Em automação industrial e sistemas de controle, o uso de padrões de rede aberta cria novas oportunidades para os fabricantes aumentarem a produtividade e responderem rapidamente a eventos inesperados no processo de produção. Usando tecnologias de rede padrão, como Ethernet e TCP / IP para conectar sistemas de automação e controle, os fabricantes podem compartilhar dados, aplicativos e recursos da planta com engenheiros e parceiros remotos em tempo real. Esses recursos são muito importantes porque os fabricantes operam em um ambiente mais complexo e global, e o sistema precisa estar disponível 24 horas por dia, 7 dias por semana. O acesso remoto baseado na arquitetura de referência Ethernet da Cisco e da Rockwell Automation Converged Factory fornece aos fabricantes os métodos e recursos certos no momento certo, independentemente de sua localização física. Isso permite alta eficiência, baixo tempo de inatividade e baixo custo durante as execuções de produção.
Para aumentar a flexibilidade e aumentar a produtividade, os fabricantes usam padrões de rede abertos em seus sistemas de controle e automação industrial. Um dos benefícios de usar uma rede padrão aberta é a capacidade de acessar remotamente um sistema automatizado. Engenheiros e parceiros podem compartilhar dados, aplicativos e recursos da fábrica, independentemente de sua localização física.

Esta flexibilidade para os fabricantes de hoje é muito importante, porque a globalização pode aumentar a capacidade e reduzir custos de produção, para compartilhar informações e dados resolver rapidamente problemas na produção, este é um grande desafio para cada fabricante. Este artigo explora como obter acesso remoto altamente seguro.

Em primeiro lugar, o princípio da implementação do acesso remoto

Alguns princípios devem ser seguidos ao permitir o acesso remoto aos dados e recursos da planta. Esses princípios também são usados ​​pelas arquiteturas de referência desenvolvidas pela Cisco e pela Rockwell Automation e estão incluídos nos principais conceitos que controlam rigidamente as aplicações de automação e controle de acesso remoto.

1 Use acesso de usuário aprovado pela TI, políticas de autenticação e procedimentos de acesso

O acesso a recursos e serviços corporativos é monitorado e registrado. As empresas devem conhecer o histórico de cada usuário com antecedência e atribuir uma conta exclusiva. Cada vez que um usuário acessa a rede, ele é autenticado e recebe a devida autorização dentro da empresa. O acesso é rastreado e registrado para fins de auditoria. A aprovação dos dados do local da instalação e o acesso aos recursos devem estar de acordo com os processos do departamento de TI corporativo.

Parceiros, engenheiros remotos ou fornecedores de outros programas (tais como: modem, telefone com linha directa e acesso à Internet) e acesso à área de fabricação da planta, pode produzir um risco para redes de plantas e empresariais, a menos que esses programas em conformidade com as políticas e procedimentos de TI.

2. Use protocolos de automação e controle somente na área de fabricação

O principal princípio da arquitetura de referência da Cisco e da Rockwell Automation é que "o CIP é usado apenas em áreas de produção". CIP, protocolo industrial comum, e outros protocolos de automação núcleo e controlo, incluindo dados em tempo real FactoryTalk®, OPC-DA, Modbus TCP deve ser usado na área de fabricação. Esses protocolos em execução no dispositivo têm recursos de segurança de informações muito limitados. Como os processos da usina são usados ​​para iniciar, parar e operar máquinas automatizadas, eles têm um impacto significativo nos sistemas de automação e controle industriais.

Portanto, os protocolos de automação e controle não devem sair da área de fabricação. Na área de fabricação, os equipamentos de automação e controle são instalados, operados e mantidos por pessoal bem treinado dentro de limites físicos familiares. As restrições de protocolo nesta área garantem que os dispositivos de automação e controle se comuniquem adequadamente entre dispositivos e aplicativos conhecidos. Além disso, os usuários desses dispositivos e aplicativos são autenticados e autorizados para suas funções.

Esse princípio pode ser reconsiderado no futuro, pois os dispositivos de segurança de informações existentes (como firewalls) podem controlar rigorosamente o fluxo de dados de automação e controle de fora da área de fabricação. Isso vai exigir estes firewall "aplicações" tem um nível moderado de aplicação ou protocolo conhecido, pode ser parte da inspeção completa da parte de rede dos pacotes de comunicação e dados, para construir a consciência e confiar no equipamento. Antes de implementar essa tecnologia em firewalls corporativos modernos, recomendamos que os protocolos de automação e controle sejam usados ​​apenas "na área de fabricação".

