[發(fā)明專利]一種隱藏控制系統(tǒng)IP地址的安全數(shù)據(jù)采集裝置及采集方法

在審

• 申請(qǐng)?zhí)枺?/td>: 201710124795.0
• 申請(qǐng)日: 2017-03-03
• 公開(kāi)（公告）號(hào): CN106843058A
• 公開(kāi)（公告）日: 2017-06-13
• 發(fā)明（設(shè)計(jì)）人: 朱雨;陳夕松;方鑫;王杰;馮攀峰
• 申請(qǐng)（專利權(quán)）人: 南京富島信息工程有限公司
• 主分類號(hào): G05B19/042
• 分類號(hào): G05B19/042
• 代理公司: 南京天華專利代理有限責(zé)任公司32218
• 代理人: 劉暢,夏平

技術(shù)領(lǐng)域

本發(fā)明涉及控制系統(tǒng)與管理系統(tǒng)間的數(shù)據(jù)安全交換，實(shí)現(xiàn)控制系統(tǒng)與管理系統(tǒng)間的物理隔離，具體為一種隱藏控制系統(tǒng)IP地址的安全數(shù)據(jù)采集裝置及采集方法。

背景技術(shù)

工業(yè)化與信息化的發(fā)展實(shí)現(xiàn)了傳統(tǒng)計(jì)算機(jī)網(wǎng)絡(luò)與工業(yè)控制網(wǎng)絡(luò)的緊密融合，越來(lái)越多的企業(yè)管理信息系統(tǒng)，如石油、化工等典型流程工業(yè)的生產(chǎn)執(zhí)行系統(tǒng)(MES)，采用國(guó)際標(biāo)準(zhǔn)的OPC協(xié)議從集散控制系統(tǒng)(DCS)采集實(shí)時(shí)數(shù)據(jù)，進(jìn)而完成優(yōu)化控制，然而開(kāi)放性在為用戶帶來(lái)效益的同時(shí)，由此引發(fā)的工控網(wǎng)絡(luò)安全風(fēng)險(xiǎn)卻大大增加。

當(dāng)前，DCS系統(tǒng)也都采用與管理系統(tǒng)相同的技術(shù)，如X86主板、Windows操作系統(tǒng)、TCP/IP通信等。而目前的絕大部分網(wǎng)絡(luò)攻擊都是基于TCP/IP協(xié)議的，因此控制系統(tǒng)所暴露的IP地址也逐漸被網(wǎng)絡(luò)攻擊所利用。特別是DCS在與MES通訊時(shí)，必須提供OPC接口，而OPC協(xié)議是完全基于TCP/IP協(xié)議的，處理不善極易暴露OPC服務(wù)器端的IP地址，即DCS的IP地址。這導(dǎo)致近年來(lái)控制系統(tǒng)的網(wǎng)絡(luò)攻擊問(wèn)題日益突出，安全事件頻發(fā)。

目前，普通的數(shù)據(jù)采集裝置一般還是采用與管理網(wǎng)相似的技術(shù)，如X86主板、Windows操作系統(tǒng)、IP方式通信等。而這樣的軟硬件平臺(tái)與管理網(wǎng)絡(luò)具有相同的架構(gòu)，還不能從根本上實(shí)現(xiàn)DCS與MES間的物理隔離，故給控制系統(tǒng)的網(wǎng)絡(luò)安全帶來(lái)隱患。

發(fā)明內(nèi)容

為解決現(xiàn)有技術(shù)存在的問(wèn)題，本發(fā)明公開(kāi)了一種隱藏控制系統(tǒng)IP地址的安全數(shù)據(jù)采集裝置。該裝置采用無(wú)IP地址的通訊方式，隔離控制系統(tǒng)與管理系統(tǒng)，實(shí)現(xiàn)控制系統(tǒng)安全防護(hù)，其網(wǎng)絡(luò)防護(hù)能力顯著提高，大幅降低外網(wǎng)利用IP地址對(duì)控制系統(tǒng)的攻擊。

該發(fā)明通過(guò)以下技術(shù)方案實(shí)現(xiàn)，一種隱藏控制系統(tǒng)IP地址的安全數(shù)據(jù)采集裝置，該裝置包括X86主機(jī)和ARM主機(jī)，兩主機(jī)之間采用無(wú)IP地址通訊，實(shí)現(xiàn)控制系統(tǒng)DCS與管理系統(tǒng)MES間的物理隔離。

