CN109787871A - 基于fpga的异构视频准入分析系统和方法 - Google Patents

Abstract

本发明涉及一种基于FPGA的异构视频准入分析系统和方法。它解决了现有技术设计不够合理等问题。包括网络准入控制设备与网络准入服务器，网络准入服务器包括准入控制主板，准入控制主板包括PCB电路板、若干FPGA处理器、ARM处理器、SFP+万兆光接口，在PCB电路板上设有SOC处理器，在PCB电路板上分别设有Console接口、USB接口、ETH千兆网口以及LAN千兆网口。优点在于：本发明采用了任务分解法，将网络接入数据包采集、分析、执行这项复杂任务进行分解，充分发挥FPGA处理器并行处理的优势、ARM系统低成本高性能管理的优势、SOC处理器含多CPU+以太网交换器，具有特定功能和高性价比的特点、专用电路的数据安全保障等优点，从而优化、解决现有网络准入设备所存在的不足。

Description

基于FPGA的异构视频准入分析系统和方法

技术领域

本发明属于网络设备技术领域，尤其是涉及一种基于FPGA的异构视频准入分析系统和方法。

背景技术

近年来，网络安全问题正从幕后走到台前。全球范围内爆发了大量针对政府、企业、高校等网络用户的网络攻击事件。典型的莫过于2016年10月21日半个美国的网络瘫痪事件，事后查明造成此次大规模网络瘫痪的原因是美国网络服务供应商迪恩公司的DNS服务器遭到了DDoS攻击(分布式拒绝服务)。这种攻击主要利用合理的服务请求去占用尽可能多的服务资源，从而使得用户无法得到服务响应。参于本次DDoS攻击的设备就包括大量的网络监控摄像机、DVR、NVR等互联网监控设备，作为此次攻击的媒介，这些设备实施DDoS攻击(控制这些设备的病毒名为Mirai)，不仅给被攻击者造成了巨大的损失，同时也暴露了视频监控网络安全的脆弱性。

现阶段，大多数的视频监控系统都是基于TCP/IP协议进行远程监控、传输、存储、管理的，所以在整个监控网络体系中都面临一系列的安全风险，现有技术也从多方面对视频监控网络安全体系统进行了建设，其中就包括视频监控设备的网络安全准入。现有网络准入控制系统主要由执行准入控制策略的网络设备，包括路由器、交换机、无线接入点及安全设备和管理服务器等网络设备组成。通过管理服务器对获取得网络设备厂商、设备类型、操作系统、IP、MAC地址等网络包协议和数据信息的分析，对接入内部网络的终端进行严格、高细粒度的管控，只有符合入网要求的合法安全的终端才能入网。全过程进行严格的、全方位的审计，实现内网标准化管理，降低内网安全风险。从而实现身份认证、安全分析、通讯规范分析、数据分析等功能，对网络安全实现第一道准入的有效管控。

目前常用的网络准入控制设备，主要基于X86架构服务器，对入网设备网络包使用网卡进行采集，并通过DHCP、ARP、MVG、IEEE802.1X访问控制和认证协议等技术进行入网认证控制,常用网络准入流程示意图如图1所示，在应用中会暴露出以下缺点.1、准入控制存在安全隐患:常用的网络准入控制中使用的如IEEE802.1X等协议是一种基于Client/Server(C/S)的访问控制和认证协议。用户在认证通过情况下，交换机端口即被打开，这个机制存在安全隐患，其仅在建立连接时进行身份验证，一旦请求设备通过了身份验证且交换机端口处于打开状态，请求设备与交换机之间的进一步通信将不被验证。非法用户可能会利用此漏洞进行非法操作，如通过已开通的端口私接交换机、无线路由器、无线桥接等操作进行非法入侵。2、协议分析效率低：目前很多大型视频网络都已实现联网，其网络规模庞大、网络摄像机等设备数量巨大。目前视频网络传输主要是采用TCP/IP协议的，所以常用方案都是基于服务器的CPU进行TCP/IP包的分析，对越来越庞大的视频网络，数据分析量也将成倍增加，特别是在批量入网的情况下接入延时会越来越大。主要是由于TCP/IP协议栈高CPU资源消耗的特点会使服务器处理速度及效率大大降低。如果采用C/S结构，则要求所有接入的网络设备都需要安装客户端软件，在批量设备接入时操作繁琐、效率低下，有些终端还会因版本兼容、不支持安装客户端软件等问题无法接入网络。3、缺少对GB/T28181和GB35114的支持：网络准入这一概念是由思科发起、后续由华为、联软、北信源等多家厂商根据此概念进行自主研发的一门新兴技术。其宗旨是防止病毒和蠕虫等新兴黑客技术对企业安全造成危害，为企业建设一套网络安全体系。目前网络设备准入系统主要支持现有广义网络、内网的准入控制，还不具有专门针对视频专网的，支持GB/T28181和即将执行的GB35114协议准入设备。4、产品成本不占优势：目前的网络准入设备，为了提高数据处理效率和预留设计部署余量，常用方法主要是提高系统硬件性能，选用具有几核乃至几十核处理器的高性能服务器，还有更大容量更快速度的内存及网络设备，但代价是设备成本将是成倍的增加。5、产品性能适应性差：常用的网络准入设备数据处理的效率主要依赖服务器CPU和内存，如果选择性能余量大的，不但成本高昂还会造成设备资源的浪费，相反选择性能余量小的，随着网络设备的增加，准入设备性能可能就不能满足要求。比如：视频专网，每年都会新增很多设备的接入，另外如果出现区域断电、断网、批量接入等情况，很容易造成设备长时间不能入网等故障，暴露出网络准入设备性能的适应性差。因此，设计出一种提高网络接入的安全性和工作效率以及实现低成本及具有更好的性能适应性的视频准入分析系统显得尤为必要和迫切。

