CN1929373B - 工业安全控制系统及其控制方法 - Google Patents

Abstract

工业安全控制系统包括第一、二网络及网络安全网桥；第一网络包括分配和维护密钥，包含密钥版本号的密钥管理服务器；网络安全网桥连接第一、二网络，接收第一网络报文根据密钥管理服务器密钥加密后发送第二网络；接收第二网络报文根据所述密钥加密后发送第一网络；网络安全网桥按预定周期接收密钥管理服务器密钥管理命令，根据密钥管理命令更新网络安全网桥中密钥，保存版本号；每个通信周期，网络安全网桥监听第二网络报文；密钥版本号匹配，网络安全网桥按照预先设定解密算法对接收报文解密生成明文；采用网络安全网桥最新密钥按预先设定加密算法对报文加密后发至第一网络。工业安全控制系统和工业安全控制方法，保证第一、二网络之间通信安全。

Description

工业安全控制系统及其控制方法 

技术领域

本发明涉及工业自动化控制，特别涉及了一种工业安全控制系统及其控制方法。 

背景技术

由于工业以太网控制系统的现场设备之间使用以太网进行连接，并且通过工业以太网网络连接到外部网络上，用户可以方便的经过工业以太网网络访问现场设备。但同时也方便了非法用户使用成熟的以太网技术进行恶意破坏，这样就使现场设备和工业以太网控制系统面临着严重的安全风险和威胁。 

如果非法用户在工业网络中接入一台恶意设备，拦截一台变送器的数据，并且非法用户对采样或控制数据进行篡改，将篡改后的数据发送到执行器中，这样就会导致工业以太网控制系统处于非常危险的状况。 

如果非法用户的一台移动PC机或手操器伪装成一台工程师站或操作员站接入到工业网络，恶意修改现场控制设备的组态信息，这样就会导致控制系统处于混乱状况。 

工业控制系统中第二网络的特点是实时性强，实时数据量多。在工业控制系统运行时，第二网络中数据多为实时控制数据，对实时性的要求很高。因此，现有技术中的工业控制系统迫切需要采取安全措施，能够有效的防止非法用户对工业控制系统的威胁。 

工业控制系统中第一网络中多为非实时数据，数据量较大，实时性要求不高，并且多为组态数据和监控数据。由于第一网络的特殊地位，所以也迫切需要采取有效的防止非法用户使用的安全措施。 

因此，如何有效的连接第一网络和第二网络，并且有效的限制非法用户的使用，是目前需要解决的技术问题。 

发明内容

本发明的目的是提供一种工业安全控制系统，可以有效的连接第 一网络和第二网络，保证第一网络和第二网络之间的通信安全，并且有效的防止非法用户进行第一网络和第二网络之间的通信。 

本发明的目的还提供一种工业安全控制方法，保证第一网络和第二网络之间的通信安全，并且有效的防止非法用户进行第一网络和第二网络之间的通信。 

为解决上述问题，本发明公开一种工业安全控制系统，包括第一网络和第二网络，以及网络安全网桥； 

所述第一网络包括密钥管理服务器，所述密钥管理服务器用于分配和维护密钥； 

所述网络安全网桥用于连接所述第一网络和第二网络，接收所述第一网络报文根据所述密钥管理服务器分配的密钥加密方式加密后发送给所述第二网络；接收所述第二网络报文根据所述密钥管理服务器分配的密钥加密方式加密后发送给所述第一网络。 

所述第一网络包括密钥管理服务器，所述密钥管理服务器用于分配和维护密钥；所述网络安全网桥根据所述密钥管理服务器分配的密钥的加密方式对接受的报文进行加密； 

所述密钥管理服务器分配的密钥包括密钥的版本号； 

所述网络安全网桥按照预定的时间周期接收密钥管理服务器的密钥管理命令，并根据每次的密钥管理命令更新网络安全网桥中的密钥，并且保存密钥管理命令对应的版本号； 

每个通信周期，网络安全网桥监听第二网络的报文，当密钥版本号匹配，网络安全网桥按照预先设定的用于第二网络的解密算法对接收报文进行解密，生成明文；采用网络安全网桥持有的最新版本的密钥按照预先设定的用于第一网络的加密算法对报文明文进行加密，生成密文，转发至第一网络。 

