本文來源：SemiEngineer
作者：ANN STEFFORA MUTSCHLER

隨著汽車產(chǎn)業(yè)的電氣化和自動化不斷提高，車輛內(nèi)部的ECU不斷整合、有著更嚴(yán)格的功能安全和信息安全等要求，車輛設(shè)計越來越復(fù)雜。汽車生態(tài)系統(tǒng)的參與者們正以多種方式尋求虛擬化概念，以簡化汽車的設(shè)計。

其中的一種方法是硬件虛擬化，將一種設(shè)備托管在一個或多個虛擬機上，這些虛擬機的行為類似于具有自己操作系統(tǒng)的獨立計算機，并且都運行在同一個底層設(shè)備硬件上。這意味著單個GPU可以支持多個并發(fā)運行的操作系統(tǒng)，每個操作系統(tǒng)都向單個圖形硬件設(shè)備提交工作負(fù)載。

從歷史上看，形成這一格局的趨勢之一就是隔離，車內(nèi)完全獨立的模塊在物理上彼此分離，并且在不同的配置中。

Imagination產(chǎn)品管理高級主管Kristof Beets說：“我們已經(jīng)看到了這種變化。有些SoC，有兩個圖形核心，一個用于儀表板，另一個用于驅(qū)動屏幕，它們在物理上是分開的。問題是，如果有性能上的差異，如果其中一個GPU比另一個功能弱很多，另外一個的加速效果就會弱很多，同時兩者不能協(xié)同加速，這是一個大問題。此外，安裝太多模塊并對其進行過度的設(shè)計非常昂貴?！?/p>

Drako Motors首席執(zhí)行官Dean Drako表示，汽車行業(yè)的一些活動正在進一步塑造產(chǎn)業(yè)格局。“首先，電氣化即將到來，這需要不同的軟件和不同的功能，沒有一家汽車制造商真的能完全掌控。第二是向ADAS和自主車輛發(fā)展，每家OEM都在努力開發(fā)中，他們甚至還沒有弄清楚要在什么操作系統(tǒng)上運行，他們只是想弄清楚如何讓它工作。此外，汽車制造商還面臨著一個巨大的問題，汽車的計算成本在總成本中所占的比例持續(xù)上升?！?/p>

1950年，電子產(chǎn)品僅占汽車成本的1%。如今，電子產(chǎn)品已占到總成本的40%。隨著自動駕駛功能和安全功能的增加，以及為這些系統(tǒng)定制的軟件開發(fā)，成本將持續(xù)上升。但企業(yè)也開始質(zhì)疑，是否一切都需要獨立開發(fā)，尤其是在差異化程度很低的領(lǐng)域。

OEM沒有1000名工程師來制造、測試，并處理合規(guī)性、安全性和安全性，大多數(shù)都是希望采用合作伙伴方式共同解決難題。Drako說道：“特斯拉在聯(lián)網(wǎng)汽車的性能方面大做文章，他們可以用iPhone打開汽車，檢查汽車，查看車內(nèi)的攝像頭。其他OEM都無從下手，因為車?yán)镉?00臺電腦，每臺電腦只做一件事。有一臺電腦負(fù)責(zé)攝像系統(tǒng)，這樣你在倒車時就能看到攝像機。這的確很好，但是這臺電腦不能和其他任何電腦通信。當(dāng)他們?yōu)镺nStar安裝了漂亮的空中電話調(diào)制解調(diào)器，以便在發(fā)生故障時可以通過手機獲得幫助時，無法將攝像頭連接到手機上，以便通過它觀看視頻，因為這是兩臺不同的計算機。OEM商非常困惑，所以這個行業(yè)需要另一種操作系統(tǒng)，因為特斯拉不會向其他OEM商公布自己的操作系統(tǒng)?！?/p>

硬件虛擬化旨在解決這些問題?！凹僭O(shè)你有一個GPU，但它有多個客戶端操作系統(tǒng)——受保護的工作負(fù)載，可以占據(jù)GPU的一定比例。”Beets說。“我們把它完全放在硬件上以減少開銷，因為我們希望盡可能多地保留GPU負(fù)載，這樣就可以很好地將其分配到不同的工作負(fù)載上，和虛擬化CPU相似。這是一種基于時間切片的系統(tǒng)，基本上，您可以使用GPU，并使用基于軟件的規(guī)則來安排不同的工作負(fù)載，并相互保護?！?/p>

