DE10149417A1

DE10149417A1 - Verfahren zur Sicherstellung protokollschichtbezogener Konformitätsanforderungen von Datenübertragungsprotokollen

Info

Publication number: DE10149417A1
Application number: DE10149417A
Authority: DE
Inventors: Detlef Kendelbacher; Volker Pliquett; Fabrice Stein
Original assignee: Siemens AG
Current assignee: Siemens AG
Priority date: 2001-10-02
Filing date: 2001-10-02
Publication date: 2003-04-24
Anticipated expiration: 2021-10-03
Also published as: DE10149417B4

Abstract

Die Erfindung betrifft ein Verfahren zur Sicherstellung protokollschichtbezogener Konformitätsanforderungen von Datenübertragungsprotokollen, insbesondere für Komponenten der Eisenbahn-Sicherungstechnik. Um einer Konformitätsanalyse, bei der Risiken der Inkompatibilität und anderen Realisierungen weitgehend ausgeschlossen sind, durchzuführen, ist vorgesehen, dass die Konformitätsanforderungen der Übertragungsprotokolle in statische Anforderungen bezüglich Aufbau und Struktur von Protokoll-Daten-Einheiten (PDU) der Übertragungsprotokolle und dynamische Anforderungen bezüglich zulässiger ereignisabhängiger Zustandswechsel der Übertragungsprotokolle eingeteilt werden, wobei die Anforderungen durch Beaufschlagung mit Testszenarien, die das Regelverhalten der Kommunikationsapplikationen nachbilden, sowie die Untersuchung des Datenstromes an einem oder mehreren Messpunkten zwischen den Protokollschichten, überprüft werden und Abweichungen von den erwarteten Protokolleigenschaften aufgedeckt werden.

Description

Die Erfindung betrifft ein Verfahren zur Sicherstellung protokollschichtbezogener Konformitätsanforderungen von Datenübertragungsprotokollen, insbesondere für Komponenten der Eisenbahn-Signaltechnik.

Das Projekt Funkbasissystem (FBS) entwickelt im Rahmen des Projektes Funkzugbeeinflussung (ETCS2000) die Übertragungskomponenten für Fahrzeug und Strecke. Für diese Entwicklung gibt es einen Europäischen Standard (UNISIG Class 1), der die Übertragungsprotokolle und Sicherungsverfahren zwischen Fahrzeugen und Streckenzentralen definiert. Dieser Standard ist für die Pilotprojekte verbindlich anzuwenden. Problematisch für die Entwicklung dieser Protokolle ist deren Nachweis, da es keinen international anerkannten Referenzstack und Referenztests gibt.

UNISIG CLASS 1 definiert eine Vielzahl (77 Seiten Requirementsspec.) von Anforderungen an die Euroradio-Protokolle safe und nonsafe.

Der Nachweis dieser Requirements kann durch Testen nicht erfolgen, da:

1. Die Kombination aller geforderten Protokollzustände und -optionen einen riesigen Zustandsraum bildet, der unter wirtschaftlichen Gesichtspunkten nicht abgedeckt werden kann.
2. Die äußeren Bedingungen für die Beaufschlagung der Protokolle an den Schnittstellen nicht eingegrenzt sind und deshalb der Zustandsraum nicht beschränkt wird.

Dieses Problem ist typisch für komplexe Übertragungsprotokolle. In der Praxis wird es dadurch gelöst, dass ein Referenzprotokollstack und ein Set von Referenztestfällen geschaffen werden, anhand derer neue Implementierungen auf Konformität überprüft werden. Diese Referenzen existieren nicht für die UNISIG CLASS 1 Spezifikation. Aus diesem Grund kann durch das Projekt Funkbasissystem keine Validierung der UNISIG-Requirements und damit keine Aussage zur Konformität/Interoperabilität erfolgen.

Die UNISIG CLASS 1 Requirements können dennoch als Eingangsanforderungen für die Entwicklung gelten und auch bei der Realisierung verfolgt werden. Problematisch ist nur deren Nachweis.

