1　引言

近年來(lái)，城市綜合管廊作為市政行業(yè)一項新興的工程類(lèi)別，建設項目逐年增多。綜合管廊亦稱(chēng)共同溝，是一種集給水、雨水、污水、再生水、天然氣、熱力、電力、通信等各種市政管線(xiàn)于一體，同時(shí)設置專(zhuān)門(mén)的檢修口、吊裝口、排水設施、消防設施、通風(fēng)設施和監測控制系統的地下集成化隧道，實(shí)行“統一規劃、統一建設、統一管理”，以做到地下空間的綜合利用和資源共享[1~3]。綜合管廊是城市的超級大動(dòng)脈，作為城市關(guān)鍵基礎設施，其工業(yè)控制系統信息安全需要重點(diǎn)關(guān)注?；诠芾茸陨硖攸c(diǎn)，為了保證管廊正常運行及人員安全，應建立綜合管廊監控與報警系統、工業(yè)控制系統信息安全策略，借助自動(dòng)化、信息化技術(shù)，有效提升綜合管廊的運行管理自動(dòng)化水平。

本文結合保定市東風(fēng)路西延綜合管廊對監控與報警系統、工業(yè)控制信息安全系統中各子系統的設備構成、布置原則及系統設計要點(diǎn)做了詳細闡述。

2　保定市東風(fēng)路西延管廊簡(jiǎn)介

保定市東風(fēng)路西延管廊位于保定市市區，全長(cháng)4公里，不超過(guò)200米設置一個(gè)防火分區，共設置23個(gè)防火分區。根據各類(lèi)管線(xiàn)專(zhuān)項規劃，東風(fēng)路西延管廊為干線(xiàn)管廊，敷設的管線(xiàn)有給水、中水、供熱、電力、通信、天燃氣等管線(xiàn)。采用矩形斷面，四艙布置形式，給水、中水、電信共用一艙，電力管線(xiàn)、供熱管線(xiàn)和天燃氣管線(xiàn)各單獨一艙，沿線(xiàn)設置有人員出入口、投料口、自然通風(fēng)口、機械通風(fēng)口、管線(xiàn)引出口及端井等特殊節點(diǎn)。東風(fēng)路西延管廊標準斷面尺寸為4350×2400+4350×4400mm+4350×3800+3000×2200（mm），如圖1所示。

圖1 管廊標準斷面示意圖

3　監控與報警系統構成

綜合管廊監控與報警系統包括：環(huán)境與設備監控系統、安全防范系統、通信系統、預警與報警系統、統一管理信息平臺[4~6]。監控與報警系統集成圖如圖2所示。

圖2 監控與報警系統集成圖

綜合管廊運行管理采用集散型控制模式，分為三層結構：信息層、控制層和設備層[7~8]。統一管理平臺設于監控中心，控制層由管廊沿線(xiàn)內部各現場(chǎng)控制站組成。各現場(chǎng)控制站通過(guò)配置的工業(yè)以太網(wǎng)交換機組成環(huán)網(wǎng)。監控中心內部的監控計算機通過(guò)以太網(wǎng)與現場(chǎng)控制站通訊，利用軟件形象地反映出管廊內部各設備的狀態(tài)、儀表監測數據和動(dòng)力配電箱的實(shí)時(shí)數據，監控計算機通過(guò)現場(chǎng)控制站實(shí)現設備的啟?？刂?。統一管理平臺將綜合管廊監控與報警系統各個(gè)子系統集成為一個(gè)相互關(guān)聯(lián)和協(xié)調的綜合系統，實(shí)現各系統統一管理、信息共享及相互聯(lián)動(dòng)控制，統一管理平臺具有與各專(zhuān)業(yè)管線(xiàn)單位信息共享的功能[9~10]。

4　監控與報警系統設計

以管廊的一個(gè)防火分區劃分為一個(gè)監控與報警分區。

4.1　環(huán)境與設備監控系統

環(huán)境與設備監控系統的功能是對綜合管廊全域內環(huán)境和設備的參數和狀態(tài)進(jìn)行全程監控，將實(shí)時(shí)監控信息準確、及時(shí)地傳輸到監控中心的統一管理信息平臺。

