CN106341397A - 一种工业安全隔离网闸 - Google Patents
一种工业安全隔离网闸 Download PDFInfo
- Publication number
- CN106341397A CN106341397A CN201610730187.XA CN201610730187A CN106341397A CN 106341397 A CN106341397 A CN 106341397A CN 201610730187 A CN201610730187 A CN 201610730187A CN 106341397 A CN106341397 A CN 106341397A
- Authority
- CN
- China
- Prior art keywords
- outer net
- intranet
- data
- controller
- isolation
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
- H04L63/0209—Architectural arrangements, e.g. perimeter networks or demilitarized zones
- H04L63/0218—Distributed architectures, e.g. distributed firewalls
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Hardware Design (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Small-Scale Networks (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
Abstract
本发明公开了一种工业安全隔离网闸，该工业安全隔离网闸包括外网控制器、内网控制器和隔离交换单元，外网控制器和内网控制器构成两个独立的嵌入式控制系统，分别具有独立的运算单元、存储单元和交换单元，每个嵌入式控制系统各自运行独立的操作系统和应用系统；其中内网控制器一端的嵌入式控制系统为控制端，负责接入到内部网络；外网控制器一端的嵌入式控制系统为信息端，负责接入到外部网络；内网控制器一端的嵌入式控制系统和外网控制器一端的嵌入式控制系统通过并行总线连接隔离交换单元，所述隔离交换单元由双口RAM和FPGA组成。该工业安全隔离网闸能够实现工业网络与信息网络的数据安全隔离，能够确保工业控制系统的稳定安全运行。
Description
技术领域
本发明属于工业数据通讯技术领域，具体涉及一种基于工业数据通讯的工业安全隔离网闸。
背景技术
现有技术中，隔离网闸是一个软硬件结合的系统，隔离网闸的硬件平台主要由两块PCI设备组成，通过PCI总线分别与内外网的服务器进行通信。现有技术中网闸卡的设计是首先用Verilog进行可综合逻辑代码设计，然后把设计好的模块做行为级和RTL级的功能与时序仿真找出逻辑上的错误，接下来把写好的逻辑通过下载到配置ROM中，进行FPGA硬件验证。基于稳定性和传输效率的考虑，现有技术中把网闸系统的主控芯片和电路集成于一块PCI扩展卡之上，这片网闸卡插于网闸内外主机的PIC扩展槽之中，网闸卡上集成IDE接口，内外网闸卡之间用IDE总线连接。
现有技术中还存在一种专用物理隔离网闸(SGAP)，为了达到用户所要求的功能与性能，SGAP按照软硬件协同工作的原理工作，采用控制平面与数据平面分离的体系结构。SGAP由主控单元、隔离单元以及内外网单元组成。主控单元主要完成对隔离单元的控制、与内外网单元及图形配置单元RCP客户机的通信以及配置管理功能。
为了适应当前工业网络安全的需求，需要结合现有技术中隔离网闸的各种实现方法的差异，设计开发一套基于嵌入式的双控制系统、高速并行数据交换的安全隔离网闸，实现多类型、大数据、多设备的高速安全互联互通，满足工业控制网络安全管理功能。
发明内容
本发明的目的在于提供一种基于工业网络的工业安全隔离网闸，采用网络冗余、交换冗余、内部数据冗余、器件冗余等设计，同时设计了一整套的安全控制机制，采用物理隔离与逻辑隔离手段，支持数据加密、防病毒、网络防火墙、用户认证、入侵防护等功能，并对关键节点、关键数据提供冗余保护，确保工业控制系统的稳定安全运行。
为实现上述目的，本发明所述的工业安全隔离网闸包括外网控制器、内网控制器和隔离交换单元，外网控制器和内网控制器构成两个独立的嵌入式控制系统，每个嵌入式控制系统分别具有独立的运算单元、存储单元和交换单元，每个嵌入式控制系统各自运行独立的操作系统和应用系统；其中内网控制器一端的嵌入式控制系统为控制端，负责接入到SCADA控制网络(内部网络)；外网控制器一端的嵌入式控制系统为信息端，负责接入到信息网络(外部网络)；内网控制器一端的嵌入式控制系统和外网控制器一端的嵌入式控制系统通过并行总线连接隔离交换单元，所述隔离交换单元由双口RAM和FPGA组成。
所述内网控制器一端的嵌入式控制系统和外网控制器一端的嵌入式控制系统的硬件均采用嵌入式POWERPC处理器芯片，每个嵌入式控制系统各有两个千兆冗余的以太网口用来连接要隔离的外部网络和内部网络；所述的工业安全隔离网闸提供两个标准RS232的控制台端口，用来连接配置终端；所述内网控制器和外网控制器之间的通信协议采用高速交换算法，并采用专有加密算法实现数据加密解密处理，保证传输数据的安全性；所述工业安全隔离网闸还内置硬件看门狗。
所述内网控制器一端的嵌入式控制系统和外网控制器一端的嵌入式控制系统分别运行嵌入式工业通信软件；控制端提供客户端及主端接口，支持工业SCADA网络通信标准，实现对SCADA控制网络的接入与通信；信息端提供服务器端及从端接口，支持OPCServer和Modbus TCP Slave通信标准，实现与远程后台系统、数据中心系统和/或数据库系统的接入和数据交互。
所述隔离交换单元由两块16位大容量高速双口RAM和FPGA组成，FPGA用于对双口RAM进行时序硬件控制，采用双口RAM并行加密高速传输技术，配套嵌入式驱动对双口RAM的数据读写进行读写控制，数据流采用128位以上加密方式传输，传输速率达到200Mbps。
