CN111316177A - 用于保护泵总成不受网络攻击的方法和装置 - Google Patents

Abstract

本发明涉及一种用于在网络攻击时保护泵总成的方法，该泵总成包括经转速调节的流体输送装置（2）、特别是离心泵、驱动器和控制机构。在所述方法中，首先检测涉及流体输送装置（2）的转速和/或转速调节的信号。然后测评信号，以便探测泵总成的故意引起的违规的运行（网络攻击）。在此将至少一个额定参量与至少一个从所分析的信号推导出的实际参量相比较。紧接着，单元（9）将信号传达给泵总成的部件，以便引起流体输送装置（2）的合规的运行以及如下一种状态，在该状态下，流体输送装置（2）被保护免受当前的和/或进一步的网络攻击。

Description

用于保护泵总成不受网络攻击的方法和装置

技术领域

本发明涉及用于保护泵总成、特别是离心泵总成不受网络攻击的一种方法和一种装置。

背景技术

有针对性地影响或破坏离心泵是网络攻击的一种手段。网络攻击涉及有针对性地从外部攻击重要的计算机网络的特定基础设施。这种计算机网络也越来越多地用于控制设施。

包括泵、马达、控制电子器件和需要时调节阀的离心泵和特别是离心泵总成，在生产设施中起着重要作用。离心泵大多通过经调节的或未经调节的电动机驱动。

若黑客借助于网络攻击来攻击工业设施，那么经常是这样的情况，即，直接中断供电。结果就是停止生产。对于比普通的关断更具区别地起作用的攻击，则需要更为复杂的做法。如果针对具体的过程，则为此需要准确了解其结构和调节。这使得很难攻击具体的过程。不过所有带有流体的过程都具有或多或少标准化构造式样的导流装置，所述导流装置能比整个过程在宽度上更易于识别地且更为结构化地遭受攻击。

例如可以通过网络攻击操纵离心泵的转速。

通过这种操纵可以使离心泵运行进入引起高昂的附加运行成本的不利的效率范围。也可以考虑部分或完全破坏离心泵的驱动器或离心泵本身或其它的设施部件。

泵精准地设计和配置用于具体使用在一种设施中。一些泵甚至涉及尺寸定制的结构，因而在受损后可能要经过数周或数月才备好备件或备用泵。在最糟糕的情况下，所述设施在那之前一直停机。因此，通过对导流装置的这种攻击可能产生很长时间的停止生产。

在最糟糕的情况下，可以通过这种操纵甚至引起爆炸。在化工设施的情况下，结果则是致命的。在输油或输气设施中，则可能给环境带来广泛深远的后果。

在离心泵中，转速的经控制的调控称为转速调节。这种调节用于使泵转速能量有效地与运行所需的值（功率数据）相匹配。借助于变频器的转速调节在可变的输送流量要求下是用于匹配泵功率的最为有效的办法。

经转速调节的泵仅需要其针对特定任务所需量的能量。与其它调节办法相比，经频率调节的转速调节提供最高的系统效率并且因此提供针对特定目标的最为有效的能量利用。

经转速调节的泵接替了固定转速泵针对最大的运行点的普遍的过程，所述固定转速泵的多余的功率通过配件节流。这个调节配件针对很小的变化并且为了过程调节而进一步存在，即使这由于泵的转速调节不是必需的。

利用所说明的变频器通过改变用于例如所使用的三相异步电动机的频率和电压来调节离心泵的转速。这个办法以较小的耗费和高的效率提供了最优的收益。变频器根据预定的模式这样来转换电源的电压和频率，使马达能在不同的转速下运行。在这种频率调节中可能出现下列问题：

- 马达中的噪声，所述噪声有时作为干扰噪声传输到系统中，

- 在变频器到马达的输出端上的高电压峰值。

在许多工业领域中使用所谓的工控系统（ICS；德语：工业控制系统、自动化系统）来测量、控制和调节过程，例如使过程自动化以及来监控大型的系统。这些系统经常使用在制造业中。通过这些系统可以例如影响泵的转速或调节流动的配件的位置。

