基于Web服務(wù)的OPC XML-DA規(guī)范解決遠(yuǎn)程監(jiān)控安全問(wèn)題

1、 引言

信息技術(shù)的發(fā)展，使得自動(dòng)化系統(tǒng)結(jié)構(gòu)逐步形成全分布網(wǎng)絡(luò)集成自控系統(tǒng)。現(xiàn)場(chǎng)總線正是順應(yīng)這一形勢(shì)發(fā)展起來(lái)的新技術(shù)。利用Internet對(duì)現(xiàn)場(chǎng)進(jìn)行遠(yuǎn)程的實(shí)時(shí)監(jiān)控是當(dāng)前控制領(lǐng)域的熱點(diǎn)，實(shí)現(xiàn)工業(yè)實(shí)時(shí)數(shù)據(jù)Web瀏覽也是工業(yè)信息監(jiān)控發(fā)展的必然趨勢(shì)。近年來(lái)，隨著Internet的迅速發(fā)展及控制自動(dòng)化技術(shù)的不斷提高，企業(yè)的信息化程度也越來(lái)越被企業(yè)所重視。遠(yuǎn)程監(jiān)控作為企業(yè)信息系統(tǒng)的一部分，可以使企業(yè)信息系統(tǒng)向Internet上延伸，綜合的實(shí)現(xiàn)企業(yè)信息系統(tǒng)中過(guò)程監(jiān)控層的“遠(yuǎn)程組態(tài)”、“報(bào)警提示”、“實(shí)時(shí)歷史曲線”以及與ERP集成等多種功能。企業(yè)充分利用計(jì)算機(jī)、互聯(lián)網(wǎng)等現(xiàn)代信息技術(shù)，將企業(yè)的生產(chǎn)、經(jīng)營(yíng)及管理流程在線實(shí)現(xiàn)，并使企業(yè)真正可以在線獲得完整而及時(shí)的信息。

傳統(tǒng)基于OPC的現(xiàn)場(chǎng)總線監(jiān)控系統(tǒng)所設(shè)計(jì)的客戶/服務(wù)器結(jié)構(gòu)模式，把數(shù)據(jù)采集者視為OPC服務(wù)器，其他的訪問(wèn)端視為OPC客戶端。通常，客戶端包含大部分業(yè)務(wù)邏輯。如果系統(tǒng)業(yè)務(wù)邏輯僅僅使用或需要一個(gè)簡(jiǎn)單的數(shù)據(jù)源時(shí)，這種結(jié)構(gòu)能夠運(yùn)行得很好。然而當(dāng)系統(tǒng)需要具有可擴(kuò)展性，系統(tǒng)功能要求不斷增加，數(shù)據(jù)庫(kù)性能需要不斷提高時(shí)，這種客戶端/服務(wù)器結(jié)構(gòu)就不能夠滿足要求，特別在實(shí)現(xiàn)遠(yuǎn)程監(jiān)控及實(shí)現(xiàn)客戶跨平臺(tái)的要求方面，C/S模式已經(jīng)表現(xiàn)出自己的弊端。隨著計(jì)算機(jī)通信和網(wǎng)絡(luò)技術(shù)的不斷發(fā)展，計(jì)算機(jī)網(wǎng)絡(luò)為工業(yè)控制系統(tǒng)提供了新的發(fā)展空間與技術(shù)支持。以Web服務(wù)層為監(jiān)控系統(tǒng)中間層的B/S（Web瀏覽器/Web服務(wù)器/數(shù)據(jù)庫(kù)服務(wù)器）模式，已經(jīng)逐漸發(fā)展起來(lái)。

