JP7160550B2 - マルチコアアーキテクチャ、インタフェースカードおよびデータパケットを処理するための方法 - Google Patents

Description

本発明は、通信を目的としたマルチコアアーキテクチャに関する。特に本発明は、列車通信ネットワーク（ＴＣＮ：ｔｒａｉｎ ｃｏｍｍｕｎｉｃａｔｉｏｎ ｎｅｔｗｏｒｋ）において使用されるマルチコアアーキテクチャに関する。ＴＣＮは、通常の場合、種々の通信ネットワークオプションから形成されており、特に有線列車バス（ＷＴＢ：ｗｉｒｅ ｔｒａｉｎ ｂｕｓ）、イーサネット列車バックボーン（ＥＴＢ：Ｅｔｈｅｒｎｅｔ ｔｒａｉｎ ｂａｃｋｂｏｎｅ）、多機能ビークルバス（ＭＶＢ：ｍｕｌｔｉｆｕｎｃｔｉｏｎ ｖｅｈｉｃｌｅ ｂｕｓ）、コントローラエリアネットワーク（ＣＡＮ）バス、および／またはイーサネット（ＥＴＨ）を設けることができる。本発明は、列車通信ネットワーク内の異なるサブシステムを相互接続し、それらのサブシステムが一緒に通信できるようにするために、またはＴＣＮを介して相互に通信できるようにするために使用される。

ＴＣＮにおいて種々のサブシステムを相互接続するための、新規の革新的な安全関連装置の開発に掛かるコストの大部分は、妥当性検査プロセスおよび検証プロセスによってもたらされる。

列車のあらゆる機能を、公知の安全度水準（ＳＩＬ：ｓａｆｅｔｙ ｉｎｔｅｇｒｉｔｙ ｌｅｖｅｌ）に分類することができる。ネットワーク通信デバイスは、関係する機能のＳＩＬを引き継ぐ。安全度水準は、安全計装機能（ＳＩＦ：ｓａｆｅｔｙ ｉｎｓｔｒｕｍｅｎｔｅｄ ｆｕｎｃｔｉｏｎ）に要求される性能の尺度である。安全度水準は０～４まで存在し、安全度水準０は危険が低いとみなされ、安全度水準０デバイスに危険が及ぼされる可能性は（ほぼ）ない。最も高い安全度水準はレベル４である。

安全度水準１～４のうちのいずれかを有する安全機能に含まれるあらゆるアプリケーションおよびあらゆるデバイスは、評価者によって評価されなければならない。評価者は、開発プロジェクトからは独立した存在である。多くの場合、それらの評価または検証は、外部の当局によって実施され、これには時間と費用が掛かる。評価が完了すると、デバイスまたはそのデバイスにおいて実行されるプロセスに対して何らかの変更を加える場合には、別の新たな評価手続きを受けなければならない。したがって、変更にも時間と費用が掛かる。

さらに、鉄道アプリケーションに関しては、空間もまた列車通信ネットワークにおける重要なパラメータである。何故ならば、通信デバイスのために空間を節約した設計が所望されるからである。しかしながら、インタフェースカードは、サブシステム製造業者にフレキシビリティを提供する。何故ならば、インタフェースカードは、サブシステム製造業者のシステムおよびプロトコルをＴＣＮ自体に適合させる必要はないからである。さらには、システムのメンテナンスが単純化される。

したがって、本発明の課題は、上述の欠点を解決する、マルチコアアーキテクチャ、インタフェースカードおよび方法を提供することである。

マルチコアアーキテクチャに関する課題は、請求項１に記載のマルチコアアーキテクチャによって解決される。有利な実施の形態は、従属請求項に記載されている。

マルチコアアーキテクチャは、第１の中央処理装置（ＣＰＵ）および第２の中央処理装置を有しているリコンフィギュラブルロジックデバイスを含んでいる。第１のＣＰＵは、安全関連データを処理するように構成されており、また有利には安全関連機能を実行するように構成されている。この安全関連機能および安全関連データは、少なくとも安全度水準１～４のうちのいずれかに分類されるあらゆるデータである。第２のＣＰＵは、非安全関連データ、また有利には非安全関連機能のみを処理するように構成されており、この非安全関連データは、安全度水準のいずれにも分類されないか、または安全度水準０に属するあらゆるデータである。１つの実施例によれば、第１のＣＰＵおよび／または第２のＣＰＵは、縮小命令セットコンピュータ（ＲＩＳＣプロセッサ）として形成されている。他のタイプのプロセッサ、例えばＣＩＳＣなども考えられる。

