[發(fā)明專利]一種基于隧道加解密的工業(yè)控制系統(tǒng)通信方法及系統(tǒng)

有效

• 申請?zhí)枺?/td>: 202110365552.2
• 申請日: 2021-04-06
• 公開（公告）號: CN112731897B
• 公開（公告）日: 2021-06-22
• 發(fā)明（設(shè)計(jì)）人: 褚健;章維;余夢達(dá);馬納;張高達(dá)
• 申請（專利權(quán)）人: 浙江中控技術(shù)股份有限公司
• 主分類號: H04L9/08
• 分類號: H04L9/08
• 代理公司: 北京集佳知識產(chǎn)權(quán)代理有限公司 11227
• 代理人: 張建

本公開提供的一種基于隧道加解密的工業(yè)控制系統(tǒng)通信方法及系統(tǒng)，通過對客戶端設(shè)備透明的國密加解密隧道，使用處于有效期之內(nèi)的第一通訊密鑰和國密算法完成客戶端設(shè)備和目標(biāo)控制設(shè)備之間的加密通信，其中，第一通訊密鑰由國密加解密隧道與目標(biāo)控制設(shè)備通過身份識別和密鑰協(xié)商確定。本公開基于透明的國密加解密隧道完成客戶端設(shè)備與目標(biāo)控制設(shè)備的加密通信，以代理服務(wù)的形式完成對客戶端設(shè)備發(fā)送和接收的數(shù)據(jù)的加密解密的過程，規(guī)避了需要對客戶端設(shè)備中的相關(guān)工控軟件進(jìn)行適應(yīng)性改造的兼容性問題，容易在多樣化的工業(yè)控制系統(tǒng)之間實(shí)現(xiàn)安全的通信。

技術(shù)領(lǐng)域

本發(fā)明涉及系統(tǒng)安全技術(shù)領(lǐng)域，尤其涉及一種基于隧道加解密的工業(yè)控制系統(tǒng)通信方法及系統(tǒng)。

背景技術(shù)

隨著工業(yè)4.0與數(shù)字工廠進(jìn)程的不斷推進(jìn)，對工業(yè)控制系統(tǒng)中的通信安全防護(hù)不容忽視。現(xiàn)有工業(yè)控制系統(tǒng)由于缺乏有效的安全傳輸手段，通信數(shù)據(jù)容易被劫持與偽造，存在巨大的安全風(fēng)險。

同時，由于不同的工業(yè)控制系統(tǒng)在實(shí)際生產(chǎn)應(yīng)用中的通信內(nèi)容和實(shí)現(xiàn)機(jī)制存在差異，因此，如何在多樣化的工業(yè)控制系統(tǒng)之間實(shí)現(xiàn)通信過程的安全，成為本領(lǐng)域技術(shù)人員急需解決的技術(shù)問題。

發(fā)明內(nèi)容

鑒于上述問題，本發(fā)明提供一種克服上述問題或者至少部分地解決上述問題的一種基于隧道加解密的工業(yè)控制系統(tǒng)通信方法及系統(tǒng)，技術(shù)方案如下：

一種基于隧道加解密的工業(yè)控制系統(tǒng)通信方法，包括：

在客戶端設(shè)備與目標(biāo)控制設(shè)備之間通過國密加解密隧道進(jìn)行通信的起始階段，所述國密加解密隧道獲得所述客戶端設(shè)備發(fā)送的請求數(shù)據(jù)包，其中，所述請求數(shù)據(jù)包攜帶有所述目標(biāo)控制設(shè)備的設(shè)備標(biāo)識和目標(biāo)工控協(xié)議，所述國密加解密隧道對所述客戶端設(shè)備透明；

所述國密加解密隧道根據(jù)所述設(shè)備標(biāo)識和所述目標(biāo)工控協(xié)議，確定與所述請求數(shù)據(jù)包匹配的隧道加密策略；

所述國密加解密隧道根據(jù)所述隧道加密策略，在加密通訊數(shù)據(jù)庫中查詢與所述目標(biāo)控制設(shè)備匹配的目標(biāo)密鑰信息；

所述國密加解密隧道確定所述目標(biāo)密鑰信息中是否存在處于有效期之內(nèi)的第一通訊密鑰，其中，該第一通訊密鑰由所述國密加解密隧道與所述目標(biāo)控制設(shè)備通過身份識別和密鑰協(xié)商確定；

所述國密加解密隧道在所述目標(biāo)密鑰信息中存在處于有效期之內(nèi)的第一通訊密鑰的情況下，根據(jù)該第一通訊密鑰和國密算法對所述請求數(shù)據(jù)包進(jìn)行加密獲得第一加密數(shù)據(jù)包；

所述國密加解密隧道將所述第一加密數(shù)據(jù)包發(fā)送至所述目標(biāo)控制設(shè)備；

所述目標(biāo)控制設(shè)備根據(jù)該第一通訊密鑰對所述第一加密數(shù)據(jù)包進(jìn)行解密獲得所述請求數(shù)據(jù)包；

所述目標(biāo)控制設(shè)備對所述請求數(shù)據(jù)包作出響應(yīng)，獲得響應(yīng)數(shù)據(jù)包；

所述目標(biāo)控制設(shè)備根據(jù)該第一通訊密鑰和所述國密算法對所述響應(yīng)數(shù)據(jù)包進(jìn)行加密獲得第二加密數(shù)據(jù)包；

所述目標(biāo)控制設(shè)備將所述第二加密數(shù)據(jù)包發(fā)送至所述國密加解密隧道；

所述國密加解密隧道根據(jù)該第一通訊密鑰對所述第二加密數(shù)據(jù)包進(jìn)行解密，獲得所述響應(yīng)數(shù)據(jù)包并將所述響應(yīng)數(shù)據(jù)包發(fā)送至所述客戶端設(shè)備。

可選的，所述方法還包括：

所述國密加解密隧道在所述目標(biāo)密鑰信息中存在處于有效期之內(nèi)的第一通訊密鑰的情況下，將所述請求數(shù)據(jù)包中的目的信息與所述隧道加密策略中的協(xié)議轉(zhuǎn)換策略進(jìn)行匹配，若匹配成功，則所述國密加解密隧道根據(jù)所述協(xié)議轉(zhuǎn)換策略對所述請求數(shù)據(jù)包進(jìn)行協(xié)議轉(zhuǎn)換操作。

可選的，所述方法還包括：