具体实施方式

为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。

图1是本发明的安全计算机实现方法的第一优选实施例的流程图。如图1所示，在步骤S1中，将加密芯片设置在硬盘和主板之间从而实时对写入所述硬盘的数据进行加密和对流出所述硬盘的数据进行解密。在本发明的一个优选实施例中，将开机KEY焊接在主板上，将加密卡直接插在硬盘接口上；采用硬盘数据线连接主板和所述加密芯片；在所述机箱外部的USB接口上插入管理USBKEY；所述加密芯片与所述管理USBKEY有线连接通信并对传输的所述数据进行加密。

在本发明的优选实施例中，安全计算机的硬盘加密系统的构架如图2所示。如图2所示，硬盘和主板之间采用了加密芯片，能够透明实时地硬盘的数据进行加解密运算。安全计算机的操作系统内部安装了安全管控系统，该安全管控系统是上层应用软件和硬盘加密芯片通信的桥梁，同时也控制计算机其它软件的运行行为。上层行为管理应用软件和远端控制软件通信获取用户设置的规则参数，同时上报计算机的硬件ID和程序运行日志信息，另外如果硬件信息改动或加密系统被破坏，将会无法正常登录计算机或自动关机和重启计算机。

在本优选实施例中，加密卡安装方便可靠，可以直接插在硬盘接口上，再用硬盘数据线和主板相连接。采用管理USBKEY，加密卡和管理USBKEY之间采用有线连接方式进行通信，对通信传输的数据进行加密，且加密的密钥一次一密，全性高，外界无法分析密钥值。用加密卡上的蜂鸣器和管理USBKEY上的灯可以提示密钥加载情况。加密芯片置于主板与硬盘之间，内嵌高性能的硬密码运算处理器，透明实时地对写入硬盘里的数据进行加密，对流出硬盘的数据进行解密。该硬盘加密系统可以实时加密/解密整个硬盘的内容，包括掩藏扇区；能向上层屏蔽硬盘信息，过滤磁盘控制指令；支持国际标准或国密分组加密算法；无须CPU干涉，对上层软件透明，几乎不影响计算机的性能；独立的密钥管理单元，外界无法获取密钥，安全性高，抗破解性强。过销毁密钥，能够实现硬盘数据一键自毁。采用CPU智能卡密钥的加密卡，安装在机箱前置面板上；加密卡直接插在硬盘接口上，以有线方式加载密钥，方便深埋机箱内部。固态硬盘加密盒，外形和标准的2.5寸的硬盘一致，可应用一体机等空间紧凑的计算机设备里。提供私有密钥分发、修改工具或有关应用开发套件，便于用户二次开发。

在本发明的优选实施例中，所述开机KEY存有开机授权信息，如时间值和密码等。其中，时间充值过程如下。申请者在加密安全计算机上执行程序生成授权申请书，授权者在自己的安全计算机上根据授权申请书，生成时间授权书。申请者：在加密安全计算机上安装时间授权书。

通过设置前述硬盘加密系统，可方便快捷的实现硬件加密，采用管理USBKEY一次一密的密钥加密方式，对通信传输的数据进行加密，安全性高，外界无法分析密钥值；用加密卡上的蜂鸣器和USBKEY上的灯可以提示密钥加载情况。加密芯片内嵌高性能的硬密码运算处理器，透明实时地对写入硬盘里的数据进行加密，对流出硬盘的数据进行解密，进一步增强保密等级。

在步骤S2中，控制USB设备和内网系统之间的数据加密定向导入导出。在本发明的优选实施例中，采用安全管控系统获取授权安全USB设备列表；在内网模式下插入所述USB设备到USB接口；当所述安全管控系统判定所述USB设备为安全设备时允许进行数据的加密导入和导出；当所述安全管控系统判定所述USB设备为授权设备时，允许将所述USB设备中的数据导入，否则显示该USB设备为未授权设备。

在本发明的进一步的优选实施例中，当所述安全管控系统判定所述USB设备为安全设备时，将内网数据通过所述安全管控系统加密传输到所述USB设备，将所述USB设备的加密数据解密传输到所述内网系统；对导入所述内网系统的数据进行病毒查杀和敏感数据检查。进一步地，在本优选实施例中，通过添加对应的ITABLES规则，将数据包加入NFQUEUE队列，并在NFQUEUE队列中采异或算法和SM4算法进行数据的加密和解密。

图3示出了根据本发明的优选实施例的控制USB设备和内网系统之间的数据加密定向导入导出过程的流程图。

如图3所示，所述内网系统从内网服务器获取所述授权安全USB设备列表。所述内网系统传输所述授权安全USB设备列表给所述安全管控系统。然后，在内网模式插入USB设备到USB接口，安全管控系统系统对USB设备进行身份识别安全认证。首先判断该USB设备是否是安全设备，如果是则支持用户进行内网系统数据的导入导出步骤。如果不是，则判断该USB设备是否是授权设备，如果是的话，则允许将所述USB设备中的数据导入，否则显示该USB设备为未授权设备。

用户进行内网系统数据的导入导出步骤如下。所述内网系统的数据通过安全管控系统进行加密传输导出到USB设备，USB设备的加密数据通过安全管控系统进行解密传输导入到内网系统。导入内网系统的数据进行病毒查杀，敏感数据检查，对病毒文件和敏感数据写入隔离区。

在本发明的优选实施例中，通过添加对应的ITABLES规则，将数据包加入NFQUEUE队列，并在NFQUEUE队列中采异或算法和SM4算法进行数据的加密和解密。

在本发明的优选实施例中，异或算法如图4A所示，将数据与16字节异或串做异或运算，异或串从配置文件读取，并将最终得到的结果作为密文。解密时只需将密文与相同异或串做异或运算，即可恢复得到明文数据。