Das Projekt FBS hat mit dieser Situation ein doppeltes Problem:

1. Solange kein Referenzstack und keine Referenztestsuite verfügbar sind, ist keine Validierung der UNISIG- Requirements möglich und damit kein Konformitätsnachweis.
2. Nach Abschluß der Entwicklung und Test zu UNISIG CLASS 1 im Projekt FBS verbleibt ein erhebliches Risiko, dass der Code in bestimmten Situationen sich nicht UNISIG-konform verhält und nachgebessert werden muss. Dieses Risiko tritt dann ein, wenn auf einer Anlage fremde UNISIG-Implementierungen zusammenspielen sollen (z. B. ausländische ETCS-Fahrzeuge in J-H/L fahren sollen) oder die Konformität an einem dann bestehenden Referenzstack gezeigt werden soll. Die Nachbesserungen sind aufwendig (Traceauswertungen), unplanmäßig und kostenintensiv, da bereits ausgelieferte Systeme geändert werden müssen. Das Projekt FBS will dieses Risiko nicht tragen.

Die Aufgabe der Erfindung besteht in der Minimierung von Risiken der Inkompatibilität des FBS mit anderen Realisierungen des Euroradiostacks gemäß UNISIG CLASS 1. Prinzipiell wird der Nachweis einer eingeschränkten Konformität zu UNISIG CLASS 1 angestrebt. Der Gesamtaufwand für die Minimierung der Risiken bezüglich Inkompatibilität soll in vertretbaren Grenzen gehalten werden.

Die Aufgabe wird mit dem kennzeichnenden Merkmal des Patentanspruches gelöst.

Vorbereitend zur eingeschränkten Konformitätsanalyse müssen zunächst aus den UNISIG-Requirements eingeschränkte Konformitätsanforderungen für die statische und dynamische Analyse abgeleitet werden.

Die relevanten UNISIG-Anforderungen bestehen in Anforderungen an die FBS-Übertragungsprotokolle. Jede Protokollanforderung führt zu Eigenschaften, die sich in Aufbau und Struktur der PDU's und/oder im Zustandsverhalten der Protokollschicht widerspiegeln. Das Zustandsverhalten einer Protokollschicht beeinflusst ebenfalls den PDU-Inhalt, weil die PDU's neben Daten auch Ereignisse für Zustandswechsel übertragen. Diese Eigenschaften können im PDU-Strom am Ausgang einer Protokollschicht geprüft werden. Alle relevanten UNISIG-Anforderungen können deswegen in Anforderungen an Aufbau/Struktur der PDU's (= statische Anforderungen) und Anforderungen an die Zustandslogik (= dynamische Anforderungen) für jede Protokollschicht überführt werden.

Die statischen Konformitätsanforderungen bestimmen, welcher PDU-Aufbau am Ausgang einer Protokollschicht prinzipiell zulässig ist. Diese PDU-Regeln werden im Analyse-Testsystem hinterlegt. Neben dem PDU-Format können auch bestimmte Inhalte der PDU's auf Konformität geprüft werden.

Die dynamischen Konformitätsanforderungen bestimmen, welche Zustandswechsel in Abhängigkeit welcher Ereignisse in einer Protokollschicht auftreten können. Das aus UNISIG abgeleitete Zustandsmodell wird ebenfalls im Analyse-Testsystem hinterlegt.

