[发明专利]面向工业嵌入式系统的网络信息安全防护单元和防护方法

摘要

本发明涉及面向工业嵌入式系统的网络信息安全防护单元和防护方法，具体方法为通过集成访问控制、身份认证与通信数据加密等安全技术形成网络安全单元NGU来为现场控制设备提供主动防护。NGU包括访问控制模块、身份认证模块、数据加密模块、密钥协商模块和PCIE通信模块，支持双网卡与PCIE总线通信模式。本发明在保证工业控制系统中各类终端设备安全的正确性及可行性基础上，结合信息安全领域主动防护技术手段为工业控制系统构建安全可信的运行环境。

主权项

1.面向工业嵌入式系统的网络信息安全防护单元，其特征在于，包括：访问控制主动检测模块，用于过滤拦截无访问权限的数据流，检测到非法访问流量时，立即阻断数据通信并报警；身份认证模块，用于使用NGU的现场控制设备通过自己的设备证书与其他通信节点进行身份合法性认证；通过认证后允许通信；密钥协商模块，用于检测通信加密功能所使用的密钥是否存在脆弱性和/或过期；若是，则进行对会话密钥的协商操作；通信数据加解密模块，用于使用NGU的现场控制设备通过身份认证后建立加解密通信连接；对需要通信的数据采用国产商用密码系列算法进行加解密；NGU双网卡模式通信模块和/或NGU网卡+PCIE通信模块；其中，NGU双网卡模式通信模块，用于NGU作为单独模块外置到嵌入式设备通信网络中时，通过采用一对NGU构建虚拟通讯链路，实现对嵌入式设备之间的通讯数据加密处理；NGU网卡+PCIE通信模块，用于NGU与嵌入式设备组成系统时，通讯接口方式为PCIE；PLC为主设备，NGU为从设备；两个设备共用NGU内部的两个数据区进行资源交换以达到PCIE与网卡通信数据转换。