电力监控系统安全防护措施详解

新能源企业陶日木风场企业原则

电力监控系统安全防护

总体方案（试行）

2016-01-01公布2016-02-01实行

亲斤育民源有限企业陶日木凤场发布

目次

1范围......................................................................错误!未定义书签。

2规范性引用文献...........................................................错误!未定义书签。

3定义与术语...............................................................错误!未定义书签。

4职责......................................................................错误!未定义书签。

5系统设备定级及安全区划分................................................错误!未定义书签。

6技术防护措施.............................................................错误!未定义书签。

7安全管理.................................................................错误!未定义书签。

，，—X.

刖百

本原则是根据内蒙古能源发电投资集团新能源企业（如下简称“企业”）原则体系工作II勺需要编制，

是企业原则体系建立.和实行的人性原则。目的是规范企业生产管理工作，从而规范并加紧企业原则体系

内完善，适应集团原则和国标时需要。

本原则由企业设备管理部提出并归口管理

本原则起草部门：生产部

本原则起草人：杨晓春

本原则重要修改人：乔俊芳

本原则审核人：刘宇

本原则复核人：王宝清

本原则同意人：周跃宇

本原则于2023年01月初次公布。

电力监控系统安全防护总体方案

1范围

1.1为了加强我企业电力监控系统安全防护，抵御黑客及恶意代码等对我企业电力监控系统发起的恶意

破坏和袭击，以及其他非法操作，防止我企业电力监控系统癖痪和失控，和由此导致的一次系统事故和

其他事故，特制定本方案。

1.2本方案确定了我企业电力监控系统安全防护体系H勺总体框架，细化了电力监控系统安全防护总体原

则，定义了通用和专用H勺安全防护技术与设备，提出了我企业电力监控系统安全防护方案及实行措施。

1.3我企业电力监控系统安全防护11勺总体原则为“安全分区、网络专用、横向隔离、纵向认证、综合防

护”。安全防护重要针对电力监控系统，即用于监视和控制电力生产及供应过程的、基于计算机及网络

技术的业务系统及智能设备，以及作为基础支撑的通信及数据网络等。重点强化边界防护，同步加强内

部口勺物理、网络、主机、应用和数据安全，加强安全管理制度、机构、人员、系统建设、系统维护的管

理、提高系统整体安全防护能刀，保证电力监控系统及重要数据日勺安全。

1.4本方案合用于我企业电力监控系统的规划设计、项目审查、工程实行、系统改造、运行管理等。

2规范性引用文献

下列文献对于本文献的应用是必不可少的。但凡注日期的引用文献，仅注日期的版本合用于本文献。

但凡不注日期的引用文献，其最新版本（包括所有的修改单）合用于本文献。

国家发改委2023年第14号令《电力监控系统安全防护规定》

国家发改委2023年第14号令《电力监控系统安全防护总体方案》

国家发改委2023年第14号令《发电厂监控系统安全防护方案》

GB/T22239-2023《信息安全技术信息系统安全等级保护基本规定》

公通字[2023]43号《信息系统安全等级保护管理措施》

GB/T22240-2023《信息安全技术信息系统安全等级保护定级指南》

GB/T25058-2023《信息安全技术信息系统安全等级保护实行指南》

GB/T20984-2023《信息安全技术信息安全风险评估规范》

GB/T28448-2023《信息系统安全等级保护测评规定》

GB/T28449-2023《信息系统安全等级保护测评过程指南》

电监信息[2023]34号《有关开展电力行业信息系统安全等级保护定级工作的告知》

电监信息[2023]44号《电力行业信息系统等级保护定级工作指导意见》

电监信息[2023]62号《电力行业信息系统安全等级保护基本规定》

3定义与术语

下列定义和术语合用于本原则:

