文 小米集团 陈长林 李泽霖
打造具有国际竞争力的制造业，是我国提升综合国力、保障国家安全、建设世界强国的必由之路。推进以智能制造为核心的智能工厂建设是实现这一目标的重点方向，是我国迈进世界强国大门的关键一环。而信息安全是保障智能工厂系统能够顺利运转的根基。
小米作为一家互联网 科技 制造公司，一直走在创新的前列。在小米十周年的演讲中，创始人雷军对小米的过去十年进行了总结和复盘，也对未来十年提出了三个发展策略：重新创业、互联网 + 制造、行稳致远。在“互联网 + 制造”这条路线上，小米经过过去三年的努力，已经建成了百万台级的全自动化智能工厂（即“黑灯”工厂），致力于超高端手机的自动化生产。对于这条自动化水平极高的生产线，信息安全是其重要根基，是保证整个工厂安全、高效、稳定运转的关键一环。小米把信息安全体系建设作为智能工厂稳健运营的基石，在信息安全管理体系建设与实践上也下足了功夫。
小米智能工厂的信息安全管理体系包括三道防线：
第一道防线——安全技术体系，包括设备层、网络层、系统层和应用层。
第二道防线——安全管理体系，包括安全制度与全员安全意识培训。
第三道防线——安全审计，以攻击方蓝军视角对系统进行渗透测试。
第一道防线——安全技术体系
小米智能工厂安全防护体系主要通过应用层、系统层、网络层、设备层 4 个层面组成，通过纵深防御体系，最大程度保障小米智能工厂的安全。
一、设备层防护
智能工厂中，不仅有机器人、工业摄像头、AGV 等工业智能设备，同时还会配备监控摄像头、门禁系统、智能储物柜等常规的 IoT 设备。这些设备在生产之初更多考虑的是设备功能的实现以及设备性能的稳定性，而在安全性的设计考量上往往较为匮乏。
近几年来，行业内智能设备被攻击的案例层出不穷。据各大安全厂商的不完全统计，在所受到的DDoS 攻击中，黑客 *** 纵僵尸网络从而发起的攻击占总数量的一半以上。而互联网中海量缺乏安全性设计的物联网设备就成为这些攻击的“重灾区”。2017 年，由 Mirai 僵尸程序组成的僵尸网络发起的大规模 DDoS 攻击，导致美国、中国、巴西等国家大面积的网络瘫痪。而感染的主要设备有监控摄像头、数字视频录像机及路由器等大量物联网设备。
小米拥有全球最大的消费级物联网，对物联网的安全尤为重视，也为此在 2018 年正式成立了 AIoT安全实验室，实验室的组成成员均在 IoT 安全、网络安全等方面有着丰富的经验和实践。利用这一优势，小米针对智能工厂中的智能设备进行了全面地安全审计，挖掘设备本身存在的潜在安全隐患，并在第一时间联系相应的厂商进行分析、修复和整改。这一举措将从源头上尽可能地消除设备的安全隐患，缩减可能遭受攻击时的攻击面，在设备层面上做到安全性的提升。
二、网络层防护
智能工厂主要由生产网、集成系统网、办公网三大网络组成。
生产网中的设备主要有数控机台、机器人、传感器等；集成系统网中的设备主要有 MES、SAP、MOM 等；办公网中的设备主要为工厂员工办公使用的 PC。这三大网络分别具有不同的特征属性。
生产网是实际生产线所在的网络环境，该网络需要具备极高的稳定性和可靠性，一般会划分为多个产线，不同产线承担不同的生产需求。而由于生产网的极高可靠性要求，一些安全变更（如 *** 作系统补丁、安全策略变更、防护变更等）需要一定周期，不能收到更新时立即进行。所以，对生产网的网络层防护就变得格外重要。有效的网络层防护能够阻挡外部黑客、病毒的攻击，为生产网建立完备的安全屏障。小米在生产网的防护中，采用了单向隔离的安全策略，并对生产网的单向访问策略也做了严格的限制，从网络层面上阻断了可能的攻击路径。同时，在生产网内部，也对高危端口（如 TCP135/139/445/1433/3306/5985/5986 等）进行了禁用，避免病毒利用这些高风险端口在生产网中扩散。
