本文來源：SemiEngineer
作者：ANN STEFFORA MUTSCHLER

隨著汽車產業的電氣化和自動化不斷提高，車輛內部的ECU不斷整合、有著更嚴格的功能安全和信息安全等要求，車輛設計越來越復雜。汽車生態系統的參與者們正以多種方式尋求虛擬化概念，以簡化汽車的設計。

其中的一種方法是硬件虛擬化，將一種設備托管在一個或多個虛擬機上，這些虛擬機的行為類似于具有自己操作系統的獨立計算機，并且都運行在同一個底層設備硬件上。這意味著單個GPU可以支持多個并發運行的操作系統，每個操作系統都向單個圖形硬件設備提交工作負載。

從歷史上看，形成這一格局的趨勢之一就是隔離，車內完全獨立的模塊在物理上彼此分離，并且在不同的配置中。

Imagination產品管理高級主管Kristof Beets說：“我們已經看到了這種變化。有些SoC，有兩個圖形核心，一個用于儀表板，另一個用于驅動屏幕，它們在物理上是分開的。問題是，如果有性能上的差異，如果其中一個GPU比另一個功能弱很多，另外一個的加速效果就會弱很多，同時兩者不能協同加速，這是一個大問題。此外，安裝太多模塊并對其進行過度的設計非常昂貴。”

Drako Motors首席執行官Dean Drako表示，汽車行業的一些活動正在進一步塑造產業格局。“首先，電氣化即將到來，這需要不同的軟件和不同的功能，沒有一家汽車制造商真的能完全掌控。第二是向ADAS和自主車輛發展，每家OEM都在努力開發中，他們甚至還沒有弄清楚要在什么操作系統上運行，他們只是想弄清楚如何讓它工作。此外，汽車制造商還面臨著一個巨大的問題，汽車的計算成本在總成本中所占的比例持續上升。”

1950年，電子產品僅占汽車成本的1%。如今，電子產品已占到總成本的40%。隨著自動駕駛功能和安全功能的增加，以及為這些系統定制的軟件開發，成本將持續上升。但企業也開始質疑，是否一切都需要獨立開發，尤其是在差異化程度很低的領域。

OEM沒有1000名工程師來制造、測試，并處理合規性、安全性和安全性，大多數都是希望采用合作伙伴方式共同解決難題。Drako說道：“特斯拉在聯網汽車的性能方面大做文章，他們可以用iPhone打開汽車，檢查汽車，查看車內的攝像頭。其他OEM都無從下手，因為車里有100臺電腦，每臺電腦只做一件事。有一臺電腦負責攝像系統，這樣你在倒車時就能看到攝像機。這的確很好，但是這臺電腦不能和其他任何電腦通信。當他們為OnStar安裝了漂亮的空中電話調制解調器，以便在發生故障時可以通過手機獲得幫助時，無法將攝像頭連接到手機上，以便通過它觀看視頻，因為這是兩臺不同的計算機。OEM商非常困惑，所以這個行業需要另一種操作系統，因為特斯拉不會向其他OEM商公布自己的操作系統。”

硬件虛擬化旨在解決這些問題。“假設你有一個GPU，但它有多個客戶端操作系統——受保護的工作負載，可以占據GPU的一定比例。”Beets說。“我們把它完全放在硬件上以減少開銷，因為我們希望盡可能多地保留GPU負載，這樣就可以很好地將其分配到不同的工作負載上，和虛擬化CPU相似。這是一種基于時間切片的系統，基本上，您可以使用GPU，并使用基于軟件的規則來安排不同的工作負載，并相互保護。”

Cadence解決方案營銷部高級集團總監Frank Schirrmeister指出，鑒于汽車行業正在按照車輪上的數據中心的思路重新思考未來的架構，虛擬化在汽車行業尤為重要。“虛擬化非常重要，尤其是在汽車領域，您面臨的是分區體系結構以及放置哪些功能。你真的需要小心地把關鍵的方面和不那么重要的方面分開，比如音頻和視頻。其中一些可能會崩潰，但對于自動駕駛和此類應用相關的攝像頭來說，則需要有效隔離。”

自本世紀初以來，硬件虛擬化在數據中心得到了廣泛的應用，主要是為了提高服務器的利用率，因為為服務器機架供電和冷卻成本高昂。通過使用hypervisor，多個任務、操作系統和應用程序可以共享同一個硬件。

