CN114611133A - 存储设备及其数据存储管理方法 - Google Patents

Abstract

本申请公开一种存储设备及其数据存储管理方法，所述存储设备包括：存储模块，包括本地存储空间和可扩展存储空间，所述本地存储空间用于存储本地的数据文件，所述可扩展存储空间用于存储网络地址索引文件，所述网络地址索引文件指向存储于云端存储空间内的数据文件所对应的云端存储地址；身份认证模块，用于认证用户身份；设置模块，与所述身份认证模块和所述存储模块连接，用于设置所述可扩展存储空间的显示属性，并根据所述身份认证模块的认证结果，调整所述可扩展存储空间的显示属性。所述存储设备通过云端存储系统拓展了存储空间。

Description

存储设备及其数据存储管理方法

技术领域

本申请涉及存储技术领域，具体涉及一种存储设备及其数据存储管理方法。

背景技术

在现有技术中，用户通常会在随身携带的存储设备中存储大量的文件，所述存储设备通常包括U盘、移动硬盘、手机等，这些文件中，包括用户经常使用的文件，也包含存储时间长的文件，例如，存储在其中超过一年、两年甚至更久的文件，而由于存储设备中的存储空间有限，这些存储时间过长的文件用户并不经常使用，久而久之，便会占用存储空间，如果存储设备中的存储空间被填满，便无法再存储更多的文件，需要及时清理文件，否则会影响存储设备的使用。若是直接清理存储时间过长的文件，又会不小心的把一些重要文件直接清理掉，造成用户的损失。

随着科技的发展，信息系统正在从以计算为核心转向以数据为核心，海量存储将成为国家信息化的核心组成部分。目前，信息资源呈几何级数的速度增长，涉及的不仅包括文本、图像，还有语音、视频等多媒体信息。因此，众多部门和单位都开始部署自己的数据中心，实现海量数据的集中式存储、分析和共享。现有的数据中心中的数据存储方式是云存储技术，非常适合海量信息的存储，因此能为信息中心提供很方便的解决方案，实现数据的集中式存储和共享。

但是现有的此类的数据存储方式太过粗糙，其并没有对数据在本地化的存储和云存储进行有效管理，其不但耗费了大量的设备投入，而且对数据缺乏有效地管理；同时，也对存储于存储设备中的数据安全问题也有了要求，如何防止数据被非法访问，防止存储设备被盗、遗失而引发的泄密问题。基于此，本发明提出一种存储设备及其数据存储方法、云端存储系统来解决数据的存储解决数据在存储设备中的合理化存储，提高存储设备的利用率，有效地保护了存储设备中的数据安全。

发明内容

鉴于此，本申请提供一种存储设备及其数据存储管理方法，以解决现有的存储设备的存储空间有限的问题。

本申请提供一种存储设备，包括：存储模块，包括本地存储空间和可扩展存储空间，所述本地存储空间用于存储本地的数据文件，所述可扩展存储空间用于存储网络地址索引文件，所述网络地址索引文件指向存储于云端存储空间内的数据文件所对应的云端存储地址；身份认证模块，用于认证用户身份；设置模块，与所述身份认证模块和所述存储模块连接，用于设置所述可扩展存储空间的显示属性，并根据所述身份认证模块的认证结果，调整所述可扩展存储空间的显示属性。

可选的，所述身份认证模块包括：指纹识别单元和认证单元；所述指纹识别单元的指纹识别窗口设置于所述存储设备表面，用于获取操作者指纹；所述认证单元用于将获取的操作者指纹与预设的识别指纹进行比较，对用户身份进行认证；或者，所述身份认证模块包括：手势识别单元和认证单元，所述手势识别单元用于获取操作者手势；手势认证单元用于将操作者手势与预设的识别手势进行比较，对用户身份进行认证。

可选的，所述可扩展存储空间默认的显示属性为隐藏；所述设置模块根据所述认证结果调整所述可扩展存储空间的显示属性包括：当认证通过时，所述设置模块用于将所述可扩展存储空间的显示属性设置为公开；若认证不通过，所述设置模块用于将所述可扩展存储空间的显示属性调整为隐藏。

可选的，所述存储模块还包括认证信息存储空间，用于存储用户的身份认证信息。

可选的，所述存储设备包括控制模块，连接至所述存储模块，用于对可扩展存储空间内的数据进行加解密操作。

可选的，所述身份认证模块与所述控制模块之间采用会话密钥认证以建立信号传输通路，并对传输数据进行加密。

可选的，包括：数据传输模块，用于在设备本地与云端存储系统之间进行数据传输，将本地的满足预设条件的数据文件上传至云端存储系统，并根据云端存储系统反馈的云端存储地址，形成编辑有所述云端存储地址的网络地址索引文件，存储至所述可扩展存储空间内；和/或，所述数据传输模块还用于响应对网络地址索引文件的操作，访问对应的云端存储地址；和/或，所述数据传输模块还用于响应对网络地址索引文件的操作下载对应的云端存储地址内的数据文件。

可选的，所述数据传输模块用于通过外部已联网的终端设备与所述云端存储系统之间建立数据传输路径。

可选的，所述存储模块还包括缓存空间，用于在所述数据传输模块进行数据传输时，对数据进行缓存。

可选的，所述存储设备上传的数据文件被集中或分布式存储于所述云端存储系统内；所述数据传输模块在下载云端存储地址内的数据文件时，用于直接从云端存储系统下载完整的数据文件，或者获取多个数据块后对所述多个数据块进行数据拼接获取完整的数据文件。