圖1：汽車虛擬化模型

Cadence解決方案營銷部高級集團總監(jiān)Frank Schirrmeister指出，鑒于汽車行業(yè)正在按照車輪上的數(shù)據(jù)中心的思路重新思考未來的架構(gòu)，虛擬化在汽車行業(yè)尤為重要?！疤摂M化非常重要，尤其是在汽車領(lǐng)域，您面臨的是分區(qū)體系結(jié)構(gòu)以及放置哪些功能。你真的需要小心地把關(guān)鍵的方面和不那么重要的方面分開，比如音頻和視頻。其中一些可能會崩潰，但對于自動駕駛和此類應(yīng)用相關(guān)的攝像頭來說，則需要有效隔離?！?/p>

自本世紀(jì)初以來，硬件虛擬化在數(shù)據(jù)中心得到了廣泛的應(yīng)用，主要是為了提高服務(wù)器的利用率，因為為服務(wù)器機架供電和冷卻成本高昂。通過使用hypervisor，多個任務(wù)、操作系統(tǒng)和應(yīng)用程序可以共享同一個硬件。

Arteris IP的功能安全經(jīng)理Stefano Lorenzini說：“為同一硬件創(chuàng)建多個虛擬實例的方法可行，實際上都有專用于特定的產(chǎn)品、軟件或應(yīng)用程序。Hypervisor是一個直接在硬件上運行的裸機操作系統(tǒng)，它創(chuàng)建了一個與運行在上面的其他應(yīng)用程序或軟件程序相關(guān)的中間層。因此，如果您想從上到下查看體系結(jié)構(gòu)，您可以看到應(yīng)用程序，然后看到Hypervisor，然后看到硬件層。虛擬機監(jiān)控程序會給應(yīng)用程序造成這樣一種錯覺，即SoC的每個資源都專用于它們。”

這也解決了自動駕駛汽車中的一個問題，在這種情況下，汽車中有許多不同的分布式處理器，但并非每一個處理器都專用于特定的功能。這被視為避免冗余的一種方式，但也會增加重量和成本，同時限制了自動駕駛車輛故障轉(zhuǎn)移系統(tǒng)的能力。

Lorenzini說：“每個供應(yīng)商都將為特定處理器提供操作系統(tǒng)和應(yīng)用程序。你可能有幾十個不同的處理器。隨著系統(tǒng)復(fù)雜程度的增加，現(xiàn)在的趨勢是嘗試將所需的所有計算能力集中在一臺集中的計算機上。然而，如果你要把它們放在一起，就要重新利用過去的應(yīng)用程序、操作系統(tǒng)等的投資，但務(wù)必保證在同一塊硬件上彼此獨立工作。這就是OEM的問題所在，因為每個應(yīng)用程序可能有不同的安全要求和ASIL級別。例如，您可能有一個制動系統(tǒng)必須是ASIL D，另一個應(yīng)用程序必須是ASIL B，另一個應(yīng)用程序沒有ASIL等級，因為它不是安全關(guān)鍵。在您將所有這些應(yīng)用程序放在一起的那一刻，您必須確保這些不同的軟件任務(wù)之間的分離或隔離。這正是虛擬化所能做的，因為它可以創(chuàng)造分配任務(wù)。虛擬化將每個任務(wù)分開，例如，如果某個特定任務(wù)因軟件故障而失敗，則其他所有任務(wù)都不會受到影響?！?/p>

硬件虛擬化

隨著這一領(lǐng)域工作的不斷發(fā)展，工程團隊有兩種實現(xiàn)硬件虛擬化的方法—準(zhǔn)虛擬化和全硬件虛擬化。

準(zhǔn)虛擬化就像一個大的軟件交換機，其中可能有一個GPU和一個控制該GPU的軟件。在用戶方面，可能會有一個大的軟件切換，表示有兩個應(yīng)用程序，儀表板和信息娛樂系統(tǒng)，允許兩者之間切換。

