王 輝

(湖南芷江蟒塘溪水利水電開發(fā)有限責(zé)任公司，湖南 懷化 419100)

電力二次系統(tǒng)安全防護探討

王 輝

(湖南芷江蟒塘溪水利水電開發(fā)有限責(zé)任公司，湖南 懷化 419100)

首先闡述了電力二次系統(tǒng)安全防護總策略，然后對電力二次系統(tǒng)安全區(qū)間的防護措施進行了介紹，最后對調(diào)度數(shù)據(jù)的防護措施以及入侵檢測技術(shù)的應(yīng)用進行了探討，以期對二次系統(tǒng)的安全防護具有一定的參考價值。

電力二次系統(tǒng)；安全防護；策略；措施

0 引言

隨著電力改革的不斷推進，電廠和用戶之間的各種數(shù)據(jù)交換日漸頻繁，對數(shù)據(jù)網(wǎng)絡(luò)的安全性、實時性和可靠性要求越來越高。因此，數(shù)據(jù)網(wǎng)絡(luò)系統(tǒng)和電力調(diào)度監(jiān)控系統(tǒng)的可靠性和安全性變得越來越重要。

1 電力二次系統(tǒng)安全防護的總策略

在對變電站、調(diào)度中心、直調(diào)電廠進行二次系統(tǒng)安全防護時，要以電力二次系統(tǒng)的總體防護策略為原則。安全防護總策略如下：

(1) 專用網(wǎng)絡(luò)。對于地級和省級調(diào)度數(shù)據(jù)網(wǎng)來說，要在專用網(wǎng)絡(luò)通道上使用獨立的網(wǎng)站設(shè)備組網(wǎng)，在物理層面上達(dá)到隔離綜合業(yè)務(wù)數(shù)據(jù)網(wǎng)和外部公共信息網(wǎng)的目的[1]。此網(wǎng)絡(luò)可以使用MPLS-VPN技術(shù)將網(wǎng)絡(luò)劃分成非實時VPN和實時VPN兩個業(yè)務(wù)子網(wǎng)。

(2) 安全分區(qū)。在進行安全分區(qū)時，要根據(jù)電力二次系統(tǒng)的重要性和電力系統(tǒng)產(chǎn)生影響的大小來劃分。把電力二次系統(tǒng)分成管理信息大區(qū)和生產(chǎn)控制大區(qū)，其中生產(chǎn)控制大區(qū)又分成非控制區(qū)和安全區(qū)。

(3) 橫向隔離。在對安全區(qū)進行隔離時，電力二次系統(tǒng)使用強度不同的安全設(shè)備進行劃分，為了實現(xiàn)管理信息大區(qū)和生產(chǎn)控制大區(qū)邏輯隔離，使用具有訪問控制功能的網(wǎng)絡(luò)設(shè)備設(shè)置在安全區(qū)間。

(4) 縱向認(rèn)證。對于廠站控制區(qū)、各級調(diào)度中心和調(diào)度數(shù)據(jù)網(wǎng)縱向連接的位置，要布置經(jīng)過認(rèn)證的加密網(wǎng)關(guān)和加密認(rèn)證裝置來保證設(shè)施的安全性，為上級控制系統(tǒng)和下級控制系統(tǒng)的數(shù)據(jù)通信提供數(shù)據(jù)加密、身份認(rèn)證以及訪問控制服務(wù)。電力二次系統(tǒng)安全防護模型總體布置如圖1所示。在此模型上，充分考慮了網(wǎng)絡(luò)的縱向互聯(lián)、上級數(shù)據(jù)和下級數(shù)據(jù)的網(wǎng)絡(luò)需求、數(shù)據(jù)通信和橫向互聯(lián)的安全性等。利用專門的技術(shù)劃分網(wǎng)絡(luò)安全區(qū)，并進行加密認(rèn)證，從而對網(wǎng)絡(luò)攻擊達(dá)到多層次防御的目的，保護電力監(jiān)控系統(tǒng)安全。

圖1 電力二次系統(tǒng)安全防護模型總體布置圖

2 電力二次系統(tǒng)安全區(qū)間防護的具體措施

2.1 橫向網(wǎng)絡(luò)邊界的防護措施

在電力二次系統(tǒng)中，隔離安全區(qū)橫向網(wǎng)絡(luò)邊界是一個比較主要的防護方法，并利用設(shè)備將安全區(qū)隔離開來，特別是要提高生產(chǎn)控制區(qū)和管理信息區(qū)的保護力度。在進行數(shù)據(jù)通信時，為了有效抵制病毒以及黑客攻擊和滲透電力網(wǎng)絡(luò)，要使用嚴(yán)格的數(shù)據(jù)單向傳輸控制，在非控制區(qū)和控制區(qū)之間使用具有ACL訪問控制功能的設(shè)備進行邏輯隔離，要求設(shè)備具有檢測狀態(tài)、過濾數(shù)據(jù)、轉(zhuǎn)換地址的相關(guān)功能[2]。要可以對數(shù)據(jù)的傳輸方向、傳輸?shù)刂?、傳輸端口等進行控制。一般來說，控制區(qū)和非控制區(qū)的訪問策略值允許非控制區(qū)和控制區(qū)系統(tǒng)建立連接，不允許非控制區(qū)系統(tǒng)訪問控制區(qū)系統(tǒng)。如果必須進行訪問，要對訪問的協(xié)議、地址、端口進行嚴(yán)格的控制。

