3G 通信技术在远程监控系统中的应用

袁耀光

(上海市自来水市北有限公司，上海市 200080)

水厂原水取水泵站通常位于地理位置较为偏远的水库地带，本文实例中的原水泵站距离水厂约有10 km以上距离，因此采用无线技术能方便地解决泵站监控系统的数据传输问题，实现泵站的无人值守运行。随着无人泵站的不断建设、投入运行以及运行经验的积累，对于这类泵站的运行、维护要求也越来越高，具体体现在:泵站现场除了配置有功能强大的PLC(可编程序控制器)实现设备完善的运行数据监控外，还需配置工业视频系统作辅助监控，兼顾安全防范功能。此外，在水厂本部，通常还配有经验丰富的运行值班人员及维护人员，通过数据及图像监控泵站设备的运行，故障时及时通过远程在线系统进行运行程序的诊断、设备故障的排除，这样尽可能地缩短生产设备的停役时间，降低故障成本。随着这些需求的提出，传统的窄带技术已不能达到实现这些功能所需的通讯带宽要求，更不具备实现较强网络安全措施的技术条件。因此本文通过对这类泵站运行维护的需求分析，尝试利用目前3G移动通信技术具备通讯带宽大、信号稳定覆盖广的优点建立无线3G远程通信，以满足泵站无人值守监控系统的各项远程运行与远程维护要求。

1 现场监控系统

原水取水泵站设备主要由3台潜水泵机组设备、5台低压配电柜、1套活性炭投加装置、现场仪表、工业视频与安防系统以及泵站配套的照明、通风装置组成。现场监控系统设置于泵站低压配电间，配置PLC控制柜一台，选择带工业以太网EtherNet/IP端口的CompactLogix控制器，建立工业现场控制以太网网络，完成所有设备及工艺运行参数的采集和自动化控制，使之具备完善的设备自动控制功能和报警诊断、故障远程复位等程序功能。

现场PLC采集的信号主要有:

(1)泵站吸水井液位信号;

(2)机泵运行状态信号(远控/就地、工作/试验、故障、运行/停役);

(3)机泵出口压力;

(4)机泵出水阀门信号(远控/就地、开足、关足、故障);

(5)格栅清污机运行状态信号(远控/就地、运行/停役、故障);

(6)总进水阀门信号(远控/就地、开足、关足、故障);

(7)出水总管压力信号;

(8)活性碳投加装置运行状态信号(远控/就地、运行/停役、故障);

(9)活性碳加注流量信号;

(10)各配电柜遥信、遥测信号(断路器状态信号、电压、电流、功率、电度等电量参数)。

2 远程中央监控系统

远程中央监控系统设置于水厂本部中央控制室，配置工业控制计算机2台:其中1台安装运行Intouch10．0人机界面软件，实现与原水泵站现场PLC及网络摄像机的数据与图像通讯，完成对泵站设备的远程监控与操作功能;另一台安装工程师监控界面及PLC程序编程测试软件，作为工程师工作站，实现对泵站现场PLC站的在线程序监控、程序上传下载及设备故障诊断分析。

3 3G远程通信系统

采用第三代移动通信(3G)技术构建远程通信系统，充分利用3G网络信号强、覆盖广，传输速率高达144 kbps～2 Mbps的优点，分别将现场监控系统和远程中央监控系统通过3G公共网络(Internet)进行快捷、可靠的互联通信。在现场监控系统端设置3G接入模块和远程安全通信模块，将现场工业控制以太网络通过3G接入模块路由并联入公共网络Internet;在远程中央监控系统端设置远程安全通信模块，利用水厂本部已有的网络资源将水厂中央控制以太网络联入到公共网络Internet。由泵站现场控制系统、水厂中央控制系统、3G远程通信系统共同组成3G远程监控系统结构如图1所示。

其中，远程安全通信模块:用于建立现场PLC站、网络摄像机等设备与远程主机间的虚拟专用局域网络(VLAN)通道。同时该模块提供信息交换、路由、防火墙、安全网关和VLAN等功能。

