英飛凌AURIX? TC4x 微控制器首次引入了虛擬化技術(shù)，幫助客戶重新構(gòu)建整車EE架構(gòu)，最大化利用MCU的硬件資源，其資源隔離的特性還可以降低軟件開發(fā)和集成的難度，更好地滿足功能安全和信息安全的要求。

本文主要介紹了虛擬化技術(shù)的背景，虛擬化系統(tǒng)的組成和分類，嵌入式虛擬化的優(yōu)點，在汽車領(lǐng)域的使用案例以及面臨的挑戰(zhàn)。

1. 虛擬化技術(shù)的背景

1.1 虛擬化技術(shù)的發(fā)展歷史

1955年，F(xiàn)ortran語言之父John Backus首次提出了分時（Time-Sharing）技術(shù)，通過該技術(shù)，昂貴的大型機可以被多個用戶同時使用，這被公認(rèn)為最早的虛擬化技術(shù)的概念[1]。1972年，IBM公司研發(fā)出了VM/370虛擬機操作系統(tǒng)，真正實現(xiàn)了虛擬化技術(shù)的商業(yè)落地。1974年，Gerald J. Popek和Robert P. Goldberg系統(tǒng)闡述了實現(xiàn)計算機虛擬化所需要滿足的特性，以及虛擬機和虛擬機監(jiān)控器的概念，這些概念一直沿用至今[2]。如今的虛擬化技術(shù)已經(jīng)從PC端發(fā)展到嵌入式系統(tǒng)領(lǐng)域。

1.2 嵌入式虛擬化的發(fā)展

嵌入式虛擬化的興起首先得益于半導(dǎo)體技術(shù)的飛速發(fā)展，以英飛凌的TriCore?品牌為例（圖1），經(jīng)過多年的發(fā)展，TriCore?的內(nèi)核架構(gòu)不斷升級，主頻持續(xù)攀升，最新的下一代AURIX? TC4x首次引入了虛擬化技術(shù)，讓嵌入式MCU從硬件上支持虛擬化成為現(xiàn)實。

圖1 TriCore? MCU發(fā)展歷史

其次，在汽車領(lǐng)域，軟件定義汽車日漸盛行，MCU的軟件架構(gòu)也從單核到多核，再到多核的虛擬化逐漸演變[3]，如圖2所示。

圖2 MCU軟件架構(gòu)的演變

最后，從客戶角度出發(fā)，出于節(jié)約成本，系統(tǒng)整合，功能安全，信息安全以及配置靈活性等多維度考量，嵌入式虛擬化也是其中的關(guān)鍵突破口（圖3）。

圖3 嵌入式虛擬化的關(guān)鍵特性

2. 虛擬化系統(tǒng)概述

2.1 虛擬環(huán)境的組成

典型的虛擬環(huán)境由三部分組成：硬件，虛擬機以及虛擬機監(jiān)控器（圖4）。

圖4 虛擬環(huán)境的組成

硬件，可以是任意支持虛擬化技術(shù)的處理器，如英飛凌的下一代高性能MCU，AURIX? TC4x。

虛擬機（VM，Virtual Machine），是執(zhí)行不同虛擬化應(yīng)用程序的容器。通過虛擬化技術(shù)，將物理計算機系統(tǒng)按照CPU，Memory，外設(shè)，中斷等維度進行虛擬分配，形成所謂的虛擬計算機。

虛擬機監(jiān)控器（VMM，Virtual Machine Monitor），又稱Hypervisor（以下均簡稱Hypervisor），它是橫跨在虛擬機和硬件之間的一個軟件層，其主要作用是協(xié)調(diào)不同虛擬機的運行，確保它們之間互不干擾。

2.2  虛擬化系統(tǒng)的分類

根據(jù)Hypervisor在整個虛擬化系統(tǒng)中實現(xiàn)位置的不同，可以將Hypervisor分成兩種類型[1]（圖5）：

Type1 Hypervisor：Hypervisor直接跑在硬件的裸板上，并運行在最高特權(quán)級，而所有的虛擬機運行在較低的特權(quán)級。Hypervisor直接負(fù)責(zé)其上各個虛擬機的資源分配以及運行時的調(diào)度策略。

Type2 Hypervisor：Hypervisor作為一個應(yīng)用程序跑在主機的OS上，與其他應(yīng)用程序沒有本質(zhì)區(qū)別。Hypervisor需要與主機上的OS協(xié)商資源分配。

