eVTOL逃不过的多核处理器认证问题

枯竭的单核

目前推动航空业从单核转向的主要催化剂是缺乏单核供给。TASKING是一家提供嵌入式软件开发工具的公司，支持航空航天和其他安全关键行业的多核系统。航空业使用的传统处理器正在被淘汰，几乎所有新一代的处理器都是多核的。

DDC-I是一家帮助客户设计、开发和部署利用多核处理器的关键航空电子系统公司。当然，供应不足以及所有处理器技术进步对于进入多核处理器都有影响，但航空电子行业长期以来一直认为多核是一种提高处理性能、降低系统封装瓦数和成本的有吸引力方法。除了航空业早期多核采用者的开拓性之外，最近加速的多核采用在一定程度上是由于行业认识到工具和软件功能可以大大简化和降低多核处理的复杂性。这些软件功能通常也会大大提高实时系统性能，从而使多核处理更具吸引力。

推动人们远离单核处理器的不仅仅是供应问题，还有淘汰问题。大量的航空电子功能和多功能系统，包括图形系统，仍然可以在单核处理器上有效运行。然而，硅供应商逐步淘汰此类架构意味着多核设计现在是唯一可持续的前进道路。与此同时，多核架构为增强现有航空电子功能和扩展能力以实现更大的自主性提供了宝贵的机会。先进的飞行控制、自主性和传感器融合工作负载远远超过了单个核心的支持能力。

现实检验多核

如今，多核处理器为任务计算机、飞行控制系统和用于自主驾驶和高级驾驶舱功能的高性能计算节点提供动力。硬件和软件功能已经成熟，并在不断完善。基本上航空电子设备的各个方面都在向多核发展，以便能够整合功能和/或增加功能。

事实上，多核处理器在民用和国防飞机系统中已经无处不在，但其中大多数只有一个活动核。这是因为每个处理器只使用一个内核，避免了EASA（AMC 20-193）和FAA（AC 20-193）的多核认证过程。多核认证是一个昂贵、复杂、耗时的过程，通过采用多核芯片并禁用除一个内核外的所有内核，它的行为与传统的单核处理器完全相同。由于不需要担心内部交通堵塞，安全认证过程变得更加容易和便宜。

从工程的角度来看，将多核处理器“简化”为单核处理器似乎是浪费。然而在单核应用程序中使用多核处理器可能具有强大的优势。一旦安装在飞机上，如果需要多核处理器可以在未来提供扩展的处理能力。在某些情况下，客户只需要修改处理器初始化和配置RTOS的多核调度器，然后就可以使用了。甚至不需要在将目标从单核处理转换为多核处理时重新编译应用程序。这是一个巨大的优势。

多核证明

除了在起飞和降落期间，计算机驾驶现代飞机。因此，飞机传感器、发动机管理系统和飞行控制都依赖于实时操作系统（RTOS），在RTOS中，计算机的计时与其数学精度同样重要。如果自动驾驶系统计算出飞行控制面的正确调整，但为时已晚，那么结果可能是灾难性的。

多核处理器

这就是为什么像美国联邦航空管理局和欧洲航空安全局这样的监管机构要求所有机载计算机具有确定性——保证系统在严格规定的时间限制内始终如一地完成任务。航空电子工程师必须从数学上保证，即使在绝对最重的处理负载下，关键的计算机应用程序也会始终按时完成。该指标被称为最坏情况执行时间（WCET），机载计算机必须在该时间内或更好地运行。

对于传统的单核处理器，证明确定性很容易。这是因为单个内核有一条通往处理器内存和数据总线的无竞争的单行道。由于它们共享内存总线（道路），多核处理器可能会遭遇交通堵塞。当核A（运行关键飞行控制任务）和核B（运行非关键图形显示任务）试图在完全相同的微秒内访问共享内存总线时，就会出现流量瓶颈。核B必须等待核A的信号进入道路。这种等待时间被称为“干扰”。

