CN107431689A - 黑信道通信设备和方法 - Google Patents

Abstract

用于传送安全通信的设备和对应方法包含发射器(102)和接收器(114)，其具有接口(104,116)、处理器(110,122)和存储器(112,124)。发射器处理器(110)根据需要来例示安全传输功能，并且将程序数据链接到安全传输功能。发射器处理器(110)确定传送程序数据和安全传输功能的传输信道，其无需满足安全性要求。发射器(102)跨传输信道向接收器(114)传送程序数据和安全传输功能，其中接收器处理器(122)例示与安全传输功能对应的安全接收功能，并且指定通信接收器路径之间的连接。处理器(122)将数据输出附连到安全接收功能,该数据输出对应于编程到发射器(102)中的数据。接收器处理器(122)运行接收功能并且将其与传输功能进行比较，以确定所链接数据是否应当发送给接收器接口(116)的输出以便由外部系统使用。

Description

黑信道通信设备和方法

技术领域

本文所公开的主题一般涉及用于安全数据传输的基于计算机的通信网络。

背景技术

多种基于计算机的方式用于要求安全数据传输的环境中。所传送的数据例如用来确保工业环境、例如处理或制造工厂中的控制系统的正确和安全操作。在这类环境中，确保常常包含一种形式的安全数据的通信由接收器成功接收是至关重要的。另外，在这类环境中，确认所接收的通信准确地对应于所传送的通信同样是重要的。诸如数据重复、删除、插入、重新排序、恶化和/或延迟的任何数量的附加威胁可在传输过程期间发生。因此，这些通信信道必须符合将要用于这些环境中的严格标准，以降低或避免系统故障的可能性。

无法证明通用通信信道以操控安全数据。没有适当控制器之间的所证明的通信信道，应用实现将不是可能的。在确实采用安全完整性措施的当前通信系统中，这些系统在文件传输级结合安全性特征。因此，当前系统依靠“叠加”于数据传输网络中的标准通信的安全通信特征。通过使用“叠加”安全特征，当前系统依靠传递必要安全证书的组网设备，其常常是昂贵的，并且常常限制在给定时间所传递的操作传输的数量。克服这些缺点的先前尝试还包含使用专有通信系统和闭合串行网络。这个特定和/或专业通信设备通常具有对系统大小和复杂度的限制。

上述问题引起了对先前方式的某种用户不满。

发明内容

本文所述的方式提供系统及相关方法，其允许发射器与接收器之间的安全通信(例如，符合“黑信道(black channel)”标准的通信)传输。通过使用本文所述的系统，来自发射器的数据跨通用数据传输网络来传送给目标接收器，同时保持所要求的安全性协议。本文所述的系统允许数据传输的安全性在传输和接收端上被校验，因而允许数据传输满足黑信道标准。

相应地，多个数据发射器可用于单个应用中，以便根据需要跨多个不同通信路径来传送数据。因此，系统可导致较高数据完整性解决方案和降低的系统风险。可在根据需要的基础上设想任何数量的分布式数据通信。

本文所述的方式使应用能够结合较低成本的组网设备，其不必满足严格安全认证要求。另外，通过消除安全通信信道的要求，有效地消除因复杂度引起的对系统的任何限制。

在一些示例中，提供一种方法，其中在数据始发方处例示安全传输功能，将程序数据链接到安全传输功能的一个或多个输入，以及确定用来传送所链接的程序数据和安全传输功能的一个或多个输入的传输方式。这种传输方式不必满足安全性要求。接下来，该方法将一个或多个输入转化为数据结构，并且将该数据结构存储在存储器中。然后计算安全性签名或包装(wrapper)，以及创建包含数据结构和安全性签名的传输分组。传输分组然后可通过所确定的传输方式来传送。

在一些示例中，该方法在数据接收器处提供例示与安全传输功能对应的安全接收功能，指定可用通信接收器路径与所例示的安全接收功能之间的连接，并且将与编程到传输分组中的数据对应的所接收的数据输入附连到安全接收功能。该方法还可包含将所接收的数据传递给安全接收功能，运行接收功能，并且通过安全性签名来确认数据的安全性。当确认数据的安全性时，所编程的系统将所接收的数据写入到所附连的数据输出中。相反，当数据的安全性不存在时，在所编程的系统指示安全性的缺乏。另外，该方法可以以预定间隔重复进行。

