【正文】 第三章 系統(tǒng)總體設(shè)計(jì) 系統(tǒng)總體結(jié)構(gòu)設(shè)計(jì)如圖 31 所示。(6)如果有必要，可刪除用戶組“每個(gè)用戶”或限制該組改”。(4)使用未鎖定 WinCC 文件夾的彈出菜單打開“屬性”對(duì)話框。(3)在瀏覽窗口中選擇條目“共享文件夾”“共享”。WinCC 中設(shè)置不同人員的不同權(quán)限通過 Windows 管理可限制對(duì)工作文件夾的訪問權(quán)限：(1)關(guān)閉 WinCC 和所有的 WinCC 組件。(4)發(fā)布頁面在 WinCC 資源管理器，右鍵點(diǎn)擊 WEB 瀏覽器，選擇 WEB 頁面發(fā)布器，按提示操作，將要發(fā)布的頁面轉(zhuǎn)化成網(wǎng)頁。例如：IP 地址： 子網(wǎng)掩碼： 網(wǎng)關(guān)： DNS： .,69(2)建立 Web 站點(diǎn)打開 WinCC 資源管理器，右鍵點(diǎn)擊 WEB 瀏覽器，選擇 WEB 組態(tài)器，按提示操作，選擇上面設(shè)定的 IP 地址作為 WEB 站點(diǎn)的地址。單擊某個(gè)子項(xiàng)，您即可進(jìn)行相應(yīng)的功能設(shè)置 。在圖片中按“上網(wǎng)向?qū)А边x擇您的外網(wǎng)類型和設(shè)置。打開桌面上的“Inter Explorer”圖標(biāo)。從而實(shí)現(xiàn)了一個(gè)安全可靠的放火墻系統(tǒng)。在安裝好代理服務(wù)器后，再設(shè)計(jì)一個(gè)代理服務(wù)器配置文件，代理服務(wù)器根據(jù)該配置文件的源 IP 地址、目的 IP 地址和身份驗(yàn)證控制內(nèi)外網(wǎng)絡(luò)的訪問權(quán)限，利用監(jiān)控記錄模塊實(shí)現(xiàn)對(duì)所有數(shù)據(jù)流的監(jiān)控，以提供網(wǎng)管所需的各種數(shù)據(jù)；系統(tǒng)中的包過濾主機(jī)由路由器硬件實(shí)現(xiàn)，通過設(shè)置路由器的過濾規(guī)則，對(duì) IP 包進(jìn)行審查，實(shí)現(xiàn)對(duì)IP 包的過濾，其核心就是過濾規(guī)則的制定，包括過濾算法執(zhí)行的順序、IP 地址篩選規(guī)則、ACK 位的設(shè)置及協(xié)議類型等。包過濾主機(jī)連接代理服務(wù)器和外部網(wǎng)絡(luò)，實(shí)現(xiàn) IP 包過濾規(guī)則。 外部網(wǎng)絡(luò)內(nèi)部網(wǎng)絡(luò)代理服務(wù)器 包過濾主機(jī)防火墻系統(tǒng)圖 29 防火墻系統(tǒng)該放火墻系統(tǒng)由一個(gè)代理服務(wù)器和一個(gè)包過濾主機(jī)組成。眾所周知的隧道傳輸協(xié)議有 PPTP(點(diǎn)對(duì)點(diǎn)隧道傳輸協(xié)議)和 L2TP(第二層隧道傳輸協(xié)議)。這就是為什么越來越多的公司建立 VPN 系統(tǒng)，因?yàn)榇讼到y(tǒng)采用隧道技術(shù)和其它多種安全措施，可以保證機(jī)密數(shù)據(jù)如通過因特網(wǎng)在公共 IP 網(wǎng)絡(luò)上安全地傳輸。這意味著需保密的數(shù)據(jù)可以在不安全的網(wǎng)絡(luò)中傳輸或在存儲(chǔ)媒質(zhì)上無法任意讀取。依靠上述的解決方案，可采取多種防范措施，如通過電子郵件、尋呼機(jī)或 SNMP 給系統(tǒng)管理員發(fā)出警告；利用 TCP 的復(fù)位功能或防火墻的動(dòng)態(tài)重配置可以迅速地阻止非善意行為的訪問。