1 引言

    石化企業(yè)生產(chǎn)工藝過程復(fù)雜，過程控制計算機系統(tǒng)應(yīng)用普及，具有高溫高壓、易燃易爆、有毒有害、自動化程度高的特點。傳統(tǒng)的過程控制計算機系統(tǒng)以滿足生產(chǎn)現(xiàn)場操作管理為目標(biāo)，是一個封閉系統(tǒng)。隨著網(wǎng)絡(luò)技術(shù)、計算機技術(shù)和控制技術(shù)的快速發(fā)展，集成生產(chǎn)過程信息實現(xiàn)企業(yè)管控一體化系統(tǒng)成為必然選擇。通過多年的信息集成實踐，石化企業(yè)基本上形成了管理網(wǎng)/控制網(wǎng)絡(luò)的2層網(wǎng)絡(luò)結(jié)構(gòu)。

    當(dāng)封閉的過程控制計算機系統(tǒng)面對開放的網(wǎng)絡(luò)集成環(huán)境時，系統(tǒng)出現(xiàn)了邊界模糊、界線消失的新問題，部分石化企業(yè)的控制系統(tǒng)出現(xiàn)了病毒、木馬、外部侵入等事件，輕則導(dǎo)致控制系統(tǒng)響應(yīng)變慢，重則導(dǎo)致控制系統(tǒng)不能操控、系統(tǒng)異常錯誤等問題，甚至有的企業(yè)發(fā)生裝置停工及其它嚴(yán)重后果。特別是最近出現(xiàn)的“超級工廠病毒”( Stuxnet )，專門針對工業(yè)控制系統(tǒng)進行破壞，對業(yè)界產(chǎn)生了極大的震動。石化企業(yè)事關(guān)國家能源供應(yīng)，社會影響大，對國家安全和社會穩(wěn)定具有重要的意義。面對這些新情況、新問題和新動向，必須加以分析研究。因此急需采用先進技術(shù)設(shè)計和組成生產(chǎn)專網(wǎng)，消除安全隱患，保證控制系統(tǒng)和生產(chǎn)裝置的正常運行。

2 企業(yè)生產(chǎn)數(shù)據(jù)集成的現(xiàn)狀分析

    2.1數(shù)據(jù)集成現(xiàn)狀與面臨的安全問題

    過程控制計算機系統(tǒng)一般分為DCS(集散控制系統(tǒng))、FCS(現(xiàn)場總線控制系統(tǒng))和PLC(可編程控制器系統(tǒng))等類型。隨著網(wǎng)絡(luò)技術(shù)的不斷發(fā)展，推動了過程控制計算機系統(tǒng)的發(fā)展，形成了復(fù)雜的工業(yè)控制網(wǎng)絡(luò)。石化企業(yè)的過程控制計算機系統(tǒng)應(yīng)用起步較早，在不同的裝置上，不同類型的控制系統(tǒng)都有大量應(yīng)用。

    石化企業(yè)管控一體化的系統(tǒng)集成經(jīng)歷了20余年的發(fā)展，逐步形成了管理網(wǎng)/控制網(wǎng)絡(luò)的2層結(jié)構(gòu)。實時數(shù)據(jù)庫作為管控一體化的基礎(chǔ)平臺，為控制系統(tǒng)與企業(yè)經(jīng)營管理系統(tǒng)搭建了橋梁，實時數(shù)據(jù)庫通過接口機和過程控制計算機系統(tǒng)相連接。接口機的功能是“上傳下訪”，向上與實時數(shù)據(jù)庫通信，接受服務(wù)器調(diào)度、響應(yīng)請求、轉(zhuǎn)發(fā)數(shù)據(jù);向下與控制系統(tǒng)通信，發(fā)出請求、獲得數(shù)據(jù)、緩存數(shù)據(jù)。實時數(shù)據(jù)庫與過程控制計算機系統(tǒng)的接口機是整個系統(tǒng)的關(guān)鍵。

