DE3586651T2 - Echtzeit-software-monitor und schreibschutzsteuergeraet. - Google Patents

Description

• Diese Erfindung bezieht sich auf eine Einrichtung zum unabhängigen Verifizieren der ordnungsgemäßen Ausführung von Rechnerprogrammen und zum Schutz in einem Speicher gespeicherter Daten zwecks Isolation von Mehrfach-Software, welche auf einem einzelnen Zentralrechner läuft.
• Die meisten sicherheitskritischen Anwendungen, beispielsweise Flugregelsysteme für Flugzeuge, wurden in analoger Hardware ausgeführt, um potentielle Gefahren, welche sich aus einem fehlerhaften Betrieb der Software ergeben könnten, zu vermeiden.
• Abweichend von in analoger Hardware ausgeführten Funktionen werden Softwarefunktionen wirkungsvoll im Zeitmultiplex mit anderen Softwarefunktionen vom gleichen Rechner abgearbeitet. Folglich sind einzelne Softwarefunktionen schwierig zu isolieren. Verschiedene Techniken wurden benutzt, um die ordnungsgemäße Ausführung von Software festzustellen.
• Die Überwachung von Softwarebetrieb und der Schutz von Daten wurde traditionell in der Software selbst durchgeführt. Beispiele von softwarebezogener Überwachung sind der Herzschlagmonitor sowie die Software-Ticketüberprüfung. Beim Herzschlagmonitor gibt die Software in regelmäßigen Zeitabständen einen Impuls ab, um den Echtzeitberieb zu überwachen. Es ist jedoch möglich, daß ein Software- oder ein Hardwarefehler auch dazu führt, weiterhin die Überwachungsimpulse auszugeben. Bei einem Software-Ticketüberprüfungsmonitor gibt jeder Modul ein Ticket in Form eines Binärwortes oder eines Anzeigers ab, um seine Durchführung anzuzeigen. Der Monitormodul versucht die Operation der Software durch Empfang der Tickets zu verifizieren. Diese Techniken stehen deshalb unter der direkten Überwachung des gleichen Prozessors, den sie überwachen sollen. Folglich ist es schwierig festzustellen, ob eine kritische sicherheitsbezogene Funktionen ausführende Software ordnungsgemäß arbeitet oder Programmdaten nicht geändert wurden.
• Herkömmlich wird Software in kleine funktionelle Blocks ausführbarer Codes unterteilt, welche als Softwaremodule bezeichnet werden. Jeder Softwaremodul kann entsprechend der Definitionen der Radio Technical Commission for Aeronautics DO-178 in die Kategorien kritisch, wesentlich oder unkritisch eingeteilt werden. Sobald ein Softwarepaket, welches in mehr als eine dieser Softwarekategorien fallende Module enthält, von einem gemeinsamen Prozessor durchgeführt wird, ist ein Verfahren der Isolation erforderlich, um eine klare und deutliche Unterteilung der Software hinsichtlich ihrer kritischen Kategorien erforderlich. Andernfalls wurde die Kritizität aller Module innerhalb eines fehlerhaften Softwarepakets derjenigen der kritischsten Gruppe in bezug auf Dokumentations-, Prüfungs- und Verifizikationsanforderungen zugeordnet.
• Zur vollständigen Isolation von Software unterschiedlichen Grades an Kritizität müssen zwei Probleme gelöst werden.
• 1. Ausführungsverifikation - Die Softwaredurchführung muß verifiziert werden zum Schutz gegen die Möglichkeit, daß nicht-kritische Softwaremodule irrtümlich den Programmfluß stören und damit die ordnungsgemäße Aufrufsequenz oder die Durchführungsrate kritischer Module beeinträchtigt wird.
• 2. Datenisolations-Verifikation - Kritische Daten müssen dagegen geschützt werden, daß nicht-kritische Software irrtümlich Speicherplatze des Zwischenspeichers ändert.
• Folglich besteht ein wesentliches Problem bei der Durchführung von Flugsicherheitsfunktionen in Form von Software darin, in einem Softwarepaket mit unterschiedlich kritischen Softwaregraden dafür zu sorgen, daß die kritischen Softwaremodule in ordnungsgemäßer Reihenfolge mit ungestörten Daten voll ausgeführt werden.
