彬長礦業5G智能礦井建設與信息安全思考

白永明，郭林生，吳學明，2，楊景峰，董紅濤，柳東林

(1.陜西彬長礦業集團有限公司，陜西省咸陽市，712000；2.彬長礦區災害綜合治理工程研究中心，陜西省彬州市，713602；3.陜西彬長礦業集團有限公司小莊煤礦，陜西省彬州市，713508)

煤礦智能化建設是煤炭工業高質量發展的核心技術支撐。2020年2月，由國家能源局等八部委聯合印發的《關于加快礦井智能化發展的指導意見》，2021年12月，國家能源局印發的《智能化示范煤礦驗收管理辦法(試行)》，規范了煤礦智能化建設內容和標準。陜西煤業化工集團有限責任公司(以下簡稱“陜煤化集團”)近年來非常重視“智能礦井、智慧礦區”建設工作，在打造7對國家智能化示范礦井基礎上，提出了“12345” “四化”建設工作思路，全力構建“系統智能化、智能系統化”發展格局，注重“四化”建設的系統性，加強示范礦井典型經驗、成功案例和技術成果的推廣，整體謀劃、統籌推進，努力打造具有國際競爭力的能源企業。

陜西彬長礦業集團有限公司小莊煤礦(以下簡稱“小莊煤礦”)作為陜煤化集團2個5G智慧礦山示范單位之一，于2021年完成了關中地區首家“5G+智慧礦區”示范項目建設，形成了“采掘面5G網絡基礎設施+三大場景建設”的格局。目前，小莊煤礦通過積極推進5G、大數據等先進技術與安全生產有效融合，抓緊實施井下特殊作業設備、機器人及智能裝備系統創新和應用，大力開展智能化專項行動，努力建成國家Ⅱ類高級智能化示范煤礦，全力打造“多元災害協同治理智能化示范礦區”。

1 彬長礦業5G智能礦井建設背景

陜西彬長礦業集團有限公司(以下簡稱“彬長礦業”)現有5對礦井，主采侏羅紀4號煤層，4上煤層局部可采，煤層埋深為500～1 000 m，煤層厚度為4～26 m。彬長礦區地質條件復雜，多元災害耦合疊加，沖擊地壓、瓦斯、水、火、頂板、熱害等自然災害俱全，被國家礦山安監局定位為煤礦災害重、治理難度大、安全風險高、有效防范和遏制重特大事故任務繁重的礦區之一。

隨著5G為代表的新一代信息技術的迅猛發展，“5G+智能化礦井”將助力煤礦產業智能化發展，并將進一步釋放數字化應用對煤炭企業高質量發展的增促作用[1-6]。

結合彬長礦區煤層賦存條件和生產裝備實際，按照陜煤化集團“統籌規劃、試點先行”原則和“企業管理智慧化、煤炭開采智能化、輔助系統自動化、災害治理精準化、現場管理透明化”總體工作思路，大力推進智能化礦井建設工作，小莊煤礦開展“5G+智慧礦區技術研究與應用”示范項目。2021年，為了進一步落實陜煤化集團“5G+智慧礦區”示范項目工作安排，小莊煤礦已形成“1+2”智能化運行模式，即1個終端(智能化開采終端)、2大平臺(智能化集中控制平臺、智能化數據共享平臺)。小莊煤礦在復雜地質條件下實施的“5G+智慧礦區”示范項目建設內容包含建設礦井5G無線通信基礎網絡及配套5G生產調度平臺、建設無線全感知安全生產系統及數字孿生工作面生產執行應用系統等內容。根據彬長礦區多元災害疊加現狀，以小莊煤礦為試點，逐步建立“智慧生產、智慧安全、智慧保障”的系統運行框架，達到基于5G技術的“空間數字化、信息集成化、設備互聯化、虛實一體化、控制網絡化”的智能礦井階段性目標。

2 彬長礦業5G智能礦井建設實踐

按照國家能源局、國家礦山安監局印發的《煤礦智能化建設指南(2021年版)》，5G屬于信息基礎設施建設范疇。5G網絡作為數據傳輸接入層關鍵支撐部分，在大帶寬、低時延、廣連接智能礦井數據傳輸上起著重要作用。小莊煤礦在國家智能化示范礦井創建工作中提前開展了5G技術在煤礦的應用建設，為后續達到國家Ⅱ類高級智能化礦井奠定了堅實基礎。小莊煤礦智能礦井整體架構如圖1所示。

