SafeG 高信頼組込みシステム向けデュアル OS モニタ Daniel Sangorrín, 本田晋也, 高田広章 名古屋大学 2010 年 12 月 3 日 この研究の一部は文部科学省のサポート受けて実施しています Daniel Sangorrín ( 名古屋大学 ) ET 横浜 2

Transcription

1 SafeG 高信頼組込みシステム向けデュアル OS モニタ Daniel Sangorrín, 本田晋也, 高田広章 名古屋大学 2010 年 12 月 3 日 この研究の一部は文部科学省のサポート受けて実施しています Daniel Sangorrín ( 名古屋大学 ) ET 横浜 2010 年 12 月 3 日 1 / 25

2 目次 1 Introduction 2 SafeG 3 Evaluation 4 Conclusions and future work Daniel Sangorrín ( 名古屋大学 ) ET 横浜 2010 年 12 月 3 日 2 / 25

3 目次 Introduction 1 Introduction 2 SafeG 3 Evaluation 4 Conclusions and future work Daniel Sangorrín ( 名古屋大学 ) ET 横浜 2010 年 12 月 3 日 3 / 25

4 Introduction 自己紹介 Daniel Sangorrín ( サンゴリンダニエル ) スペイン北部経歴 : : 電気通信の修士課程修了 : EU の FRESCOR プロジェクトの研究者 Cantabria 大学の Computers and Real-Time group に所属 2009 現在 : 名古屋大学大学院情報科学研究科情報システム学専攻博士後期課程 2 年高田研究室研究トピックス組み込みシステムリアルタイムスケジューリング分散システム Daniel Sangorrín ( 名古屋大学 ) ET 横浜 2010 年 12 月 3 日 4 / 25

5 概要 Introduction RTOS と汎用 OS が共存するシステムでは RTOS のリアルタイム性とメモリ保護の確保が重要 OS 毎に異なるハードウェアを使用する手法はコストを引き上げてしまう SafeG はシングルプロセッサで両アプリを安全に実行できる高信頼性デュアル OS モニタ Daniel Sangorrín ( 名古屋大学 ) ET 横浜 2010 年 12 月 3 日 5 / 25

6 Introduction 組み込みシステムの傾向 車載情報システムやスマートフォン等の高機能な組込みシステム新たな機能を次々と取り込み, リソースは増大している例 : ナビゲーション ビデオ ゲーム インターネット同時にリアルタイムアプリも実行しなければならない例 : クルーズコントロール 携帯のベースバンドとセキュリティシステム ARM Ltd. Copyright 2010 Daniel Sangorrín ( 名古屋大学 ) ET 横浜 2010 年 12 月 3 日 6 / 25

7 Introduction 汎用 OS と RTOS の連携の問題 汎用 OS と RTOS に対する要求は大きく異なる スループット vs リアルタイム性高信頼性 vs 高機能新機能の取り込みのスピードを高めるためには, オープンなソフトウェアを実行できる必要があるしかしながら, 大規模になるため検証が非常に困難高い信頼性を確保するには, 動作全てを検証する必要があるしかし, 新機能を取り込むスピードは低下する 単一の OS の上でこの相反する要求を同時に満たすのは困難です また OS 毎に別々のハードウェアを使うのとコストが増加する Daniel Sangorrín ( 名古屋大学 ) ET 横浜 2010 年 12 月 3 日 7 / 25

8 Introduction 既存の組み込みシステム向けの仮想の方式 汎用 OS へのパッチ ( 例 :Linux RT) RT アプリは保護されておらず信頼性が低い ハイブリッドカーネル ( 例 :Xenomai や RTAI や RTLinux) リアルタイム性と高パーフォマンス しかし メモリ保護がない Daniel Sangorrín ( 名古屋大学 ) ET 横浜 2010 年 12 月 3 日 8 / 25

9 Introduction 既存の組み込みシステム向けの仮想の方式 VMM ハイパーバイザー ( 例 :OKL4 XtratuM Integrity OS) 汎用 OS は非特権モードで動作するためメモリ保護は実現できる 特権処理の実行オーバヘッドが高い 汎用 OS は大規模なため, 変更やメンテナンスが困難 プロセッサ以外のバスマスタから保護できない ( 例 :DMA) Daniel Sangorrín ( 名古屋大学 ) ET 横浜 2010 年 12 月 3 日 9 / 25

10 Introduction SafeG の目的 汎用 OS(Linux/Android) と RTOS(TOPPERS/ASP) をシングルプロセッサで実行 RTOS を安全に実行 RTOS のリアルタイム性を保証 実行オーバヘッドは小さい 汎用 OS の変更は少ない SafeG は小規模で検証が容易 Daniel Sangorrín ( 名古屋大学 ) ET 横浜 2010 年 12 月 3 日 10 / 25

11 目次 SafeG 1 Introduction 2 SafeG 3 Evaluation 4 Conclusions and future work Daniel Sangorrín ( 名古屋大学 ) ET 横浜 2010 年 12 月 3 日 11 / 25

