介紹工業(yè)以太網(wǎng)的應(yīng)用現(xiàn)狀及發(fā)展趨勢，并在詳細(xì)分析工業(yè)以太網(wǎng)安全隱患的基礎(chǔ)上，根據(jù)近年來幾個大型合資石化項(xiàng)目的成功經(jīng)驗(yàn)，結(jié)合儀表自動化領(lǐng)域控制技術(shù)發(fā)展趨勢總結(jié)出了一套相對完整的、經(jīng)過實(shí)際生產(chǎn)檢驗(yàn)的工業(yè)以太網(wǎng)安全對策，對相關(guān)控制對象具有很好的安全保護(hù)作用。隨著以太網(wǎng)技術(shù)的進(jìn)一步發(fā)展。有線、無線網(wǎng)絡(luò)的混合應(yīng)用，對工業(yè)以太網(wǎng)的安全考驗(yàn)會越來越多。從而也要求相應(yīng)的更為嚴(yán)密的安全措施相距配。 20世紀(jì)90年代中期至21世紀(jì)初，各DCS廠商以信息技術(shù)的發(fā)展為依托，先后推出了集成高速工業(yè)以太網(wǎng)的第三代開放型DCS并已在現(xiàn)代化大工業(yè)中得到了大量的應(yīng)用。由于工業(yè)以太網(wǎng)使用了通用以太網(wǎng)協(xié)議IEEE 802.3，一方面使原來封閉的DCS變?yōu)殚_放的DCS網(wǎng)絡(luò)，使網(wǎng)絡(luò)中原來使用的專用設(shè)備變?yōu)榭扇我獠灏蔚墓I(yè)用通用設(shè)備，大大降低了系統(tǒng)運(yùn)行中的備品備件成本和維護(hù)難度；另一方面，使得DCS作為基礎(chǔ)控制系統(tǒng)而進(jìn)行控制系統(tǒng)集成(采用OPC，Modbus等協(xié)議與PLC，ITCC，SIS，MMS 等系統(tǒng)通信)，并作為所有生產(chǎn)信息數(shù)據(jù)匯總和上傳的集成化數(shù)據(jù)平臺；再者，使DCS與上層的信息管理網(wǎng)(MES和ERP及工程局域網(wǎng))和Internet 的連接變得非常方便。同時，也正是由于工業(yè)以太網(wǎng)的廣泛應(yīng)用，對DCS網(wǎng)絡(luò)運(yùn)行的安全也造成了很大的沖擊：裝置事故狀態(tài)下的系統(tǒng)網(wǎng)絡(luò)通信安全及可能會受到包括病毒感染、黑客的非法入侵與非法操作等網(wǎng)絡(luò)安全威脅。為確保DCS網(wǎng)絡(luò)的安全運(yùn)行，在系統(tǒng)選型、設(shè)計(jì)和實(shí)施過程中必須制訂一套切實(shí)可行的安全對策。
一、工業(yè)以太網(wǎng)的應(yīng)用現(xiàn)狀及發(fā)展趨勢
一般來講，控制系統(tǒng)網(wǎng)絡(luò)可分為3層：信息層、控制層和設(shè)備層(傳感/執(zhí)行層)。第三代DCS在信息層大都采用以太網(wǎng)，而在控制層和設(shè)備層一般采用不同的現(xiàn)場總線或其他專用網(wǎng)絡(luò)。目前，以太網(wǎng)已經(jīng)滲透到了控制層和設(shè)備層，很多的PLC和遠(yuǎn)程I/O供應(yīng)商都能提供支持TCP/IP以太網(wǎng)接口的產(chǎn)品。以太網(wǎng)之所以在自動化領(lǐng)域得到廣泛應(yīng)用，主要因?yàn)椋旱统杀镜拇碳ず退俣鹊奶岣撸滑F(xiàn)代企業(yè)對實(shí)時生產(chǎn)信息有越來越多的要求；以太網(wǎng)的開放性和兼容性。