• Die vorliegende Erfindung ist in den beigefügten Ansprüchen gekennzeichnet und beschreibt eine Einrichtung zum unabhängigen Verifizieren der ordnungsgemäßen Durchführung von Rechnerprogrammen sowie zum Schutz ausgewählter Bereiche eines Speichers gegen unabsichtliche Änderungen derart, daß eine positive Isolation und ein Datenschutz für Mehrfachprogramme erzielt wird, die in einem einzigen Zentralrechner ablaufen.
• Ein unabhängiger Softwaremonitor nimmt eine Folge von Datenschlüsseln aus der in einem Zentralrechner ablaufenden Software auf. Diese Folge von Datenschlüsseln erzeugen Adressen für einen Nur-Lesespeicher, der mehrere Berechtigungscodes ausgibt, welche mit ausgewählten Teilen der Eingangsdatenschlüssel verglichen werden, um die Gültigkeit der Eingangsdatenschlüssel zu verifizieren und damit den ordnungsgemäßen Betrieb der Softwareverarbeitung in einem Zentralrechner festzustellen. Ferner werden ausgewählte Speicherbereiche durch ein Schreibschutzsignal isoliert, wodurch eine unbeabsichtigte Änderung kritischer Daten ausgeschlossen wird.
• Der Echtzeit-Softwaremonitor und die Schreibschutzsteuerung der vorliegenden Erfindung verifizieren somit die Softwaredurchführung auf unabhängige Weise. Sie isoliert und schützt kritische Daten gegenüber Software von einem niedrigeren Grad der Kritizität und ermöglicht damit die Trennung von Software in einem einzigen Verarbeitungssystem in die drei Grade der Kritizität, wie sie in Radio Technical Commission for Aeronautics (RTCA) Dokument DO-178 beschrieben sind. Die vorliegende Erfindung verifiziert, daß die Software in der ordnungsgemäßen Reihenfolge abläuft und daß die gesamte Softwareaufgabe innerhalb einer vorgegebenen Zeit abgeschlossen ist.
• Ein Echtzeit-Softwaremotor und eine Schreibschutzeinrichtung gemäß der Erfindung wird nachfolgend im einzelnen als Beispiel mit Bezug auf die beigefügten Zeichnungen beschrieben. Darin zeigt:
• Fig. 1 ein Blockschaltbild der Anwendung der vorliegenden Erfindung; und
• Fig. 2 ein ausführliches Blockschaltbild des den Softwaremonitor bildenden integrierten Schaltkreises.
• Wie Fig. 1 zeigt, besteht die vorliegende Erfindung aus einem als Softwaremonitor dienenden integrierten Schaltkreis 10 sowie einem Softwareidentifizierungsspeicher in Form eines Nur-Lesespeichers ROM 11. Jeder Softwaremodul schreibt beim Eingang und beim Verlassen eines nicht dargestellten Zentralprozessors CPU einen binaren Datenschlüssel 1 in den Softwaremonitor-Schaltkreis 10. Der Softwaremonitor 10 vergleicht den Datenschlüssel 1 mit im Speicher ROM 11 gespeicherten Berechtigungscodesequenzen einschließlich Verzweigungssequenzen. Jedesmal wenn ein legitimer Datenschlüssel 1 in den Softwaremonitor 10 eingegeben wird, geht dieser auf einen neuen Zustand über. Der Softwaremonitor 10 und der Festwertspeicher ROM 11 bilden somit einen Zustandsgenerator. Dabei verifiziert der Softwaremonitor 10, daß der Datenschlüssel korrekt ist und in ordnungsgemäßer Folge auftritt. Wird ein Datenschlüssel 1 außerhalb der Folge eingegeben, so wird ein Softwarefehler auf der Leitung 12 angezeigt. Eine Schreibschutzsteuerung 4 entsprechend dem gegenwärtig ablaufenden Softwaremodul ist dem nicht dargestellten Zwischenspeicher des Systems zugeordnet, um kritische Daten gegen versehentliche Änderung zu schützen.
• Ordnungsgemäße Folgen von Datenschlüsseln können Verzweigungsoperationen beinhalten. Da wahlweise legitime Mehrfachfrequenzen von Datenschlüsseln definiert werden können, hat der Softwaremonitor-IC10 einen Moduseingang 8. Wurde mehr als eine legitime Sequenz definiert, so bestimmt der Eingang 8, welche Sequenzen zulässig sind. Beispielsweise sind im Falle der Anwendung in einem Flugregelsystem die Marschflugsequenzen aus den Satz legitimer Sequenzen während des Landemodus ausgeschlossen.
