CN111221764A - 一种跨链路数据传输方法及系统 - Google Patents

Abstract

本发明公开一种跨链路数据传输方法，获取待传输数据；为预设的控制侧通信对象分配控制侧句柄，再根据控制侧句柄和待传输数据生成第一请求数据包；对第一请求数据包进行加密处理，生成请求加密数据块；生成第二请求数据包，第二请求数据包含有请求加密数据块和与请求加密数据块相对应的哈希值；通过USB通信链路将第二请求数据包发送至信息侧；本发明对第一请求数据包进行加密处理后还进行哈希值计算，以便于信息侧对所接收数据进行哈希验证，防止数据被篡改导致的安全隐患。

Description

一种跨链路数据传输方法及系统

技术领域

本发明涉及数据传输领域，尤其涉及一种跨链路数据传输方法及系统。

背景技术

管理信息系统是指在企业内部建立的用于管理企业各类资源、信息的计算机网络系统，包括ERP、CIMS/PIMS等。通过管理信息系统，企业能够实现对生产调度、人事、财务甚至整个供应链的自动化管理，从而提高自身的经济效益。

在流程工业中，企业生产管理的生产决策数据需要从现场级到控制级、执行级到工厂级间流转，而管理信息系统常常会和Internet互联，从而整个管理信息系统的整体网络安全可能存在隐患；如果生产控制网络(本文中简称为控制网)与管理信息网(本文中简称为信息网网)直接相连，就会和控制系统追求的实时、安全、可靠的特性相背；同时控制网一旦感染某些病毒，就会使控制网的数据外泄。

企业需要一种能够彻底隔离控制网和信息网直接物理连接的设备，但现有防火墙只能按照端口或者传输协议进行过滤，在物理上双方网络还是直接连接的，且其并不检测通信双方的通信内容，一旦欺骗成功，控制网的安全就得不到保障；现有单向隔离网闸使用只是确保了数据的传输是单向的，并不检测通信的内容，无法做到控制网数据的安全可靠，不外泄；现有还存在采集网关使用共享内存使位于不同链路两侧主机进行数据交互，但共享内存只是用于将数据从控制侧传递到信息侧，而两侧主机间的信令交互需要另外的通道实现，并且这类方法不能跨设备通信。

综上，需要对现有技术做进一步改进。

发明内容

本发明针对现有技术中的缺点，提供了一种跨链路数据传输方法及系统。

为了解决上述技术问题，本发明通过下述技术方案得以解决：

一种跨链路数据传输方法，用于控制侧通过USB通信链路传输数据，包括以下步骤：

获取待传输数据；

为预设的控制侧通信对象分配控制侧句柄，再根据所述控制侧句柄和待传输数据生成第一请求数据包；对所述第一请求数据包进行加密处理，生成请求加密数据块；对所述请求加密数据块进行哈希计算，获得相对应的哈希值，并根据所述请求加密数据块和与所述请求加密数据块相对应的哈希值生成第二请求数据包；通过USB通信链路将所述第二请求数据包发送至信息侧；

通过USB通信链路接收信息侧返回的第二响应数据包，所述第二响应数据包含有包长度、响应加密数据块和哈希值，对所述包长度进行确认、对所述哈希值进行验证，并对所述响应加密数据块进行解密，然后对所得解密结果进行校验，解析校验成功后的响应加密数据块，并将解析结果发送至相应控制侧通信对象。

作为一种可实施方式，对所述第一请求数据包进行加密处理，生成请求加密数据块的具体步骤为：

在所述第一请求数据包上增加包序号和类型，对所得数据包进行非对称加密，获得请求加密数据块。

作为一种可实施方式，对所述包长度进行确认、对所述哈希值进行验证，并对所述响应加密数据块进行解密，然后对所得解密结果进行校验，解析校验成功后的响应加密数据块，并将解析结果发送至相应控制侧通信对象的具体步骤为：

首先根据包长度确认所述第二响应数据包是否完整，当确认第二响应数据包为完整的数据包后，验证所述哈希值，当哈希值验证通过后，解密所述响应加密数据块，获得第一解密数据，所述第一解密数据含有包序号、类型和第一响应数据包，对所述第一解密数据进行校验，解析校验成功的第一解密数据中的第一响应数据包；

所述第一响应数据包含有控制侧句柄和响应数据，根据所述控制侧句柄将解析后的第一响应数据包发送至相对应的控制侧通信对象；

当确认第二响应数据包不完整、对哈希值的验证失败、或对第一解密数据的校验失败时，断开USB通信链路，同时向建立在所述USB通信链路上的所有控制侧通信对象发送链路故障的通知。

本发明还提出一种跨链路数据传输方法，用于信息侧通过USB通信链路传输数据，包括以下步骤：

通过USB通信链路接收控制侧发送的第二请求数据包，所述第二请求数据包含有包长度、请求加密数据块和哈希值，对所述包长度进行确认、对所述哈希值进行验证、并对所述请求加密数据块进行解密，之后对所得解密结果进行校验，解析校验成功后的请求加密数据块，获得待传输数据和控制侧句柄；根据所述待传输数据执行相应操作，获得操作结果；

根据所述操作结果和所述控制侧句柄生成第一响应数据包，对所述第一响应数据包进行加密处理，生成响应加密数据块；对所述响应加密数据块进行哈希计算，获得相对应的哈希值，并根据所述响应加密数据块和与所述响应加密数据块相对应的哈希值生成第二响应数据包；通过USB通信链路将所述第二响应数据包发送至控制侧。

