地方電廠和用戶站并網的網絡安全風險分析及防范措施

馮 志，陳 剛

（中山供電局，廣東 中山 528400）

0 引 言

近年來，隨著國家限制發展高耗能、高污染行業，發展節能環保型產業，鼓勵支持開發和利用新能源以及可再生能源政策的出臺，在“碳達峰、碳中和”的目標背景下，大量不同投資主體的風電和光伏電廠等用戶站接入電網，小型發電企業與新能源站點占比變得越來越高[1]。截止2021年，中山地區110 kV及以下電壓等級小型電廠和用戶站并網已達十多座。未來幾年內，各類小型電站與新能源站點接入中山電網的數量將會進一步增加，在一定程度上增加了電力通信網絡的節點數量。而在實際中，這類型廠站在地理上較為分散，為攻擊者入侵電力通信網絡埋下了隱患[2]。因此，針對這類小型電廠及用戶站制定有效的安全防護措施顯得十分迫切和必要。

1 業務現狀

電力通信網承載的電力生產控制大區業務主要包括能量管理系統（遠動）、發電計劃曲線下發系統、相量測量系統、安全自動控制系統、繼電保護系統、網絡發令系統、電力市場運營系統、溫控管理信息系統、故障信息管理系統、電力市場運營系統、水電管理系統、節能減排監測系統、風功率預測系統、光伏功率預測系統、計量自動化系統以及態勢感知系統等[3]。這些生產控制大區業務的通信方式主要采用專線通道和調度數據網絡通道，其中能量管理系統業務的通信方式分別如圖1和圖2所示。一般地說，相對于采用專線通道，調度數據網絡通道方式容易受到網絡攻擊。

圖1 專線通道方式

圖2 調度數據網通道方式

2 網絡安全風險分析

受財力、物力及人力運維方面的制約，小型電廠或用戶站在網絡安全防護方面的實力與系統內大型電廠或變電站存在較大的差距，因此這些小型廠站是網絡安全防護的薄弱節點，容易遭受網絡攻擊。一旦受到攻擊，攻擊者容易通過這些網絡安全薄弱節點攻擊網絡其他節點，給電力系統帶來嚴重的后果。因此，做好相應的安全防護就顯得十分必要。以下列舉兩種常見的網絡安全風險。

2.1 橫向攻擊其他廠站

目前，調度數據網架構中，各電壓等級電廠與變電站混合組網，拓撲結構如圖3所示。使用多協議標簽交換（Multiprotocol Label Switching，MPLS）對其實現標簽式的交換通信，其每1個IP都有1個標簽，主要是根據標簽值進而轉發數據包來實現，確保各類節點只能與調度端通信[4]。但小型并網電廠與用戶站在安全防護方面并不完善，存在人為修改PE路由器配置的風險。配置一旦被修改便可實現與其他廠站路由的互通，為網絡攻擊提供有利條件。

圖3 地區調度數據網拓撲

2.2 縱向攻擊主站

由于電廠至調度前置網絡的整個完整路徑中僅存在加密裝置，而加密裝置是進入變電站監控系統的必經之路，因此其往往成為黑客或不法分子攻擊的重點對象[5]。但加密裝置僅能做4層以下的網絡防護，無法對應用層起到防護作用，從而導致攻擊者除針對網絡層進行攻擊外，還可以對4層以上協議進行攻擊。攻擊者可以通過廠站內設備沿網絡路徑直接攻擊主站設備，主站設備一旦被控制將會對整個電力系統帶來嚴重后果。

3 網絡安全防范措施

3.1 物理剝離、專網專用

為應對橫向風險，將110 kV及以下電壓等級電廠和用戶站從現有調度數據網中剝離，進行獨立組網，與系統內變電站和大型電廠進行端到端物理隔離，確保不與網絡其他節點發生路由信息和業務流交互，最大程度減少安全風險。改造方案如圖4所示。

圖4 改造方案

新組建網絡架構采用分層匯聚組網方式，在匯聚層側新增電廠專用匯聚路由器，原有的電廠和用戶站通過傳輸網通道統一接入該匯聚路由器，并為“雙碳”背景下不斷涌現的新能源電廠接入預留空間，同時在專用匯聚路由器側統一設置相關策略禁止電廠及用戶站與系統內其他變電站的互訪，消除橫向風險。

3.2 主站設置安全接入區

為解決電廠至主站可能面臨的縱向傳播風險，采取如圖5所示的解決方案。

圖5 主站安全接入區示意

在電廠匯聚路由器與主站服務器之間設置安全接入區，與現有系統內廠站前置部分完全分開，通過設置安全接入區實現電廠調度數據網網絡數據的隔離認證。根據《電力監控系統安全防護規定》的要求，生產控制大區與廣域網的縱向連接處應設置國家指定部門檢測認證的電力專用縱向加密認證裝置或者加密認證網關及相應設施，縱向加密裝置實現主站與廠站間通道加密，只允許指定IP和端口間的通信[6]。

加密裝置與接入交換機之間的防火墻主要實現訪問控制功能，通過自上而下建立通信連接拒絕電廠側主動發起的訪問，只允許主站側主動發起的訪問。同時，防火墻通過網絡地址轉換（Network Address Translation，NAT）轉換，將前置局域網私有地址轉換為公有地址，屏蔽內部網絡結構[7]。應用層防火墻具有正反向通信代理功能，可以分析主站與廠站間的通信流量，對電力專用協議進行內容檢測和驗證，確保其安全性與合法性，幫助主站抵御來自應用層的攻擊[8]。另外，態勢感知可以實現對網絡流量實時在線檢測分析識別、理解及預測，及時發現網絡入侵[9]。而通信代理服務器擁有主站與電廠間業務數據處理和轉發，并進行協議轉換，實現內外隔離，提供監控網絡和記錄傳輸信息的功能[10]。通過設置安全接入區，可以有效實現電廠至主站數據網絡的安全接入。

4 結 論

本文對地方電廠及用戶站并網接入地方電網，其網絡安全設施配置不足給電網帶來新的網絡安全風險進行了詳細分析，并對相關網絡安全風險提出了具體的防范措施，為地方電廠及用戶站接入電力監控系統的網絡安全防護提供參考。