2.1 示范礦井5G技術應用建設

按照小莊煤礦試點區域40205綜放工作面傾向長0.25 km、走向長2 km布算，通過基于煤安認證的礦用基帶處理單元(BBU)、擴展單元(FSW)和遠端射頻單元(pRRU)等構成井下5G網絡環境基礎設施。

井下每臺5G無線基站信號覆蓋范圍平均為0.1(非定向)～0.4(定向)km，可通過擴展單元和遠端射頻單元以及對外擴展連接形成網絡延伸，對Zigbee、UWB、WiFi等異構協議提供有效支撐。通過井下基站、擴展單元和射頻終端實現有效覆蓋全工作面及配套設備列車，信號通過各無線基站與礦用光纜連接，就近接入環網交換機后傳輸至地面[7-10]。5G系統架構如圖2所示。

圖2 5G系統架構

2.1.1 礦井5G MEC網絡基礎設施建設

利用5G無線網絡“覆蓋廣、低時延、低功耗”功能提升小莊煤礦信息基礎設施水平，建設智慧礦區生產指揮系統和智能礦井生產執行系統所必要的網絡基礎設施。通過獨立部署網絡邊緣計算MEC，實現各個應用場景的信息交互，從集中式數據中心下沉到礦井網絡邊緣端，在靠近礦井生產執行的網絡邊緣端提供IT和云計算能力，達到高帶寬、低延遲、近端部署的效果，實現高清攝像頭、采掘和機電設備、環境安全及地壓應力傳感器、應急指揮管控信息等數據的實時傳輸。

2.1.2 礦井采掘工作面5G高清圖像傳輸和圖像智能分析

5G無線網絡10 Gbps的理論下載帶寬和近1 Gbps的上載帶寬能夠徹底解決4G僅提供5～10個高清攝像頭數據傳輸和高清圖像實時傳輸延遲方面的缺陷。同時，可見光和紅外高清攝像頭可通過5G無線方式接入通信網絡，解決采掘工作面視頻移動設備的撤布線困難和線纜易松脫問題。小莊煤礦通過現場智能化采掘圖像分析可實現工作面24 h全方位、無死角實時監控，實現工作面設備狀態、人員操作、故障報警等智能分析，從而實現井下生產圖像數據的實時傳輸和智能呈現[11-16]。

2.1.3 無線環境安全全感知系統

根據彬長礦業智慧礦區和智能礦井建設要求，小莊煤礦利用5G通信網絡建立了基于OPC-UA技術的礦井瓦斯、通風、地音、微震、應力、礦壓、水文信息等4D-GIS全感知系統，實現了多源異構網絡安全感知信息的無線實時采集和傳輸，實現了復雜網絡結構多源信號高采樣密度下的傳感器實時分布式存儲和數據安全智能分析。

2.1.4 5G數字孿生工作面生產執行應用系統

小莊煤礦40205數字孿生采煤工作面生產執行系統主要解決“環境-裝備-工藝”的相互關系，利用采煤工作面的物理、虛擬、環境、圖像、知識和服務等數據，基于5G無線采集、數字孿生技術融合，形成物理體數據、虛擬體數據和能量信息間的動態交互，建立工作面相關的物理模型和數字模型，實時反映采煤工作面設備的實時運行狀況、實時性能、環境參數、突發擾動等動態過程。

2.1.5 5G+VR全方位展示

小莊煤礦在各類災害交織疊加的條件下建設“5G+智慧礦區”，融合了“物聯網、人工智能、大數據、數字孿生、圖像和語音識別”等先進技術，研發了包括10類5G本安傳感器、3類5G本安攝像頭和VR互動設備等，可呈現“多場景高清視頻采集和分析技術、混合數據融合的全感知技術、工作面動態數字孿生技術”的相關產品，形成全國煤炭行業首個工作面生產管理和新技術“5G+智慧礦區”建設示范成果?；诖笃恋母飨到y全感知和數字孿生實施效果動態展示如圖3所示。

