系统安全分析报告（精选2篇）

系统安全分析报告 篇1

一、工业控制系统安全分析

工业控制系统(IndustrialControlSystems，ICS)，是由各种自动化控制组件和实时数据采集、监测的过程控制组件共同构成。其组件包括数据采集与监控系统(SCADA)、分布式控制系统(DCS)、可编程逻辑控制器(PLC)、远程终端(RTU)、智能电子设备(IED)，以及确保各组件通信的接口技术。

典型的ICS控制过程通常由控制回路、HMI、远程诊断与维护工具三部分组件共同完成，控制回路用以控制逻辑运算，HMI执行信息交互，远程诊断与维护工具确保ICS能够稳定持续运行。

1.1工业控制系统潜在的风险

1.操作系统的安全漏洞问题

由于考虑到工控软件与操作系统补丁兼容性的问题，系统开车后一般不会对Windows平台打补丁，导致系统带着风险运行。

2.杀毒软件安装及升级更新问题

用于生产控制系统的Windows操作系统基于工控软件与杀毒软件的兼容性的考虑，通常不安装杀毒软件，给病毒与恶意代码传染与扩散留下了空间。

3.使用U盘、光盘导致的病毒传播问题。

由于在工控系统中的管理终端一般没有技术措施对U盘和光盘使用进行有效的管理，导致外设的无序使用而引发的安全事件时有发生。

4.设备维修时笔记本电脑的随便接入问题

工业控制系统的管理维护，没有到达一定安全基线的笔记本电脑接入工业控制系统，会对工业控制系统的安全造成很大的威胁。

5.存在工业控制系统被有意或无意控制的风险问题

如果对工业控制系统的操作行为没有监控和响应措施，工业控制系统中的异常行为或人为行为会给工业控制系统带来很大的风险。

6.工业控制系统控制终端、服务器、网络设备故障没有及时发现而响应延迟的问题

对工业控制系统中IT基础设施的运行状态进行监控，是工业工控系统稳定运行的基础。

1.2“两化融合”给工控系统带来的风险

工业控制系统最早和企业管理系统是隔离的，但近年来为了实现实时的数据采集与生产控制，满足“两化融合”的需求和管理的方便，通过逻辑隔离的方式，使工业控制系统和企业管理系统可以直接进行通信，而企业管理系统一般直接连接Internet，在这种情况下，工业控制系统接入的范围不仅扩展到了企业网，而且面临着来自Internet的威胁。

同时，企业为了实现管理与控制的一体化，提高企业信息化合综合自动化水平，实现生产和管理的高效率、高效益，引入了生产执行系统MES，对工业控制系统和管理信息系统进行了集成，管理信息网络与生产控制网络之间实现了数据交换。导致生产控制系统不再是一个独立运行的系统，而要与管理系统甚至互联网进行互通、互联。

1.3工控系统采用通用软硬件带来的风险

工业控制系统向工业以太网结构发展，开放性越来越强。基于TCP/IP以太网通讯的OPC技术在该领域得到广泛应用。在工业控制系统中，由于工业系统集成和使用的便利性，大量使用了工业以太环网和OPC通信协议进行了工业控制系统的集成;同时，也大量的使用了PC服务器和终端产品，操作系统和数据库也大量的使用了通用的系统，很容易遭到来自企业管理网或互联网的病毒、木马、黑客的攻击。

2、MES层与工业控制层之间的安全防护

通过在MES层和生产控制层部署工业防火墙，可以阻止来自企业信息层的病毒传播;阻挡来自企业信息层的非法入侵;管控OPC客户端与服务器的通讯，实现以下目标：

区域隔离及通信管控：通过工业防火墙过滤MES层与生产控制层两个区域网络间的通信，那么网络故障会被控制在最初发生的区域内，而不会影响到其它部分。

实时报警：任何非法的访问，通过管理平台产生实时报警信息，从而使故障问题会在原始发生区域被迅速的发现和解决。

MES层与工业控制层之间的安全防护如下图所示：

2.1.3工控系统安全防护分域

安全域是指同一系统内有相同的安全保护需求，相互信任，并具有相同的安全访问控制和边界控制策略的子网或网络，且相同的网络安全域共享一样的安全策略。

在管理层、制造执行层、工业控制层中，进行管理系统安全子域的划分，制造执行安全子域的划分、工业控制安全子域的划分。安全域的合理划分，使用每一个安全域都要明确的边界，便于对安全域进行安全防护。对MES、ICS的安全域划分如下图所示：

