简析潘口水电站电力二次系统的安全防护
开篇：润墨网以专业的文秘视角，为您筛选了一篇简析潘口水电站电力二次系统的安全防护范文，如需获取更多写作素材，在线客服老师一对一协助。欢迎您的阅读与分享！
【摘要】电力二次系统安全防护，目的是规范和统一电网和电厂计算机监控系统及调度数据网络安全防护的规划、实施和监管，保障电力系统的安全稳定运行。文中从硬件防护设备的配置等方面，分析了潘口电站电力二次系统安全防护方案及策略。
潘口电站安装2台单机容量为250MW的混流式水轮发电机机组。以发电为主，兼有防洪、旅游，养殖等综合效益。电站于2013年12月完工，主要承担电网调峰、调频和事故负荷备用等。
一、方案总则
潘口电站电力二次系统安全防护，目的是规范和统一电网和电厂计算机监控系统及调度数据网络安全防护的规划、实施和监管，以防范对电网和电厂计算机监控系统及调度数据的攻击侵害及由此引起的电力系统故事，保障电力系统的安全、稳定、经济运行。
潘口电站电力二次系统是由业务系统、调度数据网络（SPDnet）和电力数据通信网络（SPInet）构成。方案确定潘口电站电力二次系统的安全区的划分原则，各安全区之间在横向及纵向上的防护原则，严格执行“安全分区、网络专用、横向隔离、纵向认证”的规定，并指导相关单位实施。
二、安全防护总体策略
1.安全分区
根据系统中业务的重要性和对一次系统的影响程度进行分区，所有系统都必须置于相应的安全区内。对实时控制系统等关键业务采用认证、加密技术，重点保护生产控制以及直接生产电力的系统。
2.网络专用
建立调度专用数据网络，实现与其他数据网络物理隔离，并以技术手段在专网上形成多个相互逻辑隔离的子网，以保障上下级各安全区的纵向互联仅在相同安全区进行，避免安全区纵向交叉。电力调度数据网络与电力数据通信网实现安全隔离，并通过采用MPLS-VPN在（SPDnet）和（SPInet）分别形成多个相互逻辑隔离的VPN，实现多层次的保护。
3.横向隔离
将实时监控系统与办公自动化系统等实行有效安全隔离，隔离强度应接近或达到物理隔离，使不同强度的安全隔离设备在各安全区中的业务系统得到有效保护。
4.纵向认证、防护
采用认证、加密、访问控制等手段实现资料的远方安全传输以及纵向边界的安全防护。安全区Ⅰ、Ⅱ的纵向边界部署IP认证加密装置;安全区Ⅲ、Ⅳ的纵向边界部署硬件防火墙。
三、安全区的划分
根据潘口水利枢纽电力二次系统的特点和安全要求，整个二次系统分为4个安全工作区：第1区为实时控制区，第2区为非控制业务区，第3区为生产管理区，第4区为管理信息区。
1.安全区I是实时控制区，是安全保护的核心。凡是具有实时监控功能的系统或其中的监控功能部分均应属于安全区Ⅰ。如调度的SCADA（AGC/AVC）系统、功角实时监测系统（PMU）以及电站监控系统等，其面向的使用者为调度员和运行操作人员，数据实时性为秒级，外部的通信均经由SPDnet的实时VPN。
2.安全区Ⅱ是非控制业务区。不是直接进行控制但和生产控制有很大关系，短时间中断就会影响电力生产的系统均属于安全区Ⅱ。安全区Ⅱ的典型系统包括电能量计费系统、故障信息管理系统等。其面向的使用者为运行方式、运行计划工作人员及发电侧电力市场交易员等。数据的实时性是分级、小时级、日、月甚至年。该区的外部通信为边界为SPDnet的非实时VPN。