    隨著過程控制計算機系統(tǒng)中DCS, FCS和PLC的分類被淡化，各種類型互相取長補短，技術(shù)上融合發(fā)展�？刂凭W(wǎng)絡(luò)的結(jié)構(gòu)由私有、專用網(wǎng)絡(luò)向?qū)哟位�、�?biāo)準(zhǔn)化發(fā)展，控制網(wǎng)絡(luò)的協(xié)議也由私有協(xié)議轉(zhuǎn)向工業(yè)以太網(wǎng)協(xié)議�？刂葡到y(tǒng)的外部接口從非標(biāo)接口向標(biāo)準(zhǔn)接口發(fā)展，逐步統(tǒng)一于OPC標(biāo)準(zhǔn)，人機接口的操作系統(tǒng)也向微軟視窗等通用操作系統(tǒng)轉(zhuǎn)變。

    過程控制計算機系統(tǒng)的安全問題主要是由系統(tǒng)結(jié)構(gòu)變化和數(shù)據(jù)集成產(chǎn)生的川。系統(tǒng)面臨來自管理網(wǎng)絡(luò)上普遍存在的病毒、木馬、特定攻擊。由于人機接口采用視窗操作系統(tǒng)，存在BUG缺陷，需要根據(jù)不定期發(fā)布的補丁包來進行更新，以保障系統(tǒng)的安全。制造商和維護單位要求開放互聯(lián)網(wǎng)訪問，對系統(tǒng)進行維護診斷處理的外部訪問，也具有安全隱患。另外，人機接口設(shè)備的開放性，包括通用的光驅(qū)、軟驅(qū)、USB和富余的網(wǎng)絡(luò)接口，都易成為破壞性入口點。

    2.2數(shù)據(jù)接口機的安全問題

    在2層網(wǎng)絡(luò)結(jié)構(gòu)中，實時數(shù)據(jù)庫與過程控制計算機系統(tǒng)之間的接口機是整個系統(tǒng)的關(guān)鍵。接口機在實際應(yīng)用中普遍存在分布式和集中式2種模式，如圖1所示。

    分布式接口機一側(cè)與管理網(wǎng)連接，另一側(cè)與控制系統(tǒng)直接連接，每個接口對應(yīng)一套控制系統(tǒng)，又稱本地雙網(wǎng)卡接口模式。當(dāng)接口通信故障時需要技術(shù)人員到現(xiàn)場處理，系統(tǒng)維護很不方便。系統(tǒng)集成的安全性全部依賴于接口機，主要的安全隱患來自管理網(wǎng)絡(luò)，系統(tǒng)風(fēng)險高。集中式接口機根據(jù)集中程度又分為區(qū)域集中和全集中.接口機兩側(cè)都利用管理網(wǎng)絡(luò)傳輸信息，接口通信故障時不需要技術(shù)人員到現(xiàn)場處理，維護操作方便。但是控制網(wǎng)絡(luò)與管理網(wǎng)絡(luò)完全連通，系統(tǒng)集成的安全性差，系統(tǒng)風(fēng)險高。

    上述2種接口機都存在安全風(fēng)險。每一個接口都連接一套控制系統(tǒng)，這樣每一個接口就是一條通道，就是一個安全風(fēng)險點，只有確保了所有的通道安全才能保障通往關(guān)聯(lián)控制系統(tǒng)的安全。

圖1 2種類型的數(shù)據(jù)接口方案

3 生產(chǎn)專網(wǎng)的設(shè)計

    在明確相關(guān)系統(tǒng)的分界面后，從內(nèi)因外因兩方面入手，以接口機為關(guān)鍵點，對生產(chǎn)專網(wǎng)進行設(shè)計和部署，以保障控制系統(tǒng)的安全。生產(chǎn)專網(wǎng)的設(shè)計需要考慮安全性、經(jīng)濟性、專業(yè)化、先進性等原則。

    3.1企業(yè)網(wǎng)絡(luò)的功能劃分與生產(chǎn)專網(wǎng)的形成

    管理網(wǎng)絡(luò)是企業(yè)公共基礎(chǔ)平臺，承載了企業(yè)資源計劃系統(tǒng)、綜合辦公事務(wù)處理系統(tǒng)、企業(yè)門戶、郵件和互聯(lián)網(wǎng)訪問等綜合管理信息系統(tǒng)，為各類經(jīng)營管理人員辦公提供網(wǎng)絡(luò)系統(tǒng)。

