Linux kan dela processor med säkerhetskritiska program

Körs i virtuell maskin under sträng övervakning

Linux och säkerhetskritisk programvara på en och samma processor. Nu är tekniken mogen. Sysgo och Lynuxworks lanserar teknik som kan säkerhetscertifieras till nivå 7 i den amerikanska standarden DO178B.

Generella operativsystem (GPOS) som Windows och Linux är för komplexa för att kunna certifieras för säkerhetskritiskt bruk.

Och det är heller ingen som är intresserad av att göra det. Kritiska system körs bäst i små förutsägbara lättanalyserade realtidsoperativsystem (RTOS).

Ett säkerhetskritiskt system certifieras och fryses i upp till årtionden. GPOS är intressanta just därför att de är flexibla och för att de lever och vidareutvecklas.

Det är den dynamiken som skapar intresset bland realtidsutvecklaren för GPOS.

Någon vill ge sin industrirobot ett windowsanvändargränssnitt för att operatören ska känna sig hemma bland fönster och knappar. Och för att Microsofts Visual Studio är ett smidigt utvecklingsverktyg.

Någon vill plugga in gratis Linuxprogram för att ge sitt inbyggda system nätverkskapacitet.

Delar säkert på processorn

Vinsten med att dela på en processor är halverad hårdvarukostnad. Problemet är att garantera att det stökiga GPOS inte stör realtiden.

Den hetaste lösningen är att använda en mikrokärna (eller nanokärna). Det är ett pyttelitet operativsystem som har total kontroll över hårdvaran och kör vanliga operativsystem i virtuella maskiner under sig. Mikrokärnan fördelar processortid, minne och gränssnitt mellan operativsystemen.

Mikrokärnor har funnits ett tag, hos bland annat Jaluna och Green Hills. Det som händer nu i vår är att det för första gången dyker upp kommersiella mikrokärnor som är så strängt granskade att operativsystemen kan säkerhetscertifieras separat från varandra.

Den faktiska realtidsprogramvaran som körs i processorn måste fortfarande säkerhetsgranskas. Men det kan alltså ske utan hänsyn till att mikroprocessorn i den ena tidsluckan kör ett stökigt Windowsprogram som låst sig eller kraschat, och i den andra kör autopiloten i ett flygplan.

Tyska Sysgo lanserade sin lösning i februari. Mikrokärnan heter PikeOS och har haft DaimlerChrysler som pilotanvändare. Lynuxworks mikrokärna heter Lynxsecure men har redan vunnit ett imponerande kontrakt: det ska användas i USA:s nätverksbaserade stridssystem.

Lynuxworks äldre Linux-RTOS-lösning heter LynxOS178 och är ett så kallat rumtidspartitionerande RTOS. Det kör inte operativsystemet Linux i sig, utan implementerar bara dess gränssnitt, så att program som är skrivna för Linux kan köras i det.

Det är dessutom mycket större än Lynxsecure, och därmed jobbigare att certifiera. Enligt Lynuxworks kan en lösning i Lynxsecure klara den högre nivån EAL7 i en DO178B-certifiering, där en LynxOS178-lösning i praktiken bara kan nå upp till EAL4 eller EAL5.

Linux vill klara realtid själv

I sammanhang där buggar inte kostar människoliv eller massor av pengar finns andra mindre robusta lösningar för att blanda realtid och Linux. En möjlighet är att köra realtidsprogrammen med hög prioritetet inuti Linux kärna.

Det pågår också ett arbete, med amerikanska Montavista som kommersiell drivkraft, att ge Linux i sig bättre realtidsegenskaper. Montavista tror standard-Linux kan trimmas till responstider under hundra mikrosekunder mot dagens tiotals millisekunder. Vilket gör att Linux bland annat passerar tröskeln för att kunna sköta basbandet i en mobiltelefon.

I telekomväxlar erbjuder både Enea och Wind River lösningar för att blanda RTOS och GPOS i samma rack. Men här körs operativsystemen i olika kort.

Också Microsoft pc-operativsystem Windows kan köras med realtidsprogram. Amerikanska Tenasys har en lösning som används av bland annat ABB.

Jan Tångring