1. 項目概況
中國石油西藏銷售分公司 725油庫位于西藏自治區拉薩市西郊，油庫于1972年5月建成，現油庫儲油總容積達到86000 m3,屬二級油庫。油庫原有25個油罐、總庫容8萬6千噸。油庫經營5種油品，主要油品均為部隊管道輸入，其它油品采用汽車運輸，付油系統建有3平臺12鶴位自流付油設施，年進出油品24萬噸。
西藏725油庫項目實現以成品油庫管理體系為標準，以管理決策層、業務管理層和生產作業層為核心的管控一體化，及產供銷一體化，全部生產數據將實時接入管理層。為防止病毒和黑客進入到油庫生產作業層網絡，進而影響整個油品存儲的安全，在這種情況下必須重視數據傳輸的安全性，做好必要的工業控制系統邊界安全防護。
本項目中，通過力控華康工業隔離網關pSafetyLink將西藏725油庫生產作業層的數據安全地傳輸到西藏725油庫管理層，有效的阻止了黑客和病毒對控制網造成的攻擊。
2. 解決方案
西藏725油庫項目系統結構按業務功能可分為管理決策層、業務管理層和生產作業層三個層面。業務管理層主和管理決策層要從生產作業層提取有關油庫生產數據用于生產調度指揮，完成各種控制、運行參數的監測、報警和趨勢分析、油品進、銷、存等業務管理。工業控制系統的每一個安全漏洞都會導致不可預測的嚴重后果，所以將業務管理層、管理決策層和生產作業層間進行物理隔離十分必要。
西藏725油庫項目的體系將企業信息化系統結構劃分成不同的區域，為油田建立有效的控制系統信息安全“縱深防御”體系。
在油庫生產作業層與油庫管理層，管理層與業務管理層之間采用力控華康 工業安全隔離網關pSafetyLink，pSafetyLink實現油庫生產作業層、業務管理層和管理決策層之間有效的邊界隔離，在確保油庫生產作業層、業務管理層和管理決策層之間數據有效通信的前提下，有效地保護生產網免受病毒及黑客的攻擊，為油庫生產作業層、業務管理層和管理決策層的連接提供安全保障。
安全隔離網關內部特殊的2+1的雙獨立主機架構，控制端接入工業控制網絡，通過采集接口完成各子系統數據的采集；信息接入到企業管理網絡，完成數據到調度中心的傳輸。雙主機之間通過專有的PSL網絡隔離傳輸技術，截斷 TCP 連接，徹底割斷穿透性的 TCP 連接。PSL的物理層采用專用隔離硬件，鏈路層和應用層采用私有通信協議，數據流采用128 位以上加密方式傳輸，更加充分保障數據安全。PSL技術實現了數據完全自我定義、自我解析、自我審查，傳輸機制具有徹底不可攻擊性，從根本上杜絕了非法數據的通過，確保子系統控制系統不會受到攻擊、侵入及病毒感染。
產品特性
1. “2+1”隔離技術架構
保證網絡間正常通信，且徹底阻斷網絡間的直接TCP/IP連接，切斷攻擊的載體。
2. 數據單向傳輸
生產數據上傳到信息網絡的同時，阻斷各種威脅傳播到控制網絡。
3. 雙數據擺渡模式
測點管控模式：針對工業現場數據通信需要，提供測點數據的解析和安全保護；
隧道管控模式：使用自主開發的安全數據傳輸方式支持通用IT流量、視頻流量、關系數據庫流量等更為多樣的網絡環境中的數據擺渡。
4. 多協議數據匯聚分發
支持OPC、Modbus、IEC60870-5-101/102/103/104及各種PLC以太通訊等常用工業協議，支持數據多路分發給不同上位系統。
5. 斷線緩存
保證數據的完整性、連續性、可靠性，在通信鏈路斷開時自動記錄數據。
6. 雙機熱備
設備本身的故障不會影響現場的正常業務流，以提高工系統穩定性，保障業務的連續性。
7. OPC tunnel
簡化了DCOM配置程序，提高了工作效率，大大降低了維護成本。
用戶價值
2 徹底隔離IT網絡中蠕蟲、木馬等惡意程序傳播-à保護SCADA、DCS、PLC等重要資產的安全。
2 過濾掉嵌入在應用層的惡意代碼-à保護工廠生產裝置的安全。
2 徹底阻斷ARP、flood、碎片、惡意掃描等惡意攻擊-à保護工廠生產裝置免受惡意攻擊，從而保護工廠人員生命及財產安全。
2 工業級可靠性，設備長期穩定運行-à提高系統穩定性，保障業務連續性。
3、防護效果
pSafetyLink從2009年12月開始投運，至今運行穩定。pSafetyLink為西藏725油庫項目的控制系統網絡數據安全提供了有力保障。
