2、进程与线程安全模型：进程隔离机制、线程安全策略、进程间通信(IPC)安全

好，咱们进入第二章。这一章我打算聊聊QNX里最核心的安全机制——进程与线程的安全模型。说实话，这部分内容我每次讲课时都会多花些时间，因为它直接决定了你的系统到底有多“硬”。

2.1 进程隔离机制：为什么QNX不怕“一颗老鼠屎坏了一锅粥”

先问大家一个问题：一个进程崩溃了，凭什么不能影响其他进程？

在Linux上，如果你写了个野指针，运气不好可能把整个系统搞挂。但在QNX里，这种事基本不会发生。为什么？因为QNX的进程隔离是“真隔离”，不是做做样子。

我个人习惯把QNX的进程隔离理解为“每个进程住单间，门锁死，窗户焊死”。每个进程有自己的地址空间，有自己的权限令牌，谁也碰不到谁的内存。

2.1.1 地址空间隔离

每个进程拥有独立的虚拟地址空间。这意味着进程A的0x1000地址和进程B的0x1000地址，物理上完全是两码事。我曾经在项目中遇到一个情况：一个驱动进程因为内存越界写坏了数据，但其他进程完全不受影响。排查时我只需要重启那个驱动进程，整个系统照常运行。

2.1.2 进程权限令牌（Process Token）

每个进程在创建时，都会被分配一个唯一的权限令牌。这个令牌决定了它能访问哪些资源、能调用哪些系统服务。说白了，这就是进程的“身份证”。

我记得有一次调试一个安全模块，发现某个进程明明有权限却访问不了共享内存。查了半天，原来是它的令牌在fork时没有正确继承。嗯，这种坑我踩过，你们以后也要注意。

2.2 线程安全策略：多线程不是“多个人干一份活”那么简单

线程安全，说白了就是“多个线程同时访问同一份数据时，数据不会乱掉”。但QNX的线程模型比Linux要严格得多，尤其是在实时性和安全性上。

2.2.1 互斥锁与优先级反转

QNX的pthread_mutex_lock支持优先级继承协议。这是什么意思？

假设一个低优先级线程拿着锁，一个高优先级线程在等这把锁。如果没有优先级继承，低优先级线程可能被其他中优先级线程抢占，导致高优先级线程无限等待——这就是经典的“优先级反转”。

QNX的解决方案是：低优先级线程在持有锁期间，临时提升到等待线程的优先级。这样它就能尽快执行完、释放锁。我建议你在所有实时线程中使用PTHREAD_PRIO_INHERIT属性，别图省事用默认值。

// 正确的互斥锁初始化方式
pthread_mutexattr_t attr;
pthread_mutex_t mutex;

pthread_mutexattr_init(&attr);
pthread_mutexattr_setprotocol(&attr, PTHREAD_PRIO_INHERIT);
pthread_mutex_init(&mutex, &attr);

2.2.2 线程本地存储（TLS）

每个线程有自己的私有数据区域，这就是TLS。你想想看，如果多个线程共享一个全局变量，不加锁肯定出问题。但如果你用TLS，每个线程都有自己的副本，根本不需要锁。

QNX的TLS实现非常高效，我习惯用它来存储每个线程的上下文信息，比如错误码、日志ID等。

2.3 进程间通信(IPC)安全：QNX的“高速公路”也要设卡

QNX的IPC机制是它的看家本领。消息传递、共享内存、信号、事件……这些机制让进程之间可以高效通信。但通信越方便，安全隐患就越大。

2.3.1 消息传递的安全模型

QNX的消息传递是同步的、带权限检查的。发送方和接收方都必须经过内核的验证。说白了，内核就是那个“交通警察”，每一条消息都要过安检。

我记得在做一个车载系统项目时，需要让一个非特权进程向一个特权服务发送请求。如果不做权限检查，恶意进程就能伪装成合法进程，发送伪造指令。QNX的解决方案是：在接收端使用ConnectAttach()时，指定权限掩码，只有匹配的进程才能连接。

// 服务端：只允许特定进程连接
int chid = ChannelCreate(0);
struct _msg_info info;
// 在接收消息时检查发送方的PID和权限
rcvid = MsgReceive(chid, &msg, sizeof(msg), &info);
if (info.pid != expected_pid) {
    MsgError(rcvid, EACCES);
    continue;
}

2.3.2 共享内存的安全控制

共享内存是最高效的IPC方式，但也是最危险的。两个进程共享同一块物理内存，如果一个进程写坏了数据，另一个进程直接遭殃。

QNX的做法是：共享内存必须通过shm_open()和mmap()创建，并且可以设置访问权限。我建议你永远不要给共享内存设置“所有人可读写”的权限。哪怕调试阶段也别这么干，因为一旦上线忘了改回来，后果很严重。

2.3.3 信号与事件的安全处理

信号是异步的，处理起来要格外小心。QNX允许进程设置信号掩码，只接收自己关心的信号。我见过有人图省事，把所有信号都放开，结果一个SIGINT就把整个系统搞乱了。

正确的做法是：在进程初始化时，用SignalProcmask()屏蔽所有不需要的信号，只开放必要的几个。对于实时系统，我甚至建议只用SIGEV_PULSE这种QNX特有的安全事件机制。

2.4 总结：安全不是功能，是习惯

进程隔离、线程安全、IPC安全，这三者构成了QNX安全模型的基石。你想想看，一个系统如果连进程都隔离不好，线程之间互相踩踏，IPC通道形同虚设，那还谈什么安全？

我个人觉得，做嵌入式安全最重要的不是会用多少API，而是养成“默认不信任”的习惯。默认不信任其他进程，默认不信任共享数据，默认不信任IPC消息。只有这样，你的系统才能真正扛得住意外和攻击。

下一章我会讲文件系统与存储安全，到时候咱们再聊聊如何保护你的数据不被篡改。