[發明專利]隔離保護系統及其執行雙向數據包過濾檢查的方法

有效

• 申請號: 201310023542.6
• 申請日: 2013-01-22
• 公開（公告）號: CN103944865B
• 公開（公告）日: 2018-11-27
• 發明（設計）人: 楊磊;楊劍楠;趙岳云
• 申請（專利權）人: 橫河電機株式會社
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京天昊聯合知識產權代理有限公司 11112
• 代理人: 陳源;張天舒

1.一種隔離保護系統，設置在通信線路中對通信雙方的通信設施進行隔離保護，它包括：

第一保護裝置(10)和第二保護裝置(20)，用于分別與所述通信雙方之一的通信設施連接；

雙向數據傳輸模塊(4)，設置在所述第一保護裝置(10)和所述第二保護裝置(20)之間，用于連接所述第一保護裝置(10)和所述第二保護裝置(20)，而且根據專有通信協議將所述第一保護裝置(10)輸出的數據傳送到所述第二保護裝置(20)，以及將所述第二保護裝置(20)輸出的數據傳送到所述第一保護裝置(10)；其特征在于：

所述第一保護裝置(10)和所述第二保護裝置(20)具有完全獨立的硬件結構并分別運行于獨立的中央處理器(CPU1，CPU2)，其中所述第一保護裝置(10)和所述第二保護裝置(20)的每一個包括：

第一接口(A1，A2)，用于從所連接的通信方的通信設施接收數據流的數據包并將來自另一通信方的數據輸出到所連接的通信設施；

過濾模塊(F1，F2)，用于對從所述第一接口(A1，A2)接收的數據流執行過濾檢查，并輸出符合安全性要求的數據；

第二接口(B1，B2)，用于接收所述的符合安全性要求的數據，并將該符合安全性要求的數據傳送到所述雙向數據傳輸模塊(4)；以及

傳輸通道(C1，C2)，用于將來自所述第二接口(B2，B1)的數據傳送到所述第一接口(A1，A2)，

其中所述過濾模塊(F1，F2)包括分別用于對傳輸的數據流的數據包執行基本防火墻檢查的內置防火墻模塊(K1，K2)和用于執行數據包深度過濾的數據包過濾模塊(S1，S2)，以及

其中所述內置防火墻模塊(K1，K2)對數據流的數據包執行包頭內容檢查，而所述數據包過濾模塊(S1，S2)對數據流的數據包執行包體內容檢查。

2.根據權利要求1所述的隔離保護系統，其中所述的通信方的通信設施是計算機、服務器或其它網絡信息的輸入/輸出裝置。

3.根據權利要求1所述的隔離保護系統，其中所述包頭內容涉及IP地址、MAC地址、協議類型信息、端口信息，而所述包體內容涉及通信目標、通信源、通信目的、通信類型和通信內容。

4.根據權利要求3所述的隔離保護系統，其中所述數據包過濾模塊(S1，S2)中分別內置有支持工業通信協議的過濾列表。

5.根據權利要求4所述的隔離保護系統，其中所述工業通信協議是OPC或者Modbus。

6.采用根據權利要求1所述的隔離保護系統執行雙向數據包過濾檢查的方法，其特征在于包括步驟：

在通信線路中設置具有完全獨立的硬件結構并且分別運行于獨立的中央處理器(CPU1,CPU2)的第一保護裝置(10)和第二保護裝置(20)分別用于通信雙方的通信設施并且根據專有通信協議將所述第一保護裝置(10)輸出的數據傳送到所述第二保護裝置(20)，以及將所述第二保護裝置(20)輸出的數據傳送到所述第一保護裝置(10)；以及

利用設置在第一保護裝置(10)和第二保護裝置(20)中的過濾模塊(F1，F2)對傳輸的數據流的數據包執行過濾檢查，

其中所述的過濾檢查包括：

對傳輸的數據流的數據包執行基本防火墻檢查，以及

對傳輸的數據流的數據包執行數據包深度過濾，

其中，所述對傳輸的數據流的數據包執行基本防火墻檢查包括對數據流的數據包執行包頭內容檢查，以及

所述對傳輸的數據流的數據包執行數據包深度過濾包括對數據流的數據包執行包體內容檢查。

7.根據權利要求6所述的方法，其中所述包頭內容涉及IP地址、MAC地址、協議類型信息、端口信息，而所述包體內容涉及通信目標、通信源、通信目的、通信類型和通信內容。