所述外网控制器和内网控制器分别采用两片相同的千兆以太网芯片88E1111连接MPC8313的两个以太网接口，采用双千兆网口冗余数据交换方式，并采用bond方式将两个千兆以太网芯片组成一组，针对组设置主-备份策略模式，只有一个千兆以太网芯片处于活动状态，当一个千兆以太网芯片宕掉另一个千兆以太网芯片马上由备份转换为主设备。
所述外网控制器包括外网数据交换控制模块、外网控制器数据模块、外网守护单元和外网以太网口；所述外网控制器数据模块与外网数据交换控制模块连接，所述外网数据交换控制模块与外网守护单元连接，所述外网守护单元通过外网以太网口与外部网络连接；所述隔离交换单元包括两个双口RAM和控制单元，所述控制单元与所述外网控制器的外网数据交换控制模块连接，所述控制单元与所述外网控制器的外网数据交换控制模块之间传输控制信号；两个双口RAM的缓存分别通过传输逻辑通道与所述外网控制器的外网控制器数据模块连接。
所述内网控制器包括内网数据交换控制模块、内网控制器数据模块、内网守护单元和内网以太网口；所述内网控制器数据模块与内网数据交换控制模块连接，所述内网数据交换控制模块与内网守护单元连接，所述内网守护单元通过内网以太网口与内部网络连接；所述隔离交换单元的控制单元与所述内网控制器的内网数据交换控制模块连接，所述隔离交换单元的两个双口RAM的缓存分别通过传输逻辑通道与所述内网控制器的内网控制器数据模块连接。
所述外网控制器包括外网应用层、外网隔离通信组件、外网实时数据平台、Server/Slave通信组件、外网TCP/UDP、外网IP网络层和外网网卡驱动，所述外网应用层、外网隔离通信组件、外网实时数据平台、Server/Slave通信组件、外网TCP/UDP、外网IP网络层和外网网卡驱动依次连接并互相通信；所述外网网卡驱动与信息管理区业务主机连接。
所述隔离交换单元包括业务数据交换单元和逻辑控制单元，所述业务数据交换单元包括业务数据传输单元、加密解密单元和双口RAM；所述逻辑控制单元包括传输逻辑控制单元和状态逻辑控制单元；所述外网控制器分别与所述隔离交换单元的业务数据交换单元和逻辑控制单元连接。
所述内网控制器包括内网应用层、内网隔离通信组件、内网实时数据平台、Client/Master通信组件、内网TCP/UDP、内网IP网络层和内网网卡驱动，所述内网应用层、内网隔离通信组件、内网实时数据平台、Client/Master通信组件、内网TCP/UDP、内网IP网络层和内网网卡驱动依次连接并互相通信；所述内网网卡驱动与生产控制区业务主机连接；所述内网控制器分别与所述隔离交换单元的业务数据交换单元和逻辑控制单元连接。
本发明具有如下优点：本发明所述的工业安全隔离网闸与现有技术相比，可以实现工业网络与信息网络的数据安全隔离，支持基于Modbus-TCP、OPC、DNP等多种协议；采用物理隔离与逻辑隔离手段，支持数据加密、防病毒、网络防火墙、用户认证、入侵防护等功能，并对关键节点、关键数据提供冗余保护，能够确保工业控制系统的安全稳定运行。
附图说明
图1是本发明所述工业安全隔离网闸的整体结构示意图。
图2是本发明所述工业安全隔离网闸的内部逻辑单元结构示意图。
具体实施方式
以下实施例用于说明本发明，但不用来限制本发明的范围。
如图1至图2所示，本发明所述的工业安全隔离网闸包括外网控制器、内网控制器和隔离交换单元，外网控制器和内网控制器构成两个独立的嵌入式控制系统，每个嵌入式控制系统分别具有独立的运算单元、存储单元和交换单元，每个嵌入式控制系统各自运行独立的操作系统和应用系统；其中内网控制器一端的嵌入式控制系统为控制端，负责接入到SCADA控制网络(内部网络)；外网控制器一端的嵌入式控制系统为信息端，负责接入到信息网络(外部网络)；内网控制器一端的嵌入式控制系统和外网控制器一端的嵌入式控制系统通过并行总线连接隔离交换单元，所述隔离交换单元由双口RAM和FPGA组成。
本发明所述的工业安全隔离网闸在硬件层次隔断了TCP/IP通讯，通过专有传输协议以及严格控制算法保证数据传输的安全性。
所述内网控制器一端的嵌入式控制系统和外网控制器一端的嵌入式控制系统的硬件均采用高性能嵌入式POWERPC处理器芯片，每个嵌入式控制系统各有两个千兆冗余的以太网口用来连接要隔离的两个网络(即外部网络和内部网络)；所述的工业安全隔离网闸提供两个标准RS232的控制台端口，用来连接配置终端，方便管理人员对隔离网闸设备进行控制。所述内网控制器和外网控制器之间的通信协议采用高速交换算法，并采用专有加密算法实现数据加密解密处理，保证传输数据的安全性。所述工业安全隔离网闸还内置硬件看门狗，硬件看门狗用于时刻监视系统状态，保证装置的稳定、可靠运行。
所述内网控制器一端的嵌入式控制系统和外网控制器一端的嵌入式控制系统分别运行嵌入式高性能工业通信软件；控制端提供客户端及主端(Master)接口，支持各种主流工业SCADA网络通信标准，如：OPC Client、Modbus TCP Master，实现对SCADA控制网络的接入与通信；信息端主机提供服务器端及从端(Slave)接口，支持的通信标准有：OPCServer、Modbus TCP Slave，实现与各种远程后台系统、数据中心系统、数据库系统的接入和数据交互。
所述隔离交换单元由两块16位大容量高速双口RAM和FPGA组成，FPGA用于对双口RAM进行严格的时序硬件控制，双控制器(外网控制器和内网控制器)之间具备传输逻辑控制和状态逻辑控制功能，采用专有双口RAM并行加密高速传输技术，配套嵌入式驱动对双口RAM的数据读写进行严格的读写控制(数据流采用128位以上加密方式传输)，保证数据准确性和高效性，通过互斥的硬件设计以及软件的控制算法优化，测试能达到200Mbps传输速率。
所述外网控制器和内网控制器分别采用两片相同的千兆以太网芯片88E1111连接MPC8313的两个以太网口，采用双千兆网口冗余数据交换方式，该方式实现物理连接，可以冗余高速进行数据交换。采用bond方式将两个千兆以太网芯片组成一组，针对组设置主-备份策略模式(只有一个千兆以太网芯片处于活动状态，当一个宕掉，另一个马上由备份转换为主设备，该模式提供了容错能力，提供高网络连接的可用性)。
