煤化工智能工厂安全一体化设计--中国期刊网

字体：大中小

首页> 原创作品> 正文

煤化工智能工厂安全一体化设计

发表时间：2020/10/15 来源：《基层建设》2020年第19期作者：谢智伟段雄飞

[导读] 摘要：针对煤化工行业智能化工厂的工控信息安全需求，本文通过分析其行业特点与核心需求，阐述了一种以一体化为核心的解决方案。

        陕西煤业化工集团神木天元化工有限公司陕西神木 719319
        摘要：针对煤化工行业智能化工厂的工控信息安全需求，本文通过分析其行业特点与核心需求，阐述了一种以一体化为核心的解决方案。该方案通过对煤化工智能工厂网络架构进行整体划分，划分为多层进行安全防护布置，同时保留其整体性，配合相关安全管理措施，实现整体工控安全一体化的设计。
        关键词：煤化工智能工厂；信息安全；安全一体化
        一、煤化工行业信息安全现状
        1）复杂的工控系统与网络安全防护结合的难题由于煤化工行业流程工艺复杂，各类业务系统与设备复杂多样，加上与工业物联网、工业互联网、云计算、工业大数据平台等新一代信息技术的融合，使得整体工业控制系统的复杂程度与防护难度提升到了一个新的高度。面对种类繁多的智能设备与系统，如何在保证个体安全的同时，保证整体工业控制系统的稳定性与安全防护性能，是实现煤化工行业工控信息安全的核心。
        2）安全防护与管理体系相融合的问题
        对于新型的智能化工厂，数字化、智能化所打破的不仅仅是数据上的壁垒，还有管理体系之间的壁垒。原本相对封闭独立的业务管理体系被打破，各个业务系统间的管理边界变得模糊，若不对管理体系进行针对性改进，在实际管理实施中必然会现漏洞与空白。因此，如何建立统一、高效的网络安全管理体系，明确职责划分与管理边界，亦是工控系统安全防护的一大难点。
        3）网络安全防护对工控系统自身的影响
        目前，现有的网络安全防护仅仅考虑了网络安全的风险分析与防护，而缺乏网络安全防护对工控系统自身所造成影响的有效评估。如何在不影响工业控制系统自身功能安全的同时，保证网络安全防护的可靠性，以及如何在实际工业控制系统中开展风险分析，也是亟需考虑的问题。
        二、一体化网络安全防护设计
        2.1防护设计原则
        1）由点到面提高整体系统安全性
        所有设备系统自身内置安全功能是提高整体系统安全性的关键，通过加密通信、通信健壮性、平台可信增强、数据监管等方式，实现对常见网络安全攻击的防御。通过对单一设备的网络安全性能的把控，来提高整体工业控制系统的网络安全性能。
        2）建立多层次纵深防御系统
        煤化工智能工厂包含联合裂解装置、聚乙烯装置、合成氨及PSA装置、全厂空气氮气系统等多类工控装置与系统，采用OPC协议、Modbus协议、MISgate协议等多种工控协议进行通讯。
        面对上述现场环境，单一的安全防护手段不能很好地进行抵御和防范。因此，通过建立多层次的纵深防御系统，协同运用多种安全防护措施，建立相对复杂的网络安全防护系统与网络安全防护策略，从而全面提升自身的网络安全防护复杂度，全方面提高系统对各类攻击的防护能力，尽可能地避免由于单一的网络机制被攻陷，而导致的网络瘫痪以及其他网络安全问题。
        3）定期执行风险分析
        风险分析是识别工业控制系统整体安全漏洞及其可能造成结果的有效手段。通过定期风险，有效把控整体系统的安全性与可靠性，根据结果进行针对性调整，扼杀潜在的安全风险，防范于未然。
        2.2工控安全防护方案
        1）内生安全主动防御
        控制系统采用内生安全主动防御设计，保证系统本身具备基本信息安全防护能力。针对聚乙烯、联合裂解等易燃易爆的生产工艺设备，通过采用阿基里斯2级认证的中控ECS-700系统，提高通讯健壮性与可靠性，确保系统在攻击情况下的正常运行。同时，遵循白名单防护的设计思路，设计通讯协议栈，禁用无用端口和服务，抵御针对系统服务漏洞的攻击。

