船閘自動化控制系統信息安全防護體系研究

劉相瑩，陳擁軍

（1.北京六方云信息技術有限公司，北京 100000；2.南京蘇潤科技發展有限公司，江蘇 南京 210000）

1 前言

船閘作為重要的水上交通樞紐，隨著水運經濟的發展，日益增加的過閘需求和實際能力推動了船閘自動化控制系統的發展。借助于先進的控制技術、通信技術、傳感器技術以及監控技術，逐步由船閘自動化向自動化船閘、智慧船閘發展，極大促進了航區和流域水運經濟的發展。

船閘自動化控制系統在帶來效率提升和智能化的同時，由于數據開發帶來網絡架構的變化、訪問和控制的雙向數據交換等需求，相對于傳統的運行模式，必然會增加系統的設備安全和數據安全隱患。為了避免例如黑客入侵、勒索、蠕蟲等病毒的干擾，需要保障船閘的自動化控制系統和信息系統的安全符合國家相關規定。避免作為關鍵信息基礎設施的船閘樞紐作為達成其目的的攻擊目標，導致系統宕機無法運行。近年來，諸如伊朗“震網”病毒事件等工控系統信息安全事件頻繁發生，造成工業設施運行異常，甚至造成工業配方資料失竊、停工停產等嚴重事故，因此船閘自動化控制系統信息安全防護體系建設勢在必行。

2 船閘自動化控制系統概述

2.1 船閘的主體構成

船閘在物理建筑上分為上閘首工作閘門、上閘首輸水閥門、閘室、下閘首工作閘門、下閘首輸水閥門等，其主體的平面圖如圖1所示：

圖1 船閘的平面結構圖

2.2 船閘運行的控制方式

船閘高效、安全、可靠運行，離不開船閘的運行控制。目前，船閘運行控制分為集中控制和分散控制兩種，集中控制是在監控中心實現的程序運行，分散控制是指運行人員在上下游閘首操作臺上分別實現閘閥門的程序運行，單向運行及閘閥門的單側點動運行。這兩種控制方式都是由船閘自動化控制系統完成的。脫離船閘自動化控制系統的手動應急操作（如急停）是在測試和緊急情況下使用。正常過閘流程如圖2。

圖2 正常過閘流程圖

2.3 船閘自動化控制系統組成

船閘自動化控制系統是工業集中分散控制系統，操作和信息終端較多，集控中心監控三級構成。其網絡結構可分為三層：

現場設備層：主要包括：電機拖動控制柜、操作臺、液壓泵站、以及外圍傳感器（水位計、閘/閥門開度儀、限位開關），以及其他輔助設備如交通燈、廣播和照明系統等。

現地控制層：主要包括：可編程控制器核心器件、計算機設備、工業交換機等?，F地控制層功能實現船閘就近控制，及時處理船閘運行工況，同時還具備緊急突發情況下的應急保障功能，還具備停航期間船閘的養護和維修功能。以確保船閘運行安全暢通。

集中監控層：包括由數據庫服務器、船閘中心工程師站、操作員站、集控操作臺、大屏幕顯示系統、網絡設備及打印機等組成。主要實現船閘正常運行的“少人值守、高效過閘”的功能。同時具備對船閘運行工況、設備狀態管理、巡察巡檢等數據統計分析并上傳至上一級管理單位。并對上一級管理單位發出的數據采集需求和遠程控制需求給予準確及時響應。

3 船閘自動化控制系統信息安全風險

（1）系統網絡邊界缺乏控制隔離機制。船閘與樞紐管理處之間缺乏有效的隔離措施，，一旦有網絡攻擊，不能有效的阻斷和隔離，將難以遏制網絡攻擊擴散造成嚴重的影響。

（2）數據傳輸缺少加密認證措施。船閘的數據通過專線傳輸到樞紐管理處，在這個過程中存在網絡傳輸數據被竊聽和篡改的風險，應采用安全可靠的加密算法對數據傳輸過程進行密碼化處理。

