剖析電力調度安全監管

導語：剖析電力調度安全監管一文來源于網友上傳，不代表本站觀點，若需要原創文章可咨詢客服老師，歡迎參考。

1整體防護方案。電力調度信息系統的應用業務的整體防護，充分考慮各種應用業務的特點，充分發揮安全隔離裝置的作用，從各個層面對應用系統實施全方位的保護。

1.1調度信息系統各應用業務系統安全區的劃分

電力調度信息系統所有應用業務必須分置于四個安全區。安全區I：目前已有或將來要上的有控制功能的系統，以及實時性要求很高的系統。目前主要包括實時閉環控制的SCADA／EMS系統、自動發電控鋁IJ(AGC)系統和安全自動控制系統，保護設置工作站(具有改定值、遠方投退等功能)；安全區Ⅱ：沒有實時控制業務但需要通過調度專用通信網(SPDnet)進行遠方通信的準實時業務系統。目前包括水調自動化系統、調度員培訓系統(DTS)、電力交易系統、電能量計量系統(TMR)、考核系統、繼保及故錄管理系統(不具備改定值、遠方投退功能)等；安全區Ⅲ：通過電力調度數據網(SPTnet)進行遠方通信的調度生產管理系統。目前包括雷電監測系統、氣象信息、日報／早報、調度MIS(DMIS)等；安全區Ⅳ：包括辦公自動化(OA)、電子郵件系統和管理信息系統(MIS)等。

1.2調度信息系統安全防護的具體要求

根據電力調度通信局調度信息系統安全防護要求，除了要滿足電力系統二次系統安全防護策略以外，還需滿足以下具體要求：①安全區I、安全區Ⅱ必須建立一套統一的入侵檢測系統(IDS)，在安全區I和安全區II的橫向及縱向邊界各安裝1個探頭(共4個)，兩個安全區內原則上不再安裝IDS探頭；②安全區Ⅲ要求單獨建立一套IDS系統，IDS探頭安裝在網絡的關鍵邊界。系統的對內對外通信應該通過網關，建議對內通信網關與對外通信網關分離(對內通信：指本級調度中心內相關系統的通信；對外通信：指同安全區內的系統上下級間的遠程通信)，網絡邊界必須明晰；③對安全區I的特定要求：安全區I的EMS上下級外部邊界的通信中，網絡方式通信均經由電力調度數據網(SPDnet)中的QoS(服務質量)等級最高的實時VPN(虛擬專用網絡)，傳統遠動專用通道的通信，重要廠站可以進行線路加密，一般廠站目前暫不考慮安全問題，加緊研究低成本線路安全設施，逐步進行改造；④對安全區Ⅱ的特定要求：安全區Ⅱ允許在本區內開通同一業務系統上下級(即縱向)問的安全Web服務。但只允許本安全區內的系統向安全Web服務器單向傳送數據，數據傳遞由專用隔離裝置完成。禁止安全Web服務器向業務系統請求數據的操作；安全Web瀏覽工作站與Ⅱ區業務系統工作站不得共用。

2調度信息系統各應用系統的安全改造。遵循前面制定的相關原則，結合各應用系統的實際，我們進行了電力調度通信局和省電力公司的網絡改造和系統升級，使用專用的網絡隔離設備，對涉及到的應用系統進行了安全隔離，滿足了原國家電力公司提出的安全防護要求，這里以EMS系統和電力交易系統為例進行相關技術介紹。

2.1EMS系統的安全防護技術方案①SCADA／EMS系統的物理邊界最多只能有4個。PI1一撥號網絡邊界。要求通過撥號服務器(RAS)接入EMS系統的LAN，在RAS和LAN之間必須安裝撥號認證加密裝置，撥入端配相應的數字證書(證書由國家電力調度CA統一簽發)；若無條件實現安全防護時，則不得開通撥號服務。PI2一傳統專用遠動通道。目前暫不考慮其安全問題，必要時采取線路加密措施。PI3一SCAD／EMS縱向網絡邊界。縱向網絡邊界的安全防護措施主要有：對外通信網關必須通過具備邏輯隔離功能的接入交換機接入；安裝IP認證加密裝置(位于SPDnet的實時VPN與接人交換機之間)。PI4一SCAD／EMS橫向網絡邊界。橫向網絡邊界的安全防護措施有：對內網關必須通過具備邏輯隔離功能的區內交換機接入(若交換機不具備邏輯隔離功能時，建議部署硬件防火墻)；安全區I與安全區Ⅱ之間必須安裝防火墻。②要求在EMS的主網及安全區I的邊界安裝入侵檢測系統(IDs)的探頭。③EMS系統必須禁止開通Email、Web以及其它與業務無關的網絡服務。安全區Ⅱ內可以設立安全的SCADAWEB服務，即：定時從SCA-DA／EMS導出數據，且僅允許安全區Ⅱ內的Web子網上具有證書的用戶瀏覽；安全區Ⅲ設立的SCADAWeb服務供安全區Ⅲ的用戶方便瀏覽。只能接受SCADA／EMS的數據，禁止數據的反寫入。④要求在新建的SCADA／AGC功能模塊中加人認證加密機制，對已有的SCADA／AGC系統逐步改造加人認證加密機制，以便實現：操作人員基于數字證書的身份認證與加密通信；控制命令的進程認證與加密通信。

