智能工業(yè)裝備操作系統(tǒng)技術(shù)及創(chuàng)新

崔云峰　鐘衛(wèi)東　劉東

1 智能工業(yè)發(fā)展趨勢(shì)

信息化和工業(yè)化的發(fā)展以及深度融合，將在世界范圍內(nèi)帶來深刻的變革。以物聯(lián)網(wǎng)、大數(shù)據(jù)、人工智能為代表的新一代信息技術(shù)與現(xiàn)有工業(yè)進(jìn)行深度融合，并推動(dòng)工業(yè)技術(shù)變革。全面和持續(xù)的技術(shù)變革必將改變產(chǎn)業(yè)格局，因此部分發(fā)達(dá)國家相繼頒布再工業(yè)化戰(zhàn)略，國際競(jìng)爭(zhēng)日趨激烈。

中國連續(xù)多年制造業(yè)總產(chǎn)值世界第一，成為世界的制造大國。但中國與先進(jìn)國家相比還有較大差距：創(chuàng)新能力弱，關(guān)鍵核心技術(shù)與高端裝備對(duì)外依賴度高；產(chǎn)業(yè)結(jié)構(gòu)不合理，高端裝備制造業(yè)和生產(chǎn)性服務(wù)業(yè)發(fā)展滯后；信息化水平不高，與工業(yè)化融合深度不夠；產(chǎn)業(yè)國際化程度不高，企業(yè)全球化經(jīng)營(yíng)能力不足等。

為了推進(jìn)中國從制造大國向制造強(qiáng)國的轉(zhuǎn)變，國務(wù)院組織編制并正式發(fā)布了《中國制造2025》，對(duì)中國制造業(yè)轉(zhuǎn)型升級(jí)和跨越發(fā)展作了整體部署，總體分三步走的戰(zhàn)略規(guī)劃。為了力爭(zhēng)到2025年達(dá)到國際領(lǐng)先地位或國際先進(jìn)水平，《中國制造2025》選擇了十大優(yōu)勢(shì)和戰(zhàn)略產(chǎn)業(yè)作為突破點(diǎn)，包括：新一代信息技術(shù)產(chǎn)業(yè)（含芯片、操作系統(tǒng)、信息通信等基礎(chǔ)產(chǎn)業(yè)）、高檔數(shù)控機(jī)床和機(jī)器人、航空航天裝備、海洋工程裝備及高技術(shù)船舶、先進(jìn)軌道交通裝備、節(jié)能與新能源汽車、電力裝備、農(nóng)業(yè)裝備、新材料、生物醫(yī)藥及高性能醫(yī)療器械。

新一代信息技術(shù)產(chǎn)業(yè)是其他行業(yè)發(fā)展的基礎(chǔ)，而操作系統(tǒng)是整個(gè)智能工業(yè)發(fā)展的核心基礎(chǔ)。在《中國制造 2025重點(diǎn)領(lǐng)域技術(shù)路線圖》中也明確指出：“新一代科技革命與產(chǎn)業(yè)變革是以數(shù)字化網(wǎng)絡(luò)化智能化為特征，操作系統(tǒng)是工業(yè)數(shù)字化網(wǎng)絡(luò)化智能化的基石，是新一輪工業(yè)革命的核心要素?！薄吨袊圃?025重點(diǎn)領(lǐng)域技術(shù)路線圖》中對(duì)智能工業(yè)裝備操作系統(tǒng)領(lǐng)域有明確的規(guī)劃：“到 2025 年，絕大部分核心技術(shù)取得突破，形成自主可控的操作系統(tǒng)與工業(yè)軟件及其標(biāo)準(zhǔn)體系，自主工業(yè)軟件市場(chǎng)占有率超過50%”。

2 智能工業(yè)裝備操作系統(tǒng)

