CN208445578U - 跨安全区协议转换装置 - Google Patents

Abstract

本实用新型涉及一种跨安全区协议转换装置，包括连接在管理信息大区和生产控制大区非控制区之间的正反向隔离设备，以及连接在正反向隔离设备和生产控制大区非控制区之间的协议转换器；正反向隔离设备包括网络安全隔离装置以及连接网络安全隔离装置的终端管理控制台；网络安全隔离装置的一端连接管理信息大区，另一端连接生产控制大区非控制区；协议转换器包括处理器以及连接处理器的存储器；处理器的一端连接生产控制大区非控制区，另一端通过网络安全隔离装置连接管理信息大区。本实用新型能够优化跨安全区协议转换的结构，极大提升跨区数据交互的效率，可支持多种协议转换，保证了跨安全区数据交互的安全性，具有较强的可扩展性。

Description

跨安全区协议转换装置

技术领域

本实用新型涉及智能变电站通信技术领域，特别是涉及一种跨安全区协议转换装置。

背景技术

随着智能变电站的快速发展，基于站内二次设备数字化统一建模、统一管控的***得到广泛的应用，促进了电网信息化建设，也对电网二次***的安全防护提出更高的要求。为了适应安全防护新的要求，当前提出将变电设备在线监测***和输电线路设备在线监测***置于生产控制大区非控制区，远程中心***和Web(World Wide Web)发布功能应置于管理信息大区。非控制区采集数据应交由管理信息大区模块接入展示。而跨安全区间数据交互部署、性能、可扩展性越来越成为关注的问题。

在实现过程中，发明人发现传统技术中至少存在如下问题：传统跨安全区数据交互功能单元需要部署多个功能单元，部署复杂且效率不能保证，出现问题不容易排查，不能完全有效满足跨安全区数据交互的高并发性、数据传输的要求。

实用新型内容

基于此，有必要针对传统技术不能完全有效满足跨安全区数据交互的高并发性、数据传输的要求的问题，提供一种跨安全区协议转换装置。

为了实现上述目的，本实用新型实施例提供了一种跨安全区协议转换装置，包括连接在管理信息大区和生产控制大区非控制区之间的正反向隔离设备，以及连接在正反向隔离设备和生产控制大区非控制区之间的协议转换器；

