某水电厂电力监控系统安全防护整体方案Word文档格式.docx
《某水电厂电力监控系统安全防护整体方案Word文档格式.docx》由会员分享，可在线阅读，更多相关《某水电厂电力监控系统安全防护整体方案Word文档格式.docx（27页珍藏版）》请在冰豆网上搜索。
...
统及自动电压
制，励磁调节
AVC控制系统
器自动电压调
节。
6
水情信息系统
水情信息
7
广域网相量测省调所辖机
量（PMU）系组、线路相量
统
测量
表2.1安全分区表
注：
A1：
与调控中心有关的电厂监控系统
A2：
电厂内部监控系统
B:
调控中心监控的厂站侧设备
与调控中心无关的电力监控系统不接入调度数据网。
三、网络专用
按3.1和3.2节示例要求，列举并说明厂内全部电力监控系统的网络描述（包括集控中心）。
3.1调度数据网
画出厂内调度数据网设备网络拓扑图，并说明使用的网络协议和通信方
式。
填写表3.1：
网络描述及设备清单。
描述网络的组网方式及拓扑结构。
表3.1：
网络描述及设备清单
是否使用独立网络
是否与其他网络相
名称用途设备组网（请具体
连（请具体说明）
说明）
调度数据网生产控制大区专用是，独立设备组网否
名称及数
量
路由器
（2台）
交换机
（4台）
网络
厂家及型号用途详细配置安全加固措施
华三MSR
省调接入网路由器
3020
地调接入网路由器
华三
省调接入网交换机
S3600V2
（安全I区）
地调接入网交换机
（安全II区）
3.2升压站站控层网络
画出升压站站控层网络拓扑图，并说明使用的网络协议和通信方式。
填写表3.2：
表3.2：
是否使用独立网络设备组是否与其他网络相
名称用途
网（请具体说明）连（请具体说明）
通过光纤接入站控层内
网交换机，通过通讯机
否，与四台机组监控单元、公接入调度数据网安全I
升压站站开关站一次设
用监控单元及上位机等监控系区交换机。
控层网络备的监控
统设备组成厂内监控系统。
厂家及型号
用途
详细配置
安全加固措施
MOXA
构建站控层A网、
*****
B网
3.3其他网络（根据现场实际情况补充）
..无
四、横向隔离
按4.1节示例要求，列举并说明厂内全部电力监控系统的横向隔离情况（包括集控中心）。
4.1生产控制大区与非生产控制大区的安全隔离
填写表4.1：
安全设备描述及清单。
表4.1：
安全设备描述及清单
（可截图）
策略：
单向传
横向隔离
南京南瑞
监控系统向WEB服
详细列出已采
Sky-keeper
输
装置
取的安全加固
（1台）
-2000
务器正向数据传输
系统配置：
措施。
等
4.2生产控制大区与信息管理大区的安全隔离
生产控制大区一区机组监控系统接口机与二区水情测报系统接口机通过东
软防火墙进行隔离，一区机组监控系统实时数据与二区水情测报系统实时数据
通过南瑞Sky-Keeper2000正向隔离网闸，传输至信息管理大区EDNA实时数
据库服务器。
4.3非生产控制大区与信息管理大区的安全隔离
非生产控制大区与信息管理大区无系统间数据传输，完全物理隔离。
4.4安全接入区的安全隔离
无安全接入区
五、纵向认证
按5.1节示例要求，列举并说明厂内全部电力监控系统的纵向认证情况（包括集控中心）。
5.1生产控制大区与电力调控中心的纵向认证
填写表5.1：
表5.1：
隧道：
南瑞
I区省调接入网
NetKeeper200
同中调通信
纵向加密
I区地调接入网
II区省调接入网
NetKeeper200同中调通信
II区地调接入网
5.2生产控制大区与集控中心的纵向认证
无集控中心
5.3III区与调控中心的纵向认证
III区与调控中心无连接。
5.4安全接入区与公网的纵向认证
无连接公网。
六、整体安全防护现状
要求图6.1中画出厂内各系统的互联关系，并说明各系统间的互联方式及相
关安全防护措施，按要求填写表格6.1,6.2，及附表。
要求在表格6.1中列出接入电厂内各系统的厂外网络类型（互联网、集团
网、政府专网、集控中心专网、调度数据网等）。
***电厂电力监控系统总体方案的框架结构图
6.1***电厂系统安全部署示意图
表格6.1***电厂监控系统安全分区表（按实际情况填写）
序号
控制大区（图中P1）非控制大区（图中P2）
信息管理大区（图中P3）
外部网络
安全接入区
/厂外网络接入类型
（
图
中
P4）
P5）
NC2000
调度数据
调控管理系电力综合通...