以太網(wǎng)原有的缺點(diǎn)則由于技術(shù)的不斷進(jìn)步而獲得大幅改進(jìn)和完善。從以太網(wǎng)的發(fā)展進(jìn)程來看，以太網(wǎng)有兩種：共享以太網(wǎng)(Shared Ethernet)和交換以太網(wǎng)(Switched Ethernet)。早期使用的共享以太網(wǎng)是多節(jié)點(diǎn)共享同一個傳輸媒體，節(jié)點(diǎn)間通信采用廣播方式，易發(fā)生沖突，使網(wǎng)絡(luò)通信具有不確定性，不能用于強(qiáng)實(shí)時性場合。現(xiàn)在常用的交換以太網(wǎng)克服了這一缺點(diǎn)，以太網(wǎng)的交換機(jī)(Switch)是數(shù)據(jù)鏈路層(ISO/OSI參考模型第二層)的多端口網(wǎng)橋，也可以說是智能分配器。交換機(jī)將其管理的網(wǎng)絡(luò)以星型拓?fù)浣Y(jié)構(gòu)劃分為許多物理上互相隔離而邏輯上互相聯(lián)系的節(jié)點(diǎn)，每一節(jié)點(diǎn)單獨(dú)與交換機(jī)建立物理連接，在通信的時候交換機(jī)會在發(fā)送端口與接受端口間建立一個獨(dú)占的全雙工通道，它具有以太網(wǎng)的全部帶寬并避免沖突。
交換以太網(wǎng)在獲得確定性的同時，傳輸速度也有極大的提高。千兆以太網(wǎng)已普及，10Gbit/s的交換以太網(wǎng)正在開發(fā)。當(dāng)以太網(wǎng)用于信息技術(shù)時，應(yīng)用層含有 HTTP(超級文本傳輸協(xié)議)、FTP(文件傳輸協(xié)議)、SMTP(簡單電子郵件傳送協(xié)議)和Telnet(遠(yuǎn)程登錄)。這些基于TCP/IP的協(xié)議簇已經(jīng)成為工業(yè)界事實(shí)上的網(wǎng)絡(luò)標(biāo)準(zhǔn)，在不同廠商的不同網(wǎng)絡(luò)系統(tǒng)互聯(lián)方面起著關(guān)鍵作用。但當(dāng)以太網(wǎng)用于工業(yè)控制時，體現(xiàn)在應(yīng)用層的是實(shí)時通信、用于系統(tǒng)組態(tài)的對象以及工程模型的應(yīng)用協(xié)議。工業(yè)以太網(wǎng)和Internet技術(shù)的發(fā)展將完全改變傳統(tǒng)工業(yè)企業(yè)的網(wǎng)絡(luò)架構(gòu)。工業(yè)以太網(wǎng)已經(jīng)從信息層向下延伸到控制層和設(shè)備層，采用以太網(wǎng)架構(gòu)以后，控制器的位置已突破傳統(tǒng)網(wǎng)絡(luò)架構(gòu)的限制，既可以位于現(xiàn)場，也可以位于中央控制室。
目前控制器甚至遠(yuǎn)程I/O支持以太網(wǎng)的功能越來越強(qiáng)，在有些控制器和遠(yuǎn)程I/O模塊中已經(jīng)集成了Web服務(wù)器，從而允許信息層的用戶也可以和控制層的用戶一樣直接獲取控制器和遠(yuǎn)程I/O模塊中的當(dāng)前狀態(tài)值。采用以太網(wǎng)架構(gòu)和開放的軟件系統(tǒng)的制造企業(yè)也被稱為“透明工廠”。此外，通過Internet可以實(shí)現(xiàn)對工業(yè)生產(chǎn)過程的實(shí)時遠(yuǎn)程監(jiān)控，將實(shí)時生產(chǎn)數(shù)據(jù)與ERP系統(tǒng)以及實(shí)時的用戶需求結(jié)合起來，使生產(chǎn)不只是面向訂單的生產(chǎn)，而是直接面向機(jī)會和市場的“電子制造”，從而使企業(yè)能夠適應(yīng)經(jīng)濟(jì)全球化的要求。
