[发明专利]基于现场层设备的报文的安全策略匹配方法和现场层设备

说明书

本发明公开了基于现场层设备的报文的安全策略匹配方法和现场层设备，现场层设备是工业互联网操作系统中的重要组成部分，包括工业流程控制管理模块、异构现场设备集成模块、工业管理软件加载模块和现场总线通讯协议模块。本发明用以解决现场总线通讯协议模块安全策略匹配过程匹配速度较慢和匹配效率较低，且待匹配表项维护复杂的技术问题。本发明在多级TCAM联合过程中，前一级匹配的获得的策略信息中的安全策略关联动作信息可以用于决定下一级匹配所使用匹配关键字的构成，实现特征信息的灵活匹配，安全策略报文的层层筛选，推动了安全可信芯片的国产化制造。

技术领域

本发明涉及工业互联网操作系统技术领域，尤其涉及基于现场层设备的报文的安全策略匹配方法和现场层设备。

背景技术

目前交换机芯片内对报文的安全策略匹配多采用二叉树结构进行维护和查找，在以太网交换机芯片中，进行安全策略匹配时会经常涉及到快速查找ACL(访问控制列表，Access Control List)、路由表等功能，这时候查找效率会影响到芯片的性能。目前交换机芯片对报文进行安全策略匹配的方法中，对表的查找操作需要在树中进行多级查找，针对同一报文的不同层级的安全策略没有进行关联。因此，在进行安全策略匹配时，匹配过程复杂且匹配速度较慢，需要多次访问表项存储区才能完成一次匹配操作，且随着待匹配字段长度的增加或表项的数量增加，匹配时间也随之增加；对于已建立的安全策略的表，当用户想修改表项时，例如添加或删除某个表项时会对表中其他条目产生影响，对表项的维护较为复杂。

可见，上述对表的查找操作方法需要在树中进行多级查找，存在以下技术问题：

安全策略匹配过程复杂，且待匹配表项维护复杂，在匹配过程中匹配速度较慢和匹配效率较低的技术问题。

发明内容

本发明实施例通过提供一种基于现场层设备的报文的安全策略匹配方法和现场层设备，用于解决现有技术中安全策略匹配过程复杂，且待匹配表项维护复杂，在匹配过程中匹配速度较慢和匹配效率较低的技术问题。

第一方面，本发明一实施例提供了一种基于现场层设备的报文的安全策略匹配方法，所述现场层设备包括工业流程控制管理模块、异构现场设备集成模块、工业管理软件加载模块和现场总线通讯协议模块，所述工业管理软件加载模块初始化加载所述现场层设备的运行程序；所述工业流程管理模块接收用户下发的报文并将所述报文发送给所述现场总线通讯协议模块，所述现场总线通讯协议模块对报文进行安全策略匹配并把针对所述报文的操作结果发送给所述异构现场设备集成模块；所述现场总线通讯协议模块包括多组三态内容寻址存储器TCAM(Ternary Content Addressable Memory)和多组随机存取存储器RAM，一组TCAM与一组RAM(Ramdom Access Memory)对应连接；所述现场总线通讯协议模块对所述报文进行安全策略匹配的方法包括：

按照所述报文的处理流程的先后顺序每组TCAM接收与TCAM层级对应的匹配关键字；

接收到匹配关键字的任一组TCAM将所述匹配关键字与自身存储的第一安全策略字段进行匹配，获得匹配结果；

所述接收到匹配关键字的任一组TCAM将所述匹配结果发送至与自身连接的一组RAM中进行索引，输出策略信息，其中，所述策略信息包括安全策略关联ID和第一安全策略动作信息，任一组TCAM接收到的匹配关键字，基于自身所在层级的前一层级的RAM输出的策略信息中的所述安全策略关联ID生成；

汇聚各层级RAM输出的策略信息中的所述第一安全策略动作信息，对所述报文进行操作，获得操作结果。

可选的，在所述按照所述报文的处理流程的先后顺序每组TCAM接收与TCAM层级对应的匹配关键字之前，所述方法还包括：

每组TCAM接收下发的第一安全策略字段；其中，所述每组TCAM中存储的第一安全策略字段为用户下发的安全策略中与所述每组TCAM所在的层级相对应的字段。