    工業(yè)控制系統(tǒng)自成體系，構(gòu)成控制網(wǎng)絡(luò)，依據(jù)內(nèi)部功能劃分從底向上依次為I/O層、控制通信層和操作信息層。為保障控制網(wǎng)絡(luò)的體系完整性和功能獨立性，利用操作信息層接口，在不改變控制網(wǎng)絡(luò)的體系結(jié)構(gòu)前提下進行信息集成。

    實時數(shù)據(jù)庫系統(tǒng)與控制網(wǎng)絡(luò)進行通信，面對各種控制系統(tǒng)的接口設(shè)備，為調(diào)度、設(shè)備、安全和生產(chǎn)人員提供實時信息，掌握生產(chǎn)動態(tài)，進行調(diào)度指揮。實時數(shù)據(jù)庫系統(tǒng)和企業(yè)綜合信息管理系統(tǒng)也有差別，服務(wù)對象不同、應(yīng)用目標(biāo)不同。為此，將實時數(shù)據(jù)庫系統(tǒng)的網(wǎng)絡(luò)環(huán)境從管理網(wǎng)絡(luò)中分離出來，企業(yè)網(wǎng)絡(luò)按功能進行分區(qū)設(shè)計，分為管理網(wǎng)絡(luò)、生產(chǎn)專網(wǎng)和控制網(wǎng)絡(luò)3層結(jié)構(gòu)，每2層之間通過防火墻進行隔離，如圖2所示。

圖2 企業(yè)網(wǎng)絡(luò)層次結(jié)構(gòu)圖

    3.2生產(chǎn)專網(wǎng)的設(shè)計

    生產(chǎn)專網(wǎng)結(jié)構(gòu)如圖3所示，建立了物理上獨立的生產(chǎn)專用網(wǎng)絡(luò)，采用核心和接入2層網(wǎng)絡(luò)架構(gòu)，采用雙路由的方式，網(wǎng)絡(luò)地址與管理網(wǎng)地址相互獨立、自成體系，并采用雙核心交換機、專用網(wǎng)管系統(tǒng)，網(wǎng)絡(luò)設(shè)備具有端口管理功能。

圖3 二期建設(shè)中通信專網(wǎng)建設(shè)拓撲圖

    增加生產(chǎn)專網(wǎng)這一個層次，將管理網(wǎng)和控制網(wǎng)路分離，進行物理和邏輯隔離，兩者不再直接連接，從管理網(wǎng)到控制網(wǎng)路要穿透生產(chǎn)專網(wǎng)，增加了訪問難度，從而提高了安全性。

    生產(chǎn)專網(wǎng)實現(xiàn)了與管理網(wǎng)只有一個接口通過防火墻進行隔離。在DMZ區(qū)為管理網(wǎng)提供信息服務(wù)和數(shù)據(jù)訪問代理;每套控制系統(tǒng)只有一個外部接口，連接點在控制系統(tǒng)的操作信息網(wǎng)絡(luò)上對應(yīng)設(shè)備的網(wǎng)絡(luò)端口，通過防火墻隔離。

    通過生產(chǎn)專網(wǎng)的設(shè)計，控制網(wǎng)絡(luò)中的各個控制系統(tǒng)只與生產(chǎn)專網(wǎng)相聯(lián)接，與管理網(wǎng)絡(luò)沒有直接通道。每套控制系統(tǒng)與生產(chǎn)專網(wǎng)只有一個點對點的物理接口，從而阻斷了來自管理網(wǎng)絡(luò)上普遍存在的病毒、木馬、特定攻擊等的直接威脅。

    3.3控制網(wǎng)絡(luò)的信息安全管理

    雖然徽軟視窗操作系統(tǒng)針對各種BUG缺陷會不定期發(fā)布補丁包，但需要用戶進行更新才能解決缺陷問題。而控制系統(tǒng)人機接口采用的視窗操作系統(tǒng)是由制造商進行了專用化改造的定制系統(tǒng)，系統(tǒng)投用后運行相對穩(wěn)定的情況下，不用更新也能滿足系統(tǒng)正常使用，沒有及時更新的必要性，即使要更新，也需要在制造商測試后發(fā)布更新公告時才能進行系統(tǒng)更新。因此，系統(tǒng)補丁更新應(yīng)通過手動更新方式進行。

