工業(yè)以太網(wǎng)在實(shí)際應用中安全對策解決方案
加入技術(shù)交流群
2.1.2 工業(yè)以太網(wǎng)網(wǎng)絡(luò )設備的穩定性對安全的影響
以太網(wǎng)用于工業(yè)控制必須具有很好的可靠性和運行穩定性，否則將對連續生產(chǎn)的工業(yè)流程帶來(lái)嚴重的威脅。
2.2 網(wǎng)絡(luò )對外連接帶來(lái)的隱患
由于作為DCS網(wǎng)絡(luò )的工業(yè)以太網(wǎng)需經(jīng)實(shí)時(shí)數據庫將裝置生產(chǎn)數據上傳至工廠(chǎng)信息管理網(wǎng)的MES和ERP，而工廠(chǎng)信息管理網(wǎng)又與Internet相連。這就難以避免來(lái)自Internet和工廠(chǎng)信息管理網(wǎng)的黑客攻擊、信息阻塞、病毒，從而導致工業(yè)以太網(wǎng)的工作異?；虬c瘓，使DCS網(wǎng)絡(luò )運行速度大幅降低或控制器處于失控狀態(tài)，嚴重威脅裝置的生產(chǎn)安全。
2.3 網(wǎng)絡(luò )終端與操作及維護人員界面帶來(lái)的安全隱患
如前所述，工業(yè)以太網(wǎng)終端以操作站、服務(wù)器和工程師站為主，主要用于系統維護、組態(tài)和生產(chǎn)操作。在工藝操作人員和系統維護工程師實(shí)施操作和系統維護時(shí)，其開(kāi)放的光驅、USB接口均可成為危及工業(yè)以太網(wǎng)及其終端安全運行的病毒的侵人途徑，人為的非法操作、維護也會(huì )直接危及生產(chǎn)裝置和工業(yè)以太網(wǎng)及控制系統的安全運行。
三、安全對策
根據以上分析，在項目執行的不同階段應設計并實(shí)施相應的安全對策：
(1)項目規劃和DCS選型階段(總體設計階段)
此階段對所選DCS工業(yè)以太網(wǎng)的安全運行提出具體要求：網(wǎng)絡(luò )負荷、與MES等上層信息管理網(wǎng)的連接接口、終端界面的安全措施、系統使用賬戶(hù)管理、系統的在線(xiàn)可維護性要求及控制系統設備的具體選型等。
(2)基礎設計階段
對所選工業(yè)以太網(wǎng)的所有安全內容均提出具體要求和技術(shù)方案，編制設計文件作為后續工作的指南。
(3)詳細設計階段
按照上一階段的基礎設計文件進(jìn)行系統配置、組態(tài)和測試。
(4)現場(chǎng)調試和驗收階段
在系統調試完成后對各界面接口的安全對策實(shí)施檢查確認，與生產(chǎn)和維護單位一起共同制訂合理的用戶(hù)管理策略、編制用戶(hù)等級和組態(tài)實(shí)施。
3.1 網(wǎng)絡(luò )負荷限制和設備穩定性要求
為確保項目DCS網(wǎng)絡(luò )在任何時(shí)候都能安全運行，有必要在系統選型時(shí)明確選用冗余容錯工業(yè)以太網(wǎng)，要求正常時(shí)不要超過(guò)網(wǎng)絡(luò )負荷的30%，系統響應時(shí)間不超過(guò) 1s，控制器負荷正常時(shí)不超過(guò)50%并留有一定的擴展空間等；同時(shí)，盡可能選用網(wǎng)速較高的工業(yè)以太網(wǎng)，現在1G的網(wǎng)絡(luò )已在工業(yè)生產(chǎn)中得到了廣泛的應用。對于網(wǎng)絡(luò )設備在選型時(shí)必須要求經(jīng)過(guò)實(shí)際生產(chǎn)驗證的工業(yè)用通用設備，這樣既保證了設備的穩定性、安全性，也保證了高可用性和可維護性。
3.2 工業(yè)以太網(wǎng)與信息管理網(wǎng)接口的安全策略
