本發(fā)明涉及控制系統(tǒng)與管理系統(tǒng)間的數(shù)據(jù)安全交換，實現(xiàn)控制系統(tǒng)與管理系統(tǒng)間的物理隔離，具體為一種隱藏控制系統(tǒng)IP地址的安全數(shù)據(jù)采集裝置及采集方法。
背景技術(shù)：
：工業(yè)化與信息化的發(fā)展實現(xiàn)了傳統(tǒng)計算機網(wǎng)絡(luò)與工業(yè)控制網(wǎng)絡(luò)的緊密融合，越來越多的企業(yè)管理信息系統(tǒng)，如石油、化工等典型流程工業(yè)的生產(chǎn)執(zhí)行系統(tǒng)(MES)，采用國際標準的OPC協(xié)議從集散控制系統(tǒng)(DCS)采集實時數(shù)據(jù)，進而完成優(yōu)化控制，然而開放性在為用戶帶來效益的同時，由此引發(fā)的工控網(wǎng)絡(luò)安全風(fēng)險卻大大增加。當(dāng)前，DCS系統(tǒng)也都采用與管理系統(tǒng)相同的技術(shù)，如X86主板、Windows操作系統(tǒng)、TCP/IP通信等。而目前的絕大部分網(wǎng)絡(luò)攻擊都是基于TCP/IP協(xié)議的，因此控制系統(tǒng)所暴露的IP地址也逐漸被網(wǎng)絡(luò)攻擊所利用。特別是DCS在與MES通訊時，必須提供OPC接口，而OPC協(xié)議是完全基于TCP/IP協(xié)議的，處理不善極易暴露OPC服務(wù)器端的IP地址，即DCS的IP地址。這導(dǎo)致近年來控制系統(tǒng)的網(wǎng)絡(luò)攻擊問題日益突出，安全事件頻發(fā)。目前，普通的數(shù)據(jù)采集裝置一般還是采用與管理網(wǎng)相似的技術(shù)，如X86主板、Windows操作系統(tǒng)、IP方式通信等。而這樣的軟硬件平臺與管理網(wǎng)絡(luò)具有相同的架構(gòu)，還不能從根本上實現(xiàn)DCS與MES間的物理隔離，故給控制系統(tǒng)的網(wǎng)絡(luò)安全帶來隱患。技術(shù)實現(xiàn)要素：為解決現(xiàn)有技術(shù)存在的問題，本發(fā)明公開了一種隱藏控制系統(tǒng)IP地址的安全數(shù)據(jù)采集裝置。該裝置采用無IP地址的通訊方式，隔離控制系統(tǒng)與管理系統(tǒng)，實現(xiàn)控制系統(tǒng)安全防護，其網(wǎng)絡(luò)防護能力顯著提高，大幅降低外網(wǎng)利用IP地址對控制系統(tǒng)的攻擊。該發(fā)明通過以下技術(shù)方案實現(xiàn)，一種隱藏控制系統(tǒng)IP地址的安全數(shù)據(jù)采集裝置，該裝置包括X86主機和ARM主機，兩主機之間采用無IP地址通訊，實現(xiàn)控制系統(tǒng)DCS與管理系統(tǒng)MES間的物理隔離。優(yōu)選的，所述ARM主機由數(shù)據(jù)采集模塊、數(shù)據(jù)解析模塊以及第一數(shù)據(jù)通訊接口順次構(gòu)成，數(shù)據(jù)采集模塊用于采集DCS的數(shù)據(jù)；X86主機由第二數(shù)據(jù)通訊接口、數(shù)據(jù)緩存模塊、數(shù)據(jù)處理模塊、數(shù)據(jù)封裝模塊以及數(shù)據(jù)發(fā)布模塊順次構(gòu)成，第二數(shù)據(jù)通訊接口用于同第一數(shù)據(jù)通訊接口進行數(shù)據(jù)傳輸，數(shù)據(jù)發(fā)布模塊用于向MES發(fā)布數(shù)據(jù)。