CN101751730A - 税控设备的安全操作平台 - Google Patents

Abstract

税控设备的安全操作平台，包括：系统启动模块，用于设置税控设备的处理器各种模式的入口地址，屏蔽中断，以及设置堆栈；外部通信模块，用于使税控设备与外部进行数据交换；IC卡接口模块，用于进行IC卡接口初始化，IC卡上电、IC卡下电，IC卡指令执行；实时时钟模块，用于进行实时时钟初始化，实时时钟读写实现和实时时钟状态查询；中断管理模块，用于开中断，关中断和设置中断服务程序；文件系统模块，用于驱动税控设备的文件存储介质，以及创建文件，读写文件，删除文件；加载模块，用于驱动税控设备的程序存储介质，进行程序初始加载以及授权和升级加载；安全模块，用于实现加解密算法，密钥对生成和模幂运算，以及随机数产生。

Description

税控设备的安全操作平台

技术领域

本发明涉及嵌入式系统的应用程序操作平台，特别是涉及到税控设备的应用程序开发和安全操作平台。

背景技术

现阶段的嵌入式系统开发过程，包括了CPU选型、硬件设计、软件设计、硬件软件集成调试等主要阶段。其中软件设计，根据需求和硬件资源的特点，有两种实现方法，一是嵌入式操作系统加应用程序，一是直接应用程序开发，具体情况如下：

嵌入式操作系统加应用程序，这种方式在设计上是把与硬件资源有关的功能(与应用无关的工作)交给操作系统来管理，操作系统提供一组标准的API(应用程序接口)函数，应用程序开发人员使用这组API函数就可以实现对硬件资源的调用，同时实现预定的功能，这类嵌入式操作系统应用比较广泛的有US/OS、UCLINUX、WINCE等。

直接应用程序开发的方式，开发人员将使用硬件资源的程序和实现业务功能的程序统一设计，直接实现功能满足需求。

税控设备作为一种在税控领域广泛使用的嵌入式设备，其开发过程包含了上面两种方式，高端税控设备的软件设计采取操作系统加应用软件的方式，中、低端税控设备采取直接应用程序开发的方式。

操作系统加应用软件这种方式，优点是应用程序开发不用考虑硬件资源管理，和硬件的分离性比较好，当发生核心CPU更换型号或架构，硬件资源发生变化时，应用程序不需要重新设计，只需要更改操作系统软件中与硬件相关部分即可，开发工作量小并且开发出的产品质量高，这种方式的缺点是，操作系统本身占用相当一部分硬件资源，在中、低端设备上无法使用，因为中低端设备的代码存储空间、内存空间无法满足操作系统要求，或者满足了操作系统要求但再没有资源能容下应用程序，所以在中低端设备上无法使用，并且由于税控设备领域的特殊性，目前市场上广泛使用的操作系统在应用程序运行、加载、升级的安全性方面也无法保障。

直接应用程序开发的方式广泛应用于中低端设备，这种方式的优点是，软件整体占用资源小，适合中低端的CPU，同时因为没有引入操作系统，所以开发过程也就不存在操作系统移植等与操作系统有关的工作，设计环节比较少，但这种方式的缺点是程序既要管理使用硬件资源，又要实现业务功能，二者的分离性不好，当发生核心CPU更换型号或者硬件资源更改时，程序整体需要重新开发，这样带来的后果是软件开发的工作量变大，并且应用程序质量也无法逐步完善，开发过程存在重复劳动，开发周期加长。

发明内容

因此，本发明的目的在于，提供一种嵌入式税控设备的开发平台，以解决下述技术问题：

(1)对硬件资源进行管理，使应用程序开发与硬件独立开来；

(2)使开发平台占用的系统资源在有限的范围内，要少于一般的嵌入式操作系统，从而能够用于代码存储空间和内存空间有限、核心CPU处理速度较低的中低端嵌入式税控设备，并且为应用程序代码留出足够的空间。

