海上油田工控安全防護(hù)體系設(shè)計(jì)與應(yīng)用

1背景與必要性

1.2背景

(1)建成海上智能油氣田示范區(qū)。為加快智能油氣

田試點(diǎn)提升與推廣應(yīng)用,推進(jìn)智能油田建設(shè)步伐,中國石化2020年明確提出,在勝利油田海上油田開展智能油氣田1.0版推廣實(shí)施,2021年智能油田建設(shè)開始啟動(dòng),預(yù)計(jì)2025年全面完成海上油田智能化升級(jí)轉(zhuǎn)型。由獨(dú)立單體向云端服務(wù)轉(zhuǎn)變,對(duì)工控網(wǎng)絡(luò)防護(hù)提出了更高的要求。

(2)提出網(wǎng)絡(luò)安全管理要求。勝利油田分公司信息安全管理辦法的發(fā)布,指導(dǎo)了工控安全建設(shè)如何落地,其中3.3主要是針對(duì)工控系統(tǒng)的安全管理,提到工控系統(tǒng)安全防護(hù)應(yīng)從網(wǎng)絡(luò)配置、網(wǎng)絡(luò)設(shè)備、軟件補(bǔ)丁、病毒防護(hù)、訪問控制、身份認(rèn)證、數(shù)據(jù)備份和時(shí)鐘同步等方面開展相關(guān)工作。

2.2必要性

(1)現(xiàn)有工控業(yè)務(wù)專網(wǎng)區(qū)域劃分存在問題?，F(xiàn)有網(wǎng)絡(luò)實(shí)現(xiàn)了工控網(wǎng)、辦公網(wǎng)的分離,但由于工控網(wǎng)絡(luò)內(nèi)部建設(shè)較早,現(xiàn)有工控網(wǎng)絡(luò)為二層網(wǎng)絡(luò),沖突域較大,網(wǎng)絡(luò)區(qū)域邊界沒有較好的手段進(jìn)行防護(hù),難以適應(yīng)未來智能油田工業(yè)互聯(lián)、云邊協(xié)同等需要。

(2)滿足等保2.0要求。2017年6月1日,《中華人民共和國網(wǎng)絡(luò)安全法》的正式實(shí)施進(jìn)一步界定了關(guān)鍵信息基礎(chǔ)設(shè)施范圍,80%以上關(guān)鍵基礎(chǔ)設(shè)施屬于工業(yè)控制系統(tǒng)[1]。國務(wù)院、網(wǎng)信辦、工信部明確要求保障工業(yè)控制系統(tǒng)安全,石油石化作為工業(yè)控制系統(tǒng)的重要領(lǐng)域,是可能遭到攻擊的重點(diǎn)目標(biāo),這就要求企業(yè)認(rèn)清風(fēng)險(xiǎn)、找出漏洞,并督促整改。

(3)由靜態(tài)防御向主動(dòng)防御轉(zhuǎn)變。隨著5G、云計(jì)算、工業(yè)互聯(lián)網(wǎng)等新技術(shù)與工業(yè)系統(tǒng)的深入融合,與傳統(tǒng)工控系統(tǒng)安全相比,工業(yè)互聯(lián)網(wǎng)面臨的安全挑戰(zhàn)更為艱巨,通過部署安全管控平臺(tái)廠級(jí)分析節(jié)點(diǎn),利用大數(shù)據(jù)、AI等信息化手段,可以實(shí)現(xiàn)工控安全由靜態(tài)防御向主動(dòng)防御轉(zhuǎn)變。

(4)中國石化總部對(duì)工控安全建設(shè)有明確規(guī)定。集團(tuán)公司在《中國石化工業(yè)控制系統(tǒng)管理辦法(試行)》《中國石化工業(yè)儀表控制系統(tǒng)安全防護(hù)實(shí)施規(guī)定》等管理制度中對(duì)工控系統(tǒng)的安全防護(hù)建設(shè)有明確規(guī)定。

2現(xiàn)狀及需求分析

2.2工控網(wǎng)絡(luò)現(xiàn)狀

(1)信息化建設(shè)現(xiàn)狀。1)基礎(chǔ)保障:建立了海上網(wǎng)絡(luò)通信通道,完成了自動(dòng)化初步建設(shè),實(shí)現(xiàn)了自動(dòng)化數(shù)據(jù)采集、監(jiān)控等功能。2)前端感知:開展了視頻、管線、船舶、溢油、人員動(dòng)態(tài)等應(yīng)用建設(shè),豐富了前端現(xiàn)場(chǎng)的動(dòng)態(tài)感知手段。3)應(yīng)用集成:開展了油藏、VR、生產(chǎn)指揮等應(yīng)用的集成建設(shè),提升了油藏開發(fā)、生產(chǎn)運(yùn)行的管理水平。

