CN101755415A

CN101755415A - 并行处理系统和方法

Info

Publication number: CN101755415A
Application number: CN200880021984A
Authority: CN
Inventors: B·马克西米立安; V·克希南
Original assignee: Thales SA
Current assignee: Thales SA
Priority date: 2007-04-27
Filing date: 2008-04-25
Publication date: 2010-06-23
Also published as: FR2915647A1; RU2009143889A; DE602008005872D1; WO2008135418A1; US20100293592A1; US8417940B2; EP2149223A1; FR2915647B1; EP2149223B1; IL201748A0; RU2465735C2; ATE504131T1

Abstract

本发明涉及一种用于处理数据的系统，所述数据能够至少在具有A安全级的第一域和具有B安全级的第二域之间交换，A不同于B，所述系统特征在于，其包括至少一个基本实体EEi，所述基本实体EEi包括路由模块URi和数据处理设备UTi，路由模块URi包括待处理数据进入A安全级域的至少一个输入Ii，以及用于没有被处理并保留在A安全级域中的数据的至少一个第一输出Pi和连接到处理设备UTi的第二输出Li，用于经处理的且通过输出Oi传递进B安全级域的数据。

Description

并行处理系统和方法

本发明的目的涉及并行系统和方法，即，在包括路由单元和处理单元的多个基本实体并行设置时，允许同时确保在设备中的安全功能和分开两个不同的安全级的有效分隔。

本发明例如用在信息系统安全的领域中。更具体地，本发明涉及允许保证敏感信息的分隔的安全功能的并行设置或并行化。因此，安全功能能够以高速实现或可达到高性能，而所使用的硬件和/或软件资源保持在低速或低性能。重要的安全特性例如分隔保持被严格地遵守。例如可实现下列设备的应用：高速IP编码器、高速信道编码器(特别是以太网)、高速防火墙设备等。

在信息系统安全方面，必须保证信息在越过位于具有不同安全级的两个区之间的边界(或分区)之前经受一定数量的处理。

例如，图1用示意图示出位于高敏感级域中的信息A向低敏感级的级别B的转移，在此过程中，信息A被转换。能够证明具有给定高敏感级的信息在通过低敏感级域中时不保持不变是特别适当的。

在允许从一个域转入另一个的安全转换中，最常见的是：

●为了确保机密性和/或完整性而对所转移的数据的加密处理，

●为了删除未被授权从一个域转入另一个的信息的过滤处理，

●为了保留所执行的行动的记录并允许在经验上分析的日志化处理。

这些转换中的某些在处理方面非常昂贵，因而难以高速实现。事实上，它们由能力有限的硬件和软件元件执行。

当相应于长期处理的安全转换需要很多资源时，一个解决方案在于通过使用数据到可用资源的快速路由来并行化安全处理。为了使该解决方案有用，路由必须明显快于安全转换(相应于对从高安全级域转移到较低安全级域的数据执行的不同处理)。

专利FR 2 863 076公开了具有模块结构的加密系统，该加密系统允许在非常高的速度并在高安全级的安全协议的硬件实现。该专利的安全应用领域涉及集成到通信网络或信息系统中的高速编码安全产品。

从现有技术中也已知允许保证高安全级的防火墙型安全设备和编码器。

此外，存在用于在操作系统的域中并行实施处理的机制。例如，图2用示意图示出栅格型并行结构。然而，该结构不容易保证有效的分隔。

图3描述了在这种结构中实现的并行机制。在一个栅格中，所有链路可能传输直接的“红”和“黑”信息-通常用在技术领域中的术语。

虽然它们被证实是有效的，然而根据现有技术的设备具有下列缺点：

●它们不允许容易地并行实施安全处理。其性能因此被执行安全处理的核心部件的性能限制。

●这种结构不允许对新的网络限制例如新用法、新标准、新协议等的安全解决方案(例如，编码设备)的发展性和适应性，

●此外，当前的并行实施或并行化机制不能简单地与不同敏感域之间的严格分隔相兼容。

本发明的目的基于一种新方法，其提供适合于并行实施处理同时维持保证敏感信息的分隔的模块设备。该模块设备包括多个基本数据处理实体，每个实体包括路由单元和处理单元。以这种方式，能够以高速执行安全转换，同时继续使用本领域技术人员通常使用的硬件和软件元件。

