OPC UA 服务器引言SIMOTION 内有一个带有 DA（Data Access）的 OPC UA 服务器。它支持 OPC UA 二进制编码。它对任何 OPC UA 客户端的访问通过身份验证和加密数据传输来保护。配置说明在连接到 OPC UA 服务器时，须确保安全的连接环境，并设置一个基于硬件的中间层（比如：DMZ 网络、防火墙、SCALANCE S 模块等）。OPC UA 服务器可以通过 TIA Portal 中的“HW Config”或者通过 Step 7 启用或关闭。在 SIMOTION SCOUT 或 SIMOTION SCOUT TIA 中激活 SIMOTION IT 网络服务器更多设置可以在 SIMOTION IT 网络服务器的配置窗口中进行：• 为 OPC UA 访问启用以太网接口和对应的 SIMOTION 端口。• 在 SIMOTION IT 网络服务器的用户管理中确定用户名、密码和用户组。• 获取并加入 SSL 证书废弃处理注意数据滥用存储设备（CF 卡/CFast/SSD 卡）的不当废弃可能会导致程序、存档等数据被他人滥用。• 在废弃产品前，必须事先安全地删除存储设备上的数据。您可以使用一些程序来安全删除或格式化存储设备。SINAMICS本章将为您概括介绍在 SINAMICS 上提供的一些信息安全功能，这些功能可以针对安全威胁保护您的变频器。其中会重点介绍以下功能：• 写保护和专有技术保护• 参数：访问级别• 存储卡的使用• Safety Integrated 说明• 通信服务和使用的端口号• 网络服务器• 各个接口的说明• SINAMICS Startdrive 和 STARTER• SINAMICS 驱动控制图（DCC）关于安全措施的详细说明以及具体步骤请查看对应的 SINAMICS 文档。SINUMERIK、SIMOTION 和 SINAMICS 等很多产品上都包含了 OpenSSL。此类产品适用：• 本产品包含了一些由 OpenSSL 项目开发、用于应用在 OpenSSL Toolkit 中的软件• 本产品包括了由 Eric Young 开发的加密软件• 本产品包括了由 Eric Young 开发的软件网络安全说明SINAMICS 产品只允许在安全可信的网络中使用。请注意章节“网络隔离 (页 40)”中的相关说明。专有技术保护一些 SINAMICS 变频器系列上提供“专有技术保护”功能：专有技术保护可以保护知识产权，尤其是机器制造商的专有技术，防止它们被非法使用或用于模仿复制机器制造商的产品。影响没有列入“例外情况”列表的可调参数，既不可读，也不可写。例外情况• 专有技术保护不作用于具有以下属性的参数：• KHP_WRITE_NO_LOCK– 即使设置了专有技术保护，该参数仍可以写。– 此类参数的列表请参见对应变频器产品的参数手册。– 此类参数不包含在“例外情况”列表中。• KHP_ACTIVE_READ– 即使设置了专有技术保护，该参数仍可以读，但不可以写。– 此类参数的列表请参见对应变频器产品的参数手册。– 此类参数不包含在“例外情况”列表中。• 专有技术保护不会阻止一些功能的执行：• 比如：恢复出厂设置，即使设置了专有技术保护，该功能始终可以执行。• 如需可执行功能的完整列表，请参见下文列出的参考文档。• SINAMICS G120 操作说明章节“专有技术保护”• SINAMICS S 和 SINAMICS G 参数手册章节“写保护和专有技术保护参数”• SINAMICS G130、G150 和 S150 操作说明章节“专有技术保护”参数：访问级别和密码在 SINAMICS G110M、G120、G130、G150、S110、S120 和 S150 系列上，参数分为不同的访问级别，从 0 到 4。访问级别定义了哪些用户或者哪些输入/输出设备可以编辑哪些参数：• 举例来说，通过参数 p0003 可以确定哪个访问级别可以选择 BOP 或 IOP。• SINAMICS RT V4.9 以下的版本中，访问级别 4 参数由密码保护，仅供专家查看。在 SINAMICS S 和 SINAMICS G 参数手册中说明了，哪些访问级别可以查看并修改参数。存储卡的使用在所有配备有存储卡的 SINAMICS 变频器上，必须谨慎小心地使用存储卡，防止恶意软件、错误的参数设置在不同的调试 PC 机之间或不同的变频器之间传播。