久久久91-久久久91精品国产一区二区-久久久91精品国产一区二区三区-久久久999国产精品-久久久999久久久精品

    控制系統(tǒng)已不單純用于工業(yè)生產(chǎn)的控制，更是一個(gè)具有綜合控制、管理、信息化功能的完整復(fù)雜的大系統(tǒng)。
 

羅安 研究員級高級工程師，享受國家政府津貼專家

    曾任北京和利時(shí)系統(tǒng)工程股份有限公司總工程師。長期從事自動化控制系統(tǒng)的研究開發(fā)、工程應(yīng)用工作，七十年代開始研制實(shí)施用于生產(chǎn)過程的計(jì)算機(jī)控制系統(tǒng)，建成了我國第一批掌握自主知識產(chǎn)權(quán)的實(shí)用化控制系統(tǒng)。多次出國考察學(xué)習(xí)，將國外大量的新技術(shù)應(yīng)用于新系統(tǒng)開發(fā)。作為主人員開發(fā)的大慶煉油廠油品貯運(yùn)自動化系統(tǒng)、北京供電局電網(wǎng)調(diào)度自動化系統(tǒng)等曾獲國家科技進(jìn)步二等獎(jiǎng)、電子工業(yè)部科進(jìn)步一等獎(jiǎng)。從“九五”期間開始，致力于國家重大技術(shù)裝備控制系統(tǒng)的國產(chǎn)化、自主化，先后主持研究西氣東輸站場自動化控制系統(tǒng)、核電站計(jì)算機(jī)監(jiān)測系統(tǒng)的開發(fā)與應(yīng)用、三峽電站和梯級綜合自動化系統(tǒng)實(shí)施方案研究、新一代開放式數(shù)控系統(tǒng)開發(fā)、城市軌道交通綜合自動化等大型項(xiàng)目。擔(dān)任“九五”科技攻關(guān)秦山二期監(jiān)測系統(tǒng)開發(fā)的技術(shù)負(fù)責(zé)人，開發(fā)研究并形成了自主化的產(chǎn)品。該項(xiàng)目是國家“九五”期間優(yōu)秀科技攻關(guān)項(xiàng)目，于2004年獲電子信息產(chǎn)業(yè)科技進(jìn)步一等獎(jiǎng)，本人得到國家有關(guān)部委“九五”期間優(yōu)秀科技人員表彰。著有《分布式控制系統(tǒng)（DCS）設(shè)計(jì)與應(yīng)用實(shí)例》（第二作者2004年電子工業(yè)出版社）及《化工過程控制系統(tǒng)》（第二作者 2006年化學(xué)工業(yè)出版社）。

    在工業(yè)控制系統(tǒng)中，我們面臨兩類安全問題，一類是控制系統(tǒng)的功能安全，另一類則是控制系統(tǒng)的信息安全。

    在控制系統(tǒng)發(fā)展的初期，人們比較關(guān)注系統(tǒng)功能的實(shí)現(xiàn)。隨著系統(tǒng)規(guī)模的擴(kuò)大和功能復(fù)雜程度的增加，系統(tǒng)的可靠性和可用性顯得越來越重要，也越來越受到人們的關(guān)注。而到了現(xiàn)代，控制系統(tǒng)已不單純用于工業(yè)生產(chǎn)的控制，更是一個(gè)具有綜合控制、管理、信息化功能的完整復(fù)雜的大系統(tǒng)。因此，對現(xiàn)代控制系統(tǒng)來說，僅要求系統(tǒng)的功能性、可靠性和可用性是遠(yuǎn)遠(yuǎn)不夠的，還需要特別關(guān)注系統(tǒng)的安全性。

