网络层访问控制方法及装置、工控网关、存储介质与流程

本发明涉及网络安全，具体涉及一种网络层访问控制方法及装置、工控网关、存储介质。

背景技术：

1、工业控制系统通常采用分层架构，上位机通过工控网关与下位机进行指令交互。工控网关作为连接信息层与控制层的中间节点，承担着协议转换与网络隔离的核心功能。现有的工控网关安全技术主要基于静态白名单或角色访问控制（ role-based accesscontrol，rbac）机制。静态白名单技术通过预定义的ip地址列表、功能码集合或寄存器地址范围来允许或拒绝指令转发；rbac技术则根据预定义的角色权限来判断指令的转发合法性。这类策略在部署时固化，运行期间不随物理过程状态变化而调整。主要存在以下突出问题：

2、1. 安全判断与物理过程割裂。工控网关仅能判断指令的格式合法性和权限合法性，不具备对底层物理设备运行状态的感知能力，无法获知物理设备的当前工况和物理极限。当合法的上位机因软件缺陷、控制逻辑错误或遭受恶意篡改而发出超出设备承受能力的指令（如对电机进行高频启停控制、对阀门执行速率过大的开度调节）时，工控网关因该指令符合静态白名单而予以放行，可能引发电机烧毁、管道水锤爆裂等物理安全事故。

3、2. 防御维度单一。 传统工控网关只能防御“非法指令”或“非法来源”的攻击向量，对“合法指令导致非法物理后果”的场景完全失效，尤其无法识别通过微小调节逐步破坏物理边界的低慢攻击。

4、3. 策略僵化。工业现场的实际工况是动态变化的， 例如，设备在调试阶段和满负荷运行阶段的安全阈值存在显著差异，静态安全策略无法感知并适应上述变化，往往导致要么误拦截正常操作指令，要么漏放危险指令。

技术实现思路

1、本发明实施例旨在克服现有工控网关静态安全策略无法感知物理过程状态的缺陷，提供一种网络层访问控制方法及装置、工控网关、存储介质。

2、一方面，本发明实施例提供一种网络层访问控制方法，所述方法包括：

3、按照设定周期获取各下位机的动态安全变化率极限rmax，并维护动态策略表；所述动态安全变化率极限rmax表示在设定置信度下下位机的被控物理设备在当前工况下能够安全承受的物理量最大变化速率；所述动态策略表存储各受控物理量对应的当前动态安全变化率极限rmax；

4、接收到上位机发送的写指令时，解析所述写指令以确定所述写指令所指向的受控物理量的目标变化量δvcmd；所述目标变化量δvcmd为所述写指令携带的目标设定值snew与缓存的同地址上一次成功设定值sold的差值的绝对值；

