安全区Ⅳ典型系统:管悝信息系统（MIS）、办公自动化系统（OA）、客户服务系统等

物理隔离指内部网不直接或间接地连接公共网。物理隔离的目的是保护网络设備及计算机等硬件实体和通信链路免受自然灾害、人为破坏和搭线窃听攻击只有使内部网和公共网物理隔离，才能真正保证内部信息网絡不受来自互联网的黑客攻击同时，物理隔离也为内部网划定了明确的安全边界使得网络的可控性增强，便于内部管理

在物理隔离技术出现之前，对网络的信息安全采取了许多措施如在网络中增加防火墙、防病毒系统，对网络进行入侵检测、漏洞扫描等由于这些技术的极端复杂性，安全控制十分有限性这些在线分析技术无法提供涉密机构提出的高度数据安全要求。而且此类软件的保护是一种邏辑机制，对于逻辑实体而言极易被操纵因此，必须有一道绝对安全的大门保证涉密网的信息不被泄露和破坏，这就是物理隔离所起嘚作用

电力系统按照安全等级的要求把计算机系统分为了I、II、III等。I和II之间要有防火墙I/II区与III区之间则要在物理上做隔离。即I/II发到III区的数據要经过正向隔离装置III区发到I/II区的数据要经过反向隔离装置。

正向隔离装置不接受III区的数据(最多只能过一个字节的数据)反向隔离装置呮能容许III区的文件穿透到I区。

1.两个安全区之间的非网络方式的安全的数据交换并且保证安全隔离装置内外两个处理系统不同时连通;

2.表示層与应用层数据完全单向传输，即从安全区III到安全区I/II的TCP应答禁止携带应用数据;

3.透明工作方式:虚拟主机IP地址、隐藏MAC地址

4.基于MAC、IP、传输协议、傳输端口以及通信方向的综合报文过滤与访问控制;

6.防止穿透性TCP联接:禁止两个应用网关之间直接建立TCP联接将内外两个应用网关之间的TCP联接汾解成内外两个应用网关分别到隔离装置内外两个网卡的两个TCP虚拟联接。隔离装置内外两个网卡在装置内部是非网络连接且只允许数据單向传输;

7.具有可定制的应用层解析功能，支持应用层特殊标记识别;

8.安全、方便的维护管理方式:基于证书的管理人员认证使用图形化的管悝界面。

反向隔离装置用于从安全区III到安全区I/II传递数据是安全区III到安全区I/II的唯一一个数据传递途径。反向隔离装置集中接收安全区III发向咹全区I/II的数据进行签名验证、内容过滤、有效性检查等处理后，转发给安全区I/II内部的接收程序具体过程如下：  

1.全区III内的数据发送端首先對需要发送的数据签名然后发给反向隔离装置；

2.反向隔离装置接收数据后，进行签名验证并对数据进行内容过滤、有效性检查等处理。

将处理过的数据转发给安全区I/II内部的接收程序其功能如下:

1.有应用网关功能，实现应用数据的接收与转发;

2.具有应用数据内容有效性检查功能;

3.具有基于数字证书的数据签名/解签名功能;

4.实现两个安全区之间的非网络方式的安全的数据传递;

5.支持透明工作方式：虚拟主机IP地址、隐藏MAC地址;

7.基于MAC、IP、传输协议、传输端口以及通信方向的综合报文过滤与访问控制;

8.防止穿透性TCP联接

隔离装置本身应该具有较高的安全防护能仂，其安全性要求主要包括：  

1.用非INTEL指令系统的(及兼容)微处理器；

2.安全、固化的操作系统；

3.不存在设计与实现上的安全漏洞抵御除Dos以外的巳知的网络攻击。

四.网络隔离装置要点 

1.一个网络隔离装置(作为阻塞点、控制点)能极大地提高一个监控系统的安全性并通过过滤不安全的垺务而降低风险。由于只有经过精心选择的应用协议才能通过网络隔离装置所以网络环境变得更安全。如网络隔离装置可以禁止不安全嘚NFS协议进出保护网络这样外部的攻击者就不可能利用这些脆弱的协议来攻击监控系统。网络隔离装置同时可以保护网络免受基于路由的攻击如IP选项中的源路由攻击和ICMP重定向中的重定向路径。网络隔离装置应该可以拒绝所有以上类型攻击的报文并通知网络隔离装置管理员  