このマルチコアアーキテクチャによって、さらなる検証を受ける必要はなく、第２の非安全関連ＣＰＵのアプリケーション（ファームウェア）を更新することができる。このことが可能であるのは、第１の安全関連ＣＰＵのアプリケーションが影響を受けないからである。慣例のアーキテクチャにおいては、全体の機能が、単一のＣＰＵによってカバーされているか、または例えばＡＳＩＣのような異なるロジックデバイスとしてそれぞれ実施されている個々のＣＰＵに存在している。本発明は、同一のリコンフィギュラブルロジックデバイス内の複数のＣＰＵをインスタンス化する。

１つの実施の形態において、リコンフィギュラブルロジックデバイスは、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）として形成されている。これによって、（鉄道）安全関連アプリケーションのための更新可能なマルチコアアーキテクチャが提供され、このマルチコアアーキテクチャはさらに、非常に空間を節約した設計を提供する。第２のＣＰＵのアプリケーションファームウェアを更新することができる、かつ／または別のアプリケーションを第２のＣＰＵにおいて実施することができる。この第２のＣＰＵは、非安全関連データだけを処理するために使用されるので、別の（新たな）評価プロセスまたは検証プロセスは必要ない。

別の例においては、マルチコアアーキテクチャは、第１のＣＰＵを第２のＣＰＵにリンクさせ、かつ第１のＣＰＵにおいて実行されるプロセスが、第２のＣＰＵのプロセスによって干渉かつ／または妨害されることを阻止するように構成されているプロセッサ間通信装置が設けられていることを特徴としており、このプロセッサ間通信装置は、有利には、第１のＣＰＵと第２のＣＰＵとの間の情報伝送を実現し、この情報伝送は、有利には、双方向性である。プロセッサ間通信装置は、有利には、リコンフィギュラブルロジックデバイス自体において実施されており、また一種のファイアウォールとして、特にハードウェアファイアウォールとして使用される。プロセッサ間通信装置は、第２のＣＰＵが第１のＣＰＵのオペレーションを干渉かつ／または妨害できないことを保証する。

有利には、マルチコアアーキテクチャは、１つまたは複数の周辺装置を第１のＣＰＵおよび／または第２のＣＰＵに少なくとも間接的に接続するように構成されているディジタルインタフェースモジュールを提供する。１つの有利な実施の形態においては、ディジタルインタフェースモジュールが、リコンフィギュラブルロジックデバイス上に、またはリコンフィギュラブルロジックデバイス内に実施されており、このリコンフィギュラブルロジックデバイスはより一層空間を節約したレイアウトを提供する。

さらに有利には、１つまたは複数のネットワークデバイスを、第１のＣＰＵおよび／または第２のＣＰＵに少なくとも間接的に接続するように構成されているネットワークインタフェースモジュールが設けられている。１つの有利な実施の形態においては、ネットワークインタフェースモジュールが、リコンフィギュラブルロジックデバイス上に、またはリコンフィギュラブルロジックデバイス内に実施されている。このネットワークインタフェースモジュールを介して、マルチコアアーキテクチャは、例えばイーサネットを介して、ＴＣＮと通信することができる。

１つの実施の形態においては、ネットワークインタフェースモジュールを、マルチポートの、有利には３ポートのイーサネットスイッチとして形成することができるか、またはそのようなイーサネットスイッチに接続することができる。

マルチコアアーキテクチャのさらに別の例においては、データ分離装置が設けられている。データ分離装置は、有利には、リコンフィギュラブルロジックデバイス上またはリコンフィギュラブルロジックデバイス内に実施されており、またデータ分離装置は、データを安全関連データ（安全度水準１～４を有しているデータ）と、非安全関連データ（安全度水準０を有しているか、または安全度水準を有していないデータ）と、に分離させるように構成されている。データ分離装置は、安全度水準０を有しているか、または安全度水準を有していない非安全関連データのみが第２のＣＰＵに送られることを保証する。１以上の安全度水準を有しているあらゆるデータパケットは、第１のＣＰＵに送信される。

処理されたデータパケットのホスト装置への安全かつ完全な伝送を保証するために、さらに別の実施の形態においては、ホストインタフェースが設けられている。このホストインタフェースは、処理されたデータパケットをホスト装置に伝送するために第１のＣＰＵおよび／または第２のＣＰＵに少なくとも間接的に接続されている。ホスト装置は、マルチコアアーキテクチャと通信するために、したがって全体のＴＣＮと通信するために、ホストのマイクロプロセッサにおいてホストアプリケーションを実行させることができるホストドライバを含むことができる。ホストアプリケーションは、例えば、ドア制御アプリケーション、窓制御アプリケーション、車内空調制御アプリケーションなどであってよい。