的關(guān)鍵需求

智能工業(yè)裝備操作系統(tǒng)作為底層的基礎(chǔ)軟件，存在兩個(gè)方面的需求來源。首先需要滿足傳統(tǒng)嵌入式系統(tǒng)的功能和性能需求；其次是由物聯(lián)網(wǎng)、大數(shù)據(jù)、人工智能等新技術(shù)引入的智能化的功能和性能需求?？傮w來說包括4方面需求，如圖1所示。

（1）關(guān)鍵性能需求。首先，智能工業(yè)裝備由傳統(tǒng)的嵌入式實(shí)時(shí)系統(tǒng)發(fā)展而來，系統(tǒng)具有明確的硬實(shí)時(shí)需求。例如：高速行駛汽車上自動(dòng)駕駛系統(tǒng)屬于硬實(shí)時(shí)系統(tǒng)，需系統(tǒng)及時(shí)處理外部事件，否則可能造成不可預(yù)期的后果。其次，嵌入式實(shí)時(shí)系統(tǒng)存在嚴(yán)格的確定性需求。系統(tǒng)的某些關(guān)鍵業(yè)務(wù)必須在確定的時(shí)間內(nèi)完成。Windows、Linux、Android等桌面操作系統(tǒng)或手機(jī)操作系統(tǒng)，采用相同的軟硬件，有時(shí)業(yè)務(wù)運(yùn)行快，有時(shí)業(yè)務(wù)運(yùn)行慢。而嵌入式系統(tǒng)中的關(guān)鍵任務(wù)需要明確固定的執(zhí)行節(jié)奏，從而保證系統(tǒng)行為的確定性。

（2）智能化需求。首先，智能工業(yè)裝備引入互聯(lián)網(wǎng)、大數(shù)據(jù)、人工智能等新技術(shù)，這些新技術(shù)需要操作系統(tǒng)提供開放的智能軟件生態(tài)。新技術(shù)多數(shù)從IT行業(yè)發(fā)展而來，依賴開放的智能軟件生態(tài)，例如：Android的應(yīng)用生態(tài)、深度學(xué)習(xí)軟件生態(tài)等。其次，智能工業(yè)裝備可能由多個(gè)系統(tǒng)相互協(xié)同完成工作任務(wù)。因此需要底層操作系統(tǒng)提供互聯(lián)互通技術(shù)，以及進(jìn)一步提供互操作互調(diào)用的機(jī)制。

（3）功能安全需求。部分嵌入式系統(tǒng)涉及到行業(yè)以及個(gè)人生命安全，例如：工業(yè)控制設(shè)備、軌道交通控制設(shè)備、汽車自動(dòng)駕駛系統(tǒng)等。對(duì)于這類系統(tǒng)需要進(jìn)行系統(tǒng)全面的失效分析，從失效概率、危害大小、危害可控性等維度評(píng)估出業(yè)務(wù)模塊的功能安全等級(jí)。需要底層的操作系統(tǒng)符合響應(yīng)功能安全等級(jí)的要求，并且提供故障監(jiān)測(cè)控制、故障隔離以及故障恢復(fù)的功能。

（4）信息安全需求。開放的軟件生態(tài)環(huán)境以及互聯(lián)網(wǎng)技術(shù)引入到嵌入式實(shí)時(shí)操作系統(tǒng)上，也給現(xiàn)有封閉的嵌入式系統(tǒng)帶來了安全隱患。大規(guī)模的開放軟件生態(tài)環(huán)境可能含有安全漏洞、未知后門；高速的以太網(wǎng)接入方式也給黑客提供了便捷的攻擊路徑。但是嵌入式系統(tǒng)的網(wǎng)絡(luò)安全問題不能直接照搬IT領(lǐng)域的安全解決方案，需要考慮到現(xiàn)有嵌入式系統(tǒng)的實(shí)時(shí)性、確定性要求；同時(shí)頻繁升級(jí)、打補(bǔ)丁會(huì)影響系統(tǒng)可用性，因此同樣不適用于嵌入式系統(tǒng)。

