航电系统发展概述

一航空电子系统的组成：1,各种机载信息采集设备2，信息处理设备3，信息管理和显示控制设备4，相关的软件二航电系统的发展大致可以分为四个阶段1，分立式航空电子系统，代表机型为F-100，F-101，2，联合式航空电子系统，代表机型为F-16C/D3，综合航空电子系统，代表机型为F-22，F-35综合航电系统的结构特点如下：系统按功能区划分采用高度模块化设计采用高速数据总线采用高度综合的座舱显示系统采用大规模软件技术采用先进的传感器并进行多传感器的信息融合实现了系统容错和重构功能4先进综合航空电子系统三航空电子系统的发展方向1智能化电子计算机已成为现代化机载电子设备的核心, 电子计算机的发展已经并将继续不断地改变着机载电子系统的面貌。

当前计算机的发展正面临着重大突破—人工智能计算机的出现。

目前人工智能研究主要集中在专家系统、模式识别系统、机器人等三方面2综合化采用高级复杂软件增扩最佳控制技术以保证容错, 采用标准化部件, 以减少备件、简化维修、降低全寿命费用。

系统的综合能力依赖于先进的技术支援, 其中包括高速数据总线、超高速集成电路（VHSIC）和人工智能等。

3全频谱化现代局部战争表明, 电子战已越演越烈,而电子战的实质就是对电磁频谱的激烈争夺。

由于无线电频段和微波频段已拥挤不堪因此航空电子设备的工作频率正逐渐向毫米波、红外、激光、可见光等领域扩展, 从而使航空电子系统趋于全频谱化。

4隐蔽化在导航系统中采用惯导—全球定位系统组合，惯导—天文导航组合等方案, 构成载机不辐射电磁波的“隐蔽导航系统”。

采取这种组合方式。

”既能保持惯导的近距导航较高的精度又可校正远距飞行中惯导的累积定位误差。

当前正在研制的全地形航空电子系统（T２A）就具有隐蔽导航功能,其核心部件为一个存贮地形三维数据的数据库, 数据库内存有航线中的所有地形的数据,如一些基本点的海拔高度参数、森林、河流、道路、障碍物的信息数据等。

利用该数据库 在飞行中能够获得一个不断变化的地形轮廓图。

从而, 在其它设备的配合下, 实现“隐蔽导航”。

四航空电子系统的安全技术随着航空电子系统的综合化程度的不断提高，不同级别的任务共享硬件、软件和数据资源，各个模块之间进行相互资源调度和访问，给综合化航空电子系统的安全性和可靠性带来了重大的隐患，主要表现为信息窃听、病毒攻击、非授权访问、非法篡改、故障等。

一下为业界为解决安全问题所提出的部分技术研究。

个人总结：近年来的安全技术应该是基于分区管理、分层防御等技术，主要是在高度综合的航电系统中，由于是分区管理，所以安全性主要集中在不同的安全级别构件间数据传输的安全性。

这应该也是我们软件安全的切入口。

（完全是个人看论文之后的总结，可能错的离谱，别笑话哈）1，Trustable Computing in Next-Generation Avionic Architectures（1992）未来的智能武器中，在更加主张敏感信息的安全性、关键数据的完整性以及系统运行和其他一些关键性能的基础上下一代航空电子计算机将主导很多子系统的行为，对这些性能的维护将有助于保证系统执行的可信度，使其符合规定的策略和完成预期的行为。

2，基于AADL的航空电子系统的安全性分析2009/9AADL（Architecture Analysis and Design Language）是一种描述实时系统的软硬件结构的结构分析与设计的可编程语言。

AADL已广泛应用于航空、机械、电子等领域的系统开发过程。

采用AADL可以建立系统平台相关的结构模型，描述基于ARINC653的综合化航空电子系统的软硬件结构和安全性等关键特性。

AADL将线程、总线、设备等看做是一个可命名的构件。

构件分为硬件构件、软件构件和系统构件三种类型。

硬件构件包括：内存、总线、设备及处理器；软件构件包括：数据、子程序、线程及进程，软件构件通过其属性和硬件关联。

系统构件可以嵌套，软件构件和硬件构件作为系统的子构件包含在系统构件中。

端口是构件的属性，为构件提供数据、事件的输入或输出外部接口，端口按照用途可分为数据端口和事件端口，数据端口用于在构件间传送普通数据，进行日常通信和数据传输，时间端口用于在构件间传送事件请求，向其他构件发送操作命令。

安全性分析的前提条件是：在建立AADL航空电子系统模型时，设计人员根据系统功能，将系统划分成若干个高级别、低级别的安全域，每个安全域由软件构件和硬件构件组成，将相应的安全性级别分配给这些系统构件。

参照SEI和ASSAC提出的安全性分析准则，基于AADL的航电系统安全性分析原则包括：安全性分析原则和机密性分析原则。

安全性分析原则是低安全级别的分区不能驱动高安全级别的分区中的操作，机密性分析原则是敏感信息不会从高安全级别的分区扩散到低安全级别的分区。

如图2所示，基于AADL的航电系统安全性分析过程，首先启动安全性分析工具，通过控制台向安全性分析工具控制台发出“安全分析请求”，启动安全性分析工具，然后解析AADL系统模型安全信息，并建立基于AADL的系统安全性模型，再根据SEI提出的安全性分析准则分析系统的安全性，最后通过问题视图向用户报告。

3，航空电子嵌入式实时操作系统的安全策略（2008/10华东计算技术研究所）本文根据软件的分区管理、分层防御等技术，讨论航空电子嵌入式实时操作系统的安全策略。

分区以及分区的管理和调度是由操作系统来完成的，但是，通用操作系统并不能满足嵌入式系统的强实时性要求，同时由于嵌入式系统中软件的周期性和强实时性，必须研究隔离保护技术的实时算法，才能满足嵌入式应用软件安全平台的要求。

