CN110866262A - 一种软硬件协同工作的异步加解密系统和方法 - Google Patents

Abstract

本发明提出了一种软硬件协同工作的异步加解密系统和方法，所述异步加解密系统包括：应用程序模块，用于产生相应的加解密业务数据；加解密引擎模块，用于提供统一的加解密接口以接收应用程序模块的调用请求，并基于当前硬件加解密资源和软件加解密资源的空闲状态，制定相应的加解密调度方案；加解密引擎模块包括硬件执行器和软件执行器，硬件执行器用于响应加解密调度方案，并通过硬件方式对业务数据执行加解密任务；软件执行器用于响应加解密调度方案，并通过软件方式对业务数据执行加解密任务。本发明能够有效的解决了传统加解密资源利用不充分的问题，在现有加解密资源有限的前提下，最大限度的提升了对加解密业务的处理能力和处理性能。

Description

一种软硬件协同工作的异步加解密系统和方法

技术领域

本发明涉及密码技术领域，尤其涉及一种软硬件协同工作的异步加解密系统和方法。

背景技术

目前的加密实现方式主要包括硬件加密和软件加密两种。

硬件加密是通过专用加密芯片或独立的处理芯片等实现密码运算。将加密芯片、专有电子钥匙、硬盘一一对应到一起时，加密芯片将把加密芯片信息、专有钥匙信息、硬盘信息进行对应并做加密运算，同时写入硬盘的主分区表；软件加密则是用户在发送信息前，先调用信息安全模块对信息进行加密，然后发送，到达接收方后，由用户使用相应的解密软件进行解密并还原。然而无论使软件加密还是硬件加密，均是实现一样的加密算法，理论上强度相同。

如今，在一些应用上采用的加密方案只是单纯的硬件加密或软件加密，未能实现硬件加密和软件加密的协同工作。由于软件加密过程都在CPU上进行，一旦业务数据量大时，单纯通过软件加密方案则会对CPU造成巨大的负担；硬件加密可以在相应的硬件加密卡上独立完成，但容易受限于硬件加密卡的资源影响，一旦业务数据量大时，业务处理速度则会大大减慢，并且单纯采用硬件加密时，CPU资源难以充分利用，吞吐率低，业务处理性能不高。

发明内容

鉴于上述内容，有必要提供一种软硬件协同工作的异步加解密系统和方法，能够有效利用各类加密资源（如硬件加密卡、CPU资源等），以解决使用加密算法的场景下吞吐率低、业务处理慢的性能问题。

本发明第一方面提出一种软硬件协同工作的异步加解密系统，所述异步加解密系统包括：应用程序模块、加解密引擎模块、硬件加解密资源和软件加解密资源；

所述应用程序模块，用于产生相应的加解密业务数据；

所述加解密引擎模块，用于提供统一的加解密接口以接收所述应用程序模块的调用请求，并基于当前硬件加解密资源和软件加解密资源的空闲状态，制定相应的加解密调度方案；

所述加解密引擎模块包括硬件执行器和软件执行器，所述硬件执行器用于响应所述加解密调度方案，调度可用的硬件加解密资源对加解密业务数据进行加解密处理；所述软件执行器用于响应所述加解密调度方案，调度可用的软件加解密资源对加解密业务数据进行加解密处理。

进一步的，所述硬件执行器包括一个硬件线程池，所述硬件线程池包括多个硬件执行线程，当所述硬件执行器接到任务后将所述任务分配给硬件线程池中对应的硬件执行线程来执行。

进一步的，每一个软件执行器对应一个软件执行线程，所述软件执行线程在所述加解密引擎模块启动阶段创建并绑定到相应的CPU核心上，每一个软件执行线程独占与其具有绑定关系的CPU核心的资源，直至所述加解密引擎模块退出；当所述软件执行器接收到加解密任务后将所述加解密任务发送至对应的软件执行线程来执行。

