CN106686005A - 一种用于工业控制系统的安全防护系统及防护方法 - Google Patents

Abstract

本发明涉及一种用于工业控制系统的安全防护系统及防护方法，安全防护系统包括编码单元、解码单元和物理单向光隔离单元；编码单元和解码单元均与物理单向光隔离单元连接，物理单向光隔离单元用于对编码单元和解码单元进行物理隔离。编码单元包括第一嵌入式计算机和编码板，第一嵌入式计算机的主板上集成第一以太网接口、第一USB接口和异型USB接口。解码单元包括第二嵌入式计算机和解码板，第二嵌入式计算机的主板上集成第二以太网接口、第二USB接口和标准USB接口。本发明通过阻断来自工业控制系统网络边界的风险源的传播途径，阻断信息系统网络向工业控制系统网络输入风险。

Description

一种用于工业控制系统的安全防护系统及防护方法

技术领域

本发明属于计算机安全技术领域，具体涉及一种用于工业控制系统的安全防护系统及防护方法。

背景技术

在我国工业技术发展及安全生产和信息化的要求下，我国大部分企业的控制系统程度不断升高，表现在就大部分企业的生产控制系统为PLC(可编程逻辑控制器)、DCS(分布式控制系统)、SIS(安全仪表系统)、GDS(可燃、有毒气体报警系统)、SCADA(长输管线的控制系统)，特别是国家安监总局【2014】116号文件，更是指定，对于安全性要求高的生产单位，必须上自动控制系统(PLC、DCS、SIS、GDS)。

在信息化的今天，企业的生产系统信息需要实时传输到信息系统，即控制系统的数据需要实时传输到信息系统(MES，生产信息化管理系统)，生产控制系统与信息系统结合紧密。尤其是信息系统又通过VPN(虚拟专用网络)或专线与集团公司的信息系统连接，另外，企业的局域网还通过VPN服务器与互联网连接。

在病毒泛滥、黑客猖獗、网军盛行(如美国、俄罗斯等)的情况下，企业控制系统网络安全需求显得尤为突出。企业控制系统一旦受到攻击，会产生严重损失，例如伊朗核燃料离心机被攻击(1000多台离心机损毁)、德国钢厂被攻击(钢厂停产)、美国电厂被攻击等，损失均触目惊心。

我国工业控制系统的安全防护方式以防火墙为主；网闸是我国涉密部门网络安全的防护设备(且针对项目开发应用协议)，用于工业控制的还鲜为人知。无论是采用防火墙保护还是采用网闸保护，在APT2.0(Advanced Persistent Thrent，高级持续性威胁)时代的攻击面前，基于信息网络安全的防护手段及现有的工控网络防护手段已经成为“皇帝的新装”。对于“黑客”而言，目前国内控制系统的网络相当于无障碍的展示在“黑客”的面前，更不用说“网络部队”了。企业控制系统网络安全令人堪忧。

美国可谓计算机技术的领军者，但是发生在美国国家安全部门的网络攻击还是不断发生。可见，面对当前的网络安全形势，无论是防火墙还是网闸，控制系统网络中只要有外部信息“输入通道”，哪怕是所谓隔离，也一定会被黑客、网军攻破。

企业控制系统的技术人员和信息系统的技术人员均对计算机安全知识了解不足，特别是控制系统的工程技术人员，对网络安全的知识更是匮乏。而企业信息系统的技术人员对控制系统的安全要求认识也不足，显然当前对于工业控制系统的网络安全防护设备、手段及意识不能满足控制系统网络安全防护的需求。

发明内容

为了解决现有技术存在的上述问题，本发明提供了一种用于工业控制系统的安全防护系统及防护方法。

为实现以上目的，本发明所采用的技术方案为：一种用于工业控制系统的安全防护系统，其特征在于：它包括编码单元、解码单元和物理单向光隔离单元；所述编码单元和解码单元均与所述物理单向光隔离单元连接，所述物理单向光隔离单元用于对所述编码单元和解码单元进行物理隔离。

进一步地，所述编码单元包括第一嵌入式计算机和编码板，所述第一嵌入式计算机与编码板连接；所述第一嵌入式计算机的主板上集成有第一以太网接口、第一USB接口和第一文件隔离备份单元，所述第一嵌入式计算机通过所述第一以太网接口与所述工业控制系统进行数据交换，所述第一USB接口用于完成编码的参数配置工作，所述第一文件隔离备份单元用于对所述工业控制系统的应用程序进行备份；所述编码板上设置有第一FPGA隔离交换芯片，所述第一FPGA隔离交换芯片用于完成RS码和喷泉码的硬件编码工作。

