電力二次系統安全防護常用技術淺析

摘要：隨著計算機技術、通信技術和網絡技術的發展，電力二次系統也有了很大發展，接入電力數據網絡的各類控制系統和非控制系統越來越多。通過對電力二次系統發展實際情況的分析，得出電力二次系統面臨的安全風險。文章對電力二次系統常用安全防護技術做了分析，對各種技術的適用情況作了介紹。

關鍵詞：電力二次系統；安全防護技術；電力數據網絡；拓撲結構；安全需要 文獻標識碼：A

中圖分類號：TM774 文章編號：1009-2374（2015）04-0131-02 DOI：10.13535/j.cnki.11-4406/n.2015.0346

1 目前電力二次系統存在的安全風險

隨著計算機技術、通信技術和網絡技術的發展，電力二次系統也有了很大發展，接入電力數據網絡的各類控制系統和非控制系統越來越多。電力二次系統的不同安全分區之間及相同安全分區不同層級系統之間均存在不同程度的數據交互。在調度自動化系統的使用中，地調與省調、縣調、變電站、開關站和電廠等生產控制大區之間均存在數據交換。除此之外，調度自動化系統的Ⅰ區還與WEB服務器所在的Ⅲ區之間也存在數據交換。各安全分區和相同安全分區的不同層級系統之間的數據交互增強了各系統的監控功能，給各個部門和科室的工作帶來了極大的便利。

不同安全等級和不同安全分區之間的系統互聯、對Internet網絡的跨越使用，將使更多的人有機會接觸到電力專用系統，這便給黑客和病毒的攻擊提供了可乘

之機。

2 電力二次系統安全防護的目標和重點

電力二次系統安全防護的目標是防止未授權的用戶訪問系統或進行惡意的非法操作，防止外部邊界發起的攻擊，避免由攻擊導致的一次系統的事故和二次系統的癱瘓。

電力二次系統安全防護的重點是抵御黑客和病毒等通過各種形式發起的破壞和攻擊，保證電力實時監控系統和相關調度數據網絡的安全，防止由此引起的電力系統事故，確保電力系統能安全穩定運行。

3 電力二次系統安全防護常用技術措施

3.1 備份與恢復技術

定期對關鍵系統的數據進行備份，確保在數據損壞或系統崩潰的情況下，能快速準確恢復相關數據，保證系統可用，比如對調度錄音系統語音文件的定期備份和對調度自動化系統數據庫的定期備份等。

對關鍵服務器、網絡設備、電源模塊和關鍵部件進行冗余配置，避免單點故障導致系統不可用，比如電力調度自動化系統中會對前置服務器、數據庫服務器、SCADA服務器等進行雙機冗余配置，使關鍵服務器達到N-1的安全配置要求。

對于實時控制系統，在具備條件的情況下，構建異地的系統備份，提供系統級別的容災功能。比如云南省調建立在曲靖的調度自動化備調系統，當云南昆明遭遇重大自然災害導致省調自動化系統癱瘓時，云南省調可以利用曲靖的備調系統進行電力調度，確保電力調度工作的正常開展。

3.2 防病毒技術

該技術通過病毒防護系統的部署來實現。防病毒措施要覆蓋所有服務器和工作站，并且，生產控制大區統一部署病毒防護系統，管理信息大區統一部署病毒防護系統。定期對病毒防護系統的病毒特征代碼進行升級，并服務器和工作站上定期開展病毒查殺工作。其中，生產控制大區嚴禁通過與外部網絡連接升級病毒特征碼。

3.3 防火墻技術

防火墻對流經它的數據流進行安全訪問控制，符合防火墻安全策略的數據才允許通過，不符合安全策略的數據將被拒絕通過。防火墻還可以關閉不使用的端口，禁止特定端口的流出通信或來自特定站點的訪問。防火墻通常使用包過濾技術和應用代理服務技術。

通過防火墻的使用可以限制外部用戶對系統資源的非授權訪問，也可以限制內部用戶對外部系統的非授權訪問。

防火墻通常部署在控制區與非可控制區之間，可以實現兩個區域之間的邏輯隔離、報文過濾、訪問控制。

防火墻的安全策略的設置可以使用IP地址、應用端口號、應用系統、報文方向等不同因素的組合。

防火墻是一種重要的網絡安全設備，它通常部署在不同網絡或不同安全域之間，用于不同網絡之間或不同安全域之間的訪問控制，比如在電力調度自動化系統的Ⅲ區的WEB服務器和辦公網絡之間便布置硬件防火墻，以此將兩個安全分區進行邏輯隔離。

3.4 入侵檢測技術

入侵檢測技術是一種主動發現網絡安全隱患的技術。通過入侵檢測系統的部署，可以收集計算機網絡系統中關鍵點的信息，通過對這些信息的綜合分析可以識別出黑客常用的入侵和攻擊手段、網絡的通信狀況是否異常、系統的漏洞及后門是否存在被非法利用的情

況等。

入侵檢測技術能夠幫助系統對付網絡攻擊，擴展系統管理員的安全管理能力，是防火墻技術的有效補充，它提高了信息安全基礎結構的完整性。

3.5 網絡設備安全配置技術

不使用默認路由。

在網絡邊界路由器上關閉OSPF功能。

升級軟件，及時打好補丁，避免系統漏洞被非法

利用。

設置復雜密碼，并定期對密碼進行修改。

對訪問控制列表進行配置。

3.6 橫向安全隔離技術

該技術主要使用橫向安全隔離裝置，分為正向型橫向安全隔離和反向型橫向安全隔離。

正向型橫向安全隔離裝置用于生產控制大區到管理信息大區的單向數據傳送，實現兩個安全分區之間的非網絡方式的數據傳輸，比如安全I區的電力調度自動化系統給管理信息大區Ⅲ區的DMIS系統傳輸數據時，在這兩個安全分區之間便部署了正向型橫向安全隔離

裝置。反向型橫向安全隔離裝置用于管理信息大區到生產控制大區的單向數據傳送。該裝置接收管理信息大區發往生產控制大區的數據，對這些數據進行簽名驗證、有效性檢查和內容過濾等處理，然后發送給生產控制大區內的對應接收程序，比如位于Ⅲ區的省調外網服務器給位于安全I區的地調調度自動化系統發送計劃值數據時，在兩個安全分區之間便部署了反向型橫向安全隔離裝置。

3.7 縱向加密認證技術

該技術主要通過使用縱向加密認證裝置實現。它為本地生產控制大區提供一個網絡防護，具有類似包過濾防火墻的功能。為生產控制大區各不同層級系統之間的通信提供認證和加密功能，實現各層級系統之間數據傳輸的保密性和完整性。

3.8 安全撥號認證技術

通過部署電力安全撥號認證系統實現電力安全撥號認證，該認證系統由客戶端系統和服務器端系統組成。

撥號客戶端通過內置數字證書智能卡進行本地身份驗證，并部署專用安全撥號軟件進行與服務器端的認證交互。

電力系統主站端部署內置電力加密卡的安全撥號認證網關。電力加密卡用于存放密鑰及數字證書。撥號網關采用嵌入式Linux安全操作系統內核，確保系統的抗攻擊性和高性能。

通過客戶端和撥號網關自身持有的數字證書進行雙方強身份驗證，建立安全加密隧道進行安全保密通信。在安全隧道中，通過客戶端安全撥號軟件和服務器端的安全認證接入軟件進行可信認證接入和細粒度的訪問控制及安全審計。該技術常用于系統廠家對客戶的系統進行例行體檢和緊急問題的處理。

4 結語

電力二次系統的安全防護有多種技術可以選用，各種安全防護技術均有其特點，各自有不同的適用環境，使用者應該依據電力二次系統的實際拓撲結構和安全需要來選擇不同的安全防護技術。

在構建電力二次系統的安全防護體系時，應該遵循“安全分區、網絡專用、橫向隔離、縱向認證”的總體策略，這樣便可以選定正確的電力安全防護技術和設備，確保自己的電力二次系統安全可靠。

參考文獻

[1] 曹茂昇，高伏英.電網調度自動化主站運行[M].北京：中國電力出版社，2011.

[2] 秦超，張濤，林為民.基于數字證書認證的電力安全撥號認證系統[J].電力系統自動化，2009，（10）.

作者簡介：張杰（1983-），云南電網公司怒江供電局電力調度控制中心自動化及遠動組組長，助理工程師，研究方向：通信工程。

（責任編輯：蔣建華）