XX電廠電力監(jiān)控系統(tǒng)安全防護方案

1、XX電廠電力監(jiān)控系統(tǒng)安全防護方案XX電廠二二二二年九月批準:_ _審核:_ _編制:_ _目錄1總則32 XX電廠廠基本情況33 XX電廠安全防護總體方案54安全區(qū)的劃分65邊界安全防護76綜合安全防護9附錄1XX電廠安全分區(qū)表12附錄2 合肥第二廠監(jiān)控系統(tǒng)安全防護示意圖13附錄3 用語的解釋13附錄4 主要術(shù)語中英文對照14附錄5 XX電廠計算機監(jiān)控系統(tǒng)拓撲圖14XX電廠監(jiān)控系統(tǒng)安全防護方案1總則1.1為了加強XX電廠電力監(jiān)控系統(tǒng)安全防護，抵御黑客及惡意代碼等對監(jiān)控系統(tǒng)發(fā)起的惡意破壞和攻擊，以及其它非法操作，防止電力監(jiān)控系統(tǒng)癱瘓和失控，和由此導致的發(fā)電廠一次系統(tǒng)事故和其他事故，制定本方案。1

2、.2本方案由設備部門編制，報公司審核，并報安徽調(diào)控中心備案。2 XX電廠廠基本情況2.1總體情況：XX電廠位于安徽省肥東縣橋頭集鎮(zhèn)王油坊村；屬于中加合資企業(yè)；我廠裝機容量為2*350MW燃煤機組，1、2機組分別于2001年6月16日和8月21日移交商業(yè)運行。規(guī)劃裝機4*350MW容量。上網(wǎng)電壓等級220KV、歸安徽省調(diào)和合肥地調(diào)管理。2.2 監(jiān)控系統(tǒng)情況監(jiān)控系統(tǒng)或設備列表序號系統(tǒng)或設備名稱生產(chǎn)廠商及型號操作系統(tǒng)投運年份備注1監(jiān)控系統(tǒng)（SCADA）國電南自NDE5000Windows2013.4.252AGC子站(RTU)上?；莅睪R90-D200Linux2009.3.283AVC子站安徽立卓

3、LZ-AVC5000Windows2013.4.9計劃2017年改造為麒麟軟件的操作系統(tǒng)4PMU裝置北京電科院PAC2000Linux2007.6.29計劃2016年改造5衛(wèi)星時鐘(PMU)北京電科院PAC2000GLinux2007.6.29計劃2016年改為北斗+GPS雙時源6線路故障錄波許繼電氣WGL-800Windows2007.5計劃2016年9月整改為武漢中原ZH5系統(tǒng)7五防系統(tǒng)珠海優(yōu)特UT2000-LVWindows2011.9.20廠內(nèi)獨立系統(tǒng)與外部不連接8電能量采集系統(tǒng)山大積成ies-60VxWorks2012.8.219報票系統(tǒng)Windows-xp1011調(diào)度數(shù)據(jù)網(wǎng)絡及安全

4、防護設備列表序號系統(tǒng)或設備名稱生產(chǎn)廠商及型號操作系統(tǒng)投運年份備注1地調(diào)接入網(wǎng)路由器華3 H3C MHR 3040VxWorks20082地調(diào)接入網(wǎng)I區(qū)交換機華為Quidway S3900seriesVxWorks20083地調(diào)接入網(wǎng)I I區(qū)交換機華為Quidway S3900seriesVxWorks20084地調(diào)接入網(wǎng)I區(qū)縱向加密認證裝置南瑞NARI Netkeeper2000Linux2008計劃2016年10月改為縱向加密裝置5地調(diào)接入網(wǎng)調(diào)II區(qū)防火墻天融信TOPSEC NGFW4000Linux2008計劃2016年10月改為縱向加密裝置6省調(diào)接入網(wǎng)路由器ZTE中興 ZXR10 380

