CN115865439A - 一种分布式工业控制系统及该系统的访问权限控制方法 - Google Patents

Abstract

本发明涉及一种分布式工业控制系统，包括工控网络、权限发布装置和多台工控设备，所述权限发布装置和工控设备分别通过工控网络连接；所述权限发布装置基于本地存储的资产访问权限规则，在工控网络中广播所述资产访问权限规则；所述工控设备用于接收工控网络中广播的资产访问权限规则，并基于接收到的资产访问权限规则，更新本地存储的资产访问权限规则；以及，用于基于本地存储的资产访问权限规则，根据工控网络中其他工控设备中的发起方设备的资产类型，判断发起方设备发送的请求内容是否合法，若合法，则响应所述请求内容。本发明提出的分布式工业控制系统能够减少管理工控设备的访问权限时的工作量。

Description

一种分布式工业控制系统及该系统的访问权限控制方法

技术领域

本发明涉及工业控制系统访问权限管理技术领域，尤其涉及一种分布式工业控制系统及该系统的访问权限控制方法。

背景技术

分布式控制系统(Distributed Control System，DCS)也称集散控制系统，是一个包括过程控制和过程监控、以通信网络为纽带形成的多级计算机系统，综合了计算机、通信、显示和控制等技术，其基本思想是分散控制、集中操作、分散管理、配置灵活以及组态方便。随着信息技术的发展，分布式控制系统在工业生产应用中得到快速普及，使得工业生产的自动化程度大幅提高。

在传统的工业控制系统中，工业控制系统内部的工控设备间的通信机制未考虑通信安全问题，其通信信息以明文方式进行传输，因此其通信过程易被监听，工业控制系统的控制节点或者监控节点容易被攻击者伪造的携带非法控制指令的数据包欺骗，从而对工业控制系统产生破坏。针对上述安全漏洞，现有技术通常采用对工控设备分配访问权限的方法，限定工业控制系统中每台工控设备的访问权限，使得攻击者伪装成工控设备对工业控制系统进行攻击时产生的破坏性大幅降低。但上述对工控设备分配访问权限的操作通常依赖人工完成，对于具有复杂拓扑结构的分布式工业控制系统，上述操作意味着管理人员繁重的工作量，若日常管理中还涉及对工控设备访问权限的调整，则会进一步加重管理人员的工作量。

发明内容

(一)要解决的技术问题

鉴于现有技术的上述缺点、不足，本发明提供一种分布式工业控制系统及该系统的访问权限控制方法，其解决了现有技术在管理工控设备的访问权限时工作量繁重的技术问题。

(二)技术方案

为了达到上述目的，本发明采用的主要技术方案包括：

第一方面，本发明实施例提供一种分布式工业控制系统，用于分布式工业控制系统内的工控设备间通信时，控制发起方设备的访问权限；所述分布式控制系统包括工控网络、权限发布装置和多台工控设备，所述权限发布装置和工控设备分别通过工控网络连接；

所述权限发布装置基于本地存储的资产访问权限规则，在工控网络中广播所述资产访问权限规则；

所述工控设备用于接收工控网络中广播的资产访问权限规则，并基于接收到的资产访问权限规则，更新本地存储的资产访问权限规则；以及，用于基于本地存储的资产访问权限规则，根据工控网络中其他工控设备中的发起方设备的资产类型，判断发起方设备发送的请求内容是否合法，若合法，则响应所述请求内容；

其中，所述资产访问权限规则包括多个资产类型，及每个资产类型对应的合法访问权限列表；所述合法访问权限列表包括多个请求内容。

本发明实施例提出的分布式工业控制系统中，所述权限发布装置向工控网络中的工控设备广播资产访问权限规则，工控设备基于接收到的资产访问权限规则，更新本地存储的资产访问权限规则，并根据本地存储的资产访问权限规则，判断工控网络中其他工控设备中的发起方设备发送的请求内容是否合法，并且只响应合法的请求内容。

也即，在本发明实施例提出的分布式工业控制系统中，作为响应方设备的工控设备，能够根据本地存储的资产访问权限规则自行判断请求方设备发送的请求内容的合法性，以决定是否响应该请求内容，而工控设备本地存储的资产访问权限规则，则是根据权限发布装置在工控网络中广播的资产访问权限规则更新的，因而管理人员只需根据需求更新权限发布装置本地存储的资产访问权限规则即可，不用再对每台工控设备的访问权限进行分配和调整，因而工作量可大幅缩减。

可选地，在所述分布式工业控制系统中，所述权限发布装置本地存储的资产访问权限规则，基于权限发布装置接收到的人为设置的资产访问权限规则进行更新；当权限发布装置本地存储的资产访问权限规则更新时，权限发布装置在工控网络中广播所述新的资产访问权限规则。

第二方面，本发明实施例提供一种分布式工业控制系统的访问权限控制方法，在分布式工业控制系统内的工控设备间的通信过程中，应用于响应方设备，所述分布式控制系统为第一方面所述的分布式工业控制系统；所述权限控制方法包括：