监控系统网
网
统工作站
信数据网
含
AVC
、
AGC功能
模块）
PMU
发电计划工作调度数据
站
表格6.2***电厂监控系统接口描述表（按实际情况填写）
编号
接口描述
数据传输方向
数据类型
通信方式及协议
安全防护措施
I0
NC2000监控系统AGC
AGC模块->
机组控制
AGC指令值
光纤TCP/IP
无
模块与机组控制系统接
系统
口
I1
机组控制系统与SIS系统机组控制系统->
SIS系机组实时数据
双绞线，TCP/IP
防火墙（对应表
接口
统接口
4.4中“东软
NETeye5200”）
I2SIS系统接口与MIS系统SIS系统->
MIS系统生产数据双绞线单向隔离设备
接口（对应表**中
**）
七、控制大区系统概况
参照模板，补充各大区的全部系统的概况及其相应示部署意图和网络连接
图（集控中心也按各大区分类补充）。
控制大区主要包括：
自动发电控制模块（AGC）、自动电压控制模块
（AVC）、升压站监控系统（NCS）、机组监控系统、公用系统监控系统、相量测量装置（PMU）、相应调度数据网安防及网络设备等。
（1）NCS系统现状
NCS系统采用的是南京南瑞集团公司的NC2000系统，提供对***电厂的
监控功能，为外部调度数据网系统提供监控数据，部署在安全控制大区，通过
远动设备与调度之间使用纵向加密设备传输遥测、遥信数据。
NC2000系统主
要包括AGC、AVC模块、LCU装置等。
监控系统的边界防护的措施较为完善，
与调度数据网系统之间存在数据交互，部署了电力行业纵向加密认证装置进行
了隔离，与五防系统之间通过串口线连接。
（2）AGC模块现状
AGC系统采用的是南京南瑞集团公司的NC2000系统，提供对***电厂的
有功功率调节功能，为外部发电机调速器系统提供调节数据，部署在控制大
区，通过远动设备与调度之间使用纵向加密设备传输控制数据。
（按实际情况
编写）
（3）AVC模块现状
AVC系统采用的是南京南瑞集团公司的NC2000系统，提供对***电厂的
无功功率调节功能，为外部发电机励磁系统提供调节数据，部署在控制大区，
通过远动设备与调度之间使用纵向加密设备传输控制数据。
（4）AVC、AGC系统现状
***电厂AGC、AVC系统随2007年监控系统改造投运后，经单机调节、成组调节试验，各项指标符合均要求，交付系统正常使用。
运行近10年，系统运行正常，未发生三类以上缺陷及系统考核等安全事件。
7.1.1控制大区系统部署示意图:
要求详细画出厂内控制大区内全部系统，并说明各系统互联情况及相关安
全防护措施，并填写表格7.1.1。
图7.1.1控制大区系统部署示意图
表格7.1.1***电厂监控系统接口描述表（按实际情况填写）
编
通信方式及
安全防护措
协议
施
NC2000监控系
机AGC指令值
4-20mA小无
统AGC模块与机
组控制系统
信号
组控制系统接口
PMU采集器与PMU采集器PMU采集数
机组控制系统接->
机组控制系据信号和硬接
口统线
7.1.2控制大区系统实际网络连接图:
要求详细画出控制大区内全部系统，及所使用的全部网络、安全设备（包
括调度数据网设备），并说明设备型号、各端口用途。
控制大区主要有机组及开关站等生产监控系统、弧门监控系统和广域网相量测量系统（PMU）、五防系统。
弧门监控系统为独立系统，与外界不相连，五防系统通过串口通讯与通讯机相连，读取监控系统状态量，与其它系统均无连接，机组及开站等生产监控系统由双星形网络结构的内网组成，两台通讯机接内网接收、转发监控系统和省调调度数据网数据，厂站层内网交换机使用台湾MOXA（型号EDS726-10G）工业级交换机，调度数据网使用华为网络交换机（型号3600），路由器使用华为MSR3020路由器。
监控系统有自己的通讯机，通过双平面2M调度专用数据网经纵向加密认证装置（南京南瑞NetKeeper-2000）上送调度远动信息。
安全I区与其它分区及系统联网情况：
安全I区与安全II区、III区间目前没有联网，均相互独立。
全厂生产控制大区和非控制大区均无通过拨号访问对生产控制系统安全I
区进行远程维护等功能。
控制大区均已完成二平面改造，冗余配置分别接入省调接入网和地调接入
网。
八．非控制大区系统概况
安全II区主要有电能量系统、故障录波系统、水情测报系统、调度计划工
作站系统组成，
安全II区联网情况：