(2)工控網(wǎng)絡(luò)現(xiàn)狀。工控設(shè)備及終端體量基數(shù)大、覆蓋面積廣、更新迭代快,全廠工控網(wǎng)絡(luò)采用二層網(wǎng)絡(luò)規(guī)劃模式,缺少標(biāo)準(zhǔn)化、規(guī)范化、體系化的頂層設(shè)計(jì)。海上平臺(tái)和聯(lián)合站工控網(wǎng)絡(luò)就近接入辦公網(wǎng),通過單向光閘實(shí)現(xiàn)邊界隔離防護(hù)。

(3)視頻網(wǎng)絡(luò)現(xiàn)狀。流媒體平臺(tái)采用雙網(wǎng)卡跨辦公網(wǎng)、視頻網(wǎng)部署,存在較大安全隱患。

(4)工控系統(tǒng)等保對(duì)標(biāo)現(xiàn)狀如表1所示。

(5)海上工控網(wǎng)絡(luò)日常運(yùn)維現(xiàn)狀。海上采油平臺(tái)多、范圍廣,生產(chǎn)數(shù)據(jù)從產(chǎn)生、回傳直到相關(guān)應(yīng)用要經(jīng)過10余個(gè)環(huán)節(jié),受限于氣象海況,故障排查不及時(shí),傳統(tǒng)模式下被動(dòng)應(yīng)急、人工診斷分析、信息孤立分散的運(yùn)維模式已不能適應(yīng)新的故障診斷需求。

2.2需求分析

(1)滿足工控專網(wǎng)兩級(jí)貫通,支撐智能油田建設(shè)的需求。建設(shè)油田級(jí)敏捷、高效、安全的工控專網(wǎng),實(shí)現(xiàn)采油廠至管理區(qū)兩級(jí)工控網(wǎng)絡(luò)貫通,滿足智能油田相關(guān)應(yīng)用部署條件,為未來打造工業(yè)互聯(lián)、云邊協(xié)同、云網(wǎng)融合的智能油田運(yùn)行新形態(tài)創(chuàng)造良好的網(wǎng)絡(luò)基礎(chǔ)。

(2)滿足智能油田建設(shè)中工控業(yè)務(wù)專網(wǎng)分區(qū)分域的需要。依據(jù)"橫向分區(qū)、縱向分層、安全隔離、適度防護(hù)"的安全防護(hù)總體原則,通過工業(yè)防火墻的部署滿足工控業(yè)務(wù)分區(qū)分域的需要。

(3)滿足工控業(yè)務(wù)系統(tǒng)等保2.0要求,支撐智能油田業(yè)務(wù)上線的需要。滿足等保2.0二級(jí)系統(tǒng)建設(shè)安全需求,協(xié)助智能油田業(yè)務(wù)上線。

(4)建立安全管理中心,滿足油田統(tǒng)一納管需求,提升安全事件響應(yīng)及應(yīng)急處置能力。建設(shè)安全管控平臺(tái)廠級(jí)分析節(jié)點(diǎn),建立標(biāo)準(zhǔn)接口,滿足工控設(shè)備信息采集及數(shù)據(jù)分析存儲(chǔ)的需求,提升海上油田安全事件應(yīng)急響應(yīng)能力,安全策略由靜態(tài)部署向安全設(shè)備聯(lián)動(dòng)處置轉(zhuǎn)變。

(5)建立海上生產(chǎn)信息化智能運(yùn)維體系。滿足海上工業(yè)互聯(lián)運(yùn)維需求,協(xié)助運(yùn)維人員定位故障點(diǎn),掌握故障的影響范圍,提高故障處置效率,保障各信息系統(tǒng)穩(wěn)定可靠運(yùn)行。

3總體防護(hù)策略

(1)按照局級(jí)建設(shè)思路,實(shí)現(xiàn)廠區(qū)至管區(qū)兩級(jí)貫通。建設(shè)海上油田物理隔離工控專網(wǎng),在"一張網(wǎng)"的控制下,使生產(chǎn)更加安全、高效,縮短關(guān)停后恢復(fù)生產(chǎn)的時(shí)間,為后續(xù)數(shù)字孿生等技術(shù)的應(yīng)用提供有力的網(wǎng)絡(luò)基礎(chǔ)保障。

