本文來(lái)源：SemiEngineer
作者：ANN STEFFORA MUTSCHLER

隨著汽車(chē)產(chǎn)業(yè)的電氣化和自動(dòng)化不斷提高，車(chē)輛內(nèi)部的ECU不斷整合、有著更嚴(yán)格的功能安全和信息安全等要求，車(chē)輛設(shè)計(jì)越來(lái)越復(fù)雜。汽車(chē)生態(tài)系統(tǒng)的參與者們正以多種方式尋求虛擬化概念，以簡(jiǎn)化汽車(chē)的設(shè)計(jì)。

其中的一種方法是硬件虛擬化，將一種設(shè)備托管在一個(gè)或多個(gè)虛擬機(jī)上，這些虛擬機(jī)的行為類(lèi)似于具有自己操作系統(tǒng)的獨(dú)立計(jì)算機(jī)，并且都運(yùn)行在同一個(gè)底層設(shè)備硬件上。這意味著單個(gè)GPU可以支持多個(gè)并發(fā)運(yùn)行的操作系統(tǒng)，每個(gè)操作系統(tǒng)都向單個(gè)圖形硬件設(shè)備提交工作負(fù)載。

從歷史上看，形成這一格局的趨勢(shì)之一就是隔離，車(chē)內(nèi)完全獨(dú)立的模塊在物理上彼此分離，并且在不同的配置中。

Imagination產(chǎn)品管理高級(jí)主管Kristof Beets說(shuō)：“我們已經(jīng)看到了這種變化。有些SoC，有兩個(gè)圖形核心，一個(gè)用于儀表板，另一個(gè)用于驅(qū)動(dòng)屏幕，它們?cè)谖锢砩鲜欠珠_(kāi)的。問(wèn)題是，如果有性能上的差異，如果其中一個(gè)GPU比另一個(gè)功能弱很多，另外一個(gè)的加速效果就會(huì)弱很多，同時(shí)兩者不能協(xié)同加速，這是一個(gè)大問(wèn)題。此外，安裝太多模塊并對(duì)其進(jìn)行過(guò)度的設(shè)計(jì)非常昂貴?！?/p>

Drako Motors首席執(zhí)行官Dean Drako表示，汽車(chē)行業(yè)的一些活動(dòng)正在進(jìn)一步塑造產(chǎn)業(yè)格局?！笆紫?，電氣化即將到來(lái)，這需要不同的軟件和不同的功能，沒(méi)有一家汽車(chē)制造商真的能完全掌控。第二是向ADAS和自主車(chē)輛發(fā)展，每家OEM都在努力開(kāi)發(fā)中，他們甚至還沒(méi)有弄清楚要在什么操作系統(tǒng)上運(yùn)行，他們只是想弄清楚如何讓它工作。此外，汽車(chē)制造商還面臨著一個(gè)巨大的問(wèn)題，汽車(chē)的計(jì)算成本在總成本中所占的比例持續(xù)上升?！?/p>

1950年，電子產(chǎn)品僅占汽車(chē)成本的1%。如今，電子產(chǎn)品已占到總成本的40%。隨著自動(dòng)駕駛功能和安全功能的增加，以及為這些系統(tǒng)定制的軟件開(kāi)發(fā)，成本將持續(xù)上升。但企業(yè)也開(kāi)始質(zhì)疑，是否一切都需要獨(dú)立開(kāi)發(fā)，尤其是在差異化程度很低的領(lǐng)域。

OEM沒(méi)有1000名工程師來(lái)制造、測(cè)試，并處理合規(guī)性、安全性和安全性，大多數(shù)都是希望采用合作伙伴方式共同解決難題。Drako說(shuō)道：“特斯拉在聯(lián)網(wǎng)汽車(chē)的性能方面大做文章，他們可以用iPhone打開(kāi)汽車(chē)，檢查汽車(chē)，查看車(chē)內(nèi)的攝像頭。其他OEM都無(wú)從下手，因?yàn)檐?chē)?yán)镉?00臺(tái)電腦，每臺(tái)電腦只做一件事。有一臺(tái)電腦負(fù)責(zé)攝像系統(tǒng)，這樣你在倒車(chē)時(shí)就能看到攝像機(jī)。這的確很好，但是這臺(tái)電腦不能和其他任何電腦通信。當(dāng)他們?yōu)镺nStar安裝了漂亮的空中電話調(diào)制解調(diào)器，以便在發(fā)生故障時(shí)可以通過(guò)手機(jī)獲得幫助時(shí)，無(wú)法將攝像頭連接到手機(jī)上，以便通過(guò)它觀看視頻，因?yàn)檫@是兩臺(tái)不同的計(jì)算機(jī)。OEM商非常困惑，所以這個(gè)行業(yè)需要另一種操作系統(tǒng)，因?yàn)樘厮估粫?huì)向其他OEM商公布自己的操作系統(tǒng)。”

