CN109831438B - 基于虚拟化的航电网络域与信息网络域间的双向通信系统和方法 - Google Patents

Abstract

为有效解决机载环境下航电网络域与信息网络域之间双向通信的安全隔离与流向保护的问题，本发明提供了一种基于虚拟化的航电网络域与信息网络域间的双向通信系统和方法。本发明在机载信息网络的网络域边界控制装置中，基于虚拟化技术设计了双向安全通信的架构模型，通过设置在系统特权层的虚拟机管理软件创建了航电网络访问控制虚拟机和信息网络访问控制虚拟机，在航电网络访问控制虚拟机部署与高安全等级应用通信的模块，在信息网络访问控制虚拟机部署与低安全等级应用通信的模块，且各个程序模块之间隔离运行，从而实现模块内部高低安全等级通信控制模块的物理隔离，有效解决了机载环境下航电网络域与信息网络域之间双向通信的安全隔离与流向保护的问题，为民用机载信息网络与航电网络之间双向安全通信提供了解决方案。

Description

基于虚拟化的航电网络域与信息网络域间的双向通信系统和 方法

技术领域

本发明涉及一种航电网络域和信息网络域间的双向通信系统和方法。

背景技术

在航空领域中，航电系统中运行的高安全应用为整个飞机的正常运行提供了保障。在飞机传统电子系统中，航电数据通过航电网络(如航空电子全双工交换式以太网)在封闭的机载环境中进行传输，不会受到外部信息安全攻击，保证了航电数据的安全性。随着信息技术在民用航空电子系统中的大量应用，为了向飞机运营商提供更多、更便利的服务，飞机设计者引入了基于以太网的机载信息服务系统，通过驻留和运行低安全等级应用实现多样的信息服务。

新型民用飞机航空电子系统网络域划分为高安全的航电网络域和低安全的信息网络域，在航电网络域内驻留和运行安全等级较高的应用(安全等级A～C级)，在信息网络域内驻留和运行安全等级较低的应用(安全等级D～E级)。为了实现服务功能需求，高安全等级应用和低安全等级应用之间需要实时交换大量的数据。为此，航电网络域将面临来自信息网络域的网络信息安全威胁，进而对其安全性造成不利影响，为飞机运营安全带来不利影响。

发明内容

为有效解决机载环境下航电网络域与信息网络域之间双向通信的安全隔离与流向保护的问题，本发明提供了一种基于虚拟化的航电网络域与信息网络域间的双向通信系统和方法。

本发明的技术方案是：

基于虚拟化的航电网络域与信息网络域间的双向通信系统，其特殊之处在于：所述双向通信系统设置在机载信息网络的网络域边界控制装置中，包括以下程序模块：

虚拟机管理软件：设置在系统特权层，用于创建航电网络访问控制虚拟机、信息网络访问控制虚拟机，且虚拟机管理软件的内部运行有虚拟机安全通信管理模块；虚拟机安全通信管理模块用于实现各虚拟机之间的通信；

航电网络访问控制虚拟机：其内部运行有航电网络通信访问控制模块、航电网络发送模块、航电网络接收模块和航电网络端节点驱动；

航电网络通信访问控制模块：用于接收信息网络访问控制虚拟机经由虚拟机安全通信管理模块发送的消息，对接收到的消息的合规性进行发送检查与控制，将合规的消息发给航电网络发送模块，将不合规的消息丢弃；

航电网络发送模块：用于根据发送配置，封装航电网络通信帧，调用航电网络端节点驱动进行航电网络通信帧发送；

航电网络接收模块：用于根据接收配置，调用航电网络端节点驱动接收航电网络通信帧，解析通信帧后，经由虚拟机安全通信管理模块发送消息至信息网络通信代理模块；

航电网络端节点驱动：用于实现航电网络端节点硬件的设备驱动；

信息网络访问控制虚拟机：其内部运行有信息网络通信代理模块和信息网络端节点驱动；

信息网络通信代理模块：用于实现信息网络内的低安全等级应用通信代理功能，对出入网络域边界控制装置的消息实施检查与控制：在发送时，将检查通过的消息发给航电网络发送控制模块；在接收时，接收来自航电网络接收模块的消息；

