本文來源：SemiEngineer
作者：ANN STEFFORA MUTSCHLER

隨著汽車產(chǎn)業(yè)的電氣化和自動(dòng)化不斷提高，車輛內(nèi)部的ECU不斷整合、有著更嚴(yán)格的功能安全和信息安全等要求，車輛設(shè)計(jì)越來越復(fù)雜。汽車生態(tài)系統(tǒng)的參與者們正以多種方式尋求虛擬化概念，以簡(jiǎn)化汽車的設(shè)計(jì)。

其中的一種方法是硬件虛擬化，將一種設(shè)備托管在一個(gè)或多個(gè)虛擬機(jī)上，這些虛擬機(jī)的行為類似于具有自己操作系統(tǒng)的獨(dú)立計(jì)算機(jī)，并且都運(yùn)行在同一個(gè)底層設(shè)備硬件上。這意味著單個(gè)GPU可以支持多個(gè)并發(fā)運(yùn)行的操作系統(tǒng)，每個(gè)操作系統(tǒng)都向單個(gè)圖形硬件設(shè)備提交工作負(fù)載。

從歷史上看，形成這一格局的趨勢(shì)之一就是隔離，車內(nèi)完全獨(dú)立的模塊在物理上彼此分離，并且在不同的配置中。

Imagination產(chǎn)品管理高級(jí)主管Kristof Beets說：“我們已經(jīng)看到了這種變化。有些SoC，有兩個(gè)圖形核心，一個(gè)用于儀表板，另一個(gè)用于驅(qū)動(dòng)屏幕，它們?cè)谖锢砩鲜欠珠_的。問題是，如果有性能上的差異，如果其中一個(gè)GPU比另一個(gè)功能弱很多，另外一個(gè)的加速效果就會(huì)弱很多，同時(shí)兩者不能協(xié)同加速，這是一個(gè)大問題。此外，安裝太多模塊并對(duì)其進(jìn)行過度的設(shè)計(jì)非常昂貴。”

Drako Motors首席執(zhí)行官Dean Drako表示，汽車行業(yè)的一些活動(dòng)正在進(jìn)一步塑造產(chǎn)業(yè)格局。“首先，電氣化即將到來，這需要不同的軟件和不同的功能，沒有一家汽車制造商真的能完全掌控。第二是向ADAS和自主車輛發(fā)展，每家OEM都在努力開發(fā)中，他們甚至還沒有弄清楚要在什么操作系統(tǒng)上運(yùn)行，他們只是想弄清楚如何讓它工作。此外，汽車制造商還面臨著一個(gè)巨大的問題，汽車的計(jì)算成本在總成本中所占的比例持續(xù)上升。”

1950年，電子產(chǎn)品僅占汽車成本的1%。如今，電子產(chǎn)品已占到總成本的40%。隨著自動(dòng)駕駛功能和安全功能的增加，以及為這些系統(tǒng)定制的軟件開發(fā)，成本將持續(xù)上升。但企業(yè)也開始質(zhì)疑，是否一切都需要獨(dú)立開發(fā)，尤其是在差異化程度很低的領(lǐng)域。

OEM沒有1000名工程師來制造、測(cè)試，并處理合規(guī)性、安全性和安全性，大多數(shù)都是希望采用合作伙伴方式共同解決難題。Drako說道：“特斯拉在聯(lián)網(wǎng)汽車的性能方面大做文章，他們可以用iPhone打開汽車，檢查汽車，查看車內(nèi)的攝像頭。其他OEM都無從下手，因?yàn)檐嚴(yán)镉?00臺(tái)電腦，每臺(tái)電腦只做一件事。有一臺(tái)電腦負(fù)責(zé)攝像系統(tǒng)，這樣你在倒車時(shí)就能看到攝像機(jī)。這的確很好，但是這臺(tái)電腦不能和其他任何電腦通信。當(dāng)他們?yōu)镺nStar安裝了漂亮的空中電話調(diào)制解調(diào)器，以便在發(fā)生故障時(shí)可以通過手機(jī)獲得幫助時(shí)，無法將攝像頭連接到手機(jī)上，以便通過它觀看視頻，因?yàn)檫@是兩臺(tái)不同的計(jì)算機(jī)。OEM商非常困惑，所以這個(gè)行業(yè)需要另一種操作系統(tǒng)，因?yàn)樘厮估粫?huì)向其他OEM商公布自己的操作系統(tǒng)。”

