導(dǎo)航：安全管理網(wǎng)>> 安全論文>> 電力安全論文>>正文

企業(yè)工業(yè)控制網(wǎng)絡(luò)安全技術(shù)探討及實現(xiàn)

文檔作者：韓曉波文檔來源：中國石化齊魯分公司信息技術(shù)部		點擊數(shù)：	更新時間： 2021年06月05日
下載地址：點擊這里	文件大小： 1.14 MB 共6頁	文檔格式： PDF	下載點數(shù)： 1 點（VIP免費）

全屏查看

內(nèi)容預(yù)覽 [文件共6頁]

本文件共6頁，如需編輯使用，請下載。

注：預(yù)覽效果可能會出現(xiàn)部分文字亂碼（如口口口）、內(nèi)容顯示不全等問題，下載是正常的。

	文件大?。?.14 MB 共6頁文件格式：PDF 下載點數(shù)：1 點（VIP會員免費）

下一篇：某電廠300MW機組深度調(diào)峰安全性分析

上一篇： 35MW機組安全高效運行探析

文本預(yù)覽

僅提取頁面文字內(nèi)容，供快速閱讀使用。

498 化工自動化及儀表第39卷
企業(yè)工業(yè)控制網(wǎng)絡(luò)安全技術(shù)探討及實現(xiàn)
韓曉波
(中國石化齊魯分公司信息技術(shù)部，山東淄博255400)
摘要由于工業(yè)控制系統(tǒng)的運行環(huán)境和平臺相對獨立，其安全性易被忽視。隨著企業(yè)信息化的發(fā)展，
管理和控制網(wǎng)絡(luò)更加深入地融合，平臺愈加開放，新一代病毒入侵生產(chǎn)控制系統(tǒng)已成為企業(yè)平穩(wěn)生產(chǎn)運
行的重大安全隱患。為保障基于企業(yè)網(wǎng)絡(luò)業(yè)務(wù)的持續(xù)性和穩(wěn)定性，對企業(yè)的管理和控制網(wǎng)絡(luò)采取相應(yīng)
的安全防護措施．建立有針對性的安全防護體系。
關(guān)鍵詞工業(yè)控制系統(tǒng)網(wǎng)絡(luò)安全Tofino技術(shù)區(qū)域管道
中圖分類號TH89 文獻標識碼B 文章編號1000-3932(2012)04-0498-06
2010年10月，來自伊朗的一個關(guān)于工業(yè)網(wǎng)
絡(luò)病毒Stuxnet(計算機蠕蟲病毒)的報告引起了
全球的注意，該病毒通過Windows系統(tǒng)中此前不
為人知的漏洞感染計算機，并通過網(wǎng)絡(luò)、移動介質(zhì)
及西門子項目文件等方式進行傳播。Stuxnet病
毒是專門設(shè)計來攻擊伊朗重要工業(yè)設(shè)施的，包括
備受國際關(guān)注的布什爾核電站，它在入侵系統(tǒng)之
后會尋找廣泛用于工控系統(tǒng)的軟件，并通過對軟
件重新編程實施攻擊，病毒能控制關(guān)鍵過程并開
啟一連串執(zhí)行程序，最終導(dǎo)致的后果難以預(yù)估。
Stuxnet是目前首個針對工控系統(tǒng)展開攻擊的計
算機病毒，已經(jīng)對伊朗國內(nèi)的工業(yè)控制系統(tǒng)產(chǎn)生
了極大影響，Stuxnet可以說是計算機病毒界的革
命性創(chuàng)新，給工業(yè)控制系統(tǒng)網(wǎng)絡(luò)的安全帶來新警
示——“工業(yè)病毒”時代已經(jīng)來臨。
隨著信息技術(shù)的不斷推廣應(yīng)用，諸如內(nèi)部控
制系統(tǒng)(DCS及PLC等)，國內(nèi)、外化工領(lǐng)域逐步
推廣應(yīng)用的各種安全控制系統(tǒng)(緊急停車系統(tǒng)
ESD、停車聯(lián)鎖／儀表系統(tǒng)SIS、儀表保護系統(tǒng)IPS
及故障安全控制系統(tǒng)FSC等)¨1以及基礎(chǔ)應(yīng)用類
系統(tǒng)(一些定制系統(tǒng))與外界不再隔離。越來越
多的案例表明，工廠信息網(wǎng)絡(luò)、移動存儲介質(zhì)、因