3 中興通訊智能工業(yè)裝備

操作系統(tǒng)及技術(shù)創(chuàng)新方案

中興通訊立足于自主創(chuàng)新，從2003年開始研發(fā)自主可控的嵌入式操作系統(tǒng)，經(jīng)過10余年的積累掌握底層操作系統(tǒng)的核心技術(shù)。中興通訊所研制的電信級(jí)嵌入式實(shí)時(shí)操作系統(tǒng)于2016年榮獲了第4屆中國工業(yè)大獎(jiǎng)（工業(yè)領(lǐng)域最高榮譽(yù)），并于2017年榮獲了國際軟件博覽會(huì)金獎(jiǎng)。目前中興嵌入式操作系統(tǒng)廣泛應(yīng)用于通信、電力、軌道交通、汽車、航空等眾多工業(yè)領(lǐng)域，累計(jì)發(fā)貨量達(dá)到2億，穩(wěn)定運(yùn)行于全球160個(gè)國家和地區(qū)。

針對(duì)智能工業(yè)裝備的關(guān)鍵需求，中興通訊自主研發(fā)了智能工業(yè)裝備操作系統(tǒng)ZEOS。如圖2所示，中興智能工業(yè)裝備操作系統(tǒng)以安全可信的微內(nèi)核架構(gòu)和嵌入式虛擬化技術(shù)為支撐，同時(shí)具備實(shí)時(shí)操作系統(tǒng)和嵌入式Hypervisor的功能。通過健康管理技術(shù)實(shí)現(xiàn)故障隔離、運(yùn)行狀態(tài)監(jiān)測(cè)控制、故障恢復(fù)，保障系統(tǒng)持續(xù)穩(wěn)定運(yùn)行；通過面向服務(wù)的互聯(lián)網(wǎng)絡(luò)架構(gòu)支持多種異構(gòu)系統(tǒng)互聯(lián)互通，并借助虛擬機(jī)支撐智能應(yīng)用生態(tài)；通過內(nèi)建的安全可信體系架構(gòu)保障基礎(chǔ)系統(tǒng)安全可信，引入移動(dòng)目標(biāo)防御技術(shù)防御未知威脅。

3.1 安全可信的微內(nèi)核架構(gòu)

中興通訊從關(guān)鍵需求出發(fā)，研究系統(tǒng)實(shí)時(shí)性、確定性的關(guān)鍵影響因素以及內(nèi)核各個(gè)模塊的代碼變更和質(zhì)量特征，得出智能工業(yè)裝備操作系統(tǒng)的微內(nèi)核軟件架構(gòu)。依據(jù)安全系統(tǒng)的最小特權(quán)原則（POLP），建立智能工業(yè)裝備操作系統(tǒng)的可信計(jì)算基（TCB）。如圖3所示，在處理器最高特權(quán)模式下僅保留少量的核心功能模塊（空間管理、線程管理、進(jìn)程間通信機(jī)制、中斷管理部分）作為系統(tǒng)的可信計(jì)算基；其余的操作系統(tǒng)功能模塊運(yùn)行于普通模式（普通模式）。以此基礎(chǔ)架構(gòu)為支撐，中興智能裝備操作系統(tǒng)提供實(shí)時(shí)操作系統(tǒng)功能和嵌入式虛擬化功能。endprint

智能工業(yè)裝備操作系統(tǒng)的基礎(chǔ)架構(gòu)有利于保障智能工業(yè)裝備的關(guān)鍵需求，例如實(shí)時(shí)性、確定性、功能安全、信息安全。

（1）實(shí)時(shí)性：利用微內(nèi)核的軟件架構(gòu)可以保障硬實(shí)時(shí)性能。通過減少內(nèi)核功能模塊，減少系統(tǒng)關(guān)中斷、關(guān)搶占的頻度和時(shí)長(zhǎng)，從而有效地提升系統(tǒng)的實(shí)時(shí)性指標(biāo)（中斷延時(shí)、調(diào)度延時(shí)）。

