工業(yè)控制網(wǎng)絡(luò)安全系列之六新一代基于服務(wù)的SCADA/DCS系統(tǒng)化體系架構(gòu)

谷神星網(wǎng)絡(luò)科技有限公司

工業(yè)控制網(wǎng)絡(luò)安全系列之六新一代基于服務(wù)的SCADA/DCS系統(tǒng)化體系架構(gòu)

谷神星網(wǎng)絡(luò)科技有限公司

作為現(xiàn)代工業(yè)基礎(chǔ)設(shè)施的核心系統(tǒng)，SCADA/DCS廣泛應(yīng)用于電力、冶金、石油、化工、鐵路、制藥等各個領(lǐng)域，主要提供數(shù)據(jù)采集、監(jiān)控管理等功能。隨著工業(yè)基礎(chǔ)設(shè)施向自動化、信息化和網(wǎng)絡(luò)化的不斷發(fā)展，工業(yè)應(yīng)用的設(shè)計方法、實施方式以及嵌入式系統(tǒng)技術(shù)都發(fā)生了很大的變化，也給SCADA/DCS系統(tǒng)架構(gòu)提出了新的挑戰(zhàn)。

現(xiàn)階段的SCADA/DCS系統(tǒng)都是基于較封閉的工業(yè)控制環(huán)境設(shè)計的。由于工業(yè)環(huán)境日趨復(fù)雜，出于時間和成本考慮，打造單個獨立系統(tǒng)的做法已不再可行，取而代之的應(yīng)是大規(guī)模集成的系統(tǒng)化體系（SoS）。因此，新一代SCADA/DCS系統(tǒng)架構(gòu)應(yīng)能成功應(yīng)對如系統(tǒng)集中化、子系統(tǒng)獨立化和靈活化等各種新興的要求和挑戰(zhàn)。

1 SCADA/DCS系統(tǒng)

典型的SCADA/DCS系統(tǒng)包括以下幾個子系統(tǒng)：

⑴人機界面（HMI）：顯示相關(guān)信息，供操作員監(jiān)控生產(chǎn)過程；

⑵計算機設(shè)備：對生產(chǎn)過程實施數(shù)據(jù)采集和過程控制；

⑶遠(yuǎn)程終端設(shè)備（RTUs）：采集現(xiàn)場傳感器數(shù)據(jù)，適當(dāng)調(diào)整后傳送給監(jiān)控系統(tǒng)；

⑷可編程邏輯控制器（PLCs）：可替代RTU，比專用RTU更有優(yōu)勢；

⑸連接所有設(shè)備的通信基礎(chǔ)設(shè)施。

圖1展示了近幾十年來SCADA系統(tǒng)架構(gòu)的變化。第一代是“單一系統(tǒng)”，該系統(tǒng)通過WAN與各控制點的RTU相聯(lián)。第二代是“分布式系統(tǒng)”，系統(tǒng)內(nèi)各設(shè)備通過LAN互聯(lián)。這種方式比第一代更經(jīng)濟，而且可實現(xiàn)分布式處理，并可通過專有協(xié)議實現(xiàn)設(shè)備間的信息實時共享。第三代發(fā)展為既使用WAN也使用Internet的“網(wǎng)絡(luò)系統(tǒng)”，采用開放式協(xié)議和開放式系統(tǒng)架構(gòu)。新一代SCADA系統(tǒng)將充分利用網(wǎng)絡(luò)優(yōu)勢，集合各大規(guī)模系統(tǒng)，組成具有綜合控制/管理能力的SCADA-SoS，其中軟件、硬件都將使用多種應(yīng)急技術(shù)，每個組成部分也可進(jìn)行獨立開發(fā)。

與SCADA類似，DCS系統(tǒng)也是通過通信網(wǎng)絡(luò)將各分布式控制設(shè)備聯(lián)接起來以實現(xiàn)對生產(chǎn)過程的監(jiān)控功能。雖然SCADA和DCS系統(tǒng)都可以很好地完成相關(guān)任務(wù)，但二者仍有不同之處。例如，DCS系統(tǒng)主要面向生產(chǎn)過程，而SCADA主要面向數(shù)據(jù)采集；DCS系統(tǒng)直接與數(shù)據(jù)源相聯(lián)，獲取的是最新數(shù)據(jù)，SCADA則試圖通過不穩(wěn)定的連接進(jìn)行可靠的運行（通常會對采集的數(shù)據(jù)進(jìn)行備份）；DCS系統(tǒng)通常是按順序運行，而SCADA多是基于事件驅(qū)動。

