A platform-evidence mapping for DAL-B certification planning on an AMD64 multi-core processor with Xen temporal isolation

تصبح الطائرات الحديثة معقدة بشكل متزايد، حيث تعتمد على حواسيب قوية لإدارة كل شيء، من أنظمة التحكم في الطيران إلى الملاحة وتخطيط المهام. ولضمان السلامة، تستخدم صناعة الطيران قواعد صارمة تتطلب اختبار وتدقيق كل برنامج برمجي للوصول إلى مستوى محدد من الثقة. وبالنسبة للأنظمة الأكثر أهمية، مثل تلك التي تحافظ على بقاء الطائرة في الجو، فإن مستوى الثقة هذا هو الأعلى على الإطلاق. ومع ذلك، فقد ظهر تحدٍ جديد مع تطور هذه الحواسيب من معالجات أحادية النواة إلى رقائق متعددة الأنوية، تشبه المعالجات القوية الموجودة في الحواسيب المحمولة والخوادم الحديثة. فعندما تعمل برامج متعددة في وقت واحد على نوى مختلفة من نفس الشريحة، فإنها غالبًا ما تتنافس على الوصول إلى الموارد المشتركة، وتحديدًا منطقة ذاكرة عالية السرعة تسمى "الذاكرة المخبئية للمستوى الأخير" (last-level cache). ويمكن لهذه المنافسة أن تؤدي إلى إبطاء برنامج ما بشكل غير متوقع، مما يخلق حالة من عدم اليقين في التوقيت، وهو أمر خطير على البرمجيات الحرجة لسلامة الطيران.

ولحل هذه المشكلة، يعمل الباحثون على تطوير طرق لعزل هذه البرامج حتى لا تتداخل مع بعضها البعض. ويتضمن أحد النهج الواعدة نوعًا من مديري البرمجيات، يُعرف باسم "المراقب الوهمي" (hypervisor)، والذي يقع بين الأجهزة والتطبيقات، حيث يقوم بتقسيم موارد الكمبيوتر إلى مقصورات منفصلة وآمنة. ومع ذلك، يبقى السؤال حول ما إذا كان هذا العزل قويًا بما يكفي لتلبية المعايير الصارمة المطلوبة للطيران التجاري. وقد استكشف فريق من الباحثين من شركة "Advanced Micro Devices" والجامعة التقنية في ميونيخ هذا السؤال من خلال وضع خطة مفصلة لكيفية اعتماد نوع معين من الحواسيب متعددة الأنوية لاستخدامه في الطائرات. ويركز عملهم على تكوين يستخدم مراقبًا وهميًا يسمى "Xen" على معالجات "AMD"، مدمجًا مع تقنية تسمى "تلوين الذاكرة المخبئية" (cache coloring)، لضمان عدم قدرة الأجزاء البرمجية المختلفة على التداخل مع بعضها البعض عن طريق الخطأ.

بدأ الباحثون بتحديد المشكلة المحددة: في المعالج متعدد الأنوية، تعد الذاكرة المخبئية المشتركة هي المكان الرئيسي لحدوث التداخل. فإذا قام أحد البرامج بملء الذاكرة المخبئية، فقد يجبر برنامجًا آخر على الانتظار، مما يسبب تأخيرات قد تؤدي إلى تفويت موعد نهائي حرج. ولمنع حدوث ذلك، اقترح الفريق طريقة يتم من خلالها تقسيم ذاكرة الكمبيوتر إلى مجموعات متميزة، أو "ألوان"، بناءً على مكان وجود البيانات. حيث يتم تخصيص مجموعة فريدة من "الألوان" لكل برنامج، ويتم تهيئة النظام بحيث لا يمكن لبيانات برنامج واحد أن تحل محل بيانات برنامج آخر في الذاكرة المخبئية. ومن الأهمية بمكان أن هذه القاعدة تنطبق أيضًا على المراقب الوهمي نفسه؛ فقد ضمن الباحثون أن بيانات مدير البرمجيات نفسه محصورة أيضًا في مجموعة ألوان حصرية خاصة بها، مما يمنعها من إزاحة بيانات البرامج الحرجة للسلامة التي يديرها عن طريق الخطأ. وهذا يخلق ضمانًا بنائيًا بأن التداخل محدود، بمعنى أنه محدود رياضيًا ويمكن التنبؤ به، بدلاً من مجرد الأمل في عدم حدوثه.

