《渑池电厂电力二次系统安全防护方案资料》由会员分享，可在线阅读，更多相关《渑池电厂电力二次系统安全防护方案资料（25页珍藏版）》请在金锄头文库上搜索。
1、华能渑池热电有限责任公司电力二次系统安全防护方案报告人：杨新旭 张 雷企业简介：华能渑池电厂装机容量700MW，装机容量为2350MW超临界机组，1号机于2016年12月02日投产发电，2号机于2016年12月25日投产发电；渑池电厂以2回220kv线路砥柱变I线和砥柱变II线接入电网。二次系统安全分区及防护目标1.1 二次系统安全分区华能渑池热电有限责任公司安全二次系统分为两个大区：生产控制大区和管理信息大区。生产控制大区（1）安全区I：实时控制区安全区I的典型系统包括机组DCS、烟气脱硫DCS、电气网络控制系统ECMS、PMU、NCS、实时平衡调度系统。控制区内的1、2机组控制系统DCS、
2、辅网DCS、网络监控系统NCS以及非控制区电能量采集装置通过防火墙和接口机与厂级监控信息系统SIS相连，以向SIS中传送数据。相量测量装置PMU、远动装置RTU，无功调压装置AVC通过五类双绞线与调度数据网相连，接入实时子网VPN1；继电保护及故障信息管理子站、电能量采集装置、实时调度系统通过五类双绞线与调度数据网相连，接入非实时子网VPN2。渑池电厂1、2机励磁系统、继电保护装置是不存在外部网络联系的孤立的业务系统，不存在安全防护的问题。安全区I是电力二次系统中最重要的系统，安全等级最高，是安全防护的重点与核心。（2）安全区II：非实时控制生产区安全区II的系统包括厂级监控系统SIS（含核心
3、交换机以及各应用服务器）、保护及故障录波信息子站系统、电能量计量系统、烟气脱硫系统等。安全区II的SIS系统需采集安全区I的DCS、TDM、ECMS等系统的信息。管理信息大区安全区III业务系统或功能模式的典型特征为：实现电力生产的管理功能，但不具备控制功能，不在线运行，该区包括管理信息系统（MIS）、办公自动化系统（OA）客户服务、辅助报价决策系统等。该区的外部通信边界为发电企业的广域网络及因特网。1.2 二次系统安全防护部署方案遵照国家经贸委第30号令 电网和电厂计算机监控系统及调度数据网络安全防护的规定以及国家电力监管委员会200634号文件印发的电力二次系统安全防护总体方案等安全防护方
4、案及招标文件的要求。二次系统安全防护可分为电厂内安全区域间的横向防护以及广域网边界纵向防护两部分。1.3 .横向安全防护二次系统安全防护项目横向安全防护整体部署拓扑图如图1-1所示。图1-1 渑池电厂二次系统横向安全防护部署拓扑图1.4 硬件设备部署：1) 安全I区与安全II区在厂站端、区之间部署1台防火墙用于安全区和安全区之间的逻辑隔离（如图1-2所示）。图1-2 渑池电厂安全区I和II之间的安全防护部署图通过以下方式保护网络：1) 为防火墙配置适当的网络访问规则，可以防止不同安全区之间的未经授权访问；2) 通过对网络流量的流量模式进行整型和服务质量保证措施，保证网络应用的可用性和可靠性；3
5、) 可以根据时间定义防火墙的安全规则，满足网络在不同时间有不同安全需求的现实需要；4) 可以提供用户认证机制，使网络访问规则和用户直接联系起来，安全更为有效和针对性；5) 对网络攻击进行检测，可与专业IDS系统共同组建一个多级网络检测体系。目前新型状态检测的防火墙有效的解决并改善了传统防火墙产品在性能及功能上存在的缺陷，状态检测防火墙具有更高的安全性、系统稳定性、更加显著的功能特性和优异的网络性能，同时具有广泛的适应能力。在不损失网络性能的同时，能够实现网络安全策略的准确制定与执行，同时有效地抵御来自非可信任网络的攻击，并具有对防火墙系统安全性能的诊断功能。其内置的入侵检测系统，可以自动识别黑
