💻 computer science

Jiao: Bridging Isolation and Customization in Mixed Criticality Robotics

Dit artikel presenteert Jiao, een architectuur voor mixed-criticality consumentenrobotica die de kloof tussen platformontwikkelaars en eindgebruikers overbrugt door hardware-niveau overrides, parametersynchronisatie en veiligheidsgerichte communicatie te integreren om aanzienlijke reducties in timing-jitter en isolatie op gedeelde multicore-platforms te bereiken.

Oorspronkelijke auteurs: James Yen, Zhibai Huang, Zhixiang Wei, Tinghao Yi, Shupeng Zeng, Liang Pang, Songtao Xue, Zhengwei Qi

Gepubliceerd 2026-05-06

📖 5 min leestijd🧠 Diepgaand

CC BY 4.0

Oorspronkelijke auteurs: James Yen, Zhibai Huang, Zhixiang Wei, Tinghao Yi, Shupeng Zeng, Liang Pang, Songtao Xue, Zhengwei Qi

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Stel je voor dat je een high-tech robotarm bouwt. Deze robot moet twee heel verschillende taken tegelijk uitvoeren:

Het "Brein" (Perceptie): Het moet om zich heen kijken, objecten herkennen en slimme beslissingen nemen. Dit is als een drukke, creatieve kunstenaar die soms afgeleid raakt, pauze neemt of overweldigd wordt door te veel informatie.
De "Spieren" (Besturing): Het moet zijn gewrichten met perfecte, split-second precisie bewegen om te voorkomen dat het dingen verplettert of mensen kwetst. Dit is als een professionele atleet die elke keer, zonder uitzondering, direct moet reageren.

Het Probleem: De "Gedeelde Woning"-Ramp
In het verleden plaatsten ingenieurs het "Brein" en de "Spieren" in aparte computers (alsof ze de kunstenaar in de ene kamer en de atleet in de andere zetten). Dit was veilig, maar duur en rommelig.

Nu proberen bedrijven, om geld en ruimte te besparen, zowel het Brein als de Spieren op dezelfde computerchip te plaatsen. Het artikel noemt dit een "Mixed-Criticality"-systeem.

Het probleem is dat het "Brein" rommelig is. Wanneer het druk bezig is met het verwerken van een video of het draaien van een complex AI-model, botst het per ongeluk tegen de "Spieren". Het steelt de aandacht van de computer, waardoor de spieren haperen of een fractie te laat bewegen. In de robotica kan een kleine vertraging een crash of een blessure betekenen.

De Oude Oplossing versus het Nieuwe Probleem
Ingenieurs probeerden dit op te lossen door een "virtuele muur" (een hypervisor) tussen het Brein en de Spieren te bouwen. Deze muur zorgt ervoor dat de Spieren hun eigen toegewijde tijd en ruimte krijgen, zodat het Brein hen niet kan onderbreken.

Echter, er is een nieuw probleem: Het Expertise-Gat.

De mensen die de robot bouwden (de experts) weten hoe ze deze muren moeten bouwen.
De mensen die de robot gebruiken (de integrators) willen alleen maar instellingen aanpassen, zoals "sneller bewegen" of "harder grijpen". Ze weten niet hoe de muren werken.
Als ze proberen een instelling te wijzigen, kunnen ze per ongeluk de veiligheidsmuur beschadigen, of ze weten niet hoe ze de wijziging veilig door de muur moeten sturen. Het is alsof je een gast in een hoogbeveiligd gebouw de alarminstallatie laat herschakelen, alleen omdat ze de thermostaat wilden aanpassen.

De Oplossing: JIAO (De "Veiligheidsbutler")
De auteurs hebben een nieuw systeem ontwikkeld genaamd JIAO. Denk aan JIAO als een superintelligente, onbreekbare "Veiligheidsbutler" die de relatie beheert tussen het rommelige Brein en de precieze Spieren. Het heeft drie belangrijkste trucs:

1. De Veilige IO-Cell (De "Noodrem-butler")

Stel je een toegewijde bewaker voor die in een aparte kamer zit en de Spieren in de gaten houdt. Deze bewaker heeft een directe, fysieke kabel naar de noodstopknop en de remmen van de robot.