（1）環(huán)境監測

在每段綜合管廊進(jìn)風(fēng)口、控制站以及各防火分區的中部位置設置溫濕度儀、氣體探測儀（氧氣、甲烷及硫化氫）；在集水井處設置水位傳感器。

系統主要功能：

· 當監測到氧氣、甲烷、硫化氫等氣體含量超過(guò)一定標準時(shí)，系統立即報警，并可在自動(dòng)模式下聯(lián)動(dòng)相應區域風(fēng)機進(jìn)行強制換氣；

· 系統實(shí)時(shí)監測集水井水位超限信號，并根據水位超限信息進(jìn)行水泵控制操作；

· 系統具備環(huán)境參量超標自動(dòng)告警功能，并通過(guò)監控平臺以圖形、語(yǔ)音、短信等方式進(jìn)行報警與通知相關(guān)人員。

（2）設備控制

設備控制主要包括管廊現場(chǎng)防火門(mén)、風(fēng)機、風(fēng)閥、排水泵、照明系統等設備的控制，現場(chǎng)相應配有設備各自的控制箱，監控系統能通過(guò)區域現場(chǎng)控制單元對控制設備發(fā)出相應控制信號，控制信號可以是Modbus通訊信號或者干接點(diǎn)信號。

· 風(fēng)機控制

當環(huán)境監測系統檢測到氣體、濕度異常并引發(fā)報警時(shí)，可聯(lián)動(dòng)相關(guān)區段的風(fēng)機進(jìn)行強制換氣。當火災報警系統發(fā)出火情警報時(shí)，可聯(lián)動(dòng)確保相關(guān)區段的風(fēng)機關(guān)閉。

· 照明系統控制

綜合管廊綜合監控平臺軟件通過(guò)以太環(huán)網(wǎng)系統控制管廊現場(chǎng)的照明設備啟閉。當集中監控平臺接收到非法入侵報警或者其它監測系統報警，需要輔助攝像頭做現場(chǎng)確認時(shí)，遠程開(kāi)啟管廊現場(chǎng)照明設備，控制信號由當前區段控制單元輸出。

· 防火門(mén)控制

綜合管廊綜合監控平臺軟件可控制管廊現場(chǎng)的防火門(mén)啟閉。當管廊現場(chǎng)出現火情，系統聯(lián)動(dòng)人員定位、視頻系統確認現場(chǎng)無(wú)人員后，設置防火門(mén)關(guān)閉，避免火情蔓延，并聯(lián)動(dòng)消防系統實(shí)現隔離滅火功能。

· 排水控制

綜合管廊內積水坑內設置有排水泵，并配置液位計、液位開(kāi)關(guān)，實(shí)現排水泵的自動(dòng)啟、?？刂?。

· 供配電設備的監視

電氣參數監測，實(shí)時(shí)采集供配電系統各段母線(xiàn)的電壓、各回路的電流、各段線(xiàn)路的開(kāi)關(guān)狀態(tài)、能耗指標等參數。

4.2　安全防范系統

安防系統包含五部分：智能視頻監控系統、入侵報警系統、出入口門(mén)禁控制系統、電子巡查系統和人員定位系統。

（1）智能視頻監控系統

在管廊中需要重點(diǎn)監視的地方（分叉地段、管廊出入口、投料口等）安裝紅外夜視高清網(wǎng)絡(luò )攝像機，可以使值班工作人員通過(guò)綜合監控軟件平臺實(shí)時(shí)監控管廊環(huán)境狀態(tài)。

智能視頻監控系統同時(shí)具備圖像分析處理能力，對于進(jìn)入禁區的非法闖入行為自動(dòng)報警。

（2）入侵報警系統

在管廊的人員出入口、投料口、通風(fēng)口、逃生口等處設置紅外對射入侵報警系統，針對非法進(jìn)出入管廊的人員進(jìn)行監視和管理，防止非法入侵。如遇非法入侵能夠自動(dòng)報警，配以視頻監控能實(shí)時(shí)而直觀(guān)地觀(guān)察和記錄現場(chǎng)的實(shí)際情況。

