CN114124493A - 工控数据处理方法及防火墙设备 - Google Patents

Abstract

本申请公开了一种工控数据处理方法，该方法应用于防火墙设备，所述防火墙设备包括主代理和备代理，该方法包括：通过所述主代理对接收的待检测工控数据进行安全检测，并通过所述备代理对所述待检测工控数据的负载进行检测；在所述待检测工控数据的负载符合第一条件的情况下，通过所述主代理和所述备代理共同对所述待检测工控数据进行安全检测。应用该方法的防火墙设备能够满足不适合双机或多机模式的场景的防火墙布置需求，通过一个防火墙设备就能够形成主备模式，使得该防火墙设备具有较高的鲁棒性。而且，由于主代理和备代理能够共同对工控数据进行安全检测，所以，能够满足大负载量的工控数据检测需求，不容易发送网络拥塞。

Description

工控数据处理方法及防火墙设备

技术领域

本申请涉及防火墙技术领域，特别涉及一种数据处理方法及防火墙设备。

背景技术

随着工业信息化时代的到来，工业领域的安全性，可靠性要求越来越受到关注。工业安全设备既要满足业务需求，又要保证零故障的工业生产目标。因此，工业防火墙的可靠性和实用性备受工业厂商的关注。

现有工业防火墙的可靠性更多采取的是高可用的双机热备的方案，这需要在工业生产现场部署两台功能和作用相同的工业防火墙，一台防火墙对工控数据进行检测时，另一台防火墙处于备份状态，只有在该一台防火墙出现故障时，该另一台防火墙才切换至检测状态。虽然能够确保有一台防火墙处于工作状态，但是当工控数据流量较大时，很容易造成网络拥塞，另外由于网络拓扑结构复杂，部分场景不适合双机或多机模式。

发明内容

本申请提供了一种工控数据处理方法及防火墙设备，本申请实施例采用的技术方案如下：

本申请一方面提供了一种工控数据处理方法，应用于防火墙设备，所述防火墙设备包括主代理和备代理，所述方法包括：

通过所述主代理对接收的待检测工控数据进行安全检测，并通过所述备代理对所述待检测工控数据的负载进行检测；

在所述待检测工控数据的负载符合第一条件的情况下，通过所述主代理和所述备代理共同对所述待检测工控数据进行安全检测。

在一些实施例中，在所述待检测工控数据的负载符合第一条件的情况下，通过所述主代理和所述备代理共同对所述待检测工控数据进行安全检测，包括：

在所述备代理确定所述待检测工控数据的负载符合第一条件的情况下，向所述主代理发送第一指令；

通过所述主代理基于所述第一指令，将部分所述待检测工控数据分流至所述备代理；

通过所述主代理和所述备代理共同对所述待检测工控数据进行安全检测。

在一些实施例中，在所述待检测工控数据的负载符合第一条件的情况下，通过所述主代理和所述备代理共同对所述待检测工控数据进行安全检测，包括：

在所述防火墙设备所接收的待检测工控数据的负载量大于第一阈值的情况下，通过所述主代理和所述备代理共同对所述待检测工控数据进行安全检测。

在一些实施例中，在所述防火墙设备所接收的待检测工控数据的负载量大于第一阈值的情况下，通过所述主代理和所述备代理共同对所述待检测工控数据进行安全检测，包括：

在所述待检测工控数据的流量大于流量阈值的情况下，通过所述主代理和所述备代理共同对所述待检测工控数据进行过滤。

在一些实施例中，在所述防火墙设备所接收的待检测工控数据的负载量大于第一阈值的情况下，通过所述主代理和所述备代理共同对所述待检测工控数据进行安全检测，包括：

在对所述待检测工控数据进行安全检测所需的数据处理量大于处理量阈值的情况下，通过所述主代理和所述备代理共同对所述待检测工控数据进行过滤。

在一些实施例中，在所述待检测工控数据的负载符合第一条件的情况下，通过所述主代理和所述备代理共同对所述待检测工控数据进行安全检测，包括：

在所述待检测工控数据中包括负载类型符合第一类型的工控数据的情况下，通过所述备代理对负载类型符合第一类型的待检测工控数据进行安全检测，通过所述主代理对其余负载类型的待检测工控数据进行检测。