所述网络安全网桥接收所述密钥管理服务器分配的密钥，对接收到的第一网络和第二网络的报文采用相同的密钥的加密方式进行加密。 

所述网络安全网桥接收所述密钥管理服务器分配的密钥，对接受的第一网络和第二网络的报文采用不同的密钥的加密方式进行加密。 

所述网络安全网桥的加密报文包含密钥的版本号。 

所述密钥管理服务器定期发送密钥管理命令至所述网络安全网桥，所述网络安全网桥根据密钥管理命令更新密钥，并保存更新后密钥的版本号。 

本发明还公开了一种工业安全控制方法，应用于第一网络和第二网络；所述第一网络包括密钥管理服务器，所述密钥管理服务器用于分配和维护密钥；所述密钥管理服务器分配的密钥包括密钥的版本号； 

该方法包括以下步骤： 

1)接收第一网络报文； 

2)对接收到的第一网络报文根据所述密钥管理服务器分配的密 钥加密方式进行加密； 

3)发送加密后的第一网络报文至第二网络； 

4)接收第二网络报文； 

5)对接收到的第二网络报文根据所述密钥管理服务器分配的密钥加密方式进行加密； 

所述网络安全网桥按照预定的时间周期接收密钥管理服务器的密钥管理命令，并根据每次的密钥管理命令更新网络安全网桥中的密钥，并且保存密钥管理命令对应的版本号； 

每个通信周期，网络安全网桥监听第二网络的报文； 

当密钥版本号匹配，网络安全网桥按照预先设定的用于第二网络的解密算法对接收报文进行解密，生成明文； 

采用网络安全网桥持有的最新版本的密钥按照预先设定的用于第一网络的加密算法对报文明文进行加密，生成密文，转发至第一网络。 

优选的，所述步骤2和步骤5中加密具体由第一网络分配和维护的密钥的加密方式进行加密。 

优选的，所述步骤2和步骤5中加密为相同或不同的加密方式。 

由于本发明提供的工业安全控制系统，包括连接所述第一网络和第二网络的枢纽即网络安全网桥；网络安全网桥对接收到的第一网络报文按预定的加密方式进行加密后才转发给第二网络；网络安全网桥对接收第二网络报文按预定的加密方式进行加密后才发送给所述第一网络。由于采用事先预定的加密方式，非法用户无法得知该加密方式，因此可以有效的防止非法用户对工业安全控制系统的控制。

附图说明

图1为本发明工业安全控制系统结构示意图； 

图2为本发明所述网络安全网桥结构示意图； 

图3为本发明所述网络安全网桥网络报文处理示意图； 

图4为本发明工业安全控制方法流程图； 

图5为本发明第一种具体实施方式流程图； 

图6为本发明第二种具体实施方式流程图； 

图7为本发明密钥分配过程流程图； 

图8为本发明密钥更新过程流程图。 

具体实施方式

本发明提供一种工业安全控制系统，可以有效的连接第一网络和第二网络，保证第一网络和第二网络之间的通信安全，并且有效的限制非法用户进行第一网络和第二网络之间的通信。 

下面结合附图对本发明的具体实施方式做进一步说明。 

请参见图1，该图为本发明所述工业安全控制系统结构示意图。 

本发明工业安全控制系统，包括第一网络1、第二网络2和网络安全网桥3。 

网络安全网桥3是连接第一网络1和第二网络2的枢纽。网络安全网桥3接收第一网络1的报文后，按预定的加密方式加密，然后再发送给第二网络2。网络安全网桥3接收第二网络2的报文后，按预定的加密方式加密，然后再发送给第一网络1。 

第一网络1包括工程师站、操作员站、监控站和密钥管理服务器。密钥管理服务器为工业安全控制的所有设备分配和维护密钥。第二网络2包括所有现场设备。网络安全网桥3根据密钥管理服务器分配的密钥的加密方式对接收的报文进行加密。 

密钥管理服务器在工业安全控制系统初始化时分别设置第一网络、第二网络中的一个网络或两个网络加密解密方式。工业安全控制系统初始化时执行一次网络安全网桥密钥的分配工作，在系统运行之后不会再进行密钥的分配，这样就可以保证后加入的设备无法得到密钥。并且密钥管理服务器分配的密钥包括该密钥的版本号。 

网络安全网桥3在工业安全控制系统初始化的时候，接收来自密钥管理服务器的密钥分配报文。如果参数协商不正确，将发送错误信息到工程师站，警告网络安全网桥3不能满足密钥分配功能，不能对控制系统进行控制策略的组态。间隔预定的一段时间(这个时间可以由系统设置)后，密钥管理服务器重新进行密钥分配。如果连续三次分配不成功，则放弃分配，判断设备出错无法运行。本发明在工业安全控制系统初始化时可以根据实际情况设定允许参数协商不正确的次数。具体不再赘述。 

