CN103067216A - 跨安全区的反向通信方法、装置及系统 - Google Patents
跨安全区的反向通信方法、装置及系统 Download PDFInfo
- Publication number
- CN103067216A CN103067216A CN2012105348318A CN201210534831A CN103067216A CN 103067216 A CN103067216 A CN 103067216A CN 2012105348318 A CN2012105348318 A CN 2012105348318A CN 201210534831 A CN201210534831 A CN 201210534831A CN 103067216 A CN103067216 A CN 103067216A
- Authority
- CN
- China
- Prior art keywords
- isolation device
- reverse
- reverse communication
- communication data
- data packet
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
- 230000006854 communication Effects 0.000 title claims abstract description 147
- 238000004891 communication Methods 0.000 title claims abstract description 143
- 238000000034 method Methods 0.000 title claims abstract description 28
- 238000002955 isolation Methods 0.000 claims abstract description 176
- 230000005540 biological transmission Effects 0.000 claims abstract description 36
- 238000001514 detection method Methods 0.000 claims description 22
- 238000004458 analytical method Methods 0.000 claims description 15
- 230000004044 response Effects 0.000 claims description 8
- 230000002159 abnormal effect Effects 0.000 claims description 6
- 238000005206 flow analysis Methods 0.000 claims description 4
- 238000012545 processing Methods 0.000 claims description 4
- 238000010586 diagram Methods 0.000 description 11
- 238000005516 engineering process Methods 0.000 description 8
- 238000010276 construction Methods 0.000 description 6
- 238000004519 manufacturing process Methods 0.000 description 4
- 238000011161 development Methods 0.000 description 2
- 230000006872 improvement Effects 0.000 description 2
- 238000012423 maintenance Methods 0.000 description 2
- 230000002155 anti-virotic effect Effects 0.000 description 1
- 238000013459 approach Methods 0.000 description 1
- 230000009286 beneficial effect Effects 0.000 description 1
- 238000010835 comparative analysis Methods 0.000 description 1
- 230000008030 elimination Effects 0.000 description 1
- 238000003379 elimination reaction Methods 0.000 description 1
- 238000011156 evaluation Methods 0.000 description 1
- 238000001914 filtration Methods 0.000 description 1
- 230000007246 mechanism Effects 0.000 description 1
