关于嵌入式系统的可靠性设计

嵌入式应用系统是一个有计算机内核，软、硬件整合的智能化电子系统。与传统的激励响应型电子系统的本质差异，是它的智力嵌入，从而形成嵌入式应用系统全新的可靠性设计观念、方法与技术。这些全新的可靠性设计观念是：从二值可靠性到多值可靠性、建立系统的可靠性设计模型、确定系统的可靠性设计等级、应用系统的本质可靠性设计与可靠性控制设计。支持可靠性设计观念的基础是LSIC支持下硬件结构的超常可靠性、会出错的软件体系、智力内核的可靠性控制。
, }; X$ H$ b2 n* h; _
, E3 K3 T9 t  G5 h1 创建可靠性设计新观念  z& }: t- H  O" Y# v
+ H8 ^" Y4 L: b0 q9 |* Y3 r7 I
1.1 嵌入式应用系统可靠性设计背景) r: g5 K% P( h  l; w1 A9 ]

( q9 z3 S9 r- E9 d9 W7 Z嵌入式应用系统可靠性设计背景是集成电路的超长寿命、计算机软件介入与计算机内核的可靠性控制能力。
0 Q3 I' t* i+ g* @2 \+ J& D- P( [
) T  N$ W9 r1 i- m2 Z2 b* ]9 s% k0 C① 集成电路的超长寿命。经历半个世纪的发展，集成电路从电路集成、功能集成、技术集成到知识集成。依靠顶级电子学专家的可靠性设计，大规模集成电路的可靠性迅速增长。与电子产品的更新周期相比，集成电路具有超长寿命与超常可靠性，器件失效周期远大于产品的更新周期。! V0 t% Y) v: F1 G9 B
$ q" S" U9 Y/ C' h, K4 o
② 计算机软件介入。与传统电子系统相比，嵌入式应用系统有软件介入，系统在软件介入下运行。因而系统的可靠性基础是软件的可靠性。软件的可靠性决定了嵌入式应用系统的可靠性特征。* y: ^+ G+ h% A
# h( e- s/ p. H! C  R  T( @& `
③ 计算机内核的智能化管理能力。嵌入式应用系统的计算机内核，决定了嵌入式应用系统是一个智能化系统。这个智能化的计算机内核可以实现可靠性的主动控制，如噪声失敏、动态冗余、出错控制、容错管理和系统测试等。
! o. }, v5 @; x, q* e5 O* d
' Q& J% B7 M2 P5 h+ V1.2 嵌入式应用系统可靠性设计的新观念
( h- _( g5 S1 H7 j* P1 h* ~, Z, e) V- k$ R2 e; D
嵌入式应用系统可靠性设计的新观念是多值可靠性、可靠性等级、可靠性模型与可靠性控制。
2 H3 r3 b8 a4 u) [. B  Z
0 |9 o4 A( c7 i( A, O# D(1) 多值可靠性
+ Q! y! L) c9 e/ r& M
* G0 T) z* S$ r) Y传统电子系统是二值可靠性系统，是一个非好即坏的电子系统。嵌入式应用系统则经常表现为不好不坏，是一个多值可靠性的电子系统，这是由软件不断出错引发出系统的不可靠性。当软件运行出错时系统无法正常工作，软件运行恢复正常时系统恢复正常运行，这是介于“好”、“坏”之间的多值可靠性。这种多值可靠性可以用出错概率的统计方法来界定系统的可靠性品质。, M( H, I/ p5 q; @6 {

- D) W) n/ Y9 y& I) Q硬件系统的超长寿命、超常可靠性的器件保证，使软件“出错”成为系统可靠性的主要因素。
' Z4 \8 w- U) S9 L( O5 R
$ E' `1 G  b* S6 E3 C. K" v% C(2) 可靠性等级
4 G: H8 z& O) r2 K, [( J) ?) T+ {
. _  ^- r3 [8 M: c: y; `6 u  |. L在嵌入式应用系统中客观存在一个可靠性等级要求。相似的功能要求、相似的软硬件，在不同的运行环境下，会有不同的可靠性设计要求。例如，运载火箭中星箭分离的爆炸螺栓控制系统，由于是空间应用环境、无人监管、强烈的机械振动条件、出错后果严重，可靠性等级要求极高;对比实验室应用环境中的万用表，可靠性等级要求很低。
# |8 c" H2 L7 a% O9 ~
. c1 P+ s7 L9 d) n1 `" P建立应用系统设计的可靠性等级概念，有助于在系统设计的论证阶段，对系统可靠性设计的技术投入做到心中有底，在确保系统可靠的前提下有最佳的技术投入。

