Q/SY
中国石油天然气集团公司企业标准
Q/SY 201.2—2015 代替Q/SY201—2007
油气管道监控与数据采集系统
通用技术规范第2部分：系统安全
General technical specification of supervisory control and
data acquisition system for oil and gas pipelines-
Part 2:System security
2015—08—04发布
2015一11一01实施
中国石油天然气集团公司 发布 Q/SY201.2—2015
目 次
前言
1I
范围 2 术语和定义
1
一般要求 SCADA系统机房安全及设备安全软件安全
2
4
5
网络安全信息安全系统安全审计参考文献
6
IF Q/SY201.2—2015
前 兿育
Q/SY201《油气管道监控与数据采集系统通用技术规范》共有10个部分：一第1部分：功能设置； —第2部分：系统安全 —第3部分：设备编码； -第4部分：数据需求与管理； —第5部分：报警管理， —第6部分：人机面面： —第7部分：控制器程序编制； —第8部分：过程控制逻辑图：一第9部分：站场控制系统设计与集成：一第10部分：数据网络。 本部分为@/SY201的第2部分。 本部分按照GB/T1.1一2009《标准化工作导则 第1部分：标准的结构和编写》给出的规
起草。
本部分代替Q/SY201一2007《油气管道监控与数据采集系统通用技术规范》的第9章：与 Q/SY201一2.007中第9章的内容相比，主要技术差异如下：
一—补充了控制系统的物理安全、网络安全要求（见第3章、第6章，2007年版的9.5）； -软件安全方面补充了系统专用、端口防护、病事防护要求（见5.15.4，5.5，2007年版的
9. 5. 3) g —信息安全方面增加了信息备份与恢复内容（见7.3）；一增加了系统安全审计要求（见第8章）。 本部分由中国石油天然气集团公司标准化委员会天然气与管道专业标准化技术委员会提出并
归口。
本部分起草单位：北京油气调控中心、 管道分公司、西部管道分公司、西气东输管道分公司、北京天然气管道有限公司、管道工程有限公司。
本部分主要起草人。闫峰、额辉、梁建青、王海峰、李官政、董秀娟、张监、刘庆宏、樊欣。
I Q/SY 201.2—2015
油气管道监控与数据采集系统通用技水范
第2部分：系统安全
1范围
Q/SY201的本部分规定了油气管道监控与数据采集系统（SCADA系统）安全防护的要求。 本部分适用于新建油气管道SCADA系统安全防护方面的建设和管理。
2术语和定义
下列术语和定义适用于本文件。
2, 1
远程诊断维护系统 remote disgmostics smd mamtenamce system 通过在管道站场部署数据采集设备：并通过计算机网络实现对站场智能设备运行状态实时监视、
诊断和远程维护的应用系统。 2.2
中间数掘库平台 andldlle dletabsse plletformm SCADA系统生产专网与企业信息网络之间的数据缓冲隔离层，作为企业信息网络应用系统获取
SCADA生产数据的唯一数据源。 2.3
理高装置 p.hysicsll isollatiom dlevice 即网闻，是一种在电路上切断网络之间的链路层连接，并能够在网络间进行安全适度的应用数据
交换的网络安全设备。 2. 4
草向隔商装置 ome-way pnysicall isolliation dlevice 即单向网闻，通过采用单向传输技术，实现数据从安全级别高的网络向安全级别低的网络单向流
动的网络安全设备。
3一般要求