如上图所示，为了保证各个生产线的安全，对各个生产线进行了安全域划分，同时在安全域之间进行了安全隔离防护。

2.1.4工控系统安全防护分等级

根据安全域在信息系统中的重要程度以及考虑风险威胁、安全需求、安全成本等因素，将其划为不同的安全保护等级并采取相应的安全保护技术、管理措施，以保障信息的安全。

安全域的"等级划分要做到每个安全域的信息资产价值相近，具有相同或相近的安全等级、安全环境、安全策略等。安全域所涉及应用和资产的价值越高，面临的威胁越大，那么它的安全保护等级也就越高。

二、工业控制系统安全防护设计

通过以上对工业控制系统安全状况分析，我们可以看到，工控系统采用通用平台，加大了工控系统面临的安全风险，而“两化融合”和工控系统自身的缺陷造成的安全风险，主要从两个方面进行安全防护。

通过“三层架构，二层防护”的体系架构，对工业企业信息系统进行分层、分域、分等级，从而对工控系统的操作行为进行严格的、排他性控制，确保对工控系统操作的唯一性。

通过工控系统安全管理平台，确保HMI、管理机、控制服务工控通信设施安全可信。

2.1构建“三层架构，二层防护”的安全体系

工业控制系统需要进行横向分层、纵向分域、区域分等级进行安全防护，否则管理信息系统、生产执行系统、工业控制系统处于同一网络平面，层次不清，你中有我、我中有你。来自于管理信息系统的入侵或病毒行为很容易对工控系统造成损害，网络风暴和拒绝式服务攻击很容易消耗系统的资源，使得正常的服务功能无法进行。

2.1.1工控系统的三层架构

一般工业企业的信息系统，可以划分为管理层、制造执行层、工业控制层。在管理信层与制造执行系统层之间，主要进行身份鉴别、访问控制、检测审计、链路冗余、内容检测等安全防护;在制造执行系统层和工业控制系统层之间，主要避免管理层直接对工业控制层的访问，保证制造执行层对工业控制层的操作唯一性。工控系统三层架构如下图所示：

通过上图可以看到，我们把工业企业信息系统划分为三个层次，分别是计划管理层、制造执行层、工业控制层。

管理系统是指以ERP为代表的管理信息系统(MIS)，其中包含了许多子系统，如：生产管理、物质管理、财务管理、质量管理、车间管理、能源管理、销售管理、人事管理、设备管理、技术管理、综合管理等等，管理信息系统融信息服务、决策支持于一体。

制造执行系统(MES)处于工业控制系统与管理系统之间，主要负责生产管理和调度执行。通过MES，管理者可以及时掌握和了解生产工艺各流程的运行状况和工艺参数的变化，实现对工艺的过程监视与控制。

工业控制系统是由各种自动化控制组件和实时数据采集、监测的过程控制组件共同构成。主要完成加工作业、检测和操控作业、作业管理等功能。

2.1.2工控系统的二层防护

1、管理层与MES层之间的安全防护

管理层与MES层之间的安全防护主要是为了避免管理信息系统域和MES(制造执行)域之间数据交换面临的各种威胁，具体表现为：避免非授权访问和滥用(如业务操作人员越权操作其他业务系统);对操作失误、篡改数据，抵赖行为的可控制、可追溯;避免终端违规操作;及时发现非法入侵行为;过滤恶意代码(病毒蠕虫)。

也就是说，管理层与MES层之间的安全防护，保证只有可信、合规的终端和服务器才可以在两个区域之间进行安全的数据交换，同时，数据交换整个过程接受监控、审计。管理层与MES层之间的安全防护如下图所示：

2.2构建工业控制系统安全管理平台

工业控制系统和传统信息系统具有大多数相同的安全问题，但同时也存在独特的安全需求。工业控制系统最大的安全需求是唯一性和排它性，在某一特定的工业控制系统中，工业控制系统只需用唯一的工业应用程序和工业通信协议运行，其他一概不需要。

启明星辰工业系统安全管理平台为工业控制系统建立了一个相对可信的计算环境，对工控系统管理终端和网络通信具有非常强的安全控制功能。工业控制系统安全管理平台有两部分组成，一部分是工业控制系统安全管理平台，具有终端管理、网络管理、行为监控功能，另一部分是终端安全管理客户端。

2.2.1管理平台部分

工业控制系统的安全运行，主要需要保障工业控制系统相关信息系统基础设施的安全，包括工业以太网网络、操作终端、关系数据库服务器、实时数据库服务器、操作和应用系统等各类IT资源的安全，从工业控制系统安全的角度对工控系统的各类IT资源进行监控(包括设备监控、运行监控与安全监控)，实现对安全事件的预警与响应，保障工业控制系统的安全稳定运行。

