针对高保密制造业的信息安全方案设计研究

冯宇

摘要：高保密制造业在自动化转型过程中，必然会面临信息安全问题。根据现场的具体需求，我们首先要初步确定硬件和软件架构，并评估架构中可能存在的各类风险项。文章通过以下措施：1） 增设硬件防火墙、子节点交换机，管理局域网内所有设备的数据流；2） 考虑有限条件内的AGV通信方式，选择基于红外光的近场通信技术；3） 软件间固定接口、交互内容加密；4） 软件内部使用身份权限管理、数据备份策略，多方位保障信息安全。

关键词：信息安全；架构；接口；加密；备份策略

中图分类号：TP393        文献标识码：A

文章编号：1009-3044（2024）08-0091-03

開放科学（资源服务）标识码（OSID）

0 引言

据工信部2021年发布的统计数据，中国已连续十一年成为世界第一制造业大国。然而，在工业增长值持续上升的表象下，我国采用的OEM生产方式仍使我们在国际垂直分工中处于全球价值链（GVC） 的底端。因此，如何提升制造环节的附加值，进而提高我国在GVC中的地位，已成为当前亟待解决的问题。由于欧美国家原始知识产权的掣肘，中国短期内难以大规模转变制造业OEM模式。为降低生产成本，实现资本积累，制造业正由产业化向自动化，甚至智能化转型。以广汽集团、上汽集团、一汽集团为主导的汽车行业，其龙头企业已在不同程度上实现了自动化。相比之下，船舶、航空航天等高保密制造业仍处在自动化的初级阶段。

制约高保密制造业信息化进程的关键因素之一是其产品的特殊性。高保密行业产品的相关信息，包括设备、零部件、工艺、供应链等，均有严格的密级划分。对于涉密信息，原有的传递方式多为“摆渡”，即利用专用设备以特定方式采集、存储后，由人员携带至指定目的地，再以特定方式传出。这种方式的缺点在于传递效率极低。在自动化改造过程中，我们将尽可能减少人工作业，提高信息传递效率。此时，需要解决的关键问题变为如何确保自动传递过程中的信息安全。

1 概述

以国内某所某型产品生产线为例，其产品相关信息最高密级为“内部”，网络布设为厂内局域网。出于防爆要求，硬件全为有线连接。该生产线由多个站位组成，每个站位配备不同功能的人机交互设备。站位间利用桁架、AGV作为转运设备，同时还配备装卸货平台、物料间、中控室。

1.1 硬件架构

各站位终端将信息汇聚至站位级交换机，中控室作为信息中心，内含服务器、工作站等，信息汇聚至中控室交换机，再由站位级交换机传输至核心汇聚交换机，整个局域网为环形结构。

局域网与广域网之间的信息交互经过硬件防火墙隔离[1]，若两者之间存在密级差异，还可增设单向网闸[2]。

1.2 软件架构

广域网中已部署MOM作为上层系统，传递基础信息、订单信息到局域网中的MES，MES系统建立详细的工艺路径，将订单分解并下发至生产线，同时MES在生产准备作业时，发送出、入库需求至WMS，参与线端库管理，在生产过程中，采集各类设备（含PLC） 信息，对数据采集、分析后，反馈至上层MOM系统。整个产品流转过程中，MES将转运需求发送至RCS，参与RCS对AGV的调度。

MOM与MES之间通过ETL/Web Service的方式交互，MES与下位机（PLC、WMS、RCS） 通过Modbus、OPC、Web Service等通信协议交互。

图2  软件交互框架图

2 硬件分析

根据使用目的，可将硬件分为三类：网络硬件、应用硬件、存储硬件。网络硬件包括：交换机、防火墙；应用硬件包括：主机设备、立体库、AGV、桁架、各类传感器；存储硬件包括：数据服务器、数据备份服务器、应用服务器，承载各类软件，将在软件分析时着重论述。

2.1 网络布设

局域网采用环网结构，设计之初已充分考虑到传输的安全性。鉴于某型产品的特性为小批量多批次，生产过程中的数据量相对较小，中央节点的核心汇聚交换机负荷足以满足需求。

子节点中不使用集线器，而是采用带ARP管理的交换机。通过导入设备的IP和MAC地址，可以针对静态地址表设置安全策略，具体如下：

1） 限制所有设备的网络访问权限；

2） 监控设备上网行为；

3） 设定流量上限，频繁出现非正常上网行为的设备可做特殊限制。

除了部署安全策略外，交换机对组网的整体稳定性也有较多益处：

1） IP地址基于网络拓扑，容易更改；而MAC地址属于出厂烧录，绑定后可进一步确保设备通信地址的唯一性。

2） IP地址实行分段管理且固定，这方便了管理端PC在局域网内部进行远程连接，且在访问时无需重复验证用户信息，从而提升了访问速度。

3） 未录入静态地址表的设备将无法接入局域网，这能有效防止非授权访问。

4） 系统通讯端口限制：系统在本地网络上与其他系统的通信仅限于授权的通信端口。操作软件未使用的服务通信端口必须在防火墙或路由器的过滤器上进行阻止。

5） 入站互联网通信端口限制：从互联网到内部系统的通信仅限于使用授权的通信端口。防火墙过滤器必须阻止操作系统软件未使用的服务通信端口。所有端口必须默认阻止，仅通过例外允许系统软件所需的特定端口。

6） 出站互联网通信端口限制：系统与互联网的通信仅限于授权的通信端口。防火墙过滤器必须阻止操作系统软件未使用的服务通信端口。所有端口必须默认阻止，仅通过例外允许系统软件所需的特定端口。

中央节点的核心汇聚交换机与广域网之间采用硬件防火墙进行隔离。由于软件防火墙的包过滤功能无法满足高保