監(jiān)控系統(tǒng)海外項(xiàng)目遠(yuǎn)程調(diào)試方案初探

楊春霞，郭萬森，李天毅

（北京中水科水電科技開發(fā)有限公司，北京 100038）

2019年突如其來的波及世界范圍的新冠疫情，改變了整個(gè)世界的發(fā)展進(jìn)程和人們的生產(chǎn)生活方式。居家辦公、保持社交距離以及航班不定時(shí)的熔斷機(jī)制，對(duì)工廠自動(dòng)化系統(tǒng)調(diào)試和維護(hù)、保證工廠的正常生產(chǎn)造成了極大的不確定性。最終用戶希望尋求一種標(biāo)準(zhǔn)化、安全、可追蹤和受控的方法，以便其供應(yīng)商與其資產(chǎn)相連接。供應(yīng)商也需要一個(gè)安全的遠(yuǎn)程訪問解決方案，減少維護(hù)的成本和不確定性，并可以進(jìn)行預(yù)防性的定期維護(hù)。本文嘗試2種方案遠(yuǎn)程接入國(guó)外某電站監(jiān)控系統(tǒng)，對(duì)提供遠(yuǎn)程調(diào)試和維護(hù)的可能性進(jìn)行了測(cè)試。但無論使用何種遠(yuǎn)程調(diào)試方案，監(jiān)控系統(tǒng)的數(shù)據(jù)和網(wǎng)絡(luò)安全永遠(yuǎn)是第一位的，部署安全有效的訪問機(jī)制必須首先保證。

1 廠站層接入方案

1.1 基本結(jié)構(gòu)

從北京到南美某水電站采用VPN連接方式。為了通道安全性，在接入電站計(jì)算機(jī)監(jiān)控系統(tǒng)實(shí)時(shí)區(qū)之前，增設(shè)密碼管理機(jī)（Jump Server）和防火墻（詳見圖1）。

圖1 遠(yuǎn)程調(diào)試通道結(jié)構(gòu)圖

北京側(cè)調(diào)試筆記本只被允許連接到密碼管理機(jī)的Manage Engine管理界面，通過密碼管理機(jī)和防火墻再連接到實(shí)時(shí)區(qū)服務(wù)器的遠(yuǎn)程桌面，其中部分工作需要現(xiàn)場(chǎng)工程師協(xié)助完成。配置包括：

（1）北京側(cè)調(diào)試筆記本配置：安裝VPN客戶端（如GlobalProtect），由電站VPN網(wǎng)管分配賬戶和密碼；

（2）現(xiàn)場(chǎng)VPN網(wǎng)關(guān)機(jī)配置：由現(xiàn)場(chǎng)工程師完成，需要告知北京工程師接入防火墻的IP地址；

（3）防火墻配置：選用具有管理功能和NAT模式的設(shè)備。北京工程師在相同型號(hào)設(shè)備上配置好策略并導(dǎo)出配置文件，發(fā)給現(xiàn)場(chǎng)工程師協(xié)助完成；

（4）密碼管理機(jī)配置：由現(xiàn)場(chǎng)工程師完成軟件安裝Manage Engine。

1.2 測(cè)試過程及結(jié)果

首先在密碼管理機(jī)服務(wù)器上打開谷歌瀏覽器（不建議使用IE瀏覽器），輸入密碼管理平臺(tái)（Manage Engine PMP）的訪問地址，測(cè)試平臺(tái)是否可以正常使用；然后在北京側(cè)調(diào)試筆記本上同樣打開谷歌瀏覽器，輸入密碼管理平臺(tái)的訪問地址，找到需要遠(yuǎn)程訪問的資源。平臺(tái)提供了三種連接方式：遠(yuǎn)程桌面、RDP控制臺(tái)、VNC，一般我們采用遠(yuǎn)程桌面連接方式。

測(cè)試結(jié)果：可以登陸遠(yuǎn)程桌面并進(jìn)行操作。畫面刷新是否流暢，取決于電站內(nèi)網(wǎng)的帶寬分配。

1.3 遠(yuǎn)程接入安全措施

采用廠站層接入遠(yuǎn)程方案時(shí)，主要采取設(shè)置防火墻、密碼和權(quán)限管理的安全訪問措施保證安全接入。

1.3.1 防火墻配置

在電站內(nèi)外網(wǎng)之間增設(shè)防火墻設(shè)備，并且內(nèi)外網(wǎng)不能直連，需要通過密碼管理機(jī)進(jìn)行中轉(zhuǎn)，進(jìn)一步提高防護(hù)等級(jí)。選擇具有管理功能、NAT模式、路由模式（可選）的防火墻。防火墻共3個(gè)接入節(jié)點(diǎn)：外網(wǎng)、內(nèi)網(wǎng)、密碼管理機(jī)，根據(jù)實(shí)際情況為這3個(gè)節(jié)點(diǎn)規(guī)劃端口分別為6、7、8。設(shè)計(jì)安全策略為：端口6可以連接到端口8，端口7可以連接到端口8，端口6和端口7不能直連；

