新能源公司陶日木風場公司原則

電力監控系統安全防護

總體方案（試行）

-01-01發布-02-01實行

親斤育已源有限公旬隨日木鳳場發布

目次

1范疇......................................................................錯誤!未定義書簽。

2規范性引用文獻...........................................................錯誤!未定義書簽。

3定義與術語...............................................................錯誤!未定義書簽。

4職責......................................................................錯誤!未定義書簽。

5系統設備定級及安全區劃分................................................錯誤!未定義書簽。

6技術防護措施.............................................................錯誤!未定義書簽。

7安全管理.................................................................錯誤!未定義書簽。

,11-A—

刖百

本原則是根據內蒙古能源發電投資集團新能源公司（如下簡稱‘'公司"）原則體系工作的需要編制，是

公司原則體系建立和實行的個性原則。目的是規范公司生產管理工作，從而規范并加快公司原則體系的

完善，適應集團原則和國標的需要。

本原則由公司設備管理部提出并歸口管理

本原則起草部門：生產部

本原則起草人：楊曉春

本原則重要修改人：喬俊芳

本原則審核人：劉宇

本原則復核人：王寶清

本原則批準人：周躍宇

本原則于年01月初次發布。

電力監控系統安全防護總體方案

1范疇

1.1為了加強我公司電力監控系統安全防護，抵御黑客及歹意代碼等對我公司電力監控系統發起的歹

意破壞和襲擊，以及其她非法操作，避免我公司電力監控系統癱瘓和失控，和由此導致的一次系統事故

和其她事故，特制定本方案。

1.2本方案擬定了我公司電力監控系統安全防護體系的總體柢架，細化了電力監控系統安全防護總體

原則，定義了通用和專用的安全防護技術與設備，提出了我公司電力監控系統安全防護方案及實行措

施。

1.3我公司電力監控系統安全防護的總體原則為“安全分區、網絡專用、橫向隔離、縱向認證、綜合防

護”。安全防護重要針對電力監控系統，即用于監視和控制電力生產及供應過程的、基于計算機及網絡

技術的業務系統及智能設備，以及作為基本支撐的通信及數據網絡等。重點強化邊界防護，同步加強內

部的物理、網絡、主機、應用和數據安全，加強安全管理制度、機構、人員、系統建設、系統維護的管

理、提高系統整體安全防護能刀，保證電力監控系統及重要數據的安全。

1.4本方案合用于我公司電力監控系統的規劃設計、項目審查、工程實行、系統改造、運營管理等。

2規范性引用文獻

下列文獻對于本文獻的應月是必不可少的。但凡注日期的引用文獻，僅注日期的版本合用于本文獻。

但凡不注日期的引用文獻，其最新版本（涉及所有的修改單）合用于本文獻。

國家發改委第14號令《電力監控系統安全防護規定》

國家發改委第14號令《電力監控系統安全防護總體方案》

國家發改委第14號令《發電廠監控系統安全防護方案》

GB/T22239-《信息安全技術信息系統安全級別保護基本規定》

公通字口43號《信息系統安全級別保護管理措施》

GB/T22240-《信息安全技術信息系統安全級別保護定級指南》

GB/T25058-《信息安全技術信息系統安全級別保護實行指南》

GB/T20984-《信息安全技術信息安全風險評估規范》