2 、基于Web服務(wù)的OPC XML-DA規(guī)范

2.1 OPC技術(shù)

OPC（OLE for process control）用于過(guò)程控制的對(duì)象鏈接與嵌入，是作為工業(yè)標(biāo)準(zhǔn)定義的特殊的COM接口，它是基于微軟的OLE/COM/DCOM技術(shù)，按照標(biāo)準(zhǔn)的方法來(lái)完成不同設(shè)備之間數(shù)據(jù)交換的問(wèn)題。在OPC出現(xiàn)之前，工控軟件通常依靠動(dòng)態(tài)數(shù)據(jù)交換（DDE）進(jìn)行數(shù)據(jù)訪問(wèn)，比如數(shù)據(jù)的讀取、更新、訂約、寫入等。OPC的出現(xiàn)大大地提高了數(shù)據(jù)傳輸效率以及對(duì)事務(wù)的處理能力，同時(shí)利用Windows系統(tǒng)對(duì)DCOM的安全機(jī)制也提供了一定安全性管理的能力。但隨著網(wǎng)絡(luò)技術(shù)的迅猛發(fā)展和企業(yè)信息管理系統(tǒng)對(duì)互操作性要求的提高，特別是OPC應(yīng)用在Internet遠(yuǎn)程網(wǎng)絡(luò)通信及跨平臺(tái)連接時(shí)，基于COM/DCOM的OPC標(biāo)準(zhǔn)逐漸不能滿足客戶需求。為此，OPC基金會(huì)正式于2003年推出了基于XML Web服務(wù)的最新標(biāo)準(zhǔn)OPC XML-DA規(guī)范1.0版。

2.2 OPC XML-DA

在OPC規(guī)范中，數(shù)據(jù)訪問(wèn)（DA）規(guī)范具有極其重要的地位，因此研究得比較成熟，所以O(shè)PC基金會(huì)目前推出的基于Web服務(wù)的規(guī)范也初始定義在數(shù)據(jù)訪問(wèn)規(guī)范上，即OPC XML-DA規(guī)范。使用基于Web服務(wù)作為遠(yuǎn)過(guò)程調(diào)用的方式有如下的優(yōu)勢(shì)：跨平臺(tái)，基于Internet/Intranet實(shí)現(xiàn)遠(yuǎn)程人機(jī)接口 （HMI），智能現(xiàn)場(chǎng)設(shè)備直接支持OPC。

OPC XML-DA規(guī)范的建立，用于將OPC數(shù)據(jù)向Internet上的應(yīng)用程序開(kāi)放，實(shí)現(xiàn)了工業(yè)控制領(lǐng)域工廠底層與企業(yè)管理自動(dòng)化的集成。OPC DA提供了不用開(kāi)發(fā)專門的通信軟件就可以訪問(wèn)設(shè)備的最好的方法，而OPC XML-DA又是實(shí)現(xiàn)遠(yuǎn)程和跨平臺(tái)數(shù)據(jù)交換的一種最好方法。它建立在OPC DA規(guī)范基礎(chǔ)上，是基于XML技術(shù)的接口規(guī)范，通過(guò)兩個(gè)Web Services的基礎(chǔ)技術(shù)XML和SOAP將數(shù)據(jù)暴露出來(lái)，用于連接高層ERP和其他企業(yè)應(yīng)用程序。它用SOAP作為對(duì)應(yīng)用程序共享消息進(jìn)行包裝的標(biāo)準(zhǔn)協(xié)議，使用WSDL對(duì)Web服務(wù)進(jìn)行描述，在OPC XML-DA客戶端和服務(wù)器之間通過(guò)HTTP協(xié)議傳輸Web服務(wù)，標(biāo)準(zhǔn)化的XML詞匯使得工業(yè)應(yīng)用得到保障，所有過(guò)程控制系統(tǒng)可以采用相同的語(yǔ)言進(jìn)行數(shù)據(jù)信息交換，保證了應(yīng)用程序間的互操作，并實(shí)現(xiàn)與高層間共享和交換數(shù)據(jù)。

2.3 Web Service

利用OPC XML-DA實(shí)現(xiàn)在Internet遠(yuǎn)程監(jiān)控，需要在Web Service框架下完成。Web Service是在現(xiàn)有的各種異構(gòu)平臺(tái)的基礎(chǔ)上構(gòu)筑一個(gè)通用的與平臺(tái)、語(yǔ)言無(wú)關(guān)的技術(shù)層，不同的企業(yè)所開(kāi)發(fā)的不同平臺(tái)上的各種應(yīng)用可以依靠這個(gè)技術(shù)層實(shí)現(xiàn)彼此的連接和集成。Web Service通過(guò)標(biāo)準(zhǔn)的網(wǎng)絡(luò)協(xié)議向網(wǎng)絡(luò)用戶提供各種服務(wù)，Internet上任何地點(diǎn)、任何平臺(tái)上的應(yīng)用程序只要符合Web Service的標(biāo)準(zhǔn)都可以從它的公共接口獲得服務(wù)，使得不同的應(yīng)用程序在Internet上共享和交換數(shù)據(jù)更加的容易。Web Service的具體規(guī)范如下：