图1 3G远程监控系统结构Fig．1 Structure of 3G Remote Monitoring System

3G接入模块:采用3G路由器，具有通过3G上网(使用互联网接入服务运营商提供的3G上网SIM卡)、路由、VLAN等功能。

在考虑通过建立虚拟专用局域网络(VLAN)通道将两地网络设备进行连接时，VLAN系统按隧道协议层次，可有以下几种协议:

(1)二层隧道协议:L2F/L2TP、PPTP。

(2)三层隧道协议:GRE、IPsec。

(3)介于二、三层间的隧道协议:MPLS。

(4)基于Socket V5的VLAN。

本文实例中基于协议安全、协议支持和现场PLC站、网络摄像机等设备的实时通信要求，采用IPsec协议，构建IP VLAN。构建远程通信系统的步骤流程如图2所示。

按图2流程，构建基于3G公网的VLAN网络，远程中央监控计算机站及工程师工作站即可同位于本地控制以太网内的PLC站一样，建立与泵站现场PLC站、网络摄像机的实时通信，实现对PLC站的远程调试、在线诊断、程序上传下载和远程视频监控。

4 通过S-LINK协议实现3G远程通信数据的安全性和完整性

图2 构建远程通信系统的步骤Fig．2 Establishing Steps of Remote Communication System

TCP/IP技术是最常见的一种面向连接的传输方式，但是在安全性方面，由于数据格式为标准格式，所以无法保证其安全性，任何在网络上传输的数据均可以被拦截后解密并可能产生新的伪数据继续传递，从而对工业以太网网络上的控制器设备发出错误的指令。

为保证信息的机密性、真实性、完整性等这些必要的信息安全性能要求，公钥加密技术扮演着非常重要的角色。为了增强利用互联网而采取的必要的安全机制，主要采用防火墙技术、公开密钥加密技术、数据加密技术、数字签名、数字时间戳技术、身份认证和安全协议等技术和手段。但这些网络安全技术，由于和工业现场总线的机制不同，对于工业现场总线的实时性和完整性无法保证，存在打包和解包的协议差异，需要不断重新握手，容易造成通信丢包，容易造成协议的中断，因此工业数据总线通信不适合采用标准的TCP/IP协议进行传输。

本文实例中研究定制的S-Link协议正是考虑到标准TCP/IP协议的不确定性，以及工业现场总线严格的数据确定性要求，以协议转换准确和安全性为首要目标的一种非公开密钥方式的专用协议，除了使其支持标准的TCP/IP协议外，也能稳定地支持工业实时控制以太网如Ethernet/IP在互联网上的数据传输。

S-Link协议基于应用层，采用公钥和私钥结合使用的方式进行加密，实现工业以太网的安全加密传输，并符合IEC 61748-3标准中的FSCP 12(功能安全通信设备行规)规定。

加密和解密是采用不同的密钥(公开密钥)，也就是非对称密钥密码系统，每个通信方均需要两个密钥，即公钥和私钥，这两把密钥可以互为加解密。公钥是公开的，不需要保密，而私钥是由双方通信设备持有。发送方通过使用接收方的公钥对数据进行加密操作，然后数据接收方使用自己的私钥就可以对数据进行解密。接收方通过解密操作就能知道数据是否完整传输，如果能够使用自己的私钥解密数据，说明数据是真实的，否则传输的数据可能在传输过程中被篡改。

本质上私钥加密体制和公钥加密体制没有任何区别，定义了一个私钥的加密体制以私钥E加密，公钥D解密。两个定义的不同在于安全定义的建立中，在一个公钥加密体制中，攻击者或“攻击算法”是给定E，作为附加的输出;这里攻击者没有私钥体制E，如图3所示。

图3 加密和解密关系图Fig．3 Relationship with Encryption and Decryption

S-Link基于公开密钥的加密过程，两个站点A和B，A想把一段明文通过双钥加密的技术发送给B，B有一对公钥和私钥，那么加密解密的过程如下:

B将B的公开密钥传送给A;A用B的公开密钥加密A的消息，然后传送给B;B用B的私人密钥解密A的消息。过程如图4所示。

图4 S-Link协议的加密和解密过程Fig．4 Process of Encryption and Decryption of S-Link

反之，B要将明文发送给A，过程如图5所示。

图5 S-Link协议的加密和解密过程Fig．5 Process of Encryption and Decryption of S-Link

S-Link协议采用的算法为RSA算法，密钥为128位加密，保证了工业数据的安全。

为了保证数据的完整性，S-Link采用了小包数据分发以及严格的数据校验机制，各个数据包在被确认校验正确后，将组成一个完整的数据包，并且依据工业实时以太网的格式，传递给具有目标IP地址的设备。

相对于无结构的数据流的TCP/IP协议，S-Link协议区分了结构化的数据流，使用数据流符合工业以太网总线的格式，在传输之前就已经进行了规划。

S-Link定义了一个重发机制，采用一种“带重传功能的肯定确认”的技术作为提供可靠数据传输服务的方式。这项技术要求接收方收到数据之后向源站回送确认信息ACK。发送方对发出的每个分组都保存一份记录，在发送下一个分组之前等待确认信息。发送方还在送出分组的同时启动一个定时器，并在定时器的定时期满而确认信息还没有到达的情况下，重发刚才发出的分组。如图6和图7所示。

图6 表示带重传功能的肯定确认协议传输数据的情况Fig．6 Situation of Date-Transmission Confirmation with Retransmission Function

图7 表示分组丢失引起超时和重传Fig．7 Situation of Timeout and Re-transmission Caused by Group Lost

为了避免由于网络延迟引起迟到的确认和重复的确认，S-Link协议规定在确认信息中稍带一个分组的序号，使接收方能正确将分组与确认关联起来。

S-Link协议以此保证了数据的完整性和安全性，使得3G远程通信能稳定进行。

5 通过VLAN技术实现工业3G远程通信数据的实时性

本文实例采用了VLAN虚拟局域网技术将两异地网络建立了网络互联。VLAN和普通的LAN并没有物理上的区别，VLAN是一种将局域网设备从逻辑上划分成一个个网段，从而实现虚拟工作组的新兴数据交换技术。这一新兴技术主要应用于交换机和路由器中，但主流应用还是在交换机之中。VLAN是一个在物理网络上根据用途、工作组、应用等来逻辑划分的局域网络，是一个广播域，与用户的物理位置没有关系。VLAN中的网络用户是通过LAN交换机来通信的。一个VLAN中的成员看不到另一个VLAN中的成员。

本文实例中的远程安全通讯模块采用了VLAN技术，主要是抑制网络上的广播风暴，降低网络节点的负载，保证数据的传输通畅和及时性，增加网络的安全性，实现集中化的管理控制。

为了能够在虚拟局域网中集成不支持VLAN的终端设备和子网，远程安全通讯模块SY-RSCM300担负起增加和删除增加的VLAN信息的职责。

加入一个VLAN所依据的标准是多种多样的，本文实例采用的是按端口划分方案加入VLAN。

将VLAN交换机上的物理端口和VLAN交换机内部的PVC(永久虚拟电路)端口分成若干个组，每个组构成一个虚拟网，相当于一个独立的VLAN交换机。这种按网络端口来划分VLAN网络成员的配置过程简单明了。

VLAN交换机需了解VLAN的成员关系，即要让交换机知道哪一个工作站属于哪一个VLAN。基于VLAN交换机端口来组建的VLAN，其VLAN成员是以直接的形式与其他成员联系的。

本文实例采用了帧标签技术，即在每个数据包都加上一个标签，用来标明数据包属于哪个VLAN，这样，VLAN交换机就能够将来自不同VLAN的数据流复用到相同的VLAN交换机上。在VLAN TAG的帧中，4个字节中有3位用于表示VLAN的优先级，第一个队列处理最高优先级的数据帧，也就是可以处理工业以太网如EtherNet/IP实时的数据帧，保证工业以太网数据的优先和实时性。

同时，为了提高通信效率，保证通信的实时性，还采用了虚连接方式。网络用户A和B第一次通信时，发送地址解析(ARP)广播包，VLAN交换机将学习到的MAC和所连接的VLAN交换机的端口号保存到动态条目MAC地址列表中，当A和B有数据要传时，VLAN交换机从其端口收到的数据包中识别出目的MAC地址，查动态条目MAC地址列表，得到目的站点所在的VLAN交换机端口，这样两个端口间就建立起一条虚连接，数据包就可从源端口转发到目的端口。数据包一旦转发完毕，虚连接即被撤销。这种方式使带宽资源得到了很好利用，提高了VLAN交换机效率。

