在工業(yè)自動(dòng)化和控制系統(tǒng)中，采用開(kāi)放網(wǎng)絡(luò)標(biāo)準(zhǔn)，為制造商提高生產(chǎn)力和快速響應(yīng)生產(chǎn)過(guò)程中的突發(fā)事件，創(chuàng)造了新的機(jī)會(huì)。使用標(biāo)準(zhǔn)網(wǎng)絡(luò)技術(shù)，諸如用以太網(wǎng)和TCP/IP連接自動(dòng)化和控制系統(tǒng)，制造商可以實(shí)時(shí)與遠(yuǎn)程的工程師和合作伙伴共享工廠的數(shù)據(jù)、應(yīng)用和資源。這些能力是非常重要的，因?yàn)橹圃焐踢\(yùn)行在更復(fù)雜和全球化的環(huán)境下，系統(tǒng)需要保持每周7天、每天24小時(shí)的可用性?；谒伎坪土_克韋爾自動(dòng)化融合工廠以太網(wǎng)參考架構(gòu)的遠(yuǎn)程訪問(wèn)，為制造商在恰當(dāng)?shù)臅r(shí)間提供了正確的方法和資源，與他們的物理位置無(wú)關(guān)。這樣可以在生產(chǎn)運(yùn)行過(guò)程中實(shí)現(xiàn)高效率、少停機(jī)和低成本。
為了增加靈活性和提高生產(chǎn)效率，制造商在他們的工業(yè)自動(dòng)化和控制系統(tǒng)中采用開(kāi)放網(wǎng)絡(luò)標(biāo)準(zhǔn)。使用開(kāi)放標(biāo)準(zhǔn)網(wǎng)絡(luò)的益處之一就是具有遠(yuǎn)程訪問(wèn)自動(dòng)化系統(tǒng)的能力。工程人員和合作伙伴可以共享工廠數(shù)據(jù)、應(yīng)用和資源，而與他們的物理位置無(wú)關(guān)。
這種靈活性對(duì)當(dāng)今的制造商而言是非常重要的，因?yàn)榭梢蕴岣呷蚧芰?、降低生產(chǎn)成本、共享信息數(shù)據(jù)和快速解決生產(chǎn)中的問(wèn)題，這對(duì)每個(gè)制造商都是巨大的挑戰(zhàn)。本文就如何實(shí)現(xiàn)高度安全的遠(yuǎn)程訪問(wèn)進(jìn)行了探討。
一、實(shí)施遠(yuǎn)程訪問(wèn)的原則
當(dāng)允許遠(yuǎn)程訪問(wèn)工廠數(shù)據(jù)和資源時(shí)，要堅(jiān)守一些原則。這些原則也被思科和羅克韋爾自動(dòng)化開(kāi)發(fā)的參考架構(gòu)所使用，包含在嚴(yán)格控制遠(yuǎn)程訪問(wèn)自動(dòng)化和控制應(yīng)用的重要概念中。
1． 使用IT認(rèn)可的用戶訪問(wèn)、驗(yàn)證策略和訪問(wèn)程序
對(duì)企業(yè)資源和服務(wù)的訪問(wèn)要進(jìn)行監(jiān)視和記錄。企業(yè)應(yīng)該事先知道每個(gè)用戶的背景，并且分配一個(gè)獨(dú)有的賬號(hào)。用戶每次訪問(wèn)網(wǎng)絡(luò)，要通過(guò)驗(yàn)證并且給予適當(dāng)在企業(yè)內(nèi)的授權(quán)。出于審計(jì)目的，對(duì)訪問(wèn)要進(jìn)行跟蹤和記錄。對(duì)工廠現(xiàn)場(chǎng)數(shù)據(jù)和資源訪問(wèn)的批準(zhǔn)，應(yīng)該遵從企業(yè)IT部門的流程進(jìn)行。
合作伙伴、遠(yuǎn)程工程師或供應(yīng)商采用其他方案（諸如：調(diào)制解調(diào)器、電話線和因特網(wǎng)直接訪問(wèn)）訪問(wèn)工廠和制造區(qū)，可能產(chǎn)生對(duì)工廠和企業(yè)網(wǎng)絡(luò)的風(fēng)險(xiǎn)，除非這些方案遵從IT的政策和流程。