ICS在过去与其它IT系统和网络物理断开并且因此被保护免受外部影响。因此ICS的IT安全性是次要的。

随着来自办公环境的IT系统的引入以及ICS不断网络化，这些系统如今承受和来自传统企业IT的系统类似的威胁。

视攻击者的目标而定，攻击者的做法会有所不同。在可以通过因特网直接访问的系统中，针对性地发起对系统的攻击。因此可以直接利用被攻击系统的漏洞。这些漏洞必要时可能会影响运行系统或服务器应用。

在许多近几年来变得已知的攻击中，所谓的鱼叉式网络钓鱼攻击用作进入企业的入口。以这种方式将一种“桥头堡”应用对准企业中的计算机。从该桥头堡应用起侦察网络并且识别其它的系统。一旦攻击者到达真正的目标系统，他们就会从那里提取所寻找的信息并进行操纵。当攻击者已经实现其目标时，他会试图掩盖自己的踪迹并保持不被发现。

其它攻击则通过经由移动的数据存储器的传播针对封闭系统，所述移动的数据存储器被不经意间就连接到封闭系统上。例行程序自己通过读出该移动的数据存储器安装。

在EP 2 279 465 B1中说明了一种用于工控系统的网络安全管理的用计算机实施的方法。在此提供一种集中式系统安全管理器程序模块。这个系统安全管理器程序模块能通过处理装置引入。所述集中式系统安全管理器程序模块集成到监控、控制和数据采集单元中的一个集成的指令和控制用户界面中。

在EP 2 500 579 A1中说明了一种用于监控由电动机驱动的离心泵的方法。已经阐明，所述电动机的功率消耗和负载电流对转矩形成起决定性作用。因为功率消耗或负载电流的值大多总归在马达控制设施中存在，因此不需要额外的传感装置来监控离心泵。

在EP 2 433 010 B1中说明了用于确定作业机械的运行点的方法和装置。由作业机械消耗的功率或其输送量在此表征运行点。在所述方法中，通过传感器采集作业机械的与运行点相关的测量参量。测量值在运行期间被存储和测评。

发明内容

本发明的任务在于，提供一种方法和一种装置，通过它们能有效地防止对包括流体输送装置、特别是离心泵、马达、控制电子器件和需要时调节阀的上述泵总成、特别是离心泵总成的网络攻击。在此，泵总成本身的部件以及所有在设施中使用的部件均应可靠地得到保护，因而防止了设施的停机。所述方法或所述装置应当简单地施行到设施中，因而装备或加装与针对制造商和运营商的尽可能小的成本耗费相关联。

根据本发明，该任务通过一种带有权利要求1的特征的用于在网络攻击时保护泵总成的方法和一种带有权利要求12的特征的用于执行所述方法的单元解决。优选的变型方案由从属权利要求、说明书和附图可知。

因此，一方面建议了一种用于在网络攻击时保护泵总成的方法，该泵总成包括经转速调节的流体输送装置、特别是离心泵、驱动器和控制机构。根据本发明，首先检测至少一个第一信号，该至少一个第一信号涉及流体输送装置的转速和/或转速调节。对第一信号的检测可选也能借助于传感器完成。

所述至少一个第一信号被传送给一个单元或被一个单元检测并且在那里加以测评。在所述单元中，在测评的范畴内将至少一个额定参量和至少一个从第一信号推导出的实际参量相互比较。如果出现了巨大的偏差或者超过或低于预定的极限值，那么所述单元可以借助于测评查明，针对泵总成、例如针对流体输送装置的驱动器或针对其它与这个流体输送装置处于连接的部件的网络攻击是否已经发生。

在所述单元在这个测评的过程中查明了泵总成、特别是驱动器、控制机构和/或流体输送装置的故意引起的违规的运行的情况下，所述单元通过输出至少一个第二信号做出反应并且由此将泵总成带入安全状态，通过所述安全状态有效地阻挡当前的和/或将来的网络攻击。同时作为对至少一个第二信号的反应，通过相应地调整流体输送装置的和/或控制机构的和/或驱动器的部件使流体输送装置转入合规的运行。

