时间：2023-06-04 08:37:45
序论：速发表网结合其深厚的文秘经验，特别为您筛选了11篇公司安全防护措施范文。如果您需要更多原创资料，欢迎随时与我们的客服老师联系，希望您能从中汲取灵感和知识！
中图分类号：TP309 文献标识码：A 文章编号：1674-098X（2016）12（b）-0055-03
为深化电力信息化工程安全防护体系建设，落实工程安全防护总体方案，制定此操作指引，为电力信息化依据总体方案开展信息安全建设提供参考。
1 安全域划分设计
依据国家电网公司安全分区、分级、分域及分层防护的原则，首先，各单位网络分为管理信息大区与生产控制大区；其次，管理信息大区按照双网隔离方案又分为信息内网与信息外网。电力工程安全防护总体方案的设计作用范围为信息内网和信息外网的一体化平台以及业务应用相关系统，在进行安全防护建设之前，应首先实现对信息系统的安全域划分。
对于一体化平台与业务应用安全域划分依据总体方案中定义的“二级系统统一成域，三级系统独立分域”的方法进行，信息内网的系统基本上可分为：（1）ERP系统域；（2）电力市场交易系统域；（3）财务（资金）管理系统域；（4）办公自动化系统域（总部）；（5）营销管理系统域；（6）二级系统域；（7）桌面终端域。信息外网的系统可分为：（1）外网应用系统域；（2）桌面终端域。
安全域的具体实现可采用物理防火墙隔离、虚拟防火墙隔离或Vlan隔离等形式。基本实现目标为划分各域网络边界并进行访问控制。
进行安全域划分后，国家电网公司总部、网省、地市所划分出的安全域与数量如表1所示。
2 安全域的实现设计
安全域实现方式以划分逻辑区域为目标，旨在实现各安全区域的逻辑隔离，明确边界以对各安全域分别防护，并且进行域间边界控制，安全域的实体展现为一个或多个物理网络或逻辑网段的集合。对安全域的划分手段可以参考采用如下方式（以下方式可能出现技术重叠，以最终实现网络分域并可进行访问控制为目标）。
2.1 防火墙安全隔离
可采用双接口或多接口防火墙进行边界隔离，在每两个安全域的边界部署双接口防火墙，或是采用多接口防火墙的每个接口分别与不同的安全域连接以进行访问控制。
2.2 虚拟防火墙隔离
采用虚拟防火墙实现各安全域边界隔离，虚拟防火墙可以将一台防火墙在逻辑上划分成多台虚拟的防火墙，每个虚拟防火墙系统都可以被看成是一全独立的防火墙设备，可拥有独立的系统资源、管理员、安全策略、用户认证数据库等。在该方案中，可以实现为每个安全域建立独立的虚拟防火墙进行边界安全防护。
2.3 三层交换机Vlan隔离
采用三层交换机为各安全域划分Vlan，采用交换机访问控制列表或防火墙模块进行安全域间访问控制。
2.4 二层交换机Vlan隔离
在二层交换机上为各安全域划分Vlan，采用Trunk与路由器或防火墙连接，在上联的路由器或防火墙上进行访问控制。
对于一个应用的子系统跨越多个物理环境如设备机房所带来的分域问题，由于安全域为逻辑区域，可以将一个公司层面上的多个物理网络或子网归属于同一安全域进行安全体系建设。
3 明确所要防护的对象
在进行安全防护体系建设之前，首先需明确所要防护的对象，将所要防护的对象对应至整体信息网络环境与相应的安全域中，设计所保护域的边界、网络、主机及应用。
（1）边界安全防护。针对信息内外网第三方边界、纵向上下级单位边界以及横向域间边界进行安全防护。
①信息外网第三方边界为国家电网公司信息外网与互联网的网络边界。
②信息内网第三方边界为国家电网公司信息内网与其他利益相关方（如银行、代收机构）间的网络边界。
③信息内外网边界为信息内网与信息外网间的边界，采用逻辑强隔离装置进行隔离。
④纵向上下级单位安全边界包括国家电网总部与各网省分司间、各网省公司与地市公司间、地市与县级单位间的网络边界。
⑤横向域间边界指划分出的各安全域之间的边界，如营销管理系统域与ERP系统域之间的边界属于横向边界。
在进行边界安全防护之前，首先应当制定出边界清单，对各网络边界进行登记。
（2）网络环境安全防护。包括所要防护的基础网络及安全域范围内的网络设备和安全设备。
（3）主机系统安全防护。包括承载所防护的安全域中的应用系统的操作系统、数据库的安全防护。
（4）业务应用安全防护。包括应用系统及通过用户接口、数据接口所传输数据的安全防护。
4 可共用的安全防护措施设计
划分安全域防护带来的成本增加主要为网络边界隔离设备的投入和网络安全防护设备的投入。
（1）逻辑隔离设备的成本。如，防火墙、路由器等成本。针对逻辑隔离设备的成本控制，可采取将多接口防火Α⑿槟夥阑鹎健⑼络交换机Vlan间访问控制等措施在多个安全域间共用的方式实现。
（2）网络安全防护设备成本。包括实现防护所需的入侵检测、弱点扫描系统等。可采用在多个安全域共用一套入侵检测系统，在各安全域仅部署入侵检测探头，所有安全域可采用统一的一套弱点扫描器等复用防护措施以降低防护投入。分域所带来的只有边界和网络层面上的投入增加，对于主机、应用相关的安全措施不会增加投入。
4.1 明确可共用的安全防护措施
分析所有设计的安全防护措施，考虑可共用的安全防护措施，整理目前已完成建设的安全措施，对于不能通过安全产品实现的，需通过功能开发或配置更改等方式来实现。
在网络边界部署边界防护安全措施时，在满足功能及性能要求的前提下，应尽可能地采用较少的设备实现，例如：采用UTM或IPS设备可以实现网络访问控制功能且性能可以接受，则可不再专门部署防火墙。
对于通过部署安全产品实现的防护措施，可采用包括但不限于如下实现共用的方式。
（1）防火墙。
添加防火墙硬件接口模块实现边界访问控制。
添加防火墙管理系统中的策略和对象资源实现边界访问控制。
多安全域共用多接口防火墙、虚拟防火墙、交换机Vlan隔离等方式实现域间访问控制。
（2）UTM统一威胁管理。
添加UTM硬件接口模块来实现统一威胁管理。
添加UTM管理系统中的策略和对象来实现对资源的统一威胁管理。
（3）入侵检测系统。
添加软件网络入侵检测系统的网卡以增加可监测的网段。
在交换机上添加硬件网络入侵检测模块以实现对多网段的监听。
在交换机上增加镜像端口以实现对多网段的入侵检测侦听。
在网段分别部署硬件入侵检测探头以实现对多个安全域的分别监测。
在各重要业务主机部署主机入侵检测以实现对主机的入侵检测。
（4）弱点扫描系统。
采用一套共用的弱点扫描系统，在扫描系统上添加授权主机的扫描地址范围，将扫描系统安装在笔记本电脑上以实现对各安全域系统的扫描。
（5）桌面终端安全管理系统。
采用统一的桌面安全管理系统，分别部署于信息内外网集中进行管理。
（6）防病毒系统。
在信息内外网分别采用统一的网络版防病毒系统，将所有Windows服务器安装防病毒客户端，统一进行管理，或在服务器上安装单机服务器版本的防病毒软件。
（7）安全事件/日志分析系统。
在信息内外网分别采用统一的安全事件及日志分析系统。
（8）入侵防护系统。
在信息外网应用系统域的网络边界上通过添加入侵防护硬件实现对各系统互联网应用的入侵防护。
通过添加入侵防护管理系统中的策略和对象以实现对特定资源的入侵防护。
（9）备份恢复软件。
可在信息内外网分别采用一套统一的备份恢复软件对各业务数据进行统一备份，在各应用服务器上添加备份。