如图1所示，所述外网控制器包括外网数据交换控制模块、外网控制器数据模块、外网守护单元和外网以太网口；所述外网控制器数据模块与外网数据交换控制模块连接，所述外网数据交换控制模块与外网守护单元连接，所述外网守护单元通过外网以太网口与外部网络连接；外网守护单元用于对经外网以太网口传输到外部网络的数据进行数据处理、数据恢复、协议封装和会话建立；同时对外部网络经过外网以太网口传输到外网控制器的数据进行会话审查、访问控制、标准协议检查、专有协议安全引擎检查和数据格式化。
所述隔离交换单元包括两个双口RAM和控制单元，所述控制单元与所述外网控制器的外网数据交换控制模块连接，所述控制单元与所述外网控制器的外网数据交换控制模块之间传输控制信号；两个双口RAM的缓存分别通过传输逻辑通道与所述外网控制器的外网控制器数据模块连接。所述控制单元向传输逻辑通道传送控制信号，所述缓存通过数据通道与传输逻辑通道连接。两个双口RAM与传输逻辑通道之间形成双通道冗余。
所述内网控制器包括内网数据交换控制模块、内网控制器数据模块、内网守护单元和内网以太网口；所述内网控制器数据模块与内网数据交换控制模块连接，所述内网数据交换控制模块与内网守护单元连接，所述内网守护单元通过内网以太网口与内部网络连接；内网守护单元用于对经内网以太网口传输到内部网络的数据进行数据处理、数据恢复、协议封装和会话建立；同时对内部网络经过内网以太网口传输到内网控制器的数据进行会话审查、访问控制、标准协议检查、专有协议安全引擎检查和数据格式化。
所述隔离交换单元的控制单元与所述内网控制器的内网数据交换控制模块之间传输控制信号；两个双口RAM的缓存分别通过传输逻辑通道与所述内网控制器的内网控制器数据模块连接。所述控制单元向传输逻辑通道传送控制信号，所述缓存通过数据通道与传输逻辑通道连接。两个双口RAM与传输逻辑通道之间形成双通道冗余。
如图2所示，所述外网控制器包括外网应用层、外网隔离通信组件、外网实时数据平台、Server/Slave通信组件、外网TCP/UDP、外网IP网络层和外网网卡驱动，所述外网应用层、外网隔离通信组件、外网实时数据平台、Server/Slave通信组件、外网TCP/UDP、外网IP网络层和外网网卡驱动依次连接并互相通信；所述外网网卡驱动与信息管理区业务主机连接。
所述隔离交换单元包括业务数据交换单元和逻辑控制单元，所述业务数据交换单元包括业务数据传输单元、加密解密单元和双口RAM；所述逻辑控制单元包括传输逻辑控制单元和状态逻辑控制单元；所述外网控制器分别与所述隔离交换单元的业务数据交换单元和逻辑控制单元连接。
所述内网控制器包括内网应用层、内网隔离通信组件、内网实时数据平台、Client/Master通信组件、内网TCP/UDP、内网IP网络层和内网网卡驱动，所述内网应用层、内网隔离通信组件、内网实时数据平台、Client/Master通信组件、内网TCP/UDP、内网IP网络层和内网网卡驱动依次连接并互相通信；所述内网网卡驱动与生产控制区业务主机连接；所述内网控制器分别与所述隔离交换单元的业务数据交换单元和逻辑控制单元连接。
高性能嵌入式控制系统是基于Linux下进行裁剪优化后的嵌入式内核，裁剪其它所有无关的网络服务、系统功能，屏蔽了所有端口，进一步提高了系统安全性和抗攻击能力。系统软件针对TCP基于的OSI七层模型原理，通过将原OSI2层以上的层面彻底剥离，做到对TCP的完全阻断，并通过专有数据交换格式和严格的控制算法进行数据的传输。如在系统程序启动失败、意外关闭、运行故障时，软件自检测会提供日志警告，以及自我恢复，如自动重启故障部位进行运行恢复。无论是在管理员登录操作还是在系统业务流程数据的传输过程中，都采用了签名机制以及高位的加密来保障了数据传输的安全性、保密性和不可否认性。
所述工业安全隔离网闸的应用软件采用模块化设计模式，应用软件包括配置管理模块、工业协议支持模块、授权模块、配置口配置模块、数据隔离交换模块等，软件系统启动后，将运行配置管理模块，配置管理模块管理各个功能模块(工业协议支持模块)、授权模块、配置口配置模块、数据隔离交换模块等。配置管理模块以服务器的模式在后台运行，模块的运行加载只需要在配置文件配置即可，由配置管理模块解析管理各个模块运行和状态监测。
通过物理硬件和软件逻辑的共同作用，彻底截断了穿透性的TCP连接，同时实现对工业协议实时数据的定向采集和转发，达到数据完全自我定义、自我解析、自我审查，传输机制具有彻底不可攻击性，从根本上杜绝了非法数据的通过，确保控制网络不受攻击和入侵。适应现场作业环境，无风扇、特殊嵌入式的硬件设计，凹凸设计的硬件面板增大了散热面积，可以适应的工作在工控现场的恶劣环境。
所述工业安全隔离网闸的硬件设计采用双主机硬件结构(2+1结构，即外网控制器、内网控制器和隔离交换单元)，软件采用自主研发的工业网络隔离通信组件技术，数据链路层和应用层采用私有通信协议，数据流全部进行128位加密处理和无IP技术。
所述工业安全隔离网闸能够实现身份动态认证管理。采用配置软件通过隔离网闸设备的配置口进行各种配置操作(如：增加支持模块、延长授权日期、升级程序、查询日志、下载工程、参数配置、配置工程等)，隔离网闸设备提供了严格的身份动态认证来管理连接权限。隔离网闸设备具备多种连接方式(任何网络连接方式都存在被攻击的可能)，但只提供控制台方式(RS232接口)进行配置。连接方式采用统一的连接权限管理，均需要使用系统管理员帐号登入。隔离网闸设备采用基于数字签名技术的高安全性动态认证机制，认证过程需要经过握手、密钥基数、动态密钥生成、密钥认证等过程，保证了系统的机密性、完整性和不可否认性。
所述工业安全隔离网闸还能够实现连接、进程和内存的资源动态管理。为了保证产品可靠性，提供了外网控制器和内网控制器之间的传输逻辑控制和状态逻辑控制功能。所述工业安全隔离网闸还包括系统诊断子系统和通信子服务，系统诊断子系统实时检测所述工业安全隔离网闸系统内各进程、线程的运行状态，同时对关键的硬件模块进行诊断，当发现异常时自动产生报警信息，并在符合条件的情况下启动自动恢复逻辑。通信子服务具备完善的故障自动恢复功能，当发生网络通信中断的情况时，通信子服务会立刻报告通信状态位的变化，同时启动通信重连机制，当网络通信恢复后，能迅速重新建立网络连接，恢复数据通信。