本申请还提供一种存储设备的数据存储管理方法，包括：所述存储设备的存储空间在逻辑或物理上划分为本地存储空间和可扩展存储空间，所述本地存储空间用于存储本地的数据文件，所述可扩展存储空间用于存储网络地址索引文件，所述网络地址索引文件指向存储于云端存储空间内的数据文件所对应的云端存储地址；所述数据存储管理方法包括：认证用户身份；根据认证结果调整所述可扩展存储空间的显示属性。

可选的，还包括：判断设备本地存储的数据文件是否满足预设条件；将满足预设条件的数据文件上传至云端存储系统，并获取云端存储系统返回的该数据文件在云端存储空间内的云端存储地址；在所述可扩展存储空间内存储与上传的数据文件对应的网络地址索引文件，所述网络地址索引文件指向该数据文件的云端存储地址；响应对网络地址索引文件的操作，访问对应的云端存储地址和/或下载对应的云端存储地址内的数据文件。

本申请上述存储设备具有身份识别模块通过身份认证，向认证用户展示可扩展存储空间，在解决现有存储设备存储空间有限的问题的同时，进一步方便文件管理以及提供数据隐私保护。

进一步，所述编写存储设备还包括控制模块，用于对可扩展存储空间内的数据进行加解密操作，提高数据的隐私保护性。

进一步，所述控制模块与身份认证模块之间采用会话密钥认证以建立信号传输通路，并对传输数据进行加密，可以降低通信指令被非法用户截取并破解的可能性，增强了加密通信的可靠性与抗攻击能力，提升了通信安全性。

进一步的，存储设备的数据传输模块用于将符合条件数据文件上传至云端存储系统，并形成地址索引文件，存储于可扩展存储空间内，使得可扩展存储空间内的存储文件量基本不受本地存储空间的限制，解决现有存储设备存储空间有限的问题。

附图说明

为了更清楚地说明本申请实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的一些实施例，对于本领域技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是本申请一实施例的存储设备的结构示意图；

图2是本申请一实施例的存储设备的存储模块的结构示意图；

图3是本申请一实施例的存储设备的结构示意图；

图4a是本申请一实施例的存储设备的存储空间的显示示意图；

图4b是本申请一实施例的存储设备的存储空间的显示示意图；

图5是本申请一实施例的存储设备的结构示意图；

图6是本申请一实施例的存储设备的结构示意图；

图7是本申请一实施例的存储设备的存储模块的结构示意图；

图8是本申请一实施例的云端存储系统的结构以及与存储设备之间进行数据传输的示意图；

图9是本申请一实施例的云端存储系统的结构以及与存储设备之间进行数据传输的示意图；

图10是本申请一实施例的存储设备的数据存储管理方法的流程示意图；

图11是本申请一实施例的存储设备的数据存储管理方法中形成网络地址索引文件的流程示意图。

具体实施方式

下面结合附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅是本申请一部分实施例，而非全部实施例。基于本申请中的实施例，本领域技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。在不冲突的情况下，下述各个实施例及其技术特征可以相互组合。

请参考图1，为本发明一实施例的存储设备的结构示意图。

该实施例中，所述存储设备特别是指U盘、移动硬盘、移动设备、SD卡、TF卡等，具备存储空间的便携设备。其他实施例中，所述存储设备也可以是其他类型的具被存储空间的非便携设备。

具体的，所述存储设备包括：存储模块110和身份认证模块130。

请结合参考图2，所述存储模块110，包括本地存储空间111、可扩展存储空间113以及认证信息存储空间114。图2为存储空间的逻辑划分示意图。所述本地存储空间111用于存储本地的数据文件FAT，所述可扩展存储空间113用于存储网络地址索引文件INDEX，所述网络地址索引文件INDEX指向存储于云端存储空间内的数据文件所对应的云端存储地址。所述认证信息存储空间114用于存储身份认证信息，所述存储身份认证信息包括认证用户的识别指纹、识别手势等预设的与用户身份对应的认证信息。

所述存储模块110包括非易失性的存储芯片，通常采用闪存作为存储介质，可以与终端进行数据交互，易于便携存储数据。所述云端存储地址可以是一个网络地址，包括服务器IP号等必要的信息，以便能够通过该云端存储地址直接访问到数据文件。

所述存储模块110内的存储芯片的存储空间包括：本地存储空间111、可扩展存储空间113以及认证信息存储空间114既可以是逻辑上的划分，也可以是物理上的划分。例如，将存储空间从逻辑上划分为三个存储区域，每个存储区域映射至存储器的一定范围内的存储地址；或者，所述存储模块110包括三块存储芯片，分别作为本地存储空间、可扩展存储空间以及认证信息存储空间114；或者，当所述存储模块110具有多个存储芯片时，依旧对存储空间划分为逻辑上的三个存储区域，每个存储区域可以对应于单个存储芯片或多个存储芯片内的实际存储地址。

所述身份认证模块130，用于认证用户身份，判断当前操作者是否为授权用户。

在一个实施例中，所述身份认证模块130包括：指纹识别单元和认证单元；所述指纹识别单元的指纹识别窗口设置于所述存储设备表面，用于获取操作者指纹；所述认证单元用于将获取的操作者指纹与预设的识别指纹进行比较，对用户身份进行认证。当操作者指纹与预设的识别指纹匹配，则认证通过。所述预设的识别指纹与授权用户之间一一对应。

