基于PCI總線(xiàn)的網(wǎng)絡(luò )衛士隔離卡的硬件設計

摘 要：文章給出了一種對連網(wǎng)計算機硬盤(pán)信息進(jìn)行安全訪(fǎng)問(wèn)的隔離卡實(shí)現方案， 介紹了基于 PCI 總線(xiàn)的雙硬盤(pán)隔離卡的組成及工作原理， 詳細討論了其硬件設計。
關(guān)鍵詞：隔離卡；物理隔離； CH365；CPLD；IDE

引言
由于網(wǎng)絡(luò )終端設備的大部分數據都存儲在硬盤(pán)上， 因此，數據安全的核心是硬盤(pán)數據的安全，其保護手段之一是物理隔離技術(shù)。本文設計的雙硬盤(pán)網(wǎng)絡(luò )衛士隔離卡用于將普通計算機分為安全環(huán)境(內網(wǎng))和開(kāi)放環(huán)境(外網(wǎng))，內網(wǎng)和外網(wǎng)使用不同的硬盤(pán)，并且連接到不同的網(wǎng)絡(luò )，從而能夠避免硬盤(pán)中的重要數據通過(guò)網(wǎng)絡(luò )等方式泄露。一般的雙網(wǎng)卡方案、多重引導卡或者多用戶(hù)管理卡只是在邏輯層提供硬盤(pán)數據隔離，而網(wǎng)絡(luò )衛士隔離卡的特點(diǎn)主要是在物理層提供硬盤(pán)數據隔離，確保更高的數據安全性。網(wǎng)絡(luò )衛士隔離卡基于 PCI 總線(xiàn)，采用了先進(jìn)的物理隔離技術(shù)，不僅能保證網(wǎng)絡(luò )終端設備的信息安全，而且使用方便、可靠、高效。

總體設計方案
網(wǎng)絡(luò )衛士隔離卡的工作原理是：利用PCI總線(xiàn)的擴展ROM機制，在隔離卡上嵌入擴展程序，開(kāi)機后，擴展程序先取得控制權，出現選擇內外網(wǎng)的圖形界面。當擴展ROM接收到用戶(hù)的選擇后，通過(guò)I/O讀取當前的網(wǎng)絡(luò )狀態(tài)，如果與選擇的不匹配，則通過(guò)I/O端口向物理隔離模塊發(fā)出切換選擇，由繼電器實(shí)現硬盤(pán)以及內外網(wǎng)的切換。如果匹配，則將控制權交給選中的硬盤(pán)引導程序，啟動(dòng)操作系統，進(jìn)入相應的網(wǎng)絡(luò )環(huán)境。

網(wǎng)絡(luò )衛士隔離卡由三個(gè)模塊組成，分別是 PCI 接口模塊、物理隔離模塊和網(wǎng)絡(luò )連接控制模塊，如圖 1 所示。PCI 接口模塊由 CH365 和為其提供初始化配置信息的串行 E2PROM以及存儲器組成。作為 PCI 總線(xiàn)與本地總線(xiàn)之間的橋， 該模塊連接 PCI 卡的本地端邏輯到PCI 總線(xiàn)上， 并將 PCI 命令( 例如讀寫(xiě)某個(gè)寄存器、存儲器、I/O 端口) 翻譯到本地端。物理隔離模塊主要由物理隔離電路(用高速 CPLD 實(shí)現)和分別連接計算機主板和硬盤(pán)的兩個(gè) IDE 接口組成。網(wǎng)絡(luò )連接控制模塊控制計算機網(wǎng)卡與 Internet 網(wǎng)線(xiàn)的連接狀態(tài)， 配合物理隔離模塊對硬盤(pán)實(shí)施隔離。

