基于數字化電廠的工控安全防護研究

安康

摘? 要：數字化電廠隨著信息化的發展應運而生，數字化電廠憑借其高度信息化成為電廠建設的趨勢，數字化電廠的核心就是基于廠級監控系統提供的大數據分析技術，優化電廠參數，提高生產效率。高度信息化的數字化電廠需要更高的安全防護要求，數字化電廠工業控制自動化安全防護需要依靠大數據和人工智能等新型防護手段。該文對基于數字化電廠的工業控制自動化安全防護方案進行了深入探討和詳細設計。

關鍵詞：數字化? 工業控制? 大數據? 信息安全

中圖分類號：TM62? ? ? ? ? ? ? ? ? ? ? ? ?文獻標識碼：A文章編號：1672-3791（2021）05（a）-0048-05

Abstract： E-power plant emerges with the development of information technology， digital power plant because of its high information technology has become the trend of the construction of power plant， power plant is the core of digital data provide supervisory system based on the analysis， the optimization of plant parameters， improve production efficiency. Digital power plants with high informatization need higher safety protection requirements. Digital industrial control automation safety protection needs to rely on big data and artificial intelligence and other new protection measures. In this paper， the industrial control automation security protection scheme based on digital power plant is discussed and designed in detail.

Key Words： Digitization; Industrial control; Big data; Information safety

1? 數字化電廠建設現狀

數字化電廠起源于20世紀90年代，2000年我國開始引入數字化電廠概念，盧強院士給出了關于數字電力系統的定義：“它是某一實際運行的電力系統的物理結構、物理特性、技術性能、經濟管理、環保指標、人員狀況、科技活動等數字的、形象化的、實時的描述與再現?！苯ㄔO數字化電廠的最大目的就是使發電企業效益最大化[1]。

由于電廠 DCS系統采用的是模擬量、開光量、數字信號混合系統信號制，而且一般是單向的，無法將所有數據上傳到控制器，SIS（SIS：廠級監控系統）無法從DCS（DCS：分布式控制系統）獲取控制器實時運行數據，無法分析并且判斷DCS的運行狀態，也就無法提高電廠的運行效率，這就是數字化電廠建設的瓶頸[2]。2007年，我國在線仿真技術和現場總線控制系統研制成功，這標志著數字化電廠關鍵技術已經開發成功。數字化電廠的發展離不開現場總線控制系統，而FCS（FCS：現場總線控制系統）能夠完成現場控制設備級的數字化，將FCS和DCS以及SIS相結合就解決了DCS設備傳輸實時數據給SIS系統。

隨著信息化和大數據的不斷發展，讓SIS依托于大數據分析DCS現場實時數據成為可能，通過SIS分析結果建立模型，可以精確判斷DCS運行狀態并且實時展示。根據國際能源署（IEA）研究，每1%的發電效率提升意味著節省600億美元燃料。數字化電廠將上萬個傳感器放置在機組內，對他們傳輸的數據進行大數據分析。通過微調電廠參數，可提升電廠生產效率，每提升1.5%生產效率，每個百萬千瓦煤電廠每年減少煤炭消耗35 000 t，相當于為電廠 10年內增加2 000萬美元收入。

周口燃機為河南省、周口市“十三五”重點建設項目，周口燃機為2×450 MW燃氣—蒸汽聯合循環熱電廠 。其DCS以及輔控化水均由ABB公司（ABB：DCS生產廠家）提供，其1號機組計劃在2017年底投產運行。周口燃機也是國家電投河南省公司在河南省首家數字化電廠 。該文主要參考周口燃機進行數字化電廠工控安全防護研究。

2? 數字化電廠工控安全建設需求分析

隨著數字化電廠的不斷發展，基于數字化電廠的工控安全防護需要盡快提上議程。2017年6月1日正式實行的網絡安全法將能源行業列為關鍵基礎設施，需要重點考慮信息安全防護建設。電力行業關乎國計民生，數字化電廠又依托于高度信息化和大數據，更易遭受網絡攻擊。一旦數字化電廠工控系統遭到網絡攻擊將直接影響電力生產，造成短期電力緊缺，影響企事業單位和居民生產生活用電，還會對河南電網乃至華中電網造成影響，給發電企業帶來不可預估的經濟、名譽、政治影響。