- 238000012986 modification Methods 0.000 description 1
- 230000004048 modification Effects 0.000 description 1
- 230000000149 penetrating effect Effects 0.000 description 1
- 238000011160 research Methods 0.000 description 1
- 238000012360 testing method Methods 0.000 description 1
- 238000012546 transfer Methods 0.000 description 1
Images
Landscapes
- Data Exchanges In Wide-Area Networks (AREA)
Abstract
本发明公开了跨安全区的反向通信方法、装置及系统。该方法包括：向各个隔离装置的文件网关发送探测包，通过所述探测包的回应包获取各个隔离装置的工作状态信息；比较各个隔离装置的所述工作状态信息，根据比较的结果选择其中一个隔离装置相应的文件网关传输反向通信数据包。采用本发明，可以搭建跨安全区通信的通信总线，从而简化网络结构。根据各个隔离装置的工作状态选择其一，协调传输通信数据包，提高设备资源利用率。便于各个系统的互访，以及提升了系统性能、扩展性和可靠性。
Description
技术领域
本发明涉及电力系统的信息安全技术，特别是涉及跨安全区的反向通信方法、装置及系统。
背景技术
随着电力自动化水平的提高，为保障网络的安全，许多信息安全技术在网络中得到了应用，如在网络中设置防火墙、防病毒系统，对网络进行入侵检测、漏洞扫描等。然而此类保护是一种逻辑机制，必须有一道绝对安全的大门，保证不同安全区之间的安全强度。针对电力信息网络系统安全性的要求，电力专用隔离装置已经被广泛应用到电力信息网络建设中。
电力专用隔离装置在确实保障电力信息网络安全的同时，也在某种程度上给信息的内网网络通信带来了不便。在实现高安全级别的网络隔离的同时，隔离装置自身的功能特性也决定了它会给网络通信带来一定的延时和带宽限制。相关测试表明，传统的通信方法存在如下问题：首先，大量的反向隔离装置和网络通道维护困难，使得故障的定位和排除难以及时完成；然后，新建设的系统需要设置相应的反向隔离装置以满足跨安全区网络通信的需求，无法利用已有的设备资源，造成设备的重复投资；其次，受限于反向隔离装置的性能，不同系统或新旧系统之间难以实现跨系统的数据通信，限制了数据资源的有效利用；最后，由于反向隔离装置往往会成为网络性能的瓶颈，因此部署了反向隔离装置的系统往往难以满足系统升级、扩容、业务范围扩展的需求，也使得系统的可靠性受到限制。
发明内容
基于此，有必要针对上述问题，提供跨安全区的反向通信方法、装置及系统，能够简化网络结构，提高设备资源的利用率，进而提升系统的可靠性和可扩展性。
一种跨安全区的反向通信方法，包括：
向各个隔离装置的文件网关发送探测包，通过所述探测包的回应包获取各个隔离装置的工作状态信息；
比较各个隔离装置的所述工作状态信息，根据比较的结果选择其中一个隔离装置相应的文件网关传输反向通信数据包。
相应地，一种跨安全区的反向通信装置，包括：
链路探测单元，用于向各个隔离装置的文件网关发送探测包；
与所述链路探测单元相连的状态获取单元，用于通过所述探测包的回应包获取各个隔离装置的工作状态信息；
与所述状态获取单元相连的比较分析单元，用于比较各个隔离装置的所述工作状态信息；
与所述比较分析单元相连的选择发送单元，用于根据比较的结果选择其中一个隔离装置相应的文件网关传输反向通信数据包。
相应地，一种跨安全区的反向通信系统，其特征在于，包括：如权利要求8至12任一项所述的跨安全区的反向通信装置，以及与该跨安全区的反向通信装置相连的隔离装置阵列；
其中，所述隔离装置阵列包括预设数个在线工作的隔离装置，及与隔离装置相连的文件网关。
实施本发明，具有如下有益效果：
本发明的跨安全区的反向通信方法及装置，通过在统一的隔离网关一端与各个隔离装置建立有效通信连接及信息交换关系，搭建跨安全区通信的通信总线，从而简化网络结构。根据各个隔离装置的工作状态选择其一，协调传输通信数据包，提高设备资源利用率。便于跨安全区系统之间的信息传输，以及提升了系统性能、扩展性和可靠性。
本发明的跨安全区的反向通信系统，采用并联式的系统架构，相比于传统技术仅是对单体隔离设备性能的改进，本发明将隔离装置进行并联，能够管理数个隔离装置同时在线工作。这对于业内是一次影响较大的变革。
附图说明
图1为本传统的反向隔离装置的通信示意图；
图2为本发明一种跨安全区的反向通信方法的流程图；
图3为本发明一种跨安全区的反向通信方法的实施例示意图；
图4为本发明一种跨安全区的反向通信方法的实施例流程图；
图5为本发明一种跨安全区的反向通信装置的示意图；
图6为本发明一种跨安全区的反向通信装置的实施例示意图；
图7为本发明一种跨安全区的反向通信系统的示意图。
具体实施方式
为使本发明的目的、技术方案和优点更加清楚，下面将结合附图对本发明作进一步地详细描述。
