1 引言
石化企業(yè)生產(chǎn)工藝過程復(fù)雜,過程控制計算機(jī)系統(tǒng)應(yīng)用普及,具有高溫高壓、易燃易爆、有毒有害、自動化程度高的特點。傳統(tǒng)的過程控制計算機(jī)系統(tǒng)以滿足生產(chǎn)現(xiàn)場操作管理為目標(biāo),是一個封閉系統(tǒng)。隨著網(wǎng)絡(luò)技術(shù)、計算機(jī)技術(shù)和控制技術(shù)的快速發(fā)展,集成生產(chǎn)過程信息實現(xiàn)企業(yè)管控一體化系統(tǒng)成為必然選擇。通過多年的信息集成實踐,石化企業(yè)基本上形成了管理網(wǎng)/控制網(wǎng)絡(luò)的2層網(wǎng)絡(luò)結(jié)構(gòu)。
當(dāng)封閉的過程控制計算機(jī)系統(tǒng)面對開放的網(wǎng)絡(luò)集成環(huán)境時,系統(tǒng)出現(xiàn)了邊界模糊、界線消失的新問題,部分石化企業(yè)的控制系統(tǒng)出現(xiàn)了病毒、木馬、外部侵入等事件,輕則導(dǎo)致控制系統(tǒng)響應(yīng)變慢,重則導(dǎo)致控制系統(tǒng)不能操控、系統(tǒng)異常錯誤等問題,甚至有的企業(yè)發(fā)生裝置停工及其它嚴(yán)重后果。特別是最近出現(xiàn)的“超級工廠病毒”( Stuxnet ),專門針對工業(yè)控制系統(tǒng)進(jìn)行破壞,對業(yè)界產(chǎn)生了極大的震動。石化企業(yè)事關(guān)國家能源供應(yīng),社會影響大,對國家安全和社會穩(wěn)定具有重要的意義。面對這些新情況、新問題和新動向,必須加以分析研究。因此急需采用先進(jìn)技術(shù)設(shè)計和組成生產(chǎn)專網(wǎng),消除安全隱患,保證控制系統(tǒng)和生產(chǎn)裝置的正常運(yùn)行。
2 企業(yè)生產(chǎn)數(shù)據(jù)集成的現(xiàn)狀分析
2.1數(shù)據(jù)集成現(xiàn)狀與面臨的安全問題
過程控制計算機(jī)系統(tǒng)一般分為DCS(集散控制系統(tǒng))、FCS(現(xiàn)場總線控制系統(tǒng))和PLC(可編程控制器系統(tǒng))等類型。隨著網(wǎng)絡(luò)技術(shù)的不斷發(fā)展,推動了過程控制計算機(jī)系統(tǒng)的發(fā)展,形成了復(fù)雜的工業(yè)控制網(wǎng)絡(luò)。石化企業(yè)的過程控制計算機(jī)系統(tǒng)應(yīng)用起步較早,在不同的裝置上,不同類型的控制系統(tǒng)都有大量應(yīng)用。
石化企業(yè)管控一體化的系統(tǒng)集成經(jīng)歷了20余年的發(fā)展,逐步形成了管理網(wǎng)/控制網(wǎng)絡(luò)的2層結(jié)構(gòu)。實時數(shù)據(jù)庫作為管控一體化的基礎(chǔ)平臺,為控制系統(tǒng)與企業(yè)經(jīng)營管理系統(tǒng)搭建了橋梁,實時數(shù)據(jù)庫通過接口機(jī)和過程控制計算機(jī)系統(tǒng)相連接。接口機(jī)的功能是“上傳下訪”,向上與實時數(shù)據(jù)庫通信,接受服務(wù)器調(diào)度、響應(yīng)請求、轉(zhuǎn)發(fā)數(shù)據(jù);向下與控制系統(tǒng)通信,發(fā)出請求、獲得數(shù)據(jù)、緩存數(shù)據(jù)。實時數(shù)據(jù)庫與過程控制計算機(jī)系統(tǒng)的接口機(jī)是整個系統(tǒng)的關(guān)鍵。