所述单元优选分析经转速调节的流体输送装置或控制机构获得的信号。下列现象尤其可以表明网络攻击：

- 系统性地接近转速极限，

- 快速的启动或停止周期，

- 升高或降低转速所用的快速的斜坡，

- 激发振动，

- 在操控中相比于通常行为的异常。

所述单元在对相应的输入数据分析之后将信号发送给泵总成的部件以引起免受网络攻击的安全状态。根据本发明的方法在此既适合阻止针对中央网络的网络攻击，也适合阻止针对泵总成的各个部件的网络攻击。

除了控制电子器件外，属于根据本发明的泵总成的控制机构的还有至少一个调节部件，例如调节阀。

概念“网络攻击”在当前指的是每一次从外部故意强迫的违规运行。

在本发明的一个特别有利的变型方案中，所述单元具有监控构件组。所述监控构件组可以具有测评单元。该测评单元本身可以与存储器连接。此外，监控构件组优选包括输入或输出单元。

在本发明的一种有利的变型方案中，所述监控构件组与马达构件组连接。监控构件组和马达构件组可以分散地完全与过程控制系统或网络分离或者在一种替代的变型方案中也是过程控制系统或网络的一部分。在此重要的是，不存在联网，可能时甚至存在严格的分离，因而监控构件组在一定程度上可以完全独立地监控泵总成，必要时能导入安全的状态并且能发出相应的警报。

马达控制器优选与马达构件组、监控构件组的测评单元和驱动器连接，其中，驱动器优选构造成电动机。

为了保护泵总成或整个设施，由测评、控制或调节单元这样来改变泵总成中的运行参数，使得流体输送装置的驱动器进入一种稳定的状态并且得到有效的保护。

必要时使用一种迭代的方法，在该迭代的方法中一次或多次重复各个步骤或步骤顺序或整个方法。

通过分析运行参数来探测可能的网络攻击。测量值为此与储存在马达控制器中的运行状态模式的数量相比较。如果在泵总成中可以识别到一个没有储存的运行状态，那么自动导入紧急状态。驱动器或流体输送装置或整个泵总成然后优选与网络断开（通过所述网络进行网络攻击），因而无法进行进一步的网络攻击。由此同样可以避免因意外的操作误差引起的不正确使用。

在一种实施方式中规定，驱动器是电动机并且流体输送装置的转速调节借助于与该驱动器连接的变频器完成。至少一个第一信号在这种情况下有利地涉及变频器的一种状态或一个运行参数。

在本发明的一种变型方案中，单元涉及非中心的控制和/或调节装置。所述单元可以直接安装在流体输送装置、控制机构或驱动器上或中。通过这个非中心的单元即使在整个过程控制系统或网络已经通过网络攻击感染时也能保护免受网络攻击。独立的非中心的单元可以检测驱动器的或流体输送装置的不利的运行状态并且因此探测网络攻击。此外，这个非中心的单元可以将泵总成的驱动器、流体输送装置或一个或多个其它部件与网络或过程控制系统断开直至网络攻击得到阻止。

在本发明的一种优选的变型方案中，所述单元在此被这样设置，使得该单元在指令结构中相对于过程控制系统或者说泵总成或某些部件本身所连接的网络是处于支配地位的。如果所述单元探测到网络攻击，该单元就将泵总成的相应的部件、例如驱动器或控制机构的部件，完全与过程控制系统或网络断开并且因此保护泵总成免受当前和进一步的攻击。

除了引起安全状态外，所述单元可以补充性地或替代地导入警报，从而提示运营商探测到了网络攻击。

在本发明的一种变型方案中，所述单元具有数据存储器。该数据存储器用于检测和存放泵总成的驱动器和/或流体输送装置和/或控制机构和/或其它部件的技术数据。

所述单元优选具有至少一个用于传感器的接头。在此，振动传感器、压力传感器、流量传感器或温度传感器尤其适用于探测网络攻击。

为了跨接驱动器的快速接通或关断并且由此阻止网络攻击，可以使用蓄能器单元，所述蓄能器单元例如可以设计成电池或电容器组合。

此外避免在流体输送装置或驱动器内的振动激发。由于所引起的负载变化，例如在泵总成的叶轮和导轮之间的相互作用（特别是设计成离心泵总成时）和在其它部件之间的相互作用会导致压力振动，所述压力振动可能在流体输送装置或整个设施内引起共振。在有针对性地激发这些共振频率时，可能产生如下振幅，振幅可能导致流体输送装置或其内布置着泵总成的整个设施的受损或甚至损毁。

