기술 요약: Jiao: 혼합 임계도 로봇공학에서 고립과 맞춤화의 연결

문제 정의

소비자 및 산업용 로봇공학은 비용, 무게, 전력에 대한 제약을 충족하기 위해 안전-중요 제어, 감지 파이프라인, 사용자 애플리케이션을 점차 공유 멀티코어 시스템 온 칩 (SoC) 플랫폼으로 통합하고 있습니다. 정적 파티션 하이퍼바이저 (자동차 및 항공우주 분야에서 일반적) 는 하드웨어 강제 고립을 제공하지만, 이러한 아키텍처를 로봇공학에 직접 이식할 경우 전문성 비대칭 문제에 직면하게 됩니다.

전통적인 자동차 전자제어유닛 (ECU) 아키텍처에서는 전체 시스템 지식을 갖춘 엔지니어들이 제조 시 구성을 고정합니다. 반면, 산업용 로봇은 teach 펜던트, 비전 유도 보정, 클라우드 연결 튜닝을 통한 런타임 적응이 점점 더 요구됩니다. 시스템 통합자는 종종 크로스 파티션 프로토콜이나 실시간 스케줄링을 관리하는 데 필요한 저수준 시스템 지식을 갖추지 못한 채 안전 관련 매개변수 (예: 서보 게인, 힘 제한) 를 수정합니다. 기존 솔루션은 다음과 같은 조합을 해결하지 못합니다:

• 정적 파티션은 공간적 고립을 제공하지만 데이터 무결성과 프로토콜 복잡성은 애플리케이션 소프트웨어에 맡깁니다.
• 실시간 Linux 확장 (예: PREEMPT RT, Xenomai) 은 시간적 스케줄링을 개선하지만 공간적 고립이 부족하여 제어 루프가 캐시, 메모리 대역폭, 열적 여유 공간을 두고 경쟁하는 감지 작업 부하의 간섭에 취약합니다.
• 필드버스 안전 프로토콜은 신뢰할 수 있는 엔드포인트와 고정된 구성을 가정하며, 배포 후 비전문가 사용자의 동적 맞춤화를 지원하지 않습니다.

이 격차는 감지 네트워크의 수치적 손상 또는 검증되지 않은 매개변수 업데이트가 불규칙한 운동이나 의도하지 않은 토크와 같은 물리적 위험으로 이어질 수 있는 위험을 초래합니다.

방법론

저자들은 Jailhouse 정적 파티션 하이퍼바이저를 기반으로 구축된 JIAO 아키텍처를 제시합니다. JIAO 는 새로운 하이퍼바이저를 제안하는 것이 아니라 파티션 경계를 안전 인터페이스로 재설계합니다. 이 시스템은 협업 매니퓰레이터, 모바일 플랫폼, 다축 조립 시스템을 대상으로 합니다.

아키텍처는 시스템을 세 가지 도메인으로 나눕니다:

1. Non-RT 도메인: ROS 2 및 사용자 애플리케이션을 실행하는 Linux 루트 셀.
2. RT 도메인: 직접 필드버스 액세스를 갖춘 결정론적 제어 루프 (예: 1kHz 서보 제어) 를 실행하는 베어메탈 "수감자 (inmate)".
3. Safe IO 셀: 독립적인 안전 권한으로 작용하는 전용 안전 파티션.

JIAO 는 고립 경계를 연결하기 위해 세 가지 핵심 하위 시스템을 통합합니다:

1. Safe IO 셀 (하드웨어 레벨 오버라이드)

이 구성 요소는 액추에이터 안전 인터페이스 (모터 활성화, 브레이크 릴레이, 비상 정지 회로) 에 대한 직접적인 하드웨어 제어 권한을 가진 전용 파티션에 위치합니다. 이는 주요 제어기와 독립적으로 작동하며 다음을 모니터링합니다:

• 하트비트: 응답하지 않는 제어 파티션을 감지하기 위한 구성 가능한 타임아웃.
• 명령 봉투: 명령된 값에 대한 경계 확인.
• 안전 상태 전이: 정상 작동, 저하 모드, 안전 상태 간의 전이를 관리.
  중요하게도, 이는 주요 제어 경로의 상태와 관계없이 액추에이터를 (브레이크를 engage 하는 것과 같은) 고장 안전 구성으로 강제할 수 있습니다.

2. 매개변수 동기화 서비스 (PSS)

전문성 비대칭 문제를 해결하기 위해 PSS 는 친숙한 ROS 스타일 API 뒤에 크로스 도메인 복잡성을 캡슐화합니다.

