天津工業(yè)大學(xué)計(jì)算機(jī)科學(xué)與軟件學(xué)院 張亞成

在后PC時(shí)代，實(shí)時(shí)計(jì)算和通信技術(shù)已被廣泛應(yīng)用于航空航天、國(guó)防、交通運(yùn)輸、核電能源和醫(yī)療衛(wèi)生等諸多安全關(guān)鍵系統(tǒng)中。隨著安全關(guān)鍵系統(tǒng)呈現(xiàn)出分布式和一體化的新特性，通信網(wǎng)絡(luò)已成為系統(tǒng)中的核心組件，并且對(duì)安全關(guān)鍵系統(tǒng)的構(gòu)建和驗(yàn)證起著決定性的作用。因?yàn)榘踩P(guān)鍵系統(tǒng)關(guān)系到人身安全和財(cái)產(chǎn)損失，因此不同于通常的實(shí)時(shí)通信網(wǎng)絡(luò)，安全關(guān)鍵實(shí)時(shí)通信網(wǎng)絡(luò)不但要求網(wǎng)絡(luò)的實(shí)時(shí)性，更重要的是網(wǎng)絡(luò)的安全性和可靠性，包括出錯(cuò)檢測(cè)的能力，容錯(cuò)能力和故障隔離能力。這些特性對(duì)實(shí)時(shí)通信協(xié)議提出了更多新的需求。在分布式實(shí)時(shí)系統(tǒng)中，構(gòu)建通信網(wǎng)絡(luò)存在兩種范型：事件觸發(fā)(event-triggered)和時(shí)間觸發(fā)(time-triggered)，簡(jiǎn)稱ET和TT。被用在安全關(guān)鍵系統(tǒng)中的事件觸發(fā)協(xié)議并不多，如CAN，Btyeflight。雖然靈活性是其優(yōu)勢(shì)，但從安全關(guān)鍵系統(tǒng)的角度來(lái)看，這也成為其不被使用的主要原因。而時(shí)間觸發(fā)協(xié)議因?yàn)榱己玫目深A(yù)測(cè)性，容錯(cuò)能力和可組合性而被廣泛用于安全關(guān)鍵系統(tǒng)中，如TTP。

1.事件觸發(fā)的安全關(guān)鍵實(shí)時(shí)通信網(wǎng)絡(luò)

事件觸發(fā)范型就是指網(wǎng)絡(luò)上的所用活動(dòng)都是由外部(或內(nèi)部)事件的出現(xiàn)來(lái)觸發(fā)的。例如，如果傳感器所讀的值發(fā)生變化，則廣播其新值。事件觸發(fā)協(xié)議具有很好的靈活性，它能夠快速的響應(yīng)任何時(shí)刻發(fā)生的通信請(qǐng)求，并不會(huì)對(duì)通信活動(dòng)發(fā)生的時(shí)間做任何限制。但由于外部事件具有很強(qiáng)的異步性，隨機(jī)性，導(dǎo)致ET型網(wǎng)絡(luò)的可預(yù)測(cè)性差。ET型網(wǎng)絡(luò)最壞情況下的延遲時(shí)間發(fā)生在所有節(jié)點(diǎn)同時(shí)準(zhǔn)備發(fā)送消息的時(shí)刻。而平均情況下，可能無(wú)需等待就可以被發(fā)送出去，因此發(fā)送延遲的抖動(dòng)較大。因?yàn)楣?jié)點(diǎn)只響應(yīng)外部事件，因此ET型網(wǎng)絡(luò)不能很快檢測(cè)出表現(xiàn)為故障沉默(fail-silence)的失效節(jié)點(diǎn)。而且ET型網(wǎng)絡(luò)不能支持時(shí)序可組合性，因?yàn)楣?jié)點(diǎn)之間的異步傳輸導(dǎo)致節(jié)點(diǎn)之間相互干擾，任何一個(gè)節(jié)點(diǎn)的加入，都會(huì)影響到其他節(jié)點(diǎn)的時(shí)一序行為。而且由于事件發(fā)生的隨機(jī)性導(dǎo)致事件觸發(fā)協(xié)議無(wú)法實(shí)現(xiàn)冗余復(fù)本之間的確定性，因此多采用主從方式實(shí)現(xiàn)容錯(cuò)系統(tǒng)。

