CN105577785A - 一种跨区网络通信系统及其实现方法 - Google Patents

Abstract

本发明公开了一种跨区网络通信系统，包括现场终端、采集服务器、横向隔离装置、FTP服务端、FTP客户端，FTP客户端通过横向隔离装置连接FTP服务端，其特征在于，还包括FTP转TCP代理、TCP转FTP代理，所述采集服务器连接TCP转FTP代理，TCP转FTP代理连接FTP服务端，FTP服务端连接FTP转TCP代理，FTP转TCP代理连接现场终端，FTP转TCP代理通过横向隔离装置连接TCP转FTP代理。本发明还公开了一种跨区网络通信系统的实现方法。本发明满足电力二次系统安防要求，能够满足高并发、非对称、实时的通信要求，有效提高了性能。

Description

一种跨区网络通信系统及其实现方法

技术领域

本发明涉及一种跨区网络通信系统，具体涉及一种自顶出注塑模具通过横向隔离装置的跨区网络通信系统。本发明还涉及该跨区网络通信系统的实现方法，本发明属于电力自动化领域。

背景技术

电力二次系统安全防护总体方案中有横向隔离的要求。电力二次系统划分为不同的安全工作区，反映了各区中业务系统的重要性的差别.不同的安全区确定了不同的安全防护要求，从而决定了不同的安全等级和防护水平。

根据电力二次系统的特点、目前状况和安全要求，整个二次系统分为四个安全工作区：实时控制区、非控制生产区、生产管理区、管理信息区。

安全区Ⅰ是实时控制区，安全保护的重点与核心；

安全区Ⅱ是非控制生产区；

安全区Ⅲ是生产管理区；

安全区IV是管理信息区。

如图1所示为计量自动化系统（南方电网）或电力用户用电信息采集系统（国家电网）中变电站数据采集示意图。现场终端通过电力光纤或二四专线接入II区网络，III采集服务器为双网卡PC服务器，同时接入II区、III区网络，这样只要在III区采集服务部署采集服务程序就可以直接采集现场终端数据，采集服务器为客户端，现场终端为服务端，但这种方式并不符合电力二次系统安全防护要求。

横向隔离是电力二次安全防护体系的横向防线。采用不同强度的安全设备隔离各安全区，在生产控制大区（即安全区Ⅱ）与管理信息大区（即安全区Ⅲ）之间必须设置经国家指定部门检查认证的电力专用横向单相安全隔离装置，隔离强度应接近或达到物理隔离。电力专用横向单向安全隔离装置作为生产控制大区与管理信息大区之间的边界防护措施，是横向防护的关键设备。生产控制大区内部的安全区之间应当采用具有访问控制功能的网络设备、防火墙或者相当功能的设施，实现逻辑隔离。

按照数据通信方向电力专用横向单向安全隔离装置分为正向型和反向型。正向安全隔离装置（简称正向隔离装置）用于生产控制大区到管理信息大区的非网络方式的单向数据传输。反向安全隔离装置（简称反向隔离装置）用于从管理信息大区到生产控制大区单向数据传输，是管理信息大区到生产控制大区的唯一数据传输途径。反向安全隔离装置集中接收管理信息大区发向生产控制大区的数据，进行签名验证、内容过滤、有效性检查等处理后，转发给生产控制大区内部的接收程序。专用横向单向隔离装置应该满足实时性、可靠性和传输流量等方面的要求。

严格禁止E-Mail、WEB、Telnet、Rlogin、FTP等安全风险高的通用网络服务和以B/S或C/S方式的数据库访问穿越专用横向单向安全隔离装置，仅允许纯数据的单向安全传输。控制区与非控制区之间应采用国产硬件防火墙、具有访问控制功能的设备或相当功能的设施进行逻辑隔离。

电力专用安全隔离装置作为安全区I/II与安全区III的必备边界，具有最高的安全防护强度，是安全区I/II横向防护的要点。其中，正向安全隔离装置用于安全区I/II到安全区III的单向数据传递；反向安全隔离装置用于安全区III到安全区I/II的单向数据传递。

