本發(fā)明涉及工業(yè)以太網(wǎng)與信息安全領(lǐng)域，特別是PROFINET工業(yè)以太網(wǎng)的安全隔離領(lǐng)域。

背景技術(shù)：
：

隨著工業(yè)通信技術(shù)應(yīng)用日益廣泛，實(shí)踐中，工業(yè)控制系統(tǒng)面臨著日益突出的安全威脅問(wèn)題。過(guò)去對(duì)工業(yè)控制系統(tǒng)的安全考慮較少，因?yàn)楣I(yè)控制系統(tǒng)的通信網(wǎng)絡(luò)是專用網(wǎng)絡(luò)，普遍認(rèn)為很難對(duì)工業(yè)控制系統(tǒng)造成安全威脅。但目前的技術(shù)發(fā)展趨勢(shì)是：工業(yè)企業(yè)管控一體化和智能化，即工業(yè)企業(yè)的管理不在局限于上層信息交互，而是頻繁獲取底層生產(chǎn)制造系統(tǒng)的數(shù)據(jù)，甚至在有些場(chǎng)合下會(huì)直接與底層控制系統(tǒng)進(jìn)行交互。最近國(guó)內(nèi)外發(fā)生的多起由于安全導(dǎo)致的工業(yè)控制系統(tǒng)事故已引起國(guó)家相關(guān)部委高度重視，已充分認(rèn)識(shí)到加強(qiáng)工業(yè)控制系統(tǒng)信息安全管理的重要性和緊迫性，并對(duì)重點(diǎn)領(lǐng)域工業(yè)控制系統(tǒng)提出了信息安全管理要求。

近期在國(guó)內(nèi)外發(fā)生的多起由于信息安全原因造成的工業(yè)控制系統(tǒng)事故，引起了國(guó)家相關(guān)部門的高度重視，在工信部協(xié)[2011]451號(hào)文件《關(guān)于加強(qiáng)工業(yè)控制系統(tǒng)信息安全管理的通知》，明確規(guī)定了重點(diǎn)領(lǐng)域工業(yè)控制系統(tǒng)信息安全管理要求，包括：連接管理要求、組網(wǎng)管理要求、配置管理要求、數(shù)據(jù)管理要求等。而且電力行業(yè)、石化行業(yè)都已出臺(tái)或醞釀出臺(tái)相關(guān)針對(duì)本行業(yè)的控制系統(tǒng)安全要求。這對(duì)于國(guó)內(nèi)的工業(yè)控制設(shè)備及系統(tǒng)制造商提供了機(jī)遇和挑戰(zhàn)。但目前國(guó)內(nèi)工業(yè)控制設(shè)備及系統(tǒng)制造商在工業(yè)控制系統(tǒng)的安全技術(shù)研發(fā)投入嚴(yán)重不足，而且國(guó)內(nèi)也沒(méi)有相關(guān)的技術(shù)和產(chǎn)品。本發(fā)明的確立適時(shí)地填補(bǔ)了國(guó)內(nèi)在工業(yè)以太網(wǎng)安全技術(shù)和產(chǎn)品的空白，將為行業(yè)提供急需的工業(yè)控制系統(tǒng)的安全解決方案，并帶動(dòng)國(guó)內(nèi)企業(yè)加強(qiáng)工業(yè)控制系統(tǒng)的安全技術(shù)研究。

對(duì)于國(guó)內(nèi)的自動(dòng)化設(shè)備及系統(tǒng)制造商，面臨來(lái)自國(guó)外企業(yè)的巨大競(jìng)爭(zhēng)壓力。國(guó)內(nèi)企業(yè)與國(guó)外公司的差距主要體現(xiàn)在系統(tǒng)級(jí)產(chǎn)品的技術(shù)水平，如：與整個(gè)生產(chǎn)和管理系統(tǒng)的信息共享、系統(tǒng)的診斷和管理功能、系統(tǒng)可靠性及安全性。提高系統(tǒng)診斷和管理功能，以及系統(tǒng)安全性都需構(gòu)建系統(tǒng)級(jí)的通信網(wǎng)絡(luò)。相比國(guó)外公司，國(guó)內(nèi)企業(yè)工業(yè)通信的研發(fā)能力較弱，但國(guó)內(nèi)企業(yè)對(duì)工業(yè)通信技術(shù)的研發(fā)投入明顯加大，這可由國(guó)內(nèi)企業(yè)生產(chǎn)的產(chǎn)品每年通過(guò)工業(yè)通信認(rèn)證的數(shù)量得到驗(yàn)證。從目前情況判斷，工業(yè)通信的安全技術(shù)必將是工業(yè)自動(dòng)化技術(shù)的下一個(gè)熱點(diǎn)技術(shù)，國(guó)外對(duì)工業(yè)通信的安全技術(shù)也處在起步階段，與國(guó)內(nèi)的研發(fā)情況大致相當(dāng)。本發(fā)明技術(shù)方向?yàn)椤肮I(yè)以太網(wǎng)安全隔離技術(shù)”，其研發(fā)成果都可用于工業(yè)現(xiàn)場(chǎng)環(huán)境，并可將 這些安全隔離工具整合到工業(yè)控制系統(tǒng)中，構(gòu)成工業(yè)控制系統(tǒng)的多層安全防御，這將提高工業(yè)產(chǎn)品和系統(tǒng)制造企業(yè)的產(chǎn)品競(jìng)爭(zhēng)力。