(2)優(yōu)化現(xiàn)有工控網(wǎng)絡(luò)架構(gòu),按照總部318號(hào)文要求進(jìn)行分區(qū)分域。在不影響工控業(yè)務(wù)的前提下,優(yōu)化部分網(wǎng)絡(luò)結(jié)構(gòu),通過新增安全設(shè)備、安全策略劃分區(qū)域,縮小業(yè)務(wù)影響域范圍。

(3)提升計(jì)算環(huán)境安全性,打造安全可靠的工控業(yè)務(wù)系統(tǒng)網(wǎng)絡(luò)?；诤Ｉ嫌吞镉蜌馍a(chǎn)信息化業(yè)務(wù)流程自身特點(diǎn),建立"可信、可控、可管"的安全防護(hù)體系,使得自動(dòng)化系統(tǒng)能夠按照預(yù)期運(yùn)行,免受信息安全攻擊和破壞,打造安全可靠的工控業(yè)務(wù)系統(tǒng)網(wǎng)絡(luò)。

(4)建立局級(jí)工控安全管控平臺(tái)廠級(jí)分析節(jié)點(diǎn),實(shí)現(xiàn)工控安全設(shè)備集中管控。建設(shè)工控安全管控平臺(tái)廠級(jí)分析節(jié)點(diǎn),管理平臺(tái)上移,避免重復(fù)投資,實(shí)現(xiàn)降本增效。

(5)建設(shè)工控網(wǎng)絡(luò)態(tài)勢(shì)感知,滿足海上生產(chǎn)信息化運(yùn)維的安全運(yùn)維體系需要。利用網(wǎng)絡(luò)自動(dòng)感知、多維數(shù)據(jù)集成、故障智能診斷等技術(shù)建設(shè)工控網(wǎng)絡(luò)態(tài)勢(shì)感知,實(shí)現(xiàn)信息資產(chǎn)管理、拓?fù)潢P(guān)系可視、運(yùn)行狀態(tài)監(jiān)測(cè)、故障精確定位等,協(xié)助運(yùn)維人員定位故障點(diǎn),掌握故障的影響范圍,提高故障處置效率,保障各信息系統(tǒng)穩(wěn)定可靠運(yùn)行。

4技術(shù)路線和技術(shù)方案

4.l技術(shù)路線

"十四五"期間,面向油田數(shù)字化轉(zhuǎn)型和智能油田的深入推進(jìn),對(duì)標(biāo)等保2.0中"一個(gè)中心、三重防護(hù)"的要求,完善油田工業(yè)互聯(lián)網(wǎng)安全防護(hù)體系建設(shè),強(qiáng)化網(wǎng)絡(luò)邊界防護(hù)、增加防御縱深、提高架構(gòu)安全性、提升安全運(yùn)營管理效率。安全保障體系設(shè)計(jì)框架如圖1所示。

按照"一個(gè)中心、三重防護(hù)"建設(shè)思想,加強(qiáng)通信防護(hù)、區(qū)域防護(hù)、邊端防護(hù)能力,部署工控安全管控中心平臺(tái)廠級(jí)分析節(jié)點(diǎn),打造風(fēng)險(xiǎn)隱患管控體系。

(1)通過波分復(fù)用技術(shù),建立聯(lián)合站、站庫工控專線,通過在廠級(jí)部署一臺(tái)工業(yè)防火墻實(shí)現(xiàn)聯(lián)合站、站庫、信息中心、管理區(qū)工控網(wǎng)絡(luò)橫向分離,分區(qū)分域。

(2)通過在平臺(tái)部署工業(yè)防火墻實(shí)現(xiàn)海上平臺(tái)工控業(yè)務(wù)分區(qū)分域。

(3)通過在陸地流媒體一級(jí)節(jié)點(diǎn)部署視頻網(wǎng)關(guān),實(shí)現(xiàn)視頻業(yè)務(wù)防護(hù)。

(4)通過部署入侵檢測(cè)、堡壘機(jī)等滿足二級(jí)等保需求。

4.2技術(shù)方案

4.2.1通信防護(hù)

(1)工控專網(wǎng)改造:通過波分技術(shù)實(shí)現(xiàn)海二站、海三聯(lián)、海五聯(lián)、海四聯(lián)、海六站到采油廠核心工控專網(wǎng)建設(shè),推動(dòng)"智能油田"相關(guān)業(yè)務(wù)應(yīng)用上線。

(2)視頻網(wǎng)絡(luò)改造:對(duì)原有視頻網(wǎng)絡(luò)添加安全視頻網(wǎng)關(guān),通過對(duì)視頻流量進(jìn)行協(xié)議級(jí)解析,結(jié)合多形態(tài)的探測(cè)方式對(duì)視頻資產(chǎn)實(shí)現(xiàn)有效檢測(cè)分析。

