T∕ZISIA 0302-2026 水利系统控制类软件安全性及其测评技术要求

CCSL80 2规范性引用文件 3术语和定义 4缩略语 35安全技术要求 35.1控制类软件分类 35.2通用技术要求 5.3调度主站控制类软件技术要求 45.4厂（泵）站级控制类软件技术要求 55.5主站与厂（泵）站接口技术要求 55.6泵站（厂）内部第三方设备与监控系统接口技术要求 55.7数据传输技术要求 6功能安全测评要求 66.1调度主站控制类软件测评要求 6.2厂（泵）站级控制类软件测评要求 66.3数据传输测评要求 6.4代码质量测评要求 6.4.1恶意代码识别 6.4.2代码实现正确性 6.4.3质量度量 76.4.4编码规则符合性 6.4.5测试充分性 76.4.6AI驱动智能漏洞检测 87网络安全测评要求 87.1通用安全要求 87.2一般安全要求 87.3增强安全要求 97.3.1权限精细化管控 7.3.2安全审计 97.3.3数据完整性 97.3.4数据保密性 97.3.5抗抵赖性 97.3.6软件容错 97.3.7资源控制 97.3.8软件运作限制 7.3.9剩余信息保护 8安全保障要求 8.1研发阶段保障要求 8.2生产交付阶段保障要求 8.3运行阶段保障要求 8.4维护阶段保障要求 8.5人员管理保障要求 附录A 参考文献

本文件的编写按照GB/T1.1—2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定起草。请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。本文件由中关村网络安全与信息化产业联盟提出、归口并组织实施。本文件起草单位：固原市水利勘测设计院有限公司、宁夏水务集团清水河城乡供水有限公司、中关村网络安全与信息化产业联盟、宁夏水利信息中心、宁夏水务集团有限公司、长扬科技（北京）股份有限公司、宁夏回族自治区固海扬水管理处、北京慧图科技（集团）股份有限公司、陕西德通信息科技有限公司、黄河勘测规划设计研究院有限公司、华自科技股份有限公司、南京南瑞水利水电科技有限公司。本文件主要起草人：冯学明、王杰、王海峰、马国民、陈海全、邹冬、杨兴城、白俊娟、田志海、王鹏、潘向林、李立志、张敬宏、杨立国、阮锦超、冯学兵、彭维东、吕奇峰、许军、黄涛、石变荣、张忠旭、李恒、吴凌云、李能能、冯清宝、闫茹玉、郭蒙、石鑫、马率、庞江波、乔杨、周钰、任志诚。水利系统控制类软件安全性及其测评技术要求本文件规定了常见水利系统控制类软件的功能安全、网络安全的技术要求和测评要求。本文件适用于常见水利系统控制类软件的安全测评、设计、开发、建设、运行和维护。2规范性引用文件下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。GB/T11457信息技术软件工程术语GB/T20272信息安全技术操作系统安全技术要求GB/T20273信息安全技术数据库管理系统安全技术要求GB/T22239信息安全技术网络安全等级保护基本要求GB/T22240信息安全技术信息系统安全等级保护定级指南GB/T25058信息安全技术信息系统安全等级保护实施指南GB/T25069信息安全技术术语工信部网安[2024]14工业控制系统网络安全防护指南SL/T803-2020水利网络安全保护技术规范3术语和定义GB/T11457、GB/T25069界定的以及下列术语和定义适用于本文件。3.1水利系统控制类软件waterconservancysystemcontrolsoftware指对水利系统一、二次电气设备或设施进行操作控制的调度主站和厂站级软件。注：水利系统控制类软件包括调度主站控制类软件和厂（泵）站级控制类软件。一般可分为调度主站控制类软件和厂站级控制类软件两类，支持人工操作控制或自动控制。