[发明专利]一种安全防护方法、控制单元及工业控制系统

权利要求书

1.一种安全防护方法，其特征在于，应用于工业控制系统的控制单元中，该方法包括：

接收预设模式下传输的第一数据包；

按照预设校验检查规则对所述第一数据包进行校验检查，将过滤校验出错数据后的第一数据包作为第二数据包输出；

按照预设的合理数据包长度对所述第二数据包的长度进行检测，将符合预设的合理数据长度的第二数据包作为第三数据包输出；

按照预设安全规则对所述第三数据包进行安全检查，对符合所述安全规则的所述第三数据包做冗余取舍，获取第四数据包并传递给控制中央处理器CPU。

2.根据权利要求1所述的方法，其特征在于，包括：

当预设模式为广播模式时，所述第一数据包包括广播数据包；

当预设模式为直接模式时，所述第一数据包包括发送给控制单元的点播、组播数据包。

3.根据权利要求1所述的方法，其特征在于，所述预设校验检查规则包括：

循环冗余校验码CRC、因特网互联协议IP、用户数据包协议UDP和传输控制协议TCP中的一种或任意组合。

4.根据权利要求1所述的方法，其特征在于，所述预设安全规则包括：

根据系统特性而确定的合法数据包协议、数据包源IP地址范围、数据包头部长度限制、传输层端口标致检验符校验和应用层标致检验符校验中的一种或任意组合。

5.根据权利要求1~4中的任意一项所述的方法，其特征在于，在接收预设模式下传输的第一数据包之后，还包括：

按照预设的限流方式和限流阈值判断所述第一数据包是否触发系统预设的诊断报警条件；

当触发时，则报警；

当未触发时，返回执行按照预设校验检查规则对所述第一数据包进行校验检查这一步骤。

6.根据权利要求1~4中的任意一项所述的方法，其特征在于，在对所述第二数据包的长度进行检测之后，还包括：

丢弃超过预设的合理数据包长度的第二数据包；

和/或，当超过预设的合理数据包长度的第二数据包触发系统预设的诊断报警条件时，报警。

7.根据权利要求1~4中的任意一项所述的方法，其特征在于，在对所述第三数据包进行安全检查之后，还包括：

丢弃不符合安全规则的第三数据包；

和/或，当不符合安全规则的第三数据包触发系统预设的诊断报警条件时，报警。

8.一种控制单元，其特征在于，包括工业防火墙和控制中央处理器CPU，其中：

工业防火墙包括：

端口硬件防护模块，用于根据预设校验检查规则对接收到的预设模式下传输的第一数据包进行过滤，将过滤校验出错数据后的第一数据包作为第二数据包输出；

端口软件防护模块，用于根据预设的合理数据包长度检测所述第二数据包，将符合预设的合理数据长度的第二数据包作为第三数据包输出；

通讯中央处理器CPU软件防护模块，用于根据预设的安全规则检查第三数据包，并对符合预设的安全规则的数据包进行冗余取舍处理，生成第四数据包传递给控制中央处理器CPU；

控制中央处理器CPU，用于接收经过所述工业防火墙得到的第四数据包并对其进行运算和控制。

9.根据权利要求8所述的控制单元，其特征在于，还包括：

诊断报警模块，用于当按照预设的限流方式和限流阈值判断第一数据包触发系统预设的诊断报警条件时，和/或，超过预设的合理数据包长度的第二数据包触发系统预设的诊断报警条件时，和/或，当不符合安全规则的第三数据包触发系统预设的诊断报警条件时，生成诊断报警信息，并报警。

10.一种工业控制系统，包括监控层、网络层、现场层，其特征在于，现场层包括权利要求8~9中的任意一项所述的控制单元。