SOA架构下补偿模型驱动的安全苛求软件开发01.docVIP

SOA架构下补偿模型驱动的安全苛求软件开发 摘 要：随着我国高速铁路的快速发展，传统的计算机联锁软件开发方法在灵活性、可维护性、安全性以及开发效率上都显露出不足。针对安全苛求的特点，提出了一个完整的服务组件开发模型，该模型基于soa(service oriented architecture)思想，并成功将其应用到计算机联锁软件系统开发中，进行了试验验证。结果表明，该模型不仅能提高软件的安全性，还大大提高了软件开发效率。 关键词：面向服务架构 服务组件架构 安全苛求软件 1 引言 铁路车站信号计算机联锁系统，是铁路信号的基础设备，同时也是铁路运输领域中重要的控制系统，它是以现代计算机技术、控制技术和通信技术为基础来实现对车站信号设备的联锁控制。计算机联锁软件成为了计算机联锁系统的核心，因此必须确保它对联锁逻辑的描述和安全控制的实现准确无误。而随着我国高速铁路的快速发展，对联锁软件在技术和功能上提出了新的要求。传统软件开发方法在灵活性、可维护性、软件安全性以及开发效率上都显露出不足。 计算机联锁是以计算机为主要技术手段实现车站联锁的实时控制系统。其基本任务是对车站值班员的操作命令及现场各种表示信息通过计算机进行逻辑运算，并辅以各种“故障-安全”措施。联锁系统各主要部分的功能和设置地点的划分层次结构，如图1所示。 联锁层是联锁控制系统的核心，联锁机构除了接收来自人机会话层的操作信息外，还接收i/o接口层的反映信号机、动力转辙机和轨道电路状态的信息，即信号控制命令和道岔控制命令。i/o接口层接收来自联锁层的控制命令，经过信号机控制电路，改变信号显示；接收来自联锁层的道岔控制命令，驱动道岔转换。室外设备是联锁系统的控制对象，它包括信号机、转辙机和轨道电路。 本文针对安全苛求软件的特点，面向我国高速铁路计算机联锁软件的应用需求，基于目前主流的soa思想的实现规范，即服务组件体系结构sca，提出并实现了一个完整的服务组件开发模型，挣脱web service框架对soa思想的束缚，并能根据服务组件模型生成代码框架。 2 soa和sca 面向服务的体系架构soa(service oriented architecture)是1996年gartner公司描述实施企业“v英文”时第一次提出来的。w3c将soa定义为：“一套可以被调用的组件，用户可以发布并发现其接口。”soa是一种软件设计开发思想，它超越并包含所有的具体技术和所有的具体架构。服务组件框架sca(service component architecture)的java标准来自ibm。sca是一套面向服务的soa编程模型或者说编程架构，也是一种soa思想的实现方式。sca通过模块 (composite) 将sca的组件集成在一起的。模型开发应用中，总是期望能提高软件开发效率，增强软件安全性。因此，本文针对联锁软件安全性高的特性，提出一种面向联锁的soa服务组件开发模型。 3 联锁逻辑服务组件的开发模型 联锁软件主要由两大部分构成，一是联锁功能程序，二是联锁数据。联锁功能程序主要是对联锁数据进行逻辑运算以完成联锁功能；联锁数据主要用于反映监控车站各个设备的区动采集对象的特征和状态。联锁软件的核心部分是关于基本进路过程的处理，包括进路选排、进路锁闭、进路信号开放、进路信号保持和进路解锁等过程。由此，基本进路可以看成联锁软件提供的流程服务，对应人机会话层操作员办理进路的业务需求。对于操作人员来说，基本进路处理流程作为一个整体服务被调用。这个流程服务包括以下几个任务：进路选排、进路锁闭、进路信号开放、进路信号保持和进路解锁，每个任务通过调用相应的服务来完成联锁软件的功能。在业务流程进路办理的过程中，进路选排服务、进路锁闭服务调用成功，但是进路信号开放服务因为信号灯故障不能开灯，此时对于联锁系统软件的人机会话层来说，业务流程进路办理调用已经失败。而进路选排服务、进路锁闭服务的调用已经成功完成，相关的驱动采集对象如信号机、道岔和区段等设备状态和特性已经被这些成功调用的服务修改了。这就有可能导致不可控的命令下发到室外设备，导致安全隐患。因此，在进路办理的执行过程中出现了业务流程服务未成功调用，但却对设备对象数据产生影响的场景。 基于上述问题，本文的服务模块开发模型定义了一种被称为“补偿”的服务机制来完善服务的模型，以解决业务流程服务的执行原子性和数据一致性的问题。例如流程服务逐个调用两个服务，如果只有一个基本服务调用成功，可以通过适当的事情来补偿前一个服务调用成功所产生的影响。每个基本服务都有一个相应的补偿处理服务，用于消除对应基本服务的调用产生的影响。一旦进行补偿，流程服务中已经运行完成的所有服务都会依照特定的逻辑进行补偿。补偿服务机制致力于维护业务流程的执行原子性，即业务流程的执行结果只能