3.1 SCADA系统安全防护应覆盖系统的物理设备、安装环境、软件、网络、信息等所有安全范雨。 3.2 SCADA系统安全防护采用的防护设备或软件应对SCADA系统正常运行的影响降到最低。 3.3 SCADA系统与外部应用系统网络连接时，应参照系统结构示意图（如图1所示）执行。
4SCADA系统房安全及投客安全
4。1 机房应设叠在电力稳定可靠、清洁安静、无强电磁场干扰、并远离强震动源和强噪声源、密闭的建筑内。 4。2 机房应具备防雷和防静电要求，并设置可靠的接地设施。 4.3 机房应设置火灾报警系统和灭火设备。 4.4 系统设备应采用UPS供电：UIPS提供的后备电源时间不得少于2h。
1 Q/SY201.2—2015
- 1 1
地区公司或管理处（分公司）监视终端
企业应用服务器
家生验生品生品
企业信息网
SCADA专网
1 -
控制中心
工作站
-
中间数据库平台
移动终端企业信息网
SCADA专网
单向隔离装置
-
SCADA服务器
生产辅助系统服务器
- - - -
移动维护终端
SCADA专网
管道站场
SCADA专网
远程诊断维护网
-
现场控制器
6
0
数据采集器
生吧站控机
物理隔离装置
远程诊断维护服务器
注1：在控制中心（包括主、备中心）SCADA专网可包括实时服务器、历史服务器、生产辅助系统、调
度操作员工作站等。 注2：在企业信息网上运行有中间数据库平台为企业应用系统提供数据等服务。 注3：在站场控制系统中包括现场控制器、站控机注4：地区公司或管理处设置控制中心SCADA系统数据远程监视终端注5：有些地区公司设置了远程诊断维护系统，通过在站控系统部署数据采集设备：采集站场各设备运行
信息，并通过网络传至地区公司，用于设备运行状态的实时监视、诊断和远程维护。
图1 系统结构示意图（虚线内为SCADA系统）
4.5控制中心SCADA系统主要设备（服务器、网络设备）应余设置。 4.6 管道站场（除阀室、高点、清管站外）控制系统中的电源、控制器、网络应允余设置。
5软件安全
5.1 系统专用
5.1.1系统服务器和操作员工作站应遵循最小安装原则，应仅安装SCADA系统本身组件、必要的病毒防护软件及操作系统补丁程序。 5.1.2数据采集通信服务器、智能控制器应仅安装与数据采集及监控相关的程序代码。
2 Q/SY201.2—2015
5.2用户账户 5.2.1系统应用操作与系统维护应采取用户账户控制方式，并根据用户类别设置分级权限。 5.2.2用户权限分级应至少包括系统管理员和系统操作员两级权限。系统管理员应具备系统组态、 系统配置、用户权限及密码、系统管理等权限。系统操作员应具备控制画面操作、数据查询、报警确认、下发命令等权限。 5.2.3系统管理员应定期对系统中账户进行审查和确认，禁用或删除多余账户。 5.2.4用户账户与密码应一一对应。 5.3密码防护 5.3.1服务器和工作站操作系统、网络设备配置管理软件、SCADA应用软件系统应采取系统登录及系统操作密码防护手段。 5.3.2系统软件的密码设置与管理应遵守如下原则：
a） 密码的设置应遵循规范原则，密码最小长度为6位，且必须为数字与英文字母组合形式。 b） 由于某种原因密码外泄后需立即更改密码设置。 c) 控制中心重要的软硬件系统配置及管理界面宜结合动态口令、物理设备、生物识别和数字证
书等鉴别技术。
d）用户账户和密码应备案并由系统管理员保管。 5.4端口策略与服务控制 5.4.1系统服务器和工作站的操作系统应关闭与数据采集及监控无关的系统服务和协议端口，操作系统如有系统防火墙功能应将其开启，并设置安全防护策略。 5.4.2应限制对系统服务器的远程登录方式，并开启地址范围限制策略 5.4.3启用服务器操作系统安全审计，设置文件系统的访问权限，删除系统默认共享。 5.5 病毒防护与补丁更新 5.5.1 应对SCADA系统进行病毒主动防护工作，具体包括：
a） SCADA系统的服务器和工作站应配置防病毒软件，并及时下载与更新测试成功的防病毒软
