【文章內(nèi)容簡介】 作環(huán)境和防爆要求。本方案設(shè)計從網(wǎng)絡(luò)拓撲結(jié)構(gòu)、網(wǎng)絡(luò)交換機、服務(wù)器、電源設(shè)計等方面，著重體現(xiàn)系統(tǒng)的可靠性：216。 網(wǎng)絡(luò)拓撲結(jié)構(gòu)選用環(huán)網(wǎng)冗余技術(shù)；216。 選用國際知名品牌德國赫斯曼工業(yè)網(wǎng)絡(luò)交換機，可靠、穩(wěn)定；216。 在設(shè)計時引入低功耗的設(shè)計理念，因為高溫本身會對芯片等電子元器件產(chǎn)生致命的影響，會極大的降低其芯片的使用壽命，盡量降低它的功耗，使交換機在工作時盡量減少熱量的產(chǎn)生；216。 良好的電磁兼容性，交換機滿足工業(yè)四級抗擾度的要求；216。 數(shù)據(jù)中心采用美國IBM公司服務(wù)器，可靠穩(wěn)定；216。 為核心交換配置2套赫斯曼工業(yè)全千兆工業(yè)網(wǎng)絡(luò)交換機；216。 為數(shù)據(jù)采集配置了2臺生產(chǎn)數(shù)據(jù)采集服務(wù)器，冗余可靠；216。 配置數(shù)據(jù)中心安全存儲系統(tǒng)、可靠穩(wěn)定；216。 地面配置了在線式UPS電源，提供2路供電，提高系統(tǒng)供電可靠性；216。 井下的防爆交換機也采用了雙電源供電，提高供電的可靠性。交換機供電可靠性設(shè)計（2）鏈路可靠性網(wǎng)絡(luò)通信線路可靠性設(shè)計來保證整個網(wǎng)絡(luò)系統(tǒng)的的傳輸可靠性。核心交換設(shè)備之間采用雙鏈路實現(xiàn)熱備冗余，環(huán)網(wǎng)交換設(shè)備采用千兆雙鏈路光纖用于環(huán)節(jié)點的冗余連接，環(huán)網(wǎng)之間采用千兆雙鏈路光纖用于環(huán)間耦合冗余連接，調(diào)度中心服務(wù)器及操作員站采用雙鏈路連接網(wǎng)絡(luò)交換設(shè)備。整個自動化系統(tǒng)網(wǎng)絡(luò)平臺，當(dāng)其中某一段工作中的光纖線路被破壞或網(wǎng)絡(luò)設(shè)備發(fā)生故障時，整個網(wǎng)絡(luò)實現(xiàn)快速自愈，并保證在50ms內(nèi)恢復(fù)正常的通訊。網(wǎng)絡(luò)控制層光纜敷設(shè)時，使用多芯單模備份光纖，當(dāng)其中兩芯出現(xiàn)問題時，可以使用其他備份光纖傳輸。同時，不定期地派工作人員對通信線路進行安全性的檢查，以保證各信息點訪問的暢通。 網(wǎng)絡(luò)安全性設(shè)計網(wǎng)絡(luò)安全是綜合自動化網(wǎng)絡(luò)方案的一個重要的設(shè)計內(nèi)容。網(wǎng)絡(luò)安全主要實現(xiàn)在網(wǎng)絡(luò)TCP/IP及以下層次上，設(shè)計控制只有獲得授權(quán)的用戶與系統(tǒng)中允許他訪問的節(jié)點，在指定的TCP或UDP端口上進行通信。構(gòu)建一個安全的網(wǎng)絡(luò)環(huán)境，就是針對非法入侵者采用的手段以及網(wǎng)絡(luò)環(huán)境中存在的漏洞，并結(jié)合實際的網(wǎng)絡(luò)環(huán)境，建立起一套安全的防范系統(tǒng)，補上系統(tǒng)中各個級別的漏洞，切斷非法用戶的入侵渠道。（1）網(wǎng)絡(luò)不安全性因素分析隨著網(wǎng)絡(luò)、通信技術(shù)的發(fā)展，網(wǎng)絡(luò)豐富的信息資源給用戶帶來了方便，同時也給網(wǎng)絡(luò)帶來了安全問題的隱患。計算機網(wǎng)絡(luò)不僅要保護計算機網(wǎng)絡(luò)設(shè)備安全和計算機網(wǎng)絡(luò)系統(tǒng)安全，還要保護數(shù)據(jù)安全。