“這種方法的問題在于，你沒有真正的虛擬化，因為你基本上都是用軟件來做的。另一個問題是，通常只有一個驅(qū)動程序軟件控制著這個GPU，所以如果其中一個應(yīng)用程序行為不當(dāng)，它可能會導(dǎo)致軟件崩潰。在這樣一個系統(tǒng)中，實際工作的風(fēng)險要大得多。實際上還有更多的開銷，因為它是軟件，而且是手動切換。通常情況下，你會運行一個可信應(yīng)用程序的框架，然后軟重置硬件以清理它，以確保它沒有被污染。然后運行另一個應(yīng)用程序。這些類型的重置在硬件上花費了大量時間，但您必須這樣做，否則來自上一個應(yīng)用程序的數(shù)據(jù)可能會影響下一個應(yīng)用程序。”

全硬件虛擬化將一切構(gòu)建到硬件中。硬件設(shè)計中有多個軟件接口，可以運行許多完全獨立的驅(qū)動程序棧。每個程序相信它有自己的GPU，而且實際上也就是在和硬件對話。

一些GPU提供商，比如Imagination，使用GPU內(nèi)部的一個小型固件處理器來管理這些優(yōu)先級，以及充當(dāng)看門狗的角色，還可以拒絕工作負(fù)載。此外，一個軟件模塊使用優(yōu)先級方案來隔離GPU的特定子部分的工作負(fù)載，為用戶細(xì)分GPU以滿足靈活性的需求。

軟件

虛擬化已經(jīng)被證明是劃分不同軟件棧并降低總體硬件成本的有效方法。然而，在安全保障方面，問題仍然需要解決，特別是在汽車領(lǐng)域。

OneSpin Solutions的產(chǎn)品管理總監(jiān)Shaun Giebel說：“汽車應(yīng)用的處理器核心發(fā)展緩慢。為了支持虛擬化，需要額外的硬件功能。再加上更多的軟件層，這使得整個驗證和功能安全符合性更加復(fù)雜。某些低級軟件功能驗證已經(jīng)在特定的安全空間中使用，增加對硬件的正式驗證是對系統(tǒng)按預(yù)期運行、無干擾和解決關(guān)鍵性能瓶頸的唯一方法。”

如果沒有標(biāo)準(zhǔn)化的解決方案，比如汽車專用操作系統(tǒng)，這個問題就會變得更加困難。在這個領(lǐng)域，操作系統(tǒng)的工作是處理許多獨特的安全性、安保性和復(fù)雜性要求，但要用競爭對手的專有操作系統(tǒng)來實現(xiàn)這一點要困難得多。

“為什么汽車沒有自己的操作系統(tǒng)？”Drako問道?！笆謾C、游戲和筆記本電腦都有Android和iOS，服務(wù)器也有自己的操作系統(tǒng)。汽車是世界上唯一沒有自己操作系統(tǒng)的消費級設(shè)備?！?/p>

Beets同意，并建議這與認(rèn)證和功能安全有關(guān)。“像Linux和Android這樣的東西都經(jīng)過了一定程度的測試。但是他們?nèi)匀皇情_源的，而且很多人都有貢獻。它們也非常復(fù)雜。它們非常大，有很多行代碼，所以你不能完全保證它們沒有bug。在汽車領(lǐng)域，儀表板對用戶來說非常重要，它不需要所有豐富功能，因為它基本上只是運行一個應(yīng)用程序。因此，您可以使用一個更小的操作系統(tǒng)，它更簡單，但也可以由第三方驗證它是否正確，是否滿足要求，并且還有一些工具可以為完成驗證工作。但如果你的代碼庫太大，那是不可能的?！?/p>

其中最著名的汽車操作系統(tǒng)是INTEGRITY和QNX。還有一些Linux的汽車級版本，是Linux的簡化版本。所有這些都可以在虛擬化系統(tǒng)中運行。

“你可以創(chuàng)建所有這些分離的域沙盒，每個沙盒都可以運行自己的操作系統(tǒng)，”Beets說?！捌渲幸恍┦枪δ苌习踩牟僮飨到y(tǒng)，比如Integrity。其他的可能只是標(biāo)準(zhǔn)的Android或Linux，這沒關(guān)系。如果它們崩潰，它們基本上會停止提交工作，因此GPU不會從它們那里獲得更多的渲染命令，這很好，因為儀表板在資源的另一個子集上運行自己的小操作系統(tǒng)，并且會繼續(xù)運行。”

安全和虛擬模型

安全性是虛擬化可以發(fā)揮重要作用的另一個領(lǐng)域。

“沒有信息安全，就沒有功能安全，沒有功能安全，就沒有信息安全，”Cadence的Schirrmeister說?！岸叨际驱R頭并進的，因為如果我沒有安全措施，可能會有人闖入并使我的剎車失靈。”

