浙江湖州光伏电站电力监控系统安全防护方案

摘要：

     为了加强湖州变电站电力监控系统安全防护，防范黑客及恶意代码等对变电站电力监控系统的恶意破坏和攻击，以及其他非法操作，防止变电站电力监控系统瘫痪和失控，和由此导致的变电站一次系统事故和其他事故，保障电力系统的正常稳定运行，依据国家发改委[2014]14号令《电力监控系统安全防护规定》及《电力监控系统安全防护总体方案》，结合我公司电力监控系统的安全防护实际情况，特提出本方案。

适用范围：
    适用范围为：由电站自动化系统、微机继电保护和安全自动装置、电力调度数据网络等组成的电力监控系统的安全防护网络。

1.湖州光伏电站电力监控系统主要包括变电站计算机监控（NCS）系统。
   1.1光伏电站配置1套完整的网控计算机监控系统（NCS），用于光伏电站配电装置设备监视和控制。
NCS系统中集成1套台远动通讯装置。远动系统负责完成远动信息的传送、接收并执行调控中心的指令；远动系统由1套通讯管理机、数据网接入设备等组成。
   1.2为避免设备的重复设置，远动信息采集由NCS的数据采集I/O单元统一完成。远动数据处理及通信装置与NCS之间采用以太网互联，直接获取调度中心需要的远动信息。I/O单元所采集的远动信息不经过NCS的后台主机处理，直接传送至数据通信网关机，而从调度中心传送来各种调节命令由通讯管理机直接下达I/O单元。

2 .AGC/AVC系统
   光伏电站配置一套AGC/AVC系统，用以实现对光伏电站发电机出力进行控制，保证发电出力与负荷平衡。AGC/AVC系统主要配备了一台群控群调装置，该装置可 实现对光伏电站的有功功率、无功功率的调节，控制电站对电网的影响。
3.总体目标
   电力监控系统安全防护的重点是确保电力实时闭环监控系统及调度数据网络的安全，目标是抵御黑客、病毒、恶意代码等通过各种形式对系统发起的恶意破坏和攻击，特别是能够抵御集团式攻击，防止由此导致一次系统事故或大面积停电事故及电力监控系统的崩溃或瘫痪。

4.结合变电站的实际情况，变电站电力监控系统安全防护的总体目标包括：
   4.1.防止变电站监控系统服务等核心业务（即电力生产）中断。
   4.2.防止变电站监控系统本身崩溃。
   4.3.抵御外部人员对变电站监控系统发起的恶意破坏和攻击，及可能对相连的调度自动化系统的影响。
   4.4.防止利用病毒、木马等恶意程序,从变电站监控系统局域网内部发起的对电力生产及相连的调度自动化系统的恶意破坏和攻击。
   4.5.保护变电站监控系统实时和历史数据，主要防止数据被非授权修改。

