工控系統(tǒng)數(shù)字化、網(wǎng)絡安全一體化設計與實踐

周 敏

（廣東宏瑞能源科技股份有限公司 研發(fā)部，廣東 惠州 516001）

0 引言

基于工控系統(tǒng)的實時信息系統(tǒng)實現(xiàn)的是對各廠生產(chǎn)過程的監(jiān)視和管理，通過采集DCS 系統(tǒng)、PLC 系統(tǒng)或者現(xiàn)場數(shù)字儀表的實時生產(chǎn)數(shù)據(jù)，對各生產(chǎn)流程進行統(tǒng)一地監(jiān)視和查詢，上傳至管理網(wǎng)，消除信息孤島現(xiàn)象。調(diào)度者和管理者可以在總調(diào)度中心或自己的辦公室、家里等任何有網(wǎng)絡的地方綜覽全廠的實時生產(chǎn)情況。

實時信息系統(tǒng)網(wǎng)絡及運行平臺需建立在開放、先進的數(shù)據(jù)庫管理基礎上，隨著人工智能、大數(shù)據(jù)等數(shù)字化信息技術的發(fā)展，實時信息系統(tǒng)網(wǎng)絡與上層管理系統(tǒng)等多方系統(tǒng)都存在數(shù)字信息交互，需要考慮和滿足數(shù)據(jù)在網(wǎng)絡上的安全傳輸。這些年不斷出現(xiàn)有遭受網(wǎng)絡風暴或網(wǎng)絡病毒入侵的網(wǎng)絡安全事件發(fā)生，網(wǎng)絡安全風險成為每個工廠設計工控系統(tǒng)網(wǎng)絡時不容忽視的一個重要環(huán)節(jié)。

圖1 網(wǎng)絡架構圖Fig.1 Network architecture diagram

1 工控系統(tǒng)網(wǎng)絡現(xiàn)狀

傳統(tǒng)工控系統(tǒng)（集散控制系統(tǒng)）基本上分為過程控制層、過程監(jiān)控層、生產(chǎn)管理層、決策管理層（辦公網(wǎng)），早期智能化、信息化還沒有現(xiàn)在這么發(fā)達，在決策管理層上很少或者沒有承載關聯(lián)的其他系統(tǒng)，網(wǎng)絡結構簡單，平臺系統(tǒng)之間獨立組網(wǎng)，信息傳輸量少，這種信息系統(tǒng)網(wǎng)絡結構在早期能滿足數(shù)據(jù)讀取和網(wǎng)絡安全。

但隨著智能化的飛速發(fā)展和現(xiàn)代企業(yè)信息化管理的需求，原本相對獨立的工控系統(tǒng)網(wǎng)絡被打破，決策管理層上承載關聯(lián)有眾多復雜的設備和其他系統(tǒng)（如現(xiàn)在的政府網(wǎng)絡平臺、智慧小腦、視頻系統(tǒng)等），如沒有整體考慮網(wǎng)絡安全設計（軟件和硬件），則底層工控系統(tǒng)極易被來自工控系統(tǒng)外的病毒感染，引發(fā)會話夾持等網(wǎng)絡攻擊，最終導致生產(chǎn)停車，嚴重的甚至造成人員傷亡。

2 工控系統(tǒng)網(wǎng)絡安全一體化設計

設計思路：通過多層次縱向防御，建立復雜網(wǎng)絡安全系統(tǒng)和安全防護策略，避免單一網(wǎng)絡策略受攻擊被入侵。

1）在控制系統(tǒng)過程監(jiān)控層和決策管理層（辦公網(wǎng)）間設置多層工業(yè)級防火墻。通過物理隔離把過程監(jiān)控層與外部網(wǎng)絡安全隔離，攔截病毒入侵和擴散，有效劃分安全區(qū)域，提供從邊界、區(qū)域到終端的完整防護，解決因缺少隔離引起的安全問題。作為主干網(wǎng)絡的以太網(wǎng)，網(wǎng)絡信息交換數(shù)據(jù)傳輸數(shù)據(jù)達10Mb。客戶從辦公網(wǎng)外圍進入，需通過防火墻，訪問遠程桌面網(wǎng)關，遠程桌面網(wǎng)關會核實是否有裝證書，核實已安裝證書的客戶端才能與遠程桌面客戶端通訊。用戶名密碼通過域控驗證，驗證通過后，遠程桌面網(wǎng)關才允許訪問。