圖3 工作面虛擬現實+數字孿生系統界面

大屏利用動態虛擬環境建模技術、立體顯示和傳感器技術、OpenGL技術、實時三維圖形生成技術、系統集成技術等實時、清晰地呈現井下真實工作條件，利用獲取的三維數據建立相應的虛擬環境模型；通過高效率的三維引擎來保證綜放工作面的現場狀態刷新和有效互動，包括采煤機、液壓支架、泵站、電氣設備、刮板輸送機、轉載機、破碎機、帶式輸送機、超前支架等設備狀態、環境參數的綜合監測和控制。

2.2 5G智能礦井其他應用場景

(1)5G+機器人巡檢。礦井在復雜地質條件下實現智能化開采離不開機器人協同作業，彬長礦業在機器人應用方面開展了大量嘗試工作，從水倉清理機器人、大巷遠距離噴漿機器人、管道安裝機器人、護盾式掘進機器人等作業類機器人引進到運輸巷帶式輸送機巡檢機器人的常態化應用，都取得很好的應用效果。隨著智能化礦井建設的不斷深入，機器人對于數據高速傳輸、高清視頻回傳、控制指令精準下達有著較高的要求，在對海量的數據采集和傳輸、極低的時延控制操作、大量接入設備方面，5G網絡的特性可滿足這些要求。

(2)5G+智能化遠程運維。智能化礦井建設過程中，對涉及到采煤、掘進、地質保障、運輸、通風、供電排水、信息化等各專業作業人員的運維水平提出了較高要求，傳統運維工人需要借助遠程專家協助指導完成。利用5G+AR(增強現實)技術將礦井現實場景和數字化的虛擬應用相結合，增強運維人員對現實場景的感知，可實現從“人員適應機器”到“機器服務人”作業模式的轉變，實現“手把手”地幫助現場人員解決實際問題。

3 5G智能礦井信息安全問題及解決方案

3.1 5G礦井信息安全問題

(1)網絡通信安全問題。5G相比4G通信網絡組網結構發生了變化，不同于傳統的蜂窩通信系統組網方式，采用D2D(終端直通)技術改變了傳統以基站為中心的通信模式，實現了終端設備之間的直接通信，大大提升了頻譜資源的利用效率，不僅降低了功耗，而且延時更低，有效改善了網絡覆蓋問題，為大量用戶各種復雜業務提供了可靠的通信網絡。但是，終端與終端的直接通信無法經過以基站為中心的信息安全防護系統，將會產生更多的網絡通信安全問題。

(2)遠程控制安全問題。煤礦工業控制系統是安全生產關鍵基礎設施的重要組成部分，一旦受到病毒感染，輕則會造成工控系統宕機、中斷、死機現象，嚴重時甚至會通過干擾系統功能的正常運行，導致現場被破壞或者威脅人身安全。因此，想要利用5G網絡的低延時特性并與工業控制系統深度結合，必須研究解決信息安全問題，降低因信息安全隱患造成重大安全事故的概率，保障工業控制系統健康穩定地運行，這樣才能更好地發揮5G+工業互聯網技術優勢。

(3)數據管理安全問題。5G網絡基于SDN(軟件定義網絡)和NFV(網絡功能虛擬化)技術實現了切片管理，按需定制網絡，通過對每個業務進行虛擬網絡設置實現更加高效的數據傳輸，提高了網絡的靈活性。但是，一旦網絡切片被非法程序訪問，將會破壞用戶數據的完整性，造成大量用戶數據泄露，同時有數據非法篡改的安全風險。煤礦數據的保密、保真關乎企業安全生產和經營管理。因此，基于5G網絡傳輸的數據管理安全也是需要研究解決的問題。

3.2 5G智能礦井+信息安全體系框架設計

鑒于小莊煤礦5G智能礦井面臨的安全問題，需要建立5G工控安全保障系統，從而完善信息安全體系，實現設備安全、網絡安全、數據安全、控制安全。小莊煤礦5G智能礦井+信息安全建設拓撲圖如圖4所示。

(1)設備安全。5G智能礦井基礎設施建設涉及5G無線通信設備、邊緣端一般接入系統(MEC)以及超融合服務器等設備，這些設備在數據上傳、協議轉換、智能處理等一系列應用方面均面臨安全問題。設備在接入網絡中是否進行專業的漏洞檢測，應用系統是否使用高風險的開源框架、存在后門等，均需要在介入前進行安全分析。