2. 只在制造區(qū)使用自動(dòng)化和控制協(xié)議
思科和羅克韋爾自動(dòng)化參考架構(gòu)中的關(guān)鍵原則是“CIP只在制造區(qū)”使用。CIP，公共工業(yè)協(xié)議，和其他核心的自動(dòng)化和控制協(xié)議，包括FactoryTalk?實(shí)時(shí)數(shù)據(jù)、OPC-DA、Modbus TCP應(yīng)在制造區(qū)內(nèi)使用。這些運(yùn)行在設(shè)備上的協(xié)議，信息安全能力非常有限。因?yàn)楣S的流程是通過(guò)它們對(duì)自動(dòng)化機(jī)械實(shí)現(xiàn)啟動(dòng)、停止和操作，所以它們對(duì)工業(yè)自動(dòng)化和控制系統(tǒng)有舉足輕重的影響。
因此，自動(dòng)化和控制協(xié)議不應(yīng)該脫離制造區(qū)。在制造區(qū)里，自動(dòng)化和控制設(shè)備是在熟悉的物理邊界里，由訓(xùn)練有素的人員安裝、操作和維護(hù)。對(duì)這個(gè)區(qū)域的協(xié)議限制，可以確保自動(dòng)化和控制設(shè)備在熟知的設(shè)備和應(yīng)用之間正常通信。另外，這些設(shè)備和應(yīng)用的用戶是經(jīng)過(guò)驗(yàn)證并對(duì)于他們的角色給予了相應(yīng)的授權(quán)。
這個(gè)原則也許在今后會(huì)重新考慮，因?yàn)榇嬖诘男畔踩O(shè)備（諸如防火墻）可以嚴(yán)格管轄來(lái)自制造區(qū)之外的自動(dòng)化和控制數(shù)據(jù)流。這會(huì)要求這些“應(yīng)用”防火墻具有一個(gè)適度的應(yīng)用或協(xié)議知曉等級(jí)，可以對(duì)網(wǎng)絡(luò)部分通信包和數(shù)據(jù)部分充分檢查，建立設(shè)備的知名度和信任度。在現(xiàn)代企業(yè)級(jí)防火墻上實(shí)現(xiàn)這項(xiàng)技術(shù)之前，我們推薦自動(dòng)化和控制協(xié)議“只在制造區(qū)”使用。
3. 控制應(yīng)用
這里考慮的要點(diǎn)是由遠(yuǎn)程伙伴或工程師控制應(yīng)用。當(dāng)遠(yuǎn)程訪問(wèn)工廠現(xiàn)場(chǎng)時(shí)，作為一種最佳實(shí)踐，合作伙伴和遠(yuǎn)程工程師應(yīng)使用在控制應(yīng)用服務(wù)器上的自動(dòng)化和控制應(yīng)用版本（諸如FactoryTalk? View或RSLogix? 5000），原因如下：
? 使工廠能夠嚴(yán)格控制應(yīng)用程序的版本升級(jí)。
? 控制訪問(wèn)的等級(jí)和遠(yuǎn)程人員的授權(quán)。使用安裝在遠(yuǎn)程系統(tǒng)的應(yīng)用（諸如FactoryTalk? View）很難區(qū)分用戶是在本地，還是在遠(yuǎn)程，這會(huì)造成自動(dòng)化和控制協(xié)議離開(kāi)制造區(qū)。
? 防止在遠(yuǎn)程系統(tǒng)的病毒或其他危險(xiǎn)影響制造區(qū)的應(yīng)用和系統(tǒng)。
在遠(yuǎn)程用戶的計(jì)算機(jī)上使用自動(dòng)化和控制應(yīng)用，對(duì)自動(dòng)化和控制會(huì)帶來(lái)極大的風(fēng)險(xiǎn)，作為最佳實(shí)踐，應(yīng)該避免這種情況發(fā)生。
4. 沒(méi)有直接數(shù)據(jù)流
圖1 有隔離帶的6層工廠結(jié)構(gòu)
[DividePage:NextPage]