6、客的入侵，并对其采取确切的响应措施，有效保护网络的安全，同时使防火墙系统具备无可匹敌的安全稳定性。2) 安全I区/II区与安全III区控制区、非控制区和管理信息大区之间采用电力系统专用安全隔离装置隔离，每个区内使用各自区内的横向互联交换机连接各应用系统网段，同一区内不同业务用不同的虚拟局域网分割，如图3-3所示。图3-3 安全区I/II与III区之间的安全防护部署图正向隔离装置应用专用安全隔离装置（正向单bit）用于从安全区I/II到安全区III传递数据，是安全区I/II到安全区III的唯一一个数据传递途径。3）网络三层交换机的部署在安全I、II、区需布署一台交换机用于各区内设备的组网，统一I
7、、II、III区业务的对外联系和接口。4）纵向认证加密装置的部署纵向认证加密装置用于实时控制区的广域网边界防护，实现本地包过滤功能以及广域网通信提供认证与加密功能，保证数据传输的机密性、完整性。）工控机的部署在安全区内布署一台工控机，并将其通过区的非实时网段交换机接入到电力专用横向正向隔离装置的内网口，用于读取和上传电力专用横向正向隔离装置的日志信息。6）通信网关机的部署在安全I区、安全II区、安全III区内各部署一台通信网关机，做为实现安全I区、安全II区与安全III区之间通过物理隔离装置的文件传输的平台7）入侵防御装置的部署在安全I区部署一套IPS入侵防御系统。IPS探头主要部署在安全I区
8、的边界点。1.5 软件部署：1）、跨正向物理隔离装置安全传输软件的部署原站长管理工作站由于经过防火墙、电力专用横向正向隔离装置后，无法接收来自安全I区的监控系统数据，因此要在工控机上安装跨物理隔离装置安全文件传输软件（IT-SFTP）的发送端和接收端，用于现有系统数据交换的应用改造，以适应加装电力专用横向正向隔离装置后的文件传输。2)电力专用横向正向隔离装置日志收集及上传软件为了解设备本身运行工作状态是否正常等信息，一旦发现问题，应该对问题的内容及处理结果有所记录，因此需在工控机上配置电力专用横向正向隔离装置日志收集及上传软件，以便于实施监控正向隔离设备的运行情况。3）电力专用横向正向隔离装置
9、日志信息接入主站监视系统目前调度主站端已经建设了一套网络安全产品集中监视管理系统，用于集中展现电力专用横向正向隔离装置的运行工况、配置信息、日志信息、报警信息等并加以综合利用，以便于系统维护，保证系统安全稳定运行。 4）杀毒软件部署在安全III区的工作站上安全瑞星杀毒软件，针对网络中所有可能的病毒攻击点设置全方位、多层次的防毒系统配置，使企业网络免受病毒的入侵和危害。设备屏柜的部署：本期电厂配备1面二次系统安全防护屏，保护故障信息子站屏内安装1台防火墙，调度数据专网的2面屏内安装4台电力专用纵向加密认证装置等其他附件。1.6 纵向安全防护1）调度数据网安全防护的部署如图3-4 所示： 图3-1
10、 电厂二次系统纵向安全防护部署拓扑图在厂站端安全I区、II区调度数据网交换机和路由器之间分别部署2台纵向加密装置用于安全I区、II区与上级调度系统纵向边界上安全防护。采用东方京海公司的DF-FW 100系列防火墙。将防火墙放置在非实时区纵向边界处，这样可以通过以下方式保护网络：1.为防火墙配置适当的网络访问规则，可以防止不同安全区之间的未经授权访问；2.通过对网络流量的流量模式进行整型和服务质量保证措施，保证网络应用的可用性和可靠性；3.可以根据时间定义防火墙的安全规则，满足网络在不同时间有不同安全需求的现实需要；4.可以提供用户认证机制，使网络访问规则和用户直接联系起来，安全更为有效和针对性
