力控工業(yè)網(wǎng)絡安全防護網(wǎng)關pSafetyLink
2009-03-09
作者:力控
?
關鍵特性:
雙獨立主機系統(tǒng)
專利網(wǎng)絡隔離技術,徹底隔斷外網(wǎng)與SCADA網(wǎng)絡連接
支持標準SCADA通信傳輸協(xié)議:OPC、Modbus、DNP3等
每端多個10/100兆網(wǎng)口
高數(shù)據(jù)吞吐量,可達20,000TPS
支持遠程配置及監(jiān)視管理
測點級訪問權限控制
簡介:
在現(xiàn)代工業(yè)企業(yè)的信息系統(tǒng)中,由各種DCS、PLC、RTU、測控設備、SCADA構成的過程控制系統(tǒng)負責完成基本的生產(chǎn)控制。隨著企業(yè)信息化的發(fā)展,迫切要求實現(xiàn)過程控制系統(tǒng)與上層管理信息系統(tǒng)之間互通、互聯(lián),消除信息孤島。但是一旦信息網(wǎng)絡與控制網(wǎng)絡直接連通,就相當于將控制網(wǎng)絡直接暴露給外網(wǎng)而面臨被攻擊、入侵的可能,甚至發(fā)生破壞生產(chǎn)的嚴重后果。
現(xiàn)有通用的網(wǎng)絡安全產(chǎn)品要么無法實現(xiàn)徹底的網(wǎng)絡阻斷,存在著安全隱患;要么實現(xiàn)了網(wǎng)絡阻斷同時也阻斷了各種標準SCADA通信協(xié)議的傳輸。
三維力控pSafetyLink系列網(wǎng)絡隔離式工業(yè)通信網(wǎng)關專用于解決工業(yè)SCADA控制網(wǎng)絡如何安全接入信息網(wǎng)絡(外網(wǎng))的問題。pSafetyLink內(nèi)部為雙獨立主機架構,雙主機之間采用專有網(wǎng)絡隔離技術,徹底阻斷任何網(wǎng)絡形式的連接,同時pSafetyLink通過內(nèi)嵌的高性能工業(yè)通信軟件,支持各種主流工業(yè)SCADA通信標準,如:OPC、Modbus、DNP3等。
適用領域:
pSafetyLink適用于各種工業(yè)SCADA系統(tǒng)的網(wǎng)絡安全防護
典型應用領域:
流程工業(yè)DCS控制系統(tǒng)的網(wǎng)絡安全防護;
電力系統(tǒng)現(xiàn)場IED設備的網(wǎng)絡安全防護;
軌道交通ISCS的網(wǎng)絡安全防護;
煤礦、冶金行業(yè)現(xiàn)場控制系統(tǒng)的網(wǎng)絡安全防護;
典型應用:
典型應用
1、基于OPC通信標準的MES應用
OPC標準由于其開放性和高效性,現(xiàn)在已被廣泛應用于自動化控制領域及生產(chǎn)信息管理中。目前大多數(shù)DCS系統(tǒng)、SCADA系統(tǒng)對外都提供了OPC Server,以便為上層MES、生產(chǎn)調(diào)度等管理信息系統(tǒng)提供實時生產(chǎn)數(shù)據(jù)。同時幾乎所有的MES系統(tǒng)、生產(chǎn)調(diào)度系統(tǒng)的采集接口也都提供了OPC Client以便能實現(xiàn)對OPC Server數(shù)據(jù)的采集。然而OPC Server與OPC Client的通信依賴過程控制系統(tǒng)網(wǎng)絡與管理信息系統(tǒng)網(wǎng)絡的直接連通。管理信息系統(tǒng)的網(wǎng)絡出于業(yè)務需要一般要連接到互聯(lián)網(wǎng)絡,這樣會對過程控制系統(tǒng)網(wǎng)絡的安全帶來極大的隱患。如果在這兩種網(wǎng)絡之間接入常規(guī)的網(wǎng)安產(chǎn)品,如:防火墻、隔離裝置,要么網(wǎng)絡沒有徹底阻斷,始終存在著安全隱患;要么由于網(wǎng)安產(chǎn)品自身的限制在阻斷網(wǎng)絡的同時也阻斷了OPC通信。
pSafetyLink的雙獨立主機系統(tǒng)分為控制端和信息端,分別接入過程控制系統(tǒng)網(wǎng)絡和管理信息系統(tǒng)網(wǎng)絡,各自完成與OPC Server和OPC Client的通信,同時兩主機之間采用PSL專用網(wǎng)絡隔離技術,在保證OPC數(shù)據(jù)快速交互的同時徹底阻斷了網(wǎng)絡的連接,保證了過程控制系統(tǒng)網(wǎng)絡的安全。
2、基于Modbus、DNP3等通信規(guī)約的調(diào)度自動化應用
Modbus是基于PLC的一組通信協(xié)議。它已經(jīng)成為行業(yè)內(nèi)互相通信的標準協(xié)議,也是目前最常用的工業(yè)系統(tǒng)電子設備之間的連接方式。DNP3.0(分布式網(wǎng)絡協(xié)議)是使用在工序自動化系統(tǒng)各部件之間的通信協(xié)議規(guī)約。它主要用于像電力、水力等公用事業(yè)單位。此外,它的發(fā)展使得不同形式的數(shù)據(jù)獲取與控制設備之間的交流更為便利。