就像圖1中紅色拒絕圈所標(biāo)出的，在企業(yè)區(qū)（包括因特網(wǎng)）和制造區(qū)之間，不允許有直接的數(shù)據(jù)流通過(guò)。操作應(yīng)用或安裝補(bǔ)丁必須要有兩個(gè)步驟，先把補(bǔ)丁下載到隔離區(qū)（DMZ）中的補(bǔ)丁服務(wù)器當(dāng)中，然后再安裝到制造區(qū)的設(shè)備當(dāng)中。
在控制系統(tǒng)中，安裝補(bǔ)丁應(yīng)按照上面描述的兩個(gè)階段進(jìn)行，因?yàn)檠a(bǔ)丁在安裝到生產(chǎn)系統(tǒng)之前，必須先在測(cè)試環(huán)境中進(jìn)行驗(yàn)證。遠(yuǎn)程訪問(wèn)控制網(wǎng)絡(luò)上的設(shè)備需要登錄，或至少通過(guò)一個(gè)代理服務(wù)器。遠(yuǎn)程訪問(wèn)服務(wù)器像一條咽喉要道，對(duì)遠(yuǎn)程訪問(wèn)需要進(jìn)一步驗(yàn)證、登錄和過(guò)濾，才能到達(dá)應(yīng)用服務(wù)器。這就提供了一種縱深的問(wèn)責(zé)制。
在這個(gè)架構(gòu)中，工廠防火墻成為遠(yuǎn)程用戶與制造區(qū)自動(dòng)化和控制應(yīng)用之間的代理服務(wù)器，嚴(yán)格管轄進(jìn)出每個(gè)區(qū)域的數(shù)據(jù)流，因而保持了最佳實(shí)踐。
5. 無(wú)公共協(xié)議或端口
沒(méi)有一種協(xié)議在同一個(gè)時(shí)間用同一個(gè)端口，穿越一個(gè)防火墻再穿過(guò)另一個(gè)防火墻，見(jiàn)圖1。這就防止了蠕蟲(chóng)，如：蠕蟲(chóng)王（Slammer）穿過(guò)上層防火墻，在隔離區(qū)感染系統(tǒng)，進(jìn)而在控制區(qū)域傳播病毒。
6. 僅有一個(gè)通道入或出
從DMZ通過(guò)低層防火墻進(jìn)入制造區(qū)的通道僅有一條，或進(jìn)或出。從企業(yè)局域網(wǎng)通過(guò)上層防火墻進(jìn)入DMZ的通道也只有一條。
以上的原則其實(shí)包含了一個(gè)重要的概念，這就是首先要嚴(yán)格控制對(duì)自動(dòng)化和控制應(yīng)用的遠(yuǎn)程訪問(wèn)，而不是盲目信賴遠(yuǎn)程用戶在訪問(wèn)工廠應(yīng)用時(shí)不做錯(cuò)事。
二、遠(yuǎn)程訪問(wèn)用例
考慮遠(yuǎn)程訪問(wèn)的用例非常重要，因?yàn)榻鉀Q方案應(yīng)該滿足用例的需求。遠(yuǎn)程訪問(wèn)制造工廠的用例具有一些基本特性，包括用戶是誰(shuí)（角色－包括內(nèi)部員工、合作伙伴和供應(yīng)商），以及用戶的位置在哪里（物理和網(wǎng)絡(luò)的位置）。不同的用例有著不同的考慮和需求。
1. 角色
本文討論對(duì)工廠數(shù)據(jù)和應(yīng)用實(shí)時(shí)訪問(wèn)的部署，用戶要對(duì)生產(chǎn)監(jiān)視或操作或采取某些行動(dòng)。角色可以由內(nèi)部或外部人員來(lái)扮演，并假設(shè)已經(jīng)事先確定。本文不討論從企業(yè)ERP應(yīng)用讀取連續(xù)數(shù)據(jù)的方法，雖然當(dāng)前的方案不排除或約束這種機(jī)制。
實(shí)施遠(yuǎn)程訪問(wèn)要考慮的關(guān)鍵點(diǎn)是事先必須了解用戶，應(yīng)是長(zhǎng)期或經(jīng)常訪問(wèn)工業(yè)自動(dòng)化和控制系統(tǒng)的人員。在部署訪問(wèn)時(shí)，這是對(duì)用戶的基本要求，特別是外部用戶，諸如合作伙伴或供應(yīng)商，通常要向IT部門提出申請(qǐng)，申請(qǐng)的批復(fù)和實(shí)施要花一些時(shí)間。公司的相關(guān)策略應(yīng)該定義了不同的角色和訪問(wèn)的等級(jí)。