技術(shù)實(shí)現(xiàn)要素：
：

為解決背景技術(shù)所存在的問(wèn)題，本發(fā)明公開(kāi)了一種可長(zhǎng)時(shí)間應(yīng)用于現(xiàn)場(chǎng)的PROFINET安全隔離系統(tǒng)，將PROFINET通信協(xié)議深度檢測(cè)功能與通用工業(yè)防火墻功能相結(jié)合，研發(fā)基于PROFINET的專用工業(yè)信息安全設(shè)備。

本發(fā)明的系統(tǒng)包括通用防火墻的端口防護(hù)功能，檢測(cè)并阻斷網(wǎng)絡(luò)攻擊和病毒防護(hù)。

本發(fā)明的系統(tǒng)可防止控制網(wǎng)絡(luò)和現(xiàn)場(chǎng)設(shè)備的未授權(quán)訪問(wèn)，保護(hù)設(shè)備信息和數(shù)據(jù)不被泄漏和非法改變。

本發(fā)明的系統(tǒng)基于PROFINET應(yīng)用層數(shù)據(jù)包進(jìn)行深度檢測(cè)、協(xié)議分析，識(shí)別總線上的危險(xiǎn)報(bào)文，如：惡意攻擊報(bào)文、偽裝報(bào)文等。

本發(fā)明的系統(tǒng)具有PROFINET網(wǎng)絡(luò)通信行為預(yù)測(cè)，根據(jù)組態(tài)信息來(lái)預(yù)測(cè)網(wǎng)絡(luò)上正常的通信關(guān)系、帶寬與吞吐量，通過(guò)將預(yù)測(cè)情況與實(shí)際通信進(jìn)行對(duì)比來(lái)識(shí)別由于攻擊或病毒影響的非正常通信。

本發(fā)明的系統(tǒng)具有PROFINET網(wǎng)絡(luò)用戶數(shù)據(jù)加密技術(shù)，防止工程數(shù)據(jù)泄露，防止病毒的惡意攻擊。

本發(fā)明的系統(tǒng)具有關(guān)鍵信息預(yù)先存儲(chǔ)和備份功能，可基于預(yù)先存儲(chǔ)信息，對(duì)關(guān)鍵信息的訪問(wèn)和更改進(jìn)行核查，也可對(duì)失控或故障主站的進(jìn)行安全下裝。

本發(fā)明的系統(tǒng)具有智能交互技術(shù)，圖形化顯示網(wǎng)絡(luò)通信統(tǒng)計(jì)，可接受對(duì)安全隔離器的功能配置，可發(fā)送危險(xiǎn)識(shí)別處理與報(bào)警日志。

附圖說(shuō)明：

圖1為本發(fā)明的系統(tǒng)原理圖。

圖2為本發(fā)明的系統(tǒng)組成圖。

具體實(shí)施方式：

本發(fā)明公開(kāi)了一種可長(zhǎng)時(shí)間應(yīng)用于現(xiàn)場(chǎng)的PORFINET安全隔離系統(tǒng)，本發(fā)明的系統(tǒng)基于PROFINET通信特點(diǎn)，確定識(shí)別危險(xiǎn)報(bào)文考慮的具體要素，如：通信質(zhì)量統(tǒng)計(jì)數(shù)據(jù)、通信報(bào)文之間的邏輯關(guān)系、通信報(bào)文的時(shí)序關(guān)系、通信報(bào)文的協(xié)議符合性、具體應(yīng)用限定條件等，提高安全識(shí)別程序的智能性和效率。

本發(fā)明的系統(tǒng)具有通用防火墻功能、深度的PROFINET協(xié)議解析功能、分級(jí)的危險(xiǎn)識(shí)別處理與報(bào)警功能、以及報(bào)文轉(zhuǎn)發(fā)功能通過(guò)硬件FPGA實(shí)現(xiàn)，以提高實(shí)時(shí)性。