(3)使开发平台能提供足够的安全措施，以保障应用程序和数据的安全，适应税控领域的使用需求。

为了达到上述目的，本发明提供了一种税控设备的安全操作平台，用于向下对设备硬件资源进行管理，向上为应用程序提供与硬件无关的API接口，其特征在于，所述安全操作平台包括以下模块：

系统启动模块，用于设置税控设备的处理器各种模式的入口地址，屏蔽所有中断，以免在启动过程发生中断而引起错误以及设置堆栈；

外部通信模块，用于使税控设备与外部进行数据交换；

IC卡接口模块，用于进行IC卡接口初始化，IC卡上电、IC卡下电，IC卡指令执行；

实时时钟模块，用于进行实时时钟初始化，实时时钟读写实现和实时时钟状态查询；

中断管理模块，用于开中断，关中断和设置中断服务程序；

文件系统模块，用于驱动税控设备的文件存储介质，以及创建文件，读写文件，删除文件；

加载模块，用于驱动税控设备的程序存储介质，进行程序初始加载以及授权和升级加载；

安全模块，用于实现加解密算法，密钥对生成和模幂运算，以及随机数产生。

使用本发明的安全操作平台，可取得如下有益效果：降低开发复杂度、降低开发成本、提高软件质量、程序安全性保障。

随着税控业务需求的不断增加，现行税控设备底层程序应用程序升级的复杂程度随之成倍增加，平台将应用程序和硬件分离，降低了程序开发的复杂度。

开发成本方面，因为硬件升级时不需要对应用程序重复开发，所以节约了成本并且使得开发周期也缩短。

软件质量方面，因为应用程序独立，所以可以单独完善应用程序，不会因为硬件的变化而给应用程序带来新的错误。

安全性方面，平台和操作系统加应用程序的方式比较，平台具有专有的程序加载升级接口，保护程序安全，普通操作系统不具备这种接口。

附图说明

图1是本发明安全操作平台与系统硬件和应用程序的关系图；

图2是应用本发明安全操作平台的税控设备的硬件实施例模块图；

图3是本发明安全操作平台的系统层次结构图；

图4是本发明应用于税控发票机的实施例系统功能流程图；

图5是本发明应用于税控发票机的读发票卷流程图；

图6是本发明应用于税控发票机的开发票过程流程图；

图7是本发明应用于税控发票机的抄税过程流程图。

具体实施方式

通常，操作系统，尤其是面向高级应用程序的操作系统，应具备的基本功能包括：用户接口与作业管理，进程管理、存储管理、文件管理和设备管理等。而为完成这些复杂的功能，操作系统本身也庞大冗杂，需要占用大量的系统资源，包括存储空间和处理器资源。对于中、低端的嵌入式硬件设备，如税控设备中的低端收款机、发票机等，出于成本考虑，其系统资源往往十分有限，另一方面，其应用程序多为底层应用程序，功能相对简单也并不需要过多的操作系统功能，因此，本发明的出发点即在于提供一种类似操作系统的精简的操作平台，其是介于硬件和底层应用程序之间的一个软件，该软件管理税控设备的软、硬件资源，为税控设备底层应用程序封装能满足其功能需求的API(应用程序接口)，并提供税控设备底层应用程序安全加载/升级的接口。

使用本发明的税控设备的软、硬件结构层次图如图1所示，其中，最底层为税控系统硬件1，本发明的安全操作平台2对税控系统硬件1的资源进行管理操作，并为上层的税控应用软件3的开发提供支持。安全操作平台2相当于精简整合了操作系统和中间件的功能。

税控设备的基本系统硬件构成如图2所示，一般来说，系统硬件包括中央处理单元11、存储器12、实时时钟(RTC)13、IC卡接口14以及通信接口15。其中，通信接口视性能需求可包括图示的SPI(Serial Peripheral Interface，串行外部接口)接口154、串口153、并口152和USB口151，以及图中未示的各种有线和无线网络通信接口等。中央处理单元通过通信接口15与外部设备，如打印机，条码扫描器等进行通信。