優(yōu)選的，所述ARM主機(jī)由數(shù)據(jù)采集模塊、數(shù)據(jù)解析模塊以及第一數(shù)據(jù)通訊接口順次構(gòu)成，數(shù)據(jù)采集模塊用于采集DCS的數(shù)據(jù)；X86主機(jī)由第二數(shù)據(jù)通訊接口、數(shù)據(jù)緩存模塊、數(shù)據(jù)處理模塊、數(shù)據(jù)封裝模塊以及數(shù)據(jù)發(fā)布模塊順次構(gòu)成，第二數(shù)據(jù)通訊接口用于同第一數(shù)據(jù)通訊接口進(jìn)行數(shù)據(jù)傳輸，數(shù)據(jù)發(fā)布模塊用于向MES發(fā)布數(shù)據(jù)。

更優(yōu)的，所述的第一數(shù)據(jù)通訊接口與第二數(shù)據(jù)通訊接口間的通訊能夠隱藏控制系統(tǒng)DCS的IP地址。

更優(yōu)的，所述數(shù)據(jù)通訊包括有線方式和無(wú)線方式，其中有線方式為USB和串口；無(wú)線方式為藍(lán)牙4.0。

更優(yōu)的，所述USB為正常通訊方式，串口和藍(lán)牙4.0作為輔助應(yīng)急通訊方式。

一種隱藏控制系統(tǒng)IP地址的安全數(shù)據(jù)的采集方法，工作流程如下：

(1)啟動(dòng)數(shù)據(jù)采集模塊；

(2)數(shù)據(jù)采集模塊以O(shè)PC報(bào)文形式從DCS中采集數(shù)據(jù)；

(3)數(shù)據(jù)解析模塊解析出OPC報(bào)文data區(qū)數(shù)據(jù)；

(4)第一數(shù)據(jù)通訊接口通過(guò)物理層將data區(qū)數(shù)據(jù)傳遞到第二數(shù)據(jù)通訊接口；

(5)數(shù)據(jù)緩存模塊存儲(chǔ)data區(qū)數(shù)據(jù)；

(6)數(shù)據(jù)處理模塊根據(jù)白名單規(guī)則對(duì)data區(qū)數(shù)據(jù)進(jìn)行深度過(guò)濾；

(7)如果數(shù)據(jù)合法且已發(fā)生變化，則將過(guò)濾后的data區(qū)數(shù)據(jù)進(jìn)一步處理；否則跳轉(zhuǎn)到步驟(10)；

(8)數(shù)據(jù)封裝模塊將過(guò)濾完成的data區(qū)數(shù)據(jù)封裝成OPC報(bào)文；

(9)數(shù)據(jù)發(fā)布模塊通過(guò)OPC報(bào)文對(duì)外發(fā)布數(shù)據(jù)；

(10)判斷是否繼續(xù)采集數(shù)據(jù)，如果是，則跳轉(zhuǎn)到步驟(2)；否則程序結(jié)束。

優(yōu)選的，所述步驟(4)中數(shù)據(jù)通訊時(shí)，對(duì)每一個(gè)信息包進(jìn)行如下操作：首先，X86主機(jī)會(huì)發(fā)送一個(gè)IN令牌包，請(qǐng)求讀數(shù)據(jù)；然后，ARM主機(jī)將數(shù)據(jù)通過(guò)DATA1/DATA0數(shù)據(jù)包回傳給X86主機(jī)；最后，X86主機(jī)將以下列方式加以響應(yīng)：當(dāng)數(shù)據(jù)已經(jīng)正確接收時(shí)，X86主機(jī)發(fā)送ACK令牌包；當(dāng)X86主機(jī)正在忙碌時(shí)，發(fā)出NAK握手包；當(dāng)發(fā)生錯(cuò)誤時(shí)，X86主機(jī)發(fā)出STALL握手包。

優(yōu)選的，所述步驟(4)中所述數(shù)據(jù)通訊包括有線方式和無(wú)線方式，其中有線方式為USB和串口；無(wú)線方式為藍(lán)牙4.0；其中：

藍(lán)牙地址分為三個(gè)部分：24位地址低端部分LAP、16位非重要地址部分NAP以及8位地址高端部分UAP，LAP和UAP是生產(chǎn)廠商的唯一標(biāo)識(shí)碼，NAP由廠商內(nèi)部自由分配；

USB包的基本格式為：同步字段、PID字段、數(shù)據(jù)字段、CRC字段和包結(jié)尾字段。