件病毒库。 b） SCADA系统网络中如果部署有防病毒服务器，该服务器应与互联网物理隔离。 c) 应限制光盘和移动存储介质的使用。因设备调试、系统升级等，确需通过存储介质向系统加
载数据与程序文件，应先对存储介质进行离线查杀病毒后再使用，
d) 接入SCADA系统网络的计算机设备，必须先安装杀毒软件并查杀病毒后，方可接入
SCADA系统网络。
5.5.2SCADA系统服务器、工作站、网络设备应进行必要的补丁更新。
6网络安全
6.1 通信链路 6.1.13 SCADA中控与站控系统在通信链路选择上应采用主备路由通信，主备路由应采用不同通信方式。 6.1.2 ：SCADA系统各通信链路带宽分配应满足监控数据传输的需求。
3 Q/SY201.2—2015
6.2网络结构 6.2.1SCADA系统中关键设备应采用双网元余的网络架构 6.2.2SCADA系统网络规划设计应采用网络防火墙或物理隔离装置等网络安全防护手段。 6.3网络分区与边界防护 6.3.1SCADA系统网络作为专用的生产控制网络，应具有相对独立性与封闭性。 6.3.2不应从互联网对SCADA系统直接进行访问。 6.3.3外部应用系统网络如需与SCADA系统网络进行连接，应在两者之间部署网络防火墙及物理隔离装置。 6.3.4各管道站控系统网络间可采用网络防火墙划分不同VLAN、设置访问列表、限制访问协议和端口等控制方式实现网络安全域的划分及网络访问控制。 6.4网络监控与管理 6.4.1 网络中具有配置管理功能的网络设备与主机节点均应配置设备管理地址及开启事件日志。 6.4.2所有与SCADA网络进行连接的计算机、网络设备均应经过授权。 6.4.3 网络设备中不使用的网络端口应立即作停用处理，并定期对网络和端口进行巡检， 6.4.4控制中心SCADA系统网络宜应用人侵监测系统实现网络安全运行状态（设备状态、网络流量）的自动监测，并在侵入事件发生时能够及时自动监测并通知系统管理人员。
7信息安全
7.1保密措施 7.1.1 应限制SCADA系统中移动存储介质的接入，系统更新与数据交互需使用内部专用存储介质由内部管理人员实施操作。 7.1.2所有存储有SCADA系统信息的电子媒介，应采取物理破坏的办法来进行处理。 7.1.3服务器控制台访问应开启超时锁定功能。 7.1.4第三方系统服务商应与用户签订保密协议。 7.2访问控制 7.2.1除主备中心SCADA系统和远程诊断维护系统外，严禁其他外部应用系统对站控系统进行访问。 7.2.2远程诊断维护系统不应对站控系统中的控制设备进行远程操作和程序下载等工作， 7.2.3外部应用系统不应直接访问SCADA系统的实时与历史数据库，可设置一个中间数据库平台，作为应用系统读取生产数据的唯一数据源。 7.3信息备份与恢复 7.3.1每周对控制中心SCADA系统工程信息进行一次增量备份，每月进行一次完全备份。 7.3.2在SCADA系统升级或维护之前，应对系统软件和工程信息进行备份。 7.3.3在对SCADA系统进行恢复操作前，应在测试系统上测试通过后，才能在在线生产环境进行恢复操作。
4 Q/SY201.2—2015
：系统安全审计
8
8.1系统安全审计应覆盖到系统全部用户的登录及系统变更操作，对SCADA系统重要安全事件进行审计，应包括以下事件：系统管理（用户管理、授权管理等）、配置管理（安全参数的设置和修改）等。 8.2系统安全审计应能够对应用SCADA系统进行管道控制的各项操作进行有效记录， 8.3系统安全审计记录内容应将每个可审计事件与引起该事件的用户身份相关联。内容应包括：事件发生的时间（或时间段）、事件发起用户名、用户操作的客户端标识、事件内容、事件的结果。 8.4应具备对审计记录和审计工具的保护能力，禁止非授权的访问、修改和删除。 8.5 每年对审计记录进行维护与备份归档。
L