Design and Implementation of a Soft-error Resilient OSEK Real-time Operating System

Transkript

1 Design and Implementation of a Soft-error Resilient OSEK Real-time Operating System Florian Lukas Lehrstuhl für Informatik 4 Verteilte Systeme und Betriebssysteme Friedrich Alexander Universität Erlangen Nürnberg 25. September 2014 Betreuer: Dipl. Ing. Martin Hoffmann, Dr. Daniel Lohmann

2 Motivation Problem: Transiente Hardwarefehler Hardware-Techniken: Gehärtete Chips ECC Speicher Lockstep Prozessoren teuer Software-Techniken: Redundante Daten Redundante Ausführung feingranular, günstig Annahme: Betriebssystem zuverlässig! Florian Lukas FAU Erlangen Motivation 2 23

3 Ziele von dosek Ziel: Zuverlässiges Betriebssystem Anwendung vor System schützen In dieser Arbeit: fail-stop Annahmen: ROM zuverlässig Interrupts, Zeitgeber zuverlässig Tradeoffs: ROM/RAM Verbrauch Laufzeit Florian Lukas FAU Erlangen Ziele und Prinzipien 3 23

4 Leitsätze von dosek Florian Lukas FAU Erlangen Ziele und Prinzipien 4 23

5 Leitsätze von dosek Florian Lukas FAU Erlangen Fehlervermeidung 5 23

6 Fehlervermeidung Indirektionen vermeiden: Keine Zeiger/Arrays Keine Stack-Zugriffe: Funktionsaufrufe Alles inline Lokale Variablen Feste Adressen Zustand minimieren: Statisches System (OSEK) Systemfunktionen spezialisiert für jeden Aufruf Florian Lukas FAU Erlangen Fehlervermeidung 6 23

7 Datenstrukturen im RAM Florian Lukas FAU Erlangen Fehlervermeidung 7 23

8 Leitsätze von dosek Florian Lukas FAU Erlangen Fehlererkennung 8 23

9 Fehlererkennung Florian Lukas FAU Erlangen Fehlererkennung 9 23

10 Abgesicherte Datenstrukturen Florian Lukas FAU Erlangen Fehlererkennung 10 23

11 Arithmetische Kodierung v c = A n v c = A n + B v c = A n + B (A n 1 + B 1 ) ± (A n 2 + B 2 ) = A (n 1 ± n 2 ) + (B 1 ± B 2 ) Florian Lukas FAU Erlangen Fehlererkennung 11 23

12 Arithmetische Kodierung v c = A n v c = A n + B v c = A n + B (A n 1 + B 1 ) ± (A n 2 + B 2 ) = A (n 1 ± n 2 ) + (B 1 ± B 2 ) Florian Lukas FAU Erlangen Fehlererkennung 11 23

13 Implizite Kontrollflussüberwachung Florian Lukas FAU Erlangen Fehlererkennung 12 23

14 Systemaufruf Florian Lukas FAU Erlangen Fehlererkennung 13 23

15 Systemaufruf Florian Lukas FAU Erlangen Fehlererkennung 13 23

16 Systemaufruf Florian Lukas FAU Erlangen Fehlererkennung 13 23

17 Systemaufruf Florian Lukas FAU Erlangen Fehlererkennung 13 23

18 Systemaufruf Florian Lukas FAU Erlangen Fehlererkennung 13 23

19 Evaluation Robustheit und Overhead von dosek/x86 (verschiedene Varianten) ERIKA Enterprise Benchmark: Quadcopter-Steuerung Checkpoints statt Anwendungslogik Fehlerinjektion mit FAIL*: Silent Data Corruption (SDC) in RAM Register Instruction Pointer Florian Lukas FAU Erlangen Evaluation 14 23

20 SDCs nach Typ Florian Lukas FAU Erlangen Evaluation 15 23

21 SDCs nach Typ Florian Lukas FAU Erlangen Evaluation 15 23

22 SDCs nach Ort Florian Lukas FAU Erlangen Evaluation 16 23

23 ROM Overhead Florian Lukas FAU Erlangen Evaluation 17 23

24 Laufzeit Overhead Florian Lukas FAU Erlangen Evaluation 18 23

25 Zusammenfassung Ziel: Schutz gegen transiente Hardwarefehler dosek: Zuverlässiges Betriebssystem Fehlervermeidung & Fehlererkennung Ergebnis: Robustes OSEK BCC1 Betriebssystem Fehlerinjektion: SDC um 4 Größenordnungen reduziert ( ) ROM: 25 KB 200 KB Laufzeit: Instruktionen Ausblick: Optimierung Florian Lukas FAU Erlangen Zusammenfassung 19 23

26 Vielen Dank für die Aufmerksamkeit! Noch Fragen?

27 Auftreten von Silent Data Corruption (SDC) Florian Lukas FAU Erlangen Backup 20 23

28 SDCs nach Funktion Florian Lukas FAU Erlangen Backup 21 23

29 I4Copter Systemstruktur Florian Lukas FAU Erlangen Backup 22 23

30 ANB-kodierte if-bedingung Florian Lukas FAU Erlangen Backup 22 23

31 Toolchain Florian Lukas FAU Erlangen Backup 22 23

32 Kontrollfluss Florian Lukas FAU Erlangen Backup 22 23

33 Kontrollfluss zeitlich Florian Lukas FAU Erlangen Backup 22 23

34 Speicherschutz 0x0 0x task 1 task 2 kernel IRQ handlers common code task 1 code task 2 code ROM kernel code constant data page directories 0x kernel stack task 1 stack task 2 stack task 1 data RAM task 2 data kernel structures common data 0xFFFFFFFF Florian Lukas FAU Erlangen Backup 22 23

35 ANB-gesicherter Scheduler Florian Lukas FAU Erlangen Backup 23 23

36 Anwendungskontext stack of preempted task after system call stack of preempted task after interrupt address of irq_resume return address compiler-saved general-purpose registers application stack entire register set (including original SP) flags register return address application stack Florian Lukas FAU Erlangen Backup 23 23

37 I4Copter SDCs Florian Lukas FAU Erlangen Backup 23 23

38 I4Copter SDCs injection memory registers IP SDC occurrences unencoded without MPU encoded without MPU unencoded with MPU encoded with MPU Florian Lukas FAU Erlangen Backup 23 23