日本在线www-日本在线播放一区-日本在线不卡免费视频一区-日本在线不卡视频-成人影院久久久久久影院-成人影院一区二区三区

王宏善 羅克韋爾自動(dòng)化（中國）有限公司

為了增加靈活性和提高生產(chǎn)效率，制造商在他們的工業(yè)自動(dòng)化和控制系統(tǒng)中采用開放網(wǎng)絡(luò)標(biāo)準(zhǔn)。使用開放標(biāo)準(zhǔn)網(wǎng)絡(luò)的益處之一就是具有遠(yuǎn)程訪問自動(dòng)化系統(tǒng)的能力。工程人員和合作伙伴可以共享工廠數(shù)據(jù)、應(yīng)用和資源，而與他們的物理位置無關(guān)。

這種靈活性對當(dāng)今的制造商而言是非常重要的，因?yàn)樘岣呷蚧芰徒档蜕a(chǎn)成本，需要共享信息數(shù)據(jù)和快速解決生產(chǎn)中的問題，這對每個(gè)制造商都是巨大的挑戰(zhàn)。本文就如何實(shí)現(xiàn)高度安全的遠(yuǎn)程訪問進(jìn)行了探討。

1　實(shí)施遠(yuǎn)程訪問的原則

當(dāng)允許遠(yuǎn)程訪問工廠數(shù)據(jù)和資源時(shí)，要堅(jiān)守一些原則。這些原則也被羅克韋爾自動(dòng)化開發(fā)的參考架構(gòu)所使用，包含在嚴(yán)格控制遠(yuǎn)程訪問自動(dòng)化和控制應(yīng)用的重要概念中。

1.1　使用IT認(rèn)可的用戶訪問、驗(yàn)證策略和訪問程序

對企業(yè)資源和服務(wù)的訪問要進(jìn)行監(jiān)視和記錄。企業(yè)應(yīng)該事先知道每個(gè)用戶的背景，并且分配一個(gè)獨(dú)有的帳號(hào)。用戶每次訪問網(wǎng)絡(luò)，要通過驗(yàn)證并且給予適當(dāng)在企業(yè)內(nèi)的授權(quán)。出于審計(jì)目的，對訪問要進(jìn)行跟蹤和記錄。對工廠現(xiàn)場數(shù)據(jù)和資源訪問的批準(zhǔn)，應(yīng)該遵照企業(yè)IT部門的流程進(jìn)行。

合作伙伴、遠(yuǎn)程工程師或供應(yīng)商采用其他方案（諸如：因特網(wǎng)直接訪問）訪問工廠和制造區(qū)，可能產(chǎn)生對工廠和企業(yè)網(wǎng)絡(luò)的風(fēng)險(xiǎn)，除非這些方案遵從IT的政策和流程。

1.2　只在工廠內(nèi)自動(dòng)化和控制協(xié)議

羅克韋爾自動(dòng)化參考架構(gòu)中的關(guān)鍵原則是“CIP只在工廠”使用。CIP、通用工業(yè)協(xié)議和其他核心的自動(dòng)化和控制協(xié)議，包括FactoryTalk實(shí)時(shí)數(shù)據(jù)、OPC-DA、Modbus TCP應(yīng)在工廠內(nèi)使用。這些運(yùn)行在設(shè)備上的協(xié)議，在安全防御上非常有限。因?yàn)楣S的流程是通過它們對自動(dòng)化設(shè)備實(shí)現(xiàn)啟動(dòng)、停止和操作，所以它們對工業(yè)自動(dòng)化和控制系統(tǒng)有舉足輕重的影響。

因此，自動(dòng)化和控制協(xié)議不應(yīng)該脫離工廠。在工廠里，自動(dòng)化和控制設(shè)備是在熟悉的物理邊界里，由工控人員安裝、操作和維護(hù)。對這個(gè)區(qū)域的協(xié)議限制，可以確保自動(dòng)化和控制設(shè)備在熟知的設(shè)備和應(yīng)用之間正常通信。另外，這些設(shè)備和應(yīng)用的用戶是經(jīng)過驗(yàn)證并對于他們的角色給予了相應(yīng)的授權(quán)。