发明内容

本发明的目的是针对上述问题，提供一种低成本和更好的性能适应性的基于FPGA的异构视频准入分析系统。

本发明的另一个目的是针对上述问题，提供一种提高网络接入的安全性和工作效率的基于FPGA的异构视频准入分析方法。

为达到上述目的，本发明采用了下列技术方案：本基于FPGA的异构视频准入分析系统，包括与终端设备或网络相连的网络准入控制设备，所述的网络准入控制设备与网络准入服务器相连，所述的网络准入服务器包括至少一个准入控制主板，所述的准入控制主板包括PCB电路板，所述的PCB电路板上设有若干FPGA处理器，每一个FPGA处理器分别连接有ARM处理器，在PCB电路板上设有若干和FPGA处理器一一对应的万兆光接口组，每一个万兆光接口组均包括若干分别和FPGA处理器相连的SFP+万兆光接口，在PCB电路板上设有与ARM处理器相连的SOC处理器，在PCB电路板上分别设有和SOC处理器相连的Console接口、USB接口、ETH千兆网口以及LAN千兆网口。本发明的硬件架构具有安全、高效、低成本、功能灵活等方面的优势，设计采用了任务分解法，将网络接入数据包采集、分析、执行这项复杂任务进行分解，充分发挥FPGA处理器并行处理的优势、ARM系统低成本高性能管理的优势、SOC处理器含多CPU+以太网交换器，具有特定功能和高性价比的特点、专用电路的数据安全保障等优点，从而优化、解决现有网络准入设备所存在的不足。

在上述的基于FPGA的异构视频准入分析系统中，所述的FPGA处理器的数量为三个且分别依次设置在PCB电路板上，且每一个FPGA处理器外围连接有FPGA外设电路，且所述的ARM处理器外围连接有ARM外设电路，所述的SOC处理器外围设有SOC外设电路，在PCB电路板上分别设有系统电源电路、ATX电源接口、系统时钟电路以及系统风扇控制模块。

在上述的基于FPGA的异构视频准入分析系统中，所述的FPGA外设电路包括分别和FPGA处理器相连的FPGA外设Flash存储模块、FPGA外设EEPROM存储模块、FPGA外设SDRAM内存模块组、FPGA外设指示灯组、FPGA外设扩展I/O接口、FPGA外设串口模块、FPGA外设复位模块、FPGA外设调试接口、FPGA外设加密模块以及FPGA外设设置开关组。

在上述的基于FPGA的异构视频准入分析系统中，所述的SFP+万兆光接口分别和设置在PCB电路板上的光纤连接指示灯和光纤速率指示灯相对应。

在上述的基于FPGA的异构视频准入分析系统中，所述的ARM外设电路包括设置在PCB电路板上且分别和ARM处理器相连的ARM外设信息指示灯组、ARM外设EEPROM存储模块、ARM外设Flash存储模块、ARM外设SDRAM内存模块、ARM外设FPGA温度监测模块、ARM外设FPGA风扇控制模块、ARM外设千兆PHY模块、ARM外设复位模块以及ARM外设调试接口，所述的ARM外设千兆PHY模块包括PHY芯片，所述的PHY芯片通过网络变压器和SOC处理器相连。

在上述的基于FPGA的异构视频准入分析系统中，所述的SOC外设电路包括设置在PCB电路板上且分别和SOC处理器相连的SOC外设复位模块、SOC外设调试接口、SOC外设指示灯组、SOC外设拨码开关组、SOC外设SDRAM内存模块、SOC外设Flash存储模块以及SOC外设EEPROM存储模块，所述的SOC处理器通过RS232电平转换模块和Console接口相连。

在上述的基于FPGA的异构视频准入分析系统中，在PCB电路板上分别设有电源运行指示模块和启动复位按键。

在上述的基于FPGA的异构视频准入分析系统中，所述的系统电源电路包括降压型DC/DC转换器和/或低压差线性稳压器。

上述的基于FPGA的异构视频准入分析系统的基于FPGA的异构视频准入分析方法如下所述：本基于FPGA的异构视频准入分析方法，包括以下步骤：

S1、终端设备发起入网申请或终端设备与网络准入控制设备进行数据交互；

S2、网络准入控制设备将所有网口的数据发送给网络准入服务器；

S3、网络准入服务器进行准入控制并发送控制指令给网络准入控制设备执行准入指令或禁入指令。

在上述的基于FPGA的异构视频准入分析方法中，步骤S2中的网络准入服务器的准入控制方法包括：

通过FPGA处理器采集网络数据进行IP层规则过滤、GB/T28181、GB35114、SIP、PSIP等协议信令数据提取分析，ARM处理器收到FPGA处理器分析结果及部分数据并协助完成部分分析后将结果通过LAN千兆网口上传，SOC处理器根据分析结果通过LAN千兆网口控制网络准入控制设备进行网络设备数据准入控制。

与现有的技术相比，本基于FPGA的异构视频准入分析系统和方法的优点在于：

1.做到了入网前和入网后的全程准入控制，弥补了原网络准入系统的安全隐患，同时采用的无感知认证方式，简化了入网流程提高了效率，解决了部分终端因客户端软件安装兼容等原因无法接入网络的问题。

