核電廠儀控系統(tǒng)安全和網(wǎng)絡(luò)安全協(xié)調(diào)

前言：想要寫出一篇引人入勝的文章？我們特意為您整理了核電廠儀控系統(tǒng)安全和網(wǎng)絡(luò)安全協(xié)調(diào)范文，希望能給你帶來靈感和參考，敬請(qǐng)閱讀。

1引言

隨著現(xiàn)代工業(yè)技術(shù)的發(fā)展，工業(yè)化與信息化正在不斷融合，工業(yè)控制系統(tǒng)越來越多采用通用的通信協(xié)議和軟硬件系統(tǒng)，并且以各種方式接入網(wǎng)絡(luò)，從而打破了這些系統(tǒng)原有的封閉性和專用性，造成病毒、木馬等安全威脅向工控領(lǐng)域迅速擴(kuò)散。工業(yè)控制系統(tǒng)所面臨的信息安全問題日益嚴(yán)重，而且呈現(xiàn)出諸多與傳統(tǒng)IT系統(tǒng)不同的特點(diǎn)。核電廠作為國家關(guān)鍵基礎(chǔ)設(shè)施，是關(guān)注的核心，重中之重。儀控系統(tǒng)作為核電廠的神經(jīng)中樞、關(guān)鍵數(shù)字資產(chǎn)，是重點(diǎn)保護(hù)對(duì)象。而儀控系統(tǒng)從功能安全角度已有完整的法規(guī)標(biāo)準(zhǔn)和技術(shù)。如何在不降低安全的情況下考慮加強(qiáng)信息安全，有必要提出協(xié)調(diào)功能安全和信息安全的整體框架。

2安全和網(wǎng)絡(luò)安全協(xié)調(diào)要求

2.1基本原則

數(shù)字式儀控系統(tǒng)整體結(jié)構(gòu)層面應(yīng)考慮以下原則：（1）網(wǎng)絡(luò)安全措施不能影響核電廠安全目標(biāo)。網(wǎng)絡(luò)安全措施不應(yīng)損害儀控系統(tǒng)架構(gòu)實(shí)施的多樣性和縱深防御的有效性。（2）首先按照IEC61513的要求，進(jìn)行儀控系統(tǒng)功能初次分配，并進(jìn)行儀控系統(tǒng)架構(gòu)總體設(shè)計(jì)，然后考慮可能影響整體系統(tǒng)架構(gòu)的網(wǎng)絡(luò)安全要求。通過迭代設(shè)計(jì)過程，將可能影響系統(tǒng)架構(gòu)的網(wǎng)絡(luò)安全要求整合到一起。（3）網(wǎng)絡(luò)安全功能不得對(duì)安全重要功能所要求的性能、有效性、可靠性和可操作性產(chǎn)生不利影響。（4）安全重要系統(tǒng)增加的網(wǎng)絡(luò)安全特征應(yīng)進(jìn)行失效模式和后果分析，并考慮預(yù)防、控制或緩解措施.（5）當(dāng)兩種架構(gòu)設(shè)計(jì)有相同等級(jí)的安全性時(shí)，優(yōu)先考慮具備網(wǎng)絡(luò)安全防范特性的設(shè)計(jì)。但應(yīng)避免不必要的復(fù)雜設(shè)計(jì)，因?yàn)閺?fù)雜設(shè)計(jì)既不利于功能安全也不利于網(wǎng)絡(luò)安全。

2.2網(wǎng)絡(luò)安全區(qū)域劃分原則

為了更切實(shí)地實(shí)施分級(jí)方法，需要將儀控系統(tǒng)中的基于計(jì)算機(jī)的和基于數(shù)字邏輯的系統(tǒng)劃分為若干安全區(qū)域，分級(jí)保護(hù)原則適用于各個(gè)安全區(qū)域。區(qū)域允許將在安全和設(shè)備功能方面有著相似重要性的系統(tǒng)分為一組，以管理并應(yīng)用保護(hù)措施。定義安全區(qū)域的標(biāo)準(zhǔn)可能包括組織問題、本地化、架構(gòu)或技術(shù)方面。劃分網(wǎng)絡(luò)安全區(qū)域應(yīng)考慮如下原則：（1）網(wǎng)絡(luò)安全區(qū)域的劃定應(yīng)考慮和利用為加強(qiáng)安全目的而引入的獨(dú)立性和物理隔離要求；（2）劃定網(wǎng)絡(luò)安全區(qū)域應(yīng)同時(shí)考慮數(shù)據(jù)通信、地理/物理隔離以及獨(dú)立性等方面；（3）除非能夠從網(wǎng)絡(luò)安全防范角度有效的過濾和監(jiān)測(cè)分隔之間的通信，否則由多個(gè)子列組成的儀控系統(tǒng)應(yīng)劃分到同一個(gè)網(wǎng)絡(luò)安全區(qū)域中。

