二次加压供水设备控制系统安全隔离单元设计.docx

1、二次加压供水设备控制系统安全隔离单元设计张文皓，赵权益（浙江富莱迪环境设备有限责任公司.浙江宁波315000）摘要二次供水加压设备通常由典型的工业控制系统运行，一旦被黑客入侵，可能导致供水压力被耳意提升，造成居民楼用水设施爆裂和“水漫金山”的灾雄性后果，因此二次供水泵站的监控系统非常柬要.必须纳入工业控制系统安全等级保护范围.本文为二次供水设备设计了实用的安全隔离单元,己成功应用于近百个二次供水泵房的远程监控系统。（关健词二次供水；自来水：工业控制：安全隔离中图分类号TQ文献怵识码A文章编号1007-1865（2018）21-0088-04DesignofControlSystemSafety

2、IsolationUnitforDrinkingWaterSecondaryPumpingStationsZhangWenhao.ZhaoQuanyi(ZhejiangFriendlyEnvironmentalEquipmentCompanyLtd.Ningbo315000.China)Abstract:Thesecondarypumpingstationofdrinkingwalerisusuallyoperatedunderatypicalindustrialcontrolsystem.Onceitishacked,thewatersupplypressurecouldbearbitrar

3、ilyraisedtounbearabledegreeanddisastrousconsequencesmighthappensuchasburstingofwatersupplypipesorfacilitiesandwaleroverflowinsidethewholeresidentialbuilding.Therefore,monitoringsystemofsecondarypumpingstationisofgreatimportanceandmustbeincludedinthesafetylevelprotectionscopeofindustrialcontrolsystem

4、.Inthispaper,severalsafetyisolationunitswerepracticallydesignedtoprovideproleciiontbrtheremotemonitoringsystemandsuccessfullyappliedinnearly100drinkingwatersecondarypumpingstations.Keywords:secondarypumpingstation：drinkingwatersupply：industrialcontrolsystem：safetyisolation1前言二次供水加压设备在最初发展的几十年里是在泵房内相

5、对独立的运行系统，与自来水公司管理系统是隔离的。但是随者自来水公诃对实现管理与控制的一体化需求的增加，二次供水加压设备控制系统和企业管理信息系统逐步实现门1络化集成，管理信息网络与生产控制网络之间实现了数据交换.导致二次供水加压设备控制系统不再是一个相对独立运行的系统,而要与管理系统进行互通、互联。另外.PLC也在向以太网接口发展，开放性越来越强，基于TCP/IP协议以太网通讯技术在该领域得到广泛应用.这样很容易遭到来自企业管理网或互联网的病毒、木马以及黑客的攻击。料二次供水泉房管理近几年纳入自来水公司的范围，为加强管理，部分自来水公司实现了二次供水泵房远程监控，实时学控各二次供水泵房的运行情

6、况，但却很少考虑到工控系统安全。DB3312051-2017智慧供排水信息系统安全技术规范明确炭定“第二级以上的工控网络采用技术手段进行物理隔离，必须做到其它任何网（也包括办公网、互联网等）都无法向工控网传送任何指令和数据。”两二次供水加压设备近些年实现了集中远程监控，用到了大技的PLC（可编程控制器），这些系统都是工业控制系统，一旦被黑客入侵.就以修改出水压力等参数，可能会将供水管网完全破坏掉，其后果极为严2二次供水设备远程监控系统一般网络架构二次供水系站工控系统一般采用PLC（可编程控制器），也有少部分老产品采用单片机.在通讯接口方面.一般有串口、以太网口，或两占都有，新型的PLC般都自带

7、以太网口在实现远程监控网络方式上，一般仃两种，即GPRS/CDMA的无线通讯方式和VPN有线通讯方式。现行大部分二次供水设备远程监控网络架构如图1所示。图1二次供水设备远程监控的典型网络架构Fig.lTypicalmethodsofremotemonitoringnetworkarchitectureforsecondarypumpingstation从图I看出.我们把某房分为3类：通过串I】以GPRS或CDMA的方式将数据上传到二次供水调度中心“数据采集与实时监控"计算机.通过串1转以太网设备将数据以仃线VPN的方式上传到二次供水调度中心“数据采集与实时监控”计算机。这类方式适用第

