基于微内核和SafetyLinux的双内核智能驾驶操作系统丨ZTECor

应用:基于微内核和安全Linux的双核智能驾驶操作系统

应用领域:软件

创新和优势

技术描述:

一，技术背景分析

智能驾驶操作系统主要面向智能驾驶领域，运行在智能驾驶域控制器上，支持自动驾驶所需的高性能计算和高带宽通信异构芯片。这类操作系统对安全性，实时性和可靠性的要求较高，对性能和计算能力的要求也较高，主要体现在以下几个方面:

1.强大的计算能力，满足融合感知和决策计算的要求，

2.强大的数据吞吐量，满足多传感器数据的实时访问和处理，

3.高生态兼容性和扩展性，满足各种算法模型的需求，

智能驾驶操作系统的内核通常基于标准POSIX接口，兼容Adaptive AUTOSAR等国际主流系统软件中间件，满足智能驾驶不同应用所需的功能安全和信息安全要求同时，根据SOC异构硬件的单元架构和承载功能不同，对内核系统功能安全级别的要求也不同比如AI单元内核系统支持QM ~ ASIL—B，计算单元内核系统支持QM ~ ASIL—D，控制单元内核系统需要支持ASIL—D安全级别

智能驾驶操作系统的内核通常有两条开发路径:

1.一种是继承Linux丰富的开源生态，基于开源强大的Linux宏内核，着力增强其安全性和实时性，针对功能安全级别ASIL—B开发安全Linux操作系统

在实时处理方面，Safety Linux包含了POSIX标准中的大部分实时信号处理机制和功能，比如符合POSIX标准的调度策略安全Linux内核提供内存锁定功能，防止存储的页面在实时处理中被换出，同时实时调度算法减少了任务上下文的切换时间，从而满足任务的时限要求此外，通过开源实时RT补丁，安全Linux支持三级抢占，主动释放自旋锁，资源分区，可配置任务优先级，独占任务绑定操作，不间断干扰，智能迁移等特性，从而增强了实时调度能力

在安全性方面，Safety Linux针对车载场景需求量身定制系统配置，借助ELISA开源项目提供的安全分析方法和认证工具识别功能安全需求，用ISO 26262形式化或半形式化方法完成关键功能的正向设计和验证此外，它还提供了任务运行监控，内核增强管理，紧急控制台，可靠重启，轻量级异常转储和系统黑盒等安全机制，以增强Linux的安全能力

安全Linux源于Linux，拥有丰富的软硬件生态，可以更好的支持汽车高级自动驾驶业务但是安全Linux系统太大，内核代码规模上千万，组件关联复杂目前，识别和分析内核的关键功能并增强安全性需要大量的工作，实现ASIL—B功能安全认证是一项长期的任务

2.另一种是基于POSIX标准的微内核RTOS，注重功能安全，以ASIL—D功能安全级别为目标。

微内核RTOS只实现任务调度，时钟，中断，内存管理，IPC等最基本的功能在内核部分，文件系统，网络协议栈，设备驱动，POSIX接口等都放在微内核之外，运行在内存保护的用户态空间微内核RTOS内核小，代码少，运行速度极快，安全性和稳定性高，不易被病毒破坏

目前，微内核RTOS在全球都处于研发的初级阶段不同的厂商有不同的实现，芯片和应用生态还不完整相比Linux，由于微内核RTOS缺乏类似的开源生态环境支持，目前只适用于对功能安全性和稳定性要求较高，但同时对软件生态要求不太高的场景关于未来为智能驾驶应用推出的AI算法模型框架，微内核RTOS需要向上扩展，支持PSE51，PSE52，PSE53，PSE54等POSIX接口标准，甚至支持非POSIX接口标准向下方向，需要定制适配兼容不同硬件厂商的AI计算芯片，任重道远

第二，解决方案

目前，无论是微内核RTOS还是安全Linux操作系统，在智能驾驶领域都有一定的应用局限性前者功能安全水平高，但缺乏完善的生态资源对智能驾驶的支持，建设周期长后者生态丰富，但难以获得所需的功能安全等级认证考虑到这些，中兴通讯在自主研发的车载操作系统产品系列的基础上，推出了基于微内核和安全Linux的双核智能驾驶操作系统解决方案，可以充分兼顾智能驾驶对功能安全和丰富应用生态的要求，为汽车OEM主机厂智能驾驶项目的快速落地提供有力支撑

