CN103631591B - 符合民用飞机不同软件等级要求的软件运行控制***与方法 - Google Patents

Abstract

本发明揭示了符合民用飞机不同软件等级要求的软件运行控制***与方法，通过将A级软件和D级软件从空间、时间上进行了隔离，同时由于通过内存管理单元设置限制了D级软件访问的Flash的范围，它即使错误的访问了存放A级软件代码的Flash地址也不会出现直接从D级软件跳转到A级软件运行的情况，因此可以确保D级软件运行时A级软件不会运行，用以解决现有技术无法将低等级软件与高等级软件从空间和时间上隔离开来、无法避免低等级软件的故障“传染”到高等级软件中以及无法保证高等级软件完整性的问题。

Description

符合民用飞机不同软件等级要求的软件运行控制***与方法

【技术领域】

本发明涉及软件运行控制领域，特别是指符合民用飞机不同软件等级要求的软件运行控制***与方法。

【背景技术】

民用飞机中的软件设计保障等级，即常说的软件等级，可分为5个等级，分别是A级(灾难性的)，B级(危险的)，C级(重要的)，D级(次要的)和E级(无影响)。软件等级是由安全性评估过程根据失效条件引起的危害性分析决定的，软件等级越高，软件发生故障时对飞机飞行安全产生的危害越大。

A级软件作为最高等级的软件，它的开发成本最为昂贵，根据DO-178B的要求，它需要满足66个目标，而D级软件只需要满足28个目标。D级软件相对于A级软件：

1)不需要开发底层需求；

2)不需要做MCDC(Modified Condition Decision Coverage)覆盖测试；

3)不需要代码评审；

4)对独立性要求非常低；

5)对配置管理的要求非常低等等。

据统计，D级软件的开发成本仅为A级软件的四分之一。

通常，具有不同功能的软件模块会被编译成一个可执行文件在单个CPU上运行，然而如果不同的软件模块被定义成不同的等级，这种不同等级的软件被编译成一个可执行文件的软件架构很难满足民用飞机对于软件分区隔离的要求，因为分区要求对不同软件模块进行隔离，对它们能够访问的硬件进行隔离，低等级的软件故障不能“传染”到高等级的软件中。然而，高等级软件和低等级软件运行在同一个CPU上面，需要访问共同的硬件，几乎不可能做到高等级软件只访问某些硬件，低等级软件只访问其他的硬件，并且高等级软件和低等级软件是被联编成一个可执行文件，它们的代码夹杂在一起执行，无法把它们从空间和时间上隔离开来，无法做到低等级软件的故障不会“传染”到高等级软件中，无法保证高等级软件的完整性(低等级软件会影响高等级软件)。

正是由于不同等级软件共存于一个可执行文件时无法满足高等级软件的完整性，所以这种软件架构只能把原本可以设计为低等级的软件提升为高等级软件来开发，大大增加了开发成本。

【发明内容】

本发明的目的在于提供一种符合民用飞机不同软件等级要求的软件运行控制***与方法，用以解决现有技术无法将低等级软件与高等级软件从空间和时间上隔离开来、无法避免低等级软件的故障“传染”到高等级软件中以及无法保证高等级软件完整性的问题。

为实现上述目的，实施本发明的符合民用飞机不同软件等级要求的软件运行控制***，应用于航空全双工交换式以太网交换机中，该控制***包括：

第一存储单元，其中存储有引导软件、默认软件和默认配置表，该第一存储单元受硬件保护，其中存储的引导软件、默认软件和默认配置表不支持现场加载；

第二存储单元，其支持外部的数据加载器的数据加载，并支持现场加载功能，通过第二存储单元，新的OPS软件和OPS配置表可加载到交换机中；其中第一存储单元中的默认软件和第二存储单元中的OPS软件都分成了A级和D级，其中A级软件被编译为一个可执行文件，D级软件被编译为另外一个可执行文件；另外，外部数据加载请求的监听、是否允许或拒绝数据加载的判断都由A级软件实现，而数据加载功能由D级软件实现；并且第二存储单元内还存储有新的加载软件飞机部件，该新的加载软件飞机部件包括OPS软件或OPS配置表，其通过现场加载的方式加载到第二存储单元；