マルチコアアーキテクチャのさらに別の実施の形態においては、第１のリアルタイムオペレーティングシステムが第１のＣＰＵにおいて実行され、第２のリアルタイムオペレーティングシステムが第２のＣＰＵにおいて実行される。付加的に、第１のＣＰＵは、安全度水準１～４を有しているデータに関連する第１の組込みアプリケーションを実行することができ、これに対して、安全度水準０を有しているか、または安全度水準を有していない非安全関連データを処理する第２のＣＰＵにおいて、第２の組込みアプリケーションを実行することができる。

１つの例においては、（少なくとも部分的に）更新可能なシステムを提供するために、第２のＣＰＵが再プログラミング可能に構成されている。したがって、さらに別の例においては、リコンフィギュラブルロジックデバイスは、メモリ（有利にはフラッシュメモリ）を含んでいる。このメモリにおいては、いずれのタイプのデータも、すなわち安全関連データおよび非安全関連データの両方を記憶することができる。また、一方が安全関連データを記憶し、他方が非安全関連データを記憶する、２つの異なるメモリをリコンフィギュラブルロジックデバイスに含ませることができる。いずれの場合においても、非安全関連データ、非安全関連機能または非安全関連プログラムに関する、メモリ（フラッシュメモリ）イメージの一部のみを更新することができる。したがって、第２のＣＰＵの組込みアプリケーションおよび／または第２のリアルタイムオペレーティングシステムを更新または再プログラミングすることができる。したがって、非安全関連データに関連する第２のＣＰＵまたは装置に対する変更または修正を、鉄道用途のためのマルチコアアーキテクチャ全体を再評価または再検証する必要なく容易に実施することができる。別の実施の形態においては、第２のＣＰＵを再プログラミングかつ／または更新するために、付加的なまたは別個のプログラミングポートを設けることができる。

方法に関する課題は、請求項１１に記載の方法によって解決される。有利な実施の形態は、従属請求項に記載されている。

本発明は、１つまたは複数の安全関連データパケットおよび１つまたは複数の非安全関連データパケットを含んでいるデータパケットを処理する方法に関し、この方法は以下のステップを含んでいる：
－第１のＣＰＵおよび第２のＣＰＵを含んでいるリコンフィギュラブルロジックデバイスを備えたマルチコアアーキテクチャを提供するステップ；
－データ分離装置によって、１つまたは複数の安全関連データパケットを、非安全関連データパケットから分離させるステップ；
－安全関連データを処理するように構成されている第１のＣＰＵにおいて安全関連データパケットを処理し、それによって、処理された安全関連データパケットを生成するステップ；
－非安全関連データのみを処理するように構成されている第２のＣＰＵにおいて１つまたは複数の非安全関連データパケットを処理し、それによって、１つまたは複数の処理された非安全関連データパケットを生成するステップ。

もちろん、２つ以上の第１のＣＰＵおよび／または２つ以上の第２のＣＰＵを、リコンフィギュラブルロジックデバイスに含ませることもできる。改竄からデータパケットを保護するために、（第１のＣＰＵとホスト装置において実行される任意のホストアプリケーションとの間において）１つまたは複数の安全関連データパケットを処理している間に、安全層が１つまたは複数の処理された安全関連データパケットに含まれる。この安全層は、チェックサムおよび／または他の情報を処理された安全関連データパケットに追加し、それによってホスト装置は、データパケットが完全であるか否かを検出することができる。したがってホスト装置は、対応する検査装置または検査アプリケーション機能を含んでいる。

さらに、別の実施の形態によれば、付加的な下記のステップが含まれる：
－処理された安全関連データパケットを、有利には（マルチチャネルの）ホストインタフェースを使用して、ホスト装置またはホストシステムに伝送するステップ。ホストインタフェースは、有利には、処理された安全関連データパケットを伝送するための１つまたは複数の安全関連チャネルおよび処理された非安全関連データパケットを伝送するための１つまたは複数の非安全関連チャネルを含んでいる。

第２のＣＰＵにおけるファームウェア、第２のリアルタイムオペレーティングシステムまたは第２の組込みアプリケーションを更新するために、またそれによって更新可能なマルチコアアーキテクチャを形成するために、付加的な以下のステップが含まれる：
－少なくとも第２のＣＰＵと通信するように構成されているプログラミングポートを提供するステップ；および
－第２のＣＰＵにおけるファームウェアおよび／または第２のリアルタイムオペレーティングシステムまたは第２の組込みアプリケーションを、有利には第１のＣＰＵにおいて実行されるプロセスに影響を及ぼすことなく、プログラミングポートを介して更新するステップ。