12 ARM TrustZone SafeG SafeG はアームの TrustZone のセキュリティ拡張機能を利用する TrustZone の概要 CPU に Trust と Non-Trust ワールドを導入メモリやデバイスを Trust と Non-Trust ワールドに分割 FIQ と IRQ の割り込みはそれぞれのワールドで利用する Trust のメモリやデバイスは Non-Trust ワールドから保護されてる三つの特権レベル : 非特権 特権 モニタモード ( 低 高 ) モニタモードで CPU の Trust と Non-Trust 状態を切り替える Daniel Sangorrín ( 名古屋大学 ) ET 横浜 2010 年 12 月 3 日 12 / 25

13 SafeG SafeG のアーキテクチャー 汎用 OS は大規模で, 次々に新機能を導入する必要があるため, セキュリティホールが無くならないセキュリティホールに起因する汎用 OS からの不正なアクセスから RTOS を保護 Daniel Sangorrín ( 名古屋大学 ) ET 横浜 2010 年 12 月 3 日 13 / 25

14 SafeG SafeG の詳細 SafeG は TrustZone のモニタとして実装 割り込み禁止状態で実行する RTOS 実行中は IRQ(Non-Trust) 割り込みは禁止 汎用 OS 実行中は FIQ(Trust) 割り込みは許可 現状の対応プロセッサ :ARM1176JZF-S(TZPC 搭載 ) 現状の対応ボード :PB1176JZF-S と IDEA6410 Cortex-A9 へのポーティング中対応する OS: Non-Trust 側 :Linux Android TOPPERS/ASP Trust 側 :TOPPERS/ASP Daniel Sangorrín ( 名古屋大学 ) ET 横浜 2010 年 12 月 3 日 14 / 25

15 SafeG SafeG の実行パス 1 Trust 状態でFIQ 割り込みが発生 2 Non-Trust 状態でFIQ 割り込みが発生 (SafeGはTrust 状態に移行 ) 3 Non-Trust 状態でIRQ 割り込みが発生 4 SMCシステムコールの後でSafeGはCPU 状態を切り替えす Daniel Sangorrín ( 名古屋大学 ) ET 横浜 2010 年 12 月 3 日 15 / 25

16 SafeG RTOS と汎用 OS のスケジューリング 汎用 OS は RTOS の 1 タスクとしてスケジューリング RTOS の API に ( 例 :µitron) より動作を制御対応するスケジューリング方式優先度スケジューリング時分割多重化スケジューリング Daniel Sangorrín ( 名古屋大学 ) ET 横浜 2010 年 12 月 3 日 16 / 25

17 SafeG SafeG のコンフィグレーション Daniel Sangorrín ( 名古屋大学 ) ET 横浜 2010 年 12 月 3 日 17 / 25

18 目次 Evaluation 1 Introduction 2 SafeG 3 Evaluation 4 Conclusions and future work Daniel Sangorrín ( 名古屋大学 ) ET 横浜 2010 年 12 月 3 日 18 / 25

19 Evaluation SafeG 内の実行オーバヘッド (210MHz) パス 実行時間 (1) RTOS 実行時にFIQ 入力 0.7µs (2) 汎用 OS 実行時にFIQ 入力 1.6µs (3) 汎用 OS 実行時にIRQ 入力 1.2µs (4) RTOSから汎用 OSに移行 1.5µs (5) 汎用 OSからRTOSに移行 1.7µs ASPの割込みベクタから割込み禁止解除まで 5.1µs Daniel Sangorrín ( 名古屋大学 ) ET 横浜 2010 年 12 月 3 日 19 / 25

20 SafeG の検証 Evaluation コードとデータサイズ ( バイト単位 ) text data bss total SafeG 1, ,968 ASP 34, , ,936 Linux 1,092,652 14, ,308 1,330,296 RTOS と比較しても十分小さく実装できたので検証可能 Daniel Sangorrín ( 名古屋大学 ) ET 横浜 2010 年 12 月 3 日 20 / 25

21 Evaluation RTOS のリアルタイム性の確保の評価 ASP と Linux のタイマー割り込み応答時間一定範囲内に収束しているので, 最悪応答時間は一意に定まると言える ASP ASP+SafeG Linux Linux+SafeG Occurrences Timer interrupt latency in µs Daniel Sangorrín ( 名古屋大学 ) ET 横浜 2010 年 12 月 3 日 21 / 25

22 目次 Conclusions 1 Introduction 2 SafeG 3 Evaluation 4 Conclusions and future work Daniel Sangorrín ( 名古屋大学 ) ET 横浜 2010 年 12 月 3 日 22 / 25

23 まとめ Conclusions Daniel Sangorrín ( 名古屋大学 ) ET 横浜 2010 年 12 月 3 日 23 / 25

24 未来のロードマップ Conclusions Daniel Sangorrín ( 名古屋大学 ) ET 横浜 2010 年 12 月 3 日 24 / 25

25 質問 Conclusions ご清聴ありがとうございました Gracias por su atención Thank you for your attention Contact: Daniel Sangorrín ( 名古屋大学 ) ET 横浜 2010 年 12 月 3 日 25 / 25