分析SCADA系统三代的演进，我们明显地发现通信系统的迅猛发展极大地影响着SCADA的体系结构。不但过去是这样，今后还是这样。当互联网技术已经日益渗透到第三代SCADA系统，产生了基础性的影响的今天，我们对代表未来互联网发展的一个方向 — 物联网将如何影响SCADA系统产生了浓厚的兴趣和好奇。

　　上海工业自动化仪表研究院 彭瑜

　　通信是SCADA系统结构的决定因素
　　不同的行业所运用的SCADA系统往往带有该行业的特征，所采集的参数又五花八门，有物理参数、化学参数、环境参数等等。例如铁路系统和电力系统所监控的范围很大，输油/输气管线的SCADA系统其RTU的环境条件恶劣、无人值守www.cechina.cn，流域水文、水情的监控SCADA系统要求依气候、季节的变化会有大幅度的改变。
　　应用于工厂的SCADA系统往往要求高的实时性和确定性。相对于此，环境监控的SCADA系统就要求要低一些。
　　这些差别都会在很大程度上影响SCADA系统的硬件和软件。影响最大的应该是SCADA的通信系统和通信方式：有线还是无线，局域网还是宽域网，应用层协议等等。
　　SCADA系统架构经历了三代的发展
　　SCADA系统架构经历了三代的发展，即：
　　●单独型SCADA系统；
　　● 分散型SCADA系统；
　　● 网络型SCADA系统；
　　第三代SCADA是网络型系统，其特征是运用开放的体系结构，而非由供应商控制的专用环境。SCADA系统利用开放的标准和协议，通过宽域网WAN而不是局域网LAN将功能分散。如互联网那样的WAN协议，可以非常方便的用来在主站与各种各样的通信设备进行通信。
　　由于使用标准的协议，许多联网型的SCADA系统都可对互联网进行存取，因此难以避免潜在的漏洞，而遭受远程的黑客攻击。但从另一角度看，只要进行及时的维护和升级，标准协议和信息安全技术的运用又为SCADA系统的信息安全的改善提供了良好基础。
　　SCADA系统的发展趋向
　　SCADA系统向开放的体系结构发展对以PLC（或远程终端RTU）和HMI/SCADA软件构成的SCADA系统有一种“混合匹配”（mix-and-match）的趋势，即不单单依赖于一家供应商的产品。
　　● RS 485：在90年代中期，数据采集I/O制造厂商一般都提供像RS 485（物理层）这样适当距离而应用层则为专用协议的设备。选用这种专用解决方案的用户通常会发现，当他们需要系统扩展或改善性能时，选择余地受到限制。
　　● I E C 6 0 8 7 0 - 5 - 1 0 1 / 1 0 4 、I E C6 1 8 5 0 、D N P 3 ： 为了克服这个困境，SCADA制造商和解决方案提供服务商越来越多地选择了开放的通信协议，如IEC60870-5-101/104、IEC 61850、DNP3串行和DNP3LAN/WAN。
　　这使得用户在开发系统时可以更方便从各种厂商的产品中加以选择，来实现优化的“混合匹配”。
　　● MODBUS RTU/ASCII：到了90年代后期，各个I/O制造厂商继续着向开放性方向发展，不过他们更多偏向于采用像MODBUSRTU/ASCII那样的开放的消息结构。
　　● MODBUS TCP/IP：到了2000年以后，随着以太网在工业应用被普遍接受，大多数的I/O制造厂商完全能提供开放的通信接口和应用接口，如MODBUS TCP/IP。对于电力系统所需的SCADA系统还需要具备事件记录的功能，其时间标签的精确度为ms级，为此必须使用射频时钟对RTU同步或对分散的射频时钟进行同步。
　　● 以太网和TCP/IP：SCADA系统紧跟标准化的网络技术后，以太网和TCP/IP正在取代老的专用标准。虽然对于少量的应用场合CONTROL ENGINEERING China版权所有，基于数据帧的网络通信在确定性、同步、环境的适应性等方面的问题限制了以太网使用控制工程网版权所有，大多数SCADA市场仍然接受了以太网技术。
　　● 互联网：“软件即是服务”近年来在软件工业发展很快，有些SCADA系统供应商能够提供运用互联网的远程监控平台iSCADA、SCADA on Internet 。对于实时性要求不太高的终端用户，利用这一平台可大大减少在现场安装和调试类似RTU的设备，还可在现有互联网信息安全技术的基础上保证信息安全。
　　SCADA系统越来越向泛在(ubiquitous)的方向发展了。很多SCADA供应商都有瘦客户机、互联网门户网站、基于互联网的产品。最终用户极大地增进了他对过程可视化和监控的方便性。最近几年来物联网技术和应用在全球掀起了热潮。由此也使人们在考虑如何在SCADA领域应用物联网的技术。如果这二者真的结合起来，只要有需要www.cechina.cn，完全可以实现无时不有、无处不在的SCADA了。
　　SCADA系统的信息安全任重道远
