火電廠DCS控制系統的安全防護建議

DCS控制系統在電力行業有著廣泛的應用，是火電廠進行自動化控制最關鍵、最重要的系統。作為火電廠生產系統的神經中樞，DCS系統的安全穩定運行，對火電廠的安全生產起著決定性的作用。

DCS系統以微型計算機為基礎，綜合了計算機、通訊、顯示和控制等技術，由過程控制級和過程監控級組成，其主要特征是集中管理和分散控制。具體的，DCS系統由控制器、I/O模件、通信網絡、操作站、工程師站、歷史站、圖形及編程軟件等組成，其中通信網絡是DCS系統的紐帶和骨架。DCS控制系統采用控制分散，操作和管理集中的基本設計思想，采用多層分級、合作自治的結構形式。

自1975年問世以來，DCS系統得到迅速推廣和發展，目前在核心硬件的穩定性上已經達到了較高的水平。一個DCS系統控制器和I/O部件通常可以穩定運行16-20年，只有操作站因為有活動部件（如：硬盤、鍵盤、CRT、外部接口等）和軟件，進行相關更新的情況比較多。所以，火電廠DCS系統的不安全因素，主要集中在通訊網絡和操作站上面。

國家能源局在2015年2月4日印發了《電力監控系統安全防護總體方案》（俗稱36號文），規定火力發電廠以機組大小進行等保定級工作，單機容量在300MW及以上為3級，以下為2級。各火力發電企業應該按此要求對電廠電力監控系統開展等保定級和安全防護建設工作。隨后《中華人民共和國網絡安全法》于2017年6月1日正式執行，對于火力發電機組這類國家關鍵信息基礎設施，規定在等級保護的基礎上實行重點保護。

以單機容量300MW以上火電機組控制系統DCS為例，需要滿足電力行業信息系統安全等級保護三級標準要求，具體規范如下：

據以上等保三級的安全要求，對于DCS控制系統做出以下安全防護建議：

1、在DCS控制系統內部署入侵檢測系統，用于網絡內攻擊行為的檢測。入侵檢測系統很好的彌補了邊界隔離產品的不足，可有效監視交換機上的所有實時傳輸數據，提供全面專業入侵檢測能力，通過協議狀態檢查和智能關聯分析，為DCS系統用戶提供全面的信息展現和安全預警，為改善用戶網絡的風險控制環境提供決策依據，是整個網絡體系中不可或缺的一部分。

2、在DCS控制系統內部署安全監測與審計系統，它采用旁路部署對電廠生產過程“零風險”，基于對工業控制協議（如Modbus TCP、 OPC、Siemens S7、DNP3和IEC104等）的通信報文進行深度解析（DPI，Deep Packet Inspection），能夠實時檢測針對工業協議的網絡攻擊、用戶誤操作、用戶違規操作、非法設備接入以及蠕蟲、病毒等惡意軟件的傳播并實時報警，同時詳實記錄一切網絡通信行為，包括指令級的工業控制協議通信記錄，為工業控制系統的安全事故調查提供堅實的基礎。

3、在DCS控制系統部署安全運維管理系統，安全運維管理系統是集用戶（Account）管理、授權（Authorization）管理、認證（Authentication）管理和綜合審計（Audit）于一體的集中安全運維管理系統。該系統能夠為企業提供集中的管理平臺，減少系統維護工作量；能夠為企業提供全面的用戶和資源管理，減少企業的維護成本；能夠幫助企業制定嚴格的資源訪問策略，并且采用強身份認證手段，全面保障系統資源的安全；能夠詳細記錄用戶對資源的訪問及操作，滿足對用戶行為審計的需求。

4、在DCS控制系統的各操作員站、工程師站等主機部署主機安全防護軟件，對于DCS系統主機的病毒防護，目前主要使用“白名單”安全機制進行防護，“白名單”防護機制顛覆了傳統防病毒軟件的“黑名單”思想，采用與其相反的輕量級“白名單”機制，可以有效阻止包括震網病毒、Flame、Havex、BlackEnergy等在內的工控惡意程序或代碼在工控主機上的感染、執行和擴散。并且不存在誤殺、誤報等影響DCS控制系統正常運行的問題。

5、安全產品的集中管理，統一安全管理平臺是對DCS系統網絡中的安全產品及安全事件進行統一管理的軟硬件一體化系統。通過對控制網絡中的邊界隔離、網絡監測、主機防護等安全產品進行集中管理，實現對全網中各安全設備、系統及主機的統一配置、全面監控、實時告警、流量分析等，降低運維成本、提高事件響應效率。

?

以上防護方案中，全部安全產品為旁路部署，主機防護類產品使用“白名單”機制進行病毒防護，無需升級病毒庫，不存在誤殺誤報等問題。該方案對DCS網絡自身安全運行無影響，在此基礎上提升了DCS控制系統的安全防護能力，達到了電力監控系統等級保護三級對DCS網絡的防護要求。

通過以上方案我們可以看到，采取合理的安全策略和防護手段，是完全可以在保證DCS系統原有運行機制的基礎上，既保證DCS控制系統安全穩定運行，又能很好地落實和執行《電力監控系統安全防護總體方案》對DCS網絡和操作站等組成要素的安全防護要求，解決業主單位對新增安全防護產品可能干擾DCS系統穩定運行的顧慮。

三中科技在電力監控系統的安全防護方案，已經得到了眾多業主單位的認可，積累了豐富的現場實施經驗。期待在包括DCS控制系統安全防護等相關領域，與更多業界同仁不斷探討，持續深入。