1. 课程导入与S32G平台概览
智能网关正在从“多盒子拼接”走向“单芯片多域融合”。传统网关通常由CAN网关、以太网交换机、应用处理器、安全模块等多颗芯片组成，线束复杂、成本高、升级困难。而NXP S32G系列处理器把实时域、应用域、网络加速与硬件安全引擎集成到一颗芯片上，使“一颗芯片承载整车中央网关”成为现实。但随之而来的问题是：多个功能域共享同一颗芯片，如何保证它们互不干扰、各自满足实时性与安全等级要求？这正是本课程要解决的核心工程问题——虚拟化与服务隔离。
一、工程目标：为什么要做隔离
在S32G上，典型场景是：一个实时域运行CAN/LIN网关转发任务，要求微秒级确定性延迟；另一个应用域运行Linux，承载OTA、诊断路由、车云通信等业务。如果两者共享内存、外设与中断资源而不加约束，Linux侧的一次内存越界或中断风暴就可能拖垮实时转发，导致整车网络丢帧。因此工程目标可以归纳为三条：
- 时间隔离：实时任务的计算、中断、DMA带宽不被应用域抢占，最坏执行时间（WCET）可界定。
- 空间隔离：各域拥有独立的内存区域与外设访问权限，越权访问被硬件拦截。
- 故障隔离：某一域崩溃、重启或升级时，其他域继续运行，不产生级联失效。
这三条目标不是靠软件“约定”实现的，而是依赖S32G的硬件机制：MMU/MPU、外设域控制器、中断路由单元、以及Hypervisor对CPU核与内存的划分。
二、S32G芯片家族定位
S32G属于NXP面向汽车与工业的高性能实时处理器家族，内部按“实时域+应用域”双域架构组织。实时域基于Arm Cortex-M7内核集群，主频通常在400MHz量级，负责确定性控制与网络转发；应用域基于Cortex-A53集群，主频可达1GHz以上，运行Linux或QNX等富操作系统。两者之间通过片上互连与共享内存通信，而不是外部总线。
网络能力是S32G的突出特征：它集成多个千兆以太网控制器、CAN FD控制器（LLCE）以及硬件包转发引擎（PFE）。PFE可以在不占用CPU的情况下完成以太网帧的过滤、路由与转发，这对网关吞吐至关重要。安全方面，芯片内置硬件安全引擎（HSE），提供密钥存储、加解密与安全启动，是服务隔离中“可信根”的物理基础。
家族内部按核数、网络端口数、存储容量分档，例如S32G274、S32G378、S32G399等型号，选型时主要看：需要几路CAN FD、几路以太网、应用域算力需求以及功能安全等级（ASIL-B/D）。本课程以具备双域与PFE的典型型号为教学对象，具体参数以示例方式给出，实际项目需以对应数据手册为准。
三、典型网关拓扑与数据流
下图给出一个典型的中央网关拓扑：左侧连接车身CAN FD网络，右侧连接以太网骨干与诊断接口，中间是S32G内部的双域与硬件加速单元。图中重点表达的是“数据从哪进、经谁处理、到哪去”，以及隔离边界落在什么位置。
从图中可以看到，隔离边界并不在芯片外部，而是穿过芯片内部：实时域与应用域之间用红色虚线表示，共享硬件资源（PFE、HSE、共享内存、中断路由）必须通过受控通道访问。理解这条边界的位置，是后续配置MPU区域、分配中断、划分DMA通道的前提。
四、课程实战项目说明
本课程围绕一个可运行的实战项目展开：在S32G上构建“实时CAN网关 + Linux应用域”的双域隔离系统。项目不是抽象演示，而是有明确的输入、操作与验收条件。
项目输入包括：一块S32G开发板（具备双域与PFE）、CAN FD分析仪、以太网抓包工具、以及NXP提供的BSP与Hypervisor镜像。项目要完成的关键工作有：
- 划分内存：为实时域保留一段连续、非缓存的SRAM区域，为应用域分配DDR区间，并在MPU/MMU中设置访问权限。
- 分配外设：把LLCE的CAN通道划给实时域，把以太网控制器划给应用域，PFE按队列分流。
- 建立通信：在共享内存上定义环形缓冲区，实时域写入转发统计与报文，应用域读取并上报车云。
- 注入故障：在应用域制造内存压力或进程崩溃，观察实时域转发延迟是否仍满足约束。
验收判据示例（教学假设值，非实测）：实时域CAN转发周期抖动不超过±20μs；应用域重启期间实时域丢帧数为0；越权访问共享内存时被MPU拦截并产生可记录的错误中断。这些判据把“隔离”从概念变成了可观测的指标。