所述工业安全隔离网闸还内置软件看门狗和硬件看门狗，时刻监视隔离网闸的系统状态，保证隔离网闸装置的稳定、可靠运行，确保万无一失并且反应迅速。双侧主机(外网控制器和内网控制器)均有独立的看门狗，保障每侧主机的稳定运行。内置了系统管理模块，系统管理模块针对系统配置的功能模块进行在线状态检测，保证各功能模块稳定运行。对网络通信连接状态进行监测，当连接超过设定的空闲释放时间，通讯子服务自动断开连接，并释放相应资源，关闭动态端口，保证工业网络安全网闸数据交换的安全性。
所述工业安全隔离网闸(又称工业网络安全隔离网闸)的整体功能主要包括四大部分：控制和信息网络安全隔离数据审查、隔离交换模块高效数据交换、工业控制协议深度解析以及功能模块监测管理。控制和信息网络安全隔离数据审查主要针对控制、信息网络的会话审查、访问控制、端口动态解析、会话资源释放管理等；隔离交换模块高效数据交换功能是指：双控制机(外网控制器和内网控制器)之间的通信协议采用高速交换算法，专有加密算法实现数据加、解密处理，保证传输数据的安全性；工业控制协议深度解析功能是指：针对工业控制数据交换的协议生成数据请求包，解析数据返回包，保存实时有效数据点数据，对数据点进行实时采集监测，断线恢复后数据重传，OPC协议解析包括工业协议通讯跟踪、协议完整性检查、数据加密与校验算法。Modbus/TCP协议解析包括协议深度包检测，其深入协议内部，检查Modbus、寄存器和线圈列表，自动阻止并报告不符合安全协议的通讯，检查并阻止不符合Modbus通信协议的通讯内容，更新保存实时数据内容；功能模块监测管理功能是指：管理各个软件功能模块的授权许可，后台服务管理各个模块运行状态，配置口授权登陆管理、命令执行等。工业网络安全隔离网闸作为通信代理，在应用层对应用协议进行剥离和重建，消除了应用协议漏洞，并可针对应用协议实现细粒度的访问控制。这个工作由网闸根据配置自动完成，对用户“透明”。以OPC通信为例，网闸的控制端与信息端，各自完成与OPC Server和OPC Client的通信，同时内部采用专用网络隔离技术，在保证OPC数据快速交互的同时彻底阻断了网络的连接，保证了工业控制网的安全。
所述工业安全隔离网闸采用了双千兆网口冗余设计。为保证工业网络安全网闸的数据交换高速可靠，设计了双千兆网口冗余数据交换方式，该方式实现物理连接，可以冗余高速进行数据交换。双网卡冗余设计包括硬件和软件两部分构成，硬件设计采用两片相同千兆以太网芯片(88E1111)连接MPC8313的两个以太网接口；软件设计采用bond方式将两个千兆以太网芯片组成一组，针对组设置主-备份策略模式(只有一个千兆以太网芯片处于活动状态，当一个宕掉另一个马上由备份转换为主设备，该模式提供了容错能力，提供高网络连接的可用性)。
所述工业安全隔离网闸还采用了内部数据交换冗余设计。内部数据交换冗余设计采用硬件设计和软件设计结合，硬件设计采用两块16位大容量高速双口RAM和FPGA；软件设计采用双控制机之间高速冗余交换算法，专有加密算法实现数据加、解密处理，保证传输数据的安全性和准确性。
内部数据处理包括TCP/IP包剥离、工业协议检查、还原原始数据、加密封装成自有协议，通过高速并行数据总线走自有协议通道传送给隔离交换单元。隔离交换单元实现两个嵌入式控制系统的连接与隔离。隔离交换单元包括两块16位高速并行双口RAM和FPGA。外网控制器接收信息网络(外部网络)发送来的数据包，并进行身份认证、校验、解密、协议分析、封装成隔离交换单元自有协议，写入双口RAM。FPGA逻辑电路负责外网控制器和内网控制器之间双口RAM的读写时序，保证数据完整正确写入双口RAM中，并在数据完成写入后通知内网控制器取回双口RAM中的数据包，内网控制器接收数据包并对数据包进行身份认证、校验、解密、协议分析、封装成标准协议，并传输给客户端。
数据在外网控制器的运算单元(CPU)上进行第一次数据处理后被封装成自有协议数据帧进行传输。自有协议格式以二进制的方式定义隔离交换单元传输协议，包括帧头、帧续和帧尾，每一帧包括协议类型、IP地址、端口号、CRC校验、连接状态、控制命令等。数据帧通过并行总线进入隔离交换单元，并通知内网控制器进行数据交换，内网控制器获取自有格式数据帧，每一帧包括协议类型、IP地址、端口号、CRC校验、连接状态、控制命令等，并在内网控制器上进行协议剥离与重建及数据处理。
隔离交换单元数据传输采用硬件FPGA设计和软件协议设计两种方式来保证数据隔离交换的高效性、准确性和安全性。
所述工业安全隔离网闸(又称工业网络安全隔离网闸)还采用了功能软件模块化设计。工业网络安全隔离网闸内部由两个独立主机系统(外网控制器和内网控制器)组成，每个主机系统分别具有独立的运算单元和存储单元，各自运行独立的操作系统和应用系统。每个主机的硬件均采用高性能嵌入式计算机芯片，底板上各有两个冗余千兆以太网口用来连接要隔离的两个网络(外部网络和内部网络)。
嵌入式控制系统是基于Linux下进行裁剪优化后的嵌入式内核，裁剪其它所有无关的网络服务、系统功能，屏蔽了所有端口，进一步提高了系统安全性和抗攻击能力。软件系统启动后，将运行配置管理模块，配置管理模块管理各个功能模块(工业协议支持模块)、授权模块、配置口配置模块、数据隔离交换模块等。配置管理模块以服务器的模式在后台运行，模块的运行加载只需要在配置文件配置即可，由配置管理模块解析管理各个模块运行和状态监测。
虽然，上文中已经用一般性说明及具体实施例对本发明作了详尽的描述，但在本发明基础上，可以对之作一些修改或改进，这对本领域技术人员而言是显而易见的。因此，在不偏离本发明精神的基础上所做的这些修改或改进，均属于本发明要求保护的范围。
Claims (10)
1.一种工业安全隔离网闸，所述工业安全隔离网闸包括外网控制器、内网控制器和隔离交换单元，其特征在于，外网控制器和内网控制器构成两个独立的嵌入式控制系统，每个嵌入式控制系统分别具有独立的运算单元、存储单元和交换单元，每个嵌入式控制系统各自运行独立的操作系统和应用系统；其中内网控制器一端的嵌入式控制系统为控制端，负责接入到内部网络；外网控制器一端的嵌入式控制系统为信息端，负责接入到外部网络；内网控制器一端的嵌入式控制系统和外网控制器一端的嵌入式控制系统通过并行总线连接隔离交换单元，所述隔离交换单元由双口RAM和FPGA组成。