更優(yōu)的，所述的第一數(shù)據(jù)通訊接口與第二數(shù)據(jù)通訊接口間的通訊能夠隱藏控制系統(tǒng)DCS的IP地址。更優(yōu)的，所述數(shù)據(jù)通訊包括有線方式和無線方式，其中有線方式為USB和串口；無線方式為藍牙4.0。更優(yōu)的，所述USB為正常通訊方式，串口和藍牙4.0作為輔助應(yīng)急通訊方式。一種隱藏控制系統(tǒng)IP地址的安全數(shù)據(jù)的采集方法，工作流程如下：(1)啟動數(shù)據(jù)采集模塊；(2)數(shù)據(jù)采集模塊以O(shè)PC報文形式從DCS中采集數(shù)據(jù)；(3)數(shù)據(jù)解析模塊解析出OPC報文data區(qū)數(shù)據(jù)；(4)第一數(shù)據(jù)通訊接口通過物理層將data區(qū)數(shù)據(jù)傳遞到第二數(shù)據(jù)通訊接口；(5)數(shù)據(jù)緩存模塊存儲data區(qū)數(shù)據(jù)；(6)數(shù)據(jù)處理模塊根據(jù)白名單規(guī)則對data區(qū)數(shù)據(jù)進行深度過濾；(7)如果數(shù)據(jù)合法且已發(fā)生變化，則將過濾后的data區(qū)數(shù)據(jù)進一步處理；否則跳轉(zhuǎn)到步驟(10)；(8)數(shù)據(jù)封裝模塊將過濾完成的data區(qū)數(shù)據(jù)封裝成OPC報文；(9)數(shù)據(jù)發(fā)布模塊通過OPC報文對外發(fā)布數(shù)據(jù)；(10)判斷是否繼續(xù)采集數(shù)據(jù)，如果是，則跳轉(zhuǎn)到步驟(2)；否則程序結(jié)束。優(yōu)選的，所述步驟(4)中數(shù)據(jù)通訊時，對每一個信息包進行如下操作：首先，X86主機會發(fā)送一個IN令牌包，請求讀數(shù)據(jù)；然后，ARM主機將數(shù)據(jù)通過DATA1/DATA0數(shù)據(jù)包回傳給X86主機；最后，X86主機將以下列方式加以響應(yīng)：當(dāng)數(shù)據(jù)已經(jīng)正確接收時，X86主機發(fā)送ACK令牌包；當(dāng)X86主機正在忙碌時，發(fā)出NAK握手包；當(dāng)發(fā)生錯誤時，X86主機發(fā)出STALL握手包。優(yōu)選的，所述步驟(4)中所述數(shù)據(jù)通訊包括有線方式和無線方式，其中有線方式為USB和串口；無線方式為藍牙4.0；其中：藍牙地址分為三個部分：24位地址低端部分LAP、16位非重要地址部分NAP以及8位地址高端部分UAP，LAP和UAP是生產(chǎn)廠商的唯一標識碼，NAP由廠商內(nèi)部自由分配；USB包的基本格式為：同步字段、PID字段、數(shù)據(jù)字段、CRC字段和包結(jié)尾字段。USB通訊時，第二數(shù)據(jù)通訊接口接收到USB包后，首先放入數(shù)據(jù)緩存模塊；然后數(shù)據(jù)處理模塊對數(shù)據(jù)進行過濾，即對USB總線傳遞過來的data區(qū)數(shù)據(jù)進行檢測、比對和篩選；數(shù)據(jù)封裝模塊將過濾后的合法且已發(fā)生改變的數(shù)據(jù)重新打包成OPC報文；數(shù)據(jù)發(fā)布模塊把篩選出的數(shù)據(jù)以O(shè)PC協(xié)議上傳到實時數(shù)據(jù)庫。