CN110389871B - 一种具备系统完整性确认功能的安全计算机平台 - Google Patents

Abstract

本发明的安全计算机平台，分为主控层和执行层；主控层与执行层之间通过冗余全双工串行总线通信；安全计算平台的各模块包含：硬件组件和软件组件；软件组件包含平台软件程序和应用程序；主控模块的平台软件程序读取应用配置文件以获取应用配置数据；安全计算机平台正式工作前，需要读取到应用配置文件数据，并通过冗余串行总线获取其他各模块的配置信息，通过检查该应用配置文件与各模块配置信息的一致性，实现对平台系统配置的完整性和正确性的检查。本发明的技术优势：采用应用配置文件统一管理安全计算机平台的应用配置，每个模块独特的模块结构、软件结构，结合完整性确认检查的方法。

Description

一种具备系统完整性确认功能的安全计算机平台

技术领域

本发明涉及铁路安全计算机平台实现领域，具体涉及安全计算机平台中一种确认系统完整性、保证系统安全性、提高系统可维护性的设计。

背景技术

随着铁路运输事业的发展，列车信号控制相关设备发展的多样性。对列控设备的安全性提出更高要求。安全计算机平台作为一个基本的通用平台，可灵活开发并集成多种输入输出模块，支持多种不同应用环境。其最大的特点是系统由模块集成，模块的选择及配置方式由应用环境决定，各模块可包含硬件组件和软件组件，软件组件还可分为平台软件程序和应用程序等。安全计算机平台系统，在既有系统集成和模块维护时，由于模块较多，应用场景多样，容易出现遗漏集成或者多余集成的情况，还有更不容易察觉的，由于软硬件版本更新引起的，单个模块检测无误，集成至平台系统时，系统无法正常工作或无法实现预期功能的情况。

综上，为了支持铁路安全计算机平台的完整性、安全性、适用性，提高安全计算机的可维护性，针对铁路安全计算机平台，需要有一种确认系统完整性、保证系统安全性、提高系统可维护性的设计：具有可根据应用场景自由配置平台系统、自动识别平台系统中各模块及各模块的软硬件版本等特点。

发明内容

本发明针对安全计算机平台应用场景复杂，配置容易错误或者遗漏的问题，提出一种确认系统完整性、保证系统安全性、提高系统可维护性的功能设计。

本发明提供一种具备系统完整性确认功能的安全计算机平台，该平台是一种基于串行总线的网络结构及用该网络结构组成的安全计算机平台，该安全计算机平台采用二乘二取二的安全冗余架构，分为主控层和执行层；

所述主控层由主控A模块和主控B模块构成，主控层为应用软件提供运行环境、系统功能支持；主控层提供数据配置、系统监测接口；

所述执行层提供状态输入接口，提供控制输出接口，提供与外部设备和外部子模块的通信接口；执行层由两组执行模块A和执行模块B构成；

所述主控层与执行层之间通过冗余全双工串行总线通信；

所述安全计算平台的各模块包含：硬件组件和软件组件；软件组件包含平台软件程序和应用程序；每个模块所包含的各组件均可以配置不同版本以满足实际应用需求；

所述主控模块的软件组件上提供读取配置文件的软件接口，即主控模块的平台软件程序可以读取应用配置文件以获取应用配置数据；

安全计算机平台正式工作前，需要读取到应用配置文件数据，并通过冗余串行总线获取其他各模块的配置信息，通过检查该应用配置文件与各模块配置信息的一致性，实现对平台系统配置的完整性和正确性的检查。

本发明的技术优势：一种具备系统完整性确认功能的安全计算机平台，采用应用配置文件统一管理安全计算机平台的应用配置，保证了安全计算机应用时的安全性和完整性；每个模块独特的模块结构、软件结构，结合完整性确认检查的方法，保证了安全计算机应用时配置的完整性和准确性。

附图说明

图1为安全计算机平台的总体架构图

图2为主控模块获取各模块配置信息接口图

图3为安全计算机平台的配置文件举例

图4为主控模块的系统完整性检查流程图

具体实施方式

下面结合附图对本发明进行详细的说明，将有助于本领域的技术人员进一步理解本发明。以下实施例中提供了一种针对安全计算机平台的确认系统完整性的设计，该安全平台是一种基于串行总线的网络结构及用该网络结构组成的安全计算机平台，针对该安全计算机平台的确认完整性的方法仅是一个实施例，平台不以任何形式限制本发明。

图1所示，为本发明适用的一种安全计算机平台的架构，该安全计算机平台采用二乘二取二的安全冗余架构，安全计算机平台分为主控层和执行层。主控层与执行层之间通过冗余全双工串行总线通信。

