[发明专利]隔离保护系统及其执行双向数据包过滤检查的方法

权利要求书

1.一种隔离保护系统，设置在通信线路中对通信双方的通信设施进行隔离保护，它包括：

第一保护装置(10)和第二保护装置(20)，用于分别与所述通信双方之一的通信设施连接；

双向数据传输模块(4)，设置在所述第一保护装置(10)和所述第二保护装置(20)之间，用于连接所述第一保护装置(10)和所述第二保护装置(20)，而且根据专有通信协议将所述第一保护装置(10)输出的数据传送到所述第二保护装置(20)，以及将所述第二保护装置(20)输出的数据传送到所述第一保护装置(10)；其特征在于：

所述第一保护装置(10)和所述第二保护装置(20)具有完全独立的硬件结构并分别运行于独立的中央处理器(CPU1，CPU2)，其中所述第一保护装置(10)和所述第二保护装置(20)的每一个包括：

第一接口(A1，A2)，用于从所连接的通信方的通信设施接收数据流的数据包并将来自另一通信方的数据输出到所连接的通信设施；

过滤模块(F1，F2)，用于对从所述第一接口(A1，A2)接收的数据流执行过滤检查，并输出符合安全性要求的数据；

第二接口(B1，B2)，用于接收所述的符合安全性要求的数据，并将该符合安全性要求的数据传送到所述双向数据传输模块(4)；以及

传输通道(C1，C2)，用于将来自所述第二接口(B2，B1)的数据传送到所述第一接口(A1，A2)，

其中所述过滤模块(F1，F2)包括分别用于对传输的数据流的数据包执行基本防火墙检查的内置防火墙模块(K1，K2)和用于执行数据包深度过滤的数据包过滤模块(S1，S2)，以及

其中所述内置防火墙模块(K1，K2)对数据流的数据包执行包头内容检查，而所述数据包过滤模块(S1，S2)对数据流的数据包执行包体内容检查。

2.根据权利要求1所述的隔离保护系统，其中所述的通信方的通信设施是计算机、服务器或其它网络信息的输入/输出装置。

3.根据权利要求1所述的隔离保护系统，其中所述包头内容涉及IP地址、MAC地址、协议类型信息、端口信息，而所述包体内容涉及通信目标、通信源、通信目的、通信类型和通信内容。

4.根据权利要求3所述的隔离保护系统，其中所述数据包过滤模块(S1，S2)中分别内置有支持工业通信协议的过滤列表。

5.根据权利要求4所述的隔离保护系统，其中所述工业通信协议是OPC或者Modbus。

6.采用根据权利要求1所述的隔离保护系统执行双向数据包过滤检查的方法，其特征在于包括步骤：

在通信线路中设置具有完全独立的硬件结构并且分别运行于独立的中央处理器(CPU1,CPU2)的第一保护装置(10)和第二保护装置(20)分别用于通信双方的通信设施并且根据专有通信协议将所述第一保护装置(10)输出的数据传送到所述第二保护装置(20)，以及将所述第二保护装置(20)输出的数据传送到所述第一保护装置(10)；以及

利用设置在第一保护装置(10)和第二保护装置(20)中的过滤模块(F1，F2)对传输的数据流的数据包执行过滤检查，

其中所述的过滤检查包括：

对传输的数据流的数据包执行基本防火墙检查，以及

对传输的数据流的数据包执行数据包深度过滤，

其中，所述对传输的数据流的数据包执行基本防火墙检查包括对数据流的数据包执行包头内容检查，以及

所述对传输的数据流的数据包执行数据包深度过滤包括对数据流的数据包执行包体内容检查。

7.根据权利要求6所述的方法，其中所述包头内容涉及IP地址、MAC地址、协议类型信息、端口信息，而所述包体内容涉及通信目标、通信源、通信目的、通信类型和通信内容。