2.采用任务分解法，将原来网络准入服务器完成的复杂任务分解成由FPGA+ARM+SOC的硬件架构来实现，充分发挥各硬件的优势，在提高网络准入系统的效率的同时，又较大的降低了成本。

3.相比早期的产品，此发明将全面支持GB/T28181、GB35114、SIP、PSIP等协议信令数据的提取分析，采用新的硬件架构优化了网络准入采集、分析、控制的效率，特别适合公共安全视频专网等安全级别高、规模庞大的网络设备准入控制。

4.本发明的硬件架构可根据用户的需求进行不同路数的设计，相比原服务器更灵活，对于已经设计好的硬件来说，本发明中设计了分析结果数据的千兆交换网口LAN，可以通过此接口级连来进行系统扩展，如：一个系统由两块主板组成，主板间通过LAN连接，可以通过一块主板SOC来管理两块或多块主板分析数据。从而大大提高网络准入设备的性能适应性和可扩展性，而原来的方案很可能需要花费高昂费用去频繁更换升级服务器。

5.本发明中的FPGA、ARM、SOC都是可编程处理器，可实现功能的修改、新增、扩容。特别在前端数据采集、过滤、分析方面采用的FPGA，是由硬件电路来实现的功能，属于专用电路安全性能更高。

附图说明

图1为现有技术中常用网络准入流程示意图。

图2为本发明提供的原理框图。

图3为本发明中FPGA处理器和ARM处理器连接时的原理框图。

图4为本发明提供的基于FPGA的异构视频准入控制方法示意图。

图5为本发明提供的网络准入数据采集分析方法对比图。

图6为本发明提供的通过LAN口进行多个准入系统级连扩展图。

图7为本发明提供的通过LAN口进行单个准入系统2U级连扩展图。

图中，PCB电路板1、电源运行指示模块11、启动复位按键12、FPGA处理器2、FPGA外设Flash存储模块21、FPGA外设EEPROM存储模块22、FPGA外设SDRAM内存模块组23、FPGA外设指示灯组24、FPGA外设扩展I/O接口25、FPGA外设串口模块26、FPGA外设复位模块27、FPGA外设调试接口28、FPGA外设加密模块29、FPGA外设设置开关组291、ARM处理器3、ARM外设信息指示灯组31、ARM外设EEPROM存储模块32、ARM外设Flash存储模块33、ARM外设SDRAM内存模块34、ARM外设FPGA温度监测模块35、ARM外设FPGA风扇控制模块36、ARM外设千兆PHY模块37、PHY芯片371、网络变压器372、ARM外设复位模块38、ARM外设调试接口39、万兆光接口组4、SFP+万兆光接口41、光纤连接指示灯42、光纤速率指示灯43、SOC处理器5、Console接口51、USB接口52、ETH千兆网口53、LAN千兆网口54、SOC外设复位模块541、SOC外设调试接口542、SOC外设指示灯组543、SOC外设拨码开关组544、SOC外设SDRAM内存模块545、SOC外设Flash存储模块546、SOC外设EEPROM存储模块547、RS232电平转换模块548、系统电源电路6、ATX电源接口7、系统时钟电路8、系统风扇控制模块9、SDN交换机10、终端设备101、网络102、网络准入服务器103。

具体实施方式

下面结合附图和具体实施方式对本发明做进一步详细的说明。

如图2-4所示，本基于FPGA的异构视频准入分析系统，包括与终端设备101或网络102相连的网络准入控制设备10，所述的网络准入控制设备10与网络准入服务器103相连，所述的网络准入服务器103包括至少一个准入控制主板，所述的准入控制主板包括PCB电路板1，所述的PCB电路板1上设有若干FPGA处理器2，每一个FPGA处理器2分别连接有ARM处理器3，在PCB电路板1上设有若干和FPGA处理器2一一对应的万兆光接口组4，每一个万兆光接口组4均包括若干分别和FPGA处理器2相连的SFP+万兆光接口41，在PCB电路板1上设有与ARM处理器3相连的SOC处理器5，在PCB电路板1上分别设有和SOC处理器5相连的Console接口51、USB接口52、ETH千兆网口53以及LAN千兆网口54。

其中，Console接口51此接口设计用于外部计算机采用串口连接Console口，运行超级终端或其它工具软件登录SOC系统，进行参数设置、打印信息等调试操作。端口设计有ESD保护电路，避免因静电导致端口器件损坏。USB接口52，此双层USB接口设计用于外接U盘或其它磁盘进行系统升级、数据导入导出操作。端口设计有ESD保护电路，避免因静电导致端口器件损坏。ETH千兆网口53，通过网络变压器和千兆PHY模块与SOC的GMII接口连接，PC机可通过此网口采用telnet命令登录到SOC的操作系统中，参数配置、FPGA过滤规则和协议模型的导入、导出和下发、系统程序升级等操作。端口设计有ESD保护电路，避免因静电导致端口器件损坏。LAN千兆网口54，此LAN千兆网口设计用于实现系统级连或外接服务器用。此接口与内部ARM的网络接口连接在SOC的以太网交接器上。管理员通过SOC开通LAN千兆网口后，可将ARM上传的分析数据通过些接口发送给其它服务器。端口设计有ESD保护电路，避免因静电导致端口器件损坏。

