500?kV變電站二次安全防護

郭志彬

（福建省電力有限公司檢修分公司廈門分部，福建 廈門 361004）

1 概述

隨著電網的快速發展，電力生產調度的業務在不斷豐富，各省級電網公司都建設了骨干調度數據網。該網絡承載了調度自動化、繼電保護、電量采集等各類調度管理和調度控制系統。作為調度數據網的樞紐節點，500 kV變電站必須同步建設調度數據網，并接入骨干調度數據網。

對于調度數據網的安全防護，國家電監會5號令《電力二次系統安全防護規定》和電監安全34號文件《電力二次系統安全防護總體方案》均作了嚴格規定，必須做到“安全分區、網絡專用、橫向隔離、縱向認證”，且樞紐變電站在正式接入骨干電網前，必須建設安全防護系統。

2 500 kV變電站調度數據網安全防護系統

以某500 kV變電站為例，介紹樞紐變電站的調度數據網安全防護系統。

2.1 二次安全防護整體結構

變電站調度數據網拓撲如圖1所示，配置2臺路由器作為PE路由器。2臺路由器之間通過GE接口互聯，互為備用。路由器所接的業務實現vlan分區，對安全Ⅰ區實現VRRP互備份，分別通過專用2M線接入調度數據骨干網。2臺交換機上均實現vlan分區，交換機之間通過linkaggregation實現端口匯聚。根據站內業務的相應安全等級，接入交換機相應的vlan接口。

按照安全等級，變電站業務系統分為安全Ⅰ區(vlan1)與安全Ⅱ區(vlan2)，調度數據網控制區連接站內的安全Ⅰ區，調度數據網非控制區連接站內的安全Ⅱ區。安全Ⅰ區的業務包括遠動終端(RTU)、AVC子站、五防系統、相量測量裝置(PMU)等。安全Ⅱ區的業務包括故障錄波子站，無設置功能的故障信息子站、電能量采集裝置等。

圖1 變電站調度數據網拓撲示意

2.2 縱向防護設備的部署

在安全Ⅰ區上部署電力專用縱向加密認證裝置，在安全Ⅱ區上部署電力專用防火墻，邏輯結構如圖2所示。

(1) 在安全Ⅰ區上部署2臺電力專用縱向加密認證裝置。2臺加密認證裝置為主、備關系，主加密設備故障時，自動切換業務到備加密裝置?？紤]到站端和調度端2個系統之間的認證，安全Ⅰ區的縱向通信過程采用縱向加密認證裝置之間認證來實現。主要包括：支持基于數字證書的IP認證加密，支持認證定向加密；對業務數據進行數據簽名與加密，以保證數據的機密性和完整性；支持網關工作方式與透明工作方式；具有基于應用端口、傳輸協議、IP地址的訪問控制與綜合報文過濾功能；實現動態調整安全策略，主、備加密認證裝置之間的職能協調。

圖2 縱向防護設備部署

(2) 在安全Ⅱ區上部署電力專用防火墻，2臺防火墻通過VRRP實現互備份。安全Ⅱ區業務數據通過VRRP優先級高的防火墻傳輸，當VRRP優先級高的防火墻故障時，自動降低自身優先級，數據業務切換至另一臺防火墻。專用防火墻的功能包括：支持多級過濾的訪問控制機制，具有包含過濾偵聽的狀態檢測技術；支持對電力多種專用通信協議的分析和控制；具備符合安全防護要求的入侵檢測功能，能夠檢測出針對指定設備的多種攻擊；具有基于訪問規則的帶寬管理功能； 支持VPN加密；支持雙機熱備份功能，保證業務傳輸的高可用性和高可靠性；支持基于GUI方式管理，支持OTP認證、管理進行SSL和SSH加密及嚴格的管理審計，保證管理的安全性。

3 站內設備的防護加固措施

3.1 訪問控制措施

站內設備的訪問控制效果關系到電力系統的安全穩定運行，因此要確保站內設備的訪問交互環節處于可控、在控狀態。上述目標可以通過以下手段來實現。

(1) 強化口令管理。默認口令或弱口令易被無關人員記憶，也容易被黑客破譯。監控系統擔負了遙控、遠動、數據備份等重要任務，一旦口令被別有用心的人盜取并在系統內進行破壞，將造成無法估量的損失。所以，要做到：合理配置應用賬號權限；刪除系統中多余的自建賬號；修改賬號口令，口令長度和復雜性要滿足安全要求，并定期更改口令；更改默認的管理員用戶名(例如windows系統中的administrator用戶)；停用默認的訪客用戶。

(2) 禁用不必要的服務。關閉某些系統和設備的出廠缺省設置，如Remote Registry，Terminal Service，Finger，IP Redirect，Boot Server，Directed Broadcast，Proxy Arp等服務。在路由器上，對于DHCP、SNMP以及Web管理服務等，只有在特殊要求的場合才啟用。

(3) 禁止遠程訪問功能。為方便遠程維護，有些廠家使用遠程客戶端。但是，通過遠程訪問控制將可能使系統暴露，訪問端口也可能被惡意攻擊所利用，所以要禁止遠程訪問功能。對相應的端口進行篩選，只開通與業務相關的端口；刪除默認共享功能。

(4) 對進入網絡的流量進行控制。為了防止Dos對路由器進行攻擊，應禁止異常流量進入，如禁止采用廣播地址、本地主機地址、多播地址、沒有IP地址以及假冒地址的包。還可以采用縮短ACK超時、增加同步ACK對列長度等措施，避免路由器受到攻擊。

3.2 安全措施與數據庫管理

調度數據網中傳輸著重要的業務數據，相關數據庫的安全管理就是二次安全防護的重要組成部分。數據資源主要存儲于監控系統的服務器、電能量系統的服務器、故障錄波裝置的服務器、故障信息系統的服務器等設備中。雖然各設備處在安全Ⅰ、Ⅱ區的物理防護下，但是仍面臨著人員因素造成的相關威脅，所以必須采取相應措施。如分解操作人員、維護人員、監控人員、巡視人員職責，通過系統登錄環節，將相應的權限范圍賦予不同人員；實行口令管理，對人員的訪問操作信息實現系統自動記錄，嚴禁使用他人口令進行訪問控制，并執行相應的處罰制度等。

3.3 預防病毒措施

安裝并及時升級防病毒軟件是防范病毒危害、阻止病毒入侵的有效手段。對于獨立于網絡的設備，可使用光盤升級病毒庫程序，安全防護人員須定期更新升級。如果設備是直接與調度端主站通訊的設備(例如故障錄波)，可以用調度端的病毒庫服務器來進行病毒庫自動升級。

3.4 其他加固措施

定期備份、安全評估、定期巡查、入侵檢測等技術手段，也是二次安全防護的重要加固措施。

4 結束語

電網技術和信息技術的快速發展，對整個電力二次安全防護體系提出了更高要求。只有站在技術的最前沿，不斷地完善二次安全防護的技術手段，才能建立嚴密的防護網，確保電力調度數據網的安全。