    控制系統(tǒng)的可靠性、可用性與安全性有著密切的關(guān)系，但它們卻是完全不同的概念。可靠性和可用性要求系統(tǒng)能夠長時(shí)間、不間斷地運(yùn)行，任何時(shí)間都不喪失系統(tǒng)的控制功能；而安全性則要求系統(tǒng)在出現(xiàn)異常情況（主要指系統(tǒng)運(yùn)行環(huán)境或運(yùn)行工況的異常，如生產(chǎn)設(shè)備出現(xiàn)故障或出現(xiàn)人為誤操作）時(shí)，系統(tǒng)能夠正確應(yīng)對，確保不出現(xiàn)危險(xiǎn)或事故。上面所講的系統(tǒng)安全性被稱為系統(tǒng)的功能安全（Safety或FunctionalSafety）。而對系統(tǒng)更進(jìn)一步的安全要求則是要求系統(tǒng)在遭受惡意破壞時(shí)具有有效的防護(hù)能力。如防止通過信息手段入侵系統(tǒng)，以造成系統(tǒng)無法正常運(yùn)行或核心機(jī)密信息被竊取，進(jìn)而造成嚴(yán)重事故的惡意行為。這類安全要求被稱為系統(tǒng)的信息安全（Security）。

    很顯然，控制系統(tǒng)的可靠性和可用性注重于系統(tǒng)自身；而系統(tǒng)的功能安全則注重包括被控設(shè)備、系統(tǒng)運(yùn)行環(huán)境及操作人員在內(nèi)的完整系統(tǒng)的完善性、有效性和健壯性；至于信息安全，則更注重防范來自外部的對于系統(tǒng)的安全威脅。

    衡量控制系統(tǒng)可靠性和可用性的指標(biāo)是MTBF、MTTF和MTTR，以及失效率λ和可用率A。

    衡量控制系統(tǒng)功能安全的指標(biāo)有兩個(gè)，一個(gè)用于低要求模式，其指標(biāo)為：在需要時(shí)（即在出現(xiàn)異常需要系統(tǒng)正確應(yīng)對時(shí)）的系統(tǒng)失效概率；另一個(gè)用于高要求模式，用系統(tǒng)失效的頻率表示，其單位是h-1，即每小時(shí)出現(xiàn)失效的次數(shù)。由于系統(tǒng)失效的頻率極低，通常在10-4/h到10-9/h，因此人們也常常用平均多少小時(shí)出現(xiàn)一次失效來表示系統(tǒng)的失效頻率。在國際標(biāo)準(zhǔn)中用“安全完整性等級”（SIL-Safety Integration Level）來衡量系統(tǒng)的功能安全，SIL可分為四個(gè)級別，即SIL1到SIL4，其中SIL 1最低，SIL 4最高。

    系統(tǒng)的信息安全是近年來才引起人們重視的新問題。在IT，即信息技術(shù)領(lǐng)域，信息安全是信息系統(tǒng)最重要的指標(biāo)之一，因此也有很多成熟的技術(shù)及衡量標(biāo)準(zhǔn)，如防病毒、防攻擊、身份識別與認(rèn)證、訪問權(quán)限控制等。而在工業(yè)控制領(lǐng)域，近年來隨著信息技術(shù)的廣泛應(yīng)用和控制系統(tǒng)日益網(wǎng)絡(luò)化，信息安全的問題才日益凸顯。由于工業(yè)控制系統(tǒng)的系統(tǒng)目標(biāo)、運(yùn)行模式，特別是實(shí)時(shí)性要求與信息系統(tǒng)有很大區(qū)別，因此其解決方案和衡量指標(biāo)也完全不同。針對工業(yè)控制系統(tǒng)的信息安全，國際上正在開展廣泛的研究，相應(yīng)的標(biāo)準(zhǔn)也在逐步制定。總之，工業(yè)控制系統(tǒng)的信息安全問題是當(dāng)前最活躍、發(fā)展最快的一個(gè)研究開發(fā)領(lǐng)域。

    大多數(shù)控制系統(tǒng)的網(wǎng)絡(luò)協(xié)議是專用的，即他們大多是封閉系統(tǒng)。從信息安全的角度看，封閉系統(tǒng)具有天然的安全性，因?yàn)檫@類系統(tǒng)不能接受來自外部的、本系統(tǒng)無法識別的任何信息，這樣就大大降低了從外部對系統(tǒng)進(jìn)行攻擊的危險(xiǎn)性。近年來越來越多的控制系統(tǒng)為克服“信息孤島”的問題而在控制系統(tǒng)的開放性方面做了大量改進(jìn)，如增加開放的網(wǎng)絡(luò)接口等，但對于系統(tǒng)內(nèi)部，基本上還是不開放的。雖然開放性加強(qiáng)了系統(tǒng)的功能，使控制系統(tǒng)能夠完成更多的工作并更加方便使用，但同時(shí)也帶來了日益嚴(yán)重的信息安全問題。