3. aplicação de controle

O ponto a considerar aqui é controlar o aplicativo por um parceiro ou engenheiro remoto. Quando o acesso remoto ao local da planta, como uma boa prática, parceiros e engenheiros de controle remoto deve ser utilizado nas aplicações de automação e controle de versões do servidor de aplicativos (como FactoryTalk® Ver ou RSLogix ™ 5000), pelas seguintes razões:

• Permite que a fábrica controle rigorosamente a atualização da versão do aplicativo.
• Controlar o nível de acesso e a autorização do pessoal remoto. Instalada na aplicação de sistemas remotos (como FactoryTalk® View) user é difícil distinguir entre localmente ou em um controle remoto, que pode causar fabricação de automação e controle de protocolo para deixar a área.
• Impedir aplicações e sistemas na área de fabricação contra vírus ou outros perigos em sistemas remotos.

O uso de aplicativos de automação e controle em computadores de usuários remotos apresenta riscos significativos para automação e controle, e como uma melhor prática, isso deve ser evitado.

4. Sem fluxo de dados direto

Figura 1 estrutura de fábrica de 6 andares com tiras de isolamento

Rejeitada como círculo vermelho marcado na Fig. 1, a região entre a empresa e a área de fabricação (incluindo a Internet), não permite fluxo de dados directa. Aplicação de um penso ou a operação de montagem deve ter duas etapas, entre o primeiro para baixar a zona de isolamento remendo (DMZ) no servidor de adesivo, o qual, em seguida, montado no aparelho para a área da fabricação.

, Para instalar o sistema deve estar em conformidade com o descrito atrás em duas fases no sistema de controlo, porque um adesivo deve ser verificada num ambiente de teste antes da instalação de um sistema de produção. Dispositivos na rede de controle de acesso remoto precisam fazer o login ou, pelo menos, através de um servidor proxy. O servidor de acesso remoto como um estrangulamento, a necessidade de uma verificação de acesso remoto, faça o login e filtro, a fim de alcançar o servidor de aplicativos. Isso proporciona uma responsabilidade profunda.

Nesta arquitetura, a fábrica tornou-se um firewall servidor proxy entre o usuário remoto e área de fabricação de aplicações de automação e controle, o fluxo de dados estrita dentro e fora da jurisdição de cada região, mantendo assim as melhores práticas.

5. Nenhum acordo ou porto público

Não existe um protocolo, ao mesmo tempo, utilizando a mesma porta, através de uma firewall e, em seguida, através de uma outra firewall, mostrado na Figura 1. Isto impede que os vermes, tais como: Worm Rei (Slammer) através da firewall de camada superior, sistema de quarentena infectado, e, em seguida, propagar o vírus na zona de controlo.

6. Apenas um canal está dentro ou fora

DMZ fabricado a partir da região do canal na camada inferior através da firewall apenas uma, dentro ou para fora. Existe apenas um canal da LAN corporativa para a DMZ através do firewall superior.

Os princípios acima são, na verdade contém um conceito importante, que é o primeiro a ser controlado rigorosamente o acesso remoto a aplicativos de automação e controle, em vez de confiar cegamente o usuário remoto não é errado quando aceder a aplicações de plantas.

Em segundo lugar, casos de uso de acesso remoto

O caso de uso que considera o acesso remoto é muito importante porque a solução deve atender às necessidades do caso de uso. casos de uso de acesso remoto fábricas têm algumas características básicas, incluindo os usuários que são (papel - incluindo colaboradores internos, parceiros e fornecedores), onde, bem como a localização do usuário (a localização física e de rede). Diferentes casos de uso têm diferentes considerações e necessidades.

Papel

Este artigo discute a implantação de dados da planta em tempo real e aplicativos acessados ​​pelo usuário para monitorar a produção, operação ou de tomar certas medidas. As funções podem ser desempenhadas por pessoal interno ou externo e assumidas como tendo sido determinadas antecipadamente. Este artigo não discute os dados contínuos lidos a partir do método de aplicação empresarial ERP, embora o programa actual não impediria ou restringir esse mecanismo.

O ponto-chave a considerar a implementação de acesso remoto é que o usuário deve saber com antecedência, deve ser a longo prazo ou pessoal de sistemas de automação e controle industrial frequentemente visitados. Ao implantar o acesso, que é um requisito básico para os usuários, especialmente os usuários externos, como parceiros ou fornecedores, os departamentos de TI normalmente deseja aplicar, solicitar a aprovação e implementação vai levar algum tempo. A estratégia relevante da empresa deve definir diferentes papéis e níveis de acesso.

