控制系統與網關隔離數據傳輸
前言：本站為你精心整理了控制系統與網關隔離數據傳輸范文，希望能為你的創作提供參考價值，我們的客服老師可以幫助你提供個性化的參考范文，歡迎咨詢。
1.數據網絡風險分析
網絡拓撲結構設計會直接影響到網絡系統的安全性。如果在外部和內部網絡進行通信或兩個不同范圍的內部網通訊時,內部網絡的機器安全就有可能受到另一個與之相連網絡的威脅,同時也影響在同一網絡上的許多其他系統。透過網絡傳播,還會影響到連上Internet/Intarnet的其他的網絡;因此,在網絡設計時就必須將公開服務器(I。、WEB、DNS、EMALI等)和外網及內部其它業務網絡進行必要的隔離,避免網絡結構信息外泄;同時還要對外網的服務請求加以過濾,只允許正常通信的數據包到達相應主機,其它的請求服務在到達主機之前就應該遭到拒絕(如圖1)雙鉆網浴PJj御體承出通常的網路隔離手段有以下幾種:1)訪問控制:對用戶訪問網絡資源的權限進行嚴格的認證和控制。例如,進行用戶身份認證,對口令加密、更新和鑒別,設置用戶訪問目錄和文件的權限,控制網絡設備配置的權限,等等。2)數據加密:加密是保護數據安全的重要手段。數據加密是對網絡中傳輸的數據進行加密,到達目的地后再解密還原為原始數據,保障信息即使被人截獲后也不能讀懂其含義。3)其他措施:包括信息過濾、容錯、數據鏡像、數據備份和審計等;防止計算機網絡病毒,安裝網絡防病毒系統;網絡中架設硬件防火墻技術,防火墻技術是通過對網絡的隔離和限制訪問等方法來控制網絡的訪問權限。但即便如此,也無法保證所有的網絡數據威脅都能被安全的隔離在主傳播網絡,因為任何過濾手段都只能判斷已定義的數據偽裝和傳輸規則,對不能被規則定義識別的威脅就被通過了,于是安全隱患便產生了。
2.網關的主要功能
網關的英文名稱是Gatweya。在采用不同體系結構或協議的網絡之間進行互通時,網關(Gatweya)用于提供協議轉換、路由選擇、數據交換等網絡兼容功能的設施。網關(Gatweya)也稱網間連接器、協議轉換器。網關在傳輸層上用以實現網絡互連,是最復雜的網絡互連設備,僅用于兩個高層協議不同的網絡互連。網關既可以用于廣域網互連,也可以用于局域網互連。網關是一種充當轉換重任的計算機系統或設備。在使用不同的通信協議、數據格式或語言,甚至體系結構完全不同的兩種系統之間,網關是一個翻譯器。與網橋只是簡單地傳達信息不同,網關對收到的信息要重新打包,以適應目的系統的需求。同時,網關也可以提供過濾和安全功能。另外,網關也不同于網絡安全措施中的加密,因為加密是將一組數據通過整包捆綁并附加相對比較復雜解包口令,或將要發送的數據逐句按特定的算法轉換成另一種無法直接被理解的代碼,然后在接收方再將這組代碼通過算法反推回原始數據。而且存在加密成本過高,運算速度冗長,通用性差等問題。.
