DE4408035A1

DE4408035A1 - Communications computer for networking with multilayer data exchange

Info

Publication number: DE4408035A1
Application number: DE4408035A
Authority: DE
Inventors: Norbert Dr Erbes; Bernd Dipl Ing Doleschal; Christoph Dipl Ing Prasse; Dietrich Dr Rother
Original assignee: Alcatel SEL AG
Current assignee: Alcatel Lucent Deutschland AG
Priority date: 1994-03-10
Filing date: 1994-03-10
Publication date: 1995-09-14
Also published as: NZ270543A; AU1351195A

Abstract

The computer has a bus (8) linking separate processors (1-7) for the physical, data link, network, transport, session, presentation and application layers respectively of the OSI reference model. The need for two processors at the network level corresponds to its division into two sublayers for communication within and between networks. The messages transmitted between the processors and the data bus can be encrypted without influencing the protocol, which offers many-sided access security. The computers can communicate in any layer via gateways without internal protocol conversions.

Description

Die Erfindung liegt auf dem Gebiet der Datenübertragung in Netzwerken und betrifft einen Kommunikationsrechner gemäß dem Oberbegriff des Patentanspruchs 1.The invention is in the field of data transmission in networks and relates to a communication computer according to the preamble of Claim 1.

Datenübertragungen zwischen örtlich getrennten Datenendgeräten bedingen Vereinbarungen über die Protokolle und Telegramme, damit ein Datenaustausch in verständlicher Form stattfinden kann. In lokaler Umgebung läßt sich dies durch lokal einzuhaltende Vorschriften erreichen. Soll jedoch ein Datenaustausch zwischen Netzen mit verschiedenen Netzprotokollen stattfinden können, sind entsprechende Anpassungen der Protokolle aneinander erforderlich, was üblicherweise durch sogenannte Gateways erfolgt. Um einen möglichst unbehinderten Datenaustausch zwischen modernen Kommunikationssystemen zu ermöglichen, die einen hohen Grad an Komplexität und eine Vielzahl von Funktionen aufweisen, werden die verschiedenen Funktionen schematisch Schichten zugeteilt und für die verschiedenen Schichten werden angepaßte Protokolle definiert. Das verbreitetste derartige System ist das von der ISO (International Standard Organization) festgelegte OSI-Referenzmodell (Open Systems Interconnection), ein Siebenschichtenmodell der Kommunikation. Data transfers between spatially separate data terminals require agreements on the protocols and telegrams in order for one Data exchange can take place in an understandable form. In local This can be done in the environment through locally observed regulations to reach. However, a data exchange between networks should different network protocols can take place are corresponding Adaptations of the protocols to each other are required, which is usually the case through so-called gateways. To be as unhindered as possible Data exchange between modern communication systems too enable a high level of complexity and a variety of Have functions, the various functions become schematic Shifts are allocated and for the different shifts customized protocols defined. The most common such system is that defined by the ISO (International Standard Organization) OSI reference model (Open Systems Interconnection) Seven-layer model of communication.

Eine Verknüpfung von Kommunikationssystemen kann prinzipiell auf jeder der Schichten erfolgen. Dabei treten Kommunikationsrechner miteinander in Verbindung, welche die benötigten Protokolle zur Verfügung stellen. Üblicherweise werden letztere mit einem Prozessor realisiert, der daneben noch weitere Funktionen übernimmt, beispielsweise eine gewünschte Anwendung abzuarbeiten. Dies hat jedoch einige entscheidende Nachteile, insbesondere wenn gleichzeitig viele von verschiedenen Schichten herrührende Kommunikationsbeziehungen zu verarbeiten sind. So wird der Rechner durch die Gateway-Funktionen, das heißt die ständig nötigen Protokollumformungen belastet, was zu Lasten der übrigen Rechenanwendungen geht. Die einzelnen Protokolle, obwohl funktionell und vom Ablauf her voneinander unabhängig, sind zeitlich gekoppelt; weiter sind sie einem einheitlichen Betriebssystem unterworfen, obwohl sie unterschiedliche Anforderungen an ein Betriebssystem stellen.A linkage of communication systems can in principle on everyone of layers. Communication computers interact with each other connected, which provide the required protocols. The latter are usually implemented with a processor that in addition, it performs other functions, such as a to process the desired application. However, this has some decisive disadvantages, especially when many of different layers of communication relationships are processed. So the computer is through the gateway functions, that means the constantly necessary protocol conversions are burdened, too The other computing applications. The individual protocols, although they are functional and independent of each other coupled in time; they are also a uniform operating system subject, although they have different requirements on one Operating system.

