1. 课程导入与INTEGRITY系统全景

在航电、轨交、工业控制与车载等高安全领域，软件系统往往同时承担着飞行控制、显示告警、任务计算、数据记录等多类功能。这些功能的安全等级、实时性要求和故障后果差异极大，如果全部运行在同一个地址空间中，任何一处指针越界或任务跑飞都可能引发连锁失效。INTEGRITY实时操作系统正是为解决这一矛盾而设计的：它以分区隔离为核心，把不同安全等级、不同供应商、不同更新节奏的软件隔离开来，再通过受控的通信栈让它们安全地交换数据。本课程围绕INTEGRITY的通信栈与网络系统工程展开，本章先建立系统全景，明确后续30章要解决的具体工程问题。

一、INTEGRITY的安全架构定位

INTEGRITY属于分离内核（Separation Kernel）型实时操作系统，其设计目标可概括为三点：空间隔离、时间隔离、受控通信。空间隔离保证一个分区的代码与数据不能被其他分区读写；时间隔离保证每个分区按预分配的CPU时间窗运行，不会因某个分区死循环而饿死其他分区；受控通信则规定分区之间只能通过内核提供的通道（Channel）或共享内存区传递数据，且每次访问都经过权限检查。

从软件层次看，INTEGRITY系统自下而上大致分为：硬件与BSP层、分离内核层、分区操作系统层（POS/ARINC 653等）、中间件与通信栈层、应用分区层。通信栈位于中间件层，向上为应用分区提供套接字、消息队列、ARINC 653端口等接口，向下通过内核驱动访问以太网、AFDX、CAN、ARINC 429等物理网络。理解这一层次关系，是后续配置通信参数、排查丢包与延迟问题的前提。

二、分区隔离机制的关键概念

INTEGRITY中，一个分区（Partition）是资源分配与隔离的基本单位，拥有独立的虚拟地址空间、独立的堆栈和独立的执行时间预算。多个分区组成一个虚拟处理器（Virtual Processor），由内核调度器按主时间框架（Major Time Frame, MTF）循环调度。例如一个典型的MTF可设为100 ms，其中分区A占20 ms、分区B占30 ms、分区C占50 ms，每个分区在自己的时间窗内运行，窗口结束即被强制切换。

分区之间的通信必须显式建立。INTEGRITY提供两类主要机制：Channel用于同一处理器内分区间的消息传递，支持同步与异步语义；共享内存区（Memory Region）用于大数据量交换，但需要配合信号量或端口实现同步。跨处理器的通信则通过通信栈封装为网络报文，由以太网或AFDX承载。这里有一个工程上极易出错的点：共享内存区的读写权限、大小和对齐方式必须在配置阶段精确声明，运行时无法动态扩展。

三、通信栈在航电与嵌入式网络中的位置

通信栈是分区与网络之间的“翻译层与守门人”。以航电场景为例，一个典型的INTEGRITY节点上可能同时运行：飞行控制分区（DAL A）、显示分区（DAL B）、维护记录分区（DAL D）。飞行控制分区需要以固定周期向AFDX网络发送舵面指令，显示分区需要从AFDX接收姿态数据，维护分区则通过以太网把日志传到地面站。这三类流量在安全等级、周期、报文大小上完全不同，通信栈必须为它们分别建立独立的虚拟链路（VL）或套接字，并保证高优先级流量不被低优先级流量阻塞。

从数据流角度看，一次跨分区通信通常经历：应用调用发送接口 → 通信栈封装协议头 → 内核驱动将报文放入发送队列 → 网卡按调度策略发出 → 对端网卡接收 → 对端内核驱动上交 → 对端通信栈解封装 → 对端应用分区读取。这条链路上任何一环的缓冲区不足、优先级反转或时间窗错配，都会表现为丢包、抖动或超时。后续章节将逐环展开。

四、课程目标与工程实践路线

本课程不满足于概念介绍，而是以“能配置、能测量、能排障”为目标。学完30章后，读者应能独立完成以下任务：根据系统安全需求划分分区并分配时间窗；为不同流量类型选择合适的通信机制（Channel、共享内存、ARINC 653端口、UDP套接字）；配置AFDX虚拟链路与带宽参数；使用INTEGRITY提供的工具观察分区调度与通信统计；定位丢包、延迟抖动、优先级反转等典型问题。

实践路线按“先隔离、后通信、再优化”推进。第一阶段聚焦分区配置与时间窗验证，确保隔离机制正确工作；第二阶段进入通信栈配置，从单节点内分区通信扩展到跨节点网络通信；第三阶段处理性能与故障场景，包括带宽饱和、缓冲区溢出、网络分区恢复等。每一阶段都配有可观察的指标和判断依据，例如分区执行时间偏差、端到端延迟分布、丢包计数等。

五、一个可参考的初始配置示例

下面给出一个教学用的简化配置片段，用于说明分区与通信资源如何在配置文件中声明。该示例为合理假设，并非来自某型飞机的实际配置。

/* 分区时间窗配置示例（教学用） */
MajorFrame = 100ms;

Partition FlightCtrl {
    Duration = 20ms;
    Offset   = 0ms;
    DAL      = A;
}

Partition Display {
    Duration = 30ms;
    Offset   = 20ms;
    DAL      = B;
}

Partition Maintenance {
    Duration = 50ms;
    Offset   = 50ms;
    DAL      = D;
}

/* 分区间通信通道示例 */
Channel FlightCtrl_to_Display {
    Source      = FlightCtrl;
    Destination = Display;
    Mode        = Sampling;
    MaxMessage  = 256 bytes;
    Period      = 20ms;
}

配置完成后，可通过内核统计接口读取每个分区的实际执行时间与通道消息计数。若FlightCtrl分区的实际执行时间接近20 ms上限，说明时间窗余量不足，需要优化代码或调整MTF；若通道消息计数持续低于预期，则需检查发送周期与接收端读取频率是否匹配。这些判断方法将在后续章节结合具体工具展开。