CN104991528A - Dcs信息安全控制方法及控制站 - Google Patents

Abstract

本发明提供一种DCS信息安全控制方法及控制站，在控制站内设置控制引擎和安全引擎；所述控制引擎，主要负责控制组态算法的计算执行、设备IO处理以及控制引擎与上位机、控制站间的通讯管理；所述安全引擎，主要负责所述控制引擎的安全侦测与防御，包括控制站的访问对象安全监测、通讯数据准确校验以及所述控制引擎执行状态侦测；当控制站保护投入开关启用时，上位机向控制引擎发送的任何数据或操作访问请求都需要经过安全引擎的检测与校验；同时安全引擎也会将异常数据、异常操作的侦测结果反馈至上位机，并对异常状况提出实时报警。通过本发明，可以解决工业控制系统控制站常受病毒等威胁非法攻击、控制站运行故障难以可视化诊断等技术问题。

Description

DCS信息安全控制方法及控制站

技术领域

本发明涉及一种工业自动化控制技术，特别涉及一种DCS信息安全控制方法及DCS信息安全控制站。

背景技术

现今越来越多工业控制系统的现场控制站采用商用化PLC或工业PC产品，这些商用化设备兼容许多通用的网络协议，且普遍采用诸如IEC61131-3等标准化的编程语言，容易造成安全漏洞，被病毒、恶意软件等威胁非法入侵。

传统工业控制系统的软硬件平台存在严重的脆弱性，如Stuxnet震网病毒通过上传MC7(汇编语言)代码，获取系统控制权限，让工业网络内的PLC控制器感染，修改了DLL通讯链路，从而破坏了PLC的正常运作，甚至控制了系统的运行。造成这一现象的一个重要原因是，大部分PLC控制器的编程体系支持汇编语言，病毒可以在上位机Windows工程师站中简单编译后下载到控制器运行，而且控制器的嵌入式操作系统相当开放，其运行机制也为病毒制造者所熟悉。

然而目前大部分技术厂商针对工业控制系统网络安全提出技术研发与解决方案主要停留在研制设备或网络的安全漏洞监测系统、工业网络防火墙、安全审计以及面向各类协议的软插件系统等第三方软件工具的层面上，均未能从本质上对控制系统组态数据的编译、传输、执行等关键模块进行安全监测与优化，仍然无法有力地抵制威胁的侵入。

发明内容

本发明要解决的技术问题之一，在于提供一种DCS信息安全控制方法，解决工业控制系统控制站常受病毒等威胁非法攻击、控制站运行故障难以可视化诊断等技术问题。

本发明要解决的技术问题之一是这样实现的：一种DCS信息安全控制方法，在控制站内设置控制引擎和安全引擎；所述控制引擎，主要负责控制组态算法的计算执行、设备IO处理以及控制引擎与上位机、控制站间的通讯管理；所述安全引擎，主要负责所述控制引擎的安全侦测与防御，包括控制站的访问对象安全监测、通讯数据准确校验以及所述控制引擎执行状态侦测；当控制站保护投入开关启用时，上位机向控制引擎发送的任何数据或操作访问请求都需要经过安全引擎的检测与校验；同时安全引擎也会将异常数据、异常操作的侦测结果反馈至上位机，并对异常状况提出实时报警。

进一步的，所述上位机向控制引擎发送操作访问请求时，安全引擎的检测、校验以及实时报警具体为：

(1)、当控制引擎接收到上位机的操作访问请求时，所述安全引擎首先通过身份验证判断访问对象是否为合法用户，若是，则允许建立连接，若不是，则禁止建立连接，并产生非法入侵报警；

(2)、当控制引擎未接收到上位机的访问请求时，若所述安全引擎检测到所述控制引擎的通讯连接数比上一次有所增加，则判定为至少存在一个非法入侵操作，并产生非法入侵报警。

进一步的，所述上位机向控制引擎发送任何数据时，安全引擎的检测、校验以及实时报警具体过程为：

(1)上位机在发送目标通讯数据至控制引擎前，安全引擎先对数据进行校验和计算生成校验码，并将其与目标通讯数据一同发送至控制站；

(2)控制站接受目标通讯数据及校验码至通讯缓存区，并根据接收到的目标通讯数据重新计算校验码；

(3)安全引擎判断新计算得到的校验码与上位机发送的校验码是否一致，是则将目标通讯数据接收至控制引擎的目的共享内存区；反之，则拒绝接收目标通讯数据至目的共享内存区，并产生非法数据报警。

