一種基於單cpu雙總線的安全網絡終端的製作方法
2023-04-28 02:16:16 2
專利名稱：一種基於單cpu雙總線的安全網絡終端的製作方法
技術領域：
本發明涉及一種新型的基於單CPU雙總線的安全網絡終端，特
別是一種通過物理隔離和訪問控制可對已知或者未知的網絡入侵提 供抵禦功能，提高網際網路可靠性、穩定性和安全性的網絡終端裝置。
背景技術：
現有的計算機網絡尤其是網際網路具有開放性、互聯性、連接方式 的多樣性及網絡終端分布的不均勻性，網絡通訊協議、作業系統本身 的安全漏洞，再加上人為的疏忽，致使網絡易受計算機病毒、黑客或 惡意軟體的侵害。存儲在計算機中的敏感信息(例如密鑰、信用卡、 銀行帳戶、網絡帳戶、以及個人隱私信息等)容易在用戶不知情的情 況下被黑客或者惡意軟體竊取。
傳統的網絡終端都是基於馮'諾伊曼體系結構或哈佛體系結構
的，CPU、內存、輸入/輸出、外存和網絡接口都被連接到一個單一
的系統總線(包括控制總線，數據線和地址線，以下簡稱單總線)上。 一旦來自任何網點的入侵者強行進入系統，它們可以獲取對整個網絡
終端的控制權，對於這種模型，CPU是一個集中的控制和運算單元。
儘管現在多處理器計算機非常普遍，但是這些處理器只是通過軟體組 合，來完成一個或者一系列任務。換句話說，它們共用同一條系統總 線， 一旦入侵者從任何網點入侵系統，它們就可以接管整個系統。受 限於該體系結構模型，網絡終端經由網絡尤其是網際網路特別容易受到 入侵。因此，存儲在網絡終端內的信息非常容易遭受到計算機黑客的 攻擊。近年來，網絡安全問題已經成為研究熱點，例如病毒掃描技術 和防火牆技術、各類入侵檢測技術、軟硬體加密技術、網絡終端設備
中植入可信平臺模塊(Trusted Platform Module)安全晶片等。這些技 術在一定程度上解決了信息竊取問題，但是當前的研究都是基於單總 線的，其解決方案不能從根本上解決信息安全問題。
發明內容
本發明的目的在於克服現有的單總線體系結構的終端技術存在
的缺點，設計一種新型的基於單CPU雙總線的安全網絡終端，通過
其物理隔離和訪問控制功能，實現防入侵、保護信息安全的特性。
為實現上述目的，本發明採用單一的CPU和兩條物理上隔離的 安全區域和非安全區域系統總線，由總線橋接器控制CPU和系統總 線的動態連接，實現兩條系統總線的物理隔離；涉及的網際網路通訊設 備僅連接到一條總線，涉及的安全數據存儲設備連接到另一條系統總 線上；使用一條共享總線用於共享鍵盤、滑鼠等輸入/輸出設備與內 外系統總線通信；所述的基於單CPU雙總線的安全網絡終端體系結 構的兩條獨立系統總線，分別服務於本地與網絡訪問操作；網際網路設 備用一條分離的系統總線與網絡終端中的其它部分分離，在網絡終端 中，除了網際網路之外的所有組件屬於同一條系統總線(非安全區域總 線)；網際網路接口屬於另一分離的系統總線(安全區域總線)；兩條系 統總線間的數據交換通過總線橋接器(BUS Bridge)控制的共享總線完
成，由計算機操作者或者作業系統發出控制命令；存儲設備中的數據 僅能被計算機操作者(用戶)存取，使用戶數據與外部網絡分離，入 侵者通過外部網絡非法進入，用戶數據也不能被獲取；由總線橋接器 控制的CPU在同一時刻僅能連接到一條總線，形成兩條總線的物理 隔離，保護連接到非安全區域總線的用戶數據；非安全區域總線和安 全區域總線之間的通信或者共享設備通過共享總線實現，由總線橋接 器控制共享總線在同一時刻僅和一條系統總線相連；連接於共享總線 的設備包括鍵盤、滑鼠、顯示器、內存(RAM/ROM)和快閃記憶體(FLASH) 等。
本發明的系統結構分為安全區域、非安全區域和中間電信連接體 系三個部分，以安全區域總線A為主體的安全區域，由內存、硬碟 和其他輸入/輸出設備電連通組合構成；以非安全區域總線B為主體 的非安全區域由內存、網際網路設備和其他輸入/輸出設備電連通組合 構成；以共享總線為主體構成中間電信連接體系由內存、時鐘、交叉開關、總線橋接器、CPU、快閃記憶體和輸入/輸出設備電連通組合而成。