信息网络端节点驱动：用于实现信息网络端节点硬件的设备驱动。

进一步地，还包括由虚拟机管理软件创建的运行状态监控虚拟机；运行状态监控虚拟机内部运行有监控与日志记录模块；

监控与日志记录模块用于在数据传输过程中监控信息网络通信代理模块、航电网络通信访问控制模块、航电网络发送模块以及航电网络接收模块的运行状态，同时记录并保存日志。

本发明还提供了一种基于虚拟化的航电网络域与信息网络域间的双向通信方法，其特殊之处在于，

从信息网络域到航电网络域的数据传输过程包括以下步骤：

1.1)信息网络通信代理模块接收位于信息网络域的低安全等级应用发送的数据消息，按照信息网络访问控制规则检查数据消息是否可信，若数据消息可信，则向低安全等级应用发送应答消息，转入步骤1.2)；若数据消息不可信，则丢弃该数据消息，终止传输过程；

1.2)将可信的数据消息经由通信管道发给虚拟机安全通信管理模块，虚拟机安全通信管理模块按照虚拟机通信控制规则检查数据消息的发送方与接收方的合规性，若发送方与接收方的均合规，则将数据消息经由通信管道发给航电网络通信访问控制模块，转入步骤1.3)；若发送方与接收方中任一方不合规，丢弃该数据消息，终止传输过程；

1.3)航电网络通信访问控制模块按照航电网络访问控制规则检查其所收到的数据消息的合规性，若数据消息合规，则将数据消息经由通信管道发给航电网络发送模块，转入步骤1.4)；若数据消息不合规，丢弃该数据消息，终止传输过程；

1.4)航电网络发送模块收到数据消息后，先按照网络配置将数据消息封装成航电网络通信帧，再通过航电网络端节点驱动将航电网络通信帧发送给位于航电网络域的高安全等级应用；

从航电网络域到信息网络域的数据传输过程包括以下步骤：

2.1)航电网络接收模块根据网络配置接收位于航电网络域的高安全等级应用发送的航电网络通信帧；

2.2)航电网络接收模块将航电网络通信帧解包后，通过通信管道发送至虚拟机安全通信管理模块；

2.3)虚拟机安全通信管理模块对收到的数据消息，按照虚拟机通信控制规则检查数据消息的发送方与接收方的合规性，若发送方与接收方均合规，则将数据消息经由通信管道发给信息网络通信代理模块，转入步骤2.4)；若发送方与接收方中任一不合规，则丢弃该数据消息，终止传输过程；

2.4)信息网络通信代理模块收到合规数据消息后，按照信息网络访问控制规则将合规数据消息发送给位于信息网络域的低安全等级应用。

进一步地，数据在航电网络域与信息网络域之间传输过程中，实时监控信息网络通信代理模块、航电网络通信访问控制模块、航电网络发送模块、航电网络接收模块的运行状态，同时记录并保存日志。

进一步地，步骤1.1)和步骤2.4)中所述的信息网络访问控制规则由发送方IP地址、发送方通信端口号、签名算法及算法密钥组成。

进一步地，步骤1.2)和步骤2.3)中所述的虚拟机通信控制规则由发送方虚拟机编号、发送方虚拟机优先级、接收方虚拟机编号、接收方虚拟机优先级、通信方向组成。

进一步地，步骤1.3)中所述的航电网络访问控制规则由发送方IP地址、发送方数据消息名称、接收方航电网络地址、接收方通信端口号、消息唯一值、消息长度组成。

本发明的优点：

1、本发明在机载信息网络的网络域边界控制装置中，基于虚拟化技术设计了双向安全通信的架构模型，通过设置在系统特权层的虚拟机管理软件创建了航电网络访问控制虚拟机和信息网络访问控制虚拟机，在航电网络访问控制虚拟机部署与高安全等级应用通信的模块，在信息网络访问控制虚拟机部署与低安全等级应用通信的模块，且各个单元(程序模块)之间隔离运行，从而实现模块内部高低安全等级通信控制模块的物理隔离，有效解决了机载环境下航电网络域与信息网络域之间双向通信的安全隔离与流向保护的问题，为民用机载信息网络与航电网络之间双向安全通信提供了解决方案。