正向安全隔离装置具有如下功能；

1）现两个安全区之间的非网络方式的安全的数据交换，并且保证安全隔离装置内外两个处理系统不同时连通；

2）表示层与应用层数据完全单向传输，即从安全区III到安全区I/II的TCP应答禁止携带应用数据；

3）透明工作方式：虚拟主机IP地址、隐藏MAC地址；

4）基于MAC、IP、传输协议、传输端口以及通信方向的综合报文过滤与访问控制；

5）支持NAT；

6）防止穿透性TCP联接：禁止两个应用网关之间直接建立TCP联接，将内外两个应用网关之间的TCP联接分解成内外两个应用网关分别到隔离装置内外两个网卡的两个TCP虚拟联接。隔离装置内外两个网卡在装置内部是非网络连接，且只允许数据单向传输；

7）具有可定制的应用层解析功能，支持应用层特殊标记识别；

8）安全、方便的维护管理方式：基于证书的管理人员认证，使用图形化的管理界面。

反向安全隔离装置具有如下功能；

专用安全隔离装置(反向)用于从安全区III到安全区I/II传递数据，是安全区III到安全区I/II的唯一一个数据传递途径。专用安全隔离装置(反向)集中接收安全区III发向安全区I/II的数据，进行签名验证、内容过滤、有效性检查等处理后，转发给安全区I/II内部的接收程序具体过程如下：

1）安全区III内的数据发送端首先对需要发送的数据签名，然后发给专用安全隔离装置(反向)；

2）专用安全隔离装置(反向)接收数据后，进行签名验证，并对数据进行内容过滤、有效性检查等处理。

如图2所示，II、III区网络之间加入横向隔离装置之后才满足电力二次系统安全防护要求，横向隔离装置包括正向隔离与反向隔离两套设备以及配套软件（FTP文件传输），II区往III区传送数据为正向，III区往II区传送数据为反向，正向传输数据时可以通过网络（TCP）或隔离装置提供的配套软件（FTP），反向传输数据只能传送文本文件，所以只能通过装置提供的配套软件（FTP）。

现场终端的数据采集接口是不变的，还是只能通过TCP访问现场终端，不能接收文本文件，也不能生成文本文件，这样采集服务就不能采集到现场终端的数据了。

现有的常规解决方法如下：

参照图3，横向隔离装置提供的配套FTP软件，包括客户端与服务端，在II区代理服务器上与III区代理服务器上分别部署一套FTP客户端与服务端软件，并设置好文本文件接收和发送目录。

FTP、TCP互转代理将定期扫描文档接收目录，并解析文档内容，连接或发送数据到指定目标（从文档中解析获得），将接收的报文按指定格式编写成文本文件，存入发送目录。此方法可以现场终端较少时实现数据的正常采集，并且II、III区的FTP、TCP互转代理可以保持较好的对称性，开发相对容易。

其缺陷分析如下：

变电站终端数据采集存在以下特点：

1）上下行报文量严重不对称，终端上行报文要比采集服务的下行报文多得多。

2）数据采集时间点集中。

当现场变电站终端数量较多时，II区FTP客户端往III区服务端发送数据就出现了瓶颈，其数据处理的速度与实时性无法满足要求。

发明内容

为解决现有技术的不足，本发明的目的在于提供一种跨区网络通信系统及其实现方法，以解决现有技术上下行报文量严重不对称，终端上行报文要比采集服务的下行报文多得多，数据采集时间点集中的技术问题。

为了实现上述目标，本发明采用如下的技术方案：

一种跨区网络通信系统，包括现场终端、采集服务器、横向隔离装置、FTP服务端、FTP客户端，FTP客户端通过横向隔离装置连接FTP服务端，其特征在于，还包括FTP转TCP代理、TCP转FTP代理，所述采集服务器连接TCP转FTP代理，TCP转FTP代理连接FTP服务端，FTP服务端连接FTP转TCP代理，FTP转TCP代理连接现场终端，FTP转TCP代理通过横向隔离装置连接TCP转FTP代理。

