[發明專利]一種基于工業物聯網的狀態防火墻狀態檢測系統及方法

在審

• 申請號: 201210069358.0
• 申請日: 2012-03-15
• 公開（公告）號: CN103607316A
• 公開（公告）日: 2014-02-26
• 發明（設計）人: 李新;鄒駿宇;季杰;吉峰
• 申請（專利權）人: 無錫信捷電氣股份有限公司
• 主分類號: H04L12/26
• 分類號: H04L12/26;H04L29/06
• 代理公司: 北京中恒高博知識產權代理有限公司 11249
• 代理人: 宋敏

1.一種基于工業物聯網的狀態防火墻狀態檢測系統，其特征在于，包括用于驅動用戶側各應用層程序和/或文件的應用層驅動單元，用于驅動各信息交互端口的感知層驅動單元，用于對工業物聯網的網絡狀態進行檢測與處理的網絡狀態檢測單元，以及用于為網絡狀態檢測單元服務、且與所述網絡狀態檢測單元相匹配的網絡管理數據庫及網絡層驅動單元；所述應用層驅動單元、網絡狀態檢測單元與感知層驅動單元，依次通信連接。

2.根據權利要求1所述的基于工業物聯網的狀態防火墻狀態檢測系統，其特征在于，所述網絡狀態檢測單元，包括分別與應用層驅動單元通信連接的報文過濾模塊與地址轉換模塊，分別與感知層驅動單元通信連接的網關模塊與TCP/IP模塊，以及與網絡管理數據庫通信連接的狀態檢測模塊；

所述報文過濾模塊與網絡管理數據庫連接，并依次與報文過濾模塊、狀態檢測模塊、地址轉換模塊、網關模塊及TCP/IP模塊通信連接；所述TCP/IP模塊，與網絡層驅動單元連接。

3.根據權利要求1或2所述的基于工業物聯網的狀態防火墻狀態檢測系統，其特征在于，所述信息交互端口至少包括令牌網、以太網、USB、Blue?Tooth與WSN中的一種或多種。

4.一種基于工業物聯網的狀態防火墻狀態檢測方法，其特征在于，包括：

a、網關模塊基于預設的連接協議，接收來自感知層的網絡報文，提取報文過濾模塊所需的報文摘要；

b、狀態檢測模塊基于所述報文摘要，確定相應網絡報文的協議類型；

b1、當相應網絡報文的協議類型是連接請求SYN報文時：

報文過濾模塊獲取所述報文摘要，基于預設的匹配規則進行過濾處理；并根據相應的過濾處理結果，選擇將相應的網絡報文傳輸至應用層或丟棄。

5.根據權利要求4所述的基于工業物聯網的狀態防火墻狀態檢測方法，其特征在于，在步驟b中，還包括：

b2、當相應報文的協議類型不是連接請求SYN報文時：狀態檢測模塊基于預建的哈希查找表，生成哈希鍵值，并基于所述哈希鍵值，在預存在網絡管理數據庫內部的狀態檢測表中查詢；

b3、當查詢到相應的狀態表項時，根據所述狀態表項的狀態域記錄，對相應的網絡報文進行放行或丟棄處理；同時，采用動態管理的方式來處理超時狀態表項，并更新所述狀態表項的超時值和報文數量總數。

6.根據權利要求5所述的基于工業物聯網的狀態防火墻狀態檢測方法，其特征在于，在步驟b中，還包括：

b4、當沒有查詢到相應的狀態表項時，報文過濾模塊獲取所述報文摘要，基于預設的匹配規則進行過濾處理；

當相應的過濾處理結果為報文通過匹配規則的過濾處理時，網絡層驅動單元根據相應網絡報文的網絡報文類型，對相應的狀態檢測表進行更新處理。

7.根據權利要求6所述的基于工業物聯網的狀態防火墻狀態檢測方法，其特征在于，在步驟b4中，還包括：

當相應的網絡報文類型為SYN報文，則根據所述網絡報文的相應連接關系，在所述狀態檢測表中創建狀態表項，并設置新狀態表項的超時值和報文數量總數的初始值。

8.根據權利要求4所述的基于工業物聯網的狀態防火墻狀態檢測方法，其特征在于，在步驟a中，所述提取報文過濾模塊所需的報文摘要的操作具體包括：

a1、網關模塊的網關協議，將攔截到的網絡報文中的源地址、源網絡號、目的地址、目的網絡號與協議記錄緩存在報文摘要中；

a2、當所述網絡報文的源地址和目的地址均是內部網絡地址時，則允許將所述網絡報文直接轉發，同時將所述網絡報文的報文摘要從緩存中刪除；

a3、當所述網絡報文的源地址和目的地址均不是內部網絡地址時，網關協議進一步提取所述網絡報文的源設備的訪問授權號；

a4、當提取所得訪問授權號不屬于本網段時，則直接拋棄所述網絡報文；否則，當提取所得訪問授權號屬于本網段時，網關協議將相應的報文摘要提交至網絡層驅動單元；同時，銷毀相應的報文摘要的緩存信息。