作为一种可实施方式，根据所述操作结果和所述控制侧句柄生成第一响应数据包，对所述第一响应数据包进行加密处理，生成响应加密数据块的具体步骤为：

在所述第一响应数据包上增加包序号和类型，对所得数据包进行非对称加密，获得响应加密数据块。

作为一种可实施方式，对所述包长度进行确认、对所述哈希值进行验证、并对所述请求加密数据块进行解密，之后对所得解密结果进行校验，解析校验成功后的请求加密数据块的具体步骤为：

首先根据包长度确认所述第二请求数据包是否完整，当确认第二请求数据包为完整的数据包后，验证所述哈希值，当哈希值验证通过后，解密所述请求加密数据块，获得第二解密数据，所述第二解密数据含有包序号、类型和第一请求数据包，对所述第二解密数据进行校验，解析校验成功的第二解密数据中的第一请求数据包；

当确认第二请求数据包不完整、对哈希值的验证失败、或对第二解密数据的校验失败时，断开USB通信链路，同时向建立在所述USB通信链路上的所有信息侧通信对象发送链路故障的通知。

本发明还提出一种跨链路数据传输系统，应用于控制侧主机中，包括：

获取模块，用于获取待传输数据；

控制侧数据传输模块，用于为预设的控制侧通信对象分配控制侧句柄，再根据所述控制侧句柄和待传输数据生成第一请求数据包；对所述第一请求数据包进行加密处理，生成请求加密数据块；对所述请求加密数据块进行哈希计算，获得相对应的哈希值，并根据所述请求加密数据块和与所述请求加密数据块相对应的哈希值生成第二请求数据包；通过USB通信链路将所述第二请求数据包发送至信息侧；

所述控制侧数据传输模块，还用于通过USB通信链路接收信息侧返回的第二响应数据包，所述第二响应数据包含有包长度、响应加密数据块和哈希值，对所述包长度进行确认、对所述哈希值进行验证，并对所述响应加密数据块进行解密，然后对所得解密结果进行校验，解析校验成功后的响应加密数据块，并将解析结果发送至相应控制侧通信对象。

作为一种可实施方式，控制侧数据传输模块包括控制侧应用层、控制侧传输层、控制侧通信层和控制侧链路层；

所述控制侧应用层，用于为预设的控制侧通信对象分配控制侧句柄，并根据所述控制侧句柄和待传输数据生成第一请求数据包；还用于解析校验成功后的响应加密数据块，并将解析结果发送至相应控制侧通信对象；

所述控制侧传输层，用于对所述第一请求数据包进行加密处理，生成请求加密数据块；还用于对验证成功的响应加密数据块进行解密，然后对所得解密结果进行校验，将解析校验成功后的响应加密数据块发送至控制侧应用层；

所述控制侧通信层，用于对所述请求加密数据块进行哈希计算，获得相对应的哈希值，并根据所述请求加密数据块和与所述请求加密数据块相对应的哈希值生成第二请求数据包；还用于对第二响应数据包中的包长度进行确认，并对哈希值进行验证，将验证成功的响应加密数据块发送至控制侧传输层；

所述控制侧链路层，用于通过USB通信链路将所述第二请求数据包发送至信息侧；还用于通过USB通信链路接收信息侧返回的第二响应数据包，并将所述第二响应数据包发送至控制侧通信层。

本发明还提出一种跨链路数据传输系统，应用于信息侧主机中，包括：

信息侧数据传输模块，用于通过USB通信链路接收控制侧发送的第二请求数据包，所述第二请求数据包含有包长度、请求加密数据块和哈希值，对所述包长度进行确认、对所述哈希值进行验证、并对所述请求加密数据块进行解密，之后对所得解密结果进行校验，解析校验成功后的请求加密数据块，获得待传输数据和控制侧句柄；执行模块，用于根据所述待传输数据执行相应操作，获得操作结果；

所述信息侧数据传输模块，还用于根据所述操作结果和所述控制侧句柄生成第一响应数据包，对所述第一响应数据包进行加密处理，生成响应加密数据块；对所述响应加密数据块进行哈希计算，获得相对应的哈希值，并根据所述响应加密数据块和与所述响应加密数据块相对应的哈希值生成第二响应数据包；通过USB通信链路将所述第二响应数据包发送至控制侧。

作为一种可实施方式，信息侧数据传输模块包括信息侧应用层、信息侧传输层、信息侧通信层和信息侧链路层；

所述信息侧链路层，用于通过USB通信链路接收控制侧发送的第二请求数据包，并将所述第二请求数据包发送至信息侧通信层；还用于通过USB通信链路将所述第二响应数据包发送至控制侧；

所述信息侧通信层，用于对所述第二请求数据包中的包长度进行确认、对哈希值验证，将验证成功的请求加密数据块发送至信息侧传输层；还用于对所述响应加密数据块进行哈希计算，获得相对应的哈希值，并根据所述响应加密数据块和与所述响应加密数据块相对应的哈希值生成第二响应数据包；

所述信息侧传输层，用于对所述请求加密数据块进行解密，然后对所得解密结果进行校验，解析校验成功后的请求加密数据块，获得待传输数据和控制侧句柄，将待传输数据和控制侧句柄发送至信息侧应用层；还用于对第一响应数据包进行加密处理，生成响应加密数据块；

