[發(fā)明專利]檢查在工業(yè)自動化系統(tǒng)內(nèi)傳輸?shù)臄?shù)據(jù)報的方法和自動化和/或通信設(shè)備

有效

• 申請?zhí)枺?/td>: 201880056613.3
• 申請日: 2018-08-27
• 公開（公告）號: CN111052705B
• 公開（公告）日: 2022-04-08
• 發(fā)明（設(shè)計）人: 沃爾夫?qū)な╉f林
• 申請（專利權(quán)）人: 西門子股份公司
• 主分類號: H04L9/40
• 分類號: H04L9/40;H04L12/46;G06F9/455;G05B19/418;H04L67/12
• 代理公司: 北京康信知識產(chǎn)權(quán)代理有限責(zé)任公司 11240
• 代理人: 李海霞

1.一種用于檢查在工業(yè)自動化系統(tǒng)內(nèi)傳輸?shù)臄?shù)據(jù)報的方法，其中，

-所述自動化系統(tǒng)包括多個自動化單元(101-104)，所述自動化單元經(jīng)由工業(yè)通信網(wǎng)絡(luò)(200)互相連接，并且所述自動化單元各自包括防火墻接口(111、121、131、141)和多個自動化設(shè)備；

-為了所述檢查將待檢查的數(shù)據(jù)報從所述自動化單元(101-104)經(jīng)由相應(yīng)的所述防火墻接口(111、121、131、141)傳輸?shù)脚c所述工業(yè)通信網(wǎng)絡(luò)(200)至少間接連接的防火墻系統(tǒng)(301)，并且在所述防火墻系統(tǒng)處基于規(guī)則檢查所述待檢查的數(shù)據(jù)報；

-所述防火墻系統(tǒng)(301)由至少一個虛擬機(jī)形成，在包括多個計算機(jī)單元的數(shù)據(jù)處理系統(tǒng)(300)內(nèi)提供所述虛擬機(jī)；

其特征在于，

-為了傳輸所述待檢查的數(shù)據(jù)報，分別在相應(yīng)的所述防火墻接口(111、121、131、141)與所述防火墻系統(tǒng)(301)之間建立數(shù)據(jù)鏈路層通道(311-314)；

-在相應(yīng)的所述數(shù)據(jù)鏈路層通道(311-314)內(nèi)不僅傳輸所述待檢查的數(shù)據(jù)報還至少傳輸被成功檢查的數(shù)據(jù)報；

-將在所述數(shù)據(jù)鏈路層通道(311-314)內(nèi)傳輸?shù)臄?shù)據(jù)報分別封裝成通道數(shù)據(jù)報并且經(jīng)由傳輸層連接在相應(yīng)的所述防火墻接口(111、121、131、141)與所述防火墻系統(tǒng)(301)之間傳輸，所述通道數(shù)據(jù)報除了包括相應(yīng)的數(shù)據(jù)報之外還包括網(wǎng)絡(luò)層報頭和傳輸層報頭，

其中，所述防火墻系統(tǒng)(301)在規(guī)定的安全規(guī)則的基礎(chǔ)上檢查由所述自動化單元(101-104)的所述防火墻接口(111、121、131、141)傳輸?shù)臄?shù)據(jù)報，將被成功檢查的數(shù)據(jù)報回傳至相應(yīng)的所述防火墻接口(111、121、131、141)或目標(biāo)自動化單元的防火墻接口，并且丟棄不符合所述規(guī)定的安全規(guī)則的數(shù)據(jù)報。

2.根據(jù)權(quán)利要求1所述的方法，其中，將所述防火墻接口(111、121、131、141)分別集成在相應(yīng)的所述自動化單元的控制器或路由器中。

3.根據(jù)權(quán)利要求1或2所述的方法，其中，所述工業(yè)通信網(wǎng)絡(luò)(200)是第一子網(wǎng)，所述第一子網(wǎng)被保護(hù)以防止來自基于IP的第二子網(wǎng)(400)的訪問，并且所述第一子網(wǎng)經(jīng)由路由器與所述第二子網(wǎng)連接。

4.根據(jù)權(quán)利要求3所述的方法，其中，將提供所述虛擬機(jī)的所述數(shù)據(jù)處理系統(tǒng)(300)與所述第二子網(wǎng)(400)連接，所述虛擬機(jī)形成所述防火墻系統(tǒng)(301)。