本发明涉及用于处理数据的系统，该数据可至少在具有A安全级的第一域和具有B安全级的第二域之间交换，A不同于B，该系统特征在于它包括至少一个基本实体EEi，基本实体EEi包括路由模块URi和数据处理设备UTi，路由模块URi包括在A安全级域中用于待处理的数据的至少一个输入Ii，以及用于没有被处理并保留在A安全级域中的数据的至少一个第一输出Pi和用于通过输出Oi在B安全级域中传递的经处理的数据的连接到处理设备UTi的第二输出Li。

该系统包括例如多个基本实体，这些基本实体彼此并行设置，以便用于未处理的数据的路由单元URi的输出Pi连接到另一基本实体EEj的路由单元URj的输入Ij。

可根据树型拓扑部署基本实体。

基本实体相应于例如环形拓扑，域A形成外部环，多个基本实体位于外部环中，每个基本实体EEi包括第二输入input2，基本实体EEi的输出Pi连接到随后的基本实体EEi+1的第二输入Ii+1，每个基本实体通过输出Oi连接到域B。

本发明还涉及用于在包括具有不同的安全级的至少两个域的系统中处理数据的方法，第一域具有A安全级而第二域具有B安全级，该方法特征在于它至少包括下列步骤：

●在A安全级域中接收待处理的数据，

●将待处理的数据传输到第一路由模块URi的输入，

●检验与该路由模块相关的处理单元UTi是否可用于处理数据，

■如果处理单元UTi是可用的，则处理传输到B安全级域中的数据，

■如果处理单元UTi是不可用的，则数据保留在A安全级域中并且

◆越过输出PASS而传输到另一基本实体的至少一个路由单元，

◆或从系统被取出，同时保留在A安全级域中。

基本实体根据矢量型拓扑(其相应于开环拓扑)或矩阵拓扑(其相应于一组矢量)被部署。

从阅读伴随例证性地而绝不是限制性地给出的附图的实例的下列描述中，本发明的其它特征和优点将显得更清楚，这些图表示：

●图1是处理在两个不同安全级之间的数据的实例，

●图2和3示出栅格型并行结构和实现机制(现有技术)的实例；

●图4是根据本发明的基本实体的功能图，

●图5是包括通过内部链路连接的路由单元和处理单元的基本实体的内部结构的实例。这些基本实体具有彼此连接的能力，

●图6A是根据矢量拓扑(PASS-输入链路)的基本实体之间的连接的简化实例，而图6B集中于基本实体或更准确地，组成其的路由和处理单元之间的连接，

●图7是用示意图示出根据本发明的设备的功能的流程图，

●图8和9是根据环形拓扑的不同实施方式的实例，

●图10到12是根据树型拓扑的不同实施方式的实例，

●图13和14是根据矩阵拓扑的不同实施方式的实例。

●

根据本发明的结构特别包括下列两种功能：

●使用基本实体EEi的组合，每个基本实体EEi适合于执行必要的安全转换，

●将待处理的数据路由到可用的基本实体EEi。

图4示出该结构，其中相应于待转换的数据的输入“I”被提供给基本实体EEi的输入。

两个输出是可能的：

●输出“O”，其中数据被编码或解码。经受处理的该数据从系统输出以转到例如网络或任何其它设备，

●输出“PASS”或P，其相应于未被处理(被编码或解码或任何其它处理)的数据。该数据因此不从根据本发明的并行编码系统出来。

图2以功能方式用示意图示出根据本发明的基本实体，其允许增加系统的处理性能。该实体的功能特别是允许并行实施或并行化相应于必要的安全转换的处理，以从一个安全域转入另一个，例如如图1所示从域A到域B。这些转换通常通过功率被限制的处理单元UT实现。

图4是根据本发明的基本实体EEi的功能图，基本实体EEi的功能是对信息编码并包括两个级：

●由路由单元URi实现的路由级，i是相应于处理系统中的单元的次序的指数，

●由处理单元UTj实现的安全处理级，其中j是系统中的处理单元的次序。

路由单元必须比安全处理单元(长处理时间)更快起反应(短处理时间)，以便机制是有用的。

因为路由处理明显比安全转换短，基本实体的并行设置或并行化更加有用和有效。

两个单元可为相关的，特别是通过处理单元的可用性或不可用性的状态信息。

图5示出根据本发明的并行系统的结构的实例。

在该图中，示出第一A敏感域和第二B敏感级域。在本例中，敏感级A高于敏感级B，即，信息必须在能够从第一域A出来到域B之前被处理。

两个域的分隔线由线L体现。在该示例性实施方式中，系统包括路由单元UR，路由单元UR包括多个输入I1，...，IN、多个PASS型输出P1，...PN、将路由单元UR连接到处理单元UT的内部链路LI，处理单元包括用于经处理的数据即用于根据预期的应用编码或解码的数据的输出O。

