二次加壓供水設(shè)備控制系統(tǒng)安全隔離單元設(shè)計(jì).docx

1、二次加壓供水設(shè)備控制系統(tǒng)安全隔離單元設(shè)計(jì)張文皓，趙權(quán)益（浙江富萊迪環(huán)境設(shè)備有限責(zé)任公司.浙江寧波315000）摘要二次供水加壓設(shè)備通常由典型的工業(yè)控制系統(tǒng)運(yùn)行，一旦被黑客入侵，可能導(dǎo)致供水壓力被耳意提升，造成居民樓用水設(shè)施爆裂和“水漫金山”的災(zāi)雄性后果，因此二次供水泵站的監(jiān)控系統(tǒng)非常柬要.必須納入工業(yè)控制系統(tǒng)安全等級(jí)保護(hù)范圍.本文為二次供水設(shè)備設(shè)計(jì)了實(shí)用的安全隔離單元,己成功應(yīng)用于近百個(gè)二次供水泵房的遠(yuǎn)程監(jiān)控系統(tǒng)。（關(guān)健詞二次供水；自來(lái)水：工業(yè)控制：安全隔離中圖分類(lèi)號(hào)TQ文獻(xiàn)怵識(shí)碼A文章編號(hào)1007-1865（2018）21-0088-04DesignofControlSystemSafety

2、IsolationUnitforDrinkingWaterSecondaryPumpingStationsZhangWenhao.ZhaoQuanyi(ZhejiangFriendlyEnvironmentalEquipmentCompanyLtd.Ningbo315000.China)Abstract:Thesecondarypumpingstationofdrinkingwalerisusuallyoperatedunderatypicalindustrialcontrolsystem.Onceitishacked,thewatersupplypressurecouldbearbitrar

3、ilyraisedtounbearabledegreeanddisastrousconsequencesmighthappensuchasburstingofwatersupplypipesorfacilitiesandwaleroverflowinsidethewholeresidentialbuilding.Therefore,monitoringsystemofsecondarypumpingstationisofgreatimportanceandmustbeincludedinthesafetylevelprotectionscopeofindustrialcontrolsystem

4、.Inthispaper,severalsafetyisolationunitswerepracticallydesignedtoprovideproleciiontbrtheremotemonitoringsystemandsuccessfullyappliedinnearly100drinkingwatersecondarypumpingstations.Keywords:secondarypumpingstation：drinkingwatersupply：industrialcontrolsystem：safetyisolation1前言二次供水加壓設(shè)備在最初發(fā)展的幾十年里是在泵房?jī)?nèi)相

5、對(duì)獨(dú)立的運(yùn)行系統(tǒng)，與自來(lái)水公司管理系統(tǒng)是隔離的。但是隨者自來(lái)水公訶對(duì)實(shí)現(xiàn)管理與控制的一體化需求的增加，二次供水加壓設(shè)備控制系統(tǒng)和企業(yè)管理信息系統(tǒng)逐步實(shí)現(xiàn)門(mén)1絡(luò)化集成，管理信息網(wǎng)絡(luò)與生產(chǎn)控制網(wǎng)絡(luò)之間實(shí)現(xiàn)了數(shù)據(jù)交換.導(dǎo)致二次供水加壓設(shè)備控制系統(tǒng)不再是一個(gè)相對(duì)獨(dú)立運(yùn)行的系統(tǒng),而要與管理系統(tǒng)進(jìn)行互通、互聯(lián)。另外.PLC也在向以太網(wǎng)接口發(fā)展，開(kāi)放性越來(lái)越強(qiáng)，基于TCP/IP協(xié)議以太網(wǎng)通訊技術(shù)在該領(lǐng)域得到廣泛應(yīng)用.這樣很容易遭到來(lái)自企業(yè)管理網(wǎng)或互聯(lián)網(wǎng)的病毒、木馬以及黑客的攻擊。料二次供水泉房管理近幾年納入自來(lái)水公司的范圍，為加強(qiáng)管理，部分自來(lái)水公司實(shí)現(xiàn)了二次供水泵房遠(yuǎn)程監(jiān)控，實(shí)時(shí)學(xué)控各二次供水泵房的運(yùn)行情

