第３６卷第５期。
计算机工程。
０１０年３月。
工程应用技术与实现文章编号文献标识码：ａ中圈分类号ｌｔｐ
ｐａ网络安全组态技术。
王。平，陈。
洲，刘思东，王。
斑。重庆邮电大学网络化控制与智能仪表教育部重点实验室，重庆４００
摘要：针对工业控制中ｅｐａ网络的网关安全问题，基于ｅｐａ组态软件，提出ｅｐａ网络安全组态技术。设计ｅｐａ网络安全组态模块，通。
过组态功能块定义访问控制对象，设置加密密钥、校验密钥、校验算法。访问控制对象经编译后**到安全设备中，决定安全设备的运行状态。测试结果表明，该技术可提升工业控制领域ｅｐａ网络控制的安全性和可靠性。
关健诃：ｅｐ协议；功能块；安全组态；设备鉴别；访问控制对象。
时。标准面向控制工程师。
在ｅｐａ安全网络中，ｅｐ安全网关不仅起到分隔ｅｐａ微网段的作用，同时为现场设备层网络提供边界保护。ｅｐ
的应用，利用基于ｅｐａ通信规范与ｅｐａ网络安全规范标准和ｉｅｃ标准定义开放、分布式、可重用的自控系统基本模块（如功能块），通过易实现的连接关系联。
安全网关包含完整实现的ｅｐａ安全协议栈，位于应用层的ｅｐａ安全实体，以及位于网络层和数据链路层的ｅｐａ报文控制管理实体。ｅｐ报文控制管理实体提供防火墙和地址转化。
系，组成分布式现场网络控制系统，以满足不同工程应用的要求。随着ｅｐａ的发展，其工控网络安全性已成首要问题。本文基于用于工业测量与控制系统的ｅｐａ系统结构与通信。
功能，对出入ｅｐａ微网段的所有数据包进行控制，保护ｅｐａ
设备免于各种非ｅｐａ报文的攻击。ｅｐ网络安全管理实体通。
过ｅｐａ安全措施，保护微网段内设备免于ｅｐａ报文的攻击ｎ
标准》提出并实现了ｅｐａ工业控制网络安全组态技术。
ｅｐａ安全阿络结构。
ｐａ安全网络结构如图１所示。
ｅｐａ网络安全组态的总体架构。
．１子模块的划分。
ｐａ网络安全组态【３】是ｅｐａ组态软件中很重要的模块，其作用是防止非法设备接入ｅｐａ网络，防止ｅｐａ网络数据被非法篡改，保护ｅｐａ网络数据被非法获取，设置ｅｐａ安全设备之间的访问权限。根据以上要求将ｅｐａ网络安全组态划分为４个子模块：设备鉴别处理，访问控制管理，数据报文加。
密管理，数据报文校验管理。
．２子模块之间的结构关系。
ｐａ设备鉴别处理子模块是整个ｅｐａ网络安全组态的基础，该子模块用于鉴别ｅｐａ网络中设备的合法性。只有通过。
ｐａ设备鉴别处理的设备组态软件才能对该设备设置访问权。
**项目：国家“８６计划**资助重点项目“基于ｅｐａ的应用系统开发。
作者筒介：王。
ｐａ安垒设备ｅ队设备ｅｐａ设备ｅｐａ
：备。ｐａ无线设备。
平（１９一），男，教授、博士、博士生导师，主研方。
埏，副教授。
向：工业以太网及网络控制，无线传感器网络，工业无线通信；
陈。洲、刘思东，硕士研究生；王。
图１ｅｐ安全罔络结构。
一。收稿日期：２０一。
２８一。限，选择报文加密算法，选择数据校验算法。ｅｐ网络安全组态结构如图２所示。
图２ｅｐ网络安全组态的结构。
ｅｐ网络安全组态的实现。
．１ｅ设备鉴别处理。
ｐａ设备通过设备鉴别服务进行鉴别。发送方在发送设备鉴别服务时，使用ｍｄ５算法对ｄｅｖ时间戳和。
所组成的８位位组串进行摘要。摘要值作为鉴别码与设备的。
ｄｄｒ时间戳等共同构成设备鉴别报文一起发送。发送的数据具体结构如下：
本地设备时间戳时间戳２
本地设备鉴别码。
地址。组态软件作为鉴别服务的接收方，在收到设备鉴别服务时，根据设备鉴别报文内的ｄｅｖ字段查找设备描述文件，从其中读取和从设备鉴别报文中取得的时间戳共同组成８位位组，采用ｍｄ５算法进行摘要获得正确鉴别码。若从报文中获取的鉴别码与正确鉴别码一致，则向发送端发送设备鉴别确认服务，设置设备鉴别状态为已通过，允许对其组态，并写入通过鉴别的时间。
戳，否则认为设备不可信，拒绝对其进行组态。３．设备访问控制管理。
