CN112187722B - 一种基于fpga的安全隔离系统 - Google Patents

Abstract

本发明公开了一种基于FPGA的安全隔离系统，包括：FPGA芯片、高速接口选择模块、低速接口选择模块、多个第一外部设备、多个第二外部设备。其中，高速接口自适应模块、低速接口自适应模块和网络接口自适应模块均包括多个不同接口类型的接口。高速接口选择模块用于当第一外部设备接入时，根据第一接入设备的接口类型和传输速度确定所述高速接口自适应模块的接口，以供高速接口自适应模块根据自身接收数据的协议类型确定接口类型，实现与第一接入设备协议握手，完成高速接口自适应整个流程。本发明具有高度的兼容性和扩展性，适用于不同系统架构下的多种应用场景和需求。

Description

一种基于FPGA的安全隔离系统

技术领域

本发明涉及安全隔离技术领域，尤其涉及一种基于FPGA的安全隔离系统。

背景技术

随着科技的发展，越来越多的工控系统从原来的封闭运行环境走向开发的互联网+环境。安全隔离作为专业的安全网络传输功能，能够在不打破原有物理隔离环境的基础上，实现工业生产网络和开放互联网之间的可控数据交换。现有安全隔离系统可以支持到现成的内外网隔离，每种安全隔离系统都有着自己所适应的接口和协议来配字内外网的接入，达到传输和隔离的作用。

但是，现有的安全隔离系统一般都是对应某类型的接口，其接口类型单一，能适应的设备有限，而且扩展功能局限，灵活度差，使得安全隔离系统实际上能适用的应用场景少，不能大幅度覆盖市面的应用场景。

发明内容

本发明实施例提供一种基于FPGA的安全隔离系统，具有高度的兼容性和扩展性，适用于不同系统架构下的多种应用场景和需求。

2、本发明提供了一种基于FPGA的安全隔离系统，包括：FPGA芯片、高速接口选择模块、低速接口选择模块、多个第一外部设备和多个第二外部设备；

其中，所述FPGA芯片包括：高速接口自适应模块、低速接口自适应模块、控制模块、安全隔离模块和网络接口自适应模块；

所述控制模块分别与所述高速接口自适应模块、低速接口自适应模块、安全隔离模块和网络接口自适应模块连接；

所述安全隔离模块分别与所述高速接口自适应模块、网络接口自适应模块连接；

所述高速接口选择模块分别与所述高速接口自适应模块、所述多个第一外部设备连接；所述低速接口选择模块分别与所述低速接口自适应模块、所述多个第二外部设备连接；

所述高速接口自适应模块、所述低速接口自适应模块和所述网络接口自适应模块均包括多个不同接口类型的接口；其中，接口数量和接口类型根据用户需求而确定；

所述高速接口选择模块用于当所述第一外部设备接入时，根据第一接入设备的接口类型和传输速度确定所述高速接口自适应模块的接口，以供所述高速接口自适应模块根据自身接收数据的协议类型确定接口类型，实现与所述第一接入设备协议握手，完成高速接口自适应整个流程；

所述低速接口选择模块用于当所述第二外部设备接入时，根据第二接入设备的接口类型和接口时序确定所述低速接口自适应模块的接口，以供所述低速接口自适应模块根据自身接收数据的协议类型确定接口类型，实现与所述第二接入设备协议握手，完成低速接口自适应整个流程；

所述安全隔离模块用于在所述高速接口自适应模块完成自适应流程后，将所述第一接入设备上传的业务数据进行安全隔离处理，并将处理后的数据发送给所述网络接口自适应模块，以供所述网络接口自适应模块将处理后的数据发送到外部网络。

进一步的，所述安全隔离模块还用于将所述外部网络下发的数据进行安全隔离处理后，发送给所述高速接口自适应模块，以供所述高速接口自适应模块将下发的数据发送给对应的第一外部设备。

进一步的，所述低速接口自适应模块用于在完成低速接口自适应整个流程之后，将所述第二接入设备上传的控制数据传输给所述控制模块，以使所述控制模块根据所述控制数据执行相应的控制。