在一些实施例中，所述方法还包括：

在所述待检测工控数据的负载不符合所述第一条件的情况下，通过所述主代理单独对所述待检测工控数据进行安全检测，并通过所述备代理对所述待检测工控数据的负载进行检测。

在一些实施例中，所述方法还包括：

在所述主代理处于故障状态的情况下，通过所述备代理对所述待检测工控数据进行安全检测。

本申请实施例另一方面提供了一种防火墙设备，包括：

主代理，其用于对所述防火墙设备接收的待检测工控数据进行安全检测；

备代理，其用于在所述主代理对所述待检测工控数据进行安全监测的同时，对所述待检测工控数据的负载进行检测；并在所述待检测工控数据的负载符合第一条件的情况下，与所述主代理共同对所述待检测工控数据进行安全检测。

在一些实施例中，所述备代理具体用于：在确定所述待检测工控数据的负载符合第一条件的情况下，向所述主代理发送第一指令；

所述主代理具体用于：在接收到所述第一指令的情况下，将部分所述待检测工控数据分流至所述备代理；

所述备代理还用于：与所述主代理共同对所述待检测工控数据进行安全检测。

本申请实施例的工控数据处理方法，所应用的代理防火墙配备有主代理和备代理，通常情况下，主代理单独对待检测工控数据进行安全检测，备代理对待检测工控数据的负载进行检测，在待检测工控数据的负载符合第一条件时，表明部分工控数据需要由备代理进行安全检测，通过主代理和备代理共同对待检测工控数据进行安全检测。如此，能够满足不适合双机或多机模式的场景的防火墙布置需求，通过一个防火墙设备就能够形成主备模式，使得该防火墙设备具有较高的鲁棒性。而且，由于主代理和备代理能够共同对工控数据进行安全检测，所以，能够满足大负载量的工控数据检测需求，不容易发送网络拥塞。

附图说明

图1为本申请实施例的工控数据处理方法的第一种实施例的流程图；

图2为本申请实施例的工控数据处理方法的第二种实施例的流程图；

图3为本申请实施例的防火墙设备的结构框图；

图4为本申请实施例的电子设备的结构框图。

具体实施方式

此处参考附图描述本申请的各种方案以及特征。

应理解的是，可以对此处申请的实施例做出各种修改。因此，上述说明书不应该视为限制，而仅是作为实施例的范例。本领域的技术人员将想到在本申请的范围和精神内的其他修改。

包含在说明书中并构成说明书的一部分的附图示出了本申请的实施例，并且与上面给出的对本申请的大致描述以及下面给出的对实施例的详细描述一起用于解释本申请的原理。

通过下面参照附图对给定为非限制性实例的实施例的优选形式的描述，本申请的这些和其它特性将会变得显而易见。

还应当理解，尽管已经参照一些具体实例对本申请进行了描述，但本领域技术人员能够确定地实现本申请的很多其它等效形式，它们具有如权利要求所述的特征并因此都位于借此所限定的保护范围内。

当结合附图时，鉴于以下详细说明，本申请的上述和其他方面、特征和优势将变得更为显而易见。

此后参照附图描述本申请的具体实施例；然而，应当理解，所申请的实施例仅仅是本申请的实例，其可采用多种方式实施。熟知和/或重复的功能和结构并未详细描述以避免不必要或多余的细节使得本申请模糊不清。因此，本文所申请的具体的结构性和功能性细节并非意在限定，而是仅仅作为权利要求的基础和代表性基础用于教导本领域技术人员以实质上任意合适的详细结构多样地使用本申请。

