[論文レビュー] Xronos: Predictable Coordination for Safety-Critical Distributed Embedded Systems

Soroush Bateni, Marten Lohstroh+7 more|arXiv (Cornell University)|Jul 19, 2022

Distributed systems and fault tolerance被引用数 5

ひとこと要約

Xronos は、安全で臨床的で分散型の埋め込みシステム向けの決定的でオープンソースのミドルウェアフレームワークであり、非決定的(pub-sub)の調整を LINGUA FRANCA に基づく時系列順の論理実行の意味論に置き換える。時間的仮定のもとで予測可能な動作を保証し、アプリケーション固有の故障ハンドラによって違反を検出する。多様なハードウェアプラットフォームで、ROS 2 や MQTT と同等のスループットを達成し、管理可能な遅延オーバーヘッドを実現する。

ABSTRACT

Asynchronous frameworks for distributed embedded systems, like ROS and MQTT, are increasingly used in safety-critical applications such as autonomous driving, where the cost of unintended behavior is high. The coordination mechanism between the components in these frameworks, however, gives rise to nondeterminism, where factors such as communication timing can lead to arbitrary ordering in the handling of messages. In this paper, we demonstrate the significance of this problem in an open-source full-stack autonomous driving software, Autoware.Auto 1.0, which relies on ROS 2. We give an alternative: Xronos, an open-source framework for distributed embedded systems that has a novel coordination strategy with predictable properties under clearly stated assumptions. If these assumptions are violated, Xronos provides for application-specific fault handlers to be invoked. We port Autoware.Auto to Xronos and show that it avoids the identified problems with manageable cost in end-to-end latency. Furthermore, we compare the maximum throughput of Xronos to ROS 2 and MQTT using microbenchmarks under different settings, including on three different hardware configurations, and find that it can match or exceed those frameworks in terms of throughput.

研究の動機と目的

• 自律走行車両のような安全で臨床的なシステムで予測不能な動作を引き起こす可能性がある、ROS 2 や MQTT のような広く使われている pub-sub フレームワークにおける非決定性を是正すること。
• 変動する通信遅延や時計のずれがあっても、決定的実行を保証する調整フレームワークを設計すること。
• 時間的仮定の違反を検出するメカニズムを提供し、仮定が破られた場合にアプリケーションレベルでの故障回復を可能にすること。
• 実際の埋め込みプラットフォーム上で、許容可能なパフォーマンスオーバーヘッドで決定的調整を達成できることを実証すること。
• ROS 2 へのシームレスな移行を可能にするために、最小限の再設計でフルスタックの自律走行システム（Autoware.Auto）を Xronos に移植すること。

提案手法

• Xronos は論理時刻を用いて、分散コンponents間での決定的実行順序を強制し、メッセージ処理が予測可能で再現可能であることを保証する。
• 物理時刻との統合により、センサーやアクチュエータとのリアルタイム相互作用を可能にしつつ、論理的決定性を維持する。
• 2 種類の調整メカニズムをサポートする：ネットワーク劣化時における可用性を重視する分散型コordinater と、遅延入力下での一貫性を重視する集中型コordinater。
• 安全な処理範囲内での準拠を監視することで故障検出を実現し、違反が検出されるとユーザー定義の故障ハンドラが起動する。
• 論理的接続と物理的接続の両方をサポートし、後者はマイクロベンチマークで最大 7 倍の高いスループットを達成する。
• 時間の第一級の市民としての特徴を持つ、同期言語、アクター、離散イベントシステムの特徴を統合した LINGUA FRANCA 協調言語を活用する。

実験結果

リサーチクエスチョン

• RQ1 ROS 2 の pub-sub ベースの調整モデルは、安全で臨床的な自律走行車両システムにおいて非決定的動作を引き起こす可能性があるか？
• RQ2 論理時刻に基づく調整は、パフォーマンスを犠牲にせずに、分散型埋め込みシステムにおける非決定性をどの程度低減できるか？
• RQ3 多様なハードウェアプラットフォームにおいて、Xronos は ROS 2 や MQTT と比較してスループットとエンド・ツー・エンド遅延の点でどのように差をつけるか？
• RQ4 故障検出とアプリケーションレベルの回復が、リアルタイム調整フレームワークに効果的に統合可能か？
• RQ5 Xronos における時 clocks 同期と故障検出メカニズムのパフォーマンスオーバーヘッドはどの程度か？

主な発見

• Xronos は、時 clocks 同期なしの分散モードで最大 10.14 Mbps のスループットを達成し、同期を有効にすると 7.54 Mbps に低下した。これは低いパフォーマンス影響を示している。
• スループットはフェデレート数とメッセージサイズにほぼ線形にスケーリングされ、予測可能でスケーラブルなパフォーマンスを示した。
• マイクロベンチマークにおいて、物理接続は論理接続の最大 7 倍の高いスループットを達成した。
• 時 clocks 同期は測定可能なが低いオーバーヘッドをもたらし、同期エラーは常に 10 マイクロ秒未満で安定していた。
• Autoware.Auto を Xronos に移植することで、従来検出できなかったタイミング障害が排除され、時間的仮定の違反が検出可能になった。
• 3 つのハードウェアプラットフォーム（PC、NVIDIA Jetson AGX Xavier、および異種の2ノード埋め込みシステム）において、Xronos は最大スループットで ROS 2 や MQTT を同等以上に上回った。