工業(yè)以太網(wǎng)作為上層信息管理網(wǎng)的數據平臺，將盡可能多的生產(chǎn)裝置上實(shí)時(shí)數據采集到實(shí)時(shí)數據庫中并經(jīng)防火墻傳送數據至MES和ERP：具體接口連接為工業(yè)以太網(wǎng)、防火墻、DMZ中間區域防護和MES數據采集服務(wù)器等，如圖2所示。由于MES和ERP與商用Internet相連，為保證工業(yè)以太網(wǎng)的切實(shí)安全，現在的大型項目一般采用如圖2所示的DMZ(demilitarized zone隔離區，內網(wǎng)和外網(wǎng)的緩沖區)中間防護策略。
將上層信息管理網(wǎng)需要訪(fǎng)問(wèn)的實(shí)時(shí)數據庫容錯服務(wù)器置于DMZ層，使來(lái)自上層的信息管理網(wǎng)只能通過(guò)外部防火墻訪(fǎng)問(wèn)到實(shí)時(shí)數據庫服務(wù)器，而不能通過(guò)內部防火墻至工業(yè)以太網(wǎng)。這樣來(lái)自Internet的攻擊將要通過(guò)外部防火墻、堡壘主機和內部防火墻等三道相互獨立的防線(xiàn)才能到達工業(yè)以太網(wǎng)，使攻擊難度大大加強，相應內部網(wǎng)絡(luò )的安全性也就大大加強。
3.3 全面加強工業(yè)以太網(wǎng)的安全管理
在安全管理上主要是防病毒網(wǎng)絡(luò )的設置和用戶(hù)管理策略的制訂及實(shí)施。由于現在以DCS為基礎控制系統，其工業(yè)以太網(wǎng)上集成了幾乎所有的控制系統，所以要保證工業(yè)以太網(wǎng)不受病毒攻擊，就必須使所有連接在工業(yè)以太網(wǎng)上的終端均受到防病毒軟件的保護，并實(shí)時(shí)更新病毒庫。具體措施：在DCS信息集成的工業(yè)以太網(wǎng)上配置一臺防病毒軟件服務(wù)器并安裝防病毒中心軟件，而相應需保護的工業(yè)以太網(wǎng)終端設備上則安裝客戶(hù)端軟件(常用的防病毒軟件為西門(mén)鐵克)，并根據需要由服務(wù)器直接從Internet實(shí)時(shí)升級病毒庫或由相關(guān)維護工程師手動(dòng)及時(shí)更新病毒庫。用戶(hù)管理策略一般可以采取以下措施：
(1)加強工藝操作人員和系統維護工程師的培訓工作，嚴格計算機操作及維護紀律，力爭將誤操作降到零水準。
(2)將安裝有開(kāi)放的光驅和USB接口的操作站主機與顯示器及操作鍵盤(pán)異地放置，對不利于異地放置的地方則需對操作員賬戶(hù)屏蔽其對光驅和USB接口的操作功能；對服務(wù)器、工程師站則應對維護工程師的工作制訂嚴格的紀律以確保病毒不從光驅和USB接口進(jìn)入工業(yè)以太網(wǎng)。
(3)根據使用者工作職責的不同建立不同級別的賬戶(hù)，使之操作行為受到相應的限制以保護DCS及其網(wǎng)絡(luò )的安全運行。
四、結束語(yǔ)
由于行業(yè)不同，對工業(yè)以太網(wǎng)應用安全的要求也不盡相同，各用戶(hù)可以根據自己的經(jīng)驗和項目實(shí)際要求在應用以太網(wǎng)控制系統時(shí)配置自己的安全對策。上述對策是根據近年來(lái)幾個(gè)大型合資石化項目的成功經(jīng)驗，結合儀表自動(dòng)化領(lǐng)域控制技術(shù)發(fā)展總結而來(lái)的，經(jīng)過(guò)實(shí)際生產(chǎn)的檢驗，對相關(guān)控制對象具有很好的安全保護作用。隨著(zhù)以太網(wǎng)技術(shù)的進(jìn)一步發(fā)展，有線(xiàn)、無(wú)線(xiàn)網(wǎng)絡(luò )的混合應用，對工業(yè)以太網(wǎng)的安全考驗會(huì )越來(lái)越多，從而也要求相應的更為嚴密的安全措施相匹配。
評論