微內核操作系統在嵌入式平臺上的應用

張蔭芾　徐國治　周玲玲

摘要：針對嵌入式系統飛速發展的趨勢，本文分析了嵌入式平臺對操作系統的需求以及微內核操作系統的特點，并指出了兩者之間的匹配之處。隨著微內核技術的成熟，微內核操作將成為嵌入式平臺一個很好的選擇。

關鍵詞：微內核；操作系統；嵌入式

引言

在最近的幾年中，嵌入式技術得到了飛速的發展。大到汽車、電梯、醫療儀器乃至工業設備，小到手機、MP4、照相機等消費電子產品，甚至是人們生活中所熟知的電冰箱、微波爐、洗衣機等傳統電器，到處可以看到嵌入式系統的身影。根據BCC Research Group的分析結果，嵌入式行業在最近5年中保持著年均14％的增長，到2009年將會成為一個880億的巨大市場。

所謂嵌入式系統是指為特定應用而設計的專用電腦系統，通常執行的是帶有特定要求的預先定義的任務。說到嵌入式系統上的操作系統，人們首先想到的是各種經過裁剪的Linux以及WinCE。但是Linux和WinCE本身作為單內核(monolithickernel)操作系統，內核部分過于復雜，并不適用于嵌入式平臺。而uC/OS－Ⅱ和eCos等又過于簡單，不能提供完整的功能。而隨著微內核(microkernel)操作系統的理論和實現越來越成熟，微內核操作系統開始成為嵌入式平臺一個很好的選擇。

嵌入式平臺對操作系統的需求

嵌入式平臺上運行的操作系統一方面會根據嵌入式平臺所執行的功能對內核組件進行裁剪，在滿足系統的應用功能的基礎上去除不必要的部分，另一方面，嵌入式平臺對操作系統的可靠性，實時性和安全性特性有很高的要求。

可靠性是指嵌入式設備特別是工業設備中的嵌入式系統經常需要連續運行數以年計的時間而不出差錯。可以想像如果飛機中的嵌入式系統在飛機飛行時崩潰重啟，會造成多么大的危害。這就要求嵌入式系統上的操作系統的運行完全沒有錯誤，或者在錯誤出現的時候可以快速自動復位，并且避免在操作系統中使用不穩定的模塊。

實時性是指系統能在確定的時間內執行操作并對外部的異步事件做出響應，比如汽車發生車禍時安全氣囊必須在極短的時間內打開。一次正確的操作不僅要求邏輯功能上的正確，而且要求完成這些操作所花費的時間在限定之內。實時又分成硬實時和軟實時，硬實時要求任務在規定時間內必須完成，這由操作系統來保證；而軟實時要求事件響應是實時的，并按照任務的優先級，盡可能在短時間內完成任務。實時操作系統需要調度一切可利用的資源完成有實時性要求的任務，其次才著考慮提高操作系統的整體效率。

隨著嵌入式系統越來越多得與外部連接，甚至是通過互聯網連接，其安全性也越來越受到關注。比如用掌上電腦進行網上購物的時候，用戶的銀行帳號信息必須得到嚴格的保護。安全性具體是指要求嵌入式設備在與外部連接的過程中，其內部的數據不會偶然或被惡意地破壞、更改或者泄露，維持嵌入式系統中信息的保密性和完整性。

微內核操作系統

所謂微內核是一種最小的的計算機操作系統內核，其設計思想是內核本身不提供操作系統的相關服務，而是提供實現這些服務的機制，諸如底層的地址空間管理，線程調度以及進程間通信。一般的硬件都有執行權限級別，比如IntelIA32架構有Ringo到Ring3的特權級，而一般的操作系統至少會用到兩個，稱之為內核態和用戶態。而對于微內核操作系統來說，并非操作系統服務都運行于內核態，而是提供服務實現的機制部分運行于內核態；而操作系統的服務，包括設備驅動，文件系統和用戶界面等則作為用戶態的服務應用程序運行。

