XX水电厂电力监控系统安全防护整体方案.docx
《XX水电厂电力监控系统安全防护整体方案.docx》由会员分享，可在线阅读，更多相关《XX水电厂电力监控系统安全防护整体方案.docx（17页珍藏版）》请在冰豆网上搜索。
XX水电厂电力监控系统安全防护整体方案
福建省***水电厂
电力监控系统安全防护方案
编制：
***
审核：
***
批准：
***
*********开发有限公司
2017年05月
第1章电力监控系统安全防护方案
一、总体概况
***水电厂共装4台机组，其中#1~#4机单机容量75MW,于1987年投运，接入福建电力调控中心。
包括：
#1~#4机组监控系统、一次升压站监控系统、调度数据网以及厂级实时监控系统、水情调度系统、故障录波系统、广域网相量测量（PMU）系统等。
2、安全分区
按照《电力二次系统安全防护规定》，原则上将发电厂基于计算机及网络技术的业务系统划分为生产控制大区和管理信息大区，并根据业务系统的重要性和对一次系统的影响程度再将生产控制大区划分为控制区（安全区I）及非控制区（安全区II），重点保护生产控制以及直接影响电力生产（机组运行）的系统。
●按照表2.1中示例，列举并说明厂内全部电力监控系统的安全分区情况（包括集控中心）。
序号
业务系统及设备
控制区
非控制区
信息管理大区
备注
1
调速和自动发电功能AGC
调速、自动发电控制
A1
2
故障录波
故障录波装置
B
3
弧门控制系统
监控功能
A2
4
电量采集装置
电量采集装置
A1、B
5
水电厂监控系统及自动电压AVC控制系统
发电机组控制，励磁调节器自动电压调节。
...
...
A1
6
水情信息系统
水情信息
B
7
广域网相量测量（PMU）系统
省调所辖机组、线路相量测量
A1
表2.1安全分区表
注：
A1：
与调控中心有关的电厂监控系统
A2：
电厂内部监控系统
B:
调控中心监控的厂站侧设备
与调控中心无关的电力监控系统不接入调度数据网。
三、网络专用
●按3.1和3.2节示例要求，列举并说明厂内全部电力监控系统的网络描述（包括集控中心）。
3.1调度数据网
●画出厂内调度数据网设备网络拓扑图，并说明使用的网络协议和通信方式。
●填写表3.1：
网络描述及设备清单。
●描述网络的组网方式及拓扑结构。
表3.1：
网络描述及设备清单
名称
用途
是否使用独立网络设备组网（请具体说明）
是否与其他网络相连（请具体说明）
调度数据网
生产控制大区专用网络
是，独立设备组网
否
名称及数量
厂家及型号
用途
详细配置
安全加固措施
路由器
（2台）
华三MSR3020
省调接入网路由器
华三MSR3020
地调接入网路由器
名称及数量
厂家及型号
用途
详细配置
安全加固措施
交换机
（4台）
华三S3600V2
省调接入网交换机
（安全I区）
华三S3600V2
地调接入网交换机
（安全I区）
华三S3600V2
省调接入网交换机
（安全II区）
华三S3600V2
地调接入网交换机
（安全II区）
3.2升压站站控层网络
●画出升压站站控层网络拓扑图，并说明使用的网络协议和通信方式。
●填写表3.2：
网络描述及设备清单。
●描述网络的组网方式及拓扑结构。
表3.2：
网络描述及设备清单
名称
用途
是否使用独立网络设备组网（请具体说明）
是否与其他网络相连（请具体说明）
升压站站控层网络
开关站一次设备的监控
否，与四台机组监控单元、公用监控单元及上位机等监控系统设备组成厂内监控系统。
通过光纤接入站控层内网交换机，通过通讯机接入调度数据网安全I区交换机。
...
名称及数量
厂家及型号
用途
详细配置
安全加固措施
交换机
（2台）
MOXA
*****
构建站控层A网、B网
3.3其他网络（根据现场实际情况补充）
..无
四、横向隔离
●按4.1节示例要求，列举并说明厂内全部电力监控系统的横向隔离情况（包括集控中心）。
4.1生产控制大区与非生产控制大区的安全隔离
●填写表4.1：
安全设备描述及清单。
表4.1：
安全设备描述及清单
名称及数量
厂家及型号
用途
详细配置
（可截图）
安全加固措施
横向隔离装置
（1台）
南京南瑞Sky-keeper-2000
监控系统向WEB服务器正向数据传输
策略：
单向传输
系统配置：
等
详细列出已采取的安全加固措施。
4.2生产控制大区与信息管理大区的安全隔离
生产控制大区一区机组监控系统接口机与二区水情测报系统接口机通过东软防火墙进行隔离，一区机组监控系统实时数据与二区水情测报系统实时数据通过南瑞Sky-Keeper2000正向隔离网闸，传输至信息管理大区EDNA实时数据库服务器。
4.3非生产控制大区与信息管理大区的安全隔离
非生产控制大区与信息管理大区无系统间数据传输，完全物理隔离。
4.4安全接入区的安全隔离
无安全接入区
五、纵向认证
●按5.1节示例要求，列举并说明厂内全部电力监控系统的纵向认证情况（包括集控中心）。
5.1生产控制大区与电力调控中心的纵向认证
●填写表5.1：
安全设备描述及清单。
表5.1：
安全设备描述及清单
名称及数量
厂家及型号
用途
详细配置
（可截图）
安全加固措施
纵向加密装置
（4台）
南瑞NetKeeper2000
I区省调接入网同中调通信
隧道：
策略：
系统配置：
等
详细列出已采取的安全加固措施。
南瑞NetKeeper2000
I区地调接入网同中调通信
南瑞NetKeeper2000
II区省调接入网同中调通信
南瑞NetKeeper2000
II区地调接入网同中调通信
5.2生产控制大区与集控中心的纵向认证
无集控中心
5.3III区与调控中心的纵向认证
III区与调控中心无连接。
5.4安全接入区与公网的纵向认证
无连接公网。
六、整体安全防护现状
●要求图6.1中画出厂内各系统的互联关系，并说明各系统间的互联方式及相关安全防护措施，按要求填写表格6.1,6.2，及附表。
●要求在表格6.1中列出接入电厂内各系统的厂外网络类型（互联网、集团网、政府专网、集控中心专网、调度数据网等）。
***电厂电力监控系统总体方案的框架结构图
6.1***电厂系统安全部署示意图
表格6.1***电厂监控系统安全分区表（按实际情况填写）
序号
控制大区（图中P1）
/厂外网络接入类型
非控制大区（图中P2）
/厂外网络接入类型
信息管理大区（图中P3）
/厂外网络接入类型
外部网络
（图中P4）
安全接入区
（图中P5）
1
NC2000监控系统（含AVC、AGC功能模块）
调度数据网
电量采集装置
调度数据网
调控管理系统工作站
电力综合通信数据网
...
