南瑞正向隔离装置

询价采购电话: 18351955025
询价采购电话:18351955025

行业动态

南瑞正向隔离装置用于紫坪铺水力发电厂电力监控系统安全防护方案

1计算机监控系统安全防护的意义

紫坪铺水力发电厂计算机监控系统与设备之间的联系非常紧密,能够直接对设备进行操控,这在方便快捷的同时也带来了很大的隐患,系统只要受到攻击,将会造成严重后果。不仅如此,这个监控系统还与其它二次系统、电力调度数据网之间存在相应的物理连接,如果侵害到电力通信网或其它相关系统,那将会是更严重的事态。

由此可见,发电厂二次系统存在被攻击的危险,更主要的是,该电厂靠近电网负荷中心——成都,因此对监控系统的安全防护不仅关系到电厂安全,更关系到电网是否能够稳定运行。

2监控系统安全防护总体要求

2.1监控系统安全防护的特点

系统性:计算机监控系统由众多的子系统以及子网构建起来,它们各自都有自己的通信方式以及协议,以此来承载各种安全性要求不同的多种应用。信息的组织以及管理是由分层、区的网络模式来实现的。这就决定了对其进行的安全防护必须是一个相应的系统性工程。覆盖要细致全面、科学合理,还要能够配合相关机构的管理,形成合理优化的防护体系。

动态性:①通信以及计算机网络技术在飞速发展;②电力二次系统自身的内涵外延在不断变化,这些都决定了其动态性的特点。安全防护体系必须采用实时、动态、主动的防护思想。

2.2安全防护的目标及重点

目标:为了抵抗各种形式的入侵和攻击;同时还要对内部未授权用户进行访问限制,防止其进行重大违规操作。

重点:在计算机技术以及相应管理办法的共同作用下,确保监控系统及调度数据网的安全和稳定运行,防止该系统因攻击而瘫痪活失控,避免由此导致的电力系统故障。

3电力监控系统安全防护分析

3.1电力监控系统现状

该厂监控系统由主机、操作员工作站、工程师工作站、WEB机、ONCALL机、厂内通讯机、厂外通信机、LCU等组成部分分布式体系,上位机和LCU采用100M双以太网构成内部局域网进行通信。

监控系统支持串口、以太网等通信方式,可实现与水电站内部其他业务和上级调度机构的通信。

3.2电力监控系统连接关系

厂内主要二次系统通信均使用串口通信方式,且其余系统相互间没有横向隔离,可以认为它们处于一个相对安全的孤立网络中。而计算机监控系统除了厂内二次系统设备串口通信外,一方面接入电力通信网,另一方面与水情等安全II区设备进行数据交换,故需特别针对调度数据专用网和安全区域间的数据网做安全防护。

3.3紫坪铺水力发电厂监控系统接口边界

紫坪铺水力发电厂监控系统与外部网络之间存在两个边界,①向调度侧传输的调度数据专网,接入电力调度数据网;②向公司内部发布信息的WEB机,接入局域网,为防范来自两个外部网络的入侵,需要对处于边界的网络设备加以防护。

3.4紫坪铺水力发电厂监控系统与成都远控中心运行通道

成都远控作为现地操作员站的延伸,远控中心配置了两台操作员站、一台工程师站、两台WEB机和一套普罗泰克UPS(两组10kva)等设备。监控系统与远控中心之间通信通道分为A、B双网,双网互为备用,A、B网信号均通过川西光纤环网传输。

4电力监控系统安全防护方案

4.1安全防护目标

紫坪铺水力发电厂大部分二次系统(继电保护系統、自动控制系统等)运行环境相对孤立,通常只和本系统下辖设备和子系统作串口通信,可以视作一个安全封闭的网络。最容易受到入侵的是和大量其他系统、设备进行数据交换的节点,即计算机监控系统和电力调度数据专网。确保上述两个系统的安全,可提高整个二次系统的安全性,即使发生恶意入侵,也能把对系统和设备的危害降到最低。

4.2总体安全需求

根据14号令要求,不允许安全级别较低的外部系统和设备与位于安全I区的设备有直接数据交换,需在计算机监控系统与外网连接路由器上加装硬件防火墙。

计算机监控系统接入的电力调度数据网是独立的网络设备组网,是严格按照电监会14号令的要求,在组网的专用通道上使用,实现监控系统与其它相关数据网在物理上的连接,并且能够安全隔离外部公共信息网,形成电力专用网络。监控系统加装了纵向加密认证装置,电厂需要严格执行分区原则,将安全级别不同的业务按规定接入电力调度数据网。