特網(wǎng)以及其他因素導(dǎo)致的網(wǎng)絡(luò)安全問題正逐漸在
控制系統(tǒng)和基礎(chǔ)應(yīng)用類系統(tǒng)中擴散，直接影響了
生產(chǎn)控制的穩(wěn)定與安全。這將是石油煉化連續(xù)性
生產(chǎn)企業(yè)面I臨的重大安全課題。隨著石油化工及
電力等行業(yè)進入規(guī)模化生產(chǎn)，生產(chǎn)裝置積聚的能
量越來越大，可能造成的重大工業(yè)事故使人們前
所未有地重視工業(yè)生產(chǎn)中的安全問題舊J1。
1 企業(yè)控制網(wǎng)絡(luò)安全現(xiàn)狀
十年來，隨著信息技術(shù)的迅猛發(fā)展，信息化在
石油煉化連續(xù)性生產(chǎn)企業(yè)中的應(yīng)用快速發(fā)展，網(wǎng)
絡(luò)安全技術(shù)和網(wǎng)絡(luò)安全管理體系也有重大進
展”1，為重要核心應(yīng)用系統(tǒng)的長、安、穩(wěn)、滿、優(yōu)運
行起到巨大的支撐和保障作用。
但是多年來，企業(yè)更多地關(guān)注的是管理網(wǎng)絡(luò)
的安全問題，而對控制網(wǎng)絡(luò)安全問題的關(guān)注意識
并不強。隨著ERP及MES等系統(tǒng)的實施，信息
化的觸角已經(jīng)延伸到各個生產(chǎn)單元，包括生產(chǎn)裝
置、罐區(qū)和產(chǎn)品的進／出廠點。由于歷史原因，企
業(yè)網(wǎng)絡(luò)往往都是一個整體，管理網(wǎng)與工業(yè)控制網(wǎng)
(或基礎(chǔ)應(yīng)用網(wǎng))防護功能弱甚至幾乎沒有隔離
功能，同時由于近幾年控制系統(tǒng)(或基礎(chǔ)應(yīng)用系
統(tǒng))功能的不斷提升，系統(tǒng)在進一步開放的同時，
也帶來了系統(tǒng)的安全問題，減弱了控制系統(tǒng)與外
界的隔離，2000年以前的控制系統(tǒng)一般都有自己
獨立的操作系統(tǒng)，其開放性和通用性較弱，因此幾
乎不存在網(wǎng)絡(luò)安全風(fēng)險。但目前的控制系統(tǒng)一般
使用開放的Windows系統(tǒng)和OPC協(xié)議進行數(shù)據(jù)
通信，網(wǎng)絡(luò)也采用冗余工業(yè)以太網(wǎng)模式，尤其是服
務(wù)器結(jié)構(gòu)的控制系統(tǒng)，一旦服務(wù)器出現(xiàn)異常，受侵
害的不僅僅是一個操作站，而會導(dǎo)致整個系統(tǒng)癱
瘓。近幾年來，國內(nèi)、外許多企業(yè)的DCS系統(tǒng)已
有中病毒或遭黑客攻擊的現(xiàn)象。對此，企業(yè)IT人
收稿日期：2012-01-i8(修改稿)
萬方數(shù)據(jù)
第4期韓曉渡企業(yè)工業(yè)控制網(wǎng)絡(luò)安全技術(shù)探討及實現(xiàn)
員卻無能為力，不敢動或不能動，只能等裝置停工
檢修期問由廠商處理，給安全生產(chǎn)帶來了極大的
隱患。
另～方面，由于人們在認識和知識面上存在
差距，許多企業(yè)對控制類系統(tǒng)的安全存在認識上
的誤區(qū)：一是認為在企業(yè)網(wǎng)與互聯(lián)網(wǎng)之間已經(jīng)安
裝了專業(yè)防火墻，控制網(wǎng)絡(luò)是安全的；二是認為控
制系統(tǒng)沒有直接連接互聯(lián)網(wǎng)，控制系統(tǒng)是安全的；
三是認為黑客或病毒不懂控制系統(tǒng)。而實際情況
是，盡管在企業(yè)網(wǎng)內(nèi)部安裝了功能較完備的網(wǎng)絡(luò)
安全防護產(chǎn)品，施行了各類網(wǎng)絡(luò)安全技術(shù)，建立了
信息安全管理體系，但控制系統(tǒng)的安全問題卻越
來越嚴峻，主要原因是許多控制網(wǎng)沒有有效的隔
