| 摘要 網(wǎng)閘為兩個(gè)網(wǎng)絡(luò)提供完全的網(wǎng)絡(luò)隔離,同時(shí)允許信息在兩個(gè)網(wǎng)絡(luò)間安全傳輸。本文介紹網(wǎng)閘的原理,提供一套千兆網(wǎng)閘架構(gòu)的設(shè)計(jì)方案,給出其PCB信號(hào)完整性設(shè)計(jì)方法。該系統(tǒng)的精確度和穩(wěn)定性得到了改善,它是新一代網(wǎng)絡(luò)安全控制模塊有價(jià)值的候選者。
關(guān)鍵詞 千兆網(wǎng) 網(wǎng)閘技術(shù)信號(hào)完整性仿真 引 言
隨著互聯(lián)網(wǎng)的快速發(fā)展,網(wǎng)絡(luò)安全問(wèn)題日益突出。目前采用最多的網(wǎng)絡(luò)安全措施是防火墻類軟件,但防火墻類軟件本身存在先天缺陷。防火墻隔離的網(wǎng)絡(luò)是基于TCP／IP協(xié)議來(lái)進(jìn)行信息交換的,而TCP／IP本身存在漏洞;同時(shí)防火墻的運(yùn)行離不開(kāi)操作系統(tǒng),操作系統(tǒng)也可能存在未知的漏洞。采用網(wǎng)絡(luò)隔離技術(shù)的網(wǎng)閘,能更有效阻斷已知和未知的攻擊,防范安全漏洞,隔離可信網(wǎng)絡(luò)和不可信網(wǎng)絡(luò)并能保持?jǐn)?shù)據(jù)高效交換,從而提供更好的安全保護(hù),是網(wǎng)絡(luò)安全技術(shù)的發(fā)展方向。MIPS CPU作為RISCCPU體系結(jié)構(gòu)的一種,無(wú)論是在高端的服務(wù)器還是在低端的嵌入式系統(tǒng)中,都得到了廣泛的應(yīng)用。對(duì)網(wǎng)絡(luò)速度的要求、服務(wù)器的瓶頸、應(yīng)用方式的變化,也在促使網(wǎng)絡(luò)向千兆帶寬發(fā)展。MIPS千兆網(wǎng)閘系統(tǒng)的開(kāi)發(fā)對(duì)于現(xiàn)在及將來(lái)的網(wǎng)絡(luò)安全意義重大。千兆網(wǎng)閘系統(tǒng)的PCB上有許多高速器件,時(shí)鐘速度和信號(hào)上升時(shí)間很快。PCB本身尺寸也在逐漸縮小,導(dǎo)致PCB密度增加。元器件和PCB的參數(shù)、損耗的影響、電源分配、元器件在PCB上的布局、高速信號(hào)的布線等因素,都會(huì)引起信號(hào)的完整性(SI)問(wèn)題,導(dǎo)致系統(tǒng)工作不穩(wěn)定,甚至完全不工作。因此高速設(shè)計(jì)本身已成為設(shè)計(jì)過(guò)程的重要部分。在千兆網(wǎng)閘的系統(tǒng)設(shè)計(jì)完成之后,必須仔細(xì)考慮其信號(hào)的完整性設(shè)計(jì)問(wèn)題。 1 設(shè)計(jì)指導(dǎo)原則
1.1 網(wǎng)閘技術(shù)
網(wǎng)絡(luò)隔離的思路在于：中斷直接連接,把協(xié)議剝離掉,還原成原始數(shù)據(jù),對(duì)數(shù)據(jù)進(jìn)行檢查和掃描,防止惡意代碼和病毒,不依賴于操作系統(tǒng)。網(wǎng)絡(luò)隔離技術(shù)具有最高的安全性,因此成為安全市場(chǎng)的黑馬,而基于網(wǎng)絡(luò)隔離技術(shù)的產(chǎn)品—網(wǎng)閘,則逐漸成為主流。網(wǎng)閘在OSI七層模型上全面進(jìn)行隔離。采用三模塊結(jié)構(gòu)—兩個(gè)主機(jī)子系統(tǒng)、控制電路和存儲(chǔ)介質(zhì)組成的隔離設(shè)備。兩個(gè)獨(dú)立主機(jī)子系統(tǒng)分別連接安全與非安全網(wǎng)絡(luò)。保證存儲(chǔ)介質(zhì)與安全網(wǎng)絡(luò)連通時(shí),斷開(kāi)與非安全網(wǎng)絡(luò)的連接;與非安全網(wǎng)絡(luò)連通時(shí),斷開(kāi)與安全網(wǎng)絡(luò)的連接,通過(guò)數(shù)據(jù)擺渡實(shí)現(xiàn)安全的數(shù)據(jù)交換。網(wǎng)閘從物理層進(jìn)行網(wǎng)絡(luò)隔離,消除了數(shù)據(jù)鏈路的通信協(xié)議,剝離了TCP／IP協(xié)議和應(yīng)用協(xié)議,在安全交換后再進(jìn)行協(xié)議的恢復(fù)和重建。
