3G 通信技術在遠程監控系統中的應用

袁耀光

(上海市自來水市北有限公司，上海市 200080)

水廠原水取水泵站通常位于地理位置較為偏遠的水庫地帶，本文實例中的原水泵站距離水廠約有10 km以上距離，因此采用無線技術能方便地解決泵站監控系統的數據傳輸問題，實現泵站的無人值守運行。隨著無人泵站的不斷建設、投入運行以及運行經驗的積累，對于這類泵站的運行、維護要求也越來越高，具體體現在:泵站現場除了配置有功能強大的PLC(可編程序控制器)實現設備完善的運行數據監控外，還需配置工業視頻系統作輔助監控，兼顧安全防范功能。此外，在水廠本部，通常還配有經驗豐富的運行值班人員及維護人員，通過數據及圖像監控泵站設備的運行，故障時及時通過遠程在線系統進行運行程序的診斷、設備故障的排除，這樣盡可能地縮短生產設備的停役時間，降低故障成本。隨著這些需求的提出，傳統的窄帶技術已不能達到實現這些功能所需的通訊帶寬要求，更不具備實現較強網絡安全措施的技術條件。因此本文通過對這類泵站運行維護的需求分析，嘗試利用目前3G移動通信技術具備通訊帶寬大、信號穩定覆蓋廣的優點建立無線3G遠程通信，以滿足泵站無人值守監控系統的各項遠程運行與遠程維護要求。

1 現場監控系統

原水取水泵站設備主要由3臺潛水泵機組設備、5臺低壓配電柜、1套活性炭投加裝置、現場儀表、工業視頻與安防系統以及泵站配套的照明、通風裝置組成。現場監控系統設置于泵站低壓配電間，配置PLC控制柜一臺，選擇帶工業以太網EtherNet/IP端口的CompactLogix控制器，建立工業現場控制以太網網絡，完成所有設備及工藝運行參數的采集和自動化控制，使之具備完善的設備自動控制功能和報警診斷、故障遠程復位等程序功能。

現場PLC采集的信號主要有:

(1)泵站吸水井液位信號;

(2)機泵運行狀態信號(遠控/就地、工作/試驗、故障、運行/停役);

(3)機泵出口壓力;

(4)機泵出水閥門信號(遠控/就地、開足、關足、故障);

(5)格柵清污機運行狀態信號(遠控/就地、運行/停役、故障);

(6)總進水閥門信號(遠控/就地、開足、關足、故障);

(7)出水總管壓力信號;

(8)活性碳投加裝置運行狀態信號(遠控/就地、運行/停役、故障);

(9)活性碳加注流量信號;

(10)各配電柜遙信、遙測信號(斷路器狀態信號、電壓、電流、功率、電度等電量參數)。

2 遠程中央監控系統

遠程中央監控系統設置于水廠本部中央控制室，配置工業控制計算機2臺:其中1臺安裝運行Intouch10．0人機界面軟件，實現與原水泵站現場PLC及網絡攝像機的數據與圖像通訊，完成對泵站設備的遠程監控與操作功能;另一臺安裝工程師監控界面及PLC程序編程測試軟件，作為工程師工作站，實現對泵站現場PLC站的在線程序監控、程序上傳下載及設備故障診斷分析。

3 3G遠程通信系統

采用第三代移動通信(3G)技術構建遠程通信系統，充分利用3G網絡信號強、覆蓋廣，傳輸速率高達144 kbps～2 Mbps的優點，分別將現場監控系統和遠程中央監控系統通過3G公共網絡(Internet)進行快捷、可靠的互聯通信。在現場監控系統端設置3G接入模塊和遠程安全通信模塊，將現場工業控制以太網絡通過3G接入模塊路由并聯入公共網絡Internet;在遠程中央監控系統端設置遠程安全通信模塊，利用水廠本部已有的網絡資源將水廠中央控制以太網絡聯入到公共網絡Internet。由泵站現場控制系統、水廠中央控制系統、3G遠程通信系統共同組成3G遠程監控系統結構如圖1所示。

其中，遠程安全通信模塊:用于建立現場PLC站、網絡攝像機等設備與遠程主機間的虛擬專用局域網絡(VLAN)通道。同時該模塊提供信息交換、路由、防火墻、安全網關和VLAN等功能。