A1、所述多台工控设备中的响应方设备，在接收到多台工控设备中的请求方设备发送的通信身份验证请求时，基于通信双方的双向身份验证过程，对请求方设备进行身份验证；

A2、若请求方设备的身份验证成功，获取请求方设备的资产类型，并接收请求方设备发送的通信请求报文，解析所述通信请求报文获得请求内容，基于请求方设备的资产类型，根据本地存储的资产访问权限规则，判断所述请求内容是否合法；

A3、若所述请求内容合法，则响应所述请求内容；

其中，请求方设备本地存储的资产访问权限规则，基于权限发布装置在工控网络中广播的资产访问权限规则进行更新。

本发明实施例提出的访问权限控制方法中，针对两台工控设备间的通信过程，其中的响应方设备能够基于请求方设备的资产类型，根据本地存储的资产访问权限规则，判断请求方设备发送的请求内容是否合法，进而决定是否响应该请求内容，实现请求方设备访问权限的控制，而管理人员只需按照实际需求，更新权限发布装置本地存储的资产访问权限规则即可，不用再针对每台工控设备分配其访问权限，因而能够有效缩减管理人员的工作量。

此外，本方法还提出，响应方设备在判断请求方设备发送的请求内容是否合法前，还基于通信双方的双向身份验证过程，对请求方设备进行身份验证，并只处理身份验证成功的请求方设备发送的请求内容；也即，响应方设备对每次发起通信过程的请求方设备是不信任的，每次都需要进行身份验证，用以阻挡攻击者伪装成工控网络中的其他工控设备发起的攻击，从而进一步保证工业控制系统的安全性。

可选地，所述工控设备本地存储的资产访问权限规则，基于权限发布装置在工控网络中定期广播的资产访问权限规则进行更新。

可选地，所述访问权限控制方法还包括：所述工控设备与工控设备之间、工控设备与权限发布装置之间基于数字证书技术进行通信；权限发布装置和每台工控设备均配置有资产证书，且权限发布装置的资产证书是工控设备的资产证书的根证书；

每台工控设备的资产证书包括该工控设备的序列号、资产类型、公钥、以及根证书对该资产证书的签名；

权限发布装置的资产证书包括权限发布装置的序列号和公钥。

可选地，所述工控设备本地存储的资产访问权限规则，基于权限发布装置在工控网络中定期广播的资产访问权限规则进行更新包括：

当工控设备接收到权限发布装置在工控网络中定期广播的资产访问权限规则更新报文时，解析所述资产访问权限规则更新报文，获得资产访问权限规则和权限发布装置的签名信息；

基于本地存储的根证书验证所述签名信息的正确性，若所述签名信息正确，将所述资产访问权限规则保存为本地新的资产访问权限规则；

其中，所述资产访问权限规则更新报文包括资产访问权限规则和权限发布装置的签名信息；所述权限发布装置的签名信息为，基于权限发布装置的资产证书对应的私钥，根据资产访问权限规则数据本身生成的。

可选地，在A1中，所述基于通信双方的双向身份验证过程，对请求方设备进行身份验证包括：

S1、所述响应方设备接收请求方设备发送的挑战报文；

所述挑战报文包括挑战信息和挑战信息签名；

其中，所述挑战信息包括请求方设备的资产证书和请求方随机数；所述请求方随机数是请求方设备本地随机生成的；

所述挑战信息签名是基于请求方设备的资产证书对应的私钥，根据挑战信息生成的；

S2、所述响应方设备解析所述挑战报文，得到所述挑战信息和挑战信息签名，基于存储在本地的根证书，验证挑战信息中请求方设备的资产证书的合法性；

若请求方设备的资产证书合法，基于请求方设备的资产证书验证挑战信息签名的正确性；若挑战信息签名正确，跳转至S3；

其中，所述基于存储在本地的根证书，验证挑战信息中请求方设备的资产证书的合法性包括：基于根证书中的公钥，验证请求方设备的资产证书中包含的根证书对该资产证书的签名的正确性；若签名正确，则所述请求方设备对应的资产证书合法；

S3、响应方设备基于请求方的资产证书的公钥，根据响应信息和响应信息签名生成响应报文，并向请求方设备发送所述响应报文；

其中，所述响应信息包括响应方设备的资产证书、请求方随机数和响应方随机数；所述响应方随机数为响应方设备本地随机生成的；

所述响应信息签名是基于响应方设备的资产证书，根据响应信息生成的；

S4、响应方设备接收请求方设备发送的身份验证完成报文；

所述身份验证完成报文为，请求方设备在完成响应报文验证过程，确定响应报文正确后，基于响应方设备的资产证书的公钥，根据身份验证完成信息生成的；

所述身份验证完成信息包括请求方设备的序列号和响应方随机数；

S5、响应方设备基于自身的资产证书对应的私钥，解密所述身份验证完成报文，得到身份验证完成信息；

基于S2中获取的请求方设备的资产证书中包含的序列号、以及S3中本地生成的响应方随机数，验证所述身份验证完成信息中请求方设备的序列号和响应方随机数的一致性；若所述身份验证完成信息中请求方设备的序列号和响应方随机数均一致，则请求方设备的身份验证成功，且请求方随机数和响应方随机数失效。