调度主站控制类软件包括网络通信安全域、SCADA、PAC、GAC和视频SCADA,厂（泵）站控制类软件包括变电站监控系统、泵站监控系统(含TWSS、ECS、机泵测振系统、五防系统等)、闸门监控系统（控制性水闸PLC、一体化闸门DCS等）、水厂监控系统（进水流量调度子系统、加药控制子系统、滤池监控子系统等）和供水自动化子站。3.2功能安全functionalsafety2在水利系统控制类软件运行过程中防止误控，保障电网安全、设备安全、供水安全和人身安全的能力。3.3网络安全cybersecurity为水利系统控制类软件采取的网络安全保护措施，防止计算机硬件、软件、网络、数据因偶然或恶意的原因通过侵入控制系统控制机电设备或其他水利工程监控设备而遭到存取、使用、修改、毁坏或泄露。。3.4圈复杂度cyclomaticcomplexity一种代码复杂度的衡量标准，用于衡量一个模块判定结构的复杂程度，数量上表现为线性无关的路径条数，覆盖所有的可能情况最少使用的测试用例数。3.5修订条件/判定覆盖率modifiedcondition/decisioncoverage用于机载系统和设备中软件开发及软件合格审定的白盒测试中的多种覆盖方法之一，修订条件/判定覆盖率用于度量代码测试的有效性和充分性，评估测试用例是否充分覆盖了代码中的条件和判定逻辑。3.6代码覆盖率codecoveragefraction指软件测试中一种衡量测试质量的指标，用于评估测试用例对源代码的覆盖程度。3.7完整性integrity指软件在存储、传输和处理过程中，其数据和运行状态未被未经授权的修改或破坏的状态，包括数据完整性、运行状态完整性、可信工具链等方面。3.8安全审计securityaudit为评估系统控制类软件工作产品或工作产品集是否符合保护资产、维护数据完整、最经济使用资源等要求而进行的一种独立的检查，检查内容包括识别、记录、存储和分析那些与网络安全相关的信息。3.9调度数字证书dispatchukey指为水利监控系统及水利调度数据网络等关键应用、关键用户和关键设备提供身份安全认证的基础设施，用于智能水网调度控制系统基础平台的远程调阅、远方控制，调度计划的制定、修订和下发,继电保护定值的修改，以及纵向加密认证装置、单向隔离设备等安全设备的互通认证。3.10重要信息资源ImportantInformationResources指工控系统中用于实现监控和控制功能的关键数据、程序及组件，主要包括控制层数据、设备层数据、数据库存储的数据及工控系统各种配置信息和安全信息等。3.11安全标记safetymark基于特定的安全需求，为信息资源所赋予的独特标识，用于在访问控制流程中判断访问主体是否具备访问特定信息资源的权限。4缩略语下列缩略语适用于本文件。PAC:机泵自动控制(Pumpautomaticcontrol)GAC:闸门自动控制(Gateautomaticcontrol)TWSS:技术供水系统(Technicalwatersupplysystem)ECS:励磁控制系统(Excitationcontrolsystem)DCS:集散控制系统(Distributedcontrolsystem)IP:网络协议(Internetprotocal)LCU:逻辑控制单元(Logicalcontrolunit)MAC:介质访问控制(Mediaaccesscontrol)MC/DC:修订条件/判定覆盖(Modifiedcondition/decisioncoverage)SCADA:数据采集与监视控制(Supervisorycontrolanddataacquisition)SM2:商用密码标准椭圆曲线非对称密码算法，用于数字签名、密钥交换/密钥协商（SM2EllipticCurvePublicKeyCryptographicAlgorithm）SM3:商用密码标准哈希杂凑算法，用于数据完整性验证和数字签名（SM3CryptographicHashAlgorithm）SM4:商用密码标准分组加密对称算法，用于数据加密，文件加密等（SM4BlockCipherAlgorithm）UKey:基于USB接口的硬件安全设备，用于身份认证、数据加密以及数字签名(Usbkey)5安全技术要求5.1控制类软件分类水利系统控制类软件包括调度主站控制类软件和厂（泵）站级控制类软件，总体范围如图1所示。图1水利系统控制类软件分类5.2通用技术要求4水利系统控制类软件应满足以下通用要求。a)应满足GB/T20273、SL/T803-2020、工业和信息化部《工业控制系统网络安全防护指南》工信部网安[2024]14号所规定的要求。b)控制指令与数据传输安全。--应具备控制命令的校核、闭锁功能。--应保障调度主站与厂（泵）站级软件间数据传输的实时性、可靠性、准确性、规范性与保密性。--应建立控制命令传输全过程安全认证机制，覆盖人机界面、监控应用、数据采集模块、传输通道全链路。--针对人机与监控应用、监控应用与数据采集模块的通信场景，应分别采用适配的安全防护模式。c)身份权限与安全审计管理。--应建立基于国密密码技术的多因子强身份认证、权限分级管控机制，对系统管理员实施权限管理。--应落实定期审计与权限复审制度，实现控制操作全流程可追溯、可审计。d)系统平台与运行可靠性保障。--调度主站应具备独立的开发、运行、维护及离线测试环境。--应采用安全可控的服务器、操作系统、数据库等基础软硬件，应具备安全可信计算能力以实现主动安全免疫。--数据通道、关键应用与设备应配置冗余热备容错机制，保障系统持续稳定运行。e)软件全生命周期质量安全管控。--开发环节：应遵循统一编码规范（含命名、缩进、不安全函数禁用、变量初始化等要求），杜绝恶意代码、内存泄露等重大代码缺陷。--验证环节：开发过程及投运前，应综合采用黑盒、白盒、灰盒测试方法，验证控制功能的完整性、可靠性与安全，确保软件功能、性能满足安全运行要求。--检测环节：应引入人工智能技术赋能代码安全检测与系统漏洞挖掘，采用经安全认证的AI安全工具与大语言模型辅助分析手段，提升隐性漏洞、复杂逻辑漏洞的识别能力与检测效率；AI技术应用全过程应满足安全管控与可追溯要求。--供应链环节：应落实软件供应链安全管控，防范内外部攻击者植入恶意功能。5.3调度主站控制类软件技术要求调度主站控制类软件应满足以下技术要求。a)控制模式与操作流程能力。--应支持单设备控制、序列控制、顺控、群控、应急/事故控制多种控制模式。--应支持标准“选择-返校-执行”遥控流程与直接控制操作。--应具备遥控过程异常中断处理机制。b)控制安全防误与闭锁校核。--应具备遥控操作监护、双人双机遥控能力。--应实现控制拓扑防误校核。--可依据一二次设备异常信号闭锁控制。--支持设备挂牌管控，对不满足条件设备实施操作闭锁。c)指令与通道数据管控。--应支持多源数据一致性校验。--应提供控制下发通道手动/自动选择。--应完成前置缓存控制指令时效性校验。--应具备控制系统时钟校准功能。d)安全认证与可信交互。--应支持调度数字证书与标签安全认证。--应实现口令、操作权限安全校验。--应支持遥控、遥调智能装置报文摘要、签名与验证。e)操作记录与信息存储管理。--应具备控制操作全过程记录留存、定期审计能力。--应支持供电系统故障录波数据存储、调取与查阅。5.4厂（泵）站级控制类软件技术要求厂（泵）站级控制类软件应满足以下技术要求。a)控制模式与操作执行能力。--应支持单设备控制、序列控制、顺控、群控、应急控制、事故控制等多种控制模式。--应具备接收、处理并执行调度主站远方控制指令的能力。--应支持厂（泵）站内设备的就地、远方双路径操作控制。b)控制安全防误与闭锁校核。--应构建全流程控制安全防护体系。--应具备基于逻辑和电气规则的控制闭锁功能。--应支持控制配置校验、同期条件校验，同期条件不具备时强制闭锁控制操作。--应自动拒绝不合理控制命令，具备控制操作指令安全校核能力。c)数据交互与一致性管控。--应保障上下级数据交互与配置准确性.--可向调度主站上送设备运行数据、运行状态、故障及报警等全量信息.--应具备告警事件直传功能。--应支持监控信息一致性校验、通信网关双机配置一致性校验，确保数据与配置同源一致。d)操作溯源与故障数据管理。--应实现操作与故障全流程可追溯。--应具备控制操作全量记录保存与定期审计功能。--应具备供电系统故障录波存储、调取与查阅能力。e)系统基础运行保障。--应提供系统运行基础支撑。--应具备控制系统时钟校准功能，保障全站控制时序与调度侧时间同步统一。5.5主站与厂（泵）站接口技术要求主站与厂（泵）站接口应满足以下技术要求。a)主站与厂（泵）站之间的通信和数据交换应遵循标准化原则，应满足数据交换实时性、可靠性、准确性的要求。b)主站与厂站接口开展标准符合性测试时的测试内容及依据见附录A，应根据软件的具体情况选择相关测试项进行测试。5.6泵站（厂）内部第三方设备与监控系统接口技术要求泵站（厂）内部第三方设备与监控系统接口应满足以下技术要求。a)厂站具有电力系统的设备（变电站）、微机防误操作系统，还有其他串口通讯设备。b)泵站变配电设备、进出水阀门、水系统、油系统、风系统、清污设施、直流系统等的通讯接口和通讯规约要求。65.7数据传输技术要求数据传输应满足以下技术要求。a)通信协议。--传输“四遥”信息的应用场景应采用DL/T634.5104网络通信协议。--面向对象建模、自我描述和独立于网络的设备间的互操作和高级应用场景，应采用DL/T860通信协议。--自定义服务应用场景应采用基于TCP/IP或以太网的通用服务协议。b)传输性能与数据流优化。--性能要求：需满足实时性、可靠性等方面的性能要求。--数据分流与分层：对不同类型的数据（如实施告警、非实时统计数据）进行分流处理和分层规划，减轻主站核心系统的处理压力。--按需调阅：在保证实施数据通道时，为非实时数据（如历史曲线、录波文件等）建立按需调阅的独立通道，提升数据获取的灵活性，并解决监控信息不足问题。6功能安全测评要求核心测评内容包括。a)失效模式与影响分析（FMEA系统性地分析每个组件失效可能产生的影响，并评估其严重b)安全功能测试：测试紧急停机（ESD）、故障安全位置、超限保护等功能是否有效。参考附录Cc)冗余切换测试：模拟主控器、网络或电源故障，验证备用系统能否勿扰切换。d)误操作容错测试：验证当操作员输入错误指令时，系统是否有合理的提示、拒绝执行或要求二次确认机制。6.1调度主站控制类软件测评要求测评对象是位于调度中心的集中调度控制软件，核心测评内容。a)全局监视与控制能力：能否正确、实时地显示所有下属厂站的关键数据、远程控制指令能否准确并下发并得到执行反馈。b)报警与事件管理：告警信息是否及时、准确、分级，报警历史记录是否完整可查。c)调度策略与优化：内置的调度计算算法是否正确，执行逻辑是否符合预期。d)历史数据与报表：历史数据的存储、查询、简单计算分析。导出及报表生成功能是否准确、完整。e)系统负载与性能：在多点并发访问、大数据量刷新时，系统相应时间、CPU/内存占用率是否在可接受范围内。f)分析决策控制：将基于信息化形成的控制决策方案，传输至自动化控制系统，实现自动化监控对象的联调、联控。g)调度主站控制类软件功能测评要求可参考附录A。6.2厂（泵）站级控制类软件测评要求测评对象是部署在具体水厂、泵站、水闸现场的控制器中的程序，核心测评内容。a)自动控制逻辑正确性：测试根据水位自动启停水泵、根据流量调节闸门开度等核心逻辑是否正确。b)连锁与保护逻辑：测试严格的安全互锁，是否存在死循环、无关牵连。c)顺序控制流程：测试复杂的顺序控制，是否正确无误。d)本地/远程模式切换：测试在“本地手动”和“远程自动”模式切换时，系统行为是否安全、无冲击。e)I/O点测试：对每一个输入和输出点进行测试，确保数据采集和控制动作逐一对应、准确无f)厂（泵）站级控制类软件功能测评要求可参考附录B。6.3数据传输测评要求测评对象是调度主站与厂站之间、厂站内部网络的数据通信，核心测评内容。a)通信协议符合性：验证通信双方是否严格遵循约定协议，包括数据帧格式、功能码、错误码b)数据完整性：测试在通信干扰下，数据是否会发生错误、丢失或重复，系统是否有效验和重传机制保障数据完整。