）通过三层栈的划分可实现硬件的快速更改与升级，应用软件的升级不会引起硬件的变更。
基于这种思想，TLS结构框架实现了宇航设备中软件功能服务，这样考生就可以完整地叙述各层软件的设计内涵，即：
（1）应用层主要完成宇航设备的具体工作，由多个功能任务组成，各功能任务间的隔离由操作系统层实现。
（2）操作系统层实现应用软件与硬件的隔离，为应用软件提供更加丰富的计算机资源服务。操作系统为应用软件提供标准的API接口（如POSIX），确保了应用软件的可升级性。
（3）模块支持层为操作系统管理硬件资源提供统一管理方法，用一种抽象的标准接口实现软件与硬件的无关性，达到硬件的升级要求，便于硬件的外场快速更换。
【问题2】
选择操作系统的依据是本题第三项的用户要求，主要考查考生对目前常用的嵌入式操作系统的了解程度。第一小问的表格给出的VxWorks和Linux两个操作系统是嵌入式系统常用的软件，两个软件在资源管理上存在本质区别，考生必须明确差异后，方能回答第二小问。两种操作系统的差异如下表所示。
通过比较，显然选用类似于Linux的嵌入式操作系统适用本题要求。理由包括三点：
（1）Linux操作系统是一种安全性较强的操作系统。内核工作在系统态，应用软件工作在用户态（这点是系统安全性要求），可以有效防止应用软件对操作系统的破坏。
（2）Linux操作系统调度的最小单位是线程，线程归属于进程，进程具有自己独立的资源。进程通过存储器管理部件（MMU）实现多功能应用间隔离。
（3）嵌入式Linux操作系统支持硬件抽象，可有效实现TLS结构，并将硬件抽象与操作系统分离，可方便实现硬件的外场快速更换。
【问题3】
作为宇航系统的嵌入式设备，硬／软件故障是宇航系统最为关注的内容，根据宇航系统的特点和系统组成，故障一般分为三类，即硬件故障、应用软件故障和操作系统故障，在设计中，应考虑这三类故障的处理方法。硬件故障一般包括CPU运算错误、存储器访问／越界错误、MMU配置错误、定时器计数错误和内总线错误等；应用软件故障一般包括计算越界、除0、溢出和超时等各种异常情况；操作系统故障一般包括越权访问、死锁、资源枯竭、调度超时、配置越界和操作系统异常等。
一般情况下，宇航系统的故障分为瞬态故障和永久故障，瞬态故障是指偶然发生的错误，而永久故障是指发生后不可消失的错误。在容错系统中，故障一般是由瞬态故障向永久故障转变，将鉴别瞬态故障和永久故障的算法称为滤波算法。在嵌入式实时系统中，常用的滤波算法包括门限算法、递减算法、递增算法和周期滤波算法等。
故障的鉴别目的是实现宇航系统的容错与重构。常用的容错算法是N+1备份、冷备、温备和热备。N+1备份是指N个通用模块之一的任何一个模块发生故障后，将故障模块的任务迁移到备份模块运行；冷备、温备和热备是三种备份方式，可根据宇航系统的总体备份时间或重要程度安排不同的备份算法。