8、-类方式.无线到有线通讯方式的改造。直接将数据以有线VPN的方式上传到二次供水调度中心“致据采集与实时监控”计算机。般的系统只讲求如何实现二次供水设备的远程监控，并没有考虑到工控系统的安全问题，黑客很容易通过办公系统入侵并控制二次供水设备的运行。3两级隔离系统的设计为了加强二次供水设备监控工业控制的安全措施，我们需要收犒日期）2018-10-10作芥简介张文的（1971.）.男.宇波小人.硕k研究生，主要研究方向为计绍机技术.对现仃的网络系统进行改造,针对三种不同的家站做现场I：控系拓扑结构见图2.下面我们就现场匚控系统物理隔离和办公网和统物理隔离,并在办公网和监控网之间做J'逻辑隔离

9、.系统网络监控网之间做了逻辑隔离作具体设计.二次供水设备远程监控二级网络隔离办公鞭机期2次机2M印以太Mil的Itc欢*采兼,实时mi?V；图2系统网络二级隔离拓扑结构图Fig.2Topologicalstructurediagramof2-levelsisolationsafetyofcontrolsystem3.1二次供水泵房设备控制系统RS232串口通讯物理层隔离RS232T：.，以作：接收RXD、发送TXD、接地GND。常见的9针接口对应为2、3、5:根接头，在使用上,接线方法为2、3交叉.5直联，如卜图3所示，实现设备的双向通讯。0RX+RX-TX*未用（数据接收正端）（数据接收负端

10、）（数据发送正端）5未用注6TX->7未用、8未用（数据发送负端）图6RJ45接口DCE类型引脚定义Fig.6PindefinitionofDCEtypeofRJ45interfaceo0图3232串口双向通讯Fig.3Two-waycommunicationof232serialport针对带串口的PLC数据通讯，我们把PLC的接收RXD线去掉.这样PLC只能上传数据.而不能接收命令,实现J'真正意义上的单向物理隔*.如图4、图5再通过PLC的232串口自由口编程，将PLC里要上传的数据以规定的协议定期上传就可以了从物理接口定义上来看，网线中的8根线实际只用到了4根.其中I、2

11、是接收，3、6是发送。在协议层,有两种即基于连接的TCP和基于IF连接的UDP.很显然采用TCP协议传输数据.这四根线必不"少，若采用单向的UDP协议传输数据.倒是可以省掉两根线。我们正是利用这点实现了PLC端单向UDP上传数据做到了真花童义上的物理单向隔离.如图7所示:图4串口无线传输模式物理隔离原理Fig.4Physicalisolationofserialportwithwirelesstransmissionmode图5串口有线'P、传输模式物理隔离原理Fig.5PhysicalisolationofserialportwithcableVPNtransmission

12、mode3.2二次供水策房设簿控制系统以太网通讯物理层隔离以太网通讯物理层隔离的做法其实和232串口隔离足个思路.我们先来看石RJ45接口DCE类型引脚定义.如图6所示。交条机«Mii图7RJ45接口单向隔离接线法Fig.7One-wayisolationofRJ45interfaceBLCiBIM口当然物理隔离的代价是.我们只能远程监测数据，而不能发任何控制命令。3.3与办公系统的逻输隔离办公系统与工控网采取双网卡逻辑隔离。共体方法如下：（1）数据库web服务器上装有双网卡。在配置匕是不同的网段，与办公网相连的网卡加入公用网络.与工控网相连的网卡加入专用网络。（2）开启Window

13、s防火墙规则实现逻辑隔离。,aw»fWindow*幼大.,Hsaxhfifl9打开Windoon仍火.图8使用Windows防火单来常助保护S3的计机window*nxvwarmiMMncB.venxiinte»fw<«机，.0家威戒工作（专用）网题o）.。公用网8（P）开启双网卡防火墙Fig.8Enabledfirewallofthedualnetworkcards在出站规则1.只保留如图所示的几条必须的规则。xw)am*)m(v)mmh)根据信息系统安全等级保护最小化端口规则专用网络的高级防火墙入站规姻只开放数据库端口公用网络的高级防火墙入站规则只开放w

14、eb端口.指定IP访问这两个端口。井旦这两个端曰都不是系统玳认的端口其它用不到的端口全部关闭。至于如何修改数据库和web的玖认端口.这里不再描述。r?'M8*SSSO-DNS(UDP-Out)»«OR*核g«!InternetS8WWhW(IGMPOut)K-OR*IPHHPS(TCP-Out)侦心网塔Teredo(UDP-Out)峰。网W0«oH«-S»KUEB*hi<(DMCPOu«)xwnanvMmoo*«xh)口".成计n肌上的睥安全四c名存«配心件巳祯COweHBC190