4.3安全分区

计算机监控系统可以直接操作发电设备,和大部分二次系统均有数据交换,同时,它也是唯一与外部公网建立数据交换的系统,受入侵的几率较高且后果严重,基于此情况,我厂二次系统安全分区如下:

计算机监控系统(含电厂及成都部分)、PMU系统划分为安全I区;其余发电辅助系统划分为安全II区。

成都远控中心接口机1划分为II区设备;成都远控中心监控系统WEB机划分为III区。

成都远控作为现地操作员站的延伸,远控中心配置了两台操作员站、一台工程师站、两台WEB机和一套普罗泰克UPS(两组10kVA)等设备。监控系统与远控中心之间通信通道分为A、B双网,双网互为备用,A、B网信号均通过川西光纤环网传输。

4.4项目安全措施与设备部署

该厂计算机监控系统接入公网的唯一节点是位于成都远控中心的WEB3发布机,该计算机存在逻辑路由可连接至计算机监控系统内网,根据14号令规定:对紫坪铺水利发电厂二次系统采取如下安全措施:

计算机监控系统(含电厂及成都部分)、PMU系统接入电力调度数据网I区交换机并划分为不同网段;其余发电辅助系统接入电力调度数据网II区交换机并划分为不同网段。

纵向连接电力调度数据网的边界设置纵向加密认证装置。

成都远控中心接口机1与计算机监控系统(I区设备)间设置II区防火墙进行隔离;成都远控中心监控系统WEB机接入III区交换机,与II区交换机之间加装正向隔离装置,禁止数据从III区流入II区。

紫坪铺电厂之前仅设计有一套光端设备,与调度机构的自动化通信通道不具备两路以上的独立通道。第二套光端机已于今年6月初就位并投入运行,目前我厂数据专网双平面工作正在开展中,根据工作计划安排,2017年即可完成数据专网双平面相关工作。

目前站内天清汉马防火墙和天阗NS200IDS已不能满足大量业务的安全防护工作,建议更换为性能比较高的华为华为USG6306防火墙和绿盟的IDS,以此来保证业务的传输的安全性。

5安全产品技术要求

5.1内网交换机

共24个网络端口,都配备了完全15.4W的POE配置。网络的用户、端口以及MAC地址各不相同,并通过多种身份验证方法、数据加密技术以及NAC,为监控系统提供更强的网络安全性。

5.2硬件防火墙

支持源IP、源端口、用户、网址、邮件地址、MAC地址等进行访问;可管理流量、绑定IP+MAC、认证用户等;具有在关键字、屏蔽列表等技术下实现的web过滤功能;具有邮件过滤功能。

5.3IDS入侵检测系统

入侵检测系统可发现的恶意和可疑行为包括:缓冲区溢出攻击如:安全扫描、DOS与DDOS、网络娱乐等;网络数据库攻击如:木马后门、蠕虫病毒、安全漏洞等;网络设备攻击如:间谍软件、CGI访问/攻击、穷举探测等

6安全管理体系建设

6.1建立完善的安全组织机构

由电厂各业务的优秀代表组成工作小组,每个代表都对安全防护中涉及到的相应业务和应用负责。同时,由专人来统筹安排所有工作,并进行全面管理,同时配合上级的工作,协调好相关内容。明确电厂厂长、安全防护小组以及电力二次专业系统的一般工作人员的安全职责。

6.2设备、应用及服务的管理

(1)在系统中,只要有新的设备接入,就要在相关部门进行申请并且由安全防护工作组确认安全后,由技术部审查合格后才能批准接入。

(2)在安全区I和安全区II,所有的工作站和服务器都严禁与外部互联网连接,其它安全区也不能与之连接;无拨号上网功能;安全管理平台实时对两个安全区的PC和微机进行管理,防止病毒入侵。

(3)涉及到需要接入安全区I和安全区II中的產品,都必须是经过国家相关部门认证的国产产品,尤其是电力专用的安全产品,都需要经过电力安全主管部门进行严格的检测认证;除此之外,无论是哪种来源的产品,都必须通过系统要求的电磁干扰和电磁兼容测试。

7结束语

本文依据电力监控系统安全防护相关文件的规定,对紫坪铺水力发电厂的生产控制系统和信息管理系统的总体结构及各类子系统和设备的安全状况进行分析。

根据安全分析,提出电力监控系统安全防护的安全区结构和安全措施。依据相关设备情况提出安全设备技术指标要求;最后对电厂安全管理体系的建设提出意见。

除此之外,电厂还需在电力信息系统等级保护实施和管理方面加强管理。
留言与评论(共有 0 条评论)
   
验证码: