工業控制

前言：想要寫出一篇令人眼前一亮的文章嗎？我們特意為您整理了5篇工業控制范文，相信會為您的寫作帶來幫助，發現更多的寫作思路和靈感。

工業控制范文第1篇

關鍵詞：數據倉庫；風險；安全

中圖分類號：TP273

隨著我國工業化與信息化融合的發展，信息系統及互聯網不斷地被引入到工業控制系統中，這打破了工業控制系統原有的較獨立封閉的環境。其固有的系統漏洞及脆弱性越來越可能被系統外部攻擊者所利用，可能造成嚴重的安全事件。因此，從分析工業控制系統的風險入手，就如何有效保障工業系統的安全提出建議。

1 工業控制系統介紹

1.1 工業控制系統概念

工業控制系統（Industry Control System）由各種自動化控制組件以及對實時數據進行采集和監測的過程控制組件，共同構成的確保工業技術設施自動化運行、過程控制和監控的業務流程管控系統。

1.2 工業控制系統組成

工業控制系統一般由監控數據采集系統（SCADA）、分布式控制系統（DCS）、過程控制系統（PCS）、可編程邏輯控制器（PLC）組成。

2 工業控制系統風險

2.1 安全事件

一些公共領域的工業控制系統遭到破壞后，會造成重大的經濟損失或者對國家安全造成傷害，以下為一些典型的系統入侵事件。

2012年，兩座美國電廠遭USB病毒攻擊，感染了每個工廠的工控系統，可被竊取數據。

2011年，黑客人侵數據采集與監控系統，使美國伊利諾伊州城市供水系統的供水泵遭到破壞。

2010年，“網絡超級武器”Stuxnet（俗稱“震網”）蠕蟲病毒通過針對性地侵入ICS系統，嚴重威脅到伊朗布什爾核電站反應堆的安全。

2008年，一少年攻擊了波蘭羅茲（LodZ）市的城市鐵路系統，用一個電視遙控器改變了軌道扳道器的運行，導致4節車廂脫軌。

2.2 風險分析

工業控制系統面臨的風險可分為硬件和軟件、網絡以及管理等四個方面：

（1）軟件風險。1）操作系統的安全漏洞。目前，大多數的工業控制系統采用windows作為其操作系統，一旦系統調試完畢正常運轉后，為了保證系統的穩定運行，一般很少主動會對操作系統進行升級或者打補丁，系統漏洞不能被及時修補，導致系統帶著風險運行；2）未安裝殺毒軟件。工業控制系統對可靠性要求很高，未經嚴格測試的防病毒軟件是不能被安裝在系統上的。很多工業控制系統基于工業控制軟件與殺毒軟件的兼容性考慮，一般不安裝殺毒軟件，難以抵擋惡意代碼和病毒的入侵；3）工業控制系統未被正確配置。工業控制系統的配置有嚴格的要求，不正確的配置會導致重大的系統錯誤，帶來安全隱患。

（2）硬件風險。1）管理終端。未限制U盤、移動硬盤在工業控制系統中的管理終端使用，增加病毒感染的風險。此外，筆記本電腦可以隨意接入管理終端，也可能直接對工業控制系統進行篡改或者控制，存在安全風險；2）遠程終端。未對工控系統遠程現場終端的接觸有嚴格限制，攻擊者可從遠程終端進入工業控制系統從而實現其攻擊目的；3）硬件平臺。目前大部分現場控制站使用兼容機，其穩定性和可靠性相對于工控機和服務器較差，且部分控制器未能有效對通訊數據進行嚴格檢查，可能發生宕機，從而造成損失。

（3）網絡風險。1）與辦公網互聯網相通的風險。企業為對工業控制系統和管理信息系統進行了集成，辦公網絡與生產控制網絡之間實現了數據交換，工業控制系統不再是一個獨立運行的系統。如果未能在辦公網和生產網絡之間建立嚴格的隔離機制，可導致外部攻擊者通過進入辦公網從而進入到生產網實施對工業控制系統的攻擊；2）網絡延遲風險。工業控制系統是一種實時類的系統，對實時性有很高的要求，如果工業控制系統控制終端、服務器、網絡設備故障沒有及時發現而造成響應延遲，將產生工業現場的事故風險。

（4）管理風險。如果對工業控制系統的操作行為沒有監控和響應措施，工業控制系統中的異常行為會給工業控制系統帶來很大的風險。對工業控制系統中IT基礎設施的運行狀態進行監控，是工業工控系統穩定運行的基礎。

