CN115047783A - 核电控制系统安全测试环境仿真装置及攻击安全防护系统 - Google Patents

Abstract

本发明公开了一种核电控制系统安全测试环境仿真装置及攻击安全防护系统，涉及核电控制系统技术领域，该攻击安全防护系统包括监控层、控制层和设备层；监控层包括工业主机和攻击主机；控制层包括控制器、安全防护系统和控制单元；设备层包括工业现场设备；攻击主机中部署有攻击系统，工业现场设备至少包括核电控制系统安全测试环境仿真装置。本发明通过攻击系统和安全防护系统能够呈现核电领域的典型工艺流程，高度模拟了并复现了核电站的工作过程，为测试和验证提供了较好的操作环境，同时展示了攻击演示运行状态和安全防护运行状态，利于开展核电控制系统信息安全技术的研究，为核电站安全稳定运行提供可靠的信息安全保障。

Description

核电控制系统安全测试环境仿真装置及攻击安全防护系统

本申请要求于2021年06月11日提交中国专利局、申请号为202110655212.3、发明名称为“一种核电控制系统安全测试环境仿真装置”的中国专利申请的优先权，其全部内容通过引用结合在本申请中。

技术领域

本发明涉及核电控制系统技术领域，特别是涉及一种核电控制系统安全测试环境仿真装置及攻击安全防护系统。

背景技术

随着自动化技术和信息技术的不断深度融合，核电控制系统不断向着数字化、网络化和智能化方向发展，由此带来的信息安全问题日益突出，核电控制系统一旦受到网络攻击，将直接引发工厂停产、环境污染、人员伤亡、甚至社会动荡等灾难性的后果。近年来，核电控制系统所面临的外部网络威胁日益增加，攻击手段更加复杂、多样和隐蔽，作为涉及国家安全的关键基础设施，信息安全防护成为维护国家安全和社会稳定的重要环节。由于核电站作为高危行业，无法直接为信息安全研究人员提供安全场景，因此有必要建立核电控制系统仿真测试环境，以利于开展核电控制系统信息安全技术的研究，为核电站安全稳定运行提供可靠的信息安全保障。

发明内容

本发明的目的是提供一种核电控制系统安全测试环境仿真装置及攻击安全防护系统，用以呈现核电领域的典型工艺流程，高度模拟并复现了核电站的工作过程，为核电控制系统测试和验证提供较好的操作环境。

为实现上述目的，本发明提供了如下方案：

第一方面，本发明提供了一种核电控制系统安全测试环境仿真装置，包括水箱、第一主泵、压力容器仿真模型、稳压器仿真模型、蒸发容器仿真模型、汽轮机仿真模型、第二主泵以及电加热带；

所述第一主泵、所述压力容器仿真模型、所述稳压器仿真模型以及所述蒸发容器仿真模型构成第一回路；所述蒸发容器仿真模型、所述汽轮机仿真模型、所述第二主泵以及所述电加热带构成第二回路。

根据本发明提供的具体实施例，本发明公开了以下技术效果：

本发明提供了一种核电控制系统安全测试环境仿真装置，包括水箱、第一主泵、压力容器仿真模型、稳压器仿真模型、蒸发容器仿真模型、汽轮机仿真模型、第二主泵以及电加热带；所述第一主泵、所述压力容器仿真模型、所述稳压器仿真模型以及所述蒸发容器仿真模型构成第一回路；所述蒸发容器仿真模型、所述汽轮机仿真模型、所述第二主泵以及所述电加热带构成第二回路。本发明能够呈现核电领域的典型工艺流程，高度模拟了并复现了核电站的工作过程，为测试和验证提供了较好的操作环境。

第二方面，本发明提供了一种攻击安全防护系统，包括监控层、控制层和设备层；所述监控层包括工业主机和攻击主机；所述控制层包括控制器、安全防护系统和控制单元；所述设备层包括工业现场设备；所述攻击主机中部署有攻击系统，所述工业现场设备至少包括第一方面所述的核电控制系统安全测试环境仿真装置；

所述攻击安全防护系统至少包括三种模式：正常运行状态、攻击演示运行状态和安全防护运行状态；

在正常运行状态下，所述攻击系统和所述安全防护系统为关闭状态，所述攻击安全防护系统用于模拟正常情境下的核电控制系统的运行过程，所述运行过程包括启堆、功率运行、停堆和紧急停堆操作；

在攻击演示运行状态下，所述攻击系统为运行状态，所述安全防护系统为关闭状态，所述攻击安全防护系统用于展示核电控制系统在受到网络安全攻击后所展示出的效果和行为；

在安全防护运行状态下，所述攻击系统和所述安全防护系统为运行状态；所述攻击安全防护系统用于展示核电控制系统在受到网络安全攻击后所展示出的效果和行为，及用于对网络安全攻击进行有效的阻止，并对通信数据进行脱敏处理。

根据本发明提供的具体实施例，本发明公开了以下技术效果：

本发明提供了一种攻击安全防护系统，包括监控层、控制层和设备层；所述监控层包括工业主机和攻击主机；所述控制层包括控制器、安全防护系统和控制单元；所述设备层包括工业现场设备；所述攻击主机中部署有攻击系统，所述工业现场设备至少包括第一方面所述的核电控制系统安全测试环境仿真装置。本发明通过攻击系统和安全防护系统能够呈现核电领域的典型工艺流程，高度模拟了并复现了核电站的工作过程，为测试和验证提供了较好的操作环境，同时展示了攻击演示运行状态和安全防护运行状态，利于开展核电控制系统信息安全技术的研究，为核电站安全稳定运行提供可靠的信息安全保障。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例一种核电控制系统安全测试环境仿真装置示意图；