　　★工业控制系统受到黑客制造的恶意代码攻击
　　今年7月19日德国西门子公司证实其广泛使用的工业控制系统受到黑客制造的恶意代码攻击。这个名为Stuxnet的恶意代码利用了微软最新曝出的“Microsoft Windows快捷方式自动执行漏洞”这一高危零日漏洞，并借助U盘进行传播，目标是入侵西门子的Simatic WinCC和PCS 7数据采集与SCADA系统，窃取工业设计和控制文件。
　　此次事件是第一起利用零日漏洞、且面向工业领域的大规模恶意代码事件，而SCADA系统广泛应用于电力、冶金、石油、化工等领域的数据采集与监视控制以及过程控制等诸多领域，所以事件受到广泛关注。目前，西门子正在调查此事，但尚未评估该恶意代码对西门子SCADA软件的影响和危害。
　　发现这一恶意攻击的反病毒信息安全公司Norman Security称，病毒攻击了14个系统CONTROL ENGINEERING China版权所有，大部分在伊朗境内。最近该公司估计这一蠕虫病毒攻击了1万台工业用计算机，分布在英、德、北美、韩国、伊朗等地。
　　★ 为什么必须关注SCADA系统的信息安全
　　这一事件对所有SCADA系统的供应商和应用者不啻是一个警钟。它深刻地揭示了自从SCADA系统从专用技术转向开放的标准化解决方案，而且不断地增加与办公网络和互联网连接，这使得它产生越来越多的漏洞而容易受到攻击。因此，基于SCADA的系统日益面临着极端漏洞引发的控制战争和控制恐怖主义的攻击。
　　而我们都很清楚，SCADA系统，特别是涉及输电、输油、输气、供水、道路照明等现代社会的基础设施的SCADA系统，一旦遭到攻击，影响面之大、后果的难料都是难以估计的。有鉴于此，增强SCADA系统的信息安全能力从道理上看不言而喻的。
　　不过信息安全的专家对SCADA系统信息安全的现状并不乐观。这主要是基于以下问题。
　　★ SCADA系统的信息安全问题存在认识偏差
　　对SCADA系统的信息安全问题存在认识偏差表现为：
　　① 现有的SCADA系统在设计、运用和运行操作方面，缺乏对信息安全和安全授权的关注。
　　② 对使用特殊的协议和专用接口的SCADA系统，过于相信其在信息安全的能力，认识存在偏差。
　　③ 片面认为SCADA系统只要在物理上设置了硬件防火墙，其网络就不存在信息安全问题。
　　④ 认为只要不与互联网向连接，SCADA系统在信息安全方面就不会发生问题。
　　★ 信息安全会怎么影响SCADA系统？
　　对现代SCADA系统存在两种完全不同的信息安全威胁：
　　① 对控制软件和常驻于SCADA系统主计算机中的其他软件的非授权存取的威胁不论是人工的存取还是由病毒感染而造成的故意或偶发的变化。
　　② 对SCADA系统主要设备所处的网段进行数据帧存取的威胁在许多情况下实际使用的的数据帧控制协议还不够成熟或压根没有考虑信息安全问题，致使随便是谁都可以向SCADA设备发送足以控制它的数据帧。往往SCADA系统用户以为他的SCADA系统使用的虚拟专用网络VPN受到足够的保护，也没有人知道向SCADA有关网络进行存取的物理接头，也不会有人了解能完全旁路掉所有控制软件信息安全从而可以控制这些SCADA网络的交换器。
　　★ SCADA系统的信息安全工作任重道远
　　其实对这些防火墙和VPN进行旁路物理攻击的防护方法，最好是进行端对端的授权，而授权的方式就可以运用其他系统中常用的、在设备中运用加密套接字协议或其它密码逻辑技术。
　　目前许多SCADA系统和控制产品的供应商已经开始着重于开发特殊的工业防火墙系列，一些特殊的基于TCP/IP的SCADA网络则开发特殊的VPN解决方案。
　　另外，还有在应用可以防止软件故障和非授权应用、而又不会影响传统的反病毒扫描的所谓白名单（white listing）解决方案。
　　美国ISA Security Compliance Institute（ISCI）正在探索进行SCADA信息安全测试工作，ISA99 第四工作组也在为建立工业信息安全的联盟做工作。
　　物联网在SCADA系统中的应用是全新课题
　　既然SCADA系统已经广泛的利用了互联网，作为下一代互联网的组成部分之一的物联网，完全可以顺理成章地为SCADA系统所用。这已引起了很多人的关注。
　　分析SCADA系统三代的演进，我们明显地发现通信系统的迅猛发展极大地影响着SCADA的体系结构。不但过去是这样，今后还是这样。当互联网技术已经日益渗透到第三代SCADA系统，产生了基础性的影响的今天，我们对代表未来互联网发展的一个方向 — 物联网将如何影响SCADA系统产生了浓厚的兴趣和好奇。
　　在物联网出现以前，SCADA系统只是对物理位置固定的过程进行数据采集和监控。在物联网发展的今天，毫无疑问SCADA系统今后也会扩展到对移动的过程、装置和流程的数据采集和监控。