RU216356U1 - Бортовой киберзащищенный концентратор данных - Google Patents

Abstract

Полезная модель относится к области вычислительной техники и может быть использована при проектировании и применении бортового оборудования летательных аппаратов, осуществляющего коммутацию передаваемой информации. Технический результат предлагаемой полезной модели заключается в повышении надежности функционирования бортового оборудования. Бортовой киберзащищенный концентратор данных содержит в своем составе порт для передачи разовых команд, физические порты для приема-выдачи пакетов данных из бортовой сети по стандартам ARINC 664, ARINC 429, ARINC 825, каждый из которых функционально связан с процессорным модулем приема и передачи пакетов данных, соединенный линиями связи с процессорным модулем для реализации алгоритмов фильтрации и модулем памяти для хранения отфильтрованных пакетов данных, при этом процессорный модуль для реализации алгоритмов фильтрации функционально связан с модулем памяти для хранения отфильтрованных пакетов данных и физическим портом Ethernet, по которому осуществляется передача и прием информации из незащищенной сети. 1 ил.

Description

Полезная модель относится к области вычислительной техники и может быть использована при проектировании и применении бортового оборудования летательных аппаратов, осуществляющего коммутацию передаваемой информации.

Бортовой концентратор служит для объединения бортовых устройств, которые обладают различными интерфейсами, в общую локальную сеть, которая называется сеть авионики (бортовая информационно-вычислительная сеть). Каждое устройство подключено к концентратору, который проверяет принятые от отправителя пакеты данных и передаёт их получателю.

Киберзащита необходима, когда к сети авионики подключается не бортовое оборудование, например, мультимедийная система для развлечения пассажиров (БИС) или бортовая спутниковая система связи (БССС). В этом случае необходимо предотвратить возможный несанкционированный доступ к сети авионики. Соответственно, использование бортового киберзащищенного концентратора данных повышает безопасность сети и предотвращает аварийные ситуации, которые могут быть вызваны абонентом, получившим несанкционированный доступ.

В рамках данной заявки под киберзащитой понимаются действия, осуществляемые в целях защиты сети авионики летательных аппаратов (ЛА), включая предотвращение несанкционированного доступа путем отбрасывания пакетов данных, пришедших от неавторизованных абонентов, а также постороннего вмешательства в исправную и запланированную работу бортовых устройств бортовой вычислительной системы ЛА.

При разработке бортового киберзащищенного концентратора данных, возникает проблема, заключающаяся в невозможности размещения алгоритмов киберзащиты в процессорном модуле ‒ процессоре, микроконтроллере или программируемой логической интегральной схеме (ПЛИС), который осуществляет функцию преобразования данных из одного интерфейса в другой, в связи со сложностью сертификации такого устройства по высшим категориям DAL A, DAL B.

Для решения задачи необходимо разработать бортовой концентратор, в котором блок киберзащиты реализован в отдельном процессорном модуле (процессоре, микроконтроллере, ПЛИС, и. т. д.).

Из данного уровня техники известны следующие технические решения.

Известен бортовой коммутатор с функцией реконфигурации (патент RU  209597), который содержит в своем составе физические порты для приема-выдачи пакетов, управляющий процессор, программируемую логическую интегральную схему (ПЛИС), включающую коммутационную матрицу и блок управления, функционально связанный с управляющим процессором. В бортовом коммутаторе с функцией реконфигурации физические порты для приема-выдачи пакетов выполнены по стандарту ARINC 664, которые связаны с коммутационной матрицей с помощью интерфейса ARINC 664, при этом в управляющий процессор дополнительно включен блок реконфигурации и киберзащиты, а ПЛИС дополнительно содержит порт реконфигурации, функционально связанный с коммутационной матрицей и блоком реконфигурации и киберзащиты управляющего процессора.

К недостаткам данного коммутатора можно отнести отсутствие интерфейсов ARINC 825, ARINC 429 и разовых команды, а также отсутствие отдельного процессора (ПЛИС), который выполняет только функцию фильтрации поступающих пакетов данных.