4.2 设计不可共用的安全防护措施
对于不能通过安全产品实现的安全防护措施，可通过专项研发来实现。
对于通过安全产品实现的安全防护措施，依据安全防护总体方案中的安全防护措施设计来选择安全产品。
产品选型时，对产品的选型原则、选型范围、功能技术要求等方面进行说明，然后依据产品选型要求对安全产品进行测评和筛选。
5 安全防护措施实施设计
5.1 安全控制措施实施设计
实施安全控制措施应该遵循总体方案设计，分阶段落实安全控制措施建设。这包括安全控制开发和配置、安全控制集成、测试与验收等主要环节。
（1）安全功能开发和配置。对于一些不能通过部署安全产品来实现的安全措施和安全功能，通过软件功能设计、开发和配置来实现。
（2）安全控制集成。将不同的软硬件产品集成起来，依据安全设计方案，将安全产品、系统软件平台和开发配置的安全控制与各种应用系统综合、整合成为一个系统。
（3）安全产品测试与验收。在安全产品上线前应当对设计的功能进行测试，并经过试运行后完成验收。
（4）安全运行维护。完成安全体系建设后，将进入安全运行维护阶段，各单位应当严格遵照国家电网公司相关运行维护要求及各安全产品的运行维护手册及要求进行系统运行维护。
5.2 安全控制措施变更设计
经过一段时间运行后，随业务系统及信息环境的变化，安全控制措施可能需要进行变更，需注意以下几点。
（1）确定是安全体系局部调整还是重大变更，如果涉及到安全域变化需要重新依据防护方案进行设计；如果仅局部调整可修改安全控制措施的配置实现。
（2）由变更发起人向主管领导进行书面申请并要记录相应变更行为，确保变更实施过程受到控制，保证变更对业务的影响最小。
（3）对变更目的、内容、影响、时间和地点以及人员权限进行审核，以确保变更合理、科学的实施。
（4）变更应当制定详细的计划并在非关键业务时段进行，并制定相应的回退计划。
6 结语
该课题对电力公司信息系统等级保护安全策略进行研究，采用了安全域划分设计，通过该课题设计实现信息安全等级保护建设的层次及过程，有效地将信息安全总体方案进行贯彻执行。
参考文献
[1] 枪威.数字化变电站中信息处理及网络信息安全分析[J].电力系统保护与控制，2007，35（12）：18-22.
[2] 胡炎，谢小荣，韩英铎，等.电力信息系统安全体系设计方法综述[J].电网技术，2005，29（1）：35-39.
现今信息技术在电力行业中广泛应用，双向互动服务由于大量使用了通信、网络和自动化等新技术，使自身的安全问题变得更加复杂、更加紧迫。信息安全问题显得越来越重要，它不仅威胁到电力系统的安全、稳定、经济和优质运行，而且影响着电力系统信息化建设的实现进程。
针对上述情况，本文在双向互动服务平台物理架构的基础上，分析双向互动服务的安全防护需求，并由此提出了一套切实有效的保护方案，对跨区通信进行重点防护，提升整体信息安全防护能力，实现对双向互动服务信息的有力支撑和保障。
1 双向互动服务平台物理架构
双向互动服务平台的物理架构包括：
a.安全架构：终端安全接入平台，公网与DMZ区(隔离区)通过防火墙进行防护，DMZ区(隔离区)与信息外网通过防火墙隔离，信息外网与信息内网通过网络物理隔离装置隔离;专网(电力应用专网VPN)越过DMZ区(隔离区)，通过防火墙接入，实现与信息外网通讯，信息外网与信息内网通过安全接入网关实现安全接入。
b.内外互动：所有应用部署分信息内网部署和信息外网部署，移动作业、控制类的涉及敏感数据的互动服务部署在信息内网，普通互动服务部署在信息外网。
c.通信方式：电力专网(包括电力应用专网VPN)、互联网(家庭宽带)、2G/3G/4G无线公网无线专网(VPN)、电力载波(PLC)、RS485、Zigbee、RFID、其它无线等。
2 双向互动服务安全防护需求分析
从网络边界安全防护、网络环境安全防护、主站和终端设备的主机安全防护、业务应用系统安全防护等四个方面提出双向互动服务的安全防护需求。
(1)网络边界安全防护需求
双向互动服务需要对信息数据的流入流出建设相应的边界安全防范措施(如防火墙系统)和数据的入侵检测系统。由于双向互动服务平台中属于企业信息网络的管理大区，同生产大区之间应该实现逻辑隔离，但管理大区和生产大区之间要相互交换数据，所以在网络大区之间应建设安全隔离与信息交换设备，如隔离网闸。
(2)网络环境安全防护需求
需要针对双向互动服务的整个网络环境建立完整的网络环境安全防护手段。网络环境安全防护需要对系统中的组网方式、网络设备以及经过网络传输的业务信息流进行安全控制措施设计。
针对黑客入侵的威胁，需要增加入侵检测系统，以防止黑客的威胁和及时发现入侵;需要对病毒及恶意代码的威胁建立相应的安全措施。
(3)主站和终端设备主机安全防护需求
需要对操作系统和数据库的漏洞增加相应的安全防范措施，对主站和终端设备提供防窃、防破坏、用电安全的措施。为满足数据终端存储和系统访问控制、终端设备网络安全认证、数据加解密等安全需求，可使用安全认证芯片所提供的密码服务功能，保障主站与终端设备的安全。
(4)业务应用安全防护需求
业务应用系统安全防护需求应从使用安全和数据安全两个层面进行描述。
1)系统使用安全需求。该项需求包括管理规章、系统备份、密码管理、测试及运行、操作记录等方面安全需求。
2)系统数据安全需求。该项需求包括系统数据、用户身份数据、传输数据、交易数据、终端数据等安全需求。
3 双向互动服务安全防护方案
双向互动服务安全防护方案应该基于上述物理架构，从边界防护、网络安全防护、主机安全防护、应用与数据安全防护等四个方面进行设计，具体如下所示：
(1)边界防护。1)横向网络边界：横向域间边界安全防护是针对各安全域间的通信数据流传输所制定的安全防护措施，各系统跨安全域进行数据交换时应当采取适当的安全防护措施以保证所交换数据的安全。2)纵向网络边界：信息内网纵向上下级单位边界，此外，如果平级单位间有信息传输，也按照此类边界进行安全防护。3)第三方网络边界：信息内网第三方边界指信息内网与其他第三方网络连接所形成的网络边界，在双向互动服务中指通过公网信道(GPRS、 CDMA)接入信息内网的网络边界。
(2)网络安全防护。网络安全防护面向企业的整体支撑性网络，以及为各安全域提供网络支撑平台的网络环境设施，网络环境具体包括网络中提供连接的路由、交换设备及安全防护体系建设所引入的安全设备、网络基础服务设施。
(3)主机安全防护。双向互动服务的主机安全防护主要包括系统服务器及用户计算机终端的安全防护。服务器主要包括数据库服务器、应用服务器、网络服务器、WEB服务器、文件与通信服务器、接口服务器等。计算机终端包括各地市供电公司远程工作站、省级公司工作站的台式机与笔记本计算机等。
(4)应用数据安全防护。应用安全防护包括对于主站应用系统本身的防护，用户接口安全防护、系统间数据接口的安全防护、系统内数据接口的安全防护。应用安全防护的目标是通过采取身份认证、访问控制等安全措施，保证应用系统自身的安全性，以及与其他系统进行数据交互时所传输数据的安全性;采取审计措施在安全事件发生前发现入侵企图或在安全事件发生后进行审计追踪。
4 结论