本实施例中的基于FPGA的异构视频准入分析系统主要由准入控制主板、存储在主板存储器上的程序、机箱等附件组成。在相关场合可以替代原有网络数据准入服务器。本发明的硬件架构具有安全、高效、成本、功能灵活等方面的优势，设计采用了任务分解法，将网络接入数据包采集、分析、执行这项复杂任务进行分解，充分发挥FPGA处理器并行处理的优势、ARM系统低成本高性能管理的优势、SOC处理器含多CPU+以太网交换器，具有特定功能和高性价比的特点、专用电路的数据安全保障等优点，从而优化、解决现有网络准入设备所存在的不足。

其中，PCB作为电子元器件及电气连接的载体，是重要的电子部件，本发明设计的PCB为满足超大规模集成电路及小型化器件的应用，采用高密度多叠层PCB设计。为确保信号传输的功率及质量，分别对两类信号做阻抗匹配设计，如：10G SFP+光接口高频差分信号及SDRAM单端信号等。为提高元器件贴片焊接、信号传输质量及焊盘抗氧化能力，PCB板设计采用沉金工艺。

本实施例中的FPGA处理器2的数量为三个且分别依次设置在PCB电路板1上，且每一个FPGA处理器2外围连接有FPGA外设电路，且所述的ARM处理器3外围连接有ARM外设电路，所述的SOC处理器5外围设有SOC外设电路，在PCB电路板1上分别设有系统电源电路6、ATX电源接口7、系统时钟电路8以及系统风扇控制模块9。优选地，在PCB电路板1上分别设有电源运行指示模块11和启动复位按键12，这里的系统电源电路6包括降压型DC/DC转换器和/或低压差线性稳压器。采用降压型DC/DC直流电源转换和LDO低压差线性稳压器转换电路将输入的+12V、+3.3V逐级的转换成板卡所需的各类直流电源。并给系统电源LED指示电路、FPGA散热风扇接口电路、机箱风扇等电路供电。

系统时钟电路8，设计由频率稳定度好、温度频差小的晶体振荡器、多路时钟发生器及外围器件组成，由此模块产生FPGA、ARM、SOC所需的所有时钟信号。多路时钟发生器可将低频晶体振荡器的时钟转换成高频时钟，并支持多路输出及输出时钟频率的配置产生所需的不同时钟，切换多种工作模式。

系统风扇控制模块9，采集机箱内温度，并根据设定的温度值进行风扇控制。将带IIC接口的数字温度传感器设计在机箱温度较高的位置，SOC芯片的IIC接口实时读取温度，并根据温度值来判断是否要做相应处理。采用4线制散热接口设计，设计采用一个I/O接口进行风扇的转速采集，另一个I/O接口输出PWM(Pulse Width Modulation)脉宽调制波形通过MOS管进行风扇转速控制。

电源运行指示模块11，用于指示系统是否有供电，和系统运行是否正常，SOC会定时与ARM和FPGA进行心跳检测，只有三者都运行正常时，由SOC控制运行指示灯进行闪烁指示。

启动复位按键12，启动按钮的触发信号接到开关电源的接口的启动引脚或DC/DC电路的启动引脚，用于启动系统供电。一般，正常关机后，再开机需要按启动按钮来触发开机，异常断电后来电，设计成自动开机。

其中，这里的FPGA外设电路包括分别和FPGA处理器2相连的FPGA外设Flash存储模块21、FPGA外设EEPROM存储模块22、FPGA外设SDRAM内存模块组23、FPGA外设指示灯组24、FPGA外设扩展I/O接口25、FPGA外设串口模块26、FPGA外设复位模块27、FPGA外设调试接口28、FPGA外设加密模块29以及FPGA外设设置开关组291。优选地，这里的SFP+万兆光接口41分别和设置在PCB电路板1上的光纤连接指示灯42和光纤速率指示灯43相对应。

优选地，这里的FPGA处理器2在外设的配合下实现的主要功能：通过SFP+万兆光纤接口接收数据，根据SOC通过ARM下发的规则实现IP层协议(TCP、UDP、ARP等)、IP地址、端口的过滤并根据协议模型提取分析GB/T28181、GB35114、SIP、PSIP协议信令数据，然后通过双口RAM将分析结果等数据传给ARM。如果FPGA采集接收到的是IP分片包数据，则先存储在SDRAM，在设定的超时时间内如果收到所有分片包则进行IP分片包重组，重组后进行过滤和提取操作。

每个FPGA处理器2外设主要包括：2组SFP+万兆光接口及其指示灯、Flash存储模块、EEPROM存储模块、SDRAM内存模块组、指示灯组、扩展I/O、串口模块、复位模块、调试接口、加密模块、设置开关组等电路组成，具体功能如下：

FPGA外设Flash存储模块21、FPGA外设EEPROM存储模块22、FPGA外设SDRAM内存模块组23、FPGA外设指示灯组24、FPGA外设扩展I/O接口25、FPGA外设串口模块26、FPGA外设复位模块27、FPGA外设调试接口28、FPGA外设加密模块29以及FPGA外设设置开关组291SFP+万兆光接口41、光纤连接指示灯42、光纤速率指示灯43

