CN106774168B - 一种数控nc代码安全过滤系统 - Google Patents

Abstract

本发明提供了一种数控NC代码安全过滤系统，所述系统配置管理网中的工艺终端与DNC数控系统之间传输数控程序NC代码是FTP通信模式，因此过滤数据以FTP应用代理模块为基础模块，FTP应用代理模块将数控程序NC代码接收到工业防火墙，再对数据做分析、过滤，控制，符合规则的才让其通过，不符合规则的做阻止并记录日志。本发明将数控机床NC代码的安全风险予以降低，解决了代码被篡改、敏感信息泄露等技术问题。

Description

一种数控NC代码安全过滤系统

技术领域

本发明涉及通信安全技术领域，特别是涉及一种数控NC代码安全过滤系统。

背景技术

数控机床是一种装有程序控制系统的自动化机床。目前，在制造领域，特别是航空航天领域，数控机床已经成为不可替代的设备。NC代码是数控系统用来控制机床运动的程序，由各种功能字按照规定的格式组成。在一般的数控生产过程中，首先工艺部门制定加工方案，生成NC代码，然后通过DNC系统发送到车间的操作人员，操作人员将接收到的NC代码加载到数控设备开始加工零件。

传统的数控设备都是通过DNC系统进行数控代码的传输，在代码传输过程中，不可避免地会出现很多意外情况，比如：代码传输错误，代码被恶意修改，附带敏感信息，感染病毒等。对于这些情况，目前的制造企业，尤其是军工制造业并未充分考虑相应的安全防护措施，如果病毒和这些错误的代码被直接加载到数控机床上开始运行，将带来巨大的安全隐患，轻则造成零件报废、机床损坏，重则造成人员伤亡。

另一方面，由于军工行业的涉密性质，其存在大量影响机床运行的关键参数，数控加工所需的产品设计文件、工艺设计文件、程序文件、关键数据等属于高度敏感的信息，通过对这些数据和信息的收集、整理、分析，可以得到更有价值的情报资料，这些数据可能分布于设计系统、产品设计终端、工艺设计终端、编程设计终端、数控系统、DNC服务器等多个区域和载体上，系统中可能存在各种漏洞，植入恶意逻辑和后门，而且在生产过程中不易发现，从而造成敏感数据信息泄露。如果系统存在漏洞且管理不善，很容易被恶意窃取。军工数控机床所对应的往往是一些重要的生产设施，这些生产设施的布局、产量、工作状况往往与国家的重大战略布局有关。如果NC代码中附带了敏感信息，将带来严重的泄密风险。

因此，有必要建立一种数控机床的安全系统。

发明内容

为解决上述问题，本发明提供了一种数控NC代码安全过滤系统，包括数控数据过滤规则库、下行数据安全防护模块。

所述数控数据过滤规则库用于存储下行数据安全防护模块中所需的基础数据、规则定义数据、检测数据，以及相关规则的关联分析数据，以供下行数据安全防护模块调用其内的数据，依据一定的安全检测规则对输入的数据进行检测过滤。

所述下行数据安全防护模块包括文件格式检测组件，用于通过对传输的NC代码的编码方式和文件扩展名进行检查，将不符合规定编码方式的文件丢弃，将不符合规定的文件格式的文件的数据通信截断。

进一步的，所述下行数据安全防护模块还包括预编译组件，用于对传输的数控NC代码首先进行预编译处理，去除代码注释行和去除多余空格、换行符，以防止通过NC代码文件进行涉密数据的传递，以及为下一步的词法和/或语法检测做准备。

进一步的，所述下行数据安全防护模块还包括词法检测组件，用于读入数控加工程序，对构成数控加工程序的字符流进行扫描和分解，从而识别一个个单词，并和数控数据过滤规则库中的关键词进行比对，看是否存在非法单词。

进一步的，词法检测组件对词法规则和词汇类型进行检测。

进一步的，所述下行数据安全防护模块还包括工艺文件审查组件，用于对下行的工艺文件通过文件格式、数据内容的过滤检查判断工艺文件是否被非法篡改、是否为非法数据。

进一步的，所述下行数据安全防护模块还包括语法检查组件，用于在词法分析组件基础上，将数控加工程序中功能关键字分解成各类语法短语，并通过正则表达式匹配字符，判断程序段是否符合数控加工程序的编程格式，并在发现不符合语法规则的地方显示错误信息，丢弃该程序。

