[发明专利]包括识别不期望数据的保护电路的用于在数据网络中进行通信的电子设备

说明书

技术领域

本发明涉及用于对计算机网络特别是以太网中的流量量进行限制的系统。本发明涉及一种在工业环境中使用的电子设备，尤其是用于连接至计算机网络并利用其进行通信的电子设备。特别地，其涉及一种在用于监视和控制的系统中使用或者与之相连接的电子设备，该系统诸如用于发电、电力传输或分布的系统或者用于工业处理控制系统的系统。

背景技术

现代控制系统中的许多电子设备被配备以一些类型的内建智能。这样的设备经常是嵌入式设备的一部分或者被称之为嵌入式设备。用于工业处理控制的控制系统以及用于电力发电、分布和传输中的控制的系统经常经由一个或多个数据通信网络连接至该控制系统所监视和控制的工业设备，上述数据通信网络使用诸如基于以太网的协议之类的工业标准。这出于监视和控制的目的而具有标准化且简化的工业数据通信。可以使用工业以太网标准而连接至控制系统的电子设备包括于许多和各种设备之中，例如诸如传感器或换能器的仪器，诸如阀门、电机、泵、开关之类的致动器，以及诸如发电机、变压器、断路器、传动系之类的主要设备上的控制，等等。

由于处理资源有限，所以受到资源约束的电子设备或嵌入式设备能够轻易地被有意(或无意)的过多网络流量所淹没。在这样的情况下，需要进行分组过滤以便限制流量数量。合理流量需要通过而同时必须要丢弃不期望流量。由于受到资源约束的电子设备的有限处理资源，所以实施针对过多流量进行保护的软件解决方案是具有挑战性的。

有意产生过多流量的示例是所谓的拒绝服务攻击，其中攻击方试图产生超出网络容量或者设备在能够按照规定进行通信的同时处理流量的能力的流量。例如，通过在由网络中的所有或许多电子设备进行响应时导致过多流量的广播。已知的用于网络流量过滤的方法是使用用于提供过滤的软件，或者外部防火墙，或者它们的组合。在这样的防火墙或软件过滤器中，在由过滤系统接收到分组之后进行网络流量的过滤。

US2006/0168273A1，文献1(D1)，讨论了针对计算机网络上的敌对或其它不期望数据的保护，并且描述了用于从数据通信链路中去除数据帧或数据分组的方法和装置。D1的背景技术部分参考图2a和2b讨论了两种针对不期望数据进行保护的系统。D1使用OSI模型作为描述通信链路的架构，其中传送节点以帧或分组的形式向接收帧或分组的接收节点发送数据分段。这些分组随后在接收节点中逐层上移直至它们到达其目的地。在背景技术中的两个数据网络示例中，每个数据分段经由部署在节点之间的通信链路从一个通信节点传送至另一个通信节点，并且每个所传送的数据分段到达接收节点并被该接收节点进行处理。图2a图示了一种系统，其中利用防火墙(D1中的26，还参见§17)从通信链路(22)中去除数据帧或分组。防火墙(26)在传送器(25)和接收器(27)之间以中间节点的形式被插入在数据链路(22)中。防火墙(26)对数据分段(28)进行处理并且删除不期望的数据分段(28)。图2b图示了另一系统(参见§21)，其中防火墙(25)实施OSI的七层机制以对通过通信链路(22)从传送器(21)所发送的数据进行缓冲。防火墙(25)对经由通信链路(22)所接收的数据进行处理，删除不期望数据，并且仅将所允许的数据通过另一通信链路(26)重新发送至接收节点(24)。在D1中，考虑到了这些系统的一些缺陷；采用多个OSI层的中间节点形式的防火墙(图2a中的26)必须被插入在第一系统(图2a)中的链路中，而防火墙(图2b中的25)对数据进行缓冲并且必须要采用附加的链路(图2b中的26)。

D1的发明通过针对通过数据通信链路所传送的不期望数据分段给出非入侵式保护而避免了这些缺陷。D1描述了一种用于从数据通信链路中去除数据帧或数据分组的方法和装置(参见§26-27)，其中检测器检测不期望数据分段以及与检测器相关联的无效器使得不期望数据分段无效。该检测和无效并不与通过通信链路的数据流相干扰。D1的系统利用通信系统中已经存在的控制机制，例如OSI模型的层2中的错误控制机制(§60)，以使得不期望数据分段被接收器所删除。通常，无效包括插入可检测的错误(参见§29)。该方法和装置基本上利用通信系统中所存在的错误检测机制，该错误检测机制丢弃错误的分组(§62)。可以通过在两个节点之间向通信链路添加包括检测器和无效器的装置来提供D1的机制，该装置通过向帧添加错误而使得不期望分组无效(图4，和§68)。该错误可以在不延迟流量的情况下进行添加。接收节点随后将在其正常操作中拒绝错误分组(§69)。这提供了简化的防火墙，并且提供了不延迟正常流量的过滤。