（3）人員定位系統

本系統為基于射頻識別技術(shù)RFID的人員定位系統，在管廊出入口及艙室內相隔一定間距設置RFID讀寫(xiě)器，通過(guò)RFID接收器將信息反饋至監控中心。

（4）電子巡查系統

電子巡查系統是對管廊現場(chǎng)巡查行為進(jìn)行記錄并進(jìn)行監管和考核的系統，是安防系統的重要組成部分，能提高管廊巡檢工作的規范化及科學(xué)化水平，有效保障被巡檢設施處于良好狀態(tài)，實(shí)現綜合管廊管理的規范化、科學(xué)化和及時(shí)消除隱患等功能。

（5）出入口門(mén)禁控制系統

在管廊的人員出入口、管廊區域監控站出入口設置門(mén)禁控制系統，門(mén)禁控制系統應具有對非正常開(kāi)啟、出入口長(cháng)時(shí)間未關(guān)閉、通訊中斷、設備故障等非正常情況的實(shí)時(shí)報警功能。

4.3　通信系統

（1）固定式通信系統

在管廊內每個(gè)防火分區現場(chǎng)控制分站設置IP電話(huà)主機，在每個(gè)艙室設置IP電話(huà)副機。監控中心設有電話(huà)接入主機、工作站、接警電話(huà)等設備。管廊現場(chǎng)電話(huà)通過(guò)光纖環(huán)網(wǎng)可以實(shí)現各電話(huà)之間以及現場(chǎng)與監控中心的相互語(yǔ)音通話(huà)及音頻廣播，并可接入市話(huà)外線(xiàn)。

（2）無(wú)線(xiàn)通信系統

在管廊內采用無(wú)線(xiàn)局域網(wǎng)可實(shí)現管廊內移動(dòng)語(yǔ)音通信。在每個(gè)防火分區各艙室設置無(wú)線(xiàn)接入點(diǎn)AP，實(shí)現管廊內無(wú)線(xiàn)通信覆蓋。監控中心設有無(wú)線(xiàn)接入控制器AC，實(shí)現對管廊內AP的集中管理。巡檢人員通過(guò)手持VoIP手機通訊。

4.4　預警與報警系統

預警與報警系統包括：火災探測及自動(dòng)報警系統、爆管監測系統、可燃氣體探測報警系統。

（1）火災探測及自動(dòng)報警系統

在含有電力管線(xiàn)的艙室內設感煙探測器和火災聲光報警器，管廊內部設置手動(dòng)火災報警按鈕和火災報警器，手動(dòng)火災報警按鈕處設置電話(huà)插孔。在中壓及高壓電纜表面敷設纜式線(xiàn)型感溫光纜用于監控電纜溫度。

火災自動(dòng)報警系統具有聯(lián)動(dòng)功能，當火災確認后，消防聯(lián)動(dòng)控制器應聯(lián)動(dòng)關(guān)閉著(zhù)火分區及同艙室相鄰防火分區通風(fēng)機和防火閥；應啟動(dòng)管廊內同艙室所有的火災聲光報警器；打開(kāi)著(zhù)火分區及同艙室相鄰防火分區應急照明；聯(lián)動(dòng)相關(guān)攝像機監視報警現場(chǎng)，供監控中心確認并記錄；應聯(lián)動(dòng)人員出入口控制系統，釋放相應出入口控制裝置；火災報警控制器應聯(lián)動(dòng)自動(dòng)滅火控制器，啟動(dòng)消防滅火系統。

在綜合管廊控制中心內設火災報警上位機一臺、圖形控制系統一套及手動(dòng)控制柜一套，通過(guò)光纖網(wǎng)絡(luò )與設置在管廊現場(chǎng)控制站的區域火災報警控制器聯(lián)網(wǎng)。圖形控制系統可以顯示整個(gè)火災報警網(wǎng)絡(luò )系統的狀態(tài)。