離手段，而企業(yè)推廣應(yīng)用的一些安全產(chǎn)晶又不能
直接安裝到這些系統(tǒng)中。目前，針對企業(yè)控制網(wǎng)
的安全事件具有如下共同點：
a．“軟”目標。大多數(shù)DCS系統(tǒng)中的計算
機，很少或沒有機會安裝全天候的病毒防護和更
新版本，同時控制器的設(shè)計都以實時I／O功用為
主，并不提供加強的網(wǎng)絡(luò)連接防護功能。
b．多個網(wǎng)絡(luò)端口切人點。在多個網(wǎng)絡(luò)安全
事件中，事由都源于對多個網(wǎng)絡(luò)端口進入點疏于
防護，而且控制系統(tǒng)的維護人員(非IT人員)在維
護與維修過程中監(jiān)管也不到位。
c．疏漏的網(wǎng)絡(luò)分割設(shè)計。許多控制網(wǎng)絡(luò)都
是“敞開的”，不同子系統(tǒng)之間沒有有效的隔離，
尤其是基于OPC及MODBUS等通信的工業(yè)控制
網(wǎng)絡(luò)。
2 目前業(yè)界控制網(wǎng)絡(luò)安全技術(shù)
國際上比較流行的安全解決方案有網(wǎng)閘及工
業(yè)防火墻等，能夠?qū)νㄐ艆f(xié)議進行深度檢查，可以
有效地保護工業(yè)控制系統(tǒng)、基礎(chǔ)類應(yīng)用系統(tǒng)和不
同網(wǎng)絡(luò)區(qū)域不會遭到攻擊與破壞，其主要策略列
舉如下：
a．將企業(yè)網(wǎng)絡(luò)和控制網(wǎng)絡(luò)進行“區(qū)域和渠
道”的劃分。新ANSI／ISA．99安全標準的核心理
念是“區(qū)域和渠道”，根據(jù)控制功能將網(wǎng)路分層或
分域，多分區(qū)隔有助于提供“縱深”防御。
b．定義區(qū)域之間的連接“管道”。要了解和
管理好系統(tǒng)所有區(qū)域之間的“管道”，并且要對
“管道”有安全的管制，具體包括進入?yún)^(qū)域的管
制，采用DOS防范攻擊或惡意軟件的轉(zhuǎn)移，屏蔽
其他網(wǎng)絡(luò)系統(tǒng)，保護網(wǎng)絡(luò)流量的完整性和保密性。
c．區(qū)域和管道保護網(wǎng)絡(luò)。每一個服務(wù)管
道，安全設(shè)備只允許正確的設(shè)備操作所必需的
通信。
d．集中安全管理監(jiān)控。在另一個平臺上，安
裝集中式安全監(jiān)控管理模塊，管理和檢測所有安
全設(shè)備，可隨時進行報警確認和歷史信息查詢，為
網(wǎng)絡(luò)故障的及時排查、分析提供可靠依據(jù)。
3 齊魯公司控制網(wǎng)絡(luò)架構(gòu)及面臨風(fēng)險
中國石化齊魯分公司(以下簡稱齊魯分公司)
是一家特大型煉化企業(yè)，其企業(yè)網(wǎng)支撐著ERP、
MES及OA等多種應(yīng)用，基本涵蓋了整個企業(yè)管理
和生產(chǎn)控制單元。根據(jù)企業(yè)網(wǎng)絡(luò)建設(shè)現(xiàn)狀，結(jié)合業(yè)
內(nèi)工業(yè)安全的先進安全技術(shù)，制訂、實施管理網(wǎng)和
控制網(wǎng)整體安全解決的方案有兩部分。
3．1 現(xiàn)有控制網(wǎng)和管理網(wǎng)架構(gòu)體系
齊魯分公司是石化內(nèi)部實施DCS系統(tǒng)和實
時數(shù)據(jù)庫最早的企業(yè)之一(1986年在催化裂化裝
置實施DCS，1992年使用IP21的前身軟件SETCON
實時數(shù)據(jù)庫技術(shù))，共有各類DCS及PLC系
統(tǒng)等近九十多套，但是僅有少數(shù)系統(tǒng)安裝了防病
毒軟件和硬件防火墻。為給MES系統(tǒng)提供最基
礎(chǔ)的數(shù)據(jù)源，建立上、下一體的兩級InfoPlus．21
實時數(shù)據(jù)庫平臺體系。系統(tǒng)的拓撲和整體架構(gòu)如
