Q/SY
中国石油天然气集团公司企业标准
Q/SY 05201.2—2016
（2016年确认）
油气管道监控与数据采集系统
通用技术规范第2部分：系统安全
General technical specification of supervisory control and
data acquisition system for oil and gas pipelines-
Part 2:System security
2016-11－15发布
2016－11－15实施
中国石油天然气集团公司 发布 Q/SY05201.2—2016
再版说明
本标准在发布时，按照《关于调整集团公司企业标准编号规则的通知》（中油质【2016】434号）的要求对标准编号进行了修改。
本次印刷与前一版相比，技术内容与前版完全一致。 本次仅对标准的封面进行了如下修改：
标准编号由Q/SY201.2—2015修改为Q/SY05201.2—2016。 Q/SY05201.2—2016
目 次
前言
1
范围 2 术语和定义 3 一般要求 4 SCADA系统机房安全及设备安 5 软件安全
.E.E..
网络安全信息安全
6
0
7
8 系统安全审计参考文献
I Q/SY05201.2—2016
前 創言
Q/SY05201《油气管道监控与数据采集系统通用技术规范》共有10个部分：
第1部分：功能设置；第2部分：系统安企第3部分：设备编码：第4部分：数据需求与管理第5部分：报警管理；第6部分：人机画面第7部分：控制器 器程序编制：第8部分：过程控 空制逆辑图：第9部分：站场控制系统设计与集成；第10部分：数据网络
本部分为Q/SY05201的第2部分。 本部分按照GB/T1.1-20119 标准化工作导则 第1部分 标准的结构和编写》给出的规则
起草。
本部分代替Q/SY201 2007油气管道监控与数据采集系统道用技术规范》的第9章，与 Q/SY201一2007中第9章的内容相比。主要技术差异如下
补充了控制系统的物理安全、网络安全要求（见第3章、第6章，2007年版的9.5）；软件安全方面补充了系统专用、端口防护、病毒防护要求（见5.15.4.5.5.2007年版的 9.5.3); 信息安全方面增加了信息备份与恢复内容（见7.3》：增加了系统安全审计要求（见第8章）。
本部分由中国石油天然气集团公司标准化委员会天然气与管道专业标准化技术委员会提出并归口。
本部分起草单位：北京油气调控中心、管道分公司、西部管道分公司 西气东输管道分公司、北京天然气管道有限公司、管道工程有限公司
本部分主要起草人：闫峰、颜辉、 梁建青、王海峰、李官政 董秀娟、张监、刘庆宏、樊欣。
II Q/SY05201.2—2016
油气管道监控与数据采集系统通用技术规范
第2部分：系统安全
范围
1
Q/SY05201的本部分规定了油气管道监控与数据采集系统（SCADA系统）安全防护的要求。 本部分适用于新建油气管道SCADA系统安全防护方而的建设和管理
2 术语和定义
下列术语和定义适用于本文件
2.1
远程诊断维护系统 tremotediagnostics andmaintenancesystem 通过在管道站场部署数据采集设备。 并通过计 算机网络实现对站场智能设备运行状态实时监视、
诊断和远程维护的应用系统 2. 2
中间数据库平台 middledatabaseplatform SCADA系统生产专网与企业信息网络之间的数据缓冲隔离层，作为企业信息网络应用系统获取
SCADA生产数据的唯一数据源 2. 3
物理隔离装置 physical isolation device 即网闸，是一种在电路上切断网络之间的链路层连接，并能够在网络间进行安全适度的应用数据
交换的网络安全设备。 2. 4
单向隔离装置 one-way physical isolation device 即单向网闸，通过采用单向传输技术，实现数据从安全级别 高的网络向安全级别低的网络单向流
动的网络安全设备。
3一般要求
3.1SCADA系统安全防护应履盖系统的物理设备、安装环境、软件 网络、信息等所有安全范围。 3.2SCADA系统安全防护采用的防护设备或软任应对SCADA系 统正常运行的影响降到最低。 3.3SCADA系统与外部应用系统网络连接时，应参照系统结构示意图（如图1所示）执行。
4 SCADA系统机房安全及设备安全
4.1 机房应设置在电力稳定可靠、清洁安静、无强电磁场干扰、并远离强震动源和强噪声源、密闭的建筑内。 4.2机房应具备防雷和防静电要求，并设置可靠的接地设施。 4. 3 机房应设置火灾报警系统和灭火设备。 4. 4 系统设备应采用UPS供电，UPS提供的后备电源时间不得少于2h。
1 Q/SY05201.2—2016
地区公司或管理处（分公司）监视终端
I I I I - I 1 1 I - -
企业应用服务器
实生理、空丽业题
Bu
企业信息网
SCADA专网
控制中心
工作站
中间数据库平台
生调业
移动终端
-
SCADA专网
企业信息网
单向隔离装置
-
SCADA服务器 .
