專利名稱：電力專用公網(wǎng)通信數(shù)據(jù)安全防護方法
技術(shù)領(lǐng)域：
本發(fā)明涉及一種電力專用公網(wǎng)通信數(shù)據(jù)安全防護方法。
背景技術(shù)：
當前，全國電力系統(tǒng)正在按照《電力二次系統(tǒng)安全防護規(guī)定》(電監(jiān)會5 號令)確定的"安全分區(qū)、網(wǎng)絡(luò)專用、橫向隔離、縱向認證"十六字方針的 要求全面開展的安全防護工作，對加大網(wǎng)絡(luò)與信息安全保障力度、保證正常 生產(chǎn)運行信息暢通、保障電力二次系統(tǒng)安全具備重大的戰(zhàn)略意義。根據(jù)《電力二次安全防護方案》，其對公網(wǎng)通信的要求有如下方面 "110kV及以下的變電站安全防護"中提出的"遠程通信網(wǎng)絡(luò)優(yōu)先使用電 力調(diào)度數(shù)據(jù)網(wǎng)，其次可以選用專線，再次可以選用公網(wǎng)，但是使用公網(wǎng)時通 信必須加密(可軟加密)"；"地縣調(diào)二次系統(tǒng)安全防護"中提出的"縣調(diào)自動化、配網(wǎng)自動化、負荷 管理系統(tǒng)與被控對象之間的數(shù)據(jù)通信可采用縣級專用數(shù)據(jù)網(wǎng)絡(luò)，不具備專網(wǎng) 條件的也可采用公用通信網(wǎng)絡(luò)，但必須采取數(shù)據(jù)加密等有效安全防護措施"；配電二次系統(tǒng)在"不具備專網(wǎng)條件的可采用公網(wǎng)數(shù)據(jù)通信網(wǎng)絡(luò)，如GPRS、 CD區(qū)、TD-SCDMA、 ADSL和無線局域網(wǎng)等，應當采取安全防護措施，并禁止與 調(diào)度數(shù)據(jù)網(wǎng)互聯(lián)"。使用公用數(shù)據(jù)網(wǎng)絡(luò)只能通過專用通信協(xié)議傳輸實時遙測、遙信、負荷的計 算數(shù)據(jù)等信息。因此，電力系統(tǒng)在某些特定的情況下即通信條件不具備時與主站可使用 公網(wǎng)通信，但是具體的防護技術(shù)措施并未明確。"公網(wǎng)"相對于"電力專用網(wǎng)"來講，其設(shè)計目標是針對公眾用戶的不 同需求、靈活多樣的通信方式及通信成本的經(jīng)濟性等特點而定，因此，其首要目標是盈利、其次才是可靠安全等目標。由于"公網(wǎng)"包含衛(wèi)星、GPRS、 CDMA、固定電話等多種模式，現(xiàn)在盡以GPRS APN網(wǎng)絡(luò)為例簡要分析其通信 方式和安全漏洞。GPRS是基于IP的骨干網(wǎng)，而目前許多黑客都對TCP/IP協(xié)議非常熟悉， 這就使得它更容易受到攻擊。GPRS可能面臨的攻擊如下 黑客是指試圖從外部IP網(wǎng)絡(luò)(如Internet)侵入到GPRS系統(tǒng)的人， 他們的目的是破壞GPRS網(wǎng)絡(luò)或者竊取信息以顯示他們的能力，也有的是為了出賣信息來賺錢。 管理人員應確保GPRS的網(wǎng)絡(luò)管理人員對系統(tǒng)不造成任何危害，對他們 訪問內(nèi)部網(wǎng)絡(luò)的權(quán)限要加以限制。*服務(wù)提供商大多數(shù)服務(wù)提供商都不是有意的破壞GPRS網(wǎng)絡(luò)，但是由于 疏于軟件更新或其它類似的情況都會對網(wǎng)絡(luò)造成威脅。 合作者諸如ISP等。