CN119232446A - 一种epa的网络安全功能实现的方法、装置及模块 - Google Patents

Abstract

本申请公开了一种EPA的网络安全功能实现的方法、装置及模块。本模块为与PCIE的扩展插槽匹配的物理形态，适配工控机、现场控制设备及商用机。基于EPA总线芯片获取实时数据，不用改变现有设备即可使配置本模块的设备具备实时网络数据传输功能。且当ZYNQ芯片选择安全隔离模式时，可通过数据隔离算法将来自不同网口的数据进行安全隔离，不用改变现有设备即可使配置本模块的设备具备数据的安全隔离功能。本模块可将安全隔离后的各网口数据通过PCIE接口上传至处理器或进行内部处理。本模块兼容性强、易于扩展，能使一般工业设备简单、低成本地实现EPA的网络安全功能。ZYNQ芯片可配置各种安全策略和驱动配置，灵活度高。

Description

一种EPA的网络安全功能实现的方法、装置及模块

技术领域

本申请涉及可编程处理器芯片技术领域，特别涉及一种EPA的网络安全功能实现的方法、装置及模块。

背景技术

工厂自动化以太网EPA(Ethernet for Plant Automation)是一种基于实时工业以太网的网络，它可将分布在现场的若干个设备、小模块以及控制/监视设备连接起来，使所有设备一起运作，共同完成工业生产过程和操作中的测量和控制。考虑到EPA在工业自动化控制中的高地位，EPA的使用安全问题也至关重要。

现有技术中，EPA的网络安全功能需要使用兼容EPA协议的安全设备才能实现，不够灵活。若需要在台式机、工控机等一般工业设备上实现EPA的网络安全功能，往往要对工业设备进行整机改造开发，其步骤复杂，且耗费大量时间、金钱成本。因此，使一般工业设备能够简单、低成本地实现EPA的网络安全功能，成为了一个亟需解决的问题。

发明内容

基于上述问题，本申请提供了一种EPA的网络安全功能实现的方法、装置及模块，以使一般工业设备能够简单、低成本地实现EPA的网络安全功能。

本申请公开了一种EPA的网络安全功能实现的方法，所述方法由一种EPA的网络安全功能实现的模块实现，所述模块以与高速串行计算机扩展总线标准PCIE的扩展插槽匹配的物理形态配置于目标设备，所述方法包括：