生产辅助系统服务器
1
- - - - -
SCADA专网
移动维护终端
管道站场
SCADA专网
远程诊断维护网
1
-
现场控制器
=
数据采集器
全品站控机！
远程诊断维护服务器
物理隔离表置
注1：在控制中心（包括主、备中心）SCADA专网可包括实时服务器、原史服务器、生产辅助系统、调
度操作员工作站等。
注2：在企业信息网上运行有中间数据库平台为企业应用系统提供数提注3：在站场控制系统中包括现场控制器。站控机注4：地区公司或管理处设 受置控制中心SCADA系统数据远程监视终理注5：有些地区公司设置丁远程诊断 维护系统，通过在站控系统部署数据乘集议设备，采集站场各设备运行
信息，并通过网络传 至地区会 用于设备运行状态的实时监视、诊断和远程维护。
图 系统结构示意图虚线内为SCADA系统）
元余设置。
4. 5 控制中心SCADA系统主要议 4. 6 管道站场（除阀室、高点、清管站外）控制系统中的电源、控制器、网络应允余设置。
页络计
5 软件安全 5.1 系统专用 5. 1. 1 系统服务器和操作员工作站应遵循最小安装原则，应仅安装SCADA系统本身组件、必要的病毒防护软件及操作系统补丁程序。 5. 1. 2 数据采集通信服务器、智能控制器应仅安装与数据采集及监控相关的程序代码。 2 Q/SY05201.2—2016
5. 2 2用户账户 5.2.1系统应用操作与系统维护应采取用户账户控制方式，并根据用户类别设置分级权限。 5.2.2用户权限分级应至少包括系统管理员和系统操作员两级权限。系统管理员应具备系统组态、 系统配置、用户权限及密码、系统管理等权限。系统操作员应具备控制画面操作、数据查询、报警确认、下发命令等权限。 5.2.3系统管理员应定期对系统中账户进行审查和确认，禁用或删除多余账户。 5.2.4 用户账户与密码应 一对成 5.3 密码防护 5.3.1 服务器和工作站操作系统、网络设备配置管理软件、SCADA应用软件系统应采取系统登录及系统操作密码防护手段 5.3.2 系统软件的密码设置专管理应遵实如下原则：
a) 密码的设置应遵循现范原则，密码最小长度为6位，且必须为数字与英文字母组合形式。 b) 由于某种原因密码外泄后 即更改密码设置 c) 控制中心重要的软硬件系配置 及管理界面宜结合动态口令 物理设备、生物识别和数字证
书等鉴别技术。
d) 用户账户和密码应备案并白系统管理员保管 5. 4 端口策略与服务控制 5. 4. 1 系统服务器和工作站的操作系统应关州与数据采集及监控无关的系统服务和协议端口，操作系统如有系统防火墙功能应将其开启，并设置安全防护策略。 5. 4. 2 应限制对系统服务器的远程登录方式，并开启地址范围限制策略 5, 4.3 启用服务器操作系统安全审计，设置文件系统的访问权限，删除系统默认共享。 5.5 病毒防护与补丁更新 5.5.1 应对SCADA系统进行病毒主动防护工
SCADA系统的服务器和工作站应配置防病毒软件.并 及时下载 与更新测试成功的防病毒软件病毒库。
a)
b) SCADA系统网络 客中如果部署有防病毒服务器，该服务器应与互联网物理隔离。
应限制光盘和移动存储介质的使用。因设备调试、系统升级等。 确需通过存储介质向系统加载数据与程序文件， 应先对存储介质进行离线查杀病毒后再使川。
)
d) 接人SCADA系统网络的计算机设备·必须先安装杀毒 软件并查杀病毒后，方可接人
SCADA系统网络。
5.5.2 SCADA系统服务器、工作站、网络设备应进行必要的补丁更新。
6网络安全
6.1 通信链路
6.1.1 SCADA中控与站控系统在通信链路选择上应采用主备路由通信，主备路由应采用不同通信方式。 6. 1. 2 SCADA系统各通信链路带宽分配应满足监控数据传输的需求。
3 Q/SY05201.2—2016
6.2 网络结构 6.2.1 SCADA系统中关键设备应采用双网穴余的网络架构， 6. 2.2 SCADA系统网络规划设计应采用网络防火墙或物理隔离装置等网络安全防护手段。 6.3 网络分区与边界防护 6.3.1 SCADA系统网络作为专用的生产控制网络，应具有相对独立性与封闭性。 6.3.2 不应从互联网对SCADA系统直接进行访问。 6.3.3 外部应用系统网络如需与SCADA系统网络进行连接，应在两者之间部署网络防火墙及物理隔离装置。 6.3.4各管道站控系统网络间可采用网络防火墙划分不同VI.AN、设置访问列表、限制访问协议和端口等控制方式实现网络安全域的划分及网络访间控制 6.4 网络监控与管理 6. 4. 1 网络中具有配置管理功能的网络设备与主机节点均应配置设备管理地址及开启事件日志。 6. 4.2 所有与SCADA网络进行连接的计 算机、 网络设备均应经过授权。
网络设备中不使用的网络端口应立即作停用处理，并定期对网络和端口进行巡检。 6.4.4控制中心SCADA系统网络管 宜应用人侵 监测系 统实现网络安全运 行状态（设备状态、网络流量）的自动监测，并在侵人事件发生 时能够及 时自动监测并通知系统管理人员。
6. 4. 3
7信息安全
7. 1 保密措施 7. 1. 1 应限制SCADA系统中移动存储介质的接入，系统更新与数据交互需使用内部专用存储介质由内部管理人员实施操作。 7.1.2所有存储有SCADA系统信息的电子媒介，应采取物理被坏的办法 来进行处理。 7. 1. 3 服务器控制台访问应开启超时锁定功能 7. 1. 4 第三方系统服务商应与用户签订保密协议 7. 2 访问控制 7. 2. 1 除主备中心SCADA系统和远程诊断维护系统外，严禁其他外部应用系统对站控系统进行访间。 7. 2. 2 远程诊断维护系统不应对站控系统中的控制设各进行远程操作和程序下载等工作。 7.2.3 外部应用系统不应直接访问SCADA系统的实时与历史数据库，可设置一个中间数据库平台，作为应用系统读取生产数据的唯一数据源。 7. 3 信息备份与恢复 7. 3. 1 每周对控制中心SCADA系统工程信息进行一次增量备份，每月进行一次完全备份。 7. 3. 2 在SCADA系统升级或维护之前，应对系统软件和工程信息进行备份。 7.3.3在对SCADA系统进行恢复操作前，应在测试系统上测试通过后，才能在在线生产环境进行恢复操作。
4