VOSYSmonitor, un Système Partitionneur Certifié pour les Environnements à Criticité Mixte

Automobile: Co-exécution d'un Tableau de Bord avec un Système d'Info-divertissement sur Plate-forme Renesas R-Car H3 - Virtual Open Systems à l'Évènement Automotive Linux Summit, Tokyo 2017

Cette vidéo démontre le fonctionnement de VOSYSmonitor, un système partitionneur certifiable ISO 26262 pour l'Architecture ARMv8-A, qui a été présenté par Virtual Open Systems lors de l'évènement Automotive Linux Summit (ALS), Tokyo 2017. VOSYSmonitor exécute simultanément plusieurs applications automobile au sein d'une seule plate-forme, hétérogène et multi-coeurs. Par exemple, un système d'info-divertissement, nécessitant des applications graphiques 3D riches, peut être exécuter simultanément avec un système dit critique tel que le tableau de bord digitale. En tirant parti de ARM TrustZone, VOSYSmonitor fournit une sécurité globale sur l'ensemble du système en isolant les processeur, les bus, les mémoires ainsi que les périphériques de chaque système dans deux compartiments séparés, assurant ainsi une protection maximale pour les systèmes critiques. Cette vidéo démontre la capacité de VOSYSmonitor à exécuter, sur une plate-forme Renesas R-Car H3 (Quad Cortex-A57@1,5GHz, Quad Cortex-A53@1,2GHz), un système d'exploitation libre "temps-réel" (FreeRTOS) pour les éléments critiques comme le tableau de bord digitale avec un système d'exploitation possédant les extensions de virtualisation. En particulier, FreeRTOS est exécuté dans la partie sécurisée (ARM secure world) afin de contrôler les fonctions critiques (gestion du tableau de bord digitale, etc.), tandis que Linux-KVM est exécuté dans la partie non sécurisée pour fournir l'info-divertissement dans un environnement virtualisé. Les fonctions suivantes, nécessitant des interactions entre ces deux systèmes, s'exécutent simultanément sur la plateforme R-Car H3:

• Animation du tableau de bord digitale: FreeRTOS a été amélioré afin de gérer les graphismes du tableau de bord digitale et ainsi afficher la vitesse du véhicule, la vitesse de rotation du moteur et les alarmes ou les messages d'avertissement (ceinture de sécurité, température du moteur, etc.)
• Support d'écran partagé: Les deux systèmes (Linux et FreeRTOS) peuvent être affichés simultanément sur le même écran. En effet, FreeRTOS est capable de définir la composition finale de l'affichage sur l'écran puisqu'il contrôle l’initialisation des périphériques liés au graphique (HDMI, VGA, etc.). Linux, quant à lui, utilise un frame buffer qui se superpose à celui de FreeRTOS. Une telle solution garantie que les informations liées au système critique (FreeRTOS) sont affichées à l'écran même si une erreur survient dans Linux.
• Simulation d'une erreur fatale de Linux: VOSYSmonitor surveille l'exécution de la partie non-sécurisée (Normal world) afin de détecter d'éventuelles erreurs et si nécessaire redémarrer le système Linux sans influencer l’exécution du système temps-réel (FreeRTOS), qui est isolé dans la partie sécurisée (Secure World).
• Android virtualisé: Android a été virtualisé et exécuté dans une machine virtuelle pour montrer la capacité de VOSYSmonitor à exécuter différents système d'exploitation. En effet, ce système partitionneur utilise la partie sécurisé (ARM TrustZone) pour isoler le système critique, laissant la possibilité d'exécuter un hyperviseur dans la partie non-sécurisée (e.g., KVM, XEN, solution propriétaire, etc.).
• Heating, Ventilating, and Air Conditioning (HVAC): Via Linux/KVM, une machine virtuelle héberge une application web contenant l'interface de contrôle HVAC. En se connectant à l'application, l'utilisateur peut contrôler la vitesse du ventilateur. En effet, l'information est reçu par la machine virtuelle qui transfert les commandes vers la partie sécurisée, via VOSYSmonitor (service SMC), afin de contrôler la rotation du ventilateur qui est supervisée par FreeRTOS.