(2)網絡安全。無論是井下高清視頻圖像的視頻數據、安全監測泛在感知的采集數據，還是數字孿生智能生產執行系統調度數據，均需要依靠網絡傳輸至礦井數據中心，網絡邊界安全防護困難，設備通信內容容易泄漏。在建設5G智能礦井過程中，只有足夠重視平臺網絡的安全風險問題，才能構筑全面高效的網絡安全防護體系。

(3)數據安全。5G智能礦井最核心的價值之一就是實現數據的共享與實時利用，通過對數據進行系統地采集、存儲、處理和利用，可以幫助決策者明確問題產生的原因和解決方式，以便做出正確決策。然而，生成大量、異構數據的工業互聯網平臺會面臨著數據信息泄漏和破壞等一系列安全風險。

(4)控制安全?？刂茷檎麄€礦井安全生產的核心，5G智能礦井建設將連接傳統礦山生產中的工藝和設備，提升礦井采掘效率，但同時也增加了工業控制器、執行器、傳感器等現場設備暴露面，使控制環境開放化，如何保障現場設備不被非法控制尤其重要。

3.3 5G智能礦井環境下的安全建設

3.3.1 MEC基礎設施安全防護

(1)邊緣計算網關。邊緣計算網關基于高性能硬件平臺和智能安全操作系統，融合豐富的網絡特性，在滿足雙協議棧的同時，配合DDNS、智能路由、鏈路負載均衡、服務器負載均衡等特性，可在802.1Q、GRE 、RIP、OSPF、VRF、多ISP等各種復雜的網絡環境中靈活組網，幫助組織管理者清晰了解單位當前、歷史帶寬資源使用情況，并據此制定帶寬管理策略，驗證策略有效性。不但可以在工作時間保障核心用戶、核心業務所需帶寬，限制無關業務對資源的占用，也可以在帶寬空閑時實現動態分配，以實現帶寬資源的充分利用，提升用戶的網絡體驗。

(2)邊緣計算探針。本安型邊緣計算探針，一是能夠還原井下流量日志，為平臺提供全量流量數據采集和數據輸入；二是能夠對井下網絡的安全數據進行快速、自動化的關聯分析，及時發現井下的威脅和異常，同時通過圖形化、可視化的技術將這些威脅和異常的總體安全態勢展現給用戶的系統；三是能夠對井下全量數據進行采集和存儲，利用大數據技術在本地進行安全數據分析和威脅溯源。整個設計將遵循發現、阻斷、取證、溯源、研判、拓展的安全業務閉環設計，使得用戶能通過產品各個功能模塊完成威脅處置的全過程。

(3)設備準入控制。設備準入控制提供一個全網安全管理和展示平臺，能夠對全網拓撲和設備狀態進行展示，可以進一步向下細化定位至每臺終端設備，也可以通過終端設備向上檢索到其連接的網絡設備。

(4)設備風險核查。設備風險檢查對接入5G智能礦井所有硬件、軟件和系統進行脆弱性分析和安全評估，內置系統漏洞庫，能對5G環境下的邊緣、控制等設備已知漏洞進行掃描、識別和檢測，生成脆弱性掃描評估報告，清晰定位系統脆弱性風險，并給出漏洞修復建議和預防措施，幫助企業用戶掌握系統安全現狀，提升系統安全性。

(5)融合網絡安全隔離。融合網絡安全隔離實現網絡環境中不同安全級別網絡之間的數據安全交換，采用多機系統架構，通過對信息進行落地、還原、掃描、過濾、防病毒、入侵檢測、審計等一系列安全處理，有效防止黑客攻擊、惡意代碼和病毒滲入，同時防止內部機密信息的泄露，實現網間安全隔離和信息交換。使用自主設計開發的安全隔離與信息交換系統集文件交換、數據庫訪問和同步、視頻交換、組播代理、訪問交換、工業控制等功能模塊于一體，在保障用戶信息系統安全性的同時，最大限度地保證客戶應用的方便性。