Arteris IP的功能安全經理Stefano Lorenzini說：“為同一硬件創建多個虛擬實例的方法可行，實際上都有專用于特定的產品、軟件或應用程序。Hypervisor是一個直接在硬件上運行的裸機操作系統，它創建了一個與運行在上面的其他應用程序或軟件程序相關的中間層。因此，如果您想從上到下查看體系結構，您可以看到應用程序，然后看到Hypervisor，然后看到硬件層。虛擬機監控程序會給應用程序造成這樣一種錯覺，即SoC的每個資源都專用于它們。”

這也解決了自動駕駛汽車中的一個問題，在這種情況下，汽車中有許多不同的分布式處理器，但并非每一個處理器都專用于特定的功能。這被視為避免冗余的一種方式，但也會增加重量和成本，同時限制了自動駕駛車輛故障轉移系統的能力。

Lorenzini說：“每個供應商都將為特定處理器提供操作系統和應用程序。你可能有幾十個不同的處理器。隨著系統復雜程度的增加，現在的趨勢是嘗試將所需的所有計算能力集中在一臺集中的計算機上。然而，如果你要把它們放在一起，就要重新利用過去的應用程序、操作系統等的投資，但務必保證在同一塊硬件上彼此獨立工作。這就是OEM的問題所在，因為每個應用程序可能有不同的安全要求和ASIL級別。例如，您可能有一個制動系統必須是ASIL D，另一個應用程序必須是ASIL B，另一個應用程序沒有ASIL等級，因為它不是安全關鍵。在您將所有這些應用程序放在一起的那一刻，您必須確保這些不同的軟件任務之間的分離或隔離。這正是虛擬化所能做的，因為它可以創造分配任務。虛擬化將每個任務分開，例如，如果某個特定任務因軟件故障而失敗，則其他所有任務都不會受到影響。”

硬件虛擬化

隨著這一領域工作的不斷發展，工程團隊有兩種實現硬件虛擬化的方法—準虛擬化和全硬件虛擬化。

準虛擬化就像一個大的軟件交換機，其中可能有一個GPU和一個控制該GPU的軟件。在用戶方面，可能會有一個大的軟件切換，表示有兩個應用程序，儀表板和信息娛樂系統，允許兩者之間切換。

“這種方法的問題在于，你沒有真正的虛擬化，因為你基本上都是用軟件來做的。另一個問題是，通常只有一個驅動程序軟件控制著這個GPU，所以如果其中一個應用程序行為不當，它可能會導致軟件崩潰。在這樣一個系統中，實際工作的風險要大得多。實際上還有更多的開銷，因為它是軟件，而且是手動切換。通常情況下，你會運行一個可信應用程序的框架，然后軟重置硬件以清理它，以確保它沒有被污染。然后運行另一個應用程序。這些類型的重置在硬件上花費了大量時間，但您必須這樣做，否則來自上一個應用程序的數據可能會影響下一個應用程序。”

全硬件虛擬化將一切構建到硬件中。硬件設計中有多個軟件接口，可以運行許多完全獨立的驅動程序棧。每個程序相信它有自己的GPU，而且實際上也就是在和硬件對話。

一些GPU提供商，比如Imagination，使用GPU內部的一個小型固件處理器來管理這些優先級，以及充當看門狗的角色，還可以拒絕工作負載。此外，一個軟件模塊使用優先級方案來隔離GPU的特定子部分的工作負載，為用戶細分GPU以滿足靈活性的需求。

軟件

虛擬化已經被證明是劃分不同軟件棧并降低總體硬件成本的有效方法。然而，在安全保障方面，問題仍然需要解決，特別是在汽車領域。

OneSpin Solutions的產品管理總監Shaun Giebel說：“汽車應用的處理器核心發展緩慢。為了支持虛擬化，需要額外的硬件功能。再加上更多的軟件層，這使得整個驗證和功能安全符合性更加復雜。某些低級軟件功能驗證已經在特定的安全空間中使用，增加對硬件的正式驗證是對系統按預期運行、無干擾和解決關鍵性能瓶頸的唯一方法。”

如果沒有標準化的解決方案，比如汽車專用操作系統，這個問題就會變得更加困難。在這個領域，操作系統的工作是處理許多獨特的安全性、安保性和復雜性要求，但要用競爭對手的專有操作系統來實現這一點要困難得多。

“為什么汽車沒有自己的操作系統？”Drako問道。“手機、游戲和筆記本電腦都有Android和iOS，服務器也有自己的操作系統。汽車是世界上唯一沒有自己操作系統的消費級設備。”