进一步的，所述安全引擎还实时监测控制站的运行状态，对异常情况产生相应的报警。所述安全引擎实时监测控制站的运行状态，对异常情况产生相应的报警的具体步骤如下：

(1)在上位机完成针对控制站安全诊断事务的逻辑组态、人机交互界面组态，并将诊断组态算法数据下载至控制站安全引擎中；

(2)安全引擎从控制引擎中读取控制站各功能模块的实时状态数据；该实时状态数据包括控制引擎的运行状态、CPU负荷、计算负荷、通讯负荷、通讯连接数、访问对象以及通讯数据合法性的状态信息；

(3)安全引擎结合接收到的诊断组态数据和实时状态数据，完成安全诊断相关算法的周期性计算，并将运行结果实时地反馈至上位机，并对超过阈值范围的异常状态做出报警提示。

本发明要解决的技术问题之二，在于提供一种DCS信息安全控制站，解决工业控制系统控制站常受病毒等威胁非法攻击、控制站运行故障难以可视化诊断等技术问题。

本发明要解决的技术问题之二是这样实现的：一种DCS信息安全控制站，包括控制引擎和安全引擎，控制引擎主要用于负责控制组态算法的计算执行、设备IO处理以及控制引擎与上位机、控制站间的通讯管理；安全引擎主要用于负责所述控制引擎的安全侦测与防御，包括控制站的访问对象安全监测、通讯数据准确校验以及所述控制引擎执行状态侦测；当控制站保护投入开关启用时，上位机向控制引擎发送的任何数据或操作访问请求都需要经过安全引擎的检测与校验；同时安全引擎也会将异常数据、异常操作的侦测结果反馈至上位机，并对异常状况提出实时报警。

进一步的，所述控制引擎进一步包括：

控制组态执行模块，用于在接收到控制组态数据之后，对控制组态算法进行分析、计算，并将计算结果实时地更新到共享内存中，并结合现场的实时数据和控制组态数据完成控制组态算法的周期性计算；

IO驱动模块，负责获取现场的实时数据；

基于共享内存的实时数据库，用于存储和管理获取到的现场的实时数据、源于上位机的控制组态数据、设备IO信息以及控制站各功能模块的实时状态数据；

其他功能模块，主要负责控制站冗余切换、冗余数据同步、系统存盘与加载、组态数据在线修改、数据迁移等事务的处理。

进一步的，所述安全引擎进一步包括：

入侵检测模块，用于判断控制引擎的访问对象的操作是否为非法入侵操作；

数据校验模块，用于判断上位机向控制引擎发送的数据的合法性；

状态侦测模块，用于实时监测控制站的运行状态；

诊断数据组态执行模块，用于处理控制站运行状态的实时分析及诊断计算等信息安全相关任务，对非法入侵、非法操作以及影响控制站正常运行的信息安全异常事件提出报警。

本发明具有如下优点：

1、本发明中的DCS信息安全控制站由于其运行机理与传统工业控制器不同，具有预测和防范病毒、恶意软件等威胁入侵，支持控制站运行状况的实时监测，对系统崩盘、数据非法篡改等异常状况提出报警等功能，因此能够有效地抵御针对传统控制器运行机制的攻击和威胁，确保控制站组态信息的安全，确保系统长时间地稳定运行。

2、本发明中安全引擎内置的诊断数据组态执行模块，提供了与控制引擎完全相同的控制组态计算环境，这种环境支持上位机以图形化逻辑组态的方式实现控制站安全信息的计算及故障诊断，使得控制站内部的运行状态及其变化趋势等信息更加透明化，能够有力地解决故障诊断过程数据无法可视化监测等技术问题，为工控系统控制站的信息安全提供了一种更加灵活、多变的信息安全诊断方法。

