【干货分享】和利时构建自主可控、安全可信PLC完整产品线

工控安全概述

从传统的角度考虑，工业控制系统的安全主要是指功能安全。当系统满足以下条件时就认为是功能安全的——即任一随机故障、系统故障或共因失效都不会导致安全系统的故障，从而引起人员的伤害或死亡、环境的破坏、设备财产的损失。也就是装置或控制系统的安全功能无论在正常情况或者有故障存在的情况下都应该保证正确实施。

而随着工业控制网络越来越多地采用开放、互联技术，使得来自工控系统外部的安全攻击成为可能，全球范围内工业信息安全形势日趋严峻，暴露在互联网上的工控系统及设备不断增多，工控系统安全高危漏洞不断涌现，重大工控网络安全事件更是层出不穷。

工控安全现状

在工业控制系统中，可编程逻辑控制器（PLC）作为工业自动化支柱之一，既是核心中枢，同时也是物理域和信息域交互的核心节点。PLC广泛应用于关乎工业生产运行、国家经济安全和人民生命财产安全的工业、能源、交通、水利、市政以及军用装备和设施等关键基础设施中，起到核心控制的作用。

工业控制系统的安全一直是行业主管部门、厂商和用户重点关注的问题。2017 年 6 月，PLC 作为网络关键设备被纳入工信部等四部委联合制定的《网络关键设备和网络安全专用产品目录（第一批）》，从而加强对PLC产品的安全管理。近年来，国家自主创新战略的推进及国内 PLC市场规模的迅猛发展， 国内一些企业采用自主创新的思路，研发了安全可靠的系列 PLC 产品，并逐步进入该领域。

和利时坚持自主创新，在PLC、DCS等产品上能够提供从设计、开发到工程实施的全方位的全生命周期保障，目前已具备包括信息安全、功能安全在内的完整安全产品族，为用户提供一体化的整体解决方案，并通过丰富的产品类型，打通上下游的信息安全技术和产品壁垒，让安全一通到底，实现网络、控制、安全的统一。

目前，和利时已建立起能够满足自主可控、安全可信的完整PLC产品线，以下对和利时的三款安全PLC做一个简要介绍。

安全型PLC产品介绍

LKS安全型PLC产品是和利时自主研发的中国第一套通过SIL2认证的双机架冗余大型安全PLC，通过了德国南德TÜV的SIL2认证和CE认证，可广泛应用于轨道交通、石油化工、精细化工、油气长输管道传输、医院安全设备、轨道车辆维修车站及企业 ESD 系统。控制器与 IO 模块等组成控制系统，完成数据采集、逻辑运算、动作输出、人机交互等功能，实现安全保护功能。



LKS 产品系统特点

LKS系统具有如下特点，可确保系统的安全性、可用性及易用性，满足不同用户需求，具有很高的性价比：

安全性：采用带有诊断的回路设计（1oo1D），安全回路可用性可达99.99%。

可靠性：采用双机架双CPU冗余结构，包括背板冗余、电源冗余、CPU冗余、网络冗余。

高效性：冗余切换时间不大于90ms，任务调度最小时间片不大于100 μs，系统回路响应时间不大于50 ms。

容量大：单控制站可添加124个IO从站。系统支持的IO容量大于10000点。

便利性：硬件模块支持热插拔，不影响设备停机，方便使用；软件具有日志读取工具，可记录日志信息超过10000条。

LKS系统硬件组成及系统结构

LKS安全型控制系统采用双背板冗余结构，两个背板各安装相同配置的控制器，分别为A系统和B系统，如图1所示，每套控制器由以下五部分组成：



图1 LKS 控制单元组成示意图

LK921S安全型 24V 电源适配模块

双路 24V 直流输入，经冗余处理后转为单路 24V 直流输出，为 4 槽背板提供 24VDC 电源，给背板上的其它模块供电。

LK220S安全型主控模块

主控模块 LK220S 支持单机和冗余配置。模块内置两个 10/100 Mbps 以太网接口，可以下装用户程序、升级控制器，也可以作为 Modbus TCP 的主/从站与其它设备通讯。在冗余配置中，两套控制器互为主从关系，当主机发生故障时，自动切换到从机。

