电力二次系统安全防护系统在洪家渡发电厂应用

摘要：洪家渡发电厂电力二次系统安全防护，是根据电监会第5号令《电力二次系统安全防护规定》及《电力二次系统安全防护方案》的要求来实施的。本系统在统筹考虑乌江公司洪家渡发电厂业务需求和发展的基础上，合理的兼顾网络安全防护，构建一个高效、稳定、安全可靠的网络。重点是确保电力实时闭环监控系统及调度数据网络的安全，目标是抵御黑客、病毒、恶意代码等通过各种形式对系统发起的恶意破坏和攻击，防止由此导致一次系统事故或大面积停电事故及二次系统的崩溃或瘫痪。

关键词：电二次系统安全防护；调度数据网络安全; 防止恶意破坏和攻击

Abstract: the flood home over power plant power secondary system security protection, is based on the fifth supervisor will order the power secondary system security protection rules, "and" the power secondary system safety protection plan "to the requirements of the implementation. This system in wujiang river flood company considered business requirements and crossing home power plant development, and on the basis of reasonable give consideration to the network safe protection, building an efficient, stable, safe and reliable network. Key is to ensure that the closed-loop control system and power real-time dispatching data network security, the aim is to resist the hackers, viruses, malicious code through various forms of the system such as launched malicious damage and attacks, prevent which led to a system accident or massive blackout accidents and secondary system collapse or paralysis.

Key words: the second system safety protective; Dispatching data network security; Prevent malicious damage and attack

中图分类号：U664.156文献标识码： A 文章编号：

概述:

为了防范黑客及恶意代码等对电力二次系统的攻击侵害及由此引发电力系统事故，特建立电力二次系统安全防护体系，保障电力系统的安全稳定运行，根据《中华人民共和国计算机信息系统安全保护条例》和国家电力监管委员会[2005]5号令《电力二次系统安全防护规定》等有关文件精神建设洪家渡发电厂二次安全防护系统，确保我厂机组安全、优质、稳定运行。

洪家渡发电厂二次系统安全防护在生产控制大区与管理信息大区添加防火墙、网络安全隔离装置、认证系统等，是为了防范来自外部网络的攻击，加强电厂内部网络的安全性，有效的防止不同部门及非法用户跨权限访问，通过独特的加密体系认证，避免数据在传输过程中被非法劫持及篡改，确保了用户访问网络资源的合法性、安全性。

一、电力二次系统安全防护策略

电力二次系统安全防护总体框架要求电厂二次系统的安全防护技术方案必须按照国家经贸委[2002]第30号令《电网和电厂计算机监控系统及调度数据网络安全防护的规定》和国家电力监管委员会[2005]第5号令《电力二次系统安全防护规定》进行设计。

1．安全防护的基本原则

①系统性原则(木桶原理)；②简单性和可靠性原则；③实时、连续、安全相统一的原则；④需求、风险、代价相平衡的原则；⑤实用性与先进性相结合的原则；⑥方便性与安全性相统一的原则；⑦全面防护、突出重点的原则；⑧分层分区、强化边界的原则；⑨整体规划、分布实施的原则；⑩责任到人，分级管理，联合防护的原则。

2．安全策略

安全策略是安全防护体系的核心，是安全工程的中心。安全策略可以分为总体策略、面向每个安全目标的具体策略两个层次。策略定义了安全风险的解决思路、技术路线以及相配合的管理措施。安全策略是系统安全技术体系与管理体系的依据。

电力二次系统的安全防护策略为：

⑴安全分区：根据系统中各业务的重要性和对一次系统的影响程度划分为二个大区：生产控制大区I、管理信息大区Ⅱ，所有系统都必须置于相应的安全区内。

⑵网络专用：建立专用电力调度数据网络，与电力企业数据网络实现物理隔离，在调度数据网上形成相互逻辑隔离的实时子网和非实时子网，避免安全区纵向交叉连接。

⑶横向隔离：采用不同强度的安全设备隔离各安全区，尤其是在生产控制大区与管理信息大区之间实行有效安全隔离，隔离强度应接近或达到物理隔离。

⑷纵向认证：采用认证、加密、访问控制等技术实现生产控制数据的远程安全传输以及纵向边界的安全防护。

3．电力二次系统的安全区划分

根据电力二次系统的特点，各相关业务系统的重要程度和数据流程、目前状况和安全要求，将电力二次系统分为二个安全区：生产控制大区I、管理信息大区Ⅱ，不同的安全区确定了不同的安全防护要求，从而决定了不同的安全等级和防护水平。其中安全区Ⅰ的安全等级最高，安全区Ⅱ次之。