附图说明

下面参照附图结合实施例对本发明作进一步的说明。

图1为本发明DCS信息安全控制站的结构示意图。

图2为本发明DCS信息安全控制方法的流程图。

图3为本发明方法的非法入侵监测操作步骤流程图。

图4为本发明方法的目标数据合法性校验流程图。

具体实施方式

如图1到图4所示，本发明通过改变对传统控制站访问对象、数据传输和运行状态的监测方式，对可能造成系统崩溃、数据被篡改等因素进行预测与防范，能够有效地防御病毒等威胁的攻击，保护工业控制系统的信息安全。

如图1所示，本发明的DCS信息安全控制站采用双引擎模式驱动控制组态数据的计算执行与安全管理，其内部是由安全引擎和控制引擎两部分构成。

所述控制引擎，主要负责控制组态算法的计算执行、设备IO处理以及控制引擎与上位机、控制站间的通讯管理；

所述安全引擎，主要负责所述控制引擎的安全侦测与防御，包括控制站的访问对象安全监测、通讯数据准确校验以及所述控制引擎执行状态侦测；

如图2所示，当控制站保护投入开关启用时，上位机向控制引擎发送的任何数据或操作访问请求都需要经过安全引擎的检测与校验；同时安全引擎也会将异常数据、异常操作的侦测结果反馈至上位机，并对异常状况提出实时报警。

如图1所示，所述控制引擎进一步包括：

控制组态执行模块，用于在接收到控制组态数据之后，对控制组态算法进行分析、计算，并将计算结果实时地更新到共享内存中，并结合现场的实时数据和控制组态数据完成控制组态算法的周期性计算；

IO驱动模块，负责获取现场的实时数据；

基于共享内存的实时数据库，用于存储和管理获取到的现场的实时数据、源于上位机的控制组态数据、设备IO信息以及控制站各功能模块的实时状态数据；

其他功能模块，主要负责控制站冗余切换、冗余数据同步、系统存盘与加载、组态数据在线修改、数据迁移等事务的处理。

所述安全引擎进一步包括：

入侵检测模块，用于判断控制引擎的访问对象的操作是否为非法入侵操作；

数据校验模块，用于判断上位机向控制引擎发送的数据的合法性；

状态侦测模块，用于实时监测控制站的运行状态；

诊断数据组态执行模块，用于处理控制站运行状态的实时分析及诊断计算等信息安全相关任务，对非法入侵、非法操作以及影响控制站正常运行的信息安全异常事件提出报警。

其中，所述安全引擎的诊断数据组态执行模块与控制引擎的控制组态执行模块工作原理相同，即：

1)二者都具有计算、执行组态算法的功能，且提供的组态算法计算环境完全相同；

2)都支持上位机以图形化组态的方式来实现事务的计算逻辑；

3)都可将组态算法的计算结果实时地反馈至上位机相应的编程界面和监控界面中；

4)都可对各自负责处理的事件的异常状态提出实时报警。

所述安全引擎的诊断数据组态执行模块与控制引擎的控制组态执行模块不同之处在于：所述控制引擎负责处理控制系统正常运行与实时控制等相关任务，对生产工艺控制过程的异常事件提出报警，其实时数据直接来源于现场采集到的IO数据；所述安全引擎负责处理控制站运行状态的实时分析及诊断计算等信息安全相关任务，对非法入侵、非法操作以及影响控制站正常运行等信息安全异常事件提出报警，其实时数据直接来源于控制引擎。

控制站与上位机及其他控制站等外部设备间的通讯过程是病毒、恶意软件等入侵的薄弱点，因此，需要进行非法用户、非法操作的入侵监测，严格地把控访问控制站的对象，只接收授权对象的访问请求。如图3所示，所述上位机向控制引擎发送操作访问请求时，安全引擎的检测、校验以及实时报警具体分为两种情况：

(1)、当控制引擎接收到上位机的操作访问请求时，所述安全引擎首先通过身份验证判断访问对象是否为合法用户，若是，则允许建立连接，若不是，则禁止建立连接，并产生非法入侵报警；具体实施时，所述身份验证可以采用用户名、密码等身份识别信息的认证，以及验证码等方式实现。

(2)、当控制引擎未接收到上位机的访问请求时，若所述安全引擎检测到所述控制引擎的通讯连接数比上一次有所增加，则判定为至少存在一个非法入侵操作，并产生非法入侵报警；具体实施时，所述非法入侵报警提示可以通过上位机人机交互界面呈现给用户。