    目前IT領(lǐng)域開放的基礎(chǔ)是IP網(wǎng)絡(luò)協(xié)議（InternetProtocol），IP實(shí)際上是介于網(wǎng)絡(luò)傳輸（包括物理介質(zhì)）和互聯(lián)應(yīng)用之間的一個(gè)通用協(xié)議，互聯(lián)應(yīng)用依據(jù)IP將通信需求轉(zhuǎn)化為可以在物理介質(zhì)上傳輸?shù)臄?shù)據(jù)報(bào)文，而IP報(bào)文則可以通過多種不同物理介質(zhì)實(shí)現(xiàn)傳輸，這樣就實(shí)現(xiàn)了不同應(yīng)用間的互聯(lián)互通。由于IP是得到廣泛認(rèn)可的一個(gè)中間層協(xié)議，因此幾乎所有的高層協(xié)議和底層協(xié)議都支持IP，各種應(yīng)用均可以通過IP互相連接并實(shí)現(xiàn)通信，而IP則可通過各種不同通信介質(zhì)實(shí)現(xiàn)信息的物理網(wǎng)絡(luò)傳輸。毫無疑問，基于IP所實(shí)現(xiàn)的開放性大大擴(kuò)展了控制系統(tǒng)的功能和覆蓋范圍，但任何事物都具有兩面性，IP的開放性也為通過信息技術(shù)對控制系統(tǒng)進(jìn)行攻擊提供了有利條件。現(xiàn)在的問題是，我們?nèi)绾螕P(yáng)長避短，既能充分利用開放系統(tǒng)為我們帶來的好處，同時(shí)又能防范可能出現(xiàn)的外部攻擊和安全威脅，這就是信息安全要解決的問題。

    由于控制系統(tǒng)內(nèi)部一般是一個(gè)封閉系統(tǒng)，而只要我們能夠保證執(zhí)行控制功能的系統(tǒng)核心不受到侵犯，我們就可以保證控制系統(tǒng)的基本安全。為此我們需要清晰地在系統(tǒng)的關(guān)鍵核心控制功能部分與外部功能擴(kuò)展部分之間劃出一道邊界（boundary或border），采取各種手段來保證邊界內(nèi)的系統(tǒng)不受攻擊，以此來保證控制系統(tǒng)的信息安全。很顯然，一個(gè)封閉的控制系統(tǒng)核心有著清晰的邊界，而采用了開放技術(shù)的控制系統(tǒng)核心則很難清晰地劃定邊界，并且采用的開放技術(shù)越多，邊界就越難以劃定。目前不少系統(tǒng)為實(shí)現(xiàn)復(fù)雜的協(xié)調(diào)控制和數(shù)據(jù)共享功能，普遍采用了諸如OPC（Object linkingand embedding for Process Control）或DCOM（Distributed Component Object Model）這樣的技術(shù)，這就為劃定控制系統(tǒng)核心的邊界造成了不小的麻煩。近年來發(fā)展迅速的現(xiàn)場總線技術(shù)也是一種開放技術(shù)，特別是有些現(xiàn)場總線支持IP，這更增加了邊界劃分的難度。為了使控制系統(tǒng)核心具有清晰并防范嚴(yán)密的邊界，我們必須仔細(xì)地將系統(tǒng)核心的全部對外端口進(jìn)行標(biāo)識，包括各個(gè)通信端口、人機(jī)界面端口直至組態(tài)端口，并逐個(gè)確定每個(gè)端口的防范策略，必要時(shí)還要制定縱深防御策略，以確保能夠有效阻擋外部攻擊。