硬件虛擬化旨在解決這些問題。“假設(shè)你有一個(gè)GPU，但它有多個(gè)客戶端操作系統(tǒng)——受保護(hù)的工作負(fù)載，可以占據(jù)GPU的一定比例。”Beets說。“我們把它完全放在硬件上以減少開銷，因?yàn)槲覀兿ＭM可能多地保留GPU負(fù)載，這樣就可以很好地將其分配到不同的工作負(fù)載上，和虛擬化CPU相似。這是一種基于時(shí)間切片的系統(tǒng)，基本上，您可以使用GPU，并使用基于軟件的規(guī)則來安排不同的工作負(fù)載，并相互保護(hù)。”

Cadence解決方案營(yíng)銷部高級(jí)集團(tuán)總監(jiān)Frank Schirrmeister指出，鑒于汽車行業(yè)正在按照車輪上的數(shù)據(jù)中心的思路重新思考未來的架構(gòu)，虛擬化在汽車行業(yè)尤為重要。“虛擬化非常重要，尤其是在汽車領(lǐng)域，您面臨的是分區(qū)體系結(jié)構(gòu)以及放置哪些功能。你真的需要小心地把關(guān)鍵的方面和不那么重要的方面分開，比如音頻和視頻。其中一些可能會(huì)崩潰，但對(duì)于自動(dòng)駕駛和此類應(yīng)用相關(guān)的攝像頭來說，則需要有效隔離。”

自本世紀(jì)初以來，硬件虛擬化在數(shù)據(jù)中心得到了廣泛的應(yīng)用，主要是為了提高服務(wù)器的利用率，因?yàn)闉榉?wù)器機(jī)架供電和冷卻成本高昂。通過使用hypervisor，多個(gè)任務(wù)、操作系統(tǒng)和應(yīng)用程序可以共享同一個(gè)硬件。

Arteris IP的功能安全經(jīng)理Stefano Lorenzini說：“為同一硬件創(chuàng)建多個(gè)虛擬實(shí)例的方法可行，實(shí)際上都有專用于特定的產(chǎn)品、軟件或應(yīng)用程序。Hypervisor是一個(gè)直接在硬件上運(yùn)行的裸機(jī)操作系統(tǒng)，它創(chuàng)建了一個(gè)與運(yùn)行在上面的其他應(yīng)用程序或軟件程序相關(guān)的中間層。因此，如果您想從上到下查看體系結(jié)構(gòu)，您可以看到應(yīng)用程序，然后看到Hypervisor，然后看到硬件層。虛擬機(jī)監(jiān)控程序會(huì)給應(yīng)用程序造成這樣一種錯(cuò)覺，即SoC的每個(gè)資源都專用于它們。”

這也解決了自動(dòng)駕駛汽車中的一個(gè)問題，在這種情況下，汽車中有許多不同的分布式處理器，但并非每一個(gè)處理器都專用于特定的功能。這被視為避免冗余的一種方式，但也會(huì)增加重量和成本，同時(shí)限制了自動(dòng)駕駛車輛故障轉(zhuǎn)移系統(tǒng)的能力。