3.3.2 網絡通信監測

(1)控制流量監測?？刂屏髁勘O測針對5G智能礦井的特有接入模式，對各重要節點的流量進行旁路監測，確保工業生產過程“零風險”?；趯I控制協議(如OPC、Modbus TCP、Ethernet/IP(CIP)等)的通信報文進行深度包解析(DPI，Deep Packet Inspection)，能夠實時檢測針對工業協議的網絡攻擊、用戶誤操作、用戶違規操作、非法設備接入以及蠕蟲、病毒等惡意軟件的傳播并實時報警，同時詳實記錄一切網絡通信行為，包括指令級的工業控制協議通信記錄，為工業控制系統的安全事故調查提供堅實的基礎。

(2)高級威脅檢測。高級威脅檢測將人工智能、大數據技術與安全技術相結合，實時分析網絡流量，監控可疑威脅行為，內置多種檢測技術，可對APT攻擊鏈進行交叉檢測和交叉驗證。除了具備常規的入侵檢測功能外，還可以從網絡流量中還原出文件并通過多病毒檢測引擎有效識別出病毒、木馬等已知威脅，通過基因圖譜檢測技術檢測惡意代碼變種；還可以通過沙箱(Sandbox)行為檢測技術發現未知威脅，對抽取的網絡流量元數據，進行情報檢測、異常檢測、流量基因檢測；最后將所有安全威脅進行關聯分析，輸出檢測結果，對檢測及防御APT攻擊可發揮關鍵作用。

3.3.3 數據安全

(1)強制訪問控制。強制訪問控制(MAC)是系統強制主體服從訪問控制策略，在MAC中，每個用戶及文件都被賦予一定的安全級別，只有系統管理員才可確定用戶和組的訪問權限，用戶不能改變自身或任何客體的安全級別。系統通過比較用戶和訪問文件的安全級別，決定用戶是否可以訪問該文件。此外，MAC不允許通過共享文件將信息在進程中傳遞。MAC可通過使用敏感標簽對所有用戶和資源強制執行安全策略，一般采用限制訪問控制、過程控制和系統限制這3種方法。

(2)數據安全審查。數據安全審查在整個5G智能礦井建設中始終以數據為中心，通過整合計算、存儲、網絡和軟件資源，提供“采-存-算-管-用”全生命周期的支撐能力，構建全方位的數據體系，為確保數據安全，旁路捕獲網絡中的數據庫/網絡協議通訊數據包，采用高性能數據包捕獲平臺(HPC)，協議解析上采用DPI和動態流檢測(DFI)技術，將網絡中的數據庫操作行為、網絡訪問行為完整解析，并輔以報文過濾、告警匹配、報表、查詢、回放等功能，實現數據操作的可視化。

3.3.4 控制安全

(1)終端安全控制。終端安全控制采用特有的“四重鎖定”技術，確保終端計算環境安全可靠。一是應用鎖定，采用“白名單”防護機制，鎖定終端上應用程序的運行，阻止任何“白名單”外的程序運行，避免惡意代碼、非法程序的運行，最大限度保障工程師站、操作員站以及服務器等重要設備安全穩定運行；二是系統鎖定，通過安全基線管理和強制訪問控制功能，鎖定終端運行環境和資源，確保終端上的設置符合安全基線策略要求，并按照設定的主客體制定讀寫訪問控制策略進行訪問；三是網絡鎖定，鎖定終端的網絡訪問環境，只允許終端和特定的服務器之間進行通信，控制惡意代碼在網絡內部的傳播、擴散；四是外設鎖定，鎖定外接輸入設備的使用，只有經過認證的安全可信的USB設備才可以在終端上運行，防止通過U盤等外接輸入設備引入惡意程序導致感染病毒和泄露敏感數據。

(2)協議安全控制。協議安全控制通過專用的智能安全操作系統，基于優化的軟硬件架構提高報文的處理能力，對主流工業協議進行DPI，運用“白名單+智能學習”技術建立數采通信及工控網絡區域間通信模型，保證只有可信任的流量可以在網絡上傳輸，為工控網絡與外部網絡互聯、工控網絡內部區域之間的網絡連接提供安全保障。

3.3.5 5G智能礦井安全中心

(1)統一安全管理。統一安全管理能夠將眾多的安全設備集中起來統一管理，包括安全策略模板配置、安全策略統一下發、安全策略變更可視等。安全策略的統一管理能夠極大提升企業安全運維的效率。