5、0VxWorks20127省調(diào)接入網(wǎng)I區(qū)交換機ZTE中興 ZXR10 2928 VxWorks20128省調(diào)接入網(wǎng)II區(qū)交換機ZTE中興 ZXR10 2928VxWorks20129省調(diào)接入網(wǎng)I區(qū)縱向加密認證裝置南瑞NARI Netkeeper2000Linux201210省調(diào)接入網(wǎng)II區(qū)防火墻東軟Neusoft NetEye防火墻V3.2 FW5120Linux2012計劃2016年10月改為縱向加密裝置1112133 XX電廠安全防護總體方案3.1安全分區(qū) 按照電力監(jiān)控系統(tǒng)安全防護規(guī)定，將發(fā)電廠基于計算機及網(wǎng)絡技術(shù)的業(yè)務系統(tǒng)劃分為生產(chǎn)控制大區(qū)和管理信息大區(qū)，并根據(jù)業(yè)務系統(tǒng)的重要性和對一次系

6、統(tǒng)的影響程度將生產(chǎn)控制大區(qū)劃分為控制區(qū)（安全區(qū)I）及非控制區(qū)（安全區(qū)II），重點保護生產(chǎn)控制以及直接影響電力生產(chǎn)（機組運行）的系統(tǒng)。3. 2網(wǎng)絡專用XX電廠端的電力調(diào)度數(shù)據(jù)網(wǎng)在專用通道上使用獨立的網(wǎng)絡設備組網(wǎng)，在物理層面上實現(xiàn)與電力企業(yè)其它數(shù)據(jù)網(wǎng)及外部公共信息網(wǎng)的安全隔離。XX電廠端的電力調(diào)度數(shù)據(jù)網(wǎng)劃分為邏輯隔離的實時子網(wǎng)和非實時子網(wǎng)，分別連接控制區(qū)和非控制區(qū)。3.3橫向XX電廠電廠端的電力調(diào)度數(shù)據(jù)網(wǎng)的實時子網(wǎng)和非實時子網(wǎng)實行邏輯隔離，在生產(chǎn)控制大區(qū)與管理信息大區(qū)之間物理隔離。生產(chǎn)控制大區(qū)內(nèi)部的業(yè)務無數(shù)據(jù)交互，是邏輯隔離。3. 4縱向認證 XX電廠生產(chǎn)控制大區(qū)與調(diào)度數(shù)據(jù)網(wǎng)的縱向連接處設置縱向加

7、密認證裝置，實現(xiàn)雙向身份認證、數(shù)據(jù)加密和訪問控制。目前，地調(diào)接入網(wǎng)I區(qū)，省調(diào)接入網(wǎng)I區(qū)均實現(xiàn)雙向身份認證、數(shù)據(jù)加密和訪問控制，地調(diào)接入網(wǎng)II區(qū)，省調(diào)接入網(wǎng)II區(qū)現(xiàn)在是防火墻，計劃2016年10月更換為縱向加密認證裝置4安全區(qū)的劃分4.1控制區(qū)（安全區(qū)I）XX電廠監(jiān)控系統(tǒng)控制區(qū)主要包括以下業(yè)務系統(tǒng)和功能模塊：火電機組分散控制系統(tǒng)（DCS）、火電機組輔機控制系統(tǒng)、自動發(fā)電控制系統(tǒng)（AGC）、自動電壓控制系統(tǒng)（AVC）、相量測量裝置（PMU）、繼電保護裝置、各種控制裝置（調(diào)速系統(tǒng)、勵磁系統(tǒng)、快關(guān)汽門裝置等）、五防系統(tǒng)4.2非控制區(qū)（安全區(qū)II）合肥第二廠的非控制區(qū)主要包括以下業(yè)務系統(tǒng)和功能模塊：電能

