xxx光伏電站監控系統安全防護實施方案解析-wenkub

　

【正文】 光功率預測 反向隔離裝置 電力工業以太網交換機 防火墻 生產控制大區內部安全防護技術要求 （ 1）禁止生產控制大區內部的 EMail 服務，禁止控制區內通用的WEB 服務，并進行安全加固。 日志審計和日志管理對于網絡安全會起到重要作用， Snumen 擁有獨立的日志審計系統，通過方便的檢索可以方便安全管理員的工作。 當系統發生入侵行為或者違反安全策略的操作時， Snumen 利用自身功能對用戶（程序）在網絡層和系統內部對該用戶（程序）進行阻斷，并且由系統向管理員進行報警。系統中的程序要定期進行比較測試和檢查。經常更新與升級防殺計算機病毒軟件的版本。 重點防護的調度中心和重要廠站兩側均應配置縱向加密認證裝置；當調度中心側已配置縱向加密認證裝置時，與其相連的小型廠站側可以不配備該裝置，此時至少實現安全過濾功能。 縱向加密認證裝置及加密認證網關用于生產控制大區的廣域網邊界防護。采用認證、加密、訪問控制等技術措施實現數據的遠方安全傳輸以及縱向邊界的安全防護。專用橫向單向隔離裝置應該滿足實時性、可靠性和傳輸流量等方面的要求。 按照數據通信方向電 力專用橫向單向安全隔離裝置分為正向型和反向型。 橫向隔離 橫向隔離是電力二次安全防護體系的橫向防線。各層面的數據網絡之間應該通過路由限制措施進行安全隔離。省級以上調度中心和網調以上直調廠站節點構成調度數據網骨干網（簡稱骨干網） 。數據網絡與業務系統邊界采用必要的訪問控制措施，對通信方式與通信業務類型進行控制；在生產控制大區與電力調度數據網的縱向交接處應當采取相應的安全隔離、加密、認證等防護措施。可采用 MPLSVPN 技術、安全隧道技術、 PVC 技術、靜態路由等構造子網。 XXX 光伏電站 監控系統 安全分區表 序號 業務系統 控制區 非控制區 管理信息大區 1 廠站監控系統 廠站監控系統 （ AGC/AVC） 2 五防系統 五防系統 3 電能質量在線監測 電能采集裝置 4 繼電保護 繼電保護裝置 5 故障錄波 故障錄波裝置 6 安全自動控制系統 安全自動控制裝置 7 光功率預測 光功率預測系統 外網服務器 8 OMS 客戶端 OMS 客戶端 9 火災報警系統 火災報警 網絡專用 電力調度數據網是為生產控制大區服務的專用數據網絡，承載電力實時控制、在線生產交易等業務。 等級保護定級 按照等級保護定級備案要求， XXX 光伏電站 監控系統 作為一個定級對象定為等保二級。 由 10kVX線輸送至 X 電站， XXX 光伏電站調度管轄權隸屬國網電力公司 XXX 調控中心管轄。 2． 2XXX 光伏電站簡介 XXX 光伏電站公司名稱為 XXX 公司 ， 位于 XXX，距 XXX 變電站西北側約 公里， 于 X年 X月 X 日開工建設，于 X年 X月 X 日成功實現并網發電， 總裝機容量 10MW， 建設電池板組件全部采用固定式安裝 。 為了加強 XXX 光伏電站 監控系統 安全防護，確保電力監控系統及電力數據網絡的安全，依據國家發改委第 14 號令《電力監控系統安全防護規定》、《電力 監控系統 安全防護總體方案》及其配套方案，制定本方案。 XXX 光伏電站 監控系統 的防護目標是抵御黑客、病毒、惡意代碼等通過各種形式對電力 監控系統 發起的惡意破壞和攻擊，以及其它非法操作，防止 XXX 光伏電站 監控系統 癱瘓和失控，并由此導致的電網一次系統事故。 公司 2 光伏發電系統采用 “ 分塊發電，集中并網 ” 的總體 設計方案， 建設有 10個 1MW 光伏發電單元，每個 1MW 光伏發電單元共安裝 X件 XXX 光伏板組件；每 X件光伏組件串聯為一個支路，共 X 個支路；每 X 個或 X 個支路并聯接入一面直流接線箱； X 面接線箱接入 1 面直流屏，共 2 面直流屏。 系統概述 XXX 光伏電站 監控系統 主要由服務器、工作站、各類裝置、網絡設備、安全防護設備、操作系統、數據庫、應用軟件等部分組成。 監控系統 安全防護實施方案 安全防護總體原則 XXX 光伏電站 監控系統 安全防護的基本原則為“安全分區、網絡專用、橫向隔離、縱向認證”。安全區的外部邊界網絡之間的安全防護隔 離強度應該和所連接的安全區之間的安全防護隔離強度相匹配。 電力調度數據網應當采用以下安全防護措施： （ 1）網絡路由防護 按照電力調度管理體 系及數據網絡技術規范，采用虛擬專網技術，將電力調度數據網分割為邏輯上相對獨立的實時子網和非實時子網，分別對應控制業務和非控制生產業務，保證實時業務的封閉性和高等級的網絡服務質量。對于實時控制等重 要業務，應該通過縱向加密認證裝置或加密認證網關接入調度數據網。省調、地調和縣調及省、地直調廠站節點構成省級調度數據網（簡稱省網）。當地調或配調內部采用公用通信網時，禁止與調度數據網互聯。采用不同強度的安全設備隔離各安全區，在生產控制大區與管理信息大區之間必須設置經國家指定部門檢測認證的電力專用橫向單向安全隔離裝置，隔離強度應接近或達到物理隔離。正向安全隔離裝置用于生產控制大區到管理信息大區的非網絡方式的單向數據傳輸。 嚴格禁止 EMail、 WEB、 Tel、 Rlogin、 FTP 等安全風險高的通用網絡服務和以 B/S 或 C/S 方式的數據庫訪問穿越專用橫向單向安全隔離裝置，僅允許純數據的單向安全傳輸。對于重點防護的調度中心、發電廠、變電站在生產控制大區與廣域網的縱向連接處應當設置經過國家指定部門檢測認證的電力專用縱向加密認 證裝置或者加密認證網關及相應設施，實現雙向身份認證、數據加密和訪問控制。縱向加密認證裝置為廣域網通信提供認證與加密功能，實現數據傳輸的機密性、完整性保護，同時具有類似防火墻的安全過濾功能。 傳統的基于專用通道的數據通信不涉及網絡安全問題，新建系統可逐步采用加密等技術保護關鍵廠站及關鍵業務。對生產區域內的要定點、定時、定人作查毒殺毒巡檢。嚴禁使用盜版軟件，特別是盜版的殺毒軟件，嚴禁在工作計算機上安裝、運行各類游戲軟件。在報警條件中添加相應的報警規則，Snumen 可對入侵行為和違反安全策略的用戶（程序）進行阻斷。Snumen 的日志生成實在內核級上實現的，日志根據設置也可不生成，當生成時，還可以設置是否按項目設置生成，所以應視系統存儲空間的大小進行適當設置來使用。 （ 2）允許非控制區內部業務系統采用 B/S 結構，但僅限于業務系統內部使用。 （ 5）生產控制大區應該統一部署惡意代碼防護系統，采取防范惡意代碼措施。 本電站電力 監控系統 安全防護工作應當堅持安全分區、網絡專用、縱向認證的原則。 《電力 監控系統 安全防護規定》國家電監會 5 號