CN104899133A - 测试驻留在虚拟化平台上的集成独立安全等级组件 - Google Patents

Abstract

本发明提出一种虚拟化平台，该虚拟化平台提供对在组件的集成环境中由虚拟化平台容留的组件(3a、3b)的系统性的、透明的和本地的测试，所述虚拟化平台(1)包括：-集成拦截器模块(11a、11b)，其经由通信通道(15)连接到所述组件(3a、3b)，每个拦截器模块被置于连接两个组件的通信通道中，以及-集成分析构件(13)，其连接到所述拦截器模块(11a、11b)并且包括控制构件(13a)和测试构件(13b)，所述控制构件被配置成使每个拦截器模块处于从包括测试模式的一组预定操作模式中选出的操作模式，并且所述测试构件(13b)被配置成在本地测试连接到处于测试模式的拦截器模块的组件。

Description

测试驻留在虚拟化平台上的集成独立安全等级组件

技术领域

本发明总体上涉及测试驻留在虚拟化平台上并且特别地驻留在嵌入式基础设施中的集成独立安全等级组件。

背景技术

在大部分工业领域，不同的系统常具有彼此互相通信的不同的应用以实现一项任务。每个应用可以被看作一组功能并且每个功能是有助于执行该应用所要实现的任务的一部分的一个软件。例如，在车辆或航空器中许多不同类型的装备需要通过通信系统来彼此交换数据以实现对车辆或航空器的操纵。

由于计算资源当前不断增长的效率，趋势包括将若干个应用或功能放在同一计算机平台上以使用该平台所提供的全部计算能力和存储器存储容量。这使得能够避免浪费未使用资源并因此降低了生产成本和系统的总重量，这在用于航空器、卫星或交通工具的嵌入式基础设施中特别有利。然而该架构具有促使传播错误的缺点。因此，设置安全构件以防止在系统的一个部分上的任何设计错误或实现错误影响系统的其他部分。还需要保护系统不受来自系统内部的有意的恶意攻击的影响。

该困难可以通过现有的安全架构解决，诸如依据关于执行环境的严格的隔离性质以及严格的通信路径构建的MILS(多重独立安全等级)。

具体地，从各种或多或少松散耦合的子功能的组合中实现计算机系统的功能。为了设计MILS计算系统，这种松散耦合组件的方法是有价值的。实际上，将复杂的系统分成小的组件允许限定关于这些组件的要求并在本地强化它们的正确且安全的实现。为了再次实现复杂的功能，组件被一起放在同一硬件平台上。通常特殊的操作系统(例如，分离内核)为组件提供称为分区的隔离的运行时环境。分离内核实现了在平台的不同组件之间的无干扰性质。为了仍允许在分区之间通信，分离内核还提供了用于分区间通信的特定的通道。这些通信通道被控制并且通过全系统信息流策略增强流过这些通信通道的信息流。分离的构思以及控制在分离的组件之间的信息流的构思两者都是MILS系统的主要性质。

图8示意性地图示了包括根据现有技术的MILS组件103a-103e的MILS系统101的示例。

MILS组件103a-103f包括应用分区103a-103d，I/O分区103e以及外部通信接口103f。不同组件经由底层分离内核的通信通道107在一起操作以最终达到系统的目的。不同的组件经由预先限定的通信路径通信。在MILS系统中存在可被区分的三种不同类型的通信路径。这些路径包括外部通信接口，分区间通信接口以及经由I/O分区的通信接口。在分区和外部通信接口103f之间的通信可以经由设备驱动器109实现。

目前，MILS系统最初在其开发期间被测试，并且随后通过借助外部接口观察其输出来测试。换言之，MILS系统的测试目前包括两种测试。在组件或应用测试中，在MILS系统的环境的外部，以单独的方式在外部对由分区容留的每个应用进行测试。第二种测试是集成测试，其中通过观察对于给定输入的整个系统的输出来对集成MILS系统的正确行为进行测试。

然而，已知方法不允许系统性测试方法。具体地，当组件已经部署在MILS系统中时，现有技术的方法不能测试这些组件的反应。

此外，在诸如飞行学的某些领域中，特别严格的可靠性和安全性的限制决定了上述需要。具体地，存在如下的明确的要求：不允许在评估中的系统与最终部署在飞行中的系统之间的任何系统配置改变。因此，在已证明系统合格后不能移除任何测试构件。

因此，本发明的目的在于提出如下的不具有上述缺点的方法和系统，其用于在分区类型平台(例如MILS)上在组件的集成环境中在本地测试组件并且适于在如航空电子的嵌入式环境中被系统性地使用。

