面包芯语

AUTOSAR内存分区和MPU关系讲解

智能汽车电子与软件 2024-06-11 17:00
【50份好礼】首发直播： 解密Keysight最新模拟信号源 精密双向电流感应放大器设计方案



关注公众号，点击公众号主页右上角“ ··· ”，设置星标，实时关注智能汽车电子与软件最新资讯


MPU的功能

MPU功能简述
MPU保护与当前执行的代码“不相关“的所有数据。
“不相关”是相关内存地址的权限受限制，或者是程序访问内存地址的范围于其无关，阻止关键数据被破坏，使嵌入式系统更加健壮与安全。  


MPU作用主要有两个方面:
为两个保护，一个检测。
1）MPU的保护作用
指访问区域的保护和读写区域的保护。
① 访问区域的保护。
可以将内存区域划为特权区域和普通区域，特权区域只有特权用户才能访问，普通用户被禁止访问，以此来保护特定的数据。


常见的应用场景：
1> 对带系统的来说，可以设置数据，以防止用户应用程序破坏操作系统使用过程中的数据。
2> 隔离任务,以防止一个任务访问其他任务的数据。
3> 将SRAM或者RAM空间定义为不可执行，防止代码注入。


② 读写区域的保护。
设置指定的区域为只读，可以有效的防止比较关键的数据被错误修改。


2）MPU的检测功能
指可以检测堆和栈的溢出情况及数组有没有越界。


功能安全中对内存分区MPU的相关描述
汽车ECU软件是高度模块化的嵌入式软件，其功能实现是可以为非功能安全，和功能安全的SWC组合，它们分别拥有不同的ASIL安全等级。
根据ISO26262，如果嵌入式软件包含不同ASIL等级的SWC，要么整个软件工程都需要基于最高安全等级的要求进行开发，需要保证拥有更高安全等级的SWC的操作不会受到其他SWC的干扰，也即需要做到FFI(Freedom from interference)的设计。
基于更低安全等级要求开发的SWC，可能会出现错误地访问到更高安全等级SWC的内存区域，产生干扰。
为此，SWC需要运行在不同的内存区域，或者不同的内存分区，来防止类似的内存访问违例。
ISO26262中，以下内存相关的故障影响被视为SWC之间产生干扰的原因：
-内容损坏
-读写区域属于另一个SWC
-数据不一致
-栈溢出或栈下溢
要满足上述定义，是MPU内存保护的目标，也可以通过限制对于内存以及内存对应的硬件的访问。
这里的内存分区意味着:
各OS Application运行在相互保护（不干涉）的内存区域，在某一个分区上运行的代码，无法修改另一个分区的内存。
内存分区也可以保护只读内存段（例如代码执行）以及内存对应的硬件。
内存分区和用户/特权模式可以保证SWC之前互不干扰——即使某一个SWC出现了内存相关的故障，也不会对其他软件模块有影响。
如果一个SWC运行在用户模式，那么它对CPU资源/指令的访问也是受限制的。
MPU的微控制器有专用的硬件
即内存保护单元（MPU），来支持内存分区。
若想深入理解上述的MPU描述，得先来看下，内存分区和MPU的基础知识。
计算机程序执行的基础简介
内存
计算机的主要作用是对输入数据进行处理和运算后输出，CPU处理器主要完成数据的处理运算，但输入输出数据包括处理过程中的临时数据需要有一个空间去存放，这个临时存放数据供处理器和外设使用的地方就是内存。
如上图，为了提高效率把存放程序（也即控制指令）和数据（也即操作数）的空间分开，同时把访问指令与访问数据的总线分开，使取指令和执行指令能够重叠（处理器的流水线）。
内存寻址
处理器与内存之间有地址总线用于寻址，有数据总线用于传输数据，当然也有相应的控制线来读写操作。
存储器地址的映射简介
存储器本身不具有地址信息，它的地址是由芯片厂商或用户分配，如图所示，给存储器分配地址的过程称为存储器映射。
如果内核整体可以寻址的 0 到 2^32 -1 共计 4GB 的寻址空间。功能部件RAM, Flash,外设等共同排列在一个4GB的地址空间内。
地址分配
程序C语言通过这些地址可以访 问 RAM、Flash、外设等，进行读写操作。