加载单元，其与第一存储单元与第二存储单元连接，用以将第一存储单元与第二存储单元中不同的软件或配置表加载到CPU的随机存储器中；

NVM(非易失性随机存储器)单元，其与加载单元连接，设有热启动标志与数据加载标志，该两个标志可被修改；

CPU随机存储器，与加载单元连接，接收加载单元加载的软件或配置表等并运行；

内存管理单元，由引导软件进行设置，使CPU只能访问CPU随机存储器和用于存放新的加载软件飞机部件的第二存储单元中设定的地址范围。

为实现上述目的，实施本发明的利用上述的符合民用飞机不同软件等级要求的软件运行控制***对符合民用飞机不同软件等级要求的软件运行控制方法，该方法包括如下步骤：

交换机上电后，默认运行引导软件，引导软件读到NVM单元中的热启动标志为0，则把第二存储单元的A级OPS软件和OPS配置表加载到CPU随机存储器中运行，并进入OPS模式，在此模式下A级OPS软件会监听外部数据加载请求；如果收到外部数据加载请求，并且目前的条件允许接受外部数据加载，则A级OPS软件会把NVM单元中的热启动标志置1，并写一个值到NVM单元中的数据加载标志里，然后复位重启；如果当前条件不允许接受外部数据加载，则A级OPS软件会拒绝外部数据加载请求；

复位重启后，引导软件再次运行，当读取到NVM单元中的热启动标志为1，并根据NVM单元中的数据加载标志，把第二存储单元中的D级OPS软件加载到CPU随机存储器运行并进入数据加载模式；在运行D级OPS软件之前，引导软件通过内存管理单元设置，使CPU只能访问CPU随机存储器和用于存放新的加载软件飞机部件的第二存储单元地址范围，然后跳转到已经加载到CPU随机存储器的D级OPS软件运行；D级OPS软件负责具体的数据加载，将接收到的新的加载软件飞机部件烧写到第二存储单元的上述地址，把NVM单元中的热启动标志置1，并写另一个值到NVM单元中的数据加载标志里，然后复位重启；

复位重启后，引导软件再次运行，它读取NVM单元中的热启动标志为1，并根据NVM单元中的数据加载标志，把A级OPS软件加载到CPU随机存储器运行并进入OPS模式，A级OPS软件根据数据加载标志的值得知有新的加载软件飞机部件被接收到，则A级OPS软件对新的加载软件飞机部件做CRC校验，如果CRC校验通过，则把新的加载软件飞机部件覆盖到第二存储单元中原来存放A级OPS软件、D级OPS软件或OPS配置表的相应的地址，并发送数据加载成功的确认帧到外部数据加载器，并把NVM单元中的热启动标志清0并复位重启；

复位重启后，引导软件再次运行，读取到NVM单元中的热启动标志为0，则把第二存储单元A级OPS软件和OPS配置表加载到CPU随机存储器中运行。

与现有技术相比较，本发明通过将A级软件和D级软件从空间、时间上进行了隔离，同时由于通过内存管理单元设置限制了D级软件访问的Flash的范围，它即使错误的访问了存放A级软件代码的Flash地址也不会出现直接从D级软件跳转到A级软件运行的情况，因此可以确保D级软件运行时A级软件不会运行，再者A级软件或D级软件运行时都独占了所有资源，并且D级OPS软件只在数据加载模式下运行，在其他模式下不会运行，而AFDX交换机离开数据加载模式的唯一方法是复位重启，重启后D级软件可能发生的错误都被清除了，这些错误不会传染到A级软件，从而解决现有技术无法将低等级软件与高等级软件从空间和时间上隔离开来、无法避免低等级软件的故障“传染”到高等级软件中以及无法保证高等级软件完整性的问题。

