一种适用于多系统的加速可信度量电路的制作方法

1.本发明涉及可信计算机系统及信息安全相关技术领域，具体涉及一种适用于多系统的加速可信度量电路。


背景技术：

2.随着信息时代的到来，信息安全在国防事业中占有的地位越来越高，保证信息传输的机密性、完整性、可用性、真实性和可控性是武器装备的基本要求。
3.计算机系统在国防、教育、金融、医疗、科研等各个领域均被广泛应用，为实现计算机安全可靠，需要对某些专用计算机进行可信度量，可信度量包括对计算机系统固件、内核以及应用软件的全面度量，其中计算机固件度量是影响计算机启动时间的关键步骤，目前采用可信密码芯片直接读取bios的度量方式较为缓慢，严重影响计算机系统启动时间。


技术实现要素：

4.(一)要解决的技术问题
5.本发明要解决的技术问题是：如何加速完成多系统可信计算机或其他信息安全设备的度量过程。
6.(二)技术方案
7.为了解决上述技术问题，本发明提供了一种适用于多系统的加速可信度量电路，包括固件切换模块1、接口加速模块2、可信度量模块3；
8.所述固件切换模块1用于将固件flash分别切换至cpld和cpu，实现固件flash在度量阶段和正常启动阶段的切换；
9.所述接口加速模块2用于实现将可信度量模块3读取固件flash的过程进行加速处理；
10.所述可信度量模块3用于读取加速后的固件flash数据，实现对cpu的可信度量功能。
11.优选地，所述固件切换模块1具体用于实现固件flash的spi/qspi信号切换，即将固件flash在cpld与cpu之间切换，以实现cpld和cpu在不同阶段对固件flash的读取。
12.优选地，所述固件切换模块1包括模拟开关、固件flash，以及用于控制该模拟开关的cpld。
13.优选地，所述固件flash为gd25q127c系列flash，所述模拟开关为sgm6505。
14.优选地，所述固件flash的csn、sck、si、so、hold、wp信号，连接至模拟开关sgm6505的公共端引脚com1～com6；cpld的cpld_csn、cpld_clk、cpld_io0～cpld_io3引脚连接至模拟开关sgm6505的nc1～nc6；模拟开关sgm6505的en#信号和in1、in2连接至cpld，由cpld控制模拟开关是否工作和将公共端信号切换至nc或no。
15.优选地，所述接口加速模块2具体用于通过spi接口读取固件flash，再经过cpld内部逻辑转换将qspi协议转换为ebc接口与可信度量模块3连接，并用于控制cpu的复位信号
确定cpu是否正常启动，接口加速模块2包括cpld，该cpld与固件切换模块1的cpld为同一个。
16.优选地，所述接口加速模块2进一步具体用于将模拟开关切换过来的固件flash的信号以quad spi的方式读取。
17.优选地，所述可信度量模块3具体用于将接口加速模块2传输的加速后的固件flash的信号进行解析，完成固件flash的可信度量。
18.优选地，所述可信度量模块3选用的可信密码芯片与cpld的接口为ebc接口，由于cpld的通用管脚的输入输出可配置，可信密码芯片的ebc接口的ebc_d[31..16]、ebc_add[31..0]、ebc_clk、ebc_wb_pulse、ebc_wbe_n[3..0]、ebc_rw、ebc_oe、ebc_ready、ebc_cs1管脚连接至cpld的io引脚。
[0019]
本发明还提供了一种利用所述的电路实现计算机系统可信度量的方法，计算机系统上电工作后，由cpld控制模拟开关sgm6505的en#信号为低，使模拟开关sgm6505工作，控制模拟开关sgm6505的in1和in2为低电平，将固件flash相关信号切换至cpld后执行度量流程，度量完成后，cpld控制模拟开关sgm6505的in1和in2为高电平，将固件flash的相关信号切换至cpu，cpu读取固件flash后正常启动，其中，度量过程由可信密码芯片的内部引擎实现，度量完成后，由可信密码芯片判断该固件flash是否被篡改，确认固件flash可信后可信密码芯片通过gpio将度量完成信号发送至cpld，cpld释放cpu的复位引脚，cpu开始正常启动，完成整个可信度量流程。
[0020]
(三)有益效果
[0021]
本发明通过电路设计，可实现计算机系统中多个分系统的加速度量功能，从而实现计算机系统固件、bmc电路固件的可信度量，缩短系统的开机时间，将系统度量时间由分钟级缩短到秒级，优化用户开机体验。
附图说明
[0022]
图1为本发明的电路实现及其在计算机系统中的应用框架示意图；
[0023]
图2为本发明的电路中固件flash与模拟开关连接的原理图；
[0024]
图3为本发明电路中的模拟开关与cpu和cpld连接的原理图；
[0025]
图4为本发明电路中的cpld与可信密码芯片连接的原理图。
具体实施方式
[0026]
为使本发明的目的、内容、和优点更加清楚，下面结合附图和实施例，对本发明的具体实施方式作进一步详细描述。
[0027]