进一步的，所述系统还包括上行数据安全防护模块，所述上行数据安全防护模块包括恶意代码检测组件，恶意代码检测组件设置有有防病毒、木马、恶意代码查杀引擎。

所述数控数据过滤规则库存储有上行数据安全防护模块中所需的基础数据、规则定义数据、检测数据，以及相关规则的关联分析数据，以供上行数据安全防护模块调用其内的数据，依据一定的安全检测规则对输入的数据进行检测过滤。

进一步的，上行数据安全防护模块还包括白名单过滤组件，其内存储有生产过程中向上传输的数据的协议、格式、名称的白名单，用于对上传数据进行白名单过滤，对不符合白名单要求的进行阻断报警。

进一步的，上行数据安全防护模块还包括完整性校验组件，用于对上传的NC代码文件进行完整性检测。

进一步的，上行数据安全防护模块存储有数据阀值检测组件，用于对检测得到的运行中机床的实时状态数据是否在预定范围内进行核实。

本发明的有益效果为：

本发明用于对通过隔离网关的加工生产相关数据进行检测防护，深度剖析上行和下行的生产加工数控数据，过滤有风险数据，增强隔离网关的安全防护功能。在工厂的DNC系统中，通过数据通信安全系统进行通信可控性认证、异常事件报警以及通信单向性认证，再通过系统安全防护系统进行通信可控性认证、异常事件报警以及安全审计。通过安全审核系统，在DNC网络中建立一条安全的单项数据通信通道，实现数据源认证、数据完整性和通信单向性等信息安全机制。在审核系统内部，增加了通信可控性、异常事件报警、安全审计和安全管理等系统安全机制。这些安全机制结合起来，将数控机床NC代码的安全风险予以降低，解决代码被篡改、敏感信息泄露等技术问题。

附图说明

图1为本发明系统原理图。

具体实施方式

本发明所述系统可运行于配置管理网与数控加工网之间的工业防火墙内，设计构思为：配置管理网中的工艺终端与DNC数控系统之间传输数控程序NC代码是FTP通信模式，因此过滤数据以FTP应用代理模块为基础模块，FTP应用代理模块将数控程序NC代码接收到工业防火墙，再对数据做分析、过滤，控制，符合规则的才让其通过，不符合规则的做阻止并记录日志。

下面对本系统进行详细说明。

如图1所示，本系统应该至少包括数控数据过滤规则库、下行数据安全防护模块，优选还包括上行数据安全防护模块。下面分别予以介绍。

一：数控数据过滤规则库

所述数控数据过滤规则库用于存储下行数据安全防护模块、上行数据安全防护模块中所需的基础数据、规则定义数据、检测数据，以及相关规则的关联分析数据，以供下行数据安全防护模块、上行数据安全防护模块调用其内的数据，依据一定的安全检测规则对输入的数据进行检测过滤。更具体而言，其包括用于存储下行系统和上行系统中用到格式数据、类型列表、关键词列表、语法规则列表、白名单数据、阀值表等。本发明在对加工数据过滤检查时，实时调用过滤规则库中相应的规则进行逐一匹配，只有符合匹配规则的数据才能进行传输，丢弃不符合匹配规则的数据并进行报错处理以及生成过滤日志，从而实现数据过滤检查和数据日志审计功能。

二：下行数据安全防护模块

下行数据安全防护模块是本系统中最核心部分，主要解决来自涉密网络的NC代码和工艺文件传输到数控加工网络的安全防护等问题。该模块至少设计文件格式检测组件，优选还设置有预编译组件和/或词法检查组件和/或语法检查组件和/或工艺文件审查检查组件。各个组件的主要功能如下：

1. 文件格式检测组件

文件格式检测组件，通过对传输的NC代码的编码方式和文件扩展名进行深度检查，将不符合规定编码方式的文件丢弃，将不符合规定的文件格式的文件的数据通信截断。其主要进行两方面的工作：