隨著過程控制計算機(jī)系統(tǒng)中DCS, FCS和PLC的分類被淡化,各種類型互相取長補(bǔ)短,技術(shù)上融合發(fā)展?刂凭W(wǎng)絡(luò)的結(jié)構(gòu)由私有、專用網(wǎng)絡(luò)向?qū)哟位、?biāo)準(zhǔn)化發(fā)展,控制網(wǎng)絡(luò)的協(xié)議也由私有協(xié)議轉(zhuǎn)向工業(yè)以太網(wǎng)協(xié)議。控制系統(tǒng)的外部接口從非標(biāo)接口向標(biāo)準(zhǔn)接口發(fā)展,逐步統(tǒng)一于OPC標(biāo)準(zhǔn),人機(jī)接口的操作系統(tǒng)也向微軟視窗等通用操作系統(tǒng)轉(zhuǎn)變。
過程控制計算機(jī)系統(tǒng)的安全問題主要是由系統(tǒng)結(jié)構(gòu)變化和數(shù)據(jù)集成產(chǎn)生的川。系統(tǒng)面臨來自管理網(wǎng)絡(luò)上普遍存在的病毒、木馬、特定攻擊。由于人機(jī)接口采用視窗操作系統(tǒng),存在BUG缺陷,需要根據(jù)不定期發(fā)布的補(bǔ)丁包來進(jìn)行更新,以保障系統(tǒng)的安全。制造商和維護(hù)單位要求開放互聯(lián)網(wǎng)訪問,對系統(tǒng)進(jìn)行維護(hù)診斷處理的外部訪問,也具有安全隱患。另外,人機(jī)接口設(shè)備的開放性,包括通用的光驅(qū)、軟驅(qū)、USB和富余的網(wǎng)絡(luò)接口,都易成為破壞性入口點。
2.2數(shù)據(jù)接口機(jī)的安全問題
在2層網(wǎng)絡(luò)結(jié)構(gòu)中,實時數(shù)據(jù)庫與過程控制計算機(jī)系統(tǒng)之間的接口機(jī)是整個系統(tǒng)的關(guān)鍵。接口機(jī)在實際應(yīng)用中普遍存在分布式和集中式2種模式,如圖1所示。
分布式接口機(jī)一側(cè)與管理網(wǎng)連接,另一側(cè)與控制系統(tǒng)直接連接,每個接口對應(yīng)一套控制系統(tǒng),又稱本地雙網(wǎng)卡接口模式。當(dāng)接口通信故障時需要技術(shù)人員到現(xiàn)場處理,系統(tǒng)維護(hù)很不方便。系統(tǒng)集成的安全性全部依賴于接口機(jī),主要的安全隱患來自管理網(wǎng)絡(luò),系統(tǒng)風(fēng)險高。集中式接口機(jī)根據(jù)集中程度又分為區(qū)域集中和全集中.接口機(jī)兩側(cè)都利用管理網(wǎng)絡(luò)傳輸信息,接口通信故障時不需要技術(shù)人員到現(xiàn)場處理,維護(hù)操作方便。但是控制網(wǎng)絡(luò)與管理網(wǎng)絡(luò)完全連通,系統(tǒng)集成的安全性差,系統(tǒng)風(fēng)險高。
上述2種接口機(jī)都存在安全風(fēng)險。每一個接口都連接一套控制系統(tǒng),這樣每一個接口就是一條通道,就是一個安全風(fēng)險點,只有確保了所有的通道安全才能保障通往關(guān)聯(lián)控制系統(tǒng)的安全。
圖1 2種類型的數(shù)據(jù)接口方案
3 生產(chǎn)專網(wǎng)的設(shè)計