硬件虛擬化旨在解決這些問(wèn)題?！凹僭O(shè)你有一個(gè)GPU，但它有多個(gè)客戶(hù)端操作系統(tǒng)——受保護(hù)的工作負(fù)載，可以占據(jù)GPU的一定比例?！盉eets說(shuō)。“我們把它完全放在硬件上以減少開(kāi)銷(xiāo)，因?yàn)槲覀兿ＭM可能多地保留GPU負(fù)載，這樣就可以很好地將其分配到不同的工作負(fù)載上，和虛擬化CPU相似。這是一種基于時(shí)間切片的系統(tǒng)，基本上，您可以使用GPU，并使用基于軟件的規(guī)則來(lái)安排不同的工作負(fù)載，并相互保護(hù)?！?/p>

圖1：汽車(chē)虛擬化模型

Cadence解決方案營(yíng)銷(xiāo)部高級(jí)集團(tuán)總監(jiān)Frank Schirrmeister指出，鑒于汽車(chē)行業(yè)正在按照車(chē)輪上的數(shù)據(jù)中心的思路重新思考未來(lái)的架構(gòu)，虛擬化在汽車(chē)行業(yè)尤為重要?！疤摂M化非常重要，尤其是在汽車(chē)領(lǐng)域，您面臨的是分區(qū)體系結(jié)構(gòu)以及放置哪些功能。你真的需要小心地把關(guān)鍵的方面和不那么重要的方面分開(kāi)，比如音頻和視頻。其中一些可能會(huì)崩潰，但對(duì)于自動(dòng)駕駛和此類(lèi)應(yīng)用相關(guān)的攝像頭來(lái)說(shuō)，則需要有效隔離?！?/p>

自本世紀(jì)初以來(lái)，硬件虛擬化在數(shù)據(jù)中心得到了廣泛的應(yīng)用，主要是為了提高服務(wù)器的利用率，因?yàn)闉榉?wù)器機(jī)架供電和冷卻成本高昂。通過(guò)使用hypervisor，多個(gè)任務(wù)、操作系統(tǒng)和應(yīng)用程序可以共享同一個(gè)硬件。

Arteris IP的功能安全經(jīng)理Stefano Lorenzini說(shuō)：“為同一硬件創(chuàng)建多個(gè)虛擬實(shí)例的方法可行，實(shí)際上都有專(zhuān)用于特定的產(chǎn)品、軟件或應(yīng)用程序。Hypervisor是一個(gè)直接在硬件上運(yùn)行的裸機(jī)操作系統(tǒng)，它創(chuàng)建了一個(gè)與運(yùn)行在上面的其他應(yīng)用程序或軟件程序相關(guān)的中間層。因此，如果您想從上到下查看體系結(jié)構(gòu)，您可以看到應(yīng)用程序，然后看到Hypervisor，然后看到硬件層。虛擬機(jī)監(jiān)控程序會(huì)給應(yīng)用程序造成這樣一種錯(cuò)覺(jué)，即SoC的每個(gè)資源都專(zhuān)用于它們?！?/p>

這也解決了自動(dòng)駕駛汽車(chē)中的一個(gè)問(wèn)題，在這種情況下，汽車(chē)中有許多不同的分布式處理器，但并非每一個(gè)處理器都專(zhuān)用于特定的功能。這被視為避免冗余的一種方式，但也會(huì)增加重量和成本，同時(shí)限制了自動(dòng)駕駛車(chē)輛故障轉(zhuǎn)移系統(tǒng)的能力。