ARINC653规范中为分区的调度规定了一种基于时间窗口的循环调度算法。

分区在主时间框架内执行，必须满足一下3点：（1）一个分区可以占有多个时间窗口（2）允许有空闲时间窗口，即不允许任何一个分区（3）每个分区必须在规定的时间窗口内运行，使当前分区未处于运行状态也不被其他分区所占有。

分区管理要求系统中同时可以运行多个不同类型的应用，同时各个任务在时间上和空间上都是互不影响的，是相互隔离的。

时空隔离技术是时间隔离与存储空间的隔离，是分区管理研究的关键技术，空间的隔离主要包括了应用程序与应用程序的空间保护、应用程序与操作系统间的空间保护和越权访问的防范，时间隔离主要包括应用程序间时间的划分应与应用任务的调度，保证在预定的时间点上启动该应用任务，而不会受到其他因素的影响。

空间隔离技术采用了计算机存储器管理模块的能力，使每个应用程序处于不同的复平面中，，每个复平面被系统映像到不同的物理空间内，每个应用程序的物理空间不会重叠，当程序试图访问其他空间或具有特权级的空间时，安全平台将会截获非法的访问请求。

时间隔离技术以操作系统的时间管理为基础，实现应用软件的时间隔离。

在实际设计中最大限度地使用静态表驱动。

安全平台维护一个主时间框架，在主时间框架内，每个应用程序至少被分配一个时间窗口。

安全平台根据主时间窗口内的时间窗口调度相应的程序，在一个时间窗口内，应用程序按照自己的进程调度策略调度应用进程。

由于每一个应用程序只在自己的时间窗口内执行，不允许越界，如果一个程序在执行过程中出现故障，导致一直占有CPU时间，在该时间窗口结束的地方，系统会强制进行切换，另一方面如果一个应用程序在进程运行超过了分配给他的时间，从而导致时间窗口结束时不能正常结束，系统任将剥夺程序的使用权，强制切换到下一个应用程序，保证了应用程序在时间上的独立性。

对每一个应用程序来说，从时间上来看如同自己独占CPU一样。

为了保证操作系统的数据安全性，使应用程序、系统程序的错误不会蔓延，目前ASAAC规范中对高安全性实时操作系统提出了分层安全防御体系。

其核心思想是：根据应用程序的时间特性和应用程序的空间特性因素，确保系统资源的可用性，最终实现系统的安全考虑。

也就是说，每个任务都有自己的指定时间域和一个确定的存储空间域。

该时间域和空间域是该任务所独有的，其他任务被破坏不会影响该任务的完成。

一个任务的失败不会导致整个系统资源的耗尽，从而导致系统崩溃。

目前，ASAAC规范建议的实时操作系统结构如图3，其包括：（1）3个层次（应用层、操作系统层、模块支持层），包括了航空产品中所有专用软件功能模块。

（2）2个接口（应用操作系统接口、模块操作系统接口）(3)1个管理（通用系统管理）采用软件分层结构可以保障软件的稳定性。

模块支持层将硬件和应用程序分开，封装了底层硬件的细节，并提供对低层次资源通用的、技术独立的访问。

采用软件分层结构来保护软件不受外界变化的影响，模块支持层将硬件和软件分开，模块化航电操作系统层保护应用软件不受传感器硬件的影响。

新的传感器、处理模块或是应用软件用到飞机中，只需对隔离层稍作修改即可。

因此，具有很好的可移植性。

4，综合化航空电子系统中基于可信计算的访问控制模型（2009/11通信学报）本文设计了适合于综合化航空电子系统的基于可信计算的访问控制模型，主要设计思路是在航空电子系统的硬件平台上引入可信架构，并对系统资源和服务的访问进行访问控制，通过增强现有的软件体系结构的安全性来保证整个系统的可用性、可靠性、安全性、如图，分区是综合化航空电子系统的灵魂。

对分区的安全管理是确保综合化航空电子系统可靠性和安全性的核心技术。

分区间的通信是使用虚通道机制。

虚通道机制独立于发送分区和目标分区的物理位置，由系统映射表提供路由信息，使用相应的密码学机制能够保证分区间信息传输的机密性。

可信计算平台（TCM,trusted computing module）指利用可信计算提供的机制与方法，部署了可信计算组织相应的软硬件的计算平台。

真个软件体系架构主要分为三层：底层可信平台模块（TPM,trusted platform module）及其设备驱动、中间层可信软件堆栈（TSS,trusted software stack）和上层提供本地应用的服务层，其中TPM作为信任根，是TCM的核心，如图3，可信计算平台对综合化航空电子系统的安全机制加强主要表现在：从系统启动开始，需要密钥通过TPM实现安全存储，TPM验证系统组件的完整性、文件摘要等安全信息保证任何进程都是可以证明的，并通过信任传递机制保证系统软件来源的可信性。

访问控制的目的是确保系统运行时系统服务和资源的访问权限，在航空电子系统中，每个对系统服务的调用或是系统资源的访问，都需要检查相应的权限。

本文研究了可信的应用分区关键级别划分方法，以及基于BLP模型的应用分区授权模型，一解决应用分区的访问控制问题。

当访问者访问资源或者服务时，根据控制策略和主客体的安全级别来判断是否具有访问权限。

通过TPM模块对航空电子系统中的应用分区分发公钥，并签发公钥和分区身份的绑定凭证，然后当用户提出资源访问请求时，BLP模型的控制实施模块要求分区提交身份绑定凭证，对其提供的凭证进行相应的认证后，根据安全级别和访问控制策略，判断此分区是否具有访问资源的权限。