c)实时性与稳定性：测量关键数据从采集到显示的端到端延迟，评估在网络波动时通信的稳定d)网络安全：测评通信通道的传输加密机制、通信节点双向身份认证机制有效性，验证通信双方是否基于调度数字证书与国密算法实现端点身份鉴别。6.4代码质量测评要求6.4.1恶意代码识别代码质量测评是对软件源代码本身的测评，保证软件可靠性和安全，包括。a)使用专用杀毒软件和静态代码分析工具，扫描代码库及依赖库。b)检查是否存在已知的后门、木马、病毒、逻辑炸弹等恶意代码。6.4.2代码实现正确性通过代码审查和单元测试进行验证，在早期发现并修复逻辑错误与算法缺陷，包括。a)代码审查：检查代码逻辑是否与设计文档一致，算法是否正确。b)单元测试：编写测试用例，对最小的代码单元进行测试，确保其输入输出符合预期，分支覆盖率达到要求。6.4.3质量度量应对软件的文件类型、代码量、模块数、模块圈复杂度等信息进行度量、分析、统计，获取关键度量指标，量化评估代码的可维护性和可靠性，识别需要重构的复杂模块，包括。a)模块圈复杂度：模块圈复杂度平均值≤10，圈复杂度过大(>10)的模块比例数≤0.8%。b)代码行数：模块平均代码行数≤100。c)注释率：源代码注释率≥20%。d)重复代码率。e)耦合度。6.4.4编码规则符合性编码规则符合性测评包括。a)使用静态分析工具检查代码是否严格遵循预定的编码规范。b)应统一代码风格，避免因不良编程习惯导致的潜在错误，提高代码可读性和可靠性。6.4.5测试充分性评估测试活动本身的完备程度，包括。a)语句覆盖率：是否每条语句都被执行过，语句覆盖率为100。b)分支覆盖率：是否每个判断条件的真假分支都被测试到，分支覆盖率为100%。8c)条件覆盖率：是更严格的覆盖标准，要求判断每个条件中每个子表达式的真假都测试到，条件覆盖率≥80%。6.4.6AI驱动智能漏洞检测应将人工智能技术纳入水利系统控制类软件的漏洞检测与安全测评体系，作为传统代码扫描、人工审计手段的辅助，应用与测评过程应满足以下管控要求：a)工具类型与适用场景--AI驱动专业安全工具：应优先选用经行业安全验证的AI增强型静态应用安全测试、AI模糊测试、AI二进制漏洞扫描等专用工具，针对控制类软件的源代码、可执行程序进行深度漏洞挖掘,覆盖内存破坏、逻辑缺陷、协议实现漏洞、不安全函数调用等多类风险。--大语言模型辅助分析：应利用经安全管控的大语言模型开展高复杂度代码逻辑研判、漏洞根因溯源、修复方案合理性论证、威胁场景推演等辅助工作，支撑测评人员开展深度安全分析，不得替代核心测评判定环节。b)授权与合规管理--应对所用AI安全工具、大语言模型服务实行统一的安全资质审核与使用授权管理，禁止使用无合规资质、数据安全保障能力不明的第三方AI产品与服务。--涉及水利控制类软件源代码、系统配置、工控拓扑、运行参数等敏感信息的AI检测与分析，应使用经授权的本地化部署模型或专用离线工具，严禁直接调用公域大模型处理敏感数据。c)环境与数据安全管控--A漏洞检测工作应在独立的离线测试环境或专用安全测试域内开展，与生产调度网络、现场控制系统实现物理或强逻辑隔离，防止检测行为干扰控制软件正常运行。--检测过程中生成的AI交互日志、中间结果、代码样本数据等应纳入安全审计范围，未经审批不得导出、传播或用于第三方模型训练。d)人工监督与结果校验--AI输出的所有漏洞检测结果、风险等级判定与修复建议，应由具备相应资质的安全测评人员进行人工复核验证，不以AI输出结果直接作为最终测评结论。--应建立分级复核机制：高危、高风险漏洞应实现100%人工深度复核；中低风险漏洞人工抽检比例不应低于30%。--应定期对AI检测工具的准确率、漏报率、误报率开展校验评估，结合水利控制类软件的场景特性持续优化工具策略与分析模型。7网络安全测评要求7.1通用安全要求测评内容包括。a)应根据GB/T20272、GB/T20273、GB/T22239、GB/T22240、GB/T25058规定的安全级别确定检查和测试的项目。b)安全架构审查：检查系统是否遵循了“安全分区、网络专用、横向隔离、纵向认证”的防护原则。c)安全策略完备性：检查是否有成文的网络安全管理制度、操作流程和应急响应预案。