LK240S安全型冗余通讯模块

用于实现 A、B 系冗余通信，通过同步光纤连接。

LK249S安全型主站通信模块

LK249S 模块内置两个 DB9 通信接口，通过 DP 线缆连接到扩展背板 LK117/LK118，建立与 IO 模块的通信连接。LK249S 模块通过背板总线与主控模块进行数据交互。

LK130 4 槽本地背板模块

安装 LK220S、LK921S、LK240S 和 LK249S，支持高速本地背板总线，进行各模块间的数据交互。

以太网接口（Ethernet）可以将主控模块连接到工业以太网中，基于标准 TCP/IP 协议或其他协议与外部设备进行通讯，为用户提供了一个开放的分布式自动化网络平台。LKS系统网络连接如图2所示。



图2  LKS 系统网络连接

主控单元主要完成处理程序、数据存储的工作，无法直接连接现场的开关信号及仪表，需要扩展背板和扩展模块来接入现场信号。扩展背板有LK117（11槽）和LK118（5槽）扩展背板。目前可安装在扩展背板的扩展模块共有4个型号：LK610S安全型8通道数字量输入模块、LK710S安全型8通道数字量输出模块、LK411S安全型8通道模拟量输入模块以及LK232S总线重复器模块。



组态软件Safety FA-AutoThink

LKS系统组态软件为Safety FA-AutoThink，是和利时专为安全型控制系统自主研发的安全组态软件。该软件完成对硬件模块的配置和功能组态，可进行应用功能控制逻辑组态设计，遵循IEC61131-3标准，支持LD和FBD两种组态语言，通过反编译方法确保用户逻辑和下装程序一致，保证系统安全性。

自主可控PLC产品介绍

LKC系列自主可控PLC基于和利时多年PLC产品开发技术，充分吸取国际工业电子技术和工业控制技术的最新成果，遵循国际先进工业标准、安全设计标准、可靠性设计标准而开发，综合体现了离散控制和连续控制自动化的要求，在装备自动化和过程自动化等多方面都可满足应用需求。



LKC系统产品特点

采用完全自主化元器件

自主可控PLC系统的产品硬件设计采用完全国产龙芯系列处理器芯片，并对配套的外围芯片DDR、FLASH、电源、收发器、高速连接器、辅助芯片等全部采用完全国产品牌元件。元器件国产化率在数量和种类方面达到95%以上。系统设计搭载国产实时操作系统，并且对PLC控制实时调度软件完全自主可控，编程软件完全自主掌控。

高性能、灵活配置

LKC系列PLC具有可靠性高、功能丰富、性能优异、集成度高、扩展性好、体积小巧、易于使用、完全自主可控等特点。可为不同工业领域提供可靠稳定、安全可控的解决方案。

高可靠性冗余设计

LKC系列PLC产品充分融合了离散控制和DCS系统的可靠性、冗余设计等优点，既体现了PLC标准化、集成化、开放化、离散控制速度快、成本相对较低的特点，又综合了强大的模拟量控制功能、冗余及热插拔特点，强调高可靠、不停机的使用要求，提高了系统的可用性。

满足可靠性测试

LKC产品已通过多种可靠性测试，电磁兼容EMC、环境适用性、振动/冲击、运输、腐蚀等多种可靠性测试，具备满足防潮湿、防腐蚀、防霉菌等恶劣环境使用要求。

LKC系统硬件组成及系统结构

LKC 硬件系统由 CPU 模块、I/O 模块、通讯模块、通讯适配模块、扩展通信模块、特殊功能模块和背板组成。用户可根据不同的应用场合、不同的需求，灵活地进行自由组合，以满足自动控制的广泛应用。