• Bei den meisten Anwendungen werden mehrere unabhängige Softwareaufgaben auszuführen sein und zwar jede mit einer unterschiedlichen Wiederholungsrate. Bei der vorliegenden Erfindung kann eine individuelle Softwareaufgabe zeitweise suspendiert und eine andere Softwareaufgabe genau an jenem Punkt wieder aufgenommen werden, an dem sie zuletzt suspendiert wurde. Jede einzelne Aufgabe wird folglich durch den Softmonitor 10 hinsichtlich ihrer vollständigen Erledigung mit einer vorgegebenen Wiederholungsfrequenz überwacht.
• Betrachtet man nun Fig. 2, so wird eine detaillierte Beschreibung der vorliegenden Erfindung gegeben. Fig. 2 zeigt den integrierten Schaltkreis 10 für die Softwareüberwachung sowie den Festwertspeicher ROM 11 für die Softwareidentitätsprüfung. Zu Beginn und am Ende der Bearbeitung eines jeden Softwaremoduls im nicht gezeigten Zentralprozessor (CPU) wird ein Datenschlüssel 1 dem Softwaremonitor 10, wie erwähnt, zugeführt, und zwar gleichzeitig den konventionellen Verriegelungsschaltkreisen 21, 22, 23 und 34 vom D-Typ. Der Datenschlüssel 1 enthalt einen Schlüsselcode 3, einen Verzweigungscode 7 sowie einen Schreibschutzcode 4. Der Schlüsselcode 3 ist ein Binärcode typischerweise mit acht Bits, der einmalig den Schlüsselcode identifiziert, der Verzweigungscode 7 ist ein Binärcode von üblicherweise zwei Bits, der die Verzweigung in der auszuführenden Programmsteuerung spezifiziert. Der Schreibschutzcode 4 besteht üblicherweise aus vier Bits und gibt an, auf welche Bereiche des Zwischenspeichers der Zentralrechner CPU zugreifen darf. Der Speicherschreibschutz bleibt wirksam, bis er durch einen nachfolgenden Datenschlüssel 1 geändert wird.
• Der Datenschlüssel 1 wird in die Verriegelungsschaltkreise 21, 22 und 23 geschoben, sobald ein Schreibimpulssignal 2 ansteht, und wird in den Verriegelungsschaltkreis 34 eingegeben, sobald ein Steuerimpuls 32 ankommt. Der Verzweigungscode 7 wird vom Verriegelungsschaltkreis 21 an ein logisches UND-Gatter 41 geliefert, sobald der Datenschlüssel 1 und der Schreibimpuls 2 eingehen. Der Verzweigungscode 7 bestimmt, welche Programmflußverzweigung einem gegebenen Datenschlüssel zugeordnet ist. Ein Modussignal 8 wird ebenfalls dem UND-Gatter 41 zugeleitet, welches wahlweise zum Sperren einer ausgewählten Verzweigung dient und ein Verzweigungssteuersignal 9 liefert. Das Verzweigungssteuersignal 9 und ein Altschlüsselcodesignal 19 bilden die Adresse des Software-Identitätsspeichers ROM 11. Ein Altschlüsselcode 19 entsprechend dem unmittelbar vorangehenden Schlüsselcode 3 wird vom Verriegelungsschaltkreis 24 an den Soltwareidentitätsspeicher ROM 11 geliefert, sobald ein Schlüsselcode 3 sowie ein verzögerter Schreibimpuls 25a ankommen. Ein Berechtigungscode 5 sowie ein legitimer Schreibsteuercode 6 bilden die Ausgangssignale des Soltwareidentitätsspeichers ROM 11, wie sie durch die Verzweigungssteuerung 9 und die Adresse des Altschlüsselcodes 19 definiert sind.
• Unmittelbar nach dem Einschreiben des Datenschlüssels 1 in den Softwaremonitor 10 wird der Schlüsselcode 3 aus dem Verriegelungsschaltkreis 22 in einen Vergleicher 12 und der Schreibschutzcode 4 vom Verriegelungsschaltkreis 23 in den Vergleicher 12 eingegeben.