进一步的，所述安全隔离模块包括：私有协议单元、SM4加密签名单元和防火墙；

其中，所述私用协议单元用于将FPGA芯片与所述多个第一外部设备之间传输的数据进行私有协议加密和解密；

SM4加密签名单元用于将FPGA芯片与所述外部网络之间传递的数据进行加密签名和解密验签；

所述防火墙用于根据所述外部网络下发的数据包的源mac、目的mac、源ip 和目的ip来设置网络白名单。

进一步的，所述控制模块包括：寄存器读写单元和参数配置单元；

所述高速接口自适应模块根据自身接收数据的协议类型确定接口类型，具体为：

所述高速接口自适应模块将自身接收数据的协议类型传输给所述寄存器读写单元，以供所述寄存器读写单元将该协议类型上报给上位机；

所述上位机控制所述参数配置单元配置相应的参数给所述高速接口自适应模块，以使所述高速接口自适应模块确定接口类型。

进一步的，所述高速接口自适应模块、所述低速接口自适应模块和所述网络接口自适应模块均包括多个不同接口类型的接口，具体为：

所述高速接口自适应模块包括以下类型的一个或多个组合的接口：pcie接口、rgmii接口、sgmii接口、usb接口、cpri接口、sata接口、jesd204b接口；

所述低速接口自适应模块包括以下类型的一个或多个组合的接口：spi接口、 IIC接口、uart接口；

所述网络接口自适应模块包括以下类型的一个或多个组合的接口：rgmii接口、sgmii接口。

进一步的，所述第一外部设备包括：外部内网设备、外部外网设备、外部采集设备或外部存储设备。

进一步的，所述第二外部设备包括：外部控制设备或外部参数配置设备。

由上可见，本发明提供的基于FPGA的安全隔离系统，包括：FPGA芯片、高速接口选择模块、低速接口选择模块、多个第一外部设备、多个第二外部设备。其中，高速接口自适应模块、低速接口自适应模块和网络接口自适应模块均包括多个不同接口类型的接口。高速接口选择模块用于当第一外部设备接入时，根据第一接入设备的接口类型和传输速度确定所述高速接口自适应模块的接口，以供高速接口自适应模块根据自身接收数据的协议类型确定接口类型，实现与第一接入设备协议握手，完成高速接口自适应整个流程。相比于现有技术的接口单一且扩展性差的安全隔离系统，本发明具有高度的兼容性和扩展性，适用于不同系统架构下的多种应用场景和需求。

附图说明

图1是本发明提供的基于FPGA的安全隔离系统的一种实施例的结构示意图；

图2是本发明提供的基于FPGA的安全隔离系统的另一种实施例的结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

参见图1，图1是本发明提供基于FPGA的安全隔离系统的一种实施例的结构示意图。如图1所示，本发明的安全隔离系统包括：FPGA芯片101、高速接口选择模块201、低速接口选择模块301、多个第一外部设备401和多个第二外部设备501。其中，FPGA芯片101包括：高速接口自适应模块1011、低速接口自适应模块1012、控制模块1013、安全隔离模块1014和网络接口自适应模块1015。控制模块1013分别与高速接口自适应模块1011、低速接口自适应模块1012、安全隔离模块1014和网络接口自适应模块1015连接。安全隔离模块1014分别与高速接口自适应模块1011、网络接口自适应模块1014连接。

在本实施例中，高速接口选择模块201分别与高速接口自适应模块1011、多个第一外部设备401连接。低速接口选择模块3分别与低速接口自适应模块1012、多个第二外部设备501连接。高速接口自适应模块1011、低速接口自适应模块 1012和网络接口自适应模块1015均包括多个不同接口类型的接口；其中，接口数量和接口类型根据用户需求而确定。

在本实施例中，高速接口自适应模块1011包括以下类型的一个或多个组合的接口：pcie接口、rgmii接口、sgmii接口、usb接口、cpri接口、sata接口、 jesd204b接口。本发明都使用了FPGA内部高速收发器来做集成，应对不同的传输协议，对传输速率有一定的要求，可以根据外接设备的接口及速率要求来做选择性适配，通过标准协议来达成握手，相互之间高速稳定的互传数据。

在本实施例中，低速接口自适应模块1012包括以下类型的一个或多个组合的接口：spi接口、IIC接口、uart接口。本发明通过控制FPGA内部的可读写寄存器来获取FPGA的状态信息及对FPGA进行功能配置，对传输速率的要求不高， FPGA的普通IO引脚可以随意分配来实现。

在本实施例中，网络接口自适应模块1015包括以下类型的一个或多个组合的接口：rgmii接口、sgmii接口。网络接口自适应模块1015是选择适应外部网络协议，达到将FPGA芯片的数据传输到网上及云端，网络协议可以但不限于 tcp/ip、http、https、mqtt、UDP和smtp协议。