2.如权利要求1所述的工业安全隔离网闸，其特征在于，所述内网控制器一端的嵌入式控制系统和外网控制器一端的嵌入式控制系统的硬件均采用嵌入式POWERPC处理器芯片，每个嵌入式控制系统各有两个千兆冗余的以太网口用来连接要隔离的外部网络和内部网络；所述的工业安全隔离网闸提供两个标准RS232的控制台端口，用来连接配置终端；所述内网控制器和外网控制器之间的通信协议采用高速交换算法，并采用加密算法实现数据加密解密处理，保证传输数据的安全性；所述工业安全隔离网闸还内置硬件看门狗。
3.如权利要求2所述的工业安全隔离网闸，其特征在于，所述内网控制器一端的嵌入式控制系统和外网控制器一端的嵌入式控制系统分别运行嵌入式工业通信软件；控制端提供客户端及主端接口，支持工业SCADA网络通信标准，实现对SCADA控制网络的接入与通信；信息端提供服务器端及从端接口，支持OPC Server和Modbus TCP Slave通信标准，实现与远程后台系统、数据中心系统和/或数据库系统的接入和数据交互。
4.如权利要求3所述的工业安全隔离网闸，其特征在于，所述隔离交换单元由两块16位大容量高速双口RAM和FPGA组成，FPGA用于对双口RAM进行时序硬件控制，采用双口RAM并行加密高速传输技术，配套嵌入式驱动对双口RAM的数据读写进行读写控制，数据流采用128位以上加密方式传输，传输速率达到200Mbps。
5.如权利要求4所述的工业安全隔离网闸，其特征在于，所述外网控制器和内网控制器分别采用两片相同的千兆以太网芯片88E1111连接MPC8313的两个以太网接口，采用双千兆网口冗余数据交换方式，并采用bond方式将两个千兆以太网芯片组成一组，针对组设置主-备份策略模式，只有一个千兆以太网芯片处于活动状态，当一个千兆以太网芯片宕掉另一个千兆以太网芯片马上由备份转换为主设备。
6.如权利要求5所述的工业安全隔离网闸，其特征在于，所述外网控制器包括外网数据交换控制模块、外网控制器数据模块、外网守护单元和外网以太网口；所述外网控制器数据模块与外网数据交换控制模块连接，所述外网数据交换控制模块与外网守护单元连接，所述外网守护单元通过外网以太网口与外部网络连接；所述隔离交换单元包括两个双口RAM和控制单元，所述控制单元与所述外网控制器的外网数据交换控制模块连接，所述控制单元与所述外网控制器的外网数据交换控制模块之间传输控制信号；两个双口RAM的缓存分别通过传输逻辑通道与所述外网控制器的外网控制器数据模块连接。
7.如权利要求6所述的工业安全隔离网闸，其特征在于，所述内网控制器包括内网数据交换控制模块、内网控制器数据模块、内网守护单元和内网以太网口；所述内网控制器数据模块与内网数据交换控制模块连接，所述内网数据交换控制模块与内网守护单元连接，所述内网守护单元通过内网以太网口与内部网络连接；所述隔离交换单元的控制单元与所述内网控制器的内网数据交换控制模块连接，所述隔离交换单元的两个双口RAM的缓存分别通过传输逻辑通道与所述内网控制器的内网控制器数据模块连接。
8.如权利要求7所述的工业安全隔离网闸，其特征在于，所述外网控制器包括外网应用层、外网隔离通信组件、外网实时数据平台、Server/Slave通信组件、外网TCP/UDP、外网IP网络层和外网网卡驱动，所述外网应用层、外网隔离通信组件、外网实时数据平台、Server/Slave通信组件、外网TCP/UDP、外网IP网络层和外网网卡驱动依次连接并互相通信；所述外网网卡驱动与信息管理区业务主机连接。
9.如权利要求8所述的工业安全隔离网闸，其特征在于，所述隔离交换单元包括业务数据交换单元和逻辑控制单元，所述业务数据交换单元包括业务数据传输单元、加密解密单元和双口RAM；所述逻辑控制单元包括传输逻辑控制单元和状态逻辑控制单元；所述外网控制器分别与所述隔离交换单元的业务数据交换单元和逻辑控制单元连接。
10.如权利要求9所述的工业安全隔离网闸，其特征在于，所述内网控制器包括内网应用层、内网隔离通信组件、内网实时数据平台、Client/Master通信组件、内网TCP/UDP、内网IP网络层和内网网卡驱动，所述内网应用层、内网隔离通信组件、内网实时数据平台、Client/Master通信组件、内网TCP/UDP、内网IP网络层和内网网卡驱动依次连接并互相通信；所述内网网卡驱动与生产控制区业务主机连接；所述内网控制器分别与所述隔离交换单元的业务数据交换单元和逻辑控制单元连接。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN201610730187.XA CN106341397A (zh) | 2016-08-25 | 2016-08-25 | 一种工业安全隔离网闸 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN201610730187.XA CN106341397A (zh) | 2016-08-25 | 2016-08-25 | 一种工业安全隔离网闸 |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| CN106341397A true CN106341397A (zh) | 2017-01-18 |
Family
ID=57822196
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN201610730187.XA Pending CN106341397A (zh) | 2016-08-25 | 2016-08-25 | 一种工业安全隔离网闸 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN106341397A (zh) |
Cited By (29)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN106998333A (zh) * | 2017-05-24 | 2017-08-01 | 山东省计算中心（国家超级计算济南中心） | 一种双向网络安全隔离系统及方法 |
| CN107800722A (zh) * | 2017-12-05 | 2018-03-13 | 英赛克科技（北京）有限公司 | 隔离工控设备与外部网络服务器的方法及装置 |