通道測(cè)試結(jié)果：

（1）在北京側(cè)調(diào)試筆記本Ping防火墻的6/7/8端口地址；

正確結(jié)果：端口6、8可以ping通，端口7不能ping通；

（2）在密碼管理機(jī)上ping防火墻的6/7端口地址；正確結(jié)果：端口6、7可以ping通；

（3）在實(shí)時(shí)區(qū)的服務(wù)器上ping防火墻的6/8端口地址；

正確結(jié)果：端口8可以ping通，端口6不能ping通；

1.3.2 密碼管理

密碼管理平臺(tái)的部署，是為了安全訪問實(shí)時(shí)區(qū)。由于實(shí)時(shí)區(qū)服務(wù)器比較多，登錄也比較頻繁，需要一個(gè)綜合管理平臺(tái)，不同的調(diào)試人員只能登錄指定的服務(wù)器，并記錄調(diào)試人員在何時(shí)登錄哪臺(tái)服務(wù)器。特權(quán)用戶由專人管理并不定期修改遠(yuǎn)程資源密碼，防止非法訪問。

基本功能如下：

（1）特權(quán)賬戶統(tǒng)一管理，便于管理大量遠(yuǎn)程資源；

（2）AES-256數(shù)據(jù)加密，保護(hù)存儲(chǔ)數(shù)據(jù)和資源賬戶；

（3）資源、用戶及任務(wù)的審計(jì)記錄，快速定位責(zé)任人，提升工作效率；

（4）嚴(yán)格的密碼策略：設(shè)置密碼的復(fù)雜度、密碼有效期限、過期后重置密碼等。

1.3.3 權(quán)限管理

安全有效的訪問遠(yuǎn)程資源，特別是數(shù)量非常多時(shí)，需要高度細(xì)分的訪問限制，密碼管理平臺(tái)部署了基于角色的訪問限制，權(quán)限列表如表1。

表1 基于角色的權(quán)限列表

密碼管理平臺(tái)使用一個(gè)有效的審計(jì)機(jī)制來記錄每一個(gè)用戶的訪問信息。用戶在平臺(tái)上執(zhí)行的所有操作以及他們?cè)L問應(yīng)用程序時(shí)間，IP地址都會(huì)被記錄，主要審計(jì)機(jī)制有資源審計(jì)，用戶審計(jì)和任務(wù)審計(jì)。

2 LCU層接入方案

南美某水電站計(jì)算機(jī)監(jiān)控系統(tǒng)LCU層采用施耐德M580系列PLC作為主控制器。在監(jiān)控系統(tǒng)中配置一套由施耐德公司提供的遠(yuǎn)程解決方案EcoStruxure Secure Connect Advisor（ESCA），允 許 工程師在世界上的任何地點(diǎn)、任何時(shí)間通過個(gè)人計(jì)算機(jī)或智能設(shè)備連接到工作現(xiàn)場(chǎng)的設(shè)備，快速調(diào)試維護(hù)設(shè)備。

2.1 基本結(jié)構(gòu)

ESCA采用結(jié)構(gòu)化設(shè)計(jì)，允許技術(shù)人員和工程師遠(yuǎn)程監(jiān)控、診斷、控制和編程設(shè)備，就像他們?cè)诠ぷ鳜F(xiàn)場(chǎng)一樣。但這些遠(yuǎn)程訪問連接是通過私有的點(diǎn)對(duì)點(diǎn)連接實(shí)現(xiàn)的，連接訪問受到嚴(yán)格控制，并且在該連接上發(fā)送和接收的所有數(shù)據(jù)都經(jīng)過加密。ESCA經(jīng)過了施耐德電氣嚴(yán)格的內(nèi)部網(wǎng)絡(luò)安全流程，是通過ProtectEM GmBH安全認(rèn)證的遠(yuǎn)程訪問解決方案。ESCA遠(yuǎn)程解決方案的結(jié)構(gòu)圖如圖2所示。

圖2 EcoStruxure Secure Connect Advisor結(jié)構(gòu)圖

在圖2中，運(yùn)行在工作現(xiàn)場(chǎng)的SiteManager與辦公室中的計(jì)算機(jī)或智能設(shè)備LinkManager通過服務(wù)器 GateManager安全連接，即：SiteManager -GateManager - LinkManager。工作現(xiàn)場(chǎng)的SiteManager至少有2個(gè)網(wǎng)絡(luò)通信端口，1個(gè)網(wǎng)絡(luò)負(fù)責(zé)外部互聯(lián)網(wǎng)通信，與GateManager建立安全連接；另1個(gè)網(wǎng)絡(luò)負(fù)責(zé)連接工作現(xiàn)場(chǎng)的現(xiàn)場(chǎng)設(shè)備，如PLC、IPC、服務(wù)器、Web 攝像頭等。GateManager是在工作現(xiàn)場(chǎng)的人機(jī)界面 SiteManager與個(gè)人計(jì)算機(jī)或智能設(shè)備 LinkManager之間創(chuàng)建安全、加密連接的服務(wù)器。GateManager軟件在施耐德電氣托管的網(wǎng)絡(luò)服務(wù)器上運(yùn)行，它能將購(gòu)買的許可證附加到SiteManager設(shè)備上、創(chuàng)建和管理LinkManager用戶賬戶、以及為整個(gè)客戶域驗(yàn)證所有SiteManager和LinkManager的網(wǎng)絡(luò)狀態(tài)組件等。LinkManager是計(jì)算機(jī)上安裝的軟件，通常由技術(shù)人員和工程師使用。它允許遠(yuǎn)程訪問SiteManager和/或SiteManager上的代理所代表的設(shè)備，由GateManager處理網(wǎng)絡(luò)訪問設(shè)置。