（2）確定性：利用微內(nèi)核架構(gòu)可減少后臺(tái)干擾，保障業(yè)務(wù)的確定性。從架構(gòu)設(shè)計(jì)上減少內(nèi)核功能模塊，減少后臺(tái)任務(wù)和定時(shí)器，降低系統(tǒng)自身開銷，從而保障用戶業(yè)務(wù)的確定性。

（3）功能安全和信息安全：利用微內(nèi)核架構(gòu)可隔離核心功能模塊和業(yè)務(wù)功能模塊，避免宏內(nèi)核架構(gòu)下單個(gè)模塊故障或安全威脅波及影響整個(gè)操作系統(tǒng)。采用微內(nèi)核架構(gòu)可將少數(shù)穩(wěn)定的核心模塊置于處理器的特權(quán)模式下，其他業(yè)務(wù)功能模塊放置于用戶態(tài)模式下，隔離了高缺陷率的功能模塊并縮小了核心模塊的對(duì)外攻擊表面。

3.2 嵌入式虛擬化技術(shù)

虛擬化技術(shù)已在IT領(lǐng)域廣泛商用，但應(yīng)用到嵌入式設(shè)備上有兩個(gè)方面的挑戰(zhàn)：首先是虛擬機(jī)的性能問題。嵌入式系統(tǒng)對(duì)實(shí)時(shí)性以及關(guān)鍵業(yè)務(wù)性能有比較高的要求，引入Hypervisor仍需要保證虛擬機(jī)的關(guān)鍵性能。其次，嵌入式處理器發(fā)展相對(duì)滯后，部分處理器不具備硬件輔助虛擬化特性，需要在傳統(tǒng)硬件上提供虛擬化解決方案。

在IT領(lǐng)域廣泛使用I型和II型Hypervisor架構(gòu)：II型架構(gòu)中虛擬機(jī)管理監(jiān)測(cè)控制程序（VMM）作為應(yīng)用程序運(yùn)行在主機(jī)操作系統(tǒng)之上，虛擬機(jī)的性能受主機(jī)操作系統(tǒng)和虛擬機(jī)監(jiān)測(cè)控制程序的影響；I型架構(gòu)將虛擬機(jī)直接運(yùn)行在Hypervisor之上，相對(duì)而言虛擬機(jī)的性能更高。

為了保障虛擬機(jī)的性能，中興智能裝備操作系統(tǒng)采用更加輕量級(jí)的0型Hypervisor架構(gòu)。將Hypervisor做的更“薄”：去除去除虛擬機(jī)遷移、容災(zāi)熱備份等IT虛擬化功能特性；僅保留CPU虛擬化、內(nèi)存虛擬化以及部分外設(shè)虛擬化等核心功能；對(duì)于性能要求較高的虛擬機(jī)或?qū)崟r(shí)業(yè)務(wù)通過分區(qū)隔離機(jī)制保障其物理資源分配，從而達(dá)到與物理機(jī)相近的性能指標(biāo)。

針對(duì)處理器相對(duì)滯后（不支持嵌入式虛擬化特性）的問題，中興智能裝備操作系統(tǒng)引入半虛擬化技術(shù)。通過對(duì)客戶機(jī)操作系統(tǒng)和底層Hypervisor的深度定制和融合，實(shí)現(xiàn)在普通硬件環(huán)境下支持多個(gè)半虛擬化客戶機(jī)操作系統(tǒng)（例如Linux、Android）。具體包括了以下技術(shù)。

（1）處理器虛擬化：在定制的客戶機(jī)操作系統(tǒng)中實(shí)現(xiàn)了虛擬機(jī)處理器架構(gòu)，并在非特權(quán)模式下客戶機(jī)操作系統(tǒng)與Hypervisor配合完成特權(quán)指令的模擬執(zhí)行。

（2）內(nèi)存虛擬化：針對(duì)半虛擬化虛擬機(jī)和全虛擬化虛擬機(jī)，分別提供基于影子頁表技術(shù)和基于硬件輔助虛擬化的內(nèi)存虛擬化功能，從而保障客戶機(jī)虛擬機(jī)的內(nèi)存訪問性能。