在一些方式中，将所传送的传输定向到没有安全性要求的多个信道中。多个信道可包括基于以太网的通信路径、串行通信路径和/或无线电数据链路。在其他方式中，计算安全性签名可包含计算用来描述数据结构的数据始发方唯一识别值。另外，数据始发方唯一识别值可包含计算识别程序数据的第一值和识别数据结构的第二值。

在这些实施例的许多实施例中，发射器设备和对应方法包含具有输入和输出的接口、存储器和处理器。在这些方式中并且以预定义时间间隔，处理器配置成例示至少一个安全传输功能，并且将程序数据链接到安全传输功能的至少一个输入。处理器另外配置成确定传输信道以便传送所链接的程序数据和安全传输功能的输入(其不必满足安全性要求)，并且将一个或多个输入转化为数据结构。发射器设备则配置成将数据结构存储在存储器中，计算安全性签名，并且创建包括数据结构和安全性签名的传输分组。

在一些方式中，安全传输功能包含来自用户系统的可运行命令。在一些方式中，处理器还配置成通过所确定的传输信道(其不必满足特定安全性要求)来传送传输分组。此外，在一些示例中，处理器将传输传送给没有安全性要求的多个信道。

在这些实施例的许多实施例中，还提供一种数据接收器设备，其类似地包含具有输入和输出的接口、存储器和处理器。处理器耦合到接口和存储器，并且配置成以预定时间间隔来例示与发射器设备处的安全传输功能对应的安全接收功能，并且指定可用通信接收器路径与所例示的安全接收功能之间的一个或多个连接。处理器还配置成将数据输入(其与编程到关联发射器中的数据对应)附连到安全接收功能。

在另外示例中，数据接收器设备的处理器配置成将所接收的数据传递给安全接收功能，并且运行接收功能。在这点上，数据的安全性通过数据包装来确认。在确认数据的安全性时，数据接收器设备将所接收的数据写入到所附连的数据输出中，以便由对应系统或设备来使用。相反，当数据的安全性不存在时，数据接收器设备配置成指示安全性的缺乏。这个指示可采取报警、告警或消息的形式发生。

附图说明

为了更完整理解本公开，应参照以下详细描述和附图，附图包括：

图1包括图示按照本发明的各个实施例的示范通信系统的框图；

图2包括图示按照本发明的各个实施例、用于创建安全传输分组的方法的操作流程图；

图3包括图示按照本发明的各个实施例、用于接收安全传输分组的方法的操作流程图；

图4包括图示按照本发明的各个实施例的示范通信系统的调用(call)流程图；

图5包括图示按照本发明的各个实施例、用于传送安全通信的系统的示范框图。

熟练的技工将领会，为了简洁和清楚而图示附图中的元件。还将领会，某些动作和/或步骤可按照特定发生顺序来描述或描绘，而本领域的技术人员将会理解，相对序列的这种特异性实际上不被要求。还将会理解，本文所使用的术语和表达具有如符合相对于其的调查和研究的对应的相应领域的这类术语和表达的普通含意，除了本文另外阐述了特定含意的情况下。

具体实施方式

提供克服对专用安全传输装置(其可能是昂贵的并且提供有限系统集成)的需要的方式。在一个方面中，黑信道通信允许安全通信使用常规通信信道或网络(例如基于以太网的通信网络、基于串行的通信网络、基于无线电的通信网络或者由具有相关领域的技术的人员已知的任何其他网络)来传送。通过允许预期通信在传送通信之前具有所附于此的安全性协议，任何数量的通信信道可同时用来传送通信的全部或部分，因而向用户提供附加效率。

现在参照图1，描述通信系统100的一个示例。通信系统100包含发射器102，其包含具有输入106和输出108的接口104、处理器110以及存储器112。通信系统100还包含接收器114，其类似地包含具有输入118和输出120的接口116、处理器122以及存储器124。

发射器102是有选择地选择成生成和传送通信的硬件装置和/或软件的任何组合。接收器114是有选择地选择成接收和生成通信的硬件装置的组合。接口104是基于计算机的程序，其配置成在输入106接受命令，并且在输出108传送所生成的通信。因此，接口104的功能是要允许发射器102与用户和接收器114进行通信。接口116是基于计算机的程序，其配置成在输入118接受所传送的输入，并且向第二系统(未示出)传送输出120。因此，接口116的功能是要允许接收器114与发射器102和辅助系统进行通信。

