用于工业控制系统的监控组件的制作方法

本发明涉及用于工业控制系统的监控组件。

背景技术：

例如监控与数据采集(supervisorycontrolanddataacquisition，scada)系统的工业控制系统用以控制工业过程和生产。实例包括对发电厂和水处理设施处的关键功能的控制到对食品加工厂和车辆装配厂的装配线的操作。

特定类型的工业控制系统，即包括例如可编程微控制器的一个或多个智能电子装置(intelligentelectronicdevice，ied)的工业控制系统常常安设于电力系统中，例如结合发电、输电和配电出现的那些电力系统或在其它运输或工业系统中出现的那些电力系统。

在此些状况下，所述ied或每个ied通常安放于变电站中，且被布置成测量、保护、控制和监测一个或多个ied所连接到的电力系统。

技术实现要素：

根据本发明的方面，提供一种用于工业控制系统的监控组件(monitoringassembly)，其包括：

工业控制系统，包括可连接到通信网络且配置成尝试将请求经由所述通信网络发送到因特网地址的通信装置；以及

监测装置，配置成检测所述通信装置与所述因特网地址的通信且根据此检测提供报警通知，所述报警通知包括所述工业控制系统连接到所述因特网的指示。

需要包括能够提供报警通知的监测装置，所述报警通知包括给定工业控制系统连接到因特网的指示，这是因为连接到因特网，即连接到开放公用网络的工业控制系统存在受到例如网络攻击的危害的风险。

此外，此报警通知自动提供，而不需要受到特定工业控制系统控制的工业资产的所有者进行任何预先配置或后续干预。

另外，提供检测何时发生此因特网连接的监测装置，避免了工业资产所有者手动检查工业控制系统保持与因特网分离的必要。这是尤其有利的，因为它确实免去了工业资产所有者使用和维护单独装备以手动检查因特网连接的必要，每当特定工业控制系统的配置发生改变或另外的工业控制系统加入到给定隔离，即私用网络时，需要更新此单独装备。

此外，尽管工业控制系统的供应者通常规定此类系统应保持于隔离网络上以便维持网络安全，但特定工业控制系统可能例如在实行维护时无意地连接到因特网，或可能例如在紧急情况下尝试提供更容易的因特网接入时有意地连接到因特网，且因此当此连接发生时发出警示是有利的，以便察觉到特定工业资产受到危害的风险。

实际上，在后一种情况下，工业控制系统无意或有意连接到因特网的危险仅可能在越来越需要远程接入到此工业控制系统的情况下增大，其条件是此远程接入常常需要工业资产所有者的公司网络(其几乎始终连接到因特网)与工业控制系统所连接到的隔离私用网络之间的安全链路。

在本发明的可选实施例中，监测装置包括第一监测子模块，所述第一监测子模块配置成通过检测对来自因特网地址的请求响应的接收来检测通信装置与因特网的通信。

此布置提供检测工业控制系统与因特网连接的可靠且可重复方式，且以视需要可在不需要任何额外装备的情况下定位到相关特定工业控制系统的方式提供所述检测。

可选地，第一监测子模块位于工业控制系统内。

将第一监测子模块定位于工业控制系统内能提供独立布置，相关联监控组件的供应者可容易地确立所述独立布置的配置和后续操作。

根据需要，第一监测子模块配置成在工业控制系统内提供报警通知。

使第一监测子模块在工业控制系统内提供报警通知能有效地向相关联受控工业资产所在的设施内，例如变电站内的控制或维护操作工人发出给定工业控制系统连接到因特网且因此具有受到危害的风险的警示。

监测装置可包括第二监测子模块，所述第二监测子模块配置成通过检测对请求的接收来检测通信装置与因特网地址的通信。

包括此第二监测子模块，即包括配置成通过检测对请求的接收来检测通信装置与因特网地址的通信的一个子模块准许第二监测子模块定位成远离工业控制系统和相关联受控工业资产。这更方便例如监控组件的供应者对第二监测子模块的管理。另外，提供以下选择：关于可能属于不同工业资产所有者的数个单独且分开操作的工业控制系统，使单个第二监测子模块监测和检测是否发生因特网连接。

根据本发明的另一可选实施例的监控组件进一步包括定义因特网地址的固定因特网服务器。

在监控组件内包括固定因特网服务器，通过有助于确保因特网地址始终可用于因特网连接检测目的，提高了监控组件的稳健性。

另外，提供以下选择：在本发明的监控组件内提供另外功能性，例如关于工业资产所有者的通知方面。

可选地，第二监测子模块位于固定因特网服务器内。

使第二监测子模块如此合乎需要地定位准许其用以通过检测对来自通信装置的对应请求的接收来检测工业控制系统的通信装置与因特网的通信。此定位还有助于例如监控组件的供应者维持对第二监测子模块的所要操作控制程度。