更进一步地，所述第一文件隔离备份单元采用异型USB接口，所述异型USB接口用于对所述工业控制系统的应用程序进行备份。

进一步地，所述解码单元包括第二嵌入式计算机和解码板，所述第二嵌入式计算机与解码板连接；所述第二嵌入式计算机的主板上集成有第二以太网接口、第二USB接口和第二文件隔离备份单元，所述第二嵌入式计算机通过所述第二以太网接口与信息系统进行数据交换，并与打印机进行物理隔离连接，所述第二USB接口用于完成解码的参数配置工作，所述第二文件隔离备份单元用于对所述工业控制系统的非程序文件进行导出；所述解码板上设置有第二FPGA隔离交换芯片，所述第二FPGA隔离交换芯片用于完成RS码和喷泉码的硬件解码工作。

更进一步地，所述第二文件隔离备份单元采用标准USB接口，所述标准USB接口用于对所述工业控制系统的报表、报警和SOE数据进行导出。

进一步地，所述物理单向光隔离单元包括光发射板、物理单向光器件和光接收板，所述光发射板的输入端与所述编码板连接，其输出端与所述物理单向光器件连接，所述物理单向光器件通过光纤与所述光接收板连接，所述光接收板与所述解码板连接。

进一步地，所述用于工业控制系统的安全防护系统中还设置有第一冗余电源和第二冗余电源，所述第一冗余电源为所述编码单元供电，所述第二冗余电源为所述解码单元供电。

进一步地，所述用于工业控制系统的安全防护系统中的数据传输是单向的，数据从所述第一以太网接口传输到所述第二以太网接口。

一种用于工业控制系统的安全防护方法包括以下步骤：

设置一种用于工业控制系统的安全防护系统，用于工业控制系统的安全防护系统包括编码单元、解码单元和物理单向光隔离单元，编码单元包括第一嵌入式计算机和编码板，第一嵌入式计算机的主板上集成第一以太网接口、第一USB接口和异型USB接口；解码单元包括第二嵌入式计算机和解码板，第二嵌入式计算机的主板上集成第二以太网接口、第二USB接口和标准USB接口；

工业控制系统OPC Server的TCP/IP数据包通过第一以太网接口传输至编码单元，编码后的数据通过物理单向光隔离单元发送给解码单元，解码单元对数据进行解码后通过第二以太网接口发送给信息系统；

工程师站、操作员站需要打印的数据通过第一以太网接口单向传输至第二以太网接口，经编码、隔离和解码处理后的数据通过第二以太网接口和外部网络传输至报警或报表打印机；

工程师站或操作员站需要拷贝的文件以及工程师站备份的应用程序数据通过第一以太网接口发送给用于工业控制系统的安全防护系统，用于工业控制系统的安全防护系统对数据进行处理后单向传输至异型USB接口，并对具有异型接口的U盘进行格式化；处理后的数据经异型USB接口保存到具有异型接口的U盘中；

工程师站或操作站导出的报表、SOE、历史记录数据由第一以太网接口单向传输至标准USB接口，并通过标准USB接口传输至移动存储设备进行存储。

进一步地，所述用于工业控制系统的安全防护系统对工业控制系统OPC Server的TCP/IP数据包进行处理的过程为：

1)第一嵌入式计算机对接收到的TCP/IP数据包进行解封，去除协议层，提取应用层数据；

2)编码板对应用层数据进行RS编码，再进行喷泉码编码；

3)物理单向光隔离单元将编码后的数据发送给解码单元；

4)解码板对接收到的数据进行喷泉码解码，再进行RS解码；

5)第二嵌入式计算机对接收到的解码后的数据进行TCP/IP封装，并建立OPCServer；

6)重新封装的TCP/IP数据包通过第二以太网接口发送给信息系统。

由于采用以上技术方案，本发明的有益效果为：本发明通过设置编码单元、解码单元和物理单向光隔离单元，能够阻断VPN远程服务系统网络向控制系统网络输入风险，阻断控制系统打印机(报警及报表打印机)向控制系统网络输入风险，阻断控制系统在应用程序备份或文件(报表、故障记录、HMI截屏等文件)备份时通过移动存储设备(U盘、移动硬盘)向控制系统网络输入风险，通过阻断以上来自工业控制系统网络边界的风险源的传播途径，本发明能够阻断信息系统网络向控制系统网络输入风险，使工业控制系统网络安全的系统能力等级从技术上达到CL4级(GB/T33008.1-2016)，实现对工业控制系统的安全防护。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是工业控制系统的网络边界示意图；