2、本发明根据信息网络访问控制规则、虚拟机通信控制规则、航电网络访问控制规则对数据通信进行访问控制检查，实现细粒度的强制访问控制。

附图说明

图1为本发明的整体架构示意图。

图2为本发明的信息网络域流向航电网络域的数据流模型。

图3为本发明的航电网络域流向信息网络域的数据流模型。

具体实施方式

以下结合附图对本发明作进一步说明。

本发明实现了航电网络域与信息网络域之间的双向通信安全。

1.架构组成

本发明的架构组成如图1所示，包括设置在网络域边界控制装置中的以下程序模块：

航电网络访问控制虚拟机101：该虚拟机运行在虚拟机管理软件106之上，其内部运行航电网络通信访问控制模块102、航电网络发送模块103、航电网络接收模块104和航电网络端节点驱动105。

航电网络通信访问控制模块102：该模块位于航电网络访问控制虚拟机101内，用于完成航电网络发送检查与控制。该模块接收信息网络通信代理模块109经由虚拟机安全通信管理模块107发送的消息，并根据航电网络访问控制规则对该消息的合规性进行发送检查与控制，将合规的消息发给航电网络发送模块103，将不合规的消息丢弃。

航电网络发送模块103：该模块位于航电网络访问控制虚拟机101内，用于完成航电网络消息发送功能。该模块根据发送配置，封装航电网络通信帧，调用航电网络端节点驱动105进行航电网络通信帧发送。

航电网络接收模块104：该模块位于航电网络访问控制虚拟机101内，用于完成航电网络通信帧接收功能。该模块根据接收配置，调用航电网络端节点驱动105接收航电网络通信帧，解析通信帧后，经由虚拟机安全通信管理模块107发送消息至信息网络通信代理模块109。

航电网络端节点驱动105：该模块位于航电网络访问控制虚拟机101内，用于完成航电网络端节点硬件的设备驱动功能。

虚拟机管理软件106：该软件工作在系统特权层，用于完成虚拟机创建、虚拟机间通信功能。该软件创建航电网络访问控制虚拟机101、信息网络访问控制虚拟机108与运行状态监控虚拟机111，该软件内部运行虚拟机安全通信管理模块107。

虚拟机安全通信管理模块107：该模块位于虚拟机管理软件106内，用于完成虚拟机之间的安全通信与管理功能。该模块根据通信配置，实现虚拟机之间的通信。

信息网络访问控制虚拟机108：该虚拟机运行在虚拟机管理软件106之上，其内部运行信息网络通信代理模块109和信息网络端节点驱动110。

信息网络通信代理模块109：该模块位于信息网络访问控制虚拟机108内，完成信息网络内的低安全等级应用通信代理功能，对出入网络域边界控制装置的消息实施检查与控制。在发送时，将检查通过的消息发给航电网络发送控制模块103；在接收时，接收来自航电网络接收模块104的消息。

信息网络端节点驱动110：该模块位于信息网络访问控制虚拟机108内，完成信息网络端节点硬件的设备驱动功能。

运行状态监控虚拟机111：该虚拟机运行在虚拟机管理软件106之上，其内部运行监控与日志记录模块112。

监控与日志记录模块112：该模块位于运行状态监控虚拟机111内。该模块在工作过程中，监控信息网络通信代理模块109、航电网络通信访问控制模块102、航电网络发送模块103、航电网络接收模块104的运行状态，同时记录并保存日志。

2.数据流控制模型

本发明通过虚拟机对程序模块进行隔离，以及通过对通信消息的单向控制实现通信流向的分离控制，数据流模型如图2和图3所示。

如图2所示，从信息网络域到航电网络域的数据传输过程为：

步骤1：位于信息网络域的低安全等级应用向信息网络通信代理模块109发送数据消息，信息网络通信代理模块109接收到数据消息后，按照信息网络访问控制规则检查数据消息是否可信；如果该数据消息为可信时，则向低安全等级应用发送应答消息，转入步骤2；否则丢弃该数据消息，终止传输过程。信息网络访问控制规则由发送方IP地址、发送方通信端口号、签名算法及算法密钥组成。