可选地，在S4中，所述响应报文验证过程包括：

请求方设备接收到所述响应报文，基于请求方设备自身的资产证书对应的私钥解密所述响应报文，得到响应信息和响应信息签名；

基于存储在本地的根证书，验证响应信息中包含的响应方设备的资产证书的合法性；

若响应方设备的资产证书合法，基于响应方设备的资产证书验证响应信息签名的正确性；

若响应信息签名正确，则基于发送挑战报文时生成的请求者随机数，验证响应信息中的请求者随机数，若两者一致，则完成响应报完验证请求，否则结束所述通信双方的双向身份验证过程；

所述基于存储在本地的根证书，验证响应信息中包含的响应方设备的资产证书的合法性包括：基于根证书包含的公钥，验证响应方设备的资产证书中包含的根证书对该资产证书的签名的正确性；若签名正确，则响应方设备对应的资产证书合法。

可选地，在A2中，所述获取请求方设备的资产类型包括：基于双向身份验证过程中，请求方发送的挑战报文中包含的请求方的资产证书，获取请求方的资产类型。

可选地，在A2中，所述基于请求方设备的资产类型，根据本地存储的资产访问权限规则，判断所述请求内容是否合法包括：

对于所述请求方设备的资产类型，查询本地存储的资产访问权限规则，得到该资产类型对应的合法访问权限列表；判断该资产类型对应的合法访问权限列表中是否包含所述请求内容；

若是则所述请求内容合法，否则，所述请求内容不合法。

(三)有益效果

在本发明实施例提供的分布式工业控制系统和访问权限控制方法中，作为响应方设备的工控设备，能够根据本地存储的资产访问权限规则自行判断请求方设备发送的请求内容的合法性，以决定是否响应该请求内容，而工控设备本地存储的资产访问权限规则，则是根据权限发布装置在工控网络中广播的资产访问权限规则更新的，因而管理人员只需根据需求更新权限发布装置本地存储的资产访问权限规则即可，不用再对每台工控设备的访问权限进行分配和调整，因而工作量可大幅缩减。

本发明提供的实施例中，本方法还提出，响应方设备在判断请求方设备发送的请求内容是否合法前，还基于通信双方的双向身份验证过程，对请求方设备进行身份验证，并只处理身份验证成功的请求方设备发送的请求内容，从而进一步保证工业控制系统的安全性。

附图说明

图1为实施例中提供的一种分布式工业控制系统的系统框架示意图；

图2为实施例中提供的一种分布式工业控制系统的访问权限控制方法的流程示意图；

图3为实施例中提供的一种双向身份验证过程的流程示意图。

具体实施方式

为了更好的解释本发明，以便于理解，下面结合附图，通过具体实施方式，对本发明作详细描述。

本发明提出的分布式工业控制系统的访问权限控制方法，实质上是基于本发明提出的分布式控制系统，针对工控网络中两台工控设备间的通信过程，使其中的响应方设备，能够根据权限发布装置在工控网络中广播的资产访问权限规则，确定是否响应请求方设备发出的请求内容，从而实现对作为请求方的工控设备的访问权限进行控制。

在本发明实施例中，所述资产访问权限规则包括多个资产类型，及每个资产类型对应的合法访问权限列表。其中，一个工控设备的资产类型在其接入工控网络时就已经确定了，例如，其资产类型可为控制器、操作员站、工程师站、组态服务器、历史数据服务器等，一个资产类型在固定的环境条件下被允许执行的请求内容也是确定的，这些被允许执行的请求内容集合形成一个合法访问权限列表，例如资产类型为工程师站的工控设备，其对应的合法访问权限列表为组态配置、数据采集、命令下发等。在工业控制领域，有时也将上述请求内容称为工控请求、工控行为、工控指令、操作指令、控制指令等。

每个资产类型对应的合法访问权限列表由管理人员根据实际需求进行设定，所述访问权限列表可为固定不变的，也可为管理人员根据网络安全情况、应用环境、安全等级要求的改变而进行实时调整的，每当访问权限列表改变时，只需将相应更新的资产访问权限规则覆盖权限管理器中本地存储的的资产访问权限规则，并在工控网络中广播更新的资产访问权限规则，则工控网络中所有工控设备本地存储的资产访问权限规则相应更新，从而使工控网络中作为响应方的工控设备，能够根据更新的资产访问权限规则，确定是否响应作为请求方的工控设备发出的请求内容。