图2是本发明用于工业控制系统的安全防护系统的原理框图；

图3是本发明用于工业控制系统的安全防护系统的数据流传输方式示意图；

图4是本发明用于工业控制系统的安全防护系统的应用示意图。

图中1-编码单元；11-第一嵌入式计算机；12-编码板；13-第一USB接口；14-第一文件隔离备份单元；XT1-第一以太网接口；2-解码单元；21-第二嵌入式计算机；22-解码板；23-第二USB接口；24-第二文件隔离备份单元；XT2-第二以太网接口；3-物理单向光隔离单元；31-光发射板；32-物理单向光器件；33-光接收板；4-第一冗余电源；5-第二冗余电源。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚，下面将对本发明的技术方案进行详细的描述。显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动的前提下所得到的所有其它实施方式，都属于本发明所保护的范围。

如图1所示，工业控制系统的风险源是通过远程服务通讯接口、报警打印机、报表打印机、OPC Server和用于文件、程序备份的USB接口等边界接口进入工业控制系统的。风险源的传播路径包括从远程服务通讯接口到工业控制系统内部的工程师站、操作员站、服务器、控制器。从报警打印机(预置风险的打印机)接口到工业控制系统内部的工程师站、操作员站、服务器、控制器。从报表打印机(预置风险的打印机)接口到工业控制系统内部的工程师站、操作员站、服务器、控制器。从OPC Server到工业控制系统内部的工程师站、操作员站、服务器、控制器(PLC、DCS、SIS、GDS等)。从用于文件、程序备份的USB接口(文件备份为操作员站上的USB接口、程序备份为工程师站上的USB接口)到工业控制系统内部的工程师站、操作员站、服务器、控制器。

目前，各企业对工业控制系统的可用性、完整性、实时性、可靠性和稳定性等要求极高。而影响该要求的主要因素是对工业控制系统的攻击。为确保工业控制系统的可用性、完整性、实时性、可靠性和稳定性，如图2所示，本发明提供了一种用于工业控制系统的安全防护系统，该安全防护系统能够阻断来自工业控制系统网络边界的风险源的传播途径，从而阻断信息系统网络向工业控制系统网络输入风险。

信息化程度的典型特征是，工业控制系统的生产数据需要完整、及时的提供给信息系统(MES)，信息系统与工业控制系统的界面是工业控制系统的OPC Server与MES系统之间的通讯接口。也就是L2级(工业控制系统)与L3级(信息系统)之间的信息交换模式。无论是石油化工还是冶金、电力行业，L2级与L3级之间的信息交换均是L3级读取L2级生产控制系统的状态信息，而L3级不向L2级写控制系统命令信息。

本发明用于工业控制系统的安全防护系统包括编码单元1、解码单元2和物理单向光隔离单元3。编码单元1和解码单元2均与物理单向光隔离单元3连接，物理单向光隔离单元3用于对编码单元1和解码单元2进行物理隔离。

编码单元1包括第一嵌入式计算机11和编码板12，第一嵌入式计算机11与编码板12连接。第一嵌入式计算机11的主板上集成有第一以太网接口XT1、第一USB接口13和第一文件隔离备份单元14。

第一嵌入式计算机11中的操作系统为经过裁剪的Linux系统。设置有经过裁剪的Linux系统的第一嵌入式计算机11为编码单元1的核心控制器和应用程序的平台。第一以太网接口XT1作为第一嵌入式计算机11与工业控制系统网络之间连接的接口，第一嵌入式计算机11通过第一以太网接口XT1与工业控制系统进行数据交换。第一USB接口13用于完成编码的参数配置工作。第一文件隔离备份单元14用于对工业控制系统的应用程序进行备份。

编码板12上设置有第一FPGA隔离交换芯片。第一FPGA隔离交换芯片用于完成RS码和喷泉码的硬件编码工作。

进一步地，第一文件隔离备份单元14采用异型USB接口。异型USB接口用于对工业控制系统的应用程序进行备份。备份完成后，由于是异型USB接口，能够避免无意将U盘接入到其他设备导致恶意代码植入。

解码单元2包括第二嵌入式计算机21和解码板22，第二嵌入式计算机21与解码板22连接。第二嵌入式计算机21的主板上集成有第二以太网接口XT2、第二USB接口23和第二文件隔离备份单元24。

第二嵌入式计算机21中的操作系统为经过裁剪的Linux系统。设置有经过裁剪的Linux系统的第二嵌入式计算机21为解码单元2的核心控制器和应用程序的平台。第二以太网接口XT2作为第二嵌入式计算机21与信息系统网络之间连接的接口，第二嵌入式计算机21通过第二以太网接口XT2与信息系统进行数据交换。第二以太网接口XT2还作为第二嵌入式计算机21与打印机网络之间连接的接口，第二嵌入式计算机21通过第二以太网接口XT2与打印机进行物理隔离连接。第二USB接口23用于完成解码的参数配置工作。第二文件隔离备份单元24用于对工业控制系统的非程序文件进行导出。

解码板22上设置有第二FPGA隔离交换芯片。第二FPGA隔离交换芯片用于完成RS码和喷泉码的硬件解码工作。

进一步地，第二文件隔离备份单元24采用标准USB接口。标准USB接口用于对工业控制系统的报表、报警和SOE等数据进行导出。需要说明的是，工业控制系统的操作站或工程师站导出的报表、SOE和历史记录等数据由第一以太网接口XT1到连接于标准USB接口的移动存储设备的数据传输过程中，数据只从第一以太网接口XT1向标准USB接口传输，标准USB接口无任何数据反向传输到第一以太网接口XT1。

物理单向光隔离单元3包括光发射板31、物理单向光器件32和光接收板33。其中，光发射板31的输入端与编码单元1中的编码板12连接，其输出端与物理单向光器件32连接，物理单向光器件32通过光纤与光接收板33连接，光接收板33与解码单元2中的解码板22连接。进一步地，光发射板31采用激光发射模块，物理单向光器件32采用激光单向隔离器，激光发射模块和激光单向隔离器构成物理单向激光输出单元，实现编码单元1的单向输出。

上述实施例中，第一嵌入式计算机11和第二嵌入式计算机21的启动方式均采用“独立的只读存储单元引导启动”方式。

本发明用于工业控制系统的安全防护系统的工作原理为：

工业控制系统OPC Server的TCP/IP数据包通过第一以太网接口XT1传输至编码单元1中的第一嵌入式计算机11。第一嵌入式计算机11对接收到的TCP/IP数据包进行解封，去除协议层，提取应用层数据。编码板12对应用层数据进行RS编码，再进行喷泉码编码。编码后的数据通过物理单向光隔离单元3发送给解码单元2。

解码单元2中的解码板22对接收到的数据进行喷泉码解码，再进行RS解码。解码后的数据传输至第二嵌入式计算机21。第二嵌入式计算机21对接收到的解码后的数据进行TCP/IP封装，并建立OPC Server(此时，解码单元2中的嵌入式计算等同于工业控制系统的OPC Server)。

通过第二嵌入式计算机21重新封装的TCP/IP数据包通过第二以太网接口XT2发送给信息系统。

上述实施例中，本发明用于工业控制系统的安全防护系统中还设置有第一冗余电源4和第二冗余电源5。第一冗余电源4为编码单元1供电，第二冗余电源5为解码单元2供电。第一冗余电源4与第二冗余电源5之间是隔离的。第一冗余电源4和第二冗余电源5均为工业级电源，为适应工业控制系统的电源要求，第一冗余电源4和第二冗余电源5的输入电压均为DC24V。

如图3所示，本发明用于工业控制系统的安全防护系统以数据单向传输为核心，能够阻断外部网络数据流向工业控制网络。本发明用于工业控制系统的安全防护系统的数据流传输过程为：