本说明书可使用词组“在一种实施例中”、“在另一个实施例中”、“在又一实施例中”或“在其他实施例中”，其均可指代根据本申请的相同或不同实施例中的一个或多个。

本申请实施例提供了一种工控数据处理方法，应用于防火墙设备，所述防火墙设备包括主代理和备代理。该防火墙设备设置在两个通信连接的电子设备之间，以工控场景为例，该防火墙设备可设置在例如控制设备和被控制设备之间，或者，可设置在检测设备和控制设备之间，用于对工控数据进行检测，所述工控数据可包括例如控制设备向被控制设备发送的控制指令，以及检测设备向控制设备反馈的检测信息等数据。

图1为本申请实施例的工控数据处理方法的流程图，参见图1所示，本申请实施例的工控数据处理方法具体可包括如下步骤：

S101，通过所述主代理对接收的待检测工控数据进行安全检测，并通过所述备代理对所述待检测工控数据的负载进行检测。

该防火墙设备可为代理服务型防火墙，也即，该防火墙设备设置在通信连接的两个电子设备之间，一个电子设备向另一个电子设备发送信息(也即工控数据)时，并不直接发送给该另一个电子设备，而是发送至该防火墙设备，由该防火墙设备对该信息进行安全检测，检测完成后，由防火墙设备将该信息转发至该另一个电子设备。同样的，该另一个电子设备向该一个电子设备发送信息时，也不直接发送给该一个电子设备，也发送给该防火墙设备，该防火墙设备同样会对信息进行安全检测，检测完成后，将信息转发至该一个电子设备。该一个电子设备和另一个电子设备并不直接通信。

在此基础上，本申请的防火墙设备配置有主代理和至少一个备代理，在一个状态下，主代理对防火墙设备接收到的待检测工控数据进行安全检测，备代理并不对待检测工控数据进行安全检测，而是对待检测工控数据的负载进行检测，判断待检测工控数据的负载是否符合第一条件，该第一条件表征部分工控数据需要由备代理进行安全检测。所述安全检测为基于安全性对工控数据进行检测，例如，检测工控数据中是否包含恶意数据，如病毒、木马等，或者，检测工控数据是否包含数据外泄或破解等恶意行为。

S102，在所述待检测工控数据的负载符合第一条件的情况下，通过所述主代理和所述备代理共同对所述待检测工控数据进行安全检测。

也即，在确定待检测工控数据中具有部分工控数据需要由备代理进行安全检测时，将需要备代理进行安全检测的部分工控数据分流至备代理，由备代理对这部分数据进行安全检测，由主代理检测其余的工控数据，以实现主代理和备代理共同对待检测工控数据进行安全检测。

本申请实施例的工控数据处理方法，所应用的代理防火墙配备有主代理和备代理，通常情况下，主代理单独对待检测工控数据进行安全检测，备代理对待检测工控数据的负载进行检测，在待检测工控数据的负载符合第一条件时，表明部分工控数据需要由备代理进行安全检测，通过主代理和备代理共同对待检测工控数据进行安全检测。如此，能够满足不适合双机或多机模式的场景的防火墙布置需求，通过一个防火墙设备就能够形成主备模式，使得该防火墙设备具有较高的鲁棒性。而且，由于主代理和备代理能够共同对工控数据进行安全检测，所以，能够满足大负载量的工控数据检测需求，不容易发送网络拥塞。

配合图2所示，在一些实施例中，在所述待检测工控数据的负载符合第一条件的情况下，通过所述主代理和所述备代理共同对所述待检测工控数据进行安全检测，包括：

在所述备代理确定所述待检测工控数据的负载符合第一条件的情况下，向所述主代理发送第一指令；

通过所述主代理基于所述第一指令，将部分所述待检测工控数据分流至所述备代理；

通过所述主代理和所述备代理共同对所述待检测工控数据进行安全检测。

也即，备代理在检测到待检测工控数据的负载符合第一条件时，向主代理发送第一指令，以指示主代理进行待检测工控数据分流。主代理接收到第一指令后，基于该第一指令，将部分待检测工控数据分流至备代理，由备代理对该部分待检测工控数据进行安全检测，而主代理自身则对其余的待检测工控数据进行安全检测，实现了主代理和背带共同对待检测工控数据进行安全检测的目的。

