10MW并网光伏2015扶贫项目电力二次系统防护实施方案.docx

10MW并网光伏2015扶贫项目电力二次系统防护实施方案

调度审核：

批准：

审核：

编写：

年 月 日

目录
一、前言 3
二、系统简介 3
三、二次系统安全防护总体原则 4
1.安全防护目标 4
2.相关的安全法规 5
3.系统安全防护策略 5
4.本站安全区的划分 5
5.网络安全防护 6
6.安全区之间的隔离 7
7.纵向传输的安全防护 7
四、实施方案 8
1.站内二次系统整体的网络拓扑图 8
2.光功率预测拓扑图 9
3. AGC/AVC拓扑图 10
4. 柔控拓扑图 11
5. 电量采集拓扑图 11
6 信息申报发布系统拓扑图 13
7 调度数据网拓扑图 13
8故障录波系统拓扑图 13
五、其他安全措施 16
1.入侵检测 16
2.防病毒 16
3.主机加固 16
5.安全防护培训工作 17
六、安全防护设备清单 17
附件：二次安防应急处置预案 17

一、前言
为了认真贯彻落实《国家能源局关于引发电力监控系统安全防护总体方案等安全防护方案和评估规范的通知》（国能安全【2015】36号）、国家发改委2014年第14号令《电力监控系统安全防护规定》等有关文件的精神，确保电网安全、优质、稳定运行，根据本站二次系统和网络实际情况，结合电力二次安防相关文件要求，特制定本实施方案。
二、系统简介
本光伏电站二次系统主要包括光伏电站计算机监控系统，功率预测系统，调度数据网，信息申报与发布系统，电能量采集装置，故障录波，柔性功率控制系统。
1. 光伏电站计算机监控系统
中国风电 光伏电站监控系统采用南瑞继保PCS-9700厂站监控系统，具备光伏电站运行所需的全部功能，对站内并网设备状态，功率及网络通讯进行实时监控。
2. 功率预测系统
本光伏电站采用南瑞继保提供的光功率预测系统一套，负责光伏电站短期与超短期功率预测，并上传上级调度。
3. 调度数据网系统
光伏电站调度自动化系统包括调度数据网传输设备，纵向加密认证装置，是电力安全生产及调度自动化系统的重要组成部分，是传输电力生产信息的网络，负责站内实时信息，非实时信息采集，并上传上级调度。
4. 信息申报与发布系统
光伏电站配置南瑞提供的D5000信息申报与发布系统，负责接收上级调度下发的发电计划曲线、通知、并上报调度要求的报表。
5. 电能量采集系统
光伏电站配置WFET-2000S电能量采集装置，负责光伏电站相关计量点电量采集，并上传上级调度。
6. 柔性功率 控制系统
光伏电站配置南瑞继保PCS-9721A柔性功率控制装置一套，配合省调整体进行顺势负荷调节
7. 故障录波系统
全站配置故障录波系统一套，用于记录故障前后电流，电压波形，便于事故分析，进一步实施相关安全措施，保证电站安全运行。
三、二次系统安全防护总体原则
1.安全防护目标
二次系统安全防护的重点是确保电力监控系统及调度数据网络的安全，目标是抵御黑客、病毒、恶意代码等通过各种形式对电力监控系统发起恶意破坏和攻击，特别是能够抵御集团式攻击，防止由此导致的一次系统事故、大面积停电事故及二次系统的崩溃或瘫痪。
电站安全防护的重要措施是强化发电厂二次系统的边界防护。
2.相关的安全法规
《国家能源局关于引发电力监控系统安全防护总体方案等安全防护方案和评估规范的通知》（国能安全【2015】36号）、国家发改委2014年第14号令《电力监控系统安全防护规定》等。
3.系统安全防护策略
安全分区：分区防护，突出重点。根据二次系统中的业务的重要性和对一次系统的影响程度进行分区，所有系统必须置于相应的安全区内，对实时控制系统等关键业务采用认证、加密等技术实施重点保护。
网络专用：建立专用的电力数据网络，采用青海电力调度数据网，实现与其他数据网络的物理隔离，在技术手段上形成实时、非实时相互隔离的子网。保障上下级各安全区的纵向互联在相同安全区进行，避免安全区纵向交叉。
横向隔离：采用不同强度的安全隔离设备使各安全区中的业务系统得到有效保护，即安全I区与安全II区之间采用逻辑隔离；安全I、II与安全III区之间隔离水平必须接近物理隔离。
纵向认证：采用认证、加密、访问控制等手段实现数据的安全传输以及纵向边界的安全防护。安全I、II区的纵向边界应部署IP认证加密装置；安全III区的纵向边界应该部署硬件防火墙。
4.本站安全区的划分
序号
业务系统
安全I区
安全II区
管理信息大区（安全III和IV区）
1
光伏电站计算机监控系统
变电站监控、继电保护

