CN216391046U - 一种带有旁路控制的远动通信隔离装置 - Google Patents

Abstract

本实用新型涉及一种带有旁路控制的远动通信隔离装置，包括相互独立的第一系统处理单元、第二系统处理单元，第一系统处理单元、第二系统处理单元均设有若干网口，旁路模块与第一系统处理单元、第二系统处理单元的其中一个网口连接；旁路模块，只对网络数据中的DL/T634.5104报文进行识别，不对报文进行处理，识别出的报文同样通过网口转发到另一侧的对应设备。本实用新型成功做到了彻底阻断了变电站网络数据采集和数据上传两方面设备的网络连接，但是没有干扰到这两类设备正常的数据交互，原有的规约通信同样也可以保持。在加强设备安全管控力度的情况下不影响正常的生产作业，即使装置出现异常的情况下，仍能最大限度的维持网络隔离前整个变电站网络的持续运作模式。

Description

一种带有旁路控制的远动通信隔离装置

技术领域

本实用新型涉及通信安全保护领域，并且更具体的，涉及一种带有旁路控制的远动通信隔离装置。

背景技术

随着近年来电网规模的快速发展，保护网络设备及通信链路免受人为破坏显得十分重要，而在安全情况较严峻的变电站需要如何隔离远动数据采集设备和远动数据转发设备也亟待解决。

目前，现有技术中采用通过两台正、反向隔离装置和一台特殊规约转换装置实现网络隔离的功能，但结构复杂，维护困难、成本高昂，不适用于变电站的运行环境。

同时，现有技术无法适应变电站侧RTU设备短时间高并发的信息传输环境。

使用网闸进行文件传输，会使特定规约的数据链路断连。网闸的运行逻辑是要优先保证安全的情况下进行数据交换，出现安全隐患后处理方式是断开所有网络的连接。这样就无法保证RTU设备通信的可靠性、可用性、实时性，相关设备产生的实时数据将会遗失。

实用新型内容

本实用新型提供一种带有旁路控制的远动通信隔离装置。变电站中使用RTU（远动终端）数量也越来越多。因此需要运用网络隔离技术确保变电站侧网络环境安全，将RTU设备与上传电力数据的数据采集网络设备完全区隔开，真正避免机密数据外溢、保护关键的电力二次设备和专用网络设备的安全。同时要在确保在装置出现投退或故障的情况下能保证原有的网络通讯不受影响，使得厂站运维人员对整个变电站侧电力数据采集网络的数据和设备安全性有了一个大的提升，减轻了网络安全管理工作的强度。

本实用新型的技术方案具体如下：

一种带有旁路控制的远动通信隔离装置，其特征在于，包括：

包括：相互独立的第一系统处理单元、第二系统处理单元，第一系统处理单元、第二系统处理单元均设有若干网口，旁路模块与第一系统处理单元、第二系统处理单元的其中一个网口连接；

第一系统处理单元、第二系统处理单元还设有若干串口，第一系统处理单元、第二系统处理单元的串口连接；

第一系统处理单元网口接收规约报文数据并将所述规约报文数据传递到所述第一系统处理单元，所述第一系统处理单元将所述规约报文数据转换为非网络数据，所述非网络数据通过串口传递到所述第二系统处理单元，所述第二系统处理单元将所述非网络数据转换为所述规约报文数据，第二系统处理单元的网口发送将所述第二系统处理单元转换的所述规约报文数据；

旁路模块，只对网络数据中的DL/T634.5104报文进行识别，不对报文进行处理，识别出的报文同样通过网口转发到另一侧的对应设备。

因此，通过所述隔离装置，采用网络隔离的方式将两侧设备构建成两个独立的网络安全区。当任意一测设备被入侵、病毒感染后，无法影响到另一侧设备的正常运行，最大程度的保证数据交换的安全性。同时，只有装置重新加入投入运行或故障解决后才会重新切换回普通模式，双系统进行网络隔离的功能才会再次开启。

在一种可能的实现方式中，所述装置还包括：与所述第一处理单元连接的第一内存单元和第一存储单元，与所述第二处理单元连接的第二内存单元和第二存储单元，所述第一内存单元用于辅助所述第一处理单元将所述规约报文数据转换为非网络数据，所述第一存储单元用于存储转换的所述非网络数据，所述第二内存单元用于辅助所述第二处理单元将所述非网络数据转换为规约报文数据，所述第二存储单元用于存储转换的所述规约报文数据。

通过所述第一内存单元辅助所述第一处理单元将所述规约报文数据转换为非网络数据，所述第二内存单元辅助所述第二处理单元将所述非网络数据转换为规约报文数据可以提高转换效率。