（2）爆管監測系統

在含有熱力管線(xiàn)的艙室內應設置爆管監測系統，在每根供熱管道上平行捆綁敷設一根感溫光纖，光纖接入相應區間的感溫光纖主機，各主機通過(guò)通信系統將數據上傳至監控中心報警主機。

（3）可燃氣體探測報警系統

在燃氣艙每個(gè)防火分區設置一套可燃氣體報警控制器，在燃氣艙設可燃氣體探測器，探測器形式為紅外激光探測式。當天然氣濃度超過(guò)閾值時(shí)，應由可燃氣體控制器或消防聯(lián)動(dòng)控制器聯(lián)動(dòng)啟動(dòng)天然氣事故段分區及其相鄰分區的事故通風(fēng)設備。

5　工業(yè)控制系統信息安全系統設計

近年來(lái)工業(yè)控制系統安全事故頻發(fā)并出現逐年上升趨勢，工業(yè)控制系統信息安全引起了國內外高度重視[11~15]。綜合管廊作為城市的超級大動(dòng)脈，屬于國家關(guān)鍵基礎設施，應依照國家標準加強網(wǎng)絡(luò )安全防護。根據GB 51354-2019《城市地下綜合管廊運行維護及安全技術(shù)標準》，綜合管廊信息系統及其設備應具備防病毒和防網(wǎng)絡(luò )入侵措施[16~18]。根據GB/T 22240-2008《信息安全技術(shù)信息系統安全等級保護定級指南》及GB/T 22239-2019《信息安全技術(shù)網(wǎng)絡(luò )安全等級保護基本要求》，確定該綜合管廊信息系統安全保護等級及基本安全保護能力為第三級[19]。

為實(shí)現工控系統等級保護安全合規的建設需求，保障綜合管廊工業(yè)控制系統信息安全，本設計引入一系列安全軟硬件進(jìn)行安全防護，具體如下。

5.1　工業(yè)防火墻系統

在生產(chǎn)網(wǎng)和工程師操作站交換機之間部署工業(yè)防火墻進(jìn)行邊界防護和邏輯隔離，同時(shí)進(jìn)行訪(fǎng)問(wèn)控制，防止來(lái)自工程師站的網(wǎng)絡(luò )攻擊。

在綜合管廊統一管理平臺與各專(zhuān)業(yè)管線(xiàn)單位外網(wǎng)之間部署工業(yè)防火墻，防火墻支持VPN功能，實(shí)現了內外網(wǎng)隔離，既能防止傳統的IT攻擊，也能識別OT攻擊，滿(mǎn)足了安全接入智慧城市建設要求。

工業(yè)防火墻具備工業(yè)入侵檢測功能，擁有工業(yè)特征庫、威脅特征庫和漏洞庫，防火墻具有AI模塊，通過(guò)部署在網(wǎng)絡(luò )中識別工控協(xié)議流量，可對網(wǎng)絡(luò )中的威脅流量進(jìn)行告警和阻斷。

5.2　入侵檢測系統

在核心交換機旁路部署入侵檢測系統，入侵檢測技術(shù)：支持基于IP碎片重組、TCP流重組、會(huì )話(huà)狀態(tài)跟蹤、應用層協(xié)議解碼等數據流處理方式的攻擊識別；支持模式匹配、異常檢測、統計分析，以及抗IDS/IPS逃逸等多種檢測技術(shù)。

協(xié)議分析： 可依據端口識別協(xié)議類(lèi)型， 分析HTTP、SMTP、POP3、FTP、Telnet、VLAN、MPLS、ARP、GRE等多種協(xié)議。

特征規則：內置攻擊特征庫，特征數量超過(guò)2500條，并可自定義攻擊特征，可阻擋蠕蟲(chóng)、木馬、間諜軟件、廣告軟件、緩沖區溢出、掃描、非法連接、SQL注入、XSS跨站腳本等多種攻擊。