這個(gè)原則也許在今后會(huì)重新考慮，因?yàn)榇嬖诘陌脖ＴO(shè)備（諸如防火墻）可以嚴(yán)格管轄來自制造區(qū)之外的自動(dòng)化和控制數(shù)據(jù)流。這會(huì)要求這些“應(yīng)用”防火墻具有一個(gè)適當(dāng)?shù)膽?yīng)用或協(xié)議知曉等級，可以對網(wǎng)絡(luò)部分通信包和數(shù)據(jù)部分充分檢查，建立設(shè)備的知名度和信任度。在現(xiàn)代企業(yè)級防火墻上實(shí)現(xiàn)這項(xiàng)技術(shù)之前，我們推薦自動(dòng)化和控制協(xié)議“只在制造區(qū)”使用。

1.3　控制應(yīng)用

工廠現(xiàn)場應(yīng)用考慮的要點(diǎn)是由遠(yuǎn)程伙伴或工程師控制應(yīng)用。當(dāng)遠(yuǎn)程訪問工廠現(xiàn)場時(shí)，做為一種最佳實(shí)踐，合作伙伴和遠(yuǎn)程工程師應(yīng)使用在控制應(yīng)用服務(wù)器上的自動(dòng)化和控制應(yīng)用版本（諸如FactoryTalk View或RSLogix 5000），原因如下：

使得工廠能夠嚴(yán)格地控制應(yīng)用程序的版本升級。

控制訪問的等級和遠(yuǎn)程人員的授權(quán)。使用安裝在遠(yuǎn)程系統(tǒng)的應(yīng)用（諸如FactoryTalk View）很難區(qū)分用戶是在本地還是在遠(yuǎn)程，這可能造成自動(dòng)化和控制協(xié)議離開制造區(qū)。

防止在遠(yuǎn)程系統(tǒng)的病毒或其他危險(xiǎn)影響制造區(qū)的應(yīng)用和系統(tǒng)。

在遠(yuǎn)程用戶的計(jì)算機(jī)上使用自動(dòng)化和控制應(yīng)用，對自動(dòng)化和控制會(huì)帶來極大的風(fēng)險(xiǎn)，作為最佳實(shí)踐，應(yīng)該避免這種情況發(fā)生。

1.4　沒有直接數(shù)據(jù)流

就像圖1中紅色拒絕圈所標(biāo)出的，在企業(yè)網(wǎng)和控制網(wǎng)之間，不允許有直接的數(shù)據(jù)流通過。如果存在交互必須要有兩個(gè)步驟，先把數(shù)據(jù)流引到IDMZ中的業(yè)務(wù)服務(wù)器當(dāng)中，然后再從此服務(wù)器送到控制網(wǎng)的設(shè)備當(dāng)中。

圖1 帶有工業(yè)隔離區(qū)的6層工廠結(jié)構(gòu)

在控制系統(tǒng)中，數(shù)據(jù)通訊按照上面描述的兩個(gè)階段進(jìn)行，因?yàn)閿?shù)據(jù)到生產(chǎn)控制系統(tǒng)之前，必須先在IDMZ中進(jìn)行驗(yàn)證。遠(yuǎn)程訪問控制網(wǎng)絡(luò)上的設(shè)備需要登錄，或至少通過一個(gè)堡壘服務(wù)器。遠(yuǎn)程訪問服務(wù)器像一條咽喉要道，遠(yuǎn)程訪問需要進(jìn)一步驗(yàn)證、登錄和過濾，才能到達(dá)那臺(tái)服務(wù)器。這就提供了深度的控制機(jī)制。

在這個(gè)架構(gòu)中，工業(yè)防火墻成為遠(yuǎn)程用戶與工廠自動(dòng)化和控制應(yīng)用之間的網(wǎng)關(guān)，嚴(yán)格管轄進(jìn)出每個(gè)區(qū)域的數(shù)據(jù)流，因而保持了最佳實(shí)踐。

1.5　關(guān)閉非工業(yè)協(xié)議端口

關(guān)閉非工業(yè)協(xié)議之外的端口，盡量減少對外開放的窗口，穿越一個(gè)防火墻再穿過另一個(gè)防火墻，如圖1所示。這就防止了蠕蟲，如：震網(wǎng)（Stuxnet）穿過上層防火墻，在工業(yè)隔離區(qū)感染系統(tǒng)，進(jìn)而在控制區(qū)域傳播病毒。

1.6　單通道入或出

從IDMZ通過低層防火墻進(jìn)入工廠的通道僅有一條，或進(jìn)或出。從企業(yè)網(wǎng)通過核心防火墻進(jìn)入IDMZ的通道也只有一條。

以上的原則其實(shí)包含了一個(gè)重要的概念，就是首先要嚴(yán)格控制對自動(dòng)化和控制應(yīng)用的遠(yuǎn)程訪問，而不是盲目信賴遠(yuǎn)程用戶在訪問工廠應(yīng)用時(shí)不做錯(cuò)事。