雖然近些年已經(jīng)在綜合運用SCADA和DCS系統(tǒng)，但隨著網(wǎng)絡(luò)（嵌入式）系統(tǒng)、工業(yè)計算機設(shè)備和新應(yīng)用模式(如面向服務(wù)架構(gòu)SOA、系統(tǒng)化體系SoS等)的通信水平和計算能力的不斷提升，SCADA和DCS系統(tǒng)將會有更多相同之處，形成新的系統(tǒng)化體系。

2 技術(shù)發(fā)展趨勢

圖1 SCADA系統(tǒng)的演變

現(xiàn)代企業(yè)要求各個層面都具有靈活、動態(tài)的決策能力，這就意味著系統(tǒng)要具備在不同層面適時提供正確數(shù)據(jù)的能力。尤其對于跨層級協(xié)作，以合適的形式提供所需的精細(xì)化信息是一個挑戰(zhàn)性的任務(wù)。在未來的系統(tǒng)架構(gòu)中將有大量的生產(chǎn)數(shù)據(jù)需要集成處理和按需適時提供，因此，在企業(yè)服務(wù)中含帶有效數(shù)據(jù)的傳統(tǒng)做法將不再可行。

2.1 基于信息的交互

目前基于通信的系統(tǒng)集成方式不夠靈活，在業(yè)務(wù)層面并不能做到互相匹配。再加上信息的相對獨立和特定的任務(wù)解決方式，系統(tǒng)之間不能互通和互相合作。這種混合、非標(biāo)準(zhǔn)且相當(dāng)復(fù)雜的架構(gòu)中，業(yè)務(wù)應(yīng)用很難動態(tài)發(fā)現(xiàn)傳感設(shè)備并與之互動、整合；反過來，設(shè)備也很難互相協(xié)作并在與企業(yè)系統(tǒng)的互動中找到機會發(fā)揮作用。

圖2給出了基于信息、面向服務(wù)的網(wǎng)絡(luò)模式，即通過服務(wù)來提取底層硬件設(shè)備數(shù)據(jù)和基于通信的互動信息，關(guān)注點在于通過服務(wù)所能獲取的信息。這種模式下，可以動態(tài)發(fā)現(xiàn)服務(wù)并集成到混合應(yīng)用中。

2.2 分布式業(yè)務(wù)處理

設(shè)想在網(wǎng)絡(luò)世界中，假設(shè)有數(shù)以萬計的設(shè)備互相協(xié)作并開放使用，如果聯(lián)網(wǎng)服務(wù)允許將虛擬世界和現(xiàn)實世界結(jié)合起來，那么電子化業(yè)務(wù)服務(wù)將能獲得巨大的效益。在這種大規(guī)模架構(gòu)中，采用后端系統(tǒng)數(shù)據(jù)挖掘或集中數(shù)據(jù)庫方式是不可行的，因為企業(yè)系統(tǒng)無法過載處理大量毫無關(guān)聯(lián)的數(shù)據(jù)。

因此，第一步應(yīng)該是盡量減少與企業(yè)系統(tǒng)的通信，僅進(jìn)行相關(guān)業(yè)務(wù)信息的通信。即信息應(yīng)在本地處理并有明確的傳輸途徑，信息的互聯(lián)應(yīng)以面向目的的方式實現(xiàn)。第二步應(yīng)將企業(yè)系統(tǒng)中的部分功能分解到網(wǎng)絡(luò)和邊界節(jié)點上。由于設(shè)備的計算能力越來越強大，它們可以完成對相關(guān)業(yè)務(wù)信息的處理和評價任務(wù)或者將信息聚集起來。因此可采取分布式業(yè)務(wù)處理方式，將系統(tǒng)任務(wù)分布到企業(yè)與基礎(chǔ)設(shè)施之間的各層級中，企業(yè)系統(tǒng)只需負(fù)責(zé)部分任務(wù)（如通過傳感器或網(wǎng)絡(luò)）的完成。

