（国核电力规划设计研究院）
摘要：本文针对电力二次系统厂站端的主要安全威胁问题，从网络安全、系统安全、人员管理、应用安全等方面提出全方位安全防范措施，通过试点实施，说明全方位安全防范措施可提高电力二次系统的安全防范水平，具有推广应用前景。
关键词：电力二次系统；厂站端；安全问题；防范
电力二次系统包括电力监控系统、电力通信及数据网络等。厂站端作为电力二次系统的信息采集和执行子系统，担负着提供发电厂、变电站各种表征电力系统运行状态的实时信息，接收和执行上级调度控制中心发出的操作调节或控制命令的任务。随着变电站网络技术的不断更新，厂站端信息数据的传送与控制已经从综合自动化站站控层网络覆盖到智能站过程层网络，对厂站端的通信网络提出了更高的要求。因此厂站端的安全防护在电力系统的安全稳定运行中越来越重要。
一、电力二次系统厂站端主要安全威胁
电力系统由单一的微机保护常规站到综合自动化站，再到数字化变电站、智能变电站的飞速发展，使得电力二次系统在厂站端所受到的安全威胁也在不断变化。以目前常见的综合自动化站和智能变电站为例，电力二次系统虽然使用专用通道的独立网络，但也出现常见的信息泄漏、完整性破坏、非法使用、窃听等信息安全问题，重要网络还存在有旁路控制、拒绝服务、违反授权。
二、全方位安全防护措施
针对以上安全威胁，可以从信息系统的网络安全、系统安全、人员管理、物理安全、应用安全5个角度来制定全方位的防护措施。
2.1网络安全
从网络安全上进行技术提升，建立厂站端二次安全防护的技术保障。根据厂站端生产控制大区的典型防护方案（见图1），按照不同安全等级分别建立网络保障。
在安全区Ｉ中，由于对数据传输的实时性和可靠性要求高，因此智能变电站过程层不宜部署加密等复杂策略，确保网络的高可用性，可采取以下措施进行安全防护。
①实现安全隔离。为了防止实时信息的窃听、篡改或伪装，可以通过划分VLAN的方式，根据保护、测量等功能将不同业务的节点从逻辑上进行隔离。为避免共享组播传输方式造成网络冲突加剧，可以通过在GOOSE网对支持IEEE802.1Q的VLAN划分隔离广播域技术或GMRP动态组播注册技术，来解决智能变电站存在的组播流量问题，使网络上的数据冲突降到最低，实时性达到最高。
②通过SMV网络增加SMV认证时间戳。为了防止来自内部的威胁，信息发布端将每个SMV报文增加一个安全性可选设置项，令其设置为报文发送的时间戳。信息接收方可以查看当前报文的时间标签与采样技术判断收到的SMV有效与否。
③通过GOOSE网络给GOOSE报文增加时间戳认证。要求接收端与发送端对时精确，如果接收到的GOOSE报文时间戳超过了设定的时间，则认为该报文为非法数据，进行丢弃处理。
在非控制生产区，数据的传送双方采用身份认证机制，通过SSL/TLS实现双向认证和密钥下发，通过VLAN＋IP＋MAC地址来识别用户，防止非授权用户使用网络资源。并将明文传送的报文采用安全加密技术，如AES256，防止重要或敏感信息被泄密或篡改。在生产管理区和管理信息区，由于在纵向边界已经部署了防火墙，根据不同的业务系统，通过对特定网段和服务部署访问控制体系安全访问控制策略，必要时可以增加病毒防护来保证数据安全。
2.2系统安全
从系统安全上进行屏障保护，建立厂站端二次安全防护的系统保障。对节点实施监管，逐一梳理与电力二次系统连接的厂站端内部节点，杜绝一切非生产管理大区的信息接入，使每一个节点都在有效的管理范围内，保障系统安全的全局性和系统性。
在厂站端建设及技改工程中，加强运维反馈，减少设备自身缺陷。对厂站端相关运行设备（如测控装置、远动机、录波器、保护管理信息子站等）日常检查和维护工作中发现的共性问题，应迅速列入反事故措施中。并通过技术改造或设备升级等手段减少设备自身缺陷，确保新技术在生产应用中稳定运行。关键的厂站端设备实施容灾备份，对于220kV及以上等级的厂站端网络关键资源（如调度数据网交换机等）做到双机备份及自动切换，减少故障损失。
2.3人员管理
从人员管理上进行整体提升，建立厂站端二次安全防护的人员保障。
①提高运维人员的信息安全意识。通过生动详实的案例，阐述信息安全相关法律法规，明晰厂站端二次安全防护的信息安全责任，以及运维人员在工作中的信息安全责任问题。
②加强对运维人员的业务培训。运维人员的基本业务知识和技能是保证厂站端二次安全防护必备的能力，是确保安全生产的重要环节。目前可以通过对现有设备缺陷的发现、消除，开展多种形式的培训，把理论与现场结合起来，特别是要加强与综合自动化专业相关的保护、调度、通信等技能的学习。加强电力二次安防技能培训，增强运维人员对系统故障判断的识别能力及应对突发事件的应变能力。
