石化工業(yè)是國(guó)家的支柱產(chǎn)業(yè)之一，在信息技術(shù)的驅(qū)動(dòng)下，正由傳統(tǒng)工業(yè)向高度集約化、知識(shí)化、技術(shù)化工業(yè)轉(zhuǎn)變。PIMS（生產(chǎn)信息管理系統(tǒng)）作為MES的核心，是一套用于生產(chǎn)管理的軟件系統(tǒng)。在石化等流程行業(yè)，PIMS提供了一個(gè)信息集成和管理的平臺(tái)，主要用于企業(yè)網(wǎng)絡(luò)環(huán)境下的全廠生產(chǎn)數(shù)據(jù)的采集、數(shù)據(jù)存儲(chǔ)、數(shù)據(jù)查看、數(shù)據(jù)處理和數(shù)據(jù)管理。它真正實(shí)現(xiàn)了辦公室與生產(chǎn)現(xiàn)場(chǎng)的信息溝通，完成了過(guò)程控制系統(tǒng)與信息系統(tǒng)的網(wǎng)絡(luò)集成與綜合管理。
北京力控華康科技有限公司的pSafetyLink隔離網(wǎng)關(guān)在石化企業(yè)的MES/PIMS系統(tǒng)中有著廣泛應(yīng)用，為DCS控制系統(tǒng)網(wǎng)絡(luò)的安全運(yùn)行提供了有力保障。由于pSafetyLink專(zhuān)門(mén)面向自動(dòng)化應(yīng)用設(shè)計(jì)，符合自動(dòng)控制工程師的使用習(xí)慣，不需要工程師了解太多網(wǎng)絡(luò)有關(guān)的專(zhuān)業(yè)內(nèi)容，就很容易完成對(duì)產(chǎn)品的調(diào)試和部署，因此大大提高了項(xiàng)目實(shí)施的效率，pSafetyLink也因此得到了客戶(hù)的高度肯定。
圖1 隔離網(wǎng)關(guān)pSafetyLink在控制系統(tǒng)中的部署
應(yīng)用背景
某石化企業(yè)為了應(yīng)對(duì)不斷變化的市場(chǎng)需求，及時(shí)調(diào)整生產(chǎn)策略，也為了便于全廠生產(chǎn)的統(tǒng)一調(diào)度、加強(qiáng)企業(yè)內(nèi)部管理，在其二分廠率先實(shí)踐了PIMS生產(chǎn)管理系統(tǒng)。該廠有2套控制系統(tǒng)，采用了浙大中控的大型DCS系統(tǒng)ECS-100。該P(yáng)IMS需要集成的DCS點(diǎn)數(shù)多達(dá)一萬(wàn)點(diǎn)，并完全通過(guò)Web方式實(shí)現(xiàn)：生產(chǎn)實(shí)時(shí)數(shù)據(jù)的管理、實(shí)時(shí)流程查看、實(shí)時(shí)趨勢(shì)瀏覽、報(bào)警的記錄與查看、開(kāi)關(guān)量變位的記錄與查看、歷史趨勢(shì)查看、生產(chǎn)過(guò)程報(bào)表生成、生產(chǎn)統(tǒng)計(jì)報(bào)表生成等功能。拓?fù)浣Y(jié)構(gòu)如圖1所示。
系統(tǒng)介紹
該P(yáng)IMS系統(tǒng)的結(jié)構(gòu)分為三層，自下而上依次為：過(guò)程控制層、工廠管理層、企業(yè)管理層。其中企業(yè)管理層完成管理者和各職能科室生產(chǎn)管理報(bào)表生成的任務(wù)；工廠管理層完成各職能科室實(shí)時(shí)監(jiān)控的任務(wù)，它對(duì)下連接現(xiàn)場(chǎng)控制層，對(duì)上通過(guò)網(wǎng)絡(luò)連接企業(yè)管理層，它不僅負(fù)責(zé)現(xiàn)場(chǎng)控制設(shè)備的實(shí)時(shí)數(shù)據(jù)采集，而且在系統(tǒng)中