5.根據(jù)權(quán)利要求1或2所述的方法，其中，將所述防火墻接口(111、121、131、141)分別設(shè)計成冗余的并且根據(jù)虛擬路由器冗余協(xié)議與所述防火墻系統(tǒng)(301)連接。

6.根據(jù)權(quán)利要求1或2所述的方法，其中，將所述自動化單元(101-104)分別根據(jù)快速生成樹協(xié)議、高可用性冗余協(xié)議或介質(zhì)冗余協(xié)議與所述工業(yè)通信網(wǎng)絡(luò)(200)冗余地連接。

7.根據(jù)權(quán)利要求1或2所述的方法，其中，在所述數(shù)據(jù)鏈路層通道(311-314)內(nèi)分別以加密形式傳輸數(shù)據(jù)報。

8.根據(jù)權(quán)利要求1或2所述的方法，其中，在所述數(shù)據(jù)鏈路層通道(311-314)內(nèi)，分別經(jīng)由不被保護(hù)的傳輸層連接在相應(yīng)的所述防火墻接口(111、121、131、141)與所述防火墻系統(tǒng)(301)之間傳輸數(shù)據(jù)報。

9.根據(jù)權(quán)利要求8所述的方法，其中，在所述數(shù)據(jù)鏈路層通道(311-314)內(nèi)，分別根據(jù)用戶數(shù)據(jù)報協(xié)議在相應(yīng)的所述防火墻接口(111、121、131、141)與所述防火墻系統(tǒng)(301)之間傳輸數(shù)據(jù)報。

10.根據(jù)權(quán)利要求1或2所述的方法，其中，根據(jù)IETF RFC 7348建立在相應(yīng)的所述防火墻接口(111、121、131、141)與所述防火墻系統(tǒng)(301)之間的所述數(shù)據(jù)鏈路層通道(311-314)。

11.一種用于執(zhí)行根據(jù)權(quán)利要求1至10中任一項(xiàng)所述的方法的工業(yè)自動化系統(tǒng)的自動化和/或通信設(shè)備，其中，

-所述自動化和/或通信設(shè)備包括防火墻接口(111、121、131、141)，并且所述自動化和/或通信設(shè)備被分配給所述自動化系統(tǒng)的包括多個自動化設(shè)備的自動化單元(101-104)，其中，所述自動化單元與工業(yè)通信網(wǎng)絡(luò)(200)連接；

-所述自動化和/或通信設(shè)備被設(shè)計和配置用于，為了檢查而將待檢查的數(shù)據(jù)報從所述自動化單元(101-104)經(jīng)由所述防火墻接口(111、121、131、141)傳輸?shù)脚c所述工業(yè)通信網(wǎng)絡(luò)(200)至少間接連接的防火墻系統(tǒng)(301)；

其特征在于，

-所述自動化和/或通信設(shè)備被設(shè)計和配置用于，為了傳輸所述待檢查的數(shù)據(jù)報而在所述防火墻接口(111、121、131、141)與所述防火墻系統(tǒng)(301)之間建立數(shù)據(jù)鏈路層通道(311-314)；

-所述自動化和/或通信設(shè)備被設(shè)計和配置用于，在所述數(shù)據(jù)鏈路層通道(311-314)內(nèi)不僅傳輸所述待檢查的數(shù)據(jù)報還至少傳輸被成功檢查的數(shù)據(jù)報；

-所述自動化和/或通信設(shè)備被設(shè)計和配置用于，將在所述數(shù)據(jù)鏈路層通道(311-314)內(nèi)傳輸?shù)臄?shù)據(jù)報封裝成通道數(shù)據(jù)報并且經(jīng)由傳輸層連接在所述防火墻接口(111、121、131、141)與所述防火墻系統(tǒng)(301)之間傳輸，所述通道數(shù)據(jù)報除了包括相應(yīng)的數(shù)據(jù)報之外還包括網(wǎng)絡(luò)層報頭和傳輸層報頭，

其中，所述防火墻系統(tǒng)(301)在規(guī)定的安全規(guī)則的基礎(chǔ)上檢查由所述自動化單元(101-104)的所述防火墻接口(111、121、131、141)傳輸?shù)臄?shù)據(jù)報，將被成功檢查的數(shù)據(jù)報回傳至相應(yīng)的所述防火墻接口(111、121、131、141)或目標(biāo)自動化單元的防火墻接口，并且丟棄不符合所述規(guī)定的安全規(guī)則的數(shù)據(jù)報。