2　體系架構(gòu)

按照羅克韋爾自動(dòng)化參考架構(gòu)的原則，實(shí)施對工廠現(xiàn)場應(yīng)用和數(shù)據(jù)的高安全遠(yuǎn)程訪問，已成為要直接面對的問題。實(shí)現(xiàn)遠(yuǎn)程訪問要基于已經(jīng)存在架構(gòu)：

最佳實(shí)踐企業(yè)的遠(yuǎn)程工作方案，大多由IT部門負(fù)責(zé)實(shí)施和操作。

羅克韋爾自動(dòng)化融合工廠以太網(wǎng)的參考架構(gòu)，采用了在工業(yè)隔離區(qū)IDMZ部署工業(yè)防火墻的方案，使用工業(yè)防火墻管理和檢查出入IDMZ的數(shù)據(jù)流。

圖2 簡化的遠(yuǎn)程訪問架構(gòu)

圖2表示了一種遠(yuǎn)程訪問架構(gòu)的簡單版本。

IDMZ設(shè)計(jì)為：允許不在本地生產(chǎn)現(xiàn)場的用戶或應(yīng)用共享數(shù)據(jù)和應(yīng)用。這就意味著可以把關(guān)鍵數(shù)據(jù)復(fù)制到IDMZ的一個(gè)服務(wù)器中，使得在其他區(qū)域的用戶/應(yīng)用可以看見那些數(shù)據(jù)。IDMZ相當(dāng)于一個(gè)代理服務(wù)器，允許其他用戶間接連接網(wǎng)絡(luò)，讀取位于其他網(wǎng)絡(luò)區(qū)域中數(shù)據(jù)和應(yīng)用。

當(dāng)把數(shù)據(jù)復(fù)制到IDMZ時(shí)，數(shù)據(jù)在控制網(wǎng)和企業(yè)網(wǎng)之間快速而高效地傳輸。在實(shí)時(shí)訪問實(shí)際生產(chǎn)系統(tǒng)和應(yīng)用時(shí)，多數(shù)是要解決具體問題，收集實(shí)時(shí)信息，或進(jìn)行過程調(diào)節(jié)。遠(yuǎn)程訪問能力除了針對IDMZ使用的終端服務(wù)，還可以通過代理服務(wù)器實(shí)時(shí)連接安裝在控制網(wǎng)的專用遠(yuǎn)程訪問服務(wù)器，訪問自動(dòng)化和控制應(yīng)用。本文強(qiáng)調(diào)的安全機(jī)制，使得外部用戶對企業(yè)的訪問具有高度的安全，從企業(yè)網(wǎng)絡(luò)訪問外部的情況也一樣。

經(jīng)過互聯(lián)網(wǎng)，遠(yuǎn)程用戶（伙伴或雇員）也能通過遠(yuǎn)程訪問服務(wù)器訪問工業(yè)自動(dòng)化和控制系統(tǒng)。遠(yuǎn)程用戶的位置通常沒有高帶寬、低延時(shí)的連接?？梢圆捎妙愃剖菘蛻魴C(jī)，可以在低帶寬、大延時(shí)的網(wǎng)絡(luò)環(huán)境下較好地運(yùn)行。這里沒有提出任何帶寬或延時(shí)的要求，也沒有探究任何管理或監(jiān)視應(yīng)用在低帶寬、大延時(shí)情況下的性能。

3　羅克韋爾自動(dòng)化的解決方案

羅克韋爾自動(dòng)化融合企業(yè)以太網(wǎng)的參考架構(gòu)包括下面組件：

（1）工業(yè)防火墻：Stratix5950工業(yè)防火墻提供了對關(guān)鍵區(qū)域的防衛(wèi)，包括工業(yè)隔離區(qū)IDMZ的定義和保護(hù)。工業(yè)防火墻可以實(shí)現(xiàn)多種先進(jìn)功能，包括防火墻功能，諸如有狀態(tài)（stateful）包檢查、應(yīng)用級防火墻和DPI協(xié)議檢查。Stratix5950還可以加入更多的先進(jìn)功能，諸如侵入檢測和防護(hù)、VPN功能等。選用相適應(yīng)、多功能防火墻是建立牢固的區(qū)域防衛(wèi)、達(dá)到預(yù)防目標(biāo)的一個(gè)重要步驟。