③加强运行维护管理和运维人员管理，建立健全切合实际的运行管理及安全规章制度，将网络安全纳入常态化管理，落实到日常的安全巡视制度中，必要时聘请网络安全顾问，跟踪厂站端网络维护。建立一支高素质的网络安全管理队伍，在日常的运行维护过程中严格避免来自内部的木马、越权、误用等事件。
2.4物理安全
从物理安全上进行设备加固，建立厂站端二次安全防护的设备保障。厂站端二次安全防护最重要的是远动机和测控装置，这些装置各个厂家的硬件、配置程序不尽相同，测控装置容易出现诸如死机、数据上传慢等家族性缺陷。远动机出现数据库配置更改时，通常需要借助厂家人员配合才能完成。而厂家人员流动性大，能力、素质参差不齐，所使用的计算机设备可能与互联网直接进行连接，存在安全隐患。因此，应在设备招标环节上把好质量关，选用设计周密合理安全的产品和方案；在施工过程中要求厂家人员及其使用的计算机设备严格遵守《电力二次系统安全防护规定》；投运前要把好竣工验收关，对重要的遥控、遥调信号逐一进行预置测试。运行期间尽量保证设备运行常态环境，坚持常态巡检制度。对远动机等重要设备采取双机自动切换技术，及时发现缺陷并上报，严格按照缺陷等级进行处理，数据维护、装置备件等均应严格按照制度贯彻实施。
2.5应用安全
通过采用安全的操作系统、计算机防病毒技术在确保厂站端设备的安全基础，提供实时更新的操作系统补丁和病毒库在保证设备的安全运行，并将应用系统中的关键软硬件及数据进行热备份或冷备份等，确保厂站端二次安全防护不留死角。
三、全方位防护措施的应用及效果
2013年在2个220kV和4个110kV变电站进行二次系统全方位安全防护措施试点实施。
2013年3月完成了所有厂站端新安装调度数据网屏，通过对三层交换机进行VLAN划分实现不同业务节点之间的逻辑隔离，电力专用纵向加密装置的增加实现了双向认证和数据加密机制，而调度数据网路由器的合理配置实现OSPE、BGP等网络协议点对点准确及时发送和接收，在非控制生产区通过VLAN＋IP＋MAC地址来识别接入设备，防止非授权使用，220kV站实现了调度数据网两平面双机热备用，110kV站实现双平面的104通道替换原有运行的101通道，确保在生产控制区和非控制生产区厂站端与调度主站数据安全可靠传输。
在进行基础设施升级过程中，同步实施厂站端系统安全梳理。进行厂站端综合自动化设备状态评价分析，根据设备诊断结果将不符合项提交消缺工作计划或公司大修技改计划，完成不符合项消缺工作。
在进行以上工作的同时，运行维护人员进行信息安全基础培训和调度自动化厂站端专题培训。截止4月29日，共赴3个主要厂家培训学习48人次，实现二次专业人员厂站端安全培训率由23％提高到78％。通过前期的培训，检修人员能在工作前主动辨识出危险点和易误操作的部分，在工作中能够时刻监护厂家人员严格执行防护方案的要求，并及时提醒危险源，确保工作中厂站端信息安全不受影响。
厂站端现有基于windows操作系统的设备包括故障录波器、保护故障信息子站、后台监控机和五防机等，其中故障录波器和保护故障信息子站接入非生产控制区，由主站提供瑞星杀毒网络版病毒库的更新，后台监控机和五防机通过禁用可移动存储设备的功能，确保不会出现由可移动存储设备导致的病毒感染事件。
截至目前，从网络安全、系统安全、人员管理、物理安全、应用安全5个方面对2个220kV和4个110kV变电站进行的厂站端全方位二次系统安全防护方案试点实施已经完成，设备缺陷情况逐步减少，厂站端在信息安全防护方面明显增加，电力二次系统的安全防护水平显著提高。
结语
厂站端作为电力生产的重要组成部分，其二次系统安全防护是保证电力系统安全稳定运行的重要保障，基于网络安全、系统安全、人员管理、物理安全、应用安全全方位二次系统安全防护方案，可以有效提高电力二次系统厂站端的安全防护水平。鉴于此次试点应用的有效性，该安全防护方案可在总结试点应用的基础上进行下一阶段的推广应用。信息安全的攻防是动态发展的，因此不仅要提高电力二次系统的安全意识，制定严格的安全防护制度，还要不断学习先进的信息安全知识，正确使用各种厂站端设备及其相关应用，动态维护全方位的安全防护方案，使该防护方案能够适应不断发展的信息安全形势，确保电力系统的安全稳定运行。
参考文献：
[1]国家电力监管委员会.电力系统安全防护总体方案［Z］.北京：国家电力监管委员会.2006.
[2]葛立青，杨凡.智能变电站信息集成及二次安全防护方案［J］.江苏电机工程，2012，31（4）.
[3]崔秀玉，王志勇.虚拟专用网技术及其在电力系统二次安全防护中的应用［J］.广东电力，2005.
作者简介：
于晓铭（1984.11-），男，山东莒县人，天津大学电力系统及其自动化专业硕士，工程师，单位：国核电力规划设计研究院，方向：电力系统二次
布小红（1983.1-），女，山东阳谷县人，东北电力大学电力系统及其自动化专业硕士，工程师，单位：国核电力规划设计研究院，方向：电力系统二次