1） 利用擴(kuò)展標(biāo)記語(yǔ)言XML描述傳輸信息。遠(yuǎn)程調(diào)用服務(wù)的過(guò)程通常需要傳遞參數(shù)和返回結(jié)果，在Web Service中，這些都使用XML進(jìn)行描述。良好的數(shù)據(jù)存儲(chǔ)格式、可擴(kuò)展性、高度結(jié)構(gòu)化、便于網(wǎng)絡(luò)傳輸使得XML可以更好的描述所傳輸?shù)臄?shù)據(jù)元素。

2） 以簡(jiǎn)單對(duì)象訪問(wèn)協(xié)議SOAP作為Web Service的調(diào)用協(xié)議。它是一種基于XML用于在應(yīng)用程序之間以對(duì)象的形式交換數(shù)據(jù)的表示層通信協(xié)議，是Web Services的核心，是用戶端與服務(wù)器端之間進(jìn)行溝通的特殊語(yǔ)言。SOAP協(xié)議有助于實(shí)現(xiàn)大量異構(gòu)程序和平臺(tái)之間的互操作性，從而使現(xiàn)存的應(yīng)用能夠被廣泛的用戶訪問(wèn)。

3） 以Web服務(wù)描述語(yǔ)言WSDL描述Web Service相關(guān)信息。WSDL文檔中描述了所有公開(kāi)函數(shù)的信息，所有XML消息的數(shù)據(jù)類型信息以及使用的特定的傳輸協(xié)議的信息和用于定位特定服務(wù)的地址信息。通過(guò)WDSL文檔，客戶端可以得到它需要的所有相關(guān)的Web Service的服務(wù)。

4） 統(tǒng)一描述、發(fā)現(xiàn)和集成協(xié)議UDDI。Web Service客戶端開(kāi)發(fā)人員需要某種機(jī)制來(lái)確定有哪些可供使用的服務(wù)，以及他們提供什么樣的服務(wù)，如何調(diào)用這些服務(wù)，開(kāi)發(fā)商在Internet上公布如何推出自己的Web Service，這些都需要UDDI來(lái)完成，它提供了一種讓客戶端動(dòng)態(tài)發(fā)布和查找Web Service的機(jī)制。

3、 B/S架構(gòu)的遠(yuǎn)程監(jiān)控系統(tǒng)

B/S（Browser/Server） 以Web服務(wù)器為中間層，底層為數(shù)據(jù)服務(wù)層，上層表示層是與Internet連接的Web瀏覽層。利用OPC接口實(shí)現(xiàn)OPC DA與現(xiàn)場(chǎng)設(shè)備之間的通信，以COM/DCOM通信方式實(shí)現(xiàn)OPC DA服務(wù)器和OPC XML-DA之間通信方式。然后利用HTTP、TCP/IP等協(xié)議實(shí)現(xiàn)遠(yuǎn)程客戶與OPC XML-DA服務(wù)器間的通信，從而使得用戶可以在客戶端利用標(biāo)準(zhǔn)網(wǎng)頁(yè)瀏覽器（Browser）實(shí)時(shí)監(jiān)控工業(yè)現(xiàn)場(chǎng)的動(dòng)態(tài)工藝流程，遠(yuǎn)程訪問(wèn)控制現(xiàn)場(chǎng)獲得數(shù)據(jù)，達(dá)到遠(yuǎn)程監(jiān)視和控制目的。結(jié)構(gòu)圖如圖1所示：

圖1 B/S架構(gòu)的遠(yuǎn)程監(jiān)控系統(tǒng)

數(shù)據(jù)服務(wù)層位于整個(gè)監(jiān)控系統(tǒng)的底層，主要包括各種PLC、智能儀表、傳感器以及各種現(xiàn)場(chǎng)總線設(shè)備等。在這里，以LonWorks為現(xiàn)場(chǎng)控制總線，當(dāng)LonWorks智能芯片采集到數(shù)據(jù)后，按照統(tǒng)一、開(kāi)放的數(shù)據(jù)訪問(wèn)標(biāo)準(zhǔn)，將數(shù)據(jù)返回給同樣位于底層的OPC DA服務(wù)器，此時(shí)位于Web服務(wù)層的OPC XML-DA服務(wù)器接收OPC DA服務(wù)器所傳來(lái)的數(shù)據(jù)，同時(shí)要完成上層Web服務(wù)器以XML文檔方式所傳來(lái)的請(qǐng)求服務(wù)，并將所獲得的數(shù)據(jù)以XML方式發(fā)送回Web服務(wù)器。