在各安全区之间，均需选择适当的经国家有关部门认证的隔离装置。生产控制大区与管理信息大区之间必须采用经国调中心认可的电力专用安全隔离装置。

在安全区中内部局域网与外部边界通信网络之间应采用功能上相当于通信网关或强于通信网关的内外网的隔离装置。

4．业务系统或功能模块置于安全区的规则

根据该系统的实时性、使用者、功能、场所、在各业务系统的相互关系、广域网通信的方式以及受到攻击之后所产生的影响，将其分置于两个安全区之中。

实时控制系统或未来可能有实时控制功能的系统需置于安全区Ⅰ。如：机组监控系统，实时性很强。用于在线控制，所以置于安全区I。

电力二次系统中不允许把本属于高安全区的业务系统迁移到低安全区。允许把属于低安全区的业务系统的终端设备放置于高安全区，由属于高安全区的人员使用。

某些业务系统的次要功能与根据主要功能所选定的安全区不一致时，可根据业务系统的数据流程将不同的功能模块（或子系统）分置于各安全区中，各功能模块（或子系统）经过安全区之间的通信来构成整个业务系统。

自我封闭的业务系统为孤立业务系统，其划分规则不作要求，但需遵守所在安全区的安全防护规定。

5．安全区之间的横向隔离要求

在各安全区之间均需选择适当安全强度的隔离装置，尤其在生产控制大区和管理信息大区之间要选择使用达到或接近物理强度的专用隔离装置。具体隔离装置的选择不仅需要考虑网络安全的要求，还需要考虑带宽及实时性的要求。隔离装置必须是国产设备并经过国家或电力系统有关部门认证。

洪家渡发电厂二次系统安全防护总体结构拓朴图

三、我厂电力二次系统安全防护实施方案

二次安防网络安全设备放置于监控机房专用机柜，电源使用监控系统UPS电源。

1.设备柜上分布情况

2.设备配置命名

设备命名规则按照简单，直观，整体性，逻辑性，并充分预留的原则，采用字母与数字结合的方法，洪家渡电厂二次系统安全防护工程的设备命名如下：

3．端口描述

为便于识别和维护，定义VLAN和VLAN端口、物理端口描述的规则如下：

交换机之间互联用VLAN、VLAN接口的描述规则为：description to-设备名称

例如：本设备连接到纵向加密A，VLAN接口的描述为：description TO-ZhongXiangJiaMi_A

交换机连接服务器或者用户的VLAN及VLAN接口的描述为：Description服务器名或用户组名

例如：本VLAN连接远动系统EMS，描述为：DescriptionEMS

4．路由协议部署

路由协议用于学习和维护路由，为网络通讯提供最佳路径，路由协议选择原则如下：①开放性和标准化:必须使用国际标准的路由协议，保证网络的开放性，支持不同厂商设备的路由互连。②可扩展性:使用的路由协议必须具备良好的扩展能力，能够支持网络规模的持续增长。③支持数据分流:路由协议应该支持灵活的路由策略，通过调整路由策略，可以实现数据分流。④安全性及稳定性:必须确保数据在传输过程中必须中，不被非法者劫持或篡改。

基于以上四点选择原则，洪家渡发电厂电网调度二次安全防护改造工程宜采用BGP+OSPF+MPLS-VPN的路由结构体系，结合BGP和OSPF各自的优势，非常容易实现数据分流，通过MPLS-VPN构建出一条虚拟隧道，使得业务间建立安全的通信链路。

⑴省调度网

省调度网使用BGP路由协议。

乌江水电开发有限公司调度网的路由器与洪家渡发电厂电网调度二次安全防护的路由器之间建立eBGP邻居关系，相互交换路由，eBGP路由边界在乌江水电开发有限公司调度网和洪家渡发电厂电网调度网路由器上。

⑵局域网

乌江水电开发有限公司调度网、洪家渡发电厂电网调度网与省调度网路由器相连，使用OSPF协议。局域网的CISCO 2800为局域网与省调度网的路由边界点，负责OSPF与BGP的路由再。将BGP的路由导入OSPF，使局域网学到外部路由，同时也将OSPF 的路由以network的方式导入BGP，使省调度网学到局域网的路由。

结语：

洪家渡发电厂电力系统二次安全防护项目的规划和实施过程中，始终遵循国家对电力二次系统安全防护的规定并明确本项目系统在电厂信息自动化系统中所处位置，配置的设备都得到国家相关部门认证的正反向隔离装置用于安全区I到安全区II之间，确保数据单向传递，对数据传递的稳定性、完整性、实时性提供了保证。整个系统严格坚持安全分区、网络专用、横向隔离、纵向认证的原则,能有效保障我厂电力监控系统和电力调度数据网络的安全。