(3) 可靠性模型
9 k0 O+ Z% I1 H7 v8 a4 |2 H( r. o+ I/ @; h( `8 n5 t2 Z
传统电子系统是一个激励响应型电子系统，嵌入式应用系统则是一个软件基础上的激励处理响应型智能化电子系统。从而建立起嵌入式系统激励输入、信息处理、响应输出三元素的可靠性模型，在可靠性模型基础上可以建立系统可靠性设计的一些原则与方法。% s' U# d1 Q3 G0 c- t

: A0 N8 K& m8 [# v2 c(4) 可靠性控制
& ~4 t% {: V/ `- E6 _0 K- ~' l1 m( A
1 m/ a/ I# X; T2 Z5 O& K嵌入式应用系统是一个有计算机内核的智能化电子系统。计算机内核的存在决定了系统具有可靠性控制能力。因此，嵌入式应用系统中，基于系统智能化特征的可靠性控制设计、功耗管理的最小功耗系统设计应与功能性设计并列为嵌入式应用系统的三大常规设计内容。
8 f' X! {9 C9 u! y
7 G, f. Q. V* u( A9 k1 \7 {2 *定系统的可靠性等级0 o0 V5 M2 _7 \  n4 G6 a
9 y3 b- S; E4 W
2.1 *定可靠性等级的重要性1 N; U$ q$ {' |7 F2 {" B" U" y

) R* Y4 b2 M7 X在测试技术领域的数据采集系统中，首先有一个数据采集精度要求。如果没有数据采集精度指标，数据采集系统的研发工作便无法启动。任何一个嵌入式应用系统都工作在一个特定环境中，如果不了解特定环境对系统运行影响的可能后果，应用系统的研发工作便陷入盲目性。8 I2 C4 T+ w- s: P* X/ y, U& O
, Y, O6 V6 ~2 |3 v
一个合格的嵌入式应用系统，应该在实际应用环境中可靠地工作。研发环境与实际运行环境的巨大差异，是可靠性设计的出发点;可靠性等级*定应该是应用系统研发前期，甚至项目立项时必不可少的一项任务。如果前期缺乏应有的重视，导致可靠性设计投入欠缺，会使后续嵌入式应用系统的研发工作陷入无止境的软、硬件修补工作之中。许多事例证明，在项目收尾工作中陷入可靠性问题者居大多数。% Y3 K0 G0 U# c) `/ J1 Q

% W5 X* P( `' n7 |# e# ~8 }+ U2.2 可靠性等级*定方法, _" k6 i3 b* f

6 `- U( e: P: E# ?+ P7 R研发环境与实际运行环境的巨大差异也是可靠性等级*定的出发点，实际运行环境的因子化是可靠性等级*定的基本方法。与准确的精度概念相比，可靠性等级是一个模糊量。6 k0 e7 v! ?, H  n2 d( _; W5 `: ]
确定系统可靠性等级的方法是：确定可靠性*定因子、可靠性因子的顺序量化、统计出系统的可靠性等级。
+ \6 ?$ D- v1 h3 T. c% A2 k7 s0 G$ Y( W; ]5 y3 P2 J! c9 |/ O* G
充分考虑到实际运行环境下，所有影响系统可靠性的因素，将这些因素确定为可靠性*定因子。为了保证不同的应用系统之间有可比性，应建立相对统一的标准，并将它作为本单位的可靠性等级*定标准。3 \( N4 B1 B+ ~
8 K' y. H# ?5 j% V# @
(1) 可靠性*定因子
' b! `" E& e0 Q
! W4 Z* J' {% j1 X- Z# u最常用的可靠性*定因子有环境因子、人机耦合因子、系统集成因子、知识平台因子和安全性因子。
; ?. _8 W; J8 O' s" x2 M8 {' D% c* g0 I
“环境因子”是指系统运行环境对可靠性的影响因素，如电气环境、机械环境、气氛环境。电气环境中的电磁兼容性、机械环境中的抗震性、气氛环境中的抗盐雾、抗粉尘、防潮等。+ `0 u9 G$ Z/ H0 }1 k( P
“人机耦合因子”是指系统运行时有无操作者介入，或操作者的可介入深度。操作者的可介入度大，有利于发现系统早期的出错征兆，并实施可靠性介入。
. Q* B! t: h( f4 f  q% e8 ?4 S' N- d2 J5 z
“系统集成因子”是指应用系统的最大芯片集成度。考虑到当前集成电路的超长可靠性，系统集成度越大，可靠性越高。
  p+ x: ^# k- l2 ~0 [$ k: \( ~/ D/ L6 l, r( P! ^& h' H' H$ A
“基础平台因子”是指应用系统研发时，基础平台占据的比例。基础平台包括半导体厂家提供的厂家平台、企业内部的产品平台、应用平台，这些平台都经历过实践考验。显然，基础平台占据的比例越大，可靠性越高。& y. c8 X) m, k