2. Localização

O artigo está localizada dentro dos usuários remotos da rede corporativa (fora da zona de fabricação) e fora da rede corporativa levado em conta.

Usuários dentro da empresa não pode usar todas as técnicas descritas abaixo (como a criação da empresa VPN), porque eles têm de cumprir a estratégia de segurança existente da empresa.

Este artigo não discute quando um parceiro de terceiros ou a localização física do cliente tem sido o caso na planta. Porque há um monte de técnicas estão disponíveis para acesso do cliente, incluindo o acesso do cliente sem fio ou controle de admissão de rede, essas tecnologias oferecem acesso universal à Internet para um navegador da Web. Estes métodos podem ser utilizados em conjunto com a tecnologia especificado, o acesso remoto, a área de fabricação fora dos clientes baseadas em túnel pode aceder utilizando os métodos descritos aqui a área de fabricação.

Em terceiro lugar, a arquitetura

De acordo com os princípios da Cisco e arquitetura de referência Rockwell Automation, a implementação de acesso remoto altamente seguro a aplicações e dados no chão de fábrica, se tornou um problema para enfrentar diretamente. A implementação do acesso remoto é baseada em uma arquitetura existente:

• O programa de trabalho remoto da empresa de melhores práticas é principalmente implementado e operado pelo departamento de TI.
• Cisco e Rockwell Automation integração fábrica de arquitetura de referência Ethernet, utilizando a quarentena implantado programa de firewall DMZ, o uso da gestão do tráfego moderno e firewall para verificar o DMZ.

Ao considerar a implementação do acesso remoto, as seguintes perguntas ajudarão a fábrica a determinar se está pronto:

• Existe uma estratégia de segurança da informação de TI?
• Existe uma estratégia de acesso remoto para funcionários? Existe suporte de infraestrutura? Que VPN de rede virtual privada de tecnologia / produto é usada?
• Existe uma estratégia de acesso remoto para parceiros? parceiros Aumento (OEM, integradores de sistemas, fornecedores e prestadores de serviços) ea capacidade de programá-lo?
Se esses recursos e políticas de segurança já em vigor, a chave para a implementação de acesso remoto é instalar e configurar o servidor de acesso remoto. A Figura 2 mostra uma versão simples de uma arquitetura de acesso remoto.

Figura 2 Arquitetura de acesso remoto simplificada

A DMZ é projetada para permitir que usuários ou aplicativos que não estejam no site de produção local compartilhem dados e aplicativos. Isso significa que dados críticos podem ser copiados para um servidor na DMZ para que os usuários / aplicativos em outras áreas possam ver esses dados. A DMZ é equivalente a um servidor proxy que permite que outros usuários se conectem indiretamente à rede e leiam dados e aplicativos localizados em outras áreas da rede.

Quando os dados são copiados para a DMZ, os dados são transferidos de maneira rápida e eficiente entre a área de fabricação e a área da empresa. Na realidade
Ao acessar sistemas e aplicativos de produção reais, a maioria deles resolve problemas específicos, coleta informações em tempo real ou realiza ajustes no processo. Recursos de acesso remoto Além dos serviços de terminal usados ​​pela DMZ, também é possível conectar-se a um servidor de acesso remoto dedicado instalado na área de manufatura por meio de um servidor proxy para acessar aplicativos de automação e controle. O mecanismo de segurança destacado neste documento torna o acesso dos usuários externos à empresa altamente seguro, assim como o acesso externo a partir da rede corporativa.
Através da Internet, os usuários remotos (parceiros ou funcionários) também podem acessar sistemas de automação e controle industrial por meio de servidores de acesso remoto. Os usuários remotos geralmente não possuem conexões de alta largura de banda e baixa latência. Este artigo fornece uma visão geral do uso de navegadores e serviços de terminal, semelhantes aos thin clients, que funcionam bem em ambientes de rede de baixa latência e baixa largura de banda. Nenhum requisito de largura de banda ou latência é apresentado aqui, nem qualquer desempenho de gerenciamento ou monitoramento de aplicativos com baixa largura de banda e grande latência.