与信息系统之间的通讯，数据源以OPC Server形式保留在服务器中，服务器中的数据源通过第一以太网接口XT1传输至本发明用于工业控制系统的安全防护系统的编码单元1中，编码单元1编码完成后通过物理单向光隔离单元3单向传输至第二嵌入式计算机21中。第二嵌入式计算机21中建立OPC Server(简称X2-OPC)。运行在信息系统BUF计算机中的OPC Client读取X2-OPC的数据，完成信息系统读取工业控制系统生产信息的工作。需要说明的是，控制系统的OPC Server的数据由第一以太网接口XT1到第二以太网接口XT2的数据传输过程中，数据只从第一以太网接口XT1向第二以太网接口XT2传输，第二以太网接口XT2无任何数据反向传输到第一以太网接口XT1。

工程师站、操作员站需要打印的数据通过控制系统网络二和第一以太网接口XT1发送给本发明用于工业控制系统的安全防护系统。本发明进行数据处理后单向传输至第二以太网接口XT2，处理后的数据通过第二以太网接口XT2和外部网络传输至报警或报表打印机，报警或报表打印机完成打印工作。需要说明的是，从工业控制系统的操作员站输出的打印数据由第一以太网接口XT1到第二以太网接口XT2的数据传输过程中，数据只从第一以太网接口XT1向第二以太网接口XT2传输，第二以太网接口XT2口无任何数据反向传输到第一以太网接口XT1。

由于报警或报表打印机不接入工业控制系统的内部网络，打印机连接于第二以太网接口XT2接入的外部网络中，因此，即使打印机中存在恶意代码，也无法反向传输到连接于第一以太网接口XT1的工业控制系统的内部网络中。

工程师站、操作员站需要拷贝的文件通过控制系统网络二和第一以太网接口XT1发送给本发明用于工业控制系统的安全防护系统。本发明进行数据处理后单向传输至异型USB接口，经异型USB接口保存到具有异型接口的U盘中。具有异型接口的U盘一旦与异型USB接口连接，本发明自动无条件对U盘进行低级格式化，确保该U盘中无恶意代码。需要保存的文件存入该格式化后的U盘中。需要说明的是，工业控制系统的工程师站备份的应用程序数据由第一以太网接口XT1到连接于异型USB接口的移动存储设备的数据传输过程中，数据只从第一以太网接口XT1向异型USB接口传输，异型USB接口无任何数据反向传输到第一以太网接口XT1。

采用以下方法阻断由U盘、移动硬盘等移动存储设备携带恶意代码对工业控制系统的攻击：在工程师站上也配置异型USB接口，对于备份后的应用程序、配置文件等需要重新导入工业控制系统的数据，可由具有异型USB接口的存储设备导入。由于具有异型USB接口的存储设备无法直接接入其他计算机等设备中，且在备份程序时又首先进行了低级格式化，因此重新将备份文件导入到工程师站时，不会带有风险。

从工业控制系统的工程师站或操作站导出的数据库(SQL、ACCESS、ORACLE等)由第一以太网接口XT1同步到第二以太网接口XT2，数据只从第一以太网接口XT1向第二以太网接口XT2传输，第二以太网接口XT2无任何数据反向传输到第一以太网接口XT1。

信息系统(MES)与工业控制系统通讯虽然采用OPC通讯(双向)，但是实际上是信息系统读取工业控制系统的状态信息，并不向工业控制系统写入控制命令，因此数据流的方向具有单向性。

本发明用于工业控制系统的安全防护系统部采用低功耗器件，采用无风扇设计，其设置在工业控制系统的机柜内，不设置在信息系统机房中。

本发明的数据传输是单向传输，无反馈，即数据只从第一以太网接口XT1传输到第二以太网接口XT2。在此数据传输过程中，第二以太网接口XT2无数据反向传输，即无连接。基于以太网的通讯需要建立连接，因此基于以太网的需要建立连接的通讯方式(协议)不能直接通讯，首先需要剥离标准通讯协议(此类协议在信息传递过程需要建立双向连接通道)、再封装本发明的专用协议(在信息传递过程不需要建立连接)、数据进行RS编码和喷泉码编码，在本发明的专用协议下进行无连接的数据传输。数据传输到解码单元2后，首先进行喷泉解码和RS解码，再封装标准协议，输送到对应区域(例如，XT2-OPC Server区域、XT2-打印数据区域和对应USB口等)。

远程服务数据通过本发明后，经信息系统VPN服务器将生产状态、诊断等信息发送到远程服务监视平台和远程服务提供商，根据状态信息、诊断信息，为用户提供远程服务。而在此服务过程中，通过信息系统接入的远程服务平台不能向工业控制系统写入数据。

