Riepilogo Tecnico: Jiao: Colmare il Divario tra Isolamento e Personalizzazione nella Robotica a Criticità Mista

Enunciato del Problema

La robotica consumer e industriale sta consolidando sempre più il controllo critico per la sicurezza, le pipeline di percezione e le applicazioni utente su piattaforme condivise di System-on-Chip (SoC) multicore per soddisfare i vincoli di costo, peso e potenza. Sebbene gli hypervisor di partizionamento statico (comuni nell'automotive e nell'aerospaziale) offrano un isolamento imposto dall'hardware, il trasferimento diretto di queste architetture alla robotica incontra un problema di asimmetria di competenze.

Nelle tradizionali architetture di Unità di Controllo Elettronico (ECU) automotive, le configurazioni sono fissate in fase di produzione da ingegneri con piena conoscenza del sistema. Al contrario, i robot industriali richiedono sempre più un adattamento a runtime tramite pendant di insegnamento, calibrazione guidata dalla visione e sintonizzazione connessa al cloud. Gli integratori di sistema modificano spesso parametri rilevanti per la sicurezza (ad esempio, guadagni dei servomotori, limiti di forza) senza possedere le conoscenze di sistema a basso livello necessarie per gestire i protocolli tra partizioni o la pianificazione in tempo reale. Le soluzioni esistenti non affrontano questa combinazione:

• Il partizionamento statico fornisce isolamento spaziale ma lascia l'integrità dei dati e la complessità dei protocolli al software applicativo.
• Le estensioni Linux in tempo reale (ad esempio, PREEMPT RT, Xenomai) migliorano la pianificazione temporale ma mancano di isolamento spaziale, lasciando i loop di controllo vulnerabili alle interferenze dei carichi di lavoro di percezione che competono per cache, larghezza di banda della memoria e margine termico.
• I protocolli di sicurezza Fieldbus presuppongono endpoint fidati e configurazioni fisse, non personalizzazioni dinamiche post-deploy da parte di utenti non esperti.

Questo divario crea un rischio in cui la corruzione numerica nelle reti di percezione o aggiornamenti di parametri non validati possono innescare pericoli fisici, come movimenti erratici o coppie non intenzionali.

Metodologia

Gli autori presentano JIAO, un'architettura basata sull'hypervisor di partizionamento statico Jailhouse. JIAO non propone un nuovo hypervisor ma riprogetta il confine di partizione come un'interfaccia di sicurezza. Il sistema è rivolto a manipolatori collaborativi, piattaforme mobili e sistemi di assemblaggio multi-assiale.

L'architettura divide il sistema in tre domini:

1. Dominio Non-RT: Una cella root Linux che esegue ROS 2 e applicazioni utente.
2. Dominio RT: Un "ospite" bare-metal che esegue loop di controllo deterministici (ad esempio, controllo servomotori a 1 kHz) con accesso diretto al fieldbus.
3. Cella IO Sicura: Una partizione di sicurezza dedicata che funge da autorità di sicurezza indipendente.

JIAO integra tre sottosistemi chiave per colmare il confine di isolamento:

1. Cella IO Sicura (Sovrascrittura a Livello Hardware)

Questo componente risiede su una partizione dedicata con controllo hardware diretto sulle interfacce di sicurezza degli attuatori (abilitazione motori, relè freno, circuiti di arresto di emergenza). Opera indipendentemente dal controller principale, monitorando:

• Heartbeat: Timeout configurabili per rilevare partizioni di controllo non responsive.
• Inviluppi di Comando: Controllo dei limiti sui valori comandati.
• Transizioni di Stato di Sicurezza: Governa le transizioni tra funzionamento normale, modalità degradate e stati sicuri.
  Crucialmente, può forzare gli attuatori in configurazioni fail-safe (ad esempio, attivando i freni) indipendentemente dallo stato del percorso di controllo principale.

2. Servizio di Sincronizzazione dei Parametri (PSS)

Per affrontare l'asimmetria di competenze, il PSS incapsula la complessità tra domini dietro una familiare API in stile ROS.

