终端安全防护方法和设备的制作方法
【专利摘要】一种终端安全防护方法和设备，包括步骤：采用中断模式接收终端传输的工业过程数据；对终端传输的工业过程数据进行规约检查；根据IPSEC?VPN安全策略对规约检查后的工业过程数据加密、签名；将加密、签名后的工业过程数据通过VPN通道发送到主站；根据IPSEC?VPN安全策略对主站分析工业过程数据后通过VPN通道发送的数据或控制命令进行解密、验签、完整性校验；对解密、验签、完整性校验后的数据或控制命令进行规约检查；将规约检查后的数据或控制命令发送到终端。上述终端安全防护方法和设备，通过对终端和主站传输的数据进行规约检查、加解密、完整性校验，提高了工业控制系统的安全性。
【专利说明】终端安全防护方法和设备
【技术领域】
[0001]本发明涉及信息安全密码【技术领域】，特别是涉及一种终端安全防护方法和设备。【背景技术】
[0002]工业控制系统是对SCADA (数据采集与监视控制系统)、DCS (分散控制系统)、PCS(个人通讯服务)、PLC (可编程逻辑控制器)等多种控制系统的总称，广泛运用于电力、石油化工、水利、工业制造、市政等行业。工业控制系统由主站、网络和终端组成，其原理是终端采集工业过程数据，通过网络将数据送至主站，主站分析后通过网络向终端发送控制命令，终端执行命令并向主站返回结果。
[0003]随着计算机和网络技术的发展，特别是信息化工业化深度融合以及互联网的快速发展，工业控制系统产品越来越多的采用通用协议、通用硬件、通用软件，以各种方式与互联网等公共网络连接，但是传统的工业控制系统在设计上基本没有考虑互连互通所必须的通信安全问题，几乎没有隔离功能，如果工业控制系统的任一点受到网络攻击，都有可能造成极大损失，因此工业控制系统的安全问题急需解决。
【发明内容】
[0004]基于此，有必要针对上述工业控制系统的安全问题，提供一种终端安全防护方法和设备。
[0005]一种终端安全防护方法，包括步骤:
[0006]采用中断模式接收终端传输的工业过程数据；
[0007]对终端传输的工业过程数据进行规约检查；
[0008]根据IPSEC VPN安全策略对规约检查后的工业过程数据加密、签名；
[0009]将加密、签名后的工业过程数据通过VPN通道发送到主站；
[0010]根据IPSEC VPN安全策略对主站分析工业过程数据后通过VPN通道发送的数据或控制命令进行解密、验签、完整性校验；
[0011]对解密、验签、完整性校验后的数据或控制命令进行规约检查；
[0012]将规约检查后的数据或控制命令发送到终端。
[0013]上述终端安全防护方法，通过对终端传输的工业过程数据进行规约检查、加密、签名，通过VPN通道发送到主站；通过对主站通过VPN通道传输的控制命令解密、验签、完整性校验、规约检查，确保了终端和主站之间数据传输的安全性，使传输的数据防窃取、防篡改、抗重放等，提高了工业控制系统的安全性。
[0014]一种终端安全防护设备，其中所述终端安全防化设备与终端相连，在终端与主站之间进行数据处理和传输，包括:
[0015]与终端相连的串行控制模块，所述串行控制模块采用中断模式接收终端传输的工业过程数据或将规约检查后的数据或控制命令发送到终端；
[0016]与所述串行控制模块相连的规约检查模块，所述规约检查模块对终端传输的工业过程数据进行规约检查或对解密、验签、完整性校验后的数据或控制命令进行规约检查；
[0017]与所述规约检查模块相连的数据处理模块，所述数据处理模块根据IPSECVPN安全策略，对规约检查后的工业过程数据加密、签名或对主站分析工业过程数据后通过VPN通道发送的数据或控制命令进行解密、验签、完整性校验。
[0018]上述终端安全防护设备，通过规约检查模块和数据处理模块对终端与主站之间传输的数据进行规约检查、加解密、完整性校验，确保了终端和主站之间数据传输的安全性，使传输的数据防窃取、防篡改、抗重放等，提高了工业控制系统的安全性。