二、工業(yè)以太網(wǎng)在應(yīng)用中的安全隱患
某大型石化項(xiàng)目成功實(shí)施的一套完整的工業(yè)以太網(wǎng)DCS網(wǎng)絡(luò)結(jié)構(gòu)及其與上層信息管理網(wǎng)接口界面圖。眾所周知，一套控制系統(tǒng)的安全隱患除了自身的影響外，就是來自外部界面的威脅。從圖1中可以看出，影響工業(yè)以太網(wǎng) DCS網(wǎng)絡(luò)安全的隱患主要有：以太網(wǎng)運(yùn)行速度及負(fù)荷、網(wǎng)絡(luò)連接和服務(wù)器終端等設(shè)備的可靠性；工業(yè)以太網(wǎng)與上層信息管理網(wǎng)接口、工業(yè)以太網(wǎng)與第三方OPC接口子系統(tǒng)之間的界面；操作站、工程師站和服務(wù)器之間的界面。
2.1 網(wǎng)絡(luò)自身問題帶來的安全隱患
工業(yè)以太網(wǎng)主要由網(wǎng)絡(luò)終端設(shè)備(服務(wù)器、工程師站、操作站及控制器等)和網(wǎng)絡(luò)連接設(shè)備(交換機(jī)、防火墻、路由器等)組成，但影響安全的因素主要是網(wǎng)速和設(shè)備的可靠性。
2.1.1 網(wǎng)速對安全的影響
由于工業(yè)以太網(wǎng)的介質(zhì)訪問控制(MAC)層協(xié)議采用帶碰撞檢測的載波偵聽多址訪問(CSMA/CD)方式，當(dāng)網(wǎng)絡(luò)負(fù)荷較重時，網(wǎng)絡(luò)的確定性不能滿足工業(yè)控制的實(shí)時性要求。有資料顯示當(dāng)一個網(wǎng)絡(luò)的負(fù)荷低于36%時，基本上不會發(fā)生沖突，在負(fù)荷為10%以下時，10M以太網(wǎng)沖突幾率為每5年一次。100M以太網(wǎng)沖突幾率為每15年一次。但超過36%后隨著負(fù)荷的增加發(fā)生沖突的幾率是以幾何級數(shù)的速度增加的。如果正常情況下的網(wǎng)速太高，在生產(chǎn)裝置事故狀態(tài)下則由于訪問量的急劇增加而大幅提高工業(yè)以太網(wǎng)的負(fù)荷，從而影響網(wǎng)絡(luò)數(shù)據(jù)傳輸速度和裝置事故的及時處理和安全。
2.1.2 工業(yè)以太網(wǎng)網(wǎng)絡(luò)設(shè)備的穩(wěn)定性對安全的影響
以太網(wǎng)用于工業(yè)控制必須具有很好的可靠性和運(yùn)行穩(wěn)定性，否則將對連續(xù)生產(chǎn)的工業(yè)流程帶來嚴(yán)重的威脅。
2.2 網(wǎng)絡(luò)對外連接帶來的隱患
由于作為DCS網(wǎng)絡(luò)的工業(yè)以太網(wǎng)需經(jīng)實(shí)時數(shù)據(jù)庫將裝置生產(chǎn)數(shù)據(jù)上傳至工廠信息管理網(wǎng)的MES和ERP，而工廠信息管理網(wǎng)又與Internet相連。這就難以避免來自Internet和工廠信息管理網(wǎng)的黑客攻擊、信息阻塞、病毒，從而導(dǎo)致工業(yè)以太網(wǎng)的工作異常或癱瘓，使DCS網(wǎng)絡(luò)運(yùn)行速度大幅降低或控制器處于失控狀態(tài)，嚴(yán)重威脅裝置的生產(chǎn)安全。
2.3 網(wǎng)絡(luò)終端與操作及維護(hù)人員界面帶來的安全隱患
