文章来源：由「百度新聞」平台非商業用途取用"http://m.elecfans.com/article/954460.html"

1海上平臺系統組成海上石油平臺主要由工藝控制系統（PROCESSCONTROLSYSTEM，簡稱PCS）、緊急關斷系統（EMERGENCYSHUTDOWNSYSTEM，簡稱ESD）和火氣探測及消防系統（FIREGASSYSTEM，簡稱FG）組成。工藝控制系統一般設有多個遠程IO柜，ESD和FG為兩套相對獨立的系統，可達到SIL3的級別。PCS及ESD和FG通過各自網絡獨立的光電轉換器和海底光纖芯線傳輸至CEP中控系統相應的PCS及ESD和FG系統。陸上終端中控室內設有一套獨立于陸地終端控制系統的海上生產監控系統PCS，用于臺風狀態、海上操作人員撤離平臺的情況下、對平臺實施監測和遙控關斷。設有冗余的IO卡件，通過衛星與海上通訊，通過陸上光纖與地區中心控制站通訊。工藝控制系統多采用EMERSON公司的DeltaV系統，霍尼韋爾系統，ABB系統、西門子系統等。ESD系統以康吉森、ABB、HIMA等為主。2關鍵業務挑戰隨著信息化與工業化深度融合，數字海油、互聯海油、智慧海油的不斷建設，海上油田工控系統引入了信息、網絡、物聯網等技術，打破了孤立的狀態，和工控網絡內外的系統進行信息交互日益頻繁，而工控系統由于防護手段的缺失，必然面臨極大的風險。3網絡安全防護建議1)基本原則：工業控制系統安全建設要以事實為依據，依據實地評估結果開展針對性建設。2)技術策略：以安全分區、縱深防護、統一監控的原則進行建設。安全分區：根據生產過程，將生產相關配套工業控制系統進行縱向分區、橫向分域，規范網絡架構，杜絕私搭亂建行為。縱深防護：結合安全區、安全域劃分結果，在制定區、域邊界防護措施的同時，也要在安全區、安全域內部關鍵網絡節點、關鍵設備部署異常行為、惡意代碼的檢測和防護措施，真正做到縱向到底、橫向到邊的全域防護。統一監控：針對各安全區、安全域的防護措施、檢測及審計措施建立統一的、分級的監控系統，統一監控控制系統的的安全狀況。將安全風險進行集中的展示，以風險等級的方式給出不同工業控制系統的安全風險級別，全面了解并掌握系統安全動態。識全局、統籌管理、真正做到工控安全全域感知。3)核心技術：海上平臺工業控制系統網絡安全防護，要結合工控系統運行環境相對穩定、固化，系統更新頻率較低的特點。采用基于白名單機制的工業控制系統安全白環境解決方案，通過對工控網絡邊界、關鍵網絡節點流量、操作終端行為等進行全方位監控和防護，收集并分析工控網絡、數據及軟件運行狀態，建立工控系統正常工作環境下的安全狀態基線和模型，依據等級保護一個中心、三重防護指導方針，融合白名單技術解決方案，確保：◇只有可信任的設備，才能接入工控網絡◇只有可信任的消息，才能在工控網絡上傳輸◇只有可信任的軟件，才能允許被執行◇只有一個中心平臺，才能進行管控白環境解決方案能夠保障工業控制系統安全穩定運行，安全建設內容符合相關標準的要求，可以順利通過等級保保護測評機構測評和相關部門的信息安全檢查。3.1、安全通訊網絡解決方案1)網絡架構在網絡架構設計上建議做如下設計：①為了保障網絡通訊能力，帶寬應滿足業務高峰期需要并留有一定余量；②海上平臺在允許條件下盡量采用光纖和無線通訊（如微波）兩種冗余形式，為了保障應急通訊，建議增加北斗應急通訊系統；③工業控制系統與陸地終端（井口平臺等）或其他系統之間應劃分為兩個區域，區域間應采用單向的技術隔離手段；④海上工業控制系統內部應根據業務特點劃分為不同的安全域，安全域之間采用技術隔離手段；2)通信傳輸由于在海上平臺人員緊急撤離后，需要進行遠程關斷法門操作，為了保正無線通訊過程中數據的完整性和保密性，建議在數據發送端和接收端部署工業防火墻，并啟用VPN功能，建立專用通訊鏈路。3)可信驗證利用工控安全監測與審計自主學習白名單技術，進行網絡通訊行為建模，記錄通訊設備關鍵配置參數；從而對通訊設備的系統引導程序程、系統程序、重要配置參數和通信應用程序等進行可信驗證，在檢測到可信性受到破壞后進行報警，并將結果送至全安全管理中心（即統一安全管理平臺）。3.2、安全區域邊界解決方案1)區域邊界防護：針對控制網工業控制系統所面臨的安全風險，在海上中心平臺與井口平臺之間，與地區中心之間，部署工業防火墻實現邊界防護，阻止中心和生產平臺網絡之間的非法訪問和攻擊。主要部署在區域出口，用于邊界隔離（不部署在上位機與控制器之間），因此對于控制系統本身的穩定運行沒有任何影響，不存在與系統兼容性問題，主要對區域間工業通訊協議進行重點防護。如果將來控制系統升級或更換，只需對其進行策略調整即可。2)入侵檢測：工控入侵檢測系統采用旁路部署方式，能夠實時檢測數千種網絡攻擊行為，有效的為網絡邊界提供全景的網絡安全攻擊感知能力，使其詳細的掌握工業網中的安全情況。3)安全審計：在控制網部署工控安全審計產品，實現網絡的3大審計檢測功能，即網絡通訊行為審計、網絡操作行為審計和無流量監測，可為網絡安全事件提供追溯。部署工控安全監測與審計系統，采用交換機旁路方式收集網絡通訊數據，建立網絡通訊行為白名單，從而發現違反白名單策略的行為。在控制網交換機部署工控安全監測與審計系統，鏡像控制網流經此交換機的所有數據，審計數據向統一安全管理平臺集中匯報，由平臺進行集中管理，統一收集網絡日志，通過建模分析當前網絡安全狀態，為管理員提供可視化的操作行為、異常波動、告警信息，做到事前監控，事后可追溯原因。3.3、安全計算環境解決方案：1)主機防護部署工控主機衛士對系統內主機進行防護，主機衛士采用白名單管理技術，通過對數據采集和分析，其內置智能學習模塊會自動生成工業控制軟件正常行為的白名單，與現網中的實時傳輸數據進行比較、匹配、判斷。如果發現其用戶節點的行為不符合白名單中的行為特征，其主機安全防護系統將會對此行為進行阻斷或告警，以此避免主機網絡受到未知漏洞威脅。如果將來控制系統升級或更換，只需對其進行策略調整即可。2)身份認證及審計由于海上平臺對生產網絡主機的管理相對比較嚴格，但對于整個油田群、作業區公司、地區分公司來說，由于數量龐大且分布分散，更是對于工程師站等關鍵部位無法做到絕對隔離，平臺某些關鍵設備，如壓縮機遠程診斷系統等，大多數采取遠程運維方式。在陸地終端或者區域中心網部署運維管理平臺，實現生產網主機的安全運維及權限管理。

關鍵字標籤：無風扇工業電腦