【专利附图】
【附图说明】
[0019]图1为本发明方法实施例一的流程示意图；
[0020]图2为本发明方法实施例二的流程示意图；
[0021]图3为本发明装置实施例一的结构示意图；
[0022]图4为本发明装置实施例二的结构示意图；
[0023]图5为本发明装置实施例三的结构示意图。
【具体实施方式】
[0024]下面结合附图以具体实施例的方式对本发明终端安全防护方法的【具体实施方式】做详细描述。
[0025]实施例一
[0026]如图1所示，一种终端安全防护方法，包括步骤:
[0027]S101、采用中断模式接收终端传输的工业过程数据；
[0028]S102、对终端传输的工业过程数据进行规约检查，将不符合规约的工业过程数据丢弃；
[0029]S103、根据IPSEC (互联网协议安全性)VPN (虚拟专用网络)安全策略对规约检查后的工业过程数据加密、签名；
[0030]S104、将加密、签名后的工业过程数据通过VPN通道发送到主站；
[0031]S105、根据IPSEC VPN安全策略对主站分析工业过程数据后通过VPN通道发送的数据或控制命令进行解密、验签、完整性校验；
[0032]S106、对解密、验签、完整性校验后的数据或控制命令进行规约检查；
[0033]S107、将规约检查后的数据或控制命令发送到终端。
[0034]上述终端安全防护方法，通过对终端传输的工业过程数据进行规约检查、加密、签名，通过VPN通道发送到主站；通过对主站通过VPN通道传输的控制命令解密、验签、完整性校验、规约检查，确保了终端和主站之间数据传输的安全性，使传输的数据防窃取、防篡改、抗重放等，提高了工业控制系统的安全性。
[0035]实施例二
[0036]实施例二与实施例一的区别是将规约检查后的控制命令发送到终端后，还将终端执行控制命令后的结果传输给主站。
[0037]如图2所示，一种终端安全防护方法，包括步骤:
[0038]S201、采用中断模式接收终端传输的工业过程数据；[0039]S202、对终端传输的工业过程数据进行规约检查，将不符合规约的工业过程数据丢弃；
[0040]S203、根据IPSEC VPN安全策略对规约检查后的工业过程数据加密、签名；
[0041]S204、将加密、签名后的工业过程数据通过VPN通道发送到主站；
[0042]S205、根据IPSEC VPN安全策略对主站分析工业过程数据后通过VPN通道发送的数据或控制命令进行解密、验签、完整性校验；
[0043]S206、对解密、验签、完整性校验后的数据或控制命令进行规约检查；
[0044]S207、将规约检查后的数据或控制命令发送到终端；
[0045]S208、采用中断模式接收终端传输的执行数据或控制命令后的结果；
[0046]S209、对终端传输的执行数据或控制命令后的结果进行规约检查；
[0047]S210、根据IPSEC VPN安全策略对规约检查后的结果加密、签名；
[0048]S211、将加密、签名后的结果通过VPN通道发送到主站。
[0049]上述终端安全防护方法，通过对终端和主站之间传输的数据进行规约检查、加解密、完整性校验，确保了终端和主站之间数据传输的安全性，提高了工业控制系统的安全性。同时将终端执行主站控制命令后的结果传输给主站,使主站了解终端执行命令的情况，实时对终端的控制命令做出调整。
[0050]下面结合附图以具体实施例的方式对本发明终端安全防护设备的【具体实施方式】做详细描述。
[0051]实施例一
[0052]如图3所示，一种终端安全防护设备120，其中所述终端安全防护设备120与终端110相连，在终端110与主站130之间进行数据处理和传输，包括:
[0053]与终端110相连的串行控制模块121，所述串行控制模块121采用中断模式接收终端110传输的工业过程数据或将规约检查后的数据或控制命令发送到终端110 ；