在访问对象安全的情况下，病毒、恶意程序等也可通过篡改数据的方式达到操纵数据或迫使控制站非法运行的目的，因此，控制站需要对上位机发送数据的合法性进行校验。如图4所示，所述上位机向控制引擎发送任何数据时，安全引擎的检测、校验以及实时报警具体过程为：

(1)上位机在发送目标通讯数据至控制引擎前，安全引擎先对数据进行校验和计算生成校验码，并将其与目标通讯数据一同发送至控制站；具体实施时，数据校验除了采用CRC校验之外，还可专门针对通讯数据加入校验和的校验方式。

(2)控制站接受目标通讯数据及校验码至通讯缓存区，并根据接收到的目标通讯数据重新计算校验码；具体实施时，可参照上位机传送的控制组态数据量的最大值，从共享内存中开设对应大小的存储区域作为通讯缓存区。

(3)安全引擎判断新计算得到的校验码与上位机发送的校验码是否一致，是则将目标通讯数据接收至控制引擎的目的共享内存区；反之，则拒绝接收目标通讯数据至目的共享内存区，并产生非法数据报警。具体实施时，所述非法数据报警提示可以通过上位机人机交互界面呈现给用户。

所述安全引擎除了具有非法用户、非法操作入侵检测以及通讯数据的合法性校验的功能之外，还实时监测控制站的运行状态，对异常情况产生相应的报警。所述安全引擎实时监测控制站的运行状态，对异常情况产生相应的报警的具体步骤如下：

(1)在上位机完成针对控制站安全诊断事务的逻辑组态、人机交互界面组态，并将诊断组态算法数据下载至控制站安全引擎中；

以控制站某模拟量功能模块运行状态的安全诊断事务为例，具体实施时，可以在上位机组态软件中借助模拟量中间输入、高低限报警器、单位时间变化量、长时限断开延时器、数字量中间输出等组态模块实现对应的诊断逻辑，借助报警指示灯、仪表盘、数字显示框、操作窗等图标控件实现人机交互界面的组态。

(2)安全引擎从控制引擎中读取控制站各功能模块的实时状态数据；该实时状态数据包括控制引擎的运行状态、CPU负荷、计算负荷、通讯负荷、通讯连接数、访问对象以及通讯数据合法性的状态信息；

具体实施时，CPU负荷状态信息可以根据实时统计的CPU使用情况来记录；数据同步、模拟量输入输出、数字量输入输出等模块的状态信息可以以周期性计算的方式记录，例如“周期性检查某进程是否在运行，是则状态点加1，并在0～10000间循环计算”。

(3)安全引擎结合接收到的诊断组态数据和实时状态数据，完成安全诊断相关算法的周期性计算，并将运行结果实时地反馈至上位机，并对超过阈值范围的异常状态做出报警提示。

具体实施时，可以借助上位机人机交互界面中的各类图标控件实时捕捉、动态监测控制站的运行状态，并将实时趋势、异常报警等安全诊断分析结果实时地呈现给用户。

虽然以上描述了本发明的具体实施方式，但是熟悉本技术领域的技术人员应当理解，我们所描述的具体的实施例只是说明性的，而不是用于对本发明的范围的限定，熟悉本领域的技术人员在依照本发明的精神所作的等效的修饰以及变化，都应当涵盖在本发明的权利要求所保护的范围内。

Claims (8)

1.一种DCS信息安全控制方法，其特征在于：在控制站内设置控制引擎和安全引擎；

所述控制引擎，主要负责控制组态算法的计算执行、设备IO处理以及控制引擎与上位机、控制站间的通讯管理；

所述安全引擎，主要负责所述控制引擎的安全侦测与防御，包括控制站的访问对象安全监测、通讯数据准确校验以及所述控制引擎执行状态侦测；

当控制站保护投入开关启用时，上位机向控制引擎发送的任何数据或操作访问请求都需要经过安全引擎的检测与校验；同时安全引擎也会将异常数据、异常操作的侦测结果反馈至上位机，并对异常状况提出实时报警。