在一种可能的实现方式中，第一系统处理单元、第二系统处理单元设有2个网口和2个串口，串口连接一对作为数据传输，一对作为冗余。

通过所述隔离装置中的多条网络链路和多路串口作为数据冗余加强隔离装置的稳定性。

在一种可能的实现方式中，所述隔离装置连接在远程终端装置和电力数据采集网络中的交换机之间。

所述隔离装置连接在远程终端装置和电力数据采集网络中的交换机之间，可以将远动数据采集设备和远动数据转发设备隔离开来，保证数据交换的安全性。

作为一种优选的实现方式，包括壳体，壳体后侧设有壳体挂耳，壳体前侧设有壳体螺丝及接地端口，壳体前端设有第一主板系统驱动的两个网络接口孔、第一主板系统的通信指示灯孔、第二主板系统驱动的两个网络接口孔、第二主板系统的通信指示灯孔、第一电源接口孔和第二电源接口孔。

与现有技术相比，本实用新型的有益效果具体如下：

本实用新型成功做到了彻底阻断了变电站网络数据采集和数据上传两方面设备的网络连接，但是没有干扰到这两类设备正常的数据交互，原有的规约通信同样也可以保持。在加强设备安全管控力度的情况下不影响正常的生产作业，即使装置出现异常的情况下，仍能最大限度的维持网络隔离前整个变电站网络的持续运作模式。在提升生产效率的同时极大的增强了变电站侧电力数据采集网络的可靠性。

本实用新型作为网络安全设备串联在变电站通信网络中，装置可全天候运行为远动数据和数据交互两侧的安全区提供保护，使用者不再需要为变电站新增其他的针对应用层的网络安全设备，省去了一部分装置购置费；装置整体外形选择标准的服务器外部尺寸，用户可以直接将设备上架机柜，不需要另外购置相关配套硬件设备。

附图说明

图1是本实用新型实施例提供的一种带有旁路控制的远动通信隔离装置的示意性结构框图；

图2是本实用新型实施例提供的一种带有旁路控制的远动通信隔离装置的示意性结构框图；

图3是本实用新型实施例提供的一种带有旁路控制的远动通信隔离装置的示意性外观图；

图4是本实用新型实施例提供的一种带有旁路控制的远动通信隔离装置的示意性结构框图。

具体实施方式

旁路模式（略过模式或ByPass Mode）：泛指在一个系统的正常流程中包含一系列的检测机制，而“旁路模式”就是当某一项或多项的检核机制发生异常，且无法在短期间内排除时，为了使系统能保持继续运作状态而选择绕过这些检测机制的一种作业模式。

远动：即利用通信技术对远端运行设备进行监视和控制的简称。针对电力系统领域，电力系统远动控制技术主要是通过遥测（YC）、遥信（YX）、遥控（YK）和遥调（YT）这四种数据交互形式来保证电力系统内各种运行设备的正常工作，主要通过数据采集技术、信道编码技术和通信传输技术三部分来实现其具体的远动控制。

RTU：即远程终端单元( Remote Terminal Unit，RTU)，是一种针对通信距离较长和工业现场环境恶劣而设计的具有模块化结构的、特殊的计算机测控单元。针对电力系统领域，RTU主要负责遥测（YC）、遥信（YX）、遥控（YK）和遥调（YT）这四种数据的远程数据采集、与数据采集网络通信的工作。

在远动系统中，主要的执行装置是远端测控单元装置（Remote Terminal Unit，RTU），负责对现场信号进行监测和控制。是一种针对通信距离较长和工业现场环境恶劣而设计的具有模块化结构的、特殊的计算机测控单元。针对电力系统领域，RTU主要负责遥测（YC）、遥信（YX）、遥控（YK）和遥调（YT）这四种数据的远程数据采集、与数据采集网络通信的工作。与常用的可编程控制器PLC相比，RTU通常要具有优良的通讯能力和更大的存储容量，适用于更恶劣的温度和湿度环境，但是在运算和编程能力上比较差。由于RTU对环境的适应能力，使得RTU产品在远动系统中得到了大量的应用。

本下面将结合附图，对本实用新型中的技术方案进行描述。

图1是本实施例提供的一种带有旁路控制的远动通信隔离装置，如图1所示，包括：

依次连接的第一网口、第一系统处理单元、第一串口、第二串口、第二系统处理单元和第二网口，所述第一串口和所述第二串口为非网连接。

其中，所述第一网口用于接收规约报文数据并将所述规约报文数据传递到所述第一系统处理单元，所述第一系统处理单元将所述规约报文数据转换为非网络数据，所述非网络数据通过所述第一串口和所述第二串口传递到所述第二系统处理单元，所述第二系统处理单元将所述非网络数据转换为所述规约报文数据，所述第二网口发送将所述第二系统处理单元转换的所述规约报文数据。