进一步的，所述加解密引擎模块还包括：API接口、算法调度器和执行调度器；

所述API接口，用于提供统一的加解密接口；

所述算法调度器，根据业务需求的加解密算法，将使用所述硬件执行器和所述软件执行器时的执行函数从接口标准中查询出来；

所述执行调度器，根据所述硬件执行器和所述软件执行器的忙闲程度来分发加解密任务给对应的执行线程，同时把与所述加解密任务相关的参数传给对应的执行线程。

进一步的，所述加解密引擎模块内部定义有第一句柄，操作系统内部定义有第二句柄，且所述第二句柄和所述硬件加解密资源之间固有映射机制，通过建立所述第一句柄和所述第二句柄之间的映射关系，以使所述加解密引擎模块根据句柄来统一管理所述硬件加解密资源。

进一步的，所述加解密引擎模块还包括硬件抽象层，所述加解密引擎模块通过所述硬件抽象层实现对所述硬件加解密资源的统一管理，当需要添加一个硬件加解密资源时，需要将该硬件加解密资源适配到所述抽象层，并将该硬件加解密资源注册到所述加解密引擎模块中。

进一步的，所述加解密调度方案表征为：所述加解密引擎模块优先查找是否有可用的硬件加解密资源；如果有，则通过所述硬件执行器接收加解密业务数据并分配给可用的硬件加解密资源，以进行硬件加解密处理；如果没有，则查找可用的软件加解密资源，并通过所述软件执行器接收加解密业务数据并分配给可用的软件加解密资源，以进行软件加解密处理。

进一步的，所述硬件加解密资源为PCIE加密卡资源，所述软件加解密资源为CPU资源。

本发明第二方面还提出一种软硬件协同工作的异步加解密方法，应用上述的软硬件协同工作的异步加解密，所述方法包括如下步骤：

所述应用程序模块产生相应的加解密业务数据；

所述加解密引擎模块提供统一的加解密接口以接收所述应用程序模块的调用请求，并基于当前硬件加解密资源和软件加解密资源的空闲状态，制定相应的加解密调度方案；

所述硬件执行器响应所述加解密调度方案，调度可用的硬件加解密资源对加解密业务数据进行加解密处理；和/或

所述软件执行器响应所述加解密调度方案，调度可用的软件加解密资源对加解密业务数据进行加解密处理。

进一步的，在所述加解密引擎模块提供统一的加解密接口以接收所述应用程序模块的调用请求之后，所述方法还包括：

所述加解密引擎模块优先查找是否有可用的硬件加解密资源；

如果有，则通过所述硬件执行器接收加解密业务数据并分配给可用的硬件加解密资源，以进行硬件加解密处理；如果没有，则查找可用的软件加解密资源，并通过所述软件执行器接收加解密业务数据并分配给可用的软件加解密资源，以进行软件加解密处理。

本发明的软硬件协同工作的异步加解密系统和方法，能够有效的解决了传统加解密资源（如PCIE加密卡、CPU资源等）利用不充分的问题，实现对硬件加解密资源和软件加解密资源的管理，在现有加解密资源有限的前提下，最大限度的提升了对加解密业务的处理能力和处理性能。

本发明的附加方面和优点将在下面的描述部分中变得明显，或通过本发明的实践了解到。

附图说明

本发明的上述和/或附加的方面和优点从结合下面附图对实施例的描述中将变得明显和容易理解，其中：

图1示出本发明一种软硬件协同工作的异步加解密系统的框图；

图2示出本发明一种加解密引擎模块的框图；

图3示出本发明一种软硬件协同工作的调度算法的流程图；

图4示出本发明一种软硬件协同工作的异步加解密方法的流程图。

具体实施方式

为了能够更清楚地理解本发明的上述目的、特征和优点，下面结合附图和具体实施方式对本发明进行进一步的详细描述。需要说明的是，在不冲突的情况下，本申请的实施例及实施例中的特征可以相互组合。

在下面的描述中阐述了很多具体细节以便于充分理解本发明，但是，本发明还可以采用其他不同于在此描述的其他方式来实施，因此，本发明的保护范围并不受下面公开的具体实施例的限制。

