★李小川，苏云涛北京圣博润高新技术股份有限公司

关键词：工业安全；数字孪生；PLC仿真；工业安全

1　项目概况

1.1　项目背景

港口码头作为经济的晴雨表，不仅是现代经济的血液，还是促进贸易和地区发展的重要基础设施。近年来，港口装卸作业自动化程度逐渐提高，视频监控、分布式工业控制系统得到了广泛应用，为港口的安全稳定运行提供了重要保障。但不足之处也很明显，港口生产运营中的视频监控、PLC系统、工控监控系统网络安全防护较为薄弱，病毒、软件滥用、网络架构、U盘滥用等问题日益凸显。

我国港口码头工业控制系统属于关键信息基础设施，安全可靠性问题突出，受到系统结构复杂、核心技术限制、缺乏安全与管理标准等诸多因素影响，运行在工业控制系统中的数据及操作指令随时可能遭受来自敌对势力、商业间谍、网络犯罪团伙的破坏。而且IT通用化加剧了系统的安全隐患，IT技术将传统安全的困扰引入到工业控制系统中，危及了控制系统的安全。通过分析发现，港口码头行业工业控制系统常见的安全威胁主要来自以下几个方面：边界隔离措施缺失、工控协议安全缺陷、高级持续威胁难以发现、操作系统安全漏洞、工业系统设备漏洞、组态软件升级困难、病毒控制手段缺乏、移动存储介质滥用、特权滥用数据泄露、人员管理安全威胁、非法接入风险、明文数据传输风险和无线通信链路风险。

1.2　项目简介

本项目针对符合港口工控网络特点的仿真验证环境不足，难以满足行业所需的分析、测试、验证等工作，提出了“港口工控安全仿真验证平台”。本项目从两个方向展开研究：港口工控系统仿真环境虚拟化和工控仿真环境安全验证。首先，基于固件提取技术、分析技术及虚拟化技术等实现设备控制系统（ECS）虚拟化，解决实体设备虚拟化问题。然后，基于部分实体设备和虚拟化设备通过多维度审计溯源技术进行安全验证，解决仿真环境如何有效使用问题。

1.3　项目目标

（1）满足港口码头单位安全防护产品的总体论证和规划能力需求；

（2）增强港口码头单位工控系统信息安全保障能力；

（3）满足港口码头单位安全训练和攻防演习需求。

2　项目实施

港口工控安全仿真验证平台的总体构架如图1所示。

图1 港口工控安全仿真验证平台的总体架构

图1中虚线部分是本项目的重点研究内容，主要涵盖翻车机、推料机、取料机、装船机系统场景，首先通过官方获取、硬件提取等方式对PLC、RTU、智能仪表的固件进行提取、分析，然后借助容器或者虚拟机实现PLC、RTU、智能仪表仿真，再通过上位机组态虚拟机、计算资源池、网络资源池、存储资源池和网络控制器虚拟等完成控制设备数字孪生，最后基于搭建的港口工控安全仿真场景完成统计可视化、攻击溯源、流量分析和仿真验证等功能。整体以云计算超融合平台为支撑，具有灵活动态分配资源、统一管理、维护成本低、高性价比和便于管理维护的优点。其采用B/S架构设计，通过网络将超大规模的计算与存储资源整合起来，并将计算任务分布在这些资源池上，再根据自己的需要获得计算、存储和网络等信息服务。同时，通过业界主流的信息系统、工控系统（PLC、组态软件、网络交换机、主机系统等）的虚拟化很好地解决了仿真过程过度依赖实物硬件的不便利，同时也能迅速地通过虚拟机拓扑的改变在短时间内组建成新的业务系统。

本项目安全仿真验证环境的总体设计方案以传统信息安全和业务安全为背景，综合权衡信息安全的机密性与业务安全的可用性，并从平台底层架构的完整性、实时性考虑，借助虚拟化技术增强系统的稳定性、可靠性以及安全性，保证上层真实仿真系统的可用性。本方案主要分为四个部分：基础层设备虚拟化建设、虚拟网络SDN的映射应用、上位机控制系统及工艺流程虚拟化建设、平台仿真资源库的建设应用。