在明確相關(guān)系統(tǒng)的分界面后,從內(nèi)因外因兩方面入手,以接口機(jī)為關(guān)鍵點,對生產(chǎn)專網(wǎng)進(jìn)行設(shè)計和部署,以保障控制系統(tǒng)的安全。生產(chǎn)專網(wǎng)的設(shè)計需要考慮安全性、經(jīng)濟(jì)性、專業(yè)化、先進(jìn)性等原則。
3.1企業(yè)網(wǎng)絡(luò)的功能劃分與生產(chǎn)專網(wǎng)的形成
管理網(wǎng)絡(luò)是企業(yè)公共基礎(chǔ)平臺,承載了企業(yè)資源計劃系統(tǒng)、綜合辦公事務(wù)處理系統(tǒng)、企業(yè)門戶、郵件和互聯(lián)網(wǎng)訪問等綜合管理信息系統(tǒng),為各類經(jīng)營管理人員辦公提供網(wǎng)絡(luò)系統(tǒng)。
工業(yè)控制系統(tǒng)自成體系,構(gòu)成控制網(wǎng)絡(luò),依據(jù)內(nèi)部功能劃分從底向上依次為I/O層、控制通信層和操作信息層。為保障控制網(wǎng)絡(luò)的體系完整性和功能獨立性,利用操作信息層接口,在不改變控制網(wǎng)絡(luò)的體系結(jié)構(gòu)前提下進(jìn)行信息集成。
實時數(shù)據(jù)庫系統(tǒng)與控制網(wǎng)絡(luò)進(jìn)行通信,面對各種控制系統(tǒng)的接口設(shè)備,為調(diào)度、設(shè)備、安全和生產(chǎn)人員提供實時信息,掌握生產(chǎn)動態(tài),進(jìn)行調(diào)度指揮。實時數(shù)據(jù)庫系統(tǒng)和企業(yè)綜合信息管理系統(tǒng)也有差別,服務(wù)對象不同、應(yīng)用目標(biāo)不同。為此,將實時數(shù)據(jù)庫系統(tǒng)的網(wǎng)絡(luò)環(huán)境從管理網(wǎng)絡(luò)中分離出來,企業(yè)網(wǎng)絡(luò)按功能進(jìn)行分區(qū)設(shè)計,分為管理網(wǎng)絡(luò)、生產(chǎn)專網(wǎng)和控制網(wǎng)絡(luò)3層結(jié)構(gòu),每2層之間通過防火墻進(jìn)行隔離,如圖2所示。
圖2 企業(yè)網(wǎng)絡(luò)層次結(jié)構(gòu)圖
3.2生產(chǎn)專網(wǎng)的設(shè)計
生產(chǎn)專網(wǎng)結(jié)構(gòu)如圖3所示,建立了物理上獨立的生產(chǎn)專用網(wǎng)絡(luò),采用核心和接入2層網(wǎng)絡(luò)架構(gòu),采用雙路由的方式,網(wǎng)絡(luò)地址與管理網(wǎng)地址相互獨立、自成體系,并采用雙核心交換機(jī)、專用網(wǎng)管系統(tǒng),網(wǎng)絡(luò)設(shè)備具有端口管理功能。
圖3 二期建設(shè)中通信專網(wǎng)建設(shè)拓?fù)鋱D
增加生產(chǎn)專網(wǎng)這一個層次,將管理網(wǎng)和控制網(wǎng)路分離,進(jìn)行物理和邏輯隔離,兩者不再直接連接,從管理網(wǎng)到控制網(wǎng)路要穿透生產(chǎn)專網(wǎng),增加了訪問難度,從而提高了安全性。
生產(chǎn)專網(wǎng)實現(xiàn)了與管理網(wǎng)只有一個接口通過防火墻進(jìn)行隔離。在DMZ區(qū)為管理網(wǎng)提供信息服務(wù)和數(shù)據(jù)訪問代理;每套控制系統(tǒng)只有一個外部接口,連接點在控制系統(tǒng)的操作信息網(wǎng)絡(luò)上對應(yīng)設(shè)備的網(wǎng)絡(luò)端口,通過防火墻隔離。