所述信息侧应用层，用于根据待传输数据调用执行模块，获得相应操作结果；还用于根据所述操作结果和所述控制侧句柄生成第一响应数据包。

本发明由于采用了以上技术方案，具有显著的技术效果：

1、本发明对第一请求数据包进行加密处理后还进行哈希值计算，以便于信息侧对所接收数据进行哈希验证，防止数据被篡改导致的安全隐患。

2、本发明在第一请求数据包上增加包序号和类型，以便于信息侧对所接收数据进行格式上的校验，实现对通信内容的检测，且本发明采用非对称加密，能够提高数据传输的安全性。

3、本发明控制侧通过包长度确认第二响应数据包的完整性，通过哈希值检测第二响应数据包是否被篡改，还对解密所得的第一解密数据进行格式校验，校验成功后才将对应第一响应数据包返回至对应控制侧通信对象，避免控制侧通过USB通信链路感染病毒，保证控制侧信息的安全；且在任一环节验证未通过时本发明控制侧都断开USB通信链路，提高数据传输的安全性。

4、本发明的信息侧对第一响应数据包进行加密处理后还进行哈希值计算，以便于控制侧对所接收数据进行哈希验证，防止数据被篡改导致的安全隐患。

5、本发明在第一响应数据包上增加包序号和类型，以便于控制侧对所接收数据进行格式上的校验，实现对通信内容的检测，且本发明采用非对称加密，能够提高数据传输的安全性。

6、本发明信息侧通过包长度确认第二请求数据包的完整性，通过哈希值检测第二请求数据包是否被篡改，还对解密所得的第二解密数据进行格式校验，校验成功后才根据第一请求数据包中的待传输数据执行相应操作，且在任一环节验证未通过时本发明信息侧都断开USB通信链路，提高数据传输的安全性。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1是实施例1中用于控制侧的一种跨链路数据传输方法的流程示意图；

图2是第一请求数据包及第一响应数据包的字段格式示意图；

图3是第一请求数据包及第一响应数据包的包头所增加字段格式示意图；

图4是第二请求数据包及第二响应数据包的字段格式示意图；

图5是实施例2中用于信息侧的一种跨链路数据传输方法的流程示意图；

图6是实施例3中用于控制侧的一种跨链路数据传输系统的模块连接示意图；

图7是实施例4中用于信息侧的一种跨链路数据传输系统的模块连接示意图。

图中，100是获取模块、110是控制侧应用层、120是控制侧传输层、130是控制侧通信层和140是控制侧链路层、200是执行模块、210是信息侧应用层、220是信息侧传输层、230是信息侧通信层、240是信息侧链路层。

具体实施方式

下面结合实施例对本发明做进一步的详细说明，以下实施例是对本发明的解释而本发明并不局限于以下实施例。

实施例1、一种跨链路数据传输方法，用于控制侧通过USB通信链路传输数据，如图1所示，包括以下步骤：

S110、获取待传输数据；

本实施例中待传输数据为设置在控制侧的采集模块采集的操作数据；

S120、为预设的控制侧通信对象分配控制侧句柄，再根据所述控制侧句柄和待传输数据生成第一请求数据包；对所述第一请求数据包进行加密处理，生成请求加密数据块；对所述请求加密数据块进行哈希计算，获得相对应的哈希值，并根据所述请求加密数据块和与所述请求加密数据块相对应的哈希值生成第二请求数据包；通过USB通信链路将所述第二请求数据包发送至信息侧；

注，本实施例中控制侧通过USB通信链路与信息侧进行数据传输前需建立数据安全传输通道，即，控制侧与信息侧均建立通信对象并进行握手认证，相关领域的技术人员能够轻易实现通信对象的建立及握手认证，故不再本说明书中对其进行详细介绍。上述控制侧句柄用于描述对应的控制侧通信对象。

所述第一请求数据包的字段格式如图2所示，其中length表示包长度，cmd表示命令、handle表示本地句柄(即，控制侧句柄)。

本实施例中发起连接的第一请求数据包包含以下字段：

remote ip：连接到远程主机的ip地址；

port：远程组成主机端口；

service id：发起此次链接的服务类型；

S130、通过USB通信链路接收信息侧返回的第二响应数据包，所述第二响应数据包含有包长度、响应加密数据块和哈希值，对所述包长度进行确认、对所述哈希值进行验证，并对所述请求加密数据块进行解密，然后对所得解密结果进行校验，解析校验成功后的响应加密数据块，并将解析结果发送至相应控制侧通信对象。

由上可知，控制侧通过USB通信链路与信息侧进行数据交互，故在实际使用时，采集模块将独占所述USB通信链路，设置在控制侧的其他应用程序将无法利用所述USB通信链路传输数据，从而阻断了控制网和信息网的TCP/IP物理连接，避免控制网的信息外泄。

本实施例中不仅对待传输数据进行加密处理，还对加密后所生成的请求加密数据块进行哈希计算，以便于信息侧对利用所接收的哈希值验证对应的请求加密数据块，提高了数据传输的安全性。

