63 / 84
63
EMBEDDED
FEBBRAIO
SELF DRIVING |
SOFTWARE
richiama da vicino il concetto di Separation Ker-
nel descritto da John Rushby nel 1981
(4)
. Un Se-
paration Kernel “ricrea, all’interno di una singola
macchina condivisa, un ambiente che supporta le
varie componenti di un sistema e fornisce i canali
di comunicazione tra di esse, in maniera tale che
i singoli componenti di un sistema non possano
distinguere questo ambiente condiviso da un am-
À
Un SKH (Separation Kernel Hypervisor),
come ad esempio LynxSecure di Lynx Softwa-
re Technologies, risulta quindi particolarmente
adatto per l’impiego in questi Domain Control-
ler (Fig. 4). LynxSecure implementa una base di
À
-
tiene i driver dei dispositivi ma controlla molto
semplicemente l’assegnazione dei dispositivi e
il tempo di CPU assegnato alle VM consenten-
do loro di girare quasi come se fossero installa-
te direttamente sull’hardware (bare metal). In
ogni caso il comportamento delle temporizzazioni
# Á
-
colar modo nel caso in cui più VM girano su un
singolo core di processore, ma utilizzando la pro-
grammazione della CPU di tipo deterministico di
LynxSecure gli sviluppatori possono modellare
in maniera accurate l’attività degli ospiti in ogni
momento, anche quando le VM stanno condivi-
dendo un core. Un comportamento di questo tipo
ha attirato l’attenzione di ETAS, una delle più
importanti aziende che si occupa di sviluppo di
software embedded per applicazioni automotive
che ha annunciato una collaborazione con Lynx
À
G !
AUTOSAR, RTA-BSW, su LynxSecure
(5)
.
In questo articolo è stata quindi descritta una po-
tenziale soluzione a un tema reale molto sentito
D
il problema della sicurezza nel momento in cui
il mercato richiede veicoli sempre più autono-
mi e connessi a costi compatibili con le esigenze
dell’industria automobilistica. L’impiego di un
SKH all’interno di un controllore del dominio
del veicolo mette a disposizione una piattaforma
“leggera” in grado di ospitare macchine virtuali
comprese le due tipologie di piattaforme AUTO-
SAR (Classic e Adaptive). Il supporto delle Clas-
sic Platform consentirà di effettuare il porting
del software scritto per i microcontrollori di tipo
“legacy” nel controllore del dominio, anche se in
ogni caso una scelta accurate dell’hypervisor è un
compito fondamentale per garantire la prevedi-
bilità del comportamento delle temporizzazioni
delle machine virtuali di tipo “safety-critical”.
Note
[1]
DFF!!! F
F>A>5>
[2]
DFF
F9 3:1 3:S
-
G
[3]
DFF!!!
F
F
[4]
DFF!!!
F
F
6F
F
sosp81.pdf
[5]
DFF!!!
F
F
F1
-
'?.8"6 %
Fig. 4 – Isolamento
delle applicazioni
AUTOSAR dalle
applicazioni di tipo
general purpose
utilizzando un SKH
(Separation Kernel
Hypervisor)