中图分类号：F470.6 文献标识码：A 文章编号：
信息安全管理是信息安全防护体系建设的重要内容，也是完善各项信息安全技术措施的基础，而信息安全管理标准又是信息安全管理的基础和准则，因此要做好信息安全防护体系建设，必须从强化管理着手，首先制定信息安全管理标准。电力系统借鉴 ISO27000国际信息安全管理理念，并结合公司信息安全实际情况，制订了信息安全管理标准，明确了各单位、各部门的职责划分，固化了信息系统安全检测与风险评估管理、信息安全专项检查与治理、信息安全预案管理、安全事件统计调查及组织整改等工作流程，促进了各单位信息安全规范性管理，为各项信息安全技术措施奠定了基础，显著提升了公司信息安全防护体系建设水平。
1电力系统信息安全防护目标
规范、加强公司网络和信息系统安全的管理，确保信息系统持续、稳定、可靠运行和确保信息内容的机密性、完整性、可用性，防止因信息系统本身故障导致信息系统不能正常使用和系统崩溃， 抵御黑客、病毒、恶意代码等对信息系统发起的各类攻击和破坏，防止信息内容及数据丢失和失密，防止有害信息在网上传播，防止公司对外服务中断和由此造成的电力系统运行事故，并以此提升公司信息安全的整体管理水平。
2信息安全防护体系建设重点工作
电力系统信息安全防护体系建设应遵循“强化管理、标准先行”的理念。下面，结合本公司信息安全防护体系建设经验，对信息安全防护体系建设四项重点工作进行阐述。
2.1 信息系统安全检测与风险评估管理
信息管理部门信息安全管理专职根据年度信息化项目综合计划，每年在综合计划正式下达后，制定全年新建应用系统安全检测与风险评估计划，确保系统上线前符合国网公司信息安全等级保护要求。 应用系统在建设完成后 10个工作日内，按照《国家电网公司信息系统上下线管理办法》要求进行上线申请。 由信息管理部门信息安全管理专职在接到上线申请 10个工作日内， 组织应用系统专职及业务主管部门按照《国家电网公司信息安全风险评估实施指南》对系统的安全性进行风险评估测试，并形成评估报告交付业务部门。 对应用系统不满足安全要求的部分， 业务部门应在收到评估报告后 10个工作日内按照《国家电网公司信息安全加固实施指南（试行）》进行安全加固，加固后 5个工作日内，经信息管理部门复查，符合安全要求后方可上线试运行。应用系统进入试运行后，应严格做好数据的备份、保证系统及用户数据的安全，对在上线后影响网络信息安全的，信息管理部门有权停止系统的运行。
2.2 信息安全专项检查与治理
信息管理部门信息安全管理专职每年年初制定公司全年信息安全专项检查工作计划。检查内容包括公司本部及各基层单位的终端设备、网络设备、应用系统、机房安全等。 信息安全专职按照计划组织公司信息安全督查员开展信息安全专项检查工作，对在检查中发现的问题，检查后 5 个工作日内录入信息安全隐患库并反馈给各相关单位，隐患分为重大隐患和一般隐患，对于重大隐患，信息安全专职负责在录入隐患库 10 个工作日内组织制定重大隐患治理方案。 各单位必须在收到反馈 5 个工作日内对发现的问题制定治理方案， 并限期整技信息部信息安全专职。信息管理部门安全专职对隐患库中所有隐患的治理情况进行跟踪，并组织复查，对未能按期完成整改的单位，信息安全专职 10 个工作日内汇报信息管理部门负责人， 信息管理部门有权向人资部建议对其进行绩效考核。
2.3 信息安全应急预案管理
信息管理部门信息安全管理专职每年 年初制定公司全年信息安全应急预案编制、演练及修订计划，并下发给各单位。各单位信息安全专职按照计划组织本单位开展相关预案的制定，各种预案制定后 5 个工作日内交本部门主要负责人审批，审批通过后 5 个工作日内报信息管理部门信息安全专职。各单位信息安全专职负责组织对系统相关人员进行应急预案培训，并按年度计划开展预案演练。 根据演练结果，10 个工作日内组织对预案进行修订。各单位信息安全预案应每年至少进行一次审查修订， 对更新后的内容， 需在 10 个工作日内经本部门领导审批，并在审批通过后 5 个工作日内报信息管理部门备案。
2.4 安全事件统计、调查及组织整改
信息管理部门信息安全专职负责每月初对公司本部及各基层单位上个月信息安全事件进行统计。 各系统负责人、各单位信息安全管理专职负责统计本系统、单位的信息安全事件，并在每月 30 日以书面形式报告信息管理部门信息安全专职， 对于逾期未报的按无事件处理。 出现信息安全事件后 5 个工作日内，信息管理部门信息安全专职负责组织对事件的调查，调查过程严格按照《国家电网公司信息系统事故调查及统计规定(试行)》执行，并组织开展信息系统事故原因分析，坚持“四不放过”原则，调查后 5 个工作日内组织编写事件调查报告。调查、分析完成后 10 个工作日内组织落实各项整改措施。信息安全事件调查严格执行《国家电网公司网络与信息系统安全运行情况通报制度》制度。
3评估与改进
电力通信网为专用通信网络，作用是为电力系统的生产、经营、管理、数据采集和调度等信息和数据的基础网络，电网能否安全可靠的运行直接关系到电网的稳定性。为了确保电网的顺利安全运行，需要采取多种安全维护方式，包括数据的加密和备份、防火墙、病毒入侵检测和防病毒措施等。电网的稳定对国家能源战略也有着非常大的影响。电网的不断扩大，特别是特高压电网、智能化电网的建设和发展，电网的作用更加显著。因此，了解电力通信网自身的特点，确保其运行安全并支撑着电网智能化的发展需要，并指导电力通信网的安全防护体系的构建。
1 电力通信网的特点
作为服务电力行业的专用通信网络，电力通信网的网络结构、服务对象和业务需要均和公网运营商不同。公网的服务对象为社会大众，其业务包括语音、图像和数据等信息的疏送。公网致力于提供高质量的通信服务，便利的电网接入，因此这些运营商大多建立在人口较为密集的区域。公网由于建设时间早，随着多年的不断完善和发展，逐渐形成科学合理的网络架构，且公网运营商非常明确其服务目标和管理内容，业务量的大量增加也促进了相应通信技术的发展。相应的，公网的安全防护水平也不断提高，目前已建立较完善的规范和标准体系。公网将网络结构的安全等级、风险评估、数据备份和恢复等进行结合，并对互联网、电信网、固网、支撑网和接入网等网络实行安全防护措施。
但电力通信网为专门服务电力通信系统的网络，用于电网的生产、经营和调度及电网管理等活动进行的数据通信。电力通信网的建设受线路、变电站和电厂的布局所限制。与公网不同，此网络常位于偏远地区，实时监测变电站和电力线路的运行状态，以使电力系统能够稳定运行。电网的不断扩大，促进了电力通信网的扩大发展，复杂度也随之提高，因而其安全防护技术的研究非常重要。不像公网具备较为完善的安全防护技术，电力通信网的安全防护技术较为薄弱，未形成相应的科学合理的规范和防护体系。所以，电力通信网的安全防护技术值得更加深入的研究。
2 电力通信网安全防护措施中存在的问题
电力通信网的不断扩大发展，逐渐成为支撑着调度自动化、运营市场化和管理信息化的发展模式。电力通信网为一个大而完整的网络，各个部分相互联系与作用，任一部位出现故障都将对整个电力通信网的服务质量造成影响，严重的话还将威胁到电网自身的安全可靠运行。目前，我国已开展了许多电力通信、电网安全性等方面的相关研究，并获得了许多进展。但是电力通信网的安全防护技术尚未成熟，还存在许多问题，现介绍如下：