基于本发明提出的上述系统和方法，管理人员对工控设备的访问权限管理工作的工作量相较于现有技术可得到大幅削减。

为了更好的理解上述技术方案，下面将参照附图更详细地描述本发明的示例性实施例。虽然附图中显示了本发明的示例性实施例，然而应当理解，可以以各种形式实现本发明而不应被这里阐述的实施例所限制。相反，提供这些实施例是为了能够更清楚、透彻地理解本发明，并且能够将本发明的范围完整的传达给本领域的技术人员。

实施例一

如图1所示，本实施例提供一种分布式工业控制系统，用于在分布式工业控制系统内的工控设备间通信时，实现发起方设备的访问权限控制；所述分布式控制系统包括：工控网络、权限发布装置和多台工控设备，所述权限发布装置和工控设备分别通过工控网络连接。

所述权限发布装置基于本地存储的资产访问权限规则，在工控网络中广播所述资产访问权限规则。

所述工控设备用于接收工控网络中广播的资产访问权限规则，并基于接收到的资产访问权限规则，更新本地存储的资产访问权限规则；以及，用于基于本地存储的资产访问权限规则，根据工控网络中其他工控设备中的发起方设备的资产类型，判断发起方设备发送的请求内容是否合法，若合法，则响应所述请求内容。

其中，所述资产访问权限规则包括多个资产类型，及每个资产类型对应的合法访问权限列表；所述合法访问权限列表包括多个请求内容。

在本发明实施例提供的分布式控制系统中，所述工控设备的资产类型可为操作员站、工程师站、组态服务器、历史数据服务器、控制器等，且每种资产类型对应的工控设备的数量没有限制；所述工控网络指的是分布式工业控制系统中各设备间用于通信的网络；所述权限发布装置可为计算机设备，或者其他具有通信能力的电子设备。

本发明实施例提出的分布式工业控制系统中，所述权限发布装置向工控网络中的工控设备广播资产访问权限规则，工控设备基于接收到的资产访问权限规则，更新本地存储的资产访问权限规则，并根据所述资产访问权限规则，判断工控网络中其他工控设备中的发起方设备发送的请求内容是否合法，并且只响应合法的请求内容。

也即，在本发明实施例提出的分布式工业控制系统中，作为响应方设备的工控设备，能够根据本地存储的资产访问权限规则自行判断请求方设备发送的请求内容的合法性，以决定是否响应该请求内容，而工控设备本地存储的资产访问权限规则，则是根据权限发布装置在工控网络中广播的资产访问权限规则更新的，因而管理人员只需根据需求更新权限发布装置本地存储的资产访问权限规则即可，不用再对每台工控设备的访问权限进行分配和调整，因而工作量可大幅缩减。

需要说明的是，将资产访问权限规则以广播的形式通知工控网络中的工控设备，能够简便迅速地达到更新工控设备本地存储的资产访问权限规则的目的，而且对权限发布装置的负载较低；基于工业控制系统本身数据流量小、对工控网络带宽要求较低的特性，上述广播的形式也不会影响工业控制系统通信的实时性，因而具有较好的适用性。

作为本实施例的一种较佳实现方案，为了适应管理人员根据网络安全情况、应用环境、安全等级要求的改变而调整资产访问权限规则的需求，在所述分布式工业控制系统中，所述权限发布装置本地存储的资产访问权限规则，基于权限发布装置接收到的人为设置的资产访问权限规则进行更新；当权限发布装置本地存储的资产访问权限规则更新时，权限发布装置在工控网络中广播所述新的资产访问权限规则。

实施例二

基于实施例一提供的分布式控制系统，本实施例提供了一种分布式工业控制系统的访问权限控制方法，在分布式工业控制系统内的工控设备间的通信过程中，应用于响应方设备，所述分布式控制系统为实施例一所述的分布式工业控制系统；

如图2所示，所述权限控制方法包括：

A1、所述多台工控设备中的响应方设备，在接收到多台工控设备中的请求方设备发送的通信身份验证请求时，基于通信双方的双向身份验证过程，对请求方设备进行身份验证；

A2、若请求方设备的身份验证成功，获取请求方设备的资产类型，并接收请求方设备发送的通信请求报文，解析所述通信请求报文获得请求内容，基于请求方设备的资产类型，根据本地存储的资产访问权限规则，判断所述请求内容是否合法；

A3、若所述请求内容合法，则响应所述请求内容；

其中，请求方设备本地存储的资产访问权限规则，基于权限发布装置在工控网络中广播的资产访问权限规则进行更新。

本发明实施例提出的访问权限控制方法中，响应方设备能够基于请求方设备的资产类型，根据本地存储的资产访问权限规则，自行判断请求方设备发送的请求内容是否合法，进而决定是否响应该请求内容，从而基于设备实现访问权限的控制，而管理人员需要做的，只是按照需求更新权限发布装置本地存储的资产访问权限规则即可，不用再针对每台工控设备分配其访问权限，因而能够有效缩减管理人员的工作量。