2）設置OPC 服務器。所有工控系統(tǒng)的數(shù)據(jù)都采集到OPC 服務器，OPC 服務器采用專用數(shù)據(jù)接口與上層系統(tǒng)進行數(shù)據(jù)交互，上層系統(tǒng)的用戶訪問工控系統(tǒng)必須通過多層防火墻。設置數(shù)據(jù)通訊方向，讀取數(shù)據(jù)從過程監(jiān)控層上讀，但無法往過程監(jiān)控層下寫數(shù)據(jù)。

每臺操作站和服務器都安裝白名單防病毒軟件，以白名單技術監(jiān)控，并設有防病毒服務器，防病毒服務器具有備份（域控備份）和恢復功能，自動實時和全方位監(jiān)控防止病毒從外部入侵，自動定期更新所有服務器病毒庫，有效防止未知病毒的攻擊，切斷病毒和木馬傳播途徑，保證系統(tǒng)指令下發(fā)和過程控制系統(tǒng)正常運行。

3）關閉交換機全部不使用的網(wǎng)絡端口，防止外來的網(wǎng)絡攻擊。配置交換機端口限流功能，以防惡意、設備故障或者病毒引起的超大流量訪問。網(wǎng)絡端口設置訪問優(yōu)先級，與控制器連接的網(wǎng)絡優(yōu)先級高，保證控制器與操作站之間數(shù)據(jù)的可靠通訊。交換機端口具備故障隔離功能，可以將發(fā)生故障的端口從網(wǎng)絡中切除，避免故障擴大對整個網(wǎng)絡產(chǎn)生影響。交換機設置完整的事件和日志記錄并上報HMI功能，可實時對網(wǎng)絡狀況進行監(jiān)視。

4）系統(tǒng)具備對可移動存儲設備（光驅、軟驅、USB 口等）的密碼管理功能，只有授權的用戶才能使用這些設備，有效防止病毒的傳播。

5）設置工業(yè)網(wǎng)閘，在兩個不同安全域之間需有協(xié)議轉換，被系統(tǒng)協(xié)議明確定義允許傳輸?shù)男畔⒉旁试S通過。抵御基于操作系統(tǒng)漏洞攻擊行為，安全隔離網(wǎng)閘的雙主機之間是物理阻斷的，工業(yè)網(wǎng)閘與多種類安全設備協(xié)同同時運行，形成綜合性網(wǎng)絡安全防護平臺。

3 工控系統(tǒng)數(shù)字化整體架構

3.1 數(shù)據(jù)采集

1）系統(tǒng)數(shù)據(jù)站裝載全局數(shù)據(jù)庫，負責對域內(nèi)系統(tǒng)數(shù)據(jù)的集中管理和監(jiān)視，包括各類事件的捕捉和記錄，并為域內(nèi)其它各站的數(shù)據(jù)請求向操作站提供歷史趨勢數(shù)據(jù)；非SOE 點的時間標簽生成功能；歷史數(shù)據(jù)自動存盤功能；向工程師站提供離線查詢功能的歷史數(shù)據(jù)文件；向操作站、控制站發(fā)送系統(tǒng)校時信號，對上級調(diào)度數(shù)據(jù)結合實時數(shù)據(jù)專家系統(tǒng)的分析運算產(chǎn)生指導工藝過程的運算指標等。數(shù)據(jù)站還提供二次數(shù)據(jù)處理和歷史數(shù)據(jù)管理和存檔功能。