可选的，该主代理和备代理可由不同的进行来实现，如主代理可由主进程来执行，备代理可由备进程来执行，主进程执行待检测工控数据的安全检测操作，备进程对待检测工控数据的负载是否符合第一条件进行检测，在备进程确定待检测工控数据的负载符合第一条件时，与主进程通信，向主进程发送第一指令，以使主代理执行待检测工控数据的分流操作。可选的，该防火墙设备上可设置有共享文件，主进程和备进程可通过向共享文件写入数据和读取数据的方式进行通信，也即，当主进程向共享文档中写入数据时，视为主进程向备进程发送了数据，备进程从共享文档读取数据视为备进程接收到了数据，反之亦然。可选的，该防火墙设备上也可设置有虚拟网卡，主进程和备进程也可利用该虚拟网卡进行通信。需要说明的是，上述主进程和备进程的通信方式仅为示例性的，并不构成对主进程和备进程的通信方式的限定，具体实施时，也可采用其他的进程间通信方式。

在具体实施时，可通过多种维度判断待检测工控数据的负载是否符合第一条件，也即，第一条件可以有多种形式。

在一些实施例中，在所述待检测工控数据的负载符合第一条件的情况下，通过所述主代理和所述备代理共同对所述待检测工控数据进行安全检测，包括：

在所述防火墙设备所接收的待检测工控数据的负载量大于第一阈值的情况下，通过所述主代理和所述备代理共同对所述待检测工控数据进行安全检测。

其中，该第一阈值即为一个第一条件，该第一阈值表征负载量已经达到主代理的检测能力的极限，可能会出现网络拥塞的现象。此时，备代理可向主代理发送第一指令，由主代理执行负载均衡操作，经部分待检测工控数据分流至备代理，由主代理和备代理共同对待检测工控数据进行安全检测，以避免出现网络拥塞，提高数据响应速度。

在一些实施例中，在所述防火墙设备所接收的待检测工控数据的负载量大于第一阈值的情况下，通过所述主代理和所述备代理共同对所述待检测工控数据进行安全检测，包括：

在所述待检测工控数据的流量大于流量阈值的情况下，通过所述主代理和所述备代理共同对所述待检测工控数据进行过滤。

也即，该第一阈值具体可为流量阈值，备代理可对防火墙设备单位时间内接收到的待检测工控数据的流量进行检测，当单位时间内待检测工控数据的流量大于预先配置的流量阈值时，备代理向主代理发送第一指令，以请求主代理执行负载均衡操作。主代理基于该第一指令将部分待检测工控数据分流至备代理，以避免主代理因单位时间内需要处理的待检测工控数据的流量过大，导致网络拥塞。如此，通过主代理和备代理同时进行待检测工控数据的处理，能够有效应对大流量的工控数据的检测需求。

在一些实施例中，在所述防火墙设备所接收的待检测工控数据的负载量大于第一阈值的情况下，通过所述主代理和所述备代理共同对所述待检测工控数据进行安全检测，包括：

在对所述待检测工控数据进行安全检测所需的数据处理量大于处理量阈值的情况下，通过所述主代理和所述备代理共同对所述待检测工控数据进行过滤。

影响负载量的因素可能不只是单位时间内的待检测工控数据的流量，对每条包含工控数据的报文进行安全检测所需的数据处理量也会显著影响待检测工控数据的负载量。例如，当报文需要进行地址解析时，或者需要进行值解析时，则对该条报文进行安全检测所需的数据处理量较大，如果单位时间内该类报文的流量较大，则表明对待检测工控数据进行安全检测所需的数据处理量大于处理量阈值。