6、況，但卻很少考慮到工控系統(tǒng)安全。DB3312051-2017智慧供排水信息系統(tǒng)安全技術(shù)規(guī)范明確炭定“第二級(jí)以上的工控網(wǎng)絡(luò)采用技術(shù)手段進(jìn)行物理隔離，必須做到其它任何網(wǎng)（也包括辦公網(wǎng)、互聯(lián)網(wǎng)等）都無(wú)法向工控網(wǎng)傳送任何指令和數(shù)據(jù)?！眱啥喂┧訅涸O(shè)備近些年實(shí)現(xiàn)了集中遠(yuǎn)程監(jiān)控，用到了大技的PLC（可編程控制器），這些系統(tǒng)都是工業(yè)控制系統(tǒng)，一旦被黑客入侵.就以修改出水壓力等參數(shù)，可能會(huì)將供水管網(wǎng)完全破壞掉，其后果極為嚴(yán)2二次供水設(shè)備遠(yuǎn)程監(jiān)控系統(tǒng)一般網(wǎng)絡(luò)架構(gòu)二次供水系站工控系統(tǒng)一般采用PLC（可編程控制器），也有少部分老產(chǎn)品采用單片機(jī).在通訊接口方面.一般有串口、以太網(wǎng)口，或兩占都有，新型的PLC般都自帶

7、以太網(wǎng)口在實(shí)現(xiàn)遠(yuǎn)程監(jiān)控網(wǎng)絡(luò)方式上，一般仃兩種，即GPRS/CDMA的無(wú)線通訊方式和VPN有線通訊方式?，F(xiàn)行大部分二次供水設(shè)備遠(yuǎn)程監(jiān)控網(wǎng)絡(luò)架構(gòu)如圖1所示。圖1二次供水設(shè)備遠(yuǎn)程監(jiān)控的典型網(wǎng)絡(luò)架構(gòu)Fig.lTypicalmethodsofremotemonitoringnetworkarchitectureforsecondarypumpingstation從圖I看出.我們把某房分為3類(lèi)：通過(guò)串I】以GPRS或CDMA的方式將數(shù)據(jù)上傳到二次供水調(diào)度中心“數(shù)據(jù)采集與實(shí)時(shí)監(jiān)控"計(jì)算機(jī).通過(guò)串1轉(zhuǎn)以太網(wǎng)設(shè)備將數(shù)據(jù)以仃線VPN的方式上傳到二次供水調(diào)度中心“數(shù)據(jù)采集與實(shí)時(shí)監(jiān)控”計(jì)算機(jī)。這類(lèi)方式適用第

8、-類(lèi)方式.無(wú)線到有線通訊方式的改造。直接將數(shù)據(jù)以有線VPN的方式上傳到二次供水調(diào)度中心“致?lián)杉c實(shí)時(shí)監(jiān)控”計(jì)算機(jī)。般的系統(tǒng)只講求如何實(shí)現(xiàn)二次供水設(shè)備的遠(yuǎn)程監(jiān)控，并沒(méi)有考慮到工控系統(tǒng)的安全問(wèn)題，黑客很容易通過(guò)辦公系統(tǒng)入侵并控制二次供水設(shè)備的運(yùn)行。3兩級(jí)隔離系統(tǒng)的設(shè)計(jì)為了加強(qiáng)二次供水設(shè)備監(jiān)控工業(yè)控制的安全措施，我們需要收犒日期）2018-10-10作芥簡(jiǎn)介張文的（1971.）.男.宇波小人.碩k研究生，主要研究方向?yàn)橛?jì)紹機(jī)技術(shù).對(duì)現(xiàn)仃的網(wǎng)絡(luò)系統(tǒng)進(jìn)行改造,針對(duì)三種不同的家站做現(xiàn)場(chǎng)I：控系拓?fù)浣Y(jié)構(gòu)見(jiàn)圖2.下面我們就現(xiàn)場(chǎng)匚控系統(tǒng)物理隔離和辦公網(wǎng)和統(tǒng)物理隔離,并在辦公網(wǎng)和監(jiān)控網(wǎng)之間做J'邏輯隔離