2）實時數(shù)據(jù)庫系統(tǒng)通過OPC 方式把DCS、PLC、SIS等系統(tǒng)數(shù)據(jù)采集到實時數(shù)據(jù)庫中，PIMS 實時數(shù)據(jù)庫的生產(chǎn)管理數(shù)據(jù)、設備管理數(shù)據(jù)等為管理層的數(shù)據(jù)庫提供生產(chǎn)數(shù)據(jù)，管理者可依此平臺對生產(chǎn)進行全面掌控，實時分析，優(yōu)化決策。根據(jù)管理和生產(chǎn)運營需求配置多個PIMS Client，用于遠程客戶進行流程圖訪問、數(shù)據(jù)獲取等。

3）隨著現(xiàn)場總線和智能儀表技術的發(fā)展，雙向全數(shù)字化的通訊以及智能診斷已經(jīng)越來越標準化。PRM 主要是面向工廠的儀表維護人員和工藝運行人員來對現(xiàn)場智能設備進行有效管理，PRM 軟件工具是為現(xiàn)場智能設備提供的一個有效管理的軟件，有效地減少工廠的整體成本。

工廠資源管理系統(tǒng)由PRM SERVER，PRM CLIENT 和FIELD COMMUNICATION SERVER 三大部分組成。PRM 的Server 的數(shù)據(jù)庫（Database Server）采用MS SQL Server 數(shù)據(jù)庫，主要功能有：

① 采集和儲存設備診斷數(shù)據(jù)，如設備參數(shù)、設備報警以及檢查備忘錄。

② 實現(xiàn)設備信息的集中管理，如設備清單、鑒定周期計劃和記錄、各種電子文檔和備件清單。

③ 產(chǎn)生所需要的維護報警信息（現(xiàn)象、原因、作用），并分配維護報警信息到所需的維護人員。

④ 自動地采集和存儲設備事件（每天24h），用戶可以連續(xù)監(jiān)視現(xiàn)場設備的操作狀態(tài)。

PRM 客戶端（client）是在標準的WINDOWS 環(huán)境下運行，給用戶提供方便友好的操作瀏覽環(huán)境，可以在控制室對現(xiàn)場智能設備狀態(tài)進行在線監(jiān)視和操作。

◇ 通過全數(shù)字雙向通訊實現(xiàn)現(xiàn)場智能設備與系統(tǒng)的自動識別和連接。

◇ 通過維護的報警功能監(jiān)視設備的運行狀態(tài)，通訊好壞。

◇ 在線設定和校驗現(xiàn)場智能設備。

◇ 容許第三方應用管理軟件嵌入到PRM，作為設備管理軟件的一部分。

3.2 生產(chǎn)畫面監(jiān)控

1）可視化工具組態(tài)。根據(jù)生產(chǎn)和管理需求，加工過程數(shù)據(jù)，組態(tài)圖形顯示，體現(xiàn)現(xiàn)場實際運行情況。生產(chǎn)和管理層通過加工的組態(tài)圖形實時監(jiān)測和查看生產(chǎn)現(xiàn)場各項指標，獲得全面的生產(chǎn)一線信息，對各類設備儀表運行狀態(tài)實時監(jiān)控和調(diào)度。

2）生產(chǎn)裝置的工藝流程圖、設備簡圖等在CRT 上顯示，通過工藝流程圖上的狀態(tài)顯示、各設備主要指標的實時計算、主輔機的啟停統(tǒng)計、機組負荷曲線分析，多參數(shù)的曲線對比等方式，全方位地對系統(tǒng)設備進行監(jiān)視。

提供系統(tǒng)設備的運行狀態(tài)以及全部生產(chǎn)過程參數(shù)變量的狀態(tài)、測量值、設定值、控制方式（手動/自動狀態(tài)）、高低報警等信息，為快速定位修復測點提供條件。

3.3 歷史趨勢分析

系統(tǒng)上可任意查看監(jiān)控數(shù)據(jù)表上任何數(shù)據(jù)點趨勢，同一座標軸同時顯示4 個變量的趨勢曲線，供用戶自由選擇參數(shù)變量，可對數(shù)據(jù)軸操作任意放大和顯示。