2.1　基础层设备虚拟化建设

本项目自下而上开展基础层设备虚拟化，主要包括：

（1）传感器数据仿真建设

仿真环境支持对角度、振幅、高度等码头主流传感器的虚拟化，如图2所示，通过对传感器的虚拟化，保证控制器系统通过虚拟的接口与传感器进行通讯，利用软件技术对开关量传感器的数据仿真，为基础层设备的虚拟化提供技术保障。

图2 传感器虚拟化

建立传感器的模型，在其原理分析、结构设计、样机研制中起着重要的作用。一个符合传感器实际情况的模型，既能充分、准确地揭示出传感器的工作机理，又能有效地指导传感器实际的优化设计、减小盲目性、缩短样机研制过程和处理不同物理量之间的耦合等。

（2）控制器仿真建设

仿真环境支持对西门子、罗克韦尔自动化、施耐德、三菱电机等控制设备（PLC/RTU）的模拟，每种控制器支持两种以上的主流系列仿真。它具有实物控制器在功能、可靠性、速度、故障查找等方面的特点。利用软件技术可以将标准的工业PC机系统转换成全功能的过程控制器，通过一个多任务控制内核，提供强大的指令集快速而准确的扫播周期、可靠的操作和可连接各种I/O系统及网络的开放式结构。

2.2　虚拟网络的建立应用

该平台可以提供高逼真的工控仿真环境，能够通过网络将超大规模的计算与存储资源整合起来，并将计算任务分布在这些资源池上，再根据自己的需要获得计算、存储和网络等资源，最终实现高逼真的工控仿真环境，从网络层联通控制器、安全防护设备、上位机监控系统及其他高层业务系统，为虚拟平台直接互联互通打好了通信的基础工作。

2.3　上位机系统仿真

作为设备的直接监控层，仿真环境支持对多种国内外上位机系统的模拟，如Wincc、IFix、Intouch，杰控、力控、组态王等。

在港口码头生产工控系统的典型场景中，需要具备上位机与控制器设备间的数据交互能力，控制层设备通过对现场传感器或虚拟传感器的数据采集，实时与上位机系统进行数据交互，达到工控设备及系统高逼真还原。同时作为工业仿真的核心要素，仿真系统可支持对OPC、EIP、Modbus、S7、S7CommPlus等协议的模拟。工业通信协议可承担设备数据交互、指令执行、程序互传等功能的桥梁作用，协议仿真在各类型典型流程工业场景中起到重要支撑。

2.4　基于机器学习的控制器行为监控及溯源技术

本项目基于人工智能的控制器行为识别技术，通过研究主体控制器对客体设备的行为，以及多主体控制器行为之间的相互关系，得到控制器网络行为的模式、特性状态和结构抽象。通过对行为观测所得到的行为样本与行为库进行匹配，预测行为变化的趋势，从而揭示控制器正常运行的规律。控制器行为分析溯源的实现技术路径如图3所示。

图3 虚实结合的分析溯源示意图

3　案例亮点及创新性

（1）工控设备数字孪生技术

本项目基于多维度虚实映射的港口工控设备数字孪生构建方法，在OpenStack基础平台上融合KVM和LXC两种虚拟化技术，从实物设备、虚拟化技术、软件模拟方法等多个维度设计港口码头生产工控设备及网络的构建机制，满足真实性、高效性和大规模需求。

（2）虚实结合的安全验证技术

本项目虚实结合的实体设备、软件、应用和数据服务等将在仿真环境中被抽象为逻辑表示的基础资源标识。仿真环境的资源模块管理一切平台环境及任务需要的模块，时序一致性则具体依靠OpenStack中的Gnocchi模块实现，主要原理为把各个计量指标Metric的计量数据measurement直接写入后端存储中，并在measurement写入之前根据预先设定的归档策略进行聚合操作，查询时直接读取对应的文件即可获得聚合后的监控信息点，显然时间复杂度变为O(1)，并且提供资源索引，可以更快地找到每个资源的基础信息metadata和其相关的metrics信息。

作者简介

李小川（1980-），男，辽宁沈阳人，硕士，现就职于北京圣博润高新技术股份有限公司，主要从事工控网络安全方面的研究。

苏云涛（1991-），男，河北石家庄人，工程师，学士，现就职于北京圣博润高新技术股份有限公司，主要从事工业互联网网络安全方面的研究。

摘自《自动化博览》2024年1月刊