本发明提供的用于工业控制系统的安全防护系统能够阻断通过信息网络与工业控制系统网络接口(OPC服务器等)对工业控制系统的攻击、阻断通过远程服务接入(如VPN网关、VPN服务器等)对工业控制系统的攻击、阻断打印机内置恶意代码对工业控制系统的攻击、阻断由移动存储设备(U盘、移动硬盘)携带恶意代码对工业控制系统的攻击，从而保证工业控制系统的安全运行。其中，恶意代码包括所有计算机病毒、所有工业控制系统以外针对工业控制系统的非法侵入等风险。

本发明还提供了一种用于工业控制系统的安全防护方法，其包括以下步骤：

S1、设置一种用于工业控制系统的安全防护系统，用于工业控制系统的安全防护系统包括编码单元1、解码单元2和物理单向光隔离单元3。编码单元1和解码单元2均与物理单向光隔离单元3连接，物理单向光隔离单元3用于对编码单元1和解码单元2进行物理隔离。编码单元1包括第一嵌入式计算机11和编码板12，第一嵌入式计算机11的主板上集成第一以太网接口XT1、第一USB接口13和异型USB接口。解码单元2包括第二嵌入式计算机21和解码板22，第二嵌入式计算机21的主板上集成第二以太网接口XT2、第二USB接口23和标准USB接口。

S2、工业控制系统OPC Server的TCP/IP数据包通过第一以太网接口XT1传输至编码单元1。编码后的数据通过物理单向光隔离单元3发送给解码单元2。解码单元2对数据进行解码后通过第二以太网接口XT2发送给信息系统。

用于工业控制系统的安全防护系统对工业控制系统OPC Server的TCP/IP 数据包进行处理的过程为：

1)第一嵌入式计算机11对接收到的TCP/IP数据包进行解封，去除协议层，提取应用层数据。

2)编码板12对应用层数据进行RS编码，再进行喷泉码编码。

3)物理单向光隔离单元3将编码后的数据发送给解码单元2。

4)解码板22对接收到的数据进行喷泉码解码，再进行RS解码。

5)第二嵌入式计算机21对接收到的解码后的数据进行TCP/IP封装，并建立OPCServer。

6)重新封装的TCP/IP数据包通过第二以太网接口XT2发送给信息系统。

S3、工程师站、操作员站需要打印的数据通过第一以太网接口XT1单向传输至第二以太网接口XT2，经编码、隔离和解码等处理后的数据通过第二以太网接口XT2和外部网络传输至报警或报表打印机。

S4、工程师站或操作员站需要拷贝的文件以及工程师站备份的应用程序数据通过第一以太网接口XT1发送给用于工业控制系统的安全防护系统，用于工业控制系统的安全防护系统对数据进行处理后单向传输至异型USB接口，并对具有异型接口的U盘进行格式化；处理后的数据经异型USB接口保存到具有异型接口的U盘中。

S5、工程师站或操作站导出的报表、SOE、历史记录等数据由第一以太网接口XT1到连接于标准USB接口的移动存储设备的数据传输过程中，数据只从第一以太网接口XT1向标准USB接口传输，标准USB接口无任何数据反向传输到第一以太网接口。

以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以所述权利要求的保护范围为准。

Claims (10)

1.一种用于工业控制系统的安全防护系统，其特征在于：它包括编码单元、解码单元和物理单向光隔离单元；所述编码单元和解码单元均与所述物理单向光隔离单元连接，所述物理单向光隔离单元用于对所述编码单元和解码单元进行物理隔离。

2.如权利要求1所述的一种用于工业控制系统的安全防护系统，其特征在于：所述编码单元包括第一嵌入式计算机和编码板，所述第一嵌入式计算机与编码板连接；所述第一嵌入式计算机的主板上集成有第一以太网接口、第一USB接口和第一文件隔离备份单元，所述第一嵌入式计算机通过所述第一以太网接口与所述工业控制系统进行数据交换，所述第一USB接口用于完成编码的参数配置工作，所述第一文件隔离备份单元用于对所述工业控制系统的应用程序进行备份；所述编码板上设置有第一FPGA隔离交换芯片，所述第一FPGA隔离交换芯片用于完成RS码和喷泉码的硬件编码工作。

