探析汽車電子嵌入式操作系統的隔離保護機制

盧從娟

【摘要】 本文針對汽車電子嵌入式操作系統的隔離保護機制進行了簡要探討。

【關鍵詞】 汽車電子 嵌入式操作系統 隔離 分區 保護

本要做好汽車電子嵌入式操作系統的隔離保護，就需要根據實際中的有限的硬件條件與軟件資源，以符合汽車電子嵌入式操作系統操作系統與其應用，還有對應的工作和中斷服務流程等方面的隔離保護要求。汽車電子嵌入式操作系統的隔離保護機制可以高效地降低分頁數量，并增強汽車操作系統的性能與其內部存儲空間的利用程度。應用了相應的隔離保護機制的汽車電子嵌入式操作系統可以在單獨的ECU系統中集成來源不同與安全級別不同的各類軟件。

一、汽車電子嵌入式操作系統的隔離保護機制的目標

為了符合汽車電子與其操作系統的實時性的特定要求，本文針對這一特定的應用領域的規范標準提出了一種將硬件平臺與軟件資源相結合的隔離保護機制，以分層的形式做到隔離保護。并且，這樣可充分發揮硬件平臺本身所具備的保護作用，減少隔離保護對于硬件資源的需求。同時，基于汽車電子嵌入式操作系統的軟件平臺，可以針對操作系統系統的安全性進行加強，滿足細粒度的隔離保護要求。

二、隔離保護機制的整體架構

2.1 整體架構

根據一般汽車電子嵌入式操作系統所采用的硬件設備，其隔離保護機制中的隔離保護一般包含了如下幾個層級：

1）第一級保護

第一級保護主要指的是對于汽車操作系統的保護，一般是以汽車所使用的處理器的運行模式為基礎，對于各類應用的訪問內存的行為進行權限審核與控制，以將操作系統分區跟應用分區進行隔離，加強對于汽車操作系統的保護。

2）第二級保護

第二級保護主要指的是應用隔離，在實際中主要是針對各類應用的非操作系統訪問進行控制，并檢查其頁編號匹配與否，這樣可以做到將不同的應用分區進行隔離。

3）第三級保護

第三級保護主要指的是執行體隔離，要實現應用分區的內部隔離，就需要分離應用中的任務、中斷服務程序等不同執行體所需要的棧空間為基礎進行隔離。

2.2 第一級保護與第二級保護

第一級保護與第二級保護是以MPU、MMU等硬件所支持的分頁方式為基礎的[1]。目前，各類處理器一般所使用的分頁地址轉換方式為如下過程：有效地址會在指令的執行時生成，并與地址空間標識以及用來維護系統即時的應用分區號的PID寄存器相結合，然后將其生成的虛擬地址與TLB中的頁表項進行匹配、比較。每個TLB中的頁表項中含有實際頁地址、訪問權限數據與相應的物理分頁的TID號碼的記錄。當根據有效地址、地址空間標識、PID寄存器所生成的虛擬地址與TLB中的頁表項相匹配時，放可正常地進行地址轉換，最終產生實際物理地址。在汽車電子嵌入式操作系統的實際工作中，有可能產生不匹配的狀態有以下兩種：

1）在TLB中無法找到與之相匹配的有效頁地址

這種狀態通常會出現TLB未命中異常的情況。此時需要在該異常處理程序中進行TLB表項替換，即頁面置換。若在進行TLB表項替換后仍無法與找到該有效頁地址相匹配的頁表項，就表示被訪問的頁不存在。此時應當進入保護錯誤處理。

2）有效頁地址與TLB相匹配，但TLB中的TID無法與PID相匹配

這種狀態通常會出現TLB未命中異常的情況，也就是權限違例。此異常被用于實現不同應用分區之間的隔離，意味著出現了一個應用訪問其他應用私有頁面的情況。

對于以上情況，為做到第一級保護與第二級保護，可以把單獨的不可信的應用分區進行劃分，分成1個數據段以及1個代碼段。同時，將可信的應用與操作系統分區進行劃分，分成1個數據段與系統調用接口段、核心代碼段。最后將每個段都分配至分離的內存頁面中去，以做到以MMU硬件所擁有的分頁機制為基礎的隔離保護。

2.3 第三級保護的分離棧策略

若在對于應用內部的任務、中斷服務程序等不同執行體之間的數據訪問的隔離中應用分頁，就必須劃分出獨立的內存頁，以供不同執行體的數據使用。如此一來，就會使得系統的資源消耗大大增加，并對系統的整體性能產生影響。所以，為了達到隔離保護分區內部細粒度的要求，應當使用分離棧策略，也就是為不同的用戶、任務以及操作系統等提供獨立的棧以供使用。不過，這類獨立的棧并不需要獨立的內存頁。在這些獨立的棧所屬的應用的數據頁面，只需要進行分配操作，而維護管理則通過操作系統來進行[2]。最終完成第三級的隔離保護。

三、結束語

在汽車電子嵌入式操作系統中應用相應的隔離保護機制，可以將不同來源、不同安全完整性的應用、軟件集合在一個ECU系統當中。這樣有助于實現整個系統符合高安全等級的要求，最終到達汽車電子控制系統對于安全性的要求。

參 考 文 獻

[1]James Stegen.數字隔離器：解決汽車xEV應用中的設計難題[J].世界電子元器件，2013，（5）

[2]曹銀波，張志永，沈康等.離子電流檢測系統的抗干擾設計[J].同濟大學學報（自然科學版），2012，40（9）