4.2.2區(qū)域防護(hù)

根據(jù)現(xiàn)場(chǎng)網(wǎng)絡(luò)系統(tǒng)的特點(diǎn),將采油廠各海上平臺(tái)與陸地科技處、各管理區(qū)劃分為不同的邏輯區(qū)域,在各安全區(qū)域的邊界部署工業(yè)防火墻進(jìn)行邏輯隔離及訪問控制。

4.2.3邊端防護(hù)

(1)計(jì)算環(huán)境安全。1)身份鑒別防護(hù):部署運(yùn)維堡壘機(jī),實(shí)現(xiàn)登錄用戶鑒別、權(quán)限管理、雙因素認(rèn)證:部署物聯(lián)網(wǎng)安全網(wǎng)關(guān),實(shí)現(xiàn)在線資產(chǎn)識(shí)別和基線管控。2)主機(jī)安全加固:部署主機(jī)衛(wèi)士,實(shí)現(xiàn)主機(jī)系統(tǒng)加固、主客體訪問控制及安全標(biāo)記設(shè)置。3)入侵檢測(cè)防護(hù):部署入侵檢測(cè)系統(tǒng),實(shí)現(xiàn)計(jì)算環(huán)境入侵行為檢測(cè)與報(bào)警:部署視頻安全網(wǎng)關(guān),實(shí)現(xiàn)視頻網(wǎng)入侵防御。4)安全準(zhǔn)入防護(hù):對(duì)設(shè)備安全準(zhǔn)入、合規(guī)性、網(wǎng)絡(luò)訪問、安全規(guī)范實(shí)現(xiàn)控制、驗(yàn)證、授權(quán)、落實(shí)4個(gè)方面的實(shí)際需求。5)安全審計(jì)管理:部署日志審計(jì)系統(tǒng)、入侵檢測(cè)系統(tǒng)、堡壘機(jī),實(shí)現(xiàn)用戶行為安全審計(jì)。

(2)數(shù)據(jù)安全能力覆蓋。通過對(duì)數(shù)據(jù)交換、數(shù)據(jù)使用、數(shù)據(jù)維護(hù)、數(shù)據(jù)存儲(chǔ)等多個(gè)方面實(shí)現(xiàn)對(duì)數(shù)據(jù)安全的能力覆蓋,在工控環(huán)境中,由于業(yè)務(wù)的獨(dú)特性,數(shù)據(jù)安全能力著重體現(xiàn)在數(shù)據(jù)安全傳遞(既有單向光閘實(shí)現(xiàn))和工控關(guān)鍵系統(tǒng)參數(shù)備份(本次著重加強(qiáng))兩個(gè)方面。

4.2.4管控中心

集中管控平臺(tái)廠級(jí)分析節(jié)點(diǎn)負(fù)責(zé)對(duì)工控防火墻、工控安全監(jiān)測(cè)審計(jì)、工控主機(jī)衛(wèi)士等工控安全產(chǎn)品及第三方設(shè)備進(jìn)行運(yùn)行監(jiān)控,主要包含安全設(shè)備管理、日志集中管理、安全實(shí)時(shí)告警、安全策略管理四大模塊,為工控網(wǎng)絡(luò)安全運(yùn)營提供決策支持,加快安全事件響應(yīng)速度,加強(qiáng)安全運(yùn)維感知能力,提升整體工控網(wǎng)絡(luò)信息安全水平。

4.2.5智能化運(yùn)維

(1)資產(chǎn)臺(tái)賬管理:基于IP掃描、臺(tái)賬導(dǎo)入、視頻、儀器儀表等感知設(shè)備,實(shí)現(xiàn)工控物聯(lián)感知資產(chǎn)的收集及管理,實(shí)現(xiàn)IP規(guī)劃管理、在線情況統(tǒng)計(jì)等功能。

(2)網(wǎng)絡(luò)拓?fù)潢P(guān)系:梳理海上工控網(wǎng)絡(luò)設(shè)備的對(duì)應(yīng)關(guān)系,實(shí)現(xiàn)有線/無線數(shù)據(jù)鏈路、網(wǎng)絡(luò)設(shè)備、設(shè)備拓?fù)潢P(guān)系可視化。

(3)運(yùn)行狀態(tài)監(jiān)測(cè):采用sNMP、ICMP、webservice接口等協(xié)議開發(fā)網(wǎng)絡(luò)探測(cè)采集監(jiān)控程序,實(shí)現(xiàn)網(wǎng)絡(luò)節(jié)點(diǎn)設(shè)備運(yùn)行狀態(tài)的實(shí)時(shí)監(jiān)控。