Bei der Datenübertragung über Netze, zu denen die verschiedensten Benützer Zugang haben, stellt sich immer auch die Frage der Zugangskontrolle bzw. der Datensicherheit. Bisher bekannte Lösungsansätze basieren auf funktionalen Erweiterungen auf einer oder mehreren Protokollschichten oder definieren spezielle Protokoll- Zwischenschichten. Derartigen Maßnahmen haften jedoch einige Nachteile an. Da noch keine endgültigen Normen für die erwähnten Zusätze vorhanden sind, besteht die Gefahr der Inkompatibilität wegen unterschiedlicher Realisierungen. Eine garantierte Sicherheit ist auf dieser Basis nicht zu erreichen. Und nicht zuletzt erhöhen die zusätzlichen Sicherheitsfunktionen die Komplexität der Protokolle und erfordern größere Prozessorleistung.When transferring data over networks to which the most varied The user always has the question of Access control or data security. Known so far Approaches are based on functional extensions on one or several protocol layers or define special protocol Intermediate layers. However, some of these measures are liable Disadvantages. Since no definitive norms for the mentioned If there are additives, there is a risk of incompatibility different realizations. Guaranteed security is on this base cannot be reached. And last but not least, increase additional security functions the complexity of the protocols and require greater processor power.

Es besteht daher die Aufgabe, einen Kommunikationsrechner so zu konzipieren, daß er durch die Bearbeitung der Protokolle nicht über Gebühr belastet wird und überdies höchstmögliche Datensicherheit bietet. It is therefore the task of a communication computer in this way design that he does not have through editing the logs Fee is charged and also the highest possible data security offers.

Die Aufgabe wird grundsätzlich durch die kennzeichnenden Merkmale gemäß Patentanspruch 1 gelöst. Die gewünschte Datensicherheit wird durch die Ausgestaltung gemäß Anspruch 3 erreicht.The task is basically characterized by the characteristics solved according to claim 1. The desired data security will achieved by the configuration according to claim 3.

Der vorgeschlagene Kommunikationsrechner zeichnet sich durch eine Mehrzahl von Prozessoren aus, die je für die Verarbeitung der Daten auf zugeordneten Protokollschichten zuständig sind. Eine bevorzugte Ausführungsform sieht für jede Protokollschicht einen eigenen Prozessor vor. Diese Anordnung ermöglicht zeitlich voneinander unabhängige Bearbeitungen, basierend auf angepaßten Betriebssystemen für jeden Prozessor. Die gegenseitige Beeinflussung der Protokolle entfällt, die Verzögerungen bleiben gering, was einen hohen Datendurchsatz ergibt.The proposed communication computer is characterized by a Plurality of processors, each for processing data are responsible for assigned protocol layers. A preferred one Embodiment sees its own for each protocol layer Processor before. This arrangement allows one another in time independent processing based on customized operating systems for every processor. The mutual influence of the protocols is eliminated, the delays remain low, which is high Data throughput results.

Die DE-A-41 20 398 beschreibt eine Datenverarbeitungsanlage, bei der zwischen der zentralen Verarbeitungseinheit (CPU), also dem Prozessor, und dem Datenbus eine Ent-/Verschlüsselungseinrichtung geschaltet wird. Auf diese Weise wird ein unautorisierter Zugriff auf den Prozessor abgewehrt. Dieses Prinzip läßt sich auf einen oder mehrere Prozessoren des erfindungsgemäßen Kommunikationsrechners anwenden, wodurch sich die angestrebte Datensicherheit erreichen läßt.DE-A-41 20 398 describes a data processing system in which between the central processing unit (CPU), i.e. the processor, and a data encryption / decryption device is connected to the data bus becomes. In this way, unauthorized access to the Processor blocked. This principle can be broken down into one or more Use processors of the communication computer according to the invention, whereby the desired data security can be achieved.