5.3　工業(yè)審計系統

在每個(gè)生產(chǎn)區域網(wǎng)絡(luò )邊界位置的交換機上旁路部署一套工業(yè)審計系統，對工業(yè)控制系統的網(wǎng)絡(luò )傳輸信息的實(shí)時(shí)采集、實(shí)時(shí)分析、實(shí)時(shí)告警及日志存儲進(jìn)行審計。展現異常主機接入事件、工業(yè)異常行為事件、工業(yè)網(wǎng)絡(luò )入侵事件，對網(wǎng)絡(luò )攻擊行為留存證據，發(fā)現工業(yè)控制系統網(wǎng)絡(luò )潛在的威脅者。記錄工業(yè)控制系統的訪(fǎng)問(wèn)日志和事件日志，日志可以實(shí)時(shí)上傳給工業(yè)監管平臺。

5.4　工業(yè)主機衛士

所有操作員站，監控主機上部署工業(yè)衛士軟件。工業(yè)衛士軟件具有白名單功能，打造安全管理中心，白環(huán)境僅允許運行受信任的PE文件，完善相應的加固策略，提升安全級別，有效阻止病毒、木馬等惡意軟件的執行和被利用，實(shí)現工控主機從啟動(dòng)、加載、運行等過(guò)程全生命周期的安全保障。

5.5　工業(yè)監管平臺

工業(yè)控制系統在做好信息安全的相關(guān)建設或整改后，增加了網(wǎng)絡(luò )安全性，但也增加了一定的管理難度。在控制層部署工業(yè)監管平臺系統，對所使用的安全設備進(jìn)行統一管理，主要包括數據監測、日志收集和報警展示，運維管理人員可通過(guò)工業(yè)監管平臺系統監控全網(wǎng)的報警信息，發(fā)生安全事件后，可第一時(shí)間采取處置措施。

5.6　工業(yè)漏洞掃描系統

網(wǎng)絡(luò )邊界部署工業(yè)漏洞掃描系統。發(fā)現可能存在的已知漏洞，并在充分測評評估后，及時(shí)修補漏洞。工業(yè)漏掃系統能夠全面、精準地檢測信息系統中存在的各種脆弱性問(wèn)題，包括各種安全漏洞、安全配置問(wèn)題、不合規行為等。在信息系統受到危害之前為管理員提供專(zhuān)業(yè)、有效的漏洞分析和修補建議。并結合可信的漏洞管理流程對漏洞進(jìn)行預警、掃描、修復、審計，防患于未然。定期開(kāi)展安全測評，形成安全測評報告，采取措施應對發(fā)現的安全問(wèn)題。

5.7　日志審計系統

在核心交換機部署日志審計系統，審計覆蓋到每個(gè)終端、網(wǎng)絡(luò )設備、工控系統等系統的用戶(hù)行為和安全事件。日志記錄包括事件的日期和時(shí)間、用戶(hù)、事件類(lèi)型、事件是否成功及其他審計相關(guān)的信息。提供安全事件的實(shí)時(shí)監控和多維度統計，通過(guò)事件列表展示當前網(wǎng)絡(luò )的實(shí)時(shí)活動(dòng)，依據IP地址、事件類(lèi)型等維度進(jìn)行安全事件的統計，以可視化的餅狀圖、柱狀圖、堆積圖等形式進(jìn)行展示。

6　結語(yǔ)

隨著(zhù)我國綜合管廊建設規模的日益擴大及國家的政策支持，管廊設計的科學(xué)化和規范化尤為重要。繼國家標準GB 50838-2015《城市綜合管廊工程技術(shù)規范》發(fā)布之后，針對監控與報警系統、工業(yè)控制系統信息安全等陸續編制了更為詳細的規范標準及設計圖集，如GB/T 51274-2017《城鎮綜合管廊監控與報警系統工程技術(shù)標準》、17GL603《綜合管廊監控及報警系統設計與施工》、GB 51354-2019《城市地下綜合管廊運行維護及安全技術(shù)標準》等，結合管廊建設過(guò)程中的設計經(jīng)驗，管廊監控與報警系統設計、管廊工業(yè)控制系統信息安全設計將更加科學(xué)合理，以達到保障綜合管廊安全穩定運行、提升維護管理水平的目的。

