工业信息安全背景下设备状态监测技术发展思考

国家工业信息安全发展研究中心 董良遇 于 盟

■引言

设备状态监测是利用传感器监测技术对设备运行状态进行在线或离线监测，采集设备振动、温度、压力等数据，进一步进行数据处理与特征提取，可对设备当前或未来的运行情况进行综合判断，力求实现对故障的有效捕捉与提示[1]。据不完全统计，我国石油、化工、冶金等支柱工业企业已对上万台汽轮机、发电机、泵、压缩机等设备进行在线监测诊断，每年产生PB 级的海量监测数据[2]，这些数据与机组原有监控系统的其他运行参数一起被存储和分析应用。在当前工业互联网、云计算等新技术作用下，在线监测数据催生出新的应用模式，如远程分析诊断、基于云平台的智能诊断等[3-5]。一方面，新技术的发展推动了设备监测诊断技术的发展；另一方面，大量数据联网后增加了数据信息安全风险。

当前暴露在互联网上的工业控制系统及设备数量不断增多，攻击门槛进一步降低，工控安全高危漏洞频现，重大工业信息安全事件高发，全球工业信息安全总体风险持续攀升[6]。需指出，我国在工业信息安全保障上存在着管理力度不足、防护不到位、人员意识不强、产业基础薄弱和技术人才匮乏等问题，监测数据的互联网应用无疑加剧了工业领域面临的信息安全风险。

■设备状态监测技术发展现状

我国从上世纪七、八十年代开始发展设备状态监测技术，几十年来，设备状态监测与故障诊断技术受到高校、科研院所和企业的重视，在石油、化工、冶金、电力等行业取得广泛应用[7]。近年来，随着人工智能、大数据等先进技术发展，设备状态监测技术不断发展，表现出信号采集多元化、数据处理智能化、数据传输网络化和诊断服务平台化等特征。

1.数据采集多元化

基于传感器技术与计算机技术发展，设备状态监测逐步从相对单一的工艺量监测拓展到包含温度、压力、流量、振动、位移、转速等在内的设备运行状态信息全面监测。其中振动、位移、瞬时转速、动态压力等瞬态快变监测信号，需要以高采样率、大量采样点的采集方式进行处理，保证数据采集的准确性。同时，不同数据类型的多通道并行同步采集也是保证数据分析准确性的关键。图1、图2 为国内石化往复压缩机BH5000R 监测系统不同类型传感器布局。

图1 往复压缩机活塞杆位移监测传感器

图2 往复压缩机壳体振动监测传感器

2.数据处理智能化

经过采集之后的各类数据由模拟量信号转化为数字量，由计算机完成进一步处理，如提取各类特征值，进行特征选择完成特征融合等。随着人工智能技术发展，诸如机器学习、卷积神经网络、深度神经网络等算法不断被应用到数据处理过程中。数据采集多元化带来的数据量庞大、数据维度高等问题为各类智能算法提供了用武之地。

3.数据传输网络化

互联网技术的快速发展使大数据量远程传输成为可能。目前，以石油、石化为代表的流程工业企业均建设有专用的数据传输网络，将最基层装置的设备与企业顶层管理平台连接了起来，部分企业还铺设了专用光纤网络，为设备状态监测数据传输预留了专用带宽。无线传输方面，基于WirelessHART、Zigbee 通讯的数据传输技术已被应用与石油、石化企业的大型泵群监测，由传感器无线发送温度、振动数据到无线网关。数据通过企业内部或外部网络进行远程传输，为故障远程监测诊断服务提供了基础。

4.诊断服务平台化

近年来，智能工厂建设、大数据云平台建设不断被企业认可，国内众多企业纷纷投入人力、物力建设本公司的状态监测与维修管理中心平台。相关平台集数据监测、异常报警、故障分析诊断、能效监测、维修管理、人员管理等功能于一体，各类功能均实现了模块化、插件化甚至微服务化，极大地提升了使用的便捷性和实用性。图3为国内某企业的设备远程监测平台。

图3 某企业设备远程监测平台

■工业信息安全对企业信息化管理的新要求分析

当前，“互联网+”的应用使工业生产效率得到快速提高，但随之而来的是不断加大的工业信息安全风险。总体上看，在全球范围内工业控制系统安全漏洞持续被披露，能源、制造、医疗、通信、政府设施、交通运输等重要关键基础设施行业依然是工业信息安全事件的高发领域。因此，工业信息安全对企业信息化管理也提出了新的要求。

1.新基建背景下加强企业信息基础设施建设

随着互联网技术发展，企业日常生产运行产生的数据量愈发庞大，传统的网络软硬件系统无法进行有效处理。企业需要针对相关基础设施进行投资建设，包括硬件方面服务器、防火墙、网闸、路由器，软件方面数据库、操作系统、中间件等，以适应快速增加的数据信息的处理要求。

2.建立健全信息安全防护体系与相关管理制度

随着近年来国内网络安全事件频繁发生，我国政府对于信息安全防护，尤其是工业信息安全防护，建设意识逐渐加强，政策支持力度不断上升。企业需完善自身的信息安全防护体系，加强对数据流入、流出的管控，预防信息安全事故的发生，构建、完善企业自身的信息安全防护管理制度。管理制度方面，应加强对计算机设备、电子资料文件安全、软件安全、信息系统安全、数据库安全的管理等，确立有关信息安全的禁止行为，建立奖惩办法。