圖5 Hypervisor的類型

兩種Hypervisor相比，Type1的Hypervisor因為直接訪問底層的硬件資源，在使用效率和性能上更好，一般適用于嵌入式系統(tǒng)。而Type2的Hypervisor因為運行在操作系統(tǒng)之上，即使非技術(shù)型用戶也可以很好地操作Hypervisor，一般用于桌面系統(tǒng)，比如個人電腦等等。

3. 嵌入式虛擬化的優(yōu)點

在汽車電子應(yīng)用領(lǐng)域，嵌入式虛擬化有如下幾個方面的優(yōu)點：

有利于系統(tǒng)整合

從系統(tǒng)架構(gòu)層面來看，整車的EE架構(gòu)已經(jīng)從傳統(tǒng)的分布式系統(tǒng)向集中式架構(gòu)轉(zhuǎn)變（圖6）。

圖6 整車EE架構(gòu)的變革

以域控制器架構(gòu)為例，以太網(wǎng)作為主干網(wǎng)絡(luò)連接各個域控制器，在它們下面掛著不同功能模塊的小型ECU[4]。引入虛擬化技術(shù)之后，可以將其中部分小型ECU以虛擬機的形式移植到域控制器里面，最大化地使用域控MCU的硬件資源，從而減少ECU的數(shù)量[5]，降低系統(tǒng)的BOM成本。圖7是一個簡單的例子說明這個概念。

圖7 虛擬化技術(shù)有助于域控制器融合

從軟件開發(fā)的角度來看，引入虛擬化之后，Hypervisor將硬件資源分配給不同的虛擬機，虛擬機跟應(yīng)用程序之間有一定的映射關(guān)系。各個軟件開發(fā)團隊根據(jù)Hypervisor分配的硬件資源和調(diào)度策略去執(zhí)行自己的應(yīng)用程序開發(fā)，然后做軟件集成（圖8）。由于各個虛擬機可以獨享自己的硬件資源，彼此之間互不干擾，各個虛擬機甚至可以使用不同的AUTOSAR軟件，不同的操作系統(tǒng)，不同的開發(fā)工具。這樣就解決了不同開發(fā)團隊或者不同供應(yīng)商的程序在同一個硬件系統(tǒng)中運行，系統(tǒng)集成難度大的問題。

圖8 虛擬化方案軟件開發(fā)流程

有利于功能安全和信息安全的部署

虛擬化技術(shù)的一個顯著特定就是隔離，Hypervisor為不同的虛擬機分配硬件資源，如CPU，內(nèi)存，外設(shè)以及中斷。以AURIX? TC4x為例，用戶可以對每一個虛擬機分配特定的內(nèi)存和外設(shè)，以及它們的訪問權(quán)限，中斷也可以給到指定的虛擬機去響應(yīng)。這樣原本在不同ECU層面的功能安全和信息安全目標(biāo)，現(xiàn)在在不同虛擬機之間就能夠?qū)崿F(xiàn)（圖9）。

圖9 虛擬機隔離示意圖

增強了系統(tǒng)集成的靈活性

每一個虛擬機可以做到獨立的啟動和停止，以及獨立的去編程和燒錄，這大大增強了系統(tǒng)的可擴展性和集成的靈活性。

4. 汽車嵌入式虛擬化的使用案例

這里簡單介紹兩個嵌入式虛擬化在汽車電子領(lǐng)域的使用案例。

案例一：新能源多合一

圖10 新能源多合一系統(tǒng)示意圖

新能源多合一技術(shù)是當(dāng)前新能源汽車的研究熱點。圖10是雙電機和DCDC功能融合的案例，CPU0運行MCAL和通信協(xié)議棧，CPU1運行Inverter A的應(yīng)用，CPU2運行Inverter B和DCDC的應(yīng)用，每一個應(yīng)用里面可以有一個或者多個虛擬機，不同的虛擬機通過Hypervisor實現(xiàn)它們的調(diào)度。這樣可以最大化地利用MCU的硬件資源，減少ECU數(shù)量，降低系統(tǒng)的BOM成本。此外，Inverter應(yīng)用和DCDC應(yīng)用的開發(fā)可能來自不同的軟件團隊，即使他們的開發(fā)環(huán)境（操作系統(tǒng)，編譯器，調(diào)試器）不同，由于應(yīng)用跑在不同的虛擬機里面，彼此之間互不干擾，從而降低了開發(fā)和集成的難度。

案例二：充電樁V2G技術(shù)