Die Erfindung wird am Beispiel des eingangs erwähnten OSI- Referenzmodells anhand der nachstehenden Figuren näher erläutert. Dabei zeigen:The invention is illustrated using the example of the OSI Reference model explained in more detail using the figures below. Show:

Fig. 1 einen schematischen Ausschnitt aus dem erfindungsgemäßen Kommunikationsrechner, und Fig. 1 shows a schematic section of the communication computer according to the invention, and

Fig. 2 den Aufbau der Telegramme über die 7 OSI-Schichten mit Verschlüsselung auf zwei Ebenen. Fig. 2 shows the structure of the telegrams over the 7 OSI layers with encryption on two levels.

Die Fig. 1 zeigt den erfindungswesentlichen Teil einer als Kommunikationsrechner dienenden Datenverarbeitungsanlage. An einen Bus 8 sind nebst anderen, nicht gezeichneten Schaltungen wie Arbeitsspeicher und Peripheriesteuerungen insgesamt acht Prozessoren angeschlossen. Jeder der acht Prozessoren ist zuständig für die Bearbeitung der Telegramme der entsprechenden Schicht des OSI- Referenzmodells, nämlich der Anwendungsprozessor 7 für die Schicht 7, den "Application Layer", der Darstellungsprozessor 6 für die Schicht 6, den "Presentation Layer", der Sitzungsprozessor 5 für die Schicht 5, den "Session Layer", der Transportprozessor 4 für die Schicht 4, den "Transport Layer", der Internetzwerkprozessor 3c und der Netzwerkprozessor 3a für die Schicht 3, den "Network Layer", der Datensicherungsprozessor 2 für die Schicht 2, den "Datalink Layer" und der Bitübertragungsprozessor 1 für die Schicht 1, den "Physical Layer". Der Gebrauch von zwei Prozessoren auf der Netzwerkebene entspricht der Unterteilung dieser Schicht in die Unterschichten 3a, b für die Intranetzwerkkommunikation bzw. 3c für die Internetzwerkkommunikation, welche bevorzugt für die Netzverknüpfungen über Gateways benützt wird. Fig. 1 shows the inventively essential part of a computer serving as a communication data processing system. In addition to other circuits, not shown, such as working memory and peripheral controls, a total of eight processors are connected to a bus 8 . Each of the eight processors is responsible for processing the telegrams of the corresponding layer of the OSI reference model, namely the application processor 7 for layer 7 , the "application layer", the presentation processor 6 for layer 6 , the "presentation layer", the session processor 5 for the layer 5, the "session layer," the transport processor 4 for the layer 4, the "transport layer", the inter-network processor 3 c and the network processor 3 a for the layer 3, the "network layer", the backup processor 2 for Layer 2 , the "Datalink Layer" and the bit transfer processor 1 for Layer 1 , the "Physical Layer". The use of two processors at the network level corresponds to the subdivision of this layer into sub-layers 3 a, b for intra-network communication and 3 c for internetwork communication, which is preferably used for network connections via gateways.

Es sei an dieser Stelle festgehalten, daß die gezeigte Aufteilung zwar bevorzugt aber nicht zwingend ist. Im Sinne der Erfindung ist auch das Zusammenlegen von Prozessoren möglich, namentlich solcher für Protokolle, die ähnliche Anforderungen an die Arbeitsweise des Prozessors stellen, wie z. B. der Darstellungsprozessor 6 und der Sitzungsprozessor 5. Die voneinander unabhängige Bearbeitung ist damit zwar nicht mehr in vollem Maß gegeben, doch kann unter Umständen eine Überkapazität von Prozessorleistung vermieden werden.It should be noted at this point that the division shown is preferred but not mandatory. For the purposes of the invention, it is also possible to merge processors, in particular those for protocols which have similar requirements for the functioning of the processor, such as, for. B. the presentation processor 6 and the session processor 5 . The independent processing is no longer possible to the full extent, but under certain circumstances an excess capacity of processor performance can be avoided.