在一个实施例中，身份认证模块130，由指纹传感器和指纹算法芯片构成，用于指纹录入、指纹存储与指纹比对。所述指纹识别单元和认证单元功能可以被集成于指纹传感器和/或指纹算法芯片内。具体的，本实施例采用按压式指纹传感器，用户只需将手指放置到指纹识别窗口区域，即可完成对指纹的录入。指纹算法芯片负责用户注册指纹模板的生成、保存与加解密，并对录入指纹进行图像处理，与已注册指纹模板进行对比后，将对比结果传输至主控芯片。为了保证存储数据的安全性，还在指纹算法芯片中存放了用于数据硬件加密的数据密钥和加密算法。

请参考图3，在一个实施例中的存储设备的示意图。该实施例中，所述存储设备100为U盘，所述存储设备100的身份认证模块包括指纹识别单元，所述指纹识别单元的指纹识别窗口101位于所述存储设备表面。特别的，所述指纹识别窗口101位于存储设备100的手持部位，便于获取指纹。当操作者指纹与预设的识别指纹匹配，则认证通过。所述预设的识别手势与授权用户之间一一对应。

在其他实施例中，所述存储设备可以包括其他生物特征识别模块，例如掌纹识别、虹膜识别等，优选的为指纹识别。

所述存储设备100可以具有内置电源，给所述身份认证模块130提供工作电源，或者在所述存储设备100连接至终端时，由所述终端通过连接接口向所述身份认证模块130提供工作电源。

在其他实施例中，所述身份认证模块130可以包括：手势识别单元和认证单元，所述手势识别单元用于获取操作者手势；手势认证单元用于将操作者手势与预设的识别手势进行比较，对用户身份进行认证。当操作者手势与预设的识别手势匹配，则认证通过。所述预设的识别手势与授权用户之间一一对应。

所述手势识别单元可以包括压力传感器、超声波传感器、光学传感器等，用于获取操作者的手势。所述手势可以是特定的敲击操作、滑动操作、按压等触控操作，还可以是非接触的特定手势动作，例如挥手、握拳等。特定的手势组合，可以与用户身份之间建议对应关系，从而用于身份认证。

在其他实施例中，所述身份认证模块130可以包括多种识别模式，结合生物特征以及手势识别，进行身份认证。

上述识别指纹、识别手势等预设的身份特定信息可以预存储于所述所述存储模块110的认证信息存储空间114内。

继续参考图1，所述设置模块140，与所述存储模块110和所述身份认证模块130连接，用于设置所述可扩展存储空间113的显示属性，并根据所述身份认证模块130的认证结果，调整所述可扩展存储空间113的显示属性。

当所述存储设备接入到终端后，可以通过终端设备查看所述存储设备内的存储空间，当存储空间的显示属性为隐藏属性时，该存储空间隐藏，无法查看，只有当显示属性为公开属性时，才能查看并使用该存储空间。

在默认状态下，所述本地存储空间111的显示属性为公开，而所述可扩展存储空间113的显示属性为隐藏。所述设置模块140根据所述认证结果调整所述可扩展存储空间的显示属性，包括：当认证通过时，所述设置模块140用于将所述可扩展存储空间113的显示属性设置为公开；若认证不通过，所述设置模块140用于将所述可扩展存储空间113的显示属性调整为隐藏。

在身份认证未通过，或者未进行认证的情况下，仅能够通过终端查看到本地存储空间111，请参考图4a，通过终端的显示界面500，仅能查看到其中的本地存储空间111。而在身份认证通过后，则能够同时查看到所述本地存储空间111和所述可扩展存储空间113，请参考图4b。图4a和图4b中，以不同的磁盘显示所述本地存储空间111和可扩展存储空间113，其他实施例中，可以将本地存储空间通过多个磁盘显示，也可以将可扩展存储空间113通过多个磁盘显示；在其他实施例中，也可以是以同一磁盘空间内的不同文件夹来区分所述本地存储空间111和所述可扩展存储空间113。

所述可扩展存储空间113内，可以包括多个子存储空间，不同的子存储空间可以对应于不同的授权用户，通过用户身份认证，调整各个存储空间的显示属性，开放与用户身份对应的部分可扩展存储空间。

用户在查看所述存储设备100内的存储内容时，如果需要查看所述可扩展存储空间113内的内容，可以通过所述身份识别模块130进行身份认证，身份认证通过后，将对应的可扩展存储空间113的显示属性调整为公开，从而可以通过终端查看到可扩展存储空间113。

未授权用户无法查看到可扩展存储空间113内的文件，无法获取云端存储的数据文件，可以保护数据的隐私性；另一方面，由于通常将不常使用的文件上传至云端，因此所述可扩展存储空间113内的文件通常为使用频率较低的文件所对应的索引文件，隐藏状态下可以减少平时使用时显示的数据文件量，方便进行文件管理，也可以避免造成对索引文件的误删；仅在需要的时候，通过身份认证来显示隐藏的空间。

请参考图5，为本发明另一实施例的存储设备的结构示意图。

所述存储设备110还可以包括控制模块150，所述控制模块150可以为独立于存储芯片以外的单独的控制芯片，也可以是集成于所述存储芯片内。为了保护存储设备中的数据存储安全，所述控制模块150为用来加密存储设备的核心控制芯片，其支持USB协议，包括USB设备描述、USB端口以及各种SCSI命令协议，同时还负责数据的加解密读写，以及加密传输上位机与身份认证模块130间的通信指令。

请结合参考图2，认证信息存储空间114用于存储指纹，该分区对用户保持可见，用户可在分区中打开指纹管理软件对指纹信息进行管理，但用户只能读不能写；本地存储空间111是用于存储本地的数据文件FAT，控制模块150不会对该区域数据进行加解密，用户可在该分区中存放不重要与不私密的文件；可扩展存储空间113需要待用户身份认证成功后才能显示及正常使用，该存储区对于未经过身份认证的用户是不可见的，控制模块150根据身份认证模块发送的指令对可扩展存储空间113内的数据进行加解密操作。可扩展存储空间113用于存储网络地址索引文件INDEX，所述网络地址索引文件INDEX指向存储于云端存储空间内的数据文件所对应的云端存储地址。