2.2 測(cè)試過程及結(jié)果

施耐德電氣在歐洲和美洲分別架設(shè)GateManager網(wǎng)絡(luò)服務(wù)器中心，所有客戶GateManager軟件都在施耐德電氣托管的網(wǎng)絡(luò)服務(wù)器上運(yùn)行。本文作者針對(duì)分布在這兩處的服務(wù)器分別進(jìn)行了測(cè)試。作者將SiteManager運(yùn)行在南美某水電站工作現(xiàn)場(chǎng)，GateManager分別運(yùn)行在施耐德電氣托管的歐洲網(wǎng)絡(luò)服務(wù)器和美洲服務(wù)器上，LinkManager安裝在中國(guó)北京的調(diào)試服務(wù)器上。按照手冊(cè)配置完成后，在北京的調(diào)試服務(wù)器上都可以正確連接到南美工作現(xiàn)場(chǎng)的PLC設(shè)備，能上傳、下載、在線修改和監(jiān)視程序，只是受網(wǎng)絡(luò)速度影響，過程較慢。

2.3 遠(yuǎn)程接入安全措施

當(dāng)在個(gè)人計(jì)算機(jī)或智能設(shè)備上遠(yuǎn)程顯示或操作工作現(xiàn)場(chǎng)設(shè)備時(shí)，需要安全措施來防止外部源未經(jīng)授權(quán)的訪問。ESCA遠(yuǎn)程解決方案提供數(shù)字證書和密碼2種安全驗(yàn)證方式登錄系統(tǒng)，建立私有的點(diǎn)對(duì)點(diǎn)連接，該連接訪問受到嚴(yán)格控制，并且在該連接上發(fā)送和接收的所有數(shù)據(jù)都經(jīng)過加密。對(duì)于工作現(xiàn)場(chǎng)的SiteManager，需額外增設(shè)防火墻設(shè)備，來保證所有輸入連接都是合法的。

當(dāng)搭建ESCA遠(yuǎn)程網(wǎng)絡(luò)時(shí)，需要購(gòu)買賬號(hào)和數(shù)字證書，數(shù)字證書分為GateManager數(shù)字證書和LinkManager數(shù)字證書。GateManager數(shù)字證書是登錄GateManager服務(wù)器所需要的數(shù)字證書，如果在GateManager服務(wù)器上未找到與您匹配的賬戶和數(shù)字證書，則不能登錄到GateManager服務(wù)器。在GateManager數(shù)字證書的電子郵件中包含有SiteManager配置連接相關(guān)信息，只需將這些信息配置到SiteManager中，即可將工作現(xiàn)場(chǎng)的SiteManager連接綁定到GateManager服務(wù)器，建立安全的點(diǎn)對(duì)點(diǎn)連接，之后將所購(gòu)買的許可證附加到SiteManager設(shè)備上。

LinkManager數(shù)字證書是技術(shù)人員和工程師使用LinkManager連接到GateManager服務(wù)器的一種數(shù)字證書，每一次登錄都要對(duì)數(shù)字證書和賬戶驗(yàn)證匹配，以防止不可信任的訪問連接。

3 結(jié)束語

為工業(yè)現(xiàn)場(chǎng)建立便捷、有效成本低廉的遠(yuǎn)程調(diào)試系統(tǒng)是制造商對(duì)生產(chǎn)設(shè)備智能化維護(hù)的現(xiàn)實(shí)需求，為在設(shè)備出現(xiàn)故障后快速搭建一條從工業(yè)現(xiàn)場(chǎng)到運(yùn)維中心的專用通路進(jìn)行遠(yuǎn)程調(diào)試。本文嘗試2種方案遠(yuǎn)程接入海外某電站監(jiān)控系統(tǒng)，對(duì)提供遠(yuǎn)方調(diào)試和維護(hù)的可能性進(jìn)行了測(cè)試。但是所有的遠(yuǎn)程維護(hù)手段都必須把電站監(jiān)控系統(tǒng)的數(shù)據(jù)和網(wǎng)絡(luò)安全性放在首位。在當(dāng)前新冠疫情尚未完全有效控制的情況下，遠(yuǎn)程調(diào)試和維護(hù)為有效減少疫情對(duì)電力生產(chǎn)的影響提供了一種解決途徑。