入侵檢測(cè)系統(tǒng)入侵檢測(cè)系統(tǒng)是網(wǎng)絡(luò)安全系統(tǒng)的一個(gè)重要組成部分，這些舊系統(tǒng)可以監(jiān)測(cè)對(duì)系統(tǒng)的侵入，比如它可以運(yùn)用特殊的簽名模式來監(jiān)控對(duì)網(wǎng)絡(luò)和系統(tǒng)可疑或惡意的行為。它起到事先防范的作用（指事故發(fā)生前對(duì)用戶進(jìn)行報(bào)警） ，對(duì)相應(yīng)安全隱患評(píng)估定量為：這個(gè)安全隱患是否已經(jīng)超過各個(gè)站點(diǎn)規(guī)定的安全警戒線，需要系統(tǒng)管理員采取相應(yīng)措施來挽救這個(gè)站點(diǎn)。(3)、綜合防火墻為了使安全性達(dá)到更高的要求，常把基于包過濾的方法技術(shù)與基于應(yīng)用代理技術(shù)的方法結(jié)合起來，形成復(fù)合型防火墻。其優(yōu)點(diǎn)是把內(nèi)外網(wǎng)絡(luò)系統(tǒng)隔離開來，對(duì)外起保護(hù)內(nèi)部結(jié)構(gòu)的作用，從而增強(qiáng)了網(wǎng)絡(luò)的安全性。(2)、應(yīng)用網(wǎng)關(guān)防火墻應(yīng)用網(wǎng)關(guān)防火墻又稱為代理服務(wù)防火墻，應(yīng)用網(wǎng)關(guān)(Application Gateway)技術(shù)建立在 OSI 架構(gòu)的應(yīng)用層上的協(xié)議過濾， 他在要保護(hù)的網(wǎng)絡(luò)系統(tǒng)與外界訪問之間建立一個(gè)虛擬連接，功能類似于一個(gè)數(shù)據(jù)轉(zhuǎn)發(fā)器，用戶對(duì)網(wǎng)絡(luò)系統(tǒng)的訪問通過應(yīng)用網(wǎng)關(guān)進(jìn)行檢查，即使連接建立，其通訊工作也是由應(yīng)用網(wǎng)關(guān)為代理者轉(zhuǎn)送數(shù)據(jù)，它針對(duì)特別的網(wǎng)絡(luò)應(yīng)用服務(wù)協(xié)議即數(shù)據(jù)過濾協(xié)議，并且能夠?qū)?shù)據(jù)包分析，登記和統(tǒng)計(jì)并形成相關(guān)的報(bào)告。 依據(jù)系統(tǒng)內(nèi)事先設(shè)定的過濾邏輯, 檢查數(shù)據(jù)流中每個(gè)數(shù)據(jù)包后, 根據(jù)數(shù)據(jù)包的源地址、目的地址、所有的端口號(hào)及數(shù)據(jù)包頭中的各種標(biāo)志位等因素來確定是否允許數(shù)據(jù)包通過，其核心是安全策略即過濾算法的設(shè)計(jì)。并能對(duì)所有訪問活動(dòng)進(jìn)行記錄。防火墻通常由多個(gè)硬件和軟件組成，它們可以由內(nèi)部用戶進(jìn)行功能設(shè)定，并且可以按照用戶需要的功能來進(jìn)行安全認(rèn)證?？梢圆捎孟旅姘踩a(chǎn)品和軟件，例如防火墻系統(tǒng)，安全掃描器和入侵檢測(cè)系統(tǒng)，或者各種加密軟件和相對(duì)安全的通訊協(xié)議。單一的安全措施不足以應(yīng)付所遇到的安全隱患。? 此外，必須保證通訊信息是經(jīng)過認(rèn)定和授權(quán)過的信息，必須準(zhǔn)確無誤地對(duì)訪問者的身份進(jìn)行認(rèn)定。