图1基于中兴微内核和安全Linux的双核智能驾驶操作系统

基于微内核和安全Linux的双核智能驾驶操作系统主要由三部分组成:

1)中兴微核RTOS

采用微内核架构，内核只保留少数核心功能，其余功能运行在用户态，增强了核心内核的可靠性凭借短中断路径，快速中断响应，及时调度，精确时空配额支持，该产品已通过ASIL—D产品认证

2)中兴Hypervisor

支持的虚拟化类型是Type—1，它允许多个操作系统和应用程序共享硬件，从而实现安全的分区隔离支持硬件虚拟化和软件虚拟化，支持全虚拟化和半虚拟化技术可与中兴微内核RTOS集成，支持原生实时任务和虚拟机任务同时运行，提升整体性能

3)中兴安全Linux

在实时性，确定性和安全性方面得到增强的安全Linux操作系统，拥有业界领先的中断响应和调度效率，保证了系统中的关键事件和任务能够得到及时处理调度能力保证关键业务的处理时间可以控制和预期

如图1所示，在中兴微内核RTOS+安全Linux的双核方案中:

智能驾驶场景中的数据融合，环境建模，路径预测，决策，规划，控制等相关服务均由微内核RTOS承载，可最高保障ASIL—D级功能安全。

AI感知处理和算法服务的集成需要使用图形图像处理和深度学习算法模型框架，对底层计算芯片的驱动适配要求也较高，因此由Safety Linux承载，可以充分利用其现有的成熟软硬件生态，快速完成开发。

同时，依托中兴微内核RTOS的ASIL—D功能安全能力，通过在安全Linux中部署健康监控代理，对安全Linux的关键应用，内核和BSP进行实时监控和诊断，并根据故障级别和处理规则控制相应的故障处理，也可以在一定程度上提高安全Linux的功能安全性。

独特优势:

1.本文所描述的双核智能驾驶操作系统中的微内核产品中兴微内核RTOS通过了ASIL D产品功能安全认证，为系统整体功能安全提供了必要的基础和支持。

2.基于微内核系统，承载了智能驾驶的大部分服务，有可能满足相应服务高功能安全级别的要求和保障。

3.基于实时性和安全性提升的安全Linux系统，承载了AI融合感知和位置相关算法服务，有利于充分利用Linux的生态能力，快速实现智能驾驶AI感知服务。

4.基于微内核系统的监控安全Linux系统有助于提高双核智能驾驶操作系统的整体可用性和功能安全特性。

5.虚拟化平台和微内核系统集成实现，微内核支持原生任务和应用运行上层业务，避免了在Hypervisor上启动VM加载微内核的常规做法，进而避免了相应系统性能的损失。

6.虚拟化平台的安全分区引擎经过特别定制和性能提升，注重系统隔离和跨域通信，可以极大地保障智能驾驶操作系统的整体安全性和性能。

7.本文所描述的双核智能驾驶操作系统方案将结合SoC芯片适配支持的开发，可以将智能驾驶AI感知功能逐步转移到微核心系统，有利于智能驾驶方案最终平滑过渡到纯微核心方案，从而支持更高阶自动驾驶场景的落地。

应用场景:

伴随着电动化，智能化带来的汽车电子电气架构的革新，OEM的核心能力逐渐从机械硬件转向电子软硬件，汽车产业的价值链也从过去单一的硬件销售转向持续的软件和服务溢价商业模式在软件定义汽车的大趋势下，车载操作系统是传统汽车升级为智能汽车的关键，是未来汽车如何实现差异化，实现千车一面和个性化客服的基础支撑平台

国外操作系统厂商的产品通常以黑盒形式提供，没有源代码，对国家自主控制和网络信息安全战略构成威胁而且国外操作系统厂商形成垄断，占据强势地位，对车企自身的多元化，低成本，技术支持机创新诉求非常不利

相比国外厂商，国内操作系统厂商普遍缺乏产品成熟度，量产经验和丰富的生态但针对车企和供应商对车载操作系统的关键需求，国内厂商通常会紧密合作，及时响应，加快自研操作系统的产品化能力针对具体项目和应用场景，国内厂商将提供量身定制的服务，赋能车企，供应商等合作伙伴，共同探索车辆操作系统的国产化方案，努力避免和解决卡脖子问题