（1）NC代码编码格式检查：NC代码编码方式通常为ASCII编码，对传输的NC代码的编码格式进行审查，将不符合该编码方式的文件视为非法文件并将该文件丢弃。

（2）数控NC代码的扩展名检查：数控NC代码的扩展名均有其固定格式，例如西门子系统NC代码扩展名为.mpf格式，Fanuc系统NC代码扩展名为.nc格式等。本组件会对传输的数据文件类型与数控系统里合法的数据类型进行比较，通过文件的扩展名对文件进行深度，检查传输文件是否符合传输要求，只有符合文件格式的文件才能进行传输，对于不可识别的非法文件，进行数据通信截断，记入日志并保存。主流数控系统的具体扩展名清单如下表：

类型	后缀名
		NC代码	nc、mpf、apt、ptp、pim、xl、pc、c2、c20
图纸文件	dwx、dwf
		3D模型文件	stp、stl、cgr、igs

2.预编译组件

预编译组件支持Siemens、Fanuc、Haidehan、Haas等主流数控系统。对传输的数控NC代码首先进行预编译处理，以防止通过NC代码文件进行涉密数据的传递，以及为下一步的词法语法检测做准备。预编译组件功能包括去除代码注释行和去除多余空格、换行符等功能。

（1）去除代码注释：NC代码中除了包含表达加工信息的代码，通常还包括部分代码注释内容。在部分注释内容中不乏有敏感词汇以及涉密信息等，因此通过预编译功能，将NC代码文件中注释信息过滤后，然后再进行传输。

（2）去除多余空格、换行符： 在预编译后，为了有效从数控加工程序中分离出“单词”，需对加工程序文本输入字符串进行编辑，消除加工NC代码中的多余空格、换行符以及其他一些对语法分析和数据处理无用的符号。

3.词法检查组件

词法检查组件的功能是从左向右逐个字符读入数控加工程序，对构成数控加工程序的字符流进行扫描和分解，从而识别一个个单词，并和规则库中的关键词进行比对，看是否存在非法单词。该组件包括词法规则检查和词汇类型检查两部分。

词法规则检查：该模块将NC代码与词法规则表进行匹配，检测到非法词法进行报错处理。例如常见的词法错误有，程序以数字或非法字符开头、负号前面出现非坐标功能字等。

词汇类型检查：在词法分析中要识别的词汇有：数字词汇、位置词汇、G代码词汇、M代码词汇、变量与函数词汇等。词法分析程序将NC程序看成输入流，每次读取一个字符进行组词并向正则规则集合寻求规则匹配。

4. 语法检查组件

语法检查组件是在词法检查基础上，将数控加工程序中功能关键字分解成各类语法短语，并通过正则表达式匹配字符，判断一个程序段中“字”的组合是否符合数控加工程序的编程格式。例如常见的语法错误：T代码后无换刀M06指令；一些系统结束时应有M30指令，缺少此指令，就会出错；某些系统程序开始需要有无条件倒带指令“％”，无此指令则出错；某数控系统要求T指令范围为1-99，超出该范围，即出错。

通过语法检查组件，可以确定整个程序语法是否完整、是否是正确的指令代码。若发现不合语法规则的地方，将显示错误信息，并将该程序丢弃。

5. 工艺文件审查组件

工艺文件通常包括工件三维模型、工件二维图纸等内容。为提高生产加工效率，通常工艺文件也通过网络从信息管理网传到数控网络中。工艺文件都有其固定格式，通过文件格式，数据内容的过滤检查，可判断工艺文件是否被非法篡改、是否为非法数据。

三：上行数据安全防护模块

上行数据安全防护模块处理从数控加工网络向涉密网络中传输状态信息以及文件信息的安全性问题。该系统中至少设计有恶意代码检测组件，还优选设置有完整性校验组件和/或白名单过滤组件和/或恶意代码检测组件和/或数据阀值检测组件。各个组件的主要功能如下：

