一种可容忍代码错误的专用计算机系统模型中国科学院大学学报.PDF

第 26 卷第 6 期 中 国科 学 院 研 究 生 院 学 报 Vol . 26 No . 6 2009 年 11 月 Journal of the Graduate School of the Chinese Academy of Sciences November 　2009 ( ) 文章编号 2009 一种可容忍代码错误的专用计算机系统模型 1 ,2 2 2 3 王 　晶 　夏鲁宁 　荆继武 　顾 　青 ( 1 中国科学技术大学电子工程与信息科学系 , 合肥 230027 ; 2 中国科学院研究生院信息安全国家重点实验室 , 北京 100049 ; 3 国家 863 计划信息安全基础设施研究中心 , 上海 201203) (2009 年 3 月 9 日收稿 ; 2009 年 4 月 28 日收修改稿) Wang J , Xia L N,Jing J W , et al . A faulttolerant dedicated computer system model [ J] . Journal of the Graduate School of the Chinese Academy of Sciences ,2009 ,26( 6) :826834. 摘 　要 　提出一种新的计算机体系结构模型 ———超内核系统模型 ,使专用系统可以容忍代码 错误 ,提高可生存性. 并且实现了一个超内核系统开发平台 ,完成了网络防火墙原型系统. 该网 络防火墙原型系统在同样的硬件平台上比优化的Linux 防火墙包转发延时少大约 20 %. 关键词 　计算机系统模型 ,容错机制 ,超内核 中图分类号 　TP301 1 　概述 专用计算机系统是指针对具体应用开发的、完成某一专门任务的计算机系统 ,其运行的程序是固定 的 ,通常也不需要在运行中增加新的程序. 在很多领域都需要使用专用计算机系统 , 比如网络安全设备 、 工业 自动化领域监测 、控制用计算机系统等. 专用计算机系统虽然对通用性和灵活性要求低于通用计算机系统 ,但是对于可生存性和安全性的 要求比较高. 这是因为 ,首先专用计算机系统经常处于无人看守的状态 , 比如工业 自动化领域中的自动 监控系统 ,这就要求它有一定的错误容忍能力 ,在某些程序或者某个硬件出现问题的情况下 ,要能够保 证整个系统还可以运转 ,不会彻底无法工作而造成监控完全失效 ;其次 ,专用计算机系统通常在整个应 用环境中起到至关重要的作用 ,例如网络安全设备用于维护和保证网络系统安全 ,通常处在整个计算机 和网络系统中特殊位置 ,各种各样的网络数据都会首先到达网络安全设备 ,它本身可能是受攻击最多的 地方. 设备本身的抗攻击能力是网络安全设备的一项重要性能. 如果自身安全性得不到保证 , 网络安全 系统设备就无法保证被保护的网络和系统的安全. 目前 ,专用计算机系统通常采用微内核结构的通用嵌入式操作系统. 现有的各种嵌入式操作系统并 不是专门为专用系统设计的 ,其安全机制和对错误的容忍性不能很好地满足专用系统的需要. 通用的嵌 入式操作系统为分层的体系结构 ,下层为上层提供服务 ,上层通过接口对下层进行功能调用. 比如 ,许多 采用Linux 的防火墙都具有“硬件资源 - 内核 - 操作系统 - 安全应用”的4 层结构. 由于层与层之间有依 赖关系 ,层与层之间的安全性能就会互相影响 ,应用之间也难以实现彻底隔离. 只有对系统进行错误容 忍的设计 ,为系统提供内置的保护 ,才能使系统具有较强的可生存能力 ,提供持续服务. 本文针对现有操作系统在实现专用系统安全功能和维护 自身安全上存在的问题 ,提出了一种新的 ( ) 国家 863 计划 2006AA01Z454 和电子信息产业发展基金资助 Email : wj @lois. cn 　第 6 期 王