正反向隔离设备包括网络安全隔离装置以及连接网络安全隔离装置的终端管理控制台；网络安全隔离装置的一端连接管理信息大区，另一端连接生产控制大区非控制区；

协议转换器包括处理器以及连接处理器的存储器；处理器的一端连接生产控制大区非控制区，另一端通过网络安全隔离装置连接管理信息大区。

在其中一个实施例中，协议转换器为61850协议转换器。

在其中一个实施例中，网络安全隔离装置为SysKeeper2000；终端管理控制台为SysKeeperConsole。

在其中一个实施例中，SysKeeper2000通过RS232接口连接SysKeeperConsole。

在其中一个实施例中，SysKeeper2000分别通过RJ45网口连接管理信息大区、生产控制大区非控制区。

在其中一个实施例中，处理器通过第一网络控制器连接生产控制大区非控制区，通过第二网络控制器连接网络安全隔离装置。

在其中一个实施例中，第一网络控制器通过RJ45网口连接生产控制大区非控制区；第二网络控制器通过RJ45网口连接网络安全隔离装置。

在其中一个实施例中，第一网络控制器为CP2200；第二网络控制器为CP2200。

在其中一个实施例中，处理器为C8051F型微处理器。

在其中一个实施例中，存储器为C8051F型微处理器内部的Flash。

上述技术方案中的一个技术方案具有如下优点和有益效果：

通过内部集成正反向隔离设备以及协议转换器等功能单元，只需分别连接到各分区(管理信息大区和生产控制大区非控制区)网关即可使用，本实用新型简化了跨区数据交互部署的复杂度，能够优化跨安全区协议转换的结构；其中，协议转换器从生产控制大区非控制区获取数据，由处理器基于存储器中的内置模型对数据进行协议转换，协议转换完成后传输给网络安全隔离装置；网络安全隔离装置利用终端管理控制台实现跨区数据传输的规则配置、***管理以及链路监控的设置，并将符合规则的数据传输到管理信息大区并最终传输到管理信息大区；其次，网络安全隔离装置获取来自管理信息大区的数据，利用终端管理控制台设置的文本编码校验等规则，对传输的数据进行符合规则检查，并将符合规则的数据传输到生产控制大区非控制区。本实用新型实施例可极大提升跨区数据交互的效率，也可支持多种协议转换，保证了跨安全区数据交互的安全性，具有较强的可扩展性。

附图说明

通过附图中所示的本实用新型的优选实施例的更具体说明，本实用新型的上述及其它目的、特征和优势将变得更加清晰。在全部附图中相同的附图标记指示相同的部分，且并未刻意按实际尺寸等比例缩放绘制附图，重点在于示出本实用新型的主旨。

图1为一个实施例中本实用新型跨安全区协议转换装置的结构示意图；

图2为一个实施例中本实用新型跨安全区协议转换装置的第一示意性功能架构图；

图3为一个实施例中本实用新型跨安全区协议转换装置的第二示意性功能架构图；

图4为一个实施例中本实用新型跨安全区协议转换装置中部分统一状态监测模型示意图；

图5为一个实施例中本实用新型跨安全区协议转换装置中任务集控支持框架的***结构示意图；

图6为一个实施例中本实用新型跨安全区协议转换装置中正反向隔离设备结构示意图；

图7为一个实施例中本实用新型跨安全区协议转换装置中正向传输结构示意图；

图8为一个实施例中本实用新型跨安全区协议转换装置中反向传输结构示意图。

具体实施方式

为了便于理解本实用新型，下面将参照相关附图对本实用新型进行更全面的描述。附图中给出了本实用新型的首选实施例。但是，本实用新型可以以许多不同的形式来实现，并不限于本文所描述的实施例。相反地，提供这些实施例的目的是使对本实用新型的公开内容更加透彻全面。

需要说明的是，当一个元件被认为是“连接”另一个元件，它可以是直接连接到另一个元件并与之结合为一体，或者可能同时存在居中元件。本文所使用的术语“一端”、“另一端”以及类似的表述只是为了说明的目的。

除非另有定义，本文所使用的所有的技术和科学术语与属于本实用新型的技术领域的技术人员通常理解的含义相同。本文中在本实用新型的说明书中所使用的术语只是为了描述具体的实施例的目的，不是旨在于限制本实用新型。本文所使用的术语“及/或”包括一个或多个相关的所列项目的任意的和所有的组合。

传统跨安全区数据交互功能单元具体包括：非控制区数据采集单元(IEC61850协议)、安全区间隔离装置、管理信息区数据处理单元(104协议)、管理信息区数据接入单元等。跨区数据交互由非控制区数据采集单元通过IEC61850协议读取监测装置数据，经由安全区间隔离装置传输到管理信息区，管理信息区数据处理单元将接收并转化为104协议数据，由管理信息区数据接入单元接入到远程中心***中。

可以明确，传统跨安全区各功能处理单元需要包括非控制区数据采集单元(IEC61850协议)、采集数据处理单元、安全区间隔离装置以及管理信息区数据接入单元等，其中各功能单元由不同公司提供，从部署、数据传输效率、可扩展性均存在一定影响。

传统跨安全区数据交互部署结构复杂，不能完全有效满足跨安全区数据交互的高并发性、数据传输的要求。传统技术部署的数据交互功能单元较多，并且各功能单元需部署不同机器，出现问题不容易排查；同时，部署维护难度大，效率也难保证；此外，传统跨安全区数据交互功能单元的功能单一，扩展性差，接入其他协议需重新开发，且各处理单元耦合性较差，分开部署，数据交互效率受到一定影响。

而本实用新型跨安全区协议转换装置内部集成了功能单元，只需分别连接到分区网关即可使用。不仅提供统一调试工具，进行问题排查，而且提供多种协议间转换，提供较强可扩展性。