因為ISP直接與GPRS骨干網(wǎng)相連，無疑就成為一 個開放的互聯(lián)，他可能在無意之間泄露了一些信息或者向第三方提供了 物理層的鏈路。這都使得GPRS網(wǎng)存在著安全隱患。 其通信邏輯框圖如圖l所示，現(xiàn)行GPRS/CD區(qū)網(wǎng)絡(luò)的一個承擔電力通信網(wǎng) 關(guān)的是DTU(Data Terminal Unit),事實上，DTU相當于串口數(shù)據(jù)流與TCP /IP、 SMS協(xié)議之間互相轉(zhuǎn)換的轉(zhuǎn)換器，其基本通信工作原理如下上行數(shù)據(jù)DTU收到用戶終端設(shè)備串口上的數(shù)據(jù)后封裝成IP包，通過
GPRS/CDMA/EDGE及Internet網(wǎng)絡(luò)平臺并發(fā)送到數(shù)據(jù)中心端；數(shù)據(jù)中心軟件收到數(shù)據(jù)包后進行IP包的分用，將最原始的用戶終端設(shè)備發(fā)上來的數(shù)據(jù)呈現(xiàn)給用戶的過程。
下行數(shù)據(jù)數(shù)據(jù)中心軟件向當前在線的DTU發(fā)送一個數(shù)據(jù)并封裝成IP包，通過Internet以及GPRS/CDMA/EDGE網(wǎng)絡(luò)平臺發(fā)送給DTU， DTU收到這個IP包后，進行IP包的分用還原用戶數(shù)據(jù)并以串口數(shù)據(jù)流發(fā)送給用戶設(shè)備。
綜上所述，由于DTU的設(shè)計目標是協(xié)議轉(zhuǎn)換與數(shù)據(jù)通信，從原理上來說沒有采取網(wǎng)絡(luò)層上的身份認證與傳輸加密技術(shù)，因此其安全性很低，尤其是在GPRS網(wǎng)絡(luò)傳輸時延較大(通常1500ms左右)，采用TCP通信往往會有重傳數(shù)據(jù)包產(chǎn)生，許多DTU為了減少數(shù)據(jù)流量降低通信成本，將TCP改為UDP，此時更易受到網(wǎng)絡(luò)上的黑客攻擊，安全性更為脆弱，因此以這種通信模式來實現(xiàn)電力調(diào)度的數(shù)據(jù)通信時存在較大的安全隱患，必須采取必要的安全防護措施。

發(fā)明內(nèi)容
本發(fā)明所要解決的技術(shù)問題是克服現(xiàn)有技術(shù)的不足，提供一種電力系統(tǒng)在公網(wǎng)通信數(shù)據(jù)時的安全防護方法，使在公網(wǎng)進行數(shù)據(jù)通信時達到安全可靠、不易遭受攻擊的目的，解除使用公網(wǎng)通信對電力系統(tǒng)造成的威脅。本發(fā)明通過網(wǎng)絡(luò)隔離、權(quán)限受控、身份認證、傳輸加密的技術(shù)手段為電力專用公網(wǎng)通信數(shù)據(jù)提供安全可靠的數(shù)據(jù)通信方法，.從而實現(xiàn)隨時隨地使用公網(wǎng)通信并保證信息安全的前提進行數(shù)據(jù)通信。
本發(fā)明所采用的技術(shù)方案是本發(fā)明用于對電力專用公網(wǎng)數(shù)據(jù)通信系統(tǒng)的通信數(shù)據(jù)進行防護，所述電力專用公網(wǎng)數(shù)據(jù)通信系統(tǒng)包括通信前置機、遠程rtu、公共網(wǎng)絡(luò)、主叫遠動通信安全網(wǎng)關(guān)、被叫遠動通信安全網(wǎng)關(guān)，所述主叫遠動通信安全網(wǎng)關(guān)內(nèi)部設(shè)有內(nèi)網(wǎng)主機i 、外網(wǎng)主機i，所述被叫遠動通信安全網(wǎng)關(guān)內(nèi)部設(shè)有內(nèi)網(wǎng)主機ii 、外網(wǎng)主機ii,所述電力專用公網(wǎng)通信數(shù)據(jù)安全防護方法的實現(xiàn)包括以下步驟
