XX电厂电力监控系统安全防护方案

1、XX电厂电力监控系统安全防护方案XX电厂二二二二年九月批准:_ _审核:_ _编制:_ _目录1总则32 XX电厂厂基本情况33 XX电厂安全防护总体方案54安全区的划分65边界安全防护76综合安全防护9附录1XX电厂安全分区表12附录2 合肥第二厂监控系统安全防护示意图13附录3 用语的解释13附录4 主要术语中英文对照14附录5 XX电厂计算机监控系统拓扑图14XX电厂监控系统安全防护方案1总则1.1为了加强XX电厂电力监控系统安全防护，抵御黑客及恶意代码等对监控系统发起的恶意破坏和攻击，以及其它非法操作，防止电力监控系统瘫痪和失控，和由此导致的发电厂一次系统事故和其他事故，制定本方案。1

2、.2本方案由设备部门编制，报公司审核，并报安徽调控中心备案。2 XX电厂厂基本情况2.1总体情况：XX电厂位于安徽省肥东县桥头集镇王油坊村；属于中加合资企业；我厂装机容量为2*350MW燃煤机组，1、2机组分别于2001年6月16日和8月21日移交商业运行。规划装机4*350MW容量。上网电压等级220KV、归安徽省调和合肥地调管理。2.2 监控系统情况监控系统或设备列表序号系统或设备名称生产厂商及型号操作系统投运年份备注1监控系统（SCADA）国电南自NDE5000Windows2013.4.252AGC子站(RTU)上海惠安GR90-D200Linux2009.3.283AVC子站安徽立卓

3、LZ-AVC5000Windows2013.4.9计划2017年改造为麒麟软件的操作系统4PMU装置北京电科院PAC2000Linux2007.6.29计划2016年改造5卫星时钟(PMU)北京电科院PAC2000GLinux2007.6.29计划2016年改为北斗+GPS双时源6线路故障录波许继电气WGL-800Windows2007.5计划2016年9月整改为武汉中原ZH5系统7五防系统珠海优特UT2000-LVWindows2011.9.20厂内独立系统与外部不连接8电能量采集系统山大积成ies-60VxWorks2012.8.219报票系统Windows-xp1011调度数据网络及安全

4、防护设备列表序号系统或设备名称生产厂商及型号操作系统投运年份备注1地调接入网路由器华3 H3C MHR 3040VxWorks20082地调接入网I区交换机华为Quidway S3900seriesVxWorks20083地调接入网I I区交换机华为Quidway S3900seriesVxWorks20084地调接入网I区纵向加密认证装置南瑞NARI Netkeeper2000Linux2008计划2016年10月改为纵向加密装置5地调接入网调II区防火墙天融信TOPSEC NGFW4000Linux2008计划2016年10月改为纵向加密装置6省调接入网路由器ZTE中兴 ZXR10 380

5、0VxWorks20127省调接入网I区交换机ZTE中兴 ZXR10 2928 VxWorks20128省调接入网II区交换机ZTE中兴 ZXR10 2928VxWorks20129省调接入网I区纵向加密认证装置南瑞NARI Netkeeper2000Linux201210省调接入网II区防火墙东软Neusoft NetEye防火墙V3.2 FW5120Linux2012计划2016年10月改为纵向加密装置1112133 XX电厂安全防护总体方案3.1安全分区 按照电力监控系统安全防护规定，将发电厂基于计算机及网络技术的业务系统划分为生产控制大区和管理信息大区，并根据业务系统的重要性和对一次系

6、统的影响程度将生产控制大区划分为控制区（安全区I）及非控制区（安全区II），重点保护生产控制以及直接影响电力生产（机组运行）的系统。3. 2网络专用XX电厂端的电力调度数据网在专用通道上使用独立的网络设备组网，在物理层面上实现与电力企业其它数据网及外部公共信息网的安全隔离。XX电厂端的电力调度数据网划分为逻辑隔离的实时子网和非实时子网，分别连接控制区和非控制区。3.3横向XX电厂电厂端的电力调度数据网的实时子网和非实时子网实行逻辑隔离，在生产控制大区与管理信息大区之间物理隔离。生产控制大区内部的业务无数据交互，是逻辑隔离。3. 4纵向认证 XX电厂生产控制大区与调度数据网的纵向连接处设置纵向加

