浅析数控加工中网闸的应用

徐琛

摘 要： Internet的使用已经普及全球，網络安全问题日益成为我们关注的焦点，网络隔离设备是网络安全主要防护设备。单向物理隔离网闸是一种由专用硬件在电路上切断网络之间的链路层连接，能够在物理隔离的网络之间进行适度的安全数据交换的网络安全设备。本文主要介绍了隔离技术在DNC网络中的应用，单向物理隔离网闸系统的原理，并分析了传统的物理隔离技术与单向物理隔离技术的区别，以及单向物理隔离网闸与防火墙的区别。

关键词： 网闸；DNC；网络化；数控加工

前言

随着互联网上黑客病毒泛滥、信息恐怖、计算机犯罪等威胁日益严重，防火墙的攻破率不断上升，在政府、军队、企业等领域，由于核心部门的信息安全关系着国家安全、社会稳定，因此迫切需要比传统产品更为可靠的技术防护措施。物理隔离网闸最早出现在美国、以色列等国家的军方，用以解决涉密网络与公共网络连接时的安全。在企业信息化建设中，我们会遇到安全域的问题，安全域是以信息涉密程度划分的网络空间。涉密域就是涉及国家秘密的网络空间。非涉密域就是不涉及国家的秘密，但是涉及到本单位，本部门或者本系统的工作秘密的网络空间。公共服务域是指不涉及国家秘密也不涉及工作秘密，是一个向互联网络完全开放的公共信息交换空间。国家有关文件就严格规定，企业的内网和企业的外网要实行严格的物理隔离。企业的外网和互联网络要实行逻辑隔离，按照安全域的划分，企业的内网就是涉密域，企业的外网就是非涉密域，互联网就是公共服务域。国家有关研究机构已经研究了安全网闸技术，以后根据需求，还会有更好的网闸技术出现。通过安全网闸，把内网和外网联系起来；因此网闸成为企业信息系统必须配置的设备，由此开始，网闸产品与技术在我国快速兴起，成为我国信息安全产业发展的一个新的增长点。

一、网闸概念

传统网闸是使用带有多种控制功能的固态开关读写介质连接两个独立主机系统的信息安全设备。由于物理隔离网闸所连接的两个独立主机系统之间，不存在通信的物理连接、逻辑连接、信息传输命令、信息传输协议，不存在依据协议的信息包转发，只有数据文件的无协议"摆渡"，且对固态存储介质只有"读"和"写"两个命令。所以，物理隔离网闸从物理上隔离、阻断了具有潜在攻击可能的一切连接，使"黑客"无法入侵、无法攻击、无法破坏，实现了真正的安全。安全隔离与信息交换系统，即网闸，是新一代高安全度的企业级信息安全防护设备，它依托安全隔离技术为信息网络提供了更高层次的安全防护能力，不仅使得信息网络的抗攻击能力大大增强，而且有效地防范了信息外泄事件的发生。第一代网闸的技术原理是利用单刀双掷开关使得内外网的处理单元分时存取共享存储设备来完成数据交换的，实现了在空气缝隙隔离（AirGap）情况下的数据交换，安全原理是通过应用层数据提取与安全审查达到杜绝基于协议层的攻击和增强应用层安全的效果。第二代网闸正是在吸取了第一代网闸优点的基础上，创造性地利用全新理念的专用交换通道PET（PrivateExchangeTunnel）技术，在不降低安全性的前提下能够完成内外网之间高速的数据交换，有效地克服了第一代网闸的弊端，第二代网闸的安全数据交换过程是通过专用硬件通信卡、私有通信协议和加密签名机制来实现的，虽然仍是通过应用层数据提取与安全审查达到杜绝基于协议层的攻击和增强应用层安全效果的，但却提供了比第一代网闸更多的网络应用支持，并且由于其采用的是专用高速硬件通信卡，使得处理能力大大提高，达到第一代网闸的几十倍之多，而私有通信协议和加密签名机制保证了内外处理单元之间数据交换的机密性、完整性和可信性，从而在保证安全性的同时，提供更好的处理性能，能够适应复杂网络对隔离应用的需求。