根据需要，第一监测子模块配置成将报警通知传达到固定因特网服务器。

包括如此合乎需要地配置的第一监测子模块准许将报警通知更广地散播到相关各方。

固定因特网服务器可配置成识别指示为连接到因特网的工业控制系统的所有者，并通知所述工业控制系统的所有者所述工业控制系统已如此连接。

此功能性是合乎需要的，这是因为其向给定工业资产所有者提供如下自动通知：需要与特定资产的工业控制系统相关的补救措施，以便减轻所述工业控制系统受到危害的风险。

可选地，固定因特网服务器配置成基于由所述工业控制系统的通信装置向其提供的信息来识别指示为连接到因特网的工业控制系统的所有者。

使固定因特网服务器如此配置有助于确保对特定工业资产所有者的快速和正确识别，且由此能及时通知此所有者给定工业控制系统的问题。

在本发明的又一可选实施例中，通信装置配置成尝试将第一请求经由通信网络发送到第一因特网地址且将第二请求经由通信网络发送到第二因特网地址，且监测装置配置成检测通信装置与第一因特网地址和第二因特网地址中的任一个的通信并根据此检测提供报警通知。

包括配置成尝试发送第一请求和第二请求的通信装置，以及配置成检测通信装置与相应请求被发送到的第一因特网地址和第二因特网地址中的任一个的通信的监测装置，可在监控组件内提供一定冗余度，由此即使因特网地址中的一个临时不可用，例如临时离线，仍可检测工业控制系统到因特网的连接。

附图说明

下面是借助于非限制性实例参看以下附图对本发明的可选实施例的简要说明，图中：

图1所示为根据本发明的第一实施例的监控组件的示意图；且

图2所示为根据本发明的第二实施例的监控组件的示意图。

具体实施方式

根据本发明的第一实施例的监控组件通常由参考标号10标示，如图1所示。

监控组件10包括工业控制系统12，所述工业控制系统12在所示的实施例中是智能电子装置(ied)14，且更具体地说是可编程微控制器16，但也可能是其它类型的控制器。

工业控制系统12，即ied14测量、保护、控制并监测其以操作方式连接的电力系统18。

ied14包括可连接到通信网络24的通信装置22，例如，以太网模块，所述通信网络24在所示的实施例中是因特网26。

通信装置22配置成尝试将请求经由通信网络24，即经由因特网26发送到因特网地址。更具体地说，通信装置22配置成尝试将第一请求28发送到第一因特网地址30且尝试将第二请求32发送到第二因特网地址34。在每种情况下，相应的尝试请求28、32是ping请求，但也可进行其它类型的请求。

另外，通信装置22配置成尝试按例如1小时的周期性间隔来发送第一请求28和第二请求32。然而，可进行较频繁或较不频繁的第一请求28和第二请求32。

在图1中所示的实施例中，第一因特网地址30由固定因特网服务器36，即具有固定因特网协议(internetprotocol，ip)地址或因特网域名的因特网服务器定义，所述固定因特网服务器36自身形成第一监控组件10的部分。在本发明的其它实施例中，固定因特网服务器36无需作为整体形成监控组件的部分。

同时，第二因特网地址34由熟知的极不可能随时间推移而改变的因特网地址定义。此熟知的不变因特网地址的一个实例是www.google.com(ip地址：74.125.136.113)，但也可以使用其它因特网地址。

在本发明的其它实施例中，通信装置22可配置成尝试仅将第一请求发送到可由固定因特网服务器定义的第一因特网地址或熟知的因特网地址。

除上述之外，第一监控组件10还包括监测装置38，所述监测装置38配置成检测通信装置22与第一因特网地址30或第二因特网地址34的通信，且根据此检测提供报警通知40a、40b，所述报警通知40a、40b包括工业控制系统12，即ied14连接到因特网26的指示。

更具体地说，监测装置38包括第一监测子模块42，所述第一监测子模块42配置成通过检测对来自第一因特网地址30，即固定因特网服务器36，或第二因特网地址34，即熟知的因特网地址的对应第一响应44或第二响应46的接收来检测通信装置22与因特网26的通信。

第一监测子模块42位于工业控制系统12内，即ied14内，且配置成在工业控制系统12内提供第一报警通知40a。第一报警通知40a可呈可视报警或声音报警形式，以使得容纳相关联电力系统18的设施内的控制或维护操作工人能察觉到第一报警通知40a。另外或替代地，可使用例如监控与数据采集(scada)协议将第一报警通知40a以电子方式发射到远程控制系统管理设施。

另外，第一监测子模块42还配置成将即呈第二报警通知40b形式的报警通知传达到固定因特网服务器36。可经由与第一请求28相同的通信网络24，即经由因特网26派发第二报警通知40b。

当接收到前述第二报警通知40b时，固定因特网服务器36配置成识别工业控制系统12的所有者48，即工业资产的所有者48，所述工业资产例如电力系统18，其以操作方式与指示为连接到因特网26的工业控制系统12连接。