LKC 系统支持单机应用和双背板冗余系统配置，支持在两个背板上各安装相同配置的控制器，分别为 A 系统和 B 系统。每套控制器由以下几部分组成，如图3所示：



图3 LKC 控制单元组成示意图

LK921C 24VDC 电源适配模块

LK224 主控模块

LK244C 冗余通信模块

LK249C Profibus-DP 主站通信模块

LK241C 工业以太网通信模块

LK141 空槽位模块

LK131C 6槽背板模块

LKC系列是和利时LK PLC家族中的新成员，可与其他系列产品（LK210/LK220/LKS）高效协同，满足不同场景需求。如图4所示。



图4 LK系列PLC系统网络拓扑



组态软件AutoThink

LKC PLC编程组态软件AutoThink和利时自主研发，支持跨平台运行，可运行在Windows 、Linux、中标麒麟等操作系统。该软件具有如下特点：

遵循 IEC61131-3 PLC编程语言国际标准

支持多任务组态

支持增量下装

便利的调试功能

丰富的功能库

自主可信PLC产品介绍

和利时自主可信PLC产品基于可信计算3.0技术，在可信策略的指导下，针对工业控制中的实时控制行为和业务流程作业，实现贯穿设计、运行、服务全生命周期的防御、检测、响应、预测的主动安全防御循环。双体系架构PLC具有计算部件和防护部件两部分，其中防护部件是一个逻辑上可以独立的可信子系统，通过这个可信子系统，以主动的方式向宿主系统提供可信支撑功能。可信计算3.0其支持访问控制机制，基于TCM为系统提供密码功能；基于TPCM和可信链，防护部件提供静态和动态两种度量方式，为PLC系统提供全生命周期的可信度量，提供防篡改等功能。



自主可信PLC产品特点

关键技术点

可信计算技术基于国产可信芯片实现的嵌入式控制器的可信启动和动态可信度量

加解密技术支持满足高实时性需求的对称加密和非对称加密支持

访问控制实现对协议的深度解析和策略白名单配置

身份验证技术具备在工控系统引入完整的数字证书PKI机制

入侵检测技术实现对非法的数据及协议报文进行判断和报警

自主可信PLC核心防护能力

可信计算能力：双体系并行可信计算3.0架构，独立安全核无扰保护，启动态和运行态全生命周期实时防护

通信加解密能力：支持国密SM2\SM4的高实时可靠安全通信

双因子身份认证：支持基于指纹或数字证书身份盾的权限控制

数字签名：支持PKI体系和基于国密的数字签名和验签，支持对固件、接入设备的密码指纹认证

通信健壮性：抗网络攻击，通过Achilles II级国际认证

自主可信国产化能力

整套系统硬件国产化率达到95%以上

控制系统软件国产化程度100%（含嵌入式OS）

操作系统及组态软件国产化程度100%

密码算法国产化程度100%

自主可信PLC可信系统硬件架构



如上图所示，在2主控制器上增加可信组件硬件及软件，软硬件协同完成自主可信PLC系统全生命周期的可信度量功能。



自主可信PLC控制器的双体系可信结构，各部分功能模块如下：

TCM: 为可信计算提供国密运算支持。

TPCM：实现对Bootloader和OS内核的可信度量，控制嵌入式设备硬件启动引导，控制安全核操作系统启动引导。

TSB：在控制器运行状态下对业务核功能进行可信度量，并将度量结果以报警方式上传至管理平台。

双系统架构中双实时操作系统作为后台，由可信密码模块、可信平台控制模块、可信主板、可信软件基构成可信子系统。可信子系统和宿主系统并行运行，通过可信子系统支撑宿主系统的可信运行。可信子系统具有主动免疫功能，系统运行时的主动免疫实现由控制机制、度量机制、判定机制和可信基准库联合组成，控制机制实现与系统监控点和安全控制点的对接，度量机制对系统的行为实施度量，判定机制根据判定策略决定对系统行为的授权、拒绝或其他处理方式，每个机制都有自己的策略库，而可信基准库则为系统安全机制和策略提供可信基准值。



自主可信PLC优势

国内首款自主可信PLC控制系统

选用国产加解密芯片作为硬件基础，采用轻量级双体系可信计算技术，是国内首款主动防护可信PLC产品，填补了可信计算在工业嵌入式可编程控制器领域的技术空白

实现了工业控制系统由内向外的主动防护，保证了信息安全关键技术和算法的自主可控，并且是首个在通信防护能力取得Achilles II级认证的国产PLC系统，整体信息安全防护能力达到国际领先水平，目前已成功应用电力、化工、热网、隧道管廊等多个行业。

虽然国产PLC相对国外起步较晚，经过多年的发展和积累，国产PLC产品已经逐步被国内市场认可。自创立以来，和利时一直坚持自主研发可靠、先进、易用的技术和产品，建立起了完整的PLC产品线。在已取得的成绩基础上，和利时将继续在产品上下功夫，发挥本土企业优势，发展更多更好的自主、可信、安全的PLC产品。