現(xiàn)代操作系統(tǒng)可以提供各種工具來幫助開發(fā)人員使用現(xiàn)成的軟件構(gòu)建強(qiáng)大的、可安全認(rèn)證的系統(tǒng)。

一個(gè)世紀(jì)前，拆除馬匹并用馬達(dá)代替它是一項(xiàng)重大創(chuàng)新。接下來是電啟動(dòng)器、自動(dòng)變速器和收音機(jī)。隨著電子產(chǎn)品的普及，我們看到了間歇性雨刷、燃油噴射以及發(fā)動(dòng)機(jī)性能增強(qiáng)和監(jiān)控?，F(xiàn)在，微處理器和軟件正在推動(dòng)高級(jí)駕駛員輔助系統(tǒng) （ADAS） 的發(fā)展，以幫助駕駛員駕駛汽車。

ADAS 從被動(dòng)到初級(jí)，再到主動(dòng)，最后到完全自主控制。在被動(dòng) ADAS 中，系統(tǒng)會(huì)向駕駛員發(fā)出警告，但要由駕駛員采取行動(dòng)。例如，配備運(yùn)動(dòng)檢測(cè)器的倒車攝像頭可以在檢測(cè)到車后有人時(shí)發(fā)出警報(bào)，但駕駛員仍必須踩剎車。基本 ADAS 控制的一個(gè)例子是自適應(yīng)巡航控制，它可以保持駕駛員設(shè)定的速度并自動(dòng)調(diào)整以確保與前方車輛的安全距離。主動(dòng) ADAS 的一個(gè)例子是自動(dòng)車道保持，它不僅會(huì)警告駕駛員，還會(huì)主動(dòng)控制車輛以使其保持在車道內(nèi)。最終，這些技術(shù)將融合在自動(dòng)駕駛汽車中——一種無需人工干預(yù)就能自行駕駛的汽車。

軟件

ADAS 系統(tǒng)將硬件（例如，攝像頭、雷達(dá)、外來激光瞄準(zhǔn)系統(tǒng)）與相關(guān)的設(shè)備驅(qū)動(dòng)程序和控制軟件相結(jié)合。附加的軟件層提供模塊之間的通信并實(shí)現(xiàn)系統(tǒng)的“高級(jí)”功能，例如在倒車時(shí)避開汽車后面的行人或協(xié)調(diào)制動(dòng)系統(tǒng)、轉(zhuǎn)向系統(tǒng)和攝像頭的交互以實(shí)現(xiàn)車道保持特征。自動(dòng)駕駛汽車將需要更多的軟件。

為了提供安全可靠的產(chǎn)品，開發(fā)人員必須使用經(jīng)過認(rèn)證的組件、方法和工具，但他們還必須處理成本限制。因此，為了按時(shí)按預(yù)算開發(fā)產(chǎn)品，使用商業(yè)現(xiàn)貨 （COTS） 軟件是有意義的。這種方法在多個(gè) OEM 之間分?jǐn)偭塑浖拈_發(fā)、測(cè)試和認(rèn)證成本。同樣，硬件平臺(tái)的通用性為 COTS 論點(diǎn)提供了支持——高端豪華車和低端多功能車之間的差異可能非常明顯，但它們可能都使用相同的底層視覺系統(tǒng)。一旦 OEM 熟悉了硬件平臺(tái)，他們就可以將其集成到多個(gè)型號(hào)和產(chǎn)品線中以降低成本。

不受干擾

汽車軟件行業(yè)正在追隨其他依賴軟件并具有嚴(yán)格安全要求的行業(yè)的腳步，包括醫(yī)療、鐵路和核能。每個(gè)都有流程和認(rèn)證，以幫助確保一致性、質(zhì)量，尤其是安全性。對(duì)于汽車，主要標(biāo)準(zhǔn)是 ISO 26262，“道路車輛 - 功能安全”。它以 IEC 61508“電氣/電子/可編程電子安全相關(guān)系統(tǒng)的功能安全”為藍(lán)本，但專門針對(duì)汽車行業(yè)并涉及整個(gè)軟件生命周期。