d)合规性：检查系统设计是否符合国家及行业的安全标准，是否满足《信息安全技术网络安全等级保护基本要求（等保2.0）》中针对工业控制系统的相关要求。e)智能检测能力：应采用AI增强型漏洞扫描与风险评估工具开展网络安全测评，AI工具的应用应符合授权管理、环境隔离、人工复核的安全管控要求。7.2一般安全要求应只有授权的用户和设备才能访问系统，包括。a)身份唯一性：每个用户是否只用唯一账号，禁止共享账号。b)鉴别强度：口令复杂度策略（长度、字符类型、定期更换）、是否支持或满足5.2章节c）项要求。c)登录失败处理：是否有连续登录失败后锁定账户的机制。d)初始口令：首次登录时是否强制修改初始口令。7.3增强安全要求7.3.1权限精细化管控应遵循最小权限原则，确保用户只能访问其被授权的资源，包括。a)权限划分：收否根据角色清晰地划分了操作权限。b)控制粒度：权限控制是否能细化到具体的功能模块、数据点基甚至指令类型。c)默认权限：默认情况下，新用户的权限应为“最小”或“无”。7.3.2安全审计应对所有重要用户行为进行记录，以便事后追溯和责任认定，包括。a)审计内容全面性：日志是否记录了用户登录/注销、关键操作、重要系统事件。b)日志保护：审计记录是否收到保护，防止被非授权用户删除、修改或覆盖。c)日志分析：收否提供对审计记录查询、统计和报表功能。7.3.3数据完整性应保护数据在传输和存储过程中不被未授权篡改、破坏，包括。a)传输完整性：在调度主站与厂站间、组件之间通信时，是否使用校验码或密码技术来验证数据完整性。b)存储完整性：关键配置数据、历史数据库是否具有完整性保护机制或数字签名。7.3.4数据保密性测评内容包括。a)传输保密性：对于重要数据，在网络传输中是否采用加密通信。b)存储保密性：私密数据在存储时是否进行加密或不可逆的哈希处理。7.3.5抗抵赖性测评内容包括。a)原发证明：对于重要的控制指令、参数设置等操作，系统是否能够提供证据证明该操作是有特定用户在特定时间发起的。b)接收证明：对于关键指令，接受方是否能提供回执证明，确保指令已被接受和理解。7.3.6软件容错测评内容包括。a)输入校验：对用户输入的数据进行有效性检查，拒绝非法输入。b)异常处理：在程序运行出现异常工况下，具备恰当的异常捕获和处理机制，给出友好提示并记录日志，防止系统崩溃或无响应。7.3.7资源控制测评内容包括。a)会话控制：对用户的并发回话数进行限制，设置回话超时时间，用户长时间误操作后自动注销。b)资源配额：对单个用户或进程所能消耗的系统资源设置上限。c)优先级保障：确保高优先级的业务（如紧急停机指令、实时数据采集）能够优先获得系统资源，不会被低优先级任务阻塞。7.3.8软件运作限制测评内容包括。a)白名单机制：在工程师、操作员站上是否部署了应用白名单软件，只允许运行经过授权的程序和脚本。b)最小化安装：系统是否仅安装了必要的应用程序和服务，移除了不必要的软件和组件，减少攻击面。c)移动介质管理：是否对U盘、移动硬盘等外部设备的使用进行严格管控。7.3.9剩余信息保护测评内容包括。a)身份鉴别信息清除：用户注销后，与回话相关的临时文件和内存中鉴别信息应立即清除。b)文件与对象复用：在删除文件或释放磁盘空间时，存储敏感数据的磁盘空间应被安全地擦写,防止被数据恢复工具读取。8安全保障要求8.1研发阶段保障要求保障要求包括：a)应建立规范化的软件研发管控流程，覆盖需求分析、设计、编码、测试全阶段，明确各阶段安全准入条件，形成完整的研发过程文档。b)应落实代码安全管控，执行统一编码规范，禁用不安全函数，开展代码静态分析与人工代码审查，确保无恶意代码植入、无高危逻辑缺陷。c)应建立软件供应链安全管控机制，对第三方组件、开源库、依赖包进行来源核验、漏洞扫描与版本管控，形成软件成分清单。d)应建立完备的测试验证体系，开展单元测试、集成测试、功能安全测试、网络安全测试，留存完整的测试用例与测试报告，关键指标满足本文件第6章、第7章要求。