2
发电功率控制
发电功率控制功能

3
无功电压控制
无功电压控制功能

4
柔性控制系统
AGC/AVC

5
故障录波

故障录波装置

6
电能量采集装置

电能量采集装置

7
光伏功率预测系统

光伏功率预测

8
天气预报系统

数字天气预报
9
信息发布与信息申报系统

信息申报

5.网络安全防护
（1）网路路由防护：按照电力调度管理体系及数据网路技术规范，采用虚拟专网技术，将电力调度数据网分割为逻辑上相对独立的实时子网和非实时子网，分别对应控制业务和非控制业务，保证实时业务的封闭性和高等级的网络服务质量。
（2）网络边界防护：采用严格的接入控制措施，确保业务系统接入的可信性，没有经过授权的节点不允许接入调度数据网。各监控系统数据网络与业务系统边界采取必要的措施对访问进行控制。生产控制区的广域网边界防护在为本系统提供一个网络屏障同时，也为上下级控制系统之间的广域网通信提供认证和加密服务，实现数据传输的机密性，完整性保护。在本地安全区I/II提供一个网络屏障同时，也为上下级控制系统之间的广域网通信提供认证和加密服务，实现数据传输的机密性，完整性保护。
(3)网络设置的安全配置：安全配置包括关闭和限定网络服务，避免使用默认路由，关闭网络边界OSPF路由功能，采取安全增强的SNMPv2及以上版本的网管协议，设置受信任的网络地址范围，记录设备日志，设置高强度的密码，开启访问控制列表，封闭空闲的网络端口等。
6.安全区之间的隔离
1)生产控制大区与信息管理大区边界安全防护
生产控制大区与管理信息大区之间以网络方式相连，部署电力专用横向单向安全隔离装置。光伏功率预测系统部署在安全区II，与运行在管理信息大区的天气预报系统进行信息交换采用专用反向安全隔离装置，采用南瑞信息公司生产的SysKeeper-2000型设备。
公共数据网与天气预报系统之间的连接采用华三通信技术有限公司F1020型防火墙进行隔离。
2)控制区与非控制区边界安全防护
光伏电站运行监控系统部署在安全区I，与运行在安全区II的光伏功率预测系统进行信息交换采用逻辑隔离的安全防护措施。安全区I与安全区II之间部署华三通信技术有限公司F1020型防火墙进行隔离。1台，实现两个区域的逻辑隔离、报文过滤、访问控制等功能，其访问控制规则可实现正确有效。
7.纵向传输的安全防护
光伏电站生产控制大区系统与调度端系统通过电力调度数据网实现远程通信，采用认证、加密、访问控制等技术措施实现数据的远方安全传输以及纵向边界的安全防护。光伏电站与电力调度数据网的纵向连接处设置珠海鸿瑞SGW07-A型纵向加密认证装置，与调度端实现双向身份认证、数据加密和访问控制。
四、 实施方案
1.站内二次系统整体的网络拓扑图

2.光功率预测拓扑图
功能：站内功率预测系统以高精度的数值气象预报为基础，搭建完备的数据库系统，并通过隔离措施采集光伏电站后台监控的环境监测数据，为光伏电站管理提供辅助手段，有助于上级调度机构统筹安排常规能源和新能源的协同配合。