ISO 26262 中的一個(gè)關(guān)鍵概念是不受干擾。簡(jiǎn)而言之，一個(gè)組件不能干擾另一個(gè)組件的操作。例如，如果系統(tǒng)同時(shí)包含媒體播放器和后視攝像頭，則媒體播放器不應(yīng)干擾攝像頭的操作，即使兩者可能共享同一個(gè) LCD 面板。

現(xiàn)代操作系統(tǒng)平臺(tái)的目標(biāo)是減輕軟件進(jìn)程之間所有形式的干擾。例如，操作系統(tǒng)可以使用內(nèi)存管理單元 （MMU） 來確保每個(gè)進(jìn)程在一個(gè)私有的、硬件強(qiáng)制的地址空間中運(yùn)行，只有該進(jìn)程可以訪問該地址空間。這種技術(shù)可以防止內(nèi)存干擾。但其他形式的干擾仍然可能發(fā)生——例如，在拒絕服務(wù) （DoS） 攻擊中，一個(gè)進(jìn)程可能會(huì)消耗所有可用的內(nèi)存或 CPU 資源，從而使其他進(jìn)程處于饑餓狀態(tài)。因此，操作系統(tǒng)還需要支持資源限制和調(diào)度保證。

操作系統(tǒng)架構(gòu)在這里有所作為。尤其是微內(nèi)核操作系統(tǒng)，在確保不受干擾方面比其單片操作系統(tǒng)要好得多。例如，考慮設(shè)備驅(qū)動(dòng)程序。在諸如 Linux 之類的單片操作系統(tǒng)中，設(shè)備驅(qū)動(dòng)程序軟件存在于內(nèi)核中。因此，一個(gè)設(shè)備驅(qū)動(dòng)程序中的故障將損壞或可能關(guān)閉整個(gè)操作系統(tǒng)。即使從安全角度來看，這也是一個(gè)嚴(yán)重的漏洞，因?yàn)槠茐淖畈话踩脑O(shè)備驅(qū)動(dòng)程序可以讓攻擊者完全控制操作系統(tǒng)。但是，在微內(nèi)核操作系統(tǒng)中，情況并非如此。設(shè)備驅(qū)動(dòng)程序作為常規(guī)的、最低特權(quán)的、受內(nèi)存保護(hù)的進(jìn)程運(yùn)行，通過久經(jīng)考驗(yàn)的 MMU 強(qiáng)制硬件保護(hù)相互隔離（和內(nèi)核）。如果一個(gè)驅(qū)動(dòng)程序發(fā)生故障，系統(tǒng)的其余部分將繼續(xù)工作。

資源限制和自適應(yīng)分區(qū)

調(diào)度爭(zhēng)用是當(dāng)多個(gè)進(jìn)程共享一個(gè) CPU 時(shí)可能發(fā)生的另一個(gè)干擾問題，并且不能通過簡(jiǎn)單地分配優(yōu)先級(jí)來消除。要了解原因，請(qǐng)考慮以相同優(yōu)先級(jí)運(yùn)行的兩個(gè)進(jìn)程。由于錯(cuò)誤，其中一個(gè)進(jìn)程進(jìn)入無限循環(huán)并永遠(yuǎn)運(yùn)行。另一個(gè)進(jìn)程不會(huì)被安排運(yùn)行，因?yàn)榈谝粋€(gè)進(jìn)程正在消耗所有可用的 CPU。解決方案可能看起來很簡(jiǎn)單：更改優(yōu)先級(jí)，使一個(gè)進(jìn)程的優(yōu)先級(jí)高于另一個(gè)。但這只是將漏洞轉(zhuǎn)移到不同的進(jìn)程。當(dāng) bug 遇到優(yōu)先級(jí)較高的進(jìn)程時(shí)，該進(jìn)程會(huì)占用其他進(jìn)程的 CPU 時(shí)間。為了防止任務(wù)匱乏成為問題，系統(tǒng)設(shè)計(jì)人員可以使用自適應(yīng)分區(qū)，

