火溪河流域電力二次安防與調(diào)度數(shù)據(jù)專網(wǎng)的建立

郎曼江

(四川華能涪江水電有限責(zé)任公司,四川成都 610041)

火溪河是涪江上游左岸最大的一級(jí)干流,位于四川省綿陽市平武縣西北部?；鹣痈闪魅L114km,流域面積 1494km2,其中規(guī)劃河段長 64 km,落差 1245m,水量較豐沛平穩(wěn),水力資源集中,占全河 85%以上,上游具備良好的水庫地形?；鹣犹菁?jí)開發(fā)方式確定為“龍頭”水庫下接一系列引水式梯級(jí)電站,自上而下為水牛家(2×35 MW,2007年 5月 1日發(fā)電)、自一里(2×65MW,2004年 12月 29日發(fā)電)、木座(2×50MW,2007年 10月 1日發(fā)電)、陰坪 (2×50MW,2009年 7月 1日發(fā)電),4級(jí)電站總裝機(jī)容量 400MW,全梯級(jí)聯(lián)合運(yùn)行保證出力 14.69萬 kW,多年平均發(fā)電量 16.264億 kW?h。

1 電力二次安防規(guī)劃

根據(jù) 2004年國家電力監(jiān)管委員會(huì)第 5號(hào)令《電力二次系統(tǒng)安全防護(hù)規(guī)定》、國家經(jīng)貿(mào)委[2002]第 30號(hào)令《電網(wǎng)和電廠計(jì)算機(jī)監(jiān)控系統(tǒng)及調(diào)度數(shù)據(jù)網(wǎng)絡(luò)安全防護(hù)的規(guī)定》及電監(jiān)安全[2006]34號(hào)《電力二次系統(tǒng)安全防護(hù)總體方案》之規(guī)定,火溪河流域梯級(jí)電站進(jìn)行了電力二次系統(tǒng)安全防護(hù)建設(shè)。作為四川電網(wǎng)第一個(gè)黑啟動(dòng)試點(diǎn)電站——自一里電站就位于火溪河梯級(jí)電站的第二級(jí),而隨著后續(xù)木座電站的發(fā)電,四川電網(wǎng)又增加了一個(gè)可黑啟動(dòng)的電站,由此可見火溪河梯級(jí)電站電力二次安防建設(shè)的重要性。確保火溪河梯級(jí)電站電力系統(tǒng)二次安防的可靠性,是確保四川電網(wǎng)安全穩(wěn)定運(yùn)行不可分割的部分。

目前我省電廠、變電站遠(yuǎn)動(dòng)系統(tǒng)普遍采用基于電路的獨(dú)立 64kbit/s專線通道進(jìn)行串口通信,串口通信協(xié)議多數(shù)為 IEC60870-5-101和DNP3.0等,這些協(xié)議遵循基于 ISO參考模型的增強(qiáng)性能結(jié)構(gòu)(EPA),僅用了 OSI模型(OSI模型,即開放式通信系統(tǒng)互聯(lián)參考模型 OpenSystem Interconnection,是國際標(biāo)準(zhǔn)化組織[ISO]提出的一個(gè)試圖使各種計(jì)算機(jī)在世界范圍內(nèi)互聯(lián)為網(wǎng)絡(luò)的標(biāo)準(zhǔn)框架,簡稱(OIS)7層中的 3層(物理層、鏈路層、應(yīng)用層)來實(shí)現(xiàn)數(shù)據(jù)傳輸。隨著網(wǎng)絡(luò)技術(shù)的迅猛發(fā)展,為滿足網(wǎng)絡(luò)技術(shù)在電力系統(tǒng)中的應(yīng)用,加之通過網(wǎng)絡(luò)傳輸遠(yuǎn)動(dòng)信息的迫切要求,IEC國際電工委員會(huì)在 IEC60870-5-101基本遠(yuǎn)動(dòng)任務(wù)配套標(biāo)準(zhǔn)的基礎(chǔ)上,又制定了 IEC60870-5-104遠(yuǎn)動(dòng)傳輸規(guī)約標(biāo)準(zhǔn),它采用平衡傳輸模式,通過 TCP/IP協(xié)議實(shí)現(xiàn)網(wǎng)絡(luò)傳輸遠(yuǎn)動(dòng)信息,適用于調(diào)度主站(中心站)EMS系統(tǒng)和子站(遠(yuǎn)方站)RTU或計(jì)算機(jī)監(jiān)控系統(tǒng)之間采用專用 Intranet網(wǎng)絡(luò)進(jìn)行通訊。因此,四川電網(wǎng)籌建了既滿足電力系統(tǒng)二次安防要求,又滿足方便、快捷傳輸?shù)恼{(diào)度數(shù)據(jù)專網(wǎng)。電力調(diào)度數(shù)據(jù)專網(wǎng)有以下兩點(diǎn)要求:

(1)必須在專用通道上使用獨(dú)立的網(wǎng)絡(luò)設(shè)備組網(wǎng),在物理層面上實(shí)現(xiàn)與電力企業(yè)其它數(shù)據(jù)網(wǎng)及外部公共信息網(wǎng)的安全隔離。

(2)在生產(chǎn)控制大區(qū)與廣域網(wǎng)的縱向交接處應(yīng)當(dāng)設(shè)置經(jīng)過國家指定部門檢測認(rèn)證的電力專用縱向加密認(rèn)證裝置或加密認(rèn)證網(wǎng)關(guān)及相應(yīng)設(shè)施。

2 安全區(qū)的實(shí)施劃分

電力二次系統(tǒng)的安全防護(hù)主要針對(duì)的是網(wǎng)絡(luò)系統(tǒng)和基于網(wǎng)絡(luò)的生產(chǎn)控制系統(tǒng),重點(diǎn)強(qiáng)化邊界防護(hù),提高內(nèi)部安全防護(hù)能力,保證電力生產(chǎn)控制系統(tǒng)及重要敏感數(shù)據(jù)的安全。因此,安全防護(hù)的目標(biāo)就是抵御黑客、病毒、惡意代碼等通過各種形式對(duì)系統(tǒng)發(fā)起的惡意破壞和攻擊,特別是能夠抵御集團(tuán)式攻擊,防止由此導(dǎo)致一次系統(tǒng)事故或大面積停電事故及二次系統(tǒng)的崩潰或癱瘓。火溪河流域的電力二次系統(tǒng)安全防護(hù)首先是按照"安全分區(qū)、網(wǎng)絡(luò)專用、橫向隔離、縱向認(rèn)證"的基本原則,對(duì)各信息大區(qū)進(jìn)行了安全分區(qū)。安全分區(qū)原則見圖 1。

生產(chǎn)控制大區(qū):安全區(qū)Ⅰ(控制區(qū)),安全區(qū)Ⅱ(非控制區(qū))。

管理信息大區(qū):安全區(qū) III(生產(chǎn)管理區(qū)),安全區(qū) IV(管理信息區(qū))。

2.1 梯級(jí)各電站內(nèi)的應(yīng)用系統(tǒng)及相關(guān)業(yè)務(wù)安全區(qū)的劃分

(1)安全區(qū)Ⅰ(控制區(qū)):各個(gè)電站自動(dòng)化監(jiān)控系統(tǒng)、安控自動(dòng)裝置;

(2)安全區(qū)Ⅱ(非控制區(qū)):各個(gè)電站電能量計(jì)量系統(tǒng)子站設(shè)備(電量采集系統(tǒng))、繼電保護(hù)及故障信息管理子站系統(tǒng)、故障錄波裝置、電量報(bào)價(jià)系統(tǒng)及水情測報(bào)系統(tǒng)。

2.2 電力調(diào)度數(shù)據(jù)專網(wǎng)與生產(chǎn)控制大區(qū)之間存在縱向加密認(rèn)證裝置實(shí)施安全防護(hù)

火溪河流域采用成都衛(wèi)士通信息產(chǎn)業(yè)股份有限公司出品的衛(wèi)士通縱向加密認(rèn)證裝置,該產(chǎn)品已由國家電網(wǎng)公司信息網(wǎng)絡(luò)安全實(shí)驗(yàn)室測試通過。按照四川省調(diào)統(tǒng)一規(guī)劃,安全區(qū)Ⅰ(控制區(qū))的各應(yīng)用系統(tǒng)接入電力調(diào)度數(shù)據(jù)專網(wǎng)前應(yīng)加裝縱向加密認(rèn)證裝置,而安全區(qū)Ⅱ(非控制區(qū))的各應(yīng)用系統(tǒng)在接入電力調(diào)度數(shù)據(jù)專網(wǎng)前,從最初的加裝防火墻也已改為加裝縱向認(rèn)證加密裝置。

2.3 采用防火墻實(shí)現(xiàn)安全 I、II區(qū)之間的數(shù)據(jù)交換,從而實(shí)施橫向安全防護(hù)

(1)安全區(qū)Ⅰ(控制區(qū))和安全區(qū)Ⅱ(非控制區(qū))的各應(yīng)用系統(tǒng)之間網(wǎng)絡(luò)互聯(lián)安裝了防火墻,實(shí)施邏輯隔離措施,在控制策略上允許安全區(qū)Ⅰ(非控制區(qū))對(duì)安全區(qū)Ⅱ(控制區(qū))可執(zhí)行讀寫操作,而安全區(qū) II(控制區(qū))對(duì)安全區(qū) I(非控制區(qū))僅能執(zhí)行 Ping操作。

圖 1 安全分區(qū)原則示意圖

(2)生產(chǎn)控制大區(qū)與各個(gè)電站內(nèi)管理信息大區(qū)內(nèi)的生產(chǎn)管理系統(tǒng)之間的互聯(lián)均通過安全區(qū)Ⅱ(非控制區(qū))實(shí)現(xiàn)。當(dāng)管理信息大區(qū)需要訪問生產(chǎn)控制大區(qū)實(shí)時(shí)數(shù)據(jù)時(shí),直接訪問的是安全區(qū)Ⅱ(非控制區(qū))的數(shù)據(jù),不直接聯(lián)系安全區(qū)Ⅰ(控制區(qū))的數(shù)據(jù)庫,從而實(shí)現(xiàn)了多層防護(hù),徹底避免了外部數(shù)據(jù)對(duì)與發(fā)電生產(chǎn)息息相關(guān)的安全區(qū)Ⅰ(控制區(qū))的干擾。

3 數(shù)據(jù)專網(wǎng)光纖的選型

在各生產(chǎn)管理信息大區(qū)有了劃分詳細(xì)的安全區(qū)后,為進(jìn)一步保證實(shí)時(shí)與非實(shí)時(shí)數(shù)據(jù)上送打下了堅(jiān)實(shí)的基礎(chǔ)。為確保上送下達(dá)數(shù)據(jù)的通道可靠,火溪河流域電站于 2007年 10月開始搭建白馬集控中心及各個(gè)梯級(jí)電站的調(diào)度數(shù)據(jù)專網(wǎng)?？傮w規(guī)劃是保留原有 IEC101規(guī)約下“四線”電路遠(yuǎn)動(dòng)信息傳送,同時(shí)新搭建了一個(gè) IEC104規(guī)約下、擁有獨(dú)立通道的調(diào)度數(shù)據(jù)專網(wǎng)通道。

新搭建的通道與原有通道有所不同。自白馬集控中心上送四川省調(diào)的通道實(shí)際上是采用雙物理通道互備冗余實(shí)現(xiàn)的。

主用通道在選擇物理傳輸介質(zhì)時(shí),為了即可靠、又經(jīng)濟(jì)耐用,實(shí)際上存在三種選擇。一是OPGW光纜,二是 OPPC光纜,三是 ADSS光纜。這三種光纜到底具有什么優(yōu)缺點(diǎn)呢?

OPGW,復(fù)合光纜地線,或稱光纖復(fù)合架空地線(Opticalfibercompositeoverheadgroundwire)。OPGW是一種利用輸電線路構(gòu)成的線,這種線同時(shí)達(dá)到接地及通訊的目的。OPGW線包含一個(gè)管狀結(jié)構(gòu),內(nèi)含一或多條光纜,而外圍由鋼及鋁組成。由于該光纖具有抗電磁干擾、自重輕等特點(diǎn),它可以安裝在輸電線路桿塔頂部而不必考慮最佳架掛位置和電磁腐蝕等問題。因而 OPGW具有較高的可靠性、優(yōu)越的機(jī)械性能、成本也較低等顯著特點(diǎn)。這種技術(shù)在新敷設(shè)或更換現(xiàn)有地線時(shí)尤其合適和經(jīng)濟(jì)。

OPPC(OpticalphaseConductor,簡稱 OPPC)是電力通信系統(tǒng)的一種新型特種光纜,是在傳統(tǒng)的相線結(jié)構(gòu)中將光纖單元復(fù)合在導(dǎo)線中的光纜,是充分利用電力系統(tǒng)自身的線路資源,特別是電力配網(wǎng)系統(tǒng),避免在頻率資源、路由協(xié)調(diào)、電磁兼容等方面與外界的矛盾,使之具有傳輸電能及通信的雙重功能。OPPC因其導(dǎo)線內(nèi)裝光纖束管,結(jié)構(gòu)獨(dú)特,所以,安裝時(shí)必須采用預(yù)絞絲金具以保護(hù)光纖。采用預(yù)絞絲金具具有三點(diǎn)優(yōu)勢:一是施工簡便快捷,不用再拉著笨重的壓縮機(jī)、壓接鉗等設(shè)備上現(xiàn)場,勞動(dòng)效率提高,體力勞動(dòng)減少;二是預(yù)絞絲金具為良導(dǎo)體,導(dǎo)電性能好,節(jié)能效果顯著;三是預(yù)絞絲金具安裝于線路與導(dǎo)線接觸面加大、長度增加、受力均勻,減少了導(dǎo)線的疲勞,延長了導(dǎo)線壽命,提高了防震能力。

ADSS光纜是 AllDielectricSelf-Supporting(全介質(zhì)自承式)的縮寫。全介質(zhì)即光纜所用的是全介質(zhì)材料;自承式是指光纜自身加強(qiáng)構(gòu)件能承受自重及外界負(fù)荷。這一名稱點(diǎn)明了這種光纜的使用環(huán)境及其關(guān)鍵技術(shù):因?yàn)槭亲猿惺?所以其機(jī)械強(qiáng)度舉足輕重;使用全介質(zhì)材料是因?yàn)楣饫|處于高壓強(qiáng)電環(huán)境中,必須能耐受強(qiáng)電的影響;由于是在電力桿塔上架空使用,所以必須有配套的掛件將光纜固定在桿塔上。ADSS光纜有三個(gè)關(guān)鍵技術(shù):光纜機(jī)械設(shè)計(jì)、懸掛點(diǎn)的確定和配套金具的選擇與安裝。ADSS光纜機(jī)械性能主要體現(xiàn)在光纜的最大運(yùn)行張力、平均運(yùn)行張力及極限抗拉強(qiáng)度等。普通光纜的國家標(biāo)準(zhǔn)明確規(guī)定了不同使用方式(如架空、管道、直埋等)的光纜應(yīng)具有的機(jī)械強(qiáng)度。而 ADSS光纜是自承式架空光纜,所以,它除了必須承受自身重力的長期作用外,還必須能經(jīng)受住自然環(huán)境的洗禮。如果 ADSS光纜機(jī)械性能設(shè)計(jì)不合理、與當(dāng)?shù)靥鞖獠幌噙m應(yīng),則光纜就會(huì)存在安全隱患,壽命就會(huì)打折扣。因此,每個(gè)ADSS光纜工程都必須根據(jù)光纜路由所處的自然環(huán)境和跨距等采用專業(yè)軟件嚴(yán)格設(shè)計(jì),以確保光纜具有足夠的機(jī)械強(qiáng)度。

經(jīng)過對(duì)以上三種物理介質(zhì)進(jìn)行對(duì)比,結(jié)合火溪河流域常年發(fā)生塌方、泥石流的具體情況,考慮到 OPGW光纜這種技術(shù)不僅在新敷設(shè)或更換現(xiàn)有地線時(shí)比較合適和經(jīng)濟(jì),同時(shí),在架空地線的機(jī)械、電氣特性上也相當(dāng)出色,因此,我們在主用通道上選用了 OPGW光纜。

備用通道我們采用租用電信專屬155M通道的方式實(shí)現(xiàn)。首先,我們摒棄了衛(wèi)星通道的想法,因?yàn)樾l(wèi)星通道不僅價(jià)格昂貴、響應(yīng)時(shí)間長,而且對(duì)于數(shù)據(jù)的可靠性也不能得到保證。在選用通道供應(yīng)商的問題上,我們有中國聯(lián)通、中國電信兩家供應(yīng)商可供選擇。經(jīng)過對(duì)比租賃年費(fèi)價(jià)格、光纖衰耗、維護(hù)成本、事故響應(yīng)時(shí)間等因素,我們選擇了相對(duì)數(shù)據(jù)質(zhì)量好、價(jià)格差異小、事故響應(yīng)時(shí)間快的中國電信作為 155M通道的供應(yīng)商。

4 數(shù)據(jù)專網(wǎng)安全網(wǎng)絡(luò)設(shè)備

火溪河流域各電站在站內(nèi) PE設(shè)備(路由器)和 CE設(shè)備(交換機(jī))之間加裝了 NetEye防火墻3.2升級(jí)版,此類防火墻是 NetEye防火墻系列中的最新版本,該系統(tǒng)在性能、可靠性、管理性等方面大大提高,保證了從數(shù)據(jù)鏈路層到應(yīng)用層的完全、高性能過濾,可以進(jìn)行應(yīng)用級(jí)插件的及時(shí)升級(jí),攻擊方式的及時(shí)響應(yīng),實(shí)現(xiàn)動(dòng)態(tài)的保障網(wǎng)絡(luò)安全。圍繞流過濾平臺(tái),我們構(gòu)建了網(wǎng)絡(luò)安全響應(yīng)小組、應(yīng)用升級(jí)包開發(fā)小組、網(wǎng)絡(luò)安全實(shí)驗(yàn)室,實(shí)現(xiàn)了流過濾不僅能夠帶給用戶高性能的應(yīng)用層保護(hù),還包括新的應(yīng)用的及時(shí)支持,特殊應(yīng)用的定制開發(fā),安全攻擊事件的及時(shí)響應(yīng)。集成的 VPN功能簡單、人性化的虛擬通道設(shè)置,有效地提高了VPN部署的靈活性、可擴(kuò)展性,大大降低了部署、維護(hù)的成本;完善的 VPN產(chǎn)品線,適合于大規(guī)模的網(wǎng)絡(luò)部署。系統(tǒng)的主要模塊工作在操作系統(tǒng)的內(nèi)核模式下,并對(duì)協(xié)議的處理進(jìn)行了優(yōu)化,性能接近線速,高吞吐量、低延遲、零丟包率、強(qiáng)大的緩沖能力,千兆版本能夠利用多處理器的能力,完全滿足高速、對(duì)性能要求苛刻網(wǎng)絡(luò)的應(yīng)用 。經(jīng)國家權(quán)威部門檢測,NetEye防火墻 3.2符合 GB/T18019-1999(包過濾防火墻安全技術(shù)要求)和 GB/T 18020-1999(應(yīng)用級(jí)防火墻安全技術(shù)要求)兩個(gè)標(biāo)準(zhǔn)的技術(shù)要求,其功能特點(diǎn)為:

(1)流過濾實(shí)現(xiàn)動(dòng)態(tài)保護(hù)網(wǎng)絡(luò)安全。

流過濾機(jī)制是 NetEye防火墻 3.0的一大特色,NetEye防火墻 3.1保留了這一個(gè)特色,并對(duì)其性能、穩(wěn)定性進(jìn)行了進(jìn)一步的優(yōu)化,NetEye防火墻 3.2對(duì)流過濾引擎進(jìn)行了優(yōu)化,進(jìn)一步提高了其性能和穩(wěn)定性,同時(shí)豐富了應(yīng)用級(jí)插件、安全防御插件,并且提升了開發(fā)相應(yīng)插件的速度。網(wǎng)絡(luò)安全本身是動(dòng)態(tài)的,其變化非常迅速,每天都有可能有新的攻擊方式產(chǎn)生。安全策略必須能夠隨著攻擊方式的產(chǎn)生而進(jìn)行動(dòng)態(tài)的調(diào)整,這樣才能夠動(dòng)態(tài)的保護(hù)網(wǎng)絡(luò)的安全。基于狀態(tài)包過濾的流過濾體系結(jié)構(gòu),具有動(dòng)態(tài)保護(hù)網(wǎng)絡(luò)安全的特性。

(2)擴(kuò)展協(xié)議支持。

該功能是對(duì)原有 NetEye防火墻 3.0動(dòng)態(tài)規(guī)則特性的完善,使其更容易擴(kuò)展,用戶可以通過簡單的下載、升級(jí)模塊,達(dá)到對(duì)新的、復(fù)雜應(yīng)用的支持。這也是流過濾體系結(jié)構(gòu)優(yōu)良可擴(kuò)展性的體現(xiàn)。由于現(xiàn)在的應(yīng)用協(xié)議日益繁多,每天都可能有新的應(yīng)用協(xié)議產(chǎn)生,某些應(yīng)用協(xié)議并不僅僅使用一個(gè)連接和一個(gè)端口,往往是通過一系列相關(guān)聯(lián)的連接完成一個(gè)應(yīng)用層的操作。防火墻推出之時(shí)很難支持所有的應(yīng)用,這就要求防火墻能夠有很好的可擴(kuò)展性,以便將來能夠根據(jù)需要進(jìn)行擴(kuò)展。在流過濾的平臺(tái)基礎(chǔ)上,我們可以方便、快捷的進(jìn)行應(yīng)用級(jí)插件的開發(fā)和升級(jí),使防火墻可以不斷適應(yīng)新的應(yīng)用協(xié)議?，F(xiàn)在支持的這種應(yīng)用協(xié)議包括 FTP,RTSP,PNM,H.323、Oracle數(shù)據(jù)庫訪問等。

(3)簡單、易用的 VPN。

集成的 VPN功能采用標(biāo)準(zhǔn)的 IPSec協(xié)議,支持 NAT穿越,可以應(yīng)用于 ADSL、ISDN、撥號(hào)、DDN等多種網(wǎng)絡(luò)環(huán)境,基于 PKI的密鑰管理架構(gòu)、人性化的虛擬通道設(shè)置,有效提高了 VPN的部署靈活性、可擴(kuò)展性,大大降低了部署、維護(hù)的成本?？梢苑奖?、快捷的部署各種形式的 VPN應(yīng)用,包括企業(yè)內(nèi)部的 VPN,用于連接企業(yè)的各個(gè)分支機(jī)構(gòu);企業(yè)外部的 VPN用于企業(yè)與其合作伙伴等企業(yè)外部的組織進(jìn)行連接;撥號(hào) VPN用于連接在各地的移動(dòng)辦公、家庭辦公人員安全的接入企業(yè)網(wǎng)絡(luò),是國密辦批準(zhǔn)生產(chǎn)、銷售的 VPN產(chǎn)品(SJW20網(wǎng)絡(luò)密碼機(jī))。完善的 VPN產(chǎn)品線,使得我們可以適合于大規(guī)模的部署。

(4)網(wǎng)絡(luò)永不間斷。

NetEye防火墻 3.2的硬件采用了由 Intel專門為東軟設(shè)計(jì)生產(chǎn)的設(shè)備,其硬件體系結(jié)構(gòu)完全采用了 Intel用于電信級(jí)的服務(wù)器的標(biāo)準(zhǔn),同時(shí),設(shè)備的關(guān)鍵部件 CPU、內(nèi)存、電源等部件完全冗余,從而保證了系統(tǒng)的高可靠性運(yùn)行。NetEye防火墻 3.2提供了帶內(nèi)、帶外的雙重控制通道,具有最短僅需一秒的雙機(jī)熱備自動(dòng)切換功能,保證了網(wǎng)絡(luò)的永不間斷。

另外,NetEyeFW3.2對(duì) FW3.1的圖形管理界面(GUI)、身份認(rèn)證、審計(jì)、雙向網(wǎng)絡(luò)地址轉(zhuǎn)換(NAT)、事件報(bào)警 、支持 VLANTrunk、IP與 MAC地址綁定、流量管理、網(wǎng)絡(luò)實(shí)時(shí)監(jiān)控、支持 SNMP、多播協(xié)議的支持等功能也進(jìn)行了多方面的優(yōu)化,使得系統(tǒng)的穩(wěn)定性進(jìn)一步提高。

白馬集控中心在實(shí)時(shí)業(yè)務(wù)交換機(jī)、非實(shí)時(shí)業(yè)務(wù)交換機(jī)與路由器之間加裝了 Westone縱向加密裝置,縱向加密裝置將確保通信數(shù)據(jù)的機(jī)密性、完整性,并對(duì)網(wǎng)絡(luò)訪問進(jìn)行有效的身份認(rèn)證,它把整個(gè)用戶網(wǎng)絡(luò)劃分為內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)。

(1)從外部網(wǎng)絡(luò)到內(nèi)部網(wǎng)絡(luò)的通信。首先,裝置對(duì)外部用戶的身份進(jìn)行驗(yàn)證,這個(gè)驗(yàn)證基于數(shù)據(jù)包的 IP地址;然后,根據(jù)配置的安全策略,丟棄沒有通過身份認(rèn)證的數(shù)據(jù)包,解密通信對(duì)方進(jìn)行了安全保護(hù)的數(shù)據(jù)包(加密、認(rèn)證);最后,將通過安全處理的數(shù)據(jù)包轉(zhuǎn)發(fā)給內(nèi)部網(wǎng)絡(luò)。

圖 2 縱向加密認(rèn)證裝置體系結(jié)構(gòu)圖

(2)對(duì)于從內(nèi)部網(wǎng)絡(luò)到外部網(wǎng)絡(luò)的通信,裝置檢查了內(nèi)部用戶是否有權(quán)限訪問外部網(wǎng)絡(luò),如果沒有權(quán)限,將禁止其通信。對(duì)于有權(quán)限的用戶,對(duì)網(wǎng)絡(luò)通信進(jìn)行了安全保護(hù)(加密、認(rèn)證),并通過外部網(wǎng)絡(luò)轉(zhuǎn)發(fā)通信對(duì)方。

裝置對(duì)訪問自身的通信進(jìn)行了非常嚴(yán)格的保護(hù),只有持有管理中心發(fā)出的 IC卡(代表管理員身份)才能訪問裝置,并對(duì)系統(tǒng)進(jìn)行安全策略、安全設(shè)置等的操作。系統(tǒng)主要的功能性模塊由主處理模塊、密鑰協(xié)商模塊、加密報(bào)文模塊、IP報(bào)文過濾模塊、安全管理模塊、雙機(jī)備份模塊、設(shè)備監(jiān)控模塊等七大部分組成,系統(tǒng)主要功能模塊結(jié)構(gòu)見圖 2。

(1)主處理模塊功能。

主處理模塊是裝置的核心處理部分。它負(fù)責(zé)數(shù)據(jù)包的過濾、安全規(guī)則匹配、數(shù)據(jù)包加解密、數(shù)據(jù)包封裝、網(wǎng)絡(luò)數(shù)據(jù)包接收和發(fā)送、內(nèi)存管理、文件系統(tǒng)管理等功能。

(2)密鑰協(xié)商模塊功能。

密鑰協(xié)商模塊主要負(fù)責(zé)裝置之間數(shù)據(jù)密鑰的協(xié)商,其過程包括:①裝置身份認(rèn)證部分;②會(huì)話密鑰交換部分,并且支持雙機(jī)備份工作模式下的密鑰協(xié)商。

(3)加密報(bào)文模塊功能。

加密報(bào)文模塊在處理數(shù)據(jù)包時(shí),采用特定協(xié)議號(hào)進(jìn)行封包處理。除了對(duì)原有的數(shù)據(jù)包進(jìn)行加密,還要在原數(shù)據(jù)包前面根據(jù)通道封裝一個(gè)新 IP頭。

(4)IP報(bào)文過濾模塊功能。

裝置利用 IP報(bào)文過濾實(shí)現(xiàn)安全策略的目的。裝置對(duì)進(jìn)出系統(tǒng)的所有數(shù)據(jù)包實(shí)施基于安全策略的檢查,數(shù)據(jù)包的過濾檢查有入、轉(zhuǎn)發(fā)和出三次檢查。根據(jù)安全規(guī)則的設(shè)置,對(duì)通過的 IP數(shù)據(jù)包的協(xié)議類型、協(xié)議選項(xiàng)、源 /目的地址、源 /目的端口等過濾條件進(jìn)行判斷,并做相應(yīng)的處理。處理種類包括對(duì)數(shù)據(jù)包的允許、丟棄、加/解密三項(xiàng)。所有處理均在操作系統(tǒng)內(nèi)核層進(jìn)行。

5 結(jié) 語

經(jīng)過三年時(shí)間的持續(xù)建設(shè),形成了火溪河流域調(diào)度數(shù)據(jù)專網(wǎng)(圖 3)。該數(shù)據(jù)專網(wǎng)試運(yùn)行一年多以來,面對(duì)汶川 5.12大地震等惡劣環(huán)境,白馬集控中心的雙通道 IEC101、IEC104一直穩(wěn)定運(yùn)行,不僅為下一步實(shí)現(xiàn)全流域優(yōu)化調(diào)度、全站AGC、AVC打下了基礎(chǔ),而且為火溪河集控中心遠(yuǎn)撤成都做出了巨大的貢獻(xiàn)。2008年 12月,火溪河成都集控中心已建成投入使用,標(biāo)志著火溪河建設(shè)之初提出的 “網(wǎng)絡(luò)控制、數(shù)字電站、無人值班、關(guān)門運(yùn)行”的科學(xué)規(guī)劃已基本實(shí)現(xiàn)。