3.5 工业网闸与安全隔离装置（跨域数据摆渡核心产品）

信源等级：L3 厂商官方 + L1 电力行业要求 ｜ 最后核验：2026-09-24 厂商资料：威努特官网（WISGAP）、六方云官网（工业网闸）、华电众信（MR-552）、威努特工控安全《电力监控系统网络安全防护导则》解读 关联文档：3.1 工业防火墙、5.2 电力监控系统安全防护规定、1.4 工控安全专项政策（第 12 条）、1.6 工信部政策体系

一、定义与定位

工业网闸（工业安全隔离与信息交换系统）：通过”隔离+摆渡”在两个安全级别不同的网络（IT/OT、不同生产层级）之间实现受控数据交换的设备。核心哲学：

	工业防火墙	工业网闸
定位	保障互联互通的前提下尽可能保障安全	保证高度安全的前提下尽可能实现互联互通
硬件	单主机，报文在同一主机检测后转发	”2+1”/多机架构（内外端处理单元 + 隔离控制单元/交换硬件）
会话	内外网 TCP/IP 会话跨网保持（存在劫持/复用风险）	不存在内外网会话，连接终止于内外端主机
安全机制	包过滤、入侵防御、抗 DoS	隔离基础 + 访问控制、内容过滤、病毒查杀、落地扫描

（差异表来源：厂商技术资料对比，L3[3]）

二、核心技术原理

1. 协议剥离：内外端机是各自网络的协议终点，所有应用层信息从协议包中剥离并还原为应用层信息，一方协议不向另一方延伸（六方云，L3[2]）；
2. 无电气连接：威努特 WISGAP 采用”内外网双主机 + 专有安全数据交换模块”架构 + 专用安全操作系统，确保内外网无联通电气连接，剥离 TCP/IP 协议栈（L3[1]）；
3. 隔离控制通道：六方云”2+1”架构的隔离控制单元使用专用私有协议与内外端通信（L3[2]）；
4. 数据落地处理链：信息落地 → 还原 → 扫描 → 过滤 → 防病毒 → 入侵检测 → 审计（WISGAP 处理链，L3[1]）；
5. 单向传输（零反馈）：支持 TCP 应用层单向传输控制，保证零反馈，以满足二次防护需求（WISGAP”单向无反馈”模式，L3[1][3]）。

三、产品档案

1. 威努特 工控安全隔离与信息交换系统 WISGAP（L3[1]）

维度	参数/能力
架构	内外网双主机 + 专有安全数据交换模块；专用安全主板
性能	复杂对称多处理（RSMP）多模块并行；延时 < 1ms，内部速率 5Gbps，摆渡速率 > 600Mbps
协议	OPC、Modbus TCP、IEC104 等工控协议 + HTTP/SMTP/POP3/FTP/TELNET/SQL/ORACLE/NULL_TCP
工业控制应用	Modbus 代理可按功能码控制（如只允许读取、禁止控制）；WINCC 代理可按功能码控制
交换类型	工业控制代理、文件交换/同步、数据库代理/同步（Oracle/SQLServer/MySQL/Sybase/DB2/PostgreSQL + 达梦/人大金仓，SQL 语句白名单）、视频交换（GB28181）、组播代理（PIM）、邮件/WEB 代理、TCP 应用单向传输、自定义应用
部署模式	透明 / 代理 / 路由
高可用	双机热备/多机热备
认证	ISASecure CRT Tool 认证

2. 六方云 工业网闸系统（L3[2][3]）

• 架构：“2+1”（内端处理单元 + 外端处理单元 + 隔离控制单元），隔离控制单元以专用私有协议通信；
• 安全：应用层信息剥离还原；专用精简/加固安全 OS 内核嵌入特有协议与认证机制；黑白名单；
• 功能：数据库同步、文件同步、工业数据传输，满足工控可用性/可靠性/稳定性要求；
• 可靠性：双机热备、链路聚合、冗余电源；专用高速数据处理部件高吞吐；
• 协议：OPC、Modbus、DNP3、IEC104、IEC61850、MMS、S7、电力单向无反馈等；基于工控协议深度解析控制功能码、线圈值、值域范围（如 OPC 只读、Modbus 限值域）。