主控层由主控模块A和主控模块B构成，是安全计算机的控制核心，控制整个系统的运行时序、运行周期和工作状态；主控层为应用软件提供运行环境、系统功能支持；主控层提供数据配置、系统监测等接口。执行层由两组执行模块A和执行模块B构成，提供状态输入接口，提供控制输出接口，提供与外部设备和外部子模块的通信接口。

安全计算平台的各模块，可以包含且不限制包含：硬件组件和软件组件，同样，软件组件包含且不限制包含：平台软件程序和应用程序。每个模块所包含的各组件均可以配置不同版本以满足实际应用需求。

本发明要求在安全计算机平台的主控模块的软件组件上提供读取配置文件的软件接口，即主控模块的平台软件程序可以读取配置文件以获取应用配置数据。安全计算机平台正式工作前，需要读取到配置文件数据，并通过冗余全双工串行总线获取其他各模块的配置信息，检查应用配置文件与各模块配置信息的一致性，便可实现对平台系统配置的完整性和正确性的检查，以此保证系统的安全性，提高系统的可维护性。因此，本确认系统完整性的功能设计是通过读取应用配置文件及获取配置数据并检查的过程来实现的。

下面以主控模块A来实现检查系统完整性功能，且安全计算机平台仅包含硬件组件和软件组件为例，说明本确认安全计算机平台系统完整性的方法。

图2所示，主控模块A读取应用配置文件以及获取各模块的配置数据的主要方向，如图中实线箭头。主控模块A在软件初始化阶段，通过软件接口，读取到应用配置文件，首先，需要检查自身的配置信息，其次，通过串行总线获取其他模块的配置信息，并与应用配置文件进行对比检查，以此达到确认系统完整性的目的。

图3所示为一种应用配置文件的形式，配置项可根据实际应用场景定义，通常有软硬件版本、模块工作方式、常用参数等，配置文件不以任何形式限制本发明。图3的配置文件具体实施方式如下：

1.模块名称：以平台所支持的全部模块为顺序，同名分为A和B的模块表示可配置为冗余使用的功能相同的模块，如图3中，颜色相同的相邻两个模块。

2.是否配置：表示当前的应用场景是否需要使用该模块，一般来说主控模块是必须配置的，执行模块可根据需求进行配置。当配置为Y时，需要对该模块的其他配置信息进行进一步检查；配置为N时，需要确定该模块未配置，否则按照多余配置处理，如图3中执行模块2A/2B为不用配置。

3.应用类型：表示当前的模块在实际应用所配置的类型，用于检查模块的配置类型是否正确。

4.AB模块是否冗余：表示同名分为A和B的模块既可配置为冗余使用且功能相同的模块，如图3中执行模块1A/1B；也可以配置为功能不同的两个独立模块，如图3中执行模块4A/4B。

5.硬件版本：硬件版本存储于存储芯片上的固定安全位置，由本模块的软件组件在初始化过程进行读取。

6.软件版本：软件组件包含平台软件和应用软件，每个模块必须配置平台软件，可根据应用场景配置应用软件，如图3中执行模块3A/3B，或者不配置应用软件，如图3中执行模块1A/1B。一般来说，主控模块必须配置应用软件，执行模块可根据需求决定是否配置应用软件。

根据应用配置文件，主控模块A在上电初始化过程中，通过软件接口读取该应用配置文件，然后对平台系统进行完整性和正确性检查，即对应用配置文件及各模块配置信息进行对比检查，图4所示为主控模块对各模块的配置信息检查的过程，具体如下：

1.主控模块A在初始化阶段，读取应用配置文件，获取应用配置数据；

2.主控模块A读取本模块硬件版本信息，并检查自身配置信息是否正确；

3.主控模块A通过内部总线向其他各模块发送给配置信息索要命令，其他各模块包含主控模块B及其他全部执行模块；

4.主控模块B及其他全部执行模块在上电初始化阶段，会分别读取本模块硬件版本信息备用；

5.主控模块B及其他全部执行模块接收到主控模块的配置信息索要命令，通过内部总线将自身的配置信息发送给主控模块A；

6.主控模块A将接收到的各模块配置信息与读取的应用配置文件进行一致性和完整性检查，超时未收到配置信息或者收到校验错误的配置信息的模块按照未配置进行处理。

7.主控模块A检查完毕，返回检查结果。

8.主控模块A可判断完整性检查结果是否可接受，决定是否进入正常工作，即判断当前配置错误的模块是否影响主控模块正常工作、是否可以接受该模块的配置错误。

9.主备系的主控模块均可执行系统完整性检查。

本发明设计了应用配置文件，对安全计算机平台系统集成进行约束。确保应用场景与系统配置的对应，是本发明的特点之一。当应用场景发生变化时，需要对应用配置文件重新配置；应用配置文件中合理设计的配置项可以准确表示出当前各模块的配置信息。