图3是本发明税控设备的安全操作平台的分层结构模块图。安全操作平台2在逻辑上可以划分为3个层次，分别是硬件管理层21、应用管理层22、和应用程序接口(API)层23。其中，所述硬件管理层包括系统硬件管理单元211、外设管理单元212和中断管理单元213；所述应用管理层22则包括文件系统221、安全模块222、下载接口223、外部通信模块224、IC卡接口模块225及实时时钟模块226等。最上层的API层23规定统一的函数名称和接口参数名称提供给应用程序开发人员，应用程序开发人员使用这些应用API完成应用程序开发，对应用API层以下的内容不必涉及。

下面结合图2和图3所示的硬件结构和平台层次，对本发明的具体实施方式进行说明。以图2所示的硬件系统为例，其中中央处理单元(CPU)11使用带有加解密算法协处理器，并带有真随机数发生器。存储器12可以使EEPROM、NANDFLASH等。实时时钟(RTC)13使用现有的集成RTC芯片，如NXP、ST、DS等公司的实时时钟芯片。串口153，可以是例如RS232接口；并口可以是8、16、32位或其它位数的并口；USB接口则可以是USB 1.1，USB2.0甚或USB3.0等符合USB标准的任何USB接口。IC卡接口14则可使用符合ISO7816标准的接口，或者是普通的I/O软件模拟。

根据图3所示的层次结构划分，本发明的税控设备的安全操作平台设计为包括如下表一所示的模块。各模块根据自身功能，提供一组API函数，开发应用程序时按照业务逻辑的特点一次或多次调用所需要的API函数即可，以实现对于已经编好的一个应用程序，当更换硬件时，应用程序部分的代码不用作修改的功能。

表一税控设备的安全操作平台模块划分及功能

模块名称	功能描述
		系统启动模块	设置中断向量表，屏蔽中断，设置堆栈，跳转main入口函数
串口通信模块	串口初始化和串口读写实现
		USB通信模块	USB初始化和USB读写实现
并口通信模块	并行接口读/写操作
		SPI接口通信模块	SPI接口初始化和读写操作
IC卡接口模块	IC卡接口初始化，IC卡上电、IC卡下电，IC卡指令执行
		RTC模块	RTC初始化，RTC读写实现，RTC状态查询
中断管理模块	开中断，关中断，设置中断服务程序
		文件系统模块	NandFlash读写驱动，EEPROM读写驱动，创建文件，读写文件，删除文件
加载模块	NorFlash读写驱动，初始加载，授权升级加载
		安全模块	实现DES/TDES加解密算法，RSA密钥对生成和模幂运算，随机数产生

上述模块中系统启动、IC卡接口、RTC模块、中断管理、文件系统、加载模块、安全模块是核心模块，从将实现税控系统基本功能的模块作为核心模块的角度讲，通信接口模块也是是必须的，因此有必要设置外部通信模块，用于使税控设备与外部进行数据交换；在本方案中外部通信模块反映为串口通信模块、USB通信模块、并口通信模块以及SPI接口通信模块至少具有其一，但本领域技术人员应了解，通信接口模块亦可使用其它的接口类型，只要能实现使税控设备与外部设备通信的功能即可，这将不会超出本发明的范围。同时通信模块的使用亦可随着通信接口技术的发展而变化，通信接口的替换不会超出本发明操作平台的框架。同样安全模块中使用的DES/TDES等算法也只是作为具体实施例而例举，其优选使用被广泛使用的算法以提高适应性，但也可以使用特定的算法或随着技术的进步引入新的算法。

下面对各个模块的功能加以详细说明并对模块的实现方法举例进行说明：

<系统启动模块>

系统启动模块的功能主要包括：设置处理器各种模式的入口地址，屏蔽所有中断，以免在启动过程发生中断而引起错误；设置堆栈，跳到入口函数(以C语言程序为例，跳转到main函数的入口)；处理器进入各种模式时跳转到相应的入口地址；函数调用时将一些信息压入堆栈。