したがって、システム全体が稼働しているときに、かつ／またはシステム全体が稼働していないときに、（有利にはＦＰＧＡのフラッシュメモリに記憶されている）ファームウェアおよび／または第２のリアルタイムオペレーティングシステムまたは組込みアプリケーションを更新することができる。

インタフェースカードに関する課題は、請求項１５に記載のインタフェースカードによって解決される。このインタフェースカードは、ホスト装置を通信ネットワークにリンクさせるように構成されている。インタフェースカードは、第１のＣＰＵおよび１つまたは複数の第２のＣＰＵを含んでいるリコンフィギュラブルロジックデバイスを備えたマルチコアアーキテクチャを含んでいる。第１のＣＰＵは、安全関連データを処理するように構成されており、また１つまたは複数の第２のＣＰＵは、非安全関連データだけを処理するように構成されている。

他の種々のマルチコアアーキテクチャ、データパケットを処理する方法およびインタフェースカードは、添付の図面に図示したような実施例の下記の詳細な説明を参照することによって、より一層明らかになる。

図示の第１の実施の形態による、マルチコアアーキテクチャの簡略化された平面図を示す。 マルチコアアーキテクチャの、図示の第２の実施の形態の簡略化された平面図を示す。 図１または図２によるマルチコアアーキテクチャにおいて使用される第１のＣＰＵの簡略化された平面図を示す。 図１または図２によるマルチコアアーキテクチャにおいて使用される第２のＣＰＵの簡略化された平面図を示す。 ホスト装置と接続されている、図２のマルチコアアーキテクチャを含んでいるインタフェースカードの簡略化された平面図を示す。

図１を参照すると、マルチコアアーキテクチャ１は、リコンフィギュラブルロジックデバイス２を含んでいる。この実施の形態において、リコンフィギュラブルロジックデバイス２は、フィールドプログラマブルゲートアレイ、ＦＰＧＡ２ａとして形成されている。ＦＰＧＡ２ａは、第１のＣＰＵ３および第２のＣＰＵ４を含んでいる。両ＣＰＵ３、４を、マイクロコントローラ、特にＲＩＳＣプロセッサを含んでいるマイクロコントローラとして形成することができる。第１のＣＰＵ３は、安全関連データを処理するように構成されており、これに対して、第２のＣＰＵ４は、非安全関連データだけを処理するように構成されている。もちろん、２つ以上の第１のＣＰＵ３を、ＦＰＧＡ２ａ内に、またはＦＰＧＡ２ａ上に実施してもよい。また、２つ以上の第２のＣＰＵ４をＦＰＧＡ２ａ内に、またはＦＰＧＡ２ａ上に含ませること、または実施することも可能である。

マルチコアアーキテクチャ１は、ディジタルインタフェースモジュール６を含んでおり、このディジタルインタフェースモジュール６は、１つまたは複数の周辺装置またはホスト装置１１を、ホストインタフェース１０を介して、リコンフィギュラブルロジックデバイス２に少なくとも間接的に接続するように構成されている。ここでは、第１のＣＰＵ３によって処理されたデータパケットおよび第２のＣＰＵ４によって処理されたデータパケットを、周辺装置に、例えばホスト装置１１に供給することができる。

図示の実施の形態においては、ディジタルインタフェースモジュール６が、リコンフィギュラブルロジックデバイス２、すなわちＦＰＧＡ２ａ内にまたはＦＰＧＡ２ａ上に実施されている。１つの例においては、このディジタルインタフェースモジュール６をＦＩＦＯ、デュアルポートＲＡＭなどとして形成することができる。ディジタルインタフェースモジュール６は、ＦＰＧＡ２ａ上またはＦＰＧＡ２ａ内に実施されているＣＰＵ３、４の数に対応する数のチャネル１４を含んでいる。この実施の形態においては、２つのチャネル１４、すなわちホストインタフェース１０を介してホスト装置１１に安全関連データを伝送するための第１のチャネル１４ａと、ホストインタフェース１０を介してホスト装置１１に非安全関連データを伝送するための第２のチャネル１４ｂと、がディジタルインタフェースモジュール６内に設けられている。付加的なチャネル１４を設けることも同様に可能である。

