光伏電站用戶站電力監(jiān)控系統(tǒng)安全防護(hù)方案

1、光伏電廠電力監(jiān)控系統(tǒng)安全防護(hù)技術(shù)方案編制：審核：批準(zhǔn)：單位名稱（加蓋公章）2017 年 6 月 22 日一、方案編制依據(jù)中華人民共和國計算機(jī)信息系統(tǒng)安全保護(hù)條例 國務(wù)院 1994年 147號令（ 2011 年修訂）電力監(jiān)控系統(tǒng)安全防護(hù)規(guī)定 中華人民共和國國家發(fā)展和改革委員會 2014 年第 14 號令電力行業(yè)網(wǎng)絡(luò)與信息安全管理辦法國能安全2014317 號電力行業(yè)等級保護(hù)管理辦法國能安全2014318 號電力監(jiān)控系統(tǒng)安全防護(hù)總體方案國能安全201536 號二、總體目標(biāo)和原則（ 一 ） 總體目標(biāo)確保新特匯能電廠電力監(jiān)控系統(tǒng)和電力調(diào)度數(shù)據(jù)網(wǎng)絡(luò)的安全，抵御黑客、 病毒、惡意代碼等各種形式的惡意破壞和

2、攻擊，特別是抵御集團(tuán)式攻擊，防止電力監(jiān)控系 統(tǒng)的崩潰或癱瘓，以及由此造成的電力系統(tǒng)事故或大面積停電事故。（ 二 ） 總體原則堅持“安全分區(qū)、網(wǎng)絡(luò)專用、橫向隔離、縱向認(rèn)證”總體原則，重點強化邊界 防護(hù)，提高內(nèi)部安全防護(hù)能力，保證電力生產(chǎn)控制系統(tǒng)及重要數(shù)據(jù)的安全。三、安全防護(hù)方案（ 一 ） 電力監(jiān)控系統(tǒng)概述1. 分 散控制系統(tǒng)（ DCS）2. 網(wǎng)絡(luò)監(jiān)控系統(tǒng)（SCAD）本廠SCAD;系統(tǒng)包括（2）臺主機(jī)兼工作站、（4）臺工作站，操作系統(tǒng)主要采用LINUX系統(tǒng)，數(shù)據(jù)庫主要采用MySQ數(shù)據(jù)庫。系統(tǒng)外部通信接口如下，均采用TCP/IP協(xié)議進(jìn)行數(shù)據(jù)通訊：序號互聯(lián)系統(tǒng)或設(shè)備接口型式1SCAD療統(tǒng)TCP/IP協(xié)

3、議2功率預(yù)測系統(tǒng)TCP/IP協(xié)議3綜合自動化裝置TCP/IP協(xié)議4自動電壓AVCTCP/IP協(xié)議5自動發(fā)電AGCTCP/IP協(xié)議3. 相量測量裝置（PMU無。4. 電能量采集裝置本廠電能采集裝置采用蘭吉爾FFG_Plus，電能表通過RS485與電能采集裝置進(jìn)行數(shù)據(jù)傳輸，后經(jīng)過采集裝置通過 TCP/IP 協(xié)議進(jìn)行數(shù)據(jù)通訊。5. 總 體網(wǎng)絡(luò)拓?fù)鋱D（ 二 ） 安全分區(qū)按照電力監(jiān)控系統(tǒng)安全防護(hù)規(guī)定，原則上將發(fā)電廠基于計算機(jī)及網(wǎng)絡(luò)技術(shù) 的業(yè)務(wù)系統(tǒng)劃分為生產(chǎn)控制大區(qū)和管理信息大區(qū)，并根據(jù)業(yè)務(wù)系統(tǒng)的重要性和對一 次系統(tǒng)的影響程度將生產(chǎn)控制大區(qū)劃分為控制區(qū)（安全區(qū)I）及非控制區(qū)（安全區(qū) U）,重點保護(hù)生產(chǎn)控制

4、及直接影響機(jī)組運行的系統(tǒng)。本廠 安全分區(qū)如下：安全I(xiàn)區(qū)：光伏區(qū)環(huán)網(wǎng)、工作站、保護(hù)裝置、直流系統(tǒng)、ups、站用變、站控設(shè)備組成的控制網(wǎng)絡(luò)，與安全U區(qū)通過防火墻實現(xiàn)硬件隔離。安全U區(qū)：電能采集、功率預(yù)測數(shù)據(jù)，安全U區(qū)與安全川區(qū)通過反向隔離裝置 實現(xiàn)硬件隔離。安全川區(qū)：MIS管理系統(tǒng)，此鏈路獨立無其他連接，氣象站通過反向隔離裝置 與安全U區(qū)功率預(yù)測實現(xiàn)硬件隔離。匯能庫爾勒光伏一電站安全分區(qū)表序號業(yè)務(wù)系統(tǒng)及設(shè)備控制區(qū)安全一區(qū)非控制區(qū)安全二區(qū)管理信息大區(qū)1光伏電站運行監(jiān)控系統(tǒng)電站運行監(jiān)控2無功電壓控制無功電壓控制3發(fā)電功率控制發(fā)電功率控制4幵關(guān)柜監(jiān)控系統(tǒng)幵關(guān)柜監(jiān)控5繼電保護(hù)裝置及管理終端保護(hù)裝置6故障錄