系统启动模块的实现方法：可以根据CPU芯片手册中描述的寄存器配置方法和硬件设计工程师给出的地址分配表，编写本模块程序代码，设置处理器各种模式的入口地址，屏蔽所有中断，设置堆栈，跳到C语言入口函数。

<串口通信模块>

串口通信模块功能主要包括：串口初始化和使用串口接收、发送数据。

其中，串口通信模块的实现方法是：根据CPU的芯片手册中描述的串口设置寄存器，或是硬件设计资料给出的设置串口的寄存器地址编写程序。

串口初始化的实现方法是设置串口的波特率、校验方式、串口中断等串口通信参数。

串口数据发送的实现方法是：开辟一个待发送数据的缓存，缓存大小可以根据业务需要设置，比如384字节，从应用程序的调用接口获取待发送数据，将待发送数据写入缓存，发送模块程序按字节依次读取缓存中的数据，写入CPU的发送数据寄存器，置发送位，读发送成功状态位，成功后发送下一个字节。

串口接收数据的实现方法是：开辟一个接收数据缓存，缓存大小可以根据业务需要设置，比如384字节，CPU产生串口收到数据的中断时，读取接收数据寄存器的数据，按字节依次放入接收数据缓存，数据接收完毕后，返回给应用程序调用接口。

<USB通信模块>

USB通信模块功能主要包括：USB接口初始化和数据的发送、接收。

USB通信模块的实现方法：

初始化实现方法是初始化USB相关的寄存器，设置USB复位函数和中断处理函数，完成上电的过程。

数据发送实现方法是通过发送端点批量发送数据，分为多个包发送，包大小根据CPU或硬件的资源定义。

数据接收实现方法是通过接收端点批量接收数据，包大小根据CPU或硬件特性定义。

<并口通信模块>

并口通信模块主要功能包括：并行接口读、写操作。

并口通信模块的实现方法是，基于一组CPU的GPIO(General Purpose InputOutput，通用输入输出)，基于硬件设计定义的并行数据通路，读入或写出数据，是CPU与外部模块进行数据交换的一种简便、快速的方式，可以按照CPU的编址系统统一编址，也可以单独定义。

<IC卡接口模块>

IC卡接口模块功能：IC卡接口初始化，IC卡上电、IC卡下电，IC卡指令执行。

IC卡接口模块实现方法：初始化实现方法，配置IC卡接口的时钟、I/O、复位接口，设置通信协议，配置IC卡接口的控制寄存器，使IC卡接口处于工作就绪状态。

IC卡上电实现方法，判断IC卡是否卡到位，IC卡冷复位，接收复位应答，上电时许遵守ISO7816规定。

IC卡下电实现方法，按照ISO7816标准对下电时序的规定，控制寄存器和硬件电路下电。

IC卡指令执行的实现方法，发送来自应用程序接口的APDU(ApplicationProtocol Data Unit，应用协议数据单元)，接收响应数据，返回给应用程序接口。面向应用程序的接口只接收和返回APDU格式的数据，在与IC卡的交互中，IC卡指令执行部分根据IC卡的复位应答将APDU打包，按照T＝0或T＝1的协议格式与IC卡通信，这里提到的APDU、T＝0、T＝1为根据ISO7816标准的规定进行解释。

<实时时钟模块>

实时时钟(RTC)模块功能包括：RTC初始化，RTC读写实现，RTC状态查询。

RTC模块实现方法：根据选用的RTC芯片的技术资料，按照提供的通信格式进行RTC的初始化、时间读写、状态查询，CPU和硬件分配了相应的I/O，程序模块遵照硬件设计和RTC的特点实施。

<中断管理模块>

中断管理模块功能包括：开中断，关中断，设置中断服务程序。

中断管理模块的实现方法为：依据选用CPU的芯片手册中给出的中断体系和中断寄存器的设置说明资料编写中断管理模块程序，开中断的实现方法是将中断屏蔽寄存器的相应位清除，关中断则是将该位置位，设置中断服务程序的实现方法是将把中断服务程序入口地址写入中断向量表。