3.4 報警數(shù)據(jù)查看

顯示當前所有正在進行的過程參數(shù)報警和系統(tǒng)硬件故障報警，一般有如下功能：

1）報警優(yōu)先級別和報警分類。

2）記錄報警狀態(tài)和數(shù)值。

3）歷史報警表，可查看過程報警和系統(tǒng)報警的歷史報警。

3.5 生產(chǎn)統(tǒng)計報表

數(shù)據(jù)庫的所有記錄都可生成報表打印，用報表生成軟件建立組態(tài)報表，對全廠生產(chǎn)數(shù)據(jù)進行綜合處理，統(tǒng)計分析。報表功能設置為可由程序控制、報警控制和操作員控制啟動，靈活方便形成全廠生產(chǎn)報表和曲線，并能監(jiān)視、查詢。報表包括運行抄表、班報表、日報表、月報表等。

3.6 系統(tǒng)時鐘同步

1）GPS 時間同步系統(tǒng)，授時精度高、覆蓋范圍廣，可為控制系統(tǒng)內(nèi)的計算機和設備提供全自動、高精度的時間同步基準，較好地解決了落后的人工校時和網(wǎng)絡授時精度問題。時鐘同步系統(tǒng)采用單點接入、多系統(tǒng)設備共用一個基準時鐘源，為SIS 系統(tǒng)、操作員站、工程師站提供統(tǒng)一的時間基準，統(tǒng)一網(wǎng)絡上所有計算機時鐘，確保處于一個系統(tǒng)組態(tài)數(shù)據(jù)庫下的所有節(jié)點（工程師站、操作員站、控制站等）時鐘的一致性。

2）系統(tǒng)的主時鐘服務器上專門設置一個網(wǎng)絡端口給第三方系統(tǒng)，對整個工控系統(tǒng)進行時鐘同步，而第三方系統(tǒng)可以靈活地根據(jù)其特點接入時鐘同步器進行時鐘同步。

4 關鍵技術

4.1 三層網(wǎng)絡交換

配置三層交換機和二層交換機，對信息管理網(wǎng)進行分工和權限管理，系統(tǒng)通過三層交換機和二層交換機互聯(lián)，運用三層交換機技術分離工控系統(tǒng)和信息管理系統(tǒng)客戶端，同時把病毒服務器（備份服務器）和WEB 服務器連接到客戶端，對服務器進行全局管理。三層網(wǎng)絡架構將大規(guī)模、較復雜的網(wǎng)絡進行分層次分模塊處理，各司其職，提高了數(shù)據(jù)傳輸數(shù)率。

三層網(wǎng)絡架構與二層網(wǎng)絡的差異在匯聚層，匯聚層處于中間位置。匯聚層交換機是多臺接入層交換機的匯聚點。

二層網(wǎng)絡基本上是一個安全域，三層網(wǎng)絡則可以劃分出相對獨立的多個安全域。

二層網(wǎng)絡僅通過MAC 尋址即可實現(xiàn)通訊，三層網(wǎng)絡需要通過IP 路由實現(xiàn)跨網(wǎng)段的通訊，可以跨多個沖突域。

二層網(wǎng)絡的組網(wǎng)能力有限，一般是小局域網(wǎng)，三層網(wǎng)絡則可以組建大型的網(wǎng)絡。

4.2 OPC技術

配置OPC 服務器，提供開放OPC 接口。OPC 包括一整套接口、屬性和方法的標準集，用于過程控制和制造業(yè)自動化系統(tǒng)。

OPC 協(xié)議是一種基于微軟技術的數(shù)據(jù)訪問協(xié)議，旨在解決在工業(yè)自動化領域中設備和軟件互聯(lián)的問題。它以微軟公司的OLE 技術為基礎，通過提供一套標準的OLE/COM 接口完成，允許多臺微機之間交換文檔、圖形等對象，是一個進行協(xié)議轉換的軟件工具，將不同的協(xié)議轉換成人們需要的通訊協(xié)議。

