某廠家 QNX 微內(nèi)系統(tǒng)應(yīng)用案例

長(zhǎng)城汽車(chē)集團(tuán)旗下某廠家在其全棧自研的小魔盒3.0 智能駕駛系統(tǒng)中，搭載了QNX OS for Safety 2.2 操作系統(tǒng)，實(shí)現(xiàn)多種場(chǎng)景下的智能輔助駕駛。

眾所周知，自動(dòng)駕駛系統(tǒng)中有著大量的算法任務(wù)調(diào)度，海量的傳感器數(shù)據(jù)交互，加上自動(dòng)駕駛特有的應(yīng)用場(chǎng)景，因此對(duì)操作系統(tǒng)有著非常嚴(yán)格的要求。對(duì)于操作系統(tǒng)而言，不但對(duì)實(shí)時(shí)性有著非常嚴(yán)格的要求，安全方面更是重中之重。QNX 作為嵌入式軟件行業(yè)的領(lǐng)導(dǎo)者，全球汽車(chē)裝載量超過(guò) 2.15 億，它的微內(nèi)核架構(gòu)不僅保證了操作系統(tǒng)服務(wù)的硬實(shí)時(shí)性，并且在軟件架構(gòu)上也契合了 SOA 的軟件開(kāi)發(fā)思路，使得小魔盒在軟件架構(gòu)的設(shè)計(jì)上更簡(jiǎn)潔。QNX 功能安全更是其優(yōu)勢(shì)所在，OS for Safety 2.2 通過(guò)了 ISO 26262 ASIL-D 認(rèn)證，得益于此，小魔盒的安全認(rèn)證變得更為簡(jiǎn)單。

小魔盒 3.0 將于 2022 年下半年首發(fā)于長(zhǎng)城摩卡 dht-phev 激光雷達(dá)版，獨(dú)有的城市 NOH 功能更是解鎖了城市導(dǎo)航輔助駕駛，整體自動(dòng)駕駛能力處于行業(yè)一流水平。

2.4  虛擬化

隨著 ICT 技術(shù)的發(fā)展，單 SOC 算力可以承擔(dān)更多業(yè)務(wù)，網(wǎng)絡(luò)帶寬拓展及低時(shí)延、區(qū)分服務(wù)等特性使得業(yè)務(wù)部署、功能分配更加靈活，比如 : 感知、融合、規(guī)劃、控制、執(zhí)行可分離解耦，汽車(chē)業(yè)務(wù)功能可分可合、可軟件定義。電子電氣架構(gòu)從分布式架構(gòu)到域集中式架構(gòu)，再到中央集中式架構(gòu)轉(zhuǎn)變，分散的 ECU 功能集成到域控制器甚至車(chē)載中央計(jì)算機(jī)，這就是多域融合。

汽車(chē)電子底層硬件不再是由單一芯片提供簡(jiǎn)單的邏輯計(jì)算，而是需要復(fù)雜的多核 SoC 芯片提供更為復(fù)雜控制邏輯以及強(qiáng)大的算力支持。但是多域業(yè)務(wù)具有不同的技術(shù)需求，比如座艙域 IVI 業(yè)務(wù)強(qiáng)調(diào)交互體驗(yàn)、應(yīng)用生態(tài)豐富，比較適合的操作系統(tǒng)是 Android；儀表盤(pán)、輔助駕駛有實(shí)時(shí)性、可靠性要求，操作系統(tǒng)傾向于  RTLinux、RTOS ；智駕域強(qiáng)調(diào)大算力融合感知、推演規(guī)劃，也有實(shí)時(shí)性、可靠性要求，也會(huì)選擇   RTLinux、RTOS。在域融合的同時(shí)，要保證關(guān)鍵業(yè)務(wù)的安全可靠，也要考慮應(yīng)用生態(tài)的可持續(xù)性兼容， 這就需要有資源隔離技術(shù)來(lái)支撐在同一 SOC 上切分資源，可并發(fā)運(yùn)行多種操作系統(tǒng)，保障互不干擾。