A:網(wǎng)絡(luò)隔離由于公網(wǎng)上存在安全風險，因此首先要以網(wǎng)絡(luò)隔離的措施來保護電力系統(tǒng)的內(nèi)部網(wǎng)絡(luò)，所述通信前置機與所述主叫遠動通信安全網(wǎng)關(guān)的內(nèi)
網(wǎng)主機i以網(wǎng)絡(luò)或串口的方式連接，所述遠程rtu與所述被叫遠動通信安全
網(wǎng)關(guān)的內(nèi)網(wǎng)主機n以網(wǎng)絡(luò)或串口的方式連接，所述外網(wǎng)主機i、所述外網(wǎng)主機n與所述公共網(wǎng)絡(luò)以網(wǎng)絡(luò)連接，所述內(nèi)網(wǎng)主機i與外網(wǎng)主機i以高速串口結(jié)合非網(wǎng)絡(luò)協(xié)議方式連接，所述內(nèi)網(wǎng)主機n與外網(wǎng)主機n以高速串口結(jié)合非網(wǎng)絡(luò)協(xié)議方式連接，從而達到既能保證應用程序之間進行雙向數(shù)據(jù)通信，又
能保證網(wǎng)絡(luò)層面公網(wǎng)與內(nèi)網(wǎng)之間的安全隔離；
B:權(quán)限受控對網(wǎng)絡(luò)層面的數(shù)據(jù)采用基于MAC、 IP、傳輸協(xié)議、傳輸端口以及通信方向的綜合報文過濾與訪問控制；對應用層的通信規(guī)約數(shù)據(jù)增添各種通訊協(xié)議的分析，如104規(guī)約等，根據(jù)通訊連接建立的狀態(tài)以及應用數(shù)據(jù)包的結(jié)構(gòu)，對帶控制命令的通信數(shù)據(jù)包可以根據(jù)策略設(shè)置允許或限制其通過。C:身份認證所述主叫遠動通信安全網(wǎng)關(guān)主動向所述被叫遠動通信安全網(wǎng)關(guān)發(fā)出連接信號，采用電力調(diào)度專用數(shù)字證書進行身份認證，對所述被叫遠動通信安全網(wǎng)關(guān)進行身份鑒別，同時向所述被叫遠動通信安全網(wǎng)關(guān)表明自己的身份，電力調(diào)度系統(tǒng)數(shù)字證書是為電力調(diào)度系統(tǒng)的用戶、關(guān)鍵網(wǎng)絡(luò)設(shè)備、服務(wù)提供數(shù)字證書服務(wù)，通過數(shù)字證書實現(xiàn)高強度的身份認證、安全的數(shù)據(jù)傳輸、以及可靠的行為審計，確保電力實時閉環(huán)監(jiān)控系統(tǒng)及調(diào)度數(shù)據(jù)網(wǎng)絡(luò)的安全，防止由此引起電力系統(tǒng)故障；公網(wǎng)安全防護采用電力調(diào)度系統(tǒng)數(shù)字證書系統(tǒng)頒發(fā)的設(shè)備證書進行身份認證，以驗證身份是否可以信任，從而確定對方身份的真實性、數(shù)據(jù)通信保密性、完整性及不可否認性，提高安全防護強度
D:傳輸加密采用IPSEC安全協(xié)議實現(xiàn)對通信數(shù)據(jù)進行傳輸加密，在通信兩
端使用MD5/SHA1散列算法和數(shù)字簽名來保證數(shù)據(jù)的完整性，防止數(shù)據(jù)中途
被竊獲或篡改，考慮到經(jīng)濟成本等因素可以采用軟加密，加密算法可以采用