如圖2所示，左邊的是單內核操作系統的結構示意圖。我們常用的Windows操作系統和Linux操作系統都屬于這個類型。單內核操作系統的內核提供完整的操作系統服務，比如圖中所示的文件系統，進程間通信，進程調度器，內存管理，設備驅動程序等等。而應用程序則運行在用戶態，應用程序想要使用操作系統提供的服務，需要通過內核提供的接口，我們稱之為系統調用。當應用程序進程執行系統調用時，會陷入到內核的代碼去執行，進程此時運行于內核態，處理器處于特權級最高的Ring0狀態執行。當應用程序需要的操作系統服務調用完成，進程回到原本的應用程序代碼中繼續執行，也同時回到了用戶態，在Ring3的特權級上運行。

而對于右邊的微內核操作系統，操作系統的內核部分被大大簡化，只包括基本的IPC機制，虛擬內存映射和調度機制，這些僅僅是用于實現操作系統服務的基本機制。真正的操作系統服務，比如設備驅動，文件系統，應用程序間通信等，通過用戶態服務程序的方式實現。當普通的應用程序需要操作系統的相關服務時，通過發送1PC消息給這個服務程序，這些服務程序進行相關的操作，必要時也會通過內核提供的系統調用陷入到內核態去執行基本的操作，并把結果再通過IPC返回給請求服務的應用程序。

微內核操作系統特點

微內核操作系統特有的架構帶來的很多優點，這些特點正好匹配了嵌入式平臺對操作系統的需求，非常適合于嵌入式環境的應用。

首先是可靠性，按照單內核操作系統的設計，內核包括所有的操作系統服務，其中任何一個服務出錯，就會造成整個系統的崩潰。微內核操作系統的設計思想是在內核中留盡量少的東西，只保留實現操作系統服務的最基本機制，而把具體服務的實現放到用戶態的服務應用程序中去。這就大大降低了內核崩潰的幾率。特別是目前操作系統的許多錯誤都是因為不規范，并且沒有經過嚴格測試的驅動程序造成的。圖3顯示了Linux內核代碼不同目錄的錯誤分布，顯然驅動程序的錯誤是主要原因。

然后是實時性。實時性是指操作系統對響應時間有嚴格的要求，不僅要求成功執行還要求在規定的時間內完成所有操作。一般會要求操作系統內核是搶占式的，并且內核的代碼是可重人的。微內核操作系統內核較小也意味著需要實時化的部分較少。而且微內核之上也可以很方便同時運行實時的程序和一般的非實時的程序。

此外還不能忘了安全性。設計安全系統的準則是最小權限準則，也即所有的部件都只擁有執行相關功能所必須的權限，而沒有額外的權限。最小權限準則需要系統的可信計算基礎盡可能地小。可信計算基礎(Trusted Compuring Base)是指整個系統中對安全性最關鍵的部分，在可信計算基礎內的漏洞會危及整個系統的安全性。因為操作系統內核是可信計算基礎中最重要的一部分，微內核操作系統內核較小的特點使之在安全性應用方面很有優勢。

上面說了很多微內核操作系統的優點，但微內核架構也不是完美的，它有一個很大的缺點那就是性能。我們知道對于單內核操作系統，調用系統服務的方式是用過系統調用，需要的僅僅是用戶態和內核態的兩次轉換，每個進程都同時有用戶棧和內核棧可以存放執行過程中的信息。而對于微內核操作系統，調用系統服務需要通過發送IPC消息給服務應用程序，服務應用程序通過系統調用完成服務請求后再通過另一個IPC消息把結果返回給調用者。這涉及到了進程的上下文切換，并且由于沒有內核棧這樣簡單的機制，傳送消息需要額外的拷貝開銷。因此性能對于微內核架構操作系統成了一個很大的問題。事實上第一代微內核操作系統諸如Mach之上運行的系統的性能讓人難以接受。然而以L4為首的第二代微內核操作系統通過合理的架構設計，將IPC的開銷相對Mach成數量級級別得減少。有分析表明在L4微內核操作系統之上運行的L4Linux的性能相對原本的Linux只有幾個百分點的損失。

結語

綜上文所述，微內核操作系統的可靠性、實時性和安全性特點很好得匹配了嵌入式平臺對操作系統的需求。隨著對微內核操作系統研究的深入，其相應技術將會不斷地成熟，性能也會不斷地提高，可以預見不久的將來，我們將會見到越來越多的微內核操作系統被應用到嵌入式平臺上。