李海星　譚少軒

摘要：工業(yè)數(shù)據(jù)通信與控制網(wǎng)絡(luò)（以下簡稱“工控網(wǎng)絡(luò)”）是近年來發(fā)展形成的自動控制的網(wǎng)絡(luò)技術(shù)，是計算機網(wǎng)絡(luò)、通信技術(shù)與自動控制技術(shù)結(jié)合的產(chǎn)物。工控系統(tǒng)在設(shè)計時沒有考慮信息安全問題，控制軟件、通信協(xié)議和管理系統(tǒng)先天存在漏洞和后門，在面對外部的網(wǎng)絡(luò)攻擊更加脆弱，本文通過對工控網(wǎng)絡(luò)特點和網(wǎng)絡(luò)安全風(fēng)險分析，提出網(wǎng)絡(luò)建設(shè)和安全保護的方法和措施，減小工控網(wǎng)絡(luò)面對病毒攻擊和惡意指令等風(fēng)險，最終實現(xiàn)提升工控網(wǎng)絡(luò)安全防護能力。

關(guān)鍵詞：GPON;工業(yè)控制系統(tǒng);網(wǎng)絡(luò)安全防護

1.工業(yè)數(shù)據(jù)通信與控制網(wǎng)絡(luò)現(xiàn)狀

企業(yè)工控網(wǎng)絡(luò)由于工控系統(tǒng)設(shè)計和工控網(wǎng)絡(luò)孤島建設(shè)的歷史原因，工控網(wǎng)絡(luò)結(jié)構(gòu)復(fù)雜、業(yè)務(wù)之間數(shù)據(jù)獨立、缺乏信息安全防護措施。

1）工控系統(tǒng)多以單機控制或獨立運行，業(yè)務(wù)之間數(shù)據(jù)無法交互，隨著工控系統(tǒng)向現(xiàn)場總線控制系統(tǒng)的演化，離散網(wǎng)絡(luò)將阻礙企業(yè)生產(chǎn)智能化的發(fā)展，不利于生產(chǎn)大數(shù)據(jù)獲取、集成、管理和分析。

2）以傳統(tǒng)LAN模式構(gòu)建的以太工控網(wǎng)絡(luò)，受銅纜傳輸距離的限制，分散的工控終端難以按照設(shè)備類型劃分區(qū)域，實現(xiàn)分區(qū)防護。網(wǎng)絡(luò)結(jié)構(gòu)復(fù)雜，實時性、易維性大打折扣。

3）工控設(shè)備多應(yīng)用在高低溫差大、濕度多變、油污、粉塵多的惡劣環(huán)境，不利于網(wǎng)絡(luò)設(shè)備的穩(wěn)定運行。

4）工控系統(tǒng)設(shè)計時未考慮信息安全問題。系統(tǒng)中運行的控制軟件、通信協(xié)議和管理系統(tǒng)先天存在漏洞和后門，存在木馬、病毒植入的安全風(fēng)險。

2.建設(shè)目標及效果

通過工控網(wǎng)絡(luò)和安全的建設(shè)，將各類工控終端連接在一起，在設(shè)備和通信安全的基礎(chǔ)上打破業(yè)務(wù)之間的數(shù)據(jù)壁壘，實現(xiàn)工控設(shè)備遠程集控、形成生產(chǎn)和試驗數(shù)據(jù)資源共享環(huán)境，為智能化生產(chǎn)打造網(wǎng)絡(luò)通信基礎(chǔ)。

1）簡化傳統(tǒng)LAN網(wǎng)絡(luò)結(jié)構(gòu)，對工控終端的進行分類連接，分區(qū)管理，實現(xiàn)終端數(shù)據(jù)的流向控制和信息過濾。

2）降低惡劣環(huán)境對網(wǎng)絡(luò)設(shè)備運行的影響程度，減少因存放環(huán)境造成的網(wǎng)絡(luò)設(shè)備故障，提高接入網(wǎng)絡(luò)的可靠性。

3）構(gòu)建網(wǎng)絡(luò)安全策略，加強訪問控制管理、防范木馬病毒傳播、監(jiān)控設(shè)備加工指令，實現(xiàn)網(wǎng)絡(luò)安全狀態(tài)監(jiān)控和預(yù)警。

3.工業(yè)數(shù)據(jù)通信與控制網(wǎng)絡(luò)及安全建設(shè)方案

3.1建設(shè)思路

針對工控網(wǎng)絡(luò)需求特點，接入網(wǎng)可利用GPON網(wǎng)絡(luò)中光纖超長傳輸距離和ODN無源設(shè)備的特點，簡化網(wǎng)絡(luò)結(jié)構(gòu)、提高網(wǎng)絡(luò)可靠性，通過終端分類和數(shù)據(jù)流向分析，在網(wǎng)絡(luò)區(qū)域之間采取防護措施，防范病毒和惡意指令，實現(xiàn)工控設(shè)備安全、數(shù)據(jù)安全和計算環(huán)境安全。

3.1.1工控終端分類

通過對工控終端的功能和設(shè)備屬性進行分析，將終端劃分為工控設(shè)備、上位機和業(yè)務(wù)管理計算機。

1）工控設(shè)備：這類設(shè)備無法安裝殺毒和其他防護軟件，最容易受到病毒、木馬、惡意指令的破壞。

2）上位機：操作工控設(shè)備的計算機，可對工控設(shè)備發(fā)出操作指令，一旦發(fā)送惡意指令代碼，就能夠篡改工控設(shè)備的加工參數(shù)，可直接破壞工控設(shè)備或在制產(chǎn)品。

3）業(yè)務(wù)管理計算機：主要用來查詢、管理工控業(yè)務(wù)系統(tǒng)中的生產(chǎn)數(shù)據(jù)和管理數(shù)據(jù)。