    對于通過互聯(lián)網(wǎng)訪問企業(yè)控制系統(tǒng)來進行故障診斷和系統(tǒng)維護處理的要求，則不應(yīng)該滿足此項要求。對控制系統(tǒng)的診斷維護必須先進行測試，遠程維護處理在制度上是不允許的。人機接口設(shè)備具有開放性和通用性，易成為破壞性入侵點，則必須關(guān)閉有關(guān)接口設(shè)備。

4 基于虛擬化的技術(shù)方案

    隨著云技術(shù)的飛速發(fā)展，網(wǎng)絡(luò)、計算和存儲的性能不斷提高，作為云技術(shù)基礎(chǔ)之一的虛擬化技術(shù)獲得越來越廣泛的應(yīng)用閱。在生產(chǎn)專網(wǎng)的應(yīng)用中引入了虛擬化技術(shù)，建立私有云平臺。

    首先采用虛擬交換機構(gòu)成虛擬網(wǎng)絡(luò)平臺間。虛擬交換機的網(wǎng)絡(luò)功能較為簡單，內(nèi)置大量的虛擬端口。生產(chǎn)專網(wǎng)按照2層網(wǎng)絡(luò)設(shè)計，則在虛擬平臺網(wǎng)絡(luò)環(huán)境中也對應(yīng)建成2層網(wǎng)絡(luò)架構(gòu)。因此，虛擬交換機也分為2種類型，一種是提供虛擬服務(wù)器和虛擬接口機的網(wǎng)絡(luò)連接，即核心交換機;一種是用來連接外部控制系統(tǒng)的，即接入交換機。

    由于實體交換機配置了防火墻模塊，因此為虛擬交換機也配置虛擬防火墻，還設(shè)置DMZ區(qū)，并利用防火墻的規(guī)則進行隔離和控制。

    其次在虛擬計算中，所有接口的“上傳”功能是一致的、標(biāo)準(zhǔn)的，接口的“下訪”功能則有差別，訪問的控制系統(tǒng)不同、通信協(xié)議不一致。隨著通信協(xié)議的歸一化(OPC)提高，接口間的差別縮小，接口標(biāo)準(zhǔn)化程度高，適合采用虛擬機實現(xiàn)。

    在高性能服務(wù)器集群平臺上，采用虛擬技術(shù)，應(yīng)用虛擬軟件，在物理平臺上建立虛擬接口群，為每套控制系統(tǒng)分配一臺虛擬接口機。建立虛擬服務(wù)器群，為各類服務(wù)器按需分配一臺虛擬機，建立域控、授權(quán)、實時數(shù)據(jù)庫、WEB、開發(fā)測試、備份和網(wǎng)管等服務(wù)器。實體接口機和服務(wù)器的安全管理同樣適用于虛擬計算環(huán)境.對虛擬接口機與控制網(wǎng)絡(luò)的邏輯接口通過虛擬防火墻進行隔離和訪問控制，對虛擬服務(wù)器進行主機加固。對虛擬接口機群和服務(wù)器群統(tǒng)一部署安全策略，實現(xiàn)防病毒、補丁分發(fā)和端口控制;制定系統(tǒng)備份恢復(fù)策略，提高系統(tǒng)的應(yīng)急處置能力。

    對于虛擬存儲，則通過建立IP SAN物理存儲平臺來實現(xiàn).利用端口聚合功能，擴大吞吐量，依據(jù)應(yīng)用的存儲需求進行容量分配和管理策略。在網(wǎng)絡(luò)和計算虛擬化以后，為虛擬服務(wù)器、虛擬接口機分配存儲。

5 案例應(yīng)用

    某石化企業(yè)有生產(chǎn)裝置so余套，其中過程控制計算機系統(tǒng)有50多套，但是控制系統(tǒng)應(yīng)用品牌繁雜、版本各異。目前在用的控制系統(tǒng)有32套，包括Honeywell的PKS/TDC3000, YOKOGAWA的X1/CS 1000/CS3000、和利時的MACS、浙江中控的ECS 100等類型。上述過程控制系統(tǒng)相互獨立，分散在企業(yè)的煉油、化肥、化纖、熱電等生產(chǎn)區(qū)域。企業(yè)數(shù)據(jù)集成系統(tǒng)進行了多次擴容和完善，從“分布”到“集中”，其中對控制系統(tǒng)的安全保障主要是基于接口機的雙網(wǎng)卡、私有地址，保障安全的技術(shù)本質(zhì)沒有改變。