Eine Besonderheit im Dienste der Datensicherung stellt die Kryptierung auf einzelnen Schichten dar, was beispielsweise durch eine Ent- und Verschlüsselungseinrichtung 9 bzw. 9′ bewerkstelligt wird, die zwischen den Tranportprozessor 4 und den Bus 8 bzw. den Datensicherungsprozessor 2 und den Bus 8 geschaltet ist. Die zwischen dem Prozessor 4 und der Ent-/Verschlüsselungseinrichtung 9 verkehrenden Daten und Befehle 10 sind unverschlüsselt. Die Daten und Befehle 11, die von der Ent-/Verschlüsselungseinrichtung 9 an den Bus 8 gelangen, können je nach Bedarf verschlüsselt sein oder nicht. Die Wirkungsweise der Verschlüsselung wird anhand der Erläuterung zur Fig. 2 näher ausgeführt. Auch hier sei darauf hingewiesen, daß die gezeichnete Anordnung Beispielcharakter hat. Das Kryptieren kann auch auf andere Weise bewerkstelligt werden. Ent- /Verschlüsselungseinrichtungen 9 können auch anderen Prozessoren und in insgesamt anderer Anzahl zwischengeschaltet werden. Bevorzugt ist dabei insbesondere der Internetzwerkprozessor 3c, weil dieser die Gateways zu fremden Netzwerken bearbeitet. Die Ent- /Verschlüsselungseinrichtung 9 ist auch in der Lage, die Daten ohne Beeinflussung direkt weiterzugeben.A special feature in the service of data backup is the encryption on individual layers, which is accomplished, for example, by a decryption and encryption device 9 or 9 ', which is connected between the transport processor 4 and the bus 8 or the data backup processor 2 and the bus 8 . The data and commands 10 that travel between the processor 4 and the decryption / encryption device 9 are not encrypted. The data and commands 11 which reach the bus 8 from the decryption / encryption device 9 may or may not be encrypted as required. The mode of operation of the encryption is explained in greater detail on the basis of the explanation for FIG. 2. It should also be pointed out here that the arrangement shown is exemplary. Cryptography can also be accomplished in other ways. Decryption / encryption devices 9 can also be interposed between other processors and in total different numbers. In particular, the internal network processor 3 c is preferred because it processes the gateways to external networks. The decryption / encryption device 9 is also able to pass on the data directly without influencing it.

Der physikalische Aufbau des Mehrprozessor-Rechners kann auf vielfältige Weise erfolgen. Dies reicht von Baugruppen in eigenständigen, voneinander getrennten Geräten über rechnerbusverknüpfte Prozessoren in einem Gerät bis zu Prozessoren auf einer gemeinsamen Leiterplatte, wobei Mischformen denkbar sind.The physical structure of the multiprocessor computer can be based on done in many different ways. This ranges from assemblies in independent, separate devices processor-bus-linked processors in one device up to processors a common circuit board, mixed forms are conceivable.

Die Fig. 2 zeigt schematisch den Aufbau der Telegramme, wie sie gemäß den Vorgaben des OSI-Referenzmodells auf den einzelnen Ebenen strukturiert und ausgewertet werden. Auf der rechten Seite sind wiederum die acht Prozessoren gezeichnet, wie sie im Zusammenhang mit Fig. 1 beschrieben wurden, diesmal sinnfällig auf verschiedenen Ebenen übereinander angeordnet. Die anfallenden Daten einer Anwendung werden vom Anwendungsprozessor 7 in ein protokollgerechtes, genormtes Anwendungstelegramm 17 gepackt, das zwei Teile einschließt, die Anwendungs-Nutzdaten, kurz 7-Daten 27 genannt, und deren sogenannter Header, die Anwendungs-Kopfdaten, hier kurz 7-Kopf 37 genannt. Auf der darunterliegenden Schicht 6 wird dieses Telegramm als Ganzes übernommen. Der Darstellungsprozessor 6 packt die auf dieser Ebene anfallenden Daten in ein protokollgerechtes, genormtes Darstellungs- Telegramm 16, in dessen Darstellungs-Nutzdaten, kurz 6-Daten 26, das ganze Anwendungs-Telegramm 17 der überlagerten Schicht 7 enthalten ist, und das mit den Darstellungs-Kopfdaten, kurz 6-Kopf 36, versehen ist. Dieses Verfahren setzt sich über die fünfte Stufe, die Sitzungs- Schicht mit dem Sitzungs-Telegramm 15 bestehend aus den 5-Daten 25 und dem 5-Kopf 35, zur vierten Stufe, der Transport-Schicht fort.The Fig. 2 schematically shows the structure of the telegrams such as structured according to the requirements of the OSI reference model at different levels and are evaluated. The eight processors, as described in connection with FIG. 1, are again drawn on the right-hand side, this time clearly arranged one above the other on different levels. The application data 7 are packed by the application processor 7 in a protocol-compliant, standardized application telegram 17 , which includes two parts, the application useful data, 7 data 27 for short, and its so-called header, the application header data, here 7-header for short 37 called. This telegram is accepted as a whole on layer 6 below. The display processor 6 packs the data obtained at this level into a protocol-compliant, standardized display telegram 16 , in the display user data, or 6 data 26 for short, the entire application telegram 17 of the superimposed layer 7 is contained, and this with the display Header data, 6 head 36 for short. This process continues through the fifth stage, the session layer with the session telegram 15 consisting of the 5 data 25 and the 5-header 35 , to the fourth stage, the transport layer.