1. 恶意代码检测组件

恶意代码检测组件设有防病毒、木马、恶意代码查杀引擎，防止来自外部对机床回传数据进行攻击和破坏

2. 完整性校验组件

用于对上传的NC代码文件进行完整性检测。

在加工生产过程中，机床操作人员会对下发的NC代码文件进行修正后进行再上传的过程，有助于NC代码的归档维护。完整性校验就是对回传的NC代码文件进行完整性检测。

3. 白名单过滤组件

其内存储有生产过程中向上传输的数据的协议、格式、名称的白名单，用于对上传数据进行白名单过滤，对不符合白名单要求的进行阻断报警。

实际加工生产过程中向上传输的数据的协议、格式、名称等都是有固定定义的，因此建立白名单机制，对上传数据进行白名单过滤，对不符合白名单要求的进行阻断报警。

4. 数据阀值检测组件

用于检测得到的运行中机床的实时状态数据是否在预定范围内进行核实。

机床状态数据监测负责对运行中机床的实时状态数据（主轴的转速、电流、电压，冷却液的闭合等数据）进行监测并上传至MDC服务器，供监控人员进行审计操作。该类数据的值域是有一定范围的，如果在传输过程中被篡改，不符合要求，应进行检测报警。

Claims (9)

1.一种数控NC代码安全过滤系统，其特征在于，包括数控数据过滤规则库、下行数据安全防护模块；

所述数控数据过滤规则库用于存储下行数据安全防护模块中所需的基础数据、规则定义数据、检测数据，以及相关规则的关联分析数据，以供下行数据安全防护模块调用其内的数据，依据一定的安全检测规则对输入的数据进行检测过滤；

所述下行数据安全防护模块包括文件格式检测组件，用于通过对传输的NC代码的编码方式和文件扩展名进行检查，将不符合规定编码方式的文件丢弃，将不符合规定的文件格式的文件的数据通信截断；

所述下行数据安全防护模块还包括预编译组件，用于对传输的数控NC代码首先进行预编译处理，去除代码注释行和去除多余空格、换行符，以防止通过NC代码文件进行涉密数据的传递，以及为下一步的词法和/或语法检测做准备。

2.如权利要求1所述的数控NC代码安全过滤系统，其特征在于，所述下行数据安全防护模块还包括词法检测组件，用于读入数控加工程序，对构成数控加工程序的字符流进行扫描和分解，从而识别一个个单词，并和数控数据过滤规则库中的关键词进行比对，看是否存在非法单词。

3.如权利要求2所述的数控NC代码安全过滤系统，其特征在于，词法检测组件对词法规则和词汇类型进行检测。

4.如权利要求2所述的数控NC代码安全过滤系统，其特征在于，所述下行数据安全防护模块还包括工艺文件审查组件，用于对下行的工艺文件通过文件格式、数据内容的过滤检查判断工艺文件是否被非法篡改、是否为非法数据。

5.如权利要求1所述的数控NC代码安全过滤系统，其特征在于，所述下行数据安全防护模块还包括语法检查组件，用于在词法分析组件基础上，将数控加工程序中功能关键字分解成各类语法短语，并通过正则表达式匹配字符，判断程序段是否符合数控加工程序的编程格式，并在发现不符合语法规则的地方显示错误信息，丢弃该程序。

6.如权利要求1~4任一所述的数控NC代码安全过滤系统，其特征在于，所述系统还包括上行数据安全防护模块，所述上行数据安全防护模块包括恶意代码检测组件，恶意代码检测组件设置有有防病毒、木马、恶意代码查杀引擎；

所述数控数据过滤规则库存储有上行数据安全防护模块中所需的基础数据、规则定义数据、检测数据，以及相关规则的关联分析数据，以供上行数据安全防护模块调用其内的数据，依据一定的安全检测规则对输入的数据进行检测过滤。

7.如权利要求6所述的数控NC代码安全过滤系统，其特征在于，上行数据安全防护模块还包括白名单过滤组件，其内存储有生产过程中向上传输的数据的协议、格式、名称的白名单，用于对上传数据进行白名单过滤，对不符合白名单要求的进行阻断报警。

8.如权利要求6所述的数控NC代码安全过滤系统，其特征在于，上行数据安全防护模块还包括完整性校验组件，用于对上传的NC代码文件进行完整性检测。

9.如权利要求6所述的数控NC代码安全过滤系统，其特征在于，上行数据安全防护模块存储有数据阀值检测组件，用于对检测得到的运行中机床的实时状态数据是否在预定范围内进行核实。