Lorenzini說：“每個(gè)供應(yīng)商都將為特定處理器提供操作系統(tǒng)和應(yīng)用程序。你可能有幾十個(gè)不同的處理器。隨著系統(tǒng)復(fù)雜程度的增加，現(xiàn)在的趨勢(shì)是嘗試將所需的所有計(jì)算能力集中在一臺(tái)集中的計(jì)算機(jī)上。然而，如果你要把它們放在一起，就要重新利用過去的應(yīng)用程序、操作系統(tǒng)等的投資，但務(wù)必保證在同一塊硬件上彼此獨(dú)立工作。這就是OEM的問題所在，因?yàn)槊總€(gè)應(yīng)用程序可能有不同的安全要求和ASIL級(jí)別。例如，您可能有一個(gè)制動(dòng)系統(tǒng)必須是ASIL D，另一個(gè)應(yīng)用程序必須是ASIL B，另一個(gè)應(yīng)用程序沒有ASIL等級(jí)，因?yàn)樗皇前踩P(guān)鍵。在您將所有這些應(yīng)用程序放在一起的那一刻，您必須確保這些不同的軟件任務(wù)之間的分離或隔離。這正是虛擬化所能做的，因?yàn)樗梢詣?chuàng)造分配任務(wù)。虛擬化將每個(gè)任務(wù)分開，例如，如果某個(gè)特定任務(wù)因軟件故障而失敗，則其他所有任務(wù)都不會(huì)受到影響。”

硬件虛擬化

隨著這一領(lǐng)域工作的不斷發(fā)展，工程團(tuán)隊(duì)有兩種實(shí)現(xiàn)硬件虛擬化的方法—準(zhǔn)虛擬化和全硬件虛擬化。

準(zhǔn)虛擬化就像一個(gè)大的軟件交換機(jī)，其中可能有一個(gè)GPU和一個(gè)控制該GPU的軟件。在用戶方面，可能會(huì)有一個(gè)大的軟件切換，表示有兩個(gè)應(yīng)用程序，儀表板和信息娛樂系統(tǒng)，允許兩者之間切換。

“這種方法的問題在于，你沒有真正的虛擬化，因?yàn)槟慊旧隙际怯密浖碜龅摹Ａ硪粋€(gè)問題是，通常只有一個(gè)驅(qū)動(dòng)程序軟件控制著這個(gè)GPU，所以如果其中一個(gè)應(yīng)用程序行為不當(dāng)，它可能會(huì)導(dǎo)致軟件崩潰。在這樣一個(gè)系統(tǒng)中，實(shí)際工作的風(fēng)險(xiǎn)要大得多。實(shí)際上還有更多的開銷，因?yàn)樗擒浖沂鞘謩?dòng)切換。通常情況下，你會(huì)運(yùn)行一個(gè)可信應(yīng)用程序的框架，然后軟重置硬件以清理它，以確保它沒有被污染。然后運(yùn)行另一個(gè)應(yīng)用程序。這些類型的重置在硬件上花費(fèi)了大量時(shí)間，但您必須這樣做，否則來自上一個(gè)應(yīng)用程序的數(shù)據(jù)可能會(huì)影響下一個(gè)應(yīng)用程序。”

全硬件虛擬化將一切構(gòu)建到硬件中。硬件設(shè)計(jì)中有多個(gè)軟件接口，可以運(yùn)行許多完全獨(dú)立的驅(qū)動(dòng)程序棧。每個(gè)程序相信它有自己的GPU，而且實(shí)際上也就是在和硬件對(duì)話。

一些GPU提供商，比如Imagination，使用GPU內(nèi)部的一個(gè)小型固件處理器來管理這些優(yōu)先級(jí)，以及充當(dāng)看門狗的角色，還可以拒絕工作負(fù)載。此外，一個(gè)軟件模塊使用優(yōu)先級(jí)方案來隔離GPU的特定子部分的工作負(fù)載，為用戶細(xì)分GPU以滿足靈活性的需求。

軟件

虛擬化已經(jīng)被證明是劃分不同軟件棧并降低總體硬件成本的有效方法。然而，在安全保障方面，問題仍然需要解決，特別是在汽車領(lǐng)域。

OneSpin Solutions的產(chǎn)品管理總監(jiān)Shaun Giebel說：“汽車應(yīng)用的處理器核心發(fā)展緩慢。為了支持虛擬化，需要額外的硬件功能。再加上更多的軟件層，這使得整個(gè)驗(yàn)證和功能安全符合性更加復(fù)雜。某些低級(jí)軟件功能驗(yàn)證已經(jīng)在特定的安全空間中使用，增加對(duì)硬件的正式驗(yàn)證是對(duì)系統(tǒng)按預(yù)期運(yùn)行、無干擾和解決關(guān)鍵性能瓶頸的唯一方法。”