图1为本传统的反向隔离装置的通信示意图。
随着电力自动化水平的提高，通信技术和网络技术的发展，电力系统越来越依赖电力信息网络来保障其安全、可靠和高效的运行，信息网络的安全直接关系到电力系统的安全，因此对电力系统信息安全关键技术的研究就显得尤为重要。
根据《全国电力二次系统安全防护总体方案》的要求，电力二次系统划分为不同的安全工作区，反映了各区中业务系统重要性的差别。不同的安全区确定了不同的安全防护要求，从而决定了不同的安全等级和防护水平。系统整体分为三个安全区：安全I区（控制区），安全II区（非控制区）、安全III区（管理信息区）。其中安全I区和安全II区与生产相关，因此二者统称为生产控制区。由于生产控制区和管理信息区的安全强度要求差异较大，信息跨区域的传递有严格的限制，因此区域之间需要采用网络隔离技术，以达到最高的安全强度。
如图1所示，网络隔离技术是指内部网络不直接或间接地连接外部网络。只有使内部网和公共网隔离装置，保证内部信息网络不受来自互联网的黑客攻击。同时，隔离装置也为内部网划定了明确的安全边界，使得网络的可控性增强，便于内部管理。在电力信息网络中，反向隔离装置和反向隔离装置是实现网络隔离技术的典型设备。其中，安全隔离装置（反向）用于安全区III到安全区I/II的单向数据传递，其具体功能如下：
（1）具有网关功能，实现应用数据的接收与转发；
（2）具有数据内容有效性检查功能；
（3）具有基于数字证书的数据签名/验签功能；
（4）实现两个安全区之间的非网络方式的安全的数据传递；
（5）支持透明工作方式：虚拟主机IP地址、隐藏MAC地址；
（6）支持NAT；
（7）基于MAC、IP、传输协议、传输端口以及通信方向的综合报文过滤与访问控制；
（8）防止穿透性TCP联接。
实际生产中，往往会遇到系统需要从III区获取更多的数据的场景。如图1中虚线所示部分。一方面需要实现系统内部的跨安全区通信，另一方面还需要从新增系统中获取数据。为此需要在系统之间新建跨安全区的网络通道。这种方式存在着两点问题：
在不同系统之间建立网络通道会增加网络的复杂度，降低网络的可维护性和安全性。而且随着业务系统的快速发展，原有系统中数据等资源的重用和新系统的大量建设将成为大势所趋，这一问题将更加的突出。
原有系统可能受限于反向隔离装置性能，无法为更多的系统提供数据。
图2为本发明一种跨安全区的反向通信方法的流程图，包括：
S101：向各个隔离装置的文件网关发送探测包，通过所述探测包的回应包获取各个隔离装置的工作状态信息；
S102：比较各个隔离装置的所述工作状态信息，根据比较的结果选择其中一个隔离装置相应的文件网关传输反向通信数据包。
图3为本发明一种跨安全区的反向通信方法的实施例示意图，以下结合图2、图3对本发明做进一步的说明。
如图3所示，本发明的系统采用反向隔离装置阵列代替原有独立的反向隔离装置，并在安全I/II区和安全III区内分别设置统一的隔离网关。其中，所述反向隔离装置阵列包括至少一个隔离装置，各个隔离装置配有相应的文件网关。本发明利用可靠连接将隔离网关与反向隔离装置阵列相连接，形成跨安全区反向通信的总线结构。对于需要跨安全区进行反向通信的系统，则直接连接至本安全区内相应的隔离网关，也即连接至跨安全区反向通信总线。通过该总线完成与其他安全区之间的通信。
反向隔离装置阵列即将若干台反向隔离装置进行相同或类似的配置，组成并行传输的运行模式，构建反向隔离阵列网络，无需区别对待不同厂家生产的隔离装置的配置问题，从而扩大网络数据通信流量，解决网络流量的瓶颈。
具体地，通过统一的隔离网关，向反向隔离装置阵列中的各个隔离装置相应的文件网关发送探测包，发送端的文件网关组能够判断其与相应的（反向）隔离装置的链路繁忙与否，并将信息提交给隔离网关，获取各个隔离装置的工作状态信息。其中，所述工作状态信息主要包括当前的流量负担信息。不同的厂家、不同型号的隔离装置，在传输带宽、运算速度方面可能有所不同，但本发明无需考虑其具体的性能参数，根据实际的工作状态信息进行协调。比较各个隔离装置的所述工作状态信息，根据比较的结果选择其中一个隔离装置传输反向通信数据包。只要反向隔离装置阵列中的所有设备不同时发生故障，则系统可以实现正常跨安全区通信并确保网络隔离功能的实现，从而提高了系统的可靠性；对于安全III区内的原有或新增系统，无需感知反向隔离装置阵列内部的结构和具体设备状态，也无需知道具体的数据传输路径，即可需要，从反向隔离装置阵列中选择其中合适的网络隔离网关进行通信，从而增强了系统的扩展性。综上所述，便于跨安全区系统之间的信息传输。
为了提供一种请求失败的处理方案，本实施例还包括，
当选择所述隔离装置传输反向通信数据包的请求失败时，或当传输所述反向通信数据包的通信过程中断时，向所述隔离装置再次发送所述传输反向通信数据包的请求。
需要补充说明的是，发送端的文件网关，还包括如下功能：
第一，能够与安全区III内各系统之间进行特定协议的TCP数据传输；
第二，实现原有系统下的反向隔离装置配套文件传输程序发送部分的功能。
发送端的文件网关，包括如下功能：
第一，负责发送端文件网关组传输数据组装并在指定目录形成文件。
第二，向安全区I/II内各系统提供读取所需文件的接口。
图4为本发明一种跨安全区的反向通信方法的实施例流程图。与图2相比，图4为具体实施例的示意图。