(4)智能診斷定位:建立報(bào)警預(yù)警診斷模型,基于鏈路、設(shè)備故障精準(zhǔn)定位,確定故障影響范圍。

5預(yù)期效果

5.1安全防護(hù)

按照油田工業(yè)控制系統(tǒng)安全防護(hù)的總體要求,遵循油田工業(yè)網(wǎng)絡(luò)"橫向分區(qū)、縱向分層、安全隔離、適度防護(hù)"的安全防護(hù)總體原則,建成敏捷、高效、安全的工控專網(wǎng),實(shí)現(xiàn)從采油廠延伸至采油現(xiàn)場(chǎng)的工控專網(wǎng),打造廠級(jí)工控安全防護(hù)體系,達(dá)到提升安全監(jiān)管、提供安全預(yù)警、完善安全分析、實(shí)時(shí)動(dòng)態(tài)防御、信息化智能運(yùn)維、促進(jìn)工控系統(tǒng)健康發(fā)展的目標(biāo)。

5.2智能運(yùn)維

應(yīng)用能夠?qū)崿F(xiàn)設(shè)備故障快速定位,有效保障海上安全生產(chǎn),提升系統(tǒng)運(yùn)維效率,減少運(yùn)維成本,指導(dǎo)構(gòu)建全域感知信息化體系,為海上油田智能化建設(shè)培根筑基。預(yù)計(jì)故障診斷時(shí)間可由原來的4h縮短為5min,在快速定位故障、保障生產(chǎn)的同時(shí),提高了運(yùn)維效率,減少了運(yùn)維成本。該技術(shù)可廣泛應(yīng)用于海上及陸地油田,具有良好的適用性及推廣前景。

5.3效益分析

(1)經(jīng)濟(jì)效益:本項(xiàng)目可提升油田工控安全防護(hù)能力,避免因網(wǎng)絡(luò)安全事件導(dǎo)致生產(chǎn)事故發(fā)生,有效降低因工業(yè)控制系統(tǒng)受到破壞所帶來的經(jīng)濟(jì)損失。

(2)管理效益:掌握關(guān)鍵信息基礎(chǔ)設(shè)施的安全狀態(tài),通過安全數(shù)據(jù)采集、安全數(shù)據(jù)整理、威脅和事件匯聚處理分析,實(shí)現(xiàn)數(shù)據(jù)可視化展現(xiàn)、工控網(wǎng)絡(luò)風(fēng)險(xiǎn)整體呈現(xiàn),提升勝利油田工控網(wǎng)絡(luò)安全風(fēng)險(xiǎn)感知能力和評(píng)估能力、行業(yè)網(wǎng)絡(luò)安全風(fēng)險(xiǎn)預(yù)警和應(yīng)急處置能力,建立基本關(guān)鍵信息基礎(chǔ)設(shè)施監(jiān)測(cè)預(yù)警體系。

(3)社會(huì)效益:有助于預(yù)防和減少各類因工控安全事件引發(fā)的系統(tǒng)故障和由此造成的油氣生產(chǎn)事故與經(jīng)濟(jì)損失,從另外一方面說,也是保障油田企業(yè)平穩(wěn)運(yùn)行、維護(hù)國家安全的重要手段。

6結(jié)語

本文針對(duì)海上油田工控安全背景及必要性進(jìn)行描述,在此基礎(chǔ)上對(duì)標(biāo)等保2.0的要求對(duì)海上工控網(wǎng)絡(luò)現(xiàn)狀及安全隱患進(jìn)行分析,從實(shí)際存在的安全隱患中考慮總體的海上工控安全防護(hù)管理策略及相應(yīng)的技術(shù)管理手段。本項(xiàng)目按照油田工業(yè)控制系統(tǒng)安全防護(hù)的總體要求,遵循油田工業(yè)網(wǎng)絡(luò)"橫向分區(qū)、縱向分層、安全隔離、適度防護(hù)"的安全防護(hù)總體原則,建成敏捷、高效、安全的工控專網(wǎng),實(shí)現(xiàn)從采油廠延伸至采油現(xiàn)場(chǎng)的工控專網(wǎng),打造廠級(jí)工控安全防護(hù)體系,達(dá)到提升安全監(jiān)管、提供安全預(yù)警、完善安全分析、實(shí)時(shí)動(dòng)態(tài)防御、信息化智能運(yùn)維、促進(jìn)工控系統(tǒng)健康發(fā)展的目標(biāo)。