[论文解读] Xronos: Predictable Coordination for Safety-Critical Distributed Embedded Systems

Soroush Bateni, Marten Lohstroh+7 more|arXiv (Cornell University)|Jul 19, 2022

Distributed systems and fault tolerance被引用 5

一句话总结

Xronos 是一种确定性、开源的中间件框架，专为安全关键型分布式嵌入式系统设计，通过基于 LINGUA FRANCA 的时间有序、逻辑执行语义，取代非确定性的发布-订阅协调机制。它在满足时序假设的前提下确保可预测的行为，通过应用特定的故障处理程序检测违规行为，并在多种硬件平台上实现了与 ROS 2 和 MQTT 相当的吞吐量，同时保持可管理的延迟开销。

ABSTRACT

Asynchronous frameworks for distributed embedded systems, like ROS and MQTT, are increasingly used in safety-critical applications such as autonomous driving, where the cost of unintended behavior is high. The coordination mechanism between the components in these frameworks, however, gives rise to nondeterminism, where factors such as communication timing can lead to arbitrary ordering in the handling of messages. In this paper, we demonstrate the significance of this problem in an open-source full-stack autonomous driving software, Autoware.Auto 1.0, which relies on ROS 2. We give an alternative: Xronos, an open-source framework for distributed embedded systems that has a novel coordination strategy with predictable properties under clearly stated assumptions. If these assumptions are violated, Xronos provides for application-specific fault handlers to be invoked. We port Autoware.Auto to Xronos and show that it avoids the identified problems with manageable cost in end-to-end latency. Furthermore, we compare the maximum throughput of Xronos to ROS 2 and MQTT using microbenchmarks under different settings, including on three different hardware configurations, and find that it can match or exceed those frameworks in terms of throughput.

研究动机与目标

• 为解决广泛使用的发布-订阅框架（如 ROS 2 和 MQTT）中存在的非确定性问题，这些问题可能导致自动驾驶等安全关键系统出现不可预测的行为。
• 设计一种协调框架，即使在通信延迟波动和时钟漂移的情况下，也能保证确定性执行。
• 提供机制以检测时序违规，并在假设被违反时启用应用层故障处理。
• 证明在真实嵌入式平台上，可通过可接受的性能开销实现确定性协调。
• 通过将完整的自动驾驶系统（Autoware.Auto）迁移到 Xronos，实现从 ROS 2 的无缝迁移，且重构工作量极小。

提出的方法

• Xronos 使用逻辑时间强制分布式组件之间的确定性执行顺序，确保消息处理过程可预测且可重复。
• 通过时钟同步与物理时间集成，实现实时与传感器和执行器的交互，同时保持逻辑上的确定性。
• 该框架支持两种协调机制：一种是去中心化协调器，强调在网络退化情况下的可用性；另一种是集中式协调器，强调在输入延迟情况下的强一致性。
• 通过监控是否遵守安全处理边界来实现故障检测；违规行为将触发用户定义的故障处理程序。
• Xronos 同时支持逻辑连接和物理连接，后者在微基准测试中可实现高达 7 倍的吞吐量提升。
• 它利用 LINGUA FRANCA 协调语言，该语言融合了同步语言、角色模型和离散事件系统的特点，将时间作为一等公民。

实验结果

研究问题

• RQ1 基于发布-订阅的协调模型在 ROS 2 中是否会导致安全关键型自动驾驶系统出现非确定性行为？
• RQ2 基于逻辑时间的协调在不牺牲性能的前提下，能在多大程度上减少分布式嵌入式系统中的非确定性？
• RQ3 在多种硬件平台上，Xronos 与 ROS 2 和 MQTT 在吞吐量和端到端延迟方面相比如何？
• RQ4 是否可以有效地将故障检测和应用级恢复机制集成到实时协调框架中？
• RQ5 Xronos 中时钟同步和故障检测机制的性能开销是多少？

主要发现

• 在无时钟同步的去中心化模式下，Xronos 实现了最高 10.14 Mbps 的吞吐量，启用同步后下降至 7.54 Mbps，表明性能影响极低。
• 吞吐量随联邦数和消息大小的增加而近似线性增长，表明性能具有可预测性和可扩展性。
• 在微基准测试中，Xronos 的物理连接吞吐量最高可达逻辑连接的 7 倍。
• 时钟同步引入了可测量但较低的开销，同步误差始终低于 10 微秒。
• 将 Autoware.Auto 成功迁移到 Xronos 后，此前无法检测的时序故障被消除，并实现了对时序假设违反行为的有效检测。
• 在三种硬件平台（PC、NVIDIA Jetson AGX Xavier 和异构双节点嵌入式系统）上，Xronos 的最大吞吐量与 ROS 2 和 MQTT 相当或更优。