其中，六组SFP+万兆光接口41及光纤连接指示灯42、光纤速率指示灯43：光口通过SFP+万兆光模块与交换机万兆镜像口或其它网络接入监控设备连接，用于采集接收网络包。光模块分别有TX、RX两组发送接收高速差分对信号与FPGA处理器的高速收发器接口GTX相连。每个SFP+万兆光接口均对应有1个光纤连接指示灯和1个光纤速率指示灯。光纤连接指示灯用于指示光口收、发链路连接是否正常，常亮表示正常，不亮表示异常。光纤速率指示灯用于指示光纤实时传输的速率，如：常亮表示速率大于等于9Gbps，闪烁表示速率在9Gbps以下，不亮表示无数据传输。

FPGA外设Flash存储模块21:设计用于存放FPGA的配置代码，系统上电后，要由配置电路将正确的数据自动加载到FPGA的SRAM中，配置完成后FPGA处理器开始工作。

FPGA外设EEPROM存储模块22：设计采用IIC或SPI接口的EEPROM芯片及外围器件组成，用于存储系统软硬件版本、唯一序列号、工作参数等数据。

FPGA外设SDRAM内存模块组23:根据速率及FPGA对数据处理的要求，设计采用不同容量及速率的内存芯片等器件组成，用于缓存接收到的网络分片包或符合规则的部分网络包。

FPGA外设指示灯组24:设计多个LED指示灯，包括1个FPGA程序正常运行指示闪烁，多个运行状态指示灯。如：收到大量错误包、传输异常等问题时点亮对应的LED指示灯。

FPGA外设扩展I/O接口25：设计将FPGA的部分离散I/O口经隔离后，引出到统一的接口上，作为备用设计接口，主要用于扩展与外部模块进行I/O通讯之用。

FPGA外设串口模块26：设计将FPGA的I/O口隔离后引出，设计成UART接口，用于用户通过此接口获取协系统启动信息、参数信息、调试信息等。

FPGA外设复位模块27：设计由复位按钮和外围器件组成，用于在系统不断电的情况下，重新启动FPGA运行。

FPGA外设调试接口28：设计由标准的JTAG接口及外围器件组成，电脑连接仿真器通过此设计接口可实现对FPGA处理器在线调试、仿真、配置文件下载等功能。

FPGA外设加密模块29：设计由“安全哈希算法”存储器简称加密芯片及外围器件组成。主要实现FPGA程序的知识产权保护，防止代码的非法拷贝。FPGA正式工作前需要完成与加密芯片的身份鉴别指令问答，通过后设计功能才能正常运行。

FPGA外设设置开关组291:由多位开关组成，主要用于选择供给FPGA的各类时钟频率，设置光纤通道物理地址。如：4位地址开关，可设0～15号地址，用于2U或多机箱级连等。

进一步地，这里的ARM外设电路包括设置在PCB电路板1上且分别和ARM处理器3相连的ARM外设信息指示灯组31、ARM外设EEPROM存储模块32、ARM外设Flash存储模块33、ARM外设SDRAM内存模块34、ARM外设FPGA温度监测模块35、ARM外设FPGA风扇控制模块36、ARM外设千兆PHY模块37、ARM外设复位模块38以及ARM外设调试接口39，所述的ARM外设千兆PHY模块37包括PHY芯片371，所述的PHY芯片371通过网络变压器372和SOC处理器5相连。每个ARM处理器3在外设的配合下，主要完成过滤规则、协议模型的转换、下发，FPGA状态检测管理和部分信令分析工作，如：板卡温度采集和散热风扇控制等功能，对于一些协议复杂但数据量小的信令，更适合由ARM进行分析。

其中，ARM外设信息指示灯组31：设计多个LED指示灯，包括1个ARM程序正常运行指示闪烁，多个运行状态指示灯。如：收到异常数据、FPGA温度异常时点亮对应的LED指示灯。

ARM外设EEPROM存储模块32：设计采用IIC或SPI接口的EEPROM芯片及外围器件组成，用于存软件版本、硬件版本等数据。

ARM外设Flash存储模块33：设计采用NOR或NAND Flash芯片加外围器件组成，主要用于存储ARM的程序。

ARM外设SDRAM内存模块34：设计采用内存芯片加外围器件组成，主要用于数据包接收、发送的缓存。

ARM外设FPGA温度监测模块35：设计由数字接口的温度芯片及外围器件组成，实现对FPGA实时温度的采集，ARM通过IIC接口读取到温度芯片的温度值，可根据用户的设置对特定温度作出反应，如调整协FPGA散热风扇转速、降低传输处理速度、告警等。

ARM外设千兆PHY模块37：主要由PHY芯片、网络变压器等外设组成，是OSI模型物理层的设备，主要实现以太网数据帧的收、发功能。

ARM外设调试接口39：设计由标准的JTAG接口及外围器件组成，电脑连接仿真器通过此设计接口可实现对ARM处理器在线调试、仿真、程序下载等功能。

ARM外设复位模块38：设计由复位按钮和外围器件组成，用于在系统不断电的情况下，重新启动ARM运行。

更进一步地，这里的SOC外设电路包括设置在PCB电路板1上且分别和SOC处理器5相连的SOC外设复位模块541、SOC外设调试接口542、SOC外设指示灯组543、SOC外设拨码开关组544、SOC外设SDRAM内存模块545、SOC外设Flash存储模块546以及SOC外设EEPROM存储模块547，所述的SOC处理器5通过RS232电平转换模块548和Console接口51相连。SOC处理器主要完成两大类功能，一是通过千兆网口接收来自ARM上传的网络准入数据包的分析结果，并根据分析结果通过系统千兆网口ETH控制网络准入控制设备如SDN交换机进行网络设备数据包括视频的准入控制；二是系统管理功能，包括ARM上传转发设置、USB接口数据导入导出、系统启动及复位、系统运行指示、系统风扇控制等。