  T  ~+ \6 y( J" G0 ?9 E“安全性因子”是指系统出错时产生威胁安全的因素。通用计算机死机后不会出现重大安全问题;自动生产线上机器人出现失控后会产生破坏因素;宇宙火箭星箭分离控制机构出现故障后会造成极其严重的后果。
/ N* d& k1 |. B4 w2 T( N5 w  a0 s) _
我们还可以列出一些可靠性因子。
3 A) ]) x* q4 i" Q% w% R
, G) D4 H) `7 {, F  e8 |; y(2) 可靠性因子的顺序量化
  T) w. V" T3 E/ @- I( ]% O" n, k3 h! a0 u" u, w( C$ h3 M% c% l
将所有可靠性因子，按照对系统可靠性设计要求的程度高低，统一量化成“上、中上、中、中下、下”5级，或“上、中、下”3级的标准级别。把这些量化标准的内容具体化，形成量化等级表，作为企业的标准，以界定不同应用系统可靠性设计要求的相对难易程度。
' j8 i. R8 g$ N5 J; f0 e5 Z  U$ T6 J6 n& i- n: E
(3) 用量化积分确定可靠性等级
% _! |3 ~0 A) `) x+ A- H4 M
, _6 {# B$ S/ n) }制定好可靠性因子的顺序量化标准后，确定一个具体应用系统的可靠性等级时，只需将应用系统具体运行环境、运行条件，在可靠性因子的量化等级表中对号入座，将量化值相加后得出系统的可靠性等级。例如，5个可靠性因子，按5个等级划分时，可靠性等级(要求)最高者为25级，最低者为5级。+ q' P9 F/ M: E( s8 c  O4 d1 ?
2 F3 C8 Z% F% c6 A$ R+ J, g  o
3 建立系统可靠性设计模型/ P! ^* F9 j9 c2 T# C5 {! d1 T

$ F" z! R& u* J, \( \: f3 b% A3.1 软件介入下的激励响应系统
( @( T6 N2 b5 Q, W; |9 k% d* X: o0 j* w" ^  n2 k5 D/ c# A% `
传统的电子系统是实时的激励响应系统，嵌入式应用系统则是一个软件广泛介入下的激励响应系统。由于软件的介入，在激励响应进程中增加了软件运行时间，造成了嵌入式应用系统的两个新问题，即实时性与软件可靠性问题。
0 l4 v" d( M- B( J8 a6 H. b2 x- z
由于软件介入，一方面出现软件可靠性问题，另一方面为系统增加了可靠性的控制技术，即利用软件技术来提高系统的可靠性。7 c9 G" x3 r8 j% T

0 j& {% H* J" v" s3.2 嵌入式应用系统的可靠性模型2 L  m9 h7 l7 A0 v

/ c. c2 O9 t- a: F8 B. c* |. g与传统的电子的激励响应系统相比，嵌入式应用系统在软件介入下，增加了一个在激励响应中的时空过程。激励端、过程空间、响应端，构成了嵌入式应用系统的可靠性模型。如图1所示。
( x6 m* m& c/ H$ ?" _0 w