旁路模块，只对网络数据中的DL/T634.5104报文进行识别，不对报文进行处理，识别出的报文同样通过网口转发到另一侧的对应设备。

上述处理单元为现有产品。

例如，变电站中的RTU设备通过第一网络接口将DL/T634.5104规约报文数据传入第一系统处理单元，第一系统处理单元通过数据格式转换的方法将规约报文数据变为非网络数据，而后通过所述隔离装置中第一系统处理单元与第二系统处理单元之间的非网连接串口（第一串口和第二串口）进行数据传输。在第二系统处理单元接收到非网数据后，第二系统处理单元通过数据还原的方式将非网数据重现为DL/T634.5104规约报文数据，再通过第二网口将对应数据转发出去。

应理解，DL/T634.5104为传输规约，采用标准传输协议集的IEC60870-5-104网络访问。

图2是本实用新型实施例提供的一种变电站远动通信的隔离装置的示意性结构框图。如图2所示，在一种可能的实现方式中，所述装置还包括：与所述第一处理单元连接的第一内存单元和第一存储单元，与所述第二处理单元连接的第二内存单元和第二存储单元，所述第一内存单元用于辅助所述第一处理单元将所述规约报文数据转换为非网络数据，所述第一存储单元用于存储转换的所述非网络数据，所述第二内存单元用于辅助所述第二处理单元将所述非网络数据转换为规约报文数据，所述第二存储单元用于存储转换的所述规约报文数据。

应理解，图2所示的所述通信隔离装置的其他单元可以参考图1所示，为了避免重复，此处不再赘述。

在一种可能的实现方式中，所述第一网口包括多个网口，所述第一串口包括多个串口，所述第二串口包括多个串口，所述第二网口包括多个网口。

通过所述隔离装置中的多条网络链路和多路串口作为数据冗余加强隔离装置的稳定性。

图3是本实用新型实施例提供的一种变电站远动通信的隔离装置的示意性外观图。如图3所示，所述隔离装置的壳体包括：设于可以后侧的壳体挂耳1、设于壳体前侧的壳体螺丝及接地端口2、设于壳体一侧的主板A系统驱动的两个网络接口孔3、主板A系统的通信指示灯孔4、主板B系统驱动的两个网络接口孔5、主板B系统的通信指示灯孔6、第一电源接口7和第二电源接口8。

所述隔离装置本身除电源、指示灯和串接的网络接口没有其他接口外露，已减少潜在硬件入侵点；所述隔离装置除必要的用于电力规约的通信端口，无任何其他开放端口和服务；已减少潜在软件入侵点。

图4是本实用新型实施例提供的一种变电站远动通信的隔离装置的示意性结构框图。如图4所示，所述隔离装置包括：主板A、主板B、电源A和电源B。其中，主板A可以参考第一系统处理单元理解，主板B可以参考第二系统处理单元理解。

在一种可能的实现方式中，所述隔离装置连接在远程终端装置和电力数据采集网络中的交换机之间。

本实施例中，首先将1U大小的本装置上架机柜，接入双电源。而后将RTU设备主机的远动数据传输口与装置中主板A系统的网口相连接，而RTU设备备机的远动数据传输口与旁路模块中位于主板A侧的网口相连。主板B系统的网口和旁路模块主板B侧的网口则连接电力数据采集网络在变电站中的路由器。接线工作完成后根据两侧设备的网络参数对本装置的双主机系统和旁路模块分别进行参数配置。

主板A系统对应的处理单元将RTU设备输入的网络DL/T634.5104报文处理为串口数据并通过装置内部串口发送至主板B系统，主板B系统将接收到的串口数据通过处理单元转换为原有的网络DL/T634.5104报文，并将网络报文转发至于其相连的路由器，而旁路模块默认处于待命状态，不进行网络数据的转发。一旦装置本身出现投退或故障，双主机系统将会停止运作并自动激活处于待命状态的旁路模块，将一侧接收到的网络报文直接传输至另一侧设备。

本实施例中，串接式透明安装，安装方便，可快速投入、退出，退出后即时恢复原有通信状态；安装时，无需修改系统中所有已有其他相关设备参数；

装置本身除电源、指示灯和串接的网络接口没有其他接口外露，减少潜在的硬件入侵点；双主板+旁路模块设计，主板间的数据传输采用可见的非网隔离连接，安全透明；旁路模块采用数据直通设计，不对输入报文进行处理直接转发。