2.1 安全防护措施未形成统一标准
尽管，目前已经存在一些安全防护标准和规范，但大多为企业内部规定的标准和规范。由于这些标准与建立标准的企业利益息息相关，局限性强，难以作为统一的标准应用于整个电力系统，也不利于安全防护系统的长足发展。
2.2 缺少有效的评估方法
尽管安全防护方法不断涌现，但是安全防护能力的评估方法却存在许多争议。安全评估方法的缺乏，安全防护能力的评价指标也错综复杂，无法准确、合理的评估电力通信系统的安全防护能力。
2.3 未能合理规划安全防护措施
电力通信网的防护偏重于电网运行和组织管理等方面，而未能合理、科学的规划安全防护措施。也就是，在安全防护工作的安排中忽视了防护策略的重要作用，而使防护方案较为紊乱，未能形成清晰的脉络。可以采用加大检修力度、查错排错，排除隐患。
2.4 安全防护覆盖范围不够全面
我国电力通信网络的安全防护过度关注传输网和业务网，而较少关注接入网和支撑网的安全防护。由于任一部分电力通信网出现故障将影响到全网的通信服务，因此安全全面的防护措施，确保电力通信网全面的受保护很有必要。
2.5 物理安全防护措施被忽略
电力通信网的安全防护措施对业务保障和维护通信设施等方面较为重视。但是物理安全防护措施的重要性也不容忽视，如实施板卡、电源和路由器等三种备份方式确保业务可靠承载。
3 电力通信网安全防护需求
为了确保电力通信网络能够安全可靠运行，构建良好的安全防护体系的前提是我们明确电力系统的安全防范需求，主要有以下几点：（1）对电力通信网络的安全层级进行划分，理解安全防护的概念。
（2）了解各个层级的防护方式和对象，构建完善的安全防护体系，并系统性的实施安全保障行为。
（3）构建各层级的管理机制，使工作流程与管理都标准统一化，形成安全运维的管理方式。
（4）提高职工培训力度，优化考核方式。5）加强应对自然灾害的应急处理能力。
（5）安全管理平台统一化，实现告警、关联、响应和监控的集中管理。
4 总结
本文首先分析了目前我国电力通信网的特点，并分析得到其安全防护技术覆盖面窄、系统性不强的缺陷。为全面促进电网安全性能的提升，应加强接入网和支撑网的安全防护，并对每个网络的安全防护进行等级划分，有针对性的制定安全防范标准，同时从电网组织、运行和策略几个方面完善防护管理工作，并优化评价方法和评价指标，以全面促进安全防范技术水平的提高。
参考文献
[1]苗新，陈希.电力通信网安全体系架构[J].电力系统通信，2012，33（231）：34-38.
[2]王乘恩，黄红忠.电力通信网监测系统的安全防御体系研究[J].系统安全，2011，10（20）：47，107.
[3]梁毅强.电力通信网的安全维护与管理措施[J].企业技术开发，2010，29（15）：22-23.
中图分类号：TM76 文献标识码：A 文章编号：1674-098X（2016）12（b）-0058-03
该课题研究解决方案典型方案以电力公司为主要对象，在实际操作过程中，可以裁剪，原则应满足安全防护建设要求，主要包括安全控制措施如何部署，而不提出确定型号的安全产品，且以单位进行全新安全防护系统建设为出发点，在此基础上，结合电力公司安全建设现状，考虑对现有安全措施的复用，根据自己的实际情况进行安全系统选型并制定安全系统实施方案。
1 案例分析
某省电力公司构建信息网络，已经稳定运行的有：管理系统、安全生产管理系统、国际合作系统、协同办公系统、电力营销系统、纪检监察系统等，同时在建有ERP等系统，网络和信息系统情况复杂，迫切需要进行信息安全方面的建设，实现以下几方面的需求。
（1）确保信息系统的可用性、完整性和机密性。
（2）对服务器、工作站、网络基础设施和网络边界采取合理有效的安全防护手段。
（3）防止非授权的用户非法接入、非法窃听和信息篡改。
（4）对信息系统的接口实施认证和加密等手段，确保应用安全。
2 方案设计
（1）边界防护如表1所示。
（2）网络防护如表2所示。
（3）主机防护在主机层面部署的安全控制措施表3所示。
（4）应用防护内容如表4所示。
3 结语
该课题对电力公司信息安全典型解决方案的研究，对现有安全措施的复用，根据自己的实际情况进行安全系统选型并制定了安全系统实施方案，有效地将信息安全总体方案进行贯彻执行。该课题典型方案以网省公司为主要对象，各网省、地市等单位在实际操作过程中，可以以该方案为模板进行修改，原则应满足安全防护总体方案的建设要求。
参考文献
[1] 李文武，游文霞，王先培.电力系统信息安全研究综述[J].电力系统保护与控制，2011，39（10）：140-147.
[2] 胡炎，董名垂，韩英铎.电力工业信息安全的思考[J].电力系统自动化，2002，26（7）：1-4.
1 风电企业信息网络规划和安全需求
1.1 风电企业信息网络规划
一般情况下，风电公司本部均设在远离下属风电场的城市中，下属风电场只做为单纯的生产单元，以国电云南新能源公司为例，本部设在昆明，在云南省拥有多个地州上的风电场，各项工作点多面广、战线长，为有效提高公司管理效率，已建成全省范围安全可靠信息传输网络。本部与各风电场通过ISP提供的专线连接，项目部、外地出差、临时办公机构也能通过INTERNET网以VPN方式联入公司网络，基本满足公司日常管理和安全生产的需要。
图1
1.2风电企业信息网络安全需求分析
从图1可以看出，一般现在风电场的网络不仅要满足管理的日常信息化需求，还要满足于电网交换信息的需求，所以风电场的网络安全任务就是要符合国家和集团的有关电力二次安全规定。严格执行“安全分区、网络专用、横向隔离、纵向认证”的要求，以防范对电网和风电场计算机监控系统及调度数据网络的攻击侵害及由此引起的电力系统事故，保障其安全、稳定、经济运行。
2 风电企业信息网络安全防护体系建设
2.1 网络安全原则
根据国家电监办安全[2012]157号文《关于印发风电、光伏和燃气电厂二次系统安全防护技术规定（试行）的通知》的相关要求，风电场的网络二次安全防护基本原则是以下几点：
2.1.1 安全分区：按照《电力二次系统安全防护规定》，将发电厂基于计算机及网络技术的业务系统划分为生产控制大区和管理性，重点保护生产控制以及直接影响电力生产运行的系统。
2.1.2 网络专用：电力调度数据网是与生产控制大区相连接的专用网络，发电厂段的电力数据网应当在专用通道上使用独立的网络设备组网，物理上与发电厂其他管理网络和外部公共信息网络安全隔离。
2.1.3 横向隔离：在生产控制大区域管理信息大区之间必须部署经国家指定部门检测认证的电力专用横向单向隔离装置。
2.1.4 纵向认证：发电厂生产控制大区与调度数据网的纵向连接处应设置经国家指定部门检测认证的电力专用加密认证装置，实现双向身份认证、数据加密和访问控制。
2.2 安全部署方案
风电场业务系统较为繁多，根据相关规定，我们对风电场的业务系统基本分区见表1：
根据划分结果，我们针对不同的分区之间设定了防护方案，部署示意图如图2：