圖1、2所示。
圖1 系統(tǒng)拓撲結(jié)構(gòu)
分廠級實時數(shù)據(jù)庫對底層控制系統(tǒng)和儀表的
數(shù)據(jù)采集都通過OPC接口實現(xiàn)(圖3)。通過Info·
Plus．21實時數(shù)據(jù)庫的Cim-IO for InfoPlus．21接
口實現(xiàn)與公司級InfoPlus．2l實時數(shù)據(jù)庫間的數(shù)
據(jù)傳輸，從以上二級分廠的實時數(shù)據(jù)庫中將所需
數(shù)據(jù)讀取到公司實時數(shù)據(jù)庫中。
萬方數(shù)據(jù)
化工自動化及儀表第39卷
H** Ⅲ§≈
圖2 齊魯公司買時數(shù)據(jù)庫采構(gòu)體系
3．1 3齊魯公司MES／OA信息網(wǎng)
贏，氛事麓審囂竄釜籬美
囊贍?；糏‰I卜t藏巍ik d1．．．．
蕊：、黜雙“‘黑：麓‰勰一并：一一“
圖3分廠級數(shù)據(jù)采集系統(tǒng)結(jié)構(gòu)
3．1 1 DCS控制網(wǎng)
DCS控制網(wǎng)為第l層，該網(wǎng)絡(luò)為實時控制網(wǎng)，
負責(zé)控制器、操作站和工程師站之間過程控制數(shù)
據(jù)的實時通信。在這個層面通常有的節(jié)點類型有
控制器、操作站、工程師站、ESD及OPC Server等。
目前基本所有控制系統(tǒng)制造商的操作站和服務(wù)器
都采用基于Windows系統(tǒng)的Pc機作為平臺，同
時網(wǎng)絡(luò)也采用冗余工業(yè)以太網(wǎng)模式。
3．1．2分廠信息數(shù)采網(wǎng)
分廠信息數(shù)采網(wǎng)為第2層，其核心設(shè)備由各
個分廠數(shù)據(jù)采集實時數(shù)據(jù)庫(Aspen IP21)服務(wù)器
和各個裝置DCS數(shù)據(jù)采集緩存機(Buffer)以及
OPC Server構(gòu)成。部分OPC Server直接與IP21
數(shù)據(jù)庫相連，部分OPC Server通過Buffer和IP21
數(shù)據(jù)庫相連。Buffer機既可以作為數(shù)據(jù)采集的緩
存又可以通過其自身的雙網(wǎng)卡設(shè)置抵御外部的非
法入侵，杜絕黑客等惡意地對控制系統(tǒng)進行直接
攻擊。
MES／OA信息網(wǎng)為第3層，各個分廠的實時
數(shù)據(jù)庫通過Aspen CM—IO與齊魯公司的總實時數(shù)
據(jù)庫相連，實現(xiàn)基于生產(chǎn)過程數(shù)據(jù)的MES應(yīng)用。
3．2現(xiàn)有架構(gòu)體系下的安全隱患風(fēng)險
從前文所述的整個架構(gòu)體系可以看出，齊魯
公司的管理網(wǎng)與控制網(wǎng)是緊密融合在一起的，九
十多套DCS和PLC系統(tǒng)所構(gòu)成的實時數(shù)據(jù)采集
架構(gòu)體系幾乎覆蓋了公司的整個管理網(wǎng)絡(luò)，安全
形勢不容樂觀，存在下述安全風(fēng)險隱患：
a．目前許多控制系統(tǒng)的工程師站／操作站
(HMI)都是Windows平臺，任何一個版本的Win．
dows自發(fā)布以來都在不停地發(fā)布漏洞補丁，為保
證過程控制系統(tǒng)相對的獨立性，現(xiàn)場工程師(一
般多是儀表維護工程師)通常在系統(tǒng)開車后不會
對Windows平臺打任何補丁，更為重要的是打過
補丁的操作系統(tǒng)沒有經(jīng)過制造商測試，存在安全
運行風(fēng)險。但是與之相矛盾的是，系統(tǒng)不打補丁
就會存在被攻擊的漏洞，即使是普通常見病毒也
會遭受感染，可能造成本機乃至控制網(wǎng)絡(luò)癱瘓。
b．基于工控軟件與殺毒軟件的兼容性問題。
在操作站上通常不安裝殺毒軟件，即使安裝有殺