密钥管理服务器分配密钥结束后，密钥管理服务器按照预定的时间周期发送密钥管理命令。网络安全网桥3按照预定的时间周期接收到来自密钥管理服务器的密钥管理命令，并根据每次的密钥管理命令更新网络安全网桥3中的密钥，并且保存密钥管理命令对应的版本号。 

每个通信周期，网络安全网桥3监听第二网络2的报文，判断密钥版本号是否匹配。若选用同一密钥版本号的密钥，网络安全网桥3按照预先设定的用于第二网络2的解密算法对接收报文进行解密，生成明文。然后采用网络安全网桥3持有的最新版本的密钥按照预先设 定的用于第一网络1的加密算法对报文明文进行加密，生成密文。最后将密文转发至第一网络1。 

每个通信周期，网络安全网桥3监听第一网络1的报文，进行密钥版本号的匹配判断。选用同一版本号的密钥，网络安全网桥3按照预先设定的用于第一网络1的解密算法对接收报文进行解密，生成明文，然后采用网络安全网桥3持有的最新版本的密钥按照预先设定的用于第二网络2的加密算法对报文明文进行加密，生成密文，最后将密文转发至第二网络2。 

网络安全网桥3的加密报文必须包含加密密钥的版本号信息。 

网络安全网桥3可以采用两种不同的加密解密算法，分别用于第一网络层报文的加密解密处理和现场控制层报文的加密解密处理。 

用于第一网络1的加密解密算法和现场控制2的加密解密算法可以视实际工程情况，设置为同一种加密解密算法。 

请参见图2，该图为本发明所述网络安全网桥的结构示意图。网络安全网桥3包括电源管理单元31、程序存储单元32、数据存储单元33、热启动检测单元36、串行通信单元34、MPU处理器35、网络通信单元。图2示出本发明一种具体实施方式，网络安全网桥3包括两个网络通信单元，即第一网络通信单元37和第二网络通信单元38，对应两个网段——网段1和网段2。也就是图中所示的网桥只有两个网络接口，分别连接网段1和网段2。 

电源管理单元31用于对外部输入电源进行隔离、稳压，负责电压监测和电源切换。 

程序存储单元32主要用于存储程序代码。 

数据存储单元33用于存储运行中需要的变量和断电时需要保存的组态信息。 

热启动检测单元36用于实现实时检测手动复位和看门狗复位。 

串行通信单元34用于通过串口同上位机通讯。 

MPU处理器35采用至少一个嵌入式微处理器，每个处理器之间具有相应的通信机制。 

网络通信单元支持以太网通讯网卡，能够发送各种类型的报文，能够完成对以太网络上所有数据报文的接收处理。 

网络安全网桥3具有多个接口，网络安全网桥3具有对应的多个网络通信单元。网络通信单元使得网络安全网桥3在该网络通信单元所对应的接口连接的网段中和其它设备一样享有平等通信权利。 

请参见图3，该图为本发明所述网络安全网桥网络报文处理示意图。网络安全网桥3监听第二网络2的报文，按照预先设定的用于第二网络2的解密算法进行解密，然后按照预先设定的用于第一网络1的加密算法进行加密，最后将密文转发至第一网络1；网络安全网桥3监听第一网络1的报文，按照预先设定的用于第一网络1的解密算法进行解密，然后按照预先设定的用于第二网络2的加密算法进行加密，最后将密文转发至第二网络2。 

本发明还提供一种工业安全控制方法，保证第一网络和第二网络之间的通信安全，并且有效的防止非法用户进行第一网络和第二网络之间的通信。 

参见图4，该图为本发明工业安全控制方法流程图。 

S101、接收第一网络报文； 

S102、对接收到的第一网络报文按预定的加密方式进行加密； 

具体是由第一网络的密钥管理服务器分配的密钥的加密方式进行加密。 

S103、发送加密后的第一网络报文至第二网络； 

S104、接收第二网络报文； 

S105、对接收到的第二网络报文按预定的加密方式进行加密； 

具体是由第一网络的密钥管理服务器分配的密钥的加密方式进行加密。该加密方式可以与步骤S102中的加密方式一样，也可以设定为不同的加密方式。加密方式具体可以根据不同的实际工业控制系统进行设定。 

