1 引言

    石化企業(yè)生產工藝過程復雜，過程控制計算機系統(tǒng)應用普及，具有高溫高壓、易燃易爆、有毒有害、自動化程度高的特點。傳統(tǒng)的過程控制計算機系統(tǒng)以滿足生產現(xiàn)場操作管理為目標，是一個封閉系統(tǒng)。隨著網(wǎng)絡技術、計算機技術和控制技術的快速發(fā)展，集成生產過程信息實現(xiàn)企業(yè)管控一體化系統(tǒng)成為必然選擇。通過多年的信息集成實踐，石化企業(yè)基本上形成了管理網(wǎng)/控制網(wǎng)絡的2層網(wǎng)絡結構。

    當封閉的過程控制計算機系統(tǒng)面對開放的網(wǎng)絡集成環(huán)境時，系統(tǒng)出現(xiàn)了邊界模糊、界線消失的新問題，部分石化企業(yè)的控制系統(tǒng)出現(xiàn)了病毒、木馬、外部侵入等事件，輕則導致控制系統(tǒng)響應變慢，重則導致控制系統(tǒng)不能操控、系統(tǒng)異常錯誤等問題，甚至有的企業(yè)發(fā)生裝置停工及其它嚴重后果。特別是最近出現(xiàn)的“超級工廠病毒”( Stuxnet )，專門針對工業(yè)控制系統(tǒng)進行破壞，對業(yè)界產生了極大的震動。石化企業(yè)事關國家能源供應，社會影響大，對國家安全和社會穩(wěn)定具有重要的意義。面對這些新情況、新問題和新動向，必須加以分析研究。因此急需采用先進技術設計和組成生產專網(wǎng)，消除安全隱患，保證控制系統(tǒng)和生產裝置的正常運行。

2 企業(yè)生產數(shù)據(jù)集成的現(xiàn)狀分析

    2.1數(shù)據(jù)集成現(xiàn)狀與面臨的安全問題

    過程控制計算機系統(tǒng)一般分為DCS(集散控制系統(tǒng))、FCS(現(xiàn)場總線控制系統(tǒng))和PLC(可編程控制器系統(tǒng))等類型。隨著網(wǎng)絡技術的不斷發(fā)展，推動了過程控制計算機系統(tǒng)的發(fā)展，形成了復雜的工業(yè)控制網(wǎng)絡。石化企業(yè)的過程控制計算機系統(tǒng)應用起步較早，在不同的裝置上，不同類型的控制系統(tǒng)都有大量應用。

    石化企業(yè)管控一體化的系統(tǒng)集成經(jīng)歷了20余年的發(fā)展，逐步形成了管理網(wǎng)/控制網(wǎng)絡的2層結構。實時數(shù)據(jù)庫作為管控一體化的基礎平臺，為控制系統(tǒng)與企業(yè)經(jīng)營管理系統(tǒng)搭建了橋梁，實時數(shù)據(jù)庫通過接口機和過程控制計算機系統(tǒng)相連接。接口機的功能是“上傳下訪”，向上與實時數(shù)據(jù)庫通信，接受服務器調度、響應請求、轉發(fā)數(shù)據(jù);向下與控制系統(tǒng)通信，發(fā)出請求、獲得數(shù)據(jù)、緩存數(shù)據(jù)。實時數(shù)據(jù)庫與過程控制計算機系統(tǒng)的接口機是整個系統(tǒng)的關鍵。

    隨著過程控制計算機系統(tǒng)中DCS, FCS和PLC的分類被淡化，各種類型互相取長補短，技術上融合發(fā)展。控制網(wǎng)絡的結構由私有、專用網(wǎng)絡向層次化、標準化發(fā)展，控制網(wǎng)絡的協(xié)議也由私有協(xié)議轉向工業(yè)以太網(wǎng)協(xié)議。控制系統(tǒng)的外部接口從非標接口向標準接口發(fā)展，逐步統(tǒng)一于OPC標準，人機接口的操作系統(tǒng)也向微軟視窗等通用操作系統(tǒng)轉變。

    過程控制計算機系統(tǒng)的安全問題主要是由系統(tǒng)結構變化和數(shù)據(jù)集成產生的川。系統(tǒng)面臨來自管理網(wǎng)絡上普遍存在的病毒、木馬、特定攻擊。由于人機接口采用視窗操作系統(tǒng)，存在BUG缺陷，需要根據(jù)不定期發(fā)布的補丁包來進行更新，以保障系統(tǒng)的安全。制造商和維護單位要求開放互聯(lián)網(wǎng)訪問，對系統(tǒng)進行維護診斷處理的外部訪問，也具有安全隱患。另外，人機接口設備的開放性，包括通用的光驅、軟驅、USB和富余的網(wǎng)絡接口，都易成為破壞性入口點。

