1、电力系统二次安全防电力系统二次安全防护护基础基础2022年6月22日2二滩水电厂异常停机事件；二滩水电厂异常停机事件；故障录波装置故障录波装置“时间逻辑炸弹时间逻辑炸弹”事件；事件；换流站控制系统感染病毒事件；换流站控制系统感染病毒事件；2022年6月22日3 20002000年四川某水电站无故全厂停机造成川西电网年四川某水电站无故全厂停机造成川西电网瞬间缺电瞬间缺电8080万仟瓦引起电网大面积停电。其根源万仟瓦引起电网大面积停电。其根源估计是厂内估计是厂内MISMIS系统与电站的控制系统无任何防护系统与电站的控制系统无任何防护措施的互连，引起有意或无意的控制操作导致停措施的互连，引起有意或无
2、意的控制操作导致停机。机。 20012001年年9 9、1010月间，安装在全国月间，安装在全国147147座变电站的银座变电站的银山公司生产的录波器的频频山公司生产的录波器的频频“出事出事”，出现不录，出现不录波或死机现象，严重影响高压电网安全运行。事波或死机现象，严重影响高压电网安全运行。事后分析结论是该录波器中人为设置了后分析结论是该录波器中人为设置了“时间限制时间限制”或或“时间逻辑炸弹时间逻辑炸弹”。2022年6月22日4 20032003年年8 8月月1414日美国加拿大的停电事故震惊世界，事故扩日美国加拿大的停电事故震惊世界，事故扩大的直接原因是两个控制中心的自动化系统故障。若黑
3、客大的直接原因是两个控制中心的自动化系统故障。若黑客攻击将会引起同样的灾难性后果。攻击将会引起同样的灾难性后果。这次这次“814814”美国、加拿美国、加拿大大停电造成大大停电造成300300亿美圆的损失及社会的不安定。由此可亿美圆的损失及社会的不安定。由此可说明电力系统的重要性。说明电力系统的重要性。 20032003年年1212月龙泉、政平、鹅城、荆州等换流站受到计算机月龙泉、政平、鹅城、荆州等换流站受到计算机病毒的攻击。病毒的攻击。 几年来我国不少基于几年来我国不少基于WINDOWS-NTWINDOWS-NT的电力二次系统的计算机的电力二次系统的计算机系统系统, ,程度不同的受到计算机病
4、毒的攻击。造成了业务损程度不同的受到计算机病毒的攻击。造成了业务损失和经济损失。值得我们严重的关注。失和经济损失。值得我们严重的关注。 有攻击就必须有防护有攻击就必须有防护2022年6月22日5 调度数据网上：明文数据；调度数据网上：明文数据； 104104规约等的识别，着重保护规约等的识别，着重保护“控制报文控制报文”； 物理等原因造成的数据中断不是最危险的；物理等原因造成的数据中断不是最危险的；最危险的是旁路控制。最危险的是旁路控制。 窃听窃听 篡改篡改 伪造伪造2022年6月22日6优先级优先级风险风险说明说明/举例举例0旁路控制旁路控制（Bypassing Controls）入侵者对发
5、电厂、变电站发送非法控制命令，导致电力系统事故，甚至系统瓦解。1完整性破坏完整性破坏（Integrity Violation）非授权修改电力控制系统配置或程序；非授权修改电力交易中的敏感数据。2违反授权违反授权（Authorization Violation）电力控制系统工作人员利用授权身份或设备，执行非授权的操作。3工作人员的随意行为工作人员的随意行为（Indiscretion）电力控制系统工作人员无意识地泄漏口令等敏感信息，或不谨慎地配置访问控制规则等。4拦截拦截/篡改篡改（Intercept/Alter）拦截或篡改调度数据广域网传输中的控制命令、参数设置、交易报价等敏感数据。5非法使用非
6、法使用（Illegitimate Use）非授权使用计算机或网络资源。6信息泄漏信息泄漏（Information Leakage）口令、证书等敏感信息泄密。7欺骗欺骗（Spoof）Web服务欺骗攻击；IP 欺骗攻击。8伪装伪装(Masquerade)入侵者伪装合法身份，进入电力监控系统。9拒绝服务拒绝服务（Availability, e.g. DoS）向电力调度数据网络或通信网关发送大量雪崩数据，造成拒绝服务。10窃听窃听（Eavesdropping, e.g. Data Confidentiality）黑客在调度数据网或专线通道上搭线窃听明文传输的敏感信息，为后续攻击准备数据。2022年6月