本文的網(wǎng)閘系統(tǒng)采用了動(dòng)態(tài)開(kāi)關(guān)技術(shù)—基于內(nèi)存總線的設(shè)計(jì)。FPGA作為獨(dú)立控制電路,存儲(chǔ)介質(zhì)為雙端口靜態(tài)存儲(chǔ)器,以下簡(jiǎn)稱DPRAM(Dual Port SRAM)。DPRAM每一個(gè)端口的接口部分分別與外部、內(nèi)部主機(jī)的內(nèi)存系統(tǒng)相連,以實(shí)現(xiàn)在外部、內(nèi)部主機(jī)兩個(gè)端口上的開(kāi)關(guān)。兩個(gè)開(kāi)關(guān)不能同時(shí)閉合,原理如圖1所示。 
1．2信號(hào)完整性
1.2.1概述
信號(hào)完整性是指信號(hào)在電路中以正確的時(shí)序和電壓做出響應(yīng)的能力。如果電路中信號(hào)能夠以要求的時(shí)序、持續(xù)時(shí)間和電壓幅度到達(dá)IC,則該電路具有較好的信號(hào)完整性。反之,當(dāng)信號(hào)不能正常響應(yīng)時(shí),就出現(xiàn)了信號(hào)完整性問(wèn)題。從廣義上講,信號(hào)完整性問(wèn)題主要表現(xiàn)為5個(gè)方面：延遲、反射、串?dāng)_、同步切換噪聲(SSN)和電磁兼容性(EMC)。
延遲是指信號(hào)在PCB的導(dǎo)線上以有限的速度傳輸,信號(hào)從發(fā)送端發(fā)出到達(dá)接收端,其問(wèn)存在一個(gè)傳輸延遲。信號(hào)的延遲會(huì)對(duì)系統(tǒng)的時(shí)序產(chǎn)生影響,在高速數(shù)字系統(tǒng)中,傳輸延遲主要取決于導(dǎo)線的長(zhǎng)度和導(dǎo)線周圍介質(zhì)的介電常數(shù)。反射是指當(dāng)PCB上導(dǎo)線(高速數(shù)字系統(tǒng)中稱為傳輸線)的特征阻抗與負(fù)載阻抗不匹配時(shí),信號(hào)到達(dá)接收端后有一部分能量將沿著傳輸線反射回去,使信號(hào)波形發(fā)生畸變,甚至出現(xiàn)信號(hào)的過(guò)沖和下沖。信號(hào)如果在傳輸線上來(lái)回反射,就會(huì)產(chǎn)生振鈴和環(huán)繞振蕩。串?dāng)_是指由于PCB上的任何兩個(gè)器件或?qū)Ь�之間都存在互容(mutualcapacitance)和互感,當(dāng)一個(gè)器件或一根導(dǎo)線上的信號(hào)發(fā)生變化時(shí),其變化會(huì)通過(guò)互容和互感影響其他器件或?qū)Ь�。串?dāng)_的強(qiáng)度取決于器件及導(dǎo)線的幾何尺寸和相互距離。當(dāng)PCB上的眾多數(shù)字信號(hào)同步進(jìn)行切換時(shí)(如CPU的數(shù)據(jù)總線、地址總線等),由于電源線和地線上存在阻抗,會(huì)產(chǎn)生同步切換噪聲,在地線上還會(huì)出現(xiàn)地平面反彈噪聲(簡(jiǎn)稱地彈)。SSN和地彈的強(qiáng)度取決于集成電路的I／O特性、PCB電源層和地平面層的阻抗以及高速器件在PCB上的布局和布線方式。另外,同其他的電子設(shè)備一樣,PCB也有電磁兼容性問(wèn)題,其產(chǎn)生也主要與PCB的布局和布線方式有關(guān)。
1.2.2千兆系統(tǒng)的SI
千兆系統(tǒng)有眾多高速信號(hào),信號(hào)完整性更加突出。許多低速設(shè)備設(shè)計(jì)中無(wú)需考慮的方面,現(xiàn)在都很可能成為系統(tǒng)性能下降甚至崩潰的原因。下面著重討論千兆系統(tǒng)PCB信號(hào)完整性設(shè)計(jì)應(yīng)重點(diǎn)考慮的一些方面。
(l)高速器件模型