本实施例中的基于FPGA的异构视频准入分析方法，包括以下步骤：S1、终端设备101发起入网申请或终端设备101与网络准入控制设备10进行数据交互；

S2、网络准入控制设备10将所有网口的数据发送给网络准入服务器103；

S3、网络准入服务器103进行准入控制并发送控制指令给网络准入控制设备10执行准入指令或禁入指令。

其中，步骤S3中的网络准入服务器103的准入控制方法包括：通过FPGA处理器2采集网络数据进行规则过滤、信令数据提取分析，ARM处理器3收到FPGA处理器2分析结果及部分数据并协助完成部分分析后将结果通过LAN千兆网口54上传，SOC处理器5根据分析结果通过LAN千兆网口54控制网络准入控制设备10进行网络设备数据准入控制。

本发明的准入分析系统基本工作流程是通过FPGA采集网络数据进行规则过滤、信令数据提取分析，ARM收到FPGA分析结果及部分数据并协助完成部分分析后将结果通过千兆网口上传，SOC根据分析结果通过千兆网口控制网络准入控制设备如SDN交换机进行网络设备数据包括视频的准入控制。

本实施例中，针对现有网络准入设备的缺点，需要一种新技术新方法来提高网络接入的安全性和工作效率，采用一种新的硬件结构来实现低成本和更好的性能适应性。

1.网络接入安全方面，为解决原有方案只进行网络准入前的控制而不对入网后进行实时采集分析控制的问题，本发明采用被动接收和主动采集结合的无感知认证方式，对接入的网络设备进行数据接收或镜像采集后进行分析判断是否符合入网要求。不但在入网前进行准入的认证，在工作中都能进行准入认证，一旦发现已通过认证入网的用户、设备在做非法操作如：有用户尝试进行非法的智能球或云台的PTZ控制，将立即对其进行网络包的阻断，真正做到全天候24小时的实时准入控制。

2.在准入认证效率方面，为降低原有方案网络准入数据采集分析对服务器CPU资源的消耗，提高网络准入分析的效率，特别是大型视频专网等。本发明的思路是运用任务分解法，将网络接入数据包采集、分析、执行这项复杂任务分解到不同的硬件处理器在完成，充分发挥各模块的特点，使效率最大化。

3.在成本方面，原有方案X86架构服务器成本较高，特别是高性能的设备。随着信息技术及制造工艺的发展，低成本高性能的FPGA、ARM、SOC等处理器也层出不穷。充分利用这些高性价比的器件分工完成各自擅长的工作，不但能实现功能和性能的要求，也能很好的控制成本。

4.在性能适应性方面，在成本相近的前提下，制约现有X86架构服务器的，主要是高速数据采集和分析上，原有解决方案很依赖CPU、内存、网卡包括PCI-E槽位。本发明可以充分发挥FPGA高速采集、并行计算、高效、可编程的优势，不但能做到成本更低，而且还能提供相对多的采集分析接口。另外FPGA、ARM、SOC都是可编程处理器，可实现功能的修改、新增。

举例：通过“网络准入数据采集分析架构对比”如图5所示，可以看出此发明在解决网络准入数据采集分析效率方面的改进，原有方案都依赖服务器CPU处理，此发明则由不同硬件和处理方法来实现，并且具有并行计算的优势。

本发明创新性的采用FPGA+ARM+SOC的硬件架构来实现原有服务器的功能。充分发挥FPGA高速采集、并行计算、高效、可编程的优势来完成网络数据的采集、过滤、分析功能，协助ARM和SOC完成了它们不擅长的工作。发挥ARM低成本、高性能、易开发的优势来完成过滤规则、协议模型的转换下发，FPGA状态检测管理和部分信令提取工作。利用SOC含多CPU+以太网交换器具有特定功能和高性价比的特点来实现网络准入控制设备的控制和系统的管理。

根据此发明思路，具体实现如下：

1.本发明的准入分析系统中运用FPGA作为其数据采集分析的核心处理器，采用被动接收和主动采集结合的无感知认证方式进行全程入网认证。充分发挥其高速采集、并行计算、高效、可编程、专用电路的数据安全保障的优势，设计实现准入设备网络包IP层协议(TCP、UDP、ARP等),IP地址，端口的过滤并提取GB/T28181、GB35114、SIP、PSIP协议信令数据进行分析，然后通过其双口RAM传给ARM。也可将部分数据量小的复杂协议发给ARM分析。

2.本发明的准入分析系统中运用ARM处理器作为其过滤规则、协议模型的核心处理器，主要完成过滤规则、协议模型的转换、下发，FPGA采集分析结果的上传、状态检测管理及部分信令数据分析工作。在准入分析系统中FPGA被设计成ARM的可寻址外设，ARM将数据采用DMA的方法写到FPGA的双口RAM中的第1组总线上，FPGA则通过双口ARM的第2组总线来读取数据，相类似的，FPGA也采用此方法把数据传给ARM。相比其它低速接口，可以大大提高设备的响应速度。以ARM处理器SRAM接口64位@200MHz为例,可达到近12.8Gbps的速率。