7、22日7 国家经贸委国家经贸委20022002第第 30 30 号令：号令：电网和电厂计算机监控系统及调度数据网络安电网和电厂计算机监控系统及调度数据网络安全防护规定全防护规定。于。于20022002年年5 5月月8 8日公布，自日公布，自 2002 2002 年年 6 6 月月 8 8 日起施行。日起施行。 国家电力监管委员会第国家电力监管委员会第 5 5 号令：号令：电力二次系统安全防护规定电力二次系统安全防护规定于于 2004 2004 年年 12 12 月月 20 20 日公布，自日公布，自 2005 2005 年年 2 2 月月 1 1 日起施行。日起施行。 2022年6月22日8
8、电力二次系统安全防护规定电力二次系统安全防护规定配套文件：配套文件： 电力二次系统安全防护总体方案电力二次系统安全防护总体方案 省级及以上调度中心二次系统安全防护方案省级及以上调度中心二次系统安全防护方案 地、县级调度中心二次系统安全防护方案地、县级调度中心二次系统安全防护方案 变电站二次系统安全防护方案变电站二次系统安全防护方案 发电厂二次系统安全防护方案发电厂二次系统安全防护方案 配电二次系统安全防护方案配电二次系统安全防护方案 2022年6月22日92022年6月22日10电力二次系统安全防护的目标电力二次系统安全防护的目标抵御黑客、病毒、恶意代码等通过各抵御黑客、病毒、恶意代码等通过各
9、种形式对系统发起的恶意破坏和攻击，种形式对系统发起的恶意破坏和攻击，特别是能够抵御集团式攻击，防止由特别是能够抵御集团式攻击，防止由此导致一次系统事故或大面积停电事此导致一次系统事故或大面积停电事故及二次系统的崩溃或瘫痪。故及二次系统的崩溃或瘫痪。 2022年6月22日11 实时子网 非实时子网 纵向加密认证装置 控控制制区区 (安安全全区区 I) 非非控控制制区区 (安安全全区区 II) 外部公共因特网 电力企业 数据网 防火墙 防火墙 纵向加密认证装置 纵向加密认证装置 纵向加密认证装置 控控制制区区 (安安全全区区 I) 非非控控制制区区 (安安全全区区 II) 防 火 墙 防 火 墙
10、专线 专专用用 安安全全 隔隔离离 装装置置 专专用用 安安全全 隔隔离离 装装置置 （正向型） （反向型） 生生产产控控制制大大区区 生生产产控控制制大大区区 管管理理信信息息大大区区 管管理理信信息息大大区区 专专用用 安安全全 隔隔离离 装装置置 专专用用 安安全全 隔隔离离 装装置置 （正向型） （反向型） 逻辑隔离设施 逻辑隔离设施 调度数据网 根据需要设立若干业务安全区 根据需要设立若干业务安全区 2022年6月22日12安全区安全区 I I 的典型系统的典型系统 调度自动化系统（调度自动化系统（SCADA/EMSSCADA/EMS）、广域相量测量系）、广域相量测量系统、统、 配电
11、网自动化系统、变电站自动化系统、发电厂配电网自动化系统、变电站自动化系统、发电厂自动监控系统、继电保护、安全自动控制系统、自动监控系统、继电保护、安全自动控制系统、低频低频/ /低压自动减载系统、负荷控制系统等。低压自动减载系统、负荷控制系统等。 典型特点：是电力生产的重要环节、安全防护的典型特点：是电力生产的重要环节、安全防护的重点与核心；直接实现对一次系统运行的实时监重点与核心；直接实现对一次系统运行的实时监控；控；纵向使用电力调度数据网络或专用通道。纵向使用电力调度数据网络或专用通道。2022年6月22日13安全区安全区 II II 的典型系统的典型系统 调度员培训模拟系统（调度员培训模
12、拟系统（DTSDTS）、水库调度自动化系）、水库调度自动化系统、继电保护及故障录波信息管理系统、电能量统、继电保护及故障录波信息管理系统、电能量计量系统、电力市场运营系统等。计量系统、电力市场运营系统等。 典型特点：所实现的功能为电力生产的必要环节；典型特点：所实现的功能为电力生产的必要环节；在线运行，但不具备控制功能；使用电力调度数在线运行，但不具备控制功能；使用电力调度数据网络，与控制区（安全区据网络，与控制区（安全区 I I）中的系统或功能）中的系统或功能模块联系紧密。模块联系紧密。2022年6月22日14安全区安全区 III III 的典型系统的典型系统 调度生产管理系统（调度生产管理
13、系统（DMISDMIS）、调度报表系统（日）、调度报表系统（日报、旬报、月报、年报）、雷电监测系统、气象报、旬报、月报、年报）、雷电监测系统、气象信息接入等。信息接入等。 典型特点：主要侧重于生产管理的系统典型特点：主要侧重于生产管理的系统2022年6月22日15安全区安全区 IV IV 的典型系统的典型系统 管理信息系统（管理信息系统（MISMIS）、办公自动化系统（）、办公自动化系统（OAOA）、）、客户服务系统等。客户服务系统等。 典型特点：纯管理的系统典型特点：纯管理的系统电力二次系统安全防护总体示意图电力二次系统安全防护总体示意图 上级调度/控制中心下级调度/控制中心上级信息中心下级