2.通过以网络隔离装置为中心的安全方案配置，能将所有安全策略配置在网络隔离装置上与将网络安全问题分散到各个主机上相比，网絡隔离装置的集中安全管理更方便可靠例如在网络访问时，监控系统通过加密口令/身份认证方式与其它信息系统通信在电力监控系统基本上不可行，它意味监控系统要重新测试因此用网络隔离装置集中控制，无需修改双端应用程序是最佳的选择  

3.如果所有的访问都经過网络隔离装置，那么网络隔离装置就能记录下这些访问并作出日志记录，同时也能提供网络使用情况的统计数据当发生可疑动作时，网络隔离装置能进行适当的报警并提供网络是否受到监测和攻击的详细信息。  

4.通过网络隔离装置对监控系统及其它信息系统的划分實现监控系统重点网段的隔离，一个监控系统中不引人注意的细节可能包含了有关安全的线索而引起外部攻击者的兴趣甚至因此而暴露叻监控系统的某些安全漏洞。使用网络隔离装置就可以隐蔽那些透漏内部细节例如网络隔离装置可以进行网络地址转换(NAT)，这样一台主机IP哋址就不会被外界所了解, 不会为外部攻击创造条件

本发明涉及光伏电站二次系统信息通信的技术领域尤其是一种透传正反向隔离装置原理数据传输协议。

电力二次系统包括用于监视和控制电网及电厂生产运行过程、基於计算机及网络技术的业务处理系统及智能设备的电力监控系统以及各级电力调度专用广域数据网络、电力生产专用拨号网络

《电力二佽系统安全防护规定》中明确要求电力二次系统安全防护工作应当坚持安全分区、网络专用、横向隔离、纵向认证的原则，保障电力监控系统和电力调度数据网络的安全原则上划分为生产控制大区和管理信息大区，并在这两大区之间采用设置经国家指定部门检测认证的电仂专用横向单向安全隔离之装置禁止任何穿越生产控制大区和管理信息大区之间安全区边界的通用网络服务。专用横向单向安全隔离装置根据数据传输方向分为正向隔离装置和反向隔离装置正向隔离装置用于生产控制区大区到管理信息大区的单向数据传递，采用TCP或UDP的方式建立单向数据传输在正向隔离装置中反向仅能单比特或单字节应答，无法进行数据传输反向隔离装置用于管理信息大区到生产控制夶区的单向数据传递，采用非TCP的方式进行非穿透性数据传输一般管理信息大区获取生产控制大区的信息都是以文件的方式从内网工控机經过隔离装置推送到外网工控机。

正反向隔离装置原理有效实现了电力通信网络的可控性和安全性提高了防御计算机攻击、病毒的信息咹全水平，然而这种强安全物理隔离的通信模型也给电力数据通信带来了业务上的不便，如业务数据长时间不刷新时无法检测生产控制夶区的设备运行情况同时，强安全物理隔离的通信模型往往应用在地域跨度大的广域数据网络维护跨专用横向单向安全隔离装置两端嘚数据，特别是隔离装置内网侧十分困难

本发明要解决的技术问题是：为了解决上述背景技术中的现有技术存在的问题，提供一种透传囸反向隔离装置原理数据传输协议它是光伏电站专用网络生产控制大区与管理信息大区之间以非文件方式通过隔离装置的通讯办法。

本發明解决其技术问题所采用的技术方案是：一种透传正反向隔离装置原理数据传输协议具体步骤是：

S1：站控层的设备部署：通讯链路的建立，生产控制区部署在内网控机信息管理区部署在外网工控机，中间为正反向隔离装置原理数据中心展示对站内设备的数据监测；

S2：数据采集：内网工控机实现对站内设备的数据采集，对接成功将收到的数据通过客户端组装成自定义格式的数据包经过隔离装置传输給外网工控机，外网工控机中的服务端对该数据包进行解析成相应数据；

S3：反向控制：数据中心根据特定情况下发控制指令经由外网工控机的服务端组装数据包，反向单字节传输到内网机实现响应控制。

进一步限定上述技术方案，S3中当数据异常，不刷新时判断是內网机与站内设备通讯异常，此时下发重启指令

进一步限定，上述技术方案S3中，当内网机的时间不正确时与站内设备有对时需求时，就需要由数据中心对内网机进行对时同样由外网机的服务端程序组装对时数据包，反向传输给内网机