9、.系統(tǒng)網(wǎng)絡(luò)監(jiān)控網(wǎng)之間做了邏輯隔離作具體設(shè)計(jì).二次供水設(shè)備遠(yuǎn)程監(jiān)控二級(jí)網(wǎng)絡(luò)隔離辦公鞭機(jī)期2次機(jī)2M印以太Mil的Itc歡*采兼,實(shí)時(shí)mi?V；圖2系統(tǒng)網(wǎng)絡(luò)二級(jí)隔離拓?fù)浣Y(jié)構(gòu)圖Fig.2Topologicalstructurediagramof2-levelsisolationsafetyofcontrolsystem3.1二次供水泵房設(shè)備控制系統(tǒng)RS232串口通訊物理層隔離RS232T：.，以作：接收RXD、發(fā)送TXD、接地GND。常見(jiàn)的9針接口對(duì)應(yīng)為2、3、5:根接頭，在使用上,接線方法為2、3交叉.5直聯(lián)，如卜圖3所示，實(shí)現(xiàn)設(shè)備的雙向通訊。0RX+RX-TX*未用（數(shù)據(jù)接收正端）（數(shù)據(jù)接收負(fù)端

10、）（數(shù)據(jù)發(fā)送正端）5未用注6TX->7未用、8未用（數(shù)據(jù)發(fā)送負(fù)端）圖6RJ45接口DCE類(lèi)型引腳定義Fig.6PindefinitionofDCEtypeofRJ45interfaceo0圖3232串口雙向通訊Fig.3Two-waycommunicationof232serialport針對(duì)帶串口的PLC數(shù)據(jù)通訊，我們把PLC的接收RXD線去掉.這樣PLC只能上傳數(shù)據(jù).而不能接收命令,實(shí)現(xiàn)J'真正意義上的單向物理隔*.如圖4、圖5再通過(guò)PLC的232串口自由口編程，將PLC里要上傳的數(shù)據(jù)以規(guī)定的協(xié)議定期上傳就可以了從物理接口定義上來(lái)看，網(wǎng)線中的8根線實(shí)際只用到了4根.其中I、2

11、是接收，3、6是發(fā)送。在協(xié)議層,有兩種即基于連接的TCP和基于IF連接的UDP.很顯然采用TCP協(xié)議傳輸數(shù)據(jù).這四根線必不"少，若采用單向的UDP協(xié)議傳輸數(shù)據(jù).倒是可以省掉兩根線。我們正是利用這點(diǎn)實(shí)現(xiàn)了PLC端單向UDP上傳數(shù)據(jù)做到了真花童義上的物理單向隔離.如圖7所示:圖4串口無(wú)線傳輸模式物理隔離原理Fig.4Physicalisolationofserialportwithwirelesstransmissionmode圖5串口有線'P、傳輸模式物理隔離原理Fig.5PhysicalisolationofserialportwithcableVPNtransmission

12、mode3.2二次供水策房設(shè)簿控制系統(tǒng)以太網(wǎng)通訊物理層隔離以太網(wǎng)通訊物理層隔離的做法其實(shí)和232串口隔離足個(gè)思路.我們先來(lái)看石RJ45接口DCE類(lèi)型引腳定義.如圖6所示。交條機(jī)«Mii圖7RJ45接口單向隔離接線法Fig.7One-wayisolationofRJ45interfaceBLCiBIM口當(dāng)然物理隔離的代價(jià)是.我們只能遠(yuǎn)程監(jiān)測(cè)數(shù)據(jù)，而不能發(fā)任何控制命令。3.3與辦公系統(tǒng)的邏輸隔離辦公系統(tǒng)與工控網(wǎng)采取雙網(wǎng)卡邏輯隔離。共體方法如下：（1）數(shù)據(jù)庫(kù)web服務(wù)器上裝有雙網(wǎng)卡。在配置匕是不同的網(wǎng)段，與辦公網(wǎng)相連的網(wǎng)卡加入公用網(wǎng)絡(luò).與工控網(wǎng)相連的網(wǎng)卡加入專(zhuān)用網(wǎng)絡(luò)。（2）開(kāi)啟Window

