摘要：随着计算机技术的飞速发展和广泛应用，电力监控系统安全防护问题牵涉到了电力生产的各个环节、各个方面，包括电网和电厂。按照“谁主管谁负责，谁运营谁负责”的原则，各发、供电单位的管理人员和技术人员，需详细了解电力监控系统安全防护的要素，才能在技术上扎实做好安全防护工作。
关键词：电力监控系统；安全防护；等级保护；横向隔离；纵向认证
1.电力监控系统的概述
电力监控系统，标准定义是指用于监视和控制电力生产及供应过程的、基于计算机及网络技术的业务系统及智能设备，以及作为基础支撑的通信及数据网络等。由此定义可以看出，电力监控系统涵盖发电、输电、用电全过程的各类自动控制系统。
2.安全防护建设的必要性
随着计算机技术和网络通信技术在电力系统中的广泛应用，电力也逐步超越传统概念，与信息化网络结合得愈加紧密。电力以维护电网的安全、稳定为根基，并在此基础上实现电网的优化运行。近年来，电网的蓬勃发展极大地带动了电力二次系统的快速进步。具体体现在三个方面：国家电力调度数据网的建设，以满足调度中心和大量厂站之间频繁的数据交换；厂站内部生产控制系统和管理信息网络的横向结合，远方控制的大量采用，以提高电力企业生产管理的效率；基于网络的新技术、新系统在电力生产控制中的应用，以提高对全网监控、管理的可靠性、准确性和实时性。可以看到，三个方面都与网络密切相关。一旦电力生产控制系统网络遭到病毒或黑客的攻击，后果将不堪设想。毫无疑问，网络技术的应用不仅给电力系统带来了生产力的提高，同时也对电力的安全性提出了严峻的挑战。
3.安全防护的主要原则
电力监控系统安全防护包括调度端、站内及纵向安全防护，按照“电力监控系统安全防护总体方案”（以下简称“方案”）规定，电力监控系统安全防护的总体原则为“安全分区、要着重保护实时监控系统，以及电力调度的数据资料库的安全，使其达到国家对电力基础设施中电力调度系统的防护保障要求。通过对于现阶段电力系统防护现状和现存问题进行归纳总结后，提出风险防护建议。安全防护主要针对网络系统和基于网络的电力生产控制系统，重点强化边界防护，提高内部安全防护能力，保证电力生产控制系统及重要数据的安全。“安全分区”，原则上划分为生产控制大区和管理信息大区，生产控制区主要包括那些和电力生产紧密相关的、辅助电力生产决策信息系统，管理信息区主要包括那些和电力管理、经营、行政事务相关的系统。而生产控制大区按是否带控制功能分为的控制区和非控制区。“网络专用”，是指生产大区的数据网络必须使用独立的网络设备组网，在物理层面上实现与电力企业其它数据网及外部公共信息网的安全隔离，即是电力调度数据网。“横向隔离”，是指在控制大区与管理信息大区之间必须设置经国家指定部门检测认证的电力专用横向单向安全隔离装置，其隔离强度接近或达到物理隔离，而现有黑客攻击大部分都基于网络，故黑客病毒无法穿透并攻击到电力内部系统；“纵向认证”，是指采用认证、加密、访问控制等技术措施实现数据的远方安全传输以及纵向边界的安全防护，对于重点防护的调度中心、发电厂、变电站在生产控制大区与广域网的纵向连接处设置经过电力专用纵向加密认证装置或加密认证网关，实现双向身份认证、数据加密和访问控制。
4.电力监控系统安全防护存在问题
4.1技术管理方面
4.1.1分区错误
由于电力监控系统的复杂性和多样性，为所有的系统确立唯一的安全等级是困难的且代价昂贵的，从系统论的角度而言，将具有不同特性和重要性的系统划分到不同安全分区，根据不同安全区确立不同的安全防护要求，从而决定不同的安全等级和防护水平。然而，由于初期对变电站在规划、设计、建设控制系统和数据网络时，对网络的安全问题重视不够和认识不够深刻，存在一些设备、系统分区错误现象，将防护等级较高设备放置等级较低区域，将应放置生产控制大区设备放置于管理信息大区。