二、网闸技术

2.1 网闸的工作原理

网闸是一种由具有多种控制功能的专用硬件在电路上切断网络之间的链路层连接，能够在网络之间进行适度安全数据交换的网络安全设备。网闸系统主要由内网处理、外网处理和安全检测与控制处理3个模块组成。其中，内网处理模块负责内、外网信息获取和协议分析；而安全检测与控制处理模块则根据安全策略完成信息的安全检测、内外网络隔离和安全交换。其主要性能指标有：系统数据交换速率（120 Mb/s）和硬件切换时间（5 ms）。其安全功能模块具有安全隔离、内核防护、协议转换、病毒查杀、访问控制、安全审计、身份认证等功能。

由于互联网是基于TCP/IP协议实现连接，因此入侵攻击是依赖于OSI 7层数据通信模型的一层或多层，如果断开OSI数据模型的所有层，则可消除来自网络的潜在攻击。网闸正是依照该原理实现信息安全传递的，而不是依靠网络协议的数据包转发，只有数据的无协议“摆渡”，阻断了基于OSI协议的潜在攻击，从而保证系统安全。因此，网闸真正实现网络隔离，在阻断各种网络攻击的基础上，为用户提供安全的网络操作、邮件访问以及基于文件和数据库的数据交换。第二代网闸通过专用交换通道、高速硬件通信卡、私有通信协议和加密签名机制可实现高速、安全的内外网数据交换，使得处理能力大大提高，能够适应复杂网络对隔离应用的需求：而私有通信协议和加密签名机制保证内外处理单元间数据交换的机密性、完整性和可信性。因此，网闸具有更高的安全性和可靠性，通过内部控制系统连接两个独立网络，利用内嵌软件完成切换操作，并增加安全审查程序。作为数据传递“中介”，网闸在保证重要网络与其他网络隔离的同时能够安全交换数据。

2.2 网闸主要功能

针对内外网信息共享的类型和共享速度的需求，网闸主要包括以下功能：

2.2.1 数据库访问提供客户端安全访问数据库服务器功能；

2.2.2 文件交换文件交换模块在内、外网服务器指定目录或指定盘问进行单向或双向的文件隔离交换，包括格式检查、内容过滤、签名校验等；

2.2.3 安全浏览提供内网用户安全上网功能。支持透明模式和非透明模式，即把网闸配置成网关设备和配置客户端代理；

2.2.4 邮件交换在内、外网邮件服務器之间隔离交换邮件，内网用户安全收发外网邮件；

2.2.5 数据库同步在内外网数据库之间进行数据同步。数据库同步代理根据用户设置定时启动同步任务，并按一定周期重复执行。如果周期设置为秒级，则可实现实时同步；

2.2.6 ftp访问客户端可直接安全访问FTP服务器；

2.2.7 邮件访问 用户直接安全访问邮件服务器。

三、网闸在DNC系统的应用

DNC系统主要分两部分，即通讯系统和管理系统。通讯系统是DNC系统实现的关键，这是建立DNC系统的基础。虽然数控设备种类繁多，控制系统各异，但数控机床通讯方式有限，有串口通讯、以太网卡通讯和无线传输通讯。不同的DNC思想对于DNC通信要求也不完全一致，需要根据DNC的思想选择合适的DNC通信方案或扩展DNC的通信功能。鉴于目前公司的数控机床提供的主要是串行通信接口，因此主要针对具有串行通信接口的数控机床。