3.本发明的准入分析系统中利用SOC,含多CPU+以太网交换器,具有特定功能和高性价比的特点来实现网络准入控制设备的控制和系统的管理。实现硬件管理：主板风扇、指示灯、复位等控制，和软件管理：过滤规则、协议模型导入，控制准入控制设备执行准入或禁入动作等等。如图6-7所示，其它PC机可以接系统的ETH千兆网口通过SOC进行ARM、FPGA参数设置、状态监测等操作。另外，通过SOC的设置，可以将ARM上传输的千兆网口数据转发到对外的LAN千兆接口上，可扩展外接其它服务器且不影响SOC获取这些数据。

本发明采用任务分解法，将原来网络准入服务器完成的复杂任务分解成由FPGA+ARM+SOC的硬件架构来实现，充分发挥FPGA处理器并行处理的优势、ARM系统低成本高性能管理的优势、SOC(含多CPU+以太网交换器)具有特定功能和高性价比的特点、专用电路的数据安全保障等优点，从而优化、解决现有网络准入设备所存在的不足。

设计采用FPGA实现网络接入数据的采集、IP层分片包重组、IP层协议过滤(TCP、UDP、ARP等)、IP地址过滤、端口过滤，和ARM网络准入数据提取分析功能。FPGA所具有的高速采集光口，并行处理能力可以做到网络准入前和入网后的全程准入控制，弥补了原网络准入系统的安全隐患，同时采用的无感知认证方式，简化了入网流程提高了效率，解决了部分终端因客户端软件安装兼容等原因无法接入网络的问题。

相比以往产品，可根据最新的视频协议进行程序代码的设计，并存储在硬件的存储器中，并通过处理器执行，在FPGA和ARM配合全面支持GB/T28181、GB35114、SIP、PSIP等公共安全视频协议信令数据的提取分析，采用新的硬件架构优化了网络准入采集、分析、控制的效率，特别适合公共安全视频专网等安全级别高、规模庞大的网络设备准入控制。

本发明的硬件架构可根据用户的需求进行不同路数的设计，相比原服务器更灵活，对于已经设计好的硬件来说，设计采用了带多CPU和以太网交换器的SOC，管理员通过SOC的设置巧妙的将ARM分析数据转发到另一个系统，以实现灵活的级连扩展功能，同时SOC也能获取此数据，还能控制是否将本系统的数据转发到其它系统，即是否开启LAN接口的功能，所以也保证数据的安全性。如：一个系统由两块主板组成，主板间通过LAN连接，可以通过一块主板SOC来管理执行两块主板的分析数据结果，也可以实现多个准入系统的级连扩展。从而大大提高网络准入设备的性能适应性和可扩展性，而原来的方案很可能需要花费高昂费用去频繁更换升级服务器。

为提高过滤规则、协议模型、参数设置、分析结果及数据的传输生效时效，本发明将FPGA设计作为ARM的可寻址外设，充分发挥ARM的SRAM接口的高速特点，设计选用带有双口RAM的FPGA处理器，ARM将以上数据采用DMA的方法写到FPGA的双口RAM中的第1组总线上，FPGA则通过双口ARM的第2组总线来读取数据，相类似的，FPGA也采用此方法把数据传给ARM。相比其它低速接口，可以大大提高设备的响应速度。以ARM处理器SRAM接口64位@200MHz为例,可达到近12.8Gbps的速率。

本发明采用的协处理技术，将原有方案中由网卡和CPU完成的任务，特别是CPU数据分析部分，改为主要由FPGA处理器去协助完成，在本系统中FPGA分担了部分CPU的分析工作，大大降低采集网络准入数据对CPU资源的消耗，提高了系统的处理性能。

本发明硬件架构中的的FPGA、ARM、SOC都是可编程处理器，可实现功能的修改、新增、扩容。特别在前端数据采集、过滤、分析方面采用的FPGA，是由硬件电路来实现的功能，属于专用电路安全性能更高。

本文中所描述的具体实施例仅仅是对本发明精神作举例说明。本发明所属技术领域的技术人员可以对所描述的具体实施例做各种各样的修改或补充或采用类似的方式替代，但并不会偏离本发明的精神或者超越所附权利要求书所定义的范围。

尽管本文较多地使用了PCB电路板1、电源运行指示模块11、启动复位按键12、FPGA处理器2、FPGA外设Flash存储模块21、FPGA外设EEPROM存储模块22、FPGA外设SDRAM内存模块组23、FPGA外设指示灯组24、FPGA外设扩展I/O接口25、FPGA外设串口模块26、FPGA外设复位模块27、FPGA外设调试接口28、FPGA外设加密模块29、FPGA外设设置开关组291、ARM处理器3、ARM外设信息指示灯组31、ARM外设EEPROM存储模块32、ARM外设Flash存储模块33、ARM外设SDRAM内存模块34、ARM外设FPGA温度监测模块35、ARM外设FPGA风扇控制模块36、ARM外设千兆PHY模块37、PHY芯片371、网络变压器372、ARM外设复位模块38、ARM外设调试接口39、万兆光接口组4、SFP+万兆光接口41、光纤连接指示灯42、光纤速率指示灯43、SOC处理器5、Console接口51、USB接口52、ETH千兆网口53、LAN千兆网口54、SOC外设复位模块541、SOC外设调试接口542、SOC外设指示灯组543、SOC外设拨码开关组544、SOC外设SDRAM内存模块545、SOC外设Flash存储模块546、SOC外设EEPROM存储模块547、RS232电平转换模块548、系统电源电路6、ATX电源接口7、系统时钟电路8、系统风扇控制模块9、SDN交换机10、终端设备101、网络102、网络准入服务器103等术语，但并不排除使用其它术语的可能性。使用这些术语仅仅是为了更方便地描述和解释本发明的本质；把它们解释成任何一种附加的限制都是与本发明精神相违背的。