13、s防火墻規(guī)則實(shí)現(xiàn)邏輯隔離。,aw»fWindow*幼大.,Hsaxhfifl9打開(kāi)Windoon仍火.圖8使用Windows防火單來(lái)常助保護(hù)S3的計(jì)機(jī)window*nxvwarmiMMncB.venxiinte»fw<«機(jī)，.0家威戒工作（專(zhuān)用）網(wǎng)題o）.。公用網(wǎng)8（P）開(kāi)啟雙網(wǎng)卡防火墻Fig.8Enabledfirewallofthedualnetworkcards在出站規(guī)則1.只保留如圖所示的幾條必須的規(guī)則。xw)am*)m(v)mmh)根據(jù)信息系統(tǒng)安全等級(jí)保護(hù)最小化端口規(guī)則專(zhuān)用網(wǎng)絡(luò)的高級(jí)防火墻入站規(guī)姻只開(kāi)放數(shù)據(jù)庫(kù)端口公用網(wǎng)絡(luò)的高級(jí)防火墻入站規(guī)則只開(kāi)放w

14、eb端口.指定IP訪問(wèn)這兩個(gè)端口。井旦這兩個(gè)端曰都不是系統(tǒng)玳認(rèn)的端口其它用不到的端口全部關(guān)閉。至于如何修改數(shù)據(jù)庫(kù)和web的玖認(rèn)端口.這里不再描述。r?'M8*SSSO-DNS(UDP-Out)»«OR*核g«!InternetS8WWhW(IGMPOut)K-OR*IPHHPS(TCP-Out)偵心網(wǎng)塔Teredo(UDP-Out)峰。網(wǎng)W0«oH«-S»KUEB*hi<(DMCPOu«)xwnanvMmoo*«xh)口".成計(jì)n肌上的睥安全四c名存«配心件巳禎COweHBC190

15、8公用S芝婿gOB«*】907S圖9最小化入站規(guī)則端口配置Fig.9PortconfigurationwithminimizedinboundrulejjtM機(jī)協(xié)昭oyh用域;姍ifflP.本地IT地址S。任何”培址on時(shí)下列”蛔tn：rfTw664|192168665圖10最小化可訪問(wèn)IP配置Fig.10IPconfigurationswithminimizedaccessibilityvtttmnw；QAWtHKI出Uf!圖11最小化出站規(guī)則端口配置Fig.l1Portconfigurationswithminimizedoutboundrule4數(shù)據(jù)通訊編程關(guān)于串口白山口編程，

16、己有很多實(shí)用的案例,在本文就不再描述。關(guān)fPLC以太網(wǎng)的UDP傳送數(shù)據(jù)，在實(shí)際工程中鮮有應(yīng)用.其實(shí)UDP編程過(guò)程作常簡(jiǎn)單，先綁定本地的IP端口.如10002,創(chuàng)建UDP食接字。以AB的CompactLogixPLC為例，創(chuàng)建UDP任接字是MSG指令完成的，如圖12、圖13。圖14指定了本地端口10002.UDP通訊方式.CreateSocketRequestLtonsENDNER消息消息控制Create_Sock_MSGQ圖12創(chuàng)建UDP套接字梯形圖代碼Fig.12CreationofUDPsockettrapezoiddiagramcodeFig.l3CreationoftheUDPsock

17、etparameterconfiguration-Cr#»t«_S«ck_iSC-SOCKET(.)(REQUEST.P.+SOCKETType2DecimalDINT1TCP.2-UDP-SOCKETAddrV'：；(.)(.SockAddr+SOCKETAddiFam2DecimalINTAddressMu;»be2+SOCKETAddrPort10002DecimalINTPortNumber+SOCKETAddrAddc0DecimalDINTIPAddress圖14UDP基本參數(shù)Fig.14BasicparametersofUDP創(chuàng)建好

18、UDP套接字后，就可以定時(shí)發(fā)送數(shù)據(jù)r如圖4.發(fā)送UDP故據(jù)也是MSG指令.最關(guān)鍵的是發(fā)送故據(jù)區(qū)的參數(shù).如圖5.指明了口標(biāo)IP“l(fā)6#6464_5aftT（換算成十進(jìn)制就是54）,目標(biāo)端口號(hào)10001,數(shù)據(jù)區(qū)長(zhǎng)度為34,以及待發(fā)送的34個(gè)字打數(shù)據(jù).我們將要上傳的數(shù)據(jù)按規(guī)定的協(xié)議定時(shí)放入這個(gè)數(shù)據(jù)區(qū)，并定時(shí)發(fā)送到指定IP的端口,這樣就完成了數(shù)據(jù)的單向上傳.圖15定時(shí)發(fā)送UDP碼梯形圖編碼Fig.l5TimedsendingofUDPcodeladderdiagramcodingJJ*r*510001-Wfto.Dtfa.OuLBIerWS.DatjOutBdOectfnd圖1

