CN111708578A - 安全增强龙芯计算主板的可信启动系统及可信启动方法 - Google Patents

Abstract

本发明公开了安全增强龙芯计算主板的可信启动系统及可信启动方法，通过对传统的计算主板开机启动方式进行改进，增加可信计算控制电路，当检测到开机按钮的开机信号或BMC的远程开机信号，首先输出CPU启动控制信号给CPU，中断CPU启动；然后对BIOS进行可信度量，待度量成功后，释放CPU复位信号；接着BIOS启动，对OS内核进行度量，待度量成功后，正常引导OS启动，从而实现可信开机启动。任何环节的度量失败，将中断启动过程，并通过蜂鸣器和指示灯发出告警。即本发明建立了一套主动防御体系，实现从开机启动时就对BIOS和OS内核进行度量，确保没有被修改和植入木马，确保计算主板的启动安全。

Description

安全增强龙芯计算主板的可信启动系统及可信启动方法

技术领域

本发明涉及可信计算控制技术领域，具体涉及安全增强龙芯计算主板的可信启动系统及可信启动方法。

背景技术

高密度服务器采用独特的架构设计，42U高度最多可配置76个计算主板，主要应用在大型数据中心，为大型复杂的互联网应用服务，相对于普通的机架式服务器，运算能力更强、计算密度更高、扩展更灵活。目前，高密度服务器的计算主板都是基于Intel的X86处理器设计实现，依然受限于国外软硬件产品，依然存在断供风险、以及木马和安全漏洞等安全威胁，严重影响信息系统的安全保障和长期稳定运行。

采用龙芯、飞腾等国产处理器是提升高密度服务器安全的有效手段。但是目前基于龙芯、飞腾等国产处理器的自主服务器基本都是机架式服务器，服务器主板采用E-ATX板型和标准ATX电源供电，主板尺寸偏大，不支持热插拔，采用后出线方式等因素，不能满足高密度服务器对计算主板架构要求。

另外，国产不等于安全可信，依然可能存在一定的安全隐患。因此如何采用可信计算技术来实现主动度量机制，确保服务器计算主板的可信启动控制是目前亟待解决的问题。

发明内容

有鉴于此，本发明提供了安全增强龙芯计算主板的可信启动系统及可信启动方法，能够通过设计可信计算控制电路实现对主板开机启动的主动度量确保计算主板的启动安全。

为达到上述目的，本发明的技术方案为：安全增强龙芯计算主板的可信启动系统，包括第一龙芯CPU、第二龙芯CPU、南北桥芯片、电子盘以及可信计算控制电路；第一龙芯CPU、第二龙芯CPU、南北桥芯片和电子盘组成计算主板，其中操作系统OS保存在电子盘上。

第一龙芯CPU分别与第二龙芯CPU以及南北桥芯片通过HT总线连接。南北桥芯片通过SATA总线连接电子盘；

可信计算控制电路中包括开关模块、BIOS芯片、CPLD芯片、可信插槽mini-PCIE以及可信模块。

开关模块通过SPI总线连接在第一龙芯CPU和BIOS芯片之间；开关模块通过GPIO总线连接CPLD芯片。

可信插槽mini-PCIE的接口一侧集成有PCIE信号端口、USB信号端口、CPU启动控制端口、模块复位信号端口、可信度量失败信号端口、SPI信号端口、电源管脚和地管脚；可信插槽mini-PCIE的PCIE信号端口通过PCIE总线连接至南北桥芯片的PCIE连接端口；可信插槽mini-PCIE的USB信号端口通过USB总线连接至南北桥芯片的USB连接端口；可信插槽mini-PCIE的CPU启动控制端口连接CPLD芯片的CPU复位输入端；可信插槽mini-PCIE的模块复位信号端口连接CPLD芯片的模块复位输出端口；所述可信插槽mini-PCIE的可信度量失败端口连接所述CPLD芯片的可信度量失败信号输入端口；可信插槽mini-PCIE的SPI信号端口通过SPI总线连接开关模块；可信插槽mini-PCIE的电源管脚和地管脚分别对应接电源和接地。

可信模块，用于提供信任度量服务，可信模块插接在可信插槽mini-PCIE的插槽一侧。

CPLD芯片接收开机信号；CPLD芯片还具有CPU复位输出端，连接第一龙芯CPU的CPU复位输入端口。

进一步地，开机信号为由开机按钮控制的开机信号或者BMC控制的远程开机信号。

进一步地，CPLD芯片外接蜂鸣器或指示灯。

进一步地，系统还包括主板管理芯片BMC。

主板管理芯片BMC上集成有GPIO信号端口、UART端口、I2C端口以及AVIN端口。

主板管理芯片BMC通过I2C总线连接远程管理中心，接收远程管理中心发出的开机管理信号，产生远程开机信号送入CPLD芯片，同时产生南北桥启动控制信息，通过GPIO端口送入南北桥芯片中。