ｐａ设备访问控制管理应用于使用ｅｐａ协议对功能块和。
管理信息库中的变量对象、域对象、事件对象的存取访问。依照不同的ｓｒｌ安全网关将ｐｃｎ保护起来，防止来自外部网络的威胁。ｅｐ设备访问控制管理的基本任务：防止未授。
权，进入ｅｐａ系统和授权的用户对系统资源的非法使用。
根据ｅｐａ网络安全规范，在组态软件中，访问控制对象定义如下：
管理信息库中索引。
本地功能块标识。
本地变量索引。
远程功能块标识。
远程变量索引。
服务类型。服务角色。
远程设备ｉｐ
报文发送时间相对于通信宏。
／周期起始时间的偏离量。
访问权限。一。
访问组。口令。
成员函数略）；
ｐａ网络安全组态时，组态软件从当前界面上的可视化功能块和连线信息可以获得访问控制列表长度以及对象的。
而对象的ｍ ａ
ａｓｓ从安全组态设置窗１３来。
获取。由于ｅｐａ标准和ｅｐａ安全规范中规定的数据格式与组态。
软件中使用的数据格式有所差异，因此需要经过编译，将访问控制列表长度和所有对象中的信息通过ｅｐａ服务**到安全设备中。
．３ 数据报文加密管理。
ｐａ报文发送方利用加密密钥ｅｐａ通过用异或算法或者ａｅｓ算法对报文加密。然后将加密后的用户数据作为报文体加在安全报文头后交ｅｐａ应用实体发送。接收方用安。
全报文头中的时问戳得到解密密钥ｅｐａ运用该密钥ｅｐａ对接收到的用户报文进行异或算法或者ａｅｓ算法解密，得到解密后的用户数据，并将用户数据上传。
ｐａ安全设备内都维护着一张密钥表，组态软件在对ｅｐａ安全设备组态时，必须为整个网段内的ｅｐａ安全设备**密钥表，否则ｅｐａ安全设备将会因为没有匹配的密钥而不能实现相互通信。密钥表是从组态软件中获取１６个４位整型的随机数，然后将其打包生成。组态软件需要设置密钥表管理对象中的当前使用密钥在密钥表内的偏移量，该偏移量通。
过安全组态设置窗口设置。
．４ 数据报文校验管理。
发送方选择校验密钥，利用该校验密钥对用户数据进行。
处理得到校验码，将用户数据与校验码一起作为报文体交。
ｐａ应用实体发送。接收方根据选择的校验密钥，运用此校验密钥与接收到的用户数据进行处理得到新校验码。将此新。
校验码与接收报文中的校验码进行比较，若完全相同则确定。
消息合法并接受数据包，否则丢弃该数据包，并根据。
ｅｒｖ决定是否返回负响应。
１）校验密钥管理：组态软件可以设置动态获取校验密钥。
和静态获取校验密钥。动态获取校验密钥是根据本地时间戳得到校验密钥，静态获取校验密钥在组态软件中获取１６个４位整型的随机数，然后将其打包生成的同时，组态软件要设置校验密钥表，管理对象中的当前使用校验密钥在校验密钥表内的偏移量。
曼耀性。●口‘
２）校验算法管理：ｅｐ设备维护校验算法表，校验算法表中保存着各种校验算法处理函数的函数指针。组态软件在对ｅｐａ安全设备组态时要选择当前校验算法在校验算法表中ｓｔｅ一ｃｈ蛳ｌ－ 口。
曲ｉｒⅱ一。
的偏移量。 ｅｐ网络安全组态实例。
本ｅｐａ网络安全组态实例利用ｅｐａ组态软件对ｅｐａ网络中的安全设备进行鉴别，对合法的安全设备进行功能块组态并设置访问控制权限、密钥、校验算法，实现ｅｐａ安全设备之间的通信。
．１ｅ安全设备上线。
ｐａ网络中所有的安全设备都需要在ｅｐａ组态软件进行上线处理，上线处理的目的：
１）构造安全设备在ｅｐａ组态软件中映射的信息结构；
２）通过设备鉴别来鉴定ｅｐａ安全设备的合法性。，２设备安全组态。
ｐａ组态软件对所有通过设备鉴别的合法安全设备进行链路组态、访问控制设置、数据报文加密密钥设置、数据报文检验密钥和算法设置。对于没有通过设备鉴别的非法安全设备，ｅｐ组态软件拒绝对其进行链路组态和安全设置。
黪ｅｐａ合法安全设备组态如图３所示。三一董目。
望阵暗辑键田工且曹口姊。德０醢黼。
嘲豳磷。龋嗣豳馥鹾螽。
谭 １盎功萱 ｌ０
曼垒诵壅。螈。
目ｔ％厂——，
三矗 …？ ｅ■一 ｒｒ一』删。