19、6發(fā)送區(qū)數(shù)據(jù)結(jié)構(gòu)配置DeomtlDcrnl-W_D«0uWfDMXT1613016£3e16130J416f3a16131 16130WfD皿Out-Wrte.DaljOutBut Wfte.Dai4.0u WgD.S.W*.Dy(MWrte.D皿。5 WS.DfOut+WyDaUcOu!TatVMe.DLOuToW*D«t<04t技”464seFig.16DatastructureconfigurationofsendingareaSocMMttINTINTNNTSTR.OUTM4T$INT(4dO|SINTS1HTSINTSINTSINTSINTSWTN

20、t/UDP協(xié)議是面向非連接的協(xié)議.沒(méi)有建立連接的過(guò)程。正因?yàn)閁DP協(xié)議沒(méi)有連接的過(guò)程，所以它的通信效果高.也話用于本案例的物理單向隔離通訊.5結(jié)束語(yǔ)對(duì)二次供水泉房進(jìn)行安全等級(jí)保護(hù)己是不可逆轉(zhuǎn)的趨勢(shì)，浙江省水協(xié)己出臺(tái)相應(yīng)的安全等級(jí)保護(hù)標(biāo)準(zhǔn)。進(jìn)行安全隔離.是保護(hù)工業(yè)控制系統(tǒng)的必要手段.本文介紹了幾種實(shí)用的安全隔離單元設(shè)計(jì)方法以近乎等硬件成本實(shí)現(xiàn)控制系統(tǒng)的物理隔離改造.已成功應(yīng)用F近百個(gè)二次供水泉房的近程監(jiān)控系統(tǒng)。與傳統(tǒng)的網(wǎng)閘隔離方案相比.物理單向隔離方法可靠、易于實(shí)施，可以節(jié)約投資，雖以無(wú)法遠(yuǎn)程控制和維護(hù)為代價(jià)，但更加有利于保障二次供水系統(tǒng)的安全運(yùn)行。參考文獻(xiàn)張曄.工業(yè)控制系統(tǒng)信息安全風(fēng)險(xiǎn)評(píng)估J.

21、自動(dòng)化博覽.2015(/).2 劉威.李冬.孫波.工業(yè)控制系統(tǒng)安全分析C.第27次全國(guó)計(jì)算機(jī)安全學(xué)術(shù)交流會(huì)論文篥.2012.3 智意供排水信息系統(tǒng)安全技術(shù)規(guī)范S.DH33/T2051-2017.(本文文獻(xiàn)格式：張文皓.趙權(quán)益.二次加壓供水設(shè)備控制系統(tǒng)安全隔離單元設(shè)計(jì)J.廣東化工.2018,45(21)：88-91)(上接第97頁(yè))IitILL-Lijt_、一g，SrJ.-O*'*«<JU,""O*-1.芍藥脊：2.阿牌酸圖4當(dāng)歸芍藥固體湯劑的HPLC色譜圖Fig.4HPLCchromatogramofDangguiShaoyaosoliddecoction3討論3.1流動(dòng)相選擇根據(jù)參考文獻(xiàn)I8確定流動(dòng)相為乙臘：0.1%磷酸水溶液為最常用流動(dòng)相的選擇II實(shí)驗(yàn)得出的結(jié)果較好。所以采用乙月青：0.1%磷酸為本實(shí)驗(yàn)的流動(dòng)相。3.2波長(zhǎng)的選擇采用二極陣列檢測(cè)器進(jìn)行200400nm波長(zhǎng)范圍掃描.比較不同波K下當(dāng)歸芍藥散固體湯劑的HPLC圖像，發(fā)現(xiàn)在230nm下所得圖譜基線平檢,分離較好.反應(yīng)的信息較多，各蜂都比較潔晰.故選擇統(tǒng)佳波長(zhǎng)為230nm.3.3柱溫的選