GB/T28448-《信息系統安全級別保護測評規定》

GB/T28449-《信息系統安全級別保護測評過程指南》

電監信息口34號《有關開展電力行業信息系統安全級別保護定級工作的告知》

電監信息口44號《電力行業信息系統級別保護定級工作指引意見》

電監信息口62號《電力行業信息系統安全級別保護基本規定》

3定義與術語

下列定義和術語合用于本原則：

3.1電力監控系統

電力監控系統，是指用于監視和控制電力生產及供應過程的、基于計算機及網絡技術的業務系統及

智能設備，以及做為基本支撐的通信及數據網絡等。

3.2安全分區

按照《電力監控系統安全防護規定》，原則上將發電廠基于計算機及網絡技術的業務系統劃分為生

產控制大區和管理信息大區，并根據業務系統的重要性和對一次系統的影響限度將生產控制大區劃分為

控制區（安全區I）及非控制區（安全區II）,重點保護生產控制及直接影響機組運營的系統。

3.3網絡專用

電力調度數據網是生產控制大區相連接的專用網絡，承載電力實時控制、在線生產交易等業務。發電廠

端的電力調度數據網應當在專月通道上使用獨立的網絡設備組網，在物理層面上實現與電力公司其她數

據網及外部公共信息網的安全隔離。發電廠端的電力調度數據網應當劃分為邏輯隔離的實時子網和非實

時子網，分別連接控制區和非控制區。

3.4橫向隔離

橫向隔離是電力監控系統安全防護體系的橫向防線。應當采用不同強度的安全設備隔離各安全區，

在生產控制大區與管理信息大區之間必須部署經國家指定部門檢測認證的電力專用橫向單向安全隔離裝

置.隔離強度應當接近或達到物理隔離。生產控制大區內部的安全區之間應當采用品有訪問控制功能的

網絡設備、安全可靠的硬件防火墻或者相稱功能的設施，實現邏輯隔離。防火墻的功能、性能、電磁兼

容性必須通過國家有關部門的認證和測試。

25縱向認證

縱向加密認證是電力監控系統安全防護體系的縱向防線。發電廠生產控制大區與調度數據網的縱向連接

處應當設立通過國家指定部門檢測認證的電力專用縱向加密認證裝置，實現雙向身份認證、數據加密和

訪問控制。

3.6綜合防護

綜合防護是結合國家信息安全級別保護工作的有關規定對電力監控系統從主機、網絡設備、歹意代

碼防備、應用安全控制、審計、備用及容災等多種層面進行信息安全防護的過程。

4職責

4.1組織機構

組長：秦立新

副組長：石彥鵬、任曉鵬、趙秀琴

成員：繼電保護室成員、熱控成員、信息成員。

4.2職責

4.2.1組長、副組長職貢

4.2.1.1負責組織有關人員建立或編制本單位所管轄的電力監控系統安全防護管理規定、實行方案、

評估制度及應急預案。

4.2.1.2常常檢查我公司的電力監控系統安全防護的執行狀況，定期組織有關人員對?電力監控系統進

行安全評估；對于存在問題的，提出整治期限。

4.2.1.3負責組織有關人員對我公司發生的安全事故進行認真分析，并及時向上級主管單位上報安全

事故分析報告。

4.2.1.4全面管理電力監控系統運營工作；掌握電力監控系統的配備狀況；熟悉電力監控系統的分布狀

況：理解電力監控系統的安全狀況：定期組織討論電力監控系統安全狀況，協調各專業之間接口安全問

題。

4.2.2成員職責

4.2.2.1負責本專業應用系統已部署的安全產品的安全方略的設立和調節，對該產品平常運營進行精

心的維護。

4.2.2.2定期對安全產品的日記進行審計。

4.2.2.3精心觀測和分析該系統的安全狀況，并及時上報組長、副組長。

4.2.2.4使用數字證書管理系統進行數字證書的申請，生成、發放和撤銷。

4.2.2.5精心維護數字證書管理系統，保證系統的安全、可靠、穩定運營。

4.2.2.6精心保護證書管理系統的數字證書，避免遺失。

4.2.2.7參照國家對涉密設備的有關規定，建立有效的數字證書及密鑰管理制度。

4.2.2.8保護本專業的口令、數字證書、密鑰等安全設施：一旦泄露或丟失，應當立即報告，對導致

惡劣后果者，要按國家有關規定追究其責任。

