CN108200020A - 一种工业大数据安全传输装置及方法 - Google Patents

Abstract

本发明提出一种工业大数据安全传输装置，包括采集器、发送器以及单向传输光纤，采集器与发送器之间由单向传输光纤连通，采集器和发送器之间采用单向光纤传输，实现了工业控制网络和外部网络的单向物理隔离，从物理上杜绝了外部病毒和恶意软件的渗透，数据上传网络可以是专用数据链路，也可以是任意的公共网络；该传输方法采用在发送器上存储事先生成的N个密钥，每一个自控数据日志文件在传输之前，采集系统从这N个密钥中任选一个进行加密，解密系统收到文件后解密，由于密钥并不在网络上传输，所以，即便加密数据文件外泄，也只能采取暴力破解的方法进行破解，而只要N的数值足够大，暴力破解就会变得毫无意义，确保了数据安全。

Description

一种工业大数据安全传输装置及方法

技术领域

本发明涉及数据传输技术，尤其涉及一种工业大数据安全传输 装置及方法。

背景技术

大型自动化港口通常远离管理总部，为了实时监控港口运行情 况并搜集自控系统的运行大数据，需要在码头自控网络和总部大数 据平台之间建立网络传输线路。保障传输路径的安全，成为日益突 出于迫切的需要。保障传输路径的安全主要分为两方面：一方面要 防止外部攻击性病毒向工业现场控制网络的渗透；另一方面要保障 搜集的数据不泄露。为此，通常的措施是建设光纤专线链路，配备 各种防火墙和反病毒系统。但是这样做系统复杂，代价高，很多已 有的码头难以承受。传统传输系统在防止外部攻击性病毒向工业现 场控制网络的渗透和保障搜集的数据不泄露方面还存在一定的问 题。如何既能使用方便的线路又保障安全，是亟待解决的问题。

发明内容

本发明的目的是提供一种工业大数据安全传输装置及方法，以 实现方便、安全的工业控制大数据的安全传输。

本发明为解决其技术问题所采用的技术方案是：

一种工业大数据安全传输装置，包括采集器、发送器以及单向 传输光纤，采集器与发送器之间由单向传输光纤连通，其中：

采集器中安装有嵌入式系统，采集器上具有数据采集接口与单 向发送接口，采集器通过数据采集接口连接到码头自动化控制网络， 并通过单向发送接口与单向传输光纤连接；

发送器中安装有嵌入式系统，发送器上具有单向接收接口与数 据上传接口，发送器通过单向接收接口与单向传输光纤连接，并通 过数据上传接口连接到总部大数据平台网络；

单向传输光纤为单根数据通信光纤，一端连接到采集器的单向 发送接口，另一端连接到发送器单向接收接口，用于实现从采集器 到发送器的单向数据传输；

采集器的嵌入式系统为普通带嵌入式操作系统的计算机系统， 其数据采集接口为可接入码头自动化控制网络的有线或无线网络接 口，其单向发送接口为单向光纤传输接口；

发送器的嵌入式系统为普通带嵌入式操作系统的计算机系统， 其数据发送接口为可接入总部大数据平台网络的有线或无线网络接 口，其单向接收接口为单向光纤接收接口；

采集器的嵌入式系统中运行有采集系统，采集系统通过数据采 集接口从码头自动控制网络的数据服务器获取工业现场运行数据并 存入本地缓存，然后进行加密，交给单向传输系统；

单向传输系统发送部分运行在采集器嵌入式系统上，它将采集 系统生成的加密数据文件通过单向发送接口单向传输给发送器；单 向传输系统接收部分运行在发送器的嵌入式系统上，它从单向接收 接口接收加密的数据文件，提交给发送系统；

发送系统运行在发送器的嵌入式系统上，发送系统负责将加密 数据文件通过数据发送接口上传到总部大数据平台服务器上；

总部大数据平台服务器上运行有解密系统，解密系统负责将加 密数据文件进行解密，然后存放在指定存储器上，供后续监控、分 析系统使用。

一种工业大数据安全传输装置的传输方法，包括以下步骤：

(1)采集系统接收现场工业控制数据，然后进行加密：工业控 制服务器产生现场控制数据文件存放于本地FTP目录下，采集系统 调用标准FTP函数库下载工业数据文件，然后使用加密算法对工业 数据文件进行加密，加密所需的密钥事先生成后投入使用前存放到 采集器存储器上，加密时随机选用，在加密数据包存放密钥编号；

