發電機組涉網設備網絡安全可靠性的研究與實踐

駱華志，鐘振坤，羅漢青

（廣東珠海金灣發電有限公司，廣東 珠海 519050）

0 引 言

目前，國內外的電力系統網絡安全形勢日益嚴峻。2011年，某國曾利用“震網”病毒攻擊了伊朗的鈾濃縮設備，造成其核電站1/5的離心機報廢。2015年12月2日，烏克蘭的三座變電站數據采集與監控系統SCADA受到了黑客的網絡攻擊，導致伊萬諾—弗蘭科夫斯克地區發生了持續6小時的大面積停電事件，140萬人受到影響，是世界上第一起因為黑客攻擊造成電網大規模停電的事故。國內，類似事件在近期也發生了多起。2018年3月23日，某電廠的行波測距裝置對省中調主站網段進行了高危端口的掃描，被中調縱向加密裝置成功攔截，否則將嚴重影響電力監控系統。面對日益嚴重的網絡安全威脅，國家能源局及時下達相關通知，要求各單位加強電力監控系統的主機系統安全和防護能力，認真排查安全隱患，提高涉網設備的網絡安全可靠性[1]。

1 機組概況

廣東珠海金灣發電有限公司是一家成立于2005年9月的中港合資企業，公司擁有2臺600 MW的國產超臨界機組。發電機是由上海汽輪發電機有限公司生產的QFSN-600-2自并勵靜止勵磁系統，主變壓器是由常州東芝變壓器有限公司生產的強迫油風冷三相一體式SFP-720000/500變壓器，500 kV升壓站采用兩串3/2開關接線的雙母線運行方式。

2 常見的黑客攻擊方式

隨著通信技術的飛速發展，電力系統已經發展成為由物理電力系統與信息通信系統結合而成的復雜耦合網絡系統。綜合近年來電力系統受到的病毒木馬攻擊事件，發現最常受攻擊的是電力觀測系統。該系統包括數據采集與監控系統、SCADA系統、相量的測量單元（PMU）、繼電保護裝置信息在內的測量系統和包括狀態估計在內的電力網絡狀態評估系統。電力觀測系統是電力系統的眼睛，為整個系統的決策支持提供最基本的服務信息。因此，一旦病毒木馬成功攻擊電力觀測系統，將會對整個電力系統造成巨大危險[2]。例如，病毒木馬將測量設備的遠程控制終端密碼系統進行破解后可以修改數據，而利用光纖竊聽技術可截獲和修改SCADA系統傳送到控制中心的各類數據等，這種攻擊方式稱為壞數據注入攻擊。通過精心設計，被修改的測量值基本不會被傳統狀態估計的壞數據辨識系統檢測出來。這類壞數據注入攻擊通過控制電力觀測系統中的若干個測量設備的數值，達到干擾破壞電力系統狀態估計的結果，從而影響電力系統的決策系統，改變對電力系統物理狀態的估計和運行調度的決策。這種攻擊方式甚至能夠進一步影響近年來國內迅猛發展的電力市場業務，造成巨大的經濟損失。總得來說，無論黑客采用怎樣的攻擊方法，它的入侵流程基本保持不變。圖1是黑客利用Windows系統入侵工業控制系統的基本流程。

3 防黑客攻擊研究與實踐

3.1 相關的技術研究

3.1.1 系統的運行現狀

當今的網絡攻擊能夠瞬間到達縱深目標，并隨著攻擊隱蔽性的不斷增強和監測可感知性的逐漸下降，可用強大的攻擊能力完成對電力系統設備的精準打擊，破壞電網的穩定性。因此，為了確保廣東珠海金灣發電有限公司繼電保護相關電力監控系統的網絡安全，切實提高電力監控系統的主機系統安全和主機防護能力，對涉網設備進行了詳細自查。結果發現，4號機故障錄波分析裝置采用的是Windows 98操作系統，開放了易受網絡攻擊的高危端口，且無法進行關閉，還不能安裝MS17-010等高危漏洞的補丁。該裝置通過保信子站接入到南方電網調度端主站，一旦被黑客或病毒木馬入侵，將造成整個電網的癱瘓，嚴重威脅著電力監控系統的網絡安全。調研發現，南方電網已經出現多起由于故障錄波分析裝置引發的網絡安全事件。由于廣東珠海金灣發電有限公司的4號機故障錄波分析裝置是在2007年投入使用的，已經較頻繁的出現故障，特別是存在采樣數據不準的缺陷，嚴重影響了對發電機組故障數據分析的及時性和準確性。因此，對存在嚴重安全漏洞的4號機故障錄波分析裝置需進行升級改造。