更具體的，工作流程為：(1)啟動數(shù)據(jù)采集模塊，當(dāng)數(shù)據(jù)采集模塊啟動時：從啟動輸入?yún)?shù)中，獲取指定采集配置文件opccollcfg.ini，預(yù)先讀取初始化配置文件opcsvrcfg.ini，加載采集配置文件opccollcfg.ini。初始化完成后，讀取采集配置對象中的OPC連接信息，并連接到DCS的OPCServer。連接成功后，遍歷采集配置文件opccollcfg.ini中的分組信息，向OPCServer對象中添加待采集數(shù)據(jù)分組并設(shè)置數(shù)據(jù)采集周期，添加分組成功后并激活分組。(2)數(shù)據(jù)解析模塊：從緩存中讀取OPC報文并解析，提取出data區(qū)數(shù)據(jù)。(3)第一通訊接口和第二通訊接口：兩主機間的通訊采用USB總線。包是USB系統(tǒng)中信息傳輸?shù)幕締卧?，所有待采集標簽點數(shù)據(jù)都經(jīng)過打包后在總線上傳輸。傳輸中，首先傳輸字節(jié)最低位，最后傳輸字節(jié)最高位。在USB包中，數(shù)據(jù)字段包含設(shè)備地址、端點號、幀序列號以及數(shù)據(jù)等內(nèi)容。(4)數(shù)據(jù)緩存：緩存模塊存儲USB總線傳輸過來的data區(qū)數(shù)據(jù)，以備數(shù)據(jù)處理模塊進一步過濾。有益效果：本發(fā)明公開了一種隱藏控制系統(tǒng)IP地址的安全數(shù)據(jù)采集裝置，裝置內(nèi)部兩主機之間的通信不再基于IP地址連接，從物理上隔離了DCS與MES間的網(wǎng)絡(luò)連接，控制系統(tǒng)的IP地址從管理層側(cè)不可見，從而避免了外網(wǎng)基于TCP/IP的針對控制系統(tǒng)的網(wǎng)絡(luò)攻擊、入侵以及病毒等安全威脅。附圖說明圖1是本發(fā)明安全數(shù)據(jù)采集裝置無IP地址雙主機通訊硬件框圖；圖2是本發(fā)明安全數(shù)據(jù)采集裝置結(jié)構(gòu)框圖；圖3是本發(fā)明安全數(shù)據(jù)采集裝置工作流程圖。具體實施方式下面結(jié)合附圖，對本發(fā)明的具體實施方式作進一步說明。本實施例以本發(fā)明技術(shù)方案為前提進行實施，但本發(fā)明的保護范圍不限于下述的實施例。實施例通過本發(fā)明提供的無IP地址雙主機通訊，在網(wǎng)絡(luò)層隔離的情況下，實現(xiàn)若干DCS與MES層的實時數(shù)據(jù)庫IP21間的數(shù)據(jù)采集。該企業(yè)DCS系統(tǒng)包括浙江中控ECS-700、橫河CS3000以及HoneywellTPS等等，本實施例以浙江中控ECS-700為例說明，總計采集775個模擬量標簽。采集和發(fā)布使用國際標準OPC協(xié)議，X86和ARM之間采用USB2.0通訊，USB2.0理論最大傳輸速率為480Mbps(60MB/s)，本安全數(shù)據(jù)采集裝置需要的傳輸速率上限為20MB/s，USB2.0滿足要求。如圖1所示，X86主機采用型號為WAFER-CV-D25501/N26001的通用X86主板，其中CPU使用1.8GHzAtomTMD2550雙核處理器；同時采用目前廣泛應(yīng)用的AT91SAM9X25型號的ARM主板，其中ARM處理器采用內(nèi)核為ARM926EJ-STM的處理器。圖1中X86主機和ARM主機未說明部分均采用標準通用模塊。X86和ARM兩主機均提供USB總線接口，接口之間通過USB總線連接。主控制器用于控制所有的USB設(shè)備通信，串行引擎用于處理譯碼，以及在發(fā)送和接收時創(chuàng)建數(shù)據(jù)包和控制包。