Lorenzini說(shuō)：“每個(gè)供應(yīng)商都將為特定處理器提供操作系統(tǒng)和應(yīng)用程序。你可能有幾十個(gè)不同的處理器。隨著系統(tǒng)復(fù)雜程度的增加，現(xiàn)在的趨勢(shì)是嘗試將所需的所有計(jì)算能力集中在一臺(tái)集中的計(jì)算機(jī)上。然而，如果你要把它們放在一起，就要重新利用過(guò)去的應(yīng)用程序、操作系統(tǒng)等的投資，但務(wù)必保證在同一塊硬件上彼此獨(dú)立工作。這就是OEM的問(wèn)題所在，因?yàn)槊總€(gè)應(yīng)用程序可能有不同的安全要求和ASIL級(jí)別。例如，您可能有一個(gè)制動(dòng)系統(tǒng)必須是ASIL D，另一個(gè)應(yīng)用程序必須是ASIL B，另一個(gè)應(yīng)用程序沒(méi)有ASIL等級(jí)，因?yàn)樗皇前踩P(guān)鍵。在您將所有這些應(yīng)用程序放在一起的那一刻，您必須確保這些不同的軟件任務(wù)之間的分離或隔離。這正是虛擬化所能做的，因?yàn)樗梢詣?chuàng)造分配任務(wù)。虛擬化將每個(gè)任務(wù)分開(kāi)，例如，如果某個(gè)特定任務(wù)因軟件故障而失敗，則其他所有任務(wù)都不會(huì)受到影響?！?/p>

硬件虛擬化

隨著這一領(lǐng)域工作的不斷發(fā)展，工程團(tuán)隊(duì)有兩種實(shí)現(xiàn)硬件虛擬化的方法—準(zhǔn)虛擬化和全硬件虛擬化。

準(zhǔn)虛擬化就像一個(gè)大的軟件交換機(jī)，其中可能有一個(gè)GPU和一個(gè)控制該GPU的軟件。在用戶(hù)方面，可能會(huì)有一個(gè)大的軟件切換，表示有兩個(gè)應(yīng)用程序，儀表板和信息娛樂(lè)系統(tǒng)，允許兩者之間切換。

“這種方法的問(wèn)題在于，你沒(méi)有真正的虛擬化，因?yàn)槟慊旧隙际怯密浖?lái)做的。另一個(gè)問(wèn)題是，通常只有一個(gè)驅(qū)動(dòng)程序軟件控制著這個(gè)GPU，所以如果其中一個(gè)應(yīng)用程序行為不當(dāng)，它可能會(huì)導(dǎo)致軟件崩潰。在這樣一個(gè)系統(tǒng)中，實(shí)際工作的風(fēng)險(xiǎn)要大得多。實(shí)際上還有更多的開(kāi)銷(xiāo)，因?yàn)樗擒浖?，而且是手?dòng)切換。通常情況下，你會(huì)運(yùn)行一個(gè)可信應(yīng)用程序的框架，然后軟重置硬件以清理它，以確保它沒(méi)有被污染。然后運(yùn)行另一個(gè)應(yīng)用程序。這些類(lèi)型的重置在硬件上花費(fèi)了大量時(shí)間，但您必須這樣做，否則來(lái)自上一個(gè)應(yīng)用程序的數(shù)據(jù)可能會(huì)影響下一個(gè)應(yīng)用程序?！?/p>

全硬件虛擬化將一切構(gòu)建到硬件中。硬件設(shè)計(jì)中有多個(gè)軟件接口，可以運(yùn)行許多完全獨(dú)立的驅(qū)動(dòng)程序棧。每個(gè)程序相信它有自己的GPU，而且實(shí)際上也就是在和硬件對(duì)話。

一些GPU提供商，比如Imagination，使用GPU內(nèi)部的一個(gè)小型固件處理器來(lái)管理這些優(yōu)先級(jí)，以及充當(dāng)看門(mén)狗的角色，還可以拒絕工作負(fù)載。此外，一個(gè)軟件模塊使用優(yōu)先級(jí)方案來(lái)隔離GPU的特定子部分的工作負(fù)載，為用戶(hù)細(xì)分GPU以滿足靈活性的需求。

軟件

虛擬化已經(jīng)被證明是劃分不同軟件棧并降低總體硬件成本的有效方法。然而，在安全保障方面，問(wèn)題仍然需要解決，特別是在汽車(chē)領(lǐng)域。

OneSpin Solutions的產(chǎn)品管理總監(jiān)Shaun Giebel說(shuō)：“汽車(chē)應(yīng)用的處理器核心發(fā)展緩慢。為了支持虛擬化，需要額外的硬件功能。再加上更多的軟件層，這使得整個(gè)驗(yàn)證和功能安全符合性更加復(fù)雜。某些低級(jí)軟件功能驗(yàn)證已經(jīng)在特定的安全空間中使用，增加對(duì)硬件的正式驗(yàn)證是對(duì)系統(tǒng)按預(yù)期運(yùn)行、無(wú)干擾和解決關(guān)鍵性能瓶頸的唯一方法?！?/p>