可选的，可预选配置单位时间内需要进行地址解析和需要进行值解析的报文的报文阈值，备代理对单位时间内需要进行地址解析和需要进行值解析的报文的数量进行检测，也即备代理对需要进行地址解析和需要进行值解析的报文的流量进行检测，当需要进行地址解析和需要进行值解析的报文的流量大于报文阈值时，则确定对待检测工控数据进行安全检测所需的数据处理量大于处理量阈值，向主代理发送第一指令。主代理基于该第一指令将部分待检测工控数据分流至备代理，由备代理和主代理共同对待检测工控数据进行安全检测。具体的，主代理可将需要进行地址解析和需要进行值解析的报文分流至备代理，由备代理对需要进行地址解析和需要进行值解析的报文进行解析，并在解析之后对解析获得的数据进行安全检测。

在一些实施例中，在所述待检测工控数据的负载符合第一条件的情况下，通过所述主代理和所述备代理共同对所述待检测工控数据进行安全检测，包括：

在所述待检测工控数据中包括负载类型符合第一类型的工控数据的情况下，通过所述备代理对负载类型符合第一类型的待检测工控数据进行安全检测，通过所述主代理对其余负载类型的待检测工控数据进行检测。

可选的，在具体实施时，也可根据类型划分主代理和备代理所需检测的待检测工控数据。如当该防火墙设备的应用场景中，不同类型的工控数据的流量较为均衡时，则可预先配置主代理所需检测的工控数据的类型，以及备代理所需检测的工控数据的类型。例如，可将第一类型的工控数据配置为由备代理进行检测，将其与类型的待检测工控数据配置为由主代理进行检测。如此，当备代理检测到防火墙设备接收到的待检测工控数据中包含第一类型的工控数据时，向主代理发送第一指令，以请求主代理将第一类型的待检测工控数据分流至备代理，由备代理对该第一类型的待检测工控数据进行安全检测，而其余类型的待检测工控数据可由主代理进行检测。这样，既能够保证不同类型的待检测工控数据均能够被安全检测，还能够确保特定类型(也即第一类型)的待检测工控数据通过专用的代理进行检测，有益于提高优先级别较高的特定类型的待检测工控数据的检测速度。

可选的，也可分别为主代理和备代理配置所需检测的待检测工控数据的类型，例如，备代理可配置为检测第一类型的待检测工控数据，主代理可配置为检测第二类型的待检测工控数据。如，第一类型的待检测工控数据可为例如S7工控数据，该第二类型的待检测工控数据可为例如modbus工控数据。备代理确定待检测工控数据中包含S7工控数据时，向主代理发送第一指令，主代理将S7工控数据分流至备代理进行检测，主代理则负责检测modbus工控数据。

在一些实施例中，所述方法还包括：

在所述待检测工控数据的负载不符合所述第一条件的情况下，通过所述主代理单独对所述待检测工控数据进行安全检测，并通过所述备代理对所述待检测工控数据的负载进行检测。

也即，在待检测工控数据的负载从符合第一条件，恢复到不符合第一条件的情况下，备代理可向主代理发送第二指令，主代理接收到该第二指令，不再执行负载均衡操作，不再向备代理分流待检测工控数据，由主代理单独对待检测工控数据进行安全检测，备代理负责对待检测工控数据的负载进行检测。

在一些实施例中，所述方法还包括：

在所述主代理处于故障状态的情况下，通过所述备代理对所述待检测工控数据进行安全检测。

可选的，主代理和备代理可建立监控机制，例如，备代理可定期发送状态检测请求，主代理接收到该状态检测请求时，如果运行状态正常，则向备代理反馈状态信息，备代理确定主代理处于正常检测状态，如果主代理故障，则不向备代理反馈信息，备代理在一定时间间隔内未接收到状态信息，可再次向主代理发送状态检测请求，当备代理连续多次发送状态检测请求，而接收到主代理反馈的状态信息时，确定主代理出现故障，可由备代理替代主代理对待检测工控数据进行安全检测。