图6A描述了根据本发明的包括N个基本实体EEi的系统，每个基本实体EEi包括路由单元URi和处理单元UTi。路由单元UR1包括从域A(例如高敏感级)接收待处理的信息的第一输入I1、第一输出“Ri1”、第二输出P1，待处理的数据通过第一输出“Ri1”发送到相关处理单元UT1的输入Ti1，没有发送到相关处理单元UT1的数据通过第二输出P1传输。

一旦处理单元UT1完成了数据帧的处理，被保护或转换的数据帧就通过输出O1发送到域B(低敏感级)。

第二输出P1例如与形成第二基本实体EE2的部分的路由单元UR2的第一输入I2连接。

处理单元UTi以规则的或连续的方式将可用性指示传输到相关的路由单元URi。单元UTi可接受待处理的数据流或可能忙碌。在此后面的情况下，处理单元UTi在忙碌时必须不接收待处理的信息。来自路由单元的输出“PASS”的待处理的数据于是被传输到另一基本实体。

该系列数据处理例如以下列方式执行：对于每个基本实体EEi，当在输入“Ii”接收到待处理的数据时，相应的路由单元URi检查与其相关的处理单元URi的可用性。

如果处理单元URi是可用的，路由单元Uri将数据传输到处理单元UTi。处理单元UTi执行安全转换并确保不同安全级(A和B)之间的分隔。

如果与其相关的处理单元UTi是不可用的且不能接收待处理的信息，则路由单元URi搜索用于将待处理的数据传输到另一基本实体EEk的输出“PASSi”.

如果输出“PASS”允许访问可用基本实体或更准确地，其可用处理单元，则数据被传输到那里，

如果没有一个处理单元是可用的，则数据被删除或经受任何其它处理。

图6B集中于基本实体之间的连接，或更准确地，组成其的路由和处理单元之间的连接。

在该实例中的根实体EEi不能使用其UTi处理所有的业务，于是未处理的帧的一部分传送到基本实体“叶EEj”(因为其路由能力URi大于其处理能力Uti)。

使用2个EE给出本例，但可添加其它“叶或EE”：必须根据前述原理将它们彼此连接：将叶EEz的端口Iz连接到根EEx的端口Px。

为了简化附图，每个EE具有唯一的通信端口“Pi”。这是一个例子，可设置2个(参考图12)或甚至更多端口“Pi”，这取决于业务要求(业务的密度和Utx的能力)。端口Py添加得越多，树越复杂。

图6B中的流是单向的，以便简化附图。它当然可为双向的：例如，如果EE是IP编码器，它可涉及同时被编码或解码的流。

Uri(或Urj)是位于用于外发的流的处理单元之后的次级路由单元。箭头的方向指示离开域A并被引导到域B的流。也可反转该方向，因为基本实体可处理双向流(例如在可进行编码和解码的编码器的情况下)。在概念上，路由单元置于处理单元之前，但在双向业务的情况下，基本实体的内部结构明显与被两个路由单元围绕的处理单元对称。

如果处理单元Ui是可用的，则使用链路L1。在这种情况下，流在处理之后接着被发送到Oj。

一旦处理单元Uti完成了对在Li上接收到的帧的处理，就使用链路L2；它接着可用于处理其它数据。

如果处理单元UTi忙碌，则使用链路L3，因为其处理能力相对于进入的流(在Li上)被限制。

如果处理单元Utj是可用的，则使用链路L4。在这种情况下，流在处理之后接着被发送到Oj。

如果处理单元UTj忙碌，则使用链路L5，因为它相对于在Ij上进入的流有减小的能力。该链路连接到另一实体EEh的另一输入Ih。

在图7中给出了一序列步骤的例子。它们可以下面的方式被概述：

I-待处理的新数据通过安全转换到达(1)，

II-基本实体EEi的处理单元Uti是可用的？(2)，

如果是可用的，则数据被处理和发送到输出“Oi”，并传送到具有不同安全级的域(3)，

如果是不可用的，则该基本实体EEi不处理数据(4)，路由单元URi力图将这些数据重新引导到另一基本实体EEk。检查路由单元的“PASS”型输出是否指示另一基本实体的可用性，这取决于所实现的路由规则(5)。如果指示可用，路由单元通过其输出“PASS”将待处理的数据传输到基本实体(6)。在该操作期间，数据总是在同一敏感域内。如果没有一个基本实体是可用的，则数据被删除或再处理(7)。数据不从起始的敏感域出来。