14、信息中心实时VPN SPDnet 非实时VPNIP认证加密装置安全区I(实时控制区)安全区II(非控制生产区)安全区III(生产管理区)安全区IV(管理信息区)外部公共因特网生产VPN SPTnet 管理VPN防火墙防火墙IP认证加密装置IP认证加密装置IP认证加密装置防火墙防火墙安全区I(实时控制区) 防火墙安全区II(非控制生产区)安全区III(生产管理区) 防火墙 防火墙安全区IV(管理信息区)专线正 向专 用安 全隔 离装置反 向专 用安 全隔 离装置正 向专 用安 全隔 离装置反 向专 用安 全隔 离装置 防火墙 防火墙 防火墙2022年6月22日17 电力调度数据网应当在专用通道上
15、使用独立电力调度数据网应当在专用通道上使用独立的网络设备组网，采用基于的网络设备组网，采用基于SDH/PDHSDH/PDH上的不同通道、上的不同通道、不同光波长、不同纤芯等方式，在物理层面上实不同光波长、不同纤芯等方式，在物理层面上实现与电力企业其它数据网及外部公共信息网的安现与电力企业其它数据网及外部公共信息网的安全隔离。电力调度数据网划分为逻辑隔离的实时全隔离。电力调度数据网划分为逻辑隔离的实时子网和非实时子网，分别连接控制区和非控制区。子网和非实时子网，分别连接控制区和非控制区。子网之间可采用子网之间可采用MPLS-VPNMPLS-VPN技术、安全隧道技术、技术、安全隧道技术、PVCPV
16、C技术或路由独立技术等来构造子网。电力调度技术或路由独立技术等来构造子网。电力调度数据网是电力二次安全防护体系的重要网络基础。数据网是电力二次安全防护体系的重要网络基础。2022年6月22日182022年6月22日19 物理隔离装置（正向型/反向型）2022年6月22日20横向隔离装置横向隔离装置 必须通过公安部安全产品销售许可，获得国家指定机构安必须通过公安部安全产品销售许可，获得国家指定机构安全检测证明，用于厂站的设备还需通过电力系统电磁兼容全检测证明，用于厂站的设备还需通过电力系统电磁兼容检测。检测。 专用横向单向安全隔离装置按照数据通信方向分为正向型专用横向单向安全隔离装置按照数据通信
17、方向分为正向型和反向型。和反向型。 正向安全隔离装置用于生产控制大区到管理正向安全隔离装置用于生产控制大区到管理信息大区的非网络方式的单向数据传输。反向安全隔离装信息大区的非网络方式的单向数据传输。反向安全隔离装置用于从管理信息大区到生产控制大区单向数据传输，是置用于从管理信息大区到生产控制大区单向数据传输，是管理信息大区到生产控制大区的唯一数据传输途径。管理信息大区到生产控制大区的唯一数据传输途径。 严格禁止严格禁止 E-MailE-Mail、WebWeb、TelnetTelnet、RloginRlogin、FTP FTP 等通用网等通用网络服务和以络服务和以 B/S B/S 或或 C/S
18、C/S 方式的方式的数据库访问穿越专用横向单向安全隔离装置，仅允许纯数数据库访问穿越专用横向单向安全隔离装置，仅允许纯数据的单向安全传输。据的单向安全传输。关键技术关键技术- -正向型专用安全隔离装置正向型专用安全隔离装置内网外网内部应用网关外部应用网关1、采用非采用非INTELINTEL指令系统的（及兼容）双微处理器。指令系统的（及兼容）双微处理器。2 2、特别配置、特别配置LINUXLINUX内核，取消所有网络功能，安全、固化的的操作系统。抵内核，取消所有网络功能，安全、固化的的操作系统。抵御除御除DoSDoS以外的已知的网络攻击。以外的已知的网络攻击。3 3、非网络方式的内部通信，支持安
19、全岛、非网络方式的内部通信，支持安全岛, , 保证装置内外两个处理系统不同保证装置内外两个处理系统不同时连通。时连通。4 4、透明监听方式，虚拟主机、透明监听方式，虚拟主机IPIP地址、隐藏地址、隐藏MACMAC地址，支持地址，支持NATNAT5 5、内设、内设MAC/IP/PORT/PROTOCOL/DIRECTIONMAC/IP/PORT/PROTOCOL/DIRECTION等综合过滤与访问控制等综合过滤与访问控制6 6、防止穿透性、防止穿透性TCPTCP联接。内外应用网关间的联接。内外应用网关间的TCPTCP联接分解成两个应用网关分联接分解成两个应用网关分别到装置内外两个网卡的两个别到装
