電力二次系統安全防護探討

王 輝

(湖南芷江蟒塘溪水利水電開發有限責任公司，湖南 懷化 419100)

電力二次系統安全防護探討

王 輝

(湖南芷江蟒塘溪水利水電開發有限責任公司，湖南 懷化 419100)

首先闡述了電力二次系統安全防護總策略，然后對電力二次系統安全區間的防護措施進行了介紹，最后對調度數據的防護措施以及入侵檢測技術的應用進行了探討，以期對二次系統的安全防護具有一定的參考價值。

電力二次系統；安全防護；策略；措施

0 引言

隨著電力改革的不斷推進，電廠和用戶之間的各種數據交換日漸頻繁，對數據網絡的安全性、實時性和可靠性要求越來越高。因此，數據網絡系統和電力調度監控系統的可靠性和安全性變得越來越重要。

1 電力二次系統安全防護的總策略

在對變電站、調度中心、直調電廠進行二次系統安全防護時，要以電力二次系統的總體防護策略為原則。安全防護總策略如下：

(1) 專用網絡。對于地級和省級調度數據網來說，要在專用網絡通道上使用獨立的網站設備組網，在物理層面上達到隔離綜合業務數據網和外部公共信息網的目的[1]。此網絡可以使用MPLS-VPN技術將網絡劃分成非實時VPN和實時VPN兩個業務子網。

(2) 安全分區。在進行安全分區時，要根據電力二次系統的重要性和電力系統產生影響的大小來劃分。把電力二次系統分成管理信息大區和生產控制大區，其中生產控制大區又分成非控制區和安全區。

(3) 橫向隔離。在對安全區進行隔離時，電力二次系統使用強度不同的安全設備進行劃分，為了實現管理信息大區和生產控制大區邏輯隔離，使用具有訪問控制功能的網絡設備設置在安全區間。

(4) 縱向認證。對于廠站控制區、各級調度中心和調度數據網縱向連接的位置，要布置經過認證的加密網關和加密認證裝置來保證設施的安全性，為上級控制系統和下級控制系統的數據通信提供數據加密、身份認證以及訪問控制服務。電力二次系統安全防護模型總體布置如圖1所示。在此模型上，充分考慮了網絡的縱向互聯、上級數據和下級數據的網絡需求、數據通信和橫向互聯的安全性等。利用專門的技術劃分網絡安全區，并進行加密認證，從而對網絡攻擊達到多層次防御的目的，保護電力監控系統安全。

圖1 電力二次系統安全防護模型總體布置圖

2 電力二次系統安全區間防護的具體措施

2.1 橫向網絡邊界的防護措施

在電力二次系統中，隔離安全區橫向網絡邊界是一個比較主要的防護方法，并利用設備將安全區隔離開來，特別是要提高生產控制區和管理信息區的保護力度。在進行數據通信時，為了有效抵制病毒以及黑客攻擊和滲透電力網絡，要使用嚴格的數據單向傳輸控制，在非控制區和控制區之間使用具有ACL訪問控制功能的設備進行邏輯隔離，要求設備具有檢測狀態、過濾數據、轉換地址的相關功能[2]。要可以對數據的傳輸方向、傳輸地址、傳輸端口等進行控制。一般來說，控制區和非控制區的訪問策略值允許非控制區和控制區系統建立連接，不允許非控制區系統訪問控制區系統。如果必須進行訪問，要對訪問的協議、地址、端口進行嚴格的控制。

使用專門的電力安全隔離設備安裝在生產控制大區和管理信息大區的網絡邊界，利用“安全島”數據和隔斷穿透性TCP連接等技術實現電力安全隔離裝置的數據單向傳輸以及高強度的網絡邊界隔離。一般這種裝置主要有正向型和反向型兩種類型，反向型設備主要對生產控制大區和管理信息大區之間的純文數據傳輸進行管理，正向型安全隔離裝置主要用于管理信息大區向生產控制大區的單向數據傳輸。當反向隔離裝置接收到從管理信息大區發出的數據信息后，會對信息進行簽名驗證、編碼轉換，處理檢查后將數據發送到生產控制大區的各個業務系統。

2.2 縱向網絡邊界的防護措施

在調度數據網和控制區之間的VPN網絡邊界設置專用的縱向加密認證網關，在調度數據網實時VPN和非控制區的網絡邊界設置專用的硬件防火墻，是另一個保證電力二次系統安全防護的重要措施。

使用電力認證技術和專用密碼技術為廠站控制區和上下級調度中心提供數據認證服務和通信加密，保證數據的機密性及完整性。另外，縱向加密認證網關提供了協議報文的處理、過濾功能，實現了對端口的選擇性保護。

在生產控制大區的縱向網絡邊界上，盡量不要使用默認的路由器，只將特定的通信端口打開即可。不允許開通telnet、fet、rsh、rlogin、rcp、pop3等風險比較高的網絡服務。

