本文所介紹的電力二次系統安全防護的是確保電力信息化系統、電力實時閉環監控系統及調度數據網絡的安全，目標是抵御黑客、病毒、惡意代碼等通過各種形式對系統發起的惡意破壞和攻擊，從而防止一次系統、二次系統事故或大面積停電等事故的出現。

引言

電力二次系統的安全防護是依據電監會5號令以及電監會［2006］34號文的規定并根據電廠二次系統系統的具體情況制定的，目的是設計規范電廠計算機監控系統及調度數據網絡安全防護的規劃、實施和監管，以防范對電廠計算機監控系統及調度數據網絡的攻擊侵害及由此引起的電廠事故，保障電廠的安全、穩定、經濟運行。

電力二次系統是由地理上廣泛分布于各級發電機、變電站的業務系統通過緊密或松散的聯系而構成的復合系統，它的支持環境既包括各調度網絡和廠站的異構計算機系統、局域網絡，又包括連通各局域網的電力系統行業外聯網。因此，電力信息系統安全不同于單純的計算機系統或通信系統安全，為了確保電力系統業務的安全，必須同時考慮廣泛分布而又相互聯系的業務系統及其與計算機、通信等基礎支持系統間的交互。以下介紹某水電廠的電力二次系統防護系統的實際應用。

安全防護的基本原則

1）安全分區。分區防護、突出重點。根據系統中的業務的重要性和對一次系統的影響程度進行分區，重點保護生產控制以及直接生產電力生產的系統。

2）網絡專用。電力調度數據網SPDnet與電力數據通信網SPInet實現安全隔離，并通過采用MPLS-VPN或IPSEC－VPN在SPDnet和SPInet分別形成多個相互邏輯隔離的VPN實現多層次的保護。

3）橫向隔離。在不同安全區之間采用邏輯隔離裝置或物理隔離裝置使核心系統得到有效保護。

4）縱向認證、防護。安全區Ⅰ、Ⅱ的縱向邊界部署IP認證加密裝置；安全區Ⅲ、Ⅳ的縱向邊界必須部署硬件防火墻，目前在認證加密裝置尚未完善情況下，使用國產硬件防火墻進行防護。

電力二次系統的參考邏輯結構圖如下：

安全區的劃分

根據水電廠電力二次系統的特點、目前狀況和安全要求，整個電力二次系統分為四個安全工作區：第一區為實時控制區，第二區為非控制業務區，第三區為生產管理區，第四區為管理信息區。

1、安全區Ⅰ是實時控制區，安全保護的核心。

凡是具有實時監控功能的系統或其中的監控功能部分均應屬于安全區Ⅰ。如各級調度的SCADA（AGC/AVC）系統、EMS系統、WAMS系統、配網自動化系統（含實時控制功能）以及電廠實時監控系統等，其面向的使用者為調度員和運行操作人員，數據實時性為秒級，外部邊界的通信均經由SPDnet的實時VPN。

2、安全區Ⅱ是非控制業務區

不直接進行控制但和電力生產控制有很大關系，短時間中斷就會影響電力生產的系統均屬于安全區Ⅱ。屬于安全區Ⅱ的典型系統包括PAS、水調自動化系統、電能量計費系統、發電側電力市場交易系統、電力模擬市場、功角實時監測系統等。其面向的使用者為運行方式、運行計劃工作人員及發電側電力市場交易員等。數據的實時性是分級、小時級、日、月甚至年。該區的外部通信邊界為SPDnet的非實時VPN。

3、安全區Ⅲ是生產管理區

該區的系統為進行生產管理的系統，典型的系統為DMIS系統、DTS系統、雷電監測系統、氣象信息以及電廠生產管理信息系統等。該區中公共數據庫內的數據可提供運行管理人員進行web瀏覽。該區的外部通信邊界為電力數據通信網SPInet

4、安全區IV是辦公管理系統

包括辦公自動化系統或辦公管理信息系統。該區的外部通信邊界為SPInet或因特網。

專用網絡劃分

1調度數據網。

調度數據網必須建立在IP+SDH的基礎上，嚴格執行MPLSVPN的劃分。通過MPLSVPN劃分將調度數據網分成VPN1和VPN2。因此在縱向上安全區I的數據傳輸和交換通過VPN1來完成，安全區II的數據傳輸和交換通過VPN2來完成。