由于干扰会造成不可预测的延迟，美国联邦航空管理局和欧洲航空安全局不能简单地假设多核芯片的行为是可预测的。这就是为什么存在AC 20-193和AMC 20-193认证流程，以向监管机构证明，同时运行两个或多个内核的特定多核处理器不会出现可能危及关键航空电子应用的延迟。

传统上多核认证的最大障碍被视为‘解决多核干扰。然而，这很容易忽视一个不太明显但同样困难的挑战，即以适航监管机构能够理解和信任的方式呈现一些非常复杂的分析结果。这样做需要获得关于处理器的足够详细文件以方便分析，而此时不同的适航监管机构在实现目标的可接受方式上存在分歧。

在认证机载多核处理器时，证明确定性和减轻干扰的最大障碍是“了解谁拥有问题的哪一部分。AMC 20-193和其美国联邦航空局对应的AC 20-193制定了明确的目标：识别你的干扰信道，减轻它们，并通过测量证明你的缓解措施是有效的。然而缺不规定如何做到这一点，这种灵活性是好的，但这意味着每个项目都需要找出自己的方法，这就是团队陷入困境的地方。

整个行业正在通过共同责任和更好的合作伙伴关系来克服这一挑战。Microchip和PolarFire等硅供应商正在将硬件级缓解措施（即TCM、内核本地存储器）直接构建到处理器中。DDC-i和SYSGO等RTOS供应商在平台级提供时间和空间分区。TASKING及其LDRA工具套件等工具供应商提供测量和分析，以验证从WCET分析、跨内核的数据和控制耦合，到可追溯到需求的所有工作。

单核走向终结？

鉴于航空电子设备向多核处理器的迁移，传统的单核处理器是否正式进入死亡观察期？这个问题很难回答。

单核处理器并没有完全消失，但它们越来越局限于狭窄、低复杂性的角色——通常是遗留硬件或具有极其简单计算需求的系统。在确定性微不足道、没有重新设计的动机情况下，它们仍然存在。尽管如此，随着供应商停止单核生产线，它们的长期生存能力正在萎缩。风河继续支持这些遗留环境，但对于任何前瞻性或性能关键的事情，其势头显然是朝着多核平台发展。

如今真正的单核处理器很少见，随着时间的推移，它们将成为利基市场。但是，从AMC 20-193/CAST 32A合规性的角度来看，锁步匹配处理器（有两个内核，可以检测故障状态）提供了价值，其行为与单核处理器非常相似。重要的是要注意，根据标准这些处理器应被视为单核，因为两个内核同时访问内存，因此不可能发生多核争用。

推动eVTOL革命

eVTOL飞机是AA）的下一件大事，许多型号被设计为在没有人类飞行员的情况下自主飞行。实现自主飞行将需要巨大的机载计算能力，多核处理器将在支持它方面发挥重要作用。

多核处理不仅对AAM和eVTOL很重要，而且是一个基本的架构要求，没有它，这些平台的核心安全案例就无法构建。对于自主安全低空飞行所需的传感器套件、激光雷达、摄像头、GPS等会生成连续的高数据速率流，这些数据流会实时组合在一起，为飞行控制决策生成可靠的环境图像。每个传感器系统都以不同的数据速率运行，在融合之前需要独立处理。根据ARINC 653的空间和时间划分，将这些工作负载分配给单独的内核是唯一一种同时满足DAL认证所需的吞吐量要求和干扰隔离的架构。

这基本上是一个先决条件。AAM和eVTOL平台本质上是软件密集型，在许多情况下，如果没有主动飞行控制，这些整机本身就不稳定，而且正在分层电池管理、配电、自动功能，并最终在城市空域进行检测和规避。对于SWaP-C（尺寸、重量、功率和成本）绝对关键的平台来说，这需要大量的计算，因为每克和每瓦都会影响航程。你不能通过捆绑一堆单核处理器来满足这些要求。