图1示出本发明一种软硬件协同工作的异步加解密系统的框图。

如图1所示，本发明第一方面提出一种软硬件协同工作的异步加解密系统，所述异步加解密系统包括：应用程序模块、加解密引擎模块、硬件加解密资源和软件加解密资源；

所述应用程序模块，用于产生相应的加解密业务数据；

所述加解密引擎模块，用于提供统一的加解密接口以接收所述应用程序模块的调用请求，并基于当前硬件加解密资源和软件加解密资源的空闲状态，制定相应的加解密调度方案；

所述加解密引擎模块包括硬件执行器和软件执行器，所述硬件执行器用于响应所述加解密调度方案，调度可用的硬件加解密资源对加解密业务数据进行加解密处理；所述软件执行器用于响应所述加解密调度方案，调度可用的软件加解密资源对加解密业务数据进行加解密处理。

需要说明的是，本发明的技术方案可以在PC、手机、IPAD等终端上实现。

可以理解，所述硬件加解密资源可以包括多个加密卡资源，且所述加密卡优选为PCIE加密卡，所述软件加解密资源可以为CPU资源，且该CPU资源可以包括多个CPU核心数。

可以理解，SM2、SM3、SM4等算法都可以采用软件实现也可以采用硬件实现，为了更好的利用终端的加解密资源从而提供网卡线速率的加密性能，本发明提出了基于软硬件协同的异步加解密方案，该方案有效的管理了CPU资源、PCIE加密卡资源，根据各资源的负载情况进行合理调度加解密任务，使得CPU资源和业务处理速度达到一个最优化平衡，从而提升了系统的加解密性能。

需要说明的是，所述加解密引擎模块是一个通用库，对外提供统一的SM2、SM3、SM4等加解密算法接口，且该接口均支持同步调用和异步调用。所述加解密引擎模块具有三种工作模式：硬件模式、软件模式、自动调度模式；其中，所述硬件模式通过指定硬件加密卡（如PCIE加密卡等）来做加解密运算，在接口调用时，通过指定硬件句柄即可实现接口调用；软件模式使用终端的CPU资源来做加解密运算，在接口调用时，需对硬件句柄进行无效处理；自动调度模式提供一种自动调度的机制，基于硬件优先原则提出一套基于硬件加解密资源和软件加解密资源忙闲控制的加解密调度方案算法，充分利用软硬件资源，从而得到最优的加解密性能。

如图2所示，根据本发明的实施例，所述加解密引擎模块还包括：API接口、算法调度器和执行调度器；

所述API接口，用于提供统一的加解密接口；

所述算法调度器，根据业务需求的加解密算法，将使用硬件执行器和软件执行器时的执行函数从接口标准中查询出来；

所述执行调度器，根据硬件执行器和软件执行器的忙闲程度来分发加解密任务给对应的执行线程，同时把与所述加解密任务相关的参数传给对应的执行线程。

根据本发明的实施例，所述加解密引擎模块内部定义有第一句柄，操作系统内部定义有第二句柄，且所述第二句柄和所述硬件加解密资源之间固有映射机制，建立所述第一句柄和所述第二句柄之间的映射关系，以使所述加解密引擎模块通过句柄来统一管理所述硬件加解密资源。

可以理解，所述加解密引擎模块定义第一句柄来统一管理加密卡设备，用户先通过设备枚举来获取所述加解密引擎模块提供的加密卡设备的第一句柄（有可能枚举出多个加密卡设备），然后通过第一句柄指定对应的加密卡设备做加解密业务。

需要说明的是，所述加解密引擎模块定义和管理内部的第一句柄，终端的操作系统内部定义有第二句柄，且所述第二句柄和所述加密卡设备之间固有映射机制，本发明将所述加解密引擎模块的第一句柄与操作系统的第二句柄建立映射关系，并提供相应的校验机制以保证其有效性。