S106、发送加密后的第二网络报文至第一网络。 

参见图5，该图为本发明一种具体实施方式流程图。该图具体为 本发明所述网络安全网桥从接收第二网络报文到转发至第一网络的处理过程的具体流程。 

S201、接收第二网络报文。 

S202、判断接收到的密钥版本号是否和网络安全网桥的用于第二网络的当前密钥版本号相同，如果接收到的密钥版本号小于网络安全网桥的用于第二网络的当前密钥版本号，转到S203；如果接收到的密钥版本号大于网络安全网桥的用于第二网络的当前密钥版本号，转到S204)；如果接收到的密钥版本号等于网络安全网桥的用于第二网络的当前密钥版本号，转到S205。 

S203、如果接收到的密钥版本号和网络安全网桥的用于第二网络的当前密钥版本号的差值为1，使用保存的上一周期的密钥进行解密，转到S205)；否则丢弃数据。 

S204、将接收数据缓存，直到网络安全网桥接收到密钥管理命令，并对密钥进行版本更新，转到S205。 

如果接收到的密钥版本号大于网络安全网桥的用于第二网络的当前密钥版本号，将接收数据缓存，直到接收新的密钥版本号等于网络安全网桥的用于第二网络的当前密钥版本号。 

S205、将接收数据的密文进行解密，生成接收数据的明文。 

S206、使用用于第一网络的加密算法对明文进行加密，生成密文。 

S207、将生成的密文转发至第一网络。 

参见图6，该图为本发明第二种具体实施方式流程图。该图具体为本发明所述网络安全网桥从接收到第一网络报文转发至第二网络的处理过程的具体流程。 

S301、接收第一网络报文。 

S302、判断接收到的密钥版本号是否和网络安全网桥的用于第一网络的当前密钥版本号相同；如果接收到的密钥版本号小于网络安全网桥的用于第一网络的当前密钥版本号，转到S303；如果接收到的密钥版本号大于网络安全网桥的用于第一网络的当前密钥版本号，转到S304；如果接收到的密钥版本号等于网络安全网桥的用于第一网络的 当前密钥版本号，转到S305。 

S303、如果接收到的密钥版本号和网络安全网桥的用于第一网络的当前密钥版本号的差值为1，使用上一周期保存的密钥进行解密，转到S305，否则丢弃数据。 

S304、将接收数据缓存，直到网络安全网桥接收到密钥管理命令，并对密钥版本进行更新，转到S305。 

S305、将接收数据的密文进行解密，生成接收数据的明文。 

S306、使用用于第二网络的加密算法对明文进行加密，生成密文。 

S307、将生成的密文转发至第二网络。 

参见图7，该图为本发明密钥分配过程流程图。 

S401、接收密钥分配报文。 

S402、密钥参数协商是否正确；若参数协商正确执行步骤S404；否则执行步骤S403。 

S403、丢弃密钥分配报文，并返回密钥分配的负响应报文。 

S404、设置网络安全网桥密钥，返回密钥分配的正响应报文。 

参见图8，该图为本发明密钥更新过程流程图。 

S501、接收密钥管理命令。 

S502、判断接收到的密钥管理命令的版本号是否和本网络设备保存的密钥管理命令的版本号一致，如果是转到S504；否则转到S503。 

S503、保存上一周期的密钥，更新密钥和密钥版本号，更新密钥管理命令版本号。 

S504、返回密钥管理命令的响应报文。 

所述更新密钥版本号可以是将原有密钥版本号进行累加。 

所述更新密钥管理命令版本号是保存接收到的密钥管理命令的版本号。 

本发明所述密钥由当前密钥、上一版本密钥和当前密钥版本号组成。当接收到密钥管理命令后，先将当前密钥的值赋给上一版本的密钥，然后按照密钥管理命令更新当前密钥，最后对当前密钥版本号进行加1操作。 

本发明所述网络安全网桥所在第一网络报文密文由经过第一网络加密算法加密的用户数据密文和第一网络密钥版本号组成。对用户数据进行加密处理的密钥是第一网络密钥中的当前密钥，第一网络密钥版本号是监控密钥中的当前密钥版本。 

本发明所述网络安全网桥所在控制网络报文密文由经过控制网络加密算法加密的用户数据密文和控制网络密钥版本号组成。对用户数据进行加密处理的密钥是控制网络密钥中的当前密钥，控制网络密钥版本号是控制网络密钥中的当前密钥版本。 