8、量采集裝置、線路故障錄波信息管理終端、#1、2機組脫硫脫硝CEMS數(shù)據(jù)。4.3管理信息大區(qū)XX電廠的管理信息大區(qū)主要包括以下業(yè)務系統(tǒng)和功能模塊：調(diào)度工作票報票系統(tǒng)、合二廠信息集中平臺。5邊界安全防護5.1橫向邊界防護5.1.1生產(chǎn)控制大區(qū)與管理信息大區(qū)邊界安全防護XX電廠生產(chǎn)控制大區(qū)與管理信息大區(qū)之間完全物理隔離。5.1.2控制區(qū)（安全區(qū)I）與非控制區(qū)（安全區(qū)II）邊界安全防護安全區(qū)I與安全區(qū)II之間，實現(xiàn)邏輯隔離、報文過濾、訪問控制等功能。設備的功能、性能、電磁兼容性經(jīng)過國家相關(guān)部門的認證和測試。發(fā)電廠（DCS）系統(tǒng)部署在安全區(qū)I，與運行在安全區(qū)II 的發(fā)電廠數(shù)據(jù)信息不進行信息交換，釆用邏輯

9、隔離。5.1.3系統(tǒng)間安全防護發(fā)電廠內(nèi)同屬于安全區(qū)I的各機組監(jiān)控系統(tǒng)之間、機組監(jiān)控系統(tǒng)與控制系統(tǒng)之間、同一機組的不同功能的監(jiān)控系統(tǒng)之間，尤其是機組監(jiān)控系統(tǒng)與輸變電部分控制系統(tǒng)之間，均沒有數(shù)據(jù)交換。發(fā)電廠內(nèi)同屬于安全區(qū)II的各系統(tǒng)之間、各不同位置的廠站網(wǎng)絡之間，均是邏輯隔離。沒有數(shù)據(jù)交互。發(fā)電廠內(nèi)同屬于管理信息大區(qū)的各系統(tǒng)之間、各不同位置的廠站網(wǎng)絡之間，釆取物理隔離，無數(shù)據(jù)交互。5.2縱向邊界防護發(fā)電廠生產(chǎn)控制大區(qū)系統(tǒng)與調(diào)度端系統(tǒng)通過電力調(diào)度數(shù)據(jù)網(wǎng)進行遠程通信時，按要求需要釆用認證、加密、訪問控制等技術(shù)措施實現(xiàn)數(shù)據(jù)的遠方安全傳輸以及縱向邊界的安全防護。目前XX電廠生產(chǎn)控制大區(qū)與調(diào)度數(shù)據(jù)網(wǎng)的縱向連

10、接處設置縱向加密認證裝置，實現(xiàn)雙向身份認證、數(shù)據(jù)加密和訪問控制。目前，地調(diào)接入網(wǎng)I區(qū)，省調(diào)接入網(wǎng)I區(qū)均是縱向加密裝置，省調(diào)接入網(wǎng)I區(qū)已實現(xiàn)雙向身份認證、數(shù)據(jù)加密和訪問控制。地調(diào)接入網(wǎng)II區(qū)，省調(diào)接入網(wǎng)II區(qū)現(xiàn)在仍是防火墻，地調(diào)接入網(wǎng)I區(qū)的低版本縱向加密裝置，計劃2016年10月全部更換為縱向加密認證裝置。5.3第三方邊界安全防護本廠生產(chǎn)控制大區(qū)中的脫硫、脫硝業(yè)務系統(tǒng)采用硬接線方式與我廠RTU及II區(qū)交換機連接。與環(huán)保的數(shù)據(jù)交換通過就地服務器取數(shù)據(jù)采用無線發(fā)射方式與環(huán)保局數(shù)據(jù)交互。調(diào)度工作票系統(tǒng)在我廠為單獨一套系統(tǒng)，專網(wǎng)專用，與其他系統(tǒng)物理隔離。廠內(nèi)管理信息大區(qū)與外部網(wǎng)絡之間釆取防火墻、VPN和