(2)日志分析管理。日志分析管理能夠實時不間斷地將來自不同廠商的安全設備、網絡設備、主機、操作系統、數據庫系統、用戶業務系統的日志、警報等信息匯集到審計中心，實現全網綜合安全審計。如果網絡中重要網絡和業務系統無法產生日志，日志審計與分析系統也能夠通過部署硬件探測器的方式主動偵測網絡中的協議通訊，并轉化為日志匯集到審計中心。

(3)安全運維管理。安全運維管理是集用戶管理、授權管理、認證管理和綜合審計于一體的集中安全運維管理系統，一是能夠為企業提供集中的管理平臺，減少系統維護工作量；二是能夠為企業提供全面的用戶和資源管理，減少企業的維護成本；三是能夠幫助企業制定嚴格的資源訪問策略，并且采用強身份認證手段，全面保障系統資源的安全；四是能夠詳細記錄用戶對資源的訪問及操作，滿足對用戶行為審計的需求。

(4)安全態勢感知。安全態勢感知可在單向物理隔離的網絡中采集日志，將網絡中的區域邊界、網絡通信和計算環境作為安全對象，實施流量、日志和告警的采集。由于實時記錄了網絡中的網絡異常攻擊告警信息、網絡會話信息和主機安全操作信息，對企業網絡形成了全方位、立體式的告警和日志信息采集覆蓋，便于安全事件的溯源分析和調查取證。

4 應用效果

2021年7月，基于5G技術的“5G+智慧礦區”示范項目在小莊煤礦設計規劃并開始建設，2021年9月底順利通過陜西省工信廳驗收。該項目的實施有效降低了煤炭生產成本，提升了噸煤生產效率，智能化采煤工作面2021年人均工效較2020年同期增長了7.8%?；?G技術的數字化場景、可視化管理、裝備安全預測性維護等可以不斷優化煤炭生產作業流程，減人提效，持續降低企業的生產成本、管理費用和運營成本。

在設計和施工過程中，該項目形成了全部中國芯、數據全感知、生產全孿生、安全全覆蓋、運營全管控的“1中+4全”的小莊模式，多項技術在國內煤礦智能化建設領域實現新突破。該項目的建成進一步促進了5G與煤礦智能化建設的深度融合，推動彬長礦業奮力建設行業內具有示范引領作用、災害治理與智能化高度融合的智慧礦區邁上“快車道”，也為2022年小莊煤礦建成國家Ⅱ類高級智能化礦井奠定了堅實基礎。

2022年3月底，小莊煤礦完成了5G工控安全保障系統建設工作，解決了5G環境下工業控制系統網絡安全防護問題。對小莊煤礦井下高清視頻圖像 5G 傳輸應用系統、安全監測泛在感知以及5G 數字孿生工作面生產系統應用進行網絡安全建設，總體達到了能夠抵御黑客、病毒、惡意代碼對生產系統的破壞和攻擊、阻止內部人員的非法訪問、抵御外部攻擊，并可在遭受攻擊和破壞后能及時恢復系統的能力，提高了關鍵業務數據的可用性、機密性、完整性。

5 結語

利用5G技術與人工智能、云計算、增強現實等技術深度結合，構建“人、機、環、管”工業物聯網平臺，建立煤礦智能化場景應用，可以協助解決復雜地質條件下災害治理、安全生產實際問題。通過5G智能礦井建設，可以實現煤礦采掘工作面生產過程遠程控制、采煤工藝智能化、場景透明可視化、遠程運維可視智能化目標。

基于邊緣計算、安全隔離、流量監測、安全控制、態勢感知等技術構建5G網絡下智能化礦井信息安全體系，可以實現設備安全、網絡通信安全、遠程控制安全以及數據管理安全，為5G智能礦井安全運行提供保障。按照設計的“5G智能礦井+信息安全”體系框架，在5G智能礦井環境下進行信息安全系統建設工作，可以保障智能化系統健康、穩定運轉。同樣的解決方案在彬長礦業OTN專網及數據中心私有云建設中進行了有益嘗試，實踐證明，該方案不僅可以保障云網融合管理的安全性，同時也為陜煤化集團其他礦井在智能化建設中遇到類似問題時提供了借鑒。