在一个实施例中，如图1所示，提供了一种跨安全区协议转换装置，包括：

连接在管理信息大区和生产控制大区非控制区之间的正反向隔离设备110，以及连接在正反向隔离设备和生产控制大区非控制区之间的协议转换器120；

正反向隔离设备110包括网络安全隔离装置112以及连接网络安全隔离装置112的终端管理控制台114；网络安全隔离装置112的一端连接管理信息大区，另一端连接生产控制大区非控制区；

协议转换器120包括处理器122以及连接处理器的存储器124；处理器122的一端连接生产控制大区非控制区，另一端通过网络安全隔离装置112连接管理信息大区。

其中，协议转换器从生产控制大区非控制区获取数据，由处理器基于存储器中的内置模型(现有模型，例如部分平台数据模型)对数据进行协议转换，协议转换完成后传输给网络安全隔离装置；网络安全隔离装置利用终端管理控制台实现跨区数据传输的规则配置、***管理以及链路监控的设置，并将符合规则的数据传输到管理信息大区并最终传输到管理信息大区；其次，网络安全隔离装置获取来自管理信息大区的数据，利用终端管理控制台设置文本编码校验等规则，对传输的数据进行符合规则检查，并将符合规则的数据传输到生产控制大区非控制区。

为了进一步说明本实用新型跨安全区协议转换装置的结构，特以具体的功能性架构为例，说明本实用新型的具体工作过程；如图2所示，本实用新型跨安全区协议转换装置的硬件核心处理器可以采用非Intel(及兼容)的双微处理器，并基于配置好的Linux内核，搭建构架正反向隔离设备的正向隔离功能、反向隔离功能，进而实现两个安全区之间的非网络方式的安全的数据交换，并且保证安全隔离装置内外两个处理***(即生产控制大区非控制区、管理信息大区)不同时连通。

其中，可基于现有技术配置好上述Linux内核，例如，删除不必要的文件和目录；又如，根据实际需求，对Linux内核的功能进行适当的裁剪，针对通用Linux操作***的漏洞，取消危险的***调用或者截获***调用，限制命令执行权限，取消IP(Internet Protocol)转发功能，检查每个分组的接口，采用随机连接序号，驻留分组过滤模块，取消动态路由功能等。

进一步的，正反向隔离设备分别连接生产控制大区非控制区、管理信息大区的应用网关；其中，本实用新型可通过网络安全隔离装置制定、修改相应的规则，来实现跨区数据交互。

具体地，正向型(生产控制大区非控制区-管理信息大区)功能：

1)2个安全区非网络方式的数据交互，且保证不同时连通，即网络安全隔离装置同一时间只能连接到一个安全区。

2)表示层与应用层数据完全单向传输，即管理信息大区的TCP(TransmissionControl Protocol，传输控制协议)应答禁止携带应用数据

3)防止穿透性TCP联接：禁止2个应用网关之间直接建立TCP联接

反向型(管理信息大区-生产控制大区非控制区)功能：

网络安全隔离装置集中接收管理信息大区发送的数据，经过终端管理控制台进行签名验证、内容过滤、有效性检查等处理后，转发给生产控制大区非控制区。

本实用新型通过内部集成的正反向隔离设备，实施上述已配置好的Linux内核，能够对可能产生漏洞的服务进行裁剪，并能够取消所有网络功能，采取无IP地址的透明监听方式，支持网络地址转换，内设综合报文过滤，防止穿透性的TCP连接。应用层解析，支持身份认证，单向数据通信控制，单向连接控制，维护管理界面灵活方便。

其次，本实用新型中的协议转换器能够实现协议转换功能，且该协议转换功能属于现有程序；例如，可由处理器调用存储器中的内置模型(即部分平台数据模型，如IEC61850协议相关的部分平台数据模型)，将生产控制大区非控制区正向传输的数据快速转换为平台所需协议的数据，并可将生成的数据保存到文件中(例如，以E文件的格式保存到本地目录或指定FTP目录)，管理信息区可通过FTP(File Transfer Protocol，文件传输协议)直接访问结果文件，也可通过其它协议(例如，104协议)或自定义协议直接接入数据到数据平台。