此外，本方法还提出，响应方设备在判断请求方设备发送的请求内容是否合法前，还基于通信双方的双向身份验证过程，对请求方设备进行身份验证，并只处理身份验证成功的请求方设备发送的请求内容，也即，响应方设备对每次发起通信过程的请求方设备是不信任的，每次都需要进行身份验证，用以阻挡攻击者伪装成工控网络中的其他工控设备发起的攻击，提高工控网络内部通信的安全性，从而进一步保证工业控制系统的安全性。

作为本实施例中的一种较佳的实施方案，所述工控设备本地存储的资产访问权限规则，基于权限发布装置在工控网络中定期广播的资产访问权限规则进行更新。也即，权限发布装置定期向工控网络广播其本地存储的资产访问权限规则，使工控设备本地存储的资产访问权限规则定期更新，一来可以防止工控设备本地存储的资产访问权限规则被攻击者恶意篡改，二来也可使新接入工控网络的工控设备能够及时获取和更新本地存储的资产访问权限规则。

实施例三

基于实施例二所述的访问权限控制方法，为了进一步提高工控网络中工控设备间的通信安全，本发明提供的访问权限控制方法还包括：所述工控设备与工控设备之间、工控设备与权限发布装置之间基于数字证书技术进行通信；权限发布装置和每台工控设备均配置有资产证书，且权限发布装置的资产证书是工控设备的资产证书的根证书。

在本实施例中，所述资产证书的作用和构成与数字证书类似，其作用为标示工控设备或权限发布装置身份的合法性，其中每台工控设备的资产证书包括该工控设备的序列号、资产类型、公钥、以及根证书对该资产证书的签名；权限发布装置的资产证书至少包括权限发布装置的序列号和公钥。

需要说明的是，上述工控设备的序列号是工控设备在工控网络中的身份识别标识，每台工控设备对应的序列号在工控网络中都是唯一的。

以下分别基于数字证书技术对工控设备与工控设备之间、工控设备与权限发布装置之间的通信过程进行详细描述。

对于工控设备与权限发布装置之间的通信过程：

基于数字证书技术，上述实施例二中工控设备本地存储的资产访问权限规则，基于权限发布装置在工控网络中定期广播的资产访问权限规则进行更新包括：

当工控设备接收到权限发布装置在工控网络中定期广播的资产访问权限规则更新报文时，解析所述资产访问权限规则更新报文，获得资产访问权限规则和权限发布装置的签名信息；

基于本地存储的根证书验证所述签名信息的正确性，若所述签名信息正确，将所述资产访问权限规则保存为本地新的资产访问权限规则。

其中，所述资产访问权限规则更新报文包括资产访问权限规则和权限发布装置的签名信息；所述权限发布装置的签名信息为，基于权限发布装置的资产证书对应的私钥，根据资产访问权限规则数据本身生成的。

需要说明的是，上述生成权限发布装置的签名信息的过程，以及基于本地存储的根证书验证所述签名信息的正确性的过程可采用现有技术实现，例如，签名的生成过程可为：权限发布装置对资产访问权限规则数据本身进行哈希计算，得到一个哈希值，利用权限发布装置的资产证书对应的私钥对哈希值加密，得到签名；对应地，签名的验证过程可为：工控设备使用本地存储的根证书中包含的公钥，对签名进行解密，得到第一哈希值；对资产访问权限规则数据本身进行哈希计算，得到第二哈希值，比对第一哈希值和第二哈希值，若两者一致，则签名正确，否则，签名不正确。

对于工控设备与工控设备之间的通信过程：

A1、多台工控设备中的响应方设备，在接收到多台工控设备中的请求方设备发送的通信身份验证请求时，基于通信双方的双向身份验证过程，对请求方设备进行身份验证。若请求方设备的身份验证失败，则结束当前通信过程；若请求方设备的身份验证成功，则跳转至A2；

其中，所述双向身份验证过程与实施例四中提供的双向身份验证内容相同。

A2、若请求方设备的身份验证成功，则获取请求方设备的资产类型，并接收请求方设备发送的通信请求报文，解析所述通信请求报文获得请求内容，基于请求方设备的资产类型，根据本地存储的资产访问权限规则，判断所述请求内容是否合法。若请求内容不合法，则结束当前通信过程；若所述请求内容合法，则跳转至A3。

其中，基于双向身份验证过程中，请求方发送的挑战报文中包含的请求方的资产证书，获取请求方的资产类型。

所述基于请求方设备的资产类型，根据本地存储的资产访问权限规则，判断所述请求内容是否合法包括：

对于所述请求方设备的资产类型，查询本地存储的资产访问权限规则，得到该资产类型对应的合法访问权限列表；判断该资产类型对应的合法访问权限列表中是否包含所述请求内容；

若是则所述请求内容合法，否则，所述请求内容不合法。

A3、若所述请求内容合法，则响应所述请求内容。

需要说明的是，工控设备与工控设备之间的通信过程中涉及的签名生成过程和验证过程，与上述生成权限发布装置的签名信息的过程，以及基于本地存储的根证书验证所述签名信息的正确性的过程类似，此处不再赘述。