[0054]与所述串行控制模块121相连的规约检查模块122，所述规约检查模块122对终端110传输的工业过程数据进行规约检查或对解密、验签、完整性校验后的数据或控制命令进行规约检查；
[0055]与所述规约检查模块122相连的数据处理模块123，所述数据处理模块123根据IPSEC VPN安全策略，对规约检查后的工业过程数据加密、签名或对主站130分析工业过程数据后通过VPN通道发送的数据或控制命令进行解密、验签、完整性校验。
[0056]在一个具体实施例中，支持128比特的国密SMl对称算法主要用于工业过程数据的加解密或控制命令的加解密。支持256比特的国密SM2非对称算法主要用于工业过程数据的签名、验签或控制命令的签名、验签。支持256比特的国密SM3算法主要用于工业过程数据的完整性校验或控制命令的完整性校验。
[0057]上述终端安全防护设备，通过规约检查模块122和数据处理模块123对终端110与主站130之间传输的数据进行规约检查、加解密、完整性校验，确保了终端110和主站130之间数据传输的安全性，使传输的数据防窃取、防篡改、抗重放等，提高了工业控制系统的安全性。
[0058]实施例二
[0059]实施例二与实施例一的主要区别是终端安全防护设备还包括密钥存贮模块。[0060]如图4所示，一种终端安全防护设备220，其中所述终端安全防护设备220与终端210相连，在终端210与主站230之间进行数据处理和传输，包括:
[0061]与终端210相连的串行控制模块221，所述串行控制模块221采用中断模式接收终端210传输的工业过程数据或将规约检查后的数据或控制命令发送到终端210 ；
[0062]与所述串行控制模块221相连的规约检查模块222，所述规约检查模块222对终端210传输的工业过程数据进行规约检查或对解密、验签、完整性校验后的数据或控制命令进行规约检查；
[0063]与所述规约检查模块222相连的数据处理模块223，所述数据处理模块223根据IPSEC VPN安全策略，对规约检查后的工业过程数据加密、签名或对主站230分析工业过程数据后通过VPN通道发送的数据或控制命令进行解密、验签、完整性校验。
[0064]密钥存贮模块224，所述密钥存贮模块224存储IPSEC VPN安全策略和密钥，其中所述密钥可以为设备密钥或会话密钥等，将IPSEC VPN安全策略和密钥存贮在密钥存贮模块224，有效保证了其安全性，同时也增加了工业控制系统数据传输的安全性。
[0065]在一个具体实施例中，所述串行控制模块221、所述规约检查模块222、所述数据处理模块223、所述密钥存贮模块224可以设于SOC (system on chip)芯片上，受SOC芯片保护，具有较高的安全性和经济性。
[0066]本实施例其它技术特征与实施例一相同，在此不予赘述。
[0067]实施例三
[0068]实施例三与实施例一的主要区别是终端安全防护设备还包括密钥存贮模块和拨号模块。
[0069]如图5所示，一种终端安全防护设备320，其中所述终端安全防护设备320与终端310相连，在终端310与主站330之间进行数据处理和传输，包括:
[0070]与终端310相连的串行控制模块321，所述串行控制模块321采用中断模式接收终端310传输的工业过程数据或将规约检查后的数据或控制命令发送到终端310 ；
[0071 ] 与所述串行控制模块321相连的规约检查模块322，所述规约检查模块322对终端310传输的工业过程数据进行规约检查或对解密、验签、完整性校验后的数据或控制命令进行规约检查；
[0072]与所述规约检查模块322相连的数据处理模块323，所述数据处理模块323根据IPSEC VPN安全策略，对规约检查后的工业过程数据加密、签名或对主站330分析工业过程数据后通过VPN通道发送的数据或控制命令进行解密、验签、完整性校验。
[0073]密钥存贮模块324，所述密钥存贮模块324存储IPSEC VPN安全策略和密钥，其中所述密钥可以为设备密钥或会话密钥等，将IPSEC VPN安全策略和密钥存贮在密钥存贮模块324，有效保证了其安全性，增加了工业控制系统数据传输的安全性。