根据本发明的实施例，所述加解密引擎模块还包括硬件抽象层，所述加解密引擎模块通过所述硬件抽象层实现对所述硬件加解密资源的统一管理，当需要添加一个硬件加解密资源时，需要将该硬件加解密资源适配到所述抽象层，并将该硬件加解密资源注册到所述加解密引擎模块中。

需要说明的是，在注册过程中，所述加解密引擎模块会打开加密卡设备从而拿到操作系统的第二句柄并保存起来，之后可以通过DRE索引找到操作系统的第二句柄，并在设备枚举阶段把操作系统的第二句柄和所述加解密引擎模块的第一句柄通过DRE索引映射起来。

根据本发明的实施例，所述加解密调度方案表征为：所述加解密引擎模块优先查找是否有可用的硬件加解密资源；如果有，则通过所述硬件执行器接收加解密业务数据并分配给可用的硬件加解密资源，以进行硬件加解密处理；如果没有，则查找可用的软件加解密资源，并通过所述软件执行器接收加解密业务数据并分配给可用的软件加解密资源，以进行软件加解密处理。

根据本发明的实施例，所述硬件执行器包括一个硬件线程池，所述硬件线程池包括多个硬件执行线程，当所述硬件执行器接到加解密任务后将所述任务分配给硬件线程池中对应的硬件执行线程来执行。

根据本发明的实施例，每一个软件执行器对应一个软件执行线程，其中，所述软件执行线程在所述加解密引擎模块启动阶段创建并绑定到相应的CPU核心上，每一个软件执行线程独占与其具有绑定关系的CPU核心的资源，直至所述加解密引擎模块退出；当所述软件执行器接收到加解密任务后将所述加解密任务发送至对应的软件执行线程来执行。

如图3所示，当应用程序模块有加解密业务需求时，初始化加解密引擎模块，并启动执行器线程；然后优先查找是否有可用的硬件加解密资源，如果有，则查找并选择对应的硬件执行器；如果没有，则查找可用的软件加解密资源，并查找选择对应的软件执行器；待软硬件加解密资源查找完成后，根据上述查找结果并基于加解密业务需求进行加解密任务的装配，待任务装配完成后，提交加解密任务给对应的硬件执行线程和/或软件执行线程进行执行，待加解密任务执行完成后，将执行结果返回给所述应用程序模块。

进一步的，如果存在可用的硬件加解密资源，优先将加解密任务分配给硬件执行器，当硬件执行器接到加解密任务后会将加解密任务分配给硬件线程池中的某个硬件执行线程去执行，硬件执行器通过硬件线程池中的某个硬件执行线程同步处理一个加解密业务，执行完后硬件执行线程回收执行结果到硬件线程池；如果不存在可用的硬件加解密资源，则将加解密任务分配给对应的软件执行器，由于软件执行器没有线程池，在加解密引擎模块启动阶段分配给每个软件执行器的CPU资源都会启动一个软件执行线程，所述软件执行线程具有独立的无锁队列（包括任务接收队列和任务返回队列），负责接收所述应用程序模块的加解密异步请求，待软件执行线程执行完成后，将执行结果通过无锁队列返回给所述应用程序模块。其中，所述软件执行线程在加解密引擎模块启动阶段创建并绑定到相应的CPU资源上，以后一直独占该CPU资源，直到加解密引擎模块退出。

优选的，本发明有关加解密的算法可以为SM2、SM3、SM4、SHA-1、SHA-256、MD5、DES、AES、RSA的任意一种或多种。但不限于此。

图4示出本发明一种基于DTLS协议的VPN实现方法的流程图。

如图4所示，本发明第二方面还提出一种软硬件协同工作的异步加解密方法，所述方法包括如下步骤：

S401，所述应用程序模块产生相应的加解密业务数据；

S402，所述加解密引擎模块提供统一的加解密接口以接收所述应用程序模块的调用请求，并基于当前硬件加解密资源和软件加解密资源的空闲状态，制定相应的加解密调度方案；

S403，所述硬件执行器响应所述加解密调度方案，调度可用的硬件加解密资源对加解密业务数据进行加解密处理；和/或所述软件执行器响应所述加解密调度方案，调度可用的硬件加解密资源对加解密业务数据进行加解密处理。