Beets同意，并建議這與認證和功能安全有關。“像Linux和Android這樣的東西都經過了一定程度的測試。但是他們仍然是開源的，而且很多人都有貢獻。它們也非常復雜。它們非常大，有很多行代碼，所以你不能完全保證它們沒有bug。在汽車領域，儀表板對用戶來說非常重要，它不需要所有豐富功能，因為它基本上只是運行一個應用程序。因此，您可以使用一個更小的操作系統，它更簡單，但也可以由第三方驗證它是否正確，是否滿足要求，并且還有一些工具可以為完成驗證工作。但如果你的代碼庫太大，那是不可能的。”

其中最著名的汽車操作系統是INTEGRITY和QNX。還有一些Linux的汽車級版本，是Linux的簡化版本。所有這些都可以在虛擬化系統中運行。

“你可以創建所有這些分離的域沙盒，每個沙盒都可以運行自己的操作系統，”Beets說。“其中一些是功能上安全的操作系統，比如Integrity。其他的可能只是標準的Android或Linux，這沒關系。如果它們崩潰，它們基本上會停止提交工作，因此GPU不會從它們那里獲得更多的渲染命令，這很好，因為儀表板在資源的另一個子集上運行自己的小操作系統，并且會繼續運行。”

安全和虛擬模型

安全性是虛擬化可以發揮重要作用的另一個領域。

“沒有信息安全，就沒有功能安全，沒有功能安全，就沒有信息安全，”Cadence的Schirrmeister說。“二者都是齊頭并進的，因為如果我沒有安全措施，可能會有人闖入并使我的剎車失靈。”

“虛擬化”一詞的另一面是數字孿生概念，即整個系統在模型之外虛擬化。還有一些安全特性可以從這個角度來解決，在設計流程中進一步等待。

“如果攻擊者控制了系統，他們會怎么做來入侵？”Tortuga Logic的首席執行官Jason Oberg說：“如果你在一家半導體公司制造一個子系統，很難理解攻擊者是如何侵入該子系統的，因為你已經走得太遠了。但是從虛擬化的角度來看，假設它是一個ADAS系統，您正在嘗試檢測您是否會遇到一個對象，是否有人訪問我系統的這一部分。可能是系統的外部輸入，比如調試端口，也可能只是從另一個域訪問它的某種方式，比如在你的操作系統中，從用戶代碼或其他方式。但是如果它進入并實際調用某個東西，它會影響ADAS系統的行為。您可以對整個行為進行建模，并且可以在整個系統級別進行建模，從硬件一直到操作系統，再到應用程序級別。”

虛擬化在這方面也有幫助。“這實際上是在考慮如何在這種環境下部署它，如果有對手試圖做一些惡意的事情，他們會如何試圖侵入系統？”Oberg說。“然后就是從那里展開和解開一切。通過虛擬化，您真的可以得到完整的圖像。當你深入到真實的事物時，事情會變得越來越孤立。這就更難解釋了。”

Synopsys驗證小組的高級主管Marc Serughetti說：“虛擬化能夠充分利用處理器的性能，優化架構，并解決日益增長的軟件復雜性問題。它還需要新工具的加入，以加速軟件開發、集成和測試。對硬件可用性的依賴會造成延遲、不確定性并限制生產力。使用虛擬原型（從虛擬硬件模擬到基于主機的執行）虛擬化硬件以實現開發目的，是盡早開始開發、部署更具生產力的調試和測試、在服務器場中擴展開發以及在任何時間、任何地點跨協作團隊實現此開發的關鍵技術。”

還有更多的工作要做

其中ISO 26262是汽車發展方向之一。在開發周期的每一個階段，即使開發步驟沒有在車輛中完成，也必須對其進行適當的說明，并且可以跟蹤和測試，虛擬化在這方面也可以發揮作用。

“特別是對于安全關鍵型系統，虛擬化涉及系統工程過程的每一個部分，但測試仍然是脫節的。”西門子公司Mentor集成電氣解決方案組首席工程師Lance Brooks說。“由于硬件在設計周期中占據主導地位，因此在設計階段為安全而做的測試以及類似這樣的事情與流程的后期部分是脫節的。尤其是在汽車行業，它們都是以硬件為中心的。”

因此，汽車OEM正在努力磨練他們的軟件專業知識。Brooks說：“他們確實在努力解決的一個問題是以硬件為中心的思維方式。虛擬化、數字化和數字孿生兄弟確實可以幫助他們，因為在實際的硬件上不可能驗證一切。測試從設計到驗證都是分離的，這種使用數字孿生和虛擬化的抽象是幫助他們突破這一障礙的一種方法。如果他們在整個過程中都能做到這一點，他們就會開始打破這些“筒倉”，在設計方面和另一方面進行測試。”

這將大大加快和改善更多自主汽車的開發進程。

原文鏈接：https://semiengineering.com/virtualization-in-the-car/