起到上傳下達(dá)的重要作用；過(guò)程控制層由DCS、PLC、智能儀表等控制器組成，是整個(gè)生產(chǎn)管理系統(tǒng)的基礎(chǔ)。
該廠出于安全因素考慮，將其DCS的運(yùn)行網(wǎng)絡(luò)劃分為單獨(dú)的生產(chǎn)控制網(wǎng)絡(luò)，相對(duì)封閉，與總廠的管理信息網(wǎng)絡(luò)完全分開(kāi)。而PIMS系統(tǒng)需要實(shí)現(xiàn)這兩個(gè)網(wǎng)絡(luò)的互通、互聯(lián)，以滿(mǎn)足PIMS對(duì)DCS數(shù)據(jù)的采集。
由于該企業(yè)為上市企業(yè)，面向世界各地的國(guó)際貿(mào)易業(yè)務(wù)往來(lái)頻繁，所以其總廠的管理信息網(wǎng)絡(luò)是面向互聯(lián)網(wǎng)開(kāi)放的商業(yè)網(wǎng)絡(luò)，如果直接實(shí)現(xiàn)與DCS控制網(wǎng)絡(luò)的連通，商業(yè)網(wǎng)絡(luò)本身存在的各種安全隱患將直接威脅到控制網(wǎng)絡(luò)的安全。特別是隨著網(wǎng)絡(luò)攻擊復(fù)雜性的增加，即使在兩個(gè)網(wǎng)絡(luò)邊界中間使用傳統(tǒng)的網(wǎng)絡(luò)防火墻產(chǎn)品和攻擊檢測(cè)技術(shù)，也已經(jīng)難于保護(hù)網(wǎng)絡(luò)的安全。因?yàn)楝F(xiàn)代網(wǎng)絡(luò)安全威脅來(lái)自于商業(yè)網(wǎng)絡(luò)的各個(gè)層面，并且更多的是來(lái)自于網(wǎng)絡(luò)數(shù)據(jù)流量的應(yīng)用數(shù)據(jù)部分，這一特性決定了僅使用防火墻或入侵檢測(cè)系統(tǒng)，依靠檢查數(shù)據(jù)包的頭部，已經(jīng)越來(lái)越難發(fā)現(xiàn)諸如病毒、蠕蟲(chóng)、后門(mén)程序等高級(jí)復(fù)雜的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)。在很多成功的攻擊案例中，黑客可以很快了解到網(wǎng)絡(luò)在應(yīng)用數(shù)據(jù)層面的安全漏洞，從而迅速使用后門(mén)、木馬、蠕蟲(chóng)或者其它攻擊行為，對(duì)控制網(wǎng)絡(luò)造成不同程度的損害。
解決方案
該廠為了從根本上解決DCS控制網(wǎng)絡(luò)的安全可靠運(yùn)行，在該P(yáng)IMS系統(tǒng)中選用了力控華康的隔離網(wǎng)關(guān)pSafetyLink作為DCS控制網(wǎng)絡(luò)的安全防護(hù)裝置。
隔離網(wǎng)關(guān)pSafetyLink是專(zhuān)為工業(yè)網(wǎng)絡(luò)應(yīng)用設(shè)計(jì)的安全防護(hù)裝置，用于解決工業(yè)SCADA控制網(wǎng)絡(luò)如何安全接入信息網(wǎng)絡(luò)（外網(wǎng)）的問(wèn)題。它與防火墻等網(wǎng)絡(luò)安全設(shè)備本質(zhì)不同的地方是它阻斷網(wǎng)絡(luò)的直接連接，只完成特定工業(yè)應(yīng)用數(shù)據(jù)的交換。由于沒(méi)有了網(wǎng)絡(luò)的連接，攻擊就沒(méi)有了載體，如同網(wǎng)絡(luò)的“物理隔離”。由于目前的安全技術(shù)，無(wú)論防火墻、UTM等防護(hù)系統(tǒng)都不能保證攻擊的徹底阻斷，入侵檢測(cè)等監(jiān)控系統(tǒng)也不能保證入侵行為完全被捕獲，所以最安全的方式就是物理的分開(kāi)。