國家工業(yè)信息安全發(fā)展研究中心 董良遇 于 盟

■引言

設備狀態(tài)監(jiān)測是利用傳感器監(jiān)測技術對設備運行狀態(tài)進行在線或離線監(jiān)測，采集設備振動、溫度、壓力等數(shù)據(jù)，進一步進行數(shù)據(jù)處理與特征提取，可對設備當前或未來的運行情況進行綜合判斷，力求實現(xiàn)對故障的有效捕捉與提示[1]。據(jù)不完全統(tǒng)計，我國石油、化工、冶金等支柱工業(yè)企業(yè)已對上萬臺汽輪機、發(fā)電機、泵、壓縮機等設備進行在線監(jiān)測診斷，每年產(chǎn)生PB 級的海量監(jiān)測數(shù)據(jù)[2]，這些數(shù)據(jù)與機組原有監(jiān)控系統(tǒng)的其他運行參數(shù)一起被存儲和分析應用。在當前工業(yè)互聯(lián)網(wǎng)、云計算等新技術作用下，在線監(jiān)測數(shù)據(jù)催生出新的應用模式，如遠程分析診斷、基于云平臺的智能診斷等[3-5]。一方面，新技術的發(fā)展推動了設備監(jiān)測診斷技術的發(fā)展；另一方面，大量數(shù)據(jù)聯(lián)網(wǎng)后增加了數(shù)據(jù)信息安全風險。

當前暴露在互聯(lián)網(wǎng)上的工業(yè)控制系統(tǒng)及設備數(shù)量不斷增多，攻擊門檻進一步降低，工控安全高危漏洞頻現(xiàn)，重大工業(yè)信息安全事件高發(fā)，全球工業(yè)信息安全總體風險持續(xù)攀升[6]。需指出，我國在工業(yè)信息安全保障上存在著管理力度不足、防護不到位、人員意識不強、產(chǎn)業(yè)基礎薄弱和技術人才匱乏等問題，監(jiān)測數(shù)據(jù)的互聯(lián)網(wǎng)應用無疑加劇了工業(yè)領域面臨的信息安全風險。

■設備狀態(tài)監(jiān)測技術發(fā)展現(xiàn)狀

我國從上世紀七、八十年代開始發(fā)展設備狀態(tài)監(jiān)測技術，幾十年來，設備狀態(tài)監(jiān)測與故障診斷技術受到高校、科研院所和企業(yè)的重視，在石油、化工、冶金、電力等行業(yè)取得廣泛應用[7]。近年來，隨著人工智能、大數(shù)據(jù)等先進技術發(fā)展，設備狀態(tài)監(jiān)測技術不斷發(fā)展，表現(xiàn)出信號采集多元化、數(shù)據(jù)處理智能化、數(shù)據(jù)傳輸網(wǎng)絡化和診斷服務平臺化等特征。

1.數(shù)據(jù)采集多元化

基于傳感器技術與計算機技術發(fā)展，設備狀態(tài)監(jiān)測逐步從相對單一的工藝量監(jiān)測拓展到包含溫度、壓力、流量、振動、位移、轉(zhuǎn)速等在內(nèi)的設備運行狀態(tài)信息全面監(jiān)測。其中振動、位移、瞬時轉(zhuǎn)速、動態(tài)壓力等瞬態(tài)快變監(jiān)測信號，需要以高采樣率、大量采樣點的采集方式進行處理，保證數(shù)據(jù)采集的準確性。同時，不同數(shù)據(jù)類型的多通道并行同步采集也是保證數(shù)據(jù)分析準確性的關鍵。圖1、圖2 為國內(nèi)石化往復壓縮機BH5000R 監(jiān)測系統(tǒng)不同類型傳感器布局。

圖1 往復壓縮機活塞桿位移監(jiān)測傳感器

圖2 往復壓縮機殼體振動監(jiān)測傳感器

2.數(shù)據(jù)處理智能化

經(jīng)過采集之后的各類數(shù)據(jù)由模擬量信號轉(zhuǎn)化為數(shù)字量，由計算機完成進一步處理，如提取各類特征值，進行特征選擇完成特征融合等。隨著人工智能技術發(fā)展，諸如機器學習、卷積神經(jīng)網(wǎng)絡、深度神經(jīng)網(wǎng)絡等算法不斷被應用到數(shù)據(jù)處理過程中。數(shù)據(jù)采集多元化帶來的數(shù)據(jù)量龐大、數(shù)據(jù)維度高等問題為各類智能算法提供了用武之地。