由于全球網(wǎng)絡(luò)結(jié)構(gòu)的分散性，事實(shí)上任何人都可以對(duì)其進(jìn)行訪問，這樣對(duì)數(shù)據(jù)傳輸?shù)陌踩?、保密性和完整性的要求變得日益?yán)格。 二、網(wǎng)絡(luò)安全技術(shù)在任何—個(gè)網(wǎng)絡(luò)中，計(jì)算機(jī)系統(tǒng)、網(wǎng)絡(luò)和數(shù)據(jù)處理設(shè)備都是至關(guān)重要的資源，但是對(duì)一個(gè)公司來說也可能會(huì)帶來潛在的安全隱患。；包括系統(tǒng)簽入程序的安全設(shè)計(jì)、系統(tǒng)資源的備份、系統(tǒng)遭受意外的恢復(fù)、系統(tǒng)的訪問記錄，攻擊的識(shí)別與避免。：包括訪問安全控制、病毒的防范、軟件開發(fā)的安全考慮。從站上的服務(wù)訪問點(diǎn) 40—48 和 DPM2 上的服務(wù)訪問點(diǎn) 50 為MSAC C2 連接保留。需要的話，在間歇期間，主站可以自動(dòng)插入監(jiān)視報(bào)文 Idle PDUs。從站用確認(rèn)響應(yīng)確認(rèn)連接成功。這種通信是面向連接的，稱為 MSAC C2。當(dāng)診斷數(shù)據(jù)變化很快時(shí)，有必要將傳送頻率調(diào)整到 PLC 的速度。如果數(shù)據(jù)塊訪問成功，DP 從站返回肯定的讀寫響應(yīng)；否則 DP 從站給出否定的響應(yīng)，并指出問題的準(zhǔn)確類型。涉及模塊時(shí)，模塊的槽號(hào)是指定的，模塊槽號(hào)從 1 開始順序遞增分配，槽號(hào)0 留給設(shè)備本身。數(shù)據(jù)塊通過槽號(hào)和索引進(jìn)行尋址。該模型也用作新的非循環(huán)讀寫服務(wù)的基礎(chǔ)。此模型用于循環(huán)數(shù)據(jù)傳送的 DP 基本功能，其中每個(gè)模塊輸入和輸出字節(jié)數(shù)是常量，并在用戶數(shù)據(jù)報(bào)文中按固定位置來傳送。在DDLM 讀寫請(qǐng)求被傳送之后，主站用 SRD 報(bào)文探詢從站，直到 DDLM 讀寫響應(yīng)出現(xiàn)。 (1)DDLM 的非循環(huán)讀寫功能 這些功能用來讀寫從站中任何期望的數(shù)據(jù)塊。連接的建立與 DPM1 和從站問的循環(huán)數(shù)據(jù)傳輸緊密地聯(lián)系在一起。以下分兩個(gè)方面簡(jiǎn)介 DP 擴(kuò)展功能： 和從站之間的擴(kuò)展數(shù)據(jù)通信 DPM1 和 DP 從站之間的非循環(huán)通信功能是通過補(bǔ)充服務(wù)訪問點(diǎn) 51 執(zhí)行的。 DP 的擴(kuò)展功能可選，與 DP 基本功能相兼容。這些設(shè)備的參數(shù)和循環(huán)性測(cè)量數(shù)據(jù)相比很少改變。另外，診斷和操作控制站(DPM2)可以用此功能非循環(huán)訪問從站的參數(shù)和測(cè)量數(shù)據(jù)。DPM1 的運(yùn)行狀態(tài)也可被改變。這些功能使用戶可以通過總線組態(tài) DPM1 設(shè)備。DPM1 和 DP 從站間數(shù)據(jù)傳輸分為三個(gè)階段；參數(shù)設(shè)置、組態(tài)、數(shù)據(jù)傳輸。 和 DP 從站之間的循環(huán)數(shù)據(jù)傳輸：DPM1 和其 DP 從站間的數(shù)據(jù)傳輸由DPM1 按照定義的順序自動(dòng)執(zhí)行。任何一個(gè)主站均可讀取 DP從站的輸入和輸出映像，但只有一個(gè)主站可對(duì) DP 從站寫入輸出數(shù)據(jù)。