 C编译的程序占用的内存分为以下几个部分：
栈区（stack）— 由编译器自动分配释放 ，存放函数的参数值，局部变量的值等。其操作方式类似于数据结构中的栈。
堆区（heap） — 一般由程序员分配释放， 若程序员不释放，程序结束时可能由OS回收 。注意它与数据结构中的堆是两回事，分配方式倒是类似于链表。
全局区（静态区）（static）— 全局变量和静态变量的存储是放在一块的，初始化的全局变量和静态变量在一块区域， 未初始化的全局变量和未初始化的静态变量在相邻的另一块区域。
文字常量区（.const）—常量字符串就是放在这里的。
程序代码区(.text)—存放函数体的二进制代码。
栈：只要栈的剩余空间大于所申请空间，系统将为程序提供内存，否则将报异常提示栈溢出。MPU也支持堆栈溢出检测，简单如下图。
代码例子
int a = 0; //全局初始化区int a = 0; //全局初始化区char *p1; //全局未初始化区main() {int b; //栈char s[] = "abc"; //栈char *p2; //栈char *p3 = "123456"; //123456\0在常量区，p3在栈上。static int c = 0; //全局（静态）初始化区    p1 = (char *)malloc(10);    p2 = (char *)malloc(20);//分配得来得10和20字节的区域就在堆区。strcpy(p1, "123456"); //123456\0放在常量区，编译器可能会将它与p3所指向的"123456"优化成一个地方。}
MPU内存保护单元
Memory Protection Unit
上文描述的内存区，堆栈区，数据区，代码区都可以被MPU保护，安全相关的微处理器通常都在硬件级别上支持内存分区保护，MPU主要是通过内存映射的地址范围限制，和监控非受信区域的内存访问来实现的。
MPU可以保护的区域为内存映射区memory map，可以设置不同存储区域的存储器访问特性（如只支持特权访问或全访问）和存储器属性（如可缓存、可缓冲、可共享），对存储器（主要是内存和外设）提供保护，保护可执行程序的（data、code和stack）区域。
MPU 的Region区域
是可编程保护区域(需要控制器硬件支持)，如下图
MPU的配置是通过设置多个MPU寄存器，定义多个MPU region，每个MPU region的可配置选项包括: 被保护的起始地址，大小size,访问权限，所属硬件MPU分类，Region Owner 以及有效ID等。
MPU在执行其功能时，也是以“region区域”为单位的。
通过上述的MPU配置，各个软件模块将具备对不同memory区域的不同访问权限。
如图，一个region上述配置的一段连续的地址，它们的位置和范围都要满足一些限制。
MPU是可以管理所有的存储空间(如图 4G)，可以划分不同的Region内存区域，并为每个Region设置访问权限与规则，不同的Region允许相互重叠，重叠区域受多重访问规则的限制。
Link命令对于内存的设置
编译器关联的，可参考下面TI的解释
https://software-dl.ti.com/ccs/esd/documents/sdto_cgt_Linker-Command-File-Primer.html
特权模式与用户模式
是内核的执行模式。
当代码运行在特权模式下，代码拥有所有的访问许可；
而代码运行在用户模式，则访问权限受限制。
也是MPU中所定义的内存访问规则。
AUTOSAR中的定义
内存分区的定义
如上图，一般来说，
- BSW模块运行在授信模式/监控者模式内存分区当中。
- 部分SWC分组并放置到非授信/用户模式内存分区当中。
- 个别SWC也运行在授信/监控者模式内存分区当中。
项目中可以有多个非授信/用户分区，每个分区都可以包含一个或多个SWC。
上图中，分区是以应用软件OS-Application为对象定义的，OS-Application和内存分区（Partition）之间，是一对一的关系。