3 工業控制系統安全保障

工業控制系統遍布公共領域和重大生產領域，建立起一套完整的工業控制系統安全保障體系勢在必行。針對工業控制系統自身業務特點、自身脆弱性以及所面臨的各類網絡威脅，我們可以從工業控制系統安全體系架構設計、安全檢查、日常運維管理等方面考慮，建立起工業控制系統的安全保障。

3.1 工業控制系統安全體系架構設計

（1）建立安全域。在工業控制系統的整體設計中綜合考慮工業控制系統的業務重要性、數據機密性、潛在的威脅及其他各項因素，劃分不同的工業控制系統安全域并分別明確信息安全責任人及其職責。不同的安全域可根據域內系統的重要性程度采用不同等級的安全防護策略及相應的安全管理制度。各個安全域之間可通過各種工業防火墻、隔離網閘等實現有效隔離，并制定嚴格的訪問控制策略及操作的監管確保信息交換的安全。

（2）安全防護體系持續優化改進。隨著攻擊手段的不斷發展，安全防護體系也應隨時優化。通過定期或者不定期對所使用工業控制系統進行安全風險評估以及持續的在線監控，不斷完善安全防護體系，形成基于工業控制系統生命周期的安全防護體系。

3.2 基于風險分析的工業控制系統安全實施

在對工業控制系統進行風險分析的基礎上，應對每一類風險設計相應的安全保護措施。其中包括軟件、硬件、網絡、管理等四個方面。

（1）軟件。在確保工業控制系統執行效率的前提下，開啟軟件產品內置的安全功能；使用加密通訊協議，避免明文傳輸各類管控信息；減少不必要應用服務或者網絡服務的開啟；軟件的各項配置要有授權，配置變更要嚴格控制；保存有效的操作系統日志；安裝專業的防毒軟件；安裝入侵檢測系統，應對外來威脅。

（2）硬件。關鍵設備要有冗余，避免單點故障導致系統宕機；關鍵設備要有充分的物理保護；未授權的人員不能夠直接接觸硬件設施；未授權的人員不能遠程接入到工業控制系統。

（3）網絡。工業控制系統所在的生產網要和辦公網分離，盡量減少數據交換，并要設置專門的工業防火墻；防火墻的配置要禁止一切不必要的數據傳輸；關鍵網絡設備要有冗余，避免網絡中斷造成工業控制系統指令延遲或者丟失。

（4）管理。工業控制操作系統要有完善的系統安全操作規范；對工業控制系統的操作行為有監控或者審計系統，已保障操作行為的可監控性和可追蹤性；除一般防火措施外，要建立起針對特殊攻擊的安全防護措施（如：APT攻擊）。

4 結束語

綜上，國內外發生多起攻擊工業控制系統從而造成的安全事故，工業控制系統安全作為一個新的、戰略性安全領域在各個層面得到重視，使用工控系統的單位應當在風險分析的基礎上，建立起適合自己的工業控制系統的防護墻，以保障自身生產安全和公共安全。

參考文獻：

[1]Keith Stouffer，Joe Falco Karen Scarfone.Guide to Industrial Control Systems（ICS）.Security，2013，03.

[2]工業控制系統的安全研究和實踐[J].綠盟科技，2014.

[3]GB/T26333-2010工業控制網絡安全風險評估規范[S].

[4]余勇，林為民.工業控制SCADA系統的信息安全防護體系研究[J].信息網絡安全，2012（05）.

工業控制范文第2篇

 

目前，我國正逐步重視起工業控制系統安全問題，并將這項問題提到了國家安全戰略的高度。工業和信息化部門也了相關挑了，強調工業信息安全的重要性，明確了安全管理要求。到目前為止，工業控制系統已經成為了信息戰爭中的重要目標，工業控制系統的安全狀態關乎著信息安全。

 

1 我國制造工業控制系統應用現狀

 

到目前為止，我國的制造企業當中已經廣泛實現了對于分布式控制系統、PCS系統、IED等控制系統的應用。由于涉及機密，因此制造業應更為重視信息安全問題。

 

西方工業革命是工業控制系統的起源，而在進入了信息化時代之后，工業控制系統更是在西方發達國家得到了廣泛的應用。到目前為止，自動控制理論得到了不斷的發展，人工智能、模糊控制等都已經應用到工業控制系統當中。在我國的軍工企業中，自主品牌較少，較多的是應用國外的工業控制系統，因此一方面要求企業自身重視信息安全問題，另一方面也要求國家加強自主產品的研發。

 