前述的一种跨区网络通信系统，其特征在于，包括II区代理服务器、III区代理服务器，所述II区代理服务器包括FTP服务端、FTP转TCP代理，所述III区代理服务器包括FTP客户端、TCP转FTP代理。

前述的一种跨区网络通信系统，其特征在于，所述横向隔离装置包括正向隔离装置、反向隔离装置；所述FTP客户端连接反向隔离装置，反向隔离装置连接FTP服务端；所述FTP转TCP代理连接正向隔离装置，正向隔离装置连接TCP转FTP代理。

前述的一种跨区网络通信系统，其特征在于，TCP转FTP代理包括文本文件生成模块、采集服务网络接口模块、II区代理网络接口模块、通道管理模块；采集服务器连接采集服务网络接口模块，通道管理模块连接II区代理网络接口模块，II区代理网络接口模块连接采集服务网络接口模块，采集服务网络接口模块连接文本文件生成模块，文本文件生成模块连接FTP客户端，II区代理网络接口模块通过横向隔离装置连接FTP转TCP代理。

前述的一种跨区网络通信系统，其特征在于，FTP转TCP代理包括报文生成模块、终端网络接口模块及III区代理网络接口模块；FTP服务端连接报文生成模块，报文生成模块连接终端网络接口模块，终端网络接口模块连接III区代理网络接口模块，III区代理网络接口模块通过横向隔离装置连接TCP转FTP代理；终端网络接口模块连接现场终端。

前述的一种跨区网络通信系统，其特征在于，III区代理网络接口模块连接正向隔离装置，正向隔离装置连接II区代理网络接口模块。

前述一种跨区网络通信系统的实现方法，其特征在于，包括如下步骤：

步骤一：部署横向隔离装置；

步骤二：将FTP转TCP代理部署在II区代理服务器上并指定文件扫描目录；

步骤三：将TCP转FTP代理部署在III区代理服务器上并指定文件保存目录；

步骤四：在TCP转FTP代理上定义本地监听端口与终端通道的对应关系；

步骤四：用工具测试并确认部署配置完成。

前述一种跨区网络通信系统的实现方法，其特征在于，所述步骤一包括：

步骤1a：准备两台双网卡PC机；

步骤1b：分别接入II区交换机与III区交换机；

步骤1c：将横向隔离装置接入两台PC机之间；

步骤1d：用专用工具配置NET地址；

步骤1e：在两台PC机上分别安装FTP服务端、客户端；

步骤1f：测试并确认横向隔离装置配置完成。

本发明的有益之处在于：本发明提供了一种满足电力二次系统安防要求的网络通信实现方式，能够满足高并发、非对称、实时的通信要求，解决了现有变电站终端数据采集存在的上下行报文量严重不对称现象，终端上行报文转换成文本文件传到III区存在性能瓶颈的问题，从而有效提高了性能。

附图说明

图1是现有计量自动化系统（南方电网）或电力用户用电信息采集系统（国家电网）中变电站数据采集示意图；

图2是现有的II、III区网络之间加入横向隔离装置后的结构示意图；

图3是现有横向隔离装置部署逻辑图；

图4是本发明一种跨区网络通信系统的结构示意图；

图5是本发明一种跨区网络通信系统的实现方法流程图。

图中附图标记的含义：

100、FTP转TCP代理，110、报文生成模块，120、终端网络接口模块，130、III区代理网络接口模块，200、TCP转FTP代理，210、文本文件生成模块，220、采集服务网络接口模块，230、II区代理网络接口模块，240、通道管理模块。

具体实施方式

以下结合附图和具体实施例对本发明作具体的介绍。

参照图4所示，本发明提出了一种能够满足实际应用要求的网络通信实现方式，此方案中主要包括：采集服务器、TCP转FTP代理200、FTP转TCP代理100、FTP客户端、FTP服务端、横向隔离装置（包括正向隔离装置、反向隔离装置）、现场终端。FTP客户端通过横向隔离装置连接FTP服务端，采集服务器连接TCP转FTP代理200，TCP转FTP代理200连接FTP服务端，FTP服务端连接FTP转TCP代理100，FTP转TCP代理100连接现场终端，FTP转TCP代理100通过横向隔离装置连接TCP转FTP代理200。