S201：向各个隔离装置的文件网关发送探测包，通过所述探测包的回应包获取各个隔离装置的工作状态信息；
S202：比较各个隔离装置的所述工作状态信息，根据所述设备正常工作信息比较的结果，从在线正常工作的隔离装置中选择其中一个隔离装置相应的文件网关传输反向通信数据包；
S203：根据所述设备流量负载信息比较的结果，选择当前通信流量最小的隔离装置相应的文件网关传输反向通信数据包；
S204：根据所述工作状态信息设置各个隔离装置的传输优先级别，选择当前所述传输优先级别最高的隔离装置相应的文件网关传输所述反向通信数据包；
S205：所述发送端文件网关将所述反向通信数据包转换为带加密签名的文件包进行传输；
S206：经过相应的隔离装置对所述加密签名进行验证之后，再由相应的所述接收端文件网关对所述带加密签名的文件包解密传输。
在其中一个实施例当中，所述工作状态信息主要包括设备正常工作信息和设备流量负载信息。
根据所述设备正常工作信息比较的结果，从在线正常工作的隔离装置中选择其中一个隔离装置相应的文件网关传输反向通信数据包；和/或，
根据所述设备流量负载信息比较的结果，选择当前通信流量最小的隔离装置相应的文件网关传输反向通信数据包。
本发明实施例将正常工作信息和/或设备流量负载信息作为隔离装置的选取依据，协调反向隔离装置阵列的正常工作。
在其中一个实施例当中，与上一实施例相比，本实施例并非简单地以设备是否运行正常和当前流量负担的大小作为依据。而是，进一步地，对各个选取依据设置优先级别，获取一个具有综合评估作用的优先级数，并以此优先级数作为选取判断的依据。
根据所述工作状态信息设置各个隔离装置的传输优先级别，选择当前所述传输优先级别最高的隔离装置相应的文件网关传输所述反向通信数据包；其中，
当隔离装置离线或不正常工作时，设置其优先级别为最低级数；当新增加的隔离装置在线正常工作时，设置其优先级别为最高级数。
需要补充说明的是，这里根据设备正常工作与否设置最高/最低优先级数，还包括，判断安全III区特定系统的专用隔离装置的离线或不正常工作时，设定该专用隔离装置的优先级数为最低。当新增加对于安全III区特定系统的专用隔离装置在线正常工作时，针对传输给该安全III区特定系统的数据包，设置其专用隔离装置的优先级数为最高。
当选择隔离装置传输所述反向通信数据包之时，该隔离装置的传输优先级别降低预设级数；当该隔离装置完成所述反向通信数据的传输之后，所述传输优先级别增加所述预设级数。
上述方案提供了根据实时流量负担信息而动态更新的优先级数。
为了提供一种请求失败的处理方案，本实施例还包括，
当选择所述隔离装置传输反向通信数据包的请求失败时，或当传输所述反向通信数据包的通信过程中断时，向较低优先级别的隔离装置发送所述传输反向通信数据包的请求；
当向所述隔离装置发送预设数次所述传输反向通信数据包的请求，仍失败时，向较低优先级别的隔离装置发送所述传输反向通信数据包的请求。
根据所述工作状态信息判定隔离装置离线或不正常工作时，发出与该隔离装置相对应的通道异常告警。
只要反向隔离装置阵列中的各个设备不同时发生故障，则系统可以正常通信并确保网络隔离功能的实现。
相比现有技术方案，本发明具有以下优点：
简化了网络结构，降低了网络建设和维护的复杂度。通过设置总线式的跨安全区互通网络架构，各系统统一接入“跨安全区反向通信总线”，即可实现和不同安全区设备的通信，通信的安全和效率由总线保证。网络结构清晰，系统实现简单。
提高了设备资源利用率，降低了系统建设成本。新系统建设时，无需重复建设反向隔离装置，由“跨安全区反向通信总线”统一实现反向隔离功能；反向隔离装置阵列能够充分利用所有反向隔离设备的资源，在必要时灵活扩展，有效的提升了设备资源的利用效率。
实现了不同系统之间的灵活通信，降低了资源重用的难度。I/II区的系统能够根据具体的业务需求，灵活且安全的获取III区各类系统的数据。
消除了网络性能瓶颈。反向隔离装置阵列实现了高性能、可扩展的网络隔离功能，很好的解决了采用隔离装置带来的网络瓶颈问题。
图5为本发明一种跨安全区的反向通信装置的示意图，包括：
链路探测单元，用于向各个隔离装置的文件网关发送探测包；
与所述链路探测单元相连的状态获取单元，用于通过所述探测包的回应包获取各个隔离装置的工作状态信息；
与所述状态获取单元相连的比较分析单元，用于比较各个隔离装置的所述工作状态信息；
与所述比较分析单元相连的选择发送单元，用于根据比较的结果选择其中一个隔离装置相应的文件网关传输反向通信数据包。
图5与图2相对应，图中各个单元的运行方式与方法中的相同。
图6为本发明一种跨安全区的反向通信装置的实施例示意图。
如图6所示，所述比较分析单元包括：状态分析单元和/或流量分析单元；
与所述选择发送单元相连的所述状态分析单元，用于根据所述设备正常工作信息比较的结果，获得在线正常工作的隔离装置；所述选择发送单元用于从在线正常工作的隔离装置中选择其中一个隔离装置相应的文件网关传输反向通信数据包；
与所述选择发送单元相连的所述流量分析单元用于根据所述设备流量负载信息比较的结果，获得当前通信流量最小的隔离装置；所述选择发送单元用于选择当前通信流量最小的隔离装置相应的文件网关传输反向通信数据包。
如图6所示，还包括：