資源隔離技術(shù)有多種，從硬件底層逐層向上包括硬件隔離、虛擬化隔離、容器隔離、進(jìn)程隔離等。硬件隔離的隔離性最好，單隔離域的性能、安全可靠性最好，但靈活性、可配置性差，不能實(shí)現(xiàn)硬件共享， 導(dǎo)致整個(gè)系統(tǒng)的資源利用率差，不能充分達(dá)到軟件定義汽車(chē)的目標(biāo)。容器隔離、進(jìn)程隔離可以更輕量級(jí)地實(shí)現(xiàn)業(yè)務(wù)隔離，但還是在同一個(gè)操作系統(tǒng)內(nèi)，存在著資源干擾、相互安全攻擊的隱患，并且無(wú)法支持異構(gòu)操作系統(tǒng)業(yè)務(wù)域融合，影響傳統(tǒng)業(yè)務(wù)繼承，不利于生態(tài)發(fā)展。在眾多的資源隔離技術(shù)中，虛擬化是安全可靠、彈性靈活的優(yōu)選方案，是軟件定義汽車(chē)的重要支撐技術(shù)。典型應(yīng)用場(chǎng)景如圖 2.4-1 所示：

圖2.4-1 虛擬化典型應(yīng)用場(chǎng)景

2.4.1  技術(shù)形態(tài)

Hypervisor 直譯即 “超級(jí)監(jiān)督者” ，也稱(chēng)為虛擬機(jī)監(jiān)控程序（VMM）。如圖 2.4-2 所示，Hypervisor處于 SoC 硬件平臺(tái)之上，將實(shí)體資源（如 CPU、內(nèi)存、存儲(chǔ)空間、網(wǎng)絡(luò)適配器、外設(shè)等 ) 轉(zhuǎn)換為虛擬資源， 按需分配給每個(gè)虛擬機(jī)，允許它們獨(dú)立地訪問(wèn)已授權(quán)的虛擬資源。Hypervisor 實(shí)現(xiàn)了硬件資源的整合和隔離，使應(yīng)用程序既能共享 CPU 等物理硬件，也能依托不同的內(nèi)核環(huán)境和驅(qū)動(dòng)運(yùn)行，從而滿(mǎn)足汽車(chē)領(lǐng)域多元化應(yīng)用場(chǎng)景需求。

圖2.4-2虛擬化在系統(tǒng)中的位置

在汽車(chē)領(lǐng)域，Hypervisior 主要完成以下任務(wù)：

• CPU 虛擬化：為虛擬機(jī)提供 VCPU 資源和運(yùn)行環(huán)境；

• 內(nèi)存虛擬化：負(fù)責(zé)為其自身和虛擬機(jī)分配和管理硬件內(nèi)存資源；

• 中斷虛擬化：發(fā)生中斷和異常時(shí)，按需將中斷和異常路由到虛擬機(jī)進(jìn)行處理；

• 虛擬機(jī)設(shè)備模擬：根據(jù)需求創(chuàng)建虛擬機(jī)可以訪問(wèn)的虛擬硬件組件；

• 硬件支持 BSP：提供 Hypervisor 在 SoC 上運(yùn)行的板級(jí)支持包，如串口驅(qū)動(dòng)；

• 虛擬機(jī)資源配置：對(duì)虛擬機(jī)的 CPU，內(nèi)存，IO 外設(shè)等資源進(jìn)行配置和管理；

• 虛擬機(jī)通信：為虛擬機(jī)提供  IPC，共享內(nèi)存等通信機(jī)制。

• 虛擬機(jī)調(diào)度：為虛擬機(jī)提供優(yōu)先級(jí)和時(shí)間片等調(diào)度算法；

• 虛擬機(jī)生命周期管理：創(chuàng)建，啟動(dòng)和停止虛擬機(jī)；

• 虛擬機(jī)調(diào)測(cè)服務(wù)：提供控制臺(tái)，日志等調(diào)試功能；在汽車(chē)領(lǐng)域，Hypervisior 還面臨如下挑戰(zhàn)：