毒軟件，其基于病毒庫查殺的機制在工控領(lǐng)域使
用也有局限性，對病毒庫的升級維護難以統(tǒng)一，更
重要的是對新病毒的處理總是存在滯后，這導(dǎo)致
每年都會大規(guī)模地爆發(fā)病毒，特別是新病毒。
c．OPC是基于Microsoft的分布式組件對象
模式(DCOM)技術(shù)，該技術(shù)使用了遠程過程調(diào)用
萬方數(shù)據(jù)
第4期韓曉波企業(yè)工業(yè)控制網(wǎng)絡(luò)安全技術(shù)探討及實現(xiàn)
(RPC)網(wǎng)絡(luò)協(xié)議來實現(xiàn)工業(yè)網(wǎng)絡(luò)中的以太網(wǎng)連
接。來自該領(lǐng)域的安全研究人員(包括黑客組
織)卻發(fā)現(xiàn)該標準中存在一些嚴重問題，如OPC
使用的Windows的DCOM和RPC服務(wù)極易受到
攻擊。在過去的5年內(nèi)，來自網(wǎng)絡(luò)的病毒和蠕蟲
對這些接口的攻擊越來越強，這個方式幾乎成了
病毒和蠕蟲開發(fā)者目前的最愛。
d．在實現(xiàn)數(shù)據(jù)采集的過程中，數(shù)據(jù)采集服務(wù)
器雖然采用了雙網(wǎng)卡技術(shù)，管理信息網(wǎng)與控制網(wǎng)
通過該服務(wù)器進行了隔離，部分惡意程序不能直
接攻擊到控制網(wǎng)絡(luò)，但對于能夠利用Windows系
統(tǒng)漏洞的網(wǎng)絡(luò)蠕蟲及病毒等，這種配置沒有作用，
病毒會在信息網(wǎng)和控制網(wǎng)之間互相傳播。安裝殺
毒軟件可以對部分病毒或攻擊有所抑制，但病毒
庫存在滯后。所以不能從根本上進行防護。
因此，按照ANSVISA09安全標準建立新的
安全防范體系，以確保控制系統(tǒng)安全是當務(wù)之急。
4 齊魯公司控制網(wǎng)安全防護解決方案
4．1安全防護目標
企業(yè)網(wǎng)絡(luò)要保證安全可靠，最好的方法是建
立私有信道，并創(chuàng)建相對獨立的網(wǎng)絡(luò)。
4．1．1通信可控
網(wǎng)絡(luò)數(shù)據(jù)的傳輸總是給人以抽象和概念性的
印象，沒有一個直觀的顯示，通信電纜如同高速公
路，怎樣能夠直觀地觀察、監(jiān)控和管理通信電纜中
流過的數(shù)據(jù)，是技術(shù)人員首先要實現(xiàn)的目標。通
過這個管控，對控制網(wǎng)絡(luò)而言僅需要保證制造商
專有協(xié)議數(shù)據(jù)的通過即可，對其他基于Windows
應(yīng)用的不必要的通信一律禁止，從而創(chuàng)建一個單
一制造商的通信網(wǎng)絡(luò)環(huán)境。
4．1．2區(qū)域隔離
網(wǎng)絡(luò)安全問題不同于其他設(shè)備故障。對于計
算機網(wǎng)絡(luò)筆者認為最可怕的是病毒的急速擴散，
它會瞬間令整個網(wǎng)絡(luò)癱瘓，具有可擴散性和快速
性的特點。目前，雖然技術(shù)人員在現(xiàn)場采取了很
多措施，但要杜絕網(wǎng)絡(luò)安全問題是不可能的，所以
必須保證即使在控制網(wǎng)局部出現(xiàn)問題時也能保持
裝置或工廠的安全穩(wěn)定運行。這就要在關(guān)鍵通道
上部署網(wǎng)絡(luò)隔離設(shè)備，這樣就能為工業(yè)生產(chǎn)企業(yè)
的控制系統(tǒng)創(chuàng)造一個相對獨立的網(wǎng)絡(luò)環(huán)境。
4．1．3實時報警
報警的首要問題是把網(wǎng)絡(luò)安全問題消滅在萌
芽中，同時通過對報警事件的記錄存儲，為企業(yè)網(wǎng)
絡(luò)解決部分已發(fā)生過的安全事件提供分析依據(jù)，
告別主觀經(jīng)驗推斷的模式。怎樣才能及時發(fā)現(xiàn)網(wǎng)
絡(luò)中存在的感染及其他問題，準確找到故障的發(fā)