进一步，为了防止通过置换指纹算法芯片获取主控芯片数据进而获取存储芯片中存储的数据，本实施例通过加密算法将身份认证模块130的指纹算法芯片和控制模块150的主控芯片进行绑定，使得两者的关系是唯一的对应关系，其效果是存储设备每次通电工作，主控芯片与指纹算法芯片首先需要进行身份认证，只有当身份认证成功后才能进入下一步。身份认证过程是将主控芯片与指纹算法芯片中根密钥生成的认证数据进行对比，对比成功才能完成认证。该设计可使指纹算法芯片与主控芯片相互进行唯一的身份绑定认证，从而排除了通过置换指纹算法芯片获取主控芯片数据进而获取存储芯片中存储的数据。

主控芯片与指纹算法芯片间的指令都要使用会话密钥并经过加密算法加密传输，因每次上电后的会话密钥均由不同随机数运算生成。会话密钥存储在RAM中，当指纹芯片掉电时，会话密钥随之丢失，故在最大程度上降低了通信指令被非法用户截取并破解的可能性，增强了加密通信的可靠性与抗攻击能力，提升了通信安全性。

为了防止非法用户采用特殊手段对存储芯片中认证信息存储空间114的数据进行盗取，认证信息存储空间114中的数据均通过控制模块150，使用数据密钥进行加密算法加密后再存储。硬件加密使用的数据密钥是出厂量产时由主控芯片发送命令、指纹算法芯片产生的随机数。该数据密钥存储在指纹算法芯片中，只有当用户指纹比对成功后，控制模块150的主控芯片才能发送命令获取数据密钥，并以该数据密钥对第三存储区数据进行加解密。

进一步，本实施例还提出一种主控芯片与指纹算法芯片间的身份绑定认证方法，其具体步骤如下：

(1)发送随机数。主控芯片发送16Byte第一随机数到指纹算法芯片，指纹算法芯片发送16Byte第二随机数到主控芯片，所述两个随机数的大小为16Byte或32Byte。

(2)获取认证数据。指纹算法芯片将第一随机数与根密钥进行异或运算操作得到的数值作为密钥，对根密钥进行加密运算得到认证数据，之后指纹算法芯片将认证数据发送到主控芯片进行校验对比；主控芯片将第二随机数与根密钥进行异或运算操作得到的数值作为密钥，对根密钥进行加密运算得到认证数据，之后主控芯片将认证数据发送到指纹算法芯片进行校验对比。

(3)对比认证数据。主控芯片和指纹算法芯片均对自身计算出的认证数据与收到的认证数据进行对比。相同则认证通过，不同则认证失败，认证通过后开始生成会话密钥用于主控芯片与指纹算法芯片间的通信。

(4)会话密钥生成。指纹算法芯片与主控芯片都将第一随机数与第二随机数进行异或运算操作得到的数值作为密钥，对第二随机数再进行加密运算得到会话密钥。

主控芯片与指纹算法芯片间的指令都要使用会话密钥并经过加密传输，因每次上电后的会话密钥均由不同随机数运算生成。会话密钥存储在RAM中，当指纹芯片掉电时，会话密钥随之丢失，故在最大程度上降低了通信指令被非法用户截取并破解的可能性，增强了加密通信的可靠性与抗攻击能力，提升了通信安全性。

进一步，为了防止非法用户采用特殊手段对存储芯片中可扩展存储空间113的数据进行盗取，可扩展存储空间113中的数据均通过主控芯片，使用数据密钥进行加密后再存储。硬件加密使用的数据密钥是出厂量产时由主控芯片发送命令、指纹算法芯片产生的随机数。该数据密钥存储在指纹算法芯片中，只有当用户指纹比对成功后，主控芯片才能发送命令获取数据密钥，并以该数据密钥对第三存储区中的数据进行加解密。

进一步，为了让用户方便、安全地管理指纹信息，本实施例还设计了一个指纹管理软件。该软件保存在存储芯片本地存储空间111中，并具有以下功能：①指纹录入功能：控制指纹模组，录入新的指纹模板；②指纹比对功能：检阅指纹库中是否已存储指纹模板；③恢复出厂设置功能：清除第三存储区内所有数据，恢复出厂设置。以上所有功能都需要指纹认证成功后才能执行。

本实施例进一步提出一种指纹注册与对比方法，在完成主控芯片与指纹算法芯片间的身份绑定认证后，用户通过指纹管理软件透传加密并发送注册命令到指纹识别模组，对传感器循环进行N次按压以采集完整的指纹信息，完成指纹注册。单次指纹注册具体流程为：指纹管理软件发送采集命令给指纹算法芯片，指纹算法芯片发送指纹采集命令给指纹传感器，指纹传感器采集指纹图像，并传输给指纹算法芯片；指纹算法芯片对采集到的指纹图像进行处理，提取指纹模板，对指纹模板进行加密并保存在指纹算法芯片内。软件界面在指纹采集过程中不断给予用户指纹图像采集进度的提示，在用户采集成功或失败时也会给予提示。

在身份绑定认证通过且指纹注册成功后，指纹存储设备的指纹比对过程为：上电后主控芯片对指纹模组发送比对命令，指纹传感器开始采集指纹图像并传输给指纹算法芯片；指纹算法芯片对加密的指纹模板进行解密，并对采集的指纹图像进行处理；将处理后的指纹图像数据与解密后的指纹模板进行比对，最后指纹算法芯片通过密文将比对结果传输给主控芯片。