I2C端口连接温敏芯片，温敏芯片采集所述第一龙芯CPU、第二龙芯CPU以及南北桥芯片的温度，主板管理芯片BMC通过I2C端口监控所述第一龙芯CPU、第二龙芯CPU以及南北桥芯片的温度状态。

AVIN端口获取第一龙芯CPU、第二龙芯CPU、南北桥芯片、CPLD芯片以及BIOS芯片的工作电压并进行实时监控。

本发明一个实施例还提供了安全增强龙芯计算主板的可信启动方法，采用上述安全增强龙芯计算主板的可信启动系统实现可信启动控制方法，具体步骤包括：

步骤1、当CPLD芯片接收到开机信号。

可信模块发出第一CPU启动控制信号，第一CPU启动控制信号通过可信插槽mini-PCIE的CPU启动控制端口进入CPLD芯片，由CPLD芯片的CPU复位输出端送入第一龙芯CPU。

步骤2、第一龙芯CPU接收到CPU启动控制信号之后，联动第二龙芯CPU，使得第一龙芯CPU和第二龙芯CPU均保持在复位状态。

同时CPLD芯片控制开关模块将BIOS芯片与第一龙芯CPU之间的SPI信号断开，同时接通BIOS芯片与可信插槽mini-PCIE的通路。

步骤3、可信模块通过可信插槽mini-PCIE读取BIOS芯片中的固件，按照可信模块预置的预定算法对BIOS芯片中的固件进行信任度量计算，得到信任度量结果，与可信模块预置的预存值进行比对。

若比对结果一致，则可信模块输出第二CPU启动控制信号，经可信插槽mini-PCIE至CPLD芯片，所述CPLD芯片根据第二CPU启动控制信号，控制开关模块接通BIOS芯片与第一龙芯CPU之间的SPI通道，同时将第二CPU启动控制信号发送给第一龙芯CPU，控制第一龙芯CPU联动所述第二龙芯CPU正常启动，第一龙芯CPU读取BIOS芯片中的固件，并使固件运行在第一龙芯CPU和第二龙芯CPU上，从而实现BIOS固件的可信启动，进入步骤4；

若比对结果不一致，则可信模块输出可信度量失败信号，经可信插槽mini-PCIE至CPLD芯片，所述CPLD芯片发出告警信号，同时不启动所述第一龙芯CPU和所述第二龙芯CPU，即所述开机启动中止；

步骤4、运行在第一龙芯CPU和第二龙芯CPU上的固件，对第一龙芯CPU、第二龙芯CPU和南北桥芯片进行初始化参数后，经南北桥芯片的SATA总线读取电子盘中的操作系统OS内核文件，所述南北桥芯片将读取的所述操作系统OS内核文件经USB总线或PCIE总线发送，经可信插槽mini-PCIE发送至可信模块；

步骤5、可信模块按照可信模块预置的预定算法对所述电子盘中的操作系统OS内核文件进行信任度量计算，得到信任度量结果，与可信模块预置的预存值进行比对；

若比对结果一致，则可信模块返回可信度量成功信号，经可信插槽mini-PCIE中的USB总线或PCIE总线，通过南北桥芯片送至CPU上固件。固件根据可信度量成功信号，引导操作系统OS启动，进入操作系统启动流程，从而实现操作系统OS的可信启动。

若比对结果不一致，则可信模块输出可信度量失败信号，经可信插槽mini-PCIE至CPLD芯片，由CPLD芯片发出告警信号，同时终止操作系统OS启动。

有益效果：

1、本发明提供了安全增强龙芯计算主板的可信启动系统及可信启动方法，通过对传统的计算主板开机启动方式进行改进，增加可信计算控制电路，当检测到开机按钮的开机信号或BMC的远程开机信号，首先输出CPU启动控制信号给CPU，中断CPU启动；然后对BIOS进行可信度量，待度量成功后，释放CPU复位信号；接着BIOS启动，对OS内核进行度量，待度量成功后，正常引导OS启动，从而实现可信开机启动。任何环节的度量失败，将中断启动过程，并通过蜂鸣器和指示灯发出告警。即本发明建立了一套主动防御体系，实现从开机启动时就对BIOS和OS内核进行度量，确保没有被修改和植入木马，确保计算主板的启动安全。

