刘松 （1972-）

    男，河北秦皇岛人，1994年毕业于天津职业大学热能工程专业，现任中国石油大港石化公司聚丙烯厂副厂长，从事化工仪表自动化领域的技术及管理工作。


    摘要：在化工装置控制中，CENTUM CS3000被广泛应用，其操作平台为Windows XP Professional，但在其实际使用中，经常有操作人员进入Windows系统，进行与生产无关的操作，本文提出的改进措施，有效地提高了操作站的安全性。

    关键词：CENTUM CS3000；操作站；安全

    Abstract: In chemical industry, CENTUM CS3000 system is widely applied, and its operation system is Windows XP Professional. However, in the daily usage, some operations unrelated to production are often performed by the users. In this paper, some improvement measurements are taken to ensure the safety of CS3000 system.

    Key words: CENTUM CS3000; Operator Station; Safety

    1 引言

    YOKOGAWA CENTUM CS3000集散控制系统以其直观、先进和高度灵活的特点早已成为国内大型化工装置的主流控制系统之一，该系统提供了非常容易的与ERP、MES等上位系统进行数据交换的开放性接口，能够充分满足化工生产企业构建管理信息系统的各种需要。但是由于CS3000系统的开放性过高、且在安全方面过于依赖Windows平台，从而给其自身的系统安全性带来较大隐患。为此，作者归纳了最新版本的CS3000系统在工程应用中涉及到的安全问题的实际处理经验，总结了面向CS3000系统软件组态与维护人员的具体解决方案。

    2 CS3000系统在Win-XP环境下存在的安全隐患

    截至目前，YOKOGAWA CENTUM CS3000系统的最新版本为R3.08.70，其操作系统为Windows XP Professional。与先前的版本相比，R3以上的版本增加了很多新功能，更加方便用户使用，在系统安全性上，它延续使用了自R3版本以来的“CENTUM Desktop”环境，可禁止用户更改Windows系统设置。但是YOKOGAWA公司未充分考虑到中国用户的实际情况，系统安全措施做得不够完善，未将与生产操作的功能彻底锁死，给系统的安全运行带来隐患，具体如下：

    2.1 CS3000系统提供的软件安装说明（即文献[1]）不够明确

    CS3000虽然要求了系统安装之后在关闭屏保以及网络权限等方面的设置，但在安装CS3000系统并以“CENTUM”用户权限登陆后，其帐户类型为“受限制的帐户”，且不能直接关闭屏保以及进行网络权限设置，Win-XP的状态依然为10分种内不进行操作就进入屏幕保护的休眠状态，并会因屏幕保护而中断历史数据的采集。

    2.2 CS3000系统提供的默认运行环境安全程度不高

    在安装Windows XP Professional的进程中，一些与控制系统无关的组件也被安装到操作站中，即使在“CENTUM Desktop”环境下，用户也能通过“开始”菜单或桌面图标方式运行与操作无关的程序，还能直接删除操作站上的有关文件，甚至通过“网上邻居”删除相邻操作站的文件。

    2.3 Win-XP的默认状态不能为CS3000系统提供安全的运行环境

    Windows XP Professional安装结束后，光驱与USB接口均处于“自动播放”状态，即使在“CENTUM Desktop”环境下，当放入光盘或插入移动存储设备时也可自动打开或自动运行，极有可能将病毒带入操作站中。此外，自Windows 95问世以后，计算机键盘上增加了“Windows键”，Windows XP Professional平台更是赋予了“Windows键”与其它键组合出的多种快捷方式，提高了用户操作的便捷性，但在“CENTUM Desktop”环境下，“Windows键”的功能未被完全屏蔽，用户可激活“Windows键”并对系统设置进行修改。

    虽然可以通过加强对操作员工的管理而尽量避免上述破坏性事件的发生，但DCS组态与维护人员仍有必要制订相应的技术防范措施，从根本上提高操作站的安全性。

    3 改进措施

    针对文献[2]、[3]中总结的CS3000系统早期版本在Windows 2000/NT/XP下提高安全性的解决方案，并通过作者在SPHERIPOL-Ⅱ工艺聚丙烯项目实施过程中的经验探索，总结了在Windows XP Professional下安装R3.08.70版本CS3000系统后安全设置的快捷方法，与大家共同交流。