安全II区的数据量通过正向物理隔离装置隔离，将数
据送到III区服务器上发布。
其他各系统均各自独立，未与其它系统联网。
九．信息管理大区系统概况
信息管理大区系统包含本公司在用公司内网网站、MIS管理系统、EDNA实时数据库系统、工程图档系统、录音管理系统等，提供本公司局域网内部信息系统应用服务，不涉及对互联网外的信息系统应用发布。
十、安全接入区概况
无对外网连接，未设安全接入区。
十一、集控中心控制大区系统概况
无集控中心。
第2章电厂电力监控系统安全管理概况
一、规章制度
要求列出与网络安全相关的管理制度，并将材料作为附件上传（根据实际
情况上报）。
名称
编制日期
01
信息系统应急管理规定
2015
年8
月14日
02
信息系统安全管理规定
年9
月30日
03
计算机信息系统数据备份管理规定
年10月30日
04
调度数据网运行维护管理规定
年11月30日
二、相关人员职责
要求列出相关人员职责与名单，并将材料作为附件上传（根据实际情况上
报）。
姓名
岗位
职责
联系方式
蒋**
自动化点检
电自动化管理及监督
1385099****
叶**
信息主管
信息系统管理及建设
1370600****
三、应急预案
要求列出相关的应急预案，并将材料作为附件上传（根据实际情况上
电力监控系统应急预案
2015年11月30日
弧门集控系统应急预案
03水情水调系统应急预案2015年11月30日
第3章等级保护
一、信息安全等级保护
要求各电厂根据实际情况说明是否完成电力监控系统定级、备案工作，且
开展定期测评。
系统定级情
系统所备案情况测评工作情况
序况
属单位系统名称
号测评
名称系统等级备案号公安机关上次测评时间
单位
福建
福建省**市公
省电
***电
3507000
安局公共信息
2016年10月
监控系统
二级
力调
厂
0034
网络安全监察
27日
控中
科
心
第4章通用安全防护措施
要求各电厂依据国能安全2015年36号文件和国网福建电力调控中心关于印
发《福建电力监控系统安全防护专项检查“回头看”工作方案》的通知（调自
〔2016〕59号）补充通用防护措施的开展情况（根据实际情况上报），按照
示例补充各章节内容。
一．物理安全
要求各电厂列出厂内机房环境及UPS电压等物理设施信息，补充下表。
温湿度监控设
防潮、防水情
视频监控系统部...
备部署情况
况
署情况
自动化机房
接入监控系统
符合要求
接入工业电视系
统，符合要求。
设备容量
当前负载
设备冗余情况
UPS间环境...
#1UPS电源
10KVA
20%
电源侧电源及
放置继保
容量冗余，负
室，符合
载侧可切换。
要求。
#2UPS电源
18%
二、主机加固
要求各电厂列出厂内全部主机信息，补充下表。
名称及数量
操作系统类型
主机加固情况
取消主机默认路
WEB服务器，提
由，关闭无用端
美国HP
供监控数据查
Linux—****
口，使用大小写
询。
字母+数字的密
服务器
码
美国SUN
S****10
实时数据服务器
同上
T2000
提供监控数据通讯
Linux—****
XW4300
监控系统工作站
（2台），主要
关闭无用端口，
工程师站
美国SUN公司
用于日常监控系
使用大小写字母
（3台）
Ultra45
统数据（图形）
+数字的密码
调阅及设备控
制。
监控系统工程师
站（1台），用
W****
Ultra20
于日常维护及语
音系统。
..
三、恶意代码防范
无。
四、入侵检测
五、备用与容灾
1、电力监控二次系统安规定定期进行数据备份（本机、异地备份）；
2、监控系统等控制系统主要主机实现双机冗余热备用，系统关键硬件
备品按要求配置，系统软件实行双备份（本机、异地）；
3、定期组织专业培训及开展预案应急演练；
4、定期对各系统进行病毒扫描及系统检查；
六、远程拨号访问
无远程服务。
七、安全审计
网络设备、操作系统、数据库、业务应用等均已开启审计功能，不定期对
操作行为进行安全审计。
八、其它
第5章自我评估
***电厂电力监控系统安全防护符合《电力监控系统安全防护总体方案》及
《发电厂监控系统安全防护方案》（国能安全〔2015〕36号）及福建省调控中心
调度数据网双平面要求。
对于其它如漏洞扫描、入侵检测等防护系统目前正在
调研，申请资金，争取尽快部署。
备注：
表示各电厂需补充的内容。
升级会员 