RTOSハイパーバイザーとオープンソースによるドメインコントローラの機能安全
OSAKA NDS Embedded Linux Cross Online Forum #11

2020, July 10
BlackBerry Japan
Kazunori Inami

Internal Use Only

© 2018 BlackBerry.
All Rights
Reserved.
© 2020 BlackBerry.
All Rights
Reserved.

11

自動車業界のトレンド

C
コネクテドカー（コネクティビイティ）

A
自動運転（レベル 2-5）▪ 自動車の電子アーキテクチャの変化▪ 全体的に増大する複雑度▪ サイバーセキュリティ

S

E

自動車モビリティ（ライドシェアなど）

電動化（電気自動車）▪ ハードウェアのコモディティ化、重要な差別化要素としてのソフトウェアの重要性が増加▪ 電子装置 + SW = 2030年までに自動車BoMの50%© 2019 BlackBerry QNX. All Rights Reserved.

2

ドメインコントローラへの遷移
ECU 数
中型高級車の平均ECU数???

1301109070502010 2011 2012 2013 2014 2015 2016 2017 2018 2019 2020 2021

ソフトウェアの複雑性
Future vehicle (2030+)
Modern luxury car
Facebook
Large Hadron Collider
Windows 7
F-35 fighter
AndroidBoeing 787
Hubble space telescope
Space shuttle

Ford F-150

050

100

150

200

250

300

350

現在
▪ 60～100個以上のECU▪ 6～8個のOS▪ 各々が単独で動作▪ コストと複雑性が増大▪ 最低レベルのアップグレード機能
将来▪ 6～10個の高性能コンピューター (HPC)プラットフォームへ移行▪ 統合されたソフトウェアシステム▪ 協調分散処理▪ 重量、コスト、複雑性の低減▪ OTAアップグレード機能による将来機能の保証

百万命令行数資料: 戦略分析、informationisbeautiful.net© 20192018 BlackBerry. All Rights Reserved.

3

二つの重要なチャレンジ
サイバーセキュリティー
車はサイバーセキュリティ攻撃の大きなターゲット• ソフトウェアが如何に安全かを確認できるか？

ソフトウェアの複雑性の増大
ソフトウェアは、車のクリティカルなドライブシステムを制御している• 正しいソフトウェアをどのように選択するか？
• ハードウェアとソフトウェアの統合化をどのように実現するか？

© 2019 BlackBerry QNX. All Rights Reserved.

4集約化の例 1
コックピットドメインコントローラ
Cluster (ASIL A)

Infotainment

ADAS (ASIL B)

Additional Services

orClassic
Gateway,
Acoustics,
Telematics apps,
etc

Cluster Platform ASIL B(Multi-layer compositing)
VehicleHAL
HAL shim

ScreenManaged Services

Secure Device
Access Control

Speech andAcoustics

Compute Libs

QWF

RTE/BSW

ScreenTelematics stack

MCAL (MCU)

OS for Safety (ASIL D)

OS for Safety (ASIL D)OSEKGraphics
MonitorOS for Safety (ASIL D)

CAN Gateway,Chimes, etc

OTA

Sensor Framework(Multi-camera,Radar, Lidar)

AndroidSurfaceFlinger
orWayland

Safety Micro (ASIL B)

Graphics

VPU

Audio

Input

Hypervisor Safety Certified - ISO 26262 ASIL D

Cortex M/R
ASIL-D HW

Cockpit ECU Hardware (Intel Apollo Lake, Renesas H3, NXP i.mx8, QC 820A)

Confidential

2019 Reserved.
BlackBerry. All Rights© 2018 BlackBerry QNX. All©Rights
Reserved.

5 5集約化の例 2シャーシドメインコントローラ
Engine (ASIL C)

Break (ASIL D)

Steering (ASIL D)

Diagnostics

App 1

App 2

App 1

App 2

App 1App 2

Monitoring stack

App 3

App 4

App 3

App 4

App 3

App 4

Cloud connector

OS for Safety (ASIL D)

OS for Safety (ASIL D)

OS for Safety (ASIL D)

virtio-net
Hypervisor Safety Certified - ISO 26262 ASIL D

TCP/IP

Hardware ECU (Intel Denverton, Renesas H3)

