現(xiàn)代操作系統(tǒng)可以提供各種工具來幫助開發(fā)人員使用現(xiàn)成的軟件構(gòu)建強大的、可安全認(rèn)證的系統(tǒng)。

一個世紀(jì)前，拆除馬匹并用馬達(dá)代替它是一項重大創(chuàng)新。接下來是電啟動器、自動變速器和收音機。隨著電子產(chǎn)品的普及，我們看到了間歇性雨刷、燃油噴射以及發(fā)動機性能增強和監(jiān)控。現(xiàn)在，微處理器和軟件正在推動高級駕駛員輔助系統(tǒng) （ADAS） 的發(fā)展，以幫助駕駛員駕駛汽車。

ADAS 從被動到初級，再到主動，最后到完全自主控制。在被動 ADAS 中，系統(tǒng)會向駕駛員發(fā)出警告，但要由駕駛員采取行動。例如，配備運動檢測器的倒車攝像頭可以在檢測到車后有人時發(fā)出警報，但駕駛員仍必須踩剎車。基本 ADAS 控制的一個例子是自適應(yīng)巡航控制，它可以保持駕駛員設(shè)定的速度并自動調(diào)整以確保與前方車輛的安全距離。主動 ADAS 的一個例子是自動車道保持，它不僅會警告駕駛員，還會主動控制車輛以使其保持在車道內(nèi)。最終，這些技術(shù)將融合在自動駕駛汽車中——一種無需人工干預(yù)就能自行駕駛的汽車。

軟件

ADAS 系統(tǒng)將硬件（例如，攝像頭、雷達(dá)、外來激光瞄準(zhǔn)系統(tǒng)）與相關(guān)的設(shè)備驅(qū)動程序和控制軟件相結(jié)合。附加的軟件層提供模塊之間的通信并實現(xiàn)系統(tǒng)的“高級”功能，例如在倒車時避開汽車后面的行人或協(xié)調(diào)制動系統(tǒng)、轉(zhuǎn)向系統(tǒng)和攝像頭的交互以實現(xiàn)車道保持特征。自動駕駛汽車將需要更多的軟件。

為了提供安全可靠的產(chǎn)品，開發(fā)人員必須使用經(jīng)過認(rèn)證的組件、方法和工具，但他們還必須處理成本限制。因此，為了按時按預(yù)算開發(fā)產(chǎn)品，使用商業(yè)現(xiàn)貨 （COTS） 軟件是有意義的。這種方法在多個 OEM 之間分?jǐn)偭塑浖拈_發(fā)、測試和認(rèn)證成本。同樣，硬件平臺的通用性為 COTS 論點提供了支持——高端豪華車和低端多功能車之間的差異可能非常明顯，但它們可能都使用相同的底層視覺系統(tǒng)。一旦 OEM 熟悉了硬件平臺，他們就可以將其集成到多個型號和產(chǎn)品線中以降低成本。

不受干擾

汽車軟件行業(yè)正在追隨其他依賴軟件并具有嚴(yán)格安全要求的行業(yè)的腳步，包括醫(yī)療、鐵路和核能。每個都有流程和認(rèn)證，以幫助確保一致性、質(zhì)量，尤其是安全性。對于汽車，主要標(biāo)準(zhǔn)是 ISO 26262，“道路車輛 - 功能安全”。它以 IEC 61508“電氣/電子/可編程電子安全相關(guān)系統(tǒng)的功能安全”為藍(lán)本，但專門針對汽車行業(yè)并涉及整個軟件生命周期。

ISO 26262 中的一個關(guān)鍵概念是不受干擾。簡而言之，一個組件不能干擾另一個組件的操作。例如，如果系統(tǒng)同時包含媒體播放器和后視攝像頭，則媒體播放器不應(yīng)干擾攝像頭的操作，即使兩者可能共享同一個 LCD 面板。

現(xiàn)代操作系統(tǒng)平臺的目標(biāo)是減輕軟件進(jìn)程之間所有形式的干擾。例如，操作系統(tǒng)可以使用內(nèi)存管理單元 （MMU） 來確保每個進(jìn)程在一個私有的、硬件強制的地址空間中運行，只有該進(jìn)程可以訪問該地址空間。這種技術(shù)可以防止內(nèi)存干擾。但其他形式的干擾仍然可能發(fā)生——例如，在拒絕服務(wù) （DoS） 攻擊中，一個進(jìn)程可能會消耗所有可用的內(nèi)存或 CPU 資源，從而使其他進(jìn)程處于饑餓狀態(tài)。因此，操作系統(tǒng)還需要支持資源限制和調(diào)度保證。

