500?kV變電站二次安全防護

郭志彬

（福建省電力有限公司檢修分公司廈門分部，福建 廈門 361004）

1 概述

隨著電網(wǎng)的快速發(fā)展，電力生產(chǎn)調(diào)度的業(yè)務在不斷豐富，各省級電網(wǎng)公司都建設(shè)了骨干調(diào)度數(shù)據(jù)網(wǎng)。該網(wǎng)絡(luò)承載了調(diào)度自動化、繼電保護、電量采集等各類調(diào)度管理和調(diào)度控制系統(tǒng)。作為調(diào)度數(shù)據(jù)網(wǎng)的樞紐節(jié)點，500 kV變電站必須同步建設(shè)調(diào)度數(shù)據(jù)網(wǎng)，并接入骨干調(diào)度數(shù)據(jù)網(wǎng)。

對于調(diào)度數(shù)據(jù)網(wǎng)的安全防護，國家電監(jiān)會5號令《電力二次系統(tǒng)安全防護規(guī)定》和電監(jiān)安全34號文件《電力二次系統(tǒng)安全防護總體方案》均作了嚴格規(guī)定，必須做到“安全分區(qū)、網(wǎng)絡(luò)專用、橫向隔離、縱向認證”，且樞紐變電站在正式接入骨干電網(wǎng)前，必須建設(shè)安全防護系統(tǒng)。

2 500 kV變電站調(diào)度數(shù)據(jù)網(wǎng)安全防護系統(tǒng)

以某500 kV變電站為例，介紹樞紐變電站的調(diào)度數(shù)據(jù)網(wǎng)安全防護系統(tǒng)。

2.1 二次安全防護整體結(jié)構(gòu)

變電站調(diào)度數(shù)據(jù)網(wǎng)拓撲如圖1所示，配置2臺路由器作為PE路由器。2臺路由器之間通過GE接口互聯(lián)，互為備用。路由器所接的業(yè)務實現(xiàn)vlan分區(qū)，對安全Ⅰ區(qū)實現(xiàn)VRRP互備份，分別通過專用2M線接入調(diào)度數(shù)據(jù)骨干網(wǎng)。2臺交換機上均實現(xiàn)vlan分區(qū)，交換機之間通過linkaggregation實現(xiàn)端口匯聚。根據(jù)站內(nèi)業(yè)務的相應安全等級，接入交換機相應的vlan接口。

按照安全等級，變電站業(yè)務系統(tǒng)分為安全Ⅰ區(qū)(vlan1)與安全Ⅱ區(qū)(vlan2)，調(diào)度數(shù)據(jù)網(wǎng)控制區(qū)連接站內(nèi)的安全Ⅰ區(qū)，調(diào)度數(shù)據(jù)網(wǎng)非控制區(qū)連接站內(nèi)的安全Ⅱ區(qū)。安全Ⅰ區(qū)的業(yè)務包括遠動終端(RTU)、AVC子站、五防系統(tǒng)、相量測量裝置(PMU)等。安全Ⅱ區(qū)的業(yè)務包括故障錄波子站，無設(shè)置功能的故障信息子站、電能量采集裝置等。

圖1 變電站調(diào)度數(shù)據(jù)網(wǎng)拓撲示意

2.2 縱向防護設(shè)備的部署

在安全Ⅰ區(qū)上部署電力專用縱向加密認證裝置，在安全Ⅱ區(qū)上部署電力專用防火墻，邏輯結(jié)構(gòu)如圖2所示。

(1) 在安全Ⅰ區(qū)上部署2臺電力專用縱向加密認證裝置。2臺加密認證裝置為主、備關(guān)系，主加密設(shè)備故障時，自動切換業(yè)務到備加密裝置?？紤]到站端和調(diào)度端2個系統(tǒng)之間的認證，安全Ⅰ區(qū)的縱向通信過程采用縱向加密認證裝置之間認證來實現(xiàn)。主要包括：支持基于數(shù)字證書的IP認證加密，支持認證定向加密；對業(yè)務數(shù)據(jù)進行數(shù)據(jù)簽名與加密，以保證數(shù)據(jù)的機密性和完整性；支持網(wǎng)關(guān)工作方式與透明工作方式；具有基于應用端口、傳輸協(xié)議、IP地址的訪問控制與綜合報文過濾功能；實現(xiàn)動態(tài)調(diào)整安全策略，主、備加密認證裝置之間的職能協(xié)調(diào)。