本实施例为了解决存储设备中数据的安全问题，采用指纹识别技术对第三存储区的访问权限加以控制，并设计了指纹管理软件，对指纹模板进行管理；在指纹算法芯片与主控芯片之间设计了身份绑定认证机制，从而排除了非法用户通过置换指纹算法芯片获取主控芯片数据的可能，并设计了通信安全机制对存储设备内各模块间的通信进行加密处理；将第三存储区中的数据以硬件加密方式保存在存储芯片中，而主控芯片只能在芯片间的身份绑定认证及用户身份认证通过后，才能获取用于硬件加密的数据密钥。

综上，本实施例在主控芯片与指纹算法芯片之间添加通信安全机制，通过指纹识别验证完成对数据密钥的解锁，并以该密钥实现对存储设备硬件的加解密，同时设计了指纹管理软件以对指纹模组进行方便、有效的管理。该设计可对用户信息进行更有效的保护与更高效的管理，生物特征与数据的加密密钥绑定，存储设备安全等级将会进一步提高。

本实施例还提出一种存储设备加密和安全认证方法，其实现了存储设备隐藏分区功能，通过授权密钥对隐藏分区的用户身份认证，极大提高了存储设备的保密性能。同时，通过采用基于硬件的国密标准SM4算法对整个存储设备进行实时加解密，在不影响存储设备读写性能的同事，进一步提升了数据的破解难度。除此之外，为了避免用户未经认证直接对存储设备进行非法读写操作的问题，还提出了一种将身份认证和数据读写进行强关联的检验方法，大大提升了存储设备中数据的安全性。

存储设备出厂后，初始状态是普通硬盘，本实施例进一步由上位机软件给存储设备设置分区密码，优选的是给每个分区设置密码；上位机软件增加了相应的用户管理、加密功能控制和分区管理等功能。

进一步，本实施例还提出一种存储设备分区方法，可以实现对模块内的存储空间如图2或图7所述的若干存储空间(分区)。具体步骤如下：

1)开启加密开关：首先，Host上位机软件设置是否打开加密开关，初始状态加密开关是关闭的，如果上位机软件开启加密开关，则底层硬件加密寄存器被激活，存储设备内数据都会被硬件SM4加密；

2)设置数据加密密钥：DEK数据加密密钥是用来加密SSD盘内数据的，磁盘的DEK外部无法获取，而且DEK一般不会更改，除非要销毁磁盘；

3)Host设置分区起始LBA；

4)Host设置分区大小，即该分区总扇区数，分区状态默认为0，该分区对用户不可见，Host设置的分区密码和分区起始LBA和SIZE都会被保存在AK密钥管理表中；

5)FTL修改MBR分区表第一个表项的起始LBA和总扇区数；

6)Host设置分区密码；

7)Host设置下一个分区大小和分区密码，重复1)--4)步骤，进行枚举。

设置完所有分区和密码后，重启。

进一步，分区认证，在主机重启后，开机后需要对分区进行认证，此分区才能对用户可见，并允许读写操作，分区认证流程如下：

1)Host进行分区1密钥验证，如果验证通过，则将分区密钥管理表的分区状态改为1(对用户可见)；

2)如果验证失败(验证次数暂定为5次)，5次验证失败，则分区密钥管理表的分区状态仍为默认状态0(对用户不可见)，分区状态每次重启上电后默认状态都为0；

3)如果分区1密钥验证通过，则不修改MBR分区表项1的内容；

4)如果分区1密钥5次验证失败，则将MBR分区表项1的起始LBA和该分区总扇区数都修改为0；(即隐藏该分区，隐藏分区的方法需测试进行验证是否可行。如果5次认证失败，此分区被锁定一段时间，之后再次重启还可继续进行密钥认证，如果再次认证成功，则将分区密钥管理表里的此分区的起始LBA和SIZE复制到MBR分区表项1相应位置)。无论分区1验证成功还是失败，都会进行下一分区密钥认证，重复上述步骤枚举完所有分区。

进一步，本实施例还提出一种存储设备中硬件SM4加解密流程，可应用于控制模块150对可扩展存储空间内数据的加解密过程。具体加解密流程包含加密流程和解密流程两个部分：

1)数据加密流程

用户写入数据流程如下：

a)配置明文数据提交队列源缓冲区地址，主机前端的SM4加密引擎将从此明文数据缓冲区读取数据进行加密；

b)配置加密后的密文提交队列缓冲区地址，密文缓冲区可以由DPU自动申请，也可以由固件申请；

c)配置密文提交队列传输长度；

d)配置加密开关及循环冗余校验等等一系列寄存器后，SM4加密引擎开始读取数据进行加密操作；

e)当SM4加密引擎完成所有数据的加密后，固件获取完成队列信息进行响应，并开始新的数据传输。

2)数据解密流程

解密流程是加密流程的逆过程，与加密过程类似，只是配置的寄存器不相同。

请参考图6，为本发明另一实施例的存储设备的结构示意图。

该实施例中，所述便携式存储设备还包括：连接至所述存储模块110的数据传输模块120。

所述数据传输模块120，用于在存储设备本地与云端存储系统之间进行数据传输，包括：将本地的满足预设条件的数据文件上传至云端存储系统，并根据云端存储系统反馈的云端存储地址，形成编辑有所述云端存储地址的网络地址索引文件。

