1. INTEGRITY实时操作系统概述
在工业控制、航空电子、轨道交通、医疗设备等领域，系统一旦错过截止时间或产生不可预期的行为，后果往往不是"卡顿"而是安全事故。这类系统被称为高可靠实时系统：它不仅要"快"，更要在任何可预见的异常条件下仍然"对"。理解 INTEGRITY 实时操作系统，需要先厘清高可靠实时系统的判定标准，再理解 INTEGRITY 用什么体系结构去满足这些标准，最后看清它在哪些领域落地、开发流程如何组织。
一、什么是高可靠实时系统
实时系统的核心不是平均速度快，而是确定性——在给定输入和负载下，任务的最坏执行时间（WCET）和响应时间是可预测、可验证的。一个系统要同时满足三个维度，才称得上高可靠实时系统：
- 时间正确性：关键任务必须在截止时间前完成。例如飞控姿态解算周期 10 ms，抖动必须控制在微秒级，否则控制律失稳。
- 逻辑正确性：计算结果必须符合功能规范，且不因并发、中断、资源竞争而产生非预期状态。
- 故障可控性：单个软件模块或分区出错时，不能扩散为系统级失效，系统需按预定策略降级或隔离。
这三者共同决定了系统需要时间隔离与空间隔离。时间隔离保证一个分区的超时不会挤占其他分区的时间预算；空间隔离保证一个分区的越界写不会破坏其他分区的内存。传统单体内核把所有任务放在同一地址空间、共享同一调度器，一个指针错误就可能拖垮全系统，这正是高可靠场景难以接受的根本原因。
二、INTEGRITY的体系结构特点
INTEGRITY 采用分离内核（Separation Kernel）架构。内核本身极小，只负责最基础的调度、分区切换、地址空间管理和进程间通信（IPC）仲裁，其余服务（文件系统、网络协议栈、设备驱动）都运行在用户态的分区中。这种"小内核 + 分区"的结构带来几个关键特性：
- 分区隔离：每个分区拥有独立地址空间和独立时间窗口，由内核按静态配置的时间表轮转调度，分区之间只能通过受控的 IPC 通道通信。
- 静态资源配置：内存、CPU 时间、IPC 通道在系统构建时确定，运行期不可动态扩张，从而消除资源耗尽导致的不可预测性。
- 多核确定性调度：支持 ARINC 653 风格的时间分区调度，也可配置速率单调等实时策略，保证多核环境下的可分析性。
- 安全认证友好：内核代码量小、接口少，便于形式化验证与适航/安全认证（如 DO-178C、IEC 61508）。
下图给出 INTEGRITY 的典型体系结构：内核位于最底层，向上提供分区调度与 IPC；多个分区并行运行，各自承载不同安全等级的应用；分区内的任务由分区本地调度器管理，分区之间通过内核仲裁的消息通道交互。
从图中可以看到，分区之间没有直接的内存共享，所有跨分区数据都必须经过内核仲裁的 IPC 通道。这意味着即使分区 A 出现野指针写操作，也只能破坏自己的地址空间，分区 B 和 C 不受影响。健康监控分区可以独立检测其他分区的超时或异常，并按配置触发重启、降级或切换。
三、应用领域
INTEGRITY 的典型落地场景集中在"失效代价极高"的领域：
- 航空电子：综合模块化航电（IMA）中，多个安全等级不同的功能（飞控、显示、通信）需要共享同一硬件平台，ARINC 653 分区调度是标准做法。
- 轨道交通：列车控制系统要求 SIL4 等级，分区隔离用于把信号安全功能与非安全功能部署在同一控制器上。
- 工业与能源：核电仪控、电网保护装置需要长期无人值守运行，静态资源配置避免了运行期资源漂移。
- 医疗设备：输液泵、呼吸机等设备需要可验证的响应时间，小内核便于通过 IEC 62304 认证。
四、开发流程总览
INTEGRITY 的开发不是"写代码—编译—运行"的通用流程，而是围绕资源配置与分区划分展开的工程化过程。典型流程如下：
- 系统需求与安全分析：确定各功能的安全等级、周期、截止时间和故障处理策略，输出分区划分方案。
- 分区与任务设计：为每个分区分配 CPU 时间窗口、内存配额、IPC 通道，确定分区内任务的优先级与周期。
- 配置描述文件编写：用 INTEGRITY 的配置语言描述分区、任务、内存区域、IPC 端点、调度表。配置在构建时固化，运行期不可更改。
- 应用开发与集成：各分区应用独立开发，通过标准 IPC 接口通信，避免直接依赖其他分区的内部实现。
- 构建与镜像生成：配置与内核、应用一起编译链接，生成可加载的系统镜像。
- 验证与认证：进行时间分析（WCET 测量）、故障注入测试、分区隔离验证，形成认证证据包。
以一个简化的飞控示例说明配置思路：假设三个分区 A、B、C 的周期分别为 10 ms、20 ms、50 ms，主时间帧设为 50 ms。在一个主帧内，A 需要执行 5 次、B 执行 2 次、C 执行 1 次。配置时需要为每个分区分配不重叠的时间窗口，例如 A 占 0–2 ms、10–12 ms、20–22 ms、30–32 ms、40–42 ms，B 占 2–5 ms、22–25 ms，C 占 5–8 ms，剩余时间留给内核与空闲。这样每个分区的执行时刻是确定的，最坏响应时间可以逐窗口累加计算。