如何理解OS-Application？
下文简述
如下图中，应用程序内的 AUTOSAR SWC
在AUTOSAR架构中，应用程序位于RTE之上的，基于应用功能逻辑定义，内部包含一组存在信息交换的软件组件（SWC）。
软件组件SWC是实现一系列的原子功能（最小单元不可拆分），SWC包含一系列的功能实现和变量定义，这些功能实现和变量定义对于外部是不可见的，仅能通过公布的RTE接口使用。
SWC以周期性执行或者以外部触发的runnable中执行。
从分配的角度来看，一个SWC可以由多个Runnable构成，一个OS-Task可以触发多个Runnable（同一个SWC内的Runnable可以在不同的OS-Task上执行），一个OS-Application可以管理多个OS-Task。
AUTOSAR OS-Application
AUTOSAR的OS-Application是操作系统对象的集合体，其中包括任务 (Tasks)，中断服务程序 (ISRs)，调度表 (Schedule Tables)，计数器 (Counters)和警报 (Alarms)，这些对象构成一个内聚的功能单元。
OS-Application可以分为2类：

受信任 (Trusted)的OS-Application
可以不受那些运行时的监控 (Monitoring)或者保护 (Protection)特性的限制执行。
这类应用可以不受限的访问内存和操作系统API。受信任的应用对于执行时间上也不受限制，同时也可以在任何支持的处理器上以特权模式执行。
不受信任 (Non-trusted)的OS-Application
不可以在运行时监控及保护机制关闭的时候执行。这类应用在访问内存、操作系统API时都有限制，同时也不允许以特权模式执行。
AUTOSAT Memory Mapping
AUTOSAR有memory mapping的特性可支持上述内存分区Memory Partitioning，从而提供MPU需要的Non-trusted 和Trusted的内存分配区域设置。
详细见AUTOSAR_SWS_MemoryMapping.pdf
MPU的限制规则
内存分区Memory Partitioning的限制
在同一个OS-Application内的对象相互访问，提供了不受限的通信支持。
在一个OS-Application内的各个对象可以互相访问，可以分属于不同的SWC。
MPU工作的过程
操作系统要事先根据功能，和软件架构，定义软件分区，进行MPU region配置,
任务运行时，操作系统根据MPU的配置，检测和阻止不正确的内存访问，若出现了在非受信区域的内存访问或者执行了不合法的CPU指令，这些访问首先会被阻止，然后处理器硬件会产生一个异常 (Exception)，记录故障码DTC。
操作系统和RTE会处理这些异常:执行内存分区的关闭 (Shutdown)，或重启分区内的所有SWC的动作。
总结语
AUTOSAR中提供的内存分区机制，通过SWC,RTE,Mem映射实现，限制访问内存，支持内存保护。而内存分区的定义(trust/un trust)和限制规则由控制器的系统设计决定。
来源：文章来源公众号 AutomotiveSoftwareEngineer，侵删