连接在所述比较分析单元与所述选择发送单元的优先级单元，用于根据所述工作状态信息设置各个隔离装置的传输优先级别；所述选择发送单元还用于选择当前所述传输优先级别最高的隔离装置传输所述反向通信数据包。
与所述选择发送单元相连的失败处理单元，用于在传输失败的情况下，触发所述选择发送单元向所述隔离装置再次发送所述传输反向通信数据包的请求，或触发所述选择发送单元向较低优先级别的隔离装置发送所述传输反向通信数据包的请求。
与所述比较分析单元相连的异常告警单元，用于根据所述工作状态信息判定隔离装置离线或不正常工作时，发出与该隔离装置相对应的通道异常告警。
图6与图4相对应，图中各个单元的运行方式与方法中的相同。
需要补充说明的是，本发明在跨安全区之间提供了统一的接收/发送隔离网关。隔离网关是跨安全区反向通信总线在各个安全区的接入点。在发送隔离网关一端实现本发明。
图7为本发明一种跨安全区的反向通信系统的示意图，包括：
如前所述的跨安全区的反向通信装置，以及与该跨安全区的反向通信装置相连的隔离装置阵列；
其中，所述隔离装置阵列包括预设数个在线工作的隔离装置，及与隔离装置相连的文件网关。
所述文件网关包括发送端文件网关和接收端文件网关，其中，
所述发送端文件网关连接在所述隔离装置与所述跨安全区的反向通信装置之间，用于将所述反向通信数据包转换为带加密签名的文件包进行传输；
相应的所述隔离装置用于对所述加密签名进行验证；
相应的所述接收端文件网关用于对所述带加密签名的文件包解密传输。
本发明的跨安全区的反向通信系统，采用并联式的系统架构，相比于传统技术仅是对单体隔离设备性能的改进，本发明将隔离装置进行并联，能够管理数个隔离装置同时在线工作。这对于业内是一次影响较大的变革。
相比现有技术方案，本发明具有以下优点：
简化了网络结构，降低了网络建设和维护的复杂度。通过设置总线式的跨安全区通信网络架构，各系统统一接入“跨安全区反向通信总线”，即可实现和不同安全区之间设备的通信，通信的可靠性及效率由总线保证。网络结构清晰，系统实现简单。
提高了设备资源利用率，降低了系统建设成本。新系统建设时，无需重复建设反向隔离装置，由跨安全区反向通信总线统一实现隔离装置功能；隔离装置阵列能够充分利用所有隔离装置设备的资源，在必要时灵活扩展，有效的提升了设备资源的利用效率。
实现了不同系统之间的灵活通信，降低了资源重用的难度。I/II区的系统能够根据具体的业务需求，灵活的将数据发送到III区的不同系统中，实现对已有数据等资源的重复利用。
消除了网络性能瓶颈。本发明技术方案实现了高性能、可平滑扩展的网络隔离功能实现方式，较好的解决了反向隔离装置带来的网络瓶颈问题。
系统可靠性提升。反向隔离装置阵列具有较强的容灾能力，从而提高了系统整体的可靠性。
以上所述实施例仅表达了本发明的几种实施方式，其描述较为具体和详细，但并不能因此而理解为对本发明专利范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本发明构思的前提下，还可以做出若干变形和改进，这些都属于本发明的保护范围。因此，本发明专利的保护范围应以所附权利要求为准。
Claims (14)
1.一种跨安全区的反向通信方法，其特征在于，包括：
向各个隔离装置的文件网关发送探测包，通过所述探测包的回应包获取各个隔离装置的工作状态信息；
比较各个隔离装置的所述工作状态信息，根据比较的结果选择其中一个隔离装置相应的文件网关传输反向通信数据包。
2.根据权利要求1所述的跨安全区的反向通信方法，其特征在于，所述工作状态信息主要包括设备正常工作信息和设备流量负载信息，根据比较的结果选择其中一个隔离装置相应的文件网关传输反向通信数据包的步骤，包括：
根据所述设备正常工作信息比较的结果，从在线正常工作的隔离装置中选择其中一个隔离装置相应的文件网关传输反向通信数据包；和/或，
根据所述设备流量负载信息比较的结果，选择当前通信流量最小的隔离装置相应的文件网关传输反向通信数据包。
3.根据权利要求1所述的跨安全区的反向通信方法，其特征在于：
根据所述工作状态信息设置各个隔离装置的传输优先级别，选择当前所述传输优先级别最高的隔离装置相应的文件网关传输所述反向通信数据包；其中，
当隔离装置离线或不正常工作时，设置其优先级别为最低级数；当新增加的隔离装置在线正常工作时，设置其优先级别为最高级数；
当选择隔离装置传输所述反向通信数据包之时，该隔离装置的传输优先级别降低预设级数；当该隔离装置完成所述反向通信数据的传输之后，所述传输优先级别增加所述预设级数。
4.根据权利要求2或3所述的跨安全区的反向通信方法，其特征在于，根据比较的结果选择其中一个隔离装置传输反向通信数据包的步骤，包括：
当选择所述隔离装置传输反向通信数据包的请求失败时，或当传输所述反向通信数据包的通信过程中断时，向所述隔离装置再次发送所述传输反向通信数据包的请求。
5.根据权利要求3所述的跨安全区的反向通信方法，其特征在于，根据比较的结果选择其中一个隔离装置传输反向通信数据包的步骤，包括：
当选择所述隔离装置传输反向通信数据包的请求失败时，或当传输所述反向通信数据包的通信过程中断时，向较低优先级别的隔离装置发送所述传输反向通信数据包的请求；
当向所述隔离装置发送预设数次所述传输反向通信数据包的请求，仍失败时，向较低优先级别的隔离装置发送所述传输反向通信数据包的请求。