    由于企業(yè)管理網(wǎng)絡(luò)環(huán)境的日益復(fù)雜，控制系統(tǒng)不安全事件則時有發(fā)生。為了確�？刂葡到y(tǒng)的安全、提升系統(tǒng)整體的安全性，采用本文提出的3層網(wǎng)絡(luò)結(jié)構(gòu)，建設(shè)了生產(chǎn)專網(wǎng)，進行了虛擬化應(yīng)用改造。改造后的整個系統(tǒng)拓撲如圖4所示。

圖4 改造后的系統(tǒng)拓撲圖

    企業(yè)建成了獨立的生產(chǎn)專網(wǎng)，采用2臺H3C 7506E通過VRRP協(xié)議實現(xiàn)核心設(shè)備冗余備份;插配H3CSecBlade FW萬兆防火墻模塊實現(xiàn)與管理網(wǎng)隔離、各個VLAN之間的隔離、與控制系統(tǒng)的隔離，采用iMC網(wǎng)絡(luò)管理平臺對生產(chǎn)專網(wǎng)進行管理和監(jiān)控;通過VMware Esx系列軟件進行虛擬化，采用2臺DELL 8900做虛擬服務(wù)器群替代9臺服務(wù)器，采用3臺DELL 8710做虛擬接口機群替代32臺接口機，接口機分配虛擬資源為1個CPU2G內(nèi)存，15 G存儲空間，2個網(wǎng)絡(luò)接口分成2個VLAN。每個虛擬接口機與一套控制系統(tǒng)相對應(yīng)，采用遠程連接實現(xiàn)，對虛擬接口機進行統(tǒng)一防病毒，打補丁更新，以及訪問地址、端口和協(xié)議的控制等安全策略的部署。

    通過實際應(yīng)用，在技術(shù)上提升了控制網(wǎng)絡(luò)的安全，收到了很好的效果，保障了控制系統(tǒng)的安全;減少了物理服務(wù)器和接口機的使用數(shù)量，降低了設(shè)備采購費用、備件消耗、人工維護成本、能源消耗，取得了直接經(jīng)濟效益和節(jié)能減排成效。

6 結(jié)論

    石化企業(yè)目前普遍采用管理網(wǎng)控制網(wǎng)絡(luò)的2層結(jié)構(gòu)，本文在分析2層網(wǎng)絡(luò)結(jié)構(gòu)存在的問題、結(jié)合部分企業(yè)出現(xiàn)的一些安全事故案例的基礎(chǔ)上，提出了管理網(wǎng)/生產(chǎn)專網(wǎng)腔制網(wǎng)絡(luò)的3層網(wǎng)絡(luò)結(jié)構(gòu)，并對生產(chǎn)專網(wǎng)進行了較詳細的設(shè)計，利用虛擬化技術(shù)開展了生產(chǎn)專網(wǎng)的建設(shè)和應(yīng)用，取得了一定成效。本文取得的經(jīng)驗可以為有關(guān)企業(yè)提供借鑒。

核心關(guān)注：拓步ERP系統(tǒng)平臺是覆蓋了眾多的業(yè)務(wù)領(lǐng)域、行業(yè)應(yīng)用，蘊涵了豐富的ERP管理思想，集成了ERP軟件業(yè)務(wù)管理理念，功能涉及供應(yīng)鏈、成本、制造、CRM、HR等眾多業(yè)務(wù)領(lǐng)域的管理，全面涵蓋了企業(yè)關(guān)注ERP管理系統(tǒng)的核心領(lǐng)域，是眾多中小企業(yè)信息化建設(shè)首選的ERP管理軟件信賴品牌。

轉(zhuǎn)載請注明出處：拓步ERP資訊網(wǎng)http://www.oesoe.com/

本文標(biāo)題：基于虛擬化技術(shù)的石化企業(yè)生產(chǎn)專網(wǎng)的設(shè)計與應(yīng)用

本文網(wǎng)址：http://www.oesoe.com/html/support/1112159572.html