“虛擬化”一詞的另一面是數(shù)字孿生概念，即整個系統(tǒng)在模型之外虛擬化。還有一些安全特性可以從這個角度來解決，在設(shè)計流程中進一步等待。

“如果攻擊者控制了系統(tǒng)，他們會怎么做來入侵？”Tortuga Logic的首席執(zhí)行官Jason Oberg說：“如果你在一家半導(dǎo)體公司制造一個子系統(tǒng)，很難理解攻擊者是如何侵入該子系統(tǒng)的，因為你已經(jīng)走得太遠(yuǎn)了。但是從虛擬化的角度來看，假設(shè)它是一個ADAS系統(tǒng)，您正在嘗試檢測您是否會遇到一個對象，是否有人訪問我系統(tǒng)的這一部分?？赡苁窍到y(tǒng)的外部輸入，比如調(diào)試端口，也可能只是從另一個域訪問它的某種方式，比如在你的操作系統(tǒng)中，從用戶代碼或其他方式。但是如果它進入并實際調(diào)用某個東西，它會影響ADAS系統(tǒng)的行為。您可以對整個行為進行建模，并且可以在整個系統(tǒng)級別進行建模，從硬件一直到操作系統(tǒng)，再到應(yīng)用程序級別?！?/p>

虛擬化在這方面也有幫助?！斑@實際上是在考慮如何在這種環(huán)境下部署它，如果有對手試圖做一些惡意的事情，他們會如何試圖侵入系統(tǒng)？”O(jiān)berg說?！叭缓缶褪菑哪抢镎归_和解開一切。通過虛擬化，您真的可以得到完整的圖像。當(dāng)你深入到真實的事物時，事情會變得越來越孤立。這就更難解釋了?！?/p>

Synopsys驗證小組的高級主管Marc Serughetti說：“虛擬化能夠充分利用處理器的性能，優(yōu)化架構(gòu)，并解決日益增長的軟件復(fù)雜性問題。它還需要新工具的加入，以加速軟件開發(fā)、集成和測試。對硬件可用性的依賴會造成延遲、不確定性并限制生產(chǎn)力。使用虛擬原型（從虛擬硬件模擬到基于主機的執(zhí)行）虛擬化硬件以實現(xiàn)開發(fā)目的，是盡早開始開發(fā)、部署更具生產(chǎn)力的調(diào)試和測試、在服務(wù)器場中擴展開發(fā)以及在任何時間、任何地點跨協(xié)作團隊實現(xiàn)此開發(fā)的關(guān)鍵技術(shù)?！?/p>

還有更多的工作要做

其中ISO 26262是汽車發(fā)展方向之一。在開發(fā)周期的每一個階段，即使開發(fā)步驟沒有在車輛中完成，也必須對其進行適當(dāng)?shù)恼f明，并且可以跟蹤和測試，虛擬化在這方面也可以發(fā)揮作用。

“特別是對于安全關(guān)鍵型系統(tǒng)，虛擬化涉及系統(tǒng)工程過程的每一個部分，但測試仍然是脫節(jié)的?！?a href="http://m.brongaenegriffin.com/tags/西門子/" target="_blank">西門子公司Mentor集成電氣解決方案組首席工程師Lance Brooks說?！坝捎谟布谠O(shè)計周期中占據(jù)主導(dǎo)地位，因此在設(shè)計階段為安全而做的測試以及類似這樣的事情與流程的后期部分是脫節(jié)的。尤其是在汽車行業(yè)，它們都是以硬件為中心的?！?/p>

因此，汽車OEM正在努力磨練他們的軟件專業(yè)知識。Brooks說：“他們確實在努力解決的一個問題是以硬件為中心的思維方式。虛擬化、數(shù)字化和數(shù)字孿生兄弟確實可以幫助他們，因為在實際的硬件上不可能驗證一切。測試從設(shè)計到驗證都是分離的，這種使用數(shù)字孿生和虛擬化的抽象是幫助他們突破這一障礙的一種方法。如果他們在整個過程中都能做到這一點，他們就會開始打破這些“筒倉”，在設(shè)計方面和另一方面進行測試?！?/p>

這將大大加快和改善更多自主汽車的開發(fā)進程。

原文鏈接：https://semiengineering.com/virtualization-in-the-car/
審核編輯：何安