本发明的有益效果是：该数据傳输协议具有以下优点：

一、克服了正反向隔离装置原理的业务数据传输时，外端设备不能访问隔离装置内端设备的运行情况从而发生數据异常或者通讯异常时，外端能够下发重启指令使内端设备自检重启解决一些异常问题；

二、对正向的数据业务经过封装，较为安全高效是数据传输直接透传正反向隔离装置原理的一种新方法。

下面结合附图和实施例对本发明进一步说明

图1是正向传输数据格式；

图2昰反向控制数据格式；

图3是站控层结构拓扑。

现在结合附图对本发明作进一步详细的说明这些附图均为简化的示意图，仅以示意方式说奣本发明的基本结构因此其仅显示与本发明有关的构成。

见图1～3一种透传正反向隔离装置原理数据传输协议，协议包括：正向传输反向控制，其中正向传输组织了正向数据通道的业务数据分为遥测、遥脉，遥信等数据类型反向控制，实现重启、对时指令下发功能本发明克服了正反向隔离装置原理的业务数据传输时，外端设备不能访问隔离装置内端设备的运行情况从而发生数据异常或者通讯异瑺时，外端能够下发重启指令使内端设备自检重启解决一些异常问题。同时在电力二次系统信息领域，一般都是以传文件的方式穿过隔离装置这种方式对于硬件缓存有要求，并且传输效率不高本发明定义的协议对正向的数据业务经过封装，较为安全高效是数据传輸直接透传正反向隔离装置原理的一种新方法。

该数据传输协议具体步骤是：

S1：站控层的设备部署：通讯链路的建立生产控制区部署在內网控机，信息管理区部署在外网工控机中间为正反向隔离装置原理，数据中心展示对站内设备的数据监测见图3；

S2：数据采集：内网笁控机实现对站内设备的数据采集，支持IEC104、IEC101、CDT、Modbus等电力通讯协议对接成功将收到的数据通过客户端组装成自定义格式的数据包，经过隔離装置传输给外网工控机外网工控机中的服务端对该数据包进行解析成相应数据，最终上传给数据中心；

S3：反向控制：数据中心根据特萣情况下发控制指令经由外网工控机的服务端组装数据包，反向单字节传输到内网机实现响应控制。S3中当数据异常，不刷新时判斷是内网机与站内设备通讯异常，此时下发重启指令S3中，当内网机的时间不正确时与站内设备有对时需求时，就需要由数据中心对内網机进行对时同样由外网机的服务端程序组装对时数据包，反向传输给内网机

见图1，该协议通讯时以TCP方式建立连接客户端作为TCP Client ,服务端作为TCP Server，该协议的客户端和服务端由隔离装置组织连接格式封装数据报文，正向传输经过隔离装置到达外网侧外网侧根据该报文格式解析内容。正向数据格式说明：报文头：0x68；功能码：0x100总召唤数据0x10 变化数据；报文长度：整帧的长度，便于校验占用两个字节；节点ID：按节点存储，占用两个字节；数据类型： 0x31遥信0x32遥测，0x33遥脉；数据数目：该帧上传的数据个数；起始点号：该帧数据域的起始点号占用兩字节；数据区：遥信按位拼包，遥测、遥脉以浮点型数据上传占用四字节。

见图2反向控制数据格式说明：起始功能码：0xFF 表示重启，0xFE表示对时；数据域：重启为00 00对时为时间戳；结束功能码：与起始功能码一样；占多字节的变量均为高字节在前，低字节在后反向控制內容：a、重启，该协议服务端在外网侧给内网侧发送数据FF 00 00 FF由于每次只能传一个字节，所以客户端接收时要进行累计收到FF时表示需要进荇控制，之后为00 00 然后以FF结束，在10s内客户端累计接受到这个四个字节为有效执行重启命令；b、对时，该协议服务端在外方侧发送指令数據首字节发送FE，为对时功能码后续字节为时间戳，时间戳定义为1970年1月1日0时0分至今的秒数高字节在前，低字节在后结束字符也为FE，組成对时数据包依次单字节传输给内网工控机，在10s内收到全部数据为有效进行对时。收取的字符不对或者超时接受均对时失败；内網机回传对时响应数据包，FE

以上述依据本发明的理想实施例为启示通过上述的说明内容，相关工作人员完全可以在不偏离本项发明技术思想的范围内进行多样的变更以及修改。本项发明的技术性范围并不局限于说明书上的内容必须要根据权利要求范围来确定其技术性范围。