在本实施例中，高速接口选择模块201用于当第一外部设备接入时，根据第一接入设备的接口类型和传输速度确定高速接口自适应模块1011的接口，以供高速接口自适应模块1011根据自身接收数据的协议类型确定接口类型，实现与第一接入设备协议握手，完成高速接口自适应整个流程。上述步骤具体为：当第一外部设备接入时，高速接口选择模块201将接收数据分发到不同协议，由高速接口自适应模块1011针对每个协议的内部状态反馈来判断协议类型，从而将正确的协议类型通过1013寄存器读写模块上报给上位机，上位机再通过下发参数配置来确定高速接口类型，实现与第一接入设备协议握手，完成高速接口自适应整个流程。

同样的，低速接口选择模块301用于当第二外部设备接入时，根据第二接入设备的接口类型和接口时序确定低速接口自适应模块1012的接口，以供低速接口自适应模块1012根据自身接收数据的协议类型确定接口类型，实现与第二接入设备协议握手，完成低速接口自适应整个流程。

在本实施例中，低速接口自适应模块301用于在完成低速接口自适应整个流程之后，将第二接入设备上传的控制数据传输给控制模块1013，以使控制模块 1013根据所述控制数据执行相应的控制。

在本实施例中，安全隔离模块1014用于在高速接口自适应模块1011完成自适应流程后，将第一接入设备上传的业务数据进行安全隔离处理，并将处理后的数据发送给网络接口自适应模块1015，以供网络接口自适应模块1015将处理后的数据发送到外部网络。

此外，安全隔离模块1014还用于将外部网络下发的数据进行安全隔离处理后，发送给高速接口自适应模块1011，以供高速接口自适应模块1011将下发的数据发送给对应的第一外部设备。

作为本实施例的一种举例，安全隔离模块1014包括：私有协议单元、SM4 加密签名单元和防火墙。其中，私用协议单元用于将FPGA芯片与多个第一外部设备之间传输的数据进行私有协议加密和解密，实现隔离作用，使第一外部设备与FPGA之间的传输数据都包裹着一层私有协议，实现FPGA隔离不同系统间的数据直传，数据传输更加安全。私有协议一般由FPGA系统人员制定，外接设备人员做适应性调整。

SM4加密签名单元用于将FPGA芯片与所述外部网络之间传递的数据进行加密签名和解密验签，SM4加密签名单元主要负责对数据进行加密和签名的保护，上行数据在FPGA芯片内加密和签名，在外部网络进行解密和验签，下行数据在外部网络进行加密和签名，在FPGA芯片进行解密和验签，以此来保障数据传输的安全性。

防火墙用于根据外部网络下发的数据包的源mac、目的mac、源ip和目的ip 来设置网络白名单。防火墙能够通过设置白名单防止外部的非法数据的攻击。

在本实施例中，控制模块1013包括：寄存器读写单元和参数配置单元。其中，高速接口自适应模块1011根据自身接收数据的协议类型确定接口类型，具体为：高速接口自适应模块1011将自身接收数据的协议类型传输给寄存器读写单元，以供寄存器读写单元将该协议类型上报给上位机。上位机控制参数配置单元配置相应的参数给 高速接口自适应模块1011，以使高速接口自适应模块1011 确定接口类型。

在本实施例中，第一外部设备包括：外部内网设备、外部外网设备、外部采集设备或外部存储设备。第二外部设备包括：外部控制设备或外部参数配置设备。

作为本实施例的一种举例，参见图2，图2是本发明提供的基于FPGA的安全隔离系统的另一种实施例的结构示意图。如图2所示，该系统包括：外部设备(内网)01、外部设备(外网)02、外部设备(采集)03、外部设备(存储)04、高速接口选择模块05、高速接口自适应模块06、私有协议模块07、SM4加密签名模块08、防火墙09、数据传递路径选择模块10、网络接口自适应模块11、外部网络12、寄存器读写模块13、内部低速接口选择模块14、参数配置模块15、低速接口自适应模块16、外部设备(控制)17、低速接口选择模块18和外部设备 (参数配置)19。

其中，该系统按功能可分为业务数据传输和控制数据传输。

业务数据传输以此连接外部设备01－04、高速接口选择模块05、高速接口自适应模块06、私有协议模块07、SM4加密签名模块08、防火墙09、数据传递路径选择模块10、网络接口自适应模块11和外部网络12。

外部设备01－04，可以是内网系统设备、外网系统设备、采集端设备和存储设备，无论那种设备都可以选择高速接口进行接口连通和数据传输，其选择依据是根据外部设备的接口类型和传输速率觉得，FPGA芯片来做自适应调节。例如 X86端支持接口为Pcie2.0，传输速率为5.0Gpbs，fpga则同样使用Pcie2.0，传输速率为5.0Gpbs。