6.根据权利要求1至5任一项的跨安全区的反向通信方法，其特征在于：
根据所述工作状态信息判定隔离装置离线或不正常工作时，发出与该隔离装置相对应的通道异常告警。
7.根据权利要求1至6任一项所述的跨安全区的反向通信方法，其特征在于，所述文件网关包括发送端文件网关和接收端文件网关，传输反向通信数据包的步骤，包括：
所述发送端文件网关将所述反向通信数据包转换为带加密签名的文件包进行传输；
经过相应的隔离装置对所述加密签名进行验证之后，再由相应的所述接收端文件网关对所述带加密签名的文件包解密传输。
8.一种跨安全区的反向通信装置，其特征在于，包括：
链路探测单元，用于向各个隔离装置的文件网关发送探测包；
与所述链路探测单元相连的状态获取单元，用于通过所述探测包的回应包获取各个隔离装置的工作状态信息；
与所述状态获取单元相连的比较分析单元，用于比较各个隔离装置的所述工作状态信息；
与所述比较分析单元相连的选择发送单元，用于根据比较的结果选择其中一个隔离装置相应的文件网关传输反向通信数据包。
9.根据权利要求8所述的跨安全区的反向通信装置，其特征在于，所述比较分析单元包括：状态分析单元和/或流量分析单元；
与所述选择发送单元相连的所述状态分析单元，用于根据所述设备正常工作信息比较的结果，获得在线正常工作的隔离装置；所述选择发送单元用于从在线正常工作的隔离装置中选择其中一个隔离装置相应的文件网关传输反向通信数据包；
与所述选择发送单元相连的所述流量分析单元用于根据所述设备流量负载信息比较的结果，获得当前通信流量最小的隔离装置；所述选择发送单元用于选择当前通信流量最小的隔离装置相应的文件网关传输反向通信数据包。
10.根据权利要求8所述的跨安全区的反向通信装置，其特征在于，还包括：
连接在所述比较分析单元与所述选择发送单元的优先级单元，用于根据所述工作状态信息设置各个隔离装置的传输优先级别；所述选择发送单元还用于选择当前所述传输优先级别最高的隔离装置传输所述反向通信数据包。
11.根据权利要求9或10所述的跨安全区的反向通信装置，其特征在于，还包括：
与所述选择发送单元相连的失败处理单元，用于在传输失败的情况下，触发所述选择发送单元向所述隔离装置再次发送所述传输反向通信数据包的请求，或触发所述选择发送单元向较低优先级别的隔离装置发送所述传输反向通信数据包的请求。
12.根据权利要求8至11任一项所述的跨安全区的反向通信装置，其特征在于，还包括：
与所述比较分析单元相连的异常告警单元，用于根据所述工作状态信息判定隔离装置离线或不正常工作时，发出与该隔离装置相对应的通道异常告警。
13.一种跨安全区的反向通信系统，其特征在于，包括：如权利要求8至12任一项所述的跨安全区的反向通信装置，以及与该跨安全区的反向通信装置相连的隔离装置阵列；
其中，所述隔离装置阵列包括预设数个在线工作的隔离装置，及与隔离装置相连的文件网关。
14.根据权利要求13所述的跨安全区的反向通信系统，其特征在于：所述文件网关包括发送端文件网关和接收端文件网关，其中，
所述发送端文件网关连接在所述隔离装置与所述跨安全区的反向通信装置之间，用于将所述反向通信数据包转换为带加密签名的文件包进行传输；
相应的所述隔离装置用于对所述加密签名进行验证；
相应的所述接收端文件网关用于对所述带加密签名的文件包解密传输。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN201210534831.8A CN103067216B (zh) | 2012-12-11 | 2012-12-11 | 跨安全区的反向通信方法、装置及系统 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN201210534831.8A CN103067216B (zh) | 2012-12-11 | 2012-12-11 | 跨安全区的反向通信方法、装置及系统 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| CN103067216A true CN103067216A (zh) | 2013-04-24 |
| CN103067216B CN103067216B (zh) | 2016-08-17 |
Family
ID=48109685
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN201210534831.8A Active CN103067216B (zh) | 2012-12-11 | 2012-12-11 | 跨安全区的反向通信方法、装置及系统 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN103067216B (zh) |
Cited By (6)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN103595511A (zh) * | 2013-10-17 | 2014-02-19 | 广东电网公司茂名供电局 | 一种电力系统内部网络i区至iii区数据传输的方法 |