• 워크플로우: 애플리케이션은 표준 API 를 통해 매개변수 유형 및 경계를 선언합니다. 서비스는 업데이트를 검증하고 안전 통신 계층으로 보호한 후 RT 도메인 내에서 원자적으로 적용합니다.
• 메커니즘: 업데이트는 메타데이터와 함께 패키징되어 인코더로 전달된 후 공유 메모리 채널 (ivshmem) 에 기록됩니다. 도어벨 인터럽트가 RT 도메인에 알림을 보내면, 해당 도메인은 업데이트를 검증하여 적용하거나 거부합니다.
• 안전: 업데이트가 검증을 통과하지 못하면 RT 도메인은 마지막으로 알려진 정상 매개변수를 계속 사용하며, Non-RT 측에서는 재시도합니다.

3. 안전 통신 계층 (SCL)

SCL 은 공유 메모리를 "블랙 채널"로 간주하여 모든 크로스 도메인 트래픽에 대해 IEC 61508 준수 엔드포인트 검증을 구현합니다.

• 무결성 메커니즘: 모든 메시지에는 CRC-32C 체크섬, 단조 증가 시퀀스 번호, 타임스탬프가 포함됩니다.
• 오류 처리: 시스템은 점진적 저하를 지원합니다. 일시적 이상은 경고를 유발하는 반면, 지속적인 오류 (예: 재생 공격, 구식 데이터, 손실) 는 제한된 상태 또는 안전 정지로의 전이를 유발합니다.
• 커버리지: 이 계층은 정적 파티션만으로는 방지할 수 없는 손상, 중복, 재순서화, 지연과 같은 오류 모드를 해결합니다.

주요 기여

1. Safe IO 셀: 하트비트 및 명령 봉투를 감독하면서 중요한 안전 회로에 대한 하드웨어 레벨 오버라이드 능력을 유지하는 전용 파티션상의 독립 안전 권한.
2. 매개변수 동기화 서비스: 통합자가 크로스 파티션 프로토콜, 공유 메모리 레이아웃, 실시간 스케줄링 세부 사항을 관리하지 않고도 고수준 API 를 통해 로봇 동작을 수정할 수 있게 하는 메커니즘.
3. 안전 통신 계층: CRC, 시퀀스 번호 지정, 신선도 검증을 제공하는 IEC 61508 준수 검증 계층으로, 안전한 크로스 도메인 맞춤화를 가능하게 함.

결과

저자들은 6 자유도 (DOF) 매니퓰레이터를 위한 1kHz EtherCAT 제어 루프를 실행하는 D9340 이종 프로세서 (4 개의 ARM Cortex-A55 애플리케이션 코어 + 전용 실시간 R-코어) 에서 JIAO 를 평가했습니다. 그들은 동시 감지 작업 부하를 실행한 베이스라인과 파티션 고립 구성을 비교했습니다.

• 지터 감소: 파티션 고립은 사이클 주기 지터의 표준 편차를 84.5% 감소시켰습니다 (12.58 µs 에서 1.95 µs 로).
• 꼬리 위험 제거: 99 백분위수 절대 지터 ($p99$) 는 69.0 µs 에서 7.8 µs 로 하락했습니다 (8.8 배 개선).
• 최악의 경우 이탈: 최대 지터 이탈은 321.5 µs 에서 32.8 µs 로 감소했습니다.
• 대규모 이탈: 베이스라인은 24,442 개의 대규모 이탈 ($|지터| > 50$ µs) 을 보였으며, 이는 사이클의 2.04% 를 차지했습니다. 고립된 구성은 이러한 이탈이 전혀 발생하지 않았습니다.
• 시간적 안정성: 변동 계수는 1.26% 에서 0.20% 로 개선되어 타이밍 정밀도가 6.4 배 향상되었습니다.

중요성 및 주장

이 논문은 JIAO 의 주요 기여가 단순히 타이밍 지터 감소가 아니라, 크로스 파티션 맞춤화를 안전하게 관리하는 아키텍처를 제공하는 것이라고 주장합니다. 하이퍼바이저 구성, 통신 프로토콜, 하드웨어 레벨 오버라이드를 공동 설계함으로써 JIAO 는 물리적 분리가 제공하던 고립 보장을 희생하지 않으면서 공유 하드웨어에서 혼합 임계도 작업 부하를 통합할 수 있게 합니다.

저자들은 비전문 통합자가 안전-중요 매개변수를 수정해야 하는 "전문성 비대칭" 문제를 그들의 솔루션이 특히 해결한다고 강조합니다. 이 시스템은 이러한 수정 사항이 검증되고 원자적이며 무결성 검사로 보호되도록 보장하여, 감지 파이프라인에서 물리적 액추에이터로 데이터 손상이 전파되는 것을 방지합니다. 평가는 이 접근 방식이 공유 자원 환경에서 제어 안정성을 위협하는 두꺼운 꼬리 지터와 대규모 타이밍 이탈을 제거함을 보여줍니다.