进一步地，所述步骤S120中对所述第一请求数据包进行加密处理，生成请求加密数据块的具体步骤为：

在所述第一请求数据包上增加包序号和类型，对所得数据包进行非对称加密，获得请求加密数据块。

即，在第一请求数据包的包头上增加如图3所示的字段，图3中sn表示包序号，type表示类型，version表示版本号。

本实施例中在第一请求数据包上增加包序号、类型等字段，以便于信息侧通过数据包的包头所接收数据进行格式上的校验，实现对通信内容的检测。

注，相关领域的工作人员可根据实际需要设置校验的内容，包括但不限于对数据包头字段格式的校验、对包序号格式的校验。

进一步地，所述步骤S130中对所述包长度进行确认、对所述哈希值进行验证，并对所述请求加密数据块进行解密，然后对所得解密结果进行校验，解析校验成功后的响应加密数据块，并将解析结果发送至相应控制侧通信对象的具体步骤为：

所述第二响应数据包含有包长度、响应加密数据块和哈希值；

本实施例中第二响应数据包的字段如图4所示，图4中Date length表示包长度，Date表示响应加密数据块，Hash value表示所述响应加密数据块相对应的哈希值。

首先根据包长度确认所述第二响应数据包是否完整，当确认第二响应数据包为完整的数据包后，验证所述哈希值，当哈希值验证通过后，解密所述响应加密数据块，获得第一解密数据，所述第一解密数据含有包序号、类型和第一响应数据包，对所述第一解密数据进行校验，解析校验成功的第一解密数据中的第一响应数据包；

所述第一响应数据包含有控制侧句柄和响应数据，根据所述控制侧句柄将解析后的第一响应数据包发送至相对应的控制侧通信对象。

当确认第二响应数据包不完整、对哈希值的验证失败、或对第一解密数据的校验失败时，断开USB通信链路，同时向建立在所述USB通信链路上的所有控制侧通信对象发送链路故障的通知。

本实施例中首先是通过第二响应数据包的包长度确认第二响应数据包的完整性，其次是通过第二响应数据包的哈希值进行校验，哈希值检测第二响应数据包是否被篡改，校验成功后才对第二响应数据包的响应加密数据块进行解密，最后还对解密后获得的第一解密数据进行校验，校验成功后才将对应第一响应数据包返回至对应控制侧通信对象，避免控制侧通过USB通信链路感染病毒，保证控制侧信息的安全；

由上可知，本实施例中控制侧对从信息侧所发送的数据进行多重验证，从而进一步提高了控制侧的安全性，且本实施例中通过对第一解密数据进行校验，从而对实现对通信内容的检测。

当任一验证失败时，则判定USB通信链路不可靠，控制侧将断开与信息侧通信的USB通信链路，同时向建立在所述USB通信链路上的所有控制侧通信对象发送链路故障的通知，从而有效避免信息外泄的情况，提高数据传输的安全性；此时可根据实际需要重新通过握手机制重新建立USB通信链路进行数据传输。

注，控制侧与信息侧的通信协议对称设计。

实施例2、一种跨链路数据传输方法，用于信息侧通过USB通信链路传输数据，如图5所述，具体包括以下步骤：

S210、通过USB通信链路接收控制侧发送的第二请求数据包，所述第二请求数据包含有包长度、请求加密数据块和哈希值，对所述包长度进行确认、对所述哈希值进行验证、并对所述请求加密数据块进行解密，之后对所得解密结果进行校验，解析校验成功后的请求加密数据块，获得待传输数据和控制侧句柄；

本实施例中还为预设的信息侧通信对象分配信息侧句柄；

注，信息侧句柄用于描述信息侧通信对象，且信息侧通信对象与控制侧通信对象一一对应，相互对应的信息侧通信对象与控制侧通信对象之间形成虚拟通信链路，即本实施例中通过一条USB通信链路对多条网络连接进行仿真(虚拟通信链路)。

S220、根据所述待传输数据执行相应操作，获得操作结果；

S230、根据所述操作结果和所述控制侧句柄生成第一响应数据包，对所述第一响应数据包进行加密处理，生成响应加密数据块；对所述响应加密数据块进行哈希计算，获得相对应的哈希值，并根据所述响应加密数据块和与所述响应加密数据块相对应的哈希值生成第二响应数据包；通过USB通信链路将所述第二响应数据包发送至控制侧。

本实施例中通知控制侧连接结果的第一响应数据包含有以下字段：

local ip：此链接的本地ip地址；

port：此链接对应的本地端口；

remote ip：此链接的远程主机地址；

port：此链接的远程主机端口；

remote handle：表示此链接的远端句柄(即对应的控制侧句柄)；

进一步地，步骤S230中，根据所述操作结果和所述控制侧句柄生成第一响应数据包，对所述第一响应数据包进行加密处理，生成响应加密数据块的具体步骤为：

在所述第一响应数据包上增加包序号和类型，对所得数据包进行非对称加密，获得响应加密数据块。

即，在第一响应数据包上增加包序号、类型等字段，所述数据包头与第一请求数据包所增加包序号、类型等字段的字段格式一致，本实施例中第一响应数据包所增加包序号、类型等字段的字段如图3所示。

由实施例1中步骤S130可知，本实施例中在第一响应数据包上增加包序号、类型等字段，以便于控制侧通过数据包的包头所接收数据进行格式上的校验，实现对通信内容的检测。

进一步地，步骤S210中，对所述包长度进行确认、对所述哈希值进行验证、并对所述请求加密数据块进行解密，之后对所得解密结果进行校验，解析校验成功后的请求加密数据块的具体步骤为：

