油田站場工控系統聯網安全防護分析

劉勇智

（大慶油田信息技術公司物聯網分公司，黑龍江 大慶 163000）

油田的生產過程中油氣站場是重要環節，油氣站場的數量十分龐大，目前油田工業化和信息化有機的結合在一起，以工業生產自動化、生產管理流程優化、集中監控、人員配置合理化、遠程調度為建設發展的目標。油田站場要實現工業控制系統，就必然需要對外聯網，但是對外聯網中信息的安全問題又十分重要。信息安全問題主要有兩個方面，一是生產數據信息保密安全（Security），二是生產設施運行安全（Safety）。油田站場工業控制系統中的生產數據信息保密安全和一般的IT行業領域相同，相關的技術已經成熟，防護方面取得了一定的成績。因此我們主要的分析內容為生產設施運行安全，從專業的方面，對生產設施運行安全防護問題向著工業自動化的方向發展，設計人員一定要對過程控制和實時監控能力進行重點關注；在安全方面，需要關注各個單元之間的聯動安全和冗余安全，對外聯網的安全防護問題有所忽略。

1 油田工業控制系統的現狀分析

1.1 油田工業控制系統應用現狀

我國的油田分布比較廣泛，大部分都在一些比較偏遠的地區，人工作業比較困難，所以油田自動化信息的建設對于油氣的采集有著重要作用，油田自動化建設包括油井遠程監控、配電線自動化系統、技術站庫自動化監控系統、輸油管線泄漏檢測系統等。油田工業控制系統中的重要組成就是油氣采集和油井自動控制系統，油井的相關數據能夠通過現場控制系統自動進行采集，采集的信息數據通過油田控制系統互聯網傳輸到廠級數據庫中，為各個部門提供相關的數據信息。管理人員通過油田控制系統能夠及時了解和掌握實時的動態信息和數據，將收集的信息數據進行分析、優化，實現自動化的生產過程。

1.2 典型油田工控系統的網絡結構

目前信息化和工業之間已實現有機結合，油田的自動化系統已經不是傳統的信息孤島，為了保障石油、天然氣的開采和傳輸效率，各個地區的油田通過通信系統網絡連接在一起，對于生產管理和高層決策起到了關鍵的作用。

2 油田站場工控數據的應用網絡架構

我們以油氣生產物聯網設計的應用結構為基礎，油氣生產物聯網系統規劃和實施中，站場的工業數控系統上傳是其中重要的內容之一。通過OPC接口，我們將站場工業控制系統收集的生產數據信息，實時的傳輸到數據庫中，再傳輸到油田數據庫中，有效保障了生產管理平臺的數據來源。站場工業控制系統中收集的數據信息主要通過生產網來傳輸，生產網在油田規劃建設中起到了關鍵的作用，承載著油田層、采油廠層、作業區層、小隊層之間生產數據的傳輸。辦公網絡和生產專網需要分割開來，通過相關的安全措施，在油田層面進行可控互聯。油田的生產專網要比辦公網和互聯網更加安全，降低生產專用網來自外部攻擊的幾率，因此油田站場工業控制系統的聯網安全防護十分重要，主要的原因有以下兩點：首先是生產專網受到投資和光纜資源的限制，很難在一次施工中全部完成，一些部分還是依托已經完成自動化改造的原有辦公網絡基礎上進行，這樣專用網可能受到攻擊的概率加大；然后就算生產專用網建設完成，生產專用網中的相關數據信息，在不同的采油廠、不同礦區、不同站場都是公開的，還是存在著一定的安全隱患。

3 油田站場工控系統的組成及安全風險分析

3.1 油田站場工控系統的組成

油田的站場工業控制系統的組成一般比較簡單，主要的組成部分有站場過程控制層、油田信息管理層、站場生產監控層3個方面。站場過程控制層的組成又包括可編程邏輯控制器（PLC）、控制執行設備、各類傳感器等。PLC將傳感器中的數據信息進行收集，傳輸給站場的中央控制室，同時又接收來自中央控制室的指令，PLC與中央控制室之間需要滿足雙向通信，采取Modbus、Profibus-DP協議為主。站場生產監控層的主要組成為服務器、工程師站、操作員站等，與PLC相比較，都屬于上位機系統。同時將編程組態軟件和監控操作軟件安裝在工程師站中，可以和PLC下位機進行傳輸，有效實現程序的上傳、下載，文件的新建、編輯、修改等功能，同時還能和服務器進行傳輸，實現對生產設備的操作、監控、報警等功能。信息管理層的主要組成有關系數據庫、油田統一部署的實時數據庫、生產管理平臺等。油田、采油廠、作業區、工區每個業務部門主要是通過生產管理平臺進行生產過程的檢測、生產分析、工況診斷、物聯網管理、報表管理、視頻監視、數據管理、輔助分析、決策支持等工作。