15、8公用S芝婿gOB«*】907S图9最小化入站规则端口配置Fig.9PortconfigurationwithminimizedinboundrulejjtM机协昭oyh用域;姗ifflP.本地IT地址S。任何”培址on时下列”蛔tn：rfTw664|192168665图10最小化可访问IP配置Fig.10IPconfigurationswithminimizedaccessibilityvtttmnw；QAWtHKI出Uf!图11最小化出站规则端口配置Fig.l1Portconfigurationswithminimizedoutboundrule4数据通讯编程关于串口白山口编程，

16、己有很多实用的案例,在本文就不再描述。关fPLC以太网的UDP传送数据，在实际工程中鲜有应用.其实UDP编程过程作常简单，先绑定本地的IP端口.如10002,创建UDP食接字。以AB的CompactLogixPLC为例，创建UDP任接字是MSG指令完成的，如图12、图13。图14指定了本地端口10002.UDP通讯方式.CreateSocketRequestLtonsENDNER消息消息控制Create_Sock_MSGQ图12创建UDP套接字梯形图代码Fig.12CreationofUDPsockettrapezoiddiagramcodeFig.l3CreationoftheUDPsock

17、etparameterconfiguration-Cr#»t«_S«ck_iSC-SOCKET(.)(REQUEST.P.+SOCKETType2DecimalDINT1TCP.2-UDP-SOCKETAddrV'：；(.)(.SockAddr+SOCKETAddiFam2DecimalINTAddressMu;»be2+SOCKETAddrPort10002DecimalINTPortNumber+SOCKETAddrAddc0DecimalDINTIPAddress图14UDP基本参数Fig.14BasicparametersofUDP创建好

18、UDP套接字后，就可以定时发送数据r如图4.发送UDP故据也是MSG指令.最关键的是发送故据区的参数.如图5.指明了口标IP“l6#6464_5aftT（换算成十进制就是54）,目标端口号10001,数据区长度为34,以及待发送的34个字打数据.我们将要上传的数据按规定的协议定时放入这个数据区，并定时发送到指定IP的端口,这样就完成了数据的单向上传.图15定时发送UDP码梯形图编码Fig.l5TimedsendingofUDPcodeladderdiagramcodingJJ*r*510001-Wfto.Dtfa.OuLBIerWS.DatjOutBdOectfnd图1

19、6发送区数据结构配置DeomtlDcrnl-W_D«0uWfDMXT1613016£3e16130J416f3a16131 16130WfD皿Out-Wrte.DaljOutBut Wfte.Dai4.0u WgD.S.W*.Dy(MWrte.D皿。5 WS.DfOut+WyDaUcOu!TatVMe.DLOuToW*D«t<04t技”464seFig.16DatastructureconfigurationofsendingareaSocMMttINTINTNNTSTR.OUTM4T$INT(4dO|SINTS1HTSINTSINTSINTSINTSWTN

20、t/UDP协议是面向非连接的协议.没有建立连接的过程。正因为UDP协议没有连接的过程，所以它的通信效果高.也话用于本案例的物理单向隔离通讯.5结束语对二次供水泉房进行安全等级保护己是不可逆转的趋势，浙江省水协己出台相应的安全等级保护标准。进行安全隔离.是保护工业控制系统的必要手段.本文介绍了几种实用的安全隔离单元设计方法以近乎等硬件成本实现控制系统的物理隔离改造.已成功应用F近百个二次供水泉房的近程监控系统。与传统的网闸隔离方案相比.物理单向隔离方法可靠、易于实施，可以节约投资，虽以无法远程控制和维护为代价，但更加有利于保障二次供水系统的安全运行。参考文献张晔.工业控制系统信息安全风险评估J.

21、自动化博览.2015(/).2 刘威.李冬.孙波.工业控制系统安全分析C.第27次全国计算机安全学术交流会论文篥.2012.3 智意供排水信息系统安全技术规范S.DH33/T2051-2017.(本文文献格式：张文皓.赵权益.二次加压供水设备控制系统安全隔离单元设计J.广东化工.2018,45(21)：88-91)(上接第97页)IitILL-Lijt_、一g，SrJ.-O*'*«<JU,""O*-1.芍药脊：2.阿牌酸图4当归芍药固体汤剂的HPLC色谱图Fig.4HPLCchromatogramofDangguiShaoyaosoliddecoction3讨论3.1流动相选择根据参考文献I8确定流动相为乙腊：0.1%磷酸水溶液为最常用流动相的选择II实验得出的结果较好。所以采用乙月青：0.1%磷酸为本实验的流动相。3.2波长的选择采用二极阵列检测器进行200400nm波长范围扫描.比较不同波K下当归芍药散固体汤剂的HPLC图像，发现在230nm下所得图谱基线平检,分离较好.反应的信息较多，各蜂都比较洁晰.故选择统佳波长为230nm.3.3柱温的选