本發明與現有的網絡終端相比，能夠有效地防止網絡入侵，保障 信息安全，具有成本低廉，擴展功能強，安全可靠等優點，並可對已 知或者未知的網絡入侵提供強大的抵禦能力，從根本上解決網絡終端 的信息安全問題。
圖1本發明涉及的體系結構原理示意框圖。
圖2為本發明實施例之硬體組成結構原理示意框圖。
具體實施例方式
下面通過實施例並結合附圖做進一步描述。 實施例
本實施例涉及一種新型的基於單CPU雙總線安全網絡終端的實 現體系結構，是一個具有免入侵(intrusion-free)、信息和數據安全的安 全網絡終端。該體系結構包括帶有獨立系統總線A和B的安全區 域和非安全區域；網際網路接口僅連接到非安全區域總線15上；總線 橋接器7 (BUS Bridge)通過約定機制控制CPU8和兩條總線A與B 的連接；主要的(受保護的)存儲器僅連接到安全區域的總線(總線 A)上；共享設備通過雙埠電路和總線A或總線B連接，用於基本
輸入輸出設備的共享以及內外通信等。
實現本實施例體系結構的單元部件包括內存1、硬碟2、其他輸 入/輸出設備3和12、時鐘5、交叉開關6、總線橋接器7、 CPU8、 輸入/輸出9、快閃記憶體IO、 RAM/ROM11、網際網路設備13、安全區域17、 安全區域總線14 (或總線A)、共享總線16、非安全區域18、非安 全區域總線15 (或總線B)、 CommonFlash19、外圍設備20、 DMA 控制器21和22、 SDRAM控制器23和25、 IDE控制器24、乙太網 接口 26、可擴展外圍設備接口 27和28、串行配置設備29和擴展 Flash30。
本實施例的網絡接口作為輸入/輸出設備加到系統總線上，並與 其它硬體接口分離，既把網絡和其它部分分隔開，又保證數據通過網絡傳送；通常網絡終端處於安全區域的狀態中，在此執行所有的計算 工作；根據網絡的訪問需求(如當需要數據傳送時)，通過總線橋接 器7動態進行區域間的切換。在非安全區域中，所有通信數據通過總 線橋接器7存儲在共享總線16上的片內內存1上；總線橋接器7由 網絡終端操作者或OS管理。
本實施例涉及的網絡終端系統包含CPU、外存、網絡接口 (以 太網或無線的)以及共享總線上的內存、快閃記憶體、顯示器、鍵盤和滑鼠 等。因為非安全區域僅僅處理網絡通訊，網絡入侵者所能接觸到的只 是共享總線上相應設備中的數據，而不可能訪問到主存儲器(受保護 的)上的數據。
本實施例涉及的總線橋接器7位於CPU8和兩條總線A和B之 間，其主要功能包括 一是切換CPU與總線(總線A或總線B)的連 接，由計算機操作者或者作業系統發出切換總線命令，切換時保證時 序一致；二是產生EN信號給交叉開關，使共享設備連接到相應的系 統總線(總線A或總線B);三是保證兩條總線物理上完全隔離(切換 前、後，非安全區域總線無法看到安全區域的設備)；四是保證訪問 INTERNET的程序在安全區域執行，使敏感數據存儲在安全區域存儲 設備上。
本實施例涉及的交叉開關6，由EN使能信號控制同一時刻僅能 有和一條總線(總線A或總線B)和共享設備連接，通過交叉開關即可 在兩條總線(總線A和總線B)之間共享設備，又可以保證兩條總線在 物理上的隔離。總線橋接器根據當前網絡終端所處的工作區域，向交 叉開關提供EN使能信號。
本實施例採用單板實現方案，其中CPU、部分內存、總線互連 模塊、外圍設備控制器或者接口集成在單一晶片現場可編程邏輯陣列 (FPGA)上,外設通過現場可編程邏輯陣列引腳連接到片上系統。其 中核心部分就是實現包含一個處理器軟核、內存、DMA控制器及外 圍設備接口的片上系統。各個功能模塊均以智慧財產權(IP)核的形式 進行設計，最後進行系統集成。本實施例的網絡終端的硬體系統各部分描述如下