• Der Softwareidentitätsspeicher ROM 11 gibt den Legitimschlüsselcode 5 sowie den Legitim-Schreibsteuercode 6 an den Vergleicher 12. Der Schlüsselcode 3 und der Schreibschutzsteuercode 4 werden im Vergleicher 12 mit dem Legitimschlüssel 5 und dem Legitim-Schreibschutzcode 6 verglichen. Führt der Vergleich nicht zur Gültigkeit, so wird der Verriegelungsschaltkreis 13 durch ein Ausgangssignal des Vergleichers 12 auf der Leitung 12a gesetzt und gibt ein fehleranzeigendes Eingangssignal an das ODER-Gatter 26. Der Takteingang des Verriegelungsschaltkreises 13 ist der verzögerte Schreibimpuls 25a. Die Verzögerungsdauer der Verzögerungsschaltung 25, deren Eingang der Schreibimpuls 2 ist, beträgt üblicherweise mehrere Nanosekunden und muß lang genug sein, um die dem Vergleicher 12 zuzuordnenden internen Verzögerungen im integrierten Schaltkreis zu berücksichtigen. Ist der Verriegelungsschaltkreis 13 gesetzt und zeigt einen ungültigen Vergleich der Eingangssignale des Vergleichers 12 an, so bleibt er gesetzt bis er von einer nicht dargestellten Systemrücksetzschaltung gelöscht wird.
• Zusätzlich zur Überwachung aller ihm wie oben zugeführten Datenschlüssel 1 muß der Softwaremonitor bestätigen, daß eine vorgegebene Folge von Datenschlüsseln innerhalb eines zugeordneten Zeitintervalls empfangen wurde. Zeigt ein Detektor 18 für den letzten Datenschlüssel durch ein Ausgangssignal für das UND-Gatter 27 an, daß der letzte Datenschlüssel 3 empfangen wurde, und bestätigt der Vergleicher 12, daß die Datenschlüssel 1 in ordnungsgemäßer Reihenfolge auftreten, so wird ein Verriegelungsschaltkreis 14 gesetzt, indem ein Ausgangssignal des Vergleichers 12 auf der Leitung 12a ein Eingangssignal für das UND-Gatter 27 liefert und damit anzeigt, daß der letzte gültige Schlüsselcode 3 einer Folge empfangen wurde. Die der Durchführung einer Softwareaufgabe zugeordnete Zeitspanne wird durch einen Aufgabenzeitgeber 15 überwacht, der ein Zeitbasis-Eingangssignal 15a vom Zentralprozessor CPU erhält. Liefert der Aufgabenzeitgeber 15 ein Aufgabenende-Signal 16, wenn der Verriegelungsschaltkreis 14 nicht gesetzt ist, so wird über ein UND-Gatter 28 und ein ODER-Gatter 29 ein Verriegelungsschaltkreis 17 gesetzt und zeigt einen Fehler an.
• Die vorangehende Beschreibung bezieht sich auf die Überwachung einer einzigen Folge von Datenschlüsseln entsprechend einer einzigen Aufgabe. Mehrfachaufgaben mit unterschiedlicher Wiederholfrequenz können mittels der Erfindung durch Umschalten zwischen verschiedenen Aufgaben überwacht werden. Der Datenschlüssel 1 wird in den Softwaremonitor 10 über einen Steuerimpuls 32 eingegeben, welcher die Daten in den Verriegelungsschaltkreis 34 einliest, der seinerseits einen Steuercode 34a an einen Steuercodedetektor 36 ausgibt. Ist der Steuercode 34a ungültig, so wird über ein ODER-Gatter 37, dessen Ausgangssignal vom Ausgangssignal einer Verzögerungsschaltung 35 in die Verriegelungsschaltung 35 eingegeben wird, ein Verriegelungsschaltkreis 38 gesetzt und ein Ungültigkeitssignal 39 an ein ODER-Gatter 40 geliefert. Der Verriegelungsschaltkreis 34 gibt ferner einen Aufgabenauswahlcode 34b aus, der im Falle einer Mehrfachaufgabenverarbeitung Teil der Adresse für den Softwareidentitätsspeicher ROM 11 wird und ein Eingangssignal für den Aufgabenauswahldecoder 44 bildet. Da die Verriegelungsschaltkreise 23 und 24 sowie der Aufgabenzeitgeber 15 einer einzigen Aufgabe (Task) zugeordnet werden müssen, sind mehrere Verriegelungsschaltkreise 23 und 24 sowie Aufgabenzeitgeber 15 vorgesehen, jedoch in Fig. 2 nicht dargestellt. Der Aufgabenauswahldecoder 44 aktiviert jeweils einen von n Verriegelungsschaltkreisen 23, 24 und Aufgabenzeitgebern 15 und zwar in Abhängigkeit von der im Aufgabenauswahlcode 34b enthaltenen Information.
• Die vorliegende Erfindung ist damit eine vom Zentralprozessor unabhängige Einrichtung zur Überwachung der Softwaredurchführung und zum Datenschutz. Ein nicht ordnungsgemäßes Abarbeiten der Software wird somit unverzüglich festgestellt und mit einem hohen Grad an Zuverlässigkeit und Verläßlichkeit gemeldet.