2.2.1生产控制大区与管理信息大区边界安全防护：目前公司从生产控制大区内接出的数据只有风电场监控系统，部署了一套珠海鸿瑞生产的Hrwall-85M-II单比特百兆网闸，保证他们之间的数据是完全单向的由生产控制大区流向管理信息大区。
2.2.2控制区与非控制区边界安全防护：在风电场监控系统与风功率预测系统、状态监测系统等进行信息交换的网络边界处安装了防火墙和符合电网规定的正方向隔离装置。
2.2.3系统间的安全防护：风电场同属控制区的各监控系统之间采用了具有访问控制功能的防火墙进行逻辑隔离。
2.2.4纵向边界防护：风电场生产控制大区系统与调度端系统之间采用了符合国家安全检测认证的电力专用纵向加密认证装置，并配有加密认证网关及相应设施，与调度段实现双向身份认证、数据和访问控制。
2.2.5与本部网络边界安全防护：风电场监控系统与生产厂家、公司SIS系统之间进行数据交换，均采用了符合国家和集团规定的单向单比特隔离网闸。同时禁止厂商以任何方式远程直接接入风电场网络。
2.3 防病毒措施
从某种意义上说，防止病毒对网络的危害关系到整个系统的安全。防病毒软件要求覆盖所有服务器及客户端。对关键服务器实时查毒，对于客户端定期进行查毒，制定查毒策略，并备有查杀记录。病毒防护是调度系统与网络必须的安全措施。病毒的防护应该覆盖所有生产控制大区和管理信息大区的主机与工作站。特别在风电场要建立独立的防病毒中心，病毒特征码要求必须以离线的方式及时更新。
2.4 其他安全防护措施
2.4.1 数据与系统备份。对风电场SIS系统和MIS系统等关键应用的数据与应用系统进行备份，确保数据损坏、系统崩溃情况下快速恢复数据与系统的可用性。
2.4.2 主机防护。主机安全防护主要的方式包括：安全配置、安全补丁、安全主机加固。
安全配置：通过合理地设置系统配置、服务、权限，减少安全弱点。禁止不必要的应用，作为调度业务系统的专用主机或者工作站， 严格管理系统及应用软件的安装与使用。
安全补丁：通过及时更新系统安全补丁，消除系统内核漏洞与后门。
主机加固：安装主机加固软件，强制进行权限分配，保证对系统的资源（包括数据与进程）的访问符合定义的主机安全策略，防止主机权限被滥用。
3 建立健全安全管理的工作体系
安全防护工作涉及企业的建设、运行、检修和信息化等多个部门，是跨专业的系统性工作，加强和规范管理是确实保障电力二次系统的重要措施，管理到位才能杜绝许多不安全事件的发生。因此建立健全安全管理的工作体系，第一是要建立完善的安全管理制度，第二是要明确各级的人员的安全职责。
参考文献
从2008年起，蓝天海开始推出多品牌战略，针对不同行业、场合、天气、环境的需求，划分不同的品牌，旗下产品总称“蓝翔”系列防静电安全防护工装面料，细分为四大品牌“蓝翔”牌、“蓝翔1149”牌、“蓝翔8118”牌、“蓝翔TS”牌中高档防静电安全防护工装面料。2010年开始，蓝天海所供应的面料100％具有防静电性能，成为国内唯一一家只专业提供防静电系列工装面料的企业。蓝翔安全防护面料的防静电性能稳定性更是在国际范围内亦处于领先行列。
永久性第四代导电纤维诞生
随着市场对防静电产品性能的要求越来越高和人们自身保护意识的增强，提高防静电面料性能及其性能持续稳定性成为企业重要的课题。目前，主流市场应对措施主要有研发新型的导电纤维，试验采用不同原料、不同生产工艺和调整原料配比来生产适合不同领域及各行业细分需求的防静电面料。以上措施，对公司探索新行业防静电面料需求拥有重大意义。
为满足不同行业、不同场合对工装防静电性能的不同要求和充分体现蓝天海专业化的优势，公司区别于部分同行目前只简单地采用白丝、灰丝、黑丝的基础上，同相关科研单位共同开发出白丝2号、灰丝2号、灰丝4号及黑丝2号等系列产品，为面料防静电性能的稳定提供了保障。2010年开始，公司为迎合GBl2014-2009标准的推出，与相关院所进行一年多的研发，终于开发出既满足GB12014-2009标准又具有永久性防静电性能的第四代导电纤维。
永久性第四代导电纤维精选导电性能优良的碳黑材料作为导电体，并将炭黑配比及生产工艺在无数次的试验中进行最佳优化处理，全面提升其导电性能使其达到永久性导电的复合型纤维。此种新型永久性导电纤维拥有更好的抗酸碱、防腐蚀效果，结合公司最新研发的冰爽降温防静电面料，基于夏季酷热，产业工人多汗，而汗液含多种微量元素将对衣物产生腐蚀效果的特定因素，使用第四代导电纤维的“蓝翔”冰爽散热(降温)防静电安全防护面料，一方面可在同等条件下降低2-3℃的体表温度，另一方面更加持久和防腐蚀功能强大的第四代导电纤维将大大增加工装的使用寿命，并提高产业工人的作业舒适性和安全性。
“八项生产要求”提供基础保障
防静电面料承担着保护产业工人生命安全的重任，意义重大，稍有不慎可能带来巨大的影响，蓝天海深知只有从原料选择和生产源头把关才能真正地保证工装面料防静电性能稳定。为此蓝天海公司积二十年之功，与中国纺织科学研究院江南分院特种面料研发中心的专家们特别制定了关于导电纤维的选择、导电材料的选择、导电纤维的含量、棉纱选择、线捻度控制、织造要求、印染和储存的八项生产要求，并在生产过程中严格执行，以满足不同国家、不同行业、不同场合对安全防护工装防静电性能稳定的要求，为防静电安全防护工装面料提供基础保障。
基于“八项生产要求”的“蓝翔”第二代防静电安全防护面料秉承蓝天海公司一贯的宗旨――“把安全、健康、舒适献给勤劳智慧的产业工人。”在延续第一代防静电面料质量和防静电性能稳定的基础上，充分发挥其永久导电性能的优势，成为蓝天海承担起保证产业工人生命安全的保障。
“量身定制模式”发挥最大效果
根据总公司排查安全管理工作重点的要求，结合科技公司的经营工作实际，经认真排查确定，安全管理工作重点为：青岛至四方间k4+690至k6+119处声屏障工程，其中，人身安全为重中之重。
为确保声屏障工程的施工安全和劳动人身安全，公司给予了人力、物力、财力的全力支持。施工之初，公司成立了工程施工安全领导小组，组长：彭大钊王国华副组长：杨跃伟（常务）成员：杨淑静史坚鹏李明周国忠李树戊。工程施工现场安全工作组，组长：杨跃伟副组长：杨淑静史坚鹏（常务）巩宝方成员：宋振辉陈金华周国忠李树戊，加强对安全工作的领导和管理。
在基础开挖工作中，根据施工进度和现场实际情况，制定了《施工现场安全注意事项》
一、进入施工现场人员必须身穿防护服。
二、横越线路时必须做到：一站、二看、三通过，注意左右机车、车辆的动态及脚下有无障碍物。
三、严禁在运行中的机车、车辆前面抢越。
四、严禁在钢轨上、车底下、枕木头、道心里坐卧或停留，严禁将钢筋、钢管等金属物横放在两条钢轨上。
五、顺线路行走时，应走两线路中间，随时注意机车、车辆的动态。
六、必须横越停有机车、车辆的线路时，先确认机车、车辆暂不移动，然后在机车、车辆较远处越过。
七、注意爱护行车设备、站场设备及各种表示牌（灯）等站场标志。
八、当防护员发出报警信号后，施工人员应立即离开行车线路躲避，以保证行车和人身安全。
九、施工中较长的施工工具及材料应顺线路摆放，以免侵入限界造成事故。
7月17日 基础混凝土浇注完成后，根据工程进度和施工内容的变化，我们对施工现场安全注意事项及时进行了修订和补充。
一、施工现场安全工作制度
