安康調度數據網安全防護建設及應用

梁學良

摘 要：隨著通信技術和網絡技術的發展，安康電力調度數據網全面建成，電力實時數據業務傳輸和控制系統越來越多向著網絡化方向發展。安康電力調度數據網是專門為電力調度生產服務的，網絡承載業務主要是包括調度自動化實時信息、電能量計量信息、自動化設備遠程管控等業務，是電力系統內各種計算機應用系統實現互聯的基礎。安康調度數據網是陜西電力調度數據網安康地區的延伸網絡，是在現有通信傳輸網絡的基礎上，建設一個覆蓋安康各廠站及小水電用戶的數據網絡，實現安康電網系統生產安全監控信息資源的共享。

關鍵詞：數據網；安全；防護；方案

中圖分類號：TV213.4 文獻標識碼：A 文章編號：1006-8937（2016）33-0084-03

1 安康電力調度數據網安全防護思路和威脅

為滿足調控一體化監控信息接入和地區備調系統建設需要，為調度自動化、電量采集等信息傳輸提供可靠的高速通道，滿足國網公司提出的調度數據網設備覆蓋所有變電站的要求，依托“大運行”技術支持系統建設項目，對安康電力調度數據網進行升級改造，完成所有變電站路由器到主備調路由器的通道調試，建成高可靠性的雙星型網絡。網絡拓撲如圖1所示。

隨著電力企業改革的不斷推進和電力市場的建立逐步完善，在調控中心、電廠、變電站之間的數據交換也越來越頻繁。特別是隨著電力一次設備的改善和通信、網絡技術的發展，所有變電站實現無人集中監控，對于廠站采用遠方常態化遙控操作，對電力控制系統和數據網絡的安全性、可靠性、實時性提出了新的考驗。

安康電力調度數據網承載的業務是對電網進行實時控制的業務，該業務與電網一次設備的安全息息相關。

目前安康電力數據網共接入55座，覆蓋率100%，部分小水電接入數據網實現了信息共享，每個變電站和電廠作為一節點接入該網絡，它的安全關系到整個國家調度數據網的安全。每一節點安全隱患都可能威脅到全國整個電網的安全，造成大面積停電，甚至全網的崩潰。同時隨著安康調控一體化、智能化變電站等項目的推進，數據網的應用不斷擴展，為確保調控一體化技術支持系統安全可靠運行，首先必須確保網絡傳輸通道的安全、可靠運行，所以加快建設電力二次安全防護系統是電力安全防護系統一項重要的政治任務。

2 安康地調二次安防部署規模和安全防護方案

2.1 二次安防部署規模

目前安康電力調度數據網全覆蓋，網絡安全主要存在以下3種安全風險：物理安全、網絡安全以及用戶安全，針對3種安全風險我們依據國家能源局《電力監控系統安全防護總體方案》要求完成安康調度數據網安全防護部署工作，主要完成了：

①正向隔離裝置安裝調試，分別用于EMS系統和電量采集主站的WEB服務器與內網的隔離。

②防火墻安裝調試，分別用于EMS 1區到DTS 2區網絡的安全防護和調度生產管理網3區到信息四級網核心路由器的連接。

③部署防病毒系統一套，完成了生產控制大區內使用Windows操作系統的服務器、工作站和遠動通信工作站，以及管理信息III區使用Windows操作系統計算機安裝了防病毒系統，實現了對I和II、III區關鍵服務器、監控后臺機和工作站實時查毒功能。

④完成了110 kV重要樞紐變電站、帶有鐵路牽引負荷和鐵路信號負荷的變電站縱向加密裝置安裝工作，實現信息安全可靠傳輸。

2.2 安全防護方案

根據國家能源局《電力監控系統安全防護總體方案》和“安全分區、網絡專用、橫向隔離、縱向防護”的二次系統安全防護總體原則，我們對安康電力數據信息分為2個大區既生產控制大區和管理信息大區，生產控制大區分控制區（安全I區）和非控制區（安全II區），控制區業務包括電力數據采集和監控系統、能量管理系統、變電站自動化系統等實時信息；非控制區業務包括調度員培訓模擬系統、電能量計量系統等非實時信息；管理信息大區生產管理區（安全區III）和管理信息區（安全區IV），管理信息大區業務包括OMS、電量WEB系統等。

電力調度數據網安全I區與安全II區業務通過VPN實現兩區業務之間的安全防護。2個大區網絡傳輸平臺互不聯網，物理隔離。各應用系統接入網絡應采用安全網關和縱向加密技術，各區應用系統互聯應按要求采取相應的隔離措施。根據上述要求，我們從以下幾個方面完成了安康電力調度數據網的安全防護方案。