发明内容

本发明通过一种(例如MILS类型的)虚拟化平台来限定，该虚拟化平台包括经由通信通道互连的多个集成独立安全等级组件(下文中称为组件)，所述虚拟化平台还包括：

-集成拦截器模块，其经由所述通信通道连接到所述组件，每个拦截器模块被置于连接两个组件的通信通道中，以及

-集成分析构件，其连接到所述拦截器模块并且包括控制构件和测试构件，所述控制构件被配置成使每个拦截器模块处于从包括测试模式的一组预定操作模式中选出的操作模式，并且所述测试构件被配置成在本地测试连接到处于测试模式的拦截器模块的组件。

这样，根据本发明的虚拟化平台提供了在组件的集成环境中，即当组件被部署在虚拟化平台中且没有任何干扰的情况下，对一些或全部组件的反应和本地行为的系统性的和透明的测试。

本发明还涉及一种包括根据上述特性的所述虚拟化平台的嵌入式基础设施(例如，计算机)。

另外，本发明涉及一种包括航空电子网络和根据上述特性的嵌入式基础设施的航空器通信系统，组件、拦截器模块以及分析构件经由所述航空电子网络互连。

此外，本发明涉及一种测试在虚拟化平台上的集成独立安全等级组件的方法，所述组件经由通信通道互连，所述方法包括如下步骤：

-将拦截器模块置于连接不同的组件的通信通道中，

-使每个拦截器模块处于从包括测试模式的一组预定操作模式中选出的操作模式，以及

-在本地测试连接到处于测试模式的拦截器模块的组件。

附图说明

在阅读参照附图给出的本发明的优选实施方式时，本发明的其他特性和优点将变得明显，在附图中：

图1示意性地图示了根据本发明的实施方式的包括集成独立安全等级组件的虚拟化平台；

图2示意性地图示了演示根据本发明的实施方式的一种用于测试组件的方法的在虚拟化平台的两个组件之间的通信接口；

图3示意性地图示了根据本发明的一个实施方式的通过一组线程实现的拦截器模块；

图4示意性地图示了根据图2的实施方式的处于传送模式的拦截器模块；

图5示意性地图示了根据图2的实施方式的处于测试模式的拦截器模块；

图6示意性地图示了根据图2的实施方式的处于观察模式的拦截器模块；

图7示意性地图示了根据本发明的实施方式的在测试中的组件的链；以及

图8示意性地图示了包括根据现有技术的MILS组件的MILS系统的示例。

具体实施方式

本发明的构思包括在MILS类型平台的通信通道中集成透明的拦截构件，使得能够在本地测试平台的组件。

图1示意性地图示了根据本发明的实施方式的包括集成独立安全等级组件的虚拟化平台1。

集成独立安全等级组件3a-3f(下文中称为组件)包括应用分区3a-3c，输入-输出分区3d，以及外部通信接口3e、3f。该示例示出了三个应用分区3a-3c，一个输入-输出分区3d，以及两个外部通信接口3e、3f，但上述数目当然不限于此而是取决于期望的应用。

每个组件具有良好指定的功能并适于与其他预先限定的组件通信。例如，组件3a-3d中的每一个具有良好限定的接口5a-5d，用于经由通信通道15与被授权通信的其他良好识别的组件通信。

实际上，不同的组件3a-3f经由底层平台1的通信通道15在一起操作。它们经由包括外部通信接口、分区间通信接口以及经由输入-输出I/O分区的通信接口的预先限定的通信路径进行通信。虚拟化平台的例示通常使用这些不同的通信路径的组合。另一方面，组件3a-3d与外部通信接口3e之间的通信可以经由设备驱动器9实现。

所有元件(3a-3f和9)由虚拟化平台容留。回想为了高确信需要而开发的MILS类型的虚拟化平台基本上基于不同功能之间的严格的隔离以及无干扰性质。实际上，虚拟化平台1提供了为每个功能创建隔离的运行时环境(即、分区)的可能性。其还提供了分区之间的强的时间和空间上的隔离(即不同功能共享的硬件和软件环境之间的无干扰性质)。此外，其提供了在由平台容留的不同分区之间的安全通信构件以及在平台的一个或更多个分区与域外部之间的安全通信构件(例如，网络接口)。

虚拟化平台1可以通过使用诸如MILS分离内核的软件和/或硬件虚拟化技术或者满足上述性质的任何其他虚拟化操作系统来构建。平台的硬件部分照常包括通信总线(未示出)，其互连一个或更多个处理单元(未示出)、存储设备(未示出)、一个或更多个(有时被虚拟化)网络接口(未示出)以及用于管理诸如IOMMU(输入输出管理存储器单元)的直接存储器访问的特定硬件模块(未示出)。

