论文部分内容阅读
摘 要：电力监控系统相当于整个电力系统的神经网络和控制中枢，对于保障电力系统的安全稳定运行和电力可靠供应具有重要意义。本文主要分析了发电厂电力监控系统存在的安全风险，介绍了电力监控系统安全防护的总体原则及策略，并提出了为了提高发电厂电力监控系统安全运行而采取的措施。
关键词：电力系统；电力监控系统；安全防护
一、电力监控系统安全防护的总体原则及策略
（一）电力监控系统安全防护的总体原则
电力监控系统安全防护的总体原则为“安全分区、网络专用、横向隔离、纵向认证”。
华润南京电厂将电力监控系统分置于生产控制大区和管理信息大区。两个大区之间通过部署正反向隔离装置进行物理隔离。生产控制大区又划分为生产控制区与生产非控制区。生产控制区和非控制区之间通过部署防火墙进行逻辑隔离。管理信息大区与外网相连时部署防火墙进行访问控制。在生产控制大区专用的调度数据专用网络边界部署纵向加密认证装置，形成栅格状安全防护体系架构；在电力调度数据网路由器上部署MPLS-VPN技术实现控制区与电力调度数据网的实时子网，非控制区与电力调度数据网的非实时子网进行数据通讯。
（二）电力监控系统安全防护策略
1.生产控制大区安全防护策略
根据《电力监控系统安全防护规定》的指导精神，针对发电厂采取的防护措施主要包括防火墙、入侵检测、入侵防护、病毒防护、漏洞扫描、日志审计系统、正（反）向专用安全隔离装置、纵向认证加密装置、SSL VPN、终端安全管理、内网监控平台、电力调度数字证书系统、拨号认证加密装置等系统，实现全面的防护。
2. 管理信息大区安全防护策略
统一部署防火墙、恶意代码防护系统、IDS 等通用安全防护措施。
二、电力监控系统网络结构描述
华润南京电厂电力监控系统主要包括 NCS 计算机监控系统、火电机组监控系统 DCS。本电厂电力监控系统整体划分为生产控制大区和管理信息大区，其中生产控制大区又分为实时控制区（安全区Ⅰ）和非实时控制区（安全区Ⅱ）。电厂严格按照电力监控系统安全防护方案（国能安全[2015]36 号）要求，将各电力监控系统进行分区域部署，其中 NCS 计算机监控系统、火电机组监控系统 DCS 等部署于实时控制区（安全区Ⅰ）；电能量采集装置、保护信息处理装置、故障录波装置部署于非实时控制区（安全区Ⅱ）；调度数据网分别实现实时控制区（安全区Ⅰ）和非实时控制区（安全区Ⅱ）与调度端的数据通讯；NCS 计算机监控系统、火电机组监控系统 DCS 均独立组网，相互之间通过硬接线的方式进行通信；五防系统成为 NCS 计算机监控系统子模块，部署于 NCS 计算机监控系统网络中；電能量采集装置、保信子站系统、故障录波装置通过调度数据网与调度端通讯，独立挂载于调度数据网非实时交换机上。横向连接处：管理信息大区尚未建设；纵向连接处：生产控制大区通过调度数据网与调度端进行数据通讯，部署南瑞 Netkeeper-2000 纵向加密认证装置，实现纵向通讯的加密、认证以及访问控制。
三、存在的安全风险及应对措施
（一）主要安全风险
电源线和通信线缆未分开铺设，无法避免对通信线缆的电磁干扰；未对网络设备配置进行备份；系统内存在 FTP、HTTP等通用网络服务；本系统未部署具有内网安全监视功能软件，无法实现实时监测电力监控系统的计算机、网络及安全设备运行状态，及时发现非法外联、外部入侵等安全事 件并告警等功能；对登录 NCS 计算机监控系统网络设备的用户启用了用户名 + 口令的身份鉴别机制，口令长度 10 位，字母、数字、特殊字符组成。
调度数据网网络设备未设置 console 登陆密码；主机操作系统及应用系统帐户口令，设置口令长度 8 位，由字母组成；操作系统不存在无用账号、过期的帐户，但存在多人共用一个账户现象；windows 操作系统开启了默认共享；操作系统、数据库、应用系统开启了审核策略，但未部署第三方审计设备，无法对审计记录进行集中采集和统计分析；生产控制大区未部署入侵检测 / 防御系统；生产控制大区未部署防恶意代码管理系统；数据库未设置合理的口令策略，采用系统默认的策略。