分别获取来自不同网口的数据；所述数据包括所述目标设备的一般数据和实时数据；所述实时数据基于所述模块的工厂自动化以太网EPA总线芯片获取；

当所述模块的可编程处理器ZYNQ芯片选择安全隔离模式时，通过数据隔离算法将来自不同网口的数据进行安全隔离；

将安全隔离后的各网口数据通过PCIE接口上传至处理器或进行内部处理。

可选的，所述分别获取来自不同网口的数据，包括：

所述模块的以太网物理层PHY芯片从业务以太网口获取一般数据差分信号，从实时以太网口获取实时数据差分信号；PHY芯片与网口一一对应；

所述模块的PHY芯片将所述一般数据差分信号转换为数字信号形式的所述一般数据，将所述实时数据差分信号转换为数字信号形式的所述实时数据。

可选的，所述方法还包括：

当所述模块的ZYNQ芯片选择透传模式时，对来自不同网口的数据不做处理。

基于上述一种EPA的网络安全功能实现的方法，本申请还公开了一种EPA的网络安全功能实现的装置，用于上述的方法，所述装置包括：获取单元、隔离单元和处理单元；

所述获取单元，用于分别获取来自不同网口的数据；所述数据包括所述目标设备的一般数据和实时数据；所述实时数据基于所述模块的工厂自动化以太网EPA总线芯片获取；

所述隔离单元，用于当所述模块的可编程处理器ZYNQ芯片选择安全隔离模式时，通过数据隔离算法将来自不同网口的数据进行安全隔离；

所述处理单元，用于将安全隔离后的各网口数据通过PCIE接口上传至处理器或进行内部处理。

可选的，所述获取单元，包括：

获取子单元，用于所述模块的以太网物理层PHY芯片从业务以太网口获取一般数据差分信号，从实时以太网口获取实时数据差分信号；PHY芯片与网口一一对应；

转换子单元，用于所述模块的PHY芯片将所述一般数据差分信号转换为数字信号形式的所述一般数据，将所述实时数据差分信号转换为数字信号形式的所述实时数据。

可选的，所述装置还包括：

透传单元，用于当所述模块的ZYNQ芯片选择透传模式时，对来自不同网口的数据不做处理。

基于上述一种EPA的网络安全功能实现的方法，本申请还公开了一种EPA的网络安全功能实现的模块，用于实现上述的方法，所述模块包括：

PHY芯片，用于将来自网口的差分信号转换为数字信号，得到不同网口的数据；所述数据包括一般数据和实时数据；所述实时数据基于所述模块的EPA总线芯片获取；

ZYNQ芯片，用于接收来自PHY芯片的所述不同网口的数据，以及实现所述不同网口的数据间的安全隔离，并将安全隔离后的数据通过PCIE接口上传至处理器或进行内部处理；

EPA总线芯片，用于接收来自PHY芯片的所述实时数据。

可选的，所述不同网口包括两个用于获取实时数据差分信号的实时以太网口，和两个用于获取一般数据差分信号的业务以太网口。

可选的，PHY芯片与网口一一对应，与所述实时以太网口对应的PHY芯片通过RGMIl接口连接EPA总线芯片，与所述业务以太网口对应的PHY芯片通过RGMIl接口连接ZYNQ芯片的可编程逻辑PL端。

可选的，所述模块的ZYNQ芯片的串行器/解串器通道例化为PCIE与所述处理器的接口，所述模块的ZYNQ芯片通过例化后的接口与所述处理器进行数据传输。

可选的，所述模块的尺寸为与PCIE的扩展插槽匹配的半高半长尺寸。

可选的，所述模块的ZYNQ芯片，还用于：

配置预设的安全策略，并根据所述安全策略对所述不同网口的数据进行处理；所述安全策略包括过滤机制、加密措施和安全算法。

本申请公开了一种EPA的网络安全功能实现的方法、装置及模块。本申请所述的模块为与PCIE的扩展插槽匹配的物理形态，可适配大部分工控机和现场控制类设备及普通商用机。并基于EPA总线芯片获取实时数据，在不改变现有设备的前提下，使配置本模块后的设备具备实时网络数据传输功能。且当ZYNQ芯片选择安全隔离模式时，可通过数据隔离算法将来自不同网口的数据进行安全隔离。同样在不改变现有设备的前提下，使配置本模块后的设备具备数据的安全隔离功能。随后，本申请所述的模块可将安全隔离后的各网口数据通过PCIE接口上传至处理器或进行内部处理。本申请所述的模块兼容性强、易于扩展，能够使一般工业设备简单、低成本地实现EPA的网络安全功能。另外，模块中的ZYNQ芯片可配置各种安全策略和驱动配置，灵活度高。

附图说明

为了更清楚地说明本申请实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据提供的附图获得其他的附图。

图1为本申请实施例公开的一种EPA的网络安全功能实现的方法的流程示意图；

图2为本申请实施例公开的另一种EPA的网络安全功能实现的方法的流程示意图；

图3为本申请实施例公开的一种EPA的网络安全功能实现的装置的结构示意图；

图4为本申请实施例公开的一种EPA的网络安全功能实现的模块的结构示意图。

具体实施方式

下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

实施例一：本申请公开了一种EPA的网络安全功能实现的方法。

具体的，请参阅图1，本实施例公开的一种EPA的网络安全功能实现的方法包括以下步骤：

步骤101：分别获取来自不同网口的数据。

本实施例所述的方法由本申请公开的一种EPA的网络安全功能实现的模块实现，本实施例所述的模块设计基于可编程处理器ZYNQ芯片内部的高性能处理器PS和丰富的内部可编程逻辑PL实现EPA的安全隔离功能。首先，该模块整体对外为高速串行计算机扩展总线标准PCIE(Peripheral Component Interconnect Express)标准形态，即与PCIE的扩展插槽匹配的物理形态。可广泛配置于工控机的PCIE标准扩展插槽。

在本实施例所述的方法中，步骤101中的数据包括目标设备的一般数据和实时数据。其中，实时数据传输是EPA总线芯片实现的主要特性，EPA总线芯片可提供实时以太网口，用于从中获取实时数据。

作为一种可选的方法，在获取数据的过程中，本实施例所述的模块内还存在以太网物理层PHY芯片，其能够从业务以太网口获取一般数据差分信号，从实时以太网口获取实时数据差分信号，并将一般数据差分信号转换为数字信号形式的一般数据，将实时数据差分信号转换为数字信号形式的实时数。需要注意的是，PHY芯片与网口一一对应。