1、定期召开安全工作会议，认真传达贯彻路局有关施工安全文件，组织学习工程指挥部有关工程施工的文件和电报，结合工程实际情况，制定相应的贯彻措施。
2、每天召开安全碰头会，总结安全工作，研究解决施工中存在的问题，制定相应的安全措施，研究制定次日的安全关键和相应的防护措施。
3、每天派出专人参加施工队的班前会，对前日的安全工作进行点评，布置当日的安全工作重点和安全注意事项。
二、施工现场安全防护措施
1、施工现场设立警戒表识和安全警示标志，加强对施工人员的安全教育，不穿防护服，绝对不能进入施工现场。
2、施工现场两端施工队设专人进行安全防护，配备喇叭并保证作用良好。
3、派出专人到车站联系行车计划，提前掌握车流状况，作好安全防护准备工作。
4、加强现场安全巡查力度和巡查频次，认真检查作业现场的工具和材料的摆放，避免侵线，发现问题立即督促整改。
5、对于登高作业，施工队派出专人现场盯控，防止高空坠落伤害，防止材料、工具和人员侵入接触网的安全限界，防止触电事故的发生，杜绝断网的行车事故。
6、制作专用工具，解决架设h型钢和吸声板难题，从根本上防止触电事故和行车事故的发生。
7、搬运金属材料时，采取有效防护措施，防止轨道电路短路，影响行车安全。
三、应急预案
1、施工安排坚持“先难后易、先内后外”的原则，科学、合理的安排进度。
2、帮助施工队合理调配劳动力，科学施工，分组分段，倒排工期，严格按进度计划完成当日施工任务。
3、制作辅助器械，减轻劳动强度，在确保绝对安全的前提下，加快工程进度。
4、提高安全意识，增强反恐防爆观念，加强内部治安秩序，加强对施工现场的安全巡查，特别要加强夜间的安全巡查，对进入施工现场的闲散人员，严加盘查，劝其离开，如发现可疑迹象和故意破坏行为，应立即报警。
7月27日 正线开通以后，我们根据《济南铁路局营业线施工及安全管理实施细则》、《技规》、《行规》的有关规定，重新修订了《施工现场安全管理办法》。
一、声屏障施工现场必须全部设立施工安全警戒线。按照《技规》第395条第一款第一项基本建筑限界图的规定，距离钢轨头部外侧 1.6米 以外设立施工安全警戒线。施工人员以及施工材料、工具和备品，严禁侵入施工安全警戒线以内。
二、声屏障基础抹面作业方式，采取分段作业， 100米 以内为一段作业面，施工现场（包括安装吸声板）不得超过3个作业面。根据施工现场的了望条件，以作业面两端为起点，向两端延伸50至 80米 处各设立一名安全防护员，安全防护员要全神贯注、精力集中，佩带臂章，手持喇叭，站姿面向来车方向。在接到来车通知或看到有机车、车辆、轨道车移动时，立即吹响喇叭，警示施工人员停止作业。施工人员听到警示信号后，立即停止一切作业并站稳抓牢躲避列车和移动车辆。列车、车辆在作业面内通过时严禁人员走动和其它作业。待列车全部通过或移动车辆远离作业面后，重新作业。
三、吸声板作业和安全防护，除严格执行声屏障基础抹面的作业方式和安全防护办法外，施工人员听到警示喇叭后，应立即停止作业，作业人员迅速从梯子上下来后，将全部梯子、吸声板以及施工器械横到并顺线路方向摆放于警戒线外方，施工人员站稳抓牢躲避列车、车辆。待列车、车辆通过后，重新作业。安装吸声板作业时严禁在电网以及带电体 2米 范围内进行安装和其它作业。
引言
随着计算机和现代通信技术的不断发展，以及集成化和自动化水平的提高，智能电网将更加开放和复杂，在给企业带来方便的同时，也带来了新的挑战。随着计算机病毒和恶意代码等的肆虐，以及信息系统规模的增加，信息安全防护已经成为保障智能电网可靠运行的重要手段。相较于传统的电网，智能电网具有更强的开放性、与外界环境的互动性，因而其系统设计及功能实现也更为复杂。智能电网的稳定高效运行在一定程度上依赖于高端的信息通信技术，所以信息系统的安全性就显得尤为重要。
一、智能电网信息系统面临的安全风险分析
（一）、设备方面导致的威胁
智能电网信息系统离不开智能设备的支持，虽然在智能电网系统中依靠一些智能设备完成原先需要人力才能完成的复杂、危险的工作，但是智能设备在无人监护的状况下可能受到不法分子的攻击与破坏，导致其信息遭到篡改。更有可能因为自然因素而导致智能设备的破坏。这些不正常状况往往导致智能设备影响智能电网信息系统，使其产生一定问题。
（二）、数据信息安全威胁
数据安全威胁囊括了数据库管理系统漏洞、容灾备份管理认证、访问控制、数据交换瓶颈、信息系统管理等。智能电网在执行发电、输电、变电、配电、用电时会产生大量的数据。数据安全分为数据本身的安全和数据防护安全。由于数据数量多、种类繁多，因而实现统一规定很难，加上访问控制和认证管理不完善，容易造成用户访问机制失序，数据被泄露、修改。数据存储中心以及容灾备份等防范措施不到位，引起管理人员的职能混乱，造成数据交换瓶颈，灾后数据丢失等问题，阻碍了整个智能电网稳定运行。
（三）、通信网络环境更加复杂
随着第四代无线通信技术（TD-LTE）的成熟，4G环境下智能电网的网络试点平台也相继建成。TD-LTE试点网络平台为实现配电自动化提供了高可靠、高速率、低时延的业务通道，为配电自动化"五遥"功能的实现提供了通道保障。同时大量智能仪表、移动终端也广泛投入到应用中，提高电网智能化、自动化的同时，也使得电网的网络环境更加复杂，受威胁的环节增多。
二、智能电网信息系统安全防护措施
（一）、物理安全防护措施
物理安全主要是指信息系统正常工作所必需的网络设备和存储设备以及传感器等各种硬件设备的安全。电网物理安全是电网信息系统安全的重要内容，其主要任务是保证各硬件部分的安全。保护电网物理安全主要是防止由于人为干扰、自然破坏以及设备自身等异常情况对外部系统物理特性造成影响，进而影响系统服务。1）管理上的防护措施：包括设施的选择、建设和管理，员工的管控、培训，突发事件的响应和处理步骤等。2）技术上的防护措施：包括访问控制、入侵检测、警报装置、监视装置、电力保障、火灾检测和排除以及备份和恢复等。3）物理上的防护措施：通过栅栏、大门、护柱、门锁、照明等设施完善物理安全的配置，提供有效的物理安全防护保障。
（二）、数据安全防护措施分析
智能电网的数据安全包含两层意思，一是数据自身的安全性不受到侵害，二是信息数据的安全防护，也就是通过多种不同方式确保数据的存储。一般来说，为了保证数据存储的安全，所采取的措施包括磁盘阵列、异地容灾以及数据备份等手段。首先是磁盘阵列，就是将多个磁盘组成一个阵列，确保磁盘的读写性能以及数据存储性能。其次是数据备份，将重要数据以及重要的日志记录加以筛选，通过存储设备加以备份，确保万无一失。双机容错则保障了系统的稳定性与可靠性，即便是一个系统出现问题也可以凭借另一个系统进行数据的访问、维护与处理，确保数据的安全性。最后则是异地容灾，也就是在不同的位置创建备份，确保数据的安全性，即便是一地发生故障也不至于数据出现丢失的状况。
（三）、主机系统安全防护措施分析
1）主机安全加固：采取调整主机的系统、网络、服务等配置的措施来提升主机的安全性，主要加固措施包括补丁加载、账户及口令的设置、登录控制、关闭无用的服务、文件和目录权限控制等。2）进行补丁管理：各种操作系统均存在安全漏洞，应定时安装、加载操作系统补丁，避免安全漏洞造成的主机风险。但针对不同的应用系统，安装操作系统补丁可能会对其造成不同程度的影响，因此，应在测试环境中先行测试安装操作系统补丁是否会对应用系统造成不良影响，确保安全无误后，方可应用于正式环境中。