(1) 、 NiosII處理器及Avalon總線。採用Altera公司提供的 NiosII處理器軟內核，NiosII處理器軟核幾乎可以用在Altera所有的 FPGA內部，和Altera提供的外設相同均用HDL語言編寫，在FPGA 內部利用通用的邏輯資源實現。將NiosII與PLD特有的靈活性和可 定製性相結合，使得嵌入式系統的開發具有極大的靈活性。此外， NiosII常被用於一些集成度較高，對成本敏感，以及功耗要求低的場 合，特別適合本課題擬開發的網絡終端需求。Avalon總線模塊由各類 控制、數據和地址信號、地址解碼以及數據通道多路復用和仲裁邏輯 等組成，主要用於連接片內處理器和外設，以構成可編程片上系統
(SOPC)。它描述了主從設備間的埠連接關係，以及設備間通信的 時序關係。Altera公司提供大量符合Avalon總線規範的IP核，可以 和NiosII處理器通過Avalon總線模塊無縫互聯。另外，Altera公司 開發的SOPC Builder工具對Avalon總線模塊開發提供強大的支持， 系統用戶不需要關心總線與外設的具體連接，大大簡化了設計,降低 系統開發成本。
(2) 、頂層共享用Avalon總線模塊。 該模塊主要用於掛接NiosII處理器軟核、片內指令內存、片內數
據內存、總線橋接器、Common Flash接口以及其它外圍設備控制器。 片內指令內存用於存儲內外區域切換程序段，經調研發現基於現有的 處理器結構以及作業系統設計，這種設計是必需的，如果內外區域分 別存儲區域切換程序，其實際執行流程將與我們期望的執行流程不 同，從而無法實現區域切換功能；片內數據內存用於內外區域通信緩 沖區；片內指令內存和片內數據內存可以利用FPGA晶片中內嵌的內 存模塊。Altera的Cyclonell晶片中內嵌如若干M4K RAM (4 Kbit RAM)塊，可以實現真正雙埠、簡單雙埠和單埠的RAM，並 且支持移位寄存器和ROM方式，配置靈活。
本實施例的總線橋接器7作為一個從設備連接到共享用總線模 塊上，其主要功能如下主設備(NiosII處理器)通過總線橋接器從埠寫區域切換命令字，控制命令字分初始化(請求、完成)、通信
(請求、完成)、切換工作區域三種模式；主設備(NiosII處理器) 通過總線橋接器從埠讀狀態字，狀態字包括當前工作區域、區域切 換模式。總線橋接器7作為一個橋接從設備連接到該總線模塊上，主 要是接收共享區域主設備發給安全區域Avalon總線模塊或者非安全 區域Avalon總線模塊的地址、控制信號；發送安全區域Avalon總線 模塊或者非安全區域Avalon總線模塊的數據信號、響應信號給共享 區域主設備。
本實施例的總線橋接器7作為主設備分別連接到安全區域 Avalon總線模塊和非安全區域Avalon總線模塊。任何時刻，總線橋 接器7保證該模塊的主設備僅能控制一個區域的從設備，即總線橋接 器7的兩個主埠任何時刻僅有一個輸出控制命令、地址信號、數據 信號以及接收數據信號、響應信號。快閃記憶體(Common Flash)接口 10 用於連接片外Common Flashl9，存放系統引導程序。其它外圍設備 控制器用於連接內外區域共享用外圍設備，主要包括基本I/O設備、 USB設備、USB主機等，在設計的各個階段可以根據需要隨時增刪。
(3) 、安全區域Avalon總線模塊。 本實施例的安全區域總線模塊主要用於掛接總線橋接器主埠、
DMA控制器、IDE控制器、SDRAM控制器以及擴展外圍設備控制 器。總線橋接器7主埠僅當用戶切換到該區域時才將頂層共享用 Avalon總線模塊主設備信號輸出到該總線模塊以及接收該總線模塊 的數據信號和響應信號。IDE控制器24用於連接片外硬碟IDE接口 ， 連接的IDE硬碟用於存儲用戶本地數據，包括系統和應用程式數據、 用戶數據等。SDRAM控制器23和25用於連接片外內存，作為安全 區域工作時程序、數據存儲空間。擴展外圍設備接口 27和28用於連 接安全區域工作時需要的外圍設備，可以根據需要隨時增刪，並預留 接口和擴展插槽，供製版完成後擴展用。