3.不断应用、提升安全防护技术

工业网络环境受病毒、网络攻击等危害严重[8]，据统计，截至2019 年底我国境内受感染计算机病毒的主机数量约582 万台，感染率为20.44%。广东、江苏、浙江等工业信息安全发展起步较早的省份受感染的主机数量较多。以勒索病毒为代表，在相对安全的企业内网中也有广泛传播，因此，信息安全防护技术应用至关重要。企业应重视网络防火墙、数据加密、外来入侵检测等新技术应用，尤其是新技术的组合应用。同时应做好企业人员身份识别保密工作、做好VLAN 计算机网络安全管理等工作，在企业信息安全防护体系与规章制度的基础上，对病毒库升级、查杀，补丁安装，机密文件使用管理等方面的工作从严要求。

4.加快信息领域人才培养

人才是创新发展最重要的环节，技术的发展归根结底是人的发展。网络信息技术是全球研发投入最集中、创新最活跃、应用最广泛、辐射带动作用最大的技术创新领域。对于工业企业来说，虽然不参与网络信息技术的直接创新，但是网络信息新技术的应用离不开人才的支持。企业应重视自身信息化部门的建设，加强人员管理与人才建设，以支撑企业信息化建设工作。

■设备状态监测技术应用对企业提出新的要求

当前由于设备状态监测技术与互联网技术的深度融合，大量带有企业运营生产信息的设备运行数据通过网络进行传输，给工业企业信息安全带来了较大的隐患。因此，结合工业信息安全的发展态势对设备状态监测技术提出新的要求。

1.数据传输安全性要求

企业应依据自身需求和行业特性，对企业内部各种动态传输数据的进行风险等级定义、评估与划分，将风险等级较高者定义为企业动态重要工业数据。该类数据在传输过程中应采用加密传输或使用VPN 等方式进行保护，确保其在动态传输过程中的安全性。特别是具有跨网跨域的数据传输需求的企业或互联网平台，数据传输安全问题亟需加强重视，防止通讯线路上的窃听、泄露、篡改和破坏。所使用的加密技术的选择和使用须符合国家相关法律法规，结合数据重要性和企业需求合理进行加密，注重加密算法的类型、属性以及所用密钥的长度等。

2.数据存储与备份安全性要求

企业应结合企业管理及工艺流程等各环节需求，将各类静态存储的数据进行风险等级定义、评估与划分，将风险较高者定义为企业静态重要工业数据。该类数据的管理过程中需进行加密存储或隔离保护，设置合理的访问控制功能，确保静态存储的重要工业数据不被非法访问、删除、修改等。针对重要生产工艺、生产计划、组态文件、调度管理等关键业务数据，企业应结合企业实际进行定期备份，确保在工业控制系统及设备状态监测的关键业务数据丢失时可以及时恢复数据。对于影响企业安全运行及生产的关键业务数据，企业应在备份后进行恢复测试，确保备份数据的可用性。

3.数据应用安全性要求

企业数据的采集、应用、传输等过程涉及到组织内、外其他的业务系统及数据用户系统，这些系统的应用所涉及的安全问题也需要受到企业的重点关注。特别是在设备状态监测技术快速发展的今天，提供状态监测服务的企业多采用云服务方式完成数据采集、处理、存储、分析和展示等功能，使企业大量数据全生命周期中都存在数据泄露、丢失等安全风险。因此，对于数据应用的全生命周期安全防护至关重要。企业应采用入侵防范、资源控制、身份鉴别、访问控制、安全审计等多种方式加强对企业数据应用的安全防护。同时，对于提供信息安全服务的供应商及测评方，应以合同等方式明确针对企业相关设备和产品所提供服务中所承担的信息安全责任和义务，确保提供的产品和服务满足信息安全要求。服务商在服务过程中如需使用相关数据进行测试，应尽量避免为企业的实际生产数据。确需使用情况下，企业应提供去除所有敏感细节和内容的数据进行测量。

4.企业数据安全综合性防护要求

企业应结合自身需求和行业经验，将企业各类数据信息依据风险评估结果进行分级分类管理，罗列出重要工业数据清单、关键业务数据清单、容灾备份数据清单等。明确各类数据的管理要求及防护手段，如对数据存储备份的要求、对数据传输的要求、对数据测试的要求、对数据迁移的要求等。对于有工业主机登录、应用服务资源访问、工业云平台访问等需求的，须加强身份认证管理技术，对于访问重要数据的业务系统须加设双因素认证。对于企业拥有的敏感数据需要进行脱敏传输时，应采用技术措施限制对用户信息的访问和使用。对于影响企业正常生产的重要数据或系统环境可进行异地容灾备份，保障企业出现灾难时至少在异地保存有一份可用的关键业务数据或可以提供安全可用的生产环境。对于企业自动化程度较高的系统，需依据企业能力尽量部署具备国家相关部门认定的日志审计系统，实时监控网络各类操作行为及攻击信息，根据设置的规则智能判断出各种风险行为，对违规行为进行报警等。

■结束语

工业控制系统互联互通成为发展趋势，正在从封闭走向开放，传统的安全理念、方法、工具面临着巨大挑战，现有的工业控制系统安全防护体系的脆弱性日益凸显。工业企业设备状态监测技术产生了海量的监测数据，依赖网络实现传输与应用，对企业信息安全提出了新的要求。

本文从设备状态监测技术新发展入手，讨论分析了设备状态监测与网络技术的深度关联性，基于工业信息安全对企业信息化管理的新要求，对设备状态监测技术数据传输、数据管理等各方面安全性提出了相关要求和建议，供企业生产、运营管理人员参考。