警告移动存储设备的使用可导致软件被操纵，进而造成生命危险将文件保存在移动存储设备上会提高调试 PC 机被病毒或恶意软件感染的风险。参数设置错误可导致机器出现故障，从而导致人员重伤或死亡。• 须采取相应的保护措施（如杀毒软件），防止移动存储设备中的文件被恶意软件感染。警告移动存储设备的使用可导致软件被操纵，进而造成生命危险将含 Safety Integrated 在内的参数设置保存在移动存储设备上，比如：保存在一张存储卡上时，含 Safety Integrated 的原始参数设置可能会被另一台变频器上不含 Safety Integrated的存储卡覆盖。参数设置错误可导致机器出现故障，从而导致人员重伤或死亡。• 确保每次使用的都是和变频器配套的存储卡。• 确保只有受过专业培训或者经过认证的人员才可以打开机箱、机柜或者进入封闭的电气控制室内。8.4.5 Safety Integrated为了使 Safety Integrated 功能在机器和设备上发挥切实的保护效果，降低安全风险，在所有配备 Safety Integrated 功能的 SINAMICS 设备上使用该功能时，必须特别仔细小心。危险安全功能失效可导致机器意外运动无效的或不适合的安全功能可引起机器意外运动，可能导致重伤或死亡。• 调试前请注意相关产品文档中的信息。• 对整个系统和所有安全相关的组件进行安全监控，以确保安全功能。• 进行适当设置，以确保所使用的安全功能是与驱动任务和自动化任务相匹配并激活的。• 执行功能测试。• 在确保了机器的的安全功能能正常工作后，才开始投入生产。说明关于 Safety Integrated 功能的重要安全说明使用 Safety Integrated 功能时务必要注意 Safety Integrated 手册中的安全说明。产品特殊的安全措施8.4 SINAMICS工业信息安全110 配置手册, 01/2023, 6FC5397-5EP40-6RA28.4.6 备份和恢复数据8.4.6.1 备份和恢复SINAMICS 提供了多种进行数据备份和恢复的方式。具体哪种设备使用哪种方式的详细信息请参见本文档中的“更多信息”。网络服务器/Startdrive借助“备份和恢复”功能能够执行下列操作：• 备份已设置的参数• 给备份文件命名• 从有效的参数备份恢复参数和载入驱动• 恢复驱动的出厂设置智能连接模块• 通过网页进行备份，可将智能连接模块上的参数进行备份并将备份文件下载到本地硬盘上。• 通过网页进行恢复，可将选中的文件上传、下载、删除或恢复。SINAMICS V20 参数下载器最多可将 100 个包含参数设置的参数组从存储卡写入至变频器，或者从变频器保存至存储卡，而无需将变频器通电。更多信息相关详细信息请参见以下文档。冗余数据备份在变频器外部进行设置数据备份我们建议您应将设置数据备份到变频器外部的一个存储介质上。如果不备份，当变频器出现故障时，这些设置就会丢失。可以使用以下存储介质：• 存储卡• PC/PG• 操作面板具体哪种设备使用哪种方式的详细信息请参见本文档中的“更多信息”。SINAMICS S120“在存储卡上进行冗余数据备份”和“通过网络服务器更新固件”以及与远程访问功能结合使用时，可在连接中断或断电时重新恢复对设备的安全访问。冗余备份功能无法禁用。产品特殊的安全措施8.4 SINAMICS工业信息安全112 配置手册, 01/2023, 6FC5397-5EP40-6RA Redundante Datensicherung_Weitere_Infos通信服务和使用的端口号SINAMICS 变频器支持一些通信协议。地址参数、所涉及的通信层、通信角色及通信方向是每个协议的重要信息。利用这些信息，您可以根据使用的协议适当地调整自动化系统的安全保护措施，比如：防火墙。下文介绍的一些安全措施jinxian以太网或者 PROFINET 网络。集成的网络服务器SINAMICS 网络服务器可通过网页提供 SINAMICS 设备的相关信息。网络服务器通过互联网浏览器访问。数据传输除了普通的非安全传输协议 HTTP 外，网络服务器也支持安全传输协议 HTTPS。安全传输协议 HTTPS 是推荐设置。说明智能连接模块智能连接模块的网络服务器不支持安全传输协议 HTTPS。