    2.2數(shù)據(jù)接口機的安全問題

    在2層網(wǎng)絡結構中，實時數(shù)據(jù)庫與過程控制計算機系統(tǒng)之間的接口機是整個系統(tǒng)的關鍵。接口機在實際應用中普遍存在分布式和集中式2種模式，如圖1所示。

    分布式接口機一側與管理網(wǎng)連接，另一側與控制系統(tǒng)直接連接，每個接口對應一套控制系統(tǒng)，又稱本地雙網(wǎng)卡接口模式。當接口通信故障時需要技術人員到現(xiàn)場處理，系統(tǒng)維護很不方便。系統(tǒng)集成的安全性全部依賴于接口機，主要的安全隱患來自管理網(wǎng)絡，系統(tǒng)風險高。集中式接口機根據(jù)集中程度又分為區(qū)域集中和全集中.接口機兩側都利用管理網(wǎng)絡傳輸信息，接口通信故障時不需要技術人員到現(xiàn)場處理，維護操作方便。但是控制網(wǎng)絡與管理網(wǎng)絡完全連通，系統(tǒng)集成的安全性差，系統(tǒng)風險高。

    上述2種接口機都存在安全風險。每一個接口都連接一套控制系統(tǒng)，這樣每一個接口就是一條通道，就是一個安全風險點，只有確保了所有的通道安全才能保障通往關聯(lián)控制系統(tǒng)的安全。

圖1 2種類型的數(shù)據(jù)接口方案

3 生產專網(wǎng)的設計

    在明確相關系統(tǒng)的分界面后，從內因外因兩方面入手，以接口機為關鍵點，對生產專網(wǎng)進行設計和部署，以保障控制系統(tǒng)的安全。生產專網(wǎng)的設計需要考慮安全性、經(jīng)濟性、專業(yè)化、先進性等原則。

    3.1企業(yè)網(wǎng)絡的功能劃分與生產專網(wǎng)的形成

    管理網(wǎng)絡是企業(yè)公共基礎平臺，承載了企業(yè)資源計劃系統(tǒng)、綜合辦公事務處理系統(tǒng)、企業(yè)門戶、郵件和互聯(lián)網(wǎng)訪問等綜合管理信息系統(tǒng)，為各類經(jīng)營管理人員辦公提供網(wǎng)絡系統(tǒng)。

    工業(yè)控制系統(tǒng)自成體系，構成控制網(wǎng)絡，依據(jù)內部功能劃分從底向上依次為I/O層、控制通信層和操作信息層。為保障控制網(wǎng)絡的體系完整性和功能獨立性，利用操作信息層接口，在不改變控制網(wǎng)絡的體系結構前提下進行信息集成。

    實時數(shù)據(jù)庫系統(tǒng)與控制網(wǎng)絡進行通信，面對各種控制系統(tǒng)的接口設備，為調度、設備、安全和生產人員提供實時信息，掌握生產動態(tài)，進行調度指揮。實時數(shù)據(jù)庫系統(tǒng)和企業(yè)綜合信息管理系統(tǒng)也有差別，服務對象不同、應用目標不同。為此，將實時數(shù)據(jù)庫系統(tǒng)的網(wǎng)絡環(huán)境從管理網(wǎng)絡中分離出來，企業(yè)網(wǎng)絡按功能進行分區(qū)設計，分為管理網(wǎng)絡、生產專網(wǎng)和控制網(wǎng)絡3層結構，每2層之間通過防火墻進行隔離，如圖2所示。

圖2 企業(yè)網(wǎng)絡層次結構圖

    3.2生產專網(wǎng)的設計

    生產專網(wǎng)結構如圖3所示，建立了物理上獨立的生產專用網(wǎng)絡，采用核心和接入2層網(wǎng)絡架構，采用雙路由的方式，網(wǎng)絡地址與管理網(wǎng)地址相互獨立、自成體系，并采用雙核心交換機、專用網(wǎng)管系統(tǒng)，網(wǎng)絡設備具有端口管理功能。