在多站系統(tǒng)中，幾個(gè)主站可以同時(shí)連接到總線上。在單主站系統(tǒng)中，總線上只有一個(gè)站點(diǎn)作為活動(dòng)主站。：PROFIBUSDP 允許構(gòu)成單主站和多主站系統(tǒng)，這為系統(tǒng)配置、組態(tài)提供了高度的靈活性。診斷信息在總線上傳送并由主站收集。：DP 中所有信息的傳輸具有海明距離 HD=4；每個(gè)從站帶看門狗定時(shí)器；DP 從站的輸入、輸出帶有訪問保護(hù)；主站類型設(shè)備有可變監(jiān)視定時(shí)器，可監(jiān)視用戶數(shù)據(jù)的傳輸。：控制指令允許輸入和輸出的同步。如果該參數(shù)設(shè)置為真，一旦 DP 從站不再傳輸用戶數(shù)據(jù)，DPM1 設(shè)備就處在清除狀態(tài)。DPM1 設(shè)備在預(yù)先設(shè)定的時(shí)間間隔內(nèi)以多播方式將其狀態(tài)發(fā)送給其所有的從站。：DP 的運(yùn)行模式是由 PROFIBUSDP 規(guī)范中對(duì)系統(tǒng)行為的詳細(xì)描述來定義的，這種描述是為了保證設(shè)備的互換性。一類 DP 主站(DPM1)是中央可編程控制器(如PLC、PC 等)，DPM1 在制定的信息循環(huán)中和分散的站點(diǎn)(從站)交換信息；二類 DP主站(DPM2)是可編程、可組態(tài)、可診斷的設(shè)備，DPM2 用于組態(tài)或操作、監(jiān)視 DP系統(tǒng)；DP 從站是帶二進(jìn)制或模擬輸入輸出的驅(qū)動(dòng)器、閥門等外圍設(shè)備。 ：點(diǎn)對(duì)點(diǎn)(用于用戶數(shù)據(jù)傳送)和多播(用于控制指令發(fā)布)；支持循環(huán)主從用戶數(shù)據(jù)傳送和非循環(huán)主主數(shù)據(jù)傳送。 PROFIBUSDP 的基本特點(diǎn)及功能如下； ：用 RS485 雙絞線、雙線電纜或光纜；波特率為 12Mbps。除了周期性用戶數(shù)據(jù)傳輸外，PROFIBUSDP 還提供了診斷和配置功能。（一） 、PROFIBUSDP 的基本功能中央控制器周期地讀取從站的輸入信息并周期地向從站中寫入輸出信息。除周期通信方式外，智能現(xiàn)場(chǎng)設(shè)備也配置非周期通信方式，以進(jìn)行配置、診斷和報(bào)警處理。中央控制器(例如 PLC、PC)等通過串行總線和分散的現(xiàn)場(chǎng)設(shè)備(如 I/O、驅(qū)動(dòng)器、閥門等)進(jìn)行通信。介質(zhì)訪問控制(MAC)規(guī)定了站點(diǎn)數(shù)據(jù)傳輸?shù)姆椒?，它必須確保在任何時(shí)刻只能有一個(gè)站點(diǎn)被允許發(fā)送數(shù)據(jù)。四、PROFIBUS 總線訪問協(xié)議PROFIBUS 的 DP、FMS、PA 采用單一的總線訪問協(xié)議。 (3)光纖傳輸技術(shù)：在電磁干擾很大的場(chǎng)合，可使用光纖導(dǎo)體以增長(zhǎng)高速傳輸?shù)淖畲缶嚯x。在不使用中繼器時(shí)，每段最多有 32 個(gè)站；使用中繼器時(shí)最多可到 126 個(gè)站。(2)PA 的 IECll582 傳輸技術(shù)：IECll582 傳輸技術(shù)能滿足化工和石化工業(yè)的要求，可保證本質(zhì)安全性并使現(xiàn)場(chǎng)設(shè)備通過總線供電。在不使用中繼器時(shí)，每段最多有 32 個(gè)站；使用中繼器時(shí)最多可到 127 個(gè)站。