由于常规状态下由主代理负责待检测工控数据的安全检测，所以如果主代理出现故障，则待检测工控数据的负载会迅速且持续的增大，因此，备代理可基于对待检测工控数据的负载的检测，来确定主代理是否出现故障。例如，可预先配置待检测工控数据的负载量的第一负载量阈值和大于第一负载量阈值的第二负载量阈值，如果备代理确定待检测工控数据的负载量大于第一负载量阈值且小于第二负载量阈值，则确定主代理未出现故障，但需要执行负载均衡操作，向主代理发送第一指令，以请求主代理执行负载均衡操作，经部分待检测工控数据分流至备代理进行安全检测；如果确定待检测工控数据的负载量大于第二负载量阈值，则确定主代理出现故障，备代理替代主代理对全部待检测工控数据进行检测。这样，可以形成主备替换模式，有益于提高该防火墙设备的鲁棒性。

参见图3所示，本申请实施例还提供了一种防火墙设备，其包括：

主代理201，其用于对所述防火墙设备接收的待检测工控数据进行安全检测；

备代理202，其用于在所述主代理201对所述待检测工控数据进行安全监测的同时，对所述待检测工控数据的负载进行检测；并在所述待检测工控数据的负载符合第一条件的情况下，与所述主代理201共同对所述待检测工控数据进行安全检测。

在一些实施例中，所述备代理202具体用于：在确定所述待检测工控数据的负载符合第一条件的情况下，向所述主代理201发送第一指令；

所述主代理201具体用于：在接收到所述第一指令的情况下，将部分所述待检测工控数据分流至所述备代理202；

所述备代理202还用于：与所述主代理201共同对所述待检测工控数据进行安全检测。

在一些实施例中，所述备代理202具体用于：

在所述防火墙设备所接收的待检测工控数据的负载量大于第一阈值的情况下，与所述主代理201共同对所述待检测工控数据进行安全检测。

在一些实施例中，所述备代理202具体用于：

在所述待检测工控数据的流量大于流量阈值的情况下，与所述主代理201共同对所述待检测工控数据进行过滤。

在一些实施例中，所述备代理202具体用于：

在对所述待检测工控数据进行安全检测所需的数据处理量大于处理量阈值的情况下，与所述主代理201共同对所述待检测工控数据进行过滤。

在一些实施例中，所述备代理202具体用于：在所述待检测工控数据中包括负载类型符合第一类型的工控数据的情况下，对负载类型符合第一类型的待检测工控数据进行安全检测；

所述主代理201具体用于：对其余负载类型的待检测工控数据进行检测。

在一些实施例中，所述主代理201还用于：在所述待检测工控数据的负载不符合所述第一条件的情况下，单独对所述待检测工控数据进行安全检测。

在一些实施例中，所述备代理202还用于：在所述主代理201处于故障状态的情况下，对所述待检测工控数据进行安全检测。

参见图4所示，本申请实施例还提供了一种电子设备，至少包括存储器301和处理器302，所述存储器301上存储有程序，所述处理器302在执行所述存储器301上的程序时实现如上任一实施例所述的工控数据处理方法。

本领域技术人员应明白，本申请的实施例可提供为方法、电子设备、计算机可读存储介质或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例、或结合软件和硬件的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质上实施的计算机程序产品的形式。当通过软件实现时，可以将这些功能存储在计算机可读介质中或者作为计算机可读介质上的一个或多个指令或代码进行传输。

上述处理器可以是通用处理器、数字信号处理器、专用集成电路(application-specific integrated circuit，ASIC)，可编程逻辑器件(programmable logic device，PLD)或其组合。上述PLD可以是复杂可编程逻辑器件(complex programmable logicdevice，CPLD)，现场可编程逻辑门阵列(field-programmable gate array，FPGA)，通用阵列逻辑(generic array logic,简称GAL)或其任意组合。通用处理器可以是微处理器或者任何常规的处理器等。

上述存储器可能包括计算机可读介质中的非永久性存储器，随机存取存储器(RAM)和/或非易失性内存等形式，如只读存储器(ROM)或闪存(flash RAM)。存储器是计算机可读介质的示例。

上述可读存储介质可为磁碟、光盘、DVD、USB、只读存储记忆体(ROM)或随机存储记忆体(RAM)等，本申请对具体的存储介质形式不作限定。

以上实施例仅为本申请的示例性实施例，不用于限制本申请，本申请的保护范围由权利要求书限定。本领域技术人员可以在本申请的实质和保护范围内，对本申请做出各种修改或等同替换，这种修改或等同替换也应视为落在本申请的保护范围内。

