主要技术内容
3术语和定义
GB/T 25069—2022、GB/T 20984—2022、GB/T 28458—2020、GB/T 30276—2020、GB/T 30279—2020 界定的术语和定义适用于本文件。
3.1油气管网系统（oil and gas pipeline network system）
由原油、天然气等油气输送管道、站场（增压站、分输站、储备库等）、调控中心及配套的工业控制系统（如监控与数据采集系统 SCADA、集散控制系统 DCS、可编程逻辑控制器 PLC、远程终端单元 RTU 等）、通信网络、数据存储与处理设施等组成，用于油气长距离输送、调度与存储的复杂系统。
3.2油气管网工控系统网络安全事件（cybersecurity incidents in oil and gas pipeline systems）
因技术缺陷、网络攻击诱发或外部因素，导致油气管网系统的网络、数据、工控功能等遭受破坏或异常，导致油气管网工控系统网络、数据或工控功能异常，影响油气输送安全、公共安全或造成经济损失的事件。
3.3油气核心数据（core data of oil and gas）
油气管网系统中关系国家能源安全、经济运行的数据，包括国家级管网拓扑、主干管道输量参数、战略储备数据等，其泄露或篡改可能直接影响能源供应安全。
3.4工控系统漏洞（vulnerabilities in industrial control systems）
油气管网 SCADA、DCS、PLC/RTU 等设备中存在的协议缺陷（如油气行业专用通信协议漏洞）、权限配置缺陷等，可被利用导致控制功能异常或数据泄露的安全隐患。
4网络安全事件分类
4.1 分类原则
参照GB/T 20986—2023的通用分类框架，适配GB/T 30279—2020的工业控制系统场景要求，将油气管网工控系统网络安全事件分为 6 大类，每类包含若干子类，覆盖油气输送全流程的网络安全风险点。分类架构图如图1所示。
图 1 油气管网工控系统网络安全事件分类架构图
4.2 事件类别
4.2.1 恶意程序事件
指由植入并执行的恶意代码或软件所引发的事件。此类事件的核心特征是具有自我传播或自动执行恶意功能的软件实体。
工控恶意软件事件：针对油气管网工控系统的恶意软件（如 TRITON、BlackEnergy 或油气行业专用恶意程序）入侵，导致 PLC 控制指令异常、SIS 安全仪表系统失效等。
勒索软件事件：攻击者加密调控中心业务系统、工控设备程序或数据服务器（如存储油气输送历史数据的服务器），索要赎金的事件，导致调度决策或应急处置受阻。
挖矿病毒事件：恶意程序占用工控终端、服务器算力，造成油气数据采集延迟、系统响应缓慢的事件。
僵尸网络事件：指油气管网系统中的设备被恶意程序控制，形成僵尸网络节点，参与发起DDoS攻击或作为攻击跳板。
4.2.2 网络攻击事件
指通过网络技术手段，主动对油气管网系统发动攻击的行为所引发的事件。
高级持续性威胁（APT）事件：攻击者通过长期潜伏（如供应链渗透油气设备厂商）、定向钓鱼等方式，窃取油气核心数据或破坏调控系统的高级持续性威胁事件。
拒绝服务攻击事件：指通过分布式拒绝服务（DDoS）或其他流量型攻击，耗尽油气管网工控系统网络带宽、处理资源，导致调控中心SCADA系统、站场控制系统或通信网关服务不可用的事件。
工控协议攻击事件：指利用Modbus、DNP3、IEC 104等工控协议或油气行业专用通信协议的安全缺陷，实施未授权访问、指令重放、指令注入或参数篡改，从而影响生产控制的事件。
数据链路上攻击事件：指在油气数据传输通道上，通过窃听、劫持、重放或中间人攻击等手段，非法获取或篡改传输中的生产计划、贸易计量等业务数据的事件。
身份与凭证攻击事件：指通过密码爆破、凭证窃取、会话劫持等手段，非法获取并滥用合法用户身份，以横向移动访问核心系统的事件。
4.2.3 数据安全事件
涉及油气管网系统数据泄露、篡改、丢失等的事件，参考GB/T 20986—2023及能源行业数据安全要求：
油气核心数据泄露事件：国家级管网拓扑、主干管道实时输量、战略储备数据等油气核心数据被窃取或非法公开的事件。
工控数据篡改事件：输气压力设定值、原油管道防腐层监测数据、阀门开度指令等工控数据被伪造，导致调度决策错误（如误判管道安全状态引发超压风险）的事件。
数据丢失事件：因勒索软件加密、存储设备故障或人为操作失误，导致站场历史运行数据、油气应急处置预案、管道检测报告等重要数据永久丢失的事件。
4.2.4 漏洞与配置事件
工控协议漏洞利用事件：Modbus、DNP3 等工控协议或油气专用协议存在未授权访问、指令注入漏洞，被利用导致输油气控制异常（如远程非法开启紧急切断阀）的事件。
设备固件漏洞事件：PLC、RTU 等工控设备固件存在漏洞，被利用导致设备离线、数据采集错误的事件（如天然气站场 RTU 固件漏洞导致压力监测失效）。
