[發明專利]OPC安全代理系統及其代理方法

無效

• 申請號: 200710173482.0
• 申請日: 2007-12-28
• 公開（公告）號: CN101247391A
• 公開（公告）日: 2008-08-20
• 發明（設計）人: 魏國強;何鵬飛;何光營
• 申請（專利權）人: 上海電力學院
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 上海申匯專利代理有限公司
• 代理人: 吳寶根

技術領域

本發明涉及信息系統安全技術，特別是涉及一種能滿足較高的安全性隔離要求的OPC安全代理系統及其代理方法的技術。

背景技術

OPC規范概述：

在電力系統控制領域，各種現場總線控制系統正在日益發揮著重要的作用。然而，由于可用于電力系統控制的現場總線系統種類繁多，其訪問方式與接口均各不相同，致使電力控制各應用系統日益復雜，任何應用需要訪問任一種現場總線系統都必須要按照該現場總線系統的規范開發一整套底層的驅動及通信模塊，其控制模式如圖1所示。

對這樣的控制方式，各控制系統的軟硬件升級與維護都非常不便。為此，OPC(OLE?for?Process?Control)基金會提出了OPC標準體系，該標準體系基于Microsoft的OLE/COM/DCOM技術為基礎，采用客戶/服務器模式，基于Windows的客戶端可以通過標準的OPC接口訪問位于各控制系統的OPC服務器接口。采用這種模式，各現場控制系統廠商只需要開發一個標準的OPC服務器接口，即可屏蔽各種復雜的控制系統底層差異，為客戶端提供統一的服務接口，而客戶端通過標準的OPC接口就可以實現對異種控制系統的訪問。OPC提供了一系列的規范，在具體的實現過程中，用戶可以根據需要使用相應的規范。其中數據訪問規范提供給用戶訪問實時過程數據的方法；報警和事件規范提供了一種由服務器程序將現場的事件或報警通知客戶程序的機制；歷史數據存取規范用來提供用戶存儲的過程數據存檔文件、數據庫或遠程終端設備中的歷史以及分析這些歷史過程數據的方法。OPC規范很好的解決了客戶端對異種控制系統的訪問，在電力系統得到了廣泛的應用。其控制訪問模式如圖2所示。

在電力生產系統環境中，現場總線控制系統(OPC服務器端)一般位于生產內網中，有很高的安全性要求，而部分OPC客戶端系統則可能需要位于生產管理層外網，該網可能與外網相通。現有的OPC標準體系對跨接在兩個安全性要求不同的網間運行并沒有完整的安全性措施，此類應用將產生很大的安全性隱患。

二、現有技術解決方案及缺陷

為解決在安全性要求不同的內外網間在保證安全的情況下保持適當的信息互通要求，目前的常規做法是使用防火墻或隔離網閘。通用的防火墻只實現對TCP連接會話的控制，不提供強安全性的用戶認證手段，一般只用于兩個不同網絡邊界之間的訪問控制。隔離網閘可以切斷內外網的TCP/IP連接，提供很強的安全性隔離，但目前的隔離網閘都只提供諸如Web訪問、FTP文件傳輸、電子郵件收發等通用的網絡服務，一般少有提供強安全用戶認證手段，目前尚未見到有支持OPC協議的隔離網閘。

發明內容

針對上述現有技術中存在的缺陷，本發明所要解決的技術問題是提供一種能保持生產系統內外網間各種授權OPC透明訪問的同時，滿足較高的安全性隔離要求的，具有安全網關功能的OPC安全代理系統及其代理方法。

為了解決上述技術問題，本發明所提供的一種OPC安全代理系統，其特征在于，包括OPC安全代理服務器、至少一個分別連接OPC安全代理服務器的OPC客戶端和至少一個分別連接OPC安全代理服務器的OPC服務器；其中作為安全網關，OPC安全代理服務器跨越用戶內部具有不同安全性要求的內外網；是整個系統的關鍵；該安全代理服務器采用Linux操作系統平臺并經過嚴格裁剪和重新編譯，以確保系統不存在已知的安全漏洞；所述安全代理服務器包括互相連接的基于USBkey的X.509身份認證及密鑰交換模塊、OPC請求權限驗證及代理轉發模塊、數據加密模塊等。

進一步的，所述安全代理服務器的基于USBkey的X.509身份認證及密鑰交換模塊設有一個符合X.509標準的CA及目錄服務器用以簽發和發布各使用者的數字證書；系統中每個用戶使用基于USB接口的密鑰載體USBkey產生和保存個人的私人密鑰以及數字證書，在需要使用用戶的私人密鑰進行身份鑒別和簽名時，整個過程在USBkey內完成。其私人密鑰一旦產生，就不可讀、不可拆解、永不輸出的保存在USBkey中，從物理上保證了私人密鑰的安全，而USBkey則由PIN碼保護。

進一步的，所述OPC安全代理系統使用X.509建議的三向鑒別實現用戶和安全代理服務器之間的身份鑒別和會話密鑰交換。