所述数据传输模块120还用于响应用户对网络地址索引文件的操作，访问对应的云端存储地址和/或下载对应的云端存储地址内的数据文件。借助联网的数据终端的网络传输功能，进行数据上传或下载。所述对网络地址索引文件的操作可以通过所述存储设备自身，或者所述便携设备连接至的终端设备进行操作。所述操作包括：通过各种方式实现的预览、打开、下载、删除等，所述数据传输模块120由于响应并执行对应的操作。

所述数据传输模块120可以利用有线或者无线方式，通过接入互联网的终端与云端存储系统之间建立数据传输路径，或者所述数据传输模块120自身具备电源以及通信功能。例如，通过接口连接已经联网的电脑，或者所述数据传输模块120具备wifi、蓝牙或红外等无线连接功能，通过无线方式，连接至电脑、手机等联网的终端设备。

所述数据传输模块120自身还可以具备联网功能，可以通过WIFI或GSM网络直接接入互联网，与云端存储系统之间建立数据传输路径。

请参考图7，为本发明一实施例的所述存储模块内的存储空间的示意图。

该实施例中，所述存储模块110的存储空间的划分为本地存储区111、可扩展存储空间113、认证信息存储空间114以及缓存空间112。

所述缓存空间112可以是物理上的固定存储区域，也可以是由数据传输模块120每次在需要进行数据传输时，临时分配的一定大小的在物理上连续或不连续的存储空间。由于所述数据传输模块120在传输数据时，容易受到带宽限制，实时数据传输的效率受限，可以预先将待上传的数据，或已下载的数据缓存在所述缓存空间112内，以提高数据传输或下载的效率。例如，在需要播放云端存储的视频时，实时下载容易受到网速、带宽的限制，存在等待的现象；此时，可以在本地播放已下载的视频文件时，在后台持续不间断的下载视频流数据，并提前缓存在所述缓存空间112内，后续本地播放时，就能够直接从本地的缓存空间112内获取数据，提高视频播放的流畅度。所述缓存空间112还可以采用比本地存储空间区111和可扩展存储空间113具有更块数据传输效率的存储介质，非易失或易失性的均可以，例如可以采用SRAM。

所述存储模块110内存储的网络地址索引文件包括缩略图、二维码、文本文件中的至少一种，所述网络地址索引文件编辑有超链接等信息，指向对应的数据文件在云端存储系统内的云端存储地址，可以被配置为单击、双击或各种操作时，访问所述云端存储地址，以进行文件查看或下载。

在一些实施例中，所述网络地址索引文件可以为缩略图，根据对应的数据文件的不同，所述缩略图可以有各种形式，例如可以为照片的缩略图、视频文件的某一帧图形的缩略图、文件夹快捷方式图等，用户可以根据具体的情况进行配置，在此不做限定。以缩略图的形式呈现已上传的数据文件对应的索引文件，可以让用户在查看存储设备的存储内容时，在感官上还是认为文件依旧存储在本地，提高使用体验。

所述网络地址索引文件具有可移动性，各个云端存储的数据文件的网络地址具有唯一性，可以通过将网络地址索引文件移动至其他的存储设备或终端内，在其他设备或终端访问该存储地址，进而提供数据访问的便捷性。由于网络地址索引文件的通常很小，通过转移网络地址索引文件的方式转移数据文件，可以提高数据迁移的效率。

所述数据传输模块120根据预设条件判断是否将数据文件上传至云端存储系统。所述预设条件包括：认证用户的上传操作，文件存储时间超过第一阈值、文件大小超过第二阈值、距离最近一次被打开的时间超过第三阈值以及设备存储容量小于第四阈值中的至少一个。

在一个实施例中，所述第一阈值可以被设置为半年或1年等，当某个数据文件在存储设备内的存储时间超过该第一阈值时，所述数据传输模块120在下次联网时，将该数据文件上传。

在另一实施例中，若某一数据文件距离上次被打开的时间已超过第三阈值，例如3个月、半年等，表示用于使用该文件的频率非常低，所述数据传输模块120在下次联网时，将该数据文件上传。

在其他实施例中，也可以是数据文件满足其中至少两个条件时才进行上传，或者对各个条件设置优先级，根据各个优先级判断是否需要伤处。例如，在设备存储容量小于第四阈值的前提下，将文件大小超过第二阈值，或者存储时间超过第一阈值，或者最近被打开的时间超过第三阈值的数据文件上传至云端。

用户可以根据实际需求对上述预设条件进行设置，在此不作限定。

被上传的数据文件，可以被集中或分布式存储于所述云端存储系统内，根据云端存储系统的具体存储架构进行存储。

与所述云端存储系统的具体存储架构对应的，所述数据传输模块120在下载云端存储地址内的数据文件时，也存在多种形式，例如可以直接从云端存储系统下载集中存储的完整的数据文件，也可以时从云端存储系统下载被分布存储的多个数据块，对所述多个数据块进行数据拼接获取完整的数据文件。

所述数据传输模块120或云端存储系统在对所述数据文件或数据块在上传或下载过程中还可以进行加/解密操作，已确保数据的安全性。

利用分布式存储的数据块中通常可以包括：主数据以及冗余数据，在某个分布式存储节点不在线的情况下，通过其他存储节点的数据块依旧能够凭借成完整的数据文件，供下载或查阅。

上述实施例中所述的存储设备通过将部分数据文件上传至云端而拓展设备的存储空间，解决存储设备存储空间局限的问题。同时，通过身份认证模块，对用于身份进行认证，只有授权的认证用户才能够查看并使用该扩展存储空间，便于进行文件管理，以及保护数据隐私。

