江苏省重点企业工业安全隔离网闸

　　安科瑞Acrel-5010重点能耗在线监测平台

　　项目背景

　　为贯彻落实《重点用能单位节能管理办法》（国家发改委2018年第15号令）、《国家发改委关于开展重点用能单位“百千万”行动有关事项的通知》（发改环资〔2017〕1909号）和国家发改委办公厅《关于发布“百家”重点用能单位名单的通知》（发改办环资〔2019〕351号），深入推进重点用能单位能源消耗总量和强度“双控”工作，各省市相关主管部门陆续发出通知，要求纳入“百千万”行动的重点用能单位落实节能主体责任，加强节能管理，并按照《重点用能单位能耗在线监测系统推广建设工作方案》（发改环资〔2017〕1711 号）等要求，建设接入端系统并按时接入省级重点用能单位能耗在线监测平台，对未按要求开展重点用能单位能耗在线监测系统建设、未配备和使用能源计量器具的，依法依规责令限期整改，逾期不整改或整改未达到要求的，严格按照有关法律法规进行处罚。

功能特点：
1）江苏省重点企业工业安全隔离网闸采用物理单向传输技术，实现内外网数据绝对隔离，阻断TCP/IP协议穿透，通过光电磁隔离确保零连接。
2）支持GB/T 37988-2019《信息安全技术 网络安全等级保护安全设计技术要求》三级要求，内置硬件加密模块，SM2/SM4国密算法。
3）吞吐量达2Gbps，并发连接数≥50000，时延<1ms，满足工业实时控制需求。
4）具备工业级宽温设计（-40℃~85℃），IP40防护等级，适应江苏地区高湿、粉尘环境。
5）内置白名单策略引擎，仅允许预设IP端口通信，自动阻断异常扫描与攻击。
6）双机热备切换时间<30ms，支持7×24h无故障运行MTBF≥100000小时。

适用行业场景：
1）江苏省内重点用能企业（年综合能耗5000吨标煤以上）的能耗数据安全上传至省级平台，避免网络攻击篡改。
2）石油化工行业DCS/PLC控制系统与办公网络间的安全隔离，防止勒索病毒横向扩散。
3）电力行业发电厂涉网安全区与生产控制区之间的单向数据传输。
4）冶金钢铁企业MES系统与ERP系统接口处的数据摆渡，符合《工业控制系统信息安全防护指南》。
5）化工园区内部网闸集群部署，实现多级安全域管理，满足《江苏省工业企业网络安全管理规范》。
6）市政水务泵站远程监控系统，隔离第三方运维网络与核心控制网络。

与其他产品对比：
| 对比项目 | 安科瑞江苏省重点企业工业安全隔离网闸 | 传统防火墙 | 通用网闸 |
|---------|--------------------------------------|------------|----------|
| 网络层隔离 | 物理单向，无TCP/IP握手，彻底阻断 | 逻辑隔离，端口可穿透 | 应用层协议拆解，存在残留风险 |
| 加密标准 | 国密SM2/4硬件加速 | 常见AES/RSA | 部分支持SM1/2 |
| 工业协议支持 | Modbus TCP、IEC 104、OPC UA深度解析 | 仅IP/端口过滤 | 通用文件/数据库摆渡 |
| 环境适应性 | -40~85℃，宽压9~36VDC | 0~40℃室内型 | 0~50℃ |
| 平均无故障时间 | ≥100000h | 80000h | 50000h |
| 合规认证 | 公安部《计算机信息系统安全专用产品销售许可证》、国家密码管理局商用密码产品认证 | 仅公安部 | 部分产品无国密认证 |

核心优势：
1）江苏省重点企业工业安全隔离网闸通过国家网络与信息系统安全产品质量监督检验中心实测，单向导入速率≥1.2Gbps，误码率<10??，满足江苏省级平台数据报送时效要求。
2）免运维设计：内置自检模块，每24小时自动检测光口功率、温度，异常时主动告警，无需现场巡检。
3）部署简单：支持旁路/串联两种模式，兼容现有网络拓扑，无需改造MES/SCADA系统。
4）合规前置：预置国家发改委《重点用能单位能耗在线监测系统技术规范》数据格式转换规则，对接江苏省级平台即插即用。
5）低功耗：整机功耗≤25W，可复用企业现有机柜电源。

选型与使用注意事项：
1）根据企业最大并发会话数选择型号：50000会话以下选A-ISG-100，50000~200000选A-ISG-500。
2）如有OPC UA协议需求，需确认固件版本≥V2.3，支持动态节点发现。
3）物理单向光口必须使用单模光纤，传输距离≤20km超出需配光放大器。
4）部署时应将发送端与接收端分别接地，避免共模电压损坏光模块。
5）白名单规则按业务最小化原则配置，建议先启用日志模式运行7天，根据误拦截情况调整。
6）每季度执行一次SM2密钥轮换，同步更新审计日志至独立服务器。

常见问题解答：
1）江苏省重点企业工业安全隔离网闸是否需要单独申请商用密码型号？
需要。该设备已取得《商用密码产品型号证书》（型号：SJK1224），符合《密码法》与GM/T 0028要求，可直接用于等保测评。

2）部署后原有OPC DA通信中断如何解决？
OPC DA基于DCOM无法穿透物理单向网闸。建议将OPC DA升级为OPC UA，或使用设备自带的OPC UA网关模块（需在选购时勾选协议转换选项）。

3）设备故障时如何保障业务不中断？
选配双机热备模块（型号HS-2），故障时备机自动接管，切换时间＜30ms。也可采用旁路Bypass模式，设备断电后自动闭合物理链路，恢复直连，但安全等级降低。

4）数据单向传输后，如何回传确认信号？
需部署反向独立网闸或使用设备搭配双向反射镜技术（需采购回传卡），实现控制指令与状态反馈的物理分离传输，满足等级保护三级双重要求。

5）能否对接江苏省级能耗在线监测平台已有的VPN隧道？
可以。设备支持将单向导出数据封装为IPSec隧道报文，但需在平台侧配置对应解密策略，且消耗平台处理资源，推荐优先使用设备内置的国密SSL隧道。