在所示的实施例中，固定因特网服务器36配置成基于由受损的工业控制系统12的通信装置22提供的信息来识别所有者48。更具体地说，通信装置22提供关于工业控制系统12的包括所有者48的详情的型号信息，以使得固定因特网服务器36能够直接识别所有者48。

在本发明的其它实施例(图未示)中，固定因特网服务器36可替代地利用媒体存取控制(mediaaccesscontrol，mac)地址，即指派到通信装置22的唯一标识符，连同所供应的监控组件10和对应所有者的交叉引用数据库来识别所有者。

固定因特网服务器36又另外配置成向所识别所有者48通知相关工业控制系统12，且因此相关联电力系统18连接到因特网26，使得所述系统从网络安全角度来说存在受到危害的风险。

就此来说，当供应监控组件10时可要求所有者48指派指定联系人，且其后固定因特网服务器36可被布置成例如使用短消息服务(shortmessageservice，sms)以电子邮件或文本消息的形式将警示50发送到指定联系人，以向所述联系人通知给定工业资产连接到因特网26。

根据本发明的第二实施例的监控组件通常由参考标号60标示，如图2所示。第二监控组件60类似于第一监控组件10且相似特征共用相同参考标号。

就此来说，第二监控组件60同样包括呈智能电子装置(ied)14形式的工业控制系统12，但其它类型的控制器也是可能的。

工业控制系统12，即ied14同样测量、保护、控制并监测其以操作方式连接的电力系统18。

第二监控组件60的ied14类似地包括通信装置22，所述通信装置22可连接到呈因特网26形式的通信网络24。

通信装置22同样配置成尝试将第一请求28发送到第一因特网地址30且尝试将第二请求32发送到第二因特网地址34。在每种情况下，相应的尝试请求28、32是ping请求，但也可进行其它类型的请求。此些请求28、32同样按1小时的周期性间隔进行，但可进行较频繁或较不频繁的第一请求28和第二请求32。

第一因特网地址30同样由固定因特网服务器36定义，所述固定因特网服务器36自身形成第二监控组件60的部分。

与此同时，第二因特网地址34同样由熟知的因特网地址，例如www.google.com(ip地址：74.125.136.113)定义，但也可使用其它因特网地址。

在本发明的其它实施例中，通信装置22可配置成尝试仅将第一请求发送到第一因特网地址，所述第一因特网地址由形成监控组件的部分的固定因特网服务器定义。

第二监控组件60同样另外包括监测装置38，所述监测装置38配置成检测通信装置22与第一因特网地址30或第二因特网地址34的通信。

更具体地说，第二监控组件60的监测装置38同样包括第一监测子模块42，所述第一监测子模块42配置成通过检测对来自第二因特网地址34，即熟知的因特网地址的第二响应46的接收来检测通信装置22与因特网26的通信。第一监测子模块42位于工业控制系统12内，即ied14内，且配置成在工业控制系统12内提供第一报警通知40a。第一报警通知40a可呈可视报警或声音报警形式，以使得容纳相关联电力系统18的设施内的控制或维护操作工人能察觉到第一报警通知40a。另外或替代地，可使用例如监控与数据采集(scada)协议将第一报警通知40a以电子方式发射到远程控制系统管理设施。

在其中通信装置22配置成尝试仅将第一请求发送到由形成监控组件的部分的固定因特网服务器定义的第一因特网地址，即通信装置22未配置成将请求发送到某一其它地址，例如熟知的因特网地址的本发明的实施例中，监测装置38可省略第一监测子模块42。

返回到图2中所示的第二监控组件60，监测装置38另外包括第二监测子模块62，所述第二监测子模块62配置成通过检测对第一请求28的接收来检测通信装置22与第一因特网地址30的通信。

因此，在所示的实施例中，第二监测子模块62位于固定因特网服务器36内。

另外，第二监测子模块62配置成提供呈到固定因特网服务器36的内部消息形式的第二报警通知40b，其中第二报警通知40b包括工业控制系统12，即ied14连接到因特网26的指示。

当接收到前述第二报警通知40b时，固定因特网服务器36同样类似地配置成识别工业控制系统12的所有者48，即电力系统18的所有者48，所述电力系统18以操作方式与指示为连接到因特网26的工业控制系统12连接。

在所示的实施例中，固定因特网服务器36配置成基于由受损的工业控制系统12的通信装置22提供的信息来识别所有者48，且更具体地说通过利用由第二监测子模块62接收到的媒体存取控制(mac)地址连同第一请求28来识别所有者48。固定因特网服务器36同样交叉引用mac地址与所供应的监控组件10和对应所有者48的数据库。

固定因特网服务器36同样配置成将警示50发送到所有者48的指定联系人，以向所述联系人通知给定工业资产，即电力系统18连接到因特网26。