期刊文章分类查询,尽在期刊图书馆

        2）系统安全加固
        采用基于白名单的可信操作站卫士，通过对计算机的优化配置、操作系统的相关设置、计算机的应用规范管理以及程序、进程的白名单控制，对生产控制系统如DCS系统、ITCC系统、SIS系统等的上位机、服务器进行防护，以白名单的技术方式监控工控主机的进程状态、网络端口状态、USB端口状态，全方位地保护主机的资源使用。根据白名单的配置，可信操作站卫士禁止非法进程的运行，禁止非法网络端口的打开与服务，禁止非法USB设备的接入，从而切断病毒和木马的传播与破坏路径，有效防止病毒源从外部输入，保证上位机正常指令的顺利下发和生产相关的业务与进程的正常执行。
        2.3数据中心建设
        智能工厂生产制造时，全局工程师站与全局监控站通过各类工控系统采集监控生产装置的生产数据与智能仪表数据，所涉及的OPC、MISgate等服务，其服务器通常架设于物理机服务器，资源监控方法繁琐，发生故障难以快速恢复。而虚拟化的服务器相较于物理服务器，具有较好的可恢复性、可备份性，资源监控便捷的特点。
        三、工控安全管理措施
        3.1安全管理制度
        通过借鉴国际先进的风险管控理念，结合现有网络安全防护方案的网络区块划分的特点，对不同的生产装置、系统、业务制定切合的安全策略与管理制度，同时明确全厂的网络安全工作原则与目标，组织相关人员学习。对于裂解装置等高温高压、易燃易爆的危险生产装置，严格规范管理操作流程，编写作业指导书，定期组织培训与考核。
        3.3安全建设管理
        根据不同工艺与业务需求，针对性调整安全防护措施，做到与工业控制系统同步策划、同步实施、同步验收、同步投运，实现防护方案与工控系统的高度契合。编写相关设备系统操作说明手册，并对相关操作人员、工程人员、管理人员进行定期培训审查，提高相关责任人的安全防范意识。严格执行安全管理政策，关键岗位进行背景调研，不使用未经审核的第三方设备。有毒有害、易燃易爆等危险装置的控制系统，采用阿基里斯通讯2级认证等级的中控ECS-700系统，保证通讯健壮性与可靠性。
        3.4运维管理
        1）设立区域负责人
        通过设立各区域网络运维负责人，定期对工控系统软件、应用软件、数据备份、软件备份等进行维护管理，定期巡检各个系统设备的安全审计日志，针对性调整安全策略。
        2）制定运维管理规范
        根据工业和信息化部印发的《工业控制系统信息安全防护指南》，结合煤制油生产试车实际情况，制订并升级了《电仪车间仪表机柜间管理办法》《电仪车间巡回检查管理办法》《烯烃二分公司生产装置联锁管理规定（试行）》等相关管理规定。依照规定严格规范生产管理流程，定期组织相关人员培训学习，降低违规操作带来的安全风险。严格规范移动存储设备的使用，严禁未经允许的设备接入系统造成病毒感染。
        3）完善权限管理制度
        设立完善账户管理制度，依据最小权限分配原则对区域负责人、操作员、观察员等账户进行权限细分，确保账户与人员匹配对应；根据职责划分具体权限，定期对权限账户进行审核比对；针对高危装置设施，严格执行权限审核与背景调研，以书面方式详细记录具体操作事由与操作过程，严禁未经审批的操作修改。
        四、结束语
        本文从多个角度对煤化工行业的安全防护需求进行了分析，结合现场实际生产管理时的特点，简要阐述了一种一体化的网络安全防护解决方案。该解决方案优点在于将复杂多样的工控系统网络安全问题简化，由点到面逐步实现整体网络安全，结合成熟完善的管理措施，能够有效应对实际生产过程中的网络安全问题。在此基础上，如何在嵌入式等性能较弱的平台下，应用更高效的网络安全防护技术，以及可信技术、区块链技术等新兴技术的合理运用等问题，仍是今后需着重研究的方向。
        参考文献：
        [1]美国国家标准与技术研究院.工业控制系统安全指南：NISTSP800-82[S].北京：国家标准出版社，2012.
        [2]国际电工委员会.工业通讯网络网络和系统安全性：IEC62443[S].2010.
        [3]国家质量技术监督局.计算机信息系统安全等级保护划分准则：GB17859-1999[S].1999.