这些状态在离心泵总成的控制器中已经公知，因为在设施起动和停机时要尽可能快速地克服这些运行状态，从而避免发生损伤。因此存在这样的可能性，即，使用已经公知的设施数据并且避免在网络攻击或人为错误的范畴内的有针对性的损伤。

在本发明的一种变型方案中，使用不间断电源（USV，英文为UPS）。由此可以在网络攻击时确保对所述泵总成的驱动器或其它部件的供能。

USV的另一个重要的特征是取决于蓄电池的容量的最大的初始化延时（Überbrückungszeit）。该最大的初始化延时可以视要求而定为几秒或几小时。在对功率和初始化延时需求较大时，也使用发电机组来对蓄电池再充电。

本发明还涉及一种用于执行根据本发明的方法的单元，该单元设置用于在网络攻击时保护根据权利要求1的前序部分所述的泵总成。在此，明显产生了与针对根据本发明的方法相同的优点和特性，因此此处取消了重复说明。

所述单元优选与计算机网络连接并且设置用于，在通过测评至少一个第一信号查明泵总成的故意引起的违规的运行时自动中断与计算机网络的连接。

根据一种实施方式规定，所述单元具有用于处理至少一个第一信号的信号处理构件组、用于测评至少一个第一信号的测评构件组、带有流体输送装置的和/或驱动器的和/或控制机构的数据的存储器以及优选输入/输出单元。

所述单元还有利地设置用于，在通过测评至少一个第一信号查明泵总成的故意引起的违规的运行时自动操控/调节泵总成的部件，以便将泵总成转入合规的运行和被保护免受当前的和/或进一步的网络攻击的状态。

附图说明

本发明的另外的特征和优点由借助于附图对实施例的说明和附图本身得出。附图中示出：

图1示出了离心泵组件；并且

图2示出了用于阻止网络攻击的单元的方块图。

具体实施方式

图1示出了一种组件1，其带有设计成离心泵的流体输送装置2，该流体输送装置通过轴3与驱动器4连接。驱动器4在本实施例中设计成驱动离心泵2的异步电动机。驱动器4由电网馈电线（Netzzuleitung）5馈电。在离心泵2的压力接管6上布置着用于测量压力侧的压力或离心泵2的最终压力的传感器7。该传感器7通过线路8与单元9连接。

单元9还通过线路22与驱动器4连接。单元9测评驱动器4的和/或传感器7的信号并且可以由此分析关键的运行状态，所述运行状态可以推断出针对驱动器4的网络攻击。单元9为此使用根据本发明的方法。

驱动器4的特征参量、像比如标称功率，优选用于执行根据本发明的方法。由这些参数也能推导出或计算出其它的参数。单元9具有适用于检测传感器7的信号的接头10。接头10在本实施例中设计成信号输入端。

在本实施例中，单元9具有信号处理构件组11。信号处理构件组11可以例如也能够以较高的精度确定旋转声频（Drehklangfrequenz）。

在单元9中运行的方法由计算构件组12控制和协调。此外，单元9优选具有显示和操作元件13。

在所述组件上可以设置有一个在此未示出的另外的压力传感器接头，该压力传感器接头例如用于检测泵吸入压力。此外，所述组件具有另外的、在此未示出的信号输入端和/或串行的总线接口或用于读入或读出参数。

图2示出了方块图并且示出了用于控制和/或调节离心泵2的单元9。所述单元在根据图2的图示中具有测评构件组14、与该测评构件组14连接的存储器15和同样与该测评构件组14连接的输入/输出单元16。

所述单元9与马达构件组17连接。单元9和马达构件组17可以是、但不必一定是过程控制系统18的一部分。马达控制器19与马达构件组17、离心泵2的单元9和驱动器4连接。离心泵2通过输入管路20被供应以液态的输送介质并且通过排出管路21泵出所述输送介质。在所提及的部件之间的数据传输通过箭头示出。