(2)单向传输系统发送部分得到加密数据文件后，将文件数据 切分为多个编号的数据包，然后按照单向传输网卡的性能指标，将 数据包打包成数据帧；单向传输系统单向接收部分不断查询单向传 输接收网卡，获取发送部分发送过来的数据帧，校验后得到数据包， 按照编号顺序重新组合数据包，得到完整的文件，接收完毕之后， 根据事先的约定，再次接收M次，利用后续重复传输的帧，将加密 数据文件拼装完整；

(3)发送系统调用FTP库函数，将收到的加密数据文件上传到 总部大数据平台服务器的FTP目录下；

(4)解密系统读取发送系统上传的加密数据文件，按照每一个 数据包中中标明的产品信息、密钥编号，从密钥库中搜索到对应的 解码密钥进行解码，然后存放到指定目录备用，在解码过程中附带 进行完整性检查，发现丢包情况，进行登记和报告。

本发明的优点在于：

该工业大数据安全传输装置的采集器和发送器之间采用单向光 纤传输，实现了工业控制网络和外部网络的单向物理隔离，从物理 上杜绝了外部病毒和恶意软件的渗透，数据上传网络可以是专用数 据链路，也可以是任意的公共网络；该传输方法采用在发送器上存 储事先生成的N个密钥，每一个自控数据日志文件在传输之前，采 集系统从这N个密钥中任选一个进行加密，解密系统收到文件后解 密，由于密钥并不在网络上传输，所以，即便加密数据文件外泄， 也只能采取暴力破解的方法进行破解，而只要N的数值足够大，暴力破解就会变得毫无意义，确保了数据安全。

附图说明

图1是本发明提出的工业大数据安全传输装置的结构示意图；

图2是该装置的软件部署示意图；

图3是本发明提出的传输方法的工作流程图；

图4是典型数据包的结构示意图。

具体实施方式

为了使本发明实现的技术手段、创作特征、达成目的与功效易 于明白了解，下面结合图示与具体实施例，进一步阐述本发明。

如图1～图4所示，本发明提出的工业大数据安全传输装置包括 采集器、发送器以及单向传输光纤，采集器与发送器之间由单向传 输光纤连通，采集器中安装有嵌入式系统，采集器上具有数据采集 接口与单向发送接口，采集器通过数据采集接口连接到码头自动化 控制网络，并通过单向发送接口与单向传输光纤连接；发送器中安 装有嵌入式系统，发送器上具有单向接收接口与数据上传接口，发 送器通过单向接收接口与单向传输光纤连接，并通过数据上传接口 连接到总部大数据平台网络；单向传输光纤为单根数据通信光纤， 一端连接到采集器的单向发送接口，另一端连接到发送器单向接收 接口，用于实现从采集器到发送器的单向数据传输；采集器的嵌入 式系统为普通带嵌入式操作系统的计算机系统，其数据采集接口为 可接入码头自动化控制网络的有线或无线网络接口，其单向发送接 口为单向光纤传输接口；发送器的嵌入式系统为普通带嵌入式操作 系统的计算机系统，其数据发送接口为可接入总部大数据平台网络 的有线或无线网络接口，其单向接收接口为单向光纤接收接口；采 集器的嵌入式系统中运行有采集系统，采集系统通过数据采集接口 从码头自动控制网络的数据服务器获取工业现场运行数据并存入本 地缓存，然后进行加密，交给单向传输系统；单向传输系统发送部 分运行在采集器嵌入式系统上，它将采集系统生成的加密数据文件 通过单向发送接口单向传输给发送器；单向传输系统接收部分运行 在发送器的嵌入式系统上，它从单向接收接口接收加密的数据文件， 提交给发送系统；发送系统运行在发送器的嵌入式系统上，发送系 统负责将加密数据文件通过数据发送接口上传到总部大数据平台服 务器上；总部大数据平台服务器上运行有解密系统，解密系统负责 将加密数据文件进行解密，然后存放在指定存储器上，供后续监控、 分析系统使用。