（四）、针对应用系统的防护工作
首先需要实现应用系统的安全加固，另外还需要定期对系统进行检测。借助最新的身份认证功能，保证用户进入不对应用系统造成影响。并且还需要限制用户访问权限，不同的工作人员其访问权限需要固定，如有变动需要上级部门的批准方可执行。尽量避免出现多人共用一个账号的现象。针对数据的存储保密，为了保证数据的安全实现每天一次的备份，其备份设备应设置在场外。另外提供一个异地数据备份的功能，借助通信网络将其中核心数据实现定时、分量的传输，针对备份设备需要做好严格的管理，应避免出现未授权访问业务备份数据的现象。
（五）、提高国产化水平
提高电网软硬件设备及安全产品的国产化水平，实现信息安全问题的高度自主可控。坚持自主创新、自主研发，就是在摆脱外来技术掣肘、努力实现突发状况可控。一旦出现类似美加大停电、印度大停电这样的事件，若电网的安全产品以及技术都是国外的，那么后果将会很严重。目前，国家电网公司国产化已经达到90%，在保证电网安全的基础上，继续提高电网国产化水平，实现完全的自主可控。
结束语
总而言之，随着社会综合发展，国家要求智能电网向更高的阶段发展，实现智能电网的信息化、自动化。从根本上讲，智能电网信息系统的安全性将会直接影响到国家及社会的稳定。保障智能电网信息安全不仅需要安全防范技术，也需要结合对信息系统的相关管理。本文简要地分析了智能电网信息系统安全防护措施，提出了一套基于安全防护的、结合主动防御的信息系统安全防护体系，以提高智能电网信息系统的安全性。
参考文献
[1] 高昆仑，辛耀中，李钊，孙炜，南贵林，陶洪铸，赵保华. 智能电网调度控制系统安全防护技术及发展[J]. 电力系统自动化，2015，01：48-52.
[2] 何F诺. 试论智能电网的信息安全技术[J]. 通讯世界，2015，01：117-118.
一、自动化系统二次安全防护的现状
⑴自动化系统二次防护的简单结构。原有的电力自动化控制应用较为单一的控制系统，且系统中具有较少的业务模块，不同的业务模块之间单独运行，少有模块间、系统间的数据交换，故而所应用的二次防护系统结构比较简单。随着电力系统的不断发展，各类新技术不断更替，为了给予电网管理提供更好的服务，供电企业在电力调度自动化方面也投入了大量新技术的应用，例如IES调度自动化系统、调度一体化系统（EMS）、调度运行管理系统（OMS），仿真的调度员培训系统等。大量的系统应用，导致了自动化系统二次防护结构的复杂化。同时，庞大的数据传输要求，以及数据在各业务系统之间交换、共享的发展趋势，使我们对自动化系统就有了更高的二次安全防护要求。
⑵自动化系统二次防护措施达不到要求。目前的自动化系统的二次防护结构较为简单，基本上系统都没有部署防护措施，即使某些系统已经部署了相关防护措施，但也不能达到现行自动化系统对安全技术的要求，主要体现在以下几个方面：①目前的隔离设备装置达不到技术安全要求。普遍看来，现行的自动化系统的隔离装置在横向安全方面多数达不到新技术的要求，多家供电公司已经着手布置开展自动化系统二次安全防护的总体升级工作，并相应制订新的企业标准，重新规范了安全防护的网络技术要求，以此看来，现行的隔离设备已经不符合相关技术要求；②在网络数据通信中，没有安装纵向认证的加密装置，安全防护措施严重缺乏；③在维护远程拨号服务中，没有安装拨号加密的认证装置，达不到安全防护要求；④相关的主要服务器在控制区中，还没有加固主机。
⑶自动化系统二次防护的落后管理。因为自动化系统缺少防护技术的有效措施，导致自动化系统二次安全防护相关管理难度增大，很多管理措施难以有效落实。随着网络IT技术的快速发展，维护自动化系统的工作人员相关于网络黑客与网络安全的知识普遍落后不足，现有的安全防范技术水平也已经远远落后于网络带来的安全隐患。
二、自动化系统的二次安全防护措施
⑴二次安全防护的目标。①阻挡病毒或黑客使用各种形式入侵电力系统，尤其可以阻挡以集团形式进行的恶意攻击，能够确保系统调度中心运行的安全稳定；②抵御利用木马病毒的恶意程序损坏系统内部局域网而形成对系统的攻击入侵，并且以此跳板来攻击系统运行，尤其是系统的实时控制；③防止外部人员恶意攻击破坏系统调度中心，非法窃取信息资料，防止异常干扰二次系统，导致调度生产无法正常进行；④确保系统调度中心的历史资料与实时资料的安全性，防止信息资料被人非法入侵后恶意删除与修改，导致系统出现严重瘫痪等问题；⑤严格规范企业内部工作人员的行为，整体加强调度中心的安全管理，注重建立安全防护的相关规章制度，并且严格执行与监督。
⑵二次防护措施的部署策略。在网络基础上，自动化系统的二次安全防护的关键是控制生产系统，强化防护重点边界，在内部提高安全防护性能，确保重要数据和电力控制生产系统的安全。技术路线与防护模型主要是由反应、检测及防护组成的闭环系统。反应一般是指系统快速作出反应，联合防护调度系统以及快速处理网络系统；检测是在系统中安装检测外来入侵装置，对系统进行审计安全防护；防护是在系统中部署了隔离纵向装置、安全隔离横向装置、防病毒、防火墙等等。
①划分安全区。电力系统二次安全防护结构体系的基础是安全分区。按照内部原则，供电、电网与发电企业主要分为信息管理和控制生产两个大区。控制生产这个大区又可以分为控制区与非控制区，也就是相对应Ⅰ安全区和Ⅱ安全区。其中安全防护的核心和重点就是Ⅰ安全区。
②安全区的拓扑结构及防护措施。连接安全区的拓扑结构主要有星形、三角和链式结构三种。考虑到系统运行稳定以及资金投入的问题，使用链式结构比较合适，因为它使用较少的隔离装置，这样资金投入就减少了，并且安全强度可以有较高的累积。防护安全区的相关措施：a.在控制生产这个大区中，计量电能系统与自动化调度系统处于不同的网络，相互之间独立，一般不会有直接连接。但是由于考虑到生产调度管理系统在未来的建设使用，将会需要进行数据交换，两个系统之间就必须添加防火墙，用来控制网络之间的数据访问，阻止不合法的网络行为，禁止非法访问信息资源，从而来保护系统；b.二次系统的信息在WEB模块，该模块式位于信息管理大区的，在控制生产和信息管理大区之间部署了安全横向隔离装置，该装置是由国家电力部门认证检测的，能够阻挡Ⅰ、Ⅱ安全区之间的数据跨越和应用穿透；c.必须要确保系统中的WEB模块运行正常，避免报表器与WEB服务器遭到病毒的侵害，报表器、WEB器在与企业的数据网连接时就要设置防火墙。
③远方数据传输与安全区边界的安全防护。自动化系统的各级调度进行数据通信时，安全防护都要使用访问控制、加密、认证等相关技术措施，设置纵向认证的加密装置，确保远方数据传输的安全以及安全防护纵向边界。