2安全區III網絡（調度生產管理信息OMS網絡）

安全區III網絡（調度生產管理信息OMS網絡）主要是在縱向上各級調度部門傳輸調度生產管理信息，屬于管理信息大區，它與安全區IV網絡之間主要通過防火墻隔離。

3、安全區之間的橫向隔離及縱向防護

在各安全區之間均需選擇適當安全強度的隔離裝置。具體隔離裝置的選擇不僅需要考慮網絡安全的要求，還需要考慮帶寬及實時性的要求。安全區之間隔離裝置必須是國產并經過國家或電力系統有關部門認證。

安全區Ⅰ與安全區Ⅱ之間的隔離要求：

采用硬件防火墻可使安全區之間邏輯隔離。禁止跨越安全區Ⅰ與安全區Ⅱ的E-MAIL、WEB、telnet、rlogin。

安全區Ⅰ/Ⅱ與安全區Ⅲ/Ⅳ之間的隔離要求：

采用物理隔離裝置可使安全區之間物理隔離。禁止跨越安全區Ⅰ/Ⅱ與安全區Ⅲ/Ⅳ的非數據應用穿透

物理隔離裝置的安全防護強度適應由安全區Ⅰ/Ⅱ向安全區Ⅲ/Ⅳ的單向數據傳輸。由安全區Ⅲ/Ⅳ向安全區Ⅰ/Ⅱ的單向數據傳輸必須經安全數據過濾網關串接物理隔離裝置。

同一安全區間縱向防護與隔離：

同一安全區間縱向聯絡使用VPN網絡進行連接

安全區Ⅰ/Ⅱ分別使用SPDnet的實時VPN1與非實時VPN2

安全區Ⅲ/Ⅳ分別使用SPInet的VPN

防病毒措施

病毒防護是電力二次系統網絡必須的安全措施。病毒的防護應該覆蓋所有安全區的主機與工作站。特別在安全區I、II要建立獨立的防病毒中心，病毒特征碼要求必須以離線的方式及時更新。安全區III的防病毒中心原則上可以和安全區IV的防病毒中心共用。防病毒軟件要求覆蓋所有服務器及客戶端，對關鍵服務器實時查毒，對于客戶端定期進行查毒，制定查毒策略，并備有查殺記錄。

其他安全防護措施

1、數據與系統備份

對關鍵應用的數據與應用系統進行備份，確保數據損壞、系統崩潰情況下快速恢復數據與系統的可用性。

2、入侵檢測IDS

對于安全區I與II，建議統一部署一套IDS管理系統。考慮到調度業務的可靠性，采用基于網絡的入侵檢測系統（NIDS），其IDS探頭主要部署在：

安全區I與II的邊界點、SPDnet的接入點、以及安全區I與II內的關鍵應用網段。其主要的功能用于捕獲網絡異常行為，分析潛在風險，以及安全審計。

對于安全區III，禁止使用安全區I與II的IDS，與安全區IV的IDS系統統一規劃部署。

3、主機防護

主機安全防護主要的方式包括：安全配置、安全補丁、安全主機加固。

安全配置

通過合理地設置系統配置、服務、權限，減少安全弱點。禁止不必要的應用，作為調度業務系統的專用主機或者工作站，嚴格管理系統及應用軟件的安裝與使用。

安全補丁

通過及時更新系統安全補丁，消除系統內核漏洞與后門。

主機加固

安裝主機加固軟件，強制進行權限分配，保證對系統的資源（包括數據與進程）的訪問符合定義的主機安全策略，防止主機權限被濫用。

4、CA與身份認證

基于PKI的CA認證系統為電力調度生產及管理系統與調度數據網上的用戶、關鍵網絡設備、服務器提供數字證書服務。最終CA認證體系結構圖如下所示：

建立健全安全管理的工作體系

電力二次系統安全防護工作涉及電力企業的建設、運行、檢修和信息化等多個部門，是跨專業的系統性工作，加強和規范管理是確實保障電力二次系統安全管理的重要措施，管理到位才能杜絕許多不安全事件的發生。因此建立健全安全管理的工作體系，第一是要建立完善的安全管理制度，第二是要明確各級的人員的安全職責。

結束語：

本文根據電力二次系統安全防護工作特點，介紹了水電廠電力二次系統統的安全防護的原則、劃分和措施，以防范對電網和電廠計算機監控系統及調度數據網絡的攻擊侵害及由此引起的電力系統事故，保障三門峽水電廠電力系統的安全、穩定、經濟運行。