（3）控制系統嚴重漏洞難以及時處理。由于目前市面上可編程控制器多是進口品牌，存在安全隱患，容易被黑客利用，形成遠程攻擊，同時面臨硬件版本和編程軟件難以在線升級、相關漏洞發布周期長等問題，難以及時處理威脅嚴重的漏洞。

（4）病毒與入侵行為防護能力不足。為了保證控制系統的可用性，操作員站、數據服務器等計算機終端設備未進行安全防護，對U 盤等輸入存儲設備未進行管理。病毒庫長期得不到更新，而且殺毒軟件對新病毒的處理總是滯后的，有時也會造成軟件誤殺。

（5）缺乏安全意識和數據安全等行為審計能力。相關操作人員未經過相關安全教育和培訓，導致發生錯誤操作，給自動化控制系統留下安全隱患。同時自動化控制系統在相對封閉網絡架構下，空余網絡端口、未經許可的輸入設備等接入給管理帶來非常大的困擾。另外，對系統中的數據存儲和轉發做不到可追溯，也是系統的主要安全風險之一。

（6）非常時期運行維護的安全風險?？刂葡到y的網絡設備在硬件和軟件的安全性防護水平不一，需要第三方定期維護控制系統采用的控制器和設備的種類繁多，外來廠商人員的定期運行維護成為一個潛在的安全風險點。雖然從管理上保障運維過程的可管理，但是在沒有有效技術手段支撐的情況，本地管理人員很難監測到外部人員的越權操作或者故意改變運行邏輯的行為，在出現問題時，也很難追蹤定位。

（7）移動介質缺乏有效管控。日常運維工作中存在使用移動介質拷貝數據及文件的操作。文件拷貝的介質無法做到專盤專用。從已經發生的安全事件看，移動介質是一個重要的傳播惡意代碼到控制系統環境的路徑。

（8）控制系統安全制度不完善，缺乏安全意識。船閘針對業務系統制定了完善的管理制度、管理流程，但未制訂自動化控制系統的網絡安全和數據安全的相關操作流程、權限和制度，未形成有針對性的的安全管理制度體系。未對相關工作人員定期培訓和持證上崗，導致人員安全意識薄弱成為導致安全風險的重要因素。

4 船閘自動化控制系統信息安全防護體系

船閘自動化控制系統信息安全防護設計在遵循船閘業務特點的前提下，力求滿足工控系統等保2.0 的安全要求，結合六方云在船閘自動化控制系統信息安全防護項目實踐，從“邊界防護、傳輸加密、本體保護、入侵檢測、行為審計、安全管控”等6 個方面進行落地，從而實現“異常行為可監測、安全威脅可防御、安全價值可呈現”。

4.1 邊界防護

在船閘監控調度中心數據出口部署工業防火墻，采用邏輯隔離措施，實現邏輯隔離、報文過濾、訪問控制等功能，阻止網絡攻擊跨邊界擴散滲透，有效保護自動化控制系統的安全。同時基于工業協議及操作行為白名單防護技術，建立工業協議及操作行為安全基線，阻止一切不可信的數據和操作行為，最大程度的防范已知與未知威脅。

4.2 傳輸加密

在樞紐管理處端同步部署工業防火墻，基于六方云工業防火墻IPSec 協議的VPN 技術，支持ESP 和AH協議，加密算法支持3DES、DES、AES，驗證算法支持MD5、SHA1、SHA256，建立船閘到樞紐管理處之間的虛擬加密通道，有效保護船閘數據傳輸過程中的完整性及保密性需要，防止第三方設備非法入侵。

4.3 本體保護

（1）控制系統軟件保護?？刂葡到y對可用性、實時性要求較高，需部署通過國家有關機構的安全檢測認證的終端白名單防護軟件，基于應用程序、網絡和操作行為白名單技術,防范惡意軟件或惡意代碼的植入，同時使工作站主機免受病毒等各種非法攻擊，可以有效管控主機的USB 等外部端口。