20、置内外两个网卡的两个TCPTCP虚拟联接。两个网卡在装置内部是非网络虚拟联接。两个网卡在装置内部是非网络连接。连接。 7 7、单向联接控制。应用层数据完全单向传输，、单向联接控制。应用层数据完全单向传输，TCPTCP应答禁止携带应用数据。应答禁止携带应用数据。8 8、应用层解析，支持应用层特殊标记识别、应用层解析，支持应用层特殊标记识别9 9、支持身份认证、支持身份认证1010、灵活方便的维护管理界面、灵活方便的维护管理界面安全区安全区IIIIII到安全区到安全区I/III/II的的唯一唯一数据传递途径。数据传递途径。反向型专用隔离装置集中接收安全区反向型专用隔离装置集中接收安全区IIIIII
21、发向安全区发向安全区I/III/II的数据，进行签名验证、内容过滤、有效性检查等处的数据，进行签名验证、内容过滤、有效性检查等处理。处理后，转发给安全区理。处理后，转发给安全区I/III/II内部的接收程序。内部的接收程序。具体过程如下：具体过程如下：1.1.安全区安全区IIIIII内的数据发送端首先对需发送的数据签名，内的数据发送端首先对需发送的数据签名，然后发给反向型专用隔离装置；然后发给反向型专用隔离装置；2.2.专用隔离装置接收数据后，进行签名验证，并对数据专用隔离装置接收数据后，进行签名验证，并对数据进行内容过滤、有效性检查等处理；进行内容过滤、有效性检查等处理；3. 3. 将处理过
22、的数据转发给安全区将处理过的数据转发给安全区I/III/II内部的接收程序。内部的接收程序。24 安全区安全区、所连接的广域网为国家电力调所连接的广域网为国家电力调度数据网度数据网SPDnetSPDnet。SPDnetSPDnet为安全区为安全区、分分别提供二个逻辑隔离的别提供二个逻辑隔离的MPLS-VPNMPLS-VPN。安全区。安全区所连接的广域网为国家电力数据通信网所连接的广域网为国家电力数据通信网（SPTnetSPTnet），），SPDnetSPDnet与与SPTnetSPTnet物理隔离。物理隔离。 安全区安全区、接入接入SPDnetSPDnet时，应配置时，应配置纵向加纵向加密认证
23、装置密认证装置，实现远方通信的双向身份认证，实现远方通信的双向身份认证和数据加密。如暂时不具备条件或业务无此和数据加密。如暂时不具备条件或业务无此项要求，可以用硬件防火墙代替。安全区项要求，可以用硬件防火墙代替。安全区接入接入SPTnetSPTnet应配置硬件防火墙。应配置硬件防火墙。 2022年6月22日25 处于外部网络边界的通信网关（如通信服务器处于外部网络边界的通信网关（如通信服务器等）操作系统应进行安全加固，并配置数字证书。等）操作系统应进行安全加固，并配置数字证书。 传统的远动通道的通信目前暂不考虑网络安全传统的远动通道的通信目前暂不考虑网络安全问题。个别关键厂站的远动通道的通信可
24、采用线问题。个别关键厂站的远动通道的通信可采用线路加密器，但需由上级部门认可。路加密器，但需由上级部门认可。 经经SPDnetSPDnet的的RTURTU网络通道原则上不考虑传输中的网络通道原则上不考虑传输中的认证加密。个别关键厂站的认证加密。个别关键厂站的RTURTU网络通信可采用认网络通信可采用认证加密，但需由上级部门认可。证加密，但需由上级部门认可。 禁止安全区禁止安全区的纵向的纵向WEBWEB，允许安全区，允许安全区IIII的纵向的纵向WEBWEB服务。服务。 安全区安全区I I和安全区和安全区IIII的拨号访问服务原则上需要的拨号访问服务原则上需要认证、加密和访问控制。认证、加密和访
25、问控制。 2022年6月22日26纵向加密认证装置纵向加密认证装置/ /网关网关 加密认证装置位于电力控制系统的内部局域加密认证装置位于电力控制系统的内部局域网与电力调度数据网络的路由器之间，用于网与电力调度数据网络的路由器之间，用于安全区安全区I/III/II的广域网边界保护，可为本地安的广域网边界保护，可为本地安全区全区I/III/II提供一个网络屏障同时为上下级控提供一个网络屏障同时为上下级控制系统之间的广域网通信提供认证与加密服制系统之间的广域网通信提供认证与加密服务，实现数据传输的机密性、完整性保护。务，实现数据传输的机密性、完整性保护。 加密认证网关除具有加密认证装置的加密认证网关