圖1 3G遠程監控系統結構Fig．1 Structure of 3G Remote Monitoring System

3G接入模塊:采用3G路由器，具有通過3G上網(使用互聯網接入服務運營商提供的3G上網SIM卡)、路由、VLAN等功能。

在考慮通過建立虛擬專用局域網絡(VLAN)通道將兩地網絡設備進行連接時，VLAN系統按隧道協議層次，可有以下幾種協議:

(1)二層隧道協議:L2F/L2TP、PPTP。

(2)三層隧道協議:GRE、IPsec。

(3)介于二、三層間的隧道協議:MPLS。

(4)基于Socket V5的VLAN。

本文實例中基于協議安全、協議支持和現場PLC站、網絡攝像機等設備的實時通信要求，采用IPsec協議，構建IP VLAN。構建遠程通信系統的步驟流程如圖2所示。

按圖2流程，構建基于3G公網的VLAN網絡，遠程中央監控計算機站及工程師工作站即可同位于本地控制以太網內的PLC站一樣，建立與泵站現場PLC站、網絡攝像機的實時通信，實現對PLC站的遠程調試、在線診斷、程序上傳下載和遠程視頻監控。

4 通過S-LINK協議實現3G遠程通信數據的安全性和完整性

圖2 構建遠程通信系統的步驟Fig．2 Establishing Steps of Remote Communication System

TCP/IP技術是最常見的一種面向連接的傳輸方式，但是在安全性方面，由于數據格式為標準格式，所以無法保證其安全性，任何在網絡上傳輸的數據均可以被攔截后解密并可能產生新的偽數據繼續傳遞，從而對工業以太網網絡上的控制器設備發出錯誤的指令。

為保證信息的機密性、真實性、完整性等這些必要的信息安全性能要求，公鑰加密技術扮演著非常重要的角色。為了增強利用互聯網而采取的必要的安全機制，主要采用防火墻技術、公開密鑰加密技術、數據加密技術、數字簽名、數字時間戳技術、身份認證和安全協議等技術和手段。但這些網絡安全技術，由于和工業現場總線的機制不同，對于工業現場總線的實時性和完整性無法保證，存在打包和解包的協議差異，需要不斷重新握手，容易造成通信丟包，容易造成協議的中斷，因此工業數據總線通信不適合采用標準的TCP/IP協議進行傳輸。

本文實例中研究定制的S-Link協議正是考慮到標準TCP/IP協議的不確定性，以及工業現場總線嚴格的數據確定性要求，以協議轉換準確和安全性為首要目標的一種非公開密鑰方式的專用協議，除了使其支持標準的TCP/IP協議外，也能穩定地支持工業實時控制以太網如Ethernet/IP在互聯網上的數據傳輸。

S-Link協議基于應用層，采用公鑰和私鑰結合使用的方式進行加密，實現工業以太網的安全加密傳輸，并符合IEC 61748-3標準中的FSCP 12(功能安全通信設備行規)規定。

加密和解密是采用不同的密鑰(公開密鑰)，也就是非對稱密鑰密碼系統，每個通信方均需要兩個密鑰，即公鑰和私鑰，這兩把密鑰可以互為加解密。公鑰是公開的，不需要保密，而私鑰是由雙方通信設備持有。發送方通過使用接收方的公鑰對數據進行加密操作，然后數據接收方使用自己的私鑰就可以對數據進行解密。接收方通過解密操作就能知道數據是否完整傳輸，如果能夠使用自己的私鑰解密數據，說明數據是真實的，否則傳輸的數據可能在傳輸過程中被篡改。

本質上私鑰加密體制和公鑰加密體制沒有任何區別，定義了一個私鑰的加密體制以私鑰E加密，公鑰D解密。兩個定義的不同在于安全定義的建立中，在一個公鑰加密體制中，攻擊者或“攻擊算法”是給定E，作為附加的輸出;這里攻擊者沒有私鑰體制E，如圖3所示。

圖3 加密和解密關系圖Fig．3 Relationship with Encryption and Decryption

S-Link基于公開密鑰的加密過程，兩個站點A和B，A想把一段明文通過雙鑰加密的技術發送給B，B有一對公鑰和私鑰，那么加密解密的過程如下:

B將B的公開密鑰傳送給A;A用B的公開密鑰加密A的消息，然后傳送給B;B用B的私人密鑰解密A的消息。過程如圖4所示。

圖4 S-Link協議的加密和解密過程Fig．4 Process of Encryption and Decryption of S-Link

反之，B要將明文發送給A，過程如圖5所示。

圖5 S-Link協議的加密和解密過程Fig．5 Process of Encryption and Decryption of S-Link

S-Link協議采用的算法為RSA算法，密鑰為128位加密，保證了工業數據的安全。

為了保證數據的完整性，S-Link采用了小包數據分發以及嚴格的數據校驗機制，各個數據包在被確認校驗正確后，將組成一個完整的數據包，并且依據工業實時以太網的格式，傳遞給具有目標IP地址的設備。

相對于無結構的數據流的TCP/IP協議，S-Link協議區分了結構化的數據流，使用數據流符合工業以太網總線的格式，在傳輸之前就已經進行了規劃。

S-Link定義了一個重發機制，采用一種“帶重傳功能的肯定確認”的技術作為提供可靠數據傳輸服務的方式。這項技術要求接收方收到數據之后向源站回送確認信息ACK。發送方對發出的每個分組都保存一份記錄，在發送下一個分組之前等待確認信息。發送方還在送出分組的同時啟動一個定時器，并在定時器的定時期滿而確認信息還沒有到達的情況下，重發剛才發出的分組。如圖6和圖7所示。

圖6 表示帶重傳功能的肯定確認協議傳輸數據的情況Fig．6 Situation of Date-Transmission Confirmation with Retransmission Function

圖7 表示分組丟失引起超時和重傳Fig．7 Situation of Timeout and Re-transmission Caused by Group Lost

為了避免由于網絡延遲引起遲到的確認和重復的確認，S-Link協議規定在確認信息中稍帶一個分組的序號，使接收方能正確將分組與確認關聯起來。

S-Link協議以此保證了數據的完整性和安全性，使得3G遠程通信能穩定進行。

5 通過VLAN技術實現工業3G遠程通信數據的實時性

本文實例采用了VLAN虛擬局域網技術將兩異地網絡建立了網絡互聯。VLAN和普通的LAN并沒有物理上的區別，VLAN是一種將局域網設備從邏輯上劃分成一個個網段，從而實現虛擬工作組的新興數據交換技術。這一新興技術主要應用于交換機和路由器中，但主流應用還是在交換機之中。VLAN是一個在物理網絡上根據用途、工作組、應用等來邏輯劃分的局域網絡，是一個廣播域，與用戶的物理位置沒有關系。VLAN中的網絡用戶是通過LAN交換機來通信的。一個VLAN中的成員看不到另一個VLAN中的成員。

本文實例中的遠程安全通訊模塊采用了VLAN技術，主要是抑制網絡上的廣播風暴，降低網絡節點的負載，保證數據的傳輸通暢和及時性，增加網絡的安全性，實現集中化的管理控制。

為了能夠在虛擬局域網中集成不支持VLAN的終端設備和子網，遠程安全通訊模塊SY-RSCM300擔負起增加和刪除增加的VLAN信息的職責。

加入一個VLAN所依據的標準是多種多樣的，本文實例采用的是按端口劃分方案加入VLAN。

將VLAN交換機上的物理端口和VLAN交換機內部的PVC(永久虛擬電路)端口分成若干個組，每個組構成一個虛擬網，相當于一個獨立的VLAN交換機。這種按網絡端口來劃分VLAN網絡成員的配置過程簡單明了。

VLAN交換機需了解VLAN的成員關系，即要讓交換機知道哪一個工作站屬于哪一個VLAN。基于VLAN交換機端口來組建的VLAN，其VLAN成員是以直接的形式與其他成員聯系的。

本文實例采用了幀標簽技術，即在每個數據包都加上一個標簽，用來標明數據包屬于哪個VLAN，這樣，VLAN交換機就能夠將來自不同VLAN的數據流復用到相同的VLAN交換機上。在VLAN TAG的幀中，4個字節中有3位用于表示VLAN的優先級，第一個隊列處理最高優先級的數據幀，也就是可以處理工業以太網如EtherNet/IP實時的數據幀，保證工業以太網數據的優先和實時性。

同時，為了提高通信效率，保證通信的實時性，還采用了虛連接方式。網絡用戶A和B第一次通信時，發送地址解析(ARP)廣播包，VLAN交換機將學習到的MAC和所連接的VLAN交換機的端口號保存到動態條目MAC地址列表中，當A和B有數據要傳時，VLAN交換機從其端口收到的數據包中識別出目的MAC地址，查動態條目MAC地址列表，得到目的站點所在的VLAN交換機端口，這樣兩個端口間就建立起一條虛連接，數據包就可從源端口轉發到目的端口。數據包一旦轉發完畢，虛連接即被撤銷。這種方式使帶寬資源得到了很好利用，提高了VLAN交換機效率。

