[发明专利]一种工业终端主机维护方法及设备

说明书

本发明公开了一种维护方法及设备，属于工业终端主机技术领域，具体涉及一种工业终端主机维护方法及设备，本发明通过在维护工作中，进行建立传输通道与安全通道两个通道，并对安全通道进行通过协商初始化过程中的密钥协商协议，实现签名密钥自动分发、会话密钥协商生成、协议可证安全；通过数据交互过程，确保隧道转发报文的真实性、完整性和机密性，同时设置匹配转发和安全处理两个模块可以为数据报文提供安全服务和实现传输通道的报文匹配转发和安全通道的验证报文、报文解密工作，从而本发明有效实现了数据传输中的加解密和签名验证，确保了传输数据报文的真实性、完整性、机密性，解决传统通道的配置复杂、效率低下等问题。

技术领域

本发明公开了一种维护方法及设备，属于工业终端主机技术领域，具体涉及一种工业终端主机维护方法及设备。

背景技术

工程师站、操作员站等工业终端主机是工业控制系统重要组成部分。工业终端主机的安全关乎整个工业控制系统的安全级。如果工控主机感染病毒或恶意程序，将对工业控制系统形成严重的安全威胁，一旦受到攻击，将会导致直接的经济损失，甚至酿成重大的生产安全事故。大量已发生的席卷全球的工控网络安全事件也表明，工控主机是一个脆弱的、极易被利用的攻击入口。

现有技术中为保护工业终端主机，需要进行工业终端主机的日常维护，通常由上位机和控制器组合进行工业终端主机的数据指令的收发工作，但现有技术中上位机和控制器、终端主机采用一个通道进行数据传送，且上位机和控制器不止控制一个终端主机，这样会大大增加工作的载荷，同时会出现数据错乱，同时由于数据多杂乱，导致数据的解析需要很长的时间，同时由于单通道传传输，传输的安全性极低，非常会被拦截入侵以及盗取。

发明内容

发明目的：提供一种工业终端主机维护方法及设备，解决上述提到的问题。

技术方案：一种工业终端主机维护方法，包括：

建立传输层中的传输通道与安全通道；将终端主机和上位机分别与其匹配的转发设备建立独立的传输通道、并建立属于终端主机转发设备和上位机转发设备的独立安全通道；

控制层中控制器对所述安全通道进行协商初始化；利用转发设备中的网关通过通道协商请求、应答报文，应用密钥协商协议生成会话密钥，实现终端主机和上位机转发设备中的网关之间共享会话密钥，为数据收发过程提供安全支撑；在协议开始前，终端主机和上位机各自选取随机数生成终端主机和上位机的临时公开协商密钥、，生成过程如下：

其中，、表示终端主机和上位机各自选取随机数，是基于选定的公开大素数，是有限域中的本原元，表示通道协商初始化过程中密钥协商协议的发起端即终端主机的转发设备，表示为通道协商初始化过程中密钥协商协议的接收端即上位机的转发设备；

进行传输通道与安全通道中的数据交互；所述数据交互包括：

传输通道数据传输，实现终端主机和上位机与其匹配的转发设备形成的传输通道中的数据的收发工作；

安全通道数据传输，即数据在安全通道中的交互工作，实现通道报文的封装和解封；

所述传输通道数据传输包括：

匹配转发，包括传输通道和安全通道两种工作；传输通道匹配转发根据收到的控制器下发的流规则匹配密码标识中的网关标识字段，从而实现基于通道网关标识的报文匹配转发，安全通道匹配转发对来自终端主机的数据报文经安全处理模块报文加密、生成报文验证字段后，添加密码标识转发给安全通道；对来自安全通道的数据报文经安全处理模块验证报文、报文解密后，去除密码标识转发给上位机；

安全处理，为数据报文提供安全服务，对数据报文进行加解密处理和签名认证，验证数据真实性和完整性，同时实现数据机密性保护，确保转发数据安全。