请参考图8，为本发明一实施例存储设备100与云端存储系统300之间进行数据传输的示意图。

该实施例中，所述云端存储系统300包括云端控制模块310，以及集中式存储空间320。

所述集中式存储空间320由一台或多台主计算机组成中心节点，数据集中存储于这个中心节点的存储器中，而数据的存储与控制处理完全交由所述云端控制模块310处理。

云端控制模块310接收从存储设备100上传的数据文件，为其在所述集中式存储空间320内分配存储地址，并进行存储，以及将所述云端存储地址反馈至所述存储设备端，以便于存储设备100根据上述云端存储地址形成相应的索引文件进行保存。

云端控制模块310还于响应访问设备对于某个云端存储地址的访问请求，从存储空间320的对应地址内获取对应的数据文件，并传输给访问设备，所述访问设备可以是存储设备本身，也可以是获取有所述索引文件的其他设备。

同一个存储设备100可以分别通过不同的终端设备200与所述云端存储系统300建立数据传输路径。

请参考图9，为本发明另一实施例的云端存储系统400的结构示意图，以及与存储设备100之间进行数据传输的示意图。

所述云端存储系统400包括云端控制模块410以及多个分布式存储空间420。

所述云端控制模块410还用于将所述云端存储地址映射为多个分布式存储空间的存储地址，并将上传的数据文件分割为多个数据块，分配至多个分布式存储空间420进行分布式存储。

所述分布式的存储空间420可以是在空间上随意分布的多台计算机内的存储空间，可以由计算机自身的处理器为存储的数据块分配存储地址，并反馈至所述云端控制模块410，由所述云端控制模块410将多个分布存储空间内的数据块的存储地址，映射成一云端网络存储地址，反馈至存储设备端，以形成对应的网络地址索引文件。

所述数据块包括主数据以及冗余数据，所述冗余数据作为数据副本，在某个存储空间420未接入网络或数据丢失情况下，可以从其他存储空间420的冗余数据中读取到缺失的数据。

分布式存储空间420的接入数量、接入IP均可以随时发生变化，只需要通过所述云端控制模块410与对各个所述分布式存储空间420之间建立连接即可进行存储。所述云端控制模块410由于对数据块进行分流分配至各个分布式存储空间420内。存储于各分布式存储空间420内的数据块由于并不完整，因此无法被读取查阅，具有较高的隐私性。

所述分布式存储空间420可以是其他用户的终端闲置存储资源，存储于各分布式存储空间420内的数据块由于并不完整，因此无法被读取查阅，具有较高的隐私性。还可以对数据块进行加密操作，进一步增强数据安全性。

在用户通过索引文件访问数据文件时，所述云端控制模块410还用于从多个分布式存储空间420内获取多个对应的数据块，直接下传至访问设备，由访问设备将数据进行拼接获取完整数据文件，或者，由云端控制模块410将多个数据块拼接为完整的数据文件后再下传至访问设备。

本发明的实施例还提供一种存储设备的数据存储管理方法。

请参考图10，为上述存储设备的数据存储管理方法的流程示意图。

所述数据存储管理方法包括如下步骤：

步骤S101:认证用户身份。

认证用户身份的方法包括：指纹识别和/或手势识别等。

所述存储设备可以包括身份认证模块，例如指纹识别模块，手势识别模块等。

所述指纹识别包括：获取操作者指纹，当操作者指纹与预设的识别指纹匹配，则认证通过。所述预设的识别手势与授权用户之间一一对应。

所述手势识别包括：获取操作者手势；将操作者手势与预设的识别手势进行比较，对用户身份进行认证，当操作者手势与预设的识别手势匹配，则认证通过。所述预设的识别手势与授权用户之间一一对应。

其他实施例中，还可以通过其他生物特征识别或密码等方式，进行用户身份认证。

步骤S102:根据认证结果调整所述可扩展存储空间的显示属性。

默认状态下，可以将可扩展存储空间的默认的显示属性设置为隐藏；当认证通过时，所述设置模块用于将所述可扩展存储空间的显示属性设置为公开；若认证不通过，所述设置模块用于将所述可扩展存储空间的显示属性调整为隐藏。

当所述存储设备接入到终端后，可以通过终端设备查看所述存储设备内的存储空间，当存储空间的显示属性为隐藏属性时，该存储空间隐藏，无法查看，只有当显示属性为公开属性时，才能查看并使用该存储空间。

所述可扩展存储空间可以包括多个子存储空间，可以为不同的子存储空间分配不同的用户，通过用户身份认证，调整各个存储空间的显示属性，开放与用户身份对应的可扩展存储空间。

在一些实施例中，还可以通过一控制模块，根据身份认证模块的认证结果对应的指令对可扩展存储空间内的数据进行加解密操作，在可扩展存储空间的显示属性为隐藏属性时，对数据进行加密；在可扩展存储空间的显示属性为隐藏属性时，对数据进行解密。

在一些实施例中，采用会话密钥认证以建立信号身份认证与控制模块之间的信号传输通路，并对传输数据进行加密。

在本发明一实施例中，实施数据存储管理方法包括可扩展存储空间内存储的网络地址索引文件的形成方法。

请参考图11，为网络地址索引文件的形成方法的流程示意图。

步骤S201:判断存储设备内本地存储的数据文件是否满足预设条件。

在一些实施例中，所述预设条件包括：授权用户的上传操作，文件存储时间超过第一阈值、文件大小超过第二阈值、距离最近一次被打开的时间超过第三阈值以及设备存储容量小于第四阈值中的至少一个。

步骤S202:将满足预设条件的数据文件上传至云端存储系统，并获取云端存储系统返回的该数据文件在云端存储空间内的云端存储地址。

在一些实施例中，将所述数据文件集中或分布式存储于云端存储系统。

在一些实施例中，所述分布式存储的方法包括：将所述云端存储地址映射为多个分布式存储空间的存储地址，并将上传的数据文件分割为多个数据块，分配至多个分布式存储空间进行分布式存储。

