1　引言

隨著(zhù)熱工自動(dòng)化技術(shù)的不斷發(fā)展，工業(yè)以太網(wǎng)在控制網(wǎng)絡(luò )的不斷普及和應用，火力發(fā)電廠(chǎng)的主控系統與輔助車(chē)間的控制已脫離每個(gè)系統采用獨立控制的模式，而采用實(shí)時(shí)數據庫對控制系統的生產(chǎn)數據進(jìn)行集中采集并進(jìn)行存儲。信息化在電廠(chǎng)控制網(wǎng)絡(luò )的應用有效地提高了生產(chǎn)效率、降低發(fā)電生產(chǎn)成本、提升控制水平，但也使控制系統的信息安全面臨更大的威脅和挑戰，主控系統及輔控網(wǎng)絡(luò )的縱深防御體系亟待建立和完善。

2　電廠(chǎng)信息安全現狀分析

目前電廠(chǎng)的輔控網(wǎng)絡(luò )建設主要分為兩種拓撲結構，一種是樹(shù)形網(wǎng)絡(luò )，設置兩層控制網(wǎng)。上層網(wǎng)絡(luò )為輔助車(chē)間集中監控網(wǎng)（輔控網(wǎng)），下層為水網(wǎng)、煤網(wǎng)、灰網(wǎng)、脫硫四個(gè)車(chē)間級控制主干網(wǎng)，其他子系統直接連接輔控網(wǎng)；水網(wǎng)的鍋爐補給水處理系統、凝結水精處理系統、工業(yè)廢水程控系統、生活污水程控系統等集中連接至水網(wǎng)上層網(wǎng)絡(luò )，再連接至輔控網(wǎng)絡(luò )；輔控網(wǎng)絡(luò )內設有兩臺熱備的數據服務(wù)器，采集PLC的數據和現場(chǎng)儀表的數據，存儲和管理數據庫；多臺操作員站對輔控網(wǎng)絡(luò )下的各底層程控系統進(jìn)行集中監控。另一種是雙星型結構，主要由兩臺輔控網(wǎng)絡(luò )核心交換機和2N個(gè)終端子交換機組成（N代表輔助車(chē)間的數量）。這樣的網(wǎng)絡(luò )結構使通訊線(xiàn)路分為A、B兩個(gè)鏈路，兩個(gè)鏈路互為熱備用，相互獨立互不影響。各外圍的輔助控制系統均直接連至輔控網(wǎng)絡(luò )核心交換機，包括除灰控制系統、除渣控制系統、電除塵控制系統、脫硫控制系統、凝結水精處理及化學(xué)加藥取樣控制系統、空調制冷控制系統、空壓機控制系統、鍋爐補給水處理系統、化學(xué)水處理預脫鹽系統、制氫站、循環(huán)水加藥處理系統、工業(yè)廢水處理系統、輸煤控制系統等，由集中監控室進(jìn)行集中監控。

電廠(chǎng)主控車(chē)間、輔控網(wǎng)絡(luò )等的集中監控大大提高了控制系統的運維效率，也大大節約了人力成本，但同時(shí)也使得一個(gè)車(chē)間或節點(diǎn)的信息安全威脅對整個(gè)控制網(wǎng)絡(luò )的安全造成影響。早期電廠(chǎng)的控制系統鮮有信息安全事件出現，目前隨著(zhù)信息化的大力發(fā)展以及國際形勢的錯綜變化，電廠(chǎng)等國家基礎性能源企業(yè)的控制系統的信息安全事件頻繁發(fā)生。國內已經(jīng)有多家火力發(fā)電廠(chǎng)出現輔控網(wǎng)絡(luò )計算機和服務(wù)器感染病毒或者網(wǎng)絡(luò )風(fēng)暴等網(wǎng)絡(luò )問(wèn)題造成控制系統出現故障的情況發(fā)生。

3　行業(yè)政策導向

面對電力行業(yè)工業(yè)信息安全的嚴峻形勢，國家各部委紛紛出臺相關(guān)政策和措施推動(dòng)電力行業(yè)信息安全防護的發(fā)展，尤以2014年12月發(fā)布的國標GB/T 30976.1-2014《工業(yè)控制系統信息安全第1部分：評估規范》，GB/T 30976.2-2014《工業(yè)控制系統信息安全第2部分：驗收規范》，國家發(fā)改委2014年第14號令《電力監控系統安全防護規定》，國家能源局2015年第36號令《國家能源局關(guān)于印發(fā)電力監控系統安全防護總結方案等安全防護方案和評估規范的通知》等對行業(yè)信息安全的發(fā)展提出了指導性意見(jiàn)。國家能源局2015年36號文件附件4《發(fā)電廠(chǎng)監控系統安全防護方案》對火力發(fā)電企業(yè)的信息安全防護方案作了指導性意見(jiàn)，主要總結為以下幾點(diǎn)：

（1）生產(chǎn)控制大區與管理信息大區之間通信應當部署電力專(zhuān)用橫向單向安全隔離裝置。

（2）控制區與非控制區之間應當采用具有訪(fǎng)問(wèn)控制功能的網(wǎng)絡(luò )設備、安全可靠的硬件防火墻或者相當功能的設備，實(shí)現邏輯隔離、報文過(guò)濾、訪(fǎng)問(wèn)控制等功能。

（3）控制區內的各機組監控系統之間、機組監控系統與控制系統之間、同一機組的不同功能的監控系統之間，尤其是機組監控系統與輸變電部分控制系統之間，根據需要可以采取一定強度的邏輯訪(fǎng)問(wèn)控制措施，如防火墻、VLAN等。