2、本发明提供了基于国产单片机实现健康管理系统，摒弃了传统ASPEED公司的解决方案，进一步实现了服务器的国产化。

附图说明

图1为本发明实施例提供的安全增强龙芯计算主板的可信启动系统组成框图。

具体实施方式

下面结合附图并举实施例，对本发明进行详细描述。

本发明的一个实施例提供了安全增强龙芯计算主板的可信启动系统，如图1所示，包括第一龙芯CPU、第二龙芯CPU、南北桥芯片、电子盘以及可信计算控制电路；第一龙芯CPU、第二龙芯CPU、南北桥芯片和电子盘组成计算主板，其中操作系统OS保存在电子盘上。

第一龙芯CPU分别与第二龙芯CPU以及南北桥芯片通过HT总线连接。南北桥芯片通过SATA总线连接电子盘。

可信计算控制电路中包括开关模块、BIOS芯片、CPLD芯片、可信插槽mini-PCIE以及可信模块。

开关模块通过SPI总线连接在第二龙芯CPU和BIOS芯片之间；开关模块通过GPIO总线连接CPLD芯片。

可信插槽mini-PCIE的接口一侧集成有PCIE信号端口、USB信号端口、CPU启动控制端口、模块复位信号端口、可信度量失败信号端口、SPI信号端口、电源管脚和地管脚。

可信插槽mini-PCIE的接口一侧端口与主板上的CPLD芯片和南北桥芯片连接，可信插槽mini-PCIE的另一侧为插槽，用于插接可信模块。

可信插槽mini-PCIE的PCIE信号端口通过PCIE总线连接至南北桥芯片的PCIE连接端口；可信插槽mini-PCIE的USB信号端口通过USB总线连接至南北桥芯片的USB连接端口；可信插槽mini-PCIE的CPU启动控制端口连接CPLD芯片的CPU复位输入端；可信插槽mini-PCIE的模块复位信号端口连接CPLD芯片的模块复位输出端口；可信插槽mini-PCIE的可信度量失败信号端口连接所述CPLD芯片的可信度量失败信号输入端口；可信插槽mini-PCIE的SPI信号端口通过SPI总线连接开关模块；可信插槽mini-PCIE的电源管脚和地管脚分别对应接电源和接地。

可信模块，用于提供信任度量服务，可信模块插接在可信插槽mini-PCIE的插槽一侧。

CPLD芯片接收开机信号；CPLD芯片还具有CPU复位输出端，连接第一龙芯CPU的CPU复位输入端口。

本发明实施例中，开机信号为由开机按钮控制的开机信号或者BMC控制的远程开机信号。其中远程开关信号是在远程管理中心的控制下由主板管理芯片BMC送入到CPLD芯片中。即系统还包括主板管理芯片BMC，如图1。

主板管理芯片BMC上集成有GPIO信号端口、UART端口、I2C端口以及AVIN端口；主板管理芯片BMC内置主板管理软件。

主板管理芯片BMC通过I2C总线连接远程管理中心，接收远程管理中心发出的开机管理信号，产生远程开机信号送入CPLD芯片，同时产生南北桥启动控制信息，通过GPIO端口送入南北桥芯片中。主板管理芯片通过自定义PCIE接口的2路I2C总线，实现与远程管理中心的信息交互，实现开机、关机、复位的远程控制，摒弃传统机架式服务器采用1路管理网口与上级管理系统的通信，具有更好的实时性和可靠性。

I2C端口连接温敏芯片，温敏芯片采集所述第一龙芯CPU、第二龙芯CPU以及南北桥芯片的温度，主板管理芯片BMC通过I2C端口监控所述第一龙芯CPU、第二龙芯CPU以及南北桥芯片的温度状态。

UART端口为主板管理芯片BMC的调试串口，用于外部使用该UART端口对主板管理芯片BMC内置的主板管理软件进行在线调试和维护。

AVIN端口获取第一龙芯CPU、第二龙芯CPU、南北桥芯片、CPLD芯片以及BIOS芯片的工作电压并进行实时监控，实时监控主板各路电压状态。

本发明实施例中，CPLD芯片外接蜂鸣器或指示灯。

本发明另一个实施例还提供了安全增强龙芯计算主板的可信启动方法，采用如上述任一实施例提供的安全增强龙芯计算主板的可信启动系统实现可信启动控制方法，具体步骤包括：

步骤1、当CPLD芯片接收到开机信号。

可信模块发出第一CPU启动控制信号，第一CPU启动控制信号通过可信插槽mini-PCIE的CPU启动控制端口进入CPLD芯片，由CPLD芯片的CPU复位输出端送入第一龙芯CPU。