• 輕量高效。Hypervisor 在帶來(lái)軟件定義的靈活性的同時(shí)，也導(dǎo)致了軟件棧層次增加，不可避免會(huì)有性能損耗。汽車(chē)領(lǐng)域的成本敏感特性，注定了降低 CPU、存儲(chǔ)、網(wǎng)絡(luò)、GPU  等外設(shè)性能損耗的需求貫穿整車(chē)項(xiàng)目始終，因此 Hypervisor 的輕量和高效十分重要；

• 安全可靠。相較于互聯(lián)網(wǎng)領(lǐng)域看重的資源動(dòng)態(tài)分配和閑置利用，汽車(chē)領(lǐng)域更看重 Hypervisor 的實(shí)時(shí)性、可靠性、安全性；

• 便捷適配。在汽車(chē)領(lǐng)域，芯片類(lèi)型和操作系統(tǒng)豐富多樣，嵌入式虛擬化的一大特點(diǎn)就是異構(gòu)，Hy- pervisor 必須具備快速適配不同的底層硬件和上層操作系統(tǒng)的能力。

  
  

2.4.2技術(shù)發(fā)展趨勢(shì)

1.  云邊端虛擬化關(guān)鍵技術(shù)差異化

虛擬化技術(shù)最早可以追溯到 20 世紀(jì) 60 年代，IBM 開(kāi)發(fā)了虛擬機(jī)監(jiān)視器軟件，將計(jì)算機(jī)硬件虛擬分割

成一個(gè)或多個(gè)虛擬機(jī)，可支持多名用戶(hù)對(duì)大型計(jì)算機(jī)的同時(shí)、交互的訪問(wèn)。隨著 21 世紀(jì)通用服務(wù)器算力的提升，云計(jì)算蓬勃發(fā)展，作為底層支撐技術(shù)的云虛擬化也快速迭代演進(jìn)。后來(lái)算力從云、邊、端逐步下沉， 也就伴隨著出現(xiàn)了邊緣虛擬化、端側(cè)嵌入式虛擬化。它們的典型架構(gòu)、關(guān)鍵技術(shù)需求如圖 2.4-3 所示。

圖2.4-3云邊端虛擬化典型架構(gòu)及關(guān)鍵技術(shù)需求

(1) 云側(cè)虛擬化

其特點(diǎn)是硬件平臺(tái)基本同構(gòu)，大量節(jié)點(diǎn)構(gòu)成集群，架構(gòu)設(shè)計(jì)以吞吐能力優(yōu)先，要支持多業(yè)務(wù)并發(fā)， 虛擬化要滿(mǎn)足集群負(fù)載均衡、節(jié)能降耗的資源調(diào)度策略，在進(jìn)行跨節(jié)點(diǎn)虛擬機(jī)調(diào)配過(guò)程中，要保證業(yè)務(wù)無(wú)中斷遷移。虛擬機(jī)故障時(shí)，要能保證從檢查點(diǎn)恢復(fù)，減少業(yè)務(wù)損失，虛擬機(jī)要能支持 CPU  算力、內(nèi)存、存儲(chǔ)空間、網(wǎng)絡(luò)、GPU、外設(shè)等能力的彈性擴(kuò)展，還要能超分配，以便提升數(shù)據(jù)中心的運(yùn)營(yíng)收益。

(2) 邊側(cè)虛擬化

是在某些特定業(yè)務(wù)的邊緣節(jié)點(diǎn)上，采用通用 ICT 架構(gòu)，支持多種業(yè)務(wù)的動(dòng)態(tài)部署，典型如 SDN、NFV。其技術(shù)特點(diǎn)是：基于通用硬件平臺(tái)、行業(yè)定制的管理部署平臺(tái)，實(shí)現(xiàn)軟硬解耦、軟件定義，多功能節(jié)點(diǎn)按需部署、彈性組網(wǎng)，一般會(huì)采用 1+1 或者 N+1 冗余方式保證業(yè)務(wù)高可用，在 5G 電信網(wǎng)元中需要考慮 5G 業(yè)務(wù)端到端實(shí)時(shí)性，Hypervisor、虛擬機(jī)、通信協(xié)議棧都需要設(shè)計(jì)考慮。