参考文章：

1.AUTOSAR_EXP_FunctionalSafetyMeasures.pdf
2.AUTOSAR_SWS_MemoryMapping.pdf


来源： AutomotiveSoftwareEngineer


--END--

关注公众号，点击公众号主页右上角“ ··· ”，设置星标，实时关注智能汽车电子与软件最新资讯

登录阅读全文
免责声明： 该内容由专栏作者授权发布或作者转载，目的在于传递更多信息，并不代表本网赞同其观点，本站亦不保证或承诺内容真实性等。若内容或图片侵犯您的权益，请及时联系本站删除。侵权投诉联系：  nick.zong@aspencore.com！
智能汽车电子与软件 专注于汽车电子领域的信息交融平台，涵盖汽车电子行业资讯、市场动态、技术干货、知识见解、行业趋势等资讯深度覆盖。
评论
  • 戴上XR眼镜去"追龙"！《又见恐龙》XR嘉年华在上海自然博物馆重磅开幕
    戴上XR眼镜去“追龙”是种什么体验？2024年11月30日，由上海自然博物馆（上海科技馆分馆）与三湘印象联合出品、三湘印象旗下观印象艺术发展有限公司（下简称“观印象”）承制的《又见恐龙》XR嘉年华在上海自然博物馆重磅开幕。该体验项目将于12月1日正式对公众开放，持续至2025年3月30日。双向奔赴，恐龙IP撞上元宇宙不久前，上海市经济和信息化委员会等部门联合印发了《上海市超高清视听产业发展行动方案》，特别提到“支持博物馆、主题乐园等场所推动超高清视听技术应用，丰富线下文旅消费体验”。作为上海自然
    电子与消费 2024-11-30 22:03 103浏览
  • 12-2学习笔记
    11-29学习笔记11-29学习笔记习学习笔记&记录学习学习笔记&记录学习学习笔记&记录学习学习笔记&记录学习笔记&记录学习习笔记&记学习学习笔记&记录学习学习笔记&记录学习习笔记&记录学习学习笔记&记录学习学习笔记记录学习学习笔记&记录学习学习笔记&记录学习学习笔记&记录学习学习笔记&记录学习学习笔记&记录学习习笔记&记录学习学习笔记&记录学习学习笔记&记录学习学习笔记&记录学习学习笔记&记录学习学习笔记&记录学习学习笔记&记录学习学习笔记&学习学习笔记&记录学习学习笔记&记录学习学习笔记&记
    youyeye 2024-12-02 23:58 88浏览
  • 紫光展锐联合上汽海外发布量产车型，赋能汽车智能化
    当前，智能汽车产业迎来重大变局，随着人工智能、5G、大数据等新一代信息技术的迅猛发展，智能网联汽车正呈现强劲发展势头。11月26日，在2024紫光展锐全球合作伙伴大会汽车电子生态论坛上，紫光展锐与上汽海外出行联合发布搭载紫光展锐A7870的上汽海外MG量产车型，并发布A7710系列UWB数字钥匙解决方案平台，可应用于数字钥匙、活体检测、脚踢雷达、自动泊车等多种智能汽车场景。 联合发布量产车型，推动汽车智能化出海紫光展锐与上汽海外出行达成战略合作，联合发布搭载紫光展锐A7870的量产车型
    紫光展锐 2024-12-03 11:38 121浏览
  • 工控板方案中，哪些功能可以通过USB扩展出来？
    作为优秀工程师的你，已身经百战、阅板无数！请先醒醒，新的项目来了，这是一个既要、又要、还要的产品需求，ARM核心板中一个处理器怎么能实现这么丰富的外围接口？踌躇之际，你偶阅此文。于是，“潘多拉”的魔盒打开了！没错，USB资源就是你打开新世界得钥匙，它能做哪些扩展呢？1.1  USB扩网口通用ARM处理器大多带两路网口，如果项目中有多路网路接口的需求，一般会选择在主板外部加交换机/路由器。当然，出于成本考虑，也可以将Switch芯片集成到ARM核心板或底板上，如KSZ9897、
    万象奥科 2024-12-03 10:24 86浏览
  • 豹8出圈，比亚迪高端化稳了？
    最近几年，新能源汽车愈发受到消费者的青睐，其销量也是一路走高。据中汽协公布的数据显示，2024年10月，新能源汽车产销分别完成146.3万辆和143万辆，同比分别增长48%和49.6%。而结合各家新能源车企所公布的销量数据来看，比亚迪再度夺得了销冠宝座，其10月新能源汽车销量达到了502657辆，同比增长66.53%。众所周知，比亚迪是新能源汽车领域的重要参与者，其一举一动向来为外界所关注。日前，比亚迪汽车旗下品牌方程豹汽车推出了新车方程豹豹8，该款车型一上市就迅速吸引了消费者的目光，成为SUV