2.2.1 可靠的組網結構設計保證二次防護系統穩定運行

網絡組網結構的可靠性，主要是對網絡互聯通道的備份考慮和設計，通過備份線路及設備的備份，保證任何時刻、任何節點之間都有可達的路由，保證信息可靠傳輸提高信息安全性：

①鑒于安康電力通信網架結構為“五環”（核心環+四個外部環）結構，調度數據網的網絡結構采用雙星形方式，即主用系統和備用系統分別以星形方式與各調度廠站進行雙歸屬連接，中間通道環節由通信傳輸網實現路徑自動保護，提高電網信息傳輸可靠性，保證實時信息及時上傳至主站系統。

②新增備調節點和主調核心互聯作為核心層設備，所有變電站直接接入核心層設備，雙重化接入就近設備。實現網絡的核心層與接入層之間采用N*2M的多鏈路連接，實現鏈路冗余和設備冗余，以提高網絡的可靠性。

③在核心節點上均采用雙設備的配置，提高網絡的可靠性，并可實現負載分擔。

④為保證網絡的可靠性，在網絡的拓撲設計中，應盡可能遵循N-1的電路可靠性和N-1的節點可靠性設計原則，即任何一條單一傳輸電路或單一節點設備故障不會影響整個網絡的運行。

⑤在故障出現的時候，通過動態路由協議等機制，保證網絡數據自動迂回切換到其它連通的鏈路上，保證通信的正常進行。對于流量超過備份線路帶寬承載能力時，可采用QoS等措施保證業務網關注的關鍵業務得到優先傳送或者升級帶寬。

⑥為提高可靠性，在部分同時具備雙套光傳輸設備的

110 kV變電站配置雙設備。在主調和備調部署雙套設備，組成數據網的B網，使變電站進入到雙平面四通道運行的穩定狀態。

2.2.2 加裝縱向加密裝置保證數據完整傳輸

目前我們實時數據信息傳輸采用明文方式，很容易造成信息泄露和竊取。給電力系統安全運行帶來極大隱患，為了保障電力監控數據和電力調度數據在網絡傳輸的安全，重要信息不會被竊取和監聽，保障調度通信中心內部局域網絡結構以及內網主機不會在外網被泄露和網絡中的通信數據機密性、完整性，對網絡訪問進行有效的身份加密認證。

同時把整個用戶網絡劃分為內部網絡和外部網絡，對從外部到內部網絡通信。首先加密裝置對外部用戶進行身份驗證，然后根據配置的安全策略丟棄沒有通過身份驗證數據包，解密通過身份驗證的安全保護數據包，最后通過安全處理的數據包轉發給內部網絡使用；對于內部網絡到外部網絡通信，加密裝置首先檢查內部用戶是否有訪問外網權限，若沒有權限禁止通信。

對于有權限的網絡用戶首先要進行網絡通信加密和認證，并通過外部網絡轉發給通信對方保證信息傳輸可靠。目前我們部署2臺加密裝置部署在安康地調的I、II區，2臺加密裝置部署漢陰備調主站I、II區，完成了所轄重要變電站縱向加密裝置安裝。對電網實時數據進行有效監護和處理，為廣域網通信提供認證與加密功能，實現數據傳輸的機密性、完整性保護。

2.2.3 加強邊界防護管理實現網絡安全可靠運行

電力調度二次系統分為I、II、III區，不同的區之間有不同的安全級別，同一區內部不同的縱向廣域層次之間，也有不同的安全級別，這些區域之間形成了網絡邊界。

跨邊界的攻擊種類繁多、破壞力強，我們在I和II、III和IV區邊界加裝防火墻，I和II、I和III區部署正向隔離裝置，同時部署防病毒服務器實現了I和II、III區所有設備在線病毒檢測和防病毒實時在線更新防護功能，有效地抵御了非法訪問、病毒、蠕蟲、頁面篡改等攻擊，保障了調度數據網健康穩定運行。

2.3 安康地調二次安防實施應用的效果

①網絡專用實現了調度數據網專網與外界網絡物理隔離，保障自動化信息可靠傳輸，為電網穩定運行提供了技術保證。

增加了各分區的邊界橫向安全物理隔離設備，縱向邏輯隔離設施以及數據加密裝置，保證系統傳輸的可靠和機密。在生產控制區與非控制區及管理信息大區重要出口安裝了防火墻，進行邏輯隔離。在生產控制區和管理信息大區重要出口安裝了防火墻，進行邏輯隔離。在生產控制區和管理信息大區邊界，如有通訊，采用國家認證的隔離裝置，實現網絡專用防止非法用戶利用不正當手段破壞調度數據網絡正常運行，導致信息無法傳輸隱患。

②在主站及廠站加裝縱向加密裝置，實現對數據認證與加密，保障了數據傳輸的機密性、完整性和可靠性，為安康調度自動化可靠運行提供堅強技術支撐。

沒有部署加密裝置前自動化信息上傳采用明文方式，非法入侵者容易對變電站、小水電信息進行監聽和控制，從遠方終端發送控制命令導致電力系統事故，甚至系統瓦解，嚴重威脅電力系統的安全運行。