3.數(shù)據(jù)傳輸網(wǎng)絡化

互聯(lián)網(wǎng)技術的快速發(fā)展使大數(shù)據(jù)量遠程傳輸成為可能。目前，以石油、石化為代表的流程工業(yè)企業(yè)均建設有專用的數(shù)據(jù)傳輸網(wǎng)絡，將最基層裝置的設備與企業(yè)頂層管理平臺連接了起來，部分企業(yè)還鋪設了專用光纖網(wǎng)絡，為設備狀態(tài)監(jiān)測數(shù)據(jù)傳輸預留了專用帶寬。無線傳輸方面，基于WirelessHART、Zigbee 通訊的數(shù)據(jù)傳輸技術已被應用與石油、石化企業(yè)的大型泵群監(jiān)測，由傳感器無線發(fā)送溫度、振動數(shù)據(jù)到無線網(wǎng)關。數(shù)據(jù)通過企業(yè)內(nèi)部或外部網(wǎng)絡進行遠程傳輸，為故障遠程監(jiān)測診斷服務提供了基礎。

4.診斷服務平臺化

近年來，智能工廠建設、大數(shù)據(jù)云平臺建設不斷被企業(yè)認可，國內(nèi)眾多企業(yè)紛紛投入人力、物力建設本公司的狀態(tài)監(jiān)測與維修管理中心平臺。相關平臺集數(shù)據(jù)監(jiān)測、異常報警、故障分析診斷、能效監(jiān)測、維修管理、人員管理等功能于一體，各類功能均實現(xiàn)了模塊化、插件化甚至微服務化，極大地提升了使用的便捷性和實用性。圖3為國內(nèi)某企業(yè)的設備遠程監(jiān)測平臺。

圖3 某企業(yè)設備遠程監(jiān)測平臺

■工業(yè)信息安全對企業(yè)信息化管理的新要求分析

當前，“互聯(lián)網(wǎng)+”的應用使工業(yè)生產(chǎn)效率得到快速提高，但隨之而來的是不斷加大的工業(yè)信息安全風險?？傮w上看，在全球范圍內(nèi)工業(yè)控制系統(tǒng)安全漏洞持續(xù)被披露，能源、制造、醫(yī)療、通信、政府設施、交通運輸?shù)戎匾P鍵基礎設施行業(yè)依然是工業(yè)信息安全事件的高發(fā)領域。因此，工業(yè)信息安全對企業(yè)信息化管理也提出了新的要求。

1.新基建背景下加強企業(yè)信息基礎設施建設

隨著互聯(lián)網(wǎng)技術發(fā)展，企業(yè)日常生產(chǎn)運行產(chǎn)生的數(shù)據(jù)量愈發(fā)龐大，傳統(tǒng)的網(wǎng)絡軟硬件系統(tǒng)無法進行有效處理。企業(yè)需要針對相關基礎設施進行投資建設，包括硬件方面服務器、防火墻、網(wǎng)閘、路由器，軟件方面數(shù)據(jù)庫、操作系統(tǒng)、中間件等，以適應快速增加的數(shù)據(jù)信息的處理要求。

2.建立健全信息安全防護體系與相關管理制度

隨著近年來國內(nèi)網(wǎng)絡安全事件頻繁發(fā)生，我國政府對于信息安全防護，尤其是工業(yè)信息安全防護，建設意識逐漸加強，政策支持力度不斷上升。企業(yè)需完善自身的信息安全防護體系，加強對數(shù)據(jù)流入、流出的管控，預防信息安全事故的發(fā)生，構建、完善企業(yè)自身的信息安全防護管理制度。管理制度方面，應加強對計算機設備、電子資料文件安全、軟件安全、信息系統(tǒng)安全、數(shù)據(jù)庫安全的管理等，確立有關信息安全的禁止行為，建立獎懲辦法。