[0074]拨号模块325，所述拨号模块325通过VPN通道将加密、签名后的工业过程数据传输给主站330，或接收主站330分析工业过程数据后发送的数据或控制命令。终端安全防护设备320启动后，拨号模块325自动进行GPRS (通用无线分组技术)拨号，当拨号成功后，终端安全防护设备320自动将拨号成功后获得的公网IP (网络协议)设置为默认网关，使终端安全防护设备320与主站330在无线网络上连通，从而进行数据传输。
[0075]在一个具体实施例中，所述串行控制模块321、所述规约检查模块322、所述数据处理模块323、所述密钥存贮模块324可以设于SOC芯片上，受SOC芯片保护，具有较高的安全性和经济性。
[0076]本实施例其他技术特征与实施例一相同，在此不予赘述。
[0077]以上所述实施例仅表达了本发明的几种实施方式，其描述较为具体和详细，但并不能因此而理解为对本发明专利范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本发明构思的前提下，还可以做出若干变形和改进，这些都属于本发明的保护范围。因此，本发明专利的保护范围应以所附权利要求为准。
【权利要求】
1.一种终端安全防护方法，其特征在于，包括步骤: 采用中断模式接收终端传输的工业过程数据； 对终端传输的工业过程数据进行规约检查； 根据IPSEC VPN安全策略对规约检查后的工业过程数据加密、签名； 将加密、签名后的工业过程数据通过VPN通道发送到主站； 根据IPSEC VPN安全策略对主站分析工业过程数据后通过VPN通道发送的数据或控制命令进行解密、验签、完整性校验； 对解密、验签、完整性校验后的数据或控制命令进行规约检查； 将规约检查后的数据或控制命令发送到终端。
2.根据权利要求1所述的终端安全防护方法，其特征在于，将规约检查后的数据或控制命令发送到终端后，还包括步骤: 采用中断模式接收终端传输的执行数据或控制命令后的结果； 对终端传输的执行数据或控制命令后的结果进行规约检查； 根据IPSEC VPN安全策略对规约检查后的结果加密、签名； 将加密、签名后的结果通过VPN通道发送到主站。
3.—种终端安全防护设备，其特征在于，所述终端安全防护设备与终端相连，在终端与主站之间进行数据处理和传输，包括: 与终端相连的串行控制模块，所述串行控制模块采用中断模式接收终端传输的工业过程数据或将规约检查后的数据或控制命令发送到终端； 与所述串行控制模块相连的规约检查模块，所述规约检查模块对终端传输的工业过程数据进行规约检查或对解密、验签、完整性校验后的数据或控制命令进行规约检查； 与所述规约检查模块相连的数据处理模块，所述数据处理模块根据IPSECVPN安全策略，对规约检查后的工业过程数据加密、签名或对主站分析工业过程数据后通过VPN通道发送的数据或控制命令进行解密、验签、完整性校验。
4.根据权利要求3所述的终端安全防护设备，其特征在于，还包括密钥存贮模块，所述密钥存贮模块存储IPSEC VPN安全策略和密钥。
5.根据权利要求4所述的终端安全防护设备，其特征在于，所述串行控制模块、所述规约检查模块、所述数据处理模块、所述密钥存贮模块设于SOC芯片上。
6.根据权利要求3至5任意一项所述的终端安全防护设备，其特征在于，还包括拨号模块，所述拨号模块通过VPN通道将加密、签名后的工业过程数据传输给主站，或接收主站分析工业过程数据后发送的数据或控制命令。
【文档编号】G05B19/418GK103475478SQ201310395485
【公开日】2013年12月25日 申请日期:2013年9月3日 优先权日:2013年9月3日
【发明者】陈炯聪, 梁智强, 谢善益, 黄曙, 余南华, 胡朝辉, 江泽鑫, 梁志宏, 林丹生 申请人:广东电网公司电力科学研究院