Wat het doet: Zelfs als het "Brein" crasht, bevriest of gek wordt, kan deze bewaker direct de stroom naar de motoren afsluiten of de remmen vergrendelen.
Waarom het belangrijk is: Het vertrouwt de software niet. Het heeft een "hardware-override"-schakelaar die werkt, zelfs als de computer kapot is.

2. De Parameter-Synchronisatieservice (De "Vertaler")

Dit is de brug voor niet-expert gebruikers.

Wat het doet: Het laat een gebruiker instellingen wijzigen (zoals "grijpkracht") met eenvoudige, vertrouwde hulpmiddelen (zoals een schuifregelaar op het scherm). Het systeem vertaalt die eenvoudige vraag automatisch naar een complex, veilig bericht dat de "muur" kan oversteken naar de Spieren.
Waarom het belangrijk is: De gebruiker hoeft geen computeringenieur te zijn. Ze draaien gewoon aan een knop, en het systeem regelt het complexe, gevaarlijke deel van het veilig verzenden van die opdracht.

3. De Veiligheidscommunicatielaag (De "Verstoorde-veilige Bode")

Wanneer de gebruiker een bericht over de muur stuurt, reist het door een gedeelde geheugenruimte. Dit is riskant omdat data kan beschadigen (zoals een brief die vervaagt of verloren gaat in de post).

Wat het doet: Deze laag wikkelt elk bericht in een "verstoorde-veilige envelop". Het voegt een uniek ID-nummer, een tijdstempel en een beveiligingscode toe (zoals een waszegel).
Waarom het belangrijk is: Als het bericht te laat aankomt, in de verkeerde volgorde, of met een vlek (beschadiging), verwerpen de Spieren het direct. Ze gokken niet; ze zeggen gewoon: "Dit ziet er niet goed uit, ik negeer het en blijf veilig."

De Resultaten: Een Rustigere, Veiligere Robot
Het team testte dit op een echte robotarm.

Zonder JIAO: De bewegingen van de robot waren onrustig. Soms pauzeerde het lang (tot wel 300 microseconden) omdat het "Brein" de computer opeiste. Dit is alsof een danser over zijn eigen voeten struikelt omdat hij afgeleid is.
Met JIAO: De bewegingen werden ongelooflijk soepel. De "onrust" (het trillen) daalde met 84,5%. De ergste vertragingen werden met bijna 10 keer verkort.
De Grote Winst: Ze elimineerden de "grote struikelingen" volledig. In het oude systeem had de robot grote, gevaarlijke pauzes. Met JIAO verdwenen die grote pauzes volledig.

Samenvattend
JIAO is een systeem dat je toelaat om een rommelig, creatief robot "Brein" en een precieze, veiligheidskritieke "Spier" op dezelfde computerchip te plaatsen. Dit doet het door een veilige, onbreekbare muur tussen hen te bouwen, een toegewijde "Noodrem" toe te voegen die werkt zelfs als de computer faalt, en een eenvoudige, veilige manier te creëren voor niet-experts om instellingen te wijzigen zonder de veiligheidsregels te breken. Het resultaat is een robot die zowel slim als ongelooflijk stabiel is.

Technische Samenvatting: Jiao: Isolatie en Aanpassing in Mixed-Criticality Robotica Overbruggen

Probleemstelling

Consumenten- en industriële robotica consolideren steeds vaker veiligheidskritieke besturing, perceptiepijplijnen en gebruikersapplicaties op gedeelde multicore System-on-Chip (SoC)-platforms om te voldoen aan beperkingen op het gebied van kosten, gewicht en vermogen. Hoewel statische partitie-hypervisors (gangbaar in de automotive- en luchtvaartindustrie) hardware-afgedwongen isolatie bieden, leidt het rechtstreeks overnemen van deze architecturen in de robotica tot een probleem van expertise-ongelijkheid.

