石油石化工控安全

概述

石油石化行业是国民经济的重要支柱，也是关键信息基础设施的重点保护领域。该行业的工控系统覆盖从上游勘探开发、中游炼油化工到下游销售终端的全产业链，具有连续生产、高温高压、易燃易爆等鲜明特点。一旦工控系统遭到攻击或出现故障，不仅可能导致生产中断和经济损失，还可能引发安全事故和环境污染事件。

石油石化行业的工控系统类型多样，核心系统包括炼化装置的分布式控制系统（DCS）、油气田和管网的SCADA系统、油气储运监控系统以及加油加气站的管控系统。这些系统采用Modbus、OPC DA、HART等多种工业通信协议，设备品牌和协议种类繁多，增加了安全防护的复杂性。

行业特点与安全挑战

石油石化行业的工控安全面临多重挑战。连续生产特性决定了安全措施不能中断生产运行，安全设备的部署和维护需要在生产不停机的前提下进行。高温高压和易燃易爆的生产环境对安全设备的可靠性提出了极高要求。

DCS系统是炼化装置的核心控制系统，通常使用Windows操作系统，运行周期长达十到二十年，补丁更新困难。操作员站和工程师站长期不升级，存在大量已知漏洞。OPC DA基于DCOM技术，配置复杂且安全机制薄弱，是DCS系统与上层信息系统之间的重要数据通道，也是常见的安全薄弱环节。

油气管网的SCADA系统分布范围广，通信线路穿越无人区域，面临物理安全和通信安全双重风险。远程终端单元（RTU）和PLC设备分散部署，现场安全管理难度大。

DCS系统安全防护

炼化装置DCS系统的安全防护应遵循分层分区原则。典型DCS架构分为操作网（操作层）和控制网（控制层），操作网连接操作员站、工程师站和历史数据库，控制网连接DCS控制器和I/O模块。

在操作网与控制网之间部署工控防火墙，通过深度包检测实现Modbus TCP、OPC等协议的细粒度访问控制，仅允许合法的控制指令通过。工程师站是DCS系统中最容易受到攻击的环节，应实施外设管控、进程白名单和移动存储介质管理，所有程序变更必须经过审批流程。

OPC通信是DCS与MES等上层系统之间的数据桥梁。在OPC服务器前置工控防火墙，限制可访问的OPC标签组和操作权限。对于仍使用OPC DA的系统，应规划向OPC UA迁移的升级路径。

油气储运安全防护

油气储运系统包括原油储罐区、成品油罐区、长输管道和油码头等设施。SCADA系统负责对储罐液位、温度、压力、阀门状态等参数进行实时监控和控制。

储罐区的安全防护重点包括边界隔离、入侵检测和安全审计。在SCADA服务器与上位管理系统之间部署防火墙，限制外部访问。罐区的视频监控系统应与工控网络物理隔离，防止视频系统成为攻击跳板。

长输管道SCADA系统的安全防护需要考虑广域通信安全。站场与调控中心之间的通信通道应采用加密传输，站场内工控网络与办公网络严格隔离。RTU和PLC设备的管理口应关闭或通过访问控制列表限制访问源。

加油加气站安全防护

加油加气站数量众多、分布广泛，是石油石化行业安全防护的”最后一公里”。加油站的管控系统负责加油机控制、油罐监测、销售管理和视频监控等功能。

加油加气站安全防护重点包括：管控机与站级管理系统之间的通信安全管控，防止未授权的远程控制；加油机控制协议（如IC卡协议）的访问控制，防范加油数据和金额篡改；视频监控系统与工控网络的隔离，避免视频系统被利用作为攻击跳板；支付终端的安全管理，防止支付数据泄露。

合规要求

石油石化行业工控系统需按照等保2.0要求进行定级和建设。大型炼化企业的DCS系统和长输管网的SCADA系统通常定级为第三级，加油加气站的管控系统通常定级为第二级。同时，被认定为关键信息基础设施的系统还需满足关基保护条例的额外要求，包括年度安全风险评估、应急演练和供应链安全管理等。

常见问题