基于等保-2.0的火电厂DCS网络防护方案探讨.pdfVIP

科技创新

基于等保2.0的火电厂DCS网络防护方案探讨

黄启东

（浙江浙能嘉华发电有限公司，浙江嘉兴314201）

摘要：DCS控制系统即分散控制系统，其融合了控制技术、计算机技术、通讯技术、CRT技术，是一种控制功能分散、操作显示集中、

结构分级的工业控制系统，在电力、石化、冶金等行业的过程控制中得到了广泛的应用。随着2019年《信息安全技术网络安全等级保护基

本要求》（简称等保2.0）的颁布，工业控制系统和云计算、移动互联、物联网一起被列为特定的等级保护对象。针对DCS控制系统在火电

厂的应用情况，并结合等保2.0的相关要求，从技术、管理等方面提出了大型火电厂DCS网络安全防护方案。

关键词：DCS；等保2.0

随着计算机和通讯技术的发展，DCS控制系统也得到了快速的平台。有些控制系统投运时间较早，计算机仍在使用WindowsXP等

发展，在工业制造和市政等不同领域得到了广泛应用。DCS系统往系统，存在较大的安全风险。

往采用TCP/IP协议、OPC协议等通用协议和一些通用网络设备，一1.2.2缺少防恶意代码软件

方面给系统带来了开放性、便利性，另一方面也给系统带来了网络在早期投运的DCS系统缺少杀毒软件等防恶意代码软件，即使

安全方面的诸多威胁。2010年，“震网病毒”感染了全球4.5万多布置了杀毒软件也很少及时更新病毒库。近年来，大部分DCS厂家

个网络，甚至通过移动介质携带进入了“孤岛”运行的伊朗核设施推出了“白名单”防护软件，一定程度上防止了恶意代码的入侵。

控制系统，摧毁了多台离心机，给工控网络安全敲响了警钟。20151.2.3主机加固不全

年的乌克兰电网受到攻击事件则再一次展示了工控系统一旦被攻击工程师站、操作员站等上位机主机加固不全，主要体现在安全

破坏后带来的巨大损失和影响。策略、审计策略设置不完整，网络共享、telnet等部分高风险服务

在此背景下，等保2.0的颁布给工控安全提出了明确的要求和开启，部分高风险端口未关闭等。

建议，为工控网络安全防护工作的开展指引了方向。根据相关规定，1.2.4网口、USB等端口管理不规范

大型火力发电厂的DCS系统必须满足等保2.0第三级要求。本文介DCS系统的上位机、交换机等设备，无业务网口、USB口等没有

绍了大型火力电厂的DCS运行现状，分析了网络安全方面存在的隐关闭功能，存在通过该端口入侵的风险。

患，并提出了DCS网络安全防护方案。1.2.5机组间网络未隔离

1火电厂典型DCS网络结构和风险单元机组网络与公用系统网络直接连接至核心交换机，无任何

1.1DCS系统结构隔离措施。

目前火电厂使用的DCS系统一般采用以太网结构，系统结构如1.2.6DCS系统与SIS系统未隔离。

图1所示。对于火电厂来说，DCS系统网络一般只与SIS系统网络连接，

图1是以2台单元发电机组为例的DCS网络结构图，1号、2号做好这两个系统的隔离至关重要。很多电厂认为SIS接口机与服务

发电机组的控制系统组成一个网络,2台机组公用设备也组成一套独器之间已有隔离，在DCS系统OPC接口机与SIS接口机之间