本实施例中第二请求数据包和第二响应数据包的字段格式相同，即，第二响应数据包字段如图4所示。

首先根据包长度确认所述第二请求数据包是否完整，当确认第二请求数据包为完整的数据包后，验证所述哈希值，当哈希值验证通过后，解密所述请求加密数据块，获得第二解密数据，所述第二解密数据含有包序号、类型和第一请求数据包，对所述第二解密数据进行校验，解析校验成功的第二解密数据中的第一请求数据包；当确认第二请求数据包不完整、对哈希值的验证失败、或对第二解密数据的校验失败时，断开USB通信链路，同时向建立在所述USB通信链路上的所有信息侧通信对象发送链路故障的通知。

同实施例1，信息侧通过包长度确认第二请求数据包的完整性，通过哈希值检测第二请求数据包是否被篡改，还对解密所得的第二解密数据进行格式校验，校验成功后才根据第一请求数据包中的待传输数据执行相应操作，且在任一环节验证未通过时本发明信息侧都断开USB通信链路，提高数据传输的安全性。

注，信息侧/控制侧断开USB通信链路，另一侧检测到USB通信链路断开后将向建立在所述USB通信链路上的所有通信对象发送链路故障的通知，检测USB通信链路是否断开的技术为现有技术，故不在本专利中详细介绍。

实施例3、一种跨链路数据传输系统，应用于控制侧主机中，如图6所示，包括获取模块100和控制侧数据传输模块，所述获取模块100和控制侧数据传输模块设置在控制侧主机中。

获取模块100，用于获取设置在控制侧的采集模块采集的待传输数据，采集模块也设置在控制侧主机中。

控制侧数据传输模块，用于为预设的控制侧通信对象分配控制侧句柄，再根据所述控制侧句柄和待传输数据生成第一请求数据包；对所述第一请求数据包进行加密处理，生成请求加密数据块；对所述请求加密数据块进行哈希计算，获得相对应的哈希值，并根据所述请求加密数据块和与所述请求加密数据块相对应的哈希值生成第二请求数据包；通过USB通信链路将所述第二请求数据包发送至信息侧；

所述控制侧数据传输模块，还用于通过USB通信链路接收信息侧返回的第二响应数据包，所述第二响应数据包含有包长度、响应加密数据块和哈希值，对所述包长度进行确认、对所述哈希值进行验证，并对所述请求加密数据块进行解密，然后对所得解密结果进行校验，解析校验成功后的响应加密数据块，并将解析结果发送至相应控制侧通信对象。

由上可知，控制侧数据传输模块通过USB总线与信息侧主机相通信，此时信息侧主机仿真为控制侧主机的串口设备。

进一步地，控制侧数据传输模块包括控制侧应用层110、控制侧传输层120、控制侧通信层130和控制侧链路层140；

所述控制侧应用层110，用于为预设的控制侧通信对象分配控制侧句柄，并根据所述控制侧句柄和待传输数据生成第一请求数据包；还用于解析校验成功后的响应加密数据块，并将解析结果发送至相应控制侧通信对象；

所述控制侧传输层120，用于对所述第一请求数据包进行加密处理，生成请求加密数据块；还用于对验证成功的响应加密数据块进行解密，然后对所得解密结果进行校验，将解析校验成功后的响应加密数据块发送至控制侧应用层110；

所述控制侧通信层130，用于对所述请求加密数据块进行哈希计算，获得相对应的哈希值，并根据所述请求加密数据块和与所述请求加密数据块相对应的哈希值生成第二请求数据包；还用于对第二响应数据包中的包长度进行确认，并对哈希值进行验证，将验证成功的响应加密数据块发送至控制侧传输层120；

所述控制侧链路层140，用于通过USB通信链路将所述第二请求数据包发送至信息侧；还用于通过USB通信链路接收信息侧返回的第二响应数据包，并将所述第二响应数据包发送至控制侧通信层130。

本实施例中控制侧链路层140通过USB总线进行通信，且信息侧主机作为控制侧主机的串口设备，一方面能够简化编程，另一方面能够使采集模块占用该USB总线，使控制侧主机中其他应用程序无法使用该USB总线进行数据传输，确保了通信的安全。

本实施例是方法实施例(实施例1)所对应的装置实施例，由于其与方法实施例(实施例1)基本相似，所以描述的比较简单，相关之处参见方法实施例(实施例1)的部分说明即可。

实施例4、一种跨链路数据传输系统，应用于信息侧主机中，如图7所示，包括信息侧数据传输模块和执行模块200：

信息侧数据传输模块，用于通过USB通信链路接收控制侧发送的第二请求数据包，所述第二请求数据包含有包长度、请求加密数据块和哈希值，对所述包长度进行确认、对所述哈希值进行验证、并对所述请求加密数据块进行解密，之后对所得解密结果进行校验，解析校验成功后的请求加密数据块，获得待传输数据和控制侧句柄；为预设的信息侧通信对象分配信息侧句柄；

执行模块200，用于根据所述待传输数据执行相应操作，获得操作结果。

所述信息侧数据传输模块还用于根据所述操作结果和所述控制侧句柄生成第一响应数据包，对所述第一响应数据包进行加密处理，生成响应加密数据块；对所述响应加密数据块进行哈希计算，获得相对应的哈希值，并根据所述响应加密数据块和与所述响应加密数据块相对应的哈希值生成第二响应数据包；通过USB通信链路将所述第二响应数据包发送至控制侧。

