国产欧美日韩精品a在线观看-国产欧美日韩精品一区二区三区-国产欧美日韩精品综合-国产欧美中文字幕-一区二区三区精品国产-一区二区三区精品国产欧美

1　引言

隨著熱工自動(dòng)化技術(shù)的不斷發(fā)展，工業(yè)以太網(wǎng)在控制網(wǎng)絡(luò)的不斷普及和應(yīng)用，火力發(fā)電廠的主控系統(tǒng)與輔助車間的控制已脫離每個(gè)系統(tǒng)采用獨(dú)立控制的模式，而采用實(shí)時(shí)數(shù)據(jù)庫(kù)對(duì)控制系統(tǒng)的生產(chǎn)數(shù)據(jù)進(jìn)行集中采集并進(jìn)行存儲(chǔ)。信息化在電廠控制網(wǎng)絡(luò)的應(yīng)用有效地提高了生產(chǎn)效率、降低發(fā)電生產(chǎn)成本、提升控制水平，但也使控制系統(tǒng)的信息安全面臨更大的威脅和挑戰(zhàn)，主控系統(tǒng)及輔控網(wǎng)絡(luò)的縱深防御體系亟待建立和完善。

2　電廠信息安全現(xiàn)狀分析

目前電廠的輔控網(wǎng)絡(luò)建設(shè)主要分為兩種拓?fù)浣Y(jié)構(gòu)，一種是樹形網(wǎng)絡(luò)，設(shè)置兩層控制網(wǎng)。上層網(wǎng)絡(luò)為輔助車間集中監(jiān)控網(wǎng)（輔控網(wǎng)），下層為水網(wǎng)、煤網(wǎng)、灰網(wǎng)、脫硫四個(gè)車間級(jí)控制主干網(wǎng)，其他子系統(tǒng)直接連接輔控網(wǎng)；水網(wǎng)的鍋爐補(bǔ)給水處理系統(tǒng)、凝結(jié)水精處理系統(tǒng)、工業(yè)廢水程控系統(tǒng)、生活污水程控系統(tǒng)等集中連接至水網(wǎng)上層網(wǎng)絡(luò)，再連接至輔控網(wǎng)絡(luò)；輔控網(wǎng)絡(luò)內(nèi)設(shè)有兩臺(tái)熱備的數(shù)據(jù)服務(wù)器，采集PLC的數(shù)據(jù)和現(xiàn)場(chǎng)儀表的數(shù)據(jù)，存儲(chǔ)和管理數(shù)據(jù)庫(kù)；多臺(tái)操作員站對(duì)輔控網(wǎng)絡(luò)下的各底層程控系統(tǒng)進(jìn)行集中監(jiān)控。另一種是雙星型結(jié)構(gòu)，主要由兩臺(tái)輔控網(wǎng)絡(luò)核心交換機(jī)和2N個(gè)終端子交換機(jī)組成（N代表輔助車間的數(shù)量）。這樣的網(wǎng)絡(luò)結(jié)構(gòu)使通訊線路分為A、B兩個(gè)鏈路，兩個(gè)鏈路互為熱備用，相互獨(dú)立互不影響。各外圍的輔助控制系統(tǒng)均直接連至輔控網(wǎng)絡(luò)核心交換機(jī)，包括除灰控制系統(tǒng)、除渣控制系統(tǒng)、電除塵控制系統(tǒng)、脫硫控制系統(tǒng)、凝結(jié)水精處理及化學(xué)加藥取樣控制系統(tǒng)、空調(diào)制冷控制系統(tǒng)、空壓機(jī)控制系統(tǒng)、鍋爐補(bǔ)給水處理系統(tǒng)、化學(xué)水處理預(yù)脫鹽系統(tǒng)、制氫站、循環(huán)水加藥處理系統(tǒng)、工業(yè)廢水處理系統(tǒng)、輸煤控制系統(tǒng)等，由集中監(jiān)控室進(jìn)行集中監(jiān)控。

電廠主控車間、輔控網(wǎng)絡(luò)等的集中監(jiān)控大大提高了控制系統(tǒng)的運(yùn)維效率，也大大節(jié)約了人力成本，但同時(shí)也使得一個(gè)車間或節(jié)點(diǎn)的信息安全威脅對(duì)整個(gè)控制網(wǎng)絡(luò)的安全造成影響。早期電廠的控制系統(tǒng)鮮有信息安全事件出現(xiàn)，目前隨著信息化的大力發(fā)展以及國(guó)際形勢(shì)的錯(cuò)綜變化，電廠等國(guó)家基礎(chǔ)性能源企業(yè)的控制系統(tǒng)的信息安全事件頻繁發(fā)生。國(guó)內(nèi)已經(jīng)有多家火力發(fā)電廠出現(xiàn)輔控網(wǎng)絡(luò)計(jì)算機(jī)和服務(wù)器感染病毒或者網(wǎng)絡(luò)風(fēng)暴等網(wǎng)絡(luò)問(wèn)題造成控制系統(tǒng)出現(xiàn)故障的情況發(fā)生。