权限配置缺陷事件：因账号权限未遵循最小化原则，非授权人员（如外部维护人员超权限）操作调控系统，修改油气输送参数的事件。
4.2.5 工控系统事件
SCADA 系统异常事件：调控中心 SCADA 系统核心功能瘫痪，无法远程监控油气管网运行状态的事件。
传感器数据异常事件：PLC/RTU遭网络攻击，导致传感器采集数据失真的事件（如原油管道温度传感器错误上报 “超温报警” 引发误停机）。
执行机构控制异常事件：攻击者通过网络远程操控油气管道阀门、压缩机、泵等执行机构，导致输油气中断、压力异常的事件。
4.2.6 设备与通信故障事件
由硬件故障或通信异常引发的网络安全事件：
油气通信链路中断事件：油气管网主干通信光缆、卫星通信链路被破坏或遭攻击（如通信劫持），导致多个站场与调控中心失联的事件。
电磁干扰事件：恶意电磁干扰导致工控设备通信丢包、调控指令传输延迟或错误的事件。
5网络安全事件分级
依据 “危害程度 - 影响范围 - 处置难度” 三维度，结合 GB/T 20986—2023 的分级方法与油气管网行业特性，将事件分为特别重大（Ⅰ 级）、重大（Ⅱ 级）、较大（Ⅲ 级）、一般（Ⅳ 级）四级。分级判定采用 “单维度达标即定级” 原则，即任一维度满足更高级别标准时，按最高级别判定。
5.1 分级核心维度
a)危害程度：包括人员伤亡、经济损失、数据安全危害（核心 / 重要数据泄露规模）、社会危害（能源供应影响）。
b)影响范围：包括系统影响范围（核心 / 区域工控系统）、地理影响范围（省级 / 地市级输油气区域）。
c)处置难度：包括系统恢复时间、应急资源投入（跨部门 / 跨区域协同需求）。
5.2 分级准则
网络安全事件分级详细准则如下表1。
表1 网络安全事件分级准则
事件级别 判定标准（满足任一条件） 参考标准依据
特别重大（Ⅰ 级） 1. 数据安全：核心能源数据大规模泄露（≥10 万条）或被篡改，影响国家能源安全；
2. 系统影响：一级管道中控系统完全瘫痪，72 小时内无法恢复；
3. 供应影响：导致 2 个及以上省级行政区域天然气供应中断＞24 小时；
4. 经济损失：直接经济损失≥1 亿元或造成 30 人以上死亡。 GB/T 20986—2023
GB/T 30279—2020
重大（Ⅱ 级） 1. 数据安全：重要能源数据泄露（≥5 万条）或核心数据少量泄露（＜10 万条）；2. 系统影响：二级管道中控系统瘫痪，48 小时内无法恢复；
3. 供应影响：导致 1 个省级行政区域内多个地市级供应中断＞12 小时；
4. 经济损失：直接经济损失≥5000 万元且＜1 亿元或 10-30 人死亡。 GB/T 20986—2023
GB/T 30279—2020
较大（Ⅲ 级） 1. 数据安全：重要能源数据泄露（1-5 万条）或被篡改影响区域调度；
2. 系统影响：油气站场工控系统瘫痪，24 小时内无法恢复；
3. 供应影响：导致 1 个地市级行政区域内多个县级供应中断＞6 小时；
4. 经济损失：直接经济损失≥1000 万元且＜5000 万元或 3-10 人死亡。 GB/T 20986—2023
YD/T 6008—2024
GB/T 30279—2020
一般（Ⅳ 级） 1. 数据安全：一般能源数据泄露或重要数据少量泄露（＜1 万条）；
2. 系统影响：油气站场局部工控设备故障，12 小时内可恢复；
3. 供应影响：导致 1 个县级行政区域局部供应中断≤6 小时；
4. 经济损失：直接经济损失≥100 万元且＜1000 万元或 3 人以下死亡。 GB/T 20986—2023
YD/T 6039—2024
GB/T 30279—2020
5.3 分级判定流程
a)事件识别：通过安全管理或态势感知平台及工控安全监测、日志审计、网络隔离等设备捕获异常，记录事件发生时间、涉及系统及初步现象。
b)类别判定：依据第 4 章分类方法，确定事件所属类别（如 “工控恶意软件事件”“油气核心数据泄露事件” 等）。
c)维度评估：
1)数据安全维度：参照DB14/T 3551—2025《能源数据安全保护分类分级指南》界定数据级别及泄露或篡改规模；
2)系统影响维度：依据 GB/T 30279—2020 评估工控系统瘫痪范围及恢复难度；
3)供应影响维度：结合 DB21/T 4170—2025 的区域影响评估方法确定波及范围。
d)级别判定：对照 5.2 条准则确定初步级别，存在争议时启动专家复核（需包含工控安全、网络安全、油气输送 3 类专家）。
e)结果输出：形成包含 “事件类别 - 级别 - 核心影响因素” 的判定报告（如 “工控恶意软件事件 -Ⅱ 级 –二级管道中控系统受攻击瘫痪”），为后续处置决策提供依据。
适用范围
本标准规定了油气管网工控系统网络安全事件的术语和定义、分类方法、分级准则、判定流程及应用要求。
本标准适用于原油、天然气等油气管网运营单位、网络安全服务机构、监管部门开展网络安全事件的监测预警、应急处置、分析评估等工作，覆盖油气管网的工业控制系统、通信网络、数据资产及关联设施。
是否包含专利
否