我國的工業控制系統的主要軟硬件等均因進入工業強國，對于高新技術，國外廠商對我國進行了高度封鎖，因此，我國缺乏工業制造系統的核心知識，在安全防護上并不主動，尤其是對于制造行業，風險巨大。

 

2 我國制造工業控制系統面臨的信息安全威脅

 

2.1 操作系統安全問題

 

目前，在控制系統上，PC與Windows的技術架構議程主流，而在工業控制網絡當中，多以MES作為主要的網絡節點，這就使得整個網絡信息當中有一定的操作漏洞，而要在保證系統獨立的基礎上保證其穩定運行，就不能在Windows平臺上進行補丁的安裝，但與此同時，不安裝補丁也會存在被攻擊的可能，這就會造成一定的安全隱患。

 

2.2 工業軟件漏洞、后門

 

無論是什么工業控制設備，其都具有一定的漏洞，要做到沒有漏洞，可以說幾乎是不可能的，只是漏洞是否容易被人發現并利用的程度不一樣，很多的黑客專門尋找漏洞進行攻擊，除此之外，由于國外廠商在技術上對我國進行封鎖，也有可能在設備上留下后門。

 

2.3 網絡通信協議的安全問題

 

如今，隨著時代的進步和科技的發展，物聯網技術正在快速、健康的發展著，這就使得OPC等協議廣泛的應用在工業控制網絡當中，使得通信協議安全問題成為了一種普遍的問題，這種問題非常容易受到攻擊，并且會導致防火墻無法正常發揮功能。

 

2.4 安全策略和管理流程的脆弱性

 

很工業控制系統，由于追求可用性，而在一定的程度上犧牲了安全性能，這就給系統的信息安全帶來了巨大的威脅。由于安全策略與管理流程較為脆弱，且缺乏正規的培訓，因此往往從設計階段開始，就沒有考慮安全，也沒有落實安全制度，這常常會導致在維修中出現重大事故。

 

3 工業控制系統信息安全的研究重點

 

3.1 木馬病毒入侵方式研究

 

近些年來，由于針對工業控制系統的病毒入侵時間不斷出現，因此給工業控制系統帶來了巨大的危害。針對特洛伊木馬、邏輯炸彈等入侵方式進行研究，分析其傳播途徑，以及如何破壞設備， 結合多種手段，研究系統防止入侵的方法，今兒減少病毒帶來的威脅，已經成為了目前需要解決的當務之急。

 

3.2 漏洞后門入侵方式研究

 

基本上每款控制設備都有漏洞，而國外廠商的產品也有可能右后門，針對漏洞或者是后門的攻擊行為已經成為了我國制造業的巨大威脅，應加速開展設備研究，通過分析可能存在的后門或者漏洞，建立有效的防竊取手段，避免這些漏洞成為不法分子的入侵手段，提升系統低于風險的能力。

 

4 結束語

 

就目前來講，制造業的信息安全問題并沒有一個完善的解決方法以及解決方案，因此要加強我國軍工制造業的的信息安全，就需要開展對于工業控制系統信息安全的研究，這不僅有著非常重要的戰略意義，也能夠幫助企業認識信息安全的重要性，提升企業應對信息安全問題的能力。

工業控制范文第3篇

關鍵詞：工業控制；自動化；現狀；趨勢

中圖分類號：TP273 文獻標識碼：A 文章編號：1007-9599 （2013） 02-0000-02

工業控制自動化技術是一種先進的工業制造技術，其技術水平已成為衡量一個國家國民經濟發展水平和現代化程度的標志。據統計，對自動化控制系統投入和企業效益方面提升產出比約在1：4 至1：6之間，是實現大規模工業生產安全、平穩、優質、高效的基本條件和重要保證，是傳統產業優化升級的有效手段，對鋼鐵、石化、冶金、電力、紡織等支柱性產業的技術進步具有重要作用。工業控制自動化的產品和技術大力推廣了中國的制造業自動化進程，為中國現代化的建設做出了巨大的貢獻。

1 工業控制自動化現狀

我國工業自動化制造產業經過一段時間發展，已經逐步實現國產化的過程。在下游冶金、石化等行業的需求以及自動化率提升的雙重帶動下，我國工業自動化控制系統裝置制造產業取得了長足的發展。但是，我國工業自動化具有自己的特點，下面就對我國自動化的優勢和劣勢進行簡要總結。

