電力二次系統(tǒng)安全防護(hù)探討

王 輝

(湖南芷江蟒塘溪水利水電開(kāi)發(fā)有限責(zé)任公司，湖南 懷化 419100)

電力二次系統(tǒng)安全防護(hù)探討

王 輝

(湖南芷江蟒塘溪水利水電開(kāi)發(fā)有限責(zé)任公司，湖南 懷化 419100)

首先闡述了電力二次系統(tǒng)安全防護(hù)總策略，然后對(duì)電力二次系統(tǒng)安全區(qū)間的防護(hù)措施進(jìn)行了介紹，最后對(duì)調(diào)度數(shù)據(jù)的防護(hù)措施以及入侵檢測(cè)技術(shù)的應(yīng)用進(jìn)行了探討，以期對(duì)二次系統(tǒng)的安全防護(hù)具有一定的參考價(jià)值。

電力二次系統(tǒng)；安全防護(hù)；策略；措施

0 引言

隨著電力改革的不斷推進(jìn)，電廠和用戶之間的各種數(shù)據(jù)交換日漸頻繁，對(duì)數(shù)據(jù)網(wǎng)絡(luò)的安全性、實(shí)時(shí)性和可靠性要求越來(lái)越高。因此，數(shù)據(jù)網(wǎng)絡(luò)系統(tǒng)和電力調(diào)度監(jiān)控系統(tǒng)的可靠性和安全性變得越來(lái)越重要。

1 電力二次系統(tǒng)安全防護(hù)的總策略

在對(duì)變電站、調(diào)度中心、直調(diào)電廠進(jìn)行二次系統(tǒng)安全防護(hù)時(shí)，要以電力二次系統(tǒng)的總體防護(hù)策略為原則。安全防護(hù)總策略如下：

(1) 專(zhuān)用網(wǎng)絡(luò)。對(duì)于地級(jí)和省級(jí)調(diào)度數(shù)據(jù)網(wǎng)來(lái)說(shuō)，要在專(zhuān)用網(wǎng)絡(luò)通道上使用獨(dú)立的網(wǎng)站設(shè)備組網(wǎng)，在物理層面上達(dá)到隔離綜合業(yè)務(wù)數(shù)據(jù)網(wǎng)和外部公共信息網(wǎng)的目的[1]。此網(wǎng)絡(luò)可以使用MPLS-VPN技術(shù)將網(wǎng)絡(luò)劃分成非實(shí)時(shí)VPN和實(shí)時(shí)VPN兩個(gè)業(yè)務(wù)子網(wǎng)。

(2) 安全分區(qū)。在進(jìn)行安全分區(qū)時(shí)，要根據(jù)電力二次系統(tǒng)的重要性和電力系統(tǒng)產(chǎn)生影響的大小來(lái)劃分。把電力二次系統(tǒng)分成管理信息大區(qū)和生產(chǎn)控制大區(qū)，其中生產(chǎn)控制大區(qū)又分成非控制區(qū)和安全區(qū)。

(3) 橫向隔離。在對(duì)安全區(qū)進(jìn)行隔離時(shí)，電力二次系統(tǒng)使用強(qiáng)度不同的安全設(shè)備進(jìn)行劃分，為了實(shí)現(xiàn)管理信息大區(qū)和生產(chǎn)控制大區(qū)邏輯隔離，使用具有訪問(wèn)控制功能的網(wǎng)絡(luò)設(shè)備設(shè)置在安全區(qū)間。

(4) 縱向認(rèn)證。對(duì)于廠站控制區(qū)、各級(jí)調(diào)度中心和調(diào)度數(shù)據(jù)網(wǎng)縱向連接的位置，要布置經(jīng)過(guò)認(rèn)證的加密網(wǎng)關(guān)和加密認(rèn)證裝置來(lái)保證設(shè)施的安全性，為上級(jí)控制系統(tǒng)和下級(jí)控制系統(tǒng)的數(shù)據(jù)通信提供數(shù)據(jù)加密、身份認(rèn)證以及訪問(wèn)控制服務(wù)。電力二次系統(tǒng)安全防護(hù)模型總體布置如圖1所示。在此模型上，充分考慮了網(wǎng)絡(luò)的縱向互聯(lián)、上級(jí)數(shù)據(jù)和下級(jí)數(shù)據(jù)的網(wǎng)絡(luò)需求、數(shù)據(jù)通信和橫向互聯(lián)的安全性等。利用專(zhuān)門(mén)的技術(shù)劃分網(wǎng)絡(luò)安全區(qū)，并進(jìn)行加密認(rèn)證，從而對(duì)網(wǎng)絡(luò)攻擊達(dá)到多層次防御的目的，保護(hù)電力監(jiān)控系統(tǒng)安全。

圖1 電力二次系統(tǒng)安全防護(hù)模型總體布置圖

2 電力二次系統(tǒng)安全區(qū)間防護(hù)的具體措施

2.1 橫向網(wǎng)絡(luò)邊界的防護(hù)措施

在電力二次系統(tǒng)中，隔離安全區(qū)橫向網(wǎng)絡(luò)邊界是一個(gè)比較主要的防護(hù)方法，并利用設(shè)備將安全區(qū)隔離開(kāi)來(lái)，特別是要提高生產(chǎn)控制區(qū)和管理信息區(qū)的保護(hù)力度。在進(jìn)行數(shù)據(jù)通信時(shí)，為了有效抵制病毒以及黑客攻擊和滲透電力網(wǎng)絡(luò)，要使用嚴(yán)格的數(shù)據(jù)單向傳輸控制，在非控制區(qū)和控制區(qū)之間使用具有ACL訪問(wèn)控制功能的設(shè)備進(jìn)行邏輯隔離，要求設(shè)備具有檢測(cè)狀態(tài)、過(guò)濾數(shù)據(jù)、轉(zhuǎn)換地址的相關(guān)功能[2]。要可以對(duì)數(shù)據(jù)的傳輸方向、傳輸?shù)刂贰鬏敹丝诘冗M(jìn)行控制。一般來(lái)說(shuō)，控制區(qū)和非控制區(qū)的訪問(wèn)策略值允許非控制區(qū)和控制區(qū)系統(tǒng)建立連接，不允許非控制區(qū)系統(tǒng)訪問(wèn)控制區(qū)系統(tǒng)。如果必須進(jìn)行訪問(wèn)，要對(duì)訪問(wèn)的協(xié)議、地址、端口進(jìn)行嚴(yán)格的控制。

使用專(zhuān)門(mén)的電力安全隔離設(shè)備安裝在生產(chǎn)控制大區(qū)和管理信息大區(qū)的網(wǎng)絡(luò)邊界，利用“安全島”數(shù)據(jù)和隔斷穿透性TCP連接等技術(shù)實(shí)現(xiàn)電力安全隔離裝置的數(shù)據(jù)單向傳輸以及高強(qiáng)度的網(wǎng)絡(luò)邊界隔離。一般這種裝置主要有正向型和反向型兩種類(lèi)型，反向型設(shè)備主要對(duì)生產(chǎn)控制大區(qū)和管理信息大區(qū)之間的純文數(shù)據(jù)傳輸進(jìn)行管理，正向型安全隔離裝置主要用于管理信息大區(qū)向生產(chǎn)控制大區(qū)的單向數(shù)據(jù)傳輸。當(dāng)反向隔離裝置接收到從管理信息大區(qū)發(fā)出的數(shù)據(jù)信息后，會(huì)對(duì)信息進(jìn)行簽名驗(yàn)證、編碼轉(zhuǎn)換，處理檢查后將數(shù)據(jù)發(fā)送到生產(chǎn)控制大區(qū)的各個(gè)業(yè)務(wù)系統(tǒng)。

2.2 縱向網(wǎng)絡(luò)邊界的防護(hù)措施

在調(diào)度數(shù)據(jù)網(wǎng)和控制區(qū)之間的VPN網(wǎng)絡(luò)邊界設(shè)置專(zhuān)用的縱向加密認(rèn)證網(wǎng)關(guān)，在調(diào)度數(shù)據(jù)網(wǎng)實(shí)時(shí)VPN和非控制區(qū)的網(wǎng)絡(luò)邊界設(shè)置專(zhuān)用的硬件防火墻，是另一個(gè)保證電力二次系統(tǒng)安全防護(hù)的重要措施。

使用電力認(rèn)證技術(shù)和專(zhuān)用密碼技術(shù)為廠站控制區(qū)和上下級(jí)調(diào)度中心提供數(shù)據(jù)認(rèn)證服務(wù)和通信加密，保證數(shù)據(jù)的機(jī)密性及完整性。另外，縱向加密認(rèn)證網(wǎng)關(guān)提供了協(xié)議報(bào)文的處理、過(guò)濾功能，實(shí)現(xiàn)了對(duì)端口的選擇性保護(hù)。

在生產(chǎn)控制大區(qū)的縱向網(wǎng)絡(luò)邊界上，盡量不要使用默認(rèn)的路由器，只將特定的通信端口打開(kāi)即可。不允許開(kāi)通telnet、fet、rsh、rlogin、rcp、pop3等風(fēng)險(xiǎn)比較高的網(wǎng)絡(luò)服務(wù)。

如果生產(chǎn)控制大區(qū)有公用通信網(wǎng)絡(luò)數(shù)據(jù)通信系統(tǒng)，要將專(zhuān)用的電力安全隔離設(shè)置在業(yè)務(wù)系統(tǒng)和通信系統(tǒng)的網(wǎng)絡(luò)邊界，設(shè)置專(zhuān)用的公網(wǎng)通信機(jī)。對(duì)于使用專(zhuān)線的縱向數(shù)據(jù)通信，暫時(shí)不用設(shè)置加密設(shè)備。在特大型地調(diào)、省調(diào)以及安全縱向網(wǎng)絡(luò)邊界可以布置IDS探頭，并動(dòng)態(tài)監(jiān)測(cè)網(wǎng)絡(luò)數(shù)據(jù)報(bào)文。

3 調(diào)度數(shù)據(jù)的安全防護(hù)措施

3.1 使用虛擬專(zhuān)用技術(shù)

將電力調(diào)度數(shù)據(jù)網(wǎng)利用VPN技術(shù)分成實(shí)時(shí)子網(wǎng)和非實(shí)時(shí)子網(wǎng)兩個(gè)獨(dú)立子網(wǎng)，其中實(shí)時(shí)子網(wǎng)主要在控制業(yè)務(wù)中使用，非實(shí)時(shí)子網(wǎng)主要在非控制業(yè)務(wù)中使用。使用QoS技術(shù)進(jìn)行數(shù)據(jù)網(wǎng)的調(diào)度，確保子網(wǎng)重要業(yè)務(wù)的質(zhì)量和帶寬。

3.2 交換設(shè)備和路由器的安全配置

交換設(shè)備和核心路由器的安全配置主要包括了限定交換設(shè)備和路由器的端口以及網(wǎng)絡(luò)服務(wù)、以高強(qiáng)度口令密碼為基礎(chǔ)的分級(jí)登陸認(rèn)證功能、關(guān)閉路由器源路由功能、避免關(guān)閉網(wǎng)絡(luò)邊界路由的OSPF功能、使用增強(qiáng)版的SNMPv2多受信的網(wǎng)絡(luò)地址范圍進(jìn)行設(shè)置、開(kāi)啟記錄設(shè)備日志和控制列表、封閉空閑網(wǎng)絡(luò)端口。

3.3 提升調(diào)度網(wǎng)絡(luò)的可靠性

為了提高調(diào)度網(wǎng)絡(luò)的穩(wěn)定性，對(duì)于一些比較核心及關(guān)鍵的網(wǎng)絡(luò)設(shè)備，要使用備份冗余機(jī)制。由于信道上傳輸?shù)男盘?hào)會(huì)受到噪音的影響，并且在通信接收端出現(xiàn)誤碼的情況，為了對(duì)通信的可靠性進(jìn)行提升，就需要根據(jù)信道的基本特點(diǎn)，對(duì)基帶信號(hào)進(jìn)行設(shè)計(jì)，選擇合理的調(diào)制調(diào)解方法，使用均衡技術(shù)將碼間竄繞等干擾因素消除。除此以外，還要利用差錯(cuò)控制來(lái)對(duì)通信系統(tǒng)傳輸?shù)目煽啃赃M(jìn)行改善。一般情況下，差錯(cuò)控制的方法主要有以下幾種：

(1) 前向糾錯(cuò)(FEC)。接收端除了可以及時(shí)發(fā)現(xiàn)差錯(cuò)外，還可以確定出差錯(cuò)的具體位置，進(jìn)而對(duì)差錯(cuò)進(jìn)行糾正。

(2) 混合方式(HEC)。發(fā)送端的編碼具有錯(cuò)誤糾正能力，可以檢測(cè)接收端的數(shù)據(jù)，如果錯(cuò)誤不在糾錯(cuò)能力范圍內(nèi)，會(huì)對(duì)錯(cuò)誤進(jìn)行及時(shí)反饋；如果錯(cuò)誤在糾錯(cuò)能力以內(nèi)，可以自動(dòng)進(jìn)行糾錯(cuò)。