2.3 合作對象

嵌入式系統(tǒng)中計算和通信技術(shù)的進(jìn)步為復(fù)合型網(wǎng)絡(luò)設(shè)備完成各式各樣的任務(wù)鋪平了道路。這些“對象”（網(wǎng)絡(luò)設(shè)備）將能夠互相合作、共享信息。按照歐洲委員會合作基金項目CONET表述的原始定義，合作對象由具備通信和傳感能力的嵌入式計算設(shè)備組成，為完成某個任務(wù)，它們可以互相合作并自主組成網(wǎng)絡(luò)。合作對象的遠(yuǎn)景是處理因合作或模塊化出現(xiàn)的各種復(fù)雜情況，實現(xiàn)這個遠(yuǎn)景的前提條件就是合作對象應(yīng)具有與其他對象或環(huán)境通信及互動的能力。雖然很多情況下，不同設(shè)備間的合作可以視為一種特殊的應(yīng)用，但是，合作也可以是數(shù)據(jù)信息的共享。

圖2 IT趨勢：信息驅(qū)動交互

新一代的SCADA/DCS系統(tǒng)應(yīng)利用這種方式并將其集成到系統(tǒng)中，通過面向目標(biāo)的方式將這種控制邏輯分配給合作對象以滿足業(yè)務(wù)處理的需要。

2.4 虛擬化和云計算

IT領(lǐng)域中，硬件平臺、操作系統(tǒng)、存儲設(shè)備、網(wǎng)絡(luò)資源等呈現(xiàn)出虛擬化發(fā)展趨勢。虛擬化滿足了很多企業(yè)有關(guān)可擴展性、資源有效利用以及低成本的需要。云計算是在虛擬化、面向服務(wù)架構(gòu)和公共計算廣泛使用的情況下誕生的，主要通過交付和使用方式實現(xiàn)不同的業(yè)務(wù)模式。通過互聯(lián)網(wǎng)和本地工具/應(yīng)用實現(xiàn)IT服務(wù)，給人的感覺就如同在本地操作一樣，而實際上數(shù)據(jù)計算是在網(wǎng)絡(luò)中完成的。這種IT發(fā)展趨勢不僅影響了IT應(yīng)用，也會對今后如何設(shè)計工業(yè)應(yīng)用、如何與外部服務(wù)集成等帶來影響。

2.5 多核系統(tǒng)和GPU計算

大部分工業(yè)系統(tǒng)是依靠成熟的技術(shù)，按照長期運作的規(guī)劃建設(shè)的。然而，自2005年多核系統(tǒng)出現(xiàn)到現(xiàn)在，多核系統(tǒng)已成為智能手機的標(biāo)準(zhǔn)應(yīng)用，正向10核芯片及幾百核芯片發(fā)展，并將具備同時多線程和芯片存儲等功能。這種技術(shù)將大大提高嵌入式系統(tǒng)的處理性能，帶來全新的并行應(yīng)用。另外，近十年，利用GPU圖形卡強大的浮點計算能力實現(xiàn)流處理的GPU計算也出現(xiàn)了，與傳統(tǒng)CPU相比，其性能提高了很多倍。

多核系統(tǒng)和GPU計算技術(shù)的應(yīng)用將給現(xiàn)有的SCADA/DCS系統(tǒng)帶來影響，因為可以實現(xiàn)更為復(fù)雜的應(yīng)用，如可以更經(jīng)濟有效的方式實現(xiàn)對過程、產(chǎn)品和資源的分析，甚至在控制點就可以進(jìn)行。

2.6 SOA-ready 設(shè)備

未來的系統(tǒng)架構(gòu)將更加多樣化，人們與系統(tǒng)互動的方式也會大有改變。能夠互相結(jié)合，實現(xiàn)跨層級使用的混合服務(wù)將會出現(xiàn)。企業(yè)應(yīng)用將不需要專門驅(qū)動就可以直接與設(shè)備連接；同時，設(shè)備也可以與非網(wǎng)絡(luò)應(yīng)用連接，并在中間件層或通過服務(wù)媒介實現(xiàn)它們的功能。設(shè)備間點對點的通信已將SOA（面向服務(wù)的體系架構(gòu)）概念推廣到設(shè)備層，并給功能性發(fā)現(xiàn)和合作創(chuàng)造了新機會。

