現代操作系統可以提供各種工具來幫助開發人員使用現成的軟件構建強大的、可安全認證的系統。

一個世紀前，拆除馬匹并用馬達代替它是一項重大創新。接下來是電啟動器、自動變速器和收音機。隨著電子產品的普及，我們看到了間歇性雨刷、燃油噴射以及發動機性能增強和監控。現在，微處理器和軟件正在推動高級駕駛員輔助系統 （ADAS） 的發展，以幫助駕駛員駕駛汽車。

ADAS 從被動到初級，再到主動，最后到完全自主控制。在被動 ADAS 中，系統會向駕駛員發出警告，但要由駕駛員采取行動。例如，配備運動檢測器的倒車攝像頭可以在檢測到車后有人時發出警報，但駕駛員仍必須踩剎車。基本 ADAS 控制的一個例子是自適應巡航控制，它可以保持駕駛員設定的速度并自動調整以確保與前方車輛的安全距離。主動 ADAS 的一個例子是自動車道保持，它不僅會警告駕駛員，還會主動控制車輛以使其保持在車道內。最終，這些技術將融合在自動駕駛汽車中——一種無需人工干預就能自行駕駛的汽車。

軟件

ADAS 系統將硬件（例如，攝像頭、雷達、外來激光瞄準系統）與相關的設備驅動程序和控制軟件相結合。附加的軟件層提供模塊之間的通信并實現系統的“高級”功能，例如在倒車時避開汽車后面的行人或協調制動系統、轉向系統和攝像頭的交互以實現車道保持特征。自動駕駛汽車將需要更多的軟件。

為了提供安全可靠的產品，開發人員必須使用經過認證的組件、方法和工具，但他們還必須處理成本限制。因此，為了按時按預算開發產品，使用商業現貨 （COTS） 軟件是有意義的。這種方法在多個 OEM 之間分攤了軟件的開發、測試和認證成本。同樣，硬件平臺的通用性為 COTS 論點提供了支持——高端豪華車和低端多功能車之間的差異可能非常明顯，但它們可能都使用相同的底層視覺系統。一旦 OEM 熟悉了硬件平臺，他們就可以將其集成到多個型號和產品線中以降低成本。

不受干擾

汽車軟件行業正在追隨其他依賴軟件并具有嚴格安全要求的行業的腳步，包括醫療、鐵路和核能。每個都有流程和認證，以幫助確保一致性、質量，尤其是安全性。對于汽車，主要標準是 ISO 26262，“道路車輛 - 功能安全”。它以 IEC 61508“電氣/電子/可編程電子安全相關系統的功能安全”為藍本，但專門針對汽車行業并涉及整個軟件生命周期。

ISO 26262 中的一個關鍵概念是不受干擾。簡而言之，一個組件不能干擾另一個組件的操作。例如，如果系統同時包含媒體播放器和后視攝像頭，則媒體播放器不應干擾攝像頭的操作，即使兩者可能共享同一個 LCD 面板。

現代操作系統平臺的目標是減輕軟件進程之間所有形式的干擾。例如，操作系統可以使用內存管理單元 （MMU） 來確保每個進程在一個私有的、硬件強制的地址空間中運行，只有該進程可以訪問該地址空間。這種技術可以防止內存干擾。但其他形式的干擾仍然可能發生——例如，在拒絕服務 （DoS） 攻擊中，一個進程可能會消耗所有可用的內存或 CPU 資源，從而使其他進程處于饑餓狀態。因此，操作系統還需要支持資源限制和調度保證。

操作系統架構在這里有所作為。尤其是微內核操作系統，在確保不受干擾方面比其單片操作系統要好得多。例如，考慮設備驅動程序。在諸如 Linux 之類的單片操作系統中，設備驅動程序軟件存在于內核中。因此，一個設備驅動程序中的故障將損壞或可能關閉整個操作系統。即使從安全角度來看，這也是一個嚴重的漏洞，因為破壞最不安全的設備驅動程序可以讓攻擊者完全控制操作系統。但是，在微內核操作系統中，情況并非如此。設備驅動程序作為常規的、最低特權的、受內存保護的進程運行，通過久經考驗的 MMU 強制硬件保護相互隔離（和內核）。如果一個驅動程序發生故障，系統的其余部分將繼續工作。

資源限制和自適應分區

調度爭用是當多個進程共享一個 CPU 時可能發生的另一個干擾問題，并且不能通過簡單地分配優先級來消除。要了解原因，請考慮以相同優先級運行的兩個進程。由于錯誤，其中一個進程進入無限循環并永遠運行。另一個進程不會被安排運行，因為第一個進程正在消耗所有可用的 CPU。解決方案可能看起來很簡單：更改優先級，使一個進程的優先級高于另一個。但這只是將漏洞轉移到不同的進程。當 bug 遇到優先級較高的進程時，該進程會占用其他進程的 CPU 時間。為了防止任務匱乏成為問題，系統設計人員可以使用自適應分區，

例如，使用自適應分區，設計人員可以將 60% 的 CPU 分配給一個進程，將 40% 分配給另一個進程。因此，即使兩個進程都以最高優先級運行，操作系統也將確保第一個進程僅消耗 60% 的 CPU，而第二個進程則消耗 40% — 完全符合規定。因為這種方法是“自適應的”，它可以將空閑的 CPU 時間分配給可以從中受益的分區。例如，如果第一個分區沒有使用任何 CPU，而第二個分區需要執行大量工作，則操作系統可以讓第二個分區使用超過 40% 的份額，只要它不影響第一個分區的操作。當第一個分區需要 CPU 時間時，操作系統保證它應該擁有 60% 的 CPU。

高級操作系統提供細粒度的權限映射。內核提供的每個不同的功能，例如設置時間、附加到中斷或創建進程，都被分配了一個特權級別。然后，操作系統內核將進程限制為所需的絕對最低權限。進程可以以“額外”權限啟動（例如，為了設置硬件映射并附加到中斷），然后它們可以在其穩態操作中放棄一次。“以 root 身份運行”的概念不再相關或不可接受。

管理程序

ISO 26262 認證的系統也可以使用管理程序。如前所述，自適應分區允許我們在同一個 CPU 上運行多個進程，并對它們之間的交互做出強有力的保證。管理程序允許我們從兩個額外的配置選項中受益。在一種情況下，我們可能希望將經過認證的系統與未經認證的系統結合起來，例如后視攝像頭和多媒體播放器。多媒體播放器可能會進行更頻繁的更新，并且由于它不是關鍵系統，因此不需要進行認證。管理程序可以以簡單且經濟高效的方式在認證域和非認證域之間創建明確的分隔。

管理程序還可以允許多媒體播放器在未經認證的商品操作系統（例如 Linux）上運行，同時允許經過安全認證的關鍵軟件在實時操作系統（例如 QNX Neutrino）上運行。同樣，管理程序在認證部分和非認證部分之間提供了有效的屏障。使用管理程序的好處包括硬件整合（一個 CPU、一個 LCD 面板）和較低的認證成本，從而在保持安全認證的同時降低整體系統成本。

審核編輯：郭婷