《电力系统二次安防系统实施方案范本（三篇）》由会员分享，可在线阅读，更多相关《电力系统二次安防系统实施方案范本（三篇）（10页珍藏版）》请在金锄头文库上搜索。
1、电力系统二次安防系统实施方案范本发电厂和变电所的电气设备分为一次设备和二次设备。一次设备(也称主设备)是构成电力系统的主体，它是直接生产、输送和分配电能的设备，包括发电机、电力变压器、断路器、隔离开关、电力母线、电力电缆和输电线路等。二次设备是对一次设备进行控制、调节、保护和监测的设备，它包括控制器具、继电保护和自动装置、测量仪表、信号器具等。二次设备通过电压互感器和电流互感器与一次设备取得电的联系。一次设备及其连接的回路称为一次回路。二次设备按照一定的规则连接起来以实现某种技术要求的电气回路称为二次回路。二次回路的内容包括发电厂和变电所一次设备的控制、调节、继电保护和自动装置、测量和信号回路
2、以及操作电源系统。电力系统还包括为保证其安全可靠运行的继电保护和安全自动装置，调度自动化和通信等辅助系统(又称二次次系统)。一次设备是指发、输、配电的主系统上所使用的设备备。如发电机、变压器、断路器、隔离开关、母线、电力电缆和输电线路等。二次设备是指对一次设备的工作进行控制、保护、监察和测量的设备。如测量仪表、继电器、操作开关、按钮、自动控制设备、计算机、信号设备、控制电缆以及提供这些设备能源的一些供电装置(如蓄电池、硅整流器等)。一次系统。由发电机、送电线路、变压器、断路器等，发电、输电、变电、配电等设备组成的系统。它们是电力系统的主体，其功能是将发电机所发出的电能，经过输变电设备，逐级降压
3、送到配电系统，而后再由配电线路把电能分配到用户。二次系统。电力系统二次安防系统实施方案范本（二）本预案自发布起开始实施。电力系统二次安防系统实施方案范本（三）本方案依据国家电力监管委员会第5_电力二次系统安全防护规定和原国家经贸委第3_电网和电厂计算机监控系统及调度数据网络安全防护的规定。电力二次系统安全防护的总体原则为“安全分区、网络专用、横向隔离、纵向认证”。安全防护主要针对网络系统和基于网络的电力生产控制系统，重点强化边界防护，提高内部安全防护能力，保证电力生产控制系统及重要数据的安全。安全防护方案概述根据电力二次系统安全防护规定的要求，电力二次系统安全防护总体方案的框架结构如图所示。电
4、力二次系统安全防护总体框架结构示意图安全分区安全分区是电力二次系统安全防护体系的结构基础。发电企业、电网企业和供电企业内部基于计算机和网络技术的应用系统，原则上划分为生产控制大区和管理信息大区。生产控制大区可以分为控制区(又称安全区i)和非控制区(又称安全区)。生产控制大区的安全区划分：(1)控制区(安全区)：控制区中的业务系统或其功能模块(或子系统)的典型特征为：是电力生产的重要环节，直接实现对电力一次系统的实时监控，纵向使用电力调度数据网络或专用通道，是安全防护的重点与核心。控制区的典型业务系统包括电力数据采集和监控系统、能量管理系统、广域相量测量系统、配电网自动化系统、变电站自动化系统、
5、发电厂自动监控系统等，其主要使用者为调度员和运行操作人员，数据传输实时性为毫秒级或秒级，其数据通信使用电力调度数据网的实时子网或专用通道进行传输。该区内还包括采用专用通道的控制系统，如：继电保护、安全自动控制系统、低频(或低压)自动减负荷系统、负荷管理系统等，这类系统对数据传输的实时性要求为毫秒级或秒级，其中负荷管理系统为分钟级。(2)非控制区(安全区)：非控制区中的业务系统或其功能模块的典型特征为。是电力生产的必要环节，在线运行但不具备控制功能，使用电力调度数据网络，与控制区中的业务系统或其功能模块联系紧密。非控制区的典型业务系统包括调度员培训模拟系统、水库调度自动化系统、继电保护及故障录波
