Rust来了，汽车软件工程师准备迎接又一个“涨薪潮”

一直以来&＃xff0c;汽车ECU的编程语言90%都是C语言编写&＃xff08;大部分是涉及到MCU的控制编程&＃xff09;&＃xff0c;还有部分C&＃43;&＃43;语言。比如&＃xff0c;大多数主流的机器学习框架实际上都是依赖C&＃43;&＃43;。

过去几年时间&＃xff0c;通过尽可能少的代码简化任务也催生了大量的新编程语言的应用&＃xff0c;然而&＃xff0c;特斯拉仍然依赖于最基础的语言&＃xff1a;C和C&＃43;&＃43;。

“原因是C和C&＃43;&＃43;可以在几乎任何一种系统上运行&＃xff0c;尤其是对于安全关键的嵌入式系统来说&＃xff0c;可以帮助工程师优化软件。”这是特斯拉的结论&＃xff0c;实际上英伟达也在大量使用C和C&＃43;&＃43;。

不过&＃xff0c;考虑到整车系统的复杂性以及越来越多的应用功能开发&＃xff0c;不同语言的组合也是趋势。但毋庸置疑的是&＃xff0c;核心软件价值仍然在芯片和域控制器这一级别。

近日&＃xff0c;有消息称&＃xff0c;AUTOSAR&＃xff08;汽车开放系统架构&＃xff09;组织正在考虑保持经典AUTOSAR&＃xff08;基于C&＃43;&＃43;14编程语言&＃xff09;的基础上&＃xff0c;寻求为AUTOSAR Adaptive启动Rust编程语言的导入。

按照计划&＃xff0c;AUTOSAR决定从2022年4月开始&＃xff0c;在功能安全工作组(WG-SAF)内成立一个子小组&＃xff0c;制定两份和Rust相关的指南文件&＃xff0c;包括在AUTOSAR Adaptive使用Rust的指导文件以及相应的编码指南。

这意味着&＃xff0c;对于处于起步期的AUTOSAR Adaptive以及域控制器电子架构、软件定义汽车开发模式来说&＃xff0c;有可能会产生深远的影响。

众所周知&＃xff0c;Rust是一种多范例、通用的系统编程语言&＃xff0c;目标是提高性能和安全性&＃xff0c;特别是并发安全。Rust在语法上类似于c&＃43;&＃43;&＃xff0c;但可以在不进行垃圾回收的情况下保证内存安全。除了函数式编程等高级特性外&＃xff0c;它还提供低内存管理机制。

这种语言在2006年前后出现&＃xff0c;此后在Firefox浏览器引擎的开发中进行了一系列改进&＃xff08;通过使用Rust语言重建组件来提高浏览器的速度&＃xff09;&＃xff0c;也在过去十几年时间获得了包括亚马逊、Facebook、谷歌和微软等软件巨头的支持&＃xff0c;也多次被选为“最受欢迎的编程语言”。

Rust在语法上和C&＃43;&＃43;类似 &＃xff0c;但是设计者想要在保证性能的同时提供更好的内存安全。这一点&＃xff0c;已经在过去几年成为汽车行业的最大完全风险之一。

有数据显示&＃xff0c;当今汽车中使用的代码超过1亿行。在接下来的十年&＃xff0c;汽车中使用的代码平均将达到3亿行。随着汽车联网越来越多&＃xff0c;黑客也会越来越多地瞄准汽车应用。

此前&＃xff0c;静态代码分析安全公司Veracode曾发布一份应用程序分析报告&＃xff0c;结果发现比起Javascript和Python等语言&＃xff0c;C&＃43;&＃43;的安全漏洞要严重得多。原因之一就是C&＃43;&＃43;不是内存安全的语言&＃xff0c;代码库中频频出现内存漏洞&＃xff0c;大量的时间被耗费在修补漏洞上。

比如&＃xff0c;易受攻击的嵌入式Web服务器是用C&＃43;&＃43;编写的&＃xff0c;并通过智能汽车的WiFi网络对外暴露&＃xff0c;致使攻击者在访问WiFi网络后可攻击web服务器。