在OPC DA服務(wù)器和OPC XML-DA服務(wù)器之間通信方式為COM/DCOM，此時(shí)OPC XML-DA相當(dāng)于OPC DA服務(wù)器的客戶端，來(lái)獲取OPC DA服務(wù)器端的實(shí)時(shí)數(shù)據(jù)。不同的OPC XML-DA服務(wù)器采用統(tǒng)一的XML數(shù)據(jù)傳輸格式，這樣可以集成為一個(gè)OPC XML-DA平臺(tái)，各個(gè)OPC-XML服務(wù)器之間可以互相進(jìn)行通信，交換數(shù)據(jù)。OPC XML-DA平臺(tái)對(duì)上層不同的客戶端提供統(tǒng)一的接口，響應(yīng)客戶端所提出的服務(wù)，當(dāng)客戶端請(qǐng)求服務(wù)時(shí)，通過(guò)平臺(tái)將客戶端所請(qǐng)求的服務(wù)轉(zhuǎn)向各個(gè)OPC XML-DA服務(wù)器，來(lái)執(zhí)行所要請(qǐng)求的服務(wù)。

位于Web服務(wù)層的OPC XML-DA服務(wù)器包括Web服務(wù)器組件和OPC XML-DA組件。在OPC XML-DA服務(wù)器端，通過(guò)WSDL解讀OPC XML-DA規(guī)范，了解用戶需求，創(chuàng)建了Web Services的框架。Web服務(wù)器組件和OPC XML-DA組件之間有Web Services接口，它由一些接口函數(shù)組成，通過(guò)它對(duì)數(shù)據(jù)進(jìn)行操作。這個(gè)接口主要用于解析Web服務(wù)器組件以XML文檔形式傳來(lái)的服務(wù)請(qǐng)求和從OPC XML-DA組件獲取的實(shí)時(shí)數(shù)據(jù)以XML形式返回給Web服務(wù)器組件。Web服務(wù)器組件可以由Internet Information Server（IIS）、SQL Server構(gòu)成，用以接收客戶端請(qǐng)求和返回客戶端服務(wù)，并調(diào)用相應(yīng)的數(shù)據(jù)庫(kù)。

OPC XML-DA的客戶端可以是一臺(tái)Internet/Intranet上的計(jì)算機(jī)，通過(guò)瀏覽器（IE），向Web服務(wù)器發(fā)送請(qǐng)求頁(yè)面的域名和全路徑名稱信息，客戶端利用從服務(wù)器下載的網(wǎng)頁(yè)實(shí)現(xiàn)遠(yuǎn)程測(cè)控和管理的工作，網(wǎng)頁(yè)中內(nèi)嵌ActiveX控件或者Java Applet的程序文件，進(jìn)行初始化操作。比如，設(shè)置布局、建立TCP/IP連接等。然后進(jìn)行登錄，當(dāng)?shù)卿洺晒?，?dāng)服務(wù)器允許連接時(shí)，發(fā)出TCP連接響應(yīng)，客戶計(jì)算機(jī)和服務(wù)器之間就建立了TCP連接，可以直接進(jìn)行通信，讀取服務(wù)器上的畫(huà)面文件。遠(yuǎn)程客戶通過(guò)控件提供的操作界面，進(jìn)行遠(yuǎn)程監(jiān)控、維護(hù)和管理等操作。在運(yùn)行過(guò)程中，系統(tǒng)負(fù)責(zé)發(fā)送/接收數(shù)據(jù)，并更新相應(yīng)畫(huà)面。OPC XML-DA客戶端通過(guò)存儲(chǔ)于服務(wù)器中Web Services接口，發(fā)出所要請(qǐng)求的服務(wù)?？蛻舳瞬粎⑴c執(zhí)行過(guò)程，它只需接收在OPC XML-DA 服務(wù)器端執(zhí)行的結(jié)果。