    刘旷 2024-12-02 09:32 131浏览
  • RDDI-DAP错误
    RDDI-DAP错误通常与调试接口相关，特别是在使用CMSIS-DAP协议进行嵌入式系统开发时。以下是一些可能的原因和解决方法： 1. 硬件连接问题：     检查调试器（如ST-Link）与目标板之间的连接是否牢固。     确保所有必要的引脚都已正确连接，没有松动或短路。 2. 电源问题：     确保目标板和调试器都有足够的电源供应。     检查电源电压是否符合目标板的规格要求。 3. 固件问题： &n
    丙丁先生 2024-12-01 17:37 109浏览
  • 比较器检测模拟脉冲说明（四）
    概述 说明（三）探讨的是比较器一般带有滞回（Hysteresis）功能，为了解决输入信号转换速率不够的问题。前文还提到，即便使能滞回（Hysteresis）功能，还是无法解决SiPM读出测试系统需要解决的问题。本文在说明（三）的基础上，继续探讨为SiPM读出测试系统寻求合适的模拟脉冲检出方案。前四代SiPM使用的高速比较器指标缺陷 由于前端模拟信号属于典型的指数脉冲，所以下降沿转换速率（Slew Rate）过慢，导致比较器检出出现不必要的问题。尽管比较器可以使能滞回（Hysteresis）模块功
    coyoo 2024-12-03 12:20 150浏览
  • 简析光耦的基本原理和其在光伏逆变器产品中的重要作用
    光伏逆变器是一种高效的能量转换设备，它能够将光伏太阳能板（PV）产生的不稳定的直流电压转换成与市电频率同步的交流电。这种转换后的电能不仅可以回馈至商用输电网络，还能供独立电网系统使用。光伏逆变器在商业光伏储能电站和家庭独立储能系统等应用领域中得到了广泛的应用。光耦合器，以其高速信号传输、出色的共模抑制比以及单向信号传输和光电隔离的特性，在光伏逆变器中扮演着至关重要的角色。它确保了系统的安全隔离、干扰的有效隔离以及通信信号的精准传输。光耦合器的使用不仅提高了系统的稳定性和安全性，而且由于其低功耗的
    晶台光耦 2024-12-02 10:40 134浏览
  • 温度传感器精度的影响因素
            温度传感器的精度受哪些因素影响，要先看所用的温度传感器输出哪种信号，不同信号输出的温度传感器影响精度的因素也不同。        现在常用的温度传感器输出信号有以下几种：电阻信号、电流信号、电压信号、数字信号等。以输出电阻信号的温度传感器为例，还细分为正温度系数温度传感器和负温度系数温度传感器，常用的铂电阻PT100/1000温度传感器就是正温度系数，就是说随着温度的升高，输出的电阻值会增大。对于输出
    锦正茂科技 2024-12-03 11:50 134浏览
  • 基于TOF微型多区激光传感器在MCU上的AI手势识别
    TOF多区传感器： ND06   ND06是一款微型多区高集成度ToF测距传感器，其支持24个区域（6 x 4）同步测距，测距范围远达5m，具有测距范围广、精度高、测距稳定等特点。适用于投影仪的无感自动对焦和梯形校正、AIoT、手势识别、智能面板和智能灯具等多种场景。                 如果用ND06进行手势识别，只需要经过三个步骤： 第一步&
    esad0 2024-12-04 11:20 88浏览
  • 瑞芯微方案主板Linux修改系统串口波特率教程，触觉智能RK3562开发板演示
    遇到部分串口工具不支持1500000波特率，这时候就需要进行修改，本文以触觉智能RK3562开发板修改系统波特率为115200为例，介绍瑞芯微方案主板Linux修改系统串口波特率教程。温馨提示：瑞芯微方案主板/开发板串口波特率只支持115200或1500000。修改Loader打印波特率查看对应芯片的MINIALL.ini确定要修改的bin文件#查看对应芯片的MINIALL.ini cat rkbin/RKBOOT/RK3562MINIALL.ini修改uart baudrate参数修改以下目
    Industio_触觉智能 2024-12-03 11:28 104浏览
我要评论
0
点击右上角，分享到朋友圈 我知道啦
请使用浏览器分享功能 我知道啦