嵌入式操作系统技术发展趋势

随着信息技术的不断进步，嵌入式系统已逐渐从早期的单一功能控制器，发展成为支撑物联网、工业互联网、智能汽车与消费电子的核心计算平台。在这一转型过程中，嵌入式操作系统(Embedded Operating System, EOS)作为嵌入式设备的基础软件，扮演着资源调度、安全隔离和智能协同的关键角色。其性能与可靠性不仅直接决定设备的实时性和能效表现，更在安全可信与智能化应用中发挥着基础性作用。

近年来，嵌入式操作系统发展出了安全关键嵌入式操作系统、物联网嵌入式操作系统、智能嵌入式操作系统和泛在嵌入式操作系统等类型。图1展示了嵌入式操作系统的四大分类及其代表性系统的发展时间线，其中，安全关键/分区嵌入式操作系统(如INTEGRITY、VxWorks 653)专注于高可靠性和任务隔离，适用于航空航天和工业控制等领域。物联网嵌入式操作系统(如FreeRTOS、Zephyr)以轻量化和多协议支持为核心，广泛应用于智能家居和工业物联网。智能嵌入式操作系统(如LiteOS、Google Coral)集成了AI本地化推理能力，支持设备端智能决策。泛在嵌入式操作系统(如HarmonyOS、XIUOS)则强调跨设备协同和生态统一性，推动全场景智能互联。随着技术的融合与发展，嵌入式操作系统正逐步向智能化、泛在化演进，成为万物互联时代的核心基础软件。本文将介绍支撑四类嵌入式操作系统发展的关键技术进展。

2. 安全技术

嵌入式操作系统广泛应用于航空航天、工业控制、智能交通等关键领域，其安全性直接关系到系统的稳定运行和数据安全。随着物联网和人工智能技术的发展，嵌入式系统面临的安全威胁日益复杂多样，如漏洞利用、数据泄露、恶意攻击等。因此，保障嵌入式操作系统的信息安全成为当前研究的热点和难点。本节从系统安全架构与机制、安全管理机制、漏洞模糊测试、安全检测与验证等方面，对近年来国内外关于嵌入式操作系统信息安全的研究进行了分类总结，如图2所示。

Figure 1. Timeline of embedded operating system development

图1. 嵌入式操作系统发展时间线

Figure 2. Classification of security technologies for embedded operating systems

图2. 嵌入式操作系统安全技术分类

(1) 安全架构与机制

嵌入式操作系统的安全机制与架构设计是防止漏洞被利用的关键。一个健壮的安全架构可以有效隔离潜在的攻击面，限制恶意行为的扩散。当前，ARM Cortex-M TrustZone等技术被广泛应用于嵌入式系统中，以实现安全区域的划分和保护。然而，这些技术在实际应用中仍存在一些安全隐患和性能瓶颈。例如，快速状态切换机制可能导致安全状态和非安全状态之间的权限控制出现漏洞，从而被攻击者利用。因此，研究更精细、高效的安全机制与架构，对于提升嵌入式系统的整体安全性具有重要意义。