pSafetyLink通過(guò)內(nèi)部的雙獨(dú)立主機(jī)系統(tǒng)，分別接入到控制網(wǎng)絡(luò)和信息網(wǎng)絡(luò)，雙主機(jī)之間通過(guò)專(zhuān)用硬件裝置連接，從物理層上斷開(kāi)了控制網(wǎng)絡(luò)和信息網(wǎng)絡(luò)的直接網(wǎng)絡(luò)連接。同時(shí)pSafetyLink通過(guò)內(nèi)嵌的高性能OPC通信軟件，很好地解決了PIMS通過(guò)OPC接口采集DCS數(shù)據(jù)的通信問(wèn)題。另外，由于隔離網(wǎng)關(guān)內(nèi)部完全實(shí)現(xiàn)了通信協(xié)議的接口服務(wù)，因此可以實(shí)現(xiàn)針對(duì)測(cè)點(diǎn)一級(jí)的訪問(wèn)控制。例如：對(duì)于OPC可以控制到Item（項(xiàng)）一級(jí)的訪問(wèn)權(quán)限控制，通過(guò)設(shè)置為只讀屬性方式保證PIMS對(duì)DCS數(shù)據(jù)的訪問(wèn)是單向的，禁止數(shù)據(jù)回置操作。
總結(jié)
隔離網(wǎng)關(guān)pSafetyLink在該企業(yè)PIMS系統(tǒng)投運(yùn)以來(lái)，為DCS控制系統(tǒng)網(wǎng)絡(luò)的安全運(yùn)行提供了有力保障。
采訪鏈接：
自動(dòng)化博覽:力控華康近年來(lái)在石化行業(yè)市場(chǎng)發(fā)展情況如何 ？您感受到石化行業(yè)正在發(fā)生著哪些變化，呈現(xiàn)出哪些特點(diǎn)？
力控華康市場(chǎng)經(jīng)理:力控華康跟石油石化行業(yè)淵源已久，力控華康的母公司力控科技的前身三維力控就是誕生在國(guó)內(nèi)最大的石油石化城市——大慶。一直以來(lái)，石化行業(yè)是力控華康的主要行業(yè)客戶(hù)，從大慶油田到勝利油田、新疆油田在內(nèi)的各大油田，從勘探開(kāi)發(fā)到石油煉化的各個(gè)環(huán)節(jié)，從三大石油公司到眾多的化工類(lèi)企業(yè)，都有力控華康產(chǎn)品的應(yīng)用。經(jīng)過(guò)多年的快速發(fā)展，我國(guó)石化行業(yè)的增長(zhǎng)速度已經(jīng)顯著放緩，尤其是近兩年經(jīng)濟(jì)下行壓力較大，國(guó)際油價(jià)大幅下跌，都給石化行業(yè)的經(jīng)營(yíng)發(fā)展帶來(lái)很大的挑戰(zhàn)。在這種情況下，石化行業(yè)內(nèi)一直在積極推動(dòng)信息化和工業(yè)化的“深度融合”，加快從傳統(tǒng)生產(chǎn)方式向數(shù)字化、網(wǎng)絡(luò)化和智能化的轉(zhuǎn)變，且成效顯著。
自動(dòng)化博覽:力控華康能夠?yàn)槭袠I(yè)信息化、智能化改造提供哪些產(chǎn)品或者解決方案？
力控華康市場(chǎng)經(jīng)理:力控華康是一家專(zhuān)注于物聯(lián)網(wǎng)和工控系統(tǒng)信息安全領(lǐng)域的公司，最早在2009年就開(kāi)始了工控安全產(chǎn)品的自主研發(fā)。目前產(chǎn)品包括邊界安全、HMI終端安全和安全管理類(lèi)產(chǎn)品，有工業(yè)隔離網(wǎng)關(guān)pSafetyLink、工業(yè)通信網(wǎng)關(guān)pFieldComm、工業(yè)防火墻HC-ISG、工控安全管理平臺(tái)等系列產(chǎn)品，都是為企業(yè)的信息安全服務(wù)的。