如何保证系统安全？中汽中心鞠伟男分享汽车操作系统测试经验

如何保证车用操作系统安全？

作者 | 章涟漪

智能汽车快速发展的当下，车用操作系统越发受到关注。

目前，国内几乎所有的车用操作系统都是基于国外的内核进行开发。如何在应用国外内核的同时，保证操作系统的安全？

在上周举办的2022 CICV论坛上，针对上述问题，中汽研汽车检验中心(天津)有限公司（中汽中心投资建设，为独立第三方汽车产品检测及技术服务机构）软件与仿真测试平台总监鞠伟男给出了自己的答案。

以下为演讲内容分享：

随着汽车不断电动化、智能化发展，操作系统电子电气架构各个方面都在发生变革，所以也催生了操作系统。

之前的操作系统是比较简单的嵌入式，比如ECU控制发动机、天窗等，里面是一套很小的嵌入式系统，代码也非常少。

但随着汽车的不断发展导致架构也比较复杂，所以需要一套汽车上的操作系统进行执行。按照汽标委发布的标准，车用操作系统可分为车控操作系统和车载操作系统。其中，车控主要分为安全、智能驾驶操作系统，车载则更多面向娱乐。

按底层开发程度划分，车用操作系统可以划分为四种。

首先是基础性操作系统：全新底层操作系统和系统组建，如系统内核、底层驱动等，有的还包括虚拟机。这部分由于国外供应商发展较早、技术相对成熟，并且拥有大量开发者群体，因此处于垄断地位，目前业内比较主流的产品包括Linux、Android、QNX、WinCE等。

其次是定制型操作系统：在基础型操作系统之上深度定制化开发，如修改内核、硬件驱动、运行时环境、应用程序框架等；

再次是ROM型操作系统：基于基础型操作系统限定制化开发，不涉及系统内核更改，一般只修改自带的应用程序。

最后是手机映射系统，把手机屏幕内容映射到车载中控，通过整合地图、音乐、社交等功能为一体来满足车主需求的APP。

可以预见，随着智能汽车时代到来，智能驾驶操作系统将会成为自动驾驶汽车发展的核心竞争力之一，是未来车用操作系统主要发展趋势。

具体到国内操作系统发展现状。

QNX由于安全性能确实非常高，整体市场份额还是比较高的；Linux应用生态目前比较弱，但市场份额在逐渐增加，预计2023年可能会达到30%左右，特斯拉即是基于Linux进行的开发；Android合作厂商已经非常多了，包括国内的阿里和百度等，预计市场份额也会不断增加；微软则马上要退出历史舞台了。

目前，车载操作系统的生态处于迅速发展时期，操作系统将逐步从单系统演化为多系统，多系统方案将成为车载软件构架的核心。

整体来看，特斯拉、大众、华为、百度等都是当下比较主流的车控操作系统，发展较为成熟。未来，自动驾驶是重要发展方向，很多企业都在往智能驾驶方向进行布局。

各大车载操作系统有细微差别。如Android和鸿蒙，是全世界第一个可以面向微内核的相关OS，车载大屏和车载仪表用得比较多，但是对座舱系统的开发，由于开源性不是很强的特点，未来发展不是那么理想；阿里方面，则是针对整车智能操作系统也开发了一套相应的系统，目前在相关车辆进行搭载。

车载操作系统快速发展的同时，另一个问题也让更多人关注：如何保证系统安全？

当下，金融领域很多提出可信执行环境操作系统概念，他们也有很多数据，需要从底层保证数据安全不被攻破。

汽车行业里也有一些方案，但还没有进行比较大规模应用。

目前很多芯片里都有一套可信执行环境操作系统，信标委也已发布一项标准，里面提到了该系统。未来运行这套操作系统，负责安全车控、智能和车载系统等。即，将用户身份验证、敏感数据相关信息放在可信执行环境运行，通过硬件隔离和通道方式读取必要的数据，保证即使复制环境被攻破，可信执行环境还能够保证安全。

目前可信执行环境运行还不太多，第一代只能单线程进行通信，不能满足汽车这种非常快速的通讯方式要求；第二代开始支持多线程通信，保证通信的效果。

从应用场景来看，现阶段车用可信执行环境应用场景还是车端比较多，下一阶段可能会向以太网，包括智能座舱、中央网关都会搭载这样一套可信执行环境的芯片，保证操作系统底层的安全。

从政策法规来看，国外已经开展了一系列标准化工作，国内则处于相关标准制定期。

去年已有车载和车控标准提交立项材料，目前正在准备这两个标准的草案。中汽中心也参与了两项标准研究工作。

中汽中心基于行业进行了分析，国外都是基于AutoSAR进行量产ECU开发，国内也有应用于一些主机厂。目前来看，这套产品在国内应用落地比较多，费用也非常高昂，帮助企业研发一些模块化东西，这也能比较好地保证开发过程的可控和安全。

在发展过程中，国内车载操作系统技术也遇到了一些问题，整体发展不太成熟。主要是因为，国内几乎所有操作系统都是基于国外的内核进行开发。

当然，国内自己去开发一套内核是不符合实际的，也没有必要把国外的路重新走一遍。

那么，即使应用国外的内核，如何保证国内操作系统的安全？能不能将可信执行环境这套东西作为中国自主可控的一个壳子套在国外内核上，以保证即使用的是国外内核，安全性能也能够得到比较好的提升。

这需要整个生态圈的支持。而当下，相关生态建设才刚刚开始，需要更多企业参与。

正如上述所言，一方面，相关标准还不够完善，需要不断建设；另一方面，工具链发展也比较缓慢，希望更多的企业能够加入进来，开发出具有中国自主知识产权的工具链。

中汽中心在做生态研究的工作组，去年已经得到了相关数据，去支撑车用操作系统测试管理评价研究项目，相关成果已经在7月的会议上进行了发布。

主要有两个支撑标准：一个是国汽智控牵头的车控操作系统；另外一个是阿里牵头的车载操作系统要求和实现方法。

项目组认为，车控操作系统对性能和安全的要求比较高，所以搭建了功能测试、性能测试、安全测试和其它测试。

同时，由于车载操作系统应用场景的特殊性，所以对多系统接口有比较高的要求，对安全性也有一些要求，所以搭建了基础服务、多系统、安全性和接口的测试。

中汽中心方面认为，将来车载操作系统肯定会有一个比较好的生态。他们希望，同样的接口，比亚迪、上汽等都能用，达到这样的状态。可信执行环境的测试体系也是从功能、安全、性能和其它测试方面开展。

当下车用操作系统的难点，就是不同的厂家操作系统接口和应用工具都是不一样的。中汽中心给一些企业提供测试也是基于其已有的相关数据进行输入，很多工作还是通过文档审查的方式开展。

因此，中汽中心也是搭建操作系统可信执行环境的测试系统，有些能够进行全自动测试，有些是通过代码审核的方式开展相应的测试工作。

在去年开展某款智能驾驶平台的性能测试时，中汽中心发现了一个比较大的问题，即硬件平台的统一。同样操作系统在不同的硬件平台运行，测试出来的性能和参数是比较难以定义的。

所以，能够对行业定义一个统一的参数限值，说明这个操作系统好还是不好，目前市场还是比较难的。

去年中汽中心进行平台测试时，有客户提出要求，重点关注帧率和时效比，我们当时也是通过搭建平台开展测试，并提供报告。但只能提供客观测试报告，不能说这个平台好还是不好，因为现在确实比较难以有统一的评价标准，这也是未来我们进行操作系统研究的关键议题。