图2为核电系统仿真测试环境部署设计图；

图3为接地系统示意图；

图4为本发明实施例一种攻击安全防护系统的网络部署示意图；

图5为本发明实施例一种攻击安全防护系统的结构框图；

图6为本发明实施例一种攻击安全防护系统的攻击安全防护的工作流程图；

图7为本发明实施例一种设置有展示模块的核电控制系统安全测试环境仿真装置示意图；

图8为本发明实施例一种攻击安全防护系统上下行数据传输图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

为使本发明的上述目的、特征和优点能够更加明显易懂，下面结合附图和具体实施方式对本发明作进一步详细的说明。

实施例一：

如图1所示，本发明实施例公开的核电控制系统安全测试环境仿真装置，包括水箱1、第一主泵2、压力容器仿真模型3、稳压器仿真模型4、蒸发容器仿真模型5、汽轮机仿真模型6、第二主泵7以及电加热带8。

所述第一主泵2、所述压力容器仿真模型3、所述稳压器仿真模型4以及所述蒸发容器仿真模型5构成第一回路；所述蒸发容器仿真模型5、所述汽轮机仿真模型6、所述第二主泵7以及所述电加热带8构成第二回路。

所述第一回路，第一，用于压力容器和稳压器设备注水；第二，用于热量循环，提供热蒸汽，驱动所述汽轮机仿真模型工作，从而使发电机发电；第三用于停堆时，冷却循环，降低一回路中的热温度；

所述第二回路，第一，用于回收热蒸汽做功后凝结成的水珠；第二用于蒸发容器设备注水，并利用加热带为注入压力容器中的水进行加热；第三，在强制安全措施下，进行冷却循环，强制降低一回路温度。

所述压力容器仿真模型3上设置有第一电加热控制器，所述第一电加热器用于为所述压力容器仿真模型3内的水进行加热。所述稳压器仿真模型4上设置有第二电加热控制器，所述第二电加热器用于为所述稳压器仿真模型4内的水进行加热。

第一回路模拟核电厂反应堆冷却剂系统RCP。第一主泵2带动第一回路将压力容器仿真模型3和稳压器仿真模型4产生的热量带出，经过蒸发容器仿真模型5时将热量传递到第二回路，产生蒸汽动能，带动汽轮机运转。汽轮机仿真模型6是指用汽轮机驱动的发电机。由蒸发容器仿真模型5产生的过热蒸汽进入汽轮机仿真模型6内膨胀做功，使叶片转动而带动发电机发电，做功后的废汽凝结成水流入水箱1中，并经电加热带8加热后送回蒸发容器仿真模型5循环使用。

所述第一主泵2两侧设置有第一流量变送器9、第一温度变送器10和第二流量变送器11。所述第一流量变送器9用于检测所述压力容器仿真模型3以及所述稳压器仿真模型4注水时的实时流量；所述第一温度变送器10和所述第二流量变送器11分别用于检测流入所述压力容器仿真模型3内的水的温度和流量。

所述蒸发容器仿真模型5和所述稳压器仿真模型4的中间管路上设置有第二温度变送器12，所述第二温度变送器12用于对流入所述蒸发容器仿真模型5内的水的温度。

所述水箱1和所述蒸发容器仿真模型5的中间管路上设置有第三流量变送器13，所述第三流量变送器13用于检测流入所述蒸发容器仿真模型5内的水的流量。

所述压力容器仿真模型3上设置有第一液位变送器15、第一压力变送器14、第三温度变送器16以及第四温度变送器17；所述第一液位变送器15和所述第一压力变送器14分别用于检测所述压力容器仿真模型3中的液位和压力；所述第三温度变送器16用于检测所述压力容器仿真模型3与管道接口处的温度，所述第四温度变送器17用于检测所述压力容器仿真模型3中电加热处的温度。

所述稳压器仿真模型4上设置有第二压力变送器18、第三压力变送器21、第二液位变送器19、第五温度变送器20以及第六温度变送器22。所述第二压力变送器18、所述第二液位变送器19以及所述第五温度变送器20分别用于检测所述稳压器仿真模型4内的压力、液位和温度。所述第三压力变送器21以及所述第六温度变送器22接入冗余设备中。

所述蒸发容器仿真模型5上设置有第三液位变送器23、第四压力变送器26、第七温度变送器25以及第八温度变送器24。所述第三液位变送器23、所述第四压力变送器27和所述第七温度变送器25分别用于检测所述蒸发容器仿真模型5内的液位、压力和温度。所述第八温度变送器24用于检测所述蒸发容器仿真模型5中U型回路的水温。

所述水箱1上设置有第四液位变送器28和第九温度变送器26，分别用于检测水箱1内的液位和温度。

实施例二：

本发明实施例由典型工艺模型和控制系统两部分组成。典型工艺模型包括典型工艺实物模型、典型工艺实物模型控制接口、典型工艺数字模型。控制系统从系统安全级别上，分为安全级1E控制系统和非安全级NC控制系统两个部分，核电控制系统仿真测试环境部署设计如附图2所示。

1：典型工艺实物模型

典型工艺实物模型包括压力容器仿真模型、稳压器仿真模型、蒸汽发生器仿真模型、泵、一回路管道、二回路管道、汽轮机模型和变送器装置。

压水堆核电控制系统仿真测试环境主要由隔离的一回路系统和二回路系统组成。在一回路系统中，通过一回路管道，按照压力容器仿真模型3、稳压器仿真模型4、蒸发容器仿真模型5、一回路主泵2的顺序构成闭合回路。在上水管与一回路处接入涡轮式流量变送器MD，检测压力容器、稳压器设备在注水时的实时流量；在一回路主泵和压力容器之间管道处接入温度MT和涡轮式MD变送器，对进入压力容器的水温度和管道中流量进行检测；在稳压器和蒸发器之间回路接入温度变送器MT，对进入蒸发器的水温进行检测。

在二回路系统中，通过二回路管道，按照蒸发容器仿真模型5、观察壁29、汽轮机仿真模型6、水箱1和二回路主泵7的顺序构成闭合回路。在二回路主泵7和蒸发容器仿真模型5之间接入涡轮流量变送器MD，对进入蒸发容器中的水流量进行检测。

为了保障压水堆核电仿真测试环境的安全性和稳定性，实现对关键工艺过程参数的检测和监控，关键工艺模型中接入变送器，具体如下：

压力容器接入压力变送器MP、液位变送器MN和温度变送器MT，用于检测压力容器中液位、压力和温度参数。其中，温度变送器分别检测电加热处和压力容器与一回路管道中水温度。