具体而言，工业控制系统安全管理平台功能如下：

1.能够对应用服务器、关系数据库服务器、实时数据库服务器、工业以太网设备运行状态进行监控，例如CPU、内存、端口流量等等。

2.能够对操作终端外设、进程、桌面进行合规性在线和离线管理。

3.能够对各层边界数据交换情况进行监控。

4.能够对工业控制系统中的网络操作行为进行审计。

5.能够对工业控制系统日志进行关联分析和审计。

6.能够对工业控制系统中的异常事件进行预警响应。

7.能够对工业企业信息系统进行虚拟安全域的划分。

2.2.2工业控制系统终端安全管理部分

由于工业控制系统管理终端的安全防护技术措施十分薄弱，所以病毒、木马、黑客等攻击行为都利用这些安全弱点，在终端上发生、发起，并通过网络感染或破坏其他系统。

工业控制系统终端最大特点是应用相对固定，终端主要安装工业控制系统程序，所以，要防范传统方式的病毒或木马等恶意软件，最直接的方式就是利用工业控制系统对终端应用程序的进程进行管理。

具体而言，工业控制系统安全管理平台终端安全管理部分功能如下：

1.工业控制系统安全管理平台客户端软件轻巧精炼，占用资源极少，能够最大程度保证工业控制系统管理终端的稳定性。

2.工业控制系统安全管理平台客户端具有终端准入控制功能，可以防止没有达到安全基线的笔记本对终端进行管理。

3.工业控制系统安全管理平台客户端具有终端安全优化与加固功能，能够对工业控制系统终端进行安全优化和加固，使终端安全水平达到一定的安全基线。

4.工业控制系统安全管理平台客户端具有外设管理功能，对工业控制系统的外设进行管理，比如USB接口、光驱、网卡、串口等。

5.工业控制系统安全管理平台客户端具有工业控制系统应用程序监控功能，对终端中的工业控制系统软件进行监控和管理。

6.工业控制系统安全管理平台客户端具有工业通信协议监控功能。工业控制系统终端通信协议相对固定，客户端能够对终端通信协议具有唯一性管理功能。

7.工业控制系统安全管理平台客户端具有离线管理功能，工业控制系统终端有一部分无法进行在线管理，客户端具有比较强大的离线自管理功能，可以完成对离线终端的管理。

8.工业控制系统安全管理平台客户端具有强身份认证功能，客户端具有使用工业控制系统在线终端和离线终端都具有强身份认证功能，从而防止工业控制系统被有意或无意被控制的风险。

三、总结

国内外发生了多起由于工控系统安全问题而造成的生产安全事故。最鲜活的例子就是20xx年10月发生在伊朗布什尔核电站的“震网”(Stuxnet)病毒，为整改工业生产控制系统安全敲响了警钟。

为此，工信部在20xx年10月下发了“关于加强工业控制系统信息安全管理的通知”，要求各级政府和国有大型企业切实加强工业控制系统安全管理。工信部赵泽良司长也强调，工业控制系统安全工作也到了非加强不可的时候，否则将影响到我国重要的生产设施的安全。

本文根据工业控制系统安全防护的特点，提出了对工业控制系统进行分层、分域、分等级，构建“三层架构，二层防护”的工业控制系统安全体系架构思想;通过分析工业控制系统面临的风险，对作为工业控制系统安全防护的核心产品——工业控制系统安全管理平台功能进行了说明。工控系统安全管理平台，不仅是实现工业控制系统终端安全的产品，也是监控工业控制系统IT基础实施和操作行为的平台。

系统安全分析报告 篇2

l前言

储运系统是炼油生产的动脉，是重要的防火防爆部门，管理非常重要。统计炼油厂典型事故发现，储运系统事故占炼油厂事故发生总量的1/5，远远高出其它系统，如何保证储运系统的安全是储运工作者值得研究的课题。

2事故发生的原因分析

据统计，储运系统事故发生最多的是跑冒串油事故，占事故总数的近50%;其次是铁路运输、火灾爆炸、人身伤亡、设备事故。下面结合石化 企业 近年来发生的一些事故，将储运系统事故种类及原因细分如下:

2.1跑油

跑油有以下几种途径:

(l)不关脱水阀收油，脱水离人，脱水阀冻裂，外浮顶罐雨水排放管转向节漏等都会造成脱水阀跑油。

(2)待修罐应加盲板封罐，否则串入油品会从人孔处发生跑油事故。

(3)因罐体破裂跑损油品。

(4)管线由于施工质量问题受到应力影响，或管线存水过冬，都有可能发生管线破裂造成跑油事故。

(5)管线内油品涨压高达上百公斤，容易造成耐压能力低的钢丝软管涨裂发生跑油。

(6)阀门材质不符合要求，破裂跑油。

(7)管线倒淋跑油，一般在投用初期因为未检查管线倒淋开、关情况就开泵送油发生跑油。

(8)火车强行拉车损坏设备发生跑油。

(9)重油罐内含水，超温油品进罐发生突沸造成跑油。

2.2冒油

冒油有以下几种途径:

(l)生产尺不检，不掌握罐内油品液位及装置生产情况，造成冒罐。

(2)倒罐时不检前尺，不掌握罐内油品液位造成冒罐。

(3)调和倒罐时发生串油造成冒罐。

(4)倒罐时计算错误，倒罐空间小造成冒罐

(5)装车时责任心差造成槽车冒顶。

2.3串油

串油有以下几种途径:

(l)开错流程，发生串油。

(2)流程用完不关发生串油。

(3)联系不当错开流程发生串油。

2.4铁路运输

铁路运输易发生事故的途径主要有:

(1)对车时大意、强行拉车、槽车摘钩手握工具、铁路两侧有障碍物、槽车梯子不完好时，都容易造成人身伤亡事故。

(2)停车线不水平、停车不制动和溜车时容易发生撞车事故。

(3)道岔不复位和挤道岔容易造成翻车书故。

(4)挤道岔、停放罐车下放置“铁鞋”，容易造成槽车出轨。

2.5火灾爆炸

(l)测温、采样不采用防静电绳，油罐附件不防静电，管网静电接地不良，油品装车或进罐速度超过安全流速，清洗槽车通蒸汽蒸煮时胶皮管耍龙，均容易产生静电，造成着火或爆炸。

(2)作业时采用非防爆手电、非防爆灯具，使用黑色金属进行检维修作业，极易产生火花，达到条件时会发生着火或爆炸。

(3)动火前不按照规定办理火票，违章用火、吸烟，动火前不按照“三不动火”的要求认真落实防火措施，极易发生火灾爆炸事故。

(4)储运系统杂散电流的存在引起火灾。杂散电流是指任何不按照有规则的电流通路流动的电流。受电气化铁路、电化学腐蚀、输油管路阴极和其它偶然因素(如管道焊接)的影响等，都可能产生杂散电流。杂散电流的存在，由于传导和感应的作用，不可避免地直接或间接地在储运设备设施土及对地产生电位差，当此电位差达到一定程度时产生放电，周围环境存在爆炸气体时就可能引起爆燃。

2.6设备事故

由于弹簧失灵、结冰等原因造成呼吸阀失灵，将造成油罐抽瘪或油罐爆裂。

呼吸阀失灵及热罐喷淋等操作不当时容易造成油罐抽瘪。

浮盘油舱泄漏、浮筒腐蚀穿孔、浮盘卡阻、导向钢丝损坏均有可能造成浮盘沉船。另外，储运系统与各生产装置联系紧密，有可能造成装段憋压、抽空、原料带水，轻则影响装置生产，重则威胁装置安全，特别是容易造成着火爆炸等次生灾害，必须引起足够的重视。

3预防事故的措施

通过上述分析，明确炼油厂事故发生的原因，为防止事故的发生，应制定相应的对策。笔者结合自己的实践提出对策见表1:

通过表1的统计表明，加强管理、增强职工责任心、落实各项安全生产责任制是保证安全的必要手段，但储运系统的安全不能仅仅依靠人的力量，还应该从完善设施上很下一番功夫。

沧州炼油厂的实践表明，罐区管理软件田的投用大大地提高了安全管理水平，而且可以补充液位计及高位报警的缺陷，及时发现仪表的问题。在此基础下，完善高位报警、阀门回讯、瓦斯报警，实现人机共管将会彻底改变相对于先进的生产装置来说，安全管理落后、事故多发的局面。进一步说，即使发生事故，有先进的仪表则能及时发现和制止事故的进一步蔓延，给处理事故赢得宝贵的时间。只有软件硬件一起抓，储运系统的安全管理才能提高到更高的水平。

4防止事故蔓延

以上是针对事故发生的原因进行治源的对策，也就是从预防的角度出发的。由于事故存在偶然性和突发性的特点，还应当考虑事故发生后如何堵流，也就是考虑事故发生后如何将事故消灭在萌芽状态，将事故损失控制在最小。笔者认为应从表2内容方面着手，从中可以看出，完善设施是防止事故进一步蔓延的关键。

总之，炼厂储运系统的安全工作任重而道远，特别是市场 经济 的今天，罐区投资由于数额巨大及其安全效益的隐蔽性而往往得不到足够重视。但我们必须看到，储运系统事故发生的频率高，后果恶劣，仍需储运工作者不断努力，力争把储运系统建设成“本质安全”型的储运系统。