3.不斷應用、提升安全防護技術

工業(yè)網(wǎng)絡環(huán)境受病毒、網(wǎng)絡攻擊等危害嚴重[8]，據(jù)統(tǒng)計，截至2019 年底我國境內(nèi)受感染計算機病毒的主機數(shù)量約582 萬臺，感染率為20.44%。廣東、江蘇、浙江等工業(yè)信息安全發(fā)展起步較早的省份受感染的主機數(shù)量較多。以勒索病毒為代表，在相對安全的企業(yè)內(nèi)網(wǎng)中也有廣泛傳播，因此，信息安全防護技術應用至關重要。企業(yè)應重視網(wǎng)絡防火墻、數(shù)據(jù)加密、外來入侵檢測等新技術應用，尤其是新技術的組合應用。同時應做好企業(yè)人員身份識別保密工作、做好VLAN 計算機網(wǎng)絡安全管理等工作，在企業(yè)信息安全防護體系與規(guī)章制度的基礎上，對病毒庫升級、查殺，補丁安裝，機密文件使用管理等方面的工作從嚴要求。

4.加快信息領域人才培養(yǎng)

人才是創(chuàng)新發(fā)展最重要的環(huán)節(jié)，技術的發(fā)展歸根結底是人的發(fā)展。網(wǎng)絡信息技術是全球研發(fā)投入最集中、創(chuàng)新最活躍、應用最廣泛、輻射帶動作用最大的技術創(chuàng)新領域。對于工業(yè)企業(yè)來說，雖然不參與網(wǎng)絡信息技術的直接創(chuàng)新，但是網(wǎng)絡信息新技術的應用離不開人才的支持。企業(yè)應重視自身信息化部門的建設，加強人員管理與人才建設，以支撐企業(yè)信息化建設工作。

■設備狀態(tài)監(jiān)測技術應用對企業(yè)提出新的要求

當前由于設備狀態(tài)監(jiān)測技術與互聯(lián)網(wǎng)技術的深度融合，大量帶有企業(yè)運營生產(chǎn)信息的設備運行數(shù)據(jù)通過網(wǎng)絡進行傳輸，給工業(yè)企業(yè)信息安全帶來了較大的隱患。因此，結合工業(yè)信息安全的發(fā)展態(tài)勢對設備狀態(tài)監(jiān)測技術提出新的要求。

1.數(shù)據(jù)傳輸安全性要求

企業(yè)應依據(jù)自身需求和行業(yè)特性，對企業(yè)內(nèi)部各種動態(tài)傳輸數(shù)據(jù)的進行風險等級定義、評估與劃分，將風險等級較高者定義為企業(yè)動態(tài)重要工業(yè)數(shù)據(jù)。該類數(shù)據(jù)在傳輸過程中應采用加密傳輸或使用VPN 等方式進行保護，確保其在動態(tài)傳輸過程中的安全性。特別是具有跨網(wǎng)跨域的數(shù)據(jù)傳輸需求的企業(yè)或互聯(lián)網(wǎng)平臺，數(shù)據(jù)傳輸安全問題亟需加強重視，防止通訊線路上的竊聽、泄露、篡改和破壞。所使用的加密技術的選擇和使用須符合國家相關法律法規(guī)，結合數(shù)據(jù)重要性和企業(yè)需求合理進行加密，注重加密算法的類型、屬性以及所用密鑰的長度等。

2.數(shù)據(jù)存儲與備份安全性要求

企業(yè)應結合企業(yè)管理及工藝流程等各環(huán)節(jié)需求，將各類靜態(tài)存儲的數(shù)據(jù)進行風險等級定義、評估與劃分，將風險較高者定義為企業(yè)靜態(tài)重要工業(yè)數(shù)據(jù)。該類數(shù)據(jù)的管理過程中需進行加密存儲或隔離保護，設置合理的訪問控制功能，確保靜態(tài)存儲的重要工業(yè)數(shù)據(jù)不被非法訪問、刪除、修改等。針對重要生產(chǎn)工藝、生產(chǎn)計劃、組態(tài)文件、調(diào)度管理等關鍵業(yè)務數(shù)據(jù)，企業(yè)應結合企業(yè)實際進行定期備份，確保在工業(yè)控制系統(tǒng)及設備狀態(tài)監(jiān)測的關鍵業(yè)務數(shù)據(jù)丟失時可以及時恢復數(shù)據(jù)。對于影響企業(yè)安全運行及生產(chǎn)的關鍵業(yè)務數(shù)據(jù)，企業(yè)應在備份后進行恢復測試，確保備份數(shù)據(jù)的可用性。