2. 位置
本文把位于企業(yè)網(wǎng)絡(luò)之中（在制造區(qū)的外部）和企業(yè)網(wǎng)絡(luò)之外的遠(yuǎn)程用戶一并考慮。
企業(yè)內(nèi)的用戶可不使用下面描述的所有技術(shù)（諸如建立到企業(yè)的VPN），因?yàn)樗麄円呀?jīng)遵從公司已有的安保策略了。
本文也不討論當(dāng)伙伴或第三方客戶的物理位置已經(jīng)在工廠內(nèi)的情況。因?yàn)橛泻芏嗉夹g(shù)可用于客戶訪問(wèn)，包括無(wú)線客戶訪問(wèn)或網(wǎng)絡(luò)準(zhǔn)許控制，這些技術(shù)為Web瀏覽器提供了通用的因特網(wǎng)訪問(wèn)。這些方法可以與指定技術(shù)結(jié)合使用，實(shí)現(xiàn)遠(yuǎn)程訪問(wèn)，制造區(qū)外邊基于隧道的客戶可以使用本文描述的方法訪問(wèn)制造區(qū)。
三、體系架構(gòu)
按照思科和羅克韋爾自動(dòng)化參考架構(gòu)的原則，實(shí)施對(duì)工廠現(xiàn)場(chǎng)應(yīng)用和數(shù)據(jù)的高安全遠(yuǎn)程訪問(wèn)，已成為要直接面對(duì)的問(wèn)題。實(shí)現(xiàn)遠(yuǎn)程訪問(wèn)要基于已經(jīng)存在架構(gòu)：
? 最佳實(shí)踐企業(yè)的遠(yuǎn)程工作方案，大多由IT部門負(fù)責(zé)實(shí)施和操作。
? 思科和羅克韋爾自動(dòng)化融合工廠以太網(wǎng)的參考架構(gòu)，采用了在隔離區(qū)DMZ部署防火墻的方案，使用現(xiàn)代的防火墻管理和檢查出入DMZ的數(shù)據(jù)流。
在考慮實(shí)施遠(yuǎn)程訪問(wèn)時(shí)，下面的問(wèn)題會(huì)幫助工廠判斷是否做好了準(zhǔn)備：
? 有沒(méi)有一套IT的信息安全策略？
? 對(duì)員工有沒(méi)有一套遠(yuǎn)程訪問(wèn)策略？有基礎(chǔ)架構(gòu)支撐嗎？采用什么技術(shù)/產(chǎn)品的虛擬私有網(wǎng)絡(luò)VPN？
? 有沒(méi)有一套針對(duì)合作伙伴的遠(yuǎn)程訪問(wèn)策略？有增加伙伴（OEM、系統(tǒng)集成商、供應(yīng)商和承包商）的能力和程序嗎？
如果這些能力和安保策略已經(jīng)到位，實(shí)施遠(yuǎn)程訪問(wèn)的關(guān)鍵就是遠(yuǎn)程訪問(wèn)服務(wù)器的安裝和配置。圖2表示了一種遠(yuǎn)程訪問(wèn)架構(gòu)的簡(jiǎn)單版本。
[DividePage:NextPage]
圖2 簡(jiǎn)化的遠(yuǎn)程訪問(wèn)架構(gòu)
DMZ設(shè)計(jì)為：允許不在本地生產(chǎn)現(xiàn)場(chǎng)的用戶或應(yīng)用共享數(shù)據(jù)和應(yīng)用。這就意味著可以把關(guān)鍵數(shù)據(jù)復(fù)制到DMZ的一個(gè)服務(wù)器中，使得在其他區(qū)域的用戶/應(yīng)用可以看見(jiàn)那些數(shù)據(jù)。DMZ相當(dāng)于一個(gè)代理服務(wù)器，允許其他用戶間接連接網(wǎng)絡(luò)，讀取位于其他網(wǎng)絡(luò)區(qū)域中數(shù)據(jù)和應(yīng)用。
