(杭州电力设计院 310014)
摘要：本文结合电力二次系统安全防护总体原则、防护重点, 对电力二次系统安全防护的若干技术措施进行分析。
关键字：电力二次系统；安全防护；实时闭环监控系统；电力调度数据网
最近几年，在电力企业的管理和生产过程中，信息技术被广泛应用，这使用得电力企业的经营管理和生产运行水平都有显著地提高。除此之外，随着通讯、计算机网络技术和自动化的快速发展，电力网络系统的安全问题变得日益重要和突出。因而，将安全加固和风险评估引入到电力二次系统中，有助于及时了解电力系统的安全状态，并根据状态采取有效措施，降低安全风险，消除安全隐患。
一、安全防护的总体策略
根据电力二次系统的特点及各相关业务系统的重要程度、数据流程、目前状况和安全要求, 将整个电力二次系统分为4个安全区。
实时控制区：包括调度自动化系统(SCADA/EMS)、配电自动化系统、变电站自动化系统、发电厂自动监控系统等, 它是电力二次系统中最重要系统, 安全等级最高, 是安全防护的重点与核心, 该区的外部通信边界为SPD-net的实时VPN。
(2) 非控制生产区：包括调度员培训模拟系统(DTS)、继电保护及故障录波信息管理系统、电能量计量系统、批发电力交易系统等, 该区的外部通信边界为SPD-net的非实时VPN。
(3)生产管理区：主要为电力生产所需的信息管理系统, 如调度生产管理系统(DMIS )、统计报表系统、雷电监测系统、气象信息接入等, 该区的外部通信边界为电力数据通信网SPT-net。
(4)管理信息区：包括管理信息系统(MIS)、办公自动化系统(OA) 、客户服务等, 该区的外部通信边界为SPT-net 或因特网。对不同的安全区确定了不同的安全防护要求, 从而决定了需要实现不同安全防护等级和防护水平、隔离强度。
针对电力二次系统安全防护, 国家电监会发布了《电力二次系统安全防护总体方案》, 该方案确定了电力二次系统防护的总体框架, 确定了电力二次系统安全防护总体原则, 即“安全分区、网络专用、横向隔离、纵向认证”,提出省级以上的调度中心、地县级调度中心、发电厂、变电站、配电等二次系统安全的防护方案。
电力二次系统安全防护的重点是确保电力实时闭环监控系统及调度数据网络的安全, 目标是抵御黑客、病毒、恶意代码等通过各种形式对系统发起的恶意破坏和攻击, 特别是能够抵御集团式攻击, 防止由此导致一次系统事故或大面积停电事故及二次系统的崩溃或瘫痪。图1为电力二次系统安全防护总体策略框图。
二、安全防护的技术措施
1.安全分区
根据系统中业务的重要性和对一次系统的影响程度, 按其性质划分为实时控制区、非控制生产区、调度生产管理区、管理信息区等4个安全区域, 重点保护实时控制系统以及生产业务系统。所有系统都必须置于相应的安全区内, 纳人统一的安全防护方案。
2.网络专用
由于电力调度数据网的服务对象、网络规模相对固定、并且主要满足自动化系统对安全、可靠性、实时性的需求, 为调度自动化系统提供端到端的服务,所以电力调度数据网宜在通道层面上建立专网, 以实现该网与其它为网的有效、安全隔离。
期刊文章分类查询,尽在期刊图书馆
在专用通道上建立电力调度专用数据网络, 实现与其他数据网络物理隔离, 并通过采用MPLS-VPN形成多个相互逻辑隔离的VPN , 实现多层次的保护。
3.横向隔离
在各安全区之间均需选择适当安全强度的隔离装置。具体隔离装置的选择不仅需要考虑网络安全的要求, 还需要考虑带宽及实时性的要求。安全区之间隔离装置必须是国产并经过国家或电力系统有关部门认证。