3.1.2 優化改造的原理

經過認真對比、討論、評價打分和商榷，最終確定對4號機故障錄波分析裝置進行部分升級優化改造。具體地，將ZH-2升級為嵌入式的ZH-5故障錄波分析裝置管理機。該裝置應用高可靠性的實時操作系統VxWorks，并結合DSP構成純嵌入式的故障錄波和分析裝置。基本結構如圖2所示。

升級后的嵌入式圖形系統擁有完整的波形查看、分析等全部的錄波器功能。由于采用的是類似Windows風格的操作界面，人、機交流更加方便，簡潔易上手。

3.1.3 系統的抗病毒原理

黑客入侵工控系統的眾多事件研究表明，涉網設備會被病毒或惡意軟件入侵，最重要的原因是設備多使用Windows操作系統。由于ZH-5錄波裝置所有的功能都不需使用Windows軟件，采用的是高可靠性的VxWorks實時嵌入式操作系統，并有針對性地裁減VxWorks組件，因此能夠最大程度地避免被攻擊，極大地增強了其他聯網設備與整個網絡的穩定性[3]。

3.1.4 兩種錄波方式的特點

該系統有兩種不一樣的錄波方式，分別是暫態錄波和穩態連續記錄。其中，暫態錄波是通過FPGA裝置對采集的每一幀數據進行絕對時間的標定后將其送到DSP裝置。DSP會啟動判據立即實施計算，如果判據滿足要求，立刻進入錄波狀態，將啟動時刻前、后的部分數據以高采樣率的方式進行保存，并傳輸到嵌入式CPU將數據保存為文件。同時，嵌入式CPU會自動對數據進行故障分析與測距，并總結初步的分析報告。穩態連續記錄是指錄波裝置在啟動后，以1 000 Hz頻率的高采樣率不停向暫態錄波插件發送實時采樣數據，從而生成實時監測的數據與畫面。由于能夠查看到波形的具體相位信息，因此比暫態錄波的有效值記錄形式更有分析價值，但是數據容量相對較大。

3.2 技術優化實踐過程

3.2.1 有關邏輯建模

首先依據IEC 61850規范對裝置管理機進行邏輯設備建模。由于錄波在物理功能上分為暫態錄波和穩態連續記錄兩種。每一個物理設備建模均是一個server，并用多個邏輯設備的LD對應這個設備上不相同的物理功能模塊。因此，將同一個錄波裝置上的暫態錄波與穩態連續記錄功能的對象分別建立成兩個不同的邏輯設備。

其次，進行錄波分析裝置管理機的邏輯節點建模。一般的邏輯設備至少要包含LPHD、LLN0和RDRE三個邏輯節點。要注意的是，錄波裝置中全部的系統功能擴展都放在RDRE中。在這三個邏輯節點中，除了標準中規定的強制數據對象外，還規定了部分強制數據對象，如表1所示。

表1 邏輯節點的強制數據對象

3.2.2 配置接入信號

要使錄波裝置能夠正常工作，必須將各接入信號的名稱、參數及其與一次設備之間的關系準確接入專門的配置軟件。這里采用的配置原則是“先配一次設備、后配通道”。在配置線路時要注意，廣東珠海金灣發電有限公司采用的是3/2接線方式線路，接入的是開關電流。因此，方式要選中“3/2接線且接入開關電流”，這樣該線路就可以關聯到2組的TA（通常是斷路器電流），還可以進行TA極性的配置。由于線路電流是兩組TA的矢量和，這樣該線路就同普通線路一樣可以進行故障測距。

