Costruire la safety a partire da security e predicibilità: un framework centrato su CHERI per sistemi autonomi

Safety and security in autonomous and embedded systems are closely related, yet they address different challenges. Safety requires predictable and reliable systems, as non-determinism can lead to unsafe behavior. Security, on the other hand, protects the system from malicious tampering. Nevertheless, security breaches can also compromise safety. As autonomous technologies such as drones, self-driving vehicles, and industrial controllers proliferate, ensuring robust safety requires architectures that combine strong security mechanisms and predictable system behavior. Achieving these requirements is challenging: conventional embedded systems often prioritize real-time predictability at the expense of security, leaving critical components vulnerable. Such vulnerabilities can be exploited by attackers to alter execution or corrupt data, with memory-related vulnerability being the most common and critical. Here, CHERI (Capability Hardware Enhanced RISC Instructions) provides a hardware-software approach that extends traditional processor architectures (e.g., Arm, RISC-V, and x86) with capabilities—pointers with metadata such as bounds and permissions—, preventing unauthorized memory access and mitigating common memory vulnerabilities. This thesis explores CHERI potential for safety- and security-critical systems, starting with a comprehensive survey of the CHERI ecosystem, covering hardware designs and software—including compilers, OSs, libraries, and applications—and highlighting benefits, adoption challenges, and opportunities. Building on this understanding, CHERI is applied to drone systems using the PX4/NuttX framework, isolating sensors, communication modules, and flight-critical components into CHERI-based compartments. We evaluate the overheads of this architecture on a CHERI RISC-V CVA6 core on FPGA and demonstrate that hardware-enforced compartmentalization is practical and can improve system safety. We also evaluate CHERI on the Arm Morello platform, a prototype supporting CHERI, for high-performance networking. User-space network stack components—including Ethernet driver, TCP/IP library, and applications—are compartmentalized to enforce memory safety and isolate faults. Results show that strong security can coexist with high-performance networking, though synchronization overhead remains a key consideration. While CHERI provides strong security guarantees, safety-critical systems also rely on predictable and deterministic communication. Modern systems are deployed on highly interconnected, multi-platform architectures that require high-bandwidth utilization. To ensure deterministic communication of critical data flow, Time-Sensitive Networking (TSN) protocols are used. We design Time-Sensitive Autonomous Architecture (TSAA) integrating virtualization, TSN, and real-time operating systems to meet the stringent timing requirements for autonomous vehicles. We demonstrate, in both emulated environments and on a real vehicle, that safety can also be improved through predictability, and TSAA illustrates a scenario where CHERI could strengthen safety by isolating critical components. Overall, this thesis shows that achieving safety in autonomous systems requires addressing multiple dimensions. Strong security mechanisms, enabled by CHERI-based compartmentalization, and predictable communication, enabled by TSN protocols, each contribute to system safety. By approaching safety and security from these complementary angles, this work provides a conceptual and practical framework for robust embedded systems, offering a roadmap for next-generation autonomous technologies.

Safety e security nei sistemi autonomi e embedded sono strettamente correlate, pur affrontando sfide diverse. La safety richiede un comportamento prevedibile e coerente del sistema, perché la non-deterministicità può provocare comportamenti non sicuri. La security, invece, protegge da manomissioni malevoli, tuttavia, una violazione può compromettere anche la safety. Con la diffusione di tecnologie autonome come droni, veicoli a guida autonoma e controllori industriali, garantire una safety robusta richiede architetture che combinino solidi meccanismi di security con un comportamento prevedibile. Tuttavia, i sistemi embedded tradizionali spesso privilegiano la prevedibilità a scapito della security, lasciando i componenti critici vulnerabili. Tra le vulnerabilità più comuni e pericolose ci sono quelle legate alla memoria, che possono essere sfruttate per alterare l'esecuzione o corrompere dati. CHERI (Capability Hardware Enhanced RISC Instructions) offre un approccio hardware-software che estende architetture tradizionali (come Arm, RISC-V e x86) con capabilities—puntatori con metadati come limiti e permessi—per prevenire accessi non autorizzati e mitigare le vulnerabilità di memoria più diffuse. Questa tesi esplora il potenziale di CHERI nei sistemi critici per safety e security. Per costruire le basi dell'analisi, è stato condotto uno studio dell'ecosistema CHERI, che ha considerato hardware e software—includendo compilatori, sistemi operativi, librerie e applicazioni—e evidenziato vantaggi, sfide di adozione e opportunità. Sulla base di questa analisi, CHERI è stata applicata a sistemi droni tramite il framework PX4/NuttX, isolando sensori, moduli di comunicazione e componenti critici in compartimenti protetti da CHERI. Gli esperimenti condotti su CHERI RISC-V CVA6 su FPGA valutano i costi aggiuntivi e dimostrano che la compartimentalizzazione mediante CHERI è fattibile e può migliorare gli aspetti di security e safety del sistema. CHERI è stata valutata anche sulla piattaforma Arm Morello, un prototipo che supporta CHERI, in scenari di networking ad alte prestazioni. I componenti dello stack di rete, ovvero driver Ethernet, librerie TCP/IP e applicazioni, sono stati compartimentalizzati per garantire la sicurezza degli accessi in memoria. I risultati mostrano che una security robusta può coesistere anche in questi contesti, nonostante i costi introdotti. Seppur CHERI offra solide garanzie di security, i sistemi critici richiedono anche comunicazioni prevedibili e deterministiche. I sistemi moderni, distribuiti su architetture multi-piattaforma altamente interconnesse, necessitano di una elevata larghezza di banda. Per garantire flussi di dati deterministici, vengono utilizzati protocolli Time-Sensitive Networking (TSN). In questo contesto, è stata progettata la Time-Sensitive Autonomous Architecture (TSAA), che integra virtualizzazione, TSN e sistemi operativi real-time per rispettare i vincoli temporali dei veicoli autonomi. Gli esperimenti condotti, sia in ambienti simulati che su un veicolo reale, mostrano che la prevedibilità migliora la safety complessiva. Inoltre, TSAA rappresenta uno scenario in cui CHERI potrebbe rafforzare la security isolando componenti critici, migliorando ulteriormente la safety del sistema. Per concludere, questa tesi dimostra che garantire la safety nei sistemi autonomi richiede un approccio olistico. Meccanismi di security robusti, basati sulla compartimentalizzazione data da CHERI, e comunicazioni prevedibili tramite TSN incrementano entrambi la safety del sistema. Considerando la safety da queste prospettive complementari, questa tesi fornisce un framework concettuale e pratico per la realizzazione di sistemi embedded più robusti.