(4) 、非安全區域Avalon總線模塊。 本實施例的非安全區域總線模塊主要用於掛接總線橋接器主埠、 DMA控制器、乙太網接口、 SDRAM控制器以及擴展外圍設備 接口。總線橋接器主埠僅當用戶切換到非安全區域時才將頂層共享 用Avakm總線模塊主設備信號輸出到該總線模塊以及接收該總線模 塊的數據信號和響應信號。乙太網接口 26連接片外乙太網卡，用戶 在該區域可以通過太網卡與Internet連接。SDRAM控制器23和25 用於連接片外內存，作為非安全區域工作時程序、數據存儲空間。擴 展外圍設備接口用於連接非安全區域工作時需要的外圍設備，可以根 據需要隨時增刪，並預留接口和擴展插槽，供製版完成後擴展用。
本實施例的實現時各元器部件均選用常規市售產品，經過計算機 電信息連通原理組合構成完整的結構體系，實現本發明的目的，其實 施例運行結果可以完全達到理想效果，有效實現完全功能。
權利要求
1.一種基於單CPU雙總線的安全網絡終端，其特徵在於採用單一的CPU和兩條物理上隔離的安全區域和非安全區域系統總線，由總線橋接器控制CPU和系統總線的動態連接，實現兩條系統總線的物理隔離；網際網路通訊設備連接到一條總線，安全數據存儲設備連接到另一條系統總線上；一條共享總線用於共享鍵盤、滑鼠或其他輸入/輸出設備與內外系統總線通信；兩條獨立系統總線分別服務於本地與網絡訪問操作，網際網路設備用一條分離的系統總線與網絡終端中的其它部分分離，在網絡終端中，除了網際網路之外的組件屬於同一條非安全區域總線，網際網路接口屬於另一分離的安全區域總線；兩條系統總線間的數據交換通過總線橋接器控制的共享總線完成，由計算機操作者或者作業系統發出控制命令；存儲設備中的數據僅能被計算機用戶存取，使用戶數據與外部網絡分離，入侵者通過外部網絡非法進入，用戶數據也不能被獲取。
2. 根據權利要求1所述的基於單CPU雙總線的安全網絡終端， 其特徵在於由總線橋接器控制CPU在同一時刻僅能連接到一條總 線，形成兩條總線的物理隔離，保護連接到非安全區域總線的用戶數 據；非安全區域總線和安全區域總線之間的通信或者共享設備通過共享總線實現，由總線橋接器控制共享總線在同一時刻僅和一條系統總 線相連；連接於共享總線的設備包括鍵盤、滑鼠、顯示器、內存和閃 存。
3. 根據權利要求1所述的基於單CPU雙總線的安全網絡終端， 其特徵在於以安全區域總線為主體的安全區域由內存、硬碟和輸入/ 輸出設備電連通組合構成；以非安全區域總線為主體的非安全區域由 內存、網際網路設備和輸入/輸出設備電連通組合構成；以共享總線為 主體構成的中間電信連接體系由內存、時鐘、交叉開關、總線橋接器、CPU、快閃記憶體和輸入/輸出設備電連通組合而成。
4.根據權利要求1所述的基於單CPU雙總線的安全網絡終端， 其特徵在於總線橋接器位於CPU8和兩條總線之間，根據切換總線命 令切換CPU與總線的連接；產生EN信號給交叉開關，使共享設備 連接到相應的系統總線；保證兩條總線物理上完全隔離；保證訪問程 序在安全區域執行，使敏感數據存儲在安全區域存儲設備上。
全文摘要
本發明涉及一種新型的基於單CPU雙總線的安全網絡終端，通過物理隔離和訪問控制對已知或未知的網絡入侵提供抵禦功能，採用單一的CPU和兩條物理上隔離的安全區域和非安全區域系統總線，由總線橋接器控制CPU和系統總線的動態連接，實現兩條系統總線的物理隔離；涉及的網際網路通訊設備僅連接到一條總線，涉及的安全數據存儲設備連接到另一條系統總線上；使用一條共享總線用於共享鍵盤、滑鼠等輸入/輸出設備與內外系統總線通信；本發明能有效防止網絡入侵，保障信息安全，具有成本低廉，擴展功能強，安全可靠等優點。
文檔編號G06F21/00GK101299228SQ20081001422
公開日2008年11月5日 申請日期2008年1月26日 優先權日2008年1月26日
發明者於忠清, 刁克剛, 樂 張, 王雙寶, 邵峰晶 申請人:青島大學