礦井綜合自動化系統(tǒng)網(wǎng)絡(luò)平臺中，調(diào)度數(shù)據(jù)中心各個數(shù)據(jù)服務(wù)器系統(tǒng)是關(guān)鍵系統(tǒng)，需要不間斷為個生產(chǎn)環(huán)節(jié)及調(diào)度中心提供服務(wù)。即使發(fā)生短暫的業(yè)務(wù)中斷，也會導(dǎo)致難以估量的經(jīng)濟和名譽損失。在網(wǎng)絡(luò)系統(tǒng)中，經(jīng)?？赡軙?dǎo)致業(yè)務(wù)系統(tǒng)中斷的主要原因有一下幾類：① 系統(tǒng)硬件故障如數(shù)據(jù)/系統(tǒng)磁盤的損壞將導(dǎo)致數(shù)據(jù)不能訪問，并進而可能導(dǎo)致應(yīng)用進程終止或系統(tǒng)停機，甚至系統(tǒng)不能重啟動；網(wǎng)卡的損壞可使終端用戶無法訪問系統(tǒng)服務(wù)；CPU或內(nèi)存的失效則會導(dǎo)致系統(tǒng)的死機；② 應(yīng)用程序或操作系統(tǒng)出錯由于操作系統(tǒng)或應(yīng)用程序中可能存在不完善的地方，當(dāng)碰到某種激發(fā)事件時，應(yīng)用程序非正常終止或系統(tǒng)崩潰（只能通過改善程序或系統(tǒng)來解決）；③ 人為錯誤一些人工的誤操作，如刪除系統(tǒng)或應(yīng)用文件，終止系統(tǒng)或應(yīng)用服務(wù)進程，也會導(dǎo)致系統(tǒng)服務(wù)的無法訪問；④ 電腦病毒/駭客入侵由于目前的大多數(shù)計算機系統(tǒng)均連接在網(wǎng)絡(luò)上，若缺少有效的防范機制，很容易遭受病毒的感染或駭客的入侵，輕者數(shù)據(jù)被損壞，重者系統(tǒng)癱瘓（只能通過加強管理杜絕）；⑤ 自然災(zāi)害由于一些意外的不可抗拒的因素，如雷擊、火災(zāi)、洪災(zāi)等導(dǎo)致的計算機系統(tǒng)破壞，將會使一般系統(tǒng)的恢復(fù)非常困難和耗時，導(dǎo)致業(yè)務(wù)系統(tǒng)長時間的中斷（通過容災(zāi)系統(tǒng)來解決）；⑥ 正常的停機主要指計劃內(nèi)的系統(tǒng)升級、安裝軟件、系統(tǒng)備份等過程。由上可見，影響系統(tǒng)正常運行的因素有很多，因為在系統(tǒng)中斷時能夠在最短的時間內(nèi)恢復(fù)數(shù)據(jù)是最重要的，所以需要采用一套離線存儲系統(tǒng)對數(shù)據(jù)庫中的數(shù)據(jù)進行儲存?zhèn)浞荼Ｗo。通過以上分析，結(jié)合礦井的實際情況，設(shè)計一系列軟硬件安全措施，部署網(wǎng)絡(luò)安全系統(tǒng)，保證整個自動化網(wǎng)絡(luò)平臺及所有子系統(tǒng)接入數(shù)據(jù)傳輸?shù)陌踩?，保證綜合自動化內(nèi)部網(wǎng)絡(luò)與企業(yè)辦公網(wǎng)絡(luò)平臺的安全隔離。為確保全礦井綜合自動化內(nèi)部網(wǎng)絡(luò)平臺的安全性，采用了以下網(wǎng)絡(luò)安全措施來構(gòu)建網(wǎng)絡(luò)安全體系，包括設(shè)備安全、網(wǎng)絡(luò)安全、數(shù)據(jù)安全、數(shù)據(jù)存儲、災(zāi)難備份與恢復(fù)、與企業(yè)信息管理網(wǎng)絡(luò)安全聯(lián)網(wǎng)安全等內(nèi)容。（2）設(shè)備安全性在綜合自動化網(wǎng)絡(luò)系統(tǒng)與企業(yè)信息化網(wǎng)絡(luò)系統(tǒng)之間使用的SIS3000GE11安全隔離網(wǎng)閘設(shè)備是聯(lián)想網(wǎng)御公司專門針對國家安全企業(yè)網(wǎng)絡(luò)間網(wǎng)絡(luò)安全設(shè)計的解決方案，具有基于DMZ的IDS入侵監(jiān)測功能，通過安全設(shè)置，可防御網(wǎng)絡(luò)和應(yīng)用層攻擊、拒絕服務(wù)（DoS）攻擊，提供了先進、高性能的保護。