| CN109306875A (zh) * | 2018-09-25 | 2019-02-05 | 中国船舶重工集团公司第七0三研究所 | 一种汽轮机deh双控制器同步热备冗余切换装置及方法 |
| CN109561091A (zh) * | 2018-11-30 | 2019-04-02 | 冶金自动化研究设计院 | 一种用于人防工程的网络安全防护系统 |
| CN109870966A (zh) * | 2019-01-09 | 2019-06-11 | 深圳先进技术研究院 | 一种工业互联网控制系统 |
| CN110417794A (zh) * | 2019-08-05 | 2019-11-05 | 南京轨道交通系统工程有限公司 | 一种基于安全隔离网闸的多信息源通讯管理装置 |
| CN110417756A (zh) * | 2019-07-11 | 2019-11-05 | 北京百度网讯科技有限公司 | 跨网络数据传输方法及装置 |
| CN110620791A (zh) * | 2019-10-10 | 2019-12-27 | 江苏亨通工控安全研究院有限公司 | 一种带有预警功能的工业安全数据摆渡系统 |
| CN111080026A (zh) * | 2019-12-25 | 2020-04-28 | 北京百度网讯科技有限公司 | 人流密度预警方法及装置 |
| CN111343263A (zh) * | 2020-02-21 | 2020-06-26 | 北京京东尚科信息技术有限公司 | 批量私有云的运维系统和运维方法 |
| CN111343144A (zh) * | 2020-01-23 | 2020-06-26 | 奇安信科技集团股份有限公司 | 基于Linux的OPC网闸系统及数据处理方法 |
| CN111431905A (zh) * | 2020-03-26 | 2020-07-17 | 重庆新致金服信息技术有限公司 | 一种适用于信贷行业的智能网关系统 |
| CN111586041A (zh) * | 2020-05-07 | 2020-08-25 | 英赛克科技（北京）有限公司 | 工业单向隔离网闸系统和数据传输方法 |
| CN111865715A (zh) * | 2020-06-24 | 2020-10-30 | 南京华盾电力信息安全测评有限公司 | 一种网闸适配模块和数据传输系统 |
| CN112134742A (zh) * | 2020-10-14 | 2020-12-25 | 合肥中科泛再物联网科技有限公司 | 一种重点用能单位能耗在线监测端设备系统及方法 |
| CN112351013A (zh) * | 2020-10-28 | 2021-02-09 | 南京熊猫电子股份有限公司 | 一种带工控机控制系统的内外网隔离有线和无线传输设备 |
| CN112804265A (zh) * | 2021-04-08 | 2021-05-14 | 北京乐研科技有限公司 | 一种单向网闸接口电路、方法及可读存储介质 |
| CN112887267A (zh) * | 2021-01-05 | 2021-06-01 | 天津七所精密机电技术有限公司 | 一种具有报文认证功能的网络隔离系统及其方法 |
| CN112910963A (zh) * | 2021-01-18 | 2021-06-04 | 翰克偲诺水务集团有限公司 | 水处理设备局域网与因特网跨网域数据交互的方法及系统 |
| CN113329002A (zh) * | 2021-05-20 | 2021-08-31 | 普天通信有限责任公司 | 一种物联网数据汇聚系统 |
| CN113612769A (zh) * | 2021-08-02 | 2021-11-05 | 北京力天世技系统集成有限公司 | 数据安全型连接器 |
| CN113965395A (zh) * | 2021-10-28 | 2022-01-21 | 绿盟科技集团股份有限公司 | 一种实时安全访问内网的方法、系统及装置 |
| CN114553501A (zh) * | 2022-01-29 | 2022-05-27 | 宁波万德高科智能科技有限公司 | 一种超高速网络隔离数据安全传输方法及系统 |
| WO2022142529A1 (zh) * | 2020-12-29 | 2022-07-07 | 浙江中控技术股份有限公司 | 一种安全与常规控制应用间数据隔离的方法及装置 |
| CN114760015A (zh) * | 2022-03-21 | 2022-07-15 | 傲普(上海)新能源有限公司 | 基于冗余设计和策略控制的ems遥调遥控成功率提升方法 |
| CN115001857A (zh) * | 2022-07-19 | 2022-09-02 | 济南慧天云海信息技术有限公司 | 一种基于网闸的安全隔离与数据包分发方法、分发系统 |
| CN116257493A (zh) * | 2022-12-29 | 2023-06-13 | 北京京桥热电有限责任公司 | 一种基于缓存机制的opc穿网闸接口 |
| CN116319106A (zh) * | 2023-05-22 | 2023-06-23 | 北京网藤科技有限公司 | 一种用于工控安全中的进程级微隔离的方法及系统 |
| CN116743460A (zh) * | 2023-06-14 | 2023-09-12 | 武汉凌云信通科技有限公司 | 内外网的数据交换隔离方法、系统、设备及存储介质 |
Citations (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN2588677Y (zh) * | 2002-12-10 | 2003-11-26 | 北京天行网安信息技术有限责任公司 | 安全隔离网闸 |
| CN2638341Y (zh) * | 2003-07-14 | 2004-09-01 | 北京京泰网络科技有限公司 | 京泰安全隔离与信息交换网闸 |
| CN204231409U (zh) * | 2014-12-03 | 2015-03-25 | 南京科远自动化集团股份有限公司 | 一种物理隔离网闸 |
-
2016