Известно устройство разграничения доступа между двумя сетями передачи данных в протоколе IP-межсетевой экран без операционной системы (патент RU 53522), которое состоит из двух произвольных сетевых интерфейсов, соединенных с этими сетями, и модуля фильтрации между контроллерами ввода-вывода этих интерфейсов, предназначенное для фильтрации пакетов при передаче из одной сети в другую по соответствию IР адресов отправителей пакетов заданному набору разрешенных сетевых адресов. Модуль фильтрации выполнен в виде вычислителя без операционной системы, состоящего из портов связи с контроллерами сетевых интерфейсов, блока сравнения, блока памяти для набора масок и интерфейса ввода-вывода для связи с внешним программатором и выполнен с возможностью производить побитовое сравнение значений контролируемых адресов и других полей в IP пакете с набором масок разрешенных адресов и значений полей, которые заносятся в память вычислителя администратором с помощью внешнего программатора, подключаемого к устройству через электрический интерфейс.

Известна система сетевого интерфейса для передачи пакета данных между хост-системой и сетью (патент US7852756), причем система сетевого интерфейса содержит буфер, способный хранить пакет данных, а также контроллер с возможностью фильтрации пакетов данных, причем контроллер способен отслеживать пакет данных и генерировать управляющий сигнал для управления расположением пакета данных, причем пакет данных передается, если управляющий сигнал является сигналом на передачу, и пакет данных отбрасывается, если управляющий сигнал является сигналом на запрет передачи.

Недостатком данных технических решений является отсутствие авиационных интерфейсов, что делает невозможным их использование в бортовой информационно-вычислительной сети летательных аппаратов.

Техническое решение, известное из источника US7852756, по технической сущности является наиболее близким к предлагаемой полезной модели и может выступать в качестве прототипа.

Задачей, на решение которой направлена заявленная полезная модель, является создание бортового киберзащищенного концентратора данных, в котором функция киберзащиты и функция приема-передачи пакета данных реализованы в отдельных процессорных модулях.

Технический результат предлагаемой полезной модели заключается в повышении надежности функционирования бортового оборудования.

Заявленный технический результат достигается за счет исполнения бортового киберзащищенного концентратора данных, содержащего в своем составе физические порты для приема-выдачи пакетов данных, порт для передачи разовых команд, процессорный модуль для реализации алгоритмов фильтрации поступающих пакетов данных из незащищенной сети, модуль памяти для хранения отфильтрованных пакетов данных, связанный с указанным процессорным модулем, отличающегося тем, что физические порты для приема-выдачи пакетов данных выполнены по стандартам ARINC 664, ARINC 429 и ARINC 825 и функционально связаны с процессорным модулем приема и передачи пакетов данных, соединенного линиями связи с процессорным модулем для реализации алгоритмов фильтрации и модулем памяти для хранения отфильтрованных пакетов данных, при этом процессорный модуль для реализации алгоритмов фильтрации функционально связан с физическим портом Ethernet, по которому осуществляется передача и приём информации из незащищенной сети.

На фиг.1 представлена структурная схема предлагаемого бортового киберзащищенного концентратора данных, где 1 ‒ порт для передачи разовых команд, 2-4 ‒ физические порты для приема-выдачи пакетов данных из бортовой информационно-вычислительной сети по стандартам ARINC 664, ARINC 429, ARINC 825, 5 ‒ процессорный модуль приема и передачи пакетов данных, 6 ‒ процессорный модуль для реализации алгоритмов фильтрации поступающих пакетов данных, 7 ‒ модуль памяти для хранения отфильтрованных пакетов данных, 8 ‒ физический порт Ethernet, по которому осуществляется передача и приём пакетов данных из незащищенной сети (Ethernet).

