Resolving Conflicts Between RTOS Timekeeping and Uninterruptable Trusted Computing
本文通过引入一种安全驱动的同步机制，在不修改实时操作系统且不产生显著运行时开销的情况下补偿丢失的中断，从而解决了低功耗微控制器上实时操作系统计时与原子可信计算服务之间的冲突。
原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。 阅读完整免责声明
想象一个高安全级别的银行金库（安全世界）和隔壁一个繁忙喧嚣的办公室（非安全世界）。
在这个办公室里，墙上挂着一个非常重要的时钟，每 10 毫秒滴答一次。这个时钟是办公室的脉搏。它告诉工人们何时开始任务、何时休息、何时停止机器。这就是实时操作系统（RTOS）在智能家居设备或医疗设备等小型计算机芯片上的工作原理。
问题：不可中断的“金库”
现在，想象银行金库需要执行一项关键且秘密的操作——比如更改密码锁或验证签名。为了确保无人能潜入并篡改过程，金库管理员锁上门，并在整个作业期间关闭对讲系统。
在计算机术语中，这被称为原子执行。安全世界会禁用所有中断（包括办公室时钟的信号），以保护其秘密。
这里的冲突在于：
当金库被封锁且对讲系统关闭时，现实世界中的办公室时钟仍在滴答作响，但办公室里的工人们听不到它。
- 如果金库作业耗时较长，在工人们“失聪”期间，时钟可能已经滴答了 100 次。
- 当金库终于打开且对讲系统重新启用时，时钟硬件只记得一次漏掉的滴答。它会说：“好吧，这里有一次滴答！”然后继续运行。
- 其余的 99 次滴答永远丢失了。
办公室工人们现在认为只过去了 10 毫秒，但实际上已经过去了 1,000 毫秒。他们的内部时间表现在与现实完全不同步。如果他们正在控制机械臂或汽车刹车，这种“时间漂移”可能导致它们动作过晚或过快，从而引发事故。
论文的方案：“秘密计时员”
这篇论文的作者意识到，简单地等待办公室赶上来是行不通的，因为时钟硬件无法记住所有漏掉的滴答。
他们提出了一个巧妙的变通方案：金库管理员成为办公室的计时员。
以下是他们系统的工作原理：
- 在金库上锁之前：办公室时钟的信号被重新路由。它不再发送给办公室工人，而是直接发送给金库管理员。
- 在封锁期间：尽管办公室工人处于静默状态，金库管理员却在监听时钟。每次时钟滴答，管理员都会计数。
- 类比：想象管理员有一个记事本。每次时钟滴答，他们就在本子上写下"1、2、3……"。
- 金库打开之后：一旦秘密作业完成，管理员将记事本交还给办公室。
- 管理员不再只说“这里有一次滴答”，而是说：“在你们忙碌期间，我数了 100 次滴答。这是所有 100 次滴答的更新时间表。”
- 结果：办公室工人立即更新他们的内部时钟，释放那些本应在延迟期间启动的任务，并重新回到正轨。
为何这很特别
该论文强调了三项主要成就：
- 无需重建：他们无需重建办公室（操作系统）或安装新时钟（硬件）。他们只是改变了在金库作业期间谁在监听时钟。
- 它是无形的：办公室工人（应用程序）根本不知道金库曾经关闭过。他们只看到时间正确流逝。
- 适用于真实机器：作者在真实硬件（如 Raspberry Pi Pico 2 和 STM32 芯片）上测试了这一点，甚至模拟了电机控制器。他们表明，如果没有这个修复，电机就会漂移并失去控制；而有了这个修复，它就能完美平稳地运行。
核心结论
在一个小型计算机既需要超级安全（锁定以保护秘密）又需要超级快速（为实时任务保持完美时间）的世界里，这两个目标通常会相互冲突。
这篇论文提供了一个“翻译器”，让安全世界在忙碌时为非安全世界计数时间，确保当安全任务完成后，系统的其余部分确切知道当前时间，并能安全地继续工作。
您所在领域的论文太多了？
获取与您研究关键词匹配的最新论文每日摘要——附技术摘要，使用您的语言。