您可以使用加密的 WLAN 传输作为替代方案。在变频器地址前输入“HTTP://”还是“HTTPS://”便可以自行决定，是采用 HTTP 还是 HTTPS 来访问数据。为了保证安全，您可以关闭 HTTP 端口来强制使用 HTTPS。访问权限网络服务器访问除了通过含密码保护的常规 SINAMICS 保护机制保护外，它还有专门的保护机制。对于具体功能而言，不同类别的用户有不同的访问权限。其中的参数列表同样设有充分保护，以确保只有具有权限的用户才能访问或修改数据。SSL 证书HTTPS 访问安全客户端和 SINAMICS 变频器之间采用“安全传输层协议”（Transport Layer Security，缩写为TLS），实现加密数据传输。安全传输层协议是浏览器通过 HTTPS 访问变频器的基础。浏览器与网络服务器之间的通信采用 HTTPS 加密协议时，需要创建和安装证书（可以是设备自带证书、自行签发的证书或者认证机构颁发的服务器证书）。TLS安全传输层协议 TLS V1.2 或更新版本，是一个混合式的加密协议，用于保障互联网内的安全数据传输。密钥文件TLS 采用的加密方法需要使用 2 份密钥文件（一份公共证书和一份私钥文件）。证书获取和使用SINAMICS 交付时就自带了所需的证书和密钥，方便用户在变频器出厂时就可以通过 HTTPS访问它。该出厂自带的固件证书只允许在安全网络中使用（例如 PLC 下的 PROFINET）或者直接通过服务接口 X127 建立点对点连接时使用。您需要从第三方认证机构申请获得 SSL 证书，然后将变频器自带的证书更新为所获取的更为安全的证书。关于证书获取和使用的详细说明请参见以下文档。各个接口的说明X127 LAN（以太网）以太网接口 X127 设计用于调试和诊断，要保证它始终便于操作。注意 X127 的以下使用条件：• 只允许本地访问• 不允许联网或jinxian于闭合控制柜中的本地联网如果需要对控制柜进行远程访问，则需要为此采取额外的安全措施，以防止机密数据因破坏、未经授权的数据操纵和窃听而被滥用。X140 串行接口（RS232）通过串行接口 X140 可以连接外部的显示设备和操作设备，进行操作和参数设置。注意变频器jinxian授权人员接近和操作企业的物理安全存在漏洞时，未经授权的人员便有机会利用该漏洞损坏或修改生产设备，导致机密信息丢失或被篡改。请采取相应措施，防止人员擅自进入公司和车间。• 对应的保护措施请参见章节“关键生产区域的物理保护 (页 38)”。X150 LAN（以太网）接口 X150 上连接的网络必须根据纵深防御方案与其余设备网络隔开，详见章节“常规安全措施 (页 35)”。必须采取一些措施防止有人擅自操作电缆和打开的端口，比如：将变频器装入控制柜内。X1400 LAN（以太网）接口 X1400 上连接的网络必须根据纵深防御方案与其余设备网络隔开，详见章节“常规安全措施 (页 35)”。必须采取一些措施防止有人擅自操作电缆和打开的端口，比如：将变频器装入控制柜内。废弃处理注意产品不安全废弃可导致数据滥用产品不安全废弃可能会导致参数数据被滥用。• 在废弃任何产品前，必须事先将产品上的所有参数恢复为出厂设置。关于恢复出厂设置的更多信息，参见产品各自的功能手册或操作说明。注意不安全废弃存储卡可导致数据滥用存储卡不当废弃可能会导致数据被滥用。因为存储卡上保存了一些变频器运行所需的备份数据。• 在废弃产品前，必须事先确认存储卡上的数据已经被安全清除。有程序能协助您将存储卡安全删除/格式化。• 该废弃处理要求适用于所有配有存储卡的产品。说明删除用户自定义的证书在废弃 SINAMICS 产品前，必须事先安全地删除所有用户自定义的证书。攻击者可以利用这些证书入侵安全数据传输过程。• 标配存储卡的产品– 从存储卡的目录“OEM\SINAMICS\WEB\WEBCONF\CERT”中删除文件“SINAMICS.key”和“SINAMICS.crt”。• 选配存储卡的产品（例如：SINAMICS S210）– 创建两份空的证书文件并命名文件：“SINAMICS.key”和“SINAMICS.crt”。– 将这两份文件复制到存储卡上。– 将存储卡插入到变频器上。– 重启变频器。– 当您不再需要存储卡上的数据时，也可以：格式化存储卡。关于该操作的更多信息，参见产品各自的功能手册或操作说明。