電廠生產控制系統的網絡信息安全

陳彬

摘 要：在我國快速發展過程中，經濟在快速發展，社會在不斷進步，人們的生活質量在不斷提高，對于電力的需求在不斷加大，簡要介紹了電廠生產控制系統網絡信息安全防護工作的必要性，以田集發電廠為例闡述了電廠生產控制系統網絡信息安全分區及防護方案和措施，最后總結了電廠生產控制系統網絡信息安全防護應注意的問題。

關鍵詞：電廠;生產控制系統;網絡信息安全;防護

引言

隨著我國經濟的發展，發電廠信息安全的相關問題逐漸受到了人們的重視。在如今的發電廠發展過程中，計算機網絡與信息系統基本得到普及。但是，在信息系統普及的情況下，黑客入侵、網絡攻擊等等問題，也為信息安全的問題埋下了隱患。本文采取理論分析法、文獻分析法、歸納整理法及對比分析法等進行定性研究。為了對發電廠信息安全體系構建的問題進行完整地剖析，筆者查閱了大量關于發電廠信息安全體系構建方面的理論內容，掌握了在現代社會背景下，合理對發電廠信息安全體系構建問題進行研究的相關方法及運作方式，著力提升了本文的深度性。而通過文獻分析法，筆者在查閱了相關人士對信息安全體系構建問題進行研究的文獻、期刊的基礎上，利用歸納整理法，重點對參考文獻進行了全面分析、整理，使本文更具理論性和指導性。

1網絡結構特點

生產控制網絡是電力生產自動化、集約化的產物。它們廣泛布置在我國大中型電廠、各級變電站之內。它們提供了廠、站內部各種狀態信息，控制信息流動的信道，并且是直接面向生產的互連系統。電力微機控制技術的成熟和電力設備生產工藝的提高，使得我國廠、站內部的生產控制網絡采用下圖所示結構。具體地針對各控制點分別設置n個控制單元，各單元和主控室通過光纜相連。該網絡由網關接人企業intranet，而企業in*ranet又接人internet。該網絡具有以下特點：實時性強：和傳統的主要用于資源共享的計算機網絡不同，該網絡設計理念主要是對變壓器、母線進行實時準確控制。系統尤其強調通信的快速性和可靠性。控制單元智能化：將傳統的基于布線邏輯式的控制機構全部轉為微機控制，實現了數據采集、分析、決策和動作的一體化，有效節約了空間，簡化了維護。多點可控：網絡的互連使得倒閘，投保護等操作可在三級進行。①就地：現場操作;②本地主控室：經由本地網絡發出操作命令;③internet八ntarnet：允許授權下在任何時間，任何地點對控制單元進行監控。通信規程標準化：我國對該網絡通信制定了詳細的規程。如適用于電網數據采集和監控系統以及調度所間以間答式規約轉發實時運動信息的行業標準DL/T634一1997。

2電廠生產控制系統的網絡信息安全

2.1當地功能監視&發電考核系統

遠動當地功能及發電負荷考核子站系統，用于實現遠動當地功能，接收華東網調或者安徽省調主站端的發電計劃曲線，并配合完成AVC功能。與調度中心通過調度數據網交換機Ⅰ區，再經路由器與調度主站相互通訊;當地功能系統與FFC、NCS、FFC、AVC等系統或設備的連接采用串口方式進行通訊;通過國產的南瑞SYSKEEPER2000正向隔離裝置與MIS系統和SIS系統相連，將數據單向送入MIS側的鏡像服務器、WEB發布服務器和SIS系統實時數據庫，而不允許MIS和SIS系統訪問本系統。

2.2重視踐行技術+管理的理念，全面提升信息安全水平

隨著計算機網絡技術的飛速發展，服務器、交換機等網絡設備和工控系統設備均不斷在改進信息安全漏洞，這些設備在不同的環境下工作所表現出來的信息安全水平是有差異的。可以說沒有任何哪一家的產品能做到絕對的安全。因此從提升水電站控制系統網絡信息安全的角度出發，在已經選定的設備技術條件下，從實際運行角度出發，我們認為采用加強網絡邊界安全防護和內部管控相結合的思路，可以實現控制系統整體安全防護水平的全面提高。具體地說，加強網絡邊界安全防護就是“關好大門”，把好這一道關就能極大降低來自外部網絡或系統的安全威脅;加強內部管控則是“鎖好抽屜”，通過采取技術手段和有效的管理措施并加以嚴格執行，能夠有效防范來自內部的安全風險。