按照谷歌Linux内核安全工程师的说法&＃xff0c;C语言是一种高级的汇编程序&＃xff0c;但C语言也带来了一些导致安全缺陷和基础设施漏洞。C语言中存在大量的开源漏洞是有原因的。而C语言的使用时间相对其他语言要长&＃xff0c;并且拥有最多的编写代码量。

相比较而言&＃xff0c;Rust试图从一开始就阻止许多漏洞进入代码。如果有语法错误或其他内存安全漏洞&＃xff0c;根本不会编译。这是设计上的内存安全编程&＃xff0c;确保没有对无效内存的访问&＃xff08;无论软件如何执行&＃xff09;。

而对于汽车&＃xff0c;尤其是智能汽车来说&＃xff0c;多核多线程处理是主流。这意味着&＃xff0c;运行在多个核上的多线程应用程序可能会导致更多的问题。此前&＃xff0c;工程师可以通过使用静态代码分析器来完成bug的定位&＃xff0c;解析源代码并报告任何潜在的错误。

在AUTOSAR的C&＃43;&＃43;14语言编程指南中&＃xff0c;有这样一句话&＃xff0c;“如果本文档的用户使用了并行计算、C&＃43;&＃43;标准库或开发了与安全相关的软件&＃xff0c;那么他们有责任为这些应用自己的指导方针。”

依赖于静态代码分析和手工审核&＃xff0c;已经是一种“常规”的解决方案&＃xff0c;大部分工程师也已经习惯了这种解决方案&＃xff0c;而在过去几年时间&＃xff0c;C&＃43;&＃43;也成为了高性能编程的首选语言。

这意味着&＃xff0c;如果软件是多线程的&＃xff0c;并且使用了多核&＃xff0c;那么工程师就只能靠自己了&＃xff0c;而Adaptive AUTOSAR对于这些问题没有任何指导。

但大多数新的软件系统都是多线程&＃xff0c;并运行在多个核上&＃xff0c;尤其是多核SoC逐步成为主流搭载平台&＃xff0c;而非传统的MCU&＃xff08;MCU本身也处于多核、大算力的趋势发展&＃xff0c;控制系统本身也越来越复杂&＃xff0c;融合集成度越来越高&＃xff09;。

从这个角度来说&＃xff0c;Rust编译器在编译时执行所有检查&＃xff0c;因此不会产生任何运行时的开销。性能可与C&＃43;&＃43;相媲美。此外&＃xff0c;Rust的目标是零成本的抽象&＃xff0c;一旦代码编译完成&＃xff0c;就可以确信它能够正常工作。

一些汽车行业人士认为&＃xff0c;多核系统是未来的趋势&＃xff0c;而Rust正是一种适用于复杂嵌入式软件的优秀编程语言&＃xff0c;潜力不可估量。

不过&＃xff0c;任何一种语言都存在自己的天然弊端。作为一种适合于系统软件开发的语言&＃xff0c;Rust的开发人员也要跨越一些已知的障碍。

比如&＃xff0c;Rust保证安全性的代价就是学习门槛很高&＃xff0c;对于习惯了脚本语言或者C语言的程序员来说&＃xff0c;Rust显得不是那么友善&＃xff0c;同时学习成本也很高。比如&＃xff0c;Rust还没有一套完善的开发栈可供参考&＃xff0c;这也是长期被“吐槽”的地方。

但&＃xff0c;Rust的独特优势也已经明确。比如&＃xff0c;在过去几年时间&＃xff0c;全球已经有不少知名互联网或科技公司都在采用Rust重构技术栈&＃xff0c;不过&＃xff0c;生态还不是很丰富&＃xff0c;有些领域还没有很好的库支撑。

而在汽车行业&＃xff0c;尤其是关键安全领域&＃xff0c;Rust编程语言可以进行安全关键型软件开发&＃xff0c;来改善安全关键型软件质量&＃xff0c;这是对现有编程语言的重大改进。

比如&＃xff0c;Rust目前只有一个主编译器&＃xff0c;这意味着&＃xff0c;关键安全系统开发对于严谨性和稳定性的关注被视为Rust的一个主要竞争优势&＃xff0c;也是一种比其他语言更容易分析和检查的语言。