| CN106685685A (zh) * | 2016-09-06 | 2017-05-17 | 国网浙江省电力公司温州供电公司 | 一种跨安全分区的交换机性能监测方法及系统 |
| CN107070955A (zh) * | 2017-06-16 | 2017-08-18 | 易讯科技股份有限公司 | 一种电力系统数据的传输方法及装置 |
| CN109361672A (zh) * | 2018-10-25 | 2019-02-19 | 许继电气股份有限公司 | 一种安全隔离装置的数据反向传输方法及系统 |
| CN109639591A (zh) * | 2018-12-07 | 2019-04-16 | 国网浙江省电力有限公司 | 配电数据反向传输方法及系统和计算机可读存储介质 |
| CN110300120A (zh) * | 2019-07-10 | 2019-10-01 | 国电南京自动化股份有限公司 | 一种物理隔离条件下反向数据的分级同步方法和系统 |
Citations (6)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US20050086537A1 (en) * | 2003-10-17 | 2005-04-21 | Alex Johnson | Methods and system for replicating and securing process control data |
| CN101512490A (zh) * | 2006-01-17 | 2009-08-19 | 基达罗（以色列）有限公司 | 在网络化环境中保护数据安全 |
| CN101902479A (zh) * | 2010-08-05 | 2010-12-01 | 华东电网有限公司 | 网络隔离系统及其数据传输方法 |
| CN201805446U (zh) * | 2010-08-05 | 2011-04-20 | 华东电网有限公司 | 在线调整传输通道的网络隔离设备阵列系统 |
| CN102088393A (zh) * | 2009-12-02 | 2011-06-08 | 南京南瑞继保电气有限公司 | 一种跨安全区正反向数据传输方法 |
| CN102209361A (zh) * | 2011-05-18 | 2011-10-05 | 天津大学 | 基于链路成本的无线Mesh网络中端设备选择MAP的方法 |
-
2012
- 2012-12-11 CN CN201210534831.8A patent/CN103067216B/zh active Active
Patent Citations (6)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US20050086537A1 (en) * | 2003-10-17 | 2005-04-21 | Alex Johnson | Methods and system for replicating and securing process control data |
| CN101512490A (zh) * | 2006-01-17 | 2009-08-19 | 基达罗（以色列）有限公司 | 在网络化环境中保护数据安全 |
| CN102088393A (zh) * | 2009-12-02 | 2011-06-08 | 南京南瑞继保电气有限公司 | 一种跨安全区正反向数据传输方法 |
| CN101902479A (zh) * | 2010-08-05 | 2010-12-01 | 华东电网有限公司 | 网络隔离系统及其数据传输方法 |
| CN201805446U (zh) * | 2010-08-05 | 2011-04-20 | 华东电网有限公司 | 在线调整传输通道的网络隔离设备阵列系统 |
| CN102209361A (zh) * | 2011-05-18 | 2011-10-05 | 天津大学 | 基于链路成本的无线Mesh网络中端设备选择MAP的方法 |
Non-Patent Citations (1)
| Title |
|---|
| 孙浩然: "《二次系统跨安全区数据传输方法及其在负荷预测中的应用》", 《电网技术》 * |
Cited By (8)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN103595511A (zh) * | 2013-10-17 | 2014-02-19 | 广东电网公司茂名供电局 | 一种电力系统内部网络i区至iii区数据传输的方法 |
| CN106685685A (zh) * | 2016-09-06 | 2017-05-17 | 国网浙江省电力公司温州供电公司 | 一种跨安全分区的交换机性能监测方法及系统 |
| CN107070955A (zh) * | 2017-06-16 | 2017-08-18 | 易讯科技股份有限公司 | 一种电力系统数据的传输方法及装置 |
| CN109361672A (zh) * | 2018-10-25 | 2019-02-19 | 许继电气股份有限公司 | 一种安全隔离装置的数据反向传输方法及系统 |