发射器102的处理器110和接收器114的处理器122可以是任何类型的计算组件，其能够保存分别到发射器102和接收器114的存储器112和124的数据。存储器112和124可以是能够将数据存储于此的任何类型的装置。

将领会，本文所述的各种组件可使用运行存储器中存储的计算机指令的通用处理装置来实现。

发射器102经过接口104与接收器114进行通信，并且为接收器114提供从输入106所接收的命令。这些命令根据需要可来自用户或控制系统。要理解，在一些方式中，单独计算装置可配置成接收和分析要发送给处理器110的输入。

处理器110与接口104进行通信以处理输入，以及将所要求的安全性特征应用于通信并且向存储器112传送通信。处理器110另外向输出108传送存储器112中存储的通信，以便发送给接收器114。

处理器122与接口116进行通信以处理所传送的输入，以及提取安全性特征和通信并且向存储器124传送通信。处理器110另外向输出120传送存储器124中存储的通信，以便发送给外部系统。

在操作中，以预定时间间隔，处理器110例示具有输入的至少一个安全传输功能。例如，处理器110可例示序列功能，其确保按照正确顺序来接收通信。通过“例示”以及如本文所使用的,意味着创建数据以供包含在安全数据结构(其传达安全数据结构的创建顺序)中。备选地，处理器110可例示连接ID号，其确保所接收的通信对应于来自发射器102的所传送的通信。更进一步，处理器可例示签名功能，其特定于具体通信的内容。

处理器110则将在输入106所接收的程序数据链接到安全传输功能的输入。换言之，将程序数据附加到安全传输功能。处理器则配置成确定传输信道以便传送所链接的程序数据和安全传输功能。这个传输信道可以是例如基于以太网的通信网络、基于串行的通信网络、基于无线电的通信网络或者不要求满足安全性和/或安全要求的任何其他常用通信网络。理解的是，处理器110可根据需要使用任何数量的通信信道。

处理器110还配置成将安全传输功能的输入和所链接的程序数据转化为数据结构，其存储在存储器112中。可结合任何类型的常用数据结构，其能够存储安全性功能和程序数据。

甚至更进一步，处理器110配置成计算数据结构的安全性签名或包装，以提供附加安全性等级。处理器110则创建具有数据结构和安全性签名的传输分组，并且指示输出108传送传输分组。通过“安全签名”以及如本文所使用的,意味着应用于数据的数值方法，其确认所接收的数据与所传送的数据是相同的。

转到接收器114，以预定时间间隔，处理器122例示与上述安全传输功能对应的至少一个安全接收功能。这些功能可包含确保按照正确顺序来接收通信的序列功能、确保所接收的通信对应于来自发射器102的所传送的通信的连接ID号以及特定于具体所接收的通信的内容的签名功能。

处理器122则指定输入118处的可用通信接收器路径与所例示的安全接收功能之间的连接。处理器122则将数据输出(其对应于编程到发射器102中的数据)附连到安全接收功能。处理器122将这个数据存储到存储器124，并且将这个数据传递给安全接收功能，以运行接收功能。在这点上，数据的安全性通过将安全接收功能的内容与安全传输功能的内容进行匹配来确认。

当确认数据的安全性时，处理器110将内容存储到存储器124，因而允许数据根据需要在输出120来使用。可结合任何类型的常用数据结构，其能够存储安全性功能和程序数据。输出120可连接到能够接收和运行命令的任何类型的系统或设备。

当没有确认数据的安全性时，处理器110向输出120发送指示安全性的缺乏的告警。用户则可进一步研究系统100来确定告警的原因。

在一些示例中，在输入106所接收的程序数据包含来自用户系统的可运行命令。这些命令可响应于系统指示特定条件、例如报警条件的存在而自动生成。因此，可运行命令从发射器102传送给接收器114，并且在输出120用来控制辅助系统。命令的示例包含阀的致动、从电路去除功率或者任何其他过程控制命令。

在其他示例中，处理器110将传输的一部分或全部传送到没有安全性要求的任何数量的通信信道中。

如此被配置，系统100允许安全数据的传输，而不管所选择的通信信道。处理器110可编程为自动选择通信信道，或者备选地，信道可以可由用户选择。

现在参照图2，描述用于创建安全传输分组的方法200的一个示例。方法200在数据始发方处并且在应用编程环境中发生。 通过“应用编程环境”以及如本文所使用的,意味着一种交互式计算机程序，其捕获将要由可编程控制器所执行的动作，并且将那些动作传达给控制器，其中传送和/或接收功能发生。首先，在步骤202处，例示安全传输功能。接下来，在步骤204处，将程序数据链接到安全传输功能的输入。