例如，使用自適應(yīng)分區(qū)，設(shè)計(jì)人員可以將 60% 的 CPU 分配給一個(gè)進(jìn)程，將 40% 分配給另一個(gè)進(jìn)程。因此，即使兩個(gè)進(jìn)程都以最高優(yōu)先級(jí)運(yùn)行，操作系統(tǒng)也將確保第一個(gè)進(jìn)程僅消耗 60% 的 CPU，而第二個(gè)進(jìn)程則消耗 40% — 完全符合規(guī)定。因?yàn)檫@種方法是“自適應(yīng)的”，它可以將空閑的 CPU 時(shí)間分配給可以從中受益的分區(qū)。例如，如果第一個(gè)分區(qū)沒有使用任何 CPU，而第二個(gè)分區(qū)需要執(zhí)行大量工作，則操作系統(tǒng)可以讓第二個(gè)分區(qū)使用超過 40% 的份額，只要它不影響第一個(gè)分區(qū)的操作。當(dāng)?shù)谝粋€(gè)分區(qū)需要 CPU 時(shí)間時(shí)，操作系統(tǒng)保證它應(yīng)該擁有 60% 的 CPU。

高級(jí)操作系統(tǒng)提供細(xì)粒度的權(quán)限映射。內(nèi)核提供的每個(gè)不同的功能，例如設(shè)置時(shí)間、附加到中斷或創(chuàng)建進(jìn)程，都被分配了一個(gè)特權(quán)級(jí)別。然后，操作系統(tǒng)內(nèi)核將進(jìn)程限制為所需的絕對(duì)最低權(quán)限。進(jìn)程可以以“額外”權(quán)限啟動(dòng)（例如，為了設(shè)置硬件映射并附加到中斷），然后它們可以在其穩(wěn)態(tài)操作中放棄一次?！耙?root 身份運(yùn)行”的概念不再相關(guān)或不可接受。

管理程序

ISO 26262 認(rèn)證的系統(tǒng)也可以使用管理程序。如前所述，自適應(yīng)分區(qū)允許我們?cè)谕粋€(gè) CPU 上運(yùn)行多個(gè)進(jìn)程，并對(duì)它們之間的交互做出強(qiáng)有力的保證。管理程序允許我們從兩個(gè)額外的配置選項(xiàng)中受益。在一種情況下，我們可能希望將經(jīng)過認(rèn)證的系統(tǒng)與未經(jīng)認(rèn)證的系統(tǒng)結(jié)合起來，例如后視攝像頭和多媒體播放器。多媒體播放器可能會(huì)進(jìn)行更頻繁的更新，并且由于它不是關(guān)鍵系統(tǒng)，因此不需要進(jìn)行認(rèn)證。管理程序可以以簡(jiǎn)單且經(jīng)濟(jì)高效的方式在認(rèn)證域和非認(rèn)證域之間創(chuàng)建明確的分隔。

管理程序還可以允許多媒體播放器在未經(jīng)認(rèn)證的商品操作系統(tǒng)（例如 Linux）上運(yùn)行，同時(shí)允許經(jīng)過安全認(rèn)證的關(guān)鍵軟件在實(shí)時(shí)操作系統(tǒng)（例如 QNX Neutrino）上運(yùn)行。同樣，管理程序在認(rèn)證部分和非認(rèn)證部分之間提供了有效的屏障。使用管理程序的好處包括硬件整合（一個(gè) CPU、一個(gè) LCD 面板）和較低的認(rèn)證成本，從而在保持安全認(rèn)證的同時(shí)降低整體系統(tǒng)成本。

審核編輯：郭婷