石油石化企业普遍采用基于信息网、管理网和控制网三层架构的的管控一体化信息模型，MES系统处于管理网，在信息网ERP系统和控制网PLC控制器、控制设备中间位置。MES系统在整个信息系统中主要担当了两个方面的重要作用：一是数据双向通道的作用。即通过MES系统的实施，可以有效弥补企业信息网与控制网之间的数据间隙，由下至上，通过对底层控制设备数据的搜集、存储及校正，建立管理网数据层次上的数字化工厂，为信息网提供准确统一的生产数据；由上至下，通过对实时生产数据的总结，信息网ERP可以根据未来订单及现阶段生产状况调整生产计划，下发管理网MES系统进行计划的分解及产生调度指令，有效指导企业生产活动。因此，MES系统在数据层面上，起到了沟通信息网和控制网的桥梁作用，并保证了生产数据、调度事件等信息的一致性及准确性。

石油石化炼化工控系统拓扑图：

（1） 控制网中缺少安全防护：控制网中，上位机与PLC控制设备直接通信，使控制网没有相应安全防护，在上位机可输入非法指令或错误参数使现场设备出现问题；

（2） 控制网中区域划分不明确：在控制网各系统之间区域划分不明确，可导致病毒扩散；

（3） 管理网与控制网之间没有防护：MES系统与控制网之间存在病毒相互感染的隐患，缺少防护控制策略；

（4） 管理网与信息网之间缺少安全防护：在信息网络中使用人员、网络结构、应用服务及系统的复杂性且与互联网相联，受病毒攻击和入侵的概率很大，存在较高的安全隐患。

从石油石化行业总体结构上看，系统网络可分为三层次：信息网、管理网和控制网。

企业管理者通过从信息网ERP系统中提取有关生产数据用于制定综合管理决策；从管理网MES系统中层获取数据，完成各种控制、运行参数的监测、报警和趋势分析等功能。控制网负责通过组态设汁，完成数据采集、A/D 转换、数字滤波、温度压力补偿、PID 控制等各种功能。系统的每一个安全漏洞都会导致严重后果，所以将它们单独隔离防护十分必要。

同时结合企业的具体情况将企业系统结构划分成不同的区域可以帮助企业有效地建立“纵深防御”策略，如下图：

在信息网与管理网之间部署力控华康ISG工业防火墙进行安全防护，通过对工业协议的深度过滤及访问控制策略，从而确保信息网到管理网之间的数据安全。

在管理网与控制网之间部署力控华康PSL工业安全隔离网关主要起到在工业控制网络同企业管理网络之间隔离，安全隔离网关采用物理单向隔离，有效地把内外部网络隔离开来，实现了对基于TCP/IP协议体系攻击的彻底阻断，而且可实现了工控数据的单向上传。

控制网中，在上位机与各PLC控制设备之间部署力控华康ISG工业防火墙进行安全防护，通过对工业协议的深度过滤从而确保各PLC控制设备的安全。

在石油石化行业中，各区间网络防护解决方案描述如下：

（1） 控制网中安全防护：在控制网络中各工控主机（上位机）与PLC控制设备之间部署华康工业防火墙，对工控专有协议进行深度分析，避免非法指令或错误参数下发到各PLC控制设备，确保现场设备正常运行，把风险降到较低，做到安全可控，实现工控网络的深度防护；

（2） 控制网中各区域划分：在控制网各工控系统出口处部署华康工业防火墙产品，对工控专有协议进行深度分析，加强了区域划分，避免了各工控系统交叉影响；

（3） 管理网与控制网之间安全防护：在管理网MES系统与控制网之间部署华康工业隔离网关，使用工业数据单向传输到上层信息网，同时避免来自上层系统网络的病毒传播及攻击；

（4） 信息网与管理网之间安全防护：在信息网ERP系统和管理网MES系统之间增加工业防火墙，只允许相关工业协议的授权访问，防止病毒扩散，保证了管理网的通讯安全。