步骤2：信息网络通信代理模块109将数据消息经由通信管道发给虚拟机安全通信管理模块107。

步骤3：虚拟机安全通信管理模块107收到数据消息后，按照虚拟机通信控制规则检查数据消息的发送方与接收方的合规性，如果发送方与接收方均合规，则将数据消息经由通信管道发给航电网络通信访问控制模块102，转入步骤4；否则丢弃该数据消息，终止传输过程。虚拟机通信控制规则由发送方虚拟机编号、发送方虚拟机优先级、接收方虚拟机编号、接收方虚拟机优先级、通信方向组成。

步骤4：航电网络通信访问控制模块102收到数据消息后，按照航电网络访问控制规则检查数据消息的合规性，如果数据消息合规，则将数据消息经由通信管道发给航电网络发送模块103，转入步骤5；否则丢弃该消息，终止传输过程。航电网络访问控制规则由发送方IP地址、发送方数据消息名称、接收方航电网络地址、接收方通信端口号、消息唯一值、消息长度组成。

步骤5：航电网络发送模块103收到数据消息后，先按照网络配置将数据消息封装成航电网络通信帧，再通过航电网络端节点驱动105将航电网络通信帧发送给位于航电网络域的高安全等级应用。

如图3所示，从航电网络域到信息网络域的数据传输过程为：

步骤1：位于航电网络域的高安全等级应用通过航电网络发送航电网络通信帧至网络域边界控制装置中的航电网络端节点驱动105，由航电网络接收模块104根据网络配置接收。

步骤2：航电网络接收模块104将航电网络通信帧解包后，通过通信管道发送至虚拟机安全通信管理模块107。

步骤3：虚拟机安全通信管理模块107收到数据消息后，按照虚拟机通信控制规则检查数据消息的发送方与接收方的合规性，若发送方与接收方均合规，则将数据消息航电数据经由通信管道发给信息网络通信代理模块109；否则，丢弃该数据消息，终止传输过程。

步骤4：信息网络通信代理模块109收到合规数据消息航电数据后，按照信息网络访问控制规则将合规数据消息航电数据发送给位于信息网络域的低安全等级应用。

数据在航电网络域与信息网络域之间传输过程中，监控与日志记录模块112实时监控信息网络通信代理模块109、航电网络通信访问控制模块102、航电网络发送模块103、航电网络接收模块104的运行状态。当监控与日志记录模块112检测到运行发生故障时，记录故障日志，并恢复信息网络通信代理模块109、航电网络通信访问控制模块102、航电网络发送模块103、航电网络接收模块104至正常运行状态；如果连续3次恢复都失败则停止恢复操作，并记录故障日志。

Claims (5)

1.基于虚拟化的航电网络域与信息网络域间的双向通信系统，其特征在于：所述双向通信系统设置在机载信息网络的网络域边界控制装置中，包括以下程序模块：

虚拟机管理软件(106)：设置在系统特权层，用于创建航电网络访问控制虚拟机(101)、信息网络访问控制虚拟机(108)，且虚拟机管理软件(106)的内部运行有虚拟机安全通信管理模块(107)；虚拟机安全通信管理模块(107)用于实现各虚拟机之间的通信；由虚拟机管理软件(106)创建的运行状态监控虚拟机(111)；

航电网络访问控制虚拟机(101)：其内部运行有航电网络通信访问控制模块(102)、航电网络发送模块(103)、航电网络接收模块(104)和航电网络端节点驱动(105)；

航电网络通信访问控制模块(102)：用于接收信息网络访问控制虚拟机(108)经由虚拟机安全通信管理模块(107)发送的消息，对接收到的消息的合规性进行发送检查与控制，将合规的消息发给航电网络发送模块(103)，将不合规的消息丢弃；

航电网络发送模块(103)：用于根据发送配置，封装航电网络通信帧，调用航电网络端节点驱动(105)进行航电网络通信帧发送；

航电网络接收模块(104)：用于根据接收配置，调用航电网络端节点驱动(105)接收航电网络通信帧，解析通信帧后，经由虚拟机安全通信管理模块(107)发送消息至信息网络通信代理模块(109)；