使用專門的電力安全隔離設(shè)備安裝在生產(chǎn)控制大區(qū)和管理信息大區(qū)的網(wǎng)絡(luò)邊界，利用“安全島”數(shù)據(jù)和隔斷穿透性TCP連接等技術(shù)實現(xiàn)電力安全隔離裝置的數(shù)據(jù)單向傳輸以及高強度的網(wǎng)絡(luò)邊界隔離。一般這種裝置主要有正向型和反向型兩種類型，反向型設(shè)備主要對生產(chǎn)控制大區(qū)和管理信息大區(qū)之間的純文數(shù)據(jù)傳輸進行管理，正向型安全隔離裝置主要用于管理信息大區(qū)向生產(chǎn)控制大區(qū)的單向數(shù)據(jù)傳輸。當(dāng)反向隔離裝置接收到從管理信息大區(qū)發(fā)出的數(shù)據(jù)信息后，會對信息進行簽名驗證、編碼轉(zhuǎn)換，處理檢查后將數(shù)據(jù)發(fā)送到生產(chǎn)控制大區(qū)的各個業(yè)務(wù)系統(tǒng)。

2.2 縱向網(wǎng)絡(luò)邊界的防護措施

在調(diào)度數(shù)據(jù)網(wǎng)和控制區(qū)之間的VPN網(wǎng)絡(luò)邊界設(shè)置專用的縱向加密認(rèn)證網(wǎng)關(guān)，在調(diào)度數(shù)據(jù)網(wǎng)實時VPN和非控制區(qū)的網(wǎng)絡(luò)邊界設(shè)置專用的硬件防火墻，是另一個保證電力二次系統(tǒng)安全防護的重要措施。

使用電力認(rèn)證技術(shù)和專用密碼技術(shù)為廠站控制區(qū)和上下級調(diào)度中心提供數(shù)據(jù)認(rèn)證服務(wù)和通信加密，保證數(shù)據(jù)的機密性及完整性。另外，縱向加密認(rèn)證網(wǎng)關(guān)提供了協(xié)議報文的處理、過濾功能，實現(xiàn)了對端口的選擇性保護。

在生產(chǎn)控制大區(qū)的縱向網(wǎng)絡(luò)邊界上，盡量不要使用默認(rèn)的路由器，只將特定的通信端口打開即可。不允許開通telnet、fet、rsh、rlogin、rcp、pop3等風(fēng)險比較高的網(wǎng)絡(luò)服務(wù)。

如果生產(chǎn)控制大區(qū)有公用通信網(wǎng)絡(luò)數(shù)據(jù)通信系統(tǒng)，要將專用的電力安全隔離設(shè)置在業(yè)務(wù)系統(tǒng)和通信系統(tǒng)的網(wǎng)絡(luò)邊界，設(shè)置專用的公網(wǎng)通信機。對于使用專線的縱向數(shù)據(jù)通信，暫時不用設(shè)置加密設(shè)備。在特大型地調(diào)、省調(diào)以及安全縱向網(wǎng)絡(luò)邊界可以布置IDS探頭，并動態(tài)監(jiān)測網(wǎng)絡(luò)數(shù)據(jù)報文。

3 調(diào)度數(shù)據(jù)的安全防護措施

3.1 使用虛擬專用技術(shù)

將電力調(diào)度數(shù)據(jù)網(wǎng)利用VPN技術(shù)分成實時子網(wǎng)和非實時子網(wǎng)兩個獨立子網(wǎng)，其中實時子網(wǎng)主要在控制業(yè)務(wù)中使用，非實時子網(wǎng)主要在非控制業(yè)務(wù)中使用。使用QoS技術(shù)進行數(shù)據(jù)網(wǎng)的調(diào)度，確保子網(wǎng)重要業(yè)務(wù)的質(zhì)量和帶寬。

3.2 交換設(shè)備和路由器的安全配置

交換設(shè)備和核心路由器的安全配置主要包括了限定交換設(shè)備和路由器的端口以及網(wǎng)絡(luò)服務(wù)、以高強度口令密碼為基礎(chǔ)的分級登陸認(rèn)證功能、關(guān)閉路由器源路由功能、避免關(guān)閉網(wǎng)絡(luò)邊界路由的OSPF功能、使用增強版的SNMPv2多受信的網(wǎng)絡(luò)地址范圍進行設(shè)置、開啟記錄設(shè)備日志和控制列表、封閉空閑網(wǎng)絡(luò)端口。

