4. INTEGRITY任务管理与调度

INTEGRITY作为面向汽车安全关键系统的实时操作系统，其任务管理与调度机制直接决定了系统的实时性、确定性和安全性。在汽车电子控制单元（ECU）中，任务通常对应着不同的控制回路、诊断服务和安全监控功能，它们对响应时间的要求差异很大。理解INTEGRITY如何创建、调度和切换任务，是设计可靠汽车软件的基础。

4.1 任务创建与删除

在INTEGRITY中，任务通过系统调用CreateTask或静态配置表创建。每个任务拥有独立的地址空间（或共享空间，取决于配置），并绑定一个任务控制块（TCB）。创建任务时需要指定任务名称、优先级、入口函数、栈大小、时间片长度以及任务属性（如是否可抢占、是否允许浮点运算等）。

一个典型的任务创建配置如下所示：

TaskSpec task_spec = {
    .name = "EngineControl",
    .priority = 10,
    .entry = EngineControlEntry,
    .stack_size = 4096,
    .time_slice = 5,          /* 5个tick */
    .attributes = TASK_PREEMPTIBLE | TASK_FPU_ENABLE
};
CreateTask(&task_spec, &engine_task_id);

任务删除使用DeleteTask，但需注意：安全关键系统中通常不允许动态删除正在运行的任务，除非该任务已进入挂起或完成状态。删除前应确保该任务不持有任何互斥量或资源，否则会导致资源泄漏或死锁。在汽车ECU中，任务删除多用于模式切换（如从诊断模式退出）或故障恢复场景。

4.2 优先级抢占调度

INTEGRITY默认采用基于优先级的抢占式调度。每个任务被赋予一个优先级数值，数值越小优先级越高（或反之，取决于配置）。调度器始终选择就绪队列中优先级最高的任务运行。当更高优先级任务就绪时，当前任务立即被抢占，CPU控制权转移给高优先级任务。

在汽车实时任务设计中，优先级分配通常遵循速率单调调度（RMS）原则：周期越短、实时性要求越高的任务，优先级越高。例如，发动机控制任务周期为1ms，优先级设为10；车身控制任务周期为10ms，优先级设为20；诊断任务周期为100ms，优先级设为30。

4.3 时间片轮转调度

对于相同优先级的多个任务，INTEGRITY支持时间片轮转调度。每个任务被分配一个时间片（以tick为单位），当任务运行完其时间片后，若同优先级队列中还有其他就绪任务，则调度器将CPU分配给下一个任务。时间片轮转确保了同优先级任务之间的公平性，适用于周期性不强但需要共享CPU的任务组。

时间片长度的设置需要权衡：过短会导致频繁上下文切换，增加开销；过长则降低公平性。在汽车ECU中，典型时间片为1~10个tick，具体取决于CPU主频和任务负载。例如，若系统tick为1ms，时间片设为5，则每个任务最多连续运行5ms。

4.4 任务状态迁移

INTEGRITY任务在其生命周期中会经历多种状态：就绪（Ready）、运行（Running）、阻塞（Blocked）、挂起（Suspended）和终止（Terminated）。状态迁移由调度器、系统调用和外部事件共同驱动。

下图展示了任务状态迁移的完整关系：

状态迁移的关键点在于：任务从运行态进入阻塞态通常是因为等待信号量、消息队列或延时；从阻塞态回到就绪态则由事件到达或超时触发。挂起态与阻塞态的区别在于，挂起是显式调用Suspend导致的，任务不会因为事件到达而自动恢复，必须由Resume显式唤醒。

4.5 调度器配置

INTEGRITY的调度器配置通过ScheduleSpec结构体完成，主要参数包括：调度策略（抢占式/时间片轮转/混合）、tick周期、空闲任务优先级、以及是否启用优先级继承。在汽车ECU中，tick周期通常设为1ms或更短，以匹配控制回路的采样周期。

ScheduleSpec sched_spec = {
    .policy = SCHED_PREEMPTIVE | SCHED_ROUND_ROBIN,
    .tick_period_us = 1000,       /* 1ms */
    .idle_priority = 255,
    .priority_inherit = TRUE,
    .max_tasks = 32
};
ConfigureScheduler(&sched_spec);

配置完成后，需调用StartScheduler启动调度器。此时系统进入多任务运行环境，主函数不再返回。在安全关键系统中，建议启用调度器监控功能，检测任务是否超时或栈溢出。

4.6 汽车实时任务设计案例

以一个简化的发动机管理系统为例，系统包含以下任务：

任务名称	周期	优先级	时间片	功能描述
FuelInjection	1ms	10	1	燃油喷射控制
IgnitionControl	2ms	15	1	点火提前角计算
ThrottleControl	5ms	20	2	节气门位置闭环
Diagnostics	100ms	30	5	OBD诊断与故障码
Communication	10ms	25	3	CAN报文收发

该设计遵循RMS原则：周期越短，优先级越高。FuelInjection任务周期最短（1ms），优先级最高（10），确保燃油喷射的精确时序。Diagnostics任务周期最长（100ms），优先级最低（30），在系统空闲时运行。Communication任务周期10ms，优先级25，介于控制任务和诊断任务之间。

时间片设置方面，高优先级任务时间片设为1个tick（1ms），确保其能快速完成并释放CPU；低优先级任务时间片可适当放宽，减少上下文切换开销。所有任务均配置为可抢占，且启用优先级继承，防止优先级反转。

通过上述配置，INTEGRITY调度器能够以确定性的方式管理发动机管理系统中的多个实时任务，在满足安全关键要求的同时，保证各控制回路的实时响应。实际工程中还需结合WCET分析、中断延迟测量和调度器跟踪工具，对系统进行持续验证和优化。