2.如权利要求1所述的一种DCS信息安全控制方法，其特征在于：所述上位机向控制引擎发送操作访问请求时，安全引擎的检测、校验以及实时报警具体为：

(1)、当控制引擎接收到上位机的操作访问请求时，所述安全引擎首先通过身份验证判断访问对象是否为合法用户，若是，则允许建立连接，若不是，则禁止建立连接，并产生非法入侵报警；

(2)、当控制引擎未接收到上位机的访问请求时，若所述安全引擎检测到所述控制引擎的通讯连接数比上一次有所增加，则判定为至少存在一个非法入侵操作，并产生非法入侵报警。

3.如权利要求1所述的一种DCS信息安全控制方法，其特征在于：所述上位机向控制引擎发送任何数据时，安全引擎的检测、校验以及实时报警具体过程为：

(1)上位机在发送目标通讯数据至控制引擎前，安全引擎先对数据进行校验和计算生成校验码，并将其与目标通讯数据一同发送至控制站；

(2)控制站接受目标通讯数据及校验码至通讯缓存区，并根据接收到的目标通讯数据重新计算校验码；

(3)安全引擎判断新计算得到的校验码与上位机发送的校验码是否一致，是则将目标通讯数据接收至控制引擎的目的共享内存区；反之，则拒绝接收目标通讯数据至目的共享内存区，并产生非法数据报警。

4.根据权利要求1所述的一种DCS信息安全控制方法，其特征在于：所述安全引擎还实时监测控制站的运行状态，对异常情况产生相应的报警。

5.根据权利要求4所述的一种DCS信息安全控制方法，其特征在于：所述安全引擎实时监测控制站的运行状态，对异常情况产生相应的报警的具体步骤如下：

(1)在上位机完成针对控制站安全诊断事务的逻辑组态、人机交互界面组态，并将诊断组态算法数据下载至控制站安全引擎中；

(2)安全引擎从控制引擎中读取控制站各功能模块的实时状态数据；该实时状态数据包括控制引擎的运行状态、CPU负荷、计算负荷、通讯负荷、通讯连接数、访问对象以及通讯数据合法性的状态信息；

(3)安全引擎结合接收到的诊断组态数据和实时状态数据，完成安全诊断相关算法的周期性计算，并将运行结果实时地反馈至上位机，并对超过阈值范围的异常状态做出报警提示。

6.一种DCS信息安全控制站，其特征在于：包括：

控制引擎，主要用于负责控制组态算法的计算执行、设备IO处理以及控制引擎与上位机、控制站间的通讯管理；

安全引擎，主要用于负责所述控制引擎的安全侦测与防御，包括控制站的访问对象安全监测、通讯数据准确校验以及所述控制引擎执行状态侦测；

当控制站保护投入开关启用时，上位机向控制引擎发送的任何数据或操作访问请求都需要经过安全引擎的检测与校验；同时安全引擎也会将异常数据、异常操作的侦测结果反馈至上位机，并对异常状况提出实时报警。

7.根据权利要求6所述的DCS信息安全控制站，其特征在于：所述控制引擎进一步包括：

控制组态执行模块，用于在接收到控制组态数据之后，对控制组态算法进行分析、计算，并将计算结果实时地更新到共享内存中，并结合现场的实时数据和控制组态数据完成控制组态算法的周期性计算；

IO驱动模块，负责获取现场的实时数据；

基于共享内存的实时数据库，存储和管理获取到的现场的实时数据、源于上位机的控制组态数据、设备IO信息以及控制站各功能模块的实时状态数据；

其他功能模块，主要负责控制站冗余切换、冗余数据同步、系统存盘与加载、组态数据在线修改、数据迁移等事务的处理。

8.根据权利要求6或7所述的DCS信息安全控制站，其特征在于：所述安全引擎进一步包括：

入侵检测模块，用于判断控制引擎的访问对象的操作是否为非法入侵操作；

数据校验模块，用于判断上位机向控制引擎发送的数据的合法性；

状态侦测模块，用于实时监测控制站的运行状态；

诊断数据组态执行模块，用于处理控制站运行状态的实时分析及诊断计算等信息安全相关任务，对非法入侵、非法操作以及影响控制站正常运行的信息安全异常事件提出报警。