步骤2、第一龙芯CPU接收到CPU启动控制信号之后，联动第二龙芯CPU，使得第一龙芯CPU和第二龙芯CPU均保持在复位状态。

同时CPLD芯片控制开关模块将BIOS芯片与第一龙芯CPU之间的SPI信号断开，同时接通BIOS芯片与可信插槽mini-PCIE的通路。

步骤3、可信模块通过可信插槽mini-PCIE读取BIOS芯片中的固件，按照可信模块预置的预定算法对BIOS芯片中的固件进行信任度量计算，得到信任度量结果，与可信模块预置的预存值，进行比对，该处预存值根据BIOS芯片固件出厂配置根据预定算法计算出来的结果。

若比对结果一致，则可信模块输出第二CPU启动控制信号，经可信插槽mini-PCIE至CPLD芯片，所述CPLD芯片根据第二CPU启动控制信号，控制开关模块接通BIOS芯片与第一龙芯CPU之间的SPI通道，同时将第二CPU启动控制信号发送给第一龙芯CPU，控制第一龙芯CPU联动所述第二龙芯CPU正常启动，第一龙芯CPU读取BIOS芯片中的固件，并使固件运行在第一龙芯CPU和第二龙芯CPU上，从而实现BIOS固件的可信启动，进入步骤4；

若比对结果不一致，则可信模块输出可信度量失败信号，经可信插槽mini-PCIE至CPLD芯片，所述CPLD芯片发出告警信号，同时不启动所述第一龙芯CPU和所述第二龙芯CPU，即所述开机启动中止；

步骤4、运行在第一龙芯CPU和第二龙芯CPU上的固件，对第一龙芯CPU、第二龙芯CPU和南北桥芯片进行初始化参数后，经南北桥芯片的SATA总线读取电子盘中的操作系统OS内核文件，所述南北桥芯片将读取的所述操作系统OS内核文件经USB总线或PCIE总线发送，经可信插槽mini-PCIE发送至可信模块；

步骤5、可信模块按照可信模块预置的预定算法对所述电子盘中的操作系统OS内核文件进行信任度量计算，得到信任度量结果，与可信模块预置的预存值进行比对；

若比对结果一致，则可信模块返回可信度量成功信号，经可信插槽mini-PCIE中的USB总线或PCIE总线，通过南北桥芯片送至CPU上固件。固件根据可信度量成功信号，引导操作系统OS启动，进入操作系统启动流程，从而实现操作系统OS的可信启动。

若比对结果不一致，则可信模块输出可信度量失败信号，经可信插槽mini-PCIE至CPLD芯片，由CPLD芯片发出告警信号，同时终止操作系统OS启动。

该方法实现了可信开机启动。任何环节的度量失败，将中断启动过程，并通过蜂鸣器和指示灯发出告警。

综上所述，以上仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (5)

1.安全增强龙芯计算主板的可信启动系统，其特征在于，包括第一龙芯CPU、第二龙芯CPU、南北桥芯片、电子盘以及可信计算控制电路；第一龙芯CPU、第二龙芯CPU、南北桥芯片和电子盘组成计算主板，其中操作系统OS保存在电子盘上；

所述第一龙芯CPU分别与所述第二龙芯CPU以及所述南北桥芯片通过HT总线连接；南北桥芯片通过SATA总线连接所述电子盘；

所述可信计算控制电路中包括开关模块、BIOS芯片、CPLD芯片、可信插槽mini-PCIE以及可信模块；

所述开关模块通过SPI总线连接在所述第一龙芯CPU和所述BIOS芯片之间；所述开关模块通过GPIO总线连接CPLD芯片；

所述可信插槽mini-PCIE的接口一侧集成有PCIE信号端口、USB信号端口、CPU启动控制端口、模块复位信号端口、可信度量失败信号端口、SPI信号端口、电源管脚和地管脚；所述可信插槽mini-PCIE的PCIE信号端口通过PCIE总线连接至所述南北桥芯片的PCIE连接端口；所述可信插槽mini-PCIE的USB信号端口通过USB总线连接至南北桥芯片的USB连接端口；所述可信插槽mini-PCIE的CPU启动控制端口连接所述CPLD芯片的CPU复位输入端；所述可信插槽mini-PCIE的模块复位信号端口连接所述CPLD芯片的模块复位输出端口；所述可信插槽mini-PCIE的可信度量失败信号端口连接所述CPLD芯片的可信度量失败输入端口；所述可信插槽mini-PCIE的SPI信号端口通过SPI总线连接所述开关模块；所述可信插槽mini-PCIE的电源管脚和地管脚分别对应接电源和接地；