如前所述，工業(yè)以太網(wǎng)終端以操作站、服務(wù)器和工程師站為主，主要用于系統(tǒng)維護(hù)、組態(tài)和生產(chǎn)操作。在工藝操作人員和系統(tǒng)維護(hù)工程師實(shí)施操作和系統(tǒng)維護(hù)時，其開放的光驅(qū)、USB接口均可成為危及工業(yè)以太網(wǎng)及其終端安全運(yùn)行的病毒的侵人途徑，人為的非法操作、維護(hù)也會直接危及生產(chǎn)裝置和工業(yè)以太網(wǎng)及控制系統(tǒng)的安全運(yùn)行。
三、安全對策
根據(jù)以上分析，在項(xiàng)目執(zhí)行的不同階段應(yīng)設(shè)計(jì)并實(shí)施相應(yīng)的安全對策：
(1)項(xiàng)目規(guī)劃和DCS選型階段(總體設(shè)計(jì)階段)
此階段對所選DCS工業(yè)以太網(wǎng)的安全運(yùn)行提出具體要求：網(wǎng)絡(luò)負(fù)荷、與MES等上層信息管理網(wǎng)的連接接口、終端界面的安全措施、系統(tǒng)使用賬戶管理、系統(tǒng)的在線可維護(hù)性要求及控制系統(tǒng)設(shè)備的具體選型等。
(2)基礎(chǔ)設(shè)計(jì)階段
對所選工業(yè)以太網(wǎng)的所有安全內(nèi)容均提出具體要求和技術(shù)方案，編制設(shè)計(jì)文件作為后續(xù)工作的指南。
(3)詳細(xì)設(shè)計(jì)階段
按照上一階段的基礎(chǔ)設(shè)計(jì)文件進(jìn)行系統(tǒng)配置、組態(tài)和測試。
(4)現(xiàn)場調(diào)試和驗(yàn)收階段
在系統(tǒng)調(diào)試完成后對各界面接口的安全對策實(shí)施檢查確認(rèn)，與生產(chǎn)和維護(hù)單位一起共同制訂合理的用戶管理策略、編制用戶等級和組態(tài)實(shí)施。
3.1 網(wǎng)絡(luò)負(fù)荷限制和設(shè)備穩(wěn)定性要求
為確保項(xiàng)目DCS網(wǎng)絡(luò)在任何時候都能安全運(yùn)行，有必要在系統(tǒng)選型時明確選用冗余容錯工業(yè)以太網(wǎng)，要求正常時不要超過網(wǎng)絡(luò)負(fù)荷的30%，系統(tǒng)響應(yīng)時間不超過 1s，控制器負(fù)荷正常時不超過50%并留有一定的擴(kuò)展空間等；同時，盡可能選用網(wǎng)速較高的工業(yè)以太網(wǎng)，現(xiàn)在1G的網(wǎng)絡(luò)已在工業(yè)生產(chǎn)中得到了廣泛的應(yīng)用。對于網(wǎng)絡(luò)設(shè)備在選型時必須要求經(jīng)過實(shí)際生產(chǎn)驗(yàn)證的工業(yè)用通用設(shè)備，這樣既保證了設(shè)備的穩(wěn)定性、安全性，也保證了高可用性和可維護(hù)性。
3.2 工業(yè)以太網(wǎng)與信息管理網(wǎng)接口的安全策略
工業(yè)以太網(wǎng)作為上層信息管理網(wǎng)的數(shù)據(jù)平臺，將盡可能多的生產(chǎn)裝置上實(shí)時數(shù)據(jù)采集到實(shí)時數(shù)據(jù)庫中并經(jīng)防火墻傳送數(shù)據(jù)至MES和ERP：具體接口連接為工業(yè)以太網(wǎng)、防火墻、DMZ中間區(qū)域防護(hù)和MES數(shù)據(jù)采集服務(wù)器等，如圖2所示。由于MES和ERP與商用Internet相連，為保證工業(yè)以太網(wǎng)的切實(shí)安全，現(xiàn)在的大型項(xiàng)目一般采用如圖2所示的DMZ(demilitarized zone隔離區(qū)，內(nèi)網(wǎng)和外網(wǎng)的緩沖區(qū))中間防護(hù)策略。