...
2
PMU
调度数据网
故障录波装置
调度数据网
...
...
3
发电计划工作站
调度数据网
4
水情信息系统
调度数据网
表格6.2***电厂监控系统接口描述表（按实际情况填写）
编号
接口描述
数据传输方向
数据类型
通信方式及协议
安全防护措施
I0
NC2000监控系统AGC模块与机组控制系统接口
AGC模块->机组控制系统
AGC指令值
光纤TCP/IP
无
I1
机组控制系统与SIS系统接口
机组控制系统->SIS系统接口
机组实时数据
双绞线，TCP/IP
防火墙（对应表4.4中“东软NETeye5200”）
I2
SIS系统接口与MIS系统接口
SIS系统->MIS系统
生产数据
双绞线
单向隔离设备（对应表**中**）
七、控制大区系统概况
●参照模板，补充各大区的全部系统的概况及其相应示部署意图和网络连接图（集控中心也按各大区分类补充）。
控制大区主要包括：
自动发电控制模块（AGC）、自动电压控制模块（AVC）、升压站监控系统（NCS）、机组监控系统、公用系统监控系统、相量测量装置（PMU）、相应调度数据网安防及网络设备等。
（1）NCS系统现状
NCS系统采用的是南京南瑞集团公司的NC2000系统，提供对***电厂的监控功能，为外部调度数据网系统提供监控数据，部署在安全控制大区，通过远动设备与调度之间使用纵向加密设备传输遥测、遥信数据。
NC2000系统主要包括AGC、AVC模块、LCU装置等。
监控系统的边界防护的措施较为完善，与调度数据网系统之间存在数据交互，部署了电力行业纵向加密认证装置进行了隔离，与五防系统之间通过串口线连接。
（2）AGC模块现状
AGC系统采用的是南京南瑞集团公司的NC2000系统，提供对***电厂的有功功率调节功能，为外部发电机调速器系统提供调节数据，部署在控制大区，通过远动设备与调度之间使用纵向加密设备传输控制数据。
（按实际情况编写）
（3）AVC模块现状
AVC系统采用的是南京南瑞集团公司的NC2000系统，提供对***电厂的无功功率调节功能，为外部发电机励磁系统提供调节数据，部署在控制大区，通过远动设备与调度之间使用纵向加密设备传输控制数据。
（4）AVC、AGC系统现状
***电厂AGC、AVC系统随2007年监控系统改造投运后，经单机调节、成组调节试验，各项指标符合均要求，交付系统正常使用。
运行近10年，系统运行正常，未发生三类以上缺陷及系统考核等安全事件。
7.1.1控制大区系统部署示意图:
●要求详细画出厂内控制大区内全部系统，并说明各系统互联情况及相关安全防护措施，并填写表格7.1.1。
图7.1.1控制大区系统部署示意图
表格7.1.1***电厂监控系统接口描述表（按实际情况填写）
编号
接口描述
数据传输方向
数据类型
通信方式及协议
安全防护措施
I0
NC2000监控系统AGC模块与机组控制系统接口
AGC模块->机组控制系统
AGC指令值
4-20mA小信号
无
I1
PMU采集器与机组控制系统接口
PMU采集器->机组控制系统
PMU采集数据
4-20mA小信号和硬接线
无
7.1.2控制大区系统实际网络连接图:
●要求详细画出控制大区内全部系统，及所使用的全部网络、安全设备（包括调度数据网设备），并说明设备型号、各端口用途。
控制大区主要有机组及开关站等生产监控系统、弧门监控系统和广域网相量测量系统（PMU）、五防系统。
弧门监控系统为独立系统，与外界不相连，五防系统通过串口通讯与通讯机相连，读取监控系统状态量，与其它系统均无连接，机组及开站等生产监控系统由双星形网络结构的内网组成，两台通讯机接内网接收、转发监控系统和省调调度数据网数据，厂站层内网交换机使用台湾MOXA（型号EDS726-10G）工业级交换机，调度数据网使用华为网络交换机（型号3600），路由器使用华为MSR3020路由器。
监控系统有自己的通讯机，通过双平面2M调度专用数据网经纵向加密认证装置（南京南瑞NetKeeper-2000）上送调度远动信息。
安全I区与其它分区及系统联网情况：
安全I区与安全II区、III区间目前没有联网，均相互独立。
全厂生产控制大区和非控制大区均无通过拨号访问对生产控制系统安全I区进行远程维护等功能
升级会员 