• Flusso di Lavoro: Le applicazioni dichiarano tipi e limiti dei parametri tramite API standard. Il servizio convalida gli aggiornamenti, li protegge con il Livello di Comunicazione di Sicurezza e li applica in modo atomico all'interno del Dominio RT.
• Meccanismo: Gli aggiornamenti sono impacchettati con metadati, passati a un codificatore e scritti su un canale di memoria condivisa (ivshmem). Un'interruzione "doorbell" notifica il Dominio RT, che convalida e applica o rifiuta l'aggiornamento.
• Sicurezza: Se un aggiornamento fallisce la convalida, il Dominio RT continua a utilizzare i parametri ultimi noti come validi, e il lato Non-RT riprova.

3. Livello di Comunicazione di Sicurezza (SCL)

Lo SCL implementa la verifica degli endpoint conforme a IEC 61508 per tutto il traffico tra domini, trattando la memoria condivisa come un "canale nero".

• Meccanismi di Integrità: Ogni messaggio include un checksum CRC-32C, un numero di sequenza monotono e un timestamp.
• Gestione degli Errori: Il sistema supporta un degrado progressivo. Anomalie transitorie attivano avvisi, mentre guasti sostenuti (ad esempio, attacchi di replay, dati obsoleti, perdita) attivano transizioni verso stati limitati o arresti sicuri.
• Copertura: Questo livello affronta modalità di guasto come corruzione, duplicazione, riordinamento e ritardo, che il solo partizionamento statico non può prevenire.

Contributi Chiave

1. Cella IO Sicura: Un'autorità di sicurezza indipendente su una partizione dedicata che supervisiona heartbeat e inviluppi di comando mantenendo la capacità di sovrascrittura a livello hardware per circuiti di sicurezza critici.
2. Servizio di Sincronizzazione dei Parametri: Un meccanismo che permette agli integratori di modificare il comportamento del robot tramite API di alto livello senza gestire protocolli tra partizioni, layout di memoria condivisa o dettagli di pianificazione in tempo reale.
3. Livello di Comunicazione di Sicurezza: Un livello di verifica conforme a IEC 61508 che fornisce CRC, numerazione di sequenza e convalida di freschezza, abilitando la personalizzazione sicura tra domini.

Risultati

Gli autori hanno valutato JIAO su un Processore Eterogeneo D9340 (4× core applicativi ARM Cortex-A55 + core R in tempo reale dedicato) eseguendo un loop di controllo EtherCAT a 1 kHz per un manipolatore a 6 gradi di libertà. Hanno confrontato una configurazione di base (carichi di lavoro di percezione concorrenti) con la configurazione isolata per partizione.

• Riduzione del Jitter: L'isolamento per partizione ha ridotto la deviazione standard del jitter del periodo di ciclo dell'84,5% (da 12,58 µs a 1,95 µs).
• Eliminazione del Rischio di Coda: Il jitter assoluto al 99° percentile ($p99$) è sceso da 69,0 µs a 7,8 µs (un miglioramento di 8,8 volte).
• Escursioni nel Caso Peggiore: L'escursione massima del jitter è diminuita da 321,5 µs a 32,8 µs.
• Escursioni Ampie: La configurazione di base ha mostrato 24.442 escursioni ampie ($|jitter| > 50$ µs), rappresentando il 2,04% dei cicli. La configurazione isolata ha mostrato zero tali escursioni.
• Stabilità Temporale: Il coefficiente di variazione è migliorato dal 1,26% allo 0,20%, un miglioramento di 6,4 volte nella precisione temporale.

Significato e Affermazioni

Il documento afferma che il contributo principale di JIAO non è meramente la riduzione del jitter temporale, ma la fornitura di un'architettura che governa in sicurezza la personalizzazione tra partizioni. Progettando congiuntamente la configurazione dell'hypervisor, i protocolli di comunicazione e le sovrascritture a livello hardware, JIAO permette il consolidamento di carichi di lavoro a criticità mista su hardware condiviso senza sacrificare le garanzie di isolamento precedentemente fornite dalla separazione fisica.

Gli autori sottolineano che la loro soluzione affronta specificamente l'"asimmetria di competenze" in cui integratori non esperti devono modificare parametri critici per la sicurezza. Il sistema garantisce che tali modifiche siano convalidate, atomiche e protette da controlli di integrità, impedendo la propagazione della corruzione dei dati dalle pipeline di percezione agli attuatori fisici. La valutazione dimostra che questo approccio elimina il jitter a coda pesante e le grandi escursioni temporali che minacciano la stabilità del controllo negli ambienti con risorse condivise.