In traditionele automotive Electronic Control Unit (ECU)-architecturen worden configuraties tijdens de fabricage vastgelegd door ingenieurs met volledige systeemkennis. In tegenstelling hiermee vereisen industriële robots steeds vaker aanpassing tijdens de runtime via leerpennen, visiegeleide kalibratie en cloud-verbonden tuning. Systeemintegrators wijzigen vaak veiligheidsrelevante parameters (bijvoorbeeld servo-versterkingen, krachtlimiten) zonder de laag-niveau systeemkennis te bezitten die nodig is om protocollen tussen partities of real-time planning te beheren. Bestaande oplossingen slagen er niet in deze combinatie aan te pakken:

Statische partitie biedt ruimtelijke isolatie, maar laat gegevensintegriteit en protocolcomplexiteit over aan de applicatiesoftware.
Real-time Linux-extensies (bijvoorbeeld PREEMPT RT, Xenomai) verbeteren de temporele planning, maar missen ruimtelijke isolatie, waardoor besturingslussen kwetsbaar blijven voor interferentie van perceptiewerklasten die concurreren om cache, geheugenbandbreedte en thermische marge.
Fieldbus-veiligheidsprotocollen gaan uit van vertrouwde eindpunten en vaste configuraties, niet van dynamische, na-de-installatie aanpassing door niet-expert gebruikers.

Deze kloof creëert een risico waarbij numerieke corruptie in perceptienetwerken of niet-gevalideerde parameterupdates kunnen escaleren tot fysieke gevaren, zoals onregelmatige beweging of onbedoeld koppel.

Methodologie

De auteurs presenteren JIAO, een architectuur gebaseerd op de Jailhouse statische partitie-hypervisor. JIAO stelt geen nieuwe hypervisor voor, maar herbouwt de partitiegrens als een veiligheidsinterface. Het systeem richt zich op collaboratieve manipulatoren, mobiele platformen en mechasystemen voor assemblage.

De architectuur verdeelt het systeem in drie domeinen:

Non-RT Domein: Een Linux root-cell die ROS 2 en gebruikersapplicaties draait.
RT Domein: Een bare-metal "inmate" die deterministische besturingslussen uitvoert (bijvoorbeeld 1 kHz servo-besturing) met directe toegang tot de fieldbus.
Safe IO Cell: Een toegewijde veiligheidspartitie die fungeert als onafhankelijke veiligheidsautoriteit.

JIAO integreert drie belangrijke subsystemen om de isolatiegrens te overbruggen:

1. Safe IO Cell (Hardware-niveau Overschrijving)

Dit component bevindt zich op een toegewijde partitie met directe hardwarecontrole over actuator-veiligheidsinterfaces (motorinschakelingen, remrelais, noodstopcircuits). Het werkt onafhankelijk van de primaire controller en monitort:

Hartslagen: Configureerbare time-outs om niet-reagerende besturingspartities te detecteren.
Opdrachtomhulsels: Grenswaardencontrole op bevelwaarden.
Veiligheidstoestandsovergangen: Regelt overgangen tussen normale werking, gedegradeerde modi en veilige staten.
Cruciaal is dat het actuatoren kan forceren naar fail-safe configuraties (bijvoorbeeld remmen inschakelen), ongeacht de staat van het primaire besturingspad.

2. Parameter Synchronisatie Service (PSS)

Om de expertise-ongelijkheid aan te pakken, kapselt de PSS complexiteit tussen domeinen in achter een vertrouwde ROS-stijl API.

Werkstroom: Applicaties declareren parametertypes en grenswaarden via standaard-API's. De service valideert updates, beschermt deze met de Veiligheidscommunicatielaag en past ze atomair toe binnen het RT Domein.
Mechanisme: Updates worden verpakt met metadata, doorgegeven aan een encoder en geschreven naar een gedeelde geheugenkanaal (ivshmem). Een deurbel-interrupt verwittigt het RT Domein, dat de update valideert en toepast of verwerpt.
Veiligheid: Als een update de validatie niet haalt, blijft het RT Domein de laatst bekende goede parameters gebruiken, en probeert de Non-RT-kant opnieuw.