成熟通用的算法，例如DES、 3DES、 AES、 SHA、 RSA等，對于成本控制比較寬松的場合也可采用國密辦認證的商業(yè)密碼算法。
目前，IPSec-VPN在VPN技術(shù)當中占主導地位，IPSEC是在IETF (因特網(wǎng)
工程任務(wù)組)的組織下開發(fā)的一種安全架構(gòu)，能夠符合國家關(guān)于加密通信的使用的法律，從IPSEC誕生到現(xiàn)在已經(jīng)有十多年，經(jīng)歷了長時間的考驗，被證明是最有效的網(wǎng)絡(luò)安全解決方案。
IPSec提供三種不同的形式來保護通過公有或私有IP網(wǎng)絡(luò)來傳送的私有數(shù)據(jù)
認證可以確定所接受的數(shù)據(jù)與所發(fā)送的數(shù)據(jù)是一致的，同時可以確定申請發(fā)送者在實際上是真實發(fā)送者，而不是偽裝的。
數(shù)據(jù)完整保證數(shù)據(jù)從原發(fā)地到目的地的傳送過程中沒有任何不可檢測的
數(shù)據(jù)丟失與改變。
機密性使相應的接收者能獲取發(fā)送的真正內(nèi)容，而無意獲取數(shù)據(jù)的接收者無法獲知數(shù)據(jù)的真正內(nèi)容。本發(fā)明的有益效果是電力調(diào)度自動化系統(tǒng)具備生產(chǎn)實時不可間斷性和控制信息安全性及保密性的特點，本發(fā)明是根據(jù)電監(jiān)會電力二次系統(tǒng)安全防護總體方案要求，針對電力系統(tǒng)中在公網(wǎng)通信的數(shù)據(jù)安全及保密性而設(shè)計。
本發(fā)明中，通過所述網(wǎng)絡(luò)隔離以保證應用程序之間進行雙向數(shù)據(jù)通信，又能保證網(wǎng)絡(luò)層面公網(wǎng)與內(nèi)網(wǎng)之間的安全隔離，大大提高通信的安全性；所述權(quán)限受控技術(shù)中，對通信數(shù)據(jù)包進行過濾，防止網(wǎng)絡(luò)上非法的通信以及訪問，對應用層的通信規(guī)約數(shù)據(jù)增添各種通訊協(xié)議的分析，根據(jù)通訊連接建立的狀態(tài)以及應用數(shù)據(jù)包的結(jié)構(gòu)，對帶控制命令的通信數(shù)據(jù)包可以根據(jù)策略設(shè)置允許或限制其通過；所述身份認證技術(shù)通過數(shù)字證書實現(xiàn)高強度的身份認證、安全的數(shù)據(jù)傳輸、以及可靠的行為審計，確保通信的身份可靠性；所述傳輸加密技術(shù)通過對網(wǎng)絡(luò)上傳輸?shù)男畔⑦M行加密和解密，確保傳遞數(shù)據(jù)信息的機密性以及完整性，防止數(shù)據(jù)在通信過程中被窺竊或篡改。
本發(fā)明通過所述網(wǎng)絡(luò)隔離、權(quán)限受控、身份認證、傳輸加密的技術(shù)手段為電力專用公網(wǎng)通信數(shù)據(jù)提供安全可靠的數(shù)據(jù)通信方法，從而實現(xiàn)隨時隨地使用公網(wǎng)通信并保證信息安全的前提進行數(shù)據(jù)通信，并且無需對應用環(huán)境或軟件做任何改動，為電力系統(tǒng)提供一種通信方便、使用安全、不易遭受攻擊的公網(wǎng)通信方法，并對電力系統(tǒng)的傳輸協(xié)議進行分析及權(quán)限控制，為電網(wǎng)調(diào)度自動化公網(wǎng)通信提供安全可靠的傳輸通道，從而實現(xiàn)隨時隨地使用公網(wǎng)通信并保證信息安全的前提進行數(shù)據(jù)通信。