Claims (4)

1. Echtzeiteinrichtung für Software-Überwachung und Schreibschutz, dadurch gekennzeichnet, daß sie

a) eine Vorrichtung (10) aufweist, welche bei Eingabe einer Folge von Datenschlüsseln eine Folge von Speicheradressen liefert, wobei die Datenschlüssel zu ausgewählten Zeiten während der Ausführung eines Programms in einem Zentralrechner auftreten;

b) eine Einrichtung (11) enthält, die beim sequentiellen Empfang der Speicheradressen mehrere sequentielle Berechtigungscodes liefert;

c) eine Vorrichtung (12) zum sequentiellen Vergleich der Berechtigungscodes mit ausgewählten Teilen der Datenschlüssel aufweist, welche hieraus ein die Gültigkeit der Schlüssel anzeigendes Signal ableitet; und

d) Mittel zur Softwareisolation umfaßt, welche Speicherbereiche definieren, die durch die Folge von Datenschlüsseln nicht gehindert werden können.

2. Einrichtung nach Anspruch 1, dadurch gekennzeichnet, daß sie ferner umfaßt:

a) eine Vorrichtung (18), welche ein das Auftreten des letzten Datenschlüssels in einer Folge von Datenschlüsseln anzeigendes Signal liefert;

b) eine Einrichtung (27), welche ein einen gültigen Abschluß einer Folge von Datenschlüsseln anzeigendes Signal liefert, sobald sie ein die Gültigkeit von Datenschlüsseln anzeigendes Signal sowie das das Auftreten des letzten Datenschlüssels in einer Folge anzeigende Signal empfängt.

3. Einrichtung nach Anspruch 1 oder 2, dadurch gekennzeichnet, daß sie ferner umfaßt:

a) eine Vorrichtung (15) zur Zeitvorgabe für eine Softwareaufgabe sowie zum Erzeugen eines Signals beim Erreichen des Abschlusses dieser Softwareaufgabe; und

b) eine Einrichtung (28), welche ein die gültige Ausführung einer Softwareaufgabe anzeigendes Signal liefert, und zwar beim abwechselnden Auftreten eines Aufgabe- Endsignals und des den gültigen Abschluß einer Folge von Datenschlüsseln anzeigenden Signals.

4. Einrichtung nach einem der vorangehenden Ansprüche, dadurch gekennzeichnet, daß sie weiterhin umfaßt:

a) eine Vorrichtung (34) zum Erzeugen eines eine aus einer Mehrzahl von Softwareaufgaben ausgewählte Softwareaufgabe bestimmenden Signals, welches Teil der Folge von Speicheradressen wird, sowie zum Erzeugen eines Steuercodes beim Empfang der Folge von Datenschlüsseln; und

b) eine auf den Steuercode ansprechende Einrichtung (44) zur Erzeugung eines die Gültigkeit des Steuercodes anzeigenden Signals.