調(diào)度自動化系統(tǒng)的后臺為了實時獲取現(xiàn)場設備的數(shù)據(jù),經(jīng)常需要通過網(wǎng)絡使用Modbus、DNP3等通信規(guī)約進行數(shù)據(jù)傳輸。然而調(diào)度數(shù)據(jù)網(wǎng)絡與現(xiàn)場控制設備的直接連通,就相當于將控制系統(tǒng)直接暴露給外網(wǎng)而面臨被攻擊的可能?;ヂ?lián)網(wǎng)攻擊者可能會利用一些大型工程自動化軟件的安全漏洞獲取諸如發(fā)電廠、污水處理廠、天然氣管道以及其他大型設備的控制權,一旦這些控制權被不良意圖黑客所掌握,那么后果不堪設想。 因為生產(chǎn)控制網(wǎng)絡中的計算機可以控制諸如發(fā)電機組、化學反應釜、供水管閥門、烘干設備器材甚至核電站的安全系統(tǒng)等大型工程化設備。黑客一旦控制該系統(tǒng),就意味著可能利用被感染的控制中心系統(tǒng)切斷整個城市的供電系統(tǒng),惡意污染飲用水甚至是破壞核電站的正常運行。隨著近些年來越來越多的工程系統(tǒng)內(nèi)部網(wǎng)絡接入到互聯(lián)網(wǎng)當中,這種可能就越來越大。
雖然很多隔離裝置(也稱網(wǎng)閘)通過強制完全單向通訊方式,控制數(shù)據(jù)長度等方法阻斷網(wǎng)絡連接,但同時也限制了Modbus、DNP3等所有標準通信規(guī)約,用戶須針對隔離裝置重新定制開發(fā)特殊通信接口,給信息集成帶來了額外成本和困難。
pSafetyLink內(nèi)嵌高性能工業(yè)通信軟件,支持Modbus、DNP3等標準通信規(guī)約,可以實現(xiàn)調(diào)度自動化后臺系統(tǒng)與現(xiàn)場設備的實時通信,并根據(jù)需要可設置數(shù)據(jù)方向。當設置為單向方式時,后臺系統(tǒng)的所有數(shù)據(jù)回置操作將被屏蔽,以保證現(xiàn)場控制設備的安全。
產(chǎn)品說明:
系統(tǒng)架構
pSafetyLink內(nèi)部兩端由兩個獨立主機系統(tǒng)組成,每個主機系統(tǒng)分別具有獨立的運算單元和存儲單元,各自運行獨立的操作系統(tǒng)和應用系統(tǒng)。其中一端的主機系統(tǒng)為控制端,負責接入到SCADA控制網(wǎng)絡;另一端為信息端,負責接入到信息網(wǎng)絡(外網(wǎng))??刂贫伺c信息端主機分別運行專用高性能工業(yè)通信軟件??刂贫颂峁└鞣N標準SCADA通信標準的客戶端或主端通信功能,如:OPC Client、Modbus Master,實現(xiàn)對SCADA系統(tǒng)的接入與通信;信息端主機提供服務器端或從端通信功能,如:OPC Server、Modbus Slave,實現(xiàn)與各種遠程后臺系統(tǒng)、數(shù)據(jù)中心系統(tǒng)、數(shù)據(jù)庫系統(tǒng)的接入和數(shù)據(jù)交互。
網(wǎng)絡隔離技術
pSafetyLink的控制端與信息端主機之間采用專有的PSL網(wǎng)絡隔離傳輸技術。PSL的物理層采用專用隔離硬件,鏈路層和應用層采用私有通信協(xié)議,加密傳輸方式。
PSL技術通過物理隔離與專有隔離傳輸技術,實現(xiàn)了數(shù)據(jù)完全自我定義、自我解析、自我審查,傳輸機制具有徹底不可攻擊性,從根本上杜絕了非法數(shù)據(jù)的通過,確??刂贫瞬粫艿焦?、侵入。
SCADA通信標準
控制端:
OPC Client(支持OPC DA1.0,DA 2.0,DA3.0,AE1.0);
Modbus Master、IEC60870-5-104? Master、DNP3.0 Master等;
支持自定義通信協(xié)議擴展;
信息端:
OPC Server;
Modbus Slave、IEC60870-5-104 Slave、DNP3.0 Slave等;
支持自定義通信協(xié)議擴展;
系統(tǒng)特點
提供遠程配置及監(jiān)視工具,可在線監(jiān)測通信報文;
支持從通道到設備到測點的三級測點樹管理;
具備看門狗管理、系統(tǒng)在線自診斷/復位功能;
具有對通信鏈路狀態(tài)的監(jiān)視和報警功能;
具有完備的診斷調(diào)試、故障監(jiān)視、日志輸出等功能;
具備二次計算功能;
性能指標
數(shù)據(jù)吞吐量:20,000點/秒;
單機額定連接數(shù):控制端512個,信息端512個;