操作系統(tǒng)架構(gòu)在這里有所作為。尤其是微內(nèi)核操作系統(tǒng)，在確保不受干擾方面比其單片操作系統(tǒng)要好得多。例如，考慮設(shè)備驅(qū)動程序。在諸如 Linux 之類的單片操作系統(tǒng)中，設(shè)備驅(qū)動程序軟件存在于內(nèi)核中。因此，一個設(shè)備驅(qū)動程序中的故障將損壞或可能關(guān)閉整個操作系統(tǒng)。即使從安全角度來看，這也是一個嚴(yán)重的漏洞，因為破壞最不安全的設(shè)備驅(qū)動程序可以讓攻擊者完全控制操作系統(tǒng)。但是，在微內(nèi)核操作系統(tǒng)中，情況并非如此。設(shè)備驅(qū)動程序作為常規(guī)的、最低特權(quán)的、受內(nèi)存保護(hù)的進(jìn)程運行，通過久經(jīng)考驗的 MMU 強制硬件保護(hù)相互隔離（和內(nèi)核）。如果一個驅(qū)動程序發(fā)生故障，系統(tǒng)的其余部分將繼續(xù)工作。

資源限制和自適應(yīng)分區(qū)

調(diào)度爭用是當(dāng)多個進(jìn)程共享一個 CPU 時可能發(fā)生的另一個干擾問題，并且不能通過簡單地分配優(yōu)先級來消除。要了解原因，請考慮以相同優(yōu)先級運行的兩個進(jìn)程。由于錯誤，其中一個進(jìn)程進(jìn)入無限循環(huán)并永遠(yuǎn)運行。另一個進(jìn)程不會被安排運行，因為第一個進(jìn)程正在消耗所有可用的 CPU。解決方案可能看起來很簡單：更改優(yōu)先級，使一個進(jìn)程的優(yōu)先級高于另一個。但這只是將漏洞轉(zhuǎn)移到不同的進(jìn)程。當(dāng) bug 遇到優(yōu)先級較高的進(jìn)程時，該進(jìn)程會占用其他進(jìn)程的 CPU 時間。為了防止任務(wù)匱乏成為問題，系統(tǒng)設(shè)計人員可以使用自適應(yīng)分區(qū)，

例如，使用自適應(yīng)分區(qū)，設(shè)計人員可以將 60% 的 CPU 分配給一個進(jìn)程，將 40% 分配給另一個進(jìn)程。因此，即使兩個進(jìn)程都以最高優(yōu)先級運行，操作系統(tǒng)也將確保第一個進(jìn)程僅消耗 60% 的 CPU，而第二個進(jìn)程則消耗 40% — 完全符合規(guī)定。因為這種方法是“自適應(yīng)的”，它可以將空閑的 CPU 時間分配給可以從中受益的分區(qū)。例如，如果第一個分區(qū)沒有使用任何 CPU，而第二個分區(qū)需要執(zhí)行大量工作，則操作系統(tǒng)可以讓第二個分區(qū)使用超過 40% 的份額，只要它不影響第一個分區(qū)的操作。當(dāng)?shù)谝粋€分區(qū)需要 CPU 時間時，操作系統(tǒng)保證它應(yīng)該擁有 60% 的 CPU。

高級操作系統(tǒng)提供細(xì)粒度的權(quán)限映射。內(nèi)核提供的每個不同的功能，例如設(shè)置時間、附加到中斷或創(chuàng)建進(jìn)程，都被分配了一個特權(quán)級別。然后，操作系統(tǒng)內(nèi)核將進(jìn)程限制為所需的絕對最低權(quán)限。進(jìn)程可以以“額外”權(quán)限啟動（例如，為了設(shè)置硬件映射并附加到中斷），然后它們可以在其穩(wěn)態(tài)操作中放棄一次?！耙?root 身份運行”的概念不再相關(guān)或不可接受。

管理程序

ISO 26262 認(rèn)證的系統(tǒng)也可以使用管理程序。如前所述，自適應(yīng)分區(qū)允許我們在同一個 CPU 上運行多個進(jìn)程，并對它們之間的交互做出強有力的保證。管理程序允許我們從兩個額外的配置選項中受益。在一種情況下，我們可能希望將經(jīng)過認(rèn)證的系統(tǒng)與未經(jīng)認(rèn)證的系統(tǒng)結(jié)合起來，例如后視攝像頭和多媒體播放器。多媒體播放器可能會進(jìn)行更頻繁的更新，并且由于它不是關(guān)鍵系統(tǒng)，因此不需要進(jìn)行認(rèn)證。管理程序可以以簡單且經(jīng)濟高效的方式在認(rèn)證域和非認(rèn)證域之間創(chuàng)建明確的分隔。

管理程序還可以允許多媒體播放器在未經(jīng)認(rèn)證的商品操作系統(tǒng)（例如 Linux）上運行，同時允許經(jīng)過安全認(rèn)證的關(guān)鍵軟件在實時操作系統(tǒng)（例如 QNX Neutrino）上運行。同樣，管理程序在認(rèn)證部分和非認(rèn)證部分之間提供了有效的屏障。使用管理程序的好處包括硬件整合（一個 CPU、一個 LCD 面板）和較低的認(rèn)證成本，從而在保持安全認(rèn)證的同時降低整體系統(tǒng)成本。

審核編輯：郭婷