如果沒有標(biāo)準(zhǔn)化的解決方案，比如汽車專用操作系統(tǒng)，這個(gè)問題就會(huì)變得更加困難。在這個(gè)領(lǐng)域，操作系統(tǒng)的工作是處理許多獨(dú)特的安全性、安保性和復(fù)雜性要求，但要用競(jìng)爭(zhēng)對(duì)手的專有操作系統(tǒng)來實(shí)現(xiàn)這一點(diǎn)要困難得多。

“為什么汽車沒有自己的操作系統(tǒng)？”Drako問道。“手機(jī)、游戲和筆記本電腦都有Android和iOS，服務(wù)器也有自己的操作系統(tǒng)。汽車是世界上唯一沒有自己操作系統(tǒng)的消費(fèi)級(jí)設(shè)備。”

Beets同意，并建議這與認(rèn)證和功能安全有關(guān)。“像Linux和Android這樣的東西都經(jīng)過了一定程度的測(cè)試。但是他們?nèi)匀皇情_源的，而且很多人都有貢獻(xiàn)。它們也非常復(fù)雜。它們非常大，有很多行代碼，所以你不能完全保證它們沒有bug。在汽車領(lǐng)域，儀表板對(duì)用戶來說非常重要，它不需要所有豐富功能，因?yàn)樗旧现皇沁\(yùn)行一個(gè)應(yīng)用程序。因此，您可以使用一個(gè)更小的操作系統(tǒng)，它更簡(jiǎn)單，但也可以由第三方驗(yàn)證它是否正確，是否滿足要求，并且還有一些工具可以為完成驗(yàn)證工作。但如果你的代碼庫太大，那是不可能的。”

其中最著名的汽車操作系統(tǒng)是INTEGRITY和QNX。還有一些Linux的汽車級(jí)版本，是Linux的簡(jiǎn)化版本。所有這些都可以在虛擬化系統(tǒng)中運(yùn)行。

“你可以創(chuàng)建所有這些分離的域沙盒，每個(gè)沙盒都可以運(yùn)行自己的操作系統(tǒng)，”Beets說。“其中一些是功能上安全的操作系統(tǒng)，比如Integrity。其他的可能只是標(biāo)準(zhǔn)的Android或Linux，這沒關(guān)系。如果它們崩潰，它們基本上會(huì)停止提交工作，因此GPU不會(huì)從它們那里獲得更多的渲染命令，這很好，因?yàn)閮x表板在資源的另一個(gè)子集上運(yùn)行自己的小操作系統(tǒng)，并且會(huì)繼續(xù)運(yùn)行。”

安全和虛擬模型

安全性是虛擬化可以發(fā)揮重要作用的另一個(gè)領(lǐng)域。

“沒有信息安全，就沒有功能安全，沒有功能安全，就沒有信息安全，”Cadence的Schirrmeister說。“二者都是齊頭并進(jìn)的，因?yàn)槿绻覜]有安全措施，可能會(huì)有人闖入并使我的剎車失靈。”

“虛擬化”一詞的另一面是數(shù)字孿生概念，即整個(gè)系統(tǒng)在模型之外虛擬化。還有一些安全特性可以從這個(gè)角度來解決，在設(shè)計(jì)流程中進(jìn)一步等待。