如果沒(méi)有標(biāo)準(zhǔn)化的解決方案，比如汽車(chē)專(zhuān)用操作系統(tǒng)，這個(gè)問(wèn)題就會(huì)變得更加困難。在這個(gè)領(lǐng)域，操作系統(tǒng)的工作是處理許多獨(dú)特的安全性、安保性和復(fù)雜性要求，但要用競(jìng)爭(zhēng)對(duì)手的專(zhuān)有操作系統(tǒng)來(lái)實(shí)現(xiàn)這一點(diǎn)要困難得多。

“為什么汽車(chē)沒(méi)有自己的操作系統(tǒng)？”Drako問(wèn)道?！笆謾C(jī)、游戲和筆記本電腦都有Android和iOS，服務(wù)器也有自己的操作系統(tǒng)。汽車(chē)是世界上唯一沒(méi)有自己操作系統(tǒng)的消費(fèi)級(jí)設(shè)備?！?/p>

Beets同意，并建議這與認(rèn)證和功能安全有關(guān)?！跋?a href="http://m.sdkjxy.cn/v/tag/538/" target="_blank">Linux和Android這樣的東西都經(jīng)過(guò)了一定程度的測(cè)試。但是他們?nèi)匀皇情_(kāi)源的，而且很多人都有貢獻(xiàn)。它們也非常復(fù)雜。它們非常大，有很多行代碼，所以你不能完全保證它們沒(méi)有bug。在汽車(chē)領(lǐng)域，儀表板對(duì)用戶(hù)來(lái)說(shuō)非常重要，它不需要所有豐富功能，因?yàn)樗旧现皇沁\(yùn)行一個(gè)應(yīng)用程序。因此，您可以使用一個(gè)更小的操作系統(tǒng)，它更簡(jiǎn)單，但也可以由第三方驗(yàn)證它是否正確，是否滿足要求，并且還有一些工具可以為完成驗(yàn)證工作。但如果你的代碼庫(kù)太大，那是不可能的。”

其中最著名的汽車(chē)操作系統(tǒng)是INTEGRITY和QNX。還有一些Linux的汽車(chē)級(jí)版本，是Linux的簡(jiǎn)化版本。所有這些都可以在虛擬化系統(tǒng)中運(yùn)行。

“你可以創(chuàng)建所有這些分離的域沙盒，每個(gè)沙盒都可以運(yùn)行自己的操作系統(tǒng)，”Beets說(shuō)?！捌渲幸恍┦枪δ苌习踩牟僮飨到y(tǒng)，比如Integrity。其他的可能只是標(biāo)準(zhǔn)的Android或Linux，這沒(méi)關(guān)系。如果它們崩潰，它們基本上會(huì)停止提交工作，因此GPU不會(huì)從它們那里獲得更多的渲染命令，這很好，因?yàn)閮x表板在資源的另一個(gè)子集上運(yùn)行自己的小操作系統(tǒng)，并且會(huì)繼續(xù)運(yùn)行。”

安全和虛擬模型

安全性是虛擬化可以發(fā)揮重要作用的另一個(gè)領(lǐng)域。

“沒(méi)有信息安全，就沒(méi)有功能安全，沒(méi)有功能安全，就沒(méi)有信息安全，”Cadence的Schirrmeister說(shuō)?！岸叨际驱R頭并進(jìn)的，因?yàn)槿绻覜](méi)有安全措施，可能會(huì)有人闖入并使我的剎車(chē)失靈。”

“虛擬化”一詞的另一面是數(shù)字孿生概念，即整個(gè)系統(tǒng)在模型之外虛擬化。還有一些安全特性可以從這個(gè)角度來(lái)解決，在設(shè)計(jì)流程中進(jìn)一步等待。

“如果攻擊者控制了系統(tǒng)，他們會(huì)怎么做來(lái)入侵？”Tortuga Logic的首席執(zhí)行官Jason Oberg說(shuō)：“如果你在一家半導(dǎo)體公司制造一個(gè)子系統(tǒng)，很難理解攻擊者是如何侵入該子系統(tǒng)的，因?yàn)槟阋呀?jīng)走得太遠(yuǎn)了。但是從虛擬化的角度來(lái)看，假設(shè)它是一個(gè)ADAS系統(tǒng)，您正在嘗試檢測(cè)您是否會(huì)遇到一個(gè)對(duì)象，是否有人訪問(wèn)我系統(tǒng)的這一部分。可能是系統(tǒng)的外部輸入，比如調(diào)試端口，也可能只是從另一個(gè)域訪問(wèn)它的某種方式，比如在你的操作系統(tǒng)中，從用戶(hù)代碼或其他方式。但是如果它進(jìn)入并實(shí)際調(diào)用某個(gè)東西，它會(huì)影響ADAS系統(tǒng)的行為。您可以對(duì)整個(gè)行為進(jìn)行建模，并且可以在整個(gè)系統(tǒng)級(jí)別進(jìn)行建模，從硬件一直到操作系統(tǒng)，再到應(yīng)用程序級(jí)別?！?/p>

