2. 嵌入式系统与虚拟化基础

嵌入式多OS虚拟化并不是把服务器虚拟化简单“缩小”后搬进MCU或SoC，它面对的是资源受限、实时性敏感、外设强耦合的运行环境。要理解后续的Hypervisor设计、vCPU调度、Guest OS隔离与共享外设分配，必须先建立三个基础认知：嵌入式系统架构决定了硬件可被虚拟化的边界，实时操作系统决定了时间行为的约束，虚拟化分类决定了隔离与开销的取舍。

一、嵌入式系统架构：虚拟化的物理底座

典型嵌入式系统由处理器核、片上存储、外设控制器、中断控制器、时钟与电源管理、总线互连以及外部接口组成。与通用计算机不同，嵌入式SoC往往把多个功能单元紧耦合在一条或多条总线上，外设寄存器常以内存映射方式访问，中断直接绑定到特定核。这种结构带来两个直接后果：其一，Guest OS若直接访问物理地址，会破坏隔离；其二，外设若被多个OS共享，必须由Hypervisor介入仲裁。

从虚拟化视角看，嵌入式架构可划分为三层：硬件资源层（CPU、MMU/MPU、中断控制器、DMA、定时器）、虚拟化层（Hypervisor或分离内核）、客户层（RTOS、Linux、裸机应用）。Hypervisor的核心任务是把硬件资源层抽象成多个可独立运行的虚拟平台，同时保证关键实时路径不被破坏。

二、实时操作系统：时间确定性是硬约束

RTOS与通用OS的根本差异不在功能多少，而在时间行为的可预测性。RTOS通常具备优先级抢占调度、确定性中断延迟、固定大小内存池、优先级继承或天花板协议等机制。当多个RTOS或RTOS与Linux共存于同一硬件时，虚拟化层必须回答：谁拥有物理定时器？中断如何路由？调度延迟是否可界定？

常见实时指标包括中断延迟、任务切换时间、最坏执行时间（WCET）和抖动。虚拟化引入的额外一层调度会放大这些指标。因此，嵌入式Hypervisor常采用“分区+时间触发”或“实时vCPU优先”的策略，把安全关键任务放在高优先级vCPU上，把非实时负载放在低优先级vCPU上。

典型实时约束示例：
中断延迟        < 10 μs
任务切换        < 5 μs
调度抖动        < 2 μs
WCET余量        ≥ 30%

如果Hypervisor的调度器本身不是确定性的，那么即使Guest RTOS再优秀，整体系统也无法满足实时要求。这是嵌入式虚拟化与服务器虚拟化最本质的分水岭。

三、虚拟化基本概念与分类

虚拟化本质上是把物理资源抽象为多个逻辑实例，使多个执行环境彼此隔离。核心概念包括：Hypervisor（虚拟机监控器）、Guest OS（客户操作系统）、vCPU（虚拟处理器）、vMemory（虚拟内存）、vDevice（虚拟设备）、VM Exit/Entry（陷入与返回）、影子页表或二级地址转换（EPT/Stage-2）。

按实现位置可分为裸机型（Type-1）与宿主型（Type-2）；按虚拟化方式可分为全虚拟化、半虚拟化和硬件辅助虚拟化；按隔离粒度可分为虚拟机级、容器级和分区级。嵌入式场景更关注裸机型、分区级和硬件辅助方案，因为它们开销更低、确定性更好。

四、案例与场景：双OS车载控制器

以车载域控制器为例：一个Cortex-A核上同时运行Linux（负责信息娱乐与网络）和RTOS（负责刹车信号采集与执行）。Hypervisor把CPU核划分为两个vCPU，把定时器、中断控制器和CAN控制器纳入管理。RTOS的vCPU绑定固定物理核并配置最高优先级，Linux的vCPU运行在剩余核上。共享外设通过Hypervisor提供的虚拟通道访问，避免直接寄存器冲突。

该场景中，虚拟化的价值不是“跑更多OS”，而是把安全关键功能与非关键功能在同一芯片上隔离，减少ECU数量、降低线束与成本，同时保留实时确定性。

五、常见误区与复盘

• 误区一：虚拟化必然带来巨大开销。在硬件辅助与分区方案下，关键路径开销可控制在微秒级，但前提是Hypervisor调度器本身确定。
• 误区二：RTOS放进虚拟机后实时性不变。虚拟化层会引入额外调度与中断转发，必须重新测量中断延迟与抖动。
• 误区三：外设可以直接共享。多数外设寄存器不支持并发访问，必须分区、模拟或通过半虚拟化驱动串行化。
• 误区四：忽略启动顺序与故障隔离。Hypervisor应先于所有Guest启动，并具备故障域隔离能力，否则一个Guest崩溃可能拖垮全局。

综上，嵌入式系统架构提供了可虚拟化的物理边界，RTOS定义了时间确定性的硬约束，虚拟化分类则给出了隔离与开销之间的工程取舍。三者共同决定了后续Hypervisor选型、vCPU调度策略与设备共享方案的设计空间。