“如果攻擊者控制了系統(tǒng)，他們會(huì)怎么做來入侵？”Tortuga Logic的首席執(zhí)行官Jason Oberg說：“如果你在一家半導(dǎo)體公司制造一個(gè)子系統(tǒng)，很難理解攻擊者是如何侵入該子系統(tǒng)的，因?yàn)槟阋呀?jīng)走得太遠(yuǎn)了。但是從虛擬化的角度來看，假設(shè)它是一個(gè)ADAS系統(tǒng)，您正在嘗試檢測(cè)您是否會(huì)遇到一個(gè)對(duì)象，是否有人訪問我系統(tǒng)的這一部分。可能是系統(tǒng)的外部輸入，比如調(diào)試端口，也可能只是從另一個(gè)域訪問它的某種方式，比如在你的操作系統(tǒng)中，從用戶代碼或其他方式。但是如果它進(jìn)入并實(shí)際調(diào)用某個(gè)東西，它會(huì)影響ADAS系統(tǒng)的行為。您可以對(duì)整個(gè)行為進(jìn)行建模，并且可以在整個(gè)系統(tǒng)級(jí)別進(jìn)行建模，從硬件一直到操作系統(tǒng)，再到應(yīng)用程序級(jí)別。”

虛擬化在這方面也有幫助。“這實(shí)際上是在考慮如何在這種環(huán)境下部署它，如果有對(duì)手試圖做一些惡意的事情，他們會(huì)如何試圖侵入系統(tǒng)？”O(jiān)berg說。“然后就是從那里展開和解開一切。通過虛擬化，您真的可以得到完整的圖像。當(dāng)你深入到真實(shí)的事物時(shí)，事情會(huì)變得越來越孤立。這就更難解釋了。”

Synopsys驗(yàn)證小組的高級(jí)主管Marc Serughetti說：“虛擬化能夠充分利用處理器的性能，優(yōu)化架構(gòu)，并解決日益增長(zhǎng)的軟件復(fù)雜性問題。它還需要新工具的加入，以加速軟件開發(fā)、集成和測(cè)試。對(duì)硬件可用性的依賴會(huì)造成延遲、不確定性并限制生產(chǎn)力。使用虛擬原型（從虛擬硬件模擬到基于主機(jī)的執(zhí)行）虛擬化硬件以實(shí)現(xiàn)開發(fā)目的，是盡早開始開發(fā)、部署更具生產(chǎn)力的調(diào)試和測(cè)試、在服務(wù)器場(chǎng)中擴(kuò)展開發(fā)以及在任何時(shí)間、任何地點(diǎn)跨協(xié)作團(tuán)隊(duì)實(shí)現(xiàn)此開發(fā)的關(guān)鍵技術(shù)。”

還有更多的工作要做

其中ISO 26262是汽車發(fā)展方向之一。在開發(fā)周期的每一個(gè)階段，即使開發(fā)步驟沒有在車輛中完成，也必須對(duì)其進(jìn)行適當(dāng)?shù)恼f明，并且可以跟蹤和測(cè)試，虛擬化在這方面也可以發(fā)揮作用。

“特別是對(duì)于安全關(guān)鍵型系統(tǒng)，虛擬化涉及系統(tǒng)工程過程的每一個(gè)部分，但測(cè)試仍然是脫節(jié)的。”西門子公司Mentor集成電氣解決方案組首席工程師Lance Brooks說。“由于硬件在設(shè)計(jì)周期中占據(jù)主導(dǎo)地位，因此在設(shè)計(jì)階段為安全而做的測(cè)試以及類似這樣的事情與流程的后期部分是脫節(jié)的。尤其是在汽車行業(yè)，它們都是以硬件為中心的。”

因此，汽車OEM正在努力磨練他們的軟件專業(yè)知識(shí)。Brooks說：“他們確實(shí)在努力解決的一個(gè)問題是以硬件為中心的思維方式。虛擬化、數(shù)字化和數(shù)字孿生兄弟確實(shí)可以幫助他們，因?yàn)樵趯?shí)際的硬件上不可能驗(yàn)證一切。測(cè)試從設(shè)計(jì)到驗(yàn)證都是分離的，這種使用數(shù)字孿生和虛擬化的抽象是幫助他們突破這一障礙的一種方法。如果他們?cè)谡麄€(gè)過程中都能做到這一點(diǎn)，他們就會(huì)開始打破這些“筒倉”，在設(shè)計(jì)方面和另一方面進(jìn)行測(cè)試。”

這將大大加快和改善更多自主汽車的開發(fā)進(jìn)程。

原文鏈接：https://semiengineering.com/virtualization-in-the-car/