OPC XML-DA客戶端在Web Service框架下與OPC XML-DA服務(wù)器之間的通信如圖2所示：

圖2 Web Service框架下OPC XML-DA客戶端與服務(wù)器端的通信

4 、遠(yuǎn)程監(jiān)控安全問(wèn)題的解決方案

本地局域網(wǎng)連接時(shí)，基于DCOM的OPC服務(wù)器使用防火墻保護(hù)工廠數(shù)據(jù)，而引入Web服務(wù)之后，過(guò)程控制信息不再局限于LAN以內(nèi)，使得過(guò)程控制信息暴露給了連接在Internet上的所有用戶，系統(tǒng)安全的主要風(fēng)險(xiǎn)在于信息被任意篡改的

可能行。由于OPC XML-DA規(guī)范的剛剛制定，OPC XML-DA還沒(méi)有單獨(dú)規(guī)定的安全行機(jī)制，這需要客戶端和Web服務(wù)端對(duì)網(wǎng)絡(luò)安全進(jìn)行相應(yīng)的配置。具體方式如下：

（1） 身份驗(yàn)證

在身份驗(yàn)證問(wèn)題上可以采用傳統(tǒng)的用戶ID加口令，只有注冊(cè)并獲得授權(quán)的用戶才有可能進(jìn)行遠(yuǎn)程監(jiān)控等操作。為預(yù)防口令遍歷攻擊，系統(tǒng)對(duì)口令驗(yàn)證連續(xù)三次失敗的用戶自動(dòng)斷開(kāi)與其建立的TCP連接。

（2）數(shù)字簽名

為了確保用戶信息與監(jiān)控?cái)?shù)據(jù)不會(huì)被篡改，需要引入數(shù)字簽名技術(shù)?？梢栽诳蛻舳薟eb瀏覽器與服務(wù)器端通信時(shí)在Microsoft IIS服務(wù)器處配置設(shè)置SSL。SSL通過(guò)數(shù)字證書(shū)進(jìn)行數(shù)字簽名實(shí)現(xiàn)通信雙方的身份鑒別以及所做操作的不可抵賴性，并通過(guò)對(duì)稱加密實(shí)現(xiàn)信息傳輸?shù)臋C(jī)密性，通過(guò)信息摘要技術(shù)實(shí)現(xiàn)信息傳輸?shù)耐暾钥刂啤?/p>

（3）訪問(wèn)控制

對(duì)客戶端做好權(quán)限的分配，在確認(rèn)用戶的身份后，我們從用戶信息庫(kù)中把用戶權(quán)限信息讀入內(nèi)存中，根據(jù)這些細(xì)化的權(quán)限信息，對(duì)用戶的狀態(tài)與操作進(jìn)行跟蹤、驗(yàn)證權(quán)限，并做好記錄。

（4）系統(tǒng)日志

為了跟蹤系統(tǒng)的運(yùn)行狀況，以便追究使用者的責(zé)任，需要在服務(wù)器端有詳細(xì)的記錄，包括遠(yuǎn)程客戶的登錄時(shí)間、IP地址、組態(tài)操作、連接時(shí)間等。定期審查日志可以提高系統(tǒng)的安全性。

5、 結(jié)束語(yǔ)

基于Internet的遠(yuǎn)程實(shí)時(shí)監(jiān)控采用了OPC XML-DA規(guī)范，并與Web Services相結(jié)合，能夠滿足遠(yuǎn)程用戶對(duì)需求參數(shù)的監(jiān)視和控制，在互聯(lián)網(wǎng)上真正可以在線獲得完整而及時(shí)的信息。B/S結(jié)構(gòu)的應(yīng)用使得客戶端不需要安裝任何軟件，通過(guò)計(jì)算機(jī)的標(biāo)準(zhǔn)瀏覽器就可以訪問(wèn)現(xiàn)場(chǎng)數(shù)據(jù)，極大地提高了系統(tǒng)的靈活性，也擴(kuò)展了系統(tǒng)訪問(wèn)的地域性。OPC XML-DA在遠(yuǎn)程實(shí)時(shí)監(jiān)控中的應(yīng)用，為控制領(lǐng)域的企業(yè)的全面信息化提供了很好的途徑。隨著OPC XML其他規(guī)范的不斷完善，基于Internet的遠(yuǎn)程實(shí)時(shí)監(jiān)控必將成為未來(lái)企業(yè)的主要服務(wù)方式。

責(zé)任編輯：gt