（3）外設(shè)虛擬化：對(duì)于不同需求的場(chǎng)景提供外設(shè)透?jìng)骷夹g(shù)（高性能使用場(chǎng)景）和外設(shè)模擬共享技術(shù)（共享使用場(chǎng)景）。外設(shè)模擬技術(shù)通過Hypervisor模擬多個(gè)虛擬外設(shè)，并將虛擬外設(shè)請(qǐng)求轉(zhuǎn)交給實(shí)際物理外設(shè)，實(shí)現(xiàn)多個(gè)虛擬機(jī)共享物理外設(shè)功能。

3.3 健康管理技術(shù)

在通信、汽車、工控、航空、軌道交通等高可靠領(lǐng)域，對(duì)于系統(tǒng)的功能安全要求比較高。例如：汽車電子的ISO26262 ASIL D級(jí)要求每小時(shí)失效概率小于10-9，需要系統(tǒng)底層操作系統(tǒng)提供多種功能安全保障措施。中興智能裝備操作系統(tǒng)從故障隔離、運(yùn)行監(jiān)測(cè)控制、異常恢復(fù)等角度保障系統(tǒng)的持續(xù)穩(wěn)定運(yùn)行。

3.3.1 基于分區(qū)的故障隔離技術(shù)

在高可靠領(lǐng)域故障隔離是解決功能安全的核心關(guān)鍵。汽車電子領(lǐng)域ISO26262標(biāo)準(zhǔn)指出避免波及影響的重要性，系統(tǒng)必須提供兩個(gè)或多個(gè)單元發(fā)生級(jí)聯(lián)失效的手段。航空航天領(lǐng)域ARNIC653標(biāo)準(zhǔn)提出分區(qū)隔離方式支持多種電子應(yīng)用，通過分區(qū)隔離保障單點(diǎn)失效不影響其他業(yè)務(wù)。

中興通訊智能裝備操作系統(tǒng)采用微內(nèi)核架構(gòu)，對(duì)于用戶態(tài)的不同功能安全等級(jí)業(yè)務(wù)提供分區(qū)隔離機(jī)制。當(dāng)某個(gè)業(yè)務(wù)發(fā)生故障并失效后，其他分區(qū)業(yè)務(wù)不受影響。如圖4所示，具體技術(shù)包括：分區(qū)間的時(shí)間隔離機(jī)制、空間隔離機(jī)制、權(quán)限隔離、硬件隔離機(jī)制。

3.3.2 系統(tǒng)運(yùn)行監(jiān)測(cè)控制及多級(jí)異常

處理技術(shù)

中興智能裝備操作系統(tǒng)提供多種不同粒度的系統(tǒng)運(yùn)行狀態(tài)監(jiān)測(cè)控制功能，包括：任務(wù)級(jí)、分區(qū)級(jí)、系統(tǒng)級(jí)、硬件級(jí)的運(yùn)行監(jiān)測(cè)控制。通過不同粒度的健康監(jiān)測(cè)控制功能可以及時(shí)發(fā)現(xiàn)不同范圍的異?；蚋婢录?，并實(shí)時(shí)監(jiān)測(cè)控制關(guān)鍵任務(wù)的運(yùn)行狀態(tài)，確保其運(yùn)行狀態(tài)與預(yù)期一致。

當(dāng)發(fā)現(xiàn)系統(tǒng)不同類型的故障后，中興智能裝備操作系統(tǒng)提供多級(jí)的異常處理機(jī)制。通過任務(wù)級(jí)、分區(qū)級(jí)、系統(tǒng)級(jí)、硬件級(jí)逐級(jí)處理異常，確保每個(gè)異常問題可以在系統(tǒng)最小波及、影響范圍內(nèi)恢復(fù)，避免恢復(fù)異常造成過大的影響。