Em quarto lugar, a solução da Cisco e da Rockwell

A arquitetura de referência da Cisco e da Ethernet empresarial convergente da Rockwell Automation inclui os seguintes componentes:

• Adaptado para produtos de segurança da informação: Os produtos Cisco ASA 5500 Series Adapter Security fornecem proteção contra áreas críticas, incluindo a definição e proteção da zona desmilitarizada DMZ. Esses produtos de segurança permitem uma variedade de recursos avançados, incluindo recursos de firewall, como inspeção de pacotes com informações de estado, firewalls no nível do aplicativo e inspeção de protocolo. O Cisco ASA 5500 Series também adiciona recursos mais avançados, como detecção e prevenção de intrusões, recursos de VPN
Espere A escolha de um firewall multifuncional compatível é um passo importante na construção de uma defesa regional sólida e no alcance de metas preventivas.

• Sistema de Prevenção de Intrusões (IPS): Implantado entre a empresa e a rede de manufatura, o IPS pode detectar e bloquear ataques, incluindo worms, vírus e outros malwares, por meio de tecnologias inovadoras, como a prevenção de intrusões em linha.
Identifica atividade de rede maliciosa. Essas ameaças são bloqueadas antes de chegarem aos sistemas de controle e automação industrial, ajudando os usuários a garantir a disponibilidade e a integridade dos dados e equipamentos de fabricação. Esses recursos foram integrados aos dispositivos da série Cisco ASA 5500 e podem ser considerados como um firewall de fábrica.
• Arquitetura de segurança: Uma plataforma de rede segura que integra vários aplicativos habilitados para segurança, tanto na área de manufatura quanto em empresas, como VLANs de LAN virtuais, ACLs de lista de controle de acesso, recursos de segurança de portas e recursos de proteção de rede.

• Servidor de Acesso Remoto: Instala um servidor de acesso remoto na sala da área de fabricação, somente para engenheiros remotos e parceiros para acessar aplicativos de automação e controle. O servidor de acesso remoto é um servidor físico dedicado com recursos de segurança de terminal correspondentes. Como um servidor dedicado, ele pode ser configurado em uma VLAN de acesso remoto dedicada para gerenciar o fluxo de dados de e para o servidor.

• Controle de Produção e Informação: Uma plataforma comum de controle e informação projetada para todo o sistema de controle de produção da planta.A arquitetura integrada da Rockwell Automation é uma arquitetura de controle e informação, alimentada pela plataforma de controle de hardware Logix e pelo software de produção e gerenciamento FactoryTalk®. Composto para suportar EtherNet / IP e outros padrões abertos. O FactoryTalk® consiste em uma estratégia de produção modular e em múltiplas plataformas de serviços que são totalmente integradas à plataforma de controle Logix via EtherNet / IP. O Controlador de Automação Programável Logix é uma arquitetura de controle único que fornece sistemas discretos de controle de frequência, controle de movimento, fluxo contínuo e controle de produção em lote.
• Switch Gerido Modular Stratix 8000TM com Tecnologia Cisco: Combinando a melhor tecnologia da Rockwell Automation e da Cisco, os switches Ethernet industriais da Rockwell Automation usam os recursos do sistema operacional Cisco Catalyst® atual E a interface do usuário é familiar para a equipe de TI, ao mesmo tempo em que fornece aos usuários um método de instalação simples e informações de diagnóstico completas com base na arquitetura integrada da Rockwell Automation.

Essa solução foi projetada com os componentes mais recentes da Cisco e da Rockwell Automation e passou na validação do teste. Naturalmente, os fabricantes também podem usar produtos antigos ou outros componentes de marca, mas podem não ter a descrição anterior
Todos os recursos, portanto, outros programas podem não atingir o mesmo nível de "defesa em profundidade". Portanto, recomendamos sempre que a definição correta das políticas de segurança da informação e a descrição adequada das funções de segurança da informação sejam a chave para o sucesso.

五、结论

        在工业自动化和控制系统中，采用开放网络标准，为制造商提高生产力和快速响应生产过程中的突发事件，创造了新的机会。使用标准网络技术，诸如用以太网和TCP/IP连接自动化和控制系统，制造商可以实时与远程的工程师和合作伙伴共享工厂的数据、应用和资源。这些能力是非常重要的，因为制造商运行在更复杂和全
球化的环境下，系统需要保持每周7天、每天24小时的可用性。基于思科和罗克韦尔自动化融合工厂以太网参考架构的远程访问，为制造商在恰当的时间提供了正确的方法和资源，与他们的物理位置无关。这样可以在生产运行过程中实现高效率、少停机和低成本。
由于生产控制系统的自然属性，对任何远程访问方案提出适当的信息安全等级是重要的。思科与罗克韦尔自动化一起合作开发的架构可以满足这些需求，为远程工程师和合作伙伴提供了安全的访问服务。