Claims (10)

1.一种基于FPGA的异构视频准入分析系统，包括与终端设备(101)或网络(102)相连的网络准入控制设备(10)，所述的网络准入控制设备(10)与网络准入服务器(103)相连，其特征在于，所述的网络准入服务器(103)包括至少一个准入控制主板，所述的准入控制主板包括PCB电路板(1)，所述的PCB电路板(1)上设有若干FPGA处理器(2)，每一个FPGA处理器(2)分别连接有ARM处理器(3)，在PCB电路板(1)上设有若干和FPGA处理器(2)一一对应的万兆光接口组(4)，每一个万兆光接口组(4)均包括若干分别和FPGA处理器(2)相连的SFP+万兆光接口(41)，在PCB电路板(1)上设有与ARM处理器(3)相连的SOC处理器(5)，在PCB电路板(1)上分别设有和SOC处理器(5)相连的Console接口(51)、USB接口(52)、ETH千兆网口(53)以及LAN千兆网口(54)。

2.根据权利要求1所述的基于FPGA的异构视频准入分析系统，其特征在于，所述的FPGA处理器(2)的数量为三个且分别依次设置在PCB电路板(1)上，且每一个FPGA处理器(2)外围连接有FPGA外设电路，且所述的ARM处理器(3)外围连接有ARM外设电路，所述的SOC处理器(5)外围设有SOC外设电路，在PCB电路板(1)上分别设有系统电源电路(6)、ATX电源接口(7)、系统时钟电路(8)以及系统风扇控制模块(9)。

3.根据权利要求2所述的基于FPGA的异构视频准入分析系统，其特征在于，所述的FPGA外设电路包括分别和FPGA处理器(2)相连的FPGA外设Flash存储模块(21)、FPGA外设EEPROM存储模块(22)、FPGA外设SDRAM内存模块组(23)、FPGA外设指示灯组(24)、FPGA外设扩展I/O接口(25)、FPGA外设串口模块(26)、FPGA外设复位模块(27)、FPGA外设调试接口(28)、FPGA外设加密模块(29)以及FPGA外设设置开关组(291)。

4.根据权利要求2所述的基于FPGA的异构视频准入分析系统，其特征在于，所述的SFP+万兆光接口(41)分别和设置在PCB电路板(1)上的光纤连接指示灯(42)和光纤速率指示灯(43)相对应。

5.根据权利要求2或3或4所述的基于FPGA的异构视频准入分析系统，其特征在于，所述的ARM外设电路包括设置在PCB电路板(1)上且分别和ARM处理器(3)相连的ARM外设信息指示灯组(31)、ARM外设EEPROM存储模块(32)、ARM外设Flash存储模块(33)、ARM外设SDRAM内存模块(34)、ARM外设FPGA温度监测模块(35)、ARM外设FPGA风扇控制模块(36)、ARM外设千兆PHY模块(37)、ARM外设复位模块(38)以及ARM外设调试接口(39)，所述的ARM外设千兆PHY模块(37)包括PHY芯片(371)，所述的PHY芯片(371)通过网络变压器(372)和SOC处理器(5)相连。

6.根据权利要求5所述的基于FPGA的异构视频准入分析系统，其特征在于，所述的SOC外设电路包括设置在PCB电路板(1)上且分别和SOC处理器(5)相连的SOC外设复位模块(541)、SOC外设调试接口(542)、SOC外设指示灯组(543)、SOC外设拨码开关组(544)、SOC外设SDRAM内存模块(545)、SOC外设Flash存储模块(546)以及SOC外设EEPROM存储模块(547)，所述的SOC处理器(5)通过RS232电平转换模块(548)和Console接口(51)相连。

7.根据权利要求1所述的基于FPGA的异构视频准入分析系统，其特征在于，在PCB电路板(1)上分别设有电源运行指示模块(11)和启动复位按键(12)。

8.根据权利要求2所述的基于FPGA的异构视频准入分析系统，其特征在于，所述的系统电源电路(6)包括降压型DC/DC转换器和/或低压差线性稳压器。

9.一种根据权利要求1-8中任意一项所述的基于FPGA的异构视频准入分析系统的基于FPGA的异构视频准入分析方法，其特征在于，本方法包括以下步骤：

S1、终端设备(101)发起入网申请，即终端设备(101)通过网络准入控制设备(10)与进行数据交互；

S2、网络准入控制设备(10)将所有网口的数据发送给网络准入服务器(103)；

S3、网络准入服务器(103)进行准入控制并发送控制指令给网络准入控制设备(10)执行准入指令或禁入指令。

10.根据权利要求9所述的基于FPGA的异构视频准入分析方法，其特征在于，上述步骤S3中的网络准入服务器(103)的准入控制方法包括：

通过FPGA处理器(2)采集网络数据进行IP层规则过滤、GB/T28181、GB35114、SIP、PSIP协议信令数据提取分析，ARM处理器(3)收到FPGA处理器(2)分析结果及部分数据并协助完成部分分析后将结果通过LAN千兆网口(54)上传，SOC处理器(5)根据分析结果通过LAN千兆网口(54)控制网络准入控制设备(10)进行网络设备数据准入控制。