需要说明的是，处理器调用存储器中的内置模型的过程，亦可基于现有软件程序实现，例如，将内置模型以文件(二进制)形式存放于存储器中，处理器启动时会加载该内置模型信息。

基于上述内部集成的协议转换器，本实用新型跨安全区协议转换装置，能够同时支持多种协议间的转化，例如，IEC61850协议、104协议、MODBUS-TCP协议的转化，并可以将传输的结果以E文件的格式保存到本地目录或指定FTP目录，为后续数据校验、排除、追溯提供了基础。

进一步的，本实用新型跨安全区协议转换装置在实际运行中，还可提供任务监控服务，对整个转换过程提供任务监控来保证协议转换的正常运行；一旦运行过程中出现异常，以日志、告警的方式提供给用户，降低了后续维护的压力，具有较强的可扩展性，保证了跨区数据交互的稳定性。

上述跨安全区协议转换装置中，通过内部集成正反向隔离设备以及协议转换器等功能单元，只需分别连接到各分区(管理信息大区和生产控制大区非控制区)网关即可使用；本实用新型简化了跨区数据交互部署的复杂度，能够优化跨安全区协议转换的结构，极大提升跨区数据交互的效率，可支持多种协议转换，保证了跨安全区数据交互的安全性，具有较强的可扩展性。

在一个实施例中，如图3所示，提供了一种跨安全区协议转换装置，其中，协议转换器为61850协议转换器。

具体而言，本实用新型要能够优化跨安全区协议转换的结构，提升跨安全区协议转化的性能及实际使用可靠性、可扩展性。而基于前述内部集成正反向隔离设备以及协议转换器的跨安全区协议转换装置的结构，从具体实现的功能角度划分，本实用新型可以实现如图3所示的功能架构：底层特别配置Linux内核(1)，任务集控、监控、调度框架(2)，跨区协议转换模块(3)，正反向隔离模块(4)；

其中，跨区协议转换模块(3)支持多种协议通讯方式，可通过以太网接口、ModBus、GPRS(General Packet Radio Service)等方式从生产控制大区非控制区的监测装置采集数据；正反向隔离模块(4)可通过以太网接口将跨区协议转换模块(3)转换的数据传输到管理信息大区。

进一步的，本实用新型跨安全区协议转换装置，按照安全防护的要求及接入展示数据的实际需求，还可由61850协议转换器运行依据IEC61850标准制定在线监测数据采集模型，从而能够对实际关心的通道进行高频数据采集，同时可构建多任务执行集控、调度支持框架，实现多个监测通道装置的同时接入(即61850协议转换器对多通道进行高频数据采集，根据内置模型数据，同时对不同通道的数据启动多个任务、定时启动数据采集，启动任务周期可根据需要设定)。

其中，由存储器通过存储的方式将在线监测数据采集模型内置于本实用新型跨安全区协议转换装置中，61850协议转换器在启动时会加载该内置模型信息；在线监测模型可基于现有技术得到，能够无缝融合到管理信息大区的平台数据模型，例如，基于IEC 61850标准，采用SCL模型(在线监测数据采集模型)构建，模型涵盖在线监测各功能***，根据实际需求无缝结合到输变电统一状态监测模型中。

如图4所示，为部分统一状态监测模型示意图；而具体映射关系、部分统一状态监测模型参见表1：

表1-统一状态监测模型与SCL模型映射

需要说明的是，上述统一状态监测模型是输变电监测诊断信息平台构建的，以包含IEC61970、IEC61968两部分的IEC TC57公共信息模型(Common Information Model，CIM)为基础，结合实际业务适当进行裁剪扩展的输变电状态监测信息模型。本领域技术人可通过从数据远程传送角度对统一状态监测模型的原有模型进行扩展，扩展建立或补充描述状态监测和分析所需的监测点、物理设备及技术参数等模型，从而与基于IEC61850的在线监测模型实现无缝结合。