注，控制侧数据传输模块与信息侧数据传输模块对称设计。

进一步地，信息侧数据传输模块包括信息侧应用层210、信息侧传输层220、信息侧通信层230和信息侧链路层240；

所述信息侧链路层240，用于通过USB通信链路接收控制侧发送的第二请求数据包，并将所述第二请求数据包发送至信息侧通信层230；还用于通过USB通信链路将所述第二响应数据包发送至控制侧；

所述信息侧通信层230，用于对所述第二请求数据包中的包长度进行确认、对哈希值验证，将验证成功的请求加密数据块发送至信息侧传输层220；还用于对所述响应加密数据块进行哈希计算，获得相对应的哈希值，并根据所述响应加密数据块和与所述响应加密数据块相对应的哈希值生成第二响应数据包；

所述信息侧传输层220，用于对所述请求加密数据块进行解密，然后对所得解密结果进行校验，解析校验成功后的请求加密数据块，获得待传输数据和控制侧句柄，将待传输数据和控制侧句柄发送至信息侧应用层210；还用于对第一响应数据包进行加密处理，生成响应加密数据块；

所述信息侧应用层210，用于为预设的信息侧通信对象分配信息侧句柄；还用于根据待传输数据调用执行模块200，获得相应操作结果；还用于根据所述操作结果和所述控制侧句柄生成第一响应数据包。

注：

控制侧传输层120及信息侧传输层220定义了底层链路通信的各类消息，如链路建立、保活、以及通信内容的检测(即，校验第一解密数据/第二解密数据的格式)，控制侧传输层120还用于对数据进行加/解密(调用外部的数据加密模块实现，此为现有技术，故无需详细告知)，防止被其他应用窥视。

控制侧通信层130及信息侧通信层230用于确认数据包的完整性(即，通过包长度确认数据包是否完整)，提供数据完整性的校验能力(即，通过哈希值验证数据包是否被篡改)，防止数据在传输过程中被篡改。

控制侧链路层140及信息侧链路层240，实现链路两侧主机间相互发送数据，对外提供通信的框架，以及接口。

本实施例是方法实施例(实施例2)所对应的装置实施例，由于其与方法实施例(实施例2)基本相似，所以描述的比较简单，相关之处参见方法实施例(实施例2)的部分说明即可。

案例：

控制侧主机与内部控制网相连，本案例中控制侧主机为X86架构的windows主机；

信息侧主机与外部信息网相连，本案例中信息侧主机为ARM架构的主机；

控制侧主机与信息侧主机相互独立且控制侧主机通过USB总线与信息侧主机相通信，此时信息侧主机仿真为控制侧主机的串口设备。

由于windows主机中串口设备是独占的，故在控制侧主机启动是自动启动采集模块，此时采集模块占用该USB总线，只有采集模块能够通过USB总线向信息侧主机发送消息。

控制侧主机中的采集模块通过调用用于控制侧的跨链路数据传输系统，将各类网络操作转为数据包，由用于控制侧的跨链路数据传输系统通过USB总线发送到用于信息侧的跨链路数据传输系统。

以监听某个端口为例：

工作人员于控制侧主机发起监听某端口的网络连接，获取模块100获取此时采集模块所采集的待传输数据，所述待传输数据包括命令数据和连接数据。

控制侧应用层110为预设的控制侧通信对象分配控制侧句柄，并根据所述控制侧句柄和待传输数据生成第一请求数据包，然后调用控制侧传输层120。

本案例中第一请求数据包包含ip地址、端口号、业务类型(监听)，即令信息侧在所述ip地址上按照端口号进行监听。

控制侧传输层120对第一请求数据包增加包序号、类型和版本号，对所得数据包进行非对称加密，获得请求加密数据块，然后调用控制侧通信层130。

控制侧通信层130对请求加密数据块进行哈希计算，同时在包头上增加包长度，包尾增加计算所得的哈希值，生成第二请求数据包，然后调用控制侧链路层140将第二请求数据包通过USB通信链路发送至信息侧链路层240。

信息侧链路层240收到第二请求数据包后通知信息侧通信层230；

信息侧通信层230将所述第二请求数据包放入缓冲区，同时查看最前面的字节(即，包长度)，确认所述第二请求数据包的完整性；当确认所述第二请求数据包的完整后，计算哈希值是否正确，对第二请求数据包进行验证，验证失败向信息侧传输层220数据传输错误的通知，验证成功时向信息侧传输层220发送数据包到达的通知。

信息侧传输层220根据数据包到达的通知解密第二请求数据包，并校验第一解密数据，确认是应用层数据后通知信息侧应用层210。当信息侧传输层220收到数据传输错误的通知或者校验第一解密数据失败使调用信息侧通信层230断开USB通信链路，并信息侧应用层210通信出错的通知；

当信息侧应用层210接收通信出错的通知时，则通知所有建立在对应USB通信链路的信息侧通信对象底层链路出现故障；

当信息侧应用层210接收第一解密数据，则解析第一解密数据，通过执行模块200执行相应操作，此处是信息侧应用层210根据解析获得的第一请求数据包，在指定的ip地址监听对应的端口。