該安全自適應(yīng)設(shè)備除具備防止常規(guī)防攻擊外、通過擴展安全模塊，具備文件交換、FTP訪問、數(shù)據(jù)庫傳輸、郵件傳輸和安全瀏覽功能，并根據(jù)TCP和UDP定制訪問功能。216。 系統(tǒng)架構(gòu)：采用“2+1”系統(tǒng)架構(gòu)，即由兩個主機系統(tǒng)和一個隔離交換矩陣組成，主機系統(tǒng)采用VSP通用安全平臺，隔離交換矩陣基于LeadASIC專用芯片實現(xiàn)主機系統(tǒng)間采用自有協(xié)議擺渡數(shù)據(jù)，確保信任網(wǎng)絡(luò)和非信任網(wǎng)絡(luò)之間任何連接的斷開，徹底阻斷TCP/IP協(xié)議及其他網(wǎng)絡(luò)協(xié)議；216。 隔離交換矩陣：自主研發(fā)的硬件，無操作系統(tǒng)，外界無法編程控制，而不是采用低安全性的通用可編程硬件，如網(wǎng)線、SCSI、USB等；216。 文件交換：實現(xiàn)文件的安全交換，支持NFS、SMBFS等文件系統(tǒng)和多種細粒度檢測控制功能，支持改名傳輸方式，可實現(xiàn)對源文件改名，標(biāo)明傳輸狀態(tài)支持增量傳輸方式，可實現(xiàn)只傳輸修改和增加了的源文件支持傳輸后刪除方式，可實現(xiàn)傳輸結(jié)束后刪除源文件；216。 FTP訪問：實現(xiàn)安全的FTP訪問，支持對用戶、命令、文件類型等細粒度訪問控制支持動態(tài)建立數(shù)據(jù)通道，并可對訪問端口號自由定義；216。 數(shù)據(jù)庫傳輸：實現(xiàn)對多種主流數(shù)據(jù)庫系統(tǒng)的安全訪問和同步，支持TNS協(xié)議，支持對訪問數(shù)據(jù)庫的用戶進行控制；216。 郵件傳輸：實現(xiàn)用戶安全訪問郵件服務(wù)器，訪問過濾選項涵蓋郵件地址、主題、正文內(nèi)容、附件等；216。 安全瀏覽：實現(xiàn)內(nèi)網(wǎng)用戶安全瀏覽外網(wǎng)資源，支持本地、Radius、LDAP等認證方式，提供對URL、ActiveX、Cookie、JavaApplet等的過濾功能；216。 定制訪問：實現(xiàn)特定TCP、UDP協(xié)議的數(shù)據(jù)隔離交換，可合作定制開發(fā)針對特定協(xié)議的安全檢測，實現(xiàn)如黑白名單控制、關(guān)鍵字過濾等；216。 專業(yè)檢測引擎：主機系統(tǒng)內(nèi)置USE統(tǒng)一安全引擎入侵檢測功能：具有實時入侵檢測機制，可設(shè)置阻斷規(guī)則，實時阻斷入侵攻擊特征庫規(guī)則1600條以上，并可自定義檢測規(guī)則和掃描攻擊檢測閾值；抗DDoS攻擊：具有抗DoS、DDoS攻擊功能，當(dāng)拒絕服務(wù)攻擊發(fā)生時能保障對正常應(yīng)用請求的應(yīng)答；內(nèi)網(wǎng)管理聯(lián)動：遵循CSC關(guān)聯(lián)安全標(biāo)準(zhǔn)，實現(xiàn)與內(nèi)網(wǎng)安全管理系統(tǒng)聯(lián)動；設(shè)備管理聯(lián)動：遵循CSC關(guān)聯(lián)安全標(biāo)準(zhǔn)，通過Leadsec安全管理系統(tǒng)實現(xiàn)集中安全管理；216。 靈活多樣的管理方式：支持HTTPS的WEB方式管理，實現(xiàn)了遠程管理信息加密傳輸，支持命令行方式管理，可通過命令行完成全部管理配置工作；216。 高效的集中管理：支持通過Leadsec安全管理系統(tǒng)實現(xiàn)全局拓撲生成、集中日志審計、集中設(shè)備監(jiān)控等安全管理；216。 