e)研发过程中使用AI代码生成、AI漏洞检测工具时，应符合本文件5.2节、6.4.6节的安全管控要求，采用经授权的工具，严禁敏感代码与业务数据外泄。测评核查要点包括：a)核查厂商研发管理制度、流程文件与阶段交付文档，确认全流程安全管控要求是否完整。b)核查编码规范文件、代码扫描报告、人工审查记录，确认代码安全管控措施是否落实。c)核查软件成分清单、第三方组件核验记录、漏洞扫描报告，确认供应链安全管控是否到位。d)核查测试方案、测试用例、测试报告，确认测试覆盖范围与指标是否满足要求。e)核查AI工具授权证明、使用管理制度、数据隔离措施，确认AI工具应用是否合规。8.2生产交付阶段保障要求保障要求包括：a)应建立软件交付管控机制，交付物应包含可执行程序、配置文件、用户手册、运维手册、安全操作指南、测试报告等完整资料。b)软件部署前应对目标环境进行安全核查，确认操作系统、数据库、网络环境符合本文件规定的安全基线，部署过程全程留痕可追溯。c)应建立上线验收机制，由建设方、厂商、第三方测评机构共同开展功能、性能、安全验收，验收通过后方可正式上线运行。d)应建立软件版本管控机制，对正式发布的版本进行统一编号、数字签名认证，留存各版本基线，确保可追溯、可回滚。测评核查要点包括：a)核查软件交付清单，确认交付物是否完整、规范。b)核查环境安全核查记录、部署操作日志，确认部署过程符合安全要求。c)核查上线验收报告、验收测试记录，确认验收流程合规、结论明确。d)核查版本管理制度、版本发布记录、数字签名验证记录，确认版本管控有效。8.3运行阶段保障要求保障要求包括：a)应建立7×24小时运行监测机制，对控制类软件的运行状态、资源占用、通信状态、告警信息进行实时监控，异常情况及时处置。b)应建立定期安全巡检制度，按周期开展系统安全配置核查、漏洞扫描、风险评估，形成巡检报告并闭环整改问题。c)应建立数据备份与容灾机制，对配置数据、历史数据、操作日志定期备份，明确备份周期、存储介质、恢复验证流程，保障数据可恢复。d)应制定网络安全、功能故障等场景的应急响应预案，明确处置流程、职责分工，定期开展应急演练，留存演练记录与优化报告。e)调度主站与厂（泵）站控制类软件的运行环境应实行物理或强逻辑隔离，严禁生产控制网直接接入公共网络。测评核查要点包括：a)核查运行监测日志、告警处置记录，确认运行监测机制有效运行。b)核查安全巡检计划、巡检报告、问题整改记录，确认巡检制度落实到位。c)核查备份策略、备份记录、恢复测试报告，确认数据备份与容灾能力符合要求。d)核查应急预案、应急演练记录、演练评估报告，确认应急管理体系完备。e)核查网络拓扑图、边界防护配置，确认运行环境隔离措施有效。8.4维护阶段保障要求保障要求包括：a)应建立变更管控机制，所有软件配置变更、功能升级、补丁修复均需提交申请、经过审批、开展测试后实施，变更过程全程记录，变更后验证功能与安全有效性。b)应建立漏洞闭环管理机制，对发现的软件漏洞、安全隐患按风险等级分级处置，高危漏洞限时修复，修复后开展验证测试，留存全流程记录。c)软件版本升级前应在离线测试环境完成全量验证，确认控制逻辑、安全功能无异常后，方可在生产环境分批部署。d)软件退役或更换时，应对存储介质、配置数据、账号权限进行安全销毁与清理，防止敏感信息泄露。测评核查要点包括：a)核查变更申请、审批、测试、实施、验证全流程记录，确认变更管控合规。b)核查漏洞台账、风险分级记录、修复验证报告，确认漏洞实现闭环管理。c)核查升级测试报告、分批部署记录，确认版本升级安全可控。d)核查软件退役方案、数据销毁证明、权限清理记录，确认退役过程安全合规。8.5人员管理保障要求保障要求包括：a)应明确研发、测试、运维、管理各岗位的安全职责与权限，遵循最小权限原则，关键控制岗位实行双人负责制。b)应建立人员安全培训制度，定期开展网络安全、工控安全、功能安全、操作规范等培训与考核，留存培训与考核记录。c)关键岗位人员应具备相应的专业资质与能力，熟悉水利控制业务场景与安全要求，持证上岗。