(1)DP 和 FMS 的 RS485 傳輸:RS485 采用屏蔽雙絞銅線電纜，共用一根導(dǎo)線對(duì)。由于從站只需總線協(xié)議的一小部分，所以實(shí)施起來比主站簡(jiǎn)單的多。它們沒有總線訪問權(quán)，僅對(duì)接收到的信息給予確認(rèn)或當(dāng)主站請(qǐng)求時(shí)向主站發(fā)送信息。典型主站為 PLC、PC 等。主站決定總線的數(shù)據(jù)通信，當(dāng)主站得到總線控制權(quán)(令牌)時(shí)，沒有外界請(qǐng)求時(shí)可以向其它站主動(dòng)發(fā)送數(shù)據(jù)，也可以主動(dòng)發(fā)送請(qǐng)求。FMS和 DP 一般可混合使用。用戶接口 應(yīng)用層接口　 應(yīng)用層信息　 規(guī)范底層接口隱去第三 至第七層隱去第三 至第六層數(shù)據(jù)鏈路層 數(shù)據(jù)鏈路層物理層 物理層應(yīng)用層 7表達(dá)層 6會(huì)話層 5傳輸層 4網(wǎng)絡(luò)層 3數(shù)據(jù)鏈路層 2物理層 1應(yīng)用層 總線訪問子層數(shù)據(jù)鏈路層物理層 SIEMENS 數(shù)據(jù)通信技術(shù)一、PROFIBUS 現(xiàn)場(chǎng)總線概述PROFIBUS 根據(jù)應(yīng)用特點(diǎn)分為 PROFIBUSDP，PROFIBUSFMS，PROFIBUSPA 三個(gè)兼容版本。介質(zhì)訪問控制方式采用 CSMA／CD 方式或令牌方式?，F(xiàn)場(chǎng)總線的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)—般采用總線型、樹型。它具有結(jié)構(gòu)簡(jiǎn)單、執(zhí)行協(xié)議直觀、價(jià)格低廉等優(yōu)點(diǎn)，也滿足工業(yè)現(xiàn)場(chǎng)應(yīng)用的性能要求。因此，現(xiàn)場(chǎng)總線的通信模型—般以 ISO／OSI 模型為基礎(chǔ)，為現(xiàn)場(chǎng)的檢測(cè)、控制進(jìn)行適當(dāng)?shù)暮?jiǎn)化和發(fā)展。 現(xiàn)場(chǎng)總線的網(wǎng)絡(luò)與通信基礎(chǔ)一、現(xiàn)場(chǎng)總線的網(wǎng)絡(luò)模型工業(yè)生產(chǎn)現(xiàn)場(chǎng)存在大量的傳感器、控制器、執(zhí)行器等，通常都相當(dāng)零散地分布在一個(gè)很大的范圍之內(nèi)。相反，它使系統(tǒng)功能的維護(hù)和完善更加方便。系統(tǒng)維護(hù)更加方便。系統(tǒng)功能更加完備。采用數(shù)字信號(hào)的網(wǎng)絡(luò)傳輸方式在可靠性上要遠(yuǎn)遠(yuǎn)高于模擬信號(hào)的回路傳輸方式，特別是當(dāng)傳輸距離很遠(yuǎn)時(shí)，這種優(yōu)勢(shì)更為明顯。這使系統(tǒng)的功能劃分清晰明確，實(shí)現(xiàn)上可以獨(dú)立進(jìn)行。現(xiàn)場(chǎng)總線的使用使得各個(gè) PLC 可以集中完成各自模塊的功能，基本處于獨(dú)立的工作狀態(tài)。它的優(yōu)點(diǎn)主要表現(xiàn)在以下幾個(gè)方面：現(xiàn)場(chǎng)布線更加方便，現(xiàn)場(chǎng)布線是控制系統(tǒng)中的重點(diǎn)問題，它決定著系統(tǒng)實(shí)現(xiàn)的進(jìn)度和運(yùn)行的質(zhì)量，采用現(xiàn)場(chǎng)總線的方式使線路的連接變得簡(jiǎn)便可靠，在很大程度上避免由于現(xiàn)場(chǎng)接線錯(cuò)誤產(chǎn)生的問題。