[发明专利]一种电力服务器内交换系统端口间安全隔离的实现方法

说明书

本发明涉及一种电力服务器内交换系统端口间安全隔离的实现方法，所述电力服务器内交换系统端口间安全隔离方法通过先对待测装置进行上电处理并将芯片缺省处于复位状态，此时配置端口与软件和其他配置隔离，并解除复位，使得内置芯片开始工作，而当配置改变隔离位时，隔离配置保护任务开启，通过用户确认，当通过时，实现配置继续改变隔离位，否则将不允许配置并进行告警日志记录；电力服务器的交换系统相关端口之间的彻底实现隔离，使得设备在任何时候，任何报文都不互通，极大的增加了电力服务器的安全性，避免了网络流量堵塞的情况，同时另一方面也避免了被其他设备攻击的安全隐患，解决了电力服务器内交换系统端口间不便进行安全隔离的问题。

技术领域

本发明属于变电站通讯领域，涉及一种电力服务器内交换系统端口间安全隔离的实现方法。

背景技术

目前智能变电站内的数据通讯，除了原有的61850/104/103/101/modbus等规约外，以太网交换也是常用的通讯手段。电力服务器是一种集成式保护控制设备，整个变电站的测控、保护、交换和远动等专用功能集成在一台通用电力服务器上。所有专用功能在通用电力服务器上一起建模：保护、测控、交换、远动、GOOSE处理，SV处理。进一步，通用电力服务器还集成有故障录波、网络通信、记录分析和防火墙等功能。因此，电力服务器内也集成了交换系统，该系统的交换实现了站控层设备、调度、网络分析和电力服务器的接口。

按照安全的要求，调度接口，以及站控层设备之间要严格要求互相之间隔离，也就是在任何时刻他们之间不能互通任何报文，而且闲置端口和这些端口之间也不能互通，否则可能会有打接入非法设备攻击的可能。但是以太网交换方式本质上是共享数据模式：1、广播数据可以发送到所有的端口上；2、未知目的的报文也会从所有端口转发出去；3、VLAN隔离，只能一定程度解决广播域的问题，广播域内仍然存在上述问题；4、在设备上电启动，配置文件丢失重启的情况下，VLAN的隔离等效果失效，又继续恢复到全部端口广播域开发的状态。这些问题，一方面会引起网络流量堵塞，另一方面有被其他设备攻击的安全隐患的问题，为此我们提出一种电力服务器内交换系统端口间安全隔离的实现方法。

发明内容

有鉴于此，本发明的目的在于提供一种电力服务器内交换系统端口间安全隔离的实现方法。

为达到上述目的，本发明提供如下技术方案：一种电力服务器内交换系统端口间安全隔离的实现方法，所述电力服务器内交换系统端口间安全隔离方法通过先对待测装置进行上电处理并将芯片缺省处于复位状态，此时配置端口与软件和其他配置隔离，并解除复位，使得内置芯片开始工作，而当配置改变隔离位时，隔离配置保护任务开启，通过用户确认，当通过时，实现配置继续改变隔离位，否则将不允许配置并进行告警日志记录。

优选的，所述面板划分永久隔离端口组域，该组域内的所有端口任何时间，报文不能互通。

优选的，所述设备出厂配置面板上所有端口都在一个隔离端口组域，包括上述永久隔离群组。

优选的，所述设备出厂配置所有端口为关闭状态，需要使用的端口使能打开，避免非法接入。

优选的，所述设备上电期间交换芯片处于复位状态，待软件就绪而且配置完成端口隔离状态之后，再解除复位，使能交换芯片工作。

优选的，所述对交换芯片的端口隔离配置实施监控保护，如有外部配置改变需要改变隔离配置的时候，必须通过用户确认，确认后方可实际生效。

优选的，所述当设备软件出现死机或者异常时，软件看门狗工作重启，使能系统重新进入复位状态，该复位状态和上电复位状态相同，在软件就绪配置隔离后才使能交换芯片工作。

本发明的有益效果在于：电力服务器的交换系统相关端口之间的彻底实现隔离，使得设备在任何时候，都不能互通，任何报文都不互通，极大的增加了电力服务器的安全性，避免了网络流量堵塞的情况，同时另一方面也避免了被其他设备攻击的安全隐患，解决了电力服务器内交换系统端口间不便进行安全隔离的问题。