稳压器接入压力变送器MP、液位变送器MN和温度变送器MT，用于检测压力容器中液位、压力和温度参数，其中温度变送器MP和压力变送器MT，接入冗余设备，保障系统运行过程的安全性和稳定性。

蒸发器稳压器接入压力变送器MP、液位变送器MN和温度变送器MT，用于检测压力容器中液位、压力和温度参数，其中温度变送器MN分别测试稳压器中液位温度和稳压器中一回路的U型回路中水的温度。

水箱接入液位变送器MN和温度变送器MT，用于检测水箱中的液位和温度参数。

2：典型工艺实物模型控制接口

典型工艺实物模型控制接口包括测量设备(如传感器、变送器、行程开关等)和执行设备(如控制阀及相关继电器、电磁阀、电动机、断路器等)。

3：典型工艺数字模型

典型工艺数字模型包括RGL、RCP、RPS和汽轮机控制系统的工艺流程图和典型工况数据。

4：工艺模型选型

工艺模型选型体现了核电厂典型工艺过程，包括启停堆、功率运行过程、紧急停堆、主泵启停、冷却剂冷却过程、稳压器压力调节，蒸汽发生器热能转换、蒸汽推动汽轮机仿真模型工作。

5：棒控棒位系统RGL

棒控棒位系统RGL是核电站核心的仪控系统之一，由控制棒控制系统和控制棒位置测量系统组成，在核电站启堆、功率转换和停堆过程中，通过联合控制棒驱动机构来进行提升、下降和保持反应堆控制棒，同时检测每一束控制棒在堆芯的位置，从而控制反应堆的反应性，保证反应堆始终工作在受控状态。控制棒可分为停堆棒组、功率控制棒组。控制棒有吸收中子的特性，当控制棒下插时会吸收反应堆中子，降低反应堆功率直至停堆。反之，当控制棒提升时，会提升反应堆功率直至满功率进行。

本发明实施例提供一个停堆棒模型和一个功率控制棒模型。运行时，先将停堆棒模型提升到最高位置后，提升功率控制棒。控制棒模型可以上下移动并向控制系统反馈控制棒位置信号。

6：核电厂反应堆冷却剂系统RCP

核电厂反应堆冷却剂系统RCP，又称为一回路系统。系统主要由反应堆、蒸汽容器器仿真模型5、第一回路主泵2、稳压器仿真模型4、及卸压装置等组成。第一主泵2带动一回路冷却剂通过反应堆将堆内热量带出，经过蒸汽发生器时将热量传递到二回路，产生蒸汽动能，驱动汽轮机仿真模型6运转。

本发明实施例重点建设一回路模型，包括反应堆模拟、主泵模型、蒸汽发生器模型、稳压器模型及配套管道和仪表。一回路模型设有加热装置和动力装置，可承压运行。运行时回路内冷却剂将热量从反应堆模型带入蒸汽发生器模型，在蒸汽发生器模型中能真实产生一定量热蒸汽。模型设变送器温度200℃、设变送器压力1MPa。真实模拟了核电站一回路系统运行期间的热交换过程。

7：反应堆保护系统RPS

反应堆保护系统RPS是核电厂安全系统之一，对保护环境、保护核电厂设备和人员的安全、提高核电厂利用率都具有极其重要的作用。它监测与核电厂安全相关的重要参数，当这些参数超过由安全分析确定的保护定值时，自动给出保护动作信号，防止反应堆事故的扩大或减轻事故后果。

本发明实施例对模型中的压力容器仿真模型3、稳压器仿真模型4、蒸发容器仿真模型5和一回路中的的温度、压力、液位等信号进行监测。当监测参数超出阈值后系统进入停堆模式或启动专设安全设施。

8：汽轮发电机

汽轮发电机是指用汽轮机驱动的发电机。由蒸发容器产生的过热蒸汽进入汽轮机内膨胀做功，使叶片转动而带动发电机发电，做功后的废汽经凝汽器、循环水泵、凝结水泵、给水加热装置等送回蒸汽发生器循环使用。

本发明实施例建设一台汽轮发电机模型。该模型不与二回路蒸汽管道相连，由控制系统根据典型工况控制汽轮机仿真模型进行工作。

9：非安全级控制系统功能

非安全级控制系统功能使用

2000DCS，具有对工艺系统进行监测、控制和运行管理、完成工艺过程信息的采集和传送、报警功能、数据通讯、变量显示、工程计算和历史数据存储的功能。

10：安全级控制系统功能

安全级控制系统功能使用

8000N DCS，具有完成工艺过程保护信号的采集和传送、数据通讯和保护功能，包括稳压器模型压力过高、压力容器模型超温、蒸汽发生器模型液位过低或过高保护，模拟特殊情况下紧急停堆和启动专设安全设施功能。

11：启动专设安全设施

本发明实施例参照核电RPS系统设有项目专用的启动专设安全设施工艺。当出现极端工况紧急停堆关闭了所有加热棒后，仍不能有效降低一回路温度、压力时。启动二回路冷却剂强制循环，通过蒸汽发生器带走一回路热量。

12：接地设变送器

系统内设有保护地、屏蔽地和系统地。保护地、屏蔽地在机柜内测量其对地的接地电阻，应小于4欧姆；系统地在机柜内测量其对地的接地电阻，应小于1欧姆。接地系统如附图3所示。

13：系统供配电设变送器

控制系统输入电源为220VAC，系统中直流24VDC、48VDC用电设备供电由系统通过220VAC交流电源转换而来。为适应电网波动，机柜中配置滤波器。

设备层中所有的380VAC、220VAC、48VDC、24VDC用电设备供电由单独的配电箱进行供电，24VDC、48VDC用电设备供电由配电箱通过380VAC/220VAC交流电源转换而来。

具体工艺流程详细的说明。

核电站从能量转换角度主要分为一回路和二回路两部分。一回路主要包含压力容器、停堆棒、功率棒、驱动机构、主泵、蒸汽发生器和稳压器。通过控制停堆棒和功率棒位置实现反应堆的停启和功率控调节。由主泵带动一回路冷却剂通过反应堆，将热能由反应堆带入蒸汽发生器与二回路循环水发生热交换产生蒸汽。然后，再将相对低温的冷却剂带入反应堆继续进行热交换。一回路设备工作期间，稳压器负责建立并维持一回路系统压力，避免冷却剂在反应堆内发生容积沸腾。蒸汽发生器产生足够蒸汽后，推动汽轮发电机发电。

1：正常启堆过程

(1)系统正常供电后，将核电控制系统电气控制柜控制开关调整为自动模式，同时在控制站一层组态软件界面中，将控制阀和主泵运行模式同步调整为自动模式。

(2)压力容器仿真模型3、稳压器仿真模型4和蒸发容器仿真模型5设备注水。在控制站组态界面中点击设备注水按钮，控制站将组态软件的控制信号下发至非安全级控制系统功

2000DCS，DCS系统在接收到控制信号后，将一、二回路主泵运行指令下发至主泵，主泵开始运行为各个设备进行注水。为了保障各设备中的水位能够保持稳定范围内，在控制站二层逻辑控制程序中设定液位限定范围。

2000DCS能够实时对各液位变送器液位信息进行采集，将液位模拟量信号通过I/O总线发送给控制器，在控制器中经过阈值比较将模拟量转化为数字量，控制器模块对该输出数字量信号进行逻辑表决，通过与二层组态液位限定值进行比较，实现对设备中液位的自动控制。

(3)启堆过程。在控制站一层组态软件界面点击启堆按钮后，控制站将组态软件控制信号下发至非安全级控制系统功

2000DCS后，由DCS控制处理后下发至反应堆，随后反应堆启堆棒提升，传感器检测到启堆棒后，将信号上传至

2000DCS，启堆棒停止上升。此时，功率棒处于位置1，为功率阶段1，核电控制系统内部模拟件开始加热正常运行，第一主泵2带动一回路冷却剂通过反应堆将堆内热量带出，经过蒸发容器仿真模型5时，将热量传递到二回路。

2000DCS能够实时对压力容器仿真模型5的温度数据进行采集，并上传至控制站，当压力容器仿真模型5中的温度达到T1时，控制站自动下发控制信号至

2000DCS，功率棒在DCS的控制下开始提升，当T2位置传感器检测到功率棒后停止上升，第一主泵2带动一回路冷却剂通过反应堆将堆内热量带出，经过蒸发容器仿真模型5时，将热量传递到二回路，汽轮机仿真模型开始低速运行，此时为功率2阶段，随后温度开始上升至T2。当温度上升至T2时，重复上述控制过程，功率棒提升至位置T3，温度提升至T3，第一主泵2带动一回路冷却剂通过反应堆将堆内热量带出，经过蒸发容器仿真模型5时，将热量传递到二回路，汽轮机开始高速运行。

2：功率运行过程

当汽轮机仿真模型高速运行时，功率控制棒保持在位置3，反应堆功率达到最高，反应堆模拟件内加热棒全部开启，温度维持在T3。第一主泵2带动一回路冷却剂通过反应堆将堆内热量带出，经过蒸发容器仿真模型5时，将热量传递到二回路，产生蒸汽动能，此时带动汽轮机仿真模型处于高率运行状态。此时，安全级控制系统

2000DCS能够实时对各温度变送器、压力变送器、液位变送器和涡轮流量变送器参数进行采集，并上传至控制站，能够实现在对核电控制系统工艺运行过程的实时监控和报警。

3：正常停堆过程

在控制站一层组态中点击停堆按钮，控制站将组态软件停堆信号下发至非安全级控制系统

2000DCS，然后由DCS控制系统下发停堆信号至压力容器仿真模型3，随后将功率控制棒位置下降至位置堆底后，停堆棒下降至堆底。反应堆模拟件内所有加热棒全部关闭，第一主泵2带动一回路冷却剂通过反应堆将堆内余热带出，汽轮机仿真模型进入停止状态。当反应堆模拟件内温度达到常温状态时，控制站下发关闭主泵信息，并由DCS控制系统下发控制指令。

4：紧急停堆过程

当核电控制系统仿真测试环境在正常运行过程中，安全级控制系统

8000DCS实时采集一回路管道内、压力容器仿真模型3、稳压器仿真模型4和蒸发容器仿真模型5中的温度变送器、压力变送器、液位变送器参数，并将采集到的压力、温度、液位流量等模拟量信号通过I/O总线发送给控制器，在控制器中经过阈值比较将模拟量转化为数字量，控制器模块对该输出数字量信号进行逻辑表决，当稳压器压力过高、压力容器模拟件超温、蒸汽发生器液位过低或过高时，即相关参数超过停堆设定值时，输出停堆信号并自动触发系统紧急停堆动作，此时功率控制棒和停堆棒同时下降至位置堆底。反应堆模拟件内所有加热棒全部关闭。第一主泵2带动一回路冷却剂通过反应堆将堆内余热带出，此时汽轮机仿真模型处于停止状态。当反应堆模拟件内温度达到常温状态时，关闭主泵。

本发明实施例能够呈现核电领域的典型工艺流程，高度模拟了并复现了核电站的工作过程，为核电行业测试和验证提供了较好的操作环境。

实施例三

本实施例提供的一种基于核电控制系统安全测试环境仿真装置的攻击安全防护系统。如图4-6所示。该攻击安全防护系统包括监控层、控制层和设备层。该监控层包括工业主机、攻击主机和交换主机；该控制层包括控制器、安全防护系统和控制单元；该设备层包括工业现场设备；其中，攻击主机中部署有攻击系统。工业现场设备至少包括实施例一所述的核电控制系统安全测试环境仿真装置。

优先地，控制器为DCS控制器，该DCS控制器可为安全防护系统提供以插件或产品形式进行扩展的控制器设备。例如：DCS控制器为插槽式，为系统预留插槽或以产品的形式接入即可。控制层由上至下通信的数据需先经过安全防护系统后经过控制单元，反之则先经过控制单元后经过安全防护系统。本实施例提供的系统设计了多种电信号服务接口(如电源接口、以太网等)，可满足多种工业安全设备的产品验证的物理工作环境复用行。