圖1示出了本發(fā)明的安全隔離系統(tǒng)的原理，該系統(tǒng)包括工業(yè)以太網(wǎng)安全隔離設(shè)備HMI模塊和工業(yè)以太網(wǎng)安全隔離設(shè)備硬件模塊兩個(gè)子模塊：其中工業(yè)以太網(wǎng)安全隔離HMI模塊包括HMI界面(1)、配置單元(2)、狀態(tài)查詢單元(3)、日志記錄單元(4)、報(bào)警單元(5)和安全隔離HMI智能通信單元(6)，其中配置單元(2)、狀態(tài)查詢單元(3)、日志記錄單元(4)、報(bào)警單元(5)相互獨(dú)立工作，并都與安全隔離HMI智能通信單元進(jìn)行數(shù)據(jù)后臺(tái)共享，安全隔離HMI智能通信單元(6)通過(guò)以太網(wǎng)實(shí)現(xiàn)工業(yè)以太網(wǎng)安全隔離設(shè)備HMI和工業(yè)以太網(wǎng)安全隔離設(shè)備硬件模塊的通信；工業(yè)以太網(wǎng)安全隔離設(shè)備硬件模塊包括安全隔離智能交互單元(7)、工業(yè)以太網(wǎng)防火墻功能(8)、工業(yè)以太網(wǎng)深度解析單元(9)、危險(xiǎn)報(bào)文智能識(shí)別單元(10)、關(guān)鍵數(shù)據(jù)預(yù)存單元(11)、關(guān)鍵信息附加審核單元(12)、用戶數(shù)據(jù)加密單元(13)。其中各個(gè)安全功能單元從工業(yè)以太網(wǎng)主干網(wǎng)向工業(yè)以太網(wǎng)分支網(wǎng)具有次序關(guān)系，各個(gè)安全功能模塊均接收來(lái)自安全隔離器智能交互單元的配置命令，并向其傳遞狀態(tài)報(bào)警信息。

進(jìn)一步，安全隔離智能交互單元(7)由嵌入式處理器實(shí)現(xiàn)，可接受對(duì)安全隔離系統(tǒng)的功能配置，對(duì)危險(xiǎn)報(bào)文的識(shí)別程序按專家系統(tǒng)模式進(jìn)行設(shè)計(jì)，可發(fā)送危險(xiǎn)識(shí)別處理和報(bào)警日志，通過(guò)以太網(wǎng)實(shí)現(xiàn)通信。

進(jìn)一步，工業(yè)以太網(wǎng)工業(yè)防火墻(8)由FPGA實(shí)現(xiàn)，主要作用于工業(yè)以太網(wǎng)的網(wǎng)絡(luò)層和傳輸層，通過(guò)可配置的服務(wù)訪問(wèn)規(guī)則，保護(hù)工業(yè)控制網(wǎng)絡(luò)免受非法用戶的侵入，過(guò)濾非PROFINET協(xié)議報(bào)文，以及必要時(shí)將控制網(wǎng)絡(luò)與上層網(wǎng)絡(luò)隔離開(kāi)。該工業(yè)以太網(wǎng)工業(yè)防火墻(8) 依據(jù)源IP地址、源端口號(hào)、目的IP地址、目的端口號(hào)、服務(wù)類型多種屬性進(jìn)行網(wǎng)絡(luò)層報(bào)文過(guò)濾。

進(jìn)一步，工業(yè)以太網(wǎng)深度解析單元(9)由FPGA實(shí)現(xiàn)，完成從總線上實(shí)時(shí)將數(shù)據(jù)采集到設(shè)備中，根據(jù)報(bào)文結(jié)構(gòu)在各通信層(如應(yīng)用層、用戶層)進(jìn)行報(bào)文的解析。PROFINET協(xié)議通信速率較高，以太網(wǎng)絡(luò)隔離器對(duì)PROFINET報(bào)文的接收、存儲(chǔ)、分析、轉(zhuǎn)發(fā)四個(gè)環(huán)節(jié)的實(shí)時(shí)性要求很高，因此模塊實(shí)現(xiàn)時(shí)必須保證PROFINET時(shí)間要求。將PROFINET協(xié)議中有關(guān)各種報(bào)文結(jié)構(gòu)、基本狀態(tài)機(jī)、診斷機(jī)制等在該模塊中以硬件子模塊的形式實(shí)現(xiàn)。