集成系统网中拥有大量工业控制应用系统，这些系统与传统的应用系统类似，通常会开放 Web、远程桌面、SSH 等服务。小米搭建了全套零信任防护体系，对集成系统网中所有服务都实施了访问控制，仅允许授权用户访问，将非法攻击者拒之门外。对所有集成系统中的服务器，小米通过部署自研的HIDS（主机型入侵检测系统），实时监控服务器的安全状况，并对外部攻击进行阻断和拦截。对于系统本身，小米安全团队会对其产品全流程进行安全把控，在研发、测试、上线阶段进行安全评估，及早地发现问题，提升系统整体安全性。
办公网主要是工厂员工日常办公所使用的网络。由于办公网中环境复杂，为了避免对其对核心生产网造成不良影响，办公网与核心生产网完全隔离。而为了保障办公网的安全性，小米在每一名员工的办公 PC 都强制安装了杀毒软件和安全合规检测软件，以保障 PC 的安全性和合规性。为了能够及时发现办公网中的安全隐患和潜在的安全风险，小米在网络出口侧部署了威胁检测系统，实时发现存在隐患和威胁的 PC，并采取相应的安全策略进行紧急处理和防护。
三、系统层防护
生产网中有大量的工控上位机，这些工控机来自多家供应商，存在 *** 作系统不统一、安全防护水平参差不齐的问题。而在工控行业，经常会出现一机中毒、全厂遭殃的情况，给整个生产造成严重的影响。
为了解决这些问题所带来的安全风险，小米针对生产网制作了标准的 *** 作系统镜像，在 *** 作系统镜像中加入了 IP 安全策略、系统补丁、杀毒软件等安全模块，拉齐系统安全基线。工控电脑终端统一加入工厂专用域，便于管理人员进行集中地安全管理和 *** 作审计。
四、应用层防护
在工业网络中，文件传输是常见的一个应用场景。但是，不恰当的文件传输方式极易造成病毒的传播与扩散，对正常生产造成影响。
文件传输的需求主要分为产线内传输、产线间传输和外部交换等。为了满足这一正常业务需求，我们构建了专用文件摆渡服务。
在文件摆渡服务的设计上，主要分为几个部分：文件服务器上部署实施病毒监控服务，保证文件服务器上所有文件的安全性。文件服务器上开启审计策略，对文件交换行为进行记录和审计。向生产网开放 SMB 文件共享接口，并与产线专用域账号打通，用于产线内和产线间的文件传输需求。向办公网开放 Web 文件共享接口，并接入零信任防护系统，用于产线与办公网的文件摆渡。通过统一的文件传输管控，不仅仅解决了业务的使用需求，同时也增强了文件的安全性。
第二道防线——安全管理体系
人员安全意识是安全防护中重要的一环，往往也是安全防护体系中的薄弱环节。近几年，针对企业员工的安全攻击手段层出不穷，从传统的钓鱼邮件、人员渗透到新型的 BadUSB、钓鱼 Wi-Fi 等，都对智能工厂的安全产生巨大的威胁。
小米在员工信息安全意识方面，定期进行钓鱼邮件演练，提升员工对钓鱼邮件的识别能力。定期举办安全意识培训，介绍业内常见的安全攻击和渗透手段，从而提升员工安全意识，降低类似攻击发生的概率。
第三道防线——安全审计
仅从技术层面和人员意识方面进行防护仍然不够，小米蓝军通过模拟真实黑客攻击，对整个安全防护体系进行检验，发现其中的薄弱之处，然后加以修复和整改。
实践是检验真理的唯一标准，在安全防护领域也是如此，一个优秀的安全防护体系必须能够经得起攻击的检验。小米蓝军是一支拥有丰富经验的企业网络攻击团队，通过模拟真实黑客的攻击手法，对整个安全防护体系进行攻击模拟，以评判其在应对攻击时的安全表现。
小米蓝军的渗透测试不仅仅需要对安全方案中提到的四大层面进行安全评估，同时也会结合最新的安全攻击技术，对安全方案未覆盖到的风险点进行挖掘，推动整体安全建设。