2.3共因故障處理原則

在某些情況下，共因故障的措施，有利于網(wǎng)絡(luò)安全防范。具體情況需由負(fù)責(zé)網(wǎng)絡(luò)安全人員基于特定場(chǎng)景可能的惡意攻擊和潛在威脅進(jìn)行評(píng)估。多樣性手段在網(wǎng)絡(luò)安全防范中使用，利弊需要具體分析。以串聯(lián)方式可以增加網(wǎng)絡(luò)安全效果，但是會(huì)引入復(fù)雜性；以并聯(lián)方式則可能增加系統(tǒng)接入路徑和漏洞。對(duì)于集成到系統(tǒng)中的網(wǎng)絡(luò)安全防范措施，應(yīng)分析其可能在多樣性系統(tǒng)間引入共因故障的潛在風(fēng)險(xiǎn)。存在風(fēng)險(xiǎn)時(shí)，應(yīng)考慮替代措施，在保證充分的網(wǎng)絡(luò)安全的同時(shí)，降低共因故障風(fēng)險(xiǎn)。

2.4隔離原則

隔離設(shè)計(jì)在某些情況下也可用于網(wǎng)絡(luò)安全防范。應(yīng)由負(fù)責(zé)網(wǎng)絡(luò)安全的人員按照?qǐng)鼍斑M(jìn)行分析，利用隔離措施促進(jìn)安全防范。功能安全相關(guān)標(biāo)準(zhǔn)所提出的用于支持A類功能的控制系統(tǒng)的獨(dú)立性要求，對(duì)網(wǎng)絡(luò)安全是有益的，應(yīng)針對(duì)具體場(chǎng)景進(jìn)行評(píng)估和驗(yàn)證，以便在網(wǎng)絡(luò)安全防范中納入這些措施。這些控制系統(tǒng)的獨(dú)立性要求包括：（1）對(duì)于那些僅用于檢測(cè)或保護(hù)目的的A類信號(hào)，對(duì)同時(shí)用于控制系統(tǒng)（無論其類別）的A類系統(tǒng)信號(hào)需要予以特別關(guān)注。這是由于傳感器故障可導(dǎo)致控制系統(tǒng)的測(cè)量值超出需求容許值，并產(chǎn)生不安全的控制動(dòng)作，同時(shí)還會(huì)方案保護(hù)系統(tǒng)對(duì)不安全工況的探測(cè)。（2）保護(hù)系統(tǒng)和控制系統(tǒng)應(yīng)設(shè)計(jì)成如下的形似和：對(duì)兩個(gè)系統(tǒng)之間所傳遞的信號(hào)，假設(shè)單一故障包括了后繼故障，不能引發(fā)事故或要求安全動(dòng)作的瞬態(tài)，同時(shí)，也不能引發(fā)A類系統(tǒng)不可接受的降級(jí)。（3）當(dāng)A類系統(tǒng)內(nèi)的一個(gè)單一隨機(jī)故障及其后任何后續(xù)故障可引發(fā)一個(gè)控制系統(tǒng)動(dòng)作，從而成為導(dǎo)致一個(gè)要求安全動(dòng)作的工況時(shí)，即使此時(shí)有第二個(gè)隨機(jī)故障使得A類系統(tǒng)降級(jí)，A類系統(tǒng)仍應(yīng)有提供安全動(dòng)作的能力。應(yīng)采取措施，無論任何原因，包括測(cè)試或維修目的，使得部件或組建旁通或退出運(yùn)行，系統(tǒng)都應(yīng)滿足這一要求。（4）即使有效的旁通、傳感器和設(shè)備有測(cè)試證據(jù)證明的高可靠性，對(duì)提供控制信號(hào)的二取一表決的保護(hù)系統(tǒng)將要求比較論證和證明。如果在維護(hù)期間使用了合適的旁通措施，則采用故障安全的設(shè)備和自動(dòng)探測(cè)故障傳感器的三取二系統(tǒng)能夠滿足要求。

3結(jié)語

在核電廠儀控系統(tǒng)設(shè)計(jì)時(shí)，考慮功能安全和信息安全的協(xié)調(diào)要求，使儀控系統(tǒng)在保證安全性的同時(shí)也具備適當(dāng)?shù)男畔踩匦?，為確保電站安全穩(wěn)定運(yùn)行、免受網(wǎng)絡(luò)攻擊提供了有力保障。

參考文獻(xiàn)

[1]王小山,楊安,石志強(qiáng),孫利民.工業(yè)控制系統(tǒng)信息安全新趨勢(shì)[J].信息網(wǎng)絡(luò)安全,2015(01).

[2]卿斯?jié)h.關(guān)鍵基礎(chǔ)設(shè)施安全防護(hù)[J].信息網(wǎng)絡(luò)安全,2015(02).

[3]章堅(jiān)青,王根生.核電廠安全重要儀表和控制系統(tǒng)標(biāo)準(zhǔn)體系概述[J].自動(dòng)化儀表,2010(09).

作者：孫永勝 夏丹陽 單位：中核控制系統(tǒng)工程有限公司