移动式发电厂工控系统安全运维装置XYF-A3000从信息系统运维安全防护、运行维护监控[2]和数据安全摆渡角度出发，从根本上解决了现场运维的信息网络中存在的安全威胁问题，同时有效地收集、分析和关联整个发电厂监控系统中的信息以解决现场运维问题。因此，通过部署移动式安全运维系统，可有效解决发电厂工控系统现场运维风险，保障信息系统安全，实现安全运维装置管理的八大功能：集成符合现场运维特点的堡垒机[3]功能、集成防火墙[4]功能、集成KVM（keyboard, video and mouse）[5]功能、集成防病毒软件、集成USB数据保护、集成人员双因素认证[6]、集成工单管理功能以及可保管常用协议和软件功能。如图2所示。

1　集成符合现场运维特点的堡垒机功能

现场运维的常用操作是通过直接接入设备的串口或通过KVM设备进行的，移动式发电厂工控系统安全运维装置的移动运维终端集成了符合现场运维特点的的堡垒机功能。除了保留传统堡垒机的特点，该终端还支持命令行（ssh、telnet）、图型化（rdp、浏览器）以及相关自定义的协议，从而实现支持串口操作、KVM操作审计的功能。在现场运维过程中，运维人员自身携带的笔记本电脑也可以通过该装置接入来有效地进行运维操作，如图3所示。

2　集成防火墙功能

移动式发电厂工控系统安全运维装置的移动运维终端集成了防火墙功能，该功能和移动式发电厂工控系统安全运维装置的任务配置下达与工单管理功能相结合，可以实现数据操作设置和访问的权限管理，从而有效提高现场运维的安全性。

3　集成KVM功能

现场运维的常用操作可以通过KVM设备进行，且现场运维又经常需要进行对设备的视频与USB接口的连接，因此，移动式发电厂工控系统安全运维装置中的移动运维终端利用隔离和摆渡[7]原理对现场运维必要的配件进行配置，集成了KVM以便于现场运维时携带。该装置不仅可减少运维准备时间，也间接减小USB攻击等发生的可能性，提高现场运维的安全性。

4　集成防病毒软件

传统的信息网络存在木马等病毒的安全威胁，因此，目前运维平台系统集成了国产瑞星杀毒软件[8]以防杀运维操作过程中的病毒。它主要查杀由外部U盘插入USB端口时所带来的病毒。该杀毒软件仅在拷入数据时调用，不会长期在后台运行，对系统性能并未产生影响。与此同时还支持隔离处置带毒程序，针对工业控制系统类的病毒有比较高的查杀能力。

5　集成USB数据保护

现场运维通常通过USB接口进行数据传输，这一操作过程也是信息安全须重点防范之处。移动式发电厂工控系统运维装置配备了安全专用U盘来实现USB数据摆渡功能。运维人员可以通过装置配备的安全专用U盘摆渡[9]来拷贝运维设备中的数据，从而确保数据安全。

6　集成人员双因素认证

现场操作人员的认证是保证信息安全的重要手段，移动式发电厂工控系统运维装置提供了运维人员多因子认证功能，通过动态令牌[10]、密码和USBKEY[11]等多种认证手段来确保操作人员的唯一性。运维人员在进行运维任务前，必须满足多种认证机制方可使用运维平台开展维护工作，保障了维护工作的可靠性。

7　集成工单管理功能

移动式发电厂工控系统安全运维装置为了更好的进行系统运维，解决实际运维过程中工单制作和反馈机制相对脱节的问题，集成了工单制作和反馈功能。通过该装置，运维人员外出到现场运维前，可以通过后台安全运维管理平台制作下发工单，明确此次运维所需的设备与运维内容，并下传到移动运维管控终端。运维人员根据下发的运维任务在现场通过移动运维管控终端进行操作运维后，可直接在移动运维管控终端中填写工单完成情况，并在运维结束将工单回传至后台安全运维管理平台。

8　可保管常用协议和软件功能

移动式发电厂工控系统安全运维装置可将客户常用的各类软件与协议集成到系统中来保管，并可下载到移动运维管控终端中，方便这些软件与协议的管理，同时也方便现场操作人员的使用，还能保证发电厂控制系统运维的安全性。