1.1 我國工業控制自動化的優勢

從整體上看，我國工業控制自動化具有以下優勢，第一、工業控制自動化產品技術含量高，專業性強，而且產品繁多，業內第一門戶網站；中國自動化學會的唯一門戶網站及合作網站中國工控網目前分類達16個大項，200余個小項，第二、廠商眾多，全球廠商達20萬家，僅變頻器的生產商就達2000余家；第三、市場巨大，90年代以來，我國工業自動化控制系統裝置制造產業的產量一直保持在年增長20%以上，2009年我國儀器儀表行業規模以上企業5，363個，完成工業總產值4，047億元，銷售產值3，947億元，其中工業自動控制系統裝置占比約21.26%，達到843億元。IMSResearch最新的研究報告指出中國自動化控制系統市場規模在2013年將會達到1，311億元；第四、工業控制自動化大范圍應用，遍及冶金、石油、化工、紡織、造紙、機械、機床、汽車、航空航天、樓宇、環境工程等所有工業及民用領域。

1.2 我國工業控制自動化的劣勢

雖然工業控制自動化在我國得到了一定程度的發展，但還是存在很多不足的地方，主要有以下幾點：第一、競爭激烈，國內工業控制系統產品供應商直接面臨西方發達國家的競爭，無論IPC、DCS還是PLC，與外國公司相比較，我國的企業仍處于弱勢地位；第二、總體上自動化企業規模太小，工業自動化比例依然不高，我國自動化儀器儀表行業的產值占GDP 的比例從90年代的0.5%才剛剛提升到2009年的1.1%，而美國在90年代就達到了4%的水平；第三、自動化企業多數急功近利，科技研發投入較少，科研人員隊伍不穩，缺乏長時間的科研積累，缺乏自主創新能力，大型裝備自動化控制系統的應用程度較低，有信譽的品牌產品還未形成；第四、與國際著名品牌系統相比還有差距，多數自動化企業沒有明顯的核心技術能力，缺乏后勁，國產系統就總體水平特別是在應用平臺和開放性方面等較低，而且國內自動化系統企業綜合業務能力差，系統產品系列不全等。

2 工業控制自動化發展趨勢

2.1 PLC在向高速化、網絡化、智能化方向發展

為了提高PLC的處理能力，要求PLC具有更快的響應速度和更大的存儲容量，目前有的PLC掃描速度可達0.1ms/s以上，PLC的響應速度已經成為一個很重要的性能指標；在存貯容量方面，有的PLC最高可達幾十兆字節，為了擴大存儲容量，有的公司已經利用磁盤處理器或者硬盤；加強PLC網絡通訊能力，是PLC技術進步的潮流，為了加強網絡通訊能力，PLC生產廠商之家正在協商制定通用的通訊標準，以構成更大的網絡系統；80%的PLC控制系統的故障屬于外部故障，因此致力于研制、發展用于檢測用于外部故障的專用智能模塊，已成為提高PLC系統可靠性的有效途徑。

2.2 面向測控管一體化設計的DCS系統

開放性是制約dcs發展的一個很大的問題，不同公司的控制設備很難進行無縫的接入dcs控制系統，這個問題就阻礙了dcs的應用領域和競爭力。目前很多公司舍棄了傳統的lcn網，采用了服務器結構的形式，使其開放性大大加強。隨著技術進步，DCS的開放性需要逐漸加強，而且還應發揮其特色，使分散型計算機控制系統，從傳統dcs中解放出來，使dcs與cips系統的調度層、管理層、決策層（輔助決策層）進行無縫連接，將dcs的相關信息上傳，使其實時數據庫、歷史數據庫為上述3層所共用，避免重復建庫，為先進控制和優化建好平臺，與上層的關系數據庫共享數據，真正實現管控一體化。

2.3 控制系統正在向現場總線（FCS）方向發展

FCS是控制體系結構的一場革命，它將影響今后幾十年內自動控制技術的發展。FCS是由DCS發展而來的，它克服了DCS的很多缺點，而且具有很多DCS無法比擬的優點，FCS具有可靠性高、互換性和互操作性好、功能強、全數字通訊、多分枝結構及實現了完全開放的系統等優點。FCS的出現，對廣大中小型企業和研究機構是一次難得的機遇。可以預見，一個全數字化、全分散式、可互操作、開放式互連網絡FCS是工業自動控制系統的發展趨勢。