【附图说明】

图1为实施本发明的符合民用飞机不同软件等级要求的软件运行控制***的组成示意图。

图2为实施本发明的符合民用飞机不同软件等级要求的软件运行控制***在AFDX交换机上的具体应用示意图。

【具体实施方式】

为更清楚的了解实施本发明的符合民用飞机不同软件等级要求的软件运行控制方法，以下以航空全双工交换式以太网(Avionic Full-DuplexSwitched Ethernet)交换机(以下简称AFDX交换机)软件为例进行说明。

AFDX交换机是在航电***中用于信息传输的飞机数据网路交换机，AFDX交换机目前已经在飞机的航电***中广泛使用。AFDX交换机作为民用飞机上的通讯设备，驻留在它里面的软件是需要作为A级软件来设计的。但A级软件开发相当昂贵，成本非常高，在实际使用过程中，ARINC615A数据加载功能只是在地面维护时使用，因此它可以作为D级软件来设计。本发明能够使低等级软件和高等级软件能够在单个处理器上共存，并且符合民用飞机对不同软件等级的要求。本发明能够确保低等级软件(比如D级软件)运行时不会影响高等级软件(比如A级软件)，低等级软件的故障不会“传染”到高等级软件，并且只需要做少量的分区分析即可满足民用飞机软件中的完整性需求，从而大大降低了民用飞机软件的开发成本。

在具体实施时，本发明将不同软件等级的软件编译成多个可执行文件而不是一个可执行文件，并在单个CPU上运行，并通过如下的方法以实现不同软件等级的软件互相隔离的目的。

请参阅图1所示，为实施本发明的符合民用飞机不同软件等级要求的软件运行控制***的组成示意图，该符合民用飞机不同软件等级要求的软件运行控制***包括：

第一存储单元，其中存储有引导软件、默认软件和默认配置表，该第一存储单元受硬件保护，其中存储的引导软件、默认软件和默认配置表只能在在工厂改写而不支持现场加载；

第二存储单元，其支持外部的数据加载器的数据加载，并支持现场加载功能，通过第二存储单元，新的OPS软件和OPS配置表可加载到交换机中；其中第一存储单元中的默认软件和第二存储单元中的OPS软件都分成了A级和D级，其中A级软件被编译为一个可执行文件，D级软件被编译为另外一个可执行文件；另外，对于外部数据加载请求的监听、是否允许或拒绝数据加载的判断都由A级软件实现，而单纯的数据加载功能由D级软件实现；并且第二存储单元内还存储有新的加载软件飞机部件，其可通过现场加载的方式加载到第二存储单元，该新的加载软件飞机部件包括OPS软件或OPS配置表；

加载单元，其与第一存储单元与第二存储单元连接，用以将第一存储单元与第二存储单元中不同的软件或配置表加载到CPU的随机存储器(RAM)中；

NVM单元，其与加载单元连接，设有热启动标志与数据加载标志，该两个标志可被修改；

CPU随机存储器，与加载单元连接，接收加载单元加载的软件或配置表等并运行；

内存管理单元，由引导软件进行设置，使CPU只能访问CPU随机存储器和用于存放新的加载软件飞机部件(LSAP)的第二存储单元的设定的地址范围。

上述的符合民用飞机不同软件等级要求的软件运行控制***的运行方法具体包括如下步骤：

上电后，默认运行引导软件，引导软件读到NVM单元中的热启动标志为0，则把第二存储单元的A级OPS软件和OPS配置表加载到CPU随机存储器中运行，并进入OPS模式，在此模式下A级OPS软件会监听外部数据加载请求。如果收到外部数据加载请求，并且目前的条件(如飞机在地面并且允许进行数据加载)允许接受外部数据加载，则A级OPS软件会把NVM单元中的热启动标志置1，并写一个值到NVM单元中的数据加载标志(615A标志)里，然后复位重启。如果当前条件不允许接受外部数据加载，则A级OPS软件会拒绝外部数据加载请求。