26、除具有加密认证装置的全部功能外，还应实现应用层协议及报文内全部功能外，还应实现应用层协议及报文内容识别的功能。容识别的功能。 2022年6月22日27纵向加密认证网关和管理中心的部署纵向加密认证网关和管理中心的部署路由器路由器国家电力调度数据网络国家电力调度数据网络国家电力调度数据网络国家电力调度数据网络I/III/II级级级级调度中心调度中心调度中心调度中心管理终端管理终端纵向加密认证装置纵向加密认证装置国家电力调度数据网络国家电力调度数据网络调度中心调度中心调度中心调度中心管理中心2022年6月22日28 采用认证、加密、访问控制等技术措施实现数据采用认证、加密、访问控制等技术措施实现数据
27、的远方安全传输以及纵向边界的安全防护。在生的远方安全传输以及纵向边界的安全防护。在生产控制大区与广域网的纵向交接处应当设置经过产控制大区与广域网的纵向交接处应当设置经过国家指定部门检测认证的电力专用纵向加密认证国家指定部门检测认证的电力专用纵向加密认证装置或者加密认证网关及相应设施，实现双向身装置或者加密认证网关及相应设施，实现双向身份认证、数据加密和访问控制。管理信息大区应份认证、数据加密和访问控制。管理信息大区应采用硬件防火墙等安全设备接入电力企业数据网。采用硬件防火墙等安全设备接入电力企业数据网。纵向加密认证是电力二次安全防护体系的纵向防纵向加密认证是电力二次安全防护体系的纵向防线。线。
28、 传统的基于专用通道的通信不涉及网络安全问传统的基于专用通道的通信不涉及网络安全问题，可采用线路加密技术保护关键厂站及关键业题，可采用线路加密技术保护关键厂站及关键业务。务。 PKIPKI技术的介绍技术的介绍 对称密钥体制：是指加密密钥和解密密钥为同一密钥的密对称密钥体制：是指加密密钥和解密密钥为同一密钥的密码体制。因此，信息发送者和信息接收者在进行信息的传码体制。因此，信息发送者和信息接收者在进行信息的传输与处理时，必须共同持有该密码（称为对称密码）。通输与处理时，必须共同持有该密码（称为对称密码）。通常常, , 密钥简短，使用的加密算法比较简便高效。密钥简短，使用的加密算法比较简便高效。
29、不对称密钥体制（公钥体制）：用户产生一对公不对称密钥体制（公钥体制）：用户产生一对公/ /私密钥，私密钥，向外界公开的密钥为公钥；自己保留的密钥为私钥。向外界公开的密钥为公钥；自己保留的密钥为私钥。 加密过程：信息发送者以信息接收者的公钥加密信息加密过程：信息发送者以信息接收者的公钥加密信息, ,信信息接收者以其私钥解密这加密信息。又称为公钥加密技术。息接收者以其私钥解密这加密信息。又称为公钥加密技术。 认证过程：信息发送者以自己的私钥加密信息，信息接收认证过程：信息发送者以自己的私钥加密信息，信息接收者以信息发送者的公钥解密这加密信息。因为任何人都可者以信息发送者的公钥解密这加密信息。因为任
30、何人都可以用信息发送者的公钥解密这加密信息，但只有知道信息以用信息发送者的公钥解密这加密信息，但只有知道信息发送者私钥的人才能发出此加密信息。发送者私钥的人才能发出此加密信息。安安全防护要求全防护要求在生产控制大区与管理信息大区之间必在生产控制大区与管理信息大区之间必须设置经国家指定部门检测认证的电力须设置经国家指定部门检测认证的电力专用横向单向安全隔离装置。生产专用横向单向安全隔离装置。生产控制大区内部的安全区之间应当采用具控制大区内部的安全区之间应当采用具有访问控制功能的设备、防火墙或者相有访问控制功能的设备、防火墙或者相当功能的设施，实现逻辑隔离。当功能的设施，实现逻辑隔离。在生产控制大
31、区与广域网的纵向交接处在生产控制大区与广域网的纵向交接处应当设置经过国家指定部门检测认证的应当设置经过国家指定部门检测认证的电力专用纵向加密认证装置或者加密认电力专用纵向加密认证装置或者加密认证网关及相应设施。证网关及相应设施。安安全防护要求全防护要求 安全区边界应当采取必要的安全防护措安全区边界应当采取必要的安全防护措施，禁止任何穿越生产控制大区和管理施，禁止任何穿越生产控制大区和管理信息大区之间边界的通用网络服务。信息大区之间边界的通用网络服务。生产控制大区中的业务系统应当具有高生产控制大区中的业务系统应当具有高安全性和高可靠性，禁止采用安全风险安全性和高可靠性，禁止采用安全风险高的通用网