除了定期的渗透测试外，小米蓝军还拥有实时漏洞监控与扫描平台，7 24 小时不间断对工厂网络进行安全扫描，及时发现安全问题，规避安全风险。
展 望
李克强总理在考察制造业企业时指出“中国制造 2025 的核心就是实现制造业智能升级”。未来，小米将会紧跟国家《中国制造 2025》的发展方向，将企业的发展与中国制造业的未来绑在一起。当前，我们已经进入了“5G+AIoT”的时代，消费端产品能力的实现对企业的技术创新能力和保障信息安全的能力提出了更为严苛的要求。所以，如果没有安全这一“夯实基础”，就无法搭建起一直追求高精尖的中国制造业这一“上层建筑”。
在小米十周年演讲中，创始人雷军对“互联网 +制造”方向也提出了更高的要求和目标。在智能工厂的第二阶段，希望建成千万台级别的超高端智能手机生产线，该工厂将实现极高的自动化，同时也会具备更为严苛的安全标准以保障生产线的高效运转。未来，小米将会继续深耕智能制造业，努力推动中国制造走在更为安全、先进、稳健的前进道路上，为实现“中国制造 2025”这一伟大的十年计划做出应有的贡献。
（本文刊登于《中国信息安全》杂志2021年第1期）
一、模拟摄像头：该摄像头需要接到一台硬盘录像机上，然后接入网络。硬盘录像机有一个IP地址，你现需要将此硬盘录像机的IP地址通过交换机固定，然后购买花生壳一类的软件绑定此IP，然后在手机上通过此IP地址访问硬盘录像机，获取摄像头画面。二、网络摄像头：直接通过交换机固定此摄像头的IP地址，然后购买花生壳一类的软件绑定此IP，然后在手机上通过此IP地址直接访问摄像头，获取画面。公司简介：瑞诺信息技术有限公司，成立于2008年，是一群射频爱好者组成的电子公司，地点在广东深圳。当初专门从事设计和制造的无线连接解决方案，其中包括紧凑的短距离射频模块，无线智能的数据链路以及家庭自动化和自动抄表解决方案。我们已经成为低功耗ISM波段的产品在国内的领先供应商之一。产品的特点在于：高品质，高性价比和易于集成。产品频段主要集中在国内外免许可的ISM频段：169/433/470/868/915 MHz和24G）。 我们提供嵌入式无线收发器，嵌入式无线模块，工业无线调制解调器，无线计量适配器，USF射频棒，智能数据采集系统、智能家居云数据的传输系统，天线和定制的电子解决方案。
公司理念
科技现代的社会，信息的大量交互传输，需要通过无线方式的传输，人类对生活质量的要求越来越来高，人们身边的产品和服务都慢慢变得越来越智能，越来越环保，公司基于提升人类生活质量，构建和谐环境，实现智能生活、智能科技、智能人生的目标奋斗、努力。
RF标准
蓝牙20 /40（低能），ZigBee / IEEE802154，ZigBee智能能源，无线M-Bus，FCC，GSM / GPRS。
应用领域
瑞恩无线射频产品被用于各种工控业，例如油田、矿井数据传输，无线智能计量，智能家居，传感器网络，环境监测，智能访问控制，医疗保健以及家庭/楼宇自动化等领域。
SPI模块系列
一、高抗干扰性无线SPI接口模块RON1363（关键字:SI4463模块，微功耗模块，3KM远距离模块、无线模块，无线组网模块）
产品介绍：基于SILABS的SI4463开发的SPI接口模块，具有高功率，高灵敏度的RF模块，模块带有2mm标准接口，对于嵌入式设备和二次开发非常方便，模块是贴片式邮票孔，方便客户贴片和测试评估。
产品特点：
发射功率：100mW（20dbm）；
接收灵敏度：-124dbm（500bps/1875K/Dev）；
发射电流：90-120mA；
接收电流：14mA，
自带AFC；
64byte FIFO TXRX；
调制模式：ASK/FSK/GFSK
国内ISM频段免费使用
产品尺寸：1616CM