Claims (10)

1.一种工控数据处理方法，其特征在于，应用于防火墙设备，所述防火墙设备包括主代理和备代理，所述方法包括：

通过所述主代理对接收的待检测工控数据进行安全检测，并通过所述备代理对所述待检测工控数据的负载进行检测；

在所述待检测工控数据的负载符合第一条件的情况下，通过所述主代理和所述备代理共同对所述待检测工控数据进行安全检测。

2.根据权利要求1所述的方法，其特征在于，在所述待检测工控数据的负载符合第一条件的情况下，通过所述主代理和所述备代理共同对所述待检测工控数据进行安全检测，包括：

在所述备代理确定所述待检测工控数据的负载符合第一条件的情况下，向所述主代理发送第一指令；

通过所述主代理基于所述第一指令，将部分所述待检测工控数据分流至所述备代理；

通过所述主代理和所述备代理共同对所述待检测工控数据进行安全检测。

3.根据权利要求1所述的方法，其特征在于，在所述待检测工控数据的负载符合第一条件的情况下，通过所述主代理和所述备代理共同对所述待检测工控数据进行安全检测，包括：

在所述防火墙设备所接收的待检测工控数据的负载量大于第一阈值的情况下，通过所述主代理和所述备代理共同对所述待检测工控数据进行安全检测。

4.根据权利要求3所述的方法，其特征在于，在所述防火墙设备所接收的待检测工控数据的负载量大于第一阈值的情况下，通过所述主代理和所述备代理共同对所述待检测工控数据进行安全检测，包括：

在所述待检测工控数据的流量大于流量阈值的情况下，通过所述主代理和所述备代理共同对所述待检测工控数据进行过滤。

5.根据权利要求3所述的方法，其特征在于，在所述防火墙设备所接收的待检测工控数据的负载量大于第一阈值的情况下，通过所述主代理和所述备代理共同对所述待检测工控数据进行安全检测，包括：

在对所述待检测工控数据进行安全检测所需的数据处理量大于处理量阈值的情况下，通过所述主代理和所述备代理共同对所述待检测工控数据进行过滤。

6.根据权利要求1所述的方法，其特征在于，在所述待检测工控数据的负载符合第一条件的情况下，通过所述主代理和所述备代理共同对所述待检测工控数据进行安全检测，包括：

在所述待检测工控数据中包括负载类型符合第一类型的工控数据的情况下，通过所述备代理对负载类型符合第一类型的待检测工控数据进行安全检测，通过所述主代理对其余负载类型的待检测工控数据进行检测。

7.根据权利要求1所述的方法，其特征在于，所述方法还包括：

在所述待检测工控数据的负载不符合所述第一条件的情况下，通过所述主代理单独对所述待检测工控数据进行安全检测，并通过所述备代理对所述待检测工控数据的负载进行检测。

8.根据权利要求1所述的方法，其特征在于，所述方法还包括：

在所述主代理处于故障状态的情况下，通过所述备代理对所述待检测工控数据进行安全检测。

9.一种防火墙设备，其特征在于，包括：

主代理，其用于对所述防火墙设备接收的待检测工控数据进行安全检测；

备代理，其用于在所述主代理对所述待检测工控数据进行安全监测的同时，对所述待检测工控数据的负载进行检测；并在所述待检测工控数据的负载符合第一条件的情况下，与所述主代理共同对所述待检测工控数据进行安全检测。

10.根据权利要求9所述的设备，其特征在于，

所述备代理具体用于：在确定所述待检测工控数据的负载符合第一条件的情况下，向所述主代理发送第一指令；

所述主代理具体用于：在接收到所述第一指令的情况下，将部分所述待检测工控数据分流至所述备代理；

所述备代理还用于：与所述主代理共同对所述待检测工控数据进行安全检测。

Images