3.1.2工控數(shù)量流向分析

通過對工控網(wǎng)絡(luò)中數(shù)據(jù)類型的分析，可將數(shù)據(jù)劃分為操作指令、生產(chǎn)和試驗數(shù)據(jù)和管理數(shù)據(jù)，數(shù)據(jù)流向和存在風(fēng)險如下。

1）操作指令由上位機發(fā)送至工控設(shè)備，或先上傳至服務(wù)器后再發(fā)送至工控設(shè)備，存在惡意指令發(fā)送至工控設(shè)備的風(fēng)險。

2）生產(chǎn)和試驗數(shù)據(jù)通過工控設(shè)備上傳至服務(wù)器，或經(jīng)上位機處理分析后上傳至服務(wù)器，由于工控設(shè)備的不可控性，存在病毒植入服務(wù)器的風(fēng)險。

3）管理數(shù)據(jù)用于業(yè)務(wù)管理機，服務(wù)器存在數(shù)據(jù)訪問控制的需求。

3.2建設(shè)方法

3.2.1網(wǎng)絡(luò)物理鏈路建設(shè)

1）利用GPON網(wǎng)絡(luò)覆蓋面積廣和接入密度高的優(yōu)勢，可將OLT設(shè)備全部安裝在環(huán)境良好的機房內(nèi)，生產(chǎn)現(xiàn)場采用FTTH的方式敷設(shè)網(wǎng)絡(luò)，無源設(shè)備構(gòu)成的ODN可避免因存放環(huán)境惡劣造成的電氣故障。

2）通過將不同類別的工控終端接入不同的OLT設(shè)備，實現(xiàn)終端網(wǎng)絡(luò)區(qū)域的劃分，在OLT之間部署防毒墻、工業(yè)防火墻等設(shè)備，實現(xiàn)數(shù)據(jù)病毒、協(xié)議的過濾和訪問控制的安全。

3）對于核心交換設(shè)備采用雙節(jié)點虛擬聚合技術(shù)，鏈路采用E-Trunk等方式負載分擔，可提高整個骨干網(wǎng)絡(luò)的可靠性。

3.2.2網(wǎng)絡(luò)結(jié)構(gòu)劃分

工控網(wǎng)絡(luò)是一種設(shè)備高密度的非運營網(wǎng)絡(luò)，在有限的空間內(nèi)聚集了大量的工控設(shè)備和計算機終端。更注重網(wǎng)絡(luò)的實時性、可靠性和易維護性。因此在工控網(wǎng)絡(luò)建設(shè)時，網(wǎng)絡(luò)選擇二層星型網(wǎng)絡(luò)拓撲結(jié)構(gòu)。

依據(jù)工控終端分類，可將接入網(wǎng)劃分為工控設(shè)備ODN、上位機ODN和業(yè)務(wù)管理ODN，服務(wù)器區(qū)依據(jù)功能劃分為業(yè)務(wù)區(qū)和安全管理區(qū)，業(yè)務(wù)區(qū)提供工控和管理系統(tǒng)的業(yè)務(wù)服務(wù)，如TDM、DNC等，安全管理區(qū)提供網(wǎng)絡(luò)安全服務(wù)，如防病毒、主機控制和審計等。

3.2.3網(wǎng)絡(luò)安全建設(shè)

1）工控設(shè)備ODN邊界部署防毒墻，避免帶毒數(shù)據(jù)輸至服務(wù)器，防護業(yè)務(wù)系統(tǒng)和數(shù)據(jù)安全。

2）工控設(shè)備ODN和上位機ODN邊界部署工業(yè)防火墻，實現(xiàn)對非法指令的阻斷、非工業(yè)協(xié)議的攔截，保障工控設(shè)備的操作指令安全。

3）服務(wù)器邊界部署防火墻，防止非法用戶的進入，實現(xiàn)服務(wù)器的訪問安全。

4）安全管理區(qū)域部署IDS、主機控制、準入控制、綜合審計、防病毒等安全系統(tǒng)，保障網(wǎng)絡(luò)環(huán)境的計算安全。

4.總結(jié)

工控網(wǎng)絡(luò)是當前制造企業(yè)信息集成系統(tǒng)和管理控制一體化系統(tǒng)發(fā)展的必然趨勢和需求，與傳統(tǒng)信息網(wǎng)絡(luò)相比，工控網(wǎng)絡(luò)對信息通信的實時性要求更高，要求在惡劣環(huán)境中也能保持穩(wěn)定完整的數(shù)據(jù)傳輸，同時要防止惡意攻擊、人為操作失誤帶來網(wǎng)絡(luò)安全問題，確保自動化網(wǎng)絡(luò)化生產(chǎn)工作的連續(xù)性。工控網(wǎng)絡(luò)GPON技術(shù)的應(yīng)用提供了一個較之傳統(tǒng)以太網(wǎng)，傳輸實效、穩(wěn)定更高的基礎(chǔ)網(wǎng)絡(luò)平臺，同時也降低了網(wǎng)絡(luò)建設(shè)、故障處理和維護的成本。經(jīng)過分析GPON技術(shù)在工控網(wǎng)絡(luò)的應(yīng)用優(yōu)勢和工控網(wǎng)絡(luò)安全建設(shè)的重要性，在建設(shè)工控網(wǎng)絡(luò)充分利用GPON技術(shù)，可使網(wǎng)絡(luò)質(zhì)量和安全性進一步提升。

參考文獻：

[1]郝瑞，王立軍，GPON技術(shù)下全業(yè)務(wù)傳輸接入網(wǎng)的研究[J]。中國新通信，2014

作者簡介：李海星，1987年，男，回族，河南，本科，工程師，研究方向：信息安全。