中興智能裝備操作系統(tǒng)基于高可靠行業(yè)標(biāo)準(zhǔn)設(shè)計(jì)功能安全特性，及時(shí)監(jiān)測(cè)控制系統(tǒng)的運(yùn)行狀態(tài)并細(xì)粒度地恢復(fù)系統(tǒng)運(yùn)行狀態(tài)，從而保障高可靠性業(yè)務(wù)持續(xù)、穩(wěn)定運(yùn)行。

3.4 智能互聯(lián)技術(shù)

隨著工業(yè)化和信息化的深度融合，智能化和網(wǎng)絡(luò)化是智能裝備的主要發(fā)展趨勢(shì)。在智能化方面，中興智能裝備操作系統(tǒng)通過嵌入式虛擬化技術(shù)引入成熟的開放軟件生態(tài)，并提供POSIX等基礎(chǔ)庫支撐硬實(shí)時(shí)的智能任務(wù)；在網(wǎng)絡(luò)化方面，中興智能裝備操作系統(tǒng)通過分區(qū)間通信技術(shù)（IPC）打通不同智能節(jié)點(diǎn)間的通信通道，通過支持各個(gè)行業(yè)的互聯(lián)管理協(xié)議支撐多種異構(gòu)系統(tǒng)的互聯(lián)互通互操作。嵌入式虛擬化技術(shù)已在前述章節(jié)描述，在此重點(diǎn)介紹網(wǎng)絡(luò)互聯(lián)方面相關(guān)技術(shù)。

中興智能裝備操作系統(tǒng)采用微內(nèi)核架構(gòu)，所有內(nèi)核功能和業(yè)務(wù)功能都以服務(wù)方式對(duì)外提供，并支持本地和遠(yuǎn)程的連接和訪問，具體過程如圖5所示。首先由智能應(yīng)用服務(wù)業(yè)務(wù)向本地服務(wù)管理器注冊(cè)，并由服務(wù)管理器發(fā)布此服務(wù)；再由本地業(yè)務(wù)通過IPC機(jī)制訪問服務(wù)管理器，并由服務(wù)管理器建立服務(wù)連接實(shí)現(xiàn)本地訪問服務(wù)功能。遠(yuǎn)程業(yè)務(wù)也同樣訪問服務(wù)管理器并查找到服務(wù)節(jié)點(diǎn)，由服務(wù)管理器建立遠(yuǎn)程服務(wù)通信通道。通過此技術(shù)實(shí)現(xiàn)跨節(jié)點(diǎn)的智能互聯(lián)互操作功能，應(yīng)用業(yè)務(wù)可透明使用本地服務(wù)或遠(yuǎn)端服務(wù)。endprint

中興智能裝備操作系統(tǒng)針對(duì)不同行業(yè)需求，提供應(yīng)用互聯(lián)互通互操作的業(yè)務(wù)協(xié)議和安全管控協(xié)議。例如：在物聯(lián)網(wǎng)領(lǐng)域的約束應(yīng)用協(xié)議（CoAP）和消息隊(duì)列遙測(cè)傳輸協(xié)議（MQTT）等應(yīng)用互聯(lián)協(xié)議；在汽車電子領(lǐng)域的AUTOSAR SOME/IP協(xié)議；在工業(yè)控制領(lǐng)域的IEC62351（傳輸層安全協(xié)議（TLS））。通過上述應(yīng)用互聯(lián)和管控協(xié)議，實(shí)現(xiàn)多種異構(gòu)系統(tǒng)的相互協(xié)同，形成了一個(gè)完整的智能工業(yè)系統(tǒng)。

3.5 安全防御技術(shù)