3.1电力监控系统

电力监控系统，是指用于监视和控制电力生产及供应过程欧I、基于计算机及网络技术的业务系统及

智能设备，以及做为基础支撑的通信及数据网络等。

3.2安全分区

按照《电力监控系统安全防护规定》，原则上将发电厂基于计算机及网络技术的业务系统划分为生

产控制大区和管理信息大区，并根据业务系统日勺重要性和对一次系统的影响程度将生产控制大区划分为

控制区（安全区I）及非控制区（安全区II）,重点保护生产控制及直接影响机组运行的系统。

3.3网络专用

电力调度数据网是生产控制大区相连接的专用网络，承载电力实时控制、在线生产交易等业务。发

也厂端H勺电力调度数据网应当在专用通道上使用独立H勺网络设备组网，在物理层面上实现与电力企业其

他数据网及外部公共信息网的安全隔离。发电厂端H勺电力调度数据网应当划分为逻辑隔离的实时子网却

非实时子网，分别连接控制区和非控制区。

3.4横向隔离

横向隔离是电力监控系统安全防护体系的横向防线。应当采用不一样强度的安全设备隔离各安全区，

在生产控制大区与管理信息大区之间必须布署经国家指定部门检测认证的电力专用横向单向安全隔离装

置，隔离强度应当靠近或到达物理隔离。生产控制大区内部的安全区之间应当采用品有访问控制功能的

网络设备、安全可靠日勺硬件防火墙或者相称功能日勺设施，实现逻辑隔离。防火墙的功能、性能、电磁兼

容性必须通过国家有关部门的认证和测试。

3.5纵向认证

纵向加密认证是电力监控系统安全防护体系的）纵向防线。发电厂生产控制大区与调度数据网H勺纵向

连接处应当设置通过国家指定部门检测认证aJ电力专用纵向加密认证装置，实现双向身份认证、数据加

密和访问控制。

3.6综合防护

综合防护是结合国家信息安全等级保护工作H勺有关规定对电力监控系统从主机、网络设备、恶意代

码防备、应用安全控制、审计、备用及容灾等多种层面进行信息安全防护的过程。

4职责

4.1组织机构

组长：秦立新

副组长：石彦鹏、任晓鹏、赵秀琴

成员：继电保护室组员、热控组员、信息组员。

4.2职责

4.2.1组长、副组长职责

4.2.1.1负责组织有关人员建立或编制本单位所管辖H勺电力监控系统安全防护管理规定、实行方案、

评估制度及应急预案。

4.2.1.2常常检查我企业的电力监控系统安全防护的执行状况，定期组织有关人员对电力监控系统进

，亍安全评估；对于存在问题H勺，提出整改期限。

4.2.1.3负责组织有关人员对我企业发生的安全事故进行认真分析，并及时向上级主管单位上报安全

事故分析汇报。

4.2.1.4全面管理电力监控系统运行工作；掌握电力监控系统的配置状况：熟悉电力监控系统的I分布

状况：理解电力监控系统H勺安全状况；定期组织讨论电力监控系统安全状况，协调各专业之间接口安全

问题。

4.2.2组员职责

4.2.2.1负责本专业应用系统己布署的安全产品日勺安全方略的设置和调整，对该产品平常运行进行精

心的）维护。

4.2.2.2定期对安全产品的日志进行审计。

4.2.2.3精心观测和分析该系统日勺安全状况，并及时上报组长、副组长。

4.2.2.4使用数字证书管理系统进行数字证书的申请，生成、发放和撤销。

4.2.2.5精心维护数字证书管理系统，保证系统的安全、可靠、稳定运行。

4.2.2.6精心保护证书管理系统H勺数字证书，防止遗失。

4.2.2.7参照国家对涉密设备的有关规定，建立有效的数字证书及密钥管理制度。

4.2.2.8保护本专业的口令、数字证书、密钥等安全设施；一旦泄露或丢失，应当立即汇报，对导致

恶劣后果者，要按国家有关规定追究其责任。

.9全面掌握本专业电力监控系统的分区状况、配置状况、硬件设置状况及接口、数据流向等；做好数

据备份和平常管理工作。

.10对电力监控系统安全评估的所有评估资料和评估成果，应当按国家有关规定做好保密工作。

5系统设备定级及安全区划分

5.1系统设备定级

保护及远动通信系统定级

序号定级对象系统级别

1电力调度数据网2级

2NCS系统3级

3故障录波器系统3级

4远方电量计量系统2级

5故障信息子站系统2级

6功角测量系统2级

7AVC系统3级

8时间同步装置2级

9发变组保护装置.3级

10励磁系统3级

11母线保护装置3级

12线路保护装置3级

13调度综合数据网2级

14通信电源系统2级

15光端机系统2级

16PCM系统2级

17调度互换机系统2级

18行政互换机系统2级

5.1.2信息专业设备定级

序号定级对象系统级别

1全厂网络2级

2门禁系统2级

3监控系统2级

4电子围栏系统2级

5视频会议系统2级

6软件系统2级

5.2安全区的划分

保护及远动通信设备安全区的划分

字号系统名称设备名称设备型号安全分区类别

路由器H3CMSR50-40控制区（安全区D

实时互换机S36OOV2-28TP-SI控制区（安全区I）

电力调度数

1实时纵向加密装置PSTunncl-2023控制区（安全区I）

据网

非实时互换机S36OOV2-28TP-SI非控制区1安全区II）

非实时纵向加密装置PSTunnel-2023非控制区1安全区【I）