3.如权利要求2所述的一种用于工业控制系统的安全防护系统，其特征在于：所述第一文件隔离备份单元采用异型USB接口，所述异型USB接口用于对所述工业控制系统的应用程序进行备份。

4.如权利要求1所述的一种用于工业控制系统的安全防护系统，其特征在于：所述解码单元包括第二嵌入式计算机和解码板，所述第二嵌入式计算机与解码板连接；所述第二嵌入式计算机的主板上集成有第二以太网接口、第二USB接口和第二文件隔离备份单元，所述第二嵌入式计算机通过所述第二以太网接口与信息系统进行数据交换，并与打印机进行物理隔离连接，所述第二USB接口用于完成解码的参数配置工作，所述第二文件隔离备份单元用于对所述工业控制系统的非程序文件进行导出；所述解码板上设置有第二FPGA隔离交换芯片，所述第二FPGA隔离交换芯片用于完成RS码和喷泉码的硬件解码工作。

5.如权利要求4所述的一种用于工业控制系统的安全防护系统，其特征在于：所述第二文件隔离备份单元采用标准USB接口，所述标准USB接口用于对所述工业控制系统的报表、报警和SOE数据进行导出。

6.如权利要求1所述的一种用于工业控制系统的安全防护系统，其特征在于：所述物理单向光隔离单元包括光发射板、物理单向光器件和光接收板，所述光发射板的输入端与所述编码板连接，其输出端与所述物理单向光器件连接，所述物理单向光器件通过光纤与所述光接收板连接，所述光接收板与所述解码板连接。

7.如权利要求1所述的一种用于工业控制系统的安全防护系统，其特征在于：所述用于工业控制系统的安全防护系统中还设置有第一冗余电源和第二冗余电源，所述第一冗余电源为所述编码单元供电，所述第二冗余电源为所述解码单元供电。

8.如权利要求1所述的一种用于工业控制系统的安全防护系统，其特征在于：所述用于工业控制系统的安全防护系统中的数据传输是单向的，数据从所述第一以太网接口传输到所述第二以太网接口。

9.一种用于工业控制系统的安全防护方法，其特征在于，包括以下步骤：

设置一种用于工业控制系统的安全防护系统，用于工业控制系统的安全防护系统包括编码单元、解码单元和物理单向光隔离单元，编码单元包括第一嵌入式计算机和编码板，第一嵌入式计算机的主板上集成第一以太网接口、第一USB接口和异型USB接口；解码单元包括第二嵌入式计算机和解码板，第二嵌入式计算机的主板上集成第二以太网接口、第二USB接口和标准USB接口；

工业控制系统OPC Server的TCP/IP数据包通过第一以太网接口传输至编码单元，编码后的数据通过物理单向光隔离单元发送给解码单元，解码单元对数据进行解码后通过第二以太网接口发送给信息系统；

工程师站、操作员站需要打印的数据通过第一以太网接口单向传输至第二以太网接口，经编码、隔离和解码处理后的数据通过第二以太网接口和外部网络传输至报警或报表打印机；

工程师站或操作员站需要拷贝的文件以及工程师站备份的应用程序数据通过第一以太网接口发送给用于工业控制系统的安全防护系统，用于工业控制系统的安全防护系统对数据进行处理后单向传输至异型USB接口，并对具有异型接口的U盘进行格式化；处理后的数据经异型USB接口保存到具有异型接口的U盘中；

工程师站或操作站导出的报表、SOE、历史记录数据由第一以太网接口单向传输至标准USB接口，并通过标准USB接口传输至移动存储设备进行存储。

10.如权利要求9所述的一种用于工业控制系统的安全防护方法，其特征在于，所述用于工业控制系统的安全防护系统对工业控制系统OPC Server的TCP/IP数据包进行处理的过程为：

1)第一嵌入式计算机对接收到的TCP/IP数据包进行解封，去除协议层，提取应用层数据；

2)编码板对应用层数据进行RS编码，再进行喷泉码编码；

3)物理单向光隔离单元将编码后的数据发送给解码单元；

4)解码板对接收到的数据进行喷泉码解码，再进行RS解码；

5)第二嵌入式计算机对接收到的解码后的数据进行TCP/IP封装，并建立OPC Server；

6)重新封装的TCP/IP数据包通过第二以太网接口发送给信息系统。