步骤S203:在可扩展存储空间内存储与上传的数据文件对应的网络地址索引文件，所述网络地址索引文件指向该数据文件的云端存储地址。

在一些实施例中，所述网络地址索引文件包括编辑有超链接的缩略图、二维码、文本中的至少一种

在一些实施例中，在所述数据传输模块进行数据传输时，对待传输数据在本地进行缓存。

在一些实施例中，所述数据存储方法还包括：响应对网络地址索引文件的操作，访问对应的云端存储地址和/或下载对应的云端存储地址内的文件。

在一些实施例中，下载对应的云端存储地址内的文件的方法包括：下载获取多个分布式存储的数据块后，对所述多个数据块进行数据拼接，以获取完整的数据文件。

上述前述关于存储设备以及云端存储系统的实施例的内容均援引在此，相关特征的描述不再赘述。

以上所述仅为本申请的实施例，并非因此限制本申请的专利范围，凡是利用本申请说明书及附图内容所作的等效结构或等效流程变换，例如各实施例之间技术特征的相互结合，或直接或间接运用在其他相关的技术领域，均同理包括在本申请的专利保护范围内。

Claims (12)

1.一种存储设备，其特征在于，包括：

存储模块，包括本地存储空间和可扩展存储空间，所述本地存储空间用于存储本地的数据文件，所述可扩展存储空间用于存储网络地址索引文件，所述网络地址索引文件指向存储于云端存储空间内的数据文件所对应的云端存储地址；

身份认证模块，用于认证用户身份；

设置模块，与所述身份认证模块和所述存储模块连接，用于设置所述可扩展存储空间的显示属性，并根据所述身份认证模块的认证结果，调整所述可扩展存储空间的显示属性。

2.根据权利要求1所述的存储设备，其特征在于，所述身份认证模块包括：指纹识别单元和认证单元；所述指纹识别单元的指纹识别窗口设置于所述存储设备表面，用于获取操作者指纹；所述认证单元用于将获取的操作者指纹与预设的识别指纹进行比较，对用户身份进行认证；或者，所述身份认证模块包括：手势识别单元和认证单元，所述手势识别单元用于获取操作者手势；手势认证单元用于将操作者手势与预设的识别手势进行比较，对用户身份进行认证。

3.根据权利要求1所述的存储设备，其特征在于，所述可扩展存储空间默认的显示属性为隐藏；所述设置模块根据所述认证结果调整所述可扩展存储空间的显示属性包括：当认证通过时，所述设置模块用于将所述可扩展存储空间的显示属性设置为公开；若认证不通过，所述设置模块用于将所述可扩展存储空间的显示属性调整为隐藏。

4.根据权利要求1所述的存储设备，其特征在于，所述存储模块还包括认证信息存储空间，用于存储用户的身份认证信息。

5.根据权利要求1所述的存储设备，其特征在于，所述存储设备包括控制模块，连接至所述存储模块，用于对可扩展存储空间内的数据进行加解密操作。

6.根据权利要求5所述的存储设备，其特征在于，所述身份认证模块与所述控制模块之间采用会话密钥认证以建立信号传输通路，并对传输数据进行加密。

7.根据权利要求1所述的存储设备，其特征在于，包括：数据传输模块，用于在设备本地与云端存储系统之间进行数据传输，将本地的满足预设条件的数据文件上传至云端存储系统，并根据云端存储系统反馈的云端存储地址，形成编辑有所述云端存储地址的网络地址索引文件，存储至所述可扩展存储空间内；和/或，所述数据传输模块还用于响应对网络地址索引文件的操作，访问对应的云端存储地址；和/或，所述数据传输模块还用于响应对网络地址索引文件的操作下载对应的云端存储地址内的数据文件。

8.根据权利要求7所述的存储设备，其特征在于，所述数据传输模块用于通过外部已联网的终端设备与所述云端存储系统之间建立数据传输路径。

9.根据权利要求7所述的存储设备，其特征在于，所述存储模块还包括缓存空间，用于在所述数据传输模块进行数据传输时，对数据进行缓存。

10.根据权利要求7所述的存储设备，其特征在于，所述存储设备上传的数据文件被集中或分布式存储于所述云端存储系统内；所述数据传输模块在下载云端存储地址内的数据文件时，用于直接从云端存储系统下载完整的数据文件，或者获取多个数据块后对所述多个数据块进行数据拼接获取完整的数据文件。

11.一种存储设备的数据存储管理方法，其特征在于，包括：

所述存储设备的存储空间在逻辑或物理上划分为本地存储空间和可扩展存储空间，所述本地存储空间用于存储本地的数据文件，所述可扩展存储空间用于存储网络地址索引文件，所述网络地址索引文件指向存储于云端存储空间内的数据文件所对应的云端存储地址；

所述数据存储管理方法包括：

认证用户身份；

根据认证结果调整所述可扩展存储空间的显示属性。

12.根据权利要求11所述的数据存储管理方法，其特征在于，还包括：判断设备本地存储的数据文件是否满足预设条件；将满足预设条件的数据文件上传至云端存储系统，并获取云端存储系统返回的该数据文件在云端存储空间内的云端存储地址；在所述可扩展存储空间内存储与上传的数据文件对应的网络地址索引文件，所述网络地址索引文件指向该数据文件的云端存储地址；响应对网络地址索引文件的操作，访问对应的云端存储地址和/或下载对应的云端存储地址内的数据文件。

Images