3　行業(yè)政策導(dǎo)向

面對(duì)電力行業(yè)工業(yè)信息安全的嚴(yán)峻形勢(shì)，國(guó)家各部委紛紛出臺(tái)相關(guān)政策和措施推動(dòng)電力行業(yè)信息安全防護(hù)的發(fā)展，尤以2014年12月發(fā)布的國(guó)標(biāo)GB/T 30976.1-2014《工業(yè)控制系統(tǒng)信息安全第1部分：評(píng)估規(guī)范》，GB/T 30976.2-2014《工業(yè)控制系統(tǒng)信息安全第2部分：驗(yàn)收規(guī)范》，國(guó)家發(fā)改委2014年第14號(hào)令《電力監(jiān)控系統(tǒng)安全防護(hù)規(guī)定》，國(guó)家能源局2015年第36號(hào)令《國(guó)家能源局關(guān)于印發(fā)電力監(jiān)控系統(tǒng)安全防護(hù)總結(jié)方案等安全防護(hù)方案和評(píng)估規(guī)范的通知》等對(duì)行業(yè)信息安全的發(fā)展提出了指導(dǎo)性意見(jiàn)。國(guó)家能源局2015年36號(hào)文件附件4《發(fā)電廠監(jiān)控系統(tǒng)安全防護(hù)方案》對(duì)火力發(fā)電企業(yè)的信息安全防護(hù)方案作了指導(dǎo)性意見(jiàn)，主要總結(jié)為以下幾點(diǎn)：

（1）生產(chǎn)控制大區(qū)與管理信息大區(qū)之間通信應(yīng)當(dāng)部署電力專用橫向單向安全隔離裝置。

（2）控制區(qū)與非控制區(qū)之間應(yīng)當(dāng)采用具有訪問(wèn)控制功能的網(wǎng)絡(luò)設(shè)備、安全可靠的硬件防火墻或者相當(dāng)功能的設(shè)備，實(shí)現(xiàn)邏輯隔離、報(bào)文過(guò)濾、訪問(wèn)控制等功能。

（3）控制區(qū)內(nèi)的各機(jī)組監(jiān)控系統(tǒng)之間、機(jī)組監(jiān)控系統(tǒng)與控制系統(tǒng)之間、同一機(jī)組的不同功能的監(jiān)控系統(tǒng)之間，尤其是機(jī)組監(jiān)控系統(tǒng)與輸變電部分控制系統(tǒng)之間，根據(jù)需要可以采取一定強(qiáng)度的邏輯訪問(wèn)控制措施，如防火墻、VLAN等。

（4）如果發(fā)電廠生產(chǎn)控制大區(qū)中的業(yè)務(wù)系統(tǒng)與環(huán)保、安全等政府部門進(jìn)行數(shù)據(jù)傳輸，其邊界防護(hù)采用防火墻、VPN和租用專線等方式。

（5）發(fā)電廠廠級(jí)監(jiān)控系統(tǒng)等關(guān)鍵應(yīng)用系統(tǒng)的主服務(wù)器，以及網(wǎng)絡(luò)邊界處的通信網(wǎng)關(guān)機(jī)、Web服務(wù)器等，應(yīng)當(dāng)采用安全加固的操作系統(tǒng)。加固方式包括：安全配置、安全補(bǔ)丁、采用專業(yè)軟件強(qiáng)化操作系統(tǒng)訪問(wèn)控制能力以及配置安全的應(yīng)用程序。

4　基于縱深防御的電廠安全解決方案

依據(jù)國(guó)家能源局2015年36號(hào)文件的指示意見(jiàn)，青島海天煒業(yè)自動(dòng)化控制系統(tǒng)有限公司結(jié)合多年投身工業(yè)控制系統(tǒng)信息安全防護(hù)的經(jīng)驗(yàn)和項(xiàng)目應(yīng)用情況，總結(jié)出一套針對(duì)火力發(fā)電廠控制系統(tǒng)安全防護(hù)的解決方案。網(wǎng)絡(luò)拓?fù)浞雷o(hù)簡(jiǎn)單示意圖如圖1所示。

（1）單向隔離。在實(shí)時(shí)監(jiān)控信息系統(tǒng)與辦公網(wǎng)絡(luò)的接口部署電力專用單向隔離網(wǎng)閘，控制數(shù)據(jù)只能由SIS網(wǎng)絡(luò)流向MIS網(wǎng)絡(luò)，有效防止因特網(wǎng)的病毒侵入至電廠生產(chǎn)網(wǎng)絡(luò)，這一防護(hù)手段已在業(yè)內(nèi)得到廣泛認(rèn)可和應(yīng)用。