數字化電廠的工控安全防護設計主要參考發改委14號令、國家能源局36號文、等級保護以及網絡安全法。周口燃機數字化電廠工控安全防護設計需要根據以上法律法規和電廠建設現狀。

3? 周口燃機數字化電廠工控安全防護方案設計

3.1 網絡現狀分析

周口燃機數字化電廠通過SIS向DCS獲取實時生產數據，然后通過SIS的大數據分析平臺進行分析和展示，進而優化電廠參數，從而達到提高電廠生產效率的目的。

周口燃機數字化電廠采用大數據方式分析DCS數據，其服務器數量要大大超過傳統電廠 ，周口燃機SIS服務器主要功能如下。

數據接入服務器：收集DCS接口機發來的數據，臨時數據儲存。

消息隊列服務器：獲取數據接入服務器數據，并進行分析整理，將其數據發到不同應用服務器中。一旦生產非控制區和管理信息大區網絡異常也可以臨時存儲數據。

實時處理服務器：將消息隊列服務器傳送來的數據進行計算分析。

應用服務器：存儲消息隊列服務器傳送數據和實時處理服務器處理數據。

存儲服務器：存儲消息隊列服務器發送的數據和實時處理服務器和應用服務器計算分析數據。

周口燃機數字化電廠通過這些服務器來進行大數據計算、分析和存儲，構建數字化電廠的大數據分析展示模型。用戶通過B/S、C/S、APP架構進行訪問，隨時隨地了解DCS運行狀態。

3.2 工控安全設計

根據發改委14號令、國能安全36號文以及等級保護和網絡安全法的要求，并結合周口燃機數字化電廠的建設現狀進行工控安全設計。

3.2.1 邊界安全設計

根據相應法律法規和周口燃機數字化電廠現狀，將周口燃機分為生產控制區、生產非控制區、管理信息大區、第三方邊界。其中，生產控制區和生產非控制區使用工業安全網關進行安全防護，生產非控制區和管理信息大區使用單向隔離網閘進行安全防護，管理信息大區和第三方邊界使用雙向隔離裝置進行安全防護[3-4]。

3.2.2 通訊安全設計

（1）入侵檢測設計。在生產非控制區核心交換機以及DCS和輔控系統上位機和下位機相連交換機旁路部署工控入侵檢測系統，檢測發現隱藏于流經網絡邊界正常信息流中的入侵行為， 分析潛在威脅并進行安全審計。（2）安全審計設計。在生產非控制區核心交換機以及DCS和輔控系統上位機和下位機相連交換機旁路部署工控安全審計系統，對操作系統、數據庫、業務應用的重要操作進行記錄、分析， 及時發現各種違規行為以及病毒和黑客的攻擊行為。（3）工控漏掃設計。在生產非控制區旁路部署一套工控安全漏洞掃描系統，該系統支持工業控制設備和傳統IT設備，定期對生產控制大區SIS以及DCS進行安全掃描，及時發現系統中存在的安全隱患。

3.2.3 終端安全設計

（1）惡意代碼防護設計。在生產非控制區以及管理信息大區中SIS服務器、接口機安裝殺毒軟件，并配置殺毒軟件服務器用于代碼更新，進行惡意代碼的防范。（2）主機加固設計。在生產非控制區以及管理信息大區中SIS中的服務器、接口機上面安裝主機加固軟件，進行安全加固。加固方式包括：安全配置、安全補丁、采用專門軟件強化操作系統訪問控制能力以及配置安全的應用程序，其中配置的更改和補丁的安裝需經過測試。

3.2.4 大數據分析設計

工控安全預警平臺。在生產非控制區搭建工控安全預警平臺，對部署在監控系統內部的安全監測類設備進行日志信息的收集，通過基于大數據的關聯分析結果，及時了解安全隱患及時處置潛在的安全隱患。工控系統安全預警監測平臺，通過基于大數據的采集、分析技術對周口燃機數字化電廠工控系統進行綜合安全分析及預警[5-6]。