所述可信模块，用于提供信任度量服务，可信模块插接在所述可信插槽mini-PCIE的插槽一侧；

所述CPLD芯片接收开机信号；所述CPLD芯片还具有CPU复位输出端，连接所述第一龙芯CPU的CPU复位输入端口。

2.如权利要求1所述的系统，其特征在于，所述开机信号为由开机按钮控制的开机信号或者BMC控制的远程开机信号。

3.如权利要求1所述的系统，其特征在于，所述CPLD芯片外接蜂鸣器或指示灯。

4.如权利要求2所述的系统，其特征在于，所述系统还包括主板管理芯片BMC；

所述主板管理芯片BMC上集成有GPIO信号端口、UART端口、I2C端口以及AVIN端口；

所述主板管理芯片BMC通过I2C总线连接远程管理中心，接收所述远程管理中心发出的开机管理信号，产生远程开机信号送入所述CPLD芯片，同时产生南北桥启动控制信息，通过GPIO端口送入所述南北桥芯片中；

I2C端口连接温敏芯片，所述温敏芯片采集所述第一龙芯CPU、第二龙芯CPU以及南北桥芯片的温度，主板管理芯片BMC通过I2C端口监控所述第一龙芯CPU、第二龙芯CPU以及南北桥芯片的温度状态；

AVIN端口获取第一龙芯CPU、第二龙芯CPU、南北桥芯片、CPLD芯片以及BIOS芯片的工作电压并进行实时监控。

5.安全增强龙芯计算主板的可信启动方法，其特征在于，采用如权利要求1～4任一所述的安全增强龙芯计算主板的可信启动系统实现所述可信启动控制方法，具体步骤包括：

步骤1、当CPLD芯片接收到开机信号；

可信模块发出第一CPU启动控制信号，所述第一CPU启动控制信号通过可信插槽mini-PCIE的CPU启动控制端口进入所述CPLD芯片，由CPLD芯片的CPU复位输出端送入所述第一龙芯CPU；

步骤2、所述第一龙芯CPU接收到所述CPU启动控制信号之后，联动所述第二龙芯CPU，使得第一龙芯CPU和第二龙芯CPU均保持在复位状态；

同时CPLD芯片控制开关模块将BIOS芯片与第一龙芯CPU之间的SPI信号断开，同时接通BIOS芯片与所述可信插槽mini-PCIE的通路；

步骤3、可信模块通过可信插槽mini-PCIE读取BIOS芯片中的固件，按照可信模块预置的预定算法对所述BIOS芯片中的固件进行信任度量计算，得到信任度量结果，与可信模块预置的预存值进行比对；

若比对结果一致，则可信模块输出第二CPU启动控制信号，经可信插槽mini-PCIE至CPLD芯片，所述CPLD芯片根据第二CPU启动控制信号，控制开关模块接通BIOS芯片与第一龙芯CPU之间的SPI通道，同时将第二CPU启动控制信号发送给第一龙芯CPU，控制第一龙芯CPU联动所述第二龙芯CPU正常启动，第一龙芯CPU读取BIOS芯片中的固件，并使固件运行在第一龙芯CPU和第二龙芯CPU上，从而实现BIOS固件的可信启动，进入步骤4；

若比对结果不一致，则可信模块输出可信度量失败信号，经可信插槽mini-PCIE至CPLD芯片，所述CPLD芯片发出告警信号，同时不启动所述第一龙芯CPU和所述第二龙芯CPU，即所述开机启动中止；

步骤4、运行在第一龙芯CPU和第二龙芯CPU上的固件，对第一龙芯CPU、第二龙芯CPU和南北桥芯片进行初始化参数后，经南北桥芯片的SATA总线读取电子盘中的操作系统OS内核文件，所述南北桥芯片将读取的所述操作系统OS内核文件经USB总线或PCIE总线发送，经可信插槽mini-PCIE发送至可信模块；

步骤5、可信模块按照可信模块预置的预定算法对所述电子盘中的操作系统OS内核文件进行信任度量计算，得到信任度量结果，与可信模块预置的预存值进行比对；

若比对结果一致，则可信模块返回可信度量成功信号，经可信插槽mini-PCIE中的USB总线或PCIE总线，通过南北桥芯片送至CPU上固件。固件根据可信度量成功信号，引导操作系统OS启动，进入操作系统启动流程，从而实现操作系统OS的可信启动。

若比对结果不一致，则可信模块输出可信度量失败信号，经可信插槽mini-PCIE至CPLD芯片，由CPLD芯片发出告警信号，同时终止操作系统OS启动。

Images