在配置一次設備的關聯通道時，對于變壓器，要將所有分支的TA極性都配置準確，差流定值才能準確動作。如果TA極性設置不對，可能造成暫態錄波不能及時啟動，或者選線錯誤及測距不準。對于一次設備的TA極性，需全部按照“流入一次設備的內部為正向”原則來設置。主要原則有：（1）線路設置時，如果是流向線路方向即流出升壓站的，則極性端在母線側設為正方向，否則設為反方向；（2）對于變壓器，流入變壓器則極性端在母線側設為正方向，否則設為反方向；（3）變壓器的中性點電流同樣也是以流入為正。

3.2.3 相關參數的設置

首先要設置各運行參數，如一般的參數、通信設置、GPS對時設置、靜態路由設置和修改時間裝置等。設置好參數后，進入實時波形監視頁面，全面監視接入的所有模擬量信號，查看、比對各通道的測量值。波形要和實際信號一致，如圖3所示。最后，按定值整定范圍和整定原則進行相關模擬量定值、頻率定值、變壓器定值、序量定值和開關量定值的整定核對。

圖3 3/2接線的相量監視波形圖

3.2.4 采樣裝置DSP采樣數據不準的通道改接

4號機A廠高變低壓側B分支40BBB01電流Ia、Ib、Ic、In的DSP接觸不良，會導致采樣數據出現缺陷。針對這種情況，改接錄波裝置外通道。將4號機A廠高變低壓側B分支40BBB01電流Ia、Ib、Ic、In的錄波通道由29、30、31、32改至備用通道37、38、39、40，并將其 CT回路 A4451、B4451、C4451、N4451由 2D：81、2D：82、2D：83、2D：84改 接 至 2D：89、2D：90、2D：91、2D：92，如圖4、圖5所示。通道改接后，通過備用DSP插件的端口連接故障錄波管理機多次測試，證明采樣數據準確無誤。因此，無需更換整套錄波采樣裝置，為公司節省了大量的設備采購經費。

圖4 改接前40BBB01的電流CT回路外接線

3.2.5 裝置調試采樣及整定值校驗

首先進行整定值的校驗調試，確保發電機機端電壓、機端電流、中性點電流、中性點零序電流與主變、廠高變、勵磁變電流的整定值校驗調試正常。其次，對500 kV線路各相電壓、發電機機端三相電流等交流回路的采樣值進行檢驗，確認正常。最后，進行輸入接點（模擬保護動作）調試傳動試驗，對發電機差動、非電量關閉主汽門等相關的所有保護進行逐一試驗。結果顯示全部準確，滿足了南方電網的要求，且整體運行情況很好，投運至今未出現異常現象，杜絕了病毒感染，確保了機組和整個電網的安全穩定運行。

3.3 優化實踐的經驗

通過本次對發電機組涉網設備防黑客攻擊的改造升級優化，對相關網絡安全防護有了更深認識，在運維過程中要特別注意以下事項：（1）涉網設備要盡量運用國產自主研發的工控安全設備如嵌入式操作系統等，確保控制網絡和信息網絡間的通信聯系與訪問記錄受到嚴格監管；（2）對設備廠家提供給的任何管理員級別賬戶的操作，要使用專門的監測工具進行監測；（3）定期對涉網設備進行軟硬件升級與防御性能的測試。

4 結 論

針對目前電力系統涉網設備嚴峻的形勢，廣東珠海金灣發電有限公司對存在嚴重安全隱患的4號機故障錄波分析裝置進行了優化升級改造，使用嵌入式圖形操作系統、最新的DSP技術和大規模的FPGA技術，使其運行、配置和維護不再需要Windows系統，能夠完全抵抗病毒和惡意軟件的攻擊，大大提高了涉網裝置的網絡安全性與穩定性，對其他廠家類似的設備有著較大的借鑒意義。