远动主机RCS-9698H控制区（安全区I）

2NCS系统五防系统RCS-9200控制区（安全区I）

测控装置RCS-9705C控制区（安全区D

发变组故障录波装置WY9F非控制区安全区II）

3故障泉波器

线路故障录波装置WDGL-VI非控制区安全区ID

远方电量计电能量远力终端（中调）ESM-ID北控制区（女全区U）

4

量系统电能量远方终端（地调）CHL034-IIC非控制区1安全区II）

嵌入式信息管理装置（子站主机）SDL-8003非控制区安全区II）

故障信息子硬件防火墙FW5120非控制区安全区II）

5

站系统串口通讯服务器MOXANport5630控制区（安全区I）

网络互换机MOXAES-1026控制区（安全区I）

功角测量系数据集中处理单元CSC-361A控制区（安全区I）

6

统相量测量单元CSC-36IB控制区（安全区1）

上位机UC630上位:机控制区（安全区I）

7AVC系统下位机UC630下位机控制区（安全区D

AVC子站后台机1EI4U工控机控制区（安全区1）

时间同步装主同步时时系统装置RCS9785D非控制区1安全区II）

8

置从同步对时系统装置RCS9785E非控制区1安全区II）

发变组保护装置PCS-985A控制区（安全区I）

发变组保护

9非电量保护装置PCS-974FG控制区（安全区I）

装置

高备变保护PCS-985T控制区（安全区1）

10励磁系统发电机励磁系统UN11R0L6000控制区（安全区I）

母线保护装母线保护装置一BP-2C控制区（安全IX1）

11

置母线保护装置二RCS-9I5AB-090455控制区（安全区I）

CSC-103D

251陶库I线纵联电流差动保护

线路保护装RCS-93IBMV

12控制区（安全区I）

置路由器AR3260

24口以太网互换机S37OO-28TP-SI-AC

14调度综合数防火墙M890管理信息大区

据网交流配电单元ACSB-COI-VI.O

高频开关整流ZL4830SA

直流分派单元ZLPFU-13

通信电源系蓄电池30()Ah2V/R24只/组

15非控制区(安全区II)

统马可尼光端机OMS1664

西门子光端机HIT7065

至中调PCMFMX-I2非控制区1安全区H)

16光端机系统

至区调PCMFMX-I2非控制区1安全区11)

调度程控互换机IXP3000

17PCM系统非控制区(安全区H)

互换机主机S8000C

调度互换机

18非控制区1安全区【I)

系统

行政互换机

19管理信息大区

系统

5.2.2信息专业设备安全区的划分

字号系统名称设备名称设备型号安全分区类别

HuaweiAR3260-SRU40-AC

外网路由器管理信息大区

路由器主机(AC)

入侵防御、检测华为NIP2023管理信息大区

防毒墙网御POWERV6000-U1160管理信息大区

防火墙/VPN华为USG515O管理信息大区

关键互换机华为9312管理信息大区

243POE接入互换机华为S2326TP-PWR-EI管理信息大区

48口接入互换机华为S5700-48TP-SI-AC管理信息大区

全厂网络硬24口接入互换机华为为700-26TP-SI-AC管理信息大区

1

件设备光模块-SFP-GE-单模模块管理信息大区

SFP-GE-LH40-SM1310

-(1310nm,1Okm,LC)

无线控制器HuaweiAC6605-26-PWR管理信息大区

无线接入点华为AP6610DN-AGN管理信息大区

网康NFT000上网行为管管理信息大区

安全审计

理

终端准入设备艾科网信A110,管理信息大区

域控制器IBMX3650M4管理信息大区

DNS服务器/网管服务器IBMX3650M4管理信息大区

其他服务器IBMX3650M4管理信息大区

POLYCCMHDX8000HDX8002

视频会议主机管理信息大区

视频会议系辽(摄像头)

2

统POLYCOM1P550分会场应急保障分机管理信息大区

夏普液晶显示屏46”(包括两个电视推车)管理信息大区

WindewsServer2023企管理信息大区

服务器企业版操作系统

业版

Windows7专业版支持新技管理信息大区

客户端操作系统

术

紫光电子档案管理系统软管理信息大区

档案管理系统软件

件(V8.0)

华为eSight企业运维系管理信息大区

网关软件

统(V200R001)

3软件系统

数据库软件Oracle数据库10g标管理信息大区

邮件系统Winmail管理信息大区

三维地下管网系统mGIS深圳管理信息大区

全厂门禁系统ZKAcccss5.0管理信息大区

ERP系统SAP系统管理信息大区

财务系统用友U8管理信息大区

UA系统办同管埋软件管埋信息大区

企业版杀毒软件瑞星杀毒软件网络版8个管理信息大区

服务器端，120PC端

Cisco2811路由器管理信息大区

集团专网路由曙

4其他硬件

2端口0C-3/STVT通道化管理信息大区

RT-HIM-2CP0S/STM1-H3

El/TlPOS接口模块(SFP)