Hier nun, in Übereinstimmung mit der für die Fig. 1 getroffenen Annahme, ist durch die erste Schraffur das kryptieren angedeutet, das Verschlüsseln der Daten bzw. deren Entschlüsseln, wenn der Vorgang in umgekehrter Richtung betrachtet wird. Der Transportprozessor 4 ist ein Kryptoprozessor, wie er beispielsweise durch eine Anordnung gemäß Fig. 1 realisiert wird. Seine Ausgangsdaten, das Transport-Telegramm 14, liegen verschlüsselt vor. Die verwendeten Protokolle und deren Funktionen werden dadurch nicht beeinflußt. Die Daten, die an die darunterliegenden Schichten zur weiteren Bearbeitung übergeben werden, sind jetzt jedoch verschlüsselt und nur vom Empfängerprozessor der entsprechenden Schicht wieder zu entschlüsseln. Ein berechtigter Teilnehmer im Kommunikationssystem muß also ein Kommunikationsrechner sein, der über einen Kryptoprozessor auf derselben Ebene und den entsprechenden Schlüssel verfügt. Gemäß der dem Schichtenmodell zu Grunde liegenden Vereinbarung, werden Kopf und Daten, also das ganze Telegramm einer Schicht von der darunterliegenden Schicht immer als Daten betrachtet. Die im Beispiel auf der Transportebene vorgenommene Kryptierung ist auf der darunterliegenden Netzwerkebene nicht erkennbar und ebensowenig auf den noch weiter unten liegenden Ebenen. An die darüberliegende Sitzungsebene hingegen werden nur entschlüsselte Daten weitergegeben.Here, in accordance with the assumption made for FIG. 1, the first hatching indicates the encryption, the encryption of the data or the decryption thereof when the process is viewed in the opposite direction. The transport processor 4 is a crypto processor, as is implemented, for example, by an arrangement according to FIG. 1. Its output data, the transport telegram 14 , are encrypted. The protocols used and their functions are not affected by this. However, the data that is transferred to the layers below for further processing are now encrypted and can only be decrypted by the recipient processor of the corresponding layer. An authorized subscriber in the communication system must therefore be a communication computer that has a crypto processor on the same level and the corresponding key. According to the agreement on which the layer model is based, the header and data, i.e. the entire telegram of a layer, are always considered as data by the layer below. The encryption carried out in the example on the transport level is not recognizable on the network level below it, and neither is it on the levels below. However, only decrypted data is passed on to the session level above.