步骤102：当所述模块的可编程处理器ZYNQ芯片选择安全隔离模式时，通过数据隔离算法将来自不同网口的数据进行安全隔离。

在本实施例所述的方法中，ZYNQ芯片可根据预设的安全策略对数据是否需要进行安全隔离进行选择。当ZYNQ芯片选择安全隔离模式时，来自不同网口的数据不经过处理转化不能互通。当ZYNQ芯片选择透传模式时，对来自不同网口的数据不做处理，即来自各网口的数据都是原始数据。安全隔离模式可保证不同网口之间的数据安全，防止恶意数据对其他网口、其他设备端口等造成不良影响，有效避免故障进一步扩大。

作为一种可选的方法在安全隔离模式下，ZYNQ芯片可对来自不同网口的数据进行安全检测等处理，当确认数据安全后，以直接或间接方式允许不同网口的数据互通。

步骤103：将安全隔离后的各网口数据通过PCIE接口上传至处理器或进行内部处理。

在本实施例所述的方法中，由于ZYNQ芯片的可编程特性，其可以根据不同的场景需求配置预设的安全策略，其中包括过滤机制、加密措施、安全通信协议和安全算法等。并根据安全策略对不同网口的数据进行处理。

作为一种可选的方法，ZYNQ芯片的串行器/解串器通道例化为PCIE与所述处理器的接口(PCIE EP接口)，ZYNQ芯片即可通过例化后的接口与处理器进行数据传输。ZYNQ芯片例化后的接口也可以通过加载不同的驱动配置，配置为不同的隔离网卡设备，例如私有的字符设备或标准的网络设备，以此提高本实施例所述模块的灵活度。

本实施例所述方法中，采用ZYNQ芯片、EPA总线芯片和PHY芯片实现了实时数据的获取和来自不同网口(数据源)的数据的安全隔离。该安全隔离模式保证可可以保证不同网口之间的数据安全，有效避免故障扩大。且本实施例所述的模块为PCIE标准形态，可广泛应用于工控机等工业设备的PCIE标准扩展插槽，可扩展性强。无需对设备进行整机改造，设备配置本实施例所述的模块后即可具备实时数据传输功能和EPA安全隔离功能，简便、低成本地实现设备功能扩展、升级。同时，可编程的ZYNQ芯片灵活度高，可配置不同的过滤机制、加密措施、安全算法等，以有选择性地传输网络数据。ZYNQ芯片例化PCIE EP接口可加载不同的驱动配置，配置为不同的隔离网卡设备。

实施例二：本申请公开了另一种EPA的网络安全功能实现的方法，请参阅图2，本实施例所述方法针对EPA的网络安全功能实现的过程做介绍。

步骤201：模块的ZYNQ芯片选择安全隔离模式，从实时以太网口接收设备的实时数据，从业务以太网口接收设备的一般数据。

步骤202：模块的ZYNQ芯片对实时数据和一般数据进行安全隔离后，将实时数据上传到主处理器，按照预设程序对一般数据进行合规性检查。

步骤203：主处理器对实时数据分析处理后，将相关数据返回模块。

步骤204：模块接收相关数据，通过业务以太网口发送到设备。

步骤205：将合规性检查通过后的一般数据对应的控制信息，转发到实时以太网口，随后发生至设备。

本实施例所述的方法中，公开了两种场景下的数据传输。一种场景下，一路实时以太网口的数据，在与其他网口的数据安全隔离后，上传到主处理器。主处理将相关数据传回，模块通过业务以太网口将相关数据发送出去。另一种场景下，另一路业务以太网口的数据，在与其他网口的数据安全隔离后，进行合规性检查，检查无误后将与该数据对应的控制信息直接转发到实时以太网口，并发送出去。本实施例所述的方法保证了不同路数据不互通、影响，当出现恶意数据造成的故障时，可以保证各网口的数据安全，从而防止恶意数据通过数据互通而对其他端口造成不良影响，避免故障扩大。

基于上述实施例公开的一种EPA的网络安全功能实现的方法，本实施例对应公开了一种EPA的网络安全功能实现的装置。请参阅图3，所述一种EPA的网络安全功能实现的装置用于实现上述的方法，所述装置包括：获取单元301、隔离单元302和处理单元303；