目前&＃xff0c;全球已经有一些公司在汽车行业应用Rust语言提供相关的开发和培训支持。比如&＃xff0c;Ferrous Systems是一家德国的公司&＃xff0c;主要服务就是验证Rust语言和编译器在安全关键领域的使用。要知道&＃xff0c;在汽车行业&＃xff0c;目前还没有安全认证的Rust工具链。

按照计划&＃xff0c;该公司的第一个目标是ISO 26262/ASIL-B认证&＃xff0c;并在2022年底正式对外&＃xff0c;为关键任务和高安全性环境中的开发人员提供了一个健全的、经过验证的、可寻址的基础架构和验证工具&＃xff0c;以构建关键库、分析工具和进一步的系统保证。

在今年初&＃xff0c;AdaCore&＃xff08;软件开发和验证工具提供商&＃xff09;宣布与Ferrous Systems建立战略合作伙伴关系&＃xff0c;进一步开发后者的Rust开发工具链&＃xff0c;以支持嵌入式任务和安全关键应用&＃xff0c;并使其符合相关行业软件安全标准。

而AdaCore同样也是类似英伟达这样的全球芯片巨头的合作伙伴&＃xff0c;前者的工具链可以在在软件生命周期的早期检测代码缺陷&＃xff0c;并通过集成到英伟达的芯片&＃xff0c;来最大限度地降低软件发生故障或者恶意漏洞攻击的可能性。

“自动驾驶很复杂&＃xff0c;需要软件的复杂程度超过了目前最严格的标准。”在英伟达软件安全副总裁Daniel Rohrer看来&＃xff0c;软件必须与硬件具有一样的功能安全标准&＃xff0c;并经过同样严格的安全评估。

实际上&＃xff0c;以目前车载座舱操作系统的主流安卓平台为例&＃xff0c;过去主要是基于C和C&＃43;&＃43;开发&＃xff0c;但内存安全漏洞成为最难以解决的错误代码来源&＃xff0c;占到了约70%的高严重安全漏洞比例。

在谷歌看来&＃xff0c;Rust有几个关键特性&＃xff0c;比如内存安全性、数据并发性、默认情况下不可变的引用和变量、更安全的整数处理、标准库中更好的错误处理等等特点。

去年&＃xff0c;谷歌首次表示&＃xff0c;一直在为安卓开源项目增加对Rust的支持。但是在Android平台上添加一种新的语言是一项巨大的任务。一些工具链和依赖关系需要维护&＃xff0c;测试基础设施和工具必须更新&＃xff0c;开发人员需要接受培训。

谷歌的策略&＃xff0c;就是从一部分新的代码开发入手。

比如&＃xff0c;安卓最新的蓝牙软件栈重写代码名为“Gabeldorsche”&＃xff0c;就是用Rust编写。Keystore 2.0模块&＃xff08;存放开发者信息、私钥、公钥的容器&＃xff09;也是用Rust编写。一些行业人士表示&＃xff0c;使用Rust写安卓库也是一个重要方向&＃xff0c;之前大多数都是基于C/C&＃43;&＃43;。

此外&＃xff0c;丰田此前公布的汽车级开发平台OS—Arene&＃xff0c;其中的API就是用Rust编写的&＃xff0c;是一个预编译的C/C&＃43;&＃43;库&＃xff08;目前是为x86和arm构建的&＃xff09;。它被部署在一个ECU上可以读取、编写和验证丰田官方CAN信息&＃xff0c;并将在未来扩展到支持更多车型。

而作为实时操作系统的供应商&＃xff0c;风河公司开发的VxWorks&＃xff0c;同样支持Rust编程语言&＃xff0c;并允许构建和部署多线程的Rust应用程序&＃xff0c;作为实时进程运行。

同样&＃xff0c;作为汽车芯片IP核的主流供应商&＃xff0c;Arm在去年底宣布加入Rust基金会&＃xff0c;被视为对这种编程语言未来大范围应用的巨大推动&＃xff0c;同时加入的还有丰田汽车。这个基金会由亚马逊、谷歌、华为、微软和Mozilla建立。

这意味着&＃xff0c;Rust编程语言已经进入快速发展周期。高工智能汽车研究院监测数据显示&＃xff0c;目前国际一线汽车零部件供应商已经开始在大量招聘同时具备Rust和C/C&＃43;&＃43;开发能力的软件工程师。