该攻击安全防护系统主要包括三种模式：正常运行状态、攻击演示运行状态和安全防护运行状态。

在正常运行状态下，所述攻击系统和所述安全防护系统为关闭状态，所述攻击安全防护系统用于模拟正常情境下的核电控制系统的运行过程，所述运行过程包括启堆、功率运行、停堆和紧急停堆操作。

在攻击演示运行状态下，所述攻击系统为运行状态，所述安全防护系统为关闭状态，所述攻击安全防护系统用于展示核电控制系统在受到网络安全攻击后所展示出的效果和行为。

具体地：在攻击演示运行状态下，核电控制系统除受工业主机的正常控制流量，还会受到工业主机的网络安全攻击流量。对于正常的工业控制流量，核电控制系统将按照工业主机发出的控制指令执行相应操作。对于异常的攻击流量，由于安全防护系统为未开启状态，无法对攻击行为进行阻挡，故用户在操作攻击主机，选择攻击系统中的攻击脚本或通过接入集成新的攻击脚本的方式可对核电控制系统进行攻击。此时，恶意流量将通过网关设备实现入侵或攻击工业主机、DCS控制器，在受到不同恶意流量攻击的核电控制系统会通过设备运行动作、警示灯及蜂鸣器等方式进行展示攻击效果。

在安全防护运行状态下，所述攻击系统和所述安全防护系统为运行状态；所述攻击安全防护系统用于展示核电控制系统在受到网络安全攻击后所展示出的效果和行为，及用于对网络安全攻击进行有效的阻止，并对通信数据进行脱敏处理。

具体地：在安全防护运行状态下，攻击系统和安全防护系统为运行状态。来自工业主机和攻击主机发送的通信流量需先经过DCS控制器中的安全防护系统的安全过滤后方可下发至控制单元，并由控制单元执行下一步控制。对于恶意攻击及针对业务逻辑的攻击行为，安全防护系统(通信流量需要依次经过网络安全检测防护模块、数据安全防护模块和业务逻辑安全防护模块的过滤)将对其进行有效的阻止，并对通信数据进行脱敏处理。

进一步地，本实施例所述的攻击系统主要由攻击脚本模块、攻击执行模块和攻击扩展模块组成。

攻击执行模块：提供攻击脚本运行的引擎服务。

攻击扩展模块：为用户提供对外服务的接口，所述对外服务的接口用于将自有攻击脚本集成到攻击脚本模块中，即用户可对自有攻击脚本进行验证，同时将其集成到攻击脚本模块中。

攻击脚本模块：提供多种攻击脚本，包括U盘摆渡攻击、工业协议攻击(读/写)、拒绝服务等，可对工业主机、DCS控制器和控制网络开展网络攻击。受到攻击的工业设备将以组态软件显示、设备动作及声光电的形式向用户展示攻击效果。

攻击系统中的攻击脚本模块可为用户提供多种配置选择，例如：U盘摆渡攻击模式为两种：一是直接执行U盘摆渡攻击脚本程序模拟“蠕虫”病毒的入侵；二是工业主机为U盘摆渡攻击预留了USB接口，可通过接入U盘的方式模拟“蠕虫”病毒的入侵。影响核电安全仿真测试环境启堆、功率运行和紧急停堆过程。

攻击系统中的攻击演示状态具体包括：

1)操作工业主机将配置的攻击脚本的发送至目标主机的IP地址及开放的端口服务并执行，恶意流量通过交换机设备发送至工业主机机，或者将物理U盘接入工业主机USB接口。

2)工业主机具备U盘摆渡攻击入侵提示功能，并且组态软件版本具备指定漏洞，能够被蠕虫病毒所利用。“蠕虫”病毒在入侵工业主机，并成功利用组态软件漏洞后，工业主机将弹出提示框，表明工业主机已经被感染。

3)DCS控制器针对蠕虫攻击提供了告警功能。蠕虫病毒利用组态软件与DCS控制器建立通信链接的过程，将恶意代码下发至DCS控制器，此时DCS控制器将亮起告警指示灯，表示DCS控制器受到蠕虫病毒入侵。

4)“蠕虫”病毒利用组态软件及DCS控制器存在的安全漏洞，伪装工业主机向工业现场设备下发控制指令，工业现场设备执行无规律动作，对采集的工业现场数据进行篡改，并上传至工业主机。

攻击展示技术方案：为展示攻击，在核电测试环境中压力容器仿真模型3旁路并联一个可观察的棒控棒位系统攻击演示模型(如图7所示)，为透明玻璃容器，内置棒控棒位系统，与压力容器中的棒控棒位系统动作保持一致。

进一步地，本发明实施例所述的安全防护系统由系统管理模块、网络安全检测防护模块、业务逻辑防护模块、工业数据安全防护模块和安全防护扩展模块组成。各模块可根据具体安全防护需求进行选择开启与关闭。网络安全检测防护模块、业务逻辑防护模块、工业数据安全防护模块同时运行时，需要按照防护系统规定的业务逻辑对工业通信流量进行过滤。

系统管理模块，用于提供系统用户登录、权限管理、操作管理及各功能模块启停管理。

网络安全检测防护模块，用于支持基于通信流量的网络安全攻击行为和病毒的入侵检测识别，网络通信带宽监控及容量上限配置、通信设备黑名单配名单配置、恶意行为特征库/病毒库更新及传统防火墙常见的其他功能，主要防御常见的网络攻击。

其中，入侵检测识别及防御：入侵检测识别和防御需要与恶意行为特征库/病毒库进行配合使用。网络安全防护检测模块在接收来自外部通信数据流量时，利用二分类算法识别通信流量中的异常流量，并提取异常行为特征与恶意行为特征库/病毒库中的数据进行匹配，若匹配成功，则对恶意流量进行阻挡，匹配不成功，则通过。

网络通信带宽监控及容量上限配置：网络安全防护检测模块能够试试监测控制器的通信带宽，并为用户提供流量带宽上限配置功能。在接收来自外部通信数据流量时，实时监控二分类算法识别通信流量中的异常流量所占用的带宽，当带宽超过用户配置的带宽上限时，网络安全防护检测模块会判断流量的来源，并将其设备IP和MAC地址加入到通信设备黑名单中，从而拒绝与该设备建立通信链接