进一步的，在所述加解密引擎模块提供统一的加解密接口以接收所述应用程序模块的调用请求之后，所述方法还包括：

所述加解密引擎模块优先查找是否有可用的硬件加解密资源；

如果有，则通过所述硬件执行器接收加解密业务数据并分配给可用的硬件加解密资源，以进行硬件加解密处理；如果没有，则查找可用的软件加解密资源，并通过所述软件执行器接收加解密业务数据并分配给可用的软件加解密资源，以进行软件加解密处理。

进一步的，所述硬件执行器包括一个硬件线程池，所述硬件线程池包括多个硬件执行线程，当所述硬件执行器接到任务后将所述任务分配给硬件线程池中对应的硬件执行线程来执行。

进一步的，每一个软件执行器对应一个软件执行线程，所述软件执行线程在所述加解密引擎模块启动阶段创建并绑定到相应的CPU核心上，每一个软件执行线程独占与其具有绑定关系的CPU核心的资源，直至所述加解密引擎模块退出；当所述软件执行器接收到加解密任务后将所述加解密任务发送至对应的软件执行线程来执行。

进一步的，所述加解密引擎模块还包括：API接口、算法调度器和执行调度器；

所述API接口，用于提供统一的加解密接口；

所述算法调度器，根据业务需求的加解密算法，将使用硬件执行器和软件执行器时的执行函数从接口标准中查询出来；

所述执行调度器，根据硬件执行器和软件执行器的忙闲程度来分发加解密任务给对应的执行线程，同时把所述加解密任务相关的参数传给对应的执行线程。

进一步的，所述加解密引擎模块内部定义有第一句柄，操作系统内部定义有第二句柄，且所述第二句柄和所述硬件加解密资源之间固有映射机制，通过建立所述第一句柄和所述第二句柄之间的映射关系，以使所述加解密引擎模块根据句柄来统一管理所述硬件加解密资源。

进一步的，所述加解密引擎模块还包括硬件抽象层，所述加解密引擎模块通过所述硬件抽象层实现对所述硬件加解密资源的统一管理，当需要添加一个硬件加解密资源时，需要将该硬件加解密资源适配到所述抽象层，并将该硬件加解密资源注册到所述加解密引擎模块中。

优选的，所述硬件加解密资源可以为PCIE加密卡资源，所述软件加解密资源可以为CPU资源。但不限于此。

本发明的软硬件协同工作的异步加解密系统和方法，能够有效的解决了传统加解密资源（如PCIE加密卡、CPU资源等）利用不充分的问题，实现对硬件加解密资源和软件加解密资源的管理，在现有加解密资源有限的前提下，最大限度的提升了对加解密业务的处理能力和处理性能。

以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以所述权利要求的保护范围为准。

Claims (10)

1.一种软硬件协同工作的异步加解密系统，其特征在于，所述异步加解密系统包括：应用程序模块、加解密引擎模块、硬件加解密资源和软件加解密资源；

所述应用程序模块，用于产生相应的加解密业务数据；

所述加解密引擎模块，用于提供统一的加解密接口以接收所述应用程序模块的调用请求，并基于当前硬件加解密资源和软件加解密资源的空闲状态，制定相应的加解密调度方案；

所述加解密引擎模块包括硬件执行器和软件执行器，所述硬件执行器用于响应所述加解密调度方案，调度可用的硬件加解密资源对加解密业务数据进行加解密处理；所述软件执行器用于响应所述加解密调度方案，调度可用的软件加解密资源对加解密业务数据进行加解密处理。

