火电厂DCS控制系统的安全防护建议

DCS控制系统在电力行业有着广泛的应用，是火电厂进行自动化控制最关键、最重要的系统。作为火电厂生产系统的神经中枢，DCS系统的安全稳定运行，对火电厂的安全生产起着决定性的作用。

DCS系统以微型计算机为基础，综合了计算机、通讯、显示和控制等技术，由过程控制级和过程监控级组成，其主要特征是集中管理和分散控制。具体的，DCS系统由控制器、I/O模件、通信网络、操作站、工程师站、历史站、图形及编程软件等组成，其中通信网络是DCS系统的纽带和骨架。DCS控制系统采用控制分散，操作和管理集中的基本设计思想，采用多层分级、合作自治的结构形式。

自1975年问世以来，DCS系统得到迅速推广和发展，目前在核心硬件的稳定性上已经达到了较高的水平。一个DCS系统控制器和I/O部件通常可以稳定运行16-20年，只有操作站因为有活动部件（如：硬盘、键盘、CRT、外部接口等）和软件，进行相关更新的情况比较多。所以，火电厂DCS系统的不安全因素，主要集中在通讯网络和操作站上面。

国家能源局在2015年2月4日印发了《电力监控系统安全防护总体方案》（俗称36号文），规定火力发电厂以机组大小进行等保定级工作，单机容量在300MW及以上为3级，以下为2级。各火力发电企业应该按此要求对电厂电力监控系统开展等保定级和安全防护建设工作。随后《中华人民共和国网络安全法》于2017年6月1日正式执行，对于火力发电机组这类国家关键信息基础设施，规定在等级保护的基础上实行重点保护。

以单机容量300MW以上火电机组控制系统DCS为例，需要满足电力行业信息系统安全等级保护三级标准要求，具体规范如下：

根据以上等保三级的安全要求，对于DCS控制系统做出以下安全防护建议：

1、在DCS控制系统内部署入侵检测系统，用于网络内攻击行为的检测。入侵检测系统很好的弥补了边界隔离产品的不足，可有效监视交换机上的所有实时传输数据，提供全面专业入侵检测能力，通过协议状态检查和智能关联分析，为DCS系统用户提供全面的信息展现和安全预警，为改善用户网络的风险控制环境提供决策依据，是整个网络体系中不可或缺的一部分。

2、在DCS控制系统内部署安全监测与审计系统，它采用旁路部署对电厂生产过程“零风险”，基于对工业控制协议（如Modbus TCP、 OPC、Siemens S7、DNP3和IEC104等）的通信报文进行深度解析（DPI，Deep Packet Inspection），能够实时检测针对工业协议的网络攻击、用户误操作、用户违规操作、非法设备接入以及蠕虫、病毒等恶意软件的传播并实时报警，同时详实记录一切网络通信行为，包括指令级的工业控制协议通信记录，为工业控制系统的安全事故调查提供坚实的基础。

3、在DCS控制系统部署安全运维管理系统，安全运维管理系统是集用户（Account）管理、授权（Authorization）管理、认证（Authentication）管理和综合审计（Audit）于一体的集中安全运维管理系统。该系统能够为企业提供集中的管理平台，减少系统维护工作量；能够为企业提供全面的用户和资源管理，减少企业的维护成本；能够帮助企业制定严格的资源访问策略，并且采用强身份认证手段，全面保障系统资源的安全；能够详细记录用户对资源的访问及操作，满足对用户行为审计的需求。

4、在DCS控制系统的各操作员站、工程师站等主机部署主机安全防护软件，对于DCS系统主机的病毒防护，目前主要使用“白名单”安全机制进行防护，“白名单”防护机制颠覆了传统防病毒软件的“黑名单”思想，采用与其相反的轻量级“白名单”机制，可以有效阻止包括震网病毒、Flame、Havex、BlackEnergy等在内的工控恶意程序或代码在工控主机上的感染、执行和扩散。并且不存在误杀、误报等影响DCS控制系统正常运行的问题。

5、安全产品的集中管理，统一安全管理平台是对DCS系统网络中的安全产品及安全事件进行统一管理的软硬件一体化系统。通过对控制网络中的边界隔离、网络监测、主机防护等安全产品进行集中管理，实现对全网中各安全设备、系统及主机的统一配置、全面监控、实时告警、流量分析等，降低运维成本、提高事件响应效率。

电力监控系统网络安全防护示意图：

以上防护方案中，全部安全产品为旁路部署，主机防护类产品使用“白名单”机制进行病毒防护，无需升级病毒库，不存在误杀误报等问题。该方案对DCS网络自身安全运行无影响，在此基础上提升了DCS控制系统的安全防护能力，达到了电力监控系统等级保护三级对DCS网络的防护要求。

通过以上方案我们可以看到，采取合理的安全策略和防护手段，是完全可以在保证DCS系统原有运行机制的基础上，既做到DCS控制系统安全稳定运行优势，又能很好地落实和执行《电力监控系统安全防护总体方案》对DCS网络和操作站等组成要素的安全防护要求，解决业主单位对新增安全防护产品可能干扰DCS系统稳定运行的顾虑。