智能工業(yè)裝備引入開放的軟件生態(tài)以及互聯(lián)網(wǎng)技術(shù)，也引入了安全威脅：開放的智能軟件生態(tài)可能包含各種安全隱患（甚至包括未知安全威脅），互聯(lián)網(wǎng)技術(shù)也給攻擊者提供了便利的攻擊途徑。中興智能裝備操作系統(tǒng)基于可信計(jì)算的理念，設(shè)計(jì)安全可信的操作系統(tǒng)體系架構(gòu)；同時(shí)從攻擊鏈入手，利用底層基礎(chǔ)軟件隨機(jī)多樣的變化改變攻擊路徑，實(shí)現(xiàn)主動(dòng)防御。利用基礎(chǔ)軟件建立智能工業(yè)裝備內(nèi)生的信息安全機(jī)制，無需疊加外部信息安全功能，保障了智能工業(yè)裝備的實(shí)時(shí)性、確定性以及關(guān)鍵業(yè)務(wù)性能。

3.5.1 內(nèi)建的安全可信體系架構(gòu)

首先，基于前述安全可信的微內(nèi)核架構(gòu)，建立智能工業(yè)裝備操作系統(tǒng)的可信計(jì)算基（TCB）?？尚庞?jì)算基從兩個(gè)方面實(shí)現(xiàn)內(nèi)建的安全可信：一是控制可信計(jì)算基的規(guī)模和復(fù)雜度，杜絕其自身的安全漏洞；二是縮小及加固可信計(jì)算基的對(duì)外攻擊面，采用基于權(quán)限映射表的強(qiáng)制訪問控制技術(shù)實(shí)現(xiàn)外部接口的安全控制功能。

其次，中興智能裝備操作系統(tǒng)支持內(nèi)核分離保護(hù)輪廓（SKPP），通過分區(qū)隔離機(jī)制保障單個(gè)分區(qū)的安全威脅不擴(kuò)散。操作系統(tǒng)非核心功能及智能節(jié)點(diǎn)業(yè)務(wù)之間都處于時(shí)間隔離、空間隔離、訪問權(quán)限隔離、多核和外設(shè)隔離的運(yùn)行環(huán)境中。單個(gè)分區(qū)業(yè)務(wù)故障不會(huì)影響到其他分區(qū)業(yè)務(wù)功能。

中興通訊通過上述技術(shù)途徑搭建了一個(gè)安全可信的體系架構(gòu)，實(shí)現(xiàn)內(nèi)建的可信體系架構(gòu)，解決了工業(yè)裝備系統(tǒng)的核心問題。

3.5.2 具有隨機(jī)多樣特征的移動(dòng)目標(biāo)

防御技術(shù)

高級(jí)持續(xù)威脅（APT）是智能工業(yè)裝備面臨的最大的安全威脅形式，例如：伊朗震網(wǎng)事件、烏克蘭電網(wǎng)事件、康明斯發(fā)動(dòng)機(jī)事件等。如圖6所示，高級(jí)持續(xù)威脅攻擊過程包括如下4個(gè)步驟：系統(tǒng)探測(cè)、漏洞挖掘、系統(tǒng)突破、系統(tǒng)控制。通過對(duì)此攻擊模型分析可以看出，攻擊者在攻擊過程依賴系統(tǒng)中固定的、一致性的、可預(yù)期的系統(tǒng)規(guī)律。例如：全局符號(hào)布局相對(duì)相對(duì)關(guān)系、關(guān)鍵數(shù)據(jù)結(jié)構(gòu)的布局結(jié)構(gòu)、關(guān)鍵函數(shù)的地址信息等。

中興智能裝備操系統(tǒng)基于移動(dòng)目標(biāo)防御（MTD）的思想，打破攻擊者所依賴的系統(tǒng)固定的、一致性的規(guī)律。通過編譯器和操作系統(tǒng)等底層基礎(chǔ)軟件，實(shí)現(xiàn)全局符號(hào)隨機(jī)化、關(guān)鍵數(shù)據(jù)結(jié)構(gòu)隨機(jī)化、運(yùn)行地址空間隨機(jī)化、異構(gòu)發(fā)布等技術(shù)。通過上述技術(shù)對(duì)整個(gè)系統(tǒng)引入隨機(jī)、多樣的變化，使攻擊者無法找到系統(tǒng)或漏洞的規(guī)律，有效阻斷攻擊鏈。