6、信息管理系统、电能量计量系统、电力市场运营系统等，其主要使用者分别为电力调度员、水电调度员、继电保护人员及电力市场交易员等。在厂站端还包括电能量远方终端、故障录波装置及发电厂的报价系统等。非控制区的数据采集频度是分钟级或小时级，其数据通信使用电力调度数据网的非实时子网。管理信息大区的安全区划分：管理信息大区是指生产控制大区以外的电力企业管理业务系统的集合。电力企业可根据具体情况划分安全区，但不应影响生产控制大区的安全。业务系统分置于安全区的原则：根据业务系统或其功能模块的实时性、使用者、主要功能、设备使用场所、各业务系统间的相互关系、广域网通信方式以及对电力系统的影响程度等，通常是按以下规则将
7、业务系统或其功能模块置于相应的安全区：(1)实时控制系统、有实时控制功能的业务模块以及未来有实时控制功能的业务系统应置于控制区。(2)应当尽可能将业务系统完整置于一个安全区内。当业务系统的某些功能模块与此业务系统不属于同一个安全分区内时，可将其功能模块分置于相应的安全区中，经过安全区之间的安全隔离设施进行通信。(3)不允许把应当属于高安全等级区域的业务系统或其功能模块迁移到低安全等级区域；但允许把属于低安全等级区域的业务系统或其功能模块放置于高安全等级区域。(4)对不存在外部网络联系的孤立业务系统，其安全分区无特殊要求，但需遵守所在安全区的防护要求。(5)对小型县调、配调、小型电厂和变电站的二
8、次系统可以根据具体情况不设非控制区，重点防护控制区。生产控制大区内部安全防护要求：(1)禁止生产控制大区内部的e-mail服务，禁止控制区内通用的web服务。(2)允许非控制区内部业务系统采用b/s结构，但仅限于业务系统内部使用。允许提供纵向安全web服务，可以采用经过安全加固且支持s的安全web服务器和web浏览工作站。(3)生产控制大区重要业务(如scada/agc、电力市场交易等)的远程通信必须采用加密认证机制，对已有系统应逐步改造。(4)生产控制大区内的业务系统间应该采取vlan和访问控制等安全措施，限制系统间的直接互通。(5)生产控制大区的拨号访问服务，服务器和用户端均应使用经国家指
9、定部门认证的安全加固的操作系统，并采取加密、认证和访问控制等安全防护措施。(6)生产控制大区边界上可以部署入侵检测系统ids。(7)生产控制大区应部署安全审计措施，把安全审计与安全区网络管理系统、综合告警系统、ids管理系统、敏感业务服务器登录认证和授权、应用访问权限相结合。(8)生产控制大区应该统一部署恶意代码防护系统，采取防范恶意代码措施。病毒库、木马库以及ids规则库的更新应该离线进行。管理信息大区安全要求：应当统一部署防火墙、ids、恶意代码防护系统等通用安全防护设施。安全区拓扑结构电力二次系统安全区连接的拓扑结构有链式、三角和星形结构三种。链式结构中的控制区具有较高的累积安全强度，但
10、总体层次较多；三角结构各区可直接相连，效率较高，但所用隔离设备较多；星形结构所用设备较少、易于实施，但中心点故障影响范围大。三种模式均能满足电力二次系统安全防护体系的要求，可根据具体情况选用，见图电力二次系统安全区连接拓扑结构网络专用电力调度数据网是为生产控制大区服务的专用数据网络，承载电力实时控制、在线生产交易等业务。安全区的外部边界网络之间的安全防护隔离强度应该和所连接的安全区之间的安全防护隔离强度相匹配。电力调度数据网应当在专用通道上使用独立的网络设备组网，采用基于sdh/pdh不同通道、不同光波长、不同纤芯等方式，在物理层面上实现与电力企业其它数据网及外部公共信息网的安全隔离。电力调度
11、数据网划分为逻辑隔离的实时子网和非实时子网，分别连接控制区和非控制区。可采用mpls-_技术、安全隧道技术、pvc技术、静态路由等构造子网。电力调度数据网应当采用以下安全防护措施：(1)网络路由防护按照电力调度管理体系及数据网络技术规范，采用虚拟专网技术，将电力调度数据网分割为逻辑上相对独立的实时子网和非实时子网，分别对应控制业务和非控制生产业务，保证实时业务的封闭性和高等级的网络服务质量。(2)网络边界防护应当采用严格的接入控制措施，保证业务系统接入的可信性。经过授权的节点允许接入电力调度数据网，进行广域网通信。数据网络与业务系统边界采用必要的访问控制措施，对通信方式与通信业务类型进行控制；