生點，是維護控制網(wǎng)絡(luò)安全的前提。
4．2 網(wǎng)絡(luò)安全解決方案
目前，齊魯公司使用Tofino技術(shù)實施整體網(wǎng)
絡(luò)安全解決方案，現(xiàn)以烯烴廠為例進行說明。針
對烯烴廠的網(wǎng)絡(luò)結(jié)構(gòu)”·及其具體應(yīng)用要求，分別
在過程控制網(wǎng)內(nèi)部、數(shù)采網(wǎng)與過程控制網(wǎng)之間、
APC控制站與過程控制網(wǎng)之間、DCS與數(shù)采網(wǎng)之
間安裝防火墻，并安裝相應(yīng)的LSM軟插件，然后
在數(shù)采網(wǎng)安裝中央管理平臺(Central Management
Platform．CMP)對TSA進行管理和組態(tài)，最后在辦
公局域網(wǎng)內(nèi)安裝安全管理平臺，對整個網(wǎng)絡(luò)進行
實時在線監(jiān)檸．具體方案拓撲如圖4所示
^*Rl■H(‘)0∞ 舢,DCS
齊魯公司烯烴廠工業(yè)網(wǎng)絡(luò)安全結(jié)構(gòu)拓撲
萬方數(shù)據(jù)
化工自動化及儀表第39卷
4．2．1 DCS控制網(wǎng)安全防護解決方案
如圖5所示，對工程師站和APC站與控制網(wǎng)
絡(luò)隔離。工程師站和APC站較多接觸移動介質(zhì)，
感染病毒幾率較大，增加防火墻后與控制網(wǎng)絡(luò)進
行隔離，即使感染病毒也不至于擴散。
圖5控制網(wǎng)絡(luò)安全防護示意圖
當控制系統(tǒng)通過以太網(wǎng)與ESD或其他第三
方系統(tǒng)連接時，在兩者之間添加防火墻。安裝與
防護原理如下：
a．增加工業(yè)防火墻，并安裝Firewall插件
(工程師站、ESD和APC站防護)和OPC Enforcer
(APC站防護)；
b．將工程師站的兩條冗余通信電纜經(jīng)過防
火墻再接到DCS控制網(wǎng)絡(luò)中，在工程師站安裝
CMP中央管理平臺；
c．通過對Firewall插件的組態(tài)，通信規(guī)則只
允許DCS制造商的通信協(xié)議通過，其他任何病毒
或其他非法訪問都被阻止，這樣來自防護區(qū)域內(nèi)
的病毒感染不會擴散到外面的網(wǎng)絡(luò)，來自外部的
攻擊也不會影響到防護區(qū)域內(nèi)的設(shè)備，提供防火
墻和網(wǎng)絡(luò)交通控制功能的軟插件，符合ANSI／
ISA-99．00．02的網(wǎng)絡(luò)分段要求，實現(xiàn)了區(qū)域隔離
的目標。
4．2．2工廠信息數(shù)采網(wǎng)與控制網(wǎng)之間的安全防
護解決方案
采用工業(yè)防火墻解央方案，在兩層網(wǎng)絡(luò)之間
增加OPC通信協(xié)議防火墻。整個解決方案由
TSA防火墻硬件+OPC Enforcer+CMP中央管理
平臺3部分組成(圖6)，安裝與防護原理如下：
a．增加工業(yè)防火墻，并安裝Firewall插件和
OPC Enforcer插件；
b．在OPC Server和Buffer機之間增加工業(yè)
防火墻，在接口機安裝CMP；
c．管控OPC服務(wù)器和授權(quán)客戶端之間的數(shù)
據(jù)通信，并且應(yīng)用專有技術(shù)動態(tài)跟蹤OPC通信所
需端口，同時Tofino的Sanity Check檢查功能能夠
阻擋任何不符合OPC標準格式的DCE／RPC訪問，
同樣也對OPC授權(quán)客戶端發(fā)往OPC服務(wù)器的OPC
對象請求進行檢查以提高OPC服務(wù)的安全性，在
接口機安裝CMP用以對TSA進行組態(tài)和管理。
圖6信息數(shù)采網(wǎng)與控制網(wǎng)之聞的安全防護
4．2．3安全管理平臺
安全管理平臺(Security Management Platform，