平台系统中唯一的应用配置文件，解决了安全计算机平台模块过多、功能复杂带来的配置管理问题。更突出的是，在现场安装、调试或维护的过程中，当对单个模块进行拆解检查或者维修后，能够成功避免人为失误引起的软硬件版本的错误、增加或者遗漏该模块等重大安全性问题，有效的保证原平台系统的完整性和可用性，对现场的安装维护工作有特殊的意义。

平台中的每个模块中都采用软件组件和其他组件的模块结构，软件组件又采用平台软件程序和应用软件程序的软件架构，在平台软件程序中增加读取配置文件的接口，是本发明的关键设计之一。通过安全计算机平台的串行总线，可以快速获取到各模块的详细配置信息，是本发明的关键设计之二。采用应用配置文件与各模块配置数据的一致性检查，是本发明的关键设计之三。三个设计构成了检查系统完整性的方法。既保证了模块功能的独立性，又保证了平台系统的完整性，对于确认平台系统的完整性、保证平台系统的安全性和提高平台系统的维护性都有重大的意义。

以上所述仅为本新方案的较佳实施案例而已，并非用于限定本新方案的保护范围。凡在本新方案的精神和原则之内所作的任何修改、等同替换、改进等，均应包含在本新方案的保护范围之内。

Claims (9)

1.一种具备系统完整性确认功能的安全计算机平台，该平台是一种基于串行总线的网络结构及用该网络结构组成的安全计算机平台，该安全计算机平台采用二乘二取二的安全冗余架构，分为主控层和执行层；

所述主控层由主控模块A和主控模块B构成，主控层为应用软件提供运行环境、系统功能支持；主控层提供数据配置、系统监测接口；

所述执行层提供状态输入接口，提供控制输出接口，提供与外部设备和外部子模块的通信接口；执行层由两组执行模块A和执行模块B构成；

所述主控层与执行层之间通过冗余全双工串行总线通信；

所述安全计算机平台的各模块包含：硬件组件和软件组件；软件组件包含平台软件程序和应用程序；每个模块所包含的各组件均可以配置不同版本以满足实际应用需求；

主控模块的软件组件上提供读取配置文件的软件接口，即主控模块的平台软件程序可以读取应用配置文件以获取应用配置数据；

安全计算机平台正式工作前，需要读取到应用配置文件数据，并通过冗余串行总线获取其他各模块的配置信息，通过检查该应用配置文件与各模块配置信息的一致性，实现对平台系统配置的完整性和正确性的检查。

2.根据权利要求1所述的安全计算机平台，其特征在于，主控模块在上电初始化过程中，通过所述软件接口读取该应用配置文件，然后对平台系统进行完整性和正确性检查，即对应用配置文件及各模块配置信息进行对比检查。

3.根据权利要求2所述的安全计算机平台，其特征在于，主控模块对各模块的配置信息检查的过程，具体步骤如下：

1)主控模块A在初始化阶段，读取应用配置文件，获取应用配置数据；

2)主控模块A读取本模块硬件版本信息，并检查自身配置信息是否正确；

3)主控模块A通过内部总线向其他各模块发送给配置信息索要命令，其他各模块包含主控模块B及其他全部执行模块；

4)主控模块B及其他全部执行模块在上电初始化阶段，会分别读取本模块硬件版本信息备用；

5)主控模块B及其他全部执行模块接收到主控模块的配置信息索要命令，通过内部总线将自身的配置信息发送给主控模块A；

6)主控模块A将接收到的各模块配置信息与读取的应用配置文件进行一致性和完整性检查，超时未收到配置信息或者收到校验错误的配置信息的模块按照未配置进行处理；

7)主控模块A检查完毕，返回检查结果；

8)主控模块A可判断完整性检查结果是否可接受，决定是否进入正常工作，即判断当前配置错误的模块是否影响主控模块正常工作、是否可以接受该模块的配置错误。

4.根据权利要求2所述的安全计算机平台，其特征在于，主备系的主控模块均可执行系统完整性检查。

5.根据权利要求1所述的安全计算机平台，其特征在于，当应用场景发生变化时，需要对应用配置文件重新配置；应用配置文件中合理设计的配置项可准确表示出当前各模块的配置信息。

6.根据权利要求5所述的安全计算机平台，其特征在于，所述配置项可根据实际应用场景定义，有软硬件版本、模块工作方式、常用参数。

7.根据权利要求1所述的安全计算机平台，其特征在于，平台中的每个模块中都采用软件组件和其他组件的模块结构，而软件组件又采用平台软件程序和应用软件程序的软件架构；在平台软件程序中增加读取应用配置文件的接口。

8.根据权利要求1所述的安全计算机平台，其特征在于，通过安全计算机平台的冗余串行总线，可快速获取到各模块的详细配置信息。

9.根据权利要求1所述的安全计算机平台，其特征在于，平台系统中的应用配置文件唯一。