在步骤206处，确定传输方式以传送所链接的程序数据和安全传输功能的输入。在步骤208处，将输入转化成数据结构。接下来，在步骤210处，将数据结构存储到存储器。在步骤212处，计算安全性签名。在步骤214处，创建包含数据结构和安全性签名的传输分组，以及在步骤216处，传送传输分组。

现在参照图3，描述用于接收安全传输分组的方法300的一个示例。方法300在数据接收器处并且在应用编程环境中发生。首先，在步骤302处，例示安全接收功能，其对应于安全传输功能。接下来，在步骤304处，指定可用通信接收器路径与所例示的安全接收功能之间的连接。

在步骤306处，与编程到传输分组中的数据对应的数据输入附连到安全接收功能。在步骤308处，将所接收的数据传递给安全接收功能。

在步骤310处，运行安全接收功能，以通过安全性签名来确认数据的安全性。在步骤312处，方法300确定是否确认安全性。如果确认安全性，则在步骤314处，将所接收的数据写到所附连的数据输出。如果没有确认安全性，则在步骤316处，在所编程的系统处指示安全性的缺乏。

现在参照图4，提供图示示范通信系统400的调用流程图。通信系统400将命令402发送给传输应用，其执行将命令转化成表404的动作。传输表则存储命令406，以及传输应用基于表的内容来计算签名408。所计算的签名然后附加到传输表410。发射器然后传送412传输表，以及接收器接收414表。接收器表提取命令和签名416。接收器应用则计算预计签名418，并且将预计签名与所存储签名进行比较420。如果预计签名等效于所存储签名422，则在外部设备准予对命令的访问424。相反，如果预计签名不等效于所存储签名426，则拒绝访问，并且向外部设备发送报警428。

现在参照图5，提供图示用于传送安全通信的系统500的框图。系统500包含顶侧安全系统502，其具有安全应用504、传送块506、接收块508和以太网全局数据(EGD)协议网络栈510。系统500还包含网络512以及海底安全系统514，其具有安全应用516、传送块518、接收块520和EGD协议网络栈522。

顶侧安全系统502可以是用来在远程位置处监测其他装置的状态的任何系统。作为示例，提供海底安全系统514以监测海底系统、例如油提取系统的操作。安全应用504和516可以是能够显示、接收和传送与所实现装置的安全有关的信息的任何通常已知应用。将领会，图5的系统是系统的一个示例,该系统能够利用目前方式并且其他应用是可能的。

传送块506和518配置成根据需要跨网络512来传送数据，以及类似地，接收块508和520配置成根据要求来接收跨网络512所传送的数据。EGD协议网络栈510、522是用来在预期网络上传递数据的协议。将会理解，任何已知协议可用来跨网络传递数据，以及EGD协议网络栈510、522协议只作为说明性示例来提供。

在操作中，海底安全系统514可经过网络512、使用EGD协议网络栈522采用传送块518来传送信号。信号经由EGD协议网络栈510到达接收块508。用户则可使用安全应用504从顶侧安全系统502来生成命令。这些命令采用EGD协议网络栈510、网络512和EGD协议网络栈522经由传送块506来传送。如图示，与跨网络512相反,安全通信特征(在这种情况下为黑信道)在顶侧安全系统502侧处来生成。海底安全系统514的接收块520则接收信号，以及安全应用516配置成运行与由顶侧安全系统502的安全应用504所发送的信号对应的命令。安全通信特征被提取并且与在海底安全系统514处的所生成安全通信特征进行比较。如此被配置，网络512和EGD协议网络栈510、522无需所附加于此的任何类型的安全性信息以便在安全系统之间传送消息。这个示例描绘原因和效果关系，但是理解的是，在一些示例中,

理解的是，按照一些形式，系统500不要求海底安全系统514在顶侧安全系统502用来生成命令之前向顶侧安全系统502发送初始命令。例如，在顶侧安全系统502处的条件可需要向海底安全系统514发送命令，而无需来自其中的任何类型的提示。

由本领域的技术人员将领会，对上述实施例的修改可在各个方面中进行。其他变化显然也将会起作用(work)，并且处于本发明的范围和精神之内。本发明以所附权利要求书中的特殊性来阐述。认为那个发明的精神和范围囊括对本文的实施例的这类修改和变更，如对于本领域熟练的并且精通本申请的教导的人员将会是显而易见的。