7、密认证装置，实现双向身份认证、数据加密和访问控制。目前，地调接入网I区，省调接入网I区均实现双向身份认证、数据加密和访问控制，地调接入网II区，省调接入网II区现在是防火墙，计划2016年10月更换为纵向加密认证装置4安全区的划分4.1控制区（安全区I）XX电厂监控系统控制区主要包括以下业务系统和功能模块：火电机组分散控制系统（DCS）、火电机组辅机控制系统、自动发电控制系统（AGC）、自动电压控制系统（AVC）、相量测量装置（PMU）、继电保护装置、各种控制装置（调速系统、励磁系统、快关汽门装置等）、五防系统4.2非控制区（安全区II）合肥第二厂的非控制区主要包括以下业务系统和功能模块：电能

8、量采集装置、线路故障录波信息管理终端、#1、2机组脱硫脱硝CEMS数据。4.3管理信息大区XX电厂的管理信息大区主要包括以下业务系统和功能模块：调度工作票报票系统、合二厂信息集中平台。5边界安全防护5.1横向边界防护5.1.1生产控制大区与管理信息大区边界安全防护XX电厂生产控制大区与管理信息大区之间完全物理隔离。5.1.2控制区（安全区I）与非控制区（安全区II）边界安全防护安全区I与安全区II之间，实现逻辑隔离、报文过滤、访问控制等功能。设备的功能、性能、电磁兼容性经过国家相关部门的认证和测试。发电厂（DCS）系统部署在安全区I，与运行在安全区II 的发电厂数据信息不进行信息交换，釆用逻辑

9、隔离。5.1.3系统间安全防护发电厂内同属于安全区I的各机组监控系统之间、机组监控系统与控制系统之间、同一机组的不同功能的监控系统之间，尤其是机组监控系统与输变电部分控制系统之间，均没有数据交换。发电厂内同属于安全区II的各系统之间、各不同位置的厂站网络之间，均是逻辑隔离。没有数据交互。发电厂内同属于管理信息大区的各系统之间、各不同位置的厂站网络之间，釆取物理隔离，无数据交互。5.2纵向边界防护发电厂生产控制大区系统与调度端系统通过电力调度数据网进行远程通信时，按要求需要釆用认证、加密、访问控制等技术措施实现数据的远方安全传输以及纵向边界的安全防护。目前XX电厂生产控制大区与调度数据网的纵向连

10、接处设置纵向加密认证装置，实现双向身份认证、数据加密和访问控制。目前，地调接入网I区，省调接入网I区均是纵向加密装置，省调接入网I区已实现双向身份认证、数据加密和访问控制。地调接入网II区，省调接入网II区现在仍是防火墙，地调接入网I区的低版本纵向加密装置，计划2016年10月全部更换为纵向加密认证装置。5.3第三方边界安全防护本厂生产控制大区中的脱硫、脱硝业务系统采用硬接线方式与我厂RTU及II区交换机连接。与环保的数据交换通过就地服务器取数据采用无线发射方式与环保局数据交互。调度工作票系统在我厂为单独一套系统，专网专用，与其他系统物理隔离。厂内管理信息大区与外部网络之间釆取防火墙、VPN和

11、租用专线等方式，保证边界与数据传输的安全。没有设备生产厂商或其它外部企业（单位远程连接发电厂生产控制大区中的业务系统及设备。6综合安全防护6.1入侵检测我厂生产控制大区没有部署网络入侵检测系统。6.2主机与网络设备加固发电厂厂级信息监控系统等关键应用系统的主服务器，以及网络边界处的通信网关机、WEB服务器等，使用安全加固的操作系统。加固方式包括：安全配置、安全补丁、釆用专用软件强化操作系统访问控制能力以及配置安全的应用程序，其中配置的更改和补丁的安装已经过测试。非控制区的网络设备与安全设备已经过身份鉴别、访问权限控制、会话控制等安全配置加固。应用电力调度数字证书，在网络设备和安全设备实现支持H

12、TTPS的纵向安全WEB服务，能够对浏览器客户端访问进行身份认证及加密传输。目前，我厂为防火墙方式，计划今年10月完成更换为纵向加密装置的改造。以满足要求。对外部存储器、打印机等外设的使用进行严格管理。生产控制大区中，没有选用具有无线通信功能的设备。均采用接入认证、加密等安全机制。对不符合安防要求的主机及系统，部分已纳入整改计划：AVC、线路故障录波系统、远动后台SCADA的操作系统均为windows系统。其中线路故障录波系统纳入今年改造。远动后台SCADA通过封闭USB端口，加强弱口令升级及严格级别维护口令管理方式，病毒库补丁方式进行加固。AVC已申报明年改造项目。6.3应用安全控制发电厂厂