圖3 二期建設中通信專網(wǎng)建設拓撲圖

    增加生產專網(wǎng)這一個層次，將管理網(wǎng)和控制網(wǎng)路分離，進行物理和邏輯隔離，兩者不再直接連接，從管理網(wǎng)到控制網(wǎng)路要穿透生產專網(wǎng)，增加了訪問難度，從而提高了安全性。

    生產專網(wǎng)實現(xiàn)了與管理網(wǎng)只有一個接口通過防火墻進行隔離。在DMZ區(qū)為管理網(wǎng)提供信息服務和數(shù)據(jù)訪問代理;每套控制系統(tǒng)只有一個外部接口，連接點在控制系統(tǒng)的操作信息網(wǎng)絡上對應設備的網(wǎng)絡端口，通過防火墻隔離。

    通過生產專網(wǎng)的設計，控制網(wǎng)絡中的各個控制系統(tǒng)只與生產專網(wǎng)相聯(lián)接，與管理網(wǎng)絡沒有直接通道。每套控制系統(tǒng)與生產專網(wǎng)只有一個點對點的物理接口，從而阻斷了來自管理網(wǎng)絡上普遍存在的病毒、木馬、特定攻擊等的直接威脅。

    3.3控制網(wǎng)絡的信息安全管理

    雖然徽軟視窗操作系統(tǒng)針對各種BUG缺陷會不定期發(fā)布補丁包，但需要用戶進行更新才能解決缺陷問題。而控制系統(tǒng)人機接口采用的視窗操作系統(tǒng)是由制造商進行了專用化改造的定制系統(tǒng)，系統(tǒng)投用后運行相對穩(wěn)定的情況下，不用更新也能滿足系統(tǒng)正常使用，沒有及時更新的必要性，即使要更新，也需要在制造商測試后發(fā)布更新公告時才能進行系統(tǒng)更新。因此，系統(tǒng)補丁更新應通過手動更新方式進行。

    對于通過互聯(lián)網(wǎng)訪問企業(yè)控制系統(tǒng)來進行故障診斷和系統(tǒng)維護處理的要求，則不應該滿足此項要求。對控制系統(tǒng)的診斷維護必須先進行測試，遠程維護處理在制度上是不允許的。人機接口設備具有開放性和通用性，易成為破壞性入侵點，則必須關閉有關接口設備。

4 基于虛擬化的技術方案

    隨著云技術的飛速發(fā)展，網(wǎng)絡、計算和存儲的性能不斷提高，作為云技術基礎之一的虛擬化技術獲得越來越廣泛的應用閱。在生產專網(wǎng)的應用中引入了虛擬化技術，建立私有云平臺。

    首先采用虛擬交換機構成虛擬網(wǎng)絡平臺間。虛擬交換機的網(wǎng)絡功能較為簡單，內置大量的虛擬端口。生產專網(wǎng)按照2層網(wǎng)絡設計，則在虛擬平臺網(wǎng)絡環(huán)境中也對應建成2層網(wǎng)絡架構。因此，虛擬交換機也分為2種類型，一種是提供虛擬服務器和虛擬接口機的網(wǎng)絡連接，即核心交換機;一種是用來連接外部控制系統(tǒng)的，即接入交換機。

    由于實體交換機配置了防火墻模塊，因此為虛擬交換機也配置虛擬防火墻，還設置DMZ區(qū)，并利用防火墻的規(guī)則進行隔離和控制。

    其次在虛擬計算中，所有接口的“上傳”功能是一致的、標準的，接口的“下訪”功能則有差別，訪問的控制系統(tǒng)不同、通信協(xié)議不一致。隨著通信協(xié)議的歸一化(OPC)提高，接口間的差別縮小，接口標準化程度高，適合采用虛擬機實現(xiàn)。

    在高性能服務器集群平臺上，采用虛擬技術，應用虛擬軟件，在物理平臺上建立虛擬接口群，為每套控制系統(tǒng)分配一臺虛擬接口機。建立虛擬服務器群，為各類服務器按需分配一臺虛擬機，建立域控、授權、實時數(shù)據(jù)庫、WEB、開發(fā)測試、備份和網(wǎng)管等服務器。實體接口機和服務器的安全管理同樣適用于虛擬計算環(huán)境.對虛擬接口機與控制網(wǎng)絡的邏輯接口通過虛擬防火墻進行隔離和訪問控制，對虛擬服務器進行主機加固。對虛擬接口機群和服務器群統(tǒng)一部署安全策略，實現(xiàn)防病毒、補丁分發(fā)和端口控制;制定系統(tǒng)備份恢復策略，提高系統(tǒng)的應急處置能力。