本实用新型中的61850协议转换器，能够构建多任务执行集控、调度支持框架，实现多个监测通道装置的同时接入；具体而言，任务集控支持&调度框架针对跨区任务执行及监控，负责任务的调度及控制，为任务实现提供规范和支持，提供了任务执行信息统计、状态通知等服务，实现对任务集中监控。

任务集控支持&调度框架可基于网络管理服务(XAgent)实现，由任务调度服务器(XT_TaskServer)和任务集控支持服务器(XTMS)模块构成。任务集控支持框架的***结构如图5所示。

本实用新型跨安全区协议装换装置，基于内部集成的61850协议转换器运行内置模型，具体能够实现：并发接入61850通道数>5000，并发接入无线监测装置>5000，61850接入数据点总量>100000，无线接入数据点总量>100000，前置全模型跨隔离装置模型同步响应时<30分钟，前置增量模型跨隔离装置模型同步响应时间<5分钟，监测装置操控命令传输时间<5秒，单监测装置实时数据传输时延<2秒。

在一个实施例中，如图6所示，本实用新型跨安全区协议转换装置中的正反向隔离设备的结构示意图；本实用新型跨安全区协议转换装置，基于内部集成的正反向隔离设备和协议转换器，能够简化跨区数据交互部署的复杂度，并通过任务集控、调度框架极大提升了跨区数据交互的效率，能够实现：跨区最大传输延时1ms(毫秒)，最大硬件数据吞吐600Mbps(兆比特每秒)，最大并发用户数350，最大并发连接数1600，应用层数据传输率500Mbps。

同时，跨安全区协议转换装置能够支持IEC61850协议、104协议、MODBUS-TCP及自定义协议的转化，并提供整体任务监控来保证协议转换的正常运行，降低了后续维护的压力，具有较强的可扩展性。

在一个实施例中，网络安全隔离装置为SysKeeper2000；终端管理控制台为SysKeeperConsole。

SysKeeper2000通过RS232接口连接SysKeeperConsole；SysKeeper2000分别通过RJ45网口连接管理信息大区、生产控制大区非控制区。

在一个实施例中，处理器通过第一网络控制器连接生产控制大区非控制区，通过第二网络控制器连接网络安全隔离装置。第一网络控制器通过RJ45网口连接生产控制大区非控制区；第二网络控制器通过RJ45网口连接网络安全隔离装置。

在一个实施例中，第一网络控制器为CP2200；第二网络控制器为CP2200。

在一个实施例中，处理器为C8051F型微处理器；存储器为C8051F型微处理器内部的Flash。

具体而言，图7为一个实施例中本实用新型跨安全区协议转换装置中正向传输结构示意图；如图7所示，正反向隔离设备，在正向传输过程中，主要实现从生产控制大区非控制区获取数据，并进行协议转换，协议转换完成后传输给网络隔离装置(sysKeeper2000)，并最终传输到管理信息大区。协议转换器的协议转换处理位于C8051F的微处理器中，结合微处理器的内部Flash存储的模型数据，通过连接的网络控制器CP2200连接到RJ45网口来获取生产控制大区非控制区的数据。协议转换器转换完成的数据经由网络控制器CP2200连接的RJ45网口传输到正反向隔离设备；

其中，网络隔离装置SysKeeper2000的***，可基于特别配置的Linux内核，搭建正向隔离、反向隔离装置，进而实现两个安全区之间的非网络方式的安全的数据交换，保证安全隔离装置内外两个处理***不同时连通。SysKeeper2000模块两端分别通过RJ45网口连接到两个安全区的网络，利用RS232接口连接的终端管理控制台(SysKeeperConsole)实现跨区数据传输的规则配置、***管理以及链路监控的设置。隔离装置通过RJ45网口将符合规则的数据传输到管理信息大区。