基于本发明实施例提供的访问权限控制方法，工控网络中的工控设备与工控设备之间、工控设备与权限发布装置之间的通信均基于数字证书技术进行，从而进一步提高了工控设备间通信过程的安全性。

实施例四

为了更好地理解实施例三中步骤A1中所述的双向身份验证过程，本实施例结合具体的步骤进行进行详细说明。

本实施例提供的通信双方的双向身份验证过程，在响应方设备响应请求方设备发送的请求内容之前，基于数字证书技术，对通信双方进行身份验证，以进一步提高工控设备间通信的安全性。实质上，本访问权限控制方法提供的双向身份验证过程本身类似一种通信协议，且该双向身份验证过程通过三帧报文(挑战报文、响应报文和身份验证完成报文)即可实现通信双方的身份验证，相较于现有的TLS协议(Transport Layer Security，传输层安全性协议)，其身份认证简单高效，并且能够在认证过程确定请求方设备的资产类型，在较好地保证了通信安全的前提下，提高了工控设备间的通信效率，在工业控制系统这种实时性要求较高的应用场景中，具有较好的实用性。此外，本实施例提供的通信双方的双向身份验证过程中，还在身份验证的报文中加入随机数防止攻击者假冒身份，使身份验证过程的安全性进一步提高。

具体地，如图3所示，步骤A1中所述的基于通信双方的双向身份验证过程，对请求方设备进行身份验证包括下述子步骤：

S1、响应方设备接收请求方设备发送的挑战报文。

所述挑战报文包括挑战信息和挑战信息签名；

其中，所述挑战信息包括请求方设备的资产证书和请求方随机数；所述请求方随机数是请求方设备本地随机生成的；

所述挑战信息签名是基于请求方设备的资产证书对应的私钥，根据挑战信息生成的；

S2、响应方设备解析所述挑战报文，得到所述挑战信息和挑战信息签名，基于存储在本地的根证书，验证挑战信息中请求方设备的资产证书的合法性；

若请求方设备的资产证书合法，基于请求方设备的资产证书验证挑战信息签名的正确性；若挑战信息签名正确，跳转至S3。

其中，所述基于存储在本地的根证书，验证挑战信息中请求方设备的资产证书的合法性包括：基于根证书中的公钥，验证请求方设备的资产证书中包含的根证书对该资产证书的签名的正确性；若签名正确，则所述请求方设备对应的资产证书合法；

S3、响应方设备基于请求方的资产证书的公钥，根据响应信息和响应信息签名生成响应报文，并向请求方设备发送所述响应报文。

其中，所述响应信息包括响应方设备的资产证书、请求方随机数和响应方随机数；所述响应方随机数为响应方设备本地随机生成的；

所述响应信息签名是基于响应方设备的资产证书，根据响应信息生成的；

S4、响应方设备接收请求方设备发送的身份验证完成报文。

所述身份验证完成报文为，请求方设备在完成响应报文验证过程，确定响应报文正确后，基于响应方设备的资产证书的公钥，根据身份验证完成信息生成的。

所述身份验证完成信息包括请求方设备的序列号和响应方随机数。

其中，所述响应报文验证过程是由请求方设备完成的，所述响应报文验证过程包括：

请求方设备接收到所述响应报文，基于请求方设备自身的资产证书对应的私钥解密所述响应报文，得到响应信息和响应信息签名；

基于存储在本地的根证书，验证响应信息中包含的响应方设备的资产证书的合法性；

若响应方设备的资产证书合法，基于响应方设备的资产证书验证响应信息签名的正确性；

若响应信息签名正确，则基于发送挑战报文时本地生成的请求者随机数，验证响应信息中的请求者随机数；若两者一致，则响应报文正确；

所述基于存储在本地的根证书，验证响应信息中包含的响应方设备的资产证书的合法性包括：基于根证书包含的公钥，验证响应方设备的资产证书中包含的，根证书对该资产证书的签名的正确性；若签名正确，则所述响应方设备对应的资产证书合法。

S5、响应方设备基于自身的资产证书对应的私钥，解密所述身份验证完成报文，得到身份验证完成信息；

基于S2中获取的请求方设备的资产证书中包含的序列号、以及S3中本地生成的响应方随机数，验证所述身份验证完成信息中请求方设备的序列号和响应方随机数的一致性；若所述身份验证完成信息中请求方设备的序列号和响应方随机数均一致，则请求方设备的身份验证成功，且请求方随机数和响应方随机数失效。