3.3 提升調(diào)度網(wǎng)絡(luò)的可靠性

為了提高調(diào)度網(wǎng)絡(luò)的穩(wěn)定性，對于一些比較核心及關(guān)鍵的網(wǎng)絡(luò)設(shè)備，要使用備份冗余機制。由于信道上傳輸?shù)男盘枙艿皆胍舻挠绊?，并且在通信接收端出現(xiàn)誤碼的情況，為了對通信的可靠性進行提升，就需要根據(jù)信道的基本特點，對基帶信號進行設(shè)計，選擇合理的調(diào)制調(diào)解方法，使用均衡技術(shù)將碼間竄繞等干擾因素消除。除此以外，還要利用差錯控制來對通信系統(tǒng)傳輸?shù)目煽啃赃M行改善。一般情況下，差錯控制的方法主要有以下幾種：

(1) 前向糾錯(FEC)。接收端除了可以及時發(fā)現(xiàn)差錯外，還可以確定出差錯的具體位置，進而對差錯進行糾正。

(2) 混合方式(HEC)。發(fā)送端的編碼具有錯誤糾正能力，可以檢測接收端的數(shù)據(jù)，如果錯誤不在糾錯能力范圍內(nèi)，會對錯誤進行及時反饋；如果錯誤在糾錯能力以內(nèi)，可以自動進行糾錯。

(3) 自動請求重發(fā)(ARQ)。在接收端出現(xiàn)錯誤時，會告知發(fā)送端，并重新發(fā)送正確的信息。

4 入侵檢測技術(shù)的應(yīng)用

在電力二次系統(tǒng)的安全防護中，入侵檢測是一項很關(guān)鍵的技術(shù)，通過將入侵檢測系統(tǒng)布置在生產(chǎn)控制大區(qū)和管理信息大區(qū)，然后檢測網(wǎng)絡(luò)邊界和重要業(yè)務(wù)系統(tǒng)的關(guān)鍵路徑，可確保數(shù)據(jù)被及時發(fā)現(xiàn)、審計和追蹤。

入侵檢測系統(tǒng)使用模式匹配、協(xié)議分析、異常檢測等技術(shù)，利用交換機上的接入端口，達(dá)到動態(tài)監(jiān)視數(shù)據(jù)包和網(wǎng)絡(luò)流量、管理記錄異常事例的目的。另外，為了可以在病毒入侵時及時采取處理措施，電力二次系統(tǒng)要有完善的防病毒措施，徹底消除電力監(jiān)控系統(tǒng)的安全隱患[3]。在防治病毒時，需要遵循以下幾個原則：

(1) 不允許管理信息大區(qū)和生產(chǎn)控制大區(qū)使用同一套病毒代碼管理服務(wù)區(qū)，使用專用的U盤在工作站和生產(chǎn)控制大區(qū)的服務(wù)器對病毒的特征碼進行離線更新。在更新前，為了保證代碼的準(zhǔn)確性，要先對病毒特征碼進行測試。

(2) 在管理信息大區(qū)和生產(chǎn)控制大區(qū)的病毒定義碼的更新、防病毒測量的設(shè)定、事件報告、病毒查殺的事件報告要歸入管理制度。在維護需要時，電力二次系統(tǒng)要盡量不使用遠(yuǎn)程撥號方式，必須使用時，要使用電力專用撥號開關(guān)來達(dá)到網(wǎng)絡(luò)層的保護目的，另外，需要根據(jù)數(shù)字證書技術(shù)進行用戶的登錄認(rèn)證、客戶端的檢查/操作審計及訪問的控制[4]。

(3) 在使用遠(yuǎn)程撥號方式對系統(tǒng)進行維護時，要定期對密碼進行更換，做好事由、撥號時間、撥號人、操作內(nèi)容的記錄。

(4) 遠(yuǎn)程撥號用戶要限制用戶權(quán)限，鏈接經(jīng)過認(rèn)證后，只能夠行使網(wǎng)絡(luò)功能。

5 結(jié)語

文章對電力二次系統(tǒng)的安全防護措施進行了分析探討，在提高電力網(wǎng)絡(luò)系統(tǒng)安全性方面具有重要的意義，可為類似工程提供借鑒。

[1] 高雅，高新華，梁智強.基于DAS和SAS的電力二次安全防護測試平臺設(shè)計與實現(xiàn)[J].工業(yè)控制計算機，2011(1)

[2] 駱文忠.電力二次系統(tǒng)安全防護體系運行分析[J].寧夏電力，2008(11)

[3] 袁季修.電力系統(tǒng)安全穩(wěn)定控制[M].中國電力出版社，1996

[4] 戴志輝，王增平，焦彥軍.繼電保護可靠性數(shù)據(jù)收集系統(tǒng)設(shè)計[J].電力系統(tǒng)自動化，2010(15)

2014-09-22

王輝(1975—)，男，吉林人，工程師，研究方向：水電廠運行及維護。