[发明专利]工控系统终端安全防护方法

权利要求书

1.一种工控系统终端安全防护方法，其特征在于，所述工控系统终端安全防护方法基于工控系统终端安全防护系统来实施，所述工控系统终端安全防护系统包括：终端安全防护设备、终端安全集中管理系统；

所述工控系统终端安全防护系统运行于工控设备终端安全防护系统安全域中，所述工控设备终端安全防护系统安全域中除了所述防护系统之外，还包括：多个工业防火墙、交换机、数控机床组、可编程逻辑控制器组、分散型控制系统组、监控和数据采集系统组，与数控机床组、可编程逻辑控制器组、分散型控制系统组、监控和数据采集系统组分别对应的CNC-MES信息化管理系统、PLC-MES信息化管理系统、DCS-MES信息化管理系统、SCADA-MES信息化管理系统，四个OPC服务器/数据库以及四个监视终端；其中，四个OPC服务器/数据库以及四个监视终端一一对应数控机床组、可编程逻辑控制器组、分散型控制系统组、监控和数据采集系统组设置；

其中，所述工控系统终端安全防护系统组成终端安全防护层；

CNC-MES信息化管理系统、PLC-MES信息化管理系统、DCS-MES信息化管理系统、SCADA-MES信息化管理系统、工业防火墙、交换机组成工业控制系统层；

数控机床组、可编程逻辑控制器组、分散型控制系统组、监控和数据采集系统组，四个OPC服务器/数据库和四个监视终端组成制造生产执行层；

所述终端安全集中管理系统包括：强身份鉴别模块、双重访问控制模块、接口防护策略模块、文件深度解析模块；

所述工控系统终端安全防护方法具体包括如下步骤：

步骤1：强身份鉴别模块对用户的登录操作进行强身份鉴别，生成身份鉴别结果成功消息或身份鉴别结果失败消息，并发送给双重访问控制模块；

步骤2：双重访问控制模块在接收到身份鉴别结果成功消息的情况下，根据管理员的指令对工控设备进行集中配置，生成工控设备配置结束信息发送至接口防护策略模块；并且，双重访问控制模块比对普通用户的访问权限，生成用户访问控制成功信息或用户访问控制失败信息，并发送至接口防护策略模块；

步骤3：接口防护策略模块在接收到工控设备配置结束信息后，对工控设备进行接口防护策略配置，生成以该工控设备唯一标识和当前时间为名称的xml配置文件，并将该xml配置文件发送至文件深度解析模块；

步骤4：文件深度解析模块将xml配置文件发送至工控设备，进行防护策略配置，工控设备根据当前配置的防护策略进行后续制造生产执行操作；

所述双重访问控制模块包括：用户身份判断单元、网段配置单元、设备配置单元、权限配置单元、权限匹配判断单元、访问控制结果生成单元；

所述步骤2具体包括如下子步骤：

步骤21：用户身份判断单元在接收到身份鉴别结果成功消息的情况下，对用户身份进行判断，在用户身份为管理员时，生成第一触发信号至网段配置单元，在用户身份为普通用户时，生成第二触发信号至权限匹配判断单元；

步骤22：网段配置单元在收到第一触发信号后，允许管理员用户登录工控系统终端安全防护系统，并根据管理员用户的指令配置终端安全防护设备的IP地址和子网掩码，使终端安全防护设备和工控设备终端安全防护系统安全域中的所有工控设备在同一个网段；所述工控设备包括：数控机床组、可编程逻辑控制器组、分散型控制系统组、监控和数据采集系统组；

步骤23：设备配置单元根据管理员用户的指令进行工控设备终端安全防护系统安全域中工控设备的集中配置，生成工控设备配置结束信息，并发送至接口防护策略模块；

步骤24：权限配置单元根据管理员用户的指令完成普通用户和对应工控设备之间的访问控制权限配置，生成访问控制权限配置结束信息；

步骤25：权限匹配判断单元在收到第二触发信号后，允许普通用户登录工控系统终端安全防护系统，同时比对普通用户和工控设备的访问控制权限之间的对应关系，若访问控制权限的对应关系匹配，则允许用户登录并按照访问控制权限操作该工控设备，若访问控制权限的对应关系不匹配，则拒绝用户登录并按照访问控制权限操作该工控设备；

步骤26：访问控制结果生成单元在访问控制权限的对应关系匹配的情况下，生成用户访问控制成功信息，并发送至接口防护策略模块；在访问控制权限的对应关系不匹配的情况下，生成用户访问控制失败信息，并发送至接口防护策略模块。