2.2電力交易系統的安全防護框架

①電力交易系統的物理邊界最多只能有3個。PI1一縱向網絡邊界。撥號通信作為市場成員的備用訪問方式，要求通過撥號服務器(RAS)接入安全區Ⅱ的接人交換機，接人交換機具備邏輯隔離功能，若交換機不具備邏輯隔離功能時，必須安裝硬件防火墻：在RAS和接人交換機之間必須安裝撥號認證加密裝置，撥人端配相應的數字證書，證書由國家電力調度CA統一簽發；若無條件實現安全防護時，則禁止開通撥號訪問。PI2一縱向網絡邊界。縱向網絡邊界的安全防護措施：對外通信網關必須通過具備邏輯隔離功能的接入交換機；必須安裝IP認證加密裝置(位于SPDnet的非實時VPN與接入交換機之間)。PI3一橫向網絡邊界。橫向網絡邊界的安全防護措施是：對內網關必須通過具備邏輯隔離功熊的區內交換機接人(若交換機不具備邏輯隔離功能時，則必須安裝硬件防火墻)，實現同區內不同系統間的邏輯隔離；與安全區I之間必須安裝硬件防火墻(經有關部門認定核準)，作為安全區I、Ⅱ之間的邏輯隔離。與安全區Ⅲ之間必須安裝專用安全隔離裝置(正向型和反向型兩種)，作為安全區Ⅱ、Ⅲ之間的物理隔離。②在電力交易系統的主網及安全區Ⅱ的邊界安裝入侵檢測系統(IDS)的探頭。③己投運的電力交易系統要求進行安全評估，新建設的電力交易系統必須經過安全評估合格后方可投運；電力交易系統主網內禁止開通Email、跨安全區的Web以及其它與業務無關的網絡服務。④在新建的系統中配置認證加密機制，對已有的系統逐步配置認證加密機制，實現報價交易系統與遠方成員之間的基于數字證書的身份認證與加密通信。報價處理服務器、信息服務器可以根據各地實際情況布置在安全區Ⅱ或Ⅲ。

布置在安全區Ⅱ。要求報價處理在對外網關服務器處理，配置認證、加密等機制，電力交易信息(非公眾)服務器要求安裝在Ⅱ區內的Web子網，必須采用安全Web服務器，信息采用安全Web技術，定時從電力交易系統內網導出數據給安全Web服務器，瀏覽電力交易信息服務器的用戶必須具有證書，而且瀏覽端設備只能同在安全區Ⅱ，并與安全區Ⅱ的其它業務系統隔離。布置在安全區Ⅲ。要求在安全區Ⅲ配置報價處理服務器，保證報價信息能通過專用安全隔離裝置(反向型)安全地傳遞到安全區Ⅱ的交易系統；電力交易信息服務器安裝在安全區Ⅲ，定時從安全區Ⅱ內的電力交易系統通過專用安全隔離裝置(正向型)導出數據給WEB服務器，瀏覽電力交易信息服務器的用戶必須具有證書，此瀏覽端設備只能在安全區Ⅲ。

結語：調度信息系統的安全建設是一項復雜和艱巨的系統工程。由于歷史的原因，涉及調度生產與管理的系統不僅種類繁多，同時軟、硬件條件千差萬別。尤其是各個系統對安全性和實時性的要求不盡相同，并且各個系統之間還有數據的交互，所以提高其安全防護水平涉及到的內容相當多。通過本文提出的安全隔離方法，在一定程度上保證了調度信息系統的安全防護要求。摘要：電力安全生產管理規范化的重要內容之一是電力調度安全管理工作。首先要搞好電力安全調度，必須認真提高調度員安全意識和業務素質，加強調度安全生產管理，其次就要學好專業理論知識，遵循電網管理制度，最后要多做反事故演習和事故預想，并要持之以恒，扎扎實實，深入研究等。