3. Veiligheidscommunicatielaag (SCL)

De SCL implementeert IEC 61508-gealigneerde eindpuntverificatie voor al het verkeer tussen domeinen, waarbij gedeeld geheugen wordt behandeld als een "zwart kanaal".

Integriteitsmechanismen: Elk bericht bevat een CRC-32C-checksum, een monotoon volgnummer en een tijdstempel.
Foutafhandeling: Het systeem ondersteunt progressieve degradatie. Transiente anomalieën triggeren waarschuwingen, terwijl aanhoudende fouten (bijvoorbeeld replay-aanvallen, verouderde data, verlies) overgangen naar beperkte staten of veilige stops triggeren.
Dekking: Deze laag adresseert faalmodi zoals corruptie, duplicatie, herschikking en vertraging, die door statische partitie alleen niet kunnen worden voorkomen.

Belangrijkste Bijdragen

Safe IO Cell: Een onafhankelijke veiligheidsautoriteit op een toegewijde partitie die hartslagen en opdrachtomhulsels bewaakt, terwijl hardware-niveau overschrijvingscapaciteit voor kritieke veiligheidscircuits wordt behouden.
Parameter Synchronisatie Service: Een mechanisme dat integrators toestaat robotgedrag te wijzigen via high-level API's zonder protocollen tussen partities, lay-outs van gedeeld geheugen of details van real-time planning te hoeven beheren.
Veiligheidscommunicatielaag: Een IEC 61508-gealigneerde verificatielaag die CRC, volgnummering en validatie van versheid biedt, waardoor veilige aanpassing tussen domeinen mogelijk wordt.

Resultaten

De auteurs evalueerden JIAO op een D9340 Heterogene Processor (4× ARM Cortex-A55 applicatiekernen + toegewijde real-time R-kerne) die een 1 kHz EtherCAT-besturingslus voor een 6-DOF manipulator draait. Ze vergeleken een baseline (concurrente perceptiewerklasten) met de partitie-isolatie configuratie.

Jitterreductie: Partitie-isolatie verlaagde de standaardafwijking van de cyclus-periode jitter met 84,5% (van 12,58 µs naar 1,95 µs).
Eliminatie van Staartrisico: De 99e percentiel absolute jitter ( $p99$ ) daalde van 69,0 µs naar 7,8 µs (een verbetering van 8,8×).
Worst-case Afwijkingen: De maximale jitter-afwijking nam af van 321,5 µs naar 32,8 µs.
Grote Afwijkingen: De baseline vertoonde 24.442 grote afwijkingen ($|jitter| > 50$ µs), wat 2,04% van de cycli vertegenwoordigde. De geïsoleerde configuratie vertoonde nul dergelijke afwijkingen.
Temporele Stabiliteit: De variatiecoëfficiënt verbeterde van 1,26% naar 0,20%, een verbetering van 6,4× in timingprecisie.

Betekenis en Claims

Het artikel claimt dat de primaire bijdrage van JIAO niet slechts de reductie van timing-jitter is, maar het bieden van een architectuur die veilige aanpassing tussen partities regelt. Door hypervisor-configuratie, communicatieprotocollen en hardware-niveau overschrijvingen gezamenlijk te ontwerpen, stelt JIAO de consolidatie van mixed-criticality werklasten op gedeelde hardware mogelijk zonder de isolatiegaranties op te offeren die eerder door fysieke scheiding werden geboden.

De auteurs benadrukken dat hun oplossing specifiek de "expertise-ongelijkheid" aanpakt waarbij niet-expert integrators veiligheidskritieke parameters moeten wijzigen. Het systeem zorgt ervoor dat dergelijke wijzigingen gevalideerd, atomair en beschermd zijn door integriteitscontroles, waardoor de verspreiding van data-corruptie van perceptiepijplijnen naar fysieke actuatoren wordt voorkomen. De evaluatie toont aan dat deze aanpak zwaarstaartige jitter en grote timing-afwijkingen elimineert die de besturingsstabiliteit in omgevingen met gedeelde bronnen bedreigen.