通信设备黑/白名单：可以由手动配置或系统检测添加IP地址和MAC，阻止非法设备的通信链接。

业务逻辑防护模块，用于提供业务逻辑“恶意操作行为”黑名单配置功能；通过构建“恶意操作行为”黑名单方式，防御针对核电业务运行逻辑的恶意操作及攻击行为。

业务逻辑防护模块构建了核电控制系统控制行为指令集合S。为了保护核电控制系统运行逻辑安全，防护模块针对系统启堆、功率运行、停堆和急停业务构建“恶意操作行为”黑名单BL₁、BL₂、BL₃、BL₄。

用户可根据启堆、功率运行、停堆和急停运行特点，从指令集合S中提取各运行状态下的“恶意操作行为”，分别配置到黑名单BL₁、BL₂、BL₃、BL₄中。

系统运行时，业务逻辑防护模块需实时识别核电控制系统所处的运行状态。对来自工业数据的控制流量数据进行解析，将解析获得的操作指令与对应运行状态下的黑名单中的“恶意操作行为”进行匹配；若匹配成功，则说明该流量为恶意流量，随即进行阻止；若配不成功能，则为正常控制流量，即可传输到DCS控制器系统执行相应操作。

工业数据安全防护模块，用于提供工业数据脱敏算法及还原算法库和工业通信转换协议库，并支持脱敏算法、还原算法及转换协议的选择配置。用户可在工业数据脱敏算法及还原算法库和工业通信转换协议库可为用户提供多种数据脱敏、还原法以及进行协议转化的工业通信协议，防止核电控制系统工业通信协议被恶意提取分析以及工业现场数据的窃取、篡改。

为保证核电测试环境工业通信协议不被恶意提取和解析，工业数据安全模块支持工业协议转换功能，内置有常用工业协议转换库P，包括Modbus、S7等常见协议供用户选择。

安全防护扩展模块，用于采用插板卡件形式设计安全防护系统，预定义系统数据函数接口，用户可根据自己的需要进行数据建模、数据脱敏、数据压缩、数据恢复等安全防护算法自定义编程调用。

如图8所示，对于上行数据，当安全防护系统在接收到DCS控制器的通信数据后，首先对核电私有协议进行解析，提取功能码和核心数据；然后将功能码和核心数据进行脱敏处理，并以用户选择的转换协议(如由核电私有协议转换为modbus协议)格式进行报文重组，最后将通信数据发送给其他模块。对于下行数据，工业主机根据用户选择的通信协议(如modbus)格式将数据发送给安全防护系统，在经过工业数据安全防护模块时，由工业数据安全防护模块提取协议中的脱敏的功能码和核心数据，并采用还原算法进行还原出处理后，将其按照核电控制系统私有协议的格式进行重组后发送给业务逻辑防护模块。

为防止工业数据的窃取和篡改。工业数据安全防护模块支持工业协议敏感片段进行脱敏处理，并内置脱敏和还原算法库D，为用户提供多种选择。算法库需要工业主机和安全防护系统共同持有，以满足对称数据脱敏和还原。

下行数据技术方案：

(1)工业主机采用工业数据安全防护模块协议转换库中的工业协议，对关键报文片段进程脱敏处理后，将数据报文发送给DCS控制器；

(2)由网络安全检测防护模块基于安全策略对经过的数据流量进行安全检测和识别。若存在网络安全攻击行为则进行阻挡和及时处理；若为不存在网络攻击行为，则继续传递至工业数据安全防护模块。

(3)收到数据流量的工业数据安全防护模块首先对通信数据流量进行还原处理，然后执行协议转换操作，将常见的工业通信协议转化为核电控制系统私有协议，并下发时业务逻辑防护模块；

(4)业务逻辑防护模块对接受到的流量数据进行操作分析，提取操作指令，并将操作指令与核电当前运行状态下的“恶意操作行为”黑名单进行匹配，若匹配成功，则丢弃，若配不成功，则下发至控制单元，执行控制指令。若工业主机发送的通信流量为读操作，下发至控制单元，控制单元处理后，作为上行数据进行上传。

上行数据技术方案：

(1)控制单元将数据流量发送给工业数据安全防护模块；

(2)工业数据安全防护模块在接收到数据流量后，首先进行协议转化，将核电私有协议转化为工业常用的通信协议，然后对通信流量数据报文关键字段进行脱敏处理，最后发送给网络安全检测防护模块；

(3)网络安全检测防护模块对数据流量进行安全检测后将数据传输给工业主机；

(4)工业主机在收到数量流量后，利用还原算法对脱敏数据进行处理，恢复数据。

攻击系统中的攻击展示技术方案具体包括：

1)工业主机受到蠕虫病毒入侵，进行弹窗提示；

2)DCS控制器在受到攻击后，告警指示灯点亮；

3)被蠕虫病毒恶意控制的DCS控制器定期向棒控棒位系统发送无规律的控制指令，导致功率棒由位置1到位置2、位置3之间做无规律的提升与下降，导致系统功率地进行无规律变化。

4)压力容器上的温度告警指示灯将不断进行闪烁，表示压力容器中的温度在异常升高；

5)第一回路仪表所采集的温度和压强数据显数不断上升，而工业主机组态软件中的数据一直无明显变化。

经过上述长时间运行，一是会导致帮控棒位系统失控，甚至报废；二是温度和压力的不断上升，数据无法及时上传，系统无法采取紧急停堆操作，导致现设备停止工作甚至爆炸。

在安全防护状态下，执行U盘摆渡攻击操作，可完成攻击演示状态步骤1)和2)，但当“蠕虫”进一步渗透至DCS控制器经过网络安全检测防护模块时，网络安全检测防护模块将提取“蠕虫”病毒恶意代码与病毒库及恶意行为特征库中的数据进行比对和匹配，匹配成功后直接对恶意来了进行阻挡和丢弃。此时，无论执行多少次U盘摆渡攻击，都只能观察到工业主机被攻击成功，但是DCS控制器不会进行告警，棒控棒位系统不会做无规律运动，压力容器告警指示灯无显示。