32、络服务功能。高的通用网络服务功能。依照电力调度管理体制建立基于公钥技依照电力调度管理体制建立基于公钥技术的分布式电力调度数字证书系统，生术的分布式电力调度数字证书系统，生产控制大区中的重要业务系统应当采用产控制大区中的重要业务系统应当采用认证加密机制。认证加密机制。各安全区内部安全防护的基本要求（一）各安全区内部安全防护的基本要求（一）对安全区对安全区及安全区及安全区的要求：的要求： 禁止安全区禁止安全区/内部的内部的E-MAILE-MAIL服务。安全区服务。安全区不允许不允许存在存在WEBWEB服务器及客户端。服务器及客户端。 允许安全区允许安全区内部及纵向（即上下级间）内部及纵向（即上下级
33、间）WEBWEB服务。但服务。但WEBWEB浏览工作站与浏览工作站与IIII区业务系统工作站不得共用，而且区业务系统工作站不得共用，而且必须业务系统向必须业务系统向WEBWEB服务器单向主动传送数据。服务器单向主动传送数据。 安全区安全区/的重要业务（如的重要业务（如SCADASCADA、电力交易）应该、电力交易）应该采用认证加密机制。采用认证加密机制。 安全区安全区/内的相关系统间必须采取访问控制等安全内的相关系统间必须采取访问控制等安全措施。措施。 对安全区对安全区/进行拨号访问服务，必须采取认证、加进行拨号访问服务，必须采取认证、加密、访问控制等安全防护措施。密、访问控制等安全防护措施。
34、 安全区安全区/应该部署安全审计措施，如应该部署安全审计措施，如IDSIDS等。等。 安全区安全区/必须采取防恶意代码措施。必须采取防恶意代码措施。对安全区对安全区要求：要求： 安全区安全区允许开通允许开通EMAILEMAIL、WEBWEB服务。服务。 对安全区对安全区拨号访问服务必须采取访问控制等安全防拨号访问服务必须采取访问控制等安全防护措施。护措施。 安全区安全区应该部署安全审计措施，如应该部署安全审计措施，如IDSIDS等。等。 安全区安全区必须采取防恶意代码措施。必须采取防恶意代码措施。对安全区对安全区不做详细要求。不做详细要求。其它安全措施其它安全措施防病毒措施：防病毒措施：病毒防
35、护是调度系统与网络必须的安全病毒防护是调度系统与网络必须的安全措施。建议病毒的防护应该覆盖所有安全区措施。建议病毒的防护应该覆盖所有安全区I I、IIII、IIIIII的主机与工作站。病毒特征码要求必须以离线的的主机与工作站。病毒特征码要求必须以离线的方式及时更新。方式及时更新。应当及时更新特征码，查看查杀记录。应当及时更新特征码，查看查杀记录。禁止生产控制大区与管理信息大区共用一套防恶意代禁止生产控制大区与管理信息大区共用一套防恶意代码管理服务器。码管理服务器。 对于生产控制大区统一部署一套内网对于生产控制大区统一部署一套内网审计系统或入侵检测系统（审计系统或入侵检测系统（IDSIDS），其
36、安全策略的设），其安全策略的设置重在捕获网络异常行为、分析潜在威胁以及事后安置重在捕获网络异常行为、分析潜在威胁以及事后安全审计，不宜使用实时阻断功能。禁止使用入侵检测全审计，不宜使用实时阻断功能。禁止使用入侵检测与防火墙的联动。考虑到调度业务的可靠性，采用基与防火墙的联动。考虑到调度业务的可靠性，采用基于网络的入侵检测系统（于网络的入侵检测系统（NIDSNIDS），其），其 IDS IDS 探头主要探头主要部署在：横向、纵向边界以及重要系统的关键应用网部署在：横向、纵向边界以及重要系统的关键应用网段。段。 其它安全措施其它安全措施使用安全加固的操作系统：使用安全加固的操作系统： 能量管理系统
37、能量管理系统 SCADA/EMSSCADA/EMS、变电站自动化系统、电厂、变电站自动化系统、电厂监控系统、配电网自动化系统、电力市场运营系统等监控系统、配电网自动化系统、电力市场运营系统等关键应用系统的主服务器，以及网络边界处的通信网关键应用系统的主服务器，以及网络边界处的通信网关、关、Web Web 服务器等，应该使用安全加固的操作系统。服务器等，应该使用安全加固的操作系统。主机加固方式包括：安全配置、安全补丁、采用专用主机加固方式包括：安全配置、安全补丁、采用专用软件强化操作系统访问控制能力、以及配置安全的应软件强化操作系统访问控制能力、以及配置安全的应用程序。用程序。 关键应用系统采用
38、电力调度数字证书：关键应用系统采用电力调度数字证书： 能量管理系统、厂站端生产控制系统、电能量计量系能量管理系统、厂站端生产控制系统、电能量计量系统及电力市场运营系统等业务系统，应当逐步采用电统及电力市场运营系统等业务系统，应当逐步采用电力调度数字证书，对用户登录本地操作系统、访问系力调度数字证书，对用户登录本地操作系统、访问系统资源等操作进行身份认证，根据身份与权限进行访统资源等操作进行身份认证，根据身份与权限进行访问控制，并且对操作行为进行安全审计。问控制，并且对操作行为进行安全审计。 其它安全措施其它安全措施远程拨号访问的防护策略：远程拨号访问的防护策略： 通过远程拨号访问生产通过远程拨