信息侧应用层210还为预设的信息侧通信对象分配信息侧句柄，使其与控制侧通信对象向映射，向所述控制侧通信对象返回连接结果的通知信息，并向所述控制侧通信对象返回监听获得的数据。

由于控制侧数据传输模块与信息侧数据传输模块对称设计，即信息侧数据传输模块向控制侧数据传输模块返回数据的工作流程与上述控制侧数据传输模块向信息侧数据传输模块传输数据的工作流程相同，故不再重复介绍。

本说明书中的各个实施例均采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似的部分互相参见即可。

本领域内的技术人员应明白，本发明的实施例可提供为方法、装置、或计算机程序产品。因此，本发明可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本发明是参照根据本发明的方法、终端设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理终端设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理终端设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理终端设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理终端设备上，使得在计算机或其他可编程终端设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程终端设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

需要说明的是：

说明书中提到的“一个实施例”或“实施例”意指结合实施例描述的特定特征、结构或特性包括在本发明的至少一个实施例中。因此，说明书通篇各个地方出现的短语“一个实施例”或“实施例”并不一定均指同一个实施例。

尽管已描述了本发明的优选实施例，但本领域内的技术人员一旦得知了基本创造性概念，则可对这些实施例做出另外的变更和修改。所以，所附权利要求意欲解释为包括优选实施例以及落入本发明范围的所有变更和修改。

此外，需要说明的是，本说明书中所描述的具体实施例，其零、部件的形状、所取名称等可以不同。凡依本发明专利构思所述的构造、特征及原理所做的等效或简单变化，均包括于本发明专利的保护范围内。本发明所属技术领域的技术人员可以对所描述的具体实施例做各种各样的修改或补充或采用类似的方式替代，只要不偏离本发明的结构或者超越本权利要求书所定义的范围，均应属于本发明的保护范围。

Claims (10)

1.一种跨链路数据传输方法，用于控制侧通过USB通信链路传输数据，其特征在于包括以下步骤：

获取待传输数据；

为预设的控制侧通信对象分配控制侧句柄，再根据所述控制侧句柄和待传输数据生成第一请求数据包；对所述第一请求数据包进行加密处理，生成请求加密数据块；对所述请求加密数据块进行哈希计算，获得相对应的哈希值，并根据所述请求加密数据块和与所述请求加密数据块相对应的哈希值生成第二请求数据包；通过USB通信链路将所述第二请求数据包发送至信息侧；

通过USB通信链路接收信息侧返回的第二响应数据包，所述第二响应数据包含有包长度、响应加密数据块和哈希值，对所述包长度进行确认、对所述哈希值进行验证，并对所述响应加密数据块进行解密，然后对所得解密结果进行校验，解析校验成功后的响应加密数据块，并将解析结果发送至相应控制侧通信对象。

2.根据权利要求1所述的一种跨链路数据传输方法，其特征在于，对所述第一请求数据包进行加密处理，生成请求加密数据块的具体步骤为：

在所述第一请求数据包上增加包序号和类型，对所得数据包进行非对称加密，获得请求加密数据块。

3.根据权利要求1或2所述的一种跨链路数据传输方法，其特征在于，对所述包长度进行确认、对所述哈希值进行验证，并对所述响应加密数据块进行解密，然后对所得解密结果进行校验，解析校验成功后的响应加密数据块，并将解析结果发送至相应控制侧通信对象的具体步骤为：

首先根据包长度确认所述第二响应数据包是否完整，当确认第二响应数据包为完整的数据包后，验证所述哈希值，当哈希值验证通过后，解密所述响应加密数据块，获得第一解密数据，所述第一解密数据含有包序号、类型和第一响应数据包，对所述第一解密数据进行校验，解析校验成功的第一解密数据中的第一响应数据包；

所述第一响应数据包含有控制侧句柄和响应数据，根据所述控制侧句柄将解析后的第一响应数据包发送至相对应的控制侧通信对象；

当确认第二响应数据包不完整、对哈希值的验证失败、或对第一解密数据的校验失败时，断开USB通信链路，同时向建立在所述USB通信链路上的所有控制侧通信对象发送链路故障的通知。

4.一种跨链路数据传输方法，用于信息侧通过USB通信链路传输数据，其特征在于包括以下步骤：

通过USB通信链路接收控制侧发送的第二请求数据包，所述第二请求数据包含有包长度、请求加密数据块和哈希值，对所述包长度进行确认、对所述哈希值进行验证、并对所述请求加密数据块进行解密，之后对所得解密结果进行校验，解析校验成功后的请求加密数据块，获得待传输数据和控制侧句柄；

根据所述待传输数据执行相应操作，获得操作结果；

根据所述操作结果和所述控制侧句柄生成第一响应数据包，对所述第一响应数据包进行加密处理，生成响应加密数据块；对所述响应加密数据块进行哈希计算，获得相对应的哈希值，并根据所述响应加密数据块和与所述响应加密数据块相对应的哈希值生成第二响应数据包；通过USB通信链路将所述第二响应数据包发送至控制侧。

5.根据权利要求4所述的一种跨链路数据传输方法，其特征在于，根据所述操作结果和所述控制侧句柄生成第一响应数据包，对所述第一响应数据包进行加密处理，生成响应加密数据块的具体步骤为：

在所述第一响应数据包上增加包序号和类型，对所得数据包进行非对称加密，获得响应加密数据块。

6.根据权利要求4或5所述的一种跨链路数据传输方法，其特征在于，对所述包长度进行确认、对所述哈希值进行验证、并对所述请求加密数据块进行解密，之后对所得解密结果进行校验，解析校验成功后的请求加密数据块的具体步骤为：

首先根据包长度确认所述第二请求数据包是否完整，当确认第二请求数据包为完整的数据包后，验证所述哈希值，当哈希值验证通过后，解密所述请求加密数据块，获得第二解密数据，所述第二解密数据含有包序号、类型和第一请求数据包，对所述第二解密数据进行校验，解析校验成功的第二解密数据中的第一请求数据包；

当确认第二请求数据包不完整、对哈希值的验证失败、或对第二解密数据的校验失败时，断开USB通信链路，同时向建立在所述USB通信链路上的所有信息侧通信对象发送链路故障的通知。

7.一种跨链路数据传输系统，应用于控制侧主机中，其特征在于，包括：

获取模块，用于获取待传输数据；

控制侧数据传输模块，用于为预设的控制侧通信对象分配控制侧句柄，再根据所述控制侧句柄和待传输数据生成第一请求数据包；对所述第一请求数据包进行加密处理，生成请求加密数据块；对所述请求加密数据块进行哈希计算，获得相对应的哈希值，并根据所述请求加密数据块和与所述请求加密数据块相对应的哈希值生成第二请求数据包；通过USB通信链路将所述第二请求数据包发送至信息侧；

所述控制侧数据传输模块，还用于通过USB通信链路接收信息侧返回的第二响应数据包，所述第二响应数据包含有包长度、响应加密数据块和哈希值，对所述包长度进行确认、对所述哈希值进行验证，并对所述响应加密数据块进行解密，然后对所得解密结果进行校验，解析校验成功后的响应加密数据块，并将解析结果发送至相应控制侧通信对象。

8.根据权利要求7所述的一种跨链路数据传输系统，其特征在于，控制侧数据传输模块包括控制侧应用层、控制侧传输层、控制侧通信层和控制侧链路层；

所述控制侧应用层，用于为预设的控制侧通信对象分配控制侧句柄，并根据所述控制侧句柄和待传输数据生成第一请求数据包；还用于解析校验成功后的响应加密数据块，并将解析结果发送至相应控制侧通信对象；

所述控制侧传输层，用于对所述第一请求数据包进行加密处理，生成请求加密数据块；还用于对验证成功的响应加密数据块进行解密，然后对所得解密结果进行校验，将解析校验成功后的响应加密数据块发送至控制侧应用层；

所述控制侧通信层，用于对所述请求加密数据块进行哈希计算，获得相对应的哈希值，并根据所述请求加密数据块和与所述请求加密数据块相对应的哈希值生成第二请求数据包；还用于对第二响应数据包中的包长度进行确认，并对哈希值进行验证，将验证成功的响应加密数据块发送至控制侧传输层；

所述控制侧链路层，用于通过USB通信链路将所述第二请求数据包发送至信息侧；还用于通过USB通信链路接收信息侧返回的第二响应数据包，并将所述第二响应数据包发送至控制侧通信层。

9.一种跨链路数据传输系统，应用于信息侧主机中，其特征在于，包括：

信息侧数据传输模块，用于通过USB通信链路接收控制侧发送的第二请求数据包，所述第二请求数据包含有包长度、请求加密数据块和哈希值，对所述包长度进行确认、对所述哈希值进行验证、并对所述请求加密数据块进行解密，之后对所得解密结果进行校验，解析校验成功后的请求加密数据块，获得待传输数据和控制侧句柄；

执行模块，用于根据所述待传输数据执行相应操作，获得操作结果；

所述信息侧数据传输模块，还用于根据所述操作结果和所述控制侧句柄生成第一响应数据包，对所述第一响应数据包进行加密处理，生成响应加密数据块；对所述响应加密数据块进行哈希计算，获得相对应的哈希值，并根据所述响应加密数据块和与所述响应加密数据块相对应的哈希值生成第二响应数据包；通过USB通信链路将所述第二响应数据包发送至控制侧。

10.根据权利要求9所述的一种跨链路数据传输系统，其特征在于，信息侧数据传输模块包括信息侧应用层、信息侧传输层、信息侧通信层和信息侧链路层；

所述信息侧链路层，用于通过USB通信链路接收控制侧发送的第二请求数据包，并将所述第二请求数据包发送至信息侧通信层；还用于通过USB通信链路将所述第二响应数据包发送至控制侧；

所述信息侧通信层，用于对所述第二请求数据包中的包长度进行确认、对哈希值验证，将验证成功的请求加密数据块发送至信息侧传输层；还用于对所述响应加密数据块进行哈希计算，获得相对应的哈希值，并根据所述响应加密数据块和与所述响应加密数据块相对应的哈希值生成第二响应数据包；

所述信息侧传输层，用于对所述请求加密数据块进行解密，然后对所得解密结果进行校验，解析校验成功后的请求加密数据块，获得待传输数据和控制侧句柄，将待传输数据和控制侧句柄发送至信息侧应用层；还用于对第一响应数据包进行加密处理，生成响应加密数据块；

所述信息侧应用层，用于根据待传输数据调用执行模块，获得相应操作结果；还用于根据所述操作结果和所述控制侧句柄生成第一响应数据包。

Images