Claims (18)

1.一种方法，包括：

在数据始发方处并且在应用编程环境中：

- 例示安全传输功能；

- 将程序数据链接到所述安全传输功能的一个或多个输入；

- 确定传输方式以传送所链接的程序数据和所述安全传输功能的所述一个或多个输入，其中所述传输方式无需满足安全性要求；

- 将所述一个或多个输入转化为数据结构；

- 将所述数据结构存储在存储器中；

- 计算安全性签名；以及

- 创建包括所述数据结构和所述安全性签名的传输分组。

2.如权利要求1所述的方法，还包括：

通过所确定的传输方式来传送所述传输分组。

3.如权利要求2所述的方法，还包括：

在数据接收器处并且在所述应用编程环境中：

- 例示与所述安全传输功能对应的安全接收功能；

- 指定可用通信接收器路径与所例示的安全接收功能之间的连接；

- 将所接收的数据输入附连到所述安全接收功能,所述所接收的数据输入与编程到所述传输分组中的所述数据对应。

4.如权利要求3所述的方法，还包括：

在所编程的系统处：

- 将所接收的数据传递给所述安全接收功能；

- 运行所述安全接收功能，其中所述数据的安全性通过所述安全性签名来确认；

其中当确认所述数据的所述安全性时，所述所编程的系统将所述所接收的数据写入到所附连的数据输出中，其中当所述数据的所述安全性不存在时，在所述所编程的系统指示安全性的缺乏。

5.如权利要求2所述的方法，其中，所述方法以预定间隔重复进行。

6.如权利要求4所述的方法，其中，所述方法以预定间隔重复进行。

7.如权利要求2所述的方法，其中，将所传送的传输定向到没有安全性要求的多个信道中。

8.如权利要求7所述的方法，其中，所述多个信道包括基于以太网的通信路径、串行通信路径和无线电数据链路。

9.如权利要求1所述的方法，其中，计算所述安全性签名包括计算用来描述所述数据结构的数据始发方唯一识别值。

10.如权利要求9所述的方法，其中，计算所述数据始发方唯一识别值包括计算识别所述程序数据的第一值和识别所述数据结构的第二值。

11.一种发射器设备，包括：

具有输入和输出的接口；

存储器；

处理器，耦合到所述接口和所述存储器，所述处理器配置成以预定义时间间隔来例示一个或多个安全传输功能，将程序数据链接到所述安全传输功能的一个或多个输入，确定传输信道以便传送所链接的程序数据和所述安全传输功能的所述一个或多个输入，将所述一个或多个输入转化为数据结构，将所述数据结构存储在存储器中，计算安全性签名，并且创建包括所述数据结构和所述安全性签名的传输分组。

12.如权利要求11所述的发射器设备，其中，所述处理器配置成经由所述输出通过所确定的传输信道来传送所述传输分组，其中所确定的传输方式无需满足安全性要求。

13.如权利要求11所述的发射器设备，其中，所述程序数据包括来自用户系统的可运行命令。

14.如权利要求11所述的发射器设备，其中，所述处理器将所述传输传送到没有安全性要求的多个信道中。

15.一种数据接收器设备，包括：

具有输入和输出的接口；

存储器；

处理器，耦合到所述接口和所述存储器，所述处理器配置成以预定义时间间隔来例示与安全传输功能对应的安全接收功能，指定可用通信接收器路径与所例示的安全接收功能之间的连接，并且将数据输出附连到所述安全接收功能,所述数据输出与编程到关联发射器中的数据对应。

16.如权利要求15所述的数据接收器设备，其中，所述处理器还配置成将所接收的数据传递给所述安全接收功能，并且运行所述安全接收功能，其中所述数据的安全性由所述处理器来确认，其中当确认所述数据的所述安全性时，所述数据接收器设备将所述所接收的数据写入到所述存储器中以便由所述接口的所述输出来传送，其中当所述数据的所述安全性不存在时，所述数据接收器设备配置成在所述接口的所述输出指示安全性的缺乏。

17.如权利要求16所述的数据接收器设备，其中，当所述数据的所述安全性存在时，所述处理器配置成允许设备使用写到所述数据输出的所述所接收数据。

18.如权利要求16所述的数据接收器设备，其中，所述处理器还配置成当确定安全性的缺乏时发出告警。