信道抑制：58dbm
SPI接口
空旷地传输距离：3200米（12K速率，5k Dev 15k BW）
应用市场：
1) 远程遥控和远程数据采集系统
2) 无线抄表（水表、电表、气表）
3) 无线点菜机
4) 工业数据采集、传输、智能控制系统
5) 无线报警系统
6) 智能家具系统
7) 婴儿监控系统/医院寻呼系统
8) 油田、矿区、工地、工厂等原有485/232接口系统
9) 无线小数据传输系统
二、高抗干扰性无线SPI接口模块RON1338（关键字:SI4438模块，微功耗模块，24KM远距离模块、无线模块，无线组网模块）
产品介绍：基于SILABS的SI4438开发的SPI接口模块，具有高功率，高灵敏度的RF模块，模块带有2mm标准接口，对于嵌入式设备和二次开发非常方便，模块是贴片式邮票孔，方便客户贴片和测试评估。
产品特点：
发射功率：100mW（20dbm）；
接收灵敏度：-120dbm（500bps/1875K/Dev）；
发射电流：90-115mA；
接收电流：13mA，
自带AFC；
64byte FIFO TXRX；
调制模式：ASK/FSK/GFSK
国内ISM频段免费使用
产品尺寸：1414CM
信道抑制：56dbm
SPI接口
空旷地传输距离：2400米（12K速率，5k Dev 15k BW）
应用市场：
1) 远程遥控和远程数据采集系统
2) 无线抄表（水表、电表、气表）
3) 无线点菜机
4) 工业数据采集、传输、智能控制系统
5) 无线报警系统
6) 智能家具系统
7) 婴儿监控系统/医院寻呼系统
8) 油田、矿区、工地、工厂等原有485/232接口系统
9) 无线小数据传输系统
三、 高抗干扰性无线SPI接口模块RON1343（关键字:AX5043SPI接口模块，微功耗模块，5KM远距离模块、无线模块，无线组网模块）
产品介绍：基于AXSEM的AX5043开发的SPI接口模块，具有高灵敏度、低功耗的RF模块，模块带有127mm标准接口，
工作频率：433-510MHz（70-1050、868、915MHz可以定制）
发射功率：50mW（17dbm）；
接收灵敏度：-132dbm（600bps/05K/Dev，FEC打开）；
发射电流：51-54mA；
接收电流：72mA，
自带AFC；
256byte FIFO TXRX；
调制模式：ASK/FSK/GFSK
国内ISM频段免费使用
产品尺寸：15515CM
信道抑制：54dbm
SPI接口
空旷地传输距离：5000米（12K速率，10k Dev 22k BW）
应用市场：
1) 远程遥控和远程数据采集系统
2) 无线抄表（水表、电表、气表）
3) 无线点菜机
4) 工业数据采集、传输、智能控制系统
5) 无线报警系统
6) 智能家具系统
7) 婴儿监控系统/医院寻呼系统
8) 油田、矿区、工地、工厂等原有485/232接口系统
9) 无线小数据传输系统并不是，最佳的例子就是洋山港的四期码头，应用物联网、大数据、人工智能等的洋山港四期是24小时的全无人码头，包括自动装卸、运输
现在的智能手环、手表也是另外一个例子，最初只是在普通电子表里加传感器把佩戴者的心跳、体温等等身体数据传输到手机、电脑里方便医护人员或者家属监控病人、老人的身体情况
我自己也做过相关的东西，比如我之前给家里做了一个感应灯，在晚上、有人靠近的时候会亮起，安装在卧室去卫生间的路上，灯带选的是弱光灯带，晚上起夜的时候不会有开灯太刺眼，不开看不清路的情况
物联网单独拿出来确实没什么可说的，但是它的特点就是可以和现在的其他技术进行结合提示，如大数据、云计算：通过大量的布置传感器搜集气象数据，使天气预报跟精确