VLAN接入鏈路是用來將非VLAN標識的工作站或者非VLAN成員資格的VLAN設備接入一個VLAN交換機端口的一個LAN網段。它不能承載標記數據。

VLAN中繼鏈路，是指承載標記數據(即具有VLANID標簽的數據包)的干線鏈路，只能支持那些理解VLAN幀格式和VLAN成員資格的VLAN設備。中繼鏈路是連接兩個VLAN交換機的鏈路，本文實例采用了鏈路聚合(Trunking)技術，該技術采用VTP(VLANTrunkingProtoco1)協議，即在物理上每臺VLAN交換機的多個物理端口是獨立的，多條鏈路是平行的，采用VTP技術處理以后，邏輯上VLAN交換機的多個物理端口為一個邏輯端口，多條物理鏈路為一條邏輯鏈路。這樣，VLAN交換機上使用生成樹協議STP(SpanningTreeProtocol)就不會將物理上的多條平行鏈路構成的環路中止掉，而且，帶有VLAN ID標簽的數據流可以在多條鏈路上同時進行傳輸共享，實現數據流的高效快速平衡傳輸，如圖8所示。

圖8 采用VTP協議的Trunking技術Fig．8 Trunking Technique with VTP Protocol

如果只標記TAG的幀和進口過濾，意味著設置了接收到的幀的屬性。

連接到DTE的端口必須設置不含VLAN TAG，因為一般DTE不能解釋帶有TAG的幀，即設置為U。

交換機到交換機的 VLAN連接(主干連接Trunk)必須含有VLAN TAG，即設置M。

網絡組態由遠程安全通信模塊A和B組成，且通過各自的WAN口通過Interne相連，1#設備、2#設備分別連接到A的兩個LAN口。3#設備、4#設備分別連接到B的兩個LAN口。如圖9所示。

圖9 遠程安全通用模塊A和BFig．9 Remote Security Communication Module A and B

其中，設置1#和3#設備屬于 VLAN10，2#和4#設備屬于VLAN11。組建了不同的VLAN之后，1#和3#設備在同一個虛擬網絡內，可以互相Ping通，互相訪問，而不能Ping另外VLAN11內的2#或者4#設備。

這樣通過VLAN技術，就可以較大幅度地減少網絡上的負載，做到遠程通信的最高效化，提高工業通信所要求的實時性，滿足工業以太網絡通信的需求。

6 結語

(1)基于S-Link協議技術和VLAN技術實現3G無線遠程安全通信，組建遠方監控中心對現場PLC進行程序級訪問的工業遠程網絡監控系統，將現場PLC控制器、工業平板計算機、變頻器、軟起動器、多功能電能測量儀表等智能化現場控制與一次執行設備和遠方監控計算機實時互連，完成工業數據的實時通信，對現場工業控制設備作程序級在線訪問控制，通過最為便利的互聯網實現遠程診斷和遠程調試，極大地降低了對現場設備的調試、維護成本。并且通過S-Link協議技術和VLAN技術實現了工業數據的安全性、實時性和完整性，確保了通過公共網絡傳輸的安全可靠和穩定運行。

(2)在對3G網絡和VLAN應用研究的基礎上，本文實例還構建了PLC遠程診斷和維護系統，通過公共的Internet網絡，實現水廠本部監控計算機與現場PLC、攝像機之間的工業數據安全傳輸，為設備的遠程在線診斷、上下載程序和在線編程提供了技術支撐和生產運行的安全保障。近兩年的運行結果表明，運用該系統對現場PLC控制系統進行設備遠程診斷和維護是可行的、有效的、安全的，值得推廣。4G(第四代移動通信技術)的應用已逐步推廣，其速度將提升幾十倍，這將使遠程診斷與維護的實時響應性更加快捷，應用將更為廣泛。對于大量的控制系統而言，例如城市供水管網泵站、排水泵站及居民小區供水泵站采用本文介紹的網絡架構和技術，可方便地實現遠程監控、遠程在線診斷和維護功能，節省大量的建設和維護時間成本、人力成本，在供排水業內具有廣泛的應用與推廣前景。