Ethernet

EthernetEngine I/O MCUClassic

Axle I/O MCU

Gateway ECU
Left Brake

Injection

Classic
Ignition

LTECloud

Right Brake

Confidential

2019 Reserved.
BlackBerry. All Rights© 2018 BlackBerry QNX. All©Rights
Reserved.

6 6

Combined Portfolio of Products
Functions / Applications
Safety Case
Evidence of the ASIL-Dcompliant process

ISOLAR-A/-A_ADAPTIVE/-B
Development Tooling

QNX SDP Tools

Vehicle Computing Environment

Certified QNX OS

RTA-RTE
RTA-OS

Safety Certificates

RTA-VRTE

Certificates for RTA andQNX Tools

RTA-BSW

POSIX OS

3rd party MCAL

Safety Manuals

Optional Hypervisors

Optional ETAS Hypervisors

Guideline on using ourproducts in an ASIL-X
environment

RTA-LWHVR, RTA-HVR

SoC

MicrocontrolleruC

SoC

ECU Hardware
ETAS AUTOSAR Products / Solutions
QNX

Internal Use Only

© 2018 BlackBerry.
All Rights
Reserved.
© 2020 BlackBerry.
All Rights
Reserved.

77

ドメインコントローラ実現に必要な技術• Hypervisor の機能安全 ISO26262 ASIL D対応• OSの高度なセキュリティー機能• サイバーセキュリティーへの対応• libC++の機能安全対応 (Adaptive AUTOSAR)• libmの機能安全対応 (自動運転アルゴリズム）• Adaptive AUTOSAR, Classic AUTOSARの対応• AUTOSARベンダーとの密な関係による最適化

Confidential© 2018 BlackBerry.
All Rights
Reserved.
© 2019 BlackBerry.
All Rights
Reserved.

88

QNX ハイパーバイザープラットフォーム
Range of OS choices
Autosar
RuntimeQNX OSQNX OS for
Safety(ISO 26262)

LinuxAndroid

Unmodified
OS / RTOS

Autosar
Adaptation
QNX
Momentics
SystemAnalysis andOptimization

QNX
ISO 26262
Certified ToolChain•••

32-bit guests64-bit guests on
64-bit hardware
Mix of 32- and 64bit guests on 64-bit
hardware

QNX ISO 26262 Certified Type-1 Hypervisor
Multicore

VirtIO

Shared Memory

Adaptive Partitioning

Failure Handling

Staggered Boot

Shared Audio

Shared Graphics

Renesas H3Intel Broxton / Apollo Lakeaarch64/armv8

CONFIDENTIALCONFIDENTIALINTERNAL USE ONLYQNXHypervisor

Qualcomm 820A
X86_64©©2019Rights Reserved.
Reserved.
2017 BlackBerry.
BlackBerry. All Rights

99ハイパーバイザーのデバイス共有
エミュレーション
Guest OS

VirtualMachine

Host

PhysicalResources

パラ仮想化

パススルー

Device Driver

Device Driver

Device Driver

EmulatedVirtual Device

ParaVirtualized
Device(Pass-through)Device Driver

DeviceCONFIDENTIALCONFIDENTIALINTERNAL USE ONLY

Device©©2019Rights Reserved.
Reserved.
2017 BlackBerry.
BlackBerry. All Rights

1010

Virtual IO on QNX
GUEST(e.g Linux)

Guest Apps
Guest Apps
Guest
user space
GuestkernelHOST

Guest frameworks

virtio-blk

virtio-net

virtio-gpu

vdev-virtio…
blk.sovdev-virtio…
net.sovdev-virtio…
gpu.so….

virtio-vsock
vdev-virtio… input.so…

vdev-xxx

Guest frameworks

devb-virtio

GUEST
(QNX)

….