11、租用專線等方式，保證邊界與數(shù)據(jù)傳輸?shù)陌踩?。沒有設備生產(chǎn)廠商或其它外部企業(yè)（單位遠程連接發(fā)電廠生產(chǎn)控制大區(qū)中的業(yè)務系統(tǒng)及設備。6綜合安全防護6.1入侵檢測我廠生產(chǎn)控制大區(qū)沒有部署網(wǎng)絡入侵檢測系統(tǒng)。6.2主機與網(wǎng)絡設備加固發(fā)電廠廠級信息監(jiān)控系統(tǒng)等關(guān)鍵應用系統(tǒng)的主服務器，以及網(wǎng)絡邊界處的通信網(wǎng)關(guān)機、WEB服務器等，使用安全加固的操作系統(tǒng)。加固方式包括：安全配置、安全補丁、釆用專用軟件強化操作系統(tǒng)訪問控制能力以及配置安全的應用程序，其中配置的更改和補丁的安裝已經(jīng)過測試。非控制區(qū)的網(wǎng)絡設備與安全設備已經(jīng)過身份鑒別、訪問權(quán)限控制、會話控制等安全配置加固。應用電力調(diào)度數(shù)字證書，在網(wǎng)絡設備和安全設備實現(xiàn)支持H

12、TTPS的縱向安全WEB服務，能夠?qū)g覽器客戶端訪問進行身份認證及加密傳輸。目前，我廠為防火墻方式，計劃今年10月完成更換為縱向加密裝置的改造。以滿足要求。對外部存儲器、打印機等外設的使用進行嚴格管理。生產(chǎn)控制大區(qū)中，沒有選用具有無線通信功能的設備。均采用接入認證、加密等安全機制。對不符合安防要求的主機及系統(tǒng)，部分已納入整改計劃：AVC、線路故障錄波系統(tǒng)、遠動后臺SCADA的操作系統(tǒng)均為windows系統(tǒng)。其中線路故障錄波系統(tǒng)納入今年改造。遠動后臺SCADA通過封閉USB端口，加強弱口令升級及嚴格級別維護口令管理方式，病毒庫補丁方式進行加固。AVC已申報明年改造項目。6.3應用安全控制發(fā)電廠廠

13、級信息監(jiān)控系統(tǒng)等業(yè)務系統(tǒng)釆用用戶名、口令的登錄方式，對用戶登錄應用系統(tǒng)、訪問系統(tǒng)資源等操作進行不同級別的口令，并有登錄記錄。生成操作日志。對于發(fā)電廠內(nèi)部遠程訪問業(yè)務系統(tǒng)的情況，進行會話控制，僅限高級別的管理員。6.4安全審計目前，我廠生產(chǎn)控制大區(qū)的監(jiān)控系統(tǒng)均沒有實現(xiàn)安全審計功能。6.5專用安全產(chǎn)品的管理安全防護工作中涉及使用橫向單向安全隔離裝置、縱向加密認證裝置、防火墻等專用安全產(chǎn)品的，按照國家有關(guān)要求做好保密工作，沒有關(guān)鍵技術(shù)和設備的擴散。6.6備用與容災定期對關(guān)鍵業(yè)務的數(shù)據(jù)進行備份，并實現(xiàn)歷史歸檔數(shù)據(jù)的異地保存。關(guān)鍵主機設備、網(wǎng)絡設備或關(guān)鍵部件進行相應的冗佘配置?？刂茀^(qū)的業(yè)務系統(tǒng)（應用）采

14、用冗余方式。RTU實現(xiàn)最新數(shù)據(jù)庫實現(xiàn)磁盤異地備份，在每次修改數(shù)據(jù)后均保留最新配置，在RTU廠家及我們自己均留一份。關(guān)鍵主機設備、網(wǎng)絡設備實現(xiàn)冗佘配置。如RTU、AVC及遠動后臺的雙主機主備運行方式。6.7惡意代碼防范我廠地調(diào)接入網(wǎng)I、II區(qū)的交換機均采用國產(chǎn)三層交換機，對不用的端口實施關(guān)閉。物理上，封閉USB端口，禁止非法用戶登錄。生產(chǎn)控制大區(qū)與管理信息大區(qū)沒有共用一套防惡意代碼管理服務器。6.8設備選型及漏洞整改XX電廠電力監(jiān)控系統(tǒng)在設備選型及配置時，未選用經(jīng)國家相關(guān)管理部門檢測認定并經(jīng)國家能源局通報存在漏洞和風險的系統(tǒng)及設備。生產(chǎn)控制大區(qū)中，無具有無線通信功能的設備。6.9等保測評開展情況