通過生產(chǎn)專網(wǎng)的設(shè)計,控制網(wǎng)絡(luò)中的各個控制系統(tǒng)只與生產(chǎn)專網(wǎng)相聯(lián)接,與管理網(wǎng)絡(luò)沒有直接通道。每套控制系統(tǒng)與生產(chǎn)專網(wǎng)只有一個點對點的物理接口,從而阻斷了來自管理網(wǎng)絡(luò)上普遍存在的病毒、木馬、特定攻擊等的直接威脅。
3.3控制網(wǎng)絡(luò)的信息安全管理
雖然徽軟視窗操作系統(tǒng)針對各種BUG缺陷會不定期發(fā)布補(bǔ)丁包,但需要用戶進(jìn)行更新才能解決缺陷問題。而控制系統(tǒng)人機(jī)接口采用的視窗操作系統(tǒng)是由制造商進(jìn)行了專用化改造的定制系統(tǒng),系統(tǒng)投用后運(yùn)行相對穩(wěn)定的情況下,不用更新也能滿足系統(tǒng)正常使用,沒有及時更新的必要性,即使要更新,也需要在制造商測試后發(fā)布更新公告時才能進(jìn)行系統(tǒng)更新。因此,系統(tǒng)補(bǔ)丁更新應(yīng)通過手動更新方式進(jìn)行。
對于通過互聯(lián)網(wǎng)訪問企業(yè)控制系統(tǒng)來進(jìn)行故障診斷和系統(tǒng)維護(hù)處理的要求,則不應(yīng)該滿足此項要求。對控制系統(tǒng)的診斷維護(hù)必須先進(jìn)行測試,遠(yuǎn)程維護(hù)處理在制度上是不允許的。人機(jī)接口設(shè)備具有開放性和通用性,易成為破壞性入侵點,則必須關(guān)閉有關(guān)接口設(shè)備。
4 基于虛擬化的技術(shù)方案
隨著云技術(shù)的飛速發(fā)展,網(wǎng)絡(luò)、計算和存儲的性能不斷提高,作為云技術(shù)基礎(chǔ)之一的虛擬化技術(shù)獲得越來越廣泛的應(yīng)用閱。在生產(chǎn)專網(wǎng)的應(yīng)用中引入了虛擬化技術(shù),建立私有云平臺。
首先采用虛擬交換機(jī)構(gòu)成虛擬網(wǎng)絡(luò)平臺間。虛擬交換機(jī)的網(wǎng)絡(luò)功能較為簡單,內(nèi)置大量的虛擬端口。生產(chǎn)專網(wǎng)按照2層網(wǎng)絡(luò)設(shè)計,則在虛擬平臺網(wǎng)絡(luò)環(huán)境中也對應(yīng)建成2層網(wǎng)絡(luò)架構(gòu)。因此,虛擬交換機(jī)也分為2種類型,一種是提供虛擬服務(wù)器和虛擬接口機(jī)的網(wǎng)絡(luò)連接,即核心交換機(jī);一種是用來連接外部控制系統(tǒng)的,即接入交換機(jī)。
由于實體交換機(jī)配置了防火墻模塊,因此為虛擬交換機(jī)也配置虛擬防火墻,還設(shè)置DMZ區(qū),并利用防火墻的規(guī)則進(jìn)行隔離和控制。
其次在虛擬計算中,所有接口的“上傳”功能是一致的、標(biāo)準(zhǔn)的,接口的“下訪”功能則有差別,訪問的控制系統(tǒng)不同、通信協(xié)議不一致。隨著通信協(xié)議的歸一化(OPC)提高,接口間的差別縮小,接口標(biāo)準(zhǔn)化程度高,適合采用虛擬機(jī)實現(xiàn)。
在高性能服務(wù)器集群平臺上,采用虛擬技術(shù),應(yīng)用虛擬軟件,在物理平臺上建立虛擬接口群,為每套控制系統(tǒng)分配一臺虛擬接口機(jī)。建立虛擬服務(wù)器群,為各類服務(wù)器按需分配一臺虛擬機(jī),建立域控、授權(quán)、實時數(shù)據(jù)庫、WEB、開發(fā)測試、備份和網(wǎng)管等服務(wù)器。實體接口機(jī)和服務(wù)器的安全管理同樣適用于虛擬計算環(huán)境.對虛擬接口機(jī)與控制網(wǎng)絡(luò)的邏輯接口通過虛擬防火墻進(jìn)行隔離和訪問控制,對虛擬服務(wù)器進(jìn)行主機(jī)加固。對虛擬接口機(jī)群和服務(wù)器群統(tǒng)一部署安全策略,實現(xiàn)防病毒、補(bǔ)丁分發(fā)和端口控制;制定系統(tǒng)備份恢復(fù)策略,提高系統(tǒng)的應(yīng)急處置能力。
對于虛擬存儲,則通過建立IP SAN物理存儲平臺來實現(xiàn).利用端口聚合功能,擴(kuò)大吞吐量,依據(jù)應(yīng)用的存儲需求進(jìn)行容量分配和管理策略。在網(wǎng)絡(luò)和計算虛擬化以后,為虛擬服務(wù)器、虛擬接口機(jī)分配存儲。
5 案例應(yīng)用
某石化企業(yè)有生產(chǎn)裝置so余套,其中過程控制計算機(jī)系統(tǒng)有50多套,但是控制系統(tǒng)應(yīng)用品牌繁雜、版本各異。目前在用的控制系統(tǒng)有32套,包括Honeywell的PKS/TDC3000, YOKOGAWA的X1/CS 1000/CS3000、和利時的MACS、浙江中控的ECS 100等類型。上述過程控制系統(tǒng)相互獨立,分散在企業(yè)的煉油、化肥、化纖、熱電等生產(chǎn)區(qū)域。企業(yè)數(shù)據(jù)集成系統(tǒng)進(jìn)行了多次擴(kuò)容和完善,從“分布”到“集中”,其中對控制系統(tǒng)的安全保障主要是基于接口機(jī)的雙網(wǎng)卡、私有地址,保障安全的技術(shù)本質(zhì)沒有改變。
由于企業(yè)管理網(wǎng)絡(luò)環(huán)境的日益復(fù)雜,控制系統(tǒng)不安全事件則時有發(fā)生。為了確?刂葡到y(tǒng)的安全、提升系統(tǒng)整體的安全性,采用本文提出的3層網(wǎng)絡(luò)結(jié)構(gòu),建設(shè)了生產(chǎn)專網(wǎng),進(jìn)行了虛擬化應(yīng)用改造。改造后的整個系統(tǒng)拓?fù)淙鐖D4所示。
圖4 改造后的系統(tǒng)拓?fù)鋱D
企業(yè)建成了獨立的生產(chǎn)專網(wǎng),采用2臺H3C 7506E通過VRRP協(xié)議實現(xiàn)核心設(shè)備冗余備份;插配H3CSecBlade FW萬兆防火墻模塊實現(xiàn)與管理網(wǎng)隔離、各個VLAN之間的隔離、與控制系統(tǒng)的隔離,采用iMC網(wǎng)絡(luò)管理平臺對生產(chǎn)專網(wǎng)進(jìn)行管理和監(jiān)控;通過VMware Esx系列軟件進(jìn)行虛擬化,采用2臺DELL 8900做虛擬服務(wù)器群替代9臺服務(wù)器,采用3臺DELL 8710做虛擬接口機(jī)群替代32臺接口機(jī),接口機(jī)分配虛擬資源為1個CPU2G內(nèi)存,15 G存儲空間,2個網(wǎng)絡(luò)接口分成2個VLAN。每個虛擬接口機(jī)與一套控制系統(tǒng)相對應(yīng),采用遠(yuǎn)程連接實現(xiàn),對虛擬接口機(jī)進(jìn)行統(tǒng)一防病毒,打補(bǔ)丁更新,以及訪問地址、端口和協(xié)議的控制等安全策略的部署。
通過實際應(yīng)用,在技術(shù)上提升了控制網(wǎng)絡(luò)的安全,收到了很好的效果,保障了控制系統(tǒng)的安全;減少了物理服務(wù)器和接口機(jī)的使用數(shù)量,降低了設(shè)備采購費用、備件消耗、人工維護(hù)成本、能源消耗,取得了直接經(jīng)濟(jì)效益和節(jié)能減排成效。
6 結(jié)論
石化企業(yè)目前普遍采用管理網(wǎng)控制網(wǎng)絡(luò)的2層結(jié)構(gòu),本文在分析2層網(wǎng)絡(luò)結(jié)構(gòu)存在的問題、結(jié)合部分企業(yè)出現(xiàn)的一些安全事故案例的基礎(chǔ)上,提出了管理網(wǎng)/生產(chǎn)專網(wǎng)腔制網(wǎng)絡(luò)的3層網(wǎng)絡(luò)結(jié)構(gòu),并對生產(chǎn)專網(wǎng)進(jìn)行了較詳細(xì)的設(shè)計,利用虛擬化技術(shù)開展了生產(chǎn)專網(wǎng)的建設(shè)和應(yīng)用,取得了一定成效。本文取得的經(jīng)驗可以為有關(guān)企業(yè)提供借鑒。
核心關(guān)注:拓步ERP系統(tǒng)平臺是覆蓋了眾多的業(yè)務(wù)領(lǐng)域、行業(yè)應(yīng)用,蘊(yùn)涵了豐富的ERP管理思想,集成了ERP軟件業(yè)務(wù)管理理念,功能涉及供應(yīng)鏈、成本、制造、CRM、HR等眾多業(yè)務(wù)領(lǐng)域的管理,全面涵蓋了企業(yè)關(guān)注ERP管理系統(tǒng)的核心領(lǐng)域,是眾多中小企業(yè)信息化建設(shè)首選的ERP管理軟件信賴品牌。
轉(zhuǎn)載請注明出處:拓步ERP資訊網(wǎng)http://www.ezxoed.cn/
本文標(biāo)題:基于虛擬化技術(shù)的石化企業(yè)生產(chǎn)專網(wǎng)的設(shè)計與應(yīng)用
本文網(wǎng)址:http://www.ezxoed.cn/html/support/1112159572.html
關(guān)鍵詞標(biāo)簽: 基于虛擬化技術(shù)的石化企業(yè)生產(chǎn)專網(wǎng)的設(shè)計與應(yīng)用,石化企業(yè)生產(chǎn)專網(wǎng) 虛擬技術(shù) 數(shù)據(jù)集成 ,ERP,ERP系統(tǒng),ERP軟件,ERP系統(tǒng)軟件,ERP管理系統(tǒng),ERP管理軟件,進(jìn)銷存軟件,財務(wù)軟件,倉庫管理軟件,生產(chǎn)管理軟件,企業(yè)管理軟件,拓步,拓步ERP,拓步軟件,免費ERP,免費ERP軟件,免費ERP系統(tǒng),ERP軟件免費下載,ERP系統(tǒng)免費下載,免費ERP軟件下載,免費進(jìn)銷存軟件,免費進(jìn)銷存,免費財務(wù)軟件,免費倉庫管理軟件,免費下載,
本文轉(zhuǎn)自:e-works制造業(yè)信息化門戶網(wǎng)
本文來源于互聯(lián)網(wǎng),拓步ERP資訊網(wǎng)本著傳播知識、有益學(xué)習(xí)和研究的目的進(jìn)行的轉(zhuǎn)載,為網(wǎng)友免費提供,并盡力標(biāo)明作者與出處,如有著作權(quán)人或出版方提出異議,本站將立即刪除。如果您對文章轉(zhuǎn)載有任何疑問請告之我們,以便我們及時糾正。聯(lián)系方式:QQ:10877846 Tel:0755-26405298。