    對于虛擬存儲，則通過建立IP SAN物理存儲平臺來實現(xiàn).利用端口聚合功能，擴大吞吐量，依據(jù)應用的存儲需求進行容量分配和管理策略。在網(wǎng)絡和計算虛擬化以后，為虛擬服務器、虛擬接口機分配存儲。

5 案例應用

    某石化企業(yè)有生產裝置so余套，其中過程控制計算機系統(tǒng)有50多套，但是控制系統(tǒng)應用品牌繁雜、版本各異。目前在用的控制系統(tǒng)有32套，包括Honeywell的PKS/TDC3000, YOKOGAWA的X1/CS 1000/CS3000、和利時的MACS、浙江中控的ECS 100等類型。上述過程控制系統(tǒng)相互獨立，分散在企業(yè)的煉油、化肥、化纖、熱電等生產區(qū)域。企業(yè)數(shù)據(jù)集成系統(tǒng)進行了多次擴容和完善，從“分布”到“集中”，其中對控制系統(tǒng)的安全保障主要是基于接口機的雙網(wǎng)卡、私有地址，保障安全的技術本質沒有改變。

    由于企業(yè)管理網(wǎng)絡環(huán)境的日益復雜，控制系統(tǒng)不安全事件則時有發(fā)生。為了確保控制系統(tǒng)的安全、提升系統(tǒng)整體的安全性，采用本文提出的3層網(wǎng)絡結構，建設了生產專網(wǎng)，進行了虛擬化應用改造。改造后的整個系統(tǒng)拓撲如圖4所示。

圖4 改造后的系統(tǒng)拓撲圖

    企業(yè)建成了獨立的生產專網(wǎng)，采用2臺H3C 7506E通過VRRP協(xié)議實現(xiàn)核心設備冗余備份;插配H3CSecBlade FW萬兆防火墻模塊實現(xiàn)與管理網(wǎng)隔離、各個VLAN之間的隔離、與控制系統(tǒng)的隔離，采用iMC網(wǎng)絡管理平臺對生產專網(wǎng)進行管理和監(jiān)控;通過VMware Esx系列軟件進行虛擬化，采用2臺DELL 8900做虛擬服務器群替代9臺服務器，采用3臺DELL 8710做虛擬接口機群替代32臺接口機，接口機分配虛擬資源為1個CPU2G內存，15 G存儲空間，2個網(wǎng)絡接口分成2個VLAN。每個虛擬接口機與一套控制系統(tǒng)相對應，采用遠程連接實現(xiàn)，對虛擬接口機進行統(tǒng)一防病毒，打補丁更新，以及訪問地址、端口和協(xié)議的控制等安全策略的部署。

    通過實際應用，在技術上提升了控制網(wǎng)絡的安全，收到了很好的效果，保障了控制系統(tǒng)的安全;減少了物理服務器和接口機的使用數(shù)量，降低了設備采購費用、備件消耗、人工維護成本、能源消耗，取得了直接經(jīng)濟效益和節(jié)能減排成效。

6 結論

    石化企業(yè)目前普遍采用管理網(wǎng)控制網(wǎng)絡的2層結構，本文在分析2層網(wǎng)絡結構存在的問題、結合部分企業(yè)出現(xiàn)的一些安全事故案例的基礎上，提出了管理網(wǎng)/生產專網(wǎng)腔制網(wǎng)絡的3層網(wǎng)絡結構，并對生產專網(wǎng)進行了較詳細的設計，利用虛擬化技術開展了生產專網(wǎng)的建設和應用，取得了一定成效。本文取得的經(jīng)驗可以為有關企業(yè)提供借鑒。

核心關注：拓步ERP系統(tǒng)平臺是覆蓋了眾多的業(yè)務領域、行業(yè)應用，蘊涵了豐富的ERP管理思想，集成了ERP軟件業(yè)務管理理念，功能涉及供應鏈、成本、制造、CRM、HR等眾多業(yè)務領域的管理，全面涵蓋了企業(yè)關注ERP管理系統(tǒng)的核心領域，是眾多中小企業(yè)信息化建設首選的ERP管理軟件信賴品牌。

轉載請注明出處：拓步ERP資訊網(wǎng)http://www.sdyuan.com/

本文標題：基于虛擬化技術的石化企業(yè)生產專網(wǎng)的設計與應用

本文網(wǎng)址：http://www.sdyuan.com/html/support/1112159572.html