图8为一个实施例中本实用新型跨安全区协议转换装置中反向传输结构示意图；如图8所示，反向传输的整体结构与正向传输略有不同，SysKeeper2000模块通过RJ45网口获取来自管理信息大区的数据，利用RS232接口连接的终端管理控制台(SysKeeperConsole)设置文本编码校验等规则，对传输的数据进行符合规则检查，隔离装置通过RJ45网口将符合规则的数据传输到生产控制大区非控制区。

本实用新型，通过内部集成正反向隔离设备以及协议转换器等功能单元，只需分别连接到各分区(管理信息大区和生产控制大区非控制区)网关即可使用；其中，协议转换器从生产控制大区非控制区获取数据，由处理器基于存储器中的内置模型对数据进行协议转换，协议转换完成后传输给网络安全隔离装置；网络安全隔离装置利用终端管理控制台实现跨区数据传输的规则配置、***管理以及链路监控的设置，并将符合规则的数据传输到管理信息大区并最终传输到管理信息大区；其次，网络安全隔离装置获取来自管理信息大区的数据，利用终端管理控制台设置文本编码校验等规则，对传输的数据进行符合规则检查，并将符合规则的数据传输到生产控制大区非控制区。本实用新型简化了跨区数据交互部署的复杂度，能够优化跨安全区协议转换的结构，极大提升跨区数据交互的效率，可支持多种协议转换，保证了跨安全区数据交互的安全性，具有较强的可扩展性。

以上所述实施例的各技术特征可以进行任意的组合，为使描述简洁，未对上述实施例中的各个技术特征所有可能的组合都进行描述，然而，只要这些技术特征的组合不存在矛盾，都应当认为是本说明书记载的范围。

以上所述实施例仅表达了本实用新型的几种实施方式，其描述较为具体和详细，但并不能因此而理解为对实用新型专利范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本实用新型构思的前提下，还可以做出若干变形和改进，这些都属于本实用新型的保护范围。因此，本实用新型专利的保护范围应以所附权利要求为准。

Claims (10)

1.一种跨安全区协议转换装置，其特征在于，包括连接在管理信息大区和生产控制大区非控制区之间的正反向隔离设备，以及连接在所述正反向隔离设备和所述生产控制大区非控制区之间的协议转换器；

所述正反向隔离设备包括网络安全隔离装置以及连接所述网络安全隔离装置的终端管理控制台；所述网络安全隔离装置的一端连接所述管理信息大区，另一端连接所述生产控制大区非控制区；

所述协议转换器包括处理器以及连接所述处理器的存储器；所述处理器的一端连接所述生产控制大区非控制区，另一端通过所述网络安全隔离装置连接所述管理信息大区。

2.根据权利要求1所述的跨安全区协议转换装置，其特征在于，所述协议转换器为61850协议转换器。

3.根据权利要求1所述的跨安全区协议转换装置，其特征在于，所述网络安全隔离装置为SysKeeper2000；所述终端管理控制台为SysKeeperConsole。

4.根据权利要求3所述的跨安全区协议转换装置，其特征在于，

所述SysKeeper2000通过RS232接口连接所述SysKeeperConsole。

5.根据权利要求3所述的跨安全区协议转换装置，其特征在于，所述SysKeeper2000分别通过RJ45网口连接所述管理信息大区、所述生产控制大区非控制区。

6.根据权利要求1至5任意一项所述的跨安全区协议转换装置，其特征在于，所述处理器通过第一网络控制器连接所述生产控制大区非控制区，通过第二网络控制器连接所述网络安全隔离装置。

7.根据权利要求6所述的跨安全区协议转换装置，其特征在于，

所述第一网络控制器通过RJ45网口连接所述生产控制大区非控制区；

所述第二网络控制器通过RJ45网口连接所述网络安全隔离装置。

8.根据权利要求7所述的跨安全区协议转换装置，其特征在于，所述第一网络控制器为CP2200；所述第二网络控制器为CP2200。

9.根据权利要求6所述的跨安全区协议转换装置，其特征在于，所述处理器为C8051F型微处理器。

10.根据权利要求9所述的跨安全区协议转换装置，其特征在于，所述存储器为所述C8051F型微处理器内部的Flash。