2.4 數控技術向智能化、開放性、網絡化、信息化發展

新世紀的數控裝備將是具有一定智能化的系統，智能化的內容包括：為追求加工效率和加工質量方面的智能化，如加工過程的自適應控制，工藝參數自動生成，及為提高驅動性能及使用連接方便的智能化；數控系統開放化已經成為數控系統的未來之路，利用開放式數控系統可方便地將用戶的特殊應用和技術訣竅集成到控制系統中，快速實現不同品種、不同檔次的開放式數控系統，形成具有鮮明個性的名牌產品；網絡化數控裝備是最近機床博覽會的一個新亮點，數控裝備的網絡化將極大地滿足生產線、制造系統、制造企業對信息集成的需求，也是實現新的制造模式如敏捷制造、虛擬企業、全球制造的基礎單元。

2.5 工業控制網絡向實時性、安全性多有線及無線相結合的方向發展

支持實時通訊可以通過提高操作系統和交換技術或者改變拓撲結構，還可通過提高在MAC層上的數據傳輸的調度方法等；提高工業通訊的安全性，以滿足SIL高級別的要求，是工業控制網絡安全性的發展方向；無線局域網技術能夠在工廠環境下，為各種智能現場設備、移動機器人以及各種自動化設備之間的通信提供高帶寬的無線數據鏈路和靈活的網絡拓撲結構，在一些特殊環境下有效地彌補了有線網絡的不足，進一步完善了工業控制網絡的通信性能。

參考文獻：

[1]唐攻堅.淺談工業自動化控制的現狀與趨勢[J].中國新技術新產品，2012（6）：136.

[2]劉鑫.中國工業控制自動化技術的現狀與發展趨勢[J].航天控制，2002，22（4）：42-48.

[3]張東起.工控自動化行業現狀及未來發展趨勢展望[J].中國新技術新產品，2011（4）：265.

工業控制范文第4篇

【關鍵詞】工業控制編程PLC

現代鋼鐵生產中，傳統的手動操作已遠遠不能獲得好的控制品質。目前，在電氣控制領域，國內外普遍采用PLC。特別是最近幾年的冶金行業中，PLC以其在工業惡劣環境下仍能高可靠性工作，及抗干擾能力強的特點而獲得更為廣泛的使用。PLC將電氣、儀表、控制這三電集于一體，可以方便、靈活地組合成各種不同規模和要求的控制系統，以適應各種工業控制的需要。由于PLC是專為工業控制而設計的，其結構緊密、堅固、體積小巧，是實現機電一體化的理想控制設備。隨著微電子技術的快速發展，PLC的制造成本不斷下降，而其功能卻大大增強。在先進工業國家中PLC已成為工業控制的標準設備，應用幾乎覆蓋了所有工業企業，日益躍居現代工業自動化三大支柱(PLC,ROBOT,CAD/CAM)的主導地位。

可編程序控制器是一種專門為在工業環境下應用而設計的數字運算操作的電子裝置。它采用可以編制程序的存儲器，用來在其內部存儲執行邏輯運算、順序運算、計時、計數和算術運算等操作的指令，并能通過數字式或模擬式的輸入和輸出，控制各種類型的機械或生產過程。可編程序控制器及其有關的設備都應該按照易于與控制系統形成一個整體，易于擴展其功能的原則而設計。

一、PLC具有以下顯著特點

1.極高的可靠性

由于工業生產的環境條件遠比通用計算機所處的環境差，因此要求PLC具有很強的抗干擾能力，并且應能在比較惡劣的運行環境中(如高溫、過電壓、強電磁干擾和高濕度等)長期可靠地運行。

2.使用方便

（1）操作方便：對PLC的操作包括程序輸入的操作和程序更改的操作。大多數PLC采用編程器進行程序輸入和更改的操作。更改程序的操作也可直接根據所需的地址編號繼電器編號或接點號進行搜索或順序尋找，然后進行更改。

（2）編程方便：PLC有梯形圖、布爾助記符、功能表圖多種程序控制設計語言可供使用。

（3）維修方便：當系統發生故障時，通過硬件和軟件的自診斷，維修人員可根據有關故障信號燈的指示和故障代碼的顯示，或通過編程器和CRT屏幕的顯示，很快地找到故障所在的部位，為迅速排除故障和修復節省了時間。

3.靈活性高

PLC的靈活性表現在下列三方面。

（1）編程的靈活性：PLC采用的編程語言有梯形圖、布爾助記符、功能表圖、功

能模塊圖等，只要掌握其中一種語言就可進行編程。

（2）擴展的靈活性：PLC根據應用的規模的不斷擴展，它不僅可以通過增加輸入、輸出卡件增加點數，通過擴展單元來擴大容量和功能，也可通過多臺PLC的通信來擴大容量和功能。

（3）操作的靈活性：操作的靈活性指設計的工作量大大減少，編程的工作量和安裝施工的工作量大大減少，操作十分靈活方便，監視和控制變得容易。

4.機電一體化

PLC是專門為工業過程控制而設計的控制設備，它的體積大大減小，功能不斷完善，抗干擾性能增強，機械和電氣部件被有機地結合在一個設備內，把儀表電子和計算機的功能綜合在一起。

網絡技術在現代控制系統中的應用越來越普遍，所謂控制網絡一般指以控制“事務對象”為特征的計算機網絡系統，它主要面向企業或某個系統的底層。控制網絡來源于計算機網絡技術，與一般的計算機網絡有許多共同點，但又有不同和獨特之處，主要表現在以下幾個方面：

（1）控制網絡中數據傳輸的及時性和系統響應的實時性是其基本要求；

（2）控制網絡強調在惡劣環境下數據傳輸的完整性和可靠性；

（3）通訊方式多采用廣播或組播方式；

（4）控制網絡必須解決多家產品和系統在同一網絡中相互兼容及互操作性問題。

現場總線是近幾年來備受關注并得到迅速發展的控制網絡新技術。它以具備數字計算與數字通訊能力的現場設備作為網絡節點，以總線作為節點實現數字通信的聯系紐帶，構成開放式、數字化的控制網絡，因而又被譽為自動化領域的通訊與網絡技術。建設以現場總線控制網路為基礎的實現企業管理、經營、控制一體化的信息系統，是許多現代企業正努力實現的目標。通過企業網絡將管理、經營、控制協調為一個整體，實現產品開發、生產加工、原料供應與產品儲運、市場信息、企業管理、決策過程等的一體化解決方案。就現場總線系統而言由于各種現場總線采用的通訊協議和介質不同，不同標準的總線設備之間的互連和互操作存在許多障礙。

工業控制范文第5篇

2013年以來，重鋼集團作為重慶市的大型重工業企業工控信息安全試點，進行了積極的探索和實踐。研究工控系統信息安全問題，制定工控系統信息安全實施指南，建立重鋼ICS工控信息安全的模擬試驗中心，進行控制系統信息安全的模擬試驗，采取措施提高重鋼控制系統的安全防御能力，以保證重鋼集團控制系統的信息安全和安全生產，盡到自己的社會責任。

1工控系統信息安全問題的由來

工業控制系統（industrycontrolsystem，以下簡稱ICS）信息安全問題的核心是通信協議缺陷問題。工控協議安全問題可分為兩類：

1.1ICS設計時固有的安全缺失

傳統的ICS采用專用的硬件、軟件和通信協議，設計上注重效率、實時性、可靠性，為此放棄了諸如認證、授權和加密等需要附加開銷的安全特征和功能，一般采用封閉式的網絡架構來保證系統安全。工業控制網的防護功能都很弱，幾乎沒有隔離功能。由于ICS的相對封閉性，一直不是網絡攻防研究關注的重點。

1.2ICS開放發展而繼承的安全缺失

目前，幾乎所有的ICS廠商都提出了企業全自動化的解決方案，ICS通信協議已經演化為在通用計算機\操作系統上實現，并運行在工業以太網上，TCP/IP協議自身存在的安全問題不可避免地會影響到相應的應用層工控協議。潛在地將這些有漏洞的協議暴露給攻擊者。隨著工業信息化及物聯網技術的高速發展，企業自動化、信息化聯網融合，以往相對封閉的ICS逐漸采用通用的通信協議、硬軟件系統，甚至可以通過實時數據采集網、MES、ERP網絡連接到企業OA及互聯網等公共網絡。傳統信息網絡所面臨的病毒、木馬、入侵攻擊、拒絕服務等安全威脅也正在向ICS擴散。因此在ICS對企業信息化系統開放，使企業生產經營獲取巨大好處的同時，也減弱了ICS與外界的隔離，“兩化融合”使ICS信息安全隱患問題日益嚴峻。

2重鋼ICS信息安全問題的探索

2.1重鋼企業系統架構

重鋼新區的建設是以大幅提升工藝技術和控制、管理水平，以科技創新和裝備大型化推進流程再造為依據，降本增效、節能減排為目的來完成的。各主要工藝環節、生產線都實現了全流程智能化管控。依據“產銷一體化”的思想，重鋼在各產線上集成,實現“兩化”深度融合，形成了一個龐大而復雜的網絡拓撲結構。

2.2生產管控系統分級

管控系統按控制功能和邏輯分為4級網絡：L4（企業資源計劃ERP）、L3（生產管理級MES）、L2（過程控制級PCS）、L1（基礎自動化級BAS）。重鋼新區L1控制系統有：浙大中控、新華DCS、西門子PLC、GEPLC、MOX、施耐德和羅克威爾控制系統等。各主要生產環節L1獨立，L2互聯，L3和ERP是全流程整體構建。

2.3重鋼企業網絡架

重鋼新區網絡系統共分為4個層次：Internet和專線區，主干網區域，服務器區域，L2/L3通信專網區。

（1）主干網區域包括全廠無線覆蓋（用于各網絡點的補充接入備用）和辦公終端接入，主干網區域與Internet和專線區之間通過防火墻隔離，并部署行為管理系統；

（2）主干網區域與服務器區域之間通過防火墻隔離；

（3）L2與L3之間由布置在L2網絡的防火墻和L3側的數據交換平臺隔離；

（4）L2和L1之間通過L2級主機雙網卡方式進行邏輯隔離，各生產線L2和L1遍布整個新區，有多種控制系統。

（5）OA與ERP和MES服務器之間沒有隔離。在L2以下沒有防火墻，現有的安全措施不能保證ICS的安全。

2.4ICS安全漏洞

經過分析討論，我們認為重鋼管控系統ICS可能存在以下安全問題：

（1）通信協議漏洞基于TCP/IP的工業以太網、PROIBUS,MODBUS等總線通信協議，L1級與L2級之間通信采用的OPC協議，都有明顯的安全漏洞。

（2）操作系統漏洞：ICS的HMI上Windows操作系統補丁問題。

（3）安全策略和管理流程問題：安全策略與管理流程、人員信息安全意識缺乏，移動設備的使用及不嚴格的訪問控制策略。

（4）殺毒軟件問題：由于殺毒軟件可能查殺ICS的部分軟件，且其病毒庫需要不定期的更新，故此，ICS操作站\工程師站基本未安裝殺毒軟件。

3重鋼工控系統信息安全措施

對重鋼來說，ICS信息安全性研究是一個新領域，對此，需要重點研究ICS自身的脆弱性（漏洞）情況及系統間通信規約的安全性問題，對ICS系統進行安全測試，同時制定ICS的設備安全管理措施。

3.1制定ICS信息安全實施指南

根據國際行業標準ANSI/ISA-99及IT安防等級，重鋼與重慶郵電大學合作，制定出適合國內實際的《工業控制系統信息安全實施指南》（草案）。指南就ICS和IT系統的差異，ICS系統潛在的脆弱性，風險因素，ICS網絡隔離技術，安全事故緣由，ICS系統安全程序開發與部署，管理控制，運維控制，技術控制等多方面進行具體的規范，并提出ICS的縱深防御戰略的主要規則。并提出ICS的縱深防御戰略的主要規則。ICS的縱深防御戰略：

（1）在ICS從應用設計開始的整個生命周期內解決安全問題；

（2）實施多層的網絡拓撲結構；

（3）提供企業網和ICS的網絡邏輯隔離；

（4）ICS設備測試后封鎖未使用過的端口和服務，確保其不會影響ICS的運行；

（5）限制物理訪問ICS網絡和設備；

（6）限制ICS用戶使用特權，(權、責、人對應）；

（7）在ICS網絡和企業網絡分別使用單獨的身份驗證機制；

（8）使用入侵檢測軟件、防病毒軟件等，實現防御工控系統中的入侵及破壞；

（9）在工控系統的數據存儲和通信中使用安全技術，例如加密技術；

（10）在安裝ICS之前，利用測試系統測試完所有補丁并盡快部署安全補丁；

（11）在工控系統的關鍵區域跟蹤和監測審計蹤跡。

3.2建立重鋼ICS信息安全模擬試驗中心

由于重鋼新區企業網絡架構異常復雜，要解決信息安全問題，必須對企業網絡及ICS進行信息安全測試，在此基礎上對系統進行加固。為避免攻擊等測試手段對正在生產運行的系統產生不可控制的惡劣影響，必須建立一個ICS信息安全的模擬試驗中心。為此，采用模擬在線運行的重鋼企業網絡的方式，構建重鋼ICS信息安全的模擬試驗中心。這個中心也是重鋼電子的軟件開發模擬平臺和信息安全攻防演練平臺。