圖2 縱向防護設(shè)備部署

(2) 在安全Ⅱ區(qū)上部署電力專用防火墻，2臺防火墻通過VRRP實現(xiàn)互備份。安全Ⅱ區(qū)業(yè)務數(shù)據(jù)通過VRRP優(yōu)先級高的防火墻傳輸，當VRRP優(yōu)先級高的防火墻故障時，自動降低自身優(yōu)先級，數(shù)據(jù)業(yè)務切換至另一臺防火墻。專用防火墻的功能包括：支持多級過濾的訪問控制機制，具有包含過濾偵聽的狀態(tài)檢測技術(shù)；支持對電力多種專用通信協(xié)議的分析和控制；具備符合安全防護要求的入侵檢測功能，能夠檢測出針對指定設(shè)備的多種攻擊；具有基于訪問規(guī)則的帶寬管理功能； 支持VPN加密；支持雙機熱備份功能，保證業(yè)務傳輸?shù)母呖捎眯院透呖煽啃?；支持基于GUI方式管理，支持OTP認證、管理進行SSL和SSH加密及嚴格的管理審計，保證管理的安全性。

3 站內(nèi)設(shè)備的防護加固措施

3.1 訪問控制措施

站內(nèi)設(shè)備的訪問控制效果關(guān)系到電力系統(tǒng)的安全穩(wěn)定運行，因此要確保站內(nèi)設(shè)備的訪問交互環(huán)節(jié)處于可控、在控狀態(tài)。上述目標可以通過以下手段來實現(xiàn)。

(1) 強化口令管理。默認口令或弱口令易被無關(guān)人員記憶，也容易被黑客破譯。監(jiān)控系統(tǒng)擔負了遙控、遠動、數(shù)據(jù)備份等重要任務，一旦口令被別有用心的人盜取并在系統(tǒng)內(nèi)進行破壞，將造成無法估量的損失。所以，要做到：合理配置應用賬號權(quán)限；刪除系統(tǒng)中多余的自建賬號；修改賬號口令，口令長度和復雜性要滿足安全要求，并定期更改口令；更改默認的管理員用戶名(例如windows系統(tǒng)中的administrator用戶)；停用默認的訪客用戶。

(2) 禁用不必要的服務。關(guān)閉某些系統(tǒng)和設(shè)備的出廠缺省設(shè)置，如Remote Registry，Terminal Service，F(xiàn)inger，IP Redirect，Boot Server，Directed Broadcast，Proxy Arp等服務。在路由器上，對于DHCP、SNMP以及Web管理服務等，只有在特殊要求的場合才啟用。

(3) 禁止遠程訪問功能。為方便遠程維護，有些廠家使用遠程客戶端。但是，通過遠程訪問控制將可能使系統(tǒng)暴露，訪問端口也可能被惡意攻擊所利用，所以要禁止遠程訪問功能。對相應的端口進行篩選，只開通與業(yè)務相關(guān)的端口；刪除默認共享功能。

(4) 對進入網(wǎng)絡(luò)的流量進行控制。為了防止Dos對路由器進行攻擊，應禁止異常流量進入，如禁止采用廣播地址、本地主機地址、多播地址、沒有IP地址以及假冒地址的包。還可以采用縮短ACK超時、增加同步ACK對列長度等措施，避免路由器受到攻擊。

3.2 安全措施與數(shù)據(jù)庫管理

調(diào)度數(shù)據(jù)網(wǎng)中傳輸著重要的業(yè)務數(shù)據(jù)，相關(guān)數(shù)據(jù)庫的安全管理就是二次安全防護的重要組成部分。數(shù)據(jù)資源主要存儲于監(jiān)控系統(tǒng)的服務器、電能量系統(tǒng)的服務器、故障錄波裝置的服務器、故障信息系統(tǒng)的服務器等設(shè)備中。雖然各設(shè)備處在安全Ⅰ、Ⅱ區(qū)的物理防護下，但是仍面臨著人員因素造成的相關(guān)威脅，所以必須采取相應措施。如分解操作人員、維護人員、監(jiān)控人員、巡視人員職責，通過系統(tǒng)登錄環(huán)節(jié)，將相應的權(quán)限范圍賦予不同人員；實行口令管理，對人員的訪問操作信息實現(xiàn)系統(tǒng)自動記錄，嚴禁使用他人口令進行訪問控制，并執(zhí)行相應的處罰制度等。

3.3 預防病毒措施

安裝并及時升級防病毒軟件是防范病毒危害、阻止病毒入侵的有效手段。對于獨立于網(wǎng)絡(luò)的設(shè)備，可使用光盤升級病毒庫程序，安全防護人員須定期更新升級。如果設(shè)備是直接與調(diào)度端主站通訊的設(shè)備(例如故障錄波)，可以用調(diào)度端的病毒庫服務器來進行病毒庫自動升級。

3.4 其他加固措施

定期備份、安全評估、定期巡查、入侵檢測等技術(shù)手段，也是二次安全防護的重要加固措施。

4 結(jié)束語

電網(wǎng)技術(shù)和信息技術(shù)的快速發(fā)展，對整個電力二次安全防護體系提出了更高要求。只有站在技術(shù)的最前沿，不斷地完善二次安全防護的技術(shù)手段，才能建立嚴密的防護網(wǎng)，確保電力調(diào)度數(shù)據(jù)網(wǎng)的安全。