：“ａ譬。电ｕ
。．¨世鬟誊…鼍ｄｍ＿
一。龟∞＿ｉ龟。越。
ｒ一ｏｌ１
魁ｈｙ鼍ｒｍ＿
盏 …爹… 雇■ ｔ硅目ｉ＾
一～一眦屯ｓ。。
暇分舟０ｂａ日母杪秒：最设鲁备明ｃ—ｑ一一。
一￣ｑｏ链以密使当加设码用密接下前备对藏袭意使模壁钶用期量舸ｆ块５链载表毫使加０接成的钶用富０对功眭在加算下孽｛度表密法载个算曩成下内功敷簌的ｉ型去戚售**功咎羲鞋！量成萌功ｆ聃载－！戚珈！
三 ，口｝ｓｓ示膏口ｆ１
请捷镝口猫口。
圈３ ｅ合法安全设备组态。
图４为网络安全组态设置窗口。
嗣蓬罨墨翟嚣ａ圈醣。
蘩黪ｌ设置。
｛谦权跟广域下戴权限事件确认权限。
广写权睢。域上载投限改变事件条件权障 ｛
蛆设置。秘钥长度 …—
夸铺设置。密钥偏罄 ｆ－
二］！！图４网络安全组态设置窗口。
在组态完成后，ｅｐ安全设备中的访问控制链表、加密密钥、校验密钥如图５所示。
３０一。 匾］暖驷。
唾殖回。目时阗ｈ）誊。
图５ｅｐ安全设备中的安全羹据信■
．３安全设备通信测试。
安全设备通信测试具体包括。
１）访问控制测试。测试访问控制时，使用ｅｐａ组态软件模拟未经授权的应用进程发送变量写报文，由于ｅｐａ设备组。
态未制定安全设备与该应用进程间的通信关系，因此该访问会被ｅｐａ安全设备拒绝，网络监控计算机接收到变量写负响应报文。访问控制措施安全功能测试结果如图６所示。测试结果为ｅｐａ组态软件运行的ｅｐａ协议栈模拟软件接收到变量读负响应报文，错误描述为访问控制权限不存在。
结果证明，访问控制措施可以保护ｅｐａ数据免于为授权的访问，保证ｅｐａ系统信息安全。
息框ｔ一三。
发送变量服务。
二。收割变量聃隶服务 ｓａ功：ｌ负响应报文ｌ
搿丞 …谛阿投积布存在孱一椭。
图６访问控翻措麓安全功能试结果。
２）数据加密与校验测试。测试数据加密和数据校验措施的目的是确定数据加密和数据校验过程是完全可逆的，并且。
不会对原数据造成影响。测试数据加密和数据校验过程首先从ｅｐａ安全设备发送ｅｐａ安全变量写报文，然后从阿络中抓取该报文，分析报文内容，最后在目的端解析报文。图７为网络中的ｅｐａ安全变量写报文密文。
牡。埘。
砷。图７网络中的ｅｐａ安全变量写报文密文。
下转第２３３页）
嵌入式网络服务器的自识别、自描述和互操作性。
本系统ｃａｎ报文采用１１字节的标准帧，前３字节是表。
节点同时向网络传送信息时，优先级低的节点主动停止数据发送，而优先级高的节点继续传输数据。
头信息，后面８字节为数据区，表头信息中标识符占１１位。信息功能码共２位，表征信息的含义，每个设备可以接收４组功能不同的信息，第４组点对点信息（信息功能码为１１）主要用于网络设备配置或者长数据块的传输，实现网络传感。
器动态配置和重构功能，动态配置适用于有非易失性数据存储器的网络设备，ｃａ协议必须进入复位模式才可以修改参数，不能直接读写相应的寄存器，修改完成后需要重新启动设备。前３组信息用来描述信息的类型，实现网络设备自描述功能，网络设备也可以主动或者被动地从网络上其他设备。
结束语。本文给出基于ａｒｍ和ｃａｎ总线的远程监控系统的软硬件设计方法，介绍了嵌入式网络服务器的自识别、自描述和互操作性，初步实现了ｃａｎ现场总线与以太网间的数据转换，使现场智能设备之间、现场智能设备和控制室设备之问构成网络互联系统，顺应了控制系统向智能化、网络化、分散化发展的趋势。将带有ｌ０个节点的ｃａｎ总线系统和以太网环境连接，并进行了联调。
对测试得到的数据与真实数据进行比较和分析后发现，本文的系统具有较好的实时性和可靠性，较好地解决了ｃａｎ
获取需要的数据，每个设备可以接收多个设备发送的信息，每个设备发送的信息也可以被多个设备接收，设备自主决定接收哪个或者哪些节点的数据。