如果生產控制大區有公用通信網絡數據通信系統，要將專用的電力安全隔離設置在業務系統和通信系統的網絡邊界，設置專用的公網通信機。對于使用專線的縱向數據通信，暫時不用設置加密設備。在特大型地調、省調以及安全縱向網絡邊界可以布置IDS探頭，并動態監測網絡數據報文。

3 調度數據的安全防護措施

3.1 使用虛擬專用技術

將電力調度數據網利用VPN技術分成實時子網和非實時子網兩個獨立子網，其中實時子網主要在控制業務中使用，非實時子網主要在非控制業務中使用。使用QoS技術進行數據網的調度，確保子網重要業務的質量和帶寬。

3.2 交換設備和路由器的安全配置

交換設備和核心路由器的安全配置主要包括了限定交換設備和路由器的端口以及網絡服務、以高強度口令密碼為基礎的分級登陸認證功能、關閉路由器源路由功能、避免關閉網絡邊界路由的OSPF功能、使用增強版的SNMPv2多受信的網絡地址范圍進行設置、開啟記錄設備日志和控制列表、封閉空閑網絡端口。

3.3 提升調度網絡的可靠性

為了提高調度網絡的穩定性，對于一些比較核心及關鍵的網絡設備，要使用備份冗余機制。由于信道上傳輸的信號會受到噪音的影響，并且在通信接收端出現誤碼的情況，為了對通信的可靠性進行提升，就需要根據信道的基本特點，對基帶信號進行設計，選擇合理的調制調解方法，使用均衡技術將碼間竄繞等干擾因素消除。除此以外，還要利用差錯控制來對通信系統傳輸的可靠性進行改善。一般情況下，差錯控制的方法主要有以下幾種：

(1) 前向糾錯(FEC)。接收端除了可以及時發現差錯外，還可以確定出差錯的具體位置，進而對差錯進行糾正。

(2) 混合方式(HEC)。發送端的編碼具有錯誤糾正能力，可以檢測接收端的數據，如果錯誤不在糾錯能力范圍內，會對錯誤進行及時反饋；如果錯誤在糾錯能力以內，可以自動進行糾錯。

(3) 自動請求重發(ARQ)。在接收端出現錯誤時，會告知發送端，并重新發送正確的信息。

4 入侵檢測技術的應用

在電力二次系統的安全防護中，入侵檢測是一項很關鍵的技術，通過將入侵檢測系統布置在生產控制大區和管理信息大區，然后檢測網絡邊界和重要業務系統的關鍵路徑，可確保數據被及時發現、審計和追蹤。

入侵檢測系統使用模式匹配、協議分析、異常檢測等技術，利用交換機上的接入端口，達到動態監視數據包和網絡流量、管理記錄異常事例的目的。另外，為了可以在病毒入侵時及時采取處理措施，電力二次系統要有完善的防病毒措施，徹底消除電力監控系統的安全隱患[3]。在防治病毒時，需要遵循以下幾個原則：

(1) 不允許管理信息大區和生產控制大區使用同一套病毒代碼管理服務區，使用專用的U盤在工作站和生產控制大區的服務器對病毒的特征碼進行離線更新。在更新前，為了保證代碼的準確性，要先對病毒特征碼進行測試。

(2) 在管理信息大區和生產控制大區的病毒定義碼的更新、防病毒測量的設定、事件報告、病毒查殺的事件報告要歸入管理制度。在維護需要時，電力二次系統要盡量不使用遠程撥號方式，必須使用時，要使用電力專用撥號開關來達到網絡層的保護目的，另外，需要根據數字證書技術進行用戶的登錄認證、客戶端的檢查/操作審計及訪問的控制[4]。

(3) 在使用遠程撥號方式對系統進行維護時，要定期對密碼進行更換，做好事由、撥號時間、撥號人、操作內容的記錄。

(4) 遠程撥號用戶要限制用戶權限，鏈接經過認證后，只能夠行使網絡功能。

5 結語

文章對電力二次系統的安全防護措施進行了分析探討，在提高電力網絡系統安全性方面具有重要的意義，可為類似工程提供借鑒。

[1] 高雅，高新華，梁智強.基于DAS和SAS的電力二次安全防護測試平臺設計與實現[J].工業控制計算機，2011(1)

[2] 駱文忠.電力二次系統安全防護體系運行分析[J].寧夏電力，2008(11)

[3] 袁季修.電力系統安全穩定控制[M].中國電力出版社，1996

[4] 戴志輝，王增平，焦彥軍.繼電保護可靠性數據收集系統設計[J].電力系統自動化，2010(15)

2014-09-22

王輝(1975—)，男，吉林人，工程師，研究方向：水電廠運行及維護。