防止優先級反轉

　　操作系統中最令人頭疼的錯誤是優先級反轉。它是指低優先級任務阻止高優先級任務完成運行的狀態。例如，在報警控制、數據記錄儀和數據聚合器共享資源的病人監控系統里，優先級高的任務（報警控制器）必須等待優先級低的任務（數據記錄器）結束才能繼續運行。第三項任務（數據聚合器）的優先級比報警控制器的低，但比數據記錄器的高。數據聚合器會搶占數據記錄器的優先級，進而搶占報警控制器的優先級，這就無法滿足實時提交的要求。

　　優先級繼承

　　優先級繼承是指將被阻止的高優先級任務的優先級分配給阻止任務的低優先級線程，直至完成被阻止的任務，以此防止優先級反轉。例如，數據記錄器可繼承報警控制器的優先級，這樣它就不會被數據聚合器搶占。當任務結束后，它會恢復最初的優先級，報警控制器會解除阻止并繼續運行。

　　圖 4 優先級繼承防止優先級反轉

　　確保可用性

　　對許多系統來說，資源的可用性至關重要。假如某一子系統出現CPU周期匱乏，會導致十分嚴重的后果。例如，如果心臟監護儀的連接中斷可能導致中心監護系統誤認為出現報警情況并派出急救人員，或當病人真出現危急狀況時，系統卻無法發出報警信息。

　　根據以往經驗，解決這一問題的途徑是更新硬件或重新設計軟件。雖然將新設計的軟件發送到聯網的醫療設備上是一個可行方案，但這不僅使成本高昂，而且還可能導致該設備已有的產品認證失效。

　　分區分區技術通過執行CPU預算并防止進程獨占CPU周期，使資源匱乏的問題迎刃而解。可選擇兩種類型的分區：固定式和自適應式。

　　采用固定分區，系統設計人員為每個任務指定分配的CPU時間。分區內的任務消耗的CPU時間都不能超過分區時已分配的時間比例，以便于其他分區內的進程保持隨時可用，進而保證所有關鍵進程隨時可用。

　　遺憾的是，采用固定分區時，即使分配到其他地方的周期未被使用，另一個分區內的進程也無法使用，因為它不能使用超出其所在分區預先分配的CPU周期，固定分區雖然能防止系統出現資源匱乏，但它卻浪費了CPU周期，而且削弱了系統應對高峰需求的能力。

　　與固定分區類似，自適應分區也能防止資源匱乏。然而，自適應分區采用一種動態調度算法將一個分區內閑置的CPU周期重新分配到另一個需要更多處理時間的分區內。當多個分區內的進程爭奪CPU周期時，自適應分區會執行資源分配。這樣，設計人員就能充分依賴系統資源保證，不必再為固定分區造成的處理能力降低而尋找良策了。

　　監視、停止或重啟進程

　　防止整個系統的進程發生連鎖故障和自我修復功能對可信賴的操作系統至關重要。需確保系統可用性的設備可采用面向硬件的高可用性解決方案和軟件監視程序。

　　監視程序監視系統并進行多級恢復或按要求平穩關機。根據執行方式的不同，當出現故障時它應：先終止然后重啟出現故障的進程而無需重啟系統，或者，終止故障進程和相關進程，初始化硬件使其進入“安全”狀態，然后以協調方式重啟終止的進程，或者，如故障比較嚴重或危及安全，能以受控方式關機或使整個系統復位，并向系統操作員發出報警。

　　在所有情況下，監視程序都必須能自我監控并靈活響應內部故障。如果監視程序意外停止，它必須通過一個鏡像進程復制本身的狀態。

　　最后，軟件監視程序能監視傳統硬件監視程序看不到的系統事件。例如，硬件監視程序能確保驅動程序為硬件服務，但卻很難檢測到其他程序是否正與該驅動程序正確通話。軟件監視程序能彌補這一不足，它會在驅動程序本身出現問題前采取行動。

　　結論

　　發達國家的人口老齡化趨勢和健康預算緊縮都促使醫療服務方式由常規醫院模式向遠程醫療和家庭自助模式轉變。這些變化和最新技術推動遠程醫療設備的市場不斷擴大，其發展速度之快在十年前是難以想象的。

　　設備制造商通過認真分析所選操作系統的性能特征，從而降低成本并提升其產品順利通過行業認證而在市場上大獲成功的機會。采用曾多次成功通過產品安全認證（有據可查）的供應商提供的微內核實時操作系統，能幫助客戶減少順利獲得FDA、MDD和其他標準認證所需的費用。