進(jìn)一步，危險(xiǎn)報(bào)文智能識(shí)別單元(10)由嵌入式處理器實(shí)現(xiàn)，接收從智能交互模塊輸入的現(xiàn)場(chǎng)總線控制系統(tǒng)正確的網(wǎng)絡(luò)組態(tài)信息，作為網(wǎng)絡(luò)通信狀況的基本判定條件(如，合法主站的報(bào)文、合法的從站地址、合法的輸入/輸出數(shù)據(jù)等)；根據(jù)這些判定條件以及其他網(wǎng)絡(luò)特性(如，報(bào)文時(shí)序、設(shè)備狀態(tài)等)識(shí)別危險(xiǎn)報(bào)文并分析可能受到的攻擊。

進(jìn)一步，關(guān)鍵數(shù)據(jù)預(yù)存單元(11)由嵌入式處理器實(shí)現(xiàn)，對(duì)于PROFINET控制網(wǎng)絡(luò)中傳輸?shù)年P(guān)鍵信息，如應(yīng)用關(guān)系建立，參數(shù)化和組態(tài)信息進(jìn)行附加的安全審核，以進(jìn)一步保障網(wǎng)絡(luò)關(guān)鍵信息的可靠和安全，以及對(duì)失控主機(jī)實(shí)現(xiàn)安全重新下載安裝。

進(jìn)一步，關(guān)鍵信息附加審核單元(12)由嵌入式處理器實(shí)現(xiàn)，對(duì)于PROFINET控制網(wǎng)絡(luò)中傳輸?shù)年P(guān)鍵信息，如應(yīng)用關(guān)系建立，參數(shù)化和組態(tài)信息進(jìn)行附加的安全審核，以進(jìn)一步保障網(wǎng)絡(luò)關(guān)鍵信息的可靠和安全。

進(jìn)一步，用戶數(shù)據(jù)加密單元(13)通過(guò)FPGA硬件實(shí)現(xiàn)，對(duì)PROFINET用戶數(shù)據(jù)進(jìn)行加密傳輸可配置，避免了重要的流程數(shù)據(jù)在網(wǎng)絡(luò)中的明文傳輸，防止工程數(shù)據(jù)泄露，防止病毒的惡意攻擊。

圖2示出是本發(fā)明的安全隔離系統(tǒng)組成圖，該系統(tǒng)包括：主干網(wǎng)側(cè)PHY芯片(1)、主干網(wǎng)側(cè)MAC芯片(2)、FPGA(3)、分支網(wǎng)側(cè)MAC芯片(4)、分支網(wǎng)側(cè)PHY芯片(5)、NOR FLASH(6)、處理器(7)、HMI配置PHY芯片(8)和旁路直連模塊(9)；其中主干網(wǎng)側(cè)PHY芯片(1)、主干網(wǎng)側(cè)MAC芯片(2)、FPGA(3)、分支網(wǎng)側(cè)MAC芯片(4)、分支網(wǎng)側(cè)PHY芯片(5)構(gòu)成了一個(gè)從工業(yè)以太主干網(wǎng)到分支網(wǎng)的通信路徑，模塊在正確配置后工業(yè)以太網(wǎng)報(bào)文由此路徑接收并轉(zhuǎn)發(fā)，因?qū)崟r(shí)性要求，工業(yè)以太網(wǎng)數(shù)據(jù)報(bào)文的接收，安全審核與過(guò)濾，關(guān)鍵數(shù)據(jù)儲(chǔ)存，以及數(shù)據(jù)的發(fā)送主要由FPGA實(shí)現(xiàn)，NOR FLASH(6)為FPGA中的程序提供非易失性存儲(chǔ)空間；處理器(7)和HMI配置PHY芯片(8)實(shí)現(xiàn)了上位機(jī)軟件配置功能和部分非實(shí)時(shí)的報(bào)文分析功能，處理器(7)和FPGA(3)的數(shù)據(jù)交換通過(guò)FPGA(3)內(nèi)部的實(shí)現(xiàn)的雙口RAM實(shí)現(xiàn)；旁路直連模塊(9)實(shí)現(xiàn)模塊在未配置和發(fā)生故障的情況下將切換到直連模式，不會(huì)影響工業(yè)以太網(wǎng)的正常通信。

以上是對(duì)本發(fā)明的系統(tǒng)的較佳實(shí)施進(jìn)行了具體說(shuō)明，但本發(fā)明創(chuàng)造并不限于所述實(shí)施例，熟悉本領(lǐng)域的技術(shù)人員在不違背本發(fā)明精神的前提下還可以做出種種的等同變形或替換，這些等同的變形或者替換均包含在本申請(qǐng)權(quán)利要求所限的范圍內(nèi)。