VLAN接入链路是用来将非VLAN标识的工作站或者非VLAN成员资格的VLAN设备接入一个VLAN交换机端口的一个LAN网段。它不能承载标记数据。

VLAN中继链路，是指承载标记数据(即具有VLANID标签的数据包)的干线链路，只能支持那些理解VLAN帧格式和VLAN成员资格的VLAN设备。中继链路是连接两个VLAN交换机的链路，本文实例采用了链路聚合(Trunking)技术，该技术采用VTP(VLANTrunkingProtoco1)协议，即在物理上每台VLAN交换机的多个物理端口是独立的，多条链路是平行的，采用VTP技术处理以后，逻辑上VLAN交换机的多个物理端口为一个逻辑端口，多条物理链路为一条逻辑链路。这样，VLAN交换机上使用生成树协议STP(SpanningTreeProtocol)就不会将物理上的多条平行链路构成的环路中止掉，而且，带有VLAN ID标签的数据流可以在多条链路上同时进行传输共享，实现数据流的高效快速平衡传输，如图8所示。

图8 采用VTP协议的Trunking技术Fig．8 Trunking Technique with VTP Protocol

如果只标记TAG的帧和进口过滤，意味着设置了接收到的帧的属性。

连接到DTE的端口必须设置不含VLAN TAG，因为一般DTE不能解释带有TAG的帧，即设置为U。

交换机到交换机的 VLAN连接(主干连接Trunk)必须含有VLAN TAG，即设置M。

网络组态由远程安全通信模块A和B组成，且通过各自的WAN口通过Interne相连，1#设备、2#设备分别连接到A的两个LAN口。3#设备、4#设备分别连接到B的两个LAN口。如图9所示。

图9 远程安全通用模块A和BFig．9 Remote Security Communication Module A and B

其中，设置1#和3#设备属于 VLAN10，2#和4#设备属于VLAN11。组建了不同的VLAN之后，1#和3#设备在同一个虚拟网络内，可以互相Ping通，互相访问，而不能Ping另外VLAN11内的2#或者4#设备。

这样通过VLAN技术，就可以较大幅度地减少网络上的负载，做到远程通信的最高效化，提高工业通信所要求的实时性，满足工业以太网络通信的需求。

6 结语

(1)基于S-Link协议技术和VLAN技术实现3G无线远程安全通信，组建远方监控中心对现场PLC进行程序级访问的工业远程网络监控系统，将现场PLC控制器、工业平板计算机、变频器、软起动器、多功能电能测量仪表等智能化现场控制与一次执行设备和远方监控计算机实时互连，完成工业数据的实时通信，对现场工业控制设备作程序级在线访问控制，通过最为便利的互联网实现远程诊断和远程调试，极大地降低了对现场设备的调试、维护成本。并且通过S-Link协议技术和VLAN技术实现了工业数据的安全性、实时性和完整性，确保了通过公共网络传输的安全可靠和稳定运行。

(2)在对3G网络和VLAN应用研究的基础上，本文实例还构建了PLC远程诊断和维护系统，通过公共的Internet网络，实现水厂本部监控计算机与现场PLC、摄像机之间的工业数据安全传输，为设备的远程在线诊断、上下载程序和在线编程提供了技术支撑和生产运行的安全保障。近两年的运行结果表明，运用该系统对现场PLC控制系统进行设备远程诊断和维护是可行的、有效的、安全的，值得推广。4G(第四代移动通信技术)的应用已逐步推广，其速度将提升几十倍，这将使远程诊断与维护的实时响应性更加快捷，应用将更为广泛。对于大量的控制系统而言，例如城市供水管网泵站、排水泵站及居民小区供水泵站采用本文介绍的网络架构和技术，可方便地实现远程监控、远程在线诊断和维护功能，节省大量的建设和维护时间成本、人力成本，在供排水业内具有广泛的应用与推广前景。