4 結(jié)束語

中興智能裝備操作系統(tǒng)通過技術(shù)創(chuàng)新，解決了智能工業(yè)裝備的4個(gè)核心需求：關(guān)鍵性能（實(shí)時(shí)性、確定性）、智能化、功能安全、信息安全。結(jié)合智能工業(yè)行業(yè)特點(diǎn)，提供全面的解決方案。

在電信行業(yè)：電信業(yè)務(wù)中數(shù)據(jù)面業(yè)務(wù)可直接運(yùn)行于中興智能裝備操作系統(tǒng)，由操作系統(tǒng)保障業(yè)務(wù)的實(shí)時(shí)性、確定性和吞吐性能；控制面業(yè)務(wù)和云化網(wǎng)絡(luò)功能可通過虛擬化方式運(yùn)行在電信級(jí)嵌入式Linux操作系統(tǒng)之上，滿足業(yè)務(wù)對(duì)軟件生態(tài)的要求。

在工業(yè)控制行業(yè)：首先，中興智能裝備操作系統(tǒng)通過硬實(shí)時(shí)、高確定特性，保障工控組態(tài)業(yè)務(wù)的實(shí)時(shí)性和確定性；其次，通過虛擬化技術(shù)和電信級(jí)嵌入式操作系統(tǒng)支持多個(gè)控制器集約化發(fā)展，降低產(chǎn)品成本；最后，通過安全可信的體系架構(gòu)和移動(dòng)目標(biāo)防御技術(shù)解決工業(yè)控制系統(tǒng)的安全問題。

在汽車電子行業(yè)：針對(duì)車載電子，中興智能裝備操作系統(tǒng)利用虛擬化技術(shù)支持“一機(jī)多屏”，在一個(gè)硬件環(huán)境上同時(shí)支持儀表業(yè)務(wù)（Linux+QT）和中控臺(tái)業(yè)務(wù)（Android），并滿足儀表快速啟動(dòng)和功能安全和信息安全要求。針對(duì)車控電子，中興智能裝備操作系統(tǒng)利用虛擬化引入自動(dòng)駕駛軟件生態(tài)，提供感知、決策的底層中間件；同時(shí)多分區(qū)的軟件架構(gòu)支持不同功能安全等級(jí)的業(yè)務(wù)，并兼容AUTOSAR行業(yè)基礎(chǔ)軟件標(biāo)準(zhǔn)。

綜上所述，中興智能裝備操作系統(tǒng)滿足不同行業(yè)的智能裝備發(fā)展的關(guān)鍵需求，為中國制造2025的規(guī)劃奠定堅(jiān)實(shí)的軟件基礎(chǔ)。

參考文獻(xiàn)

[1] 中華人民共和國國務(wù)院. 中國制造2025[R]. 北京： 中華人民共和國國務(wù)院， 2015

[2] 國家制造強(qiáng)國建設(shè)戰(zhàn)略咨詢委員會(huì). 中國制造2025重點(diǎn)領(lǐng)域技術(shù)路線圖[R]. 北京：國家制造強(qiáng)國建設(shè)戰(zhàn)略咨詢委員會(huì)， 2015

[3] Lynx Software Technologies. The Rise of the Type Zero Hypervisor[EB/OL].（2012-09-18）[2017-10-08]. http：//www.lynx.com/the-rise-of-the-type-zero-hypervisor/

[4] ISO. ISO26262 Part 1[S]. Geneva： ISO， 2011：11

[5] Aeronautical Radio. ARNIC653 Standards[EB/OL]. （2013-10-20）[ 2017-10-08]. http：//store.aviation-ia.com/cf/store/catalog_detail.cfm？item_id=496

[6] AUTOSAR. AUTOSAR Standards[EB/OL]. （2017-03-31） [2017-10-08]. https：//www.autosar.org/standards/endprint