[发明专利]OPC安全代理系统及其代理方法

说明书

技术领域

本发明涉及信息系统安全技术，特别是涉及一种能满足较高的安全性隔离要求的OPC安全代理系统及其代理方法的技术。

背景技术

OPC规范概述：

在电力系统控制领域，各种现场总线控制系统正在日益发挥着重要的作用。然而，由于可用于电力系统控制的现场总线系统种类繁多，其访问方式与接口均各不相同，致使电力控制各应用系统日益复杂，任何应用需要访问任一种现场总线系统都必须要按照该现场总线系统的规范开发一整套底层的驱动及通信模块，其控制模式如图1所示。

对这样的控制方式，各控制系统的软硬件升级与维护都非常不便。为此，OPC(OLE for Process Control)基金会提出了OPC标准体系，该标准体系基于Microsoft的OLE/COM/DCOM技术为基础，采用客户/服务器模式，基于Windows的客户端可以通过标准的OPC接口访问位于各控制系统的OPC服务器接口。采用这种模式，各现场控制系统厂商只需要开发一个标准的OPC服务器接口，即可屏蔽各种复杂的控制系统底层差异，为客户端提供统一的服务接口，而客户端通过标准的OPC接口就可以实现对异种控制系统的访问。OPC提供了一系列的规范，在具体的实现过程中，用户可以根据需要使用相应的规范。其中数据访问规范提供给用户访问实时过程数据的方法；报警和事件规范提供了一种由服务器程序将现场的事件或报警通知客户程序的机制；历史数据存取规范用来提供用户存储的过程数据存档文件、数据库或远程终端设备中的历史以及分析这些历史过程数据的方法。OPC规范很好的解决了客户端对异种控制系统的访问，在电力系统得到了广泛的应用。其控制访问模式如图2所示。

在电力生产系统环境中，现场总线控制系统(OPC服务器端)一般位于生产内网中，有很高的安全性要求，而部分OPC客户端系统则可能需要位于生产管理层外网，该网可能与外网相通。现有的OPC标准体系对跨接在两个安全性要求不同的网间运行并没有完整的安全性措施，此类应用将产生很大的安全性隐患。

二、现有技术解决方案及缺陷

为解决在安全性要求不同的内外网间在保证安全的情况下保持适当的信息互通要求，目前的常规做法是使用防火墙或隔离网闸。通用的防火墙只实现对TCP连接会话的控制，不提供强安全性的用户认证手段，一般只用于两个不同网络边界之间的访问控制。隔离网闸可以切断内外网的TCP/IP连接，提供很强的安全性隔离，但目前的隔离网闸都只提供诸如Web访问、FTP文件传输、电子邮件收发等通用的网络服务，一般少有提供强安全用户认证手段，目前尚未见到有支持OPC协议的隔离网闸。

发明内容

针对上述现有技术中存在的缺陷，本发明所要解决的技术问题是提供一种能保持生产系统内外网间各种授权OPC透明访问的同时，满足较高的安全性隔离要求的，具有安全网关功能的OPC安全代理系统及其代理方法。

为了解决上述技术问题，本发明所提供的一种OPC安全代理系统，其特征在于，包括OPC安全代理服务器、至少一个分别连接OPC安全代理服务器的OPC客户端和至少一个分别连接OPC安全代理服务器的OPC服务器；其中作为安全网关，OPC安全代理服务器跨越用户内部具有不同安全性要求的内外网；是整个系统的关键；该安全代理服务器采用Linux操作系统平台并经过严格裁剪和重新编译，以确保系统不存在已知的安全漏洞；所述安全代理服务器包括互相连接的基于USBkey的X.509身份认证及密钥交换模块、OPC请求权限验证及代理转发模块、数据加密模块等。

进一步的，所述安全代理服务器的基于USBkey的X.509身份认证及密钥交换模块设有一个符合X.509标准的CA及目录服务器用以签发和发布各使用者的数字证书；系统中每个用户使用基于USB接口的密钥载体USBkey产生和保存个人的私人密钥以及数字证书，在需要使用用户的私人密钥进行身份鉴别和签名时，整个过程在USBkey内完成。其私人密钥一旦产生，就不可读、不可拆解、永不输出的保存在USBkey中，从物理上保证了私人密钥的安全，而USBkey则由PIN码保护。

进一步的，所述OPC安全代理系统使用X.509建议的三向鉴别实现用户和安全代理服务器之间的身份鉴别和会话密钥交换。