发电厂电力监控系统安全防护运行存在的安全风险及措施分析

admin管理员组

文章数量:1568357

2024年7月25日发(作者：)

发电厂电力监控系统安全防护运行存在的安全风险及措施分析

电力监控系统相当于整个电力系统的神经网络和控制中枢，对于保障电力系

统的安全稳定运行和电力可靠供应具有重要意义。本文主要分析了发电厂电力监

控系统存在的安全风险，介绍了电力监控系统安全防护的总体原则及策略，并提

出了为了提高发电厂电力监控系统安全运行而采取的措施。

标签：电力系统；电力监控系统；安全防护

一、电力监控系统安全防护的总体原则及策略

（一）电力监控系统安全防护的总体原则

电力监控系统安全防护的总体原则为“安全分区、网络专用、横向隔离、纵

向认证”。

华润南京电厂将电力监控系统分置于生产控制大区和管理信息大区。两个大

区之间通过部署正反向隔离装置进行物理隔离。生产控制大区又划分为生产控制

区与生产非控制区。生产控制区和非控制区之间通过部署防火墙进行逻辑隔离。

管理信息大区与外网相连时部署防火墙进行访问控制。在生产控制大区专用的调

度数据专用网络边界部署纵向加密认证装置，形成栅格状安全防护体系架构；在

电力调度数据网路由器上部署MPLS-VPN技术实现控制区与电力调度数据网的

实时子网，非控制区与电力调度数据网的非实时子网进行数据通讯。

（二）电力监控系统安全防护策略

1.生产控制大区安全防护策略

根据《电力监控系统安全防护规定》的指导精神，针对发电厂采取的防护措

施主要包括防火墙、入侵检测、入侵防护、病毒防护、漏洞扫描、日志审计系统、

正（反）向专用安全隔离装置、纵向认证加密装置、SSL VPN、终端安全管理、

内网监控平台、电力调度数字证书系统、拨号认证加密装置等系统，实现全面的

防护。

2. 管理信息大区安全防护策略

统一部署防火墙、恶意代码防护系统、IDS 等通用安全防护措施。

二、电力监控系统网络结构描述

华润南京电厂电力监控系统主要包括 NCS 计算机监控系统、火电机组监控

系统 DCS。本电厂电力监控系统整体划分为生产控制大区和管理信息大区，其

中生产控制大区又分为实时控制区（安全区Ⅰ）和非实时控制区（安全区Ⅱ）。

电厂严格按照电力监控系统安全防护方案（国能安全[2015]36 号）要求，将各

电力监控系统进行分区域部署，其中 NCS 计算机监控系统、火电机组监控系统

DCS 等部署于实时控制区（安全区Ⅰ）；电能量采集装置、保护信息处理装置、

故障录波装置部署于非实时控制区（安全区Ⅱ）；调度数据网分别实现实时控制

区（安全区Ⅰ）和非实时控制区（安全区Ⅱ）与调度端的数据通讯；NCS 计算

机监控系统、火电机组监控系统 DCS 均独立组网，相互之间通过硬接线的方式

进行通信；五防系统成为 NCS 计算机监控系统子模块，部署于 NCS 计算机监

控系统网络中；電能量采集装置、保信子站系统、故障录波装置通过调度数据网

与调度端通讯，独立挂载于调度数据网非实时交换机上。横向连接处：管理信息

大区尚未建设；纵向连接处：生产控制大区通过调度数据网与调度端进行数据通

讯，部署南瑞 Netkeeper-2000 纵向加密认证装置，实现纵向通讯的加密、认证

以及访问控制。

三、存在的安全风险及应对措施

（一）主要安全风险

电源线和通信线缆未分开铺设，无法避免对通信线缆的电磁干扰；未对网络

设备配置进行备份；系统内存在 FTP、HTTP等通用网络服务；本系统未部署具

有内网安全监视功能软件，无法实现实时监测电力监控系统的计算机、网络及安

全设备运行状态，及时发现非法外联、外部入侵等安全事 件并告警等功能；对

登录 NCS 计算机监控系统网络设备的用户启用了用户名 + 口令的身份鉴别机

制，口令长度 10 位，字母、数字、特殊字符组成。

调度数据网网络设备未设置 console 登陆密码；主机操作系统及应用系统帐

户口令，设置口令长度 8 位，由字母组成；操作系统不存在无用账号、过期的

帐户，但存在多人共用一个账户现象；windows 操作系统开启了默认共享；操

作系统、数据库、应用系统开启了审核策略，但未部署第三方审计设备，无法对

审计记录进行集中采集和统计分析；生产控制大区未部署入侵检测 / 防御系统；

生产控制大区未部署防恶意代码管理系统；数据库未设置合理的口令策略，采用

系统默认的策略。

（二）应对措施

在继电器室安装电子门禁系统，加强管理制度，定期巡检设备状况；重要设

备和主要部件设置明显的不宜去除的标签；部署温湿度计量装置，并部署精密空

调调节温湿度：动力电缆和信号电缆隔离铺设；定期备份网络设备配置的备份文

件；在生产控制大区内禁止通用网络服务，如 E-Mail、Web、 FTP 等服务；部

署内网安全监视应用，实现对网络、安全设备的监视和统一管理；设置口令长度

不低于 8 位，数字、字母组合，且定期更换；口令长度不低于 8 位，由字母、

数字或特殊字符组成，且定期更换；避免存在多人共享帐户的情况；关闭默认共

享；部署第三方审计系统，对操作系统、应用系统、数据库等日志进行集中采集

和统计分析；通过技术手段实现操作系统的剩余信息保护功能，如更换为国产加

固的操作系统麒麟和凝思等操作系统； 针对操作系统部署主机型入侵检测设备，

并采用离线方式及时升级系统特征库；生产控制大区和信息管理大区部署防恶意

代码产品，并采用离线方式及时升级系统特征库；设置合理的口令策略；实现操

作系统和数据库系统特权用户的权限分离； 数据库系统开启登录超时锁定功能；

启用登录失败处理功能；通过技术手段实现应用系统的剩余信息保护功能；设立

电力二次安全防护专责，配备有专职的安全管理员，负责具体的安全工作。

四、结束语

电力监控系统安全防护的目的是提高电力系统运行的安全稳定性，所以其可

靠性对电力系统的意义重大，这也给电力监控系统安全防护提出了相应的可靠性

任务和要求，为了达到这些要求，需加强其检修维护工作。

参考文献：

[1]张成强.浅谈发电厂电气设备安全运行管理创新[J].中小企业管理与科技

旬刊，2014（36）：43-44.

[2]王靖欧，吴凡.隔河岩水力发电厂电力监控系统安全防护建设[J].水电与新

能源，2015（10）：15-18.

本文标签： 系统监控电力防护部署