CMP)通過一臺工作站來配置和管理控制網(wǎng)絡(luò)安
全”1。CMP的專用軟件能夠通過一個工作站進
行配置、管理和監(jiān)測網(wǎng)絡(luò)上的所有安全設(shè)備，這樣
即可快速創(chuàng)建整個控制網(wǎng)絡(luò)模型。可視的拖放式
編輯工具可以輕松地創(chuàng)建、編輯和測試安全設(shè)備。
取得此安全系統(tǒng)的授權(quán)后，CMP可以立刻看到整
個系統(tǒng)的運行狀態(tài)，并用一系列措施應(yīng)對網(wǎng)絡(luò)遇
到的威脅。
在辦公局域網(wǎng)內(nèi)安裝SMP，可以集成所有來
自CMP平臺的所有事件報警信息，并可劃分等級
進行報警，通常采用手機短信及電子郵件等方式
實時通知相關(guān)主管人員。該平臺能夠準確捕獲現(xiàn)
場所有安裝防火墻的通信信道中的攻擊，并且詳
細顯示攻擊源、通信協(xié)議和攻擊目標，以總攬大局
的方式為工廠網(wǎng)絡(luò)故障的及時排查與分析提供可
靠依據(jù)。
5結(jié)束語
采用以太網(wǎng)和TCP／IP協(xié)議作為最主要的通
萬方數(shù)據(jù)
第4期韓曉波．企業(yè)工業(yè)控制網(wǎng)絡(luò)安全技術(shù)探討及實現(xiàn)503
信協(xié)議和手段，向網(wǎng)絡(luò)化、標準化與開放化發(fā)展是
各種工業(yè)通信和自動化控制系統(tǒng)技術(shù)的主要潮
流，這也必將導(dǎo)致其面臨傳統(tǒng)局域網(wǎng)和廣域網(wǎng)面
臨的安全問題。但只要遵循以區(qū)域和管道保護網(wǎng)
絡(luò)為核心的通信原則，并采用集中安全管理監(jiān)控
的管理方式，對企業(yè)內(nèi)的控制系統(tǒng)進行深入分析，
實施全面、有針對性的防護策略，就能提供必要的
安全保障，確保企業(yè)生產(chǎn)控制系統(tǒng)長期穩(wěn)定安全
地運行。
參考文獻
[1]鄒志云，劉建友，趙丹丹，等．精細化工生產(chǎn)過程的
若干安全系統(tǒng)工程技術(shù)問題討論[J]．化工自動化
及儀表，2010，37(4)：1—2．
靳江紅，吳宗之，趙壽堂，等．安全儀表系統(tǒng)的功能
安全國內(nèi)外發(fā)展綜述[J]．化工自動化及儀表，
2010，37(5)：1—2．
盂凡芹，朱煥勤。耿光輝．PLC控制油封供油裝置的
研制[J]．化工機械，2011，38(2)：220—221，252．
程光，江潔欣．信息與網(wǎng)絡(luò)安全[M]．北京：清華大
學(xué)出版社，2008：10一18．
Byres E J．Tofino Presentation[EB／OL]．http：／／www．
tofinoseeurity．com／products／overview，2009-09—16．
Byres E J．Tofino CMP User Guide[EB／OL]．http：／／
www．tofinoseeurity．com／products／Tofino-Central—Man—
agement-Platform，2009-09·16．
Discussion and Implementation of Networks Security
Technology for IndustriaI ControIin Enterprises
HAN Xiao—bo
(IT Department，Sinopec Qilu Branch，Zibo 255400．China)
Abstract Considering the relative independence of operating environment and platform for industrial control
system and its security，the security measures against intrusion of new virus and potential safety hazard and