在本发明的优选实施例中，SM4算法如图4B所示，将明文数据前16字节整数倍长度的数据做SM4运算，对称密钥从配置文件读取，剩余字节与16字节指定异或串做异或运算，最后将两部分密文拼接即得到全部密文。若明文长度不足16字节，则直接将明文数据与16字节指定异或串做异或运算的结果作为密文。解密时将密文数据前16字节整数倍长度的数据做SM4运算，对称密钥从配置文件读取，剩余字节与16字节指定异或串做异或运算，最后将两部分明文拼接即得到全部明文。若密文长度不足16字节，则直接将密文数据与16字节指定异或串做异或运算的结果作为明文。

在步骤S3中，控制内网计算机之间的数据定向传输。在本发明的优选实施例中，采用安全管控系统定时从内网服务器获取定向导出配置信息；用户基于所述定向导出配置信息选择导出设备；将从所述导出设备定向导出的数据经过所述内网服务器按照所述定向导出配置信息分发到接收设备。

举例来说，所有安全计算机内网连接内网服务器，对安全计算机内网的定向导出进行配置，安全管控系统会定时从内网服务器进行获取定向导出配置信息。安全管控系统读取定向导出路径的配置信息并告知内网系统，显示可以定向导出的安全计算机设备，用户选择要导出的其它内网计算机，进行数据的可控定向导出，定向导出时需要保证只能进行数据的传输，不能进行计算，导入等其它任务。定向导出的数据经过后台服务器，服务器按照配置信息对数据进行分发，数据传输到其它内网安全计算机，安全计算机可以看到数据的传输进度，同时接收的安全计算机保证时分单任务控制，不能运行其它任务。

图5示出了网络定向可控导出的流程图。如图5所示，根据所述定向导出配置信息获取接收设备、传输节点以及服务器的身份标志信息；根据所述身份标志信息建立数据库；根据所述数据库中的信息建立接收设备身份识别表、传输节点身份识别表以及服务器身份识别表；分析所述接收设备身份识别表、传输节点身份识别表以及服务器身份识别表以选择数据传输路径；根据所述数据传输路径将所述数据传输给所述接收设备。

在步骤S4中，控制所述内网系统向外网的数据定向导出。在本发明的优选实施例中，内网服务器接收数据外网导出请求并推送所述数据外网导出请求给管理员审核；管理员审核通过后分配数据访问授权码，内网系统通过内网计算机之间的数据定向传输将数据传输到所述内网服务器的安全分区；在验证所述数据访问授权码之后，将所述数据传送到发出数据外网导出请求的终端设备；传输完成后，所述内网服务器自动删除所述数据。在本发明的优选实施例中，所述数据外网导出请求经过一级管理员、二级管理员和三级管理员进行审核；数据传输记录保存到所述内网服务器中且所述内网服务器定时清除传输完成的数据。

如图6所示，用户发送数据外网导出请求到内网服务器。内网服务器推送外网导出请求分别到一级管理员、二级管理员、三级管理员。如果审核不通过，则发送审核不通过通知。内网系统收到审核不通过通知。不能进行数据导出。在管理员均审核通过之后执行导出步骤。管理员审核通过后分配数据访问授权码，内网系统通过网络定向数据传输数据到内网服务器的安全分区。该网络定向数据传输过程可以参照步骤S3对应的实施例，在此就不再累述了。系统管理员通过终端登录验证进入内网服务器，同时可以查看内网服务器的安全分区。在用户输入数据访问授权码，系统管理员才能将文件传输到本地管理员终端，传输数据的记录保存在内网服务器系统。数据传输完成，内网服务器自动删除已经传输的文件，内网服务器检测到半年后文件存在自动删除文件。

本发明在内外网安全一体机基础上，从硬件组成和软件系统控制上做了变更，，更安全有效的保证安全计算机终端与其通信的链路安全可靠。硬件集成双网双系统独立运行的硬件环境在一台一体机内部，进一步增加通信接口功能管控，在内网链路上网络可控定向导入导出，内网系统支持可控安全USB通信。在硬件方面增加内网系统与内网服务器硬盘加解密与USBKEY授权认证。

图7示出了本发明的安全计算机的优选实施例的结构示意图。该安全计算机可以由本领域技术人员在普通安全计算机的基础上根据前述方法实现。基于本发明的教导，本领域技术人员能够构实现本发明的安全计算机，在此就不再累述了。

因此，本发明可以通过硬件、软件或者软、硬件结合来实现。本发明可以在至少一个计算机系统中以集中方式实现，或者由分布在几个互连的计算机系统中的不同部分以分散方式实现。任何可以实现本发明方法的计算机系统或其它设备都是可适用的。常用软硬件的结合可以是安装有计算机程序的通用计算机系统，通过安装和执行程序控制计算机系统，使其按本发明方法运行。

本发明还可以通过计算机程序产品进行实施，程序包含能够实现本发明方法的全部特征，当其安装到计算机系统中时，可以实现本发明的方法。本文件中的计算机程序所指的是：可以采用任何程序语言、代码或符号编写的一组指令的任何表达式，该指令组使系统具有信息处理能力，以直接实现特定功能，或在进行下述一个或两个步骤之后实现特定功能：a)转换成其它语言、编码或符号；b)以不同的格式再现。

虽然本发明是通过具体实施例进行说明的，本领域技术人员应当明白，在不脱离本发明范围的情况下，还可以对本发明进行各种变换及等同替代。另外，针对特定情形或材料，可以对本发明做各种修改，而不脱离本发明的范围。因此，本发明不局限于所公开的具体实施例，而应当包括落入本发明权利要求范围内的全部实施方式。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，均应包含在本发明的保护范围之内。