光伏电站用户站电力监控系统安全防护方案.doc

《光伏电站用户站电力监控系统安全防护方案.doc》由会员分享，可在线阅读，更多相关《光伏电站用户站电力监控系统安全防护方案.doc（6页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、光伏电厂电力监控系统平安防护技术方案单位名称加盖公章2021 年6月22日一、 方案编制依据?中华人民共和国计算机信息系统平安保护条例? 国务院1994年147号令2021年修订?电力监控系统平安防护规定? 中华人民共和国国家开展和改革委员会2021年第14号令?电力行业网络与信息平安管理方法? 国能平安2021317号?电力行业等级保护管理方法? 国能平安2021318号?电力监控系统平安防护总体方案? 国能平安2021 36号二、 总体目标和原那么(一) 总体目标确保新特汇能电厂电力监控系统和电力调度数据网络的平安，抵御黑客、病毒、恶意代码等各种形式的恶意破坏和攻击，特别是抵御集团式攻击，

2、防止电力监控系统的崩溃或瘫痪，以及由此造成的电力系统事故或大面积停电事故。(二) 总体原那么坚持“平安分区、网络专用、横向隔离、纵向认证总体原那么，重点强化边界防护，提高内部平安防护能力，保证电力生产控制系统及重要数据的平安。三、 平安防护方案(一) 电力监控系统概述1. 分散控制系统DCS 无2. 网络监控系统SCADA本厂SCADA系统包括2台主机兼工作站、4台工作站，操作系统主要采用LINUX系统，数据库主要采用MySQL数据库。系统外部通信接口如下，均采用TCP/IP协议进展数据通讯：序号互联系统或设备接口型式1SCADA系统TCP/IP协议2功率预测系统TCP/IP协议3综合自动化装

3、置TCP/IP协议4自动电压AVCTCP/IP协议5自动发电AGCTCP/IP协议3. 相量测量装置PMU 无。4. 电能量采集装置 本厂电能采集装置采用兰吉尔FFG_Plus，电能表通过RS485与电能采集装置进展数据传输，后经过采集装置通过TCP/IP协议进展数据通讯。5. 总体网络拓扑图(二) 平安分区按照?电力监控系统平安防护规定?，原那么上将发电厂基于计算机及网络技术的业务系统划分为生产控制大区和管理信息大区，并根据业务系统的重要性和对一次系统的影响程度将生产控制大区划分为控制区平安区及非控制区平安区，重点保护生产控制及直接影响机组运行的系统。本厂 平安分区如下：平安区：光伏区环网、

4、工作站、保护装置、直流系统、ups、站用变、站控设备组成的控制网络，与平安区通过防火墙实现硬件隔离。平安区：电能采集、功率预测数据，平安区与平安区通过反向隔离装置实现硬件隔离。 平安区：MIS管理系统，此链路独立无其他连接，气象站通过反向隔离装置与平安区功率预测实现硬件隔离。汇能库尔勒光伏一电站平安分区表序号业务系统及设备控制区平安一区非控制区平安二区管理信息大区1光伏电站运行监控系统电站运行监控2无功电压控制无功电压控制3发电功率控制发电功率控制4开关柜监控系统开关柜监控5继电保护装置及管理终端保护装置6故障录波故障录波装置7电能量采集装置电能量采集8光伏功率预测系统光功率预测9天气预报系统

5、数字天气预报10管理信息系统MISMIS(三) 网络专用调度数据网是生产控制大区相连接的专用网络，电力实时控制、在线生产交易等业务。我厂的电力调度数据网使用电力光缆且网络设备独立，物理层面上实现与电力企业其他数据网及外部公共信息网的平安隔离。厂端电力调度数据网划分为逻辑隔离的实时子网和非实时子网，分别连接控制区和非控制区。(四) 横向隔离横向隔离是电力监控系统平安防护体系的横向防线。应当采用不同强度的平安设备隔离各平安区，在生产控制大区与管理信息大区之间必须部署经国家指定部门检测认证的电力专用横向单向平安隔离装置，隔离强度应当接近或到达物理隔离。生产控制大区内部的平安区之间应当采用具有访问控制