4.2.2.9全面掌握本專業電力監控系統的分區狀況、配備狀況、硬件設立狀況及接口、數據流向等；

做好數據備份和平常管理工作。

4.2.2.10對電力監控系統安全評估的所有評估資料和評估成果，應當按國家有關規定做好保密工作。

5系統設備定級及安全區劃分

5.1系統設備定級

5.1.1保護及遠動通信系統定級

序號定級對象系統級別

1電力調度數據網2級

2NCS系統3級

3故障錄波器系統3級

4遠方電量計量系統2級

5故障信息子站系統2級

6功角測量系統2級

7AVC系統3級

8時間同步裝置2級

9發變組保護裝置3級

10勵磁系統3級

11母線保護裝置3級

12線路保護裝置3級

13調度綜合數據網2級

14通信電源系統2級

15光端機系統2級

16PCM系統2級

17調度互換機系統2級

18行政互換機系統2級

5.1.2信息專業設備定級

序號定級對象系統級別

1全廠網絡2級

2門禁系統2級

3監控系統2級

4電子圍欄系統2級

5視頻會議系統2級

6軟件系統2級

5.2安全區的劃分

5.2.1保護及遠動通信設備安全區的劃分

字號系統名稱設備名稱設備型號安全分區類別

路由器H3CMSR50-40控制區（安全區1）

實時互換機S36OOV2-28TP-SI控制區（安全區1）

電力調度數

1實時縱向加密裝置PSTunnel-控制區（安全區D

據網

非實時互換機S36OOV2-28TP-SI非控制區1安全區【I）

非實時縱向加密裝置PSTunnel-非控制區1安全區H）

遠動主機RCS-9698H控制區（安全區D

2NCS系統五防系統RCS-9200控制區（安全區I）

測控裝置RCS-9705C控制區（安全區1）

發變組故障錄波裝置WY9F非控制區1安全區II）

3故障錄波器

線路故障錄波裝置WDGL-VI非控制區1安全區

遠方電量計電能量遠方終端（中調）BSM-ID非控制區1安全區II）

4

量系統電能量遠方終端（地調）CHL034-11C非控制區（安全區II）

嵌入式信息管理裝置（子站主機）SDL-8003非控制區（安全區II）

故障信息子硬件防火墻FW5120非控制區（安全區H）

5

站系統串口通訊服務得MOXANport5630控制區（安全區I）

網絡互換機MOXAES-1026控制區（安全區I）

功角測量系數據集中解決單元CSC-361A控制區（安全IX1）

6

統相量測量單元CSC-36IB控制區（安全區D

上位機UC630上位機控制區（安全區I）

7AVC系統下位機UC630下位機控制區（安全區1）

AVC子站后臺機1EI4U工控機控制區（安全區1）

時間同步裝主同步對時系統裝.苴RCS9785D非控制區（安全區H）

8

置從同步對時系統裝置RCS9785E非控制區1安全區n）

發變組保護裝置PCS-985A控制區（安全區D

發變組保護

9非電量保護裝置PCS-974FG控制區（安全區D

裝置

高備變保護PCS-985T控制區（安全區D

10勵磁系統發電機勵磁系統UNITROL6000控制區（安全區D

母線保護裝母線保護裝置一BP-2C控制區（安全區D

11

置母線保護裝置二RCS-915AB-090455控制區（安全區D

CSC-103D

251陶庫I線縱聯電流差動保護

線路保護裝RCS-931BMV

12控制區（安全區D

置路由器AR3260

24□以太網互換機S37OO-28TP-SI-AC

14調度綜合數防火墻M890管理信息大區

據網交流配電單元ACSB-COI-VI.O

高頻開關整流ZL4830SA

直流分派單元ZLPFU-13

通信電源系蓄電池30()Ah2V/R24只/組

15非控制區(安全區II)

統馬可尼光端機OMS1664

西門子光端機HIT7065

至中調PCMFMX-I2非控制區1安全區H)

16光端機系統

至區調PCMFMX-I2非控制區1安全區11)

