火電廠熱控系統網絡安全建設探討

辛金明

（山東兗礦濟三電力有限公司，山東 濟寧 272169）

火電廠作為我國國民經濟發展中不可或缺的重要一環，在推動區域民生保障以及區域經濟發展方面有著不可忽視的重要價值。隨著現階段熱控自動化技術在火電廠中應用范圍的不斷拓寬，提高火電廠熱控系統安全性、可靠性和運行平穩性逐漸成為火電廠管理的重要內容。現階段的自動化技術得到了快速發展，并在火電廠中得到了廣泛應用，而可靠而穩定的熱控系統對大型火電廠發電機組的重要性不可忽視，利用先進的計算機網絡技術和過程控制技術，保障火電廠熱控網絡的安全性依然是火電廠管理的重中之重，因此，本文對火電廠熱控系統網絡安全建設的相關探討與研究也就具備重要理論意義和現實價值。

1 熱控系統網絡架構

基于新一代電廠分散控制系統的火電廠熱控系統，與傳統模式下的電廠分散控制系統的自閉網絡結構有所不同，主要包含軟件設備、硬件設備、通信設備、系統軟件等諸多獨立部分，借助電廠分散控制系統的冗余結構等安全措施，保障火電廠熱控系統的網絡結構安全性。同時，火電廠熱控系統網絡借助計算機網絡技術中強有力的網絡安全管理理念，彌補傳統的電廠分散控制系統不重視網絡安全管理的劣勢，避免造成國際互聯網大潮中信息孤島的存在，從而避免火電廠熱控系統網絡安全威脅來自系統內部管理漏洞，確保整個火電廠熱控系統網絡結構安全性。總之，新一代集成性較高的火電廠分散控制系統與計算機網絡技術、通信技術等相融合，采用大體量的商用計算機網絡結構、網絡交換機甚至操作系統等，使火電廠熱控系統生產過程得到實時監督、管理和控制，更能為火電廠熱控系統的生產管理、企業資源管理等提供更有力、更可靠且更無縫銜接的數據資料，保證火電廠熱控系統網絡安全威脅全部來自外界環境，以此提高其網絡管理水平，圖1即為Centum CS 3000系統的火電廠熱控系統基本架構示意。

圖1 Centum CS 3000系統基本架構

2 火電廠熱控系統網絡安全建設

2.1 DCS 網絡的薄弱環節分析

目前，基于電廠分散控制系統的火電廠熱控系統網絡安全管理的薄弱環節主要體現在防范有害入侵的網絡能力較差和DCS網絡安全重視程度不足兩大方面。就網絡防范有害入侵能力較差問題而言，基于DCS網絡結構的人機接口絕大部分采用工業控制模式下的USB接口或者光盤驅動器方式，與移動存儲介質進行云數據交換，結果火電廠熱控系統網絡結構很容易受到外界病毒的感染。同時，DCS網絡結構采用Windows操作系統，系統整體運行時間較長，且并未安裝補丁程序，很容易在系統運行過程中出現藍屏或死機現象，造成火電廠熱控系統運行穩定性較差。最后，DCS網絡結構和其他網絡結構之間并未設置安全隔離網和防火墻，也未在網絡結構的電路上采取切斷措施，杜絕內網與外網之間的鏈路層連接，也就存在從其他網絡入侵DCS網絡結構的可能，給火電廠熱控系統網絡安全帶來了一定隱患。

2.2 DCS 網絡的安全建設策略

（1）DCS系統對外接口防護設計。通常情況下，基于分散控制系統的火電廠熱控系統對外接口主要包括智能管理系統、操作數據存儲系統和攻擊評估系統三大部分。其中，智能管理系統數據量較大，且實際使用對象往往較為復雜，為保證智能管理系統的數據結構安全，通常會采用HH800系列，最大限度實現智能管理系統結構的數據存儲與隔離。操作數據存儲系統和攻擊評估系統的使用對象往往較為簡單，絕大部分可采用防火墻對操作數據存儲系統以及攻擊評估系統進行安全隔離，從而確保火電廠熱控系統中的分散控制系統接口安全，以此促進火電廠熱控系統網絡充分發揮安全防護功能。

（2）網絡結構設計。在對火電廠熱控系統的網絡結構進行設計時，可根據橫向分層、縱向分區的基本網絡安全管理理念，對整個火電廠熱控系統的網絡安全結構進行企業網絡設計、管理層網絡設計和系統層網絡結構設計等，在火電廠熱控系統網絡結構設計過程中，三層管理網絡結構設計主要用于各層之間的互相訪問，也可用于智能設備的連接與管理，用于操作數據管理系統的連接和訪問。控制層網絡可借助冗余中線結構與其他各層模塊、設備甚至火電廠熱控系統外聯智能設備進行連接，實現實時監控、高效采集、高速度處理和高效率完成現場通信任務的基本目標。總之，在火電廠熱控系統網絡結構設計過程中，任意LAN都應獨立設置對應的操作數據管理系統，利用操作數據管理系統中的局域網服務器對數據信息進行實時采集、更新和替補，在CCR中設置對應的操作數據管理結構，便于對數據信息的實時收集、處理和及時發布。此外，在操作數據管理系統局域網的服務器設計以及客戶端前端和后端之間防火墻的安全結構配置上，可進一步通過賬號管理模式嚴格限制其訪問權限和管理權限，確保火電廠熱控系統安全管理目標的達成。

（3）防毒網絡結構設計。在火電廠熱控系統防毒網絡結構設計過程中，可在熱控系統防毒網絡結構中設置中央操作室，對分散控制系統、智能設備管理系統、操作數據管理系統、報警管理系統等諸多管理模塊或者管理系統的防毒功能進行設計，借助專用pc離線方式更新病毒數據庫，通過防火墻更新防毒服務器病毒庫的方式，保障整個火電廠熱控系統網絡結構安全，圖2即為某項目防毒網絡安全架構示意圖。

圖2 某項目防毒網絡安全架構示意圖

3 實際應用

某火力發電廠輸煤程序在運行過程中感染病毒，通過SIS接口機感染了其他控制系統，最終使病毒在整個SIS結構和DCS結構中流竄，使各分工電腦相繼出現重啟和藍屏現象，最終影響了該火力發電廠的正常運行。針對該情況，火力發電廠熱控系統網絡安全維護將電廠劃分為不同區域，在電場控制一區內采取最優安全隔離方式，利用多個相互獨立運行的控制系統將該火力發電廠熱控系統劃分為主控安全隔離區域、引水網安全管理區域和其他安全隔離區域等不同等級，使SIS接口部署安全隔離網關，通過隔離網關連接熱控系統實現協議的轉化，避免SIS接口感染病毒后引起其他結構感染病毒，達成了火力發電廠熱控系統的網絡安全維護目標。

4 結語

總之，為了最大限度提升火電廠熱控系統網絡安全防護能力，滿足我國互聯網產業甚至火力發電產業對網絡安全結構的基本要求，做到火電廠投入運行前的安全監測、實際運行過程中的異常監測、運行維護過程中的安全管理與控制，通過對火電廠熱控系統安全管理行為的實時監督與防范，保障火力發電廠人員設備的安全狀態，建設并完善火電廠熱控系統網絡安全結構體系，且利用網絡安全結構保障火力發電廠生產控制網絡行為的安全可靠性，利用網絡管理軟件做好網絡管理工作，及時發現網絡管理存在的諸多安全隱患并及時診治，保證火力發電廠安全平穩運行。