圖1是本發(fā)明應用前環(huán)境示意圖；圖2是本發(fā)明應用后環(huán)境示意圖。
具體實施例方式
如圖2所示，本發(fā)明的應用后環(huán)境為主叫遠動通信安全網(wǎng)關(guān)7與被叫
遠動通信安全網(wǎng)關(guān)9通過撥號連接到公共網(wǎng)絡(luò)8，為通信前置機6與遠程RTU10的通信建立加密的公網(wǎng)通信通道，數(shù)據(jù)從通信前置機6通過串口或網(wǎng)絡(luò)連接遠動通信安全網(wǎng)關(guān)7，再通過遠動通信安全網(wǎng)關(guān)7連接到公共網(wǎng)絡(luò)8，再從公共網(wǎng)絡(luò)8連接到遠動通信安全網(wǎng)關(guān)9，再通過串口或網(wǎng)絡(luò)連接遠程RTUIO，所述主叫遠動通信安全網(wǎng)關(guān)7內(nèi)部設(shè)有內(nèi)網(wǎng)主機I 71、外網(wǎng)主機I 72，所述被叫遠動通信安全網(wǎng)關(guān)9內(nèi)部設(shè)有內(nèi)網(wǎng)主機I191、外網(wǎng)主機I192。本發(fā)明的實現(xiàn)包括以下步驟
A:網(wǎng)絡(luò)隔離所述通信前置機6與所述主叫遠動通信安全網(wǎng)關(guān)7的內(nèi)網(wǎng)主機I 71以網(wǎng)絡(luò)或串口的方式連接，所述遠程RTU10與所述被叫遠動通信安全網(wǎng)關(guān)9的內(nèi)網(wǎng)主機I191以網(wǎng)絡(luò)或串口的方式連接，所述外網(wǎng)主機I72、所述外網(wǎng)主機I192與所述公共網(wǎng)絡(luò)8以網(wǎng)絡(luò)連接，所述內(nèi)網(wǎng)主機I 71與外網(wǎng)主機I 72以高速串口結(jié)合非網(wǎng)絡(luò)協(xié)議方式連接，所述內(nèi)網(wǎng)主機I191與外網(wǎng)主機1192以高速串口結(jié)合非網(wǎng)絡(luò)協(xié)議方式連接，從而達到既能保證應用程序之間進行雙向數(shù)據(jù)通信，又能保證網(wǎng)絡(luò)層面公網(wǎng)與內(nèi)網(wǎng)之間的安全隔離；實現(xiàn)內(nèi)網(wǎng)與公網(wǎng)之間的非網(wǎng)絡(luò)方式的安全的數(shù)據(jù)交換，因此所述主叫遠動通信安全網(wǎng)關(guān)7及所述被叫遠動通信安全網(wǎng)關(guān)9采用雙主機非網(wǎng)絡(luò)安全互聯(lián)，所述主叫遠動通信安全網(wǎng)關(guān)7及所述被叫遠動通信安全網(wǎng)關(guān)9結(jié)構(gòu)均包含內(nèi)網(wǎng)主機、安全互聯(lián)部分、外網(wǎng)主機，內(nèi)網(wǎng)主機與外網(wǎng)主機之間沒有網(wǎng)絡(luò)連接，以確保網(wǎng)絡(luò)層面的隔離。所述網(wǎng)絡(luò)隔離主要體現(xiàn)在以下幾個方面1. 可以阻斷網(wǎng)絡(luò)直接連接，兩個網(wǎng)絡(luò)不同時連接在設(shè)備上；
2. 可以阻斷網(wǎng)絡(luò)邏輯連接，即TCP/IP必須被剝離，將原始數(shù)據(jù)非網(wǎng)方式傳送；
3. 隔離傳輸機制具有不可編程性；
4. 任何數(shù)據(jù)都是通過兩級代理方式完成；
5. 具備對數(shù)據(jù)的審查功能，數(shù)據(jù)不具有攻擊及有害的特性；