（二）应对措施
在继电器室安装电子门禁系统，加强管理制度，定期巡检设备状况；重要设备和主要部件设置明显的不宜去除的标签；部署温湿度计量装置，并部署精密空调调节温湿度：动力电缆和信号电缆隔离铺设；定期备份网络设备配置的备份文件；在生产控制大区内禁止通用网络服务，如 E-Mail、Web、 FTP 等服务；部署内网安全监视应用，实现对网络、安全设备的监视和统一管理；设置口令长度不低于 8 位，数字、字母组合，且定期更换；口令长度不低于 8 位，由字母、数字或特殊字符组成，且定期更换；避免存在多人共享帐户的情况；关闭默认共享；部署第三方审计系统，对操作系统、应用系统、数据库等日志进行集中采集和统计分析；通过技术手段实现操作系统的剩余信息保护功能，如更换为国产加固的操作系统麒麟和凝思等操作系统； 针对操作系统部署主机型入侵检测设备，并采用离线方式及时升级系统特征库；生产控制大区和信息管理大区部署防恶意代码产品，并采用离线方式及时升级系统特征库；设置合理的口令策略；实现操作系统和数据库系统特权用户的权限分离； 数据库系统开启登录超时锁定功能；启用登录失败处理功能；通过技术手段实现应用系统的剩余信息保护功能；设立电力二次安全防护专责，配备有专职的安全管理员，负责具体的安全工作。
四、结束语
电力监控系统安全防护的目的是提高电力系统运行的安全稳定性，所以其可靠性对电力系统的意义重大，这也给电力监控系统安全防护提出了相应的可靠性任务和要求，为了达到这些要求，需加强其检修维护工作。
参考文献：
[1]张成强.浅谈发电厂电气设备安全运行管理创新[J].中小企业管理与科技旬刊，2014（36）：43-44.
[2]王靖欧，吴凡.隔河岩水力发电厂电力监控系统安全防护建设[J].水电与新能源，2015（10）：15-18.
（作者单位：南京华润热电有限公司）
关键词：电力系统；电力监控系统；安全防护
一、电力监控系统安全防护的总体原则及策略
（一）电力监控系统安全防护的总体原则
电力监控系统安全防护的总体原则为“安全分区、网络专用、横向隔离、纵向认证”。
华润南京电厂将电力监控系统分置于生产控制大区和管理信息大区。两个大区之间通过部署正反向隔离装置进行物理隔离。生产控制大区又划分为生产控制区与生产非控制区。生产控制区和非控制区之间通过部署防火墙进行逻辑隔离。管理信息大区与外网相连时部署防火墙进行访问控制。在生产控制大区专用的调度数据专用网络边界部署纵向加密认证装置，形成栅格状安全防护体系架构；在电力调度数据网路由器上部署MPLS-VPN技术实现控制区与电力调度数据网的实时子网，非控制区与电力调度数据网的非实时子网进行数据通讯。
（二）电力监控系统安全防护策略
1.生产控制大区安全防护策略
根据《电力监控系统安全防护规定》的指导精神，针对发电厂采取的防护措施主要包括防火墙、入侵检测、入侵防护、病毒防护、漏洞扫描、日志审计系统、正（反）向专用安全隔离装置、纵向认证加密装置、SSL VPN、终端安全管理、内网监控平台、电力调度数字证书系统、拨号认证加密装置等系统，实现全面的防护。
2. 管理信息大区安全防护策略
统一部署防火墙、恶意代码防护系统、IDS 等通用安全防护措施。
二、电力监控系统网络结构描述