数据在其自己的安全域中的分隔被遵守。

通过将一个基本实体更准确地说基本实体EEi的路由单元URi的“PASSi”型输出连接到另一基本实体EEk的“Ik”型输入，基本实体彼此连接到通常与EEk相关的路由单元URk的输入。

根据本发明的一个实施方式，允许待处理的数据最终到达可用基本实体的方法可为如下所述的方法。

可用性信息的传播

当基本实体EEi的处理单元UTi是可用的时，它通过由图6中的“LIi”指示的内部链路将此信息用信号通知给其路由单元URi。

当路由单元URi接收到其相关的处理单元UTi是可用的信息时，它将此信息用信号通知给连接到所有输入“INPUT”的所有基本实体。

当路由单元URi在其输入/输出“PASS”之一接收到处理单元UTi是可用的信息时：

●它将此信息用信号通知给连接到所有输入“Ii”的所有基本实体；

●它通过使用输入/输出“PASS”保留处理单元UTi是可用的信息，可用性信息是通过该输入/输出“PASS”到达的。

待处理的数据到可用基本实体的传播

如果路由单元UR接收到待处理的数据，则路由单元：

●查看其相关的处理单元UT是否是可用的；

■如果处理单元是可用的，则路由单元给处理单元提供待处理的数据，

■如果处理单元是不可用的，则路由单元在其输入/输出“PASS”中搜索指示可用性信息的输入/输出。

◆如果路由单元找到一个输入/输出，则它将待处理的数据传输到该输入/输出“PASS”。

◆如果路由单元没有找到输入/输出，则它毁掉待处理的数据或执行另一处理(例如临时等待)。

根据用户设想的实施方式的级别，存在实现上述方法和系统的几种方法。

路由单元UR和处理单元UT可为软件部件。所以系统能够以软件模块的形式实现，软件模块在保证模块之间的分隔的环境例如被保护的操作系统中被执行。

路由单元UR和处理单元UT可为ASIC(...)、FGPA(场编程门阵列)、微处理器等类型的硬件部件。所以系统能够以在电子部件的系统周围构造的卡的形式实现。

路由单元UR和处理单元UT可为电子卡类型的安全模块。所以系统能够以在安全卡或模块的并行系统周围构造的盒的形式实现。

基本实体EE是安全设备，例如IP(互联网协议)编码器。根据本发明的系统因而是一组安全小型实体，其可为共同形成具有较高性能的编码器的小型编码器。

在以上阐述的最后一个实施方式的范围内，通过将输出“PASS”连接到另一实体的输入，可经验地互连因而添加任何额外的实体。任何网络拓扑是可能的，下面解释这些拓扑中的一些。

可能拓扑的实例

图6示出以矢量形式的实施方式的实例，其中基本实体EE彼此连接(如可能在开环中连接的EE的情况)：

图8和9示出以环的形式的实施方式的实例，其中基本实体EE以环的形式分布。输入input相应于待解码的数据，其可根据相关处理单元UT的可用性通过多个基本实体EE1，EE2，...传输。

该表示具有很好地示出“并行化的”编码系统是分离系统的优点，即，它通过分开输入“I”与输出“O”来极好地分隔域A和B。

事实上，为了从域B传送到A，即，从输入“Ic”到输出“Oc”，必须越过由基本实体EEi组成的安全环。

在附图的下部分中的箭头相应于待编码的进入的数据。它们传送到第一基本实体EE8中，然后第二EE7，在EE7中数据被编码并通过EE7的输出O7传送到域A中。

为了从域A传输到B，即，从输入“Id”到输出“Od”，还必须通过系统，而不管内部路径如何(通过一个或多个基本实体因而通过一个或多个输出PASS的传送)。

对于在附图的上部分中的箭头，这相应于待解码的进入的数据。它们传送到第一基本实体EE1中，然后第二EE2，在EE2中数据被解码并通过EE7的输出O2传送到域B中。

图9用示意图示出域A以外环形式存在的示例性实施方式，在该外环内部署了多个基本实体EE1、EE2、EE3、EE4，其在第一输入E1上接收待处理的数据，并在转换之后将它们发送到域B。