（2）控制單元（PLC）保護?？刂茊卧≒LC）作為船閘自動化控制系統最核心的設備，需要重點保護。結合控制單元（PLC）部署環境相對惡劣的特點，部署具有六方云網絡防護設備新型外觀專利的工業防火墻，具有工業級芯片和電子元器件、無風扇、支持工業寬溫的一體化設計，基于工業協議如ModbusTCP/IP、Profinet 等的識別和深度解析，進行指令級的細粒度管控。

（3）入侵檢測。在匯聚交換機旁路部署入侵檢測系統，采用六方云通信數據檢測方法專利技術，合理設置檢測規則，及時捕獲網絡異常行為、分析潛在威脅，及時發現、報告并處理包括病毒木馬、端口掃描、暴力破解、異常流量、協議包偽造等網絡攻擊或異常行為。

4.4 行為審計

在匯聚交換機旁路部署控制網絡審計系統，基于對工業協議深度解析與操作行為的安全審計，實時檢測控制系統中的未經許可的IP 端口、未經許可的設備、未經許可人員的操作以及異常數據傳輸進行記錄并實時報警，包括對系統一定時期內符合標準工業協議的通信行為提供歷史記錄，保證可追溯性，為船閘自動化控制系統的安全調查提供依據。

4.5 安全管控

構建安全管理中心，對部署的安全技術設備進行集中管控，將分散的、孤立的安全設施整合成一個有機的整體，能夠協同工作，更好的發現問題、解決問題，從而實現安全管理的可持續運營，提高安全防護體系的運維效率。

圖3 船閘自動化控制系統安全防護體系示意圖

5 船閘自動化控制系統信息安全防護發展方向

隨著傳統水運日趨數字化、網聯化，并且有物聯網、大數據、人工智能技術等新技術加持，未來船閘將更智慧。船閘自動化控制系統必將應用工業互聯網等先進技術，推動數字化轉型，促使自動化控制系統與調度系統、安防系統、廣播系統、地理信息系統（GIS）、航道監管系統的深度融合，真正使船閘做到信息集中、資源共享、統一管理，航道管理更智能、更高效。系統的互連互通，數據共享，其面臨的安全風險將更復雜多樣?；谶@樣的現狀，未來船閘自動化控制系統信息安全防護可從以下幾個方面持續推進：

（1）應用態勢感知、AI 人工智能高級威脅檢測等新技術，構建主動防御體系。隨著船閘控制系統信息安全防護體系的建立，以應用環境的安全大數據為基礎，以控制與管理系統可用性、安全性監控為主線，通過將多種安全數據、信息和情報進行統一收集，由專業人員進行分析、解釋、顯示和處置，主動、及時地發現安全問題，并調度資源解決問題，形成船閘的主動式信息安全防護新局面。

（2）提升控制系統數據安全保護能力，防范數據攻擊；采取數據融合等相關技術，提升數據融合處理和智能處理能力。

（3）強化安全運維管理，加強對環境、資產、介質、設備維護、配置等方面的管理，制定應急預案并定期開展應急演練，提高安全防護意識和應急處理能力。

（4）加強控制網絡安全教育培訓和人才培養，建立既具備信息安全技術能力，能夠正確的使用、配置、維護常規的安全設備，又具有自動化控制系統理論知識、實操能力、運維能力的復合型人才隊伍。

6 結語

本文通過對船閘自動化控制系統的組成及現狀分析，指出其現階段面臨的信息安全風險，并根據這些風險和政策合規性要求，研究并提出了可行的信息安全防護思路，介紹了現階段的安全防護措施及技術，從技術角度構建一套行之有效的信息安全防護體系，在實現OT 與IT 兩網融合的同時，確保系統網絡和數據的安全性。當然，由于船閘自動化控制系統需面向未來智慧船閘的發展需要，很多信息安全防護手段還處在探索階段，還有待在以后的工作實踐中不斷總結和研究。