3. AGC/AVC拓扑图
功能:用于自动发电控制并利用无功调节电压支持电网整体电压调节。

4. 柔控拓扑图
功能：用于配合省调整体进行顺势负荷调节。

5. 电量采集拓扑图
功能：用于上传电站计量点计量底码等数据。

6 .信息申报发布系统拓扑图
功能：负责接收上级调度下发的发电计划曲线、通知、并上报调度要求的报表。

7.调度数据网拓扑图

8. 故障录波系统拓扑图

五、其他安全措施
1.入侵检测
无
2.防病毒
（1）禁止厂家或其他人员将个人优盘插入后台计算机，以免造成后台监控中毒，导致后台监控系统崩溃或异常运行。
（2后台监控主机，信息申报与发布工作站，光功率预测系统，柔性功率控制系统，AGC/AVC服务器均采用linux操作系统，并配置一定的安全防护策略。故障录波系统，五防工作站采用windows操作系统，并安装最新的瑞星杀毒软件。
3.主机加固
（1）关闭后台监控机两台，五防主机，功率预测系统三台，AGC/AVC系统一台的telnet、WEB、ftp、远程桌面等不安全的远程管理方式。
（2）开启了系统审计功能，设置了负荷强度要求的登陆密码。
（3）对站内计算机设备的光驱、无用的USB端口、无用的交换机网口进行了封闭，粘贴了封条。
（4）对于三层交换机根据实际应用情况绑定了MAC地址。
4.日常安全管理制度
在全站管理制度汇编有关于二次安全防护系统日常管理的《二次系统安全防护管理制度》、《二次系统安全防护管应急处置预案》、《二次系统安全防护巡检制度》等制度。
5.安全防护培训工作
结合本站建设，安排专人配合南瑞厂家开展二次系统安全防护设备调试，并编制二次安防设备调试的标准化操作指导书。
此外，结合交接班及安全例会等机会开展二次安全防护设备运行交底及站内培训，另结合厂家技术人员现场服务的机会开展电力二次安全防护知识培训。
六、安全防护设备清单
序号
设备名称
型号
厂家
数量
用途
1
防火墙
F1020
华三
1
安全I区与功率预测系统边界
2
防火墙
F1020
华三
1
气象预报服务器与外网间边界
3
反向隔离装置
SysKeeper-2000
南京南瑞
1
生产控制大区与管理大区边界
4
纵向加密装置
SGW07-A
珠海鸿瑞
2
安全I区/安全II区纵向边界（非实时、实时）
5
局域网交换机
S-5700
华为
2
转发实时与非实时数据
6
路由器
AR2240
华为
1
连接以太网和调度数据网
7
杀毒软件

瑞星
2
安装于故障录波系统以及五防主机
七其他方面
1. 调度数据网，二次安防设备均采用站内双路UPS电源供电。
2. 调度数据网及二次安防建设严格遵循《电力监控系统安全防护规定》（发改委14号令），《国家电网调度数据网第二平面总体技术方案》和《国家电网调度数据网骨干网子区及接入网并网技术贵方（试行）》要求。
附件：二次安防应急处置预案

目录
一、前言 3
二、系统简介 3
三、二次系统安全防护总体原则 4
1.安全防护目标 4
2.相关的安全法规 5
3.系统安全防护策略 5
4.本站安全区的划分 5
5.网络安全防护 6
6.安全区之间的隔离 7
7.纵向传输的安全防护 7
四、实施方案 8
1.站内二次系统整体的网络拓扑图 8
2.光功率预测拓扑图 9
3. AGC/AVC拓扑图 10
4. 柔控拓扑图 11
5. 电量采集拓扑图 11
6 信息申报发布系统拓扑图 13
7 调度数据网拓扑图 13
8故障录波系统拓扑图 13
五、其他安全措施 16
1.入侵检测 16
2.防病毒 16
3.主机加固 16
5.安全防护培训工作 17
六、安全防护设备清单 17
附件：二次安防应急处置预案 17