一种用于工业控制系统的安全防护系统及防护方法技术方案

本发明专利技术涉及一种用于工业控制系统的安全防护系统及防护方法，安全防护系统包括编码单元、解码单元和物理单向光隔离单元；编码单元和解码单元均与物理单向光隔离单元连接，物理单向光隔离单元用于对编码单元和解码单元进行物理隔离。编码单元包括第一嵌入式计算机和编码板，第一嵌入式计算机的主板上集成第一以太网接口、第一USB接口和异型USB接口。解码单元包括第二嵌入式计算机和解码板，第二嵌入式计算机的主板上集成第二以太网接口、第二USB接口和标准USB接口。本发明专利技术通过阻断来自工业控制系统网络边界的风险源的传播途径，阻断信息系统网络向工业控制系统网络输入风险。

【技术实现步骤摘要】

本专利技术属于计算机安全
，具体涉及一种用于工业控制系统的安全防护系统及防护方法。
技术介绍
在我国工业技术发展及安全生产和信息化的要求下，我国大部分企业的控制系统程度不断升高，表现在就大部分企业的生产控制系统为PLC(可编程逻辑控制器)、DCS(分布式控制系统)、SIS(安全仪表系统)、GDS(可燃、有毒气体报警系统)、SCADA(长输管线的控制系统)，特别是国家安监总局【2014】116号文件，更是指定，对于安全性要求高的生产单位，必须上自动控制系统(PLC、DCS、SIS、GDS)。在信息化的今天，企业的生产系统信息需要实时传输到信息系统，即控制系统的数据需要实时传输到信息系统(MES，生产信息化管理系统)，生产控制系统与信息系统结合紧密。尤其是信息系统又通过VPN(虚拟专用网络)或专线与集团公司的信息系统连接，另外，企业的局域网还通过VPN服务器与互联网连接。在病毒泛滥、黑客猖獗、网军盛行(如美国、俄罗斯等)的情况下，企业控制系统网络安全需求显得尤为突出。企业控制系统一旦受到攻击，会产生严重损失，例如伊朗核燃料离心机被攻击(1000多台离心机损毁)、德国钢厂被攻击(钢厂停产)、美国电厂被攻击等，损失均触目惊心。我国工业控制系统的安全防护方式以防火墙为主；网闸是我国涉密部门网络安全的防护设备(且针对项目开发应用协议)，用于工业控制的还鲜为人知。无论是采用防火墙保护还是采用网闸保护，在APT2.0(AdvancedPersistentThrent，高级持续性威胁)时代的攻击面前，基于信息网络安全的防护手段及现有的工控网络防护手段已经成为“皇帝的新装”。对于“黑客”而言，目前国内控制系统的网络相当于无障碍的展示在“黑客”的面前，更不用说“网络部队”了。企业控制系统网络安全令人堪忧。美国可谓计算机技术的领军者，但是发生在美国国家安全部门的网络攻击还是不断发生。可见，面对当前的网络安全形势，无论是防火墙还是网闸，控制系统网络中只要有外部信息“输入通道”，哪怕是所谓隔离，也一定会被黑客、网军攻破。企业控制系统的技术人员和信息系统的技术人员均对计算机安全知识了解不足，特别是控制系统的工程技术人员，对网络安全的知识更是匮乏。而企业信息系统的技术人员对控制系统的安全要求认识也不足，显然当前对于工业控制系统的网络安全防护设备、手段及意识不能满足控制系统网络安全防护的需求。
技术实现思路
为了解决现有技术存在的上述问题，本专利技术提供了一种用于工业控制系统的安全防护系统及防护方法。为实现以上目的，本专利技术所采用的技术方案为：一种用于工业控制系统的安全防护系统，其特征在于：它包括编码单元、解码单元和物理单向光隔离单元；所述编码单元和解码单元均与所述物理单向光隔离单元连接，所述物理单向光隔离单元用于对所述编码单元和解码单元进行物理隔离。进一步地，所述编码单元包括第一嵌入式计算机和编码板，所述第一嵌入式计算机与编码板连接；所述第一嵌入式计算机的主板上集成有第一以太网接口、第一USB接口和第一文件隔离备份单元，所述第一嵌入式计算机通过所述第一以太网接口与所述工业控制系统进行数据交换，所述第一USB接口用于完成编码的参数配置工作，所述第一文件隔离备份单元用于对所述工业控制系统的应用程序进行备份；所述编码板上设置有第一FPGA隔离交换芯片，所述第一FPGA隔离交换芯片用于完成RS码和喷泉码的硬件编码工作。