高安全的管理形式：內(nèi)/外網(wǎng)主機系統(tǒng)分別具有獨立管理接口，管理員分級管理，而不是采用低安全的管理方式，如通過網(wǎng)絡(luò)接口管理、通過內(nèi)網(wǎng)一個管理接口完成全部管理等；216。 多網(wǎng)隔離能力：外網(wǎng)主機系統(tǒng)可連接4個相同安全級別的網(wǎng)絡(luò)，內(nèi)網(wǎng)主機系統(tǒng)可連接2個相同安全級別的網(wǎng)絡(luò)接入方式，支持相同網(wǎng)絡(luò)地址的網(wǎng)絡(luò)間部署，網(wǎng)絡(luò)部署適應(yīng)性強支持IP/MAC地址綁定，具有自動學(xué)習(xí)功能，支持自由定制時間策略，支持域名訪問控制策略；216。 支持MRP多重冗余協(xié)議，保障設(shè)備的高可靠性，通過獨立的熱備端口實現(xiàn)雙機熱備，支持2~32臺設(shè)備實現(xiàn)負載均衡，無需第三方軟硬件支持，支持設(shè)備自身物理端口冗余功能，實現(xiàn)鏈路聚合功能；216。 日志實現(xiàn)按功能模塊分組管理，支持WEBTrends格式，實現(xiàn)對日志的瀏覽、查詢、導(dǎo)出、刪除等操作。設(shè)計在綜合自動化控制網(wǎng)絡(luò)系統(tǒng)工業(yè)交換設(shè)備、數(shù)據(jù)中心設(shè)備上設(shè)定用戶和口令，控制非特權(quán)方式和特權(quán)方式的訪問權(quán)，并且通過設(shè)定口令的加密鑰和網(wǎng)絡(luò)設(shè)備的單向加密機制，使用權(quán)口令在配置中以加密方式出現(xiàn)，保證口令的安全性。設(shè)定設(shè)備訪問空間時限，如果管理員在設(shè)定的一段時間內(nèi)（如5秒）不使用，安全設(shè)備將自動終止訪問連接。保證所有綜合自動化控制網(wǎng)絡(luò)系統(tǒng)網(wǎng)絡(luò)設(shè)備的物理安全性，防止無關(guān)人員接觸網(wǎng)絡(luò)設(shè)備。在綜合自動化控制網(wǎng)絡(luò)系統(tǒng)數(shù)據(jù)中心服務(wù)器、各子系統(tǒng)上位機、后臺機、操作員站設(shè)備BIOS安全設(shè)置，杜絕設(shè)備“病由口入”，設(shè)置BIOS安全密碼，禁用所有上位機及調(diào)度中心操作站USB、COM等數(shù)據(jù)接口（除鼠標(biāo)、鍵盤、顯示接口外）。設(shè)置系統(tǒng)管理人員及技術(shù)操作人員、網(wǎng)絡(luò)管理人員的網(wǎng)絡(luò)設(shè)備訪問權(quán)限、管理密碼。提高管理人員及技術(shù)操作人員、網(wǎng)絡(luò)管理人員的整體網(wǎng)絡(luò)安全意識。通過這些措施，本系統(tǒng)網(wǎng)絡(luò)設(shè)備可以實現(xiàn)其安全、正常運行，完成這些網(wǎng)絡(luò)設(shè)備應(yīng)該完成的功能，為其它的安全措施提供一個安全基礎(chǔ)。（3）網(wǎng)絡(luò)安全性除了Telnet服務(wù)外，在設(shè)備上取消全部IP服務(wù)器功能，包括Rlogin、Rsh、HTTP服務(wù)器等。限制所有來自企業(yè)內(nèi)部網(wǎng)絡(luò)及Internet的用戶對設(shè)備本身的訪問（包括PING、Telnet、Discard、Echo、SNMP等）；限制內(nèi)部網(wǎng)絡(luò)上，只有網(wǎng)管工作站可以使用SNMP訪問。在綜合自動化控制網(wǎng)絡(luò)系統(tǒng)內(nèi)部設(shè)計采用常規(guī)的網(wǎng)絡(luò)安全手段VLAN劃分（劃分數(shù)量支持大于256個），在設(shè)備上配置訪問控制表，限制內(nèi)部網(wǎng)絡(luò)上只有維護工作站和網(wǎng)管工作站可以登錄網(wǎng)絡(luò)設(shè)備；在綜合自動化控制網(wǎng)絡(luò)系統(tǒng)與企