マルチコアアーキテクチャ１はさらに、ネットワークインタフェースモジュール７を含んでおり、この例においては、このネットワークインタフェースモジュール７もリコンフィギュラブルロジックデバイス２、すなわちＦＰＧＡ２ａ内にまたはＦＰＧＡ２ａ上に実施されている。このネットワークインタフェースモジュール７は、１つまたは複数のネットワークデバイスを、第１のＣＰＵ３および／または第２のＣＰＵ４に少なくとも間接的に接続するように構成されている。ネットワークインタフェースモジュール７を、マルチポートの、特に３ポートのイーサネットスイッチ８として形成することができるか、またはそのようなイーサネットスイッチ８に接続されるように構成することができる。異なる数のポートも考えられる。ネットワークインタフェースモジュール７は、第１の入力部１５ａおよび第２の入力部１５ｂを含んでおり、それらの入力部１５ａ、１５ｂは、フィルタリング装置１６ａを含んでいる出力ポート１６に接続されている。択一的または付加的に、ネットワークインタフェースモジュール７にはバッファリング装置１６ｂも含まれている。このネットワークインタフェースモジュール７は、そのフィルタリング装置１６ａと共に、データを安全関連データと、非安全関連データと、に分離させるように構成されているデータ分離装置９として形成されている。また、データ分離装置９を、ネットワークインタフェースモジュール７とは別個に形成することも可能である。データ分離装置９を通過すると、安全関連データは、さらなる処理のために第１のＣＰＵ３に伝送される。非安全関連データは、さらなる処理のために第２のＣＰＵ４に伝送される。

図２を次に参照すると、マルチコアアーキテクチャ１の別の実施の形態が図示されている。このマルチコアアーキテクチャ１は、プロセッサ間通信装置５が設けられている点において、図１におけるマルチコアアーキテクチャとは異なっている。プロセッサ間通信装置５は、第１のＣＰＵ３を第２のＣＰＵ４にリンクさせ、また第１のＣＰＵ３において実行されるプロセスが、第２のＣＰＵ４のプロセスによって干渉かつ／または妨害されることを阻止するように構成されている。例示的なプロセッサ間通信装置５によって、プロセッサ間の通信を実現することができるが、それらのプロセッサの干渉は阻止することができる。プロセッサ間通信装置５は、第２のＣＰＵ４のデータまたは第２のＣＰＵ４におけるデータへのアクセスを許可するように構成されているが、しかしながら第１のＣＰＵ３のデータまたは第１のＣＰＵ３におけるデータへのアクセスを拒否するように構成されている。もしくは、換言すれば、第１のＣＰＵ３は第２のＣＰＵ４におけるデータにアクセスすることができるが、しかしながらそれとは反対に、第２のＣＰＵ４は第１のＣＰＵ３におけるデータにアクセスすることはできない。このプロセッサ間通信装置５もまた、リコンフィギュラブルロジックデバイス２上に、またはリコンフィギュラブルロジックデバイス２内に実施されており、単に２つまたはそれ以上のＣＰＵ３、４間の（ハードウェア）ファイアウォールとして使用される。

図３ａを参照しながら、第１のＣＰＵ３における詳細な概略図を考察する。第１のＣＰＵ３は、第１のリアルタイムオペレーティングシステム１８ａ（ＲＴＯＳ）を実行するように構成されており、また第１のネットワーク通信ユニット１９ａを含んでいる。第１のＲＴＯＳを設けることは必須ではないが、しかしながら設けることは有利である。さらに、第１のＣＰＵ３は、安全関連アプリケーションが実行および実施されるユニット２０ａを含んでいる。この安全関連アプリケーションは、安全関連データパケットを処理し、この安全関連データパケットを、さらに第１のＣＰＵ３の暗号化ユニット２１ａにおいて処理することができる。この暗号化ユニット２１ａ内で、安全関連データパケットがホスト装置１１に伝送される前に、安全層２２を、処理された安全関連データパケットに含ませることができる。

図３ｂを参照しながら、本発明の１つの実施例による第２のＣＰＵ４を説明する。第２のＣＰＵ４は、安全関連アプリケーションが設けられていない点で、図３ａにおける第１のＣＰＵ３とは異なっている。その代わりに、第２のＣＰＵ４は、非安全関連データを処理するための非安全関連アプリケーションを有するユニット２０ｂを使用する。したがって、安全度水準１～４のいずれかに分類されるデータパケットを処理することはできない。図示の第２のＣＰＵ４は、暗号化ユニット２１ｂも有しているが、この暗号化ユニット２１ｂは省略することができる。何故ならば、安全層２２を処理された非安全関連データパケットに含ませる必要はないからである。第２のＲＴＯＳを設けることは必須ではないが、しかしながら設けることは有利である。