3.2 油田站場工控系統的安全風險分析

經過對油田站場工業控制系統數據流向、系統功能、系統構架的分析和研究，我們發現站場工業控制系統能受到攻擊的安全分險主要有以下幾點：首先是站場生產網邊界和站場過程網邊界，兩者的邊界沒有部署工業安全防護設備、沒有明確的安全邊界定義、沒有完整的通信檢測、含有非受控流量的控制網絡等，存在一定的受攻擊的安全風險；然后是站場生產監控層的操作員站、工程師站、服務器等沒有及時的更新最新的版本，含有未打補丁的系統、使用的密碼等級比較弱、使用默認配置、使用脆弱的協議和服務、沒有專業的防護軟件、沒有加密認證和訪問控制管理等，具有平臺軟件漏洞和弱訪問的安全風險。

4 油田站場工控系統的安全防護方案探討

4.1 總體思路

想要實現油田站場工業控制系統本質安全的目的，主要的方向就是采取專網專用、縱向認證、橫向隔離、安全分區、綜合監控等策略，達到縱深分層防御目的。主要的步驟為：識別功能組（主要組成有監控系統、控制系統、控制回路、控制數據存儲、交易通信、用戶角色、遠程訪問、工業協議等）；劃分安全區域（主要組成有變更網絡、設計區域安全策略、區域邊界的明確、配置區域安全設備等）；區域內部安全防護、區域邊界安全防護。

4.2 功能組分區及網絡隔離的重要規則

油田站場工業控制系統的組成中，同時包括站場過程控制層、站場生產監控層、信息管理層，其他的服務器、監控終端、生產單元也可以組成功能組，油田站場生產監控層的上位機和過程控制層的PLC下位機之間通過比較頻繁，被列為一個大型的功能組；油田站場外部的信息管理層和站場內部的服務器或者和服務器功能相同的終端之間，也需要大量的通信，也是與一個大型的功能組。油田站場根據功能組的功能不同，可以劃分為很多塊安全區域，針對每塊區域內的功能組，采取有效的安全防護措施，做好相應的站場工業控制系統聯網安全防護工作，每個區塊之間的網絡安全隔離最為重要。首先將站場外的生產網絡和站場內的工業控制網絡進行安全隔離，兩網之間通過設置隔離區實現互不連接，想要實現兩網之間的互通，就必須要經過控制系統隔離區，必須限制直接對外聯網，在控制網和隔離區域通信時使用一種協議，那么這種協議就不能使用站外網絡和隔離區的通信；然后油田站場工業控制網絡IP不能承載和生產數據無關的數據信息，保障專網專用，不能互通；最后通過服務器和端口，嚴格控制油田站場外部的信息管理層和控制網絡之間的連接，達到安全防護的目的。

4.3 區域內部的安全防護方案

油田場站工業控制系統內部安全防護需求主要體現在以下幾個方面：系統運行、信息保存、參數管理、入侵檢測防護、惡意代碼攻擊、補丁管理、事件響應、介質保護、識別和授權、系統和數據交流、訪問控制等。以上都是場站工業控制系統中安全風險的主要來源，我們需要重點進行防護。其中最為主要的防護位置就是可以進行編輯、操作的的主機設備。

5 結語

油田站場工業系統聯網安全防護和其他領域安全防護一樣，主要是依靠管理措施，技術起到了輔助作用，油田站場工業系統安全防護中，安全控制制度、安全操作計劃、人員安全意識培養、安全設備保控等是重要的基礎保障。在安全防護技術方面，主要是應用，其次是產品，采取的安全防護產品一定要針對相關的問題，安裝到相應的位置，才能通過工業系統充分發揮其防護的作用，時刻通過調整安全防護措施和匹配合理的安全風險，所以油田站場工業系統的安全防護是一項動態的工作，我們要根據油田站場工業系統的風險類型和內容的不同，不斷對站場工業系統的安全防護進行優化、升級，保障站場工業系統聯網的安全可靠。