11、；1.7主要电力监控设备及安全分析1.机组控制系统DCS渑池电厂分散控制系统采用ABB公司基于现场总线技术的Symphony Plus系统，单元机组及辅网各配置一套DCS系统，每套DCS系统控制网络均为平行网络结构。两台机组公用系统设置DCS公用控制网络，通过通讯接口与每台单元机组的通讯总线相连。DCS功能包括数据采集系统(DAS)、模拟量控制系统(MCS)、顺序控制系统(SCS)、锅炉炉膛安全监控系统(FSSS)、电气发变组厂用电控制系统(ECS)。Symphony Plus系统通信网络最上层的通信结构为总线网络。它是符合以太网标准，主要用来构成管理层数据交换的结构，通过通信介质与计算机连接
12、。另一网络层是继续保持INFI-net相关技术的组合平行网络结构。它主要用来进行现场I/O状态采集、过程控制操作、过程及系统报警等管理数据交换的工作。DCS所提供的数据通讯总线是冗余的(包括冗余的总线接口模件)。冗余的数据通讯总线在任何时候都同时工作，通讯总线采用光缆及双绞线。主厂房与远程I/O之间、不同地点交换机间的连接采用冗余铠装光纤。DCS系统与其它控制系统的通讯接口支持RS232C，RS485/422和以太网方式连接，支持TCP/IP、MODBUS、MODBUSPLUS通讯协议。DCS系统所有USB接口实现禁用管理。每套DCS向SIS系统传输实时数据。2.励磁系统渑池电厂励磁系统包含电
13、力系统稳定器PSS、自动电压调节器AVR功能。励磁装置通过屏蔽硬接线与其它设备相连接。励磁系统是不存在外部网络联系的孤立的业务系统。参与无功调节部分与AVC相连，连接方式为硬接线，无网络通信部分。3.远动装置RTU（包含AGC、AVC功能）渑池电厂远动装置采用上海惠安GR90 RTU。远动装置除通过屏蔽硬接线与其它设备相连接外，当地功能设备以太网接口与GR90相连，RTU满足与河南省调和三门峡地调自动化主站系统进行通信的要求。RTU双主机配置，具有交流采集功能，能采集、转换和处理模拟量、脉冲量、数字量、状态量等信息并向主站传送的功能，还有接收、处理和执行遥控、遥调命令的能力。数据采集、处理及远
14、传功能，满足河南省调调度自动化总体功能的要求，数据包括开关量、模拟量，对厂内220kV线路、主变高压侧、起备变的断路器、反映系统运行状态的隔离开关和接地刀闸等主要设备的运行状况和参数进行远方监视；远动系统通过DCS系统下发省调有关发电机功率的命令，其与单元控制DCS系统采用信息交换硬接线方式。该装置与调度中心通信，除采用传统的基于专用通道的数据通信外，GR90主模块还接入同属于控制区的调度数据网的实时子网VPN1，进行信息的传送和接受。远动装置上海惠安GR90 RTU装置上进行扩展AVC及AGC功能。4.相量测量装置PMU渑池电厂相量测量装置PMU按照河南电网的统一设计、实施，采用的是上海铱控
15、公司VP-EC203同步相量测量装置。其中两个独立的网络接口分别接至两台调度数据网接入设备。本厂功角测量装置接入到河南省调主站系统，按主站的功能要求提供相关的实时数据、录波数据等。5.继电保护系统220kV线路保护装置分别采用南瑞、四方等公司的保护产品。线路保护装置与保护对象的对端进行保护信息传输采用的通信方式是传统的基于专用通道的数据通信，线路保护装置通过屏蔽硬接线与机组控制系统DCS、远动设备RTU及相应的CT和PT、相关断路器操作回路相连，通过网口与继电保护及故障信息管理子站相连。发变组保护及高备变装置采用的是南瑞继保电气有限公司保护设备，通过屏蔽硬接线与机组控制系统DCS、励磁调节系统AVR、远动设备RTU及相应的CT和PT、相关断路器操作回路相连，通过网口与继电保护及故障信息管理子站相连。厂用电保护装置通过硬接线和屏蔽双绞线串口两种方式与DCS连接，其中硬接线完成遥合遥跳功能，重要保护信号以及电流信号也采用硬接线方式完成，通信串口完成所有信号的上传工作，但通信上传信号不参与各种逻辑判断，仅做为显示使用。保护装置是不存在外部网络联系的孤立的业务系统。6.故障录波装置我厂发变组、高备变故障录波均采用的是浪拜迪故障录波装置。线路故障录波采用南京银