具体的，外部设备(内网)01是企业内部网络的系统设备，其与FPGA相连接的作用是将内部采集或分析配置的数据传递给FPGA，通过高速接口可以减少时延，达到实时传输。

外部设备(外网)02是连接了外部公共网络的系统设备，其与FPGA相连接的作用是将FPGA内部的数据分发到外部系统上，也可以通过外网设备上传到在外部网络12的云端服务器。

外部设备(采集)03是FPGA连接需要获取数据的设备，也是业务数据源，其可以连接内网设备，通过内网设备将数据传递给FPGA，也可以直接连接FPGA 来进行数据传输，具体选择方式按照实际需求而定。

外部设备(存储)04是将FPGA内部接收到的数据进行缓存使用。

高速接口选择模块05主要是根据外部设备的接口类型和传输速度来确定FPGA内部所适应的接口。

高速接口自适应模块06集成了多种高速接口的协议，在接入时，将接收数据分发到不同协议，有高速接口自适应模块06针对每个协议的内部状态反馈来判断协议类型，从而将正确的协议类型通过寄存器读写模块13上报给上位机。上位机再通过参数配置模块15下发参数配置来确定高速接口类型，完成协议握手，从而完成高速接口自适应整个过程。

私有协议模块07主要负责隔离作用，设备与FPGA之间的传输数据都包裹着一层私有协议，可以实现FPGA隔离不同系统间的数据直传。

SM4加密签名模块08主要负责对数据进行加密和签名的保护，以此来保障传输数据的安全性。

防火墙09主要根据数据包的源mac、目的mac、源ip、目的ip来设置白名单来防止外部的非法数据的攻击。

数据传递路径选择模块10是选择将外部设备获取到的数据进行直接传递，还是选择传输回到高速接口自适应模块06做设备间的数据传输，选择根据场景布局和需求而决定。

网络接口自适应模块11依据设计和资源用量来灵活选择，其功能是将FPGA 系统与外部网络12连接，可将FPGA内部数据上传到云端。

上述说明为业务数据传输功能的详述。

控制数据传输依次连接外部设备(控制)17、外部设备(参数配置)19、低速接口选择模块18、低速接口自适应模块16、内部低速接口选择模块14、寄存器读写模块13、参数配置模块15。

具体的，外部设备(控制)17主要实现上位机主要，通过接口对FPGA内部的寄存器进行操作，上位机为master，fpga为slave，fpga的寄存器分为可读寄存器和可读写寄存器，可读寄存器作用是将fpga内部的一些状态信息传递给上位机，可读写寄存器作用是上位机用来配置一些fpga的参数，从而达到SOC 中的系统控制作用。

外部设备(参数配置)19主要是传输设备间的一些计算的参数传递而预留的。

低速接口选择模块18主要是根据外部设备17和19的接口类型来设置低速接口自适应模块16的自适应。

低速接口自适应模块16集成了多种低速接口的协议，在接入时，将接收数据分发到不同协议，由低速接口自适应模块16针对每个协议的内部状态反馈来判断协议类型，从而将正确的协议类型通过寄存器读写模块13上报给上位机。上位机再通过参数配置模块15下发参数配置来确定低速接口类型，完成协议握手，从而完成低速接口自适应整个过程。

内部低速接口选择模块14是FPGA内部根据设计的低速接口来做相应的时序及对应协议，具体流程为：外接设备提供具体的接口类型，FPGA按照接口类型来做标准的接口时序，例如设备提供的接口为spi接口，时序为行业标准时序，fpga 端则也选用spi接口与其对应，使用行业标准时序。

寄存器读写模块13是设计FPGA内部的可读寄存器和可读写寄存器，与外部设备(控制)17功能相适应。

参数配置模块15是设计FPGA内部参数收发的逻辑模块，与外部设备(参数配置)19功能相适应。

上述说明为控制数据传输功能的详述。

综上所述，本发明具有以下的改进和优点：

1.利用fpga设计传输系统，各种功能可以灵活设计；

2.fpga设计的高速、低速接口丰富，可以自由选择类型和数量来适应多种外部设备和构成不同的系统架构，适应多种应用场景和需求；

3.fpga的接口设计具有高度的兼容性和扩展性，可以兼容不同的外部设备，可以扩展更多的功能。

需说明的是，以上所描述的装置实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。另外，本发明提供的装置实施例附图中，模块之间的连接关系表示它们之间具有通信连接，具体可以实现为一条或多条通信总线或信号线。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。

