1. 课程导入
在航空电子、工业控制、汽车电子与轨道交通等高安全领域，静态分区操作系统已成为承载多安全等级任务的基石。它通过时间分区与空间分区，把多个应用隔离在互不干扰的“沙箱”中。然而，隔离并不等于实时性达标：当多个分区共享同一颗 CPU、同一条总线、同一块内存控制器时，调度抖动、缓存争用、中断延迟仍会悄悄侵蚀最坏执行时间（WCET）的确定性。本课程正是围绕“静态分区之上如何把实时性做稳、把抖动压小”这一主线展开。
一、学习目标：从“能跑”到“可证明地按时跑”
完成本课程后，学习者应达到以下四个层次的目标：
- 概念层：准确区分实时性、确定性、抖动、延迟、吞吐等术语，理解硬实时与软实时的边界条件。
- 机理层：掌握静态分区调度表、时间窗口、主时间帧、分区切换开销的运作机理，能解释抖动从何而来。
- 度量层：能够使用示波器、跟踪工具、WCET 分析工具采集分区切换延迟、中断响应时间、调度抖动分布。
- 优化层：能够针对缓存、总线、中断、调度表四类抖动源，给出可落地的配置与代码级优化方案。
二、核心概念：先建立统一的语言体系
静态分区的实时性讨论中，最容易混淆的是“延迟”与“抖动”。延迟是事件发生到响应完成的绝对时间；抖动则是同一类事件多次发生时，延迟的波动范围。硬实时系统真正害怕的往往不是平均延迟大，而是抖动不可控——因为 WCET 必须按最坏情况预留，抖动越大，预留越保守，CPU 利用率越低。
另一个关键概念是主时间帧（Major Time Frame）。ARINC 653 等标准把时间划分为周期性重复的主帧，主帧内再切分为若干分区窗口。分区窗口的边界由调度表静态确定，因此分区切换本身是确定性的；但窗口内的任务执行、缓存状态、中断到达却可能引入非确定性。理解“静态骨架 + 动态填充”这一结构，是后续所有优化的前提。
三、整体知识框架：三层结构
本课程的知识体系分为三层。最底层是隔离机制层，包括时间分区调度表、空间分区 MMU/MPU 配置、健康监控（HM）与分区重启策略；中间层是抖动源分析层，聚焦缓存、总线、中断、调度切换四类非确定性；最上层是优化与验证层，涵盖 WCET 测量、最坏情况构造、回归测试与在线监控。三层之间是“机制决定抖动形态，抖动分析指导优化方向，验证闭环确认优化有效”的递进关系。
四、典型场景：一个航电分区的抖动排查
假设某飞控计算机上，分区 A 负责舵面控制（硬实时，周期 10ms），分区 B 负责座舱显示（软实时）。试飞中发现 A 的响应时间偶尔从 200μs 跳到 1.8ms，超出 WCET 预算。排查路径如下：
- 用 GPIO 打点 + 示波器确认抖动确实发生在 A 窗口内，而非窗口边界。
- 用 ftrace 观察 A 执行期间是否有 B 的 DMA 传输或网络中断到达。
- 检查 L2 缓存：B 的大图像缓冲刷新导致 A 的指令缓存被逐出。
- 将 A 的关键代码段锁定在 L2，并对 B 的 DMA 做带宽限流。
- 回归测试 72 小时，抖动收敛到 220μs ± 15μs，满足 WCET 要求。
五、常见误区与复盘清单
| 误区 | 后果 | 正确做法 |
|---|---|---|
| 认为分区隔离后实时性自然达标 | WCET 被低估，偶发超时 | 隔离只是起点，必须做抖动测量 |
| 用平均延迟代替 WCET | 硬实时任务在极端情况下失效 | 构造最坏场景，测量 P99.9 或最大值 |
| 忽略缓存与总线争用 | 抖动放大 5～10 倍 | 缓存分区、总线 TDMA、DMA 限流 |
| 调度表窗口切得过碎 | 切换开销累积，有效算力下降 | 合并同优先级窗口，减少切换次数 |
| 优化后不做回归验证 | 引入新抖动源而不自知 | 建立持续监控与回归测试基线 |
六、实战路线图与工具准备
本课程后续章节将按“测量—分析—优化—验证”四步推进。建议学习者提前准备以下环境：
# 典型工具链准备
trace32 # 分区切换与中断跟踪
perf stat -e cache-misses,LLC-load-misses # 缓存争用观测
ftrace -p function_graph # 内核函数级延迟
cyclictest -p 80 -i 1000 -l 100000 # 调度抖动基线
示波器 + GPIO 打点 # 硬件级时间戳
请记住：静态分区的实时性优化不是一次性的配置工作，而是一个“测量—假设—验证”的闭环工程。本课程将带你从概念到代码，从工具到方法论，逐步把抖动从“不可控”变为“可预算、可收敛、可证明”。