OPC 規(guī)范定義了工業(yè)標準接口，這個標準使COM 技術適用于過程控制和制造自動化等應用領域，實現(xiàn)了數(shù)據(jù)的高效傳輸和共享，使工業(yè)自動化系統(tǒng)可以實現(xiàn)更高效、更可靠的數(shù)據(jù)采集和控制，提高了生產(chǎn)效率和安全性。

OPC 支持不同平臺之間的通信，支持數(shù)據(jù)訂閱、安全性驗證、方法調(diào)用、文件傳輸?shù)取?/p>

OPC 非常便捷地實現(xiàn)了遠程調(diào)用，使應用程序的分布與系統(tǒng)硬件的分布無關，系統(tǒng)的應用范圍更廣。

OPC 具有以下優(yōu)點：語言無關性，減少了重復開發(fā)，易于集成性，降低了數(shù)據(jù)設備間的不兼容，易于實現(xiàn)與其它系統(tǒng)的接口匹配，縮短軟件開發(fā)周期，便于系統(tǒng)的升級與維護等。

4.3 PIMS Server組態(tài)

PIMS Server 組態(tài)主要是數(shù)據(jù)采集及按客戶需求進行，如畫面制作等。組態(tài)前提：各OPC 接口完成打通控制系統(tǒng)數(shù)據(jù)采集通道，完成采集數(shù)據(jù)功能和類型，建立各種多樣化Block 功能塊。采集完的數(shù)據(jù)按照要求進行歸檔，為了后續(xù)數(shù)據(jù)的綜合管理。

建立趨勢組和報表，記錄重要生產(chǎn)數(shù)據(jù)歷史。工控系統(tǒng)事件報警匯總到信息管理系統(tǒng)，生產(chǎn)和管理層可遠程實施監(jiān)控現(xiàn)場異常狀況，還可結合歷史趨勢進行事故分析和決策。

4.4 信息系統(tǒng)發(fā)布

TSI Client 是信息系統(tǒng)發(fā)布的主要對象，前期組態(tài)好的系統(tǒng)畫面發(fā)布在TSI 服務器上，用戶可利用TSI 服務器查看和獲得實時信息。

4.5 防火墻

服務器之間的通訊經(jīng)過防火墻嚴格控制和篩選，防火墻設置端口和權限，保證各個服務器之間信息傳輸安全。

4.6 網(wǎng)閘

單向網(wǎng)閘是專用的隔離芯片在電路上切斷內(nèi)外網(wǎng)連接的一種設備，并能夠在網(wǎng)絡間進行安全適度的應用數(shù)據(jù)交換。

用單向網(wǎng)閘隔離企業(yè)內(nèi)部局域網(wǎng)和政府辦公網(wǎng)，政府辦公網(wǎng)只能從企業(yè)內(nèi)部局域網(wǎng)讀取數(shù)據(jù)，但不允許往下寫數(shù)據(jù)。

5 運營管理

1）完善賬戶權限管理

對不同級別人員分配對應級別賬戶權限；定期核對賬戶；嚴格執(zhí)行權限審批制度。

2）制定和實施管理制度

結合國家要求，制度相關管理規(guī)定，定期組織人員培訓。

6 結束語

工控系統(tǒng)數(shù)字化、網(wǎng)絡安全一體化建立了一個能夠使企業(yè)在安全的網(wǎng)絡環(huán)境下進行數(shù)據(jù)采集，對全廠進行生產(chǎn)信息的管理和查詢，管理層可以更安全地進行管理生產(chǎn)，合理調(diào)配生產(chǎn)過程中的供給和需求，下達企業(yè)生產(chǎn)計劃。

工控系統(tǒng)數(shù)字化、網(wǎng)絡安全一體化系統(tǒng)對生產(chǎn)過程中的情況、生產(chǎn)指標進行實時分析和處理，為企業(yè)管理層提供簡潔安全途徑，使辦公網(wǎng)絡和生產(chǎn)網(wǎng)絡之間安全傳遞信息，提高生產(chǎn)效率，增加經(jīng)濟效益。