航电网络端节点驱动(105)：用于实现航电网络端节点硬件的设备驱动；

信息网络访问控制虚拟机(108)：其内部运行有信息网络通信代理模块(109)和信息网络端节点驱动(110)；

信息网络通信代理模块(109)：用于实现信息网络内的低安全等级应用通信代理功能，对出入网络域边界控制装置的消息实施检查与控制：在发送时，将检查通过的消息发给航电网络发送控制模块(103)；在接收时，接收来自航电网络接收模块(104)的消息；

信息网络端节点驱动(110)：用于实现信息网络端节点硬件的设备驱动；

运行状态监控虚拟机(111)内部运行有监控与日志记录模块(112)；

监控与日志记录模块(112)用于在数据传输过程中监控信息网络通信代理模块(109)、航电网络通信访问控制模块(102)、航电网络发送模块(103)以及航电网络接收模块(104)的运行状态，同时记录并保存日志。

2.基于虚拟化的航电网络域与信息网络域间的双向通信方法，其特征在于，

从信息网络域到航电网络域的数据传输过程包括以下步骤：

1.1)信息网络通信代理模块(109)接收位于信息网络域的低安全等级应用发送的数据消息，按照信息网络访问控制规则检查数据消息是否可信，若数据消息可信，则向低安全等级应用发送应答消息，转入步骤1.2)；若数据消息不可信，则丢弃该数据消息，终止传输过程；

1.2)将可信的数据消息经由通信管道发给虚拟机安全通信管理模块(107)，虚拟机安全通信管理模块(107)按照虚拟机通信控制规则检查数据消息的发送方与接收方的合规性，若发送方与接收方均合规，则将数据消息经由通信管道发给航电网络通信访问控制模块(102)，转入步骤1.3)；若发送方与接收方中任一不合规，丢弃该数据消息，终止传输过程；

1.3)航电网络通信访问控制模块(102)按照航电网络访问控制规则检查其所收到的数据消息的合规性，若数据消息合规，则将数据消息经由通信管道发给航电网络发送模块(103)，转入步骤1.4)；若数据消息不合规，丢弃该数据消息，终止传输过程；

1.4)航电网络发送模块(103)收到数据消息后，先按照网络配置将数据消息封装成航电网络通信帧，再通过航电网络端节点驱动(105)将航电网络通信帧发送给位于航电网络域的高安全等级应用；

从航电网络域到信息网络域的数据传输过程包括以下步骤：

2.1)航电网络接收模块(104)根据网络配置接收位于航电网络域的高安全等级应用发送的航电网络通信帧；

2.2)航电网络接收模块(104)将航电网络通信帧解包后，通过通信管道发送至虚拟机安全通信管理模块(107)；

2.3)虚拟机安全通信管理模块(107)对收到的数据消息，按照虚拟机通信控制规则检查数据消息的发送方与接收方的合规性，若发送方与接收方均合规，则将数据消息经由通信管道发给信息网络通信代理模块(109)；若发送方与接收方中任一不合规，则丢弃该数据消息，终止传输过程；

2.4)信息网络通信代理模块(109)收到合规数据消息后，按照信息网络访问控制规则将合规数据消息发送给位于信息网络域的低安全等级应用；

2.5)数据在航电网络域与信息网络域之间传输过程中，实时监控信息网络通信代理模块(109)、航电网络通信访问控制模块(102)、航电网络发送模块(103)、航电网络接收模块(104)的运行状态，同时记录并保存日志。

3.根据权利要求2所述的基于虚拟化的航电网络域与信息网络域间的双向通信方法，其特征在于：步骤1.1)和步骤2.4)中所述的信息网络访问控制规则由发送方IP地址、发送方通信端口号、签名算法及算法密钥组成。

4.根据权利要求2所述的基于虚拟化的航电网络域与信息网络域间的双向通信方法，其特征在于：步骤1.2)和步骤2.3)中所述的虚拟机通信控制规则由发送方虚拟机编号、发送方虚拟机优先级、接收方虚拟机编号、接收方虚拟机优先级、通信方向组成。

5.根据权利要求2所述的基于虚拟化的航电网络域与信息网络域间的双向通信方法，其特征在于：步骤1.3)中所述的航电网络访问控制规则由发送方IP地址、发送方数据消息名称、接收方航电网络地址、接收方通信端口号、消息唯一值、消息长度组成。

Images