所述获取单元301，用于分别获取来自不同网口的数据；所述数据包括所述目标设备的一般数据和实时数据；所述实时数据基于所述模块的工厂自动化以太网EPA总线芯片获取；

所述隔离单元302，用于当所述模块的可编程处理器ZYNQ芯片选择安全隔离模式时，通过数据隔离算法将来自不同网口的数据进行安全隔离；

所述处理单元303，用于将安全隔离后的各网口数据通过PCIE接口上传至处理器或进行内部处理。

可选的，所述获取单元301，包括：

获取子单元，用于所述模块的以太网物理层PHY芯片从业务以太网口获取一般数据差分信号，从实时以太网口获取实时数据差分信号；PHY芯片与网口一一对应；

转换子单元，用于所述模块的PHY芯片将所述一般数据差分信号转换为数字信号形式的所述一般数据，将所述实时数据差分信号转换为数字信号形式的所述实时数据。

可选的，所述装置还包括：

透传单元，用于当所述模块的ZYNQ芯片选择透传模式时，对来自不同网口的数据不做处理。

基于上述实施例公开的一种EPA的网络安全功能实现的方法，本实施例对应公开了一种EPA的网络安全功能实现的模块。所述一种EPA的网络安全功能实现的装置包括：

PHY芯片，用于将来自网口的差分信号转换为数字信号，得到不同网口的数据；所述数据包括一般数据和实时数据；所述实时数据基于所述模块的EPA总线芯片获取；

ZYNQ芯片，用于接收来自PHY芯片的所述不同网口的数据，以及实现所述不同网口的数据间的安全隔离，并将安全隔离后的数据通过PCIE接口上传至处理器或进行内部处理；

EPA总线芯片，用于接收来自PHY芯片的所述实时数据。

可选的，所述不同网口包括两个用于获取实时数据差分信号的实时以太网口，和两个用于获取一般数据差分信号的业务以太网口。

可选的，PHY芯片与网口一一对应，与所述实时以太网口对应的PHY芯片通过RGMIl接口连接EPA总线芯片，与所述业务以太网口对应的PHY芯片通过RGMIl接口连接ZYNQ芯片的可编程逻辑PL端。

可选的，所述模块的ZYNQ芯片的串行器/解串器通道例化为PCIE与所述处理器的接口，所述模块的ZYNQ芯片通过例化后的接口与所述处理器进行数据传输。

可选的，所述模块的尺寸为与PCIE的扩展插槽匹配的半高半长尺寸。

可选的，所述模块的ZYNQ芯片，还用于：

配置预设的安全策略，并根据所述安全策略对所述不同网口的数据进行处理；所述安全策略包括过滤机制、加密措施和安全算法。

在本实施例所述的模块中，如图4所示，本模块主要由ZYNQ芯片、EPA总线芯片和PHY芯片组成。在ZYNQ芯片的PS侧设置有第三代双倍数据率同步动态随机存取存储器DDR3(Double-Data-Rate Three Synchronous Dynamic Random Access Memory)、非易存储器FLASH(通常包含NOR FLASH和NAND FLASH两种类型)、通用串行总线USB和调试接口UART/I2C。在ZYNQ芯片的PL侧则将高速串行器/解串器通道例化为PCIE EP接口，用于与主处理器进行通信。

本实施例所述的模块为标准的PCIE半高半长标准尺寸，便于应用于工控机PCIE标准扩展插槽。在本实施例所述的模块下方设置有连接器，通过金手指提供电源、管理、时钟、复位、PCIE 2.0 X4/X8等接口，负责传输电源电压、数据信号、时钟信号、以及接地信号等。

在本实施例所述的模块中，ZYNQ芯片的PL侧连接EPA总线芯片，并能够对其进行控制管理和数据交互。PL侧还通过RGMIl接口连接两个PHY芯片，以通过它们获取业务以太网口的数据。EPA总线芯片也同样通过RGMIl接口连接两个PHY芯片，以通过它们获取实时以太网口的数据。

在本实施例所述的模块中，提供四个PHY芯片，分别连接四个不同的网口，即本实施例所述的模块提供两个实时以太网口和两个业务以太网口。该网口具体可以采用以太网8P8C电口RJ45。

本说明书中实施例采用递进的方式描述。对于实施例公开的装置而言，由于其与实施例公开的方法相对应，所以描述的比较简单，相关之处参见方法部分说明即可。

还需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

结合本文中所公开的实施例描述的方法或算法的步骤可以直接用硬件、处理器执行的软件模块，或者二者的结合来实施。软件模块可以置于随机存储器(RAM)、内存、只读存储器(ROM)、电可编程ROM、电可擦除可编程ROM、寄存器、硬盘、可移动磁盘、CD-ROM、或技术领域内所公知的任意其它形式的存储介质中。