此外，X86和ARM主機還提供RS232/485接口以及藍牙4.0接口，選擇開關(guān)用于通訊方式的切換。在ARM主機不可避免地需要通過IP地址與DCS上的OPCServer通訊的情況下，實現(xiàn)網(wǎng)絡(luò)隔離的關(guān)鍵在于，如何實現(xiàn)ARM主機與X86主機間的無IP地址通訊。本發(fā)明實現(xiàn)無IP地址通訊有兩種方式：有線方式和無線方式。本實施例分別對兩種方式進行說明，其中有線方式以USB2.0通訊為例；無線方式以藍牙4.0通訊為例。當(dāng)選擇開關(guān)選擇USB總線接口時，無IP地址通訊選擇USB2.0，以X86主機為USB通訊的主機，ARM主機為設(shè)備。雙主機通訊時將數(shù)據(jù)從ARM主機(設(shè)備)讀到X86主機(主機)上，對每一個信息包而言：首先，主機會發(fā)送一個IN令牌包，請求讀數(shù)據(jù)；然后，設(shè)備將數(shù)據(jù)通過DATA1/DATA0數(shù)據(jù)包回傳給主機；最后，主機將以下列方式加以響應(yīng)：當(dāng)數(shù)據(jù)已經(jīng)正確接收時，主機發(fā)送ACK令牌包；當(dāng)主機正在忙碌時，發(fā)出NAK握手包；當(dāng)發(fā)生錯誤時，主機發(fā)出STALL握手包。藍牙4.0及串口作為USB通訊的一種輔助。當(dāng)USB通訊出現(xiàn)故障時，可人為通過選擇開關(guān)切換到藍牙，完成應(yīng)急通信。藍牙通信支持兩種方式：查詢或中斷。本實施例中以ARM主機為藍牙設(shè)備，X86主機為主機設(shè)備，藍牙設(shè)備與主機設(shè)備連接步驟如下：(1)通過掃描，發(fā)現(xiàn)藍牙設(shè)備；(2)確認發(fā)現(xiàn)的設(shè)備處于可利用狀態(tài)；(3)發(fā)送藍牙地址；(4)收到并解讀待配對設(shè)備發(fā)送過來的數(shù)據(jù)；(5)建立并保存連接。步驟(3)中的藍牙地址分為三部分：24位地址低端部分(LAP)、16位非重要地址部分(NAP)以及8位地址高端部分(UAP)共48位。其中，LAP和UAP是生產(chǎn)廠商的唯一標識碼，NAP由廠商內(nèi)部自由分配。如圖2所示，本發(fā)明安全數(shù)據(jù)采集裝置包括數(shù)據(jù)采集模塊、數(shù)據(jù)解析模塊、第一數(shù)據(jù)通訊接口、第二數(shù)據(jù)通訊接口、數(shù)據(jù)緩存模塊、數(shù)據(jù)處理模塊、數(shù)據(jù)封裝模塊以及數(shù)據(jù)發(fā)布模塊。其中數(shù)據(jù)采集模塊從DCS系統(tǒng)采集實時數(shù)據(jù)，如溫度、壓力、流量、液位以及成分等相關(guān)參數(shù)。DCS中的實時數(shù)據(jù)通過OPCServer對外發(fā)布，OPCServer采用IP地址與安全數(shù)據(jù)采集裝置上的ARM主機通訊。采集到的OPC報文首先進入數(shù)據(jù)解析模塊，調(diào)用OPC解析程序提取出data區(qū)數(shù)據(jù)。更進一步的，第一數(shù)據(jù)通訊接口將data區(qū)數(shù)據(jù)以USB包的格式傳輸?shù)降诙?shù)據(jù)通訊接口。USB包的格式如表1所示。表1USB包的基本格式同步字段(SYNC)PID字段數(shù)據(jù)字段CRC字段包結(jié)尾字段(EOP)第二數(shù)據(jù)通訊接口接收到USB包后，首先放入數(shù)據(jù)緩存模塊。