本发明提供的可信度量电路可应用于计算机系统，如图1所示，该电路包括固件切换模块1、接口加速模块2、可信度量模块3，其系统实现框图如图1所示。
[0028]
所述固件切换模块1用于将固件flash分别切换至cpld和cpu，实现固件flash在度量阶段和正常启动阶段的切换；
[0029]
所述接口加速模块2用于替代常规的密码芯片直接通过spi接口读取固件flash，实现对多系统度量的扩展，提高对固件flash的读取速度，实现加速度量；
[0030]
所述可信度量模块3用于读取加速后的固件flash数据，实现对cpu的可信度量功
能，从而保证计算机系统的可信。
[0031]
所述固件切换模块1用于实现固件flash的spi/qspi信号切换，即将固件flash在cpld与cpu之间切换，以实现cpld和cpu在不同阶段对固件flash的读取；固件切换模块1包括模拟开关、固件flash，以及用于控制该模拟开关的cpld；
[0032]
cpu的固件一般存储在串行flash中，该固件flash对外提供spi/qspi接口，本实施例中选用兆易创新的gd25q127c系列flash，该flash支持标准spi接口、dual spi接口和quad spi接口，最高传输速率达416mbit/s，该固件切换模块1中选用的模拟开关为圣邦微的sgm6505，该芯片可实现6路数据的2切1功能，工作电压范围为2.0～5.0v，最高传输速率为450mhz@
‑
3db bandwidth。
[0033]
将固件flash的csn、sck、si(io0)、so(io1)、hold(io3)、wp(io2)信号，连接至模拟开关sgm6505的公共端引脚com1～com6；将cpld的cpld_csn、cpld_clk、cpld_io0～cpld_io3引脚连接至模拟开关sgm6505的nc1～nc6；将cpu(或其他控制器)的cpu_spi_csn0、cpu_spi_sck、cpu_spi_sdi和cpu_spi_sdo分别连接至模拟开关sgm6505的no1～no4；模拟开关sgm6505的en#信号和in1、in2连接至cpld，由cpld控制模拟开关是否工作和将公共端信号切换至nc或no。
[0034]
计算机系统上电工作后，由cpld控制模拟开关sgm6505的en#信号为低，使模拟开关sgm6505工作。控制模拟开关sgm6505的in1和in2为低电平，将固件flash相关信号切换至cpld执行度量流程。度量完成后，cpld控制模拟开关sgm6505的in1和in2为高电平，将固件flash的相关信号切换至cpu，cpu读取固件flash后正常启动。
[0035]
所述接口加速模块2用于实现将可信度量模块3读取固件flash的过程进行加速处理，缩短可信度量的时间，并控制cpu的复位信号确定cpu是否正常启动，接口加速模块2包括cpld，该cpld与固件切换模块1的cpld为同一个。
[0036]
常规的度量过程是经过模拟开关后将固件flash的信号直接接至可信度量模块3标准的spi接口，该接口最大传输速率为十几mbit/s，对于多子系统计算机来说，该度量过程可能长达2～3分钟，再加上度量完成后系统正常启动时间，计算机启动过程较长，影响用户使用体验。
[0037]
接口加速模块2则将模拟开关切换过来的固件flash的信号以quad spi的方式读取，读取速度最高可达400mbit/s，再经过cpld内部逻辑转换将qspi协议转换为ebc接口或者其他高速并行接口与可信度量模块3连接，由可信度量模块3执行可信度量过程。
[0038]
所述可信度量模块3用于将接口加速模块2传输的数据加速后的固件flash的信号进行解析，完成固件flash的可信度量。主流的可信密码芯片对外提供ebc或其他并行接口，本实例可信度量模块3选用的可信密码芯片与cpld的接口为ebc接口，由于cpld的通用管脚的输入输出可配置，所以将可信密码芯片的ebc接口的ebc_d[31..16]、ebc_add[31..0]、ebc_clk、ebc_wb_pulse、ebc_wbe_n[3..0]、ebc_rw、ebc_oe、ebc_ready、ebc_cs1管脚连接至cpld的普通io引脚，度量过程由可信密码芯片的内部引擎实现。度量完成后，由可信密码芯片判断该固件flash是否被篡改，确认固件flash可信后可信密码芯片通过gpio将度量完成信号发送至cpld，cpld释放cpu的复位引脚，cpu开始正常启动，完成整个可信度量流程。
[0039]
可以看出，本发明实施例的电路可应用于多子系统环境。常规可信度量电路只能依次顺序完成固件flash的度量，度量时间是叠加的，因此度量时间较长，而本发明的电路
可同时并行度量多个固件flash，整个系统的度量时间大大缩短，提高系统度量效率，因此较常规可信度量电路具有明显优势。
[0040]
以上所述仅是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明技术原理的前提下，还可以做出若干改进和变形，这些改进和变形也应视为本发明的保护范围。