在傳統(tǒng)的嵌入式實(shí)時(shí)操作系統(tǒng)中，內(nèi)核和應(yīng)用都運(yùn)行在同一特權(quán)級(jí)，應(yīng)用程序可以無(wú)限制的訪問(wèn)整個(gè)系統(tǒng)地址空間。因此在某些情況下，應(yīng)用的潛在危險(xiǎn)動(dòng)作會(huì)影響其他應(yīng)用和內(nèi)核的正常運(yùn)行，甚至導(dǎo)致系統(tǒng)崩潰或者誤操作。
　　為了滿足航空電子對(duì)高可靠性、高可用性以及高服務(wù)性的要求， 1997年1月ARINC發(fā)布了ARINC653（航空電子應(yīng)用軟件標(biāo)準(zhǔn)接口），并于2003年7月發(fā)布ARINC653 Supplement 1，對(duì)區(qū)間管理、區(qū)間通信及健康監(jiān)測(cè)部分進(jìn)行了補(bǔ)充說(shuō)明，用以規(guī)范航空電子設(shè)備和系統(tǒng)的開(kāi)發(fā)。
　　隨即，國(guó)外各大嵌入式開(kāi)發(fā)商相繼推出此類支持ARINC653，具有內(nèi)核和應(yīng)用保護(hù)機(jī)制的操作系統(tǒng)。但在國(guó)內(nèi)的嵌入式領(lǐng)域，這樣的研究還有一定差距?；诖?，本文提出了一種航空電子嵌入式實(shí)時(shí)操作系統(tǒng)（A-RTOS，Avionics RTOS）的一種設(shè)計(jì)思路，并在具有MMU和支持高級(jí)保護(hù)模式的目標(biāo)板上完成了實(shí)現(xiàn)。
　　航空電子標(biāo)準(zhǔn)ARINC653
　　ARINC653主要闡述了模塊化綜合航空電子設(shè)備IMA（Integrated Modular Avionics）使用的應(yīng)用軟件的基線操作環(huán)境。它定義了航空應(yīng)用與下層操作環(huán)境之間的接口和數(shù)據(jù)交換的模式以及服務(wù)的行為，并描述了嵌入式航空電子軟件的運(yùn)行時(shí)環(huán)境
　　ARINC653 Supplement 1對(duì)ARINC653的補(bǔ)充主要包括以下幾點(diǎn)：在系統(tǒng)結(jié)構(gòu)上，提出了System Partition的概念，明確區(qū)間上的應(yīng)用調(diào)度應(yīng)該是區(qū)間級(jí)別的，這些應(yīng)用共享區(qū)間資源;區(qū)間管理方面，闡述區(qū)間調(diào)度中主時(shí)間框架的定義原則，并補(bǔ)充了區(qū)間模式的變遷過(guò)程;對(duì)區(qū)間間通信的原則進(jìn)行更為詳盡的說(shuō)明;增加關(guān)于健康監(jiān)測(cè)的錯(cuò)誤級(jí)別和錯(cuò)誤處理的解釋。
　　軟件構(gòu)成
　　航空電子中的核心模塊軟件包括兩類：應(yīng)用軟件和核心軟件。位于應(yīng)用軟件和操作系統(tǒng)OS之間的APEX（APplication EXecutive）接口，定義了系統(tǒng)為應(yīng)用軟件提供的一個(gè)功能集合。利用這個(gè)功能集合，應(yīng)用軟件可以控制系統(tǒng)的調(diào)度，通信和內(nèi)部狀態(tài)信息。APEX接口相當(dāng)于為應(yīng)用提供的一種高層語(yǔ)言。而對(duì)于OS來(lái)說(shuō)，是關(guān)于參數(shù)和入口機(jī)制的定義。
　　圖1給出了ARINC653中各部分之間的關(guān)系。
　　
　　圖1 核心模塊軟件結(jié)構(gòu)
　　分區(qū)和區(qū)間管理
　　分區(qū)（Partitioning）是ARINC653中一個(gè)核心概念。在IMA（Integrated Modular Avionics）系統(tǒng)中，一個(gè)核心模塊會(huì)包含一個(gè)或多個(gè)航空電子應(yīng)用，并且這些應(yīng)用要能夠獨(dú)立運(yùn)行。分區(qū)就是航空電子應(yīng)用中的一個(gè)功能劃分。分區(qū)的單位稱為區(qū)間，區(qū)間內(nèi)的每一個(gè)執(zhí)行單元稱為進(jìn)程。每一個(gè)區(qū)間具有自己獨(dú)立的數(shù)據(jù)、上下文和運(yùn)行環(huán)境，這樣做的好處是能夠防止一個(gè)區(qū)間的錯(cuò)誤影響到其他區(qū)間。另外，它能使得整個(gè)系統(tǒng)容易驗(yàn)證、確認(rèn)和認(rèn)證。
　　區(qū)間化以及區(qū)間的管理和調(diào)度是由OS來(lái)實(shí)現(xiàn)的。ARINC653為區(qū)間的調(diào)度規(guī)定了一種基于時(shí)間窗的循環(huán)調(diào)度算法。這種調(diào)度算法的原理如圖2所示。
　　
　　圖2 基于時(shí)間窗的循環(huán)調(diào)度算法原理
　　為了完成各區(qū)間的周期性調(diào)度，由OS維護(hù)一個(gè)固定時(shí)間長(zhǎng)度的主時(shí)間框架，該時(shí)間框架在模塊的運(yùn)行期內(nèi)周期性的重復(fù)。每個(gè)時(shí)間框架可以劃分為若干個(gè)時(shí)間窗口。系統(tǒng)利用一個(gè)事先確定的配置表，在規(guī)定的時(shí)間窗口內(nèi)激活對(duì)應(yīng)區(qū)間的運(yùn)行。這樣就能夠保證每個(gè)應(yīng)用在分配給它的時(shí)間周期內(nèi)訪問(wèn)公共資源不被打斷。
　　ARINC supplement 1對(duì)主時(shí)間框架的時(shí)間定義原則進(jìn)行了補(bǔ)充。它規(guī)定主時(shí)間框架的大小應(yīng)該是核心模塊中所有區(qū)間周期的最小公倍數(shù)的正整數(shù)倍，并應(yīng)考慮到每個(gè)區(qū)間每次執(zhí)行的時(shí)間長(zhǎng)度和執(zhí)行頻率。
　　在ARINC653 Supplement 1發(fā)布時(shí)又增加了系統(tǒng)區(qū)間屬性和啟動(dòng)條件屬性。區(qū)間的工作模式包括空閑，冷啟動(dòng)，熱啟動(dòng)和正常四種，如圖3所示。每個(gè)區(qū)間所需資源在系統(tǒng)構(gòu)建時(shí)指定，在區(qū)間初始化完成時(shí)區(qū)間對(duì)象創(chuàng)建。OS在進(jìn)入運(yùn)行模式時(shí)啟動(dòng)應(yīng)用區(qū)間，然后區(qū)間進(jìn)入正常運(yùn)行模式。監(jiān)測(cè)管理功能在響應(yīng)致命錯(cuò)誤時(shí)將重啟區(qū)間或者停止區(qū)間的運(yùn)行。