作者簡(jiǎn)介：

解存福（1986-），男，河北邢臺人，工程師，碩士，現就職于中國市政工程華北設計研究總院有限公司，主要從事市政工程電氣自控設計工作。

參考文獻：

[1] 曹政柳, 鄭恒軍. 綜合管廊配套電氣設計要點(diǎn)探究[J]. 工程技術(shù)研究, 2019, 4 (4) : 194 - 195.

[2] 王偉. 城市地下綜合管廊建設的困境與對策研究[J]. 工程技術(shù)研究, 2019, 4 (20) : 231 - 232.

[3] 馬鴻敏, 馬建勛, 李宗文, 等. 我國地下綜合管廊建設現狀與展望[J]. 市政技術(shù), 2017, 35 (3) : 93 - 96.

[4] GB 50838-2015. 城市綜合管廊工程技術(shù)規范[S].

[5] GB/T 51274-2017. 城鎮綜合管廊監控與報警系統工程技術(shù)標準[S].

[6] 張偉. 綜合管廊監控與報警系統的探討[J]. 通訊世界, 2020, 27 (3) : 36 - 38.

[7] 錢(qián)中陽(yáng), 康潛. 城市綜合管廊工程電氣自控設計探討[J]. 建筑電氣, 2017, 36 (11) : 8 - 12.

[8] 沈曉偉, 李炎, 馬瑩瑩, 等. 基于GIS技術(shù)的環(huán)境監測系統在綜合管廊中的應用[J]. 市政技術(shù), 2019, 37 (05) : 220 - 222.

[9] 張學(xué)群, 楊超, 張祥武. 包頭市110國道綜合管廊監控與報警系統設計[J]. 數字技術(shù)與應用, 2017, (10) : 149 - 152.

[10] 李永生. 某地下綜合管廊的弱電與火災報警系統設計[J]. 機電信息, 2017, (18) : 64 - 65.

[11] 肖建榮. 工業(yè)控制系統信息安全技術(shù)分析與探討[J]. 自動(dòng)化博覽, 2015, (6) : 74 - 77.

[12] 區和堅. 工業(yè)控制系統信息安全研究綜述[J].自動(dòng)化儀表, 2017, 38 (7) : 4 - 8.

[13] 許光濘. 工業(yè)控制系統安全防護體系研究[J].石油化工自動(dòng)化, 2020, 56 (3) : 1 - 6.

[14] 康天嬌, 鄒春明. 工業(yè)控制系統網(wǎng)絡(luò )安全產(chǎn)品研究分析[J]. 網(wǎng)絡(luò )空間安全, 2020, 11 (1) : 34 - 38.

[15] 靳江紅, 莫昌瑜, 李剛. 工業(yè)控制系統功能安全與信息安全一體化防護措施研究[J]. 工業(yè)安全與環(huán)保, 2020, 46 (1) : 53 - 60.

[16] GB 51354-2019. 城市地下綜合管廊運行維護及安全技術(shù)標準[S].

[17] 劉航. 信息安全技術(shù)在城市地下綜合管廊監控系統中的應用[J]. 網(wǎng)絡(luò )安全技術(shù)與應用, 2020, (4) : 143 - 146.

[18] 王曄, 陳麗娟, 衣然. 等保2.0時(shí)代城市軌道交通信號系統網(wǎng)絡(luò )安全防護新思路[J]. 信息技術(shù)與網(wǎng)絡(luò )安全, 2020, 39 (3) : 1 - 5.

[19] 張泳. 城市綜合管廊監控系統信息安全設計[J]. 自動(dòng)化博覽, 2018, (1) : 40 - 44.

摘自《自動(dòng)化博覽》2021年4月刊