    雖然一個(gè)封閉的控制系統(tǒng)核心比較容易劃定邊界，但這也并不表明這樣的系統(tǒng)是放在保險(xiǎn)箱里的，因?yàn)橛行┒丝谌菀妆蝗撕雎裕蔀橄到y(tǒng)防線的薄弱環(huán)節(jié)。例如組態(tài)端口，如果通過組態(tài)端口向系統(tǒng)下裝了含有惡意攻擊的組態(tài)數(shù)據(jù)，就足以對控制系統(tǒng)造成嚴(yán)重危害。另外如人機(jī)界面終端，其移動存儲接口（如USB）就很容易成為引入攻擊的薄弱環(huán)節(jié)。有時(shí)外部攻擊并不表現(xiàn)為對系統(tǒng)數(shù)據(jù)的竊取或惡意篡改，而是簡單造成網(wǎng)絡(luò)風(fēng)暴或廣播風(fēng)暴，使系統(tǒng)網(wǎng)絡(luò)陷于癱瘓，也同樣會對系統(tǒng)造成嚴(yán)重危害。另外，在很多SCADA系統(tǒng)中，遠(yuǎn)程的數(shù)據(jù)和控制命令是通過廣域網(wǎng)進(jìn)行傳輸?shù)模行┥踔潦峭ㄟ^公共網(wǎng)絡(luò)進(jìn)行傳輸，這也是容易遭受攻擊的薄弱環(huán)節(jié)。

    與系統(tǒng)的功能安全不同，僅采用技術(shù)手段還不足以保證系統(tǒng)的信息安全，有時(shí)技術(shù)手段甚至不是保證信息安全的主要措施。對于一個(gè)重要、關(guān)鍵性、復(fù)雜、大型的控制系統(tǒng)，必須要有一套嚴(yán)格有效的安全管理規(guī)范，并切實(shí)執(zhí)行。目前最基本的安全管理包括授權(quán)管理和身份認(rèn)證，用于保證經(jīng)過授權(quán)的人員在其授權(quán)范圍內(nèi)對系統(tǒng)進(jìn)行操作，而拒絕非授權(quán)人員的操作及授權(quán)范圍以外的操作。這一點(diǎn)雖然簡單，但嚴(yán)格執(zhí)行卻并不容易。例如經(jīng)過授權(quán)的操作人員通過Password登錄系統(tǒng)后，就可以進(jìn)行系統(tǒng)操作，而這時(shí)如果其他人趁操作人員暫時(shí)離開操作終端的機(jī)會實(shí)施惡意的破壞性操作，就會造成對系統(tǒng)的破壞。對于諸如此類的管理性漏洞，必須要認(rèn)真、仔細(xì)、周到地進(jìn)行考慮并進(jìn)行實(shí)際場景的模擬分析，以發(fā)現(xiàn)漏洞并制定應(yīng)對措施。在系統(tǒng)的日常運(yùn)行中，還需要定期檢查執(zhí)行情況，并對管理規(guī)程進(jìn)行審核，以評估其有效性，發(fā)現(xiàn)問題及時(shí)修訂，保持管理規(guī)程的適用有效。

    總之，控制系統(tǒng)的信息安全并不是一個(gè)單純針對確定性風(fēng)險(xiǎn)的問題，而是一個(gè)面向不確定風(fēng)險(xiǎn)的難題。正因?yàn)槠涿鎸︼L(fēng)險(xiǎn)的不確定性，因此我們無法制定一套固定的技術(shù)措施和管理規(guī)程，并宣稱其能夠保證何種程度的信息安全。對此，信息安全的解決方案必定是一個(gè)持續(xù)不斷的過程，對于不斷變化的風(fēng)險(xiǎn)，不斷完善和強(qiáng)化防范策略，這樣才能確保系統(tǒng)的信息安全。

    另外，控制系統(tǒng)的信息安全不存在百分之百保證安全的可能，我們只能將控制系統(tǒng)保持在一個(gè)可接受的安全水平上，這個(gè)安全水平要根據(jù)被控對象的性質(zhì)、重要程度、對危害的承受能力以及對信息安全措施的合理投入而定。

    摘自 工業(yè)控制系統(tǒng)信息安全專刊