对于应用串行通信的数控机床，网络化DNC系统通信结构采用以下两种实现方式：局域网结合点对点式DNC通信结构和局域网式结构。

早期的DNC系统通讯结构为局域网结合点对点式DNC通信结构，在局域网结合点对点式DNC通信结构中，每台数控机床均配置一台计算机，通过计算机把数控机床连接到网络。这种系统存在大量计算机的维护工作和机床操作人员的培训工作，而且DNC通信传输软件大多为专用系统，一种通信软件一般只能支持一种或有限的几种的数控机床，理想情况应是以一种通用性的DNC通信软件支持全部的数控机床，并增加机床状态信息映射功能，把采集的信息实时网络发布。

在应用现场总线实现的通信结构中，过多的协议层次导致了整个系统的复杂和开发的难度，如果不使用现场总线，把车间的以太网直接延伸到数控机床，车间的通信结构变成internet/intranet/serial，从而简单了很多。具有以太网接口的串口服务器和具有以太网接口的可编程逻辑控制器的出现，以及以太网技术的发展使这项技术成为可能。局域网式DNC通信的结构与点对点式结构相比，是一种简洁高效的解决方案；相对于现场总线式结构，减少了系统的复杂性，同时可实现车间办公自动化网络和自动化设备网络的直接连接。使车间乃至整个企业的信息网与DNC通讯网络得以统一，无须像现场总线那样对DNC主控计算机作为信息整合的接口，实现了全车间信息的完整性、通透性、一致性。同时该结构可以实现嵌入式internet服务功能，使拥有权限的internet用户可以在任何时候、任何地方监控机床的运行情况。针对不同类型的数控设备开发通讯程序，建立通讯协议库，选择合适的通讯协议下载到DNC控制器，从而在DNC服务器端用一个统一的信息平台来管理全部的数控设备，实现异构数控设备的集成。

四、DNC系统管理模块功能设计

DNC系统管理模块的功能主要是管理数控设备信息和数控加工任务信息，实现数控资源的网络共享。服务器平台在功能上划分为以下几点。

4.1 机床信息管理

这里主要实现各类数控机床静态信息管理，包括数控铣床、车床、电火花和线切割机床信息的录入、修改和删除，这些静态信息包括机床名称、所属企业、工作台面和数控系统等信息。各类机床的参数正确的录入才能保证DNC系统的正常通讯。

4.2 数控程序管理

包括数控程序的审核、上传、编辑、模拟和查询功能。数控编程人员根据选择的数控机床，生成数控程序，然后将数控程序相关信息录入到数据库中，并加入到机床任务队列，这些信息包括对应机床、数控程序。数控程序模拟是提供对数控程序的在线模拟。数控程序的查询可以按照机床编号或名称以及加工状态等方式进行。

4.3 机床任务管理

提供对每台机床的加工任务管理。网内人员获得权限的才可以对机床的加工任务进行添加、删除和任务查询，也可以把每日加工任务生成任务单下达给机床操作人员。

4.4 机床状态分析

通过DNC控制器获得机床的运行状态日志，并提供对运行日志的各种分析报告。机床状态比例是指用百分比的形式显示各机床工作状态比例图。

4.5 机床状态观察

通过DNC控制器实时采集的机床状态。如机床是加工、空闲、设置还是报警。

4.6 用户和设备的管理

提供对内部人员的帐号和工作权限的管理，这部分工作由系统管理员完成，可对内部人员划分角色以及分组管理。

五、结语

通过网络化加工，实现数控设备资源的共享，进行数控资源的配置和重组，以网络化模式进行新产品的制造和加工。也就是说，企业在缺乏数控加工能力的情况下，不是一味的增加数控设备的投入，而是从降低企业投资风险出发，在不需要投入大量资金的情况下，尽可能获得所需要得数控加工资源，扩大企业得数控加工能力。提高企业快速响应市场，适应多样化加工得能力，使合作各方得资源得到充分得利用，降低生产成本，争取在局部最优得基础上取得全局最优。

参考文献

[1]王淑江.网络安全[M].北京：机械工业出版社，2007.

[2]彭德明，乔月圆.计算机网络安全[M].北京：电子工业出版社.2007.