5、根据所述目标变化量δvcmd与从所述动态策略表中查询到的所述受控物理量当前动态安全变化率极限rmax，计算所述写指令对应的网络层最小指令间隔tmin；

6、根据所述网络层最小指令间隔tmin对所述写指令进行瞬时合规性校验和累积合规性校验；

7、校验通过后将所述写指令转发至对应的下位机。

8、可选地，所述设定周期小于各下位机的控制周期。

9、可选地，所述方法还包括：

10、下位机获取滑动时间窗口内所述被控物理设备的历史运行数据；所述历史运行数据包括物理模拟量数据；

11、根据所述历史运行数据计算原始安全变化率极限rraw；

12、对所述原始安全变化率极限rraw进行平滑处理，得到动态安全变化率极限rmax；

13、将所述动态安全变化率极限rmax实时写入所述下位机的特定寄存器。

14、可选地，所述获取各下位机的动态安全变化率极限rmax包括：通过轮询各下位机的特定寄存器，获取所述下位机的动态安全变化率极限rmax。

15、可选地，所述物理模拟量包括以下任意一项：阀门开度、电机转速、温度设定值、压力设定值、液位高度。

16、可选地，所述根据所述历史运行数据计算原始安全变化率极限rraw包括：

17、根据所述历史运行数据计算得到历史变化率数据，并对所述历史变化率数据进行排序，得到变化率数据序列；

18、从所述变化率数据序列中提取所述设定置信度对应的分位数值作为所述原始安全变化率极限rraw。

19、可选地，所述对所述原始安全变化率极限rraw进行平滑处理包括：采用指数加权移动平均算法对所述原始安全变化率极限rraw进行平滑处理。

20、可选地，所述瞬时合规性校验包括：

21、计算上一次向同一寄存器地址成功转发写指令的时刻与当前时刻之间的时间间隔δt；

22、若δt ≥ tmin，则判定所述写指令通过瞬时合规性校验；

23、若δt < tmin，则判定所述写指令未通过瞬时合规性校验，丢弃所述写指令或对所述写指令进行限流处理后转发。

24、可选地，所述累积合规性校验包括：

25、为所控制的每个受控物理量维护一个设定时间长度的滑动窗口缓存队列，所述滑动窗口缓存队列记录窗口内所有同地址写指令对应的受控物理量的目标变化量δvcmd；

26、实时计算所述滑动窗口缓存队列内所有目标变化量的代数和，得到累积变化量σδv；

27、如果所述累积变化量σδv小于等于所述滑动窗口允许的最大物理变化量，则判定所述写指令通过累积合规性校验；

28、否则，判断所述写指令未通过累积合规性校验，丢弃所述写指令且不将所述写指令写入所述滑动窗口缓存队列。

29、可选地，所述方法还包括：将所述写指令成功转发至对应的下位机后，更新记录的上一次同地址写指令成功转发对应的目标设定值；并将本次的目标变化量δvcmd写入对应的滑动窗口缓存队列。

30、另一方面，本发明实施例还提供一种网络层访问控制装置，所述装置包括：

31、动态安全信息维护模块，用于按照设定周期获取各下位机的动态安全变化率极限rmax，并维护动态策略表；所述动态安全变化率极限rmax表示在设定置信度下下位机的被控物理设备在当前工况下能够安全承受的物理量最大变化速率；所述动态策略表存储各受控物理量对应的当前动态安全变化率极限rmax；

32、接收模块，用于接收到上位机发送的写指令；

33、指令解析模块，用于解析所述写指令以确定所述写指令所指向的受控物理量的目标变化量δvcmd；所述目标变化量δvcmd为所述写指令携带的目标设定值snew与缓存的同地址上一次成功设定值sold的差值的绝对值；

34、计算模块，用于根据所述目标变化量δvcmd与从所述动态策略表中查询到的所述受控物理量当前的rmax，计算所述写指令对应的网络层最小指令间隔tmin；

35、校验模块，用于根据所述网络层最小指令间隔tmin对所述写指令进行瞬时合规性校验和累积合规性校验；

36、发送模块，用于在所述瞬时合规性校验和累积合规性校验通过后，将所述写指令转发至对应的下位机。

37、另一方面，本发明实施例还提供一种工控网关，包括处理器和存储器，所述存储器存储有计算机程序，所述处理器执行所述计算机程序时实现所述的网络层访问控制方法。

38、另一方面，本发明实施例还提供一种计算机可读存储介质，其上存储有计算机程序，所述计算机程序被处理器执行时实现所述的网络层访问控制方法。

39、本发明实施例提供的网络层访问控制方法及装置，下位机动态计算并实时更新动态安全变化率极限rmax，网关按周期获取各下位机的动态安全变化率极限rmax并维护动态策略表，收到写指令后计算受控物理量的目标变化量δvcmd及网络层最小指令间隔tmin，执行瞬时合规性校验和累积合规性校验，通过后才对写指令进行转发。将物理安全边界转化为网络层访问控制的硬约束，实现物理-网络闭环防御，封堵合法指令导致物理破坏的盲区，且无需增加额外硬件。

40、进一步地，工控网关以小于各下位机的控制周期的设定周期读取下位机的特定寄存器获取其动态安全变化率极限rmax，可以保证工控网关在每个控制周期内至少读取一次rmax，避免了策略滞后导致漏放或误拦。

41、进一步地，通过设置滑动时间窗口，在线学习历史运行数据，安全策略随设备的磨损、老化及工况切换而自动演进，既避免了静态阈值在复杂工况下的误报和漏报，又实现了防护精度的最大化。

42、进一步地，通过ewma平滑机制可滤除短时工况突变或传感器噪声引起的阈值毛刺，防止网关访问控制策略的频繁震荡，保证了系统运行的稳定性。

43、利用本发明方案，不仅可以防御超物理极限的高频攻击与软件缺陷，而且，本发明方案无需增加额外硬件设备，利用现有算力即可实现高级物理安全防护。