圖1 系統組成

硬件組成
PCI 接口模塊
在本設計中，PCI接口模塊由南京沁恒公司的CH365 和Atmel公司的 E2PROM AT24C02以及華邦公司的W27C512存儲器構成。CH365是一個(gè)連接PCI總線(xiàn)的通用接口芯片，支持I/O端口映射、存儲器映射、擴展ROM以及中斷，可將基于32位PCI總線(xiàn)的從設備接口轉換為主動(dòng)并行接口：8位數據、16位地址、I/O讀寫(xiě)、存儲器讀寫(xiě)。支持低電平有效的本地中斷請求，支持中斷共享。支持長(cháng)度達240字節的I/O端口。支持本地硬件定址功能，自由選擇I/O地址，并在指定地址實(shí)現I/O端口。不論在設計難度、開(kāi)發(fā)周期、ISA移植，還是在價(jià)格上都有其自身優(yōu)越性。通過(guò)CH365在標準的PCI總線(xiàn)上獲得擴展ROM發(fā)出的切換指令以及當前所處的網(wǎng)絡(luò )環(huán)境，實(shí)現內外網(wǎng)絡(luò )環(huán)境的判斷和切換，達到兩塊硬盤(pán)的絕對隔離。實(shí)際電路中用到的引腳如圖 2 所示。

電路中的W27C512是E2PROM芯片，用于存放擴展ROM 程序。由于內外網(wǎng)絡(luò )切換和鎖定指令只需要兩條I/O 指令，加上啟動(dòng)選擇界面等部分后，擴展ROM 程序仍然很小，通常為8KB~64KB，所以可以使用27C512、27C256、27C128 甚至27C64 等ROM 芯片。如果需要支持在線(xiàn)程序升級等附加功能，也可以使用閃存29C512、29C010 或者29F010 等。電路中的24C02 芯片用于記憶用戶(hù)的使用習慣，保存進(jìn)入內網(wǎng)時(shí)的安全密碼、擴展ROM的啟動(dòng)模式、工作模式等，同時(shí)還保存了該設備的PIN碼和用戶(hù)可以修改的加解密信息。

物理隔離模塊
物理隔離模塊由物理隔離電路和3個(gè) IDE 插槽組成。 3個(gè) IDE 插槽通過(guò) IDE 數據線(xiàn)分別連接主板 IDE 插槽( 簡(jiǎn)稱(chēng) IDE0)和兩塊硬盤(pán)的 IDE 接口( 簡(jiǎn)稱(chēng) IDE1和IDE2)， 隔離電路采用 Xilinx 公司的 CPLD 芯片 XC95144， 通過(guò)一個(gè)同步信號同時(shí)切換IDE接口的信號線(xiàn)，大大削弱了信號之間的干擾，性能更穩定。

網(wǎng)絡(luò )連接控制模塊
網(wǎng)絡(luò )連接控制模塊由繼電器組(兩個(gè)雙刀雙擲繼電器)和三個(gè)以太網(wǎng)口構成。三個(gè)以太網(wǎng)口中的兩個(gè)分別連接內網(wǎng)和外網(wǎng)， 另一個(gè)通過(guò)網(wǎng)線(xiàn)連接網(wǎng)卡。雖然在 100Base- T或 10Base- T 以太網(wǎng)中， 只使用了以太網(wǎng)口的第1、2、3、6引腳 (1、2 發(fā)送數據， 3、6 接收數據)，但是，本文采用通過(guò)4個(gè)繼電器使以太網(wǎng)口的8條線(xiàn)全切的方式，既可用于低速網(wǎng)絡(luò )，也能在千兆以太網(wǎng)中一展身手。網(wǎng)絡(luò )連接如圖3 所示。由開(kāi)關(guān)選擇信號S的高低決定網(wǎng)卡與內網(wǎng)還是外網(wǎng)連通。

圖3 網(wǎng)絡(luò )連接示意圖

結語(yǔ)
物理隔離是一種理想的安全保護手段， 可滿(mǎn)足許多高保密單位對于機密信息的安全需求， 諸如政府機關(guān)、軍事機構、電信、金融、大型企業(yè)及科研院校等。本文設計實(shí)現的安全隔離卡采用物理隔離的設計思路，通過(guò)安裝隔離卡和第二硬盤(pán)，把一臺計算機虛擬為兩臺計算機，從而實(shí)現內、外網(wǎng)絡(luò )間的絕對物理隔離，大大增強了計算機用戶(hù)信息的安全性。

參考文獻
1.Tom Shanley Don Anderson. PCI System Architecture(4th Edition), MINDSHARE
2.XC95144 In-System Programmable CPLD Product Specification
3.PCI總線(xiàn)接口芯片CH365數據手冊.南京沁恒電子有限公司，2001