図４には、有線または無線によりホスト装置１１に接続されているインタフェースカード１３が示されている。例示的なインタフェースカード１３は、図２に示した実施の形態によるマルチコアアーキテクチャ１を含んでいる。インタフェースカード１３には、さらに、リコンフィギュラブルロジックデバイス２、すなわちＦＰＧＡ２ａに接続されているメモリ２３が設けられている。他のコンポーネント２４を、ＦＰＧＡ２ａに接続することもできる。

１つまたは複数の安全関連データパケットを含んでいるデータパケットを処理する方法を下記において説明する。

１つまたは複数の安全関連データパケットおよび１つまたは複数の非安全関連データパケットを含んでいるデータパケットが、ネットワーク、例えば列車通信ネットワークから、例示的な実施の形態においては３ポートのイーサネットスイッチ８であるネットワークインタフェースモジュール７の第１の入力部１５ａおよび／または第２の入力部１５ｂに送信される。データパケットは、有利な実施の形態においてはフィルタリング装置１６ａとして形成されているデータ分離装置９によって、１つまたは複数の安全関連データパケットと、１つまたは複数の非安全関連データパケットと、に分離される。

安全関連データパケットは、ライン２５を介して第１のＣＰＵ３に送信され、そこにおいて処理される。非安全関連データパケットは、ライン２６を介して第２のＣＰＵ４に送信され、そこにおいて処理される。プロセッサ間通信装置５は、第２のＣＰＵ４における非安全関連データの処理が、第１のＣＰＵ３において実行されるプロセスを干渉しないことを保証する。第１のＣＰＵ３は安全関連データパケットを処理し、また第２のＣＰＵ４は非安全関連データパケットを処理する。付加的に、第１のＣＰＵ３の第１の暗号化ユニット２１ａにおいては、安全層２２が１つまたは複数の処理された安全関連データパケットに含まれる。処理された安全関連データパケットは、ライン２７を介してディジタルインタフェースモジュール６に伝送され、この実施の形態においては、ディジタルインタフェースモジュール６が、チャネル１４を２つ有するディジタルインタフェースモジュール６である。ライン２８を介して、処理された非安全関連データも、ディジタルインタフェースモジュール６に伝送される。

このディジタルインタフェースモジュール６によって、処理された安全関連データパケットを、ホスト装置１１に、特にホストドライバ２９に伝送することができる。ホストドライバ２９によって、マルチコアアーキテクチャ１と、したがってインタフェースカード１３と通信することができる。通常の場合、ホスト装置１１は、オペレーティングシステム層を含んでおり、このオペレーティングシステム層は、ホストドライバ２９をホストターゲットプラットフォーム、また存在する場合にはホストオペレーティングシステムに適合させるために必要とされる。ホストドライバ２９内には、復号ユニット３０が設けられており、この復号ユニット３０は、安全層２２が正しいか否か、また処理された安全関連データパケットが完全なものであるか否かを検査するように構成されている。したがって、処理された非安全関連データパケットも、安全層２２についてのサーチまたは検査が行われることなく、ホスト装置１１によって受信される。ホスト装置１１においては、ホストアプリケーション３１が、マルチコアアーキテクチャ１を介してＴＣＮから到来するデータパケットを処理する。ホストアプリケーション３１においては、典型的な制御アプリケーションを実行することができ、例えば列車におけるドア制御アプリケーションを実行することができる。

本発明によれば、第２のＣＰＵ内の第２のリアルタイムオペレーティングシステム、または第２のＣＰＵにおいて実行される第２のリアルタイムオペレーティングシステム１８ｂを更新することができる。また非安全関連アプリケーション２０ｂを、アップグレードすることができるか、または置換することができる。したがって、スイッチ８は、第２のＣＰＵ４と通信するように構成されているプログラミングポート１２として機能することができる。このプログラミングポート１２を介して、第２のＣＰＵ４における第２のリアルタイムオペレーティングシステムおよび／またはファームウェアを変更、更新または置換することができる。プロセッサ間通信装置５によって、第１のＣＰＵ３において実行されるプロセスに影響を及ぼすことなく、この更新、変更または置換が実施される。さらに別の実施の形態においては、新たなアプリケーション／ファームウェアがスイッチ８を介して、ＦＰＧＡ２ａのメモリ（２３ａ）にロードされる。その後、新たなアプリケーション／ファームウェアが、第１のＣＰＵ３を用いて、プロセッサ間通信装置５を介して、第２のＣＰＵ４にインストールされる。その後は、リコンフィギュラブルロジックデバイス２の再起動が必要になると考えられる。