3.1數據轉發國內某國際機場中航油油庫(以下簡稱為接收方)加油自控系統因為業務需要,要與油品供應單位(以下簡稱為供應方)建立數據對接,對接的目的是為了使供應方和接收方互相了解油品輸送過程中雙方設備的運行狀況,和管路壓力變化情況,以記錄憋壓或跑油等事故發生時的設備情況,以便建立更為有效的管理制度。接收方在得到公司采購部門下達的油品接收管道輸送收油通知后,開始檢查油庫庫容情況,在油庫有可接收的倉儲油罐(即空罐)后,接收方按順序打開空罐入口閥門一)過濾器入口閥門一)收油總管進口閥門(如圖2)。供應方在接收到接收方準備完成,可以接收航空油料的指令后,供應方啟動加油泵,開始向接收方進行長輸管道供油作業。雙方在整個過程中要密切關注收油路由上的各閥門狀態、供油總管壓力、收油總管壓力、收油油罐液位和油泵運行狀態等參數。當在供油作業中收油油路閥門關閉了,會導致收油總管壓力和供油總管壓力突然升高,輕則因為壓力突變憋停加油泵造成設備損壞,重則會造成管道連接處破裂,油品外泄,導致資產流失和環境破壞。當設備運行正常時,收油總管壓力和供油總管壓力突降時,能及時發現輸油管道泄油故障等。供應方與接受方在地理位置上相距約200公里,雙方在各自的區域上都建立有自己的局域網自動化控制系統。兩套系統各自獨立,分別雙方各自獨立管理,但在雙方業務交割的過程中都需要了解對方的部分業務數據(如圖3)。
3.2網絡隔離配置在傳統作業中,雙方為了保證各自網絡和系統的安全運行,不能將網絡資源共享給對方,以便在安全上盡量減少隱患的發生。雙方通過電話分時分段向對方匯報各自系統情況,但一旦出現問題,雙方都無法追溯故障發生原因,雙方數據對接變得非常必要。在這種情況下,網關就利用了自身協議轉換、網絡互連、數據轉發的功能。首先在接收方和供應方直接敷設一根光纖網絡,并在雙方系統間增加一臺網關。網關上有三個以太網通訊端口,分別設置成三個不同的網段。一個作為I程師編程維護端口設置為一個網段(例如:192.168.1.1。。);另一個作為接收方與網關通訊的數據端口設置為一個網段(例如:192.168.2.1。。),最后一個作為供應方與網關通訊的數據端口設置為一個網段(例如:1哭.168.3.100)。這樣,就可以解決三個接入系統不在同一網段需要路由接入網關的情況。如果,三個端口都在同一網段,也不用擔心這三個系統互相之間可以訪問,因為這三個端口不同于交換機和HUB,它們之間是不能通過TCP/IP協議互相訪問的,三個端口互相隔離。I程師通過編程維護端口對該網關進行通訊編程。在整個編程和維護過程中,I程師在自己的編程客戶端(筆記本電腦,平板電腦,即A等)設備上要安裝該網關的編程軟件授權(軟件狗或硬件狗),然后再通過該網關專用的編程軟件進行編程,并將程序下裝到網關中運行。網關本身不具備在線編程,只具備程序運行功能。這不同與路由器,交換機和網橋等網絡設備,可以通過訪問機器編程端口在線配置網絡地址,路由轉發,數據過濾等功能。I程師修改編程網關必須同時具備:
1)訪問網關的終端設備與網關在同一網段,以保證該終端能訪問網關:2)訪問網關的終端設備上安裝有與該網關匹配的編程軟件;
3)訪問網關的終端設備上要有驅動網關編程軟件的軟件授權(軟件狗或硬件狗)。
3.3通訊協議接收方通過另一個網關端口,將油罐液位、油罐收油油路閥門狀態、總入口收油壓力等數據通過。dbus協議(或其他協議,例如:。Pc協議,IEC6O87O一101/103/104和國家電力行業標準DL/T645等將該部分數據實時寫入到網關中。這些數據都各自有獨立的。dbus(或其他協議,例如;。CP協議,IEC6O87于101/103/104和國家電力行業標準DL/T645等訪問地址,而且是只讀地址。網關不能通過該地址向接收方控制系統寫入數據(這是I業通訊協議的特性,讀寫地址分離),只能讀取和被讀取接收方系統已經提供數據地址的數據的內容。供應方可以通過最后一個通訊端口讀取該網關已經獲取的接受方數據。供應方不直接從接受方系統數據,而是由網關數據轉發讀取的。同理,供應方通過最后一個網絡端口,將加油泵狀態,加油總管壓力等數據通過。dbus(或其他協議,例如:。CP協議,IEc6o87。-101/103/104和國家電力行業標準DL/T645等)協議寫入網關,供接收方讀取。整個過程,雙方都不能直接讀取對方系統,各自仍然是獨立的,但同時又都能于網關通訊。網關起到了數據轉發和隔離的功能。
4.結束語
通過網關隔離實現數據轉發,在物理層上實現了多系統間的數據安全對接。通過網關自身的協議轉換功能,網絡通訊功能,可以按需求擴展配置多個以太網端口,多個Rs232/Rs485串口,以及少量模擬數據信號采集I/O控制點。通過網關隔離在多個系統間實現了數據安全對接,而且技術實施無需對生產系統進行任何組態和修改,避免技術風險,為節能環保、能源管理EMS、自動化信息化兩化融合提供了更多的解決方案。
作者：李睿金雪飛王加奎單位：中國自動化控制系統總公司