3.安全区Ⅲ是生产管理区。该区为进行生产管理的系统，典型的系统为电厂生产管理信息等。该区中公共数据库内的数据可供运行管理工作人员进行Web浏览。该区的外部通信边界为电力数据通信网SPInet。
4.安全区Ⅳ是办公管理系统。包括办公自动化系统或办公管理信息系统。该区的外部通信边界为SPInet或因特网。
四、二次防护技术专用设备
1.专用安全隔离装置：分为正向型和反向型。从安全区Ⅰ、Ⅱ往安全区Ⅲ必须采用正向安全隔离装置单向传输信息;由安全区Ⅲ往安全区Ⅱ甚至安全区Ⅰ的单向数据传输必须经反向安全隔离装置。反向安全隔离装置采取签名认证和资料过滤措施，仅允许纯文本资料通过，并严格进行病毒、木马等恶意代码的查杀。
2.横向安全隔离装置（反向）：用于从安全区Ⅲ到安全区Ⅰ/Ⅱ单向传递资料，是安全区Ⅲ到安全区Ⅰ/Ⅱ的唯一资料传递途径。横向安全隔离装置（反向）集中接收安全区Ⅲ发向安全区Ⅰ/Ⅱ的资料，进行签名验证、内容过滤、有效性检查等处理后，转发给安全区Ⅰ/Ⅱ内部的接收程序。
3.纵向加密认证装置：用于安全区Ⅰ/Ⅱ的广域网边界防护。加密认证网关，加密认证网关除具有加密认证装置的全部功能外，还应具有应用层内容的识别功能。其作用一是为本地安全区Ⅰ/Ⅱ提供一个网络屏障，具有类似包过滤防火墙的功能;作用二是为网关机之间的广域网通信提供认证与加密功能，实现数据传输的机密性、完整性保护。
五、网络专用
1.调度数据网
调度数据网必须建立在IP+SDH的基础上，严格MPLS VPN的划分。通过MPLS VPN划分将调度数据网分成VPN1和VPN2。因此，在纵向上安全区Ⅰ的数据传输和交换通过VPN1来完成，安全区Ⅱ的数据传输和交换通过VPN2来完成。
2.安全区Ⅲ网络（调度生产管理OMS网络）
安全区Ⅲ网络主要是在纵向上各级调度部门传输调度生产管理信息，属于管理信息大区，它与安全区Ⅳ网络之间主要通过防火墙隔离。
3.安全区之间的横向隔离及纵向保护
在各安全区之间均选择适当安全强度的隔离装置。具有隔离装置的选择不仅需要考虑网络安全的要求，还需要考虑带宽及实时性的要求。安全区之间隔离装置必须有是国产并经过国家或电力系统有关部门认证。
安全区Ⅰ与Ⅱ之间的隔离要求采用硬件防火墙，可使安全区之间逻辑隔离。禁止跨越安全区Ⅰ/Ⅱ与安全区Ⅲ/Ⅳ的非数据应用穿透。由安全区Ⅲ/Ⅳ向Ⅰ/Ⅱ单向数据传输必须经安全数据过滤网关串接物理隔离装置。
同一安全区间纵向防护与隔离。同一安全区间纵向联络使用VPN网络进行连接。安全区Ⅰ/Ⅱ分别使用SPDnet的实时VPN1与非实时VPN2。安全区Ⅲ/Ⅳ分别使用SPInet的VPN。
六、防病毒措施
防止病毒关系到整个系统的安全，防病毒软件要求覆盖所有服务器及客户端，对关键服务器实时查毒，对于客户端定期查毒，制定查毒策略，并备有查杀记录。病毒防护是调度系统与网络必需的安全措施。病毒的防护应该覆盖安全区Ⅰ、Ⅱ、Ⅲ的主机与工作站，特别在安全区Ⅰ、Ⅱ要建立独立的防病毒中心，病毒特征码要求必须以离线的方式及时更新。安全区Ⅲ的防病毒中心原则上可以和安全区Ⅳ的防病毒中心共用。
七、结语
电力二次系统安全防护是个系统性的工程，网络和信息安全不仅要从防火墙措施、网络隔离措施、防病毒措施等角度考虑，还要从管理的角度去考虑。加强管理和完善技术措施，才能切实有效地实现电站二次系统网络和信息的安全。
作者简介：唐鹏程（1968―），男，大学本科，高级工程师，现供职于中国水利水电第三工程局有限公司制造安装分局。