好消息是，多核技术使eVTOL制造商能够将功能整合到更少的处理器上，这直接支持了这些整机在商业上可行所需的重量和功率预算。AAM面临的挑战是，这些公司中的许多都是新进入者，没有几十年的DO-178C经验，现在他们正直接进入多核领域，再加上AMC 20-193。这是一个陡峭的学习曲线。但考虑到市场上现有的产品和这些系统所需的性能，试图在传统的单核架构上构建这些平台的替代方案根本不现实。

履行人工智能任务

人工智能和机器学习应用正在进入航空领域，以实现自主飞行，通过实时分析飞机传感器数据来支持预测性维护，并减少人类飞行员的飞行工作量。如果不使用多核处理器，这项任务就无法完成。

人工智能和机器学习应用程序在并行处理上蓬勃发展，使多核成为一种自然的选择。无论是执行本地推理、实时传感器融合还是预测性诊断，这些工作负载都需要强大的计算能力。多核提供了这种能力，同时实现了人工智能任务和安全关键控制回路之间的隔离。

多核几乎总是人工智能应用程序中固有的，这些内核可以是GPU，也可以是CPU。在这些高性能、内存密集型应用中，可能有数百个GPU内核的多核干扰变得无法表征。相反，看到的更多的是对干扰的系统视图，促使设计人员采用冗余来表征干扰并提高可靠性。由于如此多的内核使干扰变得固有随机（由随机概率而不是可预测的数学驱动），因此使用同一系统的多个实例进行人工智能处理是确保它能在有限的时间内提供答案的好方法。

这里通过触及三个关键问题来缓和这种热情。首先，从第一个商用多核处理器到DAL A（设计保证A级）的第一个民用认证，已经过去了多少年？大约二十年。因此对飞行机器学习模型的大多数兴趣都集中在DAL C/D上，或者主要是实验性和推测性的。其次，虽然多核处理器比单核处理器更适合托管这些基于大矩阵的模型，但它们被通用图形处理器所取代，最近又被专用硬件加速模块所取代。目前使用大型机器学习模型进行的大多数项目都依赖于这种硬件加速器，而不是多核。第三，虽然高临界性的机载机器学习离现实还有一段距离，但这些技术正在整个行业中得到积极的研究和部署，以加速现有的工作流程并提高效率。

更重要的边界问题

到目前为止已经研究了推动航空业向多核处理器迁移的趋势和可能性。但是，当涉及到多核和现代飞机时，航空业没有谈论哪些问题呢？

关于非技术方面。我们可以为多核处理器设计最复杂的soc测试，但除非能以人类可读的方式报告结果，否则这一切都是徒劳的。可以把地球上最好的工程师扔给多核处理器，但如果没有合适的保密协议允许他们访问正确的信息，也就无法取得进展。

AMD Opteron™是四核处理器

一个不常讨论的话题是与多核相关的长期维护复杂性。随着硬件的快速发展，保持认证配置稳定几十年是一个重大挑战，特别是在引入通过GPU或NPU的硬件加速时。虽然大多数SoC为多核CPU分区提供了成熟的硬件机制，但GPU和NPU通常缺乏等效的隔离和分区支持。因此，这些加速器通常仅限于单个虚拟机或客户机，这进一步使系统架构、集成和长期认证维护复杂化。

也许最大的问题在于通过协同、开放和全行业的努力，一劳永逸地解决多核处理器确定性和干扰问题。行业需要超越将多核视为科学项目的做法，有些项目花了数年时间进行开放式干扰研究，描述了每种可能的干扰情况，探索了每种理论边缘情况，但所有这些都没有收敛到一个有界的、可认证的解决方案上。这种无界的分析可能会消耗大量的时间和预算，最终你仍然没有一个可运输的产品。问题不应该是在抽象中完全描述每个干扰信道，应该是能定义一个实用的缓解策略，对其进行测量，证明合规性，并使这个系统获得认证。

VTOL圈会员，2025年年度总结

VTOL圈会员，2026年服务规划

VTOL圈个人会员生态（2025年8月）

VTOL圈动态，入圈资料包更新（2025年9月）