DoS攻击脚本主要针对DCS控制器开展攻击，向其发送大量的恶意数据流量，占用DCS设备的通信带宽。

攻击演示状态：

1)操作工业主机在配置攻击脚本的发送的IP地址及开放的端口服务(DCS控制器)并执行，恶意流量可通过交换机设备发送至DCS控制器。

2)DCS控制器在接受到大量恶意通信流量攻击后，将将亮起告警指示灯，表示DCS控制器受到DoS攻击。

攻击展示技术方案：

1)为展示攻击效果，在控制柜外安装报警指示灯，并受安全防护系统控制，当器检测到DCS控制器受到网络安全攻击时，报警指示灯将以闪烁形式进行告警。

2)工业主机组态页面中工业数据均显示为乱码数据。

3)工业主机给DCS控制器下发控制及读取指令时，无法相应，在超过一定时间后，将弹框提示。

安全防护系统中的网络安全检测防护模块通过配置安全策略即“流量检测阈值”可对恶意的DoS流量进行有效的阻挡。该策略主要为实时检测发送至的通信流量，当来自同一设备的通信流量带宽超过设置的带宽上限时，将有效对其进行阻断和丢弃，并将该设备IP地址加入恶意行为IP库，对攻击主机发送的流量进行屏蔽。

当工业主机第一次向发送DoS攻击流量时，可观察到告警指示灯亮起，随后迅速恢复正常，表示DoS攻击被有效拦截，工业主机组态数据正常；当攻击主机第二次向发送DoS攻击流量时，告警指示灯不动作显示。

(3)控制协议攻击：

攻击演示状态：

工业协议攻击可为用户提供工业协议读写两种攻击脚本和通信流量截取脚本。

对于写协议攻击：执行攻击系统协议攻击脚本中的协议写脚本，通过交换机将控制数据发送至DCS控制器，由DCS控制器对现场主泵设备运行进行停止控制，蜂鸣器检测到正常运行的主泵停止运转的电信号，随即响起，此时表示主泵被攻击。

对于读协议攻击：执行攻击系统协议攻击脚本中的协议读脚本，通过交换机将主泵控制数据发送至DCS控制器，随后攻击主机将接收到由控制返回的数据，经过解析后可看到读取内容。

通信协议截取攻击：用户在攻击系统中执行通信数据截取脚本，可截取工业主机与DCS控制器间的通信协议至攻击主机，攻击主机可将截取的通信流量进经过系统转换成攻击脚本并为用户提供功能码和关键数据配置功能。

攻击展示技术方案：对于工业协议协议读取，系统将读取的通信流量进行解析以可视化的形式将内容展示给用户。对于工业协议写入，若针对DCS控制器，则DCS控制器将以报警指示等的形式进行警告；若攻击压力容器，则以棒控棒位系统攻击演示模型动作为效果，且压力容器告警指示灯将进行闪烁；若攻击现场第一和第二主泵，则水泵中集成的蜂鸣器(图6)进行报警，同时串联管路外侧的假装的LED灯管显示管将亮起，表示回路中的流量发生变化。

安全防护状态：

在安全防护状态下，网络安全检测防护模块将无法识别通信协议读写攻击，但攻击主机中的攻击脚本采用为明文通信数据流量，在经过数据安全防护模块时，将无法被识别，因此对其进行拦截和阻挡，并能够在其系统日志中查看到拦截记录。故当在此状态下，执行协议读脚本，系统将无响应。

当用户截取了工业主机与DCS控制器之间的通信流量经过工业主机初步解析，其功能码和数据段数据将以脱敏的形式向用户进行展示。若用户将截取的数据重放发送给DCS控制器，则因用户无法判断通信具体动作，可能会返回脱敏的数据字段或者因为安全防护系统业务逻辑防护模块，将其业务逻辑控制行为进行过滤，系统无响应，且能在日志记录中查看配拦截状态。

本说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似部分互相参见即可。

本文中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想；同时，对于本领域的一般技术人员，依据本发明的思想，在具体实施方式及应用范围上均会有改变之处。综上所述，本说明书内容不应理解为对本发明的限制。

Claims (10)

1.一种核电控制系统安全测试环境仿真装置，其特征在于，包括水箱、第一主泵、压力容器仿真模型、稳压器仿真模型、蒸发容器仿真模型、汽轮机仿真模型、第二主泵以及电加热带；

所述第一主泵、所述压力容器仿真模型、所述稳压器仿真模型以及所述蒸发容器仿真模型构成第一回路；所述蒸发容器仿真模型、所述汽轮机仿真模型、所述第二主泵以及所述电加热带构成第二回路。

2.根据权利要求1所述的核电控制系统安全测试环境仿真装置，其特征在于，所述压力容器仿真模型上设置有第一电加热控制器，所述第一电加热器用于为所述压力容器仿真模型内的水进行加热；

所述稳压器仿真模型上设置有第二电加热控制器，所述第二电加热器用于为所述稳压器仿真模型内的水进行加热。

3.根据权利要求1所述的核电控制系统安全测试环境仿真装置，其特征在于，所述第一主泵两侧设置有第一流量变送器、第一温度变送器和第二流量变送器；所述第一流量变送器用于检测所述压力容器仿真模型以及所述稳压器仿真模型注水时的实时流量；所述第一温度变送器和所述第二流量变送器分别用于检测流入所述压力容器仿真模型内的水的温度和流量；

所述蒸发容器仿真模型和所述稳压器仿真模型的中间管路上设置有第二温度变送器，所述第二温度变送器用于对流入所述蒸发容器仿真模型内的水的温度；

所述水箱和所述蒸发容器仿真模型的中间管路上设置有第三流量变送器，所述第三流量变送器用于检测流入所述蒸发容器仿真模型内的水的流量。

4.根据权利要求1所述的核电控制系统安全测试环境仿真装置，其特征在于，所述压力容器仿真模型上设置有第一液位变送器、第一压力变送器、第三温度变送器以及第四温度变送器；所述第一液位变送器和所述第一压力变送器分别用于检测所述压力容器仿真模型中的液位和压力；所述第三温度变送器用于检测所述压力容器仿真模型与管道接口处的温度，所述第四温度变送器用于检测所述压力容器仿真模型中电加热处的温度；