在实际实现中还涉及到现场工业控制服务器，作为工业大数据 的生产者，该服务器在运行过程中，搜集现场运行数据，以一个个 按时间顺序、基本固定大小的日志文件的形式，存放在其FTP目录 下，该服务器提供FTP服务。此外，还涉及总部大数据平台服务器，该服务提供FTP服务，发送器将加密数据文件上传到该服务器的 FTP目录下，同时，解密系统软件也可运行在服务器上，负责将上 传的加密数据文件解码，存放在指定位置备用。

采集器可采用一台嵌入式工控机插上单向光纤发送网卡实现。 嵌入式工控机自带嵌入式操作系统、丰富的数据采集接口(如以太 网口、串行通信接口、工业无线网口等)作为数据采集接口、插上 一块单向光纤传输发送网卡作为单向发送接口。单向光纤传输发送 网卡可采用基于Inetl 82576EB的千兆光纤单向传输以太网适配卡发 送卡；嵌入式系统的操作系统可选用Linux或嵌入式Windows操作 系。

发送器可采用一台嵌入式工控机插上单向光纤接收网卡实现。 嵌入式工控机自带嵌入式操作系统、丰富的数据采集接口(如以太 网口、串行通信接口、工业无线网口等)作为数据上传接口、插上 一块单向光纤传输接收网卡作为单向发送接口。单向光纤传输接收 网卡可采用基于Inetl 82576EB的千兆光纤单向传输以太网适配卡接 收卡；嵌入式系统的操作系统可选用Linux或嵌入式Windows操作 系。

单向传输光纤可选用单根单模光纤跳线。

使用该装置进行数据传输的方法包括以下步骤：

采集系统接收现场工业控制数据，然后进行加密：工业控制服 务器产生现场控制数据文件存放于本地FTP目录下，采集系统调用 标准FTP函数库下载工业数据文件，然后使用加密算法对工业数据 文件进行加密，加密所需的密钥事先生成后投入使用前存放到采集 器存储器上，加密时随机选用，在加密数据包存放密钥编号；单向 传输系统发送部分得到加密数据文件后，将文件数据切分为多个编 号的数据包，然后按照单向传输网卡的性能指标，将数据包打包成 数据帧；单向传输系统单向接收部分不断查询单向传输接收网卡，获取发送部分发送过来的数据帧，校验后得到数据包，按照编号顺 序重新组合数据包，得到完整的文件，接收完毕之后，根据事先的 约定，再次接收M次，利用后续重复传输的帧，将加密数据文件拼 装完整；发送系统调用FTP库函数，将收到的加密数据文件上传到 总部大数据平台服务器的FTP目录下；解密系统读取发送系统上传 的加密数据文件，按照每一个数据包中中标明的产品信息、密钥编 号，从密钥库中搜索到对应的解码密钥进行解码，然后存放到指定 目录备用，在解码过程中附带进行完整性检查，发现丢包情况，进 行登记和报告。

典型的数据包由以下字段组成：

产品标识：标识本装置的版本等信息

文件编号：本数据文件流水号

密钥标识：本数据包加密所用密钥编号

包数量：本文件数据包数量

包编号：本数据包的顺序号

包长度：本数据包有效数据字节数

数据：文件数据

CRC：本数据包循环冗余校验码。

这样，每一个数据包都能够独立进行识别、定位、解码，数据 包长度可选择1474字节。

典型的数据帧如以太网数据帧，其结构如下：

目的地址：单向传输接收方介质访问控制地址(MAC地址)

源地址：单向传输发送方介质访问控制地址(MAC地址)

数据包：上述数据包全部内容

CRC：本帧循环冗余校验码。

单向传输容错机制实现方法为自动重传日志文件：

根据数据传输粒度要求和速度要求，适当选取每个日志文件的 长度L。由于重传是以文件为单位进行的，所以过长的日志文件导 致数据的实时性变差，也就是数据的及时性变差；过短的日志文件 导致传输容错能力较低。

典型地：以50MBps的传输速度为例，服务器每秒钟产生一个 日志数据文件，那么文件大小为:

50Mbit/8≈6,553,600字节

6,553,600Bytes/1456≈4500个数据包

由于采集器和发送器通常安装在同一个箱体内，而且采用光纤 传输，电器环境稳定，一般出错率很低。经实际测试，可按照5/10 万的丢包率计算，日志文件重传1～2次，一个数据包在连续2～3次 的传输中均丢失进而彻底丢失的概率非常小。

