Tock：一款能在几十 KB 的内存里，安全地并发运行多个“互不信任”应用的嵌入式操作系统

说实话，我搞嵌入式开发也有些年头了。以前做智能传感器节点，最头疼的事儿就是：想把多个功能塞进一个Cortex-M单片机里，又怕一个传感器驱动崩了，把整个系统带挂。更别提要是跑第三方应用，那简直是提心吊胆——谁知道它会不会偷摸把底层寄存器给改了？

后来我翻到了一个开源项目，叫Tock。怎么说呢，它让我眼前一亮。这玩意儿不是一个普通的RTOS，它的设计思路简直就是为“多任务、互不信任”这种场景量身定做的。

它到底解决了什么痛点？

咱都知道，传统嵌入式系统里，所有代码基本都揉在一起。你的传感器采集、通信协议、业务逻辑，全在一个地址空间里跑。一个野指针，整片GG。

Tock的做法挺聪明的：用两层防护来保平安。

第一层，内核和驱动全部用Rust写。Rust这语言，编译阶段就把内存安全、类型安全给你卡死了。你别想越界访问，也别想用完就忘释放。这相当于从语言层面先把内核保护起来，驱动之间也不会互相踩踏。

第二层，它用了MCU自带的MPU（内存保护单元）。每个应用程序跑在自己的小隔间里，互相看不见，也碰不着内核。就算一个应用崩了，系统只是把它干掉，其他应用照跑不误。

我打个比方吧：以前做项目像是合租一间大开间，谁半夜放个屁都能熏醒全屋人。Tock就像是给每个人都配了独立卧室+隔音墙，还配了个靠谱的物业（Rust内核）。

你可能会问：用Rust写内核，那驱动也得用Rust？不一定。Tock允许你用C写驱动，但得通过Rust的安全封装来调用——这就跟给C代码加了个“安检口”，危险操作直接拦下。

另外，Tock里的应用程序不一定非要用Rust写。你可以用C、甚至汇编，只要遵循它定义的syscall接口就行。这一点很务实，毕竟很多老代码库懒得重构。

现在项目已经进化到2.x版本。我瞄了一眼更新日志，最大的改进是系统调用接口重做了，性能更好，同时也加强了应用间的隔离粒度。之前1.x的时代，一个应用最多只能分配固定内存，现在灵活多了。

有个做智能楼宇控制的朋友，他们一个网关节点上既要跑照明控制（高实时性），又要跑能耗分析（大数据量），还得跑一个第三方的空气质量检测算法（闭源，不敢信）。用传统方案，这仨放一起总出诡异死机。后来换了Tock，把那个闭源算法扔进一个隔离应用里，它再怎么折腾也污染不了照明控制的核心逻辑。完美。

说实话，以前我也觉得“内核用Rust写”有点噱头，但真研究过Tock的代码之后，我服了——人家是真把类型系统用到极致了，很多驱动里的bug在编译阶段就被按死在摇篮里。可能这就是未来嵌入式操作系统的方向吧。

如果你也被嵌入式里的“多应用相互伤害”折磨过，真的，花半天把Tock跑起来试试。它学习曲线不算陡，Rust也不用精通，能看懂基本语法就能玩。

项目地址贴在最后，反正代码在那放着，能不能治好你的痛点，自己上手说了算。

项目地址： https://github.com/tock/tock