2.根据权利要求1所述的一种软硬件协同工作的异步加解密系统，其特征在于，所述硬件执行器包括一个硬件线程池，所述硬件线程池包括多个硬件执行线程，当所述硬件执行器接到加解密任务后将所述加解密任务分配给硬件线程池中对应的硬件执行线程来执行；

每一个软件执行器对应一个软件执行线程，当所述软件执行器接收到加解密任务后将所述加解密任务发送至对应的软件执行线程来执行。

3.根据权利要求2所述的一种软硬件协同工作的异步加解密系统，其特征在于，所述软件执行线程在所述加解密引擎模块启动阶段创建并绑定到相应的CPU核心上，每一个软件执行线程独占与其具有绑定关系的CPU核心的资源，直至所述加解密引擎模块退出。

4.根据权利要求2所述的一种软硬件协同工作的异步加解密系统，其特征在于，所述加解密引擎模块还包括：API接口、算法调度器和执行调度器；

所述API接口，用于提供统一的加解密接口；

所述算法调度器，根据业务需求的加解密算法，将使用所述硬件执行器和所述软件执行器时的执行函数从接口标准中查询出来；

所述执行调度器，根据所述硬件执行器和所述软件执行器的忙闲程度来分发加解密任务给对应的执行线程，同时把与所述加解密任务相关的参数传给对应的执行线程。

5.根据权利要求1所述的一种软硬件协同工作的异步加解密系统，其特征在于，所述加解密引擎模块内部定义有第一句柄，操作系统内部定义有第二句柄，且所述第二句柄和所述硬件加解密资源之间固有映射机制，通过建立所述第一句柄和所述第二句柄之间的映射关系，以使所述加解密引擎模块根据句柄来统一管理所述硬件加解密资源。

6.根据权利要求1所述的一种软硬件协同工作的异步加解密系统，其特征在于，所述加解密引擎模块还包括硬件抽象层，所述加解密引擎模块通过所述硬件抽象层实现对所述硬件加解密资源的统一管理，当需要添加一个硬件加解密资源时，需要将该硬件加解密资源适配到所述抽象层，并将该硬件加解密资源注册到所述加解密引擎模块中。

7.根据权利要求1所述的一种软硬件协同工作的异步加解密系统，其特征在于，所述加解密调度方案表征为：所述加解密引擎模块优先查找是否有可用的硬件加解密资源；如果有，则通过所述硬件执行器接收加解密业务数据并分配给可用的硬件加解密资源，以进行硬件加解密处理；如果没有，则查找可用的软件加解密资源，通过所述软件执行器接收加解密业务数据并分配给可用的软件加解密资源，以进行软件加解密处理。

8.根据权利要求1所述的一种软硬件协同工作的异步加解密系统，其特征在于，所述硬件加解密资源为PCIE加密卡资源，所述软件加解密资源为CPU资源。

9.一种软硬件协同工作的异步加解密方法，应用权利要求1-8任意一项所述的软硬件协同工作的异步加解密，所述方法包括如下步骤：

所述应用程序模块产生相应的加解密业务数据；

所述加解密引擎模块提供统一的加解密接口以接收所述应用程序模块的调用请求，并基于当前硬件加解密资源和软件加解密资源的空闲状态，制定相应的加解密调度方案；

所述硬件执行器响应所述加解密调度方案，调度可用的硬件加解密资源对加解密业务数据进行加解密处理；和/或

所述软件执行器响应所述加解密调度方案，调度可用的软件加解密资源对加解密业务数据进行加解密处理。

10.根据权利要求9所述的一种软硬件协同工作的异步加解密方法，其特征在于，在所述加解密引擎模块提供统一的加解密接口以接收所述应用程序模块的调用请求之后，所述方法还包括：

所述加解密引擎模块优先查找是否有可用的硬件加解密资源；

如果有，则通过所述硬件执行器接收加解密业务数据并分配给可用的硬件加解密资源，以进行硬件加解密处理；如果没有，则查找可用的软件加解密资源，并通过所述软件执行器接收加解密业务数据并分配给可用的软件加解密资源，以进行软件加解密处理。

Images