ET網(wǎng)絡(luò)的這些缺點(diǎn)使其不適用于安全關(guān)鍵實(shí)時(shí)系統(tǒng)，因此近些年，提出了一些新的ET型網(wǎng)絡(luò)協(xié)議，在保持自身優(yōu)勢(shì)的情況下，從協(xié)議設(shè)計(jì)上吸取時(shí)間觸發(fā)協(xié)議的優(yōu)勢(shì)以克服其存在的缺陷，提高ET型通信協(xié)議的可預(yù)測(cè)性，檢錯(cuò)能力和可組合性，如Byteflight；被實(shí)際用于安全關(guān)鍵系統(tǒng)的事件觸發(fā)型通信網(wǎng)絡(luò)有CAN，Byteflight等。

2.時(shí)間觸發(fā)的安全關(guān)鍵實(shí)時(shí)網(wǎng)絡(luò)

大量研究結(jié)果表明，設(shè)計(jì)實(shí)時(shí)網(wǎng)絡(luò)的關(guān)鍵在于使用時(shí)間觸發(fā)方法替代傳統(tǒng)的事件觸發(fā)方法。對(duì)于TT型網(wǎng)絡(luò)，網(wǎng)絡(luò)上所用的活動(dòng)都隨時(shí)間的前進(jìn)而有計(jì)劃的進(jìn)行。例如，如果現(xiàn)在已啟動(dòng)了20微妙，則讀取傳感器的值并廣播該值。時(shí)間觸發(fā)協(xié)議通過(guò)一個(gè)靜態(tài)的預(yù)先定義的全局調(diào)度表控制它的網(wǎng)絡(luò)活動(dòng)，并且該調(diào)度表和全局時(shí)鐘作為每一個(gè)節(jié)點(diǎn)的先驗(yàn)知識(shí)，因此每一個(gè)節(jié)點(diǎn)可以知道什么時(shí)候允許發(fā)送消息以及什么時(shí)候可以接收消息。這使得TT型協(xié)議在時(shí)序行為上具有更好的可預(yù)測(cè)性。TT型網(wǎng)絡(luò)的核心基礎(chǔ)是建立和維護(hù)一個(gè)全局時(shí)鐘。對(duì)傳輸媒體的訪問(wèn)采用時(shí)分多路訪問(wèn)機(jī)制。節(jié)點(diǎn)之間必須預(yù)留足夠的空隙，以保證節(jié)點(diǎn)之間消息傳輸不會(huì)相互干擾。這樣不但消除了共享介質(zhì)的訪問(wèn)沖突，而且使得TT型網(wǎng)絡(luò)具有時(shí)域上的可組合性。時(shí)間觸發(fā)一腳議以節(jié)點(diǎn)最壞情況下的響應(yīng)時(shí)間為其預(yù)留時(shí)間槽，因此，可以說(shuō)時(shí)間觸發(fā)協(xié)議是面向最壞情況而設(shè)計(jì)的。由于時(shí)序行為作為先驗(yàn)知識(shí)，時(shí)間觸發(fā)協(xié)議的連接故障檢測(cè)在接收端更易實(shí)現(xiàn)。

盡管時(shí)間觸發(fā)協(xié)議在可預(yù)測(cè)性，故障檢測(cè)能力和可組合性方面受到安全關(guān)鍵系統(tǒng)的青睞，但是時(shí)間觸發(fā)協(xié)議最大的問(wèn)題就是缺少靈活性，通信活動(dòng)必須在指定的時(shí)刻才能發(fā)生，這就導(dǎo)致網(wǎng)絡(luò)平均利用率低，特別是當(dāng)一個(gè)或多個(gè)節(jié)點(diǎn)產(chǎn)生偶發(fā)性的消息時(shí)。因此，在某些對(duì)靈活性要求高的應(yīng)用領(lǐng)域，如汽車電子系統(tǒng)，時(shí)間觸發(fā)協(xié)議并不適用。因此在TT協(xié)議的基礎(chǔ)上產(chǎn)生了一些滿足行業(yè)需要的時(shí)間觸發(fā)協(xié)議。

3.基于以太網(wǎng)的安全關(guān)鍵實(shí)時(shí)網(wǎng)絡(luò)