（4）如果發(fā)電廠(chǎng)生產(chǎn)控制大區中的業(yè)務(wù)系統與環(huán)保、安全等政府部門(mén)進(jìn)行數據傳輸，其邊界防護采用防火墻、VPN和租用專(zhuān)線(xiàn)等方式。

（5）發(fā)電廠(chǎng)廠(chǎng)級監控系統等關(guān)鍵應用系統的主服務(wù)器，以及網(wǎng)絡(luò )邊界處的通信網(wǎng)關(guān)機、Web服務(wù)器等，應當采用安全加固的操作系統。加固方式包括：安全配置、安全補丁、采用專(zhuān)業(yè)軟件強化操作系統訪(fǎng)問(wèn)控制能力以及配置安全的應用程序。

4　基于縱深防御的電廠(chǎng)安全解決方案

依據國家能源局2015年36號文件的指示意見(jiàn)，青島海天煒業(yè)自動(dòng)化控制系統有限公司結合多年投身工業(yè)控制系統信息安全防護的經(jīng)驗和項目應用情況，總結出一套針對火力發(fā)電廠(chǎng)控制系統安全防護的解決方案。網(wǎng)絡(luò )拓撲防護簡(jiǎn)單示意圖如圖1所示。

（1）單向隔離。在實(shí)時(shí)監控信息系統與辦公網(wǎng)絡(luò )的接口部署電力專(zhuān)用單向隔離網(wǎng)閘，控制數據只能由SIS網(wǎng)絡(luò )流向MIS網(wǎng)絡(luò )，有效防止因特網(wǎng)的病毒侵入至電廠(chǎng)生產(chǎn)網(wǎng)絡(luò )，這一防護手段已在業(yè)內得到廣泛認可和應用。

（2）網(wǎng)絡(luò )安全。在各電子設備交換機之間與輔控網(wǎng)絡(luò )核心交換機之間，歷史數據站與實(shí)時(shí)數據庫之間部署Guard工業(yè)防火墻，實(shí)現各控制系統之間、SIS網(wǎng)絡(luò )與控制系統之間的安全隔離，利用“白名單”防護機制和實(shí)時(shí)報警來(lái)實(shí)現主動(dòng)防御來(lái)自上層信息網(wǎng)絡(luò )的攻擊，有效控制ARP攻擊，網(wǎng)絡(luò )異常流量以及網(wǎng)絡(luò )廣播對控制網(wǎng)絡(luò )造成的影響。

（3）終端防護。在集中監控室的操作員站，數據冗余服務(wù)器，各設備間的操作員站上部署Intrust可信計算安全平臺及客戶(hù)端，有效地對Windows XP系統停服后操作員的系統漏洞進(jìn)行防護，在系統級對USB傳輸介質(zhì)進(jìn)行識別和管控，在芯片級依賴(lài)可信計算技術(shù)對操作員站等PC終端進(jìn)行主機加固和防護，有效防止計算機后門(mén)程序、木馬、病毒、數據掃描、秘鑰數據塊攻擊以及黑客攻擊等多元化的風(fēng)險和信息安全威脅。

（4）安全審計。工控安全管理平臺SMP是專(zhuān)門(mén)針對工控網(wǎng)絡(luò )行為審計記錄的智能分析管理軟件，具備強大的審計日志存儲查詢(xún)功能?？梢詫Ａ康膶徲嫈祿M(jìn)行實(shí)時(shí)監控和網(wǎng)絡(luò )行為態(tài)勢分析，使系統安全運維人員能夠通過(guò)實(shí)時(shí)日志展示畫(huà)面隨時(shí)監控正在發(fā)生的不同級別審計日志和報警信息，也可以通過(guò)安全管理平臺的條件查詢(xún)、統計、篩選、圖表展示和態(tài)勢分析算法模型等強大的功能迅速判斷，得出網(wǎng)絡(luò )健康狀況，最終自動(dòng)獲得詳細的統計分析報告和事件處置方式建議，實(shí)現系統安全運維管理的實(shí)時(shí)性、完整性、自動(dòng)化、智能化。

圖1 網(wǎng)絡(luò )拓撲防護簡(jiǎn)單示意圖

5　結語(yǔ)

本文以縱深防御的防護理念為核心，結合國家能源局關(guān)于電廠(chǎng)信息安全的指導文件以及我公司在電廠(chǎng)安全防護的項目經(jīng)驗，推出一套基于單向隔離網(wǎng)閘、可信計算、Guard工業(yè)防火墻、SMP安全管理平臺的縱深防御的解決方案，實(shí)現了發(fā)電廠(chǎng)工業(yè)控制系統信息安全的縱深防御，能切實(shí)有效地保護工控系統遠離木馬、蠕蟲(chóng)、黑客等各種威脅和攻擊，保障企業(yè)生產(chǎn)安全穩定運行。

作者簡(jiǎn)介

向人鵬（1991-），男，工程師，畢業(yè)于青島科技大學(xué)計算機科學(xué)與技術(shù)專(zhuān)業(yè)，現就職于青島海天煒業(yè)自動(dòng)化控制系統有限公司，主要從事工業(yè)信息安全研究與實(shí)施，積累了豐富的工業(yè)信息安全項目施工經(jīng)驗，參與了電力二次防護、石油石化過(guò)程控制信息安全、管道遠程調度安全等多個(gè)行業(yè)相關(guān)信息安全項目解決方案的制定與實(shí)施。

摘自《工業(yè)控制系統信息安全專(zhuān)刊（第二輯）》