更进一步地，所述第一文件隔离备份单元采用异型USB接口，所述异型USB接口用于对所述工业控制系统的应用程序进行备份。进一步地，所述解码单元包括第二嵌入式计算机和解码板，所述第二嵌入式计算机与解码板连接；所述第二嵌入式计算机的主板上集成有第二以太网接口、第二USB接口和第二文件隔离备份单元，所述第二嵌入式计算机通过所述第二以太网接口与信息系统进行数据交换，并与打印机进行物理隔离连接，所述第二USB接口用于完成解码的参数配置工作，所述第二文件隔离备份单元用于对所述工业控制系统的非程序文件进行导出；所述解码板上设置有第二FPGA隔离交换芯片，所述第二FPGA隔离交换芯片用于完成RS码和喷泉码的硬件解码工作。更进一步地，所述第二文件隔离备份单元采用标准USB接口，所述标准USB接口用于对所述工业控制系统的报表、报警和SOE数据进行导出。进一步地，所述物理单向光隔离单元包括光发射板、物理单向光器件和光接收板，所述光发射板的输入端与所述编码板连接，其输出端与所述物理单向光器件连接，所述物理单向光器件通过光纤与所述光接收板连接，所述光接收板与所述解码板连接。进一步地，所述用于工业控制系统的安全防护系统中还设置有第一冗余电源和第二冗余电源，所述第一冗余电源为所述编码单元供电，所述第二冗余电源为所述解码单元供电。进一步地，所述用于工业控制系统的安全防护系统中的数据传输是单向的，数据从所述第一以太网接口传输到所述第二以太网接口。一种用于工业控制系统的安全防护方法包括以下步骤：设置一种用于工业控制系统的安全防护系统，用于工业控制系统的安全防护系统包括编码单元、解码单元和物理单向光隔离单元，编码单元包括第一嵌入式计算机和编码板，第一嵌入式计算机的主板上集成第一以太网接口、第一USB接口和异型USB接口；解码单元包括第二嵌入式计算机和解码板，第二嵌入式计算机的主板上集成第二以太网接口、第二USB接口和标准USB接口；工业控制系统OPCServer的TCP/IP数据包通过第一以太网接口传输至编码单元，编码后的数据通过物理单向光隔离单元发送给解码单元，解码单元对数据进行解码后通过第二以太网接口发送给信息系统；工程师站、操作员站需要打印的数据通过第一以太网接口单向传输至第二以太网接口，经编码、隔离和解码处理后的数据通过第二以太网接口和外部网络传输至报警或报表打印机；工程师站或操作员站需要拷贝的文件以及工程师站备份的应用程序数据通过第一以太网接口发送给用于工业控制系统的安全防护系统，用于工业控制系统的安全防护系统对数据进行处理后单向传输至异型USB接口，并对具有异型接口的U盘进行格式化；处理后的数据经异型USB接口保存到具有异型接口的U盘中；工程师站或操作站导出的报表、SOE、历史记录数据由第一以太网接口单向传输至标准USB接口，并通过标准USB接口传输至移动存储设备进行存储。进一步地，所述用于工业控制系统的安全防护系统对工业控制系统OPCServer的TCP/IP数据包进行处理的过程为：1)第一嵌入式计算机对接收到的TCP/IP数据包进行解封，去除协议层，提取应用层数据；2)编码板对应用层数据进行RS编码，再进行喷泉码编码；3)物理单向光隔离单元将编码后的数据发送给解码单元；4)解码板对接收到的数据进行喷泉码解码，再进行RS解码；5)第二嵌入式计算机对接收到的解码后的数据进行TCP/IP封装，并建立OPCServer；6)重新封装的TCP/IP数据包通过第二以太网接口发送给信息系统。由于采用以上技术方案，本专利技术的有益效果为：本专利技术通过设置编码单元、解码单元和物理单向光隔离单元，能够阻断VPN远程服务系统网络向控制系统网络输入风险，阻断控制系统打印机(报警及报表打印机)向控制系统网络输入风险，阻断控制系统在应用程序备份或文件(报表、故障记录、本文档来自技高网...