當(dāng)把數(shù)據(jù)復(fù)制到DMZ時(shí)，數(shù)據(jù)在制造區(qū)和企業(yè)區(qū)之間快速而高效地傳輸。在實(shí)時(shí)訪問(wèn)實(shí)際生產(chǎn)系統(tǒng)和應(yīng)用時(shí)，多數(shù)是要解決具體問(wèn)題，收集實(shí)時(shí)信息，或進(jìn)行過(guò)程調(diào)節(jié)。遠(yuǎn)程訪問(wèn)能力除了針對(duì)DMZ使用的終端服務(wù)，還可以通過(guò)代理服務(wù)器實(shí)時(shí)連接安裝在制造區(qū)的專用遠(yuǎn)程訪問(wèn)服務(wù)器，訪問(wèn)自動(dòng)化和控制應(yīng)用。本文強(qiáng)調(diào)的安保機(jī)制，使得外部用戶對(duì)企業(yè)的訪問(wèn)具有高度的安全，從企業(yè)網(wǎng)絡(luò)訪問(wèn)外部的情況也一樣。
經(jīng)過(guò)因特網(wǎng)，遠(yuǎn)程用戶（伙伴或雇員）也能通過(guò)遠(yuǎn)程訪問(wèn)服務(wù)器訪問(wèn)工業(yè)自動(dòng)化和控制系統(tǒng)。遠(yuǎn)程用戶的位置通常沒(méi)有高帶寬、低延時(shí)的連接。本文概要介紹了使用瀏覽器和終端服務(wù)，類似瘦客戶機(jī)，可以在低帶寬、大延時(shí)的網(wǎng)絡(luò)環(huán)境下較好地運(yùn)行。這里沒(méi)有提出任何帶寬或延時(shí)的要求，也沒(méi)有探究任何管理或監(jiān)視應(yīng)用在低帶寬、大延時(shí)情況下的性能。
四、思科與羅克韋爾的解決方案
思科與羅克韋爾自動(dòng)化融合企業(yè)以太網(wǎng)的參考架構(gòu)包括下面組件：
? 適配信息安全產(chǎn)品：Cisco ASA 5500系列適配安保產(chǎn)品提供了對(duì)關(guān)鍵區(qū)域的防衛(wèi)，包括隔離區(qū)DMZ的定義和保護(hù)。這些安保產(chǎn)品可以實(shí)現(xiàn)多種先進(jìn)功能，包括防火墻功能，諸如有狀態(tài)（stateful）包檢查、應(yīng)用級(jí)防火墻和協(xié)議檢查。Cisco ASA 5500系列產(chǎn)品還可以加入更多的先進(jìn)功能，諸如侵入檢測(cè)和防護(hù)、VPN功能等。選用相適應(yīng)、多功能防火墻是建立牢固的區(qū)域防衛(wèi)、達(dá)到預(yù)防目標(biāo)的一個(gè)重要步驟。
? 入侵防御系統(tǒng)（IPS）：在企業(yè)和制造網(wǎng)絡(luò)之間部署，IPS可以檢測(cè)和阻止攻擊，包括蠕蟲(chóng)、病毒和其他惡意軟件，通過(guò)內(nèi)聯(lián)（inline）入侵防護(hù)這種創(chuàng)新技術(shù)，可識(shí)別惡意網(wǎng)絡(luò)活動(dòng)。使得在它們?cè)诘竭_(dá)工業(yè)自動(dòng)化和控制系統(tǒng)之前，就阻斷這些威脅，幫助用戶確保制造數(shù)據(jù)和設(shè)備的可用性和完整性。這些功能已經(jīng)集成到Cisco ASA 5500系列設(shè)備中，可把它們看作是工廠的防火墻。
[DividePage:NextPage]
? 安保體系架構(gòu)：安全網(wǎng)絡(luò)平臺(tái)可集成多種安保功能的應(yīng)用，這對(duì)制造區(qū)和企業(yè)區(qū)都很重要，諸如虛擬局域網(wǎng)VLAN，訪問(wèn)控制列表ACL，端口安保特性和網(wǎng)絡(luò)保護(hù)特性。
? 遠(yuǎn)程訪問(wèn)服務(wù)器：在制造區(qū)的房間內(nèi)安裝遠(yuǎn)程訪問(wèn)服務(wù)器，僅用于遠(yuǎn)程工程師和合作伙伴對(duì)自動(dòng)化和控制應(yīng)用的訪問(wèn)。遠(yuǎn)程訪問(wèn)服務(wù)器是一種專用的物理服務(wù)器，具有相應(yīng)的終點(diǎn)安保功能。作為一種專用服務(wù)器，它可以配置在一條專用的遠(yuǎn)程訪問(wèn)VLAN中，能夠很好地管理進(jìn)出服務(wù)器的數(shù)據(jù)流。