本说明书中实施例中记载的特征可以相互替换或者组合，使本领域专业技术人员能够实现或使用本申请。

对所公开的实施例的上述说明，使本领域专业技术人员能够实现或使用本申请。对这些实施例的多种修改对本领域的专业技术人员来说将是显而易见的，本文中所定义的一般原理可以在不脱离本申请的精神或范围的情况下，在其它实施例中实现。因此，本申请将不会被限制于本文所示的这些实施例，而是要符合与本文所公开的原理和新颖特点相一致的最宽的范围。

Claims (10)

1.一种EPA的网络安全功能实现的方法，其特征在于，所述方法由一种EPA的网络安全功能实现的模块实现，所述模块以与高速串行计算机扩展总线标准PCIE的扩展插槽匹配的物理形态配置于目标设备，所述方法包括：

分别获取来自不同网口的数据；所述数据包括所述目标设备的一般数据和实时数据；所述实时数据基于所述模块的工厂自动化以太网EPA总线芯片获取；

当所述模块的可编程处理器ZYNQ芯片选择安全隔离模式时，通过数据隔离算法将来自不同网口的数据进行安全隔离；

将安全隔离后的各网口数据通过PCIE接口上传至处理器或进行内部处理。

2.根据权利要求1所述的方法，其特征在于，所述分别获取来自不同网口的数据，包括：

所述模块的以太网物理层PHY芯片从业务以太网口获取一般数据差分信号，从实时以太网口获取实时数据差分信号；PHY芯片与网口一一对应；

所述模块的PHY芯片将所述一般数据差分信号转换为数字信号形式的所述一般数据，将所述实时数据差分信号转换为数字信号形式的所述实时数据。

3.根据权利要求1或2所述的方法，其特征在于，所述方法还包括：

当所述模块的ZYNQ芯片选择透传模式时，对来自不同网口的数据不做处理。

4.一种EPA的网络安全功能实现的装置，其特征在于，用于实现权利要求1-3任一项所述的方法，包括：获取单元、隔离单元和处理单元；

所述获取单元，用于分别获取来自不同网口的数据；所述数据包括所述目标设备的一般数据和实时数据；所述实时数据基于所述模块的工厂自动化以太网EPA总线芯片获取；

所述隔离单元，用于当所述模块的可编程处理器ZYNQ芯片选择安全隔离模式时，通过数据隔离算法将来自不同网口的数据进行安全隔离；

所述处理单元，用于将安全隔离后的各网口数据通过PCIE接口上传至处理器或进行内部处理。

5.一种EPA的网络安全功能实现的模块，其特征在于，用于实现权利要求1-3任一项所述的方法，所述模块包括：

PHY芯片，用于将来自网口的差分信号转换为数字信号，得到不同网口的数据；所述数据包括一般数据和实时数据；所述实时数据基于所述模块的EPA总线芯片获取；

ZYNQ芯片，用于接收来自PHY芯片的所述不同网口的数据，以及实现所述不同网口的数据间的安全隔离，并将安全隔离后的数据通过PCIE接口上传至处理器或进行内部处理；

EPA总线芯片，用于接收来自PHY芯片的所述实时数据。

6.根据权利要求5所述的模块，其特征在于，所述不同网口包括两个用于获取实时数据差分信号的实时以太网口，和两个用于获取一般数据差分信号的业务以太网口。

7.根据权利要求6所述的模块，其特征在于，PHY芯片与网口一一对应，与所述实时以太网口对应的PHY芯片通过RGMI l接口连接EPA总线芯片，与所述业务以太网口对应的PHY芯片通过RGMI l接口连接ZYNQ芯片的可编程逻辑PL端。

8.根据权利要求5所述的模块，其特征在于，所述模块的ZYNQ芯片的串行器/解串器通道例化为PCIE与所述处理器的接口，所述模块的ZYNQ芯片通过例化后的接口与所述处理器进行数据传输。

9.根据权利要求5所述的模块，其特征在于，所述模块的尺寸为与PCIE的扩展插槽匹配的半高半长尺寸。

10.根据权利要求5所述的模块，其特征在于，所述模块的ZYNQ芯片，还用于：

配置预设的安全策略，并根据所述安全策略对所述不同网口的数据进行处理；所述安全策略包括过滤机制、加密措施和安全算法。