數據中臺安全隔離系統在煤礦數據安全管理中的應用研究

高亮亮

（北京天瑪智控科技股份有限公司，北京 100080）

1 引言

我國作為全球最大的煤炭生產和消費國，其能源結構在很大程度上依賴于煤炭這種重要能源。這種依賴使得現代煤炭企業的安全生產對我國的國家安全至關重要。然而隨著信息技術的發展和應用，煤炭企業的信息系統可能面臨來自各方面的安全威脅。尤其是在當前的網絡環境下，如果煤炭系統遭受大規模有計劃的攻擊，極大可能會對能源安全和國家安全構成嚴重威脅。因此，煤礦企業的數據安全技術的研究和應用顯得尤為重要。本文的目的是探討這一問題，并提出可能的解決方案。

2 當前礦業企業內部網絡主要構成

2.1 當前主要網絡架構，分為互聯網（外網）、辦公網、工業網三部分組成

互聯網是人們工作生活中不可缺少的重要組成部分，查詢資料、傳遞消息、獲取信息服務等等都需要訪問公共互聯網，尤其是當前人們訪問網絡的主要入口是智能手機，對于公共互聯網具有一定的依賴性。

圖1

對于煤礦來說，公開且不受限制地與互聯網進行交互勢必會帶來巨大的安全隱患，于是大多數礦企在公司內部網絡與外部網絡（互聯網）間采取隔離策略，劃分出辦公網。辦公網可以主動訪問外部互聯網獲取服務，禁止被動訪問，在一定程度上可以降低遭到來自外部的網絡攻擊的可能性，同時也方便員工正常獲取外網信息，但是無法完全保證其安全性。且隨著國家智慧礦山建設，越來越多的信息系統參與整體的生產環節中，并與設備高度綁定，網絡基礎架構的安全與穩定需要更加可靠的工業環網，于是三層架構應運而生，即公網-辦公網-工業網。

2.2 網絡活動中的主要參與者

在生產工作中，由于角色不同、服務內容不同，礦業企業內部網絡活動主要由2 部分組成，第一部分為內部員工訪問信息、訪問服務。從制作報表、更新當前操作系統，到與外勤人員進行網絡會議、與外部人員談判等等，都繞不開使用公共互聯網作為主要渠道。如今網絡技術處在飛速發展的時代，然而國內相關企業并不重視網絡安全相關的培訓，導致很多潛在的安全隱患隱藏在這些與網絡有關的活動中，具體的潛在威脅請待下文詳述。

另一部分網絡活動主要來自于遍布井上井下的信息系統、智能系統。這些系統大部分由第三方供應商提供，且部分與實體作業設施設備緊密相關，其數據流向、服務內容、安全機制等如同蛛網一般遍布網絡。由于大部分系統與礦內業務部門息息相關，且數量眾多，往往企業內部信息管理部門無法實際了解這些系統的功能、架構、訪問內容等等，僅是給予各類服務器、工控機分配指定IP 地址和地址段，無法加以限制，這里會引出另一個潛在隱患，即第三方系統間的非法互訪和對設備的非法訪問等。

3 當前礦業企業內部信息系統規劃現狀和潛在威脅

3.1 信息化建設缺乏頂層藍圖

隨著國家“十三五”“十四五”規劃的下達和加快煤礦智能化發展的指導意見，近幾年出現了大批智慧礦山試點和建設，但是由于缺乏相關人才儲備和缺乏整體、成體系的參考對象，國內信息系統建設普遍存在著缺乏頂層設計、過度依賴供應商體系、各模塊沒有統一且細節的要求標準的問題，導致智能化建設進展緩慢、集控與專控系統冗余、跨系統數據對接困難、對供應商系統沒有足夠的管理能力等問題，同時存在大量且嚴重的數據安全隱患。

3.2 當前內部網絡環境中潛在威脅和風險

對辦公網而言，由于辦公網能夠主動訪問公共互聯網的信息和服務，一旦受訪問的信息含有惡意代碼，那么員工所使用的設備很有可能會作為破綻，攻擊者可以由該設備作為跳板侵入到辦公網內部，從而竊取和篡改重要信息。

對于工業網來說，潛在威脅主要在3 個方面：

第一，未經嚴格審查的供應商系統可能對工業網造成危害，且以現有的網絡管理體系來說難以被管理和發現；第二，部分井下設備采用進口PLC、單片機或者是經過特殊編程的設備，在接入工業網后，有能力在不連接外網的情況下獨立完成某些特定的惡意指令；第三，由于辦公網環境內的許多工作流程涉及統計分析、人員管理、遠程監控等實際需求，有個別電腦會同時連接辦公網和工業環網，此時這臺電腦會造成網段漏洞，一旦被惡意侵入，未經保護的工業網將會暴露。

3.3 信息安全遭到威脅時可能造成的損失

如今現代企業整體運轉都依托多種設備的共同作業，如煤礦生產環節中從工作面采集、皮帶運輸到篩選分離入倉，整個流程如果任何一個環節受到阻礙會對整體生產造成極大影響。根據信息系統遭到威脅的程度，會造成如下幾種可能的損失：

（1）信息泄露，根據泄露內容可以得知重要的能源信息，可以根據泄露的信息進行針對性布置，遭到惡性市場競爭者針對等。

（2）在遭到入侵后，侵入者可以對無保護或者弱保護的作業設備PLC/單片機進行惡意刷機寫入惡意程序、對生產系統進行惡意破壞、對調度系統進行擾亂、最嚴重的會造成設備超限運轉導致設備損壞甚至損毀。