從計算、存儲和通信能力上看，網(wǎng)絡(luò)嵌入式系統(tǒng)的功能越來越強大，下一步目標(biāo)將是實現(xiàn)為其他設(shè)備或服務(wù)提供一個或多個服務(wù)。雖然這種設(shè)備接入的優(yōu)勢、執(zhí)行業(yè)務(wù)的智能性很難在架構(gòu)演變圖上表現(xiàn)出來，但是它們在為面向服務(wù)的架構(gòu)理念延展到設(shè)備層添磚加瓦。同樣地，基于事件的信息也可以在網(wǎng)絡(luò)中、設(shè)備間進(jìn)行處理，然后送到相關(guān)業(yè)務(wù)過程中，這些信息并不需要存儲在數(shù)據(jù)庫中等待第三方處理。這種能力為今后更加動態(tài)、更加復(fù)雜的處理模式提供了平臺。

網(wǎng)絡(luò)服務(wù)很適合在嵌入式設(shè)備上運行，即使處在非常復(fù)雜的工作環(huán)境中也極易與其他組件結(jié)合。新興的網(wǎng)絡(luò)服務(wù)設(shè)備屬性（DPWS）和OPC UA技術(shù)都是利用網(wǎng)絡(luò)服務(wù)實現(xiàn)控制器和設(shè)備驅(qū)動的。SIRENA、SODA和SOCRADES等項目在工業(yè)應(yīng)用中都具有SOA-ready 工業(yè)自動化設(shè)備及集成經(jīng)驗。

3 新一代SCADA/DCS

前面已經(jīng)介紹了一些將來可能會改變工業(yè)應(yīng)用設(shè)計、實施和部署的IT技術(shù)發(fā)展趨勢?？梢酝茰y，新一代的SCADA/DCS系統(tǒng)將要實時處理大量不同的分布式數(shù)據(jù)信息，并根據(jù)內(nèi)外部數(shù)據(jù)信息進(jìn)行相關(guān)決策。

3.1 遠(yuǎn)景

從圖3可以識別出整個基礎(chǔ)設(shè)施中的主要變化：基于信息驅(qū)動，并且所有的交互是通過（網(wǎng)絡(luò)）服務(wù)完成的。以SOA的觀念來看，所有的系統(tǒng)（如ERP、PLCs、SCADA/ DCS、設(shè)備、MET等）都是作為能與其他實體互動或由其他實體組成的一種服務(wù)來實現(xiàn)它們的功能。

圖3 新一代SCADA/DCS系統(tǒng)遠(yuǎn)景

HMI不再靜態(tài)固定在某個位置，而是可以在任意時間、任意地點通過任意（機動）設(shè)備接入。并且，其功能不再單一，而是由網(wǎng)絡(luò)中、設(shè)備間的服務(wù)組成的混合應(yīng)用。

數(shù)據(jù)監(jiān)控以及過程控制會以協(xié)作的方式實現(xiàn)。實際上，強大的云服務(wù)可以對監(jiān)控數(shù)據(jù)提供高效的分析，主機決策支持系統(tǒng)可以對來自工作場合或業(yè)務(wù)過程的數(shù)據(jù)進(jìn)行分析。

RTU功能則嵌入到服務(wù)介質(zhì)或直接設(shè)在智能設(shè)備中，可通過網(wǎng)絡(luò)直接將采集到的數(shù)據(jù)提交給分布式監(jiān)控系統(tǒng)。由于設(shè)備能力不同，可以根據(jù)監(jiān)控系統(tǒng)的需要對數(shù)據(jù)進(jìn)行相應(yīng)的預(yù)處理，不傳送不必要的信息。

PLCs是多核的、可以在實時流上執(zhí)行復(fù)雜邏輯或預(yù)計算處理的可編程邏輯控制器，如基于嵌入式的低成本GPU等。依據(jù)與水平或垂直協(xié)作業(yè)務(wù)內(nèi)容，可實時調(diào)整PLC服務(wù)。