进一步，如图4，可以看出，II区代理服务器包括FTP服务端、FTP转TCP代理100，所述III区代理服务器包括FTP客户端、TCP转FTP代理200。

横向隔离装置包括正向隔离装置、反向隔离装置；所述FTP客户端连接反向隔离装置，反向隔离装置连接FTP服务端；所述FTP转TCP代理100连接正向隔离装置，正向隔离装置连接TCP转FTP代理200。

其中，TCP转FTP代理200包括文本文件生成模块210、采集服务网络接口模块220、II区代理网络接口模块230、通道管理模块240；采集服务器连接采集服务网络接口模块220，通道管理模块240连接II区代理网络接口模块230，II区代理网络接口模块230连接采集服务网络接口模块220，采集服务网络接口模块220连接文本文件生成模块210，文本文件生成模块210连接FTP客户端，II区代理网络接口模块230通过横向隔离装置连接FTP转TCP代理100。FTP转TCP代理100包括报文生成模块110、终端网络接口模块120及III区代理网络接口模块130；FTP服务端连接报文生成模块110，报文生成模块110连接终端网络接口模块120，终端网络接口模块120连接III区代理网络接口模块130，III区代理网络接口模块130通过横向隔离装置连接TCP转FTP代理200；终端网络接口模块120连接现场终端。

TCP转FTP代理200中采集服务网络接口模块220作为服务端与采集服务器通过TCP进行通讯，文本文件生成模块210提供接口可以根据自定义规约将网络报文或连接指令生成文本文件，保存到指定目录下，通道管理模块240可以定义采集服务网络接口监听端口与终端通道间的映射关系，II区代理网络接口模块作为服务端与III区代理网络接口模块130通过TCP进行通讯，接收通过III区代理网络接口模块130转发的终端报文，并将接收的报文通过采集服务网络接口模块220发送给采集服务器。FTP转TCP代理100中报文生成模块110通过定时扫描FTP服务端的文件接收目录，将文件解析成报文或网络连接指令，通过终端网络接口模块120将报文发送给现场终端或通过TCP连接现场终端，终端网络接口模块120通过III区代理网络接口模块130将报文发送给TCP转FTP代理200。

实际使用时，采集服务器与采集服务网络接口模块220进行通讯，发送网络报文或连接指令，采集服务网络接口模块收到后，将其传输给文本文件生成模块210，文本文件生成模块210根据自定义规约将网络报文或连接指令生成文本文件，保存到指定目录下，完成后，文本文件生成模块210将生成的文本文件传输给FTP客户端，FTP客户端再将文本文件经过横向隔离装置传输给FTP服务端，报文生成模块110通过定时扫描FTP服务端的文件接收目录，将文本文件解析成报文或网络连接指令，再通过终端网络接口模块120将报文发送给现场终端或通过TCP连接现场终端，终端网络接口模块120通过III区代理网络接口模块130将报文发送给TCP转FTP代理200，具体来说，终端网络接口模块120通过III区代理网络接口模块130将报文发送给II区代理网络接口模块，II区代理网络接口模块，接收通过III区代理网络接口模块130转发的终端报文，并将接收的报文通过采集服务网络接口模块发送给采集服务器。