现有实时系统越来越多地使用现成的组件，并且经常连接到互联网，从而暴露于各种攻击之下。Hasan等人[1]提出了“攻击者负担”(attacker’s burden)这一度量指标，用于评估实时系统中基于调度器的安全机制的有效性。该指标基于“工作量因子”(work factor)的概念，通过计算攻击者在不同安全机制下可利用的时间来衡量安全性的强弱。具体来说，攻击者负担越高，意味着攻击者可利用的时间越少，系统的安全性越高。Yadlapall等人[2]提出的gGuard通过在编译器、库和操作系统层面实现高效的数据粉碎技术，防止信息泄露。具体来说，gGuard在编译时分析应用程序的数据访问模式和依赖关系，将原始程序转换为“自粉碎”版本，在执行过程中自动清理不再使用的内存对象。对于无法在执行期间清理的内存对象，gGuard采用异步清理方法，减少清理操作对性能的影响。ARM Cortex-M TrustZone技术是ARM公司推出的硬件安全扩展，旨在为嵌入式系统提供基于硬件的安全隔离机制。其核心思想是通过将处理器的执行环境划分为安全世界(Secure World)和非安全世界(Non-Secure World)，实现对密钥、用户数据、安全固件等敏感资源的隔离保护。Ma等人[3]针对ARM Cortex-M TrustZone架构中快速状态切换机制的安全隐患，提出了一种名为return-to-non-secure的攻击技术，并设计了两种地址清理机制进行防御，实现了在不影响系统性能的前提下，有效防止特权升级和任意代码执行的效果。Park等人[4]针对在移动设备的TrustZone可信执行环境中运行敏感GPU计算时，如何安全且高效地部署GPU软件栈的问题，提出了GR-T架构，通过移动设备与无GPU的云服务协作进行GPU记录与回放，实现了安全、高效的GPU计算，同时显著降低了客户端的时间和能量消耗。Kang等人[5]针对嵌入式系统中广泛使用的内存不安全C/C++代码导致的堆内存安全问题，提出了基于ARMv8-M架构的微胖指针方案，实现了一种高效的边界检查机制，确保嵌入式系统的堆内存安全，同时性能开销较低。Guo等人[6]针对ARM TrustZone缺乏现代I/O设备驱动程序的问题，提出了一种称为“driverlets”的新型方法。通过记录和回放全功能驱动程序与设备的交互过程，生成最小可行的驱动程序，解决了TrustZone中安全I/O的关键挑战。

(2) 安全管理机制

高沙沙等人[7]针对现有基于MILS架构的嵌入式操作系统在任务故障后无法实现功能重构和实时动态加载的问题，提出了面向任务的多级安全域动态管理架构。通过安全域管理、故障监控和功能重构模块，实现任务在特定安全域内的动态迁移与功能恢复。确保了任务在故障后的持续运行，提升了系统的可靠性和安全性。Feng等人[8]针对现有I/O隔离机制在TEE系统中存在性能和可扩展性问题，提出了sIOPMP机制。通过多级树形检查器、可挂载IOPMP和IOPMP重映射等设计，实现了高效且可扩展的I/O保护。多级树形检查器支持超过1000个硬件区域，可挂载IOPMP支持无限数量的设备，而IOPMP重映射机制则允许设备在热和冷状态之间动态切换，以适应不同的I/O工作负载。Guo等人[9]针对大规模关键任务IoT系统的可扩展性、安全性和实时性挑战，提出跨层解决方案，涵盖数据驱动建模、动态资源管理、形式化漏洞检测和自适应传感器攻击防御。通过层次化控制架构和分布式资源管理，提升了系统的可扩展性、安全性及对物理攻击的实时响应能力。

(3) 漏洞模糊测试

嵌入式操作系统的漏洞可能导致系统崩溃、数据泄露甚至恶意攻击，严重威胁关键基础设施的安全。传统的测试方法难以全面、高效地发现这些漏洞，因此，漏洞检测与模糊测试技术成为保障嵌入式系统安全的重要手段[10]。早期的黑盒测试方法虽然简单易行，但效率低下，难以覆盖复杂的代码路径。随着技术发展，覆盖引导模糊测试等方法逐渐兴起，但仍存在对特定架构依赖强、生成测试用例质量不高等问题。Shen等人[11]提出的Tardis是一种覆盖引导的嵌入式操作系统模糊测试工具。它通过在编译时对目标操作系统进行插桩，实现与操作系统无关的代码覆盖收集和分析。具体来说，Tardis使用基于位图的存储方式记录每个执行的代码分支，并通过共享内存缓冲区将覆盖信息传递给主机端的模糊测试引擎。主机端的分析模块利用简单的位运算快速判断测试用例是否触发了新的代码路径，从而指导后续的测试用例生成和变异。Zhang等人[12]提出的ECG利用大型语言模型(LLM)来增强嵌入式操作系统的模糊测试能力。ECG首先通过静态分析提取目标系统调用的参数类型和约束信息，并结合文档生成实际的C代码示例。然后，利用strace捕获执行跟踪信息，将其转换为系统调用规范。在模糊测试过程中，ECG使用LLM生成测试用例，并根据执行反馈动态调整生成策略，以提高测试用例的质量和覆盖范围。