調度程控互換機IXP3000

17PCM系統非控制區(安全區H)

互換機主機S8000C

調度互換機

18非控制區1安全區【I)

系統

行政互換機

19管理信息大區

系統

5.2.2信息專業設備安全區的劃分

字號系統名稱設備名稱設備型號安全分區類別

HuaweiAR3260-SRU40-AC

外網路由器管理信息大區

路由器主機(AC)

入侵防御、檢測華為N1P管理信息大區

防毒墻網御POWERV6000-U1160管理信息大區

防火墻/VPN華為USG515O管理信息大區

核心互換機華為9312管理信息大區

2411POE接入互換機華為S2326TP-PWR-EI管理信息大區

48口接入互換機華為S5700-48TP-SI-AC管理信息大區

24口接入互換機華為52700-26TP-SI-AC管理信息大區

全廠網絡硬

1光模塊-SFP-GE-單模模塊管理信息大區

件設備SFP-GE-LH40-SM1310

-(1310mn,10km,LC)

無線控制器HuaweiAC6605-26-PWR管理信息大區

無線接入點華為AP6610DN-AGN管理信息大區

網康NET000上網行為管管理信息大區

安全審計

理

艾科網信A110,管理信息大區

終端準入設備

域控制器IBMX3650M4管理信息大區

DNS服務器/網管服務器IBMX3650M4管理信息大區

其她服務器IBMX3650M-1管理信息大區

POLYCCMHDX8000HDX8002

視頻會議主機管理信息大區

視頻會議系XL(攝像頭)

2

統70LYC0M1P550分會場應急保障分機管理信息大區

夏普液晶顯示屏46”(涉及兩個電視推車)管理信息大區

服務器公司版操作系統WindewsServer公司版管理信息大區

Windows7專業版支持新技管理信息大區

客戶端操作系統

術

紫光電子檔案管理系統軟管理信息大區

檔案管理系統軟件

件(V8.0)

華為eSight公司運維系管理信息大區

網關軟件

統(V200R001)

數據庫軟件Oracle數據庫10g標管理信息大區

3軟件系統

郵件系統Vinmai15.5.1管理信息大區

三維地下管網系統mGIS深圳管理信息大區

全廠門禁系統ZKAccess5.0管理信息大區

ERP系統SAP系統管理信息大區

財務系統用友U8管理信息大區

0A系統辦同管理軟件管理信息大區

瑞星殺毒軟件網絡版8個管理信息大區

公司版殺毒軟件

服務器端，120PC端

Cisco2811路由器管理信息大區

集團專網路由曙

4其她硬件

2端UOCT/STV-l通道化管理信息大區

RT-HIM-2CP0S/STM1-H3

El/TlPOS接口模塊(SFP)

5.3各系統間的關聯

5.3.1保護及遠動通信系統網絡拓撲圖

保護及遠動圖

SI

-<s>—e

-

02

4=}--<s>—@0

220KV-<3D—@;

-<S>7-<2)

-<S>-<2>

-GD—@E

Q-CD—0i

(互；⑥*

-<5>-O

-GD—(2>

-<S)—(2)E

-<S>—(2)B

-<3>-O.

