工業(yè)以太網在實際應用中安全對策解決方案
加入技術交流群
2.1.2 工業(yè)以太網網絡設備的穩(wěn)定性對安全的影響
以太網用于工業(yè)控制必須具有很好的可靠性和運行穩(wěn)定性，否則將對連續(xù)生產的工業(yè)流程帶來嚴重的威脅。
2.2 網絡對外連接帶來的隱患
由于作為DCS網絡的工業(yè)以太網需經實時數據庫將裝置生產數據上傳至工廠信息管理網的MES和ERP，而工廠信息管理網又與Internet相連。這就難以避免來自Internet和工廠信息管理網的黑客攻擊、信息阻塞、病毒，從而導致工業(yè)以太網的工作異?；虬c瘓，使DCS網絡運行速度大幅降低或控制器處于失控狀態(tài)，嚴重威脅裝置的生產安全。
2.3 網絡終端與操作及維護人員界面帶來的安全隱患
如前所述，工業(yè)以太網終端以操作站、服務器和工程師站為主，主要用于系統(tǒng)維護、組態(tài)和生產操作。在工藝操作人員和系統(tǒng)維護工程師實施操作和系統(tǒng)維護時，其開放的光驅、USB接口均可成為危及工業(yè)以太網及其終端安全運行的病毒的侵人途徑，人為的非法操作、維護也會直接危及生產裝置和工業(yè)以太網及控制系統(tǒng)的安全運行。
三、安全對策
根據以上分析，在項目執(zhí)行的不同階段應設計并實施相應的安全對策：
(1)項目規(guī)劃和DCS選型階段(總體設計階段)
此階段對所選DCS工業(yè)以太網的安全運行提出具體要求：網絡負荷、與MES等上層信息管理網的連接接口、終端界面的安全措施、系統(tǒng)使用賬戶管理、系統(tǒng)的在線可維護性要求及控制系統(tǒng)設備的具體選型等。
(2)基礎設計階段
對所選工業(yè)以太網的所有安全內容均提出具體要求和技術方案，編制設計文件作為后續(xù)工作的指南。
(3)詳細設計階段
按照上一階段的基礎設計文件進行系統(tǒng)配置、組態(tài)和測試。
(4)現(xiàn)場調試和驗收階段
在系統(tǒng)調試完成后對各界面接口的安全對策實施檢查確認，與生產和維護單位一起共同制訂合理的用戶管理策略、編制用戶等級和組態(tài)實施。
3.1 網絡負荷限制和設備穩(wěn)定性要求
為確保項目DCS網絡在任何時候都能安全運行，有必要在系統(tǒng)選型時明確選用冗余容錯工業(yè)以太網，要求正常時不要超過網絡負荷的30%，系統(tǒng)響應時間不超過 1s，控制器負荷正常時不超過50%并留有一定的擴展空間等；同時，盡可能選用網速較高的工業(yè)以太網，現(xiàn)在1G的網絡已在工業(yè)生產中得到了廣泛的應用。對于網絡設備在選型時必須要求經過實際生產驗證的工業(yè)用通用設備，這樣既保證了設備的穩(wěn)定性、安全性，也保證了高可用性和可維護性。
3.2 工業(yè)以太網與信息管理網接口的安全策略
工業(yè)以太網作為上層信息管理網的數據平臺，將盡可能多的生產裝置上實時數據采集到實時數據庫中并經防火墻傳送數據至MES和ERP：具體接口連接為工業(yè)以太網、防火墻、DMZ中間區(qū)域防護和MES數據采集服務器等，如圖2所示。由于MES和ERP與商用Internet相連，為保證工業(yè)以太網的切實安全，現(xiàn)在的大型項目一般采用如圖2所示的DMZ(demilitarized zone隔離區(qū)，內網和外網的緩沖區(qū))中間防護策略。
將上層信息管理網需要訪問的實時數據庫容錯服務器置于DMZ層，使來自上層的信息管理網只能通過外部防火墻訪問到實時數據庫服務器，而不能通過內部防火墻至工業(yè)以太網。這樣來自Internet的攻擊將要通過外部防火墻、堡壘主機和內部防火墻等三道相互獨立的防線才能到達工業(yè)以太網，使攻擊難度大大加強，相應內部網絡的安全性也就大大加強。
3.3 全面加強工業(yè)以太網的安全管理
在安全管理上主要是防病毒網絡的設置和用戶管理策略的制訂及實施。由于現(xiàn)在以DCS為基礎控制系統(tǒng)，其工業(yè)以太網上集成了幾乎所有的控制系統(tǒng)，所以要保證工業(yè)以太網不受病毒攻擊，就必須使所有連接在工業(yè)以太網上的終端均受到防病毒軟件的保護，并實時更新病毒庫。具體措施：在DCS信息集成的工業(yè)以太網上配置一臺防病毒軟件服務器并安裝防病毒中心軟件，而相應需保護的工業(yè)以太網終端設備上則安裝客戶端軟件(常用的防病毒軟件為西門鐵克)，并根據需要由服務器直接從Internet實時升級病毒庫或由相關維護工程師手動及時更新病毒庫。用戶管理策略一般可以采取以下措施：
(1)加強工藝操作人員和系統(tǒng)維護工程師的培訓工作，嚴格計算機操作及維護紀律，力爭將誤操作降到零水準。
(2)將安裝有開放的光驅和USB接口的操作站主機與顯示器及操作鍵盤異地放置，對不利于異地放置的地方則需對操作員賬戶屏蔽其對光驅和USB接口的操作功能；對服務器、工程師站則應對維護工程師的工作制訂嚴格的紀律以確保病毒不從光驅和USB接口進入工業(yè)以太網。
(3)根據使用者工作職責的不同建立不同級別的賬戶，使之操作行為受到相應的限制以保護DCS及其網絡的安全運行。
四、結束語
由于行業(yè)不同，對工業(yè)以太網應用安全的要求也不盡相同，各用戶可以根據自己的經驗和項目實際要求在應用以太網控制系統(tǒng)時配置自己的安全對策。上述對策是根據近年來幾個大型合資石化項目的成功經驗，結合儀表自動化領域控制技術發(fā)展總結而來的，經過實際生產的檢驗，對相關控制對象具有很好的安全保護作用。隨著以太網技術的進一步發(fā)展，有線、無線網絡的混合應用，對工業(yè)以太網的安全考驗會越來越多，從而也要求相應的更為嚴密的安全措施相匹配。
評論