（2）網(wǎng)絡(luò)安全。在各電子設(shè)備交換機(jī)之間與輔控網(wǎng)絡(luò)核心交換機(jī)之間，歷史數(shù)據(jù)站與實(shí)時(shí)數(shù)據(jù)庫(kù)之間部署Guard工業(yè)防火墻，實(shí)現(xiàn)各控制系統(tǒng)之間、SIS網(wǎng)絡(luò)與控制系統(tǒng)之間的安全隔離，利用“白名單”防護(hù)機(jī)制和實(shí)時(shí)報(bào)警來(lái)實(shí)現(xiàn)主動(dòng)防御來(lái)自上層信息網(wǎng)絡(luò)的攻擊，有效控制ARP攻擊，網(wǎng)絡(luò)異常流量以及網(wǎng)絡(luò)廣播對(duì)控制網(wǎng)絡(luò)造成的影響。

（3）終端防護(hù)。在集中監(jiān)控室的操作員站，數(shù)據(jù)冗余服務(wù)器，各設(shè)備間的操作員站上部署Intrust可信計(jì)算安全平臺(tái)及客戶端，有效地對(duì)Windows XP系統(tǒng)停服后操作員的系統(tǒng)漏洞進(jìn)行防護(hù)，在系統(tǒng)級(jí)對(duì)USB傳輸介質(zhì)進(jìn)行識(shí)別和管控，在芯片級(jí)依賴可信計(jì)算技術(shù)對(duì)操作員站等PC終端進(jìn)行主機(jī)加固和防護(hù)，有效防止計(jì)算機(jī)后門程序、木馬、病毒、數(shù)據(jù)掃描、秘鑰數(shù)據(jù)塊攻擊以及黑客攻擊等多元化的風(fēng)險(xiǎn)和信息安全威脅。

（4）安全審計(jì)。工控安全管理平臺(tái)SMP是專門針對(duì)工控網(wǎng)絡(luò)行為審計(jì)記錄的智能分析管理軟件，具備強(qiáng)大的審計(jì)日志存儲(chǔ)查詢功能。可以對(duì)海量的審計(jì)數(shù)據(jù)進(jìn)行實(shí)時(shí)監(jiān)控和網(wǎng)絡(luò)行為態(tài)勢(shì)分析，使系統(tǒng)安全運(yùn)維人員能夠通過(guò)實(shí)時(shí)日志展示畫面隨時(shí)監(jiān)控正在發(fā)生的不同級(jí)別審計(jì)日志和報(bào)警信息，也可以通過(guò)安全管理平臺(tái)的條件查詢、統(tǒng)計(jì)、篩選、圖表展示和態(tài)勢(shì)分析算法模型等強(qiáng)大的功能迅速判斷，得出網(wǎng)絡(luò)健康狀況，最終自動(dòng)獲得詳細(xì)的統(tǒng)計(jì)分析報(bào)告和事件處置方式建議，實(shí)現(xiàn)系統(tǒng)安全運(yùn)維管理的實(shí)時(shí)性、完整性、自動(dòng)化、智能化。

圖1 網(wǎng)絡(luò)拓?fù)浞雷o(hù)簡(jiǎn)單示意圖

5　結(jié)語(yǔ)

本文以縱深防御的防護(hù)理念為核心，結(jié)合國(guó)家能源局關(guān)于電廠信息安全的指導(dǎo)文件以及我公司在電廠安全防護(hù)的項(xiàng)目經(jīng)驗(yàn)，推出一套基于單向隔離網(wǎng)閘、可信計(jì)算、Guard工業(yè)防火墻、SMP安全管理平臺(tái)的縱深防御的解決方案，實(shí)現(xiàn)了發(fā)電廠工業(yè)控制系統(tǒng)信息安全的縱深防御，能切實(shí)有效地保護(hù)工控系統(tǒng)遠(yuǎn)離木馬、蠕蟲、黑客等各種威脅和攻擊，保障企業(yè)生產(chǎn)安全穩(wěn)定運(yùn)行。

作者簡(jiǎn)介

向人鵬（1991-），男，工程師，畢業(yè)于青島科技大學(xué)計(jì)算機(jī)科學(xué)與技術(shù)專業(yè)，現(xiàn)就職于青島海天煒業(yè)自動(dòng)化控制系統(tǒng)有限公司，主要從事工業(yè)信息安全研究與實(shí)施，積累了豐富的工業(yè)信息安全項(xiàng)目施工經(jīng)驗(yàn)，參與了電力二次防護(hù)、石油石化過(guò)程控制信息安全、管道遠(yuǎn)程調(diào)度安全等多個(gè)行業(yè)相關(guān)信息安全項(xiàng)目解決方案的制定與實(shí)施。

摘自《工業(yè)控制系統(tǒng)信息安全專刊（第二輯）》