In Fortsetzung des beschriebenen Verfahrens wird ein bereits teilweise verschlüsseltes Intranetzwerktelegramm 13a auf der Datensicherungsebene, auf der gemäß Annahme wiederum ein Kryptoprozessor wirkt, Teil des Datensicherungs-Telegramms 12, das als Ganzes verschlüsselt ist. Ein Teil der 2-Daten 22 ist nun doppelt verschlüsselt, während der 2-Kopf 32 und der restliche Teil der 2- Daten 22 einfach verschlüsselt sind. Der Bitübertragungsprozessor 1 bereitet diese Daten dessen ungeachtet zum Bitübertragungstelegramm 11, bestehend aus dem 1-Kopf 31 und den 1-Daten 21 auf. Fehlt bei einem Teilnehmer am Kommunikationssystem der Kryptoprozessor auf der Datensicherungsebene oder dessen Schlüssel, kann er gar nicht kommunizieren. Fehlt der Kryptoprozessor auf der Transportebene, hält zwar die Verbindung, die übertragene Information ist aber für ihn nicht zugänglich.In continuation of the process described is an already partially encrypted intranetwork telegram 13 a on the backup level, on the assumption in turn according to a crypto processor acts, part of the data backup telegram 12, which is encoded as a whole. Part of the 2-data 22 is now double-encrypted, while the 2-head 32 and the remaining part of the 2-data 22 are simply encrypted. Regardless of this, the bit transmission processor 1 prepares this data for the bit transmission telegram 11 , consisting of the 1-head 31 and the 1-data 21 . If a participant in the communication system is missing the crypto processor on the data protection level or his key, he cannot communicate at all. If the crypto processor is missing on the transport level, the connection is maintained, but the transmitted information is not accessible to it.

Selbstverständlich ist die Kryptierung auf mehreren oder sogar allen Schichten möglich. Von besonderer Bedeutung ist die Internetzwerkschicht 3c, die für die Kopplung unterschiedlicher Netze in einem Netzverbund vorgesehen ist. Über entsprechenden Gateways sind derart Übergänge zwischen öffentlichen, privaten und militärischen Netzen möglich, was eine zuverlässige Kontrolle über die Zugangsberechtigung bedingt.Of course, encryption is possible on several or even all layers. Of particular importance is the internetwork layer 3 c, which is provided for coupling different networks in a network. Transitions between public, private and military networks are possible via appropriate gateways, which requires reliable control over access authorization.

Gateways sind gemäß dem OSI-Referenzmodell prinzipiell auf allen Schichten möglich. Die Verwendung spezifischer Prozessoren für eine bestimmte Schicht ermöglicht es, die Telegramme dieser Schicht direkt zu verarbeiten und so Protokollumwandlungen zu umgehen. In einem Verbund von Kommunikationsrechnern mit Prozessoren für fest zugeordnete Protokollschichten können die Rechner über Gateways auf beliebigen Protokollschichten miteinander in Verbindung treten, ohne rechnerinterne Protokollanpassungen je nach Schicht vornehmen zu müssen. Dabei läßt sich in Verbindung mit der Kryptierung auch dem Aspekt der Datensicherheit Rechnung tragen.According to the OSI reference model, gateways are in principle on everyone Layers possible. The use of specific processors for one certain layer enables the telegrams of this layer directly to process and bypass protocol conversions. In one Association of communication computers with processors for fixed assigned protocol layers can be accessed via gateways any protocol layers connect without make internal protocol adjustments depending on the shift have to. In connection with cryptography, this can also be done Take the aspect of data security into account.

Claims

1. Communication computer for operation in a computer network with a data exchange on several layers using defined protocols, with an address bus and a data bus ( 8 ) to which at least one processor, working memory and control circuits for peripheral devices are connected, characterized in that each in the communication computer a processor ( 1 , 2 ,..., 7 ) for data processing is present on one or a dedicated group of protocol layers.

2. Communication computer according to claim 1, characterized in that one processor ( 1 , 2 ,..., 7 ) is present in the communication computer for data processing on exactly one dedicated protocol layer.

3. Communication computer according to claim 1 or 2, characterized in that the information ( 11 ) transmitted between one to all selected processors ( 2 , 4 ) and the data bus ( 8 ) are encrypted.

4. Communication computer according to claim 3, characterized in that the information ( 11 ) transmitted between the processor ( 3 c) responsible for the protocol layer ( 3 ) c according to the ISO / OSI-7 layer model ( 3 c) and the data bus ( 8 ) are encrypted.

5. Communication computer according to one of the preceding claims, characterized in that it communicates via a gateway on an arbitrarily selectable layer, which is assigned its own processor, the telegrams ( 11 , 12 ,..., 17 ) of a protocol layer directly from responsible processor ( 1 , 2 ,..., 7 ) are processed, which eliminates protocol conversions.