如图5，给出本发明一种跨区网络通信系统的实现方法流程图。包括如下步骤：

步骤一：部署横向隔离装置；

步骤二：将FTP转TCP代理部署在II区代理服务器上并指定文件扫描目录；

步骤三：将TCP转FTP代理部署在III区代理服务器上并指定文件保存目录；

步骤四：在TCP转FTP代理上定义本地监听端口与终端通道的对应关系；

步骤四：用工具测试并确认部署配置完成。

其中，步骤一：包括如下步骤：

步骤1a：准备两台双网卡PC机；

步骤1b：分别接入II区交换机与III区交换机；

步骤1c：将横向隔离装置接入两台PC机之间；

步骤1d：用专用工具配置NET地址；

步骤1e：在两台PC机上分别安装FTP服务端、客户端；

步骤1f：测试并确认横向隔离装置配置完成。

由此可见，现有的变电站终端数据采集存在上下行报文量严重不对称现象，终端上行报文转换成文本文件传到III区存在性能瓶颈，本发明中将上行报文通过TCP传到III有效提高了性能，解决了常规做法的缺陷。

以上显示和描述了本发明的基本原理、主要特征和优点。本行业的技术人员应该了解，上述实施例不以任何形式限制本发明，凡采用等同替换或等效变换的方式所获得的技术方案，均落在本发明的保护范围内。

Claims (8)

1.一种跨区网络通信系统，包括现场终端、采集服务器、横向隔离装置、FTP服务端、FTP客户端，FTP客户端通过横向隔离装置连接FTP服务端，其特征在于，还包括FTP转TCP代理、TCP转FTP代理，所述采集服务器连接TCP转FTP代理，TCP转FTP代理连接FTP服务端，FTP服务端连接FTP转TCP代理，FTP转TCP代理连接现场终端，FTP转TCP代理通过横向隔离装置连接TCP转FTP代理。

2.根据权利要求1所述的一种跨区网络通信系统，其特征在于，包括II区代理服务器、III区代理服务器，所述II区代理服务器包括FTP服务端、FTP转TCP代理，所述III区代理服务器包括FTP客户端、TCP转FTP代理。

3.根据权利要求2所述的一种跨区网络通信系统，其特征在于，所述横向隔离装置包括正向隔离装置、反向隔离装置；所述FTP客户端连接反向隔离装置，反向隔离装置连接FTP服务端；所述FTP转TCP代理连接正向隔离装置，正向隔离装置连接TCP转FTP代理。

4.根据权利要求3所述的一种跨区网络通信系统，其特征在于，TCP转FTP代理包括文本文件生成模块、采集服务网络接口模块、II区代理网络接口模块、通道管理模块；采集服务器连接采集服务网络接口模块，通道管理模块连接II区代理网络接口模块，II区代理网络接口模块连接采集服务网络接口模块，采集服务网络接口模块连接文本文件生成模块，文本文件生成模块连接FTP客户端，II区代理网络接口模块通过横向隔离装置连接FTP转TCP代理。

5.根据权利要求4所述的一种跨区网络通信系统，其特征在于，FTP转TCP代理包括报文生成模块、终端网络接口模块及III区代理网络接口模块；FTP服务端连接报文生成模块，报文生成模块连接终端网络接口模块，终端网络接口模块连接III区代理网络接口模块，III区代理网络接口模块通过横向隔离装置连接TCP转FTP代理；终端网络接口模块连接现场终端。

6.根据权利要求5所述的一种跨区网络通信系统，其特征在于，III区代理网络接口模块连接正向隔离装置，正向隔离装置连接II区代理网络接口模块。

7.权利要求1所述一种跨区网络通信系统的实现方法，其特征在于，包括如下步骤：

步骤一：部署横向隔离装置；

步骤二：将FTP转TCP代理部署在II区代理服务器上并指定文件扫描目录；

步骤三：将TCP转FTP代理部署在III区代理服务器上并指定文件保存目录；

步骤四：在TCP转FTP代理上定义本地监听端口与终端通道的对应关系；

步骤四：用工具测试并确认部署配置完成。

8.根据权利要求7所述一种跨区网络通信系统的实现方法，其特征在于，所述步骤一包括：

步骤1a：准备两台双网卡PC机；

步骤1b：分别接入II区交换机与III区交换机；

步骤1c：将横向隔离装置接入两台PC机之间；

步骤1d：用专用工具配置NET地址；

步骤1e：在两台PC机上分别安装FTP服务端、客户端；

步骤1f：测试并确认横向隔离装置配置完成。