考虑到这些因素，国内部分汽车主机厂采用开源的Linux作为智能驾驶操作系统，促进了L3级别以下项目的实践但这些项目一般只注重功能实现和用户体验，弱化了对功能安全的考虑，不利于后期向高水平自动驾驶项目演进

基于此，中兴通讯推出的微内核+安全Linux双核智能驾驶操作系统，可以有效解决目前国内汽车主机厂对智能驾驶操作系统的诉求，快速构建智能驾驶商业生态，同时提供与自动驾驶水平相匹配的功能安全水平需求再者，也考虑到了后期向更高级自动驾驶场景的平滑演进

现阶段考虑到底层SoC芯片的AI感知驱动和算法适配，生态依赖复杂，涉及芯片厂商的核心算法库，纯微内核智能驱动操作系统的方案需要时间和SoC厂商的深度技术支持，尤其是GPU核心ip驱动的源代码授权很难获得中兴微内核+安全Linux双核智能驾驶操作系统，能更好地适应国内软硬件生态现状，为智能驾驶项目交付汽车提供了现实的解决方案

根据智能驾驶业务的划分，微内核+安全Linux双核智能驾驶操作系统可以支持以下应用场景:

1.只有决策，规划，控制等非AI业务的场景。

在这种场景下，只需要采用中兴通讯提供的符合ASIL—D功能安全认证的微内核产品中兴微内核RTOS，部署符合POSIX接口标准的中间件，如AutoSAR AP或SOA服务框架，来承载决策，规划和控制服务。

图2基于中兴微内核，承载决策，规划和控制服务。

2.只有人工智能融合感知服务的场景

在这种场景下，需要使用中兴提供的中兴安全Linux产品，可以遵循图形图像处理库，AI算法模型和加速库，智能驾驶算法基础库等来自Linux生态系统同时部署AutoSAR AP和SOA服务框架，承载AI融合感知服务同时，为了提高安全Linux的功能安全性，可以部署中兴微内核RTOS+中兴Hypervisor集成产品，其上可以运行HostOS模式的故障检测和诊断服务，安全Linux可以运行GuestOS模式故障检测和诊断服务通过健康监控代理监控安全Linux虚拟机，Linux内核和BSP驱动程序的各种健康状态同时，故障检测和诊断服务还实时监控微内核本身的虚拟机管理模块，内存和线程调度，并在出现故障时做出相应的故障处理

图3基于中兴微核心和安全Linux的双核承载融合感知服务。

3.有决策，规划和控制的场景，也有AI融合感知的服务。

同样场景2，需要同时部署中兴安全Linux，中兴微内核RTOS+中兴Hypervisor集成产品，在中兴安全Linux上部署AI融合感知服务，在中兴微内核RTOS上部署决策，规划，控制等非AI服务同时，运行在微内核上的故障检测与诊断服务负责实时监控中兴安全Linux内核及其关键应用和服务，为其提供一定程度的功能安全

图4基于中兴微内核和安全Linux的双核分区承载智能驾驶服务。

未来，伴随着国内底层智能驾驶项目的落地，部分主流SoC芯片的底层驱动适配，AI算法模型库，融合感知处理算法可以顺利移植到中兴微内核RTOS功能域，微内核系统将逐步完成对上层智能驾驶应用的全部支持借助中兴微内核RTOS的ASIL—D功能安全能力，智能驾驶操作系统终于可以进化到支持L3+高级自动驾驶业务

未来:

目前智能驾驶领域虽然有成熟的国外产品，但是都是黑匣子提供，价格昂贵，分别按照加盟费和开发费收取费用另外在客服方面也比不上国内厂商，对用户需求的响应不及时，维修流程繁琐与底层大厂芯片形成事实上的垄断地位，不利用国内汽车主机厂控制话语权

中兴通讯的中兴微内核RTOS+安全Linux双核智能驾驶操作系统，适用于智能驾驶各个阶段的应用场景具有国产自控，需求响应快，适应灵活，价格合理的特点，是目前可以快速实施的国产备选最佳方案其平滑进化能力可以帮助OEM代工产品具有长久的生命力

金奖系列简介:

金奖由盖世发起，旨在寻找好公司，推广好技术，围绕中国汽车供应链新100强主题展开，聚焦自动驾驶，智能驾驶舱，软件，芯片，动力总成电气化，热管理，车身与底盘技术，内外饰，环保轻量化与新材料，服务商十大细分行业，评选出优秀企业和先进技术解决方案，评选出公司十大细分行业。