- 2016-08-25 CN CN201610730187.XA patent/CN106341397A/zh active Pending
Patent Citations (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN2588677Y (zh) * | 2002-12-10 | 2003-11-26 | 北京天行网安信息技术有限责任公司 | 安全隔离网闸 |
| CN2638341Y (zh) * | 2003-07-14 | 2004-09-01 | 北京京泰网络科技有限公司 | 京泰安全隔离与信息交换网闸 |
| CN204231409U (zh) * | 2014-12-03 | 2015-03-25 | 南京科远自动化集团股份有限公司 | 一种物理隔离网闸 |
Cited By (37)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN106998333A (zh) * | 2017-05-24 | 2017-08-01 | 山东省计算中心（国家超级计算济南中心） | 一种双向网络安全隔离系统及方法 |
| CN107800722A (zh) * | 2017-12-05 | 2018-03-13 | 英赛克科技（北京）有限公司 | 隔离工控设备与外部网络服务器的方法及装置 |
| CN109306875A (zh) * | 2018-09-25 | 2019-02-05 | 中国船舶重工集团公司第七0三研究所 | 一种汽轮机deh双控制器同步热备冗余切换装置及方法 |
| CN109561091A (zh) * | 2018-11-30 | 2019-04-02 | 冶金自动化研究设计院 | 一种用于人防工程的网络安全防护系统 |
| CN109870966A (zh) * | 2019-01-09 | 2019-06-11 | 深圳先进技术研究院 | 一种工业互联网控制系统 |
| CN110417756A (zh) * | 2019-07-11 | 2019-11-05 | 北京百度网讯科技有限公司 | 跨网络数据传输方法及装置 |
| CN110417794A (zh) * | 2019-08-05 | 2019-11-05 | 南京轨道交通系统工程有限公司 | 一种基于安全隔离网闸的多信息源通讯管理装置 |
| CN110620791A (zh) * | 2019-10-10 | 2019-12-27 | 江苏亨通工控安全研究院有限公司 | 一种带有预警功能的工业安全数据摆渡系统 |
| CN111080026A (zh) * | 2019-12-25 | 2020-04-28 | 北京百度网讯科技有限公司 | 人流密度预警方法及装置 |
| CN111343144A (zh) * | 2020-01-23 | 2020-06-26 | 奇安信科技集团股份有限公司 | 基于Linux的OPC网闸系统及数据处理方法 |
| CN111343263A (zh) * | 2020-02-21 | 2020-06-26 | 北京京东尚科信息技术有限公司 | 批量私有云的运维系统和运维方法 |
| CN111431905A (zh) * | 2020-03-26 | 2020-07-17 | 重庆新致金服信息技术有限公司 | 一种适用于信贷行业的智能网关系统 |
| CN111431905B (zh) * | 2020-03-26 | 2022-07-22 | 重庆新致金服信息技术有限公司 | 一种适用于信贷行业的智能网关系统 |
| CN111586041A (zh) * | 2020-05-07 | 2020-08-25 | 英赛克科技（北京）有限公司 | 工业单向隔离网闸系统和数据传输方法 |
| CN111865715B (zh) * | 2020-06-24 | 2022-01-25 | 南京华盾电力信息安全测评有限公司 | 一种网闸适配模块和数据传输系统 |
| CN111865715A (zh) * | 2020-06-24 | 2020-10-30 | 南京华盾电力信息安全测评有限公司 | 一种网闸适配模块和数据传输系统 |
| CN112134742A (zh) * | 2020-10-14 | 2020-12-25 | 合肥中科泛再物联网科技有限公司 | 一种重点用能单位能耗在线监测端设备系统及方法 |
| CN112351013A (zh) * | 2020-10-28 | 2021-02-09 | 南京熊猫电子股份有限公司 | 一种带工控机控制系统的内外网隔离有线和无线传输设备 |
| WO2022142529A1 (zh) * | 2020-12-29 | 2022-07-07 | 浙江中控技术股份有限公司 | 一种安全与常规控制应用间数据隔离的方法及装置 |
| CN112887267A (zh) * | 2021-01-05 | 2021-06-01 | 天津七所精密机电技术有限公司 | 一种具有报文认证功能的网络隔离系统及其方法 |
| CN112910963A (zh) * | 2021-01-18 | 2021-06-04 | 翰克偲诺水务集团有限公司 | 水处理设备局域网与因特网跨网域数据交互的方法及系统 |
| CN112804265B (zh) * | 2021-04-08 | 2021-07-30 | 北京乐研科技有限公司 | 一种单向网闸接口电路、方法及可读存储介质 |
| CN112804265A (zh) * | 2021-04-08 | 2021-05-14 | 北京乐研科技有限公司 | 一种单向网闸接口电路、方法及可读存储介质 |
| CN113329002A (zh) * | 2021-05-20 | 2021-08-31 | 普天通信有限责任公司 | 一种物联网数据汇聚系统 |
| CN113329002B (zh) * | 2021-05-20 | 2022-06-21 | 普天通信有限责任公司 | 一种物联网数据汇聚系统 |
| CN113612769A (zh) * | 2021-08-02 | 2021-11-05 | 北京力天世技系统集成有限公司 | 数据安全型连接器 |