华润南京电厂电力监控系统主要包括 NCS 计算机监控系统、火电机组监控系统 DCS。本电厂电力监控系统整体划分为生产控制大区和管理信息大区，其中生产控制大区又分为实时控制区（安全区Ⅰ）和非实时控制区（安全区Ⅱ）。电厂严格按照电力监控系统安全防护方案（国能安全[2015]36 号）要求，将各电力监控系统进行分区域部署，其中 NCS 计算机监控系统、火电机组监控系统 DCS 等部署于实时控制区（安全区Ⅰ）；电能量采集装置、保护信息处理装置、故障录波装置部署于非实时控制区（安全区Ⅱ）；调度数据网分别实现实时控制区（安全区Ⅰ）和非实时控制区（安全区Ⅱ）与调度端的数据通讯；NCS 计算机监控系统、火电机组监控系统 DCS 均独立组网，相互之间通过硬接线的方式进行通信；五防系统成为 NCS 计算机监控系统子模块，部署于 NCS 计算机监控系统网络中；電能量采集装置、保信子站系统、故障录波装置通过调度数据网与调度端通讯，独立挂载于调度数据网非实时交换机上。横向连接处：管理信息大区尚未建设；纵向连接处：生产控制大区通过调度数据网与调度端进行数据通讯，部署南瑞 Netkeeper-2000 纵向加密认证装置，实现纵向通讯的加密、认证以及访问控制。
三、存在的安全风险及应对措施
（一）主要安全风险
电源线和通信线缆未分开铺设，无法避免对通信线缆的电磁干扰；未对网络设备配置进行备份；系统内存在 FTP、HTTP等通用网络服务；本系统未部署具有内网安全监视功能软件，无法实现实时监测电力监控系统的计算机、网络及安全设备运行状态，及时发现非法外联、外部入侵等安全事 件并告警等功能；对登录 NCS 计算机监控系统网络设备的用户启用了用户名 + 口令的身份鉴别机制，口令长度 10 位，字母、数字、特殊字符组成。
调度数据网网络设备未设置 console 登陆密码；主机操作系统及应用系统帐户口令，设置口令长度 8 位，由字母组成；操作系统不存在无用账号、过期的帐户，但存在多人共用一个账户现象；windows 操作系统开启了默认共享；操作系统、数据库、应用系统开启了审核策略，但未部署第三方审计设备，无法对审计记录进行集中采集和统计分析；生产控制大区未部署入侵检测 / 防御系统；生产控制大区未部署防恶意代码管理系统；数据库未设置合理的口令策略，采用系统默认的策略。
（二）应对措施
在继电器室安装电子门禁系统，加强管理制度，定期巡检设备状况；重要设备和主要部件设置明显的不宜去除的标签；部署温湿度计量装置，并部署精密空调调节温湿度：动力电缆和信号电缆隔离铺设；定期备份网络设备配置的备份文件；在生产控制大区内禁止通用网络服务，如 E-Mail、Web、 FTP 等服务；部署内网安全监视应用，实现对网络、安全设备的监视和统一管理；设置口令长度不低于 8 位，数字、字母组合，且定期更换；口令长度不低于 8 位，由字母、数字或特殊字符组成，且定期更换；避免存在多人共享帐户的情况；关闭默认共享；部署第三方审计系统，对操作系统、应用系统、数据库等日志进行集中采集和统计分析；通过技术手段实现操作系统的剩余信息保护功能，如更换为国产加固的操作系统麒麟和凝思等操作系统； 针对操作系统部署主机型入侵检测设备，并采用离线方式及时升级系统特征库；生产控制大区和信息管理大区部署防恶意代码产品，并采用离线方式及时升级系统特征库；设置合理的口令策略；实现操作系统和数据库系统特权用户的权限分离； 数据库系统开启登录超时锁定功能；启用登录失败处理功能；通过技术手段实现应用系统的剩余信息保护功能；设立电力二次安全防护专责，配备有专职的安全管理员，负责具体的安全工作。
四、结束语
电力监控系统安全防护的目的是提高电力系统运行的安全稳定性，所以其可靠性对电力系统的意义重大，这也给电力监控系统安全防护提出了相应的可靠性任务和要求，为了达到这些要求，需加强其检修维护工作。
参考文献：
[1]张成强.浅谈发电厂电气设备安全运行管理创新[J].中小企业管理与科技旬刊，2014（36）：43-44.
[2]王靖欧，吴凡.隔河岩水力发电厂电力监控系统安全防护建设[J].水电与新能源，2015（10）：15-18.
（作者单位：南京华润热电有限公司）