(3) 自動(dòng)請(qǐng)求重發(fā)(ARQ)。在接收端出現(xiàn)錯(cuò)誤時(shí)，會(huì)告知發(fā)送端，并重新發(fā)送正確的信息。

4 入侵檢測(cè)技術(shù)的應(yīng)用

在電力二次系統(tǒng)的安全防護(hù)中，入侵檢測(cè)是一項(xiàng)很關(guān)鍵的技術(shù)，通過(guò)將入侵檢測(cè)系統(tǒng)布置在生產(chǎn)控制大區(qū)和管理信息大區(qū)，然后檢測(cè)網(wǎng)絡(luò)邊界和重要業(yè)務(wù)系統(tǒng)的關(guān)鍵路徑，可確保數(shù)據(jù)被及時(shí)發(fā)現(xiàn)、審計(jì)和追蹤。

入侵檢測(cè)系統(tǒng)使用模式匹配、協(xié)議分析、異常檢測(cè)等技術(shù)，利用交換機(jī)上的接入端口，達(dá)到動(dòng)態(tài)監(jiān)視數(shù)據(jù)包和網(wǎng)絡(luò)流量、管理記錄異常事例的目的。另外，為了可以在病毒入侵時(shí)及時(shí)采取處理措施，電力二次系統(tǒng)要有完善的防病毒措施，徹底消除電力監(jiān)控系統(tǒng)的安全隱患[3]。在防治病毒時(shí)，需要遵循以下幾個(gè)原則：

(1) 不允許管理信息大區(qū)和生產(chǎn)控制大區(qū)使用同一套病毒代碼管理服務(wù)區(qū)，使用專(zhuān)用的U盤(pán)在工作站和生產(chǎn)控制大區(qū)的服務(wù)器對(duì)病毒的特征碼進(jìn)行離線更新。在更新前，為了保證代碼的準(zhǔn)確性，要先對(duì)病毒特征碼進(jìn)行測(cè)試。

(2) 在管理信息大區(qū)和生產(chǎn)控制大區(qū)的病毒定義碼的更新、防病毒測(cè)量的設(shè)定、事件報(bào)告、病毒查殺的事件報(bào)告要?dú)w入管理制度。在維護(hù)需要時(shí)，電力二次系統(tǒng)要盡量不使用遠(yuǎn)程撥號(hào)方式，必須使用時(shí)，要使用電力專(zhuān)用撥號(hào)開(kāi)關(guān)來(lái)達(dá)到網(wǎng)絡(luò)層的保護(hù)目的，另外，需要根據(jù)數(shù)字證書(shū)技術(shù)進(jìn)行用戶的登錄認(rèn)證、客戶端的檢查/操作審計(jì)及訪問(wèn)的控制[4]。

(3) 在使用遠(yuǎn)程撥號(hào)方式對(duì)系統(tǒng)進(jìn)行維護(hù)時(shí)，要定期對(duì)密碼進(jìn)行更換，做好事由、撥號(hào)時(shí)間、撥號(hào)人、操作內(nèi)容的記錄。

(4) 遠(yuǎn)程撥號(hào)用戶要限制用戶權(quán)限，鏈接經(jīng)過(guò)認(rèn)證后，只能夠行使網(wǎng)絡(luò)功能。

5 結(jié)語(yǔ)

文章對(duì)電力二次系統(tǒng)的安全防護(hù)措施進(jìn)行了分析探討，在提高電力網(wǎng)絡(luò)系統(tǒng)安全性方面具有重要的意義，可為類(lèi)似工程提供借鑒。

[1] 高雅，高新華，梁智強(qiáng).基于DAS和SAS的電力二次安全防護(hù)測(cè)試平臺(tái)設(shè)計(jì)與實(shí)現(xiàn)[J].工業(yè)控制計(jì)算機(jī)，2011(1)

[2] 駱文忠.電力二次系統(tǒng)安全防護(hù)體系運(yùn)行分析[J].寧夏電力，2008(11)

[3] 袁季修.電力系統(tǒng)安全穩(wěn)定控制[M].中國(guó)電力出版社，1996

[4] 戴志輝，王增平，焦彥軍.繼電保護(hù)可靠性數(shù)據(jù)收集系統(tǒng)設(shè)計(jì)[J].電力系統(tǒng)自動(dòng)化，2010(15)

2014-09-22

王輝(1975—)，男，吉林人，工程師，研究方向：水電廠運(yùn)行及維護(hù)。