圖11 使用虛擬化對V2G相關(guān)應(yīng)用進行隔離

V2G技術(shù)被認(rèn)為是電動汽車和電網(wǎng)進行雙向能量和信息交互的理想范式。但是近年來黑客攻擊充電樁的事件時有發(fā)生。為了防止黑客在用戶充電過程中對汽車的入侵，我們可以在控制器端采取防御措施。比如，將與充電樁通信相關(guān)的應(yīng)用放到一個特定的虛擬機里面[6]，該虛擬機對其他硬件資源的訪問進行嚴(yán)格的管控，從而達(dá)到虛擬防火墻的作用（圖11）。

5. 汽車嵌入式虛擬化的挑戰(zhàn)

當(dāng)然，嵌入式虛擬化也面臨著諸多挑戰(zhàn)[7]，總結(jié)為如下幾點：

實時性

雖然嵌入式系統(tǒng)都是Type1的Hypervisor，但是Hypervisor作為中間的調(diào)度軟件，本身也會消耗時間片，系統(tǒng)越復(fù)雜，調(diào)度策略也會越復(fù)雜，Hypervisor本身的時間開銷也會越大，從而影響系統(tǒng)的整體實時性。

故障處理的復(fù)雜性

引入了虛擬化之后，多個應(yīng)用集成在一個MCU控制器當(dāng)中，如果某一個虛擬機出現(xiàn)系統(tǒng)失效，我們需要盡可能的保證該虛擬機的故障處理不影響到其他虛擬機的正常運行，盡量避免單個虛擬機失效影響整個系統(tǒng)的情況發(fā)生，這對故障處理功能帶來了挑戰(zhàn)。

通用功能的系統(tǒng)整合

對于多應(yīng)用融合的方案，在引入虛擬化之后，一些通用的系統(tǒng)功能，如休眠喚醒功能，如何整合所有應(yīng)用去做最終的方案策略，值得客戶深思；再比如，AUTOSAR的基礎(chǔ)軟件，是共用一套BSW軟件，還是每個應(yīng)用都有自己的BSW軟件，也是一個值得商榷的問題。

軟件生態(tài)

當(dāng)前，嵌入式虛擬化的軟件大都是非開源的商業(yè)軟件，且軟件本身沒有類似AUTOSAR這樣的標(biāo)準(zhǔn)接口規(guī)范，軟件公司根據(jù)不同芯片廠商的硬件支持情況各自制定自己的解決方案。

6. 總結(jié)

總的來說，虛擬化技術(shù)最早在計算機端興起，而嵌入式系統(tǒng)的虛擬化正在成為一種趨勢。用戶可以根據(jù)自身需求將MCU的硬件資源靈活地拆分成多個虛擬機，不同的應(yīng)用跑不同的虛擬機，Hypervisor負(fù)責(zé)管理各個虛擬機的啟動，運行以及停止，最大限度地利用MCU的資源。虛擬化的隔離特性有助于客戶的軟件開發(fā)和集成，滿足功能安全和信息安全的要求。英飛凌最新一代AURIX? TC4x將從硬件上支持虛擬化技術(shù)，助力整車的E/E架構(gòu)設(shè)計，開發(fā)和集成。

參考文獻

[1] https://www.ibm.com/history/time-sharing

[2] SANTIAGO LOZANO, TAMARA LUGO, JESúS CARRETERO. A Comprehensive Survey on the Use of Hypervisors in Safety-Critical Systems [J]. IEEE, VOLUME 11, 2023, 36244-36263.

[3] Gernot Heiser, Open Kernel Labs, Inc. TECHNOLOGY WHITE PAPER-Virtualization for Embedded Systems[R/OL]. April 2008. https://www.researchgate.net/publication/234804454.

[4] Dominik Reinhardt, Daniel Adam, et al. Embedded Virtualization Approaches for Ensuring Safety and Security within E/E Automotive Systems[J]. Engineering, Computer Science, 2015.

[5] Alexandra Aguiar, Fabiano Hessel. Embedded Systems’ Virtualization: The Next Challenge? [J]. IEEE International Symposium on Rapid System Prototyping, 2010

[6] Stefaan Sonck Thiebaut, Antonio De Rosa, et al. Secure Embedded Hypervisor based Systems for Automotive[C]. 2016 46th Annual IEEE/IFIP International Conference on Dependable Systems and Networks Workshops.

[7] 王洪波. 嵌入式虛擬化技術(shù)與應(yīng)用[M]. 北京：機械工業(yè)出版社，2023.8.