④部署其它防护措施。a.设置IDS。在Ⅰ安全区与Ⅱ安全区分别设置入侵检测系统即IDS，对网络流量进行收集分析，检测异常现象或者入侵企图，可以实时报警，快速地作出相应；b.对远程拨号进行防护。防护各个业务系统之间的远程拨号，应该设置加密认证装置，远程用户在登录系统后，每一个操作行为，都要接受严格的审计，确保系统的安全运行；c.关于病毒的防护措施。调度自动化系统二次安全防护和网络安全之间最关键的就是防病毒安全措施。在Ⅰ、Ⅱ安全区的工作站和主机都要部署病毒防护措施；d.防护主机。防护主机安全的方式主要有：加固主机安全、安全补丁以及安全配置；e.加强管理应用系统与设备的接入。在控制生产大区中，禁止各个业务系统与互联网之间任何方式的连接；拨号功能限制开通，主机上的串行口、USB借口、光盘驱动、软盘驱动都要拆除或关闭，不得不保留的设备必须经过安全措施的严格检测。
⑶防护措施的具体实施。安全防护工作是一个渐进和长期的工程系统，并且它的实现技术难度很大，需要改造建设广域网络和大量的资金投入，考虑到这些因素，结合各种实际情况，实施的分步计划：①在第一阶段时，首先理清楚整个流程，修补系统的漏洞，制定出自动化系统二次防护方案；②在第二阶段时，确定出安全分区的边界，部署安全硬件的专用防火墙和安全隔离的专用装置，加装防病毒的软件，采用HTTP对WEB模块的功能安全进行改造，整合各种功能实现系统的镜像服务，健全系统安全的管理制度；③在第三阶段时，在产品之间部署安全纵向的加密认证，对远程拨号与移动办公系统的安全进行改造，安全防护的其它技术措施进一步地进行实施并测试，评估审计整个系统的安全性。
Abstract: It’s introduced that the campaign machinery and equipment should have the security protection facilities in factories, as well as how to check them during the safety evaluation of the status quo, finally, the author adviced that some measures , such as mechanization, automation of process control, alarm devices and warning signs, shoud be taken against to reducing the mechanical injury and non-mechanical-injury.
Key words: Security; Machinery; Defense facilities
中图分类号：P624.8文献标识码：A 文章编号：
1概述
在对工厂进行安全现状评价过程中有一个重要的项目，就是对现场状况进行检查。除了检查工厂周边区域环境、厂区平面布置、工艺操作及安全生产管理等外，最主要的一项应针对生产机械设备设施的安全防护设施进行检查。
机械设备本身应具有本质安全性能，不出现任何事故和危害，但往往很难做到或代价十分昂贵，因此常选择间接安全技术措施，即当不能或不完全能实现直接安全技术措施时，为机械设备设计出一种或多种安全防护装置，最大限度地预防、控制事故或危害的发生。一般机械设备是由电或燃油驱动和控制的，运动形式和危险部位较多。所以当机械或电子控制发生故障造成失控，或是人的行为失误时，设备上的安全防护设施就显得至关重要。因此，在进行安全评价时，对企业现场机械设备的安全防护设施检查也显得尤为重要。笔者根据多年基层工厂的经验和参加安全评价工作几年来对工厂现场检查的实践，认为对工厂现场生产机械设备的安全防护设施检查应首先检查其有无安全防护装置，再检查安全防护装置是否完好正常。
2工厂机械设备的安全防护装置的检查
笔者在在对工厂进行安全现状评价过程中，针对工厂不同的设备预先制定检查表，将这些机械设备按常规都应配置的安全防护装置用表格的形式列出，按表进行检查，以免遗漏，例如：
针对生产、使用、贮存或运输中存在有易燃易爆的生产设备如锅炉、反应釜、压力容器、可燃气体燃烧设备以及其它燃料燃烧设备的检查，按常规锅炉、反应釜、压力容器及燃烧设备等都应配置安全阀、水位计、温度计、防爆阀、自动报警装置、截止阀、限压装置、点火或稳定火焰装置等安全防护装置[1]。现场检查时对照检查表查看这些机械设备有无上述安全防护装置，是否正常完好。
针对工厂各种旋转机械的传动外露部分的检查，按常规如泵、风机及压缩机等运动机械的联轴器部位、砂轮机及电锯皮带轮等都应设防护装置，一般为防护网、防护栏杆、可动式或固定式防护罩和其它专用装置[2] [5]。现场检查时对照检查表查看这些机械设备有无上述安全防护装置，再看是否正常完好。并且有些可移动式防护罩还装有有联锁装置，当打开防护罩时，危险部分立即停止运动。如南京江宁区经济技术开发区金佰利个人卫生用品有限公司的卫生巾生产线就设有联锁装置，只要生产线上的防护罩一打开，生产线立即就停止运转。
针对起重设备的检查，按常规起重设备都应设有信号装置、制动器、卷扬限制器、行程限制器、自动联锁装置、缓冲器以及梯子、平台、栏杆等[3]。现场检查时对照检查表查看起重设备有无上述安全防护装置，再看是否正常完好。
针对冲压设备的检查，按常规冲压设备的施压部分应设置防如挡手板、拔手器联锁电钮、安全开关、光电控制等护装置[5]。现场检查时对照检查表查看冲压设备有无上述安全防护装置，再看当人体某一部分进入危险区之前，滑块能否停止运动，联锁电钮、安全开关是否正常完好。
针对自动生产线和复杂的生产设备及重要的安全系统的检查，按常规其都应设置自动监控装置、开车预警信号装置、联锁装置、减缓运行装置、防逆转等安全防护装置[1]。现场检查时对照检查表查看这些生产设备有无上述安全防护装置，是否正常完好。对加工过热或过冷的部件时，检查其是否已配置了防接触屏蔽装置[1]（在不影响操作和设备功能的情况下），避免操作者触及过热或过冷部件引起烫冻伤事故。
针对可能产生粉尘、有害气体及发生辐射的生产设备的检查，这些生产设备按常规都应安装自动加料及卸料装置、净化和排放装置、监测装置、报警装置、联锁装置、屏蔽装置等[4]。现场检查时对照检查表查看生产设备有无上述安全防护装置，是否正常完好。
对企业正在进行检修的机械电气设备的检查，检查时要看这些正进行检修机械电气设备是否已挂上“正在检修，禁止开机”、“正在检修，禁止合闸”等警告提示牌。
另外机械设备要是间接安全技术措施无法实现或实施时，可采用检测报警装置、警示标志等措施，警告、提醒作业人员注意，以便采取相应的对策措施或紧急撤离危险场所。
3结语
我们在对机械设备的安全防护设施进行检查都是为了实现工厂减少或不出现机械伤害和职业危害。只有当机械设备安全防护装置齐全，设备处于最佳组合时，它才能自动排除故障，确保人身和设备安全。在有条件的情况下应尽量采用机械化、自动化程序控制等，这是实现机械设备本质安全的最基本的途径。
参考文献
[1]全国注册安全评价师执业资格考试辅导教材编审委员会,安全生产技术[M].北京:煤炭工业出版社,2005.
[2]GB5226.1-2002,机械安全机械电气设备[S].
[3]GB/T6067-1985,起重机械安全规程[S].
[4]GB/T17150—1997,放射卫生防护监测规范[S].
[5]GB/T8196-2003,机械安全防护装置固定式和活动式防护装置设计与制造一般要求[S].