安全区Ⅰ与安全区Ⅱ之间的隔离采用硬件防火墙确保安全区之间逻辑隔离, 禁止跨越安全区Ⅰ与安全区Ⅱ的e-mail、web、telnet、rlogin。安全区Ⅰ、Ⅱ与安全区Ⅲ、Ⅳ之间的隔离采用物理隔离装置确保安全区之间物理隔离, 禁止跨越安全区Ⅰ、Ⅱ与安全区、的非数据应用穿透。同一安全区内纵向联络使用VPN网络进行连接, 安全区Ⅰ、Ⅱ分别使用SPD-net 实时VPN与非实时VPN, 安全区Ⅲ、Ⅳ分别使用SPT-net 不同的VPN 。
物理隔离装置因其具有使内网和外网永不连接,内网和外网在同一时间最多只有一个同隔离设备建立非TCP/IP协议的数据连接的特性, 能有效地避免基于应用协议漏洞的攻击、基于TCP/IP协议漏洞的攻击、基于命令的攻击和基于连接的攻击。它与传统的防火墙相互补充, 共同防止来自互联网的攻击和保证高安全性网络的保密性、安全性、完整性。
4 纵向认证
纵向加密认证是电力二次系统安全防护核心的纵向防线。其目的是通过采用认证、加密、访问控制等手段实现数据的远方安全传输以及纵向边界的安全防护。其中安全区Ⅰ与Ⅱ之间通过数字证书系统实现认证、加密和访问控制, 同时通过电力系统专用算法再次加密, 以确保数据的安全性。拨号认证加密对远程拨号接入用户进行身份认证和数据加密, 是纵向防护体系中对通过拨号服务器进行数据传输的重要防护手段。通过身份认证、防火墙和VPN 等技术, 对安全区工Ⅰ与Ⅱ的远程拨号接入用户进行认证, 对传输的信息进行加密和数字签名, 并设置安全策略对接入的用户访问的范围和资源进行限制, 以增强电力二次系统安全防护的强度, 保证拨号用户操作的责任性和可追查性。
5 病毒防护
防病毒软件要求搜盖所有服务器及客户端。对关键服务器实时查毒, 对于客户端定期进行查毒, 制定查毒策略, 并备有查杀记录。病毒防护是调度系统与网络必须的安全措施。病毒的防护应该夜盖所有安全区Ⅰ、Ⅱ、Ⅲ的主机与工作站。特别在安全区Ⅰ、Ⅱ建立独立的防病毒中心, 病毒特征码必须以离线的方式及时更新。原则上安全区Ⅲ的防病毒中心可以和安全区Ⅳ共用。
6 数据备份
上述的电力二次系统安全防护技术措施因其本身固有的滞后性决定了其只能在一定程度上改善网络的安全保障. 从数据的安全角度来说, 数据备份是数据保护的最后一道防线, 是数据最安全的保护方法。在备份系统的结构设计中, 需要结合电力二次系统网络与信息安全的特点与要求, 对DAS/NAS/SAN备份方式的选择、主备份服务器的部署、磁带库的部署和选择、全备份/差分备份/增量备份等备份策略的选择进行考虑, 实现异构环境下电力二次系统数据的自动在线备份和快速恢复。
3 结束语
电力二次系统网络与信息安全不但要从防火墙措施、网络隔离措施、防病毒措施、系统加固与备份措施等技术角度考虑, 而且要从管理的角度去考虑, 通过安全教育与培训, 提高员工的安全意识, 主动利用各种工具去加强安全性。只有管理与技术措施的完美结合, 才能切实有效地实现电力二次系统网络与信息的安全。
参考文献
[1]胡炎,辛雄中,韩英择.二次系统安全体系结构化设计方法[J].电力系统自动化,2012,27 (10):63-68.
[2]程勇祥.电力调度自动化系统中物理隔离技术的研究与应用[J]. 四川电力技术,2014(l):73-75.
[3]雷云, 凌云华, 本力清.物理除离在电力系统中的实现[J]. 计算机信息,2013 (l):107 ~109.
论文作者:许秀珍
论文发表刊物:《电力设备》2015年第11期供稿
论文发表时间:2016/4/26
标签：安全区论文; 电力论文; 系统论文; 安全防护论文; 数据论文; 实时论文; 网络论文; 《电力设备》2015年第11期供稿论文;