39、号访问生产控制大区时，要求远方用户使用安全加固的操作系统控制大区时，要求远方用户使用安全加固的操作系统平台，结合调度数字证书技术，进行登录认证和访问平台，结合调度数字证书技术，进行登录认证和访问认证。认证。 对于远程用户登录到本地系统中的操作行为，应该进对于远程用户登录到本地系统中的操作行为，应该进行严格的安全审计。行严格的安全审计。 安全审计：安全审计：生产控制大区应当具备安全审计功能，可生产控制大区应当具备安全审计功能，可对网络运行日志、操作系统运行日志、数据库访问日对网络运行日志、操作系统运行日志、数据库访问日志、业务应用系统运行日志、安全设施运行日志等进志、业务应用系统运行日志、安全设
40、施运行日志等进行集中收集、自动分析，及时发现各种违规行为以及行集中收集、自动分析，及时发现各种违规行为以及病毒和黑客的攻击行为。病毒和黑客的攻击行为。 2022年6月22日37 数据与系统备份数据与系统备份 对关键应用的数据与应用系统进行备份，确保数据对关键应用的数据与应用系统进行备份，确保数据损坏、系统崩溃情况下快速恢复数据与系统的可用损坏、系统崩溃情况下快速恢复数据与系统的可用性。性。 设备备用设备备用 对关键主机设备、网络的设备与部件进行相应的热对关键主机设备、网络的设备与部件进行相应的热备份与冷备份，避免单点故障影响系统可靠性。备份与冷备份，避免单点故障影响系统可靠性。 异地容灾异地容
41、灾 对实时控制系统、电力市场交易系统，在具备条件对实时控制系统、电力市场交易系统，在具备条件的前提下进行异地的数据与系统备份，提供系统级的前提下进行异地的数据与系统备份，提供系统级容灾功能，保证在规模灾难情况下，保持系统业务容灾功能，保证在规模灾难情况下，保持系统业务的连续性的连续性。其它安全措施其它安全措施安全评估技术：安全评估技术：所有系统均需进行投运前的所有系统均需进行投运前的及运行期间的定期评估。已投运的系统要求及运行期间的定期评估。已投运的系统要求进行安全评估，新建设的系统必须经过安全进行安全评估，新建设的系统必须经过安全评估合格后方可投运评估合格后方可投运, ,运行期间的定期评估运
42、行期间的定期评估. . 拨号认证装置远动通道拨号诊断服务变变电电站站二二次次系系统统安安全全部部署署图图P3P2P1外部公共网外部公共网P5P4MIS系统安安全全区区2 2故障录波电能量计量P6SPDnet实时 VPN / 非实时VPNRAS安安全全区区1 1五防系统 保护设置 生产管理系统P7安安全全区区3安安全全区区4调度中心P10 IP认证加密装置 防火墙 监控系统 防火墙 生产 VPN / 信息 VPNSPTnet其他信息中心P9P8防火墙 安控装置 保护管理专用安全隔离装置（正向） 有的变电站具有电有的变电站具有电力数据通信网力数据通信网SPTnet和生产管理和生产管理系统系统MIS
43、系统，属于系统，属于安全区安全区、的子系的子系统。统。对于分层分布式的对于分层分布式的变电站自动化系统，变电站自动化系统，由于其核心部分（测由于其核心部分（测控单元）是利用串行控单元）是利用串行非网络通信传递数据，非网络通信传递数据，与站控层局域网是通与站控层局域网是通过中间层前置单元在过中间层前置单元在逻辑上进行隔离的，逻辑上进行隔离的，可以认为无安全风险。可以认为无安全风险。SCADA服务器工作站历史数据服务器PAS服务器对内网关EMSEMS系统物理边界及安全部署示意系统物理边界及安全部署示意系统物理边界及安全部署示意系统物理边界及安全部署示意安全区安全区IIPI4PI4PI4PI4通信网
44、关PI3PI3PI3PI3GPS/频率计数据采集网关PI2PI2PI2PI2拨号维护服务RASRASPI1PI1PI1PI1拨号认证加密装置安全区安全区I其它SCADA /EMS系统厂站监控系统专用通道连接RTU接入交换机区内交换机安全SCADAWEB服务DTS系统SPDnet实时VPNIP认证加密装置终端服务器*终端服务器*：泛指终端服务器及传统的前置机纵向网络边界的安全纵向网络边界的安全防护措施：防护措施： 对外通信网关必须通对外通信网关必须通过过具备逻辑隔离功能具备逻辑隔离功能的接入交换机接入的接入交换机接入部署部署IPIP认证加密装置认证加密装置（位于（位于SPDnetSPDnet的实
