根據調研，EDPF-NT+分散控制系統的網絡通信系統分為三層：

1、數據高速公路管控網層MCN（Management and Control Net），

2、擴展輸入輸出層EIO（Extended Input/Output），

3、現場輸入輸出層FIO（Field Input/Output）。

MCN層是EDPF-NT+系統的上層信息網絡，采用工業交換式以太網。MCN可以是通過智能網絡交換機連接起來的多個交換式以太網，域間的智能網絡連接設備可以為各個子網之間提供進一步的安全隔離。在MCN層主要分布的節點為分布式過程控制站(DPU)、工程師站(ENG)、操作員站(OPR)、歷史數據記錄站（HSR）、制表站（LOG）、性能計算站（CAC）、功能接口工作站（GATEWAY）等

擴展輸入輸出層EIO網是國電智深公司開發的基于工業實時以太網的IO總線平臺，是EDPF-NT+過程控制站的控制器與I/O子系統信息交互網絡。

現場輸入輸出層FIO協議由接入系統的現場層I/O子系統設備提供。支持各種標準和私有的現場總線傳輸協議，如PROFIBUS DP，FIELDBUS、HART、MODBUS RTU和EDPF-NT+的IO總線IOBUS等

系統網絡結構示意圖如下：

EDPF-NT分散控制系統圖

風險識別：

1、工程師站是系統組態和系統維護的核心。工程師站負責規劃系統規模，創建工程、完成建域、建站、生成系統數據庫、生成監視操作畫面、生成控制算法、生成報警功能、生成報表功能等。同時具有對過程控制站控制應用軟件的下載和上裝等功能。工程師站安裝有工程管理器、工程服務器、安全策略生成器、工程組態和管理軟件包、點記錄批量操作工具、站管理工具、虛擬控制器以及時間同步工具等功能軟件。作為人機交互最為頻繁的節點，且同時具備對控制站進行下裝的關鍵節點，工程師站是整個系統中的高風險點，一旦受到人為或非人為的病毒感染或攻擊，都會對整個系統的運行安全造成威脅。

2、鑒于工控DCS系統信息安全特殊性，各操作員站、歷史記錄站、制表站等基于Windows系統的節點都存在環境限制所不可修復的漏洞，這些節點都都存在被病毒感染和惡意代碼攻擊的危險。

3、多功能接口站擔負著與第三方計算機系統的大型數據雙向通信的功能，也是與信息網進行數據交換的關鍵接口，為保證數據和系統的安全性，工業防火墻的區域隔離是必不可少的。

4、在熱控電氣一體化的EDPF-NT+分散控制系統等含有多個域的控制系統中，域間沒有遵循國際ANSI/ISA-99區域防護理念進行域間隔離，以確保即使一個域受到安全威脅，也不會影響到其他域的正常運轉。雖然ACL技術可以實現子系統的隔離，但MCN網絡仍有域間威脅傳播的風險，應采取專業的域間隔離設備進行隔離以降低安全風險。

5、第三方輔控裝置將數據采集信息匯聚到主控制網中，對主控網絡的信息安全造成威脅，應針對OPC通訊的特點進行適當的網絡防護

3.2針對EDPF-NT+分散控制系統風險點的安全解決方案

1、在工程師連接MCN網絡間安裝工業防火墻

2、在MCN網絡中的操作員站，歷史站，制表站等節點使用工控可信計算平臺，對各節點進行基于底層的安全防護

3、在多功能接口站向第三方計算機系統提供接口的部位安裝工業防火墻

4、在第三方輔控裝置PLC控制器與MCN網絡連接的節點處安裝安全數采網關

示意圖如下：

5、在火力發電廠分散控制系統中有多個域的系統，使用工業防火墻進行域間隔離，確保MCN網絡的安全威脅控制在有限的范圍內

6、在MCN網絡中添加一臺服務器作為可信計算授權服務器和對工業防火墻進行管理和監控的安全管理平臺。

解決方案整體網絡拓撲示意圖（火力發電廠分散控制系統）

圖：含現場總線的EDPF-NT+分散控制系統單元一體化系統結構圖

安全解決方案的所實現的目標：

1、 對工程師站進行重點的安全風險管控，在不影響系統正常運行的情況下，對所有與工程師站的通信進行安全檢測及防護，降低高風險點對整個系統的影響

2、對操作員站，歷史站等MCN網絡節點進行細胞級單體防護，依賴可信計算核心芯片保證各網絡節點自身系統和應用的安全，從而降低對整個系統的安全風險

3、確保第三方控制系統不會對本系統造成信息數據泄露的風險，憑借特有的通訊數據檢測機制保證信息網不會對本系統的信息安全造成危害。

4、對關鍵設備的重點防護能夠確保作為保證控制系統正常運轉的最后一道屏障。

5、以區域隔離的理念對域間進行安全防護，保證單一車間或區域系統所出現的安全威脅不會影響到整個控制系統

6、以可信計算授權服務器和工業防火墻安全管理平臺組成的服務器將實時對網絡內的安全設備進行管理和監控，及時發現潛在的威脅風險點，及時查找網絡中的故障點，并為系統的安全防護機制和改進措施提供有利依據