【技术保护点】
一种用于工业控制系统的安全防护系统，其特征在于：它包括编码单元、解码单元和物理单向光隔离单元；所述编码单元和解码单元均与所述物理单向光隔离单元连接，所述物理单向光隔离单元用于对所述编码单元和解码单元进行物理隔离。

【技术特征摘要】
1.一种用于工业控制系统的安全防护系统，其特征在于：它包括编码单元、解码单元和物理单向光隔离单元；所述编码单元和解码单元均与所述物理单向光隔离单元连接，所述物理单向光隔离单元用于对所述编码单元和解码单元进行物理隔离。2.如权利要求1所述的一种用于工业控制系统的安全防护系统，其特征在于：所述编码单元包括第一嵌入式计算机和编码板，所述第一嵌入式计算机与编码板连接；所述第一嵌入式计算机的主板上集成有第一以太网接口、第一USB接口和第一文件隔离备份单元，所述第一嵌入式计算机通过所述第一以太网接口与所述工业控制系统进行数据交换，所述第一USB接口用于完成编码的参数配置工作，所述第一文件隔离备份单元用于对所述工业控制系统的应用程序进行备份；所述编码板上设置有第一FPGA隔离交换芯片，所述第一FPGA隔离交换芯片用于完成RS码和喷泉码的硬件编码工作。3.如权利要求2所述的一种用于工业控制系统的安全防护系统，其特征在于：所述第一文件隔离备份单元采用异型USB接口，所述异型USB接口用于对所述工业控制系统的应用程序进行备份。4.如权利要求1所述的一种用于工业控制系统的安全防护系统，其特征在于：所述解码单元包括第二嵌入式计算机和解码板，所述第二嵌入式计算机与解码板连接；所述第二嵌入式计算机的主板上集成有第二以太网接口、第二USB接口和第二文件隔离备份单元，所述第二嵌入式计算机通过所述第二以太网接口与信息系统进行数据交换，并与打印机进行物理隔离连接，所述第二USB接口用于完成解码的参数配置工作，所述第二文件隔离备份单元用于对所述工业控制系统的非程序文件进行导出；所述解码板上设置有第二FPGA隔离交换芯片，所述第二FPGA隔离交换芯片用于完成RS码和喷泉码的硬件解码工作。5.如权利要求4所述的一种用于工业控制系统的安全防护系统，其特征在于：所述第二文件隔离备份单元采用标准USB接口，所述标准USB接口用于对所述工业控制系统的报表、报警和SOE数据进行导出。6.如权利要求1所述的一种用于工业控制系统的安全防护系统，其特征在于：所述物理单向光隔离单元包括光发射板、物理单向光器件和光接收板，所述光发射板的输入端与所述编码板连接，其输出端与所述物理单向光器件连接，所述物理单向光器件通过光纤与所述光接收板连接，所述光接收板与所述解码板连接。7.如权利要求1所述的一种用于工业控制系统的安全防护系统，其特征在于：所述用于工业控制系统的安全防护系统中还...

【专利技术属性】
技术研发人员：王慧彬，唐文娟，王权，
申请(专利权)人：北京博众益友科技有限公司，
类型：发明
国别省市：北京;11