复位重启后，引导软件再次运行，当读取到NVM单元中的热启动标志为1，并根据NVM单元中的数据加载标志，把第二存储单元中的D级OPS软件加载到CPU随机存储器运行并进入数据加载模式。在运行D级OPS软件之前，引导软件通过内存管理单元(MMU)设置，使CPU只能访问CPU随机存储器和用于存放新的加载软件飞机部件(LSAP)的现场可加载FLASH地址范围，然后跳转到已经加载到CPU随机存储器的D级OPS软件运行。D级OPS软件负责具体的数据加载，它把接收到的新的加载软件飞机部件(LSAP)烧写到用于上述内存管理单元设置的存放新的加载软件飞机部件(LSAP)的现场可加载FLASH地址，把NVM单元中的热启动标志置1，并写另一个值到NVM单元中的数据加载标志(615A标志)里，然后复位重启。

复位重启后，引导软件再次运行，它读取NVM单元中的热启动标志为1，并根据NVM单元中的数据加载标志，把A级OPS软件加载到CPU RAM运行并进入OPS模式，A级OPS软件根据数据加载标志的值得知有新的加载软件飞机部件被接收到，则A级OPS软件对新的加载软件飞机部件做CRC校验，如果CRC校验通过，则把新的加载软件飞机部件覆盖到原来存放A级OPS软件、D级OPS软件或OPS配置表的现场可加载Flash地址，并发送数据加载成功的确认帧到外部数据加载器，并把NVM单元中的热启动标志清0并复位重启；在上述的过程中，出于安全的考虑，不能让D级软件有直接写在原来访问存A级OPS软件、D级OPS软件或OPS配置表地址的机会，不然D级软件运行时，如果出错它可能会跳转到A级软件运行，从而可能会把D级软件的故障传染到A级软件，并且D级软件无法保证新LSAP的完整性。所以采用了D级软件把新的LSAP写到第二存储单元的一个临时地址(即内存管理单元设置的存放新的加载软件飞机部件(LSAP)的现场可加载FLASH地址)，然后由A级软件来对新LSAP做完整性检查(CRC校验)，校验成功后才把新LSAP写到正确的地址(即原来存放A级OPS软件、D级OPS软件或OPS配置表的现场可加载Flash地址)中去。

复位重启后，引导软件再次运行，读取到NVM单元中的热启动标志为0，则把A级OPS软件和OPS配置表加载到CPU随机存储器中运行，如此刚加载成功的新的加载软件飞机部件(包括OPS软件或OPS配置表)就可以在交换机中运行。

如图2所示，为实施本发明的符合民用飞机不同软件等级要求的软件运行控制***在AFDX交换机上的具体应用。

在具体实施时，AFDX交换机中有2片Flash(快闪存储)芯片，一片为工厂维护Flash芯片(即第一存储单元)，它受硬件保护，驻留在它里面的引导软件、默认软件和默认配置表只能在工厂改写而不支持现场加载；另一片为现场可加载Flash芯片(即第二存储单元)，它支持ARINC 615A数据加载，可以在现场加载新的OPS软件和OPS配置表到交换机中。因为默认软件和OPS软件都具备ARINC 615A数据加载功能，所以把默认软件和OPS软件都分成了A级和D级，A级软件被编译为一个可执行文件，D级软件被编译为另外一个可执行文件。为了满足安全性要求，对ARINC 615A数据加载请求的监听、是否允许/拒绝ARINC 615A数据加载的判断都放在A级软件中实现，而纯粹的ARINC 615A数据加载功能(TFTP协议等)则在D级软件里实现。