d)应与所有接触敏感信息的人员签订保密协议，明确保密责任与义务；人员离岗时及时回收所有系统权限、清理敏感资料。测评核查要点包括：a)核查岗位职责文件、权限配置清单，确认岗位权责清晰、权限设置合理。b)核查培训计划、培训课件、考核记录，确认人员培训覆盖要求、考核合格。c)核查关键岗位人员资质证书、工作履历，确认人员能力匹配岗位要求。d)核查保密协议、离岗权限回收记录，确认人员保密管理到位。附录A（资料性）调度主站控制类软件功能测评方法功能类别测评项目测评要求常用测评方法与依据基础平台服务器硬件采用冗余配置（如双机热备CPU负载、内存占用应在合理范围内，配备磁盘阵列（RAID）检查设备清单与配置，使用系统监控工具查看实时资源占用率与历史趋势软件功能具备完善的数据采集、事件记录和报警、数据曲线展示、通信状态显示、远程控制操作及友好人机界面（HMI）等功能。功能实际操作测试，核查设计文档与需求规格说明书系统运行指标服务器宕机概率低，系统响应速度快，SCADA数据响应时间满足实时性要求查看系统运行日志，进行负载测试，模拟高并发场景核心监控功能数据完整性远动信息覆盖全面，包括水泵、闸开关状态、水位、流量、压力等关键运行参数。核对信息点表，与现场设备实际状态进行比对数据及时性遥测越死区传送或循环刷新时间小于4s，遥信变位传送时间应小于3s在主站端和厂站端同步授时，记录指令下发到正确响应的端到端时间，使用专业测试仪器记录时间差控制准确性遥控正确率100%，遥调正确率100%在主站端和厂站端同步授时，记录指令下发到正确响应的端到端时间制系统稳定性、动态响应特性、安全功能、抗干扰能力、环境适应性,通信性能核查自动化系统运行报表与统计记录数据交互与集成信息联调具备规范主站与厂站信息自动联调能力，实现数据与监控画面的同步校核检查是否采用主站信息自动联调装置，验证联调流程的规范性与结果准确性模型与支持统一的水网模型和图形格式，实现“图模一体化”，减少主站与厂站间的模型差异核查模型文件与图形文件的导入、导出及一致性测试安全与可靠性网络防护部署硬件防火墙、防病毒措施，并定期更新，遵循“安全分区、网络专用、横向隔离、纵向认证”原则检查安全策略配置，进行漏洞扫描与渗透测试访问控制与审计实施严格的权限管理，并建立日志审计系统，记录用户操作与系统事件审查用户权限列表，查看系统操作日志的完整性与可追溯性系统可靠性设计冗余备份机制，降低单点故障风险，保障系统稳定运行模拟单点故障（如断开一台服务器检查系统功能是否正常切换与恢复运维与管理运行维护建立完善的规章制度、定期巡检机制，并保有完整的设备及软件维护记录查阅运维管理制度文件，检查巡检记录与维护工单应急预案与培训制定针对系统故障、网络攻击等场景的应急响应预案，并定期对员工进行安全与技能培训审查应急预案文档，检查应急演练记录与培训考核结果（资料性）厂（泵）站级控制类软件功能测评参考要求测评类别测评项目测评要求测评方法核心控制功能数据采集能正确采集开关量、模拟量、温度量等现场设备状态数据将软件显示数据与现场设备状态或LCU(现地控制单元）采样值进行全数对比控制与调节能正常执行单步控制、流程控制及调节命令检查控制逻辑的正确性与响应准确性，模拟住泵站故障，检查备用泵能否正常切换并投入运行参数精度压力、流量、液位、水质等在线控制仪表准确调整控制仪表使装置正常运行，记录稳稳定运行上下限，记录显示参数与实测参数报警与诊断参数越限报警能对参数越限进行报警全数检查报警功能，应具备趋势预警、越限报警和事故跳闸等功能故障诊断能诊断设备故障并预警检查软件是否具备故障诊断分析功能。对于旋转机械，应具备振动、摆度、声音监测预警功能，对易发热部位，宜具备热成像监测及自动报警功能系统性能与可靠性CPU负荷率CPU负荷率在合理范围内检查系统运行时CPU的负荷情况时钟同步系统时钟与校时服务器一致将系统时钟与校时服务器进行对比。主时钟及扩展单元输出信号技术指标、时间保持单元技术指标、切换功能、对时精度等应满足技术规范系统可靠性系统稳定可靠可进行不少于72小时的连续运行测试。检查系统在测控装置、保护装置等同时产生大量变化数据时的雪崩处