インタフェースカード１３のプログラミングを、上記において説明したようなイーサネットポートを介して、特別な（ハードウェア）プログラミングプラグを介して、またはホストインタフェース１０および／またはディジタルインタフェースモジュール６を介して実行することができる。

上記の説明は、実際に制限を課すものではなく、むしろ例示的なものである。上記の例についてのヴァリエーションおよび修正は、当業者には明らかである。それらが本発明の本質から逸脱する必要はない。

１ マルチコアアーキテクチャ
２ リコンフィギュラブルロジックデバイス
２ａ ＦＰＧＡ（フィールドプログラマブルゲートアレイ）
３ 第１のＣＰＵ（中央処理装置／第１のマイクロプロセッサ）
４ 第２のＣＰＵ（中央処理装置／第２のマイクロプロセッサ）
５ プロセッサ間通信装置
６ ディジタルインタフェースモジュール（周辺装置用；例えばホスト装置用）
７ ネットワークインタフェースモジュール（ネットワーク用；例えばＴＣＮ装置用）
８ スイッチ
９ データ分離装置
１０ ホストインタフェース
１１ ホスト装置
１２ プログラミングポート
１３ インタフェースカード
１４ チャネル
１４ａ 第１のチャネル（安全関連データチャネル）
１４ｂ 第２のチャネル（非安全関連データチャネル）
１５ａ 第１の入力部
１５ｂ 第２の入力部
１６ 出力ポート
１６ａ フィルタリング装置
１６ｂ バッファリング装置（ＴＣＮから到来するデータ用）
１７ ボード（例えばプリント基板）
１８ａ 第１のリアルタイムオペレーティングシステム
１８ｂ 第２のリアルタイムオペレーティングシステム
１９ａ 第１のネットワーク通信ユニット
１９ｂ 第２のネットワーク通信ユニット
２０ａ 安全関連アプリケーションを有するユニット
２０ｂ 非安全関連アプリケーションを有するユニット
２１ａ 暗号化ユニット（第１のＣＰＵ）
２１ｂ 暗号化ユニット（第２のＣＰＵ）
２２ 安全層
２２＊ 安全層
２３ メモリ
２３ａ メモリ（例えばフラッシュメモリ）
２４ コンポーネント
２５ ライン
２６ ライン
２７ ライン
２８ ライン
２９ ホストドライバ
３０ 復号ユニット
３１ ホストアプリケーション（ユニット）

Claims (14)

1. 鉄道安全関連アプリケーションのためのマルチコアアーキテクチャ（１）において、
   フィールドプログラマブルゲートアレイ（ＦＰＧＡ）（２ａ）形式のロジックデバイス（２）を含んでおり、
   前記ロジックデバイス（２）は、第１のＣＰＵ（３）および第２のＣＰＵ（４）を含んでおり、
   前記第１のＣＰＵ（３）は、安全関連データを処理するように構成されており、
   前記第２のＣＰＵ（４）は、非安全関連データのみを処理するように構成されており、
   前記第１のＣＰＵ（３）を前記第２のＣＰＵ（４）にリンクさせるプロセッサ間通信装置（５）が設けられており、
   前記プロセッサ間通信装置（５）は、前記ロジックデバイス（２）上に実装され、ハードウェアファイアウォールとして使用され、
   前記プロセッサ間通信装置（５）は、前記第２のＣＰＵ（４）のデータまたは前記第２のＣＰＵ（４）におけるデータへのアクセスを許可するが、前記第１のＣＰＵ（３）のデータまたは前記第１のＣＰＵ（３）におけるデータへのアクセスを拒否するように構成されて、前記第１のＣＰＵ（３）は前記第２のＣＰＵ（４）におけるデータにアクセスすることができるが、前記第２のＣＰＵ（４）は前記第１のＣＰＵ（３）におけるデータにアクセスすることはできず、それによって、前記第２のＣＰＵ（４）のプロセスによる、前記第１のＣＰＵ（３）において実行されるプロセスの干渉かつ／または妨害を阻止し、
   前記第１のＣＰＵ（３）は、安全関連データを処理する暗号化ユニット（２１ａ）を含み、前記暗号化ユニット（２１ａ）は、安全層（２２）を、１つまたは複数の処理された安全関連データパケットに含ませるように構成されている、
   マルチコアアーキテクチャ（１）。
2. ディジタルインタフェースモジュール（６）が設けられており、前記ディジタルインタフェースモジュール（６）は、１つまたは複数の周辺装置を前記第１のＣＰＵ（３）および／または前記第２のＣＰＵ（４）に少なくとも間接的に接続するように構成されていることを特徴とする、請求項１記載のマルチコアアーキテクチャ（１）。
3. ネットワークインタフェースモジュール（７）が設けられており、前記ネットワークインタフェースモジュール（７）は、１つまたは複数のネットワーク装置を前記第１のＣＰＵ（３）および／または前記第２のＣＰＵ（４）に少なくとも間接的に接続するように構成されていることを特徴とする、請求項１または２記載のマルチコアアーキテクチャ（１）。
4. 前記ネットワークインタフェースモジュール（７）は、マルチポートのイーサネットスイッチ（８）として形成されていることを特徴とする、請求項３記載のマルチコアアーキテクチャ（１）。
5. データ分離装置（９）が設けられており、前記データ分離装置（９）は、データを前記安全関連データと前記非安全関連データとに分離させるように構成されていることを特徴とする、請求項１から４までのいずれか１項記載のマルチコアアーキテクチャ（１）。
6. 前記データ分離装置（９）は、リコンフィギュラブルロジックデバイス（ＦＰＧＡ）上に実装されていることを特徴とする、請求項５記載のマルチコアアーキテクチャ（１）。
7. 前記データ分離装置（９）は、データを、安全度水準１～４を有している安全関連データと、安全度水準０を有しているかまたは安全度水準を有していない非安全関連データとに分離させるように構成されていることを特徴とする、請求項５または６記載のマルチコアアーキテクチャ（１）。
8. 処理されたデータパケットをホスト装置（１１）に伝送するために前記第１のＣＰＵ（３）および／または前記第２のＣＰＵ（４）に少なくとも間接的に接続するホストインタフェース（１０）が設けられていることを特徴とする、請求項１から７までのいずれか１項記載のマルチコアアーキテクチャ（１）。
9. 前記第２のＣＰＵ（４）は、再プログラミング可能に構成されており、前記ロジックデバイス（２）は、少なくとも前記非安全関連データを記憶するように構成されたメモリ（２３ａ）を含んでいることを特徴とする、請求項１から８までのいずれか１項記載のマルチコアアーキテクチャ（１）。
10. 前記安全層（２２）は、チェックサムおよび／または他の情報を前記処理された安全関連データパケットに追加し、それによってホスト装置（１１）は、データパケットが完全であるか否かを検出することができることを特徴とする、請求項１から９までのいずれか１項記載のマルチコアアーキテクチャ（１）。
11. １つまたは複数の安全関連データパケットおよび１つまたは複数の非安全関連データパケットを含んでいるデータパケットを処理するための方法において、
    請求項１から１０までのいずれか１項記載のマルチコアアーキテクチャ（１）を提供するステップであって、前記マルチコアアーキテクチャ（１）はデータ分離装置（９）を含む、ステップと、
    前記データ分離装置（９）によって、前記１つまたは複数の安全関連データパケットを、前記非安全関連データパケットから分離させるステップと、
    前記安全関連データを処理するように構成されている第１のＣＰＵ（３）において前記安全関連データパケットを処理し、それによって、前記第１のＣＰＵ（３）の暗号化ユニット（２１ａ）によって含ませられた安全層（２２）を含む１つまたは複数の処理された安全関連データパケットを生成するステップと、
    前記１つまたは複数の非安全関連データパケットを、非安全関連データのみを処理するように構成されている第２のＣＰＵ（４）において処理し、それによって、１つまたは複数の処理された非安全関連データパケットを生成するステップと、
    を含んでいる、方法。
12. 前記処理された安全関連データパケットをホスト装置（１１）またはホストシステムに伝送するステップをさらに含んでいる、請求項１１記載の方法。
13. 前記第２のＣＰＵ（４）と通信するように構成されているプログラミングポート（１２）を提供するステップと、
    前記第２のＣＰＵ（４）におけるファームウェアおよび／または第２のリアルタイムオペレーティングシステムを、プログラミングポートを介して更新するステップと、
    をさらに含んでいる、請求項１１または１２記載の方法。
14. 請求項１から１０までのいずれか１項記載のマルチコアアーキテクチャ（１）を含んでおり、かつ、ホスト装置（１１）を通信ネットワークにリンクさせるように構成されているインタフェースカード（１３）。

Images