6、功能的网络设备、平安可靠的硬件防火墙或者相当功能的设施，实现逻辑隔离。防火墙的功能、性能、电磁兼容性必须经过国家相关部门的认证和测试。我厂控制区与非控制区配置SECWORLD防火墙，规那么合理运行正常，除此链接外无其他链路链接控制区与非控制区。(五) 纵向认证纵向加密认证是电力监控系统平安防护体系的纵向防线。发电厂生产控制大区与调度数据网的纵向连接处应当设置经过国家指定部门检测认证的电力专用纵向加密认证装置，实现双向身份认证、数据加密和访问控制其他平安措施。我厂信息管理大区天气预测系统与平安二区装设反向隔离装置 Stone wall-2000 单向数据传递正常，信息管理区除此连接外并无其他链路

7、介入平安二区。MIS系统为独立链路，无其他接入。1. 防病毒我站生产区域内的计算机信息系统，要与 Internet 网分开，并建立计算机病毒防火墙，对效劳器，要采用先进的网络防计算机病毒软件，并对经过效劳器的信息进展监控，防止计算机病毒通过邮件效劳器扩散、传播。随时注意各种异常现象，一旦发现，应立即用查毒软件仔细检查。经常更新与升级防杀计算机病毒软件的版本。对生产区域内的要定点、定时、定人作查毒杀毒巡检。当出现计算机病毒传染迹象时，立即隔离被感染的系统和网络并进展处理，不应带“毒继续运行；发现计算机病毒后，一般应利用防杀计算机病毒软件去除文件中的计算机病毒，对于杀毒软件无法杀除的计算机病毒，应

8、及时请专业人员解决。对新购进的计算机及设备，为防止原始计算机病毒的侵害，要组织专业人员检查前方可安装运行；联网计算机、重要系统的关键计算机要安装防计算机病毒软件，并定期或及时更新计算机病毒防范产品的版本；要使用国家规定的、具有计算机使用系统平安专用产品销售许可证的计算机防计算机病毒产品。系统中的程序要定期进展比拟测试和检查。严禁使用盗版软件，特别是盗版的杀毒软件，严禁在工作计算机上安装、运行各类游戏软件。2. 主机加固我厂准备安装主机加固，主机加固软件为信达S-numen，强制进展权限分配，保证对系统资源包括数据和进程的访问符合定义的主机平安策略，防止主机权限被滥用。3. 入侵检测当系统发生入

9、侵行为或者违反平安策略的操作时，S-numen利用自身功能对用户程序在网络层和系统内部对该用户程序进展阻断，并且由系统向管理员进展报警。在报警条件中添加相应的报警规那么，S-numen可对入侵行为和违反平安策略的用户程序进展阻断。当有违反平安规那么的情况出现时，S-numen效劳器端会向特定的系统发送报警信息，S-numen监控程序会以多中方式进展报警。在后台可以提供告警。4. 平安审计日志审计和日志管理对于网络平安会起到重要作用，S-numen拥有独立的日志审计系统，通过方便的检索可以方便平安管理员的工作。S-numen的日志生成实在内核级上实现的，日志根据设置也可不生成，当生成时，还可以设

10、置是否按工程设置生成，所以应视系统存储空间的大小进展适当设置来使用。S-numen提供多种检索功能，方便管理的工作。5. 等级测评5.1.1 保护及远动通信系统定级序号定级对象系统级别1电力调度数据网2级2SCADA系统3级3故障录波器系统3级4电量计量系统2级5AVC系统3级6时间同步装置2级7保护装置3级8调度综合数据网2级9通信电源系统2级10光端机系统2级11PCM系统2级12调度交换机系统2级13行政交换机系统2级5.1.2 信息专业设备定级序号定级对象系统级别1全厂网络2级2视频监控系统2级3电子围栏系统2级4软件系统2级1制止生产控制大区内部的E-Mail效劳，制止控制区内通用的WEB效劳，并进展平安加固。2生产控制大区重要业务的远程维护采用身份认证机制。3生产控制大区内的业务系统间采取VLAN和访问控制等平安措施，限制系统间的直接互通。4生产控制大区部署恶意代码防护系统，采取防范恶意代码措施。病毒库、木马库以及IDS规那么库的更新应该离线进展。5各层面的数据网络之间通过路由限制措施进展平安隔离，保证网络故障和平安事件限制在局部区域之内。