聯(lián)接所有部件的通信基礎(chǔ)設(shè)施仍然是系統(tǒng)的主干網(wǎng)絡(luò)，其有線和無線通道更加多元化，并可根據(jù)應(yīng)用的動態(tài)需要提供QoS。網(wǎng)絡(luò)技術(shù)和交互服務(wù)的使用使得集成和協(xié)作變得更加容易，并可降低總成本，快速應(yīng)用高度客戶化的解決方案。

新一代SCADA/DCS系統(tǒng)將會成為由人、設(shè)備和過程組成的生態(tài)系統(tǒng)的一部分，其中人、設(shè)備和過程需要互相協(xié)作才能實現(xiàn)目標(biāo)。為實現(xiàn)性能最優(yōu)，關(guān)鍵業(yè)績指標(biāo)（KPI）將能夠大范圍實時評估任意層級的狀態(tài)，評價替代措施并調(diào)整資源（基礎(chǔ)設(shè)施、過程、人們的行動等）。

未來“完美的企業(yè)系統(tǒng)”將實現(xiàn)無縫合作，監(jiān)控信息將以跨層級方式傳輸。不同的系統(tǒng)將成為SCADA/ DCS生態(tài)系統(tǒng)的一部分，其中，組件可以動態(tài)增減，動態(tài)發(fā)現(xiàn)可以將所需信息結(jié)合起來。所有現(xiàn)在和將來的系統(tǒng)將提供開放式信息實時共享，企業(yè)間系統(tǒng)化體系也將能夠動態(tài)發(fā)展。

由于所有系統(tǒng)將更具“流動性”和“寬松性”，因此可以期望有一個可輕松升級的基礎(chǔ)設(shè)施來滿足不斷增長的業(yè)務(wù)需要。

最后要指出的是，新一代SCADA/ DCS系統(tǒng)可能并不具有物理特征，可能會駐留在網(wǎng)絡(luò)或虛擬世界中，由多個實體設(shè)備、設(shè)備間和網(wǎng)絡(luò)內(nèi)的服務(wù)以及交互協(xié)作組成，最終形成一個分布式、靈活、協(xié)作的復(fù)合型系統(tǒng)化體系。

3.2 未來發(fā)展方向

結(jié)合前面所述的遠(yuǎn)景，作為一個由相互協(xié)作的設(shè)備、系統(tǒng)及實體組成的復(fù)合型、協(xié)作式生態(tài)系統(tǒng)，應(yīng)認(rèn)真考慮SCADA/DCS系統(tǒng)的主要發(fā)展方向。

⑴監(jiān)測：資產(chǎn)監(jiān)測對于混合型復(fù)合基礎(chǔ)設(shè)施非常重要。在大規(guī)模的系統(tǒng)中不可能采用傳統(tǒng)手段來采集信息。比較先進(jìn)的做法是將事件驅(qū)動的基礎(chǔ)設(shè)施與面向服務(wù)的架構(gòu)結(jié)合起來。這樣，任何設(shè)備和系統(tǒng)都能夠?qū)⑵洚a(chǎn)生的事件信息（數(shù)據(jù)、報警等）提供給有需要的實體；同時也能夠以基于模型的方式組合并編制這些信息/服務(wù)，生成新的監(jiān)控指標(biāo)。

⑵管理和虛擬化：新一代企業(yè)系統(tǒng)將由成千上萬的、具有不同硬件和軟件配置的設(shè)備組成，所以不可能再繼續(xù)沿用目前的管理方式。應(yīng)盡可能地實現(xiàn)監(jiān)測部分的自動化和系統(tǒng)軟控制，動態(tài)發(fā)現(xiàn)基礎(chǔ)設(shè)施提供的設(shè)備、系統(tǒng)和服務(wù)，實現(xiàn)整個系統(tǒng)的軟件升級、再編程和再配置。另外，還必須實現(xiàn)基礎(chǔ)設(shè)施的（遠(yuǎn)程）虛擬化以便更好地理解和維護。由于復(fù)合度比較高，逐個設(shè)備管理是不可行的，所以至少在系統(tǒng)層擁有自主性能是比較理想的做法，如自配置（部件配置自動化）、自愈合（自動發(fā)現(xiàn)，自動糾錯）、自優(yōu)化（自動監(jiān)控資源以確保最優(yōu)功能）、自保護（主動識別和防御任意攻擊）等，可以減少大規(guī)模的管理和維護工作。

⑶安全、信任和隱私：由于新一代SCADA/DCS系統(tǒng)將與其他系統(tǒng)（如云服務(wù)）緊密交互，不僅要考慮安全問題，還應(yīng)該考慮與安全相關(guān)的信任和隱私機制。目前所有的設(shè)備和系統(tǒng)都是在同一個用戶或權(quán)限下運行的，將來就不一定了。系統(tǒng)很可能由不在同一安全區(qū)域、受不同實體管理的多個簡單用戶組成。

⑷可擴展性：可擴展性是大規(guī)模系統(tǒng)的關(guān)鍵指標(biāo)之一。對工業(yè)系統(tǒng)來說，經(jīng)常需要在單個設(shè)備上增大可用資源。在評估大規(guī)模應(yīng)用的性能時，也應(yīng)該考慮可擴展性對于SCADA/DCS系統(tǒng)的影響。有時，向外擴展也是一個很好的選擇，尤其對多設(shè)備節(jié)點，如SCADA系統(tǒng)；或者是以云方式（具有成千上萬的記錄點）運行的監(jiān)測應(yīng)用。

⑸實時信息處理：新一代應(yīng)用要實現(xiàn)實時響應(yīng)必須進(jìn)行實時信息處理，如對特定（業(yè)務(wù)）對象進(jìn)行信息預(yù)過濾、預(yù)處理以及相關(guān)事件的復(fù)合分析等。實時事件處理通常包括幾個步驟：事件模式檢測、事件提取、事件計劃、事件過濾、事件優(yōu)先級管理、事件之間的關(guān)系檢測、事件驅(qū)動過程的提取等。

⑹移動性支持：移動設(shè)備技術(shù)的進(jìn)步給業(yè)務(wù)管理方式帶來了很大的變化。不僅在客戶互動方面，在工業(yè)過程中也可以采用這種新方式，如掌握實時信息的工人可利用移動設(shè)備與系統(tǒng)設(shè)備或本地設(shè)備進(jìn)行互動。因此需要了解移動設(shè)備的移動性支持，如哪些設(shè)備本身可移動或隱含有移動功能；移動用戶對于靜態(tài)/動態(tài)基礎(chǔ)設(shè)施互動的支持；服務(wù)移動性支持，即服務(wù)可以在不同的基礎(chǔ)設(shè)施和設(shè)備間遷移等。

⑺仿真性：工業(yè)環(huán)境是復(fù)合的系統(tǒng)化體系，其中某部分發(fā)生任何變化都有可能引起其他相關(guān)聯(lián)部分發(fā)生變化。但是為保持系統(tǒng)的適應(yīng)性和發(fā)展性，又必須保持較小系統(tǒng)的獨立發(fā)展性。因此，為了盡早識別相關(guān)沖突和負(fù)面影響，建立一個仿真系統(tǒng)是很必要的。這種仿真系統(tǒng)可以在實施之前使用，對待上線的變化作出評價并進(jìn)行檢測，也可在實施后或運行中使用。

⑻互通性：新一代系統(tǒng)將是合作化程度很高的系統(tǒng)，既需要信息共享，也需要通過開放通信和標(biāo)準(zhǔn)化數(shù)據(jù)交換來進(jìn)行協(xié)作。復(fù)合型協(xié)作系統(tǒng)的系統(tǒng)工程將會極大影響到系統(tǒng)的發(fā)展、遷移以及未來與其他系統(tǒng)的集成能力等。因此，為使未來的工業(yè)基礎(chǔ)設(shè)施能夠持續(xù)發(fā)展，新一代系統(tǒng)應(yīng)做到：①向下兼容，以避免中斷現(xiàn)有功能；②向上兼容，盡量為未來可能擁有的功能設(shè)計盡可能多的接口和交互。

（本系列文章終）