Nachfolgend wird die Erfindung anhand eines figürlich dargestellten Ausführungsbeispiels näher erläutert. Die Figur zeigt einen Verfahrensablauf zur Konformitätsanalyse in schematischer Darstellung.
Für die Durchführung der eingeschränkten Konformitätsanalyse werden zwei EURORADIO-Stacks über ein Übertragungsmedium miteinander gekoppelt. Das Übertragungsmedium ersetzt das GSM- R/ISDN-Netz und stellt ein vereinfachtes Kanalmodell dar, in welchem das Zeitverhalten eines fehlerfreien GSM-R/ISDN- Kanals nachgebildet wird.
An den äußeren Schnittstellen (Kopplungsschnittstelle zum sicheren Rechner bzw. SA-Schnittstelle im sicheren Rechner) werden die EURORADIO-Stacks mit Testszenarien stimuliert, die das Regelverhalten von ETCS-Systemen nachbilden Die untere Dienstschnittstelle der auf Konformität zu untersuchenden Protokollschicht im SUT bildet einen Messpunkt, an dem das Analyse-Meßsystem passiv den gesamten PDU-Verkehr abgreift und zur Analyse herausführt. Für den FBS-Betrieb ist die Monitoring-Funktion transparent.
Der herausgeführte PDU-Strom wird im Analyse-Testsystem on the fly ausgewertet. Dazu werden die PDU's zunächst hinsichtlich ihres strukturellen Aufbaus auf Regelkonformität überprüft, indem sie mit den hinterlegten PDU-Definitionen verglichen werden. Für diese Auswertung sind keinerlei Informationen über Zustände in der Protokollschicht notwendig. Es erfolgt ausschließlich eine Formatanalyse. PDU's, die Abweichungen von den hinterlegten Definitionen aufweisen, werden als Konformitätsverstoß registriert und abgespeichert. Zur Kontrolle wird ebenfalls der gesamte PDU-Strom als Trace abgelegt.
PDU's, die regelkonform sind, werden anschließend auf enthaltene Informationen bezüglich Zustandswechsel untersucht. Wird ein Event erkannt, erfolgt eine Meldung an das Auswertemodul für dynamische Konformität. In diesem Modul wird analysiert, ob das Event im gegenwärtigen Zustand erlaubt ist und ob der Folgezustand dem Zustandsmodell entspricht. Die zugeordnete Zustandsmaschine im Auswertemodul wird bei gültigen Events entsprechend umgeschaltet. Fehlerhafte Events werden als Regelverstöße protokolliert. Alle Aktivitäten der Zustandslogik werden als Trace parallel abgelegt.
Im Ergebnis der Testdurchführung liegen Protokolle für alle Konformitätsverletzungen hinsichtlich statischer und dynamischer Konformität vor. Außerdem stehen Traces für ggf. notwendige Auswertungen und Fehlersuche bereit.
Der eingeschränkte Konformitätsnachweis beschränkt sich nur auf den Regelbetrieb des FBS. Das heißt, der Nachweis des konformen Verhaltens bei Ausnahmesituationen (z. B. Abbau des Netzkanals durch das GSM-R, Handoverstörungen usw.) sowie das Verhalten des FBS bei nicht konformer Gegenstelle wird nicht betrachtet.
Der Nachweis der eingeschränkten Konformität beschränkt sich auf die Beaufschlagung des FBS mit Testdaten an den Dienstzugangsschnittstellen sowie Monitoringaktivitäten an definierten Messpunkten im Euroradiostack.

Claims

Verfahren zur Sicherstellung protokollschichtbezogener Konformitätsanforderungen von Datenübertragungsprotokollen, insbesondere für Komponenten der Eisenbahn-Sicherungstechnik, dadurch gekennzeichnet, dass die Konformitätsanforderungen der Übertragungsprotokolle in statische Anforderungen bezüglich Aufbau und Struktur von Protokoll-Daten-Einheiten (PDU) der Übertragungsprotokolle und dynamische Anforderungen bezüglich zulässiger ereignisabhängiger Zustandswechsel der Übertragungsprotokolle eingeteilt werden, wobei die Anforderungen durch Beaufschlagung mit Testszenarien, die das Regelverhalten der Kommunikationsapplikationen nachbilden, sowie die Untersuchung des Datenstromes an einem oder mehreren Messpunkten zwischen den Protokollschichten, überprüft werden und Abweichungen von den erwarteten Protokolleigenschaften aufgedeckt werden.