45、时的实时VPNVPN与接入交换机之间）与接入交换机之间）横向网络边界的安横向网络边界的安全防护措施：全防护措施：对内网关对内网关必须通过必须通过具具备逻辑隔离功能的区备逻辑隔离功能的区内交换机接入内交换机接入（若（若交交换机不具备逻辑隔离换机不具备逻辑隔离功能时功能时，建议部署硬建议部署硬件防火墙）件防火墙）；安全区安全区与与安全区安全区之间必须部署硬件防之间必须部署硬件防火墙（经有关部门认火墙（经有关部门认定核准）定核准）。安安全全区区III信信息息管管理理、发发布布信信息息管管理理、发发布布E-Mail用户Web服务器Web用户电力信息系统 安安全全区区II保护、故录系统水调自动化系统电力
46、交易系统安安全全区区I信信息息采采集集、信信息息采采集集、存存储储、检检索索、存存储储、检检索索、数数据据挖挖掘掘数数据据挖挖掘掘终终端端用用户户终终端端用用户户文件服务雷电监测气象卫星云图计划日报早报安安全全区区I安安全全区区IIWEB调调度度中中心心安安全全防防护护方方案案调调度度中中心心安安全全防防护护方方案案电能量计量系统安全Web服务器安全Web用户广域相量测量系统EMSLDAPIDS探头IDS探头IDS探头IDS探头IP认证加密装置IP认证加密装置PSTN / PSTN / 专专线线专专线线非非实实时时VPN实实时时VPNSPDnet管管理理VPN生生产产VPNSPTnet反向型正
47、向型系系统统外外单单位位系系统统内内单单位位安安 全全 管管 理理国家电力监管委员会负责电力二次系统安全国家电力监管委员会负责电力二次系统安全防护的监管，制定电力二次系统安全防护技防护的监管，制定电力二次系统安全防护技术规范并监督实施。术规范并监督实施。电力企业应当按照电力企业应当按照“谁主管谁负责，谁运营谁主管谁负责，谁运营谁负责谁负责”，的原则，建立健全电力二次系统，的原则，建立健全电力二次系统安全管理制度，将电力二次系统安全防护工安全管理制度，将电力二次系统安全防护工作及其信息报送纳入日常安全生产管理体系，作及其信息报送纳入日常安全生产管理体系，落实分级负责的责任制。落实分级负责的责任制
48、。电力调度机构负责直接调度范围内的下一级电力调度机构负责直接调度范围内的下一级电力调度机构、变电站、发电厂输变电部分电力调度机构、变电站、发电厂输变电部分的二次系统安全防护的技术监督，发电厂内的二次系统安全防护的技术监督，发电厂内其他二次系统可由其上级主管单位实施技术其他二次系统可由其上级主管单位实施技术监督。监督。安安 全全 管管 理理建立电力二次系统安全评估制度，采取以自建立电力二次系统安全评估制度，采取以自评估为主、联合评估为辅的方式，将电力二评估为主、联合评估为辅的方式，将电力二次系统安全评估纳入电力系统安全评价体系。次系统安全评估纳入电力系统安全评价体系。对生产控制大区安全评估的所有
49、记录、数据、对生产控制大区安全评估的所有记录、数据、结果等，应按国家有关要求做好保密工作。结果等，应按国家有关要求做好保密工作。建立健全电力二次系统安全的联合防护和应建立健全电力二次系统安全的联合防护和应急机制，制定应急预案。电力调度机构负责急机制，制定应急预案。电力调度机构负责统一指挥调度范围内的电力二次系统安全应统一指挥调度范围内的电力二次系统安全应急处理。当电力生产控制大区出现安全急处理。当电力生产控制大区出现安全事件，尤其是遭受黑客或恶意代码的攻击时，事件，尤其是遭受黑客或恶意代码的攻击时，应当立即向其上级电力调度机构报告，并联应当立即向其上级电力调度机构报告，并联合采取紧急防护措施，
50、防止事件扩大，同时合采取紧急防护措施，防止事件扩大，同时注意保护现场，以便进行调查取证。注意保护现场，以便进行调查取证。安安 全全 管管 理理电力二次系统相关设备及系统的开发单位、供应商应电力二次系统相关设备及系统的开发单位、供应商应以合同条款或保密协议的方式保证其所提供的设备及以合同条款或保密协议的方式保证其所提供的设备及系统符合本规定的要求，并在设备及系统的生命周期系统符合本规定的要求，并在设备及系统的生命周期内对此负责。电力二次系统专用安全产品的开发内对此负责。电力二次系统专用安全产品的开发单位、使用单位及供应商，应当按国家有关要求做好单位、使用单位及供应商，应当按国家有关要求做好保密工