| CN113965395A (zh) * | 2021-10-28 | 2022-01-21 | 绿盟科技集团股份有限公司 | 一种实时安全访问内网的方法、系统及装置 |
| CN113965395B (zh) * | 2021-10-28 | 2024-02-09 | 绿盟科技集团股份有限公司 | 一种实时安全访问内网的方法、系统及装置 |
| CN114553501A (zh) * | 2022-01-29 | 2022-05-27 | 宁波万德高科智能科技有限公司 | 一种超高速网络隔离数据安全传输方法及系统 |
| CN114760015B (zh) * | 2022-03-21 | 2023-10-13 | 傲普(上海)新能源有限公司 | 基于冗余设计和策略控制的ems遥调遥控成功率提升方法 |
| CN114760015A (zh) * | 2022-03-21 | 2022-07-15 | 傲普(上海)新能源有限公司 | 基于冗余设计和策略控制的ems遥调遥控成功率提升方法 |
| CN115001857A (zh) * | 2022-07-19 | 2022-09-02 | 济南慧天云海信息技术有限公司 | 一种基于网闸的安全隔离与数据包分发方法、分发系统 |
| CN115001857B (zh) * | 2022-07-19 | 2022-11-04 | 济南慧天云海信息技术有限公司 | 一种基于网闸的安全隔离与数据包分发方法、分发系统 |
| CN116257493A (zh) * | 2022-12-29 | 2023-06-13 | 北京京桥热电有限责任公司 | 一种基于缓存机制的opc穿网闸接口 |
| CN116319106A (zh) * | 2023-05-22 | 2023-06-23 | 北京网藤科技有限公司 | 一种用于工控安全中的进程级微隔离的方法及系统 |
| CN116319106B (zh) * | 2023-05-22 | 2023-08-08 | 北京网藤科技有限公司 | 一种用于工控安全中的进程级微隔离的方法及系统 |
| CN116743460A (zh) * | 2023-06-14 | 2023-09-12 | 武汉凌云信通科技有限公司 | 内外网的数据交换隔离方法、系统、设备及存储介质 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| CN106341397A (zh) | 一种工业安全隔离网闸 | |
| CN109842585B (zh) | 面向工业嵌入式系统的网络信息安全防护单元和防护方法 | |
| WO2021203733A1 (zh) | 电力边缘网关设备及基于该设备的传感数据上链存储方法 | |
| CN206712810U (zh) | 一种基于pci‑e总线的高速密码卡 | |
| CN110943913A (zh) | 一种工业安全隔离网关 | |
| CN101986638A (zh) | 千兆单向型网络隔离装置 | |
| CN109561091A (zh) | 一种用于人防工程的网络安全防护系统 | |
| CN104486336A (zh) | 工业控制网络安全隔离交换装置 | |
| CN105656902A (zh) | 一种基于光传输的单向可靠传输及控制系统 | |
| CN101127454A (zh) | 电力监管信息安全接入设备 | |
| CN112910932B (zh) | 一种数据处理方法、装置及系统 | |
| CN105141599A (zh) | 一种基于物理隔离的多芯片网络加密系统 | |
| CN204089849U (zh) | 一种基于工业控制协议的网络隔离装置 | |
| CN209805847U (zh) | 一种安全生产数据前置机 | |
| CN202979014U (zh) | 网络隔离装置 | |
| CN113014385B (zh) | 一种双网口硬件网络数据加密系统 | |
| CN104468519A (zh) | 一种嵌入式电力安全防护终端加密装置 | |
| CN201051744Y (zh) | 一种安全的加密网卡装置 | |
| CN201936307U (zh) | 电力系统专用物理隔离装置 | |
| CN102193799A (zh) | 一种用于安全计算机通信的安全中间系统 | |
| CN1622517A (zh) | 一种嵌入式信息安全平台 | |
| CN101330382A (zh) | 一种基于加密隧道智能选择的自动旁路方法 | |
| CN101478428B (zh) | 软硬件协同的以太网故障安全通信系统和数据传输方法 | |
| RU2660627C2 (ru) | Способ динамического контроля соответствия настроек коммутационных устройств программно-конфигурируемой сети требованиям политик маршрутизации | |
| CN112953897B (zh) | 一种基于云计算设备的列控系统边缘安全节点的实现方法 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| C06 | Publication | ||
| PB01 | Publication | ||
| C10 | Entry into substantive examination | ||
| SE01 | Entry into force of request for substantive examination | ||
| RJ01 | Rejection of invention patent application after publication |
Application publication date: 20170118 |
|
| RJ01 | Rejection of invention patent application after publication |