褚健：工业互联网安全必须引起高度重视

    近日，在强网论坛工业互联网安全分论坛上，宁波工业互联网研究院院长褚健作了主题演讲。褚院长在演讲中强调，现在工业信息化安全、网络安全的确是一个大的问题，必须引起高度重视，国家工控安全的体系，特别是国家重大基础设施、或者是核心基础设施的控制系统如果说被攻击了，不仅仅导致了企业内部的损失，甚至可以导致国民经济的混乱，也会危及国家的安全。以下为褚院长演讲全文，以飨读者。
　　现在工业信息化安全、网络安全的确是一个大的问题，就像十几年前说两化融合。想想以前的拖拉机、桑塔纳，这种车辆没有什么网络安全的问题，很安全，但是先进技术不断应用以后，安全问题就出来了，特别是数字化、网络化。
　　这两年提出来一个工业操作系统如何能够推进智能制造？随着两化融合，也就是企业内部不断的加深互联网的应用，可能原来从外部不能攻进去的，不能影响生产的，现在就变成完全可能了，这个可能我们现在必须需要引起重视。
　　第一，什么是智能制造？流程工业企业，特别是化工、石化、炼油、钢铁，这一类的制造业，大多数一天24小时，一年365天都在连续运转，对于化工企业来讲，尤其面临着安全的问题、环保的问题、节能降耗问题、减人增效的问题。无论这种企业叫不叫智能制造，无论你采用什么样的理念，最关键的是能不能把这些问题解决掉？如果说一个企业环保达标了，甚至是最高标准了，生产是绝对安全的，不太会出事故的，或者出事故也能有效的控制的。我们国家单位GDP的能耗、物耗跟发达国家相比要高很多，有的甚至高一倍以上，如果能够把能耗、物耗降下来，不管他叫什么智能制造，哪怕你叫他最土的好了，只要这些问题解决了，肯定是最好的，因为企业必须要赚钱，必须要活下去，所以从这个角度来看，智能制造肯定是方向，到底是什么？我所理解的，就是必须要知道危险源在哪里。产品质量能不能形成一个大闭环？是在某个装置？还是某个回路？物耗、能耗到底在哪里是最明显的？生产的各种过程能不能可视化？装备会不会出问题？所有这些信息能不能看得见，其实很多都检测不到，不要说看得见，不要说摸得着，但是怎么让生产过程变成可视化？所有的管理环节上，能不能知道这个瓶颈在哪里？如果这些问题知道了，那就有办法去解决了，包括在这里面知道的一次数据、二次数据，包括决策数据，怎么能够提供给管理者。
　　前面讲的安全环保、质量等等这5个方面的问题，回归到成本最优化、利润最大化，解决这些问题完全不止这么一些，还有更多的东西，包括底层的、生产过程的智能化，安全的智能化、环保的智能化、装备的智能化。除了硬件，就是大量的软件，如果说有这样的一些工具，就有可能解决上面这些问题。
　　作为一个工厂内部的工业互联网，如果从搞自动化的角度来讲，现在的大企业可能有3万、5万或10万要连接的结点。20年前，完全可以做到全部的数字化连接起来，到今天，其实也没有完全用数字化的设备，还是模拟的，所以说连接不是问题，关键是连接以后如何能够用软件去解决刚才讲的那些问题。智能制造就是像一个正常、简单的一个健康人和一个聪明的、智慧的健康人的区别，今天工厂也能生产，但是能耗高、物耗高，人力资源成本大等等，基于此，工业互联网和智能制造的关系是不是可以这么去理解：工业互联网和智能制造和工业4.0，应该还是相似的，工业4.0比较泛一点，1.0、2.0、3.0、4.0，现在第四次工业革命，到底革命什么东西？变化什么东西？相对来讲是一个大口袋，什么都往里面装，智能制造又有一定局限性，智能这两个字有点敏感，弄的不好就被搞坏掉了，中国人也喜欢用新的名词，用着用着，过两天也不知道怎么样了。工业互联网我还觉得更像是一个工具类。无论你用什么概念，都离不开后面这5个T，PT就是工艺技术，ET就是设备技术，OT是操作技术，AT是自动化技术，RAT的技术，如果针对工业领域说，不管你想参与到工业领域多少，对这个PT、ET必须是要知道的，或者有所了解，当然你不可能成为专家，你可以跟设计院、跟用户进行很好的沟通交流，否则的话，我觉得智能制造就太容易了。