| CN109639591A (zh) * | 2018-12-07 | 2019-04-16 | 国网浙江省电力有限公司 | 配电数据反向传输方法及系统和计算机可读存储介质 |
| CN109639591B (zh) * | 2018-12-07 | 2022-07-26 | 国网浙江省电力有限公司 | 配电数据反向传输方法及系统和计算机可读存储介质 |
| CN110300120A (zh) * | 2019-07-10 | 2019-10-01 | 国电南京自动化股份有限公司 | 一种物理隔离条件下反向数据的分级同步方法和系统 |
| CN110300120B (zh) * | 2019-07-10 | 2021-07-30 | 国电南京自动化股份有限公司 | 一种物理隔离条件下反向数据的分级同步方法和系统 |
Also Published As
| Publication number | Publication date |
|---|---|
| CN103067216B (zh) | 2016-08-17 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| CN103067216B (zh) | 跨安全区的反向通信方法、装置及系统 | |
| US9043868B2 (en) | Network security appliance | |
| CN104301321B (zh) | 一种实现分布式网络安全防护的方法及系统 | |
| CN102882828A (zh) | 一种内网与外网间的信息安全传输控制方法及其网关 | |
| CN109862045B (zh) | 一种基于sdn的工业控制系统动态防御方法及装置 | |
| CN104601550A (zh) | 基于集群阵列的反向隔离文件传输系统及其方法 | |
| CN115549932B (zh) | 一种面向海量异构物联网终端的安全接入系统及接入方法 | |
| WO2012014509A1 (ja) | 不正アクセス遮断制御方法 | |
| CN112929200B (zh) | 一种面向sdn多控制器的异常检测方法 | |
| Paul et al. | Towards the protection of industrial control systems–conclusions of a vulnerability analysis of profinet IO | |
| CN115885502A (zh) | 对中间网络节点进行诊断 | |
| KR101710385B1 (ko) | Arp 패킷을 관리하는 방법, 장치 및 컴퓨터 프로그램 | |
| Franco et al. | A review on current and old SCADA networks applied to water distribution systems | |
| CN103023722A (zh) | 跨安全区的正向通信方法、装置及系统 | |
| CN109150829B (zh) | 软件定义云网络可信数据分发方法、可读存储介质和终端 | |
| Flathagen et al. | Proxy-based optimization of topology discovery in software defined networks | |
| US11606366B2 (en) | Using CRC for sender authentication in a serial network | |
| CN104468497A (zh) | 监控系统的数据隔离方法及装置 | |
| CN108900518B (zh) | 可信的软件定义云网络数据分发系统 | |
| CN108933707B (zh) | 一种工业网络的安全监控系统及方法 | |
| US20070058654A1 (en) | Arrangement and coupling device for securing data access | |
| JP2005176161A (ja) | 通信制御システム | |
| JP2023531034A (ja) | サービス伝送方法、装置、ネットワーク機器及び記憶媒体 | |
| CN114545860A (zh) | 一种基于物联网网关的远程维护plc的方法 | |
| KR20220070875A (ko) | Sdn/nfv 기반의 스마트홈 네트워크 시스템 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| C06 | Publication | ||
| PB01 | Publication | ||
| C10 | Entry into substantive examination | ||
| SE01 | Entry into force of request for substantive examination | ||
| C14 | Grant of patent or utility model | ||
| GR01 | Patent grant |