所述稳压器仿真模型上设置有第二压力变送器、第三压力变送器、第二液位变送器、第五温度变送器以及第六温度变送器；所述第二压力变送器、所述第二液位变送器以及所述第五温度变送器分别用于检测所述稳压器仿真模型内的压力、液位和温度；所述第三压力变送器以及所述第六温度变送器接入冗余设备中；

所述蒸发容器仿真模型上设置有第三液位变送器、第四压力变送器、第七温度变送器以及第八温度变送器，所述第三液位变送器、所述第四压力变送器和所述第七温度变送器分别用于检测所述蒸发容器仿真模型内的液位、压力和温度，所述第八温度变送器用于检测所述蒸发容器仿真模型中U型回路的水温。

5.根据权利要求1所述的核电控制系统安全测试环境仿真装置，其特征在于，所述水箱上设置有第四液位变送器和第九温度变送器，分别用于检测水箱内的液位和温度。

6.一种攻击安全防护系统，其特征在于，包括监控层、控制层和设备层；所述监控层包括工业主机和攻击主机；所述控制层包括控制器、安全防护系统和控制单元；所述设备层包括工业现场设备；所述攻击主机中部署有攻击系统，所述工业现场设备至少包括权利要求1-5任一项所述的核电控制系统安全测试环境仿真装置；

所述攻击安全防护系统至少包括三种模式：正常运行状态、攻击演示运行状态和安全防护运行状态；

在正常运行状态下，所述攻击系统和所述安全防护系统为关闭状态，所述攻击安全防护系统用于模拟正常情境下的核电控制系统的运行过程，所述运行过程包括启堆、功率运行、停堆和紧急停堆操作；

在攻击演示运行状态下，所述攻击系统为运行状态，所述安全防护系统为关闭状态，所述攻击安全防护系统用于展示核电控制系统在受到网络安全攻击后所展示出的效果和行为；

在安全防护运行状态下，所述攻击系统和所述安全防护系统为运行状态；所述攻击安全防护系统用于展示核电控制系统在受到网络安全攻击后所展示出的效果和行为，以及，用于对网络安全攻击进行有效的阻止，并对通信数据进行脱敏处理。

7.根据权利要求6所述的一种攻击安全防护系统，其特征在于，所述攻击系统包括攻击脚本模块、攻击执行模块和攻击扩展模块；

所述攻击脚本模块，用于提供多种攻击脚本；所述攻击脚本包括U盘摆渡攻击、工业协议攻击和拒绝服务；

所述攻击执行模块，用于提供攻击脚本运行的引擎服务；

所述攻击扩展模块，用于为用户提供对外服务的接口，所述对外服务的接口用于将自有攻击脚本集成到攻击脚本模块中。

8.根据权利要求6或者7所述的一种攻击安全防护系统，其特征在于，所述攻击系统中的攻击演示状态包括：

1)操作工业主机将配置的攻击脚本的发送至目标主机的IP地址及开放的端口服务并执行，恶意流量通过交换机设备发送至工业主机机，或者将物理U盘接入工业主机USB接口；

2)工业主机具备U盘摆渡攻击入侵提示功能，并且组态软件版本具备指定漏洞，能够被蠕虫病毒所利用，并当蠕虫病毒在入侵工业主机后，并成功利用组态软件漏洞后，工业主机将弹出提示框，表明工业主机已经被感染；

3)控制器针对蠕虫攻击提供告警功能；蠕虫病毒利用组态软件与控制器建立通信链接的过程，将恶意代码下发至控制器，此时控制器将亮起告警指示灯，表示控制器受到蠕虫病毒入侵；

4)蠕虫病毒利用组态软件及控制器存在的安全漏洞，伪装工业主机向工业现场设备下发控制指令，工业现场设备执行无规律动作，对采集的工业现场数据进行篡改，并上传至工业主机。

9.根据权利要求6所述的一种攻击安全防护系统，其特征在于，所述安全防护系统包括系统管理模块、网络安全检测防护模块、业务逻辑防护模块、工业数据安全防护模块和安全防护扩展模块；

所述系统管理模块，用于提供用户登录、权限管理、操作管理及各功能模块启停管理功能；

所述网络安全检测防护模块，用于提供基于通信流量的网络安全攻击行为和病毒的入侵检测识别、网络通信带宽监控及容量上限配置、通信设备黑名单配名单配置、恶意行为特征库、病毒库更新及传统防火墙常见功能；

业务逻辑防护模块，用于提供业务逻辑“恶意操作行为”黑名单配置功能；其中，通过构建“恶意操作行为”黑名单方式，防御针对核电业务运行逻辑的恶意操作及攻击行为；

工业数据安全防护模块，用于提供工业数据脱敏算法及还原算法库和工业通信转换协议库，并支持脱敏算法、还原算法及转换协议的选择配置；其中，用户在工业数据脱敏算法及还原算法库和工业通信转换协议库可为用户提供多种数据脱敏、还原法以及进行协议转化的工业通信协议，防止核电控制系统工业通信协议被恶意提取分析以及工业现场数据的窃取、篡改；

安全防护扩展模块，用于采用插板卡件形式设计安全防护系统，预定义系统数据函数接口，且根据用户进行安全防护算法自定义编程调用；所述安全防护算法包括数据建模、数据脱敏、数据压缩和数据恢复。

10.根据权利要求6所述的一种攻击安全防护系统，其特征在于，对于上行数据，当安全防护系统在接收到控制器的通信数据后，首先对核电私有协议进行解析，提取功能码和和核心数据；然后将功能码和核心数据进行脱敏处理，并以用户选择的转换协议格式进行报文重组，最后将通信数据发送给其他模块；

对于下行数据，工业主机根据用户选择的通信协议格式将数据发送给安全防护系统，在经过工业数据安全防护模块时，由工业数据安全防护模块提取协议中的脱敏的功能码和核心数据，并采用还原算法进行还原出处理后，将其按照核电控制系统私有协议的格式进行重组后发送给业务逻辑防护模块。

Images