能夠進(jìn)行仿真的前提是,芯片的電氣行為和互連信號(hào)線有足夠準(zhǔn)確的描述。這主要通過(guò)對(duì)芯片的緩沖器和走線建模實(shí)現(xiàn)。對(duì)芯片的緩沖器建模主要通過(guò)SCICE網(wǎng)表描述和通過(guò)IBIS模型描述兩種方式。SPICE網(wǎng)表的仿真非常精確,因?yàn)樗菍?duì)緩沖器結(jié)構(gòu)一個(gè)幾乎完整的描述;但從另外一方面看,這樣也會(huì)造成芯片設(shè)計(jì)細(xì)節(jié)的泄漏以及由于仿真涉及的大量計(jì)算造成不可容忍的緩慢速度。IBIS模型是行為級(jí)模型,只是采用I／V和V／t表的形式來(lái)描述芯片I／0單元和引腳的特性,不涉及內(nèi)部細(xì)節(jié),擁有較快的仿真速度;同時(shí),IBIS規(guī)范是由國(guó)際標(biāo)準(zhǔn)組織ANSI／EIA來(lái)維護(hù)的,對(duì)于所有的仿真軟件有統(tǒng)一的描述規(guī)范,得到了絕大多數(shù)仿真軟件廠商的支持,因此IBIS模型是當(dāng)前主要的I／O仿真模型規(guī)范。標(biāo)準(zhǔn)元件制造商現(xiàn)在都提供IBIS模型。仿真工具也可以自己建立模型。對(duì)于PCB的走線建模主要采用傳輸線模型,可以由2D、2．5D甚至3D的電磁場(chǎng)解析器來(lái)分析。比較熟悉的仿真工具SpecctraQuest中就內(nèi)嵌了場(chǎng)解析器。
(2)差分信號(hào)
差分信號(hào)通過(guò)一對(duì)信號(hào)線來(lái)傳輸。一條信號(hào)線上傳輸通常所理解的信號(hào);另一條信號(hào)線上則傳輸一個(gè)等值而方向相反的信號(hào)。如果一條信號(hào)線上的電壓高于另一信號(hào)線上的電壓,就可得到一種邏輯狀態(tài);而如果前者低于后者就可得到另外一種邏輯狀態(tài)。這種信號(hào)的優(yōu)點(diǎn)有：很容易識(shí)別小信號(hào);對(duì)外部電磁干擾(EMI)是高度免疫的。
(3)電源分配系統(tǒng)
電源系統(tǒng)為信號(hào)轉(zhuǎn)換提供穩(wěn)定的電壓參考,為所有的邏輯器件分配電源,是整個(gè)系統(tǒng)的驅(qū)動(dòng)部分,地位十分重要。在電源系統(tǒng)中,電源模塊有極低的輸出阻抗。安裝在板上的電路通過(guò)電線、電纜或電路板走線連接到電源。這條線稱為電源分配線。電源分配線具有相對(duì)大一些的電感,增大大多數(shù)電源的低輸出阻抗。其直流特性可能比較好,但是高頻的阻抗將會(huì)增大。這些都影響了電源和地之間的阻抗。電容的寄生參數(shù)包括一個(gè)等效串連電感(ESL)和一個(gè)等效串連電阻(ESR)。電容的模型是電容、電感和電阻的串連。在電路板上布放的大旁路電容,與電源并聯(lián)。在一定頻率范圍內(nèi),此旁路電容提供了電源和地之間的一個(gè)低阻抗回路;但是在一些更高的頻率下,大旁路電容又會(huì)因?yàn)槠湟_電感(ESL)的值增大而失去效果。此時(shí),可以安放小電容陣列來(lái)實(shí)現(xiàn)第二級(jí)的旁路。N個(gè)容值為C、ESR值為R、ESI值為L(zhǎng)的小電容并聯(lián)后,其容值為N×C,等效串連電感變?yōu)長(zhǎng)／N,等效串連電阻變?yōu)镽／N。平行的電源平面和地平面提供了第三級(jí)的旁路電容。這些電容引腳電感和串連電阻值為零,在非常高的頻率下可以減少電源和地噪聲。電源、布線、大旁路電容、小旁路電容陣列與電源和地平面之間的固有電容,在這些因素的共同作用下,在整個(gè)工作頻率范圍內(nèi)為每個(gè)邏輯器件提供了一個(gè)低的電源源端阻抗,組合起來(lái)統(tǒng)稱為多級(jí)電源分配系統(tǒng)(multilayereId powar distribution system)。因此,從板級(jí)的角度來(lái)看,電源分配系統(tǒng)由電源模塊VRM(Voltage Regulator Modtlle)、電源平面和地平面、各種電容組成。它們分別在不同的頻率范圍內(nèi)做出響應(yīng)。電源模塊響應(yīng)的頻率范圍大約是從直流到lkHz,大的電解電容提供電流并在1 kHz～1 MHz的范圍內(nèi)保持較低阻抗,高頻陶瓷電容組成的小電容陣列在1MHz到幾百M(fèi)Hz的頻率范圍內(nèi)保持較低阻抗,電源和地平面對(duì)則在100 MHz以上發(fā)揮重要作用,如圖2所示。 |
66821730(技術(shù)支持)