2.3建立相關防護系統

筆者認為，基于發電廠信息安全體系現狀，想要真正構建安全體系，防止網絡入侵、黑客介入，就必須著手建立相關的防護系統。所謂防護系統，也就是網絡入侵防護系統，其主要用于及時發現黑客攻擊，并進行抵御，甚至消滅。這一種具體的計算機網絡安全技術，能夠在較好地發現入侵者的基礎上，識別對計算機的非法訪問行為，從而對其進行隔離處理。而想要真正建立相關防護系統，發電廠內部技術人員就必須在互聯網的出入口處，串聯部署IPS，這樣基本能夠實現網絡出口防護。無論是由內到外，還是由外到內，層層布控，為整個系統提供互聯網的從網絡層、應用層到內容層的深程度全防護。另外，筆者個人認為，相關技術人員還有必要在核心的交換機上，旁路部署IPS，主要是由內網到內網。在平時，相關的技術人員就可以將內網中的部分重點服務器，從其流量鏡像轉到IPS上，這樣做的目的，主要是對這些服務器流量的安全性進行實時監控、訪問。而如果在網絡中出現了相關的、嚴重的黑客事件，或者是具體的異常情況，那么相關人員就可以完全將出現的問題部分流量鏡像到IPS上，之后進行具體的安全性分析，這樣能夠較快地找到具體的攻擊來源和異常情況。

2.4SIS系統

SIS系統無生產控制功能，所以在設計時將其放在控制區Ⅱ區，是一個獨立的網絡系統，SIS網絡安全防護設計時考慮了兩個方面的內容，分別是下層控制系統層以及MIS層：控制系統層：SIS系統與控制系統同屬于二次系統安全的控制大區，中間采用網關隔離。SIS為每個控制系統劃分獨立的VLAN，在進行通訊的同時實現不同網段之間的隔離，這樣能夠有效隔離不同網段之間的廣播，減少網絡負荷。不同網段之間采用網關進行隔離的同時在每臺接口機上安裝諾頓防病毒軟件，防止意外情況下病毒入侵。由于SIS網以及與SIS相連的控制系統網絡屬于電廠內網，網內節點數量少，方便進行管理，所以上述網絡方案基本能夠滿足生產網絡安全防護的需要。MIS層：SIS系統與MIS系統處在不同的安全區，中間使用了南瑞的正向物理隔離裝置syskeeper2000進行正向隔離，該產品經過了國家公安部鑒定，是電力二次系統防護相關文件中推薦的品牌，保證了SIS的系統的數據單向送入MIS系統而MIS系統的數據不送入SIS系統的單向數據傳輸，保證了SIS系統的安全性。

結語

水電站開展信息安全測評工作，通過現場檢查、專家建議和持續改進，確實能使我們的信息安全防護水平得到了一定提高，使信息安全防護意識得到增強。同時，也應該客觀地看到，目前的信息安全測評和測試工作還存在一定改進空間，還可以更加切合實際需要，以便更好地為電站乃至電力系統安全生產服務。我國電力企業數量眾多，其控制系統的網絡信息安全防護能力和水平參差不齊，現場運行環境各不相同，如何能夠客觀地分析其存在的安全隱患并給出整改建議是設備生產廠商、運行單位和測評專家們需要共同研究的重要問題。對于工控設備和系統的測試，則需要搭建更貼近現場實際應用的測試環境，從而使得測試結果更有針對性、更具說服力。

參考文獻：

[1]高永強.網絡安全技術與應用大典[M].北京：清華大學出版社，2003.

[2]國家電力監管委員會（第5號令）.電力二次系統安全防護規定[M].北京：中國電力出版社，2004.

[3]國家電力監管委員會.電力二次系統安全防護總體方案[R].北京：國家電力監管委員會，2006.