benefiting production management were proposed，including targeted security protection system．
Key words industrial control system，networks security，Tofino technology，area，pipeline
(上接第482頁)
Design and Calibration of Pressure Sensors at UItra-low Temperature
ZHANG Jian8，“，ZHANG Bin—zhen4’5，jI Chang—hon98’“，ZHANG Yon93’“，LIU Jian·lin8’‘
(a．National Key Laboratory扣r Electronic Measurement Technology；
b．National Key Laboratory of Instrumentation Science＆Dynamic Measurement of
琥e Ministry of Education。North University of China，Taiyuan 03005 1。China)
Abstract A calibration device for testing and calibrating pressure sensors at ultra·-low temperature was de·-
signed and applied to calibrating self-developed ultra—low temperature pressure sensor at一253一一1 63℃and
0—2 MPa successfully．
Key words ultra—low temperature，pressure sensor，liquid helium，calibration device，calibration
(上接第490頁)
Expert System Knowledge Base for Fauit Diagnosis
GU Xin-xin，ZHOU Yan，LI Qing—ling
(College ofElectromechanical Engineering。Qingdao University ofScience＆Technology，Qingdao 266061，China)
Abstract Having production rules based．relational database model employed and Microsoft Access 2003
taken as the tool，a tubular heater fault diagnosis expert system knowledge base was built to achieve a frame
structure—based knowledge representation and separation from inference engine．This can make knowledge base
management easy and convenient and have rules increased and reduplicate rules deleted easily．
Key words tubular heater fault diagnosis，expert system，knowledge base，relational database model
1J
1●-1J
1l-1J
2
3
4
5
6
心
口
H
口
№
萬方數(shù)據(jù)

網(wǎng)友評論 more

電力安全論文最新內(nèi)容

03-05