15、目前，我廠還未開展等保測評工作。下一步，將按省調(diào)統(tǒng)一安排，配合省調(diào)進行廠站端調(diào)度設備的等保測評工作。附錄1XX電廠安全分區(qū)表表1 XX電廠監(jiān)控系統(tǒng)安全分區(qū)表序號業(yè)務系統(tǒng)及設備控制區(qū)非控制區(qū)管理信息大區(qū)備注1火電機組分散控制系統(tǒng)DCSDCSA22火電機組輔機控制系統(tǒng)輔機PLC/DCSA23調(diào)速系統(tǒng)和自動發(fā)電控制功能AGC調(diào)速、自動發(fā)電控制A14勵磁系統(tǒng)和自動電壓控制功能AVC勵磁、自動電壓控制A15相量測量裝置PMUPMUB6自動控制裝置PSS、汽門快關(guān)等B、A17五防系統(tǒng)五防系統(tǒng)A28繼電保護繼電保護裝置管理終端B9故障錄波故障錄波裝置B10電能量釆集裝置電能量采集B、A111電力市場報價終端

16、電力市場報價B12管理信息系統(tǒng)MISMISA213報票系統(tǒng)調(diào)度工作票申報系統(tǒng)B14報價輔助決策系統(tǒng)報價輔助決策A215檢修管理系統(tǒng)檢修管理A216火災報警系統(tǒng)火災報警A21718注：A1：與調(diào)度中心有關(guān)的電廠監(jiān)控系統(tǒng)A2：電廠內(nèi)部監(jiān)控系統(tǒng)B：調(diào)度中心監(jiān)控系統(tǒng)的廠站側(cè)設備與調(diào)度中心無關(guān)的設備不接入調(diào)度數(shù)據(jù)網(wǎng)附錄2 合肥第二廠監(jiān)控系統(tǒng)安全防護示意圖XX電廠監(jiān)控系統(tǒng)安全分區(qū)及邊界防護如圖1所示。圖1XX電廠監(jiān)控系統(tǒng)安全布署示意圖序號安全設備名稱IP地址1地調(diào)接入網(wǎng)I區(qū)縱向加密裝置52/2地調(diào)接入網(wǎng)II區(qū)防火墻52/255.255.25

17、5.03省調(diào)接入網(wǎng)I區(qū)縱向加密裝置52/4省調(diào)接入網(wǎng)II區(qū)防火墻52/5678附錄3 用語的解釋安全接入?yún)^(qū)：如果生產(chǎn)控制大區(qū)內(nèi)個別業(yè)務系統(tǒng)或其功能模塊（或子系統(tǒng)）需使用公用通信網(wǎng)絡、無線通信網(wǎng)絡以及處于非可控狀態(tài)下的網(wǎng)絡設備與終端等進行通信，其安全防護水平低于生產(chǎn)控制大區(qū)內(nèi)其他系統(tǒng)時，應設立安全接入?yún)^(qū)。安全接入?yún)^(qū)不是獨立分區(qū)，與生產(chǎn)控制大區(qū)相連時，應當釆用電力專用橫向單向安全隔離裝置進行集中互聯(lián)。附錄4 主要術(shù)語中英文對照DCS(Distributed Control System)：分散控制系

18、統(tǒng)AGC(Automatic Generation Control)：自動發(fā)電控制AVC(Automatic Voltage Control)：自動電壓控制PMU(Phasor Measurement Unit)：相量測量裝置PSS(Power System Stabilizer)：電力系統(tǒng)穩(wěn)定器TCS(Turbine Control System)：燃氣輪機控制系統(tǒng)SIS(Supervisory Information System)：廠級信息監(jiān)控系統(tǒng)OA(Office Automation)：辦公自動化系統(tǒng)MIS(Managerment Information System)：管理信息系統(tǒng)VLAN(Virtual Local Area Network)：虛擬局域網(wǎng)HTTPS(Hypertext Transfer Protocol over Secure Socket Layer)：超文本傳輸安全協(xié)議