每个设备在发生故障时可以主动向嵌入式网络服务器发送信息，网络服务器可以及早做出报警和出错处理；节点号表示源节点号，共６位，总线上最多可以接６４个节点。每个ｃａｎ节点定义不同的节点号（ｉｄ节点通过不同的ｉｄ进行识别，从而保证了连接在嵌入式网络服务器上的接口设。
现场总线与以太网问的通信问题。
参考文献。１］蒋园园，宋良图．农田远程数据采集系统的设计与实现［ｊ］自动。
化与仪器仪表。
ｅ葬＃《２］２夏继强，袁骏，满庆丰．基于ａｒｍ处理器的通。
信模块实现［ｊ１测控技术谢。
东．基于ａｒｍ的嵌入式远程测控系统网关的设计［ｊ］现代。
备的自动识别。数据场格式共３位，说明要传送的数据信息在数据场中的存放格式，可以根据实际需要扩展数据格式信息，在点对点进行大量数据传送时，需要对数据进行分包，电子技术。
每包共８个字节。在发送数据帧时，第１字节为目的节点号，第２字节为数据块总帧数或者帧编号，后６个字节为数据。
ａｎ总线技术采用非破坏性总线仲裁技术，当２个ｃａｎ
４１惠晓实，王凯航，陆舟．一种基于ｗｅｂ技术的网络数据库系统。
的设计『ｊ］计算机应用研究。
编辑张帆。上接第２３０页）
测试中用于构造变量写报文的参数为：源应用进程标志为１００目的应用进程标志为０，目的对象标志为２，子索引为３。经过解析，最后接收端解密后的变量写报文如图８所示。
瑚。结束语。
本文介绍了ｅｐａ网络安全组态技术，并详细阐述了网络。
安全组态的设计流程。最后通过一个完整的测试系统，测试并验证了ｅｐａ网络安全组态模块的正确性。验证结果表明，该技术能够准确地对ｅｐａ安全设备进行组态，并保证现场的。
设备属性辖ｌ应用标识。
邮。连用访雌制的服务。
她读服务变量写服务一鞲口僵髓。
信息框：收刊变量写服务。
ｐａ安全设备按预期方式运行。ｅｐ组态软件的开发有效地推动了基于ｅｐａ标准相关产品的工业应用。
目的应用对｛０
目的对象朽｝剐。数据。
参考文献。１ｅｐ国家标准起草工作组用于工业测量与控。
制系统的ｅｐａ系统结构与通信标准ｉｓ］
２］ｉ国际电工委员会。
遁回正＿ 直道回负响应。
退出。图８接收靖解密后的变量写报文。
３］朱友志．基于ｉｎｔ的ｎｃｓ监控组态软件［ｊ］计算机工程，一６２．
网络中发送的ｅｐａ安全报文校验和为图７中细线标示的部分，加密密文为粗线标示的部分。在报文接收端，经过报文解密、校验后，正确识别该报文为变量读报文并且报文参数正确。安全功能测试结果证明，报文校验与报文加密措施是完全可逆的，解密后报文信息不会受到损害。
因此，报文。
４］楼正华．ｅｐ功能块互连技术及其实现方法［ｊ１微计算机信息，５］崔中杰．网络安全设备故障管理中智能轮询策略的研究［ｊ］
计算机工程一ｌ２８
校验和加密措施有利于ｅｐａ系统安全性的提高。
编辑陆燕菲。
３３一。
网络安全组织管理
网络安全管理组织管理。一 组织机构。航务部门成立网络信息安全领导小组，组长应由本部门经理担任 袁伟 该小组是信息安全的最高决策机构，负责网络信息安全领导小组的日常事务，并负责机场公司的网络信息安全事务。网络信息安全领导小组负责研究重大事件，落实机场公司方针政策和制定总体策略等。职责主要包括 根据国家...
网络安全技术
网络安全技术答案。单选题。1.下列。a协议是有连接。a tcpb icmpc dnsd udp 2.下列加密算法中 b 是对称加密算法。a.rsab.3desc.rabind.椭圆曲线。3.防火墙是建立在内外网络边界上的 c a路由设备。b寻址设备。c过滤设备。d扩展设备。4.完整性服务提供信息的 ...
网络安全技术及其相关问题分析网络安全技术有哪几种
网络安全技术及其相关问题分析 网络安全技术有哪几种。网络安全是我国信息产业发展过程中一直面临的一个重要难题，对于这个问题，我国已经从系统上进行了整体规划，从政策上给予引导，从技术上给予研发。安全问题已经成为信息产业的一个重要组成部分，甚至可以说它对国内各行业的电子化和信息化发展的速度会有非常重要的影...