然后數(shù)據(jù)處理模塊對數(shù)據(jù)進行過濾，即對USB總線傳遞過來的data區(qū)數(shù)據(jù)進行檢測、比對和篩選；數(shù)據(jù)封裝模塊將過濾后的合法且已發(fā)生改變的數(shù)據(jù)重新打包成OPC報文；數(shù)據(jù)發(fā)布模塊把篩選出的數(shù)據(jù)以O(shè)PC協(xié)議上傳到實時數(shù)據(jù)庫IP21。本實施例中安全數(shù)據(jù)采集裝置工作流程如圖3所示：(1)啟動數(shù)據(jù)采集模塊，當(dāng)數(shù)據(jù)采集模塊啟動時：從啟動輸入?yún)?shù)中，獲取指定采集配置文件opccollcfg.ini，預(yù)先讀取初始化配置文件opcsvrcfg.ini，加載采集配置文件opccollcfg.ini。初始化完成后，讀取采集配置對象中的OPC連接信息，并連接到浙江中控ECS-700中的OPCServer。連接成功后，遍歷采集配置文件opccollcfg.ini中的分組信息，向OPCServer對象中添加待采集數(shù)據(jù)分組并設(shè)置數(shù)據(jù)采集周期為15秒，添加分組成功后并激活分組。(2)數(shù)據(jù)解析模塊：從緩存中讀取OPC報文并解析，提取出data區(qū)數(shù)據(jù)。(3)第一數(shù)據(jù)通訊接口和第二數(shù)據(jù)通訊接口：兩主機間的通訊采用USB總線。包是USB系統(tǒng)中信息傳輸?shù)幕締卧?，所有待采集標簽點數(shù)據(jù)都經(jīng)過打包后在總線上傳輸。傳輸中，首先傳輸字節(jié)最低位，最后傳輸字節(jié)最高位。在USB包中，數(shù)據(jù)字段包含設(shè)備地址、端點號、幀序列號以及數(shù)據(jù)等內(nèi)容。(4)數(shù)據(jù)緩存：緩存模塊存儲USB總線傳輸過來的data區(qū)數(shù)據(jù)，以備數(shù)據(jù)處理模塊進一步過濾。經(jīng)過以上步驟，數(shù)據(jù)封裝模塊將過濾出的合法且已發(fā)生改變的數(shù)據(jù)重新進行打包處理，進一步傳輸?shù)綌?shù)據(jù)發(fā)布模塊，由MES層讀取并存儲于IP21數(shù)據(jù)庫中。當(dāng)USB通訊出現(xiàn)故障情況下，可人為通過選擇開關(guān)切換到RS232/485或藍牙4.0通訊接口。本實施例未詳細說明的串口通訊，采用標準的RS232/485通訊模塊即可。綜上所述，本發(fā)明提供了一種隱藏控制系統(tǒng)IP地址的安全數(shù)據(jù)采集裝置，裝置內(nèi)部兩主機通過無IP地址連接技術(shù)，實現(xiàn)了DCS與MES的物理隔離，從而避免外網(wǎng)給DCS帶來的網(wǎng)絡(luò)攻擊、入侵以及病毒等信息安全威脅。本發(fā)明已通過上述實施例及其附圖說明清楚，以上僅為本發(fā)明的一個具體實例，不構(gòu)成對本發(fā)明的任何限制。在不背離本發(fā)明精神和實質(zhì)的情況下，所屬領(lǐng)域的技術(shù)人員可根據(jù)本發(fā)明做出相應(yīng)變化和修正，這些變化和修正都屬于本發(fā)明權(quán)利要求的保護范圍。本發(fā)明未涉及方法均與現(xiàn)有技術(shù)相同或可采用現(xiàn)有技術(shù)加以實現(xiàn)。當(dāng)前第1頁1 2 3