根据本发明，虚拟化平台1包括集成拦截器模块11a-11h(或薄片(shim))以及集成分析构件13。

图1的架构示出了经由通信通道15连接到平台1的不同的组件3a-3f的一组集成拦截器模块11a-11h。每个拦截器模块11a-11h被置于连接两个组件的通信通道15中。图1的示例示出了将拦截器模块配对成不同的耦合器111a-111d，其允许不同的组件之间的双向通信。

经由控制和通信通道7将集成分析构件13连接到拦截器模块11a-11h。集成分析构件13在拦截器模块11a-11h与组件3a-3f之间协调并且协调地结合每个组件的测试评估和激励(stimulus)。

具体地，分析构件13包括控制构件13a和测试构件13b。控制构件13a被配置成使每个拦截器模块11a-11h处于从包括测试模式的一组预定操作模式中选出的操作模式。测试构件13b被配置成在本地测试连接到处于测试模式的拦截器模块11a-11h的组件3a-3d。

根据一个实施方式，每个拦截器模块被配置成在其自己的资源分区中隔离地运行。作为一个变型例，拦截器模块还可以与集成分析构件13或其他分区组合。

有利地，该组预定的操作模式包括三种模式：测试模式，传送模式以及观察模式。因此，任何拦截器模块11a-11h可以处于这三种模式中的任何一种模式。测试模式通过朝向测试构件13b重新路由通信业务并根据测试过程修改该业务，使得能够测试组件3a-3d的行为和反应。在传送模式中，拦截器模块11a-11h向预期的目的地组件转发全部业务，使得组件能够以正常方式操作。最后，观察模式在未修改正常业务的情况下使得仅能够无源地监听在两个组件3a-3f之间的通信。

图2示意性地图示了演示根据本发明的实施方式的一种用于测试组件的方法的在虚拟化平台的两个组件之间的通信接口。

为了简单起见，该示例仅示出了由虚拟化平台1容留并且经由通信通道15彼此连接的第一组件3a和第二组件3b。每个组件可以是应用分区，输入-输出分区，或者是连接到驱动器设备9(参见图1)的外部通信接口。

该方法包括将拦截和分析逻辑并入虚拟化平台以拦截业务并分析不同组件的行为。

具体地，一对第一和第二拦截器模块11a、11b被置于连接两个组件3a、3b的通信通道15中。拦截器模块11a集成在连接发送器3a组件和接收器3b组件的第一通信通道15a中，同时拦截器模块11b集成在连接发送器3b组件和接收器3a组件的第二通信通道15b中。

此外，包括控制构件13a和测试构件13b的分析构件13集成在平台1中并且经由通信通道7连接到第一和第二拦截器模块11a、11b。

通过控制构件13a控制每个拦截器模块并且使每个拦截器模块处于从包括测试模式、传送模式以及观察模式的一组预定操作模式中选出的操作模式。

当拦截器模块11a、11b处于测试模式时通过测试构件13b在本地对至少一个组件进行测试。测试步骤包括阻挡去往测试中的组件的数据，将测试分组引入该组件，并通过收集和分析其输出结果测试其反应(参见图5)。

有利地，通过使用小的代码指令序列来使每个拦截器模块的实现方案是小的、快的和反应迅速的。

实际上，图3示意性地图示了根据本发明的一个实施方式的通过一组线程实现的拦截器模块。

根据该实施方式，每个拦截器模块3通过包括传送线程21、第一和第二测试线程23a、23b，以及观察线程25的多个线程来实现。

传送线程21适于将数据从发送器组件3a传送到接收器组件3b。第一测试线程23a适于将数据从分析构件13传送到接收器组件3b。第二测试线程23b适于将数据从发送器组件传送到分析构件13。最后，观察线程25适于将数据从发送器组件3a发送到接收器组件3b以及发送到分析构件13b。

针对每个拦截器模块11，控制构件13a被配置成在不同的线程21-25之间切换以通过激活传送线程21使拦截器模块11处于传送模式，或者通过激活至少一个测试线程23a、23b使拦截器模块11处于测试模式，或者通过激活观察线程25使拦截器模块11处于观察模式。

例如，在航空电子环境中，不同的组件3a-3f，拦截器模块11a-11h以及分析构件13可以通过ARINC-653队列端口连接。队列端口由操作系统以如下方式实现：根据FIFO队列操作，一个分区传送到通道的数据无干扰地流到目的地分区。