结合汽车驾驶员可以跟精确的掌握车辆信息，不需要根据经验去判断胎压、车况，直接的数字化显示，进一步则是自动驾驶
结合机器人搜救人员可以精确的找到需要救助的人，超高压输电线的工人可以用特种无人机检修高压线路
物联网真正的大发展是在5G加IPv6的大规模使用之后，现在最多是局域物联网您好，网关是物联网和工控系统的核心组件。网关起的是承上启下的作用。上即上位机，电脑/触屏监控系统、MES、数据应用软件、数据库这些;下即下位机，包括PLC、传感器、嵌入式芯片等。5G工业网关的作用就是将这些不同的协议进行转换，然后通过无线网络将下位机采集到的数据进行传输。5G工业网关依靠5G的高速率、低延迟，可以以极低的延迟将数据传输到后端，这使得5G工业网关在智慧交通、智慧医疗、无人汽车等行业起到巨大的作用，在5G的环境下，5G工业网关应用场景和领域也越来越广泛，5G工业网关的使用将会是将来物联网行业的一大趋势。谢谢。工业控制领域在朝着智能互联的方向发展也随之出现了三大难题：
1 设备位置分布较分散，现场的设备运行状况难以监管。
2 不同设备间的协议，接口，品牌不同，难以对接。
3原有网络结构简单，往往没有固定公网IP，大型设备的故障诊断需厂家专业售后人员没有条件远程处理。
针对于以上问题，华辰智通工控盒子提供了简便有效灵活的解决方案。
PLC工控行业的远程控制实现原理:
通过现场设备及PLC通过以太网或RS485/RS232/RS422串口方式接入HINET智能网关中(或者其他品牌网关)，HINET智能网关依靠自身协议解析以及数据传输功能将解析好的数据通过4G或者有线网络传输至互联网，进而传输到服务器中，最后通过服务器中部署的数据平台系统，将设备监控监控数据、业务数据以及其他数据发布到监控大屏及各个监控端。通过PLC云组态平台可实现对设备的远程监控和控制。
华辰智通实现方法：
华辰智通工业智能网关产品特点：
1、华辰智通工业plc 边缘计算网关 具有强大的边缘计算能力，可以实现数据的本地处理，对数据进行本地预分析，故障实时预警，与远程数据实时交互。
2、华辰智通工业plc网关提供4G、广域网、局域网、WiFi等数据传输方式，集多种传输模式于一体。
3、PLC程序可通过华辰智通联网网关实现进行远程上下载，减少设备维护成本，增加效率。
4、支持工控行业主流接口，如RS232、RS485、RS422、以太网口等接口，具有强大的接入、处理能力。
5、华辰智通物联网网关既可以实现远程与远程组态，还具备短信接收功能，既可以随时查询PLC实时模拟量、开关量等信息，还可通过短信命令方式实现PLC的远程配置修改和远程参数配置。
HINET工业智能网关是一个集成多种互联网通讯技术，面向工业领域的设备通讯终端产品。支持4G、WIFI、以太网等多种互联网接入方式。
1、 实现工业现场设备远程控制；
2、 实现设备固件远程升级，程序上下载，可灵活接入各种设备管理平台；
3、 实现工业现场触摸屏远程控制和组态画面远程映射；
4、 可同时与多台PLC或触摸屏远程通讯；
5、实现西门子、三菱、欧姆龙、施耐德、台达、汇川、和利时、松下、永宏、海为和 MODBUS 系列等PLC等主流协议硬件解析；
6、 实现 PLC远程监控 ，PLC远程编程，PLC远程调试，PLC远程上下载，PLC远程控制，PLC数据采集，PLC远程通讯；
湖南华辰智通 科技 有限公司自主HINET 工业智能网关 产品为工业企业提供从设备联网、PLC远程监控、PLC远程控制、PLC远程调试、PLC远程编程、PLC数据采集整体解决方案。思普云工业互联网大数据云平台专注于工业设备远程运维与管理，已在全国数万家企业应用。
欢迎分享，转载请注明来源：内存溢出
微信扫一扫
支付宝扫一扫
评论列表（0条）