附图标记列表

1 组件

2 流体输送装置（离心泵）

3 轴

4 驱动器

5 电网馈电线

6 压力接管

7 传感器

8 线路

9 单元

10 接头

11 信号处理构件组

12 计算构件组

13 操作元件

14 测评构件组

15 存储器

16 输入/输出单元

17 马达构件组

18 过程控制系统

19 马达控制器

20 输入管路

21 排出管路。

Claims (12)

1.用于在网络攻击时保护如下泵总成的方法，该泵总成包括经转速调节的流体输送装置（2）、特别是经转速调节的离心泵、驱动器和控制机构，该方法具有下列步骤：

（i）优选借助于至少一个传感器检测至少一个涉及流体输送装置（2）的转速和/或转速调节的第一信号，

（ii）借助于单元（9）测评该第一信号，其中，在测评时比较至少一个额定参量和至少一个从第一信号推导出的实际参量，

（iii）如果该单元（9）基于对第一信号的测评而查明泵总成的故意引起的违规的运行，则通过单元（9）输出至少一个第二信号，

（iv）作为对第二信号的反应，调整流体输送装置（2）的和/或控制机构的和/或驱动器的部件以引起流体输送装置（2）的合规的运行以及引起泵总成的被保护免受当前的和/或进一步的网络攻击的状态。

2.根据权利要求1所述的方法，其特征在于，所述单元（9）是本地的控制和/或调节装置，其优选布置在所述流体输送装置（2）上或中并且进一步优选与或者能与计算机网络连接。

3.根据权利要求1或2所述的方法，其特征在于，所述流体输送装置（2）的转速调节借助于与所述驱动器连接的变频器完成，其中，所述驱动器是电动机。

4.根据前述权利要求中任一项所述的方法，其特征在于，所述单元（9）检测用于开关所述流体输送装置（2）的周期、转速极限、转速变化的斜率、振动和/或相比于所述流体输送装置（2）的所储存的和/或所学习的行为的异常。

5.根据前述权利要求中任一项所述的方法，其特征在于，所述单元（9）具有用于所述流体输送装置（2）的和/或所述驱动器（4）的和/或所述控制机构的数据的数据存储器。

6.根据前述权利要求中任一项所述的方法，其特征在于，步骤（iv）包括激活能量存储装置以在网络攻击期间维持对泵总成的供能。

7.根据前述权利要求中任一项所述的方法，其特征在于，如果对第一信号的测评检测到轻微的和/或持久作用的和/或定期出现的和/或暂时强烈的和/或增长的和/或结构化地出现的异常，所述异常在所述泵总成的正常运行中不会发生，则所述单元（9）查明泵总成的故意引起的违规的运行。

8.根据前述权利要求中任一项所述的方法，其特征在于，至少一个传感器是辐射传感器和/或声传感器和/或振动传感器和/或压力传感器和/或流量传感器和/或转速传感器和/或温度传感器。

9.根据前述权利要求中任一项所述的方法，其特征在于，步骤（iv）包括使所述泵总成的、特别是所述单元（9）的部件与计算机网络脱开和/或所述泵总成的自主的运行。

10.用于执行根据权利要求1至9中任一项所述的方法的单元（9），该单元设置用于保护带有流体输送装置（2）、驱动器和控制机构的泵总成，其中，该单元（9）优选与计算机网络连接并且设置用于，在通过测评至少一个第一信号查明泵总成的故意引起的违规的运行时自动中断与计算机网络的连接。

11.根据权利要求10所述的单元（9），其特征在于，所述单元具有用于处理至少一个第一信号的信号处理构件组（11）、用于测评至少一个第一信号的测评构件组（14）、带有流体输送装置（2）的和/或驱动器的和/或控制机构的数据的存储器（15）以及优选输入/输出单元（16）。

12.根据权利要求10或11所述的单元（9），其特征在于，所述单元设置用于，在通过测评至少一个第一信号查明泵总成的故意引起的违规的运行时自动操控/调节泵总成的部件，以便将泵总成转入合规的运行和被保护免受当前的和/或进一步的网络攻击的状态。

Images