肖堃-车用底层操作系统的分析与演进方向思考20230326

1 .车用底层操作系统的分析与演进方向思考 

2 .

3 . 车控操作系统 智能驾驶系统 车载操作系统 车控 智能驾 智能空间 驶 虚拟化、多操作系统+AI Classic AUTOSAR 虚拟化技术 Adaptive AUTOSAR 功能安全 快速安全启动 时间敏感网络 多核操作系统应用 定制化中间件开发云服务 功能安全 信息安全 复杂驱动（针对智能执行器） OTA迭代开发 类型 应用领域 典型操作系统 典型技术特征 传统车辆控制领域（动力系统、 车控操作系统 Classic AUTOSAR 高实时、高安全 底盘系统、车身系统等） 信息娱乐系统领域（车机、中控、 车机：实时性中低 车载操作系统 Linux、Android、QNX、AliOS 液晶仪表） 仪表：实时性中高 智能驾驶操作系统 智能驾驶领域（智能驾驶控制器）QNX、Version、Drive OS 高实时、高安全 融合功能安全与网络安全、虚拟化、多种操作系统融合、面向SOA 

4 .

5 .

6 .

7 .操作系统类型 特性 主要代表 狭义操作系统，侧重于底层组件，如内核、Hypervisor、底层 底层操作系统 QNX，Linux，Android 驱动、系统服务、基础库、应用程序框架等 在基础型型操作系统之上，根据应用目的进行定制化开发，如 VW.OS，MB.OS，AAOS， 定制型操作系统 修改内核、硬件驱动、运行环境、应用程序框架 Version MBUX，MMI，iDrive， 基于基础型操作系统进行有限的定制化开发，不涉及系统内核 ROM型操作系统 VolvoCars，SYNC，Honda 更改，一般只修改更新UI、系统自带的应用程序等 Connect • 当前QNX、Linux 、Android仍是底层操作系统的核心玩家，主流车 企的智能驾驶OS或智能座舱OS大多采用QNX+Linux或者是 QNX+Android的组合方式 • 底层操作系统研发是一个系统工程，开发难度大、开发周期较长，需 要投入大量的人力、财力。当前国外的底层操作系统在市场占据优势 地位。 2020年全球汽车底层操作系统市场份额 

8 .

9 .1、高可靠：微内核将应用程序、驱动程 2、高安全：具有分层、全面的安全设 序、协议栈和文件系统等隔离在内核外自 计，包括加密文件系统、内存加密、堆 己的地址空间中。组件之间隔离，不互相 和栈内存保护、支持TPM和TrustZone 干扰，单一组件出现故障不会导致系统崩 的安全启动等。 溃。 3、高实时：支持POSIX实时调度器和零 4、标准化：应用程序编程接口完全符合 星任务调度，针对多核平台支持SMP和 POSIX标准，Linux用户可以快速上手 BMP模式（锁定特定任务到特定处理器 QNX。 核），支持自适应分区。 5、统一微内核：QNX Hypervisor是基于微内核架构的Hypervisor，基于成熟的QNX Neutrino微内核，在保证 系统可靠性、安全性与实时性的同时带来了架构的灵活性 

10 .

11 .

12 .操作系统特性 Linux/AGL QNX Android 实时性 非实时 √ √ 实时 √ 功能安全 功能安全认证 ASIL-D 应用领域 中控 √ √ √ 仪表 √ √ T-BOX √ √ 智能驾驶 √ √ 网络安全 网络安全认证 CC EAL 4+ 内核代码尺寸 千万行级别 十万行级别 千万行级别 Hypervisor实现方式 Linux内核+KVM QNX内核+虚拟化扩展 开放性 √ √ 代码开源 √ √ 缺乏开源、开放，并且满足虚拟化、高等级功能安全认证和网络安全认证需求的底层操作系统 

13 . Monolithic Kernel Microkernel Hybrid Kernel User Application Application Application Mode Unix File Server Server VFS, System Call Application Unix Device File Kernel IPC Server Driver Server Mode IPC, File Systm Application Device IPC Driver Scheduler, Virtual Memory Device Driver, Dispathers... Basic IPC, Virtual Memory, Scheduling Basic IPC, Virtual Memory, Scheduling Hardware Hardware Hardware 

14 .

15 .

16 .

17 .

18 .• 线控系统的任务响应时间必须严格满足所设定的截止期，否则可能会导致车辆对外部事件（如驾驶员的 转向、刹车或加速指令）的响应不及时而进一步导致严重事故 • 自动驾驶场景中，缺乏人类驾驶员的控制，从传感器的感知到计算系统的决策再到执行器执行的端到端 延迟必须严格满足截止期 需要对系统的实时性进行完整的分析 , 才能确保运行的正确性，最终才能保证车辆的安全性 可调度性分析 WCET分析 对操作系统能够调度的任务 WCET指任务在特定的硬件 集进行分析，保证所有实时 平台上执行所需要的时间的 任务满足截止时间要求 最大值，可调度性分析需要 知道任务的WCET 

19 .• 动态度量：在真实环境实中运行任务，通过多次测量任务的执行时间配合统计方法来估算任务的最大执 行时间。因多次执行任务也无法保证覆盖最坏执行情况，故测量得到的执行时间通常小于客观上的 WCET。真实运行环境的构建依赖于测试集，对于测试集设计的科学性要求较高。 • 静态分析：根据任务的程序流信息针对特定的处理器模型并结合计算方法计算出任务的最大执行时间。 静态分析复杂度较高，因为需要对任务的行为或处理器行为进行一定程度的抽象来提高分析效率，但是 抽象会损失信息进而导致过度估计，故分析得到的最大执行时间大于客观上的WCET。静态分析依赖于 工具，对于工具设计的科学性要求较高。 Rhealstone Dhrystone For RTOS RT-Test Thread-Metric 1989 1996 2005 2008 

20 .