<文件系统模块>

文件系统模块的功能包括：文件存储介质的驱动，如NandFlash读写驱动，EEPROM读写驱动，以及创建文件，读写文件，删除文件。

文件系统模块的实现方法：NANDFLASH和EEPROM的读写实现遵照芯片手册给出的时序实现，

创建文件的实现方法是，首先判断文件的存储介质，判断文件是否是定长文件，给文件分配首地址，建立文件链。Nandflash文件长度以块为单位。

读文件的实现方法是，根据文件的ID和偏移量找到文件的位置，并且根据文件长度读出需要的文件内容，并将内容放到缓冲器(Buffer)中。

写文件的实现方法是，根据文件的ID和偏移量找到文件的位置，并且根据文件长度写入缓冲器中需要写入存储介质的文件内容。

删除文件的实现方法是，根据文件ID删除文件，释放资源。

文件系统可以引入支持存储介质的任何文件系统，比如JFFS(JournallingFlash File System)，YAFFS(Yet Another Flash File System)等。

<加载模块>

加载模块功能包括：程序存储介质(如NorFlash)读写驱动，以及程序的初始加载，授权升级加载。

加载模块实现方法：NorFlash读写驱动根据芯片手册给定的时序实现。

初始加载的实现方法，是将税控设备底层程序的二进制代码写入指定的代码存储区。

授权升级加载的实现方法是，通过授权的方式升级(更新)程序区的税控设备底层程序。授权升级的方式则可以依据需要设定。

因为税控设备领域的特殊性，对应用程序的运行、加载、升级方面的要求都比一般嵌入式设备高，例如一种实现方式是：底层程序通过本平台的加载模块的接口写入片内flash，本平台提供两种加载接口：第一种为初始加载，这种加载方式是明文代码下载，且没有身份认证和口令保护，但是明文加载只允许使用一次，用次数限制明文下载。第二种为授权和升级加载，这种加载方式代码是经过加密的密文，并且需要通过身份认证和口令认证，同时对加载的有效使用时间和次数进行安全控制，通常加载模块对程序进行授权和升级加载时，由连接到税控设备的授权IC卡来控制操作权限。

<安全模块>

安全模块的功能包括：实现加解密算法，例如DES/TDES(Data EncryptionStandard，数据加密标准/Triple Data Encryption Standard)，AES(AdvancedEncryption Standard高级加密标准)、ECC(Elliptic Curves Cryptography，椭圆曲线加密)算法，RSA密钥对生成和模幂运算，随机数产生等。

安全模块的实现方法：安全模块包括但不限于上述算法，应用这些算法编写加解密函数供应用程序接口调用，算法的实现过程为国际标准的算法实现方法，可以参照国家在税控、金融、电子商务、电子政务等领域发布的算法要求和规范。

接下来，举一包含典型税控业务的税控设备应用实例，结合附图4-7，对本发明的安全操作平台应用于具体设备的实施方式进行说明。

以一税控开发票机为例，其涉及的主要业务包括发票卷读入、开发票和抄税。该机器的硬件平台基于图3实现。为了叙述方便，本实施例税控装置中，所有业务控制输入都来自USB接口的处理命令，当然也可以使用并口、串口等，或者是连接在这些接口上的键盘，处理结果的反馈本例也是通过USB接口返回给上位机器，也可以通过其它接口连接的比如LCD显示屏幕显示，在税控行业实施，有相关国家规范规定了实施的方式，在其它行业实施可参考该行业规范或者使用者自己定义，本平台都可适用。

图4是该税控发票机使用时的主流程图。一个应用程序如需实现图4所示的功能，则首先，要调用系统启动模块(步骤401)，以设置中断向量表，屏蔽中断，，以免在启动过程发生中断而引起错误，设置堆栈，跳转到程序的main入口函数(以C语言程序为例)；之后调用USB通信模块(步骤402)，通过USB口接收命令信息；接下来对命令类别进行判断(步骤403)；根据命令类别分别进行相应的操作，例如读发票卷(步骤404)，开发票(步骤405)或者抄税(步骤406)；操作完成后回到步骤402，等待获取下一命令。