四、电力行业专用形态：横向单向隔离装置（L1/L3）

• 十六字方针：“安全分区、网络专用、横向隔离、纵向认证”（2005 年电监会 5 号令起，27 号令延续，见 5.2）；
• 横向四道防线（从外到内）：外部公共因特网 → 管理信息大区 → 生产控制大区非控制区 → 控制区；逻辑隔离用工控专用防火墙/NGFW，跨大区数据通信用单向隔离；
• 正向/反向型：生产控制大区 → 管理信息大区用正向型；管理信息大区 → 生产控制大区（少量数据）用反向型（需加密卡满足保密要求）；
• 强制认证：装置必须为通过国家有关机构安全检查认证的电力专用横向单向隔离装置；
• 代表产品：华电众信 MR-552（CAVIUM Octeon IIICN 7230 4 核，1U，双电源交直流自适应，4×GE，专用隔离卡+加密卡，机箱锁/开盖毁钥/一键毁钥硬件防护，EMC 电力 3 级主板）（L3[4]）。

五、数据二极管与保密场景（L4 技术背景）

• 网闸为双向（分时）通信，存在理论泄密风险；**数据二极管（单向光闸/光纤 TAP）**取消反向信道与控制协议，实现物理绝对单向——虹科单向光纤 TAP 支持被动无源、>35dB 插入损耗阻断反光、无丢包（L4[5]）；
• 国家保密局规定”网闸”不得用于涉密网络与联网之间的物理隔离和数据交换（涉密场景需单向装置）（L4[5]）。
• ⚠️ 待核实：上述保密局规定原文与具体条款未在本次信源中核验。

六、合规落点

依据	对隔离装置的要求	出处
工信部网安〔2024〕14 号第 12 条	工业网络分区分域，部署工业防火墙、网闸等实现域间横向隔离	1.4
发改委令第 27 号	横向四道防线 + 电力专用横向单向隔离装置强制认证	5.2
等保 2.0（GB/T 22239-2019）	安全区域边界：跨区域访问控制/安全隔离	2.2
网络安全法	隔离装置管理口无 IP、专用控制台管理等自身安全	L3[1]

七、选型建议

IT/OT 层级间需受控数据交换（生产数据上管理层）→ 工业网闸（工控协议代理型，如 WISGAP/六方云）
电力生产控制大区 ↔ 管理信息大区           → 电力专用横向单向隔离（正向/反向型，国家认证）
管理网 ↔ 互联网、需高保密单向传输/涉密边界 → 数据二极管/单向光闸
仅需隔离+访问控制（不需摆渡复杂数据）    → 工业防火墙即可（见 3.1，成本更低）

八、来源引用

1. 威努特，工控安全隔离与信息交换系统 WISGAP 产品页（RSMP/延时<1ms/5Gbps/摆渡600Mbps/协议与模块/部署模式/ISASecure 认证）— https://www.winicssec.com/product/l109.html （L3）
2. 六方云，工业网闸系统产品页（“2+1”架构/协议剥离/双机热备等）— https://www.6cloudtech.com/portal/index/product/pagename/page_industrial_gate.html （L3）
3. 云巴巴，六方云工业网闸系统（工业防火墙 vs 工业网闸对比表、工控协议与值域控制）— https://www.yun88.com/product/2496.html （L3/L4）
4. 北京华电众信，MR-552 隔离网闸在电力系统横向隔离中的应用（正向/反向型、专用隔离卡/加密卡、硬件毁钥）— https://www.hdzx.cn/CaseStd_593.html （L3）
5. 虹科网络安全，采用数据二极管光纤 TAP 的高安全性网络监控（数据二极管原理、保密局网闸限制、Diode TAP 特性）— https://hongwangle.com/use-case/network-monitor/high-security-network-monitoring-with-data-diode-fibre-tap/ （L4）
6. 威努特工控安全，《电力监控系统网络安全防护导则》解读（横向四道防线、十六字方针、单向/逻辑隔离选型）— https://www.secrss.com/articles/24761 （L2 转引 L1 电力标准）