B:權(quán)限受控對網(wǎng)絡(luò)層面的數(shù)據(jù)采用基于MAC、 IP、傳輸協(xié)議、傳輸端口以及通信方向的綜合報文過濾與訪問控制，所述主叫遠動通信安全網(wǎng)關(guān)7及被叫遠動通信安全網(wǎng)關(guān)9具有完善的防火墻功能，可設(shè)置防火墻規(guī)則以
達到控制主機/網(wǎng)絡(luò)是否能訪問服務(wù)器，防火墻規(guī)則可控的訪問元素有源MAC地址、源/目的IP地址，源/目的端口，協(xié)議(TCP/UDP),通信方向(UDP)，在身份認證未完成前，所述主叫遠動通信安全網(wǎng)關(guān)7及被叫遠動通信安全網(wǎng)關(guān)9不接收也不轉(zhuǎn)發(fā)非身份認證數(shù)據(jù)包，也不能向外發(fā)起TCP連接或UDP數(shù)據(jù)包；
對應用層的通信規(guī)約數(shù)據(jù)增添各種通訊協(xié)議的分析，安全網(wǎng)關(guān)對于特定的多種電力通信規(guī)約，遠動網(wǎng)關(guān)能夠跟蹤其應用層的數(shù)據(jù)流，并作出分析，遠動網(wǎng)關(guān)串口隔離監(jiān)聽一端先與客戶機(如RTU)建立普通的TCP連接，接收其應用層數(shù)據(jù)，按照指定的電力規(guī)約進行分析，確認合法后通過隔離串口使用內(nèi)部通信協(xié)議轉(zhuǎn)發(fā)到另外一端，另一端再通過普通TCP連接發(fā)送到遠程的遠動通信安全網(wǎng)關(guān)，根據(jù)通訊連接建立的狀態(tài)以及應用數(shù)據(jù)包的結(jié)構(gòu)，對帶控制命令的通信數(shù)據(jù)包可以根據(jù)策略設(shè)置允許或限制其通過；
C:身份認證所述主叫遠動通信安全網(wǎng)關(guān)7主動向所述被叫遠動通信安
全網(wǎng)關(guān)9發(fā)出連接信號，采用電力調(diào)度專用數(shù)字證書進行身份認證，對所述被叫遠動通信安全網(wǎng)關(guān)9進行身份鑒別，同時向所述被叫遠動通信安全網(wǎng)關(guān) 9表明自己的身份；電力調(diào)度系統(tǒng)數(shù)字證書系統(tǒng)是為電力調(diào)度系統(tǒng)的用戶、 關(guān)鍵網(wǎng)絡(luò)設(shè)備、服務(wù)提供數(shù)字證書服務(wù)，通過數(shù)字證書實現(xiàn)高強度的身份認 證、安全的數(shù)據(jù)傳輸、以及可靠的行為審計，確保電力實時閉環(huán)監(jiān)控系統(tǒng)及 調(diào)度數(shù)據(jù)網(wǎng)絡(luò)的安全，防止由此引起電力系統(tǒng)故障。公網(wǎng)安全防護采用電力 調(diào)度系統(tǒng)數(shù)字證書系統(tǒng)頒發(fā)的設(shè)備證書進行身份認證，以驗證身份是否可以 信任，從而確定對方身份的真實性、數(shù)據(jù)通信保密性、完整性及不可否認性， 提高安全防護強度。
D:傳輸加密采川IPSEC安全協(xié)議實現(xiàn)對通信數(shù)據(jù)進行傳輸加密，在通
信兩端使用MD5/SHA1散列算法和數(shù)字簽名來保證數(shù)據(jù)的完整性，防止數(shù)據(jù) 中途被竊獲或篡改。
其具體實現(xiàn)如下所述主叫遠動通信安全網(wǎng)關(guān)7通過和所述被叫遠動通