在装置出现故障或投退时，自动由双主板系统控制的网关模式（forward mode）切换至由旁路模块控制的旁路模式（bypass mode），保证数据传输的正常；

除必要的用于电力规约的通信端口，无任何其他开放端口和服务，减少了潜在的软件入侵点。

因此，普通模式下，变电站中的RTU设备通过网络接口将DL/T634.5104规约数据传入A系统处理单元，处理单元通过数据格式转换的方法将规约报文变为非网络数据，内存辅助处理单元进行转换操作，存储作为缓冲池暂存数据，而后通过装置中A系统与B系统之间的非网连接串口进行数据传输。在B系统处理单元接收到非网数据后，处理单元通过数据还原的方式将非网数据重现为DL/T634.5104规约网络数据，再通过网口将对应数据转发出去。而B系统处理单元接收到的网络数据也使用同样的隔离方式将报文数据传递给对应的RTU设备。

当装置出现故障或投退时，将自动切换至旁路模式。双系统处理单元停止工作同时旁路模块激活，输入的网络数据通过旁路模块进行转发。旁路模块只会对网络数据中的DL/T634.5104报文进行识别，并不会对报文进行处理，识别出的报文同样通过网口转发到另一侧的对应设备。只有装置重新加入投入运行或故障解决后才会重新切换回普通模式，双系统进行网络隔离的功能才会再次开启。

综上所述，本实用新型的串接式透明安装，安装方便，可快速投入、退出，退出后即时恢复原有通信状态；安装时，无需修改系统中所有已有其他相关设备参数。

装置本身除电源、指示灯和串接的网络接口没有其他接口外露，减少潜在的硬件入侵点；

双主板+旁路模块设计，主板间的数据传输采用可见的非网隔离连接，安全透明；旁路模块采用数据直通设计，不对输入报文进行处理直接转发。

在装置出现故障或投退时，自动由双主板系统控制的网关模式（forward mode）切换至由旁路模块控制的旁路模式（bypass mode），保证数据传输的正常。

除必要的用于电力规约的通信端口，无任何其他开放端口和服务，减少了潜在的软件入侵点。

在本实用新型所提供的几个实施例中，应该理解到，所装置可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，所述模块的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。

以上所述，仅为本实用新型的具体实施方式，但本实用新型的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本实用新型揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本实用新型的保护范围之内。因此，本实用新型的保护范围应以所述权利要求的保护范围为准。

Claims (5)

1.一种带有旁路控制的远动通信隔离装置，其特征在于，包括：相互独立的第一系统处理单元、第二系统处理单元，第一系统处理单元、第二系统处理单元均设有若干网口，旁路模块与第一系统处理单元、第二系统处理单元的其中一个网口连接；

第一系统处理单元、第二系统处理单元还设有若干串口，第一系统处理单元、第二系统处理单元的串口连接；

第一系统处理单元网口接收规约报文数据并将所述规约报文数据传递到所述第一系统处理单元，所述第一系统处理单元将所述规约报文数据转换为非网络数据，所述非网络数据通过串口传递到所述第二系统处理单元，所述第二系统处理单元将所述非网络数据转换为所述规约报文数据，第二系统处理单元的网口发送将所述第二系统处理单元转换的所述规约报文数据；

旁路模块，只对网络数据中的DL/T634.5104报文进行识别，不对报文进行处理，识别出的报文同样通过网口转发到另一侧的对应设备。

2.根据权利要求1所述的装置，其特征在于，所述装置还包括：

与所述第一系统处理单元连接的第一内存单元和第一存储单元，与所述第二系统处理单元连接的第二内存单元和第二存储单元，所述第一内存单元用于辅助所述第一系统处理单元将所述规约报文数据转换为非网络数据，所述第一存储单元用于存储转换的所述非网络数据，所述第二内存单元用于辅助所述第二系统处理单元将所述非网络数据转换为规约报文数据，所述第二存储单元用于存储转换的所述规约报文数据。

3.根据权利要求1或2所述的装置，其特征在于，第一系统处理单元、第二系统处理单元设有2个网口和2个串口，串口连接一对作为数据传输，一对作为冗余。

4.根据权利要求3所述的装置，其特征在于，所述隔离装置连接在远程终端装置和电力数据采集网络中的交换机之间。

5.根据权利要求1所述的装置，其特征在于：包括壳体，壳体后侧设有壳体挂耳，壳体前侧设有壳体螺丝及接地端口，壳体前端设有第一主板系统驱动的两个网络接口孔、第一主板系统的通信指示灯孔、第二主板系统驱动的两个网络接口孔、第二主板系统的通信指示灯孔、第一电源接口孔和第二电源接口孔。

Images