[發明專利]一種工業控制系統中工業控制協議的安全防護方法

在審

• 申請號: 201710041572.8
• 申請日: 2017-01-20
• 公開（公告）號: CN106850601A
• 公開（公告）日: 2017-06-13
• 發明（設計）人: 胡浩;何小梅;王晶;陶靖隆;王明華;傅剛;劉青;李志;李遠;楊文勃;侯海波
• 申請（專利權）人: 北京立思辰新技術有限公司;杭州谷逸網絡科技有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L12/26
• 代理公司: 北京國帆知識產權代理事務所(普通合伙)11334
• 代理人: 李增朝

技術領域

本發明涉及工業控制安全領域技術領域，特別涉及一種工業控制系統中工業控制協議的安全防護方法。

背景技術

由于工業控制系統設計之初是一個與外界物理隔離的系統，因此傳統的工業控制協議沒有考慮信息安全和網絡安全的問題。隨著標準網絡和互聯網技術在工業控制系統的廣泛應用，工業控制系統的安全威脅正日益加劇，現有的防火墻技術只能部分解決安全問題，比如訪問控制列表(Access Control List)就不能解決無序數據包的問題；狀態檢測防火墻(SPI)只關心報文的前后關聯性，對于那些合規，有關聯性但對控制設備和執行設備有害的命令并不能阻止；再有深度包解析的防火墻盡管能夠對應用數據包的內容進行解析，但是完全解碼并在應用協議級別分析每個數據包需要額外的處理能力，深度包解析技術隱含著巨大的處理能力的消耗和突出的網絡延時，在典型的工業控制系統對實時性的要求很高，因此使用全方位的深度包解析的應用場景并不普遍，這些外在的防護手段具有明顯的局限性。

發明內容

為此，本發明提供了一種工業控制系統中工業控制協議的安全防護方法，用于解決在控制系統中的控制設備在外界干擾或自身出現問題時發送不符合正常操作流程的操作指令，導致控制設備或執行設備功能喪失所造成的危險等問題。

為實現本發明的目的，本發明所采用的技術方案如下：

1.當配置控制設備時，在工業控制協議棧中對控制設備支持的所有工業控制協議的控制指令進行安全選項的預定義，預定義的內容是根據正常的操作流程，控制設備功能要求和控制設備安全對控制指令執行的限制，現場執行設備的功能要求和設備安全對控制指令執行的限制。

2.當一個控制系統中的上位機發送一條控制指令到控制設備時，控制設備首先會進行工業控制協議一致性檢查，當滿足協議一致性要求之后，控制設備會根據控制指令安全選項預先設置決定是否執行該條控制指令，若該控制指令不符合安全設置，控制設備放棄執行該控制指令，反之，執行該控制指令。

本發明的有益效果：本發明能夠使工業控制協議在接收到外界錯誤指令的時候保證控制設備自身和控制設備所控制的執行設備的安全；這樣既可以避免內部人員的誤操作，也可以有效阻止外部各種針對控制設備及執行設備為目標的攻擊行為，提高工業控制系統的安全防護效果。

附圖說明

圖1是本發明在工業控制系統中工業控制協議安全方法實現方法示意圖；

圖2是具有代表性的控制設備、人機界面和上位機組成的示意圖；

圖3是具有代表性的控制設備實現控制指令處理的流程圖；

圖4是本發明在控制設備實現控制指令安全防護方法的流程圖；

圖5是本發明在人機界面中配置控制指令列表的示意圖；

圖6是本發明安全防護方法流程示意圖。

附圖標記：

1-人機界面，2-上位機，

3-控制設備，4-執行設備，

100-工業控制環境，200-通信接口，

202-處理器，204-用戶界面，

300-工業控制協議，302-應用程序接口，

304-輸入信息，306-輸出控制指令。

具體實施方式

下面結合附圖對本發明的較佳實施例進行詳細闡述，參考標號是指本發明中的組件、技術，以便本發明的優點和特征在適合的環境下實現能更易于被理解。下面的描述是對本發明的具體實施例的描述，并且與權利要求相關的其它沒有明確說明的具體實現也屬于本發明保護的范圍。

本發明提出了一個通過與預定義的控制流程行為模式比較的方法來決定是否執行/告警/阻斷控制指令的安全防護方法，區別于網絡防火墻的安全防護方法，并且這種方法還有效的解決了設備的處理能力不足和網絡延時造成的影響。

在圖1表示工業控制系統環境100中，上位機2與控制設備3之間通過工業控制協議300進行通信。控制設備3和人機界面1之間存在一個應用程序接口302，使用者通過人機界面1和應用程序接口302對工業控制協議300中的每個控制指令安全操作進行設置，控制設備3根據應用程序接口302中的設置決定是否執行從工業控制協議300中接收到的控制指令，執行設備4通過控制設備3的輸出控制指令306受控于上位機2，同時執行設備4通過控制設備3的輸入信息304反饋現場測量信息，比如溫度、壓力、轉速等等。