自從把縱向加密認證網關部署電力控制系統的內部局域網與電力調度數據網絡的路由器之間，用于安全區I/II的廣域網邊界保護，可為本地安全區I/II提供一個網絡屏障同時為上下級控制系統之間的廣域網通信提供認證與加密服務，實現數據傳輸的機密性、完整性保護，同時滿足電力應用層通信協議轉換功能，實現端到端的選擇性保護同時使非法入侵者無法獲取自動化實時信息，保障電力系統安全可靠運行。

③二次安防系統采用分布式體系結構，解決了重要數據網絡存在單點故障引起自動化信息中斷導致變電站失去監控問題，保障了電網實時監控業務不受影響。

分布式體系結構可以提高組網的物理可靠性，如在城域網環網組網中，每個骨干節點都有多條接口與相鄰的節點或本地互聯，從路由上提高了可靠性。如果采用集中式體系，則當節點設備出現故障時，這個節點所有接口都會失效，造成節點所帶網絡的中斷；而采用分布式結構時，這些接口可以分別配置到不同的接口處理板上，這樣，無論這臺設備的管理單元、交換轉發單元，還是單一接口出現故障，都可以保證至少有部分路徑是連通的，降低網絡中斷的危險，為電網數據安全可靠傳輸提供技術保障。

④建立安全綜合管理平臺實現二次防護設備集中管理，提升網絡安全管理水平。

隨著電力二次防護系統的發展，需要綜合部署各種安全設備。為了管理這些設備，我們傳統的手段都是通過網絡安全設備發送日志到服務器上，進行事后審計。一個大型的網絡，包含若干個網絡產品。

這些網絡設備隨時發送系統日志信息，每天產生的日志信息多達數萬條。任何一個網絡管理員很難通過系統日志來準確定位網絡發生的安全故障；熟練的網絡管理員，可通過系統日志分析，得到有用的網絡信息，但響應速度很慢。這個時候，采用網絡設備自帶的日志功能，已經不能滿足用戶需求了。

建立安全綜合管理平臺能夠提供對全網海量的安全事件和日志的集中收集與統一分析，兼容異構網絡中多廠商的各種設備，對收集數據高度聚合存儲及歸一化處理，實時監控全網安全狀況，同時能夠根據不同用戶需求提供豐富的自動報告，提供具有說服力的網絡安全狀況與政策符合性審計報告，系統自動執行以上收集、監控、告警、報告、歸檔等所有任務，使維護人員脫離繁瑣的手工管理工作，極大提高效率，保障網絡安全。

⑤防病毒系統部署和實施，實現對生產控制大區的關鍵設備和信息資源實行全方位、立體、動態、實時的病毒防護，解決了由于某些病毒對監控系統數據庫破壞和惡意修改，導致系統癱瘓和誤遙的風險。

近年來各種網絡不安全事情頻頻發生多半都是病毒引起的，不法分子通過各種手段利用網絡對用戶植入木馬或病毒，對用戶信息和數據進行竊取和破壞。

目前電力調度數據網上運行的系統主要是電網集中監控系統和變電站監控后臺機，肩負著安康電網集中監控和遠方遙控操作功能，一旦這些系統和基礎數據庫被病毒感染和修改那將導致整個自動化系統癱瘓或者發生誤遙控現象，使安康電網失去監控或全站失壓的風險，所以部署防病毒系統是電力二次系統防護基礎和重點。

我們年初制定方案和措施完成了防病毒系統部署調試工作，對部分變電站監控系統無法實現網絡連接的，通過現場改造增加設備網卡和輻射線纜實現了在線更新和所有接入數據網節點設備處于可控狀態，完成了生產控制大區內使用Windows操作系統的服務器和工作站，35 kV及以上變電站的監控后臺機和遠動通信工作站使用Windows操作系統等計算機安裝防病毒系統。同時完成了管理信息III區使用Windows操作系統計算機安裝了防病毒系統。實現對生產控制大區的關鍵組件和信息資源實行全方位、立體、動態、實時的病毒防護，達到電力二次系統安全防護的要求，確保電力二次系統的穩定運行和業務數據的安全性。

所以電力二次系統安全防護實施和應用實現了調度數據網的安全分區、網絡專用、橫向隔離、縱向認證的思路，實現了調度自動化實時信息、電能量計量信息、自動化設備遠程管控等業務可靠應用和傳輸，保障自動化信息的機密性、完整性和可靠性，實現了安康電網系統監控信息資源的共享的安全，保障電力系統安全穩定運行。

參考文獻：

[1] 黃曉莉，許海銘.國家電力數據通信網絡建設方案[J].電力系統自動化，

2003-10-20.

[2] 彭清卿，向力.國家電力調度數據網組網研究，2010-07-31.

[3] 高鷹.IP城域網業務控制層組網可靠性探討，2009-12-29.