图4示意性地图示了根据图2的实施方式的处于传送模式的拦截器模块。

在传送或正常模式中，传送线程21被配置成在连接到发送器的组件3a的队列通道的目的地端口上执行阻挡读取(blocked read)。因此，只要没有数据可用(即，只要没有数据被发送到队列通道)，则其适于保持于休眠状态。一旦数据变成可用，则传送线程21变为被激活并随后适于从队列端口读取数据(由发送器组件3a发送)并将其传送到连接到目的地组件3b的通道的源端口。

图5示意性地图示了根据图2的实施方式的处于测试模式的拦截器模块。该示例示出与图1的组件3a和3d相关的组件3b的测试。

在测试模式中，连接到测试中的组件3b的第一拦截器模块11a的第一测试线程23a适于在连接到测试构件13b的目的地端口31a上执行阻挡读取。该通道被用于将测试分组从测试构件13b引入到测试中的组件3b。只要没有数据被发送到队列通道，则线程23a休眠。当测试分组变得可用时，第一测试线程23a变为激活，从队列端口31a读取测试分组并将它们传输到连接到测试中的组件3b的源端口31b。

连接到测试中的组件3b的第二拦截器模块11c的第二测试线程23c适于来自所述测试中的组件3b的输出结果传送到测试构件13b中。该第二测试线程23c适于在连接到发送器组件3b的队列通道的目的地端口31c上执行阻挡读取。因为该第二测试线程23同样执行阻挡读取，所以其休眠直到在通道中数据变得可用为止。一旦数据变得可用，则第二测试线程23c将该数据传送到连接到测试构件13b的源端口31d，测试构件13b被配置成通过分析输出结果对测试中的组件3b的反应进行测试。

更一般地，在测试中的组件3b具有若干个可能来自或去往多个组件的输入和输出的情况下，测试构件13b被配置成协调地结合对牵涉输入和输出通信通道的所有拦截器模块的控制以实施不同的测试场景。例如，参照图1，组件3a和3d可以分别经由拦截器模块11a和11d将数据发送到组件3b。针对输出数据被传送到组件3d的情况，可以经由拦截器模块11c观察组件3b的输出，或者针对输出数据被传送到组件3a的情况，可以经由拦截器模块11b观察组件3b的输出。

图6示意性地图示了根据图2的实施方式的处于观察模式的拦截器模块。

在观察模式中，只要没有数据可用，则拦截器模块11a的观察线程25适于保持在休眠状态，并且在数据变得可用时，拦截器模块11a适于将来自发送器组件3a的数据传送到接收器组件3b以及测试构件13b。测试构件13b被配置成观察在发送器3a组件和接收器3b组件之间的数据流。

根据另一个实施方式，通过重新实现队列端口来实现拦截器模块的功能。控制构件13a被配置成通过特定的标志对业务流进行重新路由以使拦截器模块11a-11h处于传送模式、或观察模式、或测试模式。该标志使拦截器模块能够朝向测试构件13b重新路由最初发送到另一个组件的业务。该实施方式减少了开销配置以及分区的数量。然而，需要重新实现操作系统的一些关键部分。

在其他方面中，应注意控制构件13a被配置成使所有拦截器模块11a-11h处于同一操作模式或使不同的拦截器模块处于不同的操作模式。

实际上，图7示意性地图示了根据本发明的实施方式的测试中的组件的链。

该示例示出了两个连接器模块11b、11g处于测试模式而第三个拦截器模块11d处于传送模式。实际上，拦截器模块适于拦截在平台1中的多个组件3a-3f之间的通信，并且因此可以操作处于传送模式的一些拦截器模块、处于测试模式的一些其他拦截器模块以及处于观察模式的另外的一些其他拦截器模块。该配置允许通过创建测试中的组件的链来测试组件的子集的正确集成。

有利地，不同队列端口和拦截器模块通过软件实现。然而，也可以将这些元件中的一些部分转换成硬件。例如，P4080数据路径加速架构(DPAA)的队列管理器(QMan)适于作为硬件FIFO操作。通过针对硬件元件的软件队列命令中的ID提供该FIFO队列的目的地。因此，QMan可被用于实现队列端口的功能。改变队列命令中的目的地ID使得能够通过将硬件FIFO中的数据分组路由到分析构件来实现拦截模块的功能。

根据本发明的虚拟化平台被有利地用在嵌入式基础设施中。具体地，其适于用在航空器通信系统中，其中不同的组件、拦截模块以及分析构件通过例如ARINC-653或AFDX类型的航空电子网络的队列端口连接。