信安全網(wǎng)關(guān)9分別通過撥號連接所述公共網(wǎng)絡(luò)8并獲得的通信IP，所述主叫 遠動通信安全網(wǎng)關(guān)7連接所述被叫遠動通信安全網(wǎng)關(guān)9的IP，雙方出示自己 的電子證書，各自驗證對方為自己所信任才能開始發(fā)送數(shù)據(jù)。身份認證完畢 后，雙方建立VPN隧道，用于雙方數(shù)據(jù)的加密通信。
數(shù)據(jù)從所述通信前置機6發(fā)送至所述主叫遠動通信安全網(wǎng)關(guān)7的內(nèi)網(wǎng)主 機I 71，所述主叫遠動皿信安全網(wǎng)關(guān)7的內(nèi)網(wǎng)主機I 71對接收到的數(shù)據(jù)進行 應用層電力系統(tǒng)通信協(xié)議分析，然后通過高速串口發(fā)送至所述主叫遠動通信 安全網(wǎng)關(guān)7的外網(wǎng)主機工72，所述主叫遠動通信安全網(wǎng)關(guān)7的外網(wǎng)主機I 72 的內(nèi)置防火墻對數(shù)據(jù)包進行過濾，然后進行數(shù)據(jù)加密封裝，轉(zhuǎn)發(fā)至所述被叫 遠動通信安全網(wǎng)關(guān)9的外網(wǎng)主機I192。所述被叫遠動通信安全網(wǎng)關(guān)9的外網(wǎng)主機1192接收到數(shù)據(jù)包后通過內(nèi)置防火墻對數(shù)據(jù)包進行過濾，再對符合規(guī)則
的數(shù)據(jù)進行解密；被叫遠動通信安全網(wǎng)關(guān)9的外網(wǎng)主機I192解密數(shù)據(jù)包后再 通過高速串口發(fā)送數(shù)據(jù)至所述被叫遠動通信安全網(wǎng)關(guān)9的內(nèi)網(wǎng)主機I191。所 述被叫遠動通信安全網(wǎng)關(guān)9的內(nèi)網(wǎng)主機I191對數(shù)據(jù)包進行應用層的電力系統(tǒng) 協(xié)議分析，然后再發(fā)送至所述遠程RTUIO。若數(shù)據(jù)從所述遠動通信安全網(wǎng)關(guān)9 一端開始發(fā)送，其數(shù)據(jù)流程與上述流程一致。
以上描述是本發(fā)叨的一種具體實現(xiàn)方式，本發(fā)明通過網(wǎng)絡(luò)隔離技術(shù)、權(quán) 限受控、身份認證、傳輸加密的技術(shù)手段為電力專用公網(wǎng)通信數(shù)據(jù)提供安全 可靠的數(shù)據(jù)通信方法。
1權(quán)利要求
1、電力專用公網(wǎng)通信數(shù)據(jù)安全防護方法，用于對電力專用公網(wǎng)數(shù)據(jù)通信系統(tǒng)的通信數(shù)據(jù)進行防護，所述電力專用公網(wǎng)數(shù)據(jù)通信系統(tǒng)包括通信前置機(6)、遠程RTU(10)、公共網(wǎng)絡(luò)(8)、主叫遠動通信安全網(wǎng)關(guān)(7)、被叫遠動通信安全網(wǎng)關(guān)(9)，所述主叫遠動通信安全網(wǎng)關(guān)(7)內(nèi)部設(shè)有內(nèi)網(wǎng)主機I(71)、外網(wǎng)主機I(72)，所述被叫遠動通信安全網(wǎng)關(guān)(9)內(nèi)部設(shè)有內(nèi)網(wǎng)主機II(91)、外網(wǎng)主機II(92)，其特征在于所述電力專用公網(wǎng)通信數(shù)據(jù)安全防護方法的實現(xiàn)包括以下步驟A網(wǎng)絡(luò)隔離所述通信前置