遠動系統圖

工或以上河文gl在反電號的應例9

5.3.2火災消防設備拓撲圖

交換機AcrTMOO電氣火災Ifi控裝筲

TCPIP

5.3.3信息系統網絡拓撲圖

電量管理數據分析報表罐勢……網絡發布

備份服務券

6技術防護措施

6.1由I、II區構成的系統涉及計算機、通信、自動控制和顯示等技術，是一般概念上的機組級DCS/PLC

系統。其內部通信/控制合同是原則合同（如TCP/IP,DECnet,Telnet等），也可以是專用合同。規定該

系統為全封閉的閉環系統，絕對嚴禁任何外部訪問。系統內部使用者必須有清晰的操作權限級別。此系

統提供數據接口能積極對外傳送數據，應通過數據采集（前端）機從計算機接口單元（模件）采集數據，

必須是單向數據傳播，將數據電向提交給管理信息系統（ERP）。

7安全管理

7.1安全管理組織機構

電力監控系統安全防護組織機構

7.1.1安全分級負責制

7.1.1.1本著“誰主管誰負責，誰運營誰負責?”的原則，貫徹電力監控系統的各專業的安全責任。

7.1.1.2安全防護組組長負責我廠的電力監控系統網絡的安全管理，是安全管理第一負責人。

7.1.1.3熱工、電氣及信息專業負責人所屬范疇內計算機及數據網絡的安全管理。

7.1.1.4各專業對所屬范疇內計算機及數據網絡絡設立安全防護小組或專職人員，負貢設備的平常維

爐及管理，是設備的直接負責人。

7.2安全評估的管理

7.2.1我公司核心系統應配備必要的安全掃描及檢測工具，自己進行常規安全檢查。

7.2.2安全評估的內容涉及：風險評估、襲擊演習、漏洞掃描、安全體系的評估、安全設備的部署及

性能評估、安全管理措施的評估等。

7.2.3安全評估過程的任何記錄、數據、成果等均不容許以任何形式攜帶出我公司。

7.3安全方略的管理

7.3.1對新建的電力監控系統必須在建設過程中進行安全風險評估，并根據評估成果制定安全方略。

7.3.2對已投運且已建立安全體系的系統定期進行漏洞掃描，以便及時發現系統的安全漏洞。

7.3.3對安全體系的多種日記（如：入侵檢測日記等）審計成果進行認真的研究，及時發現系統的安

全漏洞：

7.3.4定期分析本系統的安全風險及漏洞、分析目前黑客非法入侵的特點，及時調節安全方略。

7.4設備、應用及服務的接入管理

7.4.1在已經建立安全防護體系的電力監控系統中，接入任何新的設備和應用及服務，均必須備案申

請備案，通過我公司電力監控系統防護安全組長的審查批準后，方可在專人的監管下實行接入。

7.4.2電力監控系統的安全區【及安全區II中的工作站、服務器原則上不得開通撥號功能；若確需開

通撥號服務，必須配備強認證機制，否則該應用必須與安全區I及安全區H徹底隔離.

7.4.3在所有電力監控系統的安全區I及安全區II中的任何工作站、服務器均嚴格嚴禁以多種方式開

通與互聯網、其他安全區及任何外部網絡的連接。各專業負責人負責監督檢查。

7.4.4電力監控系統的安全區I及安全區II中的PC機及其他微機原則上應當將軟盤驅動、光盤驅動、

USB接口拆除，或通過安全管理平臺實行嚴格管理，以避免病毒等歹意代碼的傳播。各專業負責人負責

監督檢查。若個別PC機確有必要插接USB-key,應當嚴格管理。

7.4.5接入電力監控系統的安全區I及安全區II中的通用安全產品，必須使用通過國家有關安所有門

認證的國產產品；接入電力監控系統的專用安全產品必須使用國產產品并通過有關的電力主管部門的認

證；優先選用國家電力主管部門推薦的優秀安全產品。

7.5安全管理制度

7.5.1嚴格管理各終端設備的接口使用。把有關電力監控系統終端設備的USB接口和光驅接口采用拆

除、貼封條等方式嚴禁無關人員使用；必須要進行接口連接作業的，要進行登記記錄，并對外連設備進

行殺毒確認后才可進行。對終端設備的顧客登錄口令加強管理，嚴禁有弱口令和空口令的現象；對重要

的機組控制DCS終端設備加裝硬件狗；嚴禁電力監控系統設備終端之間有物理上的連接。

7.5.2在縱向加密裝置沒有安裝之前，必須要從電力市場下載的數據或資料，每次下載只能使用專用

移動硬盤，通過格式化殺毒后才干從機房的客戶端下