本发明所述网络安全网桥可以作为连接第二网络和第一网络的枢纽，也可以作为两个工业控制网络的枢纽。它包括两个或两个以上的网络通讯单元，负责对不同网段的所有报文进行监听、解密处理、加密处理和转发。所述网络安全网桥监听第二网络的报文，根据设置，按照预先设定的用于第二网络的解密算法对接收报文进行解密，然后对解密生成的明文按照预先设定的用于第一网络的加密算法进行加密，最后将密文转发至第一网络。所述网络安全网桥监听第一网络的报文，根据设置，按照预先设定的用于第一网络的解密算法对接收报文进行解密，然后对解密生成的明文按照预先设定的用于第二网络的加密算法进行加密，最后将密文转发至第二网络。所述网络安全网桥在控制系统网络初始化时，进行密钥初始化工作。在控制系统正常运行过程中，周期性接收来自密钥管理服务器的密钥管理命令并根据密钥管理命令对密钥进行更新操作，所以密钥在工业安全控制系统运行当中是不会被后接入的第二网络或第一网络的设备获得。 

以上所述仅是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。 

Claims (8)

1.一种工业安全控制系统，包括第一网络和第二网络；其特征在于还包括网络安全网桥；

所述第一网络包括密钥管理服务器，所述密钥管理服务器用于分配和维护密钥；

所述网络安全网桥用于连接所述第一网络和第二网络，接收所述第一网络报文根据所述密钥管理服务器分配的密钥加密方式加密后发送给所述第二网络；接收所述第二网络报文根据所述密钥管理服务器分配的密钥加密方式加密后发送给所述第一网络；

工业安全控制系统初始化时执行一次网络安全网桥密钥的分配工作，所述密钥管理服务器在工业安全控制系统初始化时分别设置第一网络、第二网络中的一个或者两个网络加密解密方式；

所述加密解密方式的密钥包括密钥的版本号；

所述网络安全网桥按照预定的时间周期接收密钥管理服务器的密钥管理命令，并根据每次的密钥管理命令更新网络安全网桥中的密钥，并且保存密钥管理命令对应的版本号；

每个通信周期，网络安全网桥监听第二网络的报文，当密钥版本号匹配，网络安全网桥按照预先设定的用于第二网络的解密算法对接收报文进行解密，生成明文；采用网络安全网桥持有的最新版本的密钥按照预先设定的用于第一网络的加密算法对报文明文进行加密，生成密文，转发至第一网络。

2.根据权利要求1所述的工业安全控制系统，其特征在于，所述网络安全网桥接收所述密钥管理服务器分配的密钥，对接收到的第一网络和第二网络的报文采用相同的密钥的加密方式进行加密。

3.根据权利要求1所述的工业安全控制系统，其特征在于，所述网络安全网桥接收所述密钥管理服务器分配的密钥，对接受到的第一网络和第二网络的报文采用不同的密钥的加密方式进行加密。

4.根据权利要求1所述的工业安全控制系统，其特征在于，所述网络安全网桥的加密报文包含密钥的版本号。

5.根据权利要求4所述的工业安全控制系统，其特征在于，所述密钥管理服务器定期发送密钥管理命令至所述网络安全网桥，所述网络安全网桥根据密钥管理命令更新密钥，并保存更新后密钥的版本号。

6.一种工业安全控制方法，应用于第一网络和第二网络；其特征在于，所述第一网络包括密钥管理服务器，所述密钥管理服务器用于分配和维护密钥；所述密钥管理服务器分配的密钥包括密钥的版本号；

所述工业安全控制方法包括以下步骤：

1)接收第一网络报文；

2)对接收到的第一网络报文按根据所述密钥管理服务器分配的密钥加密方式进行加密；

工业安全控制系统初始化时执行一次网络安全网桥密钥的分配工作，所述密钥管理服务器在工业安全控制系统初始化时分别设置第一网络、第二网络中的一个或者两个网络加密解密方式；

所述加密解密方式的密钥包括密钥的版本号；

3)发送加密后的第一网络报文至第二网络；

4)接收第二网络报文；

5)对接收到的第二网络报文根据所述密钥管理服务器分配的密钥加密方式进行加密；

所述网络安全网桥按照预定的时间周期接收密钥管理服务器的密钥管理命令，并根据每次的密钥管理命令更新网络安全网桥中的密钥，并且保存密钥管理命令对应的版本号；

每个通信周期，网络安全网桥监听第二网络的报文；

当密钥版本号匹配，网络安全网桥按照预先设定的用于第二网络的解密算法对接收报文进行解密，生成明文；

采用网络安全网桥持有的最新版本的密钥按照预先设定的用于第一网络的加密算法对报文明文进行加密，生成密文，转发至第一网络。

7.根据权利要求6所述的工业安全控制方法，其特征在于，所述步骤2和步骤5中加密具体由第一网络分配和维护的密钥的加密方式进行加密。

8.根据权利要求6或7所述的工业安全控制方法，其特征在于，所述步骤2和步骤5中加密为相同或不同的加密方式。

Images