通過兩線制實(shí)現(xiàn)供電與通信，可滿足本質(zhì)安全防爆的要求。系統(tǒng)結(jié)構(gòu)的高度分散性 現(xiàn)場(chǎng)總線已經(jīng)構(gòu)成了一種徹底分散的控制系統(tǒng)體系結(jié)構(gòu)，簡(jiǎn)化了系統(tǒng)的結(jié)構(gòu)，提高了可靠性?；タ刹僮餍院突ビ眯? 互可操作性指實(shí)現(xiàn)互連設(shè)備間、系統(tǒng)間的信息傳送與溝通；互用性則意味著不同生產(chǎn)廠家的性能類似的設(shè)備可實(shí)現(xiàn)相互替換。用戶可以按照自己的需要和考慮，把來自不同供應(yīng)商的產(chǎn)品組成大小隨意的系統(tǒng)。 現(xiàn)場(chǎng)總線技術(shù)的特點(diǎn)和優(yōu)點(diǎn)一、特點(diǎn)系統(tǒng)的開放性 開放是指對(duì)相關(guān)標(biāo)準(zhǔn)的一致性、公開性，強(qiáng)調(diào)對(duì)標(biāo)準(zhǔn)的共識(shí)與遵從?，F(xiàn)場(chǎng)總線控制系統(tǒng)由于采用了智能控制設(shè)備，能夠把原來 DCS 系統(tǒng)中處于控制室的控制模塊，各輸入輸出模塊置入控制現(xiàn)場(chǎng)，加上現(xiàn)場(chǎng)設(shè)備具有的通信能力，現(xiàn)場(chǎng)的測(cè)量變送儀表可以與閥門等執(zhí)行機(jī)構(gòu)直接傳送信號(hào)。傳統(tǒng)的模擬控制系統(tǒng)采用一對(duì)—的設(shè)備連線，按控制回路分別進(jìn)行連接。 現(xiàn)場(chǎng)總線技術(shù)現(xiàn)場(chǎng)總線是應(yīng)用在生產(chǎn)現(xiàn)場(chǎng)的測(cè)量控制設(shè)備與主控站之間實(shí)現(xiàn)雙向串行多結(jié)點(diǎn)數(shù)字通信的信息通道，也被稱為開放的、數(shù)字化的、多點(diǎn)通信的底層控制網(wǎng)絡(luò)。同時(shí)電纜接地應(yīng)單獨(dú)接地。如必須用一個(gè)插接件時(shí)，要用備用端子和地線端子把它們隔開，以減少相互干擾。最小距離應(yīng)保持 30cm。? 直流信號(hào)線、交流信號(hào)線和模擬信號(hào)線不能共用一根電纜。若必須采用一個(gè)接線端子板時(shí)，則要用備用點(diǎn)或接地端子將它們相互隔開。? 控制柜內(nèi)引出的屏蔽電纜必須接地。? 直流信號(hào)線、模擬信號(hào)線不能與交流電壓信號(hào)線在同一線槽內(nèi)走線。? 模擬信號(hào)線與開關(guān)量信號(hào)線最好在不同的線槽內(nèi)走線。電纜的敷設(shè)施工包括兩部分，一部分是可編程序控制器本身控制柜內(nèi)的電纜接線；一部分是控制柜與現(xiàn)場(chǎng)設(shè)備之間的電纜連接。防止這種干擾的有效方法，是使信號(hào)線遠(yuǎn)離動(dòng)力線或電網(wǎng)；將動(dòng)力線、控制線和信號(hào)線嚴(yán)格分開，分別布線。電纜的敷設(shè)施工傳輸線之間的相互干擾是數(shù)字調(diào)節(jié)系統(tǒng)中較難解決的問題。電源供電系統(tǒng)一般可按通常的供電系統(tǒng)相同地選擇電源電纜。高速脈沖信號(hào)（如脈