虛擬化在這方面也有幫助?！斑@實(shí)際上是在考慮如何在這種環(huán)境下部署它，如果有對(duì)手試圖做一些惡意的事情，他們會(huì)如何試圖侵入系統(tǒng)？”O(jiān)berg說(shuō)?！叭缓缶褪菑哪抢镎归_(kāi)和解開(kāi)一切。通過(guò)虛擬化，您真的可以得到完整的圖像。當(dāng)你深入到真實(shí)的事物時(shí)，事情會(huì)變得越來(lái)越孤立。這就更難解釋了。”

Synopsys驗(yàn)證小組的高級(jí)主管Marc Serughetti說(shuō)：“虛擬化能夠充分利用處理器的性能，優(yōu)化架構(gòu)，并解決日益增長(zhǎng)的軟件復(fù)雜性問(wèn)題。它還需要新工具的加入，以加速軟件開(kāi)發(fā)、集成和測(cè)試。對(duì)硬件可用性的依賴(lài)會(huì)造成延遲、不確定性并限制生產(chǎn)力。使用虛擬原型（從虛擬硬件模擬到基于主機(jī)的執(zhí)行）虛擬化硬件以實(shí)現(xiàn)開(kāi)發(fā)目的，是盡早開(kāi)始開(kāi)發(fā)、部署更具生產(chǎn)力的調(diào)試和測(cè)試、在服務(wù)器場(chǎng)中擴(kuò)展開(kāi)發(fā)以及在任何時(shí)間、任何地點(diǎn)跨協(xié)作團(tuán)隊(duì)實(shí)現(xiàn)此開(kāi)發(fā)的關(guān)鍵技術(shù)。”

還有更多的工作要做

其中ISO 26262是汽車(chē)發(fā)展方向之一。在開(kāi)發(fā)周期的每一個(gè)階段，即使開(kāi)發(fā)步驟沒(méi)有在車(chē)輛中完成，也必須對(duì)其進(jìn)行適當(dāng)?shù)恼f(shuō)明，并且可以跟蹤和測(cè)試，虛擬化在這方面也可以發(fā)揮作用。

“特別是對(duì)于安全關(guān)鍵型系統(tǒng)，虛擬化涉及系統(tǒng)工程過(guò)程的每一個(gè)部分，但測(cè)試仍然是脫節(jié)的?！?a href="http://m.sdkjxy.cn/tags/西門(mén)子/" target="_blank">西門(mén)子公司Mentor集成電氣解決方案組首席工程師Lance Brooks說(shuō)?！坝捎谟布谠O(shè)計(jì)周期中占據(jù)主導(dǎo)地位，因此在設(shè)計(jì)階段為安全而做的測(cè)試以及類(lèi)似這樣的事情與流程的后期部分是脫節(jié)的。尤其是在汽車(chē)行業(yè)，它們都是以硬件為中心的?！?/p>

因此，汽車(chē)OEM正在努力磨練他們的軟件專(zhuān)業(yè)知識(shí)。Brooks說(shuō)：“他們確實(shí)在努力解決的一個(gè)問(wèn)題是以硬件為中心的思維方式。虛擬化、數(shù)字化和數(shù)字孿生兄弟確實(shí)可以幫助他們，因?yàn)樵趯?shí)際的硬件上不可能驗(yàn)證一切。測(cè)試從設(shè)計(jì)到驗(yàn)證都是分離的，這種使用數(shù)字孿生和虛擬化的抽象是幫助他們突破這一障礙的一種方法。如果他們?cè)谡麄€(gè)過(guò)程中都能做到這一點(diǎn)，他們就會(huì)開(kāi)始打破這些“筒倉(cāng)”，在設(shè)計(jì)方面和另一方面進(jìn)行測(cè)試?！?/p>

這將大大加快和改善更多自主汽車(chē)的開(kāi)發(fā)進(jìn)程。

原文鏈接：https://semiengineering.com/virtualization-in-the-car/
審核編輯：何安