Бортовой киберзащищенный концентратор данных (фиг.1) содержит в своем составе порт для передачи разовых команд (1), физические порты для приема-выдачи пакетов данных из бортовой информационно-вычислительной сети по стандартам ARINC 664, ARINC 429, ARINC 825 (2-4), каждый из которых функционально связан с процессорным модулем (5), который контролирует входящие и исходящие пакеты данных, обеспечивает их отправку в/из бортовой информационно-вычислительной сети.

Количество портов (1-4) может варьироваться, но, в предпочтительном варианте исполнения предлагаемого концентратора, выполняется 2 порта ARINC 664, 1 порт ARINC 429, 1 порт ARINC 825 и 1 порт на 8 или 16 разовых команд.

Процессорный модуль приема и передачи пакетов данных (5), соединен линиями связи с процессорным модулем для реализации алгоритмов фильтрации (6) и модулем памяти для хранения отфильтрованных пакетов данных (7), при этом процессорный модуль для реализации алгоритмов фильтрации функционально связан с модулем памяти для хранения отфильтрованных пакетов данных (7) и физическим портом Ethernet (8), по которому осуществляется передача и приём информации из незащищенной сети.

В предпочтительном варианте осуществления полезной модели в качестве процессорного модуля для реализации алгоритмов фильтрации (6) может быть использован процессор из семейства PowerPC с авиационным применением, что позволит сертифицировать бортовой киберзащищенный концентратор данных по высшим категориям DAL A, DAL B.

Предлагаемый бортовой киберзащищенный концентратор данных функционирует следующим образом.

С целью реализации функции киберзащиты в каждый передаваемый пакет данных помещается специальная имитовставка, выработанная с помощью любого известного из уровня техники специализированного алгоритма, с использованием секретного элемента (ключа), известного только отправителю и получателю.

Пакеты данных из незащищенной сети (например, от мультимедийной системы для развлечения пассажиров или бортовой спутниковой системы связи) поступают на вход бортового киберзащищенного концентратора по интерфейсу Ethernet через физический порт Ethernet (8).

Процессорный модуль для реализации алгоритмов фильтрации (6) принимает указанные пакеты данных, рассчитывает имитовставку, согласно известному ключу и сверяет полученную имитовставку с той, которая находится внутри пакета данных. Если они совпадают – пакет признается безопасным, в противном случае ‒ пакет признается небезопасным и удаляется.

В том случае, когда данные прошли проверку и признаны безопасными, они помещаются в модуль памяти (7), а в процессорный модуль приема и передачи пакетов данных (5) отправляется указатель на область памяти, в которой хранятся данные. Если объем данных небольшой, они могут отправляться в процессорный модуль (5) для дальнейшей отправки в сеть авионики.

Таким образом, предлагаемый бортовой киберзащищенный концентратор данных, в котором функция киберзащиты и функция приема-передачи пакета данных реализованы в отдельных процессорных модулях с выделением модуля памяти для хранения отфильтрованных пакетов данных, не загружая процессорные модули пакетами данных, обеспечивает высокую производительность устройства, тем самым повышая его надежность и устойчивость к взлому.

Claims (1)

1. Бортовой киберзащищенный концентратор данных, содержащий в своем составе физические порты для приема-выдачи пакетов данных, порт для передачи разовых команд, процессорный модуль для реализации алгоритмов фильтрации поступающих пакетов данных из незащищенной сети, модуль памяти для хранения отфильтрованных пакетов данных, связанный с указанным процессорным модулем, отличающийся тем, что физические порты для приема-выдачи пакетов данных выполнены по стандартам ARINC 664, ARINC 429 и ARINC 825 и функционально связаны с процессорным модулем приема и передачи пакетов данных, соединенного линиями связи с процессорным модулем для реализации алгоритмов фильтрации и модулем памяти для хранения отфильтрованных пакетов данных, при этом процессорный модуль для реализации алгоритмов фильтрации функционально связан с физическим портом Ethernet, по которому осуществляется передача и прием информации из незащищенной сети.

Images