    3.1 关闭“CENTUM”用户权限下的屏幕保护、休眠和自动关机功能

    在“管理员”权限下打开“控制面板”的“用户帐户”图标，将“CENTUM”的帐户类型由“受限制的帐户”修改为“计算机管理员”。注销后，再用“CENTUM”帐户登陆，文献［1］的要求关闭屏幕保护、去掉自动关机、不启用休眠、按下关机按钮时不采取任何措施。修改完毕后，再次注销后，回到“管理员”权限下，将“CENTUM”的帐户类型改回“受限制的帐户”。

    3.2 屏蔽“CENTUM”用户权限下由任务栏图标进入硬盘目录的途径

    在“管理员”权限下点击“开始”—“运行”，在“打开”指令栏中输入”gpedit.msc”，进入“组策略”编辑器。打开“用户配置”—“管理模板”—“任务栏和开始菜单”，双击右侧倒数第三个选项“隐藏通知区域”，将其状态修改为“已启用”。重新进入“CENTUM Desktop”环境后，任务栏图标消失，无法由该处进入硬盘目录。

    3.3 隐藏“CENTUM”用户权限下开始菜单中影响系统安全的无关组件

    在“HIS Utility”中将环境设置为“CENTUM Desktop”并登陆一次后，在路径c:\cs3000\his\save下会生成一个“hisdty”目录，该目录下有“CENTUM Desktop”环境下的开始菜单的程序及快捷方式。注销后，回到“管理员”权限下，将这些快捷方式删除或剪切至其它目录。重新进入“CENTUM Desktop”环境后，开始菜单中影响系统安全的无关组件即可消失。

    3.4 取消“CENTUM”用户权限下光驱与USB接口的自动播放功能

    在“管理员”权限下点击“开始”—“运行”，在“打开”指令栏中输入“gpedit.msc”，进入“组策略”编辑器。打开“计算机配置”—“管理模板”—“系统”，双击右侧倒数第六个选项“关闭自动播放”，将其状态修改为“已启用”，并适用于“所有驱动器”。重新进入“CENTUM Desktop”环境后，自动播放功能即可取消。

    3.5 禁用键盘上的“Windows键”

    在“管理员”权限下点击“开始”—“运行”，在“打开”指令栏中输入“REGEDIT”， 进入“注册表”编辑器。在路径[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer]下新建DWORD值，命名名称为“NoWinKeys”，并将数据数值写为“1”。重新启动操作站后，键盘上的“Windows键”即被禁用。

    3.6 去除USB接口的存储设备接入功能

    在“管理员”权限下点击“开始”—“运行”，在“打开”指令栏中输入“REGEDIT”， 进入“注册表”编辑器。在路径[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlset\Services\USBSTOR]右侧有名称为“Start”的设定项，将其数据由“0x00000003(3)”修改为“0x00000004(4)”，操作站USB接口的存储设备接入功能即被去除。

    4 结束语

    上述方案，杜绝了在“CENTUM Desktop”环境下，进行与生产运行无关的操作，DCS维护人员很容易就可对操作站进行设置，且不影响系统运行的稳定性。

    当前，Windows XP Professional已成为DCS和PLC操作站的主流运行环境，由于Windows本身具有开放、通用和易用的特点，很多操作人员都对其有着较深的了解，在这种现状下，DCS维护人员不仅要掌握组态技能，还应熟悉Windows的设置方法，对操作站进行必要的设置，实现系统运行的本质安全。

    参考文献：

    [1] CS3000 Installation IM33Q01C10-01E，YOKOGAWA公司技术手册[M].

    [2] 梁根东，杜中东，戴金祥. CS3000操作站安全性的提高方法[J]，石油化工自动化，2004(03).

    [3] 朱敬宇. CS3000系统安全性的解决方案[J]. 石油化工自动化，2008(04).

                                                           信息来源：自动化博览