通过将基本实体的输出“PASS”Pi连接到另一基本实体EE_i+1的输入“I₂₊₁”，基本实体EEi彼此连接。这在没有对所创建的拓扑的任何限制的情况下实现。待处理的数据被发送到基本实体的输入。经处理的数据通过每个基本实体的输出O例如从域A传输到域B。

在没有超出本发明的范围的情况下，可反转数据处理的方向以从域B传送到域A。在这种情况下，输出O起输入的作用，且输入I1相应于经处理的数据。

图10、11和12示出根据树型拓扑的实施方式的例子。

如果I是总系统中的输入，在处理单元UT忙碌的情况下，则在该方案中存在三个可能的输出PASS。

将新叶(nouvelle feuille)-由基本实体组成的叶-添加到树总是可能的。

图13和14示出以矩阵形式的拓扑，其通常称为网或栅格或网格。

图13示出包括N1和N2级的两个被保护区以及未被保护的区IP(N3级)的例子。附图的下部分示出到达被保护的系统的信息的处理细节。正方形表示例如依据图4到6运行的根据本发明的示例性实体。

该表示提供了下列优点：

●允许适合于需要的高速多级，

●显示节点的被保护的逻辑原理的能力和全部互连可能性，因而信息从一个基本实体重新装载(remontée)到另一基本实体(例如，从一个编码器到另一编码器)。

根据本发明的系统和方法特别具有下面的优点：

●基本实体被最佳地利用，以便提供较高的服务质量，

●遵守具有不同安全级的域之间的分隔，

●实现起来简单并与在某些系统中要求的高速相容的路由功能，

●分布式和动态的路由功能，

●解决方案使用所有类型的拓扑起作用，

●解决方案保持独立于所执行的安全处理，

●解决方案实现起来简单并可根据用户的需要发展。

Claims

1.一种用于处理数据的系统，所述数据能够至少在具有A安全级的第一域和具有B安全级的第二域之间交换，A不同于B，所述系统特征在于其包括至少一个基本实体EEi，所述基本实体EEi包括路由模块URi和数据处理设备UTi，路由模块URi包括：用于待处理的数据进入A安全级域的至少一个输入Ii；用于没有被处理并保留在A安全级域中的数据的至少一个第一输出Pi；以及连接到处理设备UTi的第二输出Li，用于经过处理的且通过输出Oi传递进B安全级域的数据。

2.如权利要求1所述的系统，特征在于，其包括多个基本实体，所述基本实体彼此并行设置，以便用于未处理的数据的路由单元URi的输出Pi连接到另一基本实体EEj的路由单元URj的输入Ij。

3.如权利要求1所述的系统，特征在于，所述基本实体根据树型拓扑被部署。

4.如权利要求1所述的系统，特征在于，所述基本实体相应于环形拓扑，域A形成外部环，多个基本实体位于所述外部环中，每个基本实体EEi包括第二输入input2，基本实体EEi的输出Pi连接到随后的基本实体EEi+1的第二输入Ii+1，每个基本实体通过输出Oi连接到域B。

5.一种用于在包括具有不同的安全级的至少两个域的系统中处理数据的方法，第一域具有A安全级而第二域具有B安全级，所述方法特征在于，其至少包括下列步骤：

●在A安全级域中接收待处理的数据，

●将待处理的数据传输到第一路由模块URi的输入，

●检验与所述路由模块相关的处理单元UTi是否可用于处理数据，

■如果所述处理单元UTi是可用的，则处理传输到B安全级域中的所述数据，

■如果所述处理单元UTi是不可用的，则所述数据保留在A安全级域中，并且

◆越过输出PASS，将所述数据传输到另一基本实体的至少一个路由单元，

◆或从系统被取出，同时保留在所述A安全级域中。

6.如权利要求1所述的系统，特征在于，所述基本实体根据相应于开环拓扑的矢量型拓扑或相应于一组矢量的矩阵拓扑被部署。