正常情况下，交换机上电后默认运行引导软件，引导软件读到NVM单元中的热启动标志为0，得知需要把A级OPS软件和OPS配置表加载到CPURAM中运行，并进入OPS模式，在此模式下A级OPS软件会监听ARINC615A数据加载请求。如果收到了ARINC 615A数据加载请求，并且目前的条件允许接受ARINC 615A数据加载，则A级OPS软件会把NVM单元中的热启动标志置1，并写一个值到NVM单元中的615A标志里，然后复位重启。但如果当前条件不允许接受ARINC 615A数据加载，则A级OPS软件会拒绝ARINC 615A数据加载请求。

复位重启后，引导软件再次运行，它读取到NVM单元中的热启动标志为1，并根据NVM单元中的615A标志，得知这一次需要把D级OPS软件加载到RAM运行并进入数据加载模式。出于安全性考虑，在运行D级OPS软件之前，引导软件通过内存管理单元(MMU)设置，使CPU只能访问CPURAM，和用于存放新的加载软件飞机部件(LSAP)的现场可加载FLASH地址范围，然后跳转到已经加载到CPU RAM的D级OPS软件运行。D级OPS软件负责具体的数据加载，它把接收到的新的加载软件飞机部件(LSAP)烧写到用于存放它的现场可加载FLASH地址，把NVM单元中的热启动标志置1，并写另一个值到NVM单元中的615A标志里，然后复位重启。

复位重启后，引导软件再次运行，它读取NVM单元中的热启动标志为1，并根据NVM单元中的615A标志，得知这一次需要把A级OPS软件加载到CPU RAM运行并进入OPS模式。A级OPS软件根据615A标志的值得知有新的加载软件飞机部件被接收到，于是A级OPS软件对新的加载软件飞机部件做CRC校验，如果CRC校验通过，则把新的加载软件飞机部件覆盖到原来存放A级OPS软件、D级OPS软件或OPS配置表的现场可加载Flash地址，并发送最后的ARINC 615A数据加载成功的确认帧到ARINC 615A数据加载器，最后把NVM单元中的热启动标志清0并复位重启。

复位重启后，引导软件再次运行，它读取到NVM单元中的热启动标志为0，得知要把A级OPS软件和OPS配置表加载到CPU RAM中运行，这样刚刚加载成功的新的LSAP(包括OPS软件或OPS配置表)就可以运行于交换机了。

从上述步骤可以得出A级软件不会受D级软件错误的影响是因为有以下机制：

(1)A级软件和D级软件从空间、时间上进行了隔离。

(2)由于通过内存管理单元设置限制了D级软件访问的Flash的范围，它即使错误的访问了存放A级软件代码的Flash地址也不会出现直接从D级软件跳转到A级软件运行的情况，因此可以确保D级软件运行时A级软件不会运行。

(3)A级软件或D级软件运行时都独占了所有资源。

(4)D级OPS软件只在数据加载模式下运行，在其他模式下不会运行。

(5)AFDX交换机离开数据加载模式的唯一方法是复位重启，重启后D级软件可能发生的错误都被清除了，也就是说这些错误不会传染到A级软件。

出于安全性考虑，D级OPS软件只实现数据加载操作，而以下三个数据加载相关的任务则在A级OPS软件中实现：

(1)接受/拒绝数据加载请求；

(2)检查接收到的新的加载软件飞机部件(LSAP)的完整性，即CRC校验；

(3)发送加载成功的消息给数据加载器。

这3个任务需要在A级软件里实现是为了保证数据加载的正确开始和结束：

(1)第一个任务可以阻止错误的进入数据加载模式；

(2)第二、第三个任务用来确认数据加载是否成功。

可以理解的是，对本领域普通技术人员来说，可以根据本发明的技术方案及其发明构思加以等同替换或改变，而所有这些改变或替换都应属于本发明所附的权利要求的保护范围。

Claims (2)

