Sebastian Witte

Transkript

1

2 Inhalt

3 kleine, leistungsfähige Systeme verfügbar (Smartphones) Resourcenverschwendung übermäßige Resourcenreservierung kleinste Systeme noch zu schnell zu restriktives Scheduling Vermischung von Anwendungen unterschiedlicher oder unbekannter Zuverlässigkeit Wie vertrauenswürdig sind die Programme? Kann man sich absichern? Kann man die noch garantieren?

4 Fristen, Fristen, Fristen,... hart: Frist muss eingehalten werden weich: Frist sollte eingehalten werden Fristgerechtes Ergebnis nicht immer erforderlich Frist nicht immer wichtig

5 Worst Case Execution Time Entwurf eines harten Echtzeitsystems immer auf Basis der WCET statische Analyse längstmöglicher Kontrollfluss abhängig von Hardware (Hardwaremodelle erforderlich!) hohe Varianz oft sehr pessimistische Annahmen zu prüfender Code Strukturanalyse Low-Level Analyse Kontrollflussanalyse Berechnung WCET Abbildung: schematische Herangehensweise[3]

6 Mikrokernel Motto: Userspacemaximierung Isolation mehrere Ausführungsebenen (nicht nur Kernelebene) MMU IOMMU DMA Quelltextgröße i.a. < 10 4 Zeilen (Linuxkernel > 10 6 ) Kommunikation über Nachrichtenaustausch (historisch langsam) L4-Implementation von Jochen Liedtke in 386 Assembler zeigte, dass es der Nachrichtenaustausch auch schnell geht Abstract Binary Interface Grundstein für L4-Familie von Mikrokerneln Grundlage für (verifizierbare) Echtzeitkernel

7 Vergleich verschiedener Architekturen[3] typisches Echtzeitsystem monolitschisches Betriebssystem Anwendung Anwendung Anwendung Anwendung Dienst Dienst Dienst Hardware Dienst Dienst Dienst Hardware mikrokernbasiertes Betriebssystem Anwendung Anwendung Dienst Dienst Dienst Mikrokernel Hardware Kernelebene

8 secure embedded L4[3] Fokus auf: Verifizierbarkeit des Kernels Zuverlässigkeit Echtzeitfähigkeit Kozept der Trusted Computing Base Besonderes Designkonzept (weder bottom-up noch top-down) Sicherheit für Anwendungen basiert im Wesentlichen auf Isolation

9 Designkonzept[3] Entwurf & Spezifikation interaktiver Entwurfszyklus Haskellprototyp leistungsfähige C-Implementierung formales Modell Sicherheitstheorem Kernelaufruf im Haskellmodell Anwendungen Simulator oder Hardware Kernel (soweit implementiert)

10 Komponenteninteraktion[3] alte Anwendungen sensible Anwendungen Linux Server Gerätetreiber vertrauenswürdige Dienste vertrauenswürdige Gerätetreiber Sicherheitsrichtlinien Mikrokernel Hardware

11 Räumliche Isolation durch Capabilities Untyped Memory retype(...) Shared Memory Untyped Memory Speicher ist getypt Verteilung von Speicher des Typs Untyped Memory bei Systemstart statisch

12 Rechteweitergabe möglich Befugnisse Empfänger Befugnisse Sender Sender kann Empfänger Rechte entziehen Anwendung 1 Leseerlaubnis(SM) Anwendung 2 Shared Memory Untyped Memory somehow typed Memory

13 Anwendung 1 Anwendung 2 Shared Memory Untyped Memory somehow typed Memory

14 Scheduling Guthabenbasiert[1] harte Echtzeitanwendungen erhalten Guthaben gemäß der WCET weiche Echtzeitanwendungen erhalten Guthaben zwischen WCET und Durchschnittslaufzeit Caches, Branchprediction etc. pessimistische Annahmen WCET übersteigt -Laufzeit um einige Größenordnungen Linuxserver erhält verbleibende Zeit im Intervall normale Anwenundgen werden dann in diesen Intervallen durch Linux-Scheduler Rechenzeit zugeteilt

15 Beispiele für Schedulingintervalle EA1 WEA2 Linux Linux Linux endet eher EA1 benötigt mehr Zeit erhält Restguthaben WEA2 von EA1 Linux Linux Linux Intervall

16 Stand: 2009 C function call graph (verifzierte Funktionen in grün) 1 1

17 Dresden Real-time Operating System[2] basiert auch auf eine L4-Erweiterung als Desktop-Betriebssystem gedacht : vernünftige Realisierung von Echtzeitfähigkeit bei Desktopanwendungen Multimediaanwendungen (Wiedergabe, Aufnahme) Echtzeitfähigkeit nicht durch übermäßige Reservierung von Resourcen Qualitätsbasiert (100% harte ) Ziel: bessere Resourcenausnutzung normale Anwendungen laufen auf (para)virtualisiertem Linux echtzeitfähiger Window Manager (Desktop Operating Environment) Zuverlässigkeit hier eher Zeitgarantien für Anwendungen, die sie gerne hätten

18 Architektur von [2] Anwendungen ohne Linux Echtzeitethernet Echtzeitdateisystem Echtzeit- SCSI Echtzeitanwendungen Echtzeittransport CPU / Hauptspeicher L4-Mikrokernel

19 (Mess-)Ergebnisse Paravirtualisierung 2 10% langsamer hardwaregestützte Virtualisierung 5,73µs zusätzliche Verzögerung wie bei guthabenbasiertes Scheduling Unterteilung von verbindlich (mandatory) 100%ige Qualität WCET Guthaben optional ( weiche Echtzeitanwendungen) gewünschte Qualität WCET + Wahrscheinlichkeitsmodell führen zu vorhersagbaren Qualitäten und das entsprechende Guthaben

20 Grundsätzliches Ergebnis Qualität geringfügig unter 100% erhöht Resourcenausnutzung spürbar getestet mittels Benchmarks an verschiedenen Resourcen (hier: Ethernetbandbreite als Beispiel[2])

21 Wie alltagstauglich ist? Webseite des NICTA wirbt mit dem verifizierten, sicheren, eingebetteten L4 dennoch wird er lediglich für akademische Zwecke angeboten Zuverlässigkeit durch Systembeweis Was soll man da noch besser machen?

22 Wie alltagstauglich ist? vorgeschriebener Windowmager (ungewohntes Look&Feel, subjektiv schlechte Handhabung) wirkt sehr prototypisch und träge einen (weiteren) Linux-kernel mit anderen Einstellungen zu kompilieren/installieren (RTLinux) ist vielleicht praktikabler Gerätetreiber für typische (modernere) Hardware kaum vorhanden neuere Systeme sind so leistungsfähig, so dass die Prozessoren eh einen Großteil der Betriebszeit im Idle-Modus sind

23 Sicherlich gibt es noch Fragen!

24 Abeni, L., Buttazzo, G.: Integrating Multimedia Applications in Hard Real-Time Systems. In: Proceedings of the 19th IEEE Real-Time Systems Symposium, pp IEEE Computer Science Press, Madrid, Spain (1998) Härtig, H., Roitsch, M.: As time goes by: Research on l4-based real-time systems. In: Chakraborty, S., Eberspächer, J. (eds.) Advances in Real-Time Systems, pp Springer-Verlag Berlin Heidelberg (2012) Petters, S.M., Elphinstone, K., Heiser, G.: Trustworthy real-time systems. In: Chakraborty, S., Eberspächer, J. (eds.) Advances in Real-Time Systems, pp Springer-Verlag Berlin Heidelberg (2012)