5、波故障錄波裝置7電能量采集裝置電能量采集8光伏功率預(yù)測系統(tǒng)光功率預(yù)測9天氣預(yù)報系統(tǒng)數(shù)字天氣預(yù)報10管理信息系統(tǒng)MISMIS（三）網(wǎng)絡(luò)專用調(diào)度數(shù)據(jù)網(wǎng)是生產(chǎn)控制大區(qū)相連接的專用網(wǎng)絡(luò)，電力實時控制、在線生產(chǎn)交易 等業(yè)務(wù)。我廠的電力調(diào)度數(shù)據(jù)網(wǎng)使用電力光纜且網(wǎng)絡(luò)設(shè)備獨立，物理層面上實現(xiàn)與 電力企業(yè)其他數(shù)據(jù)網(wǎng)及外部公共信息網(wǎng)的安全隔離。廠端電力調(diào)度數(shù)據(jù)網(wǎng)劃分為邏 輯隔離的實時子網(wǎng)和非實時子網(wǎng)，分別連接控制區(qū)和非控制區(qū)。（四）橫向隔離橫向隔離是電力監(jiān)控系統(tǒng)安全防護(hù)體系的橫向防線。應(yīng)當(dāng)采用不同強度的安全 設(shè)備隔離各安全區(qū)，在生產(chǎn)控制大區(qū)與管理信息大區(qū)之間必須部署經(jīng)國家指定部門 檢測認(rèn)證的電力專用橫向單向安全隔

6、離裝置，隔離強度應(yīng)當(dāng)接近或達(dá)到物理隔離。 生產(chǎn)控制大區(qū)內(nèi)部的安全區(qū)之間應(yīng)當(dāng)采用具有訪問控制功能的網(wǎng)絡(luò)設(shè)備、安全可靠 的硬件防火墻或者相當(dāng)功能的設(shè)施，實現(xiàn)邏輯隔離。防火墻的功能、性能、電磁兼 容性必須經(jīng)過國家相關(guān)部門的認(rèn)證和測試我廠控制區(qū)與非控制區(qū)配置 SECWORLD火墻，規(guī)則合理運行正常，除此鏈接外 無其他鏈路鏈接控制區(qū)與非控制區(qū)。（ 五 ） 縱向認(rèn)證縱向加密認(rèn)證是電力監(jiān)控系統(tǒng)安全防護(hù)體系的縱向防線。發(fā)電廠生產(chǎn)控制大區(qū) 與調(diào)度數(shù)據(jù)網(wǎng)的縱向連接處應(yīng)當(dāng)設(shè)置經(jīng)過國家指定部門檢測認(rèn)證的電力專用縱向加 密認(rèn)證裝置，實現(xiàn)雙向身份認(rèn)證、數(shù)據(jù)加密和訪問控制其他安全措施。我廠信息管理大區(qū)（天氣預(yù)測系統(tǒng)）與安全

7、二區(qū)裝設(shè)反向隔離裝置Stonewall-2000 單向數(shù)據(jù)傳遞正常， 信息管理區(qū)除此連接外并無其他鏈路介入安全二區(qū)。 MIS系統(tǒng)為獨立鏈路，無其他接入。1. 防病毒我站生產(chǎn)區(qū)域內(nèi)的計算機(jī)信息系統(tǒng)，要與 Internet 網(wǎng)分開，并建立計算機(jī)病 毒防火墻，對服務(wù)器，要采用先進(jìn)的網(wǎng)絡(luò)防計算機(jī)病毒軟件，并對經(jīng)過服務(wù)器的信 息進(jìn)行監(jiān)控，防止計算機(jī)病毒通過郵件服務(wù)器擴(kuò)散、傳播。隨時注意各種異常現(xiàn)象， 一旦發(fā)現(xiàn)，應(yīng)立即用查毒軟件仔細(xì)檢查。經(jīng)常更新與升級防殺計算機(jī)病毒軟件的版 本。對生產(chǎn)區(qū)域內(nèi)的要定點、定時、定人作查毒殺毒巡檢。當(dāng)出現(xiàn)計算機(jī)病毒傳染 跡象時，立即隔離被感染的系統(tǒng)和網(wǎng)絡(luò)并進(jìn)行處理，不應(yīng)帶“毒”