機(6)與所述主叫遠動通信安全網(wǎng)關(guān)(7)的內(nèi)網(wǎng)主機I(71)以網(wǎng)絡(luò)或串口的方式連接，所述遠程RTU(10)與所述被叫遠動通信安全網(wǎng)關(guān)(9)的內(nèi)網(wǎng)主機II(91)以網(wǎng)絡(luò)或串口的方式連接，所述外網(wǎng)主機I(72)、所述外網(wǎng)主機II(92)與所述公共網(wǎng)絡(luò)(8)以網(wǎng)絡(luò)連接，所述內(nèi)網(wǎng)主機I(71)與外網(wǎng)主機I(72)以高速串口結(jié)合非網(wǎng)絡(luò)協(xié)議方式連接，所述內(nèi)網(wǎng)主機II(91)與外網(wǎng)主機II(92)以高速串口結(jié)合非網(wǎng)絡(luò)協(xié)議方式連接；B權(quán)限受控對網(wǎng)絡(luò)層面的數(shù)據(jù)采用基于MAC、IP、傳輸協(xié)議、傳輸端口以及通信方向的綜合報文過濾與訪問控制；對應用層的通信規(guī)約數(shù)據(jù)增添各種通訊協(xié)議的分析，根據(jù)通訊連接建立的狀態(tài)以及應用數(shù)據(jù)包的結(jié)構(gòu)，對帶控制命令的通信數(shù)據(jù)包根據(jù)策略設(shè)置允許或限制其通過；C身份認證所述主叫遠動通信安全網(wǎng)關(guān)(7)主動向所述被叫遠動通信安全網(wǎng)關(guān)(9)發(fā)出連接信號，采用電力調(diào)度專用數(shù)字證書進行身份認證，對所述被叫遠動通信安全網(wǎng)關(guān)(9)進行身份鑒別，同時向所述被叫遠動通信安全網(wǎng)關(guān)(9)表明自己的身份；D傳輸加密采用IPSEC安全協(xié)議實現(xiàn)對通信數(shù)據(jù)進行傳輸加密，在通信兩端使用MD5/SHA1散列算法和數(shù)字簽名來保證數(shù)據(jù)的完整性。
全文摘要
本發(fā)明公開了一種電力專用公網(wǎng)通信數(shù)據(jù)安全防護方法，該方法通過網(wǎng)絡(luò)隔離、權(quán)限受控、身份認證、傳輸加密的技術(shù)手段為電力專用公網(wǎng)數(shù)據(jù)通信提供安全可靠的數(shù)據(jù)通信，實現(xiàn)隨時隨地、安全使用公網(wǎng)通信，無需對應用環(huán)境或軟件做任何改動。應用時，主叫遠動通信安全網(wǎng)關(guān)(7)、被叫遠動通信安全網(wǎng)關(guān)(9)通過撥號連接到公共網(wǎng)絡(luò)(8)，為通信前置機(6)與遠程RTU(10)的通信建立加密的公網(wǎng)通信通道，數(shù)據(jù)從通信前置機(6)通過串口或網(wǎng)絡(luò)連接遠動通信安全網(wǎng)關(guān)(7)，通過主叫遠動通信安全網(wǎng)關(guān)(7)連接公共網(wǎng)絡(luò)(8)，從公共網(wǎng)絡(luò)(8)連接被叫遠動通信安全網(wǎng)關(guān)(9)，再通過串口或網(wǎng)絡(luò)連接遠端RTU(10)。本發(fā)明可廣泛應用于公網(wǎng)通信數(shù)據(jù)安全防護領(lǐng)域。
文檔編號H04L9/00GK101662359SQ20091004189
公開日2010年3月3日 申請日期2009年8月17日 優(yōu)先權(quán)日2009年8月17日
發(fā)明者劉智勇, 陳良漢 申請人:珠海市鴻瑞信息技術(shù)有限公司