5.浙江湖州光伏电站电力监控系统安全防护技术措施
   5.1.远动信息传输方式
        根据电力监控系统的特点，各相关业务系统的重要程度、数据流程、目前状况和安全要求，将整个电力监控系统分为安全I区和安全区II。
   5.2.安全I区：控制区
        控制区中的业务系统或其功能模块（子系统）的典型特征为：是电力生产的重要环节，直接实现对电力一次系统的实时监控，纵向使用数据网络或专用通道，是安全防护的重点与核心。安全区I的业务主要包括：
   5.3.安全II区：非控制区
       非控制区中的业务系统或其功能模块的典型特征为：是电力生产的必要环节，在线运行但不具备控制功能，使用电力调度数据网络，与控制区中的业务系统或其功能模块联系紧密。安全区II区的业务主要包括：
     （1）内网安全监测系统。
     （2）ERTU电能量采集系统
   5.4.网络专用
        电力调度数据网是生产控制大区相连接的专用网络，承载电力实时控制、在线生产交易等业务。变电站端的电力调度数据网应当在专用通道上使用独立的网络设备组网，在物理层面上实现与电力企业其他数据网及外部公共信息网的安全隔离，变电站端的电力调度数据网应当划分为逻辑隔离的实时子网和非实时子网，分别连接控制区和非控制区。光伏电站控制区、非控制区与电力调度数据网之间设置了纵向加密装置。
   5.5.纵向认证
      《安全防护方案》中规定：变电站生产控制大区与调度数据网的纵向连接处应当设置经过国家指定部门检测认定的电力专用纵向加密认证装置，实现双向身份认证、数据加密和访问控制。
   5.6.风险评估
        光伏电站应参照《信息安全风险评估指南（国信办版）》“运行维护阶段的风险评估”定期执行本公司的风险评估工作。
        运行维护阶段风险评估的目的是了解和控制运行过程中的安全风险，是一种较为全面的风险评估。评估内容包括对真实运行的信息系统、资产、威胁、脆弱性等各方面。其工作形式分为自评估和检查评估两类，以自评估为主。光伏电站应定期对本站电力监控系统安全防护进行风险评估，保留评估报告，并对评估结果中不可接受的风险制定风险处理计划，选择适当的控制目标及安全措施，明确责任、进度、资源，并通过对残余风险的评价以确定所选择安全措施的有效性。为了保证评估过程的规范性、评估结果的客观性，高可信度，若风险评估工作委托风险评估服务技术支持方进行，由于引入第三方本身就是一个风险因素，因此，公司应对其背景与资质、评估过程与结果的保密要求协商等方面进行控制。
    5.7.设备备用和数据备份
        定期对关键业务的数据与系统进行备份，备份的数据必须存储在可靠的介质中并与系统分开存放，并制定使用数据备份进行数据库故障情况恢复的预案。关键主机设备、网络设备或关键部件应当进行相应的冗余配置。
对于数据库软件的原始磁盘及资料应一式三份，一份保存于班组，一份保存于专业，一份交资料室保管。工作中使用上述磁盘进行工作时，必须先备份，用备份盘进行工作。每次设备大修或程序修改，均应先备份，后进行工作。备份的软件一式三份交有关部门保管。
    5.8 .网络安全监测装置
       （1）为了保证电力调度数据网安全稳定运行，根据《国家电网公司关于加快推进电力监控系统网络安全管理平台建设的通知》(国家电网调〔2017〕1084 号) 、《国家电网华东电力调控分中心关于开展电厂网络安全监测装置建设部署工作的通知》（调分中心〔2018〕23 号）、《关于开展并网电厂电力监控系统内网安全监控功能建设的通知》（浙电调字〔2018〕17 号）的要求，在并网电厂电力监控系统部署网络安全监测装置及相应的本地内网安全监视功能，采集并网电厂电力监控系统的服务器、工作站、网络设备和安防设备自身感知的安全数据及网络安全事件，实现对网络安全事件的本地监视和管理。同时将涉网区域的网络安全事件转发至调控机构网络安全监管平台。
       （2）在生产控制大区ⅠI区部署网络安全监测装置一台。网络安全监测装置用于与ⅠI区调度数据网交换机和核心交换机所在网络连接网络安全监测装置采集服务器、工作站、网络设备和安防设备自身感知的安全数据及网络安全事件，上送调度网络安全监管平台，同时通过网络安全监测工作站实现对网络安全事件的本地监视和管理。
    5.9.防火墙
        安全区I、安全区II之间部署一台防火墙装置，I区交换机、监控主机等设备信息通过I/II区防火墙接入到网络安全监测装置上送到主站，I/II区防火墙依照一定的安全策略使数据在指定的端口及IP上交互，防止各种非法的攻击行为保证网络的安全性。
    5.10. 站控层交换机监测
            安全区I、安全区II各部署了一台站控层交换机实现站级数据交互，该交换机符合国网安全监测要求，数据能接入网络安全监测装置，交换机上涉及网络安全的各项操作（网线插拔、登录、修改配置等）能通过网络安全监测装置上送到地调内网安全监测平台，实现远程监视功能。
    5.11. IDS防入侵监测
            IDS“入侵检测系统”。依据国网安防要求配置一台入侵检测装置及入侵检测工作站，监视安全区I和安全区II站控层网络、系统的运行状态，依照一定的安全策略，通过软、硬件对网络、系统的运行状态进行监视，尽可能发现各种攻击企图、攻击行为或者攻击结果，以保证网络系统资源的机密性、完整性和可用性。
立昌光伏电站入侵检测系统工作站与网络安全监测本地工作站共同部署于同一个工作站。
    5.12. 信息安全等级保护
          总体方案中要求：根据不同安全区域的安全防护要求，确定其安全等级和防护水平，生产的安全等级高于生产管理区。其中控制区中关键业务系统的安全等级相当于《计算机信息系统安全保护等级划分准则》中安全保护等级的第2级。