(4) 安全检测与验证

如何有效检测并修复嵌入式系统中的潜在漏洞，以及如何从形式上验证其安全性，仍然是嵌入式系统领域的热点问题。Liu等人[13]针对嵌入式操作系统固件缺乏有效漏洞检测手段的问题，提出EmbSan框架，利用动态插桩和解耦的主机运行时库实现对多种嵌入式操作系统固件的漏洞检测，成功检测出实际漏洞，且性能开销与现有内核检测工具相当，提升了检测效率与适应性。Athalye等人[14]针对硬件安全模块(HSM)从应用规范到电路实现的安全性和无泄漏验证问题，提出Parfait框架，通过信息保持精化(IPR)的形式化方法，利用中间抽象层次和传递性信息保持精化实现模块化验证，成功验证了四个HSM实例的安全性，确保其无正确性、安全性和漏洞泄漏，且具有良好的可扩展性和适应性。Pasquier等人[15]针对嵌入式操作系统安全分析工具选择困难的问题，提出通过构建设备驱动案例研究并应用多种分析技术(如模型检查、代码分析等)来评估工具适用性，实现了对嵌入式操作系统模型和代码分析工具的部分互补性分析，为工具选择提供依据。

3. 调度优化

嵌入式系统由于资源受限、能耗敏感与实时性要求高，其调度机制需在性能、功耗与任务时限之间实现最优平衡。针对这一需求，研究者提出了多种资源与任务协同优化策略，如图3所示。

Figure 3. Scheduling optimization in embedded operating systems

图3. 嵌入式操作系统中的调度优化

Mamata等人[16]提出了一种面向资源优化的调度模型，以最小化实时嵌入式系统中的资源过度配置。该方法利用供需约束函数优化资源分配，在保证任务时限的同时，平均减少了13%的资源使用量。Reghenzani等人[17]提出了一种多级动态电源管理(DPM)策略，以优化异构处理器上实时有向无环图任务的能耗。该方法结合任务概率执行时间分析，动态调整处理器C-States，在保证硬实时约束的前提下，实现了最高32.1%的能耗降低，并通过仿真和实测验证了优化效果。Li等人[18]提出了一种协作式内存和进程管理框架ICE。ICE通过在内存页面故障时冻结后台进程，并基于内存压力动态解冻，从而有效减少后台应用引发的内存故障，提升了1.57倍的帧率和减少了交互警告。Jiang等人[19]提出了一种面向并行实时系统的缓存与算法协同设计方案。该研究引入了一种虚拟索引、物理标记、选择性包含的L1.5缓存，并提出了针对有向无环图任务的调度方法，以减少数据传输延迟并降低任务完工时间。Wu等人[20]提出了一种预测性共享最后级缓存(LLC)分区的方法，方法采用了1S-TDM调度策略并结合硬件扩展集合序列器，显著降低了最坏情况延迟(WCL)，提高了共享缓存分区的利用效率。Chen等人[21]提出了一种基于细粒度共享资源模型的改进阻塞分析方法，解决并行实时任务中非抢占式自旋锁的阻塞问题。方法通过线性优化技术实现了无膨胀分析，避免了传统分析中的过度表示。

4. 文件系统

嵌入式设备具有存储资源受限、计算能力有限、成本敏感等特点，导致嵌入式系统在文件系统设计方面面临重大挑战。现有研究从空间管理粒度与元数据精简、数据结构与页分配优化、压缩/缓存以抑制读写放大、以及高效垃圾回收策略等方向展开，如图4所示。

Figure 4. File system optimization techniques in embedded operating systems

图4. 嵌入式操作系统中的文件系统优化技术

为此，Zhang等人[22]提出了一种新型嵌入式文件系统LOFFS，以解决嵌入式文件系统由于内存消耗过多和启动功能差而无法有效管理大容量NAND闪存的问题。LOFFS重新定义了空间管理粒度并简化元数据以加快挂载程序，为不同类型的文件提出了混合文件结构，以解决性能和内存占用之间的权衡，从而以最小的资源占用实现高性能。Jiang等人[23]为减少数据传输延迟及内存占用，采用B+树来管理连续物理空间，令每个叶节点指向一个段列表，引用一组物理上连续的页面。确保在低内存占用的情况下实现确定性的文件数据定位。为了提升写操作性能，MIFS提出了包括顺序按需分配以及单页分配的双模式页分配策略，将根据不同的情况采用不同的模式以减少执行时间。Gao等人[24]针对嵌入式系统的有限存储空间和有限运行时内存，分析了现有压缩只读文件系统中的I/O放大和冗余计算的问题，认为传统压缩只读文件系统的问题在于采用了固定大小的输入压缩策略。因此，EROFS引入了固定大小的输出压缩策略，并设计了高效记忆的解压方案，以缓解读放大率问题并减少不必要的计算。

闪存采用页和块的粒度对物理空间进行管理，大于现有嵌入式文件系统的逻辑管理单位。因此，将嵌入式文件系统移植到闪存介质之上将导致逻辑I/O粒度和物理I/O粒度不匹配的问题，手动扩大文件系统系统的逻辑I/O粒度将带来大量的移植工作，也将产生写放大问题，导致额外的空间消耗和性能降低。Zhang等人[25]提出了存储中间件NV-middle，保留了嵌入式文件系统原有的操作粒度，定义了空间状态图来标识属于同一物理块的逻辑块的状态，并根据逻辑/物理页面与块之间的关系以及数据访问的局部性，优化了内存使用策略和页面缓存机制。此外，Zhang等人[26]提出了一种新型嵌入式文件系统ELOFS，重新定义了空间管理粒度并简化了元数据以提升性能。同时根据目录和数据文件不同的访问模式设计了混合文件结构，以日志方式组织频繁更新的目录文件，将数据页分散在闪存上，并通过D-index进行索引。Sun等人[27]发现闪存垃圾回收的开销占总I/O时间的85%以上，降低了嵌入式文件系统的性能，并缩短了闪存芯片的耐用性，而删除不同热度的数据块的影响也有所差异。针对上述问题，该文献提出了低复杂度、高效率的GC方案LightGC，基于页面更新间隔来衡量页面的热度，并使用hot-delay策略衡量擦除块在未来一段时间内的影响，以选择垃圾回收的数据块。

5. 发展趋势

人机物融合智能泛在操作系统持续发展：梅宏院士等[28]探讨了面向人机物融合泛在计算的泛在操作系统，认为泛在操作系统是操作系统发展的新蓝海。在此概念下，北京大学发布了一款面向工业物联场景的泛在操作系统——XiUOS矽璓工业物联操作系统[29]。Syswonder社区正推动在不同应用场景中的泛在操作系统的构建及技术应用，开发了基于Rust语言开发的Unikernel操作系统以及基于硬件分区的Hypervisor [30]。

随着人、机、物的深度互联融合，泛在操作系统正由“场景适配”向“场景自适应”方向演进。未来的泛在操作系统将进一步实现跨平台、跨终端的智能协同，支持多态计算与实时资源编排。同时，可信计算与边缘智能将成为推动泛在操作系统落地的关键力量。未来，泛在操作系统有望在工业互联网、智慧城市和车联网等场景中形成生态级应用集群，构建以操作系统为核心的智能底座。

AI原生嵌入式操作系统：学术界着重研究高效、轻量化的智能嵌入式操作系统。Luo等人[31]提出了首个由深至浅的可转换神经架构搜索(NAS)范式——Double-Win NAS (DW-NAS)，探索兼具深层网络高精度和浅层网络高效硬件性能的网络架构。Pasricha等人[32]探讨了在物联网平台上部署机器学习软件的挑战，提出了简化部署的策略。Van Delm等人[33]提出了HTVM编译器，最大限度地提高异构加速器的利用率并减少数据移动。Han等人[34]提出了DTMM库，旨在解决在物联网设备上高效部署和执行机器学习模型的挑战。Xu等人[35]提出了一种超轻量级神经网络，专为资源受限的低功耗设备设计。

AI原生嵌入式操作系统正逐步由上述的融合AI模式迈向AI内生模式。未来系统将配备以AI推理引擎、模型/智能体调度器等构成的AIOS内核，形成AIOS内核与传统内核的深度共生架构。AI原生OS不仅将赋能边缘端智能感知、决策与自优化能力，还将推动软硬件协同设计的新范式。随着TinyML、边缘大模型与自适应能耗管理技术的发展，AI原生操作系统有望成为物联网时代智能计算的关键支撑层。

Rust成为热门内核开发语言：Rust语言凭借其内存安全和类型安全的特性，逐渐成为嵌入式操作系统开发的热点工具。Li等人[36]对Rust-for-Linux项目进行了首次实证研究，分析了Rust如何与Linux内核融合以及其在安全性和性能方面的表现。Hu等人[37]提出一款基于Rust的高性能嵌入式单核内核，利用Rust的内存安全特性减少错误并确保可靠的资源管理。Narayanan等人[38]开发了一个基于Rust开发的新型操作系统，通过语言级别的类型和内存安全实现轻量级细粒度隔离。Ma等人[39]探讨了在基于Rust的软实时嵌入式操作系统中实现堆栈展开和恐慌恢复的可行性，针对资源受限环境提出了几种新颖的优化方法。中关村实验室联合发布的“星绽OS”采用Rust语言构建框内核架构，最大限度减少非安全代码的比例，解决了传统C语言在内存安全方面的潜在问题。此外，Rust在嵌入式操作系统领域的发展也存在一些问题，如Sharma等人[40]系统性研究了Rust在嵌入式系统中的应用现状和挑战，研究表明Rust需要进一步改进工具支持、增强与现有代码库的互操作性，并为开发人员提供更好的资源和支持，以推动Rust在嵌入式领域的普及。Ayers等人[41]研究了Rust在嵌入式系统中二进制文件过大的问题，提出了减少二进制文件大小的编程原则。

随着Rust-for-Linux项目成熟及产业生态完善，Rust有望成为下一代操作系统内核的主流开发语言。未来的发展重点将聚焦于工具链完备性、实时性优化及与C/C++生态的无缝互操作。同时，Rust在安全物联网、车载控制系统及国防级实时系统中的应用将进一步扩展，形成安全可信且高性能的系统开发新范式。

6. 结语

随着物联网、人工智能、工业自动化等技术的迅猛发展，嵌入式操作系统正从传统的“轻量、实时”向“安全、智能、泛在”方向演进，成为支撑未来智能互联世界的关键基础软件。本文系统梳理了嵌入式操作系统在安全架构、调度优化、文件系统等方面的研究进展，并探讨了智能化、泛在化及基于Rust语言的安全开发趋势。

未来的嵌入式操作系统将面临更加复杂的应用场景与更高的性能要求，不仅要保障系统的实时性与稳定性，还需应对多样化的安全威胁与资源受限的挑战。因此，发展具备自适应能力、智能协同机制与高可信保障的新型嵌入式操作系统，将是学术界与产业界共同努力的方向。

嵌入式操作系统的发展不仅是技术演进的体现，更是推动数字社会、智能产业和绿色计算的重要力量。随着新架构、新语言和新模型的不断涌现，嵌入式操作系统将在万物互联时代扮演更加核心的角色，助力构建更加安全、智能与可持续的计算生态。

基金项目

国家自然科学基金面上项目(62372073)，面向新型可计算存储的高效任务管理及调度研究，2024.1~2027.12。

参考文献