5.3各系统间的关联

保护及远动通信系统网络拓扑图

保护及远动图

<s>-e

-CS)—<2)-

-Q>—0

220KV-<3D—®

-(5)—O-

S

S

5

-GD—(2)

-<3>-0

-GD-O£

0

-<ID—@=

(

-<S>—©：

-CD—@

远动系统图

主控身

工.以尢石交gi正反电场眄氏用园

火灾消防设备拓扑图

Acrcl4>000电气火灾监控装置

TCPIP

通讯管坪机

JJI-[1

信息系统网络拓扑图

发电田1-机蛆

6技术防护措施

6.1由I、II区构成附系统包括计算机、通信、白动控制和显示等技术，是一般概念卜上勺机组级DCS/PLC

系统。其内部通信/控制协议是原则协议（如TCP/IP,DECnet,Telnet等）,也可以是专用协议。规定该

系统为全封闭的闭环系统，绝对严禁任何外部访问。系统内部使用者必须有清晰的操作权限级别。此系

统提供数据接II能积极对外传送数据，应通过数据采集（前端）机从计算机接II单元（模件）采集数据,

必须是单向数据传播，将数据单向提交给管理信息系统（ERP）。

7安全管理

7.1安全管理组织机构

电力监控系统安全防护组织机构

7.1.1安全分级负责制

7.1.1.1本着“谁主管谁负责，谁运行谁负责”的原则，贯彻电力监控系统H勺各专业的安全责任。

7.1.1.2安全防护组组长负责我厂H勺电力监控系统网络H勺安全管理，是安全管理第一负责人。

7.1.1.3热工、电气及信息专业负责人所属范围内计算机及数据网络的安全管理。

7.1.1.4各专业对所属范围内计算机及数据网络络设置安全防护小组或专职人员，负责设备的平常维

尹及管理，是设备的直接负责人。

7.2安全评估的管理

7.2.1我企业关键系统应配置必要H勺安全扫描及检测工具，自己进行常规安全检查。

7.2.2安全评估日勺内容包括；风险评估、袭击演习、漏洞扫描、安全体系的评估、安全设备的布署及

性能评估、安全管理措施H勺评估等。

7.2.3安全评估过程的任何记录、数据、成果等均不容许以任何形式携带出我企业。

7.3安全方略的管理

7.3.1对新建日勺电力监控系统必须在建设过程中进行安全风险评估，并根据评估成果制定安全方略。

7.3.2对已投运且已建立安全体系的系统定期进行漏洞扫描，以便及时发现系统的安全漏洞。

7.3.3对安全体系的多种日志（如：入侵检测日志等）审计成果进行认真的研究，及时发现系统口勺安

全漏洞；

7.3.4定期分析本系统的安全风险及漏洞、分析目前黑客非法入侵的特点，及时调整安全方略。

7.4设备、应用及服务的接入管理

7.4.1在已经建立安全防护体系口勺电力监控系统中，接入任何新的设备和应用及服务，均必须立案申

请立案，通过我企业电力监控系统防护安全组长"勺审查同意后，方可在专人的监管下实行接入。

7.4.2电力监控系统H勺安全区I及安全区II中的工作站、服务器原则上不得开通拨号功能；若确需开

通拨号服务，必须配置强认证机制，否则该应用必须与安全区【及安全区【【彻底隔离。

7.4.3在所有电力监控系统的安全区I及安全区II中的I任何工作站、服务器均严格严禁以多种方式开

通与互联网、其他安全区及任何外部网络R勺连接。各专业负责人负责监督检查。

7.4.4电力监控系统的安全区I及安全区II中日勺PC机及其他微机原则上应当将软盘驱动、光盘驱动、

USB接口拆除，或通过安全管理平台实行严格管理，以防止病毒等恶意代码的I传播。各专业负责人负责

监督检查。若个别PC机确有必要插接USB-key,应当严格管理。

7.4.5接入电力监控系统的安全区I及安全区II中的通用安全产品，必须使用通过国家有关安所有门

认证H勺国产产品；接入电力监控系统的专用安全产品必须使用国产产品并通过有关的电力主管部门的认

证；优先选用国家电力主管部门推荐的优秀安全产品。

7.5安全管理制度

7.5.1严格管理各终端设备H勺接口使用。把有关电力监控系统终端设备口勺USB接口和光驱接口采用拆

除、贴封条等方式严禁无关人员使用；必须要进行接口连接作业H勺，要进行登记记录，并对外连设备进

行杀毒确认后才可进行。对终端设备的顾客登录口令加强管理，严禁有弱口令和空口令的现象：对重要

内机组控制DCS终端设备加装硬件狗；严禁电力监控系统设备终端之间有物理上日勺连接。

7.5.2在纵向加密装置没有安装之前，必须要从电力市场下载的数据或资料，每次下载只能使用专用移

动硬盘，通过格式化杀毒后才能从机房的