以上所述是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也视为本发明的保护范围。

Claims (6)

1.一种基于FPGA的安全隔离系统，其特征在于，包括：FPGA芯片、高速接口选择模块、低速接口选择模块、多个第一外部设备和多个第二外部设备；

其中，所述FPGA芯片包括：高速接口自适应模块、低速接口自适应模块、控制模块、安全隔离模块和网络接口自适应模块；

所述控制模块分别与所述高速接口自适应模块、低速接口自适应模块、安全隔离模块和网络接口自适应模块连接；

所述安全隔离模块分别与所述高速接口自适应模块、网络接口自适应模块连接；

所述高速接口选择模块分别与所述高速接口自适应模块、所述多个第一外部设备连接；所述低速接口选择模块分别与所述低速接口自适应模块、所述多个第二外部设备连接；

所述高速接口自适应模块、所述低速接口自适应模块和所述网络接口自适应模块均包括多个不同接口类型的接口；其中，接口数量和接口类型根据用户需求而确定；

所述高速接口选择模块用于当所述第一外部设备接入时，根据第一接入设备的接口类型和传输速度确定所述高速接口自适应模块的接口，以供所述高速接口自适应模块根据自身接收数据的协议类型确定接口类型，实现与所述第一接入设备协议握手，完成高速接口自适应整个流程；

所述低速接口选择模块用于当所述第二外部设备接入时，根据第二接入设备的接口类型和接口时序确定所述低速接口自适应模块的接口，以供所述低速接口自适应模块根据自身接收数据的协议类型确定接口类型，实现与所述第二接入设备协议握手，完成低速接口自适应整个流程；所述低速接口自适应模块用于在完成低速接口自适应整个流程之后，将所述第二接入设备上传的控制数据传输给所述控制模块，以使所述控制模块根据所述控制数据执行相应的控制；

所述安全隔离模块用于在所述高速接口自适应模块完成自适应流程后，将所述第一接入设备上传的业务数据进行安全隔离处理，并将处理后的数据发送给所述网络接口自适应模块，以供所述网络接口自适应模块将处理后的数据发送到外部网络；所述安全隔离模块还用于将所述外部网络下发的数据进行安全隔离处理后，发送给所述高速接口自适应模块，以供所述高速接口自适应模块将下发的数据发送给对应的第一外部设备。

2.根据权利要求1所述的基于FPGA的安全隔离系统，其特征在于，所述安全隔离模块包括：私有协议单元、SM4加密签名单元和防火墙；

其中，所述私有协议单元用于将FPGA芯片与所述多个第一外部设备之间传输的数据进行私有协议加密和解密；

SM4加密签名单元用于将FPGA芯片与所述外部网络之间传递的数据进行加密签名和解密验签；

所述防火墙用于根据所述外部网络下发的数据包的源mac、目的mac、源ip和目的ip来设置网络白名单。

3.根据权利要求1所述的基于FPGA的安全隔离系统，其特征在于，所述控制模块包括：寄存器读写单元和参数配置单元；

所述高速接口自适应模块根据自身接收数据的协议类型确定接口类型，具体为：

所述高速接口自适应模块将自身接收数据的协议类型传输给所述寄存器读写单元，以供所述寄存器读写单元将该协议类型上报给上位机；

所述上位机控制所述参数配置单元配置相应的参数给 所述高速接口自适应模块，以使所述高速接口自适应模块确定接口类型。

4.根据权利要求1至3任意一项所述的基于FPGA的安全隔离系统，其特征在于，所述高速接口自适应模块、所述低速接口自适应模块和所述网络接口自适应模块均包括多个不同接口类型的接口，具体为：

所述高速接口自适应模块包括以下类型的一个或多个组合的接口：pcie接口、rgmii接口、sgmii接口、usb接口、cpri接口、sata接口、jesd204b接口；

所述低速接口自适应模块包括以下类型的一个或多个组合的接口：spi接口、IIC接口、uart接口；

所述网络接口自适应模块包括以下类型的一个或多个组合的接口：rgmii接口、sgmii接口。

5.根据权利要求4所述的基于FPGA的安全隔离系统，其特征在于，所述第一外部设备包括：外部内网设备、外部外网设备、外部采集设备或外部存储设备。

6.根据权利要求4所述的基于FPGA的安全隔离系统，其特征在于，所述第二外部设备包括：外部控制设备或外部参数配置设备。

Images