12、在生产控制大区与电力调度数据网的纵向交接处应当采取相应的安全隔离、加密、认证等防护措施。对于实时控制等重要业务，应该通过纵向加密认证装置或加密认证网关接入调度数据网。(3)网络设备的安全配置网络设备的安全配置包括关闭或限定网络服务、避免使用默认路由、关闭网络边界ospf路由功能、采用安全增强的snmpv2及以上版本的网管协议、设置受信任的网络地址范围、记录设备日志、设置高强度的_、开启访问控制列表、封闭空闲的网络端口等。(4)数据网络安全的分层分区设置电力调度数据网采用安全分层分区设置的原则。省级以上调度中心和网调以上直调厂站节点构成调度数据网骨干网(简称骨干网)。省调、地调和县调及省、地直调
13、厂站节点构成省级调度数据网(简称省网)。县调和配网内部生产控制大区专用节点构成县级专用数据网。县调自动化、配网自动化、负荷管理系统与被控对象之间的数据通信可采用专用数据网络，不具备专网条件的也可采用公用通信网络(不包括因特网)，且必须采取安全防护措施。各层面的数据网络之间应该通过路由限制措施进行安全隔离。当县调或配调内部采用公用通信网时，禁止与调度数据网互联。保证网络故障和安全事件限制在局部区域之内。企业内部管理信息大区纵向互联采用电力企业数据网或互联网，电力企业数据网为电力企业内联网。横向隔离横向隔离是电力二次安全防护体系的横向防线。采用不同强度的安全设备隔离各安全区，在生产控制大区与管理信
14、息大区之间必须设置经国家指定部门检测认证的电力专用横向单向安全隔离装置，隔离强度应接近或达到物理隔离。电力专用横向单向安全隔离装置作为生产控制大区与管理信息大区之间的必备边界防护措施，是横向防护的关键设备。生产控制大区内部的安全区之间应当采用具有访问控制功能的网络设备、防火墙或者相当功能的设施，实现逻辑隔离。按照数据通信方向电力专用横向单向安全隔离装置分为正向型和反向型。正向安全隔离装置用于生产控制大区到管理信息大区的非网络方式的单向数据传输。反向安全隔离装置用于从管理信息大区到生产控制大区单向数据传输，是管理信息大区到生产控制大区的唯一数据传输途径。反向安全隔离装置集中接收管理信息大区发向生
15、产控制大区的数据，进行签名验证、内容过滤、有效性检查等处理后，转发给生产控制大区内部的接收程序。专用横向单向隔离装置应该满足实时性、可靠性和传输流量等方面的要求。通常严格禁止e-mail、web、tel_、rlogin、ftp等安全风险高的通用网络服务和以b/s或c/s方式的数据库访问穿越专用横向单向安全隔离装置，仅允许纯数据的单向安全传输。控制区与非控制区之间应采用国产硬件防火墙、具有访问控制功能的设备或相当功能的设施进行逻辑隔离。纵向认证纵向加密认证是电力二次系统安全防护体系的纵向防线。采用认证、加密、访问控制等技术措施实现数据的远方安全传输以及纵向边界的安全防护。对于重点防护的调度中心、
16、发电厂、变电站在生产控制大区与广域网的纵向连接处应当设置经过国家指定部门检测认证的电力专用纵向加密认证装置或者加密认证网关及相应设施，实现双向身份认证、数据加密和访问控制。纵向加密认证装置及加密认证网关用于生产控制大区的广域网边界防护。纵向加密认证装置为广域网通信提供认证与加密功能，实现数据传输的_性、完整性保护，同时具有类似防火墙的安全过滤功能。加密认证网关除具有加密认证装置的全部功能外，还应实现对电力系统数据通信应用层协议及报文的处理功能。原则上，对于重点防护的调度中心和重要厂站两侧均应配置纵向加密认证装置。电力调度数字证书系统电力调度数字证书系统是基于公钥技术的分布式的数字证书系统，主要用于生产控制大区，为电力监控系统及电力调度数据网上的关键应用、关键