由于本发明上述实施例所描述的系统/装置，为实施本发明上述实施例的方法所采用的系统/装置，故而基于本发明上述实施例所描述的方法，本领域所属技术人员能够了解该系统/装置的具体结构及变形，因而在此不再赘述。凡是本发明上述实施例的方法所采用的系统/装置都属于本发明所欲保护的范围。

本领域内的技术人员应明白，本发明的实施例可提供为方法、系统或计算机程序产品。因此，本发明可采用完全硬件实施例、完全软件实施例，或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本发明是参照根据本发明实施例的方法、设备(系统)和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。

应当注意的是，在权利要求中，不应将位于括号之间的任何附图标记理解成对权利要求的限制。词语“包含”不排除存在未列在权利要求中的部件或步骤。位于部件之前的词语“一”或“一个”不排除存在多个这样的部件。本发明可以借助于包括有若干不同部件的硬件以及借助于适当编程的计算机来实现。在列举了若干装置的权利要求中，这些装置中的若干个可以是通过同一个硬件来具体体现。词语第一、第二、第三等的使用，仅是为了表述方便，而不表示任何顺序。可将这些词语理解为部件名称的一部分。

此外，需要说明的是，在本说明书的描述中，术语“一个实施例”、“一些实施例”、“实施例”、“示例”、“具体示例”或“一些示例”等的描述，是指结合该实施例或示例描述的具体特征、结构、材料或者特点包含于本发明的至少一个实施例或示例中。在本说明书中，对上述术语的示意性表述不必须针对的是相同的实施例或示例。而且，描述的具体特征、结构、材料或者特点可以在任一个或多个实施例或示例中以合适的方式结合。此外，在不相互矛盾的情况下，本领域的技术人员可以将本说明书中描述的不同实施例或示例以及不同实施例或示例的特征进行结合和组合。

尽管已描述了本发明的优选实施例，但本领域的技术人员在得知了基本创造性概念后，则可对这些实施例作出另外的变更和修改。所以，权利要求应该解释为包括优选实施例以及落入本发明范围的所有变更和修改。

显然，本领域的技术人员可以对本发明进行各种修改和变型而不脱离本发明的精神和范围。这样，倘若本发明的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也应该包含这些修改和变型在内。

Claims (10)

1.一种分布式工业控制系统，用于在分布式工业控制系统内的工控设备间通信时，实现发起方设备的访问权限控制，其特征在于，所述分布式控制系统包括工控网络、权限发布装置和多台工控设备，所述权限发布装置和工控设备分别通过工控网络连接；

所述权限发布装置基于本地存储的资产访问权限规则，在工控网络中广播所述资产访问权限规则；

所述工控设备用于接收工控网络中广播的资产访问权限规则，并基于接收到的资产访问权限规则，更新本地存储的资产访问权限规则；以及，用于基于本地存储的资产访问权限规则，根据工控网络中其他工控设备中的发起方设备的资产类型，判断发起方设备发送的请求内容是否合法，若合法，则响应所述请求内容；

其中，所述资产访问权限规则包括多个资产类型，及每个资产类型对应的合法访问权限列表；所述合法访问权限列表包括多个请求内容。

2.根据权利要求1所述的分布式工业控制系统，其特征在于，在所述分布式工业控制系统中，所述权限发布装置本地存储的资产访问权限规则，基于权限发布装置接收到的人为设置的资产访问权限规则进行更新；当权限发布装置本地存储的资产访问权限规则更新时，权限发布装置在工控网络中广播所述新的资产访问权限规则。

3.一种分布式工业控制系统的访问权限控制方法，在分布式工业控制系统内的工控设备间的通信过程中，应用于响应方设备，其特征在于，所述分布式控制系统为权利要求1或2所述的分布式工业控制系统；所述权限控制方法包括：

A1、所述多台工控设备中的响应方设备，在接收到多台工控设备中的请求方设备发送的通信身份验证请求时，基于通信双方的双向身份验证过程，对请求方设备进行身份验证；

A2、若请求方设备的身份验证成功，获取请求方设备的资产类型，并接收请求方设备发送的通信请求报文，解析所述通信请求报文获得请求内容，基于请求方设备的资产类型，根据本地存储的资产访问权限规则，判断所述请求内容是否合法；

A3、若所述请求内容合法，则响应所述请求内容；

其中，请求方设备本地存储的资产访问权限规则，基于权限发布装置在工控网络中广播的资产访问权限规则进行更新。

4.根据权利要求3所述的访问权限控制方法，其特征在于，所述工控设备本地存储的资产访问权限规则，基于权限发布装置在工控网络中定期广播的资产访问权限规则进行更新。

5.根据权利要求4所述的访问权限控制方法，其特征在于，所述访问权限控制方法还包括：所述工控设备与工控设备之间、工控设备与权限发布装置之间基于数字证书技术进行通信；权限发布装置和每台工控设备均配置有资产证书，且权限发布装置的资产证书是工控设备的资产证书的根证书；

