电力二次系统防护培训.ppt

* * 安全区Ⅲ的防护要求 安全区Ⅲ允许开通EMAIL、WEB服务。 对安全区Ⅲ拨号访问服务必须采取访问控制等安全防护措施。 安全区Ⅲ应该部署安全审计措施，边界上应部署入侵检测系统，如IDS等。 安全区Ⅲ必须采取防恶意代码措施。 * * 电力二次系统四安全区拓扑结构 电力二次系统四安全区的拓扑结构有三种模式，这三种模式均能满足电力二次系统安全防护体系的要求。 * 电力二次系统 安全防护培训 * * 电力系统安全防护体系 全国 全世界 非实时 调度生产系统 准实时 非实时 实时控制系统 电力信息系统 社会 电力 调度 * * 电力二次系统逻辑结构 * * 电力二次系统安全防护总体策略 安全分区 ：根据系统中业务的重要性和对一次系统的影响程度进行分区，所有系统都必须置于相应的安全区内；对实时控制系统等关键业务采用认证、加密等技术实施重点保护。 网络专用 ：建立调度专用数据网络，实现与其它数据网络物理隔离。并以技术手段在专网上形成多个相互逻辑隔离的子网，以保障上下级各安全区的纵向互联仅在相同安全区进行，避免安全区纵向交叉。 横向隔离 ：采用不同强度的安全隔离设备使各安全区中的业务系统得到有效保护，关键是将实时监控系统与办公自动化系统等实行有效安全隔离，隔离强度应接近或达到物理隔离。 纵向认证 ：采用认证、加密、访问控制等手段实现数据的远方安全传输以及纵向边界的安全防护。 * * 电力二次系统的安全区划分 安全区Ⅰ：实时控制区 安全区Ⅱ：非控制生产区 安全区Ⅲ：生产管理区 安全区Ⅳ：管理信息区 * * 安全区Ⅰ：实时控制区 安全区Ⅰ中的业务系统或功能模块的典型特征为直接实现实时监控功能，是电力生产的重要必备环节，系统实时在线运行，使用调度数据网络或专用通道。 安全区Ⅰ的典型系统包括调度自动化系统、广域相量测量系统、配电自动化系统、变电站自动化系统、发电厂自动监控系统等，其主要使用者为调度员和运行操作人员，数据实时性为秒级，外部边界的通信经由电力调度数据网SPDnet-VPN1。该区中还包括采用专用通道的控制系统，如：继电保护、安全自动控制系统、低频/低压自动减载系统、负荷控制系统等，这类系统对数据通信的实时性要求为毫秒级或秒级。 安全区Ⅰ是电力二次系统中最重要系统，安全等级最高，是安全防护的重点与核心。 * * 安全区Ⅱ：非控制生产区 安全区Ⅱ中的业务系统或功能模块的典型特征为：所实现的功能为电力生产的必要环节，但不具备控制功能，使用调度数据网络，在线运行，与安全区I中的系统或功能模块联系紧密。 安全区Ⅱ的典型系统包括调度员培训模拟系统（DTS）、水调自动化系统、继电保护及故障录波信息管理系统、电能量计量系统、批发电力交易系统等，其面向的主要使用者分别为电力调度员、水电调度员、继电保护人员及电力市场交易员等。 该区数据的实时性是分钟级、小时级，其外部通信边界为电力调度数据网SPDnet-VPN2。 * * 安全区Ⅲ：生产管理区 安全区III中的业务系统或功能模块的典型特征为：实现电力生产的管理功能，但不具备控制功能，不在线运行，可不使用电力调度数据网络，与调度中心或控制中心工作人员的桌面终端直接相关，与安全区IV的办公自动化系统关系密切。 该区的典型系统为调度生产管理系统（DMIS）、统计报表系统（日报、旬报、月报、年报）、雷电监测系统、气象信息接入等。 该区的外部通信边界为电力数据通信网SPTnet-VPN1。 * * 安全区Ⅳ：管理信息区 安全区IV中的业务系统或功能模块的典型特征为：实现电力信息管理和办公自动化功能，使用电力数据通信网络，业务系统的访问界面主要为桌面终端。 该区包括管理信息系统（MIS）、办公自动化系统（OA）、客户服务等。 该区的外部通信边界为SPTnet-VPN2及因特网。 * * 电网二次系统安全防护总体示意图 下级调度/控制中心 上级信息中心 下级信息中心 实时VPN SPDnet 非实时VPN IP认证加密装置 安全区I (实时控制区) 安全区II (非控制生产区) 安全区III (生产管理区) 安全区IV (管理信息区) 外部公共因特网 生产VPN SPTnet 管理VPN 防火墙 防火墙 IP认证加密装置 IP认证加密装置 IP认证加密装置 防火墙 防火墙 安全区I (实时控制区) 防火墙 安全区II (非控制生产区) 安全区III (生产管理区) 防火墙 防火墙 安全区IV (管理信息区) 专线 正向专用安全隔离装置 反向专用安全隔离装置 正向专用安全隔离装置 反向专用安全隔离装置 防火墙 防火墙 防火墙 * * 安全区之间的安全强度要求 安全区Ⅰ与安全区Ⅱ的业务系统都属电力生产系统，都采用电力调度数据网络