（3）當前信息技術中較為流行虛擬化部署方案，很多礦業企業會配置獨立機房和機柜，來自供應商和自購的軟件系統都部署在虛擬機上，如果遭到入侵者惡意破壞，可能造成數據丟失、系統格式化、虛擬層刪除等損失，需要花費數周乃至數月的時間才能恢復，嚴重情況下會造成數據永久性丟失。

（4）如果內網被侵入后利用類似分布式拒絕服務（DDos）攻擊，可以造成整個網絡持續癱瘓，調度、監控、遠控、上位機指令等等全部癱瘓，部分設備需與其他設備保持數據共享才能實現的功能也隨之癱瘓。

4 利用數據中臺安全隔離技術來應對當前的網絡安全形式

4.1 新標準與新要求

在最新的國家礦山安全監察局MT/T 1202.6-2023《中華人民共和國煤炭行業標準》中，對于煤礦的信息系統做出了設備互聯、信息安全、報文規范等在內的多處細節要求，依托這些標準與要求，搭建符合當前智慧礦山建設數據安全的管控系統可以極大程度上保護礦業企業的數據與生產安全。

4.2 數據中臺安全系統的設計理念

數據中臺是一種可持續的機制，旨在實現企業數據的有效利用。它不僅是戰略決策和組織架構的體現，還是依據企業獨特的業務模式和組織結構建立的。通過具體的產品和實施方法論的支持，數據中臺能夠持續地將數據轉化為資產，為業務發展提供服務。數據中臺必須具備4 個核心能力：數據采集、數據治理、數據應用、數據運營。在企業數字化轉型過程中，對各單元業務與數據的沉淀，構建包括數據技術、數據治理、數據運營等數據建設、管理、使用體系，實現數據賦能。

4.3 數據中臺安全系統的設計目的

如上文所述，當前的網絡安全威脅主要是由于設備的互通、網絡的互通缺乏有效的管理機制造成的，當網絡中的任何一臺設備都可以訪問其他所有設備時，其破壞性會無限放大。然而如果過于嚴格地限制每一臺設備所能訪問的范圍，則會面臨巨大的復雜度和管理難度的幾何倍數上升的問題。

基于當前網絡安全形勢，在不過度要求每個系統工業商自己滿足主動與被動安全需求的前提下，搭建數據中臺進行管理所有數據交互可以有效保護內部信息和設備間的網絡安全，起到數據隔離、數據管理、第三方系統管理等作用，同時可以利用集中傳遞的特點優化數據傳輸路徑、節省帶寬資源、減少底層設備數據訪問頻率，有效地對網絡進行整體管理管控。

4.4 數據中臺安全系統的基本原理

信息系統互聯的基礎是在訪問協議的基礎上互相傳遞信息，如果將原本從A 系統到B 設備的傳遞變為A 系統-中臺-B 設備則可以做到訪問授信、數據體積、頻率監控、網絡傳遞質量、甚至是內容篩查等的多維有效管理。于是建設統一的“數據通道”，將所有設備間的互聯轉為所有設備與數據中臺的互聯，打造數據“安全通道”。

4.5 數據中臺安全系統的主要功能

數據安全隔離系統的主要目標是保護內部信息和內部設備（特別是工控設備）。數據安全隔離系統的主要作用包括：通過架設數據通道的形式管理跨網段和網段內的數據傳輸；通過數據通道實現跨設備、跨服務、跨網域的數據交換；對所有的數據通道進行監控和管理；評估和管理所有信息系統的運轉狀態；定期主動分發數據，一對多轉發以減少設備負擔，增加帶寬利用率；實施數據倉，將主要設備的實時數據以數據池的形態實施更新，以支撐上位機對于實時數據的抽取需求和實時性保障。

5 未來展望

隨著煤礦智能化發展的深入進行，數據中臺安全隔離系統在煤礦數據安全管理中將發揮越來越重要的作用。尤其是在面臨復雜網絡環境和多樣化的信息安全威脅情況下，確保數據的安全和穩定傳輸將成為礦業企業及政府監管部門關注的焦點。

未來，隨著物聯網、5G、大數據等技術的進一步成熟和應用，煤礦數據安全問題的解決方案將不斷創新和優化。我們期待數據中臺安全隔離系統能夠更好地適應這些技術發展，實現跨設備、跨網絡、跨平臺的高效管理和預防，提高礦業企業信息安全防護水平，確保煤礦行業的安全生產和國家安全得以持續保障。

6 結語

本文對煤礦信息系統數據管理的現狀與存在的問題進行了分析，并探討了數據中臺安全隔離技術在煤礦數據安全管理中的應用。隨著智慧礦山建設的推進，煤礦企業面臨著越來越多的信息安全挑戰。通過采用數據中臺安全隔離系統，可以在保證內部信息和設備間網絡安全的基礎上實現高效、可靠的數據管理，從而降低網絡風險對煤礦企業安全生產的影響。

本文的探討為煤礦數據安全管理提供了一個新的解決方案，旨在提高礦業企業信息安全防護水平，為國家安全和能源安全提供堅實保障。然而在實際應用中，如何優化和完善數據中臺安全隔離系統仍需要結合具體情況進行深入研究，以便達到更好地滿足實際需求的目的。