期刊文章分类查询,尽在期刊图书馆如，电能计量系统负责采集网内变电站的进线、主变以及出线表计的电量数据，需要从生产控制大区每天定时采集电量数据，若将其划分到管理信息大区，信息系统未达到相应的防护级别，会使重要系统面临较高的风险。
4.1.2跨区互联
我们在生产控制大区与管理信息大区之间设置电力专用的单向安全隔离装置，在控制区与非控制区之间我们采用防火墙进行访问控制，实现逻辑隔离。一般情况下，我们允许安全等级相对较高的系统向安全等级较低的系统发送数据，中间部署正向安全隔离，而安全等级低的系统向安全等级高的系统传送数据需通过反向安全隔离传送时将所需数据加密后再控制传输。但如果同一台设备用两个网卡分别设置了生产控制大区和管理信息大区的IP地址，这样就想当于两个大区建立了直连通道，数据的交互绕过了隔离装置，使生产控制大区失去了防护。
4.2业务传输、纵向认证
4.2.1构建纵向防线
纵向加密认证是电力监控系统安全防护体系的纵向防线，解决上下层级业务系统间纵向数据传输的安全防护问题。业务系统局域网与电力调度数据网广域网的纵向连接处、地县一体化调度自动化系统中地调主站与县调远程终端连接处，应部署电力专用纵向加密认证装置，实现双向身份认证、数据加密和访问控制。
4.2.2纵向加密认证装置
纵向加密认证装置用于业务系统局域网与广域网的连接处，一般串接于广域网路由器和局域网交换机之间，或者远程连接（通过非可控的通信通道）的两台交换机之间。纵向加密认证装置需成对使用，一端加密一端解密。也偶见非对称用法（即仅在一端部署），但无法实现加密功能。纵向加密认证装置与防火墙不同，纵向加密认证装置除具备防火墙的访问控制功能外，还为广域网通信提供身份认证与数据加密功能，实现数据传输的机密性、完整性保护，同时具有安全过滤功能。
4.3等保分级
将电力监控系统范畴内的所有系统按照重要级别划分为不同的安全等级。依据系统的安全等级在物理安全、网络安全、主机安全、应用安全、数据安全等各方面采取不同级别的安全措施，达到不同级别的防护水平。
5.通用安全
5.1物理安全
电力监控系统机房均设置门禁系统（重要系统机房设置双重门禁系统），采取防火、防水、防雷、防盗窃、防破坏等措施。机房内应部署监控摄像头、温湿度感应器、水浸检测探头等，并接入一体化集中监控系统。四级系统的前置系统服务器均放置在屏蔽机柜中。
5.2安全加固
电力监控系统安全加固，是在保证电力监控系统正常稳定运行的前提下，在识别系统面临威胁和存在脆弱性的基础上，对电力监控系统进行物理防护、安全配置修改或漏洞修补，从而提高自身安全性的过程。安全加固采用自加固和专业加固相结合的方式。自加固是依靠自身的技术力量，对电力监控系统在日常维护过程中发现的脆弱性进行修补的安全加固工作。专业加固是由专业技术支持单位负责完成的电力监控系统安全加固工作。安全加固具体分为主机加固、安全设备加固、网络设备加固、病毒及恶意代码防护。
6.结束语
电力监控系统安全是电力生产安全不可分割的一部分。除了依据相关规定要求建立可靠的网络安全技术的安全防护体系外，还必须建立健全完善的网络安全管理制度，形成管理和技术双管齐下，才能真正达到保证网络安全的目的。
参考文献：
[1]石明霞.起重机安全监控系统的研发[D].集美大学，2014.
[2]吕佩哲.电网通信综合监控系统的设计与实施[D].内蒙古大学，2014.
[3]张殷.轨道交通电力监控系统设计与应用[D].华东理工大学，2014.
[4]何杰.绿色与安全施工实时监控系统研究[D].大连理工大学，2014.
论文作者:牛海萍
论文发表刊物:《电力设备》2017年第26期
论文发表时间:2017/12/31
标签：电力论文; 监控系统论文; 纵向论文; 大区论文; 安全防护论文; 系统论文; 数据论文; 《电力设备》2017年第26期论文;