QNX kernel
vdev-virtio…
blk.sovdev-xxx
…

qvm

qvm
devb-xdriverdriverdriverdriver

Hardware
CONFIDENTIALCONFIDENTIALINTERNAL USE ONLY

VirtIO
Virtqueues©©2019Rights Reserved.
Reserved.
2017 BlackBerry.
BlackBerry. All Rights

1111

Safety Products• QNX OS for Safety (QOS)

Applications• ARM, x86 64ビットハードウェアプラットフォームのQNX SDPにコンパチブル• マイクロカーネルとプロセスマネージャー、マルチコアサポート、アダプティブ
パーティショニングスケジューラー• システムライブラリー: C, Math, C++ ライブラリーの認証

Black
ChannelSafe Fsys

NetworkFsys/Block

C and C++ compilers• 認証を受けたQNXユーティリティー

Other Drivers, Libraries andTools
VirtualDevices

mkifs, sepolcompile,
secpolpush• ツール: C、C++ コンパイラー, リンカー, アセンブラーTCL3• QNX Hypervisor for Safety (QHS)

Clibrary• QNXマイクロカーネルへのハイパーバイザー拡張• QVM ゲスト管理システム

Mathlibrary

AdaptivePartitioning• パラ仮想化のサポート (VirtIO)• ピアネットワーク• ゲスト / ホストシェアードメモリー

Startup• Safety Certified Add-on ProductsC++
library

QVM
Support Services
SMMU

MulticoreMemory
supportManagement
QNX Microkernel+Procnto

Drivers

Peer Net &Shared mem

Hypervisor
Extensions

Safety Legend
Add-ons• QNXブラックチャンネルコミュニケーション; QNX Black Channel
Communications Technology (QBCCT)

Board Support Packages (BSP)

Safety HV
Safety OS• 認証済みの C++ システムライブラリー

Upcoming• QNX セーフファイルシステム (レビュー中)

Eng Services

Internal Use Only

© 2018 BlackBerry.
All Rights
Reserved.
© 2020 BlackBerry.
All Rights
Reserved.

1212

QNX Black Channel Communications Technology 1.0•

ISO 26262 ASIL D認証済みのセーフコミュニケーション•

ハードウェア、通信ソフトウェアを利用し、ポイントツーポイントでやり取りされるデータを保護•

完全性（改ざんがないこと）のチェック、認証、データ損失の検出ならびに他の方法を提供するセーフティーレーヤーを提供 (IEC 61784-3、AUTOSARで定義されている)•

標準的なシステム、ならびに機能安全標準に準じて認証を受けるシステムに利用可能•

システムのセーフティーケースを実現する場合、通信コンポーネントを組み込む際、コストを低減することが可能.

•QNXと非QNXシステム (Linux, SafeRTOS) 両方で利用可能

Internal Use Only

© 2018 BlackBerry.
All RightsReserved.
© 2020 BlackBerry.
All Rights
Reserved.

13
13

BlackBerry QNXのカバーする範囲
セキュアコミュニケーション

エンドツーエンド
セキュリティコンサルティング

OTAによるソフトウェア
アップデート

音響技術

ソフトウェア
アップデート

デジタルコックピット
インフォテイメント
インスツルメンツ
クラスター

ADASとアクティブセーフ
ティー
ゲートウェイ

ビジネス
ロジック

セキュアIoTインフラ
OTAを含むサービス管理
認証

防御

異常検知

テレマティクス

セキュアな製造工程
セキュア認証FIPS認証、暗号技術

バイナリーコードスキャン•••

インフィールドヘルスチェック
リモート診断、解析
クラウドにおけるソフトウェアラ
イフサイクル管理

エンジニアリングサービス

Confidential© 2019 BlackBerry. All Rights Reserved.

14

車載標準化の拡大
サイバーセキュリティー

機能安全

意図した機能への安全性 (SOTIF)▪ ISO/SAE 21434▪ ISO 26262▪ ISO/PAS 21448▪ E/Eコンポーネントにおける故障イベ
ントに対する安全性の確保▪ 故障がない場合でも、意図した機能への安全性の確保▪ J3061の継承▪ 安全性、財務性、運用性、プライバシーの問題を発生するE/Eコンポーネントへの悪意のある攻撃に対するセキュリティー （ネットワーク、クラウドは対象外）

ソフトウェアアップデート▪ ISO 24089▪ 車載における有線、無線で提供される安全でセキュアなアップデート▪ ISO 26262, ISO/PAS 21448, ISO/SAE 21434の参照
面▪ Some content originally a part of ISO/SAE 21434▪ 2022年に発行の予定
BlackBerry Confidential© 2020 BlackBerry. All Rights Reserved.

15

Thank You!
© 2017 BlackBerry. All rights reserved.