8、繼續(xù)運行；發(fā)現(xiàn) 計算機(jī)病毒后，一般應(yīng)利用防殺計算機(jī)病毒軟件清除文件中的計算機(jī)病毒，對于殺 毒軟件無法殺除的計算機(jī)病毒， 應(yīng)及時請專業(yè)人員解決。 對新購進(jìn)的計算機(jī)及設(shè)備， 為防止原始計算機(jī)病毒的侵害， 要組織專業(yè)人員檢查后方可安裝運行； 聯(lián)網(wǎng)計算機(jī)、 重要系統(tǒng)的關(guān)鍵計算機(jī)要安裝防計算機(jī)病毒軟件，并定期或及時更新計算機(jī)病毒防范產(chǎn)品的版本；要使用國家規(guī)定的、具有計算機(jī)使用系統(tǒng)安全專用產(chǎn)品銷售許可證 的計算機(jī)防計算機(jī)病毒產(chǎn)品。系統(tǒng)中的程序要定期進(jìn)行比較測試和檢查。嚴(yán)禁使用 盜版軟件，特別是盜版的殺毒軟件，嚴(yán)禁在工作計算機(jī)上安裝、運行各類游戲軟件。2. 主 機(jī)加固我廠準(zhǔn)備安裝主機(jī)加固，主機(jī)加固軟件為信達(dá)

9、S-n ume n,強制進(jìn)行權(quán)限分配，保證對系統(tǒng)資源（包括數(shù)據(jù)和進(jìn)程）的訪問符合定義的主機(jī)安全策略，防止主機(jī)權(quán) 限被濫用。3. 入侵檢測當(dāng)系統(tǒng)發(fā)生入侵行為或者違反安全策略的操作時， S-numen 利用自身功能對用 戶（程序）在網(wǎng)絡(luò)層和系統(tǒng)內(nèi)部對該用戶（程序）進(jìn)行阻斷，并且由系統(tǒng)向管理員 進(jìn)行報警。在報警條件中添加相應(yīng)的報警規(guī)則， S-numen 可對入侵行為和違反安全 策略的用戶（程序）進(jìn)行阻斷。當(dāng)有違反安全規(guī)則的情況出現(xiàn)時，S-numen 服務(wù)器端會向特定的系統(tǒng)發(fā)送報警信息， S-numen 監(jiān)控程序會以多中方式進(jìn)行報警。在后 臺可以提供告警。4. 安全審計日志審計和日志管理對于網(wǎng)絡(luò)安全會

10、起到重要作用，S-numen 擁有獨立的日志審計系統(tǒng)，通過方便的檢索可以方便安全管理員的工作。S-numen 的日志生成實在內(nèi)核級上實現(xiàn)的，日志根據(jù)設(shè)置也可不生成，當(dāng)生成時，還可以設(shè)置是否按項目設(shè) 置生成，所以應(yīng)視系統(tǒng)存儲空間的大小進(jìn)行適當(dāng)設(shè)置來使用。 S-numen 提供多種檢 索功能，方便管理的工作。5. 等級測評5.1.1保護(hù)及遠(yuǎn)動通信系統(tǒng)定級序號定級對象系統(tǒng)級別1電力調(diào)度數(shù)據(jù)網(wǎng)2級2SCAD；系統(tǒng)3級3故障錄波器系統(tǒng)3級4申1量計里系統(tǒng)2級5AVC系統(tǒng)3級6時間同步裝置2級7保護(hù)裝置3級8調(diào)度綜合數(shù)據(jù)網(wǎng)2級9通信電源系統(tǒng)2級10光端機(jī)系統(tǒng)2級11PCM系 統(tǒng)2級12調(diào)度交換機(jī)系統(tǒng)2級13行政交換機(jī)系統(tǒng)2級5.1.2信息專業(yè)設(shè)備定級序號定級對象系統(tǒng)級別1全廠網(wǎng)絡(luò)2級2視頻監(jiān)控系統(tǒng)2級3電子圍欄系統(tǒng)2級4軟件系統(tǒng)2級5.2生產(chǎn)控制大區(qū)內(nèi)部安全防護(hù)技術(shù)要求(1)禁止生產(chǎn)控制大區(qū)內(nèi)部的 E-Mail服務(wù)，禁止控制區(qū)內(nèi)通用的 WE釀務(wù),并進(jìn)行安全加固( 2)生產(chǎn)控制大區(qū)重要業(yè)務(wù)的遠(yuǎn)程