1.一种符合民用飞机不同软件等级要求的软件运行控制***，应用于航空全双工交换式以太网交换机中，其特征在于该控制***包括：

第一存储单元，其中存储有引导软件、默认软件和默认配置表，该第一存储单元受硬件保护，其中存储的引导软件、默认软件和默认配置表不支持现场加载；

第二存储单元，其支持外部的数据加载器的数据加载，并支持现场加载功能，通过第二存储单元，新的OPS软件和OPS配置表可加载到交换机中；其中第一存储单元中的默认软件和第二存储单元中的OPS软件都分成了A级和D级，其中A级软件被编译为一个可执行文件，D级软件被编译为另外一个可执行文件；另外，外部数据加载请求的监听、是否允许或拒绝数据加载的判断都由A级软件实现，而数据加载功能由D级软件实现；并且第二存储单元内还存储有新的加载软件飞机部件，该新的加载软件飞机部件包括OPS软件或OPS配置表，其通过现场加载的方式加载到第二存储单元；

加载单元，其与第一存储单元与第二存储单元连接，用以将第一存储单元与第二存储单元中不同的软件或配置表加载到CPU的随机存储器中；

非易失性随机存储器单元，其与加载单元连接，设有热启动标志与数据加载标志，该热启动标志与数据加载标志可被修改；

CPU随机存储器，与加载单元连接，接收加载单元加载的软件或配置表并运行；

内存管理单元，由引导软件进行设置，使CPU只能访问CPU随机存储器和用于存放新的加载软件飞机部件的第二存储单元中设定的地址范围。

2.一种利用权利要求1所述的符合民用飞机不同软件等级要求的软件运行控制***对符合民用飞机不同软件等级要求的软件运行控制方法，该方法包括如下步骤：

交换机上电后，默认运行引导软件，引导软件读到非易失性随机存储器单元中的热启动标志为0，则把第二存储单元的A级OPS软件和OPS配置表加载到CPU随机存储器中运行，并进入OPS模式，在此模式下A级OPS软件会监听外部数据加载请求；如果收到外部数据加载请求，并且目前的条件允许接受外部数据加载，则A级OPS软件会把非易失性随机存储器单元中的热启动标志置1，并写一个值到非易失性随机存储器单元中的数据加载标志里，然后复位重启；如果当前条件不允许接受外部数据加载，则A级OPS软件会拒绝外部数据加载请求；

复位重启后，引导软件再次运行，当读取到非易失性随机存储器单元中的热启动标志为1，并根据非易失性随机存储器单元中的数据加载标志，把第二存储单元中的D级OPS软件加载到CPU随机存储器运行并进入数据加载模式；在运行D级OPS软件之前，引导软件通过内存管理单元设置，使CPU只能访问CPU随机存储器和用于存放新的加载软件飞机部件的第二存储单元地址范围，然后跳转到已经加载到CPU随机存储器的D级OPS软件运行；D级OPS软件负责具体的数据加载，将接收到的新的加载软件飞机部件写到上述内存管理单元设置的第二存储单元中存放新的加载软件飞机部件的地址，把非易失性随机存储器单元中的热启动标志置1，并写另一个值到非易失性随机存储器单元中的数据加载标志里，然后复位重启；

复位重启后，引导软件再次运行，它读取非易失性随机存储器单元中的热启动标志为1，并根据非易失性随机存储器单元中的数据加载标志，把A级OPS软件加载到CPU随机存储器运行并进入OPS模式，A级OPS软件根据数据加载标志的值得知有新的加载软件飞机部件被接收到，则A级OPS软件对新的加载软件飞机部件做CRC校验，如果CRC校验通过，则把新的加载软件飞机部件覆盖到第二存储单元中原来存放A级OPS软件、D级OPS软件或OPS配置表的相应的地址，并发送数据加载成功的确认帧到外部数据加载器，并把非易失性随机存储器单元中的热启动标志清0并复位重启；

复位重启后，引导软件再次运行，读取到非易失性随机存储器单元中的热启动标志为0，则把第二存储单元A级OPS软件和OPS配置表加载到CPU随机存储器中运行。