实际运行表明，按照64MBps的速率，基本没有数据丢失。

该工业大数据安全传输装置的采集器和发送器之间采用单向光 纤传输，实现了工业控制网络和外部网络的单向物理隔离，从物理 上杜绝了外部病毒和恶意软件的渗透，数据上传网络可以是专用数 据链路，也可以是任意的公共网络；该传输方法采用在发送器上存 储事先生成的N个密钥，每一个自控数据日志文件在传输之前，采 集系统从这N个密钥中任选一个进行加密，解密系统收到文件后解 密，由于密钥并不在网络上传输，所以，即便加密数据文件外泄， 也只能采取暴力破解的方法进行破解，而只要N的数值足够大，暴力破解就会变得毫无意义，确保了数据安全。

以上实施方式只为说明本发明的技术构思及特点，其目的在于 让本领域的技术人员了解本发明的内容并加以实施，并不能以此限 制本发明的保护范围，凡根据本发明精神实质所做的等效变化或修 饰，都应涵盖在本发明的保护范围内。

Claims (2)

1.一种工业大数据安全传输装置，包括采集器、发送器以及单向传输光纤，采集器与发送器之间由单向传输光纤连通，其特征在于：

采集器中安装有嵌入式系统，采集器上具有数据采集接口与单向发送接口，采集器通过数据采集接口连接到码头自动化控制网络，并通过单向发送接口与单向传输光纤连接；

发送器中安装有嵌入式系统，发送器上具有单向接收接口与数据上传接口，发送器通过单向接收接口与单向传输光纤连接，并通过数据上传接口连接到总部大数据平台网络；

单向传输光纤为单根数据通信光纤，一端连接到采集器的单向发送接口，另一端连接到发送器单向接收接口，用于实现从采集器到发送器的单向数据传输；

采集器的嵌入式系统为普通带嵌入式操作系统的计算机系统，其数据采集接口为可接入码头自动化控制网络的有线或无线网络接口，其单向发送接口为单向光纤传输接口；

发送器的嵌入式系统为普通带嵌入式操作系统的计算机系统，其数据发送接口为可接入总部大数据平台网络的有线或无线网络接口，其单向接收接口为单向光纤接收接口；

采集器的嵌入式系统中运行有采集系统，采集系统通过数据采集接口从码头自动控制网络的数据服务器获取工业现场运行数据并存入本地缓存，然后进行加密，交给单向传输系统；

单向传输系统发送部分运行在采集器嵌入式系统上，它将采集系统生成的加密数据文件通过单向发送接口单向传输给发送器；单向传输系统接收部分运行在发送器的嵌入式系统上，它从单向接收接口接收加密的数据文件，提交给发送系统；

发送系统运行在发送器的嵌入式系统上，发送系统负责将加密数据文件通过数据发送接口上传到总部大数据平台服务器上；

总部大数据平台服务器上运行有解密系统，解密系统负责将加密数据文件进行解密，然后存放在指定存储器上，供后续监控、分析系统使用。

2.根据权利要求1所述的一种工业大数据安全传输装置的传输方法，其特征在于，包括以下步骤：

(1)采集系统接收现场工业控制数据，然后进行加密：工业控制服务器产生现场控制数据文件存放于本地FTP目录下，采集系统调用标准FTP函数库下载工业数据文件，然后使用加密算法对工业数据文件进行加密，加密所需的密钥事先生成后投入使用前存放到采集器存储器上，加密时随机选用，在加密数据包存放密钥编号；

(2)单向传输系统发送部分得到加密数据文件后，将文件数据切分为多个编号的数据包，然后按照单向传输网卡的性能指标，将数据包打包成数据帧；单向传输系统单向接收部分不断查询单向传输接收网卡，获取发送部分发送过来的数据帧，校验后得到数据包，按照编号顺序重新组合数据包，得到完整的文件，接收完毕之后，根据事先的约定，再次接收M次，利用后续重复传输的帧，将加密数据文件拼装完整；

(3)发送系统调用FTP库函数，将收到的加密数据文件上传到总部大数据平台服务器的FTP目录下；

(4)解密系统读取发送系统上传的加密数据文件，按照每一个数据包中中标明的产品信息、密钥编号，从密钥库中搜索到对应的解码密钥进行解码，然后存放到指定目录备用，在解码过程中附带进行完整性检查，发现丢包情况，进行登记和报告。