图5是读发票卷过程的流程图，首先要调用IC卡接口模块，进行IC卡上电(步骤501)；和IC卡复位(步骤502)；之后发送指令读IC卡中存储的发票卷信息(步骤503)；再调用文件系统模块，创建文件01以存储空白发票编号，创建文件02存储已开发票数据(步骤504)；之后将步骤503中读取的发票卷信息写入到文件01(步骤505)，读发票卷结束。

图6是开发票过程的流程图，首先，在步骤601，调用文件系统模块，读取文件01，从中获得一张空白发票，之后将发票的开票数据(如金额、时间等)与该空白发票的编号相对应(步骤602)；再调用IC卡接口模块，给IC卡上电，发送开票数据到IC卡，之后给IC卡下电(步骤603)；接下来调用安全模块加密开票数据(步骤604)；最后调用文件系统模块将加密后的开票数据写入到文件02(步骤605)，结束开发票的过程。

图7是税控发票机的抄税过程流程图。首先，调用IC卡接口模块，进行IC卡上电(在步骤701)；和IC卡复位(步骤702)；之后，调用文件系统模块从文件02中读取所有的开票数据(步骤703)；之后，通过IC卡接口模块，发送指令读IC卡中存储的发票卷信息(步骤704)；最后，令IC卡下电(步骤705)，结束抄税过程。

以上具体实施方式仅为本发明的较佳实施例，其对本发明而言是说明性的，而非限制性的。本领域的技术人员在不超出本发明精神和范围的情况下，对之进行变换、修改甚至等效，这些变动均会落入本发明的权利要求保护范围。

Claims (6)

1.一种税控设备的安全操作平台，用于向下对设备硬件资源进行管理，向上为应用程序提供与硬件无关的API接口，其特征在于，所述安全操作平台包括以下模块：

系统启动模块，用于设置税控设备的处理器各种模式的入口地址，屏蔽中断，以及设置堆栈；

外部通信模块，用于使税控设备与外部设备进行数据交换；

IC卡接口模块，用于进行IC卡接口初始化，IC卡上电、IC卡下电，IC卡指令执行；

实时时钟模块，用于进行实时时钟初始化，实时时钟读写实现和实时时钟状态查询；

中断管理模块，用于开中断，关中断和设置中断服务程序；

文件系统模块，用于驱动税控设备的文件存储介质，以及创建文件，读写文件，删除文件；

加载模块，用于驱动税控设备的程序存储介质，进行程序初始加载以及授权和升级加载；

安全模块，用于实现加解密算法，密钥对生成和模幂运算，以及随机数产生。

2.根据权利要求1所述的税控设备的安全操作平台，其特征在于，所述外部通信模块包括下列模块中的至少一种：

串口通信模块，用于串口初始化和使用串口接收、发送数据；

并口通信模块，进行并行接口读、写操作；

USB通信模块，用于USB接口初始化和数据的发送、接收；

SPI通信模块，用于SPI接口初始化和数据的发送、接收。

3.根据权利要求1所述的税控设备的安全操作平台，其特征在于，所述文件系统模块驱动NandFlash和/或EEPROM。

4.根据权利要求1所述的税控设备的安全操作平台，其特征在于，所述加载模块对程序进行初始加载的方式为：将税控设备底层程序进行明文下载，并将其二进制代码写入指定的代码存储区；授权和升级加载的方式为密文下载，再将其解密后的二进制代码写入指定的代码存储区。

5.根据权利要求1所述的税控设备的安全操作平台，其特征在于，所述加载模块对程序进行授权和升级加载时，由连接到税控设备的授权IC卡来控制操作权限。

6.根据权利要求1所述的税控设备的安全操作平台，其特征在于，所述安全模块的加解密算法为RSA、AES、ECC或DES/TDES算法中的一种或一种以上。

Images