　　PT和ET实际上就是知识，OT是很多的数据，只有通过这些知识和数据才可以构建相应的模型，因为这个模型不像移动互联网的数据是没有逻辑关系的，各种随机的。对工业领域来讲，这种没有逻辑关系的数据，基本上是没有的，总体上来讲，绝大多数还是有逻辑关系的，虽然模型不一定准，但是还是有模型的。AT就是工业互联网，刚才讲的连接工业设备和工业操作。最终把这些技术全部加在一起才能构成智能制造，这是我所理解的。
　　如何实现智能制造？我的一个想法，是要有一个工业操作系统，根据这样一个需求，要研究如何能够把一个工厂变成可视化？如何能够使得所有的数据、信息建立在一个统一的平台上？相当于我们在开汽车的时候仪表盘上我们可以看到所有想看的东西，不重要的，比如说胎压数据我们不会天天看，一旦胎压不足的时候就会报警，那就行了，没有问题的时候就看最重要的参数。但是我想知道他所有的东西，然后各种各样的应用，在这样一个统一的数据平台上，如何把各种增值的服务加上去。这就让我想起所谓的智能手机，以前我们的手机叫功能手机，今天的手机叫智能机，我个人理解因为有安卓商店、苹果商店，因为在这个商店可以下载各种各样的应用软件，我们称之为APP，因为是基于IOS、安卓的操作系统，才有可能编制了各种各样的APP，如果没有这样的操作系统，把今天手机里面所有的硬件全部装回到10年前的时间，估计还是称之为功能手机。什么叫OS？就是管理和控制系统中所有芯片、设备、数据、通讯输入输出。
　　如果把智能手机的概念延伸到一个工厂，假定把一个工厂压缩成一台手机？里面的任何一个设备、任何一个管道都可以理解为一个芯片、一个线路，如果说没有大量的工业APP如何能实现智能制造呢？这实际上是很难的事情，我们现在也在提倡开发各种各样的工业APP，我个人觉得还是缺少了各种各样的皮，APP就是毛，如果没有安卓、IOS操作系统也不行。很多人做的各种各样的软件，能源管理的软件，设备监控的软件，不管他的公司有多大，工业领域的安全公司，就算他本事再大，他也解决不了中国几百万家的智能制造，据说中国有380万家制造企业，哪一个公司能够解决，对于工业领域，必须还是一步一个脚印来去实施的。
　　工业操作系统能不能成为智能制造的引擎？今天的制造只能称之为功能制造，如让更多的工业软件、APP嵌在企业内部，把一个企业内部所有的设备管理好。可以采集、监测、管理数据和通信，包括从原料、水田煤气，以及机电一控的设备，所有的设备都够检测到，同时也能够优化决策管理，生产组织，操作优化，计划调度，包括HSD，健康、安全、生态、环保，希望有这么一个操作系统，能够服务于千家万户的工业企业。
　　对于工业企业来讲，不外乎就这三点，企业上云，上云的目的就是能够降低成本。原来这些东西都没有想过需要保密，你只要找到想攻击的目标，就可以知道用的是谁的控制系统？是西门子的，还是谁的？你可以去找到定点攻击的阀门，把一个水池的水全部放空，这不影响整个水质。可以通过远程植入，根据需要就可以启动攻击，并让操作工最后——看不出来有任何变化，可以欺骗操作工，这样一个过程，逻辑都是一样的，就是我们看怎么去做？关键在于你对这个控制系统是否熟悉？
　　企业的管理网我认为就是一个互联网的工作，因为他基于TCP/IP协议，这个是连接了互联网和工控网的平台，因为基于的都是PC机，往上走通过了TCP/IP的协议，往下走就到了工控系统。去年我们在宁波建了工控安全靶场，也欢迎有关的专家，如果有兴趣可以合作，我们在构建一个炼油厂、自来水厂、城市交通等等这样一些实验装置，基本上应该说是一种非常真实的场景，可以供大家做实验。
　　我也希望建议我国国家工控安全的体系，特别是解决国家重大基础设施、或者是核心基础设施的，必须引起高度重视，这些控制系统如果说被攻击了，不仅仅导致了企业内部的损失，甚至可以导致国民经济的混乱，也会危及国家的安全。