工業(yè)以太網(wǎng)的應(yīng)用與研究推動(dòng)了以太網(wǎng)在安全關(guān)鍵系統(tǒng)中的應(yīng)用。維也納理工大學(xué)基于TTP在航空航天，汽車電子等領(lǐng)域積累的經(jīng)驗(yàn)，提出了時(shí)間觸發(fā)的以太網(wǎng)(Time-triggered Etllerenet，TTE)架構(gòu)。TTE是同時(shí)支持實(shí)時(shí)消息與非實(shí)時(shí)消息的混合型協(xié)議。TTE的設(shè)計(jì)目標(biāo)是將標(biāo)準(zhǔn)以太網(wǎng)與TTP/C的優(yōu)點(diǎn)集于一身，在滿足從非實(shí)時(shí)應(yīng)用，到多媒體，再到安全關(guān)鍵的實(shí)時(shí)控制系統(tǒng)的各種需求的同時(shí)，能夠兼容現(xiàn)有的以太網(wǎng)標(biāo)準(zhǔn)。但TTE需要修改以太網(wǎng)連接硬件設(shè)備以滿足實(shí)時(shí)性需要。Powerlink是在標(biāo)準(zhǔn)以太網(wǎng)的基礎(chǔ)上建立一個(gè)現(xiàn)場(chǎng)總線系統(tǒng)，來(lái)滿足控制中最苛刻的實(shí)時(shí)要求。Powerlink已經(jīng)通過(guò)SIL3安全完整性等級(jí)的認(rèn)證。成為真正投入實(shí)際使用的基于以太網(wǎng)的安全關(guān)鍵通信網(wǎng)絡(luò)。

我國(guó)在這方面開(kāi)展了大量的研究工作，提出了實(shí)時(shí)通信協(xié)議E&TTE。E&TTE是一種基于事件觸發(fā)型Ethernet的時(shí)間觸發(fā)網(wǎng)絡(luò)，它有效地組合了事件觸發(fā)與時(shí)間觸發(fā)方法，其中事件觸發(fā)用于傳輸異步實(shí)時(shí)與非實(shí)時(shí)消息，而時(shí)間觸發(fā)方法則用于傳輸同步實(shí)時(shí)消息，E&TTE有機(jī)組合兩類網(wǎng)絡(luò)的優(yōu)點(diǎn)，使實(shí)時(shí)網(wǎng)絡(luò)不但具有較高的靈活性，而且具有較好的可預(yù)測(cè)性。雖然以太網(wǎng)在安全關(guān)鍵系統(tǒng)中的應(yīng)用還未像工業(yè)以太網(wǎng)一樣取得豐碩的研究成果，但是隨著網(wǎng)絡(luò)互聯(lián)需求的不斷增加，安全關(guān)鍵系統(tǒng)與IT系統(tǒng)的連接是不可避免的趨勢(shì)，因此安全關(guān)鍵系統(tǒng)與以太網(wǎng)的互聯(lián)也應(yīng)該作為新型安全關(guān)鍵網(wǎng)絡(luò)設(shè)計(jì)的目標(biāo)之一。

4.結(jié)束語(yǔ)

盡管目前有多種可用的現(xiàn)場(chǎng)總線，但其并沒(méi)有被廣泛的應(yīng)用于安全關(guān)鍵系統(tǒng)中，因其開(kāi)發(fā)過(guò)程中并沒(méi)有融入安全的設(shè)計(jì)理念，而是在實(shí)現(xiàn)完成后，再去推導(dǎo)其設(shè)計(jì)的安全性。作為一種涌現(xiàn)特性(emergent property)，安全性不可能在系統(tǒng)部署之后被添加進(jìn)去，它必須貫穿于系統(tǒng)的整個(gè)開(kāi)發(fā)過(guò)程中。很多的現(xiàn)場(chǎng)總線提供商都在致力于通過(guò)安全完整性等級(jí)的驗(yàn)證，開(kāi)發(fā)過(guò)程成為其最大的障礙。因此，將實(shí)時(shí)通信網(wǎng)絡(luò)安全管理概念貫穿于協(xié)議設(shè)計(jì)開(kāi)發(fā)和驗(yàn)證過(guò)程中，從過(guò)程中保證與安全標(biāo)準(zhǔn)的兼容性以提高系統(tǒng)的安全置信度是一個(gè)值得探究的課題。

[1]馮時(shí)雨,王軼辰.實(shí)時(shí)網(wǎng)絡(luò)通信協(xié)議的設(shè)計(jì)與實(shí)現(xiàn)[J].計(jì)算機(jī)工程與設(shè)計(jì),2008(17).

[2]孫曉雅.基于Intranet計(jì)算機(jī)通信網(wǎng)絡(luò)的實(shí)時(shí)通信淺析[J].公路交通科技(應(yīng)用技術(shù)版),2010(04).

[3]夏德海.從現(xiàn)場(chǎng)總線到無(wú)線傳感器網(wǎng)絡(luò)[J].中國(guó)儀器儀表,2009(S1).