改善對分布式系統和多核系統的支持，RTOS可以滿足汽車應用的需求。

　　我們的街道和高速公路正在變成嵌入式網絡流動的線路圖，這些由許多嵌入式系統組成的網絡裝在車輪上，隨處流動。現代汽車完全可以說是一個計算平臺，它有超過50個嵌入式處理器，計算機軟件代碼超過百萬行。由于汽車制造商的注意力已經集中在“在任何可能的地方使用非定制的軟件”，所以汽車公司內部的汽車規格的軟件開發部門未來的工作重點是將其實踐經驗和獨特的創造力用于汽車軟件的需求制定和標準化方面。

　　嵌入式系統的許多基本問題都可以通過實時操作系統(RTOS)來解決。一個很好的例子就是歐洲汽車工業OSEK/VDX 組織已經為汽車分布的嵌入式控制單元定義一個標準的架構。OSEK/VDX 要求RTOS能夠很好地滿足汽車嵌入式控制單元在動力系統、底盤與懸梁、車身電子等方面的需求。OSEK/VDX正在成為當前國際汽車工業界占據主導地位的汽車電子開放式系統及其接口的軟件規范體系。

　　顯然，OSEK/VDX還不能滿足未來汽車應用在高性能傳導系統、信息娛樂、安全與生命等方面的需求。很多人認為實時操作系統（RTOS）相當于軟件中的賽車，要求小、快、高度協調。除此之外，一個好的RTOS能使應用系統始終滿足時限的要求，能對任何時間要求苛刻的事件做出響應，在正確的時間做一個正確的動作。

　　為高端汽車應用的可供選擇的大量RTOS正在日益完善，以適應這些需求。

　　RTOS內核

　　大多數的RTOS內核均支持任務調度的基于優先權搶先占有機制。在RTOS中，過程按優先級執行。時限緊迫的過程投入運行時，可以立即從低優先級的過程接管CPU。高優先級過程在結束前，能一直繼續運行，除非它被一個更高優先級的過程所搶占。這種“搶占” 調度方式可以使對于時間要求嚴格的過程滿足時限的要求。

　　一些RTOS也提供一些已經實踐檢驗的任務調度選擇，如終任務調度或者分區調度等。它也提供存儲器分配調度，以管理大容量RAM存儲空間，就像設備I/O管理程序管理和組織大量的不同的設備驅動程序一樣。例如，一個設備I/O管理程序對于管理一系列通信設備驅動程序如汽車遠程通信系統中經常出現的驅動程序等是非常有效的。驅動程序可以包括：控制區域網 CAN (Controller Area Network)、局部互聯協議LIN (Local Interconnect Network)、IEEE1094、高速容錯網絡協議FlexRay和用于汽車多媒體和導航的媒體定向系統傳輸MOST (Media-Oriented Systems Transport)等。

　　為了提高系統的可靠性，RTOS一方面要對存儲器進行保護;另一方面是在分布式系統環境下，可以將應用的任務分派到多個CPU，即使一個CPU失效，也不會停止應用程序的工作。

　　分布式應用有它自己要解決的問題，例如，對大多數的RTOS，一般需增加為應用服務的專用的網絡程序，使接在網絡上的CPU能相互“對話”，進行服務。此外對于大多數RTOS，驅動程序、協議和應用程序是與內核緊密相連的，要把它們從一個核搬移到另一個核，需要建立一個適合各個CPU的新內核的映像，并仔細地對它進行測試。

　　微核RTOS從兩方面來解決這個問題：首先，使應用程序、協議和驅動程序全都與操作系統脫離，從而使它們從一個CPU 搬移到另一個CPU時，可以不需要對內核重新配置；其次，在微核操作系統中應用程序間通信的典型情況是通過傳遞消息進行的，如果實現得好，可不需要專用的網絡程序。例如，當應用A發送一個消息到應用B時，它不用去了解應用B是使用同一個CPU板，還是由網絡連接的另一個CPU。結果任何CPU上的一個過程可以對任何其他機器上的任何資源進行顯式的存取，這個網絡就像單個計算機那樣工作。

　　設備I/O監控程序提供一個標準的通道，讓應用軟件任務可以操作各種驅動程序。未來RTOS內核解決的主要問題應該是內部任務的通信與同步。

　　間接與直接的消息傳遞機制

　　大多數的RTOS為內部任務的通信提供了多種形式的異步消息傳遞機制。異步消息傳遞機制是對數據傳輸從一個任務到另一個任務的一種簡單和松散連接方式。一個任務給另一個任務傳遞一個消息時，并不用等到接受任務發回任何的確認信息。