3.數(shù)據(jù)應用安全性要求

企業(yè)數(shù)據(jù)的采集、應用、傳輸?shù)冗^程涉及到組織內(nèi)、外其他的業(yè)務系統(tǒng)及數(shù)據(jù)用戶系統(tǒng)，這些系統(tǒng)的應用所涉及的安全問題也需要受到企業(yè)的重點關注。特別是在設備狀態(tài)監(jiān)測技術快速發(fā)展的今天，提供狀態(tài)監(jiān)測服務的企業(yè)多采用云服務方式完成數(shù)據(jù)采集、處理、存儲、分析和展示等功能，使企業(yè)大量數(shù)據(jù)全生命周期中都存在數(shù)據(jù)泄露、丟失等安全風險。因此，對于數(shù)據(jù)應用的全生命周期安全防護至關重要。企業(yè)應采用入侵防范、資源控制、身份鑒別、訪問控制、安全審計等多種方式加強對企業(yè)數(shù)據(jù)應用的安全防護。同時，對于提供信息安全服務的供應商及測評方，應以合同等方式明確針對企業(yè)相關設備和產(chǎn)品所提供服務中所承擔的信息安全責任和義務，確保提供的產(chǎn)品和服務滿足信息安全要求。服務商在服務過程中如需使用相關數(shù)據(jù)進行測試，應盡量避免為企業(yè)的實際生產(chǎn)數(shù)據(jù)。確需使用情況下，企業(yè)應提供去除所有敏感細節(jié)和內(nèi)容的數(shù)據(jù)進行測量。

4.企業(yè)數(shù)據(jù)安全綜合性防護要求

企業(yè)應結合自身需求和行業(yè)經(jīng)驗，將企業(yè)各類數(shù)據(jù)信息依據(jù)風險評估結果進行分級分類管理，羅列出重要工業(yè)數(shù)據(jù)清單、關鍵業(yè)務數(shù)據(jù)清單、容災備份數(shù)據(jù)清單等。明確各類數(shù)據(jù)的管理要求及防護手段，如對數(shù)據(jù)存儲備份的要求、對數(shù)據(jù)傳輸?shù)囊蟆?shù)據(jù)測試的要求、對數(shù)據(jù)遷移的要求等。對于有工業(yè)主機登錄、應用服務資源訪問、工業(yè)云平臺訪問等需求的，須加強身份認證管理技術，對于訪問重要數(shù)據(jù)的業(yè)務系統(tǒng)須加設雙因素認證。對于企業(yè)擁有的敏感數(shù)據(jù)需要進行脫敏傳輸時，應采用技術措施限制對用戶信息的訪問和使用。對于影響企業(yè)正常生產(chǎn)的重要數(shù)據(jù)或系統(tǒng)環(huán)境可進行異地容災備份，保障企業(yè)出現(xiàn)災難時至少在異地保存有一份可用的關鍵業(yè)務數(shù)據(jù)或可以提供安全可用的生產(chǎn)環(huán)境。對于企業(yè)自動化程度較高的系統(tǒng)，需依據(jù)企業(yè)能力盡量部署具備國家相關部門認定的日志審計系統(tǒng)，實時監(jiān)控網(wǎng)絡各類操作行為及攻擊信息，根據(jù)設置的規(guī)則智能判斷出各種風險行為，對違規(guī)行為進行報警等。

■結束語

工業(yè)控制系統(tǒng)互聯(lián)互通成為發(fā)展趨勢，正在從封閉走向開放，傳統(tǒng)的安全理念、方法、工具面臨著巨大挑戰(zhàn)，現(xiàn)有的工業(yè)控制系統(tǒng)安全防護體系的脆弱性日益凸顯。工業(yè)企業(yè)設備狀態(tài)監(jiān)測技術產(chǎn)生了海量的監(jiān)測數(shù)據(jù)，依賴網(wǎng)絡實現(xiàn)傳輸與應用，對企業(yè)信息安全提出了新的要求。

本文從設備狀態(tài)監(jiān)測技術新發(fā)展入手，討論分析了設備狀態(tài)監(jiān)測與網(wǎng)絡技術的深度關聯(lián)性，基于工業(yè)信息安全對企業(yè)信息化管理的新要求，對設備狀態(tài)監(jiān)測技術數(shù)據(jù)傳輸、數(shù)據(jù)管理等各方面安全性提出了相關要求和建議，供企業(yè)生產(chǎn)、運營管理人員參考。