? 生產(chǎn)的控制和信息：為整個(gè)工廠生產(chǎn)控制系統(tǒng)設(shè)計(jì)的一個(gè)公共控制和信息平臺(tái)，羅克韋爾自動(dòng)化的集成架構(gòu)是一個(gè)控制和信息架構(gòu)，由Logix硬件控制平臺(tái)和FactoryTalk?生產(chǎn)與管理系列軟件組成，支持EtherNet/IP和其他開(kāi)放標(biāo)準(zhǔn)。FactoryTalk?由模塊化生產(chǎn)策略和多個(gè)服務(wù)平臺(tái)組成，通過(guò)EtherNet/IP緊密地與Logix控制平臺(tái)結(jié)合。Logix可編程自動(dòng)化控制器是一種單一的控制架構(gòu)，提供了離散量、變頻器、運(yùn)動(dòng)控制、連續(xù)流程和批次生產(chǎn)控制系統(tǒng)。
? 使用思科技術(shù)的Stratix 8000? 模塊化管理型交換機(jī)：結(jié)合了羅克韋爾自動(dòng)化和思科的最佳技術(shù)，羅克韋爾自動(dòng)化的工業(yè)以太網(wǎng)交換機(jī)使用當(dāng)今思科的Catalyst?操作系統(tǒng)，提供的特性和用戶界面為IT人員所熟悉，同時(shí)為用戶配備了簡(jiǎn)單的安裝方法和基于羅克韋爾自動(dòng)化集成架構(gòu)的完整診斷信息。
這種解決方案按照思科和羅克韋爾自動(dòng)化的最新組件設(shè)計(jì)，并且通過(guò)了測(cè)試驗(yàn)證。當(dāng)然，制造商也可以使用老產(chǎn)品或其他品牌的組件，但有可能不具備前面描述的所有功能，因此，別的方案可能沒(méi)有達(dá)到“縱深防御”的同等級(jí)別。所以，我們總是建議：正確地定義信息安全策略和恰當(dāng)?shù)孛枋鲂畔踩δ苁浅晒Φ年P(guān)鍵。
五、結(jié)論
在工業(yè)自動(dòng)化和控制系統(tǒng)中，采用開(kāi)放網(wǎng)絡(luò)標(biāo)準(zhǔn)，為制造商提高生產(chǎn)力和快速響應(yīng)生產(chǎn)過(guò)程中的突發(fā)事件，創(chuàng)造了新的機(jī)會(huì)。使用標(biāo)準(zhǔn)網(wǎng)絡(luò)技術(shù)，諸如用以太網(wǎng)和TCP/IP連接自動(dòng)化和控制系統(tǒng)，制造商可以實(shí)時(shí)與遠(yuǎn)程的工程師和合作伙伴共享工廠的數(shù)據(jù)、應(yīng)用和資源。這些能力是非常重要的，因?yàn)橹圃焐踢\(yùn)行在更復(fù)雜和全球化的環(huán)境下，系統(tǒng)需要保持每周7天、每天24小時(shí)的可用性。基于思科和羅克韋爾自動(dòng)化融合工廠以太網(wǎng)參考架構(gòu)的遠(yuǎn)程訪問(wèn)，為制造商在恰當(dāng)?shù)臅r(shí)間提供了正確的方法和資源，與他們的物理位置無(wú)關(guān)。這樣可以在生產(chǎn)運(yùn)行過(guò)程中實(shí)現(xiàn)高效率、少停機(jī)和低成本。
由于生產(chǎn)控制系統(tǒng)的自然屬性，對(duì)任何遠(yuǎn)程訪問(wèn)方案提出適當(dāng)?shù)男畔踩燃?jí)是重要的。思科與羅克韋爾自動(dòng)化一起合作開(kāi)發(fā)的架構(gòu)可以滿足這些需求，為遠(yuǎn)程工程師和合作伙伴提供了安全的訪問(wèn)服務(wù)。