　　不同的RTOS實施異步通信機制的方式各不相同。不過簡單的概念型的方法被稱為直接異步通信機制，就是一個任務直接對另一個任務發送消息，如圖1所示。

圖1 內部任務通信的直接消息傳遞機制

　　這是一種直截了當和的軟件設計模型。而在另一方面，采用間接異步消息傳遞機制，應用軟件會受到任務發送和接受消息的消息隊列的影響，如圖2所示，這是一個吃力不討好的軟件設計模型。

圖2 內部任務通信的間接消息傳遞機制

　　對于一些高復雜性應用，如汽車信息娛樂（Infotainment）系統和安全系統，通過采用內部任務直接消息傳遞機制可以很好地控制軟件的復雜性。基于同樣的原因，直接消息傳遞機制在多核、分布式多核處理器和容錯汽車系統設計中也是的通信機制。

　　對分布式和多核系統的支持

　　通過一個可選的附加的被稱為Link Handlers的RTOS部件，就可以支持分布式和多核系統。

圖3 Link Handlers提供的通過處理器邊界的消息傳遞方式

　　Link Handlers為運行在不同的處理器之間的應用提供一個異步消息傳遞方式，它是在傳統的通信網絡環境下的和普遍的選擇。Link Handlers通過使用一樣的異步直接消息傳遞模型，并將其擴展到了分布式和多核多處理器系統來完成這一工作。目前大多數的RTOS內核在同一處理器中的任務到任務的通信就采用了異步直接消息傳遞模型。它保證在系統里各種不同的處理器是完全對等的。

　　Link Handlers并不需要應用軟件理解分布式系統的結構。實際上，一個任務的通信助手所在的位置對應用軟件是透明的：僅當消息在一個任務傳向另一個任務時應用代碼才會連接。Link Handlers為消息通過處理器邊界提供邏輯通道，而消息通過處理器的方式對應用軟件是透明的。

　　當使用Link Handlers時，連接各種處理器的物理通道可選的范圍很廣，如網絡、串行或總線連接，以及共享存儲結構。這些連接基于Handlers的透明通信模型，使得在一個分布式汽車系統里采用異構處理器包括數字信號處理（DSP）成為可能。

　　高安全性和高可用性支持

　　除了完成消息傳遞以外，Link Handlers也必須與運行在其他處理器上的“監視”任務協同工作，而這些處理器的出席對一些應用是至關重要的。當一些關鍵任務失敗或者變得難以實現時，在任何處理器上運行的其他的任務會很快得到出現問題的通報。這些支持“監視眼”機制的RTOS對設計高安全、高可用性和基于冗余的容錯系統大有好處。RTOS的Link Handlers在容錯系統探測和報告上有一定的開銷，因此卸載很多與此相關的應用代碼也很必要。

　　下一代的RTOS也應該提供快速的應用軟件現場在線更新工具，不需要應用系統停止工作，以重新上載、修訂或者卸載軟件。這一功能通常被成為熱交換。監視眼和熱插拔一起成為RTOS基層架構的主要內容，支持高安全性和高可用性系統的設計。

　　內存保護

　　內存保護是面向安全的RTOS的另一個重要因素。　RTOS應該好好利用存儲器管理單元，這是一個大多數現代微處理器中都有的構成部件。以傳統的“平鋪”（flat）體系結構為例，大多數“成品的”或“自建的”RTOS仍在使用這種體系結構。它把所有的模塊放在同一個地址空間中，作為操作系統的內核，沒有任何存儲器的保護。結果任何模塊，不管它是多么無關緊要，也能通過內核對存儲器進行重寫，有可能導致整個系統的崩潰。

　　有少數的RTOS針對這個問題，使應用程序運行在分離的有存儲器保護的地址空間。RTOS與處理器硬件的MMU（內存管理單元）一起保護處理器內存免受非授權的存取訪問。如果一個應用程序試圖侵害存儲器，MMU就會捕獲這個錯誤，從而把這個問題隔離開來。但不幸的是，這些操作系統仍和驅動程序、協議、文件系統綁在一起，并且其他系統可對此內核服務，從而使得這些模塊中的任何一個都能導致內核發生致命的錯誤。

　　不過，一些RTOS 的微核體系結構則向前邁了一步，可使任何系統級的軟件部件在其各自的MMU所保護的地址空間運行。用這種方法，出錯的驅動程序和協議則不再成為單獨起作用的失效點，而是可以在它們引起其他服務失效前，就使其停止或重新啟動，而不必重新開機引導。

　　產生的結果是完全獨立的軟件擁有自己獨立的內存空間地址。內存管理設備在其造成諸如數據寫進了距離自己很遠的地址一類的危害前，可以中途阻止迷失方向的存取訪問。

　　這些工具在汽車運行中將可以監視應用軟件的安全和運行情況。