每台工控设备的资产证书包括该工控设备的序列号、资产类型、公钥、以及根证书对该资产证书的签名；

权限发布装置的资产证书包括权限发布装置的序列号和公钥。

6.根据权利要求5所述的访问权限控制方法，其特征在于，所述工控设备本地存储的资产访问权限规则，基于权限发布装置在工控网络中定期广播的资产访问权限规则进行更新包括：

当工控设备接收到权限发布装置在工控网络中定期广播的资产访问权限规则更新报文时，解析所述资产访问权限规则更新报文，获得资产访问权限规则和权限发布装置的签名信息；

基于本地存储的根证书验证所述签名信息的正确性，若所述签名信息正确，将所述资产访问权限规则保存为本地新的资产访问权限规则；

其中，所述资产访问权限规则更新报文包括资产访问权限规则和权限发布装置的签名信息；所述权限发布装置的签名信息为，基于权限发布装置的资产证书对应的私钥，根据资产访问权限规则数据本身生成的。

7.根据权利要求5或6所述的访问权限控制方法，其特征在于，在A1中，所述基于通信双方的双向身份验证过程，对请求方设备进行身份验证包括：

S1、所述响应方设备接收请求方设备发送的挑战报文；

所述挑战报文包括挑战信息和挑战信息签名；

其中，所述挑战信息包括请求方设备的资产证书和请求方随机数；所述请求方随机数是请求方设备本地随机生成的；

所述挑战信息签名是基于请求方设备的资产证书对应的私钥，根据挑战信息生成的；

S2、所述响应方设备解析所述挑战报文，得到所述挑战信息和挑战信息签名，基于存储在本地的根证书，验证挑战信息中请求方设备的资产证书的合法性；

若请求方设备的资产证书合法，基于请求方设备的资产证书验证挑战信息签名的正确性；若挑战信息签名正确，跳转至S3；

其中，所述基于存储在本地的根证书，验证挑战信息中请求方设备的资产证书的合法性包括：基于根证书中的公钥，验证请求方设备的资产证书中包含的根证书对该资产证书的签名的正确性；若签名正确，则所述请求方设备对应的资产证书合法；

S3、响应方设备基于请求方的资产证书的公钥，根据响应信息和响应信息签名生成响应报文，并向请求方设备发送所述响应报文；

其中，所述响应信息包括响应方设备的资产证书、请求方随机数和响应方随机数；所述响应方随机数为响应方设备本地随机生成的；

所述响应信息签名是基于响应方设备的资产证书，根据响应信息生成的；

S4、响应方设备接收请求方设备发送的身份验证完成报文；

所述身份验证完成报文为，请求方设备在完成响应报文验证过程，确定响应报文正确后，基于响应方设备的资产证书的公钥，根据身份验证完成信息生成的；

所述身份验证完成信息包括请求方设备的序列号和响应方随机数；

S5、响应方设备基于自身的资产证书对应的私钥，解密所述身份验证完成报文，得到身份验证完成信息；

基于S2中获取的请求方设备的资产证书中包含的序列号、以及S3中本地生成的响应方随机数，验证所述身份验证完成信息中请求方设备的序列号和响应方随机数的一致性；若所述身份验证完成信息中请求方设备的序列号和响应方随机数均一致，则请求方设备的身份验证成功，且请求方随机数和响应方随机数失效。

8.根据权利要求7所述的访问权限控制方法，其特征在于，在S4中，所述响应报文验证过程包括：

请求方设备接收到所述响应报文，基于请求方设备自身的资产证书对应的私钥解密所述响应报文，得到响应信息和响应信息签名；

基于存储在本地的根证书，验证响应信息中包含的响应方设备的资产证书的合法性；

若响应方设备的资产证书合法，基于响应方设备的资产证书验证响应信息签名的正确性；

若响应信息签名正确，则基于发送挑战报文时本地生成的请求者随机数，验证响应信息中的请求者随机数；若两者一致，则响应报文正确；

所述基于存储在本地的根证书，验证响应信息中包含的响应方设备的资产证书的合法性包括：基于根证书包含的公钥，验证响应方设备的资产证书中包含的根证书对该资产证书的签名的正确性；若签名正确，则响应方设备的资产证书合法。

9.根据权利要求7所述的访问权限控制方法，其特征在于，在A2中，所述获取请求方设备的资产类型包括：基于双向身份验证过程中，请求方发送的挑战报文中包含的请求方的资产证书，获取请求方的资产类型。

10.根据权利要求9所述的访问权限控制方法，其特征在于，在A2中，所述基于请求方设备的资产类型，根据本地存储的资产访问权限规则，判断所述请求内容是否合法包括：

对于所述请求方设备的资产类型，查询本地存储的资产访问权限规则，得到该资产类型对应的合法访问权限列表；判断该资产类型对应的合法访问权限列表中是否包含所述请求内容；

若是则所述请求内容合法，否则，所述请求内容不合法。

Images