（2）CPwE體系架構(gòu)：安全網(wǎng)絡(luò)平臺(tái)可集成多種安保功能的應(yīng)用，這對控制網(wǎng)和企業(yè)網(wǎng)都很重要，諸如虛擬局域網(wǎng)VLAN，訪問控制列表ACL，端口安全特性和網(wǎng)絡(luò)保護(hù)特性。

（3）遠(yuǎn)程訪問服務(wù)器：在控制網(wǎng)的房間內(nèi)安裝遠(yuǎn)程訪問服務(wù)器，僅用于遠(yuǎn)程工程師和合作伙伴對自動(dòng)化和控制應(yīng)用的訪問。遠(yuǎn)程訪問服務(wù)器是一種專用的物理服務(wù)器，具有相應(yīng)的終點(diǎn)安保功能。作為一種專用服務(wù)器，它可以配置在一條專用的遠(yuǎn)程訪問VLAN中，能夠很好地管理進(jìn)出服務(wù)器的數(shù)據(jù)流。

（4）生產(chǎn)的控制和信息：為整個(gè)工廠生產(chǎn)控制系統(tǒng)設(shè)計(jì)的一個(gè)公共控制和信息平臺(tái)，羅克韋爾自動(dòng)化的集成架構(gòu)是一個(gè)控制和信息架構(gòu)，由Logix硬件控制平臺(tái)和FactoryTalk生產(chǎn)與管理系列軟件組成，支持EtherNet/IP和其他開放標(biāo)準(zhǔn)。FactoryTalk由模塊化生產(chǎn)策略和多個(gè)服務(wù)平臺(tái)組成， 通過EtherNet/IP緊密地與Logix控制平臺(tái)結(jié)合。Logix可編程自動(dòng)化控制器是一種單一的控制架構(gòu)，提供了離散量、變頻器、運(yùn)動(dòng)控制、連續(xù)流程和批次生產(chǎn)控制系統(tǒng)。

（5）使用羅克韋爾自動(dòng)化的Stratix 5410核心管理型交換機(jī)：羅克韋爾自動(dòng)化的工業(yè)以太網(wǎng)交換機(jī)使用Logix固件為工業(yè)控制人員提供可以在RSLOGIX5000中編程和組態(tài)，同時(shí)還提供web界面為IT人員所熟悉，同時(shí)為用戶配備了簡單的安裝方法和基于羅克韋爾自動(dòng)化集成架構(gòu)的完整診斷信息。

4　結(jié)語

在工業(yè)自動(dòng)化和控制系統(tǒng)中，采用開放網(wǎng)絡(luò)標(biāo)準(zhǔn)，為制造商提高生產(chǎn)力和快速響應(yīng)生產(chǎn)過程中的突發(fā)事件，創(chuàng)造了新的機(jī)會(huì)。使用標(biāo)準(zhǔn)網(wǎng)絡(luò)技術(shù)，諸如用以太網(wǎng)和TCP/IP連接自動(dòng)化和控制系統(tǒng)，制造商可以實(shí)時(shí)與遠(yuǎn)程的工程師和合作伙伴共享工廠的數(shù)據(jù)、應(yīng)用和資源。這些能力是非常重要的，因?yàn)橹圃焐踢\(yùn)行在更復(fù)雜和全球化的環(huán)境下，系統(tǒng)需要保持每周7天、每天24小時(shí)的可用性?；谒伎坪土_克韋爾自動(dòng)化融合工廠以太網(wǎng)參考架構(gòu)的遠(yuǎn)程訪問，為制造商在恰當(dāng)?shù)臅r(shí)間提供了正確的方法和資源，與他們的物理位置無關(guān)。這樣可以在生產(chǎn)運(yùn)行過程中實(shí)現(xiàn)高效率、少停機(jī)和低成本。

作者簡介

王宏善（1978-），男，天津人，高級程序員，碩士，現(xiàn)任羅克韋爾自動(dòng)化（中國）有限公司客戶與服務(wù)部門網(wǎng)絡(luò)安全服務(wù)產(chǎn)品經(jīng)理，主要研究方向?yàn)楣I(yè)網(wǎng)絡(luò)安全的攻擊與防御。

摘自《工業(yè)控制系統(tǒng)信息安全》?？谒妮?/span>