13、级信息监控系统等业务系统釆用用户名、口令的登录方式，对用户登录应用系统、访问系统资源等操作进行不同级别的口令，并有登录记录。生成操作日志。对于发电厂内部远程访问业务系统的情况，进行会话控制，仅限高级别的管理员。6.4安全审计目前，我厂生产控制大区的监控系统均没有实现安全审计功能。6.5专用安全产品的管理安全防护工作中涉及使用横向单向安全隔离装置、纵向加密认证装置、防火墙等专用安全产品的，按照国家有关要求做好保密工作，没有关键技术和设备的扩散。6.6备用与容灾定期对关键业务的数据进行备份，并实现历史归档数据的异地保存。关键主机设备、网络设备或关键部件进行相应的冗佘配置。控制区的业务系统（应用）采

14、用冗余方式。RTU实现最新数据库实现磁盘异地备份，在每次修改数据后均保留最新配置，在RTU厂家及我们自己均留一份。关键主机设备、网络设备实现冗佘配置。如RTU、AVC及远动后台的双主机主备运行方式。6.7恶意代码防范我厂地调接入网I、II区的交换机均采用国产三层交换机，对不用的端口实施关闭。物理上，封闭USB端口，禁止非法用户登录。生产控制大区与管理信息大区没有共用一套防恶意代码管理服务器。6.8设备选型及漏洞整改XX电厂电力监控系统在设备选型及配置时，未选用经国家相关管理部门检测认定并经国家能源局通报存在漏洞和风险的系统及设备。生产控制大区中，无具有无线通信功能的设备。6.9等保测评开展情况

15、目前，我厂还未开展等保测评工作。下一步，将按省调统一安排，配合省调进行厂站端调度设备的等保测评工作。附录1XX电厂安全分区表表1 XX电厂监控系统安全分区表序号业务系统及设备控制区非控制区管理信息大区备注1火电机组分散控制系统DCSDCSA22火电机组辅机控制系统辅机PLC/DCSA23调速系统和自动发电控制功能AGC调速、自动发电控制A14励磁系统和自动电压控制功能AVC励磁、自动电压控制A15相量测量装置PMUPMUB6自动控制装置PSS、汽门快关等B、A17五防系统五防系统A28继电保护继电保护装置管理终端B9故障录波故障录波装置B10电能量釆集装置电能量采集B、A111电力市场报价终端

16、电力市场报价B12管理信息系统MISMISA213报票系统调度工作票申报系统B14报价辅助决策系统报价辅助决策A215检修管理系统检修管理A216火灾报警系统火灾报警A21718注：A1：与调度中心有关的电厂监控系统A2：电厂内部监控系统B：调度中心监控系统的厂站侧设备与调度中心无关的设备不接入调度数据网附录2 合肥第二厂监控系统安全防护示意图XX电厂监控系统安全分区及边界防护如图1所示。图1XX电厂监控系统安全布署示意图序号安全设备名称IP地址1地调接入网I区纵向加密装置52/2地调接入网II区防火墙52/255.255.25

17、5.03省调接入网I区纵向加密装置52/4省调接入网II区防火墙52/5678附录3 用语的解释安全接入区：如果生产控制大区内个别业务系统或其功能模块（或子系统）需使用公用通信网络、无线通信网络以及处于非可控状态下的网络设备与终端等进行通信，其安全防护水平低于生产控制大区内其他系统时，应设立安全接入区。安全接入区不是独立分区，与生产控制大区相连时，应当釆用电力专用横向单向安全隔离装置进行集中互联。附录4 主要术语中英文对照DCS(Distributed Control System)：分散控制系

18、统AGC(Automatic Generation Control)：自动发电控制AVC(Automatic Voltage Control)：自动电压控制PMU(Phasor Measurement Unit)：相量测量装置PSS(Power System Stabilizer)：电力系统稳定器TCS(Turbine Control System)：燃气轮机控制系统SIS(Supervisory Information System)：厂级信息监控系统OA(Office Automation)：办公自动化系统MIS(Managerment Information System)：管理信息系统VLAN(Virtual Local Area Network)：虚拟局域网HTTPS(Hypertext Transfer Protocol over Secure Socket Layer)：超文本传输安全协议