تعرض الورقة البحثية ربطًا لهذا الإعداد التقني بقواعد الاعتماد الرسمية المستخدمة من قبل سلطات الطيران في الولايات المتحدة وأوروبا. وهذه القواعد، المعروفة باسم DO-178C وAC 20-193، تتطلب من المتقدمين إثبات إدارة الموارد المشتركة بأمان. ويوضح المؤلفون كيف يلبي تكوينهم المحدد هذه المتطلبات من خلال إظهار أن آلية "تلوين الذاكرة المخبئية" تعزل الذاكرة المخبئية للمستوى الأخير بفعالية. كما يبينون كيف يمكن إعادة استخدام "حالة السلامة" الخاصة بالمراقب الوهمي، والموثقة بشكل منفصل من قبل مجتمع المصادر المفتوحة، كدليل لمصنع الطائرات. وهذا يسمح للمصنع بالتركيز على إثبات أن تطبيقاته الخاصة تعمل بشكل صحيح ضمن هذه البيئة المعزولة، بدلاً من الاضطرار إلى إثبات سلامة أجهزة الكمبيوتر الأساسية من الصفر. ويحدد الباحثون مسارًا واضحًا لكيفية استخدام مصنع الطائرات لهذا الإعداد لتحقيق اعتماد سلامة متوسط المستوى، المعروف باسم DAL-B، وهو مناسب للعديد من الوظائف الهامة ولكنها ليست حرجة للحياة.

ومع ذلك، يحرص المؤلفون على تحديد حدود عملهم. فقد صرحوا بوضوح أن هذه الخطة لا تثبت بعد أن النظام آمن بما يكفي لأعلى مستوى من الاعتماد، المعروف باسم DAL-A، وهو المطلوب لأكثر أنظمة التحكم في الطيران حرجًا. وللوصول إلى هذا المستوى الأعلى، ستكون هناك حاجة إلى خطوات إضافية، مثل الإثبات الرياضي الرسمي بأن أداة تخصيص الذاكرة لا ترتكب أي خطأ، وجمع المزيد من الخبرة الواقعية مع المعالج المحدد. كما توضح الورقة أنها لا تغطي أعباء عمل الذكاء الاصطناعي أو معالجة الرسومات، وهي مجالات ناشئة تتطلب حلولًا مختلفة. علاوة على ذلك، يؤكد المؤلفون أن هذه ورقة منهجية وليست اعتمادًا نهائيًا؛ فهي تقدم حجة مهيكلة ومجموعة من الأدوات، ولكن الموافقة الفعلية يجب أن تأتي من منظمي الطيران الذين سيراجعون التفاصيل المحددة لكل برنامج طيران.

يكمن جوهر البحث في تقديم عرض عملي لكيفية تطبيق هذه القواعد النظرية للسلامة على منصة حوسبة واقعية. فقد وصف الفريق تكوينًا محددًا حيث يتم تقسيم كمبيوتر مكون من أربع أنوية إلى أجزاء منفصلة لمهام مختلفة، مثل التحكم في الطيران، والإدراك، وإدارة المهام. وأظهروا كيفية تخصيص نواة مخصصة لكل جزء وجزء محدد من الذاكرة المخبئية، مما يضمن أن برنامج التحكم في الطيران لديه دائمًا الموارد التي يحتاجها دون أن يتم إبطاؤه بواسطة المهام الأخرى. كما فصلوا كيفية قيام النظام بالتحقق من الأخطاء عند بدء التشغيل لضمان عمل عزل الذاكرة بشكل صحيح قبل إقلاع الطائرة. يقدم هذا النهج وسيلة لاستخدام رقائق الكمبيوتر القوية والمتوفرة تجاريًا في مجال الطيران دون التضحية بالقدرة على التنبؤ والسلامة التي يتطلبها القطاع.

في النهاية، تقدم الورقة جسرًا بين التطور السريع لأجهزة الحوسبة التجارية والوتيرة البطيئة والمنضبطة لاعتماد سلامة الطيران. وهي تظهر أنه مع التكوين الصحيح، وتحديدًا باستخدام تلوين الذاكرة المخبئية ومراقب وهمي ذو تقسيم ثابت، يمكن إنشاء بيئة حوسبة يكون فيها التداخل تحت السيطرة ويمكن التنبؤ به. وبينما لا يزال الطريق نحو أعلى مستويات الاعتماد يتطلب مزيدًا من العمل، فإن هذا البحث يوفر أساسًا متينًا للمصنعين للبدء في دمج هذه المعالجات المتقدمة في طائراتهم. ويعمل هذا العمل كنموذج، موضحًا أن الآليات التقنية موجودة لدعم التكامل الآمن متعدد الأنوية، شريطة اتباع القواعد المحددة والأدلة المطلية من قبل المنظمين والتحقق منها بعناية.