將上層信息管理網(wǎng)需要訪問的實(shí)時數(shù)據(jù)庫容錯服務(wù)器置于DMZ層，使來自上層的信息管理網(wǎng)只能通過外部防火墻訪問到實(shí)時數(shù)據(jù)庫服務(wù)器，而不能通過內(nèi)部防火墻至工業(yè)以太網(wǎng)。這樣來自Internet的攻擊將要通過外部防火墻、堡壘主機(jī)和內(nèi)部防火墻等三道相互獨(dú)立的防線才能到達(dá)工業(yè)以太網(wǎng)，使攻擊難度大大加強(qiáng)，相應(yīng)內(nèi)部網(wǎng)絡(luò)的安全性也就大大加強(qiáng)。
3.3 全面加強(qiáng)工業(yè)以太網(wǎng)的安全管理
在安全管理上主要是防病毒網(wǎng)絡(luò)的設(shè)置和用戶管理策略的制訂及實(shí)施。由于現(xiàn)在以DCS為基礎(chǔ)控制系統(tǒng)，其工業(yè)以太網(wǎng)上集成了幾乎所有的控制系統(tǒng)，所以要保證工業(yè)以太網(wǎng)不受病毒攻擊，就必須使所有連接在工業(yè)以太網(wǎng)上的終端均受到防病毒軟件的保護(hù)，并實(shí)時更新病毒庫。具體措施：在DCS信息集成的工業(yè)以太網(wǎng)上配置一臺防病毒軟件服務(wù)器并安裝防病毒中心軟件，而相應(yīng)需保護(hù)的工業(yè)以太網(wǎng)終端設(shè)備上則安裝客戶端軟件(常用的防病毒軟件為西門鐵克)，并根據(jù)需要由服務(wù)器直接從Internet實(shí)時升級病毒庫或由相關(guān)維護(hù)工程師手動及時更新病毒庫。用戶管理策略一般可以采取以下措施：
(1)加強(qiáng)工藝操作人員和系統(tǒng)維護(hù)工程師的培訓(xùn)工作，嚴(yán)格計(jì)算機(jī)操作及維護(hù)紀(jì)律，力爭將誤操作降到零水準(zhǔn)。
(2)將安裝有開放的光驅(qū)和USB接口的操作站主機(jī)與顯示器及操作鍵盤異地放置，對不利于異地放置的地方則需對操作員賬戶屏蔽其對光驅(qū)和USB接口的操作功能；對服務(wù)器、工程師站則應(yīng)對維護(hù)工程師的工作制訂嚴(yán)格的紀(jì)律以確保病毒不從光驅(qū)和USB接口進(jìn)入工業(yè)以太網(wǎng)。
(3)根據(jù)使用者工作職責(zé)的不同建立不同級別的賬戶，使之操作行為受到相應(yīng)的限制以保護(hù)DCS及其網(wǎng)絡(luò)的安全運(yùn)行。
四、結(jié)束語
由于行業(yè)不同，對工業(yè)以太網(wǎng)應(yīng)用安全的要求也不盡相同，各用戶可以根據(jù)自己的經(jīng)驗(yàn)和項(xiàng)目實(shí)際要求在應(yīng)用以太網(wǎng)控制系統(tǒng)時配置自己的安全對策。上述對策是根據(jù)近年來幾個大型合資石化項(xiàng)目的成功經(jīng)驗(yàn)，結(jié)合儀表自動化領(lǐng)域控制技術(shù)發(fā)展總結(jié)而來的，經(jīng)過實(shí)際生產(chǎn)的檢驗(yàn)，對相關(guān)控制對象具有很好的安全保護(hù)作用。隨著以太網(wǎng)技術(shù)的進(jìn)一步發(fā)展，有線、無線網(wǎng)絡(luò)的混合應(yīng)用，對工業(yè)以太網(wǎng)的安全考驗(yàn)會越來越多，從而也要求相應(yīng)的更為嚴(yán)密的安全措施相匹配。