3.3模擬系統信息安全的測試診斷

重鋼模擬系統安全測試，主要進行漏洞檢測和滲透測試，形成ICS安全評估報告。重鋼ICS安全問題主要集中在安全管理、ICS與網絡系統三個方面，高危漏洞占很大比重。

（1）骨干網作為內外網數據交換的節點，抗病毒能力弱、有明顯的攻擊路徑；

（2）生產管理系統中因為網絡架構、程序設計和安全管理等方面的因素，存在諸多高風險安全漏洞；

（3）L1的PLC與監控層之間無安全隔離，ICS與L2之間僅有雙網卡邏輯隔離，OA和ERP、MES的網絡拓撲沒有分級和隔離。對外部攻擊沒有防御手段。雖然各部分ICS(L1）相對獨立，但整個系統還是存在諸多不安全風險因素，主要有系統層缺陷、滲透攻擊、緩沖區溢出、口令破解及接口、企業網內部威脅五個方面。通過對安全測試結果進行分析，我們認為攻擊者最容易采用的攻擊途徑是：現場無線網絡、辦公網—HMI遠程網頁—HMI服務器、U盤或筆記本電腦在ICS接入。病毒最容易侵入地方是：外網、所有操作終端、調試接入的筆記本電腦。

3.4提高重鋼管控系統安防能力的措施

在原有網絡安全防御的基礎上根據ICS信息安全的要求和模擬測試的結果，我們采取一系列措施來提高重鋼管控系統的措施。

3.5安全管理措施

參照《工業控制系統信息安全實施指南》（草案），修訂《重鋼股份公司計算機信息網絡管理制度》，針對內部網絡容易出現的安全問題提出具體要求，重點突出網絡安全接入控制和資源共享規范；檢查所有ICS操作員\工程師站，封鎖USB口，重新清理所有終端，建立完整的操作權限和密碼體系。封鎖大部分骨干網區的無線接入，增加現場無線設備的加密級別。

3.6系統加固措施

3.6.1互聯網出口安全防護第一層：防火墻——在原來配置的防火墻上，清理端口，精確開放內部服務器服務端口，限制主要網絡木馬病毒入侵端口通訊；第二層：行為管理系統——對內外通訊的流量進行整形和帶寬控制，控制互聯網訪問權限，減少非法的互聯網資源訪問，同時對敏感信息進行控制和記錄；第三層：防病毒系統——部署瑞星防毒墻對進出內網的網絡流量進行掃描過濾，查殺占據絕大部分的HTTP、FTP、SMTP等協議流量，凈化內網網絡環境；

3.6.2內網（以太網）安全部署企業版殺毒系統、EAD準入控制系統(終端安裝)，進行交換機加固，增加DHCP嗅探功能，拒絕非法DHCP服務器分配IP地址，廣播風暴抑制。

3.6.3工業以太網安全L1級安全隔離應考慮ICS的特點：

（1）PLC與監控層及過程控制級一般采用OPC通訊，端口不固定。因此，安全隔離設備應能進行動態端口監控和防御。

（2）工控系統實時性高，要求通信速度快。因此，為保證所處理的流量較少，網絡延時小，實時性好，安全隔離設備應布置在被保護設備的上游和控制網絡的邊緣。圖3安全防御技術措施實施簡圖經過多方比較，現采用數據采集隔離平臺和智能保護平臺。在PLC采用終端保護，在L1監控層實現L1區域保護，在PCS與MES、ERP和OA之間形成邊界保護。接著考慮增加L1外掛監測審計平臺和漏洞挖掘檢測平臺。

3.6.4數據采集隔離平臺在L1的OPC服務器和實時數據庫采集站之間實現數據隔離，采用數據隔離網關+綜合管理平臺實現：動態端口控制，白名單主動防御，實時深度解析采集數據，實時報警阻斷。

3.6.5智能保護平臺快速識別ICS系統中的非法操作、異常事件及外部攻擊并及時告警和阻斷非法數據包。多重防御機制：將IP地址與MAC地址綁定，防止內部IP地址被非法盜用；白名單防御機制：對網絡中所有不符合白名單的安全數據和行為特征進行阻斷和告警，消除未知漏洞危害；黑名單防御機制：根據已知漏洞庫，對網絡中所有異常數據和行為進行阻斷和告警，消除已知漏洞危害。邊界保護：布置在L1邊界，監控L1網絡中的保護節點和網絡結構，配置信息以及安全事件。區域保護：布置在L1級ICS內部邊界，防御來自工業以太網以外及ICS內部其他區域的威脅。終端保護：布置在終端節點，防御來自外部、內部其他區域及終端的威脅。綜合管理平臺：通過對所在工控網絡環境的分析，自動組合一套規則與策略的部署方案；可將合適的白名單規則與漏洞防護策略下發部署到不同的智能保護平臺。

4結束語