根据本发明的虚拟化平台提供了一种透明的测试技术，其允许在组件的集成系统环境中在本地测试组件。这种方法满足航空电子要求，并且对于飞行中的操作来说，通过使所有拦截器模块处于传送模式可以容易地使该方法无效。这种方法还在不干扰或扰乱在不同的组件上运行的应用的情况下提供了清楚地设定测试点的系统性手段。

Claims (13)

1.一种虚拟化平台，其包括经由通信通道(15)互连的多个集成独立安全等级组件，以下称为组件(3a-3f)，特征在于所述虚拟化平台(1)还包括：

-集成拦截器模块(11a-11h)，所述集成拦截器模块(11a-11h)经由所述通信通道(15)连接到所述组件(3a-3f)，每个拦截器模块被置于连接两个组件的通信通道中，以及

-集成分析构件(13)，所述集成分析构件(13)连接到所述拦截器模块(11a-11h)并且包括控制构件(13a)和测试构件(13b)，所述控制构件被配置成使每个拦截器模块处于从包括测试模式的一组预定操作模式中选出的操作模式，并且所述测试构件(13b)被配置成在本地测试连接到处于测试模式的拦截器模块的组件。

2.根据权利要求1所述的虚拟化平台，其特征在于，所述的一组预定操作模式还包括传送模式和观察模式。

3.根据权利要求1或2所述的虚拟化平台，其特征在于，所述控制构件(13a)被配置成使所有拦截器模块(11a-11h)处于同一操作模式或者使不同的拦截器模块处于不同的操作模式。

4.根据前述权利要求中的任一项所述的虚拟化平台，其特征在于，每个拦截器模块(11a-11h)通过多个线程实现，所述多个线程包括适于将数据从发送器组件传送到接收器组件的传送线程(21)、适于将数据从所述分析构件(13)传送到接收器组件的第一测试线程(23a)、适于将数据从发送器组件传送到所述分析构件的第二测试线程(23b)、以及适于将数据从发送器组件发送到接收器组件以及发送到所述分析构件的观察线程(25)，以及使得针对每个拦截器模块，所述控制构件被配置成在不同的线程之间切换以便通过激活传送线程使拦截器模块处于传送模式，或者通过激活至少一个测试线程使拦截器模块处于测试模式，或者通过激活观察线程使所述拦截器模块处于观察模式。

5.根据权利要求4所述的虚拟化平台，其特征在于，在测试模式中，连接到测试中的组件(3b)的第一拦截器模块(11a)的第一测试线程(23a)适于将来自测试构件的测试分组引入到测试中的组件，以及在于，连接到测试中的组件的第二拦截器模块(11c)的第二测试线程(23c)适于将来自所述测试中的组件的输出结果传送到测试构件，所述测试构件被配置成通过分析所述输出结果来对测试中的组件的反应进行测试。

6.根据权利要求4所述的虚拟化平台，其特征在于，在传送模式中，所述传送线程适于，只要没有数据可用，就保持于休眠状态，并且当数据变得可用时，将数据从发送器组件传送到接收器组件。

7.根据权利要求4所述的虚拟化平台，其特征在于，在观察模式中，所述观察线程适于，只要没有数据可用，就保持于休眠状态，并且当数据变得可用时，将数据从发送器组件传送到接收器组件以及测试构件，所述测试构件被配置成观察在发送器组件和接收器组件之间的数据流。

8.根据权利要求1至3中的任一项所述的虚拟化平台，其特征在于，每个拦截器模块包括队列端口并且所述控制构件被配置成通过特定的标志对业务流进行重新路由，以便使拦截器模块处于传送模式、或观察模式、或测试模式。

9.根据前述权利要求中的任一项所述的虚拟化平台，其特征在于，所述的组件的组包括应用分区，输入-输出分区，驱动器设备以及外部通信接口。

10.根据前述权利要求中的任一项所述的虚拟化平台，其特征在于，所述虚拟化平台是多重独立安全等级平台。

11.一种嵌入式基础设施，包括根据前述权利要求中的任一项所述的虚拟化平台。

12.一种航空器通信系统，包括航空电子网络以及根据权利要求11所述的嵌入式基础设施，所述航空器通信系统的特征在于，所述组件、拦截器模块以及分析构件经由所述航空电子网络互连。

13.一种方法，用于在虚拟化平台上测试集成独立安全等级组件，以下称为组件，所述组件经由通信通道互连，特征在于所述方法包括如下步骤：

-将拦截器模块置于连接不同的组件的通信通道中，

-使每个拦截器模块处于从包括测试模式的一组预定操作模式中选出的操作模式，以及

-在本地测试连接到处于测试模式的拦截器模块的组件。