力控華康不是單一產(chǎn)品的制造商，我們還可以為數(shù)據(jù)采集與監(jiān)控（SCADA）、分布式控制系統(tǒng)（DCS）、過(guò)程控制系統(tǒng)（PCS）、可編程邏輯控制器（PLC）等所有工業(yè)控制系統(tǒng)（ICS）的信息安全接入和智能化數(shù)據(jù)交換，提供安全、可靠的解決方案和工業(yè)級(jí)產(chǎn)品。在鋼鐵有色、石油化工、能源電力、天然氣、先進(jìn)制造、軌道交通、市政環(huán)保等領(lǐng)域的工控系統(tǒng)內(nèi)有著廣泛應(yīng)用。
信息安全是信息化、智能化改造的基礎(chǔ)，尤其是石油石化行業(yè)，沒(méi)有安全一切無(wú)從談起。在大數(shù)據(jù)時(shí)代，數(shù)據(jù)像水電一樣，成為企業(yè)的資源和生產(chǎn)資料，對(duì)數(shù)據(jù)的保護(hù)成為大數(shù)據(jù)時(shí)代信息安全策略的核心。力控華康的產(chǎn)品可以在工業(yè)數(shù)據(jù)的采集、轉(zhuǎn)換、傳輸和訪問(wèn)等各個(gè)環(huán)節(jié)，提供全方位的安全保護(hù)和監(jiān)控。力控華康的優(yōu)勢(shì)在于對(duì)不同行業(yè)企業(yè)核心生產(chǎn)系統(tǒng)的實(shí)踐和理解。2015年力控華康發(fā)布了一款面向工業(yè)控制系統(tǒng)的安全管理平臺(tái)，配合我們的工業(yè)防火墻、安全隔離網(wǎng)關(guān)和安全數(shù)采網(wǎng)關(guān)使用，可以幫助管理員收集工業(yè)控制網(wǎng)絡(luò)中的流量信息和安全事件，幫助客戶(hù)提升風(fēng)險(xiǎn)管理的水平。這款產(chǎn)品已經(jīng)在化工行業(yè)得到部署，下一步將會(huì)向其他行業(yè)推廣。
自動(dòng)化博覽:從技術(shù)角度來(lái)看，您認(rèn)為石化行業(yè)自動(dòng)化、智能化具有怎樣的趨勢(shì)？需要克服的問(wèn)題是什么？
力控華康市場(chǎng)經(jīng)理:自動(dòng)化和智能化跟石化行業(yè)的結(jié)合就是智能石化，包括智能油氣田、智能工廠、智能銷(xiāo)售、智能管網(wǎng)、智能物流等等。在這一建設(shè)過(guò)程中，信息化的地位越來(lái)越重要，包括物聯(lián)網(wǎng)、大數(shù)據(jù)、云計(jì)算等最新的技術(shù)都會(huì)得到應(yīng)用。比如智能管道，整個(gè)石化行業(yè)有十幾萬(wàn)公里的油氣管道，有的輸送原油，有的輸送天然氣，有的輸送成品油，怎樣把復(fù)雜的管道系統(tǒng)監(jiān)控起來(lái)，保證它能夠安全、穩(wěn)定地運(yùn)行，一定要靠信息化、智能化的手段。這個(gè)過(guò)程中所面臨的挑戰(zhàn)是，除了物聯(lián)網(wǎng)、大數(shù)據(jù)、云計(jì)算等信息技術(shù)本身和業(yè)務(wù)的結(jié)合、優(yōu)化之外，需要重點(diǎn)考慮的就是信息安全問(wèn)題。在國(guó)際國(guó)內(nèi)形勢(shì)越來(lái)越復(fù)雜的今天，我們看到《中國(guó)制造2025》戰(zhàn)略規(guī)劃中特別強(qiáng)調(diào)了信息安全保障體系的建設(shè)。石化行業(yè)需要抓住產(chǎn)業(yè)升級(jí)的機(jī)會(huì)，把信息安全、工控安全和物聯(lián)網(wǎng)安全納入到信息化的框架中來(lái)。
摘自《自動(dòng)化博覽》2016年2月刊