工控安全預警平臺架構示意圖詳見圖3。

工控安全預警平臺通過部署工控安全審計和工控入侵檢測來對流經電力監控系統的異常流量進行實時監控。監控得到的實時數據通過工控綜合安全管理平臺進行收集，同時工控綜合安全管理平臺還可以收集原有網絡設備、安全設備以及上位機監控軟件的日志信息，將信息匯總整理篩選后進行綜合性的呈現，對整個工控系統的安全形勢進行態勢感知。將工控網絡作為一個整體，關注其中正在進行的網絡活動，如：監控工控網絡流量、采集相關敏感數據，為工控網絡當前的狀態以及未來可能受到的攻擊做出態勢評估與預測，給工控系統各個專業的運行人員提供可靠、有效的決策依據，最大程度上降低工控系統可能遭受的風險和損失。

4? 數字化電廠通用工控安全防護設計

通過對周口燃機數字化電廠工控安全防護研究，分析周口燃機和一般數字化電廠異同點，該文研究通用數字化電廠工控安全防護設計并制作了數字化電廠通用的工控安全防護設計拓撲示意圖，詳見圖4。

數字化電廠工業控制自動化系統一般分為現場設備層、過程控制層、過程監控層、生產管理層、信息管理層。其中現場設備層、過程控制層、過程監督層屬于生產控制區，生產管理層屬于生產非控制區，信息管理層屬于管理信息大區。

現場設備層：底層電力生產設備，包含鍋爐等一系列生產設備，在這一層不需要部署安全設備進行安全防護。

過程控制層：負責對現場設備層設備進行控制，這一層主要是DCS。在這一層需要部署工控安全審計以及工控入侵檢測。

過程監督層：負責對過程控制層DCS設備進行管理，主要是工程師站和操作員站。在這一層可以部署終端安全管控系統。

生產管理層：SIS系統和部分服務器位于此一層，負責收集處理DCS接口機傳輸的數據，這一層需要部署工控安全網關、單向隔離裝置、工控入侵檢測、工控安全審計，工控漏掃以及工控預警平臺。

信息管理層：SIS系統和部分服務器位于這一層，通過收集的DCS實時數據，通過SIS的大數據分析平臺進行分析和展示，在此層需要部署雙向隔離裝置和防火墻以及傳統信息安全設備。

通用數字化電廠工控安全防護設計通過對生產控制區、生產非控制區和管理大區模擬為現場設備層、過程控制層、過程監控層、生產管理層、信息管理層，并分層進行安全防護設計。

5? 數字化電廠工控安全防護設計應用前景

數字化電廠將上萬個傳感器放置在機組內，對他們傳輸的數據進行大數據分析。通過SIS的大數據分析平臺進行分析和展示，優化電廠參數，從而達到提高電廠生產效率的目的。隨著信息化和數字化電廠的不斷發展，電廠生產控制業務跟互聯網也在不斷融合。WEB承載的核心業務也是越來越多，生產控制邊界越來越模糊。電力是關乎國計民生行業，而數字化電廠又依托于高度信息化和大數據，更易遭受網絡攻擊。一旦數字化電廠工業控制自動化系統遭到網絡攻擊影響電力生產，不但會造成短期電力緊缺，影響企事業單位和居民生產生活用電，也會給企業造成不可預估的經濟、名譽、政治影響。該文對數字化電廠生產控制自動化系統安全防護設計在保障業務的穩健運行為基本前提下，滿足國家和行業安全防護的基本要求，提高數字化電廠安全防護能力，保障生產控制系統安全。避免由于安全防護能力不足導致信息安全事件，對數字化電廠企業造成不可彌補的經濟、名譽和政治損失。

參考文獻

[1] 吳殿法.大型燃煤發電機組廣義能耗評價方法研究[D].華北電力大學（北京），2019.

[2] 陳俊希.基于調度算法的現場總線在熱電廠 SIS中的應用研究[D].青島科技大學，2017.

[3] 鄭秀佳.安全防護技術在電力監控系統的應用研究[D].廣東工業大學，2019.

[4] 李玉琛，楊虔.電力自動化控制系統網絡信息安全管理的研究與設計[J].電氣應用，2017，36（16）：84-87.

[5] 李仲博.熱力行業工控安全防護方案設計和實踐[J].信息安全研究，2019，5（8）：715-721.

[6] 吳輝，向歡，楊丹丹，等.水電廠工控系統安全防護的設計與實現[J].水電站機電技術，2019，42（3）：44-46，50.