(3) 端側(cè)虛擬化

端側(cè)典型特點(diǎn)是異構(gòu)，其芯片架構(gòu)、處理能力都差異較大。一般是單芯片方案，不存在著集群、主備間的虛擬機(jī)遷移，因此比較強(qiáng)調(diào)高安全、單節(jié)點(diǎn)高可靠，比如會(huì)有功能安全 ASIL 等級(jí)要求，同時(shí)對(duì)于實(shí)時(shí)性、確定性有更強(qiáng)的要求。另外，端側(cè)資源更加有限、成本更敏感，因此要求 Hypervisor 輕量化、高性能。

2.  虛擬化模型趨勢(shì)

Hypervisor 可以劃分為兩大類(lèi)，一類(lèi)是 Type1 裸機(jī)型，Hypervisor 直接運(yùn)行在硬件設(shè)備上的，也叫做Bare-metal Hardware Virtualization（裸機(jī)虛擬化環(huán)境）；一類(lèi)是Type2 主機(jī)托管型，也叫做Hosted Virtualization（ 主機(jī)虛擬化環(huán)境）。圖 2.4-4展示了兩種 Hypervisor的分層架構(gòu)。

圖2.4-4 Type1和Typer2型Hypervisor

Type2 型 Hypervisor 需要借助宿主操作系統(tǒng)來(lái)管理 CPU、內(nèi)存、網(wǎng)絡(luò)等資源，由于 Hypervisor 和硬件之間存在一個(gè)宿主操作系統(tǒng)，Hypervisor 及 VM 的所有操作都要經(jīng)過(guò)宿主操作系統(tǒng)，所以就不可避免地會(huì)存在延遲、性能損耗，同時(shí)宿主操作系統(tǒng)的安全缺陷及穩(wěn)定性問(wèn)題都會(huì)影響到運(yùn)行在之上的 VM（虛擬機(jī)），所以 , Type-2 型 Hypervisor 主要用于對(duì)性能和安全要求不高的場(chǎng)合，比如 : 個(gè)人 PC 系統(tǒng)。

Type1 型的 Hypervisor 不依賴(lài)主機(jī)操作系統(tǒng)，其自身具備操作系統(tǒng)的基礎(chǔ)功能。設(shè)計(jì)上更簡(jiǎn)潔，直接運(yùn)行于硬件之上，整體代碼量和架構(gòu)更為精簡(jiǎn)，對(duì)內(nèi)存和存儲(chǔ)資源要求更少，可滿(mǎn)足自動(dòng)駕駛車(chē)控系統(tǒng)功能安全等級(jí)要求，也具備進(jìn)行形式化驗(yàn)證的條件。所以汽車(chē)操作系統(tǒng)更適合使用 Type 1 型 Hyper-

隨著微內(nèi)核操作系統(tǒng)技術(shù)的發(fā)展，很多基于微內(nèi)核操作系統(tǒng)設(shè)計(jì)的 Hypervisor 依賴(lài)的 Host OS 已經(jīng)非常精簡(jiǎn)，只包括基本的、不變的功能，如 : CPU 調(diào)度和內(nèi)存管理，設(shè)備驅(qū)動(dòng)和其他可變組件處于內(nèi)核之外，這類(lèi) Hypervisor 應(yīng)當(dāng)歸于 Type1、還是 Type2，業(yè)內(nèi)存在分歧。總體來(lái)說(shuō)，微內(nèi)核 Hypervisor 更小、更穩(wěn)定、擴(kuò)展性更好，更適合用于嵌入式虛擬化場(chǎng)合。